「工場は閉域ネットワークだから安全」とは言い切れない時代になった。 2024 年に村田製作所が公表したサプライヤー経由のサイバー攻撃、川崎重工が 2020 年に公表した防衛関連海外拠点経由の不正アクセス、2022 年のトヨタ自動車国内全工場停止を引き起こした取引先サイバー攻撃――いずれも「自社 IT は守れていた」企業が OT（制御系）または取引先経由で工場稼働を直撃された 事例だ。
IPA「情報セキュリティ 10 大脅威 2026」でランサムウェアは 4 年連続で組織向け 1 位、サプライチェーン攻撃は 2 位。経済産業省は 2022 年に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を公表し、2024 年改訂版で中堅製造業（Tier2/Tier3）の対策水準を引き上げた。
本記事は、従業員 300-3,000 名規模の中堅製造業の情シス + 工場長 に向けて、OT セキュリティの本質、IEC 62443 の構造、Purdue モデルでの工場ネットワーク分離、5 ステップの段階対応、工場規模別の費用感（PoC 500 万円から大規模 1-3 億円）、主要ベンダー比較、補助金活用を 2026 年 4 月末時点の公開情報で整理する。
目次
- OT セキュリティとは何か / IT セキュリティとの 5 つの違い
- IEC 62443 の構造とセキュリティレベル SL 1-4
- Purdue モデルでの工場ネットワーク分離（L0-L5 + DMZ）
- 中堅製造の段階対応 5 ステップ
- 工場規模別の費用感（PoC 500 万 / 中規模 5,000 万-1 億 / 大規模 1-3 億）
- 主要 OT セキュリティベンダー比較（Claroty / Nozomi / Dragos / TXOne / CDI）
- 補助金活用（ものづくり / IT 導入 / 経産省ガイドライン）
- よくある質問（FAQ）
- 関連記事
OT セキュリティとは何か / IT セキュリティとの 5 つの違い
OT（Operational Technology）は工場の生産設備・制御システムを動かす技術領域で、PLC（プログラマブルロジックコントローラ）、SCADA（監視制御）、DCS（分散制御）、HMI（マンマシンインタフェース）、計装機器、ロボット、センサーが含まれる。IT セキュリティとは前提が異なる。
| 観点 | IT セキュリティ | OT セキュリティ |
|---|---|---|
| 稼働要件 | 業務時間中心、メンテ窓あり | 24/365 連続稼働、停止 = 数千万円/日の機会損失 |
| 機器寿命 | 3-5 年で更新 | 15-25 年運用、Windows XP / 2000 が現役 |
| 影響範囲 | 情報漏洩・業務停止 | 物理的事故、人命、環境汚染 |
| パッチ適用 | 月次更新可 | 年 1-2 回の計画停止時のみ、検証要 |
| プロトコル | TCP/IP / HTTPS 中心 | Modbus / OPC UA / EtherNet/IP / PROFINET / DNP3 |
| 認証 | 個別 ID / MFA | 共有 ID 残存、現場優先で MFA 困難 |
| 優先順位 | 機密性 > 完全性 > 可用性 | 安全性 > 可用性 > 完全性 > 機密性 |
なぜ「IT セキュリティの延長」では守れないか
- アンチウイルスを入れたら制御プログラムがタイムアウトする — リアルタイム制御は 数 ms 単位で動作、AV のリアルタイムスキャンが処理を遅延させて安全装置が誤作動する事例が報告されている
- パッチを当てたら 装置メーカーの保証が切れる — 制御 PC の OS は装置メーカーが組合せ動作を保証している構成のため、Windows Update を当てた途端にサポート対象外になるケースがある
- MFA を導入したら 夜間トラブル対応で工場長が入れない — 現場優先文化と多要素認証の摩擦
- ネットワーク分離を進めたら MES / ERP 連携が止まる — 生産実績の自動収集経路を遮断すると業務が回らない
- EDR を入れたら CPU 負荷で SCADA が固まる — 古い HMI PC のリソース余裕が乏しい
OT セキュリティはこれら制約の下で、安全性と可用性を維持しながら段階的に防御を積む 設計思想が求められる。
IEC 62443 の構造とセキュリティレベル SL 1-4
IEC 62443 は産業用オートメーション・制御システム（IACS）のサイバーセキュリティ国際標準で、ISA（International Society of Automation）が原案策定、IEC が国際規格化している。
規格群構成
| パート | 主題 | 主な対象 |
|---|---|---|
| 62443-1-x | 共通要件、用語、概念 | 全ロール（経営層含む） |
| 62443-2-x | プロセス、組織要件、運用 | Asset Owner（自社工場運営者） |
| 62443-3-x | システム技術要件 | System Integrator（SIer） |
| 62443-4-x | 製品開発要件 | Product Supplier（制御機器メーカー） |
Security Level（SL）1-4 の判定
| SL | 想定脅威 | 対象例 |
|---|---|---|
| SL 1 | 偶発的侵害、誤操作 | 一般的工場、最低限 |
| SL 2 | 意図的・汎用的攻撃（一般的なマルウェア、スキルの低い攻撃者） | 中堅製造業の現実的目標 |
| SL 3 | 中程度のスキル + 産業システム知識のある攻撃者 | 重要インフラ供給者、自動車 Tier1 |
| SL 4 | 高度・国家レベル攻撃 | 防衛、原子力、電力中枢 |
Foundational Requirements（FR）7 領域
IEC 62443-3-3 は 7 つの基礎要件を定義。SL を上げるほど各 FR の要求強度が上がる。
| FR | 要件 | SL 2 の典型例 |
|---|---|---|
| FR 1 | 識別・認証制御 | 個別 ID 化、共有 ID 廃止 |
| FR 2 | 使用制御 | 役割ベース権限、特権分離 |
| FR 3 | システム完全性 | 通信改ざん検知、設定変更ログ |
| FR 4 | データ機密性 | 通信暗号化、機微データ保護 |
| FR 5 | データフロー制限 | Zone-Conduit 分離 |
| FR 6 | イベント応答 | ログ収集、インシデント検知 |
| FR 7 | 資源可用性 | 冗長化、DoS 対策 |
Purdue モデルでの工場ネットワーク分離（L0-L5 + DMZ）
Purdue Enterprise Reference Architecture は工場ネットワークを 6 層に階層化したモデルで、IEC 62443 のゾーン設計の前提として広く使われる。
階層と典型機器
| Level | 名称 | 典型機器 | セキュリティ重点 |
|---|---|---|---|
| L0 | 物理プロセス | センサー、アクチュエータ、モーター | 物理アクセス制御 |
| L1 | 基本制御 | PLC、RTU、安全 PLC | プロトコル制御、書込制限 |
| L2 | 監視制御 | SCADA、HMI、エンジニアリング WS | 認証強化、ログ |
| L3 | 製造運用管理 | MES、ヒストリアン、生産計画 | パッチ管理、AV |
| L3.5 | DMZ | データ中継、リモート保守ジャンプ | 一方向ゲートウェイ、検疫 |
| L4 | 事業ネットワーク | ERP、メール、グループウェア | IT セキュリティ標準 |
| L5 | エンタープライズ / 外部 | クラウド、本社、取引先 | ゼロトラスト |
DMZ（L3.5）の重要性
L3（OT）と L4（IT）を直接接続すると、IT 側侵害が即 OT に伝播する。間に DMZ を挟み、OT 側からの送信のみ許可（一方向ゲートウェイ） または 検査済み接続のみ通過（産業用ファイアウォール + プロキシ） とする。
中堅製造業で 2026 年時点で多い構成は以下：
- 検査済み双方向（IT 系 FW で IPS / アプリ制御）：コスト低、運用負担中
- 一方向ゲートウェイ（Waterfall 等）：コスト中、運用負担低、SL 3 相当
- 完全エアギャップ：MES / 予兆保全と両立困難で実態減少
Zone と Conduit
IEC 62443 は Purdue を「機能で類似する機器の Zone」と「Zone 間通信の Conduit」に再整理する。Conduit ごとにプロトコル / 帯域 / 認証 / 暗号化要件を定義し、SL を割り当てる。
中堅製造の段階対応 5 ステップ
12-24 ヶ月で SL 2 達成を目標にした実装ロードマップ。各ステップで「観測 → 設計 → 実装 → 運用」のサイクルを回す。
Phase 1: 棚卸し（1-3 ヶ月、初期 200-500 万円）
目的：何を守るのかを確定する。
- OT 資産可視化ツール（Claroty / Nozomi / TXOne など）を MES / 制御 LAN にミラーポート接続でパッシブ導入
- PLC / SCADA / HMI / エンジニアリング PC / リモート保守経路の全資産棚卸し
- プロトコル / OS バージョン / ファームウェア / 通信先 / 既知脆弱性の把握
- 業務影響度（停止時の損失額 / 安全影響）でクリティカリティ分類
よくある発見：「把握していなかった Wi-Fi AP」「保守ベンダーの常時 VPN」「サポート切れ Windows XP の SCADA」「同じ管理者 ID を 8 部署が共用」。多くの工場で資産台帳と実態に 30-50% の乖離がある。
Phase 2: ネットワーク分離（3-6 ヶ月、500-2,000 万円）
目的：被害の拡大を物理 / 論理的に止める。
- L4-L3 間の DMZ 構築（産業用 FW + ジャンプサーバ）
- 制御 LAN を機能別 Zone に分割（生産ライン別 / 安全系 / エンジニアリング）
- VLAN + ACL + 産業用 FW（Hirschmann / Belden / Fortinet Rugged など）
- リモート保守を VPN 常時接続から 申請ベース ジャンプサーバ経由に切替
中堅製造で最もコスト効果が高いフェーズ。Phase 1 → 2 で 「侵害されても工場停止に至らない」確率が大幅に上がる。
Phase 3: アクセス制御（6-9 ヶ月、300-1,000 万円）
目的：誰が何をしたかを追跡可能にする。
- 共有 ID の廃止と個別 ID 化（現場運用と両立する例外設計が肝）
- 特権アクセス管理（PAM）で PLC 書込・設定変更を記録
- リモート保守ベンダーの個別 ID + 期限付きアクセス
- USB ポート制御（物理 / 論理）、検疫キオスク
最も現場との摩擦が起きるフェーズ。「夜間トラブル対応で MFA がブロッカーになる」問題は、緊急時バイパス + 事後証跡で運用と両立可能。
Phase 4: 監視（9-15 ヶ月、500-1,500 万円）
目的：侵害を「起きた」段階で検知する。
- OT 専用 IDS / NDR（Claroty CTD / Nozomi Guardian / Dragos Platform）
- ログ集約（Syslog / Windows イベント / FW ログを SIEM へ）
- 異常通信検知（許可リストベース、ベースラインからの逸脱）
- ダークアセット検出（無断接続デバイス）
OT 異常検知はホワイトリストベースが基本。IT の EDR とは異なり「正常通信を学習し、それ以外を異常」とする。
Phase 5: SOC 統合（12-24 ヶ月、月額 50-300 万円）
目的：24/365 で対応可能な運用を作る。
- IT-OT 統合 SOC（内製 / 外部 MSS / ハイブリッド）
- インシデント対応プレイブック（OT 特有の「止めない」対応設計）
- 演習（机上 + 実機ペネトレ + Red Team）
- ベンダー / SIer / OEM との合同訓練
中堅製造業で完全内製 SOC は人件費的に困難（24/365 で最低 8-10 名）。OT 監視のみ自社、夜間 / 二次対応を MSS 委託のハイブリッド が 2026 年時点で最も多い構成。
「自社工場の OT セキュリティ現状を 10 分で診断したい」
IEC 62443 SL レベル / Purdue 階層別の現状と、優先 3 施策をオンライン診断で出します。
※ 営業電話なし | 結果はその場で表示 | 匿名診断可
工場規模別の費用感（PoC 500 万 / 中規模 5,000 万-1 億 / 大規模 1-3 億）
公開ベンダー資料 / SIer 見積実績 / IPA の中堅製造業向け実装ガイドからの 2026 年中盤時点での相場感。実際の見積は工場規模 / 既存資産 / 目標 SL で大きく振れる。
Tier 1: PoC / 1 ライン（初期 500-1,500 万円、年次 100-300 万円）
- 主力工場 1 ラインのみで Phase 1+2 部分実施
- OT 資産可視化（パッシブ）+ 基本ネットワーク分離
- IEC 62443 SL 1+ 相当
- 中堅製造で「まず始める」最小構成
Tier 2: 中規模 / 1 工場全体（初期 5,000 万-1 億円、年次 500-1,500 万円）
- 主力工場 1 拠点で Phase 1-4 実施、SL 2 達成
- DMZ 構築 + Zone 分離 + アクセス制御 + 監視
- 国産大手 SIer + OT セキュリティベンダー組合せ
- 300-3,000 名 / 売上 100-1,000 億円規模の現実的中核投資
Tier 3: 大規模 / 多拠点（初期 1-3 億円、年次 2,000-6,000 万円）
- 5-15 工場の SL 2 達成 + 主力工場 SL 3 + IT-OT 統合 SOC
- 24/365 監視（外部 MSS or 内製）
- 第三者監査（ISASecure / TÜV / JET）対応
- 自動車 Tier1 / 医薬 / 食品大手の標準
コスト構造の内訳目安（Tier 2 中規模の例）
| 項目 | 比率 | 備考 |
|---|---|---|
| OT 資産可視化 / 監視ツール | 25-35% | Claroty / Nozomi 等のライセンス |
| ネットワーク機器（産業 FW / SW） | 20-25% | 産業用ハードウェア |
| SIer / コンサル工数 | 25-30% | 設計 / 実装 / 教育 |
| エンジニアリング PC 更新 / OS 移行 | 10-15% | レガシー脱却 |
| 演習 / 監査 / その他 | 5-10% | 年次 |
主要 OT セキュリティベンダー比較（Claroty / Nozomi / Dragos / TXOne / CDI）
中堅製造業で 2026 年時点で検討対象に挙がる主要ベンダー。各社のサイト公開情報に基づく整理。
| ベンダー | 強み | 想定価格帯 | 中堅製造との相性 |
|---|---|---|---|
| Claroty | プロトコル網羅性、エンタープライズ管理機能、xDome / CTD | 中-高 | 自動車 / 重工 / 化学に多数導入実績、SIer 連携多 |
| Nozomi Networks | 学習型異常検知、Guardian シリーズ、UI が比較的わかりやすい | 中-高 | 食品 / 医薬 / 製造ライン中規模に強い |
| Dragos | OT 脅威インテリジェンス、Platform + WorldView | 高 | 重要インフラ寄り、SL 3 以上を狙う場合 |
| TXOne Networks | エンドポイント側に強み、StellarProtect、Edge シリーズ | 中 | レガシー機器が多い工場、装置側保護 |
| Cyber Defense Institute（CDI） | 国産、日本語サポート、コンサル + 監視 | 中 | 国産優先 / 日本語 SOC が必要な中堅 |
選定の観点
- 既存制御プロトコルのカバレッジ — 特殊プロトコル使用工場は事前 PoC 必須
- SIer / 装置メーカーとの連携実績 — 三菱電機 / オムロン / シーメンス装置との互換確認
- 日本語サポート / 24/365 対応 — 国産 + 海外大手のハイブリッドが多い
- クラウド / オンプレ選択肢 — 完全オンプレが必要な工場（軍需 / 重要インフラ）
- 価格モデル — 監視対象資産数 / Zone 数 / サイト数で大きく異なる
注意：本表は 2026 年 4 月時点の公開情報に基づく一般的整理で、特定顧客の導入実績を示すものではない。実選定は PoC + 自社プロトコル / 既存環境での検証必須。
補助金活用（ものづくり / IT 導入 / 経産省ガイドライン）
中堅製造業の OT セキュリティ投資に使える主要補助金（2026 年度公募ベース、最新情報は各事務局 / 経産省サイトで要確認）。
ものづくり補助金（中小企業生産性革命推進事業）
- 設備投資 + ソフトウェア + システム構築費が対象
- 中小企業 1/2、中堅企業（特例）2/3 補助
- 上限 750 万-2,500 万（枠による）
- 工場ネットワーク刷新、産業 FW、OT 監視ツール導入で活用例多
- 採択率は近年 30-50%、事業計画の DX / 生産性向上説明が肝
IT 導入補助金（セキュリティ対策推進枠）
- セキュリティサービス利用料が対象
- IT 導入支援事業者登録のサービスが要件
- 補助率 1/2、上限 100-150 万円
- OT 寄りより IT 寄りのサービス（EDR / 監視）に向く
- 中堅製造で OT 監視サービス利用にも一部活用例
経産省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」
- 2022 年初版 / 2024 年改訂、補助金の要件参照元として頻出
- 中堅製造業向けの SL 2 相当ベースライン提示
- 自社対策の正当化資料として補助金申請に添付すると採択率向上
事業再構築補助金 / 中堅企業成長加速化補助金
- 大型投資（数千万-数億円）に向く、サプライチェーン全体の IT-OT 統合等
- 公募回ごとに対象 / 上限が変動
よくある質問（FAQ）
Q. OT と IT の完全分離（エアギャップ）は今でも有効か？
A. 理論上有効、実態は維持困難。MES 連携 / リモート保守 / 予兆保全 / USB 持込で完全分離は崩れる。2026 年の現実解は「論理的に分離 + Conduit を厳格管理 + 監視で異常検知」の組合せ。一方向ゲートウェイ（Waterfall 等）で「OT → IT 方向のみデータ送信」構成は SL 3 相当で重要工場に有効。
Q. PLC のパッチは止めて良いか？
A. 基本は止める / 計画停止時のみ + 装置メーカー検証必須。PLC のファームウェア更新は装置メーカーの動作保証範囲を超える可能性があり、独自更新は推奨しない。代わりに 仮想パッチング（IPS / 産業 FW で既知攻撃の通信パターンを遮断） で年次計画停止までを繋ぐ運用が一般的。サポート切れ機器は中期的に更新計画を立てる。
Q. 中堅で SOC 内製は無理か？
A. 完全内製は人件費的に困難（24/365 で最低 8-10 名 = 年 1 億円以上）。中堅製造業の現実解は (1) 平日日中のみ自社 SOC + 夜間 / 休日 MSS、(2) Tier 1 は MSS / Tier 2-3 は自社、(3) IT-SOC は自社 / OT は MSS のハイブリッド。完全外部委託も選択肢だが、OT は自社業務知識が必要なため、最低 1-2 名は OT セキュリティ専任を置く構成が多い。
Q. ゼロトラスト OT で適用できる範囲は？
A. L3-L4 境界 / 保守接続 / リモート操作には適用可能、L0-L1 の制御コアには 2026 年時点で限定的。ゼロトラストの「常に検証」原則は OT のリアルタイム性と相性が悪い領域がある。現実的には (1) 保守ベンダー接続、(2) エンジニアリング WS から PLC への書込、(3) 工場間通信 にゼロトラスト原則を段階適用し、L0-L1 はホワイトリスト + 監視で守る組合せが主流。
Q. SL 2 と SL 3 の差はどれくらいの投資差になるか？
A. 同一工場で SL 2 → SL 3 への引上げで 1.5-2.5 倍程度の追加投資が目安。主因は (1) 個別認証 + MFA の徹底、(2) 通信暗号化 + 改ざん検知、(3) 24/365 監視 + 専任体制、(4) 第三者監査 / 認証取得。中堅製造で SL 3 を全工場に適用する経済合理性は高くなく、最重要 1-2 ゾーンのみ SL 3、それ以外 SL 2 が現実解。
Q. 取引先の大手 OEM から OT セキュリティ準拠を要求された。何から始めるべきか？
A. 要求元の具体仕様を取り寄せた上で Phase 1 棚卸しを最優先。OEM の要求は IEC 62443 ベースが多いが、独自 +α 要求を含むケースもある。要求項目と現状のギャップ分析（Gap Assessment）を 1-2 ヶ月で実施し、優先度 + ロードマップで合意を取りに行く。「全部即対応」は予算的に不可能なケースが大半で、段階対応の妥当性を取引先に説明する資料化が現実解。
Q. 第三者認証（ISASecure / TÜV / JET 等）の取得は必須か？
A. 法令上必須ではないが、自動車 / 防衛 / 医薬 / 電力 / 重要インフラ供給業界では取引条件として事実上必須化が進む。中堅製造業で 2026 年時点では「主力工場 1 拠点を SL 2 認証取得 → 横展開」が現実的。認証取得は準備 + 監査で 6-12 ヶ月、費用 500-2,000 万円が相場。
Q. レガシー Windows XP / 2000 の SCADA はどう扱うべきか？
A. 更新計画 + ネットワーク隔離 + 仮想パッチングの 3 点セット。即時更新は装置メーカー保証 / 業務影響で困難なため、(1) 中期更新計画（3-5 年）の予算化、(2) 専用 VLAN / FW で他系統から完全隔離、(3) 産業 FW / IPS で既知脆弱性の攻撃通信遮断、を組合せて延命する。この間に予算と装置更新を進める。
関連記事
- IEC 62443 OT セキュリティ 段階的実装ガイド 2026 — SL 達成と監査対応
- OT セキュリティ エアギャップ × IEC 62443 中堅製造業の実装ガイド — ゾーン分離と監査受け入れ
- OT/ICS セキュリティ実務ガイド 2026 — 製造業の工場ネットワーク防御
- PLC / SCADA CVE 緊急対応 製造業 2026 Q2
- 村田製作所 サイバー攻撃事例 製造業セキュリティチェックリスト
- 中堅製造業の DX 2026 — AI / セキュリティ / 人材の 3 トレンド
- SIEM / SOC マネージドセキュリティ コスト比較 中堅 2026
- 経済安全保障推進法 重要インフラ事前審査 中堅 2026
参考資料
- ISA / IEC「ISA/IEC 62443 Series of Standards」公式ページ
- 経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」（2022 年初版 / 2024 年改訂）
- IPA「制御システムのセキュリティリスク分析ガイド」
- IPA「情報セキュリティ 10 大脅威 2026」
- NIST「SP 800-82 Rev.3 Guide to Operational Technology (OT) Security」
- Dragos「ICS/OT Cybersecurity Year in Review」（年次公開レポート）
- 村田製作所「不正アクセス事案に関するお知らせ」公表資料
- 川崎重工「海外拠点における不正アクセスについて」公表資料
- 中小企業庁「ものづくり補助金」公募要領（最新公募回）
- 経済産業省 / 中小企業庁「IT 導入補助金 セキュリティ対策推進枠」公募要領
- ISASecure / TÜV / JET 各認証プログラム公開資料
- Claroty / Nozomi Networks / Dragos / TXOne Networks / Cyber Defense Institute 各社公開製品資料
中堅製造業の OT セキュリティ、IEC 62443 段階対応の伴走支援が必要なら
Phase 1 棚卸し（1-3 ヶ月、200-500 万円）からの開始も、Tier 2 中規模（5,000 万-1 億円）の包括設計も対応します。SIer / OT ベンダー / 装置メーカーとの連携、補助金申請支援、第三者監査対応まで一気通貫で。
※ 営業電話はしません | NDA 締結後の現状診断可 | 経営層 + 工場長 + 情シス同席推奨
中堅製造業の OT セキュリティ / 工場ネットワーク分離 / IEC 62443 段階対応 / IT-OT 統合 SOC 構築 / 補助金活用支援は GXO のセキュリティサービスで対応可能です。