サイバーレジリエンス

サイバーレジリエンス（英: Cyber resilience）とは、サイバー攻撃を受けたとしても、意図した結果を継続的に提供できる主体の能力のことである。サイバー攻撃に対するレジリエンス（回復力）は、ITシステム、重要インフラ、ビジネスプロセス、組織、社会、そして国家にとって不可欠なものである。

関連する用語に、システムがサイバー攻撃に対してどの程度のレジリエンスを持っているかを評価するサイバー適格性（英: cyberworthiness）がある。この概念は、スタンドアロンのソフトウェア、インターネットサイトに展開されたコード、ブラウザ自体、軍事作戦システム、商用機器、IoTデバイスなど、幅広いソフトウェアおよびハードウェア要素に適用可能である。

有害なサイバーイベントとは、ネットワーク化されたITシステムや関連する情報・サービスの可用性、完全性、または機密性に悪影響を与える事象のことである。これらのイベントは、意図的なもの（サイバー攻撃など）である場合もあれば、非意図的なもの（ソフトウェア更新の失敗など）である場合もあり、その原因は人間、自然、あるいはそれらの組み合わせによるものである。

サイバーレジリエンスの目的は、主体が意図した結果を常に継続して提供能力を維持することにある。これは、危機的状況やセキュリティ侵害の後など、通常の提供メカニズムが破綻した場合であっても、結果を提供し続けることを意味する。この概念には、そのような事象の後に通常の提供メカニズムを修復または回復する能力や、新たなリスクに直面した場合に必要に応じて提供メカニズムを継続的に変更または修正する能力も含まれる。バックアップや災害復旧（ディザスタリカバリ）運用は、提供メカニズムを回復するプロセスの一部である。

フレームワーク米国大統領政策指令PPD-21で定義されているように、レジリエンスとは、変化する状況に備えて適応し、混乱に耐え、そこから迅速に回復する能力のことである。

アメリカ国立標準技術研究所（NIST）のSpecial Publication 800-160 Volume 2 Rev. 1は、安全で信頼性の高いシステムをエンジニアリングするためのフレームワークを提供しており、有害なサイバーイベントをレジリエンスとセキュリティ双方の問題として扱っている。特にSP 800-160では、レジリエンスを向上させるために使用できる14の技術を特定している。 +サイバーレジリエンス技術技術目的適応的対応タイムリーかつ適切な方法で対応する能力を最適化する。分析的モニタリング有害な活動や状況をタイムリーかつ実用的な方法で監視・検知する。協調的保護多層防御戦略を実装し、攻撃者が複数の障害を克服しなければならないようにする。欺瞞攻撃者を誤解させ、混乱させ、重要な資産を隠蔽し、あるいは密かに汚染された資産を攻撃者にさらす。多様性異質性を利用して、共通モード障害、特に共通の脆弱性を悪用する攻撃を最小限に抑える。動的配置ネットワークの分散を分散・多様化することで、非敵対的なインシデント（自然災害など）からの迅速な回復能力を高める。動的表現ネットワークの表現を最新の状態に保つ。サイバーリソースと非サイバーリソース間の依存関係の理解を深める。攻撃者の行動パターンや傾向を明らかにする。非永続性必要に応じて、または限られた時間だけリソースを生成・保持する。汚職、改ざん、侵害への露出を減らす。特権の制限ユーザーやシステム要素の属性、および環境要因に基づいて特権を制限する。再編成ミッションクリティカルなサービスと非クリティカルなサービス間の接続を最小限に抑え、非クリティカルなサービスの障害がミッションクリティカルなサービスに影響を与える可能性を低減する。冗長化重要なリソースに対して、複数の保護されたインスタンスを提供する。セグメンテーション重要度と信頼性に基づいてシステム要素を定義し、分離する。実証された完全性重要なシステム要素が破損していないかを確認する。予測不可能性ランダムかつ予期せぬ変更を行う。システム保護に関して攻撃者の不確実性を高め、適切な行動方針を特定することを困難にする。

国際的な規制動向サイバーレジリエンスは単なる技術的な推奨事項にとどまらず、法的な義務としての整備が進んでいる。

欧州サイバーレジリエンス法（CRA）欧州連合（EU）において、デジタル要素を備えた製品（ソフトウェアおよびハードウェア）のセキュリティ基準を定める「サイバーレジリエンス法（Cyber Resilience Act, CRA）」が策定された。この法律は、メーカーに対して製品のライフサイクル全体を通じたセキュリティ対策と脆弱性管理を義務付けるものであり、基準を満たさない製品のEU域内での販売を制限する法的強制力を持つ。これにより、製品の設計段階からセキュリティを組み込む「セキュア・バイ・デザイン」の考え方が国際的な標準となりつつある。

産業・制御システム（OT）における重要性オペレーショナルテクノロジー（OT）の分野においては、サイバーレジリエンスは情報の保護以上に、物理的な安全と事業継続の観点から極めて重要視される。

ITシステムにおけるレジリエンスが「データの復旧」に重点を置くのに対し、工場や重要インフラを制御するOTシステムでは、サイバー攻撃を受けても「物理的な稼働を止めない」、あるいは「安全な状態で停止し、迅速に再起動する」といった、可用性と安全性の維持（セーフティ）に直結する能力が求められる。

こうした背景から、制御システムのセキュリティ標準規格であるIEC 62443シリーズにおいても、攻撃を前提とした検知・対応・回復のプロセスが体系化されている。日本国内においても、製造現場のサイバーレジリエンスを構築するために、独立行政法人情報処理推進機構（IPA）によるガイドラインの策定や、専門機関による実務者向けトレーニングなどの取り組みが進められている攻撃を受けても止まらない工場へ、現場のサイバーレジリエンスをいかに築くか, MONOist (ITmedia), 2026年2月20日, 閲覧日: 2026-05-14。

サイバーレジリエンス

Źródło i licencja