オペレーションテクノロジー(OT)セキュリティ｜工場の実務ガイド2026

タイやASEANに工場を持つ日系製造業にとって、工場のOTセキュリティは「いつか考える課題」から「今期の意思決定事項」へと位置づけが変わりつつあります。2026年第1四半期だけで、産業組織を狙ったランサムウェア事案は1,020件観測され、その62%が製造業でした。本記事では、オペレーションテクノロジー(OT)とITの違いから、IEC 62443の考え方、日本とタイの制度、現実的な導入ステップと費用の目安までを、工場長・IT責任者・経営層が判断するために必要な粒度で整理します。

オペレーションテクノロジー(OT)とITの違い ― なぜ工場のセキュリティは特殊なのか

OTとは何を指すのか

OT(Operation Technology／オペレーションテクノロジー)とは、物理的なプロセスや設備を直接制御・監視する技術の総称です。工場でいえば、PLC(プログラマブルロジックコントローラ)、DCS(分散制御システム)、SCADA(監視制御システム)、HMI(操作パネル)、産業用ロボットのコントローラ、CNC工作機械、検査装置、そしてそれらをつなぐ産業用ネットワークがOTにあたります。ユーティリティ側の受変電設備、コンプレッサー、チラー、排水処理の制御盤も広い意味でのOTです。

一方のIT(Information Technology)は、情報を扱う技術です。基幹システム、メールサーバー、ファイルサーバー、業務PC、クラウドサービスなど、データの処理・保管・伝達を担う領域を指します。

この2つは、同じ「コンピューターとネットワーク」でありながら、目的も設計思想も運用の作法もまったく異なります。そして工場のセキュリティが難しいのは、この違いを無視して片方の常識をもう片方に持ち込んだ瞬間に、現場が破綻するからです。

優先順位が逆転している

情報セキュリティの世界では、守るべき性質の優先順位をCIA(機密性・完全性・可用性)の順で語るのが一般的です。情報漏えいを防ぐことが最優先で、多少システムが止まっても情報が守られればよい、という考え方です。

ところがOTでは、この順序がほぼ逆になります。最優先は可用性(Availability)、次に完全性(Integrity)、最後に機密性(Confidentiality)です。理由は単純で、OTが止まると製品が作れず、納期が飛び、契約違反が発生し、場合によっては設備そのものや人命に危害が及ぶからです。加熱炉の温度制御が誤作動すれば、それは情報の問題ではなく安全の問題になります。

この優先順位の違いは、対策の選び方に直結します。たとえばIT側では「怪しい通信を見つけたらまず遮断する」というのが標準的な対応ですが、OT側で同じことをすれば、正常なプロセス制御通信を止めてしまい、ラインを自分たちで停止させることになりかねません。OTでは「遮断」よりも「まず観測し、影響を評価し、計画的に手を打つ」という順序が求められます。

レガシー設備という現実的な制約

もうひとつの大きな違いは、機器のライフサイクルです。ITの世界では、PCは4〜5年、サーバーは5〜7年で更新するのが普通です。しかしOTの設備は15年、20年、ときに30年使われます。1990年代に導入された射出成形機が、今も主力ラインで動いているという工場は珍しくありません。

その結果、以下のような状況が常態化します。

• OSがすでにサポート終了しているが、設備メーカーが動作保証していないため更新できない
• パッチを当てるには設備を停止する必要があり、年に1〜2回の定期停止時にしか作業できない
• 制御系ソフトウェアが特定バージョンのランタイムに依存しており、そもそもパッチ適用が不可能
• 保守契約上、ユーザー側が勝手に手を入れると保証が切れる
• 装置内部の構成が「ブラックボックス」で、そもそも何が動いているのか社内の誰も把握していない

つまり、OTセキュリティ対策とは「脆弱性を潰し切ること」ではなく、「潰し切れない脆弱性を抱えたまま、それでも操業を続けられる状態をどう作るか」という設計問題なのです。ここがITセキュリティと決定的に違う点です。

IT/OTの主な違い

この表の最後の行は、技術以上に重要です。ITとOTでは、そもそも担当部署が違い、レポートラインが違い、評価指標が違います。IT責任者が「セキュリティを強化しましょう」と言っても、生産技術部門の評価指標は稼働率であって、両者の利害はしばしば正面から対立します。OTセキュリティのプロジェクトが技術的な理由ではなく組織的な理由で止まるのは、これが原因です。

2026年の脅威実態 ― 数字で見る工場ランサムウェアの現在地

2026年第1四半期の観測データ

産業向けサイバーセキュリティ企業のDragosが公表した「Industrial Ransomware Analysis for the First Quarter of 2026」によれば、2026年第1四半期に産業組織を襲ったランサムウェア事案は1,020件でした。このうち製造業が633件で、全体の62%を占めています。

業種別・地域別の内訳は次のとおりです。

攻撃グループ別では、Qilinが198件で最多、以下Akira 100件、The Gentleman 83件、LockBit 5.0が71件、PLAYが53件と続きます。

注目すべきはアジアの数字です。2025年第4四半期の113件から137件へと増えており、「攻撃は欧米の話」という前提はもはや成り立ちません。北米480件と比べれば絶対数は少ないものの、増加傾向が明確に出ている地域として扱うべきです。

被害の重さ

件数以上に経営判断に効くのは、1件あたりの被害の重さです。Dragosの調査では、製造業のランサムウェア事案のうち25%がOTサイトの全面停止に至り、75%が何らかの操業支障を引き起こしたと報告されています。つまり、4件に1件は工場が完全に止まり、4件に3件は何らかの形で生産に影響が出ているということです。

金額面では、IBMの「Cost of a Data Breach Report 2024」が、製造業における1件あたりの侵害コスト平均を約500万ドルと算定しています。これは復旧費用だけでなく、事業機会の損失、顧客対応、法務対応などを含んだ数字です。

また、Sophosの2025年の調査では、攻撃を受けた製造業の51%が身代金を支払ったとされています。支払ったからといって完全に復旧できる保証はなく、支払いは解決策ではありません。しかし過半数が支払いに踏み切っているという事実は、「止まっている時間のコスト」が身代金額を上回るケースが現実に多いことを示しています。

重要な但し書き ― OTが直接壊されているわけではない

ここで、報道やベンダーの資料でしばしば誤解される点を正確に押さえておく必要があります。

Dragosは2026年第1四半期のレポートにおいて、産業用制御プロトコルやプロセス環境を直接操作するように設計されたランサムウェアの亜種は確認されていない、と明記しています。

つまり、現時点で起きている生産停止の大半は、「攻撃者がPLCを直接乗っ取ってラインを止めた」のではなく、「IT系システムが暗号化された結果、生産に必要な情報や手順が回らなくなって止まった」ものです。この因果関係を正しく理解することが、対策の優先順位を決めるうえで決定的に重要になります。

この事実は、ある意味では朗報です。制御機器そのものを直接狙う高度な攻撃を第一に想定しなくてよいのであれば、まず取り組むべきはIT側とOT側の境界の統制であり、これは既存の技術で十分に実行可能だからです。逆に、ここを飛ばして制御機器レベルの高度な防御に予算を投じるのは、優先順位を誤っていることになります。

工場が止まる本当の経路 ― 見落とされがちな導線

IT側の被害がラインを止める構造

工場は、思っている以上にIT系システムに依存しています。実際に何が起きるかを整理すると、次のようになります。

• 生産計画・指示が出せない:生産管理システムやMESが止まると、その日の生産計画も作業指示も出せません。設備自体は健全でも、何を何個作るのかが分からなければラインは動かせません。
• 図面・プログラムが取り出せない:CADデータやNCプログラムがファイルサーバー上にあり、それが暗号化されると加工が始められません。
• 受入・出荷が止まる:入出庫の記録と伝票発行が止まれば、部品を受け入れることも製品を出荷することもできません。倉庫が物理的に満杯になり、その時点でラインを止めざるを得なくなります。
• 品質記録が残せない:トレーサビリティ記録が取れない状態で製造を続ければ、後で出荷可否の判断ができません。規制産業では、記録が取れない時点で製造停止が正しい判断になります。
• 予防的にOTを切り離す:IT側で感染が確認されたとき、OTへの波及を防ぐために、自ら工場ネットワークを切断するという判断が行われます。これは正しい対応ですが、結果としては生産停止です。

最後の項目は特に重要です。攻撃者がOTに到達していなくても、到達していないことを確認できないという理由で工場を止める判断は、実務上頻繁に行われます。裏を返せば、「OT側の可視性があり、汚染されていないことを短時間で証明できる」というだけで、停止期間を大幅に短縮できる可能性があるということです。

日本国内でも、大手自動車メーカーのサプライヤーがランサムウェアに感染し、親会社の国内全工場が1日以上停止した事案が発生しています。感染したのは1社のサプライヤーであり、親会社の工場設備は一切壊されていません。それでも全工場が止まりました。これが「IT側の被害がラインを止める」構造の典型例です。

侵入の起点はどこか

Verizonの2026年版DBIR(Data Breach Investigations Report)によれば、製造業の侵害の38%が脆弱性の悪用を起点とし、61%がシステム侵入(Exploitation)を起点としています。ソーシャルエンジニアリングを起点とするものは17%です。またSophosの2025年調査でも、製造業のランサムウェアの32%は脆弱性悪用が起点とされています。

ここから読み取れるのは、「従業員のセキュリティ意識向上」だけでは足りないということです。もちろんフィッシング対策は必要ですが、それ以上に、外部に露出している資産の脆弱性管理が効きます。VPN装置、リモートデスクトップ、ファイル転送アプライアンス、そして工場に設置されたリモート保守用ゲートウェイ。これらは工場のIT資産台帳から漏れやすく、かつインターネットに直接面しています。

ベンダー・第三者アクセスというもっとも見えにくいリスク

工場のOT環境で最大の盲点は、設備メーカーや保守ベンダーがリモートアクセスを持っているという事実です。

Ponemonの2025年の調査によれば、製造業の42%がサードパーティ/ベンダーアクセス経由の侵害を経験しており、54%はアクセスを付与する前にサードパーティのセキュリティを検証していないと回答しています。Verizonの2026年版DBIRでも、製造業の侵害の61%に第三者が関与しているとされています。さらにCowbellの分析では、サプライチェーン攻撃は2021年比で431%増加しています。

現場で実際に起きているのは、たとえばこういう状況です。

• 10年前に設備を導入したときに、メーカーの保守用にルーターと専用回線を引いた。そのまま今も生きているが、社内に契約書も設定情報も残っていない。
• 装置に4G/5Gルーターが後付けされており、社内ネットワークを経由せずに外部と通信している。IT部門はその存在を知らない。
• ベンダーの担当者が使うアカウントが共有アカウントで、誰がいつログインしたのかログが残っていない。
• リモート保守用のツールが常時接続で待ち受けており、必要なときだけ開ける運用になっていない。

これらは、どれも「悪意」ではなく「設備を早く復旧させるため」に作られた仕組みです。だからこそ現場は撤去に強く抵抗しますし、単に禁止すると別の抜け道が作られます。ベンダーアクセスの統制は、技術の問題であると同時に、契約と業務プロセスの問題です。

検知と対応の空白

Dragosの調査では、OTネットワークの88%が検知・対応に課題を抱えているとされています。多くの工場では、OT側で何が起きているかを継続的に見ている人も仕組みも存在しません。異常に気づくのは、ラインが止まってから、あるいはオペレーターが「画面が変だ」と言い出してからです。

IT側にはEDRやSIEMが入っていても、OT側には何もない。この非対称性が、被害を長期化させます。侵入を100%防ぐことはできない以上、「どれだけ早く気づき、どれだけ狭い範囲で封じ込められるか」が実質的な勝負どころになります。

IEC 62443の基本 ― ゾーンとコンジット、セキュリティレベル、多層防御

なぜIEC 62443なのか

IEC 62443(ISA/IEC 62443)は、産業用オートメーション及び制御システム(IACS)のセキュリティに関する国際規格群です。ITセキュリティの規格であるISO/IEC 27001が「情報を守る組織の仕組み」を規定するのに対し、IEC 62443は「制御システムを守るための技術要件とプロセス要件」を、資産所有者(工場)・システムインテグレーター・製品ベンダーという3つの立場それぞれについて定めています。

2026年時点では、IIoT機器やフィールド機器と連携するクラウド分析も、明示的に対象範囲に含まれるようになっています。工場のデータをクラウドに上げてAIで分析する、という現代的な構成も規格の射程内にあるということです。

実務上重要なのは、IEC 62443が単なる技術文書ではなく、商取引の言語になりつつあることです。OTセキュリティ市場は2026年に250億ドル規模とされ、IEC 62443は調達契約の要求事項、規制要件、さらにはサイバー保険の申込書で参照されるケースが増えています。つまり、認証を取るかどうかとは別に、「この規格の用語で自社の状態を説明できること」が取引条件になりつつあります。

ゾーンとコンジット ― 中核となる考え方

IEC 62443の中核概念は、ゾーン(zones)とコンジット(conduits)によるリスクベースのネットワーク分割です。

• ゾーン:共通の防護要件を持つ資産のグループです。たとえば「A棟の成形ライン制御系」「全社共通のMESサーバー群」「安全計装システム」といった単位で区切ります。区切る基準は物理的な場所ではなく、求められる防護レベルとリスクです。
• コンジット:ゾーンとゾーンの間の、統制された通信経路です。単なるケーブルや回線ではなく、「どのゾーンからどのゾーンへ、どのプロトコルで、誰が、何のために通信してよいか」を定義した論理的な通り道を指します。

この設計の要点は2つです。第一に、すべてのコンジットに明示的な統制(ファイアウォール、認証、暗号化、ログ取得)を置くこと。第二に、コンジットを通らないゾーン間通信を一切許さないことです。

2つ目が実は難物です。多くの工場では、「あのラインとあのラインは、なぜか直接つながっている」「保全用のPCが両方のネットワークに足を出している」といった、設計図に載っていない経路が存在します。ゾーンとコンジットの設計とは、そうした裏道を洗い出して塞ぐ作業でもあります。

セキュリティレベル(SL1〜SL4)

IEC 62443では、守るべき水準をセキュリティレベル(SL)1〜4で表現します。重要なのは、SLが「攻撃者の動機とリソース」に対応している点です。

すべてのゾーンをSL4にする、という発想は現実的ではありませんし、規格の意図とも異なります。目標とすべきは、ゾーンごとにリスクを評価し、必要なレベルを個別に定めることです。安全計装システムには高いレベルを、事務所寄りの補助的なシステムには低いレベルを設定する、という濃淡をつける判断そのものが、IEC 62443の実践です。

そして「現状のレベル(SL-Achieved)」と「目標レベル(SL-Target)」のギャップを可視化することが、投資計画の根拠になります。経営層に対して「セキュリティが不安なので予算をください」と言うのではなく、「基幹ラインの目標をSL2に置いたとき、現状との差分はこの5項目で、費用はこれだけです」と説明できるようになる。これがIEC 62443を使う実務的なメリットです。

多層防御(Defense-in-Depth)

多層防御とは、ゾーンとコンジットによる階層アーキテクチャによって、一箇所の侵害が工場全体に波及しないようにする考え方です。

単一の強固な壁を作るのではなく、複数の層を重ねます。境界のファイアウォール、ネットワークの分割、機器レベルのアクセス制御、アカウント管理、監視と検知、そしてバックアップと復旧手順。どれか一つを突破されても、次の層が時間を稼ぎます。

「時間を稼ぐ」という表現が本質です。侵入を完全に防ぐことは、どのような対策を積んでも保証できません。目指すべきは、侵入から被害拡大までの時間を引き延ばし、その間に気づいて封じ込めることです。前述のとおり、生産停止の多くはIT側の被害の波及として起きています。IT/OT境界に確実な層を1枚入れておくことは、費用対効果の面で最も効きやすい投資のひとつです。

日本の制度 ― 経済産業省ガイドラインとIPA10大脅威2026

工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン

経済産業省は2022年に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を策定し、現在はVer1.1が公開されています。

このガイドラインの基本認識は明確で、「いかなる工場においてもサイバー攻撃を受ける可能性がある」ことを前提に置いています。「うちは重要インフラではない」「小さい工場だから狙われない」という前提を、公的な文書として明確に否定している点は重要です。攻撃者の多くは標的を選んで攻めているのではなく、脆弱な露出面を機械的に探索しているためです。

2024年4月には「別冊:スマート化を進める上でのポイント」が策定されました。これは、IoT導入やデータ活用といったスマートファクトリー化を進める際に、セキュリティの観点で何を押さえるべきかを整理したものです。DXとセキュリティを別々のプロジェクトとして扱うのではなく、スマート化の設計段階でセキュリティを織り込むという方向性が示されています。

海外に工場を持つ企業にとっても、このガイドラインは有用です。法的拘束力のある規制ではありませんが、日本本社の内部統制やグループ標準の基礎として使われることが多く、海外拠点の監査で参照されるケースも増えています。タイの工場が本社から「グループのOTセキュリティ基準に適合しているか」と問われたとき、その基準の下敷きになっているのがこのガイドラインである、という状況は珍しくありません。

IPA「情報セキュリティ10大脅威 2026」

IPA(情報処理推進機構)が公表している「情報セキュリティ10大脅威 2026」では、組織向けの脅威としてランサムウェアが4年連続で1位、サプライチェーン攻撃が2位となっています。

この2つが並んでいることには意味があります。工場のリスクは、自社が直接攻撃されることだけではありません。部品サプライヤーが止まれば部品が来ず、物流業者が止まれば運べず、設備メーカーが止まれば保守が受けられません。前述の国内自動車メーカーの事例が示すとおり、自社のセキュリティが完璧でも、取引先の被害で工場は止まります。

したがって、OTセキュリティの取り組みには、自社工場の対策に加えて、主要サプライヤーの状態把握と、代替手段の準備という要素が入ってきます。少なくとも、「どのサプライヤーが止まったら何日で自社のラインが止まるか」という影響度の整理は、コストをかけずに始められる有効な作業です。

タイ・ASEANの制度 ― Cybersecurity Act、NCSA、CII、PDPA

タイのサイバーセキュリティ法とNCSA

タイにはサイバーセキュリティ法(Cybersecurity Act)があり、これに基づいてNCSA(National Cyber Security Agency:国家サイバーセキュリティ庁)が設置されています。同法は、CII(Critical Information Infrastructure:重要情報基盤)に指定された事業者に対し、インシデントの報告と一定の基準の遵守を義務づけています。

「うちは工場だからCIIではない」と考えるのは早計です。2025年9月、国家サイバーセキュリティ委員会(NCSC)がCII組織リストを改定する新告示を発出しました。この告示は2023年の分類を置き換えるもので、技術的な相互依存の広がりを反映して対象範囲を拡大しています。エネルギー、公益、物流、公共サービスなどに深く関わる事業を行っている場合、自社が該当するかどうかを再確認する価値があります。

また、2025年のWebsite Security StandardsではSSL/TLSと多要素認証が求められています。工場が持つ外部向けのWebシステムやポータルも、この要求の射程に入り得ます。

PDPAとの二重の義務

タイでは、CII規制と並行してPDPA(個人データ保護法 B.E. 2562 / 2019)が適用されます。ランサムウェア被害が発生した場合、生産設備の停止という事業面の問題に加えて、従業員や取引先の個人データが影響を受けていれば、PDPAに基づく通知義務が発生します。

実務上のポイントは、侵害通知とリスク管理の手続きを、PDPC(個人データ保護委員会)とNCSAの双方の要求に整合させる必要があるということです。インシデント対応計画を作るときに、「誰が、いつまでに、どちらの当局に、何を報告するか」を事前に決めておかないと、事案発生時に対応が破綻します。日本本社への報告、親会社の広報対応、顧客への通知も同時並行で走るため、報告先と期限のマトリクスを1枚の表にしておくだけでも効果があります。

脅威環境としてのタイ

制度面だけでなく、脅威の実態も押さえておく必要があります。SOCRadarの「Thailand Threat Landscape Report 2026」によれば、タイは2026年初頭に初めて「世界で最も狙われた10カ国」に入りました。また、タイ国内で観測されたランサムウェア事案の42.9%が、The Gentleman(Gentlemen)系によるものとされています。

The GentlemanはDragosのQ1 2026データでも産業組織への攻撃で83件と上位に入っているグループです。「タイで多いグループが、産業界を狙っているグループでもある」という重なりは、タイに工場を持つ企業にとって無視できない事実です。

「日本本社は狙われるかもしれないが、タイの拠点までは来ないだろう」という感覚は、データと整合しません。むしろ、本社に比べてセキュリティ投資が薄く、IT要員も少ない海外拠点が、グループ全体への侵入口として狙われる構図を想定すべきです。

現実的な導入ステップ ― フェーズ0からフェーズ3まで

ここまでの内容を踏まえて、実際に何から手をつけるかを整理します。重要なのは、すべてを同時に始めないことです。予算も人も限られている中では、順序が成否を分けます。

フェーズ0:体制と範囲を決める(1〜2か月)

技術的な作業に入る前に、これを決めておかないと後で必ず止まります。

• オーナーを決める:OTセキュリティを誰が所管するのかを明確にします。IT部門単独でも、製造部門単独でもうまくいきません。両者に加えて、可能なら経営層のスポンサーを置いた小さな委員会形式が現実的です。
• 対象範囲を決める:全工場・全ラインを最初から対象にすると終わりません。まずは1拠点、あるいは1ラインをパイロットとして選びます。選ぶ基準は「止まったときの損害が大きく、かつ関係者の協力が得られやすいライン」です。
• 止まったときの損害額を概算する:1日止まったら何バーツの損失か。これがないと、その後のすべての投資判断が感覚論になります。粗くて構いません。
• 既存のインシデント対応手順を確認する:多くの場合、IT向けの手順はあってもOT向けはありません。「工場ネットワークを切るかどうかを誰が判断するのか」だけでも決めておくと、初動が変わります。

フェーズ1:資産の可視化(2〜4か月)

守れないものの筆頭は、存在を知らないものです。フェーズ1の目的は、OTネットワークに何がつながっているかを把握することに尽きます。

• ネットワーク構成図を最新化する(既存図面はほぼ確実に実態と乖離しています)
• 制御機器、HMI、産業用PC、ネットワーク機器のインベントリを作る
• 各機器のOS・ファームウェアバージョン、サポート状況を記録する
• 外部との通信経路をすべて洗い出す(有線・無線・モバイル回線を含む)
• ベンダーのリモートアクセスを棚卸しし、契約と紐づける

ここで絶対に守るべき原則があります。稼働中の設備に対してアクティブスキャンをかけないことです。ITの世界で当たり前に使われるネットワークスキャンは、古い制御機器を停止させたり、誤動作させたりすることがあります。OT環境では、通信を傍受するだけのパッシブな可視化手法から入るのが定石です。

資産の可視化は、セキュリティ以外の面でも価値を生みます。設備台帳が整理され、稼働データの取得ポイントが明確になるため、その後のタイ工場向け生産管理システムの導入やIoT設備監視の基盤としてそのまま活用できます。セキュリティ単独の予算が取りにくい場合、可視化を生産性改善の投資として位置づけるのは、実務上よく使われるアプローチです。

フェーズ2:ネットワーク分割と境界の統制(3〜9か月)

可視化ができたら、IEC 62443のゾーンとコンジットの考え方に沿って分割します。

• IT/OT境界を明確にする:最優先はここです。前述のとおり、生産停止の多くはIT側からの波及です。境界にファイアウォールを置き、通過してよい通信を明示的に定義します。
• 必要なら中間ゾーン(DMZ)を設ける:MESや履歴データベースなど、IT側からもOT側からもアクセスされるシステムは、両者の中間に置きます。IT側の端末がOT機器に直接触れる構成をなくすことが目的です。
• ライン単位・エリア単位で分割する:1つのラインの汚染が全工場に広がらないようにします。すべてを一度にやる必要はなく、重要度の高いラインから順に進めます。
• ベンダーアクセスを統制する:常時接続をやめ、申請ベースで一時的に開ける運用に変えます。個人ごとのアカウント、多要素認証、操作ログの記録、セッションの録画などを、リスクに応じて組み合わせます。これは契約の見直しとセットで進める必要があります。
• バックアップを見直す:PLCプログラム、HMIの画面データ、装置の設定パラメータ、レシピデータのバックアップが取れているかを確認します。IT側のサーバーバックアップは取れていても、制御系の構成情報が誰のPCにしか存在しない、というケースは頻出します。オフラインまたは書き換え不能な形での保管が望ましいです。

フェーズ3:監視、運用、訓練(継続)

分割まで終えたら、継続的な運用に移ります。

• OT向けの監視を入れる:産業プロトコルを理解できる監視の仕組みを導入し、通常と異なる通信や新規機器の出現を検知します。前述のとおり、OTネットワークの88%が検知・対応に課題を抱えているとされており、ここは多くの工場にとって最大の空白です。
• アラートを受ける先を決める:検知しても、誰も見ていなければ意味がありません。自社で見るのか、外部のSOCに委託するのか、24時間なのか営業時間内なのかを決めます。
• インシデント対応の訓練をする:机上訓練で十分です。「金曜夜にIT側で感染が確認された。工場をどうするか」というシナリオを、実際の担当者を集めて1〜2時間議論するだけで、多くの穴が見つかります。
• 変更管理に組み込む:新しい設備を導入するとき、改造するとき、ベンダーを追加するときに、セキュリティの確認を通す仕組みを作ります。ここを作らないと、せっかく整理した構成が数年で元に戻ります。
• 定期的に見直す:年1回の棚卸しでは、変化の速度に追いつきません。可能な限り自動的に資産と構成の変化を捉える仕組みにしておきます。

費用の目安 ― 何にいくらかかるのか

以下に示す金額は、日本国内の相場(AEVUS 2026年版の整理)です。タイをはじめとするASEAN地域で実施する場合、人件費の差により下振れする可能性があります。一方で、日本から専門家を派遣する構成や、日本語での報告書作成を含む場合は、この水準に近づきます。あくまで検討の出発点としてご覧ください。

リスクアセスメント・診断

診断の実施においては、稼働中の生産設備に影響を与えないことが前提であり、そのためには専門知識が必要です。この点が、一般的なITのペネトレーションテストとの価格差の理由でもあります。安価な見積もりが出てきた場合、OT環境での実施経験があるかを必ず確認してください。

コンサルティング

成果物としては、セキュリティポリシー文書、ネットワーク分割の設計、インシデント対応計画などが挙げられます。

IEC 62443の認証取得支援

認証取得は、顧客からの要求や規制対応が明確にある場合に検討するものです。「セキュリティを強化したいから認証を取る」という順序だと、費用の割に現場のリスクが下がらないことがあります。まずは規格を設計の物差しとして使い、認証は必要になった段階で判断するのが現実的です。

規模別の段階的予算

小規模製造業の初年度160万〜380万円という数字は、多くの経営層が想像するより低いはずです。この段階では、診断、ネットワーク分割、教育という基礎的な部分に絞られています。逆に2年目以降にSOC監視を加えると年530万〜1,060万円へと上がるのは、監視が人的コストを伴う継続的なサービスだからです。

投資判断の考え方としては、フェーズ0で算出した「1日止まったときの損害額」と比較するのが分かりやすいでしょう。前述のとおり、製造業のランサムウェア事案の25%はOTサイトの全面停止に至っており、IBMの調査では製造業の1件あたりの侵害コスト平均が約500万ドルとされています。この2つの数字を並べれば、初年度数百万円規模の投資が妥当かどうかは、それぞれの工場で判断できるはずです。

よくある失敗パターン

実際のプロジェクトで繰り返し起きる失敗を挙げます。事前に知っておくだけで避けられるものばかりです。

ITのやり方をそのままOTに持ち込む

最も多い失敗です。IT部門が主導して、業務PCと同じセキュリティソフトを制御用PCに入れる、同じパッチ配信の仕組みに組み込む、同じ資産管理エージェントを配布する。結果として、設備メーカーの保証が切れる、リアルタイム性が損なわれて制御が乱れる、パッチ適用後に装置が起動しなくなる、といった事態が起きます。

OT環境では、あらゆる変更が「設備メーカーの動作保証」という制約下にあります。技術的に可能かどうかではなく、契約上・保証上許されるかどうかを先に確認する必要があります。

稼働中設備へのアクティブスキャン

これも典型的です。ネットワーク上の資産を洗い出そうとしてスキャンツールを走らせ、古いPLCが応答できずに停止する。診断のつもりが、自らインシデントを起こすことになります。

OT環境の可視化は、通信を傍受するパッシブな手法から始めるのが原則です。どうしても能動的な確認が必要な場合は、定期停止のタイミングに合わせるか、テストベンチで検証してから、設備メーカーの承認を得て限定的に実施します。

年1回の棚卸しで止まる

一度だけコンサルタントを入れて、立派な報告書とネットワーク図ができあがる。しかし1年後には、新しい設備が入り、ベンダーが増え、暫定的なネットワーク接続が追加され、図面は実態と乖離しています。

資産管理は、イベントではなくプロセスにする必要があります。理想は継続的な自動検知ですが、それが難しければ、「設備を導入・改造するときに必ず情報システム部門に申請する」という業務ルールを作るだけでも大きく違います。ルールが守られるかどうかは、申請を出す側の手間の少なさで決まるため、様式は極力簡素にすべきです。

ベンダー保守回線の放置

「あのルーターは何ですか」「昔から付いています」で終わってしまうパターンです。誰が管理しているか分からない外部接続が残ったまま、内側だけを固めても効果は限定的です。

対処としては、まず洗い出し、次に契約書と突き合わせ、不要なものは撤去し、必要なものは統制下に置き直すという順序になります。ベンダーとの関係上、一方的な遮断は難しいことが多いため、「保守品質を落とさずに安全にする」という提案の形で進めるのが現実的です。次回の契約更新のタイミングを狙うのも有効です。

完璧を目指して何も始まらない

全社の全工場を対象にした完全な計画を作ろうとして、検討が2年続き、その間に何も実装されないというケースです。

OTセキュリティは、100%の状態が存在しない領域です。1ラインでも、IT/OT境界にファイアウォールを1台入れるだけでも、状態は確実に改善します。パイロットを1つ回して学び、それを横展開する進め方のほうが、結果的に速く進みます。

現場を巻き込まずに進める

IT部門と経営層だけで決めて、現場に降ろす。この進め方は、ほぼ確実に抵抗を生みます。現場の関心事は稼働率と納期であり、セキュリティ対策はそれを妨げるものとして受け取られるためです。

有効なのは、対策を現場のメリットと結びつけて説明することです。ネットワーク分割は障害の切り分けを早くし、資産可視化は保全計画の精度を上げ、リモートアクセスの統制は「誰が何をしたか」の記録として現場を守ります。セキュリティの言葉ではなく、操業の言葉で説明することが鍵になります。

バックアップは取っているが戻せない

バックアップの有無を確認して安心してしまうパターンです。実際には、復旧手順が文書化されていない、担当者が退職している、復元テストを一度もしていない、バックアップ自体がネットワーク上にあって同時に暗号化される、といった問題が潜んでいます。

最低限、年に1回は「実際に戻してみる」テストを行うべきです。特に制御系のプログラムやパラメータは、戻し方を知っている人が1人しかいないという状況が起きやすい領域です。

スマートファクトリー・IoT設備監視とOTセキュリティの両立

DXとセキュリティは対立しない

「セキュリティを厳しくすると、IoTもDXも進まなくなる」という懸念をよく聞きます。しかし、実態はむしろ逆です。

タイの製造業DXの現場で最もよくある障害は、セキュリティ要件ではなく、「そもそも設備の構成が分からない」「どこからデータを取ればいいか分からない」「勝手につないだ機器が乱立して収拾がつかない」という状態です。フェーズ1の資産可視化とフェーズ2のネットワーク分割は、この混乱を整理する作業そのものです。

実際、工場のIoT設備監視を導入しようとすると、必ず「どの機器から、どのプロトコルで、どの経路でデータを取り出すか」を決める必要があります。これはIEC 62443のゾーンとコンジットの設計と、ほぼ同じ作業です。セキュリティのために整理した構成は、そのままデータ活用の基盤になります。

タイ工場のファクトリーオートメーションを進める際も同様です。設備の自動化・連携を進めるほど、ネットワークに接続される機器は増え、外部との通信も増えます。この拡張を無計画に進めると、後から分割し直すコストは何倍にもなります。逆に、最初からゾーン設計に沿って拡張していけば、追加コストはわずかです。

経済産業省が2024年4月に「別冊:スマート化を進める上でのポイント」を策定した背景も、まさにここにあります。スマート化とセキュリティを別々に扱わず、設計の段階で統合するという考え方です。

新しい技術を入れるときの原則

近年は製造業でのAIエージェント活用のように、工場のデータを外部のサービスやクラウドと連携させる場面が増えています。IEC 62443が2026年時点でIIoTやクラウド分析を明示的に対象範囲に含めているのも、この流れを反映したものです。

新しい仕組みを導入するときの原則はシンプルです。

• データは外向き一方通行を基本にする:OT側から情報を吸い上げるだけの構成にし、外部からOT側へ制御指令を返す経路は、必要性を厳密に検証したうえで、独立した統制下に置きます。
• 中間層を必ず設ける:クラウドやIT側のシステムが、制御機器と直接通信する構成は避けます。中間にデータ収集用のゲートウェイやDMZを置きます。
• 導入時にゾーンを決める:新しい機器やサービスがどのゾーンに属するのかを、導入時に決めます。後から決めようとすると決まりません。
• アカウントとログを設計に含める:「誰がアクセスできるか」「何が記録されるか」を、機能要件と同じタイミングで決めます。稼働後に追加するのは困難です。

この4点を最初から要件に入れておけば、DXの推進速度を落とさずにリスクを抑えられます。逆に、これらを後回しにしたプロジェクトは、稼働後の監査やグループ本社のレビューで指摘を受け、結局作り直すことになります。

よくある質問

OTセキュリティとは何ですか?

OT(オペレーションテクノロジー)セキュリティとは、工場の生産設備や制御システム、すなわちPLC、SCADA、HMI、産業用ロボット、各種計装機器とそれらをつなぐネットワークを、サイバー攻撃や不正な操作から守る取り組みを指します。

情報を守ることを最優先とするITセキュリティに対し、OTセキュリティでは操業の継続と安全の確保が最優先になります。また、設備の寿命が15〜30年と長く、パッチ適用や再起動が自由にできないため、ITと同じ手法をそのまま適用できないという特徴があります。

IT部門のセキュリティ対策があれば、工場のOTセキュリティ対策は不要ですか?

不要とはいえません。ただし、優先順位の面ではIT側の対策が土台になります。

Dragosの2026年第1四半期のレポートでは、産業用制御プロトコルやプロセス環境を直接操作するように設計されたランサムウェアの亜種は確認されていないとされており、生産停止の多くはIT系システムの被害が波及した結果として起きています。つまり、IT側の対策は工場を守るうえでも重要です。

一方で、IT側だけを固めても、ベンダーの保守回線や後付けのモバイルルーターなど、IT部門が把握していない経路が残ります。また、OT側の可視性がないと、侵入されたときに「工場が汚染されていないこと」を証明できず、予防的に生産を止める判断を迫られます。IT側の対策に加えて、IT/OT境界の統制とOT側の可視化を進めることが必要です。

IEC 62443の認証取得にはいくらかかりますか?

日本国内の相場では、初年度で300万〜1,500万円超が目安とされています。内訳としては、CSMS(組織レベル)が300万〜700万円、システム設計要求が400万〜800万円、開発プロセスが500万〜1,000万円、年次の維持審査が年100万〜300万円です。タイなど人件費水準の異なる地域で実施する場合は、これより下振れする可能性があります。

ただし、多くの工場にとって最初に必要なのは認証取得ではありません。IEC 62443の考え方(ゾーンとコンジット、セキュリティレベルの設定)を設計の物差しとして使うだけなら、認証費用はかかりません。顧客からの要求や規制対応で認証が明確に必要になった段階で、取得を検討するのが現実的です。

工場のランサムウェア対策は何から始めるべきですか?

次の3つを順に進めることをおすすめします。

1. 止まったときの損害額を概算する:1日の生産停止がいくらの損失になるかを出します。すべての投資判断の基準になります。
2. OTネットワークに何がつながっているかを把握する:特に、外部と通信している経路(ベンダーの保守回線、モバイルルーター、無線)をすべて洗い出します。このとき、稼働中の設備にアクティブスキャンをかけないでください。
3. IT/OT境界を分ける:IT側の被害がOT側に波及しないよう、境界に統制を置きます。合わせて、制御系のプログラムやパラメータのバックアップと、その復元テストを実施します。

高度な検知システムの導入は、この3つが終わってからで構いません。

タイの工場にも規制は適用されますか?

該当性の確認が必要です。タイにはサイバーセキュリティ法があり、NCSA(国家サイバーセキュリティ庁)がCII(重要情報基盤)事業者にインシデント報告と基準遵守を義務づけています。2025年9月には国家サイバーセキュリティ委員会がCII組織リストを改定する新告示を発出し、2023年の分類を置き換えて対象範囲を拡大しました。自社の事業が対象に含まれるかどうかを再確認する価値があります。

また、CII規制とは別に、PDPA(個人データ保護法 B.E. 2562 / 2019)が並行して適用されます。侵害が発生した場合、PDPC(個人データ保護委員会)とNCSAの双方の要求に整合した通知とリスク管理の手続きが求められるため、インシデント対応計画の中で報告先と期限を事前に整理しておく必要があります。

古い設備が多く、パッチを当てられません。どうすればよいですか?

パッチを当てられない前提で設計するのが、OTセキュリティの基本的な考え方です。

具体的には、パッチを適用できない機器を独立したゾーンに隔離し、そのゾーンへの通信経路(コンジット)を厳密に制限します。これは代償的統制と呼ばれる考え方で、脆弱性そのものを取り除く代わりに、脆弱性に到達できないようにするアプローチです。合わせて、その機器の設定やプログラムのバックアップを確実に取り、万一の際に短時間で復旧できるようにしておきます。

なお、設備の更新計画がある場合は、その機会にセキュリティ要件を調達仕様に入れることが有効です。既存設備を改修するより、新規調達時に要件を入れるほうが、コストは大幅に低くなります。

タイ製造業のDXやIoT設備監視の推進と、セキュリティ対策は両立しますか?

両立します。むしろ、順序として相性がよい取り組みです。

IoT設備監視を導入するには、どの機器からどのプロトコルでデータを取るかを決める必要があり、これはIEC 62443のゾーンとコンジットの設計とほぼ同じ作業です。セキュリティのために作った資産台帳とネットワーク構成は、そのままデータ活用の基盤として使えます。経済産業省も2024年4月に「別冊:スマート化を進める上でのポイント」を策定し、スマート化の設計段階でセキュリティを織り込む方向性を示しています。

注意すべきは順序です。無計画にIoT機器を増やしてから分割し直すと、コストは何倍にもなります。拡張の前にゾーン設計を決めておくことをおすすめします。

中小規模の工場でも現実的に取り組めますか?

取り組めます。日本国内の相場では、小規模製造業の初年度予算は160万〜380万円(診断＋ネットワーク分割＋教育)が目安とされており、2年目以降にSOC監視を加えると年530万〜1,060万円になります。タイで実施する場合は、人件費差により下振れする可能性があります。

規模が小さいことは、むしろ有利に働く面もあります。設備数が少なければ資産の把握は早く終わり、意思決定の階層が浅ければ現場の合意形成も速く進みます。経済産業省のガイドラインが「いかなる工場においてもサイバー攻撃を受ける可能性がある」と明記しているとおり、規模の小ささは攻撃を受けない理由にはなりません。まずは1ラインからパイロットを回すことをおすすめします。

まとめ

工場のOTセキュリティについて、押さえておくべき点を整理します。

• OTとITは目的も制約も異なる。OTでは可用性と安全性が最優先で、設備の寿命が長く、パッチ適用も自由にできません。ITのやり方をそのまま持ち込むと現場が破綻します。
• 脅威は現実の数字として存在する。2026年第1四半期に産業組織を襲ったランサムウェアは1,020件、うち製造業が633件(62%)。アジアは前四半期の113件から137件へ増加しています。
• ただし、OTが直接壊されているわけではない。産業用制御プロトコルを直接操作する亜種は確認されておらず、生産停止はIT系システムの被害が波及した結果として起きています。したがって、IT/OT境界の統制が最も費用対効果の高い対策になります。
• ベンダー・第三者アクセスが最大の盲点。製造業の42%がサードパーティアクセス経由の侵害を経験し、54%はアクセス付与前に相手のセキュリティを検証していません。
• IEC 62443は設計の物差しとして使える。ゾーンとコンジットによる分割、SL1〜4によるレベル設定、多層防御。認証取得は必要になってから判断すれば十分です。
• 制度は日本にもタイにもある。日本では経済産業省のガイドラインVer1.1と別冊、IPAの10大脅威2026(ランサムウェア4年連続1位)。タイではサイバーセキュリティ法とNCSA、2025年9月に改定されたCIIリスト、そしてPDPAとの二重の義務です。
• 順序が成否を分ける。体制と範囲の決定、資産の可視化、ネットワーク分割、監視と運用。この順に進め、まずは1ラインのパイロットから始めるのが現実的です。
• DXとは対立しない。資産可視化とネットワーク整理は、IoT設備監視やスマートファクトリー化の基盤そのものです。

サイバー攻撃を完全に防ぎ切ることは、どのような対策を積んでも保証できません。目指すべきは、侵入されたときに被害を1つのゾーンに封じ込め、短時間で気づき、確実に復旧できる状態を作ることです。そしてその状態は、一度に作るものではなく、段階的に積み上げていくものです。

TOMAS TECH CO., LTD.は、バンコクを拠点に、PEGASUS生産管理システムやエネルギー管理システムをタイおよびASEANの日系製造業に提供しています。工場ネットワークの現状整理やIoT設備監視の設計についてご相談があれば、お気軽にお問い合わせください。

参考情報

• Dragos “Industrial Ransomware Analysis for the First Quarter of 2026”
• Manufacturing Cybersecurity Statistics 2026 (deepstrike.io)
• 経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」
• 経済産業省 別冊:スマート化を進める上でのポイント(2024年4月4日)
• Dragos “Understanding ISA/IEC 62443: A Guide for OT Security Teams”
• Silk Legal “Strengthening Thailand’s Cyber Resilience: New List of Critical Information Infrastructure Organizations”
• SOCRadar “Thailand Threat Landscape Report 2026”
• 製造業のOTセキュリティ対策費用【2026年版】(AEVUS)