サイバーセキュリティ戦略本部 重要インフラ専門調査会（第22回）

重要インフラ分野における安全基準等の継続的改善状況等に関する調査について［2019年度］

令和２年７月13日
内閣ｻｲﾊﾞｰｾｷｭﾘﾃｨｾﾝﾀｰ

重要インフラグループ

調査概要
内閣官房では、我が国の重要インフラ防護能力の維持・向上を目的に、各重要インフラ分野に共通し、重要インフラサービスの安全かつ持続的な提供を実現する観点から安全基準等において規定されることが望まれる項目を「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」（サイバーセキュリティ戦略本部 平成30年４月決定・令和元年５月改定。以下「指針」という。）として取りまとめている。
内閣官房が各重要インフラ分野の安全基準等の現状を把握し、安全基準等の継続的な改善を促していくため、本調査では、重要インフラ所管省
庁等における安全基準等の分析・検証や改定の状況、指針への対応状況等を確認する。
安全基準等の継続的改善

調査対象

内閣官房は、重要インフラ所管省庁による安全基準等の改善状況を年度ごとに調査

重要インフラ所管省庁及び重要インフラ
事業者の業界団体が制定する安全基準
等（全14分野24件）

内閣官房
安全基準等の策定の参考と
して提示

調査項目

計画

運用

分野Ａ
関係法令
業界標準/
ガイドライン
内規 内規 ・・・

改善

安全基準等

社会や技術の変化を踏まえて見直し※ 調査対象は02ページ参照

安全基準等の継続的改善

安全基準等

指針等

重要インフラ所管省庁・重要インフラ事業者等

分野Ｂ
関係法令
業界標準/
ガイドライン・・・

内規 内規 ・・・

評価

【安全基準等とは】• 関係法令に基づき国が定める「強制基準」• 関係法令に準じて国が定める「推奨基準」及び「ガイドライン」• 関係法令や国民からの期待に応えるべく業界団体等が定める業界横断的な「業界標準」及び「ガイドライン」• 関係法令や国民・利用者等からの期待に応えるべく重要インフラ事業者等が自ら定める「内規」等① 各安全基準等の分析・検証について② 各安全基準等の改定について③ 各安全基準等の指針への対応について④ 令和元年５月に指針に追加された項目の各安全基準等への記載内容について【令和元年５月に指針に追加された項目】
データ管理
システムのリスク評価に応じてデータの適切な保護や保管場所の考慮をはじめとした望ましいデータ管理を行う。
また、事業環境の変化を捉え、インターネットを介したサービス（クラウドサービス等）を活用するなど新しい技術を利用する際には、国内外の法令や評価制度等の存在について留意する。
災害による障害の発生しにくい設備の設置及び管理
重要インフラサービスの提供に係る情報システム、データセンター等の設備については、各種災害による障害が発生しにくい配置とする等、災害が発生した場合であっても被害を低減できるような防止対策を事前に検討・実施することにより、適切な設備の設置及び管理を行う仕組みを
構築する。

01

調査対象一覧（全14分野24件）
分野
電気通信• 事業用電気通信設備規則• 情報通信ネットワーク安全･信頼性基準• 電気通信分野における情報セキュリティ確保に係る安全基準（第4.1版）

情報通信

金融

安全基準等の名称

放送• 放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン• 放送設備サイバー攻撃対策ガイドライン

ケーブルテレビ• ケーブルテレビの情報セキュリティ確保に係る「安全基準等」策定ガイドライン＜初版＞

銀行等
生命保険
損害保険
証券

• 金融機関等におけるセキュリティポリシー策定のための手引書• 金融機関等コンピュータシステムの安全対策基準・解説書• 金融機関等におけるコンティンジェンシープラン策定のための手引書

航空• 航空分野における情報セキュリティ確保に係る安全ガイドライン（第５版）

空港• 空港分野における情報セキュリティ確保に係る安全ガイドライン（第２版）

鉄道• 鉄道分野における情報セキュリティ確保に係る安全ガイドライン（第４版）

電力• 電気事業法施行規則第50条第２項の解釈適用に当たっての考え方• 電気設備の技術基準の解釈• 電力制御システムセキュリティガイドライン• スマートメーターシステムセキュリティガイドライン

ガス• 都市ガス製造・供給に係る監視・制御系システムのセキュリティ対策要領及び同解説

政府・行政サービス• 地方公共団体における情報セキュリティポリシーに関するガイドライン

医療• 医療情報システムの安全管理に関するガイドライン（第５版）

水道• 水道分野における情報セキュリティガイドライン（第４版）

物流• 物流分野における情報セキュリティ確保に係る安全ガイドライン（第４版）

化学• 石油化学分野における情報セキュリティ確保に係る安全基準

クレジット• クレジットCEPTOARにおける情報セキュリティガイドライン

石油• 石油分野における情報セキュリティ確保に係る安全ガイドライン

02

調査結果
2019年度は、指針や関係法令・ガイドラインの改定等を契機として、各重要インフラ分野で安全基準等の分析・検証が行われ、それらの結果を踏まえ11件の改定（初版制定含む。）が実施された。
また、各安全基準等のそれぞれの制定主体において、各重要インフラ分野の安全基準等の指針への対応について確認が行われている。
分析・検証の主な契機・内容等

主な改定

指針や関係法令・ガイドラインの改定、社会的・技術的な環境の変化、
サイバーセキュリティに係るインシデントの発生等を踏まえた安全基準等の見直し

指針や関係法令・ガイドラインの改定に伴う改定

2020年東京オリンピック・パラリンピック競技大会（※１）の開催に万全を期すため、 サイバーセキュリティの観点から安全基準等の整備状況の確認【安全基準等の分析・検証及び改定の際に参照された規格】• 指針• 政府機関等の情報セキュリティ対策のための統一基準群• ISO/IEC 27001, 27002, 27017• NIST重要インフラのサイバーセキュリティを改善するためのフレームワーク• その他（各重要インフラ固有の規格・ガイドライン等）（※１）令和２年３月30日に、東京オリンピックは令和３年７月23日から８月８日に、東京パラリンピックは同年８月24日から９月５日に開催されることが決定された。

指針への対応各安全基準等の制定主体において指針の内容が分析・検証され、必要に応じて安全基準等を改定が行われている（※２）ことを確認 。
（※２）分析・検証の結果、自分野の安全基準等に反映の必要がないとした項目は除く。

令和元年５月に指針に追加された「データ管理」及び「災害による障害の発生しにくい設備の設置及び管理」についても、安全基準等への反映が進められていることを確認。

情報通信ネットワーク安全・信頼性基準
電気通信分野における情報セキュリティ確保に係る安全基準（第4.1版）
金融機関等コンピュータシステムの安全対策基準・解説書
電力制御システムセキュリティガイドライン
電気設備の技術基準の解釈
都市ガス製造・供給に係る監視・制御系システムのセキュリティ対策要領及び同解説
石油化学分野における情報セキュリティ確保に係る安全基準
石油分野における情報セキュリティ確保に係る安全ガイドライン

社会的・技術的な環境の変化を踏まえた改定
電気通信分野における情報セキュリティ確保に係る安全基準（第4.1版）【再掲】
放送設備サイバー攻撃対策ガイドライン
金融機関等コンピュータシステムの安全対策基準・解説書
電力制御システムセキュリティガイドライン 【再掲】スマートメーターシステムセキュリティガイドライン

サイバーセキュリティに係るインシデントを踏まえた改定
情報通信ネットワーク安全・信頼性基準 【再掲】重要インフラ所管省庁及び重要インフラ事業者等で構成される業界団体において、各安全基準等の分析・検証や改定が行われ、安全基準等の継続的な改善が着実に実施されていることを確認。

03

（参考）2019年度における各安全基準等の改善状況（目次）
情報通信（電気通信）• 事業用電気通信設備規則• 情報通信ネットワーク安全･信頼性基準• 電気通信分野における情報セキュリティ確保に係る安全基準（第4.1版）

・・・
・・・
・・・

05
05
06

情報通信（放送）• 放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン• 放送設備サイバー攻撃対策ガイドライン

電力• 電気事業法施行規則第50条第２項の解釈適用に当たっての考え方• 電気設備の技術基準の解釈• 電力制御システムセキュリティガイドライン• スマートメーターシステムセキュリティガイドライン

・・・
・・・
・・・
・・・

11
11
12
12

・・・
・・・

06
07

ガス
• 都市ガス製造・供給に係る監視・制御系システムのセキュリティ対策要領及び同解説

・・・

13

情報通信（ケーブルテレビ）• ケーブルテレビの情報セキュリティ確保に係る「安全基準等」策定ガイドライン＜初版＞
金融• 金融機関等におけるセキュリティポリシー策定のための手引書• 金融機関等コンピュータシステムの安全対策基準・解説書• 金融機関等におけるコンティンジェンシープラン策定のための手引書
航空• 航空分野における情報セキュリティ確保に係る安全ガイドライン（第５版）
空港• 空港分野における情報セキュリティ確保に係る安全ガイドライン（第２版）
鉄道• 鉄道分野における情報セキュリティ確保に係る安全ガイドライン（第４版）

・・・
・・・
・・・
・・・
・・・
・・・
・・・

07
08
08
09
09
10
10

政府・行政サービス• 地方公共団体における情報セキュリティポリシーに関するガイドライン

・・・

医療• 医療情報システムの安全管理に関するガイドライン（第５版）

・・・
・・・

14

水道
• 水道分野における情報セキュリティガイドライン（第４版）

・・・
・・・

14

物流
• 物流分野における情報セキュリティ確保に係る安全ガイドライン（第４版）

・・・
・・・

15

化学
• 石油化学分野における情報セキュリティ確保に係る安全基準

・・・
・・・

15

クレジット
• クレジットCEPTOARにおける情報セキュリティガイドライン
石油• 石油分野における情報セキュリティ確保に係る安全ガイドライン

・・・
・・・
・・・

16

・・・

16

・・・

13

04

各安全基準等の改善状況［1/12］
安全基準等の名称

事業用電気通信設備規則

情報通信ネットワーク安全･信頼性基準

重要インフラ分野

情報通信（電気通信）

情報通信（電気通信）

制定主体

総務省

総務省

最終改正（初版制定）年月

2019年５月（初版制定：1985年４月）

2019年７月（初版制定：1987年２月）

安全基準等の位置付け

関係法令に基づき国が定める強制基準関係法令に準じて国が定める推奨基準・ガイドライン

実施

実施

分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況
改定の主な内容

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

指針の他に参考としている
基準

５Ｇ導入後の通信ネットワークにおいては、交換設備等の主要な機能の仮想化を前提としたシステム構築が本格的に進展することが想定。一方で、近年発生している電気通信事故は、ソフトウェア不具合、外部連携先の作業ミス等に起因する事
案が増加傾向。このため、「通信ネットワークの本格的なソフトウェア化・仮想化の進展に対応した技術基準等の在り方」について分析・検証を実施。

（実施）※安全基準等の内容に影響のない改定

通信ネットワークにおけるソフトウェアの役割の高まりや2018年12月に発生した携帯電話サービスにおけるソフトウェアに起因する重大事故を踏まえ、その対策について分析・検証を実施。

実施

（省略）

管理基準として以下の対策項目を追加。
交換機の制御等に用いられる重要なソフトウェアについては、復元できるよう複数世代のものを保管すること交換機の制御等に用いられる重要なソフトウェアについては、機器等の製造・販売を行う者等関係者との契約書等において、サービスの提供の継続に重要と考えられる有効期限等の情報を確認できることを明示すること
ソフトウェアに有効期限が設定されている場合は、電気通信事業者が自ら又は機器等の製造・販売を行う者等関係者との契約等を通じて確実に管理すること

確認済み

確認済み

【データ管理】（「データ管理」に関する内容については、「情報通信ネットワーク安全・信頼性基準」に記載されている。）【データ管理】• システムデータ等の重要なデータは、データ保管室又は専用のデータ保管庫に収容すること。
［別表第１ 設備等基準 第２．環境基準 ２．（5）データ類の保管］【災害による障害の発生しにくい設備の設置及び管理】• 地方公共団体が定める防災に関する計画及び地方公共団体が公表する自然災害の想定に関する情報を考慮し、電気通信設備の設置場所を決定若しくは変更し、又は適切な防災［第15条の３第５号、第16条の５第１項・第２項、第39条、第46条］
措置を講じること。

―【災害による障害の発生しにくい設備の設置及び管理】• 地方公共団体が定める防災に関する計画及び地方公共団体が公表する自然災害の想定に関する情報（ハザードマップ等）を考慮し、電気通信設備の設置場所を決定すること。
• 強固な地盤上の建築物を選択すること。（以下略）［別表第１ 設備等基準 第２．環境基準 １．（1）立地条件及び周囲環境への配慮］• 自然災害等の外部からの影響を受けるおそれの少ない場所に設置すること。
• 浸水のおそれの少ない場所に設置すること。（以下略）［別表第１ 設備等基準 第２．環境基準 ２．（1）通信機械室の位置］―

05

各安全基準等の改善状況［2/12］
安全基準等の名称

電気通信分野における情報セキュリティ確保に係る安全基準（第４.１版）

放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン

重要インフラ分野

情報通信（電気通信）

情報通信（放送）制定主体

一般社団法人電気通信事業者協会

放送セプター

最終改正（初版制定）年月

2020年３月（初版制定：2006年９月）

2016年10月（初版制定：2005年10月）

安全基準等の位置付け

業界団体等が定める業界横断的な業界標準・ガイドライン

業界団体等が定める業界横断的な業界標準・ガイドライン

実施

実施

分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況
改定の主な内容

指針の改定や電気通信事業法等の関係法令の改正を踏まえ、その対応状況について分析・検証を実施。

実施

指針の改定を踏まえ、その対応状況について分析・検証を実施。

なし

ネットワークの仮想化、IoT機器を通じたサイバー攻撃の増加等の技術変化への対応の必要性を明記。

（本安全基準等は、「ケーブルテレビの情報セキュリティ確保に係る『安全基準等』策
定ガイドライン」と統合し、更新する予定。なお、指針の改定を踏まえ、「データ管理」及
電気通信事業者が遵守又は留意すべき法令・ガイドライン等に以下の内容を追加。 び「災害による障害の発生しにくい設備設置及び管理」等について、令和2年度内を目途に本安全基準等に追加する方向性で検討を進めている。）• 一般データ保護規則（GDPR）への対応• クラウドサービスの利用とクラウドの認証制度（2020年度運用開始予定）
令和元年５月の指針の改定を受け、情報セキュリティ対策確認項目として「データ管理」及び「災害による障害の発生しにくい設備設置及び管理」を追加。

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

確認済み

確認済み【データ管理】• システムのリスク評価に応じて、データの保護や保管場所を考慮し、適切なデータ管理を行うことが望ましい。また、事業環境の変化を捉え、インターネットを介したサービス（クラウドサービス等）を活用するなど新しい技術を利用する際には、国内外の法令や評価制度等の存在（Ⅱ.既存の法令・ガイドライン等を参照）について留意することが望ましい。
［Ⅲ．具体的な対策 ２．（1） ウ データの管理］【災害による障害の発生しにくい設備の設置及び管理】（「災害による障害の発生しにくい設備設置及び管理」に関する内容については、放送法施行規則（昭和25年電波監理委員会規則第10号）において基幹放送の設備に係る安全・信頼性に関する技術的条件として記載されている。）【災害による障害の発生しにくい設備の設置及び管理】• （ISO/IEC27002管理策11.1.4［ITU-T X.1051 11.1.4］参照］）［Ⅲ．具体的な対策 ４．（3） ア （ア）外部及び環境の脅威からの保護］
ISO/IEC27002 11.1.4 外部及び環境の脅威からの保護 管理策
自然災害，悪意のある攻撃又は事故に対する物理的な保護を設計し，適用することが望ましい。

指針の他に参考としている
基準• 電気通信事業法に係る法令・ガイドライン• ISO/IEC27001:2013, ISO/IEC27002:2013, ISO/IEC27017:2015 等―

06

各安全基準等の改善状況［3/12］
安全基準等の名称

放送設備サイバー攻撃対策ガイドライン

ケーブルテレビの情報セキュリティ確保に係る「安全基準等」策定ガイドライン

重要インフラ分野

情報通信（放送）

情報通信（ケーブルテレビ）

制定主体

一般社団法人ICT-ISAC

ケーブルテレビセプター

最終改正（初版制定）年月

2020年２月（初版制定：2018年６月）

2012年11月（初版）

安全基準等の位置付け

業界団体等が定める業界横断的な業界標準・ガイドライン

業界団体等が定める業界横断的な業界標準・ガイドライン

実施

実施

分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況

現場におけるガイドラインの利用状況やサイバー攻撃対策の内容をヒアリングし、改定に向けた分析・検証を実施。

実施

改定の主な内容

以下の項目を追加。
ネットワーク機器のセキュリティ管理項目の監視要件を追加
サーバ・クライアントのセキュリティ対策項目を見直し
システム開発環境における重要な対策について記載を追加
システム納入時に納品物のチェック項目を追加
サイバーセキュリティの確保に係る確認事項の（チェックリスト）を「自社で対応」と「メーカーへの要求」に分割して整理。

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

指針の他に参考としている
基準

指針の改定を踏まえ、その対応状況について分析・検証を実施。

なし（本安全基準等は、電気通信事業に係る内容は「電気通信分野における情報セキュ
リティ確保における安全基準」及び放送事業に係る内容は「放送における情報インフラの情報セキュリティ確保に関わる『安全基準等』策定ガイドライン」とそれぞれ統合し、更新する予定。なお、指針の改定を踏まえ、「データ管理」及び「災害による障害の発生しにくい設備設置及び管理」等について、令和2年度内を目途に本安全基準等に追加する方向性で検討を進めている。）

確認済み

確認済み

【災害による障害の発生しにくい設備の設置及び管理】（「災害による障害の発生しにくい設備設置及び管理」に関する内容については、放送法施行規則（昭和25年電波監理委員会規則第10号）において基幹放送の設備に係る安全・信頼性に関する技術的条件として記載されている。）【災害による障害の発生しにくい設備の設置及び管理】（「災害による障害の発生しにくい設備の設置及び管理」に関する内容については、事業用電気通信設備規則（昭和60年郵政省令第30号）及び放送法施行規則（昭和25年電波監理委員会規則第10号）に技術的条件として記載されている。）

―

―

07

各安全基準等の改善状況［4/12］
安全基準等の名称

金融機関等コンピュータシステムの安全対策基準・解説書

金融機関等におけるセキュリティポリシー策定のための手引書

重要インフラ分野

金融

金融

制定主体

公益財団法人金融情報システムセンター（FISC）

公益財団法人金融情報システムセンター（FISC）

最終改正（初版制定）年月

2020年３月（初版：1980年12月）

2008年６月（初版制定：1999年１月）

安全基準等の位置付け

業界団体等が定める業界横断的な業界標準・ガイドライン

業界団体等が定める業界横断的な業界標準・ガイドライン

実施

実施

分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況

指針の改定、関連するガイドラインやセキュリティインシデント事案を踏まえ、サイバー
セキュリティに関する態勢や対策の整備状況について分析・検証を実施。
金融庁の「システム障害に関する分析レポート（2019年6月）」の発表を契機に、他にも分析すべきシステム障害事例がないかをNISC「重要インフラにおける補完調査」を参照して分析・検証を実施。
2020年東京オリンピック・パラリンピック競技大会の開催前にサイバーセキュリティの観点からガイドラインの整備状況について分析・検証を実施。
実施

改定の主な内容

金融庁「システム障害に関する分析レポート（2019年6月）」に基づき、以下の項目を追加。
外部委託先が別の外部事業者の提供する機能を使用して金融機関等にサービスを提供している場合の評価事項、障害・災害時の対応
コンティンジェンシープランの内部・外部環境を踏まえた定期的な見直し 等

指針の改定、関連するガイドラインやセキュリティインシデント事案を踏まえ、サイバー
セキュリティに関する態勢や対策の整備状況について分析・検証を実施。
金融庁の「システム障害に関する分析レポート（2019年6月）」の発表を契機に、他にも分析すべきシステム障害事例がないかをNISC「重要インフラにおける補完調査」を参照して分析・検証を実施。
2020年東京オリンピック・パラリンピック競技大会の開催前にサイバーセキュリティの観点からガイドラインの整備状況について分析・検証を実施。
なし（分析・検証の結果は、「金融機関等コンピュータシステムの安全対策基準・解説書」に反映。）

令和元年５月の指針の改定を受け、「データ管理」に関する内容を追加。

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

確認済み

確認済み【データ管理】• データ管理においては、リスク評価結果に応じて適切に保護し、保管場所を考慮する必要がある。
• 事業環境の変化を捉え、インターネットを介したサービス（クラウドサービス等）を活用するなど新しい技術を利用する際には、国内外の法令や評価制度等について留意するとともに、継続的に確認・評価を行う必要がある。データの安全かつ円滑な運用と不正防止のため、データ管［１ 内部の統制 (2) 組織体制 統７］
理手順を定め、管理体制を整備すること。

【データ管理】（「データ管理」に関する内容については、「金融機関等コンピュータシステムの安全対策基準・解説書」に記載されている。）【災害による障害の発生しにくい設備の設置及び管理】（「災害による障害の発生しにくい設備設置及び管理」に関する内容については、「金融機関等
コンピュータシステムの安全対策基準・解説書」に記載されている。）【災害による障害の発生しにくい設備の設置及び管理】• コンピュータシステムへの影響を防止するため、建物内において、コンピュータ室・データ保管室
は、地震、火災、浸水等の災害を受けるおそれのある位置にやむを得ず設置する場合は、各種災害による被害防止対策を講ずることが必要である。
［１ コンピューターセンター (6) コンピュータ室・データ保管室（位置） 設22］

指針の他に参考としている
基準

―

―

08

各安全基準等の改善状況［5/12］
安全基準等の名称

金融機関等におけるコンティンジェンシープラン策定のための手引書

航空分野における情報セキュリティ確保に係る安全ガイドライン（第５版）

重要インフラ分野

金融

航空

制定主体

公益財団法人金融情報システムセンター（FISC）

国土交通省

最終改正（初版制定）年月2017年５月（初版制定：1994年１月）

2019年３月（初版制定：2006年９月）

安全基準等の位置付け

業界団体等が定める業界横断的な業界標準・ガイドライン

関係法令に準じて国が定める推奨基準・ガイドライン

実施

実施

分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況
改定の主な内容

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

指針の他に参考としている
基準

指針の改定、関連するガイドラインやセキュリティインシデント事案を踏まえ、サイバー
セキュリティに関する態勢や対策の整備状況について分析・検証を実施。
金融庁の「システム障害に関する分析レポート（2019年6月）」の発表を契機に、他にも分析すべきシステム障害事例がないかをNISC「重要インフラにおける補完調査」を参照して分析・検証を実施。
2020年東京オリンピック・パラリンピック競技大会の開催前にサイバーセキュリティの観点からガイドラインの整備状況について分析・検証を実施。

指針の改定を踏まえ、その対応状況について分析・検証を実施。

なし

なし（分析・検証の結果は、「金融機関等コンピュータシステムの安全対策基準・解説書」
に反映。）

―

確認済み

確認済み

【データ管理】（「データ管理」に関する内容については、「金融機関等コンピュータシステムの安全対策基準・解説書」に記載されている。）【データ管理】• 利用の判断：クラウドサービスで取り扱う情報の格付及び取扱制限を踏まえ、情報の取扱いを委ねることの可否を判断すること。
• 法的な考慮：クラウドサービスで取り扱われる情報に対して国内法以外の法令が適用されるリスクを評価して委託先を選定し、必要に応じて委託事業の実施場所及び契約に定める準［3.1.4.3 (4) クラウドサービスの利用］
拠法・裁判管轄を指定すること。

【災害による障害の発生しにくい設備の設置及び管理】（「災害による障害の発生しにくい設備設置及び管理」に関する内容については、「金融機関等
コンピュータシステムの安全対策基準・解説書」に記載されている。）―【災害による障害の発生しにくい設備の設置及び管理】• システム管理者は、情報システムについては、システムが保有する情報の格付けに従って、自然災害、サイバー攻撃等、重要インフラサービス障害をもたらす原因となる様々な脅威からサーバ装置、端末及び通信回線装置を保護するための物理的な対策を検討すること。
［3.1.5.1 (3) 情報システム施設に係る入退出管理（物理的な不正侵入の防止）］• 政府機関等の情報セキュリティ対策のための統一基準群（サイバーセキュリティ戦略本部）

09

各安全基準等の改善状況［6/12］
安全基準等の名称

空港分野における情報セキュリティ確保に係る安全ガイドライン（第２版）

鉄道分野における情報セキュリティ確保に係る安全ガイドライン（第４版）

重要インフラ分野

空港

鉄道

制定主体

国土交通省

国土交通省

最終改正（初版制定）年月

2019年３月（初版制定：2018年４月）

2019年３月（初版制定：2006年９月）

安全基準等の位置付け

関係法令に準じて国が定める推奨基準・ガイドライン

関係法令に準じて国が定める推奨基準・ガイドライン

実施

実施

分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況
改定の主な内容

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

指針の他に参考としている
基準

指針の改定を踏まえ、その対応状況について分析・検証を実施。

指針の改定を踏まえ、その対応状況について分析・検証を実施。

なし

なし

―

―

確認済み

確認済み

【データ管理】• 利用の判断：クラウドサービスで取り扱う情報の格付及び取扱制限を踏まえ、情報の取扱いを委ねることの可否を判断すること。
• 法的な考慮：クラウドサービスで取り扱われる情報に対して国内法以外の法令が適用されるリスクを評価して委託先を選定し、必要に応じて委託事業の実施場所及び契約に定める準［3.1.4.3 (4) クラウドサービスの利用］
拠法・裁判管轄を指定すること。

【データ管理】• 利用の判断：クラウドサービスで取り扱う情報の格付及び取扱制限を踏まえ、情報の取扱いを委ねることの可否を判断すること。
• 法的な考慮：クラウドサービスで取り扱われる情報に対して国内法以外の法令が適用されるリスクを評価して委託先を選定し、必要に応じて委託事業の実施場所及び契約に定める準［3.1.4.3 (4) クラウドサービスの利用］
拠法・裁判管轄を指定すること。

【災害による障害の発生しにくい設備の設置及び管理】• システム管理者は、情報システムについては、システムが保有する情報の格付けに従って、自然災害、サイバー攻撃等、重要インフラサービス障害をもたらす原因となる様々な脅威からサーバ装置、端末及び通信回線装置を保護するための物理的な対策を検討すること。
［3.1.5.1 (3) 情報システム施設に係る入退出管理（物理的な不正侵入の防止）］【災害による障害の発生しにくい設備の設置及び管理】• システム管理者は、情報システムについては、システムが保有する情報の格付けに従って、自然災害、サイバー攻撃等、重要インフラサービス障害をもたらす原因となる様々な脅威からサーバ装置、端末及び通信回線装置を保護するための物理的な対策を検討すること。
［3.1.5.1 (3) 情報システム施設に係る入退出管理（物理的な不正侵入の防止）］• 政府機関等の情報セキュリティ対策のための統一基準群（サイバーセキュリティ戦略本部）• 政府機関等の情報セキュリティ対策のための統一基準群（サイバーセキュリティ戦略本部）

10

各安全基準等の改善状況［7/12］
安全基準等の名称

電気事業法施行規則第50条第２項の解釈適用に当たっての考え方

電気設備の技術基準の解釈

重要インフラ分野

電力

電力

制定主体

経済産業省

経済産業省

最終改正（初版制定）年月

2016年９月（初版）2020年２月（初版：2013年３月）

安全基準等の位置付け

関係法令に準じて国が定める推奨基準・ガイドライン

関係法令に準じて国が定める推奨基準・ガイドライン

実施

実施

分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況
改定の主な内容

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

指針の他に参考としている
基準

本安全基準等で引用している規格の改定状況について確認するため、分析・検証
を実施。

なし
―

本安全基準等で引用している規格の改定状況について確認するため、分析・検証を実施。

実施
本安全基準等で引用する日本電気技術規格委員会規格JESC Z0004（電力制御システムセキュリティガイドライン）及びJESC Z0003（スマートメーターシステ
ムセキュリティガイドライン）の改正内容を反映。

確認済み

確認済み

【データ管理】（「データ管理」に関する内容については、本安全基準等の中で引用している日本電気技術規格委員会規格JESC Z0004及びJESC Z0003に記載されている。）【データ管理】（「データ管理」に関する内容については、本安全基準等の中で引用している日本電気技術規格委員会規格JESC Z0004及びJESC Z0003に記載されている。）【災害による障害の発生しにくい設備の設置及び管理】（「災害による障害の発生しにくい設備設置及び管理」に関する内容については、本安全基準
等の上位法令である電気事業法施行規則（昭和40年通商産業省令第51号）に災害その他非常の場合に採るべき措置が規定されている。）【災害による障害の発生しにくい設備の設置及び管理】（「災害による障害の発生しにくい設備設置及び管理」に関する項目は、上位法令である「電気設備に関する技術基準を定める省令」（平成９年通商産業省令第52号）においてサイ
バーセキュリティ基本法第２条に規定するサイバーセキュリティの確保が規定されている。）• JESC Z0003：スマートメーターシステムセキュリティガイドライン• JESC Z0004：電力制御システムセキュリティガイドライン• JESC Z0003：スマートメーターシステムセキュリティガイドライン• JESC Z0004：電力制御システムセキュリティガイドライン

11

各安全基準等の改善状況［8/12］
安全基準等の名称

電力制御システムセキュリティガイドライン

スマートメーターシステムセキュリティガイドライン

重要インフラ分野

電力

電力

制定主体

一般社団法人日本電気協会

一般社団法人日本電気協会

最終改正（初版制定）年月

2019年７月（初版：2016年５月）

2019年７月（初版：2016年３月）

安全基準等の位置付け

業界団体等が定める業界横断的な業界標準・ガイドライン

業界団体等が定める業界横断的な業界標準・ガイドライン

実施

実施

分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況
改定の主な内容

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

指針の他に参考としている
基準

2018年11月に公表された「電力制御システムのセキュリティ向上策に関する提言」（経済産業省 サイバーセキュリティ研究会 電力サブワーキンググループ）の内容に関し、本安全基準等に速やかに反映させるべき事項について分析・検証を実施。

実施「電力制御システムのセキュリティ向上策に関する提言」を踏まえ、以下の内容を追加。
戦略マネジメント層の役割
ITとOTの密な連携
セキュリティ人材の確保
危機管理体制との連携強化 等
指針を踏まえ、可用性・サービス継続性の観点から内容を追記。
NIST「重要インフラのサイバーセキュリティを改善するためのフレームワーク」を参考に
サプライチェーン対策に関する対応を追記。

2018年11月に公表された「電力制御システムのセキュリティ向上策に関する提言」（経済産業省 サイバーセキュリティ研究会 電力サブワーキンググループ）の内容に関し、本安全基準等に速やかに反映させるべき事項について分析・検証を実施。

実施「電力制御システムのセキュリティ向上策に関する提言」を踏まえ、以下の内容を追加。
戦略マネジメント層の役割
ITとOTの密な連携
セキュリティ人材の確保
危機管理体制との連携強化 等
NIST「重要インフラのサイバーセキュリティを改善するためのフレームワーク」を参考に
サプライチェーン対策に関する対応を追記。

確認済み

確認済み

【データ管理】• 電力制御システム等の制御に関するデータを管理し、保護することが望ましい。

【データ管理】• スマートメーターシステムに関連するデータを管理し、保護すること。

• 重要インフラのサイバーセキュリティを改善するためのフレームワーク（NIST）• 重要インフラのサイバーセキュリティを改善するためのフレームワーク（NIST）

12

各安全基準等の改善状況［9/12］
安全基準等の名称

都市ガス製造・供給に係る監視・制御系システムのセキュリティ対策要領及び同解説

地方公共団体における情報セキュリティポリシーに関するガイドライン

重要インフラ分野

ガス

政府・行政サービス

制定主体

一般社団法人日本ガス協会

総務省

最終改正（初版制定）年月

2019年４月（初版）2018年９月（初版制定：2001年３月）

安全基準等の位置付け

業界団体等が定める業界横断的な業界標準・ガイドライン

関係法令に準じて国が定める推奨基準・ガイドライン実施

実施（継続中）分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況
改定の主な内容

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

指針の他に参考としている
基準

2019年１月のガス事業法施行規則（昭和45年通商産業省令第97号）の改正により、各事業者（中小事業者を含む。）は保安規程で「ガス工作物の運転又は操作を管理する電子計算機に係るサイバーセキュリティの確保に関すること」を定めることとされたことから、そのためのセキュリティ対策の要領及び解説を新規に策定。

2019年12月より、「地方公共団体における情報セキュリティポリシーに関するガイド
ラインの改定等に係る検討会」を開催しており、2020年夏を目途に、「地方公共団体における情報セキュリティポリシーに関するガイドライン」の改定を行う予定。

実施（初版制定）なし（2019年４月１日に初版制定。内容は非公表。）

―

確認済み

確認済み

【データ管理】（「データ管理」に関する内容の記載あり。内容は非公表。）【データ管理】• 情報セキュリティ管理者は、外部委託事業者の選定にあたり、委託内容に応じた情報セキュリ
ティ対策が確保されることを確認しなければならない。
• 情報セキュリティ管理者は、情報セキュリティマネジメントシステムの国際規格の認証取得状況、情報セキュリティ監査の実施状況等を参考にして、事業者を選定しなければならない。【推奨事項】• 情報セキュリティ管理者は、クラウドサービスを利用する場合は、情報の機密性に応じたセキュ
リティレベルが確保されているサービスを利用しなければならない。
［第２編 第２章 8.1. （１）外部委託事業者の選定基準］【災害による障害の発生しにくい設備の設置及び管理】• 情報システム管理者は、サーバ等の機器の取付けを行う場合、火災、水害、埃、振動、温度、湿度等の影響を可能な限り排除した場所に設置し、容易に取り外せないよう適正に固定する［第２編 第１章 ４．（1） 機器の取付け］
等、必要な措置を講じなければならない。

【災害による障害の発生しにくい設備の設置及び管理】（「災害による障害の発生しにくい設備設置及び管理」に関する内容については、業界内の他のガイドライン・要領等に記載されている。）• 製造・供給に係る制御系システムのセキュリティ対策ガイドライン（日本ガス協会）• JESC Z0004：電力制御システムセキュリティガイドライン―

13

各安全基準等の改善状況［10/12］
安全基準等の名称

医療情報システムの安全管理に関するガイドライン（第５版）

水道分野における情報セキュリティガイドライン（第４版）

重要インフラ分野

医療

水道

制定主体

厚生労働省

厚生労働省

最終改正（初版制定）年月2017年５月（初版制定：2005年３月）

2019年３月（初版制定：2006年10月）

安全基準等の位置付け

関係法令に準じて国が定める推奨基準・ガイドライン

関係法令に準じて国が定める推奨基準・ガイドライン実施

実施（2018年度）

分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況
改定の主な内容

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

指針の他に参考としている
基準

新たな技術的対策、各種指針等の改定、サイバー攻撃の高度化等を踏まえ、本
安全基準等の見直しに向けて、以下の項目について分析・検証を実施。
ID・パスワードによる認証に対する対応
近時のサイバー攻撃への対応
セキュリティ事故情報の報告スキーム
Cookieを利用するサービスへの対応
クラウドサービス等を選定する際の対応 等（2018年４月から分析・検証を実施し、2019年３月に本安全基準等を改定）

なし

なし

―

―

確認済み

確認済み

【データ管理】
医療機関等が民間事業者等との契約に基づいて確保した安全な場所に保存する場合
この場合、法令上の保存義務を有する医療機関等は、システム堅牢性の高い安全な情報の保存場所を選定する必要がある。
［8.1.2 外部保存を受託する機関の選定基準及び情報の取り扱いに関する基準 1.③］
【災害による障害の発生しにくい設備の設置及び管理】• 地震、水害、落雷、火災等の災害による電力供給の途絶• 地震、水害、落雷、火災等の災害による通信の途絶• 地震、水害、落雷、火災等の災害によるコンピュータ施設の損壊等• 地震、水害、落雷、火災等の災害による重要インフラ事業者等におけるITの機能不全
これらの脅威について対策を行うことにより、発生可能性を低減し、リスクを実際上問題のないレベルにまで小さくすることが必要である。
［6 情報システムの基本的な安全管理 6.2.3 リスク分析⑦(c)］【データ管理】• データ資産の管理：システムのリスク評価に応じてデータの適切な保護や保管場所の考慮をはじめとした望ましいデータ管理を行うとともに、事業環境の変化を捉え、インターネットを介したサービス（クラウドサービス等）を活用するなど新しい技術を利用する際には、国内外の法令や評価制度等の存在について留意する必要がある。
［3.4. (2) 優先的に対策を講じる情報システムの特定)］――【災害による障害の発生しにくい設備の設置及び管理】• 災害による障害の発生しにくい設備の設置及び管理：水道サービスの提供に係る情報システ
ム、データセンター等の設備については、各種災害による障害が発生しにくい適切な場所を設置の際に検討するとともに、災害が発生した場合であっても被害を低減できるような防止対策を事前に検討・実施する等、適切な設備及び管理を行う仕組みを構築する必要がある。
［3.4. (2) 優先的に対策を講じる情報システムの特定)］

14

各安全基準等の改善状況［11/12］
安全基準等の名称

物流分野における情報セキュリティ確保に係る安全ガイドライン（第４版）

石油化学分野における情報セキュリティ確保に係る安全基準

重要インフラ分野

物流

化学

制定主体

国土交通省

石油化学工業協会

最終改正（初版制定）年月

2019年３月（初版制定：2006年９月）

2019年５月（初版制定：2015年３月）

安全基準等の位置付け

関係法令に準じて国が定める推奨基準・ガイドライン

業界団体等が定める業界横断的な業界標準・ガイドライン

実施

実施

分析・検証の実施状況（１）安全基準等の改善に関する取組

分析・検証の内容や主な理由・契機改定の実施状況
改定の主な内容

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

指針の改定を踏まえ、その対応状況について分析・検証を実施。

なし「重要インフラの情報セキュリティ対策に係る第４次行動計画」及び指針の対応状
況について、分析・検証を実施。

実施―

対策項目として「データ管理」及び「災害による障害の発生しにくい設備設置及び管理」を追加。

確認済み

確認済み【データ管理】• 利用の判断：クラウドサービスで取り扱う情報の格付及び取扱制限を踏まえ、情報の取扱いを委ねることの可否を判断すること。
• 法的な考慮：クラウドサービスで取り扱われる情報に対して国内法以外の法令が適用されるリスクを評価して委託先を選定し、必要に応じて委託事業の実施場所及び契約に定める準［3.1.4.3 (4) クラウドサービスの利用］
拠法・裁判管轄を指定すること。

【データ管理】（「データ管理」に関する内容の記載あり。内容は非公表。）【災害による障害の発生しにくい設備の設置及び管理】（「災害による障害の発生しにくい設備設置及び管理」に関する内容の記載あり。内容は非公表。）【災害による障害の発生しにくい設備の設置及び管理】• システム管理者は、情報システムについては、システムが保有する情報の格付けに従って、自然災害、サイバー攻撃等、重要インフラサービス障害をもたらす原因となる様々な脅威からサーバ装置、端末及び通信回線装置を保護するための物理的な対策を検討すること。
［3.1.5.1 (3) 情報システム施設に係る入退出管理（物理的な不正侵入の防止）］指針の他に参考としている
基準• 政府機関等の情報セキュリティ対策のための統一基準群（サイバーセキュリティ戦略本部）―

15

各安全基準等の改善状況［12/12］
安全基準等の名称

クレジットCEPTOARにおける情報セキュリティガイドライン

石油分野における情報セキュリティ確保に係る安全ガイドライン

重要インフラ分野

クレジット

石油

制定主体

一般社団法人日本クレジット協会

石油連盟

最終改正（初版制定）年月

2018年４月（初版制定：2014年12月）

2020年3月（初版制定：2015年３月）

安全基準等の位置付け

業界団体等が定める業界横断的な業界標準・ガイドライン

業界団体等が定める業界横断的な業界標準・ガイドライン

実施

実施

分析・検証の実施状況（１）安全基準等の改善に関する取組

2020年東京オリンピック競技大会・東京パラリンピック競技大会（※）期間中の障害発生時における事業者と所管省庁等関係機関との連絡体制強化のため、情報連携の実効性について分析・検証を実施。

分析・検証の内容や主な理由・契機指針の改定を踏まえ、その対応状況について分析・検証を実施。

（※）令和２年３月30日に、東京オリンピックは令和３年７月23日から８月８日に、東京パラリンピックは同年８月24日
から９月５日に開催されることが決定された。

改定の実施状況
改定の主な内容

指針との対応（２）指針との関係【参考】「データ管理」 や「災害による障害の発生しにくい設備設置及び管理」に関する記載事例（一部抜粋）

指針の他に参考としている
基準

なし

実施

―

対策項目として「データ管理」及び「災害による障害の発生しにくい設備設置及び管理」を追加。

確認済み

確認済み

【データ管理】（「データ管理」に関する内容については、割賦販売法（昭和36年法律第159号）に規定されるセキュリティ対策措置の実務指針である「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画」に掲げられた国際的なデータセキュリティ基準「PCI DSS」に記載されている。）【データ管理】（「データ管理」に関する内容の記載あり。内容は非公表。）【災害による障害の発生しにくい設備設置及び管理】（「災害による障害の発生しにくい設備設置及び管理」に関する内容については、割賦販売法（昭和36年法律第159号）に規定されるセキュリティ対策措置の実務指針である「クレジット
カード取引におけるセキュリティ対策の強化に向けた実行計画」に掲げられた国際的なデータセ
キュリティ基準「PCI DSS」に記載されている。）

PCI DSS【災害による障害の発生しにくい設備設置及び管理】（「災害による障害の発生しにくい設備設置及び管理」に関する内容の記載あり。内容は非公表。）―

16