重要インフラ統一基準により企業に求められる対応

1.「重要インフラ統一基準」の概要

制度の位置づけと施行時期

国家サイバー統括室（NCO）は、2026年7月31日に「重要インフラのサイバーセキュリティ対策のための統一基準」を決定しました。この基準は2026年10月1日に施行されます。対象は以下の16分野です。本基準そのものは、重要インフラに該当する企業に対して強制力があるわけではないものの、今後所管省庁の安全基準や省令等に組み込まれていく可能性があります。

• 情報通信：電気通信、放送など
• 金融：銀行、証券、保険など
• 航空・空港：定期航空運送、主要空港・ビル
• 鉄道：JR各社、大手私鉄など
• 電力・ガス：発電・送配電、ガス供給など
• 政府・行政サービス：中央省庁、地方公共団体など
• 医療：主要な病院・医療機関など
• 水道：上水道事業など
• 物流：貨物自動車運送、海運、通運など
• 化学：重要化学物質の製造事業者など
• クレジット：クレジットカード業務など
• 石油：石油精製・供給など
• 港湾：重要港湾管理・港湾運送など
• 郵便：（※新たな行動計画・改定で追加）

近年、重要インフラを標的とするランサムウェアや制御システムへのサイバー攻撃が国内外で相次ぎ、電力・医療・物流などの社会サービスが実際に停止する事態が発生しています。閉域網であるはずの制御システムが被害を受けた事例も確認されており、こうしたサービス停止のリスクが現実のものとなったことが、本統一基準が策定された背景にあります。

企業の実務に直接影響するのは、統一基準の第3部を各分野の安全基準へ具体化する「安全基準等策定ガイドライン」です。以下では、安全基準の基本的な考えに焦点を当て、各社にとって何が変化するのか整理します。

基準の根幹：サイバーセキュリティ対策を経営層の責任とし、組織全体で対応する

今回の基準が根幹に据える考え方は明確です。それは、サイバーセキュリティ対策を組織統治の一部と位置づけ、その最終的な責任を経営層に帰属させることです。統一基準では、対策事項の体系の中で「組織統治」を最上位に置き、サービスが止まるリスクを低減することを経営層の責務としています。従来のように対策を情報システム部門に委ねることを前提としていないところが、この基準の出発点にあります。

ここでの責任のあり方は、二つに整理できます。まず経営層は、リスクを評価し、必要な人員と予算を配分し体制を整備する責任が定められています。万が一、十分な対応がとられていない場合、善管注意義務違反などの形で責任を問われる可能性があるとされています。次に、情報システム部門だけでなく、制御システムを担う現場部門や事業部門、管理部門が、それぞれの持ち場で対策を実行する必要があると定められています。経営層が全体を監督し、各部門が実務を担うという役割分担を組織統治の枠組みで結び付ける点が、この基準の骨格です。

他の法規制との関係

なお、電力や通信などの基幹インフラ事業者は、これまでも経済安全保障推進法に基づく基幹インフラ制度（設備導入時の事前審査など）の対象となっており、さらに2025年に成立した能動的サイバー防御関連法により、設備の届け出やインシデント報告の義務も課されます。これらが個別の手続き上の義務を定めるものであるのに対し、今回の統一基準は、前述した責任体制の下で、組織の対策全体を束ねる考え方を示すものです。事業者は、他の法規制の対象であるか否かにかかわらず、統一基準が示す責任の考え方を対策全体の指針とすることが求められます。

2.企業に求められる対応と手順

統一基準が事業者に求める対応は、以下の三つに整理できます。

• 経営層が主導し全社を巻き込む体制をつくること
• 対策の焦点を「サービスを止めないこと（任務保証）」に置き、制御システム（OT）の対策を前に進めること
• できる範囲の対策を積み上げるのではなく、本来やるべきことを行い、できない場合はその理由とリスクを経営層が引き受けること

特に3つ目は、これまで現場で発生していた「結果的に、できることだけを積み上げて対策している」といった状況からの大きな変化です。今回の統一基準や安全管理基準の中でも、以下のように要件が記載されています。

• 3.5.1 ①-1：
  目標とする将来像と実態のかい離を埋めるために実施すべきセキュリティ対策を検討する
• 2.4 ①-1：
  組織全体のリスクマネジメントの一部として、サイバーセキュリティリスク及びそれが事業運営に及ぼす影響について経営層が理解し評価できる体制を整備する
• 3.4 ①-5：
  リスクアセスメントの結果、リスク対応の対象としなかったリスクについても、所管部署等の管理状況（セキュリティ管理策の導入有無等）について適時確認できる仕組みを整備する等により、可能な範囲でリスク管理を実施する

一方で、約150項目とされる対策事項の全体へ一度に対応することは現実的ではありません。統一基準でも、各社の実情に応じた優先順位付けを認めています。このことを踏まえ、以下では事業者が実際に着手すべき手順を、必要となる能力と併せて示します。

STEP1：アセスメントと資産棚卸し

まずは基準に照らして自社の現状を評価します。今後具体的な内容が発表される可能性のある、重要インフラ・サイバーセキュリティ・セルフアセスメント（CI-CSA）などの成熟度モデルを用い、求められる水準と自社の実態との差異を可視化することが求められます。

その際に不可欠なのが、IT資産と制御システム資産の棚卸しです。制御機器のOSやファームウェア、サポート終了（EoL・EoS）の状況、外部との接続点、さらにはネットワーク構成やデータの流れまでを、制御システムを含めて把握することによって、初めて制御領域における課題が明らかになります。情報システムを中心に管理してきた事業者ほど、この制御システム側の可視化が手薄になりがちであり、最初の重点課題として位置づけることが重要です。

この段階で求められるのは、基準の要求事項を自社の実態に読み替えて評価するアセスメント能力と、制御システムの構成や通信を正しく把握できるOTに関する技術的な理解です。情報システム部門だけでは制御領域の可視化は難しいため、現場の運用・保全部門の知見を組み合わせられるかどうかが鍵となります。こうした知見を内部で十分に確保できない場合には、外部の専門家の活用も現実的な選択肢となります。

STEP2：経営層および関係部門を交えた優先度設定

ステップ1で可視化した差異は、経営課題として経営層に提示する必要があります。前述した責任構造のとおり、制御システムにおけるリスク受容の判断は経営層の監督責任に属する事項であり、情報システム部門だけで完結するものではありません。この議論の共通言語となるのが、事業被害を起点としたリスク分析です。どの社会サービスが、どの程度停止すると事業や社会に影響が及ぶのかという経営の観点からリスクを整理し、経営層、最高情報セキュリティ責任者（CISO）、制御システムの責任者、事業部門が同じ場に集まり、リスク許容度と資源配分の優先順位を決定します。

ここで必要となるのは、技術的なリスクを事業影響の言葉に翻訳し、経営層の意思決定に結び付ける能力です。多くの企業で既に地震やパンデミックのリスクケースを想定したBCP（Business Continuity Plan）の一環として、これらビジネスインパクト分析が実施されていますが、これをサイバーセキュリティインシデントに伴う被害ケースに置き換えて検討する必要があります。担当部署には、専門的な事象を経営リスクとして説明する力が、経営層には、その説明を踏まえて判断を下せる程度のサイバーセキュリティに関する素養が、それぞれ求められます。加えて、部門間の利害を調整し、優先順位について合意を形成していくマネジメント面のスキルも欠かせません。

STEP3：やるべき対策の実装と、残存リスクの経営判断

優先度が定まった後は、目標とする水準と現状との差異を計画的に解消していきます。対策を実装するとともに、パッチ適用が困難な機器については、代替手段と中長期の更改・移行計画を並行して準備します。ここで、これまで「べき論」では現場にセキュリティ対策導入が進まなかった状況を打開するために重要な点が3点あります。

1つ目は、経営層および各事業部のリーダーおよびその配下の管理職が、セキュリティを組織の業務目標の1つに明確に組み込み、必要なリソースを補強することです。これまで多くの現場で、主業務の片手間でセキュリティ対策推進が試みられ、リソース不足で「できることだけやる」という状況が発生していましたが、今後は「セキュリティもやるべきこと」という点を組織活動として現場に落とし込む必要があります。

2つ目は、セキュリティと現場の業務・システムをどちらも理解する「架け橋」となる要員を対策実行の中心に置くことです。この要員への期待は、一見難解なセキュリティ要件を現場の設定やプロセス、業務に関わる言葉に置き換えて語ることです。

3つ目は、これを一度限りの対応で終わらせないことです。攻撃の高度化やAIの悪用により脅威環境は絶えず変化するため、アセスメント、優先順位付け、対応、見直しという一連の流れを継続的なリスクマネジメントの循環として定着させ、毎期の経営課題として扱うことが求められます。

この継続的な運用を支えるのは、監視やインシデント対応を担う運用面の能力と、脅威動向の変化を捉えて対策の見直しにつなげる力です。これら全てを自前でまかなうことは容易ではないため、内部で育成・確保すべき人材と、外部の支援に委ねる領域とを見極め、両者を組み合わせて体制を維持していく視点が重要になります。

おわりに

今回の統一基準で求められているのは、個別要件への逐条的な対応ではなく、経営層主導の下、守る対象を情報からサービス継続へと捉え直し、実現性のある対策運用にしていくことです。まずはその第一歩として、自組織の現状を把握して優先順位付けをした上で、着実なリスク低減を図っていくことが必要となります。