OTサイバー訓練｜タイ工場の復旧力を90日で証明

工場のOTサイバー訓練は、アラートを見つけられるかだけを試す行事ではありません。最も重要な成果は、侵害された可能性のある環境を切り離し、信頼できるバックアップから制御系を戻し、安全・品質・トレーサビリティを飛ばさずに生産を再開できること、そしてその判断と作業を証拠で説明できることです。タイの工場では、現地の製造・保全・IT、日本本社や地域統括、装置メーカー、外部支援会社が関わるため、技術手順だけでなく意思決定権と二言語での連絡設計が復旧時間を左右します。

本稿では、OT インシデント対応、工場 ランサムウェア 対策、OT バックアップ 復旧を別々の資料にせず、90日間の一つのサイバー演習として組み立てます。数字や役割例はすべて「説明用のモデルケース」であり、業界標準の基準値や法的義務ではありません。実設備でどこまで試せるかは、安全、品質、顧客納期、設備保証、操業条件を踏まえて工場ごとに決める必要があります。

OTサイバー訓練の合格点は「検知」ではなく「安全に戻せる証拠」

一般的な訓練は、不審通信をSOCが検知し、担当者へ連絡した時点で成功とされがちです。しかしOTでは、その先に難所があります。感染範囲が未確定の状態でネットワークを戻せば再感染するかもしれません。PLCプロジェクトが古ければインターロック条件が欠けるかもしれません。HMIが起動しても、レシピ、警報、時刻同期、品質判定、ロット追跡が正しいとは限りません。

したがって訓練の出口は「システムが起動した」ではなく、次の問いに証拠付きで答えられる状態です。

• どの資産をいつ隔離し、何を根拠に影響範囲を判断したか。
• 復元元のバックアップが、承認済み構成かつマルウェア検査済みであるか。
• PLC、HMI、エンジニアリング端末、履歴サーバー、ネットワーク設定の依存関係を守ったか。
• 非常停止、安全扉、速度・温度・圧力上限などの安全機能を再確認したか。
• 品質レシピ、測定器、判定ロジック、トレーサビリティが承認状態へ戻ったか。
• クリーン環境と生産環境の接続許可を誰が出し、どの監視条件で再開したか。
• 再感染の兆候がないことを、どのログと観察時間で確認したか。

NIST SP 800-82 Rev.3は、OTのセキュリティ対策で性能、信頼性、安全性という固有要件を扱う必要があると説明しています。この視点から見ると、復旧はIT機器の再構築だけでは完了しません。物理プロセスの危険を抑え、製品品質を守り、操業責任者が再開を承認できる材料を揃えて初めて完了します。

最初に「最小安全操業状態」を定義する

訓練シナリオより先に定義すべきものが、Minimum Safe Operating State、ここでは「最小安全操業状態」と呼ぶ状態です。全面復旧を待たず、限定された製品・速度・設備・人員で、許容された手動作業を使いながら安全と品質を守れる状態を指します。これは単なる縮退運転ではなく、再開判定の境界です。

モデルケースでは、対象ラインについて次を一枚のシートにします。

この表の値は工場固有です。例えば全自動ラインで手書き追跡が不可能なら、MESや履歴基盤の復旧が最小状態の必須条件になります。反対に、検査とロット記録を統制された紙運用で一時代替できる工程なら、限定運転を先に始められる場合があります。重要なのは、事故当日に議論を始めないことです。

既存の予防策を整理する場合はタイ工場のOTセキュリティ実務を先に確認すると、資産把握や責任分界を訓練前提に落とし込みやすくなります。ネットワーク境界と通信許可の設計は産業ネットワーク構築ガイドも参考になります。

90日で作るサイバー演習 工場モデル

90日は説明用のモデルケースです。短ければ良いわけではなく、重要設備の停止機会やバックアップ品質が不足する場合は期間を延ばします。逆に既に手順が整っていれば、一部を短縮できます。

1〜15日：対象と依存関係を狭く、深く把握する

最初の対象は工場全体にしない方が実務的です。重要ライン一つ、代表製品一つ、PLC/HMI一組から始めます。資産台帳には型式とIPアドレスだけでなく、ファームウェア、PLCプロジェクト、HMIアプリ、レシピ、ライセンス、サービスアカウント、証明書、時刻同期、バックアップ場所、復元ツール、必要ケーブル、装置メーカー連絡先を含めます。

依存関係は電源、ネットワーク、名前解決、認証、履歴、MES、ERP、品質測定器までたどります。単体バックアップがあっても、古いライセンスサーバーや専用ドライバが無ければ復元できません。構成図には「停止させる順序」と「戻す順序」を別々に記します。

16〜30日：シナリオと中止基準を承認する

シナリオ例は「保全用エンジニアリング端末でランサムウェアの兆候が見つかり、共有フォルダとHMIへの不審な認証試行が確認された」です。実マルウェアは使いません。模擬ログ、電話、画面、ファイル名などの注入情報で進行させます。

訓練には中止基準が必要です。実設備の予期しない動作、品質異常、安全回路の不一致、許可外通信、バックアップ原本の破損、操業上の緊急事態が発生した場合、訓練責任者は直ちに停止します。安全責任者と生産責任者は、サイバー担当より上位の停止権を持つ設計が自然です。

31〜45日：テーブルトップで意思決定を試す

テーブルトップは会議室で行う議論型訓練です。参加者は提示される状況に対して、誰に連絡し、何を止め、どの情報を保全し、いつ経営層や顧客対応へ上げるかを答えます。ここでは設備を復元しません。手順書の存在確認ではなく、時間制約の中で判断がつながるかを見ます。

CISAのCybersecurity ScenariosにはICS侵害や重要製造業向けのシナリオ素材があり、CTEP Package Documentsには計画、評価、After-Action Reportに使える資料があります。これらは自社の安全・品質・組織条件に合わせて調整する素材であり、テンプレートを埋めただけで準備完了にはなりません。

46〜65日：機能的なOT バックアップ 復旧テスト

機能テストでは、隔離された検証ネットワークに同等機または承認済みテスト環境を用意し、実際にバックアップから復元します。画面上でファイルの存在を見るだけでは不十分です。復元ツールが動くか、パスワードや暗号鍵が使えるか、PLC/HMIの版が一致するか、依存サービスが起動するかを確認します。

NIST SP 1339は、OTバックアップを変更管理へ統合し、定期作成、テスト、復旧演習でのレビューを行う考え方を示しています。つまりバックアップ成功ログは「復元可能」の証明ではありません。設備変更後にバックアップが更新されたか、承認済み版と一致するかまで追跡します。

66〜80日：部分運用テストで物理プロセスを確認する

部分運用テストでは、復元した構成を使い、実機または安全に隔離された試験設備で限定動作を確認します。例えば無負荷、低速、代表ワーク、短時間、監視員配置といった制約を付けます。安全インターロック、警報、レシピ、品質検査、追跡、停止手順を順番に検証します。

これは全面的な生産停止試験と同義ではありません。操業制約が大きい場合は、FAT環境、予備PLC、デジタルテストベッド、計画保全停止の一部を使います。実ラインでなければ確認できない残余リスクを明記し、次の停止機会に持ち越します。「試せなかったこと」を隠さず、経営判断に上げることも訓練成果です。

クリーンリカバリーゾーンで再感染を防ぐ

復元先は、通常の生産ネットワークから隔離したクリーンリカバリーゾーンにします。ここでは検証用スイッチ、復元端末、バックアップ媒体、マルウェア検査手段、構成比較ツールを管理します。本番と同じ認証基盤を無条件で使うと、侵害された資格情報を再利用する危険があります。

推奨する流れは次の通りです。

1. インシデント前に作成され、変更管理記録と結び付いたバックアップ候補を選ぶ。
2. 媒体のハッシュ、保管履歴、暗号化、読み出し可否を確認する。
3. クリーンな復元端末から隔離環境へ展開する。
4. PLCロジック、HMI画面、レシピ、ネットワーク設定を承認済み基準と比較する。
5. マルウェア兆候、不要アカウント、予期しない自動起動、未知の通信を検査する。
6. 安全・品質機能を機能テストし、差分を承認する。
7. 生産環境へ接続する前に、決裁者が証拠パックを確認する。
8. 接続後は監視を強化し、再隔離条件をあらかじめ共有する。

CISAのStopRansomware Guideは、オフラインで暗号化されたバックアップからの復元や、クリーンなシステムを再感染させない注意を示しています。ただしガイドを読むだけでは、工場固有のPLC復元順序や品質再承認までは決まりません。だからこそ演習で手順を実証します。

意思決定権をRACIより具体的にする

名簿に「責任者」と書くだけでは不十分です。誰が停止、隔離、証拠保全、外部連絡、復元開始、限定運転、全面再開を承認できるかをイベント単位で決めます。次は説明用のモデルケースです。

法務・規制・保険・顧客通知は、国、契約、事案によって異なります。本表は法的助言ではありません。自社の法務担当や契約条件に確認し、訓練では通知要否を判断するために必要な情報が集まるかを試します。

証拠チェーンを復旧の中心に置く

証拠は事故調査のためだけではありません。安全な復旧を承認する材料です。アラートの原本、時刻、検知者、隔離コマンド、ネットワーク差分、バックアップ識別子、ハッシュ、復元ログ、構成比較、インターロック試験、初品検査、接続許可、監視結果を一つのタイムラインに結びます。

時刻同期が崩れている場合は、各機器の時刻差も記録します。写真やスクリーンショットだけでなく、誰がどの端末から何を実行したか、承認番号、変更番号、例外理由を残します。証拠保管場所はインシデント対象ネットワークと分離し、アクセス権と保存期間を決めます。

説明用の評価表では、点数より「未確認」を可視化することが大切です。

タイ工場と海外本社をつなぐ二言語コミュニケーション

技術的には正しくても、言葉の解釈がずれると復旧が止まります。状況報告には自由文だけでなく、定型フィールドを使います。推奨項目は、発生時刻とタイムゾーン、対象ライン、観測事実、未確認事項、既実施の隔離、次の判断、決裁者、顧客影響、安全影響、品質影響、次回更新時刻です。

タイ語と英語、またはタイ語と日本語の対訳用語集には、isolate、shutdown、safe state、restore、release、evidence、suspected、confirmedなどを含めます。「停止」と「非常停止」、「復元完了」と「生産再開許可」は別の語として扱います。通訳を介する場合も、承認者本人が重要判断を復唱するクローズドループ連絡を行います。

海外本社には詳細ログだけを送りつけず、意思決定に必要な要約を出します。一方、現地チームには本社判断の理由と期限を返します。連絡手段が社内メールやチャットだけなら、それらが使えないシナリオを注入し、代替電話網やオフライン連絡表を試します。

工場 ランサムウェア 対策として入れる注入イベント

演習を予定調和にしないため、Exercise Controllerが段階的に注入情報を出します。次はすべて架空のモデル例です。

• HMIの共有アカウントから夜間ログインがあった。
• PLCプロジェクトの更新日時が変更管理記録と一致しない。
• オンラインのバックアップ共有が暗号化された。
• オフライン媒体は読めるが、最新設備変更の反映が確認できない。
• 地域本社が全面停止を求める一方、現地生産は限定運転を希望する。
• 顧客が出荷可否とロット追跡の説明を求める。
• 装置メーカーの担当者が休日で連絡できない。
• 復元後の端末から未知のDNS問い合わせが見つかる。

最後の注入で、チームが急いで本番接続するか、再隔離して原因確認へ戻るかを見ます。訓練目的は英雄的な早期復旧ではなく、定めた安全条件を守りながら不確実性を下げることです。

3段階を混同しない

テーブルトップ

人と判断を検証します。手順、連絡先、権限、優先順位、代替策の穴を見つけます。機器が復元できる証明にはなりません。

機能的復元テスト

人がツールを使い、隔離環境でバックアップからシステムを構築します。認証、媒体、復元時間、構成差分を検証します。実際の物理工程で安全に動く証明は限定的です。

部分運用テスト

制約された条件で物理設備、安全、品質、追跡を検証します。実施範囲はリスク評価と操業条件で決めます。常に本番を止める必要はありませんが、試していない範囲は残余リスクとして記録します。

CISAのICSインシデント対応に関する推奨資料は、現実的で厳しいシナリオ、繰り返しの演習、状況に応じた部分または全面テストの重要性を扱っています。自社では「議論した」「復元した」「安全に動かした」を別々の完了条件にします。

KPIは時間だけでなく品質を測る

復旧時間は重要ですが、短縮だけを目標にすると安全確認を飛ばす誘惑が生まれます。説明用モデルでは、次のようなバランスで測ります。これは業界ベンチマークではありません。

モデル採点を使うなら、安全または品質に不合格が一件でもあれば総合点に関係なく再開不可とします。点数は優先順位付けに使い、重大条件を平均値で埋めないことが重要です。

After-Action Reportを改善へ変える

AARは感想文ではありません。「何が起きたか」「何を期待していたか」「差は何か」「原因は何か」「誰がいつまでにどう直し、何をもって完了とするか」を記録します。指摘は人の失敗ではなく、仕組みの改善に変換します。

改善項目は、次回演習で再テストして閉じます。「手順書を更新した」で終わらず、実際に使えることを示します。大規模投資が必要な項目は、暫定統制と残余リスク、予算判断期限を経営層へ提示します。

地域の動向は準備強化のシグナルとして読む

2026年9月15日、Yokogawa Engineering Asiaは、シンガポールにIndustrial Cyber Resilience Centerを設け、東南アジア、オセアニア、台湾向けの地域ハブとしてOTの準備度や能力開発を支援すると発表しました。これは同社の会社発表であり、記載された効果を独立に検証する資料ではありません。しかし、東南アジアで製造業のOTレジリエンスを支援するサービスが拡充されている一つの市場シグナルとしては読めます。

外部センターやベンダーを使う場合も、工場側は判断権を手放しません。範囲、データ持ち出し、ログ保管、遠隔接続、装置保証、秘密保持、現地対応時間、演習後の成果物を契約前に決めます。ベンダーが復元ツールを持っていても、自社の安全・品質承認を代行できるとは限りません。

よくある失敗と回避策

1. SOCの検知デモで終わる。

復元、品質承認、限定運転、再感染監視まで出口条件に入れます。

1. バックアップの有無だけを見る。

隔離環境で実際に戻し、ライセンス、版、依存サービスを確認します。

1. 最新バックアップを無条件で信頼する。

侵害時点、変更履歴、ハッシュ、検査結果から信頼できる復元点を選びます。

1. OTだけで訓練する。

安全、品質、生産、IT、法務、広報、地域本社、装置メーカーを必要範囲で参加させます。

1. 本番試験を避けるか、逆に無理に行う。

テストベッド、予備機、保全停止、低速運転を組み合わせ、残余リスクを明記します。

1. 改善項目に期限がない。

担当者、期限、完了証拠、再テスト日をセットにします。

実施前チェックリスト

• 対象ラインと対象外を図面で明示した。
• 最小安全操業状態を安全・品質・生産・OTが承認した。
• 演習責任者、指揮者、停止権者、復旧承認者を指名した。
• 実設備に影響する操作と模擬操作を区別した。
• 中止基準と緊急時の実運用への切替を決めた。
• バックアップ識別子、版、ハッシュ、変更番号、復元ツールを確認した。
• クリーンリカバリーゾーンと証拠保管先を用意した。
• 二言語の連絡様式と代替連絡手段を試した。
• 安全・品質・トレーサビリティの受入試験を準備した。
• AARの担当、改善台帳、再テスト日を決めた。

FAQ：OT インシデント対応と工場サイバー演習

OTサイバー訓練とは何をするものですか？

机上で連絡と判断を確認するテーブルトップ、隔離環境でバックアップから戻す機能的復元テスト、制約下で設備・安全・品質を確認する部分運用テストを段階的に行います。三つは目的が異なり、机上訓練だけで復旧可能性が証明されるわけではありません。

工場 ランサムウェア 対策で最初に復元するものは何ですか？

一律の順序はありません。安全機能、制御依存関係、認証、ネットワーク、PLC/HMI、履歴、品質、追跡の関係を事前に整理し、最小安全操業状態へ必要なものから復元します。侵害された可能性がある認証やオンライン共有を先に戻さない注意が必要です。

OT バックアップ 復旧はどの頻度で試験すべきですか？

設備変更の頻度、重要度、保全停止、リスクに応じて決めます。固定の万能頻度を示すことはできません。少なくとも重要変更後にバックアップ更新と復元可能性を確認し、定期的な回復演習でレビューする運用が必要です。

実ラインを停止して試験する必要がありますか？

常に必要とは限りません。安全・品質・納期制約を評価し、テストベッド、予備PLC、FAT環境、計画停止、低速・無負荷運転などを組み合わせます。実ラインでしか確認できない項目は、未試験の残余リスクとして記録し、適切な機会に検証します。

サイバー演習 工場の評価は復旧時間だけでよいですか？

十分ではありません。隔離の完全性、バックアップの信頼性、安全・品質・追跡の確認、証拠欠落、再感染兆候、承認の完全性を合わせて評価します。速くても安全確認を省略した復旧は合格ではありません。

海外本社や外部ベンダーはどこまで参加すべきですか？

実際の事故で判断、遠隔接続、装置復元、顧客連絡に関わる範囲で参加します。連絡遅延や時差も訓練対象です。ただし生産再開の責任と安全・品質の承認権は、契約と社内規程に沿って明確に保持します。

まとめ：復旧できることを安全と証拠で示す

OTサイバー訓練の価値は、アラートを鳴らすことではなく、危険な近道を取らずに生産を戻せると証明することにあります。最小安全操業状態を定義し、判断権を割り当て、クリーンな復元環境でバックアップを試し、テーブルトップから機能テスト、部分運用テストへ進みます。そして安全、品質、トレーサビリティ、再感染監視の証拠を残し、AARの改善を次回訓練で閉じます。

TOMAS TECHでは、対象ラインの切り分け、90日計画、OTバックアップ復旧試験、二言語の連絡設計など、まだ演習企画の段階からご相談いただけます。タイ工場の実設備・操業制約に合わせた進め方はお問い合わせページからご相談ください。

参考情報

• Yokogawa Engineering Asia会社発表（2026年9月15日）: https://en.prnasia.com/releases/apac/yokogawa-launches-industrial-cyber-resilience-center-to-advance-ot-cyber-readiness-in-southeast-asia-547836.shtml
• NIST SP 800-82 Rev.3: https://www.nist.gov/publications/guide-operational-technology-ot-security
• NIST SP 1339 OT Backup Quick Start Guide: https://csrc.nist.gov/pubs/sp/1339/final
• CISA Cybersecurity Scenarios: https://www.cisa.gov/resources-tools/resources/cybersecurity-scenarios
• CISA CTEP Package Documents: https://www.cisa.gov/resources-tools/resources/ctep-package-documents
• CISA ICS Cybersecurity Incident Response Recommended Practice: https://www.cisa.gov/sites/default/files/2023-01/final-RP_ics_cybersecurity_incident_response_100609.pdf
• CISA StopRansomware Guide: https://www.cisa.gov/stopransomware/ransomware-guide

本稿は技術計画の一般情報であり、法的助言、規制適合の保証、特定製品やベンダーによる復旧保証ではありません。