OTセキュリティは経営層の課題へ 攻撃への警戒高まるも「可視化」に残る課題
提供: フォーティネットジャパン
本記事はフォーティネットジャパンが提供する「FORTINETブログ」に掲載された「フォーティネットの「2026年OTサイバーセキュリティに関する現状レポート」における主な調査結果：OTセキュリティの成熟度のばらつきが顕著になり、標準化に大きな課題」を再編集したものです。
米国時間2026年6月9日に掲載されたフォーティネットブログの抄訳です。
OT（オペレーショナルテクノロジー）セキュリティはこの数年の間に、専門的な関心事から取締役会レベルの優先課題へと移行しました。産業組織はもはや、相互接続されたシステム、リモートアクセス、クラウドベースの分析、ITとOTの統合環境なしには生産を維持できません。この高度な接続性により、効率性とレジリエンスが向上する一方で、サイバー犯罪者、ランサムウェアグループ、国家主体の攻撃者の攻撃対象領域も拡大しました。
フォーティネットの「2026年 OTサイバーセキュリティに関する現状レポート」は、組織がこうしたリスクに、より真摯に取り組んでいることを示しています。700人以上のOTプロフェッショナルを対象とした世界規模の調査に基づく本レポートは、市場がOTサイバーセキュリティの成熟度をより現実的に評価し、侵入に対する警戒を強め、新たな規制要件への対応に専念していることを浮き彫りにしています。
多くの組織が取り組みを進展させていることは朗報と言えますが、成熟度にばらつきがあることが課題で、多くのOT環境はまだ、可視性、セグメンテーション、セキュアリモートアクセス、インシデントレスポンス、セキュリティアーキテクチャの標準化に大きな問題を抱えています。
OTセキュリティの責任は引き続き経営層（Cレベル幹部）の課題
この数年の間にOTセキュリティの成熟度が向上したことを示す最も明確な兆候の一つは、OTサイバーセキュリティの責任が上級管理職に引き上げられたことです。60%の回答者が、CISOがOTサイバーセキュリティの最終的な責任を負っていると答えています。これは、2025年の69%から減少していますが、必ずしも経営陣の関心が低下していることを示すものではありません。
（出典：「2026年 OTサイバーセキュリティに関する現状レポート」 p.3 / p.8）
今回のレポートが示唆しているのは、一部の組織で成熟度が十分に向上した結果、Cレベル幹部による戦略、資金、ガバナンスの制度化を経て、OTリスクの責任を他の上級管理職に移管できるようになったことです。まだ責任の引き上げが行われていない組織については、81%の回答者が今後1年以内にOTサイバーセキュリティをCISOに割り当てることを計画しており、2025年の80%から増加しています。
結論は明白です。OTリスクはもはや、プラントオペレーションチームやエンジニアリングチームの責任にとどまるものではなく、セキュリティ、運用、リスク管理、コンプライアンス、経営陣が連携して管理に当たる必要があります。
成熟度の評価がより現実的に
本レポートは、組織によるOTサイバーセキュリティ成熟度の自己評価が大きく変わったことを示しています。昨年までは、回答者が自社のプログラムを高く評価する傾向がありましたが、ITチームとOTチームへの追加投資が行われ、より多くのツールが導入されて可視性が向上した結果、多くの組織で防御の改善ポイントに対する理解が進んでいます。
この変化はデータに現れています。サイバーセキュリティプロセスの整備や文書化が進んでいないレベル0の回答者は、2025年の1%から2026年には5%に増加しています。レベル1も5%から17%に、レベル2も13%から27%に、それぞれ増加しています。逆に、最も高度なサイバーセキュリティプログラムを示すレベル4は、49%から17%へと大幅に減少しています。
（出典：同調査レポート p.4）
この変化は、一見すると後退に見えるかもしれませんが、むしろ是正と捉えるべきです。チームが経験を重ね、ツールが強化されて、ITセキュリティとOTセキュリティのコラボレーションが多様化するにつれて、これまで見つからなかったセキュリティギャップが明らかになったのです。多くの組織にとって、成熟度の向上はリスクの誠実な評価から始まります。
OTセキュリティソリューションの成熟度にも同様のパターンが見られ、レベル4は19%から14%に減少しているのに対し、レベル0と1は増加しています。ここから浮かび上がる共通の課題は、多くの組織がまだ、資産の可視性、ネットワークのセグメンテーション、セキュアリモートアクセス、監視、レスポンスなどの基本的なOTセキュリティを確立する途上にあるということです。
（出典：同調査レポート p.5）
侵入検知の頻度が増加
今回のレポートでは、侵入の報告にも大きな変化が見られます。複数の侵入を報告している回答者の割合が増加しており、71%の回答者が1～9件の侵入を報告しています（前年は47%）。その一方で、10件以上の侵入を報告している組織の割合は2%と、横ばいで推移しています。
これは必ずしも、すべての組織で攻撃の頻度が高まっていることを示唆するものではありません。むしろ、より多くの組織で自社環境の状況把握が進んでいることを示していると考えられます。OTセキュリティでは、可視性が限定されている状況では「侵入は検知されていない」という言葉を鵜吞みにできません。検知能力が向上すると、最終的にはリスクが軽減されるにもかかわらず、当初はインシデントの報告数が増加する傾向があります。
今回のレポートには好ましい兆候も見られます。ITとOTの両方のシステムが侵入を受けたと答えた回答者はわずか24%で、2025年の60%から急激に減少して、2022年以降で最も少なくなっています。これは、IT環境とOT環境のセグメンテーションが強化されて、攻撃の拡大が抑えられているためと考えられます。
（出典：同調査レポート p.10）
とはいえ、脅威情勢が深刻であることに変わりはありません。フィッシングは引き続き最も報告数の多い侵入方法であり（76%）、ランサムウェアも依然として大きな課題となっています（50%）。ランサムウェアは2025年の54%からわずかに減少していますが、生産、安全、収益、重要インフラに影響を与える可能性があるため、OTリスク計画の中心課題であり続けています。
滞留時間は依然として危険な兆候
攻撃者の滞留時間は、侵入者が検知されないまま活動を続ける時間を示すため、サイバーセキュリティにおいて極めて重要です。攻撃者が長時間システム内に存在すると、監視、知的財産の持ち出し、ランサムウェア攻撃の計画、運用の妨害、今後の活動の準備などを行う可能性が高まります。
本レポートでは、比較的短い滞留時間は横ばいで推移している一方で、週、月などの比較的長い滞留時間が増加しています。これは、OT環境では特に問題になります。産業システムでは、レガシーデバイス、特殊なプロトコル、稼働時間の要件が含まれることが多いために、一般的なIT環境に比べて、迅速なレスポンスが困難になる可能性があるからです。
（出典：同調査レポート p.9）
滞留時間を短縮するには単純な監視だけでは足りません。OT対応の可視性、脅威インテリジェンス、ネットワークのセグメンテーション、セキュアリモートアクセスが必要になるほか、インシデントレスポンス計画で運用上の影響、安全性、および生産と重要インフラの継続性を考慮に入れる必要もあります。
規制圧力が加速
OTリーダーは、法規制環境がより厳しくなると予想しています。89%の回答者が、今後5年以内に規制強化が進むと予想しており、2025年の66%から大幅に増加しています。また、時期について見ると、新たな規制の導入時期を「5年以上先」ではなく「2～5年以内」と予想している回答者が、20ポイント増加しています。
（出典：同調査レポート p.6）
これが重要となるのは、OTサイバーセキュリティと重要インフラ、インシデント報告、データセキュリティ、公共の安全、ビジネス継続性との結び付きが強まっているからです。規制要件は、もはや将来的な検討事項ではなく、差し迫った運用上の現実です。
最終的な規制が公布されるまで対策を取らない組織は、後れを取るリスクがあります。すぐに着手する組織は、コンプライアンスの取り組みをネットワークの耐障害性の強化、報告の改善、リスクの低減、セキュリティオペレーションの近代化に活かすことができます。
改善が進むOT環境の可視性と残る課題
可視性がOTセキュリティの要であることに変わりはありません。資産、通信フロー、ユーザー、アプリケーション、依存関係の明確な理解なしには、ネットワークのセグメンテーション、異常な活動の識別、レスポンスの優先順位付けを効果的に行うことはできません。
2026年のレポートは進展を示しており、OTシステムを完全に可視化できている回答者の割合が、2025年の5%から14%に増加しています。これは大幅な改善です。
（出典：同調査レポート p.9）
とはいえ、まだ多くの組織が完全な可視性を得られておらず、約23%の回答者はOT環境の半分ほどしか可視化できていません。つまり、多くのセキュリティチームが、十分なインサイトがないまま環境を防御していることになります。
近代化によりOTの状況が変化
今回のレポートは、組織が産業制御システム（ICS）を更新していることを示しています。40%の回答者がICSシステムの経年数を5年以下と答えており、2025年の20%から増加しています。これは、信頼性、パフォーマンス、セキュリティの強化を目的とした近代化のトレンドを反映しています。
（出典：同調査レポート p.12）
近代化はリスクの低減に役立つ一方で、管理に注意が必要です。新しいシステムでは多くの場合、接続、データ転送、リモートアクセス、IT / クラウドプラットフォームとの統合が増加するため、セキュリティを後付けにするのではなく、最初から近代化戦略に組み込む必要があります。
まだレガシーシステムを使用している組織については、厳格なパッチ適用、補完的な保護策、継続的な監視、およびセグメンテーションの必要性がレポートで強調されています。
コスト圧力がセキュリティに関する意思決定に影響
今回のレポートは、組織がサイバーセキュリティの成功を評価する方法の変化も浮き彫りにしています。2026年には、「コストの削減や回避」が、追跡して報告している指標の1位になりました。「生産性の向上」も引き続き重視されています。
この結果は、OTリーダーがセキュリティ投資の正当化を迫られていることを考えるとよくわかりますが、コスト削減のために耐障害性を損なうことがあってはなりません。OT環境においては、不十分な投資はダウンタイム、安全上の危険、コンプライアンスの問題、収益の損失、物理的な障害につながる可能性があります。
OTセキュリティの最も説得力のあるビジネスケースは、単なるサイバーリスクの低減ではなく、運用の継続性の確保です。
組織の成熟度を高める5つのベストプラクティス
今回のレポートの末尾には、OTサイバーセキュリティを改善するための実践的な推奨事項が示されています。以下にそれらを示します。
1．ITネットワークとOTネットワークのセグメンテーションとマイクロセグメンテーションにより、ラテラルムーブメントを最小限に抑えて攻撃の影響を限定する
2．セキュアリモートアクセスを使用して、広範かつ持続的なアクセス方法に頼らずにベンダーやサードパーティをサポートする
3．OTをセキュリティオペレーションとインシデントレスポンスの計画に統合して、生産と安全に関する現実的な要件がサイバーインシデントレスポンスにおいて無視されないようにする
4．産業用プロトコル、業界固有の脅威、OT資産の振る舞いを網羅する、OTに特化した脅威インテリジェンスに投資する
5．運用の簡素化、可視性の向上、管理の一元化、より迅速かつ協調的なレスポンスの促進のためにプラットフォームアプローチを検討する
これらのベストプラクティスはすべて、同じ包括的な原則を指し示しています。それは、OTサイバーセキュリティは単体のツールや孤立したチームでは解決できない、ということです。ITとOTの両方の環境の人、プロセス、テクノロジーを結び付ける統合型のアプローチが必要です。
まとめ
「2026年 OTサイバーセキュリティに関する現状レポート」は、市場が転換期にあることを浮き彫りにしています。OTセキュリティの成熟度が高まるにつれて脅威情勢も複雑さを増しており、ランサムウェア、フィッシング、長い滞留時間、限定的な可視性、断片化したセキュリティアーキテクチャなどの問題が引き続き大きな課題となっています。幸い、組織は可視性を急速に向上させ、成熟度の評価を誠実に見直し、規制に備え、より高度なセキュリティ機能に投資しています。
ぜひレポート全文をダウンロードいただき、調査結果について検討し、自社のOTセキュリティ成熟度を評価し、ますます相互接続が進む今日の産業環境のリスク軽減に役立つベストプラクティスを確認してください。
本記事はアフィリエイトプログラムによる収益を得ている場合があります