OTセキュリティにとっての脅威とは

身の回りの様々な脅威から資産や生命を護るための活動を「セキュリティ」と呼びます。企業では経営上の情報は大切な資産です。それが、他社に漏洩したり改ざんされたりすることは、企業活動の危機につながります。また、情報を扱うためのシステムの正常な稼働状態も護るべき対象です。文書を保管するサーバへの端末アクセスや、社員同士のリモートミーティングも稼働しなくなれば、事業継続が難しくなります。

工場などの生産設備や化学プラント、鉄道や発電の施設のオペレーションにおいては、物理的なエネルギーを適切な状態に維持することが護るべき対象です。物理的なフェールセーフ機構、十分に強固な構造を持つ物理的な防壁や距離を置いた安全柵の設置、行動規範や訓練など、コンピュータに依存せずに安全が維持されることが大原則です。このため、オペレーションの現場では、コンピュータやネットワークに関係する脅威は、あまり重要視されてきませんでした。

近年、ほぼすべての機械はコンピュータ（PLC）で制御され、PLCはネットワークに接続されることが一般的です。運転指令や保守のため、強大な動力を持つプレスや回転機械も、高温高圧を扱う反応装置も、危険な薬物を扱う設備も、制御コンピュータがネットワークにつながっています。直接つながっていなくても、制御コンピュータにつながる表示操作パネルにあるイーサネットポートが外部につながっている可能性もあります。間接的でも不用意につなげば、リスクはあります。
さらに、クラウドへの接続も増加しています。工場内からポケットWi-Fi（携帯電話回線）でクラウドにつながることも稀ではないでしょう。オペレーションの現場では、コンピュータやネットワークへの脅威が、物理的なリスクに直結するようになりました。

その反面、ネットワークに起因するオペレーションの現場にある災害のリスクやOT（Operational Technology）セキュリティについて、十分に議論され対策されているとはいえないのではないでしょうか。その理由として、次のようなことが考えられます。

現場でのデータ処理はPLC同士、上位の統括コンピュータと制御コンピュータのやり取りがほとんどを占めます。スイッチなどの操作で画面に人が触れることは限られ、DXやIoTの通信は自動的なバックグラウンド処理のため、現場作業者にとって、ネットワークにつながっているという実感が希薄になっています。

また、ネットワークをつなぐことで利益を得る人と、現場で災害リスクを負う人が異なることも、OTセキュリティの脅威を認識しにくくしています。遠隔から機械設備の保守をするメリットがある人と、機械が意図しない動きで災害に巻き込まれる現場作業者は、多くの場合別の人物であり、企業や組織が異なる場合も多いでしょう。OTセキュリティのリスクが低いから議論や対策が深まらないのではなく、実感がわかない、必要性を感じにくいというのが実情ではないでしょうか。
目の前にクレーンによる吊り荷があれば、落下のリスクは容易に想像できます。ワイヤーが切断する事故が、どれだけ発生頻度が少なくとも、吊り荷の下に入るなと警告しない職場はありません。しかし、ネットワークに潜在する見えない脅威は、オペレーションの現場では、わかりづらく実感がわきません。

現場でのデータ処理はPLC同士、上位の統括コンピュータと制御コンピュータのやり取りがほとんどを占めます。スイッチなどの操作で画面に人が触れることは限られ、DXやIoTの通信は自動的なバックグラウンド処理のため、現場作業者にとって、ネットワークにつながっているという実感が希薄になっています。

このように現実問題として、OTセキュリティをオペレーション部門の自己責任の範囲で対処し続けることはとても困難であり、一方、ネットワークの専門家だからといって、IT部門だけで解決できるものでもありません。
OTセキュリティのリスクを正しく認識し、対処するためには、IT専門家、オペレーション技術者、設備保全担当者の連携が必要であり、これら全員が協力して取り組むことが重要となります。