産業用制御システム（ICS）やOT（Operational Technology）領域では、製品のライフサイクルが長く、複数のベンダー・部品・ソフトウェアが組み合わさって稼働することが一般的です。その結果、最終製品ベンダーが直接開発していないコンポーネントに起因する脆弱性、すなわちSADP（Supplier Associated Digital Product）が、セキュリティリスクの中心になりつつあります。
この状況に対しSiemensは、サプライヤーSADPに関する脆弱性の透明性を高める取り組みを示しています。単に脆弱性を列挙するのではなく、「誰が、何を、どこまで把握し、どのタイミングで、どのような形で顧客に伝えるのか」という運用面の設計が問われるテーマです。本稿では、この発表が意味するところを、OT/製造業セキュリティの観点から整理し、実務に落とし込むポイントを解説します。
SADP脆弱性が“見えにくい”構造的理由
SADP脆弱性が難しいのは、技術的な問題に加えて、サプライチェーンの契約・責任分界・情報流通の問題が複雑に絡むからです。典型的には次のような要因が、透明性を下げます。
部品の多層化：最終製品→サブシステム→OS/ミドルウェア→OSS/ライブラリと階層が深くなるほど、脆弱性の影響範囲（どの機種・どのファームウェア・どの構成に該当するか）が特定しづらくなります。
SBOM未整備：SBOM（Software Bill of Materials）がない、あるいは更新されない場合、脆弱性情報（CVE等）と自社資産の突合ができず、対応判断が遅れます。
OT特有の制約：24/7稼働、停止コスト、検証環境不足、認証・適合性要件などにより、パッチ適用＝即実施とはなりません。したがって「情報の早期提供」と「回避策の提示」が重要になります。
Siemensの「透明性向上」が示す実務上の価値
脆弱性対応で顧客が最も困るのは、「結局うちの設備に影響があるのか」「いつまでに何をすればよいのか」が曖昧な状態です。透明性向上とは、言い換えると、顧客の意思決定に必要な情報を、より早く、より整った形で提供する方向性です。
具体的には、次の観点で改善が進むことが期待されます。
影響評価（Affectedness）の明確化
CVEの存在だけでは、実害リスクは判断できません。影響を受ける製品型番、ファームウェア/ソフトウェア版数、構成条件（機能が有効か、特定ポートが開いているか等）を「判定可能な粒度」で示すことが重要です。透明性の向上は、資産台帳や脆弱性管理ツールとの突合精度を上げ、不要な停止や過剰対策を減らします。
タイムラインと責任分界の可視化
SADP脆弱性では、一次対応はサプライヤー、取り込みは製品ベンダー、適用は顧客という分業になりがちです。したがって「サプライヤーがいつ修正するのか」「製品ベンダーがいつ取り込むのか」「それまでの回避策は何か」を提示できるかが鍵です。ここが整うと、顧客側は保守窓口・現場・経営の合意形成を進めやすくなります。
回避策（Mitigation）の充実
OTでは、パッチの前にネットワーク分離、アクセス制御、機能無効化、監視強化といった段階的なリスク低減が現実的です。SADP由来の脆弱性でも、製品固有の運用に落とした回避策が提示されれば、修正リリースを待つ間のリスクを抑えられます。
企業側が取るべきアクション：透明性を“活用”する体制づくり
ベンダー側の透明性が高まっても、受け取る側が活用できなければ効果は限定的です。特に製造業・重要インフラでは、次の整備が実務上の差になります。
SBOM/資産情報の整備と「突合できる」運用
まず必要なのは、機器の型番・版数・導入場所・ネットワーク接続状況を揃え、脆弱性情報と突合できる形にすることです。理想はSBOMですが、短期的には「機種別のソフトウェア版数」と「構成の差分」を管理するだけでも、影響判定が格段に早くなります。
脆弱性情報の一次受付と現場展開の分離
セキュリティ部門が一次受付し、OTエンジニアリング部門が影響評価と適用計画を作り、現場が保全計画に落とし込む——という役割分担が必要です。SADP脆弱性は情報量が多く、現場に直接流すと判断が止まりやすいため、翻訳・要約・優先度付けの機能が重要になります。
優先度付けはCVSSだけで決めない
OTでは「外部到達性」「横展開可能性」「安全への影響」「停止許容度」を掛け合わせて優先度を決めるべきです。たとえばCVSSが高くても、完全に隔離されたネットワークで当該機能が無効なら緊急度は下がります。逆にCVSSが中程度でも、工程停止や品質不良につながる場合は優先度が上がります。
透明性向上の“次の論点”：調達要件と継続的な検証
今回の方向性が進むと、今後は「透明性を提供するベンダーを選ぶ」時代になります。調達段階で、脆弱性情報の提供方法（通知チャネル、SLA、SBOM提供、修正の方針、EOL時の扱い）を要件化することが、結果的に運用コストを下げます。
また、情報が整うほど重要になるのが、検証プロセスです。パッチ適用が難しいOTでは、検証環境（デジタルツインやステージング）と変更管理（MOC）を整え、「適用できない」を減らすことが、リスク低減の最短ルートになります。透明性は目的ではなく、検証と適用を回すための“燃料”です。
まとめ
サプライチェーン由来の脆弱性は、もはや例外ではありません。Siemensが示すSADP脆弱性の透明性向上は、顧客の意思決定に必要な情報を前倒しし、影響評価・回避策・修正計画を現実的に進めるための基盤を強化する動きと捉えられます。
企業側は、情報を受け取る体制（資産管理、突合、優先度付け、検証・変更管理）を整えることで、その透明性を実効的なリスク低減につなげられます。OTセキュリティの成熟度は、技術導入だけでなく、こうした情報流通と運用設計の品質に表れます。