MESユーザーの46%が過去1年でサイバーインシデントを経験している

46%という数字を、正しい位置に置く

Rockwell Automation が2026年7月28日に公開した調査「Scaling MES Across the Enterprise」（17カ国1,560名、58%が年商10億ドル超の企業）に、次の一項があります。

まず、この46%が何を指していないかを確認します。「MESが侵害された企業が46%」ではありません。調査はMESを導入している企業層を対象とした全般的なインシデント経験率であり、侵入経路がMESであったかどうかの内訳は公表されていません。

それでも、この数字はMESの設計判断に直結します。理由は、MESが「侵害されたときに操業が止まるシステム」の代表格だからです。ERPが止まっても数日はライン側で凌げますが、電子作業指示・実績記録・ロット追跡をMESに寄せている工場では、MESが止まった瞬間に法的・品質的に出荷できない状態になります。

MES固有の攻撃面はどこにあるか

情報システム一般のセキュリティ論とは別に、MESには固有の弱点があります。

このうち5番は、セキュリティと規制対応が正面から衝突する項目です。「バリデーション済み構成を変更しない」ことと「脆弱性を放置しない」ことは、多くの現場で両立していません。この衝突を運用ルールで解いている工場は、実際にはかなり少数です。

全社展開の瞬間に、境界が増える

Rockwell 調査のもう一つの数字──MES導入93%に対し全社展開28%──と、この46%は同じ案件の中で結びつきます。

1拠点で閉じているMESは、ネットワーク的にも組織的にも境界がはっきりしています。それを複数拠点へ広げる瞬間、境界の数が一気に増えます。

ここで発生するのは技術課題だけではありません。拠点ごとにIT部門の所属も、許容できる停止時間も、適用される法規も違います。海外拠点であれば現地のデータ規制が加わります。マルチサイト設計でセキュリティ方針を「共通にする部分」と「拠点ごとに変える部分」に分けておかないと、拠点を追加するたびにゼロから交渉することになります。

規制側は「セキュリティ」を前面に出してきた

2025〜2026年の規制動向は、MESに対する要求の重心を明確に移しました。

EU GMP Annex 11（コンピュータ化システム）改訂案は、2025年7月7日に欧州委員会がパブリックコメント用に公開したもので、5ページから19ページへ大幅に拡充され、17章＋用語集の構成になりました。注目すべきは重心の移動です。従来のバリデーション中心の構成から、「セキュリティ」「アイデンティティ／アクセス管理」「監査証跡」を重視する構成へ再編されています（意見提出期限は2025年10月7日）。詳細はGxP規制の非対称に関する記事で扱っています。

上の表の1番（現場端末の共有アカウント）が、この改訂で正面から問題になります。「アイデンティティ／アクセス管理」を章立てで要求する規制のもとでは、班長IDの共有運用は説明できません。

標準側でも同じ方向の動きがあります。IDTA（Industrial Digital Twin Association）は 2025年6月10日に Asset Administration Shell の Part 4「Security」仕様を公開しました。個別プロパティからSubmodel全体までの可視性・アクセス権を制御するきめ細かなモデルで、レジストリ／リポジトリ両レベルの認可ルールを定義しています。デジタルツインのデータ交換においても、「誰がどの属性を見てよいか」が仕様として定義される段階に入りました。

欧州のNIS2指令は製造業（医療機器、コンピュータ・電子製品、機械、自動車など）を「重要（important）エンティティ」として扱い、リスク管理措置とインシデント報告を義務化します。Cyber Resilience Act は「デジタル要素を持つ製品」にセキュリティ要件を課します。OT／MES環境での実装アプローチとしては IEC 62443との整合が実務標準になりつつあります。

止まったときに何が起きるかを、先に決める

MESセキュリティの実務は、侵入を防ぐ話と、止まった後に操業を戻す話の2つに分かれます。後者が設計されていない工場が多くあります。

確認すべきは次の4点です。

1. MESが停止した状態で、何時間なら生産を続けられるか。 紙の代替手順が用意されているか、その手順で作った製品を後からシステムへ取り込む方法があるか
2. 停止中に作った製品のトレーサビリティをどう担保するか。 規制産業では、ここが出荷可否を直接左右します
3. 復旧後のデータ整合をどうとるか。 紙で記録した実績とシステム上の在庫のズレを、誰がどの手順で合わせるか
4. バックアップから戻したとき、どの時点まで戻るか。 バックアップとBCPの設計で、RPO（許容データ損失）を工程単位で決めているか

発注時に確認しておくべきこと

MESの選定・契約段階で確認できる項目もあります。

• 認証・認可の方式：Active Directory／LDAP連携、多要素認証、役割ベースアクセス制御の粒度。工程単位・データ項目単位でどこまで絞れるか
• 監査証跡の改ざん耐性：誰が何を変更したかの記録が、管理者権限でも消せない設計になっているか
• 脆弱性情報の提供体制：製品に含まれるサードパーティコンポーネントのSBOM提供、脆弱性公表時の通知プロセスと修正提供のSLA
• サポート接続の方式：常時接続か、都度承認か。接続ログを発注側が保持できるか
• バリデーション済み構成のパッチ適用：セキュリティパッチ適用時の再バリデーション範囲について、ベンダーが判断材料を提供するか

最後の項目は、規制産業では特に重要です。パッチを当てるかどうかの判断を自社だけで負う契約になっていると、実務上は「当てない」に流れます。

よくある質問

工場のネットワークはインターネットから切り離しています。それでもリスクはありますか？

あります。閉域であることは侵入経路を減らしますが、なくすものではありません。上の表で挙げた6番（USBによるファイル授受）と4番（ベンダー保守用のリモート接続）は、閉域環境でこそ発生しやすい経路です。閉域を理由にOSやミドルウェアの更新を止めている場合、いったん内部に入られたときの被害は、むしろインターネット接続環境より大きくなります。「切り離しているから安全」ではなく「切り離しているので、内部の衛生状態を保つ必要がある」と考えてください。

46%という数字は、MESが原因のインシデントの割合ですか？

違います。Rockwell 調査は、MESを導入している企業層（17カ国1,560名の製造・産業オペレーション意思決定者）に対する全般的なインシデント経験率であり、侵入経路や被害システムの内訳は公表されていません。社内資料で使う場合は「MES導入企業の46%が過去1年に何らかのサイバーインシデントを経験（Rockwell、2026年7月）」という書き方が正確です。MESが原因だったとする記述は、この調査からは導けません。

現場の共有アカウントを廃止したいのですが、現場が反対します。どう進めればよいですか？

反対の実質的な理由は、多くの場合「ログイン操作が生産のリズムを止めること」です。したがって、ID運用の正しさを説くより、ログイン手段そのものを変えるほうが通ります。実務で採用されているのは、ICカード（入退室カードの流用）、バーコード付き作業者証、生体認証の3つで、いずれも操作時間を1〜2秒に抑えられます。加えて、全操作で個人認証を求めるのではなく、記録として個人が必要な操作（検査判定、逸脱処理、承認）に限定する設計にすると、現場の負担と監査要件の両方を満たしやすくなります。