SCS評価制度 製造業向けガイド｜OT/ITセキュリティとサプライチェーン対策

製造業がSCS対応を急ぐべき理由

製造業はサプライチェーン攻撃の最大の標的となっています。2022年に自動車部品メーカーがランサムウェア攻撃を受けた際には、完成車メーカーの国内全工場が操業停止に追い込まれました。食品工場でも生産管理システムへの不正アクセスにより、出荷が数日間停止する事例が発生しています。

SCS評価制度は、こうしたサプライチェーン全体のセキュリティリスクを可視化し、取引先間で信頼を担保するための格付け制度です。大手メーカーが取引先に★3以上の取得を求める動きが加速しており、製造業にとって対応は急務です。

製造業特有のセキュリティ課題

製造業のSCS対応が難しいのは、IT環境とOT環境の両方を守る必要があるためです。一般的なオフィスのIT対策だけでは不十分です。

• OT/IT統合環境：生産管理システム（MES）がクラウドやERPと接続され、攻撃の侵入経路が拡大
• レガシー設備：Windows XPやWindows 7で稼働する制御端末がパッチ適用不可の状態で残存
• IoTデバイスの増加：センサー、カメラ、PLCなど管理対象デバイスが数百〜数千台規模に
• 工場ネットワークの平坦化：セグメント分離されておらず、1台の感染が全体に波及するリスク
• 可用性最優先の文化：「止められない」工場ではセキュリティパッチの適用が後回しになりがち

★3要件と製造業の具体的対応策

SCS評価制度★3の要求事項を製造業の文脈で整理すると、以下のような対応が求められます。

OT環境のSCS対応

OT環境の対策は、ITとは異なるアプローチが必要です。スマート工場のセキュリティを確保しつつ、生産を止めない対策が求められます。

ネットワーク分離（Purdue Model準拠）

• Level 0-1（制御層）：PLC、センサー、アクチュエータを隔離ネットワークに配置
• Level 2-3（監視層）：SCADA、MESをDMZ経由でのみIT側と通信
• Level 4-5（IT層）：ERP、クラウドサービス等の通常IT環境

OT資産管理の現実解

レガシー設備が多い工場では、すべてのOT資産にエージェントを導入するのは非現実的です。以下の段階的アプローチを推奨します。

• Phase 1：ネットワークトラフィック分析による資産の自動検出
• Phase 2：重要度の高い設備からパッシブ型モニタリングを導入
• Phase 3：設備更新のタイミングでセキュリティ機能を組み込んだ新規設備へ移行

Microsoft 365+Intuneでの対応

製造業のIT環境側は、Microsoft 365を活用した技術対策で効率的にカバーできます。

• Entra ID：全従業員のMFA適用、条件付きアクセスによるデバイス・場所ベースの制御
• Intune：オフィスPC・タブレットの一元管理、コンプライアンスポリシーの適用
• Defender for Business：EDRによるマルウェア検知・自動対応
• Microsoft 365 Backup：メール、SharePoint、OneDriveの自動バックアップ

OT環境の対策は別途専門ソリューションが必要ですが、IT側をM365で固めることで、SCS★3の要件の大半をカバーできます。

BTNコンサルティングの支援

BTNコンサルティングのSCS対応支援では、製造業特有のOT/IT統合環境を考慮した★取得ロードマップの策定から技術実装までをワンストップで支援しています。

• OT/IT資産の棚卸しとリスクアセスメント
• ネットワーク分離設計（Purdue Model準拠）
• Microsoft 365によるIT側セキュリティ基盤の構築
• SCS★3自己評価の代行・申請サポート
• サプライヤー向けセキュリティ要件の策定支援

製造業のSCS対応でお悩みの方は、SCS評価制度の概要ページもあわせてご覧ください。