ネットワーク分離とは、工場のネットワークを用途ごとの区画に分け、区画をまたぐ通信を必要な分だけに絞る設計のことです。装置が置かれた製造ネットワークと、事務所の業務ネットワークを直接つながないのが基本形で、半導体工場のOTセキュリティで最初に手を付ける対策になります。
狙いは、感染したときの被害範囲を閉じ込めることです。分離されていないネットワークでは、1台のパソコンに入ったマルウェアが工場中の装置へ広がります。区画を切っておけば、被害はその区画の中で止まります。製造装置は古いOSで動いているものが多く、装置そのものを守りきれないからこそ、周りのネットワークで守る発想が要ります。
実際の工場では、製造装置・搬送システム・計測系・装置メーカーの遠隔保守用の経路などを別々の区画にし、MESなど上位システムとの通信だけを通す形が多く取られます。設計の指針としてはIEC 62443の「ゾーンとコンジット」が参照されます。遠隔診断を使う場合も、常時つなぎっぱなしにせず必要なときだけ経路を開ける運用が一般的です。