OTセキュリティを巡るエネルギー業界の法改正とは、変わる事業者の事故対応：産業制御システムのセキュリティ（2/2 ページ）

フォーティネットジャパンはエネルギー業界に関するOTセキュリティ関連法改正などの概要について説明会を開催した。

[長沢正博，MONOist]

サイバーインシデントに対してIPAは何を調査するのか

　対象となる事業者は高圧ガス保安法では第一種製造事業者、電気事業法では一般送配電事業者／発電事業者、ガス事業法では一般ガス導管事業者／ガス製造事業者であれば、認定高度保安実施事業者に限らず調査対象となる可能性がある。事業者はインシデント対応が生じると、それを経済産業省に報告。経済産業省はIPAに対して調査要請をする。

「例えば、何らかの爆発事故が起きて、その原因としてサイバー攻撃の“疑い”があり、その必要性があれば、経済産業大臣がIPAに調査を要請できるようになっている。その過程で事業者の意思は入らない。国が必要と判断すれば調査が進んでいき、事業者は原因などを究明して調査報告をしなければならない」（佐々木氏）

サイバー事故原因究明に際して行う書面調査と現地調査の概要［クリックで拡大］出所：フォーティネットジャパン

　IPAは事業者が提出した「インシデント調査報告書」の内容を確認する書面調査を行い、原因の究明が十分ではなかった場合にはログの収集および解析などの現地調査を実施する。

　越島氏は「米国化学工学会（AIChE）のプロセス安全の部会が2023年頃に出した書籍の内容が、セキュリティとセーフティ（安全）を同時に考えるというものだった。それまで“セーフティだけでも大変なのに、セキュリティまで手が回らない”という状況だったのが、それをやらざるを得ない事態になったということだ。そういう時代になってしまったということを、そろそろセーフティ側の方たちも考えていただく必要がある」と語る。

　日本では産業サイバーセキュリティセンターが2017年に設立され、各業界のシステムを想定した模擬システムなどを使用して約1年間に及ぶ中核人材育成プログラムなどが行われている。

　講師として同プログラムにも携わってきた越島氏は「2012年に技術研究組合制御システムセキュリティセンター（CSSC）が立ち上がった時は、時代としてまだ危機感が薄く、プラント企業にはなかなか入っていただけなかった。産業サイバーセキュリティセンター立ち上げ時は初年度から約80人が受講した。重要インフラを担う企業からはほとんど参加している状況だ」と手応えを語る。

「サイバーセキュリティがフィジカル空間とつながることによってリスクが多様化していおり、マルチドメインの知識が必要になっている。一般的に言われているセキュリティ人材も不足しているが、セキュリティだけに詳しい人がいてもあまり役に立たないという二段階の問題がある」（佐々木氏）

　さらに越島氏は製造業におけるサイバーセキュリティのリスクに対して、「今、問題になっているのはサプライチェーンへの攻撃だ。これがなぜ有効かというと、日本の製造業では中間在庫をほとんど持たなくなっているため、どこかで部品供給が止まれば全て止まってしまう、レジリエンシーが低い産業構造になっている。セキュリティもセーフティも取り組んだからといって利益が生まれるものではないが、それをやらなければ工場として認められない時代になっているのではないか」と指摘する。

OTセキュリティの要点［クリックで拡大］出所：フォーティネットジャパン

⇒その他の「産業制御システムのセキュリティ」の記事はこちら