OTセキュリティ何から始めてどう進めるべきか？
3ステップで解説

OTはOperational Technologyの略で、「工場における機器の制御・運用技術」という意味です。工場の機器を制御するOTシステムのセキュリティを、OTセキュリティと呼びます。ここでは、OTセキュリティ対策の重要性と、対策を求められるようになった背景を説明します。

1-1なぜOTセキュリティ対策が求められているのか

以前のOTシステムは独自のOSを利用することが多かった上に、ネットワークは工場内で完結していて、外部ネットワークには接続されていませんでした。ところが、最近ではOTシステムにも汎用OSを採用することが増えました。また、データ分析やAIの活用を目的として、OTシステムがITシステムに連携されるようになりました。ITシステムを介してOTシステムを外部ネットワークに接続し、クラウドサービスを利用するケースも増えています。

汎用OSは脆弱性が広く知られているため、適切にアップデートを行わなければ、脆弱性を利用した攻撃を受ける可能性があります。また、OTシステムが外部ネットワークに接続されることで、攻撃者が侵入できる接続点が増えます。

こうした変化により、OTシステムへのサイバー攻撃のリスクが増大しているのが現状です。攻撃者は必ずしもOTシステムを標的にしているわけではなく、セキュリティに不備のあるシステムを狙って無差別に攻撃を行います。例えば、2022年10月に大阪市の病院がランサムウェアに感染し、電子カルテシステムに障害が発生しました。この事例では、病院と取引のあった給食事業者のデータセンターにおいて、VPN製品のソフトウェアが更新されていなかったため、攻撃者に悪用されたと考えられています（※１）。
OTシステムも、病院の事例と同様の被害を受ける可能性があります。実際に、サイバー攻撃によって工場が操業停止に追い込まれ、巨額の経済的損失が発生した事例が数多く存在します。

（※1） 「情報セキュリティ白書2023」（独立行政法人情報処理推進機構） https://www.ipa.go.jp/publish/wp-security/2023.html

1-2国内外におけるOTシステムへのサイバー攻撃事例

どのくらいの企業が、サイバー攻撃の脅威を感じているのでしょうか。
IDC Japanは2021年に、日本国内の企業を対象として、過去1年間にIoTや産業用制御システムなど、OT分野のシステムに関してセキュリティ事件や事故を経験したことがあるか調査を行いました。その結果、「事件/事故が発生したことがある」と「事件/事故には至らなかったが、危険（脅威）を感じたことがある」を合わせると、4割近くの企業がサイバー攻撃を経験していたことが判明しました（※2）。

サイバー攻撃によってどういったセキュリティ事件や事故が起こっているのか、国内外の事例を具体的に紹介します。

他にも、アメリカのパイプライン大手がランサムウェア攻撃を受けて全てのパイプラインを6日間停止し、市民生活に大きな影響を与えた事例や（※6）、台湾の半導体製造企業がランサムウェアの被害を受け、3日間の生産停止により最大190億円の損害を出した事例などもあります（※7）。

（※2） IDC Japan「2021年 国内IoT/OTセキュリティユーザー調査」

（※3） 「制御システム関連のサイバーインシデント事例５～2019 年 ランサムウェアによる操業停止」（独立行政法人情報処理推進機構） https://www.ipa.go.jp/files/000080702.pdf

（※4） ホンダへのサイバー攻撃 社内ネット中枢を狙った新たな手口（NHK） https://www3.nhk.or.jp/news/html/20200615/k10012471271000.html

（※5） 「情報セキュリティ白書2022」（独立行政法人情報処理推進機構） https://www.ipa.go.jp/publish/wp-security/sec-2022.html

（※6） 「制御システム関連のサイバーインシデント事例９～2021年 米国最大手のパイプラインのランサムウェア被害」（独立行政法人情報処理推進機構） https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000093825.pdf

（※7） 「制御システム関連のサイバーインシデント事例６～2018年 半導体製造企業のランサムウェアによる操業停止」（独立行政法人情報処理推進機構） https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000085317.pdf

1-3工場セキュリティガイドラインへの対応が必須

OTシステムへのサイバー攻撃のリスクが高まり、OTセキュリティ対策が不可欠となっていることを受けて、経済産業省は2022年に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン（以下、工場セキュリティガイドライン）」を策定しました。このガイドラインでは「いかなる工場においても、サイバー攻撃を受ける可能性があることを認識する必要がある」として、OTセキュリティ対策を企画・実施する上で参照すべきステップや考え方を示しています（※8）。

OTセキュリティ対策に関する国際標準が成立している業種もあります。例えば自動車業界では、国連の自動車基準調和世界フォーラム(WP29)において、車両のサイバーセキュリティやソフトウェア更新に関わる規則が規定されました。また、それに基づく国際標準規格ISO/SAE 21434も定められています。この規則は、2026年5月以降は全ての車両に対して適用・義務化されます。

こうしたガイドラインや国際標準への対応は、国や業界の規制要件を満たすためだけでなく、企業の信頼性や競争力を高めるためにも重要です。今後は各国・各業界においてOTセキュリティへの関心がさらに高まると考えられるため、適切なOTセキュリティ対策を行っていない企業は、顧客や取引先との信頼関係を失うことになりかねません。ガイドラインや国際標準に準拠したOTセキュリティ対策が必須です。

（※8） 「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」（経済産業省） https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline.html

ここまで、OTセキュリティ対策が求められる背景について説明してきました。しかし、ITセキュリティ対策は万全でも、OTセキュリティ対策には力を入れてこなかった企業も多いのではないでしょうか。「OTセキュリティ対策の必要性は知っているけれど、実際にやろうとすると進まない」という声も聞かれます。なぜOTセキュリティ対策が進まないのかを考察します。

2-1ITシステムとOTシステムの違い

以下の表に、ITシステムとOTシステムの特徴をまとめました（※9）。

ITシステムにおいては、データの侵害や漏えいがないという「信頼性」が重視されますが、OTシステムにおいて最も重視されるのは、365日24時間安定して稼働できるという「可用性」です。工場では、機器が停止して生産が中断すれば、生産計画に遅れが生じて損失が出るからです。OTシステムでは、メンテナンスやバージョンアップのためにシステムを停止・再起動させたくても、そのタイミングは非常に限られています。

また、3〜5年ごとに更新されるITシステムと違い、10〜20年もの長期間にわたって使用されるOTシステムでは、Windows 7のようにサポートが終了しているOSを使い続けているケースも珍しくありません。システムの更新頻度が低いため、検証用の環境を持たないことも多いのも特徴です。

（※9） 制御システム利用者のための脆弱性対応ガイド「重大な経営課題となる制御システムのセキュリティリスク」 第3版（独立行政法人情報処理推進機構）を元に作成https://www.ipa.go.jp/security/controlsystem/ps6vr70000012m6c-att/000058489.pdf

2-2OTセキュリティ対策において考慮すべきポイント

前項でご説明したように、ITシステムとOTシステムには異なる特徴があるため、セキュリティ対策も異なります。OTセキュリティ対策を実施する上では、工場の可用性に影響を与えないかどうかを最優先で確認すべきです。例えば、OSやソフトウェアのバージョンアップやセキュリティパッチの適用は、機器や端末の停止・再起動を伴うことが多いため、長期休暇などの操業を停止できるタイミングでなければ実行できません。

また、検証用の環境を持たないOTシステムでは、セキュリティ対策が既存の環境に与える影響を確認するのは容易ではないため、なるべく影響を与えない手法を選ぶことが重要です。

2-3OTセキュリティ対策に取り組む企業が抱える課題

企業がOTセキュリティ対策に取り組む際、IT部門が主導する場合とOT部門が主導する場合があり、
それぞれに異なる課題があります。詳しく見ていきましょう。

どちらの場合も、OTセキュリティ対策を進展させるためには、どのタイミングでどういった対策を行うべきかを理解することが重要です。次項では、NTTセキュリティ・ジャパンが考えるOTセキュリティ対策の効果的な進め方について解説します。

NTTセキュリティ・ジャパンは、STEP1「現状把握と評価」、STEP2「脅威の侵入や拡散の防止」、STEP3「工場・プラント内の監視」の３STEPでOTセキュリティ対策を実施することをおすすめしています。それぞれの内容について紹介します。

3-1STEP1「現状把握と評価」

STEP1では、OTシステムの現状を調査し、どこにどのようなセキュリティリスクがあるのかを把握します。人間に例えると、「なんとなく体調が悪い」と感じても、健康診断を行ってどこがどのように悪いのか現状を把握しなければ治療はできません。それと同様に、OTセキュリティでもまずは現状を把握する必要があります。

現状把握を行った結果として、「資産台帳に記載されていない端末が見つかった」、「IT部門が把握していないソフトウェアをOT部門の判断でインストールしていた」などの脆弱性が発見されることがあります。これらの脆弱性は攻撃者の侵入を引き起こし、機器や端末の停止や誤作動、さらには工場の操業停止といったセキュリティリスクを増加させる要因となります。

こうした結果を工場セキュリティガイドラインや国際標準に基づいて評価することで、必要なOTセキュリティ対策を客観的に判断できるようになります。セキュリティリスクを可視化できるので、OT部門の責任者や経営層に、作成したOTセキュリティ対策の根拠を示さなくてはいけない場合にも活用できます。

3-2STEP2「脅威の侵入や拡散の防止」

STEP1で現状のセキュリティリスクを把握したら、STEP2ではOTシステムを守るための対策を実行します。STEP2の目的は、サイバー攻撃を受けた場合の影響範囲を限定し、OTシステム全体の可用性を維持することです。

こうした対策によってサイバー攻撃による被害を最小限に抑え、工場の全面的な操業停止を防ぎます。

3-3STEP3「工場・プラント内の監視」

STEP2までの対策を行った上で、サイバー攻撃を受けた場合を想定し、対応できる体制を構築しておくことが重要です。STEP3ではOTシステムを継続的にモニタリングして、不正な事象を検知します。

継続的なモニタリングには多大なリソースと専門知識が必要となるため、企業内で対応するだけでなく、外部の専門家への委託も広く行われています。モニタリングによってサイバー攻撃を早期に検知し、迅速に対処することで、OTシステムの健全性が維持されます。

リアルタイムでの対処だけでなく、モニタリング結果の定期的な分析も重要です。サイバー攻撃の予防管理策や、次に攻撃を受けた場合の効率的な対応方法を検討し、工場を安定的に稼働させることを目指します。

本コラムの前半では、OTセキュリティ対策がなぜ必要なのか、OTセキュリティ対策に取り組む上でどのような課題があるのかを説明しました。後半では、「OTセキュリティ対策は何をすればいいのかわからない」、「OTセキュリティ対策をやりたいのに進まない」という課題を解決するために、NTTセキュリティ・ジャパンが考えるOTセキュリティ対策の3ステップについて解説しました。

一度に全ての対策を実行できない場合でも、ステップごとに対策を進めていけばOTセキュリティを強化することができます。

NTTセキュリティ・ジャパンは、20年にわたってさまざまな業種のお客様に伴走し、OTセキュリティの課題解決を支援してきました。STEP1からSTEP3まで、お客様の現状やニーズに合った最適なサービスをご提案します。OTセキュリティ対策に課題を感じたら、ぜひお問い合わせください。