水道施設のサイバー対策とは？安全ガイドライン第2版の6項目

水道施設のサイバー対策で最初に必要なのは、高価な監視製品の購入ではなく、給水を止める可能性がある設備・接続・委託先を把握し、復旧手順まで決めることです。国土交通省の「水道分野における情報セキュリティ確保に係る安全ガイドライン（第二版）」は、経営層の関与、制御システムのリスク評価、供給者・委託先管理、遠隔アクセス、事業継続、訓練までを対象にしています。

この記事では、174ページある第二版を自治体・水道事業者が実務で確認しやすい6項目へ再整理します。2027年度予算の概算要求は導入支援の議論、ガイドラインは日常運用の基準であり、同じものではありません。補助金の採否を待たずに確認できる項目と、予算化が必要な設備対策を分けて解説します。

公式確認できた事実：水道は重要インフラで、第二版は2026年5月改定

国土交通省の水道分野サイバーセキュリティ対策ページは、水道を、停止・低下時に国民生活や社会経済活動へ大きな影響を及ぼす重要インフラと位置付けています。水道事業者には、水を安全かつ持続的に供給するため、情報システムだけでなく監視制御などの制御システムを含む対策が必要です。

安全ガイドライン第二版は2026年5月13日に改定されました。内容は技術対策だけではなく、組織統治、リスクマネジメント、サプライチェーン、BCP、CSIRT、演習、クラウド、委託先管理まで広がっています。つまり、水道サイバー対策は情報システム部門だけに任せる仕事ではなく、経営・現場運転・危機管理・調達・委託先を含む事業継続の仕組みです。

Econova独自整理：最初に確認する6項目

Econovaの整理：優先順位は「攻撃を完全に防ぐ」より先に、「どのシステムが止まると給水へ影響するか」「誰が止め、切り替え、復旧するか」を確定する順です。ガイドラインの多数の対策項目を、給水継続という同じ目的へつなげることで、製品導入だけに偏るのを避けられます。

情報系ITと制御系OTは影響の出方が違う

水道事業には、料金、メール、財務、住民情報などを扱う情報系ITと、浄水処理、薬品注入、ポンプ、配水監視などを扱う制御系OTがあります。両者はネットワークや保守端末を通じて接続する場合がありますが、障害時の影響と優先順位は同じではありません。

情報系で一般的な「感染端末をすぐ停止する」という判断も、制御系では工程や水質への影響を確認してから実施する必要があります。反対に、古い制御機器を止められないことを理由に外部接続を放置してよいわけではありません。ネットワーク分離、接続時間の限定、踏み台、ログ、代替監視などを組み合わせます。

補助金を待たずにできる対策と、予算化が必要な対策

国土交通省の令和9年度上下水道関係予算概算要求は、政府予算編成の途中段階です。個別の補助対象、採択条件、自治体配分は今後変わる可能性があり、概算要求を確定した交付制度として扱うことはできません。

一方、資産台帳の更新、外部接続一覧、緊急連絡網、委託先との責任分界、不要アカウントの停止、バックアップ復元手順の確認は、補助制度の確定前でも着手できます。ネットワーク分離、監視装置、老朽機器更新、冗長化などは予算と停止計画が必要になりやすいため、棚卸しで判明したリスクに基づいて優先順位を付けます。

委託先管理は「契約したから任せる」では足りない

第二版は供給者管理と委託先管理を独立した項目として扱っています。水道施設では、設備ベンダーや保守会社が遠隔接続を持つ場合があり、自治体側が通信経路、利用者、接続時間、ログ保管場所を把握していなければ、障害時に遮断や調査ができません。

契約では、事故の報告期限、一次対応、証拠保全、再委託、脆弱性情報の通知、契約終了時のアカウント削除・データ返却を確認します。水道分野の経済安全保障制度が関係する規模・設備では、特定重要設備や重要維持管理等の届出も別途確認が必要です。すべての水道事業者へ同じ届出が一律にかかるという意味ではありません。

バックアップは「保存済み」ではなく復元試験まで確認

バックアップが存在しても、設定ファイルが古い、媒体が同じネットワークにつながっている、復元手順を担当者しか知らない、復旧後の水質・運転確認が決まっていない場合は、事業継続へつながりません。

制御系では、制御プログラム、機器設定、ネットワーク設定、運転記録を分けて棚卸しし、どの順番で復元するかを決めます。復旧目標は「サーバーが起動した時刻」だけでなく、安全に給水を再開できる状態までを対象にします。手動運転や現地監視へ切り替える条件も訓練で確認します。

自治体・水道事業者が90日で進める確認順

1. 1〜30日：責任者、重要サービス、資産、外部接続、委託先、バックアップを一覧化する。
2. 31〜60日：給水影響の大きさでリスクを並べ、不要接続・過剰権限・連絡先不明を是正する。
3. 61〜90日：机上演習と復元試験を実施し、設備投資・契約改定・人材育成を次年度計画へ落とす。

この90日は国交省が定める一律期限ではなく、ガイドラインの項目を着手順へ並べたEconova独自の実務例です。施設規模、外部接続、更新時期、職員体制に応じて調整してください。

企業側は製品名より入札・保守条件を確認

関連需要は、ネットワーク分離、認証、ログ監視、バックアップ、制御機器更新、診断、訓練、運用監視などへ広がります。ただし、政策テーマだけで特定企業の売上増を断定できません。予算化された金額、補助対象、入札要件、導入件数、保守期間、受注残を確認する必要があります。

政策テーマ全体は戦略17分野と投資ロードマップの確認点、デジタル基盤予算の読み方は総務省AIインフラ予算の内訳でも整理しています。

事故時は原因究明より先に給水影響を切り分ける

異常を検知したときは、サイバー攻撃と断定する前に、給水・水質・設備安全への影響、影響を受けた拠点、外部接続、代替運転の可否を確認します。同時にログや機器状態を保全し、現場運転、情報システム、危機管理、委託先の連絡経路を起動します。

「感染端末を止めた」「ネットワークを遮断した」だけでは完了ではありません。住民への周知、関係機関への報告、復旧後の水質・運転確認、原因と再発防止策の記録までを一つの対応として設計します。訓練では、担当者が不在の時間帯や、委託先と連絡がつかないケースも試すと、紙の手順と現場運用の差が見えます。

FAQ：水道施設のサイバー対策

小規模な水道事業者もガイドラインの対象ですか？

第二版は水道事業者と水道用水供給事業者の取組を説明しています。ただし、同じ製品や体制を一律に求めるものではなく、重要サービス、システム、事業規模、リスクに応じて対策を選びます。

最初にセキュリティ製品を導入すべきですか？

先に、止まると給水へ影響する設備、外部接続、責任者、復旧手順を把握します。その結果に基づき、認証、分離、監視、更新など必要な対策を選びます。

情報系ITのバックアップがあれば十分ですか？

十分とは限りません。監視制御のプログラムや設定、通信機器の構成、手動運転手順も確認し、実際に復元できるか試験する必要があります。

2027年度の補助制度は確定していますか？

概算要求は予算編成の途中です。具体的な対象、金額、要件は政府予算案や国会審議、実施要領などの公式資料で確認してください。

サイバー対策で水道料金は上がりますか？

個別事業者の料金改定は、設備更新、維持管理、人件費、広域化など複数要因で決まります。今回のガイドラインだけから料金への影響額は計算できません。

次に確認するのは予算確定と自己点検の運用

今後は、令和9年度予算の政府案・成立内容、補助制度の実施要領、水道分野ガイドラインの運用通知、自治体の調達公告を確認します。記事の結論を変えるのは、支援対象と事業者負担が確定したとき、または自己点検・事故報告・訓練の運用が具体化したときです。

主な参照情報

• 国土交通省：水道分野における情報セキュリティ確保に係る安全ガイドライン（第二版）
• 国土交通省：水道分野におけるサイバーセキュリティ対策
• 国土交通省：重要インフラ分野の情報セキュリティ
• 国土交通省：上下水道関係予算
• 国土交通省：水道分野における経済安全保障

本記事は公開情報に基づく一般的な政策・運用情報です。個別施設のセキュリティ診断、調達仕様、法令上の届出要否を判断するものではありません。実施時は最新の公式資料と各組織のリスク評価を確認してください。