概要

OT（Operational Technology：制御技術）は工場・プラント・電力インフラなどの物理的なプロセスを制御するシステムを指し、IoT（Internet of Things）はネットワークに接続されるあらゆる機器を指します。両者はITシステムと異なり「止められない」「パッチを当てにくい」という制約があり、従来のセキュリティ対策をそのまま適用できません。SC試験では制御システム特有の設計思想と、IT側との連携・分離の考え方が問われます。

仕組みと動作原理

ITとOTの優先順位の違い

ITセキュリティは一般的に「機密性（Confidentiality）＞完全性（Integrity）＞可用性（Availability）」の順で重視されますが、OTでは可用性が最優先されます。プラントの制御が一瞬でも停止すると、人命や環境への被害、莫大な経済損失につながるためです。

ITシステム と OTシステム の特性比較
IT（情報システム） OT（制御システム）
優先順位
機密性 > 完全性 > 可用性
可用性 > 完全性 > 機密性
稼働期間
数年で更新（3〜5年）
10〜20年以上の長期稼働
パッチ適用
定期的に迅速に適用
稼働停止を伴うため困難・慎重
リアルタイム性
多少の遅延は許容範囲
ミリ秒単位の遅延が致命的
障害の影響
業務停止・データ損失
人命・環境・物理設備への被害

この違いから、ITで当然とされる「脆弱性発見後すぐにパッチ適用」がOTでは簡単に実行できません。多くのSCADA・PLCは数十年単位で稼働し続けるレガシーシステムであり、パッチ適用前の入念な検証やメンテナンスウィンドウの確保が必要になります。

SCADAとPLCの役割

用語役割
SCADA（Supervisory Control And Data Acquisition）監視制御システム。プラント全体の状態監視と集中制御を担う上位システム
PLC（Programmable Logic Controller）現場のセンサー・アクチュエータを直接制御する産業用コントローラ
DCS（Distributed Control System）プラント内に分散配置された制御装置群を統合管理するシステム
HMI（Human Machine Interface）オペレータが監視・操作を行う画面インターフェース

Purdue Model（Purdue Enterprise Reference Architecture）

OT環境のセキュリティ設計で広く参照される階層モデルがPurdue Modelです。ネットワークをレベル0〜5の階層に分け、上位（IT・企業ネットワーク）と下位（現場の制御機器）を明確に分離することで、IT側から侵入されても制御プロセスに直接影響が及ばないようにします。

Purdue Modelの階層構成
Level 5
企業ネットワーク（IT）
Level 4
業務システム・ERP
Level 3
製造実行系（DMZ含む）
Level 2
SCADA・HMI（監視制御）
Level 1
PLC（現場制御）
Level 0
センサー・アクチュエータ
Purdue Model
IT/OT分離の参照モデル

Level 3とLevel 4の間、あるいはLevel 3内にIT/OT間のDMZを設けることが典型的な設計です。ここにデータダイオード（一方向通信のみを許すゲートウェイ）や専用ファイアウォールを配置し、IT側のマルウェアやランサムウェアがOT側の制御ネットワークに直接到達しないようにします。IT/OT分離は「完全に切り離す（エアギャップ）」設計と「限定的な通信のみDMZ経由で許可する」設計の両方があり、業務要件に応じて選択されます。

IoTデバイス特有の脆弱性

IoT機器はOT機器とは異なる文脈ですが、同様に「セキュリティが後回しにされやすい機器」という共通点があります。

  • デフォルトパスワードの放置：出荷時のID/パスワードのまま運用され、外部から容易に乗っ取られる
  • ファームウェアの更新困難：自動更新の仕組みがなく、脆弱性が長期間放置される
  • リソース制約：CPU・メモリが限られ、暗号化やウイルス対策ソフトの導入が困難な機器が多い
  • 管理外資産（シャドーIT/IoT）：管理台帳に載らないまま設置され、監視の対象外になる

Mirai型ボットネットは、IoT機器のデフォルトパスワードや既知の脆弱なログイン情報を辞書攻撃で突破し、大量のIoT機器（防犯カメラ・ルーター等）に感染してボットネットを形成した代表事例です。2016年にはこのボットネットを用いた大規模DDoS攻撃により、DNSサービス事業者Dynが攻撃を受け、多数の著名サービスが一時アクセス不能になりました。

SC試験での頻出ポイント

  • ITとOTの優先順位の違い：ITは機密性優先、OTは可用性優先という原則
  • Purdue Modelによる階層分離：Level 0〜5の構成とIT/OT間DMZの役割
  • SCADA・PLCへのパッチ適用の難しさ：稼働継続の必要性から即時パッチが困難な理由
  • Miraiボットネットの手口：デフォルトパスワード・弱い認証情報を突く辞書攻撃とDDoS利用
  • エアギャップの限界：物理的に隔離していてもUSBメモリ等を介した感染（Stuxnet等）が起こりうる点

よくある誤問・ひっかけパターン

誤り① 「OT環境はネットワークから物理的に隔離（エアギャップ）されているため対策は不要である」→ 誤。保守用USBメモリやノートPCの持ち込み経由でマルウェアが侵入する事例（Stuxnetが有名）があり、エアギャップだけでは対策として不十分です。

誤り② 「OTシステムもITと同様、脆弱性が判明したら直ちにパッチを適用すべきである」→ 誤。OTでは可用性が最優先されるため、稼働停止を伴うパッチ適用は綿密な検証とメンテナンスウィンドウの計画が必要です。即時適用が現実的でない場合は、ネットワーク分離や監視強化などの緩和策で対応します。

誤り③ 「IoT機器のセキュリティ対策は、暗号化通信を導入すれば十分である」→ 誤。多くのIoT機器はデフォルトパスワードの放置やファームウェア未更新が主要なリスクであり、通信の暗号化だけでは初期認証情報の悪用やMirai型の辞書攻撃を防げません。

関連用語

重要キーワード

用語説明
Purdue ModelIT/OTネットワークをレベル0〜5に階層分離する参照アーキテクチャ
SCADAプラント全体を監視・集中制御する上位の制御システム
PLC現場のセンサー・アクチュエータを直接制御する産業用コントローラ
エアギャップネットワークを物理的に隔離する対策。過信は禁物
Miraiデフォルトパスワードを突いてIoT機器に感染するボットネット型マルウェア
データダイオード一方向のみの通信を許す機器。OTへの逆侵入を防ぐ