ゼロトラスト（Zero Trust）は、境界の内側を暗黙的に信頼する従来モデルに代わり、すべてのアクセスをその都度認証・認可する考え方です。クラウド活用やリモートワークの普及を背景に、IT環境での導入が広く進んでいます。一方で、OT（Operational Technology）※1環境に対してゼロトラストを適用するには様々な制約や注意点が存在します。
本記事ではOT環境におけるゼロトラスト適用の現実的なアプローチについて、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）が公開した文書"Adapting Zero Trust Principles to Operational Technology"（以下、ガイドライン）の内容をベースに解説していきます。
※1 OT：工場の製造ライン、電力、石油プラント、水処理施設などの制御に用いられる、物理的な世界に直接作用するシステムの総称。これらのシステムにセキュリティ上の問題が生じた場合、データの漏洩や業務停止に加え、設備の損壊や安全上の事故といった物理的被害に及ぶ可能性がある。
本ガイドラインはCISA・国防省（戦争省）・エネルギー省が主導、国務省・FBI・NISTが参加・協力する作業部会により策定、2026年4月29日に公開されました。
米国政府機関のOT環境が主な対象ですが、「OTを持つあらゆる組織に適用可能」とされており、OT環境全般で参考とできる文書となっています。
文書の構成はNIST CSF（サイバーセキュリティフレームワーク）バージョン2.0の6分類Govern（統治）、Identify（識別）、Protect（防御）、Detect（検知）、Respond（対応）、Recover（復旧）に沿って整理されており、NIST SP 800-82 Rev.3（OTセキュリティガイド）、ISA/IEC 62443といった既存の主要フレームワークとの整合が取られています。
本ガイドラインでは下記2パターンの両方を想定読者としています。
「IT担当やセキュリティ担当はゼロトラストを知っているが、OTはよく知らない」「OT担当は自分たちの環境を知っているが、ゼロトラストと言われてもよくわからない」という相互の知識ギャップを埋めることが重要とされています。
ゼロトラストの原則論を語るのではなく、OT環境への適用にあたり考慮しなければならない事項が列挙される内容となっています。
ガイドライン内容をベースに以下の3つに整理することができます。
OTシステムは、データの機密性だけでなく「止まらないこと」と「安全であること」を最優先とします。
OT環境の多くは年間を通じて稼働し続けることが前提であり、セキュリティパッチの適用などの作業を行うのにも計画的なメンテナンス停止のタイミングを待たなければならない場合があります。
ゼロトラストのアクセス制御が厳しすぎて作業員が必要な操作を行えない、認証の回数が多すぎて業務に支障をきたす、セキュリティ製品の稼働負荷によってリアルタイム制御に遅延が発生する…といったことが起きないようにしなければなりません。
この制約により、IT環境で一般的な手法（エージェント型EDRの展開、都度の再認証、通信の全暗号化、脆弱性の定期的なアクティブスキャンなど）をOTにそのまま適用することは難しく、代替手法（ネットワークのパッシブ監視など）を前提とした設計が必要です。
OT機器のライフサイクルは長く、10年、20年、場合によっては30年以上稼働し続けるレガシーシステムが存在することがあります。
こうしたシステムは現在において必要とされるセキュリティ機能を持っておらず、かつ後から対処することが技術的に難しい場合が多くあります。
ここで必要なのは「既存のレガシー機器に後付けでゼロトラストを適用するよりも、次の調達からゼロトラストに対応できる製品を選ぶ」という考え方です。
新しいOT機器はセキュリティログの出力、セキュアな通信プロトコルのサポート、ID・アカウント管理との統合といった機能を備えており、調達の段階でこれらを要件として明記することが重要です。
IT部門、OT部門、セキュリティ部門それぞれが協働して取り組むことが必要です。
これは単なるコミュニケーションの改善を指しているのではなく、推進体制を定義し意思決定の構造を明確にして取り組むということです。OT環境でのゼロトラスト実装においては、セキュリティ部門だけで判断・実装を完結させることは難しく、継続的な部門間連携が前提です。
変更管理プロセスの中には通常IT環境で求められるステップの他に、安全性レビュー、運用影響レビュー等が必要であり、セキュリティパッチひとつ適用するにも多数の関係者の確認・合意が求められます。
ゼロトラスト推進の担当者はこの構造を理解した上で、IT・OT・セキュリティの協働体制を構築する必要があります。
一方で、そもそもOT環境でセキュリティ対策を行う必要性の理解や、セキュリティ部門がOT環境に対して何をしようとしているのかの正しい理解のために、OT側担当者もサイバーセキュリティの基本的な知識を習得する必要があります。OT側担当者へのセキュリティ教育の実施や、OT部門へのサイバーセキュリティ有識者のアサインといった対応が有効です。
双方向の理解を深めることでゼロトラストの実効的な適用につながります。
OT環境はもともとエアギャップ、専用VLAN、データダイオードによる一方向通信など、ネットワークの分離（セグメンテーション）に関してはIT環境よりも進んでいる面があります。ただしこれらのセグメンテーションは最初の構築時点での正しさは担保されていても、運用を続けていく中での変更による問題の発生（エアギャップの迂回、VLAN設定ミス、アクセス制限の意図しない緩和など）を防ぐための対策実装が必要です。
前述のOT環境の制約を踏まえたうえでの現実的な手法として、各セグメント内の通信をパッシブ監視して異常を検知する方法が挙げられます。
ただし全てのセグメント境界に監視センサーを配置することはコスト面の問題があるため、セグメントの規模・重要性等を元に費用対効果を考慮した配置が求められます。
また、リアルタイム制御の遅延（レイテンシーへの影響）を防ぐこと、および不審な通信の検知を容易にする※2ため、セグメント管理は運用ネットワークとは別のネットワークで行うことが望ましい場合があります。
※2 正常な制御通信と監視データの経路を分離することで、運用ネットワーク上に「本来あるべきでない通信」を見つけやすい。また、運用ネットワークが侵害された場合でも攻撃者による監視妨害活動を防ぐことができる。
アイデンティティ・クレデンシャル・アクセス管理（ICAM）はゼロトラストの中心的機能ですが、ガイドラインでは「IT・OTのICAMシステムの分離は最重要事項」とされています。
具体例として「OTでActive Directoryを使用する場合は、理想的にはIT側と分離した独立のフォレストまたはドメインとして運用すべき」とされています。
これは、Volt Typhoon（国家主導型のサイバー攻撃グループ）をはじめとする攻撃者がIT側のActive Directory認証情報を窃取し、IT・OT間で共有されたドメインや認証情報を足がかりにOTネットワークへ横移動する手口が確認されていることを踏まえたものです。
レガシー機器では理想的なICAMの実装が難しい場合が多く、以下のような代替策の組み合わせが推奨されます。
|
代替策 |
考え方 |
具体例 |
|
役割ベースのアクセス制御 |
個人単位の管理が難しい場合でも、役割単位でアクセス権を設定する |
「オペレーター」「エンジニア」「ベンダー」などの役割ごとに権限を定義 |
|
ネットワークセグメンテーション |
機器単位のアクセス制御ができない場合、機器が置かれたネットワーク単位でアクセスを制限する |
セグメントごとのファイアウォールポリシー設定 |
|
物理的保護 |
技術的な制御が実装できない機器への物理的な接触自体を制限する |
入退室管理、施錠キャビネットへの格納、USBポートの物理的封印（外部メディア経由の攻撃への対策として特に有効） |
リモートアクセスはOT環境における主要な初期侵入経路のひとつです。しかし運用の都合上、完全に禁止することはできない場合が多くあります。
まず推奨される対策はジャンプホスト（踏み台サーバー）の設置です。専用のジャンプホストにアクセス経路を一本化することで、攻撃経路の限定、多要素認証の実装、セッション記録、異常検知などが可能です。
さらに特権アクセス管理と組み合わせることで、認証情報の集中管理（Vault）、個人単位での操作追跡、ジャストインタイムアクセスの実現が可能です。特に外部ベンダーのリモート保守では外部からの常時接続経路の存在自体がリスクとなるため、作業時間帯・対象機器に限定したアクセス権を都度発行し作業後に失効させるジャストインタイムアクセスの実装が推奨されます。
IT環境ではエンドポイントにEDRエージェントを導入して動作・通信を監視するアプローチが一般的ですが、これは「機器にソフトウェアを追加導入できる」「スキャン等の動作負荷を許容できる」ことを前提としており、OT環境にはこの前提が成立しない機器が多く存在します。
EDRをはじめとするセキュリティ製品の多くはサポートが切れたレガシーOSやベンダー独自OSには対応しておらず、そもそも導入が不可能な場合があります。
またベンダーの保証条件によっては導入時の構成から変更（ソフトウェア追加インストール）することで保証が失われる場合があります。
インストール自体は可能であったとしても、スキャンや監視エージェントの動作が機器のCPU・メモリを圧迫し、リアルタイム制御に支障をきたす可能性があります。
このためガイドラインでは、ネットワーク上でのパッシブ監視が基本的な手法として推奨されています。OT環境では通常状態からの逸脱を検知するアプローチが有効です。OT環境は通信パターンの変化が少ないため、「いつもと違う通信」の検知が可能です。
また、既知の障害状態や運用上ありえない条件（例：特定のPLCに送られるはずのない制御コマンド）を定義しておくことで異常を検知することもできます。
なお、OT環境における制約に対応したOT向けセキュリティ製品も存在しており、状況に応じて選択肢となりえます。（※筆者補足）
ITインシデント対応では侵害されたシステムを即座にネットワークから切り離すのが基本ですが、OTで同じことをすると設備の異常停止や安全上の事故につながる可能性があります。
OT環境におけるインシデントの初期対応ではいきなり完全遮断するのではなく、例として以下のようなアプローチになると考えられます。（※筆者補足）
どの業務機能がどの程度の期間、通信制限が強化されたセグメンテーション下で継続できるかを、関係者間で事前に整理し合意しておくことが重要です。
（ガイドラインには上記に加えて資産管理、リスク分析・管理、バックアップとリカバリに関する記述がありますが、これらはNIST CSFやISA/IEC 62443といった既存フレームワークで広く扱われている領域であり、本稿ではゼロトラスト適用の観点に絞って解説するため割愛いたします）
本ガイドラインは「OTにゼロトラストを適用するべきか、そもそもできるのか」の状態から、「どう適用するか」の状態へステップアップするための参考文書として有用です。
ガイドラインが示す考え方や手法は米国政府機関向けに書かれたものですが、OT環境が抱える課題の構造は日本国内の組織でも共通していると考えます。
本ガイドラインを参考に自組織のOT環境の現状把握から始め、IT・OT・セキュリティが連携できる体制を整え、そして次の調達サイクルからセキュリティ要件を組み込んでいくことが、現実的な取り組みの出発点となると考えます。
NRIセキュアテクノロジーズでは本記事にあるOT環境のゼロトラスト化対応をはじめ、OT環境のセキュリティルール整備、アセスメント、対策実行といった一連の活動をご支援可能です。詳しくはフォームよりお問い合わせください。