航空サイバーセキュリティの強化 ―EASA Part-ISが求める情報セキュリティ要件―

  • 2025-05-23

航空業界は、航空機や関連システムの高度なデジタル化やグローバルなサプライチェーンによる複雑化が進む中、サイバーセキュリティの重要性がかつてないほど高まっています。実際、航空機の安全運航に直結するシステムやデータ、航空サプライチェーンを標的としたサイバー攻撃は増加傾向にあり、航空業界全体で航空安全におけるサイバーリスクの対策が求められています。

こうした背景から欧州航空安全機関（EASA）は2023年10月に、情報セキュリティに関する初の規則となるPart-IS（委員会実施規則（EU）2023/203および委員会委任規則2022/1645）※1を制定しました。

Part-ISの要求事項

Part-ISのサブパートI/D.ORの要求事項は13項目あり、各項目はさらにいくつかの細分化された要求事項から構成されています。また、基本的にはISO/IEC27001※2をベースとしたISMSを採用していますが、単なる情報セキュリティリスクだけでなく、航空安全に潜在的な影響を与える可能性のあるリスクを考慮しなければならない点に留意が必要です。

各要求事項の概要は以下のとおりです。

  • OR.200　情報セキュリティ管理システム（ISMS）
    航空安全における情報セキュリティリスクを管理するためのISMS構築・実装・維持
  • OR.205　情報セキュリティリスク評価
    情報資産および外部インターフェースの特定と情報セキュリティリスク評価
  • OR.210　情報セキュリティリスク処理
    許容できないリスクへの情報セキュリティ対策の計画と実行
  • OR.215　情報セキュリティ内部報告制度
    情報セキュリティイベントの収集と評価のための内部報告制度の整備
  • OR.220　情報セキュリティインシデント - 検出、対応、回復
    航空安全に潜在的な影響を及ぼす可能性のあるインシデントと脆弱性の検出および対応、回復プロセスの整備
  • OR.225　管轄当局から通知された調査結果への対応
    管轄当局から通知された調査結果に対する是正措置プロセスの整備
  • OR.230　情報セキュリティ外部報告制度
    管轄当局への航空安全に重大なリスクをもたらす可能性のある情報セキュリティインシデントまたは脆弱性の報告
  • OR.235　情報セキュリティ管理活動の契約
    委託先のセキュリティ管理（事前評価、監督、監査、証拠の収集など）
  • OR.240　人員要件
    ISMS体制の確立および適切な人員の確保とトレーニング
  • OR.245　記録の保存
    情報セキュリティ管理活動に関する記録（証跡）の保持と保管：3年または5年間
  • OR.250　情報セキュリティ管理マニュアル（ISMM）
    情報セキュリティ管理マニュアルの策定（文書化）と改訂
  • OR.255　情報セキュリティ管理システムの変更
    ISMSの変更と承認
  • OR.260　継続的改善
    定期的なISMSの有効性・成熟度の評価およびマネジメントレビュー

Part-ISの免除申請

Part-ISのI/D.OR.200（e）要求事項には、Part-ISの免除に関する記載があり、自社または他の組織に対して航空安全に潜在的な影響を及ぼす情報セキュリティリスクをもたらさないと考える組織は、手順に従ってEASAまたは管轄当局へPart-ISの免除申請を検討することができます。ただし、免除に関わらず遵守が必要な要求事項も存在するため、申請にあたっては、自社が免除申請できる組織であるかどうかについての事前検討や免除申請手続きのための準備が必要です。

図表2：免除申請の対象となる組織例

Part-IS認証支援

PwCでは、Part-IS要求事項を基にしたリスク評価や不足するセキュリティ対策の計画策定や推進支援、認証取得を想定した問答集作成など、認証取得までの一連の活動のサポートが可能です。

まとめ

Part-ISは法的拘束力をもつ規制のため、準拠しなければライセンスの取り消しや取引停止といった機会損失だけでなく、重大な違反を犯した場合は高額な罰金や罰則が科される可能性があり、ビジネスに大きな影響を及ぼします。そのためPart-IS対応は義務としてだけでなく、企業の競争力を高める重要な戦略として捉えるべきです。また、EASAまたは管轄当局からPart-IS適用開始日である2025年10月16日または2026年2月22日までに承認を受けるためには、Part-IS対応として、航空安全を考慮した情報セキュリティリスク評価の実施や、情報セキュリティ管理マニュアルなどの文書化といった時間を要する準備も必要です。したがって、まだ対応に乗り出していない組織は、Part-ISが自社に及ぼす影響を確認し、迅速に行動に移す必要があります。

執筆者

小橋 孝紀

ディレクター, PwCコンサルティング合同会社

Email

小林 直樹

マネージャー, PwCコンサルティング合同会社

Email

三原 奈緒子

シニアアソシエイト, PwCコンサルティング合同会社

Email

{{filterContent.facetedTitle}}

{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{contentList.viewAllLabel}}

{{filterContent.facetedTitle}}

{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{contentList.viewAllLabel}}

{{filterContent.facetedTitle}}

{{contentList.dataService.numberHits}} {{contentList.dataService.numberHits == 1 ? 'result' : 'results'}}
{{contentList.loadingText}}
{{contentList.loadingText}}
{{contentList.viewAllLabel}}

本ページに関するお問い合わせ

関連サービス