CSF 2.0の公共交通事業者向けコミュニティプロファイル「IR 8576」を公表 NIST
米国国立標準技術研究所（NIST）は2026年8月、米国の公共交通事業者向けにサイバーセキュリティ対策の優先順位付けやリスク管理を支援する指針「NIST IR 8576,Transit Cybersecurity Framework Community Profile（通称：Transit Profile）」を公表しました。デジタル化が進む鉄道、地下鉄、バスなどの公共交通機関をサイバー攻撃から守るため、NISTのサイバーセキュリティフレームワーク2.0（NIST CSF 2.0）を交通分野へ適用したコミュニティプロファイルです。
NIST CSF 2.0では、汎用的な106の項目（サブカテゴリー）の中から、特定業界や特定の脅威に合わせて重要な目標や対策を整理し、共通のベースライン（出発点）として提示する「コミュニティプロファイル」という仕組みを導入しています。コミュニティプロファイルによって必要な対策を効率よく絞り込むことができ、共通の評価基準として活用できるメリットがあります。代表的な先行事例としては、「特定の脅威＝ランサムウェア攻撃」に特化したNIST IR 8374 Rev. 1（Ransomware Risk Management: A Cybersecurity Framework (CSF) 2.0 Community Profile）があります。
公共交通分野では、運賃決済や乗客案内（IT）と、運行管理や列車制御、信号、電気バスの充電管理（OT）がネットワーク接続され、攻撃を受ける領域が急速に拡大しました。一方で、現場には人命を守る「安全最優先」と「定時運行（時間厳守・可用性）」を絶対視する考え方があり、セキュリティ対策の導入によって安全制御機能に支障をきたしたり、運行が遅延したりすることのないよう、慎重な設計と検証が求められます。今般公表されたNIST IR 8576は、こうした公共交通分野特有の課題を踏まえ、安全運行と定時運行を維持しながらITとOTの双方にまたがるサイバーセキュリティリスクを管理するためのガイドとして策定されました。
CSF 2.0の要件を交通事業者が実践しやすいよう、戦略的フォーカスエリアは３つに整理されました。1つ目はクリティカルな資産の安全な管理と確保、2つ目はパートナーおよびサプライヤーとの強力な連携、3つ目は組織および従業員の継続的な能力向上です。
さらに、人員や予算が限られる中小規模の事業者でも導入できるよう、対策の優先順位を「最優先で取り組むべき活動（Elevated）」と「支援活動（Supporting）」の2段階に分類。事業者は自社の規模やリスク、利用可能なリソースなどに応じて、取り組む項目の優先順位を調整できます。
