攻撃者は動機で標的を選ばない。到達に要する費用、成功したときの利得、帰属されたときの負担——この三つの比で選ぶ。系統連系技術要件ガイドライン改定案（e-Gov 案件番号 620340012）は、この比を攻撃者に有利な方向へ動かす。ラベルを通った製品群に新設・交換の需要が集まり、同一のファームウェア配信系統・同一の制御面に属する容量が増える（到達費用あたりの利得が増える）。ラベルが「対策済み」の外形になり、設置側の境界防御や到達容量の制限が省かれやすくなる（到達費用が下がる）。そして特定製品の排除として語られる制度であるため、侵害の成功が制度の信用そのものを毀損する（利得が技術的被害を超える）。最も価値の高い標的はメーカーの更新配信サーバーと署名鍵であり、JC-STAR★1はそこを評価していない。
解説動画（約8分）
他言語版: 日本語 ／ English ／ 简体中文 ／ 再生リスト ／ 第1弾（引受審査の 5 項目・約6分半）: ラベル対現実の脅威 ／ 意見の出し方: 11月6日までに意見を
1. 攻撃者が標的を選ぶ基準
電力設備への攻撃について公開されている事例は、標的の選び方に共通点を持つ。守りが薄い個別の機器を一台ずつ落とすのではなく、一度の到達で多数の機器に同時に届く経路を使う。
| 事例 | 到達した経路 | 同時に届いた範囲 |
|---|---|---|
| ウクライナ配電網（2015年12月・2016年12月） | 運用端末への侵入から配電 SCADA の制御面へ。2016年は変電所プロトコル（IEC 60870-5-104 等）を直接操作するマルウェア | 2015年は約23万需要家が停電。2016年はキエフ北部の変電所 |
| Viasat KA-SAT（2022年2月24日） | 衛星通信事業者の地上管理網からモデムへ破壊的な更新を配信 | 欧州の数万台のモデム。ドイツでは Enercon 社の風力発電機約5,800基が遠隔監視を失った |
| デンマークのエネルギー事業者（2023年5月） | 事業者が共通して使っていた境界装置（Zyxel 製ファイアウォール）の脆弱性 | SektorCERT の報告で22事業者が同時に侵害され、一部は島運転（系統からの切り離し）に至った |
| SolarWinds Orion（2020年） | 監視ソフトのベンダー側ビルド環境に侵入し、正規署名付きの更新に不正コードを混入 | 更新を適用した約1万8千組織に同時に配布 |
四つに共通するのは、機器の個別の強さは問題にならなかったという点である。侵害されたのは、多数の機器が共通して依存する管理面・配信面・境界装置であり、到達した瞬間に多数が同時に動いた。製品単体の認証は、この経路を評価の対象にしていない。
2. 改定案が揃える三つの条件
改定案そのものは条文に国名を書いていない。だが制度が施行されたあとの系統の姿は、条文から読める。
- 供給が収斂し、一つの配信系統に属する容量が増える系統連系の条件にラベルを置けば、新設と交換の需要はラベルを取得した製品群に集まる。取得する製品群は限られるため、同一メーカーの同一ファームウェア配信系統・同一のクラウド制御面に属する容量は、制度がない場合より大きくなる。一件の侵害で同時に動く容量（Cyber Blast Radius）に上限を置く規定は改定案にない。この点は意見6として所管庁に提出し、受付番号 620340012420402491 で受理されている。
- 「対策済み」の外形が付き、設置側の防御が省かれやすいIPA は2026年7月26日の回答で、ラベルは製品に備わる機能を示すものであり、その製品が安全に設置・運用されていることを示すものではないと明記している。しかし接続可否をラベルで判断する運用になれば、設置者・施工者・一般送配電事業者の側では「ラベルがあるから足りている」という判断が生まれる。境界防御、到達容量の制限、出力の床（最低運転点）といった設置側の対策は、要件に書かれていない以上、費用がかかる分だけ省かれる。到達費用は下がる。
- 排除という文脈が付き、侵害の成功が制度の信用に及ぶこの改定は、公開の議論の中で特定国の製品を念頭に置いた措置として語られている。所管庁がそう明言しているわけではないが、受け取られ方は変えられない。この文脈のもとで侵害が成功すれば、帰結は停電や出力変動という技術的被害にとどまらない。「安全のために外したはずの制度が破られた」という事実そのものが、国家に近い攻撃者にとっては停電より大きな利得になる。費用は変わらず、利得だけが増える。
3. 最も価値の高い標的と、ラベルが見ていない場所
三つの条件から導かれる、最も費用対効果の高い標的はメーカーの更新配信サーバーと、ファームウェアの署名鍵である。理由は単純で、そこに到達すれば、ラベルを取得した全数の機器に正規の経路で同時に届くからである。機器側の署名検証は、正しい鍵で署名された不正な更新を止められない。
JC-STAR★1 の適合基準は、製品に「安全な更新を受け取る機能」が備わっているかを確認する。更新を配信する側のサーバーがどう運用されているか、署名鍵がどこに保管され、誰が使えるのか、鍵が漏れたときに失効と再署名をどう行うのか、配信を一度に全数へ出す運用か段階的に出す運用か——これらは製品の機能ではないため、評価の対象にならない。IPA の回答が「設置・運用を示すものではない」と言っているのは、この境界のことである。
| 攻撃者から見た到達点 | 到達した場合に動く範囲 | JC-STAR★1 の評価対象か |
|---|---|---|
| 機器一台の管理画面（既定パスワード等） | その一台 | 対象（既定パスワードの廃止など） |
| 設置現場のネットワーク境界 | その現場の機器 | 対象外（設置側） |
| メーカーのクラウド制御面（遠隔出力制御） | その制御面に属する全数 | 対象外（運用側） |
| メーカーの更新配信サーバー・署名鍵 | その配信系統に属する全数、正規の経路で | 対象外（運用側） |
表の下へ行くほど、一度の到達で動く範囲は広く、ラベルの評価からは遠い。改定案は、表の一番上だけを見て接続可否を決める設計になっている。
4. 「狙われない」と言うために必要だった資料
この構造を否定するには、少なくとも次の三つの資料が要る。どれも、当社が2026年7月に資源エネルギー庁へ送った公開質問で求めたものである。
| 必要な資料 | 何を示せば構造を否定できるか | 所管庁の回答（2026年7月） |
|---|---|---|
| 脅威モデル | 想定した攻撃者・到達経路・被害の範囲が明示され、更新配信面と制御面が含まれていること | 要件化の根拠として示された資料はない |
| 代替措置との比較評価 | ラベルによる製品選別が、境界防御や到達容量の制限より効果が高いという比較 | 「比較した資料はない」 |
| 影響評価 | ラベル要件化後の系統で、一件の侵害で同時に動く容量がどう変わるかの試算 | 示されていない。IP／非 IP の比較は「要件化の観点ではない」 |
回答の原文は回答データセット（CC BY 4.0）にあり、日付と質問番号つきの経過は予見可能性の台帳にまとめてある。「狙われない」と判断するための資料が制度設計の時点で存在しなかったことは、所管庁自身の文書で確認できる。
5. いま打てる手
構造を変えるのは制度の修正だが、制度を待たずに打てる手がある。立場ごとに書く。
設置者・発電事業者・施工者
- メーカーのクラウド制御面から切り離しても運転が続く構成を選ぶ。遠隔出力制御は、系統運用者からの指令経路と、メーカーの保守経路を分ける。
- 現場の境界に自前の装置を置き、機器が外へ出せる通信先を列挙する。ラベルの有無にかかわらず行う。
- サイト単位で「通信を失ったときの挙動」と「最低運転点」を仕様書に書かせる。一斉に零へ落ちる設計を、契約で避ける。
- 更新の適用を自動にせず、段階的に行える機器を選ぶ。全数が同じ日に同じ更新を受け取る運用を、事業者側で止められるようにする。
メーカー
- 更新配信の署名鍵をオフラインまたは HSM に置き、二者承認なしに署名できない運用にする。鍵の失効と再署名の手順を公開する。
- 更新は全数同時ではなく、地域・容量で分けた段階配信にする。配信後に異常があれば止められる設計にする。
- 遠隔制御面で一度に操作できる容量に、メーカー側で上限を置く。
- これらを、ラベルの取得とは別に、公開仕様として書く。当社は国内外の主要メーカーに、この点を含む公開照会を順次送付し、回答の有無を台帳に記録する。
所管庁・一般送配電事業者
- 接続の条件に「一件の侵害で同時に動く容量の上限」を置く。NERC CIP-002 が資産あたりの MW で影響度を分けているのと同じ発想である。
- 風力に認めた「同等の機能」を、太陽光と蓄電池にも認める。設置側の防御で同等の効果を出せる道を閉じない。
- 脅威モデル・比較評価・影響評価を、施行前に公表する。存在しないなら、作ってから施行する。
読者
改定案の意見公募は2026年11月6日まで受け付けている。出し方と文案を用意してある。この記事の論点をそのまま出す場合は、「一件の侵害で同時に動く容量に上限を置くこと」「更新配信面と制御面を脅威モデルに含めること」の二点に絞ると、所管庁が回答しやすい。
この文書が言わないこと
特定の国や事業者が攻撃を計画している、とは言わない。攻撃が起きる時期や確率を予測しない。JC-STAR★1 に効果がない、とも言わない。既定パスワードの廃止や更新機能の義務化は、機器一台への侵入に対して意味がある。所管庁や制度運用者が標的化を意図した、という認定もしない。述べているのは、改定案が作る系統の姿を、攻撃者の選択基準（到達費用・利得・帰属負担）に当てはめた結果と、その結果を否定するための資料が所管庁の回答によれば存在しないという事実だけである。個別製品の脆弱性の有無、個別の接続拒否、訴訟の勝敗は扱わない。
出典
- 資源エネルギー庁「『電力品質確保に係る系統連系技術要件ガイドライン』改定案」および意見公募要領（2026年10月6日公示、e-Gov 案件番号 620340012、受付締切 2026年11月6日）
- 資源エネルギー庁 電力基盤整備課による当社公開質問への回答（2026年7月13日・16日・30日）、IPA セキュリティセンター 技術評価部による回答（2026年7月19日・25日・26日）。原文は回答データセット、経過は予見可能性の台帳
- E-ISAC / SANS ICS, "Analysis of the Cyber Attack on the Ukrainian Power Grid" (2016); ESET, "Industroyer" (2017)
- Viasat, "KA-SAT Network cyber attack overview" (2022年3月30日); Enercon 社の発表（2022年2月28日、約5,800基の遠隔監視喪失）
- SektorCERT, "The attack against Danish, critical infrastructure" (2023年11月)
- CISA, "Emergency Directive 21-01: Mitigate SolarWinds Orion Code Compromise" (2020年12月13日)
- NERC CIP-002-5.1a "BES Cyber System Categorization"; Regulation (EU) 2024/2847 (Cyber Resilience Act); Directive (EU) 2022/2555 (NIS2)
- 当社「規模ではない。到達構造だ。」「Cybersecurity から Cyber-Resilience へ」「改定案の検証」「提出した意見の全文」
益田 周防海（Suomi Masuda）／株式会社I-S3。公開資料と受領した回答文に基づく。特定の製品・事業者の評価ではなく、個別の契約や訴訟の助言でもない。