――OTセキュリティの必要性は理解されつつある一方で、予算を確保できない、現場での取り組みが進まない、施策の優先順位が上がりにくいといった課題を多くの担当者が感じています。今回のパネルディスカッションでは、「OTセキュリティの理想と現実のギャップをどう埋めるか」をテーマに、課題解決のヒントを探ります。まず、OTセキュリティはなぜ進みにくいのでしょうか。

PwCコンサルティング合同会社 上村益永氏：ガバナンスや経営課題として経営層に対策を提案する中で、OTセキュリティは不要だと考える経営層は、ほとんどいないと感じています。一方で、実際に推進する立場の現場に話を聞くと、OTセキュリティが重要であることは理解していても、他にも対応すべき業務が多く、優先順位が上がりにくい。そうした温度感の違いを感じることが多くあります。

三菱電機 朝日奈弘典氏：私は当社のOTセキュリティソリューションをお客様にご提案する立場におり、これまで多くのお客様と課題を共有していきました。その中でまず感じる事は、製造現場には生産にまつわる多様なミッションを担う人がいますが、セキュリティを専門とする人材はほとんどいない、ということです。そのため、製造現場主導で必要なセキュリティ対策を取りまとめ、モノづくりの継続を見据えた一貫性のあるセキュリティ施策の実行につながりにくい面があります。

三菱電機デジタルイノベーション 山中忠和氏：私のミッションは三菱電機グループ全工場でOTセキュリティを社内導入する事です。各工場にFSIRT^※1を設置した立場から言うと、最初に立ちはだかる壁は、現場においてOTセキュリティへの認識が十分に浸透していない点です。情報システム部門と工場の生産系部門では、当然ながら目指すところが異なります。生産系部門をいかに巻き込み、サポートしていくかが苦労した点でした。当社では、情報システム部門だけでなく生産系部門も加えたFSIRTの設置を提案し、現在の体制につながっています。

Nozomi Networks 芦矢悠司氏：予算の問題も大きいと思います。ITセキュリティでは、CISOなどの責任者が統括し、全社的な予算を確保できるケースがあります。一方、工場の場合は各工場で予算を確保しなければならないことも多く、工場長の決裁権の中でOTセキュリティに一歩踏み出すのが難しい場合があります。加えて、OTセキュリティに対するキーパーソンの感度に左右される部分もあります。

――経営トップの意思を伝え、現場を巻き込むうえでは、どのような壁があるのでしょうか。

朝日奈氏：大きく3つあると考えています。
1つ目は、現場にセキュリティの専門家がいないことです。2つ目は、これまでセキュリティインシデントを経験していないため、これまで大丈夫だったからこれからも大丈夫だろうと思いこみが、潜在的に存在していることが要因かもしれません。つまり、セキュリティ対策ツールなどを導入することで、かえってこれまで安定稼働していた機器に悪影響が出るのではないかという不安が先立つことです。3つ目は、工場は交代制で業務を行うなど、定型の業務割合が高くなるケースが多く、限られた時間の中で、本来業務とは異なるセキュリティ対応に時間を割きづらいことです。

山中氏：当社では、国内全ての工場のFSIRT管理者・実務担当者を定期的に集め、対面の場で会議を行っています。同じ場所で顔を合わせて話し合うことで、相手を知り、その後のセキュリティ施策も依頼しやすくなります。すべてをオンラインで行うと、どうしても心理的距離が縮まりにくく、施策推進のハードルになることもあるでしょう。

上村氏：経営層もかつては現場にいたわけですが、時代が変わり、最新の感覚とのズレが生じている場合もあります。そのため、方針を伝えた後は現場に任せるケースも多いと思います。ただ、現場としても、経営層が今の時代に基づいて推進していることが見えなければ、主体的にコミットするのは難しい。双方の認識合わせが重要になるのではないでしょうか。

芦矢氏：ITセキュリティは全社的に進めやすいため、OTについてもIT部門が横断的に管轄する企業が増えています。工場単体で取り組む場合、ステークホルダーが多く、意見集約だけでも大きな課題になります。IT部門やDX部門が率先してITとOTの垣根をなくし、OTセキュリティを牽引することで、施策は進みやすくなり、予算も確保しやすくなると思います。

――OTセキュリティに踏み出しても、PoC^※2で終わり、本番導入や横展開まで進まないケースをよく耳にします。運用として定着させるには、何が必要だとお考えですか。

芦矢氏：PoCを始める前に、「とりあえずやってみよう」ではなく、ステークホルダーをしっかり巻き込み、明確な目的を持ったPoCであるという意識づけを行うことが重要です。さらに、実運用に向けた評価基準をあらかじめ設定しておく必要があります。

山中氏：継続運用には、施策の検証が不可欠です。当社では、各工場にリスクベースのセキュリティ分析と、それに応じた施策に取り組んでもらっています。さらに、現状の対策状況を点検することにより、有意義なPDCAも回り始めています。

上村氏：ガバナンスの観点からは、2つのことが重要です。1つは、運用が日常業務のサイクルに確実に組み込まれ、より大きなプロセスの一部になっていることです。もう1つは、運用を具体的な成果に変換するために、アウトプットを別の活動のインプットにつなげる出口が用意されていることです。この2つがなければ、数年後には使われない仕組みになっている可能性も高いでしょう。

朝日奈氏：日本の製造業には、安全の維持・向上のため、整理・整頓・清掃・清潔・しつけの「5S」という優れた文化があります。OTセキュリティが脅かされると、結果的には安全にも影響しますので、5Sの考え方をセキュリティにも取り入れ、施策の一つひとつを5Sに基づく形で説明することで、現場の納得感を得やすくなり、結果的に巻き込みやすくなるのではないでしょうか。また、OTセキュリティも最終的には現場が対応することになります。技術導入ありきのPoCではなく、PoCの中で運用まできちんと回る形で落とし込むことが何より大切です。

――“止めない工場”の実現に向けて、まず取り組むべきことは何でしょうか。OTセキュリティ推進のヒントをお願いします。

上村氏：パラダイムシフトが次々と起きるこの時代において、最も大事なのは、自社で変化できる能力です。その第一歩は、自社の問題を組織全体で認識し、変化に向けた社内合意を形成することです。問題を認識できれば、変化への抵抗も小さくなるのではないでしょうか。

芦矢氏：まさにその通りだと思います。そのうえで、OT環境を可視化し、脅威を洗い出し、最終的にはITと同等レベルのセキュリティを実現してほしいと考えています。セキュリティ専門家が少ない製造現場でも、現在はAIによる運用支援も進んでいます。

山中氏：攻撃者は最も弱い部分を狙います。まずはOT環境を可視化したうえで、迅速な初動対応と復旧のために取り組むべきことを手順化しておくことが重要です。いざというときに迅速に対応できる仕組みをつくることが大切です。

朝日奈氏：OTセキュリティでも、小さな成功を積み重ねていくことが大切です。例えば製造業にはQCサークルのような活動がありますが、セキュリティでも同様の小集団活動を取り入れ、小さく始めて成功体験を積み重ね、横展開していく。そうした地道な取り組みが効果的かもしれません。

今回のパネルディスカッションでは、OTセキュリティを推進するうえでの経営層と現場の意識ギャップ、現場を巻き込むためのコミュニケーション、PoCで終わらせず継続運用につなげるための考え方など、実装に向けた具体的なヒントが共有されました。
製造業DXが進展するなか、OTセキュリティは事業継続を支える重要な取り組みです。経営・現場・技術が一体となり、リスクを可視化し、運用に落とし込むことで、“止めない工場”の実現に近づくことができます。
本セミナーで共有された知見が、OTセキュリティの実装・高度化に向けた一助となれば幸いです。