おすすめのOTセキュリティを比較！基礎知識やできること、選び方までをわかりやすく解説！

OTセキュリティは、工場の制御システムとその通信を、サイバー攻撃やマルウェアから守る対策です。ITの対策とは前提が異なるため、守る対象と製品の型を先に押さえましょう。ここでは、対象、型、規格の3点を整理します。

OTセキュリティが守る対象

OTは、工場の設備を動かす制御の仕組みを指します。PLCやSCADA、HMIと、それらをつなぐ制御ネットワークが対象です。

ITと違い、設備を止められない点が大きな制約です。更新できない古いOSの端末も残るため、IT向けの対策をそのまま入れられない場合があります。

製品は5つの型に分けられる

製品は、守り方によって5つの型に分けられます。中心は、可視化・検知型と、産業用ファイアウォール・ゲートウェイ型、リモートアクセス型の3つです。

残る2つは、USB・持込端末対策型と、制御端末に入れるエンドポイント型です。1つの製品が複数の型にまたがる場合もあるため、本記事では主な役割で分類しました。

規格IEC 62443と国内の支援体制

IEC 62443は、産業用の制御システムのセキュリティに関する国際規格のシリーズです。製品の仕様では、開発体制を扱う4-1や、機器の技術要件を扱う4-2を見かけます。

ただし、認証を取得した製品と、外部の評価を受けただけの製品は区別が必要です。国内の窓口や日本語の情報も、運用を続けるうえで欠かせない確認事項です。

編集部メモ：制御システムの対策は、機器の動作に影響しにくい受動の監視から始める考え方があります。製品を比べるときは、機能の数よりも導入方式を先に確認しましょう。

OTセキュリティを選ぶ際には、守りたい対象と、設備への影響を整理することが重要です。製品の型が違えば、できることも導入の負担も変わります。次の3つの基準で、候補を絞り込みましょう。

守りたい対象と現状の課題を書き出す

まず、制御ネットワークにつながる機器の数と、設置場所を書き出します。台帳がない場合は、機器の洗い出しそのものが最初の課題です。

次に、古いOSの端末や、USBメモリの持ち込み、保守ベンダーの遠隔接続といったリスクを挙げましょう。課題ごとに、必要な製品の型が見えてきます。

設備への影響と導入方式を確認する

通信のコピーを見るだけの受動型は、設備の動作に影響を与えにくい方式です。通信経路に入るインライン型や、端末に入れるエージェント型は、導入時の確認事項が増えます。

止められない設備では、計画停止の時期に合わせた導入が前提です。検証環境で動作を確かめられるかも、選ぶときの判断材料になります。

対応機器と国内の支援体制を確かめる

自社のPLCが使う産業用プロトコルに、製品が対応しているかを確認します。公式の対応一覧に載っていない場合は、問い合わせが必要です。

海外製品では、日本語の情報や国内の窓口の有無も差になります。販売代理店やパートナーを通じた支援の範囲まで、事前に聞いておきましょう。

比較項目は5つあり、製品の型、導入方式、対応プロトコル、提供形態、規格と国内支援です。次の表で全体を確認し、各項目の見方を説明します。

製品の型

製品の型は、守る範囲と防御の手段を決める項目です。通信を見張る型は検知までを担い、ファイアウォール型は遮断まで担います。

リモートアクセス型は保守の接続を、USB対策型は持ち込み媒体を守ります。エンドポイント型は、端末そのものを守る型です。型の違いは、役割の違いを表します。

導入方式

パッシブ監視は、スイッチのミラーポートなどから通信のコピーを受け取る方式です。通信経路に入らないため、既設の設備に影響を与えにくい特徴があります。

インラインは通信の経路に機器を置くため、遮断ができる反面、障害時の影響を考える必要があります。エージェント型は、端末ごとにソフトを入れる方式です。

対応プロトコルとPLCメーカー

解析できる産業用プロトコルの範囲は、製品ごとに違う点が特徴です。MELSECやFINSなど国内メーカーの通信に対応するかは、公式の一覧で確認できます。

対応数を「600以上」のように、数だけで示す製品もあります。個別のプロトコル名は、問い合わせて確かめる必要があるでしょう。

提供形態

提供形態には、専用の機器を置くアプライアンス、仮想環境で動かす形、クラウドのSaaSがあります。SaaSは、制御ネットワークのデータをクラウドへ送る前提です。

契約は、買い切りと年間のサブスクリプションに分かれます。センサー機器がライセンスに含まれるかも、製品によって異なります。

規格と国内支援

IEC 62443は、製品自体の認証と、開発体制の認証を分けて見ます。外部の評価を受けただけの場合は、表記が異なる点が特徴です。

国内支援は、日本法人の有無と、販売代理店の支援範囲で判断します。日本語の管理画面や技術文書があるかも、運用の負担を左右する点です。

前章の比較項目をもとに、企業の特徴ごとの視点を整理します。制御ネットワークの把握度や体制、設備の古さによって、先に見るべき項目が変わります。自社に近い特徴から読んでください。

制御ネットワークの機器を把握できていない企業

機器の台帳がない企業は、受動監視で資産を洗い出す型から始める方法があります。設備に影響を与えにくく、導入の負担も小さい型です。

エージェントを入れられないPLCやIoT機器も見たい場合は、エージェント不要の製品が候補です。対応する産業用プロトコルも確認しましょう。

専任のセキュリティ担当がいない企業

専任がいない企業は、導入と運用の手間を抑えられる提供形態を優先します。センサーをつなぐだけで始められるSaaS型は、その一例です。

一方で、検知した後の対応は自社で判断する必要があります。運用支援のオプションがあるか、国内の窓口が日本語で対応するかを確かめましょう。

更新できない古いOSの制御端末が残る企業

サポートが切れたWindowsの制御端末は、OSを更新できないまま稼働し続けることがあります。この場合は、端末に入れるエンドポイント型が候補です。

対応OSの範囲と、インターネットにつながない端末への導入方法を確認します。保護する端末ごとに導入の作業が要る点も、費用に影響します。

保守ベンダーが外部から接続している企業

保守ベンダーがVPNなどで接続している企業は、誰がいつ何を操作したかを残せるかが焦点です。リモートアクセス型は、接続の申請と記録を一元化できる型です。

USBメモリを持ち込む保守が多い場合は、入口で検査するUSB対策型も併せて検討しましょう。通信の監視とは役割が異なる点に注意が要ります。

複数の工場を持つ企業や、ITとOTの境界を分けたい企業

複数の工場を持つ企業は、拠点の監視状況を本社でまとめて見られるかを確認します。クラウド管理かオンプレミス管理かで、運用の形が変わります。

ITとOTの境界やライン間を分けたい場合は、産業用ファイアウォールが候補です。IT側と同じ管理基盤で運用できるかも、比較の材料になります。

製品ページのある20製品のうち、円建ての価格を公式に公開しているのは4製品です。残りの16製品は、問い合わせや販売パートナー経由の見積もりが前提です。

センサー機器や追加ライセンス、運用支援が別に要るため、総額は表の金額より大きくなります。監視する台数と拠点数、遮断まで求めるかを決めてから、複数社に見積もりを依頼しましょう。

製品データとして数値化できる4項目を、製造業適合性スコアで横並びにしました。設備保全・多拠点対応・現場での使いやすさ・中小適合の4つを、5段階で評価しています。並びは中小適合の高い順で、同点は残りの評価軸の順に比べました。

価格は各社の公式サイトや公式発表の表記で、2026年時点の内容です。税込・税抜の表記は、元の表記のままにしています。

製品の型ごとの分類は、次のとおりです。

• ネットワーク可視化・検知型：WideAngle OsecT、Microsoft Defender for IoT、Nozomi Guardian、Cisco Cyber Vision、Claroty xDome、Tenable One OT Exposure、Dragos Platform、Kaspersky Industrial CyberSecurity、PFU iNetSec SF。制御ネットワークの機器と通信を見える化し、異常を検知する型です。
• 産業用ファイアウォール・ゲートウェイ型：FL MGUARD 2000/4000シリーズ、Moxa EDR-G9010シリーズ、Check Point Rugged Firewall、FortiGate Rugged、Palo Alto Networks OT Device Security、MHIパワーエンジニアリング OWCD。ITとOTの境界やライン間で通信を制御する型です。
• リモートアクセス型：IIJ Safous Industrial SRA、Ewon Cosy+、Forescout SRA。保守ベンダーなどの遠隔接続を管理する型です。
• USB・持込端末対策型：MetaDefender Kiosk。持ち込みのUSBメモリを入れる前に検査する型です。
• エンドポイント型：TXOne Stellar。古い制御端末に保護ソフトを入れる型です。

分類は、各製品の主な役割によります。

ここからは表に挙げた20製品を、順位の並びのまま見ていきます。強みだけでなく、向かないケースもあわせて示しました。自社の設備と体制に照らして読み進めてください。

Microsoft Defender for IoT

エージェントレスでOTネットワークを監視する、ネットワーク可視化・検知型です。サイト単位の円建て価格を公式に公開し、最大100台のXSは月額相当10,494円からです。

ライセンスにセンサー機器は含まれません。欧州以外のリージョンの通信は米国東部へ送られると、公式に記載があります。保管先に要件がある場合は、構成の検討が必要です。Microsoft 365やAzureを使う企業に向いています。

WideAngle OsecT

ミラーポートにセンサーをつなぐだけで始める、国産のSaaS型OT-IDSです。データ送信用のLTE回線が付属し、工場側の工事や設定変更を抑えられます。

検知までを担うパッシブ型で、通信の遮断は別の製品で備えます。クラウドへのデータ送信を認めない環境では、提供条件の確認が要る点に注意が必要です。専任の担当者がいない工場の見える化に向いています。

PFU iNetSec SF

エージェントなしで、ネットワークにつながる機器を検知し、未許可の機器を遮断できる製品です。クラウド版は月額36,000円からと、価格を公式に公開しています。

産業用プロトコルの解析やPLCの設定変更の検知は、公式サイトに記載がありません。センサーの動作温度は5〜40℃です。機器の洗い出しと、不正接続の防止から始めたい工場に向いています。

TXOne Stellar

対応OSの幅が広い、エンドポイント型です。Windows 2000 SP4からWindows Server 2025までを扱えます。更新できない古い端末を、OSを替えずに守れます。

エージェント型のため、保護する端末ごとの導入が前提です。Linuxは機能が限られます。可視化専用のStellar Discoverは、検知のみで遮断しません。インターネットにつなげない工場の端末にも向いています。

Nozomi Guardian

ミラーポートから受動監視し、資産とプロセス値の異常を捉えるOT-IDSです。互換一覧に三菱電機・オムロン・横河・Siemensなどを挙げ、エアギャップ環境にも対応します。

検知した脅威の遮断は、連携するファイアウォールなどで行います。メーカー公式サイトは英語のみで、日本語の情報は販売パートナー経由です。複数メーカーのPLCが混在する工場に向いています。

Ewon Cosy+

機械と遠隔地のエンジニアを、Talk2m経由のVPNで結ぶリモートアクセス型のゲートウェイです。技適を取得した4G JPモデルがあり、Webの設定ウィザードで設置できます。

接続はHMSのクラウドを経由するため、外部のクラウドを認めない工場では条件の確認が要ります。工場全体の監視や異常検知は対象外です。納入した機械を遠隔保守したい機械メーカーに向いています。

Cisco Cyber Vision

対象の産業用スイッチやルーターにセンサーを組み込み、専用アプライアンスなしで資産を可視化します。三菱電機やオムロンなど、国内メーカーのプロトコルにも対応します。

センサーを動かせるのは、シスコの対象機器と、Docker・VMware ESXiのホストだけです。他社製スイッチだけの現場への後付けは、想定されていない点に注意が必要です。シスコの産業用スイッチを使う工場に向いています。

Claroty xDome

450以上のプロトコルに対応するSaaSです。受動監視や安全なクエリなど、複数の方式で資産とリスクを把握します。IEC 62443に沿ったゾーン分けも推奨する点が特徴です。

オンプレミスで運用する場合は、別製品のCTDを選ぶ必要があります。国内の窓口は、東芝デジタルソリューションズなどの販売代理店です。センサーを置く前に、リスクを短期間で把握したい企業に向いています。

FL MGUARD 2000/4000シリーズ

ステルスモードで、既設設備の構成を変えずに追加できる産業用セキュリティルーターです。IEC 62443-4-2（SL-C 2）の認証対応品で、国内10拠点と全国の特約店が支えます。

産業用プロトコルの内容を検査するDPIの記載はなく、監視や異常検知もできません。認証対応は、公式に示された製品バージョン以降が対象です。稼働中の設備にファイアウォールを足したい企業に向いています。

MetaDefender Kiosk

持ち込みのUSBメモリを、制御ネットワークに入れる前に検査・無害化するメディアスキャン端末です。20種類以上のメディアを1台で扱え、30以上のエンジンでスキャンします。

入口での検査が中心で、未検査のメディアを端末側で使えなくするには別製品が必要です。すべてのUSBデバイスに対応するわけではない点にも、注意が要ります。保守ベンダーが持ち込む媒体の管理に向いています。

Check Point Rugged Firewall

ModbusやS7などのSCADAプロトコルを制御する、耐環境の産業用ファイアウォールです。-40〜75℃の動作温度を備え、屋外や遠隔の拠点に置きやすい製品です。

公式FAQに、Rugged FirewallはIEC 62443に対応しないと明記されています。脅威防御のスループットは400Mbpsです。IEC 62443への適合が調達条件の場合は選べません。屋外の拠点を境界で守りたい企業に向いています。

FortiGate Rugged

ファンレス・DINレール取付の産業用ファイアウォールです。データシートにFortiOSのIEC 62443-4-2 セキュリティレベル4認証を明記しています。OT向けIPSとSD-WANも備えます。

脅威防御のスループットは型番により500Mbps〜1.3Gbpsで、価格は非公開です。OT向けシグネチャはFortiGuardの契約で提供されるため、総額の比較には見積もりが要ります。IT側と同じ基盤で管理したい企業に向いています。

Moxa EDR-G9010シリーズ

MELSECとオムロンFINSをDPIで検査できる産業用ルーターです。IEC 62443-4-2 セキュリティレベル2認証と5年保証を備えます。国内の窓口は、Moxa Japan合同会社になります。

DPIの対象は公式に列挙されたプロトコルに限られ、IPS機能は追加ライセンスが必要です。標準モデルの動作温度は-10〜60℃です。三菱電機やオムロンのPLCを使うラインに向いています。

MHIパワーエンジニアリング OWCD

イーサネットの通信方向を物理的に片方向へ限る、三菱重工グループのデータダイオードです。100Mbpsから10Gbpsまで3機種があります。2026年4月時点で計150台の販売実績を公表しています。

片方向の制限時は、IT側からOT側へ通信できません。使用温度は全機種で5〜40℃です。制御ネットワークへ戻る経路を作らず、データだけをIT側へ出したい企業に向いています。

Tenable One OT Exposure

受動監視に加え、安全なアクティブクエリでOT資産と脆弱性を洗い出す製品です。ラダーロジックの変更履歴を残し、問題が起きたときにたどれます。

IEC 62443は機能としての対応記載で、製品の認証取得は公式サイトで確認できません。アクティブクエリを使うかは、現場での取り決めが要ります。ITとOTの脆弱性管理をまとめたい企業に向いています。

Dragos Platform

600以上のOTプロトコルを解析し、4種類の検知を組み合わせるOT監視基盤です。OT特化の脅威グループを追跡する脅威インテリジェンスを、検知に生かしています。

センサーごとに監視帯域の上限があります。公式資料に個別のプロトコル名やPLCメーカーの記載はなく、自社設備への対応は事前確認が必要です。複数プラントの監視を集約したい企業に向いています。

IIJ Safous Industrial SRA

工場ごとの専用アクセスポイントで、保守のリモート接続を管理するリモートアクセス型です。月額350,000円〜（10ユーザライセンス込み、税抜）を、プレスリリースで公開しています。

リモートアクセスの管理に絞った製品で、通信の可視化や異常検知は含みません。日本語の製品ページにOT向けの記載はなく、情報は英語サイトが中心です。海外を含む複数工場の保守接続に向いています。

Forescout SRA

保守ベンダーの接続を、申請から監視まで管理するリモートアクセス型です。VPNやジャンプサーバーに代わり、ブラウザ接続で特権の認証情報を利用者から隠せます。

日本語の製品ページは概要が中心で、対応する接続プロトコルや同時接続数は確認できません。価格は非公開で、要件を整理してから見積もる必要があります。外部作業者の接続を一元管理したい企業に向いています。

Kaspersky Industrial CyberSecurity

ネットワーク監視と制御端末の保護を組み合わせた、OT向けXDRです。前者はKICS for Networks、後者はKICS for Nodesです。開発ライフサイクルは、IEC 62443-4-1の成熟度レベル3の認証を受けています。

PLC整合性監視の対応機種に、国内メーカーのPLCは列挙されていません。KICS for Networksは、動かすサーバーや仮想環境を別に用意します。監視と端末保護を同じ製品群でそろえたい企業に向いています。

Palo Alto Networks OT Device Security

既存のNGFWにOTの可視化と防御を加える、センサー不要のサービスです。1,070以上のOT/ICS向けApp-IDを持ちます。セグメンテーションと仮想パッチも、同じNGFWで運用できます。

前提は、PAN-OS 10.2以降のNGFWと、Threat Preventionライセンスです。管理画面にはStrata Cloud Managerが必要です。他社製のファイアウォールを使い続ける場合は向きません。すでに同社のNGFWを使う企業に向いています。

OTセキュリティには、オープンソースのツールや、期間を限った無料トライアルがあります。ただし、無料で担える範囲は、役割の一部にとどまります。無料のツールの範囲は、無料で使えるOTセキュリティの記事で整理しました。

無料のオープンソースは、ライセンスの条件に従えば業務で使えます。一方で、非商用や評価用の版を業務で使うと、ライセンス違反になるおそれがあります。

OTセキュリティの比較は、5つの項目で整理すると進めやすくなります。製品の型、導入方式、対応プロトコル、提供形態、規格と国内支援です。

まず、守りたい対象と、止められない設備への影響を書き出しましょう。次に、型ごとに候補を絞り、構成を含めた見積もりを比べます。円建ての価格を公開しているのは20製品のうち4製品で、残りは個別の見積もりです。国内メーカーのPLCへの対応と、国内の支援体制も、見積もりの段階で確かめておきましょう。製品はOTセキュリティのカテゴリページで比較できます。無料のツールは無料版の記事もご覧ください。