Why（なぜ）の3：OTセキュリティの必要性を迫られる背景と課題【第3回】

サイバー事故調

　「サイバー事故調」に関する法規制は2023年12月21日より施行されています。「高圧ガス保安法」「ガス事業法」「電気事業法」の三法が改正され、サイバーセキュリティに関する要件が新たに追加されました。

　中でも、サイバーインシデントが原因となる事故事案が発生した場合、経済産業省がIPA（情報処理推進機構）に対し原因究明のための調査を依頼できる仕組みが整備されています。前述の日本政府が近年言及している「サイバー安全保障」と同様に、重要インフラの保護を強化する目的があると考えられます。

　原因究明の調査は相当の労力を要することが予想されます。対象設備を保有するユーザー側の意思にかかわらず実施される可能性があり、一度査察が入ると事象の背景調査やログの提出、場合によっては是正処置の実施が求められるためです。ただし課題として、対象になる各社の準備が十分に整っていないことや、そもそも法改正自体が認知されていない状況が挙げられます。

　まずはサイバーインシデントの発生を防ぐためにリスク低減に努めることが最優先ですが、万が一事故調査の対象になる事態が発生した際に適切に対応するために、制御システムベンダーとの連携を含め準備を進めておくことが重要です。

認定高度保安事業者への基準改定

　認定高度保安事業者に対する基準が改定され、関連法の中に「サイバーセキュリティの確保」が新たに設けられました。各認定事業者は経産省が公開している『工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン』などを参照し、PDCAの枠組みの構築が求められるようになりました。

　直近では認定更新を迎える事業者が多く存在すると予想されます。認定更新のプロセスにおいては本項目の重要性が増していくと考えられます。エネルギー業界全体のセキュリティ強化が一層進むことが期待されます。同時に、セキュリティ対策が現場レベルを含め、重要インフラ全体へと波及していくと予測されます。