経済産業省は10月23日、企業が自社と取引先を含めたサイバーセキュリティ対策を組み立てる際の枠組み「サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）」の改訂版となるversion 1.1の案を公表し、意見の募集を始めた。2019年4月のversion 1.0策定以来、初めての改訂となる。米国立標準技術研究所（NIST）のサイバーセキュリティフレームワーク（CSF）2.0など、策定時に参照した国際規格が相次いで改版されたことを受け、対策要件をCSF 2.0と同じ「統治」「識別」「防御」「検知」「対応」「復旧」の6機能に組み替える。意見は12月21日まで受け付ける。
策定から約7年、参照した国際規格が相次ぎ改版
CPSFは、サイバー空間とフィジカル（現実）空間が結び付いた産業社会で、企業が直面するリスク源を洗い出し、それに見合う対策を選ぶための枠組みとして経産省が2019年4月18日に策定した。対象は、さまざまなモノやデータがつながって付加価値を生む活動全体で、経産省はこれを「バリュークリエイションプロセス」と呼ぶ。想定読者には、最高情報セキュリティ責任者（CISO）、サプライチェーン管理を担う企画部門、機器やシステムの開発担当者、業界ごとの指針をつくる業界団体の担当者などを挙げている。法令に基づく義務ではなく、行政手続法に基づかない任意の意見募集の形を取る。
経産省は改訂概要の中で、策定から約7年が経過し、対策要件と対策例が最新のセキュリティ動向を反映できていないと説明した。CSF 2.0への改訂をはじめ、NISTの「SP 800-53 Rev.5」「SP 800-171 Rev.3」、国際規格「ISO/IEC 27001:2022」など、version 1.0の策定に用いた主要規格が更新されている。対策例についても参照すべき基準が多岐にわたり、利用者にとって拠りどころとすべき文書が分かりにくい状態にあるとした。
意見公募要領は、クラウドサービスの普及やIoT機器の高度化でサプライチェーンのつながりが複雑になる一方、サイバー攻撃の手法は巧妙化・組織化しており、「産業界における脅威はかつてないほど高まっています」と記している。改訂には情報処理推進機構（IPA）の技術的な支援を受けた。
対策要件をCSF 2.0の6機能で組み直す
CPSFは三部構成で、第Ⅰ部が基本の考え方（コンセプト）、第Ⅱ部がリスク源と対策要件の整理（ポリシー）、第Ⅲ部が対策要件ごとの具体的な対策例（メソッド）にあたる。これに、産業ごとの適用例や国際規格との対応表などの添付A〜Eが付く。経産省は、第Ⅰ部を枠組みの信頼性を保つ安定した部分、第Ⅲ部と添付を頻繁に見直す部分と位置づけている。
今回の改訂はこの考え方に沿い、第Ⅲ部と添付B〜Eに限る。第Ⅰ部、第Ⅱ部、添付A（ユースケース）は改訂の対象から外し、将来改める予定とした。
中心となるのは第Ⅲ部の対策要件の組み替えだ。version 1.1案では、対策要件を6つの機能、その下のカテゴリ、個々の要件という3段の体系で整理した。本文案によると、「統治」は組織のサイバーセキュリティリスク管理の戦略・方針・役割を定め、ほかの機能の方向性と優先順位を決める役割を担う。「識別」は資産やサプライヤー、リスクを把握し、「防御」は対策を講じて被害の発生と影響を抑える。「検知」は攻撃や異常の兆候を見つけて分析し、「対応」と「復旧」は事案発生後の措置にあたる。
要件の番号も付け直す。たとえばversion 1.0で「CPS.GV-2」として国内外の法令や業界の指針を考慮した社内ルールの策定を求めていた要件は、監視業務での法令順守を求めた「CPS.DP-2」と合わせ、version 1.1案では「CPS.GV.OC-02」に統合される。新しい文言では、法的要求事項や契約上の要求事項に「プライバシー及び市民的自由の義務」を含むと明記した。自組織のミッションを理解してリスク管理の判断に用いる「CPS.GV.OC-01」のように、version 1.0に対応する要件が無い新設の項目もある。経産省は、旧要件が新要件のどれに統合・対応したかを示す新旧対応表を改訂概要に収めた。
対策例に経営層の関与やゼロトラストを追加
具体的な対策例を並べた添付Cでは、6機能ごとに新しい項目を加えた。改訂概要が挙げる主なものは次のとおりだ。
「統治」では、経営層に自社の対策状況を報告する頻度と方法を決めることや、経営層の関与の下で取引先を含むサプライチェーンのリスクを扱うことを加えた。サイバー保険に加入するかどうかの判断も、リスクへの対応手段として新たに盛り込んだ。「識別」では、脅威情報（脅威インテリジェンス）の活用と、潜んでいる脅威を能動的に探す「脅威ハンティング」、侵入試験（ペネトレーションテスト）と第三者評価、取引先と合同で行う演習や事案後の共同の振り返りを加えた。
「防御」には、アクセス権の定期的な棚卸しや、認証・認可を強める「ゼロトラストアーキテクチャ」の導入、プロセッサーやメモリーに残るデータの消去を加えた。「検知」では、ハードウェアの改ざんや標準設定からの逸脱の監視、攻撃活動の検知手法を広げるための「デセプション技術」を使った監視を挙げた。「対応」では経営層への事案の状況報告、「復旧」では復旧に使う資産の使用前の完全性検証や、事後報告書の作成、復旧状況と再発防止策の社内外への周知を盛り込んだ。
対策例は従来どおり、導入と運用にかかる費用や適用範囲に応じて「High-Advanced」「Advanced」「Basic」の3段階に分ける。本文案は、企業がこの区分を使って自社の現状と目標の水準を定め、その差から優先して取り組む対策を決める使い方を示している。
国際規格との対応表を収めた添付Dも、参照先をそれぞれ最新版に差し替える。
| 対応表 | version 1.0の参照先 | version 1.1案の参照先 |
|---|---|---|
| D.1 | NIST CSF 1.1 | NIST CSF 2.0 |
| D.2 | NIST SP 800-171（Rev.1）、SP 800-53（Rev.4） | NIST SP 800-171（Rev.3）、SP 800-53（Rev.5） |
| D.3 | ISO/IEC 27001:2013 付属書A | ISO/IEC 27001:2022 付属書A |
出典: 経済産業省「CPSFの改訂概要」
取引先評価の「SCS評価制度」と結び付ける
今回の改訂で、経産省は添付Cの対策例を見直す材料として、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の★3、★4の評価基準を取り込んだ。改訂概要は、SCS評価制度の評価基準が最新のセキュリティ動向を踏まえた具体的な記述を備えているとして、NISTの文書などと並べて参照したと説明している。
SCS評価制度は、経産省と内閣官房国家サイバー統括室が設計を進めている制度で、2026年3月27日に制度構築方針が公表された。経産省によると、取引先の対策状況を外から判断しにくいという発注側の課題と、複数の取引先からばらばらの対策を求められるという受注側の課題に対応するため、企業の対策状況を共通の基準で評価し、目に見えるようにする。対象は企業のIT基盤で、工場の制御（OT）システムなどは直接の対象としない。
段階は★3と★4に分け、★5は今後検討する。★3と★4は2026年度末ごろの申請受付の開始をめざしている。経産省は、★の取得は取引契約の中で決まるもので、制度として規制を課すものではない「任意の制度」だとしている。中小企業の取得を支える取り組みは、中小企業のサイバー対策、15事業者が1年間無償で伴走 IPAが10月から実証 ランサム被害226件の約6割が中小企業で伝えた。
CPSFの対策例にSCS評価制度の基準が入ることで、企業がCPSFに沿って対策を整理すれば、取引先から求められる★の水準と照らし合わせやすくなる。
AIのリスクは次年度以降に
経産省は、AIがもたらすリスクへの対応を今回の改訂から外した。改訂概要では、AIエージェントをめぐる防御技術が未成熟なことや、AIの能力の高度化で攻撃が激しく大規模になることが予想されるとしつつ、AIセキュリティに関する国際的な枠組みは策定の途上にあり、現時点で未成熟な内容を取り込むのは時期尚早だと説明した。
そのうえで、改訂を3段階で進める方針を示した。本年度は最新の主要規格に基づいて第Ⅲ部と添付を改める。次年度以降は国際的な枠組みの策定動向や、AIがサイバー・フィジカル・システムに与えるリスクを調べ、必要に応じて第Ⅱ部と第Ⅲ部を改める。国際的な枠組みが成熟した段階で、基本の考え方を示す第Ⅰ部の「三層構造」と「6つの構成要素」にも手を入れる。CPSFを国際標準にした「ISO/IEC TS 5689」の内容も踏まえるとしている。AIを悪用した攻撃の実例は、JPCERT/CC、AI侵入試験ツールを悪用した攻撃を追加 相次ぐ不正アクセスの注意喚起で伝えた。
意見は、e-Govの意見提出フォームから日本語か英語で出す。e-Govを使いにくい場合は、別紙の様式に記入して経産省の専用アドレスにメールで送ることもできる。締め切りは12月21日（日本時間）必着。案と添付A〜Eには英語版も用意され、海外の企業や団体も意見を出せる。