サイバー保険の検討や生成AI・PQCへの対策を明記、「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」決定 NCO
内閣官房国家サイバー統括室（NCO）は2026年9月11日、重要インフラの所管省庁や業界団体が安全基準を策定・改定する際の参照指針となる「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」（以下、安全基準等策定ガイドライン）を決定しました。「重要インフラ統一基準」（2026年7月31日決定）とともに、2026年10月1日に施行されます。これにより従来の「安全基準等策定指針」は廃止され、これまで分野・事業者ごとに生じていたセキュリティ水準のばらつきを解消し、各分野の特性に応じた底上げと実効性強化を図る新たな運用体系へ移行します。
安全基準等策定ガイドラインの対象は、情報通信・金融・航空・空港・鉄道・電力・ガス・行政サービス・医療・水道・物流・化学・クレジット・石油・港湾・郵便の16分野です。重要インフラ事業者等に対し、機器納入やシステム運用を担うサプライチェーン関係事業者、IT/OTベンダー、海外拠点、委託先までを含めたリスク管理を求めており、経済安全保障推進法に基づくリスク管理措置との連動も視野に入れた包括的な設計となっています。
ガイドラインでは、攻撃を完全に防ぐことは困難であるとの前提に立ち、サービスの持続的な提供を目指す「任務保証」と、被害発生時の影響を抑えて早期回復を図る「レジリエンス」の確保を柱に掲げています。
全体構成は、「重要インフラ統一基準」の体系に沿っています。具体的には、「組織統治」「識別」「防御」「検知」「対応及び復旧」の5つの中核区分と、「技術・脅威の動向等を踏まえた対策」で整理されています。それぞれの対策項目は、3段構造で記述されています（表1）。
表1 ガイドラインにおける対策事項の3段構造
| 区分 | 概要 | 目的・位置づけ |
|---|---|---|
| 重要インフラ統一基準における規定 | 2026年7月31日に決定した「重要インフラ統一基準」第3部の規定をそのまま引用 | 各分野の安全基準等を策定する際の共通ベースライン |
| 講ずべき対策事項 | 重要インフラ統一基準の規定を具体化し、重要インフラ事業者等が分野・事業者横断的に取り組むべき基本的対策 | 全分野共通で取り組むべき基本水準の確保（セキュリティ水準の底上げ） |
| 講ずることが望ましい対策事項 | 技術・コスト面などで直ちに一律実施することが難しい先進的な対策。すべてに記載があるわけではない。 | 各分野の実情に応じたセキュリティ水準の「さらなる向上」 |
出典 内閣官房国家サイバー統括室「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」を基にニュートン・コンサルティング作成
ガイドライン策定にあたっては、近年の脅威環境や技術革新を踏まえた最新要件が盛り込まれました。以下にいくつかピックアップして紹介します。
- ・サイバーリスクの経営リスク化とリスクファイナンス【講ずべき対策事項】
- ランサムウェア攻撃による極めて甚大な被害に備え、自組織の許容限界を超えるリスクを「サイバー保険等で共有・移転できないか」を検討すること（講ずべき対策事項）。その検討結果について、経営層（CEOなど）に報告し、承認を得ること（講ずべき対策事項）。
- ・生成AI悪用とパッチ迅速化【講ずべき対策事項】
- 攻撃者のAI悪用による脆弱性攻撃の高速化に備え、重要資産への優先的パッチ適用に向けた作業方針と運用体制の確立が求められています。
- ・「閉域網だから安全」という過信の排除【講ずべき対策事項】
- 工場やプラントなどの制御システム（OT）においても「閉域網だから安全」という過信を排して対策を検討・実施すること（講ずべき対策事項）。
- ・耐量子計算機暗号（PQC）への移行準備【講ずべき・望ましい対策事項】
- 原則2035年までのPQC移行目標の把握（講ずべき対策事項）を踏まえ、自組織の使用暗号を把握する「クリプト・インベントリ」の作成などが示されています（望ましい対策事項）。
- ・サプライチェーンの可視化と評価【講ずべき・望ましい対策事項】
- 委託先管理の徹底は講ずべき対策事項です。望ましい対策として、ソフトウェア部品表（SBOM）の活用や、委託先などのセキュリティ対策状況を確認する手段として「SCS評価制度」などの第三者評価の枠組みを活用することが挙げられています。
