資料３

セキュア・ジャパン２００８（案）－情報セキュリティ基盤の強化に向けた集中的な取組み－（重要インフラ関係部分抜粋）

第３章 対策実施４領域における情報セキュリティ対策の強化
本ＳＪ２００８においては、ＳＪ２００７に引き続き、情報セキュリティ対策を実際に適用し実施する主体の領域を、政府機関・地方公共団体、重要インフラ、企業、個人の４領域に分け、それぞれの特性に応じた具体的施策を定めることとする。

（省略）

第２節 重要インフラ
２００９年度初めには、重要インフラにおけるＩＴ障害の発生を限りなくゼロにすることを目指し、政府は、重要インフラの情報セキュリティ対策について、「重要インフラの情報セキュリティ対策に係る行動計画」（２００５年１２月１３日情報セキュリティ政策会議決定。
以下「行動計画」という。）を別途定めているところであるが、２００８年度には以下の施策を重点的に推進する。
①重要インフラにおける情報セキュリティ確保に係る「安全基準等」の整備「重要インフラにおける情報セキュリティ確保に係る『安全基準等』 1策定にあたっての指針」2（以下、「指針」という。）を踏まえ、それぞれの重要インフラ事業分野ごとに、必要な又は望ましい情報セキュリティ対策の水準について、「安全基準等」に明示することを目標とする。さらに、指針については１年ごと及び必要に応じて適時見直すこととし、「安全基準等」については、情報セキュリティを取り巻く環境の変化に応じ、随時見直しを行う。
【具体的施策】
ア）各重要インフラ分野の安全基準等の策定・見直しa) 安全基準等の見直し（重要インフラ所管省庁3）
２００７年度の指針見直しを踏まえ、２００８年９月を目処に各重要インフラ分野において安全基準等の確認・検証を実施する。また、必要に応じて安全基準等の改1「安全基準等」とは、重要インフラ事業者等が、様々な判断、行為を行うに当たり、基準又は参考にするものとして策定された文書類を指す。
2 「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」（２００６年２月２日情報セキュリティ政策会議決定）
3 「重要インフラ所管省庁」とは、重要インフラ事業者等（「重要インフラの情報セキュリティ対策に係る行動計画」（２００５年１２月１３日情報セキュリティ政策会議決定）中「１ 目的と範囲」に示す定義による。以下同じ。）と法令に従って直接に接する省庁を指す。以下同じ。

1定等を進める。
ｂ）「安全基準等」の見直し状況等の把握及び検証（内閣官房）
各重要インフラ分野における「安全基準等」について、各重要インフラ所管省庁の協力を得つつ、２００８年度中に安全基準等の確認・検証及び改定等の実施状況の把握及び検証を行う。
イ）各重要インフラ分野における安全基準等の浸透状況等に関する調査の実施（内閣官房及び重要インフラ所管省庁）
内閣官房は、２００７年度の調査の結果を踏まえ、重要インフラ所管省庁の協力を得つつ、各重要インフラ分野における安全基準等の浸透状況に関する調査を２００９年度当初に実施するための企画・準備を実施する。
ウ）指針の見直し（内閣官房）
行動計画の見直し状況や、相互依存性解析の成果等を踏まえ、各重要インフラ所管省庁の協力を得て、情報セキュリティ対策に関する問題意識の抽出に向けた分析・検証を実施し、必要に応じて指針の改定等の対策の検討を進める。
エ）ネットワークのＩＰ化に対応した電気通信システムの安全・信頼性確保（総務省）
ネットワークのＩＰ化の進展に対応して、ＩＣＴサービスの安定的な提供を確保するため、２００９年度までに、ネットワークの設備面や運用・管理面について、高度な事故分析手法の確立など、必要な安全・信頼性対策を講じる。
②情報共有体制の強化
ＩＴ障害に関する情報について、１）ＩＴ障害の未然防止、２）ＩＴ障害の拡大防止・迅速な復旧、３）ＩＴ障害の要因等の分析・検証による再発防止の３つの側面から、政府等は重要インフラ事業者等に対し適宜・適切に提供し、また重要インフラ事業者等間並びに相互依存性のある重要インフラ分野間においてはこれら情報を共有する体制を強化する。
（ア）官民の情報提供・連絡のための環境整備
関係機関と連携し、注意喚起等、各重要インフラ事業者等の対策に資するものとして、重要インフラ事業者等に提供する情報の収集を行い、ＣＥＰＴＯＡＲ（後述）等を通じて、情報を提供する。
また、重要インフラ事業者等が、法令等で報告が義務づけられている事故、障2

害、業務遅延等のほか、特異重大なものとして重要インフラ事業者等が連絡を要すると判断した情報を政府に連絡するための環境の整備を促進する。
【具体的施策】
ア）情報共有体制整備と機能強化ａ）情報共有体制に対して追加すべき機能・要件等の検討（内閣官房）
行動計画の見直し状況、各分野における CEPTOAR の整備状況及び「「重要インフラ連絡協議会（CEPTOAR-Council）」（仮称）創設準備会」（後述）の検討状況を踏まえ、情報共有体制に対して追加すべき機能・要件等の検討を行う。
ｂ）関係機関等との連携の強化（内閣官房）
情報セキュリティ関係省庁、事案対処省庁、関係機関との連携を強化し、各重要インフラ事業者等の対策に資する情報を、重要インフラ事業者等に対し適宜・適切に提供する。
ｃ）行動計画の情報連絡・情報提供に関する実施細目の見直しの検討（内閣官房）
行動計画の見直し状況、「「重要インフラ連絡協議会（CEPTOAR-Council）」（仮称）創設準備会」及び分野横断的な演習の検討状況を踏まえ、各重要インフラ所管省庁の協力を得て、行動計画の情報連絡・情報提供に関する実施細目の見直しについて検討する。
イ）ＣＥＰＴＯＡＲ訓練の実施（内閣官房及び重要インフラ所管省庁）
各分野におけるＣＥＰＴＯＡＲの整備状況を踏まえ、ＣＥＰＴＯＡＲの情報共有機能の維持及び改善に資する訓練の機会を提供する。
（イ）各重要インフラ分野における情報共有・分析機能（ＣＥＰＴＯＡＲ）の整備
ＩＴ障害の未然防止、発生時の被害拡大防止・迅速な復旧及び再発防止のため、政府等から提供される情報について、適切に重要インフラ事業者等に提供し、関係重要インフラ事業者等間で共有することにより、各重要インフラ事業者等のサービスの維持・復旧能力の向上に資するため、各重要インフラ分野内に「情報共有・分析機能」（ＣＥＰＴＯＡＲ：Capability for Engineering of Protection,Technical Operation, Analysis and Response）の整備を促進する。
【具体的施策】ア）「CEPTOAR 特性把握マップ」のフォローアップ（内閣官房）
２００８年度の各ＣＥＰＴＯＡＲ活動状況及び機能・要件の検討状況を踏まえ、２０3

０８年度末を目処にＣＥＰＴＯＡＲ特性把握マップのフォローアップを行う。
イ）重要インフラで利用される情報システムの信頼性向上のための支援体制の整備（経済産業省）
重要インフラ事業者による情報システムの信頼性向上のための自発的な取組みを支援するため、専門的・技術的な観点から、独立行政法人情報処理推進機
構ソフトウェア・エンジニアリング・センターがデータベースの整備や、自発的に提供のあった情報のマクロ的な定量分析・解析、蓄積された情報のＣＥＰＴＯＡＲ等への提供を行う。また、重要インフラ事業者等の求めに応じ、情報システム開発・運用等に関する支援を行う。
（ウ）「重要インフラ連絡協議会（ＣＥＰＴＯＡＲ－Ｃｏｕｎｃｉｌ）」（仮称）の創設促進
重要インフラ事業者等において、分野横断的な情報共有の推進を図り、多様な知見をサービスの維持・復旧に活かしていくため、各ＣＥＰＴＯＡＲ間での横断的な情報共有の場として「重要インフラ連絡協議会（ＣＥＰＴＯＡＲ－Ｃｏｕｎｃｉｌ）」（仮称）の創設を促進する。
【具体的施策】
ア）「重要インフラ連絡協議会（CEPTOAR－Council）」（仮称）創設の検討（内閣官房及び重要インフラ所管省庁）「「重要インフラ連絡協議会（CEPTOAR-Council）」（仮称）創設に向けた検討の場」における協力のもと２００７年度にとりまとめた「「重要インフラ連絡協議会（CEPTOAR-Council）」（仮称）の創設についての基本的な考え方」に基づき、各重要インフラ分野の CEPTOAR の協力を得て、 ２００８年６月を目処に「「重要インフラ連絡協議会（CEPTOAR-Council）」（仮称）創設準備会」を設置する。同準備会において２００８年度中に「重要インフラ連絡協議会（CEPTOAR-Council）」（仮称）の創設を目指す。
③相互依存性解析の実施
我が国全体としての重要インフラ対策の向上に向けた、分野横断的な状況の把握のため、それぞれの重要インフラに起こりうる脅威が何であるかを把握するとともに、ある重要インフラにＩＴ障害が生じた場合に、他の重要インフラに、いかなる影響が波及するかという相互依存性の把握を行う。
【具体的施策】
ア）重要インフラ分野間の相互依存性解析の推進（内閣官房）官民の連絡・連携体制と、ＩＴ障害発生時の対応能力の向上を図るため、２００６
4

年度及び２００７年度における相互依存性解析の取りまとめを踏まえ、「分野間のシステムにおける繋がり」等の課題について検討することにより、相互依存性解析の深化を図る。
なお、その実施に当たっては、その実施方法について十分に検討を行う。
④分野横断的な演習の実施想定される具体的な脅威シナリオの類型をもとに、各重要インフラ所管省庁、各重要インフラ事業者等、各重要インフラ分野のＣＥＰＴＯＡＲ等の協力の下に、重要インフラ横断的な演習を行う。演習を通じ、安全基準等、情報共有体制、情報共有・分析機能、相互依存性解析等の各施策の実効性・妥当性を定期的に、かつ、段階的に、検証する。また、この演習やその他の訓練、セミナー等を通じて、重要インフラ所管省庁及び重要インフラ事業者等を中心に、高度なＩＴスキルを有する人材を育成し、確保する。
【具体的施策】
ア）重要インフラ機能演習4の実施（内閣官房及び重要インフラ所管省庁）
官民の連絡・連携体制と、IT 障害発生時の対応能力の向上を図るため、２００７
年度に引き続き、重要インフラ所管省庁、各重要インフラ事業者等及び各重要イ
ンフラ分野の CEPTOAR 等の協力を得て、相互依存性解析の知見を考慮しつつ、想定される具体的な脅威シナリオ等、諸条件を元に研究課題として検証すべきテーマを設定し、テーマに応じた最適な演習手法（机上演習、機能演習など）による分野横断的な演習を実施し、その深化を図る。
イ）電気通信事業分野におけるサイバー攻撃への対応強化（総務省）
２００８年度までに、緊急時における関係事業者間及び事業者・政府間の連携体制の強化や調整力を発揮できる高度な ICT スキルを有する人材の育成を図る
ため、２００８年度も、２００７年度に引き続き、電気通信事業者を中心に、各重要インフラに跨るインターネット上で発生するサイバー攻撃を想定したサイバー攻撃対応演習を実施する。
ウ）重要インフラ事業者向けの啓発セミナー等の実施（経済産業省）
２００８年度において、国内外の先進的なＩＴ障害対応方策等に関する、重要インフラ事業者に対する情報提供を目的として、「重要インフラ情報セキュリティフォーラム」をＩＰＡやＪＰＣＥＲＴ／ＣＣ等により開催する。

4

実際の組織の指示判断系統機能を用いて模擬的に検証するための演習

5

⑤「重要インフラの情報セキュリティ対策に係る行動計画」の見直し【具体的施策】
ア）行動計画の見直し（内閣官房）
重要インフラ専門委員会における議論等を踏まえ、各重要インフラ所管省庁の協力を得つつ、２００８年中に行動計画の見直し案（パブリックコメント案）を取りまとめる。そのため、２００８年９月を目処に素案の取りまとめに向けた検討を進める。

6