2022年6月24日

皆さんこんにちは。NEC サイバーセキュリティ戦略統括部 セキュリティ技術センターのU松(ハンドルネーム)です。今回は重要インフラに求められる情報セキュリティ(※1)について考えていきたいと思います。
ランサムウェアや安全保障上の脅威の増大を受け、重要インフラ防護への関心が高まっています。海外では昨年にアメリカの石油パイプライン大手 コロニアル・パイプラインがランサムウェアの被害を受け一時供給を停止しました。また、最近ではコスタリカ共和国がランサムウェアの被害を受け、大統領府が緊急事態宣言を発動する事態になっています。日本でも病院などがランサムウェアの被害を受け、地域医療に混乱が生じるなど、重要インフラへのサイバー攻撃が私たち市民生活を脅かす事態になっています。また、国家安全保障の観点からも注目が集まっています。昨今の国際情勢を受け、物理的な攻撃とサイバー攻撃等の別の手段を組み合わせた「ハイブリッド戦争」(※2)が改めて注目されています。こうしたハイブリッド戦争の際に標的となるのが、国民・国家に大きな影響を及ぼす重要インフラであることは明らかでしょう。今回はこうした背景から重要インフラのセキュリティ対策について考えていきたいと思います。

重要インフラとは

重要インフラとは、国が公表している資料によって若干の違いはありますが、電気、水道、ガス、物流、クレジットカードなど、サービスの提供が停止した場合に国民や社会、そして国家に大きな影響を及ぼすものと言えます。
内閣サイバーセキュリティセンター(以下、NISC)のサイトでは、以下のように重要インフラを定義しています。
「他に代替することが著しく困難なサービスを提供する事業が形成する国民生活及び社会経済活動の基盤であり、その機能が停止、低下又は利用不可能な状態に陥った場合に、わが国の国民生活又は社会経済活動に多大なる影響を及ぼすおそれが生じるもの」[1]。
また、内閣のサイバーセキュリティ戦略本部が策定した重要インフラ防護に関する行動計画「重要インフラのサイバーセキュリティに係る行動計画」[2] (以下、行動計画)の別紙1においては、重要インフラ分野や事業者を図1の通り特定しています。

図1 重要インフラ分野と重要インフラ事業者(行動計画 別紙1より筆者が作成)

後述する「経済安全保障推進法」の要綱、法律案 [3]においては、「特定社会基盤役務」を以下のように定義しています。
「国民生活及び経済活動の基盤となる役務であって、その安定的な提供に支障が生じた場合に国家及び国民の安全を損なう事態を生ずるおそれがあるもの」。
そして「電気」、「ガス」、「石油」、「水道」、「鉄道」、「貨物自動車運送」、「外航貨物」、「航空」、「空港」、「電気通信」、「放送」、「郵便」、「金融」、「クレジットカード」の14分野について言及しています(簡単のため、それぞれの分野の表現方法は内閣官房の概要資料 [3]に従っています。以降も同様です。)。

重要インフラに求められる情報セキュリティ対策

重要インフラのサービス停止が、国民や社会、そして国家に大きな影響を及ぼすものである以上、重要インフラに求められることはサービスの継続的な提供、また障害発生時における迅速な復旧です。そして現代において、重要インフラのサービスの維持や提供には情報システムが必要不可欠であり、安定的なサービス提供には情報セキュリティ対策が欠かせません。各重要インフラに共通して求められる情報セキュリティ対策は、サイバーセキュリティ戦略本部の「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針」[4] (以下、安全基準等策定指針※3)内でまとめられています。安全基準等策定指針は、「安全基準等」(各重要インフラ事業者の判断や行動の基準、そして参考になる文書類を安全基準等策定指針では「安全基準等」と呼称しています)に規定されることが望ましい情報セキュリティ対策項目を整理したもので、既に述べた通り、特定の分野ではなく、各重要インフラ分野に共通して求められる情報セキュリティ対策が記されています。

重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針(第5版 令和元年5月23日改定版)

安全基準等策定指針では、PDCAサイクルに沿って情報セキュリティ対策が記載されています。具体的には図2の通りです。

大まかな流れとしては、Planのフェーズでは、外部環境や自組織の状況の把握・整理、情報セキュリティ方針(情報セキュリティ対策の目的や方向性、経営層のコミットメント等を示す文書)の策定、情報セキュリティリスクアセスメントの実施、情報セキュリティリスクへの対応方法やセキュリティ管理策の決定などを行います。併せて、セキュリティ管理策導入のための実施事項やスケジュールなどを定めた情報セキュリティリスク対応計画も策定します。また必要なリソースを確保し、自組織内に配分します。Doのフェーズでは、情報セキュリティリスク対応計画に基づき、セキュリティ管理策の導入・運用体制の確立を行う他、サイバー攻撃に備えたコンティンジェンシープランや事業継続計画の策定も行い、体制を整えるなどします。Checkのフェーズでは、策定した情報セキュリティ方針や情報セキュリティリスク対応計画の達成、進捗状況を確認する他、定期的に内部監査を実施し、情報セキュリティ方針通りに情報セキュリティ対策が構築されているかなどを確認します。Actのフェーズでは、Checkで明らかになった改善点等について、必要な対策の実行、再発防止策の立案などを行います。これらのフェーズを繰り返すことで対策の効果を高めていきます。
上記のPDCAサイクルでは、次の4点が特に重要とされています。

行動計画では、安全基準等策定指針を定期的(原則三年に一度)に見直すこととしています。本記事執筆中の2022年6月17日に5年ぶりに改定された行動計画には、安全基準等策定指針を改定する計画が記載されており(具体的には次の4点について言及)、今後改定されるとみられます。そのため、安全基準等策定指針の改定動向にも注意が必要です。

(文言は行動計画の「IV. 計画期間内の取組」の「2.1 安全基準等策定指針の継続的改善」より)。

各重要インフラ分野の安全基準等

安全基準等策定指針は各分野に共通して求められる対策項目が書かれている文書ですが、当然重要インフラ分野ごとの特性も考慮する必要があります。安全基準等策定指針の目的が安全基準等の策定・改定の支援であることからも明らかなように、重要インフラの所管省庁や重要インフラの業界団体等は安全基準等策定指針などを参考にそれぞれの分野の基準やガイドラインを策定および見直しすることになります。各重要インフラ事業者は、こうした基準、ガイドラインを参考にし(あるいは従い)ながら、情報セキュリティ対策について判断することになります。例えば鉄道分野であれば、国土交通省が安全基準等策定指針などを参考に「鉄道分野における情報セキュリティ確保に係る安全ガイドライン」を作成しています。
各重要インフラ分野(行動計画の14分野)の基準、ガイドライン(重要インフラの所管省庁および重要インフラ事業者の業界団体が制定する安全基準等)は、NISCの「重要インフラ分野における安全基準等の継続的改善状況等に関する調査について [2019年度]」[8]に記載があります。図3はこちらの情報を基に筆者が一部修正してまとめた表です。赤太字部分は「関係法令に基づき国が定める強制基準」、赤字部分は「関係法令に準じて国が定める推奨基準・ガイドライン」、黒字部分は「業界団体等が定める業界横断的な業界標準・ガイドライン」を指します。また括弧内は発行元、および筆者確認時(2022年6月14日時点)での最新版になります(一般公開されていないものなど、版数が確認できなかったものについては記載していません)。「※」がついているガイドラインは筆者が追記したガイドラインです。括弧内の情報等も筆者調査結果に基づきます。
なお、安全基準等策定指針が改定された場合、これら安全基準等も見直し、改定されるとみられます。

図3 各重要インフラ分野の基準、ガイドライン(「重要インフラ分野における安全基準等の継続的改善状況等に関する調査について [2019年度]」を基に筆者が追記・修正し、作成)

経済安全保障の観点から

前述の重要インフラにおける情報セキュリティ対策は、主にサイバー攻撃等によるリスクに対応するものです。重要インフラの防護では、それらを構成する設備や維持管理業務等によりサービスを停止させられるリスクなども考える必要があります。これは例えば、重要インフラ向けに導入したソフトウェアに意図的な脆弱性が仕込まれている、アップデートの際に不正なソフトウェアが仕込まれる、業務委託先により不正な操作が行われる、などのリスクです。重要インフラ事業者にはこうしたサプライチェーン関連のリスクも考慮した設備導入、維持管理業務の委託が求められます。
サプライチェーン関連のリスクに対しては、2022年5月に「経済安全保障推進法案」(経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律案) [3]が可決・成立しています。経済安全保障推進法案では、「電気」、「ガス」、「石油」、「水道」、「鉄道」、「貨物自動車運送」、「外航貨物」、「航空」、「空港」、「電気通信」、「放送」、「郵便」、「金融」、「クレジットカード」の14分野について、その重要設備(具体的な設備については主務省令で定める)が停止または機能低下した場合に特定社会基盤役務の安定的な提供に支障が生じ、国民や国家の安全を損なう恐れが大きいものとして主務省令で定める基準に該当する事業者は、その重要設備の導入や維持管理などの委託に関して計画書を事前に届け出なければならないとしています。計画書の審査期間は(届け出受理から)原則30日間ですが、その間は設備の導入や委託を進めることはできません。また事業者は、審査の結果、設備や委託業務が役務の安定提供を妨げる手段として使用される可能性が高いと判断された場合、その計画の変更や中止等の勧告を受けることになります。その場合、事業者は勧告を受けた日から10日以内に応諾するか否かを主務大臣に通知しなければなりません。通知をしなかった場合、または正当な理由なく勧告を応諾しなかった場合は命令を受けることになります。具体的に指定される事業者や勧告・命令を受ける可能性のある設備、維持管理などの委託についての指針はこれからですが、該当する可能性のある事業者や関連する事業者には、本法律への対応という意味でもサプライチェーン関連のリスクを考慮した設備導入、維持管理などの委託が求められます。
法律の今後の動向にも注意が必要です。経済安全保障法制に関する有識者会議の議事要旨等 [9]には、事業者が有する個人情報や機密情報に経済安全保障を脅かす情報が含まれる可能性もあるため、これらの情報の管理義務も中長期的な課題として議論する必要があると記されています。また、暗号鍵の配送業者などの「無形」インフラについても言及されており、今後対象や分野が広がることも予想されます。上記14分野に関連する事業者はもちろんのこと、14分野以外の事業者も今後の法律や社会の動向を注視する必要があると思います。

まとめ

重要インフラに求められる情報セキュリティについて安全基準等策定指針、経済安全保障推進法を中心に解説してきました。重要インフラは、他の多くのシステムと同様に金銭目的の攻撃者に狙われています。また、国民や国家に及ぼす影響が非常に大きいため、国家を背景とするような攻撃者にも狙われています。今回の執筆活動を通し、重要インフラ事業者、関係する事業者、政府が一丸となって重要インフラ防護に取り組んでいかなければならないと感じました。またその影響を受ける私たち国民も関心を持ち、考えていかなければならないと感じました。本記事がその一助となれば幸いです。

参考文献：

執筆者の他の記事を読む