製造業のDXを支える産業用ネットワークセキュリティ　工場を守るための知識と対策

産業用ネットワークセキュリティとは？

OT環境の特性とセキュリティの意義

生産継続を最優先するOTシステム

製造業の工場では、生産ラインの継続的な稼働が事業の生命線です。OT（Operational Technology：制御・運用技術）環境とは、これらの生産設備を直接制御・監視する産業制御システム（ICS）やSCADA、PLCなどを指します。これらのシステムが停止すれば、即座に生産活動が中断し、甚大な経済的損失や納期遅延に繋がる可能性があります。

OTセキュリティが守るもの

産業用ネットワークセキュリティは、このOT環境をサイバーアタックの脅威から守り抜くための活動全般を意味します。その目的は、生産設備の安定稼働を維持し、製品の品質を担保することにあります。さらに、制御システムの誤作動や暴走による物理的な事故を防ぎ、工場内で働く作業員の安全を確保することも極めて重要な役割です。

優先事項の異なるITとOT

一般的に、IT（情報技術）セキュリティの世界では、情報資産の「機密性 (Confidentiality)」「完全性 (Integrity)」「可用性 (Availability)」の3要素（CIA）のバランスが重視される、と言われます。

これに対し、工場の生産設備を制御・運用するOT（制御・運用技術）セキュリティでは、生産システムの「可用性（止めないこと）」を最優先とし、次に「完全性（システムやデータが正しいこと）」、そして「機密性（情報が漏れないこと）」という優先順位（AICや、安全性を加えたS&AICなどと表現されることもある）で語られることがあります。

しかし、これはあくまで理論上の整理であり、実際の製造現場の方々からは「どれも重要で、単純に優先順位はつけられない」という声も多く聞かれます。 生産を止めないことは大前提ですが、製品の品質を担保するデータの完全性や、企業の競争力の源泉となる製造ノウハウといった情報の機密性も、事業継続のためには等しく重要です。

ITとOTの比較

OTの制約を理解したセキュリティ構築の重要性

OT環境は、IT環境とは大きく異なる以下のような特有の事情や制約を抱えています。

このようなOT環境の制約を理解せず、ITの論理だけで理想的なセキュリティ対策を語っても、現場の担当者にとっては「雲の上の話」と捉えられがちです。 重要なのは、IT部門とOT部門がそれぞれの事情を尊重し合い、現場の実情に寄り添った上で、現実的に実行可能なセキュリティ対策のバランスポイントを共に見つけ出していくことです。

製造業・工場が直面するサイバーセキュリティの課題

近年深刻化するサイバーアタック事例とその影響

ランサムウェアによる生産停止

製造業を標的としたサイバーアタックの中でも、ランサムウェアによる被害は特に深刻です。攻撃者はシステムを暗号化して使用不能にし、復旧と引き換えに身代金を要求します。国内のある自動車部品メーカーでは、ランサムウェア攻撃によりシステムが停止し、結果として親会社の自動車メーカーの国内全工場が一時稼働停止に追い込まれる事態が発生しました。これは、一つの攻撃が広範囲な生産活動に影響を与えることを示しています。

機密情報窃取を狙う標的型攻撃

特定の企業や組織を狙い、機密情報や知的財産の窃取を目的とする標的型攻撃も後を絶ちません。攻撃者は巧妙な手口でシステムへ侵入し、長期間潜伏しながら情報を盗み出します。ノルウェーのアルミニウム製造大手では、マルウェア感染により一部生産やオフィス業務に支障が生じ、多大な経済的損失が発生した事例が報告されています 。これらの攻撃は、企業の競争力を著しく損なう課題です。

サプライチェーンの脆弱性も狙われている

中小企業を踏み台にする攻撃

サプライチェーンを構成する企業群の中で、セキュリティ対策が比較的脆弱な中小規模の下請け企業が、大手企業への攻撃の足がかりとして狙われるケースが増えています。攻撃者はまず防御の手薄な関連会社に侵入し、そこから信頼関係を悪用して本命のターゲット企業へと侵入範囲を拡大します。IPA（情報処理推進機構）が発表した「情報セキュリティ10大脅威」でも、「サプライチェーンの弱点を悪用した攻撃」は常に上位にランクインしており、その深刻さがうかがえます。

サプライチェーン全体への影響

一社のセキュリティインシデントが、部品供給の遅延や停止を引き起こし、サプライチェーン全体に影響を及ぼすリスクも顕在化しています。前述の自動車メーカーの稼働停止事例も、直接的には一次下請け企業へのサイバーアタックが原因でした。このように、自社だけでなく取引先を含めたサプライチェーン全体のセキュリティレベルの底上げが、製造業における重要な課題となっています。

スマートファクトリー化に伴う新たなリスク

攻撃対象領域の拡大

IoT機器の導入やネットワーク化が加速するスマートファクトリーは、生産性の飛躍的な向上をもたらす一方で、新たなセキュリティリスクを生んでいます。従来はクローズドな環境で運用されていた工場の制御システムが、データ収集や遠隔監視のために外部ネットワークと接続される機会が増えるためです。これにより、サイバーアタックの侵入口となる可能性のある箇所（アタックサーフェス）が格段に拡大します。

OTシステム特有の脆弱性

スマート化によって接続性が向上したOTシステムは、ITシステム経由でのマルウェア感染や不正アクセスのリスクに晒されやすくなります。OTシステムには、長期稼働を前提とした古いOSや、セキュリティパッチの適用が困難な専用機器が含まれることも少なくありません。これらの脆弱性が悪用されれば、生産ラインの停止や誤作動といった深刻な事態を招く可能性があります。工場のDX推進とセキュリティ対策の同時強化は、表裏一体の課題です。

産業用ネットワークセキュリティ対策における法規制と規格

国際的な動向と主要な規制・規格

工場の運用体制に関するEU規制「NIS2指令」

EUでは、社会経済活動に不可欠なサービスを提供する事業者のサイバーセキュリティ水準を向上させるため、「NIS2指令（改正ネットワーク・情報システムセキュリティ指令：Directive on measures for a high common level of cybersecurity across the Union）」が施行されています。

この指令は、従来の対象（エネルギー、運輸、金融など）に加え、特定の重要製品を製造する事業者や食品生産・加工・流通事業者など、製造業の特定分野も「重要事業体（Essential Entities）」または「重要度高事業体（Important Entities）」として新たに範囲に含んでいます。

これらの対象となる事業者は、自社の事業運営におけるサイバーセキュリティリスクを適切に管理するための体制構築（リスクアセスメント、セキュリティポリシー策定、インシデント対応計画など）、サプライチェーン全体のセキュリティ確保、そして重大なインシデントが発生した場合の監督当局への速やかな報告などが義務付けられます。

デジタル製品に関するEU規制「サイバーレジリエンス法（CRA）」

NIS2指令が工場や企業の「運用体制」のセキュリティを求めるのに対し、そこで使用される、あるいは製造される「デジタル要素を持つ製品」自体のセキュリティ強化を目的とするのが「サイバーレジリエンス法（CRA）」です。

CRAは、IoT機器や産業用制御システム、ソフトウェアなど、ネットワークに接続される可能性のある幅広い製品の製造業者に対し、製品の企画・設計段階からセキュリティを組み込む「セキュア・バイ・デザイン」の原則の遵守を求めています。具体的には、既知の脆弱性がない状態での出荷、脆弱性管理プロセスの確立、セキュリティアップデートの提供（市場投入後、原則最低5年間）などが義務付けられます。

また、製品に実際に悪用された脆弱性が発見された場合、製造業者は24時間以内にENISA（欧州ネットワーク・情報セキュリティ機関）および関係当局へ報告する義務を負い、違反した場合には全世界年間売上高に基づいて高額な制裁金が科される可能性があります。

サイバーセキュリティに関する国際標準規格群「IEC 62443」

IEC 62443は、産業オートメーションおよび制御システム（IACS：Industrial Automation and Control Systems）のサイバーセキュリティに関する国際標準規格群です。この規格は、ITとは異なるOT環境特有のリスクや要件を考慮して策定されており、資産所有者（工場運営者）、システムインテグレーター、製品サプライヤーなど、IACSに関わる全てのステークホルダーを対象としています。ポリシー策定からリスクアセスメント、システム設計、製品開発、保守運用に至るまで、包括的なセキュリティ対策の指針を提供します。

IEC 62443では、リスクベースのアプローチを基本とし、セキュリティレベル（SL）の概念を用いて対策の度合いを定義します。特に工場システムやネットワークのセキュリティ強化を目指す工場運営者やシステムインテグレータにとって中心となるのが、「IEC 62443-3-3」です。 このパートでは、システム全体のセキュリティ要件と、それを実現するための具体的な方策が示されており、「ゾーン&コンジット」モデルに基づいたネットワークの分割やアクセス制御などが重要な概念として挙げられます。これにより、攻撃の影響範囲を限定し、システムの可用性を守ることが目指されます。

半導体製造装置のセキュリティ基準「SEMI E187」

製造業の中でも、特に高度な技術と機密情報が集積し、サプライチェーンへの影響も大きい半導体産業では、業界特有のサイバーセキュリティ基準の整備が進んでいます。その代表的なものが、国際的な半導体製造装置・材料業界団体であるSEMIが発行した規格「SEMI E187 – Specification for Cybersecurity of Fab Equipment」です。

このSEMI E187は、半導体製造工場（ファブ）で使用される製造装置のサイバーセキュリティに関する具体的な要件を定めています。主な目的は、製造装置の脆弱性を低減し、マルウェア感染や不正アクセス、機密情報の窃取といったサイバー脅威から工場と製造プロセスを保護することにあります。

日本国内の規制と指針

経済産業省の「工場セキュリティガイドライン」

経済産業省は、国内の製造業が工場システムにおけるサイバーセキュリティ対策を推進するため、「工場セキュリティガイドライン」を公表しています。このガイドラインは、経営層から現場担当者までが取り組むべき事項を体系的に整理し、対策の企画・導入から運用・見直し（PDCAサイクル）に至るまでの具体的なステップを示しています。工場のDXを進める上で、セキュリティ対策の羅針盤となる文書です。

インシデント発生時の法的報告義務

工場・製造現場のセキュリティレベル向上のステップ

工場セキュリティガイドラインに沿った対策の進め方

IEC 62443準拠のためのネットワーク設計とゾーン分け

ゾーン＆コンジットモデルの適用

IEC 62443が推奨する「ゾーン＆コンジット」モデルは、工場ネットワークのセキュリティを強化する上で非常に効果的なアプローチです。まず、同様のセキュリティ要件を持つ機器やシステム群を「ゾーン」としてグループ化します。例えば、生産ラインの制御を行うPLC群を一つのゾーン、監視システム群を別のゾーンといった具合です。そして、異なるゾーン間の通信は、厳密に定義された「コンジット（通信経路）」を通じてのみ許可し、ファイアウォールなどで監視・制御します。

セグメンテーションによるリスク低減

このゾーン分け（セグメンテーション）により、万が一、あるゾーンがサイバーアタックによって侵害されたとしても、被害をそのゾーン内に封じ込め、他の重要なゾーンへの波及を防ぐことができます。これは、特に可用性が重視される製造業のOT環境において、生産ライン全体の停止といった最悪の事態を回避するために極めて重要です。適切なセグメンテーションは、IEC 62443準拠の第一歩であり、堅牢なセキュリティ基盤の構築に繋がります。

サプライチェーン全体でのセキュリティ意識と体制強化

取引先へのセキュリティ要求と監査

自社のセキュリティ対策を強化するだけでは、サプライチェーン攻撃のリスクを完全に排除することはできません。部品供給やシステム開発などを委託している下請け企業や取引先に対しても、適切なセキュリティ対策を求める必要があります。具体的には、契約時にセキュリティ要件を明記する、定期的なセキュリティ監査を実施する、インシデント発生時の責任範囲や連携体制を明確にしておく、といった取り組みが考えられます。

共同での意識向上と体制構築

さらに進んで、サプライチェーン全体でのセキュリティ意識の向上や体制強化に向けた協力的なアプローチも重要です。例えば、セキュリティに関する勉強会や訓練を共同で実施したり、脅威情報を共有したりすることが有効です。特にセキュリティ人材や予算が限られる中小の下請け企業に対しては、大手企業がノウハウ提供や対策支援を行うことも、サプライチェーン全体のレジリエンス向上に貢献します。相互扶助の精神で、エコシステム全体の安全性を高める視点が求められます。

Moxa 産業用ネットワークソリューションのご紹介

Moxaは産業用ネットワークおよび通信ソリューション分野で35年以上の実績を持ち、その製品群は製造業の厳しい要求に応えるべく開発されています。株式会社ドーワテクノスは、Moxaの正販売窓口として、お客様の工場のDX推進と安定稼働を、最適なソリューションで支援します。

過酷な工場環境でも揺るがないMoxa製品の信頼性

Moxa製品は、極端な温度変化、強い振動や衝撃、電磁ノイズといった工場特有の過酷な環境下でも長期間安定して稼働するよう、堅牢に設計されています。北極圏から赤道直下、さらには宇宙ステーションでの運用実績もあり、その高い信頼性はミッションクリティカルな産業用ネットワークの継続的な運用を強力にサポートします。

OT担当者に優しい操作性とIEC 62443準拠のセキュア設計

Moxaは、製品開発プロセスにおいて「セキュア・バイ・デザイン」の原則を徹底し、国際規格IEC 62443-4-1認証を取得しています。機器の物理的な堅牢性に加え、サイバーセキュリティへの耐性も設計段階から組み込まれています。さらに、IT専門家ではない現場のOT担当者でも直感的に操作・管理できるよう、シンプルなWeb GUIや設定ツールが提供されており、運用負荷の軽減と高度なセキュリティ確保の両立に貢献します。

段階的なセキュリティ強化を実現

Moxaは、お客様の現状や目指すセキュリティレベルに応じて、段階的にソリューションを構築・強化できるステップアップ形式での導入を提案しています。これにより、投資対効果を見極めながら無理なく最適なネットワーク環境を実現できます。

アンマネージドスイッチによる基礎接続から、スマートスイッチ、マネージドスイッチ（IEC 62443-4-2認証にも対応可能）、セキュアルーター（ファイアウォール）、そしてネットワーク管理ソフトウェアMXview Oneとその追加ライセンスを用いた統合的な脅威防御まで、幅広い製品群で対応します。

Moxaの産業用ネットワーク構築のステップや製品の詳細はこちら

ドーワテクノスによる導入サポート

株式会社ドーワテクノスは、1948年の創業以来、長年にわたり産業用プラントの電機・計装設備やFAシステムの構築に携わってきた専門技術商社です。Moxaの販売窓口として、単に製品を販売するだけでなく、電気工事や機械器具設置工事のノウハウも活かし、お客様の工場のネットワーク構築から設備連携、そしてセキュリティ対策の導入・運用までをワンストップで支援します。

Moxaのソリューションを通じて、お客様の生産性向上と競争力強化に貢献します。産業用ネットワークセキュリティに関するご相談は、お気軽にドーワテクノスまでお問い合わせください。