OTセキュリティの担当者に、最初から資格を求める必要はないと私たちは考えます。工場で先に要るのは、自社のラインと機器を説明できる人です。そのうえで公的な研修を使い、社内外に専門性を示す役割が出てきた時に資格を検討する順番が、無理なく進みます。
今日やることは、担当者を1人決めて、その人の役割を次の3つから選ぶことです。
- 現場の機器と通信を把握して、対策を動かす人
- 情シスや経営層と話して、計画と予算を決める人
- 外部の会社に依頼した内容を確かめる人
小さな会社では1人が全部を兼ねることもあります。どれを先にやるかが決まると、研修と資格の選び方も決まります。
工場の担当者に資格は要る？
資格があれば現場が守れるわけではありません。今回確かめた経済産業省のガイドラインの案内と中小製造業向け解説書の案内で、想定読者として書かれているのは、中小製造事業者の経営層と、工場セキュリティの担当者に選任された人です。担当者の条件として資格を挙げた記載は、これらのページにはありませんでした。
資格の価値が出るのは、次のような場面です。
- 取引先や社内に、担当者の知識を説明する必要がある
- 体系立てて学ぶ締め切りと目標がほしい
- 外部の会社の提案を読み解く土台を、本人のために作りたい
逆に、現場の機器一覧がないまま資格の勉強を始めると、学んだことを当てはめる先がありません。自社の盤やネットワークを見ながら学ぶほうが、知識も定着しやすくなります。
現場の担当者は、どの順番で学ぶ？
自社の把握、基本の理解、制御システムの演習、資格の順に進めます。
| 順番 |
学ぶこと |
使うもの |
| 1 |
なぜ工場に必要か、何から始めるか |
経産省の解説書 |
| 2 |
自社の機器と通信の一覧を作る |
現場の確認、ガイドラインの付録 |
| 3 |
情報セキュリティの基本の言葉 |
IPAの試験範囲など |
| 4 |
制御システムの攻撃と対策を体験する |
IPAのCyberSTIX |
| 5 |
守りの全体を説明する |
必要な人だけ資格 |
1. 経産省の解説書を読む
入口に向くのは、経済産業省が2025年4月に公表したAppendix「工場セキュリティの重要性と始め方」です。案内によると、第2章は経営層向けに被害の事例と費用をかけずにできる対策を、第3章は生産関係部門とIT関係部門の担当者向けに考え方と手順の例を解説しています。担当者が第3章を読み、社長や工場長に第2章を渡す形で使えます。
2. 自社の一覧を作る
読んだ内容を、機器の一覧に落とします。進め方はPLCを守る現場の手順に書きました。工場向けガイドラインには、付録としてチェックリストと調達仕様書のテンプレートが用意されています。チェックリストは、学ぶべき言葉の一覧としても役立ちます。
3. 基本の言葉をそろえる
情シスと同じ言葉で話すための段階です。IPAの情報セキュリティマネジメント試験の対象者像は、情報システムの利用部門で情報セキュリティリーダーを担う人です。部門の情報資産の特定、リスクアセスメント、委託先への要求の明確化といった役割が書かれています。工場専用の試験ではありませんが、この役割の説明は、現場の担当者が学ぶ範囲の目安になります。
4. 制御システムの演習を受ける
IPAのCyberSTIX（制御システム向けサイバーセキュリティ演習）は、模擬プロセス制御ネットワークを使い、攻撃と防御を体験する演習です。ITと制御システムの構成の違いや、制御システムに固有の対策を学ぶ内容とされています。IPAの短期プログラムの案内は、実務者向けプログラムの対象を、制御システムのセキュリティを担当または担当予定の人としています。2026年度は札幌と東京の開催が案内されています。
一覧を作ったあとに受けると、演習の中身を自社のどの機器に当てはめるかを考えられます。
たとえば、金属加工の工場で保全の担当者が兼任で選ばれた場合、最初の1か月で解説書と機器の一覧を片づけ、次の開催回に向けて演習を申し込む予定を立てます。受講後に「うちのラインならここを直す」という1枚を工場長へ出す決まりにしておくと、受講の費用を説明しやすくなります。
公的な研修は、会社としてどう使う？
受ける人の役割と、会社が出せる時間で選びます。IPAの産業サイバーセキュリティセンターの研修は、大きく次の3つに分けて考えられます。
| 種類 |
対象 |
長さと内容 |
| 実務者向け短期（CyberSTIX） |
制御システムの担当者、担当予定者 |
模擬環境での演習 |
| 責任者向け短期（CyberREXなど） |
CISO相当、IT・生産部門の責任者 |
業界別の討議など |
| 中核人材育成プログラム |
経営層と現場をつなぐ人材 |
1年程度の訓練 |
責任者を先に出す使い方
現場の担当者だけが学んでも、予算や工事の日程を決める人が理解していないと動きません。CyberREX（業界別サイバーレジリエンス強化演習）は、業界別の仮想企業のシナリオをもとに討議する部門責任者層向けの演習です。
2026年度第3回の大阪開催の条件を例に挙げます。開催は10月21日から22日の2日間で、定員に達して募集を終了しました。
- 対象業界：食品・化学、金属・鉄鋼・素材、産業機械、プラント・設備・建設、船舶・物流
- 対象者：CISO相当の人、IT部門や生産部門の責任者・マネージャークラス
- 定員：最大30名（最少催行10名）
- 参加費：一般8万8千円（税込）
来年度の開催を考える会社は、早めに日程を確かめます。2026年11月の確認時点では、短期プログラムのページに、責任者向けのCyberSPEXの2026年度東京開催（1月）が申込受付中と出ていました。
1年程度のプログラムは、誰を出す？
IPAの中核人材育成プログラム（2026年度）は、将来、経営層と現場担当者をつなぐ中核人材を担う人を対象にしています。OTとIT、マネジメント、ビジネスを総合的に学ぶ1年程度の訓練で、海外機関との連携訓練も含みます。第10期は2026年7月に開講し、一般募集は2026年1月に終わっています。
担当者が長期間業務を離れることになるので、兼任の担当者が1人しかいない会社には負担が大きい選択です。応募を考えるなら、業務の引き継ぎを先に決めます。費用や条件は募集年度ごとの受講要領で確かめてください。
外の力を借りる判断
社内で学ぶ時間がないなら、外部の支援を使う判断もあります。セキュリティコンサルティングの比較で探すときは、制御システムの経験と、機器の一覧作りから手伝ってもらえるかを聞きます。社内に残すのは、提案の中身を確かめられる人です。依頼先に丸投げすると、次の見直しで誰も判断できなくなります。現場の社員全体への教育はセキュリティ教育サービスの比較、制御系の監視や防御の検討に進む段階ならOTセキュリティの製品比較で調べられます。
資格を取るなら、どれを見る？
役割で分けて考えます。受験料と条件は変わることがあるので、申し込む前に公式の案内で確かめます。
| 名前 |
種類 |
向く役割 |
| 情報セキュリティマネジメント試験 |
IPAの試験 |
工場で基本を説明する担当者 |
| 情報処理安全確保支援士 |
国家資格 |
全社のセキュリティを支援する人 |
| GICSP |
GIACの認定 |
制御システムを担当する人 |
| ISA/IEC 62443の修了認定 |
国際規格に沿った認定 |
規格に沿った設計や調達をする人 |
情報処理安全確保支援士は国家資格で、試験の合格者が登録の手続きを行うと資格の保持者になれます。組織の情報システムのセキュリティを、企画から運用まで支援し、指導や助言を行う人を想定しています。工場に特化したものではなく、ここを目指すのは全社の担当を兼ねる人に向きます。
GIACのGICSPは、ベンダーに依存しない実務者向けの資格です。公式の案内では、制御システムの構成要素、攻撃面、防御の構成、インシデント対応、ガバナンスを範囲としています。試験は監督付きで1回、82問、3時間、合格基準は71%以上と書かれています（確認時点）。工場の担当者が制御に特化した資格を選ぶなら、まず検討する候補の1つです。
ISAのISA/IEC 62443 Cybersecurity Certificate Programは、産業オートメーションと制御システムの規格であるISA/IEC 62443に基づくプログラムです。設備を発注する側、組み込む側、供給する側の話に使う規格なので、調達仕様や取引先の要求で62443の言葉が出てきた会社に向きます。
学んだことを、どう現場に残す？
個人の学びで終わらせないために、受講や受験のあとに成果物を1つ残す決まりにします。
- 機器と通信の一覧の更新
- 遠隔保守の手順の見直し
- 止まった時の連絡表の見直し
- 工場長向けの1枚の報告（直すところ、費用、止まる時間）
受講の前に「帰ってきたら何を直すか」を上司と話しておくと、社内の予算の説明にも使えます。担当者が異動しても残るものが増えるので、1人に頼る形から抜け出す助けにもなります。
情シスとの役割分担の決め方は情シスと工場の分担方法に書きました。学ぶ前に過去の事例を知りたい方は公式発表で確かめた工場の停止と原因から読むと、なぜ現場の把握が先なのかを具体的に確かめられます。ほかの記事は工場とIoTのセキュリティにまとめています。
