要点
- 重要インフラの運営事業者は、あらゆるサイバー攻撃を防ぐことはできませんが、攻撃を受けている間も、重要なOT システムをどのように強化・隔離すべきかを把握しておけば、ネットワークから切り離された状態でも、不可欠なサービスの提供を継続することができます。
- 2026年7月28日に公表され、オーストラリアのASD傘下のACSCが主導した「CI Fortify」は、ファイブ・アイズ諸国（オーストラリア、カナダ、ニュージーランド、英国、米国）の各機関が共同で署名した共同指針であり、OT による隔離体制の整備に向けた詳細な6段階の道筋を示している。
- 効果的な隔離を実現するには、事前の計画、検証済みの分離ポイント、明確な意思決定権限、そしてクラウドや外部との接続が利用できない場合でも機能し続けるセキュリティ監視が必要です。
- Nozomi Networks 分離ラインの両側でCI Fortifyをサポートしています： Guardian オンプレミスセンサーは、クラウドに接続できない場合でも、ローカルでの可視化と検知を実現し、 Vantage 承認されたクラウド接続が維持されている場所であればどこでも、一元化されたリモート可視性を提供します。
ハリケーンに備えて窓に板を打ち付けた経験のある人なら、現代の重要インフラセキュリティの核心にある教訓をすでに理解しているはずだ。つまり、一部の脅威は防ぐことはできず、ただ耐え抜くしかないということだ。 自然の猛威を止めることはできません。それに対抗し、耐え抜くための対策を講じるのです。嵐用シャッターや固定された屋根、待機状態の発電機、避難用バッグの準備。危機が訪れた時には交渉の余地がないため、平穏なうちに備えをしておく必要があります。こうした対策のどれ一つとして、嵐そのものを止めることはできません。しかし、それらがすべて揃うことで、嵐が実際に襲来した際にも、生活に必要な機能が維持されるのです。
まさにそれが、「CI Fortify」の根底にある考え方であり、これは今年「ファイブ・アイズ」諸国から発表された重要インフラに関する指針の中でも最も重要なもののひとつです。そして、この考え方は、世界中のオペレーショナル・テクノロジー（OT ）コミュニティが早急に浸透させる必要があるものです。
CI Fortifyとは？ 予防よりも回復力
「CI Fortify」は、2026年7月28日に公表された政府の共同指針であり、重要インフラの運営者に対し、サイバーインシデントや危機発生時に、重要なOT および支援システムを他のすべてのネットワークから隔離し、接続を切断した状態でも不可欠なサービスの提供を継続するための実践的な手順を示している。
このガイダンス『CI Fortify：重要システムの隔離に関する助言』は、オーストラリア信号局（ASD）傘下のオーストラリア・サイバーセキュリティ・センター（ACSC）が主導し、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）、FBI、英国国立サイバーセキュリティセンター（NCSC-UK）、 カナダ・サイバーセキュリティセンター（CCCS）、およびニュージーランド国立サイバーセキュリティセンター（NCSC-NZ）と共同で発行された。
まず明確にしておくべき点として、参加国は「ファイブ・アイズ」加盟国ですが、これは「ファイブ・アイズ」による情報評価ではありません。これは、オーストラリア、米国、英国、カナダ、ニュージーランドの各国のサイバーセキュリティおよび安全保障機関が共同で発表した、公開された非機密の防御的サイバーセキュリティ指針です。 「ファイブ・アイズ」は当初、通信傍受（シグナル・インテリジェンス）に関する枠組みとして始まり、その後、より広範な情報協力へと発展してきましたが、本指針はそれとは異なります。これは、脅威に関するブリーフィングではなく、防御担当者や運用担当者が実際に実行することを目的とした実践的な助言です。
その前提は、驚くほど率直だ。国家が支援する攻撃主体は、もはや単にドアをノックしているだけではない。中にはすでに内部に侵入し、ひそかに事前配置を進めている者もいる。米政府機関の調査によると、「Volt Typhoon」のような敵対勢力が、重要なインフラネットワーク内に何年も、場合によっては最長5年間も検知されずに潜伏していたことが確認されており、その行動パターンは、大規模な危機や紛争の際に混乱や破壊活動を引き起こすための事前配置と一致すると評価されている。
地政学的な背景は重要ですが、この論点はいかなる予測にも依存するものではありません。西側の機関は一貫して、この事前配置を将来の危機や紛争の可能性と結びつけてきており、公的な備えに関する議論においても、敵対勢力の能力に対して具体的な日付やマイルストーンが設定されてきました。しかし、それらはいずれも計画された攻撃や具体的な日付を意味するものではなく、「CI Fortify」のような指針には、そのようなものは必要ありません。 事前配置に必要なのは、事前に確立され、危機が発生した際に不可欠なサービスを混乱させる準備が整った、目立たない選択肢だけである。だからこそ、運用担当者は、あらゆる攻撃者を完全に排除できるとは想定してはならないのだ。
CI Fortifyは、必然的に、より率直な運用上の問いへとつながります。それは、すべての重要インフラ運営者が答えなければならない問いです：
もし、今後10分以内に、OT の重要なシステムを隔離し、企業のITインフラ、インターネット、クラウドサービス、およびサードパーティベンダーから切り離さなければならないとしたら、それが可能でしょうか？また、数時間ではなく、数日あるいは数週間にわたって接続が切断された状態でも、不可欠なサービスの提供を継続できるでしょうか？
これは、サイバーセキュリティに当てはめた「ハリケーン問題」です。「嵐がそもそも発生しないようにするにはどうすればよいか」ではなく、「嵐が襲ってきたとき、システムを稼働させ続けられるか」という問いです。
CI Fortifyでは、その実現に向けた6つのステップを提示しています：
- 重要システムを特定する：重要なサービスを稼働させ続けるために必要な最低限のOT および支援システム。
- 重要な顧客と上流の依存関係を特定する。
- ネットワークおよびホスト全体で、重要度と信頼レベルを設定します。
- 重要なシステム（企業のITインフラ、ベンダーによるリモートアクセス、クラウドプラットフォーム、インターネットに公開されているサービス、その他の運用事業者など）へのすべての接続をマッピングしてください。
- インシデント発生時にその場しのぎで対応するのではなく、インシデント発生前に承認やトリガー条件を定義し、分離および隔離ポイントをあらかじめ構築しておくこと。
- 脅威の深刻化に伴い、接続性を段階的に遮断する段階的な隔離計画を作成し、テストを行う。まず在宅勤務者やベンダーの接続を遮断し、次に社内ネットワークの接続、さらに接続されたシステムや外部リンクの接続を遮断し、最終的には最も重要なシステムを完全に隔離することを目標とする。
各機関は、物理的な隔離が最も効果的な保護手段であり、完全なエアギャップがその最も純粋な例であることを率直に認めている。しかし、通信事業者のネットワーク、クラウドサービス、地理的に分散した施設、および外部のサポートに依存している現代の多くの運用者にとって、完全な物理的分離は現実的ではない。 したがって、真に求められるのは、迅速に隔離する能力と、それと同様に重要なこととして、その隔離状態を長期間維持しながら運用を継続する能力である。これに関連するオーストラリアの「CI Fortify」プログラムでは、重要なシステムを最大3か月間、隔離状態で稼働させる能力を評価基準としている。
そして、その機能性は検証されなければなりません。検証されていない隔離計画は、危機的状況において運用担当者が最も必要とするもの――安全システム、認証、エンジニアリングのワークフロー、時刻同期、ログ記録、通信――を機能不全に陥らせる恐れがあります。演習では、技術的な手順、意思決定プロセス、人員配置モデル、手動による代替手段、および接続を復旧するための条件を検証する必要があります。一度もリハーサルが行われていない計画は、いざという時にその場しのぎで対応せざるを得ない計画に他なりません。
そこで、多くの隔離計画が完全に見落としている点が浮き彫りになります。
誰もが忘れがちなポイント：OT ――隔離期間中のセキュリティ可視性
ここに落とし穴があります。隔離が有効なのは、跳ね橋を上げてからもその環境を防衛し続けられる場合に限られます。しかし、多くの組織では、インターネットやクラウドとの接続を切断した瞬間、攻撃者のコマンド＆コントロールチャネルと同様に、自組織のセキュリティツールも機能しなくなってしまいます。彼らは工場を隔離したのと同時に、自らも視界を遮ってしまったのです。
それは、嵐に備えて家の窓を板で塞いだのに、懐中電灯が点かないことに気づくようなものです。大変な作業を済ませたにもかかわらず、結局は何もできなくなってしまっているのです。
このガイダンス自体もこうした事態を想定しています。CI Fortifyでは、ルーティングテーブルの検査、ネットワークフローの監視、侵入検知など、隔離後のチェックを具体的に求めています。監視が外部接続に完全に依存している場合、施設の接続を切断すると、可視性が最も重要となるまさにその瞬間に、セキュリティチームは状況を把握できなくなってしまいます。 機能低下状態で稼働する際に生じる異常なトラフィックと悪意のある行為を区別する必要があるまさにそのタイミングで、最新の資産情報、異常検知、フォレンジック証拠、さらには隔離制御自体が機能していることの確認さえも失うことになります。
「レジリエントなセキュリティ」とは、障害がどこで発生しても、またその時点で担当者がどこにいても、可視性と検知機能が隔離状態を乗り越えて維持されることを意味します。どのテレメトリ情報をローカルで利用可能にしておく必要があるか、ログや証拠をどのように保持するか、どの管理機能をオフラインで稼働させることができるか、そして接続が回復した際にデータをどのように同期させるかを、あらかじめ決定しておく必要があります。
Guardian および『Vantage 』：隔離線の両側における安全保障
ここで、レジリエントなアーキテクチャは単なるスローガンではなく、設計上の決定事項となります。その目標は明快です。つまり、クラウドに接続できるかどうか、また従業員がオフィス内にいるか在宅勤務中かに関わらず、セキュリティ運用は継続して行われるべきなのです。
隔離された施設の内部： Nozomi Guardian センサーは稼働し続けます。Guardian はオンプレミスに導入され、資産の可視化、ネットワーク監視、異常および脅威の検知、そしてネットワーク上で実際に何が起きているかの分析といった中核機能をローカルで実行します。これらの中核機能はクラウドへの常時接続に依存しておらず、Guardian は完全なオンプレミス環境、さらにはエアギャップ環境でも稼働可能です。そのため、段階的な隔離措置の一環として施設が外部接続を遮断しても、システムが停止することはありません。 現場の防御担当者は、事態の発生中もローカルでの可視性と検知能力を維持できます。特定の脅威インテリジェンスの更新やクラウドとの同期など、アップストリームの接続に依存する一部の機能は、接続が回復するまで一時停止しますが、ローカルでの監視および検知ループは稼働し続けます。隔離措置を講じても、状況を把握し続けることができるのです。
承認済みの接続が維持されている場所： Vantage これにより、一元化された遠隔監視が可能になります。「Vantage 」は当社のクラウドプラットフォームであり、接続されたセンサーからのデータを集約することで、権限を持つ関係者――自宅にいるアナリスト、別の都市にいるインシデント対応担当者、緊急事態対策センターの責任者――が、プラントの現場に足を踏み入れることなく状況を把握できるようになります。 ここで率直に申し上げておくべき注意点があります。Vantage は、プラットフォームに到達可能な情報しか表示できません。サイトが物理的に完全に隔離された場合、新しいリアルタイムのテレメトリデータはその境界を越えることはなく、また越えてはなりません。なぜなら、それが隔離の本来の目的だからです。遠隔からの可視性は、通信経路が意図的かつ安全に維持されているかどうかに依存します。それは、危機的状況以外の通常の接続であっても、あるいはその目的のために設計された承認済みの片方向またはセグメント化された経路であっても同様です。
ですから、絶対的な言い方は避けましょう。重要なのは、クラウドの可視性が完全なエアギャップを魔法のように乗り越えられるということではありません。重要なのは、回復力のあるアーキテクチャによって、防御側には分離境界の両側で選択肢が与えられるということです。つまり、接続が切断されても機能し続けるように設計されたローカル監視と、承認された接続が残っている場所であればどこでも利用可能な集中型のクラウド可視性です。分離が自動的に「可視性の喪失」を意味するべきではなく、検知をローカルで行うことで、そうなる必要はないのです。
長期にわたって孤立して活動するには、実際にはそれが必要なのです。単に「つながりを断ち切る」能力だけでなく、そうしても自分の「目」を失うことはないという確信も必要なのです。
1つの指針、5カ国
このガイダンスは国際的に調整されていますが、各国には独自の制度、用語、レジリエンス・プログラム、そして事業者が実際に業務を行う際の報告系統が存在します。国境を越えて事業を展開している場合や、複数の管轄区域の規制当局の監督下にある場合は、どの窓口がどの役割を担っているかを把握しておくと役立ちます：
ガイダンスそのものは共通しています。国ごとに異なるのは、事業者がそのガイダンスを適用する際に用いる制度、用語、報告体制です。したがって、どこで事業を展開する場合でも、その助言を自国の機関や規制当局の枠組みに照らし合わせて検討してください。
CI Fortify チェックリスト：隔離措置を講じる前に確認すべき事項
CI Fortifyはフレームワークを提供しますが、重要インフラの各施設はそれぞれ異なり、現地の運用担当者だけが答えられる疑問が生じます。シーズンが始まる前の落ち着いた時期に、これらの疑問を自チームのメンバーに投げかけてみてください：
- どのような顧客に対して、どの程度の最低限のサービス水準を維持しなければならないのでしょうか？
- OT 、安全、識別、エンジニアリング、通信、およびサポートシステムのうち、どれが真に不可欠なのでしょうか？
- それらのシステムへのすべての接続経路を正確に示した地図はありますか？
- 隔離を承認できるのは誰か、また各段階はどのような事象によって発動されるのか？
- 通常のシステムが利用できない場合、オペレーターは手動または代替の制御経路を使用できますか？
- 接続が切断された後も、現地での監視、ログ記録、および証拠の収集は継続されますか？
- クラウドサービス、ベンダーへのアクセス、あるいは通常のサプライチェーンのサポートが利用できない状態で、このサイトはどのくらいの期間稼働し続けることができるでしょうか？
- 現実的な条件下でこの計画を最後に検証したのはいつだったでしょうか？
そのリストにある未解決の質問は、すべて発見事項です。今すぐ解決しなければプロジェクトに支障をきたし、インシデントの最中に発見されればサービスに支障をきたします。
CI Fortify よくある質問
『CI Fortify』はどの出版社から出版されたのですか？
「CI Fortify：重要システムの隔離に関する助言」は、2026年7月28日に公表された。この取り組みは、オーストラリア信号局（ASD）傘下のオーストラリア・サイバーセキュリティ・センター（ACSC）が主導し、米国のCISAおよびFBI、英国のNCSC-UK、カナダ・サイバーセキュリティ・センター、ならびにニュージーランドのNCSC-NZと共同で発表された。
CI Fortify には完全なエアギャップが必要ですか？
いいえ。各機関は、物理的な隔離が最も強力な保護手段であるものの、多くの現代の運用者にとっては現実的ではないと指摘しています。その代わりに、このガイダンスでは、あらかじめ構築された分離ポイントと、脅威の深刻化に伴い各アーキテクチャに適した隔離手法を用いて接続性を段階的に遮断する「段階的隔離計画」の策定を求めています。
オペレーターは、隔離状態で業務を継続する準備をどのくらいの期間行うべきでしょうか？
このガイダンスでは、長期間にわたり隔離状態で運用することの重要性が強調されており、これと連動するオーストラリアの「CI Fortify」プログラムでは、具体的な基準が定められています。それは、重要なサービス（OT ）および基盤となるシステムを最大3か月間隔離しつつ、重要なサービスを維持し続ける能力です。
隔離期間中、セキュリティ監視はどうなるのでしょうか？
それはアーキテクチャによって異なります。クラウドや外部接続に依存する監視は、接続が切断されると機能しなくなります。そのため、CI Fortifyでは、ネットワークフローの監視や侵入検知といった、隔離後のチェックが求められています。Nozomi （Guardian ）などのオンプレミス型監視ソリューションは、隔離されたサイト内でもローカルな資産の可視性と脅威の検知を継続します。一方、Vantage のようなクラウドプラットフォームは、承認された通信経路が残っている場所であればどこでも、一元的な可視性を提供します。
要約：平穏なうちに備える
ハリケーンやサイクロン、あるいは火の壁が迫ってくるのを見たことのある人なら、その対処法は身についているはずです。準備をするのは、決して嵐の最中ではありません。停電してしまってから発電機を探しに行く人はいないし、空がすでにオレンジ色に染まってから避難計画を立てる人もいません。準備は平穏な時に済ませておくもので、そうすれば嵐が襲ってきたとき、その対応は身についているものとなるのです。
CI Fortifyも、同じ精神に基づき、重要インフラの運営者に同様のメッセージを発信しています。いかなる運営者も、すべての侵入を完全に防ぐことはできません。手練れの攻撃者は、重要インフラの内部に潜伏し、時には何年も、決して訪れないかもしれない瞬間を待ち続けています。しかし、彼らはその瞬間に備えて準備を整えているのです。したがって、接続を切断せざるを得ない事態に備えて体制を整え、実際に切断した際にも、状況を把握し、脅威を検知し、かつ不可欠なサービスを継続して提供できる体制を確保してください。
Nozomi （Networks ）において、これがまさに私たちの仕組みの核心です。つまり、接続が切断されても機能し続けるローカルセンシングと、承認された接続が残っている場所であればどこでも利用可能な一元化された可視性です。隔離は、自らを守る手段として活用できるものであって、自身の防御機能を無効にしてしまうスイッチであってはなりません。
嵐が襲来しても、視界を確保できるようにしておくべきです。そのための対策を講じておきましょう。
.webp)
