資料４

重要インフラにおける「指針の見直し」の進め方について

2009年 1月 23日
内閣官房 情報セキュリティセンター（NISC）

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

「指針の見直し」の概要○第１次行動計画では、指針（※）制定（2006年2月）、指針の改定（2007年6月）、指針見直しの要点とりまとめ（2008年4月）の実施に加え、各分野にて安全基準等の策定・見直しが行われ、これらを定期的に実施するサイクルが確立した○今回、セキュア・ジャパン2008に基づいて、分析・検証を実施し、必要に応じて指針の改定等の対策の検討を進める○ この検討から、第２次行動計画（案）における「指針の改定に関する検討は原則として３年に１度実施」し、「指針の改定は、第２次行動計画の初年度に実施する」ことに引き継いでいき、指針の改定を実施する

第1次行動計画における取組み

第2次行動計画（案）における取組み

指針の見直し（SJ2006）

指針の見直し（SJ2007）

指針の見直し（SJ2008～SJ2009（予定））

指針の分析・検証

指針

指針の改定

指針見直しの要点

指針の改定（２００６．２）（２００７．６）（２００８．４）（２００９年度中）（指針の追補版：必要に応じて）第1次行動計画

第2次行動計画（案）・指針については１年ごと及び必要に応じて適時見直す

・社会動向の変化等に対応し、また新たな知見を適時反映していくために、指針の分析・検証を１年毎、及び必要に応じて実施し、その結果を公表することとする。なお、指針の改定に関する検討は原則として３年に１度実施するものとする
・指針の改定は、第２次行動計画の初年度に実施
する

セキュア・ジャパン2008
・行動計画の見直し状況や、相互依存性解析の成果等を踏まえ、各重要インフラ所管省庁の協力を得て、情報セキュリティ対策に関する問題意識の抽出に向けた分析・検証を実施し、必要に応じて指針の改定等の対策の検討を進める※重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針（2006年2月2日 2007年6月14日改定 情報セキュリティ政策会議決定）
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

1

指針の改定に向けたスケジュール○指針改定の骨子案を2009年4月までにとりまとめた後、引き続き分析・検証を進め、2009年10月頃に指針第3版の策定が完了することを目指す○各重要インフラ分野は、第２次行動計画（案）期間中における安全基準等の継続的改善の際に指針第3版を活用することを期待する
情報セキュリティ政策会議（事務局：内閣官房）
指針の継続的改善

指針の見直し2009年3月

2009年4月

骨子案
検討

骨子案
確定

分析・検証
（骨子案作成）

2009年8月頃

分析・検証（4つのアプローチ
・指針見直しの要点→問題意識の抽出→パブコメ案作成）

パブコメ案
決定

2009年10月頃

パブリック
コメント

＜参考＞４つのアプローチ

指針見直しの要点（2008.4）①定常的なIT障害の発生状況の分析②「相互依存性解析」の成果③関連文書の検証④社会的条件（環境）の変化の検証

・水道分野と他分野との相互依存性・IT障害への脅威の定義、及び、重要インフラ事業者等・重要システムの範囲・経験やベストプラクティスの共有
・IPv6への移行を行う場合の適切な対応

各重要インフラ分野

指針
第3版
決定

安全基準等の継続的改善

安全基準等の整備
・指針を踏まえて、それぞれの事業分野は、必要又は望ましい情報セキュリティ対策の水準を明示

・対策の経験から得られた知見を安全基準等に反映するため、安全基準等の継続的な改善に取り組む
・安全基準等の検証に際しては、指針や毎年実施される指針の分析・検証の結果を踏まえた検討を行うこととし、必要に応じて安全基準等の改定を行う

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

2

指針の改定にあたっての基本理念と骨子案の策定○重要インフラの情報セキュリティ確保のためにより有用なものとなるよう、行動計画の見直しにおいて得られた論点を踏まえて、以下の対応方針をおき、指針改定に向けての分析・検証を実施する○ これらの基本理念を踏まえつつ、新たな重点項目の在り方等の章構成を含めた指針の大枠について検討し、骨子案をとりまとめる
行動計画の見直しにおいて得られた論点（第2次行動計画（案）に反映）①指針の位置づけ、記載内容の具体性のレベル
・「要検討事項」「参考事項」に分類
・対策項目の具体化を例示②事業者とのPDCAサイクルとの整合性
・指針の大枠の改定は3年に一度・1年毎、及び必要に応じて適時に追補版を作成して周知③事業継続計画との関係
・事業継続の観点から具体的内容を補充
・国際規格化の進展状況等を踏まえつつ指針の内容を充実④リスク開示の在り方
・様々な自主的な取組みを推奨【対応方針】（１）具体性の充実
具体的な対策項目集として自主的な活用を期待（次ページ参照）（２）諸規格との整合重要インフラの特徴を踏まえつつ、国内外の標準・基準にも配慮（３）運用性の確保
各分野が主体的に検討する
ＰＤＣＡサイクルを尊重

新たな重点項目の在り方等の章構成を含めた指針の大枠について検討し、骨子案をとりまとめる
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

3

＜参考＞具体性の充実のイメージ○重要インフラ事業者等の自主的な取組みに資する項目を充実させるために、指針に記載される事項を「要検討事項」と「参考事項」に分類し、対策項目の具体化を例示することにより、記載事項の充実を図る
次期指針（案）

現行指針

安全基準等（現行）

指針に示された項目（規定する必要がないものを除く）（各事業分野にて検 （各事業分野にて検討された）対策項目 討された）対策項目の具体化の具体化

各分野の安全基準等や事業者等へのヒアリング・調査等を踏まえて、指針（将来の姿）に反映

1）現行の「指針」に示された項目（既に「安全基準等」に盛り込み済みの項目）
2）現行動計画の取組みに基づく知見・教訓等（例.相互依存性解析の成果）

対策項目の具体化を例示「安全基準等」に盛り込むことが「望ましい」事項

各分野が任意で参考とする事項と位置づけ、個別の進んだ対策を記載

具体的内容

指針に記載していない項目（規定する必要がある場合）「安全基準等」に盛り込むか「検討するべき」事項（※）

抽象的内容「要検討事項」として指針（将来の姿）に反映
既に安全基準等に盛り込み済

参考事項

要検討事項

何らかの対処がなされていることが「望ましい」項目

対策項目の具体化を例示※安全基準等に規定する必要があるかを各分野にて検討（検討の結果、規定する必要がない場合もあり得る）
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

4