Rev.3で何が変わったか
NIST SP 800-82は、米国国立標準技術研究所（NIST）が公開している制御システム向けのセキュリティガイドです。Rev.3は2023年9月28日に最終版が公開され、2015年のRev.2を置き換えました。
最も大きな変更は対象範囲です。Rev.2までは産業用制御システム（ICS）を対象としていましたが、Rev.3はタイトルを「Guide to Operational Technology (OT) Security」に改め、OT全般に対象を広げました。NISTは、OTに固有の性能・信頼性・安全性の要件を考慮したうえでセキュリティを確保する方法を示す文書と位置づけています。
| 項目 | Rev.2（2015年） | Rev.3（2023年9月） |
|---|---|---|
| 対象 | 産業用制御システム（ICS） | OT全般 |
| 位置づけ | ICSのセキュリティガイド | OTのセキュリティガイド。性能・信頼性・安全性の要件を考慮 |
| 状態 | Rev.3で置き換え | 現行版 |
SP 800-82は規制ではなく、ガイドラインです。米国の連邦機関向けに作られていますが、民間企業も参照でき、米国の取引先や保険会社がOTのセキュリティ体制を確認するときの共通言語として使われることがあります。
ITのセキュリティ対策がそのままOTに使えない理由
SP 800-82の根底にあるのは、OTではITと同じ対策をそのまま当てはめられないという考え方です。AIのデータ基盤は、ITの技術（クラウド、コンテナ、汎用OS）をOTの近くに持ち込むので、この違いを設計に反映する必要があります。
データ基盤の設計に効く論点は、次の3つです。
- 性能：通信の監視やウイルス対策ソフトがPLCや設備PCの応答に影響しないこと。データ収集のポーリング頻度を上げすぎて、PLCや設備のネットワークに負荷をかけないことも含む
- 信頼性：データ基盤の障害や更新が、設備の制御に波及しないこと。OT側にデータ基盤への依存を作らない
- 安全性：AIの判定で設備を動かす場合に、誤判定や通信断が人や設備の安全を損なわないこと。安全機能はAIに依存させない
AIのデータ基盤で使うときの5つの要点
- 資産の棚卸しから始める：OTの機器、ネットワーク、データの流れを一覧にする。データ基盤の構築で行うタグや設備の棚卸しと同じ作業なので、一緒に進めると効率がよい。命名と棚卸しの手順は設備タグの命名規則を参照
- 階層化した防御：境界を1つの防火壁に頼らず、ネットワークの分割、DMZ、機器の認証、ログ監視を重ねる。ゾーン設計の考え方はIEC 62443と共通
- 読み取りと書き込みを分ける：データを集めるだけの経路と、設備に指示を出す経路を分け、後者には承認とインターロックを設ける
- 変更の影響評価：パッチやソフト更新をOT側に適用する前に、試験環境で設備の動作に影響がないかを確認する。エッジAI機のモデル更新も同じ扱いにする
- 監視と対応の体制：OTのネットワークで異常な通信を検知し、誰が、どの手順で対応するかを決める。データ基盤のログもこの監視の対象に入れる
日本の製造業が参照する場面
- 米国の顧客・親会社への説明：取引先のセキュリティ監査で、OTの対策をSP 800-82やNIST Cybersecurity Frameworkの用語で説明するよう求められる場合がある
- 海外拠点の基準づくり：米国拠点のOTセキュリティ基準を作るときの土台にする
- 社内基準の見直し：情報システム部門のIT向け基準をOTに当てはめるときに、どこを変えるべきかの根拠にする
よくある質問
NIST SP 800-82は無料で読めますか？
NISTのサイトで公開されており、無料で入手できます。英語の文書で分量が多いため、まずは自社に関係する章（リスク管理、アーキテクチャ、対策の適用）から読むのが現実的です。
日本の工場でも準拠が求められますか？
日本の法令でSP 800-82への準拠が義務づけられているわけではありません。米国の顧客との契約や、海外拠点のガバナンスで参照を求められる場合に対応が必要になります。
AIに特有の対策は書かれていますか？
SP 800-82はOT全般のセキュリティガイドで、AIに特化した章を持つ文書ではありません。AIのリスク管理はNIST AI RMFなど別の枠組みで扱われます。製造業での使い方はNIST AI RMFを製造業で使うを参照してください。
この記事に出てくる用語
この記事を書いた人
DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成と、製造業向けAIの調査・開発・教育を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES・データ基盤・AI導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。
