株式会社renue
AI導入・DXの悩みをプロに相談してみませんか？
AIやDXに関する悩みがありましたら、お気軽にrenueの無料相談をご利用ください。 renueのAI支援実績、コンサルティングの方針や進め方をご紹介します。
上場企業のIT-OT融合・産業制御セキュリティ部門のAI実装｜OTサイバー・改正サイバーセキュリティ基本法・IEC 62443対応の責任設計【2026年5月版】
上場企業のIT-OT融合・産業制御セキュリティ部門は、IT/OT Convergenceの本格化、IEC 62443（産業オートメーション・制御システムサイバーセキュリティ国際標準）/NIST SP 800-82（産業制御システムガイド）/Purdue Enterprise Reference Architectureの本格運用、改正サイバーセキュリティ基本法・改正経済安保推進法（特定重要物資・特定社会基盤事業者）対応、EU NIS2 Directive・EU Cyber Resilience Act（CRA）対応、AI/AIOps支援OT-SOC運用、Zero Trust with PKI、SBOM（Software Bill of Materials）厳格化、Secure-by-Design設計、生成AI/Agentic AIによる攻撃の高度化、製造業/重要インフラ（電気・ガス・石油・水道・輸送）の脅威対応で、過去最大級の意思決定難度に直面している。きっかけは三つある。第一に、IEC 62443がOTサイバーセキュリティの世界標準として定着し、経済産業省「工場セキュリティガイドライン」と連携、自動車工業会（JAMA）と自動車部品工業会（JAPIA）の「自動車産業サイバーセキュリティガイドライン」のようなサプライヤー数千社規模の自己評価チェックシート整備が広がる（参考: リョーサン菱洋テクラボ「工場（OT）向けセキュリティIEC62443とは？」、TÜV SÜD Japan「IEC62443とは？産業用制御システムに必要なセキュリティを解説」、PwC Japan「IEC 62443シリーズの概要と近年の動向」、TXOne Networks「重要インフラを守る！IEC 62443でICS/OTセキュリティ対策を強化」）。第二に、IT/OT Convergenceがアタックサーフェス拡大（air-gappedされていたICSがエンタープライズネットワーク・クラウド・サードパーティ統合に接続）を引き起こし、Unified SOC（IT/OTログ統合分析）、AI/AIOpsによる異常パターン検出、Purdue Modelに基づくZone/Conduit設計が標準業務化（参考: Industrial Cyber「Rethinking next-generation OT SOC as IT/OT convergence reshapes industrial cyber defense」、IoT Analytics「How AI & IT/OT convergence shift OT cybersecurity」、International Security Journal「IT/OT Security Convergence in 2026: Complete Enterprise Guide」、Industrial Cyber「2026 and beyond: Urgent need for integrated cybersecurity strategies」）。第三に、世界経済フォーラム（WEF）「Cybersecurity Outlook Report 2026」が指摘する通り、製造業が重要セクターのインシデントの多くを占め最も標的にされ続け、AI駆動型攻撃の脅威増大、Zero Trust/PKI、SBOM、Secure-by-Design、改正サイバーセキュリティ基本法・経済安保推進法・EU NIS2/CRA対応、TSAセキュリティディレクティブが経営課題化する一方、「IT-OT組織分断」「Purdue Modelの古さ」「OT-VPN/サードパーティ侵入」「SBOM運用」「OT-SOC人材scarcity」が新たな経営課題に（参考: IIoT World「Top 7 ICS/OT Cybersecurity Trends and Frameworks for 2026」、ITECS「Manufacturing Cybersecurity | OT and IT Guide 2026」、Palo Alto Networks「What Is IT/OT Convergence?」、BTNコンサルティング「製造業のOTセキュリティ入門｜IEC 62443・Purdueモデル・IT/OT統合の落とし穴」、Acronis「OT & ICS Cybersecurity Explained: From Factory Floors to the Power Grid」）。なお、海外規制を引用する際は、各国の制度・法体系（EU NIS2 Directive・EU CRA・米TSA Security Directive・米CISA・米NIST SP 800-82・中国国家ネットワーク安全等級保護制度等）と日本の改正サイバーセキュリティ基本法・改正経済安保推進法・改正電気事業法・改正ガス事業法・改正高圧ガス保安法・改正電気通信事業法・改正個人情報保護法・各業界別ガイドライン（経産省工場セキュリティガイドライン・JAMA/JAPIA自動車サイバーガイドライン等）等との違いを必ず確認のうえ適用する。
同時に、上場企業のIT-OT融合・産業制御セキュリティ部門は、CIO・CTO・CISO・OTセキュリティ責任者・経営企画・GC・データガバナンス・各事業部門・各工場・グループ会社・現地法人・SI・OTベンダー（PLC/SCADA/DCS/IIoT）・ITベンダー（クラウド/EDR/SIEM/SOAR）・OT-SOCベンダー・サプライヤー・経済安保所管庁・経済産業省・JPCERT/CC・IPA・JNSAと横串で連携し、有価証券報告書・統合報告書・サイバーセキュリティ報告書・適時開示・四半期報告・基幹インフラ事業者報告での説明責任も担う。AI実装の主たる目的は、OTセキュリティ強化だけではなく、「IT-OT統合・産業制御セキュリティ・OTインシデント対応・サプライチェーン・規制対応を一気通貫で運営する基盤」を構築することである。
本稿は、上場企業のIT-OT融合・産業制御セキュリティ部門がAI実装を進める際の論点を、renueが標準形として提示してきた「5領域責任設計フレーム＋3層ガバナンス＋90日PoC」に加え、renue自身が社内（半導体製造データ分析プラットフォーム実装、製造業向け提案書作成支援AIシステム、ロジスティクス（注文管理・配送）データ可視化、Data Analytics Agent運用、エンタープライズ向けAIアプリ運用障害・インシデント・サイバー含むフロー整備の社内議論、製造業/OEM企業との協業実体験、グローバル製造業向けの該非判定/輸出書類AI提案）で蓄積した実装知見を抽象化して反映する。
背景：なぜ今がIT-OT融合・産業制御セキュリティAI実装の転換点なのか
近年、上場企業のIT-OT融合・産業制御セキュリティ部門を取り巻く環境は次の4方向で同時に変質している。
(1) IT/OT Convergence本格化とアタックサーフェス拡大。OT環境がIT環境・日次業務オペレーションへ接続度を高め、OTデータのビジネスアプリ消費、セキュアなリモートアクセス・制御、IT/OT横断イベント監視のニーズが拡大。一方で、従来エアギャップだった産業制御システム（ICS）がエンタープライズネットワーク・クラウドプラットフォーム・サードパーティ統合に接続され、アタックサーフェスが指数関数的に拡大している。
(2) IEC 62443・NIST SP 800-82・Purdue Modelの本格運用。ICSサイバーセキュリティ戦略の主要4フレームワーク（IEC 62443・NIST SP 800-82・EU NIS2 Directive・米TSA Security Directive）が経営アジェンダ化。ISA/IEC 62443・NIST SP 800-82・Purdue Enterprise Reference Architectureいずれも「ネットワークをZoneに分割し各Zoneに別個のセキュリティ要件・Conduits（通信パス）の厳格制御」という共通原則。OT-CSIRT、Unified SOC（IT/OTログ統合）、Zero Trust/PKI、SBOM厳格化、Secure-by-Design設計が標準業務化している。
(3) AI/AIOpsによるOT-SOC高度化と生成AI攻撃の脅威増大。AI/AIOpsによるOTログ異常パターン検出（手動監視より高速）、Unified SOC（IT/OTログ統合分析）、AI支援根本原因分析、自律修復推奨が標準業務化。一方、生成AI/Agentic AIによる攻撃ツール化（自動マルウェア生成・自動脆弱性スキャン・自動ソーシャルエンジニアリング）、サプライチェーン攻撃、ランサムウェア（製造業を最も標的化）、AI駆動型攻撃が脅威増大している。
(4) 改正サイバーセキュリティ基本法・経済安保推進法・EU NIS2/CRA対応の同時運用。日本の改正サイバーセキュリティ基本法（基幹インフラ事業者報告義務）・改正経済安保推進法（特定重要物資・特定社会基盤事業者・先端的重要技術）対応、EU NIS2 Directive（重要・重要事業者の報告義務）、EU Cyber Resilience Act（CRA）（製品サイバーセキュリティ要件・全世界年商規模の高額制裁金）、米TSA Security Directive、改正電気事業法・改正ガス事業法・改正高圧ガス保安法、業界別ガイドライン（経産省工場セキュリティガイドライン・JAMA/JAPIA自動車サイバーガイドライン）への同時対応が必須となっている。中国市場でも産業ロボットメーカーがIEC 62443 ML2認証取得を進めるなどグローバルでICS/OT認証の動きが拡大している（参考: 爱云资讯「仙工智能IEC 62443 ML2工业网络安全项目启动会」）。
これら4つの圧力は独立ではなく、「IT/OT Convergence×IEC 62443/NIST SP 800-82×AI/AIOps×NIS2/CRA」という複合形で押し寄せている。「工場のセキュリティは現場任せ」「ITセキュリティとOTセキュリティが別組織」のままでは、上場企業のオペレーション継続性と社会的信頼を維持できない。
業務マトリクス：IT-OT融合・産業制御セキュリティ部門のAI実装対象と責任レベル
renueでは、IT-OT融合・産業制御セキュリティ部門の主要業務を「自動化適合度」と「責任の重さ」で整理し、L1（Auto／AI自律実行）／L2（Co-pilot／AI下書き＋人間承認）／L3（Recommend／AIは推奨のみ）／L4（人間決裁必須）の4レベルで分類する。
L1（Auto）：定型・低リスクの大量処理
- OTネットワーク自動可視化（Zone/Conduit/ICS資産インベントリ）
- OTログ異常パターン自動検出（AI/AIOps）・Unified SOC統合
- SBOM自動収集・脆弱性自動スキャン・パッチマネジメント
- OT-VPN/リモートアクセス監視・特権アカウント自動監査
- サプライヤーセキュリティ自己評価自動配信・回収
L2（Co-pilot）：人間レビュー必須の業務
- IEC 62443/NIST SP 800-82/Purdue Model適合計画ドラフト
- OT-CSIRT/インシデント対応プレイブック・有事訓練計画ドラフト
- サプライチェーン・サードパーティリスク評価・契約条項ドラフト
- 改正サイバーセキュリティ基本法・経済安保届出ドラフト
- EU NIS2/CRA・TSA Security Directive適合性評価ドラフト
L3（Recommend）：AIは推奨止まり、最終判断は人間
- OTセキュリティ戦略・Zone/Conduit設計戦略
- OT-SOC組織体制（独立/IT統合/MSSP活用）戦略
- OTベンダー（PLC/SCADA/DCS/IIoT）/ITベンダー（クラウド/EDR/SIEM/SOAR）選定戦略
- Zero Trust/PKI/SBOM/Secure-by-Design全社展開戦略
L4（人間決裁必須）：法的責任・経営判断領域
- OT重大インシデント・サイバー有事・ランサム攻撃対応の最終承認
- 有事広報・経営トップメッセージ・適時開示判断
- 基幹インフラ事業者報告（改正サイバーセキュリティ基本法）の最終承認
- 経済安保推進法届出・特定重要物資/基幹インフラ事業者対応
- EU NIS2/CRA違反疑義への対応・サプライチェーン責任
- 有価証券報告書・統合報告書での重大OTサイバーリスク開示
- 規制当局照会・行政指導・経済産業省・経済安保所管庁・JPCERT/CC・IPA対応
このL1〜L4は固定ではなく、AI精度・社内データ蓄積・規制環境に応じて毎四半期見直す。特に「AIが見落としたOT脆弱性で工場停止」「AIが推奨した自律修復で安全装置誤作動」「AIが見落としたサプライヤー侵入」場合、AIへの委任が経営者の善管注意義務に照らして妥当か、説明責任を果たすための監査ログ設計が決定的に重要になる。
5領域責任設計フレーム：IT-OT融合・産業制御セキュリティAIの責任分掌
renueの「5領域責任設計フレーム」をIT-OT融合・産業制御セキュリティ部門に適用すると次のようになる。各領域について「責任主体」「KPI」「AI介入範囲」「監査ログ保管」を明示する。
領域①：IT-OT統合・OTネットワーク可視化責任
IT-OT統合戦略、OTネットワーク可視化、ICS資産インベントリ、Zone/Conduit設計、Purdue Model適用、Unified SOC（IT/OT統合分析）を統括する。AIはOTネットワーク自動可視化、ICS資産自動インベントリ、Zone/Conduit違反自動検出を担うが、IT-OT統合戦略改定・大型ネットワーク再設計はL3でCIO・CTO・CISO・OTセキュリティ責任者で決裁する。責任主体はCIO＋CTO＋CISO＋OTセキュリティ責任者の共同。KPIはOT資産網羅率、Zone/Conduit適合率、Unified SOC統合率、IT-OT組織連携度、可視化適時性。監査ログは長期間保管し、内部監査・第三者監査・基幹インフラ事業者報告・規制当局照会時の参照に備える。
領域②：産業制御セキュリティ・IEC 62443・NIST SP 800-82・Purdue Model責任
IEC 62443（産業オートメーション・制御システムサイバーセキュリティ）、NIST SP 800-82（産業制御システムガイド）、Purdue Enterprise Reference Architecture、ISA Security Compliance Institute（ISCI）認証、Zero Trust/PKI、Secure-by-Design、SBOM運用を統括する。AIはIEC 62443適合性自動チェック、NIST SP 800-82適合性チェック、Zero Trust運用、SBOM自動収集を担うが、IEC 62443認証取得・大型Secure-by-Design改定・全社Zero Trust展開はL3〜L4でCISO・OTセキュリティ責任者・経営陣で決裁する。責任主体はCISO＋OTセキュリティ責任者＋プロダクト責任者＋OTベンダーの共同。KPIはIEC 62443適合率、NIST SP 800-82適合率、Zero Trust適用率、SBOM網羅率、Secure-by-Design適合率、ISA Security Compliance Institute認証取得率。
領域③：OTインシデント対応・OT-CSIRT・有事対応責任
OT-CSIRT（Computer Security Incident Response Team for OT）、OTインシデント対応プレイブック、Major Incident Management、有事訓練、フォレンジック、ランサム攻撃対応、生成AI攻撃対応を統括する。AIはOTログ異常検出、初動トリアージ、影響範囲特定、関係者自動通知、過去事例参照を担うが、重大インシデント・ランサム攻撃対応・有事広報・適時開示はL4で経営陣・CIO・CTO・CISO・OTセキュリティ責任者・GC・広報責任者で決裁する。責任主体は経営陣＋CIO＋CTO＋CISO＋OTセキュリティ責任者＋GCの共同。KPIはMTTR（OT特化）、重大インシデントゼロ件、ランサム攻撃復旧時間、有事訓練適合率、フォレンジック完全性、関係者通知適時性。
領域④：サプライチェーン・サードパーティ・PSIRT・OT-VPN管理責任
サプライチェーンセキュリティ、サードパーティリスク管理、PSIRT（Product Security Incident Response Team）、OT-VPN/リモートアクセス管理、特権アカウント管理、SBOM運用、JAMA/JAPIA自動車サイバーガイドラインのようなサプライヤー数千社規模の自己評価対応を統括する。AIはサプライヤー自己評価自動配信・回収、SBOM自動収集、OT-VPN/特権アカウント自動監査を担うが、サプライヤー切替・大型契約条項改定・サプライチェーン侵入対応はL3〜L4でCISO・OTセキュリティ責任者・調達責任者・GCで決裁する。責任主体はCISO＋OTセキュリティ責任者＋調達責任者＋GC＋サプライヤーの共同。KPIはサプライヤーセキュリティ評価適合率、SBOM網羅率、OT-VPNインシデントゼロ件、特権アカウント不正使用ゼロ件、サプライチェーン侵入対応適時性。
領域⑤：改正サイバーセキュリティ基本法・経済安保推進法・基幹インフラ事業者対応責任
改正サイバーセキュリティ基本法（基幹インフラ事業者報告義務）、改正経済安保推進法（特定重要物資・特定社会基盤事業者・先端的重要技術）、改正電気事業法・改正ガス事業法・改正高圧ガス保安法、EU NIS2 Directive、EU Cyber Resilience Act（CRA）、米TSA Security Directive、業界別ガイドライン（経産省工場セキュリティガイドライン・JAMA/JAPIA自動車サイバーガイドライン）対応を統括する。AIは規制改正自動モニタリング、適合性自動チェック、基幹インフラ事業者報告ドラフト、経済安保届出ドラフトを担うが、規制違反疑義対応・自主届出・規制当局照会対応はL4でGC・CISO・OTセキュリティ責任者・経営陣・外部弁護士で決裁する。責任主体はGC＋CISO＋OTセキュリティ責任者＋経済安保責任者＋経営陣の共同。KPIは改正法対応の遅延ゼロ件、基幹インフラ事業者報告適時性、経済安保届出適時性、EU NIS2/CRA適合率、TSA Security Directive適合率、規制当局照会への期限内回答率。
5領域それぞれで「AI推奨を人間が承認する手続き」「承認ログの保管期間」「逸脱時のエスカレーション先」を文書化する。IT-OT融合・産業制御セキュリティ関連の判断ログは、内部監査・第三者監査・基幹インフラ事業者報告・経済産業省立入検査・JPCERT/CC連携・第三者委員会調査・株主代表訴訟時に必ず参照されるため、保管期間と改ざん防止設計は最重要事項である。
3層ガバナンス観点：取締役会・責任者・現場の役割分担
IT-OT融合・産業制御セキュリティAIガバナンスは、「取締役会（監査役会・監査等委員会含む）」「責任者層」「現場（OTセキュリティ担当・工場・SI・OTベンダー・ITベンダー・OT-SOCベンダー）」の3層で設計する。
取締役会レベルでは、(a) IT-OTセキュリティ戦略がCG戦略・サイバーセキュリティ戦略・経済安保戦略・サステナビリティ戦略と整合しているか、(b) 改正サイバーセキュリティ基本法・改正経済安保推進法・EU NIS2/CRA・米TSA Security Directive対応の進捗、(c) AI判定がIT-OTセキュリティ意思決定の根拠として善管注意義務を満たすか、(d) 重大リスク（OT重大インシデント・ランサム攻撃・サプライチェーン侵入・基幹インフラ事業者違反）の管理状況、を四半期ごとに確認する。監査役会・監査等委員会との連携必須。
責任者レベルでは、各5領域のKPI達成、AIモデルの誤判定率、L4案件の発生件数とその処理時間、SI・OTベンダー・ITベンダー・OT-SOCベンダー・サプライヤーの対応状況を月次でモニタリングする。CIO・CTO・CISO・OTセキュリティ責任者・経済安保責任者・GC・サプライチェーン責任者と毎月連携し、IT-OT統合・IEC 62443・OT-CSIRT・規制対応の4軸でレビューする。
現場レベルでは、OTセキュリティ担当・工場担当・SI・OTベンダー・ITベンダー・OT-SOCベンダー・サプライヤーが、AI推奨の活用、Zone/Conduit運用、SBOM管理、OT-VPN管理、緊急報告を担う。「AIが推奨したから」「ベンダー任せだから」という曖昧な責任所在を排除し、最終判断と理由付けを必ず人間が記録する。SI・OTベンダー・ITベンダー・OT-SOCベンダー・サプライヤー契約書で「AI判定ログの提供義務」「重大事象の即時報告義務」「機密保持義務」「IEC 62443遵守義務」「Secure-by-Design遵守義務」「SBOM提供義務」を明示する。
落とし穴：上場企業のIT-OT融合・産業制御セキュリティAI実装で頻発する5つの失敗パターン
失敗1：AI自律修復による安全装置誤作動・工場停止連鎖。AI/AIOpsによる自動再起動・自動ロールバック・自動隔離は便利だが、安全装置（PLC・SIS・FA装置）誤作動・連鎖工場停止・人身事故のリスクが構造的に存在する。AI自律修復の対象範囲を明確に制限し、人間（OTセキュリティ責任者・工場長）の最終承認、Blast Radius制限、安全装置除外、二次影響シミュレーションを組み合わせる設計が必須。
失敗2：IT-OT組織分断・Purdue Modelの古さで監視盲点。IT組織とOT組織が別組織で連携が機能しない、Purdue Modelが古いままZero Trust/Cloud時代に対応できない、Unified SOC（IT/OTログ統合分析）の不在は、監視盲点・侵入早期検出失敗のリスクを生む。組織統合（Unified Security組織）、Purdue Model現代化、Unified SOC構築、AI/AIOpsログ統合分析が必須。
失敗3：サプライチェーン侵入・サプライヤーセキュリティ評価不足。サプライヤー（PLC/SCADA/DCSベンダー、OEM部品供給者、ソフトウェアサプライヤー）経由での侵入、SBOM運用不在、JAMA/JAPIA自動車サイバーガイドラインのような数千社規模のサプライヤー自己評価未対応は、ランサム連鎖・データ漏洩・基幹インフラ事業者報告事案のリスク。サプライヤー自己評価、SBOM自動収集、契約条項整備、PSIRT連携、第三者監査が必須。
失敗4：基幹インフラ事業者報告・経済安保推進法対応の遅延。改正サイバーセキュリティ基本法（基幹インフラ事業者報告義務）、改正経済安保推進法（特定重要物資・特定社会基盤事業者・先端的重要技術）、EU NIS2/CRA、米TSA Security Directive対応の遅延は、規制違反・行政指導・大規模制裁金（特にEU CRA）・上場維持影響のリスク。GC・CISO・OTセキュリティ責任者・経済安保責任者の連携、規制改正自動モニタリング、報告フロー整備、経営陣エスカレーションが必須。
失敗5：生成AI攻撃の高度化と防御のラグ。生成AI/Agentic AIによる攻撃ツール化（自動マルウェア生成・自動脆弱性スキャン・自動ソーシャルエンジニアリング・ディープフェイク）が脅威増大。製造業が最も標的化される傾向がWEF Cybersecurity Outlook Report等で指摘され、Zero Trust/PKI、SBOM厳格化、Secure-by-Design、AI支援OT-SOC、有事訓練、サイバー演習（レッドチーム/パープルチーム）の継続的アップデートが必須。
AI化されにくい領域：人間が引き受け続けるべき責任
第一に、OT重大インシデント・サイバー有事・ランサム攻撃・基幹インフラ事業者報告の最終承認。経営陣・CIO・CTO・CISO・OTセキュリティ責任者・GC・取締役会の責任領域。AI支援を活用しつつ、最終判断は人間が下す。
第二に、規制当局・経済産業省・経済安保所管庁・JPCERT/CC・IPA・各国規制当局との対話。改正サイバーセキュリティ基本法・改正経済安保推進法・EU NIS2/CRA・米TSA Security Directive対応、行政指導、規制当局照会対応は、人間（GC・CISO・OTセキュリティ責任者・経営陣・外部弁護士）が責任を持って担う。
第三に、OTベンダー（PLC/SCADA/DCS/IIoT）・サプライヤー・OT-SOCベンダーとの関係構築。長期パートナーシップ、契約交渉、SBOM・PSIRT連携、Secure-by-Design要件、サプライチェーン透明性は、人間（OTセキュリティ責任者・調達責任者・経営陣）の責任領域。
第四に、クライシス時の対応（OT重大インシデント、ランサム攻撃、サプライチェーン侵入、基幹インフラ事業者違反、規制違反、第三者委員会調査）。経営トップ・CIO・CTO・CISO・OTセキュリティ責任者・GC・広報責任者が前面に立ち、株主・社会・規制当局・サプライヤー・取引先に説明する責任は人間が負う。
まとめ：90日PoCで検証する、上場企業のIT-OT融合・産業制御セキュリティAI
renueが上場企業のIT-OT融合・産業制御セキュリティ部門向けに推奨する「90日PoC設計」は次の通り。
Day 0–30：現状診断と責任設計。OTネットワーク構成・ICS資産インベントリ・Zone/Conduit設計・IEC 62443/NIST SP 800-82/Purdue Model適合状況・OT-CSIRT/有事対応プレイブック・サプライヤーセキュリティ評価状況・SBOM運用・OT-VPN/特権アカウント管理・改正サイバーセキュリティ基本法/経済安保推進法/EU NIS2/CRA対応状況を棚卸し、5領域責任設計フレームに沿って「現状の責任主体・KPI・改善余地」をマッピングする。AIエージェント導入候補業務をL1〜L4で分類し、最初の対象を3〜5つに絞る。並行して改正サイバーセキュリティ基本法・改正経済安保推進法・改正電気事業法・改正ガス事業法・改正高圧ガス保安法・改正電気通信事業法・改正個人情報保護法・各業界別ガイドライン・各国規則（EU NIS2・EU CRA・米TSA・米NIST SP 800-82・中国国家ネットワーク安全等級保護制度等）に照らしたリスクアセスメントを実施する。
Day 31–60：限定スコープでのPoC実装。1〜2工場・1〜2ICSセグメントを対象に、OTネットワーク自動可視化、OTログ異常パターン自動検出、Unified SOC統合、SBOM自動収集、サプライヤー自己評価自動配信、IEC 62443適合性自動チェックなど、影響範囲が限定的で工場稼働/規制リスクが管理可能な業務でAIエージェントを試験運用する。並行して取締役会・監査役会・リスク委員会向けの中間報告書を準備する。
Day 61–90：効果測定と本格化判断。OT資産網羅率、IEC 62443適合率、SBOM網羅率、OT-MTTR、サプライヤー評価適合率、L4案件発生件数の変化を定量化する。同時に、本格展開に伴う組織変更（OT-CISO/OTセキュリティAI責任者の専任化、CIO・CTO・CISO・GC・経済安保・サプライチェーンとの連携体制、教育プログラム、SI・OTベンダー・ITベンダー・OT-SOCベンダー・サプライヤー契約見直し）の必要性を整理し、取締役会で「次年度本格導入の是非」を上程する。
renueは上場企業向けに「AI導入の責任設計コンサルティング」「ベンダー中立のPoC伴走」「経営会議・取締役会向け説明資料作成」を提供している。IT-OT融合・産業制御セキュリティ部門のAI実装は、技術導入ではなく経営課題・遵法課題・オペレーション継続性課題として扱うべきテーマである。「何をどこまでAIに委ね、人間がどこまで責任を持つか」という問いに、IT/OT Convergence・IEC 62443/NIST SP 800-82・AI/AIOps・NIS2/CRAの文脈で正面から答える設計が、上場企業のオペレーション継続性と社会的信頼にとって不可欠である。
renueの上場企業向けAI実装支援
IT-OT融合・産業制御セキュリティ部門のAI実装は、IT-OT統合・産業制御セキュリティ・OTインシデント対応・サプライチェーン・規制対応を一気通貫で設計する必要があります。renueは、ベンダー中立の立場で「5領域責任設計フレーム＋3層ガバナンス＋90日PoC」を上場企業向けに提供しています。
まずは現状の業務マトリクスと責任分掌を可視化するワークショップから始めませんか。経営会議・取締役会向けの説明資料作成までを伴走します。