OTとITのセキュリティの違い｜設備の安全・連続稼働と更新を考える

OTは設備や工程などの物理的な動作を監視・制御する技術です。ITでも可用性は重要ですが、OTでは処理の停止や遅れが人の安全や生産へ直接影響する場合があります。機器の寿命や保守条件、停止できる時間も異なるため、ITで慣れた更新や隔離をそのまま実行しないようにします。

違いがあることは、OTを無対策にする理由ではありません。設備と接続の台帳、遠隔保守、認証、分離、監視を確認します。変更は設備の担当、安全の責任者、製造側と協議し、検証と復旧を準備します。ネットワークから切り離せばいつでも安全という単純な判断も避けます。

秘密・完全性・可用性のどれが常に最優先かを全OTへ一律に決めません。対象設備と安全、工程の条件で判断します。

設備、接続、保守窓口、停止条件を図にします。机上訓練では実際に設備を止めず、担当と意思決定の流れを確認します。

ITと設備の担当で使う名称と時刻を対応させます。隔離や更新が未実施の理由と代替策も記録してください。

設備の型番だけでなく、工程内の役割と接続を把握します。似た端末でも一つの停止が全工程へ波及する場合があります。機器の供給者、保守の契約、操作できる担当者も対応させると、事故時に必要な人へ早くつなげられます。

監視を入れる場合にも、機器の性能や通信への影響を確認します。一般のITで使える検査方法が設備で同じように安全とは限りません。許可された検証と変更の手順を使い、可視化のための操作が工程を乱さないようにします。

サイバーセキュリティの学習ガイドで、このテーマを検知・事故対応とIoTの中に位置付けてください。関連する前提はセキュリティ例外管理の進め方、委託先のリモートアクセス管理で確認できます。

資格対策との接点は情報・サイバーセキュリティ管理士の概要へ。用語を理解した後は登録不要の無料お試し20問で、別の状況でも判断できるか確かめてください。記事のテーマを全て公式の出題項目とする説明ではありません。

OTの更新では、停止窓があることと、その窓で安全に作業を完了できることを分けます。ここでは時間の見積りを読むため、更新前確認20分、更新30分、機能確認30分を順番に行う設備を考えます。通常の工程だけなら合計80分なので、90分の停止窓に入るように見えます。

ところが、機能確認で問題が見つかった場合の承認済み復旧手順に、さらに20分必要としたらどうでしょうか。この例の段取りでは、確認終了後に残る10分で復旧を終えられません。『通常なら80分』だけを根拠に、作業開始や操業再開を承認することはできません。これらの所要時間は説明用の設定で、実設備への推奨値ではありません。

必要なのは、どの時点で継続を中止するか、誰が判断するか、復旧後に何を確認して再開するかまで含む計画です。更新できたという作業記録だけでは、設備が期待どおりに制御できることや、安全に再開できることの確認にはなりません。時刻、検証結果、承認を対応させて残します。

予定の窓で実施できない場合は、設備・運用・安全・保守の担当で条件を見直します。対象接続の制限、監視、保守手段などの代替策にも、効果の確認と見直し期限が必要です。OTだから更新しない、ITだから今すぐ更新する、という二択へ単純化しません。例外を記録する方法はパッチをすぐ適用できない時の判断、再開の確認は事故から復旧してよい条件で扱います。