製造現場の制御システム（OT機器）は24時間稼働・長期使用が前提のため、セキュリティパッチを適用しにくい「ゼロデイ脆弱性」への対策が急務となっている。仮想パッチング・ネットワーク隔離・脅威インテリジェンスを組み合わせた多層防御が求められる。
OT機器のゼロデイ問題——なぜパッチが当てられないのか
PLCやSCADAシステムは製造プロセスの心臓部であり、ソフトウェアパッチを適用するためには稼働を止める必要がある。年間数百億円の売上が出る生産ラインを停止してのパッチ適用は現実的に困難で、脆弱なまま長年運用するケースが多い。さらにシステムベンダーがサポート終了（EOL）した機器を交換せずに使い続けるリスクも高い。
仮想パッチングとネットワーク隔離で脆弱機器を保護
機器へのパッチ適用なしに脆弱性を保護する「仮想パッチング」は、IPS（侵入防止システム）やNGFW（次世代ファイアウォール）で脆弱性を悪用する通信をネットワーク上でブロックする技術だ。トレンドマイクロ・クラロティ・Nozomi Networksなどが製造業向けOTセキュリティ専門ソリューションを提供している。加えてOTネットワークのセグメント化・外部との物理的切断（エアギャップ）の組み合わせが多層防御の基本となる。
Harryの着眼点
製造業のOTセキュリティは「完璧を求めず、最悪の事態を防ぐ」という現実的なアプローチが重要です。パッチ適用が100%できない現実の中で、影響を最小化する封じ込め策・監視体制・インシデント対応訓練が実践的な対策です。年1回以上の「レッドチーム演習」（攻撃者役によるペネトレーションテスト）が製造業のセキュリティ成熟度向上に効果的です。
出典：ICS-CERT「ICS脆弱性アドバイザリ年次報告2023」、クラロティ「State of XIoT Security Report 2023」