CISAが重要インフラ向け新指針「CI Fortify」公開、「防ぐ」から「攻撃下でも止まらない」設計へ

「サイバー攻撃を完全に防ぐ、ってもう無理なのでしょうか？」
「攻撃されても会社を回し続けるって、どうやって設計すればいい？」

チップス

ボス！米CISAが新しい指針「CI Fortify」を出したって聞いたでしゅ。
「攻撃を防ぐ」じゃなくて「耐え抜く」って、ちょっと衝撃的でしゅ…

ボス

2026年5月9日に公表された重要インフラ向けの指針だな。
「完全防御は不可能」という現実を出発点に据えた発想転換だ。
日本の政府・重要インフラ事業者にとっても、参考にすべき内容だぞ。

サイバー攻撃の質と量が急増する中、CISA(米サイバーセキュリティ・インフラ庁)は防御パラダイムの転換を打ち出しました。
本記事では「CI Fortify」の三段階フレームと、日本企業がいま参考にすべきポイントを解説します。

「攻撃前提」の発想は、重要インフラ以外の企業にも応用できます。
自社の事業継続性を見直すヒントとして読み解いていきましょう。

「CI Fortify」の発想転換と三段階フレーム

CI Fortifyは「完全な防御は不可能」という前提から出発しています。
従来のサイバーセキュリティ施策は侵入を防ぐことを最優先にしてきましたが、攻撃の高度化と多様化により、防御線を100%維持することは現実的でなくなったという認識です。

三段階の柱立て

CI Fortifyは準備・隔離・復旧の三段階で構成されます。
各段階で「サービス継続」をゴールに置き、攻撃発生時にも止まらないオペレーションを設計するのが狙いです。

チップス

「隔離」って攻撃検知後にネットを切るって意味でしゅか？

ボス

そうだ。封じ込めのためにネットを遮断しても、サービスを完全停止しなくて済む設計が問われる。
オフライン運用や手動切替の準備が現実問題として求められるんだ。

日本企業がCI Fortifyから学べる3つの観点

CI Fortifyは米国の重要インフラ向けですが、その思想は日本の一般企業にも応用できます。
「攻撃された後も止まらない設計」は、サプライチェーン崩壊・ランサムウェア被害が頻発する現代では必須スキルです。

事業継続を前提に置く

日本企業のBCP(事業継続計画)は地震・水害を想定したものが多く、サイバー攻撃シナリオに弱いのが現状です。
CISAは「BCPとサイバー対策を統合せよ」と明言しており、これは経産省・総務省の通達とも方向性が一致しています。

「攻撃前提」設計で見直したい3点

すぐに取り組めるのは、重要業務の棚卸し・隔離オペレーションの訓練・段階的復旧計画の策定の3つです。
まずは年1回でも「全社ネット遮断訓練」を実施することが、現実の備えになります。

チップス

うちのBCP、地震しか書いてないでしゅ…サイバー攻撃の章ないでしゅ。

ボス

多くの企業がそうだ。最低限「ランサム遭遇シナリオ」を1章追加するところから始めるといい。
CISAの三段階フレームは、ほぼそのまま下敷きに使えるぞ。

詳細はITmediaの解説記事を参照してください。

まとめ：「防ぐ」だけでは終わらない時代の備え

サイバー攻撃を100%防ぐ前提の防御計画は、もはや時代遅れです。
攻撃を受けた後も止まらないオペレーションを設計し、復旧プロセスを段階的に整理することが、これからの基本姿勢になります。

チップス

「やられる前提」って怖いけど、現実的なんでしゅね…

ボス

怖がるより準備する、これが結論だ。
BCPの中にサイバー章を作り、年1回演習を回す。それだけで会社は強くなる。

BCP統合やレジリエンス設計には、業務と技術の両方を理解する人材が必要です。
社内人材が不足する場合は、セキュリティフリーランスを期間限定で起用するのも有効です。