近年、情報技術を意味する「IT (Information Technology)」に対し、産業プロセスや機器の制御・監視を自動化する技術を「OT (Operational Technology)」と呼ばれるようになっています。もちろんOTという言葉が生まれる前から社会インフラを支える制御システムは存在していました。しかし、これらの仕組みをインターネットに接続して遠隔制御・監視するようになり、新たに“セキュリティ”という課題に向き合うことになりました。

そこで今回はOTセキュリティとは何か、ITセキュリティとはどこが違うのかについて解説します。

OTセキュリティが注目される背景

日本政府が提唱する「Society5.0」では、サイバー空間と物理空間を融合させてさまざまな課題を解決し、社会や経済の発展を目指しています。また、製造業を中心とした産業界でも「インダストリー5.0（Industry 5.0）」によって産業プロセスやサプライチェーンのDXを推進しており、もはやOTとITは相互に接続することが必然となりつつあります。しかし、サイバー空間と物理空間を融合させることは、OTにおいてもこれまで以上にサイバーセキュリティを意識する必要があるということと同義です。

かつてOTの世界では、OT設備を製造しているメーカー独自の技術やプロトコルを用いて制御されていました。しかし、ITと相互接続するため、OTにおいてもITと同様のオープンプラットフォームやプロトコルを採用する動きが加速しています。WindowsやLinuxベースの制御システムやデバイスが増加し、Ethernetや無線LANあるいは5Gなどの移動体通信を用いてネットワークに接続するようになったことで、OTもサイバー攻撃の標的となったのです。

経済産業省でも2022年に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を策定して公開しています。このガイドラインには「いかなる工場においても、サイバー攻撃を受ける可能性があることを認識する必要がある」と記載されています。

また、業種によっては、既にOTセキュリティ対策が国際標準になっていることもあります。

たとえば自動車産業の場合、「自動車基準調和世界フォーラム(WP29)」において、車両のサイバーセキュリティやソフトウェア更新に関わる規則が定められています。さらに、この規則に基づいてISO/SAE 21434も定められており、2026年5月以降は全ての車両に対してOTセキュリティ適用が義務化されることになっています。

OTへのサイバー攻撃は社会に大きな影響を与える

物理的なプロセス、デバイス、インフラを監視・制御するハードウェアおよびソフトウェアを制御するOTがサイバー攻撃の被害に遭うと、社会に深刻なダメージを与えることも少なくありません。ランサムウェア攻撃の対象となるケースも多数報告されており、日本においてもサイバー攻撃による工場の製造ライン停止、物流拠点の制御システム停止などが話題となりました。

おそらく今後もOTへのサイバー攻撃は増加していくでしょう。エネルギーや交通などクリティカルな社会インフラを狙う攻撃も増えており、こうしたサイバー攻撃が成功してしまえば、社会にどれだけの影響を与えることになるのか、想像もつきません。

また、物理的な損失が大きいため国家、あるいは組織への攻撃手段になることもあります。破壊工作だけを目的とする場合、爆弾を投下してインフラの拠点を攻撃するよりも手軽でコストが安く、反撃されるリスクも少ないことから、サイバー攻撃の専門部隊があると言われています。

また、OTには「制御に関する情報」や「設計に関する情報」など極めて重大な機密情報が管理されていることも多いため、産業スパイによる不正侵入や情報漏洩も少なくないと言われています。

最初に実施すべきセキュリティ対策はリスクの把握

これはOTシステムに限ったことではありませんが、セキュリティ対策を推進する場合、最初に実施すべきことは「サイバーリスクの把握」です。OTシステムのDXを検討する段階で、どのようなサイバーリスクがあるかを確認しているとは思いますが、そうでない場合には早急に確認することが大切です。また、時間が経てばサイバーセキュリティの情勢も変化していくため、サイバーリスクについては常に見直しが必要です。

ITセキュリティとOTセキュリティの最も大きな違いは、OTシステムに接続される設備の多くが長期間に渡って稼働し続けることにあります。ITに接続するPCなどのデバイスは数年で更新されますが、OTの設備は10年以上、下手をすれば20年を超えても使い続けることがあります。そのため、今でも工場内にサポート期間の終了した古いWindowsで動く設備が残っていることも少なくありません。新しいOSが使用されている場合でも、制御システムという性質からシステムのアップデートや再起動を気軽に実施できないという課題もあります。

これらの問題を踏まえた上で、次のようなことを検討します。

OTを構成する機器には何があるか
それぞれの機器にインストールされているOSおよびアプリケーションは何か
どのようなネットワーク構成になっているか

OTの資産管理を実施しつつ、ネットワーク構成を明確化する作業を実施していくと、それぞれが抱えるリスクも明確になっていきます。また、管理者が把握していなかった機器が見つかることもしばしばあり、予想もしていなかったところにリスクが潜んでいるというケースもあります。

ITとOTの分離、および監視運用の徹底

現状のサイバーリスクを把握した後に実施すべきことは、ITとOTのネットワークを分離 (セグメンテーション)して、境界を行き来する通信経路を絞り込んで監視します。つまり、外部からの不正侵入のリスクを最小限に抑えつつ、アクセスログの監視や不正侵入を検知するという仕組みの導入です。

ただし、ITと同様にOTでも不正侵入を完全に遮断できるわけではありません。そのため、OTの環境においても、ゼロトラストなセキュリティ対策が必要になります。古い設備 (レガシーな仕組み) が残っていると思ったようにセキュリティ対策が思うように進まないこともあるため、設備メーカーやOT分野を得意とするセキュリティベンダーとの連携が重要になります。

外部からの不正侵入以外にも、悪意ある内部ユーザーによって、情報が持ち出されたりマルウェアに感染させられたりすることもあります。そのためOTシステムだけでなく、監視カメラなどの導入など物理的な対策もOTセキュリティでは重要になることがあります。

OTセキュリティリスクは、規模の大小を問いません。攻撃者は小さな町工場でも大規模プラントでも同じように狙っています。むしろ、最近のランサムウェア攻撃では、サプライチェーンで繋がったセキュリティ対策が十分ではない小さな設備を狙う攻撃が多く観測されています。つまり、OTシステムを抱えるすべての企業や組織が、OTセキュリティ対策を実施しなければならないということです。

中小企業では大規模なセキュリティ対策を実施するのは難しい場合もありますが、OTを得意とするセキュリティサービスを積極的に利用することで、高度なセキュリティ対策も可能になるでしょう。

まとめ

産業プロセスを制御するOT (Operational Technology)にもセキュリティ対策が必要
OTのセキュリティ対策は現状セキュリティリスクの把握から始める
企業や組織の規模に関係なく攻撃者はOTを狙っている