医薬品の安定供給を支える、OTセキュリティ実装の道筋とは

ビジネス特性に合わせた、OTセキュリティ対策と実装アプローチとは

河合：
次にOTセキュリティの対策実装について伺います。医薬品製造にはGMP（医薬品製造品質管理基準）のような厳格な規制が存在すると思います。そのような難しい環境下でOTセキュリティ対策を導入するために、どのような工夫をされましたか。

江口：
製薬工場ではGMPに基づく厳格な品質管理が求められるため、システムに変更を加える際にはさまざまな制約があります。例えば、セキュリティ対策を導入するために構成変更をした後には、バリデーション（妥当性確認）が必要になるケースも多く、既存の製造設備やシステムへのセキュリティ対策は非常に困難です。

そのため、新棟建設やシステム改修の機会を活用し、要件定義や基本設計など、計画初期段階からOTセキュリティ対策を組み込むアプローチをとっています。

具体的には、ITとOTの境界だけでなくOT環境内部まで踏み込んだ多層防御アプローチを実装しています。例えば制御系ネットワークをリスクベースでセグメント化し、フィールド機器から業務システムまでを階層化して通信制御や通信のモニタリングをし、攻撃の侵入を防ぐとともに攻撃の早期発見に努めています。

河合：
建設の早い段階からセキュリティ対策を取り込むというのは、理論上とても有効だと思いますが、元々セキュリティを取り扱っていない部門の方たちのプロジェクトにセキュリティ要件を取り込んでもらうのは難しいことだと思います。特にどのような工夫をされているのでしょうか。

江口：
重視したのは、エンジ研との密接なコミュニケーションです。設備投資計画は常に進行していますので、その更新サイクルで新棟建設の予定を把握し、計画初期段階から積極的にアプローチするようにしました。またエンジ研の建築プロジェクトの専門人材に対してOTセキュリティの必要性を丁寧に説明して理解を得て、Global DXの協力の下で伴走しながら、彼らにセキュリティの設計の考え方などを理解してもらうことを心がけました。

グローバル展開と人材育成の両輪で“その先”のOTセキュリティを目指す

河合：
次に、グローバルな取り組みについて伺います。OTセキュリティのグローバル展開における課題や今後の展望をお聞かせください。

江口：
まず前提として第一三共では、セキュリティのグローバルでのガバナンス体制全体をGlobal DXが統括しています。Global DXは各国・各拠点に対して一定のガイダンスや枠組みは提供していますが、実際の対応は各拠点の自律性に任せている部分があります。そのため、各国でどの程度OTセキュリティ対策が進んでいるかなど、状況が見えづらいという課題があります。

この課題に対しては、各国・地域の工場担当者が集うテクノロジー本部内のグローバル会議などの機会を活用した情報共有の促進を検討しています。

設備自体の仕様や設計については法律上の制約もあり共有できること、できないことの線引きが難しいですが、基本的なセキュリティ対策のアプローチについては共有できるはずです。例えばドイツではセキュリティ対策が進んでいる拠点もありますから、日本が蓄積しているノウハウを共有すると同時に、先進的な取り組みから学ぶという双方向の情報交換も進めていきたいと考えています。

河合：
情報やノウハウを共有するためには、「どのような情報が有益か」を見極められるセキュリティ人材が必要ですよね。こうした人材の育成・確保にはどのように取り組んでいますか。

江口：
現在のOTセキュリティ分野における最大の課題は、専門知識を持った人材の確保です。この難しさの根本には、「製造現場のシステムに関する詳細な知識は、その現場で日々働いている担当者にしかない」という事情があります。つまり、OT環境の特性や運用を深く理解した人に、セキュリティの知識を一定つけてもらう必要があります。

第一三共でも、計画しているすべての新棟建設プロジェクトにおいて十分なOTセキュリティ対策を実施するには、現状の人的リソースでは足りていません。現在はエンジ研を中心にOTセキュリティ人材の育成に取り組み始めていますが、これをさらに強化・加速する必要があります。短期的には、私たちテクノロジー推進部や生産統括部からの専門的な支援体制を充実させ、製造現場の負担を軽減しながら、中長期的に現場で対応可能な仕組みと要員の育成が重要だと考えています。

また、すべてを社内で完結させるのではなく、外部の専門家による支援と現場が持つ固有の知見をどのように効果的に組み合わせるかというバランスも重要な検討点です。両者の強みを活かした体制づくりが、限られたリソースの中で効果的なOTセキュリティ対策を実現する鍵になると考えています。

河合：
最後に、改めてOTセキュリティに取り組む上で、最も重要と考えていることをお聞かせください。

江口：
繰り返しですが、OTセキュリティで一番重要なのは「人」と考えます。「なぜOTセキュリティが必要なのか」を従業員に理解してもらうことが基本です。そして「（セキュリティ担当者に）言われたからやっています」という受動的な姿勢ではなく、従業員一人一人が「この活動は何のためにやっているのか。自分の取り組みがどのように自分の仕事に役立っているのか」という本質を正しく理解することが大切です。そうでなければ、どんなに高価なセキュリティ機器を導入しても、その効果は限定的になってしまいます。

河合：
技術的な対策はもちろん必要ですが、最終的にはそれを運用する「人の意識」が決め手になるのですね。グローバル展開や人材育成を含め、長期的な視点でOTセキュリティの文化を組織に根付かせることが、医薬品の安定供給という使命を果たすための土台になることがよくわかりました。本日は貴重なお話をありがとうございました。