資料２

2007年度重要インフラにおける「安全基準等の見直し状況等の把握及び検証」について【最終報告】

2008年 1月 31日
内閣官房 情報セキュリティセンター（NISC）

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

「安全基準等の見直し状況等の把握及び検証」の概要○2006年度、重要インフラ10分野において「安全基準等」の策定・見直しが行われ、内閣官房にて安全基準等の策定状況の把握・評価を実施（2007年4月23日 情報セキュリティ政策会議）。
○定常的なＩＴ障害の発生状況の把握を通じて、各重要インフラ分野に共通する横断的な対策課題の分析・検討を行った結果、「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」を改定（2007年6月14日 情報セキュリティ政策会議決定）○改定された指針に基づき、各重要インフラ分野においては「安全基準等」の見直しを実施。
○ＮＩＳＣにて「安全基準等」の策定状況の把握及び検証を実施。

セキュア・ジャパン
2006（2006年
2006年6月15日情報セキュリ
15日情報セキュリ
ティ政策会議決定）【具体的施策】イ）「安全基準等」の策定状
況の把握及び評価（内閣官房）

重要インフラにおける安全基準等の整備状況について把握及び評価の実施 （ 報告 ：2007年4月23日情報セキュリティ政策会議 ）・行動計画策定時点において、安全基準等が存在しなかった分野も含め、全ての分野において安全基準等の策定・見直しが完了。
含め、全ての分野において安全基準等の策定・見直しが完了。
・指針の各項目が規定する必要が無い場合を除き、各安全基準等に盛り込まれており、指針との対応が取れていることを確認。に盛り込まれており、指針との対応が取れていることを確認。

重要インフラにおける情報セキュリティ確保に係る「安全基準等」策定にあたっての指針の見直し（ 改定 ：2007年
2007年6月14日情報セキュリティ政策会議決定
14日情報セキュリティ政策会議決定 ）ウ）指針の見直し（内閣官房）

・定常的なIT障害の発生状況の把握等を通じて、各重要インフラ分野・定常的なIT障害の発生状況の把握等を通じて、各重要インフラ分野に共通する横断的な対策課題の分析・検討を行う等見直しの結果、該当する10カ所について指針の改定を実施。
。
該当する10カ所について指針の改定を実施

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

セキュア・ジャパン
2007（2007年
2007年6月14日情報セキュリ
14日情報セキュリ
ティ政策会議決定）【具体的施策】
ア）各重要インフラ分野の安全基準等の策定・見直しa)安全基準等の見直しb）「安全基準等」の見直し状
況等の把握及び検証
イ）各重要インフラ分野における「安全基準等」の浸透状
況等に関する調査の実施ウ）指針の見直し1

「安全基準等の見直し状況等の把握及び検証」の観点「安全基準等」の見直し状況等の把握及び検証の方向性
昨年度のアプローチを継承し、2007年度の把握及び検証を実施
昨年度実施に至らなかった「相互依存性解析」の成果を踏まえた検証を実施（「指針」 Ⅰ目的及び位置づけ より）（略） それぞれの事業分野においてその特性に応じた必要又は望ましい情報セキュリティ対策の水準を「安全基準等」という形で明示し、（略） 本指針は、あくまで最低限の情報セキュリティ対策が講じられるよう安全基準等の策定若しくは見直しを支援するために策定されたもの（「指針」 Ⅱ 「安全基準等」で規定が望まれる項目 より）（略） 重要インフラの国民生活への影響や社会的な責任の大きさ等に鑑み、国民に対し安全・安心に取り組む姿勢を表明する観点から、「安全基準等」に公開に関する規定を置き、（「セキュア・ジャパン2007」 第２節 重要インフラ より）「安全基準等」の策定状況の把握及び評価（内閣官房）
各重要インフラ分野における「安全基準等」について、各重要インフラ所管省庁の協力を得つつ見直しの状況を2007年中に把握するとともに、相互依存性解析の結果も踏まえた検証を2007年度中に実施する。

◆2007年度「安全基準等」の見直し状況等の把握及び検証におけるアプローチ①「安全基準等」の見直し状況等

・それぞれの分野において「指針」改定を踏まえた「安全基準等」の見直しが完了しているか・「安全基準等」の見直しをどのようなプロセスを経て実施しているか
・指針改定以外の観点での「安全基準等」の見直しについてどのように検討されているか②「指針」との対応状況の検証

・昨年度の「指針」の改定項目が「安全基準等」に適切に反映されているか・「指針」にて示される項目が、その事業の態様等の理由から規定する必要がないと判断されない限り、「安全基準等」にて記載されているか・「指針」にて示される項目以外で分野ごとの特性を踏まえた対策がどのように規定されているか
・国民に対し、どのように安全・安心に取り組む姿勢を表明しているか③「相互依存性解析」の成果を踏まえた検証

・昨年度実施した相互依存性解析の結果を踏まえ、各分野の「安全基準等」において、今後反映することが望ましい事項の洗い出しを行う※青字部分は、2007年度に新たに追加するアプローチ

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

2

①「安全基準等」の見直し状況等◆平成19年6月に行われた指針の改定を踏まえ、重要インフラ10分野について安全基準等の見直しを実施済。
（うち、5つの安全基準等において改定があった）◆4つの安全基準等において、指針改定以外の観点による追加的な見直しが実施されていることを確認。
分野

安全基準等の名称指針改定を踏まえた見直し

備考（指針改定以外の観点を加えた追加的な見直し等）

見直し状況改定箇所

実施済

改定不要

−

電気通信

電気通信事業法、電気通信事業法施行規則、事業用電気通信設備規則等（関連する告示を含む）
情報通信ネットワーク安全・信頼性基準
電気通信分野における情報セキュリティ確保に係る安全基準（第1版）

放送

放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン

実施済

改定不要

対応すべき障害の具体化の観点から情報システムのセキュリティ要件の見直しを2008年1月に実施。

金融機関等におけるセキュリティポリシー策定のための手引き
金融機関等コンピュータシステムの安全対策基準・解説書
金融機関等におけるコンティンジェンシープラン策定のための手引書

実施済

改定不要

金融機関等のセキュリティ動向を踏まえ2007年3月に安全対策基準・解説書の追補版を発行。

航空運送

航空運送事業者における情報セキュリティ確保に係る安全ガイドライン

実施済

改定あり

−

航空管制

航空管制システムにおける情報セキュリティ確保に係る安全ガイドライン

実施済

改定あり

−

鉄道

鉄道分野における情報セキュリティ確保に係る安全ガイドライン

実施済

改定不要

−

電力

電力制御システム等における技術的水準・運用基準に関するガイドライ
ン

実施済

改定あり

指針改定の見直しと同時に、全体的に見直しを実施。 PDCAサイクルの規定等について改定。

ガス

製造・供給に係る制御系システムの情報セキュリティ対策ガイドライン

実施済

改定あり

−

政府・行政地方公共団体における情報セキュリティポリシーに関するガイドライン

実施済

改定不要

−

医療

医療情報システムの安全管理に関するガイドライン第2版

実施済

改定不要

無線・ﾓﾊﾞｲﾙを医療機関で安全に利用する際の技術的要件等の追加について検討中。

水道

水道分野における情報セキュリティガイドライン

実施済(※)

改定あり

−

物流

物流分野における情報セキュリティ確保に係る安全ガイドライン

実施済

改定不要

−

情報
通信金融
航空

（※）水道分野のCEPTOARの設置は平成20年3月を予定していることを踏まえ、当該部分を含めたガイドラインの通知は同時期に行う。
Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

3

②「指針」との対応状況の検証◆指針改定箇所については、重要インフラ10分野で対応していることを確認。
◆全分野において国民に対する姿勢の表明を行っており、さらに８分野においては本文を公開。
分野

対応状況

分野ごとの特性を踏まえた対策

国民に対する姿勢表明の考え方その他具体的対策のチェックシートが添付

電気通信

対応済

対象とする脅威にネットワーク輻そうを挙げている

ホームページで本文を公開
参照しているISO/IEC 17799:2005はISO等
より販売

放送対応済

「放送内容に関わる情報」「報道に関わる情報」は「表現の自由」「報道の自由」の関係から対象外

NHK、日本民間放送連盟窓口にて個別配布−

対応済ATMなど具体的な対象システムに対して具体的な事例も踏まえつつ解説

金融情報システムセンター（FISC）において販売

水道途絶時における対策について記載

航空運送

対応済

−

国土交通省窓口にて個別配布

−

航空管制

対応済

関係する国土交通省のセキュリティポリシーとの関係について明示

国土交通省窓口にて個別配布

−

鉄道

対応済

対象システムでは個人情報を扱わない
ため、個人情報は対象外

国土交通省窓口にて個別配布

−

電力

対応済

電力会社専用の通信ネットワークの利用を明示

情報セキュリティの取組みをホームページに掲示（ガイドラインは、非公開）

−

ガス

対応済

−

制御系システムの情報セキュリティの取組
みを今年度中にホームページに掲示予定（ガイドラインは、非公開）−

政府・行政対応済−

ホームページで本文を公開

項目毎にセキュリティポリシーの例文と解説を記載

医療対応済

電子化された診療録等のデータを従来からの媒体と同等に扱う

厚生労働省及び複数の医療関係機関のホームページで本文を公開

拠点間を接続するネットワークに関するセキュリティ要件について詳細に解説

水道対応済

関係する自治体等が定めるセキュリティポリシーとの関係について明示

厚生労働省担当課窓口にて個別配布
厚生労働省ホームページにおいて、水道事業者等に対して安全基準等に基づく対策実施等を依頼した旨を公表

物流

対応済

−

情報
通信

金融
航空

国土交通省窓口にて個別配布

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

−−
4

③「相互依存性解析」の成果を踏まえた検証◆情報通信（電気通信）、電力分野への依存については、現行の安全基準等で既に取り組んでいることが確認できた。
◆水道分野への依存については、先行して取り組んでいる分野の対応を抽出した。

◆現行指針及び安全基準等での対応状況
・情報通信分野（電気通信）＝ 他の６分野が依存 → 既に当該6分野の安全基準等及び指針で記載がある・電力分野＝ 他の9分野が依存 → 既に当該9分野の安全基準等及び指針で記載がある
・水道分野＝ 他の7分野が依存 → 既に１分野の安全基準等で記載がある◆既に記載されている脅威及び対策の内容
・情報通信分野（電気通信）との相互依存性に関する対応◆対象とする脅威に関する記述
・通信途絶
・通信事業者での障害
・通信の途絶（指針）◆脅威に対する対策に関する記述
・通信回線の冗長化
・通信の迂回経路の準備
・通信事業者冗長化 ・物理的回線の複数化
・SLA（Service Level Agreement）の締結
・基本的なセキュリティ機能として冗長化機能（指針）・電力分野との相互依存性に関する対応◆対象とする脅威に関する記述
・停電
・電力供給の途絶（指針）◆脅威に対する対策に関する記述
・施設、コンピュータセンターの冗長化 ・２回線受電
・自家発電装置の設置 ・無停電電源装置の設置
・施設や環境面に対する停電時の対応（指針）・水道分野との相互依存性に関する対応◆対象とする脅威に関する記述（記載なし）◆脅威に対する対策に関する記述
・空調用冷却水の確保
・自家発電設備の冷却水の確保
・定期的な点検・水温の管理

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

5

まとめ
重要インフラ10分野で安全基準等の見直しが実施されており、重要インフラにおける情報セキ
ュリティ対策が着実に前進① 「安全基準等」の見直し状況等
指針改定を踏まえた安全基準等の見直しを重要インフラ10分野で実施
各分野毎の安全基準等のPDCAサイクルにおいて、各分野毎の独自の観点に加えて、政府の指針の観点を盛り込んだ見直しが進展② 「指針」との対応状況の検証
指針改定箇所について重要インフラ10分野で対応していることを確認
同一指針に基づく分野横断的な検証によって、各分野毎の安全基準等の特徴等が明らかになり、分野間でのノウハウの共有が進むことが期待③「相互依存性解析」の成果を踏まえた検証
情報通信（電気通信）分野及び電力分野への依存については現行の安全基準等に既に記載があるが、水道分野への依存については安全基準等への記載は1分野のみ
水道分野への依存については指針にも記載がないため、指針の見直しの際に記載の要否を検討
Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

6