安全に工場IoTを進めるためのサイバー攻撃対策とOT網の防御

本記事では、製造現場のIoT化において直面する深刻なサイバーセキュリティリスクと、その現実的な回避策について解説します。既存の社内LANへの接続が引き起こす制御ネットワーク（OT）への脅威や、情報システム部門にかかる運用負担とシャドーITのジレンマを整理します。そのうえで、インターネットから論理的に分離された「独立通信網（LTE/閉域網）」を活用した遠隔監視の手法と、導入後の監視体制を含めた多層的な防御策を提示します。強固なセキュリティポリシーと現場の利便性を両立させ、設備保全のデジタル化を安全かつ実効的に推進するための指針となる内容です。

工場IoTの深刻なリスク、社内ネットワークへの侵入と管理の手間

製造業におけるIoT化が加速し、いわゆる「スマート工場」が急速に普及する一方で、外部ネットワークへの接続に対して現場から強い警戒感が示されるのは当然の反応と言えます。チェック・ポイント・ソフトウェア・テクノロジーズ社が2025年10月に発表したレポートによれば、製造業を標的とするサイバー攻撃は前年に比べて30パーセント増加しており、1組織あたりの週平均攻撃件数は1,585件に達しています。

これほどまでに製造業が執拗に狙われる背景には、攻撃者側の冷酷な計算が働いています。サイバー犯罪者にとって、機密データを盗み出す手間をかけずとも、工場の生産ラインを強制停止させるだけで容易に巨額の身代金要求が可能であるという事実は、都合のよい状況です。サプライチェーンのどこか一箇所でもシステムがダウンすれば、部品供給が滞り、連鎖的に数千社規模の操業停止を引き起こしてしまう恐れすらあります。こうした実害を日々目の当たりにすれば、デジタル化に伴うリスクに現場が難色を示すのも無理からぬことです。

既存の社内LANに設備を接続するリスクとサプライチェーンの脅威

既存の社内ネットワーク（IT網）と、工場の機械を動かす制御ネットワーク（OT網）を無防備に接続することは、厳重に管理された工場の裏口に「見えない勝手口」を作り、その鍵を開けっ放しにするような状態です。

情報システムと工場の制御システムでは、守るべきセキュリティの前提条件が異なります。IT部門は情報漏洩を防ぐ「機密性」を重視してネットワークを管理しますが、OT部門は生産ラインをいかなる時も止めない「可用性（いつでも稼働できる状態）」を絶対的な基準としています。OT機器は安定稼働を優先するため、OSの定期的なアップデートや再起動が難しく、古い脆弱性を抱えたまま運用されているケースが珍しくありません。

ここで深刻化しているのが、サプライチェーン全体を巻き込む脅威の連鎖です。近年、セキュリティ対策が手薄な取引先（サードパーティ）を踏み台にして、本命のターゲット企業へ侵入する間接的なサイバー攻撃が急増しています。これは自社が被害者になるリスクにとどまりません。自社工場のネットワーク設定が不用意であった場合、そこから侵入したマルウェアが重要な協力会社や顧客企業のシステムへと拡散し、自社が「加害者」としてサプライチェーン全体を機能不全に陥らせてしまう重大なリスクをはらんでいます。

IT部門への申請負担と「シャドーIT」のジレンマ

セキュリティを強固に保とうとすればするほど、現場と情報システム部門の間に運用面の深刻な摩擦が生じます。工場内にIoTセンサーを一つ導入するだけでも、IPアドレスの割り当て、ファイアウォールの細かな設定変更、全社セキュリティポリシーへの適合確認など、非常に煩雑な手続きが伴います。現場は事前の調整や膨大な申請書類に追われ、数ヶ月の待機期間を強いられることになります。

一方で、こうしたIT部門の厳格な審査を回避しようと、現場が独自の判断で安価な通信機器を導入してしまう「シャドーIT」の蔓延も大きな問題です。全社的な資産管理台帳やセキュリティ監視の対象から漏れた未承認の通信機器は、攻撃者にとって格好の侵入口となります。厳重な管理がDXを停滞させる一方で、管理を逃れた自由な導入が致命的な脆弱性を生むという、極めて悩ましいジレンマが存在しているのです。

社内LANを経由しない「独立通信網（LTE/閉域網）」の活用と留意点

利便性の向上とセキュリティ確保、そしてシャドーITの排除という課題を同時に解決する手段として、既存の社内LANを一切経由しない「独立通信網（閉域網）」の活用が有効なアプローチとなります。ただし、これは単なる魔法の杖ではなく、技術的な特性と運用上のトレードオフを正しく理解した上で設計する必要があります。

論理的に分離された専用通信網の仕組みと多層防御の必要性

閉域網とは、特定の利用者や機器のみが接続を許され、インターネットから論理的に切り離された専用ネットワークを指します。LTEなどのモバイル回線を利用してこの閉域ネットワークを構築することで、外部からの不正アクセスや通信傍受の脅威を大幅に低減することが可能です。

通常のモバイル通信はデータが公共のインターネット上を流れますが、閉域SIMを使用する場合、キャリアの共通インフラを利用しつつも、論理的に隔離された「自社専用のプライベートレーン」を通ってデータがやり取りされます。物理的な専用線ほどの独立性はないものの、インターネットの脅威からは高度に保護されます。ただし、ネットワークが分離されているからといって暗号化が不要になるわけではありません。キャリア設備の障害や内部不正、高度なSIMクローン攻撃などのリスクを考慮し、通信経路の分離に加えて、データ自体の暗号化や厳格な端末認証を併用する「多層防御」の姿勢がセキュリティの基本となります。

比較項目	社内LAN接続（一般的なIoT）	独立通信網（LTE/閉域網）
通信の経路	インターネットや既存の社内IT網を経由	インターネットから論理的に隔離された専用網
セキュリティリスク	既存LANのマルウェア感染がOT網へ波及する恐れ	社内網から独立しているが、キャリア網への依存が生じる
導入コストの構造	LAN配線工事やVPN機器などの初期費用（CapEx）が膨大	初期費用は抑えられるが、SIMの月額通信費（OpEx）が継続発生
工場内の通信環境	有線LANであれば安定するが、配線レイアウトに制約	配線不要だが、厚い壁や金属設備によるLTE電波の遮蔽対策が必要
帯域と可用性の制約	大容量データのリアルタイム通信に強い	高頻度のデータは帯域を圧迫しやすく、キャリアの通信障害時は監視が停止する

導入にあたっては、こうした特性を踏まえた物理的・コスト的な対策も不可欠です。例えば、金属製の大型設備がひしめく現場ではLTE電波が著しく遮蔽されやすいため、外部延長アンテナの引き込みやリピーター（中継機）の設置といった電波改善策を併せて講じる必要があります。またコスト面においては、初期のLAN配線工事費用（CapEx）を削減できる反面、SIMの月額通信費（OpEx）が継続的に発生します。さらに、後述する通信ログの監視やSOC（セキュリティ・オペレーション・センター）の運用コストもこのOpExに加算されるため、単なる通信費の比較に留まらず、監視体制までを含めた「真の総所有コスト（TCO）」で中長期的な投資対効果を算定することが推奨されます。

運用を破綻させない「専門ベンダーへの委託」と「IT台帳の可視化」

独立通信網を利用する上で看過できないのが、SIMカードを挿入するエッジ端末（ルーターやゲートウェイ）自体の脆弱性管理です。ネットワークが安全であっても、現場に設置された機器のファームウェアが古かったり、単純なパスワードが放置されていたりすれば、そこが突破口となります。

ここで注意すべきは、現場の保全担当者は機械のプロフェッショナルであって、サイバーセキュリティの専門家ではないという点です。IT部門がOTプロトコルに疎いことと同様に、現場へエッジ端末のセキュリティ管理を丸投げしてしまえば、運用は早々に破綻します。そこで求められるのが、IT部門との効率的な連携に基づく「事前承認プロセス」と、専門ベンダーへの「保守のアウトソーシング」です。

個々のセンサーごとに設定を情シスに依頼するのではなく、「エッジでデータを一次処理し、閉域網を通じてクラウドへ送る」という安全な標準アーキテクチャを設計し、導入時の承認をIT部門から得ます。その上で、導入後の日々のファームウェア更新やSOCによる異常検知といったセキュリティ運用は、第一実業などの専門ベンダーが保守サービスとして一手に巻き取ります。これにより、現場に過度な負担を強いることなく、安全な監視環境を維持できるわけです。

さらに、運用が長期化する中で「緩やかなシャドーIT化」が再発することを防ぐため、新たに展開された機器の台数、設置場所、IPアドレスといった情報を、定期的な棚卸しフロー（月次レポート等）を通じてIT部門の資産管理台帳へ継続的に同期する仕組みを構築します。この標準構成の展開と可視化プロセスの徹底により、安全かつスピーディな設備保全のデジタル化が実現します。