制御ネットワークのDMZとは？OTと情報ネットワークを分離する考え方【基本情報技術者試験】

1. まず結論

制御ネットワーク（OT）と情報ネットワーク（IT）の間には、直接通信をできるだけ避けるためにDMZ（非武装地帯）を設けることがあります。

試験では、次のように考えると切り分けやすいです。

特に、情報ネットワークから更新ファイルを取得して制御ネットワークへ配布するパッチ管理サーバは、DMZに配置する代表例として考えやすい機器です。

制御ネットワークには、工場設備を直接動かす機器があります。

たとえば、

などです。

これらを情報ネットワークと直接つなぐと、情報系で発生したマルウェアや不正アクセスの影響が制御系まで届く可能性があります。

そこで、両者の間にDMZを置きます。

情報ネットワーク
       ↓
      DMZ
       ↓
制御ネットワーク

DMZは、情報系と制御系を直接つなぐのではなく、必要な通信だけを中継するための緩衝地帯と考えると分かりやすいです。

DMZは、信頼レベルの異なるネットワークの間に設ける中間領域です。

制御システムでは、情報ネットワークと制御ネットワークをできるだけ分離し、必要最小限の通信だけを許可することが重要です。

DMZに置く候補になるのは、情報ネットワークと制御ネットワークの両方との通信が必要な機器です。

たとえば、パッチ管理サーバなら次のような流れになります。

情報ネットワーク
↓ 更新ソフトを取得
DMZ上のパッチ管理サーバ
↓ 必要な更新を配布
制御ネットワーク

一方、センサーやコントローラのように制御そのものを担う機器は、原則として制御ネットワーク内に置きます。

温度、圧力、流量などを計測します。

制御ネットワーク内部で利用する機器なので、通常はDMZへ移す対象ではありません。

コントローラの状態監視や設定値の入力などに使います。

これも制御系の運用に直接関わるため、基本的には制御ネットワーク内に置きます。

センサーから得た値をもとに設備を制御します。

制御そのものを担当する機器なので、DMZではなく制御ネットワーク内に置くのが基本です。

情報ネットワークから更新ソフトウェアを取得し、制御ネットワーク内の機器へ配布する役割を持つ場合があります。

このように、情報系と制御系の間を橋渡しするため、DMZ配置の候補になります。

重要なのは、単に通信するかどうかではありません。

情報ネットワークとの通信が必要かを見ます。

制御ネットワーク内だけで通信するセンサーやコントローラは、DMZに置く必要はありません。

DMZは安全だから何でも置けばよい、というものではありません。

情報系と制御系の間で必要な通信を仲介する機器だけを配置し、許可する通信も必要最小限にします。

DMZに置くだけで安全になるわけではありません。

通信先や通信方向、ポート、認証、更新ファイルの正当性確認なども合わせて管理する必要があります。

試験では、

センサー・コントローラ・操作端末
→ 制御ネットワーク内

パッチ管理サーバなどの中継役
→ DMZ候補

と切り分けると判断しやすくなります。