資料３

2017年度
重要インフラにおける安全基準等の継続的改善状況等の調査
2018年３月20日
内閣官房 内閣サイバーセキュリティセンター(NISC)

目次
調査目的

P.２

調査対象一覧

P.３

調査結果（概要）

P.４

調査結果（詳細）

P.５-P.15

1

調査目的○重要インフラ防護能力の維持・向上を目的に、情報セキュリティ対策のＰＤＣＡサイクルを踏まえた「指針」及び「安全基準等」の相互的・継続的改善を目指す。このことから「安全基準等」の改善状況を年度ごとに調査し、重要インフラ専門調査会に報告するもの。
＜指針＞「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定指針」の略称＜安全基準等とは＞以下の総称• 業法に基づき国が定める「強制基準」• 業法に準じて国が定める「推奨基準」及び「ガイドライン」• 業法や国民からの期待に応えるべく業界団体等が定める業界横断的な「業界標準」及び「ガイドライン」• 業法や国民・利用者等からの期待に応えるべく重要インフラ事業者等が自ら定める「内規」等＊指針は含まない【調査ポイント】①ＰＤＣＡサイクルに基づく安全基準等の改善要否を判断するための分析・検証作業の取組状況の把握②分析・検証の結果に基づく安全基準等の改定状況の把握③指針の継続的改善に繋がる安全基準等の具体的な改定事例の抽出

2

調査対象一覧
分野
電気通信

情報通信ネットワーク安全･信頼性基準
電気通信分野における情報セキュリティ確保に係る安全基準（第3版）
電気通信事業法／電気通信事業法施行規則／事業用電気通信設備規則

放送

放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン

ケーブル

ケーブルテレビの情報セキュリティ確保に係る「安全基準等」策定ガイドライン

銀行等
生命保険
損害保険
証券

金融機関等におけるセキュリティポリシー策定のための手引書
金融機関等コンピュータシステムの安全対策基準・解説書
金融機関等におけるコンティンジェンシープラン策定のための手引書

情報通信

金融

安全基準等名称

航空

航空運送事業者における情報セキュリティ確保に係る安全ガイドライン（第４版）

鉄道

鉄道分野における情報セキュリティ確保に係る安全ガイドライン（第３版）

電力

電力制御システムセキュリティガイドライン
電気設備の技術基準の解釈
電気事業法施行規則第５０条第２項の解釈適用に当たっての考え方
スマートメーターシステムセキュリティガイドライン

ガス

製造・供給に係る制御系システムのセキュリティ対策ガイドライン

政府・行政サービス

地方公共団体における情報セキュリティポリシーに関するガイドライン

医療

医療情報システムの安全管理に関するガイドライン（第５版）

水道

水道分野における情報セキュリティガイドライン

物流

物流分野における情報セキュリティ確保に係る安全ガイドライン（第３版）

化学

石油化学分野における情報セキュリティ確保に係る安全基準

クレジット

クレジットCEPTOARにおける情報セキュリティガイドライン

石油

石油分野における情報セキュリティ確保に係る安全ガイドライン

調査対象数：22件

3調査結果（概要）○安全基準等の継続的改善における2017年度の取組状況については以下のとおり。
分析・検証後、改定を実施済：4件

分析・検証後、改定を実施中：2件分析・検証を実施中：9件（上記以外にも昨年度に改定不要と判断したため、今年度は分析・検証を実施しなかった等が7件）○分析・検証を行うに至った主な契機は以下のとおり。
・安全基準等策定指針の改定
・ITに係る環境変化の調査・分析からの課題発見・定期的に検証することとしている（上記以外にも、 「政府機関の情報セキュリティ対策の統一基準」改定や改正個人情報保護法への対応等もあった。）○指針の継続的改善に繋がる具体的な改定事例として以下が挙げられた。
リスクベースアプローチの導入、外部委託に関するリスク管理、FinTechに関するリスク管理に関する考え方を反映（金融機関等コンピュータシステムの安全対策基準・解説書より）【考察】
調査結果より、下記のことが考えられる。
• 安全基準等策定指針の改定に伴い、PDCAサイクルに基づいた構成とするなど、安全基準等の改善が見受けられる。
• 抽出した課題に基づいたリスク評価を実施するなど、リスクアセスメントの考え方が安全基準等に取り込まれていることが認められる。
• 医療分野では、多様化・巧妙化しているサイバー攻撃や、IoT等の新技術及びそれを利用したサービスの普及等に対応すべく、項目の追加・改定を実施していることが確認できる。

4

調査結果（詳細）１/１１
分野

情報通信（電気通信）

情報通信（電気通信）

名称

情報通信ネットワーク安全･信頼性基準

電気通信分野における情報セキュリティ確保に係る安全基準（第3版）

発行主体等

総務省

一般社団法人電気通信事業者協会

最新改定／新規作成年月

2015年4月

2016年5月

実施中

実施中

・定期的に検証することとしている・ITに係る環境変化の調査・分析からの課題発見
・サイバー攻撃動向を受けて（１）2017年4月～2018年3月（２）総務省総合通信基盤局電気通信事業部電気通信技術システム課安全・信頼性対策室（３）電気通信事故検証会議及びネットワークの安全・信頼性対策に関する調査にて得られた提言等を踏まえて改定の検証を実施する。

（１）2017年4月～2018年3月（２）一般社団法人電気通信事業者協会 安全・信頼性協議会（３）同協議会内の安全基準検討ワーキンググループで分析・検証し、改定が必要な場合は同WGで改定案を作成し、安全・信頼性協議会で承認する。

ーーーーーー

分析検証の実施状況

分
析
・検証状
況

分析検証の実施契機

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定の実施状況

改定状
況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定内容

5調査結果（詳細）２/１１
分野

情報通信（電気通信）

情報通信（放送）名称

事業用電気通信設備規則※電気通信事業法、電気通信事業法施行規則は改定なし

放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン

発行主体等

総務省

放送セプター（日本放送協会（NHK）、一般社団法人日本民間放送連盟）

最新改定／新規作成年月

2015年11月27日

2016年10月

実施中

2017年度実施予定なし（理由：現在、ICT-ISAC放送設備サイバー攻撃対策WGにて放送設備に関するサイバーセキュリティガイドラインを作成中のため）

分析検証の実施状況

分析
・
検証状
況

分析検証の実施契機

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定の実施状況

改定状
況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

その他状況の変化等（具体的に：近年、IoT等のネットワークの新たな利用形態の広がりやネットワークのソフトウェア化等の技術進展により、通信サービスの多様化・高度化が進展したため。）

ー（１）2017年12月～（２）情報通信審議会（情報通信技術分科会ＩＰネットワーク設備委員会）（３）2018年７月頃に一部答申を予定

ーーーーーーー

改定内容

6調査結果（詳細）３/１１
分野

情報通信（ケーブルテレビ）

金融名称

ケーブルテレビの情報セキュリティ確保に係る「安全基準等」策定ガイ
ドライン

金融機関等におけるセキュリティポリシー策定のための手引書

発行主体等

一般社団法人日本ケーブルテレビ連盟

公益財団法人

最新改定／新規作成年月

2012年11月

2008年６月

実施中

2017年度実施予定なし（理由：セキュリティポリシーに関する課題が無いことから、改訂のための分析・検討予定なし。）

分析検証の実施状況

分
析
・検証状
況

分析検証の実施契機

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定の実施状況

改定状
況

金融情報システムセンター（FISC）

・定期的に検証することとしているー（１）2017年4月～2018年3月（２）日本ケーブルテレビ連盟（３）日本ケーブルテレビ連盟事務局において分析・検証を実施し、必要に応じて通信・放送制度委員会において議論する

ーーーーーーー

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定内容

7調査結果（詳細）４/１１分野

金融金融名称金融機関等コンピュータシステムの安全対策基準・解説書

金融機関等におけるコンティンジェンシープラン策定のための手引書

発行主体等

公益財団法人公益財団法人

最新改定／新規作成年月2018年3月（予定）2017年5月

2017年度に実施済

2017年度実施予定なし（理由：2016年以前に分析・検証実施済。）

分析検証の実施状況

分
析
・検証状
況

改定状
況

金融情報システムセンター（FISC）

金融情報システムセンター(FISC)

・ITに係る環境変化の調査・分析からの課題発見

ーー

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2016年7月～2017年4月（２）公益財団法人金融情報システムセンター（FISC）監査安全部（以下、当センターという）（３）当センターにて2016年6月まで開催された「金融機関における外部委託に関する有識者検討会」及び、2017年6月までに開催された「金融機関におけるFinTechに関する有識者検討会」における検討内容を踏まえ、「金融機関等コンピュータシステムの安全対策基準・解説書」の改訂を行う。

改定の実施状況2017年度中に実施予定

2017年度に実施済

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2017年5月～2018年3月（２）公益財団法人金融情報システムセンター（FISC）監査安全部（以下、当センターという）（３）当センターにて金融機関、ＩＴベンダー等から構成される安全対策専門委員会を開催し、「金融機関等コンピュータシステムの安全対策基準・解説書」の改訂に係る検討を行った（計9回開催）。
改訂原案は、2018年2月に開催される安全対策専門委員会にて最終承認を受ける予定である。承認後は、監査安全部にて発刊作業を進め、2018年3月にPDF版を当センターのＨＰにてリリース、2018年5月には冊子版を発刊する予定である。

（１）2016年9月～2017年5月（２）公益財団法人 金融情報システムセンター（FISC）監査安全部（３）サイバー攻撃動向等を踏まえ、「金融機関等におけるコンティンジェンシープラン策定のための手引書」のサイバー攻撃対応に係る改訂を実施した。2017年3月に安全対策専門委員会にて改訂内容が承認され、2017年5月に第3版追補3を発刊した。

リスクベースアプローチの導入、外部委託に関するリスク管理、FinTechに関するリスク管理に関する考え方を反映

昨今のサイバー攻撃動向等を踏まえ、サイバー攻撃リスクの特性やサイバー攻撃対応の考慮事項（態勢整備、平時の運用、インシデントレスポンス等）について記載。

分析検証の実施契機

改定内容

8

調査結果（詳細）５/１１
分野

航空

鉄道

名称

航空運送事業者における情報セキュリティ確保に係る安全ガイドライン（第４版）

鉄道分野における情報セキュリティ確保に係る安全ガイドライン
（第３版）

発行主体等

国土交通省

国土交通省

最新改定／新規作成年月

2016年4月1日

2016年4月1日

実施中

実施中

分析検証の実施契機

・安全基準等策定指針の改定

・安全基準等策定指針の改定

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2017年（平成29年）4月～2018年（平成30年）3月（２）航空運送事業者・定期航空協会・国土交通省（３）当該ガイドラインについては、最終改定が2016年（平成28年）4月1日付けであることから、①それ以降に改定された「政府機関の情報セキュリティ対策のための統一基準群」を初めとした、ガイドラインの参照規程の改定内容②今後行われる予定と聞いている、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針」の改定内容の２点を踏まえたガイドラインの改定について、作業方針及び改定内容の検討中である。

（１）2017年（平成29年）4月～2018年（平成30年）3月（２）国土交通省・重要インフラ関係事業者等（３）当該ガイドラインについては、最終改定が2016年（平成28年）4月1日付けであることから、①それ以降に改定された「政府機関の情報セキュリティ対策のための統一基準群」を初めとした、ガイドラインの参照規程の改定内容②今後行われる予定と聞いている、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針」の改定内容の２点を踏まえたガイドラインの改定について、作業方針及び改定内容の検討中である。

ーーーーー

ー

分析検証の実施状況

分
析
・
検証状
況

改定の実施状況

改定状
況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定内容

9調査結果（詳細）６/１１
分野電力電力名称

電力制御システムセキュリティガイドライン

電気設備の技術基準の解釈

発行主体等

一般社団法人

経済産業省

最新改定／新規作成年月

2016年5月

2016年9月

2017年度実施予定なし（理由：2016年に策定されたところであり、環境変化がないため）2017年度実施予定なし（理由：2016年に改定されたところであり、環境変化がないため。）

分析検証の実施状況

分
析
・検証状
況

分析検証の実施契機

ーーーーーーーーーー

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定の実施状況

改定状
況

日本電気協会

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定内容

10調査結果（詳細）７/１１
分野

電力

電力

名称

電気事業法施行規則第５０条第２項の解釈適用に当たっての考え方

スマートメーターシステムセキュリティガイドライン

発行主体等

経済産業省

一般社団法人

最新改定／新規作成年月

2016年9月

2016年3月

2017年度実施予定なし（理由：2016年に改定されたところであり、環境変化がないため。）

2017年度実施予定なし（理由： 2016年に策定されたところであり、環境変化がないため）ーーーーーーーーーー

分析検証の実施状況

分
析
・検証状
況

分析検証の実施契機

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定の実施状況

改定状
況

日本電気協会

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定内容

11調査結果（詳細）８/１１
分野

ガス

政府・行政サービス

名称

製造・供給に係る制御系システムのセキュリティ対策ガイドライン

地方公共団体における情報セキュリティポリシーに関するガイドライン

発行主体等

一般社団法人

総務省自治行政局地域情報政策室

最新改定／新規作成年月

2016年７月

2015年3月

2017年度実施予定なし（理由：「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針」第５版の発行を踏まえて2018年度に実施予定のため）2017年度に実施済

分析検証の実施状況

分
析
・
検証状
況

ー・その他状況の変化等（具体的に：「政府機関の情報セキュリティ対策の統一基準」改定を受けて）ー（１）平成28年12月～平成29年3月（２）総務省自治行政局地域情報政策室（調査研究受託事業者：日本電気株式会社）（３）①最近のセキュリティ事案の動向調査→②地方公共団体における情報セキュリティポリシー運用状況の調査→③平成29年度改訂に向けての課題整理及び改正の方向性

ー

実施中

ー

（１）平成29年12月～平成30年3月（２）総務省自治行政局地域情報政策室（調査研究受託事業者：日本電気株式会社）（３）①改定項目の整理→②有識者へのヒアリング→③改定案の作成→④有識者検討会議の開催→⑤パブコメー「政府機関の情報セキュリティ対策の統一基準」等の反映

分析検証の実施契機

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定の実施状況

改定状
況

日本ガス協会

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定内容

12調査結果（詳細）９/１１
分野

医療水道名称

医療情報システムの安全管理に関するガイドライン（第５版）

水道分野における情報セキュリティガイドライン

発行主体等厚生労働省

厚生労働省医薬・生活衛生局水道課

最新改定／新規作成年月

2017年5月

2013年6月

2017年度に実施済

実施中・安全基準等策定指針の改定

分析検証の実施契機

・ITに係る環境変化の調査・分析からの課題発見
・その他状況の変化等（具体的に：改正個人情報保護法や「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」等への対応）

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2016年6月～2016年12月（１）2017年12月～2018年3月（２）医療情報ネットワーク基盤検討作業班（医療情報ネットワーク基（２）厚生労働省医薬・生活衛生局水道課
盤検討会の下に設置される作業班）（３）第4次行動計画等に基づき、安全基準等の改定を行うこととして（３）現状調査等の結果を踏まえ、当該作業班において改定案を作成し、 いる。
医療情報ネットワーク基盤検討会に諮る。

分析検証の実施状況

分
析
・検証状
況

改定の実施状況

改定状
況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ改定内容

2017年度に実施済

ー（１）2016年12月～2017年5月（２）医療情報ネットワーク基盤検討会（３）医療情報ネットワーク基盤検討作業班において作成した改定案について、パブリックコメントを実施した上で、医療情報ネットワーク基盤検討会で決定した。

ーサイバー攻撃の手法の多様化・巧妙化、IoT等の新技術やサービス等の普及等、医療情報システムを取り巻く環境の変化及び改正個人情報保護法に対応するため、項目の追加、改定を実施するとともに、第4.2版の公表以降に追加された標準規格等への対応等を行った。

ー13

調査結果（詳細）１０/１１
分野

物流

化学

名称

物流分野における情報セキュリティ確保に係る安全ガイドライン（第３版）

石油化学分野における情報セキュリティ確保に係る安全基準

発行主体等

国土交通省

石油化学工業協会

最新改定／新規作成年月

2016年4月1日

2015年3月

分析検証の実施状況

実施中

実施中

分析検証の実施契機

・安全基準等策定指針の改定

・安全基準等策定指針の改定

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2017年（平成29年）4月～2018年（平成30年）3月（２）国土交通省総合政策局物流政策課、物流事業者及び業界団体（17社6団体）（３）当該ガイドラインについては、最終改定が2016年（平成28年）4月1日付けであることから、①それ以降に改定された「政府機関の情報セキュリティ対策のための統一基準群」を初めとした、ガイドラインの参照規程の改定内容②今後行われる予定と聞いている、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針」の改定内容の２点を踏まえたガイドラインの改定について、作業方針及び改定内容の検討中である。

（１）現在分析・検証を実施中（改定時期については未定）（２）石油化学工業協会 情報通信委員会 情報セキュリティWG（３）指針改定内容を分析・検証の上、安全基準の改定が必要と判断されれば改定作業を実施

分
析
・検証状
況改定の実施状況

ー
ー

改定状
況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

ー
改定内容

14

調査結果（詳細）１１/１１
分野

クレジット

石油名称

クレジットCEPTOARにおける情報セキュリティガイドライン

石油分野における情報セキュリティ確保に係る安全ガイドライン

発行主体等

一般社団法人石油連盟

最新改定／新規作成年月

2017年11月（最新改定）/2014年12月（新規）2017年5月26日

分析検証の実施状況

2017年度に実施済

2017年度に実施済

分析検証の実施契機

・その他状況の変化等（具体的に：2017年度新規構成員追加に伴う改定。）

・安全基準等策定指針の改定（１）2017年4月から11月にかけて、日本クレジット協会クレジット
CEPTOAR運営会議において協議（２）（３）（１）2017年4月～2017年5月（２）石油連盟 サイバーセキュリティ専門委員会（当時はITセキュリティ連絡会）（３）指針第4版の改定内容や各社の取り組み状況を踏まえ、ITセキュリティ連絡会にて改定することを決定

2017年度に実施済

2017年度に実施済（１）2017年4月から11月にかけて、日本クレジット協会クレジット
CEPTOAR運営会議において協議（２）（３）（１）2017年4月～5月（２）石油連盟 サイバーセキュリティ専門委員会（当時はITセキュリティ連絡会）、危機管理委員会（３）ITセキュリティ連絡会にて改定原案を作成、上部組織である危機管理委員会を得て、2017年5月26日に正式に策定

これまで、本ガイドライン内記載の「対象となる重要インフラ事業者（構成員）」を今年度新規23社の追加に伴い、別紙記載に改定。

指針第4版に基づき、以下の点について改定（1）PDCAサイクルに基づく構成に変更（2）新たに取り組むべき事項として以下を追加①
経営層の果たすべき役割、経営層による情報セキュリ
ティ対策の運用状況把握②
抽出した課題に基づくリスク評価の実施③
基本方針の策定・見直しの実施

分
析
・
検証状
況

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定の実施状況

改定状
況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定内容

日本クレジット協会

15