NTTセキュリティなど3社、工場設備を含む脆弱性管理で協業

ニュースの要点

ServiceNow Japan合同会社、NTTセキュリティホールディングス株式会社、株式会社クロスポイントソリューションは2026年10月26日、工場の制御設備やネット接続機器も対象とするセキュリティ分野の協業を発表しました。第一段階では、機器の把握と脆弱性の検出、対応順位の判断、修復を支援するサービスの具体化に取り組みます。ServiceNowの資産・リスク情報をつなぐ基盤と、NTTセキュリティ側の専門性、クロスポイントソリューションの構築・監視運用を組み合わせます。各社は、機器やリスクの情報が分散し、検知から対応までがつながりにくいことを背景に挙げています。2026年10月から検討を進め、2027年度に向けて監視拠点の運用も含むサービスを段階的に提供する予定です。料金や契約条件、導入顧客は発表していません。

ニュース出典: ServiceNow Japan「ServiceNow Japan、NTTセキュリティホールディングス、クロスポイントソリューションがIT／OT／IoT統合セキュリティ領域で3社協業を開始」（2026年10月26日）

補足出典: NTTセキュリティ側の同一協業発表 ／ クロスポイントソリューション側の同一協業発表

イノベーション総研の考察

3社が目指すのは、危険な機器を見つけて一覧にするだけのサービスではありません。設備の稼働に影響する対策を、誰が決め、誰が実行するかまでつながるかが、協業の事業価値を左右します。

工場を止められない事情を、対応順位へ反映できるか

一般的な業務端末と工場設備では、更新に伴う影響が異なります。設備のソフトウエアを修正するために生産を止める必要があるなら、危険度が高いと分かっても即座に実施できるとは限りません。今回、各社が資産の重要度や業務への影響に基づく順位付けを掲げたことは、この制約を考える上で注目できます。

OTは工場などの設備を制御する技術、IoTはネットワークに接続された機器を指します。対象が広がるほど、機器の弱点だけでなく、何を動かしている設備なのかという事業側の情報が必要になります。

工場向け脆弱性管理の価値は、危険度と設備を止める影響を一緒に判断できることです。

例えば同じ修正でも、予備機へ切り替えられる設備と、止めると一連の生産が止まる設備では実施手順が変わります。これは各社が実現済みと示した導入事例ではなく、サービス設計で確かめたい場面です。

基盤と専門家と運用人員は、別の不足を埋める

ServiceNowは、Armisによる機器の把握と、資産の構成情報を管理する台帳を関連付け、対策の実行や証跡管理を支える基盤を提供します。NTTセキュリティホールディングスは助言と構築支援の具体化を進め、将来は脅威の検知・対処を継続提供するサービスも目指します。

クロスポイントソリューションは、システム構築に加え、運用人員、24時間365日の監視、脆弱性対応支援、事故発生時の初動を担うとしています。これらは単に同じ製品を共同販売するだけでなく、基盤、判断の専門性、日々の実務を補い合う組み方と読めます。

3社の補完関係が成果になるには、検知した問題を次の担当者へ渡す条件が必要です。

NTT側は既に監視や対処の運用経験を持ちます。公式の事業概要でも、その継続的なサービスを確認できます。今回変わるのは、既存の専門性を資産・業務の情報基盤へ結び付ける範囲です。具体的な引き渡し手順や顧客との責任分界は、現時点で公表されていません。

一括窓口でも、設備変更の承認者は曖昧にしない

統合サービスは問い合わせ先をまとめられる一方、判断が3社と顧客の間を往復すれば、対応時間が長くなる可能性があります。とくに設備の停止や設定変更は、監視担当だけでは決められないことがあります。

新規事業として運用サービスを企画する担当者の方は、契約前に一件の問題を最後までたどることを提案します。発見者、危険度を判定する人、設備への影響を判断する人、変更を承認する人、実行する人を並べれば、担当が抜けた工程が分かります。

一括提供の契約では、修復を勧める責任と設備変更を承認する権限を分けて決めます。

その際、夜間に承認者へ連絡できない場合や、機器の提供元が修正を認めない場合も確認対象です。修正できない間に何を行うかまで決まって初めて、継続運用としての範囲が明確になります。これは今回の契約内容の推測ではなく、導入側の確認事項です。

提供開始後は、警告の件数より未対処の滞留を追う

サービスの具体化はこれからです。機器の発見数や検出した弱点の数が増えたことだけで、顧客のリスクが減ったとは判断できません。深刻な問題が承認待ちのまま残るなら、見えるようになっても対応の制約は解けていないからです。

試験導入では、重要な機器の把握漏れ、検知から対処方針の決定までの時間、承認待ちの件数を追うと、どこに人の作業が残るかを説明しやすくなります。監視の対象を増やす前に、対象設備の管理責任者と更新する時期を決めておく必要があります。

統合サービスの継続判断には、重要な問題が未対処で残る時間を使います。

反対に、管理対象が少なく、既存の設備保守と情報システム部門で対応できる企業なら、共通基盤の導入負担が便益を上回る可能性もあります。次に確認したいのは、初期導入費、既存保守との分担、実際の対応時間を示す顧客事例です。

まとめ

3社の協業は、工場設備を含む資産の把握から監視・対処へつなぐ計画です。重要なのは、サービスを一括で受けること自体より、事業への影響を踏まえて修復を決められることです。提供開始前に責任と承認の境界を確かめ、開始後は重大な問題の滞留時間で価値を判断します。

関連記事: 新規事業ニュースの提携・共同開発 ／ NTT、既存システムの設計書とコードの不整合を検出する技術を開発