本ページでは、オペレーショナルテクノロジー（OT）のセキュリティに関わる重要な用語の解説をしています。 急速に進化する産業のDX化とともにOT環境のセキュリティ対策は企業にとってますます重要な課題となっています。本用語集を通じてOTセキュリティの理解を深め、安全で信頼性の高いOT環境の構築に役立てていただければ幸いです。
オペレーショナルテクノロジー (OT)
オペレーショナルテクノロジー (OT)とは、工場や発電所、ビルなどの物理的なシステムや設備、プロセスを監視、制御する運用技術の総称です。具体的には、PLC（Programmable Logic Controller） やSCADA(Supervisory Control And Data Acquisition) 、DCS(Distributed Control System)などが挙げられます。
製造ラインのロボットの制御、ビルや工場でのエネルギー管理システム、物流の自動装置、発電、ガス事業者の設備などで各種センサーの状態監視など様々な用途で使われており、これらのシステムは工場の可用性、生産効率の向上など安定した設備稼働に欠かせない役割を果たしています。
近年、高度化するサイバー攻撃に対するOTシステムの脆弱性が指摘されておりOTセキュリティの重要性が注目されています。
PLC（Programmable Logic Controller）
PLC（Programmable Logic Controller）とは、産業機械の制御装置の一種で、シーケンサとも呼ばれます。製造装置や自動化システム、輸送機器、エレベーター、立体駐車場、家電など、幅広い用途で利用されています。PLCでは機械や設備のシーケンス制御を行います。シーケンス制御は、あらかじめ定められた順序または手続きにしたがって、動作の段階を進めていく制御です。PLCが登場するまでは、シーケンス制御を行うために、電流のオン・オフによって動作を制御するリレー回路が利用されてきました。PLCにはマイクロプロセッサが内蔵されており、事前にプログラミングを行うことで、シーケンス制御を実現します。従来のリレー回路に比べて、装置を小型化できる、より複雑な動作を実装できる、柔軟に動作を変更できるなどのメリットがあります。
近年ではPLCの高機能化が進み、ネットワーク機能を備えたPLCも増えています。DX化の進展にともない、PLCの役割がいっそう重要になる一方、サイバー攻撃を受けるリスクも高まっています。
SCADA(Supervisory Control And Data Acquisition)
SCADA(Supervisory Control And Data Acquisition)とは、工場や発電施設、上下水道施設などのインフラにおいて、広範囲にわたる設備を監視・制御するシステムです。SCADAは、各種センサーや制御系装置からデータを収集し、そのデータを中央制御室などでリアルタイムに監視・管理をすることで、効率的で安全な運用を可能にします。具体的には各種施設の操作や、電力供給の調整・制御、設備の稼働状況などのモニタリングなどがSCADAシステムの主な役割です。
近年SCADAシステムは、サイバー攻撃の標的になるリスクが高まっており、OTセキュリティにおいて対策をすべき重要な領域となっています。SCADAシステムがサイバー攻撃をされた場合、制御している物理的なプロセスに直接影響を及ぼす可能性があり、工場の操業停止や安全性の低下につながる恐れがあります。例えば電力やガスなどの製造プロセスを監視・制御しているSCADAシステムがサイバー攻撃をされると、電力の供給の途絶や過剰な負荷をかけるなどの不正操作などで、設備の破壊など物理的な損害が発生する可能性があります。SCADAシステムは、情報システムなどのITネットワークとは異なるプロトコルやアーキテクチャが使用されているため、専用のセキュリティ対策が求められます。ネットワークの分離、アクセス制御、異常検知システムの導入などが含まれます。
SCADAシステムの安全性を確保することは、工場設備の可用性、信頼性を維持するために欠かせない要素となっています。
OTセキュリティとは
OTセキュリティとは、製造業やエネルギー、交通システム、ビルなどの物理的な設備や産業プロセスを監視・制御するオペレーショナルテクノロジー（OT）システムをサイバー攻撃から保護するための対策です。 ITセキュリティが情報システムやデータの保護に焦点を当てているのに対し、OTセキュリティは常に稼働する設備の可用性を守ることが最優先課題となります。
OTシステムは独自の技術やプロトコルを使用し、長期間にわたり使用されるため、ソフトウェアの更新が困難であり、セキュリティ脆弱性が残りやすいという課題があります。これに対し、（IT）情報システムは定期的に更新やパッチが適用され、柔軟に対応できます。
サイバー攻撃を受けた際、OTシステムと（IT）情報システムでは被害も異なります。
（IT）情報システムが攻撃をされた場合、データの漏洩や業務システムの停止が主な被害となりますが、OTシステムがサイバー攻撃をされた場合、物理的な設備・機器や産業プロセスが直接被害を受け、生産工場などの操業停止や機器の不正操作により、設備の破壊や従業員を巻き込んだ事故など甚大な被害を受ける可能性があります。
OTセキュリティ対策を考える上で考慮しなければならないポイントは
検証用の環境を持たないOTシステムでは、セキュリティ対策が既存の環境に与える影響を確認するのは容易ではないため、工場の可用性に影響を与えないかどうかを最優先して対策を進める。
また、外部パートナーにOTセキュリティを依頼する際には、OTセキュリティに関する幅広い知見を持つパートナーに依頼することが必要になります。
