背景と課題
サイバーセキュリティ要件を盛り込んだ改正高圧ガス保安法に基づく認定取得が課題に
JNC石油化学は「優れた技術で社会の進歩に貢献する先端化学企業」というビジョンを掲げるJNCグループの一員として、ポリエチレン樹脂やポリプロピレン樹脂をはじめ、暮らしや社会を支える有機化学工業製品を製造している。
日本の多くの製造業と同様、同社にとっても人材確保は重要な課題の一つだ。そこで、IoTや生成AIをはじめとするITツールを活用し、経験の浅いオペレーターでも化学工場を安全に、安定して稼働できるよう製造現場のスマート化に取り組んでいる。
これに伴い、かつては完全に分離されていたIT環境と現場のOT環境も接続せざるを得なくなってきた。JNC石油化学株式会社 市原製造所 管理部長の矢沢 克人氏が「IT化とのトレードオフで、完全に独立していたことによる安全性の担保が難しくなってきました。そこで、セキュリティに対する考え方も、ITの世界に近づけて取り組まなければいけないと考えています」と述べるとおり、工場のサイバーセキュリティ対応を推進してきた。
加えて、2023年の高圧ガス保安法改正に伴い、高度な保安管理能力を持つ高圧ガス取り扱い事業者に認定を与え、国の保安検査を受ける代わりに自社で安全管理を行えるようになる「認定高度保安実施者事業制度」が創設された。
新制度では、新たに「経営トップのコミットメント」「高度なリスク管理体制」「テクノロジーの活用」、そして「サイバーセキュリティなど関連リスクへの対応」という4つの認定基準が加わっている。認定取得を目指す同社にとって、各種ガイドラインに沿ったセキュリティ対策は必須のものとなっていた。
JNC石油化学株式会社 市原製造所 管理部長 矢沢 克人氏（以下矢沢氏）：「認定を失うことは、自社の安全性に対する対外的な信頼を大きく損なう結果につながります。さらに、複数年にわたる連続運転が認められなくなるほか、保安検査や完成検査についても自主検査ではなく、県による毎年の検査が義務付けられることになります。当社のプラントは連続運転を前提としているため、点検のために一度停止すると多大な損失を招くだけでなく、お客様への安定供給が維持できなくなるという懸念がありました」
ソリューションの選定
1.5ヶ月で簡易リスクアセスメントを実施する迅速さがポイントに
支援グループでは以前から、情報システムと制御システムの境界にファイアウォールを設置してネットワークを分離したり、DCS（分散制御システム）にホワイトリスト方式のセキュリティツールを導入したりするなど、できる限りのセキュリティ対策を実施してきた。その時々で必要な手を打ってはいたが、全体としてバランスの取れた体系立てた対策になっているかというと不安が残っていたという。
加えて、認定取得に向けて、石油化学工業協会が示す「石油化学分野におけるサイバーセキュリティガイドライン（旧称：石油化学分野における情報セキュリティ確保に係る安全基準）」をベースに対策を検討しようにも、具体的に何から、どのように着手すべきかで迷う部分があった。
同管理部 支援グループ グループリーダー 堀口 隆氏（以下堀口氏）：「対策に当たっては、これらのガイドラインを元に社内向けの規程類を整備することになります。ただ、具体的に何をどうすべきかが見えないまま作成してしまうと、現場と乖離が生じ、本当にやりきれる規定にできるのかという課題もありました」
専門性が必要とされるサイバーセキュリティ対策を、シミュレーターによる技術検討支援や製造現場のスマート化といった取り組みと並行して支援グループが独力で推進するのは荷が重い。そこで、知見を持つ外部のベンダーのアドバイスを得ながら課題を抽出し、優先順位を付けながら進めていくのが最善だと判断した。
ただ、課題はもう一つあった。同社にとって、年度内での新制度での認定取得は必須の条件だったのだ。スケジュールを厳守するには2025年11月に現地調査を受け、10月には関連資料をまとめ、提出する必要がある。すでに2025年5月に入っており、余裕はなかったこともあり、
堀口氏：「まず最初のとっかかりとして、現状把握から迅速に進めていきたいと考えました」
こうして、インターネット上で情報収集を進めていた堀口氏の目にとまったのが、NTTセキュリティ・ジャパンのOTセキュリティアセスメントサービス「アセスメントQuick」だった。
堀口氏：「ゴールデンウィーク明けから本格的に動き始め、急いで準備を進めなければと考えていた我々にとって、アセスメントQuickの『簡易』という特徴はぴったりでした。1.5ヶ月という短時間でリスク分析を行い、しっかりアウトプットが得られるため、その後も展開がしやすいこともイメージできました」
NTTというブランドの信頼感も後押しし、早速コンタクトを取ることにした。
導入と効果
客観的な指摘を得つつ、スケジュール通りに審査を進めて認定取得
実際にNTTセキュリティ・ジャパンと初めて顔を合わせたのは2025年6月下旬のことだった。「率直に状況をお伝えし、10月の現地調査に間に合うよう、逆算して8月中にはリスクアセスメントを済ませたいと依頼したところ、しっかり応えていただきました」
プロジェクトは7月中旬から本格的に動き出した。Web上に用意されているOTセキュリティ簡易診断の記入に始まり、オンラインでのヒアリングを複数回実施して聞き取りを進め、JNC石油化学の対策レベルを評価して、約束通り８月中にリスクアセスメントを終え、報告書も完成させた。9月2日には社内関係者向けの報告会を無事実施することができた。「さまざまな角度から適切に質問をしていただいたため、非常に進めやすかったです」と振り返る。
JNC石油化学では、NTTセキュリティ・ジャパンによる簡易リスクアセスメントをもとに準備を進め、無事に現地検査を終了した。晴れて2026年3月には新認定を取得している。
優先度の高い部分に的を絞った的確な指摘が得られたことで、認定取得に向けたスケジュール通りにプロジェクトを進めることができた。
堀口氏：「枝葉末節にこだわるのではなく、重点的な項目に的を絞って回答をいただくことで、『まずここから取り組めばいい』とわかりました」
アセスメントQuickを利用して印象的だったことの一つは、セキュリティ的にあるべき姿を杓子定規に押しつけるのではなく、現実的な落とし所を見出した提案が得られたことだ。
また、利害関係のない第三者の目で、ITセキュリティ領域の知見を踏まえた客観的な指摘を得られたことも有益だったという。例えば、ベンダーとの信頼関係に基づき、リモートメンテナンス回線を常時接続していたが、こうした事柄にもリスクが潜むことなどを指摘され、目からうろこだった。
堀口氏：「NTTセキュリティ・ジャパンの報告書は11月の現地検査の際にも一部活用しました。また、その後進めているハード面・ソフト面の対策を社内の関係者に説明する際にも、報告書内の資料を用い『現状ではこのような課題があるため、こんな対策を進めていきます』と説明するのに役立っています」
今後の展望
更新審査も視野に、継続的なスパイラルアップを継続
リスクを洗い出し、今後の管理体制や対策の道筋を示して無事に認定を取得したJNC石油化学では、2年後の中間検査、そして5年後の更新審査も見据えながら、立案した計画に沿って、重要区域の施錠管理やログ保存の強化といった対策を着々と実施していく計画だ。
堀口氏：「今回のアセスメントで、まずどこから対策が必要なのかという優先順位付けもしていただきました。そうした資料を用いながら、段階的に対策を進めていきます」。
良い方策がなかなか思いつかない場合には、再びNTTセキュリティ・ジャパンの知恵を借りることも検討したいという。
視点を広げると、海外はもちろん日本国内においても、サイバーセキュリティインシデントが工場の稼働、ひいては事業そのものに大きなインパクトを与える事象が発生している。「安全常に」をモットーとしてきたJNC石油化学もこうしたリスクを認識している。
矢沢氏：「日本ではまだ、制御系、石油化学系で大規模なインシデントは起きていませんが、攻撃方法はどんどん変わっていくため、これまでの安全神話に甘んじてはいけないと考えています。今後、また新たなリスクアセスメントが必要な際には相談させていただき、継続的にスパイラルアップさせていきたいと考えています」
