IoT、ロボティクス、スマートカーなどテクノロジーの発達によって、サイバー空間とフィジカル空間は密接に連携するようになっています。

サイバー空間とフィジカル空間はネットワークによって接続されていますが、その大半は直接あるいは間接的にインターネットに接続されています。これはフィジカル空間にある機器がサイバー攻撃の対象となり得るようになるということと同義であり、サイバーセキュリティ対策が不可欠となったことを意味しています。これにより、多くの分野では「セキュリティ対策ガイドライン」を策定し、社会に混乱を招くことのないよう注意を呼び掛けています。

そこで今回は、さまざまな分野におけるサイバー・フィジカル・セキュリティ対策ガイドラインを紹介します。

サイバー攻撃が物理空間に大きな影響を与える

既にフィジカル空間とサイバー空間の融合は、さまざまな場面で行われています。たとえば日本政府が提唱する「Society5.0」では、サイバー空間にフィジカル空間と同じ環境を再現し、フィジカル空間の情報を収集して分析やシミュレーションを行って社会や経済活動に役立てようとしています。産業の分野であれば「インダストリー5.0（Industry 5.0）」かもしれません。いずれにしても、この大きな流れが止まることはないでしょう。

出典：Society 5.0｜内閣府

しかし、フィジカル空間がサイバー攻撃の対象となることによる影響は計り知れません。工場の製造ライン停止、港の搬出・搬入業務停止などは既にニュースになっています。インターネットに接続しているすべての機器が攻撃対象となる可能性があるということは、交通インフラの管制、エネルギープラントの制御システム、あるいは人命に直結する医療設備などが狙われる可能性もあります。

もっと身近な場所でサイバー攻撃の被害に遭う可能性もあります。たとえば監視カメラをハッキングすれば、撮影された映像を外部に流出させ、出入りしている人物などを監視する、機密情報やプライバシー情報を窃取することが可能です。また、監視カメラの先に接続されている別の機器に侵入する入り口になる可能性もあります。

最近では一般家庭でも監視カメラ、ペットや子供部屋を監視するカメラを導入するケースが増えています。つまりサイバー・フィジカル・セキュリティは、誰にとっても他人事とは言えない社会課題となっているのです。

経済産業省が推進するサイバー・フィジカル・セキュリティ対策

経済産業省では、「Society5.0」や「Connected Industries」などサプライチェーン全体のセキュリティ確保を目的としたサイバー・フィジカル・セキュリティ対策の議論を進める目的で、サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）を策定しています。

出典：サイバーセキュリティ政策｜経済産業省

経済産業省サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）とその展開
https://www.meti.go.jp/policy/netsecurity/wg1/wg1.html

このCPSFに基づくセキュリティ対策の具体化・実装として、「工場」「ビル」「スマートホーム」など各分野におけるワーキンググループが設置されています。もちろん分野を横断した共通するセキュリティ課題の洗い出しやその対策についても検討されています。その他にも経済産業省では、ソフトウェアやIoTなどさまざまなタスクフォース (TF) においてサイバー・フィジカル・セキュリティについての検討をしています。

産業サイバーセキュリティ研究会
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/

[工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン]

工場SWG(サブワーキンググループ)が2022年に公開した「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」は、工場システムのセキュリティ対策を実施する上で、参考となるような考え方やステップを示すために策定されています。

出典：工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン｜経済産業省
https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline.html

その中には、次のような警告が記載されています。

工場システム (産業制御システム (ICS/OT) やこれらを構成する機器、及び接続されるシステム・機器) がインターネットに接続することでセキュリティリスクが増加している。
工場DXが推進されることで製造現場におけるセキュリティも考慮しなければならない。
インターネット接続の機会に乏しいと思われる工場であっても不正侵入者等による攻撃を受けるケースも発生している。いかなる工場においてもサイバー攻撃を受ける可能性があることを認識する必要がある。

[ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン]

ビルSWGは、2019年にエレベータや空調など多くの制御系機器を有するビル分野に関するセキュリティガイドラインとして、「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン（共通編）」第1版を策定しています。最新版は2023年に公開された第2版です。第1版から4年が経過し、ビル分野でも機器やビル同士でデータ連携などが行われる「スマートビル」が進展しており、よりサイバー攻撃の対象となる可能性が高まっていることなどを警告しています。

経済産業省ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン
https://www.meti.go.jp/policy/netsecurity/wg1/building_guideline.html

[スマートホームの安心・安全に向けたサイバー・フィジカル・セキュリティ対策ガイドライン]

スマートホームSWGでは、スマートホームにおける安心で安全な暮らしを実現するための基本的な指針の考え方について検討し、「スマートホームの安心・安全に向けたサイバー・フィジカル・セキュリティ対策ガイドライン」を策定しています。

出典：｜サイバーセキュリティ | JEITA スマートホーム部会｜一般社団法人電子情報技術産業協会（JEITA）

スマートホームでは、IoTに対応した住宅設備・家電機器などがサービスと連携するため、サイバー攻撃などサイバー空間における問題が想定外の開錠や閉じ込めといった問題を引き起こす可能性があります。そこで、スマートホームSWGでは、知識やバックグラウンドが様々なステークホルダーに対応するため、シンプルな対策ガイドから、具体的な対策要件や国際標準との対比まで、セキュリティ対策を階層的に整理しています。

なお、最新版のスマートホームの安心・安全に向けたサイバー・フィジカル・セキュリティ対策ガイドラインは、一般社団法人電子情報技術産業協会（JEITA）のサイトで公開されています。

一般社団法人電子情報技術産業協会（JEITA）
https://home.jeita.or.jp/smarthome/security/

国土交通省、厚生労働省、総務省なども情報セキュリティ対策を公開

交通インフラなどを管轄する国土交通省でも、セキュリティ対策についてのガイドラインが多数公開されています。詳細は国土交通省のサイトから確認してみましょう。

航空分野における情報セキュリティ確保に係る安全ガイドライン
空港分野における情報セキュリティ確保に係る安全ガイドライン
鉄道分野における情報セキュリティ確保に係る安全ガイドライン
水道分野における情報セキュリティ確保に係る安全ガイドライン
物流分野（貨物自動車運送）における情報セキュリティ確保に係る安全ガイドライン
物流分野（倉庫）における情報セキュリティ確保に係る安全ガイドライン
物流分野（船舶運航）における情報セキュリティ確保に係る安全ガイドライン
港湾分野における情報セキュリティ確保に係る安全ガイドライン

国土交通省情報セキュリティ
https://www.mlit.go.jp/sogoseisaku/jouhouka/sosei_jouhouka9999.html

また、医療分野では、複数の省庁がセキュリティ対策についてのガイドライン策定に関与しています。厚生労働省が発行する医療情報システムの安全管理に関するガイドライン、経済産業省と総務省が発行する医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドラインを総称して3省2ガイドラインと呼ばれることもあります。

複数の省庁が医療情報システムに特化したガイドラインを策定するのは、医療情報システムで扱う情報が機微な個人情報であり、適切に管理しなければ患者の生命に影響を及ぼす可能性があるためです。
また、医療分野におけるDXは、医療情報を電子化複数の医療機関などで共有・連携するなどより質の高い医療の提供を目指しています。しかし、そうした重要な医療情報を扱うシステムの安全性は、一般的なITシステムよりも高い水準が要求されます。

厚生労働省医療情報システムの安全管理に関するガイドライン
https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html

総務省・経済産業省医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン
https://www.meti.go.jp/policy/monoinfoservice/healthcare/teikyoujigyousyagl.html

自動車業界には国際標準規格のISO／SAE 21434がある

自動車業界においては、車両のサイバーセキュリティやソフトウェア更新に関わる国際標準規格ISO/SAE 21434が定められ、2026年5月以降は全ての車両に対して適用が義務化されます。

自動車に対するサイバー攻撃は、人命に直結する重大な事故を引き起こす可能性があるため、求められるセキュリティ基準も高くなっています。ISO／SAE 21434では、運用中にハッキングされてもサイバーセキュリティを担保し続けられる仕組みの構築が求められています。

また、自動車業界におけるITシステムのサイバーセキュリティ対策としては、日本自動車工業会（以下、JAMA）と日本自動車部品工業会（以下、JAPIA）が共同で策定した「自工会/部工会・サイバーセキュリティガイドライン」が公開されています。

まとめ

サイバー空間とフィジカル空間が融合し、物理的な機器がサイバー攻撃の標的になりつつある
経済産業省を始めとする多くの省庁がセキュリティ対策のガイドラインを公開している
医療分野や自動車業界には独自の規格やガイドラインがある