経済産業省 「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン第２版（案）」及び「付属書 ビルシステムにおけるサイバー・フィジカル・セキュリティ対策インシデントレスポンス・ガイドライン（案）」に対する意見募集

こんにちは、丸山満彦です。

経済産業省が、「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン第２版（案）」及び「付属書　ビルシステムにおけるサイバー・フィジカル・セキュリティ対策インシデントレスポンス・ガイドライン（案）」の意見募集をしていますね。。。

次のようなことのようです...

---

ビルシステムにおけるサイバー・フィジカル・セキュリティ対策 ガイドライン第 2 版の策定にあたって

• ビルのサイバーセキュリティについては、2019 年 6 月 17 日に「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン（以下、共通編）第 1 版」 が公開、ビルシステムに対する全般的なサイバーセキュリティ対策のガイドを示すものとして活用され、ビルのサイバーセキュリティ対策も徐々に進んできている。さらに、2022 年 10 月 24 日には「ビルシステムにおけるサイバー・フィジカル・セキリティ対策ガイドライン（個別編：空調システム）第 1 版」が公開され、ビルに係る 個別のサブシステムとして空調システムを対象としたサイバーセキュリティ対策向上のために活用されるに至っている。
  
  
• 上記の共通編第 1 版は、ビルに導入される様々なシステムに対するサイバーセキュリティ対策のうち、主に事前に検討し、準備しておくべき対策について示したものであ る。しかし、導入済みのシステムの制約やコストの問題など、さまざまな問題から十分に対策ができていないといった問題、想定を超える高度なサイバー攻撃の可能性、 さらにスマートビル化の進展により、ビルシステムが被害を受ける可能性がより高まっている。
  
  
• このような状況に対して、ビルシステムへのサイバー攻撃（インシデント）の発生時に、その損害を最小限に抑え、復旧にかかる時間とコストを削減するための取組（イ ンシデントレスポンス）が重要となる。このため、ビルシステムに対するサイバーセキュリティ対策強化の一環として、インシデントレスポンスについて検討を行い、取 りまとめを行った。
  
  
• この検討の成果を新たに追加する形で、本ガイドラインの改定を行い、新たに第２版 として公開することとした。また、インシデントレスポンスに係る詳細の対応を「付 属書 ビルシステムにおけるサイバー・フィジカル・セキュリティ対策 インシデントレスポンス・ガイドライン（案）（以下、付属書）」としてまとめることとした。
  
  
• 今後、本ガイドライン及びその付属書が活用されることで、ビルシステムにおける事 前対策からインシデント発生時の対応まで、一貫した対策が進むことを望まれる。

---

● e-Gov

・2023.02.15 「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン第２版（案）」及び「付属書　ビルシステムにおけるサイバー・フィジカル・セキュリティ対策インシデントレスポンス・ガイドライン（案）」に対する意見募集について

・[PDF] ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン第２版（案） 

目次...

1. はじめに
1.1. ガイドラインを策定する目的
 1.1.1. ガイドラインの目的
 1.1.2. サイバー・フィジカル・セキュリティ対策フレームワークとの関係
1.2. ガイドラインの適用範囲と位置づけ
 1.2.1. ガイドラインの対象者
 1.2.2. 対象とするビル
 1.2.3. 対象とするビルシステム（ビルシステムの定義）
 1.2.4. ガイドラインの位置づけ
1.3. 本ガイドラインの構成

2. ビルシステムを巡る状況の変化
2.1. ビルシステムを含む制御システム全般の特徴と脅威の増大
2.2. ビルシステムにおける攻撃事例
 2.2.1. MIT（Massachusetts Institute of Technology、マサチューセッツ工科大学）の学内ビルの照明ハッキング
 2.2.2. ターナー・ギルフォード・ナイト収容所の警備システムハッキング
 2.2.3. ラッペーンランタでの DDos 攻撃による暖房停止
 2.2.4. ホテルでの宿泊客の閉じ込め・閉め出し
 2.2.5. インターネットカメラへの大量ハッキング
 2.2.6. テストによるハッキング事例
 2.2.7. ドイツにおける BAS 機器のロック事例
2.3. ビルシステムにおけるサイバー攻撃の影響

3. ビルシステムにおけるサイバーセキュリティ対策の考え方
3.1. 一般的なサイバーセキュリティ対策のスキーム
3.2. ビルシステムの構成の整理
3.3. ビルシステムの特徴
 3.3.1. 超長期の運用
 3.3.2. 複数のフェーズに分かれた長いライフサイクルを持つこと
 3.3.3. マルチステークホルダであること
 3.3.4. 多種多様なビルの存在
3.4. ビルシステムにおけるサイバーセキュリティ対策の整理方針
 3.4.1. 場所から紐解くリスクの整理とライフサイクルを考慮した対策
 3.4.2. インシデント発生時の対応
3.5. ガイドラインの想定する使い方例
 3.5.1. 例１： 新築の大規模オーナービルにおける使い方
 3.5.2. 例２： 既存の中規模テナントビルをクラウド移行する際の使い方
 3.5.3. 例３： 既存ビルへのリスクアセスメントと対策立案での使い方
 3.5.4. 例４： 機器等の障害対応の延長線上でインシデント対応する使い方

4. ビルシステムにおけるリスクと対応ポリシー
4.1. 全体管理
4.2. 機器ごとの管理策

5. ライフサイクルを考慮したセキュリティ対応策

6. インシデント発生時の対応策
6.1. インシデントレスポンスの概要

付録 A 用語集
付録 B JDCC の建物設備システムリファレンスガイドとの関係
付録 C 建物設備システム リファレンスガイド インシデント対応・セキュリティソリューション編との関係
付録 D サイバー・フィジカル・セキュリティ対策フレームワークの考え方と、サイバー・フィジカル・セキュリティ対策フレームワークの考え方を踏まえたビルシステムにおけるユースケース
付録 E 参考文献

・[PDF] 付属書（案）

目次...

1. はじめに
1.1. 付属書の目的
 1.1.1. 本付属書の目的
 1.1.2. ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドラインとの関係
1.2. ガイドラインの適用範囲と位置づけ
 1.2.1. 想定する読者
 1.2.2. 対象とするビル
 1.2.3. 対象とするビルシステム
  1.2.3.1. ビルシステムの定義
  1.2.3.2. ビルシステムの構成
1.3. 本ガイドラインの構成

2. サイバーインシデントへの対応
2.1. サイバーインシデントへの対応の流れ
 2.1.1. 準備段階
 2.1.2. 識別段階
 2.1.3. 封じ込め段階
 2.1.4. クリーンアップと回復段階
 2.1.5. フォローアップ段階

3. ビルシステムに係るセキュリティ関連サービス
3.1. ネットワーク設計サービス
3.2. 既存システムのセキュリティ診断サービス
3.3. 運用・監視サービス
3.4. 教育・研修サービス
3.5. 各種コンサルティングサービス

付録 A 用語集
付録 B 参考文献

---

● 経済産業省 - 産業サイバーセキュリティ研究会

・ワーキンググループ1（制度・技術・標準化） - ワーキンググループ1（ビルサブワーキンググループ）

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2022.11.21 経済産業省 「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン Ver 1.0」

・2022.10.31 経済産業省 ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン（個別編：空調システム）第1版 (2022.10.24)

・2022.05.01 経済産業省 「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン（案）」に対する意見募集

・2022.02.27 経済産業省 意見募集 「民間宇宙システムにおけるサイバーセキュリティ対策ガイドラインβ版」