“止められない”工場やインフラ施設を守る　OTセキュリティの第一歩

“止められないシステム”を守る、OTセキュリティの第一歩

なぜ工場やインフラ施設はサイバー攻撃の“格好の餌食”なのか？

国内ガイドライン・規制は「重要インフラ領域」が先行

　このような危機的状況の中、日本政府では、業界に特化したガイドラインの整備を進めている。

　2022年に経済産業省が策定したのが、「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」だ（2025年4月にVer.1.1に改訂）。業界団体や個社が、工場のセキュリティ対策を検討・実行する上で、参照すべき考え方やステップを「手引き」としてまとめている。他にも、2025年には、上記ガイドラインをさらに深掘りした「半導体デバイス工場におけるOTセキュリティガイドライン」が策定された。

　重要インフラでは、2023年にNISC（現、国家サイバー統括室）が、「重要インフラのサイバーセキュリティに係る安全基準等策定指針」にて共通となるセキュリティ対策を体系的に整理。その上で、重要インフラ15分野に沿ったガイドラインが各省庁から展開されている。

工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン

　法規制においては重要インフラが先行している状況だ。

　2023年には、「サイバー事故調」と呼ばれる法改正が施行された。同改正によって、電力・ガス・高圧ガスの事業者で重大なサイバー事故が発生した際には、経済産業省がIPA（情報処理推進機構）に対して原因究明調査を要請できるようになった。これは、被害の再発防止を目的とした、事故対応にサイバー視点を加えた施策である。

　また、重要インフラ業界において、自立的に高度な保安を確保できる認定事業者の要件に、「サイバーセキュリティの確保」が追加され、関連ガイドラインを参考にPDCAサイクルを構築することが求められている。（参考記事：重要インフラの事故対応にサイバー視点を ― OTセキュリティ関連法改正をフォーティネットが解説）。これらの法規制で、インフラ事業者には、サイバー空間も含めた一段高度な保安管理が必要となっている。

エネルギー業界に見るOTセキュリティ関連法の改正（フォーティネットの説明会資料より）

　次回は本記事で整理した背景を踏まえて、OTシステムで求められるセキュリティ対策について触れていく。

■関連サイト

• 工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン