FA SIer サイバーセキュリティ：タイ工場RFP実務2026

FA SIer サイバーセキュリティを調達条件に入れるとき、質問票に「IEC 62443対応」「安全なリモート保守」と書くだけでは不十分です。工場オーナー、製造技術、調達、OTセキュリティが本当に買うべきものは、誰が、いつ、何を実施し、どの証拠を提出し、不合格ならどう是正するかまで定義されたサービスです。本稿はタイ工場の自動化設備を対象に、RFP、契約、FAT、SAT、保守受入、契約終了時の引継ぎへ落とす方法を解説します。

対象は新設設備だけではありません。既設PLC・HMIの改造、ロボットセル、画像検査、SCADA、設備データ収集、海外からのリモート保守を含む案件にも使えます。ただし、ここで示す条項は法的助言や万能テンプレートではありません。設備の安全影響、停止許容時間、接続先、市場、契約主体に応じて、法務・安全・IT/OT担当と調整してください。

結論：FA SIerの「姿勢」ではなく、再現できる証拠を発注する

良いRFPは、SIerに「セキュリティに気を付けてください」と頼みません。資産台帳、設定ベースライン、承認済みリモート接続、個人別アカウント、パッチ判断、復元試験、インシデント連絡、変更ログ、再委託先管理、終了時引渡しを成果物として指定します。さらに、FAT/SATで実演し、受入判定と支払条件に結び付けます。

要点は三つです。

規格名だけでなく、案件に適用するプロセスと除外理由を明記する。
「実装済み」という自己申告ではなく、設定・ログ・試験記録で確認する。
稼働後と契約終了後まで責任をつなぎ、緊急時の連絡とアクセス停止を試す。

この考え方は、組織体制を選ぶためのタイ日系FAシステムインテグレーター選定ガイドや、一般的な責任分界を扱うFAシステムインテグレーション実務ガイドを置き換えるものではありません。本稿は、その責任分界を「提出可能な証拠」と「受入試験」へ変換する実務編です。

1. 2026年に調達条件を見直す理由

タイではTIS 62443 Part 2(4)-2568が発効

タイ工業規格協会（TISI）は、産業用オートメーション・制御システムのサービス提供者向けセキュリティプログラム要求事項として、TIS 62443 Part 2(4)-2568を掲載しています。発効日は2026年5月9日で、旧版のTIS 62443 Part 2(4)-2561を置き換えました。旧版はIEC 62443-2-4:2015と同一であることがTISI情報から確認できますが、2568版がIEC 62443-2-4:2023と完全に同一であるとは、確認できる一次情報なしに断定すべきではありません。

調達側が行うべきことは「TIS準拠」と一行で要求することではなく、入札者に適用版、適用範囲、提供プロセス、証拠、例外を回答させることです。認証書の有無だけで、当該プロジェクトの安全な設定や運用が自動的に保証されるわけでもありません。

IEC 62443-2-4:2023はサービス提供プロセスを見る

IEC 62443-2-4:2023 Edition 2.0は2023年12月15日に発行され、Automation Solutionの統合・保守でIACSサービス提供者が提供できるセキュリティ関連プロセスを定義しています。環境に応じたプロファイルやサブセットを認めているため、全案件に全条項を同じ強度で当てはめる読み方は適切ではありません。

RFPでは「IEC 62443-2-4に準拠していますか」というYes/No質問より、「本案件で提供するプロセス、適用しない要求、代替統制、証拠の名称、証拠提出時期」を表で回答させる方が比較できます。

EU向け製品ではCRA報告を支える供給者証拠が重要

EU Cyber Resilience Act（CRA）のArticle 14に基づく報告義務は2026年9月11日に開始しました。デジタル要素を持つ製品の製造者は、積極的に悪用されている脆弱性や重大インシデントをENISAのSingle Reporting Platformへ報告します。積極的悪用脆弱性または重大インシデントの早期警告は把握後24時間以内、より完全な通知は72時間以内です。最終報告は、積極的悪用脆弱性では是正・緩和策が利用可能になってから14日以内、重大インシデントでは72時間通知から1か月以内という区分があります。

ただし、タイのFA SIerが常にCRA上の「製造者」になるわけではありません。契約主体、製品、EU市場での役割を法務的に判定する必要があります。実務上の論点は、EU市場向け機械・装置の製造者が短い報告期限に対応できるよう、SIerや機器供給者から検知時刻、影響資産、バージョン、緩和策、連絡責任者を迅速に得られる契約になっているかです。ENISAのプラットフォームは報告経路であり、認証ポータルではありません。

リモート保守はVPNだけでは完成しない

CISAのリモートアクセス推奨事項は、ベンダーと事業者の従来の信頼関係を安全と仮定できないと注意を促しています。ベンダー側が侵害されれば、信頼された接続を足掛かりにされる可能性があるためです。VPNは暗号化された経路を作れますが、誰が承認し、どの端末から、何時間、どの資産へ入り、何を変更したかまでは単独で保証しません。

そのため、案件リスクに応じ、指名承認、MFA、ジャンプホスト、期限付き有効化、最小権限、セッションログ、緊急遮断を組み合わせ、SATで実演します。CISAの調達文例は有用な情報ツールですが、規格や強制政策ではなく、そのまま一律に転記するものでもありません。

FA SIer サイバーセキュリティ：タイ工場RFP実務2026 - figure 1

2. RFPを出す前にオーナー側で決めること

SIerの回答品質は、発注側の境界定義を超えません。RFP前に最低限、次を一枚にまとめます。

対象設備：PLC、HMI、産業PC、ロボット、ビジョン、SCADA、サーバー、スイッチ、ゲートウェイ
対象工程と停止影響：停止が安全、品質、納期へ与える影響
接続境界：工場OT、企業IT、クラウド、OEM、海外拠点との接点
データ：レシピ、プログラム、品質画像、個人情報、認証情報、ログ
ライフサイクル：設計、製作、据付、保証、保守、改造、契約終了
意思決定者：設備オーナー、製造技術、IT/OT、安全、品質、調達、法務
復旧目標：何を、どの順序で、どの時点まで戻すか
市場要件：タイ国内用途か、EU向け製品・機械に関係するか

資産ではなく「Automation Solution」の境界を描く

PLCだけ、VPN装置だけを対象にすると、エンジニアリングPC、バックアップ媒体、ライセンスサーバー、OEMの中継PCが抜けます。ネットワーク図に加え、プログラムを作る場所、承認する人、運ぶ媒体、保存する場所、復元する人をデータフローとして描きます。

安全とセキュリティの変更審査を分離しない

セキュリティ設定が厳しすぎて保全作業が遅れる、パッチでPLC通信が変わる、ログ取得で産業PC負荷が上がる、といった衝突があります。変更要求にはセキュリティ影響、安全影響、生産影響、ロールバック条件を同じ票に持たせます。安全回路の変更承認とサイバー変更承認を別々のメールで流すと、最終構成が誰にも分からなくなります。

3. FA SIer サイバーセキュリティのRFP証拠マトリクス

以下は実務用の最小例です。重大度や構成に合わせて増減し、採用する項目には証拠形式と期限を設定します。

管理テーマ	RFPで要求する内容	契約成果物	FAT/SATで確認する証拠	保守中の証拠
役割と連絡	オーナー、SIer、OEM、再委託先の責任と代理者	RACI、連絡網、エスカレーション表	連絡演習記録	連絡先変更履歴
資産台帳	型式、シリアル、FW/SW、IP、役割、サポート期限	機械可読台帳と構成図	現物サンプル照合	追加・撤去差分
設定ベースライン	セキュア設定、禁止サービス、例外と承認者	承認済み設定票、エクスポート	実機設定との差分	定期差分記録
アカウント	個人別ID、特権、サービスID、期限、退職・異動	アカウント一覧とライフサイクル手順	共有ID不存在または承認例外	作成・変更・無効化ログ
リモート保守	承認、MFA、経路、接続先、時間制限、記録、遮断	接続構成、SOP、緊急停止手順	許可・拒否・失効・ログの実演	セッション記録と承認票
脆弱性・パッチ	情報源、評価期限、試験、適用、代替策	ワークフロー、互換性責任、通知SLA	サンプル脆弱性の判断記録	未解決一覧と例外期限
バックアップ・復元	対象、頻度、暗号化、保管、復元順序	バックアップ設計、ゴールデンコピー	クリーン環境への復元実演	復元試験記録
ログ・時刻	取得イベント、保存先、時刻同期、閲覧権限	ログ一覧、保持・エクスポート手順	接続・変更・失敗ログ確認	欠損とレビュー記録
インシデント	検知、一次連絡、証拠保全、封じ込め支援	対応・通知手順、連絡期限	卓上または技術演習	事案票、是正記録
変更管理	申請、影響評価、承認、試験、戻し	変更票テンプレート、基準構成	未承認変更の検知	変更ログと最新版
再委託先	会社、担当、接続、データ、同等義務	再委託先台帳、フローダウン条項	サンプル証拠	追加時の承認記録
引渡し・終了	設計、ソース、鍵、バックアップ、ID無効化	Exit package一覧	引渡しリハーサル	終了証明、消去証明

採点は「文書がある」より「対象設備に結び付く」を重くする

汎用ポリシーを提出できるSIerでも、現場のPLCやOEMアカウントに結び付かなければ受入証拠になりません。評価は、例えば「プロセス説明」「案件固有の成果物例」「実演可能性」「例外の透明性」「保守継続性」に分けます。点数配分自体は案件ごとに決め、価格とセキュリティ点を混ぜる前に最低合格条件を置きます。

規格適合の回答欄に必要な五項目

規格・版・プロファイル
対象サービスと対象外サービス
要求を満たす社内プロセス名
本案件で提出する証拠
逸脱・代替統制・承認者

「準拠予定」「ベストプラクティスに従う」だけの回答は、契約可能な約束に変換できません。

4. 契約条項で曖昧さを残さない

セキュリティ成果物を納期と支払に結び付ける

設備が動けば検収という契約では、台帳、バックアップ、ログ、アカウント整理が後回しになります。設計承認、FAT合格、SAT合格、最終引渡しの各マイルストーンに必要成果物を割り付け、不足時の条件付き合格、是正期限、再試験費用の扱いを決めます。

通知SLAは起算点・経路・必要情報を書く

「速やかに通知」では比較できません。SIerが事象を把握した時点、確度が一定に達した時点など、起算点を定義し、通常時と緊急時の経路を分けます。初報に最低限、発見時刻、影響候補、対象バージョン、現在の封じ込め、次回更新予定を含めます。CRA対象製造者を支える契約では、製造者側の24時間・72時間の評価を妨げない供給者通知時間を個別に設計します。SIerへCRAの法的義務を自動転嫁したと誤解しない表現が必要です。

知る権利と変更する権利を分ける

脆弱性の通知、SBOMや部品情報へのアクセス、ログの閲覧、実機変更の承認は別の権利です。緊急だからとSIerが無断でパッチできる契約も、オーナー承認がなければ何もできない契約も危険です。緊急封じ込め、恒久修正、通常変更の三経路を定義します。

再委託とOEMアクセスを可視化する

入札会社のエンジニアだけを審査しても、実際には海外OEM、盤メーカー、ソフトウェア会社が接続します。会社名、国、接続方式、扱うデータ、権限、契約終了日を登録し、新規追加は事前承認とします。同等義務を再委託契約へ流し込む責任を主契約SIerに持たせ、オーナーが監査証拠を要求できるようにします。

5. OTリモート保守セキュリティの受入設計

FA SIer サイバーセキュリティ：タイ工場RFP実務2026 - figure 2

リモート保守は、便利な接続方式ではなく、承認された作業セッションとして設計します。

接続前

指名された個人IDを使い、共有IDは原則禁止する
作業依頼番号、対象資産、目的、開始・終了予定、承認者を記録する
案件リスクに応じてMFAと管理端末を要求する
接続先を必要資産に限定し、横移動可能な経路を作らない
接続は常時開放せず、承認期間だけ有効にする
SIer/OEM側端末の最低条件と侵害時通知を定める

接続中

ジャンプホスト等を経由し、経路を集約する
ログイン、対象、開始終了、操作またはセッション記録を残す
ファイル持込み・持出し、クリップボード、USB利用を制御する
特権昇格を別承認にし、通常保守IDと分ける
工場側が接続状態を確認し、必要時に直ちに遮断できる

接続後

実施作業、変更ファイル、設定差分、再起動、試験結果を作業票へ戻す
一時ID・一時ルール・一時ファイルを失効または削除する
構成ベースライン、資産台帳、バックアップを更新する
失敗操作や異常通信をレビューする
次回接続が自動的に許可されないことを確認する

SATで実演すべき否定テスト

成功接続だけでは不十分です。未承認ID、期限切れ承認、誤った接続先、MFA失敗が拒否されること、緊急遮断後に再接続できないこと、接続ログをオーナーが取得できることを試します。録画が許されない工程では、コマンド監査、画面証跡、作業者立会いなど代替証拠を事前に決めます。

6. 脆弱性・パッチ管理は「適用率」ではなく判断品質を受け入れる

OTでは、公開パッチをすぐ適用できない場合があります。互換性、停止窓、安全認証、ベンダーサポートを評価する必要があるためです。しかし「設備だから当てない」も管理ではありません。

要求する記録は次の通りです。

情報を受ける製品・コンポーネント一覧
脆弱性情報の受信源と監視頻度
影響判定：製品、バージョン、露出、悪用状況、工程影響
決定：適用、保留、対象外、代替統制
互換性試験とロールバック手順
保留期限、再評価日、承認者
オーナーへの通知時刻と内容

FATでは架空の脆弱性票を一件流し、誰が資産台帳と照合し、誰が判断し、どの証拠が残るかを確認できます。SATでは実環境の一部を用いて、代替統制が設定されているか、保留期限が台帳に残るかを確認します。

7. バックアップはファイル納品ではなく復元能力で測る

PLCプログラムがフォルダーにあっても、正しいエンジニアリングソフト、ライセンス、ライブラリ、ファームウェア、通信設定、レシピがなければ復元できません。ゴールデンコピーには、少なくとも次を含めます。

PLC/HMI/ロボット/ビジョン/SCADAのプロジェクトと実行版
エンジニアリングソフトと必要バージョン、ライセンス回復方法
ネットワーク、ユーザー、時刻同期、証明書の設定
レシピ、校正値、安全に関係するパラメーター
構成ハッシュ、承認日、承認者、変更番号
復元手順、復元順序、依存関係、正常確認手順

復元試験では、本番を壊さない隔離環境、予備機、仮想環境などを使い、空の状態から復元します。「バックアップジョブ成功」の画面ではなく、起動、通信、I/Oまたはシミュレーション、レシピ整合、ユーザーログインまで確認します。復旧目標時間は法定の一律値ではなく、工程と安全に基づく合意値です。

8. FAT/SATのサイバーセキュリティ受入チェックリスト

FA SIer サイバーセキュリティ：タイ工場RFP実務2026 - figure 3

次表は最小チェックリストです。FATはSIer/OEM環境、SATは実工場のネットワーク・運用条件で再確認します。

受入項目	FAT	SAT	合格証拠
資産台帳	設計BOMと構築物を照合	現物・IP・接続を標本照合	署名済み台帳、差分ゼロまたは承認例外
構成ベースライン	設定をエクスポート	実機との差分を再取得	比較結果、例外番号
アカウント	役割・特権・初期IDを確認	個人ID、失効、緊急IDを試験	アカウント一覧、試験ログ
リモート接続	正常・拒否・失効を実演	工場経路で承認・遮断・ログを実演	承認票、接続ログ、遮断記録
ログと時刻	対象イベントを発生	集約先で検索・エクスポート	イベント時刻、取得ファイル
変更管理	サンプル変更を申請・戻し	実変更を承認フローで実施	変更票、差分、ロールバック結果
脆弱性処理	サンプル票で判断	現行一覧と代替策を確認	評価票、期限、承認
バックアップ	ゴールデンコピーを作成	工場保管先と権限を確認	ハッシュ、保管記録
復元	隔離環境で復元	許容範囲で部分復元または演習	復元時間、機能確認、課題
インシデント連絡	机上演習	連絡網と一次情報を確認	タイムライン、受信確認
再委託先	登録者と権限を照合	実際の接続主体を照合	台帳、承認、契約証跡
引渡し	Exit package案を確認	最終版、ID停止、鍵返却を確認	受領書、失効ログ、消去証明

合格・条件付き合格・不合格を定義する

チェック欄だけでは判断が揺れます。安全停止に影響する欠陥、未承認の外部接続、管理者共有ID、復元不能などは重大不適合とし、出荷・稼働のゲートにします。文書の軽微な誤記は期限付き是正にできます。分類、是正期限、再試験範囲、承認権限を契約前に決めます。

証拠に機密情報を残しすぎない

スクリーンショットにパスワード、秘密鍵、個人情報を含めないよう、マスキング手順を決めます。構成ファイルは安全な保管場所へ置き、受入票から参照します。証拠の完全性を確認するためハッシュや版番号を使えますが、ハッシュだけで内容の妥当性が証明されるわけではありません。

9. 稼働後90日プランの例

これは実装例であり、法定期限でも全案件共通のSLAでもありません。2026年10月1日に稼働する場合の例です。

期間	目的	主な活動	出口証拠
Day 1–14（10/1–10/14）	基準安定化	台帳・設定・ID・接続の最終照合	基準構成v1、未解決一覧
Day 15–31（10/15–10/31）	運用定着	実セッションレビュー、変更票監査	ログレビュー、是正票
Day 32–61（11/1–11/30）	回復確認	バックアップ検証、復元演習	復元記録、更新手順
Day 62–90（12/1–12/29）	保守受入	脆弱性票、連絡演習、Exit package更新	90日レビュー、残課題責任者

この例は2026年10月1日をDay 1とするため、Day 90は12月29日です。月単位で「3か月後」と読み替えると日付がずれるため、契約にもDay 1基準と暦日で数えることを記載します。

10. SIer提案を比較するときのレッドフラッグ

「IEC 62443完全準拠」だが版、範囲、証拠、除外がない
VPNがあるため安全、とだけ説明する
OEM共通IDや共有管理者IDを変更できない理由がない
台帳が型式と台数だけで、ソフトウェア版・IP・サポート期限がない
バックアップは渡すが復元試験を拒む
脆弱性通知の起算点と連絡先がない
再委託先や海外保守拠点を開示しない
ログをSIerだけが閲覧でき、オーナーへエクスポートできない
FATでは実演するがSAT対象外とする
契約終了時のID停止、鍵返却、ソース・設定の引渡しがない

一つのレッドフラッグだけで失格とは限りません。設備制約が理由なら、リスク、期限、代替統制、承認者を明文化できるかを見ます。

11. 運用ガバナンス：月次会議で見るべき指標

件数だけをKPIにすると、軽微な作業を増やす逆効果があります。月次では、期限切れアカウント、承認なし接続、ベースライン差分、期限超過の脆弱性判断、復元試験失敗、連絡網不達、再委託先変更を見ます。各項目には分母、対象範囲、例外を添えます。

また、設備の可用性とセキュリティを対立させないため、未適用パッチ数だけでなく、代替統制が期限内に実施された割合、ロールバック準備がある変更の割合、資産台帳と実機の差分解消時間など、意思決定品質を示す指標を選びます。

インシデント発生時の演習や復旧設計は、別稿のタイ工場OTサイバーインシデント対応訓練ガイドと組み合わせると、SIer契約上の証拠が実際の初動に使えるか確認できます。

まとめ：RFPから終了時引渡しまで一本の証拠鎖を作る

FA SIer サイバーセキュリティで最も重要なのは、規格名や製品名ではなく、要求、設計、設定、試験、運用、変更、終了を追跡できる証拠鎖です。TIS 62443 Part 2(4)-2568やIEC 62443-2-4:2023はサービス提供プロセスを整理する軸になりますが、案件固有のプロファイル、対象範囲、例外、受入証拠へ変換して初めて調達に使えます。リモート保守はVPNだけで終わらせず、承認・本人性・時間・接続先・記録・遮断を試験してください。EU向け製品ではCRAの適用主体を個別に判定しつつ、製造者が期限内に評価できる供給者情報を契約で確保します。

タイ工場の自動化設備RFP、既存SIer契約の更改、FAT/SAT証跡の具体化を検討中であれば、構想段階からTOMAS TECHへご相談いただけます。現行構成と停止制約を前提に、必要な証拠、責任分界、受入項目の整理から支援します。

FAQ

FA SIer サイバーセキュリティはIEC 62443認証があれば十分ですか？

十分とは限りません。認証の対象組織、版、範囲を確認し、当該案件で使うプロセス、提出証拠、対象外、代替統制を契約へ落とす必要があります。認証がない場合も即不合格と決めず、同等のプロセスと証拠を評価します。

IEC 62443-2-4とTIS 62443-2-4のどちらをRFPへ書くべきですか？

タイの契約・顧客要求・設備市場に応じて決めます。少なくとも規格名だけでなく版を特定し、入札者に対応表を求めてください。TIS 2568版とIEC 2023版の同一性は、公式根拠を確認せず断定しないことが重要です。

OTリモート保守はVPNとMFAがあれば合格ですか？

それだけでは不十分です。指名承認、期限付きアクセス、接続先制限、ジャンプ経路、最小権限、セッションログ、緊急遮断、作業後の失効を含め、拒否テストもSATで実施します。

FATとSATで同じ試験を繰り返す必要がありますか？

目的が異なります。FATはSIer/OEM環境で設計と機能を確認し、SATは工場の実ネットワーク、時刻同期、ID基盤、運用者、遮断経路で成立するかを確認します。リスクの低い項目は証拠再利用できますが、環境依存項目は再試験が必要です。

自動化設備RFPにCRA報告期限をそのままSIerへ課すべきですか？

自動的には勧められません。まず誰がCRA上の製造者・関係主体かを法務的に判定します。そのうえで、製造者が24時間・72時間等の評価と報告を行えるよう、SIerの初報内容と供給者通知SLAを逆算します。

バックアップ受入で最低限必要な試験は何ですか？

対象ファイルの存在確認だけでなく、隔離環境等で復元し、必要ソフト、ライセンス、通信、I/Oまたはシミュレーション、レシピ、アカウントまで確認します。復元時間と未解決依存関係を記録します。

既存設備で個人IDやログ取得が難しい場合はどうしますか？

例外を隠さず、対象資産、理由、期限、リスク、代替統制、承認者を登録します。ジャンプホスト側で個人を識別する、物理鍵を管理する、立会いと作業票で補完するなど、複数統制を組み合わせます。

RFP評価で価格とセキュリティをどう扱いますか？

まず重大項目に最低合格線を設け、その後に価格を含む総合評価を行う方が安全です。低価格でも復元不能や未管理の外部接続が残れば、稼働後のリスクと追加費用が大きくなります。