表：サプライチェーンサイバーリスクに関する主要ガイドライン一覧（ITに関するもの）（2019年12月）

1.国内外で発行されている、重要インフラ産業・大企業の調達活動（主として委託）を想定した文書
国名

文書名

現行版発行日発行元

サイバー・フィジカル・セキュリ
日本

ティ対策フレームワーク（CPSF）

2019年4月18日 経済産業省

v1.0

対象と概要

URL

民間事業者向け。リスク源の洗い出しや企業等におけるセキュリ

https://www.meti.go.jp/press/2019/04/2019041800

ティポリシーの策定及び対策の実装等を規定

2/20190418002.html

経営者向け。経営者が認識すべき3原則のひとつにサプライチェー
日本

サイバーセキュリティ経営ガイドラ
インv2.02017年11月16日

経済産業省、情報処理 ンのセキュリティ対策、サイバーセキュリティ経営の重要10項目に https://www.meti.go.jp/policy/netsecurity/mng_guid推進機構「ビジネスパートナーや委託先等を含めたサプライチェーン全体の e.html
対策及び状況把握」を盛り込む

日本

日本

情報セキュリティポリシーサンプル
改版（1.0版）
アウトソーシングに関する情報セ
キュリティ対策ガイダンス2016年3月29日

Technology (ICT) Supply Chain
Risk Management (SCRM) Task

Cybersecurity andFramework for Information

National Institute of2018年12月20日 Standards andTechnology

Systems and Organizations
NIST SP800-171 Rev.1 Protecting
米国

Controlled Unclassified
Information in Nonfederal Systems

National Institute of2018年6月7日 Standards andTechnologyand Organizations
Framework for Improving
米国

Critical Infrastructure
Cybersecurity

National Institute of2018年4月16日 Standards andTechnology

Version 1.1
米国

Cloud Computing Security
Requirement Guide v1r3

2017年5月6日

NIST SP800-161 Supply Chain Risk
米国Management Practices for Federal
Information Systems andThird-Party Relationships: Risk
Management Guidance

整理。主に5Gを念頭においたもの

全業種対象のリスク管理フレームワークで、情報セキュリティ管理策を含む。Rev2でサプライチェーンリスク管理が盛り込まれたCUI（非機密区分の重要情報）が存在する場合に、機密性を確保するための推奨セキュリティ要件。2019年6月にRev.2ドラフトが公

https://www.cisa.gov/publication/ict-scrm-taskforce-interim-reporthttps://doi.org/10.6028/NIST.SP.800-37r2

https://doi.org/10.6028/NIST.SP.800-171r1

重要インフラ組織が対象。サイバーセキュリティリスクの管理・削減のための標準、ガイドライン、慣行に基づくガイダンス。特にID.BE（事業環境）とID.SC（サプライチェーンリスク管理）がサプ

https://www.nist.gov/cyberframework/framework

ライチェーンリスクの管理項目を規定する
米国国防省のクラウドサービス調達に関するセキュリティ要件。
FedRAMPに独自の要件項目を追加

National Institute of

連邦政府組織に対するICTサプライチェーンリスク管理策。付録には脅威事象（Appendix C）や脅威シナリオと分析枠組（AppendixTechnologyD）を収録

Office of the

米国の中央銀行と連邦金融機関向け。発注時の委託先選択、契約管

Currency

pdf

開された

Systems Agency

2013年10月30日 Comptroller of thehttps://www.meti.go.jp/policy/netsecurity/docs/sec

米国連邦政府以外の防衛調達関連事業者が対象。システムや組織にDefense Information

2015年4月9日 Standards andOrganizations
米国

重要インフラ産業が依存するインフラという観点からICTをとら2019年9月18日 Infrastructure Security え、ICTサプライチェーンリスク管理の要点を議論した結果の中間Agency

https://www.jnsa.org/result/2016/policy/

チェックシートで構成。全社的なアウトソーシング戦略に基づいた gov/2009_OutsourcingJohoSecurityTaisakuGuidance.
リスク管理体制の構築を重視

NIST Special Publication 800-37
Rev.2 Risk Management

程を収録

2009年6月1日 経済産業省

Force Interim Report

米国

情報セキュリティポリシーのサンプル。文書03に外部委託先管理規

キュリティ協会

アウトソーシングにおける情報セキュリティリスクと管理策、

Information and Communications
米国

日本ネットワークセ

理、継続的モニタリング、独立したレビュー等を要件として挙げている

https://rmf.org/wpcontent/uploads/2018/05/Cloud_Computing_SRG_v1
r3.pdfhttps://doi.org/10.6028/NIST.SP.800-161

https://www.occ.gov/newsissuances/bulletins/2013/bulletin-2013-29.html

クラウド製品・サービスが対象の認証プログラム。NIST 800-53で米国

Federal Risk and Authorization
Management Program

2011年12月8日

General Services

定められた標準に適合するサービスプロバイダを認証する。クラウ

Administration

ド製品・サービスのセキュリティ水準評価や認証、継続的モニタリ

https://www.fedramp.gov/documents/

ングを規定
Good Practices for Security ofEU

Internet of Things in the context ofEuropean Union
2018年11月19日 Agency for

Smart Manufacturing

Cybersecurity

Directive on security of network
EUand information systems (NIS英国

NCSC Cyber Assessment
Framework
Supply chain security guidance

オースト Cyber Supply Chain Risk
ラリア

団体

Management

COBIT 20192012年12月1日 Agency for
Cybersecurity
2019年9月30日

2018年1月28日

2019年11月6日

2018年11月13日

CSA Security Guidance for Critical
団体

Areas of Focus in Cloud

2018年11月9日

Computing v4.0
団体

団体

Payment Card Industry Data
Security Standard ver3.2.1
ISF The Standard of Good Practicefor Information Security 2018

Systems and software engineering

2018年5月21日

2018年3月23日

relationships — Part 3: Guidelines

information-security
https://www.ncsc.gov.uk/blog-post/the-cyber-

Secuity Centre

Objective A（セキュリティリスク管理)でサプライチェーンを考慮

assessment-framework-3-0

National Cyber
Secuity Centre
Australian Cyber
Secuity Centre
ISACA/IT GovernanceInstitute
Cloud Security
Alliance
PCI Security
Standards Council
Information Security
Forum

Organization for
2013年11月15日

ationalElectrotechnicaltechnology supply chain security

CommissionInternational
Organization fortechnology — Security techniques— Information security
management systems —Requirements
ISO 28000:2007
団体

Standardization/Intern

for information and communication

ISO/IEC 27001:2013 Information
団体

Specification for security
management systems for thesupply chain

達するサービス等の停止が連鎖的影響を及ぼす可能性を指摘してい benefits-risks-and-recommendations-for-

大企業、重要インフラ、公共サービス組織向けに、サプライチェー
ンセキュリティ向上に資するプロセス12項目とサプライチェーン攻
撃事例、評価項目等をまとめたもの
全組織を対象に、サイバーサプライチェーンリスク管理施策リストを提供。契約内容（例：業務委託、MSP、CSP等）ごとに実践ガイドあり
業種を限定しないITガバナンスフレームワーク。成熟度モデルを採用。APO13: Manage Security、DSS05: Manage Security Services
がサプライチェーンサイバーセキュリティ管理を扱う

https://www.ncsc.gov.uk/collection/supply-chainsecurity
https://www.cyber.gov.au/publications/cybersupply-chain-risk-management
http://www.isaca.org/COBIT/Pages/COBIT-5japanese.aspx

クラウドコンピューティングサービスの提供者、利用者向け。のセキュリティガイダンス。双方に対し、契約による合意や定期的報告 https://cloudsecurityalliance.org/research/guidance/等を実施することなどを推奨する
カード決済データの取り扱いや伝送などのセキュリティ管理基準。
「要件 12: セキュリティポリシー」に委託内容確認の契約管理面からの要件が記載されている

https://www.pcisecuritystandards.org/documents/P
CI_DSS_v3_2_1_JA-JP.pdf（会員組織のみ入手可能）企業の情報セキュリティ管理策をまとめたもの。サプライチェーンに関する章では、サプライヤ管理とアウ （会員組織のみ入手可能）
トソーシング、クラウドコンピューティングの管理策を示す
システムライフサイクル管理用の標準。ハードウェア、ソフトウェ
ア、データ、人間、プロセス、手順、施設、材料等の管理を含む

https://www.iso.org/standard/63711.html

Internationaltechnology — Security techniques— Information security for supplier

ンにおける障害を取り上げた章では、クラウドサービス事業者が調 and-resilience/publications/cloud-computing-

英国におけるNIS Directiveの制度化を目的として整備された。

2015年5月15日 ISO/IEC/IEEE

ISO/IEC 27036-3:2013 Information

directive

クラウドコンピューティングサービス利用者向け。サプライチェー https://resilience.enisa.europa.eu/cloud-security-る— System life cycle processes

団体

https://ec.europa.eu/digital-single-

National Cyber

ISO/IEC/IEEE 15288:2015
団体

practices-for-security-of-iot

Awareness、Third Party Managementに記載ありライチェーンを挙げ、各国の制度整備を求めた
European Union

information security Rev.B
英国におけるセキュリティは特にEndpoints Lifecycle、Training and
EU域内における通信インフラ、情報システムのセキュリティレベ

Cloud Computing: Benefits, risks
and recommendations for

チャリング実現におけるセキュリティ事項。サプライチェーン全体 https://www.enisa.europa.eu/publications/good-

2016年7月6日 European Commission ル向上と連携を目的として整備された。14原則のひとつとしてサプ market/en/network-and-information-security-nis-Directive)

EU

製造業のIoTが対象。インダストリー4.0とスマートマニュファク

2013年10月1日

Standardization/International
ElectrotechnicalCommission
International

2007年9月15日 Organization forStandardization

ICTサプライチェーンの製品・サービスの調達、供給が対象。管理策ではISO/IEC 15288、ISO/IEC 12207、ISO/IEC 27002を使用すhttps://www.iso.org/standard/59688.html

る

情報セキュリティマネジメントシステム構築、運用に関する規格。
A.15供給者管理にサービス提供元、業務委託先の管理（選定方針、契約管理）が記載されている。クラウドコンピューティングサービ
ス提供・利用に関する管理策からなるアドオン認証ISO/IEC 27017

https://www.iso.org/isoiec-27001-informationsecurity.html

が存在する

物流を中心とするサプライチェーンセキュリティ管理の検討項目群。サイバー空間に由来する脅威も考慮することを求めている

1 / 2 ページ

https://www.iso.org/standard/44641.html

表：サプライチェーンサイバーリスクに関する主要ガイドライン一覧（ITに関するもの）
2.国内で発行されている、受託者あるいは中小企業の事業活動を想定した文書
国名

文書名

現行版発行日

発行元

対象と概要

URL

中小企業と個人事業者が対象。情報セキュリティ対策に取り組む際
日本

中小企業の情報セキュリティ対策ガ
イドライン第3版

2019年12月19日 情報処理推進機構の、(1)経営者が認識し実施すべき指針、（2）社内の対策手順を紹 https://www.ipa.go.jp/security/keihatsu/sme/guideli
介している。付録に 「リスク分析シート」「中小企業のためのクne/

ラウドサービス安全利用の手引き」など
中小企業の情報セキュリティ対策ガイドライン付録への取り組みと
日本

SECURITY ACTION

2017年4月28日 情報処理推進機構

情報開示を二階層に区分。企業は付録記載内容に沿って情報セキュリティ対策の取り組み水準を自己宣言する

情報サービス産業における適正な業
日本

務委託契約運用のためのガイドライン

2016年3月29日 情報サービス産業協会

https://www.ipa.go.jp/security/securityaction/sa/index.html

業務委託契約に関する注意点をまとめたもの。受委託者間のセキュ https://www.jisa.or.jp/Portals/0/report/jisa_entrust_
リティレベルの相違も考慮している

2 / 2 ページ

guideline201603.pdf