米国の船舶および港湾のサイバーセキュリティ法規制最新動向

1. はじめに

船舶や港湾は、各国の物流を支える重要インフラストラクチャーであり、業務が停止すると、さまざまな産業に悪影響が生じるだけでなく、輸入の停滞など国民生活も影響を受けます。グローバルでは近年、船舶サイバーセキュリティに関する統一規則（IACS UR E26/E27）の発行を筆頭に、海事分野におけるサイバーセキュリティの機運が高まっています。

米国では、船舶や港湾施設にサイバーセキュリティ対策を求める大統領令14116^※1を根拠に、米国沿岸警備隊（USCG）の権限強化と、デジタルインフラの安全性確保などサイバーセキュリティに関する要件の追加が行われることになりました。それに伴い、これまでの船舶・港湾の安全性に関する連邦規則（Title 33 CFR^※2）にサイバーセキュリティ要件を追加する規則案（以下、NPRM）が2024年2月に公表されました^※3。今後、このNPRMがパブリックコメントを受けた修正を経て、連邦規則の中に追加されることになります。多国間の枠組みとしては、国際貿易に従事する船舶の安全性を高めることを目的した組織である国際海事機関（International Maritime Organization：IMO）がサイバーリスク管理ガイドラインを策定していますが、米国でのサイバーセキュリティ要件の追加は、今後米国も加盟しているIMOのガイドラインにも間接的に影響し、日本の船舶・港湾事業にも広く影響が及ぶ可能性があります（図表1）。

図表1：NPRMと他の法規の関係図

^{*1 https://www.federalregister.gov/documents/2024/02/26/2024-04012/amending-regulations-relating-to-the-safeguarding-of-vessels-harbors-ports-and-waterfront-facilities
*2 https://www.nist.gov/cyberframework
*3 https://wwwcdn.imo.org/localresources/en/OurWork/Security/Documents/MSC-FAL.1-Circ.3-Rev.2%20-%20Guidelines%20On%20Maritime%20Cyber%20Risk%20Management%20(Secretariat)%20(1).pdf
*4 https://www.federalregister.gov/documents/2024/02/22/2024-03075/cybersecurity-in-the-marine-transportation-system#footnote-54-p13414
*5 https://www.ecfr.gov/current/title-33}

本稿は、船舶・港湾事業に携わる日本企業のセキュリティ責任者を対象としています。船舶・港湾分野におけるサイバーセキュリティの動向を理解し、向こう数年で発生しうる規制対応リスクを理解する一助になれば幸いです。

3. 他の船舶・港湾ガイドライン（IMO、国土交通省）との比較

NPRMが参照しているガイドラインとして、IMOが策定しているサイバーリスク管理ガイドライン^※4があります。このガイドラインはNPRMと同様に、サイバーセキュリティに関する最低限の要件を定めているものですが、NPRMとは異なる要件も存在します。NPRMの中で、IMOガイドラインの推奨事項とNPRMの要件を一致させていくことが言及されているため、両者の独自の要件を以下で比較します（図表4）。

図表4：IMOサイバーリスク管理ガイドラインとNPRMの差分ポイント

IMOガイドラインは復旧手順やシステム間依存性の考慮などに言及されている一方、NPRMはガバナンスに関連する役職定義や文書化、サプライチェーンなどがIMOガイドラインより詳細に記載されているのがポイントです。次に、このようなグローバルでの動向と並行して、日本では船舶・港湾のサイバーセキュリティに関してどのような整理が行われているかを確認します。

国土交通省では船舶・港湾に関するサイバーセキュリティガイドラインとして「物流分野（船舶運航）における情報セキュリティ確保に係る安全ガイドライン」^※5および「港湾分野における情報セキュリティ確保に係る安全ガイドライン」^※6を提供しています。両ガイドラインは、サイバーセキュリティ戦略本部が策定した「重要インフラのサイバーセキュリティに係る行動計画」（2022年）や「重要インフラにおけるサイバーセキュリティ確保に係る安全基準等策定指針」（2023年）を受けて、ガバナンスやサプライチェーンのリスク管理を整理する方向で、2024年に改定されました。両ガイドラインの要件は、最低限のサイバーセキュリティ要件を定義しているNPRMと比べると、概ね詳細な内容となっていますが、一部NPRMにのみ記載されている要件もあります。特にサイバーセキュリティ計画やコミュニケーションなど、内容として参考にすべき要件が含まれています。

図表5：国土交通省「物流分野（船舶運航）における情報セキュリティ確保に係る安全ガイドライン」とNPRMの差分ポイント

^※1 Executive Order 14116, “Amending Regulations Relating to the Safeguarding of Vessels, Harbors, Ports, and Waterfront Facilities of the United States”

^※2 Title 33 Code of Federal Regulations

^※3 A Proposed Rule by the Coast Guard on Cybersecurity in the Marine Transportation System

^※4 IMO, “GUIDELINES ON MARITIME CYBER RISK MANAGEMENT”

^※5 国土交通省、『物流分野（船舶運航）における情報セキュリティ確保に係る安全ガイドライン』

^※6 国土交通省、『港湾分野における情報セキュリティ確保に係る安全ガイドライン』