外部ベンダーのアクセス管理 その仕組みは本当に 「OT向け」ですか？

外部ベンダーアクセスの統制が課題と認識されながら、多くの製造企業はいまだに「IT向けに設計されたリモートアクセスツール」に依存しています。しかし、これらのツールはOT環境特有の要件——24時間連続運転、パッチ適用不可、レガシー機器、分散環境、標準化されていない通信プロトコル——をそもそも想定していません。

代表的な4種類のツールが抱える構造的限界を整理します。

① 従来型VPN——「全許可か全拒否か」の二択しか取れない

VPN接続が確立されると、リモートユーザーはすべてのOT機器と同一ネットワーク上に置かれます。特定の装置だけに、特定の時間だけ、特定の操作だけを許可する——そうした細粒度の制御はできず、原則として「ネットワーク全体へのアクセス許可」か「全面拒否」の二択になります。

加えて、VPNにはマルウェアスキャン機能が備わっていないため、外部ベンダーの感染端末から接続されれば、OTネットワーク全体への感染拡大経路となります。認証情報の漏洩・盗難は、そのまま全OT資産への侵入を意味します。

② IT向けゼロトラストネットワークアクセス（ZTNA）——OT機器に適用できない

ITネットワーク向けに設計されたゼロトラスト製品は、VPNより進化していますが、OT環境には適しません。ZTNAは原則としてエンドポイント側にエージェントソフトウェアを導入する前提で設計されていますが、PLC・HMI・SCADAなどのOT機器には、そもそもエージェントを導入できません。結果として、ZTNA単独ではOT環境の多層防御は成立しません。

③ ファイアウォール／ACL——管理破綻と設定ミスのリスク

DMZネットワーク経由でリモートからのOTトラフィックをルーティングする方式では、数百から数千に及ぶファイアウォールルールやACL（アクセス制御リスト）の設定が必要になります。ルール数の増大は管理負荷を押し上げ、設定ミスやルール間の矛盾を生み、それ自体が新たな侵入経路となります。

④ ジャンプサーバー／PAM——アカウント乱立と形骸化

ジャンプサーバーは、リモートユーザーごとにアカウントを発行する仕組みのため、外部ベンダー数に比例してアカウントが増殖します。退職者・委託終了者のアカウントが削除されずに残り、攻撃者の格好の侵入口となるケースが後を絶ちません。この対策として高額なPAM（特権アクセス管理）ツールが導入されますが、運用が複雑で十分に活用されず、形骸化するケースも少なくありません。

これら4つのツールに共通するのは、いずれも「IT環境向けに設計された」という点です。OT環境はITとは別物——その前提に立たない限り、外部ベンダーアクセスの構造的課題は解決しません。