サイバー攻撃被害に係る情報の共有・公表ガイダンス

提出者

該当箇所

意⾒募集の結果⼀覧

御意⾒に対する主な考え⽅及び修正

御意⾒の概要

今後の検討の参考に致します。

11⾴ 第三者による情報発信中央の図について
被害組織⾃⾝の匿名欄に何も⼊⼒されていないが「匿名による相談」を追加して「情報の共有」を専⾨組織から企業へ促すようにしてはどうでしょう。
ＩＳＭＳ２７００１を取得している企業で情報セキュリティ関係を専⾨に⾏う部⾨（部はじめに―情1

個⼈1報共有とは何か／公表とは何か署）では、情報セキュリティ被害（インシデント）が発⽣した際に上⻑や上司に報告したりインシデント報告書を作成したりする。その後「情報の共有」が⾏われれば問題な
いが、勉強不⾜や本ガイダンスの存在を知らないなどの理由で「情報の共有」が⾏われないケース（内部隠蔽含む）があります。
この「情報の共有」が⾏われないで被害を拡⼤させないために、企業内からのリークから専⾨組織より「Ａ社で情報セキュリティ被害が発⽣しています。御社も被害にあわれてませんか。」や「外部から提供されたログ情報から御社が攻撃された可能性があります。被害に会われてませんか。」等のアクションから被害を減らす取り組みを⾏ってはいかがでしょうか。

1ページ数の追記、⽤語の⾔い換え、誤植等の修正

ケーススタディ、リーガルリスク、アカウン

・Q〇〇とある箇所等は、ページ数も付記してほしい。

タビリティは専⾨⽤語でもあり、⽇本語に置・わかりやすい語、⾔い回しに置き換えて欲しい

き換えるとニュアンスが変わってしまうとこ−ケーススタディ

2

個⼈2

→

ろがあります。

事例研究

インシデント、FAQ、インディケータ、ベン

−企図する

→

企てる

−授受

→

受け渡し

ダは、情報共有の現場では定着している⽤語

その他、本ガ−突合→

照合

でもあります。

イダンス全体−リーガルリスクについて−アカウンタビリティ−インシデント

→

−FAQ

→

→

突合は、照合に置き換えると、データベース→

で照合することを想起させます。

説明責任したがいまして、これらにつきましては、原

事例

案のとおりとさせて頂ければと思います。

よくある質問とそれに対応する回答−インディケータ
−ベンダ

法的リスク

→

→

販売者

が

おそ

指標

その他は、分かりやすくするため、ご指摘の等

ように修正致します。

・誤植等
−おそれ

になっている箇所がある

等

58⾴ 情報共有のタイミングを逃すとどうなるのか、政府が⽰す⽬安の期間を皆知りた ご質問の点は、攻撃キャンペーンや攻撃グ
いと思うのです。例えば3ヶ⽉〜半年みたいな感じで⽬安を⽰して頂けると助かりま3

個⼈2

ループごとに異なってくるため、事案によりその他、本ガ す。

けりであり、⼀概にはお⽰しすることは困難

イダンス全体ですのでご了承下さい。被害組織におかれまについてしては、早期に専⾨組織（セキュリティベン
ダ、専⾨機関）に情報共有して頂ければと思
います。

4

個⼈3

ご指摘のとおり修正致します。
21⾴ 下部の図では、それぞれの範囲の意味するところを⾚・紫・橙・紺の⾊分けにはじめに―情 よって区別していますが、このような表現は⾊覚異常の⽅にとって不便であるので、番報共有とは何 号を振るなど⾊分けに依存しない表現での区別を追加することが望ましいと考えます。
か／公表とは あくまで「図の本質に関わる要素を」「⾊分けによってのみ」表現している点に問題が何かあるのであって、⾊彩を⽤いた図の表現⾃体には異論ありません。

2

111.222.***.***、123.211.***.***、213.111.***.***、123.***.***.231、

ご指摘のとおり修正致します(Q7、16、28、

223.***.***.112、213.***.***.*** といった IP アドレスがインディケータの例として掲

ケーススタディ)。

載されていますが、これらは実在するグローバルアドレスなので、⼀部を伏字にしてもその他、本ガ 例⽰に⽤いるのは不適切だと考えます。
5

個⼈3

イダンス全体 111.222.***.***、123.211.***.*** に⾄っては (意⾒提出時点で) 該当するすべての IP ア
についてドレスが特定の AS (Autonomous System) に属しており、まるで当該 AS が悪性である
かのような誤った印象を与えかねず、なおさら適切でないと考えます。
RFC5737 によってドキュメント⽤に予約されているアドレスである、192.0.2.0/24、
198.51.100.0/24、203.0.113.0/24 のいずれかを使⽤するべきです。
本ガイダンスの英語版を作成・公表し、その宣伝を英語で⾏うことを要望します。
海外のＩＴ系ニュースを複数購読していますが、我が国のサイバーセキュリティ政策が取り上げられたのはほとんど⾒たことがありません。

その他、本ガ6

個⼈3

イダンス全体について

実際には様々な事業を⾏っており公開資料も多数あるにもかかわらず、海外メディアでは⽶国・英国・ＥＵなどと⽐べてまったく存在感がありません。
その理由のひとつは公開資料を⽇本語でしか提供していないことが多いことにあると考えます。海外の⽅からすれば⽇本語でしか出ていないものは存在しないも同然です。
有⽤な資料を作成したならば、英語で公表して、かつ各種媒体やソーシャルメディアを通じて積極的にその宣伝を⾏うことが、サイバーセキュリティに関する国際協⼒関係における我が国のプレゼンスを⾼めるうえで決定的に重要だと考えます。

3

今後の検討の参考に致します。

重要インフラ分野「クレジット」の重要システムであるクレジットカード決済システム 賛成のご意⾒として承ります。
ついて、意⾒を述べさせていただきます。
主に各クレジットカード会社単位で決済システムを利⽤していますが、不正作出にて作り出したデータと思われる情報により⽇々万件単位のリスト型攻撃を受けていると想定
Q7.「イン
7

個⼈4

ディケータ情報」とはなんですか？

されます。不正オーソリを受け取るだけで、提⽰いただいたような「インディケータ情報」及び「攻撃技術情報」等の分析・対策をカード会社では⾏っていない状況です。
オーソリ情報の元（⼿前）にあるテクニカルな情報を読み取り、対策を講じることが必要と思われます。その点をケアしないと将来もっと重⼤な事故が起こる可能性が潜在的あると考えます。
クレジット業界では2022年度の不正被害⾦額は過去最⾼値を計上しようとする状況です。その三⼤要因は①不正作出によるリスト型攻撃、②フィッシング、③情報漏洩等です。それらの対策にも役⽴つ深堀した現状把握、原因分析、対策⽴案、実⾏、検証が緊喫の重要課題であると思料します。
攻撃に関する情報を共有するにあたって、留意点として３点に⾔及されていますが、こ 賛成のご意⾒として承ります。

Q13.なぜ⾮公開で参加者が8個⼈4限定された情報共有が⾏われるのですか？

の点は当然であり、全⾯的に賛成です。
攻撃の早期段階で攻撃情報を公表してしまうと、攻撃者が即⼿法を変化させてくるのは必然です。重要インフラ「クレジット」に関する点で考えれば、攻撃に関する情報を対策対応ができる⼤⼿会社のみに共有限定することにより、対策の検証を⾏うことが必要です。そのうえで、同⼀パターンの攻撃が収束後（三か⽉、六か⽉程度）に内容を公表する形がいいと思料します。

4北朝鮮ミサイル被弾、台湾有事、南海トラフ⼤地震などの危惧されている⾮常時を狙っ 本ガイダンスは、被害組織におけるサイバーて、⼈的、設備的な脆弱性を衝いて、国家的関与のサイバー攻撃を受ける可能性は否定 攻撃被害に係る情報の共有・公表のポイント
9法⼈1

10 法⼈1

はじめに―本 できない。平時のみを前提としたコンセプトに対して、⾮常時を前提としたコンセプト の整理を⽬的に策定するものとなります。ごガイダンスの も並⾏して議論しておくべきではないかと考える。
指摘のような特定の状況下での情報共有につコンセプト
いては、今後の検討の参考に致します。

経済協⼒開発機構（ＯＥＣＤ）は、コンピューターシステムへのサイバー攻撃が、ほか 本ガイダンスは、被害組織におけるサイバー
はじめに―な の災害や惨事と同時に⾏われた場合、「最悪の事態」を引き起こす可能性があるとの報 攻撃被害に係る情報の共有・公表のポイント
ぜ「情報共有 告書を発表している。⾮常時においては、「最悪の事態」を防ぐために、若⼲の業務効 の整理を⽬的に策定するものとなります。ごをするべき」 率は低下するとしても、関係組織において、ネットワークの制限を極度に強化するため 指摘のような特定の状況下での情報共有につなのか／公表 の情報としての社会的意義もあろうの社会的意義いては、今後の検討の参考に致します。

平時においては、「インディケータ情報としての情報が集まった段階」で情報共有する 本ガイダンスは、被害組織におけるサイバー
ことは合理的であろう。しかし、⾮常時（武⼒攻撃事態、緊急対処⾃体、⼤規模災害
Q8.いつ情報11 法⼈1

攻撃被害に係る情報の共有・公表のポイント時）をねらって、国家的関与するサイバー攻撃が⽇本のインフラ等に向けて⾏われるこ の整理を⽬的に策定するものとなります。ごを共有すれば とが危惧される。そのような攻撃があれば、標的になった企業の数千台のサーバーと数 指摘のような特定の状況下での情報共有につ万台のＰCとが、わずか7分間で全⾯停⽌すると⾔われている。そのため、⾮常時におけ いては、今後の検討の参考に致します。
いいのです
か？

る情報共有については、サイバー攻撃の技術情報整理を待たず、迅速性を最優先に、別途ルールを設定すべきであろう。⾮常時の認識としては、全国瞬時警報システム（J-アラート）の活⽤も考えられる。

5

Q32.どのよう コンテクスト情報を秘匿し、技術情報のみを共有するにしても、国家主体を背景とする 本ガイダンスは、被害組織におけるサイバーな攻撃技術情 サイバー攻撃が複数の脆弱性を同時に狙ってきた場合、⽂書の起案を待つ余裕はない。 攻撃被害に係る情報の共有・公表のポイント
報であれば速 瞬時にすべてのセキュリティ機器のポリシー変更や保護設定変更を⾏うような対処に必 の整理を⽬的に策定するものとなります。ご12 法⼈1

やかに共有す 要な情報共有としては、短時間で判断し、⾏動を起こせるような、「コードE」とか指摘のような特定の状況下での情報共有につることができ 「コードZ」などの重⼤度や特徴をあらわす記号での情報発信もご検討いただきたい。

いては、今後の検討の参考に致します。

ますか？（公開情報と⾮公開情報の違い
について）（※調査ベン
ダ向け解説）
その他、本ガ

13 個⼈5

イダンス全体について

14 個⼈6

脆弱性情報公表の際、ゼロデイ攻撃がすでに確認されている場合には、最初に攻撃が観 本ガイダンスは、専⾨機関による脆弱性情報の公表について述べるものではありません

測された⽇付をいっしょに公表してほしいです。

公表してもらえるとログ確認の際に⽇付で絞り込めるので⼿間が少なくなって助かりま が、ご意⾒として承ります。
す。
⽇本のサイバーセキュリティを担う皆様の苦労を軽減する意味でも、共有や公表は進め 今後の検討の参考に致します。

てただきたいところです。しかし、いかんせん、何らかのコストもかかるものは、⼆のその他、本ガ 次、三の次になりがちです。うやむやにするのが⼀番ということになりがちです。諸外イダンス全体 国のように、攻撃を受けた側に、厳しい対応を求めるようにしないと、なかなか情報共について有が進まないのではと思ったりします。（重荷にはなりますが、それでセキュアになる
なら、厳しくする価値はあると思いますし、組織の判断としても、セキュリティにお⾦

チェックシー
15 法⼈2ト／フロー
シートを使うほうが得であると思うようになるでしょう。）
150⾴ 情報共有判断のためのフロー「広く発⽣していないと思われる」に修正致「（類似の被害リリースなどから）広く観測されている攻撃かどうかを判断」の部分に します。
ついて、その時点で広く観測されているとわかる状況であれば、すでに情報は出回っているのではないか？その前段階の情報共有が重要だと考える。

6

151⾴

ご指摘のとおり修正致します。

下記の⽅がより適切な表現でないか確認されたい。
チェックシー
16 法⼈2ト／フロー
シート

変更前：「⾃組織以外で被害が発⽣しているか、または発⽣する蓋然性が⾼いか」
変更後：「⾃組織以外への被害の波及を確認しているか、または波及する蓋然性が⾼いか」（主旨）「発⽣」だと⼀般公開情報（例えばマスメディアによる公開情報等）と混同し、⾃組織インシデントに起因しているもののみを指し⽰しているのか理解しづらいと
感じた。
91⾴

専⾨機関により、認証情報等が漏えいした組

被害情報は、専⾨組織ないしは専⾨機関の仲介による連絡を推奨とされているが、そも 織へ個別通知を⾏うことは⽇頃から⾏われてそもこれらの組織は漏洩が疑われる組織へ個別に連絡を取るような事は⾏われるもの

おり、例えば、（⼀社）JPCERT/CCのサイト

か。

で紹介されている下記通知事例があります。

難しい場合の代替⼿段として、例えば⼊⼿した侵害・漏洩情報のデータ・リストを協議 https://blogs.jpcert.or.jp/ja/2022/07/sslvpn.html

会内で共有することは検討されているか。
Q22.他組織のご指摘の専⾨組織／専⾨機関による個別通知

被害に関する
17 法⼈2が難しい場合における協議会内での共有です

情報を発⾒しが、協議会構成員を通じて漏えいが疑われる

た場合、どう組織に通知が⾏えるのであれば共有することしたらよいでも選択肢としてありうると考えますが、そのすか？

場合は通知を仲介可能な構成員に限定した
データ／リストの共有が現実的であり、協議会における守秘義務があるとはいえ、基本的に無関係な第三者へのデータ／リスト共有は
必要最⼩限であることが望ましいと考えます。

7

Q24.他の被害 96⾴

18 法⼈2

ご指摘のとおり、注意喚起⽬的だけでなく、組織を踏み台 セキュリティベンダやクラウド業者・保守業者が侵害され感染の流通経路となっている 同業他社を含めた「顛末の共有」⽬的としてとして攻撃さ ケース。全ての利⽤者に適切な情報が⾏き届くよう、複数の経路を使った速報が求めら ⾏われ、広く同業他社のインシデント対応知れた場合、当 れるのは当然ながら、事案が落ち着いた後には広く顛末を共有し、国全体のセキュリ
⾒が向上することが望ましいと考えますの
該情報はどの ティ向上につなげるべき。ベンダや業者は、これらの可能性も想定したシミュレーショ で、その旨、修正いたします。
ように扱えば ンの重要性をあらためて周知するとよいと考える。

19 法⼈2

いいですか？
ケーススタ
124⾴
ディ

ご指摘のとおり修正致します。

説明⽂と挿絵に項番があると、より分かりやすいと感じた。(124⾴以外も同様)
国の安全保障に関わる事案の情報は、須らく政府機関に報告するように求めた⽅がよい 本ガイダンスでは、所管官庁への任意の報告

20 個⼈7

Q20.所管省庁 のではないでしょうか。

を推奨しているところですので（Q20）、ガイへの任意の報ダンスの普及に積極的に取り組んでいきま

告は、⾏った

す。

⽅が良いで
しょうか？
本⽂書の位置づけですが、今後各社が任意で参考とするものという点を確認したいと思 本ガイダンスは、ご指摘のとおり、あくまで21 法⼈3います。
はじめに―本 また、⽂書のタイトルも「情報の共有・公表ガイダンス」はよりも内容にそった形でガイダンスの 「情報の共有・公表時の考慮ポイント」というタイトルがより正確ではないでしょう
スコープ

か。

8

も各社が任意で参考とするものですので、タイトルにつきましては、原案のとおりとさせて頂きます。

公表の要否については、法令に従う部分もあると記載されていますが、そういった法令 フローチャートに、個⼈情報保護法を明記すの確認がフローチャート等では⾒えにくくなっている様に思われます。

るとともに、Q20への誘導を付加致します。

⽇本の個⼈情報保護法では、被害者に連絡出来ない場合は公表が必要になる等、法的に公表が必要な場合については、フローチャートでも分かり易く記述したほうが良いのでチェックシー
22 法⼈3ト／フロー
シート

はないでしょうか。
また、Q25で記載されていますが、公表することで、被害が拡⼤することも多々ありま フローチャートの中に「被害公表した場合、す。例えば、不正アクセスを公表することで弊社を装う不審メールが頻発する可能性が 当該公表内容を悪⽤した不審メール等の別のあります。そのような点もフローチャートでも分かり易く記述したほうが良いのではな 攻撃が発⽣するおそれがないかどうか確認・
事前の対応準備」と記載しております。合わいでしょうか。

せて、Q25への誘導を付加致します。

その他、本ガ23 法⼈3

イダンス全体について

現状は情報を出す側には負担が⼤きい状況です。サイバー攻撃を受けた事実を公開する 今後の検討の参考に致します。
と、当該会社へのマイナスイメージがつきまといます。この点を払拭しない限り、情報共有に躊躇する会社が⼤多数と思います。本取組みと並⾏して、サイバー攻撃事案の被害公表を社会的に受容する環境の醸成（取組み/啓発）をお願いしたいと思います。

9受け⼿側にとっては、匿名化され、もしかすると間違っているかもしれない情報が届い ご指摘のとおり、特に脆弱性対応や、現在発たときに、どこまで情報を信じて活⽤できるか？など、判断が難しい点が残ります。

⽣中の攻撃への対応に関する情報において間違った情報でシステム遮断してしまった際に周りからの批判を受けにくいようにすは、技術的に誤った情報が伝わることによる、あるいは、受け側も安⼼して対処できるために、情報の信頼をどのように担保する り、本来不要なシステム停⽌／ネットワーク
遮断が発⽣することで企業の顧客／取引先等のかについても説明が必要ではないでしょうか。

に多⼤な影響が及ぶ可能性が懸念されます。
24 法⼈3

その他、本ガそのため、広く社会全体に対する注意喚起⽬

イダンス全体的の情報発信については、Q14、Q31で記載のについてとおり、専⾨機関を通じた情報発信が望ましい旨を⽰しています。専⾨機関⾃⾝が情報を誤って発信してしまうおそれもありますが、これを防ぐためにも、Q9後段でお⽰ししたとおり、サイバーセキュリティ協議会のような専⾨機関、専⾨組織同⼠の共有／連携の場が必要であると考えています
情報共有活動におけるフィードバック情報については、本ガイダンスの中で多く⾔及さ ご指摘のとおり、共有時に対応の優先度を検れており、情報を出す側には、受け側から何等かのフィードバックをいただけることが 討しやすい⽬安となる情報／レベル分けが⽰されることは有効と考えます。

モチベーションになります。

25 法⼈3

そのための仕掛けとして、共有情報の「深刻度」があれば良いのではと考えます。深刻 ⽰し⽅は個別の情報共有活動毎のルールや、
その他、本ガ 度がわからないと、受け側として「優先度」が分からず、詳細な調査を後回しにする、 情報の発信元の専⾨組織によって、また攻撃
イダンス全体 あるいは実施しない、となります。結果として、フィードバックにまで⾄らないことが 類型毎にケースバイケースでありますが、どについてのような⽰し⽅がありうるか例⽰するよう修想定されます。
フィードバック情報の内容については（ケースの⼀部に記述されていますが）詳しく⾔ 正させていただきます（Q10に「フィードバッ
及されてないように⾒受けられます。どのようなフィードバックがあり得るのかについ ク」を得やすい情報共有について」を追記）。

ての説明があると良いのではないでしょうか。

10

技術情報の共有の仕⽅についても具体化が必要です。信頼できるコミュニティでの共有 本ガイダンスの主眼は、被害組織におけるサ
その他、本ガ26 法⼈3

イダンス全体については既にできています。これを⼀歩進めるためには⽶DHS/CISAのように、政府機関が情 イバー攻撃被害に係る情報の共有・公表のポ報を受け取り、裏取り・匿名化を⾏った上で情報開⽰するような仕組みも必要ではない イントの整理にあります。政府からの情報発信のあり⽅については、今後検討が進められか。

ると思われます。
本ガイダンスの対象には中⼩企業・⼩規模企業が含まれると想定しています。

情報の共有・公表を促進するにあたり重要な本ガイダンスの主な想定読者は被害を受けた組織の担当部⾨（セキュリティ担当部⾨、 ご指摘ですので、情報処理推進機構（IPA）や法務・リスク管理部⾨等）と述べられています。⼀⽅で、IPAの調査によれば、セキュ

サプライチェーン・サイバーセキュリティ・

リティの専⾨部署を置いたり兼務で担当者が任命されている中⼩企業は39.2%であり、 コンソーシアム（SC3）等とも連携しながら検討を進めていきます。

担当部⾨がない企業が6割を超えています。
その他、本ガ27 法⼈3

イダンス全体について

本ガイダンスには、企業規模にかかわらず参考にすべき点が多数盛り込まれていると思いますが、多くの中⼩企業にとっては145ページのガイダンスを読むだけでも⼆の⾜を踏んでしまうのではと想像されます。
本ガイダンスのうち、上記担当部⾨がなくても実施可能なことに絞り込んだポイントを、例えば、現在、IPAが研究会を実施して改定準備中の中⼩企業セキュリティガイド
ラインに盛り込むなど、せっかくのガイダンスを中⼩・⼩規模企業も活⽤できる⽅策をご検討いただけるようお願いしたい。

11

企業の情報システムの構築、運⽤では、⾃社だけでなく委託先を活⽤するケースが多く Q24「他の被害組織を踏み台として攻撃されたあります。インシデント発⽣時に情報共有や公表を⾏う際に、委託元と委託先の望まし 場合や利⽤するクラウドサービス、運⽤保守
い役割分担や連携⽅法について、ガイダンスを⽰していただけると、多くの企業でも参 ベンダが管理／提供するシステムが攻撃された場合、当該情報はどのように扱えばいいで考になるのではないでしょうか。
28 法⼈3

その他、本ガすか？」において、「両者の利害が衝突する

イダンス全体可能性や、未知の脆弱性悪⽤の可能性などもについてあるため、第三者としての専⾨機関への相談が推奨されます。」と記載したところです。
ご指摘の役割分担、連携⽅法につきまして
は、今後の検討課題とさせて頂きます。

12

・３⾴の表に表側頭（たとえば「⽤語」）と表題（たとえば「⽤語意味」）を記載した 字句の修正につきましては、ご指摘のとおりほうがよい。

修正致します。

・３⾴の「マルウェア検体」の解説の記載内容は、解説になっていない。

SIerにつきましては、⽤語として定着しており・３⾴の「インディケータ情報」の解説の⽂末「のこと」は削除したほうがよい。他の ますので、原案のとおりとさせて頂きます。
箇所の例と同様に。
・４⾴の「情報提供」の解説の⽂末「。」は削除したほうがよい。
・５⾴の「窓⼝組織」の解説の⽂頭「上記」はどこの記載を指しているのか？
・５⾴の「窓⼝組織」の解説の２⾏⽬の「組織。」は「組織」のほうがよい。

29 個⼈8

その他、本ガ ・５⾴の「届出窓⼝」の解説の⽂末「。」は削除したほうがよい。
イダンス全体 ・５⾴の「ベンダ」の解説の「SIer」とは何か？
について

・９⾴の１１⾏⽬「という」と、６８ページの７⾏⽬「と⾔う」とは、どちらかに字句を統⼀したほうがよい。
・９⾴の２１⾏⽬「とおり」と、７３ページの３⾏⽬「通り」とは、どちらかに字句を統⼀したほうがよい。
・１７⾴の最下⾏から上に１⾏⽬「分かる」と、５５⾴の最下⾏から上に２⾏⽬「わかりません」とは、どちらかに字句を統⼀したほうがよい。
・５７⾴の回答の５⾏⽬の⽂頭は⼀字下げたほうがよい。
・６５⾴の１２⾏⽬「ひとつ」は「１つ」のほうがよい。９ページの例と同様に。
・８９⾴の１５⾏⽬、１９⾏⽬の⽂頭は全⾓分字下げしたほうがよい。半⾓分ではなくて13

取り組み⾃体や、取り組みの⽅向性は賛同します。⼀⽅で、投げっぱなしにならないよ 賛成のご意⾒として承ります。
うに、以下の点に留意して進めてほしいです。
・利⽤者からのフィードバックをもとに、わかりやすく実⽤的な内容へとブラッシュ
アップを継続する。
その他、本ガ ・具体的な活⽤事例をもとにして、役に⽴った点や、判断に困った点、逆効果だった点
30 個⼈9

イダンス全体 などを継続的に評価する。(PDCA)
について

・公表によっておこることへの対処も含めた、もう少し広い範囲での説明になるとなお良いです。
・利⽤者側、公表を⾒る側への啓もうも⾏ってほしいです。
・また、拡散者への啓もうも重要です。切り取り報道の抑制のほか、情報源となる組織の公表サイトなどへの誘導などについて、きちんと協⼒的に振舞うことが重要です。

はじめに―情 サイバー攻撃被害に係る情報の共有・公表ガイダンスによって情報を共有が促進される 賛成のご意⾒として承ります。
31 法⼈4報共有とは何 ことを歓迎します。このガイダンスにおいて厳密には「公表」ではない匿名情報が、か／公表とは Disinformationであった場合の検知・訂正等の仕組み作りが今後必要だと考えます。
何か
サイバー攻撃被害に係る情報の共有・公表ガイダンスによって情報を共有が促進される 今後の検討の参考に致します。
ことを歓迎します。実名で⾏う公表においてガイダンスでは、攻撃技術情報の専⾨機関

32 法⼈4

情報共有・被 へ情報開⽰と、所管官庁への報告は別個に⾏うとなっています。事案の経験では、攻撃
害公表の流れ 技術情報と所管官庁への報告は⼀本化が望ましいと考えます。現場にて事案対処に追われている状況を考えると、例えば監督省庁へ届けの⼀本化が届け出の促進に繋がると考えます。
その他、本ガ33 法⼈5

イダンス全体について

図表については、関係性の図、プロセスの図、⼿順・作業の図等の整理がなされていな 図表は、本⽂の理解の⼿助けという位置づけ
いように⾒えており、被害組織の⽴場に⽴った時、それぞれを業務に⽣かすことが難し でもありますので、本⽂と合わせて参照してい。⾃⾝の⽴ち位置、作業⼿順、望まれる成果等、もう少し整理して図表に反映して頂 頂ければと思います。
きたい。

14

【本ガイダンスはサイバー攻撃の被害に係る情報のうち、どのような情報を、どのタイ ご指摘のとおり、単独の組織だけでは攻撃のミングで、どのような主体と共有すれば、被害組織⾃⾝がサイバー攻撃の全容を解明
はじめに―情34 法⼈5

報共有とは何か／公表とは何か解明が困難であることから、本ガイダンスにし、被害組織⾃⾝の対策強化や他組織への攻撃被害の未然防⽌、被害拡⼤防⽌に効果を おいて情報共有の重要性を⽰しているところ発揮することができるのか、実務上の参考とすべきものを具体的に⽰すことを⽬的とし です。
て検討を⾏ったものです。】について
被害組織⾃⾝がサイバー攻撃の全容を解明することは難しく、⾃組織が狙われる⼜は攻撃を受けてなんらかの被害が発⽣した状況についてのみ解明を試みることができるのではないか。
【前者は被害者個別の⽬的であり、⾼度な攻撃⼿法に対して不⾜する情報を補うことを ご指摘のとおり、関係者を限定し、⾮公開で⽬的としています。後者は情報共有活動全体としての⽬的であり、①の⽬的で提供され ⾏う情報共有活動のメリット等をガイダンス

はじめに―情35 法⼈5

報共有とは何か／公表とは何かた情報が別の参加組織の②のための情報となることで、情報共有活動を通じた相互の利 中でも解説しています。
益につながっていると⾔えます。】について情報共有した相⼿が信頼に⾜りるか、攻撃者に情報が渡った場合にどのようなリスクがあるのかについての検討が少ないのではないか。どこまで攻撃されているかという被害組織の認知の範囲を公表してしまうことで、攻撃者はどこまで成功しているのか予測・計測できるのではないか。

15

【被害企業への過度な批判ではなく、攻撃の脅威や対策の必要性に対する社会的な問題 攻撃の脅威や対策の必要性に対する社会的な問題意識の共有が進むために、被害の公表に意識の共有が進むことを⽬指します】について際して参考となる⽂書として、本ガイダンス
積極的な公表を推奨するのであれば、上記箇所について具体的な取り組みの内容が⽰さ を策定したところです。本ガイダンスの積極れるべきではないか。また、各企業に公表を求めるだけでなく、公的機関が収集した活⽤を期待します。

「被害内容を⽰す情報」を匿名化し広くタイムリーに開⽰する仕組みを本ガイドライン 「タイムリーに開⽰する」という観点では、
はじめに―情36 法⼈5の中で明⽰すれば、「公表」による社会的意義をより果たせるのではないか。

基本的には被害予防／被害拡⼤防⽌を⽬的とした、専⾨機関からの注意喚起情報の発信が報共有とは何

想定されます。

か／公表とは

なお、IPAでは、被害の状況 把握や対策検討を何か⽬的とし、⼀般利⽤者の⽅や企業・組織の⽅から、広くコンピュータウイ ルス・不正アクセスに関する届出を受け付けており、この事例を紹介することで、同様被害の早期発⾒や未然防⽌といったセキュリティ上の取組の促進につなげています。

16

【サイバー攻撃被害に係る情報の公表 により社会全体に対して情報が提供されること

16⾴において触れたとおりです。

で、積極的に被害公表を⾏った組織に対して、より適切な評価がなされるようになると 被害公表を⾏った組織と、情報の受け⼿側（ステークホルダーだけでなく、メディアな考えます。】について
はじめに―なぜ「情報共有37 法⼈5

どを含めた社会全体）との間に情報の⾮対称とても重要な視点だと考えています。この根拠を詳しく明⽰して頂きたい。

性があることにより、被害組織のインシデン
ト対応の内容に適切な評価がなされていないをするべき」と考えます。「鶏が先か、卵が先か」というなのか／公表ジレンマではありますが、まずは積極的な被の社会的意義

害公表による情報発信により、両者間の情報の⾮対称性が解消されていくことを⽬指し、本ガイダンスでは情報の共有だけでなく、被害公表時のポイントも⽰した次第です。
【これら取組の推進に当たっては、被害を潜在化させないことが何より重要であり、被 ⼀般的に、企業における機密情報の管理に係害組織からの警察への通報・相談及び捜査協⼒は社会的に極めて重要な意義を持つもの る規程は、知的財産、情報セキュリティ、法であるといえます。なお、仮に被害組織の内規等において、被害に係る情報の取扱いが 務等の多様な観点から適切な⾏動がとられる
厳格に定められていたとしても、警察への通報・相談及び捜査協⼒については、その社 よう整備されているべきものと承知しておりはじめに―本 会的意義に鑑み、積極的に⾏われることが望ましく、これにより、更なる被害の防⽌を ますが、外部への報告の適否はその必要性等
38 法⼈5

ガイダンスの 期待できます。】についてに照らして個別に判断されるものと考えま

スコープ

す。
企業としては、内規等を無視した社内の機密情報の漏洩は、内部統制上の重⼤なインシ 本記載については、あくまで被害組織からのデントとなるため、上記記載を残すのであれば、今後、新たに法規制を制定すること、 警察への通報・相談及び捜査協⼒に係る社会または監査法⼈の監査項⽬として当該漏洩が問題の無いことを事前に確認頂いてから、 的意義等をお⽰しするものであることから、ガイダンスとして発表して頂く必要があると考えます。

17

原案のとおりとさせていただきます。

【本ガイダンスは、主にサイバー攻撃を受けた被害組織を想定読者としています。サイ ご指摘頂いたような点を含め、被害組織に寄バー攻撃を受けた場合、どのような情報をどのタイミングで、どのような主体と情報共 り添った内容にするべく、公表を⾏おうとし有することが適当なのか検討するために実務上参考となるポイントを解説しています。 ているが判断ポイントや留意点が不明な状況
はじめに―本
39 法⼈5

ガイダンスを読むにあたって被害を認知した後に参考としていただくだけではなく、平時からのインシデント対応体 において参考となるように、＜被害の公表や制の整備や訓練にあたって参考としてお使いいただくことも想定しています。】につい 法令等に基づく報告・届出について＞（Q14〜）、＜被害組織の保護の観点について＞て(Q21〜)などの解説を⽰しているところです。
実務上参考となるポイントとありますが、被害を受けた組織が対応すべき⼿順、社内外の関係性の整理の仕⽅、情報共有や公表の考え⽅などについて、被害組織に寄り添った内容となっているのか、やや不明なところがあります。記述としては、情報を公表させたい意図が強く出ている印象を受けました。

Q21.公表していないのに⾃組織の被害が40 法⼈5

知られて公開されてしまうのはなぜです【⼀般的な不正アクセス事案の場合、基本的には被害組織⾃⾝からの公表まで、外部に ご指摘のような、攻撃発⽣とほぼ同時に攻撃被害が広く知られてしまう／その可能性があ

被害事実が知られることはありません】についてる場合も含め、インシデントの被害の公表の
これは内部ネットワークを想定した⼀⾯的な⾒⽅ではないか。たとえば公開ウェブサイ タイミングにつきましては、Q14に記載がござ
トが改竄された場合、SNS公式アカウントが乗っ取られた場合なども考えていただきた います。
い。

か？

チェックシー41 法⼈5ト／フロー
シート

ポイントにつきましては、QAの本⽂で解説し【150⾴、151⾴】

フローの説明については、ユーザ企業の実務からの⽬線では、判断すべき順番が異なっ ております。
ている可能性があります。被害組織が観測できる範囲、被害であることを認識できる情報源など、もう少しポイントを整理して頂きたい。

18

平時からのインシデント対応体制の整備の⼀環として、SBOMの準備が注⽬を集めてい SBOMの活⽤については、政府内で別途検討ます。SBOMとは、製品に含むソフトウェアを構成するコンポーネントや互いの依存関 が進められております。
係、ライセンスデータなどをリスト化した⼀覧表です。OSSのライセンス管理や脆弱性
42 法⼈6

情報共有・被 の管理、ソフトウェアサプライチェーンのリスク管理等の⽤途で利⽤されており、「情害公表の流れ 報共有判断のためのフロー」に沿った判断をする際、有⽤な⼿がかりになると考えられます。しかしながら、作成作業が煩雑であることから準備が⾒送られがちです。ぜひ、平時からのインシデント対応体制の整備の⼀環として、⽇頃からSBOMを作成・更新することを推奨することをご検討いただけますと幸いです。

19

ご指摘のとおり修正致します。

3⾴
インディケータ情報報／IoC(Indicator of Compromise：侵害指標)
IPアドレスと並んで重要なポート番号・プロトコルについての記述が無いが、IPアドレ
スよりも重要性が⾼い事もあるものであり、また関与者について調査を⾏う場合に必須的である場合も多いので（NAT利⽤の場合などそうであるが、近年のISP・VNEを利⽤したインターネットとの通信の際に⽤いられる接続⽅法であるIPoEは基本として複数の利⽤者でNATを⽤いる使⽤が基本的であるので、常時必須的である。）、ちゃんとポー
ト番号やプロトコルについての記述を⾏うようにされたい。
国の書類は、総務省も含めて、セキュリティ関係の書類でポート番号についての記述が無い書類が多いように思われるのであるが、意図的に問題ある振る舞いをしているよう
43 個⼈10 ⽤語集にしか国⺠には⾒えない。ちゃんとポート番号については記載を⾏うようにされたい（そもそも、昔から、実務者の間ではIP・ポート番号がセットで基本的な情報として扱われていたはずであるが、それが⽂系である⾏政組織の官僚達が⾔及するようになってからポート番号についての記載が取れてしまった事が多いように思われる。ポート番号についての記述を省く様な懈怠を発⽣させないようにされたい。）。
6⾴
情報共有「後者の場合は匿名で⾏われることが専らです」とあるが、これはものによって異なると思われるので、そこまで⾔わなくてよいと考える。
匿名で⾏われる事が多い、くらいでよいのではないか。

20

問題事態についての公表を⾏う事については、ちゃんと国⺠・市⺠⾃⾝が公表を⾏う事 本ガイダンスは、あくまでも、公表をするにについて、権利がある事について明⾔されたい。（攻撃者側は通信・情報処理について 際して、考慮要素をお⽰しして、現場での参の窃視等も⾏えたりする場合が多く組織的である場合も多いので、政府やメーカーが対 考にして頂く⽂書という位置づけです。
応を⾏うまで公表を強制的に控えさせるなどという事は不適切となると考える。むし
その他、本ガ ろ、セキュリティホールなどについての存在を公に⽰して各種事業者等の速やかな対応
44 個⼈10 イダンス全体 を求めるのが適切と考える（ログの強制的な取得がちゃんと⾏われているのであれば、についてカジュアル犯に対しての対応はそれだけでかなり出来ているはずであるので、それで良いのではないかと考える。）。）

サイバー攻撃被害に係る情報の共有・公表ガイダンスにおける司令塔機能たる、サイ本ガイダンスでは、サイバー攻撃被害に係るバーセキュリティ⼈材の育成について意⾒を述べたい。

情報の共有・公表を対象としており、⼈材育

デジタルスキル標準において、⼈材類型としてサイバーセキュリティが公表されたとこ 成についてまでは対象としておりませんのろである。これを認定する国家資格が情報処理安全確保⽀援⼠試験であるなら、デジタ で、何卒ご了承下さい。
ル技術を活⽤して競争⼒を向上させる企業等に所属する⼈材にも合格者数、登録者数を増やしていく必要があるのではないかと感じている。
国家試験である情報セキュリティマネジメント・略称SG試験の紹介ページには『さらにその他、本ガ
45 個⼈11 イダンス全体
について

ステップアップしたい⽅の試験はこちら！』とリンク先は、情報処理安全確保⽀援⼠試験の紹介ページとなっている。SG試験からの順当なステップアップを明⽰していながら情報処理安全確保⽀援⼠試験の午前1試験は、応⽤情報技術者の午前試験からの抜粋30問となっており、実質的に応⽤情報技術者試験の全範囲の学習を求むることと同義であり、SG試験からのステップアップには過⼤な負担となっているため、受験しやすさの向上に資するとは⾔い難い実状である。
情報処理安全確保⽀援⼠試験は情報処理技術者試験とは別格なので、IPAの試験体系図が⽰すところの⾼度試験区分から切り分け、レベル対応もITパスポート試験同様に無くして、ITを利活⽤する者と情報処理技術者の間に位置付けて、午前1試験についてもSG試験からスムーズにステップアップができるよう出題をSG試験の特別措置試験問題からの抜粋30問の出題としてはどうか。

21

登録セキスぺを「セキュリティ専⾨⼈材」に位置付けて、デジタルスキル標準のユー

本ガイダンスでは、サイバー攻撃被害に係るザー企業および多数を占める中⼩企業の側に属している「プラス・セキュリティ⼈材」 情報の共有・公表を対象としており、⼈材育を「セキュリティマネジメント・セキュリティリーダー」に位置付け、登録セキスペと 成についてまでは対象としておりませんのは切り分けた上で情報セキュリティマネジメント試験のキャッチコピーを“デジタル時
代のプラス・セキュリティリーダー”として、QCサークル活動のリーダー的な⽴ち位置の名称独占による「国家資格」へ格上げしてはどうか。

その他、本ガ
46 個⼈11 イダンス全体
について

内閣官房 内閣サイバーセキュリティセンター（NISC）で⽰されている「プラス・セ
キュリティ⼈材」が修得する知識や学習の補充講座プログラム カリキュラム例について、令和５年度から年間を通じての試験実施となる「情報セキュリティマネジメント試
験」の合格者をNISCが「プラス・セキュリティ⼈材」として位置付けを明確に⽰したり、「情報セキュリティマネジメント試験のシラバス」を「プラス・セキュリティ知識」および、修得する学習の補充講座プログラム カリキュラムとして参照してはどうか。
応募者の平均年齢、男⼥⽐なども鑑みるならば、同試験の広報活動においてインフルエ
ンサー並みの著名⼈、イチ推しは⼥⼦プロレス界きってのデジタルスキル(在宅ワーク
でCAD設計をやっていた)を有しているSTARDOM所属の「ウナギ・サヤカ」選⼿を起⽤してはどうか。

22

で、何卒ご了承下さい。