電力システムに適用されるサイバーセキュリティ規制

重要なインフラであると誰もが疑わないが故に、攻撃者にとって格好の標的になるのが電力です。電力業界では、電力システムを共有するステークホルダーが等しくセキュリティ態勢を整えることを目指しており、これまで電気事業者、特定卸供給事業者、自家用電気工作物の設置者にそれぞれ保安規定の技術基準となるガイドラインを発行しており、電力システムに属する資産に包括的にセキュリティ要求をかけています。

本稿では、各事業者がガイドラインに準拠する際のポイントについて解説します。

1．電力システムに要請されるセキュリティ態勢
2．電力システムに適用されるサイバーセキュリティ規制
3．各ガイドラインが示すセキュリティ要件

2018年9月に発生した北海道胆振東部地震による全道ブラックアウトに記憶されるように、万が一、電力供給に深刻な被害があれば供給エリアの経済活動が麻痺します。重要なインフラであるため、電力は攻撃者にとって格好の標的になることが想定され、電力業界はそのような動向を踏まえサイバーセキュリティ対策を推進してきました。

東日本大震災以降、電力業界には安定供給の持続性確保と小売競争の促進を目的とした電力システム改革が行われ、市場に多くの新規プレイヤーが参入しました。改革後の電力システムでは、市場取引や相対取引を通じて、新規参入した特定卸供給事業者（アグリゲーター）、再エネ発電事業者などと旧来の発電、送電、小売の各事業者が相互接続することで電力の安定供給メカニズムが構築されています。

そのため、セキュリティレベルが劣る事業者にサイバー攻撃が成立することで生じうる、電力システムを共有しているステークホルダーへの被害、ひいては安定供給を義務とする電力システムそのものへの影響が懸念されるようになってきました。したがって、日本では官民を挙げて、電力システムを共有するステークホルダーが等しくセキュリティ態勢を整えることを推進しています。

電力業界は、重要インフラのなかでもいち早くセキュリティ対策の強化に乗り出した業界の1つです。まず、民間規格などを取りまとめる業界横断組織である日本電気技術規格委員会が2016年に指針「電力制御システムセキュリティガイドライン」を策定しました。これは、電気事業者が管理する電気設備・システムが備えるべきセキュリティ機能や運用・管理上のセキュリティ対策について、電気事業法が定める保安規定の技術基準となるものです。

これを原点として、2017年に需要家のエネルギーリソースや再生可能エネルギーを代表とする分散電源を統合制御する特定卸供給事業者（アグリゲーター）を対象に、資源エネルギー庁より「エネルギー・リソース・アグリゲーション・ビジネスに関するサイバーセキュリティガイドライン」が発行されました。さらに、2022年に主にはビルや工場が備える高圧受変電設備や発電設備の設置者を対象に、経産省より、「自家用電気工作物に係るサイバーセキュリティの確保に関するガイドライン」が公表されました。

これらガイドラインを通じて、電力ネットワークに接続する資産に包括的にセキュリティ対策の指針を示しています。特に、自家用電気工作物については、令和2年度の経産省の調べでは設置数が90万件を超えており、多くの事業者が対象となると見込まれるため、需要家側にも対応が求められるのは、忘れてはならないポイントです。

各ガイドラインにおいても、平時・有事のセキュリティ組織体制、セキュリティ運用、設備が具備すべき技術の各項目におけるセキュリティ要件を示しています。

KPMGでは、各ガイドラインが求めるセキュリティ要件を遵守するための、リスクアセスメント、セキュリティ体制構築、規程整備等を包括的に支援しています。

• 「電力制御システムセキュリティガイドライン」準拠支援
• 「エネルギー・リソース・アグリゲーション・ビジネスに関するサイバーセキュリティガイドライン」準拠支援
• 特定卸供給事業者（アグリゲーター）制度で求められるセキュリティ要件準拠支援
• 「自家用電気工作物に係るサイバーセキュリティの確保に関するガイドライン」準拠支援

KPMGコンサルティング
シニアマネジャー　牛越 達也