製造業は先行する「重要インフラ」に学べるのではないか？

　IPAはこの法改正に併せて「サイバーインシデント調査室」のページを公開しています。法改正ではIPAが調査報告を行うとしていますが、これはあくまでIPAが事業者に対して調査報告を要請するという意味であり、原因究明、再発防止を行うのは事業者自身です。加えて、その原因究明が足りないとIPAが判断した場合は、IPA自身が調査のために現地調査を実施するとしており、事業者側もログの取得や可視化など、体制を整えていなければならないことがうかがえます。

図2　IPAによる「サイバー事故原因究明調査の実施フロー」［クリックで拡大］ 出所：フォーティネットジャパン

図3　今回の対象となる事業者はあくまでも電気、高圧、ガスではあるが……［クリックで拡大］ 出所：フォーティネットジャパン

　今回の法改正は、あくまで重要インフラ事業者が対象です。しかし、同じようにサプライチェーンのリスクがあり、OTが狙われる製造業も人ごとではないはずです。しかも、製造業は数が多いので、IPAが面倒を見てくれる可能性は低いかもしれません。それでも、今回の法改正が目指す方向は、製造業も同様であると考えてよいと思います。

　今回の法改正では、重要インフラは安定稼働のためにサイバーセキュリティ対策が必須であるとし、インシデント発生を防ぐための“予防”として「業界各社が持つガイドラインをいま一度チェックして自らの現状を把握すること」、そしてインシデント発生時の“事故対応”ができるよう「BCP（事業継続計画）を拡大し、サイバー事案が発生したとしても、いち早く事業を継続するためのサイバーレジリエンス能力を獲得すること」の必要性が示されています。業界は違えど、これらを手に入れることが、日本の製造業にも求められていると考え、対策をしていく必要があります。

　事故対応の一部分についてはソリューションを導入すれば済むかもしれませんが、予防をし、事故対応のスピードを上げるためには、連絡の経路や指示系統、そして強いリーダーシップなど、「人」や「組織」の力が不可欠です。こればかりは、ソリューションを導入するだけでは対応できませんし、ましてや外部に任せることもできないでしょう。

　恥ずかしながら、筆者自身も今回の法改正は、施行された後でも気が付いていませんでした。もし皆さんも同じような状況であれば、今からでもこれらをチェックし、「自社で何ができるか？」を考えるきっかけにしていただけたら幸いです。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！