LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

重要インフラのサイバー要件は、技術の一覧ではなく提出物の一覧として現れることがあります。何を実装するかではなく、何をいつまでに誰へ出すかで定義される形です。

米国運輸保安庁（TSA）は2026年9月1日、陸上輸送のサイバーセキュリティ措置に関する情報収集の改訂を連邦官報で公示しました*1。OMB管理番号1652-0074で、意見の締切は2026年10月1日です*1。もとになった60日間の意見募集は2026年4月16日（91 FR 20475）に公示されています*1。

国内の受託開発から見ても、確かめたい点は4つあります。誰が対象なのか、何を出すのか、期限が2つある理由、出した情報はどう扱われるのか。公示の本文から順に整理します。

対象は鉄道とバス、根拠は「通知なしで出せる」権限

まず、誰にかかるかです*1。

公示は影響を受ける対象を連邦規則集第49編第1580部（貨物鉄道）、第1582部（都市鉄道および旅客鉄道）ならびに第1584部（都市間バス）に定める運行を行う所有者・運行者と示しました*1。鉄道とバスの事業者に限られ、他の業種へ直接及ぶものではありません*1。

制度の入口は、通常の規則制定とは違います*1。公示は合衆国法典第49編第114条の権限の下で、TSAは通知または意見の機会を与えることなく、輸送の保安を守るための措置を直ちに課すことができると述べます*1。

脚注では、その根拠が引かれました*1。TSAは、合衆国法典第49編第114条(l)(2)(A)の法律上の権限に基づき、陸上輸送の運行者に対してセキュリティディレクティブを発出するとされ、条文は他のいかなる法律または大統領令（費用便益分析を求める大統領令を含む）にもかかわらず、長官が輸送の保安を守るために規則またはセキュリティディレクティブを直ちに発出しなければならないと判断した場合、長官は通知または意見の機会を与えることなく、かつ運輸長官の事前の承認なしに、当該規則またはセキュリティディレクティブを発出すると定めています*1。

この構造は、対応の予見しやすさに関わります*1。意見募集を経ずに要件が動くため、事業者側は発効の直前に内容を知る場面が生じます*1。制御系と業務系が混在する環境での備えはOT・制御システムのセキュリティで扱う考え方が土台になります。

ディレクティブの発出は、時期をまたいで積み上がっています*1。2021年12月17日にTSAはSD 1580-21-01系列（鉄道サイバーセキュリティの強化）とSD 1582-21-01系列（公共交通および旅客鉄道のサイバーセキュリティの強化）を発出し、いずれも2021年12月31日に発効しました*1。対象はTSAが指定した、リスクの高い鉄道および鉄道交通システムの所有者・運行者です*1。

翌年には別系列が加わりました*1。2022年10月18日にSD 1580/82-2022-01系列（鉄道サイバーセキュリティの緩和措置と試験）が発出され、2022年10月24日に発効しています*1。適用は第1580.101条に定める「リスクの高い」貨物鉄道の所有者・運行者、およびTSAが追加で指定した貨物および旅客の鉄道で、公示は先行するディレクティブの要件を補完するものと位置づけました*1。

義務は4つ、そのうち報告先はCISAで72時間以内

収集される情報は、義務と任意に分かれています*1。

ディレクティブに基づく義務は4つです*1。1つ目が主および少なくとも1名の副のサイバーセキュリティ調整者を指名することで、2026年1月15日の改訂により条件が加わりました*1。

その条件が米国市民でない者が主または副の調整者を務める場合、当該者がNEXUS、Global Entryその他TSAが同等の保安上の脅威評価を含むと判断した制度の現会員であることを確保し、当該会員資格を示す文書をTSAへ提出することです*1。公示はTSAは年間10者未満の所有者・運行者がこの情報収集に応答すると見込んでいるとし、この新しい要件の負担はOMB管理番号1651-0121（信頼できる旅行者制度および米国APECビジネストラベルカード）の下で扱われると述べました*1。

2つ目が報告です*1。所有者・運行者がサイバーセキュリティのインシデントを特定した後、72時間以内に、サイバーセキュリティ・インフラストラクチャセキュリティ庁へ当該インシデントを報告することと定められています*1。報告先が運輸当局ではなく、サイバー担当の機関である点が読みどころです*1。

3つ目がサイバーセキュリティのインシデント対応計画をTSAへ策定すること、4つ目がTSAが発行する様式を用いてサイバーセキュリティの脆弱性評価を完了し、完成した評価をTSAへ提出することです*1。4つ目には脚注が付き、これは繰り返しのない脆弱性評価であり、所有者・運行者は要求された情報を1回のみ提供することが求められると説明されました*1。

もう1つの系列は、計画と報告が中心です*1。SD 1580/82-2022-01系列の収集は3つで、ディレクティブが求める保安上の成果を所有者・運行者がどのように達成するかを示すサイバーセキュリティ実装計画を、承認のためTSAへ提出すること、サイバーセキュリティ評価計画の提出および年次のサイバーセキュリティ評価計画報告の提出、適合を立証するために必要な範囲で、要求に応じてTSAへ提供する文書です*1。

実装計画が承認のために出される点は、実務の重みが違います*1。策定して備えるのではなく、当局の承認を受ける対象になります*1。承認を伴う文書は、変更のたびに再提出の判断が生じます*1。

12時間は任意、対象外の事業者に向けた推奨として置かれた

期限が2つある理由は、義務と任意の切り分けにあります*1。

公示は、ディレクティブの対象外の事業者に向けた文書にも触れました*1。2021年12月17日、TSAは情報回覧（IC）2021-01「陸上輸送のサイバーセキュリティの強化」も発出し、ディレクティブの対象とならない所有者・運行者による措置および報告の任意の実施を推奨したとされます*1。

そして2025年10月25日、TSAはIC Surface-2025-01「重大なサイバーセキュリティのインシデントのTSAへの通知」を発出し、ディレクティブの対象とならない所有者・運行者に対し、サイバーセキュリティのインシデントをTSAへ任意で報告することを推奨したと続きます*1。

この任意の通報に、12時間という時間が置かれました*1。IC Surface-2025-01は、所有者・運行者が、実際のまたは潜在的な重大なサイバーセキュリティのインシデントを発見した後、可能な限り速やかに、かつ12時間を超えない範囲で、電話（1-866-655-7023）によりTSAの輸送保安運用センターへ通知することを推奨しているという記述です*1。

公示は、この推奨がディレクティブの要件ではない点も明記しました*1。情報回覧には次の推奨も含まれるが、ディレクティブにおける要件ではないという書き方です*1。

読み替えると、こうなります*1。責任を伴う報告は72時間でCISAへ、状況を早く知らせるための通報は12時間でTSAへ、という二本立てです*1。前者は文書としての報告、後者は電話による通知という違いもあります*1。連邦全体のインシデント報告の枠組みとの関係はCIRCIAの報告規則で扱う期限の設計と並べると差が見えます。

当番と連絡の体制から見ると、短いほうの時間が設計の制約になります*1。12時間は任意ですが、発見から起算するため、夜間や休日に気づいた事象をどう扱うかが決まっていなければ守れません*1。この段取りはインシデント対応と当番運用で扱う組み立てと重なります。

今回の改訂で増えたのは「更新」と「年次報告」

改訂の中身は、増える部分と減る部分に分かれます*1。

減るほうが先に書かれました*1。情報収集は、SD 1580-21-01系列およびSD 1582-21-01系列に伴う義務的な要件、具体的には当該ディレクティブの適用を受ける鉄道の所有者・運行者に対するサイバーセキュリティの脆弱性評価を削除するためにも改訂されるとされ、理由はこれらの鉄道の所有者・運行者は当該ディレクティブの要件を満たしており、TSAは年間10者未満が当該収集に応答すると見込んでいることです*1。1回限りの評価が、対象事業者について役目を終えたという整理です*1。

増えるほうは3つあります*1。1つ目がサイバーセキュリティのインシデント対応計画の要件に関する更新で、公示は所有者・運行者は初回のインシデント対応計画を策定しディレクティブの要件を満たしており、TSAは年間10者未満の新たな所有者・運行者が計画を提出する必要があると見込んでいる。もっともTSAは、これらの所有者・運行者に最新の状態のインシデント対応計画を維持することも求めており、そのためには定期的な更新が必要となると述べました*1。

2つ目が実装計画の更新です*1。これらの鉄道の所有者・運行者はサイバーセキュリティ実装計画の要件を満たしており、TSAは年間10者未満の新たな所有者・運行者が当該収集に応答すると見込んでいる。もっともTSAは、年間で所有者・運行者の約半数が実装計画の更新を提供すると見積もっているとされます*1。

3つ目が年次報告です*1。2023年10月、SD 1580/82-2022-01は所有者・運行者に年次報告の提出を求めた。これらの所有者・運行者は、自らのサイバーセキュリティの措置について年次の評価を実施し、その結果に関する年次報告をTSAへ提出することも求められると書かれ、公示はTSAはこれらの報告を収集に含めるよう更新しているとしました*1。

この3つに共通するのは、初回の提出ではなく維持が収集の対象になったことです*1。計画を作った時点で終わらず、更新と年次の評価が続く形になります*1。事業継続の文書を生きた状態で保つ論点はIT-BCPの組み立てで扱う運用と地続きです。

見積もりの数字も公表されました*1。回答者の見込みは67者、年間の負担時間の見込みは22,167時間です*1。脚注には修正の経緯が書かれ、60日間の通知を公示した後、TSAは回答者の数を846者から67者へ見直し、年間の負担時間の見積もりを210,684時間から22,167時間へ更新したとされました*1。対象の数え方が一桁違っていたことになります*1。

出した情報の扱いと、受け止める側の設計

提出した情報の保護も、公示に書かれています*1。

回答のうち機微な保安情報とみなされる部分は、連邦規則集第49編第1520部に定める機微な保安情報の送信、取扱いおよび保存の要件を満たす手続に従って保護されるとされました*1。提出物そのものが、通常の文書とは別の取扱いに乗る形です*1。

受け取る側の環境についても、脚注に具体的な記述があります*1。加えて、TSAのシステムにおけるすべてのデータは、2014年連邦情報セキュリティ近代化法に従うことが法律上求められ、米国国立標準技術研究所の特別刊行物800-37改訂2版すなわちリスクマネジメントフレームワーク、ならびに連邦情報処理標準199および大統領令14028を含むその他の連邦の情報セキュリティ要件に従うと述べられています*1。

さらに2014年連邦情報セキュリティ近代化法の境界の下にあるすべてのシステム、ネットワーク、サーバ、クラウドおよびエンドポイントは、国防総省のセキュリティ技術実装ガイドライン、ならびにDHSの方針（4300.A）およびTSAの方針（TSA IAハンドブック）を満たすよう堅牢化されるとされました*1。提出先の環境が、どの基準で固められているかまで書かれた形です*1。ここで挙げられた統制群を実装する側の枠組みはCMMCとNIST SP 800-171で扱う考え方と重なります。

受託開発の立場で読み替えると、決めておく項目は次のように整理できます。

第一に、期限の起点を定義することです。義務の72時間はインシデントを特定した後、任意の12時間は発見した後から数えます*1。どの時点を特定・発見とするかを運用の手順に書いていないと、時計の始まりが人によって変わります。判定の記録を残す仕組みは監査ログの設計で扱う組み立てが土台になります。

第二に、宛先ごとに様式を分けて持つことです。CISAへの報告とTSAへの電話通知は、宛先も手段も違います*1。同じ事象について2つの経路を動かす前提で、伝える内容の雛形を別に用意しておくほうが速く動けます。

第三に、計画の更新を定例の作業として置くことです。今回の改訂で収集に加わったのは、インシデント対応計画と実装計画の更新、そして評価の年次報告です*1。年に1度の棚卸しを予定として持たない限り、更新は後回しになります。

第四に、要員の要件を人事の側と突き合わせることです。調整者について、米国市民でない場合はNEXUSやGlobal Entryなどの会員資格が条件になりました*1。担当者の属性が要件に含まれる制度では、交代の計画にこの条件が絡みます。

第五に、監視と検知の側を先に整えることです。報告の期限は、事象に気づけることを前提にしています*1。検知の仕組みがないまま期限だけを運用に落とすと、報告漏れが起きます。体制の作り方はSOCによる監視で扱う組み立てが参考になります。

誤解されやすいのは、新しい要件が課されたという読み方です。この公示は、情報収集の改訂をOMBの審査へ回すための手続であり、ディレクティブそのものの発出ではありません*1。公示はこれらのディレクティブおよび情報回覧は引き続き効力を有すると述べており、要件の中身は既に動いています*1。

まとめ：陸上輸送のサイバー要件で押さえる3つの視点

米国運輸保安庁（TSA）は2026年9月1日、陸上輸送のサイバーセキュリティ措置に関する情報収集の改訂を連邦官報で公示しました。OMB管理番号1652-0074で、意見の締切は2026年10月1日です。押さえたい視点は三つあります。第一に、対象と根拠。影響を受けるのは連邦規則集第49編第1580部（貨物鉄道）、第1582部（都市鉄道および旅客鉄道）、第1584部（都市間バス）の所有者・運行者です。TSAは合衆国法典第49編第114条(l)(2)(A)により、輸送の保安を守るために直ちに必要と判断した場合、通知も意見の機会もなくセキュリティディレクティブを発出できます。第二に、義務と任意の期限。ディレクティブに基づく義務は、主および副のサイバーセキュリティ調整者の指名、インシデントを特定した後72時間以内のCISAへの報告、インシデント対応計画、TSA様式による脆弱性評価の4つです。一方で情報回覧Surface-2025-01は、対象外の事業者に対し、発見後12時間を超えない範囲でTSAの輸送保安運用センターへ電話で通知することを推奨しています。第三に、改訂の中身。鉄道の所有者・運行者に対する1回限りの脆弱性評価が削除される一方、インシデント対応計画と実装計画の更新、および評価計画の年次報告が収集に加わりました。回答者は67者、年間の負担時間は22,167時間と見積もられ、60日通知の段階の846者・210,684時間から見直されています。

よくある質問

出典

1. *1　参考：米国連邦官報 国土安全保障省 運輸保安庁（TSA）「Revision of Agency Information Collection Activity Under OMB Review: Cybersecurity Measures for Surface Modes」（公示・91 FR 56154・2026年9月1日掲載／意見締切2026年10月1日）（https://www.federalregister.gov/documents/2026/09/01/2026-17894/revision-of-agency-information-collection-activity-under-omb-review-cybersecurity-measures-for）。公示の一次情報として。OMB管理番号1652-0074、60日通知が2026年4月16日（91 FR 20475）に公示されたこと、対象が49 CFR第1580部・第1582部・第1584部の所有者・運行者であること、合衆国法典第49編第114条および第114条(l)(2)(A)の権限、SD 1580-21-01系列とSD 1582-21-01系列（2021年12月17日発出・同月31日発効）、SD 1580/82-2022-01系列（2022年10月18日発出・同月24日発効）、IC 2021-01およびIC Surface-2025-01（2025年10月25日）、4つの義務的な収集（調整者の指名とNEXUS等の会員資格、CISAへの72時間以内の報告、インシデント対応計画、1回限りの脆弱性評価）、SD 1580/82-2022-01系列の3つの収集（実装計画の承認申請、評価計画と年次報告、要求に応じた文書）、12時間以内のTSOCへの任意の通報と電話番号、2026年1月15日の改訂、脆弱性評価の削除と更新・年次報告の追加、49 CFR第1520部による機微な保安情報の保護、FISMA 2014・NIST SP 800-37改訂2版・FIPS 199・大統領令14028・DoD STIG・DHS 4300.A・TSA IAハンドブックへの言及、ならびに回答者67者・年間22,167時間（846者・210,684時間からの修正）を確認した。確認日は2026年9月8日。（2026年9月確認）

Tweet