高圧ガス保安法 第60条の2（調査の要請）

解説

高圧ガスの事故と聞けば、多くの人はバルブの破損や配管の腐食を思い浮かべる。だが本条が想定する事故は、制御システムへの不正アクセスから始まる。保安上とくに重要な事業者（認定高度保安実施者など、経済産業省令で定める者）に、保安に関わるサイバーセキュリティ上の重大な事態が起きたとき、または起きた疑いがあるとき、経済産業大臣は独立行政法人情報処理推進機構（IPA）に原因究明の調査を要請できる。ここで押さえておくべき点は二つある。一つ目は、「生じた疑い」の段階で発動できることだ。被害が確定するまで、国は待たない。二つ目は、調査を担うのが警察ではなく IPA だということだ。目的は犯人を処罰することではなく、なぜ破られたのかを技術的に解き明かすことにある。あなたがプラントの保安や情報システムを担当しているなら、異常を検知した最初の数時間に何を記録し、何を保全したかが、その後の調査であなたの会社をどう評価させるかを左右する

法的な位置づけ

高圧ガス保安法60条の2は、サイバーセキュリティ事案に関する原因究明調査の要請を定める規定であり、認定高度保安実施者その他経済産業省令で定める保安上特に重要な者において、保安に係るサイバーセキュリティの重大な事態が生じ、又は生じた疑いがある場合に、経済産業大臣が独立行政法人情報処理推進機構に対し原因究明の調査を要請できる旨を規定する。

こんなときに使う

• 深夜2時、化学プラントの DCS（分散制御システム）に見覚えのない遠隔ログインの記録が残っていた。被害はまだ出ていない。それでも「疑い」の段階で本条の射程に入る。ログを消さずに保全し、社内の報告ラインを即座に動かす
• もしランサムウェアでスマート保安用の IoT センサー網が止まり、圧力監視データが6時間欠落したら、どうなる？ 経済産業省から問い合わせが入り、IPA の技術者が原因究明に来る可能性がある。そのとき社内でまず問われるのは、ネットワーク構成図と委託先との接続経路を説明できるかどうかだ
• 保安部門の課長として、あなたは「様子を見よう」と経営層に進言した。72時間後、同じ侵入経路を使った攻撃が同業他社でも見つかった。初動の遅れは、報告徴収（61条）で記録を求められた時点で明るみに出る

取るべき行動

被害を受けた側：1. 異常を検知したら、システムを再起動・初期化する前にログ、通信記録、端末イメージを保全する2. 社内の保安統括者と経営層に即時報告し、高圧ガスの事故に当たる場合は都道府県知事等への事故届（63条）の要否を判断する3. 経済産業省や IPA から連絡があれば、窓口を一本化し、ネットワーク構成図・委託先接続一覧・時系列表を準備する4. 委託先が関わる場合は、契約に基づき記録の提出を求める

訴えられた側：1. 調査の対象になったことは、それだけで違反の認定を意味しないと理解する2. 技術情報の提供範囲を法務・情報システム・保安部門で事前にすり合わせ、虚偽や隠蔽と受け取られる対応は避ける3. 平時の対策記録（脆弱性対応の履歴、教育記録、アクセス管理）を整理し、注意を尽くしていたことを示せるようにする4. 報告徴収（61条）を拒んだり虚偽の報告をしたりすると罰則の対象になりうるため、IPA 調査とは別に行政への報告義務を確認する（最新の改正状況をご確認ください）

時効（請求できる期限）：本条自体に期限の定めはない。ただし、高圧ガスの事故に該当する場合は、事故届（63条）を遅滞なく出さなければならない。ログの保存期間は機器や委託先によって数日から数か月と幅があるため、実務上は検知直後の保全が事実上の期限になる

改正の年表

1. 1.令和4年（2022年） 新設：高圧ガス保安法等の一部を改正する法律により、認定高度保安実施者制度の創設などスマート保安推進の改正とあわせて、サイバーセキュリティ事案についてIPAに原因究明調査を要請できる規定が整備された（施行日・条文の詳細は e-Gov で要確認）