想定読者: 年商 50-300 億円・工場 2-3 拠点・従業員 100-1,000 名規模の中堅製造業で、工場 IT 課長 / 製造部長兼務 / 情シス課長を担っとる人。OT（制御系：PLC / SCADA / MES / DCS）と IT（情報系：Office / 基幹システム / メール）の境界に悩む現場担当向け。 本記事の使い方: 「分離が必要な理由」の説明ではなく、30 日で実際に着手する作業手順。投資額目安、工場ダウンタイム最小化、SBOM 対応、補助金活用までセット。
結論を 30 秒で。 OT/IT 分離は 30 日で 「棚卸し → リスク評価 → 分離設計 → 試行運用」の 4 フェーズ で着手可能。工場 1 拠点あたり 初期 200-600 万円 + 月額保守 30-80 万円 が中堅レンジ。停止リスクを最小化するため、工場稼働中に既存ネットワークを温存しつつ、新規セグメントを並行構築 → 段階移行 が現実的。SBOM 対応 + 取引先からのサプライチェーンセキュリティ要求にも本構成で対応可能。
IPA「制御システムセキュリティ 実践ガイド 2024」によると、中堅製造業の OT 機器は 平均稼働年数 12-15 年、 つまり 設計時に IT セキュリティが想定されとらん。これは脆弱性ではなく前提条件。本記事は「現状の前提」から出発する。
なぜ今 OT/IT 分離が必須か（30 秒）
3 つの圧力で「待ったなし」の状況：
- 2024-2026 年に大手製造業の OT 経由インシデントが連発（村田製作所 / アンナビキ / 大阪府の食品工場 etc.）
- 取引先（大手 OEM）からのセキュリティ要件が厳格化 — SBOM / Pマーク / ISO 27001 を発注前審査で要求
- EU CRA（Cyber Resilience Act）2027 年強制化 — 日本の中堅製造業も間接的な影響を受ける
30 日タイムライン マップ
| 期間 | フェーズ | 主要成果物 | 主担当 |
|---|---|---|---|
| Day 1-7 | 棚卸し | OT/IT 機器一覧 + 接続点マップ + 通信フロー図 | 工場 IT 課長 + 製造部 |
| Day 8-14 | リスク評価 | クリティカル機器特定 + 攻撃経路 5 シナリオ + 優先度 | 工場 IT + セキュリティ顧問 |
| Day 15-21 | 分離設計 | VLAN / FW ルール / 一方向通信 / バックアップ経路 | 外部ベンダー + 工場 IT |
| Day 22-30 | 試行 + 運用ルール文書化 | 段階移行 + 障害時 SOP + 監視運用 | 全員 |
Phase 1：Day 1-7 棚卸し
最初の 1 週間は 「現状を 100% 可視化する」 だけに集中する。これが甘いと後の全フェーズが破綻する。
1.1 OT 機器一覧（必須）
| 項目 | 記録すべき内容 |
|---|---|
| 機器種別 | PLC / HMI / SCADA / DCS / MES / IoT センサー / 産業用 PC |
| メーカー / 型番 / OS | 三菱 MELSEC / Siemens S7 / Rockwell ControlLogix / etc |
| 稼働年数 / EOL | 平均 12-15 年、保守契約有無 |
| ネットワーク接続 | 有線 / 無線 / 専用線 / 一般 LAN |
| 通信プロトコル | Modbus / OPC-UA / Profinet / Ethernet/IP |
| 重要度 | 停止時の生産影響（時間 / 金額） |
1.2 IT 機器一覧（必須）
| 項目 | 記録すべき内容 |
|---|---|
| 業務 PC / サーバー | OS / IP / 役割 / 部署 |
| 基幹システム | ERP / MES / 受注 / 在庫 |
| ファイルサーバー | NAS / SharePoint / クラウド |
| 工場端末 | 検査機 PC / 工程指示端末 / 現場タブレット |
1.3 接続点マップ（最重要）
OT と IT の 「どこが繋がっとるか」 を全件可視化する。これが分離の出発点。
典型的な接続点：
- 工程指示端末（IT）→ MES（OT）
- MES（OT）→ ERP（IT）への実績データ送信
- 設備保全 PC（IT）→ PLC（OT）への保守接続
- 現場タブレット（IT）→ SCADA（OT）への閲覧
- ベンダーリモート保守接続（外部 → OT）
所要工数: 1 工場あたり 8-16h。
1.4 通信フロー図
接続点ごとに「方向 / 頻度 / データ種別」を記録：
この図が Phase 2 リスク評価の基礎になる。
1.5 ベンダーリモート接続の棚卸し
中堅製造業で 最大の盲点が外部ベンダーのリモート保守接続。Citrix / Anydesk / TeamViewer / 専用 VPN 等で OT 機器に直結しとる経路。攻撃の入口として狙われやすい。
全件リスト化：誰が / どの機器に / どの経路で / どんな認証で接続しとるか。
Phase 2：Day 8-14 リスク評価
棚卸し結果を元に「何を守るべきか」「どこが攻撃経路になるか」を評価する。
2.1 クリティカル機器の特定
「停止すると 24 時間以内に売上 / 取引先信用 / 安全に重大影響が出る機器」をリスト化。
| 重要度 | 例 | 停止許容時間 |
|---|---|---|
| S（最重要） | 主要生産ラインの PLC / DCS、安全装置 | 0 時間（停止許容しない） |
| A | 工程指示端末、品質検査機 | 4 時間 |
| B | 設備保全 PC、現場タブレット | 24 時間 |
| C | ファイルサーバー、メール | 72 時間 |
2.2 攻撃経路 5 シナリオ
中堅製造業で実際に発生する典型攻撃経路：
- メール経由（フィッシング → IT 端末感染 → 横展開 → OT 到達） — 最頻
- USB メモリ経由（保守作業者の USB → PLC / SCADA 直接感染） — 工場特有
- ベンダーリモート保守経由（外部 → 専用 VPN → OT 直結） — 大手事案で頻出
- IoT センサーの脆弱性（中華製格安センサーのバックドア） — 2024-2026 で増加
- サプライチェーン経由（取引先 / 外注先の侵害から自社へ） — EU CRA 対応の主因
2.3 優先度付け（Phase 3 で対応する順番）
S 重要度 × 攻撃経路 1-3 から優先的に分離する。C 重要度の機器は後回しで OK。
Phase 3：Day 15-21 分離設計
3.1 VLAN セグメント設計
最小構成：
| セグメント | 用途 | 通信ポリシー |
|---|---|---|
| OT-S（最重要 OT） | 主要生産ライン PLC / DCS / 安全装置 | 双方向通信全停止、特定 IT 機器のみ片方向許可 |
| OT-A（重要 OT） | 工程指示 / 品質検査 | 必要最小限の IT 通信のみ |
| OT-B（一般 OT） | 設備保全 / 現場タブレット | IT との通信を限定的に許可 |
| IT-Office | 業務 PC / メール | インターネット接続あり、OT へは遮断 |
| IT-System | 基幹 / ファイル / 認証 | OT-A/B との連携あり |
| DMZ-Vendor | ベンダーリモート保守用 | 申請ベース、踏み台経由のみ |
3.2 ファイアウォール ルール（典型例）
| 通信元 | 通信先 | 許可 | 備考 |
|---|---|---|---|
| OT-S | IT-Office | ❌ | 完全遮断 |
| OT-A → IT-System | 実績データのみ | ✅ | 一方向、特定ポート |
| IT-System → OT-A | 工程指示 | ✅ | 認証付き、ログ記録 |
| DMZ-Vendor → OT-S | 申請承認後のみ | △ | 30 分セッション制限 |
| Internet → OT 全般 | ❌ | 完全遮断 |
3.3 一方向通信（データダイオード）
S 重要度の機器からデータを取り出すだけで、書き込みは一切させない構成。専用 HW 製品は 1 工場あたり 200-500 万円、ソフトウェア型なら 50-100 万円から。
3.4 バックアップ経路
工場停止時の生産情報退避ルートを別途確保。本番分離後でも経営層への報告は止めん設計。
Phase 4：Day 22-30 試行 + 運用ルール文書化
4.1 段階移行プラン
工場稼働中の移行は 「並行運用 → 切替 → 旧経路停止」 の 3 ステップ。
- Day 22-24: 新セグメント並行構築（既存は無傷）
- Day 25-27: 1-2 機器を試行的に新セグメントに移行
- Day 28-30: 問題なければ全機器を順次移行 + 旧経路停止
4.2 運用ルール文書化（必須）
- ベンダーリモート保守の申請 / 承認フロー
- USB メモリ持ち込み禁止 + 例外申請手順
- 障害時のエスカレーション SOP
- 新規機器導入時のセグメント割当てルール
4.3 監視運用
中堅規模では 24/365 の自社運用は不可能。セキュリティ顧問サービスに月額 30-80 万円で委託 が現実解。EDR + ログ監視 + インシデント対応をパッケージで取得する。
投資レンジ（中堅製造業 2-3 工場規模）
| 項目 | 1 工場目安 | 3 工場合計 |
|---|---|---|
| 初期：FW 機器 + VLAN 構築 + 設計 | 200-600 万円 | 500-1,500 万円 |
| 初期：データダイオード（必要な S 機器のみ） | 50-300 万円 | 100-500 万円 |
| 初期：監査 + ペネトレーション | 100-300 万円 | 100-300 万円 |
| 月額：保守 + 監視 | 30-80 万円 | 80-200 万円 |
| 年額（初期 + 月額×12） | 約 700-1,800 万円 | 1,700-4,000 万円 |
補助金活用
- 省力化補助金 / IT 導入補助金 セキュリティ枠: 補助率 1/2-2/3、上限 450-1,000 万円
- ものづくり補助金（製造業特化）: 採択後 PMO 委託で実行支援も補助対象
- 小規模事業者持続化補助金: 小規模工場は 4/5 補助の枠も
実質負担は 初期投資の 30-50% 圧縮可能。採択後 PMO は外注すれば情シス 1 名でも回る。
30 日後の検収チェックリスト 7 項目
| # | チェック項目 |
|---|---|
| 1 | OT/IT 機器一覧 + 接続点マップが 100% 整備されとる |
| 2 | クリティカル機器（S 重要度）が IT セグメントから完全分離されとる |
| 3 | ベンダーリモート保守が申請ベース + 30 分セッション制限になっとる |
| 4 | USB メモリ持ち込みルール + 例外承認フローが文書化されとる |
| 5 | 障害時 SOP（連絡網 + エスカレーション）が部門全員に共有されとる |
| 6 | 24/365 監視（自社 or 顧問外注）が稼働しとる |
| 7 | 月次 / 四半期の運用レビュー定例が経営層との間で組まれとる |
まとめ
OT/IT 分離は中堅製造業（年商 50-300 億・2-3 工場）にとって、もはや「やる / やらない」の選択肢ではなく、「いつまでに / どう着手するか」の問題。30 日で着手するなら Day 1-7 棚卸し → Day 8-14 リスク評価 → Day 15-21 分離設計 → Day 22-30 試行運用 の 4 フェーズが現実解。投資は 1 工場 700-1,800 万円 / 年で、補助金活用で実質負担を半減できる。
GXO は 中堅製造業 100+ 社の支援実績 で、本記事の 4 フェーズを工場 IT 課長と一緒に実行する。Phase 1 棚卸しは無料診断（5 分）で始められる。
中堅製造業の OT/IT 分離 30 日、Phase 1 棚卸しから一緒に着手しませんか？
年商 50-300 億・2-3 工場規模の中堅製造業を主対象に、棚卸し → リスク評価 → 分離設計 → 試行運用までを 30 日で伴走します。補助金活用で実質負担を半減する設計も対応可能。
※ 営業電話なし ｜ オンライン対応 ｜ NDA 締結可 ｜ 工場長同席歓迎
追加の一次情報・確認観点
この記事の内容を社内で検討する場合は、一般論だけで判断せず、次の一次情報と自社データを照合してください。特に、稟議・RFP・ベンダー選定では「何を実装するか」よりも「どのリスクをどの水準まで下げるか」を先に決めると、見積もり比較のブレを抑えられます。
| 確認領域 | 参照先 | 自社で確認すること |
|---|---|---|
| DX推進 | 経済産業省 DX | 業務変革、データ活用、人材、投資対効果を確認する |
| IoT・セキュリティ | IPA 情報セキュリティ | 現場端末、ネットワーク分離、権限、ログ取得を確認する |
| 個人情報 | 個人情報保護委員会 | 顧客情報、従業員情報、委託先連携の扱いを確認する |
| DX推進 | IPA デジタル基盤センター | DX推進指標、IT人材、デジタル基盤の観点で現状を確認する |
| 個人情報 | 個人情報保護委員会 | 個人情報・委託先管理・利用目的・安全管理措置を確認する |
稟議・RFPで使う数値設計
投資判断では、導入前後で測れる指標を3から5個に絞ります。下表のように、現状値・目標値・測定方法・責任者をセットにしておくと、PoC後に本番化するかどうかを判断しやすくなります。
| 指標 | 現状確認 | 目標の置き方 | 失敗しやすい例 |
|---|---|---|---|
| 対象業務数 | 現状の対象業務を棚卸し | 初期は1から3業務に限定 | 対象を広げすぎて要件が固まらない |
| 月間処理件数 | 件数、担当者、例外率を確認 | 上位20%の高頻度業務から改善 | 件数が少ない業務を先に自動化する |
| 例外対応率 | 手戻り、確認待ち、属人判断を計測 | 例外の分類と承認ルールを定義 | 例外をAIやシステムだけで吸収しようとする |
| 現場入力率 | 紙、Excel、システム入力を確認 | 現場負荷が増えない導線にする | 管理部門目線だけで設計する |
| データ欠損率 | 必須項目、未入力、表記ゆれを確認 | 入力制御とマスタ整備を実施 | データ品質を後回しにする |
よくある失敗と回避策
| 失敗パターン | 起きる理由 | 回避策 |
|---|---|---|
| 目的が曖昧なままツール選定に入る | 比較軸が価格や機能数に寄る | 経営課題、業務課題、測定KPIを先に固定する |
| 現場確認が不足する | 例外処理や非公式運用が見落とされる | 担当者ヒアリングと実データ確認を必ず行う |
| 運用責任者が決まっていない | 導入後の改善が止まる | 業務側とIT側の責任分界をRACIで定義する |
| 本部主導で現場に使われない | 現場の時間制約と入力負荷を見ていない | 現場代表を設計レビューに入れる |
GXOに相談する前に整理しておく情報
初回相談では、次の情報があると診断と提案の精度が上がります。すべて揃っていなくても問題ありませんが、分かる範囲で用意しておくと、概算費用・期間・体制の見立てを早く出せます。
- 対象業務の現行フロー、利用中システム、Excel・紙・チャット運用の一覧
- 月間件数、担当人数、手戻り件数、確認待ち時間などの概算
- 個人情報、機密情報、外部委託、権限管理に関する制約
- 希望開始時期、予算レンジ、社内承認者、決裁までの流れ
- 現場拠点数、端末環境、ネットワーク制約、入力担当者、繁忙時間帯
GXOでは、現状整理、要件定義、RFP作成、ベンダー比較、PoC設計、本番移行計画まで一気通貫で支援できます。記事の内容を自社に当てはめたい場合は、まずは現在の課題と制約を共有してください。