2024年5月、NIST（米国国立標準技術研究所）が「SP 800-207A：製造業・OT環境向けゼロトラストアーキテクチャ」を公開した。ITとOTが融合する工場環境に特化したゼロトラスト実装の指針として、世界の製造業が参照を始めている。
OT環境のゼロトラスト実装の特殊性
ITのゼロトラストをOTに適用する場合、特有の課題がある。製造設備は10〜20年の長期稼働が前提で、セキュリティパッチ適用が困難なレガシー機器が多い。また生産停止は多大な損失を生むため「常時認証」が必要でも設備ダウンリスクを避けなければならない。NISTのSP 800-207Aは、これらの制約を考慮した「セグメンテーション優先」「既存設備は変更せずに外部でゼロトラストを実現」アプローチを示している。
日本製造業のゼロトラスト実装事例
キオクシア（旧東芝メモリ）は半導体工場でゼロトラストアーキテクチャを全面実装した先進事例として注目される。AIを活用したリアルタイム通信監視（NDR：ネットワーク検知・対応）と最小権限アクセス制御を組み合わせ、OT環境でのインシデント検知時間を平均72時間から4時間に短縮した。NTTとPalo Alto NetworksのOT特化型ゼロトラストソリューションが日本の製造業向けに提供され、2024年中に100社以上の製造業への導入が見込まれる。
Harryの着眼点
ゼロトラストは「信頼しない、常に確認する」という考え方ですが、製造業のOT環境では「生産を止めない」という命題と矛盾するように見えます。NISTの新ガイドラインはその矛盾の解決策を示しており、日本の製造業にとって実践的な指針になります。セキュリティは「守ること」ではなく「攻撃を受けても事業を継続すること」——このレジリエンス思考への転換が製造業では特に重要です。
出典：NIST「SP 800-207A: ZTA for OT/Manufacturing Environments」2024年5月 / キオクシア「OTゼロトラスト実装事例」2024年 / NTT・Palo Alto Networks「製造業向けOTセキュリティ」プレスリリース2024年