IT導入補助金

製造業の命取りになる「サイバー攻撃」とセキュリティ対策【補助金活用法も解説】

執筆：製造業IT補助金ナビ編集部

この記事からわかること

  • 製造業はサイバー攻撃の標的になりやすく、ランサムウェア被害で工場全体が停止するリスクがある
  • IT導入補助金「セキュリティ対策推進枠」を使えば、対策ツール導入コストを最大1/2に抑えられる
  • 同枠の申請には「SECURITY ACTION 二つ星」の取得が必須要件となっている
  • SECURITY ACTION 二つ星は、情報セキュリティ基本方針を策定・公開するだけで無料取得できる
  • 工場ネットワーク（OT環境）の分離やバックアップ体制の整備が最初の優先ステップ

総務・管理部門の方から「工場でセキュリティ対策まで手が回らない」という声をよく耳にします。しかし、近年の製造業を狙ったサイバー攻撃の実態を見ると、「後でやればいい」では済まない深刻さがあります。

本記事では、製造業特有のリスクとランサムウェア被害の事例、そしてIT導入補助金のセキュリティ対策推進枠を活用して実質的な負担を抑えながら対策を進める方法をわかりやすく解説します。

製造業はなぜサイバー攻撃の標的になるのか

IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」では、ランサムウェアによる被害が複数年にわたって組織部門の1位に位置しています。製造業が特に狙われやすい理由は主に三つあります。

理由1：生産を止めたくないという弱みを突かれる

工場ラインが停止すれば、納期遅延・取引先への損失・信用失墜が即座に発生します。攻撃者はこの「止まると困る」という弱みを知っており、高額の身代金要求に応じさせやすいターゲットとして製造業を選びます。

理由2：古いOSや設備が残りやすい

製造業の生産設備は10〜20年単位で稼働します。設備に組み込まれたPCのOSがWindows 7や古いWindowsのまま更新できないケースが多く、既知の脆弱性を突いた攻撃が通りやすい環境になっています。

理由3：OTネットワークとITネットワークが接続されている

IoTや生産管理システムの普及により、かつては独立していた工場の制御系ネットワーク（OT）とオフィス系ネットワーク（IT）がつながるケースが増えました。一方のネットワークに侵入されると、もう一方にも被害が広がります。

ランサムウェア被害で工場が止まる現実

国内製造業でのサイバー攻撃被害は、報道されていない事例を含めると年々増加しています。代表的な被害パターンは以下のとおりです。

被害の段階具体的な影響
侵入直後気づかないまま数週間〜数ヶ月潜伏し、データ窃取が続く
暗号化発動生産管理システム・設計データ・会計データが一斉に暗号化される
工場停止受発注・生産指示ができなくなり、ラインが停止
身代金要求暗号解除のために数百万〜数千万円の要求が届く
二次被害窃取したデータの公開脅迫・取引先情報の流出

重要なのは、身代金を支払ってもデータが戻らないケースが多いという点です。またバックアップがあっても、攻撃者に削除・暗号化されていることも少なくありません。

被害を受けた中堅製造業（従業員200名規模）では、生産ライン停止から復旧まで2〜3週間を要し、その間の損失と復旧費用を合わせると数千万円規模になった事例も報告されています。

補助金申請に必須の「SECURITY ACTION 二つ星」とは

SECURITY ACTIONとは、IPA（情報処理推進機構）が運営する、中小企業が自らの情報セキュリティ対策に取り組むことを自己宣言する制度です。取得すると専用のロゴマークを使えるほか、取引先・顧客への信頼アピールに活用できます。

認定レベルは二段階あります。

レベル宣言内容難易度
一つ星IPAが定める「情報セキュリティ5か条」に取り組むことを宣言容易（数時間）
二つ星情報セキュリティ基本方針を策定・公開したことを宣言やや手間（数日〜1週間）

IT導入補助金のセキュリティ対策推進枠では「二つ星」の取得が申請要件となっています。費用は一切かからず、IPAのウェブサイトから自己宣言するだけで完了します。

SECURITY ACTION 二つ星の取得ステップ

取得の流れは次のとおりです。専門家に依頼する必要はなく、総務・管理担当者が自社で完結できます。

  1. IPAの「情報セキュリティ基本方針」ひな形を入手する IPA公式サイトから無料のひな形（Word形式）をダウンロードします。

  2. 基本方針を自社用にカスタマイズする 会社名・代表者名・対象範囲などを記載します。内容は「セキュリティに取り組む姿勢・ルール」を宣言するものであり、技術的な詳細は不要です。

  3. 自社のウェブサイトや社内掲示板に公開する 対外的に「公開している」状態にする必要があります。PDFをホームページに掲載する形が一般的です。

  4. IPAのSECURITY ACTIONサイトで自己宣言を登録する 必要事項を入力し、宣言完了メールを受け取れば手続き終了です。ロゴマークのダウンロードも可能になります。

基本方針に含めるべき主な項目

  • 情報セキュリティ対策への取り組みの宣言
  • セキュリティインシデント発生時の対応方針
  • 従業員教育・啓発の方針
  • 内部不正・情報漏えい防止の方針
  • 策定日・代表者名

IT導入補助金「セキュリティ対策推進枠」の活用

SECURITY ACTION 二つ星を取得したら、IT導入補助金のセキュリティ対策推進枠への申請準備が整います。

補助の概要

項目内容
補助対象サイバーセキュリティの向上に資するITツール・サービスの導入費用
補助率1/2以内
補助上限100万円
申請要件SECURITY ACTION 二つ星の取得（申請時点で宣言済みであること）

対象になる主なツール・サービス

  • UTM（統合脅威管理装置）：ファイアウォール・ウイルス対策・不正侵入検知を一体化した機器
  • EDR（エンドポイント検出・対応）：PC・サーバー上の不審な挙動を検知・遮断するソフト
  • クラウド型ウイルス対策ソフト：定義ファイルの自動更新で常に最新の脅威に対応
  • VPN・セキュアリモートアクセスサービス：テレワーク・工場外からの安全な接続環境の構築

申請の流れ

  1. SECURITY ACTION 二つ星を取得する（前述）
  2. GビズIDプライムを取得する（未取得の場合）
  3. IT導入補助金に登録されているセキュリティツールのベンダーを選定する
  4. ベンダーと共同で交付申請書を作成・提出する
  5. 採択・交付決定後にツールを導入する
  6. 実績報告を行い、補助金を受け取る

**注意点として、交付決定前にツールを発注・契約・支払いを行うと補助対象外になります。**必ず採択通知を受けてから契約手続きを進めてください。

よくある質問（FAQ）

Q. SECURITY ACTION 二つ星の取得にはどのくらいの費用と時間がかかりますか？

取得自体は無料です。IPA（情報処理推進機構）の公式サイトで自己宣言するだけで完了します。情報セキュリティ基本方針の策定が必要ですが、IPAが無料のひな形を提供しているため、慣れていなくても数日〜1週間程度で準備できます。

Q. IT導入補助金セキュリティ対策推進枠で補助対象になるツールの例を教えてください。

UTM（統合脅威管理装置）、EDR（エンドポイント検出・対応）ソフト、クラウド型ウイルス対策ソフト、VPNサービスなどが対象になります。具体的なツールはIT導入補助金事務局の登録ツール一覧で確認してください。

Q. 工場の生産設備（OT・制御システム）もIT導入補助金の対象になりますか？

制御システム本体（PLC・NCなど）は対象外ですが、工場ネットワークを守るためのセキュリティソフトやUTM機器は対象になる場合があります。IT導入支援事業者（登録ベンダー）に確認してください。

Q. 中小製造業がまず取り組むべきセキュリティ対策は何ですか？

①OSやソフトウェアのアップデート徹底、②バックアップの定期実施と別媒体保管、③OTネットワークとオフィスネットワークの分離、の3点が最優先です。費用をかける前にこれらの基本対策から始めてください。

まとめ

製造業へのサイバー攻撃は増加の一途をたどっており、「うちは中小だから大丈夫」という思い込みは通用しない状況です。むしろ中小企業はセキュリティ対策が手薄なため、攻撃者に狙われやすいのが実態です。

まず取り組むべきはSECURITY ACTION 二つ星の取得です。無料・社内完結で完了でき、IT導入補助金セキュリティ対策推進枠の申請資格も得られます。補助率1/2（上限100万円）を活用すれば、UTMやEDR導入の実質負担を大幅に抑えながら工場全体のネットワークを守る体制を整えられます。

「いつかやろう」と後回しにしていたセキュリティ対策を、補助金の活用を機会に前倒しで進めましょう。

参考情報