要約

  • 2026年10月1日に施行された共通基準は、政府の施策を評価し更新する循環を定める。全事業者に同一の法的効力を持つチェックリストを課すものではない。
  • 年次質問票、一部を対象とする実地調査、その他の比較研究を、所管省庁と国家サイバー統括室が分析し、サイバーセキュリティ戦略本部が政府施策を評価する。
  • 分野横断の比較には、対象母集団と方法の公表、分野固有の違いの保持、証拠を受けて変更された政府計画の明示が欠かせない。

この基準の核心は、手続きにある。重要インフラ事業者のサイバー対策を後押しする政府の取り組みに、計画、証拠の収集、評価、見直しという、より明確な循環を設けた。したがって初回の公表評価で問われるのは、全国共通の点数があるかではない。事業者から所管省庁へ、そこから国家サイバー統括室（NCO）へ、さらにサイバーセキュリティ戦略本部へと、証拠がどう渡ったかを読者が追えるかである。

この区別は、16分野の企業すべてに一つの運用マニュアルを課したと誤解しないために重要だ。戦略本部が2026年7月31日に決定し、10月1日に施行した基準は、指定された重要インフラ事業者のサイバー対策を支援するため、国の行政機関が講ずべき施策の共通基盤を定める。改正サイバーセキュリティ基本法が根拠として示されている。事業者に向けた安全基準は別の層であり、各所管省庁などが分野ごとに策定する。

対象は情報通信、金融、航空、空港、鉄道、電力、ガス、政府サービス、医療、水道、物流、化学、クレジット、石油、港湾、郵便の16分野だ。所管は五つに分かれる。金融庁が金融、総務省が情報通信・政府サービス・郵便、厚生労働省が医療、経済産業省が電力・ガス・化学・クレジット・石油、国土交通省が航空・空港・鉄道・水道・物流・港湾を担当する。分野横断の調整はNCOが担う。

「事業者」の範囲にも境界がある。NCOの説明では、重要インフラ事業者とは16分野のうち所管省庁が指定する事業者だ。対象は業界に属すると自認する全企業ではなく、行政が定める母集団である。その名簿の基準や変更が開示されなければ、数字の変化がセキュリティの改善ではなく対象の入れ替わりを表すおそれがある。

この循環は従来の取り組みを引き継ぐ。日本の行動計画には、すでに定期調査と結果公表が盛り込まれていた。よって2026年の基準を、事業者調査の初回と説明するのは誤りだ。新たな点は、政府施策の基準を明確にし、その評価手順を規定したことにある。実施計画は原則として年次で作成・更新され、NCOと各省庁が実施状況を確認する。所管省庁が分野ごとの評価案を作り、NCOが取りまとめて分野横断の分析を行う。戦略本部は政府施策の実施状況を評価し、組織体制や予算の見直しも検討する。その後、計画を更新し、再び報告する。

調査方法は広さと深さを組み合わせる。NCOと省庁は、全分野・事業者への質問票、一部の分野・事業者への実地調査、国内外の制度比較などを用いる。省庁は分野ごとの結果を該当する安全基準と照らし、NCOは横断的な傾向を分析する。追加検証が必要なら、分野別の調整機関や事業者に結果を共有することもできる。

この設計は、政府間の調整が機能しているかを見る手掛かりになる。一方、報告が短縮され過ぎると、政府が行った施策、事業者が報告・実証した内容、分野別安全基準が求める事項の三つが混ざる。基準には、法的義務のあるもの、推奨、業界標準、事業者の内部規則があり、効力は一様ではない。戦略本部が評価するのは政府施策の実施であり、全事業者に同じ点数を付けるとは基準に記されていない。

10月10日時点で、NCOの政策ページは「重要インフラ・サイバーセキュリティ自己評価」（CI-CSA）を「公開予定」と表示していた。これは独立した準備状況の指標であり、年次調査と同一のものでも、評価が完了した証拠でもない。確認できた公開資料は基準と予定される手順を示すが、2026年の回答率、遵守率、インシデント結果、基準による改善を示してはいない。

初回評価を比較可能にするには、指定事業者の数と指定根拠、回答数・回答率、質問票と実地調査の方法、適用した安全基準の版、除外対象、母集団変更の扱いを示すべきだ。事業者に関する証拠と政府施策の評価を分け、審査後にどの計画を変更したかも明記する必要がある。これは読み手の検証可能性を高める提案であり、基準がすでに全項目の公開を義務付けているという意味ではない。

単一の全国スコアは適切な近道ではない。病院の復旧、港湾の運用技術、鉄道の信号、通信網ではリスクが異なる。共通の最低要件は役立つが、分野別の結果と並べ、省庁の判断の違いを説明すべきだ。生の運用情報が機微であれば、公開用の集計と保護された技術付属書を組み合わせればよい。透明性とは、悪用できる情報まで公開することではない。

新基準は、事業者の活動数ではなく、政府の調整を評価する機会をつくる。初回の循環が信頼されるには、誰を対象とし、どの省庁が責任を持ち、どの方法を使い、どの判断に至ったかを公衆がたどれなければならない。証拠の連鎖がなければ、手続き上は完了しても比較は難しい。連鎖を示せば、分野差は全国平均に消されず、検討すべき事実として見える。

出典