【OT/IoMT時代の社内ネットワークセキュリティ】 管理できない「死角となるデバイス」を徹底排除！エージェントレスで現場に即したネットワーク制御を実現

技術の進化とサプライチェーンの拡大に伴い、企業のネットワーク環境はかつてないほど複雑化しています。特に、製造業の工場（OT環境）や医療機関（IoMT環境）では、「ネットワークに何が接続されているのか把握できない」という問題が、深刻なセキュリティリスクとなっています。

本稿では、一般的なIT機器管理とは異なる現場特有の課題を詳しく掘り下げ、インテリジェント・セキュリティソリューション「UPAS NOC」による効果的な解決方法をご紹介します。

UPAS ゼロトラストデバイスガバナンスプラットフォームはこちら
お問い合わせはこちら

近年の世界的なセキュリティ展示会（RSAC、Cybersec Asia、Japan IT Weekなど）では、「社内ネットワークの死角（Blind Spots）」が共通の重要課題として注目されています。

ファイアウォールなど従来の境界防御だけでは、内部への侵入を許した場合や、未認可の機器（Shadow IT）が社内ネットワークへ直接接続された場合に、攻撃を十分に防ぐことができません。そのため、NIST SP 800-207などの国際的なゼロトラスト・アーキテクチャに沿って、「社内ネットワーク上のすべての機器を100％可視化・識別し、継続的にアクセス制御を行う」戦略の実践が不可欠となっています。

従来型の境界防御では、シャドーITを効果的に防ぐことはできません。

1. オフィス向けIT管理手法を現場環境に適用できない

オフィス環境（OA）では、通常、端末にPC管理エージェント（エンドポイントソフトウェア）を導入し、一元管理を行います。しかし、OT（工場）やIoMT（医療）の現場では、この管理手法を適用することが困難です。

2. 現場が直面している具体的なセキュリティ課題

• 未認可機器（Shadow IT）の無断接続とランサムウェアの拡散
  保守業者が持ち込む作業用PCや、現場担当者が利便性を優先して無断接続するWi-Fiルーター・私物端末は、感染経路になりやすく、ランサムウェアが生産ラインや医療システム内で横展開する原因となります。
• 無断でのIP変更／IPアドレスの競合による機器障害
  現場担当者の設定ミスや無断でのIPアドレス変更により、ネットワーク上でIPアドレスの競合が発生すると、重要な制御機器や生体情報モニターが切断され、操業停止や医療事故につながるおそれがあります。
• Active Directory（AD）未参加／無断でドメインから離脱した端末の放置
  企業のセキュリティポリシー（GPO）が適用されていないPCがドメイン外で利用されると、OSパッチやウイルス定義ファイルを更新できず、脆弱な端末となります。

オフィスのIT管理手法を現場環境にそのまま適用することは困難です。

こうした現場課題を一元的に解決するのが、ネットワークアクセス制御（NAC）とIT資産管理（ITAM）を統合したゼロトラスト型エンドポイント管理プラットフォーム「UPAS NOC」です。

1. 管理者が行える具体的な操作とシステム連携

UPAS NOCの導入後、ITおよびOT／IoMTのセキュリティ管理者は、日常運用の中で以下の操作を行えます。

• ホワイトリストの自動作成と未認可機器のワンクリック隔離
  管理者はWeb Consoleを開くだけで、特許取得済みのARP技術により自動検出された機器情報（MACアドレス、IPアドレス、UUID、カメラ・プリンター・制御機器などの機器種別）をリアルタイムに確認できます。ポリシーに適合する機器は自動的にホワイトリストへ登録されます。未知の「野良端末」を検出した場合は、管理画面からワンクリックで、または自動ルールを設定して、即時に通信を遮断・隔離できます。
• IPバインディング設定とIPアドレス競合の完全自動防止
  管理者はConsole上で、重要機器の「IPアドレス＋MACアドレス＋コンピューター名＋スイッチポート」などの情報を多重に紐付けるIP Bindingを設定できます。現場作業員がPCのIPアドレスを無断で変更して接続を試みても、システムが自動検出して通信を遮断し、IPアドレスの競合によるシステム停止を未然に防ぎます。
• 高可用性（HA／クラスター）環境におけるシームレスな切り替え
  医療機関の基幹システムや工場の生産ラインで採用されるHA冗長化クラスター（プライマリ／スタンバイ切り替え）環境では、障害発生時に異なるMACアドレスを持つスタンバイ機へ切り替わります。管理者があらかじめ管理画面でクラスター設定を行っておけば、システムがIPバインディングの不整合を自動的に回避し、サービスを停止することなく安全な運用を継続できます。
• AD参加の強制と非準拠PCの自動誘導（Redirect）
  ADに参加していない、または無断でドメインから離脱したPCがネットワークへ接続されても、管理者が手作業で追跡・注意喚起する必要はありません。UPASが接続を自動的に遮断し、ユーザー画面を案内ページ（Redirect Page）へリダイレクトして、ADドメインへの参加と修復手順を案内します。

ネットワークアクセス制御（NAC）とIT資産管理（ITAM）を統合したゼロトラスト・エンドポイント管理プラットフォーム「UPAS NOC」

2. 現場導入における3つのメリット

① 専用アプライアンス不要。エージェントレスで柔軟にスモールスタート
既存のネットワーク機器（スイッチなど）の入れ替えや、802.1Xなどの複雑な設定変更は必要ありません。専用ハードウェア（Appliance）も不要で、適切なサーバーにソフトウェアをインストールし、Core Switchへ接続するだけで運用を開始できます。端末へのエージェント導入も不要なため、24時間無停止で稼働する現場にも、運用への影響を抑えながら段階的に導入できます。

② 複数拠点への優れた拡張性（Multi-VLAN／複数拠点の統合管理）
単一の工場や病院から導入を開始し、将来的に国内外の複数拠点へ拡張することも可能です。本社に集中管理プラットフォーム（SCP Console）を配置することで、地域をまたいで全社のネットワーク資産を一元的に監視・管理できます。

③ 資産棚卸しの自動化による管理コストの大幅削減
Excelに依存した手作業による資産棚卸しから脱却し、24×7日リアルタイムに更新される可視化ダッシュボードと自動レポートを活用できます。IT／OT管理者の負担を軽減できるだけでなく、外部監査やコンプライアンス審査にもスムーズに対応できます。

UPAS導入の3つのメリット

工場（OT）や医療（IoMT）の現場では、「システムを止めないこと」と「情報セキュリティを強化すること」のどちらも欠かせません。

UPAS NOCは、「エージェントレス（Agentless）」「専用アプライアンス不要」「スモールスタート（Small Start）」という強みを生かし、現場の運用負荷を増やすことなく、社内ネットワークのセキュリティ上の死角を解消します。

貴社のOT／IoMT環境で、IT資産の可視化、IPアドレス管理、ネットワークアクセス制御に課題をお持ちでしたら、ぜひお気軽にお問い合わせください。無料の製品体験およびPOCをご案内いたします。