【徹底解説】工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン

1. なぜ今、工場にセキュリティガイドラインが必要なのか？

製造業収益改善パートナーの北澤です。日本の製造業が厳しいグローバル競争を勝ち抜き、ビジネスの優位性を保つために、工場のデジタルトランスフォーメーション（DX）やスマート化はもはや避けて通れない道です。しかし、その変革の裏で、工場をピンポイントで狙うサイバー攻撃の脅威が急激に牙を剥いています。まずは、経済産業省がこのガイドラインを策定した背景と、誰がこれを読み、どう動くべきかを紐解いていきましょう。

崩れ去った「繋がっていないから安全」という神話

これまで、産業制御システム（ICSやOT）を中心とした工場システムは、インターネットなどの外部ネットワークからは完全に切り離された「内部ネットワーク」であることを前提に設計されてきました。現場の感覚としても「外部と繋がっていないのだから、サイバー攻撃など無縁だ」という認識が一般的でした。

しかし状況は一変しています。IoT機器の導入や自動化が進み、個別の機械から稼働データを吸い上げて生産性や品質の向上に直結させる「スマート化」が加速しています。クラウドの活用やサプライチェーンをまたいだデータ連携が新たな利益を生み出す一方で、工場ネットワークをインターネットへ繋ぐ機会が必然的に増え、これまでにないセキュリティリスクが工場内に持ち込まれているのです。

恐ろしいのは、インターネット接続が少ないはずの工場ですら、不正侵入の被害に遭っているという現実です。攻撃の手口は極めて高度かつ巧妙化しており、機密情報や身代金（ランサムウェア）を狙って意図的に工場を狙い撃ちにするケースもあれば、攻撃者が無差別にバラ撒いた罠に「たまたま自社の工場が引っかかってしまった」というケースもあります。つまり、「うちはクローズド環境だから安全だ」という過去の常識はすでに通用せず、いかなる工場も攻撃のターゲットになり得るという厳しい現実を直視しなければなりません。

IT部門・生産部門・経営層がスクラムを組むために

こうした危機的状況を受け、各企業が自ら防衛策を練り、産業界全体として工場システムのセキュリティレベルを底上げするために本ガイドラインは生まれました。制御システムの守り方を検討するプロセスと、実践的な手引きが示されているのが最大の特徴です。

想定されている読者層は幅広く、以下の通りです。

• IT関係部門（情報システム、セキュリティ）
• 生産関係部門（生産技術、生産管理、工作）
• 戦略マネジメント部門（経営企画）
• 監査・リスク管理部門
• DX担当部門
• 機器システム提供ベンダ、機器メーカ

現場で対策を進める上で最大の壁になりやすいのが、「IT部門」と「生産部門」の価値観の違いです。IT部門がシステム全体の性能やデータ保護（機密性）を正論として重視するのに対し、生産現場は日々の「製造遅延の防止」や「絶対的な安全と稼働の維持」に命を懸けています。この立場の違いを互いに理解し、泥臭くコミュニケーションを取りながら対策を練り上げることが成功の鍵となります。

また、本ガイドラインは現場の実務担当者向けに書かれていますが、セキュリティ対策はボトムアップだけでは限界があります。経営層（CTO、CIO、CISO等）が強力なリーダーシップを発揮し、体制を整え、明確な指示を出すことが不可欠です。実務担当者はこのガイドラインを武器に経営層と対話し、全社一丸となったプロジェクトへと昇華させることが求められています。

2. 工場を取り巻くサイバー脅威の現状と致命的なリスク

対策を打つ前に、まずは「敵」と「自分たちが失うかもしれないもの」の大きさを正しく測る必要があります。ここでは、現場に迫るサイバー脅威のリアルと、スマート化が生み出す新たな隙、そしてそれらが事業に与える致命的なダメージについて解説します。

ランサムウェアが引き起こす「工場の心肺停止」

近年、工場を狙うサイバー攻撃の中でも、データを勝手に暗号化し「元に戻してほしければ金を払え」と要求するランサムウェアの被害が甚大です。ガイドラインでも、経営を揺るがすような恐ろしい事例が報告されています。

• 半導体製造大手の事例（2018年）： 工場内のPC約1万台が一斉にマルウェアに感染し、操業が完全にストップ。なんと約190億円もの機会損失が発生しました。
• アルミニウム製造大手の事例（2019年）： 情報システム内にあった生産管理システムがランサムウェアに感染。その被害は海外拠点にまで波及して操業停止に陥り、数十億円規模の財務的ダメージを受けました。

「うちは社内LANに直接繋げていないから大丈夫」とタカをくくってはいけません。現実の現場では、保守業者の持ち込みPCや、従業員が何気なく使ったUSBメモリ、あるいは連携している社内情報システムを足場にして、間接的にマルウェアが工場内へ侵入するケースが多発しています。

セキュリティの崩壊は「事業継続」と「SQDC」の死を意味する

製造業において、サイバー攻撃は「IT部門のパソコンのトラブル」ではありません。工場の命脈であるSQDCと、事業の存続そのものを破壊する重大な経営課題です。攻撃を受ければ、我々が日々血の滲む思いで守り抜いている価値軸が根底から覆されます。

• 事業／生産継続（BC）： ラインの停止による生産ストップ。さらにサプライチェーン全体へ被害を波及させる加害者となるリスク。
• 安全確保（S）： 設備の暴走や誤作動による、従業員の人身事故や近隣住民を巻き込む災害の発生。
• 品質確保（Q）： データの改ざんや不正制御による、製品の品質劣化や大量の不良品発生。
• 納期遵守（D）： 生産計画の崩壊に伴う致命的な納期遅延。
• コスト低減（C）： 復旧作業や機会損失による、想定をはるかに超える巨額コストの流出。

スマート化が切り拓く「新たな侵入経路」

生産性向上や付加価値を生み出すための「スマート化」は、サイバー空間と現実（フィジカル）空間を強固に結びつけます。しかしそれは同時に、新たなリスクの扉を開くことでもあります。

• 外部接続の増加： IoTでのデータ収集や遠隔保守により、外と繋がる接点が増え、攻撃者の侵入ルートが拡大します。
• 制御と情報の連携： 工場システム（OT）と社内システム（OA等）を繋ぐことで、社内で感染したウイルスが工場へと流れ込む危険性が生じます。
• サプライチェーンの死角： 外部サービスや他社システムとの連携が進むと、自社だけでは管理しきれない領域が生まれます。他社のインシデントが自社に飛び火したり、逆に自社が踏み台にされて責任問題に発展したりするリスクが急増します。

スマート化の果実を得るためには、これらのリスクが背中合わせであることを強く認識し、相応の守りを固めることが絶対条件です。

---

3. ガイドラインが想定する「工場」と「スマート工場」の全体像

やみくもにセキュリティ対策を打っても無駄な投資に終わります。まずは「自分たちの工場のどこを守るのか」、そして「スマート化で工場がどう進化していくのか」という全体像を俯瞰しましょう。

守るべきはITではなく「止まらないOT」

本ガイドラインが絶対的な保護対象としているのは、新設・既設を問わず工場で動いている「産業制御システム（ICS/OT）」です。事務作業用の一般的な情報システム（IT）は対象外としています。 なぜなら、ITシステムが「データの機密性」を最優先するのに対し、工場のOT環境は「機械が絶対に止まらないこと（可用性）」と「人や環境の安全を守ること」が至上命題だからです。この前提条件が全く異なるため、工場には工場特有のセキュリティアプローチが求められます。

自社に落とし込むための「モデル工場」

製造業と一口に言っても千差万別ですが、対策を具体化するためにガイドラインでは「電子機器メーカのプリント基板製造工場」を想定モデルとして置いています。

• 組織構成： 生産技術、生産管理、工作、情報システムなど、役割の違う6つの部門。
• 生産ラインと業務： 自動化されたラインで複数機種を生産し、段取り替えや部材補充は人が行うリアルな運用。
• 扱うデータ： 生産指示、レシピ、実績、設備状態、在庫など、工場を動かす血液となるデータ群。
• ゾーン（領域）の分割： 工場全体を「生産現場」「自動搬送」「自動倉庫」「生産管理」「OA」といった役割ごとのブロック（ゾーン）に切り分けて守るという考え方。

このモデル工場を「ひな形」として使い、自社の構成や業務フローに置き換えて情報を整理していくのが最も確実なアプローチです。

「スマート工場」への進化とリスクの階段

経済産業省は、データの活用度合いに応じてスマート化の進化を以下のレベルに定義しています。

• レベル0（従来の工場）： データが活用されていない状態。
• レベル1（収集・蓄積）： データを集めて「見える化」し、ノウハウとして貯める段階。
• レベル2（分析・予測）： 膨大なデータから事象をモデル化し、将来予測を行う段階。
• レベル3（制御・最適化）： 予測を基に、システム自らが最適な判断と制御を行う段階。
• レベル4（動的な自律制御）： 複数の工場やサプライチェーンが繋がり、全体が自律的に制御される究極の段階。

スマート化の本当の狙いは、最新ツールを入れることではなく、「不良率の低減」「コスト削減」「稼働率向上」「リードタイム短縮」といった経営課題を解決することです。しかし、レベルが上がりサイバー空間との融合が進むほど、セキュリティリスクも跳ね上がります。自社がどのレベルを目指すのかを見極め、それに比例したセキュリティ対策をセットで構築しなければなりません。

4. 【実践編】セキュリティ対策企画・導入の3ステップ

ここからは具体的な実践プロセスです。工場のセキュリティは、場当たり的なツールの導入ではなく、事業視点に基づき、組織全体で計画的に進める必要があります。ガイドラインが示す3つのステップを確実に踏んでいきましょう。

ステップ1：現状把握（内外要件や業務、保護対象の整理）

まずは「己を知る」ことから始めます。守るべき対象とリスクを徹底的に洗い出します。

• 経営目標とBCPの確認： スマート化の目的とセキュリティ要件を紐付けます。システムが止まった際の判断基準や影響範囲を含め、事業継続計画（BCP）を見直すことが重要です。
• 外部要件と内部体制の把握： 法令や業界のルール（外部要件）を確認するとともに、クラウド事業者や保守ベンダ、さらには社内のIT部門・生産部門の連携体制（内部要件）を整理します。
• 業務の棚卸しと重要度の設定： 現場のあらゆる業務を洗い出し、「製品の安定生産にどれほど直結するか」というシビアな視点で重要度をランク付けします。データ連携などの新しい業務も漏らさずピックアップします。
• 保護対象と「ゾーン」の整理： 業務を支えるネットワーク、機器、データを保護対象としてリストアップします。そして、重要度が同じ領域を「ゾーン（例：生産現場ゾーン）」としてブロック分けし、防御の境界線を引きます。
• 想定される脅威の整理： ゾーンごとに、機器破壊やランサムウェア感染が起きた際、品質や納期にどんな致命的なダメージがあるかを想定します。

ステップ2：セキュリティ対策の立案

ステップ1の情報を基に、どこから手をつけるか優先順位を決めて具体的な対策を打ちます。

• 対策方針の策定： コストには上限があります。すべてを完璧に守るのではなく、「業務の重要度」と「脅威の発生確率」を掛け合わせてセキュリティ要求レベルを算出し、優先して守るべき急所を見極めます。
• システム構成面の対策（多層防御）：
• ネットワーク： ファイアウォール（FW）の設置やVLANによるネットワーク分割、必要な通信しか通さない設定の徹底。
• 機器： 使っていない通信ポートの物理的・論理的な封鎖、持ち込みUSBの検査、アンチウイルス導入やパッチ適用。
• プログラム・サービス： 外部のクラウドやパッケージソフトを利用する際のセキュリティ仕様の確認、厳格なアクセス権限管理。
• 物理面の対策： サイバー攻撃以前に、物理的な備えも必須です。建屋への入退室管理、UPSや自家発電による電源確保、空調障害対策、機器の盗難防止・固定などを確実に行います。

ステップ3：対策の実行とPDCAサイクルの実施（運用・改善）

システムは導入して終わりではありません。環境の変化に合わせて守りをアップデートし続ける泥臭い運用が必要です。

• ライフサイクルでの対策（OODAプロセスの活用）： 「インシデントは必ず起きる」という前提に立ち、被害を最小限に抑える運用が求められます。システムログを常に監視（Observe）し、分析（Orient）し、対処を決定（Decide）し、行動（Act）するOODAプロセスを回せる手順を整備します。
• 組織体制と人材育成： IT部門とOT部門が垣根を越えて連携できる体制を作り、有事の対応訓練や従業員へのセキュリティ教育を根気強く続けます。
• サプライチェーンを考慮した対策： 自社だけ守っても意味がありません。
• 調達・委託： 機器購入や保守委託の際、セキュリティ要件を契約書に明記する。
• 汎用品・ソフト管理： オープンソースソフトウェア（OSS）等の脆弱性情報を追いかける。構成要素を可視化するSBOM（ソフトウェア部品表）の活用も有効です。
• クラウド利用： 障害発生時の責任の所在やデータ取り扱いルールを事前に確認し、合意しておく。

5. 工場の「スマート化」を進める上での重要ポイント

スマート化（IoT導入、クラウド連携、サプライチェーン全体のデータ共有など）に踏み込む場合、従来とは次元の違うリスクへの警戒が必要です。ガイドラインのAppendixでも示されている、見落としてはならない重要な視点を解説します。

技術の進化に伴う「ゾーン設定」のアップデート

スマート化によって新しいシステムが入ったり、外部ネットワークと繋がったりすると、データの流れが劇的に変わります。それに合わせて、防御の境界線である「ゾーン設定」を常に見直す必要があります。

• 業務視点での再整理： 物理的な機器の配置だけでなく、「どの業務で、どんなシステムとデータが動いているか」というサイバー空間の視点を含めて、ゾーン内の保護対象をアップデートします。
• ゾーン間の関係性の見直し： 新サービス導入により、生産指示や入出庫データがゾーン間をどう行き交うかを確認し、通信におけるセキュリティ要件（機密性・完全性・可用性）を再定義します。

サプライチェーン拡大に伴う「責任分界」の明確化

他社システムや外部クラウドとの連携が進むと、自社単独でコントロールできない領域が一気に広がります。
外部サービスが攻撃を受けて自社のラインが止まるリスクや、逆に自社が踏み台にされて取引先に大損害を与えるリスクが現実のものとなります。いざという時に「誰がどこまで責任を持って対処するのか（責任分界）」や「連絡体制」を、調達や契約の段階で白黒はっきりさせておくことが、企業防衛の要です。

汎用品・クラウド・OSS・SBOM活用の絶対条件

スピードとコストを重視するスマート化では、専用品ではなく汎用的な製品やサービスを使う機会が増えます。これらを安全に使いこなすためのルールです。

• クラウドサービスの利用： 利用者側で直接セキュリティをイジれないため、調達・契約段階で、障害対応の責任、データの扱い、サービスレベル（稼働率など）を徹底的に確認し、合意します。
• 汎用品の利用： ネットワークに繋がる市販のハードやソフトを入れる場合、メーカー側の脆弱性対応やサポート体制を確認します。一定のセキュリティ基準を満たしているかを示す「第三者認証」を目安にするのも賢明な判断です。
• OSSとSBOMの活用： システムにOSSが組み込まれている場合、脆弱性管理が命綱になります。そこで、ソフトウェアの部品やライセンスをリスト化するSBOM（ソフトウェア部品表）の導入が強く推奨されています。SBOMがあれば、新たな脆弱性が見つかった瞬間に自社への影響を特定し、素早く火消しに動くことができます。

6. まとめ：セキュアな工場構築に向けて

工場のスマート化は製造業が生き残るための強力な武器ですが、外部ネットワークとの接続やサプライチェーンの拡大によって、セキュリティリスクはかつてないほど高まっています。最後に、セキュアな工場を構築・維持するための急所をまとめます。

経営層の覚悟（コミットメント）と組織の壁を越えた連携

複雑化するサイバーリスクに対し、IT部門や生産部門が単独で立ち向かうのは不可能です。対策を絵に描いた餅にしないためには、全部門、さらには社外のステークホルダーまで巻き込んだ組織横断的なPDCAサイクルを回す必要があります。

そして、この分厚い壁を壊して連携を機能させるのは、経営層の強力なリーダーシップ（コミットメント）しかありません。経営トップ自らが、サイバーセキュリティを「事業存続を左右する最重要課題」として腹をくくり、ガバナンス体制を敷き、必要な予算と人材を投下すること。これこそが、全社的なセキュリティ強化を前進させる最大の推進力となります。

ガイドライン・チェックリスト・認証制度のフル活用

経済産業省のガイドラインには、現場ですぐに使える実践的な手引きが用意されています。これらをフル活用し、自社の対策レベルを着実に引き上げていきましょう。

• チェックリストの活用： ガイドライン付録Eの「チェックリスト」を使い、自社の対策状況を「未実施」「一部実施」「実施済み」「定期的に見直し」などのレベルで評価します。これにより、自工場の現在地を客観的に把握し、継続的な改善（PDCA）に繋げることができます。
• 各種認証制度の活用： 現場でIoT機器などを調達する際、セキュリティの妥当性を自社だけで判断するのは至難の業です。その場合は、「IoTセキュリティ適合性評価制度」や、制御システム向けの「EDSA認証」など、第三者による認証制度を積極的に活用しましょう。お墨付きのある製品を選ぶことで、工場システム全体の防衛力は確実に底上げされます。

工場のスマート化が生み出す莫大な恩恵を、安全かつ継続的に享受するために。本ガイドラインのプロセスを自社の現場に落とし込み、重要度に応じたセキュリティ対策を立案し、泥臭く実行し続けていくことが、我々製造業に求められています。