同業の工場がランサムウェアに感染して生産ラインを止めた、というニュースを目にして、「自社の工場は大丈夫なのか」と確認を迫られた製造業の担当者は少なくないはずです。
オフィスのパソコンやサーバーのセキュリティ対策は分かっても、工場の生産設備をどう守ればよいかは、普段のIT対策の延長ではなかなか見えてきません。工場の設備には、止められない・パッチを当てられない・サポートの切れた古い機器が動き続けている、という事情があるためです。
本記事では、製造業の脆弱性対策として具体的に何をやるのかを、工場の制御システム（OT）と社内のIT の違いを踏まえて整理します。やるべき対策の一覧、工場を止めずに進める手順、パッチを当てられない設備への現実的な対処、そして自社でやる範囲と外部への依頼の線引きまで、社内で次の一歩に着手できる形で解説します。
目次
一括ダウンロードする
製造業で脆弱性対策が重要になっている背景
ここでは、製造業が脆弱性対策を避けて通れなくなっている背景を簡単に整理します。工場の設備は、もともとインターネットにつながることを前提に設計されていませんでした。経済産業省のガイドラインも、この点を次のように説明しています。
工場システム（産業制御システム(ICS/OT)やこれらを構成する機器、及び接続されるシステム・機器）は、内部ネットワークとして、インターネット等のネットワークにはさらされないことを前提に設計されてきました。しかし、ＩｏＴ化や自動化の流れの中で……工場等のネットワークをインターネット等のネットワークにつなぐ必要性や機会が増加することによる、新たなセキュリティ上のリスク源も増加しています。
出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン｜経済産業省
つながる機会が増えたことで、工場は外部からの攻撃にさらされるようになりました。実際に自社を狙う脅威としては、生産停止につながるランサムウェア攻撃、取引先を経由して波及するサプライチェーン攻撃、機器やソフトの脆弱性を突く攻撃が代表的です。
独立行政法人情報処理推進機構（IPA）が公表する「情報セキュリティ10大脅威 2026」では、組織向けの脅威として、ランサム攻撃による被害が1位、サプライチェーンや委託先を狙った攻撃が2位、システムの脆弱性を悪用した攻撃が4位に挙げられています。いずれも工場を持つ製造業に直接関わる脅威です。
出典・参考資料（1件）
こうした脅威の高まりは、取引網全体でセキュリティ水準を問う制度づくりにもつながっています。製造業を取り巻くこうした動向について、株式会社SYNCHROの北口氏は次のように指摘しています。
製造業については、今年度から新しく始まる政府のSCS評価制度(サプライチェーン・サイバーセキュリティ評価制度)への対応が大きなテーマになります。レベル1〜3は自己評価ですが、レベル4・5は第三者評価が必要となり、セキュリティレベルが低い企業様との取引が制限されるような制度設計になっています。中小企業様が狙われやすくなっている中で、そこを踏み台に取引先を遡っていくサプライチェーン攻撃のリスクも高まっており、評価制度への対応は急務です。加えて、工場内のOT機器のインターネット接続が進んでいるという流れもあります。DXにより便利になっていく一方で、サイバー攻撃の対象にもなりつつあり、大型機械の誤作動は人命や火災など、影響範囲が広くなるリスクも伴います。
工場のセンサーやカメラ、ルーターといったネットワークにつながるIoT機器そのものに、どのような脆弱性があり、何から対策すべきかを優先順位から押さえたい方は、以下の記事で代表的な脆弱性の種類と実際の被害事例を交えて解説しています。
IoT機器の脆弱性とは？代表的な種類・実被害事例と自社で今すぐ確認すべき対策の優先順位
工場のセンサーや監視カメラ、オフィスのルーターやスマートロックといったIoT機器の運用管理を任され、脆弱性の状況を調べ始めていませんか。2016年のMirai事件のような大規模DDoSに続き、2023年にはセイコーソリューションズ製の通信機…
製造業（OT）の脆弱性対策は普段のIT対策と何が違うのか
ここからは、工場の制御システム（OT）の脆弱性対策が、社内のIT（オフィスのパソコンやサーバー）の対策とどう違うのかを整理します。普段のIT対策——脆弱性が見つかったらパッチを当てる、診断ツールでスキャンして潰す——が、工場ではそのまま通じない理由が、対策の出発点になります。
止められない＝安定・連続稼働（可用性）が最優先
社内のITでは情報の漏えいを防ぐこと（機密性）が重視されがちですが、工場システムでまず守られるべきは、生産を止めないこと（安定して動き続けること＝可用性）です。経済産業省のガイドラインも、工場システムの性格を次のように説明しています。
工場システムは、製品事業の伸張や事業／生産の継続(BC：Business Continuity)を実現するために、生産性をより高め、コスト低減(C: Cost)を図るとともに、安定的かつ継続的に製品を生産するためのシステムであり、その安定・連続稼働が求められる。つまり、システム及び構成要素の可用性(Availability)が求められる。
出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver1.1｜経済産業省
対策そのものが機器の障害を招くことがある
社内のITなら、脆弱性が見つかればパッチを当てれば済みます。しかし工場の制御機器では、パッチの適用や設定変更といった対策そのものが、機器の障害という別のトラブルを引き起こすことがあります。経済産業省のガイドラインも、この点に注意を促しています。
セキュリティ脅威への対策としてパッチの適用等を行うことにより、システム・機器の障害という別の脅威につながる場合もある。セキュリティ対策実施の際には、対策による影響の把握、障害が発生した場合にも事業・生産への影響を最小限にする対策範囲・スケジュール等を考慮する必要がある。
出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver1.1｜経済産業省
脆弱性を調べる段階でも同じ配慮が要ります。稼働中の制御機器に能動的なスキャンをかけると、通信の負荷や予期せぬ応答で誤動作が起き、生産に影響が出ることがあります。そのため工場では、機器に負荷をかけずに通信を観察するパッシブな方法を基本にし、能動的な検査が必要な場合は停止できる時間帯を選ぶ、といった進め方が求められます。
サポートの切れた古い機器が動き続けている
工場では、10年、20年と使い続ける設備が珍しくありません。制御用のパソコンがサポートの終了したOSで動いていたり、更新プログラムの提供が終わった機器がラインに組み込まれていたりします。買い替えや更新がすぐにはできないため、「脆弱性はあるが、パッチは当てられない」状態を抱えたまま守る必要が出てきます。この現実的な対処は後半の「パッチを当てられない設備はどうする？」で詳しく扱います。
製造業でやる脆弱性対策の一覧（課題と対策の対応）
ここからは、製造業で実際にやる脆弱性対策を、工場特有の課題と対にして一覧にします。どの対策も、経済産業省のガイドラインがシステム構成面の対策として挙げている項目（ネットワークの分割、ファイアウォールや侵入検知の導入、通信の監視、接続機器の管理、脆弱性情報の収集・診断、ログの取得）に対応しています。
| 製造業特有の課題とやるべき対策 | 工場内に何がつながっているか把握しきれていない | 社内IT と工場のネットワークが地続きで、片方の侵入がもう片方に広がる | 保守のためのリモート接続や外部ベンダーの接続が攻撃の入口になる | 現場に持ち込まれるUSBメモリや私物機器から感染する | ランサムウェアに感染すると生産データごと暗号化され復旧できない | 攻撃や異常に気づくのが遅れ、被害が広がってから発覚する |
|---|---|---|---|---|---|---|
| やるべき対策 | 機器・OS・ソフトとネットワーク構成を棚卸しして一覧にする | ネットワークを分割し、IT とOT の境界をファイアウォール等で区切る | 外部からの接続経路・保守用アカウントを洗い出し、必要なものだけに絞って管理する | 持ち込み機器・USBの利用ルールを定め、接続できる端末を制限する | 重要なデータを定期的にバックアップし、復旧の手順と連絡体制を決めておく | 通信を監視し、侵入検知の仕組みとログの取得・分析で異常を早く見つける |
| ねらい | どこに何があるか分からなければ守れない。すべての対策の出発点になる | 感染が工場側へ横に広がるのを食い止め、被害を一部に封じ込める | 使われていない接続口や共有アカウントは攻撃者に狙われやすい | ネットから隔離された工場でも、物理的な持ち込みは感染経路になる | 感染しても元に戻せる状態をつくり、生産停止の時間を最小限にする | 侵入を完全に防ぎきれない前提で、早期に気づいて対応できるようにする |
※対策の分類は経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」のシステム構成面での対策項目に基づいて整理しています。
一括ダウンロードする
工場を止めずに脆弱性対策を進める手順
対策の中身が分かったら、次は進め方です。経済産業省のガイドラインは、工場のセキュリティ対策を「内外の要件や保護対象の整理」「対策の立案」「対策の実行と、計画・運用の継続的な見直し（PDCA）」という大きな流れで示しています。この枠組みにそって、工場を止めずに脆弱性を洗い出し改善する手順を、診断の実務に落とし込むと次のようになります。
- 工場内の資産とネットワーク構成を整理する。どの機器が何につながっているかを一覧にします（これは前掲の課題×対策表の出発点にあたります）。止めないための配慮：情報の収集・整理が中心で、稼働に影響しません。
- 診断の範囲・実施条件・時期を関係者で合意する。情報システム部門・生産現場・保全部門・外部の保守ベンダーで、どこまでをどう調べるかをすり合わせます。止めないための配慮：生産を止めない前提を、この合意の段階で組み込みます。
- 負荷の少ない方法から調べ始める。通信を観察するパッシブな方法・設定の確認・現場へのヒアリングから着手します。止めないための配慮：機器に負荷をかけない方法を基本にします。
- 踏み込んだ検査は停止できる枠で行う。より能動的な検査が必要なら、検証用の環境や、生産を止められる時間帯を選んで実施します。止めないための配慮：稼働中の機器に能動的なスキャンを直接かけません。
- リスクの優先度をつけて対応し、以降も見直し続ける。洗い出した脆弱性を、生産への影響の大きさと攻撃の受けやすさで優先度づけして対応します。止めないための配慮：対策そのものが機器障害を招きうるため、影響の小さいものから段階的に進めます。
対応は一度で終わりではありません。経済産業省のガイドラインが示すとおり、対策を実行したあとも計画・対策・運用体制を見直し続ける（PDCAを回す）ことで、機器の入れ替えや新たな脅威に合わせて守りを保てます。洗い出した結果は、経営層に「自社は何に取り組むのか」を説明する投資判断の材料としても使えます。
パッチを当てられない設備はどうする？「できないなら代わりにこれ」対応表
製造業の担当者が最も悩むのが、脆弱性はあるのにパッチを当てられない古い設備の扱いです。ここで重要なのは、パッチを当てられないこと＝打つ手なし、ではないという点です。経済産業省のガイドラインも、パッチを当てられない場合に別の手段（代替策）で守る考え方を示しています。
アプリケーション／オペレーティングシステム（OS）の重大な脆弱性については可能な限り速やかにセキュリティパッチを適用している。もしくは代替策を講じている。
出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver1.1（付録E チェックリスト）｜経済産業省
ガイドラインは、脆弱性対策の手段として「ソフトウェア更新（セキュリティパッチ適用）」と並べて「仮想的な対策（IPS、仮想パッチ等）」を挙げています。パッチが当てられないなら、攻撃が脆弱性に届かないようにする、という発想です。制約ごとの代替策を整理すると次のようになります。
| パッチを当てられない設備への代替策 | 生産を止められず、パッチ適用の時間が取れない | メーカーのサポートが終了し、パッチが提供されない | セキュリティソフトを入れられない制御用端末がある | いずれ更新したいが、すぐには買い替えられない |
|---|---|---|---|---|
| 代わりにやること（代替策） | そのパッチを当てられない機器をネットワーク上で隔離（セグメント分離）し、周囲の通信監視・侵入検知で異常を早く捉える | 仮想パッチ（IPS等）で既知の攻撃パターンを手前で遮断する | 許可したソフトだけを動かす仕組みや、USB型の対策ツールなどの代替手段を導入する | その機器にアクセスできる人・端末・通信経路を必要最小限に絞る |
| 補足 | 攻撃がその機器の脆弱性に届く経路そのものを断つ | 機器の手前のネットワークに置いた装置（IPSなど）で、本体を更新せずに既知の攻撃を止める仕組み | ガイドラインも、導入できない端末には代替策をとるよう求めている | 更新までの間、その機器が狙われる面を減らして時間を稼ぐ |
※代替策・仮想パッチの考え方は経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」の記載に基づいています。
自社でやる範囲と外部に依頼する範囲の線引き・選び方・費用感
ここまでの対策には、自社の運用で進められるものと、専門的な診断が要るものが混在しています。ここでは、どこまでを自社でやり、どこから外部に頼るのか、依頼する場合はどう選び、費用はどの程度かを整理します。
自社でやる範囲と外部に頼る範囲の線引き
資産とネットワーク構成の棚卸し、持ち込み機器やアカウントの運用ルールづくり、バックアップの取得といった日々の運用は、自社で進められる部分です。一方、工場のネットワークに実際に流れている通信を分析して潜んでいる脅威を見つけたり、制御機器に踏み込んで攻撃者の視点で弱点を洗い出したりする作業は、OT固有の知識と専用の手法が要るため、専門の診断サービスに依頼するのが現実的です。
「どこに脆弱性があるか分からない」「自社だけで調べると機器を止めてしまいそうで怖い」という段階では、まず外部の診断で現状を可視化し、その結果をもとに自社の運用改善につなげる、という役割分担が取り組みやすくなります。目安としての切り分けは次のとおりです。
- 自社で進められること：資産とネットワーク構成の棚卸し、持ち込み機器・アカウントの運用ルールづくり、重要データのバックアップと復旧体制の整備
- 外部に頼るのが現実的なこと：工場のネットワーク通信の分析、制御機器に踏み込んだ脆弱性診断・ペネトレーションテスト、工場OT環境の現地評価といった、OT固有の知識と専用の手法が要る作業
外部に依頼するときの選び方の観点
診断を外部に依頼する場合は、次の観点で候補を見極めると、自社の工場に合うサービスを選びやすくなります。
- 工場の制御システム（OT）や産業用ネットワークの知見があるか。社内IT向けの診断をそのまま持ち込むベンダーだと、工場特有の制約を踏まえた提案が受けられない
- 工場の稼働を止めない診断手法を提案できるか。通信を観察するだけで機器に影響しない方式か、停止が必要ならどの範囲で済むかを確認する
- 社内IT と工場のOT を横断して診断できるか。両者の境界が攻撃経路になるため、片方だけでは守りに穴が残る
- 経営層や現場に伝わる報告書を出せるか。技術的な指摘の羅列で終わらず、何から直すべきかの優先度まで示してもらえると、社内の意思決定に使える
- 診断後の継続的な支援や再診断まで相談できるか。一度きりの診断で終わらせず、改善の進捗を見てもらえるか
外部に依頼するときの費用感の目安
診断の費用は、調べる範囲と方式によって大きく変わります。一度だけ調べるスポット型の診断、攻撃者の視点で本格的に侵入を試みるペネトレーションテスト、年に数回など定期的に診断し続ける継続型など、方式ごとに費用の水準は異なります。継続型では監視する機器の台数に応じた料金体系をとるものもあります。
金額は診断範囲や対象機器の数で変わるため、ここで一律の相場を示すのは難しいのが実情です。公式に料金を公表しているサービスもあるので、具体的な金額は下記の比較表（料金の列）と各サービスの紹介、各社への見積もりで確認してください。
ここで挙げた製造業向けのサービス以外も含めて、脆弱性診断サービス全般の費用相場や、手動診断・ツール診断といった診断方式ごとの選び方を比べて検討したい場合は、以下の記事で診断方法・費用相場・選び方をまとめて解説しています。
脆弱性診断サービスおすすめ比較｜診断方法・費用相場・選び方を解説【無料ツールあり】
Webサービスや社内システムの脆弱性診断を検討する際、「専門家による手動診断とツールによる自動診断のどちらが自社に必要なのか」「費用が数十万円から数百万円までと幅が広く、妥当な予算が読めない」といった壁に突き当たる担当者は少なくありません。…
製造業の脆弱性対策に使える診断・管理サービスの選択肢（方式の違い）
製造業の脆弱性対策に使えるサービスは、診断や管理の方式によっていくつかのタイプに分かれます。工場のネットワークに流れる通信を分析するもの、ネットワーク内部の機器を継続的に診断するもの、制御機器そのものを実機で診断するもの、工場のOT環境を現地で評価するもの、IoT・組込み機器を診断するものなどです。
自社の関心がどこにあるかで、見るべきサービスが変わります。工場の制御システム（OT）そのものを守りたい場合は、通信を分析する方式・制御機器を実機で診断する方式・工場を現地で評価する方式が中心的な選択肢になります。一方、自社が開発・出荷する製品（IoT・組込み機器など）側の脆弱性を診たい場合は、それに対応する方式を選びます。
以下は本記事で紹介するサービスの比較表です。「工場・OT環境への適合」の列で、工場の設備そのものにどれだけ向くかを示しています。
| 製造業の脆弱性対策サービスの比較（診断・管理の方式別） | セキュア・レントゲン | Hi AUDIT | KATABAMI サイバーセキュリティ対策パッケージ | セキュリティ診断・ペネトレーションテスト（NRIセキュア） | 脆弱性診断サービス（MBSD） | セキュリティ診断（NTTセキュリティ・ジャパン） |
|---|---|---|---|---|---|---|
| 提供会社 | 株式会社クワッドマイナージャパン | 株式会社TECHFUND | 株式会社SYNCHRO | NRIセキュアテクノロジーズ株式会社 | 三井物産セキュアディレクション株式会社 | エヌ・ティ・ティ・セキュリティ・ジャパン株式会社 |
| 診断・管理の方式 | ネットワークを流れる通信をフルパケットで収集・分析するリスク診断（NDR技術） | ツールによる自動診断と専門家の手動診断を組み合わせたハイブリッド診断 | 予防（脆弱性診断）・復旧（バックアップ）・補償（サイバー保険）を束ねた統合パッケージ | 専門家の手作業を主体としたハイブリッド診断・ペネトレーションテスト | 専門家の手動診断を主体とし、補助ツールを併用する診断 | 専門家＋複数ツールによる診断と、顧客自身によるセルフ診断を選択 |
| 主な対象範囲 | ネットワーク全体を流れる通信（外部からの脅威と内部に潜む脅威の両方） | 自社が開発・出荷するWebアプリ・モバイルアプリ・IoT機器など（スマートコントラクト監査が中核） | サーバー・ネットワーク機器・複合機・PCなど社内ネットワークの接続機器 | Webアプリ／プラットフォーム／API／クラウド／ソースコード／IoT・OT機器まで幅広く | Webアプリ／ネットワーク／スマホアプリ／IoT・組込み機器／工場のOT環境 | Webアプリ／プラットフォーム／IoT・組込み機器／工場向け制御システム（OT） |
| 工場・OT環境への適合 | ●OTプロトコルに対応し、IT／OTをまたいだ通信を診断。ミラーリングで稼働中の設備に影響を与えにくい | △自社が開発・出荷する製品側（IoT・組込み機器など）の診断が中心で、工場の制御システム自体は対象外 | △社内ネットワーク内部をリモートで診断。工場・OT固有の診断機能は公式には明示されていない | ●制御機器の実機診断（ファジング等）やOTネットワーク・アセスメントを個別メニューで提供 | ●工場を現地訪問するOTセキュリティ評価（経産省ガイドライン準拠）とIoT・組込み機器の手動診断を提供 | ●工場向け制御システムのIoT診断やOTセキュリティ（資産台帳・ネットワーク分離・OT-IDS等）を提供 |
| 提供形態 | スポット型（機器を約2週間設置して分析し、レポートと報告会を提供） | 個別の単発監査と、月額の自動診断を組み合わせて提供 | 継続契約型（月次＝年12回の定期診断。最短2週間で利用開始） | スポット型（診断・ペネトレーションテストの個別プロジェクト） | スポット型（診断の個別プロジェクト。工場OT評価はリモート＋現地で実施） | スポット型の診断と、セルフ診断による継続的な自己把握を選択可能 |
| 費用の目安 | 要問い合わせ（分析手法・通信量・設置台数で変動するスポット料金） | 要問い合わせ（脆弱性の重大度・件数に応じた成果報酬型） | 月額1台あたり1,250円〜（100ノード以下で年額90万〜150万円が目安） | 要問い合わせ（個別見積もり。ペネトレーションテストは800万円〜・税別） | 要問い合わせ（診断範囲・対象に応じた個別見積もり） | 要問い合わせ（公式非公開。個別見積もり） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
製造業の脆弱性対策に使えるサービスの紹介
ここからは、前掲の比較表で取り上げたサービスを個別に紹介します。それぞれ診断の方式や得意な対象範囲が異なるため、自社の工場で何を知りたいか（通信全体のリスクか、制御機器そのものか、出荷する製品か）に照らして見てください。
1. セキュア・レントゲン（株式会社クワッドマイナージャパン）
実際にネットワーク上を流れている通信を丸ごと収集して分析する、ネットワークリスク診断サービスです。NDR製品のフルパケットキャプチャ技術を使い、外部からの脅威だけでなく、すでに内部に侵入・潜伏している脅威や脆弱性まで洗い出せる点が特徴で、公式は製造業に特化した診断と位置づけています。
診断は機器を設置して通信を分析する方式で、通信を複製して受け取るため、稼働中のネットワークに影響を与えずに実施できます。機器を約2週間ほど設置して通信を分析し、事前準備やレポートまで含めた全体では最短1カ月が目安とされ、成果物として検出した脅威の一覧や対策案をまとめたレポートと報告会が提供されます。
「社内IT と工場のOT をまたぐリスクを、現状を止めずにまず可視化したい」という段階に向いています。ただし本サービスは弱点を洗い出す診断に特化しており、パッチ適用などの対策の実行は自社または既存ベンダーが担う役割分担です。
このIT とOT をまたいでリスクを見るという発想は、同社が製造業の現場と向き合うなかから生まれたものだといいます。クワッドマイナージャパンの白垣氏は、その経緯をこう説明しています。
もともとは製造業のお客様とお話しすることが多く、ITからOT（制御技術）領域へ脅威が横展開されてしまう懸念に対して、その間にネットワークの視点を置いてリスクを洗い出しましょう、というご提案をしていた経緯があります。
2. Hi AUDIT（株式会社TECHFUND）
株式会社TECHFUNDが提供するセキュリティ監査サービスです。中核はスマートコントラクトの監査ですが、TECHFUNDは、自社で開発・出荷するWebアプリケーション・モバイルアプリ・IoTデバイスも診断の対象として挙げています。製造業の文脈では、自社が出荷する製品や組込み機器の脆弱性を調べたい場合の選択肢になります。
料金は、脆弱性が実際に見つかった場合に、その重大度・件数に応じて課金する成果報酬型を採用しているとTECHFUNDは説明しています。工場の制御システム（OT）そのものを対象にした診断というより、自社開発・出荷する製品側の脆弱性を見つけたいときに検討するサービスと捉えると、役割がはっきりします。
3. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
脆弱性の「予防」「復旧」「補償」を一つにまとめた国産のパッケージ型サービスです。中核となる予防では、ネットワーク内部から毎月（年12回）脆弱性を診断し、検出した脆弱性と対策案を定期的に報告します。年1回のレビューではなく毎月の定期検診として実施する点を訴求しており、専任のセキュリティ人材を置きにくい企業でも継続的に状態を把握できます。
これに、隔離された経路でデータを自動バックアップしてランサムウェア被害からの復旧に備える仕組みと、サイバー保険による補償を組み合わせています。公式は最短2週間での利用開始を掲げており、「検出だけでなく、万一のときの復旧と補償まで含めて一括で備えたい」という中小規模の工場に向いた構成です。ただし、検出した脆弱性への対策の実装自体は標準サービスの範囲外で、自社での対応が基本となります。
4. セキュリティ診断・ペネトレーションテスト（NRIセキュアテクノロジーズ株式会社）
NRIグループのセキュリティ専業会社による、専門家の手作業を主体とした診断・ペネトレーションテストのサービス群です。Webアプリケーション・プラットフォーム・クラウド設定など幅広い対象をカバーし、別メニューとして制御機器を対象にしたIoT／OTセキュリティ診断も提供しています。ツール任せにせず、国際資格を持つ専門家が手作業で診断する点を特徴に挙げています。
攻撃者の視点で実際に侵入を試みるペネトレーションテストまで含む包括的なラインアップのため、「工場のシステムに対して、どこまで踏み込んで攻撃耐性を確かめられるかを本格的に検証したい」という段階に向いています。
5. 脆弱性診断サービス（三井物産セキュアディレクション株式会社）
三井物産100%出資のサイバーセキュリティ専門企業が提供する診断サービスです。2001年のWebアプリケーション診断から始まり、ネットワーク診断・スマホアプリ診断・ペネトレーションテスト、そして組込み機器を手作業で調べるIoT診断まで、幅広い診断メニューを持ちます。公式トップページでは、累計の診断実績が8,000件以上と示されています。
製造業にとって注目したいのは、工場向けのOTセキュリティ評価を別メニューとして用意している点です。GICSP資格を持つOT専門家を含むチームが工場を訪問し、経済産業省のガイドラインをもとにしたチェックリストで対策状況を確認して、対策ロードマップの作成まで支援するとしています。
「自社の工場が、公的なガイドラインに照らしてどこまで対策できているかを現地で評価してほしい」というニーズに応えるサービスです。
6. セキュリティ診断（エヌ・ティ・ティ・セキュリティ・ジャパン株式会社）
NTTセキュリティ・ジャパンが提供する診断・アセスメント群です。専門家が複数のツールを組み合わせて網羅的に診断するサービスと、顧客自身が継続的に脆弱性を把握できる環境を提供するセルフ診断を選べます。経済産業省の評価基準に基づいてサプライチェーン全体の対策状況を診断するメニューも用意されています。
工場向けには、IoTプロダクトセキュリティとして、工場向け制御システムやカメラ・ロボットなどの機器を対象に、脅威分析・脆弱性診断・ペネトレーションテスト・通信解析を提供しています。「制御システムを含む機器そのものを、攻撃の観点から詳しく調べたい」という場合の選択肢になります。
まとめ
製造業の脆弱性対策は、社内IT向けのパッチ適用や診断をそのまま持ち込むのではなく、工場を止められない・パッチを当てられない・古い機器が動き続けている、という前提から出発する必要があります。やるべきことは、工場内の資産とネットワーク構成を棚卸しし、ネットワークを分け、外部接続や持ち込み機器を管理し、バックアップと監視を整える、という具体的な対策の積み重ねです。
進め方は、経済産業省のガイドラインが示す「整理→立案→実行・見直し」の流れにそって、工場を止めない配慮を各段階に組み込みます。パッチを当てられない設備も、ネットワーク分離や仮想パッチといった代替策で守れます。まずは社内で資産の洗い出しに着手し、自社だけで難しい診断は、OT の知見を持つ外部のサービスに相談するところから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 製造業のOTセキュリティとは何ですか？
A. 製造業のOTセキュリティとは、工場の生産設備や制御システム（PLC・SCADA・HMIなど）を、生産を止めずにサイバー攻撃から守る取り組みのことです。情報漏えいの防止（機密性）を重視する社内IT のセキュリティと異なり、OTでは安定して動き続けること（可用性）が最優先される点が大きな違いです。
そのため、パッチ適用や能動的なスキャンといった社内ITと同じ手法をそのまま持ち込めず、工場特有の進め方が必要になります。
Q. 製造業の脆弱性診断で工場（生産ライン）が止まるリスクはありますか？
A. 工場の稼働を止めずに実施できる診断方法が中心のため、適切な手順で進めればライン停止のリスクは低く抑えられます。稼働中の制御機器に能動的なスキャンをかけると、通信の負荷や予期せぬ応答で誤動作が起きることがあるため、まずは通信を観察するパッシブな方法や設定確認、ヒアリングといった機器に負荷をかけない方法から始めます。より踏み込んだ検査が必要な場合のみ、停止できる時間帯や検証環境を選んで行います。
Q. 工場のOT機器や制御システムにも脆弱性診断は必要ですか？
A. 必要ですが、社内IT と同じ手法はそのまま使えません。OT機器は止められずパッチも当てにくいため、通信の観察や設定の確認といった機器に負荷をかけない方法を前提に診断します。とくに社内IT と工場のOT のつなぎ目（境界）は攻撃者に狙われやすい経路のため、どちらか片方だけでなく両者を横断して確認することが重要です。
Q. 製造業の脆弱性対策は、IT環境とOT環境のどちらから着手すべきですか？
A. 一概には言えませんが、まず外部インターネットに面したIT環境と、IT とOT の境界領域から着手するのが効果的です。攻撃は外部との接点やネットワークのつなぎ目から侵入することが多いためです。そのうえで、工場内のOT環境へ範囲を広げていきます。
いずれの場合も、最初に工場内の資産とネットワーク構成を棚卸ししておくことが前提になります。どこに何があるか分からなければ、守る範囲も優先順位も決められないためです。
Q. インターネットにつないでいない工場でも脆弱性対策は必要ですか？
A. 外部ネットワークから切り離された工場でも、脆弱性対策は必要です。現場に持ち込まれるUSBメモリや私物機器、保守のために一時的につなぐ外部ベンダーの端末などが感染経路になり、ネットから隔離された環境でもマルウェアが入り込むことがあるためです。持ち込み機器・USBの利用ルールを定め、接続できる端末を制限するといった物理的な経路の管理が、こうした工場でも欠かせません。
Q. 脆弱性診断の結果は、経営層への説明や予算の確保に使えますか？
A. 使えます。技術的な指摘を、生産停止や取引先への影響といった事業リスクの観点でまとめた要約レポートにすると、投資判断の材料になります。何から直すべきかを優先度付きで示すことで、「自社は何に取り組むのか」を経営層に説明しやすくなります。診断を外部に依頼する際は、技術的な指摘の羅列で終わらず、経営層や現場に伝わる報告書を作れるかを選定の観点に入れるとよいでしょう。
Q. 製造業の脆弱性診断は、どのくらいの頻度で実施すべきですか？
A. 年1回程度の定期的な診断に加えて、設備の入れ替えや新しい機器・システムを導入したタイミングで都度実施するのが基本です。脆弱性は新たに発見され続けるため、一度の診断で終わらせず、継続的に状態を把握することが重要になります。専任のセキュリティ人材を置きにくい場合は、毎月など定期的に診断し続ける継続型のサービスを利用して、運用の手間を抑えながら状態を把握する方法もあります。
Q. 中小規模の製造業でも脆弱性対策はできますか？
A. 専任の人材がいない中小規模の工場でも、できることから着手できます。取引先を経由して波及するサプライチェーン攻撃では、規模の小さな工場も標的になり得るため、対策は大企業だけのものではありません。
まずは自社で進められる資産とネットワーク構成の棚卸し・持ち込み機器のルールづくり・バックアップから始め、専門的な診断や継続的な監視は外部のサービスに頼る、という役割分担が現実的です。検出から復旧・補償までをパッケージにした継続型サービスを使えば、少ない人手でも備えを整えられます。
製造業の脆弱性対策サービスの資料をまとめてチェック
MCB FinTechカタログでは、工場のネットワーク診断・制御システムのセキュリティ評価・脆弱性管理など、製造業の脆弱性対策に使えるサービスの最新資料を無料で一括請求できます。診断の方式や対象範囲を比べながら検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
