OTセキュリティの最適な選び方を徹底解説！おすすめの製品も紹介

選び方に入る前に、OTセキュリティが何を守る製品なのかを押さえます。守る対象が曖昧なままだと、役割の違う製品を比べてしまいかねません。ここでは4点に絞って確認しましょう。

OTセキュリティが守る対象

OTは、工場の設備やラインを動かす制御システムのことです。PLC、SCADA、HMIと、それらをつなぐ制御ネットワークが対象になります。OTセキュリティは、これらを攻撃やマルウェアから守る製品の総称です。

守り方には、通信の見える化と異常検知、境界の防御、端末やUSBの保護、保守接続の管理などがあります。1つの製品で全部を賄えるとは限らない点が前提です。

情報システムのセキュリティとの違い

情報システムでは、ネットワークをスキャンして機器を洗い出す方法が広く使われます。OTでは、機器へ余計な通信を送ること自体が、動作の不安定化につながるおそれがあるのが違いです。

NIST SP 800-82 Rev.3は、アクティブスキャンを極めて慎重に扱うべきだとしています。計画停止中の実施が望ましい、という内容です。通信を足さないパッシブ監視は、最初の一歩になりうると整理されています。

押さえておきたい標準とガイドライン

経済産業省は2022年11月に、工場システムのセキュリティ対策ガイドラインを策定しました。対策の考え方とステップを示す手引きで、重要度が同等の資産をゾーンとして扱う点が特徴です。

IEC 62443は、複数の部で構成される国際規格です。運用の体制、ゾーンの設計、システムの要件を定める部があります。製品の開発と部品の要件を定める部もあります。製品の認証がある場合は、どの部が対象かを確認しましょう。

選定でつまずきやすい理由

守る対象が、通信の監視、境界、端末、USB、保守接続と分かれるためです。同じ「OT向け」でも、製品によって役割が大きく異なります。

例えばWideAngle OsecTは、検知までを担い、通信の遮断は別の仕組みで備えます。FortiGate Ruggedは、境界に置いて通信を止める製品です。

編集部コメント：守る対象を、制御ネットワーク、制御端末、保守の接続の3つに分けて書き出すと便利です。各社の提案が、どの対象を守るものかを比べやすくなります。

OTセキュリティは、守る対象と設置の仕方によって、大きく5つの型に分けられます。呼び方はメーカーによって異なるため、この記事では役割で整理しました。どの型を選ぶかで、必要な工事と運用が変わります。

• パッシブ監視型
• インライン型
• 端末・USB保護型
• 一方向ゲートウェイ型
• リモートアクセス管理型

パッシブ監視型

スイッチのミラーポートなどから通信を受け取り、機器の一覧と通信の様子を把握する型です。制御機器へ通信を足さないため、稼働中の設備にも入れやすい点が特徴です。

例えばNozomi Guardianは、受動監視のみでの運用に対応します。Cisco Cyber Visionは、対象のシスコ製スイッチにセンサーを組み込みます。通信の遮断は、別の仕組みが必要です。

インライン型

制御ネットワークの境界やライン間に置き、通信を通すか止めるかを判断する型です。通信の経路に入るため、設置の工事と停止の時間を、計画に含める点が前提です。

Moxa EDR-G9010は、MELSECとOmron FINSの通信内容を検査できます。FL MGUARDのステルスモードは、既設設備の構成を変えずに追加できます。

端末・USB保護型

制御端末そのものや、持ち込まれるUSBメモリを守る型です。更新できない古いOSの端末や、ネットワークにつながらない設備でも、対策を考えられます。

TXOne Stellarは、1つのコンソールで端末を管理します。対象は、Windows 2000からServer 2025までです。MetaDefender Kioskは、持ち込みのメディアを検査し、無害化します。

一方向ゲートウェイ型

通信の向きを物理的に片方向へ限り、制御側へ戻る経路を持たない型です。設備のデータやログを、情報系へ出したい場合に使われます。

MHIパワーエンジニアリング OWCDは、100Mbpsから10Gbpsまでの機種があります。片方向のため、情報系から制御機器へ設定やプログラムを送る用途には向きません。

リモートアクセス管理型

保守ベンダーなどが、外部から設備へ接続する経路を管理する型です。接続の申請、承認、記録をまとめ、共通のパスワードを利用者に見せない仕組みを持つ製品があります。

IIJ Safous Industrial SRAの接続は、許可したアプリケーション単位です。Ewon Cosy+は、機械ごとに置くゲートウェイで、Talk2m経由のVPNを使います。

同じOTセキュリティでも、何を実現したいかで優先する条件は変わります。製造現場でよくある3つの目的を取り上げました。目的が複数あるなら、最も手を付けやすいものから順に進めます。

制御ネットワークの機器と通信を見える化したい

最初の目的は、何がつながり、どう通信しているかを把握することです。パッシブ監視型が基本で、機器の台帳づくりにも使える点が利点です。

WideAngle OsecTは、サポート切れOSの端末を自動で検出します。PFU iNetSec SFは、未許可の機器を検知して遮断できます。

ITとOTの境界やライン間を区切りたい

IT側との境界や、ライン間の通信を制限するのが目的です。インライン型のファイアウォールが候補で、通信を許可する範囲を決めて運用します。

FortiGate Ruggedは、IEC 62443-4-2のSL4認証を持ちます。Check Point Rugged Firewallは、公式FAQでIEC 62443非対応です。

古い端末・USB・保守の接続を守りたい

侵入の経路になりうる、古い端末と持ち込みのUSB、保守ベンダーの接続を管理する目的です。端末側の保護と、外部からの接続管理は、分けて考える点が前提です。

Forescout SRAは、VPNを使わないブラウザ接続で、保守の接続を仲介します。TXOne Stellarは、OSを更新せずに古いWindows端末を保護できます。

使う部門が変わると、重視する条件も変わります。製造・生産技術、情報システム、保全・保守の3つで見ていきます。現場の設備への影響と、IT側の運用の両方を確認することが大切です。

製造・生産技術部門

ラインを止められない設備を預かる部門です。設備へ通信を足さないか、設置の工事が要るかを、最初に確認します。設置場所の温度も条件になります。

PFU iNetSec SFのセンサーは、動作温度が5〜40℃です。MHIパワーエンジニアリング OWCDも、使用温度は5〜40℃です。盤内や高温の現場は、事前に確認しましょう。

情報システム部門

IT側のセキュリティ運用に、OTの監視を載せたい部門です。既存のSIEMやファイアウォールと連携できるかが、比較の焦点です。

Microsoft Defender for IoTは、SIEMやXDRと連携できます。Palo Alto Networks OT Device Securityは、NGFWに追加します。

保全・保守部門

設備の保守と、ベンダーの遠隔対応を担う部門です。接続を誰に許すかと、機器の台帳が古くならない仕組みが課題です。

IIJ Safous Industrial SRAには、海外拠点向けの現地サポートがあります。Ewon Cosy+は、納入した機械を遠隔から保守したい機械メーカーに向きます。

企業規模では、規模そのものよりも、規模から来る制約を見ます。専任の担当者の有無、拠点の数、調達の進め方が主な違いです。中小・中堅・大企業の3つで整理しました。

中小企業

専任のセキュリティ担当がいないことが多く、運用の手間が制約になります。価格が公開され、設定作業の少ない製品から検討しましょう。

Microsoft Defender for IoTのXSは、月額相当10,494円です。最大100台のサイトが対象となります。WideAngle OsecTは、1台ごとに税抜で初期費350,000円、月額90,000円です。いずれも公式の公開価格で、最新の金額は窓口で確認しましょう。

中堅企業

複数の工場を持つと、拠点ごとに運用が分かれるのが課題です。本社で監視をまとめられるかと、国内の窓口があるかを確認します。

Nozomi Guardianは、多数の拠点の監視を本社で集約する用途に向きます。PFU iNetSec SFのクラウド版は、月額36,000円からです。センサーの2週間無料貸し出しもあります。

大企業

拠点数が多く、調達や稟議の条件も厳しくなります。IEC 62443への対応、SIEMとの連携、全社での標準化が焦点です。

Dragos Platformは、複数プラントの監視データを、拠点ごとと全社でまとめられます。Claroty xDomeは、IEC 62443に沿ったゾーン分けのポリシーを推奨します。

目的・部門・規模で方向が見えたら、具体的な仕様に落とし込みます。確認の順番が大切です。上から順に見ていくと、手戻りを減らせるでしょう。

• 守る対象と範囲を決める
• 導入形態とクラウド連携を決める
• 対応プロトコルとPLCメーカーを確認する
• 設備への影響とリモートアクセスを確認する
• 標準・ガイドラインと日本語サポートを確認する

守る対象と範囲を決める

最初に、守る対象を制御ネットワークの通信、制御端末、保守ベンダーの接続に分けます。拠点の数と、守る機器の台数も書き出しましょう。

経済産業省のガイドラインは、重要度が同等の領域をゾーンとして扱う考え方を示します。IPAも、制御システムのセキュリティリスク分析ガイドを公開しています。

導入形態とクラウド連携を決める

監視だけのパッシブ型は、通信の遮断をしません。遮断まで求めるなら、インライン型のファイアウォールなどを組み合わせます。

クラウド連携の有無も条件です。WideAngle OsecTはSaaSが前提で、オンプレミス版は個別相談です。Nozomi Guardianは、完全オンプレミスでの運用にも対応します。

対応プロトコルとPLCメーカーを確認する

使っているPLCのメーカーとプロトコルに、製品が対応しているかを確認します。対応が数だけの表記では、自社の設備で使えるか判断できません。

Microsoft Defender for IoTは、MELSECとFINSを明記しています。Dragos Platformは、600以上と数で示すだけで、個別名は公開されていません。

設備への影響とリモートアクセスを確認する

通信を足さないパッシブ型でも、機器へ問い合わせる方式を併用する製品があります。Tenable One OT Exposureは、安全なアクティブクエリを備えます。使い方は、設備の稼働状況に合わせて決めましょう。

保守ベンダーの接続も、見落としやすい経路です。接続を一本化して記録する製品を、検討しましょう。この用途には、Forescout SRAがあります。IIJ Safous Industrial SRAも、この用途の製品です。

標準・ガイドラインと日本語サポートを確認する

IEC 62443は、認証の対象の部を見ます。部品の要件を定める4-2では、FortiGate RuggedのFortiOSがSL4です。Moxa EDR-G9010は、4-2のSL2を取得しています。TXOne Stellarは、開発プロセスの4-1が対象です。

日本語の窓口も、条件の一つになります。Nozomi Guardianの公式サイトは、英語のみです。日本語の情報は、販売パートナー経由になります。FL MGUARDは、Web設定画面が日本語表示に対応します。

製品データとして数値化できる4項目を、評価スコアで横並びにしました。設備保全・多拠点対応・現場での使いやすさ・中小適合の4つを、5段階で評価しています。並びは中小適合の高い順です。価格は2026年時点の公式ページの記載で、価格欄は要点のみ抜粋しました。

製品名や紹介文だけで選ぶと、導入後に役割や条件の食い違いが見つかることがあります。ここでは、よくある4つの失敗を取り上げました。回避策もあわせて確認してください。

監視だけの製品に遮断を期待する

可視化・検知の製品は、通信の遮断までを担わないものが少なくありません。WideAngle OsecTは、検知までを担う製品です。Nozomi Guardianは、遮断を別の仕組みに任せます。TXOne StellarのDiscoverも、検知だけで遮断はしません。

回避策：遮断までを求めるのか、気づくことが目的なのかを先に決めます。遮断が必要なら、境界のファイアウォールや遮断機能のある製品を、組み合わせて検討しましょう。

認証の対象を確認しない

「IEC 62443に対応」とあっても、対象の部は製品ごとに違います。Check Point Rugged Firewallは、公式FAQでIEC 62443非対応です。Ewon Cosy+は、認証ではなく外部機関の評価の証明書です。

Tenable One OT Exposureは、製品の認証取得を公式サイトで確認できません。回避策：認証の部と、対象が製品かメーカーかを、証明書で確認しましょう。

価格と構成の前提を見落とす

本体の価格だけでは、総額が見えない製品があります。Palo Alto Networks OT Device Securityは、NGFWが前提です。PAN-OS 10.2以降と、Threat Preventionのライセンスが必要です。Microsoft Defender for IoTの価格には、センサー機器が含まれません。

Moxa EDR-G9010のIPS機能は、追加ライセンスが必要です。回避策：必要なライセンスと機器、既存環境の条件を一覧にし、各社へ同じ条件で依頼しましょう。

設置条件とデータの扱いを確認しない

設置場所とデータの送り先で、使えない製品が出てきます。Dragos Platformの汎用モデルは、動作温度が0〜40℃です。Azureに接続する構成では、データの行き先に注意します。Microsoft Defender for IoTは、欧州以外の通信が米国東部へ向かいます。

Ewon Cosy+の接続は、クラウドのTalk2mを経由する構成です。回避策：設置場所の温度と、データを外部へ送れるかを、自社の規程で確認しましょう。

OTセキュリティの選定は、守る対象を書き出すことから始まります。種類は、監視、境界、端末・USB、一方向、リモート接続の5つの型です。目的・部門・規模のいずれでも、最初に確認したいのは、守る対象と設備への影響です。

方向が定まったら、5つの条件を順に確認します。対象、導入形態、プロトコル、設備への影響、標準とサポートです。よくある失敗は4つです。遮断の期待違い、認証の対象違い、前提の見落とし、設置条件の確認不足でした。

製品の一覧はOTセキュリティのカテゴリページで確認できます。無料で試せる手段は無料で使えるOTセキュリティの記事で整理しています。