産業の発展や社会基盤の整備において、さまざまな物理的なシステムや設備が稼働しているが、その中核を担うのがオペレーショナルテクノロジー、略してOTと呼ばれる分野である。OTは、製造ラインの自動化や電力施設、交通や上下水道などのインフラ運用、ビル設備制御などで利用される制御システム全般を指し、従来から社会や産業を支える不可欠な役割を果たしてきた。このOTの現場では、センサーやアクチュエーター、プログラマブルロジックコントローラーといった機器が情報と制御命令をやり取りしながら、生産プロセスやインフラ運用を効率的かつ安全に実施している。以前は閉じたネットワーク、つまり外部との接点を極力減らす環境で運用されるのが主流であり、セキュリティ面のリスクは限定的だとみなされてきた。しかし、情報技術の発展とともに、OTの領域でもインターネットなどと接続するケースが増加し、様々な先進的なサービスとの連携やリモート保守といった利便性の高い取り組みが求められるようになっている。
このような流れに伴い、OT関連機器やシステムが一般のITシステムと接続され、さまざまな脅威への曝露度が高まるという新しい課題が顕在化している。インフラ運用現場では、長年使われた機器が多く存在しており、サイバー攻撃の脆弱性を内包しているケースも少なくない。OT特有の機器や制御装置は、製造中止後も延命利用されることが多く、更新までに長い期間を要するため、最新のセキュリティ対策を反映しづらいという特徴がある。また、システム停止が事業や社会活動に重大な影響を与えるため、容易なメンテナンスやパッチ適用が困難だという特性もある。社会基盤そのものであるインフラ分野でのOTがサイバー攻撃に遭った場合、支障の範囲は企業だけでなく市民生活全般に及ぶ可能性が高い。
たとえば送電網の遠隔制御システムが乗っ取られれば、広範囲にわたる停電が発生するおそれがある。水道やガスの運転制御で不具合が起きれば、安全ですら脅かされかねない。交通管理システムの制御に支障が出た際には、事故や渋滞といった社会的混乱も瞬時に拡大する恐れがある。セキュリティの観点から見ると、OTの抱える課題はIT分野と重なる部分が多い一方で、大きく異なる特徴もある。OTは本来、現場重視の設計哲学に基づいて構築されてきたため、高度な可用性やリアルタイム応答性能が最優先されており、高度な暗号化や認証システムの導入が限定的な場合が多い。
時間や手順を守ることが最も重要とされる現場作業と、複雑で時間を要するセキュリティ対策はしばしば対立しがちである。また、ネットワーク構成や監視体制そのものが複雑に絡み合い、各種の制御装置やソフトウェアの更新作業が一筋縄ではいかない現実もある。こうした環境下では、専門的な知識を持った管理者が極めて重要な役割を担う。脅威が直面する可能性のある箇所の洗い出しはもちろんだが、正常時と異常時の挙動を細かく把握するといった地道な作業も不可欠である。ここで注目されるのが、OTとITの融合で生じる境界の脆弱化への対応だ。
従来型のファイアウォール設置や物理的な隔離では十分な防御が困難な現象も増え、少しの隙間が命取りになる。インフラ分野においては、デジタル化の波を加速させつつ、システム間連携にともなう新たなリスクをいち早く察知し、セキュリティ強化と現場運用のバランスを適切に取ることが求められるようになった。具体的には、現状のシステム資産の状況を棚卸しし、既存セキュリティ措置の有効性を検証したうえで、不十分な領域に速やかに対策を講じる必要がある。また、万が一不正アクセスや異常が発生した際の封じ込め手順や復旧計画も詳細化し、定期的な訓練やシミュレーションを実施することが重要である。さらに、外部との接続端点部分の監視や、OT特有のプロトコルに対応したセキュリティ対策の導入も重要となる。
インフラの安全な継続的運用には、OT分野に求められる独自の要件とセキュリティの両立が避けて通れなくなっている。日常の現場業務を中断させることなく最新の攻撃手法へ即応し、機器や人材が長期にわたり安全かつ柔軟に運用される仕組みを構築する知恵が、社会的な価値を高めるうえで今後ますます重要になるだろう。産業や社会インフラを支える制御システムの中核であるオペレーショナルテクノロジー（OT）は、工場の自動化や電力・水道などの基盤で広く用いられてきた。従来は外部と切り離された閉じたネットワーク環境が主流で、セキュリティリスクは限定的と考えられていた。しかし近年、情報技術の発展とともにOTもITシステムやインターネットと接続される機会が増え、利便性向上の裏で新たな脅威へ曝露されるリスクも高まっている。
特に、老朽化した機器が長期間使われ続けている現場では、サイバー攻撃の脆弱性が内在しやすく、停電やガス・水道の停止、交通システムの混乱など、市民生活や企業活動に直結する深刻な影響を及ぼす可能性がある。OT分野では、可用性やリアルタイム性が優先されるあまり、暗号化や認証などのIT的セキュリティ対策が十分に施されていないケースも多い。また、システムの更新やメンテナンスが簡単に行えず、通常時と異常時の挙動管理にも高度な専門知識が必要とされる。OTとIT統合による境界の脆弱化へ備え、既存資産の洗い出しや監視強化、異常時対応策の策定など、きめ細かなセキュリティ対策が不可欠になっている。現場運用を維持しつつ新たなリスクに即応できる柔軟な体制づくりが、今後ますます重要な社会的課題となる。