工場の生産ラインや制御設備では、10年以上前に導入された制御PC（Windows XPやWindows 7など）が今なお現役で稼働しているケースが少なくありません。「専用ソフトウェアが新しいOSに対応していない」「ライン全体の再検証コストと停止リスクが高すぎる」といった理由から、容易にOSをアップデートできないのが実情です。
しかし、サポートが終了したOSはセキュリティ更新プログラム（パッチ）が提供されないため、既知の脆弱性が野放しとなり、感染リスクが極めて高い無防備な状態に晒されています。万が一感染すれば、ライン全体の稼働停止という最悪の事態を招きます。
パッチが当てられない古いPCを守るための基本原則は、外部からの脅威を届かせない「隔離」と、想定外の動作を許さない「固定化」です。現場の稼働を担保しながら導入できる具体的な4つのステップを紹介します。
外部との接触を物理的・論理的に断ち切り、マルウェアが届かない環境を作ります。インターネットからの完全切断はもちろん、事務所の社内LANからも切り離し、特定の制御機器（PLCなど）としか通信できない専用LAN（またはVLAN）に閉じ込めましょう。
|
💡 費用0円でできる即効対策 |
ネットワークを隔離しても、保守作業員が持ち込むUSBメモリや作業用PCを経由してマルウェアが侵入する事故が絶えません。OSのシステム設定やレジストリ変更でUSBストレージの読み書きを無効化することが重要です。
|
💡 物理的なポートロックによる二重の防御 システム上の設定は現場で「便利だから」と解除されるリスクがあります。数100円で購入できる物理的な「ポートロック」を空いているUSBやLANポートに挿入し、セキュリティシールで封印することで、不正な差し込みを物理的・視覚的に強力に牽制します。 |
古いPCに最新のアンチウイルスソフトを導入すると、動作が極めて重くなり制御アプリケーションのリアルタイム性に支障をきたします。そこで、「悪いものを探して弾く（ブラックリスト方式）」のではなく、「事前に許可したアプリしか動かさない（ホワイトリスト方式/ロックダウンソフト）」を採用します。
産業用のホワイトリストソフトであれば、ウイルス定義ファイルの更新が一切不要で、未知のランサムウェアが侵入しても実行を阻止できます。
どれほど厳重にセキュリティを固めても、経年劣化によるハードウェア故障や不測の事故のリスクは存在します。専用ソフトを用いて、OS・制御アプリ・設定ファイルを含めたドライブ全体を丸ごと「イメージバックアップ（クローン作成）」しておきます。
|
💡 迅速復旧を可能にする予備ドライブ保管 クローン化した予備HDD/SSDを金庫などに安全に保管しておくことで、不測の故障や感染時もドライブを差し替えるだけで、わずか数十分で元の稼働状態に復元可能です。 |
生産実績データの自動送信やMES（製造実行システム）連携など、ネットワーク接続が避けられないケースもあります。その場合は、対象PCの手前に小型ネットワーク機器である「IPS：侵入防止システム」を設置します。仮想パッチがネットワークの境界で不正な通信や攻撃パケットを検知・遮断することで、OS自体にパッチを当てずに端末を守る「外付けの盾」として機能します。
また、OT固有の環境要因（資産の重要度や現在の防御態勢）から脆弱性の対応優先度を算出する手法を導入し、限られたリソースを最も効果的なポイントへ集中させることも有効です。
|
段階 |
基本方針 |
具体的な対策内容 |
|
繋がない |
隔離 |
外部・社内LANからの切り離し、デフォルトゲートウェイ空欄化 |
|
入れない |
USB封鎖 |
OS上のUSB使用無効化、物理ポートロック＆シール設置 |
|
動かさない |
ホワイトリスト |
産業用ホワイトリストソフト導入（未知ウイルス阻止） |
|
すぐ戻せる |
バックアップ |
ドライブ全域のイメージ保存、予備ディスクの物理保管 |
現場の古いPCや制御端末のセキュリティ対策にお悩みの際は、ぜひ株式会社RYODENへご相談ください。生産現場の制約と運用に寄り添い、お客様の工場に最適な「延命・防御策」をご提案いたします。
このコラムでは、製品・サービスの説明を極力削減しました。ご紹介商材としては、Claroty ｘDome/CTD、Nozomi Guardian/Vantage、三菱電機 OTGUARD、AppGuardなどが考えられます。