数字から入る：MESを持つ企業の46%が、過去1年に何かを踏んでいる
Rockwell Automationが2026年7月28日に公開した調査「Scaling MES Across the Enterprise」（17か国・製造業の意思決定者1,560名、58%が年商10億ドル超）では、次の結果が出ています。
注目すべきは、46%という数字が「MESを持つ企業」を母集団としている点です。MESは工程を止められるシステムであり、止まったときの損失が明確なため、ランサムウェアの標的として合理的です。IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃で、3位には「AIの利用をめぐるサイバーリスク」が初めて入りました。詳しい調査の読み解きはMESユーザーの46%がサイバーインシデントを経験しているで扱っています。
MESが守りにくい理由は、置かれている場所にある
MESはISA-95のレベル3に位置し、上位のERP（レベル4）とも下位の制御層（レベル1〜2）とも通信します。この「両方につながっている」性質が、次の3つの構造的弱点を生みます。
- パッチが当てにくい — 制御系機器との互換性検証が必要で、かつ停止できる時間が年に数回しかない
- アカウントが共用されやすい — 現場端末で作業者ごとにログインさせる運用が徹底されず、班共通IDが残る
- 保守用の抜け道が残る — ベンダーのリモート保守経路、ラインエンジニアの持ち込みPC、設備メーカーの保守用ノートPC
3つ目は特に見落とされます。MES本体をどれだけ堅牢にしても、同じネットワークセグメントに未管理の保守用PCがつながっていれば、そこが侵入口になります。
IEC 62443：ゾーンとコンジットで区切る
OT／MES領域のセキュリティで実務標準になっているのが、ISA/IEC 62443シリーズです。産業用オートメーション・制御システム（IACS）を電子的に安全に運用するための要求事項とプロセスを定めた規格群で、対象は制御システムだけでなくビル設備、発電、医療機器、輸送、プロセス産業まで広がっています。
| パート | 対象 | MES導入で参照する場面 |
|---|---|---|
| 1-1 | 用語・概念・モデル | ゾーン、コンジット、セキュリティレベルの共通言語をつくる |
| 2-1 | 資産所有者のセキュリティプログラム要求 | 自社の運用ルール整備（アカウント、変更管理、監査） |
| 2-3 | パッチ管理のガイダンス | MESとOSのパッチ適用計画の根拠 |
| 2-4 | サービスプロバイダのセキュリティプログラム要求 | ベンダー・SIへの要求条件として使う |
| 3-2 | システム設計のためのセキュリティリスクアセスメント | ゾーン分割の設計根拠 |
| 3-3 | システムのセキュリティ要求とセキュリティレベル | RFPに書く技術要件の出典 |
| 4-1 / 4-2 | セキュア開発ライフサイクル／コンポーネントの技術要求 | 製品そのものの評価軸 |
このうち、発注者側が最初に使うべきは2-4と3-3です。「貴社は62443-2-4に準拠したサービス提供プロセスを持っていますか」「本システムはどのセキュリティレベル（SL）を想定した設計ですか」という2問は、ベンダーの成熟度を短時間で見分けます。
図で最も重要なのは、制御ゾーンをライン単位で分けている点です。1ラインが感染しても他ラインが生き残る構成にしておけば、被害は全停止ではなく部分停止で済みます。ゾーン分割はネットワーク工事を伴うため、MES導入時が最も安く実施できるタイミングです。
最初の90日で手をつける順序
すべてを同時にはできません。効果と実施コストの比で並べると、次の順になります。
- 資産の棚卸し — 製造ネットワークにつながっている機器の一覧をつくる。ここで必ず「知らないPC」が数台出てきます
- アカウントの個人化と権限の見直し — 班共通IDの廃止、退職者アカウントの削除、管理者権限の限定
- リモート保守経路の一本化 — ベンダーごとに散らばった接続方法を1つの踏み台に集約し、接続を記録する
- バックアップの世代管理とオフライン保管 — ランサムウェア対策として、ネットワークから切り離した世代を持つ（MESのバックアップとBCP）
- ゾーン分割の設計 — ここから先はネットワーク工事を伴うため、投資計画に載せる
規制側からの圧力も同時に来ている
セキュリティは「やったほうがよいこと」から「求められること」に変わりつつあります。
欧州委員会が2025年7月7日に公開したEU GMPガイドラインのAnnex 11（コンピュータ化システム）改訂案は、5ページから19ページへ大幅に拡充され、従来のバリデーション中心の構成から、セキュリティ／アイデンティティ・アクセス管理／監査証跡を重視する構成へ再編されました（ECA Academy）。医薬品・医療機器のMESを持つ企業にとっては、これがそのまま設計要件になります。
製造業一般では、EUのNIS2指令が製造業（医療機器、コンピュータ・電子製品、機械、自動車など）を「重要エンティティ」としてカバーし、リスク管理措置とインシデント報告を義務づけます。実装アプローチとしてIEC 62443との整合を取るのが実務標準になりつつあります（この点はNIS2とCyber Resilience Actで詳述）。
よくある質問
クラウド型MESとオンプレミス型MESでは、どちらが安全ですか？
一概には言えません。クラウド型はパッチ適用とインフラ運用がベンダー側で継続的に行われる利点があり、オンプレミス型は外部からの到達経路を絞れる利点があります。実際の事故は、どちらの方式かではなくアカウント管理と保守経路の統制で決まっているのが実感です。判断材料はクラウドMESとオンプレミスで整理しています。
IEC 62443の認証は取得すべきですか？
資産所有者（工場側）が認証取得を求められる場面は、現状では限定的です。優先度が高いのは、ベンダー・SIに62443-2-4準拠のプロセスを求めることと、導入する製品が62443-4-1／4-2に沿って開発されているかを確認することです。ただし、EU向けに機器を出荷している企業や、NIS2の対象となる企業は状況が変わります。自社が規制の対象かどうかを先に確定してください。
MESが停止したとき、生産を続けてよいのですか？
これは技術ではなく品質保証の判断です。規制産業では、MESが記録していた作業者資格の確認や工程内検査を紙で代替できるかを、あらかじめ手順書に定めておく必要があります。「止まったら考える」では、事後にトレーサビリティの穴として残ります。縮退運転の設計はMESのバックアップとBCPで扱っています。
