工場がハッキングされる時代に日本企業は備えられるのか!?

2026年4月時点で、工場や製造業のサイバーリスクは「情報漏えい」だけの話ではなくなった。攻撃者はIT環境からOT（Operational Technology: 制御・運転系）へ横移動し、停止、品質低下、出荷遅延、安全性への影響まで狙うようになっている。しかも問題は、攻撃の高度化そのもの以上に、工場の現場が古い機器、外部接続、保守委託、サプライチェーン依存を抱えたまま動いていることだ。つまり、工場がハッキングされる時代に問われているのは「防げるか」ではなく、「止めずに備えられるか」である。

いま何が起きているのか
日本企業にとってなぜ難しいのか
研究と公開ドラフトは何を示しているか
最新動向から見える5つの変化
日本企業が今すぐ着手すべき実務
結論
参考にした主な一次情報・公開資料

いま何が起きているのか

直近の公的情報を見ても、OT・ICS（Industrial Control Systems）を巡る警戒は継続的に強まっている。CISAは2025年9月2日に4件、同年9月23日に6件のICSアドバイザリを公表し、Delta Electronics、Fuji Electric、Mitsubishi Electric、Schneider Electric、Hitachi Energyなど、製造・重要インフラで使われる機器の脆弱性について注意喚起した。これは「工場の制御機器が例外的に狙われる」のではなく、OT機器の脆弱性公表と対処が平常運転になっていることを示す。

さらにCISA、FBI、NSA、DC3は2025年6月30日に共同で、重要インフラ事業者に対し、イラン系サイバーアクターを念頭に警戒を強めるよう要請した。そこでは、OT/ICS機器をインターネットから切り離すこと、既知脆弱性の修正、強固で一意な認証情報の使用、フィッシング耐性のある多要素認証が明示されている。これは国家系・準国家系の攻撃であっても、侵入口がしばしば「公開されたOT資産」「古い認証」「未適用パッチ」だという現実を示している。

日本企業にとってなぜ難しいのか

日本企業の工場は、止められない生産設備、長寿命の制御機器、ベンダー保守、複数世代のネットワークが同居しやすい。経済産業省は2022年11月16日に「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0」を公表し、工場に必要な対策を企画・実行するための考え方を整理した。これは裏を返せば、従来のIT向け対策だけでは工場を守れないことを国として認めたということでもある。

IPAも「制御システムのセキュリティリスク分析ガイド第2版」を2024年12月16日に更新し、社外サービスと接続した制御システムを含む事例を追加した。ここで重要なのは、制御システムの危険が単体機器の脆弱性だけでなく、外部接続や委託先経由のリスクとして具体化している点だ。実際、IPAの「情報セキュリティ10大脅威 2025」でも、組織向け脅威として「ランサム攻撃による被害」「サプライチェーンや委託先を狙った攻撃」が上位に並ぶ。製造業はこの2つの脅威に同時にさらされやすい。

研究と公開ドラフトは何を示しているか

最新の研究や標準化動向も、論点が「検知」だけから「運用と設計」へ移っていることを示している。NIST NCCoEは2025年2月27日に、半導体製造向けのCSF 2.0プロファイル初版ドラフト（NIST IR 8546 ipd）を公開した。半導体は製造業の中でも停止コストが極めて高く、品質・安全・可用性の制約が厳しい領域だが、そのプロファイルは、製造設備を守る議論がもはや汎用ITセキュリティの延長ではなく、業種特化の実装課題になっていることを示している。

同時に、学術研究の焦点も変わってきた。USENIX SOUPS 2025で公開された論文「Adopting AI to Protect Industrial Control Systems」は、ICS防御の現場担当者18名への半構造化インタビューを通じて、異常検知そのものよりも、アラーム診断、対応の優先順位付け、ベンダー技術への信頼形成が運用上の障壁であることを示した。示唆は明快で、工場の防御は「AIや監視ツールを入れれば終わり」ではなく、現場運用と組織設計を変えなければ定着しない。

日本企業が今すぐ着手すべき実務

OT資産の棚卸し: PLC、HMI、SCADA、エンジニアリング端末、保守回線、USB運用まで一覧化する。
インターネット露出の即時解消: CISAが繰り返し勧告している通り、公開されたOT/ICS機器は最優先で遮断する。
IT-OT境界の再設計: 本社IT、工場DMZ、制御ネットワークの通信を最小化し、ジャンプサーバーや認証強化を入れる。
委託先接続の統制: ベンダー保守は許可制、時間制限、ログ取得、アカウント個別化を前提にする。
止める訓練ではなく続ける訓練: 工場向けインシデント対応は、単なる遮断ではなく、安全確保、代替運転、手動切替、復旧優先順位まで決めておく。
経営KPI化: OTセキュリティを情シス課題ではなく、停止時間、品質損失、納期影響、事故リスクと結びつけて経営会議で扱う。

結論

工場がハッキングされる時代に、日本企業が問われているのは「最新の攻撃が怖いかどうか」ではない。問われているのは、工場が止められないという前提のまま、資産可視化、接続統制、委託先管理、段階的なOT防御を実装できるかである。最新の公的情報も研究も、結論はほぼ一致している。工場セキュリティはITの延長ではなく、事業継続と安全を守る生産基盤の設計課題だ。日本企業が備えられるかどうかは、ツール導入の早さではなく、現場運用と経営判断をどこまでOT前提に作り替えられるかで決まる。