自社のIoT・OT機器を守るセキュリティサービス比較｜守り方タイプ別の選び方

工場の生産設備、ビルの空調や入退室を制御するシステム、店舗に置かれたカメラや決済端末——ネットワークにつながる機器が増えるほど、攻撃者が狙える入り口も増えています。こうしたIoT・OT機器の多くは、後からセキュリティソフトを入れられない前提で作られていたり、一度動き始めると何年も止められなかったりするため、パソコンやサーバーと同じ守り方がそのままは通用しません。

自社で稼働させているIoT・OT機器を攻撃から守るには、どんなサービスを、どんな基準で選べばよいのでしょうか。ネットワークの監視で異常を見つけるもの、弱点を診断するもの、機器そのものを保護するもの、運用までまとめて任せるものなど、「守り方」はサービスによって大きく異なります。

本記事では、自社のIoT・OT機器を守るセキュリティサービスを、守り方のタイプ別に比較・解説します。5つのタイプの違いと選び方、提供形態別の費用の考え方に加え、エージェントを入れられない機器や古い機器をどう守るか、誤検知や運用負荷でつまずかないための実務のポイントまで整理しました。

自社の環境に合うサービスを選ぶための判断材料としてご活用ください。

また、自社の状況に合わせて最適なサービスを最短で見つけられるよう、「30秒で終わる選定診断ツール」をご用意しています。ぜひこちらもご活用ください。

IoT・OTセキュリティサービスとは（守る対象とできること）

IoT・OTセキュリティサービスは、工場・ビル・店舗などで稼働するネットワーク接続機器を、サイバー攻撃から守るための製品・サービスの総称です。守る対象は、生産ラインの制御機器や計測センサー、ビルの空調・電源・入退室の管理装置、監視カメラ、デジタルビデオレコーダー、ルーターやゲートウェイなど多岐にわたります。

ここで押さえておきたいのが、IT機器とOT機器の違いです。OT（Operational Technology：制御・運用技術）とは、工場やプラント、ビル設備を動かすための制御システムを指します。パソコンやサーバーのようなIT機器は、セキュリティソフト（エージェント）を追加インストールしたり、こまめに再起動して更新を当てたりできます。一方、OT機器や産業用IoT機器は事情が異なります。

• ソフトを後から入れられない：処理能力が限られた専用機器が多く、セキュリティソフトを常駐させる余地がない
• 止められない：24時間動き続ける生産設備やインフラ設備は、更新や再起動のために簡単には停止できない
• 長く使い続ける：10年以上現役の機器も珍しくなく、すでにサポートが終了したOSやソフトウェアが動いている場合がある

こうした制約があるため、IoT・OTセキュリティサービスでは、機器に手を入れずに守る方法が重視されます。通信を外側から観察して異常を検知する、機器のつながり方（通信経路）を可視化する、弱点を診断して対策を助言する、といったアプローチが中心です。できることはサービスによって幅があり、「どう守るか」の違いがそのまま選び方の軸になります。

対象は工場やビルの制御系（OT）だけではありません。店舗やオフィスで使うネットワークカメラ・複合機・会議システムといった身近なIoT機器も同じ考え方で守る対象になり、こうした事務系ネットワーク上の機器が中心なら、一般的なIT向けの監視・保護製品で守れるケースもあります。

また、自社で守るべき対象はIoT・OT機器だけとは限りません。パソコンやサーバー、ネットワーク、IDなど、守る対象ごとにどのようなセキュリティソリューションがあるかを広く見比べたい場合は、以下の記事が全体像をつかむ手がかりになります。

なぜ今、自社のIoT・OT機器を守る必要があるのか

IoT・OT機器が攻撃対象になっている状況は、公的機関の観測データにも表れています。情報通信研究機構（NICT）の大規模サイバー攻撃観測網「NICTER」の観測レポートによると、2024年に観測されたサイバー攻撃関連通信は年間で約6,862億パケットにのぼりました。1つのIPアドレスあたりでは約243万パケットと、観測開始以降もっとも多い値を記録しています。

同レポートでは、感染活動の中身にも変化が見られます。かつて大規模なサービス妨害（DDoS）攻撃に悪用されたマルウェア「Mirai」の特徴を持たない新種のIoTボットの感染活動が活発化し、国内では家庭用ブロードバンドルーターやデジタルビデオレコーダー、IoT向けのLTEルーターへの感染が確認されています。つまり、身近なネットワーク機器そのものが乗っ取られ、攻撃の踏み台にされているのが実態です。

一度OT環境に侵入を許すと、被害は情報漏えいにとどまりません。生産ラインの停止、設備の誤動作、復旧までの長期の操業停止など、事業そのものを止める損害につながります。

IPAが毎年公表する「情報セキュリティ10大脅威」でも、組織向けの脅威としてランサムウェアによる被害やサプライチェーン・委託先を狙った攻撃、脆弱性を突いた攻撃が上位を占めており、守りの弱いIoT・OT機器はその侵入口になりやすい存在です。「まだ事故は起きていない」ことは、安全である証拠にはなりません。

出典・参考資料（2件）

• 参考資料：NICTER観測レポート2024｜国立研究開発法人情報通信研究機構（NICT）（https://csl.nict.go.jp/report/NICTER_report_2024.pdf）
• 参考資料：情報セキュリティ10大脅威 2025｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/10threats/10threats2025.html）

こうした脅威は公的な統計だけでなく、実際に企業のネットワークを診断する現場からも、OT機器に広がりつつある状況が指摘されています。

身近なIoT機器が実際にどのような弱点を突かれ、どんな被害につながっているのかは、代表的な脆弱性の種類と実例で押さえておくと、自社が優先して対策すべき点を見極めやすくなります。

IoT・OTを守るサービスの5つのタイプ

IoT・OTセキュリティサービスは、「どうやって守るか」で大きく5つのタイプに分かれます。まず自社がどのタイプを必要としているかを押さえると、候補を絞り込みやすくなります。ここからは、各タイプの守り方と向いている環境を順に見ていきます。

ネットワークを監視して異常を見つける（監視・可視化）

ネットワークを流れる通信を外側から観察し、ふだんと違う動き（不審な通信先への接続、見慣れない機器の出現、乗っ取りの兆候など）を検知するタイプです。

多くは、ネットワーク機器から通信を複製して受け取る方式（ミラーリングなどの受動的な監視）を採るため、機器にソフトを入れず、設備を止めずに導入できる点が強みです。どんな機器が何とつながっているかを一覧で見えるようにする可視化機能を備えるものもあり、守る対象の棚卸しから始めたい環境に向きます。

監視から対応までまとめて任せる（マネージド）

監視の仕組みを導入するだけでなく、異常の分析や検知後の対応、定期レポートまでを専門チームが代行するタイプです。自社に専任のセキュリティ担当を置きにくい、検知しても誰がどう対応するか決まっていない、といった課題を抱える組織に向きます。初期設計から運用までを一括で任せられるため、「道具」ではなく「守りの体制」ごと外部に委ねたい場合の選択肢になります。

このタイプには、常時の監視を代行する形だけでなく、定期的な診断や運用の伴走によって、すでに導入済みの対策が有効に働いているかを点検・補完する形も含まれます。守る対象はIoT・OT機器だけでなく、それらを含む社内ネットワーク全体に及ぶこともあります。

弱点を洗い出す（脆弱性診断・コンサルティング）

機器やシステムにどんな弱点があるかを専門家が調べ、対策の優先順位を助言するタイプです。実際に攻撃者の手口を模して侵入を試みるペネトレーションテストや、無線通信・制御システムを対象とした診断など、スポット（単発）で実施するものが中心です。常時の監視ではなく、導入前の設計レビューや、定期的な健康診断のように使います。「まず自社の弱点がどこにあるか知りたい」段階に向きます。

機器そのものを守る（エンドポイント・デバイス保護）

機器の内部で動く保護機能によって、不正なプログラムの実行や改ざんを防ぐタイプです。制御機器や組み込み機器向けに、あらかじめ許可した動作だけを許す仕組み（ホワイトリスト型の制御）や、アプリケーションの解析・改ざんを困難にする保護技術などがあります。ソフトを組み込める機器や、これから作る機器に適しており、通信の監視だけでは守りきれない「機器そのもの」の防御を担います。

作る側の認証・適合を支援する（開発者向け）

IoT機器を自社で開発・製造する立場で、製品が各種のセキュリティ基準や認証制度に適合するよう支援を受けるタイプです。後述する消費者向けIoTのETSI EN 303 645、IoT製品の適合ラベル制度であるJC-STAR、産業用規格IEC 62443のうち製品コンポーネントの要件への適合評価・ギャップ分析、認証取得のコンサルティングなどが該当します。

この守り方は機器を使う側ではなく「作る側」に向けたもので、該当する立場は限られます。ただし、調達先や出荷先からセキュリティ要件への適合を求められる場面では必要になります。IEC 62443は機器を使う側の対策にも関わる規格ですが、ここでは作る側の適合支援を指します。

5つのタイプの守り方と向いている環境、該当する主なサービスを一覧にまとめると、次のとおりです。

※上記は各タイプにおける一般的な傾向です。サービスによっては複数のタイプにまたがります。たとえばXDR型はエンドポイント保護とネットワーク横断の検知の両面を持ち、既存の対策が正しく働いているかを点検する補完・検証に軸を置くものもあります。上表は各サービスの主な軸で分類しています。個別の対応範囲や提供形態は各社情報をご確認ください。

とはいえ、自社がどのタイプに当てはまるか迷うこともあります。次の「30秒で終わる選定診断ツール」では、いくつかの質問に答えるだけで、自社の状況に合う守り方とサービスの候補を絞り込めます。

主要なIoT・OTセキュリティサービスの守り方タイプ別比較

ここからは、自社の課題や環境に合わせて客観的に比較・選定できるよう、主要なIoT・OTセキュリティサービスを守り方のタイプ別に整理してご紹介します。守る対象の機器や環境（IT/OT・工場/ビル・古い機器への対応）、機器にソフトを入れる必要があるか、提供形態、費用の分かる範囲といった軸で横断的に比較しています。

※掲載内容は各社の公開情報に基づきます。最新の仕様・料金は各社情報をご確認ください。

主要なIoT・OTセキュリティサービスの特徴

比較表で挙げた各サービスについて、守り方のタイプごとに特徴を詳しく見ていきます。自社の環境や課題に照らして、候補を絞り込む際の参考にしてください。

ネットワークを監視して異常を見つけるサービス

1. Network Blackbox（株式会社クワッドマイナージャパン）

ネットワークを流れる通信を取りこぼしなく記録し、脅威の検知から事後の調査までを一つの製品で担うNDR（Network Detection and Response：ネットワーク上の通信から脅威を検知・対応する仕組み）です。株式会社クワッドマイナージャパンが提供しています。

監視対象の通信をミラーリングで複製して受け取る方式のため、機器にソフトを入れず、設備を止めずに導入できます。IT系とOT系の双方のネットワーク上の通信を可視化の対象にでき（OT特化の制御プロトコル解析は公式には明示されていません）、既存のEDRやSIEM（セキュリティ情報・イベント管理）とはSyslog・REST APIで連携します。

検知は、既知の攻撃を照合するシグネチャ方式に加え、ネットワーク上のユーザー行為の記録に基づく検出や、送受信データの内容を復元する分析を併用します。収集した通信は後からパケット単位でさかのぼれるため、異常を検知した後に「いつ・どこへ・何が送られたか」を通信記録から確認できます。

2. Darktrace（ダークトレース・ジャパン株式会社）

英国で生まれたサイバーセキュリティ企業Darktraceの製品で、日本ではダークトレース・ジャパン株式会社が提供しています。組織ごとの通信の「ふだんの状態」をAIが学習し、そこからの外れ方で脅威を見つける自己学習型の仕組みを中核に据えています。

既知の攻撃パターンの照合に頼らないため、まだ知られていない新種の脅威や、侵入後に社内で広がる不審な通信もとらえやすい設計です。ネットワークの監視を起点に、クラウド・メール・OT（制御システム）・端末まで横断して相関分析できる製品群を揃えています。

異常の調査をAIが自動で進め、デバイスの隔離や通信の遮断といった封じ込めまで自動で行う機能も備えます。制御システム向けの製品が用意されており、工場や設備のOTネットワークも監視対象に含められます。国内では240社を超える企業が導入していると発表されています（2026年2月時点）。

3. Vectra AI（Vectra AI, Inc.）

ネットワークを流れる通信の振る舞いをAIで分析し、社内に侵入した後に広がる不審な動きを見つけ出すNDR製品です。米国のVectra AI社が開発し、国内ではマクニカ株式会社が販売・サポートを担っています。

シグネチャ照合ではなく振る舞いの分析を主軸とするため、ランサムウェアや認証情報の悪用、社内を横移動する攻撃などをとらえることを狙います。監視の対象は、オンプレミスのネットワークに加えてクラウドやID基盤、IoT・OT環境まで広げられます。

検知エンジンは膨大なアラートを自動で振り分け、対応すべき脅威へ絞り込みます。CrowdStrikeやMicrosoft Defenderなど他社のEDRとも連携でき、すでに使っているセキュリティ製品に組み込めます。国内では三菱電機や遠鉄グループなどが導入しています。

4. L2Blocker（エクスジェン・ネットワークス株式会社）

社内のネットワークに許可していない機器がつながったことを検知し、その通信を自動で遮断するアプライアンス型のシステムです。エクスジェン・ネットワークス株式会社が提供しています。

監視したいセグメントごとに専用センサーを設置し、ネットワーク上を流れるARP（機器同士が通信相手を特定するためのやり取り）を読み取って、台帳に登録した許可端末かどうかを判定します。端末側にソフトを入れる必要がなく、既存のLAN構成を変えずに設置できます。

導入時に接続中の端末を自動で洗い出せるため、まず何がつながっているかの棚卸しから始められます。動作は「収集（棚卸しのみ）」「保留」「ブロック」の3段階に切り替えられ、いきなり遮断せず段階的に運用へ移せます。許可した端末以外の接続を検知・遮断したい環境に向くサービスです。

5. Nozomi Networks（Nozomi Networks Inc.）

工場やプラントなどの産業用ネットワーク（OT）を主な対象とする、産業向けサイバーセキュリティの専業ベンダーです。2026年に三菱電機の完全子会社となりました。

中心となるセンサー「Guardian」は、ネットワークのミラーポートやタップに接続して通信を受動的に観察する方式で、公式は通信を妨げず追加の通信も生じさせないと説明しています。稼働中の制御機器に触れず、どんな機器が何とつながっているかの可視化と、ふだんの通信からの異常検知を行います。

受動監視で取りきれない機器情報は、機器のプロトコルに沿って問い合わせる「Smart Polling」で補え、いずれもエージェントを機器に入れずに使えます。遠隔拠点などを個別に監視したい場合は、端末に入れるタイプのセンサーを任意で追加する構成も選べます。無線機器の可視化や、複数拠点をまとめて管理するクラウド基盤も用意されています。

6. Palo Alto Networks IoT Security（パロアルトネットワークス株式会社）

ファイアウォールで知られるPalo Alto Networks社が、IT機器だけでなくIoT・医療機器・OTまで対象を広げたデバイスセキュリティです。日本法人のパロアルトネットワークス株式会社が提供しています。

同社の次世代ファイアウォールやPrismaを通じてネットワーク上の機器を把握する方式で、機器そのものにはソフトを入れず、通信やログから多数の属性をもとに機器を識別します。産業向けのIndustrial OT Securityについては、公式が「パッシブで非侵入の資産検出」「追加のセンサーが不要」と記載しています。

検出した機器の脆弱性は、QualysやTenableなどの連携スキャナーから取り込めます。産業向けの製品では、IEC 62443を踏まえたネットワークの区切り（セグメンテーション）や、弱点を残したまま守る仮想パッチの機能まで提供します。既存のファイアウォールに機能を追加する形で導入できます。

監視から対応までまとめて任せるサービス（マネージド）

7. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

ランサムウェア対策を主眼に、株式会社SYNCHROが国産のネットワーク技術「KATABAMI」を使って提供するパッケージ型サービスです。ネットワーク内部からの月次（年12回）の脆弱性診断、隔離した経路への自動バックアップ、サイバー保険の自動付帯を、予防・復旧・補償の3本柱として一体で用意しています。

診断して終わりではなく、検出した弱点と対策案を月1回の相談会で説明し、パスワードや権限設定の見直しを自社で進められるよう伴走する運用支援型です。専任のセキュリティ担当者がいない企業でも、対策の優先順位づけから継続的な点検までを任せられます。

すでに導入済みのUTM（統合脅威管理）・EDR・NDRが正しく機能しているかを客観的に診断する補完・検証役であり、これらを置き換える常駐型の検知製品ではありません。料金は1台あたり月額1,250円から（公式サイト記載）で、初期費用や台数ごとの詳細は要問い合わせです。

8. NEC IoT/OTセキュリティ（日本電気株式会社）

日本電気株式会社（NEC）は、工場や社会インフラの制御システム（OT）・IoT機器向けのセキュリティを、監視・機器保護・コンサルの複数の製品とサービスを束ねて提供しています。守り方を一つの方式に絞らず、組み合わせて提案できるSIer型の提供形態が特徴です。

監視面では、制御システム監視サービス「ActSecure χ（カイ）」がNozomi Networks社の監視技術（Nozomi Guardian）を用いてOT/IoTネットワークを受動的に監視します。

あわせて、機器側で許可リスト型のアクセス制御・異常検知を行う「IoT Device Security Manager」や、IEC 62443-2-1に基づく工場セキュリティのリスクアセスメント・ポリシー策定支援も扱います。

監視・機器保護・診断を1社で組み合わせて提案できるため、守り方を横断して体制づくりから相談したい工場・インフラ事業者に向きます。料金は個別見積もりで、構成やサービスごとに要問い合わせです。

9. OTセキュリティモニタリング（NTTアドバンステクノロジ株式会社）

工場やビルで稼働する制御システム（OT）・IoT機器のネットワークを、生産や設備の稼働を止めずに監視するマネージド型サービスです。NTTアドバンステクノロジ株式会社が、NTTコミュニケーションズのOT/IoT監視基盤「OsecT（オーセクト）」の運用を支援する形で提供しています。

既存スイッチのミラーポートにセンサー端末を接続して通信を受動的に取得するため、機器へのソフト導入や構成変更を伴わずに導入できます。資産・通信の可視化や脅威・脆弱性の検知に加え、専門アナリストによる分析と週次レポートまでを代行する運用支援型です。

公式サイトによると、対応するエンジニアは情報セキュリティの国際資格CISSPやIEC 62443関連の資格を持ちます。スマートビルを運営するNTT都市開発では、設備を止めずに監視を始め、未承認端末や不要な通信を可視化した導入事例が公表されています。

監視の仕組みだけでなく分析・対応の体制ごと任せたい、稼働中の設備を止められない工場・ビルの運用部門に向きます。料金は要問い合わせです。

10. IoT Securityサービス（株式会社シーイーシー）

株式会社シーイーシー（CEC）は、工場のIoT活用に伴うセキュリティ対策として、工場内を生産・専有・共有・屋外の「4つのエリア」に分け、エリアごとに対策を当てはめる構成を打ち出しています（2018年発表の「SecureCross Factory」）。

その中核にあたる「ICS Defender」（2019年2月提供開始）は、生産ラインに負荷をかけない受動監視で不審な通信や制御機器の異常を検知し、マルウェア感染時には該当機器をネットワークから遮断します。検知後は「CEC SOC」が24時間365日の監視・通報・対応を担う運用代行型です。

監視人材が不足する工場で、検知から対応までを委ねたい場合の選択肢になります。ただし、公式サイトに本サービス専用のページはなく、公開情報は2018〜2019年の発表が中心です。現行の提供状況や正式なサービス名称は変わっている可能性があるため、検討時はシーイーシーへ直接問い合わせて最新の内容を確かめることをおすすめします。

弱点を洗い出すサービス（脆弱性診断・コンサルティング）

11. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）

国内のホワイトハッカーが手作業で弱点を洗い出す脆弱性診断・ペネトレーションテストを中核に据えたサービスで、運営はGMOサイバーセキュリティ byイエラエ株式会社です。攻撃シナリオを設定し、疑似的なサイバー攻撃を仕掛けてその実現性を確かめるペネトレーションテストを提供しています。

診断対象はWebアプリ・スマホアプリ・クラウド・ネットワークなどに加え、IoTデバイスを対象としたペネトレーションテスト（ハードウェア解析・ソフトウェア解析・インタフェーステスト）にも対応します。機器そのものの作りに踏み込んで弱点を調べたいときの選択肢になります。

手動主体の診断の料金は、診断したい画面数やAPI数、選択する攻撃シナリオをもとにした個別見積もりで、金額は公式サイトに掲載がなく要問い合わせです。外部に公開した資産を継続的に診断するツール型の「GMOサイバー攻撃ネットde診断 ASM（アタックサーフェス管理）」は、月額4万円から提供されています。

12. NRIセキュア（NRIセキュアテクノロジーズ株式会社）

野村総合研究所の単一株主によるセキュリティ専業会社、NRIセキュアテクノロジーズ株式会社が提供する、専門家の手作業を主体としたセキュリティ診断・ペネトレーションテストです。SANSの専門トレーニング修了者や、CISSP・OSCPなどの国際資格を持つ診断員が実際に手を動かして弱点を調べます。

診断メニューはWebアプリ・プラットフォーム・クラウド・ソースコードなどに加え、工場やプラントの制御系を対象としたOTネットワーク・アセスメントと、機器単体を調べるデバイス・セキュリティ診断をそろえています。IT環境とOT環境の双方を同じ会社に任せたいときの候補になります。

さらに、機器を「作る側」に向けたコンサルティングメニューも用意しています。産業用制御システム向けのAchilles認証取得支援、半導体業界向けのSEMI規格準拠支援、欧州IoTセキュリティ法規準拠支援などがあり、使う側・作る側の双方の相談に応じられます。

多くの診断は個別見積もりですが、ペネトレーションテストは800万円（税別）からと公式に金額が示されています。プロジェクト全体で2.5カ月程度、テスト期間は5〜10営業日が目安で、オンサイト・リモートのいずれにも対応し、報告会で結果の説明を受けられます。

機器そのものを守るサービス（エンドポイント保護）

13. Trend Vision One（トレンドマイクロ株式会社）

トレンドマイクロ株式会社が提供する、エンドポイント・サーバー・クラウド・メール・ネットワークなど複数のレイヤーを単一のコンソールで管理する統合サイバーセキュリティプラットフォームです。中核となるXDR（拡張検知・対応）が各レイヤーのアクティビティデータを相関分析し、攻撃の全体像を可視化します。

XDRの対象には工場や制御環境のOT・ネットワークも含まれ、IoT・OT機器の脅威を既存のエンドポイント・サーバー保護と同じコンソールで相関的に検知できます。ネットワークを外側から監視するタイプとは異なり、機器のエンドポイントとXDRを横断して守る選択肢にあたります。

ライセンスは2026年にクレジットベースの単一ライセンス「TrendAI Flex」へ一本化され、必要なソリューションにクレジットを割り当てて導入・管理する方式です。費用はクレジットの単価と割当に応じて決まるため、具体的な金額は要問い合わせとなります。

14. CrackProof（株式会社DNPハイパーテック）

アプリやソフトウェアを不正な解析・改ざんから守る耐タンパー型の保護技術です。大日本印刷グループの株式会社DNPハイパーテックが提供しています。実行形式のバイナリファイルをラッピングし、動的・静的な解析によるリバースエンジニアリングを防ぎます。

ソースコードを書き換える必要がなく、開発工数や性能への影響を抑えて導入できるとされます。Windowsに加えAndroid・iOSなどのモバイルにも対応し、IoT機器や車載システムでは、制御データの漏えいやスマートフォンアプリ経由の不正操作を防ぐ用途で使われます。

機器を外側から監視するのではなく、機器やアプリそのものを保護する点が守り方の特徴です。公開されている技術情報には時期の古いものが含まれるため、現行の対応プラットフォームや料金は導入検討時に確認が必要です。

作る側の認証・適合を支援するサービス（開発者向け）

15. IoT セキュリティコンサルティングサービス（サイバートラスト株式会社）

IoT機器を自社で開発・製造する立場の企業に向けて、製品を各種のセキュリティ基準や認証制度に適合させるための支援メニューを揃えたコンサルティングサービスです。提供元のサイバートラスト株式会社は1997年から認証局（CA）を運用してきた事業者で、証明書の設計やSBOM（ソフトウェア部品表）の作成・運用に関する相談窓口も備えています。

対応する標準・制度は多岐にわたります。産業用オートメーション向けのIEC 62443-4-2、消費者向けIoTのETSI EN 303 645、国内制度のJC-STAR★1、車両型式認証のISO 21434・UN-R155、半導体製造装置向けのSEMI E187／E188などが対象で、それぞれに簡易ギャップ分析や取得支援を用意しています。

JC-STAR★1の取得支援では、書類レビューと実機テストを行い、適合チェックリストや試験エビデンスを提供します。

標準ごとのギャップ分析から認証・適合の取得支援、IoT機器の公開ポートへの侵入を試みる脆弱性診断・ペネトレーションテストまでを一貫して依頼できます。料金は公式サイトに記載がなく、メニュー別の個別見積もりとなるため、具体的な費用は問い合わせフォームからの相談が必要です。また、EU CRAの自己適合宣言支援は現在準備中とされています。

自社に合うIoT・OTセキュリティサービスの選び方

守り方のタイプを押さえたら、次は自社の環境に合うサービスを絞り込みます。ここでは、IoT・OT特有の事情を踏まえた4つの観点を順に確認します。

守りたい対象はIT寄りかOT寄りか

まず、守りたい機器が事務系のネットワーク（IT）寄りか、生産設備や施設制御（OT）寄りかを切り分けることが出発点になります。OT環境は、独自の通信方式（産業用プロトコル）を使うことが多く、一般的なIT向けの製品では通信の中身を読み取れない場合があります。

工場の制御系やビル設備を守りたいなら、対象とする産業用プロトコルに対応しているか、OT環境での実績があるかが確認のポイントになります。事務系ネットワーク上のIoT機器（複合機・カメラ・会議システムなど）が主なら、IT向けの監視・保護製品で守れるケースが多くなります。

機器にソフトを入れられるか、止められるか

守りたい機器に保護ソフト（エージェント）を入れられるか、導入作業のために一時的にでも止められるかは、選べる守り方を左右します。ソフトを入れられない・止められない機器が中心なら、通信を外側から観察する監視・可視化タイプが現実的な選択肢になります。

逆に、これから作る機器や保護機能を組み込める機器なら、エンドポイント保護タイプも選択肢になります。この見極めは具体的な守り方に直結するため、エージェント／EDRを入れられない機器・古い機器をどう守るかで詳しく掘り下げます。

運用する人手を自社で確保できるか

監視の仕組みを入れても、検知したアラートを読み解き、異常時に対応できる人手がなければ守りは機能しません。自社にセキュリティの専任者を置けるなら、監視・可視化の製品を自前で運用する選択肢があります。専任者を置きにくい、あるいは夜間・休日の対応に不安があるなら、分析や対応まで代行するマネージドタイプが向きます。「道具を入れる」のか「体制ごと任せる」のかは、自社の人員体制から判断するとよいでしょう。

機器を使う側か、作る側か

自社でIoT機器を使う側なのか、IoT機器を開発・製造して世に出す側なのかで、必要なサービスは変わります。使う側なら、ここまで述べた監視・診断・保護・マネージドが中心です。作る側なら、製品が各種の基準・認証制度に適合しているかを評価・支援するサービスが必要になります。両者は目的が異なるため、自社の立場を取り違えないことが、無駄のない選定の出発点になります。

IoT・OTセキュリティサービスの費用相場（提供形態別）

IoT・OTセキュリティサービスの費用は、守り方のタイプと提供形態によって考え方が異なります。守る機器の台数やネットワークの規模、監視の範囲によって大きく変わるため、多くのサービスが個別見積もりを基本としています。ここでは、提供形態ごとの費用の考え方を整理します。

• 監視・可視化タイプ：監視機器（アプライアンス）やソフトウェアの導入費用に加え、監視対象の規模に応じた月額または年額がかかるのが一般的です。可視化だけなら比較的小さく始められる一方、監視範囲を広げるほど費用は増えます。
• 脆弱性診断・コンサルタイプ：診断の範囲や対象機器数に応じたスポット（単発）の費用が中心です。簡易な診断から、実際の侵入を試す本格的なテストまで幅があり、対象が広いほど高くなります。
• マネージドタイプ：監視の仕組みに運用代行の人件費が乗るため、月額の継続費用が中心になります。自社で専任者を雇う場合の人件費と比べて判断すると、費用感をつかみやすくなります。
• エンドポイント保護タイプ：守る機器1台あたりのライセンス費用が基本です。製品に組み込む形の保護技術では、開発時の導入費用として見積もられることもあります。

具体的な金額の公開例をいくつか挙げます。不正接続を検知・遮断するセンサー型の監視機器で1台あたり14万円程度から、攻撃リスクを継続的に可視化する診断で月額4万円程度から、本格的なペネトレーションテストで800万円程度から、運用まで任せるマネージド型で月額1台あたり1,250円程度から、といった水準が示されています。

いずれのタイプも、公開されている料金はあくまで目安で、実際の金額は守る対象と範囲を伝えたうえでの見積もりで決まります。複数のサービスから見積もりを取り、同じ条件で比べることが、費用を正しく判断する近道です。

エージェント／EDRを入れられない機器・古い機器をどう守るか

IoT・OTセキュリティでもっとも悩ましいのが、「守りたい機器にセキュリティソフトを入れられない」「サポートの切れた古い機器が現役で動いている」という状況です。

パソコン向けに普及しているEDR（Endpoint Detection and Response：端末で不審な挙動を検知・対応する仕組み）は、ソフトを機器に常駐させる前提のため、こうした機器にはそのまま使えません。ここでは、実務でつまずきやすいポイントと現実的な守り方を整理します。

設備を止めずに守る：外側から観察する監視

機器に手を入れられないなら、通信を外側から観察して異常を見つける方法が現実的です。ネットワーク機器から通信を複製して受け取る方式（ミラーリングなどの受動的な監視）なら、監視対象の機器には一切変更を加えず、稼働を止めずに導入できます。機器そのものを守るのではなく、機器のまわりの通信を見張ることで、乗っ取りや不審な通信の兆候をとらえる考え方です。

古い機器・サポート切れ機器への備え

更新プログラムが提供されない古い機器は、弱点が残ったまま使い続けることになります。この場合、機器自体を守るのが難しいため、ネットワークを区切って影響範囲を閉じ込める（他の機器や外部と直接つながらないようにする）対策と、通信監視による早期発見を組み合わせるのが基本です。まずはどの機器がどこまで古く、何とつながっているかを可視化し、優先して隔離・監視すべき機器を見極めることが先決です。

誤検知をどう抑えるか

OT環境は決まった通信が繰り返される特性があるため、ふだんの通信を学習させることで、異常の検知精度を高めやすい面があります。一方で、導入直後は正常な通信まで異常と判定する誤検知が起きがちです。

これを抑えるには、導入初期に自社の環境に合わせて検知のルールを調整する期間（チューニング）を見込み、どの通信を正常とみなすかを現場と擦り合わせることが欠かせません。検知の精度は製品の性能だけでなく、この導入時の設計に左右されます。

対応する人手がないときの選択肢

監視を入れても、アラートに対応する人手がなければ、異常を見つけても次の一手を打てません。自社で対応体制を組めない場合は、分析から対応までを代行するマネージドタイプに任せる、あるいは監視製品の導入と運用支援をセットで提供するサービスを選ぶのが現実的です。「入れて終わり」にせず、検知後に誰がどう動くかまで設計しておくことが、守りを機能させる鍵になります。

導入・運用でつまずかないための注意点

サービスを選んだあとも、導入・運用の進め方を誤ると効果が出ません。IoT・OTセキュリティで特に注意したい点を挙げます。

• 守る対象の棚卸しから始める：どこにどんな機器があり、何とつながっているかを把握していないと、守る範囲が定まりません。可視化で現状を把握してから対策範囲を定めることが先決です。
• 運用の負荷を見込む：監視を始めるとアラートが日々発生します。それを確認・判断し続ける負荷を見込み、自社で担うのか委託するのかを導入前に決めておくことが欠かせません。
• 機器のライフサイクルを管理する：長く使う機器ほど、途中でサポートが切れたり弱点が見つかったりします。導入時点だけでなく、更新・入れ替え・廃棄まで見据えた管理が必要です。
• 調達先も含めたリスクを考える：機器や部品の供給元が攻撃を受ければ、自社の機器にも影響が及びます。サプライチェーン全体を視野に入れ、調達する機器のセキュリティも確認します。
• 既存の仕組みとの統合を確認する：すでに社内で使っているファイアウォールや監視の仕組みと組み合わせて使えるか、検知した情報を一元的に扱えるかを確認しておくと、運用が分断されずに済みます。

IoT・OTセキュリティの最新動向と押さえたい制度・ガイドライン

IoT・OTセキュリティは、技術と制度の両面で動きが続いています。導入の検討材料として、また社内で予算を通すための根拠として、押さえておきたい動向を整理します。

ゼロトラスト・AIによる異常検知などの技術トレンド

技術面では、「社内ネットワークの中なら安全」という前提を置かず、すべての通信を検証する考え方（ゼロトラスト）がIoT・OTの領域にも広がっています。加えて、ふだんの通信をAIや機械学習で学習し、わずかな異常を自動で見つける検知技術が高度化しています。決まった通信が繰り返されるOT環境は、こうした「正常を学習して異常を浮かび上がらせる」手法と相性がよく、監視・可視化タイプを中心に採用が進んでいます。

押さえておきたい制度・ガイドライン・認証

IoT・OTには、機器の種類や立場に応じて複数の制度・基準があります。射程が異なるため、自社に関係するものを見極めることが大切です。

IEC 62443は、工場やプラント、ビル設備などの産業用の制御システム（IACS）を対象とした、サイバーセキュリティの国際規格シリーズです。資産を保有する側・製品を作るベンダー・システムを組むインテグレーターといった立場ごとに要件を定めています。

たとえば製品コンポーネントの技術要件を定める4-2、事業者の管理体制を定める2-1のように、立場・対象ごとにパートが分かれています。工場やビルの制御系を守りたい企業にとって、もっとも関係の深い基準です。

JC-STAR（セキュリティ要件適合評価及びラベリング制度）は、IoT製品のセキュリティを評価・可視化する日本の制度で、2025年に運用が始まりました。IPA（情報処理推進機構）が運営し、制度の位置づけを次のように説明しています。

独自に定める適合基準（セキュリティ技術要件）に基づき、IoT製品に対する適合基準への適合性を確認・可視化する、我が国の制度です。

出典：セキュリティ要件適合評価及びラベリング制度（JC-STAR）｜独立行政法人情報処理推進機構（IPA）

JC-STARは適合のレベルに応じて★1から★4のラベルを設けています。★1・★2はベンダー自身が要件を満たすと宣言する自己適合宣言、★3・★4は重要なシステムでの利用を想定し、独立した第三者評価機関の評価報告書に基づいてIPAが認証・ラベルを付与する仕組みです。

2025年3月25日に★1の申請受付が始まり、同年5月21日には★1適合ラベルの取得製品リストが公開されました。これは機器を「使う側」が選ぶサービスの分類ではなく、機器を調達・開発する際に押さえておきたい制度動向にあたります。

ETSI EN 303 645は、消費者向けのIoT機器を対象としたサイバーセキュリティのベースライン要件を定めた欧州の標準で、JC-STARが調和先として参照する規格の一つです。

ただしこの規格は、その適用範囲において、製造・医療・その他の産業用途で主に使われる機器は対象外と明記しています。したがって、工場やビルで稼働する産業用のIoT・OT機器に直接当てはまる基準ではなく、消費者向けのIoT製品を開発・販売する立場で押さえる規格と理解するのが正確です。

出典・参考資料（4件）

• 出典：セキュリティ要件適合評価及びラベリング制度（JC-STAR）｜独立行政法人情報処理推進機構（IPA）（https://www.ipa.go.jp/security/jc-star/index.html）
• 出典：IoT製品のセキュリティ適合性を可視化する「JC-STAR」の★1適合ラベル取得製品リストを公開（2025年5月21日）｜IPA（https://www.ipa.go.jp/pressrelease/2025/press20250521.html）
• 参考資料：ISA/IEC 62443 Series of Standards｜International Society of Automation（ISA）（https://www.isa.org/standards-and-publications/isa-standards/isa-iec-62443-series-of-standards）
• 参考資料：ETSI EN 303 645 V3.1.3 (2024-09) Cyber Security for Consumer Internet of Things: Baseline Requirements｜ETSI（https://www.etsi.org/deliver/etsi_en/303600_303699/303645/03.01.03_60/en_303645v030103p.pdf）

まとめ

自社のIoT・OT機器を守るサービスは、「どう守るか」で大きく5つのタイプに分かれます。機器にソフトを入れられるか、設備を止められるか、運用する人手を確保できるか、そして機器を使う側か作る側か——こうした自社の条件に照らすと、必要な守り方が見えてきます。古い機器やEDRを入れられない機器は、通信を外側から観察する監視や、ネットワークの隔離と組み合わせて守るのが現実的です。

サービスによって対応できる機器・環境や提供形態、費用の考え方は異なります。守りたい対象を棚卸ししたうえで、複数のサービスの資料を取り寄せ、同じ条件で比較することが、自社に合う一社を見つける近道です。

よくある質問（FAQ）

Q. IoT・OTセキュリティサービスとは何ですか？

A. IoT・OTセキュリティサービスとは、工場・ビル・店舗などで稼働するIoT・OT機器を、サイバー攻撃から守る製品・サービスの総称です。パソコンやサーバーと違い、ソフトを後から入れられない・設備を止められない・長く使い続けるといった制約があるため、通信を外側から監視する、弱点を診断する、機器内部を保護する、運用まで代行する、といった守り方に分かれます。

「どう守るか」の違いがそのまま選び方の軸になります。

Q. IoT・OTセキュリティサービスとEDRは何が違うのですか？

A. EDRはパソコンやサーバーにソフト（エージェント）を常駐させて守る仕組みで、ソフトを入れられないIoT・OT機器にはそのままでは使えない点が最大の違いです。そのためIoT・OTセキュリティサービスでは、機器に手を入れず、通信を外側から観察して異常を見つける監視・可視化型が中心になります。

EDRを置き換えるものではなく、EDRが届かない制御機器・組み込み機器を補う関係にあると捉えると分かりやすいです。

Q. IoT・OTセキュリティサービスは、エージェントやEDRを入れられない機器や古い機器でも守れますか？

A. 守れます。機器に一切ソフトを入れず、ネットワークを流れる通信を複製して外側から観察する受動的な監視なら、稼働を止めずに導入できます。サポートが切れた古い機器は、弱点が残ったままでも、ネットワークを区切って影響範囲を閉じ込める対策と通信監視を組み合わせて守るのが基本です。まずは何がどこにつながっているかを可視化し、優先して隔離・監視すべき機器を見極めることが第一歩です。

Q. IoT・OTセキュリティサービスは、すでに使っているファイアウォールやUTMと併用できますか？

A. 多くの場合、併用できます。ファイアウォールやUTMが外部との境界で通信を出入りさせる「門番」なのに対し、IoT・OTの監視・可視化型は構内ネットワークの内部を見張る役割で、守る層が異なるためです。

監視型の多くは通信を複製して受け取るだけで既存の構成を変えないため、現在使っている機器を活かしたまま追加できます。検知した情報を既存のファイアウォールやSIEMと連携できるかは、製品ごとに確認しておくと運用が分断されずに済みます。

Q. IoT・OTセキュリティの監視を導入した後の運用まで任せられますか？

A. 任せられます。分析・対応・定期レポートまで専門チームが代行するマネージドタイプを選べば、検知後の運用ごと外部に委ねられます。監視を入れてもアラートに対応する人手がなければ守りは機能しないため、自社に専任者を置きにくい場合や夜間・休日の対応に不安がある場合は、監視製品の導入と運用支援をセットで提供するサービスや、マネージドタイプが現実的な選択肢になります。

「入れて終わり」にせず、検知後に誰がどう動くかまで設計しておくことが肝心です。

Q. IoT・OTセキュリティサービスを導入すると、誤検知で現場の負担が増えませんか？

A. 導入初期に検知ルールを自社の環境へ合わせて調整する期間（チューニング）を見込めば、誤検知による負担は抑えられます。決まった通信が繰り返されるOT環境は、ふだんの通信を学習させやすく、異常の検知精度を高めやすい特性があります。

導入直後は正常な通信まで異常と判定しがちなので、どの通信を正常とみなすかを現場と擦り合わせることが、運用負荷を増やさない鍵になります。検知の精度は製品の性能だけでなく、この導入時の設計にも左右されます。

Q. 複数の工場・拠点がある場合、どこから導入すればよいですか？

A. すべてを一度に導入しようとせず、リスクが高い拠点から段階的に広げるのが現実的です。外部ネットワークとの接続が多い拠点、古い制御機器が残る拠点、止まると影響が大きい基幹工場などは優先度が高くなります。まずは対象拠点で何がどこにつながっているかを可視化し、守るべき機器と通信を見極めてから横展開すると、投資と運用の負荷を抑えられます。

拠点ごとにネットワーク構成が異なることも多いため、複数拠点への展開実績がある提供元か、全社の監視結果をまとめて把握できる体制があるかも、選ぶ際の確認ポイントになります。

Q. IoT・OTセキュリティサービスの費用はどのくらいかかりますか？

A. 守る機器の台数や監視範囲によって大きく変わるため、多くのサービスが個別見積もりを基本としています。公開されている目安では、運用代行型で1台あたり月額1,250円程度から、外部に公開した資産を継続的に診断するツール型で月額4万円程度から、といった水準が示されています。より本格的なペネトレーションテストになると、800万円程度からという例もあります。

監視・可視化型は、監視機器やソフトの導入費に監視範囲に応じた月額・年額が加わるのが一般的です。同じ条件で複数社の見積もりを取り、比べることが費用を正しく判断する近道です。

IoT・OTセキュリティサービスの資料をまとめてチェック

MCB FinTechカタログでは、自社のIoT・OT機器を守るセキュリティサービスの最新資料を無料で一括請求できます。守り方のタイプ・対応する機器や環境・提供形態を見比べて、自社に合うサービスを効率的に検討できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。