政府は2026年8月、金融や電力、交通など重要インフラ事業者のサイバーセキュリティ対策を抜本強化する新たなガイドライン案をまとめました。従来の「閉域網だから安全」とする前提を否定し、障害発生時の回復力確保やサイバー保険の活用を明記した本指針は、スマートビルや重要施設の設計・施工・保守を担う建設業界の調達基準やBCP策定にも直接波及します。
重要インフラ新指針案の全貌と改定スケジュール
政府のサイバーセキュリティ戦略本部は、重要インフラ事業者におけるサイバー攻撃耐性を高めるため、統一基準および関連ガイドラインの抜本的な改定を進めています。今回の指針案では、高度化するランサムウェア攻撃やAIを用いたサイバー攻撃の脅威を踏まえ、従来の境界防御モデルから「レジリエンス（回復力）」を軸とした運用モデルへの転換が明確に打ち出されました。
指針改定の背景と公表までのタイムライン
今回の指針案は、重要インフラの安全基準を策定・改定する各省庁や業界団体の統一的な規範となります。政府は2026年8月26日までパブリックコメント（意見公募）を実施しており、寄せられた意見を反映させた上で9月中に成案を公表する予定です。
| 年月日・期間 | 主な決定事項・手続き | 内容と実務上の影響 |
|---|---|---|
| 2026年7月31日 | 重要インフラ統一基準の決定 | サイバーセキュリティ戦略本部にて新基準を策定 |
| 2026年8月5日〜8月26日 | 安全基準等策定ガイドライン（案）の意見公募 | 防御限界を前提とした対策項目案に対するパブリックコメント |
| 2026年9月中（予定） | ガイドライン成案の公表 | 意見公募を踏まえた最終確定版の提示 |
| 2026年10月1日（予定） | 重要インフラ統一基準の施行 | 旧指針廃止、所管省庁・業界団体の安全基準改定が順次開始 |
対象となる16の重要インフラ分野
本指針の対象は、国民生活や経済活動の基盤を支える重要インフラ事業者です。従来指定されていた15分野に加え、2026年10月からは郵便分野が正式に対象へ加わり、全16分野に拡大します。
| 分類 | 指定分野 |
|---|---|
| 社会・通信基盤 | 情報通信、政府・行政サービス（自治体含む）、郵便（2026年10月追加） |
| 交通・物流 | 鉄道、航空、空港、港湾、物流 |
| エネルギー・ライフライン | 電力、ガス、水道、石油、化学 |
| 金融・医療 | 金融、クレジット、医療 |
「完全防御の限界」を認めた3つの過信への警鐘
本ガイドライン案の最大の特徴は、従来の制御系システム（OT）や施設管理システムで広く信じられてきた「3つの過信」を明確に戒めている点です。
- 「閉域網だから安全」という過信の否定：物理的にインターネットから切り離された環境であっても、保守用端末の接続やUSBメモリの持ち込み、サプライチェーン経由の侵入リスクが存在することを指摘。
- 「専用OSだから安全」という過信の否定：汎用OSではない機器であっても、脆弱性を突いた標的型攻撃の対象となるリスクを明記。
- 「独自技術仕様だから安全」という過信の否定：公開されていないプロトコルや独自仕様であっても、解析技術やAIの進化により突破される可能性があることを警告。
政府は「サイバー攻撃から完全に防御するのは困難である」と明言し、侵入されることを前提とした早期検知、被害局所化、迅速な事業復旧能力（サイバーレジリエンス）の確保を最優先事項として位置付けています。
約150項目の対策とサイバー保険・先端技術の明記
指針案では、事業者が講ずべき具体的な対策として約150項目が提示されています。その中でも特に注目されるのが、財務的備えと先端テクノロジーへの対応です。
ランサムウェア攻撃に遭遇した際、攻撃者への金銭支払いは厳に慎むべきとしながらも、事業停止や復旧作業に伴い極めて甚大な財務被害が発生し得ることを指摘しています。これに対し、事業継続のための資金手当てとして「サイバー保険」の加入・活用を検討することが盛り込まれました。
さらに、最先端AIモデルを用いた高度な攻撃手法に対抗するため、防御側においても高性能AIを積極的に監視・分析・遮断に活用する体制整備を求めています。加えて、将来的な量子コンピューターの普及による暗号解読リスクを見据え、耐量子計算機暗号（PQC）の導入を2035年目標として早期に着手する方針も示されました。
建設・設備サプライチェーンへ及ぶ構造的影響
本ガイドライン案は、重要インフラ事業者そのものにとどまらず、施設の設計・施工・保守やスマートビル構築に関わる建設サプライチェーン全体に広範な影響を及ぼします。
ゼネコン（元請け）：現場OT環境と仮設ネットワークのゼロトラスト化
元請けゼネコンにとって、施工中・引き渡し後のインフラ施設におけるセキュリティ担保は、重大な瑕疵リスクおよび経営リスクとなります。
従来の現場事務所や仮設ネットワークは、工期終了とともに撤去される暫定的な環境としてセキュリティ対策が手薄になりがちでした。しかし、ビル管理システム（BEMS/BA）や各種IoTセンサー、自律走行ロボットなどのネットワークが施工段階から接続される現場では、現場ネットワーク自体が侵入経路となるリスクが高まっています。
今後は、施工段階から「ゼロトラスト（すべての通信を疑い検証する）」思想に基づいたネットワーク分離やアクセス制御が求められます。また、万が一のインシデントによる工程遅延や追加復旧費用をカバーするため、工事保険だけでなくサイバー保険を包括したリスクマネジメント体制の構築が不可欠となります。
発注者・デベロッパー：調達基準の厳格化とBuilding as a Serviceへの移行
重要インフラに該当する施設や大規模複合ビルを保有する施主・デベロッパーは、本指針に沿った対策の履行状況が企業ガバナンスやESG評価に直結します。
そのため、施工会社や設備サブコンを選定する際の調達要件において、SCS（サプライチェーン・サイバーセキュリティ）評価基準を満たしているかどうかが厳格に問われるようになります。多要素認証の導入状況やファームウェアの脆弱性管理プロセスが契約条件に含まれる動きが進む見込みです。
また、竣工後の建物をデジタルツインやビルOS上で運用する「Building as a Service（BaaS）」へのシフトが進む中、建物設備そのもののサイバー耐性が不動産価値を左右する決定的な要素となります。
参考記事: 東京ミッドタウン八重洲でロボ4台が稼働、ビルOS対応が受注力に直結
設備サブコン・BIM/SaaSベンダー：早期検知型AIの組み込みとデータ連携
空調・電気・衛生などの設備工事を担うサブコンや、BIM・施工管理クラウドを提供するITベンダーには、被害の局所化と迅速な復旧を支援するソリューション提供が求められます。
BIMデータを活用した設備運用のデジタルツイン化が進むにつれ、物理設備とクラウドプラットフォーム間のデータ通信頻度は飛躍的に増大しています。単に省エネや環境最適化を図るだけでなく、通信トラフィックの異常をリアルタイムに検知・自律遮断できるAIセキュリティ基盤の統合が競争優位を生み出します。
参考記事: 新菱冷熱工業、AI気流解析で計算時間200分の1を実現 ZEB運用の新軸に
ConShiftの視点｜「物理的隔離」の終焉と建設サイバーレジリエンス
政府が「閉域網」「専用OS」「独自仕様」への過信を公に否定したことは、建設業界における設備・制御システムの設計思想が根本的な転換点を迎えたことを意味します。
これまで建築・設備業界では、「外部インターネットと切り離された専用線・専用盤で組まれているから安全」という物理的隔離を免罪符として、セキュリティアップデートや暗号化対策を後回しにする傾向が少なからず存在しました。しかし、スマートビル化や遠隔監視、AI制御の普及によってOTとITの境界線はすでに消失しています。
今後は、「侵入を100%防ぐ設計」から「侵入されても数分以内に異常を検知し、重要機能を停止させずに復旧させる設計」への移行が絶対条件となります。
2035年を見据えたPQC暗号対応や高性能AIによる常時監視、さらにはサイバー保険による財務的セーフティネットの構築までを一体として捉え、構造物というハードウェアに「デジタルレジリエンス」という付加価値を組み込める建設会社こそが、重要インフラ工事の主導権を握り続けるでしょう。
まとめ｜現場と経営が明日から取り組むべきアクション
重要インフラのサイバーセキュリティ指針改定に備え、建設会社や設備工事業者が直ちに着手すべき実務対応を提示します。
-
自社および施工現場におけるOT・IoT機器のネットワーク構成とアクセス権限を総点検する
施工現場で使用しているネットワークカメラ、遠隔臨場用通信端末、ビル制御盤の保守用回線について、初期パスワードの変更や多要素認証の適用状況を洗い出します。 -
重要インフラ関連工事におけるサプライチェーン調達要件の改定動向を把握する
発注者から求められるセキュリティ統制要件（SCS評価や暗号化基準等）を確認し、協力会社を含めた調達基準のアップデートを準備します。 -
不測のサイバーインシデントに備えたBCPの見直しとサイバー保険の付保状況を確認する
ランサムウェア等による設計データや工程管理システムの停止を想定した事業継続計画を策定し、復旧費用や賠償責任をカバーするサイバー保険の補償内容を検証します。
出典: リスク対策.com
出典: Newton Consulting
出典: Newton Consulting
出典: ジョーシス
出典: @IT
