【最終回】ビルシステムのセキュリティ業界の活性化に必要なこと：「サイバー・フィジカル・セキュリティ対策ガイドライン」詳説（13）（2/2 ページ）

本連載は、経済産業省によって、2017年12月に立ち上げられた「産業サイバーセキュリティ研究会」のワーキンググループのもとで策定され、2019年6月にVer.1.0として公開された「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン（以下、本ガイドライン）」について、その背景や使い方など、実際に活用する際に必要となることを解説してきた。最終回となる今回は、これまでの連載のまとめと、今後の脅威動向や業界活性化に向けて必要となる取り組みについて説明する。

[佐々木 弘志 ／ マカフィー，BUILT]

ビルセキュリティ対策が裾野まで浸透するには？

　このような環境において、ビルシステムのセキュリティ業界を活性化するために必要なことは何だろうか（図3）。全ての対策の基点は、ビルオーナーはじめ業界全体がリスクを正しく認識することである。この認識を向上させるための施策としては、産業向け政策として「規制」「ガイドライン」「インセンティブ（税制優遇）」などの手法がある。本ガイドラインの策定は、これらの政策の中ではマイルドな部類だが、業界における共通認識を示したのは、とても意義深いことである。

　また、業界に対する啓発活動も欠かせない。とくにセキュリティ関係者が集まるような場での啓発だけではなく、セキュリティとは関係ない業界関係者が集まる場での啓発が望ましい。また、残念ながら、セキュリティ事故の発生も、反面教師として、ビル業界のリスク認識の向上に寄与はするが、事故内容によっては過剰な反応につながる場合もあり、健全とはいえない。

　それよりも業界全体が正しくリスクを認識すれば、何らか対策の検討が自然と進むはずだ。その検討を効果的に進める上で、業界として重要と考えられるのは、「ステークホルダー間の情報共有」「人材育成・技術開発」「外注・リソースシェアリング」である。ビジネスとして「ヒト、モノ、カネ」がスムーズに回っていない業界では、いきなり個社でやりきるのは難しいので、業界全体でこれらの活動を進めるのが現実的である。その結果として、個別のビルセキュリティ対策が進むと考えられる。

図3 今後、ビルシステムセキュリティ業界を活性化するために必要なこと　（筆者作成）

■まとめ

　■連載総括：本ガイドラインの策定背景や活用方法について

⇒　本ガイドラインは、ビジネス環境変化とライフサイクルにおける関係者が多いというビルならでは事情によって、セキュリティ対策の共通認識を示すために策定された。本ガイドラインを活用するためには、主に「どこまでやるか？」と「どのように進めるか？」が課題となるが、CCEによる対策検討や事務局を立てて進めるなどの方法を紹介した。

　■今後の脅威とビルシステムセキュリティ業界を活性化するために必要なこと

⇒　コロナ禍においては、ビルシステムのリモート化や自動化の進展により、脅威の入り口が増えることでサイバー脅威は増加する。また事故発生時の影響範囲も広がる。このような変化に対応するためには、「ビルオーナーはじめ業界全体がリスクを正しく認識すること」が重要であり、業界として「ヒト・モノ・カネ」のリソースをシェアしながら徐々に始めていくことが現実的である。

　ビルシステムのセキュリティ対策は、あくまで「ビジネスリスク低減」のうちの一つで、地震などの災害リスクへの対策と同じような位置付けと考えられる。自動化やリモート化によって利便性を得ようとするならば、当然その分発生するリスクへの対応が必要となるわけで、これまではそのリスクを無視しても痛い目に遭う機会が少なかったというだけである。

　今後、with／afterコロナの世界では、日本でも甚大なビルシステムのセキュリティ事故が発生してもおかしくはない。その前に、ビル業界全体のリスクに対する正しい認識を高めるため、志を持った仲間とともに理解の輪を広げていくことが先決なのではないかと考える。これからも、私自身その活動にさまざまな形で貢献していきたい。

著者Profile

佐々木 弘志／Hiroshi Sasaki

マカフィー サイバー戦略室 シニア・セキュリティ・アドバイザー CISSP。制御システム機器の開発者として14年間従事した後、マカフィーに2012年12月に入社。産業サイバーセキュリティの文化醸成を目指し、講演、執筆等の啓発及びコンサルティングサービスを提供している。2016年5月から、経済産業省 情報セキュリティ対策専門官（非常勤）、2017年7月からは、IPA産業サイバーセキュリティセンターのサイバー技術研究室の専門委員（非常勤）として、産業サイバーセキュリティ業界の発展をサポートしている（2019年10月現在）。

★連載バックナンバー：

「サイバー・フィジカル・セキュリティ対策ガイドライン」詳説

　■第12回：ビルシステムの“ネットワークセキュリティ監視サービス”をビジネス化するための鍵（下）

　■第11回：ビルシステムの“ネットワークセキュリティ監視サービス”をビジネス化するための鍵（上）

　■第10回：スマートビルの“セキュリティ監視”が運用改善にも役立つ理由

　■第9回：既存ビルのセキュリティ対策で、押さえておくべきポイント

　●バックナンバー一覧