製造業を支える産業用ネットワークセキュリティ　工場を守るための知識と対策

産業用ネットワークセキュリティとは？

OT環境の特性とセキュリティの意義

生産継続を最優先するOTシステム

製造業の工場では、生産ラインの継続的な稼働が事業の生命線です。OT（Operational Technology：制御・運用技術）環境とは、これらの生産設備を直接制御・監視する産業制御システム（ICS）やSCADA、PLCなどを指します。これらのシステムが停止すれば、即座に生産活動が中断し、甚大な経済的損失や納期遅延に繋がる可能性があります。

OTセキュリティが守るもの

産業用ネットワークセキュリティは、このOT環境をサイバーアタックの脅威から守り抜くための活動全般を意味します。その目的は、生産設備の安定稼働を維持し、製品の品質を担保することにあります。さらに、制御システムの誤作動や暴走による物理的な事故を防ぎ、工場内で働く作業員の安全を確保することも極めて重要な役割です。

優先事項の異なるITとOT

一般的に、IT（情報技術）セキュリティの世界では、情報資産の「機密性 (Confidentiality)」「完全性 (Integrity)」「可用性 (Availability)」の3要素（CIA）のバランスが重視される、と言われます。

これに対し、工場の生産設備を制御・運用するOT（制御・運用技術）セキュリティでは、生産システムの「可用性（止めないこと）」を最優先とし、次に「完全性（システムやデータが正しいこと）」、そして「機密性（情報が漏れないこと）」という優先順位（AICや、安全性を加えたS&AICなどと表現されることもある）で語られることがあります。

しかし、これはあくまで理論上の整理であり、実際の製造現場の方々からは「どれも重要で、単純に優先順位はつけられない」という声も多く聞かれます。 生産を止めないことは大前提ですが、製品の品質を担保するデータの完全性や、企業の競争力の源泉となる製造ノウハウといった情報の機密性も、事業継続のためには等しく重要です。

ITとOTの比較

	ITセキュリティ	OTセキュリティ
主要目的	情報資産の保護（機密性、完全性、可用性）	システムの安定稼働、物理的安全の確保（可用性、完全性、機密性）
システムライフサイクル	比較的短い（例：3～5年）	長い（例：10～20年以上）
パッチ適用	比較的頻繁かつ容易	計画的かつ慎重（生産影響を回避）、困難な場合も多い

OTの制約を理解したセキュリティ構築の重要性

OT環境は、IT環境とは大きく異なる以下のような特有の事情や制約を抱えています。

超長期のシステムライフサイクル	工場の設備は10年、20年と稼働し続けることが珍しくありません。その結果、サポートの終了した古いOSやソフトウェアが、生産ラインの心臓部で今も現役で使われているケースがあります。
パッチ適用の極端な難しさ	生産計画への影響を避けるため、ITシステムのように迅速かつ定期的なセキュリティパッチの適用が非常に困難です。パッチ一つを適用するにも、事前の検証や生産調整に多大な時間とコストを要することがあります。
可用性（止めないこと）への絶対的な要求	システムが一時的に停止するだけでも、大きな生産損失や納期の遅れにつながる恐れがあります。そのため、セキュリティ対策のためであっても、生産をわずかに止めることすら困難な場合が多いです。
多様な規格とベンダーの混在	工場内には様々な年代やメーカーの機器、独自の通信プロトコルが混在しており、ITのように標準化されたセキュリティ対策を一律に適用することが難しい場合があります。
物理世界との直結と安全確保	制御システムの誤作動や停止は、製品の不良だけでなく、設備の破損や作業員の安全を脅かす物理的な事故に繋がる危険性があります。

このようなOT環境の制約を理解せず、ITの論理だけで理想的なセキュリティ対策を語っても、現場の担当者にとっては「雲の上の話」と捉えられがちです。 重要なのは、IT部門とOT部門がそれぞれの事情を尊重し合い、現場の実情に寄り添った上で、現実的に実行可能なセキュリティ対策のバランスポイントを共に見つけ出していくことです。

製造業・工場が直面するサイバーセキュリティの課題

近年深刻化するサイバーアタック事例とその影響

ランサムウェアによる生産停止

製造業を標的としたサイバーアタックの中でも、ランサムウェアによる被害は特に深刻です。攻撃者はシステムを暗号化して使用不能にし、復旧と引き換えに身代金を要求します。国内のある自動車部品メーカーでは、ランサムウェア攻撃によりシステムが停止し、結果として親会社の自動車メーカーの国内全工場が一時稼働停止に追い込まれる事態が発生しました。これは、一つの攻撃が広範囲な生産活動に影響を与えることを示しています。

機密情報窃取を狙う標的型攻撃

特定の企業や組織を狙い、機密情報や知的財産の窃取を目的とする標的型攻撃も後を絶ちません。攻撃者は巧妙な手口でシステムへ侵入し、長期間潜伏しながら情報を盗み出します。ノルウェーのアルミニウム製造大手では、マルウェア感染により一部生産やオフィス業務に支障が生じ、多大な経済的損失が発生した事例が報告されています 。これらの攻撃は、企業の競争力を著しく損なう課題です。

サプライチェーンの脆弱性も狙われている

中小企業を踏み台にする攻撃

サプライチェーンを構成する企業群の中で、セキュリティ対策が比較的脆弱な中小規模の下請け企業が、大手企業への攻撃の足がかりとして狙われるケースが増えています。攻撃者はまず防御の手薄な関連会社に侵入し、そこから信頼関係を悪用して本命のターゲット企業へと侵入範囲を拡大します。IPA（情報処理推進機構）が発表した「情報セキュリティ10大脅威」でも、「サプライチェーンの弱点を悪用した攻撃」は常に上位にランクインしており、その深刻さがうかがえます。

サプライチェーン全体への影響

一社のセキュリティインシデントが、部品供給の遅延や停止を引き起こし、サプライチェーン全体に影響を及ぼすリスクも顕在化しています。前述の自動車メーカーの稼働停止事例も、直接的には一次下請け企業へのサイバーアタックが原因でした。このように、自社だけでなく取引先を含めたサプライチェーン全体のセキュリティレベルの底上げが、製造業における重要な課題となっています。

スマートファクトリー化に伴う新たなリスク

攻撃対象領域の拡大

IoT機器の導入やネットワーク化が加速するスマートファクトリーは、生産性の飛躍的な向上をもたらす一方で、新たなセキュリティリスクを生んでいます。従来はクローズドな環境で運用されていた工場の制御システムが、データ収集や遠隔監視のために外部ネットワークと接続される機会が増えるためです。これにより、サイバーアタックの侵入口となる可能性のある箇所（アタックサーフェス）が格段に拡大します。

OTシステム特有の脆弱性

スマート化によって接続性が向上したOTシステムは、ITシステム経由でのマルウェア感染や不正アクセスのリスクに晒されやすくなります。OTシステムには、長期稼働を前提とした古いOSや、セキュリティパッチの適用が困難な専用機器が含まれることも少なくありません。これらの脆弱性が悪用されれば、生産ラインの停止や誤作動といった深刻な事態を招く可能性があります。工場のDX推進とセキュリティ対策の同時強化は、表裏一体の課題です。

産業用ネットワークセキュリティ対策における法規制と規格

国際的な動向と主要な規制・規格

工場の運用体制に関するEU規制「NIS2指令」

EUでは、社会経済活動に不可欠なサービスを提供する事業者のサイバーセキュリティ水準を向上させるため、「NIS2指令（改正ネットワーク・情報システムセキュリティ指令：Directive on measures for a high common level of cybersecurity across the Union）」が施行されています。

この指令は、従来の対象（エネルギー、運輸、金融など）に加え、特定の重要製品を製造する事業者や食品生産・加工・流通事業者など、製造業の特定分野も「重要事業体（Essential Entities）」または「重要度高事業体（Important Entities）」として新たに範囲に含んでいます。

これらの対象となる事業者は、自社の事業運営におけるサイバーセキュリティリスクを適切に管理するための体制構築（リスクアセスメント、セキュリティポリシー策定、インシデント対応計画など）、サプライチェーン全体のセキュリティ確保、そして重大なインシデントが発生した場合の監督当局への速やかな報告などが義務付けられます。

デジタル製品に関するEU規制「サイバーレジリエンス法（CRA）」

NIS2指令が工場や企業の「運用体制」のセキュリティを求めるのに対し、そこで使用される、あるいは製造される「デジタル要素を持つ製品」自体のセキュリティ強化を目的とするのが「サイバーレジリエンス法（CRA）」です。

CRAは、IoT機器や産業用制御システム、ソフトウェアなど、ネットワークに接続される可能性のある幅広い製品の製造業者に対し、製品の企画・設計段階からセキュリティを組み込む「セキュア・バイ・デザイン」の原則の遵守を求めています。具体的には、既知の脆弱性がない状態での出荷、脆弱性管理プロセスの確立、セキュリティアップデートの提供（市場投入後、原則最低5年間）などが義務付けられます。

セキュア・バイ・デザイン
セキュア・バイ・デザインは、製品やシステムを設計段階から安全性を考慮して開発する考え方で、出荷前から脆弱性を最小限に抑えることを目的としています。

また、製品に実際に悪用された脆弱性が発見された場合、製造業者は24時間以内にENISA（欧州ネットワーク・情報セキュリティ機関）および関係当局へ報告する義務を負い、違反した場合には全世界年間売上高に基づいて高額な制裁金が科される可能性があります。

サイバーセキュリティに関する国際標準規格群「IEC 62443」

IEC 62443は、産業オートメーションおよび制御システム（IACS：Industrial Automation and Control Systems）のサイバーセキュリティに関する国際標準規格群です。この規格は、ITとは異なるOT環境特有のリスクや要件を考慮して策定されており、資産所有者（工場運営者）、システムインテグレーター、製品サプライヤーなど、IACSに関わる全てのステークホルダーを対象としています。ポリシー策定からリスクアセスメント、システム設計、製品開発、保守運用に至るまで、包括的なセキュリティ対策の指針を提供します。

IEC 62443では、リスクベースのアプローチを基本とし、セキュリティレベル（SL）の概念を用いて対策の度合いを定義します。特に工場システムやネットワークのセキュリティ強化を目指す工場運営者やシステムインテグレータにとって中心となるのが、「IEC 62443-3-3」です。 このパートでは、システム全体のセキュリティ要件と、それを実現するための具体的な方策が示されており、「ゾーン&コンジット」モデルに基づいたネットワークの分割やアクセス制御などが重要な概念として挙げられます。これにより、攻撃の影響範囲を限定し、システムの可用性を守ることが目指されます。

ゾーン＆コンジット
IEC 62443-3-3における「ゾーン」と「コンジット」は、産業用制御システムのセキュリティを強化するための基本概念です。ゾーンとコンジットの概念を取り入れることで、システム全体の安全性を確保し、サイバー攻撃のリスクを最小限に抑えることができます。 ゾーン：同じセキュリティ要件を持つ機器やシステムをまとめたグループで、システムを小さな単位に分割し、それぞれに適切なセキュリティ対策を講じます。 コンジット：異なるゾーン間での通信を管理・保護する経路や仕組みで、ゾーン間のデータのやり取りが安全に行われるようにします。

半導体製造装置のセキュリティ基準「SEMI E187」

製造業の中でも、特に高度な技術と機密情報が集積し、サプライチェーンへの影響も大きい半導体産業では、業界特有のサイバーセキュリティ基準の整備が進んでいます。その代表的なものが、国際的な半導体製造装置・材料業界団体であるSEMIが発行した規格「SEMI E187 – Specification for Cybersecurity of Fab Equipment」です。

このSEMI E187は、半導体製造工場（ファブ）で使用される製造装置のサイバーセキュリティに関する具体的な要件を定めています。主な目的は、製造装置の脆弱性を低減し、マルウェア感染や不正アクセス、機密情報の窃取といったサイバー脅威から工場と製造プロセスを保護することにあります。

日本国内の規制と指針

経済産業省の「工場セキュリティガイドライン」

経済産業省は、国内の製造業が工場システムにおけるサイバーセキュリティ対策を推進するため、「工場セキュリティガイドライン」を公表しています。このガイドラインは、経営層から現場担当者までが取り組むべき事項を体系的に整理し、対策の企画・導入から運用・見直し（PDCAサイクル）に至るまでの具体的なステップを示しています。工場のDXを進める上で、セキュリティ対策の羅針盤となる文書です。

インシデント発生時の法的報告義務

個人情報保護法に基づく報告	サイバーアタックの結果、個人データの漏えい、滅失、または毀損が発生し、個人の権利利益を害するおそれが大きい場合、企業は個人情報保護委員会への報告および本人への通知が義務付けられています。これには、要配慮個人情報の漏えいや、不正アクセスによる漏えい、1,000人を超える漏えいなどが該当します。迅速な状況把握と対応、そして定められた期間内（速報は3～5日以内、確報は30日または60日以内）の報告義務を果たす必要があります。
重要インフラ事業者等の報告義務	電力、ガス、水道、鉄道といった重要インフラ分野の事業者や、サイバーセキュリティ基本法改正法で特定された基幹インフラ事業者に対しては、サイバー攻撃による重大なインシデントが発生した場合、所管大臣および内閣サイバーセキュリティセンター（NISC）への報告義務が課されることがあります。これらの報告は、被害拡大の防止や国家レベルでの対応策検討に繋がるため、極めて重要です。

工場・製造現場のセキュリティレベル向上のステップ

工場セキュリティガイドラインに沿った対策の進め方

ステップ1 現状把握と要件整理	「工場セキュリティガイドライン」に基づく対策の第一歩は、自社の現状を正確に把握することです。これには、経営目標や事業継続計画（BCP）といった内部要件の確認、関連法規や業界標準などの外部要件の整理が含まれます。 さらに、工場内の重要な業務プロセスを洗い出し、保護すべき情報資産や制御システム（ネットワーク構成、機器、データなど）を特定します。この段階で、リスク評価の準備も行います。
ステップ2・3 対策立案、実行とPDCA	次に、整理した情報とリスク評価に基づいて、具体的なセキュリティ対策を立案します。対策は、ネットワーク分離、アクセス制御、不正侵入検知、物理セキュリティ強化など、システム構成面と物理面の両方から検討します。立案した対策を実行に移した後は、それで終わりではありません。 脅威や技術は常に変化するため、定期的な監査や見直しを行い、計画（Plan）、実行（Do）、評価（Check）、改善（Act）のPDCAサイクルを回し続けることが、セキュリティレベルの維持・向上には不可欠です。

IEC 62443準拠のためのネットワーク設計とゾーン分け

ゾーン＆コンジットモデルの適用

IEC 62443が推奨する「ゾーン＆コンジット」モデルは、工場ネットワークのセキュリティを強化する上で非常に効果的なアプローチです。まず、同様のセキュリティ要件を持つ機器やシステム群を「ゾーン」としてグループ化します。例えば、生産ラインの制御を行うPLC群を一つのゾーン、監視システム群を別のゾーンといった具合です。そして、異なるゾーン間の通信は、厳密に定義された「コンジット（通信経路）」を通じてのみ許可し、ファイアウォールなどで監視・制御します。

セグメンテーションによるリスク低減

このゾーン分け（セグメンテーション）により、万が一、あるゾーンがサイバーアタックによって侵害されたとしても、被害をそのゾーン内に封じ込め、他の重要なゾーンへの波及を防ぐことができます。これは、特に可用性が重視される製造業のOT環境において、生産ライン全体の停止といった最悪の事態を回避するために極めて重要です。適切なセグメンテーションは、IEC 62443準拠の第一歩であり、堅牢なセキュリティ基盤の構築に繋がります。

サプライチェーン全体でのセキュリティ意識と体制強化

取引先へのセキュリティ要求と監査

自社のセキュリティ対策を強化するだけでは、サプライチェーン攻撃のリスクを完全に排除することはできません。部品供給やシステム開発などを委託している下請け企業や取引先に対しても、適切なセキュリティ対策を求める必要があります。具体的には、契約時にセキュリティ要件を明記する、定期的なセキュリティ監査を実施する、インシデント発生時の責任範囲や連携体制を明確にしておく、といった取り組みが考えられます。

共同での意識向上と体制構築

さらに進んで、サプライチェーン全体でのセキュリティ意識の向上や体制強化に向けた協力的なアプローチも重要です。例えば、セキュリティに関する勉強会や訓練を共同で実施したり、脅威情報を共有したりすることが有効です。特にセキュリティ人材や予算が限られる中小の下請け企業に対しては、大手企業がノウハウ提供や対策支援を行うことも、サプライチェーン全体のレジリエンス向上に貢献します。相互扶助の精神で、エコシステム全体の安全性を高める視点が求められます。

Moxa 産業用ネットワークソリューションのご紹介

Moxaは産業用ネットワークおよび通信ソリューション分野で35年以上の実績を持ち、その製品群は製造業の厳しい要求に応えるべく開発されています。株式会社ドーワテクノスは、Moxaの正販売窓口として、お客様の工場のDX推進と安定稼働を、最適なソリューションで支援します。

過酷な工場環境でも揺るがないMoxa製品の信頼性

Moxa製品は、極端な温度変化、強い振動や衝撃、電磁ノイズといった工場特有の過酷な環境下でも長期間安定して稼働するよう、堅牢に設計されています。北極圏から赤道直下、さらには宇宙ステーションでの運用実績もあり、その高い信頼性はミッションクリティカルな産業用ネットワークの継続的な運用を強力にサポートします。

OT担当者に優しい操作性とIEC 62443準拠のセキュア設計

Moxaは、製品開発プロセスにおいて「セキュア・バイ・デザイン」の原則を徹底し、国際規格IEC 62443-4-1認証を取得しています。機器の物理的な堅牢性に加え、サイバーセキュリティへの耐性も設計段階から組み込まれています。さらに、IT専門家ではない現場のOT担当者でも直感的に操作・管理できるよう、シンプルなWeb GUIや設定ツールが提供されており、運用負荷の軽減と高度なセキュリティ確保の両立に貢献します。

段階的なセキュリティ強化を実現

Moxaは、お客様の現状や目指すセキュリティレベルに応じて、段階的にソリューションを構築・強化できるステップアップ形式での導入を提案しています。これにより、投資対効果を見極めながら無理なく最適なネットワーク環境を実現できます。

アンマネージドスイッチによる基礎接続から、スマートスイッチ、マネージドスイッチ（IEC 62443-4-2認証にも対応可能）、セキュアルーター（ファイアウォール）、そしてネットワーク管理ソフトウェアMXview Oneとその追加ライセンスを用いた統合的な脅威防御まで、幅広い製品群で対応します。

Lv.-（保護なし） 基礎接続	信頼性の高い基本接続の確保 ■主なMoxa製品群 アンマネージドスイッチ
Lv.0 ネットワーク可視化と 簡易管理	ネットワークの「見える化」、基本的な管理機能の導入 ■主なMoxa製品群 スマートスイッチ / MXview One
Lv.1 高度なネットワーク管理と 冗長性	高度な制御、高信頼性、障害時の高速復旧 ■主なMoxa製品群 マネージドスイッチ / MXview One
Lv.2 ゾーン防御と セキュア接続	IEC 62443準拠のネットワーク分割による被害限定、規制対応 ■主なMoxa製品群 マネージドスイッチ / MXview One
Lv.3 統合セキュリティと 脅威防御	高度な脅威検知、統合的なセキュリティ管理体制の構築 ■主なMoxa製品群 マネージドスイッチ (IEC62443-4-2の認証取得) / セキュアルーター (ファイアウォール) / MXview One

Moxaの産業用ネットワーク構築のステップや製品の詳細はこちら

ドーワテクノスによる導入サポート

株式会社ドーワテクノスは、1948年の創業以来、長年にわたり産業用プラントの電機・計装設備やFAシステムの構築に携わってきた専門技術商社です。Moxaの販売窓口として、単に製品を販売するだけでなく、電気工事や機械器具設置工事のノウハウも活かし、お客様の工場のネットワーク構築から設備連携、そしてセキュリティ対策の導入・運用までをワンストップで支援します。

Moxaのソリューションを通じて、お客様の生産性向上と競争力強化に貢献します。産業用ネットワークセキュリティに関するご相談は、お気軽にドーワテクノスまでお問い合わせください。

所在地	〒806-0004福岡県北九州市八幡西区黒崎城石3-5
設立年月	1948年10月
URL	https://www.dhowa-technos.co.jp/