フォーティネットが公表した最新のOT（制御・運用技術）セキュリティに関するグローバル調査レポートは、OTサイバーセキュリティの成熟度がこの数年で向上していること、そしてその最も明確な兆候のひとつとして、OTサイバーセキュリティの責任が上級管理職や経営幹部層へと引き上げられている現状を示している。同レポートは、OT領域のセキュリティを経営課題として捉える必要性と、依然として残る課題を明らかにした。
事案の詳細
今回取り上げられているのは、フォーティネットが世界の産業組織を対象に実施したOTサイバーセキュリティに関する最新のグローバル調査レポートである。同レポートは、OTセキュリティの現状と課題を扱い、取り組みの中心を経営層が担うべきだという問題提起を行っている。タイトルが示す通り、現場任せではなく、経営陣が説明責任と最終的な意思決定を負う体制への移行を促す内容だ。
レポートが焦点を当てたのは、OTセキュリティの「現状」と「課題」である。OTは、工場やプラント、エネルギー設備などの運用に関わる制御システムや産業用ネットワークを含み、業務の継続に直結する領域として扱われることが多く、IT（情報システム）とは異なる事情を抱える。レポートでは、OT環境がいまだにサイバー攻撃の標的となり続けていること、侵入やインシデントを経験した組織が少なくないこと、そしてその対応において、人材不足や複雑化した環境への対応が課題となっていることが示されている。こうした状況の中で、責任の所在が曖昧なままでは、組織的な対策や投資判断が進みにくいという論点が浮き彫りにされている。
また、同レポートは「OTセキュリティ責任は経営陣へ」という方向性を明確に掲げている。OTに関する対策は、設備投資、運用ルール、ネットワーク構成、現場の手順変更など、組織全体に影響し得るため、経営層が関与しなければ意思決定が停滞するという問題意識がうかがえる。調査結果では、OTサイバーセキュリティの最終的な責任者が、従来の現場管理者や担当ディレクターから、最高情報セキュリティ責任者（CISO）やCIO、その他のCレベル幹部へとシフトしつつあることが示されており、多くの組織でCISOがOTサイバーセキュリティの最終的な責任を負う役割として位置づけられていることが明らかにされている。
影響と背景
OTセキュリティを経営課題として位置づける動きは、セキュリティ対策が単なる技術導入にとどまらず、責任分界や優先順位付けを伴う「統治」の問題になっていることを示す。同レポートが「現状と課題」を明かしたことにより、OT環境におけるリスクが経営判断に直結するテーマであることが改めて可視化されている。
調査結果では、OTセキュリティの成熟度が向上する一方で、防御対象となるシステムが広範にわたること、レガシーな制御機器と新しいネットワーク技術が混在すること、人材・スキル不足が深刻化していることなど、現場の運用だけでは解決しにくい論点が残っていることが示されている。また、OTサイバーセキュリティの責任が経営幹部層へ引き上げられているにもかかわらず、組織によって責任の置き方や管轄が異なり、CISO、CIO、OT担当役員など複数の役職にまたがるケースもあることが報告されている。こうした背景から、責任の所在や意思決定プロセスを明確にしないままでは、インシデント対応や投資判断が遅れ、事業継続に影響を及ぼすリスクが高まることが課題として指摘されている。
対策・今後の展望
レポートの問題提起を踏まえると、OTセキュリティは現場部門だけで抱え込むのではなく、経営陣の責任として体制化することが重要になる。具体的には、OT領域のリスクを把握し、取締役会や経営会議などの意思決定の場に乗せ、継続的に運用できる枠組みを整えることが求められる。フォーティネットは、こうした枠組みを支えるために、OT環境とIT環境を統合的に防御するセキュリティプラットフォームや、MDR（Managed Detection and Response）を含む各種ソリューションの活用も提言している。
- 責任の所在を明確化：OTセキュリティの最終責任者と意思決定のプロセスを定義し、現場任せにしない。CISOやその他のCレベル幹部が責任を負う場合でも、OT部門との役割分担を明文化し、インシデント対応や投資判断のルートを整理する。
- 現状把握と課題の可視化：OT領域でどこが課題なのかを整理し、優先順位をつけて取り組む。資産の棚卸し、ネットワーク構成の把握、既存の制御機器の脆弱性評価などを通じて、どこにリスクが集中しているかを明らかにし、組織として対策を計画する。
- 経営判断としての継続運用：単発の対応ではなく、継続的に見直す運用に落とし込む。OTセキュリティを経営指標やリスク管理の枠組みに組み込み、定期的なレビューや投資判断に反映させることで、責任が形骸化しないようにする。
CSRIからの現場アドバイス
【観点①：現場で何が起きているか】CSRIが中小企業のMDR運用や診断を支援する現場では、ITとOTの境界が曖昧なまま運用され、担当部門や責任者が定まらないケースが目立つ。資産の棚卸しが十分でなく、監視対象・対象外の線引きが曖昧な状態が継続しやすい。その結果、OT環境で発生したイベントやインシデントが、どの部門で検知・対応すべきかが不明確なまま放置されるリスクが高まっている。
【観点②：平易な解説】例えるなら、建物の「機械室」や「電源設備」の管理を、誰が鍵を持ち、誰が点検し、異常時に誰が判断するのか決めないまま運用しているようなものだ。つまり、問題が起きても決裁や対応が遅れ、被害や設備停止の影響が大きくなりやすい。OT環境では、制御システムの停止が生産ラインやサービス提供に直結するため、責任者と判断ルートを決めておくことが、被害の最小化と事業継続の観点で不可欠になる。
【観点③：今週中にできること】まず、OTに関わる機器やネットワークが「どこにあるか」「誰が管理しているか」を紙でもよいので一覧化し、空欄を見える化する。次に、その一覧をもとに経営層へ報告し、責任者と判断ルートを決めることを担当者に伝え、会議の議題として確保する。短期間で全てを整備するのは難しくても、「資産の洗い出し」と「責任者・判断ルートの明確化」に着手することで、OTセキュリティを経営課題として位置づける第一歩とすることができる。