サイバーセキュリティ戦略本部
第 18 回会合

１

重要インフラ専門調査会
議事概要

日時
平成 31 年４月 18 日（木）14 時 00 分～16 時 00 分

２場所
中央合同庁舎第４号館 12 階

３共用 1208 特別会議室

出席者（五十音順・敬称略）
（委員）
阿部克之

電気事業連合会

情報通信部長有村浩一

一般社団法人ＪＰＣＥＲＴコーディネーションセンター

伊藤清隆

明治安田生命保険相互会社

稲垣隆一

稲垣隆一法律事務所

弁護士

大林厚臣

慶應義塾大学大学院

経営管理研究科

小野森彦

石油連盟

河野敬一

一般社団法人日本クレジット協会

田中明良

日本放送協会

田中一三

日本通運株式会社

手塚悟

慶應義塾大学大学院

中村和訓

東日本旅客鉄道株式会社 技術イノベーション推進本部 システムマネジメント部門 部長

沼田薫

野村ホールディングス株式会社 執行役員 ＩＴ統括責任者(ＣＩＯ) 野村證券株式会社 執行役員 ＩＴ担当兼情報セキュリティ統括責任者

野口和彦

国立大学法人横浜国立大学 リスク共生社会創造センター長 兼 国立大学法人横浜国立大学大学院 環境情報研究院 教授

平田真一

日本電信電話株式会社細川

猛

堀内

浩規

一般社団法人日本ケーブルテレビ連盟

松田栄之

エヌ・ティ・ティ・データ先端技術株式会社 セキュリティ事業部 エグゼクティブコンサルタント

水田淳也

株式会社みずほ銀行 データマネジメント部サイバーセキュリティチーム次長

盛合

志帆

国立研究開発法人情報通信研究機構 サイバーセキュリティ研究所 セキュリティ基盤研究室長

師岡

悟

若杉健次

東京都港区

和田昭弘

全日本空輸株式会社 デジタル変革室 企画推進部 情報セキュリティ・基盤戦略チームリーダー

渡辺

研司

国立大学法人名古屋工業大学大学院

情報システム部

常務理事

審議役

教授

総務部長

情報システム局

石油化学工業協会

ＣＳＩＲＴ部長

ＩＴ推進部
政策・メディア研究科

技術企画部門

総務部 兼 業務部

公益社団法人日本水道協会
総務部

業務企画部部長

工務部

特任教授

セキュリティ戦略担当部長
次長
通信制度部長

規格課長

情報政策課長1

工学研究科

社会工学専攻教授

（事務局）
前田哲

内閣サイバーセキュリティセンター長

桑原振一郎

内閣審議官

山内智生

内閣審議官

三角

育夫

内閣審議官

飯村亜紀子

内閣参事官

千葉陽一

内閣参事官

越後

和徳

内閣参事官

金子

修久内閣参事官

結城則尚

内閣参事官

井田俊輔

内閣企画官

雲田陽一

内閣企画官

中尾康二

サイバーセキュリティ参与（オブザーバー）内閣官房内閣参事官
警察庁警備局警備企画課
金融庁総合政策局総合政策課
総務省自治行政局地域政策課地域情報政策室
総務省サイバーセキュリティ統括官室
外務省大臣官房情報通信課
厚生労働省政策統括官付サイバーセキュリティ担当参事官室
経済産業省商務情報政策局サイバーセキュリティ課
国土交通省総合政策局情報政策課サイバーセキュリティ対策室
原子力規制庁長官官房総務課情報システム室
防衛省整備計画局情報通信課

４

議事概要（１）開会（挨拶）前田センター長及び渡辺会長から開会に際しての挨拶が行われた。

（２）報告事項〇重要インフラにおける安全基準等の継続的改善状況等の調査について
資料２「重要インフラにおける安全基準等の継続的改状況等の調査について（2018年度）」に基づき、事務局から報告が行われた。
（本報告事項に関する特段の質疑応答はなし。）

2

〇重要インフラにおける安全基準等の浸透状況等に関する調査について
資料３「重要インフラにおける安全基準等の浸透状況等に関する調査について（2018年度）」に基づき、事務局から報告が行われた。
（本報告事項に関する特段の質疑応答はなし。）〇重要インフラにおけるセプターの活動状況について
資料４「重要インフラにおけるセプターの活動状況について（2018年度）」に基づき、事務局から報告が行われた。
（本報告事項に関する特段の質疑応答はなし。）〇重要インフラにおける情報共有の件数について
資料５「重要インフラにける情報共有件数について（2018年度）」に基づき、事務局から報告が行われた。
（本報告事項に関する特段の質疑応答はなし。）〇重要インフラにおける補完調査について
資料６「重要インフラにおける補完調査について（2018年度）」に基づき、事務局から報告が行われた。
［野 口 委 員］

資料６で報告いただいたように、起きた事象を分析し、その対策を取っていくということは非常に重要である。一方で、起きた事象を分析して再発防止に努めることと、起きうる事象を想定してリスクを分析し、事前に対策を取るということは意味が異なる。過去の事例を分析することに終始し、それをもって十分なリスク分析を行ったという認識にならないか懸念している。
［結城参事官］ 過去は事例の収集に重きをおいていた面もあったが、今後は、実際に起きている事象を把握するだけではなく、それらの事象を一般化して体系化することにより、問題の根幹を捉え、今後どのような対策が必要になるかを先読みできるようにしたいと考えている。

（３）討議事項〇重要インフラにおける取組の進捗状況（年次報告（案））について
資料７「重要インフラにおける取組の進捗状況（年次報告）（案）について」、
資料７－２「重要インフラにおける取組の進捗状況（年次報告）（案）」及び資料
７－３「（参考）サイバーセキュリティ2019（仮称）（2018年度報告・2019年度計3画）（案）【抜粋】」に基づき、事務局から説明が行われた。
（本討議事項における資料等は非公開。）〇安全基準等策定指針（第５版）等の改定（案）について
資料８「『重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）等の改定（案）』について」、資料８－２「（参考）安全基準等策定指針（第５版）の改定（案）について」、資料８－３「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）改定（案）」、資料８－４「新旧対照表（案）」及び資料８－５「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書（第１版）改定（案）」に基づき、事務局から説明が行われた。
［盛 合 委 員］

資料８－３の改定（案）では、「『安全基準等』で規定が望まれる項目」として新たに「データ管理」が追加され、その「対策項目の具体的例等の参照先」として政府機関向けのガイドラインが掲げられているが、個人情報関連のものも参照すべきではないか。どのような基準で選定したのか。
［金子参事官］

重要インフラサービスの障害に直結しうるものを選定し、記載している。
［野 口 委 員］ 同じく資料８－３の改定（案）では、「データ管理」に加えて、「『安全基準等』で規定が望まれる項目」として「災害による障害の発生しにくい設備の設置及び管理」が追加され、「各種災害による障害が発生しにくい適切な場所を設置の際に検討する」と記載されているが、あらゆる災害を想定すると日本に「適切な場所」はない。ここの記載は「場所」とするのではなく、「施設」とするのが適切ではないか。地震が起こりやすい場所でも、地震に耐えられる頑丈な施設を作れば問題はない。利便性を考慮しつつ、より安全な場所を選定していくという考え方がよいのではないか。
［金子参事官］

御指摘のとおり、どのような場所でも災害による被害を完全に防ぐことは不可能であるが、場所によって想定される被害の程度に差はあるため、設備を設置する際には「場所」も含めて検討する必要があるというメッセージを込めている。
［野 口 委 員］

適切な場所を選定した上で施設を検討という順番だと、なぜその場所を選定したかという問に答えなければならなくなる。安全性については、個々に評価するのではなく、場所と設置するシステムを総合的に評価すべきである。場所の選定は利便性等のその他の要素も考慮して行うものであり、事業者に自由を与えるべきである。

4

［小 野 委 員］

場所の選定は、後段にある「災害が発生した場合であっても被害を低減できるような防止対策」の中の１つに過ぎない。主と従が逆転している。前段を削るか又は例示にする等、総合的な記述に変更いただきたい。
［金子参事官］ 高潮や豪雨では、もう少し高いところに設備を設置しておけば、被害にあわずに済んだというケースもあり得ると想定される。場所を十分に考慮せずに、施設の余剰なスペースに設備を設置するということがないようにという趣旨で記述している。
［渡 辺 会 長］場所というよりもどのように配置するかが重要なので、防止対策の中の１つとして「場所」を「配置」に表現ぶりを修正して考慮するということにしたい。具体的な文言は事務局と調整する。
［稲 垣 委 員］

各事業者において情報セキュリティの確保のため様々な取組が実施されている現状を踏まえ、資料８－３の７ページのⅡ.4.1.2.（ １）の「『リーダーシップ』の観点から理解すべき要求事項」に、「重要インフラ事業者として計画する機能保証の観点から行う情報セキュリティ対策を適切に実行するに足る各種資源を準備すること。」を追加してはどうか。資源の準備については、経済産業省の「サイバーセキュリティ経営ガイドライン」でも言及されており、経営の問題として取り扱うべき事項が整理されている。これらを支えるための基盤として人・金・情報を準備するべきという趣旨で明記してはどうか。加えて、政府でも人材育成の取組が予算面も含めて強化されてきていることを踏まえ、「人材・資金を含む経営資源を適切かつ確実に準備すること」を追加してはどうか。
また、本指針の目的についても、機密性・完全性・可用性の確保や機能保証といった抽象的なことを書くのではなく、具体的なことを記載するべきである。例えば、サイバーセキュリティ基本法第３条第１項では情報セキュリティの確保の目的を「イノベーションの創出と活力の向上」としていることから、「重要インフラはその性質上、あるいは、イノベーションの創出や経済社会の活力の向上にとって安全かつ持続的なサービスの提供が求められていることから」等に変更してはどうか。
［金子参事官］

指針は３年に１回見直しを行うこととしているが、昨年４月に見直しを行ったばかりであるため、今回の改定は、見直し後の環境変化に対応できるようパッチを当てるのみにとどめたい。御指摘の点については、次回の見直しの際に検討することとしたい。
［稲 垣 委 員］

指針に記述を盛り込むことにより、各事業者の中で情報セキュリティ対策に係る人や金の確保が容易になるのであれば、今般の改定のタイミングできっちりと明記した方がよい。

5

［経済産業省］

経営者が情報セキュリティ対策を取るように内部に指示を出しても、経営企画や戦略立案の部門には響きにくく、セキュリティ担当の部門と認識のギャップは大きい。しかし、両者がマッチアップしないと企業の情報セキュリティ対策は機能しない。
「経営ガイドライン」はこれら実態を意識して作成しており、本年３月には、情報セキュリティに係る予算獲得にも役立てるよう「経営ガイドライン実践のためのプラクティス集」を公開した。事業者ごとに置かれている状況は異なるが、情報セキュリティの確保には必要なリソースをきちんと配分することが大きなポイントということを示していくことが、予算担当の部門を動かす鍵になると考えている。
なお、先日公開した「サイバーフィジカルセキュリティ対策フレームワー
ク」についても、経営層に読んでもらうことを念頭に作成している。
［金子参事官］

御意見を踏まえ、重要インフラ事業者等の経営層の在り方については、引き続き検討していきたい。
［渡 辺 会 長］

その他の箇所については、現段階では原文のままとし、現場から強いニーズがあれば、今後改定していく方向とする。
［山内審議官］

これまでも第３次行動計画策定の際に稲垣委員からは、経営層が一目で分かる記述の必要性を指摘いただいた経緯がある。経営層が指針を読んだ際にセキュリティ部門だけの問題だと認識されてしまうと縮小してしまう。全社あるいは事業全体として必要な資源を確保しないといけないと認識してもらうためにはどうすれば良いかを考えなければいけない。書きぶりは今後検討させていただきたい。また、行動計画への影響についても検討していく。
［渡 辺 会 長］

会長に一任いただいたものを含め、指針の改定案は承認いただいたものとし、案をパブコメにかけさせていただく。

〇重要インフラを取り巻く情勢について
資料９「重要インフラを取り巻く情勢について」に基づき、事務局から説明が行われた。
（本討議事項における特段の質疑応答はなし。）〇サイバーセキュリティ協議会、サイバーセキュリティ対処調整センター及び情報共有体制の改善の具体策について
資料 10「サイバーセキュリティ協議会について」、資料 11「サイバーセキュリティ対処調整センターについて」、資料 12「情報共有体制の改善の具体策につい6

て」及び資料 12－２「重要インフラ行動計画に基づく情報共有の手引き試行版（仮称）（骨子案）」に基づき、事務局から説明が行われた。
［若 杉 委 員］

資料９の「最近のインシデントから得られた教訓」では、システムの更新・設定・再起動に起因する障害も発生しているとのことなので、そういった事例も共有されるように手引書（案）の作成をお願いしたい。
［結城参事官］

承知した。資料12－２の手引書（案）は骨格を書いたものであり、この案をたたき台として事業者の皆様と協力して作り上げていきたいと考えている。実際に運用してみると理屈通りにうまくいかないことはあると思うので、日頃皆様方が苦労していることについて知恵を出してもらい、より良い手引書にしていきたい。
［野 口 委 員］

このような手引書は共に作り上げていくという姿勢が非常に大事である。初めから確定的なものはできないので、試行錯誤を重ねて改善していっていただきたい。加えて、本手引書はスパイラルアップ的に改善していくものであるということが、手引書の中に記載されているとよい。
［結城参事官］

情報セキュリティに関する脅威は変化していくので、常に状況を捉えて手引書を改訂していく必要があると考えている。
［野 口 委 員］

資料12に情報共有の課題として「重要インフラ事業者等にとって情報連絡を行うコストに見合ったベネフィットが得られていない。」という記載があるが、本当にベネフィットが得られてはいないかはもう少し検証する必要があるのではないか。
［結城参事官］

ベネフィットについては、事業者からこのような意見があったということをファクトとして記載しただけだが、御指摘を踏まえ、具体的な記載については別途検討したい。
［平 田 委 員］

サイバーセキュリティ協議会、サイバーセキュリティ対処調整センター、第４次行動計画の情報共有体制におけるそれぞれの情報共有の仕組みや関係を今回整理いただいたので、今後、大規模サイバー攻撃時等に円滑に機能できるか演習等で全体の確認を行っていただくとありがたい。

（４）その他
次回の専門調査会の開催予定（６月又は７月頃）について、事務局から連絡があった。

以上

7