重層化する電力機器の通信ネットワーク
生成AIの性能が急速に向上する中で、蓄電池やＥＶなどの分散型機器を通じた電力システムへのサイバー攻撃のリスクが現実味を帯びています。そこで本稿では、そのリスクと、JC-STAR適用など政府の対応策、今後の課題を考えてみたいと思います。
分散型エネルギーリソース（DER）とは、需要地に近い場所に設置される太陽光発電、蓄電池、EV・充放電器、空調、給湯器などの小規模な電源・需要設備です。
これらをクラウド、API、HEMS・BEMS、PCS・BMS・EMSなどで束ね、需給調整や電力取引に活用する仕組みが、VPP（Virtual Power Plant：仮想発電所）やリソースアグリゲーションです。
このシステムには、需要家側のリソースアグリゲーター、その上位のアグリゲーションコーディネーター、機器メーカーのクラウド、小売電気事業者、一般送配電事業者などが重層的に関係しています。さらに、電力系統側の設備と需要家構内の設備が、複数の通信経路や管理主体を介して相互に接続されています。
機器の脆弱性が系統攻撃に結びつく
IEAは、2025～2030年に世界の再生可能エネルギー発電容量が約4,600GW増加し、その約8割を大規模・分散型太陽光発電が占めると予測しています。EV、家庭用蓄電池、スマート家電も増加しており、個々には小規模な機器であっても、多数を集約することで発電所並みの制御量を持ち始めています。(IEA)
日本では2024年5月、太陽光発電向けの遠隔監視機器約800台が侵害され、インターネットバンキングの不正送金に使われる中継拠点、いわゆる「踏み台」として悪用されたことが明らかになりました。(エネ庁)
この事例は電力系統の事故には至りませんでしたが、脆弱なパスワード、更新されていないファームウェア、外部に公開された遠隔接続ポートなどが、設備の同時停止や一斉充放電、DDoS攻撃、ランサムウェア被害、需要家の在宅状況を含む情報流出へ発展し得ることを示しています。
急速に進化する生成AIが悪用されれば、セキュリティ上の脆弱性を発見し、攻撃を仕掛けるハードルが以前より低くなる可能性もあります。個別機器への侵入が、多数の設備を束ねるクラウドやアグリゲーションシステムを経由して、電力系統全体へ波及するリスクへの備えが必要です。
政府も対応を開始、JC-STARを導入
こうした状況を受け、規制当局も対応を進めています。
経済産業省は2025年5月、「ERABサイバーセキュリティガイドライン」をVer.3.0へ改定し、物理的なゲートウェイを介さないクラウド制御、末端のIoT機器、取得したデータの漏えいなども対象に加えました。(経済産業省)
情報処理推進機構（IPA）の「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」は2025年3月に開始されました。★1はIoT製品に共通する最低限のセキュリティ要件への適合を示し、★3・★4では第三者評価を取り入れる制度設計となっています。
太陽光発電設備や蓄電池については、特別高圧・高圧設備を2027年4月から、低圧設備を同年10月から、新規の系統接続申込みに際して、IP通信機能を持つPCS、BMS、EMSなどにJC-STARの★1取得を求める方針です。(エネ庁)
この要件化は、電力広域的運営推進機関が2026年3月31日に開催した「第21回グリッドコード検討会」でも審議されました。会合では、太陽光・蓄電池への適用方針を確認するとともに、風力発電では海外製設備や多数のIP通信機器を考慮し、まずゲートウェイを優先して★1対応を進める段階導入案を提示しました。燃料電池については、製品開発や認証に必要な期間を踏まえ、2028年4月からの適用案が示されました。(オクット)
制度の導入により、調達者が製品の基本的なセキュリティ水準を把握しやすくなり、機器メーカーや販売事業者を含むサプライチェーン上の責任も明確になると期待されます。
一方、★1は自己適合宣言を基本とするため、DER固有のすべての脅威に十分対応できるとは限りません。海外メーカーの対応の遅れ、国内で選択できる機種の減少、認証審査や設計変更に伴うコストの増加を懸念する声もあります。
海外では、EUが電力分野のサイバーセキュリティ・ネットワークコードとサイバーレジリエンス法により、電力事業者の運用とデジタル製品のライフサイクルの双方を規律しています。米国でも、エネルギー省（DOE）と全米公益事業規制委員協会（NARUC）が、配電系統、DERの所有者・運用者、アグリゲーターなどを対象とするリスクベースの基準を整備しています。(Energy)
影響度に応じた防御態勢が必要
ラベル制度の導入は重要な第一歩ですが、引き続きサイバー攻撃のリスクに対応する必要があります。
理想的には、制御可能容量、同時接続台数、電力系統への影響、通信経路、クラウドの所在、再委託先、ソフトウェアの更新保証期間などを案件ごとに評価することが求められます。
一方、家庭用機器1台と、数百MW規模のリソースを束ねる蓄電池群に同一の統制を課せば、過剰な対策コストが生じます。最終的には、そのコストが設備価格や電気料金の上昇につながる可能性があります。
反対に、大規模な発電設備や蓄電池をJC-STARの★1のみで運用するとすれば、セキュリティ対策としては不十分です。
したがって、それぞれの機器の機能、接続台数、制御可能容量、系統への影響度に応じた、バランスの取れた政策・規制の策定と不断の見直しが求められます。
発電・蓄電事業者は、万が一の事態に備え、調達段階からSBOM（ソフトウェア部品表）、脆弱性情報の通知方法、パッチ提供期限、多要素認証、ネットワーク分離、ログ保存、手動運転への切替手順、事故発生時の責任分界などを契約に落とし込むことが望まれます。
最適解は、単に「規制を満たすこと」ではありません。単一の障害や侵入が何台の機器に波及し、何MWの出力・需要変動を引き起こし得るのかを定量化し、その影響度に比例して対策費を配分することです。
これをコストとスペックのバランスで考えていく必要があるでしょう。
【参考】電力広域的運営推進機関「第21回グリッドコード検討会」
【参考】資源エネルギー庁「電力分野のサイバーセキュリティについて」
【参考】経済産業省「ERABサイバーセキュリティガイドラインVer.3.0改定」
【参考】IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」
【参考】米国エネルギー省「Cybersecurity Baselines for Electric Distribution Systems and DER」
【参考】欧州委員会「電力分野のサイバーセキュリティ・ネットワークコード」
【参考】欧州委員会「Cyber Resilience Act」