LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

海運の規制ですが、OTを含む現場に規制側が求めた最低ラインの実例として読めます*1。

米国沿岸警備隊は海上輸送システムにおけるサイバーセキュリティの最終規則を2025年1月17日に連邦官報へ掲載し、2025年7月16日に発効させました*1。対象は米国船籍の船舶、外側大陸棚（OCS）施設、2002年海上輸送保安法（MTSA）の規制対象施設です*1。

工場や物流の現場を含むシステムを受託する立場に向けて、何を求められたのかを一次情報から整理します。日本の事業者に直接適用される規則ではありませんが、OT環境の最低基準の作り方として参照できる内容です。

対象と、求められた3つの柱

まず範囲です*1。

沿岸警備隊は、この規則が米国船籍の船舶、外側大陸棚施設、および2002年海上輸送保安法の規制対象施設について、最低限のサイバーセキュリティ要件を定めることで海上保安の規制を更新するものだと説明しています*1。海上輸送システム（MTS）における現在および新たなサイバー脅威に対処し、リスクの検知と、インシデントへの対応と復旧を助けることが目的とされています*1。

柱は三つです*1。サイバーセキュリティ計画の策定と維持、サイバーセキュリティ責任者（CySO）の指名、そしてMTS内でサイバーセキュリティを維持するための各種の措置です*1。

計画は2種類あります*1。33 CFRパート104、105、106のもとで保安計画の作成を求められる所有者または運航者は、サイバーセキュリティ計画とサイバーインシデント対応計画を策定し維持しなければならないとされています*1。後者はサイバーインシデントへの対応手順を示し、要員のなかの主要な役割、責任、意思決定者を特定するものと説明されています*1。

CySOの職務も具体的です*1。要員が両方の計画を実施することを確かにし、計画が最新であり年1回の監査を受けるようにするとされ、さらにサイバーセキュリティの検査を手配し、要員が十分な訓練を受けていることを確かめ、インシデントを記録して所有者または運航者へ報告し、緩和のための手立てを取るとされています*1。

この規則は、2024年2月22日に公示された規則案を最終化したものです*1。最終規則では規則案からいくつかの変更が加えられており、その一部は後の節で触れます*1。

7つのアカウント措置——OTも射程に入る

いちばん具体的なのがここです*1。

規則は、サイバーセキュリティ計画に、米国船籍の船舶、施設、またはOCS施設の所有者・運航者向けの7つのアカウント保安措置を含めなければならないとしています*1。

読みどころはOTが明記されていることです*1。既定パスワードの変更はITまたはOTシステムを対象にし、パスワード強度はITおよびOTシステム、多要素認証は遠隔からアクセス可能なOTシステムまで及びます*1。「工場側は例外」という整理を置いていない点が特徴です。

実行できない場合の道も用意されています*1。書かれたとおりに遵守できない場合には、第101.665条に従って免除または同等措置を求める手続きに従うことができるとされています*1。できないなら申請するという建て方です。

措置の区分は、アカウントだけではありません*1。デバイス、データ、リスク管理、サプライチェーン、ネットワーク分離、物理的な統制、訓練、報告が条ごとに置かれています*1。

ネットワーク分離については、規則の説明に率直な記述があります*1。ITとOTのネットワークを分けることは難しく、ネットワークに接続する機器が増えるほど難しくなるとされ、ITとOTの接点が弱い環となることを沿岸警備隊が認めています*1。それでもネットワーク分離は、価値ある情報が権限のない利用者と共有されないようにし、悪意ある行為者が与えうる損害を減らすとして、要件に置かれています*1。

評価・監査・侵入テストの期日

時間軸を整理します*1。

サイバーセキュリティ評価は、2027年7月16日までに実施し、以後は毎年実施しなければならないとされています*1。ただし米国船籍の船舶、施設、またはOCS施設の所有者が変わった場合には、年次より早く実施しなければならないとされています*1。

評価の内容も定められています*1。所有者または運航者はすべてのネットワークを分析して、重要なITおよびOTシステムの脆弱性と、各デジタル資産がもたらすリスクを特定すること、サイバーセキュリティ計画を検証すること、勧告と解決策を船舶保安評価（VSA）、施設保安評価（FSA）またはOCS FSAに記録することが求められます*1。

この期日は、規則案から緩められた部分です*1。第101.650条(e)(1)を改め、所有者と運航者はこの最終規則の発効日から24か月以内にサイバー評価を実施する必要があるとしたとされ、当初求められていた12か月から期間を延ばしたと説明されています*1。

侵入テストの扱いも明確になりました*1。第101.650条(e)(2)を改め、侵入テストはサイバーセキュリティ計画の更新と併せて完了しなければならないことを明確にし、CySOがテストを実施したことを証する書面と、侵入テストで特定されたすべての脆弱性を提出することを定めたとされています*1。

脆弱性の扱いも一段強くなっています*1。重要なITまたはOTシステムにおける既知の悪用された脆弱性（KEV）は、遅滞なく対処することとされています*1。

暗号化の要件も整理されました*1。第101.650条(c)(2)を改め、機微なデータの機密性と、ITおよびOTの通信の完全性を保つために実効的な暗号化を導入しなければならないことを定め、暗号化の対象は機微なデータに限ることとしたとされ、技術的に実行可能な場合という条件が付されています*1。

ログの用語も直されました*1。「データログ」という語が定義されておらず何が求められるのか不明確だという意見を受けて、「ログ」の定義を追加し、規則の要件を「データログ」から「ログ」へ更新したとされ、NISTおよびCISAのサイバーパフォーマンス目標と整合させたと説明されています*1。

報告の位置づけと、米国船籍への猶予の議論

報告については、用語が整理されました*1。

第101.650条(f)(2)を改め、「侵害」と「インシデント」への言及を削除して「報告対象サイバーインシデント」に置き換えたとされています*1。「報告対象サイバーインシデント」を定義し、規則ではその語を用いるという判断に沿った変更です*1。定義は機密性、完全性または可用性の実質的な喪失につながる、あるいは調査中であればそれにつながりうるインシデントという考え方に基づくとされています*1。

他制度との関係も説明されています*1。CISAが今後のCIRCIA規則のもとで、そうしたインシデントが起きたと信じるに足る合理的な理由を得てから72時間以内の報告を求め、ランサムウェア攻撃に伴う身代金の支払いについては支払いから24時間以内の報告を求めることは、沿岸警備隊の報告要件とは補完的だが別個の運用上の目的を果たすとされています*1。

沿岸警備隊は、CISAが連邦のサイバーセキュリティの主導機関であり、重要インフラのリスクとレジリエンスの国家的な調整役として、沿岸警備隊のサイバー関連の運用を支える立場にあると述べています*1。同じ事象を複数の窓口へ出す前提で設計されている、という読み方になります。CIRCIAの報告義務と重ねて見ると、窓口ごとに目的が違うことが分かります。

あわせて、実施時期そのものへの意見募集も行われました*1。米国船籍の船舶についての実施期間を2年から5年遅らせる可能性について、前文第VII節に関する意見を2025年3月18日までに提出することとされていました*1。本体は発効させつつ、船舶側の期間は別途議論するという進め方です。

国際基準との関係も論点になりました*1。米国は自国船籍の船舶に対して、外国船籍の船舶に同じ要件を課さないまま特定の要件を課すべきではない、国際海事機関（IMO）が国際的な要件を定めた後に、それを実施するための新しい規則案を出すべきといった意見が寄せられたとされています*1。これに対し沿岸警備隊は米国の国家安全保障と主権的利益を守ることが最重要の関心事だと考えると応じています*1。

日本の現場で参照できるところ

この規則は日本の事業者に直接適用されるものではありません*1。そのうえで、OTを含む現場の最低基準を作るときの雛形として使える部分を挙げます。

第一に、IT/OTを分けずに書く方法です。アカウント措置はITまたはOTシステムという形で対象を書き、多要素認証は遠隔からアクセス可能なOTシステムに限定して求めています*1。OTを全部同じに扱わず、遠隔アクセスの有無で線を引くのは、社内規程でも使える切り方です。

第二に、できない場合の逃げ道を先に用意することです。規則は遵守できない場合の免除または同等措置の申請手続きを条文で示しています*1。社内基準を作るときも、例外申請の窓口と判断者を同時に決めておくと、現場が止まりません。

第三に、評価と計画を紐づけることです。評価ではサイバーセキュリティ計画を検証することが求められ、侵入テストは計画の更新と併せて完了するとされています*1。棚卸し・計画・テストを別々の年次行事にしない設計です。

第四に、KEVを別扱いにすることです。規則は重要なITまたはOTシステムにおける既知の悪用された脆弱性は遅滞なく対処するとしています*1。全部の脆弱性を同じ速度で追わないという優先付けが、条文の形で入っています。

第五に、責任者を1人置くことです。CySOは計画の実施、年1回の監査、検査の手配、訓練の確認、インシデントの記録と報告、緩和までを担います*1。役割を分散させず、束ねる人を決めるという設計は、規模を問わず参考になります。

混同しやすいのは、「海運の話だから自社には無縁」という受け取りです。求められている中身は既定パスワード、多要素認証、最小権限、ネットワーク分離、ログ、KEV対応で*1、業種を問わず通用する項目が並んでいます。規制側がこの水準を最低ラインと呼んだという事実自体が、社内提案の材料になります。

もうひとつ、ITとOTの分離が難しいと規制側も認めている点は覚えておく価値があります*1。industry standardsは発展途上であり、NISTが研究を続けている領域だとまで書かれています*1。完全な分離を前提にしない設計を、正面から議論できる根拠になります。

規則の本文は連邦官報で公開されています*1*2。適用の判定は事情によって変わりますので、確認を挟みながら進めてください。

まとめ：米国海事サイバー規則で押さえる3つの視点

米国沿岸警備隊の海上輸送システムにおけるサイバーセキュリティの最終規則は、2025年1月17日に連邦官報へ掲載され、2025年7月16日に発効しました。押さえたい視点は三つです。第一に、対象と柱。米国船籍の船舶、外側大陸棚施設、2002年海上輸送保安法の規制対象施設について最低限のサイバーセキュリティ要件を定め、サイバーセキュリティ計画とサイバーインシデント対応計画の策定と維持、サイバーセキュリティ責任者（CySO）の指名、各種の措置という三つを求めます。CySOは計画の実施、年1回の監査、検査の手配、訓練の確認、インシデントの記録と報告、緩和までを担います。第二に、7つのアカウント措置とOTの扱い。ログイン失敗時の自動ロックアウト、既定パスワードの変更、パスワード強度の維持、多要素認証、最小権限の原則などが並び、既定パスワードの変更はITまたはOTシステム、パスワード強度はITおよびOTシステム、多要素認証は遠隔からアクセス可能なOTシステムまで対象になります。措置はほかにデバイス、データ、リスク管理、サプライチェーン、ネットワーク分離、物理的統制、訓練、報告に分かれ、遵守できない場合は免除または同等措置を申請する手続きが用意されています。第三に、期日と報告。サイバーセキュリティ評価は2027年7月16日までに実施し以後は毎年、所有者が変わった場合は年次より早く実施します。評価では全ネットワークを分析して重要なITおよびOTシステムの脆弱性とデジタル資産ごとのリスクを特定し、計画を検証します。侵入テストは計画の更新と併せて完了し、CySOが実施を証する書面と特定されたすべての脆弱性を提出します。重要なシステムの既知の悪用された脆弱性は遅滞なく対処することとされ、報告では「報告対象サイバーインシデント」という語が用いられます。

よくある質問

出典

1. *1　参考：U.S. Coast Guard「Cybersecurity in the Marine Transportation System（最終規則・33 CFR Part 101）」（https://www.federalregister.gov/documents/full_text/text/2025/01/17/2025-00708.txt）。最終規則が2025年7月16日に発効し対象が米国船籍の船舶・外側大陸棚施設・2002年海上輸送保安法の規制対象施設であること、サイバーセキュリティ計画の策定と維持およびCySOの指名と各種措置という柱、33 CFRパート104・105・106のもとで保安計画を求められる者がサイバーセキュリティ計画とサイバーインシデント対応計画を策定・維持すること、CySOの職務（計画の実施の確保、計画の最新性と年1回の監査、検査の手配、訓練の確認、インシデントの記録と報告、緩和）、7つのアカウント保安措置（自動ロックアウト、既定パスワードの変更と補完的統制、ITおよびOTでのパスワード強度、ITと遠隔アクセス可能なOTへの多要素認証、最小権限の原則など）、第101.665条による免除・同等措置の申請、措置の区分（デバイス・データ・リスク管理・サプライチェーン・ネットワーク分離・物理的統制・訓練・報告）、ネットワーク分離の難しさとITとOTの接点が弱い環であるとの認識およびNISTの研究継続、サイバーセキュリティ評価の2027年7月16日までの実施と以後の毎年および所有者変更時の前倒し、評価の内容（全ネットワークの分析と重要なIT・OTシステムの脆弱性とデジタル資産ごとのリスクの特定、計画の検証、VSA・FSA・OCS FSAへの記録）、評価期間を12か月から24か月へ延ばした改定、侵入テストを計画更新と併せて完了しCySOが実施を証する書面と全脆弱性を提出する改定、KEVへの遅滞ない対処、暗号化に関する第101.650条(c)(2)の改定と技術的実行可能性、「ログ」の定義追加とNIST・CISAのサイバーパフォーマンス目標との整合、「報告対象サイバーインシデント」への用語の置き換えと定義の考え方、CISAのCIRCIAにおける72時間・24時間の報告が補完的だが別個の目的であること、米国船籍の船舶の実施期間を2年から5年遅らせる可能性についての2025年3月18日までの意見募集、ならびに国際基準に関する意見と沿岸警備隊の応答の一次情報として。連邦官報2025年1月17日掲載（文書番号2025-00708、ドケットUSCG-2022-0802）。確認日は2026年9月2日。（2026年9月確認）
2. *2　参考：U.S. Coast Guard「Cybersecurity in the Marine Transportation System（規則案）」（https://www.federalregister.gov/documents/full_text/text/2024/02/22/2024-03075.txt）。最終規則が最終化した規則案が2024年2月22日に公示されたものであること、および最終規則が規則案に対して行った明確化と変更の出発点となる内容の一次情報として。連邦官報2024年2月22日掲載（文書番号2024-03075）。確認日は2026年9月2日。（2026年9月確認）

Tweet