← 戻る

KNOWLEDGE HUB

NERC CIP: 北米の電力網を守る規制

米国とカナダの大規模電力システムのサイバーセキュリティを規定する義務的標準——そしてIEC 62443のような技術標準との関係。

何か

NERC CIP(Critical Infrastructure Protection)は、米国とカナダの大規模電力システム(Bulk Electric System)のサイバーセキュリティを規定する、任意ではなく義務的な標準群です。FERCの規制権限のもとNERCが管理しています。

あらゆる国のあらゆる産業に適用できる技術標準である62443とは異なり、NERC CIPは北米の電力部門に特化した法的義務であり、実際の監査と実際の罰金が伴います。

なぜ重要か

発電、送電、あるいは大規模電力システムに該当する特定の配電資産を運用する事業者にとって、CIPは選択肢ではありません。北米以外でも、CIPはラテンアメリカを含む世界の電力部門の多くで事実上の基準として使われています。

どのように構成されているか

• CIP-002:BES Cyber Systemsの識別と分類(高・中・低の影響度)——他のすべてはこの分類に依存する。
• CIP-003〜CIP-011:具体的な統制——人員管理、電子的セキュリティ境界、物理的セキュリティ、脆弱性管理、復旧計画、構成変更管理。
• CIP-013・CIP-014:サプライチェーンセキュリティと重要施設の物理的セキュリティ。

ベストプラクティス

• CIP-002の分類に必要な時間をかける——誤分類された資産は他のすべての標準にエラーを波及させる。
• アーキテクチャの『どのように』にはIEC 62443のような技術フレームワークを、義務的な規制の『何を』にはCIPを使う——両者は競合ではなく補完関係にある。
• 監査直前ではなく、統制の初日からコンプライアンスの証跡を文書化する。

よくある間違い

• 監査と監査の間でコンプライアンスの証跡を最新に保つのに、実際どれだけの作業が必要かを過小評価すること。
• CIPを規制上の最低ラインではなく、セキュリティの上限(『準拠しているから安全だ』)として扱うこと。
• プログラム設計の段階から法務部門と運用部門を関与させないこと——CIPはIT/OTだけのプロジェクトになったときに失敗する。