【 第2回 】ITとOTはなぜすれ違うのか 文化と優先順位の違い

1. ITとOTのすれ違いははぜ起こるのか

OTセキュリティを進めようとする現場では、よく次のような会話が起きます。

このすれ違いは、知識不足や部門間の対立ではありません。ITとOTでは、守っている対象と優先順位が根本的に違うために起きています。この違いを理解しないまま対策を進めると、セキュリティ対策そのものが工場停止の引き金になりかねません。

2. CIAの優先順位 ITは機密性、OTは可用性

セキュリティの基本概念にCIAという考え方があります。

これらの頭文字を取ったものです。
情報を見られないようにする、改ざんされないようにする、必要なときに使えるようにする――この3つを守ることがセキュリティの基本です。

ここでITとOTが大きく分かれます。

IT環境では、機密性が最優先されます。顧客情報、設計情報、個人情報、取引情報が外部に漏えいすれば、損害賠償や信用低下、取引停止につながります。そのためIT部門では「危険な端末はすぐ切り離す」「脆弱性があれば早くパッチを当てる」「不審な通信があれば止める」という判断が自然になります。情報を守るためなら、システムを一時的に止めることも厭わない――これがIT文化の根底にあります。

一方、OT環境では、可用性が最優先されます。工場では、設備が止まれば生産が止まります。生産が止まれば、納期遅延、歩留まり悪化、仕掛品の廃棄、再立ち上げの手間が発生します。設備によっては安全確認や品質確認が終わるまで再開できません。

例えば、ある制御PCに不審な通信が見つかったとします。IT部門の感覚では、まずネットワークから切り離したくなります。しかし、そのPCがHMI（オペレーター用の操作画面）として使われていれば、切り離した瞬間に現場の操作画面が見えなくなります。PLCと常時通信していれば、通信断によってラインが停止するかもしれません。

ITでは正しい初動対応が、OTでは生産停止の引き金になります。重要なのは、ITが間違っている、OTが正しいという話ではありません。守る対象が違うため、優先順位が違うということです。

3. ライフサイクルの違い 3年～5年のIT、10年～20年のOT

ITとOTのすれ違いは、機器のライフサイクルの違いからも生まれます。
IT機器は比較的短い周期で更新されます。PCやサーバは3年から5年程度で入れ替えることが多く、OSやアプリケーションも継続的にアップデートされます。クラウドサービスであれば、利用者が意識しないうちに更新されることもあります。ITは、変化することを前提に運用されています。

一方、OT機器は長期間使われます。工場設備は10年、15年、20年と稼働することも珍しくありません。一度安定して動いた環境をできるだけ変えないことが、生産現場の鉄則です。
その結果、OT現場では次のような状態が当たり前に存在します。古いWindows端末が制御PCとして残っている、ベンダー指定のOSバージョンから変更できない、PLC通信ドライバが古い環境でしか動かない、当時の設定資料や手順書が残っていない、復旧できる担当者が退職している、ベンダー保守契約がすでに切れている――これらは特殊な例ではなく、多くの工場で日常的に見られる光景です。

IT部門から見ると「古いOSを使い続けるのは危険」に映ります。これは正しい見方です。しかし、OT現場から見ると「更新した結果、設備が動かなくなるほうが怖い」のです。これも実態としては正しい見方です。

実際、稼働中の制御PCにWindows Updateを適用したところ、再起動後にHMIソフトが起動しない、PLCとの通信が復旧しない、ライセンス認証が外れる、といった事故は現場で何度も繰り返されています。セキュリティ対策のつもりで実施した作業が、生産停止の原因になる――これがOT環境の現実です。

つまり、OTセキュリティでは「古いからすぐ更新する」だけでは不十分です。更新できるものは計画的に更新する。直接更新できない場合は、ネットワーク分離、アクセス制限、監視、バックアップによって、周囲の守りを固めてリスクを下げる考え方が必要になります。

IT環境 （情報システム）	項目	OT環境 （制御・生産システム）
3年～5年 PC・サーバ・アプリは定期的に更新	更新周期 （目安）	10年～20年 設備・制御機器は長期間使用
OSやアプリは継続的にアップデート （自動更新やクラウド更新も一般的）	ソフトウェア更新	ベンダー指定版から更新できない場合が多い 更新は計画停止時に限定
3年～5年で入れ替え一般的	稼働年数 （実例）	10年・15年・20年以上稼働することも珍しくない
変化を前提に運用 新しい技術やサービスを積極的に採用	変化への許容度	変化を嫌う文化 一度安定した環境はできるだけ変えない
停止しても影響は限定的 （業務影響はあるが回復可能）	更新リスク	更新や設定変更で設備停止・品質影響が発生するリスクが高い
IT部門が主導し、 標準化・自動化が進んでいる	運用体制	現場（保全・生産技術）が主導 個別対応・俗人化しやすい

4. 文化の違いを越えるための共通言語

IT部門は「この端末には脆弱性があるので危険です」と言います。
OT現場は「この端末はラインにつながっているので止められません」と言います。
どちらも正しいのですが、このままでは議論が進みません。

必要なのは、同じ情報を見ながら話し合うことです。

• その端末はどの設備につながっているのか
• どのPLCやHMIと通信しているのか
• 止めるとどのラインに影響するのか
• 停止した場合に一日あたりどの程度の損失になるのか
• 脆弱性を悪用された場合にどこまで影響が広がるのか
• すぐにパッチを当てられない場合に通信を絞れるのか
• 次の計画停止で何を実施できるのか

この整理ができると、「危ないから更新する」「止められないから何もしない」という二択から抜け出せます。すぐに更新できない制御PCがあったとしても、事務所LANから直接アクセスできないようにする、必要な通信だけに制限する、USB利用ルールを整備する、次回の計画停止で更新する――こうした代替策を検討できるようになります。

そのためには、IT部門、OT現場、工場長、経営層が同じ場で会話する仕組みが必要です。特に中小工場では、IT部門と製造部門が日常的に話す場がないことも珍しくありません。まずは、設備停止や更新作業について、保全担当者、生産技術者、情報システム担当者、工場長が同じ情報を見られる状態を作ることが出発点です。

5. まとめ

OTセキュリティは、IT部門だけでも、現場だけでも完結しません。現場の制約をIT部門に伝え、IT部門の危機感を現場が理解し、経営層が停止リスクと投資判断を引き受ける――この三者の連携こそが、OTセキュリティの出発点です。
次回、第3回からは、その共通言語の入口として、ネットワークの基本である「OSI参照モデル7階層」を工場の現場目線で解説していきます。

6. 参考ガイドライン

● NIST SP 800-82 Rev. 3 Guide to Operational Technology Security
https://csrc.nist.gov/pubs/sp/800/82/r3/final

【 第1回 】
なぜ今、工場のネットワークセキュリティなのか

詳しく見る