2024年から2026年にかけて、製造業を標的にしたサイバー攻撃は年率30%以上のペースで増加しており、全産業の中でも最も被害が深刻なセクターの一つとなっています。ICS-CERT（産業制御システムサイバー緊急対応チーム）の報告によれば、製造業への攻撃の68%が「正規の認証情報の悪用」に起因しており、ファイアウォールやウイルス対策ソフトといった従来型の境界防御だけでは防ぎきれない脅威が主流になっています。
このような環境下で製造業の情シス担当者やCISOが最優先で取り組むべき課題が、アイデンティティセキュリティ（Identity Security）の強化です。「誰が」「何に」「どのような権限で」アクセスできるかを厳密に管理することは、OT/IT統合環境を守る上で最も基礎的かつ効果的な対策です。本記事では、製造業特有のアイデンティティリスクを整理し、実際の被害事例を踏まえた上で、ゼロトラストアーキテクチャに基づく実践的な実装ステップを詳しく解説します。
製造業が直面するアイデンティティリスク3つ
OT環境の共有アカウント問題（工場フロア特有の課題）
工場フロアでは今なお、複数のオペレーターが同一の認証情報でPLC（プログラマブルロジックコントローラ）やSCADA（監視制御・データ取得）システムにログインする「共有アカウント」の慣行が広く残っています。シフト交代時の素早い引き継ぎ、グローブや保護具を装着したままではパスワード入力が困難、生産効率を最優先する現場文化などが背景にあります。
しかし共有アカウントはセキュリティ上の致命的な盲点となります。インシデント発生時に「誰が操作したか」を特定できないため、フォレンジック調査が困難になります。また、退職した従業員の認証情報が共有アカウントとして使い回され続けるケースも多く、内部不正や外部攻撃者によるなりすましの温床となっています。Verizon社の「2025 Data Breach Investigations Report」によれば、製造業における内部脅威の39%が共有アカウントの悪用に関連しているとされています。
請負業者・サプライヤーの外部アクセス管理の複雑さ
製造業では、設備メンテナンス業者、システムインテグレーター、部品サプライヤー、品質監査法人など、多種多様な外部パートナーが工場の内部システムにアクセスする必要があります。日本の製造業大手では、アクティブな外部アクセスアカウント数が社内従業員の2〜3倍に達するケースも珍しくありません。
この「外部IDの爆発的増加」が管理の複雑さを招きます。プロジェクト終了後も削除されずに残存するアカウント（いわゆる「ゾンビアカウント」）、過剰な権限が付与されたままのサービスアカウント、VPN接続の認証情報が業者間で共有されるリスクなど、攻撃者にとって格好のエントリーポイントとなっています。
レガシーシステムとモダンIDaaS連携の困難さ
製造業では、20〜30年前に導入されたOTシステムが現役で稼働しています。Windows XPやWindows 7をベースにしたHMI（Human Machine Interface）端末、パッチ適用が困難なPLCファームウェア、標準的な認証プロトコル（SAML、OAuth、OpenID Connect）に対応していないプロプライエタリシステムなど、モダンなIDaaS（Identity as a Service）との連携が技術的に不可能なケースが多々あります。
この結果、IT系システムはクラウドベースのIDプロバイダーで管理され、OT系システムはローカルのアカウントデータベースで個別管理されるという「二重管理の孤島」が生まれます。シングルサインオン（SSO）の恩恵を受けられず、アクセスログも統合されないため、横断的な脅威検知が極めて困難になります。
製造業の実被害事例【2024〜2026年】
発生時期 | 業種・規模 | 攻撃手法 | 被害内容 |
|---|---|---|---|
2024年3月 | 欧州・自動車部品メーカー（従業員8,000名規模） | 廃業したMRO業者のVPNアカウントを悪用したランサムウェア侵入。MFA未設定のサービスアカウントを踏み台に工場ネットワークへ横断移動。 | 14工場が最大9日間停止。生産損失は推定€4,200万。設計データ180GBが外部流出。 |
2024年9月 | 国内・半導体製造装置メーカー（東証プライム上場） | フィッシングメールによる営業担当者の認証情報窃取。窃取したID/パスワードでO365にログインし、メール転送ルールを設定。 | 顧客企業130社の機密技術情報が流出。株価は発覚後5営業日で約12%下落。 |
2025年2月 | 北米・食品製造大手（年商$50億超） | 共有アカウントで管理されていたSCADAシステムへの不正アクセス。内部不正（退職した元従業員）によるIDの悪用。 | 製品リコールの危機を回避できたものの、フォレンジック費用と対策コストで$800万超の損失。 |
2025年11月 | 国内・重工業メーカー（防衛関連受注あり） | サプライヤー企業への標的型攻撃（サプライチェーン攻撃）。サプライヤーのリモートアクセスアカウントを踏み台に本体のCAD/PLMシステムへ侵入。 | 次世代製品の設計データ・仕様書が窃取された疑い。復旧・調査費用は推定20億円超。 |
製造業向けアイデンティティセキュリティの実装ステップ
- アイデンティティ棚卸しと可視化（Discover）
IT・OT双方を横断して「誰が何にアクセスできるか」の全体像を把握します。Active DirectoryやLDAPのアカウント一覧だけでなく、PLCやSCADA、MES（製造実行システム）のローカルアカウントも対象に含めます。特に、最後のログインから90日以上経過しているアカウント、共有アカウント、外部パートナーアカウントを優先的にリストアップします。 - 不要アカウントの削除と権限の最小化（Clean Up）
棚卸し結果をもとに、退職者・契約終了した外部パートナーのアカウントを即時無効化するプロセスを確立します。「とりあえず管理者権限を付与する」という慣行を廃止し、最小権限の原則（Principle of Least Privilege）に基づいてロールを再設計します。 - 多要素認証（MFA）の段階的展開（Strengthen）
まずリスクの高いシステム（VPNゲートウェイ、特権アクセス管理システム、クラウド管理コンソール）からMFAを義務化します。工場フロアでのMFA導入には現実的な手法の選定が必要です。 - アイデンティティガバナンスの自動化（Govern）
アクセス権のリクエスト・承認・レビュー・失効のサイクルをIGAツール（Identity Governance and Administration）で自動化します。製造業では、プロジェクト単位でのアクセス付与と自動期限設定が効果的です。 - 継続的な監視・検知・対応（Monitor & Respond）
IDR（Identity Detection and Response）やSIEM（Security Information and Event Management）を活用して、異常なアクセスパターンをリアルタイムで検知します。
OT/IT統合環境でのゼロトラスト実践ガイド
OT環境向けの特権ID管理（PIM）
OT環境における特権ID管理（Privileged Identity Management）は、IT環境以上に慎重な設計が求められます。PLCやDCS（分散制御システム）への管理者アクセスは、誤操作一つで生産ラインの停止や物理的な事故につながりかねないからです。推奨するアプローチはPAM（Privileged Access Management）ツールを活用した「ジャスト・イン・タイム（JIT）アクセス」の実装です。通常時は特権アカウントを無効状態に保ち、必要な作業が発生したときだけ申請・承認フローを経て一時的に権限を付与します。
工場フロアでのMFA導入の現実解
MFA手法 | 製造現場への適合性 | セキュリティ強度 | 導入コスト感 |
|---|---|---|---|
ICカード（Felica/MIFARE）＋PIN | 高（既存入退室管理と統合可能） | 中〜高 | 中 |
FIDO2/WebAuthn（セキュリティキー） | 中（防塵・防水対応品を選定） | 高 | 中〜高 |
生体認証（静脈・指紋） | 中（グローブ着用時は指紋認証が困難） | 高 | 高 |
コンテキストベース認証（場所・時間・デバイス） | 高（追加操作なしで認証強化） | 中 | 低〜中 |
サプライチェーンアクセスの最小権限設計
外部パートナーへのアクセス管理では、「必要最小限の権限を、必要な期間だけ」という原則を徹底します。外部パートナーアクセスをカテゴリ化し（定期メンテナンス業者、緊急対応業者、監査法人など）、それぞれのカテゴリに対して「アクセスプロファイル」をあらかじめ定義しておきます。外部アクセスには必ずジャンプサーバーまたはZTNAゲートウェイを経由させ、直接的なネットワークアクセスを禁止することが重要です。
製造業セキュリティ対策の優先度マトリクス
対策項目 | 効果 | 実装難易度 | 優先度 | 推奨着手時期 |
|---|---|---|---|---|
退職者・契約終了アカウントの即時無効化プロセス確立 | ★★★★★ | 低 | 最優先 | 即時（1〜2週間） |
特権アカウントへのMFA義務化（VPN・管理コンソール） | ★★★★★ | 低〜中 | 最優先 | 1ヶ月以内 |
外部パートナーアクセスの棚卸しと不要アカウント削除 | ★★★★☆ | 低 | 最優先 | 1ヶ月以内 |
OT環境の共有アカウント廃止と個人アカウント化 | ★★★★★ | 高 | 高 | 3〜6ヶ月 |
PAMツール導入によるJITアクセス管理 | ★★★★☆ | 中〜高 | 高 | 3〜6ヶ月 |
OT/ITシステム横断のSIEM・ログ統合 | ★★★★☆ | 高 | 中〜高 | 6〜12ヶ月 |
よくある質問（FAQ）
Q. OT環境へのアイデンティティセキュリティ導入は、生産ラインの稼働に影響しませんか？
A. 適切な設計と段階的な導入を行えば、生産ラインへの影響を最小化できます。重要なのは「まず管理・メンテナンスアクセスから始め、定常的な生産オペレーションには段階的に展開する」というアプローチです。最初のステップとして、リモートメンテナンスアクセスへのMFA義務化と特権アクセス管理の導入から着手することを推奨します。これらは本番の生産プロセスに影響を与えることなく実装できます。
Q. 中小規模の製造業でも、エンタープライズ向けのアイデンティティセキュリティツールを導入できますか？
A. はい、可能です。近年はSaaS型のIAM（Identity and Access Management）ソリューションやPAMツールが普及し、ライセンス費用も大幅に低下しています。中小規模の製造業であれば、まずMicrosoft Entra IDやOktaなどのクラウドIDプロバイダーを基盤として、段階的に機能を追加していくアプローチが現実的です。まずは費用対効果の高い「退職者アカウントの自動無効化」と「特権アクセスのMFA化」から始めることをお勧めします。
Q. サプライチェーン攻撃を防ぐために、サプライヤーに対してどのようなセキュリティ要件を課すべきですか？
A. まずは取引基本契約やセキュリティ要件書の中に、最低限のセキュリティ要件を明記することから始めます。具体的には、リモートアクセスへのMFA必須化、認証情報の共有禁止、インシデント発生時の報告義務などが基本的な要件となります。また、技術的な対策として、サプライヤーのアクセスをZTNAゲートウェイ経由に限定し、本社内部ネットワークへの直接アクセスを排除することで、侵害された場合の影響範囲を大幅に限定できます。
Q. アイデンティティセキュリティの投資対効果（ROI）はどのように説明すればよいですか？
A. 経営層への説明には、「コスト回避」の観点からROIを示すアプローチが有効です。製造業でのランサムウェアインシデントの平均被害額は、生産停止コストや復旧費用を含めると数億円から数十億円に達します。一方、アイデンティティセキュリティへの投資額は通常これを大幅に下回ります。MFA導入だけでクレデンシャルベースの攻撃の99%以上を防止できることを示し、「低コストで高リスクを排除できる投資」として位置づけることが重要です。
まとめ
製造業におけるアイデンティティセキュリティは、もはや「IT部門だけの課題」ではありません。OT環境の共有アカウント問題、外部パートナーのアクセス管理、レガシーシステムとの統合困難といった製造業特有の課題に正面から向き合い、ゼロトラストの原則に基づいたアイデンティティ管理を実現することが、生産ラインと企業価値を守る根幹となっています。重要なのは、完璧なシステムを一度に構築しようとすることではなく、リスクの高い領域から段階的に改善を進めることです。
AEVUSの製造業向けセキュリティ支援
AEVUSは、製造業特有のOT/IT統合環境を深く理解した上で、アイデンティティセキュリティの設計・導入・運用を一貫してご支援するサイバーセキュリティ専門ファームです。アイデンティティリスクアセスメント、PAM/IAM導入支援、ゼロトラストロードマップ策定、セキュリティ教育・訓練など、貴社のフェーズに応じた支援をご提供します。「まず現状のリスクを把握したい」というご相談から、お気軽にどうぞ。
