2026年10月施行「重要インフラ統一基準」とは？SIer・IoTベンダーが今確認すべきこと

、「重要インフラのサイバーセキュリティ対策のための統一基準」が施行されました。同じ日に「重要インフラのサイバーセキュリティに係る安全基準等策定ガイドライン」も施行されています。

ただし、これを「10月1日からSIerやIoTメーカーにも新しいセキュリティ義務が一律に課された」と理解するのは少し違います。

重要インフラ統一基準は、重要インフラ事業者等のサイバーセキュリティ確保について、政府機関が実施する施策の統一的な基準です。その内容を踏まえて、各重要インフラ分野の安全基準等が整備・改善されていきます。

一方で、重要インフラのシステムは1社だけでは成り立ちません。SIer、IoT機器メーカー、クラウド事業者、通信事業者、保守会社、海外メーカーなど、多くの事業者が関わっています。

私はIoT・クラウド関連の仕事で、海外メーカーを含むパートナー製品の仕様やセキュリティ対応を確認することがあります。今回の統一基準を供給者側から読むと、大切なのは「自社が対象企業かどうか」だけではありません。

自社の製品やサービスが、重要インフラを構成するシステムのどこに組み込まれているのか。

こちらを確認する方が実務的だと感じています。

自社が重要インフラ事業者でなくても関係する？

重要インフラには、情報通信、金融、電力、ガス、鉄道、医療、水道、行政サービスなど16分野があります。

当然ながら、IoTメーカーやSIerのすべてが重要インフラ事業者になるわけではありません。それでも関係し得る理由が、サプライチェーンです。

国家サイバー統括室は、重要インフラ事業者等が自組織のリスクを把握して適切な防護対策を行うことに加え、サプライチェーン等を含めて将来の環境変化を先取りした包括的な対応を重視しています。

つまり、自社が統一基準の直接の対象でなくても、顧客側の調達条件、契約、セキュリティチェック、監査などを通じて要求を受ける可能性があります。

ここは「法律で直接義務付けられたのか」と「取引上説明を求められるのか」を分けて考えた方がよさそうです。

国家サイバー統括室は、自組織の特性やリスクを把握し、それに応じて最適な防護対策を実施する考え方を示しています。

例えばIoTシステムなら、センサー → ゲートウェイ → 通信回線 → クラウド → 管理画面 → 保守用接続までつながっています。

センサー単体のセキュリティだけ説明できても、システム全体としてどこに外部接続点があり、誰が管理しているのか分からなければ十分とは言えません。特に重要になるのが、各社の責任分界です。

重要インフラ事業者が自社のリスクを管理しようとすると、取引先についても確認する必要が出てきます。

自社がさらに別のクラウドサービスや海外メーカーを使っているなら、その先まで含めた構成になります。供給者側も、自社のサービスの中でどの外部サービスを利用しているのか、委託先・再委託先はどこまで関係しているのかを説明できるようにしておいた方がよいでしょう。

IoT・OT系で特に気になったのが、この点です。閉域網自体に意味がないという話ではありません。

問題は、「閉域網だから、その他のセキュリティ対策はそれほど考えなくていい」となってしまうことです。

実際のシステムには、リモート保守用VPN、メーカーの保守アカウント、ソフトウェア更新経路、クラウドへのデータ送信、委託先からのアクセスなど、さまざまな接点があります。

ネットワーク構成だけでなく、「誰が、どこから、何にアクセスできるのか」まで見た方がよさそうです。

以下は、重要インフラ統一基準がベンダーへ直接義務付けている公式チェックリストではありません。私が供給者側なら、顧客から聞かれる前に説明できる状態にしておきたい項目です。