NERC CIP-015-1への準拠に向けた実運用

長年にわたり、  NERC（北米電力信頼性協会）  のCIP準拠は、境界のセキュリティ確保に重点を置いていました。CIP-006は物理的なアクセスを規定し、CIP-007はポートとサービスを制限し、CIP-005はESP（電子セキュリティ境界）を定義しました。その根底にある前提は、境界を越えるものを制御できれば、リスクも制御できるというものでした。 

CIP-015-1はこの前提を否定し、2025年9月から施行されています。2028年9月に最初の主要な遵守期限を迎えるにあたり、「規格を読んだ」という段階と「実用的なアーキテクチャを構築した」という段階との間のギャップが、次第に重要になってきています。 

FERC（連邦エネルギー規制委員会）は、2025年6月26日付の命令第907号により、NERC CIP-015-1を をINSM（内部ネットワークセキュリティ監視）基準として承認した。同基準は2025年9月2日に発効した。 高影響度BES（大規模電力システム）サイバーシステムおよび制御センターにERC（外部ルーティング接続）を有する中影響度BESサイバーシステムについては、遵守期限は2028年9月2日である。その他の該当する中影響度システムは、2030年9月2日までに遵守しなければならない。

この要件は、運用上極めて重要である：

• 電力会社は、境界を出入りする電力の監視だけでなく、自社の電力系統（ESP）内部の電力の流れも監視しなければならない。

• R1では、事業体に対し、リスクベースの根拠に基づきネットワークデータフィードを収集し、異常な活動を検知し、検知された異常を評価するとともに、調査を支援するために十分な期間、関連データを保存することが求められている。

• R2およびR3は、保持データの保護およびアクセス制御を規定しています。 

規制当局はすでに先を見据えており、NERCに対しては、将来のCIP-015-2に含まれるESP（電気系統保護施設）外のEACMS（電子アクセス制御・監視システム）およびPACS（物理的アクセス制御システム）も対象に含めるよう、2026年9月までに基準を拡大するよう指示が出されています。その期限まで、今やあと数ヶ月しか残されていません。 

OT環境内でのINSMの導入は、企業のデータセンターにおけるSIEM（セキュリティ情報イベント管理）の導入とは異なります。稼働中のICS環境ではアクティブスキャンが選択肢とならないため、監視はパッシブ方式で行わなければなりません。 標準的なIPトラフィックに加え、Modbus、DNP3、IEC 61850、PROFINET、EtherNet/IPなど、多岐にわたるプロトコルが使用されることがよくあります。資産インベントリは不完全な場合が多く、そのためINSMプロジェクトは通常、検知が可能になる前にディスカバリから開始されます。 さらに、新たなセキュリティリスクを招くことなく、OTゾーンからIT側の保存システムへ監視データを取り出すには、単なる設定だけでなく、意図的なアーキテクチャの計画が必要です。

紙面上では短期のOTプロジェクトに見えるものでも、導入、変更管理、文書化などを考慮すると、18ヶ月以上かかることも珍しくありません。2028年の対象資産を抱える電力会社にとって、長期計画の策定に向けた時間は刻一刻と迫っています。

OPSWATOTセキュリティ製品群は、CIP-015-1の要件に完全に準拠しています。

MetaDefender Security™ は、R1.1からR1.3に対応しており、SPAN/TAPアーキテクチャを用いたパッシブかつエージェントレスのネットワーク監視により、トラフィックの注入や制御ループへの影響を伴わずに運用されます。

数百に及ぶOTおよびITプロトコルを対象としたディープパケットインスペクションにより、R1が求める資産の可視化、トラフィックのベースライン設定、および異常検知を実現します。これにより、セキュリティチームは、予期しないModbusコマンド、不正なエンジニアリングワークステーションへの接続、未知のデバイスなど、従来のITセキュリティツールでは見過ごされがちな行動上の異常を特定できるようになります。

MetaDefender R2データ転送の課題に対応するために必要な機能を提供します 。その一方向セキュリティゲートウェイは、OTゾーンからIT側の分析プラットフォームやSIEMプラットフォームへ、INSMテレメトリを一方通行で送信します。これはハードウェアによって強制され、逆方向の通信経路は存在しません。これにより、電力会社は新たなセキュリティリスクを生み出す双方向チャネルを開設することなく、データ転送要件を満たすことができます。

正確には、NetWall データを安全にNetWall 、R2およびR3のデータ保持およびアクセス制御の義務は受信側システムによって履行されます。完全なコンプライアンスアーキテクチャはMetaDefender OT Security ・検知、NetWall 安全なNetWall 、そしてIT側のSIEMによるデータ保持およびアクセス制御で構成されています。

エマーソンのDeltaV™またはOvation™オートメーションプラットフォームを導入している電力会社にとって、コンプライアンスへの道筋はより明確です。これらのプラットフォームは、数百カ所の発電、上水道、下水処理施設に導入されており、CIP-015-1の対象範囲内のBES資産所有者に該当します。  OPSWAT マーOPSWAT 2026年4月、グローバルな再販契約を締結しました。これにより、OPSWATサイバーセキュリティ製品群が、エマソンの電力・水道向けサイバーセキュリティスイートを通じて利用可能になります。  

既存のDeltaV Allianceには、すでにDeltaVプラットフォームUnidirectional Security Gateway MetaDefender およびUnidirectional Security Gateway が含まれています。 この統合により、リムーバブルメディア制御機能と一方向データエクスポートアーキテクチャが提供され、それぞれCIP-003-9およびCIP-015-1 R2の要件に対応しています。

今回の新たな契約により、OPSWATパッチ管理OPSWAT、MetaDefender  Central Management My Central Management 、世界800カ所以上の拠点に展開されるエマーソンのOvationプラットフォームに拡大されます。DeltaVおよびOvationをご利用のお客様には、既存のエマーソンとの提携を通じて、CIP対応の専用アーキテクチャが提供されます。

CIP 015-1規格は単独で存在するものではありません。2026年4月1日に発効するCIP-003-9とCIP-015-1の交差する領域こそが、OPSWAT製品群が特に効果を発揮する場となります。 CIP-003-9の規制要件は、影響度の低いBESサイバーシステムにおけるリムーバブルメディアおよび一時的なサイバー資産も対象としています。

OT環境では、エアギャップシステムにおけるパッチ適用やファームウェアの更新に、リムーバブルメディアや一時的なサイバー資産が日常的に使用されています。OPSWAT 、リムーバブルメディアやベンダーのノートPCが制御システム資産に触れる前に、それらをスキャンしてクリーンアップするのに役立ちます。 CIP-003-9が施行されるにあたり、貴社のプログラムが技術的制御ではなくポリシーに依存している場合、そのギャップは次回の監査対象となります。