- 警察庁の統計では、ランサムウェア被害の業種別内訳で製造業が約4割と最多です。製造業のサイバーリスクの本丸は「情報が漏れる」よりも「工場が止まる」にあります。
- 工場の生産設備を動かすOT（制御システム）は、オフィスのITと違い「止めないこと」が最優先で設計されているため、更新や再起動が難しく、古い環境が残りがちです。攻撃者はITとOTのつなぎ目を突いてきます。
- 国のSCS評価制度（★3・★4）の対象はIT基盤であり、工場の制御（OT）システムは対象外。OT側は経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」等に基づいて備える、という役割分担が制度上整理されています。
- 中小製造業の出発点は3つ——①IT/OTのつながりの見える化（構成図）、②境界と保守用リモート接続の管理、③止まった場合の手順（BCP）。高額な投資の前に、まず把握から始められます。
前回の記事（ランサムウェア被害の実態｜警察庁統計にみる中小企業のリスクと備え）で、被害組織の約6割が中小企業であることを見ました。実は同じ統計にはもうひとつ重要な内訳があります。業種別では製造業が約4割と最多なのです。今回はこの「なぜ製造業なのか」を掘り下げ、工場を持つ中小企業が何から手を付けるべきかを整理します。
なぜ製造業が最多なのか——「止まると困る」が狙われる理由
前回、攻撃者は「価値のある会社」ではなく「入りやすい会社」を選ぶと書きました。製造業にはこれに加えて、もうひとつ狙われる構造的な理由があります。止まったときの損害が大きく、かつ分かりやすいことです。
工場は1日止まれば、その日の生産分の売上が消えるだけでなく、納期遅延が取引先の生産にまで波及します。2022年には自動車部品メーカーがサイバー攻撃を受け、納入先である完成車メーカーの国内全工場が一時停止する事態が起きました。2023年には名古屋港のコンテナターミナルシステムがランサムウェアにより障害を起こし、コンテナの搬出入が数日にわたり止まりました。身代金を要求する攻撃者にとって、「止まると誰の目にも損害が明らかな組織」は、支払いを迫りやすい相手です。サプライチェーンの結節点にいる製造業は、まさにその条件に当てはまります。
もうひとつ、製造業には図面・配合・工程条件といった技術情報という資産もあります。暗号化と情報窃取を組み合わせる二重恐喝の手口では、この技術情報も人質になり得ます。事業停止と技術流出——製造業は打撃の受け口を二つ持っているのです。
「情報が漏れる」より「工場が止まる」——ITとOTの違い
工場のセキュリティを考えるとき、まず押さえたいのがIT（情報システム）とOT（Operational Technology＝生産設備を動かす制御システム）の違いです。
| IT（オフィスの情報システム） | OT（工場の制御システム） | |
|---|---|---|
| 最優先の価値 | 情報の機密性（漏らさない） | 可用性（止めない・安全に動かし続ける） |
| 更新・再起動 | 比較的柔軟にできる | 生産を止められないため難しく、古いOS・機器が残りがち |
| 被害の現れ方 | 情報漏えい・業務システムの停止 | 生産ラインの停止、場合によっては設備・安全への影響 |
| 想定される寿命 | 数年で入れ替え | 10年、20年と使い続けることが珍しくない |
OTはもともと、外部のネットワークにつながないことを前提に設計されてきました。しかし経済産業省が指摘するとおり、IoT化や生産データの活用、遠隔保守の広がりによって、工場のネットワークを外部につなぐ機会は増え続けています。「うちの工場は閉じているから大丈夫」と思っていても、設備メーカーの保守用リモート接続、生産管理システムと基幹システムの連携、現場に持ち込まれるUSBメモリやノートPC——つなぎ目は、把握していないところにこそあります。そして前回見たとおり、侵入経路の主流はまさにこの「境界の機器」でした。
SCS評価制度はOTを対象にしない——制度の役割分担を知る
本シリーズ第1回で紹介した国のSCS評価制度（★3・★4）について、製造業の方に知っておいてほしい整理があります。制度構築方針は、本制度の対象を企業のIT基盤（公開サーバ、認証基盤、エンドポイント等）とし、製造環境等の制御（OT）システムは直接の対象とせず、他の制度・ガイドライン等に基づき対策を行うと明記しています（SCS評価制度の解説はこちら）。
つまり、取引先から★3・★4を求められて取得しても、それで工場側の備えが済んだことにはなりません。OT側の拠り所として国が示しているのが、経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」（2022年11月策定、現行Ver1.1。2024年にはスマート化に関する別冊も公表）です。このガイドラインは、①経営目線で守るべき業務・保護対象を整理する、②工場内を業務の内容や重要度で「ゾーン」に分けてリスクと対策を考える、③対策を企画・実行しPDCAで回す——というステップを、業種を問わない共通の手引きとして示しており、巻末には自己確認に使えるチェックリストも付いています。
役割分担はこう覚えてください。事務所側（IT基盤）＝SCS評価制度・★の階段。工場側（OT）＝経産省の工場ガイドライン。そして攻撃の通り道になりやすいのは両者のつなぎ目です。どちらか一方だけで安心しない——これが製造業の備えの大前提です。
中小製造業の出発点——お金をかける前の3ステップ
ステップ1：IT/OTのつながりを「1枚の絵」にする
最初にやるべきは機器の購入ではなく、ネットワーク構成の見える化です。事務所のネットワーク、生産管理システム、各設備の制御機器、設備メーカーの保守用リモート接続、無線LAN、外部とつながる箇所——これらを1枚の構成図に書き出します。工場ガイドラインの最初のステップも、まさにこの「業務・保護対象の整理」です。描いてみると、把握していなかった接続（いつ設定されたか誰も知らない保守用回線など）が見つかることが少なくありません。それ自体が大きな収穫です。
ステップ2：境界と「保守用の入り口」を管理する
構成図ができたら、外部との接点を絞り、管理下に置きます。事務所側のVPN機器等の更新管理は前回書いたとおり最優先。工場側では、設備メーカーの保守用リモート接続を「使うときだけ開ける」運用にできないか、事務所ネットワークと生産設備のネットワークを分離できているか、現場へのUSBメモリ持ち込みのルールがあるか——を確認します。古い設備で修正プログラムを適用できない場合も、ネットワークの分離や接続の制限といった「周りを固める」対策は打てます。
ステップ3：「止まった日」の手順を決めておく（BCP）
どれだけ備えても、止まる可能性はゼロになりません。だからこそ、止まった場合に手作業でどこまで生産・出荷を続けられるか、復旧の優先順位はどの設備か、取引先への第一報は誰がいつ出すかを、平時に決めておきます。これはサイバーに限らず、自然災害とも共通する事業継続（BCP）の備えです（ものづくり白書に見る製造業のBCP）。サイバー攻撃を「BCPの想定リスクのひとつ」として組み込むことが、実務的な落とし込み方です。
ISO 31000の視点——「停止1日あたりの損失」で影響度を測る
リスクの大きさは「起こりやすさ×影響度」で評価します（ISO 31000の基礎）。製造業の場合、影響度の物差しは明快です。工場が1日止まったら、いくら失うか。1日あたりの売上、納期遅延の違約・補償、代替生産のコスト——これを一度計算しておくと、対策にいくらまでかけるのが合理的か、そして低減してもなお残るリスクをどう扱うか（自己資金で保有するか、保険等で移転するか）の判断が、感覚論でなく数字の議論になります。順序は常に、まず構成図と境界管理で「減らす」、残る分の扱いを決める、です。
まとめ——工場の備えは「1枚の構成図」から始まる
製造業が被害業種の最多である理由は、止まったときの損害の大きさと、ITとOTのつなぎ目という構造にあります。裏を返せば、打ち手も明確です。つながりを見える化し、境界を管理し、止まった日の手順を決める。どれも高額な投資の前にできることです。設備に何十年も向き合ってきた製造業の現場力は、点検と改善の積み重ねそのもの。セキュリティも同じ流儀で、一枚の構成図から始めてください。
「自社のIT/OTのつながりを一度整理したい」
「工場停止を想定したBCPと、残るリスクの扱いを相談したい」
そんなときは、ISO 31000ベースのリスクコンサルティングを行うキールにご相談ください。
よくあるご質問
うちの工場はインターネットにつないでいないので大丈夫では？
「つないでいないつもり」の工場に、設備メーカーの保守用リモート接続や生産管理システムとの連携、持ち込みのUSBメモリ・ノートPCといった経路が残っているケースは少なくありません。経済産業省も、インターネット接続の機会が乏しいと思われる工場での被害発生を指摘しています。まず構成図を描いて、つながりの有無を「事実」として確認することをおすすめします。
OTとは何ですか？ITと何が違うのですか？
OT（Operational Technology）は、生産設備や装置を動かす制御システムの総称です。オフィスのIT（情報システム）が情報の機密性を最優先するのに対し、OTは「止めない・安全に動かし続ける」ことが最優先で、気軽に更新や再起動ができず、10年20年と使われる機器も珍しくありません。この性質の違いのため、ITと同じやり方の対策をそのまま持ち込めず、ネットワークの分離など「周りを固める」発想が重要になります。
古い設備で修正プログラムを適用できない場合はどうすればよいですか？
更新できないことを前提に、ネットワークの分離（事務所側と生産設備側を分ける）、外部との接続を必要最小限に絞る、保守用リモート接続を使うときだけ有効にする、USBメモリ等の持ち込みルールを定める、といった周辺の統制で露出を減らします。経済産業省の工場ガイドラインも、こうした考え方をステップとチェックリストで示しています。
SCS評価制度の★を取得すれば工場側も安心ですか？
いいえ。SCS評価制度の対象は企業のIT基盤であり、製造環境等の制御（OT）システムは直接の対象外と整理されています。OT側は経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」等に基づいて備える役割分担です。事務所側の★と工場側の備え、両方を見る必要があります。
まず何から始めればよいですか？
①IT/OTのつながりを1枚のネットワーク構成図に見える化する、②外部との接点（VPN機器・保守用リモート接続等）を棚卸しして管理下に置く、③工場が止まった場合の手順（手作業での継続範囲・復旧の優先順位・取引先への連絡）を決める——の3ステップです。いずれも大きな投資の前に着手でき、工場ガイドライン付録のチェックリストが自己確認に使えます。
出典（一次資料）
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf - 経済産業省「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」（2022年11月策定・現行Ver1.1、2024年に別冊公表）
https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline.html - 経済産業省・内閣官房国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」（2026年3月）
本記事は2026年7月【要記入：公開日】時点の公表情報に基づく一般的な情報提供であり、特定の保険商品の推奨・勧誘を目的とするものではありません。統計・ガイドラインの内容は出典資料の公表時点のものです。最新情報は警察庁・経済産業省の公表資料をご確認ください。
