資料２

2008年度重要インフラにおける「安全基準等の見直し状況等の把握及び検証」について【最終報告】

2009年 1月 23日
内閣官房 情報セキュリティセンター（NISC）

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

「安全基準等の見直し状況等の把握及び検証」の概要○2007年度、重要インフラ10分野において「安全基準等」の策定・見直しが行われ、内閣官房にて安全基準等の策定状況の把握・評価を実施（2008年2月4日 情報セキュリティ政策会議）。
○定常的なＩＴ障害の発生状況の把握を通じて、各重要インフラ分野に共通する横断的な対策課題の分析・検討を行い、（※１）
見直しの要点 をまとめて周知した（2008年4月3日 重要インフラ専門委員会）○各重要インフラ分野においては分野ごとのPDCAサイクルにて「安全基準等」の見直しを実施している。
○ＮＩＳＣでは毎年定点的に「安全基準等」の策定状況の把握及び検証を実施する。
2007年度安全基準等の把握及び検証の結果（ 報告 ：2008年2月4日情報セキュリティ政策会議 ）セキュア・ジャパン
2007【具体的施策】
ア）各重要インフラ分野の安全基準等の策定・見直しa)安全基準等の見直しb）「安全基準等」の見直し状
況等の把握及び検証
イ）各重要インフラ分野における「安全基準等」の浸透状
況等に関する調査の実施ウ）指針の見直し

・平成19
年6月に行われた指針の改定を踏まえ、重要インフラ10分野
平成19年月に行われた指針の改定を踏まえ、重要インフラ10分野について安全基準等の見直しを実施済。
・4つの安全基準等において、指針改定以外の観点による追加的な見直しが実施されていることを確認。
・指針改定箇所については、重要インフラ10分野で対応していることを
指針改定箇所については、重要インフラ10分野で対応していることを確認。

2007年度「安全基準等」の浸透状況等に関する調査の結果

セキュア・ジャパン
2008【具体的施策】
ア）各重要インフラ分野の安全基準等の策定・見直しa)安全基準等の見直し（報告：2008
年4月22日情報セキュリティ政策会議
報告：2008年22日情報セキュリティ政策会議 ）・重要インフラ事業者等における情報セキュリティ対策を分野横断的に初めて把握。今後的確な把握のため、調査の改善に努める。
・大半の事業者等が内規を制定済みであるとともに、約7・大半の事業者等が内規を制定済みであるとともに、約7割の事業者
等で安全基準等に基づく内規見直しが実施・予定されていることが推定

2007年度指針見直しの結果（報告：2008年4月22日情報セキュリティ政策会議
報告：2008年22日情報セキュリティ政策会議 ）b）「安全基準等」の見直し状
況等の把握及び検証
イ）各重要インフラ分野における「安全基準等」の浸透状
況等に関する調査の実施ウ）指針の見直し

・2007年度は指針を改定せず、見直しの要点を参考資料として周知
2007年度は指針を改定せず、見直しの要点を参考資料として周知
・今回の検証・分析結果を参考資料として周知することで、独自の見直しを行う場合には、活用することができると期待※１：２００７年度「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」見直しを通じて得られた重要インフラの情報セキュリティ確保に係る参考事項（要点）（2008年4月3日 重要インフラ専門委員会）

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

1

2007年度の指針見直し結果と2008年度安全基準等見直しの関係◆2008年度における把握及び検証のポイント
・2007年度の指針の見直しにおいては、各分野における浸透等を優先し、指針の改定を見送り・各分野の主体的な見直しに着目し、2008年度の把握及び検証を実施する◆2008年度の安全基準等の見直し（指針改定が無かった）
安全基準等の見直し（各分野）

2007年度指針見直しの結果
指針見直しの要点（任意）（参考資料の位置付け）

分野等の社会的動向等の変化
・社会動向、分野動向の変化
・情報セキュリティを取り巻く環境の変化
・安全基準等を策定、運用面からの課題 等

分野横断的な観点

分野個々の観点◆2007年度の安全基準等の見直し（指針が改定された）2006年度指針見直しの結果
指針（改定版）
分野等の社会的動向等の変化
・社会動向、分野動向の変化
・情報セキュリティを取り巻く環境の変化
・安全基準等を策定、運用面からの課題 等

安全基準等の見直し（各分野）
分野横断的な観点◆2008年度のポイント①指針の見直し結果を踏まえた、分野横断的観点の見直しは任意②各分野ごとの独自の観点による見直しの実施状況について着目※指針見直しの要点については、分野個々の見直しにおける参考資料◆2007年度のポイント①指針改定を起点とした分野共通の安全基準等の見直し及び指針の改定への対応に着目②分野横断的な観点の見直し以外に、独自の観点による追加的並直しが実施されていることを確認した

分野個々の観点

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

2

「安全基準等の見直し状況等の把握及び検証」の観点「安全基準等」の見直し状況等の把握及び検証の方向性
2006、2007年度の活動を踏まえ、2008年度の把握及び検証を実施
2008年度の見直し状況等把握については、分野独自のPDCAサイクルに基づく見直しを中心に把握現在、並行して検討中の次期行動計画との連携を考慮して検証を実施（ 「指針」 Ⅰ目的及び位置づけ より ）（略） それぞれの事業分野においてその特性に応じた必要又は望ましい情報セキュリティ対策の水準を「安全基準等」という形で明示し、（「セキュア・ジャパン2008」 第２節 重要インフラ より）ア）各重要インフラ分野の安全基準等の策定・見直しa)安全基準等の見直し（重要インフラ所管省庁 ）２００７年度の指針見直しを踏まえ、２００８年９月を目処に各重要インフラ分野において安全基準等の確認・検証を実施する。また、必要に応じて安全基準等の改定等を進める。
ｂ）「安全基準等」の見直し状況等の把握及び検証（内閣官房）
各重要インフラ分野における「安全基準等」について、各重要インフラ所管省庁の協力を得つつ、２００８年度中に安全基準等の確認・検証及び改定等の実施状況の把握及び検証を行う。

◆2008年度「安全基準等」の見直し状況等の把握及び検証におけるアプローチ①「安全基準等」の見直し状況等

・各分野ごとのPDCAサイクルに基づく「安全基準等」の見直し（確認・検証及び改定等）がどのように行われているか。また、今後行う予定はあるか・どのような観点、背景により「安全基準等」の確認・検証に取り組み、実際の確認・検証をどのように検討しているか②各分野の安全基準等の特徴等

・各分野の安全基準等から今後予定されている指針の見直しにおいて参考となる、具体的な対策項目や事例があるか
・各分野ごとの安全基準等の運用を把握する観点から、現状の各分野の安全基準等の見直しや浸透に関するPDCAサイクルがどのようになっているか③安全基準等に係る３年間の取り組みについての総括

・現行動計画に基づく安全基準等に関する取り組みを振り返り、今後の取り組みにおいて参考になる事項があるか

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

3

①「安全基準等」の見直し状況等◆2008年2月以降、指針見直しの要点等の観点により、重要インフラ10分野について安全基準等の確認・検証が実施された。
◆指針見直しの要点による分野横断的な観点とは別に、分野個々の観点での安全基準等の確認・検証が6分野で実施される予定。（年度内の実施予定を含む）
確認・検証の実施状況
分野

情報
通信

安全基準等の名称

電気通信
放送

金融

①電気通信事業法、電気通信事業法施行規則、事業用電気通信設備規則等（関連する告示を含む）②情報通信ネットワーク安全・信頼性基準③電気通信分野における情報セキュリティ確保に係る安全基準（第1版）
放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン①金融機関等におけるセキュリティポリシー策定のための手引書②金融機関等コンピュータシステムの安全対策基準・解説書③金融機関等におけるコンティンジェンシープラン策定のための手引書

改定
状況

実施
状況

分野個々の観点

指針見直
し要点

実施

ネットワークのIP化に伴う電気通信サービスの事故の増加等への対応(②)
定期的な確認・検証（実施予定）(③)

－あり
(②)

実施

－

活用

なし

実施

分野内を取り巻くセキュリティ動向の変化（①）、年度初めに決めたテーマに基づき確認・検証を実施中（②）

活用

あり
(①)

運送

航空運送事業者における情報セキュリティ確保に係る安全ガイドライン

実施

事業者が策定するセキュリティポリシーとの整合

活用

なし

管制

航空管制システムにおける情報セキュリティ確保に係る安全ガイドライン

実施

国土交通省セキュリティポリシーとの整合

活用

なし

鉄道

鉄道分野における情報セキュリティ確保に係る安全ガイドライン

実施

－

活用

なし

電力

電力制御システム等における技術的水準・運用基準に関するガイドラ
イン

実施

－

活用

なし

ガス

製造・供給に係る制御系システムの情報セキュリティ対策ガイドライン

実施

最新のIT技術動向
事業者が策定する内規からのフィードバック

活用なし

政府・行政地方公共団体における情報セキュリティポリシーに関するガイドライン

実施

他省庁が策定するガイドラインとのギャップ分析

－

なし

医療

医療情報システムの安全管理に関するガイドライン第3版

実施

無線LAN、モバイルネットワーク利用への対応（07年度）

活用

あり

水道

水道分野における情報セキュリティガイドライン

実施

－

活用

あり

物流

物流分野における情報セキュリティ確保に係る安全ガイドライン

実施

－

活用

なし

航空

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

4

②各分野の安全基準等の特徴等◆指針に示す項目を対象に各分野の安全基準等から具体的な対策項目を総計３６５項目抽出した。
◆安全基準等の継続的改善については、安全基準等に明記している分野とそれ以外の方法で実施している分野がある。
（１）対策の抽出（具体的な対策は参考資料 P11からP3１参照）
項目名
4つの柱

3つの重点項目

対策数
ア

組織・体制及び資源の確保

15イ

情報についての対策

33

ウ

情報セキュリティ要件の明確化に基づく対策

40

エ

情報システムについての対策

ア

IT障害の観点から見た事業継続性確保のための対策

27

イ

情報漏えい防止のための対策

80

ウ

外部委託における情報セキュリティ確保のための対策

62

108

（2）安全基準等の継続的改善における特徴的な事例（具体的な事例は参考資料 P32参照）
・対象事業者等の経営層から構成される会合による承認・検討会等による見直しの実施
・パブリックコメントの実施○安全基準等から抽出した具体的な対策は、今後実施する指針の改定に関する検討で活用する○各分野においてはこれらの事例も参考に、今後も安全基準等の継続的改善を着実に推進することが期待される
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

5

③安全基準等に係る３年間の取り組みについての総括◆重要インフラ10分野で安全基準等の整備が完了し、指針による分野横断的な観点による安全基準等の見直しサイクルが確立された。また、分野個々の観点による改善も行われつつある。
◆指針による分野横断的な観点に基づく見直しサイクルの確立①2006年2月の指針の策定を踏まえ、全ての分野で安全基準等が策定・見直しされた。
②2007年6月の指針の改定を踏まえ、2007年9月までに全ての分野で安全基準等の見直しが実施された。
③2008年4月にとりまとめた指針見直しの要点を踏まえ、2008年10月までに全ての分野で安全基準等の確認・検証が実施された。

◆分野個々の観点による改善指針による分野横断的な観点に加え各分野の独自の観点や改善サイクルによる確認・検証が実施された。
○分野独自の主な改善の観点
・ネットワークのIP化に伴う電気通信サービスの事故の増加（電気通信）・分野内を取り巻くセキュリティ動向の変化 （金融）・最新のIT技術動向（ガス）・事業者等が策定しているセキュリティポリシーや内規との整合（航空管制、航空運送）
・PDCAサイクル等の規定（電力）・他のガイドラインとのギャップ分析（政府・行政サービス）・情報セキュリティに係る取り組みのホームページへの公表（電力、ガス）

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

6

③安全基準等に係る３年間の取り組みについての総括
分野名指針

②

審議会における審議策定
策定

①策定

②改定

②策定

★

③策定

★③改定

・ネットワークのIP化に伴う・IP系サービス事故の増加
電気通信サービスの事故の増加
②追補

見直し

航空管制策定

航空運送

策定

ガス

★

・PDCAサイク
ルの規定

策定
策定

★ 改定

策定

医療策定

見直し
策定

物流

策定

確認・検証

★

確認・検証
予定
確認・検証

・分野内を取り巻くセキ
ュリティ動向の変化

金融機関等のセキュリティ動向★①改定

・定期的な確認・検証(2008年度中に実施中（予定））

・事業者等が策定するセキュ
見直し★改定 リティポリシーとの整合確認・検証

見直し

確認・検証

★改定

見直し

★改定 ・他のガイドラインとのギャップ分析

★改定
見直し

見直し

★

見直し

・無線LAN、モバイルネットワークの利用への対応

見直し
見直し

改定

②確認・検証予定

・最新のIT技術動向

見直し

★ 改定

水道見直し

・定期的な確認・検証(2008年度中に実施予定）

②施行

見直し

見直し

策定

政府・行政

★ ①施行

見直し

放送

電力要点周知策定

鉄道

2008年度

指針改定

見直し

策定

③金融

2007年度

安全基準等整備指針策定①
電気通信

2006年度

2005年度以前

確認・検証 ・事業者が策定する内規からのフィード確認・検証
バック

確認・検証
確認・検証

★改定

確認・検証

★改定

確認・検証

見直し

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

確認・検証

7

まとめ
◆第１次行動計画の３年間を通じて、指針を起点とした安全基準等の確認・検証の継続的改善が定着した。
◆今後も、第２次行動計画（案）に基づき、各分野の特性等を踏まえた自主的な改善についての取り組みが期待される。
① 「安全基準等」の見直し状況等
重要インフラのうち６分野において、分野独自の観点による確認・検証が実施される予定である。
今後も各分野がそれぞれの特性も踏まえて、安全基準等の見直しに積極的に取り組んでいくことが期待される。また、NISCは引き続き安全基準等の見直し状況等の把握及び検証に努める。
②各分野の安全基準等の特徴等
指針に示す項目を対象に各分野の安全基準等から具体化されている対策を総計３６５項目抽出した。
今後実施予定の指針の見直し（指針の改定に関する検討）において活用する。
③安全基準等に係る３年間の取り組みについての総括安全基準等の整備が完了し、指針と安全基準等の一体的な改善サイクルが確立されるとともに、分野独自の改善も行われつつある。
指針で取り組んできた分野共通的な取り組みに加え、分野の特徴や運用サイクル等を踏まえた分野特有の対策についても強化できるよう、NISCは今後も指針の充実に取り組む。また、各分野においては、引き続き安全基準等の充実に努めることが期待される。
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

8

【参考】安全基準等一覧（2009年1月時点）
分野

安全基準等の名称

電気通信
情報通信

電気通信事業法、電気通信事業法施行規則、事業用電気通信設備規則等（関連する告示を含む）
情報通信ネットワーク安全・信頼性基準
電気通信分野における情報セキュリティ確保に係る安全基準（第1版）

放送

放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン
金融機関等におけるセキュリティポリシー策定のための手引書
金融機関等コンピュータシステムの安全対策基準・解説書
金融機関等におけるコンティンジェンシープラン策定のための手引書

金融
航空運送

航空運送事業者における情報セキュリティ確保に係る安全ガイドライン

航空管制

航空管制システムにおける情報セキュリティ確保に係る安全ガイドライン

航空
鉄道

鉄道分野における情報セキュリティ確保に係る安全ガイドライン

電力

電力制御システム等における技術的水準・運用基準に関するガイドライン

ガス

製造・供給に係る制御系システムの情報セキュリティ対策ガイドライン

政府・行政

地方公共団体における情報セキュリティポリシーに関するガイドライン

医療

医療情報システムの安全管理に関するガイドライン第３版

水道

水道分野における情報セキュリティガイドライン

物流

物流分野における情報セキュリティ確保に係る安全ガイドライン

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

9