重要インフラ規制が問う「誰が・いつ・何に接続したか」

「うちの遠隔保守は、誰が・いつ・どの装置に接続したか、いますぐ示せますか」——この問いに即答できるかどうかが、これからの重要インフラ規制対応の分かれ目になります。

なぜ今か 「努力目標」だった重要インフラ対策に施行日が付いた

これまで重要インフラのサイバーセキュリティは、「重要インフラのサイバーセキュリティに係る行動計画」と「安全基準等策定指針」を土台に運用されてきました。その性格は、サイバーセキュリティ基本法に基づく努力義務——「自主的かつ積極的に努める」——であり、罰則を伴う直接の義務ではありませんでした。

しかし、2つの法律がこの土台の上に「施行日を持つ規制」を重ねます。経済安全保障推進法の基幹インフラ制度は2024年5月17日から規律が適用され、サイバー対処能力強化法（正式名称「重要電子計算機に対する不正な行為による被害の防止に関する法律」・令和7年法律第42号）は2026年10月1日に施行されます。「いつかやるべきこと」から「いつまでに整えること」へと、時間軸が引かれたのです。

2023年7月の名古屋港の業務停止のように、重要インフラが「止まる」事態はすでに現実のものとなっています。

問いの正体 規制が収れんする問い——「誰が・いつ・何に接続したか」

2つの法律は、同じ「外部接続・重要設備」に、異なるタイミングで義務をかけます。経済安全保障推進法は、特定重要設備の導入や重要維持管理等の委託を行う際の事前の届出・審査。サイバー対処能力強化法は、特定重要電子計算機の導入時の届出と、侵害事象を認知した際の事後の報告です。導入の前と、インシデントの後——外部接続をめぐる説明責任が、二重に重なります。

安全基準等策定指針（2025年6月27日 一部改定）も、制御システムが遠隔監視・制御のために外部と接続される場面を名指しでリスクアセスメントの対象とし（指針 4.2）、供給者や委託先が事業者の資産にアクセスするリスクを低減するためのセキュリティ要求事項を、あらかじめ供給者と合意することを求めています（指針 5.1.2）。

ここで現場が直面するのが、OT特有の事情です。制御システムは元来、外部と接続しない閉域での運用を前提としてきました。しかし遠隔保守・遠隔監視のための外部接続が常態化した今、VPNや共有アカウントのままでは「誰が・いつ・どの装置に・何をしたか」が残りません。問われたときに「見せられる」状態になっていないのです。

方向性 指針が示す統制の輪郭

では、何を整えればよいのか。安全基準等策定指針の技術的対策（指針 5.4）が、その輪郭を示しています。

• 利用者とアクセス権を、登録・変更・削除の正式なプロセスで管理し、定期的にレビューすること（指針 5.4.1）
• 最小権限と職務の分離を前提に、多要素認証を活用すること（指針 5.4.2）
• 専用線や暗号、ネットワークの分離、ログ取得・監視によって通信を保護すること（指針 5.4.4）

言い換えれば、規制が最終的に求めているのは、外部からの接続を「誰が・いつ・何に」という単位で承認し、記録し、必要なら遮断できる統制です。届出や報告は、その統制があってはじめて、正確に・速やかに行えます。

実装 「承認された接続」を実装する

Secomeaは、この問いに「実装基盤」で応えます。指針 5.4 が示す統制の輪郭は、製品の機能にそのまま対応します。

接続は「承認された人だけが、承認された装置に、承認された時間だけ」という単位で成立し、すべてのセッションが証跡として残ります。さらにSecomeaは、IEC 62443-4-1 認証を取得（TÜV）し、IEC 62443-4-2 について第三者監査により準拠を実証しています。これは、指針 5.1.4「システムの取得・開発・保守」が活用を促す「第三者認証を受けた製品」「対策状況を公開している信頼できる事業者の製品」に当たります。