中堅製造業の工場では、PLC・DCS・SCADA・HMIといった制御系（OT：Operational Technology）がランサムウェアの新たな標的になっている。IPA「情報セキュリティ10大脅威2026」でも、ランサム被害は4年連続で組織向け脅威の1位だ。本記事では、従業員100〜1000名規模の中堅製造業がIEC 62443に準拠しながら12ヶ月で実装できる現実的なロードマップを、Purdue Modelのレベル別対策とTCO試算まで具体数字で整理する。
なぜ今、中堅製造業にOTセキュリティが必要か
規制と事故の二重圧力
経済産業省は2022年に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」を公表し、2024年版で製造業向けの対策水準を引き上げた。並行して、IPA「情報セキュリティ10大脅威2026」ではランサムウェアが組織向け脅威の1位、サプライチェーン攻撃が2位を占める。中堅製造業はTier2/Tier3サプライヤーとして、大手取引先からOTセキュリティ準拠を要求されるケースが2025年以降急増している。
| 項目 | 内容 |
|---|---|
| 経産省ガイドライン | 2022年初版・2024年改訂、工場システムのゾーン分割を推奨 |
| IEC 62443 | OT専用の国際標準、Security Level 1〜4で成熟度を評価 |
| 取引先要求 | 大手OEMからTier2サプライヤーへの準拠要請が拡大 |
| NIST SP 800-82 | 米国基準、日本のガイドラインも整合 |
攻撃面は拡大する一方
スマートファクトリー化に伴い、OT機器のIPネットワーク接続、遠隔保守のVPN常時接続、USB媒体の持込みなど、攻撃経路は増える一方だ。一度工場が停止すれば1日の機会損失は数千万円規模となり、復旧まで数週間を要した事例も海外で報告されている。
まとめ：OTセキュリティは「攻めの投資」ではなく「事業継続の必須コスト」。規制・取引先・保険の三重圧力で待ったなしの状況にある。
MANUFACTURING DX
Excel限界から受発注システムへ、同規模の概算は？
中小製造業の概算費用・導入期間・役割分担マトリクスをその場で確認。要件整理テンプレも無料提供します。
IEC 62443で整理する4つの実装アプローチ
OTセキュリティの実装方式は、IEC 62443-3-3が定義するSecurity Level（SL）に紐づけて検討する。中堅製造業はSL2（意図的・汎用的な攻撃への耐性）を12ヶ月で達成することが現実的な目標となる。
パターンA：全社一括導入（エンタープライズ型）
- 特徴：OT SOC外部委託 + 全工場同時展開
- 費用目安：初期3000万円〜、月額150万円〜
- 導入期間：18〜24ヶ月
- 向き：従業員800名以上、多拠点運用
パターンB：基幹工場先行型（推奨）
- 特徴：主力工場1拠点でSL2達成、横展開
- 費用目安：初期800万円〜1500万円、月額30万円〜
- 導入期間：12ヶ月
- 向き：従業員100〜500名の中堅製造業
パターンC：ネットワーク分離特化型
- 特徴：Purdue Modelのレベル3/3.5境界にファイアウォール集中投資
- 費用目安：初期500万円〜800万円、月額10万円〜
- 導入期間：6ヶ月
- 向き：予算制約が強いTier3サプライヤー
パターンD：MSSPフル委託型
- 特徴：OT監視を専門SOCに完全委託
- 費用目安：初期300万円〜、月額80万円〜
- 導入期間：3ヶ月
- 向き：情シス体制が薄い企業
比較表：
| 軸 | A 全社一括 | B 基幹工場先行 | C ネットワーク分離 | D MSSP委託 |
|---|---|---|---|---|
| 初期費用 | 3000万〜 | 800〜1500万 | 500〜800万 | 300万〜 |
| 月額費用 | 150万〜 | 30万〜 | 10万〜 | 80万〜 |
| SL達成目標 | SL3 | SL2 | SL1〜2 | SL2 |
| 社内人材 | 必要 | 中程度 | 少 | 不要 |
まとめ：中堅製造業にはパターンBが最もROI効率が高い。基幹1拠点でSL2を達成してから横展開する段階導入が現実解。
Purdue Model別12ヶ月実装ロードマップ
Purdue Enterprise Reference Architecture（PERA）は、制御系をレベル0（物理プロセス）〜レベル5（企業ネットワーク）の6階層で整理するモデル。IEC 62443もこのレイヤー分割を前提としている。
フェーズ1（0〜3ヶ月）：可視化と境界定義
- レベル0〜3の資産台帳作成（PLC・RTU・HMI・エンジニアリングWS）
- 通信フロー可視化（Nozomi Networks / Claroty / Dragos等のパッシブスキャナ）
- レベル3/3.5境界（DMZ）の現状把握
投資目安：150万〜250万円（資産可視化ツール年間ライセンス + コンサル）
フェーズ2（3〜6ヶ月）：ネットワーク分離（ゾーン&コンジット）
- IEC 62443-3-2のゾーン定義（生産ライン別・エリア別）
- レベル3/3.5 DMZに産業用ファイアウォール（Fortinet / Palo Alto / Cisco ISA）配置
- USB持込制御（端末ホワイトリスト化）
投資目安：300万〜500万円（FW機器 + 工事 + ポリシー設計）
フェーズ3（6〜9ヶ月）：監視と検知
- OT専用IDS（異常通信検知）導入
- ログ収集基盤（Splunk / Elastic / QRadar）への連携
- 24時間監視体制（内製 or MSSP選定）
投資目安：200万〜400万円（IDSライセンス + SIEM構築）
フェーズ4（9〜12ヶ月）：運用と訓練
- インシデント対応手順書（IR Playbook）整備
- 年2回の机上演習
- 保守ベンダー契約の見直し（リモート保守ゲートウェイ統一）
投資目安：150万〜300万円
ROI試算例：
- 前提：従業員300名、年商80億円、基幹工場1拠点
- 投資：初期1200万円 + 月額35万円（年間420万円）
- 回収：ランサム被害1件あたりの平均復旧費用3000万円（IPA調査）と操業停止1日2000万円の損失回避で12〜18ヶ月
よくある質問 FAQ
Q. 既存のPLCやHMIが古くてパッチが当たりません。どう守ればよいですか
A. IEC 62443の考え方は「機器を更新できない前提でのネットワーク防御」です。具体的には、古い機器を独立したゾーンに閉じ込め、ゾーン境界の産業用ファイアウォールで通信を許可リスト方式で絞り込みます。これを「補償的コントロール」と呼びます。機器更新の時期まで、ネットワーク分離と通信監視で攻撃面を最小化するアプローチが標準です。
Q. IT部門とOT部門で責任範囲が曖昧です。どう整理すべきですか
A. Purdue Modelのレベル3.5（DMZ）を境界として、それより上はIT部門、下はOT部門・製造技術部門が主管するのが標準です。ただし監視オペレーションとインシデント対応は統合する必要があります。経産省ガイドラインでもIT-OT統合SOCの設置が推奨されており、CISO配下にOTセキュリティ責任者を新設する企業が増えています。
Q. IEC 62443のSL2達成に必要な最小投資はいくらですか
A. 中堅製造業の基幹工場1拠点でSL2を達成する場合、初期費用500万〜800万円、年間運用費用120万〜360万円が目安です。この金額には産業用ファイアウォール、資産可視化ツール、OT専用IDS、運用手順整備のコンサル費用が含まれます。IT導入補助金や事業再構築補助金の「セキュリティ対策推進枠」を併用することで、初期費用を最大1/2圧縮できます。
まとめ
- 結論 1：中堅製造業のOTセキュリティはIEC 62443 SL2を12ヶ月で達成するのが現実解
- 結論 2：基幹工場先行型（初期800〜1500万円）がROI効率最良、段階横展開が定石
- 結論 3：Purdue Modelレベル3/3.5境界の分離と資産可視化の2点が最初の投資ポイント
GXOでは、中堅製造業向けに工場OTセキュリティ無料診断を受け付けております。現状のPurdue Model整合状況とIEC 62443準拠ギャップの可視化まで、初回のヒアリングで整理いたします。