OTセキュリティ対策ベンダーの選び方｜専業・ネットワーク系・SIerの違いと製品の種類を比較

工場やプラントの制御システムを、サイバー攻撃からどう守ればよいか悩んでいませんか。生産ラインを止められない設備や、サポートの切れた古い制御機器が残る現場では、情報システム向けのセキュリティ対策をそのまま持ち込めないことが多く、どの製品やベンダーに相談すればよいか分かりにくいのが実情です。

OTセキュリティ対策を担うベンダーには、専業の製品ベンダーからネットワーク機器ベンダー、監視や運用まで伴走するSIer・技術商社まで幅があり、それぞれ守れる範囲と守り方が異なります。自社の工場環境と課題に合う提供元を選ぶには、どのような観点で比較すればよいのでしょうか。

本記事では、OTセキュリティ対策の製品・サービスを提供するベンダーを、守り方のタイプと提供元タイプの両面から比較・解説します。資産の可視化や異常検知、ネットワーク分離、エンドポイント保護、監視運用といった対応領域の違いと、制御系を止めずに導入できるか、どこまで任せられるかといった選定観点を整理しました。

工場のセキュリティ対策を検討する担当者が、自社に合うベンダーを見極める材料としてご活用ください。

どの守り方・提供元が自社に向くか迷う場合は、いくつかの質問に答えるだけで候補を絞り込める「30秒で終わる選定診断ツール」もご用意しています。ぜひこちらもご活用ください。

OTセキュリティ対策とベンダー選びがなぜ難しいのか

ここからは、OTセキュリティが情報システムのセキュリティと何が違い、なぜ提供元や守り方の見極めが必要になるのかを整理します。

OTは、工場やプラントの機械・設備を動かす制御システムの総称です。プログラマブルロジックコントローラ（PLC）や、設備を監視・操作するSCADA、現場の操作画面であるHMIなどで構成され、情報システム（IT）が扱う文書やメールとは守るべき対象の性質が大きく異なります。

最大の違いは、優先される価値の順序です。情報システムでは情報の機密性が重視される一方、OTでは設備を止めないこと、すなわち可用性が最優先されます。生産ラインを止める停止や再起動が許されにくいため、通信を遮断したり端末を再起動したりする情報システム向けの対策を、そのまま制御系に適用しづらい事情があります。

制御機器そのものにも制約があります。PLCやHMIは10年以上の長期稼働を前提に導入され、サポートの終了した古いOSが残ることも珍しくありません。処理能力にも余裕がないため、パソコンやサーバーで使うエンドポイント防御（EDR）のソフトを制御端末に入れられない現場が多く、端末の中からではなくネットワーク側から守る発想が求められます。

侵入の経路も情報システムとは異なります。工場ネットワークは外部から隔離されている前提で設計されてきましたが、設備ベンダーや保守業者による遠隔保守、持ち込みのパソコンやUSBメモリ、生産データを活用するための情報システムとの接続などを通じて、外部とつながる経路が増えています。こうした経路をふさぎつつ設備を止めない対策が、OTセキュリティには必要です。

こうした特性から、守り方は一つではなく、資産の可視化、ネットワークの分離、保守経路の保護、監視・運用といった複数の領域に分かれます。提供元も、OT専業の製品ベンダーから、ネットワーク機器ベンダー、監視や運用まで請け負うSIer・技術商社まで幅広く、それぞれ得意とする領域が違います。自社の課題がどの領域にあり、どこまで自前で対応しどこから任せたいかによって、選ぶべきベンダーは変わります。

また、OTは社内で守るべき対象の一つで、情報システムやオフィスの端末など、守る対象が変われば適した対策も変わります。社内のセキュリティを守る対象別に俯瞰したうえで、その中でOT対策の位置づけを確かめたい場合は、以下の記事が参考になります。

OTセキュリティ製品・ベンダーの種類（守り方のタイプと提供元タイプ）

ここからは、OTセキュリティ製品・ベンダーを守り方（対応領域）で4つのタイプに分け、それぞれどんな提供元が担う傾向にあるかを解説します。自社の課題がどのタイプに当てはまるかを見極める出発点としてご覧ください。

ネットワークを分離・防御して制御系を守るタイプ

情報システムと制御システムの境界や、工場内の区画の間にファイアウォールを置き、通信を監視・制御して不要なアクセスを遮断する守り方です。制御端末そのものに手を入れずに、ネットワーク側から設備を守れるため、EDRを入れられない機器が多い現場でも導入しやすい特徴があります。区画（ゾーン）を分けて通信経路（コンデュイット）を絞り込む設計は、後述するIEC 62443の考え方とも結びつきます。

この領域は、情報システム向けのファイアウォールで実績を持つネットワーク機器ベンダーが、産業用途向けの製品を展開して担うことが多い領域です。

資産を可視化し異常を検知するタイプ

工場内にどんな機器があり、どの機器がどう通信しているかを洗い出し、通常と異なる挙動を検知する守り方です。多くの製品が、通信を複製（ミラーリング）して読み取るパッシブ方式を採用し、制御システムに負荷をかけず稼働を止めずに導入できる設計を取っています。何がつながっているか把握できていない工場で、現状把握から始めたい場合に適した領域です。

この領域は、工場・制御システムに特化したOTセキュリティ専業ベンダーが中心ですが、情報システム向けのネットワーク監視（NDR）製品をOTに応用するベンダーも含まれます。

エンドポイント・リモートアクセスを保護するタイプ

制御端末そのものの保護や、設備ベンダー・保守業者による遠隔保守の安全化に重点を置く守り方です。産業用途向けに設計された軽量なエンドポイント対策や、持ち込み媒体の検査、遠隔アクセスを監視・制御する仕組みで、保守経路からの侵入を防ぎます。外部業者の出入りが多い工場や、遠隔保守を安全に運用したい現場で課題になりやすい領域です。

この領域は、産業用エンドポイントを扱うOT専業ベンダーと、安全な遠隔アクセスに特化した専業ベンダーが担う傾向にあります。

監視・運用（SOC）まで任せられるタイプ

製品を導入して終わりではなく、監視・検知後の対応・脅威情報の提供・体制づくりの支援まで、運用を継続的に引き受ける守り方です。OTに詳しい人材が社内におらず、導入後の監視やインシデント対応まで任せたい場合に向きます。製品単体ではなく、サービスとして運用まで含めて提供される点が特徴です。

この領域は、監視運用を事業とするOT専業ベンダーのほか、複数ベンダーの製品を組み合わせて導入から運用まで伴走するSIer・技術商社が担います。

以下は、4つの守り方タイプの特徴と、本記事で紹介する主なサービスを整理したものです。実際の製品は複数のタイプにまたがることも多いため、おおまかな位置づけとしてご覧ください。

※上記は各タイプにおける一般的な傾向です。個別のサービスの対応領域や実装方式は各社情報をご確認ください。

しかし、自社がどのタイプに適しているか、といった判断が難しいケースも存在します。そのような場合でも自社の状況に合わせて最適なサービスを最短で見つけられるように、「30秒で終わる選定診断ツール」を以下にご用意しています。ぜひこちらもご活用ください。

【比較表】OTセキュリティ製品・サービスを比較

ここからは、自社の課題や要件に合わせた比較・選定ができるよう、主要なOTセキュリティ製品・サービスを、守り方（対応領域）・実装方式・対応範囲・提供元タイプの軸で横断的にご紹介します。

※上記は各サービスの公開情報に基づく一般的な傾向です。実際の対応範囲や提供形態は各社情報をご確認ください。

OTセキュリティ製品・サービスの個別紹介

ここからは、各サービスの守備範囲・特徴・実装方式・向いている企業を、守り方のタイプ別に紹介します。複数のタイプにまたがるサービスは、中心となる領域で分類しています。

ネットワークを分離・防御して制御系を守るサービス

情報システムと制御系の境界や工場内の区画で通信を制御し、不要なアクセスを遮断するサービスを紹介します。

1. Check Point Quantum（チェック・ポイント・ソフトウェア・テクノロジーズ株式会社）

Check Point Quantum は、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社が国内窓口を担う次世代ファイアウォール（NGFW）の製品群です。

ファイアウォールやIPSなどを同一ゲートウェイ上で動かす多層防御が主体で、工場・制御系に対しては、IoT/OTデバイス向けの「Quantum IoT Protect」や産業環境向けの堅牢化モデル「Quantum Rugged」を通じて守備範囲を広げます。

IoT Protect では、ネットワーク上のIoT/OT機器を自動で識別してリスクを評価します。公式は1,500超のIoT/OTプロトコルの可視化・制御と、ネットワーク経由の攻撃に対する300超の防御シグネチャに対応すると公称しています。脆弱な機器には、物理的なパッチを当てずに既知の攻撃を遮断する仮想パッチを適用し、自動生成したポリシーで通信を区切って横移動を抑えます。

ただし、これらはOT専用に設計された製品ではなく、IoTとOTを兼ねて守るアプローチである点には留意が必要です。既存のファイアウォールをCheck Pointで統一している、またはITとOTを同じ基盤でまとめて防御したい企業に向く一方、制御系に特化した深い可視化・検知を求める場合は専業製品との比較が欠かせません。料金は公開されておらず、国内販売代理店経由の見積もりとなります。

2. Fortinet OT Security（フォーティネットジャパン合同会社）

Fortinet OT Security は、フォーティネットジャパン合同会社が国内展開する、ファイアウォール「FortiGate」を中核とした工場・産業環境向けのセキュリティ基盤です。スイッチやエンドポイント、リモートアクセス、SOC分析までを「Security Fabric」という枠組みで束ね、ITとOTを単一OS（FortiOS）で統合して守る構成を取ります。

ネットワークの分離では、FortiGateやFortiSwitchの堅牢化（Rugged）モデルを粉塵・振動のある現場に設置し、ポート単位でポリシーを適用してセグメント化します。レガシー機器には「FortiGuard OT Security Service」と組み合わせた仮想パッチで対応し、保守業者の遠隔接続は「FortiPAM」で制御します。

OTプロトコルの対応数は、公式が競合の2倍以上と公称しています（具体的なプロトコル名は非公表）。

製品開発のライフサイクルではIEC 62443-4-1のML2認証を取得し、Gartnerの2026年「Magic Quadrant for CPS Protection Platforms」ではChallengerに位置づけられています。ネットワーク機器をFortinetで揃えている、またはファイアウォールの更改に合わせてOT防御まで広げたい企業に向きます。

国内ではSCSKや三井情報など認定パートナーが導入・運用を担い、料金は非開示で個別見積もりとなります。

3. Palo Alto Networks IoT Security（パロアルトネットワークス株式会社）

Palo Alto Networks IoT Security のうち工場・制御系を対象とするのが「Industrial OT Security」で、パロアルトネットワークス株式会社が国内提供を担います。

機械学習やApp-ID・Device-IDを使ってOT・IT・IoT機器を識別し、80以上の属性でプロファイリングしたうえで、ゾーンに区切ったセグメンテーションや最小権限のアクセスポリシーを組み立てます。

資産の検出はパッシブで非侵入の方式を採り、公式は追加センサーの導入が不要としています。次世代ファイアウォールやPrismaを経由して機器を把握するため、制御端末そのものに手を入れずに導入できる構成です。脆弱な機器には「Frontier Virtual Patching」による仮想パッチを適用します。

OT向けには、公式が350以上のOT資産プロファイル、1,070以上のOT/ICS向けApp-ID、650以上のOT脅威シグネチャに対応すると示しています。すでにPalo Altoの次世代ファイアウォールを利用していて、同じ基盤でOT機器の可視化とセグメンテーションまで広げたい企業に向きます。料金は公開されておらず、デモや問い合わせを経た個別見積もりとなります。

資産を可視化し異常を検知するサービス

工場内の機器と通信を洗い出し、稼働を止めずに異常を検知するサービスを紹介します。

4. Network Blackbox（株式会社クワッドマイナージャパン）

韓国で開発されたネットワーク検出・対応（NDR）製品を、日本法人の株式会社クワッドマイナージャパンが国内で提供しています。国内総代理店のフーバーブレインが資本参加しており、販売チャネルが複数並立しています。

ミラーリングで通信を複製し、全パケットを保存・検査する方式のため、制御端末にソフトを常駐させずに導入できます。EDRを入れられない制御コンソールが残る工場でも、ネットワーク側から通信を可視化し、シグネチャに加えてユーザー行為の記録に基づく検出やデータ内容の分析で異常を捉えます。

制御系に特化した専用製品ではなく、情報システムにも用いる汎用のNDRを、EDRを導入できない機器の可視化に応用する位置づけです。保存したパケットは後から検索でき、検知後にさかのぼって通信を調べる用途にも対応します。

5. Darktrace（Darktrace Limited）

Darktrace は、組織ごとの平常時の挙動をAIが自己学習し、そこからの逸脱として既知・未知の脅威を検知する仕組みを中核に据えています。英国ケンブリッジに本社を置き、日本ではダークトレース・ジャパン株式会社が国内営業を担います。

制御システム向けには専用の製品ライン Darktrace/OT を用意しています。産業用制御ネットワーク（ICS・SCADA）の通信をシグネチャやルールに依存せず、制御系を止めないパッシブな方式で分析し、各機器や操作員の平常な挙動を学習して異常を検知します。

IT側とOT側をまたぐ攻撃経路を可視化する機能（PREVENT/OT）も備えます。電力・水道・石油ガスなど重要インフラでの導入を公称しており、社内にOTの検知基盤を持たない組織が挙動ベースの監視を取り入れる選択肢になります。

6. Nozomi Networks（Nozomi Networks Inc.）

産業用制御システムのセキュリティを専業とする米国 Nozomi Networks の製品群で、2026年1月に三菱電機の完全子会社となりました。発表では独立した事業運営を維持するとされています。

中核はネットワークセンサーの Guardian で、ミラーポートやタップに接続して通信を受動的に分析し、通信を妨げずにOT/IoT資産を可視化して異常を検知します。必要に応じて機器へ問い合わせる Smart Polling やエンドポイントセンサーの Arc、無線向けの Guardian Air を加え、可視化の範囲を段階的に広げられます。

複数拠点はSaaSの Vantage で一元管理でき、完全オンプレミスやエアギャップ環境にも対応します。IEC 62443 など各国の規格・規制への対応ページを公開しており、日本国内はテリロジーなどの代理店経由で提供されます。

7. Claroty（Claroty Ltd.）

Claroty のプラットフォームは、OTに加えてIoTや医療機器、ビル設備まで含むサイバーフィジカルシステム（CPS）を一つの対象として扱います。本社は米国ニューヨークにあります。

資産の可視化からエクスポージャー（露出）の管理、脅威検知、外部業者のセキュアリモートアクセスまでを一体で提供します。可視化にはパッシブ監視やセーフクエリなど複数の手法を併用し、ネットワーク保護では新たな機器を追加せず、既存のファイアウォール・スイッチ・NAC（ネットワークアクセス制御）を通じてセグメンテーションを適用します。

提供形態はSaaSの xDome とオンプレミスの CTD の両方から選べます。調査会社ガートナーの2026年「CPS保護プラットフォーム」のMagic Quadrantでリーダーに位置づけられています。国内はFirstQA Systemsとの協業が公表されており、提供窓口は確認が必要です。

8. Tenable OT Security（Tenable, Inc.）

資産の脆弱性管理に強みを持つ Tenable が、OT向けに提供するのがこの製品です。現在はエクスポージャー管理基盤 Tenable One に統合され、Tenable One OT Exposure の名称になっています。国内には日本法人 Tenable Network Security Japan 株式会社があります。

OT・IoT・ITを横断して資産インベントリを構築し、検出した脆弱性を実際の悪用可能性で優先順位づけして露出を管理します。通信を複製するパッシブ監視に、機器へ非破壊で問い合わせるとうたう Safe Active Query を併用し、ファームウェアや構成まで把握します。

IEC 62443 や NIST、NERC CIP などへの準拠状況を自動でマッピングし、レポートにまとめられます。SIEM・SOAR やファイアウォール、ServiceNow などと連携でき、既存のITセキュリティ運用にOTを取り込みたい企業に向きます。クラウド・オンプレミス・エアギャップ環境に対応します。

9. Forescout（Forescout Technologies, Inc.）

エージェントを入れずにネットワーク接続機器を検出・分類する可視化を中核に据えたのが、Forescout の Vistaro Platform です。開発元は米国の Forescout Technologies, Inc. です。

IPで接続された機器を検出・分類し、EDRを導入できないIoT・OT・医療機器もネットワーク側から把握します。可視化にとどまらず、ネットワークアクセス制御やセグメンテーション、IT/OT/IoTを横断するゼロトラスト（Universal ZTNA）、IEC 62443に準拠したOTの脅威検知までを同一プラットフォームで適用できます。

国内では長らくマクニカネットワークスが販売代理店を務めてきましたが、2026年1月付で新規販売の終了が告知されており、現時点の提供経路は確認が必要です。可視化から制御までを一つの基盤で完結させたい企業が候補にできる製品です。

10. Armis（Armis, Inc.）

Armis Centrix は、ネットワーク上のIT・IoT・OT・医療機器をエージェントなしで検出・可視化するプラットフォームです。開発元は米国の Armis, Inc. です。

パッシブな監視と機器への問い合わせを併用して稼働中の機器を検出・分類し、AIを用いる Asset Intelligence Engine が各機器の種別やリスクといった文脈を補完して、脆弱性管理や脅威検知につなげます。IT・IoT・OT・医療機器を単一のプラットフォームで横断的に扱える点が特徴です。

提供形態はエージェントレスのSaaSが基本で、オプションでオンプレミスのコレクタも使えます。国内ではArmisの日本拠点アルミス・ジャパンと、販売代理店のサイバネットシステム株式会社が2023年11月から提供しています。

エンドポイント・リモートアクセスを保護するサービス

制御端末の保護や、保守業者による遠隔保守の安全化に重点を置くサービスを紹介します。

11. TXOne Networks（TXOne Networks Japan 合同会社）

TXOne Networksは、工場やプラントの制御システム（OT/ICS）に特化したセキュリティ専業ベンダーです。トレンドマイクロと、産業用ネットワーク機器を手がけるMOXAが設立した企業で、国内ではTXOne Networks Japan 合同会社が導入と支援を担います。

製品はエンドポイント保護のStellar、ネットワーク防御のEdge、持ち込み機器や媒体を検査するElement、拠点をまたいで資産を集中管理するSenninで構成されます。なかでもStellarは、サポートの切れた古いWindowsが残る制御端末も、稼働を止めずに保護する前提で設計されている点が特徴です。

持ち込みのパソコンやUSBメモリの検査は、Elementがソフトの導入なしで担うため、外部業者の出入りが多い現場でも導入しやすい方式です。ISA/IEC 62443などの規格に準拠しており、こうした規格への対応を求められる製造業やエネルギー分野での検討に向きます。

12. Dispel（Dispel, LLC）

設備メーカーや保守業者による工場システムへの遠隔アクセスを、工場側で監視・制御・検証できるようにするのがDispelです。米国のDispel, LLCが提供し、国内では三菱電機やオーシャンブリッジなどとの提携・販売を通じて導入できます。

アクセス権限はクラウドから一元的に管理し、利用者ごとに接続できる機器やプロトコルを細かく絞り込めます。遠隔作業はリアルタイムで監視・記録できるため、現場に立ち会わなくても外部業者の作業内容を把握できます。

導入はブラウザから使う仮想デスクトップを経由する方式で、制御端末側に専用ソフトを入れずに遠隔保守を安全化できます。複数の設備ベンダーがそれぞれ別の経路で遠隔保守に入っている工場で、アクセスを一本化して管理したい場合に向きます。

13. Zscaler for IoT and OT（Zscaler, Inc.）

クラウドセキュリティを手がけるZscaler, Inc.が、自社のゼロトラスト基盤Zero Trust Exchangeを土台にIoT・OT向けへ広げたアクセス制御の仕組みが、Zscaler for IoT and OTです。制御機器そのものを守るのではなく、IoTやOTの資産へつながる接続経路をクラウド経由で絞り込む考え方を取ります。

特権リモートアクセスの機能では、社外の従業員や保守を担うサードパーティの業者が、VPNやジャンプホストを経由せずにOTシステムへ直接接続できます。OTネットワークをインターネット側から見えないように隠し、承認された利用者だけがつなげる状態をつくります。

管理対象外の機器に専用クライアントを入れずに使えるクライアントレスの方式で、既存のVPNやPAM（特権アクセス管理）を置き換える使い方を想定しています。国内での提供形態やサポート体制は公開情報からは確認しづらいため、自社の環境で使えるかは個別に問い合わせて確かめるとよいでしょう。

監視・運用（SOC）まで任せられるサービス

製品導入後の監視・対応・運用まで継続的に引き受けるサービスを紹介します。

14. Trend Vision One（トレンドマイクロ株式会社）

トレンドマイクロ株式会社が提供する統合サイバーセキュリティプラットフォームです。エンドポイント・サーバー・クラウド・メール・ネットワークなど複数のレイヤーを単一コンソールに集約し、各レイヤーのデータを相関分析して脅威を検知・対応するXDR（複数の領域を横断して脅威を検知・対応する仕組み）を中核に据えています。

2023年8月に、制御系（OT）を含む自社製品の統合管理・運用機能を搭載すると発表しており、IT・エンドポイントを中心とする統合XDRのなかにOTレイヤーを取り込む構成を取ります。OT/ICSだけに特化した専業プラットフォームではなく、IT全体の監視の延長で制御系も対象に含める位置づけである点は、OT専業製品との違いとして押さえておきたいところです。

運用面では、マネージド検知・対応（MDR）やインシデント対応サービス、24時間365日体制の総合サポートをメニューとして用意しています。既存のIT環境と制御系をまとめて監視し、検知後の対応まで一元的に任せたい企業に向く提供形態です。料金はクレジットベースの単一ライセンス「TrendAI Flex」で提供され、具体的な費用は問い合わせが必要です。

15. Dragos（Dragos, Inc.）

米国のDragos, Inc.が開発する、電力・石油ガス・製造・水道といった重要インフラのOT/ICS環境に特化したセキュリティプラットフォームです。資産の可視化とネットワーク監視を土台に、脅威検知と対応プレイブック、脆弱性管理までを担います。脆弱性は「Now/Next/Never」モデルで優先度を分け、対応すべき対象を絞り込む設計を取っています。

製品単体にとどまらない点が特徴で、マネージド脅威ハンティングサービス「OT Watch」と、OT固有の脅威情報を提供する「Dragos WorldView」を組み合わせ、監視・運用まで専門家が伴走します。10年以上のOT固有のデータに基づく脅威インテリジェンスを運用に生かす構成で、社内にOTの専門人材がいない企業でも体制を整えやすくなります。

日本国内へは直販ではなく、技術商社マクニカの代理店経由で提供されます。Forrester Wave（OT security solutions）やGartnerのMagic Quadrant for CPS Protection Platformsでリーダーと評価されています。料金は非開示のため、導入を検討する際はマクニカへの問い合わせが必要です。

ここまでの製品を自社だけで導入・運用するのが難しい場合は、複数ベンダーの製品を組み合わせ、要件定義から設計・導入・監視運用・インシデント対応までを一括で引き受けるSIer・技術商社が相談先になります。社内にOTセキュリティの専門人材が揃っていなくても、アセスメントから24時間365日の監視運用まで伴走してもらえる提供元を紹介します。

16. 三菱電機 OTセキュリティソリューション（三菱電機株式会社）

工場・制御システム向けのセキュリティ対策を、アセスメント（課題抽出・対策立案）→対策導入→運用の3フェーズでワンストップに提供する、三菱電機株式会社のSIer型サービスです。制御機器ベンダーとして培ったOTの知見に、金融分野で培ったITセキュリティの経験を組み合わせる点を掲げています。

守り方は、ネットワークや資産の可視化・異常検知、設備ベンダーや保守業者のアクセスを監視・制御するゼロトラストリモートアクセス（Dispel）、マイクロセグメント化・エンドポイント防御まで横断的にカバーします。運用フェーズでは24時間365日のSOC監視を用意し、三菱電機以外のOT機器にも対応すると明記しています。

要件定義から設計・導入、24時間365日の監視運用までを一社に任せたい、OTセキュリティ人材が不足している製造現場に向く提供形態です。価格は個別見積りで、公式サイトの問い合わせフォームから相談する形になります。

17. OTセキュリティ Type N（ソフトバンク株式会社）

OT環境の可視化・検知製品であるNozomi Networks Guardianの導入を軸に、事前のコンサルティングから運用監視までをトータルで支援する、ソフトバンク株式会社のソリューションです。工場やスマートファクトリーを目指す企業のOT環境を対象としています。

提供範囲は、リスクアセスメントやガイドライン作成・PoC（有償）・導入設計を含む導入コンサルティングから、Nozomi Guardianの導入・保守まで及びます。さらに、MSS（マネージドセキュリティサービス）による24時間365日の監視・解析、重要度に応じたアラート通知と推奨対処方法の提案までを担います。

導入はスイッチのミラーポートを使うパッシブモニタリング方式で、稼働中の制御システムに影響を与えにくい形で監視を始められる点を特徴に挙げています。

Nozomi Guardianという製品を自社だけで運用するのではなく、導入設計から監視・インシデント対応までを通信事業者の運用基盤に委ねたい企業に向きます。料金は非開示でPoCは有償のため、詳細は問い合わせが必要です。

OTセキュリティベンダー・製品の選び方

ここからは、自社の工場環境と課題から、どのベンダー・製品が合うかを絞り込む観点を解説します。

守備範囲（対応領域）で選ぶ

OTセキュリティ製品は、資産の可視化・異常検知、ネットワーク分離、エンドポイント・リモートアクセス保護、監視運用のどこに強みを持つかが製品ごとに異なります。まず自社の課題がどの領域にあるかを見極めることが、選定の出発点になります。

たとえば工場内に何がつながっているか把握できていないなら、資産を可視化し異常を検知するタイプから始めるのが現実的です。外部業者の遠隔保守が侵入経路として気になるなら、リモートアクセスを保護するタイプが課題に直結します。1製品で全領域を担える場合もありますが、領域ごとに別のベンダーを組み合わせる構成も一般的なため、自社が最初に手を打つべき領域を定めてから候補を比べると選びやすくなります。

制御系を止めずに導入・運用できるか（実装方式）で選ぶ

OTでは設備を止めないことが最優先されるため、導入や運用の過程で制御システムに負荷や中断を与えない実装方式かどうかが、情報システム以上に重要な選定軸になります。

確認したいのは、制御端末にソフトを常駐させる必要があるか、通信を複製して読み取るパッシブ方式か、能動的に機器へ問い合わせる方式かといった点です。EDRを入れられない制御端末が多い現場では、端末に手を入れずネットワーク側から守れる製品が候補になります。能動的に機器を調べる方式は情報が詳しく得られる一方、古い制御機器では想定外の挙動を招くことがあるため、自社の設備との相性を確認することが欠かせません。

導入時の通信の止め方や、既存設備への影響範囲を、製品ごとに具体的に確かめておくと安全です。

提供元タイプ（専業・ネットワーク機器ベンダー・SIer／技術商社）で選ぶ｜製品提供だけか、監視・運用・インシデント対応まで任せられるか

提供元のタイプによって、製品を導入した後にどこまで伴走してもらえるかが変わります。自社にOT専任の人材がどの程度いるかによって、適した提供元は分かれます。

OTセキュリティ専業ベンダーは制御システムに特化した機能や知見に強みがあり、ネットワーク機器ベンダーは既存のネットワーク製品と組み合わせた防御に強みを持ちます。一方、SIerや技術商社は複数ベンダーの製品を組み合わせ、要件定義から導入・監視・運用までを請け負うため、社内にOTの専門人材がいなくても体制を整えやすくなります。

製品だけを調達して自社で運用するのか、監視やインシデント対応まで任せたいのかを先に決めると、専業ベンダーの製品を選ぶべきか、伴走型のSIer・技術商社に相談すべきかを判断しやすくなります。

OT専業ベンダーやネットワーク機器ベンダーの製品だけでなく、導入から監視・運用までを任せられるSIer・技術商社も選択肢になります。自社だけで運用しきれないと感じる場合は、こうした伴走型の提供元も相談先の候補として比べてみてください。

提供形態・費用感で選ぶ

OTセキュリティ製品は、料金を公開せず個別見積もりとするベンダーが大半です。守る対象の規模や拠点数、監視・運用を含めるかによって費用が変わるため、相場を一律に示しにくいのが実情です。

費用を見積もる際は、製品のライセンス費用だけでなく、センサーなどの機器費用、導入時の設定や設計の費用、監視・運用を委託する場合の月額費用まで含めて比べることが大切です。複数の製品を組み合わせる構成では全体像が見えにくくなるため、どこまでを1社に任せ、どこを自社で担うかを整理したうえで、各社に同じ前提で見積もりを依頼すると比較しやすくなります。

IEC 62443・経産省「工場サイバーセキュリティガイドライン」への対応

ここからは、OTセキュリティの対策を社内稟議や取引先への説明の根拠として整理する際に参照される、国際規格IEC 62443と、国内のガイドラインについて解説します。

IEC 62443は、産業用オートメーション・制御システム（IACS、いわゆるOT）のセキュリティを対象とした国際規格のシリーズです。システム全体の要件を定めるIEC 62443-3-3や、製品・機器（コンポーネント）の技術的なセキュリティ要件を定めるIEC 62443-4-2などで構成されます。

これらの規格は、区画（ゾーン）と通信経路（コンデュイット）でシステムを区切る考え方や、7つの基本要件に基づいて守りの強度を段階的に示すセキュリティレベルといった枠組みを定めており、OTをどう守るかを体系的に整理する際の共通言語として参照されます。

出典・参考資料（2件）

• 参考資料：IEC 62443-3-3:2013 System security requirements and security levels｜International Electrotechnical Commission
• 参考資料：IEC 62443-4-2:2019 Technical security requirements for IACS components｜International Electrotechnical Commission

国内では、経済産業省が2022年に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を策定し、現在は2025年に公開されたVer1.1が最新版です。工場システム、すなわち産業制御システム（ICS/OT）やこれらを構成する機器を対象に、対策を企画・実行するための手引きとして、保護対象の整理から対策の立案、実行と見直しまでの進め方を示しています。

出典・参考資料（1件）

• 参考資料：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン｜経済産業省

このガイドライン自身も、工場システムを取り巻く社会的な要件として、国際規格への対応が取引先や市場から求められる場面が増えていることに触れています。

標準規格「IEC62443」や、サイバーセキュリティに関わるグローバルに参照されている米国「NIST SP 800シリーズ」、経済産業省の産業分野別セキュリティ対策ガイドラインなどへの対応が要求される場合も増えている。

出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン 概要（付録B-4）｜経済産業省

このように、IEC 62443や経産省ガイドラインへの対応は、自社の対策の妥当性を社内で説明したり、取引先からの要請に応えたりするための根拠として機能します。ベンダーや製品を選ぶ際は、これらの規格・ガイドラインの考え方に沿った対策ができるか、対応状況をどこまで示せるかを確認しておくと、導入後の説明責任を果たしやすくなります。

経産省ガイドライン自体も、対策の重要度を考える際に国際規格の考え方を参照することが有効だとしており、国内のガイドラインと国際規格はどちらかを選ぶものではなく、あわせて活用するものと位置づけられます。

まとめ

OTセキュリティ対策のベンダー選びは、守り方のタイプと提供元タイプの2つの軸で整理すると見通しが立てやすくなります。

まず、自社の課題が資産の可視化・異常検知、ネットワーク分離、エンドポイント・リモートアクセス保護、監視運用のどの領域にあるかを見極めます。そのうえで、制御系を止めずに導入できる実装方式か、製品の調達だけでよいのか監視・運用まで任せたいのかを踏まえ、専業ベンダー・ネットワーク機器ベンダー・SIer／技術商社のどこに相談するかを決めると、候補を絞り込みやすくなります。

IEC 62443や経産省ガイドラインへの対応も、社内稟議や取引先への説明の根拠として確認しておくとよいでしょう。

各サービスの対応領域や実装方式は比較表で、自社に合うタイプの絞り込みは診断ツールで確認できます。気になるサービスの詳しい資料は、以下からまとめて請求できますので、各社を見比べて自社に合う提供元の検討を進めてください。

よくある質問（FAQ）

Q. OTセキュリティとは何ですか？

A. OTセキュリティとは、工場やプラントの制御システム（OT）をサイバー攻撃から守るための対策の総称です。OTはPLCやSCADA、HMIといった設備を動かす機器で構成され、情報の機密性を重視する情報システム（IT）と違い、設備を止めないこと（可用性）が最優先されます。そのため、通信の遮断や端末の再起動を伴うIT向けの対策をそのまま持ち込みにくく、制御系の特性に合わせた守り方が必要になります。

Q. OTセキュリティ対策は、何がつながっているか分からない工場では何から始めればよいですか？

A. まずは制御ネットワーク上の機器と通信を洗い出す「資産の可視化」から着手するのが基本です。設備の台帳や構成図が古く、現場に何が接続されているか分からない工場でも、通信を複製して読み取るパッシブ方式の製品を使えば、稼働を止めずに機器の一覧と通信の流れを自動で把握できます。

現場に残る設備台帳と突き合わせて実態とのずれを確かめ、見つかった機器のリスクを評価して、優先度の高いところから対策を打つと無理なく進められます。

Q. OTセキュリティ製品の「パッシブ方式」と「アクティブ方式」はどう見分ければよいですか？

A. 通信を複製して読み取るだけで機器に触れないのがパッシブ方式、機器へ能動的に問い合わせて情報を集めるのがアクティブ方式です。見分けるには、スイッチのミラーポートやTAPに接続するだけで済むのか、それとも制御機器へ問い合わせの通信を送るのかを各ベンダーに確認します。

アクティブ方式は構成やファームウェアまで詳しく把握できる一方、古い制御機器では想定外の挙動を招くことがあるため、自社の設備で問題が起きないかを試験導入で確かめておくと安全です。

Q. OTセキュリティ製品のPoC（試験導入）はどう進めればよいですか。有償ですか？

A. PoCはスイッチのミラーポートに接続して一部のラインや拠点で試す形が一般的で、有償か無償かはベンダーによって分かれます。始める前に、検知の精度・既存設備への影響の有無・運用の手間といった評価指標を決めておくと、本番導入の判断がしやすくなります。OT現場・情報システム部門・経営の三者で評価の体制をつくり、同じ前提で各製品を比べることも大切です。

費用が発生する場合もあるため、申し込み時に有償か無償か、期間や対象範囲を確認しておきましょう。

Q. OTの監視を、既存のIT部門のSOC（監視体制）に統合することはできますか？

A. OTの監視をIT部門の既存SOCに統合することは可能ですが、OT特有のプロトコルや「設備を止めない」運用に対応できるかの見極めが欠かせません。SIEMやSOARと連携できる製品を選べば、OT側で検知したアラートを既存の監視基盤に取り込めます。

ただし、ITと同じ感覚で通信を遮断したり端末を隔離したりすると生産に影響するため、OTの事情を踏まえた対応手順をあらかじめ整えるか、OTの知見を持つ提供元に監視・運用を任せる選択も検討するとよいでしょう。

Q. 設備ベンダーや保守業者の遠隔接続は、どうすれば安全にできますか？

A. 接続の経路を一本化したうえで、利用者ごとに接続先の機器やプロトコルを絞り込み、作業を監視・記録できる仕組みを設けるのが基本です。設備ベンダーごとに別々のVPNやツールで遠隔保守に入っている状態は、侵入経路が増え、誰が何をしたかの把握も難しくなります。専用のリモートアクセス製品を使えば、誰がどの機器にいつ接続したかを記録し、現場に立ち会わなくても作業内容を把握できます。

制御端末側に専用ソフトを入れずに導入できる方式を選べば、設備への負担も抑えられます。

OTセキュリティ対策の料金・資料を一括チェック

MCB FinTechカタログでは、工場やプラントの制御システムを守るOTセキュリティ製品・サービスの最新資料を無料で一括請求できます。守り方のタイプや対応範囲、導入のしやすさを見比べながら、自社に合う提供元を探せます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。