ライフサイエンス企業の54%が1年内にサイバー攻撃、Rockwellが「常時査察対応」を提言（2026年10月）

「査察準備は1つのプロジェクトだった」という前提を崩す報告書

2026年10月1日、Rockwell Automationは米ミルウォーキーで報告書「The New Operating Model for Life Sciences Manufacturing: Moving from Compliance to Continuous Readiness」を公開しました。直訳すれば「ライフサイエンス製造の新しい運営モデル──コンプライアンスから継続的な準備態勢へ」です。

主張の芯は、同社でライフサイエンス業界を統括するMatt Weaver氏（VP Global Industry – Life Sciences）のコメントに凝縮されています。規制当局への備えはかつて「立ち上げて取り組むプロジェクト」だったが、いまは「工場の動かし方に組み込まれた日々の規律」でなければならない、という趣旨です。同氏はさらに、データをつなぎ、システムを守り、AIの導入をバリデートしている企業が、規制当局や市場の次の動きに備えられる、と続けています。

ベンダーの報告書なので、結論が自社の製品領域（制御・MES・サイバーセキュリティ）に寄るのは割り引いて読む必要があります。それでも、回答の数字そのものはMESを運用する側にとって検討材料になります。とくに「データの使われ方」と「サイバー攻撃の経験」の2つは、EUで改訂が進むGMP Annex 11の論点と重なっています。

104名の回答を、全業種1,560名の数字と並べる

今回の数字は、Rockwellが2026年5月19日に公開した第11回「State of Smart Manufacturing」調査（Sapio Researchと実施、17カ国1,560名）のうち、ライフサイエンス分野の回答を切り出したものです。対象は16カ国のライフサイエンス製造業、OEM、システムインテグレーター、EPC（設計・調達・建設）企業の管理職・経営層104名です。

全業種の数字と並べると次のようになります。

出典：Rockwell Automation（2026年5月19日・10月1日の各発表）

集めたのに使えないデータは、査察の場でも使えない

「データの過半を使えている企業は32%」という数字を、査察対応の側から読み替えてみます。以下はサオスがGMP領域のMES導入で見てきた経験にもとづく整理で、報告書に書かれている内容ではありません。

使えないデータの典型は3つあります。1つ目は、時刻の基準がずれたデータです。設備のPLC、ヒストリアン、MES、LIMSがそれぞれ別の時計で記録していると、逸脱の前後関係を説明できません。2つ目は、文脈を持たないデータです。温度の時系列は残っていても、それがどのバッチのどの工程ステップの値なのかがMES側の実績と結びついていなければ、監査証跡としては弱い。3つ目は、監査証跡はあるがレビューされていないデータです。変更履歴をすべて取っていても、誰がいつ確認したのかが残っていなければ、ALCOA+の観点では「記録はあるが管理されていない」状態に見えます。

いずれも、査察の直前に人手で補えばその場はしのげます。報告書が「プロジェクト型」と呼んでいるのは、まさにこの補修作業を周期的に繰り返す運用だと読めます（ここは編集部の解釈です）。ALCOA+の各要素とMES機能の対応はデータインテグリティの記事で、変更履歴の設計は監査証跡の記事で詳しく扱っています。

54%という数字と、Annex 11改訂案のセキュリティ要求

サイバー攻撃の経験が54%という結果は、規制の動きと同じ方向を向いています。欧州委員会は2025年7月7日にEU GMP Annex 11（コンピュータ化システム）の改訂案、Chapter 4（文書化）の改訂案、AIを扱う新設Annex 22案を公開し、意見募集は2025年10月7日に締め切られました。改訂案は5ページから19ページへと拡充され、セキュリティ、アイデンティティ／アクセス管理、監査証跡が独立した論点として前面に出ています。

2026年10月4日時点で、欧州委員会の意見募集ページには最終版の採択に関する記載がありません。最終版の公表時期について公式の日付は確認できなかったため、本記事では書きません。一方、FDAは2025年9月24日にComputer Software Assurance（CSA）の最終ガイダンスを公示し、リスクに比例した検証を正式に認めています。EUは要求を増やし、FDAは検証の進め方を軽くする、という非対称はGxP MES規制の非対称を扱った記事で整理しました。

常時対応という考え方は、この非対称の両方に効きます。Annex 11改訂案が求めるアクセス権の定期レビューや監査証跡の確認は、もともと「年に一度まとめてやる」性質の作業ではありません。CSAのリスクベースの考え方も、日常の運用記録がそろっていてこそ、テストを絞る根拠として説明しやすくなります。

常時対応を、MESの日次・週次の仕事に落とす

報告書は方向性を示すにとどまり、MESの具体的な機能には踏み込んでいません。そこで、プロジェクト型と常時型の違いを、査察を受けるまでの時間軸で並べてみました。

図の常時型を回すには、MES側に次の性質が要ります。監査証跡を「全件出力」ではなく「レビューすべき例外だけ」を抽出して確認者に回せること。eBRで逸脱のないバッチを例外項目だけの確認で出荷判定に進められること（詳細はeBR・eDHRの記事）。そして、確認したという行為自体が電子署名つきで残ることです。3つ目が抜けると、確認作業は毎日しているのに、査察ではそれを証明できません。

製薬向けMES全体の要件や、バリデーション計画の立て方は医薬品製造のMES導入の記事にまとめています。全業種の調査結果の読み方はRockwell調査（2026年7月）の記事を参照してください。

よくある質問

この調査の回答者は製薬会社だけですか

いいえ。Rockwell Automationの発表によると、回答者は16カ国のライフサイエンス製造業に加え、OEM、システムインテグレーター、EPC企業の管理職・経営層104名です。製造業者のみの数字ではない点に注意が必要です。

EU GMP Annex 11の改訂版はもう発効していますか

2026年10月4日時点で、欧州委員会の意見募集ページに最終版採択の記載はありません。改訂案は2025年7月7日に公開され、意見募集は2025年10月7日に締め切られています。現行の2011年版が有効なまま、改訂案の方向性を先取りして準備している企業が多い段階です。

「常時対応」のために新しいMESが必要ですか

必ずしも必要ではありません。監査証跡の例外抽出、eBRの例外レビュー、確認行為の電子署名といった機能は、多くの製薬向けMESが備えています。不足しやすいのは機能よりも、日次・週次で誰が確認するかという運用の割り当てです。

この記事に出てくる用語

• 適正製造規範（GMP）Good Manufacturing Practice ／ 生产质量管理规范（GMP）
• プログラマブルロジックコントローラ（PLC）Programmable Logic Controller ／ 可编程逻辑控制器
• ヒストリアンProcess Historian (Data Historian) ／ 历史数据库（Historian）
• 検査室情報管理システム（LIMS）Laboratory Information Management System ／ 实验室信息管理系统
• 監査証跡Audit Trail ／ 审计追踪
• ALCOA+ALCOA+ (Data Integrity Principles) ／ ALCOA+（数据完整性原则）
• EU GMP Annex 11EU GMP Annex 11 (Computerised Systems) ／ 欧盟GMP附录11（计算机化系统）
• 米国食品医薬品局（FDA）U.S. Food and Drug Administration ／ 美国食品药品监督管理局（FDA）
• コンピュータソフトウェア保証（CSA）Computer Software Assurance ／ 计算机软件保证（CSA）
• 電子バッチ記録（eBR）Electronic Batch Record ／ 电子批记录
• 電子署名Electronic Signature ／ 电子签名
• 変更管理Change Control ／ 变更控制

MES用語集（日・英・中）をすべて見る

この特集について

規制がMESに求めるもの

FDA CSA、EU GMP Annex 22、DPP。規制の改訂はそのままMESの要件になる　全73本

1. GAMP 5とは？コンピュータ化システムを検証する業界標準ガイド
2. Tulipの10月6日発表を想定工場の1時間に置く──7つの新機能はどの場面に効くか
3. ISO 9001の要求事項をMESに写像する、品質マネジメント電子化の設計図
4. DPPの欧州規格8本が出そろう、MESが書くのは識別子・データキャリア・署名の3本（2026年9月）

特集の記事をすべて見る →

この記事を書いた人

株式会社サオス MESソリューション部

DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。

運営者情報　編集方針　株式会社サオスのサイト