中堅製造業の工場では、PLC・DCS・SCADA・HMIといった制御系（OT：Operational Technology）がランサムウェアの新たな標的になっている。IPA「情報セキュリティ10大脅威2026」でも、ランサム被害は4年連続で組織向け脅威の1位だ。本記事では、従業員100〜1000名規模の中堅製造業がIEC 62443に準拠しながら12ヶ月で実装できる現実的なロードマップを、Purdue Modelのレベル別対策とTCO試算まで具体数字で整理する。

なぜ今、中堅製造業にOTセキュリティが必要か

規制と事故の二重圧力

経済産業省は2022年に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を公表し、2024年版で製造業向けの対策水準を引き上げた。並行して、IPA「情報セキュリティ10大脅威2026」ではランサムウェアが組織向け脅威の1位、サプライチェーン攻撃が2位を占める。中堅製造業はTier2/Tier3サプライヤーとして、大手取引先からOTセキュリティ準拠を要求されるケースが2025年以降急増している。

項目内容
経産省ガイドライン2022年初版・2024年改訂、工場システムのゾーン分割を推奨
IEC 62443OT専用の国際標準、Security Level 1〜4で成熟度を評価
取引先要求大手OEMからTier2サプライヤーへの準拠要請が拡大
NIST SP 800-82米国基準、日本のガイドラインも整合

攻撃面は拡大する一方

スマートファクトリー化に伴い、OT機器のIPネットワーク接続、遠隔保守のVPN常時接続、USB媒体の持込みなど、攻撃経路は増える一方だ。一度工場が停止すれば1日の機会損失は数千万円規模となり、復旧まで数週間を要した事例も海外で報告されている。

まとめ：OTセキュリティは「攻めの投資」ではなく「事業継続の必須コスト」。規制・取引先・保険の三重圧力で待ったなしの状況にある。

IEC 62443で整理する4つの実装アプローチ

OTセキュリティの実装方式は、IEC 62443-3-3が定義するSecurity Level（SL）に紐づけて検討する。中堅製造業はSL2（意図的・汎用的な攻撃への耐性）を12ヶ月で達成することが現実的な目標となる。

パターンA：全社一括導入（エンタープライズ型）

  • 特徴：OT SOC外部委託 + 全工場同時展開
  • 費用目安：初期3000万円〜、月額150万円〜
  • 導入期間：18〜24ヶ月
  • 向き：従業員800名以上、多拠点運用

パターンB：基幹工場先行型（推奨）

  • 特徴：主力工場1拠点でSL2達成、横展開
  • 費用目安：初期800万円〜1500万円、月額30万円〜
  • 導入期間：12ヶ月
  • 向き：従業員100〜500名の中堅製造業

パターンC：ネットワーク分離特化型

  • 特徴：Purdue Modelのレベル3/3.5境界にファイアウォール集中投資
  • 費用目安：初期500万円〜800万円、月額10万円〜
  • 導入期間：6ヶ月
  • 向き：予算制約が強いTier3サプライヤー

パターンD：MSSPフル委託型

  • 特徴：OT監視を専門SOCに完全委託
  • 費用目安：初期300万円〜、月額80万円〜
  • 導入期間：3ヶ月
  • 向き：情シス体制が薄い企業

比較表：

軸A 全社一括B 基幹工場先行C ネットワーク分離D MSSP委託
初期費用3000万〜800〜1500万500〜800万300万〜
月額費用150万〜30万〜10万〜80万〜
SL達成目標SL3SL2SL1〜2SL2
社内人材必要中程度少不要
まとめ：中堅製造業にはパターンBが最もROI効率が高い。基幹1拠点でSL2を達成してから横展開する段階導入が現実解。

Purdue Model別12ヶ月実装ロードマップ

Purdue Enterprise Reference Architecture（PERA）は、制御系をレベル0（物理プロセス）〜レベル5（企業ネットワーク）の6階層で整理するモデル。IEC 62443もこのレイヤー分割を前提としている。

フェーズ1（0〜3ヶ月）：可視化と境界定義

  • レベル0〜3の資産台帳作成（PLC・RTU・HMI・エンジニアリングWS）
  • 通信フロー可視化（Nozomi Networks / Claroty / Dragos等のパッシブスキャナ）
  • レベル3/3.5境界（DMZ）の現状把握

投資目安：150万〜250万円（資産可視化ツール年間ライセンス + コンサル）

フェーズ2（3〜6ヶ月）：ネットワーク分離（ゾーン&コンジット）

  • IEC 62443-3-2のゾーン定義（生産ライン別・エリア別）
  • レベル3/3.5 DMZに産業用ファイアウォール（Fortinet / Palo Alto / Cisco ISA）配置
  • USB持込制御（端末ホワイトリスト化）

投資目安：300万〜500万円（FW機器 + 工事 + ポリシー設計）

フェーズ3（6〜9ヶ月）：監視と検知

  • OT専用IDS（異常通信検知）導入
  • ログ収集基盤（Splunk / Elastic / QRadar）への連携
  • 24時間監視体制（内製 or MSSP選定）

投資目安：200万〜400万円（IDSライセンス + SIEM構築）

フェーズ4（9〜12ヶ月）：運用と訓練

  • インシデント対応手順書（IR Playbook）整備
  • 年2回の机上演習
  • 保守ベンダー契約の見直し（リモート保守ゲートウェイ統一）

投資目安：150万〜300万円

ROI試算例：

  • 前提：従業員300名、年商80億円、基幹工場1拠点
  • 投資：初期1200万円 + 月額35万円（年間420万円）
  • 回収：ランサム被害1件あたりの平均復旧費用3000万円（IPA調査）と操業停止1日2000万円の損失回避で12〜18ヶ月

よくある質問 FAQ

Q. 既存のPLCやHMIが古くてパッチが当たりません。どう守ればよいですか

A. IEC 62443の考え方は「機器を更新できない前提でのネットワーク防御」です。具体的には、古い機器を独立したゾーンに閉じ込め、ゾーン境界の産業用ファイアウォールで通信を許可リスト方式で絞り込みます。これを「補償的コントロール」と呼びます。機器更新の時期まで、ネットワーク分離と通信監視で攻撃面を最小化するアプローチが標準です。

Q. IT部門とOT部門で責任範囲が曖昧です。どう整理すべきですか

A. Purdue Modelのレベル3.5（DMZ）を境界として、それより上はIT部門、下はOT部門・製造技術部門が主管するのが標準です。ただし監視オペレーションとインシデント対応は統合する必要があります。経産省ガイドラインでもIT-OT統合SOCの設置が推奨されており、CISO配下にOTセキュリティ責任者を新設する企業が増えています。

Q. IEC 62443のSL2達成に必要な最小投資はいくらですか

A. 中堅製造業の基幹工場1拠点でSL2を達成する場合、初期費用500万〜800万円、年間運用費用120万〜360万円が目安です。この金額には産業用ファイアウォール、資産可視化ツール、OT専用IDS、運用手順整備のコンサル費用が含まれます。IT導入補助金や事業再構築補助金の「セキュリティ対策推進枠」を併用することで、初期費用を最大1/2圧縮できます。

まとめ

  • 結論 1：中堅製造業のOTセキュリティはIEC 62443 SL2を12ヶ月で達成するのが現実解
  • 結論 2：基幹工場先行型（初期800〜1500万円）がROI効率最良、段階横展開が定石
  • 結論 3：Purdue Modelレベル3/3.5境界の分離と資産可視化の2点が最初の投資ポイント

GXOでは、中堅製造業向けに工場OTセキュリティ無料診断を受け付けております。現状のPurdue Model整合状況とIEC 62443準拠ギャップの可視化まで、初回のヒアリングで整理いたします。