重要なポイント

システムインテグレータは、どのように効率よくレジリエンスの高いOTネットワークを構築できるのか？

• IEC 62443への適合を効率化：IEC 62443-4-1 ML3認証を取得したセキュア開発ライフサイクル（SDL）プロセスに基づいて開発されたMoxaのセキュア・バイ・デザインのネットワークソリューションを活用することで、SIerはシステム全体の規格適合に向けた取り組みを効率化できます。
• 既存設備環境のネットワークをスムーズに分割： レイヤー2透過型ファイアウォールで既存システムを保護し、Gen3 LAN Bypass（LANバイパス）技術で重要なネットワークにおける単一障害点の発生を回避します。
• TCOの予測可能性を確保： ネットワークの可視化・管理ソフトウェアと、基本的なセキュリティ機能を標準搭載した産業用ファイアウォールを活用することで、運用の複雑さを軽減し、サブスクリプションの更新に起因するシステム停止を回避できます。

OTネットワークに求められるレジリエンスの確保は、これまで以上に複雑になっています。システムインテグレータ（SIer）は、IEC 62443などの厳格なサイバーセキュリティ規格への適合と、ダウンタイムを許容できない現場の要求との両立を迫られています。特に、既存設備が稼働する環境で高度なセキュリティ対策を導入すると、システム統合の複雑化や生産停止のリスクが生じます。こうした課題は、SIerにとって大きな負担となります。

では、予期せぬ問題を回避しながら、システム統合プロジェクトを効率よく進めるにはどうすればよいのでしょうか？ 本ガイドでは、安全性、信頼性、規格適合性を備えたネットワークを構築するためのポイントを、3つの主要課題とその解決策に沿って解説します。

課題1：システム全体でIEC 62443に適合するための膨大な工数

顧客から求められるIEC 62443への厳格な適合対応に、課題を感じていませんか？IEC 62443は、産業オートメーションおよび制御システム（IACS）のコンポーネント、システム、システム統合に関する幅広いサイバーセキュリティ要求事項を定めた規格群です。

SIerが直面する代表的な課題の1つは、機器単体のセキュリティ機能と、システム全体で実現すべきセキュリティ要件とのギャップを埋めるために、多大な工数が必要となることです。IEC 62443-4-2に適合したセキュリティ強化済みの機器を導入することは、重要な第一歩です。しかし、それだけでは十分ではありません。SIerやアセットオーナーは、IEC 62443-3-3が定めるシステムレベルの複雑な要求事項にも対応する必要があります。これらの厳格な要求事項を満たすには、脆弱性を抱える既存ネットワークの設計を見直す必要があり、相当な時間と労力がかかります。

解決策：規格適合に向けた取り組みを加速

システムレベルでの規格適合を実現するために、すべての製品が個別に認証を取得している必要があるとは限りません。厳格なセキュリティ開発プロセスに基づいて設計された機器を選択することで、SIerはより幅広く、信頼性の高いソリューションを活用できます。Moxaでは、IEC 62443-4-1 ML3認証を取得したセキュア開発ライフサイクル（SDL）プロセスを採用しています。これにより、ネットワーク製品ポートフォリオ全体で、設計段階からセキュリティを考慮した「セキュア・バイ・デザイン」の基盤を確保しています。

認証取得済みのハードウェアが必須となるプロジェクトに向けては、IEC 62443-4-2 セキュリティレベル2（SL2）認証を取得した製品も幅広く取りそろえています。主な製品として、セキュアマネージドスイッチのEDS-4000/G4000シリーズや、産業用ファイアウォールのEDR-G9010シリーズがあります。セキュアな製品開発の考え方と、認証取得済み製品の充実したラインアップを兼ね備えたベンダーと連携することで、SIerは規格適合を考慮した多層防御アーキテクチャの構築を効率化できます。

Moxaは、IEC 62443-4-1 ML3認証を取得した企業として、またIEC 62443-4-2認証取得製品を提供するネットワークソリューションベンダーとして、レジリエンスの高いネットワークセキュリティの構築と、IEC 62443-3-3へのシステム全体での適合に向けた取り組みを支援します。ネットワークの観点からIEC 62443-3-3の要求事項を実装する方法については、 ホワイトペーパー をご覧ください。

課題2：既存設備環境でのネットワーク分割に伴う「全面入れ替え」のリスク

既存設備が稼働する環境でネットワークを分割する際、SIerにとって大きな障壁となるのが、PLCのIPアドレス変更を伴うケースです。IPアドレスの変更はリスクが高く、生産停止につながるおそれがあります。さらに、インライン型のセキュリティ機器が故障すると、フェイルクローズによって重要な制御ループが停止し、分単位で大きな損失が発生する可能性もあります。

一方、工場内で大量のデータをやり取りするニーズも高まっています。複数のプロジェクトを同時に管理するだけでも大きな負担ですが、セキュリティ要件や稼働率の要求がそれぞれ異なる顧客に対して、適切なソリューションを選定・検証する作業は、SIerの負担をさらに増大させます。

解決策：既存設備の更新に対応するワンストップソリューション

Moxaは、多様なセキュリティ要件と性能要件に対応するため、マネージドスイッチと産業用ファイアウォールを幅広く提供しています。複数のベンダーの製品を組み合わせるのではなく、Moxaのソリューションを活用することで、既存設備環境のさまざまな課題に対応できます。

ステップ1：基本的なネットワーク分割を実現する

既存設備のセキュリティを早期に強化するには、アンマネージドスイッチをセキュアマネージドスイッチに置き換える方法が有効です。ネットワークの状態を可視化できるほか、VLANやサブネット分割を活用することで、シンプルかつ効果的なネットワーク分割を実現できます。

ステップ2：既存システムを停止させずに保護する

MoxaのEDF-G1002-BPファイアウォールは、レイヤー2透過型ブリッジとして動作できます。Windows XP搭載のHMIなど、パッチ適用が難しい既存システムの保護に適しています。既存の機器の前段にファイアウォールを配置することで、既存のIPアドレスやルーティング設定を維持したまま、セキュリティ対策を導入できます。

稼働継続を最優先するOT環境では、段階的な導入を推奨します。まず、IDS（侵入検知システム）モードから開始します。このモードでは、通信を遮断することなくトラフィックを受動的に監視・記録し、通常のOT通信パターンを把握できます。このアプローチは、OT環境で特に懸念される「ファイアウォールが必要な通信まで遮断し、生産ラインを停止させてしまうのではないか」という問題への対策にもなります。IDSによる監視を先行させることで、通信の実態を把握し、実際に通信を制御する前に、必要な判断材料と確信を得ることができます。

通常の通信パターンを十分に把握した後、検知した脅威のシグネチャに対応するIPS（侵入防止システム）やDPI（ディープ・パケット・インスペクション）のルールを段階的に有効化できます。また、タイムセンシティブな制御通信をIPSの検査対象から除外することで、OT制御ループの時刻確定性を維持し、セキュリティ対策によって制御性能が損なわれることを防ぎます。

ルーティング型と透過型のファイアウォールの技術的な違いについては、 こちらのホワイトペーパーをご覧ください。プロジェクトに適した産業用ファイアウォールを選定する際のポイントを解説しています。

ステップ3：ネットワーク分割とリモートアクセスを拡張する

大規模なネットワーク分割には、EDR-8010シリーズのファイアウォールが適しています。複数の複雑なネットワークセグメントを構築できるほか、同一のIPアドレス体系を使用するOEM製装置（スキッド）に対して1対1 NATをサポートします。また、安全なVPNトンネルによるリモートアクセスも実現できます。

ステップ4：妥協のない信頼性を確保する

OT環境では、何よりもシステムの稼働継続が求められます。そのため、Moxaのセキュリティソリューションは、単一障害点を回避できるように設計されています。EDF-G1002-BPやEDR-G9004シリーズなどの高度な産業用ファイアウォールには、Gen3 LAN Bypass技術が搭載されています。ファイアウォールの電源が失われた場合やシステム障害が発生した場合でも、機械式リレーがバイパス経路に切り替わり、重要なPLCとI/O間の通信を継続できます。また、セキュアマネージドスイッチやEDR-8010/G9010シリーズのファイアウォールは、堅牢なフェイルセーフ型の冗長化機能を備えています。大量のデータが流れる環境でも、ネットワーク全体の安定稼働を支援します。

課題3：導入・運用の複雑さと、継続課金型ライセンスの負担

市場に流通するファイアウォール製品の中には、管理インターフェースが複雑なものや、追加機能の利用に継続的なサブスクリプション契約が必要なものがあります。SIerにとって、こうした製品は導入時の大きな負担となります。多数の機器にネットワーク設定やファイアウォールルールを展開する作業が煩雑になり、導入・設定に多くの工数を要することがあります。

さらに、問題はプロジェクトの引き渡し後にも続きます。顧客が日常の保守・運用で複雑な設定に対応できず、ネットワークに関する専門知識がなければ、簡単な設定変更やトラブル対応さえ難しくなる場合があります。加えて、サブスクリプションの継続的な更新が必要な製品では、ライセンスの更新忘れが大きなリスクになります。市場にある一部のソリューションでは、ライセンスの期限切れによって管理機能が利用できなくなったり、通信転送そのものが停止したりする場合があります。このような事態は、回避可能なシステム停止を招き、SIerの信頼を損なうことにもつながります。

解決策：導入・運用を簡素化し、TCOを予測可能にする

Moxaのソリューションは、迅速な導入、トラブルシューティングの簡素化、安心して引き渡せるシステム構築を支援します。複雑さを取り除くことで、SIerは導入プロジェクトの収益性を高めるとともに、顧客にとっても保守・運用しやすいネットワーク環境を実現できます。

ネットワークとセキュリティの状態を一元的に可視化

Moxaは、産業現場の担当者が使いやすい、2つのソフトウェアによるネットワーク管理アプローチを提供しています。複雑なコマンドライン操作に頼ることなく、直感的なビジュアルインターフェースからネットワークを管理できます。

• MXview One: 物理ネットワークのトポロジーを自動的にマッピングし、機器の稼働状態、リンク状態、ネットワークの冗長化状態をリアルタイムに可視化します。導入時に発生した物理接続の問題を迅速に特定するのに役立ちます。
• MXsecurity: ファイアウォールポリシーの設定、IPSシグネチャの更新、脅威の監視などを一元管理します。ビジュアルインターフェースから多数の遠隔機器を効率的に管理でき、数回の操作で多数の機器に一貫したポリシーを展開できます。大規模な機器導入時の作業負担を軽減し、人的ミスのリスクを抑えます。

標準搭載のセキュリティ機能で、導入コストを最適化

Moxaは、OT環境に適した製品購入・ライセンスモデルを採用しています。ルーティング、NAT、ファイアウォールによる通信フィルタリングなどの基本機能はハードウェアに組み込まれており、利用にあたって継続的なサブスクリプション契約は必要ありません。

EDF-G1002-BPなどの高度な産業用ファイアウォールには、IPSライセンスが工場出荷時にインストールされています。新たな脅威に対応するためのIPSシグネチャ更新については、ポイント制のサブスクリプションを利用できます。

IPSシグネチャ更新のサブスクリプションを誤って更新し忘れた場合でも、IPS機能そのものは引き続き動作します。ただし、新しいIPSシグネチャは提供されなくなります。サブスクリプションの期限切れだけを理由に、ネットワークの通信転送が停止することはありません。これにより、顧客に対してTCO（総保有コスト）を明確かつ予測可能な形で提示できます。サブスクリプションの期限切れによるシステム停止や、予期せぬ機能停止に悩まされることなく、安定して稼働し続けるネットワークを構築できます。

ネットワーク統合の複雑さに悩まされることなく、セキュリティと信頼性を強化しませんか？真にレジリエンスの高いOTネットワークを実現するには、単一の機器を導入するだけでは不十分です。マネージドスイッチ、産業用ファイアウォール、一元管理ソフトウェアを組み合わせたMoxaのセキュアネットワークソリューションが、既存設備環境で直面する課題の克服を支援します。

セキュアネットワークソリューションの全製品ラインアップをご覧いただき、次のシステム統合プロジェクトに最適なソリューションをお選びください。