OTセキュリティ対策の会社の選び方｜ITベンダー選びとの違いと見極める5つのポイント

工場や生産設備の制御システム（OT：Operational Technology、制御・運用技術）を狙ったサイバー攻撃が相次ぎ、製造業でもセキュリティ対策の見直しが急がれています。ランサムウェアによる工場停止の報道や、取引先・親会社からの対策状況の説明要求をきっかけに、OTセキュリティに本格的に取り組む企業が増えています。

ただし、OTのセキュリティはオフィスのIT環境とは守り方の勘所が異なり、専任の人員や知見がそろわないなかで自社だけで進めるのは簡単ではありません。対策を任せる会社を探すとき、どの基準で選べばよいのでしょうか。

本記事では、OTセキュリティ対策の会社を「ITベンダー選びとの違い」から見極める5つのポイントを整理し、対策の進め方や費用の目安、依頼先となる会社・サービスまでを解説します。自社の工場やネットワークに合う相談先を見つけるための検討材料としてご活用ください。

ITとOTのセキュリティはどう違うのか

会社の選び方に入る前に、OTのセキュリティがオフィスのITとどこが違うのかを押さえておきます。この違いが、そのまま「どんな会社に頼むべきか」を見極める物差しになります。

※上記は一般的な傾向の整理です。実際の環境は工場・設備ごとに異なります。

最大の違いは、守るべき最優先事項です。ITが情報の機密性を重視するのに対し、OTは設備を止めないこと、すなわち可用性が最も重視されます。経済産業省のガイドラインも、工場システムは安定・連続した稼働が求められるため、可用性の確保が必要だと説明しています。

工場システムは、製品事業の伸張や事業／生産の継続(BC： Business Continuity)を実現するために、生産性をより高め、コスト低減(C: Cost)を図るとともに、安定的かつ継続的に製品を生産するためのシステムであり、その安定・連続稼働が求められる。つまり、システム及び構成要素の可用性(Availability)が求められる。

出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0｜経済産業省

この可用性最優先という性質から、ITでは当たり前の対策がOTでは使いにくくなります。たとえば脆弱性が見つかってもすぐにパッチを当てて再起動する、という運用は、生産ラインを止められない工場では現実的でないことが少なくありません。同ガイドラインも、パッチ適用がかえって障害という別の脅威につながる場合があると注意を促しています。

セキュリティ脅威への対策としてパッチの適用等を行うことにより、システム・機器の障害という別の脅威につながる場合もある。セキュリティ対策実施の際には、対策による影響の把握、障害が発生した場合にも事業・生産への影響を最小限にする対策範囲・スケジュール等を考慮する必要がある。

出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0｜経済産業省

加えて、工場には10年以上使われ続ける機器や、更新しづらいサポート切れのOSが残りやすく、制御を担うPLC（Programmable Logic Controller、プログラマブル・ロジック・コントローラ）やSCADA（Supervisory Control And Data Acquisition、監視制御システム）といった、IT部門になじみのない機器も多くあります。

担当も、IT部門と生産技術・設備部門に分かれていて連携が取りにくいという事情を抱えがちです。こうした違いを理解したうえで対策を任せられるかが、会社選びの出発点になります。

出典・参考資料（1件）

• 出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0｜経済産業省

工場のネットワークにつながる制御機器やIoT機器に、具体的にどのような弱点があり、どこから手を打つべきかを知っておくと、会社選びの際にも相手の提案を見極めやすくなります。代表的な脆弱性の種類や実際の被害事例、対策の優先順位は以下の記事で解説しています。

OTセキュリティ対策の会社の選び方（5つの見極めポイント）

ここからは、OTセキュリティ対策を任せる会社を選ぶときの見極めポイントを5つに整理します。いずれも「ITのセキュリティ会社を選ぶときとはここが違う」という視点が軸です。自社の工場や課題に当てはめながら確認してみてください。

稼働を止めずに導入できるか

第一に確認したいのは、生産を止めずに対策を導入できるかどうかです。前述のとおりOTは可用性が最優先で、対策のために工場を停止させるわけにはいきません。経済産業省のガイドラインも、稼働中の工場では操業に影響のない対策を優先し、影響のある対策は定期停止期間に導入する、という考え方を示しています。

システム構成面の対策については、稼働中の工場システムへ影響のない対策を優先しつつ、影響がある対策が必要な場合には、工場システムの定期的なシステム停止期間（メンテナンス期間など）に導入することを検討する。

出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0｜経済産業省

そのため、ネットワークを流れる通信をミラーリングで受動的に監視するなど、機器や通信に手を加えずに導入できる方式を持っているか、稼働中の環境での導入実績があるかが見極めの目安になります。「まず止めずに現状を把握する」提案ができる会社は、OTの事情を理解していると判断できます。

出典・参考資料（1件）

• 出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0｜経済産業省

PLC・SCADAなどのOT機器・プロトコルを理解しているか

2つ目は、制御系ならではの機器や通信方式への理解です。工場のネットワークには、PLCやSCADAといった制御機器、産業用の独自プロトコルが流れており、オフィス向けのセキュリティ製品では正しく認識・保護できないことがあります。

対応できる産業用プロトコルの種類や、制御機器を資産として自動で洗い出せるか、といった点を具体的に説明できる会社を選びたいところです。IT側の知識に加えて、現場の制御システムに踏み込める専門性があるかどうかが、OTを扱える会社かを分ける境目になります。

製造業・工場での導入実績があるか

3つ目は、製造業・工場での導入実績です。OTセキュリティは、業種や生産設備の構成によって注意点が変わります。自社と近い業種・規模の工場での実績がある会社は、現場で起こりやすい問題や、止めてはいけない工程の勘所を踏まえた提案を期待できます。

実績を確認するときは、導入社数のアピールだけでなく、どの業種・どんな構成の工場で、どこまでの範囲を担ったのかを聞くと、自社に当てはまるかを判断できます。公式サイトの事例や、商談時に示される参考事例の中身まで確かめておくと確実です。

IEC 62443・経済産業省ガイドラインに沿った進め方ができるか

4つ目は、公的なガイドラインや国際標準に沿って対策を進められるかです。OTセキュリティには、経済産業省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」や、制御システムのセキュリティに関する国際標準であるIEC 62443があります。

IEC 62443は、セキュリティ要件が同等の領域をゾーンとして区切り、その境界の通信を絞って被害の広がりを抑えるという考え方を示す国際標準です。経済産業省のガイドラインも、このゾーンの考え方を採り入れ、IEC 62443を参照しています。

こうした枠組みに沿って現状把握から対策までを説明できる会社であれば、場当たり的でなく筋道立てて進めてくれると判断できます。取引先や監査への説明が必要なときにも、公的な基準に沿っていることは根拠になります。

制御システムにはIEC 62443に基づく認証制度もあり、国内では技術研究組合制御システムセキュリティセンター（CSSC）が実施するEDSA認証などがあります。製品や会社がこうした基準・認証にどう対応しているかも、確認の手がかりになります。

出典・参考資料（1件）

• 出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0｜経済産業省

現状把握から運用監視まで一貫して任せられるか

5つ目は、対応範囲の広さです。OTセキュリティは製品を導入して終わりではなく、現状把握から対策、そして日々の監視・運用までが続きます。製品販売だけの会社だと、導入後の運用が自社の負担として残りがちです。

資産の可視化や診断といった入口から、検知後の対応、24時間の監視までのどこまでを担えるのかを確認しておくと、自社でやる範囲と任せる範囲を設計できます。運用に手が回らない場合は、監視まで引き受けられる会社かどうかが特に重要になります。どこまで任せるかの整理は、後述の「自社対応と外部委託の切り分け」も参考にしてください。

依頼先となる会社・サービスのタイプと守備範囲

OTセキュリティに関わる会社・サービスは、何を得意とするかによっていくつかのタイプに分かれます。自社の課題がどこにあるかによって、相談すべき相手が変わります。まずは全体像をつかんでおきましょう。

※タイプは便宜的な整理で、複数のタイプにまたがる会社・サービスもあります。

守備範囲は、後述する対策の進め方（可視化・リスク評価・防御・検知・監視）のどこをカバーするかで見ると整理しやすくなります。可視化や検知を得意とする製品・サービスもあれば、現状把握から運用まで幅広く伴走するタイプもあります。自社がどの段階でつまずいているかに合わせて、相談先のタイプを選ぶとよいでしょう。具体的な会社・サービス名は、記事後半の比較表と個別紹介で取り上げます。

OTセキュリティ対策の費用の目安

費用も気になるところですが、OTセキュリティの価格は工場の規模・資産数・守備範囲によって大きく変わり、多くの製品・サービスが個別見積りを基本としています。ここでは金額そのものより、どんな費用がかかるのかという構造を押さえておきましょう。

費用はおおむね次の3つに分けられます。1つ目は、現状把握やリスク診断（アセスメント）にかかる一時的な費用です。2つ目は、可視化・検知などの製品・ツールのライセンス費用で、監視する資産数や拠点数に応じて変わるのが一般的です。3つ目は、監視や運用を外部に任せる場合の継続的な費用で、月額や年額で発生します。

公表されている定価が少ないため、正確な金額は各社の資料や見積りで確認するのが確実です。複数の会社から見積りを取る際は、同じ守備範囲（どこまでを含むか）でそろえて比べると、価格の差が何に由来するのかを判断しやすくなります。

OTセキュリティ対策の進め方（可視化から監視までの流れ）

会社に任せる範囲を決めるには、対策全体がどう進むのかを知っておくと役立ちます。ここでは、実務でよく使われる5つの段階に沿って進め方を整理します。どこを自社で担い、どこを任せるかを考える土台にしてください。

ステップ1. 資産の可視化・現状把握

最初に、工場のネットワークに何がつながっているかを把握します。台帳にない端末、想定外の外部接続、保守用の経路などを洗い出し、守るべき対象を明らかにする段階です。ここが抜けると、この後の優先順位づけや対策が的外れになります。通信をミラーリングで受動的に調べるなど、稼働を止めずに現状を可視化する方法が使われます。

ステップ2. リスク評価と優先順位づけ

次に、把握した資産ごとにリスクを評価し、どこから対策するかの優先順位を決めます。限られた予算と人員では、すべてに一度に手を打つことはできません。経済産業省のガイドラインも、保護対象の重要度が対策の優先度を決める判断材料になるとしています。発生の可能性・事業への影響度・対策のコストといった観点で、重要なものから対策を集中させます。

ステップ3. ネットワーク分離などの防御

優先順位が決まったら、被害が広がらないようにネットワークを分ける防御を進めます。経済産業省のガイドラインは、重要度が同等の領域を「ゾーン」として区切り、その考え方を次のように説明しています。

ゾーンを設定することにより、工場の機器やシステムを大きな括りの概念として俯瞰的に見ることが可能となり、あるゾーン内の保護対象がサイバー攻撃を受けた際、別のゾーンへ影響が及ぶことを抑止し、被害を極小化することを検討することが可能となる。

出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0｜経済産業省

ネットワークを分割し、分割した領域の間のアクセスを制御したり、外部からの接続を最小限に絞ったりすることで、攻撃を受けても工場全体が止まらないようにします。パッチを当てにくい機器も、区画を分けて到達されにくくすることで守ります。

ステップ4. OT-IDSなどによる検知

防御を固めたうえで、不審な通信や異常を早く捉える検知の仕組みを整えます。OT向けの侵入検知システム（OT-IDS）などを使い、制御ネットワークの通信を見張ります。経済産業省のガイドラインでも、セキュリティ監視・異常検知は対策項目の一つに挙げられており、多くの工場でまだ未整備のまま残りやすい領域です。

ステップ5. SOCでの監視・運用

最後に、検知した情報を日々確認し、異常があれば対応する監視・運用を続けます。24時間の監視を担うSOC（Security Operation Center、セキュリティ監視センター）に任せる方法もあります。監視は専門知識と人手を要するため、ここを外部に委託する企業は少なくありません。継続的な分析の結果は、次の対策の改善にも活かせます。

各ステップの拠り所：経済産業省ガイドライン・IEC 62443との対応

ここまでの5つの段階は、公的なガイドラインの考え方に沿って実務向けに整理したものです。経済産業省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」は、対策を次の3つのステップで段階的に進め、PDCAで回していくことを示しています。

ステップ 1　内外要件（経営層の取組や法令等）や業務、保護対象等の整理
ステップ 2　セキュリティ対策の立案
ステップ 3　セキュリティ対策の実行、及び計画・対策・運用体制の不断の見直し（PDCA サイクルの実施）

出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0｜経済産業省

本記事の5つの段階は、この「保護対象の整理（可視化）→対策の立案（リスク評価・防御の検討）→実行と見直し（検知・監視）」という流れを、現場で使いやすい形に対応づけたものです。ガイドライン自体が5つの段階を定めているわけではありません。

ただし、資産の整理を出発点にし、重要度で優先順位をつけるという骨格は共通しています。国際標準のIEC 62443も含め、こうした枠組みに沿って進められるかが、会社選びの一つの目安になります。

出典・参考資料（1件）

• 出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0｜経済産業省

OTセキュリティ対策は自社対応と外部委託をどう切り分けるか

進め方の全体像が見えたら、どこを自社で担い、どこを専門会社に任せるかを切り分けます。すべてを外注する必要も、すべてを自社で抱える必要もありません。自社の人員と知見に合わせて役割を分けるのが現実的です。

自社が主体で進めやすいのは、現場を知る立場だからこそできる部分です。工場にある機器の棚卸し、USBメモリや持ち込み端末のルールづくり、IT部門と生産技術部門の役割分担や責任者の明確化などは、外部に丸投げしにくく、自社が旗振り役になった方が進みます。

一方で、専門性や人手が要る部分は外部に任せた方が確実です。脆弱性診断やリスクアセスメント、攻撃を想定した検証、そして24時間の監視・検知は、専門の知識と体制がないと続けられません。特に監視は、異常を見つけたあとの対応まで含めて任せられる相手がいると、少ない人員でも運用が回ります。

24時間の監視そのものを外部に任せたい場合は、製品を導入するだけでなく、監視・運用まで代行するマネージド検知・対応（MDR）や、セキュリティ監視を専門に請け負うMSSP（マネージドセキュリティサービスプロバイダー）と組み合わせる方法があります。紹介するサービスの中にも、こうした監視の代行まで提供するものがあるため、どこまで運用を任せられるかを確認しておくとよいでしょう。

自社だけでは手が足りない監視や検知を任せたい場合は、工場の制御システムを含むネットワークを守るサービスを比較して、自社に合う相談先を探すとよいでしょう。資料を取り寄せて、対応できる範囲や方式を見比べるところから始められます。

OTセキュリティ対策を依頼できる会社・サービス

ここからは、工場・制御システムのセキュリティに対応できる主要な会社・サービスを紹介します。守備範囲や方式はそれぞれ異なるため、まず比較表で全体像をつかみ、気になるサービスは個別の紹介で特徴を確認してください。紹介の順番は、優劣やおすすめ度を示すものではありません。

ここで取り上げるのは工場・制御システム（OT）に対応する会社・サービスです。エンドポイントやネットワークなど守る対象ごとに、社内セキュリティ全体のソリューションを見渡して検討したい場合は、以下の記事で対象別のタイプと代表サービス、選び方を整理しています。

※2026年10月時点の各社公式情報・公開資料にもとづく整理です。料金や対応範囲は変更される場合があるため、最新の内容は各社にご確認ください。

1. Network Blackbox（株式会社クワッドマイナージャパン）

ネットワークを流れる全パケットを収集して脅威を可視化・分析するNDR（Network Detection and Response、ネットワーク検知・対応）製品が Network Blackbox です。通信をミラーリングで取り込む方式のため、既存のネットワークや制御機器に手を加えずに導入でき、稼働を止めにくいOT環境と相性が良いのが特徴です。

全パケットを保存するため、検知したあとに通信をさかのぼって調べる事後調査（フォレンジック）に強みがあります。国内では総代理店で資本参加先でもあるフーバーブレインが販売を担い、製造業のスマート工場での活用も紹介されています。EDR（Endpoint Detection and Response、端末での検知・対応）を入れにくい制御端末を含むネットワークを、通信側から見張りたい場合に適した製品です。

2. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）

KATABAMIは、鍵から生成する特殊なIPアドレスで通信を暗号化する独自技術をベースに、サイバー攻撃対策を「予防・復旧・補償」の3本柱でパッケージ提供する国産サービスです。予防では月次（年12回）で脆弱性を診断し、復旧では隔離した経路でデータを自動バックアップ、補償ではサイバー保険を自動付帯します。

公式サイトでは「最短2週間で利用開始」「設置10分」をうたい、専任のセキュリティ人材がいない中小企業でも短期間・省工数で始められる設計を訴求しています。IoT機器への技術の組み込みも手がける国産の提供元で、診断と毎月の報告・相談で伴走してほしい企業に適したパッケージです。

同社の北口氏は、製造業でOTのセキュリティ対策の必要性が高まっている背景について、独自インタビューで次のように語っています。

3. Trend Vision One（トレンドマイクロ株式会社）

Trend Vision Oneは、トレンドマイクロが提供する統合サイバーセキュリティプラットフォームです。エンドポイント・サーバー・クラウド・ネットワーク・OTなど複数のセキュリティ領域を単一のコンソールで管理し、各領域のデータを相関分析して攻撃の全体像を可視化します。中核となるのはXDR（拡張検知・対応）です。

ITとOTを別々に管理するのではなく、一つの基盤にまとめて運用したい企業に向きます。すでにエンドポイントやネットワークの対策で同社の製品を使っている場合、OTのレイヤーを同じ基盤に取り込んで管理を集約できる点が利点です。

4. Darktrace（Darktrace Limited）

Darktraceは、自己学習型のAIを中核とするサイバーセキュリティ企業です。組織ごとの「正常な状態」をAIが学習し、そこからの逸脱によって既知・未知の脅威をリアルタイムに検知します。製品群はネットワーク・メール・クラウド・エンドポイントに加え、OT（制御システム）向けの「Darktrace / OT」も備え、横断して相関分析します。

シグネチャ（既知の攻撃パターン）に頼らないため、新種の攻撃や内部での不審な動きも捉えやすいのが特徴です。検知からAIによる調査、封じ込めまでを一つのプラットフォームで行える点も、運用の負担を抑えたい場合に適しています。

5. Vectra AI（Vectra AI, Inc.）

Vectra AIは、ネットワークの通信をAIで分析し、社内に侵入した脅威を検知・優先順位づけするNDR製品です。シグネチャ照合ではなく振る舞いの分析を主軸とし、オンプレミスやクラウドに加え、IoT/OTまでを対象範囲に含めます。国内はマクニカが代理店を務め、三菱電機などの導入が公式に紹介されています。

膨大なアラートを、いま対処すべき箇所へ絞り込むことを狙った設計で、少人数での運用負担を抑えられるのが特徴です。既存のEDRやSIEM（Security Information and Event Management、ログの統合管理）と広く連携できるため、すでにあるセキュリティの仕組みにネットワーク検知を足したい場合の選択肢になります。

6. Claroty（Claroty Ltd.）

サイバーフィジカルシステム（CPS）のセキュリティに特化した専業ベンダーが Claroty です。OT・IoT・医療機器・ビル系システムを対象に、資産の可視化からリスク管理、ネットワーク保護、脅威検知、安全な遠隔アクセスまでを一体で提供します。クラウド型の「xDome」とオンプレミス型の製品の両方を持ちます。

新たに機器を入れなくても、既存のファイアウォールやスイッチを活かしてネットワークを分離・保護できる設計が特徴です。サイバーフィジカルシステム（CPS）の保護を専門とするベンダーで、工場・制御系に本格的に取り組みたい企業の選択肢になります。ただし、日本国内での相談はパートナー経由となるため、問い合わせ先は事前に確認が必要です。

7. Nozomi Networks（Nozomi Networks Inc.）

産業用サイバーセキュリティを掲げる専業ベンダーが Nozomi Networks です。守り方の中心は、ネットワークの通信を受動的に監視してOT/IoT資産を可視化し、異常や脅威を検知する方式で、機器側にソフトを入れずに導入できます。通信を妨げない方式を公式が明記しており、稼働を止めたくない工場に適しています。

ネットワーク監視を担う「Guardian」と、複数拠点を束ねるクラウド型の「Vantage」を中心に、無線やエンドポイントまで段階的に監視範囲を広げられる構成です。完全なオンプレミスやネットワークから切り離した環境にも対応するため、外部接続を厳しく絞りたい工場でも使えます。

8. TXOne Networks（TXOne Networks Inc.）

「運用を止めない」ことを産業環境向けに掲げるOTセキュリティの専業ベンダーが TXOne Networks です。レガシーなWindowsを含む産業用のエンドポイントを稼働させたまま保護する前提で製品を設計しているのが特徴で、日本法人のTXOne Networks Japanと国内パートナーによる支援を受けられます。

ネットワークセキュリティの「Edge」、エンドポイント保護の「Stellar」、持ち込み機器・メディアを検査する「Element」、拠点横断で集中管理する「Sennin」といった製品で、通信・機器・持ち込み媒体・管理を縦串で押さえます。工場の現場に密着した対策を、止めずに進めたい場合の選択肢になります。

9. Armis Centrix（Armis, Inc.）

Armis Centrixは、OT・IoT・ICS（産業用制御システム）などの資産を可視化・保護するサイバーセキュリティソリューションです。エージェントを入れると稼働中の機器に支障が出るおそれがあるため、機器側にソフトを入れないエージェントレスの方式で資産を検出・分類します。

AIを使った資産分析エンジンで、各機器の種別・リスク・挙動といった情報を補い、脅威の検知につなげます。IT機器からIoT、OT、医療機器までを一つのプラットフォームで横断的に扱えるため、多様な機器が混在する環境で何がつながっているかをまず把握したい企業に合います。

10. Palo Alto Networks IoT Security（パロアルトネットワークス株式会社）

Palo Alto Networks IoT Securityは、次世代ファイアウォールで知られるパロアルトネットワークスが提供する、IoT・OT機器向けのセキュリティです。機械学習・AIで機器を検出してリスクを評価し、保護を継続的に行います。同社のファイアウォールと組み合わせて、デバイスのリアルタイムな一覧を保つ構成が中心です。

工場・制御系向けの「Industrial OT Security」では、通信に踏み込まないパッシブな方式で資産を検出・分類できるとしています。すでにパロアルトのファイアウォールを導入している企業であれば、その延長でIoT・OTの可視化と保護を広げられる点が利点です。

まとめ

OTセキュリティ対策の会社を選ぶときは、ITのセキュリティ会社を選ぶのとは違う視点が必要です。稼働を止めずに導入できるか、PLC・SCADAなどの制御機器を理解しているか、製造業での実績があるか、公的ガイドラインや国際標準に沿って進められるか、現状把握から運用監視まで一貫して任せられるか。この5つのポイントが見極めの軸になります。

対策は、資産の可視化から始まり、リスク評価・防御・検知・監視へと段階的に進みます。自社でやる範囲と専門会社に任せる範囲を切り分けながら、自社の工場や課題に合う相談先を選んでください。まずは気になるサービスの資料を取り寄せ、守備範囲や方式を見比べるところから始めるとよいでしょう。

よくある質問（FAQ）

Q. OTセキュリティとは何ですか？

A. OTセキュリティとは、工場の生産設備や制御システム（OT）をサイバー攻撃から守る取り組みです。機密性を最優先するオフィスのITと異なり、OTは設備を止めないこと、すなわち可用性が最も重視される領域です。経済産業省のガイドラインも、工場システムには安定・連続した稼働（可用性）の確保が求められると説明しています。そのため、ITとは別の勘所で対策を考える必要があります。

Q. OTセキュリティ対策の会社選びは、ITのセキュリティ会社選びと何が違いますか？

A. OTセキュリティの会社選びでは、生産を止めずに対策を導入できるか、PLC・SCADAなどの制御機器を理解しているか、という視点が加わる点がITと大きく異なります。オフィスのITは情報漏えいの防止が主眼ですが、OTは設備を止められない点が根本的に違います。

そのため、稼働中の工場での導入実績や無停止で導入できる方式を持つか、製造業での実績があるか、国際標準IEC 62443や経済産業省ガイドラインに沿って進められるかまで含めて見極めます。本記事の「OTセキュリティ対策の会社の選び方（5つの見極めポイント）」で詳しく整理しています。

Q. 専門の担当者も予算も十分にない工場でも、OTセキュリティ対策は始められますか？

A. OTセキュリティ対策は、専任の担当者や大きな予算がなくても始められます。まずは工場のネットワークに何がつながっているかの棚卸し（可視化）と、IT部門・生産技術部門の役割分担や責任者の明確化から着手すれば、大きな投資をせずに現状把握を進められます。そのうえで、脆弱性診断や24時間の監視など専門性・人手が要る部分は、優先順位をつけて外部の専門会社に段階的に任せるのが現実的です。

Q. OTセキュリティ対策は、IT部門と生産技術部門のどちらが担当すべきですか？

A. OTセキュリティは、どちらか一方に任せきりにせず、両部門で役割を分担するのが基本です。ネットワークや全体方針はIT部門、設備の事情や止めてはいけない工程の勘所は生産技術・設備部門がそれぞれ強く、OTはこの両方の知識を必要とします。両部門をつなぐ責任者を1人決め、担当範囲を明文化しておくと、担当の曖昧さによる対策の抜けを防げます。

Q. OTで見つかった脆弱性のパッチは、どう適用すればよいですか？

A. OTでは、脆弱性が見つかってもすぐにパッチを当てるのではなく、ネットワーク分離とアクセス制御で攻撃者が到達できない状態をつくることを優先するのが現実的です。経済産業省のガイドラインも、パッチ適用がかえって機器の障害という別の脅威につながる場合があると注意を促しています。

パッチは生産ラインの停止計画（メンテナンス期間）に合わせて検証してから適用し、適用できない機器は区画を分けて守るのが基本的な考え方です。

Q. OTセキュリティ対策は、どこまでやれば「対策できている」と言えますか？

A. OTセキュリティに完璧なゴールはなく、主要なリスクに一通り備えられている状態を一つの目安にします。具体的には、工場の資産が可視化され、ITとOTのネットワークが分離され、外部接続経路が管理され、責任者が明確で、バックアップと復旧手順が整っている状態です。脅威の手口や工場の構成は変化するため、ここで終わりにせず、定期的に見直して維持・向上させることが大切です。

Q. OTセキュリティ対策の費用はどのくらいかかりますか？

A. OTセキュリティ対策の費用は、工場の規模・資産数・任せる守備範囲によって大きく変わり、多くの製品・サービスが個別見積りを基本としています。費用はおおむね、現状把握・リスク診断（アセスメント）の一時費用、可視化・検知などの製品ライセンス費用、監視・運用を外部に任せる場合の継続費用の3つに分かれます。

正確な金額は各社の資料や見積りで確認し、比較するときは同じ守備範囲でそろえると価格差の理由が見えやすくなります。

OTセキュリティ対策サービスの料金・資料を一括チェック

MCB FinTechカタログでは、工場・制御システム（OT）のセキュリティに対応するサービスの最新資料を無料で一括請求できます。守備範囲や対応方式、導入実績を見比べて、自社に合う相談先を検討できます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。