工場のセキュリティガイドラインとは、経済産業省が工場システムの対策の考え方と進め方を示した手引きです。正式名称は「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」で、経産省のページから入手できます。
今日やることは、本編Ver 1.1の付録Eを開き、35項目を表計算に写すことです。項目ごとに「自社では何のことか」を書く列と、担当者の列を足します。全文を読んでから動く必要はありません。
どの資料から読めばいい？
資料は目的が分かれています。本編は100ページを超えるので、担当者が兼任の工場で最初から読むのは大変です。経産省は2025年4月に、中小規模の製造事業者向けの解説書を公表しており、入口はこちらです。
読む順番は次のとおりです。
- 社長と工場長は、Appendixの第2章を読む
- 担当者は、Appendixの第3章を読み、自社の工場に当てはめる
- 本編の付録Eで現状を点検する
- 点検で弱かった項目だけ、付録Eの「参照」欄から本編の該当箇所を読む
本編には「知りたいことと記載箇所」の対応表も載っています。辞書として引く使い方を、資料の側が想定しています。本編は、業界や個社が自らの環境に合わせて考えるための「手引き」だと位置づけられています。そのまま守れば終わる基準ではありません。
付録Eのチェックリストはどんな中身？
付録Eは5分類で、番号を数えると35項目あります。
| 分類 |
項目数 |
例 |
| 準備 |
3 |
業務・保護対象の整理、対策方針の策定 |
| 組織的対策 |
5 |
経営層の認識、部門間の連携、担当者、BCP |
| 運用的対策 |
13 |
機器台帳、USBのルール、バックアップと復旧テスト |
| 技術的対策 |
8 |
ウイルス対策、パッチ、ネットワーク分割、リモート保守の保護 |
| サプライチェーン管理 |
6 |
ベンダーとの連絡体制、受入検査、調達仕様 |
使いやすい理由が2つあります。まず、確認項目は例示で、追加・削除や修正をしてよいと本編に書かれています。 自社に無線LANがなければ、無線LANの項目は外して構いません。
もう1つは達成度の物差しです。本編は「未実施」「一部実施」「実施済み」と、手順の文書化と見直しの度合いを加えた5段階を示しています。この基準も簡素化してよいとされています。最初は3段階で十分です。
確認項目を自社の点検項目にどう置き換える？
付録Eの文章のままでは、現場の人は答えにくいでしょう。主語を設備名にし、見れば答えが出る問いに直します。たとえば、工作機械とPLCで部品を加工する工場の場合です。Appendixの第3章が想定する中小の加工組立工場に近い例で、次のように書き換えられます。
| 番号 |
本編の確認項目（要約） |
自社の点検項目の例 |
| 2-6 |
接続機器の台帳と構成図を作る |
第1工場のPLC、工作機械、ルータは台帳に全部あるか。最終更新はいつか |
| 2-9 |
USBメモリなどの利用・持込みのルールを定める |
工作機械へのデータ移しに使うUSBメモリは何本か。誰が保管しているか |
| 2-13 |
完全な復旧を想定して保管し、復旧テストをする |
加工プログラムのバックアップから、最後に戻してみたのはいつか |
| 3-6 |
リモート保守の認証や接続時間などを制限する |
保守会社がつなぐ経路は何本か。保守の日以外は切れているか |
| 4-1 |
ベンダーとの連絡体制を作る |
夜間に止まったとき、機械メーカーの誰に電話するか |
置き換えるときの決まりは3つです。
- 「適切に」「十分に」を消し、数と日付で答えられる形にする
- 答える人を1人決める。工場長、保全担当、情シス兼任者のどれか
- 「分からない」も選べるようにする。分からないこと自体が次の仕事になる
工場の中の点検は、表計算で始められます。取引先から届くチェックシートへの回答や委託先の確認まで管理したくなったら、チェックシート回答・委託先管理ツールの比較があります。
どの項目から手を付ければいい？
全部を同時に進める必要はありません。Appendixは、製品の供給を止めないために必須の設備に絞る考え方を示しています。
Appendixの第3章の手順は次の順番です。
- 製造に関わる業務を洗い出し、大・中・小の重要度を付ける
- 設備、機器、データを洗い出し、各業務に結び付けて重要度を決める
- ネットワーク構成図を作り、業務をまとめてゾーンに整理する
重要度の基準は、止まったときの影響で決めます。Appendixの例では、できなくなるとその日のうちに生産に支障が出る業務が「大」です。手作業や紙で代わりがきく業務は下がります。想定工場の例では、代替手段のないPLCと工作機械が「大」、紙の予備がある生産計画が「小」になっています。
この結果を点検表に足すと、優先順位が付きます。重要度「大」の設備に関わる項目で、達成度が低いものからです。
本編のステップは、ステップ1で要件や業務、保護対象を整理し、ステップ2で対策を立案し、ステップ3で実行と見直しを続ける3段階です。Appendixの手順は、このステップ1の一部を中小向けにかみ砕いたものと考えると、本編へ移りやすくなります。
稼働中の工場は工事の時期に注意
本編は、稼働中の工場では影響のない対策を優先し、影響のある対策は定期的な停止期間での導入を検討するとしています。点検で弱点が見つかっても、すぐに設定を変えず、機器とその通信を確かめてから進めます。Appendixは、洗い出し不足のまま通信を制御して工場が止まるおそれにも触れています。
点検のあと、資料をどう使い続ける？
点検表ができると、本編の他の部分も使い道がはっきりします。
ベンダーと話すときは、本編の表が役立ちます。ステップ2には対策項目を「最低限」「中」「高」の強度で並べた例があります。たとえば、USBなどの不要な端子は、端子キャップから、ソフトでの閉塞、ハードでの閉塞へと強度が上がります。装置や機器の重要度に合わせて、どこまで求めるかを話し合えます。
設備を新しく買うときは、付録Fの調達仕様書テンプレートを使います。サプライヤの管理体制、製品の対策、保守や廃棄までのライフサイクルの3つで要件を示す例が載っています。導入後に後付けするより、発注前に書くほうが交渉しやすい部分です。
相談先を探すときは、点検表をそのまま渡します。「セキュリティを見てほしい」より、「この10項目が未実施で、重要度大の設備が関わる」と伝えるほうが、見積もりの範囲が決まります。候補はセキュリティコンサルティングの比較で探せます。工場向けの監視や分離の製品を検討する段階なら、OTセキュリティ製品の比較が入口です。
取引先への説明にも使えます。Appendixは、取引先にセキュリティを求める際の参考にも使えるとしています。今後はSCS評価制度の動きも関係します。IPAのFAQでは、★3・★4の登録申請は2027年3月に受付開始の予定です。この制度の要求事項は工場の点検表とは別物なので、取引先から求められたら別に確認します。
制御システムの分析を深めたいときは？
点検表で弱い所は分かりますが、脅威ごとの分析までは踏み込めません。そこまで進めたいときは、IPAの制御システムのセキュリティリスク分析ガイド 第2版があります。事業者がリスク分析を実施できるようにするための資料で、2026年4月版が公開されています。
ただ、最初に読む資料ではありません。自社の設備一覧と構成図がないと、分析の材料がそろわないためです。点検表で機器台帳と構成図ができてから、必要な範囲で進めれば足ります。
規格を求められた場合は、本編の中で触れられているIEC 62443規格群が手がかりになります。付録Bと付録Dに、工場を取り巻く要件と関連資料がまとまっています。
誰が点検表を持つか決める
点検表は、情シス兼任の担当者だけでは埋まりません。付録Eの項目1-2は、情報システム部門と生産関係部門の協力体制を問うています。PLCの設定は保全担当、VPNの設定は情シスや回線業者、保守契約は設備担当が持っている工場も多いでしょう。
最初の点検では、1枚の表を持って1時間ほど工場を歩くことから始められます。答えが埋まらない項目が多くても構いません。次に誰へ何を聞くかが決まれば、点検表はもう役に立っています。
点検の結果をもとに実際に動く手順は、工場のサイバーセキュリティを現場を止めずに始める5つの手順にまとめました。機器を作って売る立場の方は、JC-STARと製造業の対応も確認してください。工場を守る考え方の全体は、工場・OTのセキュリティから読めます。
