OTセキュリティとは？ITとの違いや仕組み、できること、選び方までをわかりやすく解説！

OTセキュリティは、制御システムを守るための考え方と対策の総称です。守る対象と優先順位が、情報システムとは異なります。ここでは定義、ITとの違い、国際規格、国内の指針を押さえます。

OTの定義と、OTセキュリティが守る対象

米国のNISTの指針では、OTは物理環境とやり取りする、プログラム可能な機器の総称です。例として、産業用制御システムやビルの自動制御システムが挙げられています。

IPAは、工場や発電所などの制御に使う制御システムを、対策の対象としています。対象は、設備そのものと、サービス提供や安全維持のためのシステムです。OTセキュリティの製品が守るのは、PLCやSCADA、HMIと、それらをつなぐ制御ネットワークです。

情報システムとは優先順位が異なる

NISTの指針によると、ITの主な関心事は、データの機密性と完全性です。OTでは、安全の確保や、設備と製品の損失の防止が主な関心事になります。連続して動く工程が多く、再起動のような対応は通常は認められません。

更新の面でも違いがあります。ITの部品は3〜5年程度、OTは10〜15年程度、さらに長い例もあるとされます。パッチは検証と計画停止が必要で、すぐには適用できません。サポートが切れた古いOSも残ります。

IEC 62443が示すゾーンとコンジットの考え方

IEC 62443は、産業用制御システムのセキュリティを定める規格群です。ISAのISA99委員会と、IECのTC65が共同で策定しています。全体は4つの分野に分かれています。Part 2は資産所有者の方針を、Part 4は製品の開発プロセスと機器の要件を扱う構成です。

システムを扱うPart 3では、ゾーンとコンジットを使います。ゾーンは、共通の要件を持つ資産のまとまりです。コンジットは、ゾーン間の通信経路を指します。必要な強度は、SL1からSL4の4段階のレベルで表します。

国内の指針と資産管理のガイドライン

経済産業省は2022年に、工場システムのセキュリティ対策ガイドラインを策定しました。狙いは、各業界が自ら対策を立案し、工場全体の水準を底上げすることです。解説書の主な読み手は、経営層と工場のセキュリティ担当者です。

IPAは、制御システムの資産管理ガイドラインを公開しています。資産管理は、リスクアセスメントの基盤になるとされます。産業用制御システム向けの侵入検知製品の導入手引書も、IPAの公開資料の一つです。

編集部メモ：OTセキュリティは、情報システムの対策をそのまま持ち込むものではありません。設備を止めずに守る視点で、製品の導入方式を確認しておきましょう。

OTセキュリティの利点は、設備を止めずに、見えなかったリスクを把握できる点にあります。製品のタイプごとに、得られる利点が異なります。

• 接続機器と通信を見える化できる
• 設備を止めずに不審な通信に気づける
• 更新できない古い制御端末を守れる
• 保守ベンダーの接続や持ち込み媒体を管理できる

接続機器と通信を見える化できる

NISTの指針は、正確な資産台帳がリスク評価と脆弱性管理を支えると説明しています。老朽化した機器の把握にも役立ちます。何がつながっているかを知らなければ、守る範囲も決められません。

WideAngle OsecTは、ミラーポートにつなぐだけで始められる製品です。端末一覧をCSVで出力できる点も特徴です。PFU iNetSec SFは、エージェントなしで接続機器を検知します。未許可の機器を遮断できる点が特徴です。

設備を止めずに不審な通信に気づける

NISTの指針は、OTの通信がITより規則的で、異常の検出に生かせると説明しています。通常時の状態を把握しておくことが、監視の前提になります。受動モードでの監視は、最初の一歩として挙げられた方法です。

Nozomi Guardianは、ミラーポートから受動監視を行います。エアギャップ環境向けの運用も可能です。Microsoft Defender for IoTは、国内メーカーのプロトコルに対応します。MELSECやFINSが、対応一覧に挙がっています。

更新できない古い制御端末を守れる

NISTの指針は、OT環境があまり変化しない点を、許可リスト方式に生かせるとしています。許可したアプリだけが動くため、古いOSでも未知のプログラムを防げる点が利点です。

TXOne Stellarは、1つのコンソールで古い端末を扱えます。対象は、Windows 2000 SP4〜Windows Server 2025です。Kaspersky Industrial CyberSecurityは、古い端末にも対応します。KICS for Nodesは、Windows XP SP2以降が対象です。

保守ベンダーの接続や持ち込み媒体を管理できる

NISTの指針は、OTにつなぐ前に、ノートPCやUSBメモリのマルウェア検査を求めています。リモート保守の道具には、担当者の認証、作業後の切断、操作の記録が必要とされます。

MetaDefender Kioskは、20種類以上のメディアを、持ち込み前に検査する端末です。IIJ Safous Industrial SRAは、保守接続をアプリケーション単位で認めます。共通パスワードは、利用者に見せない仕組みです。

OTセキュリティには、導入前に知っておきたい制約があります。ただし、いずれも製品の組み合わせや進め方で対処できます。

• 1つの製品ですべてを守れるわけではない
• 制御機器への影響を事前に検証する必要がある
• 運用体制と費用の見積もりに手間がかかる

1つの製品ですべてを守れるわけではない

製品のタイプごとに、守れる範囲が異なる点に注意が必要です。例えば、WideAngle OsecTは検知までで、通信の遮断は別の製品で備える必要があります。Nozomi Guardianも受動監視の製品で、遮断は連携する仕組みが担います。

IIJ Safous Industrial SRAの役割は、リモートアクセスの管理です。異常検知は含みません。目的を整理し、不足する部分は製品を組み合わせて補いましょう。

制御機器への影響を事前に検証する必要がある

NISTの指針は、アクティブスキャンが機器を不安定にし、安全性に影響しうると注意しています。IPSの自動遮断も、OTの稼働に影響する可能性があります。

Tenable One OT Exposureは、安全なアクティブクエリを備える製品です。受動監視だけで運用したい現場では、使い方の取り決めが要ります。検証用の環境で動作を確かめてから、本番に入れましょう。

運用体制と費用の見積もりに手間がかかる

本記事で扱う20製品のうち、16製品は公式サイトに価格が掲載されていません。2026年時点でも、見積もりを取らないと総額を比較できません。

検知した結果を確認し、対応する担当者も必要です。WideAngle OsecTは、運用支援のオプションを用意しています。料金は、年間1,260,000円（税抜）〜です。自社で運用するか委託するかは、導入前に決めておきましょう。

OTセキュリティの機能は、大きく5つに分かれます。1つの製品が、複数の機能を兼ねる場合もあります。

• 資産の可視化：ネットワークにつながる機器の種類、型番、ファームウェアを洗い出す
• 通信の監視と異常検知：通常時の通信を学習し、外れた動きや攻撃の兆候を知らせる
• ネットワークの分離と防御：ITとOTの境界やライン間に、ファイアウォールやIPSを置く
• 端末とUSBメモリの保護：制御端末で動くアプリを限り、持ち込み媒体を検査する
• 保守リモートアクセスの保護：保守ベンダーの接続を、認証と記録つきで管理する

資産の可視化

受動スキャンは、スイッチを流れる通信を観察して、機器の製造元や型番を把握する方法です。追加の通信を出さない反面、通信しない機器は見つけられません。結果は、現場の台帳とあわせて確認しましょう。

Cisco Cyber Visionは、産業用スイッチにセンサーを組み込んで可視化します。Tenable One OT Exposureは、通信の少ない休眠状態の機器も検出します。

通信の監視と異常検知

OTの通信は規則的なため、通常時の通信を学習して、外れた動きを検知します。プロトコルの内容まで解析するDPIを備える製品もあります。DPIは、通信の中身を調べる技術です。

Dragos Platformは、600以上のOTプロトコルを解析する製品です。OT特化の脅威グループの情報を、検知に生かします。Claroty xDomeは、450以上のプロトコルに対応しています。

ネットワークの分離と防御

NISTの指針は、企業とOTのネットワークの間にDMZを置き、通信を直接通さない構成を挙げています。境界にはファイアウォールやIPSを置きます。一方向ゲートウェイも選択肢です。

IEC 62443-4-2は、機器の技術要件を定める部分です。FortiGate Ruggedは、FortiOSがSL4の認証を受けています。Moxa EDR-G9010シリーズは、同規格のSL2認証を取得しました。MELSECとFINSは、DPIの検査対象です。

端末とUSBメモリの保護

制御端末の保護には、許可したアプリだけを動かす方式と、マルウェア対策のソフトがあります。端末にソフトを入れられない場合は、持ち込み前のメディア検査が補う手段です。

メディア検査には、複数のエンジンで調べる方式があります。もう一つは、ファイルを無害化して再構成する方式です。MetaDefender Kioskは、30以上のエンジンによる検査と無害化を組み合わせます。

保守リモートアクセスの保護

NISTの指針は、OTへのリモートアクセスに、多要素認証を推奨しています。保守ベンダーの接続は、申請や承認、作業の記録とあわせて、管理する必要があります。経路を一つに集約すると、管理しやすいでしょう。

Forescout SRAは、VPNを使わないブラウザ接続の製品です。申請から監査までを、1つの流れにまとめます。Ewon Cosy+は、機械側に置くゲートウェイで、VPN接続を用意します。

OTセキュリティを使う場面は、工場の規模や設備の古さで変わります。ここでは利用者の立場ごとに、代表的な4つの場面を挙げます。

工場の資産把握と本社での一元管理

本社の情報システム部門が、工場の機器とネットワークの全体像をつかみたい場面です。IPAの資産管理ガイドラインは、資産管理をリスクアセスメントの基盤と位置づけています。

Nozomi Guardianは、多数の拠点の監視を、本社で集約できます。複数の工場を持つ企業の候補です。WideAngle OsecTも、複数工場の状況をまとめて把握できます。

稼働中のラインへの後付け

生産技術や設備保全の担当者が、稼働中のラインを止めずに、境界を守りたい場面です。FL MGUARDは、ステルスモードで既設設備の構成や設定を変えずに追加できます。

Check Point Rugged Firewallは、-40〜75℃で動作します。屋外や遠隔の拠点にも設置できる点が特徴です。ただし、公式のFAQは、IEC 62443に非対応と明記しています。規格への適合が調達条件なら、事前の確認が要ります。

既存基盤の活用と、情報系への一方向のデータ連携

Palo Alto Networks OT Device Securityは、センサーが不要です。既存のNGFWに、OTの可視化を加える位置づけです。ただし、対応するPAN-OSの版には、条件があります。

工場の稼働データを情報系で使いたい場合は、MHIパワーエンジニアリング OWCDが候補です。制御側へ戻る経路のない一方向通信で、データをIT側へ出します。

保守ベンダーと海外拠点のリモート保守

装置メーカーや工場の保全担当者が、遠隔から機械を保守する場面です。Ewon Cosy+は、納入した機械を遠隔から保守したい機械メーカー向けの製品です。4Gには、技適を取得した日本向けのモデルがあります。

IIJ Safous Industrial SRAには、現地サポートのメニューがあります。IIJの海外拠点やグループ会社と連携するため、海外工場にも展開しやすい点が特徴です。

OTセキュリティの費用は、製品タイプと監視する範囲で大きく変わります。2026年時点で、公式に価格を公開している例は限られます。WideAngle OsecTは、センサー1台ごとの料金です。初期費は350,000円で、月額は90,000円（税抜）です。Microsoft Defender for IoTは、サイトごとの年額契約で提供されます。最大100台のサイトでは、月額換算10,494円です。

IIJ Safous Industrial SRAは、月額350,000円（税抜）〜です。10ユーザライセンスを含みます。PFU iNetSec SFのクラウド版は、月額36,000円〜で、最低利用期間は1年です。ほかの製品は価格表示がなく、見積もりが前提です。製品の一覧は、OTセキュリティのカテゴリページで確認できます。無料で試せる範囲は、無料のOTセキュリティの記事で整理しています。

どちらも産業分野のセキュリティですが、守る対象と使う人が異なります。OTセキュリティは工場の設備側、組込みセキュリティは製品を作る側の対策です。次の表で相違点を整理しました。

PLCやSCADAは、OTセキュリティが守る対象であり、比較する相手ではありません。装置メーカーは、両方に関わる場合があります。開発では組込みセキュリティ、納入先の保守接続ではOTセキュリティが対象です。

OTセキュリティの効果は、工場のネットワークの状況で変わります。ここでは、向いている企業と向いていない企業を、理由とあわせて整理します。

OTセキュリティの導入が向いている企業

把握しきれていない機器や、更新できない古い制御端末がある企業です。保守ベンダーのリモート接続や、USBメモリの持ち込みがある場合も当てはまります。いずれも、対策の抜けが生じやすい部分だからです。

複数の工場を持つ企業にも向いています。拠点ごとの状況を本社でまとめて把握でき、工場ごとの対策の差を確認しやすくなります。通信事業者が運用を支える製品も、選択肢の一つです。

OTセキュリティの導入が向いていない企業

検知した結果を確認し、対応する担当者がいない企業では、製品だけでは効果が出にくくなります。導入後に確認が止まると、検知結果が放置されるおそれがあります。まず資産台帳と運用ルールを整え、運用支援つきのサービスも比較しましょう。

工場の通信データを外部のクラウドへ一切送れない企業も、注意が必要です。SaaS型の製品は、提供条件の確認が要ります。オンプレミス版の有無は、製品ごとに確かめてください。

OTセキュリティは、工場の制御システムと制御ネットワークを、設備を止めずに守る取り組みです。ITとは優先順位が異なり、更新できない古い端末や、保守ベンダーの接続といった課題があります。主な機能は、次の5つです。

• 資産の可視化
• 通信の監視と異常検知
• ネットワークの分離と防御
• 端末とUSBメモリの保護
• 保守リモートアクセスの保護

1つの製品で全部は守れないため、自社の課題に合うタイプを選びます。最初に、つながる機器と通信を洗い出すと、必要な機能を整理しやすくなります。費用は見積もりが前提の製品が多いため、守る範囲を整理してから相談しましょう。