住友化学が実践する工場のサイバーレジリエンス強化 - 「侵害前提」で鍛える現場対応力

「うちの工場は外部とつながっていないから安全」――こうした考えは、工場のDXやIoT化が進む今、もはや通用しない。サイバー攻撃が生産ラインの停止や物理的な安全をも脅かす現実的なリスクとなるなか、企業は「100%の防御は不可能」という前提に立ち、いかに迅速に事業を復旧できるかというサイバーレジリエンスの強化を迫られている。

6月9日に開催されたWebセミナー「TECH+フォーラム IT×OTセキュリティDays 2026 Jun. 事業を止めないセキュリティ OTセキュリティDay - 「なぜ」から考える脅威対策 -」に、住友化学 DX推進室 IT基盤開発・運用グループ制御セキュリティチームの門田あおい氏が登壇。同社が実践しているOTセキュリティの施策や、現場の運用に即した考え方について解説した。

なぜ今、工場の「サイバーレジリエンス」が必要なのか

住友化学は1913年に創業し、国内外に拠点を展開する総合化学メーカーだ。事業活動を支えるためITやデジタル技術の活用を進める一方で、サイバー攻撃のリスク増大が経営の重要テーマとなっている。

門田氏は「以前、制御システムは外部と接続されていないから安全という前提がありましたが、DXやIoT化、クラウド連携が進むにつれ、今は『つながる前提』で守り方を考える必要がある」と指摘する。さらに化学企業ならではの高圧ガス保安法などの法規制の強化や、重要インフラ事業者としての安定供給責任もあり、脅威とリスクはますます深刻化しているのが実情だ。

こうした背景から、サイバー攻撃を100%未然に防ぐことはもはや困難という現実を受け入れる必要がある。そこで同社が目指しているのが、侵害されることを前提に、いかに迅速に検知・対応し、復旧して事業継続へとつなげるかというサイバーレジリエンスの強化なのだ。

情報システム（IT）と制御システム（OT）の違いを理解する

サイバーレジリエンスを強化するにあたり、まず理解すべきはITとOTの特性の違いだ。

一般的なオフィスで利用する情報システム（IT）のセキュリティは、情報漏えいや改ざんを防ぐこと、すなわちCIA（Confidentiality：機密性、Integrity：完全性、Availability：可用性）の確保が中心となる。一方、工場を稼働させる制御システム（OT）は、現場活動やHSE（Health：健康、Safety：安全、Environment：環境）を守り、安全確保を最優先にしつつ、操業への影響を最小化して早期の安定化・復旧につなげることが最大の目的となる。

また、情報システムのライフサイクルが3〜5年であるのに対し、制御システムは10〜20年と長く、24時間365日の安定稼働が求められる。加えて、システムの変更が安全や操業に直結するため、IT向けのセキュリティ対策をそのまま適用することはできないことがある。

「守るべき対象や優先順位が異なるため、まったく同じ守り方は適用できず、OTの特性に合わせた対策を設計する必要があります」（門田氏）

「消火器の場所確認だけではダメ」住友化学が重視する訓練

住友化学では、制御システムのセキュリティを本社IT部門であるDX推進室が主管しつつ、各工場の工務計装部門や工場システム部門が参画する「制御システムセキュリティワーキンググループ」を設置。セキュリティの知識だけでは実効性のある対策は打てないため、現場の知見を持つメンバーと緊密にコミュニケーションを図り、現場で無理なく回るかという観点も含めて対策を検討・推進している。

住友化学における制御システムセキュリティの推進体制

対策の全体像としては、NISTサイバーセキュリティフレームワーク（NIST CSF）バージョン2.0をベンチマークとし、特定・防御・検知・対応・回復の各段階で多面的な対策を推進している。

制御システムセキュリティ対策の全体像

なかでも、レジリエンス強化の鍵を握るのが訓練・演習の反復だ。門田氏はこれを消防訓練に例える。

「消火器の場所を確認するだけでなく、通報から避難、消火まで一連の流れを実際に動いて確認するように、サイバーインシデントでも段階的な訓練が重要です」（門田氏）

具体的には、連絡体制や隔離手順などを作成する「基礎・準備」フェーズ、実際の現場での対応を想定し隔離作業などを試行する「初動訓練」、そして複数部門が連携してインシデント発生時の一連の対応フローを検証する「現場対応訓練」の3段階で進めて、見直しを重ねている。

有事を想定した訓練・演習の概要

実際に、パソコンをネットワークから抜線する訓練では、「現場に貼ってある『ここを抜いてください』という表示札の文字が薄くなっていて読みづらい」という、机上の手順確認では決して気付けないリアルな課題が発見できたという。有事の際に対応の成否に直結する細かな気付きを得て、次の改善につなげることが実地訓練の最大の意義だ。

サイバー攻撃は「システム障害」ではなく「安全問題」

同社が現在、そしてこれからの取り組みとして最も注力しているのが、セーフティとセキュリティの融合である。

制御システムにおけるサイバーインシデントは、現場の「見える」「動かせる」という前提を崩し、場合によっては安全機能にまで影響を及ぼす。過去の海外のインシデント事例を見ても、2010年のイランの核関連施設では制御ロジック改ざんと監視偽装により異常検知が困難になったとされる。2015年のウクライナの電力施設では監視・操作（HMI/SCADA）の運用環境が妨害され、停電および復旧の遅延が生じた。さらに2017年のサウジアラビアの石油化学プラントに至っては、異常発生時に安全停止に導くための仕組みである安全計装システムそのものが標的となっている。

こうした事態に直面した際、現場ではセーフティの観点からどう切り分け、どう安全側に切り替えていくかが問われる。そのため、「サイバーインシデントはシステム部門だけの問題ではなく、安全や安定操業に直結する事象として扱い、セーフティとセキュリティを切り分けずに融合して考えることが重要」だと門田氏は強調した。

「本当にうちで起きるのか」から始まった意識改革

この課題に対処するため、住友化学では検討体制を大きく広げた。本社IT部門や工場のシステム部門・工務計装部門にとどまらず、工場幹部、現場の操業課、本社の生産部門、そして安全対策部門も参画する強固な連携体制を構築したのだ。

門田氏によると、かつては社内でも「目に見えないサイバー攻撃が、本当にうちの制御システムで起こるのか」と、脅威をリアルに想像しきれない雰囲気もあったという。しかし、教育や啓発を重ね、また国内でもサイバーインシデントが工場の操業に影響した事例がニュースなどで報じられるにつれて、徐々にサイバーリスクが「自分ごと」として捉えられるようになってきた。

こうしてリスクを共通言語で議論できる土台が整ったことで、可視性・操作性の低下や安全機能への影響といった現場対応の論点に対し、セーフティとセキュリティの両面から対応方針を検討できるようになっている。

現場対応力の強化に向けたフロー整備では、システムの監視アラートだけでなく、「表示が見えない」「操作が効かない」「いつもと違う値が出る」といった現場の担当者が気付く違和感を起点とした一次調査プロセスを組み込んでいる。そのうえで、現場パトロールによる安全確認や運転判断、制御システムの隔離判断などを整理しつつ、検知から復旧までの運用を段階的に整備している。

さらに、議論のなかで出た現場での論点をシナリオに反映させ、演習の段階的な高度化を図っている。工場内の複数部門が連携する「現場障害訓練」から始まり、サイバー要因を含む工場の重大事象を想定した「大規模事象演習」、サプライチェーンや対外対応にまで波及する「全社シナリオ演習」、そして不確実性が高い状況での経営判断を伴う「甚大リスク演習」までを視野に入れ、展開を進めている。

訓練の高度化のステップ

最後に門田氏は次のように語り、講演を締めくくった。

「サイバー攻撃を完全に防ぐことは現実的ではなくなっており、侵害を前提にどれだけ早く検知・対応し、復旧するかというレジリエンスが重要です。ITとOTを一体で捉え、事業を止めないための判断・連携・運用を継続的に磨き、現場・IT・経営が“同じ地図”で議論できる状態をつくって実効性のある対策を進めていきます」（門田氏）