製造業のサイバー対策は何から始める？社長が決める優先順位①

社長、製造業のサイバー対策は、何から始めればよいのでしょうか。「ウイルス対策ソフトを入れるべきか」「高額なセキュリティ機器が必要か」と悩むかもしれません。

しかし、最初に確認したいのは製品の価格ではありません。自社のどの仕事が止まると困るのか、その仕事に必要な情報やシステムがどこにあるのかを把握することです。

製造業では、図面、加工プログラム、生産管理、検査記録、受注・出荷情報などが日々の業務を支えています。この記事では、製造現場の特徴を踏まえ、社長がサイバー対策の優先順位を決める手順を解説します。

1．製造業のサイバー対策は何から始めるべきか

サイバー対策というと、専門的なソフトやネットワーク機器を導入することを想像しがちです。しかし、会社によって使っている設備もシステムも異なるため、最初から同じ製品を導入することが最善とは限りません。

IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」は、基本的な対策から組織的な取り組みへ、段階的に進める考え方を示しています。まず自社の現状を知り、業務への影響が大きいところから改善することが大切です。

参考：IPA｜中小企業の情報セキュリティ対策ガイドライン第4.0版

2．最初に「止まると困る仕事」を決める

最初に社長が確認したいのは、工場で止まると困る仕事です。例えば、受注内容の確認、設計図面の閲覧、加工プログラムの読み込み、検査結果の記録、出荷手続きなどが考えられます。

仮に加工機械が正常でも、図面が開けなければ製造を進められない場合があります。反対に、特定の事務用パソコンが使えなくなっても、別の端末で業務を続けられる場合もあります。

同じパソコンでも、使えなくなった場合の影響は異なります。機器の価格だけでなく、仕事への影響を基準に考えましょう。

表は説明用の一般例です。実際の優先順位は、自社の業務や設備構成によって変わります。

3．重要な情報と機器を洗い出す

次に、止まると困る仕事を支えている情報や機器を確認します。パソコンだけでなく、サーバー、クラウドサービス、ネットワーク機器、加工設備に接続する端末なども対象です。

例えば、設計図面を担当者のパソコンだけに保存している場合、その端末が故障すると図面を確認できなくなる可能性があります。受注情報をクラウドで管理している場合は、利用するアカウントやインターネット接続も重要になります。

まず書き出したい5項目

• 何の仕事に使う情報・機器か
• どこに保存・設置されているか
• 誰が管理しているか
• 外部ネットワークにつながっているか
• 使えなくなった場合の代替手段はあるか

最初から詳細な台帳を完成させる必要はありません。まず重要なものを一覧にするだけでも、対策の出発点になります。

4．製造現場ならではの注意点

製造業では、一般的な事務用パソコンと、製造設備を制御するシステムを区別して考える必要があります。設備の制御に使う端末やネットワークでは、ソフトウェアの更新や再起動が生産、安全、品質へ影響する場合があります。

そのため、事務用パソコンと同じ手順で一斉に設定を変更することは適切とは限りません。設備メーカーや保守会社と確認し、操業と安全に配慮した計画を立てることが重要です。

参考：IPA｜制御システムのセキュリティ

5．社長が決める対策の優先順位

対策の優先順位を決める際は、「被害が起きた場合の影響」と「現在の弱点」を一緒に考えます。例えば、重要な図面を一台のパソコンだけに保存していてバックアップがない場合、データ消失への備えは優先度が高くなります。

また、インターネットから遠隔接続できる機器に既知の弱点がある場合は、早急な確認が必要です。一方、重要度が低く、外部と接続していない機器は、他の対策と比較して対応時期を判断できます。

この表は優先順位を考えるための例であり、すべての工場に共通する固定順位ではありません。安全上の問題や、すでに攻撃が疑われる状況があれば、その対応を優先してください。

6．IPAの情報セキュリティ6か条

IPAは2026年3月に公開したガイドライン第4.0版で、従来の情報セキュリティ5か条に「バックアップを取ろう！」を加え、情報セキュリティ6か条としました。小規模な製造業でも、基本対策を確認する際の参考になります。

表はIPAの基本対策を製造業向けに整理したものです。制御機器に適用する際は、設備の安全とメーカーの運用条件を確認してください。

7．パソコンと外部接続を守る

一般的な業務用パソコンでは、OSやソフトウェアの更新、ウイルス対策機能の確認、パスワードの管理が基本です。社外から接続するクラウドサービスやVPNなどでは、多要素認証や不要な接続の見直しも重要になります。

製造業では、外部の保守会社が設備を遠隔で点検する場合があります。その接続がいつ利用され、誰が管理しているかを把握しておきましょう。

ただし、制御設備に関係する接続設定は、現場の判断だけで変更しないことが大切です。設備メーカーや保守会社と連携し、安全に運用できる設定を検討してください。

8．バックアップと復旧を確認する

バックアップは、データが使えなくなった場合に備える重要な対策です。設計図面、加工プログラム、受注情報、品質記録など、失うと仕事が止まるデータから保存状況を確認しましょう。

バックアップ先が常に同じネットワークにつながっていると、サイバー攻撃の影響を受ける可能性があります。オフライン保管や変更されにくい保存方式などを検討し、バックアップ自体も守る必要があります。

バックアップで確認したいこと

• 重要データが保存対象になっているか
• 保存先が元の機器とは別になっているか
• バックアップが攻撃から保護されているか
• 復元テストを実施しているか
• 業務再開までの時間を把握しているか

9．設備の遠隔保守と安全を確認する

製造設備の遠隔保守は、故障対応や設定確認を効率化する一方、社外から工場内のシステムへ接続する経路にもなります。利用する場合は、接続先、利用者、認証方法、接続できる時間や範囲を把握しておくことが重要です。

IPAの「制御システムへのリモートアクセスに関するセキュリティ対策指南書」は、安全第一の考え方を重視しています。設備の稼働や安全を損なわないよう、メーカーや保守会社と連携した管理が必要です。

参考：IPA｜制御システムへのリモートアクセスに関するセキュリティ対策指南書

10．IT担当者がいない工場の進め方

小規模な製造業では、専任のIT担当者がいないこともあります。その場合でも、社長がすべての設定を理解し、自分で操作する必要はありません。

まず、パソコンの管理者、設備の保守担当、バックアップの確認担当を決めます。社内で対応できないことは、利用しているサービスの提供会社や保守会社に相談することも選択肢です。

重要なのは、誰も担当していない状態を避けることです。対策内容だけでなく、確認する人と次の確認日を決めておきましょう。

11．事故が起きたときの連絡体制

サイバー対策は、事故を防ぐ取り組みだけではありません。万一、図面が開けなくなったり、不審な画面が表示されたりした場合に、誰へ連絡するかを決めておくことも重要です。

工場の制御システムに異常が疑われる場合は、設備の安全を最優先にし、現場責任者や設備メーカーと連携します。状況を確認せずに停止や再起動を行うことは避けましょう。

IPAの中小企業向けガイドラインには、セキュリティインシデント対応の手引きも付属しています。事前に連絡先と初動手順を確認しておきましょう。

12．社長向け7項目チェックリスト

ここまでの内容を、社長が担当者に確認できる7項目にまとめました。回答できない項目があれば、そこを出発点にして対策を進めましょう。

一度にすべてを改善する必要はありません。ただし、工場の安全に関わる問題や、すでに確認されている重大な弱点があれば、優先して対応してください。

13．まとめ｜今日できる一つの行動

製造業のサイバー対策は、特定の製品を導入することから始める必要はありません。まず、止まると困る業務と、その業務に必要な情報・システムを把握することが重要です。

そのうえで、IPAの情報セキュリティ6か条を参考に、パソコンの更新、認証、共有設定、バックアップなどを確認します。製造設備に関係する対策では、安全と操業への影響を考え、設備メーカーや保守会社と連携しましょう。

公式一次情報

• IPA｜中小企業の情報セキュリティ対策ガイドライン第4.0版
• IPA｜制御システムのセキュリティ
• IPA｜制御システムのセキュリティリスク分析ガイド
• IPA｜制御システムへのリモートアクセスに関するセキュリティ対策指南書

※2026年10月30日時点の公的機関の公開資料を基に作成しています。本文中の業務停止例は一般的な想定であり、特定企業の事故を示すものではありません。