ENGINEERING NOTES · 2026年5月

ICSギャップアセスメントでよくある3つの間違い

産業環境でのギャップアセスメントを実施・レビューしてきた年月の中で、他のどれよりも頻繁に現れる3つです。

資産インベントリを一回限りの作業として扱うこと。OTではインベントリはすぐに古くなります——請負業者が機器を追加したり、ファームウェアの更新でバージョンが変わったりします——8ヶ月前のインベントリに基づくギャップアセスメントは、すでに存在しないネットワークを測定していることになります。
OTの可用性に合わせて調整せずにIT統制をそのまま流用すること。『重大なパッチ適用後は即座に再起動』はチェックリスト上では良さそうに聞こえますが、生産との調整なしに停止できない工場では、その統制は書類上のものであり、実際の実務ではありません。
成熟度を技術面だけで測り、プロセスと人を見ないこと。誰がルール変更を承認するのか明確でなかったり、インシデント対応手順が署名されて以来誰も読んでいない文書の中に眠っていたりすれば、うまく設定された産業用ファイアウォールもあまり役に立ちません。

この3つに共通するのは:技術だけを見るギャップアセスメントは、見栄えの良いスナップショットと誤った安心感を生み出すということです。プロセス、人、そして自分のデータの有効期限も見るギャップアセスメントこそが、実際にリスクを減らすものになります。