CPSF策定の背景を理解するために、Society 5.0についてまずは説明します。
Society 5.0とは、IoT（モノのインターネット）で全ての人とモノがつながり、様々な知識や情報が共有され、今までにない新たな価値を生み出す社会のことです。これまでの社会(Society4.0：情報社会)では、サイバー空間とフィジカル空間(現実世界)が分かれており、人々は必要に応じてサイバー空間にアクセスして情報を得ていました。しかしSociety 5.0になると、サイバー空間とフィジカル空間は高度に融合した社会になります。サイバー空間にある情報がリアルタイムにフィジカル空間に伝達される、AI等によってフィジカル空間にあるモノが制御される等、こちらからの積極的なアクセスを待たずして、日々の生活の中にサイバー空間が溶け込んでくるようになるのです。

自動車の運転を例に考えてみましょう。現状、自動車を運転するのは人です。インターネットにつながったナビを搭載することで、目的地までどの道を走れば良いかがリアルタイムで分かります。これが、フィジカル空間からサイバー空間にアクセスして情報を得ている状態です。 これがSociety 5.0になると、人ではなくAIが自動車を運転してくれます。目的地さえ指定してしまえば、そこから先は自動車が勝手に人を運んでくれるのです。目的地への道順の設定、自動車の加速や減速、ハンドル操作等、あらゆる操作をAIが自動で実施します。このように、サイバー空間にあるはずのAIが自動車のハンドル操作までをも引き受けている状態が、サイバー空間とフィジカル空間の融合に該当します。

今後、自動運転に限らず、あらゆるモノやサービスがサイバー空間と融合していきます。RPA（ソフトウエアロボットによる業務自動化）によって、定型のデスクワークをロボットが代替するようになります。ローンの審査も信用スコアによって管理され、人ではなくAIが審査します。睡眠時間でさえ、スマートフォンのアプリで睡眠の質を計測してフィードバックを受けるようになります。

さらに、この連携は産業間でも推進され（経済産業省が産業のあり方として「Connected Industries」を提唱）、社会全体で、サイバー空間とフィジカル空間が融合していくのがSociety 5.0です。

では、Society 5.0が到来すると、サイバーセキュリティの分野にはどのような影響が出るでしょうか。CPSFは、Society 5.0が到来すると、サイバーセキュリティの分野にはどのような影響が出るでしょうか。CPSFはこれを「価値創造過程(バリュークリエイションプロセス)」という概念を用いて説明しています。

社会がSociety 5.0を実現していくにつれ、サイバー空間とフィジカル空間が融合し、サプライチェーンの形態がより柔軟で動的なものに変化します。

先ほどの自動運転の例で言えば、従来、自動車のサプライチェーンは自動車メーカーが自動車を設計・製造して消費者に納品することで終了していました。今後は、単に自動車を納品するにとどまらず、消費者の運転データ(走行場所、走行時間、走行距離、急ブレーキの頻度や走行中に流す音楽の傾向等)を収集し、それに基づいて自動運転システムを更新し、再度消費者に提供するといったサイクルも生じます。つまり、一度商品やサービスが消費者に提供された後も、データの収集やシステムのアップデート等を通じて消費者とのサプライ関係が継続するのです。

CPSFではこの新たな形のサプライチェーンをバリュークリエイションプロセスと呼んでいます。バリュークリエイションプロセスでは、サイバー空間とフィジカル空間の接点の全てがサイバー攻撃の対象になると考えられます。自動運転の例でも、自動車を製造する工場のシステムに対する攻撃だけではなく、製品としての自動車そのものに対する攻撃や、本社等に蓄積された消費者の運転データ(個人情報)に対する攻撃も考えられます

そのため、CPSFではセキュリティ担当者はもちろん、サプライチェーンに関わる担当者など、多岐にわたる以下のような人を想定読者としています。

• CISO（最高情報セキュリティ責任者）
• サプライチェーンマネジメントに関わる戦略・企画部門の担当者(主に第Ⅰ部)
• バリュークリエイションプロセスに関わる企業・団体等のセキュリティ担当者
• 情報関連機器、制御系機器の開発・品質保証、システム設計・構築・検証担当者
• データマネジメントの担当者
• 各産業分野におけるセキュリティ対策のガイドライン等を策定する業界団体等の担当者

•全体の構成
CPSFは、第Ⅰ部：コンセプト、第Ⅱ部：ポリシー、第Ⅲ部：メソッドの3部構成に加え、A~Eまでの5つの添付資料で成り立っています。このうち、第Ⅱ部と添付資料AおよびB、第Ⅲ部と添付資料Cがそれぞれ対応しており、添付資料DとEは全体に対する参考資料という位置づけになっています。

•第Ⅰ部：コンセプト(CPSFで使用する用語の理解と産業構造の整理)
第Ⅰ部では、CPSFで使用する基本概念が説明されています。バリュークリエイションプロセスは「三層構造」と「6つの構成要素」を持っています。
三層構造は、企業間のつながりを表す第1層と、サイバー空間におけるつながりを表す第3層、そして第1層(フィジカル空間)と第3層(サイバー空間)をつなぐ第2層の3つです。

そして、バリュークリエイションプロセスに登場する構成要素として、「ソシキ」「ヒト」「モノ」「データ」「プロシージャ」「システム」の6つがあります。

これらの用語に基づいて自社の産業構造を整理することで、第Ⅱ部以降のリスク分析と対策検討の下地を整えていきます。

•第Ⅱ部：ポリシー(リスク分析と対策要件の洗い出し)
第Ⅱ部では、リスク分析の手法が解説されています。ここで用いるリスク分析の手法は極めて標準的なものなので、リスク管理に関する業務経験を持っていれば難なく読めることと思います。

ここで行うことは、大きくわけて4つあります。まず分析対象を明確化し、次に想定されるセキュリティインシデントおよび事業被害レベルを設定します。そして、設定したインシデントが発生するシナリオを検討し、そのシナリオが発生しないような対応策を検討する、という流れです。

分析対象の明確化を行う際には、添付資料Aを参考にすると良いでしょう。添付資料Aでは、製造業や電気システム等の代表的な産業に適用した場合のユースケースが提示されており、自社の産業が添付資料Aに記載されていれば、これを基に検討するのが便利です。

添付資料Bは、三層構造における各層の機能、想定されるセキュリティインシデント、リスク源(脅威、脆弱性)、対策要件を一覧化したものです。自社で分析対象として指定した機能に対し、どのような分析が可能かという例が記載されているため、こちらも参考として利用するのが良いでしょう。
なお、添付資料Bに載っている対策要件IDは、添付資料Cの表と直接紐づくものであることに注意が必要です。

•第Ⅲ部：メソッド(具体的な対策の検討)
第Ⅲ部では、第Ⅱ部で特定した対策要件に対する、具体的な対策例が示されています。ここでは主に添付資料Cを参照します。本文には、対策を検討するにあたっての基本的な考え方と添付資料Cの読み方が記載されています。
なお、リスク分析で抽出した対策要件を、添付資料Cから効率的に探すために重要となるのが資料Bに記載されていた対策要件IDです。対策要件は、その種類に応じて20のカテゴリに分類されています。なお、この分類はNIST Cybersecurity Frameworkとも呼応しており、グローバルハーモナイゼーションの実現に向けて、各国の認証制度との相互承認が得られやすいように考慮されています。

添付資料Cは対策要件カテゴリごとに対策例が並べられています。そのため、リスク分析で抽出した対策要件を、対策要件IDを基に探すことで、具体的な対策例を参照できるという構造になっています。
企業はこの対策例の中から自社に相応しい対策を選択することができるほか、サプライチェーン上の取引先に本フレームワークの特定の対策要件への準拠を求めることにより、セキュリティガバナンスを強化することが可能となります。

以上がCPSFの全体像です。Society 5.0の到来を控え、企業は自社の製品や社内システムだけにとどまらず、自社が関わるサプライチェーン全体を対象としたサイバーセキュリティ対策を講じる必要があります。CPSFが公表されて約1年半が経過していますが、バリュークリエイションプロセスという概念の理解や、これに対する対応はまだ社会に浸透しているとは言えません。改めて、CPSFを基に自社のサイバーセキュリティ対策状況を見直すことをおすすめします。