中小工場のOTセキュリティは何から始めるか。ランサムウェア被害の実態と最初の5つの手当て

工場のIoT化が進むと、これまで閉じていた設備がネットワークにつながります。便利になる一方で、工場そのものがサイバー攻撃の対象になります。この記事では、専任の情報システム担当がいない中小製造業が、OT（制御系）のセキュリティで最初に何をすればよいかを整理します。2026年10月29日時点の情報です。

うちみたいな小さい工場を、わざわざ狙う人なんていないだろう。

実は、ランサムウェア被害の約6割が中小企業で、業種では製造業が最多なんです。

えっ、そんなに多いんですか。

中小の製造業は、本当にサイバー攻撃の標的になっているのか

なっています。2025年の国内ランサムウェア被害は226件で、業種別では製造業が91件と約4割で最多、規模別では中小企業が143件と約6割を占めました。

被害は「工場が止まる」「納期が守れない」という形で出ます。大企業だけの話ではなく、取引先への足がかりとして中小企業が狙われることもあります。

OTセキュリティはITセキュリティと何が違うのか

最優先するものが違います。ITは情報を守ることを重視し、OTは設備の安全と稼働の継続を守ることを重視します。事務用パソコンの感覚で対策すると、かえって生産を止めかねません。

古い設備を更新できない以上、「パッチで守る」より「近づけない構成にする」ほうが現実的です。

うちの検査装置のパソコン、まだ古いOSのまま動いていますよ。

生産を止められないから、更新も後回しになっていますよね。

工場ではよくあることです。だからこそ、パッチで守るより、近づけない構成にするほうが現実的なんです。

工場がIoTでつながると、何が危なくなるのか

見える化のために設備をネットワークにつなぐと、事務系ネットワークやインターネットとの接点が増えます。リスクは主に3つの入口から生まれます。

1. 事務系ネットワークとの接続。 事務用パソコンがウイルスに感染すると、同じネットワーク上の工場側にも広がります。
2. 遠隔保守の入口。 設備メーカーや保守業者が使うVPN機器やリモート接続は、外部からの入口になります。管理されないまま放置されたアカウントが狙われます。
3. 持ち込まれる機器。 保守用のノートパソコンやUSBメモリが、感染源になります。

稼働データを集める方式によっても影響は変わります。信号灯や電流センサーで読み取る方式は設備の制御に触れないため、制御系への影響を抑えられます。方式の違いは後付けIoTの4つの方式と、あなたの設備で使えるのはどれかで整理しています。

保守の人が持ってくるノートパソコンも、入口になるんですね。

私のカバンのUSBメモリも、得意先の資料とダジャレ集でパンパンです！

それは絶対にうちの設備に挿さないでね。

持ち込む機器のルールは、私物は禁止、つなぐ前にウイルスチェックが基本です。

中小工場が最初にやるべき5つの手当ては何か

高価な製品を入れる前に、次の5つから始めてください。いずれも専用の製品がなくても着手できます。

1. 資産を洗い出す。 工場内のパソコン、ネットワーク機器、制御機器（PLCなど）、遠隔接続口を一覧にします。何がどこにつながっているかを把握することが、すべての出発点です。
2. 事務系と工場系のネットワークを分ける。 少なくとも、事務用パソコンと設備が同じネットワークに混在しない状態にします。ルーターの設定やネットワーク機器の追加で対応できることがあります。
3. 遠隔保守の入口を管理する。 使っていない遠隔接続を止め、VPN機器のファームウェアを更新し、パスワードの使い回しをやめ、誰がいつ接続できるかを決めます。
4. バックアップを取り、戻せることを確かめる。 設備の加工プログラムやPLCのプログラム、設定ファイルを、ネットワークから切り離した場所に保管します。取っただけでなく、実際に戻せるかを確認します。
5. 持ち込む機器を決める。 保守用パソコンやUSBメモリの扱いルールを決めます。私物の持ち込みを禁止し、使う機器をウイルスチェックしてから設備につなぎます。

高い製品を買わなくても、できることがあるんだな。

はい。まずは何がどこにつながっているかの一覧を作るところから始めましょう。

どこから手をつけるか迷う場合は、IPAの調査報告書が、スマート工場の対策を設計・運用・保守・廃棄のライフサイクルごとに整理しています。経済産業省の工場システム向けガイドラインとの対応表もあります。

取引先から求められるセキュリティ対策評価（★）は、工場にも関係するのか

関係しますが、対象は主にIT基盤です。経済産業省が準備中のサプライチェーン向けのセキュリティ対策評価制度は、対策水準を★3・★4・★5の段階で示すもので、PC・サーバー・ネットワーク機器・クラウドなどのIT基盤を対象にしています。申請の受付開始は2026年度末頃（1〜3月頃）の予定と、経済産業省のFAQに記載されています。

• ★3は、広く知られた脆弱性を悪用する一般的な攻撃に対処できる水準
• ★4は、サプライチェーンへの影響が大きい企業を狙う攻撃などに対処できる水準
• ★5は、未知の攻撃を含む高度な攻撃に対処できる水準

★を取得するかどうかを契約でどう扱うかは、当事者同士の合意に委ねられるとされています。取引先から求められる可能性に備え、事務系の基本対策を先に整えておくと安心です。工場のOTについては、半導体分野では工場向けの項目が追加される方針が示されていますが、一般の製造業に同じ項目が適用されるかは確認できていません。OTは別のガイドラインに沿って備えてください。制度は詳細化の途中のため、最新の情報は経済産業省の公表資料で確認してください。

★5を取れば、私の営業成績も★5になりますかね！

それはまったく別の評価だよ。

この制度は主にIT基盤が対象です。取引先から求められる可能性に備えて、事務系の基本対策を先に整えておくと安心です。

IoT導入とセキュリティは、どの順番で進めればよいのか

見える化の企画と同時に、セキュリティを設計に入れます。後から付け足すより、最初に通信経路を決めたほうが安く済みます。

• 設備の制御に触れない方式を選べるか（信号灯方式、電流センサー方式）
• データは設備から外へ一方向に送る構成にできるか
• クラウドへ送る場合、工場側から外へ出る通信だけで済むか（外部からの接続を受けない）
• 保守用のアカウントは誰が持ち、誰が管理するか
• ベンダーにセキュリティ対応（アカウント管理、更新、障害時の連絡）の範囲を確認したか

見える化の相談をするときに、セキュリティも一緒に決めておくんですね。

そうです。後から付け足すより、最初に決めたほうが安く済みます。

補助金で導入を検討する場合も、セキュリティ対策費が対象になる制度があります。最新の対象は公募要領で確認してください。制度の選び方は製造業のIoT・AI導入に使える補助金はどれかで整理しています。

自社の設備条件に合う導入方法を診断したい場合は、中小製造業向けの工場診断サービスも参考にしてください。

この記事の注意点

本記事は公表資料と解説記事をもとにした一般的な整理であり、個別の工場の安全を保証するものではありません。評価制度は検討途中で内容が変わる可能性があります。実際の対策は、設備メーカー、IT・セキュリティの専門家、IPAなどの公的な相談窓口に確認のうえ進めてください。