ITOT OTコンバージェンスとは何か？

ITOT OTコンバージェンスとは、情報技術システムと運用技術システムの統合であり、物理システムがデジタルネットワークと通信することを可能にする。ITとOT デバイスが同じ環境内で、時には意図せずに互いに接続したり、相互作用したりすることで発生する。

ITとOT の融合は、デジタルトランスフォーメーションの中核をなす要素であり、製造業やその他の産業環境において現在主流となっている、データ駆動型の産業運営への広範な移行を指します。

従来、OT ネットワークはセキュリティ上の理由から隔離（いわゆる「エアギャップ」）されていましたが、現在では、そのような隔離は現実的でもなければ、競争力のある選択肢でもありません。ITネットワークとの接続により、資産所有者は機器の故障を予測し、予定に基づくメンテナンスから状態に基づくメンテナンスへと移行できるほか、毎日OT システムに出入りする多くの請負業者やOEM技術者に対して、安全なリモートアクセスを提供することが可能になります。

このデジタル化は効率性を向上させる一方で、組織が積極的に管理しなければならない新たなサイバーリスクももたらします。課題は、通信が必要なITシステムとOT システムを安全に接続しつつ、通信の必要がないシステム間の通信を防止する方法であり、そのためには、それらの接続が実際にどこに存在しているかを可視化する必要があります。 多くの場合、望ましくない通信リンクは見過ごされ、OT とITが分離されているという誤った前提のもと、脆弱性が目に見える場所に隠れたままになっています。このような前提は、あるネットワーク上のマルウェアが拡散し、他のネットワークに影響を及ぼす可能性を高めます。適切なセグメンテーション、ファイアウォール、アクセス制御がなければ、IT環境で発生した脅威がOT 環境へと横方向に拡散し、その逆も起こり得ます。

ITとOT の融合が進む中、両環境におけるサイバーセキュリティのベストプラクティスへの十分な配慮が欠如していたため、OT のセキュリティインシデントが劇的に増加しています。『Waterfall 2025OT サイバー脅威レポート』によると、OT システムに影響を与えたサイバー攻撃の90％近くは間接的なものであり、多くの場合、侵害されたITシステムへの依存を通じて発生していたことが判明しました。この結果は、過去数年間の傾向と一致しています。

この図は、OT /OTコンバージェンスの複雑さを示している：

「OT 」とは何か、またITとはどう違うのか？

ITとOT の融合は、それぞれの分野が実際にどのような役割を果たしているかを理解すれば、その意義が明らかになります。情報技術（IT）とは、データの保存、処理、伝送に使用されるシステム全般を指し、サーバー、データベース、エンタープライズソフトウェア、企業内ネットワークなどがこれに含まれます。 IT環境では、データの機密性と完全性が最優先され、通常、頻繁なソフトウェアの更新やセキュリティパッチの適用によって管理されています。対照的に、オペレーショナル・テクノロジー（OT ）とは、産業環境における物理的なプロセスを監視・制御するハードウェアおよびソフトウェアを指し、その対象となるシステムの範囲は、多くのIT専門家が想定するよりもはるかに広範に及びます。OT 環境では、稼働時間と物理的な安全性が何よりも優先され、多くの場合、同じシステムが何十年もの間、変更されることなく稼働し続けています。

これら2つの世界は、従来、完全に隔絶して運営されており、それぞれ異なる優先順位やリスク許容度を持つ異なるチームによって管理されてきました。 ITチームは、ソフトウェアの更新を推進し、ダウンタイムをセキュリティ確保のための許容可能なコストとして扱うことに慣れています。一方、OT チームは、予期せぬ中断をすべて潜在的に壊滅的な事態と捉えており、生産ラインの停止や安全システムの誤作動は、現実世界での被害につながる可能性があります。この文化的な隔たりは、ITとOT の融合戦略において最も根強い課題の一つであり、組織は技術的な側面だけでなく、明確にこの課題に取り組む必要があります。

ITとOT の融合の形態

ITとOT の融合は、一挙に実現するものではなく、組織のインフラ、業界、および運用目標に応じて、複数の側面から段階的に進められます。さまざまなタイプを理解することで、チームは、その場しのぎの統合に任せるのではなく、より計画的なITとOT の融合戦略を策定できるようになります： 

• ネットワークの統合：ITネットワークとOT ネットワークは、ファイアウォール、DMZ、または統合ネットワークインフラを通じて接続されており、環境間のデータフローを管理することが可能となっています。
• データとソフトウェアの融合：OT で生成されたデータは、IT分析プラットフォーム、ERPシステム、またはクラウド環境に取り込まれ、全社的な可視化と意思決定に活用されます。
• プロセスとワークフローの統合：IT部門とOT 部門双方の知見を取り入れるよう、業務ワークフローが再設計されます。例えば、機械の稼働状況データをサプライチェーンや保守計画システムに直接統合するなどです。
• 物理インフラの統合：従来のOT ハードウェアを最新化するか、IP対応インターフェースを後付けすることで、接続された産業用ネットワークに参加できるようにします。
• 組織の統合：ITチームとOT チームは、共通のガバナンス体制の下で再編または統合され、セキュリティポリシー、インシデント対応、および部門横断的な研修について共同で責任を負う。

ITとOT の融合によるメリット

明確なIT／OT の融合戦略を策定した上で統合を実施すれば、運用面およびビジネス面で測定可能な価値がもたらされます。そのメリットは効率性の向上にとどまらず、意思決定の質向上、予期せぬダウンタイムの削減、さらには産業運営全般における安全性の向上にも及びます。こうしたメリットの具体例としては、次のようなものが挙げられます：

• 予知保全および状態に基づく保全： OT のセンサーデータはIT分析システムに直接取り込まれ、故障が発生する前に異常な摩耗、振動、または温度を検知することで、保全を事後対応型から予防型へと転換します。
• リアルタイムの業務可視化：経営幹部は、生産パイプライン全体にわたる統合的な可視性を獲得し、現場の実情と企業レベルの計画および需要シグナルを結びつけることができます。
• 業務効率：ワークフローの自動化とリソースのリアルタイム追跡により、手作業を削減し、無駄を最小限に抑え、エネルギー消費を最適化します。
• 安全なリモートアクセス：請負業者、OEM技術者、および遠隔オペレーターは、現場に物理的に立ち会うことなく、OT システムに安全にアクセスできます。
• データに基づいた迅速な意思決定：両環境から統合されたデータにより、運用管理者は、設備の稼働状況、サプライチェーンの混乱、あるいは安全上の事象に迅速に対応するために必要な背景情報を得ることができます。

業界における活用事例と応用

ITとOT の融合は、物理的なインフラに依存するほぼすべてのセクターにおいて、業務のあり方を一新しつつあります。具体的な内容は業界によって異なりますが、その根底にあるパターンは一貫しています。それは、運用データをエンタープライズシステムと連携させ、安全性、効率性、および回復力を向上させることです。さまざまな業界における活用事例には、次のようなものがあります：

• 製造：スマートファクトリー環境では、IIoTセンサーとリアルタイム分析を活用して、機械の状態を監視し、スループットを最適化し、予期せぬダウンタイムを削減しています。
• エネルギー・公益事業：送電網事業者は、OT の監視システムをITプラットフォームと統合し、負荷の平準化、異常の検知、分散型エネルギー資源のリアルタイム管理を行っています。
• 石油・ガス：パイプラインの遠隔監視、自動遮断制御、および腐食の予知検知は、ITとOT の融合によって実現され、安全性の向上と現場点検コストの削減に寄与しています。
• 輸送・物流：鉄道の信号システム、港湾設備、車両テレマティクスなどを含むコネクテッドインフラが、運用データを一元管理プラットフォームに送信します。
• 医療・製薬業界：ビル管理システム、コネクテッド医療機器（IoMT）、および製造設備は、運用上の要件と規制上の要件の両方を満たすために、ITとOT の統合が必要です。
• 水・廃水：処理施設では、水質の監視、薬品の注入管理、および重要な制御システムへの不正侵入の検知に、統合システムが活用されています。

ITとOT の融合に関するベストプラクティス

適切に実行されたITとOT の融合戦略は、接続性と制御のバランスを適切に保ちます。以下の実践方法は、許容できないリスクを生じさせることなく、IT環境とOT 環境の統合に取り組む組織にとっての基準となります：

• まず環境を把握しましょう：何かを接続する前に、OT およびIoT のアセット、通信経路、ワイヤレスおよびリモートアクセス接続、ならびに既存のIT／OT の接点について、完全なインベントリを作成してください。目に見えないものは、セキュリティを確保することはできません。
• ネットワークのセグメンテーションを実施する：ファイアウォール、DMZ、データダイオードを活用して、ITネットワークとOT ネットワークの間に管理された境界を設け、運用上可能な範囲でマイクロセグメンテーションを追加する。どのシステム間の通信が必要かを特定し、必要のない通信を厳格に制限することが、ITとOT の融合における中心的な課題である。
• OT へのゼロトラスト原則の適用：ロールベースのアクセス制御、強力な認証、継続的な検証を通じて最小権限の原則を徹底する一方で、稼働時間の要件、レガシープロトコル、安全上の制約といったOT の現実に合わせて、それぞれを調整する必要があります。CISAが主導した最近のゼロトラストに関するガイダンスでは、IT中心のアプローチをOT にそのまま適用することはできないと強調されています。
• リモートアクセスおよびサードパーティによるアクセスのセキュリティ確保：多要素認証、時間制限付きかつ監視対象のセッション、ならびに契約業者、OEM技術者、ベンダー向けの個別アカウントを義務付けることで、アクセスを無制限に開放するのではなく、タスクごとにアクセス権を付与するようにする。
• 継続的な監視： OT 向けに設計された、受動的で非侵襲的な監視および選択的なアクティブポーリングを活用し、運用を妨げたり、機密性の高い産業用プロトコルに干渉したりすることなく、異常な挙動を検知します。AIを活用した分析により、チームはアラートに埋もれることなく、優先順位を適切に付けられます。
• リスクに基づいて脆弱性の優先順位を付ける： OT ではパッチ適用に制約が生じることが多いため、脆弱性を「悪用可能性」と「運用への影響」に基づいてランク付けし、更新を適用できない場合は、セグメンテーションや仮想パッチなどの代替対策を活用してください。
• セキュリティ運用とインシデント対応を統合する：ITチームとOT チームがインシデント対応に関する共通の可視性と共同責任を共有できるようにし、環境をまたぐインシデントに対する明確なエスカレーション手順を確立します。多くの組織にとって、これはOT のアラートを、ITとOT が統合されたSOCに連携させることを意味します。
• ITとOT の知識のギャップを埋める：IT担当者が運用上の制約を理解するために十分なOT の背景知識を身につけ、OT 担当者が潜在的なセキュリティ問題をいつエスカレーションすべきかを把握できるようにする。目標は、部門横断的な専門知識を完全に備えることではなく、状況認識を共有することである。
• コンプライアンス要件の最新情報を把握する：IEC 62443、NIST SP 800-82 Rev. 3、NIST CSF 2.0、EUのNIS2指令、NERC CIP（電力事業者向けのネットワークセキュリティ監視要件であるCIP-015を含む）などの規格や規制は、統合された産業環境に対して体系的な指針を提供するとともに、ますます拘束力のある義務を課すようになっています。