最終更新日：2026年7月20日
fe fe-strategy security supply-chain cpsf
まず結論
サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）は、サイバー空間とフィジカル空間が融合した産業社会で生まれるリスクを整理し、サプライチェーン全体で必要となるセキュリティ対策の全体像を示す枠組みです。
基本情報技術者試験では、次の判断軸を持つと切り分けやすくなります。
働き方でも、クラウド単独でも、データセンター単独でもない。産業社会全体のつながりを見るのがCPSF。
直感的な説明
サイバー・フィジカルとは、サイバー空間と現実世界が密接につながった状態です。
サイバー空間
→ ネットワーク、クラウド、ソフトウェア、データ
フィジカル空間
→ 工場、設備、製品、物流、現実世界
例えば、製造業では次のような流れがあります。
センサーで設備情報を取得
↓
ネットワークで送信
↓
クラウドやAIで分析
↓
設備の制御へ反映
このとき、サイバー攻撃の影響は情報漏えいだけにとどまりません。
- 工場が停止する
- 製品品質が低下する
- 物流が止まる
- 人の安全に影響する
CPSFは、このような広い範囲のリスクを整理するための枠組みです。
定義・仕組み
CPSFは、Society 5.0やConnected Industriesで広がる新しいサプライチェーンを対象に、セキュリティ対策を整理するために策定されました。
経済産業省では、新しいサプライチェーンを 価値創造過程（バリュークリエイションプロセス） と捉えています。
従来のサプライチェーンは、主に企業間の取引を中心に見ます。
部品メーカー
↓
製造業者
↓
物流事業者
↓
販売事業者
一方、デジタル化が進んだ産業社会では、企業だけでなく、製品、サービス、ソフトウェア、クラウド、データなどもつながります。
企業
＋
製品・設備
＋
ソフトウェア
＋
クラウド
＋
データ連携
このような複雑なつながりを前提に、どこにリスクがあり、何を守るべきかを整理するのがCPSFです。
公式情報は、次の一次情報から確認できます。
科目Aでどう出る？
科目Aでは、CPSFの策定目的として適切な説明を選ぶ問題が出題されます。
判断するときは、選択肢の対象範囲を見ます。
| 選択肢の対象 | 対応する文書・枠組み |
|---|---|
| テレワークや柔軟な働き方 | テレワークセキュリティガイドライン |
| クラウドの利用者と提供者 | クラウドサービス関連のガイドライン |
| データセンターの利用者と事業者 | データセンターセキュリティ関連文書 |
| 産業社会全体、サプライチェーン、セキュリティ対策の全体像 | CPSF |
CPSFを示す判断ワードは次のとおりです。
- 新たな産業社会
- 価値創造
- サイバー空間とフィジカル空間の融合
- サプライチェーン全体
- リスクを適切に捉える
- セキュリティ対策の全体像
働き方
→ テレワーク
クラウド利用者と提供者
→ クラウドセキュリティ
データセンター利用者と事業者
→ データセンターセキュリティ
産業社会・サプライチェーン・全体像
→ CPSF
どんな場面で使う？
CPSFは、特定の製品や一つの企業だけではなく、複数の組織やシステムがつながる場面で使います。
企業間のサプライチェーン
発注企業
↓
取引先
↓
部品メーカー
↓
物流会社
自社が安全でも、取引先や委託先が攻撃されれば、事業全体に影響する可能性があります。
工場や設備のデジタル化
ネットワークへの侵入
↓
制御システムへ影響
↓
設備停止や品質問題
情報システムと現実の設備を分けずに考える必要があります。
クラウドやソフトウェアを使ったサービス
クラウド
＋
API
＋
ソフトウェア
＋
データ連携
一つのサービスが複数の外部サービスやソフトウェアに依存する場合、つながり全体を確認します。
3つのつながり
CPSFでは、価値創造過程を大きく3つのつながりから捉えます。
1. 企業間のつながり
企業、取引先、委託先などの関係です。
自社
↓
取引先
↓
委託先
契約、責任分担、委託先管理などが重要になります。
2. フィジカル空間とサイバー空間のつながり
センサー、制御装置、IoT機器などを通じた、現実世界と情報システムの関係です。
設備
↓
センサー
↓
ネットワーク
↓
クラウド
サイバー攻撃が現実の設備や安全へ影響する点に注意します。
3. サイバー空間におけるつながり
ソフトウェア、クラウド、API、データなどのデジタルなつながりです。
アプリケーション
↓
API
↓
クラウドサービス
↓
外部データ
ソフトウェアの脆弱性や外部サービスへの依存がリスクになります。
よくある誤解・混同
CPSFは工場だけの枠組み
誤りです。
製造業との関係は強いですが、対象は工場だけではありません。
- 製品
- サービス
- 物流
- 企業間取引
- クラウド
- ソフトウェア
- データ連携
など、産業社会全体を広く扱います。
CPSFは個別の技術対策集
CPSFは、ファイアウォールや暗号化などの個別技術だけを説明するものではありません。
まず、次を整理します。
どのつながりに
↓
どのようなリスクがあり
↓
何を守る必要があるか
その上で、必要な対策を検討します。
自社だけ守ればよい
誤りです。
CPSFでは、サプライチェーンや外部サービスを含む全体のつながりを見ます。
自社は安全
↓
取引先が攻撃される
↓
自社にも影響する
委託先や取引先を含めて確認することが大切です。
テレワークやクラウドのガイドラインと同じ
対象範囲が異なります。
| 文書・枠組み | 主な対象 |
|---|---|
| テレワークセキュリティ | 働き方や勤務場所 |
| クラウドセキュリティ | クラウドの利用者と提供者 |
| データセンターセキュリティ | データセンターの利用者と事業者 |
| CPSF | 産業社会やサプライチェーン全体 |
まとめ（試験直前用）
- CPSFは、サイバー空間とフィジカル空間が融合した産業社会を対象にする
- サプライチェーン全体のリスクと対策の全体像を整理する
- 企業間、フィジカルとサイバー、サイバー空間内の3つのつながりを見る
- テレワーク、クラウド、データセンターだけに限定した文書ではない
- 「新たな産業社会」「付加価値」「サプライチェーン」「全体像」が判断ワード
試験直前には、次の一文を思い出してください。
産業社会全体のつながりとリスクを見るのがCPSF。