参考資料３「重要インフラの情報セキュリティ対策に係る行動計画」の見直し（事務局案説明資料）

個別論点（第5回）
2008年 10月 8日
内閣官房 情報セキュリティセンター
（NISC）

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

今回の検討範囲（１）○ 行動計画の評価・検証（4-2 ⑦評価の手法）について、議論を補足するための資料を追加（p20～23）○ 他の論点との関係から後日検討としていた点について、これまでの議論を踏まえた事務局案を記載（下線部分）
検討テーマ（論点整理における項目）

現行動計画における項目

該当ページ

4-1 本委員会での議論等を通じて認識された課題

（全体）

p3

①対策の目的（目標）、視点

1 目的と範囲

p4②「重要インフラ分野」の分類、位置づけ

2 重要インフラの定義と対象
別紙1 各重要インフラ分野において対象となる重要システム等

p7

4-2 行動計画の基本的枠組みに関する事項③枠組みの柔軟化④「重要インフラ事業者等」「重要システム」

p9
p15⑤IT障害への脅威の例示

2(2)ｱ IT障害への脅威の例示

p16⑥他の取組みとの関係の整理

1 目的と範囲

p18⑦評価の手法8(1) 進捗状況の評価･検証

p19

4-3 安全基準等の整備①「指針」の位置づけ、記載内容の具体性のレベル②事業者等のＰＤＣＡサイクルとの整合性③事業継続計画との関係（3 重要インフラにおける情報セキュリティ確保に係る「安全基準等」）
3(1) 位置づけ指針 Ⅰ目的及び位置づけ3(1) 位置づけ
指針 Ⅲフォローアップ
指針 Ⅱ「安全基準等」で規定が望まれる項目④リスク開示の在り方

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

p24
p28
p31
p33
1

今回の検討範囲（２）検討テーマ（論点整理における項目）

現行動計画における項目

4-4 情報共有体制の強化（4 情報共有体制の強化）

該当ページ①情報共有の目的等について

（頭書き）

p34

②ＮＩＳＣの役割について

4(1) 官民の情報提供・連絡p36③「情報共有」の障害除去④ＣＥＰＴＯＡＲについて－
4(2) 情報共有・分析機能

⑤その他

－

p37
p38
p40

4-5 相互依存性解析・分野横断的演習①相互依存性解析の継続について

5 相互依存性解析

p41②分野横断的演習の継続について

6 分野横断的な演習

p42③「事案対処」の観点からの課題検証について

－

p43

④その他

－

p44

7 各主体において取り組むべき事項と横断的施策

p45

4-6 その他①ＮＩＳＣの果たすべき役割②国際的取組みとの整合性について

p47③各主体において取り組むべき事項と横断的施策について④行動計画の推進体制について

p46

8 行動計画の推進体制

p48

自由討議
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

2

4-1 本委員会の議論等を通じて認識された課題○ 行動計画の見直しのとりまとめに際して、最終的に以下の点について採るべき方向性を示せる
よう、個別の論点の検討を行う○各重要インフラ分野において、ITへの依存度（ITの機能不全とサービス低下の距離感）、ITの観点での他分野との相互依存性などは様々である。それに応じた各分野における取組みにも多様性が存在する。
→ 全分野・全事業者に一律の対策を求め平均を底上げするか、個別の進んだ対策を伸ばすか○情報セキュリティ対策を考える際には、経営（コスト配分・サービスの維持レベルなど）やコンプラ
イアンス、内部統制の視点も踏まえるべき要素の一つである。
→ 対策の対象はITのみに限定するか、ITを含めた経営全体か○重要インフラ事業者等の立場から見ると、「個々の利用者（顧客）」へのサービス提供と「公益」の観点から求められる対応の２つの側面があり、両者は必ずしも常に一致するものではない。
→ 事業者等の自発的な取組みに重点をおくか、社会的要請に基づく取組みに重点をおくか○IT障害から重要インフラを防護する観点からは、障害の未然防止だけでなく、障害発生時に影響を最小限に抑えるための対応（早期対応、応急対応など）も重要である。
→ 緊急時対応を国や他事業者と連携して行うのか、事業者独自の取組みに任せるのか○個々の重要インフラ事業者等による情報セキュリティ対策については向上が進んでいるものと考えられるが、障害（リスク）の発生時の情報や、「経験」から得られる知見の共有については、
今後の一層の取組みについて、検討を進めるべきである。
→ どのような知見を共有対象とすべきか
IT障害に至らない事象（ヒヤリ・ハット等）も重視すべきではないか
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

3

事務局案（4-2 行動計画の基本的枠組みに関する事項①）①対策の目的（目標）、視点【重要整理事項】○「重要インフラにおけるIT障害発生ゼロ」よりも適切な目標はあるか
第1次情報セキュリティ基本計画において、2009年度初めの目標として、以下が挙げられている
z 政府機関：すべての政府機関において、政府機関統一基準が求める水準の対策を実施
z 重要インフラ：重要インフラにおけるIT障害の発生を限りなくゼロに
z 企業：企業における情報セキュリティ対策の実施状況を世界トップクラスの水準に
z 個人：「IT利用に不安を感じる」とする個人を限りなくゼロに
z 現行動計画において以下の目的が挙げられている
z 重要インフラ事業者等のサービスの維持
z IT障害発生時の迅速な復旧等の確保
z 【専門委員会での議論より得られた方向性】
z 象徴的な目標として、「IT障害の発生を限りなくゼロに」は適切
z 一方で、評価と連動した定量的で測定可能な目標についても検討が必要
z 何をいつまでに達成したいか明確にする
z 事業者としての費用対効果や優先順位付けを考慮し、合理的な目標水準を定義する（例：「国民生活や社会経済活動に重大な影響」を及ぼすIT障害発生ゼロを目指す 等）
z 【基本計画検討委員会（「次期情報セキュリティ基本計画に向けた第１次提言」）より】
z 「事故前提社会」への対応力強化に向けて、発生した問題に対して許容可能な水準を設定していくことが提言されている
z【事務局案】
・ この３年間の社会認識を明らかにした上で、究極的な目標である「基本理念」と、合理的な達成水準を具体化した「努力目標」を分けて議論
・ 「基本理念」は、「IT障害の発生を限りなくゼロにする」ことを象徴的な目標にする
・ 「努力目標」は、維持すべきサービスレベルを分野毎に定める
・「③枠組みの柔軟化」でのサービスの検討を踏まえて検討する
・各分野の特性に応じた自発的な取組みとして努力目標を定める
・IT障害に至る以前の（至らないための）対応についても目標に加えてはどうか
・全分野一律でなく、分野毎の特性を踏まえ、サービスの国民生活への影響度合いによって違いがあってもよい
・既に各事業者が自主的に対策を行っている業法の外側にあるサービスや手続きも一般には広く防護対象であるが、そのうち、次期行動計画において合理的な達成水準として「努力目標」を定めるものをまとめてはどうか
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

4

事務局案（4-2 行動計画の基本的枠組みに関する事項①）○「未然防止」「拡大防止」「再発防止」のバランスをどう考えるか、いずれかに重点をおくべきか
z 現行動計画において上記３つの観点が書かれているが、次の一手を進めるためには行動計画にて予め重点をおくべき点を明らかにすべきという考え方がある
z 一方、情報提供等を受けて対策する側が判断すべきこととして、特に重点を置くべきではないという考え方もあるz 以下２つの対応が考えられる
z 案１：全てに取り組む
z 案２：いずれかに重点をおく
z 案２－１：４つの柱の施策毎に必要性等を踏まえて判断する
z 案２－２：行動計画全体にかかるテーマを定めるz 【専門委員会での議論より得られた方向性】
z 事業者としては投資のプライオリティを意識せざるを得ないことから、各分野にて任せる方がよい【事務局案】
・ 「4-4 情報共有体制の強化」での検討を踏まえ、未然防止及び再発防止の観点を中心とした平時、障害の拡大防止・復旧のために必要となる情報である要警戒時・障害発生時に分けて、それぞれ取組むこととしてはどうか

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

5

事務局案（4-2 行動計画の基本的枠組みに関する事項①）○個人情報保護の観点をどう位置づけるべきか
z 一般に個人情報保護法において「個人情報保護取扱事業者」には、個人情報の適正な取扱いの確保が求められているz 現行動計画は、「重要インフラ事業者等の自主的な対策について示す」こととしている
z 【専門委員会での議論より得られた方向性】
z （特になし：事務局案のとおり）【事務局案】
・ 個人情報保護法が制定されていることを踏まえると、法令遵守の観点から当然対応が必要なものであり、重要インフラ事業者向けとして特に行動計画において求めるべきことは現時点では少ないのではないか

現行動計画「1 目的と範囲」より（抜粋）・ （IT障害）から国民生活や社会経済活動に重大な影響を及ぼさないよう重要インフラを防護し、重要インフラ事業者等の事業継続への取組みを強化するための取ることが望ましい重要インフラ事業者等の自主的な対策について示す

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

6

事務局案（4-2 行動計画の基本的枠組みに関する事項②）②「重要インフラ分野」の分類、位置づけ【重要整理事項】○現在の１０分野の分類や位置づけは適切か、実態に即し見直し（分割・追加等）の必要はないか
z 諸外国における重要インフラの分類（次ページ）等を参考に、見直し（分割・追加等）が望まれる分野はな

いか例） クレジットカード会社（消費者信用）、ITベンダー（情報技術） 等
z 現在の１０分野とは別に、協力を求めるべき業界があれば、何らかの形で位置づけることも考えられる
z 現在の１０分野についても、ITへの依存度等に応じて分類や位置づけを何段階かに整理することも考えられる
z 重要インフラの定義そのものについても、必要に応じて見直しを検討することが考えられる
z 【専門委員会での議論より得られた方向性】
z （特になし：事務局案のとおり）【事務局案】
・ 新たな分野を加えるのではなく、現在の１０分野を踏襲しつつより内容を充実させてはどうか
・ ＩＴベンダーは、新たな分野としてではなく、各施策において必要に応じて協力を得てはどうか

現行動計画「2 重要インフラの定義と対象」より（抜粋）・ 重要インフラとは、「他に代替することが著しく困難なサービスを提供する事業が形成する国民生活及び社会経済活動の基盤であり、その機能が停止、低下又は利用不可能な状態に陥った場合に、我が国の国民生活又は社会経済活動に多大なる影響を及ぼすおそれが生じるもの」と定義
・ 当面の対象分野は、「情報通信」、「金融」、「航空」、「鉄道」、「電力」、「ガス」、「政府・行政サービス（地方公共団体を含む）」、「医療」、「水道」、「物流」の１０分野
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

7

＜参考＞諸外国における重要インフラの分類
我が国１０分野との対応関係（各国における名称）

国名※各分野の範囲は必ずしも一致しない

政府・行
政サービス

医療

水道

物流

その他

エネルギー

－

健康

水道

－

食料供給、緊急時対応、
名所と公の集会

交通

エネルギー
・設備

政府

公衆
衛生

水道

－

食料、製造、安全保障

銀行・
金融

交通システ
ム

エネルギー・
電力、原子
力発電所

－

公衆
衛生

水道
供給

－

化学・バイオ産業、
公安秩序

情報通信・
情報技術

金融・
保険

交通・運輸

エネルギー

行政・
司法

－

－

－

サービス、危険物、
その他

韓国

情報通信、
メディアサー
ビス

金融
サー
ビス

交通

ガス・
エネルギー

電子政
府・
国家行政

－

－

－

緊急時対応、国家防衛

シンガ
ポール
ロシア

情報・通信

銀行・
金融

陸上・航空・
海上輸送

エネルギー

－

健康

水道

輸送

極めて公的な場所、注目を集めるイベント

情報・通信システム、
マスメディア

クレ
ジット・

交通

エネルギー

連邦政府
関連情報

－

－

－

国内産業、軍事

情報通信シ
ステム、イン
ターネット

金融
シス
テム

－

－

－

水道・輸送・
産業における監視・制御国家指令システム

通信

金融

交通

エネルギー

政府

衛生

水道

－

食料、緊急時対応

通信

銀行・
金融

交通

エネルギー

政府施設

公共
衛
生・
医療

水道

郵
便・
宅配

農業・食料、化学、商業施設、ダム、防衛産業基盤、
緊急時対応、情報技術、
国家象徴・モニュメント、
核物質取扱・廃棄設備

情報通信

金融

通信

銀行・
金融

交通

通信・情報
技術

金融

フランス

通信

ドイツ

オースト
ラリア
カナダ

スウェー
デン
英国
米国

※KR（Key
Resources：
重要資産）
含む

航空

鉄道

電力

ガス

金融

航空
管制

－

－

※重要情報インフラ防護（CIIP)の観点に限らない点注意（出典）CIIPハンドブック2006 http://cipp.gmu.edu/archive/5_IntlCIIPHandbook_2006_Vol_I_Switz.pdf 及び各国ホームページ
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

8

事務局案（4-2 行動計画の基本的枠組みに関する事項③）③枠組みの柔軟化【重要整理事項】○ ＩＴへの依存度、インターネットとの接続（直接・間接）、維持すべきサービスレベル、社会や利用者への影響の度合い、分野間の依存関係、事業規模等を踏まえ、対策の優先度を分野や事業者等単位などで柔軟に考えるべきではないかzzz

現行動計画では「重要インフラ」の定義はあるが、対象とするサービスまたは手続きについての利用側と提供側のギャップが存在している
多くの論点についての方向性を整理する軸として、まずは行動計画の対象とする重要インフラの「サービス」または手続きを定義し、その範囲と水準を洗い出す必要があるのではないか【専門委員会での議論より得られた方向性】
z
現行動計画の重要システムの例示から各分野のサービスは想定されているとともに、既に相互依存性解析でサービスや重要システム、及び重要システムとサービスの関係性などを定義しており、有効活用が可能
z「他で代替することが著しく困難なサービス」に限定して議論するべきz
重要インフラ事業者である以上、規制対象となる事業以外にも、社会の期待に応えて取組むべきz
国民（利用側）視点から見た部分が入らないのであれば、その理由を明確にする必要がある
z
事業者等のサービスまたは手続きの中で、どこまでが入るのかという切り口を確定する必要がある
z
サービスの具体化にて、業法に安定供給という概念を含まない場合やサービスを受けるための代金収納が規定されていない場合について、どのように取り扱うかを整理することが必要
z
経営判断として重要インフラの情報セキュリティをどう考えるかについても十分考慮することが必要【事務局案】
・サービスの ITへの依存は、時代とともに変化することを踏まえ、現時点でのITへの依存度に拘らず、
一旦広くサービスまたは手続きを洗い出してはどうか
・従来より事業者等（提供側）が対策を取っている業法等で規定されている「サービス」とそのサービスレベルに限らず、現行動計画の「重要インフラ」の定義の範囲で、実際に国民（利用側）が受ける「サービス」または手続きを対象としてはどうか・「サービスの具体化（たたき台）」を元に、具体的にどの範囲のサービスまたは手続きを対象とし、合理的な達成水準を示す「努力目標」としてサービスレベルの努力目標をどこにおくかを委員の協力を得つつ検討してはどうか
現行動計画「1 目的と範囲」より（抜粋）・ 重要インフラ事業者等のサービスの維持及びIT障害発生時の迅速な復旧等の確保を図るため、内閣官房を中心とした政府及び各重要インフラ分野において実施することが望ましい施策を既存の法令、防災計画等の枠組み等との整合を図りつつ具体化
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

9

事務局案（4-2 行動計画の基本的枠組みに関する事項③）
重要インフラの「サービス」（イメージ）
実際に国民が受ける「サービス」
または手続き安定的供給に不可欠な手続き（利便性向上）を含む

業法等で規定されている「サービス」
アクセス終了

手続き（
２）

終了

開始

手続き（
１）

ITを利用
していな
い部分

アクセス開始

ITを利用
している
部分

業法や約款等により求められる範囲（安定的供給）※ITを全く利用していないサービスについては対象外※現行動計画の「重要インフラ」の定義より、以下の範囲でサービスを具体化
・ 他に代替することが著しく困難なサービスを提供する事業が形成する国民生活や社会生活の基盤
・ その機能が停止、低下又は利用不可能な状態に陥った場合に、我が国の国民生活又は社会経済活動に多大なる影響を及ぼすおそれが生じる
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

10

サービスの具体化（たたき台）：業法や約款等により求められる範囲
分野

業法等で規定されているサービス根拠法（条）

情報通信

・電気通信役務（電気通信設備を用いて他人の通信を媒介し、その他電気通信設備を他人の通信の用に供すること）を他人の需要に応ずるために提供

電気通信事業法（2条）

・公衆によつて直接受信されることを目的とする無線通信の送信

放送法（2条）・預金又は定期積金等の受入れ、資金の貸付け又は手形の割引、為替取引、その他銀行業に付随する業務
・人の生死に関し一定額の保険金を支払うことを約し保険料を収受する保険、一定の偶然の事故によって生ずることのある損害をてん補することを約し保険料を収受する保険その他の保険の引受けを行う事業
・金融商品取引業、金融商品仲介業、金融商品市場

銀行法（10,11,12,12-2条）
保険業法（2条）

航空・他人の需要に応じ、航空機を使用して有償で旅客又は貨物を運送する事業

航空法（2条）鉄道

・他人の需要に応じ、鉄道による旅客又は貨物の運送を行う事業

鉄道事業法
（2条）

電力

・一般電気事業（一般の需要に応じ電気を供給する事業）
・卸電気事業（一般電気事業者にその一般電気事業の用に供するための電気を供給する
事業）

電気事業法
（2条）

特定電気事業、特定規
模電気事業

ガス

・一般ガス事業（一般の需要に応じ導管によりガスを供給する事業）

ガス事業法
（2条）

簡易ガス事業、ガス導管事業、大口ガス事業

政府・行政サービス

・市民の命に関わるサービスや橋・道路等のインフラ整備に係るサービスの他、学校や障害者・高齢者への医療・福祉・介護・保健等の各種サービスが多数存在する（業法なし：相互依
存性解析報告書より転記）

医療・医療機関の開設及び管理

医療法（1条）助産所の開設及び管理

水道・一般の需要に応じて、水道により水を供給する事業（給水人口が100人以下のものを除く）
・水道により、水道事業者に対してその用水を供給する事業

水道法（3条）専用水道

物流

・貨物自動車運送事業（他人の需要に応じ、有償で、自動車を使用して貨物を運送する事
業）
・船舶運航事業（海上において船舶により人又は物の運送をする事業）
・船舶貸渡業（船舶の貸渡又は運航の委託をする事業）
・海運仲立業（海上における船舶による物品の運送又は船舶の貸渡し、売買若しくは運航の委託の媒介をする事業）
・海運代理店業（船舶運航事業又は船舶貸渡業を営む者のために通常その事業に属する取引の代理をする事業）
・内航海運業（内航運送をする事業又は内航運送の用に供される船舶の貸渡しをする事業）
・倉庫業（寄託を受けた物品の倉庫における保管を行う営業）
・港湾運送事業（荷主又は船舶運航事業者の委託を受け、船舶により運送された貨物の港
湾における船舶からの受取若しくは荷主への引渡又は船舶により運送されるべき貨物の港湾における船舶への引渡若しくは荷主からの受取にあわせてこれらの行為に先行し又は後続する行為等）

貨物自動車運送事業法(2条)
海上運送法(2条)

金
融

銀行
生命保険・
損害保険
証券会社
証券取引所

その他

金融商品取引法（1条）

内航海運業法（2条)
倉庫業法(2条)
港湾運送事業法(2条）

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

11

サービスの具体化（たたき台）：安定的供給に不可欠な手続き（利便性向上）分野

アクセス開始－手続き（１）に相当する
サービス

手続き（２）－アクセス終了に相当する
サービス

その他

情報通信

（イメージ）
・利用予約
・利用申込
・利用券購入・利用受付
・利用入口通過（イメージ）
・料金収納
・料金精算
・利用出口通過（イメージ）
・サービス提供状況案内

金
融銀行
生命保険・損
害保険
証券会社
証券取引所

航空
鉄道
電力
ガス
政府・行政サービス
医療
水道
物流

・現行動計画 別紙１「対象となる重要システム例」から類推されるサービスも含め広く洗い出す
・これらのサービスにおける、ＩＴの活用の程度については、個々事業者等の経営判断によるものであり、本表にサービスを掲載することによって、必ずしも全事業者等が当該サービスにＩＴを活用していることを意味
していない

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

12

サービスの具体化（たたき台）：委員への依頼事項（その2）○ 「サービスの具体化（たたき台）」はサービスを広く洗い出すための端緒とすべく、事務局において整理したもの○ 各委員においては、次期行動計画の「努力目標」としてのサービスレベルの設定にご協力いただきたい
業法や約款等により求められる範囲 （P11）

安定的供給に不可欠な手続き（利便性向上） （P12）【たたき台の考え方】
・「業法等で規定されているサービス」を各事業法を参考に整理
・必ずしも業法の正確な引用ではない
・「その他」は、根拠法上にて記載はあるが、現行動計画 別紙１の「対象となる重要インフラ事業者等」に記載がないもの【たたき台の考え方】
・「利用申込」等、一連の手続きとして「業法で規定されるサービス」につながると考えられるものを整理
・「その他」の欄には、一連の手続きではないが国民生活や経済活動への影響があると考えられるものを整理
・ITを使用しないものや、IT以外の代替手段があるものも含めて、一旦広く洗い出し【委員への依頼事項】（「その１」として実施済）
・根拠法令等からサービスの定義が可能なものについて、一旦広くそのサービスを洗い出し、根拠法令等と併せてお知らせいた
だきたい・IT利用の範囲が「業法や約款等により求められている範囲」の外側にも拡がりつつある現状をふまえた議論をするために、一旦広く考えてサービスを洗い出し、お知らせいただきたい・各委員の意見を取りまとめて分野毎に整理（中間的な資料であることから、範囲限定して提示）
・一旦広く洗い出されていることから、本行動計画における検証対象として取り扱うことが適切か検討
・検証対象とするサービスについて、「努力目標」としてサービスレベルを設定し、行動計画に反映することを検討【委員への依頼事項】（その２）
・ 「その１」で洗い出した内容（今回再度見直しすることも可能）について、ITへの依存度・インターネットとの接続等を踏まえて検証対象にすることが適切かを検討いただきたい
・対象外とする場合は、あわせてその理由を整理いただきたい・検証対象とするサービスについて、業法等に基づく既存の報告基準等を参考に、重要インフラの情報セキュ
リティ対策における「努力目標」としてのサービスレベルを整理いただきたい
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

13

事務局案（4-2 行動計画の基本的枠組みに関する事項③）○「分野」単位よりも「事業者等」単位の方が進捗しやすい事項もあるのではないか
z 現行動計画は、「重要インフラ事業者等の自主的な対策について示す」こととしている
z 分野単位で考えると、事業規模の小さい事業者等を含め、全事業者が対応しうる最低限の対策になりがちではないか
z 分野内のいわゆるトップランナー的な事業者にて行われる取組みも含めるべきではな
いかz 個別施策の中で検討するという考え方もあるz 【専門委員会での議論より得られた方向性】
z 分野単位が基本であるので、事業者単位はオプションとして考えるのがよいz 「ITへの依存度等に応じて分類や位置づけを何段階かに整理」を行うことで、トップラン
ナー的な事業者にて行われる取組みが浮き上がるのではないか【事務局案】
・対策の優先度を分野や事業者等単位などで柔軟に考え、分野の一部の事
業者等がとりうる対策事項についても、行動計画の取組みとして検討してはどうか
・分野単位を基本としつつ、サービス毎の目標水準に対する状況を検証する際や、補完調査を行う場合等、必要に応じて事業者単位の取組みを把握してはどうかCopyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

14

事務局案（4-2 行動計画の基本的枠組みに関する事項④）④「重要インフラ事業者等」「重要システム」【重要整理事項】○行動計画の別紙１に掲載されている「重要インフラ事業者等」や「重要システム」について、実態や利用者の観点に即した修正の必要はないか
z 一般企業としてではなく、重要インフラとして位置づける事業者の範囲をどこにおくか
z 分野によって事業者を一部の範囲に限定してよい場合があるのではないか
z 事業者のサービス停止・機能低下の影響が多方面に及ぶ場合、当該事業者が対象事業者に含まれているか
z 例えば判断基準としては、市場占有率が一定以上ある場合や指定公共機関等として公共的な役割が求められている場合などが考えられないか
z 2007年度の指針の見直しでは、「安全基準等の適用対象とならないシステムも含めて、我が国の国民生
活や社会経済活動に影響をおそれが生じる障害が発生」していることが明らかとなっている
z 行動計画の対象範囲は、例示された重要システムに限定できないのではないか（例えば、バックオフィスのシステム障害がサービスへ影響する場合はないのか）z 【専門委員会での議論より得られた方向性】
z 行動計画別紙１の表を拡張して、「サービス」を記述すべき
z 分野毎にサービスを議論してから、システムの議論を行うことにより、重要システムはサービスを支えているシステムであるという部分について明示的に示すことが重要
z 既に相互依存性解析の成果として、分野毎の「サービス」についてのたたき台はできているので、議論の前提として提示してほしい【事務局案】
・実態や利用者の観点に即した修正に加え、論点整理に対するこれまでの方向性を踏
まえ、サービスの観点を切り口として、別紙１の項目立てを見直してはどうか

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

15

事務局案（4-2 行動計画の基本的枠組みに関する事項⑤）⑤IT障害への脅威の例示【重要整理事項】○現在の脅威の例示は、実態に即して適切か
各事業者の取組みにおいて、脅威の例示は適切であったと評価できるか
z 昨今の社会状況等を踏まえ、新たに加えるべき脅威はないか例） パンデミック（新型インフルエンザの世界的流行）z 各事業者毎に脅威に対する対策が可能か、あるいは分野横断的な対応が必要になるかz 【専門委員会での議論より得られた方向性】
z 脅威について、各分野固有の事情を加味した記載を検討する必要がある
z【事務局案】
・対応主体別に、個別の重要インフラ事業者等が中心となって対応する脅威と、社会全体で対応が望まれる脅威を峻別して、脅威の例示を新たに加えてはどうか
・サービスの停止の他分野への波及等、現行動計画での取組みにより新たな「他に与える脅威」が判明していることから、脅威の例示をくわえてはどうか
・現在の脅威の例示については、「自ら受ける脅威」として、表現の適正化等全体を見直ししてはどうか・「対応主体に注目したIT障害への脅威の例示（たたき台）」を元に、具体的な脅威の例示を見直してはどうか
・脅威の例示に対してどのように取組むかは、各分野の自主的な取組みを尊重しつつ、分野横断的な観点を中心に検討することとしてはどうか
現行動計画「2 重要インフラの定義と対象」より（抜粋）①サイバー攻撃によるＩＴ障害への脅威
不正侵入、データ改ざん・破壊、不正コマンド実行、ウィルス攻撃、サービス不能攻撃（DoS: Denial of Service）、情報漏えい、重要情報の搾取 等②非意図的要因によるＩＴ障害への脅威
操作・設定ミス、プログラム上の欠陥（バグ）、メンテナンス不備、内部・外部監査機能の不備、外部委託、マネジメントの欠陥、内部不正 等③災害によるＩＴ障害への脅威
地震、水害、落雷、火災等の災害による電力供給の途絶、通信の途絶、コンピュータ施設の損壊等、重要インフラ事業者等におけるITの機能不全

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

16

対応主体に注目したIT障害への脅威の例示（たたき台）
IT障害への脅威の例示
脅威の種類

社会全体で対応が望まれる脅威

個別の重要インフラ事業者等が中心となって対応する脅威①サイバー攻撃をはじめとする
意図的要因によるIT障害への脅
威・分野横断的に多発するサービス不能攻撃、
不正侵入、重要情報の搾取 等

不正侵入、データ改ざん・破壊、不正コマンド
実行、ウィルス攻撃、サービス不能攻撃（DoS: Denial of Service）、情報漏えい、重要情報の搾取、内部不正 等②非意図的要因
によるIT障害への脅威

・大規模な操作・設定ミス、プログラム上の欠陥（バグ）、メンテナンス不備が予想される
社会環境変化や制度改正（例：西暦2000
年問題、暗号の危殆化、IPv6への移行）
等

操作・設定ミス、プログラム上の欠陥（バグ）、
メンテナンス不備、内部・外部監査機能の不
備、外部委託管理の不備、マネジメントの欠陥 等③災害や疾病によるIT障害への脅威

・大規模な地震、水害（例：首都圏直下地震、荒川の氾濫）による電力設備の損壊、通信設備の損壊、水道設備の損壊、コンピュータ
施設の損壊 等・パンデミック（例：新型インフルエンザの大流行）によるオペレータの不足 等

地震、水害、落雷、火災等の災害による電力設備の損壊、通信設備の損壊、水道設備の損壊、コンピュータ施設の損壊 等④他分野の障害からの波及によるIT障害への脅
威・大規模な電力供給の途絶、通信の途絶、水道供給の途絶（相互依存性解析の成果で判明しているもの） 等

電力供給の途絶、通信の途絶、水道供給の途絶（相互依存性解析の成果で判明しているもの） 等※下線部分は現行動計画からの追記部分※ 下線部分は現行動計画からの追記部分
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

17

事務局案（4-2 行動計画の基本的枠組みに関する事項⑥）⑥他の取組みとの関係の整理【重要整理事項】○情報共有や連携の部分で、防災担当機関や事案対処省庁、その他関係機関の取組みと競合する部分はあるか、補完しあえる部分はどこか
分野横断的演習において、「「事案対処」の観点からの課題検証について」として個別に論点があげられている
基本計画検討委員会においても、他の関係機関との連携について検討の予定がある
z 【専門委員会での議論より得られた方向性】
z 現行動計画で基準と枠組みが整理された後、次期行動計画では具体的なオペレーションに焦点を置く段階になるため、事案対処省庁をきちんと枠組みの中に入れ、普段からの準備、体制作りを行っていくべきz 既に論点整理であげられた「重要インフラ事業者等の自主的な取組みが大原則であることを踏まえつつ、官民の役割・責任の適切な分担」を基本的スタンス・視点におきつつ検討する
z 国民生活や社会経済活動の維持に向けた重要インフラ事業者等の事業継続の取組みに対して、具体的にどのような協力が可能であるかについて事案対処省庁からの提案を受け、別途関係者により検討
z 関係機関が独自に収集した情報が、事案対処において実際に役立ったかのフィードバックについても検討すべきzz【事務局案】
・個別施策における具体的な取組みの検討や基本計画検討委員会での検討を踏まえて議論することが望ましい
・現行動計画別紙３－１の枠組みを継続する中で、事案対処省庁からの積極的な情報提供を期待するのに加え、重要インフラ事業者等と政府機関の意見交換の機会を設けることにより、社会全体で対応が望まれる脅威に対して一層の連携を図ることとしてはどうか○個々の事業分野における業法との関係で競合する部分はあるかz

他分野の事業継続のために、自分野の業法で規定される以上の対応を求められる場合があるのではないか【事務局案】
・業法に限らず、現行の法制度、重要インフラ事業者等の経営上の仕組み上の障害、及びそれらの観点における脅威の抽出等について、次期行動計画において検討を進めることとしてはどうか

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

18

事務局案（4-2 行動計画の基本的枠組みに関する事項⑦）【重要整理事項】⑦評価の手法○目標、評価指標、対策の進捗度合いの把握方法等について、どう設定すべきか
z 現行動計画では、プロセス評価（目標に対する実施状況の把握）を中心に実施
z 上記に加え、2007年度は補完調査（参考となるデータの補足、具体的事例の検証）を実施
z 現行動計画は、「重要インフラ事業者等の自主的な対策について示す」こととしている
z 行動計画の取組みの内容を固めることが先決であるという考え方もあるz 【専門委員会での議論より得られた方向性】
z サービスの提供側でなく、利用側視点での指標が求められているz 世の中がどう変わるかのアウトカムを説明することが求められている
z どのような記録を元に、どのように評価するのかを明らかにする必要がある【事務局案】
・「評価」に先立って、サービス毎の具体的な目標水準、及び各施策における目標水準を定め、客観的事実に基づいて可能な限り測定可能な「検証」
を行ってはどうか
・引き続き補完調査を実施し、社会的なIT利用の進展状況や、IT障害時の対応状況を把握し将来に向けての教訓を見出してはどうか
・評価にあたっては、各主体にて検証した結果から、期待される社会的効果（アウトカム）が実現しつつあるかに加え、期待される社会的効果（アウトカム）に向けて行動計画そのものが必要十分な内容を有しているか検討を行うこととしてはどうか
・なお、重要インフラ事業者等の情報セキュリティ対策については、自主的な取組みであることを鑑み、個別の事業者等の優劣を評価することは不適切
ではないか

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

19

事務局案（4-2 行動計画の基本的枠組みに関する事項⑦）
行動計画の評価・検証（イメージ）
情報セキュリティ政策会議
重要インフラ専門委員会

重要インフラ分野

重要インフラ事業者等

・各施策への協力
・事業者等への指導・助言
・分野の特性を踏まえつつ独自の取組みを推進

・サービスの提供
・個別具体的な情報セ
キュリティ対策の推進

Plan【施策立案】
・行動計画の策定
・単年度施策（セキュア・ジャパン）の具体化

Act

Do

【施策の改善】
・翌年度施策への反映

Check【施策の実施】
・安全基準等の継続的改善
・情報共有体制の強化
・相互依存性解析
・分野横断的演習【検証②】
・施策毎の目標水準に対する状況を把握※自主的な取組みが
大原則

【検証①】
・サービス毎の目標水準に対する状況を把握【補完調査】
・個別のIT障害等に対する補完調査を実施【評価】・官民連携により、我が国全体の重要インフラにおけるPDCAサイクルを回していき、期待される
社会的効果が実現しつつあるかの観点からの評価を実施
・行動計画の見直しの際には、期待される社会的効果（アウトカム）に向けて行動計画そのものが必要十分な内容を有しているか検討を実施
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

20

【検証①】重要インフラ分野・重要インフラ事業者等の対策の検証
サービスまたは手続きの分類（イメージ）

行動計画に基づく
対策の実施

毎年の検証

重要インフラ事業者等が提供するサービス

重要インフラサービス

検証対象とするサービス（重要インフラサービスのうち、特に重要性が高いもの）

情報セキュリティ対策の実施「努力目標」としてサービスレベルを設定

各分野において、
サービス毎の目標水準に対する状況を把握・ＩＴ障害を防いだ経験（日々の対策）・ＩＴ障害が発生した経験※個別事業者の優劣は評価しない

各重要インフラ事業者等において個々に防護（行動計画の対象外）

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

21

【検証②】政府の施策の検証 【補完調査】指標で捉えきれない状況の把握【検証②】情報セキュリティ対策がより効果的になるよう、日々の経験を改善に活かすサイクルを作る
・国民生活や社会経済活動の維持に対して責任を負う重要インフラ事業者等の対策の効果を高めるべく
重要インフラ事業者等、重要インフラ分野、政府の各層での取組みを実施
・各施策の狙いを明確化した上で、目標に対する取組みの状況を把握するための指標を設定して毎年検証
安全基準等の
継続的改善

情報共有体制の強化（事業者主導）（政府主導）

分野横断的演習

共通脅威分析

－重要インフラ
事業者等

・現場の事業継続に必要な対策を経験に基づいて内規として整備・社内における現場の情報の集約と分析
・社内のＩＴガバナンス－

・単独で対処可能な脅威への対応についての検討及び効果検証

重要インフラ分野

・分野の水準とす
べき対策に関す
る対策を安全基
準等として整備・セプターの任意活動
による分野の情報の集約と分析・セプターの任意活動
による分野の連携

・業法による分野の情報集約と分析・業法による分野のガバナンス

・分野連携による対処が必要な脅威への対応についての検討及び効果
検証－

政府・国民生活と社会経済活動を守るための水準とすべき分野横断的な対策を指針として整備

・カウンシルの任意活動による分野横断的な情報の集約と分析
・カウンシルの任意活動による分野横断の連携対処

・実施細目による分
野横断的な情報の集約と分析
・実施細目による分
野横断的対処・分野横断的連携による対処が必要な脅威への対応についての検討及び効果検証

・社会コストを下げる観点からの施策メニューや責任分担の最適解
探し

各施策
の狙い

事業者等の対策の更なる充実と、その着実な実践

事業者等の情報収集能力や情報分析能力の向上と、IT障害が発生した際の連携範囲の拡大

分野横断的な重要インフラ防護対策の向上

事業者等が共有する課題の解明【補完調査】 ＩＴ利用の進展状況やＩＴ障害時の対応状況の、指標だけでは捉えられない状況を把握
・個別の事業者等の優劣を評価するのではなく、経験の教訓の観点から課題等を抽出
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

22

【評価】行動計画の枠組みの評価「努力目標」としてサービスレベルを設定
想定脅威

予防的対策
脅威の
顕在化

・意図的要因・非意図的要因
・災害や疾病・他分野障害の波及

事後的対策※平時からの対策により、通常はＩＴ障害として
顕在化せず

脅威の
顕在化

ＩＴ障害の
顕在化

脅威の
顕在化

ＩＴ障害の
顕在化

国民生活
社会経済活動※IT障害発生時における対策により、影響を最小限
に
重大な影響

【検証１】

重要インフラ事業者等の対策の検証【検証２】

政府の施策の検証※行動計画の期待する結果が達成されない状況【補完調査】指標で捉えきれない状況の把握【評価の観点】
・期待される社会的効果とのギャップはどこにあるか・行動計画そのものが必要十分な内容を有しているか
・検証の観点について改善すべき点はないか【行動計画の見直し】
・想定する脅威そのものを見直し
・各施策の改善、検証対象の見直し
・新たな施策を立案 など

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

23

事務局案（4-3 安全基準等の整備①）①指針の位置づけ、記載内容の具体性のレベル【重要整理事項】○「指針」に記載される事項について、「安全基準等」に盛り込む「べき」事項と盛り込むことが「望ましい」事項に仕分けをし、その位置づけを明確にすべきではないか
現行の「指針」では、「何らかの対処がなされていることが望ましい項目を列記」している
現行の「指針」を踏まえ、各分野の「安全基準等」が以下のとおり整備されている
z 大半の「安全基準等」は、「強制基準」ではなく「ガイドライン」としている
z 「指針」に示された項目は、各分野の「安全基準等」に盛り込まれている（規定する必要がない場合を除く）
z 「指針」の位置づけの検討に際して、行動計画見直しの基本的スタンス・視点として整理された「重要インフラ事業者等の自主的な取組みが大原則」 及び「実態を把握した上で現実の具体的な経緯に即した課題の検証」を行うという点について留意すべきではないかz 【専門委員会での議論より得られた方向性】
z 「参考事項」はオプションの位置づけとして、全体の底上げの方に重点をおく必要がある
z 平均を底上げするか個別の進んだ対策を伸ばすかは、２者択一で議論する話はないzz【事務局案】
・ 論点整理にある「安全基準等」に盛り込む「べき」事項については、盛り込むか「検討するべき」事項（「要検討事項」）と位置づけて、安全基準等に規定する必要があるかを各分野にて検討することとしてはどうか
・ その上で、「指針」に記載される事項について、「要検討事項」（「安全基準等」に盛り込む
か「検討するべき」事項）と「参考事項」（盛り込むことが「望ましい」事項）に分類してはどうか・ 「要検討事項」には、以下の項目を記載してはどうか
1）現行の「指針」に示された項目（既に「安全基準等」に盛り込み済みの項目）
2）現行動計画の取組みに基づく知見・教訓等（例.相互依存性解析の成果）
・ 「参考事項」は、各分野が任意で参考とする事項と位置づけ、個別の進んだ対策を記載
してはどうか
安全基準等の指針 「Ⅰ4.本指針の位置づけ」より（抜粋）・重要インフラ分野においてサービス提供継続及び国民の信頼性に応えるとの観点から情報セキュリティ対策を実施する場合、何らかの対処がなされていることが望ましい項目を列記し、安全基準等の策定・改定を支援することが本指針の目的である。
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

24

事務局案（4-3 安全基準等の整備①）○記載内容の具体性のレベルとして、現在の「指針」より具体的に記述する必要はあるか
z 現行の「指針」では、「対策項目の具体化は各事業分野又は各事業者毎に検討されることを期待」している
z 現行の「指針」を踏まえ、各分野の「安全基準等」において、「本指針に示された項目を満たすだけでなく、一層高度かつ網羅的な安全基準等」となっている場合もある
z 現行の「指針」の記載内容の具体性のレベルは、現行動計画の策定時点（安全基準等の整備を開始する時点）においては、情報セキュリティ対策の底上げの観点から意義があるものと考えられるが、次の段階を見据えた場合にどのように考えるべきかz 「次期情報セキュリティ基本計画に向けた第1次提言」では、「具体的取組みの持続的な推進」や「事故前提社会への対応力強化」が検討されている
z 指針に示された項目は、各分野の「安全基準等」に盛り込まれている（規定する必要がないものを除く）が、それ以外にも情報セキュリティ対策を行う際に基準又は参考にする文書はないか
z 【専門委員会での議論より得られた方向性】
z （特になし：事務局案のとおり）【事務局案】
・ 項目レベルの「抽象的内容」に加え、情報セキュリティ対策を例示した「具体的内容」を広く記載してはどうか・「具体的内容」は以下の方法にて洗い出してはどうか
1）現行の「安全基準等」における対策項目の具体化より抽出
2）各分野・事業者等へのヒアリング・調査等より対策項目の具体化を収集
・ 各分野は、「安全基準等」の見直しの中で、関係する「基準又は参考にするものとして策定された文書類」を広く「安全基準等」として位置づけてはどうか
安全基準等の指針 「Ⅰ4.本指針の位置づけ」より（抜粋）・重要インフラ分野及び事業者によって、それぞれの項目の重要度が異なると考えられることから、本指針では項目を記載するに留めており、対策項目の具体化は各事業分野又は各事業者毎に検討されることを期待する。
同 「Ⅰ5.本指針を踏まえた安全基準等策定若しくは見直しへの期待」より（抜粋）・個々の安全基準等においては、より高度な情報セキュリティ水準の実現を目指し、本指針に示された項目を満たすだけでなく、一層高度かつ網羅的な安全基準等となるよう、随時検討がなされることを期待する。
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

25

事務局案（4-3 安全基準等の整備①）
指針の位置づけ、記載内容の具体性のレベル（イメージ）
指針（将来の姿）（案）

指針（現行）

要検討事項

何らかの対処がなされていることが「望ましい」項目

既に安全基準等に盛り込み済「安全基準等」に「安全基準等」に盛り込むことが盛り込むか「検討するべき」事項（※） 「望ましい」事項

抽象的内容「要検討事項」として指針（将来の姿）に反映

参考事項

安全基準等（現行）
指針に記載していない項目（規定する必要がある場合）（各事業分野にて検討された）対策
項目の具体化

（各事業分野にて検討された）対策
項目の具体化

各分野の安
全基準等や
事業者等へ
のヒアリン
グ・調査等を
踏まえて、
指針（将来
の姿）に反
映

対策項目の
具体化を例示対策項目の具体化を例示
具体的内容

指針に示された項目（規定する必要がないものを除く）※安全基準等に規定する必要があるかを各分野にて検討（検討の結果、規定する必要がない場合もあり得る）
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

26

＜参考＞ 重要インフラ各分野の安全基準等分野

情 電気通信報通信放送

指針に基づく分類（※１）

安全基準等の名称 【発行主体】※2008年2月時点

電気通信事業法、電気通信事業法施行規則、事業用電気通信設備規則等（関連する告示を含む）
情報通信ネットワーク安全・信頼性基準【総務省】
電気通信分野における情報セキュリティ確保に係る安全基準（第1版）【ISeCT】（※２）

①

②

③

○
○
○

放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン【日本放送協会（NHK）、（社）日本民間放送連盟】○

金融機関等におけるセキュリティポリシー策定のための手引き【FISC】（※３）
金融機関等コンピュータシステムの安全対策基準・解説書【FISC】
金融機関等におけるコンティンジェンシープラン策定のための手引書【FISC】○○○

航 航空運送空 航空管制航空運送事業者における情報セキュリティ確保に係る安全ガイドライン【国土交通省】○

鉄道

鉄道分野における情報セキュリティ確保に係る安全ガイドライン【鉄道事業者等】○

電力

電力制御システム等における技術的水準・運用基準に関するガイドライン【電気事業連合会】○

ガス

製造・供給に係る制御系システムの情報セキュリティ対策ガイドライン【（社）日本ガス協会】

○

政府・行政
サービス

地方公共団体における情報セキュリティポリシーに関するガイドライン【総務省】○

医療

医療情報システムの安全管理に関するガイドライン第2版【厚生労働省】○

水道

水道分野における情報セキュリティガイドライン【厚生労働省】○

物流

物流分野における情報セキュリティ確保に係る安全ガイドライン【国土交通省】

○

金融

④

航空管制システムにおける情報セキュリティ確保に係る安全ガイドライン【国土交通省】○（※１） ①：業法に基づき国が定める「強制基準」②：業法に準じて国が定める「推奨基準」及び「ガイドライン」③：業法や国民からの期待に準じて事業者団体等が定める業界横断的な「業界標準」及び「ガイドライン」④：業法や国民及び契約者等からの期待に応えるべく事業者自らが定める「内規」（※２） ISeCT：電気通信分野における情報セキュリティ対策協議会、（※３） FISC：（財）金融情報システムセンター
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

27

事務局案（4-3 安全基準等の整備②）②事業者等のPDCAサイクルとの整合性【重要整理事項】○「指針」改定のサイクルや時期について、事業者等の実態に即してどう考えるべきか
z 現行動計画における「安全基準等の整備」施策から、以下の課題が発生している
z 大規模な改定が必要な場合や検討会等を開催する場合は最低６ヵ月間必要
z 年度の区切りを鑑み、安全基準等の見直し完了は年度末が適当
z 事業者等が内規を見直しているのと同時に、次の安全基準等の見直しが行われ混乱
z 2007年度は、指針の見直しの結果、改定は行わずに見直しの要点を参考資料として周知した
z これまで独自のサイクルで安全基準等の見直しを推進している分野も存在する
z 【専門委員会での議論より得られた方向性】
z （特になし：事務局案のとおり）【事務局案】
・ 指針の大枠（「要検討事項」のうち「抽象的内容」）の変更は、原則行動計画の見直しの周期に合わせて行ってはどうか
・ 上記以外の部分（「参考事項」全て、及び「要検討事項」のうち「具体的内容」）は、「必要に応じて適時に」見直すものとし、追補版の作成等、原則指針改定以外の方法で周知してはどうか
・ 既に全ての分野で安全基準等の整備が完了し、安全基準等の位置づけが業法からガイドラインまで様々であることから、安全基準等の見直し及び浸透の進め方は各分野にて主体的に検討することとしてはどうか
現行動計画「3(1) 位置づけ」より（抜粋）・指針については、1年ごと、及び必要に応じて適時に、見直すこととし、「安全基準等」については、
情報セキュリティを取り巻く環境の変化に応じ、随時見直しを行う。
安全基準等の指針「Ⅲ(1)本指針の見直し」より（抜粋）・内閣官房は、1年ごと、及び必要に応じて適時に、本指針の見直しを推進する。
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

28

事務局案（4-3 安全基準等の整備②）○ＮＩＳＣとして実態を把握するためにはどのような方法が適切か
z 「安全基準等の策定・見直し状況の把握及び検証」にて、以下の各分野の実態を把握した
z 全ての分野で安全基準等の整備が完了
z 指針に示された項目は、各分野の安全基準等に盛り込まれている（規定する必要がな
い場合を除く）ことを確認
z 指針改定箇所について、各分野の安全基準等が対応していることを確認
z 加えて、2007年度「安全基準等の浸透状況等に関する調査」にて、以下の重要インフラ事
業者等の実態を把握した
z 調査対象範囲における概ね全ての事業者等に安全基準等が認知されている
z 大半の事業者等が内規を制定済であるとともに、約7割の事業者等で内規見直しが実施・予定されていることが推定z 今回初めて自己点検、演習・訓練、内部監査、外部監査の実施状況について調査
z 「安全基準等の浸透状況等に関する調査」にて、以下の留意点・課題を整理している
z 既存調査を活用することで調査を効率化
z 調査可能な範囲から取組み、調査対象の拡大は追って検討
z 既存調査を活用する分野と調査基準日が異なる
z 【専門委員会での議論より得られた方向性】
z （特になし：事務局案のとおり）【事務局案】
・ 各分野はより一層の安全基準等の普及に努めるとともに、NISCは定点調査
として、毎年一定時期に各分野の状況把握や事業者等の取組み等の実態把握を行ってはどうか
・ 先進的な取組みを行う事業者等についての顕彰を行ってはどうか・ 「安全基準等の浸透状況等に関する調査」は、既存調査等を参考に調査項
目・調査主体等について適宜見直しを行ってはどうか
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

29

事務局案（4-3 安全基準等の整備②）「安全基準等の整備」のPDCAサイクル（イメージ）2006年度
4～9月

2007年度

10～3月

4～9月

2008年度

10～3月

4～9月

10～3月

2009年度
4～9月

10～3月

2010年度
4～9月

2011年度

10～3月

4～9月

行動計画

次期行動計画（※）

現行動計画

見直し

見直し

指 針

見直し

見直し
改
定

策定・
見直し

把握・
評価

把握・
見直し
検証

準備 分析・検証

要点
周知

分析・検証
改
定

確認・
検証

準備

分析・検証

要点
周知

要点
周知

安全基準等の見直し及び浸透の進め方は各分野で主体的に検討し、PDCAサイクルを回す

安全基準等

把握・
検証
浸透

浸透状況等調査

10～3月

把握・
検証

把握・
検証

把握・
検証

毎年一定時期に定点調査を実施

準備 実施

準備 実施

準備 実施

準備 実施

準備

※次期行動計画の対象期間を３年間と想定して作成
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

30

事務局案（4-3 安全基準等の整備③）③事業継続計画との関係○「指針」や「安全基準等」に事業継続の観点を補充する必要はないか、盛り込むとすれば、事業継続計画との整合性をどう取るべきか
z 指針では、３つの重点項目にて「IT障害の観点から見た事業継続性確保のための対策」として「事業継続計画との整合性の確保」としての対策が盛り込まれているz 記載の仕方にバラツキはあるが、各分野の安全基準等においても盛り込まれている
z 事業継続管理についての国際規格化、ガイドラインの拡充等の動きがある
z 内閣府防災、経済産業省にて事業継続計画のガイドラインを策定済
z ITサービス継続性管理の観点で、経済産業省にてガイドラインを策定中
z 【専門委員会での議論より得られた方向性】
z 関連する他分野の復旧目安がどの程度なのか等、分野横断的な議論を行って検討すべき
z 事業継続計画の発動の際には、法制面での工夫が必要となる場合が考えられる【事務局案】
・ 昨今の事業継続計画の策定が進みつつある状況を踏まえ、「指針」に事業継続の観点での具体的内容を補充してはどうか
・ 分野横断的な観点からも実効的であるかを検証できるような内容を充実してはどうか
・ 事業継続計画との整合性をとるため、国際規格化の進展状況等を踏まえつつ、「指針」の見直しを行ってはどうか
安全基準等の指針「Ⅱ3.(4)② ３つの重点項目」より（抜粋）・ア IT障害の観点から見た事業継続性確保のための対策（イ）事業継続計画との整合性の確保
事業継続計画が策定される場合は、顕在化する可能性が高いIT障害として様々なケースを想定して事業継続計画に組み入れるとともに、適宜点検し、必要に応じ対策の改善を行うべきである
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

31

＜参考＞各分野の安全基準等における具体的な記載内容（例）（イ）事業継続計画との整合性への配慮（指針）事業継続計画が策定される場合には、顕在化する可能性が高いＩＴ障害として様々なケースを想定して事業継続計画に組み入れるべきである。
分野

指針との対応対策項目の具体的な記載内容
サイバー攻撃対策：対応手順等の整備（危険度のレベル設定／レベル毎の対応フロー）、被害拡大防止措置（トラフィックの緊急的制御、回線／設備の一時停止、攻撃停止要請等）、復旧（攻撃元の特定／恒久的措置等、攻撃元情報の管理）、訓練・演習• ネットワーク輻そう対策：対応手順等の整備、検知・被害拡大防止措置（輻そう状態の通知／発生箇所の特定、通信規制措置・解除、加入者端末／回線に対する規制・通知、相互接続網に対する制御・通知）• その他のIT障害（故障、災害等）対策：対応手順書等の整備（メーカ等の連携）• 重要情報漏えい対策：対応手順書等の整備、被害拡大防止措置
•

情報
通信

電気
通信

指針に示された内容が盛り込まれているだけでなく、具体的な対策と対策チェックシートの提示がなされている。

放送

指針に示された内容は盛り込まれている。
運用管理：障害時・災害時対応策（関係者連絡手順の明確化、対応手順の明確化、障害原因の調査・分析）• データ保護：漏洩防止（暗証番号等の漏洩防止、相手端末確認機能、蓄積データの漏洩防止策、伝送データの漏洩防止策）、破壊・改ざん防止（排他制御機能、アクセス制御機能、不良データ検出機能）、検知策（伝送データの改ざん検知策、ファイル突合機能）• 不正使用防止：アクセス権限確認（本人確認機能、IDの不正使用防止機能、アクセス履歴の管理）、利用範囲の制限（取引制限機能、事故時の取引禁止機能）、不正・偽造防止対策（カードの偽造防止対策、電子的価値の保護機能、不正検知の仕組み、暗号鍵の保護機能、電子メール、ホームページ閲覧等の不正利用防止機能）、外部ネットワークからのアクセス制限（外部ネットワークからの不正侵入防止機能、接続機器の必要最小限化）、検知策（不正アクセスの監視機能、不正な取引の検知機能、異例取引の監視機
能）、対応策（不正アクセス発生への対応策、復旧策）• 不正プログラム防止：防御対策、検知対策、被害時対策
•

金融

航空

指針に示された内容が盛り込まれているだけでなく、目的、考え方、実施方法等について具体的な事例を踏まえながら解説がなされている。

（航空運送事業者）
指針に示された内容は盛り込まれている。
（航空管制システム）
指針に示された内容は盛り込まれている。

鉄道

指針に示された内容が盛り込まれているだけでなく、対策項目の具体化がなされている。

•

輸送サービス継続性についての検討

電力指針に示された内容が盛り込まれているだけでなく、対策項目の具体化がなされている。

•

災害時の「災害時対応計画」の策定、サイバー攻撃時の「緊急時対応計画」を策定

ガス指針に示された内容が盛り込まれているだけでなく、想定し得る最悪のケースの具体化がなされ
ている。

•
•

ガス製造設備の制御システム：ソフトウェア不具合、パラメータ設定ミス
ガス供給設備の遠隔監視・制御システム：ソフトウェア不具合、ミスオペレーション、通信障害、停電

政府・行政サービス

指針に示された内容が盛り込まれているだけでなく、例文と解説による具体化がなされている。

•

例：施設の耐災害性対策、施設・情報システムの地理的分散、非常用電源の確保、人手による業務処理
や郵送・電話の利用を含む情報システム以外の通信手段の利用、事態発生時の対応体制及び要員計画
等

医療指針に示された内容が盛り込まれているだけでなく、対策項目の具体化がなされている。

水道

指針に示された内容が盛り込まれているだけでなく、実施内容の具体化がなされている。

物流

指針に示された内容は盛り込まれている。
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

•••

非常時と判断する仕組み・正常復帰時の手順
非常時のユーザアカウントや非常時用機能の管理手順の整備
医療施設として定められるBCPにおいては、医療情報システムについての計画を含め、全体としての整合性留意

事業継続ガイドライン（内閣府）、事業継続計画策定ガイドライン（経済産業省）の把握と整合性の取れた対策の盛り込み• 水道供給事業者と受水団体間の整合性留意•

32

事務局案（4-3 安全基準等の整備④）④リスク開示の在り方○安全基準等において前提とするリスクを開示することについては、リスク管理の観点からどう考えるべきか
z リスクコミュニケーションの観点から、前提とするリスクを開示することにより、サービス提供側のみでなく利用側におけるリスクの対処が容易になるのではないか
z リスクを開示せずにブラックボックス化したままでは、利用側にとってみれば、サービス提供側がすべてのリスクを負うという誤解が生じる可能性がある
z インターネット等を活用して、サービスの停止状況、復旧見込みの情報等を周知している事業者等もある
z 一方、リスクを開示することにより、攻撃者に対し、脆弱な箇所を知らせることになって、脅威が増大する可能性の側面もある
z 「指針」では、「「安全基準等」は（中略）可能な限り公開されることが望ましい」としている
z 非公開とする代わりに、情報セキュリティの取組みをホームページに掲示している分野もある
z 情報セキュリティ政策会議において、「安全基準やこれをふまえたアクションプランについて、重要イ
ンフラに依存している国民に公表することが必要」という意見もある
z 情報セキュリティマネジメントの有効性の測定の国際標準（ISO/IEC27004：現在策定中）が参考になるという考え方もあるz 【専門委員会での議論より得られた方向性】
z 情報開示の仕方としては、対象者を限定して開示するという取扱いもあるのではないか
z リスク開示のあり方として、監査というプロセスが重要であることを踏まえれば、情報セキュリティ監
査報告書の取得を対策の一つとして取り上げてもよいのではないか【事務局案】
・ リスクコミュニケーションの観点からの分野や重要インフラ事業者等における様々な自主的な取組み（例．情報セキュリティ監査の実施や情報セキュリティ報告書の作成・公表）を推奨し、NISCは個人への広報活動の一環として、そのような先進的な取組みの状況を集めて周知することとしてはどうか
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

33

事務局案（4-4 情報共有体制の強化①）①情報共有の目的等について【重要整理事項】○「ＩＴ障害（リスク）発生時の対応」「経験やベストプラクティスの共有」「一般的な状況認識」など目的や段階に応じて使い分けることを考えるべきではないかといった点や、その前提として、共有が望まれる情報、共有の方法、情報の利用者、利用の仕方、タイミングについて整理すべきではないか
実施細目に基づく情報連絡・情報提供やCEPTOAR等の枠組みを適切に活用するため、NISCは共有する情報と活用する枠組みについて整理する必要があるのではないか。
z 共有する情報は脅威ごとに整理し、必要に応じて更に細分化を検討することとしてはどうか。
z 情報の共有にリアルタイム性や確実性が求められる場合は、実施細目に基づく情報連絡・情報提供を利用することが適切であり、それ以外の場合は適宜有効な共有方法を選択することが望ましい。
z 実際に共有する情報についてCEPTOAR-Council（仮称）の創設に向けた活動において、検討中である。
z 共有する情報については、各分野ごとに特性があることを踏まえ、各分野ごとに適した整理をすることが望ましいのではないか。
z 【専門委員会での議論より得られた方向性】
z 各分野の業法に基づいた既存の状況を十分に把握して慎重に進める必要がある。
z 情報セキュリティに係る技術開発等を行う研究機関等にNISCの活動を理解してもらえば、研究機関等が現場から適切な課題抽出ができるという意味で有用ではないか。
z【事務局案】
・情報共有の整理をするにあたっては、想定される脅威と取り扱う情報の観点からマトリックス的に整理して、共有する情報、共有のタイミング及び共有の方法等を整理してはどうか（イメージは次頁参照）。
・取り扱う具体的な情報や利用の方法等は、それぞれの分野や業法の特性を十分に勘案し、 NISC、
CEPTOAR、 CEPTOAR-Council（仮称）等の各主体がそれぞれの主体的な取り組みの中で決めていく
ものではないか。
・NISCは、関係機関の保有する情報ごとに、重要インフラ事業者等にとって有用な情報提供のありかた（タイミング、様式、方法など）を検討してはどうか。
・関係機関が現場から適切な課題抽出ができるよう、関係機関にNISCの取り組みや各分野の動向を伝えることとしてはどうか。
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

34

情報共有の整理イメージ
共有情報

b.個別の事例等に関
する情報

指針の改定
指針見直し文書の公表
安全基準等の見直し状況
国際標準の策定
各種ガイドラインの策定

重要インフラ事業者等の分析報告の公表、プレゼ
ンテーション等
業界レポートの公表、プレゼン等
ベストプラクティスの公表、プレゼンテーション等
関係機関等のレポートの公表

関係機関等から提供される情報
・ゼロデイ攻撃の情報、
DoS、DDoS攻撃予告
・異常なトラフィック発生・注意喚起 等

指針の改定
指針見直し文書の公表
安全基準等の見直し状況
相互依存性解析の報告書の公表
国際標準の策定
各種ガイドラインの策定

重要インフラ事業者等の分析報告の公表、プレゼン
テーション等
ベストプラクティスの公表、プレゼンテーション等
関係機関等のレポートの公表

・基幹システム、ソフトウェアの不具合等に関する情報
・修正プログラムのインストール時に発生する不具合等に関する情報（例：自動インストールされる場
合等）

１．サイバー攻撃②サービスが直接のターゲット
ではないが、重要インフラ事業者等が被害を受ける攻撃

c.予兆・警報に関する情報

a.各種規程の紹介

脅威①サービスの対象となるシステ
ムへの直接的な攻撃

B.障害の拡大防止・復旧のため必要となる情報

A.未然防止及び再発防止の観点で有益な情報

ア 緊急対応が不要な場合

イ .緊急な対応が必要な場合③インターネットの基幹システム（IX、ルートDNS等）への攻撃

２．非意図的要因①プログラムミス、システムの不具合や操作ミス等②制度改正等大規模な変化を伴う社会的問題

a.事業者等→所管省
庁→NISCb. NISC→所管省庁→CEPTOAR→事業者等・障害の状況
・暫定措置
・障害の発生原因・障害に対する対策
・復旧見込み・電気通信、電力、水道（サービスの停止等により他分野の重要システムに影響が波及し得る分野）の各サービスの停止・復旧に関する情報・障害の状況
・暫定措置
・障害の発生原因・障害に対する対策
・復旧見込み・電気通信、電力、水道の各サービスの停止・復旧に関する情報制度変更等に関する事前（直前）
警告等

制度変更等の紹介

３．災害

情報共有のタイミング（ア）平時（要警戒時・障害発生時以外のタイミング）→ リアルタイム性は不要（イ）要警戒時・障害発生時→ リアルタイム性が必要（実施細目に基づく取扱い）

情報共有の方法

ニュースレターで紹介
重要インフラ向けWeb等
で共有

実施細目に基づく情報提供各セプター、セプターカウン
シルで共有を期待
ニュースレターで紹介

ニュースレターで紹介

実施細目に基づく情報 実施細目に基づく情報
連絡（※緊急事態等にお 提供（※緊急事態等における別の連絡体制や手続 ける別の連絡体制や手続きがある場合を除く）
きがある場合を除く）

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

35

事務局案（4-4 情報共有体制の強化②）②NISCの役割について【重要整理事項】○分析機能や「関係機関」との結節点としての機能など、明確化すべきＮＩＳＣの役割は何か
2007年度の「CEPTOAR-Council検討の場」及び本年度に設置した「CEPTOAR-Council創設準備会」の事務局をNISCが務めている。
z 「2007年度の評価」や「行動計画見直しにあたっての論点整理」を見ると、情報共有体制の有効活用が課題と位置付けられている。
z その一方で関係機関との連携においても、関係機関の様々な活動状況を踏まえながら、連携の方策を検討する必要がある。
z 【専門委員会での議論より得られた方向性】
z 事業者に提供可能な情報を集めるため、関係機関と協力関係を一層深める必要がある。
z 重要インフラ所管省庁からNISCに提供される情報について、NISC内での閲覧がそれぞれの分野担当者に限定されているという問題がある。
z 最終的には国民や社会に対して、還元する必要があるのではないか。
z【事務局案】
・NISCはCEPTOAR-Council（仮称）の立ち上げに向けて、当面は事務局の役割を担うとともに、その活動の強化のために各CEPTOAR間の連携強化を促進することとし、そのために有効な環境整備に取り組んではどうか。
・NISCは、関係機関の活動や保有する情報を把握・整理するとともに関係機関等の有する分析機能の活用を検討してはどうか。
・NISCは、重要インフラ事業者等の情報セキュリティ向上のために有用な活動を行う機関を関係機関として適宜追加してはどうか。
・現行動計画別紙３－１の枠組みを継続する中で、事案対処省庁からの積極的な情報提供を期待することとしてはどうか。
・NISCは、定常的な情報発信を行う中で、分野横断的な観点での情報のニーズとシーズの把握を行い、情報提供に適宜フィードバックすることとしてはどうか。
・事例や経験の共有の強化のために、NISCはこれまで実施してきた相互依存性解析で得た観点から事例の分析を行うこととしてはどうか。
・NISCは、所管省庁から提供される情報について、共有する情報を取り扱うことが可能な担当者の範囲について民間からの出向者も含め柔軟に設定し、情報提供等の運用の改善を図ることとしてはどうか。
・重要インフラ所管省庁の担当者は現行動計画から引き続き、リエゾンとして内閣官房に併任してはどうか。
・NISCは、重要インフラにおけるCEPTOARやCEPTOAR-Council等の情報共有に関する取り組みについて国民や社会に対して広く紹介してはどうか。

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

36

事務局案（4-4 情報共有体制の強化③）③情報共有の障害除去【重要整理事項】○重要インフラにおける情報共有の障害となりうる事象は何か、それを除去するために有効な方策は何かといった点や、守秘義務や免責等の法律的課題について現実の情報の流れに照らし、現在の「実施細目」等の仕組みにおいて見直すべき部分はあるか
情報共有の妨げの要因としては、「事業者等～CEPTOAR～所管省庁～NISC」間で共有する情報、共有が望まれる情報、共有可能な情報や共有の必要性について明確になっていないことが原因ではないか。
z これまでの分野横断的演習やCEPTOAR訓練等の活動を通して、現行の情報共有体制は、経路が3段階から構成され、それぞれの経路間のルールの整合が必要である等様々な課題が挙げられている。
（※１）
z 現行の情報共有体制は政府間の情報取り扱いを定める「実施細目」
から起因する課題が多い。
z 情報共有体制の見直しを考える場合、政府間のルールを定めた「実施細目」に留まらず、情報共有体制の全体的なルールの整合を見直した後、実施細目も含めて細部の見直しに着手すべき。
z 【専門委員会での議論より得られた方向性】
z 所管省庁とNISC間での情報共有について、今後の課題など具体的な事務局案を示すべき
z 既存の業法による規定は個々の対象分野を保護する上では最適かもしれないが、分野を越えた情報共有を行う場合には、分野全体での最適の観点を意識することが必要ではないか
z 情報共有体制において、事案対処省庁の位置づけについて検討する必要がある
z【事務局案】
・共有する情報については、サービスの定義や対象とする脅威の検討を踏まえた上で、整理することとしてはどうか。
・体制としては行動計画別紙３－１に示す現行を踏襲し、課題となっている「実施細目」を含めた情報共有体制を構成する各経路間の運用解釈に係る認識を整合させるため、CEPTOAR等の関係者の意見等も踏まえて「実施細目」を見直すとともに、NISCと所管省庁間の経路に対しては、「実施細目」に基づく運用についての参考資料を関係者間で共有することで、情報共有体制の可視化を進めてはどうか。
・CEPTOARとの情報取扱いルールの整合の際には、CEPTOAR-Council（仮称）で議論してはどうか。
・将来的には、NISCから重要インフラ事業者等への情報提供について、必要に応じて求められる機能、要件の検討を行い、NISC、所管省庁、CEPTOARの間において共有することとしてはどうか。
・現行動計画別紙３－１の枠組みを継続する中で、事案対処省庁からの積極的な情報提供を期待することとしてはどうか。
・但し、CEPTOAR-Council（仮称）については今年度末に設置が予定されているものであることから、別紙３－１上のCEPTOAR-Council（仮称）に係る記載については、CEPTOAR-Council（仮称）創設準備会の検討状況を踏まえつつ別途
整理してはどうか。
・CEPTOARとの情報取り扱いルール整合の際には、CEPTOAR-Council（仮称）で議論してはどうか。
（※１） 「重要インフラの情報セキュリティ対策に係る行動計画」の情報連絡・情報提供に関する実際細目
37
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

【参考】情報共有体制における各々の経路と情報共有体制の現状
経路①NISC-重要インフラ所管省庁

情報取扱
ルール

実施細目

③CEPTOAR内

所管省庁とCEPTOARの間で予め定められた通信手段

（※１）

実施細目
（※１）

情報の様式

②重要インフラ所管省庁-CEPTOAR各CEPTOARの情報取り扱いルール
分野毎に規定（分野横断の様式はなし）

分野毎に規定（分野横断の様式はなし）

別紙３，５

CEPTOAR重要インフラ
所管省庁

PoC
CEPTOAR

ＮＩＳＣ

重要インフラ
所管省庁
:
:
:

:
:
:
:
:
重要インフラ
所管省庁

PoC
:
:
CEPTOARPoC::
CEPTOARPoC
CEPTOAR
PoC

重要インフラ事業者等
重要インフラ事業者等
重要インフラ事業者等

重要インフラ事業者等
重要インフラ事業者等
重要インフラ事業者等::
重要インフラ事業者等
重要インフラ事業者等
重要インフラ事業者等

重要インフラ事業者等
重要インフラ事業者等
重要インフラ事業者等

重要インフラ事業者等
重要インフラ事業者等
重要インフラ事業者等（※１） 「重要インフラの情報セキュリティ対策に係る行動計画」の情報連絡・情報提供に関する実際細目

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

38

事務局案（4-4 情報共有体制の強化④）④CEPTOARについて○各重要インフラ分野における主体的取組みの下で、重要インフラにおける情報共有を進めるという観点から、ＣＥＰＴＯＡＲがより有効的かつ効果的に機能するための工夫は考えられないか
z 2007年度末に新規３分野においてCEPTOARが整備されたことにより、重要インフラ全分野において

CEPTOARが整備されたが、整備されたばかりのCEPTOARについては活動による蓄積が少ないことか
ら機能の確立、充実を図ることに留意する必要がある。
z 複数のCEPTOARにおいては、先進的な活動として対政府の窓口機能だけでなく、CEPTOAR独自の機能として分析機能等を保有している。（ただし、分析の内容は分野によって様々である。）
z CEPTOARについては、引き続き政府からの情報の共有を推進するとともに、今後は、CEPTOARにおける情報の収集、把握・分析、内部での共有、他CEPTOARやCEPTOAR-Council（仮称）等への発信など
といった機能の展開が期待される。
z 【専門委員会での議論より得られた方向性】
z （特になし：事務局案のとおり）【事務局案】
・NISCは、CEPTOARが有効に機能するために共有する情報や利用の方法等の整理の促進、先進的なCEPTOARの活動の紹介等を行い、各CEPTOARの機能充実を支援することとしてはどうか。
・NISCは、CEPTOARを効果的に支援する観点から各CEPTOARの活動状況を適切に把握していくこととしてはどうか。
・NISCは、国民への説明責任を果たしていく観点から、把握している各CEPTOARの活動状況を
CEPTOARに支障のない範囲で整理して国民に対して説明していくこととしてはどうか。
・NISCは情報提供を活性化するとともに、CEPTOARの情報共有体制の維持・向上のために情報疎通機能の確認等の機会を提供してはどうか。
(2) 情報共有・分析機能（CEPTOAR）
IT障害の未然防止、発生時の被害拡大防止・迅速な復旧及び再発防止のため、政府等から提供される情報について、適切に重要インフラ事業者等に提供し、関係
重要インフラ事業者等間で共有することにより、各重要インフラ事業者等のサービスの維持・復旧能力の向上に資するため、各重要インフラ分野内に「情報共有・分析機能」（CEPTOAR: Capability for Engineering of Protection, Technical Operation, Analysis and Response）の整備を進める。
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

39

事務局案（4-4 情報共有体制の強化⑤）⑤その他○情報共有体制の充実強化のためには、行動計画上の「関係機関」や、「基幹システム」との連携についても検討すべきではないか、その他連携を検討すべき相手はないかといった点や、ＩＴ障
害に至らない、いわゆる「ヒヤリハット」についても共有できるような体制が必要ではないか
z IT障害の事例の共有と共に、情報セキュリティ上の問題が発生しながら、適切な対応が行われた事例などIT障害に至らなかった事例に関する情報の共有についても重要である。
z IT障害の中でも、情報連絡の対象となるのは、法令等で報告が義務づけられているものや重要インフラ
事業者等が特異重大なものと判断したものに限られる。
z 実際、2007年度の指針見直しの中で、過去事例の知見や教訓を踏まえたことにより、未然防止や被害軽減が実現できた事例もあることが確認されている。
z 但し、情報共有を行う体制については、新たに構築することを検討する前に、現時点で構築されている体制の活用をする方が効率的である。
z 【専門委員会での議論より得られた方向性】
z （特になし：事務局案のとおり）【事務局案】・IT障害に至らない事例や現行情報連絡の対象とならないIT障害の事例の共有についてはNISCによる関係機関等との情報共有を含めた支援のもとでCEPTOAR及びCEPTOAR-Council（仮称）等の民主体の活動に期待することとしてはどうか。また、官民の情報提供連絡体制として、情報共有を図ることについても検討してはどうか。
・事例や経験の共有の強化のために、NISCはこれまで実施してきた相互依存性解析で得た観点から事例の分析を行うこととしてはどうか。
イ 重要インフラ事業者等からの情報連絡① 情報連絡の対象となるIT障害（別紙３－２～４参照）
情報連絡の対象となるIT障害は、次に掲げる場合であって、法令等で報告が義務づけられている事故、障害、業務遅延等のほか、特異重大なもの
として重要インフラ事業者等が連絡を要すると判断したものを含むものとする。
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

40

事務局案（4-5 相互依存性解析・分野横断的演習①）①相互依存性解析の継続について【重要整理事項】○次期行動計画においても、引き続き相互依存性解析を行う意義、目的はあるか、引き続き行うとした場合、実施体制や方法について見直す必要はないか。また、例えば対象とするシステムを拡げたり、事業復旧計画レベルでの相互依存性を検証するなど、新たな検討項目を追加する必
要はないか
各重要インフラ分野におけるIT利用が進展するにつれ、重要インフラ分野相互の依存関係が増大しつつある中、重要インフラの情報セキュリティ対策を向上させていくためには、引き続き分野横断的な状況の把握・解析が不可欠ではないか
z 解析結果は重要インフラ事業者等の「安全基準等」策定・見直しに活かされつつあるが、事業継続計画の策定や重要インフラ所管省庁の政策・検査などへの反映も期待されるのではないかz これまでの取り組みを通じて、関係者間の人的ネットワークが形成・強化されているのではないか
z 解析の目的を達するためには、これまでの方法で十分であったと言えるのか
z 専門家による研究的な取り組みとしてはどうか
z 対象とするシステムを拡大するかどうかにあたっては、まず対象とするサービスをどう考えるかが前提となるが、それにはサービスの範囲を利用者の視点でとらえる必要があるのではないかz 【専門委員会での議論より得られた方向性】
z 解析から得られた成果を重要インフラ事業者、所管省庁だけでなく活用できないかz 「相互依存性解析」という言葉は誤解を招くので、名称を変えてはどうかz【事務局案】
・ 相互依存性については、関係者間で一定の共通認識が得られるなど成果があがっており、より一層の活用ができるよう、
引き続き行うこととしてはどうか
・ 研究者等との連携をより深めつつも、基本的な枠組みは現状のNISC、重要インフラ所管省庁、重要インフラ事業者等という取り組みとしてはどうか
・ 具体的方法としては、特定テーマ（関係性）に基づき分野間に焦点を当て、限られた関係者間で情報管理に、より配慮した形で調査を行うこととしてはどうか。又、そのアウトプットの公開については、関係者間で可能な範囲を設定し情報共有することとしてはどうか
・ 対象とするシステムは、事業復旧計画に重点おくため、利用者がサービスを受ける過程で必要な一連の手続きに関するシステムも含めることとしてはどうか
・ 重要インフラ所管省庁以外の省庁にも解析で得られた成果を反映する仕組みを講じていくこととしてはどうか
・ 次期行動計画において実際にやるべき内容を定めた後、「相互依存性解析」の名称変更が適切か検討してはどうか
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

41

事務局案（4-5 相互依存性解析・分野横断的演習②）②分野横断的演習の継続について【重要整理事項】○次期行動計画においても、引き続き分野横断的演習を行う意義や目的はあるかといった点や、
引き続き行うとした場合、例えば既に行った演習テーマの掘り下げや、演習規模の拡大など、向かうべき方向性についてどう考えるべきか、実施体制や方法について見直す必要はないか
z 2006年度の机上演習、2007年度のより実態に近い形での機能演習といった分野横断的 演
習を通じてIT障害発生時における官民の連絡・連携体制と対応能力は着実に向上しているのではないかz 次期行動計画においても，各施策をより実効性のあるものとするには、分野横断的な演習の実施による検証、見直しが必要ではないか
z 事業者にとってメリットのある演習とはどういうものかz 【専門委員会での議論より得られた方向性】（特になし：事務局案のとおり）【事務局案】
・分野横断的演習は段階的に実施していることもあり、引き続き「重要インフラ事
業者等の事業継続」に焦点をおいて、分野横断的な課題の抽出を目的として実施するのが望ましいのではないか。
・より成果をあげるために、訓練的な要素を取り入れた演習や、仮説に基づいた演習を実施してはどうか。
・参加分野を絞って掘り下げた演習を行ってはどうか。
・必要に応じて関係機関、ITベンダー等の参加による演習規模の拡大を行ってはどうか。
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

42

事務局案（4-5 相互依存性解析・分野横断的演習③）③事案対処の観点からの課題検証について○分野横断的演習において「事案対処」の観点からの課題について検証する場合、その方法として如何なる方法が適当か。また、その際には「事案対処省庁」との連携のあり方や課題についての具体的検討が必要ではないか
z 分野横断的演習は、「ＩＴ障害からの早期復旧、事業継続（重要インフラ事業者等のサービスの維持及びＩ

Ｔ障害発生時の迅速な復旧等の確保）」等の観点に焦点をおいて、分野間の相互依存関係の検証や情報提供・情報連絡といった分野横断的課題の抽出を目的として、段階的に実施してきているz 「事案対処省庁」との連携のあり方や課題についての具体的な検討を行う際には、「ＩＴ障害からの早期復
旧、事業継続」等の観点からどのような協力が可能なのかを整理する必要があるのではないか。
z 【専門委員会での議論より得られた方向性】
z 警察庁及び防衛省の位置づけに関する議論を踏まえ別途検討【事務局案】
・ 意図的要因によるIT障害発生時には、「事案対処」の観点からの対応もあるが、「事案対処」は基本的には決められた法的枠組み等に基づいて行われるものであり、 課題抽出を目的とした本演習での検証にはなじみにくい面があるのではないか
・ 「事案対処省庁」との連携のあり方や課題について検討するに当たっては、分野横断的演習の目的である「ＩＴ障害からの早期復旧、事業継続」等の観点から「事案対処省庁」から提供される知見や取り組みの内容、有効性等の検討を行い、目的に応じた具体的な連携の検討や連携体制の構築を関係者間で行うべきではないか
・ 事案対処省庁の演習参加については、演習参加者の同意が得られるか確認してはどうか

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

43

事務局案（4-5 相互依存性解析・分野横断的演習④）④その他○解析や演習を行うに当たっては、事業者の意思決定プロセスも踏まえた検証とする必要があるのではないか○他に実施される関連演習との連携や、国際的連携の可能性について
z 事業者の意思決定プロセスなど現実的な要素も取り入れ，事業者にとって有意義な演習にすべきではないかz ITの普及により，情報に関する距離は国内はもとより国際間においても急速に縮まっており、ＩＴ障害による被害の規模、波及範囲も格段に大きくなってきているのではないかz 【専門委員会での議論より得られた方向性】
z （特になし：事務局案のとおり）【事務局案】
・ 事業者の意思決定プロセスを踏まえるなど、より現実に近づけた形での演習を志向してはどうか
・ 解析や演習の更なる推進のためには、国内外の関連した取り組みとの情報
交換や情報共有、共同取り組みといった連携強化に一層努めてはどうか

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

44

事務局案（4-6 その他①）①NISCの果たすべき役割【重要整理事項】○ 各重要インフラ分野における情報セキュリティ対策の向上を支援する立場であるＮＩＳＣに対し、
例えば次のような具体的なニーズはないか検討が必要である。
ⅰ）分野間での対策の整合性維持のための情報提供（事業継続計画、事業復旧計画など）
ⅱ）重要インフラ全体としての取組み（公益的側面）に関する個人への広報公聴活動ⅲ）その他、重要インフラ事業者等の負担を軽減するための支援
この点については、本委員会におけるこれまでの議論の過程において、セキュリティに係るコストに関しては、事業者負担を軽減する措置を講じるような検討が必要との意見や、ＮＩＳＣに備えるべきリソースについても検討すべきではないかとの意見が出されている。
z 重要インフラは、国民生活や社会経済活動の基盤として位置づけられていることから、サービスの最終消費者である個人を利害関係者として念頭に置く必要がある
z NISCは相互依存性解析や分野横断的演習の実施主体として、分野横断的な観点から民主導の自立的な取組みを強化するための支援を行っている
z NISCは実施細目に基づき分野毎に担当をおき、夜間・休日等を含めた緊急連絡体制を構築
している【事務局案】
・ 次期行動計画においては、個人への広報公聴活動について積極的に取組み、広く世間に発信するとともに、意見を求めることとしてはどうか
・ 国民生活や社会経済活動の基盤として、情報セキュリティ対策の必要性の自覚を持ちつつ、重要インフラ事業者間の相互理解や共通認識の醸成を図る
ために、一層のリスクコミュニケーションを期待した取組みを推進してはどうか
・ 引き続き、民間が単独では行うことが困難な、重要インフラ全体としての分野
横断的な対策を支援する取組みをしてはどうか・ 緊急連絡体制を含め、必要な体制は今後とも確保していくこととしてはどうか
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

45

事務局案（4-6 その他②）②国際的取組みとの整合性について【重要整理事項】○ 例えば、ＯＥＣＤにおける議論の前提となる「重要情報インフラ」という概念と、我が国における「重要インフラ」との関係について、どのように整理すべきか、などの国際的取組みとの整合性についても検討が必要である。
この点については、本委員会におけるこれまでの議論の過程において、欧米における重要インフラの環境・取組みの違いを踏まえ、日本型の重要インフラにおける情報セキュリティ政策とする
べきといった意見や、情報セキュリティ対策の向上が「国際競争力」に繋がることなど、重要インフラ事業者にとっての企業環境への配慮も必要ではないかといった意見が出されている。
z ＯＥＣＤの議論における前提となる「重要情報インフラ」とは、「相互接続された情報システムとネットワーク

であり、その途絶や破壊が、国民の公衆衛生、安全、安心、経済的福祉、又は政府や経済の有効的な機能に重大な影響をもたらすもの」とされている（OECD Recommendation of the Council on the Protectionof Critical Information Infrastructures（2008）より)
z 我が国では、重要インフラ防護全体の一部として、「ＩＴ障害から国民生活や社会経済活動に重大な影響を及ぼさないよう重要インフラを防護する」という「重要インフラの情報セキュリティ対策」が位置づけており、
これは「重要情報インフラ」の概念とほぼ同義であると考えられる【事務局案】
・ 我が国は、引き続き「重要インフラの情報セキュリティ対策」に関する国際的取組みに参画していくこととしてはどうか

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

46

事務局案（4-6 その他③）③各主体において取り組むべき事項と横断的施策○ 内閣官房、各重要インフラ事業者等及び所管省庁、情報セキュリティ関係省庁、事案対処省庁が取り組むべき事項をどのように整理すればよいかといった点や、人材育成、研究開発、地域レベルの取組み促進、国際連携などの横断的施策についてどのように取り組むことが望まれるかといった点について検討が必要である。
z 現行動計画においては、各施策にて取組むべき内容を取組み主体毎に整理している
z 横断的施策については、我が国全体の情報セキュリティ対策の取組みの一環として、人材育
成・資格体系化専門委員会、技術戦略専門委員会にて検討している。
z また、情報セキュリティの日関連イベント等での講演を通じての地域レベルの取組み促進や、
日米会合（2007年8月）、メリディアン会合（2007年10月：重要インフラ防護をテーマとした国際会合）等を通じた国際連携を推進している。
【事務局案】・ 引き続き各施策にて取組むべき内容を取組み主体毎に整理するとともに、横断的施策についての検討内容を記載してはどうか
・ 公的機関（内閣官房、重要インフラ所管省庁、情報セキュリティ関係省庁と関係機関、事案対処省庁）については、重要インフラ特有の施策を中心に取組
みの主体及び内容を明記し、より具体的に記載してはどうか
・ 公的機関以外の主体（重要インフラ事業者等、CEPTOAR、CEPTOARCouncil、国民）に対しては、重要インフラの担い手としての意識に基づく自主的な取組みの下で、「事故前提社会」への対応力強化を導くために、「～に期待する事項」として、取組みが望まれる内容を記載してはどうか
Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

47

事務局案（4-6 その他④）④行動計画の推進体制について○ 次回の見直し期間をどのように設定するのが適当か、今回同様に３年ごとの見直しで問題ないか検討が必要である。
z 現行動計画においては、「3年ごと（策定から2年後、進捗状況を踏まえ、12ヶ月かけて見直す）又は必要に応じ、見直しを行う」こととしている
z 現行動計画策定（2005年12月13日）以降、我が国全体の情報セキュリティ戦略である第１次
情報セキュリティ基本計画が策定（2006年2月2日）され、現行動計画はその個別設計図のひとつとして取組みを進めることとなっている
z 基本計画検討委員会において検討が行われている次期情報セキュリティ基本計画について
も、2009年以降3年間の計画を予定している【事務局案】
・ 次期行動計画においても、今回同様に３年ごとの見直しが適当と考えられる

Copyright (c) 2008 National Information Security Center(NISC).All Rights Reserved.

48