IEC 62443とは？製造業が知るべきOTセキュリティ対策の基本から実践まで徹底解説

OTセキュリティのリスクは、もはや机上だけで考える脅威ではなくなっています。国内外で実際に発生しているインシデントは、その経営インパクトの甚大さを物語っています。

2022年にトヨタ自動車の主要サプライヤーである小島プレス工業がランサムウェア攻撃を受け、トヨタの国内全14工場の稼働が停止するという衝撃的な事件が発生しました。これは、サプライチェーン内の一つの脆弱性が、巨大メーカーの生産活動を麻痺させることを証明した象徴的な事例です。また、本田技研工業も、自社ネットワーク専用に作り込まれたランサムウェアの攻撃を受け、国内外9つの工場で生産停止に追い込まれました。

これらのインシデント事例における被害は、直接的な復旧費用や生産停止による逸失利益だけにとどまりません。納期遅延による顧客からの信頼失墜、ブランドイメージの毀損といった無形の損害は、長期的に企業の競争力を蝕んでいきます。復旧費用も年々高騰しており、復旧に5000万円以上を要した企業の割合が増加傾向にあるというデータも存在します。

製造業で働く多くの人は、「セキュリティは情報システム部門の仕事」と考えているのではないでしょうか。これは、全くの誤解です。サイバーセキュリティ対策は、従来業務には含まれていなかった新たな取り組みであり、自分事として考えないのも無理はありません。しかし、OTセキュリティにおいてはこの考え方が最大の障壁となります。IT部門とOT部門では、その文化や優先順位が根本的に異なるからです（図1）

一般に、IT部門はシステムや情報の「機密性」を重視します。これに対し、OT部門は「可用性」、すなわち生産ラインを止めないことを絶対的な使命としています。この価値観のギャップが、セキュリティ対策の導入を阻む大きな壁となっているのです。したがって、OTセキュリティの責任をIT部門に丸投げすることはできないのです。生産技術、工場管理、そして経営層を含む、部門横断的な取り組みが不可欠になります。

生産現場のリスクに対する最終責任は事業部門・OT部門が負うべきです。しかし、彼らはサイバーセキュリティの専門知識を持たないことが多く、ここに責任と専門性の乖離という深刻な問題が生じます。この課題を解決するためには、経営層のリーダーシップのもと、専門組織を立ち上げ、全社的な課題として取り組む必要があります。

ステップ1は、現状把握とリスク分析です。どこに脆弱性があるのかを把握します。全ての対策は、自社の状況を正確に把握することから始まります。見えないものは守れません。まず、工場内のOT資産の棚卸しをします。PLC、HMI、産業用PC、ネットワークスイッチといった機器の種類、それらのOSやファームウェアのバージョン、ネットワーク接続構成などを正確に把握します。次に洗い出した資産のリスクを分析します。どのような脅威（ランサムウェア感染、不正アクセスなど）が存在し、どのような脆弱性があるかを特定します。そして、その脅威が現実になった場合に事業（生産活動）にどの程度の影響を与えるか（影響度）と、その発生可能性を評価します。

ステップ2は、体制構築と目標設定です。誰が責任者となり、どのような状態を目指すのかを定義します。OTセキュリティは、技術だけでなく「組織」で対応するものです。明確な体制と目標がなければ、取り組みは頓挫します。推進体制の構築では、OTセキュリティの責任者を明確に任命し、OT部門（生産技術、工場担当者）、IT部門、経営層からなる部門横断的な推進チームを組成します。インシデント発生時に迅速に対応するため、専門チームを設置することも有効になります。

この取り組みの成功は、経営層が明確なリーダーシップを発揮し、予算や権限を与えることにかかっています。ITとOTの文化的な対立を乗り越え、全社的な協力を得るためには、トップダウンの強力な後押しが不可欠です。さらに、ステップ１のリスク分析の結果に基づき、目標セキュリティレベル（SL）を設定します。加えて、OTセキュリティは、ITとOTの両方の知識を併せ持つ特殊なスキルセットを持つ人材育成計画の策定も重要になります。

ステップ３は対策の計画と実行です。限られたリソースの中で最大限の効果を上げるには、戦略的な計画と実行が求められます。優先順位をつけて、具体策を打つことが重要になります。

まず、リスク分析の結果を用いて、取り組むべき対策に優先順位を付けます。「事業への影響度」と「対策の実現性（コスト・難易度）」の2軸でマッピングし、最もリスクが高く、かつ対策が容易なものから着手することが定石になります。段階的導入（スモールスタート）も有効です。

また、全工場・全ラインに一斉に対策を導入するのはリスクが大きすぎます。まずは影響の少ない特定のラインやエリアをパイロットとして選定し、そこで対策を試験的に導入し、技術的な問題点や運用上の課題を洗い出して、本格展開に先立って解決しておく手法も効果的です。特に専門人材や予算が限られる中小企業は、最初から完璧を目指す必要はありません。まずは基本的な対策から着実に進めることが重要です。

例えば、日本の自動車産業は、その巨大で複雑なサプライチェーン全体でセキュリティレベルを向上させるという、極めて先進的なアプローチをとっています。日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）は共同で「自動車産業サイバーセキュリティガイドライン」を策定しました。このガイドラインは、数千社に及ぶサプライヤーが自社のセキュリティ対策状況を自己評価するための共通のチェックシートを提供し、取り組むべき対策項目をレベル別に示しています。

特にトヨタ自動車は、単にガイドラインへの準拠を求めるだけでなく、取引先を対象としたセミナーの開催や相談窓口の設置など、サプライヤーのセキュリティ強化を積極的に支援しています。従来の「発注者と受注者」という関係を超え、サプライチェーン全体を一つの運命共同体と捉え、共に強くなることでエコシステム全体のレジリエンスを高める「共存共栄」の思想に基づいた取り組みです。

一方、JFEスチールは、リスクに基づいて段階的にOTセキュリティを実践していくアプローチを選択しました。まず、最も重要かつ脆弱なポイントとして「制御システムを操作する端末」にフォーカス。生産オペレーションを阻害しないことを絶対条件とし、オフライン環境でも動作し、かつ軽量なエンドポイント保護ソリューションを導入しました。限られたリソースの中で最も効果的な一点に集中し、具体的な成果を上げるという賢明な戦略であると言えます。

▼この記事をSNSでシェアする