サイバーセキュリティ戦略本部
第 24 回会合

１

重要インフラ専門調査会
議事概要

日時
令和３年１月 26 日（火）16 時 00 分～17 時 00 分

２

場所
Web 会議３

出 席 者 （ 五 十音順・敬 称略）
（委員）
有村浩一

一般社団法人ＪＰＣＥＲＴコーディネーションセンター

常務理事

安藤広和

一般社団法人日本ガス協会

稲垣隆一

稲垣隆一法律事務所

植田広樹

日本電信電話株式会社

大友洋一

電気事業連合会

大林厚臣

慶應義塾大学大学院

小野森彦

石油連盟

鐘築泰則

住友生命保険相互会社

情報システム部

川合一匡

成田国際空港株式会社

経営企画部門河野敬一

一般社団法人日本クレジット協会

業務企画部部長

小松文子

長崎県立大学教授

志済聡子

中外製薬株式会社

神保謙

鈴木栄一

一般社団法人日本損害保険協会

ＩＴ推進部長田中明良

日本放送協会ＣＳＩＲＴ部長

田中一三

日本通運株式会社

手塚悟

戸田裕之

永井久

長島公之

公益社団法人日本医師会

中山広樹

株式会 社三 井住 友銀 行 シス テム セキ ュリ ティ 統括 部 システ ムリ スク 管理 グル ープ グ ルー プ長

塗師

敏男

横浜市

野口和彦

国立大学法人横浜国立大学

福島雅哉

日本航空株式会社

堀内浩規

一般社団法人日本ケーブルテレビ連盟

細川

猛

松田

栄之

技術ユニット長

弁護士
技術企画部門セキュリティ戦略担当

統括部長

情報通信部長経営管理研究科教授

総務部長

慶應義塾大学慶應義塾大学

情報システム学部
執行役員

次長

教授

情報システム局
ＩＴ推進部

環境情報学部

教授

公益財団法人金融情報システムセンター
野村ホールディングス株式会社

石油化学工業協会

ＩＴ推進部

デジタル・ＩＴ統括部門長

総合政策学部

総務局

システムリスク管理室長

監査安全部長

ＩＴ統括部長

常任理事

しごと改革室ＩＣＴ担当部長

客員教授

セキュリティ戦略グループ長
総務部

理事

兼

通信制度部長

担当部長

エヌ ・ テ ィ・ テ ィ ・デ ー タ 先端 技 術 株式 会 社 セ キ ュリ テ ィ コン サ ル ティ ン グ 事業 部 コン サ ルテ ィ ン グサ ー ビ ス担 当1

盛合志帆

国立研究開発法人情報通信研究機構 経営企画部 統括 兼 サイバーセキュリティ研究所 上席研究員

山北正宣

東日本旅客鉄道株式会社 技術イノベーション推進本部 システムマネジメント部門 次長

渡辺研司

名古屋工業大学

大学院工学研究科

教授

（事務局）
髙橋憲一

内閣サイバーセキュリティセンター長

松本裕之

内閣審議官

山内智生

内閣審議官

江口純一

内閣審議官

𠮷川

徹志

内閣参事官

堀真之助

内閣参事官

結城則尚

内閣参事官

中尾康二

サイバーセキュリティ参与（ オ ブ ザ ーバー ）内閣官房副長官補（事態対処・危機管理担当）付
内閣官房情報通信技術（IT）総合戦略室
内閣官房東京オリンピック・パラリンピック推進本部事務局
警察庁警備局警備企画課
金融庁総合政策局総合政策課
総務省サイバーセキュリティ統括官室
外務省大臣官房情報通信課
文部科学省大臣官房政策課
厚生労働省政策統括官付サイバーセキュリティ担当参事官室
経済産業省商務情報政策局サイバーセキュリティ課
国土交通省総合政策局情報政策課サイバーセキュリティ対策室
防衛省整備計画局情報通信課

４

議事概要（ １ ） 開 会（挨 拶）髙橋センター長及び渡辺会長から開会に際しての挨拶が行われた。

（ ２ ） 報 告事項「関係省庁の取組状況」について、資料２に基づき総務省及び経済産業 省 か ら 報
告が行われた。また、「重要インフラを取り巻く情勢」「分野横断的 演習 の 実 施 結果」について、資料３及び資料４に基づき事務局から報告が行われた。

2

（本議題に関する主なやりとりは次のとおり。）（稲垣委員）○

ぜい弱な状態にあるIoT機器を見 つけ出 し、管 理者 に注意 喚起を 行 う と い う
総務省の取組は素晴らしいが、事前に調査対象から何らかの同意を得 て い る のか。

（総務省）
○

今回の調査は、一般に公開されているインターネット上の管理画 面 を 調 査 するものであり、調査対象から事前の同意を得るということは特段行っ て い な いが、御指摘の点も踏まえ、今回の結果をどのように活用していくか検 討 し て いきたい。

（稲垣委員）○

このような取組は引き続き進めていくべきであるが、法的な問題 が 今 後 出 てくることも考えられるため、万全を期して進めるようにしていただきた い。

○

次に、ランサムウェア対策に関し、経済産業省に伺いたい。ラン サ ム ウ ェ アの被害に遭った企業が加害者に対して資金提供することは、犯罪行為 に 対 す る協力とみなされ、制裁を受ける構造になっている。これ自体は特に問 題 な い と思うが、ランサムウェアの被害を受けた企業が身代金を支払わずとも 事 業 を 継続できるよう支援していくべきではないか。

（経済産業省）○

IPAにJ-CRATという組織を設けており、重要インフラ等で被害が発 生 し た 場 合には、必要に応じてチームを現場に派遣し、被害企業と協力して初動 対 応 に 当たるとともに、技術的な支援を行うこととしている。

○

また、ランサムウェアによる被害に遭わないようにする、仮に被 害 に 遭 っ たとしてもビジネスを継続できるようにする等も重要であるため、注意 喚 起 の 実
施やガイドラインの公表により、事業者が適切な対策を行えるよう支 援 し て いる。

（野口委員）○

リスクマネジメントの世界では環境が変化するとリスクも変化す る と 教 え ているが、新型コロナウイルス感染症の拡大によってもたらされた社会 や 企 業 運営の変化がサイバー セ キュ リテ ィ にど のよ う な影 響を 与 えた かに つ い て 何 か分析されているのか伺いたい。

○

また、サイバーセキュリティの世界で先手を打つためには、今後 ど の よ う な変化が起こるかとい う 予測 を共 有 した 上で 対 策を 考え て いく こと が 非 常 に 重要となる。資料にはそのような観点を含めていただけるとありがたい。

3

（結城参事官）○

先端技術を有する産業が狙われるなど、サイバーの脅威は高まっ て お り 、 その手法も巧妙化していることから、これらに対してどのような対策を 行 っ て いくのかということを行動計画では検討していく必要があると考えている 。

○

世界各国においてサイバーセキュリティ対策が始まったのは2000 年頃 で あ り 、そこから20年が経過したが、この20年で起きたこととこれから先20年 で 起 こ ることは同じではないと考えている。かつては事業者一律で対策を考えて い た が 、同じ物理事象でも事 業 者が 置か れ てい る状 況 によ って リ スク は変 わ っ て く るということを踏まえると、共通脅威の高まりにどのように対処してい く か と いうことともに、事業者の特質を踏まえてどのように対応していくべき か と い うことも検討していく必要があると考えている。

（ ３ ） そ の他
「次期重要インフラ行動計画の検討」について、資料５に基づき事務局 か ら 説 明が行われた。また、「政府のデジタル改革を巡る動向」について、資 料６ に 基 づ き
内閣官房情報通信技術（IT）総合戦略室から説明が行われた（本件に関する主なやりとりは次のとおり。）（稲垣委員）○

次期行動計画においては、どこにどういう人材を供給し、その人 材 を 誰 が 育てていくのかという、人材育成のグランドデザインを検討することも 盛 り 込 んでいただきたい。人材育成の重要性については企業側の認知も進んで お り 、 経営課題だと認識されていると考えている。

（結城参事官）○人材育成は、経営層、実務者層等のそれぞれの階層において求め ら れ る 能 力を明確にした上で、必要な教育を進めていくべきだと考えている。ま た 、 サ イ
バーセキュリティは経営の課題の一つだという観点から、企業経営に ま で 踏 み込んで人材育成の在り方を記載する必要があると思う。

○

なお、人材育成については、ＮＩＳＣ内で専門に検討を行う体制が あ る た め 、そのチームと連携して進めていくこととする。

（野口委員）○

将来展開をどう見るかによって行動計画の内容は大きく変わって く る た め 、検討の視点は「事業の特質及び現状を踏まえた」ものだけではなく、 「 現 状 と将来展開を踏まえた」ものであることも大事だと思う。

○

現在の行動計画が優れていたのは、経営というものにメスを入れ た と い う ところだと考えている。サイバーセキュリティは現場のものというこれ ま で の 考

4

え方から、経営も含めたセキュ リティ 体制 の構築 という 内容 を入れ た こ と は 、非常によかったと思う。その一方で、経営側でも使いづらく、現場側 も 使 い づ
らい中途半端なもの に なっ てし ま った こと は ない だろ う かと 若干 心 配 を し ている。行動計画をより具体的なものしていくためには、総 合的な計画と 同 時 に 、マネジメントという視点と現場の技術という視点の両方が重要である。
○

また、セキュリティはシステムありきで考えられているが、セキ ュ リ テ ィ 対策というのは、どういうシステムを構築するかというシステム導入の 計 画 の 段階から始まるものである。次期行動計画は、このタイムスケジュール を 踏 ま えて総合的に考えていく必要があるのではないかと思う。

○

サイバーセキュリティというのは、サイバーに関する知識だけで は な く 、 それを使う社会や事業者の組織マネジメントの知識、人間の特性に対す る 知 識 等が必要となる。次期行動計画では、そういう実務の専門家を集めて検 討 を や っていただきたい。

（結城参事官）○

次期行動計画の検討に当たっては、政府側からの視点だけではな く 、 事 業 者側の視点も入れてレビューを行い、何をどう変えたらいいのかという こ と は 明らかにしていきたい。

○

また、マネジメントについては、上からトップダウンでやるもの と 下 か ら 積み上げるものの両方を理解して調和させることが重要であると考えて お り 、 今回の目標の一つとしている。このためには、それぞれの事業者のプロ フ ァ イ ルを明確にした上で、その特性を踏まえてリスクを認識し、リスクコン シ ャ ス で資源を有効に配分していくとい うこと が前 提とな る。一 律の リスク で は な く 、事業者が自らのリス ク は何 かと 同 定す ると こ ろか ら始 め られ るよ う に し た いと考えている。

（大林委員）○

行動計画では、システムを重要インフラ防護の対象としているが 、 デ ー タ ドリブンのシステムもあることから、重要インフラサービスを維持するた め に は 、重要なデータのセキ ュ リテ ィを ど う確 保し て いく かに つ いて も考 え て い く 必要があるのではないか。

（結城参事官）○現在の行動計画が防護の対象としている資産はシステムであるが 、 こ の 資 産の中にデータも加えていきたいと考えている。また、昨今のトラブル は 、 不 適切な資産管理に起因するものが多数見受けられることから、重要イン フ ラ の 範
囲や定義についても検討を行っていくことを提案したい考えている。

（４）閉会

5

次回の専門調査会の開催予定について、事務局から連絡があった。

以上

6