資料４

重要インフラにおける「指針の見直し」について【骨子案検討】

2009年 4月 6日
内閣官房 情報セキュリティセンター（NISC）

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

「指針の見直し」の概要○第１次行動計画では、指針（※）制定（2006年2月）、指針の改定（2007年6月）、指針見直しの要点とりまとめ（2008年4月）の実施に加え、各分野にて安全基準等の策定・見直しが行われ、これらを定期的に実施するサイクルが確立した○今回、セキュア・ジャパン2008に基づいて、分析・検証を実施し、必要に応じて指針の改定等の対策の検討を進める○ この検討から、第２次行動計画における「指針の改定に関する検討は原則として３年に１度実施」し、「指針の改定は、第２次行動計画の初年度に実施する」ことに引き継いでいき、指針の改定を実施する

第1次行動計画における取組み

第2次行動計画における取組み

指針の見直し（SJ2006）

指針の見直し（SJ2007）

指針の見直し（SJ2008～
SJ2009（予定））

指針の分析・検証

指針

指針の改定

指針見直しの要点

指針の改定（２００６．２）（２００７．６）（２００８．４）（２００９年度中）（指針の追補版：必要に応じて）第1次行動計画

第2次行動計画

・指針については１年ごと及び必要に応じて適時見直す

・社会動向の変化等に対応し、また新たな知見を適時反映していくために、指針の分析・検証を１
年毎、及び必要に応じて実施し、その結果を公表することとする。なお、指針の改定に関する検討は原則として３年に１度実施するものとする
・指針の改定は、第２次行動計画の初年度に実施
する

セキュア・ジャパン2008
・行動計画の見直し状況や、相互依存性解析の成果等を踏まえ、各重要イ
ンフラ所管省庁の協力を得て、情報セキュリティ対策に関する問題意識の抽出に向けた分析・検証を実施し、必要に応じて指針の改定等の対策の検討を進める※重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針（2006年2月2日情報セキュリティ政策会議決定、2007年6月14日改定 ）Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

1

指針の改定に向けたスケジュール○指針改定の骨子案を2009年4月までにとりまとめた後、引き続き分析・検証を進め、2009年10月頃に指針第3版の策定が完了することを目指す○各重要インフラ分野は、第２次行動計画期間中における安全基準等の継続的改善の際に指針第3版を活用することを期待する
情報セキュリティ政策会議（事務局：内閣官房）
指針の継続的改善

指針の見直し2009年3月

2009年4月

骨子
案
検討

骨子
案
確定

分析・検証
（骨子案作成）

2009年8月頃

分析・検証（4つのアプローチ
・指針見直しの要点→問題意識の抽出→パブコメ案作成）

パブ
コメ案
決定

2009年10月頃

パブ
リック
コメント

＜参考＞４つのアプローチ

指針見直しの要点（2008.4）①定常的なIT障害の発生状況の分析②「相互依存性解析」の成果③関連文書の検証④社会的条件（環境）の変化の検証

・水道分野と他分野との相互依存性・IT障害への脅威の定義、及び、重要インフラ事業者等・重要システムの範囲
・経験やベストプラクティスの共有
・IPv6への移行を行う場合の適切な対応

各重要インフラ分野

指針
第3版
決定

安全基準等の継続的改善

安全基準等の整備
・指針を踏まえて、それぞれの事業
分野は、必要又は望ましい情報セキュリティ対策の水準を明示

・対策の経験から得られた知見を安全基準等に反映するため、安全基準等の継続的な改善に取り組む
・安全基準等の検証に際しては、指針や毎年実施される指針の分析・検証の結果を踏まえた検討を行うこととし、必要に応じて安全基準等の改定を行う

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

2

指針の改定にあたっての基本理念と骨子案の策定○重要インフラの情報セキュリティ確保のためにより有用なものとなるよう、行動計画の見直しにおいて得られた論点を踏
まえて、以下の対応方針をおき、指針改定に向けての分析・検証を実施する○ これらの基本理念を踏まえつつ、新たな重点項目の在り方等の章構成を含めた指針の大枠について検討し、骨子案をとりまとめる
行動計画の見直しにおいて得られた論点（第2次行動計画に反映）①指針の位置づけ、記載内容の具体性のレベル
・「要検討事項」「参考事項」に分類
・対策項目の具体化を例示②事業者とのPDCAサイクルとの整合性
・指針の大枠の改定は3年に一度・1年毎、及び必要に応じて適時に追補版を作成して周知③事業継続計画との関係
・事業継続の観点から具体的内容を補充
・国際規格化の進展状況等を踏まえつつ指針の内容を充実④リスク開示の在り方
・様々な自主的な取組みを推奨【対応方針】（１）具体性の充実
具体的な対策項目集として自主的な活用を期待（次ページ参照）（２）諸規格との整合
重要インフラの特徴を踏まえつつ、国内外の標準・基準にも配慮（３）運用性の確保
各分野が主体的に検討する
ＰＤＣＡサイクルを尊重

新たな重点項目の在り方等の章構成を含めた指針の大枠について検討し、骨子案をとりまとめる
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

3

＜参考＞具体性の充実のイメージ○重要インフラ事業者等の自主的な取組みに資する項目を充実させるために、指針に記載される事項を「要検討事項」と「参考事項」に分類し、対策項目の具体化を例示することにより、記載事項の充実を図る
次期指針（案）

現行指針

安全基準等（現行）

指針に示された項目（規定する必要がないものを除く）（各事業分野にて検 （各事業分野にて検討された）対策項目 討された）対策項目
の具体化
の具体化

各分野の安
全基準等や
事業者等へ
のヒアリング・調査等を踏まえて、指針（将来の姿）に反映

1）現行の「指針」に示された項目（既に「安全基準等」に盛り込み済みの項目）
2）現行動計画の取組みに基づく知
見・教訓等（例.相互依存性解析の成果）

対策項目の具体化を例示「安全基準等」に盛り込むことが「望ましい」事項

各分野が任意で参考とする事項と位置づけ、個別の進んだ対策を記載

具体的内容

指針に記載していない項目（規定する必要がある場合）「安全基準等」に盛り込むか「検討するべき」事項（※）

抽象的内容「要検討事項」として指針（将来の姿）に反映
既に安全基準等に
盛り込み済

参考事項

要検討事項

何らかの対処がなされていることが「望ましい」項目

対策項目の具体化を例示※安全基準等に規定する必要があるかを各分野にて検討（検討の結果、規定する必要がない場合もあり得る）
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

4

骨子案の検討①：全体構成○重要インフラの情報セキュリティ確保のためにより有用なものとなるよう、基本部分（本編）は現行指針を踏襲しつつ、新たに重要インフラ専門委員会決定となる対策編を追加する【対応方針】（１）具体性の充実
具体的な対策項目集として自主的な活用を期待（２）諸規格との整合
重要インフラの特徴を踏まえつつ、国内外の標準・基準にも配慮（３）運用性の確保
各分野が主体的に検討する
ＰＤＣＡサイクルを尊重（考え方は骨子案の詳細とともに、次ページ以降にて説明）

現行指針

指針第3版

（2007年6月14日改定 情報セキュリティ政策会議決定）
Ⅰ 目的及び位置づけ
Ⅱ 「安全基準等」で規定が望まれる項目
Ⅲ フォローアップ※情報セキュリティ政策会議決定
Ⅰ 目的及び位置づけ
Ⅱ 「安全基準等」で規定が望まれる項目
Ⅲ フォローアップ＜参考＞具体性の充実のイメージとの関係

抽象的内容

指針第3版 対策編
※重要インフラ専門委員会決定
Ⅰ 本対策編の位置づけ
Ⅱ 対策項目の具体化の例示
別紙 参考文献
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

具体的内容

5

骨子案の検討②：本編 Ⅰ 目的及び位置づけ○現行指針に、第２次行動計画における取組みの内容を盛り込むことに加え、「５．本指針の構成」の節を追加し、「（１）具体性の充実」「（３）運用性の確保」から求められる対応を記載する【対応方針】（１）具体性の充実
具体的な対策項目集として自主的な活用を期待（２）諸規格との整合
重要インフラの特徴を踏まえつつ、国内外の標準・基準にも配慮○「要検討事項」「参考事項」を盛り込む旨とその説明を記載（３）運用性の確保
各分野が主体的に検討する
ＰＤＣＡサイクルを尊重○指針本体（本編）に加え、専門委員会決定とする対策編にて構成される旨を記載○第２次行動計画における取組みの内容を盛り込み現行指針（2007年6月14日改定 情報セキュリティ政策会議決定）

指針第3版（骨子案）

Ⅰ 目的及び位置づけ
１．重要インフラにおける情報セキュリティ確保のために
２．「安全基準等」の必要性
３．「安全基準等」とは何か
４．本指針の位置づけ
５．本指針を踏まえた安全基準等の策定若しくは見直しへの期待

Ⅰ 目的及び位置づけ
１．重要インフラにおける情報セキュリティ確保のために
２．「安全基準等」の必要性
３．「安全基準等」とは何か
４．本指針の位置づけ
５．本指針の構成
６．本指針を踏まえた安全基準等の継続的改善及び浸透への期待

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

6骨子案の検討③：本編 Ⅱ 「安全基準等」で規定が望まれる項目○現行指針の節・項の構成を見直しし、重複する記載内容を集約することに加えて、「６．対策項目」の節に「要検討事項」「参考事項」それぞれの「抽象的内容」のみを記載する【対応方針】（１）具体性の充実
具体的な対策項目集として自主的な活用を期待（２）諸規格との整合
重要インフラの特徴を踏まえつつ、国内外の標準・基準にも配慮○節・項の順番・構成を見直しして、重複する記載内容を集約（３）運用性の確保
各分野が主体的に検討する
ＰＤＣＡサイクルを尊重○「要検討事項」「参考事項」それぞれの「抽象的内容」のみを記載（「具体的内容」は、対策編にて別に記載）

現行指針（2007年6月14日改定 情報セキュリティ政策会議決定）

指針第3版（骨子案）

Ⅱ 「安全基準等」で規定が望まれる項目
１．「安全基準等」の対象範囲及び対象とする脅威
２．「安全基準等」の公開
３．具体的項目（１）「安全基準等」策定の目的（２）対象範囲と想定する脅威（３）重要インフラ事業者等の担う役割（４）対策項目

Ⅱ 「安全基準等」で規定が望まれる項目
１．「安全基準等」策定の目的
２．「安全基準等」の対象範囲
３．「安全基準等」の対象とする脅威
４．重要インフラ事業者等の担う役割
５．「安全基準等」の公開
６．対策項目（１）４つの柱ア）組織・体制及び資源の確保【要検討事項】【参考事項】

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

（以下省略）
7

骨子案の検討③：本編 Ⅱ 「安全基準等」で規定が望まれる項目 【追加資料】
第24回専門委員会での意見○ 「２．『安全基準等』の対象範囲」「３．『安全基準等』の対象とする脅威」の順番について
z 国際標準においてはスコープを先に決めることが多いため、目的や範囲と言った普遍的なものを先に記載し、その後、脅威といった変化しうるものを決めるという順番で違和感はない。
z 安全基準等の策定においては、対象とするサービスを前提として対象とする脅威を決め、その後、対象とする範囲としての具体的なシステムを絞る方がやりやすい。

案１「対象範囲→対象とする脅威」の場合

案２「対象とする脅威→対象範囲」の場合

Ⅱ 「安全基準等」で規定が望まれる項目
１．「安全基準等」策定の目的
２．「安全基準等」の対象範囲※安全基準等の対象とするサービスやシステムの範囲を規定
３．「安全基準等」の対象とする脅威
４．重要インフラ事業者等の担う役割
５．「安全基準等」の公開
６．対策項目（１）４つの柱ア）組織・体制及び資源の確保【要検討事項】【参考事項】（以下省略）

Ⅱ 「安全基準等」で規定が望まれる項目
１．「安全基準等」策定の目的
２．「安全基準等」の対象とするサービス
３．「安全基準等」の対象とする脅威
４．「安全基準等」の対象範囲
５．重要インフラ事業者等の担う役割
６．「安全基準等」の公開
７．対策項目（１）４つの柱ア）組織・体制及び資源の確保【要検討事項】【参考事項】（以下省略）＜事務局の考え方＞○案１のとおり、現行指針を踏襲して「対象範囲→対象とする脅威」の順にしてはどうか。その際、対象範囲にサービスの観点を追加することとしてはどうか。
また、今後、指針について具体的に検討する過程で、必要に応じて見直すこととしてはどうか。
z 指針第３版では、第２次行動計画の内容を反映する観点から、「『安全基準等』の対象範囲」として、サービスを明確化することを想定している。
z 第２次行動計画では、「Ⅰ総論 ２ 定義と対象範囲」において、「（２）重要インフラサービスと重要システム」の後で「（５）脅威」を規定している。
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

8骨子案の検討④：本編 Ⅲ フォローアップ○現行指針の節・項の構成を他の章とあわせて見直しし、第２次行動計画における取組みの内容を盛り込むことに加え、「２．本指針の継続的改善」の節の本文中に「（３）運用性の確保」から求められる対応を記載する【対応方針】（１）具体性の充実
具体的な対策項目集として自主的な活用を期待（２）諸規格との整合
重要インフラの特徴を踏まえつつ、国内外の標準・基準にも配慮○節・項の構成を他の章とあわせて見直し○第２次行動計画における取組みの内容を盛り込み（３）運用性の確保
各分野が主体的に検討する
ＰＤＣＡサイクルを尊重○指針の改定に関する検討は原則として３
年に１度の旨記載（本文中）

現行指針（2007年6月14日改定 情報セキュリティ政策会議決定）

指針第3版（骨子案）

Ⅲ フォローアップ（頭書き）（１）本指針の見直し（２）「安全基準等」の継続的検証①「安全基準等」の見直し○内閣官房○重要インフラ所管省庁及び重要インフラ事業者等②「安全基準等」に対する準拠状況の評価

Ⅲ フォローアップ
１．フォローアップの考え方
２．本指針の継続的改善（１）指針改定に関する検討（２）指針の分析・検証
３．安全基準等の継続的改善（１）重要インフラ所管省庁及び重要インフラ事業者等（２）内閣官房
４．安全基準等の浸透（１）重要インフラ所管省庁及び重要インフラ事業者等（２）内閣官房Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

9骨子案の検討⑤：対策編○重要インフラ専門委員会決定にて定める対策編を新たに設けて、「（１）具体性の充実」「（２）諸規格との整合」から求められる対応を記載する【対応方針】（１）具体性の充実
具体的な対策項目集として自主的な活用を期待（２）諸規格との整合
重要インフラの特徴を踏まえつつ、国内外の標準・基準にも配慮○「要検討事項」「参考事項」それぞれの「具体的内容」を記載（３）運用性の確保
各分野が主体的に検討する
ＰＤＣＡサイクルを尊重○対策編の別紙として、参考文献を整理し記載

指針第3版 対策編（骨子案）
Ⅰ 本対策編の位置づけ
Ⅱ 対策項目の具体化の例示（１）４つの柱ア 組織・体制及び資源の確保【要検討事項】 ＜対策項目の具体化の例示＞【参考事項】 ＜対策項目の具体化の例示＞（省略）
別紙 参考文献
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

10骨子案の検討⑥：新たな重点項目の在り方○前回の指針改定（2007年６月）以降の状況変化を踏まえて、現行指針の４つの柱と３つの重点項目に加え、見出しレベルで指針に盛り込むべき内容があれば骨子案に記載するかを議論
現行指針 （2007年6月14日改定
情報セキュリティ政策会議決定）【今回議論をお願いしたい内容】
・ 重点項目の見出しとして取り扱うべきテーマ→行動計画見直しでの議論を通じて得られた状況変化を踏まえ、新たな重点項目を立てる必要があるか、また既存の重点項目についてどのように考えるか【新たな重点項目（案）】

３つの重点項目※以下に留まらず、委員の見識に基づき、自由な発想で議論をお願いしたい

ア ＩＴ障害の観点から見た事業継続性確保のための対策
イ 情報漏えい防止のための対策
ウ 外部委託における情報セキュリティ確保のための対策
エ 情報システムについての対策

ウ 情報セキュリティ要件の明確化に基づく対策

イ 情報についての対策

ア 組織・体制及び資源の確保

４つの柱

リスク開示の在り方＜参考１＞ より「利用者の合理的な対応に必要なリスクの開示のための対策」（具体例） ・サービスの停止状況、復旧見込みの情報等を周知
・情報セキュリティ報告書又はそれに相当するものの作成 等

ＩＴ障害を引き起こす脅威の例＜参考２＞

より「社会環境変化や制度改正に起因する不可避な脅威のための対策」（具体例） ・暗号の危殆化、IPv6への移行、プロトコルの脆弱性 等

今回議論
にて
得られた
方向性を
骨子案に
盛り込み

【既存の重点項目】
事業継続計画との関係＜参考３＞

より「ＩＴ障害の観点から見た事業継続性確保のための対策」
対策の目的（目標）、視点＜参考４＞より「情報漏えい防止のための対策」「重要インフラ分野」の分類、位置づけ＜参考５＞ より「外部委託における情報セキュリティ確保のための対策」
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

11骨子案の検討⑥：新たな重点項目の在り方 【追加資料（1/4）】
第24回専門委員会での意見「利用者の合理的な対応に必要なリスクの開示のための対策」（１）見出しについて
・「リスク開示のための対策」よりも、単に「リスク開示等の対策」がよい（２）具体例について
・顕在化しているリスクと潜在的なリスクという異質のものが記載されているため、考え方の整理が必要
・開示する相手先に応じて、求められる情報が異なるため、開示すべき内容を十分に検討する必要がある。
・サービス提供時において、現に発生しているリスクを公開するというサービス利用者への情報開示ならば想定可能
・監査内容や情報セキュリティ対策の実施状況等の潜在的なリスクを開示内容に含むことは範囲が広すぎる（３）新たな重点項目として設定する点について
・開示すべきリスクの内容と開示方法は十分時間を掛けて議論すべき・リスク開示の定義や対象範囲が不明確なままで、新たな重点項目として取り上げることは時期尚早
・既存の重点項目の中で整理することも考えられる「社会環境変化や制度改正に起因する不可避な脅威のための対策」
・時代の変化を踏まえた検討が必要＜事務局の考え方＞

・新たな重点項目（案）について様々な意見が出された・委員間の共通認識を得るため、次ページ以降にて定義・対象範囲及び具体的な記載イメージについての事
務局の考え方を整理
・「利用者の合理的な対応に必要なリスクの開示のための対策」については、専門委員会での意見を踏まえ見出しを修正の上、内容について複数案を提示するので、再度ご議論いただいて、方向性を定めたい
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

12骨子案の検討⑥：新たな重点項目の在り方 【追加資料（2/4）】「利用者の合理的な対応に必要な情報の開示等の対策」※昨年度の行動計画見直しでの議論と「（１）見出しについて」の意見を踏まえ修正（１）開示を想定しているリスク ： 第２次行動計画の記述内容より、以下２つの類型を想定①顕在化しているリスク ： サービスの停止状況、復旧見込みの情報 等②潜在的なリスク ： 情報セキュリティ報告書又はそれに相当するものの作成を通じた情報セキュリティ対策の状況 等（２）「利用者の合理的な対応」
個々のサービスの利用者（受益者）が、万が一問題が生じた場合においても合理的（冷静）な判断や対応ができること（３）具体的な記載イメージ

指針第3版（本編）の記載事項

案１（新たな重点項目として記載）

案２（既存の重点項目等に追加）

エ 利用者の合理的な対応に必要な情報の開示等の対策【要検討事項】①顕在化しているリスク等の情報②潜在的なリスク等の情報

ア ＩＴ障害の観点から見た事業継続のための対策【参考事項】①顕在化しているリスク等の情報

Ⅲ フォローアップにて、「情報セキュリティ報告書又はそれに相当するものの作成」を自主的な取組みとして推奨
指針第3版（対策編）の記載事項（例）①サービスの停止状況、復旧見込みの情報等の提供②情報セキュリティ報告書の作成①サービスの停止状況、復旧見込みの情報等の提供

留意点

開示を進めるためには範囲や対象範囲等について十分な検討が必要参考事項の位置づけで、個別の先進的な対策を伸ばしその浸透を図る観点からの取組みとして推進（４）第２次行動計画における取組み
第２次行動計画を踏まえ、指針にて取り扱われる「安全基準等」に限らず、幅広く取組むこととなっている
昨年度の行動計画見直しでの議論を＜参考１＞（リスク開示の在り方）にて示す
・ 第２次行動計画における新規施策「５ 環境変化への対応 （２）リスクコミュニケーションの充実」にて、重要インフラ所管省庁の協力を得つつ、重要インフラ事業者等、関係機関及び重要インフラ所管省庁
等が相互にリスクコミュニケーションを推進できる環境整備に取り組む予定
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

13骨子案の検討⑥：新たな重点項目の在り方 【追加資料（3/4）】
案１（新たな重点項目として記載）

案２（既存の重点項目等に追加）

指針第3版 （一部抜粋）

指針第3版 （一部抜粋）

Ⅰ 目的及び位置づけ
Ⅱ 「安全基準等」で規定が望まれる項目
６．対策項目（１）４つの柱（２）○つの重点項目

Ⅰ 目的及び位置づけ
Ⅱ 「安全基準等」で規定が望まれる項目
６．対策項目（１）４つの柱（２）○つの重点項目

エ 利用者の合理的な対応に必要な情報の開示等の対策【要検討事項】①顕在化しているリスク等の情報②潜在的なリスク等の情報
Ⅲ フォローアップ

ア ＩＴ障害の観点から見た事業継続のための対策【参考事項】①顕在化しているリスク等の情報
Ⅲ フォローアップ
・情報セキュリティ報告書又はそれに相当するものの作成※自主的な取組みとして推奨

指針第3版 対策編 （一部抜粋）

指針第3版 対策編 （一部抜粋）

Ⅰ 本対策編の位置づけ
Ⅱ 対策項目の具体化の例示

Ⅰ 本対策編の位置づけ
Ⅱ 対策項目の具体化の例示①サービスの停止状況、復旧見込みの情報等の提供
②情報セキュリティ報告書の作成
別紙 参考文献①サービスの停止状況、復旧見込みの情報等の提供

別紙 参考文献
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

14骨子案の検討⑥：新たな重点項目の在り方 【追加資料（4/4）】「社会環境変化や制度改正に起因する不可避な脅威のための対策」（１）「社会環境変化」
例えば、電子計算機の性能が向上し、暗号の解読が容易になるなどの外的変化（２）「制度改正」
準拠する共通ルールや仕様（デファクトスタンダードを含む）に変更が生ずること（３）「脅威」 : IT障害を引き起こしうる要因（第２次行動計画より）（４）具体的な記載イメージ
事務局案
概要

新たな重点項目とする

指針第3版（本編）の記載事項

オ 社会環境変化や制度改正に起因する不可避な脅威のための対策【要検討事項】①暗号の危殆化②IPv6への移行③プロトコルの脆弱性④社会環境等の変化を踏まえた検討

指針第3版（対策編）の記載事項（例）①SHA-1及びRSA1024の安全性低下、WEPの脆弱性②IPv6移行に関する課題③TCP、SIP、DNS等の脆弱性④OSやアプリケーションの定例パッチ提供
等の情報収集事務局案
指針第3版 （一部抜粋）
Ⅰ 目的及び位置づけ
Ⅱ 「安全基準等」で規定が望まれる項目
６．対策項目（１）４つの柱（２）○つの重点項目
オ 社会環境変化や制度改正に起因する不可避な脅威のための対策【要検討事項】①暗号の危殆化②IPv6への移行③プロトコルの脆弱性④社会環境等の変化を踏まえた検討
Ⅲ フォローアップ

指針第3版 対策編 （一部抜粋）
Ⅰ 本対策編の位置づけ
Ⅱ 対策項目の具体化の例示①SHA-1及びRSA1024の安全性低下、WEPの脆弱性②IPv6移行に関する課題③TCP、SIP、DNS等の脆弱性④OSやアプリケーションの定例パッチ
提供等の情報収集
別紙 参考文献

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

15

＜参考１＞行動計画見直しでの議論（1/5）
リスク開示の在り方※ 第２２回重要インフラ専門委員会 参考資料３より抜粋し、一部修正・追記（青字部分）○安全基準等において前提とするリスクを開示することについては、リスク管理の観点からどう考えるべきか
z リスクコミュニケーションの観点から、前提とするリスクを開示することにより、サービス提供側のみでなく利用側におけるリスクの対処が容易になるのではないか
z リスクを開示せずにブラックボックス化したままでは、利用側にとってみれば、サービス提供側がすべてのリス
クを負うという誤解が生じる可能性がある
z インターネット等を活用して、サービスの停止状況、復旧見込みの情報等を周知している事業者等もある
z 一方、リスクを開示することにより、攻撃者に対し、脆弱な箇所を知らせることになって、脅威が増大する可能性の側面もあるz 「指針」では、「「安全基準等」は（中略）可能な限り公開されることが望ましい」としている
z 非公開とする代わりに、情報セキュリティの取組みをホームページに掲示している分野もある
z 情報セキュリティ政策会議において、「安全基準やこれをふまえたアクションプランについて、重要インフラに依存している国民に公表することが必要」という意見もある
z 情報セキュリティマネジメントの有効性の測定の国際標準（ISO/IEC27004：現在策定中）が参考になるという考え方もあるz 【専門委員会での議論より得られた方向性】
z 情報開示の仕方としては、対象者を限定して開示するという取扱いもあるのではないか
z リスク開示のあり方として、監査というプロセスが重要であることを踏まえれば、情報セキュリティ監査報告書の取得を対策の一つとして取り上げてもよいのではないか
第２次行動計画 Ⅱ．１ 安全基準等の整備及び浸透（ｐ１４）より（前略）重要インフラ事業者等のPDCA サイクルとの整合性を踏まえた安全基準等の整備の推進などの底上げに資する取組みのみならず、個別の先進的な対策を伸ばしその浸透を図る観点からの取組みも推進する。
第２次行動計画 Ⅱ．１（２）安全基準等の継続的改善（ｐ１５）より安全基準等に基づく対策状況については、関係性を有する主体間で互いに把握しておくことが重要である。そのため、情報セキュリティ監査又はそれに相当するものの実施や、情報セキュリティ報告書又はそれに相当するものの作成等の自主的な取組みを一層推奨し、分野や重要インフラ事業者等における情報セキュリティ対策の対外的な説明に努める。
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

16

＜参考２＞行動計画見直しでの議論（2/5）
ＩＴ障害を引き起こす脅威の例
脅威の例
脅威の種類

社会全体で対応が望まれる脅威

個別の重要インフラ事業者等が中心となって対応する脅威①サイバー攻撃をはじめとする意図的要因

分野横断的に多発するサービス不能攻撃、不正侵入、重要情報の搾取 等

不正侵入、データ改ざん・破壊、不正コマンド実
行、ウィルス攻撃、サービス不能攻撃（DoS:
Denial of Service）、情報漏えい、重要情報の搾取、内部不正 等②非意図的要因

大規模な操作・設定ミス、プログラム上の欠陥（バグ）、メンテナンス不備が予想される社会環
境変化や制度改正（例：西暦2000年問題、暗号の危殆化、IPv6への移行） 等

操作・設定ミス、プログラム上の欠陥（バグ）、メン
テナンス不備、内部・外部監査機能の不備、外部
委託管理の不備、マネジメントの欠陥 等③災害や疾病大規模な地震、水害（例：首都圏直下地震、荒川の氾濫）による電力設備の損壊、通信設備の損壊、水道設備の損壊、コンピュータ施設の損
壊 等

地震、水害、落雷、火災等の災害による電力設
備の損壊、通信設備の損壊、水道設備の損壊、コンピュータ施設の損壊 等④他分野の障害からの波及

大規模な電力供給の途絶、通信の途絶、水道供給の途絶（相互依存性解析の成果で判明しているもの） 等電力供給の途絶、通信の途絶、水道供給の途絶（相互依存性解析の成果で判明しているもの）
等※ 第２次行動計画 別紙３（ｐ４７）より抜粋（下線は、第1次行動計画からの追記部分）
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

17

＜参考３＞行動計画見直しでの議論（3/5）
事業継続計画との関係※ 第２２回重要インフラ専門委員会 参考資料３より抜粋し、一部修正・追記（青字部分）○「指針」や「安全基準等」に事業継続の観点を補充する必要はないか、盛り込むとすれば、事業継続計画との整合性をどう取るべきか
z 指針では、３つの重点項目にて「IT障害の観点から見た事業継続性確保のための対策」として「事業継続計画との整合性の確保」としての対策が盛り込まれているz 記載の仕方にバラツキはあるが、各分野の安全基準等においても盛り込まれている
z 事業継続管理についての国際規格化、ガイドラインの拡充等の動きがある
z 内閣府防災、経済産業省にて事業継続計画のガイドラインを策定済
z 総務省にて「地方公共団体におけるICT部門の業務継続計画（BCP）策定に関するガイドライン」（2008.8）を公表
z 経済産業省にて「ＩＴサービス継続ガイドライン」（2008．9）を公表
z 【専門委員会での議論より得られた方向性】
z 関連する他分野の復旧目安がどの程度なのか等、分野横断的な議論を行って検討すべき
z 事業継続計画の発動の際には、法制面での工夫が必要となる場合が考えられる

第２次行動計画 Ⅱ．１（１）指針の継続的改善（ｐ１４）より
なお、指針の改定に関する検討にあたっては、重要インフラ事業者等において事業継続計画の策定が進みつつある状況や、事業継続計画に関する国際規格化の進展状況等を踏まえつつ、分野横断的な観点からも実効的であるかを検証できるように指針の内容を充実させるものとする
安全基準等の指針「Ⅱ3.(4)② ３つの重点項目」より（抜粋）・ア IT障害の観点から見た事業継続性確保のための対策（イ）事業継続計画との整合性の確保
事業継続計画が策定される場合は、顕在化する可能性が高いIT障害として様々なケースを想定して事業継続計画に組み入れるとともに、適宜点検し、必要に応じ対策の改善を行うべきである
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

18

＜参考４＞行動計画見直しでの議論（4/5）
対策の目的（目標）、視点※ 第２２回重要インフラ専門委員会 参考資料３より抜粋し、一部修正・追記（青字部分）○個人情報保護の観点をどう位置づけるべきか
z 一般に個人情報保護法において「個人情報保護取扱事業者」には、個人情報の適正な取扱いの確保が求められている
z 第１次行動計画は、「重要インフラ事業者等の自主的な対策について示す」こととしている
z 【専門委員会での議論より得られた方向性】
z （特になし：事務局案のとおり）【事務局案】
・ 個人情報保護法が制定されていることを踏まえると、法令遵守の観点から当然対応が必要なものであり、重要インフラ事業者向けとして特に行動計画において求めるべきことは現時点では少ないのではないか
第１次行動計画「1 目的と範囲」より（抜粋） ※第２次行動計画においても同趣旨を記載
・ （IT障害）から国民生活や社会経済活動に重大な影響を及ぼさないよう重要インフラを防護し、重要イ
ンフラ事業者等の事業継続への取組みを強化するための取ることが望ましい重要インフラ事業者等の自主的な対策について示す【事務局案補足（指針見直しの観点）】
・ 個人情報に限らず、重要インフラの位置づけ（他に代替することが著しく困難なサービスを提供する事業が形成する国民生活及び社会経済活動の基盤）より、情報漏えいが発生した場合の国民への影響は大きいのではないか
・ 情報漏えいや不正アクセスの脅威の発生は、相変わらず少なくないのではないか
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

19

＜参考５＞行動計画見直しでの議論（5/5）
「重要インフラ分野」の分類、位置づけ※ 第２２回重要インフラ専門委員会 参考資料３より抜粋し、一部修正・追記（青字部分）○現在の１０分野の分類や位置づけは適切か、実態に即し見直し（分割・追加等）の必要はないか
z 諸外国における重要インフラの分類（次ページ）等を参考に、見直し（分割・追加等）が望まれる分野はないか例） クレジットカード会社（消費者信用）、ITベンダー（情報技術） 等
z 現在の１０分野とは別に、協力を求めるべき業界があれば、何らかの形で位置づけることも考えられる
z 現在の１０分野についても、ITへの依存度等に応じて分類や位置づけを何段階かに整理することも考えられる
z 重要インフラの定義そのものについても、必要に応じて見直しを検討することが考えられる
z 【専門委員会での議論より得られた方向性】
z （特になし：事務局案のとおり）【事務局案】
・ 新たな分野を加えるのではなく、現在の１０分野を踏襲しつつより内容を充実させてはどうか
・ ＩＴベンダーは、新たな分野としてではなく、各施策において必要に応じて協力を得てはどうか
第１次行動計画「2 重要インフラの定義と対象」より（抜粋） ※第２次行動計画においても同趣旨を記載
・ 重要インフラとは、「他に代替することが著しく困難なサービスを提供する事業が形成する国民生活及び社会経済活動の基盤であり、その機能が停止、低下又は利用不可能な状態に陥った場合に、我が国の国民生活又は社会経済活動に多大なる影響を及ぼすおそれが生じるもの」と定義
・ 当面の対象分野は、「情報通信」、「金融」、「航空」、「鉄道」、「電力」、「ガス」、「政府・行政サービス（地方公共団体を含む）」、「医療」、「水道」、「物流」の１０分野【事務局案補足（指針見直しの観点）】
・ ＩＴベンダーは、重要インフラの各事業における外部委託先として、互いに協力して情報セキュ
リティ対策を推進する立場と考えてはどうか
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

20