EUのサイバー法規制（NIS2、CRA、機械規則MR等）への対応において、「IT部門と工場OT部門の縦割り」や「責任の曖昧さ」は、工場審査で最も頻出する不適合（指摘）要因の1つです。
これまでに確認した法規制タイムラインと現場対策を網羅し、社内各部門の役割・責任を明確化するための「NIS2 / OTセキュリティ対応 RACIマトリクス案」を作成しました。
【RACIの定義】
- R（Responsible / 実行責任者）:
実際にタスクを推進・実行する部門 - A（Accountable / 説明責任者）:
最終決定権・承認権を持ち、結果に責任を負う部門（原則1タスクにつき1部門） - C（Consulted / 協働・助言者）:
専門的知見や現場情報を提供し、協議を行う部門 - I（Informed / 報告・共有先）:
進捗や結果の報告を受ける部門
NIS2 / OTセキュリティ対応 RACIマトリクス案
対応タスク・プロセス経営陣 / CISOIT・情報セキュリティ部工場OT・生産技術部法務・コンプライアンス部調達・サプライチェーン部1. 全体方針・リスク許容度の決定（全社OTセキュリティ基本方針の策定、投資承認）ARCCI2. 工場内OTアセット可視化＆リスク評価（資産台帳作成、IEC 62443-3-2準拠のゾーン設定）ICA / RII3. 工場ネットワーク＆アクセス制御の実装（ゾーン分離、リモート保守MFA化、IEC 62443 SL2対応）ICA / RII4. サプライヤー・機器調達基準の運用（常時接続廃止、ベンダーセキュリティ審査、IEC 62443-4-2）ICCCA / R5. 24時間インシデント初動・報告体制の構築（初動フロー策定、当局/CSIRT報告、24時間内判定）ARRCI6. 審査・顧客監査用エビデンス管理（操作ログ保管、変更履歴、取締役会議事録の整備）ARRCI7. 欧州製品・設備規制（CRA / 機械規則MR）適合（CEマーキング、SBOM管理、技術文書の作成）ACRCC
運用上の重要ポイント
- 工場OT部門の「説明責任（A）」の明確化
- 工場内の機器特定やネットワーク分離（タスク2・3）は、IT部門任せにせず工場OT部門自身が主導・責任（A/R）を持つことが不可欠です。
- 調達部門の早期巻き込み
- サプライチェーンリスク（タスク4）対策として、機器購入時や保守契約時にセキュリティ要件（IEC 62443）を組み込むため、調達部門の実行責任（R）を設定しています。
- 経営陣・CISOの最終承認ログ（タスク1・5・6）
- NIS2/BSIG審査では、経営陣がリスクを把握・承認したか（Aとしての証跡）が厳しく見られます。取締役会の議事録や報告ログを客観的に残す仕組みが重要です。
法規制（NIS2、CRA、機械規則等）への適合において、RACIマトリックスを形骸化させず、「自動的に報告が上がり、適切な指示が縦横に行き渡る仕組み」を構築するには、手動のメール連絡や個別のexcel管理を排し、システム主導でプロセスを強制・可視化する統合管理プラットフォーム（GRC:Governance, Risk, and Compliance / ワークフローシステム）の実装が不可欠です。
この自動化されたマネジメントシステム化において求められる主要な設計思想とシステム構造は以下の通りです。
この記事の続きは eICS 受講者限定です
ログインして続きを読む
