この投稿は2026年3月9日に更新されました：
最終投票は3月5日に可決され、業界から圧倒的な支持を得た。次の段階として、NERC理事会による規格の採択を経て、FERCおよびその他の規制当局へ提出される予定である。
北米電力信頼性協議会（NERC）の重要インフラ保護（CIP）基準「内部ネットワークセキュリティ監視（INSM）」の草案版は、電子アクセス制御または監視システム（EACMS）および物理アクセス制御システム（PACS）を包含するよう拡大される。この義務付けられた変更により、現行の適用範囲は電力セキュリティ境界（ESP）の外側へ拡大される。 多くの電力事業者にとって、これはプログラムやアーキテクチャの変更、ならびに規制リスク管理上の意思決定を必要とする。この変更が自社の環境およびINSMプログラムに与える影響を理解することは、コンプライアンス確保とリスク低減のために極めて重要である。
CIP-015-2規格案が対象事業者に提起する主な課題は以下の通りである：
対象範囲内のトラフィックのみを監視するか否か
- CIP環境と非CIP環境の境界を正確に特定する
- 対象範囲内のコミュニケーションの定義
- 証拠収集の成熟度評価
背景：CIP-015-2に至る経緯
2025年6月26日、連邦エネルギー規制委員会（FERC）は、米国およびカナダの電力事業者に対し、ESP（電力系統）内部でのINSM（重要インフラセキュリティ管理）を義務付けるNERC信頼性基準CIP-015-1を承認する命令907を発出した。 初期版には依然として信頼性とセキュリティのギャップが残されていることを認識し、FERCは同一命令においてNERCに対し、標準を修正してINSMを拡張し、ESP外のEACMSおよびPACSを含めるよう指示した。
2025年11月、指令907への対応を担当するNERC起草チームは、プロジェクト2025-02内部ネットワークセキュリティ監視基準改訂案と呼ばれる変更案の草案を公表した。 パブリックコメントの受付期間は2026年1月16日に終了した。業界からは多数の意見が寄せられたものの、最初の投票結果は圧倒的に賛成多数となり、最終投票は3月5日に可決された。次の段階として、本基準はNERC理事会による採択を経て、FERC（連邦エネルギー規制委員会）およびその他の規制当局に提出される予定である。
北米において、高影響度バルク電力システムサイバーシステム（BCS）または外部ルーティング接続性（ERC）を備えた中影響度BCSを運用している場合は、今こそ、貴組織に影響を及ぼすINSMの進化する要件を再確認すべき時です。
プロジェクト2025-02草案におけるCIP-015-1の変更点の概要
FERCがINSMの適用範囲を拡大する意図に沿い、NERC起草チームがCIP-015-1に対して提案した主な変更点は、適用対象システムにEACMSおよびPACSを含めるよう更新することである。これはERCを伴う高影響度BCSと中影響度BCSの両方に適用される。また同チームは、適用対象システムを支える仮想化技術を指す「共有サイバーインフラストラクチャ（SCI）」も適用範囲に含めた。
CIP 015-2が高影響度および中影響度BCSに与える影響
提案された変更は概念的には最小限のものですが、お客様の環境およびINSMプログラムに重大な影響を与える可能性があります。EACMSとPACSの設置場所、ならびにINSMプログラムの成熟度によっては、大幅な変更が必要となる場合があります。INSM信頼性基準の対象となる場合は、以下の3点を慎重に検討してください：
EACMS、PACSおよび
ネットワーク可視化要件を再評価する。対象はESP内だけでなく、従来INSMを必要としなかったサポートシステムにも及ぶ。これにより、EACMS/PACSトラフィック経路を監視するため、追加の監視ポイント、スイッチ設定変更、ゾーニング再設計、またはアーキテクチャ更新が必要となる可能性がある。Nozomi 十分な可視性を有する場合、追加のNozomi を検討対象に含めることができる。
CIPネットワーク環境の明確化
FERC指令907および補足指令907-Aは、「CIPネットワーク環境」という用語の明確化も図りました。これは、どの事業体が監視対象となり、監査人がINSMプログラムをどのように評価するかを定義する上で極めて重要です。INSMを実施する上で理解すべき重要な用語です。ただし、これはNERC用語集に記載された公式用語ではありません。
指令907および907-Aによれば、CIPネットワーク環境は：
- 責任ある事業体のネットワーク全体をカバーしていません
- 電子セキュリティ境界内のシステムを含む
- 以下のいずれか一つ以上を満たすシステムを含む：
- 電子セキュリティ境界の外側にあるEACMSおよびPACSに接続されたネットワークセグメント
- 電子セキュリティ境界外におけるEACMSとPACS間のネットワークセグメント
- 電子セキュリティ境界の外側にあるEACMSおよびPACS内部のネットワークセグメント
さらに：
- ESPの外側に位置する共有ネットワークセグメントについては、EACMSおよびPACSのアクセス監視のための東西方向トラフィックのみが対象範囲内である
- BESサイバーシステム、EACMS、PACS、およびPCA間の通信のみが対象範囲に含まれる
責任ある組織の最優先事項：CIPネットワーク環境の再定義
組織は本ガイダンスを活用してネットワーク監視アーキテクチャを精緻化し、監視対象を範囲内のトラフィックのみに限定することを選択できる。CIP環境と非CIP環境およびトラフィック間の境界を正確に特定することは、本標準がEACMSおよびPACSへ拡大するにつれて一層重要となる。範囲内の通信を明確に定義する責任は各チームに課せられる。
事業体は、既存のネットワークデータフローの証拠収集が、より厳格な文書化要件を満たすのに十分な成熟度にあるかどうかも評価すべきである。他のNERC CIP要件と同様に、狭いアプローチを取る者はコンプライアンスを達成できるかもしれないが、意図されたセキュリティと運用上の利点を制限することになる。
進化するNERC CIP-015規格が自社に与える影響の明確化や、INSMプログラムの導入に関するさらなる支援が必要な場合は、本日お問い合わせください。
