OTセキュリティとITセキュリティの違いは？情シスと工場の分担方法

OTセキュリティとITセキュリティの違いは、優先するものです。ITはデータの機密性と完全性を、OTは人の安全と工程の保護を先に考えます。OTは工場の設備やラインを動かす技術で、ITはメールや受発注など情報を扱う技術を指します。

今日やることは、情シスと工場の管理者が同じ部屋で30分⁠、次の3つ⁠を話すことです。

• 工場の中で、情シスが触ってよい機器はどこまでか
• 工場のパソコンの更新とウイルス対策は、誰が決めているか
• サイバー攻撃の疑いが出たら、ラインを止める判断は誰がするか

答えが割れた項目が、分担を決めるべき場所です。

OTとITで、優先するものはどう違う？

米NISTのOTセキュリティ指針 SP 800-82 Rev.3（2023年9月）⁠の表をもとに、現場の判断に関わる違いを比べます。なお、NISTの公開ページ⁠によると、改訂版のRev.4は初期の公開草案が出ており、意見募集の締め切りは2026年11月30日です。

表の中身は、NISTが「典型的な違い」としてまとめたものです。すべての工場に同じように当てはまるわけではありません。古いWindowsを動かす端末があるかどうかなど、自社の状況で見直してください。

なぜITの決まりをそのまま工場に使えない？

同じ言葉でも、工場では結果が変わるからです。たとえば次の3つは、社内の決まりとしては自然でも、現場では問題になることがあります。

更新プログラムをすぐ当てる

NISTの表は、OTのソフト変更は十分に試験し、段階的に入れるものとしています。専用のソフトやベンダーの作業が絡むので、情シスの配信の仕組みに乗せるだけでは済みません。

共通のセキュリティ製品を入れる

NISTは、OTの機器には追加の機能を動かすメモリや計算の余裕がない場合があり、市販のIT向け対策が正しく動かないことがあると書いています。EDRの製品比較⁠を見るときも、工場の端末の版が対応しているか、設備メーカーの保守の条件に触れないかを先に確かめます。端末に入れられない場合の選択肢は、通信を見張るNDRの製品比較や、工場向けのOTセキュリティの製品比較⁠で調べられます。

攻撃の疑いがあれば、すぐ切る

情シスの手順では、感染が疑われる端末をすぐネットワークから外すのが自然です。工場では、外したことで操作パネルや監視の表示が止まると、安全に関わる場合があります。切るなとは言いません。切る時に、どの工程にどう影響するかを先に調べておく必要があります。

たとえば、樹脂成形の工場で、成形機の条件を管理するパソコンに、情シスが社内と同じ自動更新を設定している場合を考えます。夜間の連続運転中に再起動がかかると、翌朝まで気づかない不具合につながるかもしれません。この場合は、工場の端末を自動更新の対象から外して終わりにせず、「いつ、誰が試して、いつ当てるか⁠」⁠を定期保全の日程に組み込みます。更新を止めるのではなく、工場の予定に合わせます。

ITの決まりが全部使えないわけでもありません。米CISAなどのOTの基本対策⁠が挙げる初期パスワードの変更、遠隔接続の多要素認証、使っていないアカウントの停止は、情シスが普段から扱っている考え方です。ここは情シスの経験をそのまま工場に持ち込めます。

情シスと工場は、どう責任を分ける？

人や部署ではなく、仕事の一覧で分けます。NISTの指針は、制御の技術者、運転の担当者、ITセキュリティの担当者でチームを作り、協力して対策の影響を理解するよう書いています。さらに、経営層とOTの技術者、IT部門、OTに詳しい外部の助言者が協力する形を、最も成果が出る方法として挙げています。

次の表は、NISTの考え方をもとにした私たちの整理です。中小企業で使いやすいよう、軸になる側を1つだけ決めています。

決めるときのコツを3つ挙げます。

• 「軸になる側」⁠は1つ⁠にする。両方に丸を付けた仕事は、結局誰も動きません
• 工場の中のネットワーク機器を情シスが触る時は、工場の許可を必ず取る決まりにする
• 休日と夜間に動く人を別に書く。止まるのは平日の日中とは限りません

経済産業省の工場向けガイドラインは、業務の整理と重要度の設定から始める手順を示しています。中小製造業向け解説書は、担当者向けの第3章の読者に、生産関係部門とIT関係部門の両方を想定しています。同じ資料を双方で読むと、話の出発点をそろえられます。

誰が最終の責任を持つ？

工場でも情シスでもなく、経営層の1人⁠を決めます。止めるか続けるかの判断は、売上、安全、取引先への影響が絡むからです。部門の担当者だけでは決めきれません。

普段の運用では、工場長か情シスの責任者のどちらかを、窓口の責任者として決めます。規模が小さければ、製造部長が工場と情シスの窓口を兼ねることもあります。

情シスがいない会社は、外部のIT会社を情シスの位置に置いて同じ表を使います。ただし、機器の一覧と止める判断は社内に残します。外部の会社は、夜間にラインの状況を見られないことが多いからです。依頼する前に、契約で守る範囲を書き出しておくと、後で「そこは範囲外です」というずれを防げます。

分担を、どう動かしていく？

3か月⁠で1周する形が始めやすいと私たちは考えます。

1. 1か月目：機器と通信の一覧を工場が作り、情シスが確かめる
2. 2か月目：事務系と工場の境目の案を作り、遠隔保守の決まりを書く
3. 3か月目：「攻撃の疑いが出た」という想定で、机の上で連絡の順番を試す

3か月目の訓練で、夜間の連絡先がつながらない、止める判断の人が決まっていないといった穴が見つかれば、この表を直します。一度作って終わりにせず、設備を入れ替えるたびに見直す予定を入れておきます。

現場の具体的な守り方はPLCを守る現場の手順⁠、担当者の育て方は工場の担当者が学ぶ順番と公的な研修⁠に書きました。実際に止まった例でITとOTのどちらが原因だったかは公式発表で確かめた工場の停止と原因⁠で比べています。ほかの記事は工場とIoTのセキュリティ⁠にまとめています。