資料4－２

サイバー安全保障分野での対応能⼒の向上に向けた有識者会議
官⺠連携に関するテーマ別会合 第１回（事務局資料）
令和６年７⽉３⽇
内閣官房
サイバー安全保障体制整備準備室

国家安全保障戦略（令和４年12⽉16⽇ 国家安全保障会議決定・閣議決定）【抜粋】

武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる
重大なサイバー攻撃のおそれがある場合、これを未然に排除し、また、このようなサイバー攻撃が発生した場合の被害の拡大を防止するために能動的サイバー防御を導入する。そのために、サイバー安全保障分野における情報収集・分析能力を強化するとともに、能動的サイバー防御の実施のための体制を整備することとし、以下の(ア)から(ウ)までを含む必要な措置の実現に向け検討を進める。
(ｱ) 重要インフラ分野を含め、民間事業者等がサイバー攻撃を受けた場合等の政府への情報共有や、政府から民間事業者等への対処調整、支援等の取組を強化するなどの取組を進める。
(ｲ) 国内の通信事業者が役務提供する通信に係る情報を活用し、攻撃者による悪用が疑われるサーバ等を検知するために、所要の取組を進める。
(ｳ) 国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃について、可能な限り未然に攻撃者のサーバ等への侵入・無害化ができるよう、政府に対し必要な権限が付与されるようにする。

1

第１回会合における主なご発⾔（官⺠連携関連）(ア) 重要インフラ分野を含め、⺠間事業者等がサイバー攻撃を受けた場合等の政府への情報共有や、政府から⺠間事業者等への対処調整、⽀援等の取組を強化するなどの取組を進める。
 社会はサプライチェーンで価値を創出。中⼩企業の強靱性を⾼めないと、社会全体の強靱性は⾼まらない。
 サイバー攻撃による被害は⽇々発⽣し、影響も⼤きい。⾃然災害と同様、個社レベルでの対応には限界。
 そもそもの問題として、各組織におけるサイバーセキュリティ⽔準を強固にすることが必要。

 被害組織による情報提供を促すためには、情報提供にメリットを感じられる仕組みが必要。
 重要インフラのサービス提供維持が重要であり、政府は、サービス維持のバックアップなども含め⽀援すべき。
 重要インフラの中でも、電⼒やデジタルインフラが侵害された場合の影響は⼤きく、優先順位を⾼める必要。
 経済安保など、新たに事業者の対応が求められる局⾯が増加。政府側の組織をなるべく⼀元化して欲しい。
 国家間連携が不可⽋であり、そのためにもセキュリティクリアランス制度を有効に活⽤すべき。

2

第１回会合における主なご発⾔（⼈材育成など）
 ⼈材育成は、NPOを含めて⾊々なところで様々な取組が⾏われているが、バラバラに⾏われているため、中央で⼀本化して⾒ていってほしい。
 ⼈材育成の取組は、効果検証もしていく必要があるのではないか。
 ⼤学にもサイバーセキュリティ分野の研究を⾏う優秀な学⽣がいるが、この分野のニーズやキャリアの将来像、社会に求められる重要な⼈材であることが、⼗分に伝わっておらず、企業の経営層にも⼈材の重要性が⼗分に理解されていないと考えられ、必ずしもキャリアパスとして選ばれていない。
 サイバーセキュリティ⼈材の待遇の改善、⻑期的なキャリアパスの提⽰、⼈材の重要性の周知、企業等の組織への当該分野⼈材採⽤のための⽀援策が必要ではないか。

3

概要
1. サイバー攻撃が発⽣した場合の対応 〜これまでの取組と、海外における更なる取組〜
 【取組①】⾼度な攻撃に対する⽀援・情報提供
・ 情報提供を政府の役割として明確化
・ 脅威ハンティング⽀援、経営層の意思決定に有⽤な情報の提供
 【取組②】ソフトウェア等の脆弱性対応
・ 安全な製品開発に関する、製品ベンダの責務の明確化
・ 脆弱性の早期対応に必要な、踏み込んだリスク情報の提供
 【取組③】政府の情報提供・対処⽀援を⽀える制度
・ 政府のサイバー対応組織の⼀元化、インシデント報告の義務化
2. 平時からの対策強化に向けた体制・枠組み
 サイバーセキュリティ戦略本部・NISC・関係省庁が連携した施策の推進 重要インフラ事業者等の対策強化（分野横断的な対策の基準明⽰）
 政府機関等のシステムを防護する取組（常時評価・脆弱性の随時是正）
3. ⼈材の育成・確保と中⼩企業の対策強化
 サイバーセキュリティ⼈材の育成・確保に係る取組（⼈材像やスキルに関する共通枠組み） 中⼩企業における対策強化（ガイドラインの提⽰や対策導⼊⽀援）

4

全体イメージ※有識者会議（第1回）事務局資料（再掲）「国⺠⽣活の基盤をなす経済活動」や「社会の安定性」をサイバー攻撃から守るため、能動的なサイバー防御を実施する体制を整備する。
守る対象（例）

全てのステイクホルダーがメリットを実感できる
サイバー攻撃対応のエコシステムを官⺠を横断して構築

攻撃者Internet

通信情報の活⽤
攻撃サーバ等を検知する
ため、明確な法的根拠を設けた上で、通信情報を活⽤

通信事業者

官⺠連携の強化
官⺠の情報共有により、事案の未然防⽌、対処⽀援強化を図る

アクセス・無害化措置確認された攻撃サーバ等に対し、 必要に応じ無害化

政府5

１．サイバー攻撃が発⽣した場合の対応 〜主要国の取組〜※有識者会議（第1回）事務局資料を改変守る対象（例）

全てのステイクホルダーがメリットを実感できる
サイバー攻撃対応のエコシステムを官⺠を横断して構築

重要インフラ事業者等

ソフトウェアベンダ等

攻撃者Internet【取組③】インシデント
報告の義務化

【取組②】ソフトウェア等の脆弱性への早期対処

通信情報の活⽤
攻撃サーバ等を検知する
ため、明確な法的根拠を設けた上で、通信情報を活⽤サイバー対応組織

通信事業者

官⺠連携の強化
官⺠の情報共有により、事案の未然防⽌、対処⽀援強化を図る【取組①】⾼度な攻撃に対する⽀援・情報提供

アクセス・無害化措置【取組③】政府のサイバー対応組織の⼀元化確認された攻撃サーバ

連携
重要インフラ所管省庁

政

重要インフラ所管省庁

・・・等に対し、 必要に応
じ無害化

府
6

【取組①】⾼度な攻撃に対する⽀援・情報提供
 各国とも、これまで、各業界の⾃主的情報共有の促進や、攻撃検知に必要な指標の提供※１を実施
 ⼀⽅、海外では、情報提供を政府の役割として明確化。⾼度な侵⼊・潜伏能⼒を備えた攻撃に対し、事業者等が具体的⾏動を取りやすいよう、セキュリティクリアランスも活⽤し、インテリジェンス情報等に基づく脅威ハンティングの⽀援※２や、攻撃背景など経営層の意思決定に有⽤な情報提供も実施※１ 攻撃検知に必要な指標︓攻撃者のIPアドレスやマルウェアのハッシュ値などのインディケータ情報※２ 脅威ハンティング︓未知の脆弱性の悪⽤やマルウェアを⽤いない攻撃は、指標の⼀致・不⼀致では検知困難。このため、侵⼊を前提に、システムの作動状況から侵害の痕跡を探索する「脅威ハンティング」が必要となるが、標的組織や攻撃⼿法などの情報がないと、処理量が膨⼤となり、効果的探索は困難。

【国内外におけるこれまでの取組】【海外における更なる取組】
政府の役割として位置づけられた「情報提供のあり⽅」

業界ごとの情報共有促進

2000年頃から、業界ごとの情報共有のため、ISAC※3の設置を促進

「具体的な⾏動に結びつく情報の適時の共有は、機密性のあるものを含め、事業者等によるリスク管理に不可⽋」【⽶︓重要インフラに係る国家安全保障覚書 (NSM-22, 2024年)】

国内では、2002年のテレコムISACを⽪切りに、重要インフラ各分野で導⼊「事業者等が具体的な⾏動を取れるような規模と頻度で脅威情報を提供」【英︓国家サイバー戦略 (2022年)】

多様な主体の情報共有促進

「政府は、専⾨知識と機密情報源へのアクセスを活⽤し、事業者等による⾼度なサイバー脅威への対処を⽀援」【豪州サイバーセキュリティ戦略 (2023年)】

官⺠の情報共有を促進するため、2019年にｻｲﾊﾞｰｾｷｭﾘﾃｨ協議会を設置。必要に応じ、国家公務員法相当の守秘義務も適⽤。

⾃動インディケータ共有 (AIS※4, 2016年)
 攻撃者のIPアドレスやマルウェアのハッシュ値等を、参加者間で機械可読な形でリアルタイムに共有 「ｻｲﾊﾞｰｾｷｭﾘﾃｨ情報共有法」に基づく取組
 攻撃の背景情報が含まれないと、対策に活かしづらいとの指摘もあり※3ISAC: Information Sharing and Analysis Center

脅威ハンティング部⾨設置(2021年)
センサ検知情報やインテリジェンス情報等を元に、⺠間企業等にアウトリーチし、脅威発⾒・対処・分析等の⽀援を⾏う
技術者に限らず経営層⽤の情報も発信官⺠ｻｲﾊﾞｰｾｷｭﾘﾃｨ協⼒枠組み(JCDC, 2021年)
政府機関とセキュリティベンダ、ビッグ・テック等が連携し、情報共有※4AIS: Automated Indicator Sharing

Industry100 (2017年)


NCSC※5と産業界との⼈的交流枠組み
セキュリティクリアランスを求めた上で、⾮常勤として⺠間企業の専⾨家が出向
サイバー脅威情報共有枠組み(CTIS, 2021年)
ｲﾝﾃﾞｨｹｰﾀの⾃動共有に加え、参加者が専⾨家に相談し、助⾔を得ることも可能※5 NCSC: National Cyber Security Centre7

【取組②】ソフトウェア等の脆弱性対応 〜安全な製品開発〜
 各国では、これまで、安全な製品開発を促すため、国際標準や認証制度の整備を促進
 ⼀⽅、海外では、安全な製品開発に関する製品ベンダの責務の明確化や法的義務の導⼊も顕在化【ソフトウェア等の脆弱性対応の流れ】

安全な製品開発【国内外におけるこれまでの取組】






解消⼿段開発脆弱性認知国際標準や認証制度の整備
情報技術に関連した製品及びシステムの評価に関するコモンクライテリア(ISO/IEC 15408,1999年)を⽪切りに国際標準の整備が進捗
制御システムに係る同様の国際標準として、IEC62443において、製品開発ライフサイクルや、技術的セキュリティの要件が定められている
国際標準等に即した国内の動き
上記国際標準に基づき、例えば、情報処理推進機構がISO/IEC15408の認証制度を運営
最近では、各国でIoT機器の枠組み整備が進められており、国内でも「IoT製品に対するセキュリティ適合性評価制度」が2025年3⽉から⼀部開始予定（製品開発者）

注意喚起（公的機関）

解消⼿段適⽤（利⽤者）【海外における更なる取組】
サイバー空間を守る責任のリバランス (2023年)
「国家サイバーセキュリティ戦略」(2023年3⽉)において⽶国政府が提唱。現在、サイバーリスクを低減する責任が利⽤者に過度に偏っているとの現状認識の下、システムの提供者や政府の役割拡⼤を謳う
セキュアバイデザイン・セキュアバイデフォルト原則(2023年 ⽇⽶欧等の18組織が共同署名)
 ソフトウェア提供者に係る三原則として、①顧客のセキュリティの結果に責任を持つ、②徹底した透明性と説明責任を負う、③トップ主導での実施、を具体的に説明。
製品ｾｷｭﾘﾃｨ及び通信ｲﾝﾌﾗ法(2024年施⾏)

 ネットワーク製品提供者に対し、脆弱な初期 パスワード設定の禁⽌、セキュリティ対応体制の構築を求める

サイバーレジリエンス法草案(2022年提出）
デジタル製品のメーカに対し、上市前の適合性評価、脆弱性悪⽤が発⾒された場合の当局(ENISA※)への報告等を規定※ENISA（欧州連合サイバーセキュリティ機関）: The European Union Agency for Cybersecurity8

【取組②】ソフトウェア等の脆弱性対応 〜脆弱性の早期対応〜
 開発段階でいかに注意しても、システムへの不正侵⼊等に悪⽤し得るバグ（＝脆弱性）は発⽣
 製品開発者による解消⼿段の開発と、利⽤者による適⽤を促すため、⽶国MITRE社等が脆弱性管理に係る国際枠組みを運営。同国際枠組みと連携しながら、⽇本国内でも同様の制度を整備
 ⼀⽅、海外では、解消⼿段の開発前に悪⽤が先⾏する「ゼロデイ脆弱性」も念頭に、脆弱性悪⽤状況や、重要インフラにおける機器利⽤状況等を踏まえた、踏み込んだリスク情報も提供

安全な製品開発【国内外におけるこれまでの取組】
解消⼿段開発脆弱性認知

脆弱性管理に係る国際枠組み (1999年)
ソフトウェア等の脆弱性に係る情報を国際的に⼀元管理するため、⽶国⾮営利団体MITRE社が、年間3万件弱発⾒される個々の脆弱性を採番管理（例.CVE-2024-0000など）
⽶国国⽴標準技術研究所(NIST)が技術的な悪⽤可能性を「CVSS値」として算出・公表※
早期警戒パートナーシップ制度（2004年）「情報処理の促進に関する法律」の告⽰に基づ
き、情報処理推進機構及びJPCERT/CCが運営。上記国際枠組みとも連携
このほか、国内悪⽤実績などリスクが⾼い脆弱性は、JPCERT/CCやNISC等が注意喚起（製品開発者）

注意喚起（公的機関）

解消⼿段適⽤（利⽤者）【海外における更なる取組】
悪⽤された脆弱性のデータベース化 (2021年)


国⼟安全保障省のサイバーセキュリティ・インフラ保安庁(CISA)が、⽶国内で悪⽤された脆弱性について、「既知の悪⽤された脆弱性(KEV)カタログ」として⼀覧化した上で公表



政府機関は、カタログに記載された脆弱性について、原則2週間以内に対策を講じることが必要（期間は脆弱性の影響度により変わり得る）
重要インフラ保安法(SOCI法、2022年改正)

重要インフラ事業者に対して、データ、コンピュータ等を含めた資産登録義務付け

登録された資産情報については、迅速な助⾔やリスク情報提供等に活⽤※CVE（共通脆弱性識別⼦）: Common Vulnerabilities and Exposures ※CVSS（共通脆弱性評価システム）:Common Vulnerability Scoring System9【取組③】政府の情報提供・対処⽀援を⽀える制度
 ⽇本では、重要インフラ⾏動計画のもと、個別業法に基づき所管省庁に報告されたインシデントについて、各所管省庁を経由する形で内閣サイバーセキュリティセンター(NISC)に集約
 主要国では、業界・業種を超えた、政府の対処・情報収集能⼒を⽀えるためのサイバー対応組織の⼀元化や、重要インフラ事業者に対するインシデント報告の義務化が進められている
 その際、報告先集約化による負担軽減や、情報の取扱いについて報告者の意向を反映する仕組みを整備する例もあり【国内におけるこれまでの取組】
内閣サイバーセキュリティセンター(NISC)
【海外における更なる取組】
サイバーセキュリティ・インフラ保安庁(CISA, 2018年)

内閣官房情報セキュリティセンター(2005年設置)を起源とし、サイバーセキュリティ基本法の制定を契機に改組(2015年)

 国⼟安全保障省下に設置

内閣補助事務として、サイバーセキュリティ関係省庁間の総合調整を担当

 インシデント対処や関係省庁との調整等を担う

重要インフラのサイバーセキュリティに係る⾏動計画(サイバーセキュリティ戦略本部決定)※ インシデント発⽣時の情報集約等をルール化。
重要インフラ事業者は、所管省庁を経由してNISCに報告する旨を規定


ただし、情報流通経路が多層的となり、業界を跨いだ攻撃発⽣時の迅速な情報共有は困難



また、報告の法的根拠は各業法であり、業法がない業種については、本⾏動計画のみが根拠

重要インフラサイバー
インシデント報告法(CIRCIA法, 2022年)

豪州サイバーセキュリ
ティセンター(ACSC, 2014年)

国家サイバーセキュリ
ティセンター(NCSC, 2016年)

 通信情報局(ASD)下に
 政府内の関係部⾨を政設置、政府内の関係部⾨府通信本部(GCHQ)下を順次統合に統合し設置重要インフラ保安法(SOCI法, 2021・2022年改正)

ネットワーク情報システム規則(NIS, 2018年)

 重要インフラ事業者に対し、重⼤インシデント発⽣から  基幹サービス事業者等に対し、サービス継続に重⼤12時間以内のACSCへのな影響を及ぼすインシデン報告を求める
トの報告義務を課す
 CISAが報告を関係省庁と共  重要システム保有者には、有。事業者の負担に配慮システム状態の定期報告等を求めることが可能
 細則はCISAが作成中
10
 重要インフラ事業者に対し、インシデント発⽣から72時間以内のCISAへの報告を求める※インシデント情報について、所管省庁を通じて内閣官房に集約する旨は、⾏動計画の前⾝となる「重要インフラのサイバーテロ対策に係る特別⾏動計画(2000年)」から記載

２．平時からの対策強化に向けた体制・枠組み
 政府機関や重要インフラ事業者等のサイバーセキュリティ確保に当たっては、内閣官房⻑官を本部⻑、６省庁の⼤⾂等を本部員とするサイバーセキュリティ戦略本部において横断的な計画等を策定し、重要インフラ所管省庁等と協⼒しつつ施策を推進 戦略本部が策定する計画等に基づき、内閣官房 内閣サイバーセキュリティセンター(NISC)が政府機関等に対して、重要インフラ所管省庁が重要インフラ事業者等に対して各種施策等を実施
内閣総理⼤⾂内閣

サイバーセキュリティ戦略本部
本部⻑

内閣官房⻑官副本部⻑

サイバーセキュリティ戦略本部に関する事務を担当する国務⼤⾂

本部員

国家公安委員会委員⻑

デジタル⼤⾂

総務⼤⾂

外務⼤⾂

経済産業⼤⾂

防衛⼤⾂

閣僚が参画

経済安全保障担当⼤⾂
有識者 （９名︔10名以下）(事務局)＜重要インフラ所管省庁＞

内閣官房 内閣サイバーセキュリティセンター

⾦融庁（⾦融機関）
総務省（地⽅公共団体、情報通信）

内閣サイバーセキュリティセンター⻑

協⼒

厚⽣労働省（医療）経済産業省（電⼒、ガス、化学、クレジット、⽯油）
国⼟交通省（鉄道、航空、物流、空港、港湾、⽔道）（内閣官房副⻑官補(事態対処・危機管理)が兼務）

政府関係機関・情報セキュリティ
横断監視・即応調整チーム（ＧＳＯＣ)

・府省横断的な計画に基づく各種取組
・所管業法に基づく監督等

重要インフラの対策強化のための取組

重要インフラ事業者等

情報セキュリティ
緊急⽀援チーム（CYMAT)

閣僚本部員６省庁
警察庁（サイバー犯罪・攻撃の取締り）
協⼒

デジタル庁（デジタル社会形成）
総務省（通信・ネットワーク政策）
外務省（外交・安全保障）
経済産業省（情報政策）
防衛省（国の防衛）・政府機関等に対する統⼀的な対策基準の策定・監査
・政府情報システムに対する不正な活動の監視・分析 等

政府機関等の政府機関（各府省庁）等 対策強化のための取組

11重要インフラ事業者等の対策強化（国内の枠組み）
 サイバーセキュリティ戦略本部において、「重要インフラのサイバーセキュリティに係る⾏動計画」を策定し、同計画に基づき、
NISC、重要インフラ所管省庁、重要インフラ事業者等、関係機関等において各種取組を推進 同計画に基づき、重要インフラ事業者等における⾃主的な取組を推進するとともに、戦略本部では、各分野に共通して求められる取組を「安全基準等策定指針」として策定し、重要インフラ事業者等による「安全基準等」の策定等を⽀援
NISCによる総合調整、重要インフラ所管省庁● ⾦融庁● 情報通信［⾦融］

● ⾦融

● 総務省

● 航空［情報通信、⾏政］● 厚⽣労働省● 空港［医療］● 鉄道● 経済産業省［電⼒、ガス、化学、クレジット、⽯油］● 国⼟交通省［航空、空港、鉄道、物流、港湾、⽔道］

● 電⼒
● ガス

重要インフラ(全1５分野)● 政府・⾏政サービス
● 医療
● ⽔道
● 物流
● 化学
● クレジット● ⽯油● 港湾関係機関等● サイバーセキュリティ関係省庁［総務省、経済産業省等］● 事案対処省庁［警察庁、防衛省等］● 防災関係府省庁［内閣府、各省庁等］● サイバーセキュリティ関係機関［NICT、IPA、JPCERT/CC等］● サイバー空間関連事業者［サプライチェーン等に関わるベンダー等］「重要インフラのサイバーセキュリティに係る⾏動計画」における主な取組
障害対応体制の強化

安全基準等の整備
及び浸透情報共有体制の強化

リスクマネジメントの活⽤

防護基盤の強化

経営層、CISO、戦略マネジメン
ト層、システム担当等、組織全体での取組となるよう、組織統治の⼀部としての障害対応体制の強化を推進

重要インフラ防護において分野横断的に必要な対策の指針及び各分野の安全基準等の継続的改善の推進

官⺠間や分野内外間における情報共有体制の更なる強化

⾃組織の特性を明確化し、適した防護対策が継続的に実施されるようリスクマネジメントを活⽤分野横断的演習の推進、国際連携の推進、広報広聴活動の推進等の取組によるサイバーセ
キュリティ全体の底上げ

12重要インフラ事業者等の対策強化（諸外国の取組）
 諸外国では、レジリエンスの強化の観点から、中⼩規模の重要インフラ事業者を含め、基本的なサイバーセキュリティ対策の重要性が認識される⼀⽅、対策強化の優先順位等の判断の困難性や、それによる成熟度のばらつきに課題があるとの認識
 そのため、近年、各国では、特に重要な事項として、優先順位をつけて分野横断的な対策のベースラインを明⽰

⽶（CISA）

英（NCSC）

豪（ACSC）

Cross-Sector Cybersecurity
Performance Goals (CPGs)

Cyber Assessment
Framework (CAF)

Essential Eight
Maturity Model（2022策定、2023更新）（2019策定、2024最終更新）（2017策定、2023最終更新）

・NISTのCSF※に準拠し、「識別、 ・セクターを問わず共通の中核 ・特に取り組むべき優先度の防御、検知、対応、復旧」の段的原則として、サイバーセキュリ ⾼いサイバーセキュリティ対策
階ごとに、実装が容易でリスクのティとレジリエンス強化に必要８項⽬を明⽰。
低減効果が⼤きいIT/OTのサイな14項⽬を明⽰。
・成熟度レベルによる組織のバーセキュリティ対策のベースライ ・構造化された指標(IGPs※)
評価が可能（⾃⼰評価／第ン、優先順位を明⽰。
三者評価）。
による組織の評価が可能。
※CSF: Cyber Security Framework※IGPs: Indicators of Good
Practice

EUNIS2指令(Network and Information
Systems Directive 2)（2022発表）

・サイバーセキュリティのリスク管理のため、EU各国でのサイバーセキュリティ対策の共通のベースラインを明⽰。
・事業者等のリスクへの曝露の程度、組織の規模等に⽐例した措置とすることを規定。

13

政府機関等のシステムを防護する取組
 NISCでは、政府機関等のサイバーセキュリティ対策の強化の⼀環として、サイバーセキュリティ運⽤の枠組み(※)を増強・発展※GSOC: Government Security Operation Coordination team サイバー攻撃が質・量ともに激しさを増す中、サイバー攻撃を受けにくい情報システムを実現するため、政府機関等のシステムを常時・組織横断的に評価し、システムの脆弱性等の随時是正につなげる新たな仕組みを導⼊
インターネットに露出した各種IT資産ASM

ｱﾀｯｸｻｰﾌｪｽﾏﾈｰｼﾞﾒﾝﾄ

各機関と連携した
IT資産管理・セキュリティの強化

基幹システム
リモート各機
器

B独法

VPN機器
業務システムIOTルー
タ① IT資産の常時リスク評価

センサー

職員PC

Web

PDNS

プロテクティブDNS

Ａ省

メール

クラウド

IOTカメ
ラ

C指定法⼈

DNSサーバｾｷｭﾘﾃｨｲﾝｼﾃﾞﾝﾄの監視・分析やPDNSでの脅威情報収集も活⽤した動的な分析評価② 脆弱性等の随時是正

政府横断的な評価に基づきシステムの脆弱性等を是正

インターネット

ｾｷｭﾘﾃｨｲﾝｼﾃﾞﾝﾄの監視・分析
センサーの常時監視を通じたセキュリティ確保① リアルタイム横断的監視24時間/365⽇の横断的な監視・通報② 情報提供政府セキュリティ⼈材の底上げ

GSOCの増強・発展

的確・迅速な情報共有による各省庁の対応⼒向上③ 不正プログラム解析等
不正プログラム解析等による各種脅威情報の収集

上記と連動し、総務省において、「政府情報システムの防護のための⼀元的な取組」として、安全性や透明性の検証が可能なセンサーの政府端末への導⼊を検討中。

14

３．⼈材の育成・確保に係る取組（国内） 政府におけるサイバーセキュリティ⼈材の育成・確保に係る施策は、「サイバーセキュリティ戦略」に基づき、経営から実務（技術者・利⽤者）、⾼い専⾨性からリテラシー重視まで、各省が協⼒して幅広く実施。
デジタル⼈材は約230万⼈※1 、サイバーセキュリティ⼈材は約11万⼈※2不⾜と⾔われている※1 出典︓デジタル⽥園都市国家構想（令和4年6⽉7⽇ 閣議決定）、※2 出典︓(ISC)² Cybersecurity Workforce Study 2023

戦略・ガイドライン

サイバーセキュリティ戦略【NISC】
我が国のサイバーセキュリティ政策の羅針盤となるべく、サイバーセキュリティ基本法に基づき「サイバーセキュリティ戦略」を策定。
⼈材育成については、 「質」・「量」両⾯での官⺠の取組を⼀層継続・深化させつつ、環境変化に対応した取組の重点化や官⺠を⾏き来しキャリアを積める環境整備をすることとしている。

経営層・戦略マネジメント層

サイバーセキュリティ⼈材
セキュリティ専⾨家

専⾨⼈材向け 産業サイバーセキュリティセンター
教育プログラム （ICSCoE）【経】
資格・フレームワーク

情報処理安全確保⽀援⼠【経】

サイバーセキュリティ経営ガイドライン【経】- プラクティス集、体制構築・⼈材確保の⼿引き、可視化ツール

IT利⽤者

システム担当CYDER【総】プラス・セキュリティ知識補充講座 カリキュラム例【NISC】

次世代セキュリティ⼈材

⼀般層

経営経営層

SecHack365【総】戦略マネジメント層

セキュリティ・キャンプ【経】
国⽴⾼等専⾨学校におけるセキュリティ教育の強化【⽂】
国⽴⾼専機構と産官との連携強化【経】

実務

セキュリティ専⾨家

専⾨性

システム担当サイバーセキュリティ⽉間等での普及啓発【NISC】- サイバーセキュリティ・ポータルサイト- インターネットの安全・安⼼ハンドブック

その他 ※デジタル⼈材全般に係る取組

IT利⽤者
リテラシー

デジタル⼈材育成プラットフォーム【経】- デジタルスキル標準の設定、教育コンテンツ整備等
未踏IT⼈材発掘・育成事業【経】
公共職業訓練のデジタル分野の重点化【厚】

セキュリティ共通基盤
CYNEXを通じた演習基盤【総】戦略マネジメント層向けセミナー【NISC】

情報セキュリティマネジメント【経】

初等中等教育⾼等教育機関におけるデジタル⼈材の育成【⽂】- 数理・データサイエンス・AI教育の推進- リカレント教育の推進

情報モラル教育の実施【⽂】
各府省庁の提出資料・HPからNISC作成

15⼈材の育成・確保に係る取組（諸外国の取組）

諸外国においては、近年、サイバーセキュリティ⼈材の労働⼒・スキル不⾜の解消等のため、産官学における必要な⼈材像やタスク・知識・スキルについて整理した共通の枠組みを設けて、⼈材育成・確保等に係る取組が進められている。
NICEサイバーセキュリティ⼈材フレームワーク

欧州サイバーセキュリティ・スキル・フレームワーク

国⽴標準技術研究所 (NIST)発⾏: 2017年標準化、2020年改訂

欧州連合サイバーセキュリティ機関（ENISA）発⾏: 2022年公開

 セキュリティに必要な職種を52に分類し、その職務内容、必要な知識、技能※を整理

 セキュリティに必要な職種を12に分類し、その職務内容、必要な知識、技能を整理※防御側だけでなく、サイバー作戦の計画や実⾏に関する技能を含む。

 採⽤･⼈事での活⽤を想定する他、教育プログラムや資格等の対応関係を整理

 採⽤・⼈事（キャリアパスモデルを含む）での活⽤の他、教育プログラムや資格等の対応関係を整理

 各種データ（⼈材需給、スキル保有等）の作成・分析に活⽤ 各種データ（⼈材需給、資格保有等）の作成・分析に活⽤
カナダ・サイバーセキュリティ・スキル・フレームワーク

ASDサイバー・スキル・フレームワーク

カナダサイバーセキュリティセンター（CCCS）発⾏: 2023年公開

豪州通信情報局（ASD）発⾏: 2019年初版、2020年改訂

 NICEフレームワークを国内状況（企業・公的機関の規模等）を踏まえて簡素化、セキュリティに必要な職種（専⾨領域を除く）を22に分類し、その職務内容、必要な知識、技能を整理
 採⽤・⼈事での活⽤や教育プログラム等の整理を想定

 英国のフレームワーク等を参考に、ASD及び関係政府機関、産業、学術機関向けに、特に専⾨性の⾼い9職種を定義し、必要な能⼒と技能、習熟レベルを整理 採⽤･⼈事（キャリアパスモデル含む）での活⽤の他、教育プログラムや資格等の対応関係を整理※ 日本では、デジタル人材を対象とした「ITスキル標準(ITSS)」(情報処理推進機構(IPA)) や、セキュリティ人材を対象としたNPO作成の「セキュリティ知識分野(SecBoK)」(日本ネットワークセキュリティ協会(JNSA))がある。

16

中⼩企業における対策強化
 中⼩企業においてもセキュリティ対策を強化するため、対策実施に役⽴つガイドラインの提供、セキュリティ対策のワンパッケージサービス（「サイバーセキュリティお助け隊」）の導⼊促進などを実施。
中⼩企業の情報セキュリティ対策ガイドライン（第3.1版 2023年4⽉）
中⼩企業が情報セキュリティ対策に取り組む際の経営者が認識し実施すべき指針、を実践する際の⼿順や⼿法をまとめたもの。
付録としてクラウドサービスの安全利⽤やセキュリティインシデント対応に関する⼿引きなどがある。
中⼩企業の情報セキュリティ対策ガイドライン
経営者向けの解説

経営者が認識すべき３原則と実施すべき重要７項⽬を解説

実践者向けの解説

企業のレベルに合わせて段階的にステップアップできるような構成で解説「SECURITY ACTION」

付録6、8:クラウドサービス安全利⽤の⼿引き、セキュリティインシデント対応⼿引き

サイバーセキュリティお助け隊サービス

中⼩企業⾃らが、セキュリティ対策に取り組むことを⾃⼰宣⾔する制度。30万者を超える中⼩企業が宣⾔。
★⼀つ星

★★⼆つ星

情報セキュリティ
５か条に取り組む

情報セキュリティ⾃社診断を実施し、基本⽅針を策定

相談窓⼝、システムの異常の監視、緊急時の対応⽀援、簡易サイバー保険など各種サービス内容を要件としてまとめた基準を満たすワンパッケージサービス。（2024年４⽉時点
で40事業者）
IT導⼊補助⾦「セキュリティ推進枠」
で導⼊を⽀援17