産業用（OT）ネットワーク製品とIT製品の根本的な違いを、国際規格IEC 62443に基づき解説します 。最大の違いは「可用性」を最優先とする優先順位（CIAの逆転）にあり 、産業プロトコルの詳細解析（DPI）や低遅延なL2透過機能が求められます 。ハード面では、広域な動作温度や耐振動性など過酷な環境への耐性と、10年以上の長期運用が前提となります 。主要メーカーの比較に加え、IEC 62443-4-2が定めるセキュリティレベル（SL）や、仮想パッチ・バイパス機能といった実務的な選定ポイントについても詳しく解説しています。
産業用ネットワーク（OT: Operational Technology）とITネットワークでは、守るべき優先順位や環境条件が根本的に異なります。これらを整理する上で最も重要な国際規格は、産業用制御システムのセキュリティ規格である IEC 62443 シリーズです。
ITとOT（産業用）のデバイスにおける主な違いを、規格の観点から整理しました。
1. 優先順位の定義（CIAの逆転）
ITとOTでは、セキュリティの3要素（機密性・完全性・可用性）の優先順位が異なります。
要素ITネットワークOTネットワーク（産業用）可用性 (Availability)低〜中（再起動が許容される）最優先（止まると物理的な損害が出る）完全性 (Integrity)中（データの正確性）高（制御信号の改ざんは事故に直結）機密性 (Confidentiality)最優先（個人情報・機密保持）低〜中（通信内容より導通が重要）
2. 機能面の違い
産業用ルータやファイアウォールには、一般的なIT製品にはない特殊な機能が求められます。
産業プロトコルのディープパケットインスペクション (DPI)
IT用はHTTPやSMTPなどを解析しますが、産業用は EtherNet/IP、 Modbus/TCP、 PROFINET、 OPC UA などの産業用プロトコルを解析します。
- IT用:
「外部からの不正アクセスを止める」 - 産業用:
「読み取りは許可するが、制御（書き込み）コマンドは特定の端末からしか許可しない」といった詳細な制御を行います。
ゾーンニング（セグメンテーション）
IEC 62443-3-3 に基づき、ネットワークを「ゾーン」に分け、その境界に「コンジット（導管）」を設けて通信を制御します。産業用FWはこの境界を守るために最適化されています。
ステルス性・低遅延
産業用デバイスは、ネットワーク構成の変更を嫌います。そのため、IPアドレスを持たずに動作する L2透過型（透過モード）ファイアウォール として機能し、既存の通信に遅延（ジッター）を与えない性能が重視されます。
3. 環境・性能面の違い（ハードウェア）
産業用ルータは、オフィス環境ではなく工場や屋外などの過酷な環境に耐える必要があります。
項目IT製品産業用（OT）製品関連規格動作温度0°C 〜 40°C 程度-40°C 〜 +85°C など広域IEC 60068設置方法19インチラックDINレール取付-耐振動・衝撃低（動かさない前提）高（機械の振動に耐える）IEC 60068-2-6/27耐ノイズ (EMC)一般事務レベル強力な電磁ノイズに耐えるIEC 61000-6-2/4電源AC 100V/200VDC 12V/24V/48V（冗長入力）-冷却方法冷却ファン（消耗品）ファンレス（自然空冷）-
4. 関連する主な国際規格
製品選定や設計の指針となる規格です。
- IEC 62443:
産業オートメーションおよび制御システム（IACS）のセキュリティに関する包括的な規格。- 62443-4-1:
製品開発プロセスのセキュリティ要件。 - 62443-4-2:
コンポーネント（ルータ・FW等）自体が備えるべきセキュリティ機能要件。
- 62443-4-1:
- IEC 61850-3:
変電所などの電力インフラ環境における通信ネットワーク規格（極めて高いEMC耐性が求められる）。 - NIST SP 800-82:
製造業や重要インフラの制御システムセキュリティに関するガイドライン。
5. 運用の違い
産業用ルータは一度設置すると、10年〜15年の長期使用が前提となります。
- IT:
数年でリプレース、頻繁なOSアップデート。 - OT:
脆弱性パッチを当てるための「停止時間」が確保しにくいため、パッチ適用なしでも守れる「仮想パッチ（IPS機能）」や、長期供給・長期保守体制が製品選定の鍵となります。
主要な産業用ネットワーク機器の比較と、設計の根拠となる IEC 62443-4-2 のセキュリティレベル（SL）について詳しく解説します。
1. 主要な産業用ルータ・ファイアウォール製品比較
産業用ネットワーク市場でシェアの高い3社の代表的なモデルを比較します。
項目Cisco (Catalyst IEシリーズ)Moxa (EDR-G9010シリーズ)Fortinet (FortiGate Rugged)主な特徴IT/OT統合管理に強い。IOS搭載。現場への導入しやすさとコスト。強力なセキュリティ(UTM/DPI)機能。主な用途大規模工場、スマートシティ機械・装置（OEM）、太陽光発電重要インフラ、リモートアクセスDPI対応対応（SCADA/産業用プロトコル）対応（Modbus, EtherNet/IP等）強力（シグネチャ数が非常に多い）冗長化機能REP, MRP, HSR/PRPTurbo Ring, MRPFGCP (A-P冗長), バイパス機能耐環境性高（ファンレス、IP30）高（ファンレス、IP30）高（ファンレス、IP40）IEC 624434-1, 4-2 認証取得済み4-1, 4-2 認証取得済み4-1 認証取得（モデルによる）
2. IEC 62443-4-2 のセキュリティレベル (SL) 解説
IEC 62443-4-2 は、ネットワークコンポーネント（スイッチ、ルータ、FW）が備えるべき具体的なセキュリティ要件を定めています。ここで重要なのが、セキュリティレベル (SL: Security Level) という概念です。
セキュリティレベル (SL) の 4 段階
攻撃者の能力と意図に合わせて、4つのレベルが定義されています。
レベル対象とする脅威の性質具体的なイメージSL 1不注意、偶発的なミス操作ミスによる設定変更や誤接続の防止。SL 2低スキルな意図的攻撃一般的なハッキングツールを用いた単純な攻撃。SL 3高スキルな意図的攻撃産業システムに精通したハッカーによる標的型攻撃。SL 4国家レベルの攻撃高度な技術、莫大な資金力を持つ組織による攻撃。
機器に求められる 7 つの要件（FR: Foundational Requirements）
SLを高めるためには、以下の7つの領域（FR）で機能を実装する必要があります。
- 識別・認証制御 (IAC):
誰がアクセスしているか（多要素認証など）。 - 利用制御 (UC):
権限のない操作をさせない（ロールベースアクセス制御）。 - システム完全性 (SI):
改ざん検知、セキュリティブート。 - データの機密性 (DC):
通信の暗号化（VPN、 HTTPS）。 - 制限されたデータフロー (RDF):
ファイアウォールによるセグメンテーション。 - 事象へのタイムリーな応答 (TRE):
ログ出力、アラート通知。 - 資源の可用性 (RA):
DoS攻撃耐性、冗長化。
「SL-Cap（能力）」と「SL-Target（目標）」
製品が「SL 2」に対応していると言った場合、それは「SL 2までの対策を打つ能力（SL-Cap）がある」という意味です。実際にシステム全体としてSL 2を達成するには、正しく設定・運用する（SL-Target）必要があります。
3. 実務での製品選定ポイント
IEC 62443-4-2 を踏まえ、製品を選ぶ際のチェックリストです。
- 物理セキュリティ:
産業用FWは「リセットボタン」が無効化できるか、または鍵付きの盤内に収まる形状か。 - セキュリティブート:
機器のOSが改ざんされていないか起動時にチェックする機能があるか。 - 仮想パッチ:
工場のOS（Windows XP/7等）は更新できないことが多いため、FW側で脆弱性攻撃をブロックできるか（IPS機能）。 - バイパス機能:
万が一FWが故障した際、通信を「遮断」するか、リスクを承知で「素通し」するか。
さらに、具体的な製品要求仕様の違いについては、ICS研究所のオンデマンドビデオ講座のeICSジャーナル「産業ネットワーク製品とITネットワーク製品の違いについて」に詳細要求仕様解説が掲載されています。
