要約

  • NISTは2026年9月17日、連邦機関によるOpen RAN導入向けCSF 2.0コミュニティ・プロファイル、IR 8623の初公開草案を示した。意見期限は11月2日で、まだ最終文書ではない。
  • 草案は、O-RAN ALLIANCEの仕様に適合すると主張できても、対応するCSFの成果を完全に達成したとは限らないと明記する。技術仕様と参考用の技術報告書も役割が違う。
  • 表中のOutOfScopeはアライアンス側の脅威分析・製品仕様の射程を示すのであって、省庁の運用責任から外れるという意味ではない。証拠と最終判断をつなぐ記録は本稿の提案である。

調達の会議で、ある無線装置が仕様の試験を通ったという説明があったとする。その時点で「システム全体のサイバーリスクも承認済み」と議事録に書けるだろうか。これは実際の省庁案件ではなく、論点を見分けるための仮定だ。装置の性質を確認する作業と、複数の装置・人員・業務を含むネットワークを引き受ける判断は、証拠の単位も責任者も違う。

IR 8623の対象は、Open RANを自らのインフラの一部として利用しようとする連邦機関だ。無線アクセス機能を分割し、標準化された接続面を使えば、異なる企業の製品を組み合わせる余地が生まれる。草案はその可能性を紹介するが、特定の組合せの安全性を認定してはいない。共通の脅威と参照資料を整理し、機関が自分の組織プロファイルと戦略を作るための出発点を与える。

査読者向けの注記は、製品説明から組織の成果へ飛躍しないよう釘を刺す。O-RAN ALLIANCEの仕様に適合すると主張しても、CSFで求める成果が十分に満たされたとは限らない。本文は、技術仕様が製品の機能や要件を扱い、技術報告書が設計や運用の参考情報を示すと区別する。報告書をすべての製品に適用する必須条件と見なしてはならない、とも述べる。同じ「O-RAN文書」でも証拠としての重さは一様ではない。

付録のOutOfScopeという表示は、とりわけ慎重に読む必要がある。アライアンスの脅威分析の点数欄で、組織のリスク許容度、全社的なリスク管理、経営層の責任、方針の策定などがそう記される。NISTの説明では、アライアンスは構成品の仕様を作るが、個々の機関の配備方法や運用を決めない。この欄で扱えない事項は、現場で重要でないという意味ではなく、別の意思決定者が扱うべき事項である。

だからこそ、適合性の資料を受け取る側には別の問いが残る。試験した機器と仕様の版は何か。どの要件を、どの条件で確認したのか。その証拠は実際の構成やデータの流れのどこまで届くのか。権限設定、監視、変更、障害時の継続について誰が判断し、残るリスクを誰が承認したのか。こうした対応表を残すことはDaniel Kadeの編集上の提案であり、NISTが新しい所定様式を課したという話ではない。

草案は、コミュニティ向けの優先度が各機関の優先度と違い得るとも認める。扱う情報や周辺インフラを外した点数だけでは、実際の導入判断にならない。11月2日までの意見募集で、OutOfScopeが免責と誤読されない表現や、製品資料から組織プロファイルへ根拠を引き継ぐ例を求める余地がある。現時点で特定の導入失敗、欠陥、規制違反を示す資料はない。

出典