この記事は、工場DXやAI品質検査・予知保全の導入を検討している製造業の情報システム担当者・工場管理部門が、AIを入れる前に「OT（制御・運用技術）側の資産管理は大丈夫か」を確認するための手順を提供します。
CISAのICSアドバイザリは何を示しているか
CISA（米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁）は毎週、制御システム製品の脆弱性情報をICSアドバイザリとして公開しています。2010年3月から2026年1月末までの累計で3,637件・12,174のCVE（共通脆弱性識別子）が記録されており、対象ベンダーは689社、製品数は2,783にのぼります（Forescout調査、報道ベース）。
2026年に入ってもシーメンス、ロックウェル・オートメーション、三菱電機・ICONICSのHMIやSCADA製品が対象となったアドバイザリが継続発行されています。直近では2026年4月に公開された ICSA-26-111-11（Siemens Industrial Edge Management）で、認証されていない遠隔の攻撃者が認証を回避し、接続された産業エッジ機器に到達できる脆弱性（CVE-2026-33892、CVSS v3基本値7.1）が報告されました。
IPAはCISAが公開した制御システム脆弱性情報を日本語で翻訳・掲載し、毎月更新しています（https://www.ipa.go.jp/security/controlsystem/icsadvisories.html）。さらに2026年4月には「制御システムのセキュリティリスク分析ガイド 第2版」を改訂し、リスクアセスメントの実施方法を更新しました（https://www.ipa.go.jp/security/controlsystem/riskanalysis.html）。
これらのアドバイザリが意味するのは、「工場で使っている制御機器が、今この瞬間にも新しい脆弱性の対象になり得る」という事実です。ここにAIやIoTシステムを接続する前に、資産の把握と保護の確認が不可欠です。
MANUFACTURING DX
Excel限界から受発注システムへ、同規模の概算は？
中小製造業の概算費用・導入期間・役割分担マトリクスをその場で確認。要件整理テンプレも無料提供します。
なぜAI導入前にOT資産管理が必要か
製造業のAI導入では、品質検査画像・設備稼働ログ・センサーデータなどをAIに読み込ませるため、PLCやSCADAなどのOT機器をネットワーク経由でデータ収集システムと接続します。この接続が、従来はIT側から隔離されていたOTネットワークへの新たな経路を作ります。
IPA「情報セキュリティ10大脅威 2026」では組織向け脅威の1位が「ランサムウェア攻撃」、2位が「サプライチェーン・委託先を狙った攻撃」でした。製造業では制御システムへのランサムウェア感染が生産停止に直結するため、OT側のリスクを先に把握することが優先されます。
AI導入前のOT資産棚卸し手順
ステップ1：OT機器の洗い出しと記録（2〜4週間）
工場内のすべての制御機器を一覧化します。対象は以下の分類で整理します。
| 機器分類 | 対象の例 | 確認する情報 |
|---|---|---|
| 制御系 | PLC、DCS、SCADA | メーカー・型番・ファームウェアバージョン・導入年 |
| HMI | タッチパネル、操作端末 | OS・バージョン・ネットワーク接続有無 |
| ネットワーク機器 | OT向けスイッチ、ルーター | 構成・セグメント分離の有無 |
| センサー・IoT | 温度センサー、カメラ | 接続先・通信プロトコル・認証方式 |
| 保守端末 | ベンダー持込の設定PC | 接続経路・利用頻度・管理者 |
この一覧が、CISAアドバイザリと突合するための基礎台帳になります。アドバイザリが出たとき、「自社に該当機器があるか」を即座に判断できる状態にします。
ステップ2：IT/OTネットワーク分離の確認（1〜2週間）
AIシステムがOT機器のデータにアクセスするとき、どの経路を通るかを図式化します。確認する項目は以下です。
- OTネットワークとITネットワークの間にファイアウォールまたはDMZがあるか
- OT側から直接インターネットへの通信が発生していないか
- データ収集用の接続は一方向通信（データダイオード）か双方向通信か
- 保守ベンダーのリモートアクセス経路が使用後に必ず閉じられているか
ステップ3：保守契約とパッチ適用方針の確認（1〜2週間）
CISAアドバイザリに対応するパッチが提供されても、OT機器は生産ラインを止めてアップデートする機会が限られます。
| 確認項目 | 現状確認すること | なければ整備するもの |
|---|---|---|
| 保守契約 | 主要制御機器にベンダー保守契約があるか | 契約更新か代替品確認 |
| パッチ通知 | CISAやIPAのアドバイザリ情報をいつ誰が確認するか | 情シス担当者のRSS購読・月次確認ルール |
| 適用判断プロセス | パッチ適用の要否を誰が・何を基準に判断するか | パッチ評価フローの文書化 |
| 代替緩和策 | パッチ適用できない期間のリスク低減策（ネットワーク隔離等） | セグメント強化・アクセス制限 |
OT接続前のAI導入リスク評価
工場AIシステムを導入する前に、OT側の観点で以下のリスクを評価します。
| リスク項目 | 確認内容 | 高リスクの判断基準 |
|---|---|---|
| 脆弱な接続経路 | AIサーバーがOT機器に直接接続する経路があるか | IT/OTの境界なしで接続 |
| 認証の欠如 | OTデータを収集するシステムに認証がないか | 認証なしのデータ収集 |
| ログの欠如 | OT機器への接続・操作ログが残っているか | ログなし・定期確認なし |
| 保守ベンダーのアクセス管理 | ベンダーリモートアクセスの記録と停止手順があるか | 常時接続または停止手順なし |
| 停止条件の未定義 | AIシステムの異常時にOT機器を安全停止する手順があるか | 手順書なし・訓練なし |
OTセキュリティ・工場DX前の資産管理診断では、上記の項目をもとに自社の現状を確認できます。
製造業のAI導入で起きる典型的なOTセキュリティ事故パターン
パターン1：保守接続経路が常設化している
ベンダーがリモートメンテナンスのために開けた接続経路を、作業後に閉じないまま放置するケースです。攻撃者がこの経路を経由してOT機器に侵入します。AIシステムを接続する前に、常設のリモートアクセスがないかを確認します。
パターン2：IT側の感染がOT側に波及する
AIサーバーやデータ収集PCがランサムウェアに感染し、OTネットワークへの接続経路を通じて制御システムに波及するパターンです。IT/OTのネットワーク分離が不完全な環境で発生します。
パターン3：AIシステムのアップデートがOT機器に影響する
AIの学習環境やデータ収集システムのソフトウェアアップデートが、OT機器側の動作に予期しない影響を与えるパターンです。本番稼働前のステージング環境での検証と、変更管理フローが必要です。
GXOはどう支援するか
GXOでは、製造業のAI・DX導入前にOT資産の現状確認と保護方針の整理を支援します。初回相談では、工場で稼働している主要制御機器の種別・保守契約の状況・IT/OT接続の構成を確認し、CISAアドバイザリへの対応状況と不足箇所を洗い出します。AIシステムとOT機器の接続設計、セキュリティ要件の定義、保守ベンダーとの責任分界まで、OT側とIT側を一体で設計します。
よくある質問
Q1. 中小規模の工場でもOTセキュリティは必要ですか
必要です。大手のサプライヤーである場合、取引先からセキュリティ対応を求められることが増えています。また、規模に関わらず制御システムが感染すると生産停止の影響は同じです。
Q2. CISAのアドバイザリは日本語で読めますか
IPAが毎月日本語に翻訳して掲載しています（https://www.ipa.go.jp/security/controlsystem/icsadvisories.html）。自社で使っているメーカー・製品名で検索して確認できます。
Q3. AI導入を先送りしてOT対策を先にするべきですか
すべてを先送りする必要はありません。OT接続が不要なAI（例：設計図面のテキスト検索、メール対応の自動化）から始め、OT接続が必要なAI（品質検査・予知保全）は資産棚卸しと接続設計を並行して進めます。
参考情報
- IPA「CISAが公開した制御システムの脆弱性情報（直近1か月）」：https://www.ipa.go.jp/security/controlsystem/icsadvisories.html
- IPA「制御システムのセキュリティリスク分析ガイド 第2版（2026年4月）」：https://www.ipa.go.jp/security/controlsystem/riskanalysis.html
- CISA「ICS Advisories」：https://www.cisa.gov/news-events/ics-advisories
- IPA「情報セキュリティ10大脅威 2026」：https://www.ipa.go.jp/security/10threats/10threats2026.html
工場AI導入前にOT資産管理の現状を整理しませんか
GXOでは、制御システムの資産棚卸し・IT/OT接続の設計・CISAアドバイザリ対応の仕組みづくりをAI・DX導入計画と並行して支援します。