制御システムセキュリティとは？ITとの違い・攻撃事例から対策の進め方まで解説

工場やプラント、電力・水道といった社会インフラを動かす制御システムが、サイバー攻撃の標的になる事例が国内外で相次いでいます。これまで外部とつながっていなかった制御の世界が、業務効率化やスマート工場化を背景に社内ネットワークやインターネットと接続され、オフィスのIT環境と同じようにリスクにさらされるようになったためです。

一方で、制御システムには「止めると生産や供給が止まる」「古い機器が長く使われる」といった特有の事情があり、オフィス向けのセキュリティ対策をそのまま持ち込めません。専任のセキュリティ担当者がいない現場も多く、「何がITと違うのか」「何から手を付ければよいのか」が分からないまま不安を抱えているケースは少なくありません。

本記事では、制御システムセキュリティとは何かという基本から、ITとの違い、実際に起きた攻撃事例、IEC 62443やNIST CSFに沿った対策の全体像までを順に整理します。そのうえで「最初の一歩」として、何からどの順で着手すればよいかを具体的に解説します。自社の制御システムを守る取り組みを進めるための土台としてご活用ください。

制御システムセキュリティとは

制御システムセキュリティとは、工場の生産ラインやプラント、電力・水道・交通といった社会インフラを動かす制御システムを、サイバー攻撃や不正な操作から守る取り組みを指します。狙いは、情報の漏えいを防ぐだけでなく、設備の停止や誤作動、ひいては人や環境への被害といった物理的な事故を防ぐことにあります。

制御システムは、国民生活の基盤を支える重要なシステムとして広く使われています。公的機関であるJPCERTコーディネーションセンター（JPCERT/CC）は、その用途を次のように説明しています。

制御システムは、製造業を含むさまざまな産業領域で利用されている他、大規模な石油化学プラントの制御や、電力システムの監視制御、ダムや水供給システムの監視制御など国民生活の基盤サービスを提供する重要なシステムとして利用されています。

出典：制御システムセキュリティ｜JPCERTコーディネーションセンター（https://www.jpcert.or.jp/ics/）

OT・ICS・SCADA・DCS・PLCの関係

制御システムの世界では、いくつかの用語が重なり合って使われます。まず押さえたいのが、全体を包む大きな概念であるOT（制御・運用技術）です。OTは、物理的な設備やプロセスを監視・制御する仕組みの総称で、工場の制御システムのほか、ビル設備、交通システム、物理的な入退室管理なども含みます。

米国NISTのガイドラインであるNIST SP 800-82（制御システムのセキュリティ指針）は、OTを次のように位置づけています。物理的な設備やプロセスを監視・制御する、あるいはそうした機器を管理する、幅広いプログラマブルなシステムや機器の総称です。

このOTの中に含まれるのが、工場やプラントの生産設備を制御するICS（産業用制御システム）です。NIST SP 800-82は、ICSを「SCADAやDCSを含む、産業分野や重要インフラで使われる制御システムの総称」と位置づけています。さらにICSを構成する要素として、次の3つがよく登場します。

• SCADA（監視制御システム）：上下水道やパイプライン、送配電など、地理的に分散した設備を中央から監視・制御する仕組み
• DCS（分散制御システム）：製油所や発電所、化学プラントなど、同一拠点内の生産プロセスをまとめて制御する仕組み
• PLC（プログラマブル・ロジック・コントローラ）：工程を局所的に制御する装置。SCADAやDCSの構成要素としても、組立ラインなど小規模な構成の主制御としても使われる

整理すると、「OT」という大きな枠の中に「ICS」があり、そのICSを「SCADA・DCS・PLC」が構成している、という入れ子の関係になります。制御システムセキュリティは、これら物理設備を動かす仕組み全体を守る取り組みだと捉えると分かりやすくなります。

出典・参考資料（1件）

• 出典：Guide to Operational Technology (OT) Security（NIST SP 800-82 Rev.3）｜米国国立標準技術研究所（NIST）（https://csrc.nist.gov/pubs/sp/800/82/r3/final）

なぜ制御システムは特別な守り方が必要なのか｜ITとの違い

ここからは、オフィス向けのIT対策をそのまま制御システムに適用できない理由を、ITとOTの違いから整理します。両者は守るべき優先順位も、使われる機器の寿命も、通信のやり方も異なります。この違いを理解しておくと、自社の制御システムになぜ別の守り方が要るのかを、社内や経営層に説明する材料にもなります。

ITとOTの違い（対比表）

NIST SP 800-82は、ITシステムとOTシステムの典型的な違いを整理しています。主な観点を対比すると、次のようになります。

観点	一般的なITシステム	制御システム（OT）
最優先する価値	情報の機密性・完全性	人の安全と稼働の継続（可用性）
停止の可否	再起動や一時停止を受け入れやすい	連続稼働が前提で、計画外の停止は許容されにくい
機器の寿命	おおむね3〜5年	おおむね10〜15年（古いOSが残りやすい）
通信プロトコル	標準的なプロトコルが中心	独自・専用のプロトコルが使われることが多い
セキュリティ機能の追加	対策ソフトを後から導入しやすい	処理資源が限られ、エージェント型の対策を入れにくい
障害の影響	主にデータや業務への影響	設備の誤作動など、物理的な事故につながりうる

特に重要なのが、最優先する価値の違いです。NIST SP 800-82は、OTでは「人の安全が最優先され、次にプロセスの保護が続く」とし、主なリスクは法令違反・環境への影響・人命や設備・生産の損失だと述べています。ITのように情報を守ることが第一ではなく、設備を安全に動かし続けることが最優先されるため、対策の考え方そのものが変わります。

出典・参考資料（1件）

• 出典：Guide to Operational Technology (OT) Security（NIST SP 800-82 Rev.3）§2.2 / Table 1｜米国国立標準技術研究所（NIST）（https://csrc.nist.gov/pubs/sp/800/82/r3/final）

「止められない・古い機器が残る」という制約

制御システム特有の守りにくさは、「止められない」「すぐにパッチを当てられない」という制約に集約されます。生産を止めないことが最優先されるため、脆弱性が見つかってもソフトウェアの更新をすぐには適用できません。NIST SP 800-82も、OTのソフトウェア更新は必ずしも迅速には行えず、ベンダーと利用者の双方で十分な検証が必要で、停止は数日から数週間前に計画・調整しなければならないと指摘しています。

さらに、制御システムではベンダーのサポートが終了した古いOSが現役で使われ続けることも珍しくありません。パッチが提供されない機器が稼働を続けるため、「更新して守る」という一般的なIT対策が通用しにくいのです。この制約をどう乗り越えるかが、制御システムセキュリティの中心的な課題になります。

出典・参考資料（1件）

• 出典：Guide to Operational Technology (OT) Security（NIST SP 800-82 Rev.3）§2.2 Change management｜米国国立標準技術研究所（NIST）（https://csrc.nist.gov/pubs/sp/800/82/r3/final）

いま対策が必要な理由｜オープン化と実際の攻撃

かつて制御システムは外部から隔離されており、サイバー攻撃の対象になりにくいと考えられてきました。その前提が崩れたのが、近年のオープン化の流れです。ここでは、なぜ制御システムが狙われるようになったのかを、仕組みと実際の攻撃事例から見ていきます。

つながる工場で広がった攻撃面

制御システムが狙われるようになった背景には、汎用的な技術の採用があります。業務効率化やリモート監視のために、独自技術で組まれていた制御系に、一般的なイーサネットやIP通信、無線機器が広く使われるようになりました。

NIST SP 800-82によれば、かつての制御システムは専用のハードウェアやソフトウェアで独自プロトコルを動かす孤立した環境でした。しかし、安価で広く普及したIP機器が従来の独自技術を置き換え、社内の接続性やリモートアクセスのためにIT技術を取り込んだことで、制御システムは外部から隔離されにくくなっています。

同書は、この統合が新たな機能をもたらす一方で、外部世界からの隔離を損ない、守る必要性を高めていると指摘しています。

便利さと引き換えに、攻撃者が入り込める経路が増えたということです。オフィスのネットワークを経由して制御系に到達する、インターネット越しに遠隔操作される、といった攻撃面が、つながる工場では現実のものになっています。

出典・参考資料（1件）

• 出典：Guide to Operational Technology (OT) Security（NIST SP 800-82 Rev.3）§2.2｜米国国立標準技術研究所（NIST）（https://csrc.nist.gov/pubs/sp/800/82/r3/final）

IT側・外部媒体を入口に制御系へ及んだ攻撃事例

制御システムへの攻撃は、理論上の懸念ではありません。公的機関が注意喚起した代表的な事例を、仕組みに注目して振り返ります。

Stuxnet（2010年に発覚）は、制御システムを直接狙った初期の代表例です。米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）の勧告によれば、このマルウェアはシーメンス社の制御系ソフト（SIMATIC WinCC／STEP 7）に作用します。感染したUSB機器やネットワーク共有、STEP 7のプロジェクトファイルを介して広がりました。

インターネットに接続していない閉じた制御系にも、持ち込みによって到達しうることを示した点が重要です。ただし、イランの核関連施設の遠心分離機を破壊したと報じられていますが、標的や物理的な被害の規模は二次的な分析にもとづくもので、公的勧告が確認しているのは感染の仕組みまでです。

2015年のウクライナ大規模停電は、IT側から侵入してOT（配電制御）に至った典型例です。CISAのアラートによれば、2015年12月23日、ウクライナの3つの地域配電会社への遠隔サイバー侵入によって計画外の停電が発生し、約225,000の需要家に影響しました。

マルウェアは悪意あるMicrosoft Office添付ファイルを使った標的型メールで送り込まれ、攻撃者はVPN経由で制御システムのクライアントソフトに遠隔アクセスしたとされています。オフィス向けの入口から侵入し、最終的に電力供給を止めた流れが、公的な一次情報で確認できる事例です。

Colonial Pipeline社へのランサムウェア攻撃（2021年5月）は、OSそのものが暗号化されなくても事業が止まりうることを示しました。CISAとFBIの共同勧告によれば、DarkSideランサムウェアが同社のITネットワークを侵害し、同社は安全を確保するために一部のOTシステムを自ら予防的に切り離しました。

勧告の時点で、攻撃者がOTへ横展開した兆候は確認されていません。IT側の被害が、結果として重要インフラの稼働停止につながった事例です。

これらに共通するのは、オフィス向けのIT環境や外部媒体を入口に、最終的に制御系へ影響が及んでいる点です。制御システムを守るには、IT側とOT側をひとつながりの経路として捉える視点が欠かせません。

出典・参考資料（3件）

• 出典：ICS Advisory ICSA-10-272-01（Stuxnet Malware Mitigation）｜CISA（https://www.cisa.gov/news-events/ics-advisories/icsa-10-272-01）
• 出典：Cyber-Attack Against Ukrainian Critical Infrastructure（IR-ALERT-H-16-056-01）｜CISA（https://www.cisa.gov/news-events/ics-alerts/ir-alert-h-16-056-01）
• 出典：DarkSide Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks（AA21-131A）｜CISA・FBI（https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-131a）

対策の全体像｜公的フレームワークで進める

制御システムの対策は、自己流で個別の対策を積み上げるより、国内外で標準とされる枠組みに沿って進めるほうが、抜け漏れを防げて社内の合意も得やすくなります。ここでは、よく参照される3つの枠組みを紹介します。

IEC 62443（制御システムの国際規格）

IEC 62443は、産業用オートメーション・制御システム（IACS）のセキュリティを扱う国際規格群です。規格を策定する国際電気標準会議（IEC）は、規格の各文書を4つのグループに整理していると説明しています。

• General（62443-1-x）：規格全体に共通する用語・概念・モデル
• Policies and Procedures（62443-2-x）：資産所有者のセキュリティプログラム要件やパッチ管理など、方針と手順に関する文書
• System（62443-3-x）：システム全体の技術要件と、ゾーン／コンジットの考え方にもとづくリスクアセスメントの手法
• Component（62443-4-x）：制御機器など構成要素の、セキュアな開発ライフサイクルに関する要件

この4グループの骨格を押さえておくと、自社がいま「方針づくり」の段階なのか「システム設計」の段階なのかを位置づけやすくなります。個別の文書は版やステータスが更新されることがあるため、細部に踏み込む際は最新のIECカタログを確認してください。

出典・参考資料（1件）

• 参考資料：IEC 62443 Background｜IEC（International Electrotechnical Commission）（https://syc-se.iec.ch/?p=4375）

NIST CSFの5つの機能

NISTサイバーセキュリティフレームワーク（NIST CSF）は、セキュリティ対策を機能ごとに整理した枠組みで、制御システムの対策を考える道筋としても使われています。中核となるのが、次の5つの機能です。

• 特定（Identify）：守るべき資産やリスクを把握する
• 防御（Protect）：被害を防ぐための対策を講じる
• 検知（Detect）：攻撃や異常の発生を見つける
• 対応（Respond）：検知した事案に対処する
• 復旧（Recover）：被害からの回復と再発防止を図る

この5つは、事前の備え（特定・防御）だけでなく、攻撃を受けた後の検知・対応・復旧までを一続きで捉える点に特徴があります。パッチを当てきれない制御システムでは、「侵入を完全には防げない前提で、早く気づいて対処する」という検知以降の機能が特に重要になります。NISTは2024年に公開した最新版のCSF 2.0で、これら5つを統べる「統治（Govern）」を加え、現在は6つの機能で構成しています。

出典・参考資料（1件）

• 出典：The NIST Cybersecurity Framework (CSF) 2.0（NIST CSWP 29）｜米国国立標準技術研究所（NIST）（https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf）

IPAのリスク分析ガイド（国内の実務指針）

国内の実務指針としては、独立行政法人情報処理推進機構（IPA）が公開する「制御システムのセキュリティリスク分析ガイド」が参考になります。このガイドは、セキュリティリスク分析の全体像の理解を深めてその取り組みを促すこと、具体的に実施するための手順や手引きを示すこと、IPAが実践したノウハウを織り込むことを目的として掲げています。

ガイドでは「資産ベース」「事業被害ベース」という2つのリスクアセスメント手法が示されており、何から守るべきかを自社の状況に即して洗い出すための道具として使えます。IEC 62443が規格、NIST CSFが機能の枠組みだとすれば、IPAのガイドは日本語で読める実務の手引きという位置づけです。

出典・参考資料（1件）

• 参考資料：制御システムのセキュリティリスク分析ガイド｜情報処理推進機構（IPA）（https://www.ipa.go.jp/security/controlsystem/riskanalysis.html）

何から始めるか｜制御システムセキュリティの進め方

枠組みの全体像を踏まえ、ここからは「最初の一歩」として何からどの順で着手すればよいかを具体的に整理します。専任の担当者がいなくても、止められない機器があっても動けるよう、現状把握から順に進める流れで解説します。

①現状把握・資産の棚卸し

最初に取り組むべきは、自社の制御システムに何がつながっていて、どんな通信が流れているかを把握することです。守るべき資産が見えていなければ、どこにリスクがあるかも判断できません。これはNIST CSFの「特定（Identify）」や、IEC 62443-3-2が示すゾーン／コンジットの考え方にもとづくリスクアセスメントにあたります。

制御システムでは、ネットワーク構成図が古いままだったり、把握できていない機器が接続されていたりすることが少なくありません。自社だけで棚卸しが難しい場合は、実際の通信を外部の目で分析し、何がどこと通信しているかを可視化する診断サービスを使うと、現状把握の着手がしやすくなります。

②ネットワークの分離・境界防御

現状が見えたら、次はIT側とOT側、あるいは重要度の異なる領域を分離し、攻撃が入り込んでも被害が広がりにくい構造にします。ファイアウォールによる境界防御に加え、制御系では通信を一方向だけに制限するデータダイオードや一方向ゲートウェイといった仕組みも使われます。

前述の攻撃事例のように、IT側の入口から侵入してOTに到達する経路は現実に存在します。領域を分けておくことは、万一の侵入時に制御系への影響を食い止めるための基本的な備えになります。

③通信の可視化・侵入検知

分離をしても、侵入を完全に防ぎきることはできません。そこで、ネットワークを流れる通信を可視化し、不審な動きを早期に検知する仕組みが必要になります。これはNIST CSFの「検知（Detect）」にあたり、パッチを当てきれない制御システムでは特に重みを持つ段階です。

エージェントを入れにくい制御機器では、機器そのものに対策ソフトを導入するのではなく、ネットワーク側から通信を監視する方式が適しています。通信を記録・分析して外部からの侵入や内部の不審な動きを検知するNDR（ネットワーク検知・対応）は、この段階を担う代表的な手段です。IPAも「産業用制御システム向け侵入検知製品等の導入手引書」を公開しており、検知の取り組みを後押ししています。

④運用・インシデント対応・BCP

対策は導入して終わりではなく、日々の運用と、攻撃を受けた際の備えまで含めて設計します。異常を検知したら誰がどう動くかという対応手順、設備を安全に止めて復旧させるための事業継続計画（BCP）を、あらかじめ用意しておくことが欠かせません。Colonial Pipeline社の事例のように、安全確保のために設備を止める判断が求められる場面もあります。

NIST CSFの「対応（Respond）」「復旧（Recover）」にあたるこの段階は、被害を最小限に抑え、いかに早く操業を取り戻すかを左右します。検知した後に慌てないための準備として位置づけるとよいでしょう。

異常を検知したあとの初動、やってはいけない対応、報告の要否といった基本的な流れは、情報セキュリティ全般のインシデント対応と共通する部分が多くあります。制御システムの対応手順を一から組み立てる際の下地として、次の記事もあわせてご覧ください。

止められない・パッチできない機器をどう守るか

ここまでの①〜④を貫く前提が、「止められない・パッチできない機器をどう扱うか」です。更新して脆弱性を根本から潰す一般的なIT対策が使えない以上、弱点そのものを無くすのではなく、弱点を抱えたまま被害に至らせない、という発想への切り替えが要になります。

その答えが、②③で見たネットワーク分離と通信の監視です。機器を直接守れなくても、その機器が置かれた経路を分け、流れる通信を見張ることで、攻撃の到達と内部での活動を別の層で抑え込み、早く気づけます。弱点を別の層で補うこの考え方を「補償的な対策」と呼びます。

補償的な対策は、OTでは更新をすぐに適用できず古いOSが残る現実を前提に置くNIST SP 800-82の考え方にも沿っています。まずは自社の「止められない機器」を洗い出し、どの機器をどの層で補うかを決めることが、現実的な守りの出発点になります。

制御システムセキュリティを進めるためのサービス

ここからは、「最初の一歩」として挙げた現状把握と通信の可視化・検知について、外部の力を借りて着手できるサービスを具体例として紹介します。制御システムのセキュリティでは、まず現状を把握する「診断」と、その後に通信を継続して見張る「監視（NDR）」が入口になりやすく、ここではその2つの役割を担うサービスを取り上げます。

次の表は、どちらが優れているかを競うものではなく、担う段階が違う2つの役割の違いを整理したものです。いずれも、専任のセキュリティ担当者がいない現場でも着手しやすい選択肢です。

1. セキュア・レントゲン（株式会社クワッドマイナージャパン）

セキュア・レントゲンは、自社のネットワークにどんなリスクが潜んでいるかを外部の目で洗い出す、ネットワークリスク診断サービスです。実際に流れている通信をフルパケットキャプチャで保存し、専門のアナリストが分析することで、既知・未知の脅威や潜んでいるリスクを可視化し、対策案までを示します。提供元は、診断にあたって「ネットワークの人間ドック」のようなものだと説明しています。

制御システムの観点で注目したいのが、IT環境とOT環境の両方に対応し、OTプロトコルにも対応している点です。公式は「製造業に特化した業界初のセキュリティリスク診断」と位置づけており、「①現状把握・資産の棚卸し」を外部の診断で始めたい場合に適しています。

こうしたIT・OTを横断して見る診断が生まれた背景について、提供元は次のように説明しています。

診断は、機器を2週間ほど設置してから専門のエンジニアが分析し、レポートと報告会で結果を伝える流れが基本です。顧客側の作業はミラーリングの設定のみで、ミラーリング方式のため万一障害が起きてもネットワーク本体に影響しません。手がほとんどかからないため、専任者がいない現場でも着手しやすいのが特徴です。

なお、本サービスは現状把握と対策案の提示までを担うもので、パッチ適用などの対策の実行そのものは範囲外となります。料金は診断の手法や設置台数によって変わるため、要お問い合わせとなっています。

2. Network Blackbox（株式会社クワッドマイナージャパン）

Network Blackboxは、ネットワークを流れる全パケットを収集し、サイバー脅威を可視化・分析・対応するNDR（ネットワーク検知・対応）製品です。収集・検知・ハンティング・フォレンジック・対応という機能を備えています。

通信そのものを保存してパケットを再構成できるため、侵入や内部の不審な通信、データの持ち出しといった「ネットワーク上に痕跡が残る」事象の検知と事後調査に強みを持ちます。「③通信の可視化・侵入検知」を担う手段にあたります。

導入はミラーリング方式のため、機器にエージェントを入れる必要がありません。この点は、処理資源が限られエージェントを導入しにくい制御機器を、ネットワーク側から見守るうえで相性がよい方式です。

実際に、EDR（端末に入れる検知・対応ツール）などを導入できない制御コンソールが存在する製造現場での活用も、国内販売代理店の導入事例として紹介されています。検知や遮断の指示では、Syslog・REST APIを通じて、EDRやSIEM（各種ログを統合して分析する仕組み）といった他の製品とも連携できます。

先に紹介したセキュア・レントゲンは、このNetwork Blackboxの技術を土台にした診断サービスでもあります。まず診断で現状を把握し、その後に継続的な可視化・検知へ進む、という2段階の流れを一貫して描ける点が、両者を組み合わせる利点です。料金は要お問い合わせとなっています。

ここで紹介したのは制御システム（OT）に向けたサービスですが、社内のセキュリティは守る対象ごとに必要な対策が異なります。以下の記事では、守る対象別にソリューションのタイプと代表的なサービス・選び方を比較しています。制御システム以外の領域もあわせて見直したい方はご覧ください。

自社だけで抱えない｜公的な相談先とリソース

制御システムのセキュリティは、自社だけで抱え込む必要はありません。公的機関や業界団体が、ガイドや自己評価ツール、相談窓口を無償で提供しています。着手のどの段階で何を使えるかという視点で、主なリソースを整理します。

IPA（情報処理推進機構）

IPAは「制御システムのセキュリティ」ポータルで、着手の段階ごとに使える資料を公開しています。対策設計の段階では前述の「制御システムのセキュリティリスク分析ガイド」、脅威の把握には「10大脅威と対策」が参考になります。検知の運用には「産業用制御システム向け侵入検知製品等の導入手引書」、自己評価には成熟度評価モデル「ES-C2M2」の解説書などがあります。

実際の攻撃を知る「サイバーインシデント事例」シリーズも、当事者意識を持つうえで役立ちます。

出典・参考資料（1件）

• 参考資料：制御システムのセキュリティ｜情報処理推進機構（IPA）（https://www.ipa.go.jp/security/controlsystem/index.html）

JPCERTコーディネーションセンター

JPCERT/CCは、自社の状況を自分たちで評価するための自己評価ツールを提供しています。代表的なものに、日本版SSAT（SCADA Self Assessment Tool）や、J-CLICS（制御システムのセキュリティ自己評価ツール）のSTEP1／STEP2、攻撃経路対策編があります。

現状把握から一歩進んで「自社でどこまでできているか」を点検したい段階で役立ちます。制御システムのインシデントを報告する窓口も設けられています。

出典・参考資料（1件）

• 参考資料：制御システムセキュリティ｜JPCERTコーディネーションセンター（https://www.jpcert.or.jp/ics/）

CSSC・NECA（制御システムに特化した研究組合・業界団体）

制御システムセキュリティセンター（CSSC）は、制御システムに特化した技術研究組合で、教育講習や機器の検証、検証設備（テストベッド）を通じた支援を行っています。日本電気制御技術工業会（NECA）は、ベンダ向けや運用のガイドラインを公開しており、現場に落とし込むための手引きとして参照できます。これらの公的・業界団体の取り組みは、社内に専門人材がいなくても学び、相談できる場として活用できます。

まとめ

制御システムセキュリティは、情報を守るIT対策とは優先順位も制約も異なり、「止められない・パッチできない」という前提のうえで考える必要があります。オープン化によって攻撃面が広がり、実際に操業や供給が止まる被害も国内外で起きている以上、自社も対象になりうると捉えて備えることが欠かせません。

進め方に迷ったら、IEC 62443やNIST CSF、IPAのガイドといった公的な枠組みを道筋にし、まず現状を把握するところから始めるのが現実的です。何がつながっているかを可視化し、領域を分け、通信を監視して早く気づく——この流れは、専任者がいなくても外部の診断やサービスを借りて着手できます。本記事で紹介した現状把握の診断や通信監視のサービスも、その最初の一歩として検討してみてください。

よくある質問（FAQ）

Q. 制御システムセキュリティとは何ですか？

A. 制御システムセキュリティとは、工場やプラント、電力・水道などの社会インフラを動かす制御システム（OT）を、サイバー攻撃や不正な操作から守り、設備の停止や誤作動といった物理的な被害を防ぐ取り組みです。情報漏えいの防止を主眼とするITのセキュリティと違い、人の安全と稼働の継続を最優先に考える点が特徴です。守る対象には、SCADA・DCS・PLCといった産業用制御システム（ICS）が含まれます。

Q. 制御システムセキュリティは、ウイルス対策ソフトを入れるだけでは守れないのですか？

A. 制御システムセキュリティは、端末にウイルス対策ソフトを入れるだけでは守りきれません。制御機器は処理資源が限られてエージェント型の対策ソフトを入れにくく、サポートが切れた古いOSが現役で残ることも多いためです。機器単体の防御に頼るのではなく、ネットワークを分けて通信を監視し、異常に早く気づくという複数の層を組み合わせる考え方が必要になります。

Q. 制御システムセキュリティは何から始めればよいですか？

A. 制御システムセキュリティは、まず自社の制御システムに何がつながっていて、どんな通信が流れているかを把握する「現状把握」から始めるのが現実的です。守るべき資産とリスクが見えて初めて、ネットワークの分離や通信の監視といった次の手を優先順位づけできます。社内だけで棚卸しが難しい場合は、実際に流れている通信を外部が分析して可視化する診断サービスから着手する方法もあります。

Q. 止められない・サポートが切れた古い機器は、制御システムセキュリティでどう守ればよいですか？

A. 止められずパッチも当てられない機器は、その機器が置かれたネットワークを分離し、流れる通信を監視することで、攻撃の到達と活動を抑え込む「補償的な対策」で守るのが基本です。脆弱性を根本から潰す「更新して守る」手法が使えない制御システムでは、守りきれない弱点を別の層で補うアプローチが現実解になります。

これは、OTでは更新をすぐに適用できず古いOSが残る前提を織り込んだNIST SP 800-82の考え方にも沿っています。

出典・参考資料（1件）

• 出典：Guide to Operational Technology (OT) Security（NIST SP 800-82 Rev.3）§2.2｜米国国立標準技術研究所（NIST）（https://csrc.nist.gov/pubs/sp/800/82/r3/final）

Q. 中小規模の工場でも、制御システムのサイバー攻撃対策は必要ですか？

A. 中小規模の工場でも、制御システムのサイバー攻撃対策は必要です。攻撃はオフィス向けのメールやUSB機器など身近な入口から侵入し、取引先や親会社を経由して波及することもあるため、企業規模に関わらず標的になりえます。近年は取引先・親会社からセキュリティ対応の説明を求められる場面も増えており、できる範囲での現状把握から着手しておくことが備えになります。

Q. 制御システムセキュリティは、専任の担当者がいなくても進められますか？

A. 制御システムセキュリティは、専任の担当者がいなくても、外部の診断サービスや公的機関の支援を借りて進められます。現状把握は手間の少ない外部診断から始められ、IPA（情報処理推進機構）やJPCERTコーディネーションセンター、制御システムセキュリティセンター（CSSC）などが無償のガイドや自己評価ツール、相談窓口を提供しています。

自社だけで抱え込まず、これらを組み合わせて一歩ずつ進めるのが現実的です。

Q. 制御システムセキュリティの対策には、どのくらいの費用がかかりますか？

A. 制御システムセキュリティの費用は、対象とする機器の数や対策の範囲によって大きく変わり、一律の相場を示すのは難しいのが実情です。一方で、公的機関が無償で公開するガイドや自己評価ツールの活用、通信を外部が分析する診断など、小さく始められる選択肢もあります。まずは現状把握で自社に必要な対策の範囲を見極め、そのうえで見積もりを取るのが、過剰な投資を避ける進め方です。

制御システムセキュリティ関連サービスの資料を一括チェック

MCB FinTechカタログでは、制御システム（OT）の現状把握や通信の可視化・検知に役立つサービスの最新資料を無料で一括請求できます。自社の着手段階に合うサービスを比べる材料としてご活用ください。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。