ISO 19650 Part 5徹底解説：機微アセットを守るセキュリティ指向の情報管理と組織ガバナンス

BIMの導入によって、建物や重要インフラの詳細な3D幾何モデル、設備スペック、さらには防犯システムや配管・配線の詳細経路に至るまで、極めて機微なデジタルデータが一元管理されるようになります。
これらのデータがサイバー攻撃、スパイ活動、テロリズム、あるいは競合他社への商業情報の漏洩といった脅威にさらされた場合、組織や国家の安全保障、さらには人命に甚大な被害を及ぼすリスクがあります。

今回は、これらの重大なリスクを防止するために策定された国際規格「ISO 19650-5：セキュリティ指向の情報管理（Security-minded approach to information management）」を徹底解説します。
単なるITセキュリティやネットワーク暗号化にとどまらず、人員、物理セキュリティ、組織ガバナンス、そして突発的なセキュリティ侵害が発生した際のインシデント管理まで包括した、ISO 19650における「防御の憲法」ともいえるセキュリティフレームワークを解き明かします。

ISO 19650 Part 5の役割と情報セキュリティ（ISO/IEC 27001）との違い

ISO 19650-5は、機微な資産に関わる情報を扱うすべての組織やプロジェクトが、ライフサイクル全体を通じて「セキュリティを常に意識したアプローチ」を導入するための共通フレームワークを規定しています。

実務において「すでにわが社は情報セキュリティマネジメント規格であるISO/IEC 27001を取得しているから十分ではないか」という疑問がよく寄せられます。しかし、これら2つの規格はカバーする領域と視点が明確に異なります。

ISO/IEC 27001（組織内の防壁）
単一の組織の内部、あるいは特定の組織部門におけるITインフラやデータの機密性、完全性、可用性を守るためのシステム要件を規定しています。

ISO 19650-5（プロジェクト共同体全体の連携防壁）
プロジェクトのコンソーシアム全体を横断する、アセットやBIM情報モデルの流通そのものを統治します。

建設プロジェクトでは、発注者、設計者、元請施工者、そして無数のサプライチェーン企業の間でBIMデータがCDE（共通データ環境）を介して常時共有・交換されます。
どれほど強固なISO 27001体制を自社内で築いていても、協調作業を行う相手（プロバイダーやレシーバー）のセキュリティが脆弱であれば、そこが「セキュリティの穴」となります。
ISO 19650-5は、プロジェクト共同体やCDE全体を横断するセキュリティポリシー、役割、および合意形成の手続きを標準化するために存在します。

セキュリティ指向アプローチ（SMA）の定義と3つの防御壁

ISO 19650-5における「セキュリティ指向アプローチ（SMA：Security-minded approach）」は、以下のように包括的に定義されています。

“セキュリティ指向アプローチとは、セキュリティリスクを軽減するために、人員（Personnel）、物理（Physical）、サイバー（Cyber）セキュリティ、および明確な説明責任と責任を持つ確固たるガバナンス体制を包括したアプローチである”

この定義からわかるように、SMAを機能させるためには、以下の3つの防御壁を同時に設計・運用しなければなりません。

① 人員セキュリティ（Personnel Security）

機微情報にアクセスする人間そのものの信頼性を担保するアプローチです。
高リスクな職能の特定、採用時やアクセス権付与時の事前審査（スクリーニングや身元調査）、セキュリティ意識の啓発、職能に応じた専用のセキュリティトレーニングなどが含まれます。

② 物理セキュリティ（Physical Security）

サーバー室、BIMルーム、現地の工事現場、管理事務所など、物理的な空間に対する不正侵入や機微情報の物理的持ち出しを防ぐ壁です。
立入制限、防犯カメラ、生体認証などの物理的管理策を含みます。

③ サイバーセキュリティ（Cyber Security）

CDEシステム、BIM閲覧用端末、ネットワークインフラにおけるデータの窃取や改ざん、DDoS攻撃からシステムを守るデジタルな壁です。
アクセス権制御、暗号化、ファイアウォール、ソフトウェアの選定基準などがこれに該当します。

セキュリティ指向アプローチ（SMA）を始動する実務プロセス

発注者がプロジェクトまたはアセット管理においてSMAを起動する際、ISO 19650-5は「評価とニーズ（Assessment and need）」段階で以下のステップを踏むことを要求しています。

 [機微性の特定（セキュリティ診断）]
               │
               ▼ （機微アセットと判定された場合）
 [ガバナンス体制と説明責任の確立]
               │
               ▼
 [セキュリティ戦略（Strategy）の策定]
               │
               ▼
 [セキュリティ管理計画（SMP）の策定]
               │
               ▼
 [セキュリティ情報要求（SIR）の定義とサプライチェーンへの展開]

機微性の特定（セキュリティ・トリアージ）

最初のプロセスは、そもそも自分たちが管理するプロジェクトや資産が、セキュリティ対応を強化すべき「機微アセット」に該当するかどうかを判断するセキュリティ・トリアージです。
テロの標的になりやすいインフラ（空港、鉄道、発電所、水道施設）、極秘の商業情報や商業機密を含む施設（データセンター、ハイテク工場）、公的機関の重要施設などが判定の対象となります。
トリアージの結果、「機微性あり」と判定された場合にのみ、以降の厳格なSMAプロセス（セキュリティ戦略の作成など）が起動されます。
不要な場合は、通常の機密・個人情報保護に配慮しつつ、通常のPart 2やPart 3のフローを回します。

ガバナンス体制、説明責任、および責任の確立

SMAを機能させるために、アセットオーナーの最高経営層から、セキュリティに関する最終的な説明責任を負う特定の個人（責任者）を任命します。
また、複数の組織が協調してプロジェクトを進める場合には、各組織のガバナンス構造を確立し、主導権の分割方法に合意した上で、それぞれのアカウント責任者を指定します。このガバナンス体制は、プロジェクトの変更に応じて継続的にレビュー・更新されます。

セキュリティ戦略の策定

特定された機微アセットに対するセキュリティ上の脅威を洗い出し、それぞれの脅威が発生する確率と、発生した場合の影響度を評価します。
その上で、組織としてどのような「セキュリティ対策方針」を採用するかの基本戦略を文書化します。

セキュリティ管理計画（SMP：Security management plan）

セキュリティ戦略を実務の運用プロセスに落とし込むための「実装計画書」です。 許容可能なセキュリティリスク（リスク許容度）を明確にした上で、具体的なリスク軽減措置（物理・人員・サイバーのセキュリティポリシー）、情報資産のログ管理方法、および緊急時の対応手順などを規定します。

セキュリティ情報要求（SIR：Security information requirements）の定義

アセットのデリバリー段階（Part 2）や運用段階（Part 3）において、サプライチェーン（設計者や施工者、保守業者）が満たすべきセキュリティ要件を明確に定めた「セキュリティ版のEIR」です。
第三者への情報提供ルール、ロジスティクス上の制約（現場へのPC持ち込み制限など）、およびCDEにおける機微情報コンテナへの厳格なアクセス制御（Strict need-to-know：最小限の知る必要性に基づく権限管理）を定義します。

突発的侵害に備える「セキュリティ侵害・インシデント管理計画」の設計

どれほど強固なセキュリティを敷いていても、情報漏洩やサイバー攻撃、物理的侵入といったセキュリティ侵害（ブリーチ）が「100%発生しない」という保証はありません。 そのため、ISO 19650-5のセクション8では、不測の事態が発生した際のダメージを最小限に抑え、迅速に復旧するための「セキュリティ侵害・インシデント管理計画」を事前に構築・テストしておくことを強く求めています。

このインシデント管理計画には、実務上、少なくとも以下の内容を網羅しておく必要があります。

想定される侵害シナリオとリスク評価
CDEの不正アクセス、管理用PCの紛失、現場での図面盗難など、どのようなインシデントが起こり得るかと、そのリスクおよび組織へのインパクトの事前アセスメント。

初動連絡体制とキーパーソンの特定
侵害を発見した際に、誰（CISO、BIMマネージャー、法務部門など）に即時連絡すべきか、どのような緊急時連絡ツリーを使用するかの定義。

影響を受ける関係者の特定と通知メカニズム
流出した可能性があるデータを特定し、関係するパートナー企業やクライアントにどのような経路とスケジュールで通知するかの具体的手続き。

第三者対応フロー
規制監督機関、法執行機関（警察）、メディア、あるいは一般大衆への対応方針と公式発表の手順。

封じ込めと復旧アクション
被害が拡大するのを防ぐためのシステム遮断措置、および業務継続性（BCP）を確保するためのバックアップデータからの迅速なシステム復旧手順。

証拠の保全手続き
原因究明や法的措置に必要となるログデータ、システム履歴、防犯カメラ映像などの客観的エビデンスを、破損・改ざんさせることなく安全に保全・回収するための具体的な手順。

レビューと更新プログラム
インシデント発生後の検証プロセス、および教訓を活かしてインシデント管理計画自体をブラッシュアップする仕組み。

このインシデント管理計画書は、その中身自体が機微なリスク情報を大量に含むため、組織内の極めて限定された「知る必要性」のある担当者以外にはアクセスをシャットアウトして保管することが規格上義務付けられています。

システム・ソフトウェア選定における「8つの情報セキュリティ管理基準」

CDEやBIMデータを扱うITシステム、およびソフトウェアを選定・構築する際、システムは「デフォルトで安全（Secure by default）」であるか、またはセキュリティを最大化するように適切に構成できるものである必要があります。

ISO 19650-5の付録に定義されているセキュリティ管理策において、特にソフトウェアやプラットフォームを選定する際の評価基準として、以下の8つの要件（a〜h）を考慮することが実務上重要です。

Confidential（機密性）
認可された人間だけが情報にアクセスでき、未認可の閲覧を完全にブロックできること。

Availability（可用性・信頼性）
必要なときに、認可されたユーザーが遅滞なくシステムや情報モデルを稼働・参照できること。

Safety（安全性）
システムの動作不良やデータ破損が、物理的な建物や現場の安全衛生に危険を及ぼさないよう設計されていること。

Resilience（回復力）
障害や外部攻撃、システムダウンが発生した際に、サービスを迅速に復旧・継続させる頑健性があること。

Possession（占有）
データの所有権、管理権、および物理的なサーバー（またはクラウド上の論理的な格納領域）に対する組織の支配権が担保されていること。

Authenticity（真正性）
システムに登録されているデータが本物であること、およびアクセスしているユーザーのアイデンティティが詐称されていないこと。

Utility（有用性）
セキュリティで厳しく縛るあまりに、本来の設計・施工やFM業務に必要なデータの抽出や利活用が著しく妨げられないという実用的なバランスが取れていること。

Integrity（完全性）
情報モデルやドキュメントが常に完全で、不正確な書き換えがなく、一貫性と整合性（整合性、正確性、一貫性、コヒーレンス、構成管理）が保たれていること。

近年導入が進むIoT（モノのインターネット）デバイスやBEMS（ビルエネルギー管理システム）などをアセットに接続する際も、これらの8つの基準に則ってセキュリティリスクをアセスメントし、システム間の境界に適切な防壁とリスク軽減措置を組み込むことがBIMマネージャーの極めて重要な役割となります。

まとめ：Part 5が実現する協調型セキュリティ

ISO 19650 Part 5の真髄は、「コラボレーション（協調作業）を阻害することなく、プロジェクト全体でセキュリティの強度を等しく保つこと」にあります。

1. セキュリティ・トリアージ（機微性特定）を事前に行い、本当に保護すべき「機微アセット」にのみリソースとコストを集中させる。
2. 経営層が直接責任を負う明確な説明責任とガバナンス構造を構築し、プロジェクトパートナー間でリーダーシップの分割方法に合意する。
3. セキュリティ管理計画（SMP）やセキュリティ情報要求（SIR）を早期に策定し、サプライチェーンの全プレイヤーに同一水準のセキュリティ契約（情報プロトコル）を義務付ける。
4. CDEやシステム構成、ソフトウェア選定においては「8つの評価基準（機密性、完全性、回復力など）」に沿ってアセスメントを行い、安全なデジタルインフラを構築する。
5. 不測の事態に備えた「セキュリティ侵害・インシデント管理計画」を事前に作り込み、初動対応からエビデンス保全、BCP復旧までのフローを形骸化させない。

BIMという「オープンでデジタルな情報共有」を進めるからこそ、その裏側を支えるPart 5の「厳格なセキュリティ管理」は一対のペアとして機能しなければなりません。この原則を組織全体に浸透させることで、はじめて信頼性の高い、安全なプロジェクト・デリバリーと資産運用が可能となるのです。

※本記事は、一般に公開されている情報をもとに、ISOについて学べる内容を整理したものです。正式な仕様や要件については、ISO規格本文をご確認ください。