CISAなどが重要OTシステムの隔離ガイドを公開、サイバー攻撃時も基幹サービスを継続する設計を提示

米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）とオーストラリア信号局（ASD）傘下のAustralian Cyber Security Centre（ACSC）などは2026年7月28日、重要インフラ事業者がサイバー攻撃や重大障害に直面した際、必要最小限のOTシステムと支援システムを他のネットワークから切り離しながら、基幹サービスを継続するためのガイド「CI Fortify – Advice for isolating vital systems」を公表しました。文書は、攻撃発生後に慌てて回線を抜くのではなく、重要システムの特定、接続関係の把握、隔離点の設計、段階的な遮断手順、完全隔離後の監視までを平時に準備・検証するよう求めています。

CISAの重要OTシステム隔離ガイドの概要サマリー

• 重要サービスの提供に必要な最小限のOTと支援システムを「Vital Systems」として特定します
• IT、クラウド、ベンダー保守、通信事業者、他の重要インフラとの接続をすべて記録します
• 攻撃時に切断する場所を「Isolation Point」として事前に決め、物理的な切り離しを最終目標とします
• 遠隔保守の停止、IT・OT間の遮断、他拠点との接続停止、完全隔離という段階的な計画を作成します
• VLAN、MPLS、ACLなどの論理的な制御だけを恒久的な分離策として頼るべきではないとしています
• 物理隔離が難しい分散拠点では、専用回線や強力な暗号化を使い、通信事業者網を信頼しない設計が必要です
• 隔離後もルーティングテーブル、通信フロー、IDS、管理プレーンを監視し、接続が復活していないか確認します
• 完全隔離はパッチ遅延、監視低下、USBなど可搬媒体の利用増加という新たなリスクも生みます
• 隔離手順は一部の設備だけでなく、重要システム全体を対象に定期的に演習する必要があります
• 日本の電力、ガス、水道、通信、交通、製造業でも、IT障害時にOTだけで操業を続けられるかを検証する必要があります

項目	内容
文書名	CI Fortify – Advice for isolating vital systems
公表日	2026年7月28日
主な公表機関	ASD/ACSC、CISAおよび国際パートナー
主な対象	重要インフラ事業者、OT所有者・運用者、サイバーセキュリティ担当者
目的	サイバー攻撃や重大障害時に重要OTを隔離しながら基幹サービスを継続
Vital Systems	重要サービスの提供に必要な最小限のOTと支援システム
Isolation Point	重要系と非重要系の接続を切断するために事前設定する地点
最も有効な隔離	共有インフラや接続を持たない物理的隔離
段階的隔離	遠隔アクセス停止、IT・OT間遮断、他OT系接続の縮小、完全隔離
論理的制御	VLAN、MPLS、ACL、ルート遮断など。暫定策であり物理分離の代替ではない
分散拠点への対応	専用回線、専用ファイバー、暗号化装置、IPsecやMACsecなど
隔離後の確認	ルーティングテーブル、通信フロー、IDS、到達性試験、管理プレーン監視
隔離が生むリスク	パッチ遅延、可視性低下、可搬媒体経由の感染、外部支援の喪失
重要な準備	全接続の棚卸し、手動運転手順、権限者と発動条件の明確化、全体演習
日本企業への示唆	IT・OT依存関係と保守回線を可視化し、完全隔離時の操業継続を試験

攻撃後の遮断ではなく平時の隔離設計を求める

今回のガイドの中心は、インシデントが発生してから遮断方法を検討するのではなく、平時に「どこを切れば、どのサービスを残せるか」を決めておくことです。

重要インフラのOTは、電力供給、水処理、交通制御、通信、製造設備など、停止そのものが社会や安全へ影響するシステムです。そのため、一般的なITインシデントのように、疑わしい端末やサーバーを一律に停止する判断が適さない場合があります。

OTを守るために通信を切った結果、監視、制御、認証、時刻同期、バックアップ、遠隔保守が同時に使えなくなれば、隔離自体がサービス停止の原因になります。

ガイドは、攻撃者の横移動を止めることと、重要サービスを継続することを同時に実現するため、重要システムを最小単位で定義し、その周辺に独立して稼働できる機能を持たせるよう求めています。

最小限必要なVital Systemsを特定

隔離計画の出発点は、重要サービスの提供に不可欠な最小限のシステムとネットワークを特定することです。

電力事業であれば、すべての業務システムを残すのではなく、送配電を維持するためのSCADA、エネルギー管理システム、変電所制御、安全システムなどを優先します。水道では、水量・圧力の制御、薬品投入、ポンプ運転など、生命や衛生に関わる機能が対象になります。

ガイドは、重要システムだけでなく、それを動かす「Enabling Systems」も含めて考えるよう求めています。

OT本体が正常でも、認証、DNS、DHCP、証明書、時刻同期、仮想化基盤、ストレージ、バックアップ、冷却、非常用電源などがIT側へ依存していれば、ITとの接続を切った瞬間にOTが停止する可能性があります。

設備台帳にPLCやサーバーだけを載せるのではなく、重要サービスの継続に必要な共通基盤まで含めた依存関係の把握が必要です。

クラウドや保守回線を含むすべての接続を可視化

Vital Systemsを特定した後は、重要ネットワークと外部のシステムをつなぐ接続をすべて記録します。

対象には、社内ITネットワーク、インターネット接続、クラウド、ベンダーや保守会社の遠隔アクセス、通信事業者のネットワーク、他拠点、他の重要インフラ事業者との接続が含まれます。

無線、モバイル回線、衛星、専用線、VPN、Wi-Fiなど、通信経路の種類と暗号化の有無も確認します。

接続ごとに、システム所有者、委託先、通信プロトコル、業務目的、可用性要件、RPO、RTO、緊急連絡先を記録します。ファイアウォール、ルーター、VPN、インターネットゲートウェイの設定情報も、隔離手順を実行するために必要です。

設備の新設や委託先変更によって接続関係は変化するため、構成図は一度作って終わりではありません。変更管理と連動して更新しなければ、インシデント時に把握していない経路から攻撃者が侵入し続ける可能性があります。

物理的隔離を最終的な保護状態に設定

ガイドは、重要OTと非重要システムの間に接続や共有基盤が存在しない物理的隔離を、最も有効な保護方法と位置づけています。

物理的分離を実現するには、スイッチ、ルーター、リピーター、多重化装置、サーバー、ハイパーバイザーなどをITとOTで共有しない設計が必要です。

同じスイッチ上でVLANを分けただけの構成は、論理的な分離にすぎません。ネットワーク機器の管理権限を攻撃者に奪われれば、VLANやACLを変更され、隔離を解除される可能性があります。

無停電電源装置、非常用発電機、空調、物理セキュリティなどの支援設備も、重要度の低いネットワークから操作できないようにする必要があります。

一方、インターネットサービスや広域通信に依存する事業、複数拠点を結ぶ交通・通信・エネルギー事業では、完全な物理隔離が現実的でない場合があります。その場合でも、重要系の専用経路、専用暗号装置、強固なOT境界を用意し、隔離状態で可能な限りサービスを継続できる設計が求められます。

遠隔アクセスから段階的に遮断

すべての接続を一度に切断すると、業務への影響が大きくなります。ガイドは、脅威の深刻度に応じて接続を段階的に縮小する「Graduated Isolation」を例示しています。

最初の段階では、社外からジャンプホストを経由してOTへ接続するリモートワーカーや保守事業者のアクセスを停止します。

脅威が拡大した場合は、社内拠点からの遠隔アクセスを停止し、ITネットワークとOTネットワークの接続を遮断します。

さらに、重要度の低い他拠点や他のOTネットワークとの接続を停止し、最終段階ではVital Systemsをすべての外部ネットワークから完全に隔離します。

どの段階へ移るかは現場担当者の感覚で決めるのではなく、マルウェア感染、認証基盤の侵害、管理者権限の窃取、外部機関からの警告など、具体的な発動条件を事前に定義します。

各段階の承認者、実行担当者、停止する接続、残す機能、業務部門への連絡方法も、インシデント対応計画へ組み込む必要があります。

VLANやMPLSだけでは十分な分離にならない

ガイドは、VLAN、MPLS、IPアクセスリスト、ルート遮断、ブラックホールルーティングなどを、隔離へ向かう途中の暫定的な対策と位置づけています。

これらは導入しやすく、攻撃範囲を狭めるうえで有効ですが、物理分離や暗号化された専用経路と同じ保証を提供するものではありません。

VLANを使う場合は、不要なVLANをトランクへ自動配布せず、必要なVLANだけを明示的に許可します。インターネット向けDMZとOTネットワークが同じスイッチを共有する構成も避けるべきです。

MPLSは通信事業者が提供する閉域サービスとして利用されますが、それ自体が暗号化や完全な分離を保証するわけではありません。

ガイドは、通信事業者のネットワークを信頼済みとして扱わず、OT境界に配置した専用装置で暗号化するよう求めています。レイヤー2ではMACsec、レイヤー3ではIPsecなどが例示されています。

Volt Typhoonの攻撃キャンペーンでは、侵害されたネットワーク機器と正規の管理機能を利用して重要インフラへ長期潜伏する手口が確認されています。通信経路が閉域であることだけを安全の根拠にしない設計が必要です。

管理プレーン自体を攻撃者から隔離

ファイアウォールやルーターで隔離を行っても、それらの管理画面へ攻撃者がアクセスできれば、遮断設定を解除されます。

ガイドは、ネットワーク機器の管理プレーンを業務ネットワークから分離し、可能な場合は専用の物理管理インターフェースとアウトオブバンド管理基盤を使用するよう求めています。

管理作業は専用のPrivileged Access Workstationから行い、低信頼ネットワークや一般端末から管理ゾーンへ接続できないようにします。

SD-WAN、SASE、SDN、APIによる構成管理、Network as Codeなどの自動化基盤も注意が必要です。

これらの管理基盤がITとOTの両方を制御している場合、管理基盤の侵害がすべての隔離設定へ波及します。利便性のために導入した中央管理が、攻撃者にとって一括変更の手段にならないよう、認証、権限、管理経路、監査ログを分離する必要があります。

完全隔離の全体演習が必要

ガイドは、一部の設備だけを切断する試験では、隠れた依存関係を把握できない可能性があると指摘しています。

重要OT全体を対象に、遠隔アクセス、IT接続、クラウド、他拠点、ベンダー保守を停止し、必要なサービスを継続できるかを定期的に試験します。

演習では、手動運転へ切り替えられるか、現場で設定や図面を参照できるか、外部の認証・DNS・時刻同期がなくても運転できるか、燃料や薬品などの供給を確保できるかも確認します。

隔離手順書は、社内ファイルサーバーやクラウドだけに保存してはいけません。IT環境が使えない場合でも参照できるよう、オフライン媒体や紙で安全に保管します。

演習の目的は、ファイアウォールのルールが切り替わることだけを確認することではありません。隔離状態で業務、設備、安全、連絡、保守、復旧を継続できるかを検証することです。

隔離後もルートと通信を監視

接続を切った後も、隔離が有効な状態を保っているか確認する必要があります。

ルーティングテーブルを確認し、重要ネットワークと非重要ネットワークを接続する静的ルートや意図しない経路が残っていないかを調べます。

ルート更新や隣接関係の変化をオンプレミスのSIEMへ記録し、OTとITの接続が復活した場合に通知する設定も有効です。

重要ネットワークの境界では通信フローを監視し、隔離後も外部への通信が発生していないかを確認します。重要系と非重要系の間で定期的な到達性試験を行い、本来遮断されている経路が通じた場合は警告します。

攻撃者が設定を変更した場合だけでなく、復旧作業中の誤操作で接続が戻る可能性もあります。隔離は一度の作業ではなく、隔離期間中に継続して検証する状態管理です。

物理隔離が生む新たなセキュリティリスク

物理的に切り離せば安全になるとは限りません。

外部の更新サーバーへ接続できなくなれば、OS、ファームウェア、ウイルス定義、脅威情報が更新されず、隔離期間中に脆弱性が蓄積します。

SOCやクラウド監視との通信も失われるため、外部からの可視性が低下し、現場だけで監視を続ける必要があります。

データや更新ファイルを移すためにUSBメモリなどの可搬媒体を使う機会も増えます。可搬媒体を検査する端末自体が更新されていなければ、マルウェアを見逃す可能性があります。

データダイオードやクロスドメインソリューションを使えば、一方向または厳格に制御したデータ転送を残せる場合があります。ただし、OTプロトコルのハンドシェイクを遮断し、制御へ悪影響を与える可能性もあるため、専門的な設計と検証が必要です。

隔離計画には、更新ファイルの検証、可搬媒体の管理、ローカル監視、ログ保存、再接続前の安全確認まで含める必要があります。

国家支援型攻撃とランサムウェアの双方を想定

ガイドが必要とされる背景には、国家支援型攻撃者による重要インフラへの事前配置と、犯罪者によるランサムウェア攻撃の両方があります。

国家支援型の攻撃者は、平時から重要インフラへ潜伏し、危機や紛争時に破壊・停止へ利用できるアクセスを確保する場合があります。

ランサムウェア攻撃者は、ITネットワークからOT支援システムへ侵入し、認証、バックアップ、仮想化、保守基盤を停止させることで、直接PLCを操作しなくても操業を止められます。

英国の重要インフラに対するサイバー攻撃の約75％が敵対国家に関連するとしたNCSCの警告でも、侵入を完全に防ぐだけでなく、攻撃後も重要サービスを維持し、早期に復旧する能力が求められています。

情報システム部門への示唆

重要インフラや製造設備を持つ企業の情報システム部門は、ネットワーク構成図へ線を引くだけでなく、その線を切った状態で何日間操業できるかを確認してください。

最初に、停止すると安全、供給、品質へ重大な影響が出る設備と、それを支えるシステムを特定します。PLC、SCADA、HMIだけでなく、AD、DNS、DHCP、NTP、証明書、仮想基盤、バックアップ、ライセンス、監視、遠隔保守まで対象に含めます。

IT・OT間、拠点間、クラウド、通信事業者、保守会社との接続を一覧化し、各接続をどの機器、どのポート、どの手順で切断できるかを記録します。

隔離操作をネットワーク管理者一人だけが実行できる状態は避け、承認者、実行者、現場責任者、安全管理者を決めてください。休日や夜間でも実行できる連絡網が必要です。

ベンダー保守回線は、常時接続ではなく必要時だけ承認して開放し、MFA、ジャンプサーバー、セッション記録、接続元制限を適用します。緊急時にベンダーの支援がなくても、現場で最低限の運転と復旧ができる手順を用意します。

VLANやファイアウォールで分離している場合は、管理プレーンがIT側から侵害されても遮断設定を維持できるかを確認します。可能であればOT専用スイッチ、専用管理端末、アウトオブバンド管理を導入します。

演習では、特定設備だけでなく重要サービス全体を対象にしてください。外部接続を停止し、手動運転、設定参照、ログ取得、更新、連絡、復旧まで実行します。

隔離後の監視として、ルーティングテーブル、通信フロー、DNS問い合わせ、外向き通信、管理設定の変更を確認します。オンプレミスに監視機能を残し、クラウド接続がなくても異常を検知できる構成が必要です。

再接続時は、攻撃者が残したアカウント、設定、マルウェア、改ざん済みファームウェアがないことを確認します。隔離解除を復旧の最初の作業にせず、安全確認の最終段階として扱ってください。

出典

• CI Fortify – Advice for isolating vital systems – Australian Signals Directorate Australian Cyber Security Centre
• CI Fortify – Advice for isolating vital systems PDF – Australian Signals Directorate Australian Cyber Security Centre
• CI Fortify – Advice for isolating vital systems – CISA
• CISA Joins Australia and Others to Publish Guidance to Isolate Operational Technology and Enabling Systems – CISA
• New advice to help organisations isolate their vital OT and enabling systems from other networks – Australian Cyber Security Centre
• CISA shares advice on isolating vital systems during cyberattacks – BleepingComputer
• 英国インフラへのサイバー攻撃の75％が敵対国家 – セキュリティ対策Lab
• JPCERTがVolt Typhoonの攻撃キャンペーン「Operation Blotless」に注意喚起 – セキュリティ対策Lab
• 住友金属鉱山、フィリピン子会社へのサイバー攻撃で生産設備への影響なし – セキュリティ対策Lab