本記事は『現場で役立つOTの仕組みとセキュリティ 演習で学ぶ！わかる！リスク分析と対策』の「第1章 OTのセキュリティが危ない」を抜粋しました。掲載にあたって一部を編集しています。
OTとは何か
オペレーショナル・テクノロジー
OTとはOperational Technologyの略語です。そのまま日本語に訳すと運用技術。一般的なシステムの運用に関する技術のように思えます。
実際には、工場・プラントなどの機械設備や生産工程を監視・制御するための、ハードウェアとソフトウェアに関する技術です。ここ近年、一般的な情報システムなどのIT（Information Technology：情報技術）と、区別するように使われています。
なぜ運用なのか
OTは、温度や圧力、流量などを計測して最適な制御を行ったり、バルブの開閉やコンベアの運転・停止を行ったりします。情報を処理するというより、産業活動の現場に密着したオペレーションをサポートする技術なので、そう呼ばれているようです（図1.1.1）。
ただ、OTを制御技術と表記することもあるので、あまり運用といった言葉にこだわる必要はないでしょう。ポイントは、ITとの区別です。
OTが活躍する分野
OTには、工場・プラントなどで用いられる産業制御システムやネットワークなどが広く含まれます。
対象は、自動車を代表とする組立工場や化学プラントはもちろんのこと、発電所、航空、鉄道、水処理施設などの重要インフラと呼ばれる分野が含まれます。さらに、化学といっても石油、ガスなど業態はさまざまですから、とにかく裾野が広いのです（図1.1.2）。
その他、食品加工や製薬、商業施設、ホテル、オフィスビルなどにも深く関係します。このようにOTは、社会の産業活動に欠かせないものなのです。
セキュリティが求められる理由
それは安全神話だった!?
絶対に安全だと信じ込んでいたこと。東日本大震災に伴う原発事故で、安全神話という言葉が注目されました。実は、OT のセキュリティにも安全神話があったのです。
かつてのOTは、メーカ独自のハードウェアやソフトウェア、ネットワークなどが用いられていました。OTは、ITと同じようなセキュリティの脅威に晒されることなどない。そう信じられていたのです（図1.2.1）。
なぜそう思われたのか
一般的に機械設備は、かなり長い間（10～20年以上）、利用し続けます。OTは機械設備のコントロールなどを行うため、それらと一体となって開発、導入されます。機械設備の耐用年数に合わせて設計されるOTは、汎用的なコンピュータシステムとは異なる特別な存在だったのです。
WindowsやTCP/IPとは無縁のイメージが強く、ITの脅威や脆弱性が話題になっても、対岸の火事に思われていました。
セキュリティホールのような存在
しかしながら、独自路線で高価だったOTは、ITのオープン化で汎用的な流れを意識し始めます。知らず知らずに、OTはITに接近していくのです。
コンピュータ技術の発展とともに、ITのセキュリティは強化されていきます。大手企業では「そこまで守ります!?」かのごとく、ITのセキュリティ対策が講じられることも少なくありません。そんな大企業でも、足下を見ると大きなセキュリティホールがありました。そう、OTのセキュリティです（図1.2.2）。
産業活動を支えるOTにセキュリティ上のトラブルが生じれば、その影響は計り知れません。「サイバー攻撃で化学プラントが爆発！」、なんてことも考えられなくはないからです。
オープン化の功罪
オープン化とは
コンピュータ・ソフトウェアの分野では、1990年代ごろから製品の設計仕様やプログラムのソースコードなどを公開し、いろいろなメーカが互換性を持つ製品を作る動きが出てきました。いわゆるオープン化です。
PC/AT互換機と呼ばれる低価格なパソコンが発売され、そのオペレーティングシステム（OS）には、マイクロソフト社のWindowsが採用されました。そして、時代の流れはパソコンだけでなく、メインフレームと呼ばれる大型コンピュータにも及びます。企業の基幹システムは、小型で高性能なワークステーションやサーバへとダウンサイジングが進むのです。
OTにも影響が
この流れはOTにも波及します。製造業などモノづくりの現場では、「乾いた雑巾を絞る」といった厳しいコスト管理を徹底しています。工場の生産設備に対しても、より安くて高性能なものを求めるのは当たり前のことです。
これに対応するため、ITの汎用的で高性能な技術を取り込もうとする動きが始まります。OTにはITとの違いがあるのも事実ですが、監視端末などではWindowsをOSとするパソコンが使えないわけではありません。こうして、比較的ITに近い環境で、利用可能なOTのオープン化が進んでいきます（図1.3.1）。
サイバー攻撃の脅威が増大
オープン化の流れは、マルウェア感染等によるサイバー攻撃の脅威を高めます（図1.3.2）。ソフトウェアの脆弱性を見つけて、それを悪用する手口が増加します。脆弱性をなくすには、対象のソフトウェアへセキュリティパッチを当てる必要があります。
ただし、OTではパッチのダウンロード（インターネット接続等）に制限があったり、パッチ適用による事前の動作テストが難しかったり、ITのような脆弱性対策を行うには課題が多いのです。
つながる工場への期待
スマートファクトリーとは
第四次産業革命という言葉を聞いたことがあるでしょうか。蒸気機関の発展による第一次産業革命、電力や石油等のエネルギー活用による第二次産業革命、コンピュータ・ネットワークによる第三次産業革命に続くもので、インダストリー4.0と呼ばれるドイツ政府の戦略が有名です。
特に製造業では、サイバーフィジカルシステムを導入したスマートファクトリーの実現がホットな話題です（図1.4.1）。現実（フィジカル）の情報をコンピュータの仮想空間（サイバー）に取り込み、大規模なデータ処理技術を駆使して高度な自動化を目指す工場のことをいいます。技術的には、IoTやビッグデータ、AIなどが用いられます。
持続的なイノベーション
では、スマートファクトリーが今までになかった破壊的なイノベーションかというと、実はそうではありません。1980年代には、コンピュータを活用したFA（ファクトリーオートメーション）による工場の自動化が進みました。その後、2000年代には、SCM（サプライチェーンマネジメント）と呼ばれるモノづくりの川上から川下までをコンピュータ・ネットワークで連携し、全体最適を図る取り組みが広がります。
第四次産業革命では、こうした第三次産業革命によるデジタル化を踏まえながら、サイバー空間とフィジカル空間を高度に融合するイノベーションが求められているのです。
目的は社会の変革
わが国では、第5期科学技術基本計画の中でSociety 5.0（ソサエティー5.0）を提唱しています。これは、サイバー空間とフィジカル空間の融合による付加価値創造により経済発展と社会的課題の解決を両立する、そうした人間中心の社会を目指すものです。
増大する脅威と脆弱性
高まるサイバーリスク
OTは、工場内部のシステム同士がつながった時代から、外部の工場同士がつながる時代へと変化しています。このつながりは、今後ますます拡大するのは間違いありません。
こうしたサイバー空間とフィジカル空間の融合は、今までになかったリスクを生み出します。そう、サイバーセキュリティのリスクです。付加価値向上のための攻めと同時に、セキュリティ対策の守りが重要になるのです。
サイバーセキュリティは総合リスク
サイバーセキュリティのリスクについて考えると、「悪意を持つハッカーがネットワーク経由で不正侵入する」といったイメージが強いはずです。
しかしながら、そうした高度なサイバー攻撃でも、その初期段階ではかなり泥臭い手口を使います。例えば、企業のゴミ箱をあさるようなことをしてメールアドレスの情報を入手し、それを使って標的型メールを送ります。担当者が不正な添付ファイルを誤ってクリックすれば、外部から侵入可能なバックドアが開通します。
つまりサイバーセキュリティは、技術的な面はもちろんのこと、物理的・環境的な側面や人的な側面など、リスクを総合して考える必要があるのです（図1.5.1）。
デジタル化の両輪
今後、スマートファクトリーなどのデジタル化は、わが国の経済発展に欠かせません。しかしながら、それと相反してサイバーセキュリティのリスクは増大していきます。持続的な経済発展のためには、このトレードオフの解消が求められるのです。
これはセキュリティだから特別かというと、決してそうではありません。身近な環境問題だって、よく考えると同じです。経済発展しながらCO2の排出を削減するのも、トレードオフの解消です。
このように、デジタル化とセキュリティ対策は、車の両輪のようにセットで考えなければなりません（図1.5.2）。そしてセキュリティ対策では、今まで手薄になりがちだったOTに、より焦点を当てる必要があるのです。
