OTセキュリティとは、工場の生産設備や制御システムなど、モノを動かす仕組みを停止や誤動作から守る対策のことです。情報の保護を中心に考えるITと違い、安全の確保と稼働の維持を先に考えます。
今日やることは、止まると出荷できない工程を1つ決め、停止したときの影響を3行で書くことです。製品の資料を取り寄せるのは、そのあとで間に合います。OTの全体像は工場と制御システムのセキュリティの一覧からもたどれます。
OTとは何を指す言葉？
OTは Operational Technology の略で、物理的な機器やプロセスを動かす技術の総称です。米国NISTのSP 800-82 第3版（2023年9月）は、物理環境に直接関わるプログラム可能なシステムや機器をOTと説明し、産業用制御システムなどを例に挙げています。
中小の工場で言えば、次のようなものが当てはまります。
- 機械の順序や動作を制御するPLC
- ラインの状態を画面で監視するSCADAやその端末
- 自動倉庫や無人搬送車（AGV）の制御装置
- 設備の設定を変えるときに現場でつなぐ保守用の端末
経済産業省の工場システムのガイドラインによると、こうした工場システムは、インターネットなどにさらされないことを前提に設計されてきました。ところが、IoT化や自動化が進み、機械の稼働データを活用する場面が増えて、この前提が崩れています。OTセキュリティが話題になる背景はここにあります。
ITセキュリティと何が違う？
いちばん大きな違いは、攻撃を受けたときに何が失われるかです。事務所のパソコンなら情報が漏れることが主な心配ですが、工場では製品が作れなくなり、場合によっては人や近隣の安全にも関わります。
IPAの経営者向け資料（第3版・2017年3月）の比較を整理すると、次のようになります。年数は資料の作成時点の目安で、機器ごとに異なります。
| 比べる点 |
情報システム（IT） |
制御システム（OT） |
| 重視すること |
情報の管理と漏えい防止 |
継続して安全に動くこと |
| 守る対象 |
情報 |
設備、製品、連続稼働 |
| サポート期間 |
3〜5年 |
10〜20年 |
| 再起動 |
許容できることが多い |
許容できないことが多い |
| 管理する部門 |
情報システム部門 |
現場の技術部門 |
この表から、ITのやり方をそのまま工場へ持ち込むと無理が出る理由が分かります。たとえば「更新プログラムはすぐ当てる」という事務所の常識は、連続で動かすラインには当てはまりません。IPAの同じ資料も、適用すると動作に影響が出る可能性があるため、ベンダーと相談して事前に検証する必要があるとしています。
更新できないときにどう守るかは、PLCとSCADAを止めずに守る分離と監視の考え方で詳しく扱います。
工場では何を優先する？
経産省のガイドライン Ver1.0は、工場の特徴として次の3点を挙げています。
- データの保護だけでなく、機器の稼働の維持と安全の確保が求められる
- 古い設備が動いている場合があり、段階的に対策を入れる必要がある
- 工場の規模や性質によって、行うべき対策が変わる
同じガイドラインは、工場が重視する価値として、事業の継続（BC）と、安全（S）、品質（Q）、納期（D）、コスト（C）を挙げています。セキュリティ対策も、この物差しで判断します。
私たちは、判断の順番を次のように整理しています。順番そのものは制度の決まりではなく、上の資料を読み解いたものです。
- 人と近隣の安全を損なわないか
- 生産を続けられるか、止まっても再開できるか
- 不良品を出さないか、品質の記録を信用できるか
- 図面や設備プログラムなどの情報が外へ出ないか
情報の保護を軽く見ているわけではありません。ガイドラインは、製品や生産ノウハウに関わるデータの流出も、工場で起きる影響の1つに挙げています。順番を決めておく理由は、対策どうしがぶつかったときに迷わないためです。
止めないことが常に正解とは限らない
「止めないことが第一」は原則であって、絶対ではありません。ガイドライン Ver1.0は、制御権を奪われた場合などに、安全のために自ら工場システムを止める選択もありうるとしています。
非常時に現場が迷うのは、誰が止める判断をするのか決まっていないときです。平時のうちに、判断する人、不在のときの代わりの人、止める手順の3つを決めておきます。これは費用をかけずに決められます。
ネットにつないでいない工場は安全？
安全とは言い切れません。IPAの資料は、「インターネットにつながっていなければ安全」というのは過去の話だと書いています。閉じたネットワークの主な感染源として挙げているのは、次のような経路です。
- USBメモリ
- 入れ替える操作端末や、持ち込まれる保守用の端末
- 設備の遠隔保守に使う回線
事務所とつながっていなくても、人が物を持ち込む経路は残ります。社内で意識されにくいのは、設備メーカーの保守回線や、後から取り付けたカメラやセンサーです。社内に増えた機器の見つけ方はカメラや複合機、センサーの点検方法にまとめました。
いま工場で何が起きている？
工場を直接狙った攻撃だけが問題なのではありません。JPCERT/CCの2026年の講演資料は、制御システムの分野でも、実務上もっとも憂慮すべきリスクはランサムウェア攻撃だとしています。
国内の数字を見ても、製造業は無関係ではありません。警察庁の令和7年の報告では、ランサムウェアの被害報告226件のうち、業種別では製造業が約4割でした。
ここで押さえたいのは、攻撃の入口が工場の中とは限らない点です。
たとえば、樹脂成形の工場で生産計画のサーバーが暗号化された場合を考えます。成形機そのものは無事でも、何をいくつ作るかの指示が出せず、ロットの記録も残せなければ、出荷の判断ができません。そのためOTセキュリティは、機械の周りだけで完結しない話になります。
何から手をつければいい？
冒頭の「止まると困る工程」を決めたら、経産省のガイドラインのステップに沿って広げていきます。ガイドラインの流れは、次の3段階です。
- 業務と守る対象を整理し、重要度をつけて、ゾーンに分ける
- ゾーンごとの方針を決め、システム構成面と物理面の対策を割り当てる
- 実行し、運用しながら見直す。取引先や調達先の対策も確かめる
ゾーンとは、業務の内容や重要度が同じくらいの領域のことです。全部を同じ強さで守ろうとせず、重要な領域から厚くするための区切りと考えてください。
専任者がいない会社には、経産省が中小規模の製造事業者向けに2025年4月に公表した解説書が読みやすい入口です。経営層向けの章と担当者向けの章に分かれていて、費用をかけずにできる対策も載っています。ガイドライン本編には付録のチェックリストと調達仕様書のテンプレートもあります。なお、本編は現在Ver1.1も公開されています。この記事ではVer1.0の本文を確かめて書きました。
製品を先に買うと起きやすいこと
工場のどこを守るのかが決まっていないと、監視の機器を置く場所が決まりません。検知の通知が来ても、誰が見て、ラインを止めるかどうかを誰が決めるのかも曖昧なままになります。製品の比較は、守る工程と担当者が決まってからのほうが進めやすくなります。
製品はどんな種類がある？
守る工程が決まったら、足りない機能を製品やサービスで補います。工場の通信を見て異常に気づく仕組みならOTセキュリティ製品の比較とNDR（ネットワーク検知）の製品比較が候補の範囲を知る手がかりになります。カメラやセンサーなど接続機器の把握が先に必要なら、IoTセキュリティ製品の比較も見てください。
検知の仕組みは、置けば終わりではありません。IPAの侵入検知製品の導入手引書（2023年6月）は、導入してすぐ使えるものではなく、学習や通知の確認が必要な場合が多いと説明しています。自社で見るのか外部へ委託するのかまで含めて費用を比べます。
事務所と工場のどちらへ先に予算をつけるかで迷うときは、製造業の社長が先に予算をつける順番を続けて読むと、社内の話を進めやすくなります。
