資料3

事務局説明資料

産業サイバーセキュリティ研究会WG3（サイバーセキュリティビジネス化）第７回
令和４年４月６日

経済産業省 商務情報政策局
サイバーセキュリティ課

産業サイバーセキュリティ研究会関連会議の実績
時期

2019年度立ち上げ

4月 5月 6月 7月 8月 9月

2020年度

2022
年度

2021年度

10 11 12
10 11 12
10 11 121月 2月 3月 4月 5月 6月 7月 8月 9月
1月 2月 3月 4月 5月 6月 7月 8月 9月
1月 2月 3月 4月
月 月 月
月 月 月
月 月 月

（NISC）サイバーセキュリティ戦略本部

政府の動き（NISC）重要インフラ専門調査会

サイバーセキュリティ2019

サイバーセキュリティ2020

サイバーセキュリティ戦略

重要インフラ行動計画改定への提言

産業
サイバー
セキュリティ
研究会

サイバーセキュリティ強化運動

2017年
12月27日

第3回
4/19

第4回
4/17
産業界へのメッセージ

加速化指針

WG１
2018年
2月7日

第5回
4/4

『グローバル』をリード

第6回
4/2

第5回
6/30
今後の取組についての報告書

第6回
3月

経営者への
注意喚起

注意喚起

国としての対処能力の強化

第8回
3月

第7回
10月

CPSF策定（4/18）

WG1
（制度・
技術・
標準化）

WG2
（経営・
人材・
国際）
WG3

●ビルSWG 分野横断SWG
2018年２月●スマートホーム
ビルSWG
SWG
2018年3月
スマートホームSWG
●防衛産業
SWG
防衛産業SWG
2018年3月●電力SWG 電力SWG
2018年6月●自動車SWG 自動車産業SWG
2019年4月●宇宙産業
SWG
2021年1月●工場SWG
2022年1月●第３層TF2019年7月●ソフトウェアTF
2019年9月●第２層TF2019年8月

2018年
3月16日

ビルガイドライン策定（6/17）
スマートホームガイドライン策定（4/1）

サイバーセキュリティガイドライン策定（12/1）

宇宙産業SWG
工場SWG

第3層TF
ソフトウェアTF
第2層TF
11/19 SC3設立総会

令和元年度サイバーセキュリティお助け隊

第2回日米
ICSサイバー演習（サイバー
セキュリティ
ビジネス化）

2018年
4月4日

コラボレーション
プラットフォーム

2018年
6月13日

『信頼の価値』を創出

第８回
4/23

第９回 第10回
6/12 7/29

第11回
9/12

第12回
11/25

11/2 SC3
第2回総会

第4回日米EUICSサイバー演習

第3回日米ICSサイバー演習

第５回
3月

第４回
8/2

10月 お助け隊
第2回審査

令和２年度サイバーセキュリティお助け隊
第6回
第7回
8/25
2/18

第5回
1/15

『中小企業・地域』
への展開

3月 お助け隊
第1回審査

第6回
３/10

第13回 第14回
9/28 10/30

第15回 第16回
1/29 2/25

第17回
6/29

第18回 第19回
9/7
10/22

第20回 第21回 第22回
12/3 1/14 2/22

2月 お助け隊
第3回審査サイバー・フィジカル・セキュリティ対策フレームワークを軸とした各種取組⚫「サイバー・フィジカル・セキュリティ対策フレームワーク」では、Society5.0における産業社会でのセキュリティ対策の全体枠組みを提示。
⚫全体の枠組みに沿って、対象者や具体的な対策を整理し、『サイバーセキュリティ経営ガイドライン』
や産業分野別のガイドラインなどの実践的なガイドラインを整備。

＜各種取組の大まかな関係＞
経営層

サイバー・フィジカル・セキュリティ対策フレームワーク （2019年4月）
第I部 サイバー空間とフィジカル空間が融合した産業社会におけるサイバーセキュリティの在り方

サイバーセキュリティ
経営ガイドライン

活用

中小企業の情報セキュリティ対策
ガイドライン（IPA）（第3版：2019年7月）

第II部 リスク源の洗い出し
第III部 対策要件と対策例集（
第 ビ
3層：データマネジメントに関する新たなフレームワーク 1 ル（2022年予定）
版 分
2層：IoTセキュリティ・セーフティ・フレームワーク： 野（2020年11月）
２ の０ ガ
経営プラクティス集（IPA）
１ イ
９（第2版：2020年6月）
年 ド支
サイバーセキュリティ体制
6 ラ
援
ツ
月 イ
構築・人材確保の手引きー） ン（第1.1版：2021年4月）
ル

可視化ツール（web版：2021年8月）

（
第 自
１ 動
． 車
０ 分
版
： 野
２ の
０ ガ
２ イ
０ ド
年 ラ
12 イ
月 ン
）

ス
（マ
第ー
１ト
．ホ
０
版ー
：ム
２分
０野
２の
１ガ
年イ
４ド
月
）ラ
イ
ン

（

工
年場
電
分
月
力
ガ野
イ の ・・・ 分
野
ドガ
の
ライ
イド
取
ンラ
組
案イ
作ン
成
3

（Ver2.0：2017年11月）

具
体
的
対
策

実務層（産業分野個別）

2022

コ
ン
セ
プ
ト

実務層（共通）

予
定
）

2

目次
（１）サイバーセキュリティ産業のビジネス化に向けた取組の全体像（２）各施策の現状及び今後の方向性（３）ご議論いただきたい点

3

セキュリティのエコシステムを実現するための課題全体像

前回WG3資料の再掲⚫ 信頼できる製品・サービスと隠れたニーズを掘り起こし、ビジネスマッチングの場を提供する
ことにより、セキュリティ産業の発展を目指す。

安心して製品・サービスを利用できる基盤を構築
１．Proven in Japan（検証基盤）
２．情報セキュリティサービス審査登録制度
３．セキュリティに関する契約の在り方の検討

隠れたニーズに対応したビジネスの創出
４．サイバーセキュリティお助け隊

５．中小企業向け製品・サービスの検証

市場への展開ビジネスマッチング

６．コラボレーション・プラットフォーム
4

検証基盤に求められる要件⚫ 安心して製品・サービスを利用できるためには、信頼できる検証事業者が、利用する製品に脆弱性が無いことを検証してもらえる仕組みが必要。
⚫ また、利用するセキュリティ製品が必要な機能を具備し、かつ日本製・国内運用であることことが望ましいと考えられる。
脆弱性が無いこと
日本政府
政府、行政

製品ベンダ X

信頼性が高いこと
セキュリティを向上させたい

検証事業者 αIT機器/
IoT・OT製品

検証者

検証ビジネスを拡大したい重要インフラ企業

安心して
利用したい

検証事業者 β製品ベンダ Y

大規模な企業
サプライチェーン
を有する業界

一般消費者
企業

セキュリティ
製品

必要なセキュリティ機能を具備し、日本製・国内運用であること

検証者

製品を
売りたい

5

検証基盤の全体像⚫ 産業サイバーセキュリティ研究会WG3(ビジネス化検討)による議論をベースに、セキュリティ
検証サービスの産業化に向けて、セキュリティ製品の有効性検証（緑検証）や実環境における試行検証（青検証）、攻撃型を含めたハイレベルな検証（赤検証）を進め、モデル契約やコラボレーションプラットフォーム等と連携してきた。
凡例

脆弱性が無いこと

実施済み
短期取組

製品ベンダ X

政府、行政

重要インフラ企業

Ｓ
Ｃ
３
・
お
助
け
隊

対策
支援

大規模な
サプライチェーン
を有する業界

手引き

選定/
活用

企業

IT機器/
IoT・OT製品

モ
デ
ル
契
約
書

信頼性が高いこと
検証
手引き

ガイド

検証 人材
手引き 手引き 検証事業者 α

赤

攻撃型検証

開発

開発段階検証

手引き

検証者

モデル契約書製品ベンダ Y青検証事業者 βセキュリティ
製品

試行検証

緑

有効性検証

検証者

表彰

手引き

必要なセキュリティ機能を具備し、日本製・国内運用であること

信
頼
性
可
視
化
制
度

公募
要領

認証
要件

情報セキュリティ審査登録制度

コラボレーション プラットフォーム
中小企業向け製品・サービス プラットフォーム

6

（参考）『Prove in Japan』 及び関連事業の取組内容（一覧表）
実施内容

緑
セキュリティ製品の有効性検証

青実環境における
試行検証

赤攻撃型を含めた
ハイレベルな検証

成果物

サイバー攻撃に対応するセキュリティ製品分野を公表し、その分野に該当する我が国発の製品について、専門家による有効性確認を実施し、その内容を発信することで、ユーザーが我が国発の製品• 試行導入・導入実績を選定しやすい環境を構築。
公表の手引き• 2019年度版セキュリ
ティ製品・サービス重要
実環境への試行導入・実績公表を行う企業向けの手引きを作成 分野マップ
するとともに、試行導入に関心があるユーザーとベンダーをマッチング
し、我が国発のセキュリティ製品の試行導入・実績公表を促進。

• Yamory(VISIONAL
社)• WiSAS(Spline
Network社)• GUARDIAX(グレスアベイル社)• AX-Network
Visualization(Alaxal
A社)

2021年4月、機器のハイレベル検証(ペネトレーションテスト)の方 • 機器のサイバーセキュリ • ルータ、UTM、タブレット、法や人材育成の方法を手引きとして公開。2021年度は産業機
ティ確保のためのセキュリ スマートロック
器に検証対象を広げ、手引きの有効性を確認。
ティ検証の手引き、解 • ドローン、スイッチ、ロボッ
検証事業者の信頼性を可視化するための要件を整理し、情報セ 説書
ト掃除機、ノートPC
キュリティ審査登録制度に「セキュリティ検証」を新設できるか検討 • 検証人材の育成に向け • スマートリモコン・TV、車中。
た手引き
載器、産業用PC

開発段階から、設計書とソースコード、実装したプロトタイプで検証を行い、脆弱性を排除した開発を実施することにより、効果的なセキュリティ・バイ・デザ 検証の進め方を整理するとともに、開発段階からの検証の効果を（今後実施予定）
インを実現する開発段 可視化する。これにより、設計段階からセキュリティを意識する「セ階検証
キュリティ・バイ・デザイン」の考え方を採り入れ、コスト低減を図りつ
つ、中小企業に検証の必要性を認知してもらうことを目指す。

開発

主な検証対象（予定）
IoT家電、産業機器、工場のセンサー、産業用ドローン、NW機器、車載器、モバイル端末、スマー
トデバイス、等

7

（参考）『Prove in Japan』 及び関連事業の取組内容（一覧表）
実施内容

コラボレーション
プラットフォーム

情報セキュリティ
審査登録制度

成果物• 2021年度までに20回開催し、のべ2,470名が参サイバーセキュリティに関する情報交換、交流を行っていただける加。
「場」を提供することを目的としたコラボレーション・プラットフォームを • 有効性が確認されたセキュリティ製品のシーズとニー開催。
ズに係るマッチングの場を提供し、市場展開を促進してきた。
• 情報セキュリティ監査
一定の技術・品質管理要件を定めた「情報セキュリティサービス基 • 脆弱性診断準」を策定し、基準に適合するサービスのリストを2018年6月より • デジタルフォレンジック
IPAが公開。
• セキュリティ監視・運用

67サービス
107サービス
28サービス45サービス
2021年12月現在

モデル契約書情報システムの信頼性向上・取引の可視化に向けた取引・契約• モデル契約書のダウンロード数：65,822件のあり方を整理したもの。2007年に第一版を作成・公開し、その（うち、セキュリティ関連に関わるガイドライン：
後、民法改正対応及び現在の環境・状況に合わせるべく修正し、
12,216件）
2020年にIPAからモデル契約（第二版）を公開。

中小企業向け製品・サービス PF

中小企業をターゲットとしたセキュリティ製品やサービス選定時の• 中小企業によるセキュリティ製品・サービス選定プロ
ニーズにマッチしているか検証し、適切な製品やサービスを選択でセスの実態・評価基準の見える化
きる環境を支援することで、中小企業向けセキュリティ製品の普及 （Security Action登録業者約2,000件からサを後押しし、中小企業のセキュリティ対策の底上げを図る。
ンプリング）

サイバーセキュリティ
お助け隊

中小企業のサイバーセキュリティ対策を支援するための相談窓口、
異常の監視、事案発生時の初動対応（駆付け支援等）及び • 12サービスが全国各地域の中小企業へサービスを
簡易サイバー保険を含む各種サービスを、安価かつ効果的なワン展開中。（2022年3月現在）
パッケージで確実に提供する。

8

目次（１）サイバーセキュリティ産業のビジネス化に向けた取組の全体像（２）各施策の現状及び今後の方向性（３）ご議論いただきたい点

9

（２）各施策の現状及び今後の方向性
１．Proven in Japan（検証基盤）
－緑青検証
－赤検証
－開発段階検証（主に中小企業向け）
２．情報セキュリティサービス審査登録制度
３．サイバーセキュリティお助け隊
４．中小企業向けセキュリティ製品の検証
５．コラボレーション・プラットフォーム

10包括的なサイバーセキュリティ検証基盤を構築し、『Proven in Japan』を促進⚫ 「Proven in Japan」では、2つの方向を追求し、セキュリティビジネスの成長を促進。
①

有効性確認等を通じ、日本発のサイバーセキュリティ製品のマーケット・インを促進②

IoT機器等の信頼性を高度に検証するハイレベル検証サービスの拡大⇒2021年度は新たに開発段階の製品・設計書等の検証も実施。

1.セキュリティ製品の有効性検証ベンチャー等のセキュリティ製品

2.実環境における
試行検証

有効性
検証

お試し製品
提供と検証
ベンチャー等

検証
環境

実環境
民間事業者等のオフィス

信頼できるセキュリティ製品・サービス

3.攻撃型を含めたハイレベルな
検証サービス

4.セキュリティ・
バイ・デザインを実現する
開発段階検証

攻撃型
検証等
検証サービス
事業者

検証サービス
事業者

開発段階
検証

IoT機器・
システム等

設計書・
ソースコード等

世界に貢献する
高水準・高信頼の検証サービス
11

緑青検証の立ち上げ背景・概要

緑 青⚫ 産業サイバーセキュリテイ研究会WG3(ビジネス化検討)による議論をベースに、ベンチャー等のｾｷｭﾘﾃｨ製品/サービスの有効性確認を通じて、国内市場へのマーケット・インを促進。
⚫ 2019年度より、サイバーセキュリティ検証基盤を整備し、セキュリティ製品の有効性検証(緑検証)/実環境における試行検証(青検証)に着手。

製品の有効性を確認し､発信する仕組み①国内の脅威・対策動向を踏まえ、重要性が高い製品分野を設定②重点分野に該当する国内製品を対象に有効性検証を実施③検証結果を情報発信し、評価製品を選定しやすい環境を構築

実環境への試行導入と実績公表を進める仕組み①試行導入・実績公表を行う企業向け手引きを作成②試行導入に関心のあるベンダー・ユーザをマッチングし、
国内ベンチャー企業の立ち上げを支援
12

緑 青

これまでの取組⚫ 有識者会議を開催し、重要分野の選定と該当分野の国内製品の検証作業を実施。

⚫ また、実環境における試行評価もあわせて実施。
⚫ これらのアウトプットを取りまとめ、コラボレーション・プラットフォームで紹介することでマッチングを後押し。
有識者会議でセキュリティ領域の全体マップを作成し、重要分野を選定（市場性、日本発の製品が強味を発揮可能か等の観点）① 脅威の可視化② 脆弱性の可視化③ IT資産管理④ 脅威インテリジェンスの整理・管理⑤ マルウェア感染/発症の重篤度判定⑥ 教育・トレーニング⑦ ハイレベルセキュリティ検証⑧ IT資産の認証/検証

重要分野に該当する製品を公募で選定し有効性評価を実施、また実環境における試行評価を実施

検証
環境

有効性
検証

yamory（OSSの脆弱性可視化）
WiSAS（Wifi セキュリティ）GUARDIAX（クラウド型WAF）

お試し製品
提供と検証

実環境

AX-Network Visualization（ネットワーク脅威可視化）

結果をIPAから公表した他、コラボレーション・プラットフォームにて紹介し、ビジネスマッチングを実施
日本発製品・サービスのプロモーションに資するため、主に以下の内容を公表

有効性検証結果
製品のストロングポイント

実環境における試行検証結果『試行導入・導入実績公表の手引き』• 公表のメリット／デメリット• 公表可否判断のポイント• 公表内容• ステークホルダーとの調整 等

13

緑 青

2021年度の取組・成果⚫

検証事業の最終年度に当たる2021年度は、注力すべき重点領域を更新しつつ、製品選定から有効性検証の仕組
み(手順･基準等)に基づいた製品検証や実環境での試行を実施し、これを通じ「試行導入・実績公表の手引き」の検討を実施した。

⚫

また、更なるマッチング機会創出に向け、検証結果を活用した表彰制度の立案に向けた検討を行った。

国内外の技術トレンド・製品動向に基づく重点領域の更新

データ保護、ID/アクセス管理の追加

専門家による有効性検証

実環境での試行検証

国内において新規性が高い製品のセキュリティ
機能の有効性を有識者にて検証・評価

検証事業者環境にて、手引きに従いユーザ企
業が実装機能の有効性、操作性等を評価

・Karma（ゼロゼロワン社）
国産IoT検索エンジン

・AeyeScan（ｴｰｱｲｾｷｭﾘﾃｨﾗﾎﾞ社）
クラウド型脆弱性診断ツール

前年度作成した評価・プロセスの有効性を検証し、「試行導入・実績公表の手引き」に反映
市場参入手法を検討
セキュリティ製品ベンダとSI業者・販社等とのマッチング機会の創出①マッチングイベントの開催
・商談機会の発掘支援②表彰の付与・イベント開催
・有効性検証結果に基づく表彰③ベンチャー等の情報発信サイトの立上げ
14

緑青検証の進め方

前回WG3資料の再掲

緑 青⚫ ２年間に渡る本事業の成果を基に、マッチングプラットフォーム構築、日本発セキュリティ製品の国内ビジネス拡大、更に海外展開を目指す。
日本発製品のビジネス

Step 3:

日本発製品のグローバル展開
・プラットフォームの海外向けプロモーション（ユーザ向け、投資家向け）

Step 2:

日本発製品の国内ビジネス拡大
ユーザとのマッチング促進
プラットフォームの本格展開

導入事例公表促進
Step 1：

プラットフォーム構築、トライアル運営
・外部の選考委員からなる体制構築
・応募～審査～公表のプロセス・基準策定
・プロモーション活動（ユーザ向け、ベンダー向け）
2019年度の成果：
・プラットフォームのあるべき姿
・導入事例公表の手引き

プラットフォームの概要

・各製品の概要とストロングポイントにつながる検証結果を掲載
・導入事例公表の手引きと連携することで「マッチング→事例公表→更なるマッチング」の好循環を実現

time 15

（参考）製品評価を受けたベンダ企業による評価

緑 青⚫ 本検証結果を営業活動に活用し、大手企業２社を含む複数の商談獲得に貢献したが、件数は限定されており 更なる継続的な事業機会・商談発掘の場の拡充を要望。
セキュリティ製品の機能検証
株式会社スプライン・ネットワーク
評価製品：Wifi セキュリティ 「WiSAS」
事業概要：セキュリティ監視サービス
脆弱性診断サービス

EGセキュアソリューションズ株式会社
評価製品：次世代クラウド型WAF 「GUARDIAX」
事業概要：情報セキュリティ監査、コンサルティング、調査
セキュリティ製品の開発、販売、サポート

実環境での有効性/操作性検証
アラクサラネットワーク株式会社
評価製品：NW可視化・異常検知SL「AX-Network Visualization」
事業概要
・NW機器の開発・製造・販売・保守（企業向け、通信業者・ISP向け）

事業への貢献◼ 受注・商談機会の獲得

・重要インフラ/大手企業への採用（大手私鉄グループ、公的機関）
・企業からの引き合い・提案依頼を各社とも複数件確認・評価結果を販促ツールとして活用した商談多数・一部は受注◼ 販売チャネルの獲得

・代理販売店の獲得（契約前の製品評価にて活用）

ベンチャー企業からの期待◼ 自社での販促活用に加えて､更なる商談機会の拡大

・評価結果の情報掲載、セミナー等による情報発信に加えて、ユーザ・販売店、SI事業者の顔が見える“場”の整備
・各種イベントの開催・商談会の開催による紹介機会の拡大◼ 継続的な情報発信、事業支援施策の拡充

・情報発信/イベントの継続による、潜在ユーザ企業への訴求
・ジャンル別の特集掲載、複数ベンチャー企業共同イベントの開催
16

緑 青

実現すべきエコシステム（イメージ）⚫ 今後、関連機関のアセットや既存プログラムを活用し、セキュリティ企業がステージに応じて必要とする支援を、経営/技術/事業の３面から実施する。
⚫ また、IPAによる顧客接点・業界チャネルを活用し、販路開拓・事業化支援を実施する。
中小企業・業界団体

セキュリティ製品ベンダ・販社
・ベンチャー企業

ビジネスマッチング

業界人脈・事業支援

外部チャネル・販路開拓支援（ビジネス・マッチング）
・各業界/ユーザ企業とのチャネル
・技術評価・表彰制度の運営

・セキュリティ専門コミュニティ活動（会員交流/人材育成/スキルアップ）
・イベント・セミナー開催
・インターンシップ制度

経営支援プログラム・情報・場
・補助金/資金調達支援
・ベンチャー連携支援 (J-GoodTech：データバンク)
・ベンチャー活動環境(T-Biz:インキュベーション施設）
17

緑 青

今後の方向性⚫ これまで、日本製のセキュリティ製品を対象とし、セキュリティ機能の有効性を確認する手順を整備し、ユーザ企業において試行検証する際の手引き整備した。
⚫ 今後は、市場が求める検証レベルを考慮した機能の有効性検証を実施し、その結果に基づき表彰を行うためのスキームを構築していく予定。
⚫ また、当該表彰結果も含めた有効なセキュリティ製品の公開の在り方や、更なるマッチングに向けたニーズ・市
場調査に取り組んでいくことを検討していく。
凡例

必要なセキュリティ機能を具備し、日本製・国内運用であること

実施中・済みニーズ・市場調査

更なる取組
として検討

日本政府、行政

実施予定

検証
手段

重要インフラ企業

Ｓ
Ｃ
３
・
お
助
け
隊

対策
支援

選定/
活用

製品ベンダ Y
大規模なサプライチェーン
を有する業界青手引き

検証事業者 βセキュリティ
製品

試行検証

緑

手引き

公募
要領

有効性検証
表彰

認証
要件

検証者

企業
公開の在り方コラボレーション プラットフォーム
中小企業向け製品・サービス プラットフォーム

18

（２）各施策の現状及び今後の方向性
１．Proven in Japan（検証基盤）
－緑青検証
－赤検証
－開発段階検証（主に中小企業向け）
２．情報セキュリティサービス審査登録制度
３．サイバーセキュリティお助け隊
４．中小企業向けセキュリティ製品の検証
５．コラボレーション・プラットフォーム

19

赤攻撃型を含めたハイレベルな検証サービスの取組⚫ 検証サービスの信頼性向上及び検証事業の活性化のために、本編と3つの別冊によって構成される「機器のサイバーセキュリティ確保のためのセキュリティ検証の手引き」を策定・公開した。
⚫ 手引きでは、検証事業者・検証依頼者（機器メーカ）それぞれを対象として、脅威分析の手法、検証にあたって実施すべき事項、機器メーカが準備すべき事項等を詳細に記載した。
⚫ また、検証人材の育成に向け、検証人材に求められるスキル・知識や、検証人材のキャリアを構成・設計する上で考慮すべき観点を整理した。

出所）経済産業省「第６回産業サイバーセキュリティ研究会 事務局説明資料」 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/pdf/006_03_00.pdf

20赤2021年度の取組⚫ 検証のための投資を活性化させるためには、我が国におけるIoT機器等への検証事業の効果・信頼性を向上し、その信頼性を可視化することで、検証事業の活性化につなげることが必要である。
⚫ これを踏まえ、有識者検討会を設置し、我が国におけるIoT機器等に対する検証事業の効果・信頼性の向上
方法や、検証事業者の信頼性を可視化する仕組みについて議論。
⚫ 特に、検証事業者の信頼性を可視化する仕組みの構築に向け、①検証事業者に求められる信頼性要件、②信頼性可視化方法と信頼できる事業者の選定方法等に関する論点について、検討会で計3回議論。
2021年度の検討会で議論した5つの論点
１． 「信頼できる検証事業者」に求められる要件は何か。
また、各要件についてどの程度のレベルが、どの対象に対して求められるか。

２． 構築した仕組みは、どのような目的で、どの依頼者によって活用されるべきか。

３． 検証事業者の信頼性を誰が、どのように確認し、可視化するか。
４． 検証依頼者が、「信頼できる検証事業者」を選定するために必要な仕組みは何か。
５． 「信頼できる検証事業者」に対して、どのようなインセンティブが考えられるか。
出所）経済産業省「第６回産業サイバーセキュリティ研究会 事務局説明資料」 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/pdf/006_03_00.pdf

21

赤①検証事業者に求められる信頼性要件⚫

信頼できる検証事業者には、「検証事業の信頼性（＝技術力に関する信頼性）」、「情報管理に関する要件」及びそれらを高い品質で提供する「品質管理に関する要件」の3つの要件区分が求められる。

⚫

高品質な検証サービスの提供のためには、「品質管理に関する信頼性（情報管理に関する信頼性を含む）」の基盤の上で、「検証事業の信頼性（＝技術力に関する信頼性）」を確立し、「ヒト・モノ・カネ・情報」の好循環を回すことが必要となる。
検証事業者における信頼性の関係

高品質な検証サービスの提供

事業者
全体

質の高いサービス
提供による
収益獲得

チームとしての事業者全体のノウハウを
高品質サービスの活かした高品質提供
サービスの提供

検証者個人の技術力やコミュニケーションスキルに立脚した
高品質サービスの提供

経験や実績を活かした高品質
サービスの提供

ノウハウ（情報資源）

適したツールの活用による高品質サービスの提供

チームでの知識・スキルの相互補完
事業者全体でのノウハウ化・技術力向上

ヒト（検証人材）
モノ確立
コミュニケーションスキル

知識
経験・実績

執着心

検証のスキル

検証事業の信頼性（＝技術力に関する信頼性）

醸成

より良い
モノの購入

カネ

ツール・設備収益
検証環境

ヒトの育成・教育、外部コミュニティへの参加支援 等

教育の実施等
信頼性の改善品質管理に関する信頼性（情報管理に関する信頼性を含む）

出所）三菱総合研究所作成

品質管理の徹底社内情報セキュリティ基準の徹底

脆弱性情報管理の徹底

品質管理体制の構築

情報管理体制の構築

外注先・再委託先も含めた情報管理22

②信頼性可視化方法と信頼できる事業者の選定方法

赤⚫ 有識者検討会での論点を議論を踏まえ、IoT機器等に対して検証を行う検証事業者の信頼性可視化に当たって、 情報セキュリティサービス審査登録制度に対してIoT機器等に対する「機器検証サービス」を新たに追加できないか検討を行った。
※審査基準を満たす検証事業者は登録済み事業者リストによって公開される。
検証依頼者はそのリストを参照し、要件に見合う検証事業者を選定することができる。
IoT機器等に対する検証事業者の審査・登録スキーム(案)※ 本検討では、「IoT機器をはじめとするネットワークに常時接続する機器」をIoT機器等とし、このIoT機器等に対して検証を実施する検証事業者の信頼性を可視化することを目的とする。
具体的なIoT機器等として、ネットワーク機器、スマートロック、ドローン、スマート家電、ネットワーク接続するヘルスケア機器等が挙げられる。

23

（参考）機器検証サービスの審査時に提出を求める書類

赤⚫ 情報セキュリティサービス審査登録制度の脆弱性診断サービスの審査基準を参考に、機器検証サービスの審査時に提出を求める書類を整理した。

要件区分

(1)
技術要件

(2)
品質管理
要件

要件項目

各要件項目の審査に当たって提出が必要な関連資料

ア 専門性を有する者の在籍状況• 有資格者リスト（通し番号、氏名、保有資格名称、資格登録番号、有効期限、初登録年、証書の写し）• 研修修了者リスト（通し番号、氏名、研修機関名、研修名、研修終了年月日、証書の写し）

審査の申請及び登録の際に必要となる情報（審査の対象ではない）•

申請企業の情報・連絡先

イ サービス実施方
法の明確化• サービス内容が明示された資料の写し（HPの写し、サービス仕様
が確認できる契約・約款等の写し等）• 機器検証サービスにおける検証結果報告書サンプル•

機器検証サービスに関するURL、又はホームページの写し•審査機関に対する誓約書

ア. 品質管理者の割当状況• 品質管理者のリスト（通し番号、氏名、所属部署名、役職名、連絡先電話番号、連絡先メールアドレス）•

IPAに対する誓約書•

サービス概要•主たる顧客対象の分野・業種

イ. 品質管理マニュ
アルの整備• サービス品質の管理のためのマニュアルや規則等の表紙及び目次• 審査基準項目の記述箇所が確認できるもの（該当部分のコ
ピー等）•

過去に機器検証サービスにて検証を実施した実績のある機器

ウ. 品質の維持・向上に関する手続等の導入状況• 機器検証サービスに従事するものの教育・研修等の実施又は受講状況リスト（通し番号、氏名、教育・研修等の名称、実施機関名、種別、受講等の時間又はCPEポイント、開始時期、終了時期）

赤字は、「脆弱性診断サービス」の「情報セキュリティサービス基準」の要件分類に対して、新たに追加した要件分類、
青字は、同要件分類の内容を一部修正した要件を意味する。

24

赤（参考）検証事業者毎に検証実績のある機器の情報を掲載⚫ 検証依頼者である機器メーカーが自社の製品の検証に適した検証事業者を選定できるよう、情報セキュリティ
サービス基準適合サービスリストにおいて、登録された各検証事業者の主たる顧客対象の分野・業種や、過去に機器検証サービスにて検証を実施した実績のある機器について記載することを想定。
⚫ 登録済み事業者リストでは、各事業者において実績のある機器に関する情報を示す。
ただし、審査の実現性の観点より、実施件数割合等を併記せず、機器名称のみを示す。

⚫ また、過去の検証実績は審査対象ではなく、事業者の申告内容に基づき審査登録機関やIPAがリストで明記する形式とする。
情報セキュリティサービス基準適合サービスリストの記載イメージ

サービス
名称

サービス
毎の
URL

IoTセキュ
リティ
診断

https://www.exa
mple.c
om

事業者
名称

株式会
社XXセ
キュリ
ティ

事業者
所在地

サービス概要主たる顧客対象の分野・業種過去に機器検証サービスにて検証を実施した実績の
ある機器

東京都
千代田
区
Y-Y-Y

IoTセキュリティ診断では、IoTの機器のセキュリティ対策の妥
当性や脆弱性有無を確認することで、製品販売前の対策の計画や製品のロードマップ活用することが可能です。

機械・電機・精密機器、自動車・輸送機器、
医薬品・医療関
連・化粧品

スマートロック、ドローン、Webカメラ、ルーター、ハブ・ス
イッチ、医療機器、
カーナビゲーション
システム

対象と
する地
域

登録
年月
日

有効
期限

審査登録
機関名

日本全
国

2021/
10/19

2023/
1018

●●

機器メーカーが自社の製品の検証に適した検証事業者を選定できるよう、登録された検証事業者の主たる顧客対象の分野・業種や、
過去に機器検証サービスにて検証を実施した実績のある機器を明記

25

赤

今後の方向性① 機器検証サービスの運用開始に向けて⚫

2021年度に検討した審査基準に基づき、今後、情報セキュリティサービス基準に新たに「機器検証サービス」を追加するとともに、情報セキュリティサービス審査登録制度に基づき、検証事業者の登録及び情報セキュリティサービス基準適合サービスリス
トの公開を通じて、機器メーカーが検証を実施する際に信頼性のある検証事業者を確認できる仕組みを構築する。

⚫

2023年度より制度運用開始、2025年度には20社程度が登録することを想定。

⚫

あわせて、製品の信頼性を向上させていくための仕組み（製品ラベル等）も検討。

情報セキュリティサービス審査登録制度へ「機器検証サービス」を追加するプロセス（イメージ）

20

検討会を踏まえた
基準等の再修正検討会での提示に向けた整理検討会を踏まえた
基準等の修正検討会の開催 ※ 1

2022.4

検討会の開催

パブコメの実施

事業者への声掛け
審査・登録

10
パブコメを
踏まえた
最終改訂

社程度

社程度

事業者登録数増加に向けた取組実施
制度活用促進に向けた取組実施「機器検証サービス」の開始

2023.42025.4※1 「情報セキュリティサービス普及促進に関する検討会」のこと。情報セキュリティサービスを普及させるための方策及び基準の見直し等に関する検討を行うことを目的として設置。
※2 「デジタルフォレンジックサービス」の登録者数について、制度開始後一年以内に 16社が登録、制度開始後三年後には28社の登録がなされている。
今回の「機器検証サービス」は脆弱性診断サービスと比較して現状の市場が限定的であるため、登録数は少なくなるが、「脆弱性診断サービス」と同等の伸び率で登録社を増やすことが期待される。

26

赤（参考）製品に対するセキュリティラベリング制度⚫

諸外国においては、適切なセキュリティ対策が施された製品の導入を促進するための製品に対するセキュリティラベリング制度が検討されている。

⚫

近年では、適切なセキュリティ対策が施された製品の導入を促進するために、製品に対するセキュリティラベリング制度が検討されている。既にシンガポールやフィンランドで制度が開始しているほか、米国においても制度構築が検討されている。
機器のセキュリティ確保・向上を支援する海外政府機関による代表的な取組

主体

取組名称

概要

目的

時期

NIST

“NISTIR 8259”の策定

IoT機器のメーカーに推奨されるサイバーセキュリティに関連する活動を整理したガイドライン。

IoT機器メーカーが開発する製品の安全性を向上させるための推奨事項を示すこと。

2020年
5月29日

NIST

Cybersecurity
Labeling for Consumer
IoT Products

2021年5月の米国大統領令によって指示された、IoT製品の安全性を確認するためのラベリング制度。これまで、
NISTにより、ラベリング制度構築に向けた推奨事項の検討等がなされている。

一般消費者がIoT製品の安全性を判断できるよう、セキュアな製品に対してラベルを付与すること。

2022年
2月4日に推奨事項に関する文書が公開

ENISA

Cybersecurity
Certification (EUCC
Candidate Scheme)

ICT機器を対象とするCommon CriteriaとISO/IEC
18045に基づく欧州サイバーセキュリティ認証フレームワー
クにおける候補スキーム。

欧州のSOG-IS※4の下で運用されていた既存のCCスキームの後継として機能させること。

2021年
5月25日にV1.1.1が公開

DCMS※1“Code of Practice forConsumer IoT Security”の策定

消費者向けIoT機器及び関連サービスのセキュリティ確保のために機器メーカーが実施すべき13項目を行動規範としてまとめたもの。本規範に基づきEN 303 645が策定。

消費者向けIoT製品の開発、製造、販売に携わる利害関係者を支援すること。

2018年
10月14日DCMS“Product Security and
Telecommunications
Infrastructure”法案の提出

インターネットに接続するIoT機器に対して、機器導入時のデフォルトパスワードの禁止等を義務化する法案。遵守しない企業に対する罰金に関する条項も含まれている。

インターネットに接続されるIoT製品に対して、脆弱性の悪用によるサイバー攻撃を防ぐための最低限の対策を求めること。

2021年
11月24日
庶民院に提出CSA※2

Cybersecurity Labelling
Scheme (CLS)

セキュリティ要件を満足している消費者向けIoT製品（ネッ
トワーク接続する製品）に対してラベリングを行う制度。

消費者がより安全なIoT製品を購入・利用できるようにすること。

2020年
10月開始

TRAFI
COM※3

Finnish CybersecurityLabel

セキュリティ要件を満足している消費者向けIoT製品（ネッ
トワーク接続する製品）に対してラベリングを行う制度。

製品に対する脅威に対応し、安全な環境で消費者が製品を利用できるようにすること。

2019年
11月開始

出所）海外政府機関による取組に関する公開情報に基づき三菱総合研究所作成※1:英国デジタル・文化・メディア・スポーツ省※2:シンガポールサイバーセキュリティ庁※3:フィンランド運輸通信庁※4:欧州におけるCC加盟国の認証機関間の調整を行う組織

27赤（参考）シンガポールにおけるラベリング制度の事例⚫ シンガポールCSAは2020年10月より、サイバーセキュリティ要件を満足している消費者向けIoT製品に対する4段階のラベリング制度を運用している。
⚫ ラベルは4段階に分かれ、レベル1・2は開発者の自己宣言で取得可能、レベル3・4では第三者機関による検証が必要となる。

⚫ ラベルを取得するためにはETSI EN 303 645の要件に加え、レベル2以降はIMDA※1が策定したガイドラインに基づくライフサイクル要件に満足する必要がある。そして、レベル3では第三者機関によるファームウェア及びモバイルアプリに対するバイナリ解析、レベル4では機器に対するペネトレーションテスト
にクリアする必要がある。
⚫ ラベルの期間は3年であり、申請料はレベル1でS$53、レベル2でS$418、レベル3でS$1,080、レベル4でS$3,810である。
（すべてシンガポールドル。また、レベル3・4は第三者機関に対する検証費用が別途必要となる。）⚫ 2022年2月時点（制度開始後16ヶ月）で55製品がラベルを取得している。また、2021年10月にはフィンランドTRAFICOMのFinnish
Cybersecurity Labelとの相互運用を発表した。
⚫ なお、CSAはIoT製品に対するラベル取得の必須化を検討している。
企画・設計段階、製造段階でのセキュリティ方針・基準の有無
レベル4
ペネトレーションテスト
レベル3
バイナリ解析
レベル2
ライフサイクル要求
レベル1
ベースライン要求
サイバーセキュリティ
レベル

脆弱性対策の実施状況

第三者機関
による
検証が必要

適合性チェックリスト等の提出、申請料の支払
IoT製品
メーカー

申請内容の
確認・ラベル付与

サイバーセキュリティ
認証センター※1
（CCC）

検証の監督
結果のレビュー

自己宣言
により
取得可能

製品の提出、
検証費用の支払

承認

報告書の
提出

第三者機関※2(CCTL)※1: シンガポール情報通信メディア開発庁（点線矢印はレベル3・4のみ）※2: CSAの一組織である本制度のスキームオーナー。
※3: Common Criteria Test Laboratory の略で、ISO/IEC 17025 の認定を受けている必要がある。
出所）CSA Cybersecurity Labelling Scheme (CLS) に関する公開情報に基づき三菱総合研究所作成

28

（参考）2022/3/7 赤検証有識者検討会で頂いたご意見赤⚫ 2021年度 第3回赤検証有識者検討会で頂いたご意見のなかで、人材確保や検証ラ
ボ、検証センターに関するものは以下の通り。
主なご意見⚫ 人材育成を行ううえでは、知識（座学や動画で学べる教材）と環境（アクセスすれば誰でも自由に攻撃ができるラ
ボやアップデート系やハードコーディング回避などの基本的な実装方法を経験できる場）と経験（攻撃手法と対策方法）が必要である。知識の形成を促進するほか、攻撃手法やベストプラクティスのような基本的な事項を学べる
環境で経験をつけていただくことが重要である。
⚫ 人材育成において、スキルを表すことは重要だと考えている。JNSAのSecBoKでは、脆弱性診断士に求められるスキ
ルが可視化されている。IoT機器の検証については未対応であるが、今後連携できれば良いと考えている。
⚫ 人材が不足している中で、信頼できる仲間と脆弱性情報といった機微な情報の交換ができるコミュニティ形成を推進していく必要がある。検証、分析、解析等ができる環境も含めた場づくりが求められる。
⚫ IPAのICSCoEの中核人材育成プログラムのような若い世代の人材育成を高等教育でも実施していく必要があると感じた。IoTの分野に関する専門教育はまだ存在しない。
⚫ IoTの検証センターは7, 8年前から沖縄県で既に運用されている。検証センターは国内に複数個所あっても良い。
日本国内でも、組み込み系の特定の分野に強い企業が集まっている地域が点在している。業界や業種ごとに検証センターがあった方が良いと感じた。
⚫ 中小の機器メーカーが開発を行う際に必要となる検査ツール等を用意したビジネス拠点の設置には、ビルのワンフロア程度のスペースを用意したり、運営を行う事務局を設置したりする必要がある。
⚫ 海外の検証会社は、輸出の関係で港湾都市に集中している。検証センターは港や製造の拠点に近いところに設置するのが良いと思われる。安全保障の観点から、日本で検査した製品に、信用性といった付加価値がつくことが考
えられる。
29

赤

今後の方向性② 機器検証に関するモデル契約書の作成⚫ 検証事業の発展を見込み、検証事業者と検証依頼者間の適切な契約を担保するために、脆弱性診断や機器検証に関する内容を含んだ同様の文書を作成することを検討する。
※現状では脆弱性診断や機器検証に関する契約内容は含まれていない

信頼性向上・取引可視化のための「モデル取引・契約書」の全体像《フェーズ》

別紙１(各フェーズにおける論点のマッピング）
企画・要件定義段階

システム化
の方向性

システム化
計 画

開発段階

要件定義

システム方式設計（システム内部設計）

契約

契約

ＲＦＰ①
ＲＦＰ②
見積①（試算） 見積②（概算）

ＲＦＩ

ソフトウェア設計
プログラミング
ソフトウェアテスト

システム
結合

システム
テスト

導入・
受入支援

保守段階

・ プロセス・用語の定義の明確化

運用
テスト

運用

保守

《契約プロセス・手続き規定》
・ 多段階契約と再見積りの考え方を採用
・ ＬＯＩ（仮発注合意書）モデルを策定
・ マルチベンダ方式、分割発注時の考慮
事項の整理（外部設計） （内部設計）《契約プロセス》（例）
契約システム設計（システム外部設計）

運用段階

契約

契約

契約

見積③（確定）《モデル契約書》
企画支援サービス業務

要件定義作成支援業務○ 基本契約書【準委任型】

外部設計
書作成
業務

ソフトウェア開発業務（ソフトウェア開発委託基本モデル契約書）【準委任型】○ 各フェーズ共通事項等【準委任型】【請負型】【請 負 型】

ソフトウェア
運用準備・移行支援業務【準委任型】
システムテストは【準委任】【請負型】

・ 変更管理手続の詳細化（第37条）
・ 検収基準の明確化（第26・27・28条）
・ 中間資料の承認の効果を明確化（第35条）
・ 第三者ソフトに関するベンダの情報提供責任（第48条第1項）
・ 第三者ソフトの瑕疵等に関する責任分担（第48条第4項）
・ ソフトウェア開発期間中の第三者ソフトの保守契約
をユーザが締結することとする（第48条第3項）

運用
業務

保守
業務

（情報システム保守運用
委託基本モデル契約書）【準委任型】【請負型】
・障害発生時の対応手順等の規定 （第10条）
・ＳＬＡ条項（仕様書において規定）・ 個別契約書（サンプル）
・ 業務仕様書（サンプル）○ 個別契約書《責任関係》・ ユーザ・ベンダの役割分担の明確化（第8条関係〈作業責任分担〉）
・プロジェクトマネジメントの責任（第13条）
・未決事項の確定手続・時期の明確化（第36条）・ セキュリティ対策の責任の明確化（第50条）《主要論点整理》・ フェーズの分類と契約類型
・ 再委託におけるユーザ承諾の要否（第7条）
・ 損害賠償責任（第53条）
・ 著作権の帰属（第45・46条）
・ 第三者ソフトウェアに関わる瑕疵（第48条）《その他》
・ 工程分割発注分割発注を前提とした規定（例）要件定義書の精査・修正、変更の協議
不調に伴う契約終了（アプリケーション保守、
オンサイトアウトソーシング）

・業務終了報告書(第23条)

出 所 ） I P A 、 「 情 報 シ《関連ドキュメントモデル》
ステム・モデル取引・契約書」
・業務終了確認書(第23条)
・業務終了報告・ ＲＦＩ
https://www.ipa.go.jp/ikc/repo
r t s / 2 0 2 0 ・外部設計書検収依頼書
1222.html
・ ＲＦＰ、セキュリティ要求仕様書 書(第18条)（兼納品書）【請負型】の場合・検収依頼書（兼納品書）（第26条）
・検査合格書（第28条）
・業務終了報告書（第32条）
・業務終了確認書（第32条）

・ ドキュメントの定義の明確化（参考：第2条）
・ プロジェクト推進体制図（第9・10条関連）・ 作成者（ユーザ（内）、ベンダ）役割分担の30

赤（参考）モデル契約書⚫ ユーザとベンダの各工程での責務・役割分担等が曖昧である事に起因するシステムトラブルが多発しており、契約の段階から開発・導入手順等の共通理解が重要となっている。

⚫ セキュリティ仕様書の作成プロセスを定義し、想定される脅威と対策、契約書サンプルのチェック項目毎に合意形成をとる為のテンプレートを整備した。

契約書サンプル
第ｎ条 ・・・・・・
別紙 セキュリティ要求

仕様書サンプル契約条項の解説（ガイドラインを使用した取引等のプロセス）

ユーザ・ベンダにメリットが偏らない契約書作成

実際の契約書本編 2020年12月改訂

モデル契約書二版（重要ｲﾝﾌﾗ/企業基幹系向け）

別紙

モデル契約第二版追補版（中小企業向け）

引用・
更新

セキュリティ仕様策定プロセス
ユーザ/ﾍﾞﾝﾀﾞ企業の役割分担、プロセス
公的機関・業界団体､企業等が提供する
セキュリティ基準等
公開情報

契約書
民法改正
整理反映版
第ｎ条
・・・・・・

ユーザ・ベンダー間で実施すべき 決定・
検討プロセスを解説
合意
情報システム開発契約のセキュリティ仕様作成のためのガイドライン
脅威分析とその対策としてのセキュリティ設定ガイド 参照

セキュリティ要求仕様書

○

実装する

発注者

実装しない

×

受注者

リスク評価

脅威A

脅威Ｂ ・・・・

・影響a
・対策a

・影響ｂ
・対策ｂ
31

赤

今後の方向性のまとめ⚫

これまで、主に検証事業者側で必要となる事項（機器検証の実施手順、検証事業者の信頼性可視化制度）の整備に取り組んできた。

⚫

また、信頼性可視化制度の情報セキュリティ審査登録制度への反映等、検証事業者の信頼性向上に向けた取組を引き続き実施していく。

⚫

さらに、更なる検証サービスの普及に向けて、検証サービスを利用する側や検証された機器を使用する側といった検証サービスの需要を喚起する取組（ユーザの調達ルールや検証済製品ラベルの検討、等）の検討を行っていく。

脆弱性が無いこと

ニーズ・市場調査

製品ベンダ X

日本政府、行政機器審査要件

重要インフラ企業
特定分野における
検証基準

大規模なサプライチェーンを
有する業界

モ
デ
ル
契
約
書

信頼性が高いこと
検証
手引き

IT機器/
IoT・OT製品
検証済製品ラベル

検証 人材
手引き 手引き 検証事業者 α

赤

攻撃型検証
モデル契約書

検証者
人材育成

信
頼
性
可
視
化
制
度

検証ラボ
検証センター

凡例
実施中・済み
短期取組
更なる取組
として検討

企業

情報セキュリティ審査登録制度

32

（２）各施策の現状及び今後の方向性
１．Proven in Japan（検証基盤）
－緑青検証
－赤検証
－開発段階検証（主に中小企業向け）
２．情報セキュリティサービス審査登録制度
３．サイバーセキュリティお助け隊
４．中小企業向けセキュリティ製品の検証
５．コラボレーション・プラットフォーム

33

IoT機器に対するセキュリティ対策の必要性

開⚫ DXの進展により、インターネットとIoT機器が繋がり始めたところであるものの、セキュリティ事件/事故による
IoT機器やOTシステムの一時停止を約25％の企業が経験しているといった調査結果からも、こうした機器
やシステムでセキュリティ対策を多くの者が導入しているとは言い難い状況。
⚫ 機器に対する十分なセキュリティ対策が実施されず、脆弱性が残存した場合、悪意ある攻撃者によって不正操作や誤作動が実行され、機器の利用者へ影響を及ぼす恐れがある。

⚫ また、開発企業は脆弱性の対応に追われることとなる。過去には、脆弱性によりリコールや利用者による訴訟に発展した事例もあり、最悪の場合、開発企業の経営に対して影響を与える可能性もある。
⚫ 今後さらなる脅威の増加・高度化が想定されるところ、機器に対するセキュリティ対策の具備が不可欠。
2021年 国内企業のIoT/OTセキュリティ対策実態調査結果

セキュリティ対策の不備により開発企業に影響を及ぼした事例
自動車における脆弱性の検出による140万台のリコール
販売中の自動車に対して外部から不正アクセス可能な脆弱性が公開された。顧客からの問い合わせが殺到し、開発企業は140万台のリコールを実施した。リコールの対応には1,000万ドル以上の費用を要した。
心臓ペースメーカーにおける脆弱性の検出による46.5万台のリコール
販売中の心臓ペースメーカーに対して心拍リズムを外部から制御可能なな脆弱性が公開された。開発企業は市場に流通している46.5万台を対象にリコールを実施した。
脆弱な家庭用ネットワークカメラのメーカに対する訴訟
家庭用ネットワークカメラにおいて、認証不備に関する脆弱性が内在し、脆弱性を悪用した不正アクセスが行われた。不正アクセスの被害を受けた複数の利用者により、開発企業に対して500万ドルを求める集団訴訟が起こされた。

IDC 「2021年 国内企業のIoT/OTセキュリティ対策実態調査」 https://www.idc.com/getdoc.jsp?containerId=prJPJ47631521※ 調査実施：2021年2月、調査対象：国内企業443社

34

IoT機器に対するセキュリティの取組状況・本事業の目的

開⚫ IoT機器に対するセキュリティの取組においては、「セキュリティ・バイ・デザイン」の考えに基づき、設計・開発段階でセキュリティ対策が適切に導入されていることが必要。
⚫ 他方で、開発段階でセキュリティ対策を行っている企業は現状限定的であり、十分な脆弱性対策が実施されていないことにより、1,000万円以上の損害に繋がった企業も存在する。
⚫ 本事業は、セキュリティ・バイ・デザインの考えに立脚し、開発段階からの脆弱性検証を試験的に実施することで効果的な検証手法を整理するとともに、その効果を可視化し、中小企業による発売前のIoT機器の脆弱性検証を促進することを目的とする。
IoT機器に対するセキュリティの取組状況（開発段階の脆弱性対策の考慮内容）• 4割以上の企業が機器出荷前に検証を実施していない。
• 6割程度の企業が開発段階のセキュリティ対策を行っていない。

（脆弱性による金銭的な損害）• 10万～100万円未満の損害が最も多いが、1,000万～1億円未満の損害が発生した企業も存在する。

IPA 「IoT製品・サービス開発者におけるセキュリティ対策の現状と意識に関する報告書」 https://www.ipa.go.jp/files/000065094.pdf※調査実施：2017年11月、調査対象：国内企業205社

35

開

本事業で対象とするIoT機器の考え方（類型化）⚫ 中小企業が開発するIoT機器を、産業向けと一般消費者向けの大きく2つの観点から分類。

⚫ いずれかに該当するIoT機器に対して、当該機器を開発する中小企業にご協力をいただき、脆弱性検証を実施する。
中小企業が開発するIoT機器

一般消費者向け

産業向け

制御機器・
コンピューター

通信機器・
伝送用機器

計測機器

端末

通信機器

スマート家電等

製造用

・工場用PC／ワー
クステーション
・工場用タブレット
等

・工場用ルーター
・工場用ハブスイッチ
・工場用IoTゲート
ウェイ 等

・工場用センサー
・工場用監視カメラ
等

医療用

・医療機関向けPC
・医療機関向けタブ
レット 等

・医療機関向け
無線LANルーター
等

・通信機能付き血糖測定装置
・医療用ウェアラブ
ル端末 等

・PC
・スマートフォン・タブレット・ウェアラブル端末
等

・ルーター
・ハブ・スイッチ・ネットワークアプラ
イアンス
・ファイアウォール・UTM
・ゲートウェイ
等

・鉄道車両用コンピューター 等・鉄道車両用ハブス
イッチ
・鉄道車両用無線
LANルーター 等

・鉄道車両用センサー・架線状態監視装
置 等

・スマートロック・ロボット掃除機
・スマートTV・カーナビゲーション・ウェブカメラ・サーマルカメラ
・スマート照明
・プリンター
等

鉄道
事業用
︙

36

開

取組まとめ

⚫ 開発段階の製品検証により得られた知見を検証事業者や製品ベンダが参照するための手引きやガイドを整備していく。

⚫ また、製品ベンダのインセンティブとして、検証費用の補助や、検証済製品ラベルの整備等の仕組みを構築することの検討を行っていく。
脆弱性が無いこと日本政府、行政

製品ベンダ X
IT機器/
IoT・OT製品

信頼性が高いことガイド

手引き 検証事業者 α

開発

開発段階検証検証者

重要インフラ企業

大規模なサプライチェーンを有する業界、企業
凡例
実施中・済み一般消費者

補助金の対象

事業者調査

検証済製品ラベル

活性化の政策

短期取組

情報セキュリティ審査登録制度

更なる取組
として検討

情報セキュリティ審査登録制度
37

（２）各施策の現状及び今後の方向性
１．Proven in Japan（検証基盤）
－緑青検証
－赤検証
－開発段階検証（主に中小企業向け）
２．情報セキュリティサービス審査登録制度
３．サイバーセキュリティお助け隊
４．中小企業向けセキュリティ製品の検証
５．コラボレーション・プラットフォーム

38

情報セキュリティサービス審査登録制度の概要⚫ 一定の技術・品質管理要件を定めた「情報セキュリティサービス基準」を策定し、基準に適合す
るサービスのリストを2018年6月よりIPAが公開。
○情報セキュリティサービス基準適合
サービスリスト（IPA）＜情報セキュリティサービスにおける課題＞
どの事業者のサービスを選べば良いか分からない

信頼できるサービス
事業者にお願いしたい

審査登録機関による審査で基準を満たすと認められたサービスをリストとして公開

選定時に
活用

ユーザ
（企業、政府機関等）

基準を満たした247サービスが掲載

我が社のサービスをもっと見つけて欲しい

審査を受けて •リストに掲載 •••情報セキュリティ監査（67サービス）
脆弱性診断（107サービス）
デジタルフォレンジック（28サービス）
セキュリティ監視・運用（45サービス）

2021年12月現在○情報セキュリティサービス基準（METI）
我が社の技術力、サービス
品質をアピールしたい

ベンダー
サービス
提供事業者

技術
品質

上記４サービスに関して
技術要件・品質管理要件を定めた基準

本制度を通じて目指す社会
専門的知識を持たないユーザでも、自社に最適かつ品質を備えたサービスを選択できる

技術と品質を備えた
情報セキュリティサービスの普及・発展

制度の普及・浸透（参考）登録サービス事業者の所在地の内訳
 情報セキュリティ監査（67サービス） 東京50、神奈川8、埼玉2、兵庫2、千葉1、新潟1、京都1、大阪1、広島1
 脆弱性診断（107サービス）
東京84、神奈川7、大阪3、兵庫3、新潟2、福岡2、宮城1、茨城1、千葉1、富山1、徳島1、沖縄1
 デジタルフォレンジック（28サービス） 東京23、神奈川3、兵庫1、熊本1
 セキュリティ監視・運用（45サービス） 東京36、神奈川5、大阪2、兵庫1、福岡1

39

「情報セキュリティサービス基準」の改訂⚫ 関係団体等からの基準見直し要望を踏まえ、2018年6月「情報セキュリティサービス基準」「情報セキュリティサービス審査登録機関基準」の初版公表以来、初めての基準改訂を実施。
＜改訂方針＞⚫ 主に２点を実施する目的で改訂を実施。
➢ 基準中には、頻繁な改定を避けるためツール名などを極力入れない。
➢ 審査において、抽象的な定義のみでは判断できないため、具体的な定義とする。

⚫ 現在「附則」になっているもののうち、見直し需要の高い以下の各項を基準から切り離す。
① 資格要件② 専門家コミュニティ③ 研修受講実績④ 参照する基準⑤ 継続教育⚫ 切り離した①～⑤は、「情報セキュリティサービスにおける技術及び品質の確保に資する取組の例示」の名称にて、IPAの基準適合サービスリストのページに表示し、別途設置する有識者検討会で保守する。

2022年１月31日改訂版公表、2022年４月１日施行
40

「情報セキュリティサービス基準」 サービス区分毎の主な改訂内容⚫ 関連団体からの意見、パブリックコメント等を踏まえ、以下の見直しを実施。
⚫ その他、資格を「専門資格」と「汎用資格」に分けて表示。
＜主な改訂内容＞
サービス区分

改訂対象

セキュリティ監査

（なし）

脆弱性診断

デジタル
フォレンジック

セキュリティ
監視・運用

内容

技術要件

⚫ 「専門性を有する者の在籍状況」の要件のうち、資格の例示に「OSCP」を追加⚫ 「サービス提供に用いる基準」の要件のうち、Webアプリケーション及びプラットフォー
ムの脆弱性診断に用いるツールの例示の見直し

技術要件⚫ 「専門性を有する者の在籍状況」の要件のうち、資格の例示に「デジタル・フォレン
ジック資格（CDFP-B、CDFP-P、CDFP-M）」を追加⚫ 「専門性を有する者の在籍状況」の要件のうち、研修の例示に特定非営利活動
法人デジタル・フォレンジック研究会が実施する「IDF講習会」の受講、資格(CDFP)維持に関わる継続的教育の受講を追加

技術要件⚫ 「専門性を有する者の在籍状況」の要件のうち、資格の例示に「CND」を追加⚫ 「セキュリティ監視・運用サービスの提供において準拠する右に例示する内容及びその明示方法」の例示に、ISOG-J発行の『マネージドセキュリティサービス
（MSS）選定ガイドライン（MSS選定ガイドライン）Ver.2.0』P22の記載内容を反映（注）汎用資格：情報セキュリティ分野の幅広い知識を有することを証する資格の例示
専用資格：当該サービスの提供に関する専門的な知識を有することを証する資格の例示

41

「情報セキュリティサービスに関する審査登録機関基準」の改訂＜主な改訂内容＞
下記青文字の追加
第２ 用語及び定義（４）情報セキュリティサービスにおける技術及び品質の確保に資する取組の例示
経済産業省が定めた情報セキュリティサービスにおける技術及び品質の確保に資する取組の例示をいう。

第６ 審査手続
１ 審査の基準
審査登録機関は，経済産業省が定める最新の「情報セキュリティサービス基準」に基づいて審査・登録を行わなければならない。
４ 審査(1) 審査登録機関は，規則において，情報セキュリティサービス基準並びに審査を行う年度の４月１日時点で有効である情報セキュリティサービスにおける技術及び品質の確保に資する取組の例示に基づき申請者が必要となる資格要件等について，判断の指針となる内容を定めなければならない。
13 苦情及び異議申立て(5) 審査登録機関は，利害抵触がないことを確実にするために，申請日の所属する年度の４月１日より過去
２年以内に申請者にコンサルティングを提供した要員又は申請者に雇用された要員を，この申請者に対する苦情又は異議申立ての解決のレビュー又は承認に従事させてはならない。

2022年１月31日改訂版公表、2022年４月１日施行
42今後の取組1

2

取組実施予定事項論点

サービス追加、制度普及方策（マッチング等）の検討

前回のWG3で示されたサービスカテゴリの拡大を踏まえ、パ
ブコメで意見があった「インシデントレスポンスサービス」、「ペネトレーションテストサービス」、「IoT脆弱性診断サービス」、赤検証事業で示された「機器検証サービス」などは将来的に登録ニーズが高まると見込まれるが、審査対象にできるようにするためにあらかじめどのような点を明らかにする必要があるか検討する。

登録可能とするために明らかにすべき項目➢ サービスの定義（スコープ）➢ 技術要件（要員に求めるスキ
ルや経験、仕様として明らかにすべきこと）➢ 品質管理要件（品質管理マ
ニュアルに記載すべきこと）

また、悪質なサービスを排除する目的の本制度を補完する仕組みの必要要否、実行方法を検討する。

サービス基準の改訂要否、ユーザー評価等の導入など

以下の２点について見直しを実施する。
① 情報セキュリティサービス基準適合サービスリストに「再委託によるサービス提供」をしている旨を表示する欄を設ける。

実施時期の目標をどうするか（以下の各点を踏まえる必要がある）➢ IPA及び審査登録機関における事務対応➢ 技術的な仕様変更等の対応に要する期間➢ 登録事業者への告知

情報セキュリティサービス
基準適合サービスリストの様式等改訂② IPA及び審査登録機関における情報セキュリティサービス基
準適合サービスリストの掲載ページに以下の注釈を表示する。
「本制度はサービス提供事業者の技術的能力と品質管理体
制の２つの観点のみについて一定の要件を満たしていることを示すものであり、それ以外の観点（サービスの継続性等）については別の方法で評価を行う必要がある。」
3

例示の更新要否の検討⚫ 見直しの頻度：年１回更新の必要性を判断（更新は不要、という判断でもよい）⚫ 見直しを行う例：➢新たなガイドラインや資格制度が整備された➢サービスで用いられるデファクト標準ツールが変化した➢オープンソースのツールが更新されなくなったー

43

（２）各施策の現状及び今後の方向性
１．Proven in Japan（検証基盤）
－緑青検証
－赤検証
－開発段階検証（主に中小企業向け）
２．情報セキュリティサービス審査登録制度
３．サイバーセキュリティお助け隊
４．中小企業向けセキュリティ製品の検証
５．コラボレーション・プラットフォーム

44

サイバーセキュリティお助け隊サービス⚫

2019年度・2020年度実証事業で得られた知見に基づき、実証参加事業者がサービスを開発。

⚫

サービス普及に向け、2021年度よりサービスブランドを設立。2022年３月時点で12サービスが登録。サービス審査登録制度の運営とともに、中小企業の意識啓発・サプライチェーンによる普及などの施策と一体となった普及施策の展開。

中小企業のサイバーセキュリティ対策に不可欠な各種サービス

サイバーセキュリティお助け隊サービスウェブページ（2021/11/10公開）

https://www.ipa.go.jp/security/otasuketai-pr/

お助け隊サービス審査登録制度：
一定の基準を満たすサービスにお助け隊マークの商標利用権を付与
EDR・UTMによる
異常監視

緊急時の対応支援
・駆け付けサービス

お助け隊サービスA
相談窓口

簡易サイバー保険

お助け隊サービスB

サービス
提供

中小企業

自社の
信頼性を
アピール

取引先
（大企業等）

お助け隊サービスC
簡単な導入・運用

お助け隊サービス利用の推奨等の中小企業の取組支援
SC3(サプライチェーン・サイバーセキュ
リティ・コンソーシアム)

中小企業でも導入・維持できる価格でワンパッケージで提供→SC3（業種別業界団体が参加）で利用推奨を行うことで、より多くの中小企
業がお助け隊サービスを活用し、万が一の際に早急に正しい対処が行える状態を
目指す。

45

（参考）中小企業向け製品・サービスのプラットフォームとの連携

前回WG3資料の再掲⚫ 本基盤の活用により、お助け隊サービス事業者や中小企業が更なるセキュリティ強化のために適切な製品・サービスを選定できるようにする。
⚫ SC3の中小企業対策強化WGでの議論を期待。
サプライチェーン・サイバーセキュリティ・コンソーシアム（SC3）
中小企業対策強化ＷＧ• 基準確定• ブランド管理

IPA

お助け隊サービス審査機関
審査機関の確認情報共有

お助け隊サービス利用の推奨等の中小企業の取組支援

審査基準に基づきサービスを審査

お助け隊サービスA
お助け隊サービスB
お助け隊サービスC

サービス提供

中小企業

自社の信頼性をアピール

取引先（大企業等）• 製品選定・活用• フィードバック

中小企業向けの製品・サービス
ベンダー

検証・評価
申請・登録

掲載・公開

活用

登録

中小企業向け製品・サービス
プラットフォーム

事後評価
評価情報の
追加登録

依頼

評価会議
検証・評価
結果

46

【参考】サイバーセキュリティお助け隊サービス 登録サービスリスト⚫ 全国各地域の中小企業にとって選択・利用可能な「サイバーセキュリティお助け隊サービス」登録サービスリスト（第１回審査：5件、第２回審査：４件、第３回審査：３件）【登録サービスリスト】

サービス名

事業者名

1 商工会議所サイバーセキュリティお助け隊サービス 大阪商工会議所

対象地域
近畿（2府5県）全域、近畿に本社を置く中京圏都市部・福岡県北部の支社・工場、首都圏、長野県 等

2 防検サイバー

ＭＳ＆ＡＤインターリスク総研株式会社 全国

3 PCセキュリティみまもりパック

株式会社ＰＦＵ

全国

4 EDR運用監視サービス 「ミハルとマモル」

株式会社デジタルハーツ

全国

5 SOMPO SHERIFF（標準プラン）

ＳＯＭＰＯリスクマネジメント株式会社

全国

６ ランサムガード

株式会社アイティフォー

関東地方、中部地方、関西地方、九州地方、沖縄県

７ オフィスSOCおうちSOC

富士ソフト株式会社

東北地方（岩手）を中心 ※全国展開を計画中

８ セキュリティ見守りサービス「＆セキュリティ＋」

株式会社BCC

全国

９ CBM ネットワーク監視サービス

中部事務機株式会社

岐阜県（飛騨地方除く）・愛知県（三河地方除く）

10 中部電力ミライズ サイバー対策支援サービス

中部電力ミライズ株式会社

愛知県・岐阜県・三重県・長野県・静岡県（富士川以西）11 ＣＳＰサイバーガードセントラル警備保障株式会社

東京・神奈川・千葉・埼玉 ※順次全国に拡大予定

12 PCお助けパック PC定期侵害調査プラン

沖電グローバルシステムズ株式会社

沖縄県を中心 ※全国展開を計画中

47

【参考】 「サイバーセキュリティお助け隊サービス基準」の概要⚫

【コンセプト】中小企業に対するサイバー攻撃への対処として不可欠なサービスを効果的かつ安価に、確実に提供する。

⚫

第1回審査(2021年3月)において出た論点を踏まえ、第2回中小企業対策強化WGにおいて、基準改定や基準解釈の目安となるガイドの作成等の方針を議論。2021年７月に「v1.1版」として公開した基準の概要は以下のとおり。
主な要件

概要

相談窓口

お助け隊サービスの導入・運用に関するユーザーからの各種相談を受け付ける窓口を一元的に設置／案内

異常の監視の仕組み

次のいずれかを含む異常監視サービスを提供すること
・ユーザーのネットワークを24時間見守り、攻撃を検知・通知する仕組み（UTM等のツールと異常監視サービスから構成）（ネットワーク一括監視型の場合）
・ユーザーの端末（PCやサーバ）を24時間見守り、攻撃を検知・通知する仕組み（EDR等のツールと異常監視サービスから構成）（端末監視型の場合）

緊急時の対応支援

ユーザーと合意したサービス規約等に基づき、ユーザーから要請された場合、ユーザーの指定する場所に技術者を派遣することにより、緊急時の対応支援を行うこと（リモートによる対応支援が可能な場合には、リモートによる対応支援も可とする。）

中小企業でも導入・運用できる簡単さ

IT・セキュリティの専門知識のないユーザーでも導入・運用できるような工夫が凝らされていること

簡易サイバー保険

インシデント対応時に突発的に発生する各種コストを補償するサイバー保険が付帯されていること
なお、当該保険は初動対応（駆付け支援等）の費用を補償するものであること

上記機能のワンパッケージ提供

原則として、これら機能をユーザーが個別に契約することなく一元的に契約可能であること（例外的に個別契約とする場合にも、ユーザーにおいて手続上の煩雑さを伴わないよう工夫が凝らされていること）

中小企業でも導入・維持できる価格等

・ネットワーク一括監視型の場合：月額１万円以下（税抜き）
・端末監視型の場合：端末１台あたり月額2,000円以下（税抜き）
これらの仕組みを合わせて提供する場合には、この和（月額１万円に端末１台あたり月額2,000円を加えた価格（税抜き））に相当する価格を超えない価格であること。端末1台から契約可能であること。
・最低契約年数は２年以内
・初期費用、契約年数等の契約にかかる条件をサービス規約等に記載するとともに、口頭又は書面によりユーザに分かりやすく説明すること

中小企業向けセキュリティ事業の実績

お助け隊実証事業に参加していたこと又は類似のサービスを中小企業向けに提供・運用した実績があること

情報共有

お助け隊サービス事業者間の情報共有（少なくともアラートの統計情報の提供）に応じること

事業継続性要員の確保、品質管理等の社内プロセス整備、企業としての安定した財政基盤、経理処理能力等

更新

２年毎に更新審査を受けること48

（２）各施策の現状及び今後の方向性
１．Proven in Japan（検証基盤）
－緑青検証
－赤検証
－開発段階検証（主に中小企業向け）
２．情報セキュリティサービス審査登録制度
３．サイバーセキュリティお助け隊
４．中小企業向けセキュリティ製品の検証
５．コラボレーション・プラットフォーム

49

中小企業向けセキュリティ製品・サービスの検証事業

前回WG3資料の再掲⚫ 市場に流通しているセキュリティ製品・サービスは、中小企業から見て過度に高機能、運用コストが高い等、中小企業のニーズにマッチしていないとの声がある。

⚫ 中小企業をターゲットとしたセキュリティ製品・サービスが、真に中小企業のニーズにマッチしているか検証することで、中小企業向け製品のビジネスの確立を促し、中小企業のセキュリティ
対策の底上げを図る。
＜イメージ＞

製品・サービスベンダ

中小企業向け製品・サービスのプラットフォーム

⚫ 中小企業にも導入できる製品・サービスだが、効果に関する理解が得られていないため使われていない。

中小企業のセキュリティ対策の底上げ
中小企業向け製品を持つベンダのビジネス拡大

中小企業
ユーザ
⚫ 製品・サービスが多すぎて、何を選べば良いか分からな
い。
⚫ 大企業向け製品は、コスト面等で導入の壁が高い。

検証対象製品・サービスが満たすべき要件• 大規模なシステム改修を伴わず実装が容易であること（導入のし易さ）• 社内に専門人材がいなくても使えること（運用のし易さ）• 導入時や運用時のコストが安価であること
502021年度の検証内容と今後の活動方針⚫
⚫

2020年度までの成果をもとにセキュリティ製品・サービス情報提要の仮サイトを立ち上げ、SECURITY ACTION登
録業者による検索機能をはじめとする有効性評価を行った。
中小企業及びベンダーへのヒアリングより、有識者委員会にて事業検証を行った結果、次年度は登録中小企業向けの情報を発信に注力することとなった。

これまでの成果

2021年度の実施事項
セキュリティ製品・サービスベンダ
申請・登録
シート

・製品の仕様・特徴

製品・サービス情報 ・導入/ランニング費用

ユーザ企業
SECURITY ACTION宣言事業者(71,123社)
利用・導入ユーザ企業の評価

セキュリティ情報提供プラットフォーム仮検証サイト（IPA）

ユーザ企業が必要とする製品情報項目・セキュリティ製品・サービス情報の掲載
・問合わせ先/ベンダ情報へのリンク
・製品リストアップ・検索(価格/カテゴリ)（2019年度検証成果）• セキュリティ製品・サービス
選定時の情報収集対象・
実態• 情報提供プラットフォームの潜在ニーズ
ユーザ企業ニーズ調査(2020年度ニーズ調査）

活動方針

市場調査（27社）

調査結果

中小企業ニーズ調査（2,288社）「かなり役に立つ」「役に立つ」といった利用者の声は50％程度あり、中立性のある機関
による検証・評価に基づく製品・サービス情報が掲載されていることがその理由と思われる。

独自サイトの構築・運用を見送り、ユーザ企業向けコミュニティ形成・情報発信に注力
製品情報・リストアップ機能は関連機関へ移管

中小企業向けの情報を発信
51

緑 青

実現すべきエコシステム（イメージ）

再 掲⚫ 今後、関連機関のアセットや既存プログラムを活用し、セキュリティ企業がステージに応じて必要とする支援を、経営/技術/事業の３面から実施する。
⚫ また、IPAによる顧客接点・業界チャネルを活用し、販路開拓・事業化支援を実施する。
中小企業・業界団体

セキュリティ製品ベンダ・販社
・ベンチャー企業

ビジネスマッチング

業界人脈・事業支援

外部チャネル・販路開拓支援（ビジネス・マッチング）
・各業界/ユーザ企業とのチャネル
・技術評価・表彰制度の運営

・セキュリティ専門コミュニティ活動（会員交流/人材育成/スキルアップ）
・イベント・セミナー開催
・インターンシップ制度

経営支援プログラム・情報・場
・補助金/資金調達支援
・ベンチャー連携支援 (J-GoodTech：データバンク)
・ベンチャー活動環境(T-Biz:インキュベーション施設）52

【参考】 2021年度ユーザ・ベンダ企業調査結果⚫ セキュリティ製品・サービス情報提供の潜在ニーズと、予算規模による検索機能の有効性を確認した。
⚫ 製品・サービス情報の掲載にあたって、情報の信頼性・公平性の担保といった、製品・サービス品質等に関わる検証・評価を前提とする前提条件があり、ユーザ企業の利用意向を満たす課題が確認された。

ユーザ企業
SECURITY ACTION宣言事業者(アンケート有効サンプル数：2,288社)

利用サイトの有用性選定時に重視した項目
・導入/運用のしやすさ
・導入/運用時の費用◼ 中小ユーザ企業による仮検証サイト評価

主要業種：製造業、建設業、卸・小売業、ｻｰﾋﾞｽ業、学術・技術ｻｰﾋﾞｽ業
利用目的：仮設サイトの内容確認(67％)、製品情報の収集/導入可否検討(22%)

掲載情報の有用性

操作性

・製品一覧/概要情報を評価
・予算/カテゴリ/注目トピック
・製品特徴/機能比較の拡充を要望 検索機能を評価
分からない

かなり役に立つ(7%)

(31%)

役に立つ

・中小企業向け12製品・サービス情報
・製品・サービス別ユーザ企業の評価情報
・注目キーワードの掲載/検索機能の実装

製品・
ｻｰﾋﾞｽ
情報

中小企業向け事業の現状・課題

セキュリティ製品・サービスベンダ(JNSA会員企業・検証協力ベンダ
企業からの有効回答数：27社)

役に立たない(21%)

・掲載製品の検証・評価による情報の信頼性が利用条件となる

分からない かなり役に立つ(8%)
(28%)

(41%)

セキュリティ情報提供
プラットフォーム
仮検証サイト（IPA）

ユーザニーズ

分からない
(33%)

役に立つ
(42%)

役に立たない(22%)

利用したいと思わない(10%)

ぜひ利用したい(13%)
利用したい(条件付き)(44%)◼ 仮検証サイト評価 (2021/12/10-2022/1/14)

・累積アクセス数 40,183件/月、 アクセスユーザ数 6,193人 (ユニークユーザ)
・主要検索条件 製品カテゴリ：UTM,エンドポイントセキュリティ、従業員規模:50名以下、
初期導入コスト：１万円未満、ランニングコスト 10万円未満
・注目キーワード ランサムウェア対策、テレワークセキュリティ対策、ＧＤＰＲ対応等◼ 中小企業へ導入実績のあるベンダ企業へのアンケート・ヒアリング・提供する主要製品：エンドポイント、NWセキュリティ/ログ管理、VPN、ファイル暗号・導入実績数：100社未満(30%)、100-300社(15%),100名以下の企業(35%)
・ビジネス展開の障壁：提供可能な製品が限定され、商談が小規模
企業数が多く要望が多種多様で、営業活動の効率性が低い

（２）各施策の現状及び今後の方向性
１．Proven in Japan（検証基盤）
－緑青検証
－赤検証
－開発段階検証（主に中小企業向け）
２．情報セキュリティサービス審査登録制度
３．サイバーセキュリティお助け隊
４．中小企業向けセキュリティ製品の検証
５．コラボレーション・プラットフォーム

54

官民の対話の場としてのコラボレーション・プラットフォームの開催⚫ 各WGの活動などを通じて顕在化したニーズとシーズをマッチングする“場”となる『コラボレーション・プラットフォーム』をIPAに設置し、2018年6月から活動を開始。

コラボレーション・プラットフォーム
(2018年6月、IPAに設置)<ニーズを抱える事業者>
製造事業者

標準化・規格・認証関連機関重要インフラ事業者
サービス・プロバイダー<シーズを抱える事業者>

セキュリティベンダー

➢ メンバーを限定しない情報交流の場を創設し、情報交換、共同研究、ビジネスマッチングなどを促進➢ 月１回程度開催

産学官の各種プロジェクト
企業
大学

国研

ベンチャー企業

マーケット

国際標準
55

コラボレーション・プラットフォームの2021年度開催状況⚫ サイバーセキュリティに関する情報交換、交流を行っていただける「場」を提供することを目的としたコラボレーション・プラットフォームを2018年6月からIPAを会場として開催してきたが、コロナ禍において2021年度は、時代の潮流にあったテーマを設定し、計６回オンライン開催。
⚫ 参加者からは、政府施策の認識、最新動向の情報収集、パネリストのディスカッションによる多方面な議論等、様々な視点で有益との声。
回数

開催日

参加人数

テーマ

第17回

6月30日

133名

サイバーセキュリティ検証基盤事業

第18回

9月7日

145名

フェイクデータなど企業価値を毀損する新たな脅威

第19回

10月22日120名

K字型(二分化)経済環境下でのセキュリティ投資のあり方

第20回

12月3日

93名

ESG視点でサイバーリスクマネジメントのあり方を探る

第21回

1月14日

171名

サプライチェーンを標的とするサイバーセキュリティリスクへの課題と対応策

第22回

2月22日

146名

事業変革を実現するDXを支えるセキュリティ
56

コラボレーション・プラットフォームの今後の方向性⚫ オンライン開催では気軽に参加いただける一方で、コラプラが目指してきた「あらゆるコラボ
レーションの創出」には、双方向でのコミュニケーションが取りづらい等のオンライン開催特有の障壁あり。
⚫ 2022年度は、聴講主体のオンラインセミナー形式を改め、少人数参加型でのオンライ
ンワーキンググループ形式での開催とし、サイバーセキュリティ検証基盤の結果報告及びビジネスマッチングの場とするほか、政策やIPAの活動に興味・意見のある方々との間での課題共有・意見交換を通じてセキュリティ業界の課題解決推進のためのコラボ
レーションを目指す。
ワーキンググループ形式によるコラボレーションの推進【政策・調査活動とのコラボレーション】【シーズサイドのコラボレーション】

政策や調査に関する意見交換の機会を設定し、参加者からのご意見を着実に政策に反映。

ベンダー企業や大学との連携を図り、新たなソリューションや技術・手法を市場に流通。

⇒政策・調査紹介、グループディスカッション、情報交換会を通じて、意見交換を継続実施。

⇒大学、ベンダー、SIer等幅広い方々に参加いただき、参加者同士での連携検討を期待。

【ニーズサイドのコラボレーション】【ニーズとシーズのコラボレーション】

ユーザ企業や大学等の間で課題を共有し、セキュリティに関するニーズを具体化。

ニーズサイドとシーズサイドの連携を図り、ビジネスマッチングにつなげる。

⇒業界ごとのユーザニーズをプログラムに反映させるため、業界団体との連携等を検討。

⇒製品評価事業等の協力ベンダに登壇いただく等、
ベンダと市場とのパスとなるプログラムを検討。
57

目次（１）サイバーセキュリティ産業のビジネス化に向けた取組の全体像（２）各施策の現状と取組方針（３）ご議論いただきたい点

58

論点① 供給サイドの取組の方向性（安心して製品・サービスを利用できる基盤の構築）
凡例⚫ これまで、赤検証の手引き、青検証の手引き、緑検証項目の整理、審査登録制度など、検証事
業者の信頼性を向上させていく取組を行ってきた。

実施済み⚫ 引き続き、緑検証の表彰制度、信頼性可視化制度の審査登録制度への反映といった取組を進めていくことで、利用者が安心してセキュリティ製品・サービスを利用できる基盤の構築に取り組んでいく。
検証サービスの需要サイド

引き続き、信頼性の向上に向けた取組を進めていく
検証事業者 α

日本政府、行政

製品ベンダ X
機器審査要件IT機器/
IoT・OT製品

重要インフラ企業
Ｓ
Ｃ
３
・
お
助
け
隊

選定/
活用

大規模な
サプライチェーン
を有する業界
企業

更なる取組
として検討

検証サービスの供給サイド「国民生活や経済活動の基盤としての機能」という観点から主体を区分けし、それぞれに応じた政策を検討

対策
支援

短期取組

赤

攻撃型検証

開発

開発段階検証ガイド

特定分野における
検証基準

検証済製品ラベル

試行検証

検証ラボ

補助

検証センター緑

セキュリティ
製品

検証者

人材育成

製品ベンダ Y
青

手引き

信
頼
性
可
視
化
制
度

検証事業者 β

有効性検証
表彰

公募
要領

公開の在り方

認証
要件

検証者

情報セキュリティ審査登録制度

コラボレーション プラットフォーム
中小企業向け製品・サービス プラットフォーム

59論点② 需要サイドの取組の方向性（隠れたニーズの掘り起こし）⚫

また、安心してセキュリティ製品・サービスを利用できる基盤の構築を進めていくと同時に、需要サイドにおけるセキュリティサー
ビスの隠れたニーズを掘り起こしていくことも必要。

⚫

需要サイドといっても、行政と民間企業、また民間企業の中でも規模や業種は様々であり、どの程度セキュリティ対策を行う
べきかも様々であることから、これら全てに一律な政策を課すことが有効とは考え難いことから、需要サイドの区分けを想定し、それぞれの対象に応じた取組を検討していくべきと考えられる。

検証サービスの需要サイド

製品ベンダ X

モデル契約書重要インフラ企業

選定/
活用

大規模な
サプライチェーン
を有する業界

更なる取組
として検討

引き続き、適格性の向上に向けた取組を進めていく

機器審査要件

Ｓ
Ｃ
３
・
お
助
け
隊

短期取組

検証事業者 α

日本政府、行政

対策
支援

実施済み

検証サービスの供給サイド

ニーズ・市場調査「国民生活や経済活動の基盤としての機能」という観点から主体を区分けし、それぞれに応じた政策を検討

凡例

特定分野における
検証基準

IT機器/
IoT・OT製品

赤

攻撃型検証

開発

開発段階検証
人材育成

検証済製品ラベル

検証ラボ

補助

検証センター

製品ベンダ Y
青

検証者

試行検証

緑

有効性検証

セキュリティ
製品

検証者

企業
コラボレーション プラットフォーム

検証事業者 β審査制度の拡大

中小企業向け製品・サービス プラットフォーム

情報セキュリティ審査登録制度60

論点③ 需要と供給のマッチング⚫

検証サービス、セキュリティ製品、デジタルフォレンジック、セキュリティ監視・運用といったセキュリティサービスの市場拡大のためには、供給サイドの信頼性向上、需要サイドのニーズの掘り起こしとともに、供給と需要をマッチさせる取組も必要。

⚫

コラボレーションプラットフォームや地域SECUNITYといった既存の枠組みを活用しつつ、IPA等も活用することで、更なるマッチングに取り組んでいく。また、セキュリティビジネスの需要と供給の関係以外に働きかける取組も検討。

⚫

その他、あらゆる層に向け、セキュリティ意識を醸成させていくために、種々のガイドラインも活用した普及啓発活動や広報に取り組んでいく。

コラボレーション・プラットフォームの活用

政策・調査活動ニーズサイド

セキュリティ業界の課題解決に向け
ワーキンググループや意見交換を行う
シーズサイド地域SECUNITYの活用
地域中小企業のサイバーセ
地域中小企業のサイバーセキュリティ対策に関する相談や困り毎への対応を行っている
キュリティ対策に関する相談
セキュリティコミュニティ
や困り事への対応を行っているセキュニティコミュニティ

普及啓蒙・広報活動
関連機関のアセットや既存プログラムを活用

外部チャネル

業界人脈・事業支援

経営支援ﾌﾟﾛｸﾞﾗﾑ
・情報・場

ニーズとシーズ（注）本図はマッピングのイメージであり、実在するコミュニティに対応するものではない。

61

（参考）地域に根付いたセキュリティ・コミュニティ（地域SECUNITY）の形成促進⚫ 地域の民間企業、行政機関、教育機関、関係団体等が、セキュリティについて語り合い、「共助」の関係を築くコミュニティ活動を、「地域SECUNITY」と命名。
⚫ まずは各地域で地域SECUNITYの形成を促進し、将来的には、地域のニーズとシーズのマッチングによる課題解決・付加価値創出の場（コラボレーション・プラットフォーム）へと発展することを目指す。

＜地域SECUNITYのコンセプト＞
地域にセキュリティについて相談できる相手がいない

地域にセキュリティを学ぶ
機会が少ない？

将来目指す姿• 地域の関係者間でのセキュリティに関する「共助」の関係を形成• イベント等の継続開催による地域のセキュリティ意識向上・人材育成• 国や専門家からの情報提供の場

地域の
ベンダーを
知らない

地域SECUNITY
がない状態

地元
ベンダー
民間団体

地域の
セキュリティ
関係者のつながり• 地域一体となった課題解決• 地域を越えた連携

!!

大学・高専
地元企業

• ニーズとシーズのビジネスマッチングや共同研究による地域発のセキュリティ
ソリューションの開発

県警

地域のニーズとシーズのマッチング• 地域の課題解決• 価値創出自治体

地域SECUNITY
形成

国

コラボレーション・プラットフォーム
を全国に展開62

（参考）産業サイバーセキュリティセンター（ICSCoE）(2017年4月設置）⚫ 中核人材育成プログラムでは、電力、石油、ガス、化学、自動車、鉄道分野等の企業から受講者を受け入れ、テクノロジー、マネジメント、ビジネス分野を総合的に学ぶ1年程度のトレーニング等を実施。第５期（2021年7月
開講）には、48名が参加。修了者は産業サイバーセキュリティエキスパートとして業界内外のサイバーセキュリティの取組に貢献。

⚫ また、短期プログラムとして、経営層が示す戦略の下、事業継続と価値創出に係るリスクマネジメントを中心となって支える立場である、戦略マネジメント層向けのセミナーを実施。

修了者コミュニティ「叶会」

中核人材育成プログラム• IT系・制御系に精通した専門人材の育成• 模擬プラントを用いた対策立案• 実際の制御システムの安全性・信頼性検証等• 攻撃情報の調査・分析• 年１回年次総会（11月）で最新動向と修了者
攻撃

対策を検討

卒業プロジェクト（一例）• ゼロトラストという戦術の使い方～情報系・制御系システムへのゼロトラスト
導入～「ゼロトラスト」で用いられる機能について、実際に環境を構築、システムへの導入検証を実施。
結果と得られたノウハウを「ゼロトラスト導入指南書」としてまとめた。

模擬プラントを攻撃の近況の活躍を発表。

• サイバーセキュリティ情報提供活動：

情報共有ツール「SIGNAL」を使い、ICSCoEが入手した脆弱性情報等を修了者に提供。

脆弱性
を発見

• 現場向け制御セキュリティ教育：

安全・安定操業を脅かした事例10選

近年国内外で発生した制御システムへのサイバー攻撃10事例を紹介。事例の紹介に留まらず、発生する可能性がある
被害について解説。

https://www.ipa.go.jp/icscoe/program/core_human_resource/final_project.html

修了者の地域での活躍• 修了者が卒業プロジェクトの延長としてフレームワー•

ク推進活動を実施。地銀と連携し、中小企業を含めたサプライチェーンのセキュリティ強化に貢献。
また、商工会議所の会報に地域・中小企業を対象としたセキュリティの取組促進の啓発記事（インシデント事例、SECURITY ACTION制度の紹介
等）を執筆（札幌、名古屋、大阪）。地域での繋がりを持たせ、情報発信の場の支援を行う。

戦略マネジメント系 • 経営層を補佐し、実務者層・技術者層を指揮することでセキュリティ対策を進める戦略マネジメント層向けのセミナー。
セミナー（2018年～） • 組織全体のセキュリティレベル向上を目指し、セキュリティ対策を組織横断的に統括する体制及びその責任者の役割について理解を目指す。

• 2021年度は１～２月に対面・オンライン（ハイブリッド形式）で開講。講演・講義・グループディスカッションにより、先進事例・課題や解決策・ノウハウなどを体系的に学ぶプログラムを提供。

（参考）令和３年度地域SECUNITY形成促進の取組（沖縄）⚫ 沖縄サイバーセキュリティネットワーク（2015年3月発足）など既存の産学官のセキュリティ関連
ネットワークを有機的に連携。

⚫ 沖縄地域の自治体、事業者に対し、実態把握のためのアンケート調査を実施し、これを踏まえた
セキュリティに関するセミナー開催、相談窓口設置などセキュリティ対策を検討。
【実施団体】沖縄ITイノベーション戦略センター（ISCO）
・SECUNITY事業では、リテラシー向上のためのセミナーの実施やメールマガジンによる情報提供等を行い、総務省、沖縄県事業と連携した取組を展開。
・若手人材の育成のため情報セキュリティマネージメント等の資格者取得支援を実施。
・ビジネスマッチングサイト「インダストリンク」内にサイバーセキュリティ関連コンテンツを作成。
※セキュリティセミナーはコロナ感染対策を考慮してすべてオンライン開催
するとともに、動画コンテンツとして提供。

64

（参考）おかやまAI・セキュアIoT共創コンソーシアム⚫

岡山県「大学と連携した地域産業振興事業」の一環として、AI・IoT・セキュリティ関連技術分野において共同研究を目指す
企業と大学研究者などが集い、多面的な連携による共同研究の促進を図る「共創の場」として岡山大学に設立。

⚫

IoT機器等を扱う企業が30社、岡山県内5つの学術機関、岡山県等の3団体が参画し、企業間や有識者とのコミュニケー
ションの場、共同研究組成に向けたワーキンググループや会員企業の課題に応じたワークショップなどの場が提供されている。

https://oasis.okayama-u.ac.jp/wp-content/uploads/2021/03/OASIS.pdf

65

経済産業省のサイバーセキュリティ政策ウェブページはこちら⇒
https://www.meti.go.jp/policy/netsecurity/index.html