Azure で OT-IT 統合を安全に実現するための産業用 DMZ の構築方法

By Mirko Peters · 2026-10-27

Azure で OT-IT 統合を安全に実現する産業用 DMZ の構築方法を解説します。生産ラインを保護し、ネットワークをセグメント化して、PLC を安全に接続しましょう。

Automatically translated with AI from the original post. Read the English original

Azure で OT-IT 統合を安全に実現するには、産業用 DMZ（IDMZ）の設計が欠かせません。本ガイドでは、安全なネットワーク境界の確立、適切な緩衝ゾーンの実装、そして運用技術のアーキテクチャの分離方法を解説します。機密性の高い PLC を企業側のリスクや生産の停止にさらすことなく、これらを実現する方法を取り上げます。

重要なポイント

• 産業用 DMZ（IDMZ）は、運用技術（OT）と企業の IT システムの間に位置する、重要な緩衝ネットワークゾーンとして機能します。
• 物理的な距離はセキュリティゾーンと同じではありません。機器は、生産上の役割、リスクの影響、信頼レベルに基づいてグループ化する必要があります。
• 工場側からのアウトバウンドセッションの開始は、企業やクラウド環境からの危険なインバウンド待ち受けサービスの必要性を減らすのに役立ちます。
• VLAN だけでは不十分です。不正な横方向の移動をブロックするには、ルーティングされた厳格なファイアウォールによる制御が必要です。
• 共有スイッチ基盤は、目に見えない物理的な依存関係を生み出します。クラウドのデータプロジェクトを開始する前に、それらを洗い出しておく必要があります。

Azure アーキテクチャにおける産業用 DMZ の役割

テレメトリ、パフォーマンス分析、機械学習のために工場の生産設備を Microsoft Azure に接続する場合、組織は大きなアーキテクチャ上の課題に直面します。それは、価値のある製造データを外部へ送り出しつつ、危険なネットワーク経路を内部に開放しない方法です。企業アカウントが侵害されると、理論上はフラットなネットワークを通じてラインのコントローラーまで到達できてしまうため、従来の IT ファイアウォールのルールは産業環境にはまったく不十分です。

ここで産業用 DMZ が必須になります。IDMZ は、工場ネットワークと企業ネットワークの間にある、厳重に管理された緩衝ゾーンです。Azure のサービスや企業のアプリケーションが生産機器のコントローラーに直接問い合わせることを許可する代わりに、工場側のサービスが承認済みの集約データを IDMZ に送信します。企業やクラウドのシステムは、制御プレーンに触れることなく、この緩衝領域からデータを利用します。

このようなアーキテクチャ上の分離を徹底することで、企業のデータベースや Azure 接続に問題が発生しても、生産設備は完全に影響を受けずに稼働し続けます。IDMZ が露出のリスクを吸収し、クラウドに依存する障害から生産プロセスを完全に隔離します。

部門ではなく生産上の役割でゾーンを定義する

クラウド統合プロジェクトでよくある誤りは、物理的な近さや部門の所有関係に基づいてデバイスをネットワークゾーンにまとめることです。フィラー PLC と同じキャビネットに置かれたコンピューターが、自動的にフィラーのセキュリティゾーンに属するわけではありません。信頼は、機能的な振る舞いに基づいて獲得し、定義する必要があります。

効果的なゾーン設計では、接続されたシステムが障害を起こした場合や侵害された場合に何が起こるかを評価する必要があります。ゾーンの境界は、許可されたネットワーク接続を通じて問題が広がる範囲を制限しなければなりません。たとえば、古い充填機、新しいラベラー、後工程の梱包機がある包装ラインを考えてみてください。これらの機器は物理的な製品フローを共有していても、フラットで制限の緩いネットワークゾーンを共有する必要はありません。

信頼境界の確立

定義されたゾーン内では、管理者はそれぞれのシステムの継続的な役割に基づき、特定のレベルの通信を許可します。堅牢なゾーン設計の主要な戦略には、次のものがあります。

• ゾーンの範囲を制限し、包装ライン全体が一つの巨大な攻撃対象領域にならないようにすること。
• ゾーンをまたぐ通信ごとに、送信元、宛先、許可される正確なプロトコルを明記したドキュメントを必須とすること。
• 「製造部門へのアクセス」のような広範なルールを禁止し、サービス間の対象を絞ったルールを採用すること。
• 宛先のサービスが境界を認識し、初期設定で工場全体への一般的なアクセス権を与えないようにすること。

VLANによるセグメンテーションとルーティング型ファイアウォールによる制御の違い

仮想LAN（VLAN）は、共有スイッチ上で企業とインダストリアルのトラフィックを分割するために、頻繁に導入されています。しかし、機器を別々のVLANに配置するだけでは、セキュリティは保証されません。

VLAN間でトラフィックが移動するとき、アーキテクチャは完全にルーティングの処理方法に依存します。内部のネットワーク機器が、厳格なステートフルファイアウォールによる監視なしにインダストリアルVLAN間のトラフィックをルーティングすると、トラフィックは意図された安全境界を容易に迂回してしまいます。さらに、単一の物理スイッチ上での論理的な分離では、物理的なハードウェアへの依存は解消されません。その共有スイッチに障害が発生すると、両方のゾーンが同時に停止します。

真のネットワークセグメンテーションには、VLANとゾーンの間に厳密に配置された専用のステートフルファイアウォールが必要です。これらのファイアウォールは、セッションパラメーターを検査し、許可された操作を検証する必要があります（たとえば、テレメトリ専用の経路で書き込みコマンドをブロックするなど）。また、許可された接続が確立されたとしても、基盤となるプロトコルのルールを悪用して不正な機械コマンドを発行できないようにする必要があります。

セッションの方向と送信トラフィックの管理

接続の方向は、安全な産業用クラウドアーキテクチャの基本的な柱です。可能な限り、工場サイトのサービスからIDMZまたはAzureに向けて送信セッションを開始させるべきです。この設計パターンにより、リモートシステムが工場側で受信待ち受けサービスを必要としなくなり、外部からの望まない接続試行を事実上排除できます。

ただし、管理者は送信セッションが確立された後に何が起こるかを慎重に検証する必要があります。ステートフルファイアウォールは、許可された接続への戻りトラフィックを自然に許可します。つまり、リモートサイトはそのパイプを通じてデータを送り返すことができます。ソフトウェアの所有者は、サービスが望ましくないペイロード、構成変更、あるいは通常のサーバー応答を装った隠れたコマンド実行経路を拒否することを実証しなければなりません。

認証資格情報も、この厳格な分離を反映したものでなければなりません。読み取り専用の停止記録を収集するために使用するアカウントには、機械のレシピを変更する権限、制御ロジックを調整する権限、ファームウェア更新を配信する権限を決して持たせてはなりません。アプリケーション層とゲートウェイのインターフェースの両方で最小権限の原則を徹底することで、認証情報が盗まれた場合でも、影響範囲を厳密に封じ込めることができます。

まとめ

運用技術（OT）とAzureを橋渡しするには、ネットワーク境界、明確なゾーン定義、堅牢なインダストリアルDMZによるバッファーに細心の注意を払うことが不可欠です。管理上の利便性よりも生産の継続性を優先することで、ITチームとOTチームは、稼働中の製造現場を危険にさらすことなく、工場の現場から得られる貴重な知見を安全に活用できます。

産業用アーキテクチャのパターン、安全なデータ境界、生産を止めずに機器を接続する方法についての詳細は、M365 FM Podcastのエピソード全編を聴いてください。

よくある質問

Azure OT-IT統合の文脈におけるインダストリアルDMZとは何ですか？

インダストリアルDMZ（IDMZ）は、工場現場の運用技術（OT）と、企業のITまたはAzureのようなクラウド環境との間に配置される専用のネットワーク緩衝ゾーンです。企業ネットワークでの侵害や障害が、生産ラインのプログラマブルロジックコントローラー（PLC）に直接影響したり到達したりすることがないよう、中継サービスをホストします。

VLANだけでは、Azureに接続するOTネットワークを保護できないのはなぜですか？

VLANはスイッチ型ネットワーク上でトラフィックを論理的に分離しますが、それ自体はセキュリティポリシーを適用しません。VLAN間でルーティングされたファイアウォールによる制御がなければ、トラフィックは意図された境界を容易に迂回できてしまいます。さらに、VLANの下にある物理スイッチが共有されていると、ITとOTの資産の双方にとって単一障害点となります。

プラント側のサービスからAzureへの接続は、外向きに開始すべきですか？

はい。プラント側のサービスからアウトバウンドセッションを開始させることがベストプラクティスです。プラント側で待ち受け型の受信サービスを公開する必要がなくなり、リスクを抑えられるためです。ただし、セキュリティチームは接続先のエンドポイントを検証し、収集ホストが任意のインターネットアドレスに自由にアクセスできないよう、アウトバウンドのトラフィックを制限する必要があります。

製造業のパッケージングラインに対して、適切なセキュリティゾーンはどのように定義すればよいですか？

セキュリティゾーンは、物理的な部屋のレイアウトや部署名ではなく、生産上の役割と共有するリスクを基準に設定すべきです。関連する作業を行い、同等の保護レベルを必要とし、プラントが明示的に承認した評価済みの障害影響を共有している機器は、同じゾーンに配置します。