LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

セキュリティ要件を社内で決めるとき、どこまでやれば「最低限」と言えるのかで毎回もめます。規制当局が実際に義務として線を引いた事例は、その材料になります。

米国連邦通信委員会（FCC）が2026年7月31日、緊急警報システム（EAS）のサイバーセキュリティに関する報告書兼命令を連邦官報に掲載しました*1。PS Docket Nos. 22-329および25-224、FCC 26-38で、47 CFR Part 11の改正です*1。2026年9月29日発効とされています*1。注目したいのは、FCCが当初提案していた包括的なリスク管理計画の義務づけを取り下げ、3つの具体的な統制だけを残した点です*1。

設備やネットワークの運用を担う立場に向けて、何が義務になったのか、なぜ3つに絞られたのか、そして対象の範囲がどう書かれているのかを一次情報から整理します。

義務になったのは3つの統制だけだった

まず全体像です*1。

FCCは今回の命令で3つの的を絞った措置を採択するとしています*1。対象はEAS機器、スタジオ送信機リンク機器、および番組ストリームに内容を経路制御・処理・挿入するあらゆる遠隔管理機器で、内容は(1) 運用前の初期パスワードの変更と強固なパスワードの使用、(2) 機器製造者が発行するセキュリティパッチおよびソフトウェア・ファームウェア更新の速やかな検証と導入、(3) ネットワークファイアウォールまたは同等のセグメンテーションによる遠隔管理アクセスの限定です*1。

ここで効いてくるのが、これが当初案の一部でしかないという点です*1。FCCはこれら3つの要件は、警報セキュリティNPRMにおいて、EAS参加者がサイバーセキュリティのリスク管理計画の一部として実施することを提案した6つの基本的なサイバーセキュリティ衛生の要件の一部分にあたると述べています*1。

絞り込みの理由も書かれています*1。意見提出者からは精緻なサイバーセキュリティのリスク管理の要件に従うことは費用がかかり、変化するサイバーセキュリティ上の必要に適応する能力を妨げかねず、サイバー攻撃の被害者となった場合に厳格責任による執行の対象となりうるという懸念が示されました*1。FCCは採択した手法についてより広いリスク管理と脅威評価の要素、ならびにEASの機密性・完全性・可用性を確保するための十分なセキュリティ統制を用いるという提案された要件を取り除くことで、これらの懸念に応えるものであるとしています*1。

結果として何が外れたのかも明示されています*1。今回の命令は不正アクセスの事案の報告を含まず、確立された広範な最良慣行を対象とする十分なサイバーセキュリティのリスク管理計画を作成し、更新し、毎年証明することも含まないとされています*1。計画・証明・報告が消え、機器に対する3つの具体的な設定だけが残ったという構図です*1。FCCはこの水準を今日の脅威に対して重要な通信インフラを堅固にする一方で、脅威環境の変化に適応できる柔軟性を備えた、最低限受け入れられる基準線と位置づけています*1。

パスワードは15文字と使い回しの禁止で書かれている

3つのうち最も細かく書かれているのがパスワードです*1。

規則の本文には強固なパスワードとは、最低15文字を持ち、辞書に載っている語を使わないあらゆるパスワードであると定義が置かれました*1。あわせてこの要件を満たすために用いられるパスワードは、当該EAS参加者の他のアカウント、機器、アプリケーション、サービスに再利用してはならないとされています*1。変更の時点も公衆に向けて放送するいかなる使用よりも前にと書かれています*1。

辞書語を避ける根拠は総当たりによって解読されうるためと述べられています*1。初期パスワードについてはとりわけエンコーダにおいて、インターネット上で広く入手可能であり、この20年ほどの間に注目を集めたEASへの侵入を招いてきたという指摘や、多くのEAS参加者が自らのEAS装置の初期パスワードを一度も変更したことがなかったという業界団体の記述が引かれています*1。

一方で、パスワード以外の選択肢も明示的に認められました*1。FCCは強固なパスワードの代替として、不正アクセスのリスクを軽減するのに合理的に十分な代替の認証手段を用いることを認めるとしています*1。具体例として米国国立標準技術研究所（NIST）が3つの認証保証レベルの一つを満たすものとして挙げてきた方法が参照され、ルックアップ・シークレット、帯域外デバイス、単要素または多要素のワンタイムパスワード・デバイス、単要素または多要素の暗号による認証が挙げられています*1。認めた理由は単に特定の構造を持つパスワードの使用を求めるだけでは、同等かそれ以上のセキュリティを提供する他の認証方法を排除しかねないためで、現に堅固な仕組みのセキュリティを下げる結果にならないようにするという趣旨です*1。

対象範囲についての論点もあります*1。保護をEAS機器だけに限るべきという意見に対し、FCCは保護されていないスタジオ送信機リンク機器や、番組ストリームに内容を経路制御・処理・挿入する遠隔管理機器が、偽の警報を送信し、または本物の警報の送信を妨げる同様の機会を生むとしてこれを退けています*1。機器の名前ではなく、番組の送出に手を入れられるかどうかで線が引かれていることになります*1。

パッチは「速やかに」で、検証は認められている

2つ目は更新の話です*1。

運用の手順はこう書かれています*1。EAS機器、スタジオ送信機リンク機器、または番組に内容を経路制御・処理・挿入するその他の遠隔管理機器について、セキュリティパッチまたはセキュリティ関連のソフトウェア・ファームウェアの更新が利用可能になったら、EAS参加者は速やかにそれをダウンロードして導入しなければならないとされています*1。ここに但し書きが付きます*1。EAS参加者は、性能上の問題を生じさせないことを確かめるために当該パッチまたは更新を検証することが認められる。ただし、その検証が速やかに開始され、業界の最良慣行に沿った期間内に完了することを条件とするという書き方です*1。

この要件が置かれた背景には数字があります*1。FCCの2023年の全国緊急警報試験の結果が引かれ、EAS機器のうちおよそ23パーセントが、旧式のソフトウェアを使用しているか、定期的なソフトウェア更新の提供が終了した機器で稼働していたとされています*1。FCCはこれを国の警報能力のセキュリティにおける重大な欠落であり、国家的なリスクをもたらすと評価しています*1。

中古機器の話も出てきます*1。中古市場に出回るEASエンコーダ／デコーダは、旧式のファームウェアや消去されていない設定・認証情報を積んだまま出荷されうるという指摘が引かれ、FCCは今後、EAS参加者は、機器の出所を問わず、自らのEAS装置が適切にパッチされ更新されていることを確保する責任を負うとしています*1。

責任の分担も明文で整理されました*1。FCCは脆弱な機器を保護する第一義的な責任はEAS参加者自身にあるとし、理由を記録において特定された脆弱性は、主として脆弱なパスワードの取扱い、EAS参加者が管理する未パッチの仕組み、不十分なネットワークの分離、または機器のインターネットへの露出に由来するものであって、基礎となる機器の設計や開発上の欠陥に由来するものではないと説明しています*1。そのうえで役割を製造者はセキュリティパッチを開発し、検証し、利用可能にする。次にEAS参加者が、自らの機器へパッチを適用し、その仕組みが更新されていることを確保する責任を負うと切り分けています*1。供給側と運用側の境界を一文にしている点は、委託や保守の契約を書くときの参考になります。ソフトウェア部品表の提出を求める動きは機器認証改革の規則案でも扱われています。

遠隔管理を閉じることが3つ目の要件になった

3つ目はネットワークです*1。

FCCは遠隔管理のアクセスを認可された機器と認可された利用者に限るために、ネットワークファイアウォールまたは同等のネットワークセグメンテーションの実践を用いることを求めるとし、その効果をEASおよびその他の脆弱な機器を、公衆インターネットからアクセスできない私設のネットワーク上に置いて保護すると説明しています*1。

根拠として実測の数字が引かれています*1。意見提出者がSage Alerting Systems社のENDEC EAS装置のパスワード画面が直接露出している、EAS参加者のサーバー730台を特定したとされ、そのうち288台は、HTTPウェブサービスの既定ポートであるポート80で稼働していたと述べられています*1。FCCはポート80で稼働するサーバーとは対照的に、より堅固なトランスポート層セキュリティ（HTTPS）を用いるウェブサービスはポート443を使うと補足したうえで、能力の低い悪意ある行為者であっても、EAS参加者の機器を見つけ出すことは容易であり安上がりであると述べています*1。

実装として認められる形も列挙されています*1。EAS参加者は、自らのEAS機器が、ファイアウォールその他のセグメンテーションの仕組み（専用の仮想LAN、非武装地帯、または物理的に隔離された管理ネットワークなど）の背後に置かれ、アクセスがEASの運用に必要な内部の仕組みとポートのみに制限されていることを確保しなければならないとされ、選択肢としてフィルタを備えたファイアウォールの導入、既存のルーターの再設定による公衆インターネットからの着信接続の遮断、汎用の業務ネットワークからの隔離が挙げられています*1。攻撃面の把握という観点はASM（アタックサーフェスマネジメント）の考え方と重なります。

費用の見積りも公開されています*1。FCCは初期パスワードの変更と定期的な更新、利用可能になったセキュリティパッチの導入、ファイアウォールその他のネットワークセグメンテーションの実践の実装にかかる費用は、2,600万ドルを超えないと見積もり、内訳を25,800事業者×1事業者あたり年10時間×平均時給65ドル×（1＋7％のインフレ調整）×（1＋46％の福利厚生の上乗せ）＝26,198,094ドルと示しています*1。

小規模事業者の扱いも整理されています*1。FCCは除外を求める意見を退け、理由を保護の少ない小規模な放送事業者は、悪意ある行為者にとってしばしばより魅力的な標的であり、小規模なラジオ放送事業者への最近の攻撃がそれを示していると述べています*1。

自社の設備管理に置き換えるときの読みどころ

放送の規則ですが、読み替えられる部分が多い文書です。

第一に、対象の切り方です。今回の規則は装置の名前ではなく、出力に手を入れられる経路かどうかで対象を定義しています*1。自社の設備台帳を同じ問いで見直すと、監視カメラの録画機や電子看板の配信機のように、台帳の分類では周辺機器に入っているものが、実は出力を変えられる経路に載っていることがあります。

第二に、「速やかに」の運用です。パッチは提供後速やかに導入するとされ、検証は速やかに開始され、業界の最良慣行に沿った期間内に完了することを条件に認められています*1。期限が日数で書かれていないため、自社で目標時間を定めて記録に残す形にしないと、後から説明できません。インシデント報告のように時間が明示される制度もあり、CIRCIAの報告義務と並べて見ると、時間の書き方の違いが分かります。

第三に、認証方式の代替が明示されている点です。15文字という数字だけが独り歩きしがちですが、規則は不正アクセスのリスクを軽減するのに合理的に十分な代替の認証手段を認めています*1。多要素認証やハードウェアトークンをすでに入れている環境で、文字数の規定に合わせるために運用を後退させる必要はないという読み方ができます。

第四に、管理面の分離です。要求されているのは遠隔管理のアクセスを認可された機器と認可された利用者に限ることで、手段として専用の仮想LAN、非武装地帯、物理的に隔離された管理ネットワークが挙げられています*1。業務用のネットワークと同じ場所に管理画面が生えている構成は、この規則の言い方では対象になります。露出の確認は、外から自社の資産を見に行く運用として設計するのが早道です。運用技術（OT）側に同種の要件を課す例は米国の海事サイバー規則にもあります。

第五に、責任の分担を契約に落とすことです。FCCは製造者はセキュリティパッチを開発し、検証し、利用可能にする。次にEAS参加者が、自らの機器へパッチを適用し、その仕組みが更新されていることを確保する責任を負うと役割を分けました*1。委託先に運用を任せている場合、パッチの適用は誰の作業か、検証にどれだけの期間を認めるか、適用の記録を誰が残すかを書面に落としておかないと、この分担が宙に浮きます。

誤解されやすいのは、これは放送局だけの話だという受け取り方です。規制当局が費用と効果を比べたうえで最低限受け入れられる基準線として選んだのが、初期パスワードの変更、速やかなパッチ適用、管理面の分離の3つだった点は、社内で優先順位を決めるときの根拠になります*1。適用の可否は事業や設備によって変わりますので、確認を挟みながら進めてください。

まとめ：FCCのEASセキュリティ規則で押さえる3つの視点

米国連邦通信委員会は2026年7月31日、緊急警報システム（EAS）のサイバーセキュリティに関する報告書兼命令を連邦官報に掲載しました。PS Docket Nos. 22-329および25-224、FCC 26-38で、47 CFR Part 11の11.35に(d)を追加する改正です。発効は2026年9月29日、遵守の期限は連邦官報への掲載から60日後とされています。押さえたい視点は三つです。第一に、義務の範囲。求められるのは、公衆に向けた放送に使う前の初期パスワードの変更と最低15文字で辞書語を使わない強固なパスワードの使用および他用途との使い回しの禁止、機器製造者が発行するセキュリティパッチとソフトウェア・ファームウェア更新の速やかな導入、そしてネットワークファイアウォールまたは同等のセグメンテーションによる遠隔管理アクセスの限定の三つです。当初案にあったリスク管理計画の作成・更新・年次の証明や、不正アクセスの報告は含まれません。第二に、対象の切り方。EAS機器だけでなく、スタジオ送信機リンク機器と、番組ストリームに内容を経路制御・処理・挿入するあらゆる遠隔管理機器が対象とされ、機器の名前ではなく出力に手を入れられる経路かどうかで線が引かれています。強固なパスワードの代替として、ルックアップ・シークレットや帯域外デバイス、ワンタイムパスワード・デバイス、暗号による認証も認められています。第三に、根拠として示された実測値。2023年の全国試験ではEAS機器のおよそ23パーセントが旧式のソフトウェアか更新提供の終了した機器で稼働していたとされ、意見提出者はパスワード画面が直接露出したサーバー730台を特定し、うち288台がポート80で稼働していたとしています。

よくある質問

出典

1. *1　参考：Federal Communications Commission「Modernization of the Nation’s Alerting Systems; Protecting the Nation’s Communications Systems From Cybersecurity Threats」（連邦官報 2026年7月31日・最終規則）（https://www.federalregister.gov/documents/2026/07/31/2026-15601/modernization-of-the-nations-alerting-systems-protecting-the-nations-communications-systems-from）。報告書兼命令の連邦官報掲載。発効日と文書番号、47 CFR Part 11の11.35(d)の追加、3つの統制の内容と対象機器の範囲、パスワードの定義と代替の認証手段、パッチと検証の条件、セグメンテーションの実装例、当初案からリスク管理計画と不正アクセス報告を外した経緯、本文中の各数値、ならびに製造者とEAS参加者の責任の分担の一次情報として。確認日は2026年9月7日。（2026年9月確認）
2. *2　参考：Federal Communications Commission「同 Report and Order and Further Notice of Proposed Rulemaking（FCC 26-38 全文）」（https://docs.fcc.gov/public/attachments/FCC-26-38A1.pdf）。2026年6月25日採択・6月29日公表の全文。連邦官報掲載分が要約である旨が本文に記載されており、採択の日付と文書番号の確認に使用。確認日は2026年9月7日。（2026年9月確認）

Tweet