ネットワークセキュリティベンダーのフォーティネットジャパンが2024年4月に開催した記者説明会「重要インフラ防衛に向けた最新のサイバーセキュリティ関連法令改正の概説ならびに日本のOTセキュリティ進捗（しんちょく）状況」が非常に興味深かったので、そこから話を始めたいと思います。

　この記者説明会では、主にエネルギー業界におけるOTセキュリティ関連法改正が2023年12月に施行されたことを受け、重要インフラや製造業におけるサイバーセキュリティ課題をどのように解決していくかを解説するものでした。

　その法改正とは、2023年12月21日に施行された「高圧ガス保安法等の一部を改正する法律」（サイバー事故調）および「認定高度保安実施事業者制度」（認定基準改定）です。これらは主にエネルギー業界におけるインシデントにおいて、サイバーセキュリティに関連する重大な事案が生じた際に、事故対応としての原因究明と、予防としてのガイドライン準拠を求めるものです。

図1　2023年12月に施行された、エネルギー業界におけるOTセキュリティ関連法改正［クリックで拡大］ 出所：フォーティネットジャパン

　これは法律の名前が示す通り、エネルギー関連業界、特にガスや電気といった、まさに重要インフラに対しての法改正です。しかし、その内容はというと、実は製造業にとっても身近なものであり、参考になる部分がたくさん含まれています。

　簡単に言えば「高圧ガス保安法等の一部を改正する法律」は重大なインシデントが発生した際、その事案がサイバーセキュリティに関連するものであれば、国が情報処理推進機構（IPA）に原因究明の調査を要請することができる、つまり「サイバーインシデントの事故対応をしっかりせよ！」というものです。

　そして、「認定高度保安実施事業者制度」はプラントにおける停止を伴う定期点検期間を延ばすという、メリットの大きい認定を受けるためには、経済産業省が公開している「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」など、各種ガイドラインに沿った仕組みが構築されている必要がある、つまり「サイバーインシデントが発生しないための予防をせよ！」というものになっています。

　重要インフラはサイバーセキュリティに対し、事故対応、そして予防の両面から備えよというのが、この法改正の狙いです。フォーティネットジャパンはここで挙げた法改正があまり知られていないことに危機感を持っており、これらの対応への周知とともに、自社ソリューションを法改正に併せて展開すると述べています。内容自体は確かに必要なものであり、OTや重要インフラの安全を確保するために政府も危機感を持っていることが読み取れます。