サイバー・フィジカル・セキュリティ on Government Report Hub

令和６年度産業サイバーセキュリティ強靭化事業（サイバー・フィジカル・セキュリティ対策フレームワークの利活用に関する調査）調査報告書

Wed, 13 Aug 2025 00:00:00 +0000

本調査は、産業サイバーセキュリティ強靱化事業の枠組み下、サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）の実用化を目的に、企業におけるセキュリティ対策の現状と国際標準化の推進状況を調査した。具体的には、CPSFを活用したセキュリティ対策の実施状況、課題、今後の推進方策を分析した。

令和５年度産業サイバーセキュリティ強靭化事業（サイバー・フィジカル・セキュリティ対策フレームワークの利活用に関する調査）報告書

Tue, 03 Dec 2024 00:00:00 +0000

この報告は、令和5年度産業サイバーセキュリティ強靭化事業におけるサイバー・フィジカル・セキュリティ対策フレームワークの利活用に関する調査について書かれた報告書である。サイバー空間とフィジカル空間が高度に融合したSociety 5.0の実現に向けて、データの信頼性確保とサプライチェーン全体でのサイバーセキュリティ対策が重要な課題となっている。本調査では、CPSFの第3層における協調的なデータ利活用に向けたデータマネジメント・フレームワークの策定と工場スマート化ガイドラインへの統合、機微技術保有組織のサイバーセキュリティ確保に関する国際動向調査を実施した。米国ではNSPM-33により研究機関に具体的なサイバーセキュリティ要件を義務化し、EUではスタッフ作業文書とNIS2指令により研究分野を重要エンティティに指定している。CPSF等に基づく国際規格推進では、ISO/IEC JTC1/SC27/WG4でのISO/IEC 5689プロジェクトを推進し、技術仕様書として策定を進めている。ガイドライン普及啓発では、中小企業の情報セキュリティ対策実態調査により、認知度の低さと支援機関の役割の重要性が明らかになった。IPA機能強化調査では、米国NISTを参考に標準策定機能の一元化と体系化の必要性を提言している。IT ベンダー規制調査では、欧米で進むソフトウェア製造業者への対策義務化や責任明確化の動向を分析し、日本の相互運用性確保の課題を特定した。これらの調査結果を踏まえ、国際ハーモナイゼーションを確保しつつ、産業サイバーセキュリティの強靭化に向けた包括的な取組の推進が求められている。

令和４年度サプライチェーン・サイバーセキュリティ対策促進事業(サイバー・フィジカル・セキュリティ対策フレームワークの利活用に関する調査)調査報告書

Mon, 30 Oct 2023 00:00:00 +0000

この報告は、令和4年度サプライチェーン・サイバーセキュリティ対策促進事業における調査について書かれた報告書である。経済産業省では「Society5.0」の実現に向けて、サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）を策定し、サプライチェーン全体のサイバーセキュリティ強化を推進している。本事業では、サイバー空間におけるつながりの信頼性及びIoT機器等の転写機能の信頼性を確保するための対策要件等に関する動向調査を実施し、日本、米国、欧州、中国等の政策動向や制度について分析を行った。IoT機器等の転写機能の信頼性確保については、欧州では規制による取組みが進展し、米国や日本では民間事業者の自発的な取組み促進が中心となっている。サイバー空間におけるつながりの信頼性確保については、欧州ではデータ保護とデータ共有促進を目的としたルール策定が進み、日本ではData Free Flow with Trustのコンセプトのもと信頼性のあるデータ流通に向けた検討が行われている。CPSF等に基づく国際規格推進では、ISO/IEC JTC1/SC27/WG4と連携して国際規格策定プロジェクトを推進し、PWIやNWIPとしてプロジェクトを進展させた。ガイドライン等の普及・啓発については、IoT-SSFとDMFの適用実証を実施し、製造業等における認知・普及状況調査を行った結果、CPSFやIoT-SSF、DMFの認知率・利用率は他の既存ガイドラインより低く、業界団体やIT事業者からの情報提供が普及に重要な役割を果たすことが判明した。本調査により、各国・地域で個別のルールが策定される現状において、将来的な規制の断片化がグローバル事業者の負担となる可能性が指摘され、国際ハーモナイゼーションの重要性が確認された。

令和４年度サイバー・フィジカル・セキュリティ対策促進事業（SBOM を導入・活用するサプライチェーンモデルの構築に向けた調査・実証事業）報告書

Thu, 05 Oct 2023 00:00:00 +0000

この報告は、令和4年度におけるサイバー・フィジカル・セキュリティ対策促進事業の一環として実施されたSBOM（Software Bill of Materials）を導入・活用するサプライチェーンモデルの構築に向けた調査・実証事業について書かれた報告書である。報告書では、産業活動においてソフトウェアを安全に利活用するための枠組みに関する取組動向として、米国政府機関や欧州政府機関における動向調査が行われ、CISA（Cybersecurity & Infrastructure Security Agency）のVEX（Vulnerability Exploitability eXchange）、NISTのソフトウェアサプライチェーンセキュリティ、欧州のサイバー・レジリエンス法等の取組が詳細に調査されている。また、企業や業界団体におけるソフトウェア管理の取組動向、OSSを含むソフトウェアの安全な利活用に関する調査も実施された。実証事業では、医療機器分野、自動車分野、ソフトウェア分野という3つの分野において、実際にSBOMの導入から活用までの一連のプロセスが検証された。各分野における前提条件や取引慣行を考慮しながら、SBOM初期導入、SBOM生成・共有、SBOM活用・管理の各段階における実施内容とコスト評価、課題の抽出、解決ノウハウの蓄積が行われた。特に脆弱性マネジメントフローの構築や工数評価、医療機関や顧客への提供方法等について詳細な検討が実施されている。 SBOM対応モデルのフレームワークとして、自律的な市場メカニズムの形成を目指し、SBOM対応項目の区分と選択肢を体系化した記述方法が提案されている。実証結果から得られた知見を基に、各分野におけるSBOM適用範囲の改訂案や取引契約における要求条項等も検討され、今後のSBOM普及に向けた課題と取組案がまとめられている。

令和３年度サイバー・フィジカル・セキュリティ対策促進事業先進的手法を用いたセキュリティ検証及び検証サービスビジネスの発展に関する調査報告書

Wed, 22 Mar 2023 00:00:00 +0000

この報告は、IoT機器等に対する先進的手法を用いたセキュリティ検証及び検証サービスビジネスの発展に関する調査について書かれた報告書である。 Society 5.0の実現に向けてサイバー空間とフィジカル空間の高度融合が進む中、IoT機器の増加によりサイバー攻撃が現実社会に与える影響が拡大しており、十分なセキュリティ確保と適切な脆弱性検証基盤の構築が重要となっている。本調査では、国内外のIoT機器等に対する先進的脆弱性検証技術を調査し、検証サービス事業者向けガイドラインの拡充を図るとともに、信頼できる検証主体を確認する仕組みの検討を行った。具体的には、スマートTV、スマートリモコン、カーナビゲーションシステム、産業用無線ルータ・産業用コントローラの4機器区分を選定し、民間検証サービス事業者における脆弱性検証の取組を調査・比較した。検証手法としては、情報収集、想定脅威分析、ハードウェア調査、ファームウェア解析、ネットワークキャプチャ等が主要なものとして確認された。信頼できる検証事業者を確認する仕組みについては、米国HACS制度や英国CHECK制度等の海外事例を参考に、国内外の関連制度において求められる要件を分析し、有識者検討会や業界ヒアリングを通じて検討を重ねた。その結果、情報セキュリティサービス基準審査登録制度に「機器検証サービス」を新たに追加する案を策定し、検証事業者の信頼性確保のための要件項目や審査基準を整理した。機器のサイバーセキュリティ確保については、国内機器メーカーにおけるセキュリティ対策の現状を調査し、企画・設計段階でのセキュリティ方針策定や脆弱性対策の実施状況を把握した。また、海外のラベリング制度やセキュリティ人材確保の取組を調査し、機器のセキュリティ・アシュアランスレベルを判断するための観点を整理した。今後の検証サービスビジネス発展に向けては、制度運用の具体化、ガイドライン普及啓発、人材育成等の継続的な取組が必要であるとした。

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（ＳＢＯＭを導入・活用するサプライチェーンモデルの構築に向けた調査・実証事業）報告書

Wed, 22 Mar 2023 00:00:00 +0000

この報告は、経済産業省が実施したサイバー・フィジカル・セキュリティ対策促進事業におけるSBOM（Software Bill of Materials）を導入・活用するサプライチェーンモデルの構築に向けた調査・実証に関する報告書である。本報告書では、米国政府機関におけるソフトウェアセキュリティ対策の動向調査から始まり、特に米国大統領令EO 14028によるサイバーセキュリティ改善への取組、NTIAのソフトウェア部品透明性に関する活動、CISAやFDA等の政府機関における具体的な施策について詳細に調査された。また、企業や業界団体、OSSコミュニティにおけるソフトウェア管理の取組動向についても、Software ISACやLinux Foundation、Google等の主要プレイヤーの活動が分析されている。 OSSの利活用に関する事例調査では、オリンパスやZendesk等の企業事例を通じて、実際の導入における課題と対応策が整理された。さらに、OpenSSL Heartbleed、ShellShock、Apache Struts2等の重大な脆弱性事例の分析により、OSSセキュリティリスクの実態が明らかにされている。 SBOMの実証では、独自形式による部品管理と比較して、手動SBOM、自動SBOM、有償ツールによるSBOM等の異なる手法によるコスト効果分析が実施された。実証結果により、SBOM導入による脆弱性対応時間の短縮効果、ライセンス管理の効率化、長期的なコスト削減効果が定量的に示されている。特に自動生成ツールの活用により、初期コストは増加するものの運用コストの大幅な削減が可能であることが確認された。

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（中小企業が開発するＩｏＴ機器に関する調査事業）報告書

Wed, 22 Mar 2023 00:00:00 +0000

この報告は、経済産業省が実施した令和３年度サイバー・フィジカル・セキュリティ対策促進事業において、中小企業が開発するIoT機器に関するセキュリティ対策の現状と課題について調査・分析した報告書である。調査背景として、コロナ禍の影響により家庭内でのIoT機器利用が急速に拡大し、スマートホームや職場環境での照明・入退室管理システム、産業分野でのリモートモニタリング等により、IoT機器は年間20～30億台規模で増加している状況が挙げられている。一方で、一般消費者のIoT機器に関する脅威理解度は1割未満に留まり、特に中小企業が発売するIoT機器のセキュリティ対策状況は不明確である。中小企業にとって脆弱性検証サービスは費用面での負担が大きく、開発期間の延長等の理由から必要性が十分に理解されていない現状がある。市場投入後に脆弱性が発見された場合、緊急のセキュリティアップデートや製品回収等の対応が求められ、中小企業の経営に深刻な影響を及ぼす可能性があることから、効果的な検証手法の整理が急務となっている。本調査では、中小企業が販売するIoT機器の実態把握、機器や設計書等の提供依頼、セキュリティ検証事業者のリストアップという3つの観点から調査を実施した。産業向けおよび一般消費者向けのIoT機器を約20の産業分野で各20個程度、合計400個程度を選定し、その中から150個程度を詳細調査対象とした。検証事業者については9社を調査し、各社の検証手法、対象機器、対応意向等を詳細に分析した結果、調査対象とした全てのIoT機器に対して適切な検証が可能であることが確認された。

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（工場等の製造現場におけるサイバーセキュリティ確保に向けた調査）報告書

Wed, 22 Mar 2023 00:00:00 +0000

この報告は、工場等の製造現場におけるサイバーセキュリティ対策について書かれた調査報告書である。経済産業省が「Society5.0」や「Connected Industries」の実現に向けて、産業サイバーセキュリティ研究会を設置し、サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）を策定した背景のもと、工場システムに特化したセキュリティガイドラインの原案を作成することを目的としている。工場システムは従来、内部ネットワークとしてインターネットに接続されない前提で設計されてきたが、IoT化や自動化の進展により外部接続の必要性が増加し、新たなセキュリティリスクが生じている。製造現場では、データ保護だけでなく機器稼働の維持が重要であり、古い設備の段階的なセキュリティ対策導入や、工場規模に応じた対策の必要性がある。調査では、国内外の工場セキュリティ対策の動向を調査し、セキュリティインシデントの発生状況を分析している。製造業では8割を超える組織で何らかのセキュリティインシデントが発生しており、標的型攻撃やランサムウェア感染といった深刻な被害事例も報告されている。自動車メーカーの取引先マルウェア感染による工場停止、パイプラインのランサムウェア被害、半導体工場のWannaCry感染など、生産活動に直接影響を与える事案が相次いでいる。製造業の制御方式は、ディスクリート製造（FA）とプロセス製造（PA）に大別され、それぞれ制御特性やレスポンス性能が異なるため、適用可能なセキュリティ対策も異なる。共通課題として、可用性重視によるシステム停止回避、専用ネットワークと汎用ネットワークの混在、古い装置や機器が混在する環境での対策実施などが挙げられる。工場SWGを設置して「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン案」を策定し、各業界・業種が自らセキュリティ対策を立案・実行できるよう基本的な考え方を示した。今後の検討課題として、国際標準との関係整理、中小企業をカバーする仕組み構築、最低限実施すべき対策の明確化、脅威レベルと対策の紐づけ、解説書の作成などが挙げられている。

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（サイバー・フィジカル・セキュリティ対策フレームワークの実装・推進に関する調査）調査報告書

Wed, 13 Jul 2022 00:00:00 +0000

この報告は、令和3年度サイバー・フィジカル・セキュリティ対策促進事業における調査報告書である。経済産業省では、サイバー空間とフィジカル空間を高度に融合させた超スマート社会「Society5.0」の実現に向けて「Connected Industries」という概念を提唱し、その実現に向けた取り組みを推進している。しかし、ネットワーク化の進展は悪意のある者にとって新たな攻撃機会となるため、サプライチェーン全体でのサイバーセキュリティ確保が必要である。このような背景を踏まえ、経済産業省は平成29年12月に産業サイバーセキュリティ研究会を立ち上げ、平成31年4月にサイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）を策定した。CPSFでは、産業社会を企業間のつながり、フィジカル空間とサイバー空間のつながり、サイバー空間におけるつながりの3つの層に整理し、セキュリティ確保のための信頼性の基点を明確化した。本事業では、サイバー空間におけるつながりの信頼性及びIoT機器等の転写機能の信頼性を確保するための対策要件等に関する動向調査、CPSF等に基づく国際規格推進、研究会・ワーキンググループ・タスクフォースの運営を実施した。IoT機器等の転写機能については、日本、米国、欧州、シンガポールの公開情報等を調査し、IoTセキュリティ・セーフティ・フレームワーク Version1.0実践に向けたユースケース集をまとめた。サイバー空間におけるつながりについては、協調的なデータ利活用に向けたデータマネジメント・フレームワークを策定した。国際規格推進では、ISO/IEC JTC1/SC27/WG4の国内エキスパートと連携し、CPSF をベースにした国際標準化を推進するためのロードマップを策定し、国際規格策定プロジェクトの提案及び推進を行った。

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（サイバーセキュリティ法制度の国際動向等に関する調査）報告書

Wed, 13 Jul 2022 00:00:00 +0000

この報告は、令和3年度にサイバー・フィジカル・セキュリティ対策促進事業として実施された、サイバーセキュリティ法制度の国際動向等に関する調査について書かれた報告書である。我が国が提唱するSociety5.0の実現において、サイバー空間とフィジカル空間の高度融合により新たなサイバーセキュリティリスクが生じており、世界中でサプライチェーンを狙った攻撃や重要インフラのランサムウェア被害が頻発している状況を受けて調査が実施された。調査内容は大きく二つの分野に分かれており、第一に諸外国のサイバーセキュリティに関する法制度や官民の取組について調査している。特に2021年4月以降のランサムウェア関連の動向として、米国のコロニアルパイプライン事件を詳細に分析し、連邦運輸保安庁による法的拘束力を持つ指令の発出など、規制強化の動きを追跡している。また、諸外国の中小企業向けガイドライン、認証制度、政府のサイバー保険普及策、EU諸国におけるソフトウェアセキュリティ確保に向けた取組についても比較調査を行っている。第二の調査分野では、サプライチェーンを支える基盤インフラ技術について調査している。基盤インフラ技術の全体像と政策動向を整理し、スーパーシティの電力、スマートファクトリー、自動車分野のアーキテクチャ例を示しながら、基盤ソフトウェアの課題を明確化している。また、有識者会合を通じて基盤インフラ技術に関して求められる政策についても検討している。報告書では、サイバーインシデントに関する報告制度についても詳細に分析しており、連邦行政機関と民間企業それぞれに課される通知義務の内容と、2021年サイバーインシデント通知法案の概要を整理している。さらに、データローカライゼーションに関する国際的な議論についても考察し、経済発展推進、外国監視回避、国内法執行円滑化といった根拠の妥当性を検証している。最後に、各国のデータローカライゼーション規制の実態を附属文書として整理し、我が国における示唆を提示している。

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（ビルシステムのサイバーセキュリティ高度化に向けた調査）報告書

Wed, 13 Jul 2022 00:00:00 +0000

この報告は、ビルシステムのサイバーセキュリティ高度化について書かれた報告書である。経済産業省は「Society5.0」と「Connected Industries」の実現に向けて、産業構造や社会環境の変化に伴うサイバー攻撃脅威の増大に対応するため、平成30年に産業サイバーセキュリティ研究会ワーキンググループ1を設置し、サイバー・フィジカル・セキュリティ対策フレームワークを策定した。ビル設備分野においても、ビルサブワーキンググループを設置してビルシステムに特化したサイバーセキュリティ確保のための検討を実施し、令和元年にビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン第1版を取りまとめた。しかし、現在のビルガイドラインは初歩的な対応を整理したに過ぎないため、より具体的な対策の例示、高度な攻撃への対応、個々の設備に特化した対応等を取り込む必要がある。本事業では、ビルシステムのサイバーセキュリティ対策の更なる高度化、広範化、個別化に向けた調査を実施するとともに、その推進に資する体制構築に向けた調査を実施した。調査項目として、ビルガイドラインの高度化のための調査では、空調設備システムの対応策に関する調査と共通ガイドラインの拡充に向けた調査を実施した。ビルシステムのサイバーセキュリティ推進体制の調査では、推進体制の情報提供・共有・相談等の機能の実践的評価と推進体制のあり方の調査を行った。また、ビルSWGの運営と作業グループの運営を通じて検討会を運営した。空調編ガイドラインについては、昨年度のビルSWGで提出された空調編本編をブラッシュアップし、ライフサイクルフェーズ別の対応策である別紙の作成作業を実施した。ビルSWGの構成員から合計162件のコメントが寄せられ、空調編作業グループを3回開催してすべてのコメントについて処理を行い、本編と別紙ともに修正を完了した。インシデントレスポンスについては、日本データセンター協会のインシデントレスポンスガイドを参考として検討を開始し、データセンターと一般ビルでは用途も要求レベルも異なることから、一般ビル向けの議論をどのように進めるかを検討するところから始まった。サイバー攻撃がますます高度化し数も増加している状況の中で、ビルが本格的なターゲットとして狙われる可能性があり、ガイドラインの普及や対象の増強を図るとともに、攻撃事例等の情報を常に探っていく必要がある。

令和２年度サイバー・フィジカル・セキュリティ対策促進事業（サプライチェーン・セキュリティ対策に関する調査）報告書

Mon, 28 Mar 2022 00:00:00 +0000

この報告は、複雑化するグローバルなサプライチェーン全体でのセキュリティ確保に向けた施策や各国動向について調査した報告書である。経済産業省による令和２年度サイバー・フィジカル・セキュリティ対策促進事業の一環として実施された調査であり、超スマート社会「Society5.0」の実現に向けてサイバー空間とフィジカル空間が高度に融合する中で生じる新たなセキュリティリスクへの対応策を検討している。調査は三つの主要項目で構成されており、第一にサプライチェーン上の取引先に求めるセキュリティ要件に関する調査では、企業が取引先に求める組織のセキュリティマネジメント確認、製品のセキュリティ機能確認、セキュアな開発プロセスの確認等の評価項目を整理し、CPSFとの対応関係を分析している。第二のサプライチェーンを支える基盤インフラ技術に関する調査では、最新技術動向の把握と政策検討を行い、スーパーシティ構想におけるアーキテクチャ例を示している。第三のサプライチェーン・セキュリティに関する国内外の法令・政策等に関する調査では、ランサムウェア被害の実情と支払い可否の議論動向、脅威インテリジェンスサービスの法令上の問題、情報セキュリティサービス提供者と法執行機関・監督官庁との協力体制について詳細に分析している。特に国際的な協力事例として、米国のNCFTAやFS-ISAC、欧州のEC3、英国やドイツの取り組みを紹介し、官民連携によるサイバー犯罪対策の重要性を示している。

令和２年度サイバー・フィジカル・セキュリティ対策促進事業（ソフトウェアを安全に利活用するための基盤構築に向けた調査）調査報告書

Mon, 28 Mar 2022 00:00:00 +0000

この報告は、令和2年度サイバー・フィジカル・セキュリティ対策促進事業におけるソフトウェアを安全に利活用するための基盤構築に向けた調査について書かれた報告書である。近年、産業活動のサービス化に伴い、産業機械や自動車の制御においてもソフトウェアの導入が進展し、IoT機器・サービスや5G技術においても汎用機器にソフトウェアを組み込むことで多様な付加価値創出が期待されている状況にある。特にオープンソースソフトウェアについては、汎用ライブラリやDBMSを中心として企業の商用製品・サービスにも積極的に採用されており、今やOSSを用いずに製品・サービスを構築することはほぼ不可能な状況となっている。ソフトウェアを利活用した製品・サービスの安全・安心を担保するためには、利活用するソフトウェアの脆弱性管理が重要である。セキュリティ・バイ・デザインの考え方に基づいた企画・設計段階での対策が講じられていても、リリース後に脆弱性が発見される事例が多く、その際にはソフトウェア利活用側でのソフトウェア更新等の対応が求められる。また、自社製品・サービスで利活用しているソフトウェアの保守・サポートが終了する場合には、脆弱性管理について代替ソフトウェアへの変更を含めた検討が必要となる。本調査では、米国商務省の電気通信情報局が平成30年7月から実施しているSoftware Component Transparencyという官民合同の検討体制について詳細な調査を実施した。この取り組みでは、ソフトウェアの脆弱性管理手法のあり方についてユースケースを交えた検討が行われており、SBOM（Software Bill of Materials）の活用に関する実証や既存標準の活用のあり方等に関する議論が進められている。さらに、国内外における企業や業界団体、公的機関、OSSコミュニティにおけるソフトウェア管理の取り組み状況についても調査を実施し、ソフトウェアの利活用に係るセキュリティリスクや課題及び対応策について多角的な検討を行った。

令和２年度サイバー・フィジカル・セキュリティ対策促進事業（ビルシステムのサイバーセキュリティ高度化に向けた調査）調査報告書

Mon, 28 Mar 2022 00:00:00 +0000

この報告は、ビルシステムのサイバーセキュリティ対策ガイドライン高度化に関する調査研究について書かれた報告書である。野村総合研究所が経済産業省の委託を受けて実施した調査の成果をまとめており、空調システムを中心とした個別設備のセキュリティ対策、スマートビルのサイバーセキュリティユースケース、インシデントレスポンス体制の整備、国際動向調査などを包括的に検討している。空調システムに関する個別編ガイドラインの作成では、セントラル空調システムと個別分散空調システムの違いを踏まえたリスク分析を実施し、実際のサイバー攻撃事例として中部国際空港のシステム障害を取り上げ、空調制御装置の故障が共用ネットワーク機器の停止を引き起こし、空港内の6つのシステムに影響を与えた事例を検証した。検討会では、ガイドラインの読み手が実践しやすい内容にすることが重要であり、人命に関わるシステムを優先して対策を講じること、一般ビルだけでなく高度な安全性が求められる施設にも対応できることが議論された。さらに、米国ペンタゴンやEUのNIS指令改正など海外の先行事例を取り込む必要性が指摘され、特に電力配電システム、防災システム、昇降機監視システムなど生命に関わる設備の個別編作成が急務であることが強調された。推進体制については、情報提供・共有・相談機能の実践的評価を行い、ビルのセキュリティ対策における関係者間の連携体制構築の重要性を確認した。今後の課題として、ビルの規模や用途に応じたガイドライン作成、マネジメント層にも理解しやすい体系化、セキュリティとCO2削減などの他の要求事項とのバランス調整が挙げられている。

平成３１年度サイバー・フィジカル・セキュリティ対策促進事業（サイバー空間におけるつながりの信頼性確保に関する調査）調査報告書

Fri, 12 Nov 2021 00:00:00 +0000

この報告書は、サイバー・フィジカル・セキュリティ対策促進事業として実施されたサイバー空間におけるつながりの信頼性確保に関する調査について書かれた報告書である。

我が国では超スマート社会Society5.0の実現に向けて、サイバー空間とフィジカル空間の高度融合により多様なニーズに対応したサービス提供を目指している。経済産業省は様々なデータのつながりから新たな付加価値を創出するConnected Industriesという概念を提唱し、その実現に向けた取組を推進している。一方でネットワーク化の進展に伴い、サイバー攻撃の脅威があらゆる産業活動に潜むようになっており、個々の企業だけでなくサプライチェーン全体としてのセキュリティ確保が必要となっている。

このような背景を踏まえ、平成29年12月に産業サイバーセキュリティ研究会が立ち上げられ、その下に3つのワーキンググループが設置されて議論が進められてきた。特に制度・技術・標準化ワーキンググループでは、サイバー・フィジカル・セキュリティ対策フレームワークの策定に向けた検討が行われている。

Society5.0における産業社会では様々なモノやサービスがつながる中で、サイバー空間におけるデータの信頼性確保が重要な課題となっている。サイバー空間で流通するデータは公開情報から営業秘密まで多様であり、データの種別や用途に応じて求められるセキュリティ要件も異なる。フレームワークではデータの信頼性確保のための対策要件と対策例を提示しているが、実際の産業活動への実装に向けては、より具体的な対策要件の検討が求められている。

本事業では、外国政府の取組やデータセキュリティ対策、データ信頼性の確認手法等を調査し、サイバー空間におけるつながりの信頼性確保のための対策要件と対策水準を検討することを目的として実施された。調査では日本、米国、欧州、国際標準化団体の報告書等を対象とし、産業活動で利活用するデータのセキュリティ確保に向けた政策動向や技術的・制度的枠組について分析が行われた。また第3層タスクフォースでの議論を通じて、具体的なセキュリティ対策要件策定に向けた現状と課題の整理が実施された。

令和元年度サイバー・フィジカル・セキュリティ対策促進事業（ビルシステムのサイバーセキュリティ高度化に向けた調査）調査報告書

Wed, 13 Oct 2021 00:00:00 +0000

この報告は、ビルシステムのサイバーセキュリティ高度化に向けた調査について書かれた報告書である。

令和元年度に株式会社野村総合研究所が実施したサイバー・フィジカル・セキュリティ対策促進事業の調査結果がまとめられている。本調査は既存のビルガイドラインの高度化、推進体制の調査、ビルSWGの運営という三つの主要項目について実施された。

ビルガイドライン高度化については、現在のガイドラインに不足している内容として初心者向け補足と対策立案者向け補足が必要であることが明らかとなった。特に小規模・中規模ビルのオーナーはサイバーセキュリティ知識が不十分であり、どのようなインシデントが想定されるか、どこで攻撃が起こり得るか、どう対応すべきかといった情報を自分事として把握していない状況が確認された。また外部からの不正侵入リスクとUSBメモリを介したマルウェア感染リスクが特に重要な課題として特定された。

国際動向との整合性調査では、海外のサイバーセキュリティ基準の検討動向を調査し、DoE、DoD、IoTSF、ISASecure/ISCI、IECの取組状況について文献・ウェブ調査が実施された。これらの海外基準とビルガイドラインとの比較分析を通じて、実現可能性の高い追加コンテンツ案が取りまとめられた。

推進体制の調査では、既存のサイバーセキュリティ基準の推進体制を分析し、ビルシステムのサイバーセキュリティ推進体制として望まれる機能について調査が行われた。その結果、効果的な推進体制案が策定された。

調査方法としては文献・ウェブ調査、有識者・ビルシステム関係者・セキュリティ専門家へのヒアリング調査を実施するとともに、ビルSWGや作業グループのメンバーからの意見聴取により調査・検討が進められた。作業グループは本事業期間内に13回開催され、空調システムの個別検討、国際連携、インシデントレスポンス、推進体制、ガイドライン内容補足について具体的な議論が行われた。

令和元年度サイバー・フィジカル・セキュリティ対策促進事業先進的手法を用いた脆弱性検証に関する調査報告書

Wed, 28 Apr 2021 00:00:00 +0000

この報告は、IoT機器等に対する先進的手法を用いた脆弱性検証に関する調査について書かれた報告書である。本調査は経済産業省が実施したもので、Society 5.0の実現に向けてサイバー空間とフィジカル空間の融合が進む中、IoT機器のセキュリティ確保と包括的な検証基盤の構築を目的としている。調査では、UTM、ネットワークルータ、タブレット、スマートロックの4機器を選定し、民間検証サービス事業者における脆弱性検証の現状を比較・分析した。各機器の検証手法として、情報収集、ハードウェア調査、ファームウェア解析、バイナリ解析、Webコンソール検証、ファジング等が実施されており、検証には専門的なハードウェア解析ツールや逆アセンブラ等が必要とされる。また、検証者には機器分解スキル、バイナリ解析能力、効率的な検証実施能力等が求められることが明らかになった。さらに、検証サービス事業者の信頼性確保に必要な要件として、情報管理体制と事業としての信頼性が重要であることが確認された。これらの調査結果に基づき、検証サービス事業者向けガイドライン案が作成され、「Proven in Japan」の実現に向けた高水準・高信頼の検証サービス拡大のための包括的な検証基盤構築が提案されている。

令和元年度サイバー・フィジカル・セキュリティ対策促進事業（スマートホームのサイバーセキュリティ確保に向けた調査）調査報告書

Wed, 28 Apr 2021 00:00:00 +0000

この報告は、スマートホームのサイバーセキュリティ対策について書かれた報告書である。経済産業省が推進するSociety 5.0の実現に向けて、Connected Industriesの重点分野であるスマートライフ分野において、様々な機器やサービスがつながることで実現するスマートホームの安心・安全を確保するためのガイドライン整備を目的として実施された調査事業の成果をまとめている。本調査事業では、国内外のスマートホームに係るサイバーセキュリティ対策動向の調査、スマートホームに携わるステークホルダーによるサイバーセキュリティ対策の検討、および有用なガイドライン案の作成という三つの事業を実施した。実施体制として、一般社団法人電子情報技術産業協会が全般的なマネージメントを担い、NECプラットフォームズ株式会社に一部業務を委託し、スマートホームサイバーセキュリティWG、作業WG、有識者会議を設置して事業を推進した。動向調査では、IoTセキュリティガイドライン、NIST規格、英国政府の行動規範、ETSI規格など14の国内外文献を対象として分析を行った。スマートホームの安心・安全の実現に向けたサイバーセキュリティ対策の検討では、サイバー・フィジカル・セキュリティ対策フレームワークを参照し、IoT機器を中心とした検討を進めた。ステークホルダーとして、IoT機器関連事業者、IoT機器管理事業者、サービス関連事業者、スマートホーム供給事業者、サポート・メンテナンス事業者、集合住宅管理者、住まい手の8つを設定した。また、センサデータの送信、サービス提供、ライフサイクル、IoT機器の外部管理という4つのユースケースを設定し、各ユースケースにおけるインシデント、脅威、脆弱性、対策を検討した。

令和元年度サイバー・フィジカル・セキュリティ対策促進事業（ソフトウェアを安全に利活用するための基盤構築に向けた調査）調査報告書

Wed, 28 Apr 2021 00:00:00 +0000

この報告は、ソフトウェアを安全に利活用するための基盤構築に向けた調査について書かれた報告書である。産業活動のサービス化に伴い、OSS（オープンソースソフトウェア）を含むソフトウェアの重要性が高まる中、IoT機器や5G技術における汎用システムでのソフトウェア活用により様々な付加価値創出が期待されている。しかし、OSSを用いない製品・サービス構築は困難となっており、ソフトウェアの脆弱性管理が安全・安心な利活用の鍵となっている。報告書では、米国商務省電気通信情報局（NTIA）が2018年から実施するソフトウェア透明性に関する官民合同検討の動向を詳細に調査し、4つのワーキンググループによるSBoM（ソフトウェア部品表）活用実証や既存標準活用等の議論進展を整理している。また、国内における様々な業種でのOSS利用拡大状況と、各企業の品質管理体制構築における脆弱性対策の取り組み、開発後サポート体制整備等の先進事例を調査している。さらに、2019年11月に実施した国内事業者参加の意見交換検討会では、NTIAゲストスピーカーによるソフトウェア透明性確保とSBoM進捗報告後、現状の脆弱性課題認識や各企業・組織の取り組み概要、官民連携のあり方等が活発に議論された。この調査により、OSS利活用に起因するセキュリティリスクの洗い出しと、国内外のソフトウェア脆弱性管理取組動向の把握を通じて、多角的観点からOSSを含むソフトウェアを安全に利活用できる基盤構築に向けた検討基礎資料を作成し、我が国のサイバーセキュリティ政策立案に資することを目的としている。

令和元年度サイバー・フィジカル・セキュリティ対策促進事業（フィジカル空間とサイバー空間のつながりの信頼性確保のためのセキュリティ対策に関する調査）報告書

Wed, 28 Apr 2021 00:00:00 +0000

この報告書は、経済産業省が実施したフィジカル空間とサイバー空間のつながりの信頼性確保のためのセキュリティ対策に関する調査についてまとめた報告書である。背景として、我が国が推進する超スマート社会「Society5.0」の実現において、サイバー空間とフィジカル空間の高度な融合が求められる一方で、サイバー攻撃の起点拡散やフィジカル空間への影響増大という新たなリスクへの対応が必要となっている。このため経済産業省では平成31年4月にサイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）を策定し、産業社会を三つの層に整理してセキュリティ確保の信頼性基点を明確化した。本調査では、CPSFにおける第2層のフィジカル空間とサイバー空間の境界において、IoT機器・システムがフィジカル・サイバー間を正確に転写する機能の信頼性確保に求められるセキュリティ対策や、IoT機器・システムとつながるデータセンターの基盤技術等のセキュリティ対策について検討を進めた。調査では東京大学の江崎浩教授を座長とする19名の専門家による検討会を開催し、次世代基盤インフラの検討プロセスやアプリケーションの分野、研究開発の必要な技術分野について議論した。また、IoT機器・システムやデータセンターの基盤技術に関するセキュリティの技術動向調査を実施し、5Gインフラの基本構成や脅威対象、データセンターのサービスレイヤー構造について分析した。さらに国内外の法令・ガイドライン・対応策等に関する調査を行い、サイバー攻撃・マルウェアの最近の事例や攻撃手法調査・マルウェア研究等がサイバー犯罪に該当した事例について検証した。特に情報セキュリティベンダ企業等の法令遵守・対応を促すための政策提言として、両用ツールについては高度の蓋然性とその認識・認容が必要であることを確認し、コンピュータウイルスの保管については「正当な理由の不存在」という要件の精査が必要であることを示した。

サイバー・フィジカル・セキュリティ on Government Report Hub

令和６年度産業サイバーセキュリティ強靭化事業（サイバー・フィジカル・セキュリティ対策フレームワークの利活用に関する調査）調査報告書

令和５年度産業サイバーセキュリティ強靭化事業（サイバー・フィジカル・セキュリティ対策フレームワークの利活用に関する調査）報告書

令和４年度サプライチェーン・サイバーセキュリティ対策促進事業(サイバー・フィジカル・セキュリティ対策フレームワークの利活用に関する調査)調査報告書

令和４年度サイバー・フィジカル・セキュリティ対策促進事業（SBOM を導入・活用するサプライチェーンモデルの構築に向けた調査・実証事業）報告書

令和３年度サイバー・フィジカル・セキュリティ対策促進事業 先進的手法を用いたセキュリティ検証及び検証サービスビジネスの発展に関する調査報告書

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（ＳＢＯＭを導入・活用するサプライチェーンモデルの構築に向けた調査・実証事業）報告書

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（中小企業が開発するＩｏＴ機器に関する調査事業）報告書

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（工場等の製造現場におけるサイバーセキュリティ確保に向けた調査）報告書

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（サイバー・フィジカル・セキュリティ対策フレームワークの実装・推進に関する調査）調査報告書

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（サイバーセキュリティ法制度の国際動向等に関する調査）報告書

令和３年度サイバー・フィジカル・セキュリティ対策促進事業（ビルシステムのサイバーセキュリティ高度化に向けた調査）報告書

令和２年度サイバー・フィジカル・セキュリティ対策促進事業（サプライチェーン・セキュリティ対策に関する調査）報告書

令和２年度サイバー・フィジカル・セキュリティ対策促進事業（ソフトウェアを安全に利活用するための基盤構築に向けた調査）調査報告書

令和２年度サイバー・フィジカル・セキュリティ対策促進事業（ビルシステムのサイバーセキュリティ高度化に向けた調査）調査報告書

平成３１年度サイバー・フィジカル・セキュリティ対策促進事業（サイバー空間におけるつながりの信頼性確保に関する調査）調査報告書

令和元年度サイバー・フィジカル・セキュリティ対策促進事業（ビルシステムのサイバーセキュリティ高度化に向けた調査）調査報告書

令和元年度サイバー・フィジカル・セキュリティ対策促進事業 先進的手法を用いた脆弱性検証に関する調査 報告書

令和元年度サイバー・フィジカル・セキュリティ対策促進事業（スマートホームのサイバーセキュリティ確保に向けた調査）調査報告書

令和元年度サイバー・フィジカル・セキュリティ対策促進事業（ソフトウェアを安全に利活用するための基盤構築に向けた調査）調査報告書

令和元年度サイバー・フィジカル・セキュリティ対策促進事業（フィジカル空間とサイバー空間のつながりの信頼性確保のためのセキュリティ対策に関する調査）報告書

令和３年度サイバー・フィジカル・セキュリティ対策促進事業先進的手法を用いたセキュリティ検証及び検証サービスビジネスの発展に関する調査報告書

令和元年度サイバー・フィジカル・セキュリティ対策促進事業先進的手法を用いた脆弱性検証に関する調査報告書