CPSFとは？サイバー・フィジカル・セキュリティ対策フレームワークを整理【基本情報技術者試験】

まず結論

CPSF（Cyber/Physical Security Framework、サイバー・フィジカル・セキュリティ対策フレームワーク）は、サイバー空間とフィジカル空間が高度に融合した産業社会で、サプライチェーン全体の信頼性とセキュリティを確保するための考え方を整理したフレームワークです。

基本情報技術者試験では、次のキーワードを見たらCPSFを考えます。

サイバー空間 + フィジカル空間
        ↓
Society 5.0 / Connected Industries
        ↓
新たなサプライチェーン
        ↓
信頼性・セキュリティの確保
        ↓
CPSF

特に、テレワーク、クラウド、データセンターだけに限定した対策ではないことがポイントです。

直感的な説明

従来のサプライチェーンでは、企業同士の取引や製品の流れを中心に考えることができました。

しかし、IoTやクラウド、データ連携が広がると、現実の設備や製品だけでなく、そこで生まれるデータや、データを使って制御する仕組みまでつながります。

例えば工場では、

センサーで設備の状態を取得
        ↓
ネットワーク経由でデータを送信
        ↓
クラウドなどで分析
        ↓
分析結果をもとに設備を制御

という流れが考えられます。

このような社会では、企業間のつながりだけ守れば十分ではありません。

企業と企業のつながり
フィジカル空間とサイバー空間のつながり
サイバー空間の中のつながり

まで含めて信頼性を考える必要があります。

CPSFは、このような新しい産業社会のセキュリティを整理するための枠組みです。

定義・仕組み

CPSF Version 1.0は、経済産業省が2019年4月18日に公表したフレームワークです。

公式資料では、Society 5.0で形成される新たなサプライチェーンを「バリュークリエイションプロセス」と捉え、その信頼性を確保するための考え方を整理しています。

3つの層で考える

CPSFでは、産業社会のつながりを3つの層から捉えます。

第1層
企業間のつながり

第2層
フィジカル空間とサイバー空間のつながり

第3層
サイバー空間におけるつながり

FE対策では、細かな項目をすべて暗記するより、CPSFはサイバーだけでなく、現実世界とのつながりまで含めると理解しておくことが重要です。

サプライチェーン全体を見る

CPSFでは、自社のシステムだけを守るのではなく、製品・サービス・データ・取引先などのつながりを含めた全体を考えます。

そのため、問題文に次のような表現があればCPSFを疑います。

Society 5.0
Connected Industries
サイバー空間とフィジカル空間の融合
新たなサプライチェーン
バリュークリエイションプロセス
サプライチェーンの信頼性

一次情報

CPSFについては、経済産業省の公式資料を一次情報として確認できます。

CPSF Version 1.0 本文が、定義や目的を確認する際の主要な一次資料です。

科目Aでどう出る？

科目Aでは、CPSFの細かな構成よりも、どのガイドライン・フレームワークの目的かを見分ける問題が出やすいです。

次のように切り分けると判断しやすくなります。

テレワークの働き方に応じたセキュリティ
→ テレワーク向けガイドライン

クラウド利用者・提供者のセキュリティ管理
→ クラウド向けガイドライン

データセンターの適切なセキュリティ
→ データセンター向けガイドブック

サイバー空間とフィジカル空間が融合した産業社会
+ サプライチェーン全体の信頼性
→ CPSF

特に、「新たな産業社会」「サプライチェーン」「サイバーとフィジカル」がセットで出てきたら、CPSFが有力です。

判断軸1：対象が一つの利用形態に限定されているか

テレワーク、クラウド、データセンターなど、対象が限定されている場合は、その分野向けのガイドラインを考えます。

CPSFは、特定の利用形態だけを対象にしたものではありません。

判断軸2：産業社会全体のつながりを見ているか

CPSFは、企業、IoT機器、データ、サイバー空間、フィジカル空間などのつながりを含めて、広く産業社会の信頼性を考えます。

特定の利用場面
→ 個別ガイドライン

産業社会全体のつながり
→ CPSF

どんな場面で使う？

CPSFの考え方は、製造業、IoT、重要インフラなど、サイバー空間とフィジカル空間が密接につながる場面で重要になります。

例えば、工場の生産設備では、ITシステムだけでなく、制御装置やセンサーなどのOTもネットワークにつながります。

このとき、

ITだけ守る

では不十分です。

設備
センサー
通信
データ
クラウド
取引先

といったつながり全体を見てリスクを考える必要があります。

経済産業省ではCPSFを基礎として、工場システムなど個別分野向けのガイドラインも展開しています。

FE試験では、こうした詳細まで覚えるより、CPSFが産業社会全体のサイバー・フィジカルなつながりを扱う上位の枠組みだと理解しておくと十分です。

よくある誤解・混同

CPSFはIoT機器だけを守るためのフレームワーク

違います。

IoTは重要な要素ですが、CPSFはIoT機器単体だけを対象にしたものではありません。

企業間、サイバーとフィジカル、サイバー空間内のつながりを含めた、より広い視点で考えます。

CPSFはクラウドサービス向けのガイドライン

違います。

クラウドサービスだけを対象にしたものではありません。

クラウドだけ
→ 個別分野のガイドライン

サイバー + フィジカル + サプライチェーン
→ CPSF

と切り分けます。

CPSFはテレワークの安全な利用方法を決めるもの

違います。

テレワークの働き方や端末利用に応じたセキュリティ対策とは目的が異なります。

サイバー空間だけを守ればよい

CPSFでは不十分です。

サイバー空間と現実世界の設備・製品などが相互につながることを前提に考えます。

FEでは、「フィジカル」まで含むことを見落とさないようにします。

まとめ（試験直前用）

CPSFは、サイバー・フィジカル・セキュリティ対策フレームワーク
Society 5.0のような、サイバー空間とフィジカル空間が融合した産業社会を対象とする
サプライチェーン全体の信頼性とセキュリティを考える
企業間、サイバーとフィジカル、サイバー空間内という3つのつながりから捉える
テレワーク、クラウド、データセンターだけを対象にした個別ガイドラインとは区別する

サイバー × フィジカル
+ 新たなサプライチェーン
+ 産業社会全体の信頼性
→ CPSF

🔗 関連記事

🏠 基本情報技術者トップに戻る