研究・分析 / RESEARCH / OT SECURITY
OTセキュリティの成熟度、最高評価の割合が49%から17%に低下 — 可視化の進展で厳しい自己評価に、Fortinet 2026年報告
Fortinetは2026年8月31日、700人超のOT専門家への世界調査に基づく「2026年 OTサイバーセキュリティに関する現状レポート」を公開した。成熟度の自己評価は前年より大幅に厳しくなり、最高評価は49%から17%に低下した。一方で侵入の報告は47%から71%に増加し、規制強化を見込む回答は66%から89%に上昇した。
Fortinetは2026年8月31日、700人以上のOT（オペレーショナルテクノロジー）専門家を対象とした世界規模の調査に基づく「2026年 OTサイバーセキュリティに関する現状レポート」を公開した。工場や重要インフラの制御系を狙う脅威が拡大する中、組織の防御の成熟度と課題を定点観測する年次調査だ。今回の結果は、防御の前進と自己評価の厳格化という2つの動きが同時に進んでいることを示した。
最高評価は49%から17%へ — 後退ではなく是正
最も目を引く変化は、組織による成熟度の自己評価が大きく厳しくなったことだ。最も高度な段階とされるレベル4を選んだ回答者は、2025年の49%から2026年には17%へと大幅に減少した。逆に初期段階のレベル0は1%から5%へ、レベル1は5%から17%へ、レベル2は13%から27%へとそれぞれ増加した。
Fortinetはこれを後退ではなく是正と位置づけている。IT・OT両チームへの投資と道具の導入で可視性が向上し、これまで見つからなかった防御の穴が見えるようになった結果だという。成熟度の向上は、リスクの誠実な評価から始まるというのが報告の見立てだ。
侵入の報告は47%から71%へ増加、同時侵害は減少
侵入の報告にも変化があった。1〜9件の侵入を報告した回答者は前年の47%から71%へ増加した一方、10件以上の侵入を報告した組織は2%で横ばいだった。Fortinetは、攻撃が一律に増えたというより、状況把握が進んだ組織が増えた結果と考察している。可視性が限られる環境では「検知されていない」をうのみにできないため、検知能力の向上は当初、報告件数を押し上げるという。
好ましい兆候もある。ITとOTの両方の仕組みが侵入を受けたと答えた回答者は、2025年の60%から24%へと急減し、2022年以降で最少となった。IT環境とOT環境の分離（セグメンテーション）が強化され、攻撃の拡大が抑えられているためとみられる。とはいえ侵入方法の最多は**フィッシング（76%）**で、ランサムウェアも50%（2025年の54%からわずかに減少）と依然中心的な課題にとどまっている。
規制強化を見込む回答は66%から89%へ
規制への備えも加速している。今後5年以内の規制強化を見込む回答者は2025年の66%から89%へ大幅に増加し、新規制の導入時期を「2〜5年以内」とみる回答者も20ポイント増えた。規制は将来的な検討事項ではなく、差し迫った運用上の現実になりつつあると報告は指摘する。
関連する基盤の動きとして、OT環境を完全に可視化できている回答者は5%から14%へ増加した一方、環境の半分ほどしか可視化できていない回答者も約23%残る。制御系（ICS）の経年が5年以下と答えた回答者は20%から40%へ倍増し、近代化が進んでいる。成功指標の首位には「コストの削減・回避」が立ち、投資の正当化を迫られるOT責任者の姿も浮かぶ。
Fortinetが示す5つの推奨策
報告の末尾でFortinetは、OTセキュリティを改善する5つの実践策を推奨している。(1) IT・OT網の分離と微細分離で攻撃の横展開を抑える、(2) ベンダーや第三者の支援には安全な遠隔接続を使う、(3) OTをセキュリティ運用と対応計画に組み込み生産・安全の要件を無視しない、(4) OTに特化した脅威情報に投資する、(5) 運用の簡素化と可視化・一元管理のため基盤（プラットフォーム）方式を検討する、の5点だ。OTの防御は単独の道具や孤立した部門では解決できず、人・手順・技術をITとOTの両環境で結ぶ統合型の進め方が必要だというのが共通の原則だとしている。
なお本報告はベンダーによる世界調査であり、日本単独の数値ではない。製造業の比率が高い日本では、重要インフラや工場の制御系を抱える組織にとって、可視化の底上げと規制対応の前倒しが共通の宿題になる。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。