制御システムセキュリティ対策とは？IT対策が効かない理由と工程別の打ち手を解説

生産ラインが3日止まったときの損失は、情報漏えいの賠償額とは桁が変わります。制御システムセキュリティ対策が難しいのは、情報システムで当たり前に回しているパッチ適用や再起動が、そのまま現場に持ち込めないからです。この記事では、経済産業省のガイドラインやIEC 62443といった国内外の指針の位置づけを整理し、企画・設計・運用・更新廃棄という工程ごとの着手順を示します。予算と体制の組み方、小規模な工場が見送ってよい対策の線引きまで、投資判断に必要な材料をまとめました。

まとめ：制御システムセキュリティ対策で先に決める保護対象と投資順序

最初に決めるのは、製品でも組織でもありません。止まると損失が最大になる装置群と、その停止をどこまで許容できるかという時間です。制御システムセキュリティ対策が形骸化する典型は、IT部門が使い慣れた製品を工場へ持ち込み、可用性を最優先する現場と衝突して運用が続かなくなる流れにあります。

順番はこうです。ラインごとに停止許容時間を出す。止まると影響が大きい装置から資産台帳を作る。その周りにゾーンを引き、ゾーン間を通す通信だけを許可する。ここまで終えてから製品選定に入ります。逆順で進めた投資は、現場の判断で電源を抜かれて終わります。

参照する枠組みも役割で分かれます。着手手順とゾーンの引き方は経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」、取引先から求められる要求仕様の言語はIEC 62443、統制項目を細かく設計する段階でNIST SP 800-82 Rev.3。3つを同時に読み込む必要はありません。予算は監視製品より先に、資産の可視化と保守経路の統制へ向けてください。何が繋がっているか分からないままでは、アラートだけが増えます。

制御システムセキュリティ対策が情報システム向けの手法と噛み合わない理由

制御システムは工場やプラントの装置を動かし、監視する仕組みです。PLCやDCS、SCADAで構成され、産業制御システム（ICS）やOTとも呼ばれます。情報システムとの最大の違いは、守る優先順位が逆転している点にあります。

可用性を最優先する現場でパッチ適用と再起動が止まる構造的な制約

情報システムのセキュリティは機密性・完全性・可用性の順で優先されるのが一般的です。制御システムでは可用性と安全性が先に来ます。ラインが止まれば納期が飛び、装置によっては再起動そのものが製品不良や設備破損につながるためです。

この前提があると、脆弱性が公表されてもすぐには当てられません。パッチ適用には生産計画の停止が必要で、実際の適用機会が年に数回の定期修理期間に限られる工場も珍しくありません。緊急のゼロデイでも、装置ベンダーの検証完了まで適用できない契約になっている場合があります。

だからこそ制御システム側は「直せない前提で、届かせない」という設計へ切り替えます。パッチ適用の速さを競わず、脆弱な装置を隔離して到達経路を絞る。この違いを踏まえずに情報システムの運用ルールを持ち込むと、現場から例外申請が積み上がり、ルールが機能しなくなります。IT側とOT側の設計思想の差は、OTとITの違いとPurdueモデルによる階層設計を押さえておくと社内で説明しやすくなります。

十年以上稼働する装置と保守契約が縛るソフトウェア更新の可否判断

制御システムの装置寿命は10年から20年に及びます。2010年代前半に導入した設備が現役で動いている工場では、制御用PCのOSがサポート終了済みという状況がしばしば起こります。入れ替えれば済む話に見えて、そうはいきません。

制御用ソフトウェアが特定のOSバージョンでしか動作保証されず、装置ベンダーの保守契約が「構成変更を行った場合は保証対象外」と定めているケースが多いためです。ウイルス対策ソフトのエージェントを1本入れただけで保守が切れる、という契約も実在します。CPU負荷でスキャン処理が制御周期に割り込み、制御が乱れるリスクも無視できません。

判断の分かれ目は、装置の更新計画の有無です。3年以内に設備更新が決まっているなら、既存装置には手を入れず隔離で凌ぎ、更新時の調達仕様にセキュリティ要件を書き込むほうが費用対効果は高くなります。更新予定のない装置には、ネットワーク側の通信制御と外部媒体の持ち込み統制を先に当てます。

持ち込み端末と保守用回線が作る、境界防御をすり抜ける侵入経路

「工場はインターネットに繋がっていないから安全」という説明は、実態と合わないことが大半です。閉域だと認識されているネットワークにも、実際には外部との接点が残っています。

• 装置ベンダーが保守で持ち込むノートPCと、設定ファイルを運ぶUSBメモリ
• 遠隔保守のために装置ベンダー側から引かれたVPNやルーター
• 生産実績を基幹システムへ送るための業務ネットワークとの接続点
• 現場で臨時に使われる無線アクセスポイントやモバイルルーター
• クラウドの分析基盤へデータを送るIoTゲートウェイ

優先して塞ぐのは上から2つです。警察庁が公表した令和7年のサイバー空間をめぐる脅威の情勢等では、ランサムウェアの被害報告226件のうち、感染経路はVPN機器が6割以上を占めました（2026年8月時点で公表されている資料に基づく）。工場側で管理していない保守用回線が残っていないか、装置ベンダーごとに棚卸しするところから始めます。

制御システムを狙う攻撃の侵入経路と、生産停止が生む損失の内訳

制御システムのセキュリティ事故は、映画的な「装置の乗っ取り」よりも、ありふれたランサムウェアによる業務停止として現れます。攻撃者が制御システムそのものを直接狙わなくても、生産は止まります。

製造業でランサムウェア被害が突出する背景と生産停止で生じる損失の構造

警察庁が公表した令和7年の情勢資料では、ランサムウェアの被害報告226件のうち業種別で製造業が約4割を占め、企業規模別では中小企業が約6割でした。製造業が狙われやすいのは、身代金を払う動機が強いからです。データが暗号化されて業務が滞る損失に加えて、生産停止が1日単位で確定した金額として積み上がります。

損失は復旧費用だけではありません。停止した日数分の売上機会、納期遅延による違約金や取引先への代替調達費用、再稼働時の品質確認と歩留まり低下、そして取引先監査への対応工数が続きます。事業継続の観点では、生産再開までの時間そのものが最大のコスト要因です。だから投資順序を決める指標として、機密情報の量ではなく停止許容時間を使います。

注意したいのは、暗号化されたのが基幹システム側でも生産が止まる点です。受注情報や生産指示が出せなければ、制御システムが無傷でもラインは動きません。対策の検討範囲は制御ネットワーク単独ではなく、生産に必要な情報の流れ全体に置いてください。

取引先や装置ベンダーを踏み台にする侵入の増加と検知遅れの理由

直接侵入より厄介なのが、取引先や装置ベンダーを踏み台にする経路です。工場側から見ると正規の保守作業と区別がつかず、検知が遅れます。ログが装置ベンダー側にしか残らない構成になっていると、事後の追跡もできません。

対策の実務は契約と技術の両輪です。契約面では、保守事業者に接続時の事前申請、作業ログの提出、持ち込み端末のウイルス対策状況の申告を求めます。技術面では常時接続の遠隔保守回線を廃し、必要なときだけ工場側の操作で開通させる方式へ変えてください。サプライチェーン攻撃の起点別の類型と対策の優先順位を踏まえておくと、どの取引先から手を付けるかの判断が早くなります。

検知が遅れるもう一つの理由は、制御ネットワークに通信の記録が残っていない点にあります。監視製品の導入前でも、スイッチのミラーポートでどの機器がどこと通信しているかを1週間分記録すれば、想定外の接続がかなり見つかります。

国内外のガイドラインの位置づけと制御システムセキュリティ要件の決め方

制御システムセキュリティのガイドラインは複数あり、どれから読むか迷う原因になっています。役割が違うため、目的に応じて使い分けます。

経済産業省ガイドラインの3ステップと工場側が最初に着手する範囲

経済産業省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」は、Ver1.0が2022年11月に公表され、2025年4月11日にVer1.1へ改訂されました。改訂ではステップ1-6にゾーン設定の考え方を示す図が転記されています。2024年4月4日には【別冊：スマート化を進める上でのポイント】も公表されました。

構成は3ステップです。

1. ステップ1：内外の要件や業務、保護対象、ゾーンの整理
2. ステップ2：ゾーンと想定脅威に基づくセキュリティ対策の立案
3. ステップ3：対策の実行と、計画・運用方針の継続的な見直し

工場側が最初に着手するのはステップ1です。特にゾーンの整理まで到達できているかが、その後の判断精度を左右します。付録のチェックリストを使えば自社の現状を1枚で棚卸しできます。ステップ2以降を外部委託する場合でも、保護対象の特定だけは自社の生産技術部門が主導してください。

IEC 62443とNIST SP 800-82の役割分担と参照する順番の判断基準

IEC 62443はISAとIECが策定した制御システムの国際規格群です。事業者のマネジメントを扱う62443-2-1、ゾーンとコンジットの設計とリスクアセスメントを扱う62443-3-2、システムの要求事項として7つの基本要件とSL1からSL4のセキュリティレベルを定める62443-3-3、製品開発者向けの62443-4-1と62443-4-2に分かれます。

NIST SP 800-82 Rev.3は2023年9月28日に公開された米国の技術文書で、適用範囲を従来のICSからOT全般へ広げ、SP 800-53 Rev.5の管理策をOT向けに調整したオーバーレイを収録しています。統制項目を具体的に設計する段階で参照します。

読む順番は、国内の工場が自社の対策を立ち上げる場合、経済産業省ガイドラインが先です。IEC 62443へ進む判断基準は、海外の納入先や親会社から認証や適合の説明を求められているかどうか。求められていない段階で規格適合を目標に置くと、費用が先行して現場の対策が進みません。監視制御を担う仕組みの構成はSCADAの仕組みとPLC・DCS・MESの役割分担を確認しておくと、どの層にどの要件を当てるかを整理しやすくなります。

企画から更新廃棄までライフサイクル別に見る制御システムの打ち手

対策を工程で分けるのは、着手できるタイミングが工程ごとに固定されているからです。稼働中の装置にできることは限られ、逆に調達時にしか決められない要件があります。

企画・調達段階で仕様書に書き込むセキュリティ要件と責任分界の明記

新規の設備導入やライン更新は、費用をかけずに水準を上げられる機会です。装置ベンダーの標準仕様に任せると、保守用の常時接続回線や共有アカウントが前提の構成で納品されます。

調達仕様に書き込む項目は、脆弱性情報の通知義務と対応期限、サポート期間とサポート終了後の扱い、リモート保守の接続方式と接続主体、アカウント管理の方式、ログの取得項目と保存先です。加えて、セキュリティ事象が起きたときの責任分界点を文書化します。装置内のソフトウェア更新は誰の責任か、ネットワーク機器の設定変更は工場側で行えるのか。ここが曖昧だと、運用開始後に何も変えられない設備が残ります。

工場のデジタル化を並行して進めるなら、スマートファクトリーの構成要素と投資判断の線引きと同じタイミングで要件を固めると、後戻りが減ります。

設計段階のゾーン分割とコンジット定義で決める通信の許可範囲と方向

ゾーン分割は、同じセキュリティ要件を持つ資産をまとめ、境界に通信の関門を置く設計です。IEC 62443-3-2ではゾーン間の通信路をコンジットと呼び、通す通信を明示的に定義します。

実務での引き方はシンプルです。まず業務ネットワークと制御ネットワークを分ける。次に制御ネットワークの内側を、ラインや装置群の単位で分ける。最後に、安全計装システムのように停止が人身災害に直結する系統を独立させる。この3段階まで到達していれば、ランサムウェアが業務側に入っても制御側への横展開を止められます。

設計時に決めておくのは、許可する通信の方向です。制御側から業務側への一方向の送信に限定できれば、外部からの侵入経路を大きく減らせます。逆に双方向を許すと境界の意味が薄れます。ゾーンを引いたあとは実際の通信を測定し、設計と食い違う経路が残っていないか確認してください。

運用段階に必要な資産管理・通信監視・インシデント対応の最低ライン

運用で回すべき対象は3つに絞れます。資産の把握、通信の監視、そして起きたときの手順です。

資産管理は、装置名とIPアドレスの一覧では足りません。ファームウェアやソフトウェアの版数、サポート期限、装置ベンダーの連絡先、装置が停止したときの影響範囲までを1つの台帳にします。脆弱性が公表されたとき、自社に該当装置があるかを30分で答えられる状態が目安です。

通信監視は、制御ネットワークに影響を与えないパッシブな方式を選びます。能動的にスキャンする機器を制御ネットワークへ入れると、古いPLCが応答不能になる事故が起こり得ます。インシデント対応は、検知した後の連絡経路と、生産を止める判断を誰が下すかを事前に決めておくところが要です。インシデント管理のプロセスと監視・オンコールの設計を情報システム側で確立していれば、工場向けに拡張する形で整えられます。

更新・廃棄段階で見落とされる記憶媒体と設定情報の取り扱い手順

撤去した制御用PCやHMIには、ネットワーク構成、アカウント情報、制御パラメータ、場合によっては製造条件そのものが残ります。産業廃棄物として装置ごと処分する流れに乗せると、記憶媒体の消去工程が抜け落ちます。撤去計画に媒体の取り外しと物理破壊または消去証明の取得を組み込んでください。リースや売却で第三者へ渡る場合、実施記録がないと後年の取引先監査で説明できません。

ネットワーク側の後片付けも忘れがちです。撤去済み装置向けのファイアウォール許可ルールや、装置ベンダー向けのVPNアカウントが残り続けると、誰も使っていない侵入口になります。ルールとアカウントの削除を、撤去チェックリストの項目として固定しておきます。

予算と体制の作り方から見た制御システムセキュリティ対策の投資判断

制御システムのセキュリティ製品は高額で、専任者の確保も簡単ではありません。限られた資源をどこへ置くかを言い切ります。

停止許容時間と復旧目標から逆算して投資順序を決める3段階の考え方

投資順序は、資産価値ではなく停止許容時間で決めます。ラインごとに「何時間止まると受注に影響が出るか」を生産管理部門と出し、短い順に並べる。この並びがそのまま優先順位です。

順序が決まったら、上位のラインから3段階で手当てします。第1段階は資産の可視化と保守経路の統制で、費用は主に人手です。第2段階はゾーン分割と通信制御で、ファイアウォールやスイッチの費用が発生します。第3段階が通信監視とログ分析の基盤で、ここが最も高額になります。第1段階を飛ばして第3段階へ進む提案が来たら、資産台帳の有無を確認してください。台帳がない状態の監視基盤は、正常か異常かを判断する基準を持ちません。

現状の弱点が分からないまま予算を組むと、順序を誤ります。制御ネットワークとの接続点になっている業務システムやリモート保守環境については、外部から到達可能な経路を実測する脆弱性診断・セキュリティ診断で優先度の根拠を作ってから投資計画を立てるほうが、社内の合意も取りやすくなります。

小規模工場が全面的なOT監視基盤の導入を見送ってよい条件と代替策

ここは言い切ります。従業員100名規模で、生産ラインが1〜2系統、制御ネットワークの接続機器が数十台という工場に、専用のOT監視基盤は過剰です。導入しても、アラートを判断できる人がおらず、通知が無視される運用に落ちます。

見送ってよい条件は3つ揃ったときです。制御ネットワークが業務ネットワークから物理的または論理的に分離できている。遠隔保守回線が常時接続ではなく、開通が工場側の操作に限られる。そして資産台帳が最新に保たれ、装置の追加や撤去が記録されている。この状態なら、監視基盤に数千万円を投じるより、以下の代替策のほうが投資効率は上です。

• 境界のファイアウォールのログを情報システム側の既存基盤へ集約する
• 年1回、通信を1週間記録して想定外の接続がないかを点検する
• 制御用PCの定期バックアップと、復旧手順の実地確認を年1回行う

逆に、複数拠点を持ち、装置ベンダーが常時接続で遠隔保守に入る構成なら、監視基盤への投資は先送りしないほうがよい領域です。人が追える接続数を超えているためです。

兼任体制でも回すためのIT部門とOT部門の責任分担と権限の決め方

専任のOTセキュリティ担当を置ける企業は限られます。現実解は情報システム部門と生産技術部門の兼任体制です。ただし役割を曖昧にしたまま兼任にすると、どちらも動かない領域が生まれます。

分け方の基準は、生産を止める判断権限です。ネットワーク設計、監視、脆弱性情報の収集、インシデント検知はIT部門が担う。装置の停止可否、パッチ適用時期の決定、装置ベンダーとの調整はOT部門が持つ。両者が重なる判断、たとえば感染時にラインを止めるかどうかは、工場長を含めた事前の取り決めとして文書化します。

最初の共同作業に資産台帳の作成を置くと体制が定着しやすくなります。IT部門はネットワーク情報を、OT部門は装置と生産影響の情報を持ち、片方だけでは完成しないためです。台帳が1つできれば、その後の議論が具体的な装置名で進みます。

よくある質問

制御システムセキュリティ対策の検討で寄せられる質問をまとめました。

制御システムセキュリティ対策は何から始めればよいですか？

製品選定ではなく、保護対象の特定から始めます。生産ラインごとに停止許容時間を出し、止まると影響が大きい装置群を洗い出して資産台帳を作る。並行して、装置ベンダー向けの遠隔保守回線や持ち込み端末など外部との接点を棚卸しします。経済産業省のガイドラインではこれがステップ1にあたり、付録のチェックリストで現状を確認できます。費用は主に人手で済むため、予算取り前でも着手できる範囲です。

制御システムセキュリティのガイドラインはどれを参照すべきですか？

国内の工場が自社の対策を立ち上げる段階なら、経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」（Ver1.1・2025年4月11日改訂）から入ります。海外の納入先や親会社から適合の説明を求められている場合はIEC 62443、統制項目を細かく設計する段階ではNIST SP 800-82 Rev.3を参照します。3つを同時に読む必要はなく、目的が生じた時点で追加するのが実務的です。

制御システムのセキュリティ事故にはどのような事例がありますか？

公表事例で多いのは、装置の乗っ取りではなくランサムウェア感染による生産停止です。警察庁の令和7年の情勢資料では、ランサムウェア被害報告226件のうち製造業が約4割を占め、感染経路はVPN機器が6割以上でした。業務システム側が暗号化され、受注や生産指示を出せずにラインが止まる形態も含まれます。対象を制御ネットワーク単独に絞らない理由がここにあります。

制御システムに情報システム向けのウイルス対策ソフトを入れても問題ありませんか？

装置ベンダーの保守契約と動作保証を先に確認してください。制御用PCへエージェントを導入した時点で保証対象外となる契約は実在し、スキャン処理のCPU負荷が制御周期に影響する懸念もあります。導入する場合は、ベンダーの検証済み構成であること、スキャン方式と実行時間を制御周期に合わせて設定できることが条件です。導入できない装置には、ネットワーク側での通信制御と外部媒体の持ち込み統制を代替として当てます。

制御システムセキュリティの対策費用はどのくらいかかりますか？

段階によって桁が変わります。資産の可視化と保守経路の統制は主に人手の費用で済み、外部委託しても現状調査の範囲に収まります。ゾーン分割と通信制御はファイアウォールなどの機器費用と設計工数が中心です。通信監視やログ分析の基盤は最も高額で、拠点数と機器台数で大きく変動します。第1段階を飛ばすと費用対効果が落ちるため、順番を守る前提で見積もりを取ってください。

関連記事

• OTとは？ITとの違い・Purdueモデル・OTセキュリティ実装まで解説：OTの定義と階層構造を実装目線で確認できます。
• スマートファクトリーとは？定義と5階層の構成要素・投資判断の線引きを解説：工場のデジタル化と並行して要件を固める際の判断材料になります。
• ゼロトラストセキュリティとは？構成技術と導入手順・費用を実装視点で解説：業務ネットワーク側の統制を見直す際の設計方針です。
• 脆弱性診断とは？種類・費用相場・進め方と外注時の判断基準を解説：診断を外注する場合の費用相場と進め方をまとめています。
• 標的型攻撃とは？手口の種類と標的型攻撃メールの見分け方・多層防御による対策を解説：業務側から制御側へ侵入される起点の攻撃手口を扱います。