OTセキュリティ推進の勘所―リコーの視点

DXで変わる製造現場、変わらないものづくりの軸

丸山：
上村さんは現在、リコーの工場セキュリティを支援する立場で、製造現場のセキュリティ対策に取り組んでいると伺っています。早速ですが、DXが進む中で、製造現場はどのように変わってきているとお考えでしょうか。

上村：
変わってきていることと、変わらないこと、その両方があります。

変わってきているのは、デジタル技術の活用で、生産ラインのデータを大量かつ迅速に取得できるようになった点です。取得したデータを蓄積・分析することで、生産ラインの改善に生かせます。効率や品質の向上はもちろん、安全面や環境対応、さらには働きやすさの改善にもつながります。

例えば画像技術を活用すれば、熟練者の技術、いわゆる匠の技を可視化し、国内外の現場に展開することも可能になります。こうした点が、製造現場におけるDXの大きな変化であり、利点だと考えています。

丸山：
つまり、設備やラインから得られるデータを分析し、生産改善につなげられる。しかも、各工場が個別に積み重ねてきた成果を、他の工場や拠点にも横展開しやすくなり、そのスピードも上がっている。その点が、製造現場におけるDXのポイントだという理解でよいでしょうか。

上村：
その通りです。

「情報を守る」IT、「ラインを止めない」OT

丸山：
次に、生産現場のセキュリティの考え方について伺います。OTセキュリティは、一般的なオフィス系ITのセキュリティと、どこが違うのでしょうか。守るべきものや、優先すべき観点からお考えを聞かせてください。

上村：
大きな違いは、「工場では生産活動を止めてはいけない」という点です。

もちろんオフィス系のIT環境にも、止めてはいけない業務はあります。ただ、オフィス系ITでは、経営、財務、人事などさまざまな部門が情報を扱い、社内外とやり取りします。そのため、情報漏えいを防ぐ機密性の確保が重視されます。

一方、工場でまず重視されるのは、生産ラインを止めないことです。お客様に製品を安定的に供給し、品質を維持し続けることが、信頼の観点からも重要な責務だからです。そして、その品質は生産ラインから得られるデータの正確性に支えられています。同じセキュリティでもオフィス系は「守るべき情報」を、工場は「動かし続けるライン」と「それを支えるデータ」を起点に考える。そこが両者の大きな違いだと考えています。

丸山：
なるほど。その品質を支えるデータも、工場ごとに事情が違ってくる。生産ラインや設備ごとに特徴がある分、すべての現場を同じやり方で、とはいかなそうですね。

上村：
リコーのものづくりは多様です。複合機や事務機器をはじめ、産業用コンピュータ、光学機器、プリンティングソリューション、次世代電池、AIを含むサービス領域まで、事業領域は広がっています。

その分、扱う製品も設備も工程も工場ごとに異なり、現場それぞれに「顔」があります。従来は、生産ラインごとに担当者がデータを集め、必要に応じて現場に足を運びながら改善してきました。今は、それをデジタルで活用できるようになっています。

ただ、ご指摘のとおり、すべての現場を同じ前提では扱えません。生産ラインごとにデータの傾向は異なりますし、品質管理に使うのか、生産性向上に使うのかによっても、重視すべきポイントは変わります。だからこそ、現場をよく理解したうえで、ITとどう組み合わせるかが重要になります。そこが工場ならではの難しさであり、OTセキュリティを考えるうえでも大事なポイントです。

丸山：
工場ごとに設備もラインも異なり、データの意味も変わる。だからこそ、OTセキュリティは一律の考え方では設計しにくいということですね。一方で、現場ごとの違いがある中でも、ものづくりの現場に共通して、ぶれない部分もあると思います。DXやDM（デジタルマニュファクチャリング）が進んでも、製造現場で大切にすべき軸はどこにあるのでしょうか。

上村：
一番の軸は、自分たちの工場を自分たちで動かし続けることです。お客様に製品を届け続けるという責任が、現場の判断の起点にある。ここは、DXやDMが進んでも変わりません。

工場では以前から、改善活動や5S^※1を積み重ねてきました。そこに、デジタル技術という強力な手段が加わりました。ただ、事業を止めることなく、その技術を生産性や品質の向上にどう生かすか。その判断には、現場の目線が欠かせません。

品質・コスト・納期・安全・環境、いわゆるQCDSE^※2の制約の中で日々ラインを動かしているのは、現場のリーダーや、新しいものづくりに挑む人たちです。どれだけ高度なIT技術も、そうした現場の知見とかみ合って初めて力を発揮します。

セキュリティも、現場を起点に考えるべきという点では同じです。データが正しく保たれているかという完全性、つながることで新たに生じる攻撃リスク――。こうした論点も、技術側だけで詰めては、対策と現場の実態がずれてしまいます。DXもセキュリティも、現場の目線から考える必要があると感じています。

丸山：
OTセキュリティが注目され始めた当初は、ITの発想をそのまま製造現場に持ち込み、現場の実態とかみ合わない場面もありました。最近は、各現場で何をどう作っているのかを踏まえて対策を組み立てる、そんな考え方が広がってきたように見えます。

上村：
そうですね。製造現場の実態を踏まえて考える姿勢は、確かに広がってきました。ただ、難しいのは、工場の現場そのものが絶えず変化することです。製造する品目もラインの構成も、時間とともに移り変わっていきます。

だからこそ、自分たちの生産ラインが今どう動き、そこでデジタル技術をどう活用しているのかを、継続的に見直す必要があります。ある時点で問題ないと判断しても、現場での使われ方や攻撃の手口は変わっていく。OTセキュリティは、一度整えれば完了というものではありません。状況の変化に合わせて改善に取り組み続けることが、何より重要だと考えています。

^{※1 5S：整理・整頓・清掃・清潔・しつけの頭文字を取った、製造現場の管理・改善活動の基本概念
※2 QCDSE：Quality（品質）・Cost（コスト）・Delivery（納期）・Safety（安全）・Environment（環境）の頭文字。製造現場が満たすべき管理指標を指す}

OTセキュリティ推進の勘所は「現場の実態把握」

丸山：
次に、OTセキュリティを推進する際の難しさについて伺います。

ランサムウェアなど新たな攻撃への対応は、ITとOTに共通する課題です。ただ、OTでは、製造するものや生産ラインが変わると、接続される設備やシステム、通信の流れも変わります。その結果、守るべきポイントや、止まった場合の影響範囲も変わってきます。つまり、ラインや設備を変えるたびに、セキュリティの前提も見直さなければならない。これは、実際に進めようとすると簡単ではなさそうですね。

上村：
はい。OTには対策を進めるうえでの固有の難しさがいくつもあります。

一つは、既存工場の制約です。新規の工場であれば設計段階からセキュリティを組み込めますが、既存の工場にはすでに設備も運用もあり、拠点ごとに事情も異なります。

規模の測り方も、ITとは違います。ITであれば、利用者数や通信量から必要な構成をある程度見積もれます。しかし、OTでは、そのラインで何を作っているのか、事業上どれほど重要なのかを踏まえなければ、適切な対策は判断できません。

また、対策は「一度講じれば終わり」ではありません。例えば、Aラインで問題が発生した際、Bラインに波及しないようにVLAN（Virtual Local Area Network：仮想LAN）などでネットワークを分離し、通信を制御したとしましょう。しかし、その後、ラインの構成が変われば、設定の見直しが欠かせません。かといって対策を複雑にしすぎれば、今度は現場で運用し続けられなくなります。この「運用まで含めて成り立たせる」ことが、OTセキュリティの大きな課題です。

さらに、守るべき範囲が見えにくいことも難しさの一つです。生産現場には外からは把握しづらいアプリケーションや運用があり、生産計画や受発注といった、ITに近いシステムともつながっています。その全体を見渡すのは容易ではありません。だからこそ、ネットワークに通じたITチームと、生産を知る現場とが連携し、一体となって進めることが不可欠なのです。現場は多忙で試行錯誤の連続です。そこにOTセキュリティ推進の難しさがあります。

丸山：
一部門だけでは立ち行かない、ということですね。では、IT、セキュリティ、生産現場を巻き込み、組織として推進していくうえで重要なポイントは何でしょうか。

上村：
鍵は「二面作戦」です。「現場」と「経営層」の両面から同時に進めることが欠かせません。

OTセキュリティの主役は、あくまで現場です。ただ、現場が納得して動くには、もう一方の経営層、とりわけ工場長をはじめとする層が、その必要性や目的、目指すゴールを理解していることが前提になります。今は、お客様からもセキュリティ対応を問われる時代です。製品を安定して供給し続けるためにも、サイバーリスクを正しく認識しておく必要があります。

経営層が理解していれば、現場も「自分たちの工数を使って取り組む意味がある」と受け止めやすくなり、予算確保や体制づくりにもつながります。OTセキュリティは技術だけでなく、人とプロセスが重要です。現場という一方の輪を回すために、経営層というもう一方の輪が要る。だからこそ、まず経営層の理解を得ることが出発点になります。

丸山：
現場が主体的に動くには、経営層の理解と後押しが欠かせません。予算や人員といったリソースも含めて、現場が動きやすい環境を整える必要がありますね。

その経営層ですが、意識はこの数年で明らかに変わってきています。以前のように「サイバーセキュリティにそこまで投資する必要があるのか」と問う段階は過ぎ、今は「どこまで、どのように投資すべきか」を見極める段階に入っています。多くの経営者がそう考えるようになっていると感じます。

ただ、OTセキュリティとなると、工場に近い経営層はその重要性を実感しやすい一方で、取締役会や経営会議に関わる方々にとっては、必ずしも身近なテーマとは限りません。そうした層も含めて、経営全体に理解を広げていくには、どのような進め方が有効でしょうか。

上村：
経営層は「なぜ必要なのか」「どれくらいの費用がかかるのか」「どのような効果があるのか」を最初に問います。セキュリティはROI（投資対効果）だけで語れるものではありませんが、投資である以上はその必要性を説明しなければなりません。

リコーの場合、OTセキュリティに取り組む方針は、社長を含めて明確になっています。そのうえで私たちのような支援側が現場を正しく把握し、目指すレベルと必要な対策を定め、経営層に説明していく。これも先ほどの「二面作戦」の一つです。

このとき大事なのが、現場への入り方です。「セキュリティが重要なのでアセスメントします」と入ると、監査のように受け取られ、現場が萎縮したり、実態をよく見せようとしたりする可能性があります。それでは本当の状況が見えません。

ですから私たちは、「現場が今どう動いているのかを教えてください」という姿勢で入ります。工場には、もともと5SやBCP（事業継続計画）があります。セキュリティを新しい仕事として押し付けるのではなく、既存の方針や業務の延長線上にある取り組みとして位置づけることが重要です。

そのうえで、まず設備やラインがどこまでネットワークにつながっているのかを確認します。つながっていない部分まで一律に対策対象とするのではなく、つながっている部分について、停止した場合にどう対応するのか、バックアップは取れているのかを現場と一緒に確認していきます。

こうして現状を正しく把握できれば、経営層にも具体的に説明できます。例えば、成熟度をいくつかの段階で捉え、「今はまだ下の段階ですが、現状は正しく把握できています。次は一段上を目指します。そのためには、これだけの期間とコストが必要です。これが実現できれば、結果としてお客様からの信頼向上や、ランサムウェアなどのリスク低減にもつながります」と説明できます。「現状」「目標」「必要な投資」「得られる効果」をセットで示すことが、経営層の理解を得る近道だと感じています。