これら指針に大局的なメッセージを持たせるためにITや通信だけではなく産業界からの参加者も含まれる「産業サイバーセキュリティ研究会」が設立されており、2017年12月から始動したこの研究会ではセキュリティ対策のための標準モデル「サイバー・フィジカル・セキュリティ対策フレームワーク」を策定し、そのモデルをさまざまな産業に適合させていくワーキンググループが運営されている。

「産業サイバーセキュリティ研究会」の活動概要

　ワーキンググループでは「重要インフラ分野における情報共有体制の構築」「Society 5.0におけるサプライチェーン全体のセキュリティ確保」「経営者のサイバーセキュリティに関する意識喚起」「セキュリティ人材の育成」「日米欧三極の連携強化」「サイバーセキュリティのビジネス化」といったテーマが議論されており、サプライチェーン全体での対応や製造業に向けた意識喚起、サイバーセキュリティのライフサイクルを確立するためのビジネス化など、サイバーセキュリティ政策の4方針を具体化させるための活動が行われている。

⇒ 新着記事をチェックする

3層のセキュリティ対策

　サプライチェーン全体でのセキュリティ確保については「サイバー・フィジカル・セキュリティ対策フレームワーク」として、「3層構造／6構成要素」を基本的な考えとするフレームワーク構造が紹介された。

　これはConnected IndustriesやSociety 5.0が実現を目指す“つながり”を「企業間のつながり」「フィジカル空間とサイバー空間のつながり」「サイバー空間のつながり」の3層に分け、つながる“要素”を「組織」「ヒト」「モノ」「データ」「プロシージャ」「システム」に分類して基本方針を作成し、対応しようとする考えである。

3層構造／6構成要素によるセキュリティフレームワークの概要

3層それぞれにおけるセキュリティ対策の概要

　土谷氏は「Connected IndustriesやSociety 5.0が実現する世界では、工程やサプライチェーンも従来とは異なる不定形／非連続なものになる。それに応じた対策が必要だ」と語り、“どのようなつながりにおいて”“何に気を付けるべきか”の指針をこのフレームワークで示し、その指針に基づいたセキュリティの確保を、関係する企業に求めた。

3層構造アプローチの意義

フレームワークの活用例

　サプライチェーンは日本国内で完結するとは限らないので、フレームワークの海外企業への周知も必要だ。土谷氏からは経済産業省としてドイツやアメリカ、ASEAN諸国などに出向き、日本のサプライチェーンセキュリティに関する取り組みや作成したフレームワークについてを紹介し、啓蒙活動を行っていることも報告された。

セキュリティ確保は「コスト」ではなく「投資」

　サイバー・フィジカル・セキュリティ対策フレームワークは取り組みの指針を示すものだが、実際にどう取り組むかは企業がそれぞれに検討しなくてはならない。しかし、セキュリティの確保はコストと見なされることが多く、積極的ではない企業も存在する。土谷氏も「セキュリティ確保はコストであることは間違いなが、何かあったら大きな損害につながる。セキュリティの確保は必要な投資であると認識して欲しい」と訴える。

　そこで土谷氏は経済産業省と情報処理推進機構が策定した「サイバーセキュリティ経営ガイドライン」を紹介した。このガイドラインは名前の通り経営側に向けたセキュリティガイドラインであり、経営者がCISO（Chief Information Security Officer：最高情報セキュリティ責任者）ら担当者に指示を出すべき10の重要事項という体裁でまとめられている。

「サイバーセキュリティ経営ガイドライン」の紹介

　詳細についてはこちら（リンク先PDF）を参照されたいが、サイバーセキュリティリスクの認識や管理体制の構築、対策のための人的・金銭的資源確保、インシデント発生時の対応体制整備など、実践的な内容となっているのが大きな特徴だ。なお、現在のサイバーセキュリティ経営ガイドラインは第2版であり、改訂に際しては事後の見地や復旧、BCPの策定と訓練にサイバー攻撃も加味することなどが付け加えられている。

　経営ガイドライン策定について土谷氏は「欧米企業ではCISOを経営層に直結する組織とする場合が多く、サイバーセキュリティを経営マターとして捉える傾向があるものの、日本では情報システム部がサイバーセキュリティを担当することが多く、経営層がセキュリティに関与する仕組みが必要」と狙いを語り、CSIRT（Computer Security Incident Response Team：セキュリティ上の問題が起きていないかどうか監視し、有事の際に原因解析などを行う部署）を作るかどうかは別として、有事の際の対応を決めておくことが大切だとした。

　製造業ではないが、米小売り大手のTargetに起きた大規模な顧客情報流出事件では、空調メンテナンスの会社がサイバー攻撃の被害に遭い、そこからTargetの情報システム、POSシステムが攻撃された結果、4000万件のクレジットカート情報と7000万件の個人情報が流出するという被害を招いている。土谷氏はTargetの例を紹介しながら、ビジネスパートナーを含めた、サイバーセキュリティ対策の実施・状況把握は今後の大きな課題になると語った。