検査・審査

サイバーリスクを安全管理システムに入れよという一枚の決議が求める三つのこと（MSC.428(98)）

決議MSC.428(98)は一枚ものです。2017年6月16日に採択され、ISMコードの条文を一文字も変えません。新しい章を加えることも、新しい証書を作ることもありません。それでもこの決議の後、DOCの年次検証でサイバーリスクを問われる場面が生まれました。

理由は、決議が既存の条文を指す仕方にあります。決議はISMコードの目的がすでに特定されたすべてのリスクの評価を含むと書き、サイバーリスクがそのリスクに入ると確認します。新しい義務ではなく既存の義務の範囲を確認したものなので、コードを直す必要がありませんでした。

この記事は、決議本文が求める三つのこと、すなわち考慮すること、期限、秘密保持を順に見ます。そして主管庁の指針A.1118(30)で、年次検証が安全管理システムの修正をどう見るかを添えます。

決議はISMコードの既存の目的にサイバーリスクを掛けます

NOTING the objectives of the ISM Code which include, inter alia, the provision of safe practices in ship operation and a safe working environment, the assessment of all identified risks to ships, personnel and the environment, the establishment of appropriate safeguards, and the continuous improvement of safety management skills of personnel ashore and aboard ships,

ここに書かれた目的は、ISMコードの1.2が掲げる目的です。安全な作業慣行、特定されたすべてのリスクの評価と適切な安全対策、人員の安全管理技能の継続的な改善です。リスク評価の文言はMSC.273(85)が2010年に1.2.2.2として入れたもので、この決議はその文言を受けて使います。

1 AFFIRMS that an approved safety management system should take into account cyber risk management in accordance with the objectives and functional requirements of the ISM Code;

一つ目の要求です。承認された安全管理システムはサイバーリスク管理を考慮しなければなりません。基準はISMコードの目的と機能要件です。別のサイバーマニュアルを求める文ではなく、既存のシステムがそのリスクを扱っていなければならないという文です。

期限は2021年1月1日以降の最初のDOC年次検証です

2 ENCOURAGES Administrations to ensure that cyber risks are appropriately addressed in safety management systems no later than the first annual verification of the company’s Document of Compliance after 1 January 2021;

二つ目の要求です。期限の基準点は三つです。2021年1月1日という日付、その後の最初の年次検証、そして会社のDOCです。SMCの中間検証ではなくDOCの年次検証が基準なので、期限は会社ごとに異なります。年次検証の窓はISMコードの13.4が定める応当日の前後3か月なので、DOCの応当日がいつかによって期限はその年の初めにもなれば年末にもなります。

文の宛先も見ます。決議は会社ではなく主管庁に対して確保するよう促します。会社の義務は、主管庁がその年次検証でサイバーリスクを確認するという形で入ってきます。そのため、どの深さで見るかは旗国によって分かれます。

年次検証は安全管理システムのすべての要素と修正された部分を見ます

The annual verification will address all the elements of the safety management system and the activities to which the requirements of the ISM Code apply. The purpose of these audits is to verify that the safety management system is functioning effectively and that any modifications made to the safety management system comply with the requirements of the ISM Code.

A.1118(30)の4.4.1の文です。年次検証は安全管理システムのすべての要素を扱い、システムが効果的に機能しているか、修正された部分がコードの要件に合っているかを確認します。サイバーリスクを入れた手順はまさにこの修正です。そのため、どこに何を入れたかを改訂履歴で示せなければなりません。

As a basis for planning the audit, the auditor should review the safety management manual to determine the adequacy of the safety management system in meeting the requirements of the ISM Code. If this review reveals that the system is not adequate, the audit will have to be delayed until the company undertakes corrective action.

4.10は監査準備段階の書類審査です。監査員はまず安全管理マニュアルを読み、システムがコードの要件に合っているかを判断します。不足していれば監査は延期されます。サイバーリスクがマニュアルのどこにもなければ、現場の監査の前にこの段階で引っかかります。

指針はMSC-FAL.1/Circ.3であり、既存のリスク管理手順の上に載せます

BEARING IN MIND MSC-FAL.1/Circ.3 on Guidelines on maritime cyber risk management approved by the Facilitation Committee, at its forty-first session (4 to 7 April 2017), and by the Maritime Safety Committee, at its ninety-eighth session (7 to 16 June 2017), which provides high-level recommendations for maritime cyber risk management that can be incorporated into existing risk management processes and are complementary to the safety and security management practices established by this Organization,

決議が指す指針はMSC-FAL.1/Circ.3です。2017年4月に簡易化委員会が、同じ年の6月に海上安全委員会が承認しました。決議はこの指針の性格を二つ書いています。高水準の勧告であり、既存のリスク管理手順に組み込むことができ、IMOが定めた安全・保安管理の慣行を補完するものです。別のシステムを立てよという意味ではありません。

指針の本文はこの記事の範囲外です。決議が指針をどう位置づけているかまでを書きます。

秘密保持が必要な部分を決議が認めています

3 ACKNOWLEDGES the necessary precautions that could be needed to preserve the confidentiality of certain aspects of cyber risk management;

三つ目の要求です。サイバーリスク管理の一部は、公開すれば脆弱になる情報です。決議は、その部分の秘密を守るための予防措置が必要になり得ると認めています。したがって、検証者に見せられないという方向ではなく、どの情報をどの範囲でどう見せるかを前もって決めておく方向で読みます。

4.17.2 Personnel participating in the verification are responsible for complying with the requirements governing the verification, ensuring confidentiality of documents pertaining to the certification and treating privileged information with discretion.

A.1118(30)は検証する側にも義務を置きます。認証に関わる文書の秘密を守り、特権的な情報を慎重に扱わなければなりません。会社の秘密保持の要求と検証者の秘密保持の義務が向かい合う構造です。

確認しておくこと

この記事はMSC.428(98)の本文とA.1118(30)の検証手順までだけを扱います。MSC-FAL.1/Circ.3の内容とその後の改訂版は扱いません。決議は勧告の形で書かれているので、旗国がどのような方法で確認するかは旗国の手続きを見ます。その会社のDOCの応当日がいつか、安全管理システムのどの改訂版にサイバーリスクが入ったか、その版が船に下りているかが、実際の判断の出発点です。

引用した原文を直接確認できます

以下は、この記事で扱う文書の公式発行元へのリンクです。本文に記載した版と条項を照合し、実際の適用前にその後の改正と旗国の実施要件を確認してください。