製造業のセキュリティ対策は、事務所のITと工場のOTを分けて考え、外との入口と復旧の備えから予算をつけます。工場の中の監視は、その次に検討しても遅くないことが多いです。
社長が今日やることは、担当者に2つ聞くことです。1つは「VPN機器の型番と、最後に更新した日はいつか」。もう1つは「設備メーカーが外から工場へ入る回線はあるか」。すぐ答えが返ってこなければ、それが最初の課題です。
用語から確かめたい場合は、OTセキュリティとは何かを先に読むと、この先が分かりやすくなります。一覧は工場と制御システムのセキュリティにあります。
なぜ事務所と工場を分けて考える？
同じ会社のネットワークでも、止められる条件と任せる相手が違うからです。
| 比べる点 |
事務所（IT） |
工場（OT） |
| 主な機器 |
パソコン、メール、ファイルサーバー |
PLC、監視PC、自動倉庫 |
| 分かる人 |
総務、社外のIT業者 |
工場長、設備のベンダー |
| 更新 |
比較的すぐできる |
計画停止に合わせる |
| 費用が出やすい所 |
端末の保護、バックアップ |
通信の分離、保守経路の整理 |
分けずに進めると、話が噛み合わなくなります。IT業者は「すぐ更新を」と言い、工場長は「ラインは止められない」と言い、社長は判断できません。分けておけば、事務所は事務所の順番で進め、工場は計画停止の予定に合わせる、と整理できます。
ただし、切り離して考えてよいという意味ではありません。
たとえば、金属加工の会社で、受注データと図面と工程表を事務所のサーバーに置いているとします。このサーバーが止まれば、工場の機械が無事でも、次に何を作るかが分かりません。工場を守るためにも、事務所の対策が要るということです。
なぜ外との入口から予算をつける？
被害の入口として大きな割合を占めるからです。警察庁の令和7年の報告は、ランサムウェアの状況を次のように示しています。
- 被害の報告は226件。規模別では中小企業が約6割、業種別では製造業が約4割
- 被害組織へのアンケートでは、侵入経路はVPN機器が6割以上
- 復旧に総額1,000万円以上を要した組織が5割超
- 1か月未満で復旧した組織は5割強にとどまる
IPAの情報セキュリティ10大脅威 2026の組織編でも、1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃でした。
数字を読むときの注意
被害額の数字は、調査によって大きく異なります。経産省が2025年2月に公表した中小企業の実態調査では、過去3期内にインシデントがあった企業の被害額の平均は73万円、復旧期間の平均は5.8日でした。
警察庁の数字はランサムウェアの被害報告が対象で、経産省の数字はインシデント全般が対象です。どちらかが間違いというより、見ている範囲が違います。自社の予算を考えるときは、他社の平均より、自社の工場が止まった場合の1日あたりの影響を計算したほうが判断に使えます。
同じ調査では、過去3期に対策投資をしていない企業が約6割、インシデントで取引先に影響があった企業が約7割でした。この「約7割」は被害を受けた企業の中での割合です。
社長はどの順番で予算をつける？
順番は次のように整理しました。これは制度の決まりではなく、上の統計と経産省の工場ガイドラインを読み解いた私たちの整理です。工場の構成によって入れ替わります。
| 順番 |
やること |
主な場所 |
主な担当 |
| 1 |
責任者を決め、現状を書き出す |
両方 |
社長、総務、工場長 |
| 2 |
外との入口と復旧の備え |
事務所 |
総務、IT業者 |
| 3 |
事務所と工場の境界を絞る |
境界 |
IT業者、ベンダー |
| 4 |
保守経路と持ち込みのルール |
工場 |
工場長、ベンダー |
| 5 |
工場の中の監視 |
工場 |
工場長、外部サービス |
1. 責任者と現状の書き出し（費用はほぼ人の時間）
事務所の現状は、IPAの5分でできる情報セキュリティ自社診断で確かめられます。工場は、経産省が中小規模の製造事業者向けに2025年4月に公表した解説書が入口になります。経営層向けの章に、費用をかけずにできる対策も載っています。
あわせて、「工場が1日止まるといくら失うか」を工場長に出してもらいます。 売上の減少だけでなく、納期遅れの対応や、再開時の検査の手間まで含めます。この数字が、後の投資の判断材料になります。
2. 外との入口と復旧の備え
最初に費用をかける候補です。
- VPN機器やルーターの更新、サポート切れ機器の置き換え
- 社外からのログインに多要素認証を入れる
- オフラインのバックアップを取り、戻せるか試す
- パソコンとサーバーの監視（必要に応じてEDR）
警察庁の報告は、攻撃者が暗号化の前にバックアップも狙う流れを説明しており、オフラインのバックアップなどの管理に触れています。ファイルサーバーと同じネットワークに置いただけのバックアップでは、復旧の備えとして足りないことがあります。
製品を調べるときは、EDRの製品比較や多要素認証（MFA）の製品比較で機能と費用の出し方を見ます。
3. 事務所と工場の境界
事務所でランサムウェアが動いても、工場へ広がりにくくする工事です。ファイアウォール機器の製品比較を見る前に、生産に必要な通信をベンダーと洗い出します。進め方はPLCとSCADAを止めずに守る分離と監視に書きました。
4. 保守経路と持ち込みのルール
費用よりも取り決めの比重が大きい項目です。IPAの経営者向け資料（第3版・2017年3月）は、USBメモリや保守用の端末、遠隔保守の回線を主な脅威の経路に挙げ、保守契約にセキュリティの項目を含めるよう案内しています。次の契約更新のときに見直すと、大きな追加費用をかけずに進められる場合があります。
なお、遠隔保守の回線で工場が直接インターネットとつながっているなら、この項目は順番を待たず、2番と同時に確かめてください。後から付けたセンサーの通信も同じです。見つけ方は工場や社内に増えた機器の点検方法にあります。
5. 工場の中の監視
ここまで進むと、どの工程を見るべきかが決まり、通知を誰が受けるかも話せるようになります。OTセキュリティ製品の比較はこの段階で役に立ちます。導入後に通知を確認する人手が要るので、運用を委託する費用も見積もりに入れます。
順番を入れ替えるとき
化学物質や高温の工程があるなど、誤動作がすぐ安全に関わる工場は、順番より先に、安全系の設備がどこにつながっているかをベンダーと確かめます。経産省のガイドラインも、工場の規模や性質によって行うべき対策は変わるとしています。
取引先の要請にはどう備える？
大手の発注元から対策の説明を求められる場面に備えるなら、SCS評価制度を確かめておきます。正式名称は「サプライチェーン強化に向けたセキュリティ対策評価制度」で、経産省と国家サイバー統括室の監督のもと、IPAが運営します。
IPAの詳細ページ（2026年11月4日更新）によると、要点は次のとおりです。
- ★3と★4は、2027年3月の受付開始に向けて準備が進められている
- 要求項目は★3が26件、★4が43件
- ★3は自己評価の結果を確認責任者が確かめる。★4は評価機関による審査と技術検証を受ける
- ★3を取らなくても★4を取得できる
適用する範囲は、申し込む組織が決めます。工場を含めるのか、事務所のシステムに限るのかで、準備の量が変わります。受付が始まる前に、取引先がどの水準を求めそうかを営業担当から聞いておくと、無駄な準備を減らせます。
社内に詳しい人がいないときは？
全部を社内でやる必要はありません。頼む相手は、見てもらう範囲で変わります。
- 事務所の監視と相談窓口：IPAが案内するサイバーセキュリティお助け隊サービス。監視の種類はネットワーク、端末、併用から選べる
- 工場の設備：設備のベンダー。保守契約の範囲を確かめる
- 全体の順番づけ：セキュリティコンサルティングの比較で、工場まで対応しているかを確かめる
依頼するときは、工場のネットワークの図と計画停止の予定を渡すと話が具体的になります。見積もりは、調査だけなのか、工事や運用まで含むのかをそろえて比べてください。「工場を止めずに調査できるか」も、最初に聞いておきたい質問です。
