OT（Operational Technology）とは、製造現場やプラントなどで用いられる設備やシステムを制御・運用する技術です。OTセキュリティとは、これらの設備やシステム、ネットワークをサイバー攻撃から守るための対策です。保護対象には、PLC（機器制御装置）、SCADA（監視制御システム）、DCS（統合制御システム）などがあります。

OTセキュリティが注目される背景には、「ネットワーク接続の増加」「サイバー攻撃の増加と被害の深刻化」「法規制の強化」の3点があります。

従来、多くのOTシステムは外部ネットワークに接続しないクローズドな環境で運用され、安全性を確保してきました。しかし近年は、製造現場や社会インフラでIoT化やDXが進み、現場の機器やシステムをインターネットやクラウドサービスに接続する機会が増えています。

OTシステムと外部ネットワークの接続が増えたことで、サイバー攻撃の標的となるリスクも高まっています。OTシステムの中には、10年、20年前に導入されて以降、ファームウェアの更新が行われていないものもあります。ネットワーク接続を前提としない時代に導入されたレガシーシステムは、脆弱性を抱えたまま稼働しているケースも多く、サイバー攻撃への耐性が十分ではありません。

また、OTシステムがサイバー攻撃を受けた場合、ビジネスへの影響が大きい点も特徴です。製造事業者がOTの脆弱性を突かれてシステム停止に追い込まれると、生産活動が停止し、収益にも大きな影響を及ぼします。さらに、取引先への製品供給が滞れば、被害がサプライチェーン全体に波及する可能性もあります。

近年は、国内でもOTシステムを狙った攻撃事例が増加しています。被害は大企業だけでなく、中小企業にも広がっています。

メーカーA社は、工場への標的型攻撃を受け、IT領域から正規の通信を経由してOT領域へ侵入されました。その結果、PLCのプログラムがすべて削除され、工場は操業停止に陥りました。完全復旧までに40日を要する深刻な事態となり、被害金額は公表されていないものの、多額の損失が発生したとみられています。

サイバー攻撃の脅威が高まる中、IEC62443やNISTSP800-82といった国際標準・業界標準規格の整備が進んでいます。加えて、欧州の「サイバーレジリエンス法」や「NIS2指令」、日本の「経済安全保障推進法」「能動的サイバー防御関連法」など、義務や罰則を伴う法規制・ガイドラインの整備も進められています。

こうした国際標準や法規制への対応は、取引先から要請を受けるケースも増えており、法的観点だけでなく、ビジネス継続の観点からも対応が不可欠となっています。

日本のOTセキュリティへの投資は、先行するアメリカや欧州と比較すると発展途上にあります。2024年の世界の投資額比率データ^※1によると、OTセキュリティへの投資額はアメリカが41％、欧州が24％、アジアが17％であるのに対して、日本は3％にとどまっています。

一方で、企業の課題意識は高まりつつあります。三菱電機が2024年に開催したオンラインセミナーの参加者に実施したアンケートによると「取引先からの要請により対応が必要」「DX推進に伴いOTセキュリティが必要」と回答した企業が、それぞれ50％を超えました。しかし、対策状況に関する設問では、「OTの実態やリスクを把握できていない」が48％、「OTセキュリティのルールが未整備」「OT資産の可視化・管理が未実施」がそれぞれ31％となっており、十分な対策が進んでいない実態も明らかになっています。

企業がOTセキュリティに取り組む際は、「アセスメント」「対策」「運用」の3ステップを継続的に回していくことが基本となります。

まずは、現場の機器（資産）の構成や、ネットワークの通信状況、運用状況を可視化することから始めます。専用ツールなどを活用して、ネットワークの実態や潜在的な脆弱性・リスクを洗い出し、現在のセキュリティ対策状況を把握します。

洗い出したリスクに対して、適切なセキュリティ製品を導入します。IT領域とOT領域の境界にファイアウォール（FW）を設置したり、侵入検知システム（IDS）や不正端末の接続制御システムを導入したりするなど、「多層防御（Defense in Depth）」の考え方に基づく対策を講じます。

サイバー攻撃に備えるには、セキュリティ機器を導入した後も、ネットワークやシステムの異常を継続的に監視・分析する体制が必要です。OTセキュリティでは高度な専門知識が求められるため、情報セキュリティの専門チームであるSOC（Security Operation Center）の活用に加え、工場のセキュリティインシデント対応に特化したFSIRT（Factory Security Incident Response Team）を構築し、平時から有事まで円滑に対応できる体制を整備することが重要です。

OT領域にはIT領域と異なる特性があり、主に三つの点に注意が必要です。一つ目は、連続稼働（可用性）と安全性の両立です。OTでは、設備やシステムを止めずに稼働させ続けることが求められます。そのため、ITセキュリティのように、異常を検知した際に即座にシステムを停止し、ネットワークから切り離すといった対応をそのまま適用できない場合があります。場合によっては、設備停止によって機器が暴走し、より大きな被害につながる可能性もあるためです。そのため、稼働を維持しながら安全を確保する工夫が求められます。

二つ目は、現場機器の可視化の難しさです。PLCやロボットなど、独自プロトコルを用いる制御機器が混在する現場は、把握すべきポイントが複雑化し、深い層にある資産や脅威を十分に可視化できない場合があります。そのため、OT領域に対応した可視化ツールの導入が重要になります。

三つ目は、現場環境に合わせたチューニングです。初期設定のままでは正常な通信までアラートとして誤検知されるケースもあり、現場の負荷が高まる恐れがあります。そのため、環境に応じた可視化範囲の設定や、検知レベルのチューニングを適切に行うことが不可欠です。

市川 英嗣
（いちかわ・えいじ）