総務省のサイバーセキュリティ政策の最新動向
令和４年２月18日
総務省サイバーセキュリティ統括官室
参事官補佐 広瀬 一朗

自己紹介・平成21年（2009年）に総務省に入省後、米国留学などを経て、平成29年（2017年）から、高松市でスマートシティに向けた取組を推進。また、令和元年（2019年）からは、内閣官房IT総合戦略室（現在のデジタル庁）で個人情報保護制度の見直しを担当。
・令和３年（2021年）６月から現職。総務省のサイバーセキュリティ施策の全体調整、電気通信事業者における積極的対策の推進、クラウドやスマートシティの対策推進、地域でのセキュリティコミュニティ形成支援を担当。

1

１．現状認識
２．サイバーセキュリティ戦略
３．総務省のサイバーセキュリティ政策
４．地域におけるセキュリティコミュニティ形成

3

サイバーセキュリティ上の脅威の増大
 インターネット等の情報通信技術は社会経済活動の基盤であると同時に、我が国の成長力の鍵であるが、昨今、サイバーセキュリティ上の脅威が悪質化・巧妙化し、その被害が深刻化。
サイバー攻撃の目的の変化

IoTボットネット
ワーム型ランサムウェア
サプライチェーンリスク

地政学的・戦略的背景

巧妙な標的型攻撃

国家による関与の疑い

金銭目的（組織犯）
金銭等が目的：計画的、悪質

ランサムウェア感染※６
悪質なアドウェア※７の被害
標的型攻撃※3
水飲み場型攻撃※4
不正送金の被害
リスト型攻撃※5の被害無差別に送付された
メールによる
マルウェア※1感染

愉快犯

2000年
※1 マルウェア(Malware)※2 DDoS攻撃※3 標的型攻撃※4 水飲み場型攻撃※5 リスト型攻撃※6 ランサムウェア(Ransomware)※7 アドウェア(Adware)

社会的リスク
破壊的サイバー攻撃の頻発
マネジメント• 重要インフラの物理的被害• 大規模DDoSによる通信障害の観点からの対応• 甚大な金銭的被害• 大規模な個人情報・機微情報の流出• 安全保障上の機微情報の流出

攻撃対象の変容・拡大

自己顕示、見せしめ、
嫌がらせ等が目的

2005年

2010年

2015年

安全保障
の観点を含めた対応

ウェブサイトによる感染
特定の標的宛に送付されたメールによる感染
DDoS攻撃※2の被害
不正アクセスの被害

必要な対策の多様化

情報の安全確保重要インフラへの攻撃・戦略的目標への大規模攻撃の顕在化の観点からの対応

2020年

攻撃手法や対象の変化

Malicious softwareの短縮語。コンピュータウイルスのような有害なソフトウェアの総称。
分散型サービス妨害攻撃（Distributed Denial of Service）。多数の端末から一斉に大量のデータを特定宛先に送りつけ、宛先のサーバ等を動作不能にする攻撃。
機密情報等の窃取を目的として、特定の個人や組織を標的として行われる攻撃。
標的組織が頻繁に閲覧するウェブサイトで待ち受け、標的組織に限定してマルウェアに感染させ、機密情報等を窃取する攻撃。
不正に入手した他者のID・パスワードをリストのように用いてWebサービスにログインを試み、個人情報の窃取等を行う攻撃。
身代金要求型ウイルスのこと。感染端末上にある文書などのファイルが暗号化され、暗号解除のためには金銭を要求される。
広告表示によって収入を得るソフトウエアの総称。狭義には、フリーウエアと共にインストールされ、ブラウザ利用時に広告を自動的に付加するソフトサイバー攻撃の動向① ～国内外の主な事例～
１．国内の事例
2021年 ５月 富士通のプロジェクト情報共有ツール「ProjectWEB」への不正アクセスにより、同ツールを利用していた
内閣官房NISC、国交省、外務省等から利用する情報システム等の情報が流出したとの発表。
７月 国内大手製粉会社ニップンが大規模なサイバー攻撃を受け約9割のシステムに被害、決算報告にも影響。
９月 Fortinet製VPN機器から認証情報が流出、中小企業を中心に日本企業約1000社が含まれるとの報道。
10月 NTTドコモが同社を騙ったSMSによるフィッシング詐欺で、およそ1200人、１億円の被害が発生したと発表。
10月 オリパラ組織委員会が大会期間中に4.5億回のサイバー攻撃を観測、全てブロックし影響無しと発表。
11月 徳島県の町立病院がランサムウェアによる攻撃を受け、電子カルテが暗号化。予約の受け入れなどを停止。
2022年 ２月 メールの添付ファイル開封で配信されるEmotetの感染が再拡大、国内の複数企業が感染を公表。

２．外国の事例2020年12月 米国のソフトウェア企業であるSolarWinds（ソーラーウィンズ）社がハッキングされ、同社が提供する
ネットワーク管理ソフトウェア製品を導入している企業や政府機関の内部情報などが流出したことが判明。
2021年 ５月 ベルギーのISPであるBelnetがDDoS攻撃を受け、政府機関ウェブサイトなどがダウンしたとの報道。
５月 米国の石油パイプライン大手のColonial Pipeline（コロニアルパイプライン）社が、ランサムウェアによるサイバー攻撃を受けて操業を一時停止し、原油価格にも影響。
７月 米国のIT企業Kaseyaのリモート監視・管理製品がゼロデイ攻撃を受け、同製品を運用するMSP（Managed Service
Provider）を通して、MSPサービスを利用する多数の中小企業等でランサムウェアによる被害が発生。
８月～９月 米・露・ニュージーランドなど世界各地でボットネット「Meris」によるものとみられるDDoS攻撃が発生。
10月 米国テレビ局運営大手Sinclairがランサムウェア攻撃を受け、傘下の複数のテレビ局で放送が停止。

4

サイバー攻撃の動向② ～不正アクセス、フィッシング～ 不正アクセス、フィッシングメールは引き続き高い水準で推移し、フィッシングサイトに関するインシデントの報告件数は2021年において増加傾向。
不正アクセスの増加（認知件数） 3500

3000
2500
2000
1500
1000
500
0

2806

2019年

2020年

増加傾向

1840
1202

2016年

2960

2017年

1486

2018年

出典：「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（令和３年３月警察庁・総務省・経済産業省）

フィッシングの増加
フィッシングサイトに関するインシデントの報告件数

フィッシングメールの報告数とフィッシングサイトURL数

出典：JPCERT/CC インシデント報告対応レポート

出典：フィッシング対策協議会（件）＜2019年→2021年比較＞・メール報告数は約9.4倍
・URL件数は約3.9倍

8000
7000
6000
5000
4000
3000
2000
1000
0

増加傾向

5015

4831

4841

2020Q42021Q12021Q26311

2021Q37125

2021Q45

サイバー攻撃の動向③ ～テレワーク環境を狙った攻撃、ランサムウェア攻撃～ テレワーク環境（リモートデスクトップ、VPN）を狙った攻撃も多くみられる。
 ランサムウェア攻撃は2020年下半期と比較し、2021年下半期で件数が４倍以上に増加。
テレワーク環境を狙った攻撃*の増加

出典：Kaspersky The story of the year: remote work(10 Dec. 2020)より作成* リモートデスクトップ（RDP）を狙ったブルートフォース攻撃数（kaspersky社による検出数（世界））

（億件）

40

30

33

3.4倍に増加

20
10
0

9.69


2019年

2020年

（１～11月）（１～11月）ランサムウェア攻撃の増加（件） 100

80

40
20

出典：「令和３年におけるサイバー空間をめぐる脅威の情勢等について（速報版） 」（令和４年２月 警察庁）より作成

企業・団体等におけるランサムウェア被害の報告件数約４.0倍に増加

60

テレワーク等の普及を利用して侵入したと考えられるもの（VPN・RDP）が全体の7割以上を占めている。

85
61

ランサムウェア被害の感染経路（2021年）
その他
15件（20％）

不審メールや
その添付ファイル
5件（7％）

21
リモートデスクトップからの侵入15件（20％）0
2020年下半期

2021年上半期

2021年下半期

有効回答
76件

VPN機器からの侵入41件（54％）67増加・多様化するサイバー攻撃 ～NICTERによる観測～ 国立研究開発法人情報通信研究機構(NICT)では、大規模サイバー攻撃観測網であるNICTERにおいて、未使用のIPアドレス30万個(ダークネット)を活用し、グローバルにサイバー攻撃の状況を観測。
NICTERで１年間に観測されたサイバー攻撃関連の通信数

NICTERにより観測されるサイバー攻撃の様子(億パケット)
5000

3年間で
3.3倍

4000
3000
2000
1000
0

545

2015

NICTERにより観測された通信の内容（上位30ポートの分析）
0%

20%

40%

60%

（2019年の観測数を100%とする）

2019年

2020年

IoT機器を狙った攻撃（Webカメラ、ルータ等）
1.1倍(2019→2020)※約半数がファイル共有※2019年には上位30ポートになかったRDPが登場

80%

2.4
倍

1281

2016

1,504億
1.2倍

1.3倍(同)

仮想通貨を
狙った攻撃
1.4倍(同)

2017

2121

1.4
倍

5001

3220

1.6
倍

1.5
倍

2018

2019

各IPに
約17秒
に１回

※１IPアドレス当たり
2020 (年)年間182万パケット

 IoT機器を狙った攻撃が依然としてトップ
100%
120%
140%
160%
 攻撃(対象ポート)が年々多様化
 影響範囲・影響度合いが大きい ライフサイクルが長い 監視が行き届きにくい 等※約半数がtelnet

Windowsを
狙った攻撃

1504

5,001億DNS・FTP等の各種サービスを狙った攻撃1.2倍(同)

その他（上位30ポート以外）

2.1倍(同)※NICTERで2019年・2020年に観測されたもの（調査目的の大規模スキャン通信を除く。）
について、上位30ポートを分析。

１．現状認識
２．サイバーセキュリティ戦略
３．総務省のサイバーセキュリティ政策
４．地域におけるセキュリティコミュニティ形成

9

政府全体のサイバーセキュリティ推進体制
 「サイバーセキュリティ戦略本部」（本部長：内閣官房長官）が政府全体の司令塔（「サイバーセキュリティ基本法」に基づき、平成
２７年に設置）。総務大臣も、同戦略本部の構成員。
 「サイバーセキュリティ戦略」の策定・改定を始め、政府横断的にセキュリティ対策を推進することが役割。
サイバーセキュリティ戦略本部 (2015.1.9 ｻｲﾊﾞｰｾｷｭﾘﾃｨ基本法により設置)
内閣官房長官サイバーセキュリティ戦略本部事務を担当する国務大臣
国家公安委員会委員長
デジタル大臣
総務大臣
外務大臣
経済産業大臣
防衛大臣
経済安全保障担当大臣
東京オリンピック競技大会・パラリンピック競技大会担当大臣

本部有識構成員（８名）

遠藤 信博
後藤 厚宏
田中 孝司
中谷 和弘
野原佐和子
前田 雅英
宮澤 栄一
村井 純

重要インフラ（１４分野）

重要インフラ事業者等

日本電気株式会社代表取締役会長
情報セキュリティ大学院大学学長
ＫＤＤＩ株式会社代表取締役会長
東京大学大学院法学政治学研究科教授
株式会社イプシ・マーケティング研究所代表取締役社長
日本大学大学院法務研究科教授
株式会社デジタルハーツホールディングス取締役会長
慶應義塾大学環境情報学部教授
大学院政策・メディア研究科委員長（事務局）
内閣官房 内閣サイバーセキュリティセンター（ＮＩＳＣ）

政府機関（各府省庁）

国家安全保障会議（NSC)
我が国の安全保障に関する重要事項を審議

警察庁

協力

協力

情報通信、地方公共団体(=総務省所管）､金融機関、医療、水道、電力、ガス、化学、クレジット、石油、鉄道、航空、物
流、空港

緊密連携

デジタル社会の形成に向けた司令塔としてデジタル改
革を推進

緊密連携

デジタル庁

本部長
副本部長
本部員

（サイバー犯罪・攻撃の取締り）

デジタル庁（デジタル改革）総務省

閣僚 （通信・ネットワーク政策）
本部員 外務省
６省庁 （外交・安全保障）
経済産業省（情報政策）

防衛省（国の防衛）

企業

個人

サイバーセキュリティ戦略(2021年９月28日閣議決定)の課題と方向性

10

経済社会の活力の向上及び持続的発展

11国民が安全で安心して暮らせるデジタル社会

12国民が安全で安心して暮らせるデジタル社会

13

国際社会の平和・安定及び我が国の安全保障への寄与

14国際社会の平和・安定及び我が国の安全保障への寄与

15サイバーセキュリティ戦略（横断的施策）

16

１．現状認識
２．サイバーセキュリティ戦略
３．総務省のサイバーセキュリティ政策
４．地域におけるセキュリティコミュニティ形成

18

総務省のサイバーセキュリティに関する取組の大枠
情報通信分野におけるサイバーセキュリティの確保＝ なりすましやサイバー攻撃による情報・データの流出・改ざん・サービスの停止を防止⇒ 以下の施策を推進することで、安全で信頼できる情報通信インフラ、機器・サービスを実現①
電気通信事業者による積極的セキュリティ対策
・フロー情報(※１)の分析によるC&Cサーバ(※２)の検知に向けた
取組

②

③
５Ｇの
セキュリティ

・５Ｇのサプライ
チェーンリスク対策を含む
セキュリティ担保(※１) IPアドレスやポート番号、タイムスタンプ等の付随情報(※２) 各感染端末（ボット）にサイバー攻撃の指示を出す管理サーバ

⑦

④

⑤

⑥

テレワークのセキュリティ

ＩｏＴ(※３)のセキュリティ

クラウドサービスのセキュリティ

スマートシティのセキュリティ・テレワークセキュリティ
ガイドライン、中小企業等向けのチェックリストの作成

・パスワード設定に不備のある
ＩｏＴ機器の調査(NOTICE)・クラウドセキュリティ
ガイドラインの策定

・スマートシティセキュ

・ISMAP制度の推進

策定、普及促進(※３) ｢Internet of Thinｇｓ｣
ネットに接続された監視カメラ等

人材育成
・「ナショナルサイバートレーニングセンター」における取組 など⑧「統合知的・人材育成基盤 （CYNEX）」の構築⑨

国際連携
・米国との連携、ASEANとの連携（「日ASEANｻｲﾊﾞｰｾｷｭﾘﾃｨ能力構築センター（ＡJCCBC)｣) など

リティガイドラインの・・・

①電気通信事業者の積極的なサイバー攻撃対策の実現

19

 大規模化・巧妙化・複雑化するサイバー攻撃・脅威に、電気通信事業者が積極的に対処できるようにするため、
フロー情報（注１）の分析を通じて、サイバー攻撃の指令元であるC&Cサーバ（注２）を検知する技術の実証等を行う。
（１）通信の秘密に係る法的整理
有識者による研究会において、電気通信事業者における、インターネット利用者のトラヒックのうち必要最小限の範囲で収集するフロー情報の統計的・相関的な分析によるC&Cサーバである可能性が高い機器の検知について、通信の秘密に係る法的整理を実施。
※ 「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会」（座長：鎮目征樹学習院大学法学部教授）の第四次とりまとめ（令和３年11月24日公表）
において、正当業務行為（通信の秘密の侵害に該当しない）として整理。

（２）実証事業（令和３年度補正予算） ※「サイバー攻撃インフラ検知等の積極的セキュリティ対策総合実証」（18.0億円）
令和３年度補正予算に、電気通信事業者におけるフロー情報分析によるC&Cサーバ検知技術の有効性の検証や、事業者間の共有に当たっての運用面の課題整理のための実証事業を盛り込んでいる。
注１ フロー情報
通信トラフィックに係るデータのうち、IPアドレス及びポー
ト番号等のヘッダ情報並びにルータでヘッダ情報を抽出する際に付与されるタイムスタンプ等の情報（通信の内容は含まない）注２ C&Cサーバ
Command and Controlサーバの略で、外部から侵入して乗っ取ったコンピュータを多数利用したサイバー
攻撃において、コンピュータ群に対して攻撃者から指令を送り、制御を行うサーバコンピュータのこと

②５Ｇの本格的な普及に向けたセキュリティ対策の強化

20

5Gのセキュリティについて、セキュリティ・バイ・デザインの観点から、総合的な対応を推進。

①脆弱性の
検証手法や
体制の確立

 ソフトウェア化が進む5Gネットワークの脆弱性を明らかにするための技術的検証や、通信ネットワークでも利用されるハードウェアの脆弱性（チップの脆弱性）を発見するための手法に関する技術的検証を実施。
 脆弱性検出技術の成果を活用（技術移転を含む）し、関連する脅威の分析の視点を踏まえた5Gシステムや利用者に対するインパクト分析を実施し、必要なセキュリティ対策に反映。
 上記の検証・分析の取組に関し、5Gの事業者・運用者やベンダー、研究機関等が協力して実施する体制を確立。

②脆弱性の情報共有の促進

 （一社）ICT-ISACの「5Gセキュリティ推進グループ」において、事業者・運用者間で5Gのリスク情報や脅威情報などの共有を推進。

③対
策の
促進

規制的措
置

振興的措
置

 サプライチェーンリスク対応を含む十分なサイバーセキュリティ対策を講じることを全国5Gの開設計画の認定及びローカル5Gの免許の条件とし、対策の実施状況について定期的にフォローアップ。

 全国５G及びローカル５Gの導入事業者に対する税制優遇措置等により、安全・安心な５Gシステムの普及を支援。

21③テレワークセキュリティガイドラインの改定
 総務省では従来から「テレワークセキュリティガイドライン」を策定し、セキュリティ対策の考え方を示してきた。
→ テレワークを取り巻く環境やセキュリティ動向の変化に対応するため2021年５月に全面的に改定
 ガイドラインを補完するものとして、セキュリティの専任担当がいないような中小企業等においても、テレワークを実施する際に最低限のセキュリティを確実に確保してもらうためのチェックリスト・設定解説も策定・公表。
テレワークセキュリティガイドライン（2021年５月 第５版）

中小企業等担当者向けテレワークセキュリティの手引き(チェックリスト)

2004年12月初版
2006年４月第２版
2013年３月第３版
2018年４月第４版（2021年５月 第２版）

中小企業等に向け最低限のセキュリティを確実に確保してもらうためのものに限定 テレワークを業務に活用する際のセキュリティ上の不安を払拭し、安心してテレワークを導入・活用するための指針【想定読者像】
 システム管理担当者向け
 専任の担当・部門は存在しない
 基本IT用語は聞いたことがあるレベル
 設定作業は検索しながら実施可能

 中小企業を含む全企業を対象
 システム管理者のほか経営層や利用者(勤務者)を幅広く対象

2020年９月初版

テレワークで活用される代表的なソフトについて、設定解説資料を作成し、具体的な設定を解説【設定解説資料の対象】
CiscoWebexMeetings ／ Microsoft Teams ／Zoom ／ Windows ／ Mac ／ iOS ／ Android ／LanScope An／Exchange Online／Gmail／Teams_chat／LINE／OneDrive／Googleドラ
イ ブ ／ Dropbox ／ YAMAHA VPN ル ー タ ／CiscoASA／Windowsリモートデスクトップ接続／
Chrome リ モ ー ト デ ス ク ト ッ プ ／ Microsoft
Defender／ウイルスバスター ビジネスセキュリティ
サービス

ガイドラインに記載の内容について、理解や検討が難しい場合

テレワークセキュリティガイドラインの改定（2021年５月）【テレワーク環境・セキュリティ動向の変化】【ガイドライン改定の主要なポイント】

 テレワークは「一部の従業員」が利用するものから、
Web会議を含め、一般的な業務・勤務形態に

テレワーク方式を再整理し、適した方式を選定するフローチャートや特性比較を掲載



クラウドやゼロトラスト等のセキュリティ上のトピックについても記載

 クラウドサービスの普及やスマートフォン等の活用が進むなど、システム構成や利用形態が多様化



経営者・システム管理者・勤務者の立場それぞれにおける役割を明確化

実施すべきセキュリティ対策の分類や内容を全面的に見直し

 標的型攻撃等の高度な攻撃が増え、従来型のセキュリティ対策では十分対応できない状況も発生

テレワークセキュリティに関連するトラブルについて、具体的事例を含め全面見直し（事例紹介のほか、セキュリティ上留意すべき点や、採るべき対策についても明示）

④IoT機器調査及び利用者への注意喚起

22 情報通信研究機構(NICT)がサイバー攻撃に悪用されるおそれのあるIoT機器を調査し、インターネット・サービス・プロバイダ(ISP)を通じた利用者への注意喚起を行う取組「NOTICE」を2019年２月より実施。
 NOTICEの取組に加え、マルウェアに感染しているIoT機器をNICTの「NICTER」プロジェクト※で得られた情報を基に特定し、ISPから利用者へ注意喚起を行う取組を2019年６月より開始。

【NOTICE注意喚起の概要】
情報通信研究機構(NICT)

これまでサイバー攻撃に用いられたもの

Password
admin1234

同一の文字等を用いたもの

aaaaaaa
12345678

②情報提供

①機器調査

通信事業者
（ISP）

ｻﾎﾟｰﾄｾﾝﾀｰ③注意喚起

機器の利用者
攻撃者

インターネット上のIoT機器【NICTER注意喚起※の概要】①感染通信の観測②情報提供① NICTがインターネット上のIoT機器に、容易に推測されるパスワードを入力するなどして、サイバー攻撃に悪用されるおそれのある機器を特定。
② 当該機器の情報をISPに通知。
③ ISPが当該機器の利用者を特定し、注意喚起を実施。

調査対象：既にMirai等のマルウェアに感染しているIoT機器※マルウェアに感染しているIoT機器の利用者への注意喚起
情報通信研究機構(NICT)

調査対象：パスワード設定等に不備があり、サイバー攻撃に悪用されるおそれのあるIoT機器

通信事業者
（ISP）

ｻﾎﾟｰﾄｾﾝﾀｰ③注意喚起① NICTが「NICTER」プロジェクトにおけるダークネット※に向けて送信された通信を分析することでマルウェアに感染したIoT機器を特定。

※NICTがサイバー攻撃の大規模観測に利用しているIPアドレス群

機器の利用者② 当該機器の情報をISPに通知。
③ ISPが当該機器の利用者を特定し、注意喚起を実施

23⑤クラウドのセキュリティ

総務省では、安全・安心なクラウドサービスの利活用推進のため、2014年に「クラウドサービス提供における情報セキュリティ対策
ガイドライン」を策定し、2018年に改定（第2版）。
今般、クラウドサービスを取り巻く環境の変化を踏まえ、クラウドサービスにおける責任分界のあり方や国際規格等との整合性の観点から、当ガイドラインの改定を検討し、2021年9月に「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」としてとりまとめた。

改定のポイント①
SaaS/PaaS/IaaSの特性や、クラウドサービス提供におけるクラウドサービス同士の相関性を踏まえた責任分界のあり方について追記

改定のポイント②
上述の責任分界に関する整理を踏まえ、
 SaaS/PaaS/IaaSを提供するクラウドサービス事業者で共通的に実施が求められる情報セキュリティ対策
 SaaSを提供するクラウドサービス事業者に実施が求められる情報セキュリティ対策
 PaaS/IaaSを提供するクラウドサービス事業者に実施が求められる情報セキュリティ対策の3つのパターンに整理する形で当ガイドラインの章構成を見直し

改定のポイント③
国際規格（ISO/IEC27017:2016）やNIST SP800-53 rev.5において記載されているセキュリティ対策と整合性をとる形で、当ガイドラインに記載されているセキュリティ対策の内容を見直し

Ⅰ. 序編
Ⅱ. 共通編管理策＋サプライチェーン
ベストプラクティス
評価項目(SLA)
Ⅲ. SaaS編
管理策＋サプライチェーン
ベストプラクティス
評価項目(SLA)
Ⅳ. IaaS/PaaS編
管理策＋サプライチェーン
ベストプラクティス
評価項目(SLA)
Ⅴ. IoTサービスリスクへの対応方針編

24⑥スマートシティのセキュリティ

「スマートシティセキュリティガイドライン」は、スマートシティの推進のための指針として、多様な関係主体が講じるべきセキュリティ対策や留意事項等を示したもの。令和２年10月に第1.0版を公表した後、内容のブラッシュアップを進め、令和３年６月に改定した第2.0版を公表。
ガイドラインでは、スマートシティの構成要素(※)をセキュリティの観点から４つのカテゴリ（＝ガバナンス、サービス、都市OS、アセット）に分類し、 各カテゴリごとに想定されるセキュリティ上のリスクやセキュリティ対策を記載。 (※：「スマートシティリファレンスアーキテクチャ」で定義されている各階層）
また、「マルチステークホルダが複雑に関与」「多様なデータの連携」といったスマートシティの特徴を踏まえ、スマートシティ特有のセキュリティ対策を ３つに分類して（＝適切なサプライチェーン管理、インシデント対応時の連携、データ連携時のセキュリティ確保）、リスクや具体的な対策を記載。

上述の４つのカテゴリそれぞれにおけるリスクやセキュリティ対策を記載
ガバナンス

 セキュリティに関するポリシー策定
 マルチステークホルダへのポリシー浸透
 ガバナンス維持のための取組





都市OS

外部からの攻撃等を防ぐセキュリティ対策
インシデント発生防止のためのセキュリティ対策
インシデント発生時に備えたセキュリティ対策
適切なクラウドサービスの利用

サービス






それぞれのサービスにおけるリスクアセスメント
外部からの攻撃等を防ぐセキュリティ対策
インシデント発生防止のためのセキュリティ対策
インシデント発生時に備えたセキュリティ対策

アセット

スマートシティの特徴を踏まえ、スマートシティ特有のセキュリティ対策として
以下の３つに分類し、それぞれにおけるリスクやセキュリティ対策を記載

適切なサプライチェーン管理

インシデント対応時の連携

データ連携時のセキュリティ

 サプライチェーン全体のリスク・脆弱性
情報の管理・把握
 委託先のセキュリティ管理体制評価

 インシデント対応体制の構築
 インシデント対応手順の整備
 インシデント対応訓練・演習の実施

 データ連携元・連携先のセキュリティ管理体制評価
 認証とアクセス制御の実施
 データ利用時の透明性、信頼性の担
保、匿名化・秘匿化
 APIのセキュリティ確保

 アセットの監視・管理 アセットそのものへのセキュリティ対策

 その他、補助コンテンツとしてスマートシティセキュリティ導入チェックシートやリスク一覧、セキュリティ対策一覧などを掲載
 本ガイドラインをさらに読みやすくした「スマートシティセキュリティガイドブック」も本ガイドラインと同時に公表

25⑦セキュリティ人材の育成
 巧妙化・複雑化するサイバー攻撃に対し、実践的な対処能力を持つセキュリティ人材を育成するため、平成29年4月より、情報通信研究機構（ＮＩＣＴ）の「ナショナルサイバートレーニングセンター」において演習等を実施。
（サイダー）

2021年度から、オンライン受講コースを開設するとともに、準上級コースを開設（サイバーコロッセオ）（セックハック365）

2020年東京大会関連組織のセキュリティ担当者等を対象とした実践的サイバー演習⇒ 2017年度から開始し、2020年12月で事業完了
期間中に、演習形式で延べ571名、講義形式で延べ1,717名の人材を育成
25歳以下の若手セキュリティイノベーターの育成⇒ 年間50名程度の受講者を選定し、１年間のトレーニングコースを実施
2017年度以降で、計171名が修了
25才以下
全都道府県で演習を実施

チケット販売
公式HP
放送環境

演習受講模様サイバー攻撃への対処方法を体得オンライン受講を新たに導入実事案に対処可能な人材育成

CYDER

社会インフラ

１年間
50名程度

避難・誘導
Wi-Fi・通信環境

Guard!
Attack!
高度な攻撃に対処可能な人材育成

サイバーコロッセオ

ハイレベル層の人材育成

SecHack365

サイバーコロッ セオ のレガシーとして 、
準上級コースを 制作

国・地方公共団体・独法・重要インフラ事業者等を対象とした実践的サイバー防御演習⇒ 年間100回、計3,000名規模で実施（１日コース＆全都道府県で開催）
2017年度以降で、延べ11,413名が受講⑧サイバーセキュリティに関する産学官の結節点『CYNEX』
 情報通信研究機構（NICT）では、これまでも次のような取組を実施
サイバーセキュリティ研究室・・・最先端のサイバーセキュリティ関連技術の研究開発を実施
ナショナルサイバートレーニングセンター・・・実践的サイバー防御演習等による人材育成を実施
 これらの知見を活用し、サイバーセキュリティに関する産学官の巨大な結節点となる先端的基盤として
ＣＹＮＥＸ（CYbersecurity NEXus：サイネックス） を構築
情報通信研究機構（NICT）
サイバーセキュリティ研究室
STARDUSTNICTER

サイバー攻撃誘因基盤

CYNEX（サイネックス）

実践的サイバー防御演習

サイバー攻撃観測網

研究開発成果展開

民間企業

ナショナルサイバートレーニングセンター
CYDER
サイバーコロッセオ

サイバー攻撃分析
セキュリティ製品検証
高度解析人材育成
人材育成オープンPF

オリパラ関係者向けサイバー演習

人材育成ノウハウ展開

教育機関

26

⑨サイバーセキュリティ分野における国際連携①二国間・多国間連携③能力構築支援

総務省のサイバーセキュリティ政策について、積極的な対外発信と連携強化を推進○二国間連携- インターネットエコノミーに関する日米政策協力対話- 日EU・ICT政策対話・戦略ワークショップ- その他、豪、中韓、英、仏を含む13か国等とのサイバー協議- イスラエルの国家サイバー総局との間で協力覚書を締結 等○多国間連携石田総務大臣とベンアリ駐日イスラエル大使による覚書署名式（2018年11月）- ITU-T SG17 等（標準化活動）○官民連携-Charter of Trust 等○ 日ASEANサイバーセキュリティ能力構築センター(AJCCBC)日・ASEAN統合基金（JAIF）を活用したASEAN域内のセキュリティ人材育成（４年間で700人程度を育成する目標）の拠点となるセンター
で、2018年９月にタイで開所。ASEAN域内で高い評価を得ている。

■ 研修プログラムの概要
1. サイバーセキュリティ演習

政府機関や重要インフラ事業者等に対し、実践的サイバー防御演習（CYDER）等のプログラムを実施（年6回程度）

2. Cyber SEA Game

②民間組織の国際連携の推進

若手技術者・学生がサイバー攻撃対処能力を競う大会の開催（年１回）○ ISP向け日ASEAN情報セキュリティワークショップ■ 活動内容のオンライン化

日本とASEAN各国のISP事業者等との情報共有等の推進

新型コロナウイルス感染症拡大に伴う移動制限等を受け、上記研修プ
ログラムのオンライン化を進めるとともに、①自己学習教材コース、②実践的解析演習コースのオンライン提供を開始。

○ 日米ISAC連携ワークショップ

日米の情報通信分野ISAC間における情報共有の推進。ICT-ISACと米国IT-ISAC
は、2019年11月に協力覚書を締結。

27■ 第三者との連携を通じた活動内容の拡充
ICT-ISACと米国IT-ISACによる覚書署式の様子（2019年11月）

欧米や国際機関等に対して、研修プログラムや講師の提供を募る予定。
研修内容の拡充による日本とASESAN諸国との連携の深化に加え、日本と欧米等との連携の強化及び信頼醸成を図る。

１．現状認識
２．サイバーセキュリティ戦略
３．総務省のサイバーセキュリティ政策
４．地域におけるセキュリティコミュニティ形成

地域の中小企業における課題
 コロナ禍におけるテレワークやWeb会議の普及、デジタル化の進展に伴って、企業の所在や規模に関わらず、
サイバーセキュリティに関するリスクが増大しており、約２割の企業が、直近半年以内にサイバー攻撃による被害を受けている（→図１）。
 しかし、大都市圏を除く各地域に所在する中小企業では、大企業に比べて、サイバーセキュリティに関するリスクの増大を認識していない企業や、対策が不十分である企業が多い（→図２）。
 対策が不十分にとどまっている理由としては、予算不足、人材不足、情報不足が挙げられている（→図３）。
（図１）直近でサイバー攻撃被害を受けた時期
半年以内

１年以内

３年以内

５年以内

大企業

16.9％

13.5％

27.0％

13.5％

中小企業

19.8％

16.4％

22.4％

25.0％

（図２）新型コロナ感染拡大以後のセキュリティリスク認識（出典）国内企業のサイバーリスク意識・対策実態調査2020 （（一社）日本損害保険協会、2020年12月）（図３）セキュリティ対策を充実強化する際の障壁（出典）令和２年度地域の放送事業者・電気通信事業者等を対象としたサイバーセキュリティ対策に関するアンケート調査結果（総務省委託調査、2021年2月）

29

地域セキュリティコミュニティの形成促進

30

 総務省、経済産業省が互いに連携しつつ、地域単位の事業者のセキュリティ対策の強化のため、地域に根付いたセキュリ
ティコミュニティ（地域SECUNITY（セキュニティ））の形成の促進を図る。
 地域の企業や地方公共団体については、各者とも単独で有効なサイバーセキュリティ対策をとることは困難であり、地域レベ
ルでのコミュニティを形成して情報共有等を強化する必要がある。

 全国規模で事業展開する企業に比べ、地域の企業や地方公共団体などについては、有効なサイバーセキュリティ対策をとるための人材育成・普及啓発の機会や情報共有の枠組みなどが不足しているおそれ。

地域に根付いたセキュリティコミュニティ

地方公共団体サイバーセキュリティ
関係機関・関係事業者

事業者・
業界団体等

セキュリティコミュニティの形成の促進
都道府県警
有識者
商工会議所

通信
放送
ケーブルテレビ

総務省
総合通信局

セキュリティ関連の
情報共有

産業②
連携

経済産業省
経済産業局

産業①

定期的なセミナーや演習等の実施 ①当該地域における大手事業者、②業界団体（地方支部など）、③都道府県警、④サイバーセ
キュリティ関係事業者・機関、⑤地方公共団体、⑥
有識者などによる地域のサイバーセキュリティ向上のための推進体制を構築する。なお、情報共有体制がすでに存在している地域においては、既存の体制を活用していくことが望ましい。
 地域の企業等向けに①定期的なセミナーやインシデント演習の実施、②セキュリティ関連の情報共有の枠組みなどを構築。

地域のセキュリティコミュニティの現状
関西サイバーセキュリティ・
ネットワーク北陸サイバーセキュリティ連絡会

北海道地域情報セキュリティ連絡会(HAISL)【事務局】 近畿総合通信局、近畿経済産業局、(一財)関西情報センター（2018年10月設立）【事務局】 北陸総合通信局（2020年3月設立）【事務局】 北海道総合通信局、北海道経済産業局、
北海道警察本部（2014年9月 設立）

東北地域サイバーセキュリティ連絡会
中国地域サイバーセキュリティ連絡会【事務局】 東北総合通信局、東北経済産業局（2021年10月 設立）【事務局】 中国総合通信局、中国経済産業局（2020年10月設立）

関東サイバーセキュリティ連絡会【事務局】 関東総合通信局、関東経済産業局（2021年3月設立）

九州・沖縄地域情報
セキュリティ推進連絡会議

信越地域のサイバーセキュリティ
コミュニティ（仮）【事務局】 九州総合通信局、九州経済産業局（2012年5月設立）【事務局】 信越総合通信局、関東経済産業局（2022年1月設立）

沖縄サイバーセキュリティ
ネットワークサイバーセキュリティシンポジウム道後【事務局】 内閣府沖縄総合事務局、沖縄総合通信事務所、沖縄県警察本部（2015年3月設立）【事務局】 （一社）テレコムサービス協会四国支部、四国総合通信局（共催）、他複数団体が共催（2012年10月設立）

東海サイバーセキュリティ連絡会【事務局】 東海総合通信局、中部経済産業局（2020年8月設立）

31

各地域コミュニティの取組
全国共通

32

北海道ブロック◇セミナー及びインシデント対応演習の開催◇若手人材育成

・全国各地において、サイバーセキュリティに関するセミナーやイ
ンシデント対応演習を開催し、普及啓発や意識向上を図っている。
・令和３年度は、全国あわせて25件開催予定。

・学生や青年層向けに、サイバーセキュリティに関する知見や技術を教授し、将来のセキュリティリーダー、ホワイトハッカーになり得る人材の発掘と育成を目的としたプロジェクトとして、SC４Y（Security College
for Youth）を公立千歳科学技術大学で開催。

北陸ブロック

近畿ブロック◇CTF（Capture The Flag）の開催◇地方都市におけるイベント

・地域の若年層等を対象として、サイバーセキュ
リティに興味を持ち、セキュリティエンジニアになるためのスキルアップに向けた知識の習得等を目的として、楽しみながらサイバーセキュリティを学
ぶ競技を中心とするイベントを開催（鯖江）・地域の企業、団体等の方を対象に
サイバー攻撃の現状や対策など「サイバーセキュリティ」に関するミニ講演と素朴な疑問や相談を気軽にできるよう“座談会”的な地域密着型のイベントを開催（奈良、豊岡）サイバーセキュリティ月間 （2/1～3/18）
 政府では、重点的かつ効果的にサイバーセキュリティに対する取組を推進する
ため、2010年より、毎年2⽉1⽇から3⽉18⽇を「サイバーセキュリティ⽉間」に設定。関係機関・団体と連携し、サイバーセキュリティに関する普及啓発活動を集中的に実施。
政府全体の取組例【情報発信の強化】「2022年サイバーセキュリティ月間」特設ページにおいて、期間中、有識者による週替わりコラムをSNS等で発信するとともに、関係機関・団体が実施するサイバーセキュリティ月間関連行事を掲載。

◆特設ページ

https://security-portal.nisc.go.jp/cybersecuritymonth/2022/【オンライン競技会の開催】

各府省庁・独法等の職員がサイバーセキュリティに関する幅広い技術・能力を競うオンライン
競技会（NISC-CTF）を開催。

総務省における取組【セミナーやインシデント対応演習の開催】

全国で、地域におけるサイバーセキュリティの普及啓発を目的とするイベントとして、26件のセミナーやインシデント対応演習を開催予定。

【総務大臣奨励賞の表彰】

サイバーセキュリティ対応の現場において優れた功績を挙げている個人・団体を、期間中に「サイバーセキュリティに関する総務大臣奨励賞」により表彰する予定。

『マクロス』と2022年サイバーセキュリティ月間のタイアップポスター33

ご清聴ありがとうございました。
i.hirose@soumu.go.jp