工場やプラントの生産設備を動かす制御システム（OT：Operational Technology）が、社内のITネットワークやインターネットとつながる構成は珍しくなくなりました。ランサムウェアなどのサイバー攻撃で生産ラインが停止する事例も、国内外で報じられています。
そうしたなかで、「自社の制御システムのセキュリティは今どうなっているのか」「どこから手を付ければよいのか」を把握する出発点として、セキュリティの評価（リスクアセスメント）に関心を持つ担当者が増えています。
もっとも、制御システムの評価には、IT部門で使ってきた脆弱性スキャンがそのままでは当てはめにくい、稼働を止められないといった特有の難しさがあります。評価の方法にも、無料で始められる自己評価ツールから、公的なガイドに沿った本格的なリスク分析、外部の専門会社への委託まで幅があり、どれを選べばよいか迷いやすい領域です。
本記事では、制御システム（OT）のセキュリティ評価にどのようなアプローチがあるかを整理し、評価の進め方の4ステップ、リスク分析手法の使い分け、無料で使える公的な自己評価ツールや準拠すべき基準、外部委託という選択肢までを解説します。自社の状況に合わせて次の一手を決めるための材料としてご活用ください。
一括ダウンロードする
目次
一括ダウンロードする
制御システム（OT）のセキュリティ評価とは｜ITのセキュリティ評価との違い
ここでは、制御システムのセキュリティ評価がなぜ必要とされているのか、そしてITシステムの評価と何が違うのかを整理します。
制御システムのセキュリティ評価とは、工場やプラントなどの制御システム（OT）が、どのような脅威にさらされ、どこに弱点があり、どの程度のリスクを抱えているかを洗い出して整理する一連の取り組みを指します。やみくもに対策製品を導入する前に、まず現状を把握して守るべき資産とリスクの大きさを見極めることで、限られた予算や人員を優先度の高いところへ振り向けられます。
なぜいま制御システムのセキュリティ評価が求められるのか
かつての制御システムは、外部ネットワークから切り離された閉じた環境で運用されることが多く、サイバー攻撃の対象になりにくいと考えられてきました。近年は、生産データの活用や遠隔保守のためにOTとITのネットワークがつながり、外部との接点が増えています。
経済産業省は、工場システムのセキュリティ対策の手引きとして「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を公開しており、OTとITをまたぐ工場システムの対策が課題として位置づけられています。
制御機器がネットワークにつながることのリスクは、現場に近い事業者からも、物理的な被害につながりうる点が指摘されています。
加えて、工場内のOT機器のインターネット接続が進んでいるという流れもあります。DXにより便利になっていく一方で、サイバー攻撃の対象にもなりつつあり、大型機械の誤作動は人命や火災など、影響範囲が広くなるリスクも伴います。
ITのセキュリティ評価との違い（OT特有の評価の勘所）
制御システムの評価がITの評価と大きく異なるのは、評価の前提になる「システムの性質」です。次のようなOT特有の制約があるため、ITでの手順をそのまま持ち込むと、かえって設備を止めてしまうおそれがあります。
- 可用性が最優先される：ITでは情報の機密性が重視されがちですが、制御システムでは生産を止めないこと（可用性）が最優先されます。評価でも「設備が動き続けること」を損なわない配慮が求められます。
- 稼働中のスキャンがリスクになる：IT向けの脆弱性スキャナを稼働中の制御機器に向けると、機器が想定外の通信で誤作動・停止することがあります。能動的にパケットを送り込む診断は慎重な判断が必要です。
- レガシー機器・サポート切れOSが残る：制御システムは10年以上使われることも多く、サポートが終了したOSや古い機器がネットワークに残りがちです。最新のパッチ適用を前提にした評価基準がそのまま当てはまりません。
- パッチをすぐに当てられない：稼働中の設備は再起動や停止が難しく、脆弱性が見つかってもパッチ適用を計画停止まで待つケースがあります。評価では「パッチ以外の緩和策」も含めて検討する必要があります。
- OTとITの境界を見極める：どこまでがOTで、どこからがITか、両者がどこでつながっているかを把握しないと、リスクの入り口を見落とします。評価の第一歩は、この境界と接続点の洗い出しになります。
こうした制約を踏まえた評価の国際的な拠り所として、産業用オートメーション・制御システム（IACS）のセキュリティを対象とする規格群「IEC 62443」があります。詳しくは後述の基準・制度の章で触れます。
制御システムのセキュリティ評価アプローチの全体地図
制御システムのセキュリティ評価には、自分たちで手軽に始められるものから、外部の専門会社に委託する本格的なものまで、いくつかのアプローチがあります。以下は、代表的な評価アプローチを「誰が実施するか」「何を評価するか」「費用」「自己評価か第三者による評価か」で並べた一覧です。
自社の体制や目的に合わせて、どこから着手するかの見取り図としてご覧ください。
| 評価アプローチ | 自己評価ツール（チェックリスト型） | リスク分析（IPAガイドに沿った分析） | 外部委託の現状把握・専門診断 | 第三者評価・格付け制度（SCS評価制度 等） |
|---|---|---|---|---|
| 主な実施者 | 自社の担当者 | 自社の担当者（必要に応じて外部支援） | 外部の専門会社 | 評価機関・確認責任者 |
| 何を評価するか | 対策状況のチェックリストによる現状把握・弱点の抽出 | 資産・脅威・脆弱性からリスクの大きさを分析し対策の優先度を決める | 通信データの分析・ヒアリング・現地調査・機器の実機診断で資産・構成・リスクを可視化 | 制度の基準に沿った対策状況の評価・登録。主にIT基盤が対象で、OT自体は直接の対象ではない（取引先対応で関わるため参考） |
| 費用 | 無料（公的ツール） | ツール・ガイドは無料（工数は自社負担） | 有料（規模により変動） | 登録料等（制度による） |
| 評価主体 | 自己評価 | 自己評価 | 第三者 | 第三者／自己評価の組み合わせ |
※上記は各アプローチの一般的な位置づけの整理です。具体的な対象範囲・費用は、利用するツールやサービスにより異なります。
多くの企業では、まず無料の自己評価ツールやリスク分析で現状を把握し、自社だけでは手に負えない部分や客観的な評価が必要な部分を外部委託する、という段階的な進め方が現実的です。次章から、それぞれのアプローチの中身を見ていきます。
OTセキュリティ評価の進め方（4ステップ）
ここからは、制御システムのセキュリティ評価を実際にどう進めるかを、4つのステップで整理します。リスクマネジメントの国際規格であるISO 31000（国内対応規格 JIS Q 31000）は、リスクアセスメントを「リスク特定→リスク分析→リスク評価」という流れで示しています。
本記事では、この①資産の洗い出しと現状把握（特定）、②脅威・脆弱性の特定、③リスクの大きさの評価（分析・評価）に、評価の結果を受けた④対応方針の決定を加えた4ステップで示します。④はアセスメントの次の工程にあたりますが、評価と地続きで考えると全体像を掴みやすくなります。
①資産の洗い出し・現状把握
最初に、守るべき対象を把握します。どの制御機器・サーバー・ネットワーク機器があり、どのOSやソフトウェアが動き、どこが外部やITネットワークとつながっているかを一覧化します。この資産台帳が評価全体の土台になります。現状把握の手段は大きく2つに分かれます。
- ネットワーク調査：実際に流れている通信を記録・分析して、どの機器がどこと通信しているかを客観的に把握します。担当者も気づいていなかった通信や機器が見つかることがあります。
- ヒアリング調査：設計資料や運用担当者への聞き取りから、システム構成や運用ルールを把握します。通信に現れない運用上の事情を補えます。
制御システムでは資料が古かったり、現場の実態が図面と食い違ったりすることがあります。通信の実測とヒアリングを組み合わせると、より正確な現状把握につながります。これらは自社でも、外部の専門会社に委託しても実施できます。
②脅威・脆弱性の特定
洗い出した資産に対して、どのような脅威が想定され、どこに弱点があるかを特定します。外部からの侵入、内部不正、マルウェア感染、保守端末やUSBメモリ経由の持ち込みなど、OTで現実的に起こりうる脅威を具体的に挙げます。弱点は、機器・端末、OSやソフトウェア、ネットワーク構成といった観点から確認すると整理しやすくなります。
現場でよく見つかる弱点としては、資産台帳と実態の食い違い（把握されていない機器の存在）や、サポートが終了したOS・ファームウェアの放置などが挙げられます。ほかにも、持ち込みのリムーバブルメディアや保守用端末の管理不備、IT網とOT網のセグメンテーション（分離）の不足もよく見られます。こうした観点をあらかじめ持っておくと、見落としを減らせます。
前述のとおり、稼働中の制御機器への能動的なスキャンは誤作動の原因になりうるため、通信の観測やヒアリングなど、設備を止めない方法を基本に据えます。
③リスクの大きさの評価
特定した脅威・脆弱性を、そのまま並べるだけでは優先順位が付けられません。そこで、資産の重要度、脅威が実際に起こる可能性、脅威に対する脆弱性の3つを評価指標として、リスクの大きさを見積もります。
IPA（情報処理推進機構）の「制御システムのセキュリティリスク分析ガイド 第2版」は、資産ベースのリスク分析をこの3指標で行う手法として次のように定義しています。
保護すべきシステムを構成する各資産を対象に、その重要度（価値）、想定される脅威の発生可能性、脅威に対する脆弱性の3つを評価指標として、リスクを評価する分析手法。
出典：制御システムのセキュリティリスク分析ガイド 第2版｜情報処理推進機構（IPA）
重要度の高い資産に、起こりやすく、かつ弱点を突かれやすい脅威が重なるところほどリスクが大きいと判断でき、対策の優先順位が見えてきます。点数化の形は、おおむね「リスク値＝資産の重要度 × 脅威の発生可能性 × 脆弱性」のように3指標を掛け合わせ、相対的な大小を比べるのが一般的です。
重要度・脅威・脆弱性をどう点数化してリスク値を算出するのか、具体的な採点方法を1資産分の記入例つきで知りたい場合は、以下の記事が参考になります。
④対応方針の決定
最後に、評価したリスクごとに対応方針を決めます。一般的なリスクマネジメントでは、対策を講じてリスクを下げる「低減」、影響の小さいリスクを受け入れる「受容」、リスクの要因となる業務や接続をやめる「回避」、保険などで損失を移す「移転」の4通りの方向から選びます。
たとえば、ネットワークの分離や監視の強化でリスクを下げるのが低減、不要になった外部からのリモート保守接続をやめるのが回避、サイバー保険で損失の一部を転嫁するのが移転に当たります。制御システムではパッチをすぐに当てられないことも多いため、低減策と、計画停止までの一時的な受容を組み合わせるなど、現実の運用に合わせた判断が求められます。
リスク分析手法の種類と使い分け
リスクの大きさを評価する分析手法には、いくつかの型があります。網羅性を重視する詳細な分析ほど工数がかかるため、評価の目的や使える時間に応じて使い分けるのが現実的です。IPAの「制御システムのセキュリティリスク分析ガイド 第2版」は、詳細なリスク分析として「資産ベース」と「事業被害ベース」の2つを示しています。
資産ベースのリスク分析は、前章で引用したとおり、各資産の重要度・脅威の発生可能性・脆弱性の3指標でリスクを評価する手法です。一方、事業被害ベースのリスク分析は、守りたい事業やサービスへの被害を起点に、攻撃のシナリオをたどって評価します。ガイドは後者を次のように定義しています。
システムで実現している事業やサービスに対して、事業被害とそのレベル、事業被害を引き起こす攻撃ツリーの発生可能性、攻撃に対する脆弱性の3つを評価指標として、リスクを評価する分析手法。
出典：制御システムのセキュリティリスク分析ガイド 第2版｜情報処理推進機構（IPA）
これらの詳細分析のほかに、既存の基準や推奨策と自社の対策状況を照らし合わせる「ベースラインアプローチ」があります。まず全体の対策状況を手早く把握したい段階では、後述する自己評価ツールを使ったベースラインアプローチが着手しやすく、重要な設備やリスクの大きい箇所を掘り下げたい段階では、資産ベースや事業被害ベースの詳細分析が向きます。
リスク分析の型は、国際的には4つに整理されることもあります。全体を手早く点検するベースラインアプローチ、専門家の知見で重点を絞る非形式的アプローチ、資産や事業被害を細かく評価する詳細リスク分析、両者を併用する組み合わせアプローチです。IPAガイドの資産ベース・事業被害ベースは、このうち詳細リスク分析に当たります。
ただし詳細リスク分析は、資産や攻撃シナリオを一つずつ評価するため専門の人材と時間を要し、対象の規模によっては着手から報告まで数週間〜数カ月かかることもあります。対象資産が多い場合は、重要度の高い資産に範囲を絞る判断も必要になります。
以下は、それぞれの手法の評価軸と工数の目安、向いているケースの整理です。
| リスク分析手法 | ベースラインアプローチ | 詳細リスク分析（資産ベース） | 詳細リスク分析（事業被害ベース） | 簡易な自己評価（チェックリスト） |
|---|---|---|---|---|
| 評価の軸（何を見るか） | 既存の基準・チェックリストと自社の対策状況との適合 | 各資産の重要度・脅威の発生可能性・脆弱性 | 事業被害のレベル・攻撃ツリーの発生可能性・脆弱性 | 推奨される対策項目の実施状況 |
| 工数の目安 | 小（チェックリスト中心） | 大（対象資産が多いほど増える） | 中（重要な攻撃シナリオに絞れば抑えられる） | 小（設問に回答する形式） |
| 向いているケース | まず全体の対策状況を手早く把握したい／着手したばかり | 資産単位で漏れなくリスクを洗い出したい | 事業への影響が大きい箇所を優先的に分析したい | 専門家がいなくてもまず現状を点検したい |
※手法の分類・工数の目安は一般的な傾向です。実際の工数は対象システムの規模や分析の深さにより異なります。
無料で始められる自己評価ツール・ガイド
制御システムの評価は、必ずしも最初から費用をかける必要はありません。公的機関が、制御システム向けの自己評価ツールやリスク分析ガイドを無償で公開しています。専門家が社内にいなくても、これらを使って自社で現状を点検できます。
JPCERT/CC の自己評価ツール（日本版SSAT・J-CLICS）
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は、制御システム向けの自己評価ツールを無償で提供しています。代表的なものが「日本版SSAT（SCADA Self Assessment Tool）」と「J-CLICS」です。日本版SSATについて、JPCERT/CCは次のように説明しています。
日本版SSAT（SCADA Self Assessment Tool）は制御システム向けの簡便なセキュリティ自己評価ツールです。日本版SSATを利用することによって制御システムの構築と運用に関するセキュリティ上の問題項目を手軽に抽出でき、バランスの良いセキュリティ対策を行うことができます。
出典：日本版SSAT｜JPCERT コーディネーションセンター
J-CLICSには、これから対策に取り組む担当者向けの「J-CLICS STEP1／STEP2」と、攻撃経路の観点から対策を点検する「J-CLICS 攻撃経路対策編」の2種類があります。JPCERT/CCは両者の位置づけを次のように整理しています。
J-CLICS STEP1／STEP2は、これからICSのセキュリティ対策に取り組む方向けで、ベースラインアプローチとして現在のICSにおけるセキュリティ対策状況を可視化し、重要度が高く、かつ最初のステップとして取り組みやすい対策を厳選して推奨策として提示する自己評価ツールです。
そして、J-CLICS 攻撃経路対策編は、攻撃経路の観点から対策状況を可視化し、対策の効果や優先度などを明確にした上で、次のステップとして実施すべき対策が示される自己評価ツールです。
出典：J-CLICS 攻撃経路対策編｜JPCERT コーディネーションセンター
いずれも、制御システムの構築・運用・保守に関わる関係者に無償で提供されており、チェックリストに答える形で自社の対策状況を可視化できます。初めて取り組むなら、まずJ-CLICS STEP1（または日本版SSAT）で現状を点検し、次にJ-CLICS 攻撃経路対策編やIPAのガイドで深掘りする、という順序が分かりやすい方法です。
出典・参考資料（3件）
IPA「制御システムのセキュリティリスク分析ガイド」と分析シート
より踏み込んだリスク分析に取り組むなら、IPAの「制御システムのセキュリティリスク分析ガイド 第2版（2026年4月版）」が土台になります。資産ベース・事業被害ベースの分析手法の解説に加え、分析に使えるExcel形式のリスク分析シート（フォーマットと記入例）、実施例、対策のチェックリストなどが無償で配布されています。
どこまで分析すればよいかの見本があるため、自社で分析を進める際の手引きとして活用できます。
出典・参考資料（1件）
自社の制御システムに潜むリスクを外部の視点で洗い出したい場合は、ネットワークのリスク診断や専門家によるアセスメントを提供する会社の資料をまとめて取り寄せて比較するのも有効です。
一括ダウンロードする
評価の根拠となるガイドライン・規格・制度
制御システムの評価は、拠り所となる基準・規格に沿って進めると、抜け漏れを防ぎやすく、第三者への説明もしやすくなります。ここでは、評価と結びつく代表的な基準・制度を整理します。
IEC 62443・NIST CSF・経済産業省のガイドライン
制御システムのセキュリティで中心的な国際規格が「IEC 62443」です。産業用オートメーション・制御システム（IACS）のサイバーセキュリティを対象とする規格群で、米国のISA（International Society of Automation）が開発したISA99がもとになり、国際電気標準会議（IEC）へ提出されて国際規格として採用されました。
アセットオーナー・製品サプライヤー・インテグレーターなど立場別の要件や、システムのセキュリティ要件とセキュリティレベルを定める文書で構成されており、評価の際の基準として参照されます。たとえば組織のセキュリティ管理体制（CSMS）を扱う「62443-2-1」や、システムの技術要件を定める「62443-3-3」など、複数の文書に分かれています。
セキュリティレベル（SL）は、守りたい対象に求める防御の強さを表す指標です。偶発的な不正使用への耐性を示すSL1から、高度な技術と豊富なリソースを持つ攻撃者への耐性を示すSL4までの4段階があります。評価では、対象ごとに目標とするSLを定め、現状がそこに届いているかを確かめる形で使われます。
組織全体のセキュリティ対策を体系的に整理する枠組みとしては、米国国立標準技術研究所（NIST）の「サイバーセキュリティフレームワーク（CSF）」が広く使われています。2024年2月に公開されたCSF 2.0では、セキュリティ対策を次の6つの機能で整理しています。
- 統治（GOVERN）／識別（IDENTIFY）／防御（PROTECT）／検知（DETECT）／対応（RESPOND）／復旧（RECOVER）
自社の評価結果をこの6機能に沿って整理すると、どの領域が手薄かを把握しやすくなります。国内では、経済産業省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」が、これらの国際規格・枠組みも踏まえた工場システム向けの手引きとして公開されています。
出典・参考資料（3件）
NIST CSFを使って自社の体制を実際に評価する際の、評価シート（組織プロファイル）の記入例や成熟度ティアの見方を知りたい場合は、進め方を具体的に解説した以下の記事が参考になります。
NIST CSFアセスメントの進め方｜評価シート記入例・成熟度ティアの見方・自社実施と外部委託の判断
取引先や親会社、監査部門から「NIST CSFで自社のセキュリティ体制を評価してほしい」と求められる場面が増えています。フレームワーク（NIST サイバーセキュリティフレームワーク、CSF）の名前や大まかな構成は調べればわかるものの、いざ「…
SCS評価制度と制御システム（OTは直接の対象ではない点に注意）
サプライチェーン全体のセキュリティ強化に向けて、経済産業省などが策定し、IPAが運営する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の整備が進んでいます。企業のセキュリティ対策状況を客観的に評価・登録する制度で、★3・★4・★5の3段階が設けられています（★5は今後具体化）。
既存の自己宣言制度である「SECURITY ACTION」の一つ星・二つ星が★1・★2に相当し、SCS評価制度はその上の★3以上を新たに設けるものです。★3は確認責任者による確認を受けたうえでの登録申請、★4は評価機関による第三者評価という位置づけです。評価の要求事項は7つの大分類で整理され、NIST CSFの6機能に「取引先管理」を加えた構成になっています。
制御システムの担当者が注意したいのは、この制度が評価の対象とする範囲です。概要資料には次のように記載されています。
製造環境等の制御（OT）システム、発注元等に提供する製品等については、対策実施の前提や求められる対応が基本的に異なることから直接の対象とはしない。
出典：サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）概要資料｜情報処理推進機構（IPA）
SCS評価制度は企業のIT基盤や外部ネットワーク境界を対象とする制度であり、製造環境の制御システム（OT）そのものの評価制度ではありません。制御システムの評価は、前述のIEC 62443やIPAのリスク分析ガイドなど、OTを対象とする基準・ガイドに沿って別途進める必要があります。
サプライチェーンの取引先からセキュリティ対策状況の説明を求められる場面が増えるなかで、制度の動向として押さえつつ、OTの評価とは分けて捉えておくとよいでしょう。
自社で評価するか、外部に委託するか
ここまで見てきた無料ツールやリスク分析ガイドを使えば、自社の担当者だけでも評価に着手できます。外部委託との分かれ目になるのは、「稼働中のネットワークに潜むリスクを客観的に見てほしい」「制御機器そのものを専門家に診てほしい」「社内にOTの専門家がいない」といった、自社だけでは精度や客観性が足りないと感じる場面です。
外部委託では、通信データの分析やヒアリング、現地調査、機器の実機診断などを通じて、自社だけでは見落としがちなリスクを洗い出し、対策の優先度まで整理してくれます。費用は公開していない会社が多く、対象の拠点数や機器の台数、診断の深さによって変わるため、まずは資料を取り寄せて見積もりを依頼し、自社の規模に当てはめて判断することになります。
以下は、制御システム（OT）の評価・診断に対応するサービスの比較です。評価の対象・形式、準拠する基準、スポットの診断か継続的な監視かといった観点で整理しています。一度評価してもらうスポット型の診断と、評価後に通信を見張り続ける継続監視型の製品を併記しているので、提供形態の列もあわせてご覧ください。
| 比較項目 | セキュア・レントゲン | Network Blackbox | NTTセキュリティ・ジャパン | NRIセキュア | MBSD |
|---|---|---|---|---|---|
| 提供会社 | 株式会社クワッドマイナージャパン | 株式会社クワッドマイナージャパン | エヌ・ティ・ティ・セキュリティ・ジャパン株式会社 | NRIセキュアテクノロジーズ株式会社 | 三井物産セキュアディレクション株式会社 |
| 評価・診断の対象（何を見るか） | ネットワークを流れる通信（フルパケット） IT／OT両環境。外部からの攻撃に加え、内部に潜む脅威・脆弱性を洗い出す | ネットワークを流れる全通信（フルパケット） EDR（端末側で脅威を検知・対応する仕組み）を導入できない機器を含むネットワークの可視化・検知 | OTの対策状況・体制（32問の設問評価） 工場内通信（PCAP）から機器・OS・構成を整理した資産台帳 OTセキュリティの課題全般 | 産業用制御システムを含む制御機器・組込み機器（実機） IoT/OTの体制・リスク（コンサル） | 工場・制御システム（OT）環境の対策状況 IoT・組込み機器（ハードウェア面を含む） |
| 評価の形式・進め方 | ミラーリングで機器を約2週間設置し通信を全数収集 専門アナリストが分析し、最短1カ月でレポート・報告会 | ミラーリングで導入し通信を損失なく常時収集・保存 シグネチャ／行為ベース検出／コンテンツ分析で検知し、保存した通信を遡及調査 | 無料のWeb簡易診断（32問・A〜Dの4段階） OT資産台帳作成サービス OTセキュリティ アセスメントQuick（約1.5カ月・5段階評価） | 未知の脆弱性はロバストネス検証（ファジング）、既知の脆弱性はプロトコル・DoS耐性の確認で調査 コンサルは5つの切り口で可視化し対策ロードマップを提示 | GICSP等の資格を持つOT専門家が現地でチェックリスト評価（5観点・6ステップ） IoT・組込みは完全手動で診断 |
| 準拠する基準・ガイドライン | 公式に特定規格の記載なし | 公式に特定規格の記載なし （MITRE ATT&CKベースの脅威ハンティング） | 経済産業省ガイドライン IEC 62443・NIST CSF（参照） IPAガイドライン（資産台帳） | EDSA（制御システムの国際基準・オプション） CSMS認証基準（IEC 62443-2-1）／NIST CSF アキレス認証に対応 | 経済産業省ガイドライン（チェックリスト） IEC 62443等（リスクアセスメント） |
| 提供形態（スポット診断／継続監視） | スポット診断（期間を区切った単発） | 継続監視（常時運用のNDR） | スポット診断 （無料の自己評価ツールあり） | スポット診断 | スポット診断 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
※上記は各サービスの公式情報（2026年11月時点）にもとづく評価・診断メニューの概要です。実際の対応範囲・進め方・準拠規格・料金は対象や拠点数によって異なるため、詳細は各社の資料・公式情報をご確認ください。
ここからは、それぞれのサービスの特徴を紹介します。自社で継続的に見張るか、一度外部に評価してもらうかという観点も含めて、自社の状況に合うものを検討してみてください。
制御システムに限らず、Webアプリや社内システムも含めて脆弱性診断サービスを広く比較検討したい場合は、診断方法の違いや費用相場、選び方を整理した以下の記事もあわせてご覧ください。
1. セキュア・レントゲン（株式会社クワッドマイナージャパン）
セキュア・レントゲンは、株式会社クワッドマイナージャパンが提供するネットワークリスク診断サービスです。
NDR（ネットワークの通信を監視して脅威を検知・対応する仕組み）製品「Network Blackbox」のフルパケットキャプチャ技術を使い、実際にネットワークを流れている通信をそのまま保存して専門のアナリストが分析し、外部からの攻撃だけでなく、すでに内部へ侵入・潜伏している脅威や脆弱性を洗い出します。
設定の点検やスキャナの実行ではなく、期間を区切って一度ネットワークの現状を客観的に見るスポット型の診断です。「自社の制御ネットワークに今どんなリスクが潜んでいるか、まず一度評価しておきたい」という段階に向きます。
公式はIT環境に加えてOTプロトコルにも対応するとしており、工場の制御ネットワークを含めて診断できます。機器はミラーリング方式（通信を複製して受け取る方式で、本番の通信に割り込まない）で接続するため、万一障害が起きても本番のネットワークには影響しません。利用側の作業はミラーリングの設定のみで、機器の設置から分析、レポート作成、報告会までを同社が担います。
診断は機器を2週間ほど設置してから分析する流れで、最短1カ月で検出した脅威と対策案をまとめたレポートを提示します。料金は分析手法（オンライン／持ち帰り／設置場所での直接分析）やトラフィック量、設置台数によって変わるため、個別見積もりとなります。
この診断がどのような課題意識から生まれたサービスなのか、提供元の株式会社クワッドマイナージャパンは次のように説明しています。
もともとは製造業のお客様とお話しすることが多く、ITからOT（制御技術）領域へ脅威が横展開されてしまう懸念に対して、その間にネットワークの視点を置いてリスクを洗い出しましょう、というご提案をしていた経緯があります。現在はそこから、金融や自治体など業界問わず響くサービスへと広がってきています。
2. Network Blackbox（株式会社クワッドマイナージャパン）
一度の診断ではなく通信そのものを記録し続けたい場合は、同じ株式会社クワッドマイナージャパンのNDR製品「Network Blackbox」が選択肢になります。スポット診断のセキュア・レントゲンに対し、こちらはネットワーク上を流れる通信を損失なく継続的に収集・保存し、検知・調査・対応までを担う常時運用型の製品です。評価で現状を把握したあと、継続的に見張り続けたい段階の打ち手にあたります。
検知はシグネチャによる既知攻撃の検出に加え、ユーザーの行為を記録して通常と異なる動きを捉える検出や、送受信データを復元して中身を調べるコンテンツ分析を併用します。保存した通信は後から遡って検索・再構築できるため、侵害が疑われたときに「いつ・どの宛先と・どのファイルをやり取りしたか」を事後にたどれます。
ミラーリング方式で導入するためエージェントの導入は不要で、国内の導入事例では、EDRを入れられない制御コンソールを含むネットワークでも通信を可視化して検知できる点が、解決する課題として挙げられています。料金は公開されておらず、要問い合わせです。
3. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
まず手軽に自社のOTセキュリティの現在地を測りたいなら、エヌ・ティ・ティ・セキュリティ・ジャパン株式会社のOTセキュリティ関連メニューが入り口になります。NTTグループのセキュリティ専業会社で、無料で使えるOTセキュリティ簡易診断から、本格的なアセスメントまでを外部委託先として提供しています。
OTセキュリティ簡易診断は、経済産業省のガイドラインに基づく32問に答えるとセキュリティレベルをA〜Dの4段階で評価するもので、Web上で無料で利用できます。より踏み込んだ評価には「OT資産台帳作成サービス」があります。これは、工場内で取得した通信データ（PCAP。取得した通信の記録）を分析して機器・OS・ネットワーク構成を整理し、IPAのガイドラインに準拠した資産台帳のドラフトを作るものです。
さらに「OTセキュリティ アセスメントQuick」も用意されています。経済産業省のガイドラインなどを踏まえ、約1.5カ月でOTセキュリティの課題を評価します。5段階のレポートと改善方針を示すもので、詳細ページではIEC 62443やNIST CSFなども参照すると記載されています。料金は無料の簡易診断を除いて公開されておらず、対象範囲や拠点数によって変わります。
4. セキュリティ診断（NRIセキュアテクノロジーズ株式会社）
専門家による手動主体の評価を外部に委ねたい場合に挙がるのが、NRIセキュアテクノロジーズ株式会社のセキュリティ診断です。野村総合研究所グループのセキュリティ専業会社で、SANSの専門トレーニング修了者やCISSP・OSCP・GIACなどの資格を持つ診断員が担当し、診断ラインアップのなかにIoT/OT向けのメニューを備えています。
産業用制御システムを含む機器を対象にした「デバイス・セキュリティ診断」があります。未知の脆弱性は、想定外の異常なデータを自動生成して送り込むファジングという検証で調べ、既知の脆弱性は既存プロトコルやDoS耐性の確認で調べます。制御システムの国際基準であるEDSAとのフィットギャップ分析は、オプションで選べます。
コンサルティング側では、独自フレームワーク「NSF for IoT」を使い、Governance・Risk・Compliance・Physical・Technicalの5つの切り口で現状を他社比較も交えて可視化します。そのうえで、3年程度の対策ロードマップまで示します。
参照する基準にはCSMS認証基準（IEC 62443-2-1）やNIST CSFなどが挙げられており、重要インフラやグローバル製造企業の工場システムへの支援実績があります。料金は個別見積もりです。
5. セキュリティ診断（三井物産セキュアディレクション株式会社）
三井物産セキュアディレクション株式会社（MBSD）は、工場・制御システムを対象とした外部評価まで対応するセキュリティ専門企業です。三井物産が100%出資し、2001年の脆弱性診断提供開始以来、診断・ペネトレーションテストを中心に展開してきました。OT・IoT領域の評価メニューも持っています。
工場向けには、GICSPなどの資格を持つOT専門家チームが現地を訪問し、経済産業省のガイドラインをもとにしたチェックリストで対策状況を確認する「OTセキュリティ評価」があります。対策方針の決定／組織的対策／運用的対策／技術的対策／サプライチェーン対策の5観点で評価し、リモートでの想定脅威・リスク設定から現地確認を経て、対策ロードマップにまとめます。
IoT・組み込み機器向けの診断では、機器が攻撃者の手元にある前提に立ち、管理用コンソールのWeb診断やネットワーク診断・ペネトレーションテストに加え、ハードウェア面も含めた完全手動の調査を行います。産業制御システム（OT）環境を対象とするリスクアセスメントでは、国際標準であるIEC 62443等に基づいて現地調査から対策立案までを支援すると記載しています。料金はいずれも個別見積もりです。
まとめ
制御システム（OT）のセキュリティ評価は、対策製品を導入する前に現状を把握し、守るべき資産とリスクの大きさを見極める取り組みです。可用性の優先や稼働中スキャンのリスク、レガシー機器の存在といったOT特有の制約があるため、ITの評価手順をそのまま持ち込まず、設備を止めない方法を基本に進めます。
進め方は、資産の洗い出しと現状把握から始め、脅威・脆弱性の特定、リスクの大きさの評価、対応方針の決定へと進みます。まずはJPCERT/CCの日本版SSATやJ-CLICS、IPAのリスク分析ガイドといった無料の公的ツールで自社の現状を点検し、手に負えない部分を外部の診断・アセスメントに委ねるのが現実的です。
評価の拠り所にはIEC 62443やNIST CSFといった基準があり、SCS評価制度のようにOTを直接の対象としない制度との切り分けも押さえておきます。自社の制御システムに合う評価・診断サービスを比較検討する際は、各社の資料をまとめて取り寄せると効率的です。
一括ダウンロードする
よくある質問（FAQ）
Q. 制御システム（OT）のセキュリティ評価とは何ですか？
A. 制御システム（OT）のセキュリティ評価とは、工場やプラントの制御システムがどのような脅威にさらされ、どこに弱点があり、どの程度のリスクを抱えているかを洗い出して整理する一連の取り組みです。対策製品を導入する前にまず現状を把握し、守るべき資産とリスクの大きさを見極めることで、限られた予算や人員を優先度の高い対策へ振り向けられます。
Q. 制御システムのセキュリティ評価は無料で始められますか？
A. 公的機関が無償で公開している自己評価ツールやリスク分析ガイドを使えば、費用をかけずに自社で始められます。JPCERT/CCの「日本版SSAT」や「J-CLICS」はチェックリスト形式で対策状況を可視化でき、IPAの「制御システムのセキュリティリスク分析ガイド 第2版」はExcel形式のリスク分析シートや記入例まで無償で配布されています。
外部委託が必要になるのは、これらで点検したうえで客観性や専門的な診断が求められる場面です。
Q. 制御システムのセキュリティ評価は、どこから手を付ければよいですか？
A. 最初の一歩は、守るべき資産の洗い出しと現状把握です。どの制御機器・サーバー・ネットワーク機器があり、どのOSやソフトウェアが動き、どこが外部やITネットワークとつながっているかを一覧化し、この資産台帳を土台に、脅威・脆弱性の特定、リスクの大きさの評価、対応方針の決定へと進めます。
専門家がいなくても、まずはJPCERT/CCのJ-CLICS STEP1などのチェックリストで対策状況を点検するところから着手できます。
Q. 制御システム（OT）の評価は、ITの脆弱性診断と何が違いますか？
A. 制御システム（OT）の評価は、生産を止めないこと（可用性）を最優先する点と、稼働中の機器への能動的なスキャンを避ける点がITの脆弱性診断と大きく異なります。IT向けの脆弱性スキャナを稼働中の制御機器に向けると、機器が想定外の通信で誤作動・停止するおそれがあり、サポートが終了したOSや古い機器が残っていてパッチをすぐ当てられないことも多いためです。
評価では、通信の観測やヒアリングなど設備を止めない方法を基本に据えます。
Q. 稼働を止めずに制御システムを評価できますか？
A. 稼働を止めずに評価する方法を基本に据えて進めます。実際に流れている通信を記録・分析するネットワーク調査や、設計資料・運用担当者へのヒアリング調査であれば、設備を止めずに資産や構成、リスクを把握できます。通信をミラーリング方式で取得する診断は本番のネットワークに影響を与えにくく、稼働中の環境でも実施しやすい方法です。
Q. 制御システムの評価は自社で行うべきですか、外部に委託すべきですか？
A. 無料の自己評価ツールで自社の現状を把握し、客観性や専門的な診断が必要になった部分を外部に委託するのが現実的です。社内にOTセキュリティの専門家がいない場合や、「稼働中のネットワークに潜むリスクを客観的に見てほしい」「制御機器そのものを専門家に診てほしい」といった場面では、通信データの分析・ヒアリング・現地調査・機器診断などを行う外部の専門会社によるアセスメントが選択肢になります。
Q. 制御システムの評価にIEC 62443への準拠は必須ですか？
A. IEC 62443は、制御システム評価の中心的な国際規格ですが、法令で一律に義務づけられた必須要件ではありません。産業用オートメーション・制御システム（IACS）のサイバーセキュリティを対象とする規格群で、評価の拠り所にすると抜け漏れを防ぎやすく、第三者への説明もしやすくなります。
国内ではIPAの「制御システムのセキュリティリスク分析ガイド」やNIST CSF、経済産業省の工場システム向けガイドラインなども評価の基準として参照でき、自社の目的や取引先からの要請に合わせて使い分けられます。
Q. SCS評価制度は制御システム（OT）も評価の対象ですか？
A. SCS評価制度は、製造環境の制御（OT）システムを直接の対象とはしていません。経済産業省などが策定しIPAが運営する「サプライチェーン強化に向けたセキュリティ対策評価制度」で、企業のIT基盤や外部ネットワーク境界を評価・登録する制度です。
概要資料でも「製造環境等の制御（OT）システム…については…直接の対象とはしない」と明記されており、制御システム自体の評価は、IEC 62443やIPAのリスク分析ガイドなど、OTを対象とする基準に沿って別途進める必要があります。
制御システム・OTセキュリティの評価・診断サービスの資料を一括チェック
MCB FinTechカタログでは、制御システム（OT）のセキュリティ評価・診断に対応するサービスの最新資料を無料で一括請求できます。ネットワークのリスク診断・制御機器の診断・OTアセスメントなどを比べて、自社に合う評価の進め方を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
