規制当局に発見される前にエビデンスギャップを解消

重要インフラ、公益事業、交通、水道などの公共部門の運営者は、物理的なレジリエンス義務とサイバーセキュリティ要件の両方に同時に直面するケースが増えています。多くの法域において、重要インフラに指定されるほどの運営者は、同時にエッセンシャルエンティティとしてサイバーセキュリティ要件の対象にもなります。物理的側面は、目に見える証拠が残るため、相応の注目を集めやすい一方、サイバー側は遅れがちです。

公共事業者に自社システムの安全性を尋ねると、ほとんどの場合「はい」と答えます。しかし、安心感ではなく記録で証明するよう求めると、その自信は急速に揺らぎます。本記事では、なぜ公共部門の重要インフラでサイバー側の証拠ギャップがこれほど一般的なのか、そしてそのギャップを埋めるには実際に何が必要なのかを解説します。

エグゼクティブサマリー

重要インフラに分類される公共部門の運営者は、物理的レジリエンスとサイバーセキュリティ義務という拡大したコンプライアンス領域に直面しています。同じ運営者がエッセンシャルエンティティとしても該当するためです。サイバー側が遅れがちなのは、必要とされる証拠、すなわち継続的かつ検索可能なデータアクセス記録を事後に作成するのが困難だからです。ITやコンプライアンスの責任者にとって、実務上の優先事項は、失敗がインシデントや規制当局によって初めて可視化されるまで見過ごされがちな義務側の証拠ギャップを埋めることです。

主なポイント

1. 公共部門の重要インフラは、物理的義務とサイバー義務の両方を同時に負うようになっています。
2. 物理的レジリエンスは可視化しやすく、証明が容易です。サイバーレジリエンスには同等の「現場確認」がなく、アクセス制御は現地を歩いても確認できません。
3. 記録のないサイバーレジリエンスへの信頼は、証拠ではなく仮定にすぎません。誰が何にアクセスしたかを具体的に説明できない組織は、コントロールの実証ではなく、インシデントが起きていないことに依存しています。
4. 規制当局は一度きりの評価ではなく、継続的な証拠をますます求めるようになっています。一度提出したリスク評価では、実際のインシデント後に監督当局が求める質問に答えられません。
5. 必要な証拠は、すべてのエッセンシャルエンティティが必要とする証拠と同じですが、公共の利益が関わるため、より厳しい監視下に置かれます。

なぜ公共部門の運営者は今、物理的義務とサイバー義務の両方に直面しているのか

重要インフラに該当する運営者は、単一ではなく、2つの独立した義務セットが並行して課されることが増えています。

物理的レジリエンスとサイバーレジリエンスは別個の義務として規制されている

物理的レジリエンスの枠組みは、災害や破壊行為、物理的な妨害に対する重要サービスの継続性に焦点を当てています（登録、影響評価、施設自体の保護措置など）。サイバーセキュリティ義務は、まったく異なるリスク（インシデント報告、情報システムのリスク管理、技術的セキュリティ対策の証拠など）に焦点を当てています。どちらか一方を十分に満たしても、もう一方でリスクにさらされる可能性があります。

監督の厳格化は多くの組織の証拠管理の進化より速い

物理的・サイバー両監督当局の連携が進む中、組織にはコントロールの有無だけでなく、何かが起きた際にそれらがどのように機能したかを具体的かつタイムスタンプ付きで説明することが求められています。多くの組織は、より低い監督レベルを前提とした証拠管理体制しか持っていません。

なぜ物理的証拠は簡単で、サイバー証拠は難しいのか

この2つの義務の非対称性は、自然に証拠が生まれるか、意図的な設計がなければ証拠が生まれないかの違いにあります。

境界線は歩けても、アクセスログは歩けない

物理的なセキュリティ対策は、検査官が現場を直接観察して確認できます。一方、運用システムへのアクセスが本当に管理・監視・記録されていたかは、記録を調べて初めて確認でき、その記録はシステム自体が継続的に記録を残す設計になっていなければ存在しません。

インシデントがないことはコントロールの証拠ではない

多くの組織は、何も問題が起きていないことをコントロール実証の代わりとして静かに扱っています。しかし、インシデントや規制調査が発生した瞬間にこの前提は崩れます。

サイバー証拠ギャップを埋めるために本当に必要なこと

このギャップを埋めるには、機密性の高い運用データを扱うシステムが、ポリシーで存在するとされる証拠を実際に生成していることを保証する必要があります。

機密データに関わるすべてのシステムでの継続的なログ取得

運用データを扱うすべてのチャネルで継続的かつ完全なログを取得することで、インシデント調査は推測の再構築ではなく、記録の検索作業となります。

証拠は規制当局に求められる前に用意しておく必要がある

インシデントを調査する監督当局は、「どのデータに、誰が、どの権限でアクセスしたのか」「どんなコントロールがあったのか」といった具体的な質問をします。即座に答えられる組織と、記録が存在しない理由を説明しなければならない組織とでは、根本的に立場が異なります。

必要になる前に証拠基盤を構築する

公共部門の運営者が実務上優先すべきは、物理的レジリエンスに既に適用している厳格さでサイバー側の義務も監査することです。ログが継続的かつ完全であること、迅速に検索できること、監督当局が具体的な証拠を求めた際に本当に満たせることを確認しましょう。

データコントロールプレーンが組織に必要な証拠を提供する仕組み

Kiteworksのデータコントロールプレーンは、あらゆるチャネルの全アクションにデータ認識型のゼロトラスト・コントロールを適用し、各アクションを改ざん防止かつスロットリングされない監査ログとして記録し、SIEMツールに直接連携します。これにより、機密データに「何が・いつ・誰の権限で」起きたかを継続的かつ検索可能な記録として提供します。シングルテナント導入、オンプレミス、自社運用クラウド、専用ホスティングなど、証拠基盤が組織自身の管理下に置かれる点も特長です。

自社のサイバー証拠管理体制をテストしたい組織は、カスタムデモを予約し、継続的かつクロスチャネルな監査証拠が自社の重要インフラ環境にどう適用されるかを体験できます。