IPAが米CISAの『重要インフラ向けサイバーセキュリティ目標CPG 2.0』日本語版を公開、ゼロトラスト前の基本対策を強調

「うちはゼロトラストよりまず何から始めるべきなんでしゅか？」
「CPG 2.0日本語版って、何を見ればいいんでしゅか？」

チップス

ボス、IPAが米CISAのCPG 2.0を日本語にして公開したそうなんでしゅ。中身を見てみたら『デフォルトパスワード変更を優先』って書いてあって、いまさら？って思ったんでしゅけど…。

ボス

ふふふ、その違和感が肝だ。ゼロトラストの前にやることが多くの現場で残っている、というのが世界共通の現実だ。基本に立ち返るためのガイドだな。

2026年6月1日、IPAは米国CISAの『Cross-Sector Cybersecurity Performance Goals Ver.2.0(CPG 2.0)』の日本語版を公開しました。
統治・識別・防御・検知・対応・復旧の6機能を軸に、ゼロトラスト導入前に押さえるべき基本対策を体系化したのが特徴です。
本記事では翻訳版のポイントと、自社の重要インフラ業務に落とし込む際の使い方を整理します。

記事を読み終える頃には、CPG 2.0をどの順番で社内チェックリストに落とし込むかが明確になります。

事件の概要とCPG 2.0の狙い

まずIPAが日本語版を出した背景と、文書全体の構成を見ていきましょう。

6機能で示す『最低限のセキュリティ』

CPG 2.0はNIST CSFと整合する6機能を採用し、各機能で重要インフラ事業者が満たすべき基本目標を提示します。
ゼロトラスト導入のような高度な施策ではなく、攻撃被害の大半を防げる現実的な対策に焦点を絞っているのが特徴です。
6機能の対応関係を整理します。

チップス

えっ、これ全部できてる現場って実は少ないんでしゅか？

ボス

残念ながら多くの中小事業者では既定パスワードのまま稼働する機器が残っている。CPGは「派手な新技術より、まずここを締めろ」というメッセージだ。

原因と教訓

次に、なぜ基本対策がここまで強調されているのかと、自社で取り組む際の勘所を見ていきましょう。

OT環境と中小組織の取り残し

CPG 2.0が指摘する課題は、OT(運用技術)環境のリスクが軽視されがちな点と、中小組織のリソース不足です。
パッチ適用が難しい制御系機器、人員不足で運用が回らない現場ほど、攻撃側に狙われやすくなっています。
取り残されがちなポイントを整理しました。

コスト×効果で優先順位を決める

CPG 2.0は各目標について、コスト・インパクト・容易性の3軸で評価しています。
限られたリソースを使う以上、効果が高く実装が容易な順に着手するのが現実的です。
初期90日で着手したい代表項目を以下にまとめます。

チップス

「ゼロトラスト導入」って何度も会議で話してたんでしゅけど、まずはパスワードからって聞くと気が楽になるでしゅ。

ボス

気を楽にするのではなく、地道に積み上げろ、という話だ。基本対策を侮ると、最新技術を入れても穴は塞がらん。

まとめ

CPG 2.0日本語版は、ゼロトラスト議論に走りがちな現場を「まず基本」に引き戻す指針です。
6機能の最低目標を起点に、既定パスワード変更・MFA・バックアップ復旧訓練など効果の大きい項目から90日計画で着手するのが現実的です。
OT環境とサプライチェーン中小事業者の取り残しを意識し、コストと効果のバランスで判断していくことが大切です。

CPG 2.0の社内展開や評価には、重要インフラの実装経験を持つフリーランス人材の活用も有効です。
翻訳版の詳細は ITmedia @ITの報道 をご確認ください。