CPS(IoT/OT)セキュリティ 2026.07.14

OTセキュリティを取り巻く環境変化と、その備え―法規制とフロンティアAIで変わる5つの防御課題―

はじめに

サイバー対処能⼒強化法（所謂「能動的サイバー防御」）や、⾼圧ガス保安法などの法規制により、重要インフラや製造業においてもサイバーインシデント発生時の迅速な報告や原因究明が、これまで以上に求められるようになっています。
IT環境ではEDRやSIEMなどのセキュリティ監視基盤の普及により、「サイバー攻撃によるものなのか」「どの端末が影響を受けたのか」といった情報を比較的把握・分析しやすい環境が整いつつあります。

一方、OT環境では現場のPCにEDRを導入できないケースが多く、設備停止や異常発生後も、それが機器故障なのか、設定ミスなのか、あるいはサイバー攻撃によるものなのかを、迅速に判断する手段がない組織も少なくありません。
その結果、法規制で求められる説明責任を十分に果たせないリスクが存在しています。

さらに、重要インフラや製造業をとりまく脅威も年々高度化しています。LOTL（Living Off The Land）やログ消去といった痕跡を残しにくい攻撃⼿法が一般化する中、最近ではフロンティアAIの登場によって、攻撃の自動化や効率化も進んでいます。これにより、攻撃者は従来よりも短時間で大量の攻撃を実行できるようになり、サイバー攻撃の「量」と「速度」が大きく変化し始めています。しかし、ITとOTでは守る対象や運用制約が大きく異なるため、同じ考え方で対策することはできません。

本記事では、昨今の法規制強化と脅威環境の変化を踏まえながら、OT環境が直面する5つの防御課題を整理し、法規制で求められる「説明責任」と「サイバー対処能力の向上」を実現するための考え方と対策のポイントを解説します。

1.法規制とフロンティアAIがもたらす5つの変化

前述の通り、OTセキュリティを取り巻く環境は、法規制の強化とフロンティアAIの進展によって大きく変化しています。特にOT環境では、インシデント発生時の説明責任への対応に加え、攻撃の量や速度の変化を前提とした防御が求められるようになりました。その変化を整理すると、主に以下の5つの課題に集約できます。

これらは個別の問題に見えますが、いずれも「攻撃を見つける」「正しく判断する」「迅速に対処する」というOTセキュリティの基本プロセスの課題として整理できます。次章では、それぞれの課題に対して、OT環境ではどのような防御の考え方が求められるのか、以下の5つに分けて解説します。

①サイバー攻撃をどう識別・特定するか
②急増するアラートにどう対応するか
③判断と対処をどう迅速化するか
④増え続ける脆弱性にどう優先順位を付けるか
⑤ゼロデイ攻撃にどう備えるか

2.変化に対応するためのOT防御の考え方

①サイバー攻撃をどう識別・特定するか

サイバーインシデント発生時の報告・情報共有を行うには、「インシデントの原因がサイバー攻撃かどうか」「攻撃状況や影響範囲はどこまでか」を客観的に説明できなければなりません。

OT環境では、現場のPCにEDRを導入できないケースが多く、産業制御機器に至っては攻撃検知ツールが何も入っていません。LOTLを駆使しファイアウォールを通り抜けて侵入してくる現代的な攻撃に気付く方法がないのです。更に、攻撃者は操作ログを消去するため、後から調査することも困難です。このため、事故が起きて初めて問題に気付き、調査してもサイバー攻撃か設備故障かを判断できない、侵害状況が判らないというのが現実です。

このように、IT環境で行えたことがOT環境では行えず、法規制が求める報告要請に応えることが困難な状況にあります。

そこでOT環境では、EDRに代わる有効な手段としてネットワーク検知（ネットワーク型IDS）の採用が進んでいます。中でも、サイバー攻撃の検知・識別・特定機能、侵害調査機能が役に立ちます。OT環境で従来から行われてきた「異常検知」と、法規制に応えるための「攻撃検知」は同じではありません。異常を検知できても、それが設備故障や設定ミスによるものなのか、サイバー攻撃によるものなのかを識別できなければ、説明責任を果たすことはできません。そのためMITRE ATT&CK ICSや脅威インテリジェンスを活用した、説明性の高い「攻撃検知・攻撃識別」が行えることが重要です。また、ログ消去に対抗するには、ネットワーク挙動の記録と、その記録に基づくフォレンジックが必要であり、これも説明責任の観点からネットワーク型IDSに欲しい機能です。

②急増するアラートにどう対応するか

IT・OTを問わず、今後はAIを利用した攻撃の自動化によって、攻撃試⾏回数の増加や、比較的単純な攻撃の大量実行が増えると考えられています。これにより、「セキュリティアラートの爆発的な増加」や「本当に対応すべき事象が埋もれる」「すべてのアラートを人手で精査することの限界」などの課題が出てきます。

OT環境では、侵害対象がWindows PCやサーバだけでなく、PLC、HMI、エンジニアリング端末、センサー、制御ネットワーク機器など多様であり、1件のアラートを調査する負荷が非常に高い特徴があります。このため、過検知ノイズを含む大量のアラートを人手で処理することは、今後現実的ではなくなります。

そのため、「何を優先的に対応すべきかを判断できること」が重要です。すなわち、IDSの能力は、攻撃検知機能単体の優劣ではなく、大量の検知の中から、本当に危険なものを瞬時に判別する「トリアージ」の仕組みまで含めた全体の能力が大事です。こうした準備により、セキュリティチームは、大量のアラートから自動的に仕分けられた「攻撃性が高いアラート」を優先してハンドリングできるようになり、防御が可能になります。

③判断と対処をどう迅速化するか

OT環境では、攻撃を検知しても直ちに設備を停止したりネットワークを遮断できるとは限りません。計画にないOT設備の停止は、大規模な停電、交通障害、サプライチェーン全体の停止や、環境・人命を危険にさらすこともあるため、IT環境以上に慎重な判断が求められます。

一方で、フロンティアAIの悪用によって攻撃者側の行動速度はさらに向上すると考えられています。侵入後の情報収集や横展開、攻撃準備が短時間で進むようになれば、従来のように「検知・調査・判断・対処」を順番に進めているだけでは対応が間に合わなくなる可能性があります。

そのために重要になるのが、インシデント対応の標準化です。調査手順や判断基準をプレイブックとして整備し、誰が対応しても一定の品質と速度で対応できる状態を目指します。また、対応担当者の経験や勘に依存せず、調査手順やエスカレーションルールを明確化することで、属人化による遅延を防ぐことができます。

またプレイブックでは手順の出口も大切です。OTでは操業判断をともなう事業レベルの意思決定につながるため、攻撃や被害の是正手段は何があるか、どんな情報を共有すべきか、など業務レベル・事業レベルのインシデント対応計画と接続できるよう準備します。

さらに今後は、防御側にとってもAIによる調査や判断の⾼速化・効率化が武器になると考えられます。

このように、攻撃の高速化に対抗するには、検知能力だけでなく、調査・判断・対処そのものを高速化する仕組み作りが有効です。

④増え続ける脆弱性にどう優先順位を付けるか

フロンティアAIにより脆弱性の発見が加速し、企業が向き合う公開脆弱性の数は増加していくと考えられます。しかし、OT環境ではIT環境のように「脆弱性が見つかったらすぐにパッチを適用する」という対策が必ずしも実現できません。

製造設備や制御システムは24時間稼働していることも多く、稼働中のパッチ適用や、パッチ適用のためのシステム停止は困難です。またパッチ適用前に設備に対する影響を十分に検証する必要があり、「脆弱性が見つかったらすぐに修正」は本質的に無理なのです。

さらにITと比べてOT資産は以下のように多種多様であり、脆弱性の数の増加は容易に「対応不可能」な状況をもたらします。

【OT環境で脆弱性をもたらす資産】
・生産管理システム（MES）・産業制御システム（SCADA）・計測機器
・エンジニアリングワークステーション・PLC・HMI・ロボット用PC
・IoT機器・自動搬送車（AGV）・産業用ネットワークスイッチ
・その他OT環境に設置されたネットワーク機器／Windows PC／タブレットなど

これを克服する有効なアプローチは、自社にとって本当にリスクの高い脆弱性を見極めて対応する「リスクベース脆弱性対策」です。これはSANSの ICS Five Critical Controls（*0）でも提唱されており、脆弱性の特性を上手く利用した効果的な対策方法です。

脆弱性は、発見された後にエクスプロイト開発が行われ、攻撃者が利用可能な状態となることでリスクが高まります。しかし実際に攻撃に使えるよう「武器化」される脆弱性は全体のほんの⼀部に限られています。

例えば、KEV（Known Exploited Vulnerabilities）に登録されている脆弱性は2025年9⽉10⽇時点で1,414件です(*1)。また、OT環境を保有する組織にとって「今すぐ対処すべき脆弱性」は公開脆弱性の約2％と、ごく一部であるという調査結果もあります（*2）。

そこで重要なのは、公開された脆弱性を一律に対応するのではなく、実際に攻撃へ悪用可能な、リスクをもたらす脆弱性を優先対策することです。

脆弱性のスコアCVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）は、脆弱性の悪用と相関がありません。このためCVSSスコアに基づいて対策対象を決めた場合は攻撃の穴が残ります。「攻撃に悪用されている」「攻撃に悪用できる状態にある」という情報に基づくリスク対策が欠かせません。（*3）

常に脆弱性の悪用に関する最新情報を入手し、悪用手法（エクスプロイト）から逆算した、悪用させないための「パッチ以外の対策」を積極的に投入します。そして現時点で悪用方法がない脆弱性は対策を保留し、その分の人員稼働は更なるリスク削減につながる別の対策に振り向けます。

⑤ゼロデイ攻撃にどう備えるか

フロンティアAIによって懸念されるもう一つの課題が、ゼロデイ攻撃リスクの増加です。ゼロデイ攻撃とは、脆弱性が一般公開される前に攻撃者によって悪用される攻撃を指します。

従来、ゼロデイ攻撃を実行するためには、高度な解析技術や研究能力が必要でした。しかし今後は、フロンティアAIが脆弱性の探索とエクスプロイト開発を高速に行うことで、攻撃者が未知の脆弱性を発見し、その悪用手段を獲得する可能性が高くなります。

有効な対策手段は、「ゼロデイ攻撃を検知できる状態を作ること」です。OT環境では従来から、設定変更や通信内容の変化、制御ロジックの異常などを監視するベースラインコントロールやアノマリー検知が採用されてきました。これらはゼロデイ攻撃を発見する手段としても有効です。ただし、検知できても大量のアラートに埋もれてしまっては意味がありません。一方、キルチェーンの最初から最後まで全てをゼロデイ攻撃で埋め尽くすような攻撃はなく、既知の攻撃手法や攻撃ツールと組み合わされます。すなわち、アノマリー検知情報を攻撃検知や脅威インテリジェンスと組み合わせ、本当に危険な兆候を識別できるように準備し、これを前述の①②③の要素として構築します。