こんにちは！ITやWebの現場に飛び込んだばかりの頃は、専門用語の嵐に圧倒されてしまいますよね。「セキュリティ監査」や「NIST SP 800-82」なんて聞くと、なんだか難しそうな要塞の図面を広げているような気分になるかもしれません。
でも、安心してください。OT（制御システム：工場やプラントを動かす裏側の仕組み）のセキュリティも、基本の考え方は私たちの「身の回りの防犯」や「家の鍵の管理」とまったく同じなんです。
今回は、工場やビルといった現実世界のインフラを裏で支えるSCADA（スカダ）やIoTデバイスを、泥棒（サイバー攻撃者）から守るための監査チェックリストを、身近な例えを交えながら一歩ずつ優しく紐解いていきましょう！
—
1. 家の鍵に例えるOTセキュリティの全体像
まず、私たちが普段暮らしている「家」を思い浮かべてみてください。
家には玄関の鍵があり、誰が中に入ってきたかを記録する防犯カメラがあり、万が一泥棒が入ってきたときにすぐ警察を呼べる仕組みがありますよね。ITシステムの世界でもこれは同じで、これを企業向けに整理したのが「NIST SP 800-82」というアメリカ国立標準技術研究所が定めた公式のガイドラインです。
工場やプラントの制御システム（OT）は、一度ハッキングされてしまうと、電気が止まったり、水が止まったり、最悪の場合は物理的な破壊につながるため、一般的なオフィス用のパソコンよりも圧倒的に厳しい防犯が求められます。「でも、うちのシステムはインターネットに繋いでないから大丈夫！」……そう思っていませんか？
実は、清掃業者のUSBメモリや、メンテナンス用のノートパソコンを経由して、泥棒はこっそり合鍵を作って侵入してくるんです。だからこそ、定期的な「防犯チェック（セキュリティ監査）」が必要になります。
—
2. 監査チェックリスト：4つの重要ポイント
NIST SP 800-82の考え方に基づき、現場でチェックすべき4つのポイントを順番に見ていきましょう。
ポイント①：資産管理（我が家に何があるか把握していますか？）
泥棒が入ってきたとき、何が盗まれたか分からないと困りますよね。まずは「家にどんな家電や家具があるか」のリストを作るのと同じように、ネットワークにつながっているすべてのPLC（プログラマブルロジックコントローラー）やセンサー、SCADAサーバーを洗い出します。
- 監査のコツ: 「おや、この見慣れないルーターは誰の私物だろう？」といった野良デバイス（シャドーIT）を見逃さないことが第一歩です。
ポイント②：アクセス制御（合鍵を配りすぎていませんか？）
「工場長だから」「ベテランの作業員だから」といって、すべての部屋の合鍵を渡していませんか？ サイバー攻撃者は、権限の弱い一般スタッフのパスワードをこっそり盗み、そこを踏み台にして心臓部であるSCADAの管理画面にたどり着きます。
- 対策: 必要最低限の権限だけを渡す「最小権限の原則」を徹底しましょう。
ポイント③：物理セキュリティ（門や金庫の鍵はちゃんとかかっていますか？）
ITセキュリティというとパソコン画面の中ばかり気にしがちですが、OTの世界では「物理的な侵入」が最も危険です。誰でも入れる廊下に、パスワードが書かれた付箋が貼られた制御用PCがポツンと置いてあったら……それはもう「鍵の開いた金庫」を道端に放置しているようなものです。
ポイント④：インシデント対応（泥棒が入ったときの警報システム）
万が一、不審者が侵入したときに「あ、今窓ガラスが割られたな」と気づける仕組みが必要です。ログ（システムの足跡）をちゃんと残し、異常な動きがあったらスマホや管理者に通知が飛ぶように設定しておきます。
—
3. 実践！ネットワークの「防犯設定」をコードで見てみよう
それでは、現場のエンジニアとしてすぐにお手伝いできる具体的な設定を見ていきましょう。
例えば、工場の制御システムを管理するWeb画面やダッシュボードを構築する際、ブラウザとサーバーの間で通信を守るためのHTTPヘッダーの設定例です。
Webアプリケーションのフレームワーク（ここではPHPを想定）で、セキュリティの「頑丈な窓や鍵」をかけるためのコードを見てみましょう。
<?php
/**
* SCADA/IoT管理画面のセキュリティヘッダー設定サンプル
*
* 泥棒（クロスサイトスクリプティングや不正な外部からの読み込み）を防ぐため、
* 家の周囲に高い塀をめぐらせるような設定をHTTPヘッダーで実装します。
*/
// 1. 他のサイトのフレーム内にこの管理画面を表示させない（クリックジャッキング対策）
// 例え話：家のぞき穴を勝手に外から覗かれないようにカーテンを閉めるイメージです。
header("X-Frame-Options: DENY");
// 2. ブラウザが勝手にファイルの種類を推測して実行するのを防ぐ
// 例え話：郵便受けに入れられた怪しいチラシを、自動で爆弾と勘違いして起動させないようにします。
header("X-Content-Type-Options: nosniff");
// 3. コンテンツセキュリティポリシー（CSP）の設定
// 例え話：我が家の敷地内に入る許可を出した「信頼できる業者（ドメイン）」以外の人間を一切シャットアウトします。
header("Content-Security-Policy: default-src 'self' https://trusted-iot-gateway.local; script-src 'self';");
// 4.HTTPS（暗号化通信）の強制
// 例え話：泥棒に手紙のやり取りを途中でハサミで切って読まれないよう、すべての手紙を厳重な暗号付きの封筒に入れます。
header("Strict-Transport-Security: max-age=31536000; includeSubDomains; preload");
echo "セキュリティヘッダーが正常に適用されました。システムは安全な状態を維持しています。";
?>このように、サーバーの応答ヘッダーを1つ適切に設定するだけでも、外部からの悪意あるアプローチをガッチリと跳ね返すことができます。難しく考えず、「家の防犯対策を一枚ずつ重ねていくんだ」という気持ちで設定していくことが大切です。
—
4. まとめ：焦らず、一歩ずつ強固なシステムへ
いかがでしたでしょうか？
OTセキュリティやNIST SP 800-82という言葉の裏側には、「資産を知り、鍵をかけ、物理的に守り、異常に気づく」という、私たちが日常生活で行っている防犯の知恵がそのまま詰まっています。
セキュリティは一度設定したら終わりではなく、日々の点検がとても大切です。新人エンジニアの皆さんも、「これって本当に安全な鍵がかかっているかな？」という好奇心を大切にしながら、一歩ずつ実務の防犯力を高めていきましょう！
コメント