重要インフラ専門委員会
第 34 回会合議事
１ 日時 平成 25 年 11 月 29 日（金）14:00〜16:15
２ 場所 中央合同庁舎第４号館 共用 1208 号特別会議室
３

出席者

（委員）
淺野正一郎

委員長

（情報・システム研究機構

国立情報学研究所

稲垣隆一

委員

（弁護士）

太田英雄

委員

（公益社団法人

大高利夫

委員（神奈川県藤沢市）

大林厚臣

委員

（慶應義塾大学小出哲也

委員（第一生命保険株式会社）

小林圭治

委員

（一般社団法人

阪上啓二

委員（野村ホールディングス株式会社）

佐藤昌志委員

（電気事業連合会）

神保謙委員（慶應義塾大学准教授）

鈴木栄一

委員

（一般社団法人

日本損害保険協会）

関沢雅士

委員

（株式会社東京証券取引所）

谷合

通宏委員

（株式会社みずほ銀行）

寺内利晃

委員（代理人出席）

土居範久

委員

（慶應義塾大学長島雅夫

委員（日本電信電話株式会社）

永瀬裕伸

委員

（日本通運株式会社）

西村敏信

委員（公益財団法人

土生尚委員（日本放送協会）

早貸淳子

委員（一般社団法人深澤孝治

委員（株式会社セブン銀行）

福島

雅哉

委員

（定期航空協会）

松崎

吉伸

委員

（株式会社インターネットイニシアティブ）

吉岡克成

委員

（横浜国立大学

渡辺研司

委員（名古屋工業大学大学教授）

日本水道協会）教授）
日本民営鉄道協会）（東日本旅客鉄道株式会社）
名誉教授）

金融情報システムセンター）
JPCERT コーディネーションセンター）

准教授）

1教授）

（政府）
内閣官房副長官補
内閣官房審議官
内閣官房参事官
内閣官房情報セキュリティセンター

４

金融庁

総務企画局政策課

総務省

情報流通行政局情報流通振興課情報セキュリティ対策室

総務省

自治行政局地域情報政策室

厚生労働省

政策統括官付情報政策担当参事官室

厚生労働省

医政局研究開発振興課

厚生労働省

健康局水道課

経済産業省

商務情報政策局情報セキュリティ政策室

国土交通省

総合政策局情報政策課情報危機管理室

国土交通省

鉄道局総務課危機管理室

議事概要（１）内閣官房副長官補挨拶（２）委員長挨拶（３）議事内容①議事次第に基づき、以下の報告事項・討議事項について事務局より資料に基づき説明。
○報告１：2013 年度 重要インフラにおける「安全基準等の浸透状況等に関する調査」
について（資料３）
報告２：第２次行動計画の施策の成果と課題（資料４）○討議：次期行動計画(草案)について（資料５、６）②委員意見開陳〈報告１〉○資料３の P14 の内部監査の事業規模ごとの実施割合について、100 名〜999 名の規模での実施割合が半数にとどまっている。所管省庁によっては情報セキュリティについて監督指針に入れているところもあり、管理・業務遂行のレベルについて所管省庁が認識すべき立場にいると思うが、重要インフラ事業者等が適切に事業を遂行する能力があるのか又は遂行しているのかについて、所管省庁は確認できているのか。
○（事務局）調査対象は、情報セキュリティに係る内部監査の実施状況であり、業務監査を対象にしているものではない。
〈報告２〉○資料４の P7 において、ここに連絡体制が有効に機能した結果として情報連絡件数が増加しているというものであるとの記述がある。情報連絡を扱う側として、良くレポー2

トが行われているという評価なのか、それとも本来は潜在的にはもっと情報伝達されるべき情報がありまだ十分ではないという評価なのか。
○（事務局）総論的には、積極的な面と消極的な面と両方の側面がある。2009 年及び 2010
年の件数は少ないが、2011 年 9 月を契機に事業者の意識が変わり、一部の分野で件数が増えてきており、各分野における情報提供量に格差があるのも事実ではあるが、今後は更に増えるのではないか。
〈討議〉○前回と比較し、かなり充実した内容となっており、特に資料６の II 章について、目的として「〜及ぼさないよう」までを明示した点と、経営層の在り方として「経営層は」と主語を明示した点を評価したい。
○資料６の II 章の関係主体の在り方において「自らの状況を正しく認識し、活動目標を主体的に策定する…」とあるが、別紙４−２で、セプターの図が出ている。例えば業界団体が、図の中でどこに該当するのか明確になっているとよい。
○資料６の II 章に経営層の在り方が記載されているが、小規模な重要インフラ事業者等が意味を読み解けるかが心配である。そもそも自らが重要インフラ事業者等であると認識があるかどうかである。
○資料６の II 章の図表に「BCP」とあるが、事業全体の BCP なのか、情報セキュリティ対策の中の IT-BCP なのか、位置付けを明確にしてほしい。
○資料６の別紙１・別紙２について、行動計画は複数年のものであり、重要インフラサービスやサービス維持レベルは場合によっては変化があるということを想定して進めてほしい。
○資料６の別紙３について、事象と原因の記載例については、内容によりある事象が原因となる場合も有り得るので、その当たりも検討しておく必要がある。
○資料６の II 章の経営層の在り方において、「経営資源」と記載されているが、理解の促進のために、ヒト・モノ・カネや組織等の具体的な内容を明記した方がよい。
○サイバーセキュリティのインシデントレスポンスを行う機能として CSIRT があり、資料５のサイバーセキュリティ戦略の関連部分の中にも出てくるので、行動計画の中にも記載した方がよいのではないか。
○第２次行動計画から施策群の名称変更をしたことで、目的が明確化されよかった。
○第２次行動計画では官民連携が謳われており、本行動計画も国の施策であると経営層に認識させることで、主体的に取り組むものだと訴えられればよい。
○資料６の II 章の図表について、重要インフラ事業者等はその置かれている状況に応じて自主的に情報セキュリティ対策を実施しているため、「標準例」や「目指すべきもの」などとして図表の位置付けを明確にしてほしい。
○資料６の II 章の経営層の在り方において、既に「リスクマネジメント」自体の重要性は理解しているものと思うが、その中で特に情報セキュリティリスクの重要性を訴え3

られるようにしたい。
○追加の重要インフラ分野もあるとのことで、日本特有の定義もあると思うが、欧米の重要インフラの定義を参照すると連携がよくなるのではないか。
○国際連携について、先駆的事例の多い欧米と ASEAN ではその中身は異なるはずで、ASEAN地域は何のための国際連携を行うのか、目的を明確にすべき。
○資料６の II 章に関して、「情報セキュリティ」自体は震災対応等もあって既に取り組んでいるが、不正アクセス等の意味で「サイバーセキュリティ」という文言を入れることで、その必要性を経営層へより訴求できるのではないか。
○資料６の II 章で、関係主体の在り方が分かりづらいので構成を工夫してはどうか。
○資料６の II 章の経営層の在り方について、「リスク源の認識」は各事業者で個別のものになるかと思うが、官民連携した認識をベースとする趣旨を含めたほうがよいのではないか。また、サイバーセキュリティは 100％というのは無理なので、優先順位を付けることも必要ではないか。
○資料６の II 章について、ＩＴ障害は顕在化しにくいため、顕在化する前の連携についても言及がほしい。
○資料６の II 章の図表について、PDCA のＰとＡは同一ではないので、位置付けを明確にすべきではないか。
○リスク分析について ISO/IEC27000 シリーズ等を参照する際に最新版を参照しているようだが、最新のものは旧来から構造が変わっているので、留意してほしい。
○オリンピックが東京であるが、その際には重要インフラ分野が協力する必要があり、それを見越したものとすべきである。
○特定の分野では安全基準等において経営層の関与について既に記載おり、資料６の II章で経営層に言及したことを評価する。その中で、経営資源の確保について、体制の構築が重要と考えるので明記してほしい。
○資料６の II 章の図表において、PDCA サイクルとしてまとめてもらい、説明・理解しやすく参考になる。
○情報提供されたものについて、対策をどのように実施したかについても共有できるようになるとありがたい。
○資料６の別紙２にある「サービス維持レベル」は、どういった趣旨で設定されているのか。
○（事務局）第２次行動計画で「検証レベル」とされていたもので、重要インフラ所管省庁とも調整の上、法令等で明記されている基準等を対象として設定している。
○資料６の III.2 や、別紙４−１及び別紙４−２において、サイバー空間関連事業者について記載があるが、共有する情報なども含め、既に調整が済んでいるのか。
○（事務局）個別に調整を進めているところであるが、具体的な実際の情報の共有方法については今後検討していく予定である。
○資料６の II 章において、経営層に対して情報セキュリティ対策の一環であることをよ4

り明確となるようにできないか。
○資料６の II 章に「経営資源の継続的な確保」とあるが、何をどこまで行うのか具体的な取扱いの記載ができないか。また、次期行動計画はどういうミッションで、掛け声なのか義務なのか、参考なのかなどその根拠が必要ではないか。
○資料６の II 章において、「多様な脅威への対応が万全であることを確認」という記載があるが、「万全」というのは言い過ぎなのではないか。
○資料６の II 章において、重要インフラ防護の取組の周知により、国民の安心感を醸成するという記載になっているが、周知により可能なのは安心感の醸成ではなく情報の透明性等なのではないか。
○資料６の別紙３において、偶発的な原因に不審なファイルの実行、不審なサイトの閲覧があり、それはそもそも意図的な脅威があるからこそ発生するのではないのか。また、「その他の原因」に「システムの脆弱性」と記載があるなど、どれを選んだらよいのか分からない可能性がある。
○資料６の II 章において、経営資源として人材育成があるが、どういったスキルセットが必要であるのか記載できないか。
○資料５の P11 の第２次行動計画と次期行動計画との対比は、経営層には具体的施策がわかりにくいので、施策項目を具体的に記載したものがあるとよい。
（４）その他○

報告事項２件については、委員会了承。また、委員の意見等を踏まえ、次期行動計画（草案）については、次回会合にパブリックコメント版として付議することとする。

○

次回の会合を来年 1 月 10 日に開催を予定する。
（以5上）