「自工会/部工会・サイバーセキュリティガイドライン工場領域版」とは、日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）が2026年4月に公開した、自動車産業の工場OT環境を対象とするセキュリティ対策の指針です。要求事項は62項目で、年1回以上の自己評価が推奨されています。本記事では、エンタープライズ版との違い、要求事項の全体像、実務での進め方を解説します。
近年、自動車産業を取り巻くサイバーセキュリティリスクは量・質ともに大きく変化しています。特に注目すべき点として、完成車メーカー単体にとどまらず、そのサプライヤを含むサプライチェーン全体が攻撃の対象となっていることが挙げられます。サプライヤの工場やシステムが侵害されることで、結果として完成車メーカー全体の生産停止や品質・安全面への影響につながるケースも現実のものとなっています。
こうしたサプライチェーン全体へのサイバーセキュリティリスクの高まりを受け、日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）は、自動車産業に共通するセキュリティ対策の指針を整備してきました。
自動車産業向けのサイバーセキュリティガイドラインは、これまで会社全体のOA環境を対象とした「エンタープライズ版」が先行して整備・普及してきました。エンタープライズ版ガイドは対象範囲を「業務基盤となるOA環境」と定義しており、工場のOT環境は含まれていません。そのため、製造現場特有の要件を踏まえたセキュリティ対策を、OT環境にも適用する必要がありました。
このような背景を踏まえ、製造現場で守るべきセキュリティを整理すべく、JAMAとJAPIAが共同で「自工会/部工会・サイバーセキュリティガイドライン工場領域版」（以下、工場領域版ガイド）を2026年4月に第1.0版として公開しました。
近年は、以下のような理由からOT（Operational Technology）環境が新たなリスク領域として注目されています。
・ライフサイクルが長く、脆弱性の残る古い制御機器・OSが使用され続けている
・安全性・可用性の確保が最優先されるため、脆弱性対応や認証・アクセス管理といった対策が後回しになりやすい
・効率化のために、製造現場側の判断で製造設備や制御システムが外部接続される（社内のIT環境やクラウド接続、保守ベンダのリモートメンテナンス経路の構築等）。一方で、情報システム部門の担当者がOT環境と外部の接点を把握できていないケースが増えている
OT環境でのサイバーインシデントは、単なる情報漏えいに留まらず、生産停止・安全事故・品質不良といった被害を引き起こすおそれがあります。
OT環境におけるセキュリティ対策の指針として、国際的にはIEC 62443シリーズや国内では経済産業省が策定した「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」など、さまざまな基準やガイドラインが存在します。
一方で、現場からは
・内容が抽象的で現場でのセキュリティ対策に落とし込みづらい
・サプライヤごとに参照しているガイドラインや対策のレベル感が異なる
・自動車産業に関わる企業のベースとなるセキュリティ対策が欲しい
といった課題が多く指摘されてきました。このような背景から、国内の自動車産業の実態に即し、関係者間の「共通言語」となり得るセキュリティ対策のベースラインが求められていました。
工場領域版ガイドは、このような現場の声を踏まえ、企業規模にかかわらずすべての企業で活用されることを想定して作成されています。特にサイバーとフィジカルが直結する製造現場を重視し、実際に設備を稼働させているシステムに着目した点が、工場領域版ガイドの大きな特徴の1つです。
自動車産業向けサイバーセキュリティガイドラインは、従来の「エンタープライズ版ガイド」と、今回取り上げる「工場領域版ガイド」の2種類が存在し、それぞれ対象とする領域が異なります。
エンタープライズ版ガイドの対象は、OA環境全体です。基幹システムや社内ネットワークといった一般的な情報システムに加え、工場内に設置されたOA環境も含まれます。そのため、工場内の生産管理系システムや製造設備、現場ネットワークといったOT環境は、対象範囲に含まれていません。
これに対して、今回公開された工場領域版ガイドでは、工場内のOT環境に焦点が当てられています。具体的には、生産管理系システム、製造設備、制御ネットワークなど、現場担当者が日常的に管理・運用しているシステムが対象です。エンタープライズ領域と工場領域の境界に位置する部分も含め、工場の操業に直結するシステムに求められるセキュリティ対策が整理されている点が特徴です。
また、要求事項の建て付けにも違いがあります。エンタープライズ版ガイドがレベル1・レベル2といった対策レベルを設定しているのに対し、工場領域版ガイドではそのようなレベル設定は設けられておらず、OAで利用されるオフィスツール関連の要件などが削除され、OT環境の実態に合わせて要求事項も絞り込まれています。
工場領域版ガイドの特徴の1つとして、想定読者層の広さがあります。
エンタープライズ版で対象となっていたCISO（最高情報セキュリティ責任者）、リスク管理部門、監査部門に加え、以下の工場内における担当部門が対象に含まれています。
・工場におけるセキュリティ対応部門
・工場の情報システムの開発/運用部門
・工場の制御システムの開発/運用部門
・工場におけるデータマネジメント部門
・工場におけるサプライチェーンの管理責任を負う購買や調達部門
・その他のセキュリティに関わる部門（人事・法務・総務）
本社の情報システム部門任せにせず 、製造現場の関係部門を巻き込むことを前提としている点が特に実務的です。
工場領域版ガイドでは、工場のセキュリティ対応部門等が、年1回以上の頻度で自社OT環境の対策状況を自己評価することを推奨しています。
従来のエンタープライズ版ガイドとは評価対象領域が異なっているため、工場領域版ガイドを利用した評価の際はOA領域の回答にならないよう、工場内のOT環境（生産管理系システム、製造設備、現場ネットワーク等）を具体的に念頭に置いて評価することが重要です。
本ガイドは、エンタープライズ版でカバーしきれていないOT環境を対象としているため、すでにエンタープライズ版で確認済みの領域を重ねて評価する必要はなく、工場領域版ガイドの評価結果がエンタープライズ版の評価結果に影響することもありません。
実務上は、OT環境の評価を進める過程で、エンタープライズ領域の運用ルールやシステム構成に課題が見つかることもあり、改善点を洗い出す契機として活用することも可能です。
工場領域版ガイドは、以下の2つで構成されています。
・ガイドライン本編
・チェックシート（自己評価用）
また、工場領域版ガイドは、OT環境特有の要件を踏まえた業界共通の「自己評価の観点」を示しています。これにより、企業規模を問わず、自動車産業のサプライチェーンを支えるすべての企業が、OT環境のセキュリティ対策強化と対策状況の点検に取り組みやすくなることを狙いとしています。
一方で、本ガイドはすべての企業・工場に共通する「唯一の正解」を示すものではありません。業界として最低限押さえるべき観点を揃えつつ、各社・各工場の操業形態やリスク特性に応じて、既存の社内ルールや他の基準と組み合わせて活用することが前提です。
要求事項には、以下の内容が含まれます。
|
カテゴリ |
概要 |
|
組織・人 |
・平時/事故時の体制整備、事故時の対応手順 ・教育・啓発・訓練 |
|
資産管理（情報） |
・重要情報の区分整理と管理（非公表の試作品情報等の有形の重要情報を含む） |
|
資産管理（機器） |
・製造設備・システム（OS・ソフト）の管理 |
|
リスク対応 |
・機密性・完全性・可用性の観点での業務影響評価に基づくリスク対応 ・経営層への報告と管理 |
|
ネットワーク・接続管理 |
・ネットワーク可視化（NW図・データフロー図） ・外部接続の管理（リモート保守やクラウドを含む外部システム利用等） ・社内接続の管理（工場NW接続ルールの整理、リスク判断に基づいたOTネットワークの分離） |
|
端末・システム対策 |
・認証/認可/アクセス権限の管理 ・パッチ/脆弱性管理/マルウェア対策 ・構成管理、セキュアな初期設定（不要機能無効化） |
|
物理セキュリティ |
・重要情報を取り扱っているエリア定義と入退室管理 ・重要設備/システムの災害対策 |
|
サプライチェーン管理 |
・取引先とやり取りする情報・手段の管理 |
|
インシデント対応・復旧 |
・ログ取得 ・バックアップ/復旧（リストア） |
カテゴリごとに複数の要求事項があり、要求事項は合計62項目に整理されており、現場で運用可能な分量となっています。
エンタープライズ版で自動車業界として最低限実施すべきとされていたレベルの対策をベースとしつつ、OT環境で特に重要となる対策を業界共通の観点として整理しています。また、工場領域版ガイドでは、OT環境では対応が難しい場合に代替策を認めるなど、実態を考慮した達成基準が設けられています。
すべての内容を一度に実施する必要はなく、実務上は「外部からの接続があるか」、「操業停止時の影響が大きいか」等のシステム単位・工場単位のリスク特性を踏まえ、リスクの高い対象から関連する要求事項に段階的に取り組んでいくことが現実的です。
自己評価は以下の5段階で行います。
・〇：項目の対策を検討した結果、実施済み（代替策の実施も含む）
・□：項目の対策を検討した結果、実施見送り・実施準備中（対策未実施のリスクの許容なども含む）
・×：項目の対策の実施有無を未検討
エンタープライズ版では、「対策完了」「対策中」「未実施」「該当なし」といった対策状況に着目した確認となっていますが、工場領域版ガイドでは「リスクを認識し、OT環境に合わせて検討したかどうか」を重視している点が特徴的です。この観点により、「どこに未把握のリスクが残っている可能性があるか」が可視化しやすくなります。
なお、工場領域版ガイドに基づく自己評価は、結果そのものを外部と単純比較するためのものではなく、評価を行う過程で、工場の現場担当者、IT部門、管理部門などが同じ目線でOT環境を見直すことに価値があります。
「どこが未対応か」だけでなく、「なぜ対策が難しいのか」、「代替策は何か」といった検討の履歴を残すことで、継続的な改善につなげていくことが期待されています。
業界の共通言語となるセキュリティ対策のベースラインが公開されたことに伴い、今後は工場領域版ガイドを使った自己評価が自動車産業全体、とりわけ完成車メーカーからサプライヤに対して要求される場面が増えていくことが想定されます。
特に、工場やOT環境ごとに年1回以上の自己評価を通じて、
・現状把握
・課題の対応優先度検討
・改善対応
のサイクルを回していく流れが、業界全体として加速していくと想定されます。
対策の第一歩として、公開されているチェックシートをベースに、まずは自社工場、OT環境のアセスメントを実施していくことが推奨されます。
また、セキュリティ対策については単に自己評価を実施して終わりにせず、
・工場ごとのセキュリティポリシー策定
・現場作業員・協力会社への啓発
・実態に合わせた運用ルールへの落とし込み
といった形で現場の運用に結び付けていくことが、工場領域のセキュリティ対策の実効性を大きく左右します。
一方で、工場やOT環境は設備の世代やネットワーク構成、人員体制などが大きく異なり、ガイドラインの要求事項をそのままの形で適用することが難しいケースも想定されます。
工場領域版ガイドでは、対策が直ちに実施できない場合に備え、理由の記録や代替策の検討を求めています。たとえばパッチ適用やマルウェア対策、バックアップの要求事項では、対応が困難な場合の代替策を定める旨が示されています。
実務においては、「できる・できない」を二元論で判断するのではなく、自社の操業への影響やリスクを整理したうえで、現状に即した形で活用していくことが重要です。
工場領域版ガイドの内容は公開情報として誰でも参照できる一方で、自社の工場環境にどのように当てはめるか、どこから優先的に手を付けるかといった判断は、現場の事情を踏まえた整理が必要になります。
工場領域版ガイドの内容は理解したが「何から手を付けるべきか分からない」「現場への展開方法に悩んでいる」等の課題をお持ちの場合は、社内だけで議論を進めるのではなく、他社での支援実績をもつ第三者の視点を取り入れることで過不足のない対応レベルを客観的に整理できる場合もあります。
当社では、現状把握のアセスメントから、課題整理、対策の優先度付け、具体的な対策検討・実装支援までを、他社における対策水準（対策不足、過対策）の実態を踏まえて一貫してご支援します。
工場環境、OT環境のセキュリティ対策を形式的な自己評価で終わらせず、ガイドラインを踏まえた現実的な対応として検討されたい場合は、ぜひお気軽に当社までご相談ください。
OTセキュリティに関するサービス一覧：https://www.nri-secure.co.jp/service/ot-security
※本記事は2026年9月時点で公開されている「自工会/部工会・サイバーセキュリティガイドライン工場領域版 第1.0版」に基づいて執筆しています。最新の情報は、日本自動車工業会の公開ページをご確認ください。
自動車産業サイバーセキュリティガイドライン（JAMA）
https://www.jama.or.jp/operation/it/cyb_sec/cyb_sec_guideline.html