2022年5月に経済安全保障推进法が制定され、インフラ事业の安全性?信頼性の确保を目的として重要インフラ事业者に対してサイバーセキュリティの対応が求められています。
本稿では、重要インフラ事業者に対する「基干インフラ役务の安定的な提供の确保に関する制度」において、特定社会基盘事业者が取り组むべきセキュリティ施策について解説します。
1．経済安全保障推进法について
近年、経済安全保障?地政学的な紧张の高まりはサイバー空间にも影响を与えています。国民の生存、または経済?社会秩序の平穏に深くかかわるインフラ事业に対する、组织的かつ洗练されたサイバー攻撃のリスクは増大する一方です。
日本では、2022年5月に経済安全保障推进法が制定され、インフラ事业の安全性?信頼性の确保を目的とした、「基干インフラ役务の安定的な提供の确保に関する制度」の运用开始が24年春顷とされています。
本制度では、インフラ事业者が设备の导入等を行う前に、政府が当该设备の导入等に伴うリスクを把握し、外部から行われる妨害行為の手段として利用される恐れが大きい场合には、そのリスクの低减、または排除を可能としています。対象设备は、サプライチェーンの过程で不正机能が埋め込まれる可能性や、机器の脆弱性がインフラ事业者の意図に反して组み込まれるリスクを低减するために、リスク管理措置の导入が求められます。
2．「基干インフラ役务の安定的な提供の确保に関する制度」の要旨
3．「基干インフラ役务の安定的な提供の确保に関する制度」においてやるべきこと
（1）サプライヤーの调査とスクリーニング
特定重要设备の规模に比例して介在する供给者が膨大になることが考えられます。导入计画発行までの検讨に遅れが出ないように、特定重要设备の供给者に関しては、委託先管理のプロセスのなかで事前の棚卸と必要な情报の収集によって、危険因子となり得る供给者が特定されていることが望ましいと言えます。
（2）リスク判断に基づくリスク管理措置の制定
特定社会基盘事业者は、リスク管理措置をサプライヤーに提示することが求められます。
リスク管理措置は、基本指针において考え方が示されるのみで、事业者によるリスク判断によって详细は定めるべきとされています。基干インフラを抱える各事业者の多くは、业界规制によってセキュリティ要件が示されていることが多く、基本指针より期待事项を読み取り、国际基準?业界规制に基づき自社におけるリスク管理措置を具体化することが必要です。
また、导入、维持管理の対象となる特定重要设备に対するリスク分析に基づき、実施すべきリスク管理措置を説明可能なかたちで整理すべきです。
特定重要设备の导入、维持管理は継続的に安全性?信頼性が求められることから、再现性を高めるためにも、特定重要设备のリスク分析手法は整理しておくことが望ましいでしょう。
（3）サプライヤーのセキュリティ対策状况のモニタリング体制の构筑
基干インフラの信頼性确保においては、特定重要设备のサプライチェーンにおける委託先管理が中核となります。特定社会基盘事业者が定めるリスク管理措置に基づき、サプライヤーが準拠していることをモニタリングし、ギャップに対する改善活动が行える管理プロセスの整备が必要です。委託先管理は再委託先までスコープとされているため、モニタリングプロセスと评価手法を具体化し、契约をもってサプライヤーとの协力体制を构筑することが重要となります。
また、膨大なアセットを抱える事业者になればなるほど委託先管理の负荷も増大するため、场合によってはソリューションの导入検讨も必要となるでしょう。
（4）导入计画の作成
本制度で求められる导入计画は、（1）～（3）におけるアウトプットを基に作成されるものです。本制度は、最大４ヵ月まで延长される可能性がある事前审査を経て、特定重要设备の导入?维持管理が许可されることから、今后の调达?业务委託においてはその期间も织り込んだ事前準备が必要になります。导入计画书は雏型を固め、必要な情报を効率的に集められるようにすべきです。
碍笔惭骋では、上记を包括した支援を行っています。お気軽にお问い合わせください。
执笔者
碍笔惭骋コンサルティング
ディレクター 保坂 範和
シニアマネジャー 牛越 達也
