工場・OT環境 × SCS評価制度 ― 制御系をどこまで評価範囲に含めるか
SCS評価制度の全体像については SCS評価制度 対策ガイド もあわせてご覧ください。
製造業でSCS評価制度の準備を始めると、ほぼ必ず同じ場所で止まります。
「工場の設備はどうするのか」
生産ラインのPLC、検査装置に付いているWindows XP世代のPC、ベンダーが遠隔から入ってくる保守回線、USBメモリで運ばれるプログラム。要求事項に書かれている「パッチを適用する」「マルウェア対策ソフトを全端末に導入する」が、そのままでは成立しない世界です。
この記事では、OT（Operational Technology）環境をSCS評価制度のなかでどう扱うかを整理します。
前提：SCSの要求事項はOTを名指ししていない
まず押さえるべき事実として、SCS評価制度の★3・★4の要求事項に、OT環境を対象とした固有の項目はありません。制度は事業所一般を対象としたベースラインとして設計されています。
しかし、これは「工場は無関係」を意味しません。★4のネットワークセグメンテーション、アクセス制御、マルウェア対策、サポート期限切れOS・ソフトウェアの利用停止と更改といった要求事項は、工場を持つ企業では当然に制御系にも視線が向きます。加えて、自動車業界の自工会・部工会ガイドラインのように、業界側が製造現場のOTを明示的に扱っているケースもあります（自工会・部工会ガイドライン × SCS）。
つまり実務上の問いは、「OTが要求されているか」ではなく、**「OTを評価範囲にどう位置づけ、どう説明するか」**です。
取り得る3つの方針
| 方針 | 内容 | 向くケース |
|---|---|---|
| A. 範囲外＋境界管理 | 評価範囲を事務所IT環境とし、工場ネットワークは分離されていることを示す | 取引先の関心が設計・受発注データにあり、生産設備そのものではない |
| B. 範囲内＋代替策 | 工場も範囲に含め、要求を満たせない部分は代替策で担保する | 取引先が生産データや現場の情報管理まで求めている |
| C. 段階移行 | まず★3をAで取得し、★4に向けてBへ移行する | 多くの中堅・中小製造業の現実解 |
多くの企業にとってはCが現実解です。★3の段階で全社を一気に整えようとすると、設備更新の予算と工期に引きずられて計画全体が止まります。範囲設計の考え方は評価範囲（スコープ）の決め方を参照してください。
「分離されている」を説明できる状態にする
方針AでもBでも、出発点は同じです。事務所ITと工場OTの境界がどこにあり、そこを何が通っているかを把握すること。
現場調査で必ず確認すべき5点です。
- 物理的な接続点：工場と事務所を結ぶスイッチ・ルーターはどこにあるか
- 論理的な分離：VLANで分かれているのか、同一セグメントなのか
- 通過している通信：生産実績を基幹システムに送る、図面を設備に送る等の業務通信
- 外部からの接続：ベンダーのリモート保守、クラウド連携、SIMを積んだ設備
- 持ち込み経路：USBメモリ、保守ベンダーのノートPC、私物端末
多くの工場で、「分離しているつもり」が実際には1本のスイッチで繋がっている、あるいは設備ベンダーが独自にモバイル回線を引いているという事実が見つかります。ここを把握しないまま自己評価をすると、実態と乖離した宣言になります。
ネットワーク構成図は、この作業の成果物であると同時に、第三者評価でも求められる資料です（ネットワーク構成図の書き方、VLANとネットワークセグメンテーション）。
要求事項が合わない部分の代替策
工場を範囲に含める場合、要求事項をそのまま適用できない項目には代替策を用意します。「できません」ではなく「この方法で同等のリスク低減を図っている」と説明できる形にするのがポイントです。
| 要求事項 | OTで難しい理由 | 代替策の例 |
|---|---|---|
| パッチ適用 | 停止できない／ベンダー検証待ち／保証対象外になる | 適用可能な機器と不可の機器を台帳で区分。不可の機器はネットワーク分離・接続制限・監視で補い、理由と代替策を文書化 |
| マルウェア対策の全端末導入 | 制御端末に導入不可／性能影響 | 対象外機器を明確化し、境界での検知・USB制御・ホワイトリスト型の対策で補完 |
| サポート切れOSの排除（★4） | 設備寿命が10〜20年でOS更新が伴わない | 更改計画（時期・予算）を策定し、それまでの間の隔離措置を実施。計画があること自体が評価される |
| アクセス権管理 | 設備は共有ID・パスワード固定が前提 | 設備室への物理的な入退室管理（★4要件）と操作記録で補完 |
| 資産台帳 | 設備管理台帳とIT資産台帳が別管理 | 統合はせずとも、IT資産台帳から設備台帳を参照できる形にして網羅性を示す |
このアプローチは、要求事項の趣旨（リスクを把握し、低減し、説明できること）に沿っています。放置されている状態と、把握したうえで代替策を講じている状態は、評価上まったく異なります。
ベンダーのリモート保守をどう扱うか
工場で最も見落とされがちで、かつ最もリスクが高いのがここです。設備ベンダーが遠隔から入ってくる経路は、自社の管理外にある侵入口になり得ます。
★の観点では、これは取引先管理（機密情報を共有する取引先との取り決め、★4では年1回以上の対策状況確認）と、攻撃等の防御（ネットワーク境界の防御、アクセス権管理）の両方に関わります。
最低限、次の状態を目指してください。
- 保守用の接続を常時接続から都度開放に変更する
- 接続元・接続時刻・作業内容が記録される
- 保守アカウントの棚卸しを年1回実施する
- ベンダーとの契約にセキュリティ要件と事故時の連絡義務を含める
「設備を止めたくないので常時接続のまま」という判断をする場合も、その事実と代替策を文書化しておけば、少なくとも把握されていない状態は脱します。
可搬媒体（USBメモリ）の運用
制御系ではUSBメモリによるプログラム更新・データ回収が今も現役です。可搬媒体の持込み・持出しの制限は★4の要求事項です。
現実的な設計は次のとおりです。
- 工場で使用する媒体を貸出制の専用品に限定し、私物・ベンダー持参品の直挿しを禁止する
- 使用前に別PCでウイルススキャンを行う運用（スキャン用キオスク端末の設置）
- 貸出簿に日付・持出者・用途を記録する
コストはほとんどかかりませんが、侵入経路としての実効性は高い対策です。
目標★と工場の関係
| 状況 | 推奨 |
|---|---|
| 取引先の関心が受発注・設計データ | ★3（事務所IT中心）＋工場は境界管理 |
| 自工会Lv2以上を求められている | ★4を視野に、工場を含む設計 |
| 重要インフラのサプライヤー | ★4。制御系を含めた対策の説明が必要 |
| 生産設備の更新期が近い | 更新に合わせてネットワーク分離を組み込む |
設備更新のタイミングは最大の好機です。新しい設備を入れるときに「事務所ネットワークとは別セグメント」「保守接続は都度開放」を要件に入れておけば、後から改修するより圧倒的に安く済みます。
情シス365による支援
情シス365では、工場を持つ製造業のIT／OT境界の整理を支援しています。
- 現場調査： 事務所と工場の物理・論理的な接続点、外部接続、持ち込み経路の洗い出し
- ネットワーク設計： VLANによる分離設計と、業務通信を止めない接続ルールの設計
- 代替策の設計と文書化： パッチ適用不可・サポート切れ機器の扱いを、評価に耐える形で文書化
- 保守ベンダー対応： 接続方式の見直しと、契約・記録の整備
製造業のIT課題全般は製造業のIT支援もご覧ください。
まとめ
- SCS評価制度の要求事項にOT固有の項目はないが、★4のセグメンテーション・サポート切れ排除などで実質的に問われる
- 現実解は**「まず★3を事務所IT中心で取得し、★4に向けて工場を含めていく」**段階移行
- 出発点はIT／OTの境界の把握。「分離しているつもり」が実態と違う企業が多い
- 要求を満たせない項目は、理由と代替策を文書化する。放置と、把握したうえでの代替策は評価上まったく違う
- ベンダーのリモート保守と可搬媒体が、工場で最も現実的なリスク。低コストで着手できる
- 設備更新の機会にネットワーク分離を要件化しておくのが、最も安い実装方法
参考リンク：