工場セキュリティの有識者が集う「GUTP・JNSA OTセキュリティWG」共催セミナーをレポート

「SCS評価制度」取得を目指す中堅・中小製造業のリアル　富士工業が考える「セキュリティは経営に役立つのか」の答え

　サプライチェーン攻撃の増加などを背景に、重要性が高まる工場セキュリティ。日本ネットワークセキュリティ協会（JNSA）の「OTセキュリティワーキンググループ（WG）」は、この工場セキュリティの文化醸成や定着を目的に活動を続ける調査研究部会だ。

　その活動のひとつに、東大グリーンICTプロジェクト（GUTP）と共催する「工場セキュリティガイドライン啓発セミナー」がある。WGの前身組織が公開したガイドライン啓発の一環でスタートしたもので、有識者が登壇する学びと意見交換の場だ。セキュリティ普及団体やベンダーにとどまらず、メーカー側も登壇して、現場のリアルな取り組みも聞ける点が特徴である。

　本記事では、2026年7月に開催された第21回セミナーより、中堅製造業である富士ホールディングスの実践報告を紹介する。同社の浦部英章氏が語ったのが、SCS評価制度（セキュリティ対策評価制度）の★3・★4取得を目指すプロジェクトの進捗や苦労、そして、「セキュリティは経営に役立つのか」という根本的な問いだ。

富士ホールディングス 経営企画部 部長 浦部英章氏

中堅・中小製造業におけるリアルなセキュリティの現状

　神奈川県相模原市に本社を置く、老舗の厨房機器メーカーである富士工業グループ。「FUJIOH」という企業ブランドで知られ、レンジフード（キッチン換気扇）で国内トップシェア（※）を誇る。同グループの中で、管理部門の役割を担うのが富士ホールディングスだ。今回登壇した浦部氏は、同社で経営企画と情報システムを統括している。

※出典：シェア 61.8％・富士経済「住宅建材/新築・リフォーム市場トレンドデータ便覧 2026」（2025年度実績）

換気を中心とした空気環境改善製品は「QUANTENKI（カンテンキ）」ブランドで展開中

　まず浦部氏が語ったのが、中堅・中小製造業におけるセキュリティの現実だ。人材や予算、企業文化と様々な障壁がある中、ITとOTの分離はなかなか達成できないという。「我々も例外ではないですが、生産現場ではITとOTが混在しており、ネットワークも同一です。未だに古いOSも残り続けています。そして、ネットワーク障害が発生した際の対応、特にOT環境における備えは行き届いていないのが現状です」と浦部氏。

　こうした制約も抱える中で、富士工業グループは約2年前、セキュリティ強化のプロジェクトに着手した。きっかけは、経営会議における「ランサムウェア対策はどうなっているのか」という社長の一言だった。浦部氏が「費用がかかることもあり、まだ十分とはいえないです」と答えたことから、その場でセキュリティ強化の指示があった。

　そして、その日のうちに15年の付き合いのある日立ソリューションズに相談。プロジェクトは同社との共創という形でスタートした。浦部氏は、「セキュリティ強化において、トップの理解があることは非常に大きなものでした」と振り返る。

SCS評価制度★3・★4取得に向けた3本柱の戦略

　プロジェクトでは、「ルール」「ツール」「スキル」の3本柱を整備する戦略を策定し、その目標として「SCS評価制度の★3・★4対応」を掲げた。2025年に同制度の中間まとめが経産省から公表されたタイミングで、社長にこの目標を提案し、結果、グループの経営目標に位置付けられた。

　「我々は非上場ですが、取引先には数多くの上場企業が存在します。SCSが始まれば間違いなく対応が求められますし、今から動かなければ到底間に合わないという危機感から、目標に設定しました。現在では、2029年までの5カ年計画として進めることで、経営陣と合意しています」（浦部氏）

　まず3本柱の1つ、ツールについては、「統一と集中」を進める方針を採用。最初に着手したのはEDRの導入だ。「CrowdStrike」で全社統一することで守り方を標準化し、日立ソリューションズのMDRサービスで運用コストを軽減している。

「ツール」の領域では、まず「CrowdStrike」の全社導入で守り方を標準化

　さらに、現在進めているのが、バックアップの統合だ。従来、基幹システム以外の各部門システムについては、バックアップが十分に整備されていなかったという。「正直なところ、ランサムウェア対策以前に、通常の障害対応でさえ不安な状態でした」と浦部氏。そこで、基幹システムのランサムウェア対策に「Rubrik」を導入。部門システムも同サービスのバックアップに“便乗”する形で、プラットフォームでの一括解決を図っていく。

　また、中堅・中小企業では増えがちな「部門ごとに運用されるNAS」も廃止する方針だ。今後は、オンプレミスの全社ファイルサーバーに加え、多様な働き方に対応するためにクラウドファイルサーバーも新規導入。部門NASは、そのどちらかに移行させていく。

部門NASはオンプレミス・クラウドのファイルサーバーに集約

　続いてはルールの整備だ。ここでは、未定義だった「人的安全管理」「物理的安全管理」の規定を新設して、SCSで求められる水準まで高めていく。「重視しているのは、“現場に厳し過ぎる規定” にしないことです。まずはSCSの要求水準をクリアし、その上で運用を見ながら順次体系化を図っていきます」（浦部氏）

ルールの規定刷新でSCS要求水準までアップ

　あわせて、責任の明確化にも着手する。従来も「IT推進者」という役割は存在していたが、その責任範囲は曖昧だったという。そこで、新たに「部門IT責任者」「IT管理者」という役割を設定して、それぞれの責任と権限を再定義する。具体的には、部門長が部門IT責任者、実務を担う担当者がIT管理者に就任。さらに、部門IT責任者は「保守運用責任」を負い、部門内におけるIT運用人材の育成とその実践を求めていくという方針だ。

　そして、中堅・中小製造業の悩みとも言える「IT/OTネットワークの分離」にも着手するが、浦部氏は「工場の改修なども伴うため、やはり現状から一気に進めるのは難しい」と実情を明かす。そのため、生産技術部門と共通のゴールを描きながら、長期的な視点で進めていく。また、SCSで求められる「業務BCP」については、情報システム部門主導では限界があるため、どう体制を構築するかが今後の課題だという。

IT/OTネットワーク分離の方針

　最後はスキルの整備だ。「全社員の底上げ」「役割別スキル」「意欲向上施策」という3つの観点から施策を展開していく。ここで重視するのは、「研修を実施すること」ではなく、「実際にスキルが上がった状態を築くこと」だ。

　全社員の底上げでは、身に着けるべき最低限のセキュリティ知識を定義し、その水準を維持するための施策を実施。役割別スキルでは、ITの利用の有無に加えて、役員、部門IT責任者、IT管理者など、それぞれの立場に応じて求めるITレベルを定義する。ITSS（ITスキル標準）の主要資格とも連動させ、例えばITパスポートの取得については、既に必須化している管理職から他の社員にも拡大させていく方針だ。

　そして、最も重要なのが意欲向上施策だという。社員のモチベーションを高めるべく、スキルの獲得や役職者に対して、適切な処遇や評価を与える制度を設計していく。