目的は工場のBCP強化、リコーグループのOTセキュリティの進め方とは：ITmedia Virtual EXPO 2025 冬（1/2 ページ）

製造業向けの国内最大級のオンラインイベント「ITmedia Virtual EXPO 2025 冬」で実施された、基調講演「リコーにおけるゼロからのファクトリーセキュリティの取り組み」の模様を紹介する。

[長町基，MONOist]

　アイティメディアは2025年2月12日〜3月14日、製造業向けの国内最大級のオンラインイベントである「ITmedia Virtual EXPO 2025 冬」を開催した。

　本稿ではその中から、「リコーにおけるゼロからのファクトリーセキュリティの取り組み」と題して実施された、リコー セキュリティ統括センターセキュリティ・安全保障エキスパート 若杉直樹氏およびリコーインダストリー 常務執行役員 東北事業所長 庄司勝氏による基調講演の模様を一部紹介する。

工場の状態把握からスタート、狙いは課題解決

　講演では工場のセキュリティ状態の把握という、まさにゼロからスタートした、リコーグループのOTセキュリティ強化の取り組みと、活動する上で苦労した工場ならではの課題解決について説明された。

　まず若杉氏がリコーグループのセキュリティ推進体制を説明した。社長直下に置かれたセキュリティ統括センターでは、グループ全体の情報セキュリティやプライバシー保護戦略の立案の他、米中対立、台湾有事などのリスク管理を行う安全保障管理、NIST SP800-171の推進などを行っている。その他、プロダクトセキュリテイ推進、コーポレイトセキュリティ推進、ファクトリーセキュリティ推進も行っており、ビジネスユニットごとにセキュリティチームを設けて活動している。工場は各ビジネスユニットの直下に位置付けられている。

　若杉氏によると、リコーグループがOTセキュリティの強化を開始した2021年当時、そもそも各生産拠点のセキュリティがどんな状態になっているのかが把握できていない状況だった。そのため、セキュリティ統括センターでは課題解決のための対応方針を決定し、まず、工場の課題を解決するという姿勢を第一に掲げた。これは、セキュリティ対策の導入を現場に押し付けることを目的としないという考えからだ。

レファレンス工場を決めて取り組みを実践

　同時に、HOW（技術／テクノロジー）から検討せずに、セキュリティは人、組織、プロセスから成り立っていることを踏まえて、この3つを中心に対応していくことを確認した。

　具体的にはレファレンスモデルとなる工場を選定し、そこで得られたノウハウを順次グローバル展開していくことを目指した。また、コンサルタントを選定し、第三者視点でアセスメントや課題解決の提案をしてもらう方法をとった。さらに、最初から高い目標を掲げるのではなく、その都度、目指す姿を定めてセキュリティレベルを向上させるという方針で臨んだ。

　レファレンス工場は、リコーインダストリーの東北事業所を選定した。理由は、同事業所のトナー棟で生産するトナーがリコーグループおよびユーザーの事業継続上重要な製品であり、商業用のプロダクションプリンタを製造するMFP／周辺機棟はデジタルマニュファクチャリングが進んでいることから、サイバー攻撃のリスクが大きいと見られたためだ。

　東北事業所における工場セキュリティの強化は2021年10月にスタートし、はじめにセキュリティコンサルタントの選定に入った。5社にアセスメント用チェックリストの提供を受け、そのうち2社を現地に招いて、各社のチェックリストの内容やスキル、コミュニケーションなどの観点から、現場と一緒になってセキュリティコンサルタントを決定した。

　2022年4月からは、コンサルタントとともに経済産業省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」のチェックシートにある成熟度のレベルをCからBに高めることを2022年度の目標として、計画を作成し、対策を実施した。2023年度以降は、他工場への展開および国際基準準拠を目的とした成熟度向上、サプライチェーンセキュリティ強化に向けた活動を行っている。

　庄司氏は、これまで東北事業所が取り組んできた具体的な工場セキュリティ活動を紹介した。