OT/ICSセキュリティエンジニアの仕事とキャリア。制御システムを守る現実

「工場の制御システムって、そんなに危ないんですか」——ある製造業のお客様先で、工場長からそう聞かれたことがあります。答えは、思っている以上に危ない、というのが僕の実感です。

結論から言うと、OT（Operational Technology）／ICS（産業制御システム）セキュリティエンジニアは、工場やプラント、発電所、水道施設などを止めないために、制御システム特有の弱さを理解して対策する仕事です。ITセキュリティの知識だけでは務まらない一方、IT出身者が現実的に転職できる数少ない専門領域の一つだと僕は考えています。この記事では、仕事の実際の内容、需要が増えている背景、IT出身者が陥りやすい失敗とその対処、実際に転職までにやることを、公的資料と現場で見てきたことを踏まえて整理します。

0. まず結論：ITの知識に「現場を止めない」発想を足す仕事

OT/ICSセキュリティエンジニアの仕事を一言でまとめると、ITで学んだ守りの型を、止めてはいけない設備に合わせて作り直すことだと僕は捉えています。攻撃対象を見つけて塞ぐという発想はITと共通ですが、対策の優先順位が違います。機密性より可用性が最優先される現場では、パッチ一つ当てるだけでも生産ラインの停止を伴うため、ITの常識をそのまま持ち込むと現場から強い反発を受けます。この落差を理解しているかどうかが、転職の面接でも実務でも最初の分かれ道になります。

1. OT/ICSセキュリティエンジニアとは何をする仕事か

具体的な業務は、PLC（プログラマブルロジックコントローラ）やSCADA（監視制御システム）を含むネットワークの構成把握、資産の可視化、リスク評価、ネットワークの分離設計、そして異常検知の仕組み作りが中心です。ITのSOCと似た監視業務もありますが、対象となる通信プロトコルはModbusやDNP3など、ITの世界ではまず触れないものが多く、通信の正常・異常を見極めるには制御システムの動作原理そのものを理解する必要があります。

僕が印象に残っているのは、あるお客様の工場での出来事です。リモート保守用に開けていたVPNの認証情報が長年使い回しになっていて、外部から生産設備の設定画面に近いところまでアクセスできる状態になっていました。幸い実害はなく、僕らの診断で見つけて塞ぎましたが、担当者の方は「保守業者に任せていたので気づかなかった」と話していました。ITなら当たり前の認証管理も、OTの現場では抜け落ちやすい。この落差そのものが、この職種の存在意義だと感じています。

2. なぜ今、この分野の需要が増えているか

背景の一つは、国の枠組み整備です。経済産業省とIPAは2019年に「サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）」を公開し、Society5.0を見据えたサプライチェーン全体のリスク管理の考え方を示しました。NISCが重要インフラとして位置づける電力・ガス・水道・化学・鉄道など十数分野では、制御システムの防護が経営課題として扱われるようになっています。

もう一つの背景は、ランサムウェアなどの被害がOT側にも及ぶようになった実態です。JPCERT/CCは海外のICS関連ベンダーが公表する脆弱性情報を継続的に翻訳・注意喚起として発信しており、制御システム機器の脆弱性が無関係な世界の話ではなくなっていることが伺えます。求人の増え方について僕は正確な統計を持っていませんが、製造業のセキュリティコンサル案件でOT分野の相談を受ける頻度は、数年前と比べて明らかに増えたという体感があります。相談の内容も、以前は「診断だけしてほしい」というスポットのものが多かったのが、最近は「継続的な監視体制を作りたい」という、内製化を見据えた相談に変わってきている印象です。

3. IT出身者が陥りやすい失敗と、その対処

IT出身のエンジニアがOT現場に入って最初につまずくのが、脆弱性診断のやり方です。僕が同席したある案件では、ITと同じ感覚で脆弱性スキャナーを制御ネットワークに向けて実行しようとしたエンジニアがいました。現場責任者に止められて事前に確認したところ、古いPLCの中にはスキャンのパケットに耐えられず制御が乱れる機種があると分かり、直前で計画を変更しました。ITでは当たり前のアクティブスキャンが、OTでは設備停止のリスクになり得るという典型例です。

もう一つよく見る失敗が、パッチ適用の進め方です。ITなら脆弱性が見つかれば数日〜数週間でパッチを当てるのが普通ですが、ある化学プラントの案件では、脆弱性が公表されてから実際にパッチを適用できたのは次の定期停止まで約半年後だった、というケースに立ち会いました。生産を止めるコストが大きすぎるため、パッチ適用より先に、ネットワーク分離や監視強化といった「当てずに守る」代替策を積む発想が必要になります。この順番を知らずにITの感覚で「早く当てましょう」と提案すると、現場との関係がこじれやすいと僕は感じています。

対処として現場で定着しているのは、まず資産の型番と稼働年数を洗い出し、パッシブ（受信のみ）の監視ツールで通信を観察するところから始める進め方です。アクティブなスキャンが必要な場合は、生産が止まっている定期点検のタイミングに合わせて実施計画を立てます。この「攻めるより先に見る」という順番の違いを理解しているかどうかが、現場からの信頼を左右すると僕は感じています。

4. 未経験・IT出身から目指す現実的な道筋

いきなりOT専門職からキャリアを始める人は少なく、多くはITでの基礎経験を積んだ後に移っています。僕が現場で見てきた、比較的無理のない移行の順番とおおよその期間感を挙げます。

1. ITのネットワークやセキュリティ運用（SOC、ネットワークエンジニアなど）で2〜3年程度の実務経験を積む
2. IEC62443やCPSFなど、OT/ICS特有の標準・枠組みを半年程度の独学または研修で理解する
3. 可能であれば診断・監査プロジェクトにOT担当として半年〜1年程度同行し、現場の言葉遣いと制約を体で覚える
4. OT専業のベンダーやコンサル、あるいは製造業の情報セキュリティ部門への転職に踏み出す

この順番を急ぎすぎると、規格の知識はあっても現場で通じない、という状態に陥りがちです。僕自身、最初にOT関連の資料を読んだときは正直ピンとこず、実際に工場のネットワーク図を見せてもらってはじめて、ITとの違いが腹に落ちた感覚がありました。全体でおよそ3〜4年、ITでの基礎固めからOT現場デビューまでを見込んでおくと、無理のない計画になると僕は考えています。

今日から始められることとしては、まず自社や案件で扱っている制御系機器のメーカー名だけでも書き出してみることをお勧めします。所要時間は30分程度で十分です。次にIPAが公開しているCPSFの資料に一度目を通す、これも1〜2時間あればざっと読めます。この二つだけでも、面接で「OTに興味がある理由」を具体的に話せるようになると僕は感じています。

5. 転職で問われる経験とスキル

面接でよく確認されるのは、単発の知識量よりも「止められない環境でどう折衝したか」という経験です。ITのインシデント対応であれば即時遮断が選択肢になりますが、生産ラインを止める判断は現場責任者との調整を伴い、セキュリティ担当が一存で決められないことが多くあります。この調整を経験したことがあるか、あるいは想像できているかは、面接でのやり取りの中で意外とはっきり分かります。

ITとOT、それぞれで求められる感覚の違いを僕なりに整理すると、次のようになります。

技術面では、ネットワークの基礎知識に加えて、ModbusやDNP3、OPC-UAといった制御系プロトコルの動作理解、ITとOTを分離するDMZ構成の設計経験が評価されやすい項目です。資格としてはCISSPや情報処理安全確保支援士がベースとして見られる一方、OT特化の資格はまだ選択肢が限られるため、実務での見聞きした事例を具体的に語れることの方が重視される印象です。

6. 年収レンジとキャリアの広がり

僕の体感値では、僕が関わってきたコンサル案件・転職相談を通じて見てきたOT/ICSセキュリティエンジニアの年収は600万〜900万円程度のレンジに収まる人が多く、これはIT専業のSOCアナリスト（同じく僕の見てきた範囲で400万〜600万円程度が中心）よりやや高めに出る傾向があります。これはIT・OT両方の知見を求められる分、対応できる人材の絶対数が少ないことが背景にあると考えています。ただし転職直後はOT経験が薄いぶん、前職の水準からのスタートになることも多く、現場経験を積むにつれて上振れしていく形が現実的です。

キャリアの広がり方としては、コンサルティングファームでOT専門チームに所属する道、制御システムベンダーのセキュリティ部門に入る道、そして製造業や電力会社などユーザー企業の情報システム部門でOT担当として社内に定着する道の大きく三つがあると僕は見ています。コンサル系は複数の業界を横断して経験を積みやすい一方、ユーザー企業側は一つの現場を深く理解できる強みがあり、どちらが向いているかは、幅広い経験を積みたいか、一つの現場に根を張りたいかという志向で選ぶとよいと僕は考えています。

(結論)

OT/ICSセキュリティエンジニアは、ITの知識だけでは足りず、現場の制約を理解して折衝する力が問われる仕事です。需要が増えている背景には国の枠組み整備という後押しがありますが、実際に活躍している人を見ると、IT側での基礎経験を積んだ上で、現場に足を運んでOTの感覚を体で覚えた人が多い、というのが僕の実感です。皆さんいかがでしたでしょうか。この分野に興味を持った方は、まず今の職場でネットワークやプロトコルの基礎を固め直すところから始めてみてください。では今日もがんばりましょう。