外部ベンダーのアクセス管理 その仕組みは本当に 「OT向け」ですか？

製造現場のリモートアクセスは、もはや「あれば便利」ではなく、事業継続の前提となっています。装置の遠隔保守、ソフトウェアアップデート、トラブルシューティング、予知保全——これらの業務は、社外からのアクセスなしには成立しません。

しかし、その利便性の裏側で、多くの製造企業がいま直面しているのが「外部ベンダーアクセスの統制不全」という構造的な課題です。

Ponemon Instituteの調査によれば、企業の約4社に3社がOT環境への外部ベンダーアクセスを許可しており、1社あたり平均で77の外部組織にアクセス権を付与しています。装置メーカー、機械メーカー、保守ベンダー、SIer、契約業者——これらの「外部事業者」が、それぞれ独自のリモートアクセスツールを持ち込み、工場ネットワークに接続している。それが日本の製造現場の実情です。

問題は、その権限の多くが過剰に広範であることです。装置メーカーには「装置の保守に必要」という理由でネットワーク全体への管理者級アクセスが与えられ、しかも常時接続可能な状態に置かれています。資産所有者である製造企業側には、誰がいつ何にアクセスし、何を実行したかを確認する手段——監査ログも、リアルタイム監視の仕組みも、ほとんどありません。

セキュリティ上の主要な懸念点として、Ponemon調査では以下が挙げられています：

• 不正アクセスの防止（44%）
• IT・OT間のセキュリティ方針の整合（43%）
• ユーザーに付与する特権アクセス範囲の管理（35%）

加えて、各外部ベンダーがさらに別の外部事業者と接続しており、その先にも委託業者が連なる——自社では把握も統制もできない多層的なアクセスエコシステムが、いつの間にか出来上がっています。

意図的な攻撃であれ偶発的なミスであれ、これらの外部接続経路はすべてリスク要因として扱う必要があります。従来の境界型セキュリティモデルは、もはやこの現実に対応できません。