【第8回】セキュリティ対策に必要な体制とプロセスとは？（新築の大規模ビル編）：「サイバー・フィジカル・セキュリティ対策ガイドライン」詳説（8）（2/2 ページ）

[佐々木 弘志 ／ マカフィー，BUILT]

ビルオーナーへの提案方法は？

　この際、ステップ1の「発生してほしくない事象の検討」に、ビルオーナーを巻き込むことが重要となる。この事象の優先順位付けは、後のリスク対応決定の前提となるものである。その事象の優先順位付けをもとに、CCEを用いてセキュリティ対策を検討し、最終的なリスク対応の方針を決定することになる。ビルオーナーの意向を踏まえた本命案だけを用意するのではなく、予算に応じた「松」「竹」「梅」と3つほどプランを用意するほうが、議論がスムーズに進む。「リスク対応」には、「低減」「回避」「転嫁」「受容」の4つの方針が存在する。

　セキュリティ対策の実施は、主にリスクの「低減」であり、何も手当をしないとリスクを「受容」することになる。「松」はできる限り、リスクを低減するプランであり、竹や梅となるに従い、リスクの受容が増えることになる。このプラン提示の際に重要なことは、セーフティと異なり、セキュリティは設計時、実装時に減らせるリスクに限界があるため、ビルオーナーと、設計事務所（事務局）の間で、各プランによる残存リスクを確認し、運用時や更新時に発生するリスク、セキュリティレベル維持のコストについても事前に認識合わせを行うことである。

　本ガイドラインの5章には、「設計・仕様」「建設」「竣工検査」「運用」「改修・廃棄」ごとのセキュリティ対策が整理してある（図2）。初期費用は、「設計・仕様」「建設」「竣工検査」に関する内容をもとに検討ができるが、できれば、予算提示の段階で、「運用」「改修・廃棄」にかかる費用も合わせて試算するのがよい。例えば、セキュリティ監視のように、運用コストが掛かるものは、初期費用が安くても、ビルの収益に影響が出るからである。いずれにしても、セキュリティ対策にかけられるコストは、そのビル自体のレベル感（坪あたりの建設コスト）などを見ながら、総合的な判断を行う必要があるため、最終的に、どのプランを選ぶかはビルオーナーの判断となる。

図2：本ガイドラインの新規の大規模オーナービルのセキュリティ対策範囲　出典：本ガイドライン別紙をもとに筆者作成

■まとめ

　第8回は、本ガイドラインを参照しながら、新築の大規模オーナービルのシステムのセキュリティ対策を進めるための体制とプロセスについて説明した。

　■新築大規模ビルでセキュリティ対策のために必要な体制・プロセスとは？

⇒　ビルオーナーが決定・承認者の役割を果たし、設計事務所以下のビルシステム関係者が、セキュリティ対策の検討・実施を行う体制だが、とりまとめやセキュリティの知見サポートの目的で、設計事務所からの委託によって、セキュリティベンダーやコンサルティング会社を事務局とするのが現実的である。この体制のもと、ビル建設の流れに沿った形で、セキュリティ対策検討⇒実装⇒竣工検査⇒ビル管理会社への引継ぎといったプロセスでセキュリティ対策を実施することが望ましい。

　■新築大規模ビルでセキュリティ対策における留意事項とは？

⇒　詳細の対策検討の前に、「発生してほしくない事象」をビルオーナーと認識合わせすること。また、セキュリティレベルのプランを3段階用意することで、リスク対応の検討をスムーズにし、建築時に必要な予算だけでなく、運用、改修・廃棄までを含んだ予算提示と残存リスクについて、ビルオーナーと認識合わせをすること。

　次回は、既存ビルに対するセキュリティ対策の検討として、「既存の中規模テナントビルをクラウド移行する際の使い方」「既存ビルへのリスクアセスメントと対策立案での使い方」について、説明する。

著者Profile

佐々木 弘志／Hiroshi Sasaki

マカフィー サイバー戦略室 シニア・セキュリティ・アドバイザー CISSP。制御システム機器の開発者として14年間従事した後、マカフィーに2012年12月に入社。産業サイバーセキュリティの文化醸成を目指し、講演、執筆等の啓発及びコンサルティングサービスを提供している。2016年5月から、経済産業省 情報セキュリティ対策専門官（非常勤）、2017年7月からは、IPA産業サイバーセキュリティセンターのサイバー技術研究室の専門委員（非常勤）として、産業サイバーセキュリティ業界の発展をサポートしている（2019年10月現在）。

★連載バックナンバー：

「サイバー・フィジカル・セキュリティ対策ガイドライン」詳説

　■第7回：CCEを用いたビルのセキュリティ対策の検討例 vol.1

　■第6回：BASセキュリティ対策をどこまでやるか検討するための手法「CCE」とは何か？

　■第5回：ビルシステムならではの“リスクポイント”と特有の事情

　●バックナンバー一覧