工場IoTのセキュリティ対策｜OTとITの違いと中小製造業の基本対策｜製造業・工場DX経営オンライン

工場IoTのセキュリティ対策——OTとITの違いから、中小製造業がまずやるべき基本対策まで

■SEO設計メモ（公開時に削除）

・メインKW：工場 IoT セキュリティ

・サブKW：OT セキュリティ／工場 ランサムウェア 対策／制御システム セキュリティ 中小企業／経産省 工場セキュリティ ガイドライン

・titleタグ案：工場IoTのセキュリティ対策｜OTとITの違いと中小製造業の基本対策｜製造業・工場DX経営オンライン

・meta description案：工場IoTのセキュリティ対策を、OT（制御システム）とIT（情報システム）の違いから解説。5つの侵入経路、製造業が狙われる理由、経産省ガイドラインの考え方、ネットワーク分離の基本形、中小製造業がまずやるべき対策チェックリスト、インシデント時の初動まで、船井総研の製造業コンサルタントがまとめました。

・想定読者：IoT導入にあたりセキュリティが不安な中堅・中小製造業の経営者・工場長・情報システム担当

・内部リンク：ピラー記事／子記事①メリデメ／子記事⑩ツール選び／子記事⑨進め方

・注意：本記事は一般的な考え方の解説であり、個別の対策は専門家への相談を推奨する旨を明記済み

「工場の設備をネットにつなぐと、サイバー攻撃を受けるのではないか」——。

工場IoTの検討において、この懸念は極めて健全なものです。実際、製造業を狙ったランサムウェア攻撃による生産停止は国内でも現実に発生しており、被害企業には中小企業も多く含まれます。「つなぐ」ことにはリスクが伴う——これは事実です。

しかし、だからといって「つながないほうが安全」という結論にはなりません。人手不足と原価高騰の中で、データを活用せずに競争力を保つことは年々難しくなっているからです。目指すべきは、リスクをゼロにすることではなく、リスクを管理可能な水準に抑えたうえでデータ活用の利益を得ることです。

本記事では、数多くの中堅・中小製造業の工場DXを支援してきた船井総合研究所の製造業コンサルタントが、工場セキュリティの基礎——OT（制御システム）とITの違い、5つの侵入経路、製造業が狙われる理由——から、経済産業省ガイドラインの考え方、ネットワーク分離の基本形、そして中小製造業が優先的に実施すべき基本対策とインシデント時の初動までを、専門用語を抑えて解説します。

なお、本記事は一般的な考え方を整理したものです。個別の環境に応じた具体的な設計・実装は、必ず専門のセキュリティ事業者や情報システムの専門家にご相談ください。

OTとITは違う——工場のセキュリティが特殊な理由

工場のセキュリティを考える出発点は、OT（Operational Technology：制御・運用技術）とIT（情報技術）の性質の違いを理解することです（図1）。

▲図1：OTとITの違い

ITの世界では、最優先されるのは機密性です。情報漏洩を防ぐためなら、システムを一時停止することも選択肢になります。一方、OTの世界で最優先されるのは可用性——止めないことです。生産設備の停止は、納期遅延、機会損失、場合によっては安全上のリスクに直結します。

この違いは、対策の考え方を根本から変えます。ITでは「怪しければ止めて調べる」が正解でも、OTでは「止めることのリスク」も同時に評価しなければなりません。ITの常識をそのまま工場に持ち込むと、現場の反発を招き、対策そのものが形骸化します。

ITの機器は3〜5年で更新されますが、工場の設備は10年、20年、時にはそれ以上使い続けられます。その結果、サポートが終了したOSが現役で動いている、更新プログラムを適用すると設備が動かなくなる懸念がある、そもそもメーカーが更新を提供していない——といった状況が日常的に存在します。

つまり工場では、「脆弱性を潰す」という王道の対策が使えないことが多いのです。ではどうするか。答えは、分離と監視——脆弱性を持つ機器を、攻撃者が触れられない場所に置き、異常があれば気づける状態にすることです。これが工場セキュリティの基本思想です。

工場を狙う脅威——5つの侵入経路

では、攻撃はどこから入ってくるのでしょうか。代表的な5つの経路を押さえておきましょう（図2）。

▲図2：5つの侵入経路

VPN機器やルータの脆弱性、外部公開されたサーバー、設備メーカーのリモート保守回線——インターネットと接する境界は、最も狙われる入口です。特に、脆弱性が公表されているにもかかわらず更新されていないVPN機器は、攻撃者にとって格好の標的になります。

標的型メールの添付ファイルやリンクから事務系PCが感染し、そこから工場ネットワークへ拡大する経路です。人の判断に依存するため完全な防止は難しく、だからこそネットワーク分離（後述）が重要になります。

設備の保守作業やプログラム更新の際に持ち込まれるUSBメモリやノートPCが、感染を運び込む経路です。インターネットにつながっていない設備であっても、この経路からは感染し得ます。「ネットにつないでいないから安全」が通用しない理由です。

取引先や委託先が侵害され、そこを経由して攻撃を受ける経路です。逆に、自社が侵害されて取引先に被害を及ぼす加害者になる可能性もあり、サプライチェーン全体の課題として認識が広がっています。

そして、本記事の主題に関わる経路です。初期パスワードのまま運用されているゲートウェイ、更新されないファームウェア、管理されていないネットワーク機器——これらは攻撃の踏み台として利用され得ます。IoT導入がリスクを持ち込む可能性は、確かに存在します。

ただし、これら5経路を眺めて気づくことがあります。高度な技術を要する攻撃よりも、「基本の不徹底」——更新されていない機器、初期パスワード、管理されていない接続——を突かれるケースが圧倒的に多いということです。裏を返せば、基本対策を固めるだけで、リスクの大半は抑えられます。

もう一点、工場の現実として押さえておきたいのが、「意図せずネットワークにつながっている機器」の存在です。設備導入時にメーカーが接続した保守用の回線、過去の実証実験で設置されたまま残っている機器、部門が独自に導入した無線アクセスポイント——。これらは管理台帳にも載らず、更新もされないまま稼働し続けていることがあります。

工場セキュリティの出発点が「棚卸し」である理由は、まさにここにあります。守るべき対象と、守るべき経路を把握していなければ、どんな対策も的外れになりかねません。IoT導入を検討するこの機会に、自社のネットワークの実態を一度洗い出してみることを強くおすすめします。

なぜ製造業が狙われるのか——被害の実態

「うちのような会社が狙われるはずがない」——この認識が、最も危険な状態です（図3）。

▲図3：製造業が狙われる理由と被害の実態

第一に、生産停止の損失が大きいことです。工場が止まれば損失は日単位で膨らむため、攻撃者からは「身代金を払ってでも早期復旧を望むだろう」と見られます。第二に、OT環境の脆弱性です。前述のとおり更新の難しい機器が多く、既知の脆弱性が残りやすい構造があります。

第三に、サプライチェーンの入口としての価値です。大手企業への攻撃の踏み台として、取引先である中小企業が狙われるケースが指摘されています。第四に、対策の手薄さです。中小企業は専任の情報システム担当がいないことも多く、攻撃者から見て「入りやすい」と判断されます。

警察庁が公表しているランサムウェア被害の統計では、被害の業種別で製造業が大きな割合を占め、企業規模別では中小企業が相当数を占めることが報告されています。被害内容は、生産システムの停止、受発注データの暗号化、復旧までの長期間の操業停止など深刻なものが多く、復旧費用に加えて、納期遅延による取引先への影響、信用の低下といった二次的な損失も発生します。

攻撃の多くは、特定企業を狙い撃つのではなく、脆弱性を持つ機器を無差別に探索して侵入します。つまり、「有名でないから狙われない」のではなく、「対策が弱いところが被害に遭う」というのが実態です。この認識の転換が、対策の出発点になります。

経済産業省ガイドラインの考え方——何をどう進めるか

工場のセキュリティ対策の指針として、経済産業省が「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を公表しています（出典：経済産業省 https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline.html）。専門的な文書ですが、その考え方の骨格は中小企業にとっても有用です（図4）。

▲図4：ガイドラインの考え方

まず、自社の工場システムがどう構成され、どんな業務が動き、何を守るべきかを整理します。設備の一覧、ネットワークの接続関係、外部との接続点、扱うデータ——。この「棚卸し」なくして対策は設計できません。実は多くの中小企業が、「自社の工場ネットワークがどうつながっているか」を正確に把握していないところから出発することになります。この整理自体が、極めて価値の高い最初の一歩です。

次に、重要度に応じてネットワークをゾーンに分け、境界に対策を設けます。事務系と工場系、さらに工場系の中でも重要度の高い制御系とそれ以外——。すべてを同じレベルで守るのではなく、重要なものを内側に置き、境界で通信を制限する。これが後述するネットワーク分離の考え方です。

そして、技術的な対策だけでなく、ルール（USBの扱い、外部接続の申請）、体制（誰が責任を持つか、インシデント時の連絡先）、教育（従業員への注意喚起）、点検（定期的な見直し）を整備し、継続的に運用します。

このガイドラインの重要なメッセージは、セキュリティが「製品を買えば解決する問題」ではないということです。棚卸し→分離→運用という流れは、費用よりもまず「整理と規律」から始まります。中小企業にとって、これはむしろ良いニュースです。予算がなくても、今日から始められる対策が数多くあるからです。

ガイドラインは網羅的であるがゆえに、中小企業には「全部はできない」と映るかもしれません。しかし、すべてを完璧に実施する必要はありません。重要なのは、自社の事業にとって「止まると最も困るもの」を特定し、そこに対策を集中させることです。

多くの中堅・中小製造業にとって、それは生産設備の制御系と、受発注・生産管理のデータでしょう。この2つを守ることに絞れば、対策の範囲は現実的なサイズに収まります。ガイドラインは、完璧を求めるための基準ではなく、優先順位を考えるための地図として使ってください。

ネットワーク分離——工場セキュリティの最重要対策

数ある対策の中で、費用対効果が最も高く、最初に取り組むべきものがネットワーク分離です（図5）。

▲図5：ネットワーク分離の基本形

前述のとおり、攻撃の多くは事務系PCの感染から始まり、そこからネットワークを伝って工場系へ拡大します。事務系と工場系が同じネットワークで地続きになっていれば、一台の感染が生産停止に直結します。逆に、両者を分離し、境界で通信を必要最小限に限定していれば、事務系が感染しても工場系への波及を食い止められます。

「更新できない古い設備がある」という工場の構造的な弱点を、そもそも攻撃者が到達できない場所に置くことで無効化する——これが分離の思想です。脆弱性を一つひとつ潰す作業に比べ、実現可能性も費用対効果も圧倒的に優れています。

分離といっても、物理的に完全に切り離す必要は必ずしもありません。ファイアウォールやVLANによる論理的な分離でも、通信を必要最小限（どの機器から、どの機器へ、どの方向に、どのポートで）に限定すれば、大きな効果があります。重要なのは、「なんとなく全部つながっている」状態を解消し、通信を意図的に設計することです。

ここで、本記事の核心的な論点に触れます。工場のデータをクラウドで活用したい、しかし制御系ネットワークは守りたい——この両立をどう図るか。

実務的な解は、IoTのデータ経路を制御系から独立させることです。センサーからゲートウェイまでは制御系に触れない無線経路を使い、ゲートウェイからクラウドまではLTE回線など社内ネットワークとは別の経路で送る——。この構成なら、工場ネットワークに一切手を加えることなく、データだけを外へ出せます。情報システム部門との調整も格段にシンプルになるため、私たちが支援するプロジェクトでも標準的に採用している構成です。

また、稼働監視のようなIoTの多くは、設備の状態を「読み取る」だけで、設備を「制御する」ことはありません。読み取り専用の構成であれば、仮にIoT側に問題が生じても設備の動作には影響しない——このリスクの低さも、稼働見える化から始めることを推奨する理由の一つです。

中小製造業がまずやるべき基本対策——優先順位つきチェックリスト

「何から手をつければよいか」に答えるため、優先順位をつけた対策リストを示します（図6）。

▲図6：基本対策チェックリスト

第一に、IoT機器・ネットワーク機器の初期パスワード変更です。初期設定のまま運用されている機器は、攻撃者にとって最も容易な入口であり、実際に多数の被害が報告されています。数分で終わる作業でありながら、効果は絶大です。

第二に、バックアップの取得とオフライン保管です。ランサムウェア被害からの復旧を決めるのは、切り離されたバックアップの有無です。ネットワークにつながったままのバックアップは、一緒に暗号化されてしまいます。「取得している」だけでなく「切り離して保管し、復元できることを確認している」ところまでが対策です。

第三に、事務系と工場系のネットワーク分離です。前述のとおり、最も費用対効果の高い構造的対策です。

VPN機器・ルータのファームウェア更新（既知の脆弱性を放置しない）、不要な外部接続・ポート・アカウントの棚卸しと閉鎖、USBメモリの持ち込み・使用ルールの策定——これらは費用をほとんどかけずに実施でき、リスクを大きく下げます。

さらに、従業員教育（不審なメールを開かない、開いてしまったら隠さず報告する）と、インシデント時の連絡体制・対応手順の文書化。「報告しやすい空気」をつくることは、技術対策と同じくらい重要です。発見が早ければ早いほど、被害は小さく抑えられるからです。

ネットワーク分離には、セキュリティ以外の実務的なメリットもあります。通信の経路が整理されることで、ネットワークトラブルが起きた際の原因切り分けが容易になり、事務系の通信量が工場系の制御通信に影響を及ぼすといった問題も防げます。また、設備の増設やIoTの拡張を行う際も、影響範囲が明確なため設計と調整がシンプルになります。

「セキュリティのための投資」と捉えると腰が重くなりがちですが、「ネットワークを整理し、管理しやすくする投資」と捉えれば、その価値はより実感しやすいはずです。実際、分離工事を機にネットワークの構成図を整備した企業では、その後のIoT展開のスピードが目に見えて上がっています。

IoT導入時のセキュリティ確認事項——ベンダーに聞くべきこと

これからIoTを導入する際、ベンダーへの確認事項を整理しておきます（図7）。

▲図7：IoT導入時のセキュリティ確認事項

機器の認証・パスワードについては、初期パスワードの変更が可能か、強度の要件はあるか、管理画面へのアクセス制限はかけられるかを確認します。ファームウェア更新については、更新が継続的に提供されるか、脆弱性情報の通知は届くか、更新の手順は明確かを確認します。

通信の暗号化については、センサーからゲートウェイ、ゲートウェイからクラウドの各区間で暗号化されているかを確認します。ネットワーク構成については、制御系から分離できるか、LTE等の独立回線の選択肢があるかを確認します。クラウド側については、データセンターの所在、アクセス権限管理の仕組み、監査証跡の有無、事業者のセキュリティ認証取得状況を確認します。

そして、その構成が設備を制御しない読み取り専用かどうか。制御に関与しない構成であれば、制御系への影響リスクは相対的に低くなります。

これらは高度な技術質問ではなく、まっとうなベンダーであれば明快に回答できる内容です。むしろ、これらの質問に曖昧な回答しか返ってこない場合、そのベンダーのセキュリティに対する姿勢自体を評価材料にすべきでしょう。ツール選定の全体像は、子記事「工場IoTのセンサー・ツールの種類と選び方」もあわせてご覧ください。

インシデント発生時の初動——事前に決めておくべきこと

対策を尽くしても、被害の可能性はゼロにはなりません。だからこそ、起きたときの初動を事前に決めておくことが、被害の大きさを左右します（図8）。

▲図8：インシデント時の初動フロー

PCの動作異常、身代金要求の画面表示、ファイルが開けない、不審な通信の検知——異常の兆候を確認したら、即座に責任者へ報告します。「気のせいかもしれない」という躊躇が、被害を拡大させます。報告のハードルを下げておくことが、平時の準備として重要です。

感染が疑われる端末を、ネットワークから切り離します。実務上のポイントとして、電源を落とすのではなく、まずLANケーブルを抜く・無線を切ることが推奨されます。電源を落とすと、原因究明に必要な情報が失われる場合があるためです。

経営層、支援ベンダー、そして外部の相談先へ連絡します。警察（サイバー犯罪相談窓口）、IPA（情報処理推進機構）の相談窓口などが利用できます。また、取引先への影響が想定される場合は、報告のタイミングと内容を経営判断として決める必要があります。

切り離して保管していたバックアップから復旧します。ここで強調しておきたいのは、身代金の支払いは推奨されないということです。支払っても復旧の保証はなく、次の標的として再び狙われるリスクもあります。頼れるのは、事前に準備したバックアップだけ——この事実が、平時の準備の重要性をすべて物語っています。

復旧後は、原因を特定し、再発防止策を実施・記録します。インシデントは痛みを伴いますが、対策の優先順位を明確にする最も強力な教材でもあります。

なお、初動の手順は「紙に印刷して掲示しておく」ことをおすすめします。インシデント発生時は、社内システムやファイルサーバーにアクセスできない可能性があるためです。連絡先一覧とともに、事務所と工場の両方に掲示しておけば、いざというときに確実に機能します。

対策各論——今日からできることを具体的に

基本対策リストの各項目について、実務レベルの進め方を補足します。

初期パスワードの変更は必須ですが、変更後の管理も重要です。機器ごとに異なる強固なパスワードを設定し、その保管方法（紙で金庫、パスワード管理ツールなど）を決めておきます。担当者しか知らない状態は、その人の不在時に対応できないリスクを生むため、責任者との二重管理が基本です。また、退職者が知っているパスワードは、退職時に必ず変更してください。地味ですが、実際のインシデントで頻繁に問題になる項目です。

バックアップの世界では、「3つのコピーを、2種類の媒体に、1つは別の場所に」という原則が知られています。中小企業でこれを完全に実現するのは負担ですが、少なくとも「ネットワークから切り離された媒体に、定期的に、重要データのコピーを保管する」ことは実施してください。外付けハードディスクに週次でコピーし、作業後は必ず取り外す——この単純な運用だけでも、ランサムウェア被害からの復旧可能性は劇的に上がります。

そして最も重要なのが、復元テストです。「バックアップを取っていたが、いざ復元しようとしたら壊れていた」——実際に起きている事態です。年に一度でよいので、実際に復元できることを確認してください。

自社のネットワークに、どんな機器が、どうつながっているか。この把握が対策の前提です。特に確認すべきは、外部との接続点——インターネット回線、設備メーカーのリモート保守回線、取引先との専用線、無線アクセスポイント——です。「いつ誰が引いたか分からない回線」が生きていた、というケースは実際に少なくありません。

台帳を作り（Excelで十分です）、機器名・設置場所・用途・管理者・接続先を記録します。この台帳は、セキュリティだけでなく、IoT導入時のネットワーク設計や、トラブル時の切り分けにも役立つ資産になります。

USBメモリは重要な感染経路ですが、保守作業では必要になることも多く、完全禁止は現実的でない場合があります。実務的なルールとしては、「持ち込むUSBは事前にウイルスチェックを行う」「業務用のUSBを社内で用意し、私物・外部持ち込み品は使わない」「使用の記録を残す」といった段階的な運用が現実解です。設備メーカーの保守作業時にも、この確認を求められるようにしておきましょう。

技術対策をすり抜けた攻撃を止める最後の砦は、人です。教育の要点は3つ——不審なメール・リンクの見分け方、開いてしまった場合の即時報告、そして「報告しても叱られない」という文化です。特に3つ目が決定的に重要です。叱責を恐れて報告が遅れれば、被害は指数関数的に拡大します。「早く報告してくれてありがとう」と言える組織が、最も強い組織です。

近年は、社外から工場のダッシュボードを確認したり、設備の状態を遠隔で監視したりするニーズが高まっています。この利便性を安全に享受するための要点は3つです。第一に、アクセス経路を限定すること（VPNや、クラウドサービス経由の認証されたアクセスに限る）。第二に、多要素認証を導入すること（パスワードだけに頼らない）。第三に、誰がいつアクセスしたかの記録を残すことです。

特に多要素認証は、パスワードが漏洩しても侵入を防げる強力な対策であり、多くのクラウドサービスで標準機能として提供されています。設定に費用はかからないことがほとんどなので、利用可能なサービスでは必ず有効化してください。

セキュリティ対策のロードマップ——段階的に強くする

すべてを一度に実施するのは現実的ではありません。段階的な進め方を示します。

初期パスワードの変更、不要なアカウントの削除、バックアップの取得とオフライン保管、そして「不審なメールは開かない・開いたらすぐ報告」の周知——。いずれも費用はほぼゼロで、今月中に完了できます。この4つを実施するだけで、最も安易な攻撃経路は塞がります。

ネットワークの棚卸しと台帳作成、外部接続点の確認と不要な接続の遮断、VPN機器・ルータのファームウェア更新、USBメモリの運用ルール策定——。多少の作業工数は必要ですが、大きな費用は発生しません。ここで自社の全体像が把握できると、以降の投資判断の精度が上がります。

事務系と工場系のネットワーク分離、境界機器（ファイアウォール等）の導入・設定、重要システムへのアクセス制御の強化——。ここは専門知識と一定の投資が必要になる領域であり、外部のIT事業者との協働が前提になります。IoT導入を計画しているなら、この分離設計とIoTのネットワーク構成をセットで検討すると効率的です。

インシデント対応手順の整備と訓練、定期的な棚卸しと見直し、従業員教育の定例化、監視サービスの活用検討——。セキュリティは一度実施して終わりではなく、環境の変化に応じて更新し続ける活動です。年1回の見直しを定例業務に組み込むことが、形骸化を防ぐ最も確実な方法です。

事例——セキュリティを織り込んでIoTを導入したケース

守秘義務に配慮して一般化した事例をご紹介します。

情報システム部門が「工場ネットワークへの機器追加は認められない」という方針を持っていた金属加工メーカー。当初、IoT導入は暗礁に乗り上げかけましたが、センサーからゲートウェイまでを920MHz帯無線、ゲートウェイからクラウドまでをLTE回線とする、社内ネットワークから完全に独立した構成を提案したところ、情報システム部門の了承を得て導入が実現しました。既存ネットワークに一切影響を与えない構成が、調整のハードルを消した事例です。

IoT導入の検討過程でネットワークの棚卸しを行った食品メーカーでは、過去の設備導入時に引かれたまま使われていない外部接続回線が複数見つかりました。これらを遮断し、あわせて機器のパスワードとファームウェアを整備。IoT導入をきっかけに、工場全体のセキュリティ水準が一段上がりました。「IoT導入はリスクを増やす」という通念とは逆に、導入検討が現状の弱点を可視化し、改善の契機になった事例です。

大手取引先からセキュリティ対策状況の確認を受けた部品メーカーでは、回答作成を機に、責任者の明確化、対策状況の棚卸し、改善計画の策定を実施しました。すべての項目に完璧に対応できていたわけではありませんが、現状と改善計画を正直に示したことで取引先の理解を得られ、結果として社内のセキュリティ意識も高まりました。外部からの要求は負担であると同時に、社内を動かす好機でもあります。

従業員30名ほどの加工メーカーの事例です。専任の情報システム担当はおらず、当初は「うちに何ができるのか」という状態でした。実施したのは、本記事で述べた最優先の3項目——全機器のパスワード変更、外付けハードディスクへの週次バックアップと取り外し保管、そして工場と事務所のネットワークを簡易に分ける設定——だけです。費用は数万円、作業は延べ数日でした。

その後、同業他社がランサムウェア被害で1週間以上生産を停止したという情報が業界内で共有された際、この会社の経営者は「うちは最低限の備えがある」と言えたそうです。完璧な対策ではありません。しかし、「何もしていない」状態からの脱却は、規模も予算も問わず可能である——この事例が示すのは、その事実です。

セキュリティと事業継続（BCP）——「止まった後」を考える

セキュリティ対策の議論は「侵入を防ぐ」ことに集中しがちですが、経営的にはもう一つの視点が欠かせません。それは、「万一止まったとき、どう事業を継続するか」という事業継続計画（BCP）の視点です。

多くの製造業は、地震・水害・火災を想定したBCPを持っています。サイバー攻撃による生産停止も、原因が違うだけで「工場が止まる」という結果は同じです。既存のBCPの枠組みに、サイバーインシデントを一つのシナリオとして追加する——これが、最も現実的で効率的なアプローチです。

具体的には、次の状況を想定して手順を考えておきます。基幹システムが使えない状態で、受注・出荷をどう回すか（紙とFAXでの暫定運用手順）。生産設備の制御PCが使えない場合、代替手段はあるか。顧客・取引先への連絡は誰が、どのタイミングで、何を伝えるか。復旧までの期間、生産をどう調整するか——。

これらを事前に考えておくだけで、実際の混乱時の初動はまったく変わります。そして興味深いことに、この検討は「そもそもどの業務が止まると最も困るか」という事業の急所を明らかにするため、平時の経営にも示唆を与えてくれます。

すべてを同時に復旧することはできません。何から復旧させるか——生産の再開が最優先か、受注情報の確保か、品質記録の復元か。この優先順位を平時に決めておくことが、混乱時の意思決定を速めます。

インシデント発生時、取引先への報告のタイミングと内容は、極めて難しい経営判断になります。原則としては、影響が及ぶ可能性がある段階で早めに、事実と対応状況を正確に伝えることが信頼につながります。隠していたことが後に判明する事態は、被害そのものより深刻な信用の毀損を招きます。この方針を、平時に経営として確認しておいてください。

ここまで述べてきたすべての備えの中で、最も基本的かつ最も効果的なのが、切り離されたバックアップです。これがあれば、最悪の事態でも事業を再開できます。逆にこれがなければ、どれほど高度な防御を敷いていても、一度突破された時点で事業の存続が危うくなります。

「バックアップを取り、切り離して保管し、復元できることを確認する」——この地味な作業こそが、工場セキュリティにおける最強の対策です。もし本記事から一つだけ持ち帰るとすれば、この一点にしていただきたいと、私たちは考えています。

セキュリティを取り巻く環境変化——なぜ「いま」なのか

セキュリティ対策の優先度が上がっている背景を、経営環境の観点から整理します。

大手製造業がサプライチェーン全体のセキュリティ強化に取り組む中、調達先に対する要求は年々具体化しています。チェックシートによる対策状況の確認、契約条項へのセキュリティ要件の追加、インシデント発生時の報告義務——。これらに対応できないことが、取引の継続や新規受注の障害になる可能性は、現実のものになりつつあります。

逆に言えば、対策を整えていることは差別化の材料にもなります。「セキュリティ体制が整っている取引先」という評価は、価格以外の競争軸として機能し始めています。

政策面でも、サプライチェーンの強靭化や経済安全保障の観点から、製造業のセキュリティへの関心は高まっています。重要産業に関わる企業には、より高い水準の対策が求められる流れにあり、その要求は取引を通じて中小企業にも波及していきます。

サイバー保険の普及に伴い、保険会社が加入企業に一定の対策を求めるケースも増えています。また、金融機関が融資審査においてサイバーリスクを考慮する動きも見られます。セキュリティが「情報システムの話」から「経営リスク管理の話」へと位置づけを変えつつある証左です。

環境が変化しても、やるべきことの本質は変わりません。守るべきものを把握し、分離して守り、基本を徹底し、被害時に復旧できる備えをする——。外圧に応えるための形式的な対応ではなく、自社の事業を守るための実質的な対策を積み上げること。それが、結果として取引先の要求にも応えられる状態をつくります。

「取引先に言われたからやる」対策は、書類は揃っても実態が伴わないことが多いものです。一方、「自社の生産を止めないためにやる」対策は、実効性を持ち、そして対外的にも説得力を持ちます。動機の置き方一つで、同じ投資の価値はまったく変わってくるのです。

よくある誤解を正す——工場セキュリティの通念を疑う

現場でよく聞かれる認識のうち、修正が必要なものを整理します。

ウイルス対策ソフトは重要ですが、万能ではありません。新種のマルウェアや、正規の機能を悪用した攻撃は検知をすり抜けることがあります。また、工場の制御PCには、動作への影響を懸念して対策ソフトが入っていないケースも珍しくありません。多層的な備え——分離、バックアップ、監視、教育——の一部として位置づけてください。

技術的な実装は専門的な役割ですが、ルールの決定、優先順位づけ、予算配分、インシデント時の判断は経営の仕事です。また、日々の運用（パスワード管理、USBの扱い、不審メールの報告）は全員の仕事です。「情報システムに任せておけばよい」という認識のまま被害に遭った企業は、決して少なくありません。

不適切な対策は確かに支障を生みます。しかし本記事で述べた基本対策——パスワード変更、バックアップ、ネットワーク分離、更新の適用——の多くは、生産への影響をほとんど与えずに実施できます。「セキュリティ対策＝現場の負担増」というイメージ自体を、まず疑ってみてください。

脆弱性は次々に発見され、攻撃手法も変化します。年に一度の棚卸しと見直しを、定例業務として組み込むことが必要です。逆に言えば、年1回の見直しを回していれば、大きく取り残されることはありません。

適切な備え——特にオフラインバックアップと復旧手順——があれば、被害からの復旧は可能です。実際、事前準備のあった企業は数日で復旧し、なかった企業は数週間から数カ月を要した——という差が、被害事例の分析から見えてきます。準備が結果を分けるのであって、被害そのものが結末を決めるわけではありません。

セキュリティ文化を育てる——技術の前に、人と組織

最後に、対策を持続させるための組織づくりについて述べます。

セキュリティは、突き詰めれば人の行動の集積です。パスワードを使い回さない、不審なメールを開かない、開いてしまったらすぐ報告する、USBを勝手に挿さない、対策を面倒がらない——。これらは技術ではなく、習慣であり文化です。

文化を育てるうえで最も効果があるのは、経営者の姿勢です。経営者自身がパスワードを適切に管理し、セキュリティの話題を経営会議で扱い、報告してきた従業員に感謝を伝える——。「セキュリティは重要だ」という言葉より、こうした行動のほうが、はるかに雄弁に組織へ伝わります。

そして、失敗を責めない文化です。不審なメールを開いてしまった従業員を叱責すれば、次からは報告されなくなり、発見が遅れ、被害が拡大します。「早く言ってくれてありがとう」——この一言が言える組織は、技術対策に多額を投じた組織より、実は強いのかもしれません。

工場のデジタル化が進むほど、セキュリティは経営の基礎体力になっていきます。難しく考えすぎず、しかし後回しにもせず、できることから着実に——。それが、データ活用の恩恵を安心して享受するための、最も確実な道です。

自社のセキュリティ現在地を診断する——10の問い

対策を始める前に、自社の現在地を確認しましょう。次の10問に「はい」で答えられる数が、現在の到達度の目安になります。

問1：工場内のネットワークに、どんな機器がどうつながっているかを示す資料がありますか。

問2：インターネットや外部との接続点をすべて把握し、不要なものは遮断していますか。

問3：ネットワーク機器・IoT機器の管理パスワードは、初期値から変更されていますか。

問4：VPN機器・ルータのファームウェアは、最新の状態に保たれていますか。

問5：重要なデータのバックアップを取得し、ネットワークから切り離して保管していますか。

問6：そのバックアップから実際に復元できることを、確認したことがありますか。

問7：事務系ネットワークと工場系ネットワークは、分離されていますか。

問8：USBメモリの持ち込み・使用について、ルールがありますか。

問9：セキュリティに関する責任者と、インシデント時の連絡先が決まっていますか。

問10：従業員に対して、不審メールへの注意と報告の重要性を伝えていますか。

「はい」が3つ以下なら、まず問3・問5・問10（費用ゼロで今月中にできる対策）から着手してください。4〜7なら、問1・問2・問7（現状把握と構造的対策）が次の課題です。8以上なら基本は整っており、運用の定例化と高度化の段階に進めます。

この診断の価値は、点数そのものではなく、「何ができていないか」が具体的に見えることにあります。漠然とした不安を、対処可能な項目のリストに変換する——それが、対策の第一歩です。

診断の結果は、担当者の胸に留めず、経営レベルで共有してください。セキュリティ対策の多くは、費用より優先度と決定の問題です。「やるべきだと分かっているが、後回しになっている」——この状態を解消できるのは、経営の意思だけです。

そして、対策の進捗を年1回でよいので経営会議の議題にしてください。定期的に光が当たる仕組みがあれば、対策は自然と前に進みます。逆に、誰も見ていない状態では、どんな計画も日常業務に押し流されていきます。

おわりに——安心してデータを活かすために

工場のデジタル化は、これから加速していきます。センサーが増え、データが増え、つながる範囲が広がる——その流れの中で、セキュリティは「特別な取り組み」ではなく「当たり前の基礎作業」になっていくでしょう。

そのとき、慌てて対策を積み増す企業と、早い段階で基本を固めておいた企業では、負担も安心感もまったく異なります。いま、IoT導入を検討しているタイミングは、セキュリティの基礎を整える絶好の機会でもあります。

繰り返しになりますが、必要なのは高度な専門知識ではありません。守るべきものを知り、分けて守り、基本を徹底し、復旧できる備えを持つ——。この4つを、できるところから積み上げていけば十分です。

データ活用の恩恵を、安心して受け取るために。本記事が、その一助になれば幸いです。

セキュリティ体制のつくり方——専任者がいない企業のために

「専任のセキュリティ担当を置く余裕はない」——中堅・中小製造業の現実です。それでも機能する体制の考え方を示します。

まず必要なのは、高度な技術者ではなく、責任の所在を明確にすることです。セキュリティに関する意思決定を行う責任者（経営層または管理部門の責任者）と、実務窓口となる担当者（兼務可）を決める。「誰の担当でもない」状態が、最も危険な状態です。

責任者の役割は、技術的な判断ではありません。ルールを決めること、予算を承認すること、インシデント発生時に判断すること、そして「セキュリティは重要である」というメッセージを組織に発信することです。これらは専門知識がなくても果たせる役割であり、経営層にしかできない役割でもあります。

技術的な部分は、外部の力を借りるのが現実的です。ネットワーク構成の設計や機器の設定は、取引のあるIT事業者やネットワーク工事会社に依頼できます。定期的な脆弱性の確認や、インシデント時の支援は、セキュリティ専門事業者との契約という選択肢もあります。

また、公的な支援も充実しています。IPA（情報処理推進機構）は中小企業向けのセキュリティ対策の指針や相談窓口を提供しており、地域の商工会議所やよろず支援拠点でも相談を受け付けています。「サイバーセキュリティお助け隊サービス」のように、中小企業向けに手頃な価格で監視・相談・保険をパッケージ化したサービスも登場しています。まずはこうした窓口に相談してみることが、費用をかけずに現在地を知る良い方法です。

近年、大手取引先から自社のセキュリティ体制について確認を求められるケースが増えています。チェックシートへの回答、対策状況の説明、場合によっては認証の取得——。これらは負担ですが、同時に「自社の対策を棚卸しする機会」でもあります。

対応の姿勢としては、「完璧を装う」のではなく「現状を正確に伝え、改善計画を示す」ことが結果的に信頼を得ます。すべての項目に完璧に対応できている中小企業は多くありません。重要なのは、リスクを認識し、優先順位をつけて改善を進めている姿勢が示せることです。

IoT導入は「リスクを増やす」のか——正しい理解

最後に、本記事の出発点に戻ります。IoT導入は、本当にリスクを増やすのでしょうか。

答えは「構成次第」です。制御系ネットワークに無防備に機器を追加し、初期パスワードのまま放置し、インターネットに直結させれば、確実にリスクは増えます。一方、読み取り専用の構成で、制御系とは独立した通信経路を使い、機器の基本設定を適切に行えば、リスクの増加は極めて限定的です。

そして忘れてはならないのは、「導入しないこと」にもリスクがあるという事実です。データを活用できない工場は、生産性の面でも、取引先の要求への対応力の面でも、競争力を失っていきます。セキュリティを理由にデータ活用を諦めることは、リスクを避けているようで、別のリスクを取っているにすぎません。

正しい問いは「つなぐか、つながないか」ではなく、「どうすれば安全につなげるか」です。そしてその答えは、本記事で述べたとおり、決して手の届かない専門技術ではありません。基本を押さえた構成と、優先順位のついた対策——これで、リスクは十分に管理可能な水準に収まります。

よくある質問（FAQ）

いいえ。USBメモリや保守用ノートPCの持ち込みによる感染経路が存在します。実際、インターネット非接続の環境で被害が発生した事例も報告されています。物理的な持ち込み経路のルール整備が必要です。

最優先の対策（パスワード変更・バックアップ・不要接続の遮断・従業員周知）は、ほぼ費用ゼロで実施できます。費用が発生するのは、ネットワーク分離のための機器導入と設定（数十万円〜）、監視サービスの契約（月額数万円〜）といった段階からです。「予算がないから何もできない」ということはありません。

狙われます。攻撃の多くは特定企業を狙い撃つのではなく、脆弱性を持つ機器を無差別に探索する形で行われるためです。統計上も、被害企業には中小企業が相当数含まれます。

並行して進めるのが現実的です。最優先の基本対策（パスワード・バックアップ・不要接続の遮断）は数週間で完了できるため、IoTのPoC準備と同時に実施できます。むしろ、IoT導入の検討がセキュリティ現状把握の良い機会になるという側面もあります。

必要な機能ですが、常時接続の状態は避けるべきです。「必要なときだけ開通し、作業後は遮断する」運用、接続時の申請・記録、接続元の限定——といった管理を、設備メーカーと取り決めてください。設備メーカー側が侵害された場合に自社が影響を受けるリスクも、認識しておく必要があります。

一概には言えません。適切に運営されているクラウドサービスのセキュリティ水準は、多くの中小企業の自社サーバーより高いのが実情です。確認すべきは、通信の暗号化、アクセス権限管理、事業者のセキュリティ認証、データの取り扱い条項です。むしろ「自社サーバーだから安全」という思い込みのほうが危険な場合があります。

対策を尽くしたうえでの残余リスクへの備えとして、検討する価値があります。復旧費用、事業中断による損失、第三者への賠償などが補償対象になり得ます。ただし保険は対策の代わりにはなりません。加入の際は、補償範囲と免責条件、対策の実施が加入条件になっていないかを確認してください。

IPA（情報処理推進機構）の中小企業向け相談窓口、警察のサイバー犯罪相談窓口、地域の商工会議所やよろず支援拠点、そして取引のあるIT事業者。中小企業向けの「サイバーセキュリティお助け隊サービス」のような支援メニューもあります。まず相談し、現在地を知ることから始めてください。

実施した対策、日付、担当者を記録した一覧表（Excelで可）を作成し、更新し続けてください。取引先からの確認要求への回答、監査対応、そして自社の改善管理のすべてに使えます。「やっているが記録がない」状態は、対外的には「やっていない」と同じ扱いになりがちです。

不可能です。目指すべきは、リスクをゼロにすることではなく、①攻撃されにくくする、②被害に早く気づく、③被害から早く復旧する——この3つの能力を高めることです。特に③のバックアップと復旧計画は、あらゆる対策の最後の砦として、必ず整えておいてください。

セキュリティ用語ミニ辞典

・OT（Operational Technology）：工場の制御・運用技術。可用性（止めない）が最優先。

・IT（Information Technology）：情報システム。機密性が最優先。

・ランサムウェア：データを暗号化し身代金を要求するマルウェア。製造業の被害が多い。

・標的型攻撃：特定の組織を狙い、業務メールを装うなどして侵入する攻撃。

・サプライチェーン攻撃：取引先や委託先を経由して本命の企業を狙う攻撃。

・ネットワーク分離：重要度に応じてネットワークを分け、境界で通信を制限する対策。

・ファイアウォール：ネットワークの境界で通信を制御する機器・機能。

・VLAN：物理的な配線を変えずに論理的にネットワークを分ける技術。

・脆弱性：ソフトウェア・機器に存在する欠陥。放置すると侵入経路になる。

・ファームウェア：機器を動かす組み込みソフト。更新により脆弱性を修正する。

・インシデント：セキュリティ上の事故・事象。発生時の初動が被害の大きさを決める。

・オフラインバックアップ：ネットワークから切り離して保管するバックアップ。復旧の生命線。

まとめ——「つながない」ではなく「安全につなぐ」

本記事の要点を整理します。

・工場のOTはITと最優先事項が違う（止めないことが最優先、機器は10〜20年使う）。ITの常識をそのまま持ち込まない

・侵入経路は5つ（インターネット・メールWeb・USB・取引先・IoT機器）。大半は「基本の不徹底」を突かれる

・製造業は狙われやすく、被害企業には中小企業が多数含まれる。「うちは狙われない」は誤り

・最も費用対効果の高い対策はネットワーク分離。IoTデータは制御系と独立した経路（LTE等）で外に出す

・最優先の基本対策は、初期パスワード変更・オフラインバックアップ・ネットワーク分離。多くは費用ゼロで始められる

・インシデント時は、隔離（LANを抜く）→連絡→バックアップから復旧。身代金の支払いは推奨されない

工場IoTのセキュリティは、専門家だけの難解な世界ではありません。基本を押さえた構成と、優先順位のついた対策——それだけで、リスクは管理可能な水準に収まります。そして、リスクを管理できるなら、データ活用の利益を諦める理由はどこにもありません。

「つなぐか、つながないか」で悩む時代は終わりました。問うべきは「どうすれば安全につなげるか」です。本記事が、その問いに答えるための出発点になれば幸いです。

なお、繰り返しになりますが、本記事は一般的な考え方の整理であり、個別の環境に応じた設計・実装は専門のセキュリティ事業者や情報システムの専門家にご相談ください。

船井総合研究所では、中堅・中小製造業に特化した「工場の小規模DX」コンサルティングとして、セキュリティに配慮したIoT構成の検討、情報システム部門との調整支援、導入から運用定着までを伴走支援しています。「安全にデータ活用を始めたい」というご相談も、無料経営相談で承っています。

▼無料経営相談のお申し込みはこちら

https://www.funaisoken.co.jp/form/consulting?siteno=S111