OT リモートアクセス導入を検討するタイ工場では、「海外の設備ベンダーがすぐ直せる」だけで方式を決めると、誰が何を変更したか分からない接続が常設されがちです。本稿は設備ベンダーの遠隔保守に用途を絞り、依頼と承認、期限付き接続、DMZ経由の操作、記録、切断と復旧を一つの業務として設計する方法を示します。RFP、FAT、SATで確認すべき証拠まで具体化します。OTセキュリティ全体の評価軸はタイ工場向けOTセキュリティ導入ガイドを参照してください。
最初に決めるのは製品ではなく「遠隔で許す仕事」
保守の内容を、状態確認、ログ取得、設定変更、プログラム更新、ファームウェア更新、制御出力の試験に分けます。同じ「リモートアクセス」でも、表示を読む作業とPLCのロジックを書き換える作業では、生産と安全への影響が違います。設備番号、対象端末、実施者、現地立会人、作業日時、許される操作、禁止する操作、変更前後の確認方法を依頼票に書きます。対象範囲が決まらないままVPNの全サブネット到達性を渡すと、保守対象外のHMIや別ラインにも到達できる設計になりかねません。
対象設備の資産台帳とネットワーク図を先に照合します。PLC、HMI、エンジニアリング端末、産業用PC、ゲートウェイ、スイッチの型番、OS、サポート状態、IP、通信相手、バックアップの所在を確認します。図面と現場の配線が違えば、紙上で最小権限を設計しても実際の経路を制限できません。ベンダー持込ルーターやセルラー回線、無線ブリッジの有無も現物で確認します。共同のSecure connectivity principles for OTは、接続前の事業上の必要性とリスクを文書化し、外部接続を仲介、監視、制御する考え方を示しています。これは推奨設計の資料であり、タイの工場への法的義務を定めたものではありません。
タイ工場で設備ベンダー遠隔接続が必要になる場面
現地保守員が一次切り分けを行い、装置メーカーが別地域からログやアラーム履歴を見る形なら、診断までを遠隔で許し、プログラム変更は別申請にできます。夜間停止、海外本社の時差、タイ語と英語の引き継ぎを踏まえ、申請窓口と承認代理者を決めます。「障害時だから先に接続する」という例外を常態化させないことが重要です。緊急手順でも、誰が許可し、何時まで、どの設備に接続し、作業後に誰が確認するかを短い記録で残せます。
既存設備にはサポート切れのWindows端末や独自プロトコルが残ることがあります。その端末へ直接インターネットから入れる設計は避け、更新できる境界装置を経由させます。境界装置を置いたことだけで安全になるわけではなく、ベンダーのアカウント管理、MFA、接続先制限、監視、パッチ適用、バックアップが必要です。米国NISTのSP 800-82 Rev. 3は、OTの性能、信頼性、安全性を含めてセキュリティ対策を考えるガイドです。2026年10月時点のRev. 4は公開草案で、Rev. 3を置き換えた最終版ではありません。
承認→期限付き接続→DMZ経由→記録→切断の標準フロー
標準作業を五段階にします。第一に、ベンダーが作業票を出し、設備責任者が生産上の影響と変更内容を承認します。第二に、管理者が指定日時だけ、指定した個人と端末、対象装置、操作権限を有効にします。第三に、ベンダーはMFAで認証し、OT DMZの中継点から許可済みの設備へ入ります。第四に、接続開始・終了、対象、操作、転送ファイル、承認番号を保存し、現地担当者が変更結果を照合します。第五に、セッションを終了させて権限を失効し、設備の運転状態とネットワークの閉鎖を確かめます。各段階に実施者と証拠を付ければ、製品が変わっても監査できます。
作業票の最低項目は、申請番号、設備ID、症状、依頼理由、作業者の所属と実名、予定開始・終了、許可する操作、ファイル持込の有無、ロールバック方法、現地立会人、承認者です。工場が止まっていないと変更できない設備なら、停止条件と再起動条件も含めます。承認者は「ベンダー担当者にいつでも許す」ではなく、今回の作業範囲を承認します。定常的な監視接続が必要な場合も、対話型保守セッションと機械間データ転送を分けて設計します。
DMZとジャンプホストで「入れる先」を限定する
工場外の保守員からPLCへ直接到達する経路を作らず、外部側の認証ゲートウェイ、OT DMZの仲介装置、設備セグメント内の許可対象、という境界を描きます。接続は必要時のみ起動し、DMZから先への通信は設備IDと必要ポートに限ります。端末から別ラインへ横移動できないことをルーティング、ファイアウォール、ジャンプホストの設定で確認します。遠隔操作画面は中継装置で提供し、ベンダー端末へ設備の管理パスワードを渡さない構成を優先します。
2026年1月のOT安全な接続の共同ガイダンスは、必要時だけ接続を有効にすること、外部支援はDMZの安全なゲートウェイで仲介すること、接続を集中管理することを示します。すべての設備が同じ製品やネットワーク形態を採用すべきだという意味ではありません。OT側から外向きに確立する経路を優先する考え方が示されますが、実装では中継サービスへの依存、停止時の挙動、通信遅延、データ移転先も評価します。クラウドの中継が落ちても装置の制御が継続するかを確認します。
「VPNがあるからDMZは不要」という判断は危険です。VPNは通信路を保護しても、接続後の到達範囲や操作権限を自動的に最小化しません。逆にDMZを作っても、ゲートウェイに共用IDがあり、対象設備へ広く通すなら目的を達しません。米CISAのInternet Exposure Reduction Guidanceは、公開資産の発見、不要な公開の除去、必要な公開先の保護を勧め、ジャンプホストとMFAにも言及します。これを導入前と定期点検の確認項目にします。
個人ID、MFA、期限、権限を作業票に結びつける
ベンダー会社ごとの共有アカウントでは、退職した技術者と現在の担当者を区別できません。個人IDを発行し、ベンダーの管理責任者を明記し、退職・配置転換・契約終了で速やかに失効させます。MFAを入口に置き、接続元端末の状態や許可済みネットワークも利用可能なら評価します。認証後は「設備Aのログ閲覧」「設備Aの設定変更」を別権限にします。どの製品でも細分化できるとは限らないので、できない操作は現地立会いや別系統の許可で補います。
接続時間は開始と終了を明示し、終了時に自動失効するようにします。タイ時間ICTとベンダー所在地の時差を混同しないため、作業票とシステムログはタイムゾーンを併記します。タイ工場の17時と欧州の17時を同じ窓として扱えば、無人の時間にアクセスが開くおそれがあります。延長する場合は同じ承認を黙って延ばさず、理由、延長時間、承認者を追加記録します。障害解析が長引く場合は、次の作業窓に切るほうが運転部門の確認を入れやすくなります。
遠隔操作とファイル持込は別の許可にする
画面共有が許されても、ファームウェア、PLCプログラム、レシピ、設定ファイルを自由に持ち込んでよいとは限りません。ファイル転送を既定で無効にし、必要時に送信元、ファイル名、ハッシュ、版、承認番号、投入先を記録します。可能ならDMZ内の検査場所を通し、現場で事前バックアップと差分確認を行います。設備ベンダーのサポートツールが独自更新機能を持つ場合、その機能がどの経路で動くかをRFPで説明してもらいます。
監視だけのセッション、設定変更、プログラム書込、再起動を区別してログに残します。画面録画が使える場合も、録画だけに依存しないで、承認票、接続ログ、ファイル台帳、装置側の変更履歴をつなぎます。録画できない産業プロトコルや暗号化通信もあるため、ログの取れる層と欠ける層を明記します。ログには製造レシピや個人情報が含まれる可能性があります。閲覧権限、保存先、保持期間、削除手順は工場の既存ポリシーと契約に合わせ、根拠のない一律の日数を設定しません。
作業中は現地の安全責任を残す
遠隔ベンダーが操作できても、機械の近くで人が作業しているか、ワークが詰まっているか、非常停止が解除できる状態かは画面だけでは分かりません。プログラム変更や動作試験を伴う作業は、現地の設備担当が停止と立入管理を実施し、作業開始と再稼働を合図します。安全回路、インターロック、ロックアウト・タグアウトの手順を遠隔操作で迂回しません。作業票に「遠隔でできる診断」と「現地でしかできない操作」を書き分けます。
連絡手段も試験します。音声通話が切れた、現地担当者が交代した、通信が不安定になった場合の「作業停止」条件を明確にします。自動切断は必要な統制ですが、書込中の突然の切断が設備に与える影響もFATで調べます。作業を中止する手順と、接続障害から安全な状態へ戻す手順は別です。単にVPNを切って「復旧」と扱わず、設備側の設定、アラーム、製品品質を確認します。
切断後の復旧判定を先に決めておく
作業終了時は、ベンダーが実施内容と未解決事項を申告し、現地担当者が変更前後の設定・プログラム版を比較します。設備を段階的に再起動し、異常停止、アラーム、品質結果、上位システムとの通信を確認します。異常があれば、事前に採取したバックアップへ戻す条件と責任者を使います。「元に戻せる」の証拠はバックアップファイルの存在だけではなく、対応する装置版、復元権限、試験済み手順です。変更を認めた場合は新しい基準版として保存します。
接続面では、セッションの終了、期限切れ権限の失効、ジャンプホスト上の残存プロセス、転送ファイルの後処理、許可ルールの閉鎖を確認します。ベンダーアカウントを毎回削除する必要はなくても、継続利用できる権限は残さない設計にします。翌日に監視ログを確認し、承認窓の外でのログイン試行や未登録端末からの接続がなかったかを見ます。事故時に切断を即実行する担当者と連絡先も運用文書に書きます。
産業用リモートアクセスRFPの要求仕様
RFPでは「安全なリモート保守システム一式」では比較できません。設備と作業を明示し、供給者が同じ条件で回答できる表にします。列は要求ID、背景と対象設備、必須／任意、提案方式、適合／条件付き／不適合、証拠、FAT試験番号、SAT試験番号です。対象範囲には既存ネットワーク図、関係するベンダー数、同時接続の要否、保守時間帯、通信断時の製造継続要件を示します。機密性がある情報は守秘の上で渡します。
認証項目では、個人ID、MFA、失効、委託先IDの棚卸し、緊急時の例外承認を問います。認可項目では、設備別・役割別・時間別の許可、接続先とポートの制限、ファイル転送の制御を問います。ネットワーク項目では、外部入口、DMZ、ジャンプホスト、OT側の通信方向、DNSやクラウド依存、障害時の制御継続、暗号化、更新経路を問います。監査項目では、開始・終了・失敗ログ、操作証跡、時計同期、改ざん防止、エクスポート形式を問います。供給者には構成図だけでなく、実際に有効となる通信ルールと運用権限一覧を提出してもらいます。
契約とサポートでは、境界装置のパッチ、脆弱性通知、サポート期限、交換時の設定移行、ログ取得障害時の連絡、事故調査協力、設定の所有権、データ処理場所を明記します。ベンダーの独自クラウドを使う案は、サービス停止時も装置が安全に運転できるか、サポート終了時に接続経路を撤去できるかを確認します。米CISAのICS Recommended Practicesには、産業制御システムのリモートアクセス設定・管理に関する実務資料が公開されています。RFPの例はこれらの推奨事項を参考にしつつ、各工場のリスク評価で決めます。
見積比較は初期費用より「維持できる範囲」を見る
候補比較では、ライセンスと装置費だけでなく、DMZ構築、回線、現地試験、ログ保管、ID管理、継続的な更新、ベンダー教育、トラブル時の現地対応を分けて見積もります。価格を一つの合計額だけで比較すると、後から「画面録画は別料金」「タイ拠点のサポートは対象外」といった差が見えません。接続可能な設備台数と同時利用者数の定義も要確認です。安価でも設定変更の承認や証跡を実装できなければ、目的に適しません。
対照的に、すべての設備へ同じ高機能製品を一斉導入する必要もありません。例えば診断専用の単体設備と、複数ベンダーがプログラム変更する中核ラインでは、必要な分離や監査の深さが異なります。まず影響の大きい代表設備で運用を試し、承認にかかる時間、現場の負荷、接続失敗、ログの検索性を評価して展開範囲を広げます。数値目標は工場が合意した停止許容、保守頻度、人員体制から設定し、一般記事の架空の効果率を使わないようにします。
FAT：工場出荷前に「拒否」と「失効」を試す
FATではベンダーの試験環境で、接続が成功することだけでなく、許されない接続が拒否されることを確認します。正常系は承認票作成、個人ID＋MFA、指定時刻、指定端末、指定設備への接続、操作記録、正常切断です。異常系は未承認、期限前・期限後、別設備、別ポート、無効ID、MFA失敗、同時接続超過、ファイル転送禁止、ログ保存先停止を試します。リモート保守製品の画面だけでなく、ゲートウェイ、ファイアウォール、設備側のログを突き合わせます。
試験表には、試験ID、前提設定、操作、期待結果、観測結果、ログの保存場所、判定者、是正・再試験を残します。時間制御はサーバー時計がずれた場合も考え、時刻同期の方法を確認します。MFAを通った個人でも別の設備へ行けないか、セッション終了後に同じトークンで再入場できないかを確かめます。ログ欠落時には新たな高権限セッションを許すのか止めるのか、その判断をリスク評価で先に定義します。FATは「機能デモ」ではなく、購入時に約束した境界を実証する場です。
SAT：タイ工場の既設ラインで確かめる
SATでは実際の工場回線、ファイアウォール、DNS、時刻同期、電源、設備セグメント、ベンダーの接続元条件を使います。FATで通った構成をコピーしたつもりでも、現場のルートや古い保守口が残っていると境界が変わります。現地ネットワーク担当が許可ルールと実通信を確認し、保守対象外ラインに到達できないことを試します。装置の安全確認は現地設備担当が行います。海外からの接続試験は実際の遅延と回線断も含め、セッション切断が装置の制御に影響しないかを見る必要があります。
SATには承認者、現地立会人、ベンダー作業者を実運用どおり参加させます。緊急連絡と代理承認、英語・タイ語の引き継ぎ、権限失効、保守終了報告、バックアップからの復元を通して試します。試験中に作成した一時アカウントやポート開放を残さないよう、完了条件に撤去証拠を入れます。初回の実保守は監視を厚くし、そこで発見された例外を変更管理へ戻します。生産設備を危険な状態にする試験は実機で無理に行わず、模擬環境や計画停止中に実施する条件を決めます。
受入条件の例：数値は現場で決め、証拠は先に決める
「対象設備以外への接続は拒否され、拒否ログに個人IDと時刻が残る」「作業終了で権限が失効し、同一の権限で再接続できない」「通信断でも設備の制御は継続し、復旧後の再接続には再認証が必要」「変更前後のプログラム版とバックアップを特定できる」といった条件なら、合否を現場で判定できます。逆に「高セキュリティ」「完全な監査」だけでは試験できません。ログ保持期間、接続開始までの許容時間、切断までの時間などの数値は、操業上の要件と既存ポリシーを踏まえてRFPで合意します。
試験の証拠には、設定エクスポート、ネットワーク構成図、通信許可一覧、申請・承認票、ログ、画面記録、バックアップ版、現地署名を使います。供給者の自己申告だけでは運用上の不適合を見逃します。受入判定を「必須を満たす」「条件付きで是正期限を付ける」「再試験まで保留する」に分け、障害時の暫定運用と責任者を残します。設備が稼働した後も、ベンダーの人員交代、ゲートウェイ更新、ルール変更のたびに関連試験を繰り返します。
よくある失敗と修正方法
第一はベンダーごとの常時接続ルーターです。所在が分からないまま回線が増え、期限切れアカウントも残ります。現物調査で全経路を台帳化し、不要な経路を停止し、残す経路をDMZの標準フローへ移します。第二は共通IDです。ベンダー会社名のIDでは実行者を特定できません。個人IDと人事・契約終了時の失効を導入します。第三は「VPNなら安全」という過信です。VPN後の到達先を実際にスキャンせず、別ラインへ行けるままになりがちです。受入試験で拒否を確認します。
第四はログの形だけの収集です。大量の接続ログがあっても、設備ID、承認番号、プログラム変更を結べなければ事故調査に使いにくい状態です。作業票を共通キーにし、ログの検索訓練を行います。第五は切断後の設備確認不足です。接続を閉じても、不完全な設定変更が残る場合があります。現地担当者が品質と運転を見て作業を閉じます。第六は回線障害時に装置まで停止する構成です。遠隔保守の機能を制御の必須経路に置かず、障害注入試験で確認します。設備ネットワーク全体の可用性設計は産業用ネットワーク冗長化の設計記事で扱っています。
既設設備の例外を一時的なままにしない
既設ラインでは、ベンダーの保守ツールが古いOSにしか対応しない、画面共有しかできない、プログラムの差分をエクスポートできない、といった制約があります。「最新の認証をPLCに追加できない」ことと「外部から無制限に到達させる」ことは同義ではありません。境界側の個人認証と期限管理、専用ジャンプホスト、接続先制限、現地立会い、事前・事後のバックアップなど、装置に変更を加えず実装できる統制を確認します。一方で、ジャンプホストを置いた後も古いOSの脆弱性は残ります。例外台帳には設備、制約の根拠、補完策、残余リスクの承認者、再評価日、更新計画を書きます。
一時的な例外が次の増設時に標準になるのを防ぐには、撤去条件を決めます。例えば次のHMI更新でサポート中のOSへ移る、次の保守契約で個人IDに切り替える、次のネットワーク工事で独立回線を標準DMZへ移す、といった具体的な機会と責任者を記します。現場の復旧を優先して緊急接続を許した場合も、作業後の事後レビューで同じ経路を常設しない理由を確認します。例外を台帳に載せるだけでなく、次の投資計画と結びつけることが重要です。
ベンダー、設備部門、IT部門の責任を分ける
保守経路を導入した後の運用主体が曖昧だと、権限失効やログの確認が止まります。設備部門は対象装置の安全と作業範囲、停止・再稼働、変更内容を承認します。IT／OTネットワーク担当は境界装置、ID連携、通信許可、ログ転送、更新を管理します。ベンダーは実名の作業者を提示し、許可された操作だけを実施し、変更した設定と残課題を報告します。品質部門は製品判定に影響する変更の確認に参加します。外部サービス提供者が運営するゲートウェイなら、その事業者の障害・脆弱性連絡を受ける担当も必要です。
複数の設備メーカーが一台のラインに関わる場合、誰がどの装置の設定を所有するかを一覧にします。ロボットメーカーはロボット制御器、画像検査ベンダーは産業用PC、ラインインテグレーターはPLCを担当する、といった分担です。一つの遠隔画面から全機器へ到達できても、全ベンダーに同じ権限を与える理由にはなりません。保守境界の接点で故障が起きた場合の一次切り分け担当、共同作業の順番、ログ共有範囲も契約と手順に書きます。人が交代しても実施できるよう、各役割には代理者を設けます。
導入後の点検を運用に組み込む
初回のSAT合格は、その後も設定が保たれる保証ではありません。新しい設備の追加、ベンダー担当者の異動、ゲートウェイ更新、回線の変更、工場ネットワークの統合で接続範囲は変わります。定期点検では、登録アカウントと契約中の担当者を照合し、使われていない権限を失効させます。通信許可一覧を現物のルートと比較し、公開ポートや未登録のセルラー機器が増えていないか確認します。保守チケットと接続ログをサンプルで突き合わせ、承認なしの接続や接続後の未完了票を探します。
境界装置の脆弱性情報とサポート期限は装置台帳に結び、更新を計画停止に組み込みます。更新後はFAT/SATの全項目を機械的にやり直す必要はありませんが、変更した認証、通信許可、ログ、設備への到達条件に関わる試験は再実施します。事故対応訓練では、疑わしいベンダーアカウントを止め、セッションを切り、現地設備の状態を確かめ、ログを保全する手順を試します。接続を止める権限が現地担当者にない場合、深夜の初動が遅れるため、緊急停止の役割と連絡手段も点検します。
NIST SP 1800-45をどう読むか
NIST NCCoEが2026年6月24日に最終公開したSP 1800-45は、水道・下水道部門を対象にOT遠隔アクセスのアーキテクチャを構築した実践ガイドです。遠隔アクセスを業務継続と両立させる設計例として、製造工場でも参考になります。ただし対象業種が異なり、タイ製造業にそのまま課される規制や認証要件ではありません。個々の製品構成をそのまま複製せず、管理したい経路、認証、監視、復旧の考え方を自工場の設備と作業票へ写します。
同様に、NIST SP 800-82 Rev. 3、CISA資料、共同ガイダンスは設計判断に使う公的な参照資料です。国や業種が違う資料を「タイ法で必須」と言い換えないようにします。顧客や親会社の要求、業界契約、保険条件があれば別途確認します。この記事の試験項目は導入案を比較するための実務例であり、すべての設備に同じ設定を義務付ける規格の引用ではありません。
FAQ：工場 遠隔保守 セキュリティで最初に何をする？
接続製品の比較より前に、設備と保守用経路の棚卸しをします。誰がどの設備に何をするのか、診断と変更の境界、現地立会い、許容する保守窓、復旧方法を決めます。次に現在の公開ポート、持込ルーター、共通ID、常時接続を調べます。見えない経路を残したまま新しいゲートウェイだけを追加しても、リスクは減りません。
FAQ：OT ベンダー 遠隔接続はVPNだけで足りる？
VPNは通信路の一部です。利用者認証、承認された日時、対象設備と操作の制限、DMZ経由の仲介、監視、作業後の失効を組み合わせて評価します。必要な機能は製品名で決まらず、設備と作業の影響で決まります。ベンダーが指定する方式に既存環境と合わない点があれば、接続図と必要ポートを提出してもらい、同じ受入条件で代替案を比較します。
FAQ：産業用 リモートアクセス RFPには何を書く？
対象設備・作業種別・停止条件、IDとMFA、期限付き権限、DMZと通信経路、ログとファイル転送、パッチ・サポート、通信断時の運転、バックアップ、FAT/SATの試験方法を要求ID付きで書きます。供給者の「対応可能」という回答には、設定例、構成図、試験結果などの証拠を求めます。保守の手間を現地担当者と確認しておくと、納入後に運用できない方式を避けやすくなります。
FAQ：OT リモートアクセス FAT SATの違いは？
FATは納入前の環境で機能と拒否条件を再現して確認する試験です。SATはタイ工場の既設ネットワーク、実設備、現地の承認・立会い体制で確認する試験です。FATを通ったからSATを省くと、現場に残る別経路、時刻設定、回線品質、実際の復旧動作を見落とします。両試験の項目、期待結果、証拠、判定者をRFPで事前に決めます。
まとめ：遠隔保守を一件ずつ閉じられる仕組みにする
タイ工場の設備ベンダー遠隔保守は、便利な接続機能を購入するだけでは完成しません。作業の必要性を承認し、指定した人と設備に期限付きで接続し、DMZで経路を仲介し、変更を記録し、切断後に設備と権限の両方を復旧・閉鎖することが運用の単位です。RFPにその一連の証拠を書き、FATで許可と拒否を、SATで現地の人と設備を試します。既存の常時接続や共通IDがある工場では、まず経路の台帳化から始めると次の投資判断が具体的になります。
遠隔保守経路の棚卸しやRFP・FAT/SAT項目を検討中なら、TOMAS TECHにご相談ください。対象設備と現在の接続方法が分かる段階から、現場運用に合う整理を一緒に進められます。
