資料３

2013年度 重要インフラにおける「安全基準等の浸透状況等に関する調査」について

201３年１１月２９日
内閣官房情報セキュリティセンター（NISC）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

「安全基準等の浸透状況等に関する調査」の概要（1/2）
「重要インフラの情報セキュリティに係る第２次行動計画」及び「サイバーセキュリティ２０１３」に基づき、各重要インフラ分野における安全基準等について、重要インフラ事業者等にどの程度浸透しているか、また重要インフラ事業者等が安全基準等に対して準拠しているかを把握するために、毎年一定時期（定点）に行う調査。
安全基準等は随時見直しがなされるものであり、また着実にその浸透を図るべきものであることから、定期的な本調査を通じて継続的に浸透状況等を把握し、施策の成果検証に活用する。

第1次行動計画における取組み
安全基準等の策定・見直し（SJ2006）

第2次行動計画における取組み

安全基準等の見直し（SJ2007）

安全基準等の 安全基準等の継続的改善
見直し（SJ2009）（SJ2008）

安全基準等の継続的改善（JS2010）

安全基準等の継続的改善（JS2011）

安全基準等の継続的改善（JS2012）

安全基準等の継続的改善（SS2013）

浸透状況等調査（SJ2007）

浸透状況等調査（SJ2008〜SJ2009）

浸透状況等調査（JS2010）

浸透状況等調査（JS2011）

浸透状況等調査（JS2012）

浸透状況等調査（SS2013）

2006年度に策定・見直しを行った安全基
準等を対象

毎年一定時期に調査

第２次行動計画
SJ：セキュアジャパン
JS：情報セキュリティ
SS：サイバーセキュリティ

・事業者自らが定める「内規」を含めた安全基準等の浸透を確実なものとするために、「安全基準等の浸透状況等に関する調査」を引き続き定期的に実施することとする。調査項目・調査主体等については、適宜見直しを行うこととする。
・毎年一定時期に事業者自らが定める「内規」を含めた対策状況の客観的な把握を行うこととする。

サイバーセキュリティ2013
・重要インフラ所管省庁の協力を得つつ、「安全基準等」の整備浸透状況について以下の調査を行う。
〈重要インフラ事業者等に対する調査〉「安全基準等」の浸透状況に係る調査を行い、結果を公表する。また次年度の調査のための企画・準備を行う。
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

1

「安全基準等の浸透状況等に関する調査」の概要（2/2）◆調査概要
調査対象範囲調査方法： 事業者等の範囲を重要インフラ所管省庁が決定： 以下方法のいずれかを重要インフラ所管省庁が選択①重要インフラ分野が独自で行う調査を活用し、ＮＩＳＣが提供する調査項目に読替え②ＮＩＳＣが提供する調査資料を活用
調査基準日： ２０１３年３月末日（「①独自調査を活用」する場合は、その調査基準日）
調査資料の発出・回収 ： 重要インフラ所管省庁が担当（発出・回収方法は重要インフラ所管省庁が決定）
分野毎の集計： 集計担当については、以下のいずれかを重要インフラ所管省庁が選択① 重要インフラ所管省庁にて集計② ＮＩＳＣにて集計
全体集計・とりまとめ： ＮＩＳＣにて集計・とりまとめ◆実施時期 （ＮＩＳＣ提供の調査資料活用 の場合）
調査期間 ： ２０１３年４月〜２０１３年９月（再調査期間を含む）
とりまとめ ： ２０１３年１０月〜２０１３年１１月◆主な調査内容（ＮＩＳＣ提供の調査項目）①安全基準等の整備状況に係る事項
指針・対策編の認知に係る状況及び手段
内規策定・見直しの契機及び参考とする安全基準等の諸規格②情報セキュリティ対策状況に係る事項
組織・体制及び資源の確保に係る対策状況
情報保護に係る対策状況③安全基準等への準拠状況に係る事項
自己点検、演習、訓練等に係る実施状況④情報セキュリティ対策に係る提言、要望等
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

2

調査結果

アンケート回収状況と留意点

・ 調査への協力を求めた3,356事業者等に対し、3,160事業者等からアンケートを回収 （回収率：94.1% 前年比：+0.9%）
・ 全体集計においては、分野に共通の重み付け（正規化）をした上で実施
既存調査
活用分野

留意点

アンケート回収状況 ＊カッコ内は昨年度の数値
調査対象範囲配布数回収数

留意点１：類似調査との重複回避⇒既存調査の活用にて調査運営を効率化
留意点２：調査対象の範囲⇒調査可能な範囲から取組み。調査対象の拡大は追って検討（範囲は重要インフラ所管省庁が決定）

電気通信

しない

固定系のﾈｯﾄﾜｰｸｲﾝﾌﾗを設置する電気通信事業者、ｱｸｾｽ系の電気通信事業者、ISP事業者、携帯電話事業者等

76 (79)20 (28)ｹｰﾌﾞﾙﾃﾚﾋﾞ

しない

ケーブルテレビセプター参加事業者

241 (---)

221 (---)

しない

日本放送協会及び地上系民間基幹放送事業者（多重単営社及びｺﾐｭﾆﾃｨ放送事業者を除く）

194 (193)

194 (184)

する金融機関等

892 （921）

796 (789)

航空運送

しない

航空運送事業者

2 (2)

2 (2)

航空管制

しない

官庁

1 (1)

1 (1)

鉄道

しない

鉄道事業者２２社

22 (22)22 (22)

電力

しない

一般電気事業者、日本原電(株)、電源開発(株)12 (12)

12 (12)a a1    a 2 α   α   ･･･   n α 
1 
2n
A nガス

しない

政令指定都市８社、同等の事業者２社

10 (10)10 (10)A : 回答Ａに対する全体集 計（％）

情報通信放送金融
航空（第２３回重要インフラ専門委員会資料より）

分野にて回収数が異なるため、分野に共通の重み付け（正規化）をした上で集計を実施＜集計式＞

a n : 分野ｎにおける回答Ａ の数
政府・行政ｻｰﾋﾞｽする

地方公共団体

医療

しない

水道
物流

全分野合計

1,789 (1,784)

1,789 (1,784)

医療機関（病院抽出）

50 (50)38 (43)

しない

水道事業体（事業者抽出）

45 (45)45 (45)

しない

物流事業者及び業界団体

22 (21)10 (9)

3,356（3,140）

3,160(2,928)

αn : 分野ｎにおける回収数※安全基準等の範囲にあわせて、情報通信を３つ、航空を２つに分けて集計するため、原則 n=13
（既存調査を活用する場合に読み替え可能な項目がない場合を除く）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

3

＜参考1＞既存調査と浸透状況等調査の関係整理（2013年度実績）
既存調査
分野

情報
通信有無

名称

浸透状況等調査
調査
基準日調査
周期

既存調査
活用

調査対象範囲※既存調査活用する場合は、
既存調査の範囲・数

ｱﾝｹｰﾄ
配布数

電気通信なししない

固定系のﾈｯﾄﾜｰｸｲﾝﾌﾗを設置する
電気通信事業者、ｱｸｾｽ系の電気通信事業者、ISP事業者、携帯電話事業者等

ケーブルテレビなし

しない

ケーブルテレビセプター参加事業者

241

放送なし

しない

日本放送協会及び地上系民間基幹放送事業者（多重単営社及びｺﾐｭﾆ
ﾃｨ放送事業者を除く）

194

する

金融機関等

892

金融あり

金融機関等のコンピュータシステムに関する安全対策実施状況調査書3月31日

1年毎

76

航空運送なししない

航空運送事業者2

航空管制なし

しない

官庁

1

鉄道なし

しない

鉄道事業者２２社

22

電力なし

しない

一般電気事業者、日本原電(株)、電源開発(株)

12

ガス

なし

しない

政令指定都市８社、同等の事業者２社

10

政府・行政
サービス

あり

する

地方公共団体

1,789

医療なし

しない

医療機関（病院抽出）

50

水道なし

しない

水道事業体（事業者抽出）

45

物流なし

しない

物流事業者及び業界団体

22

航
空

地方自治情報管理概要−電子自治体の推進状況−

4月1日

1年毎

※既存調査の活用項目は、主な調査内容の①安全基準等の整備状況に係る事項、②情報セキュリティ対策状況に係る事項、③安全基準等への準拠状況に係る事項、が対象
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

4

調査結果

①安全基準等の整備の状況に関する事項 (1/3)

・ 指針について、認知している事業者等は８割強であると推定。
・ 指針・対策編を認知している事業者のうち、それらを知った手段は、業界団体からの紹介が一番多く、ＮＩＳＣホームペー
ジ、所管省庁からの紹介が続く。
(1)指針・対策編の認知度
金融、政府・行政サービスは読み替え可能項目なし（集計対象に含めず）

0.0%

20.0%

40.0%

60.0%

(2)指針・対策編を知った手段
金融、政府・行政サービスは読み替え可能項目なし（集計対象に含めず）

80.0%
0.0%

１．両方とも知っている

10.0%

20.0%

30.0%

40.0%

１．NISCホームページ
２．所管省庁からの紹介

２．指針のみ知っている
３．業界団体からの紹介
３．対策編のみ知っている

４．セミナー・シンポジウム等
５．ニュースサイト等

４．両方とも知らない
６．ウェブ検索による
その他（未回答・不明）

７．その他
その他（未回答・不明）

3)効果的に周知する手段
金融、政府・行政サービスは読み替え可能項目なし（集計対象に含めず）

・業界団体からの定期的な紹介
・所管省庁からの情報提供・担当者宛メール通知
・セミナーやシンポジウムの開催
・マスメディアを通じた広報
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

5

調査結果

①安全基準等の整備の状況に関する事項 (2/3)

・ 内規策定・見直しの契機としては、自分野の安全基準等が約６割を占める。
・ 参考とする安全基準、規格等も、自分野の安全基準等が約７割を占める。
(1) 内規策定・見直しの契機

0%(2) 内規策定・見直しにあたり参考とする安全基準、規格等

20%

40%

60%

80%

0%

１．自分野の安全基準等の策定・改定

１．自分野の安全基準等

２．安全基準等の指針の策定・改定

２．他分野の安全基準等

３．上記１、２以外の文書の策定・改定

３．安全基準等の指針

４．自社におけるIT障害の発生

４．ISO/IEC27000シリーズ

５．他社におけるIT障害の発生
６．共通脅威分析や分野横断的演習の結果

2011

20%

５．ISO/IEC20000シリーズ

60%

80%

20112012

2012
2013

40%

６．ISO/IEC 15408

2013

６．その他
７．ISO/IEC 38500
７．見直しをしてない
８．ISO/IEC TR 13335
８．内規を制定していない
９．その他
その他（未回答・不明）
その他（未回答・不明）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

6

調査結果

①安全基準等の整備の状況に関する事項 (3/3)

・ 内規改定を行う際の体制は、経営者層での決定が減少し、経営者層以外の体制での決定が増加。
経営者層以外の体制での決定は、情報セキュリティ委員会によるものが大半。
・ 内規の改定は、概ね１年未満で実施されている。
(3) 内規改定を行う際の体制
項目２は2013年度に追加

0%(4) 内規改定に要する期間
金融は読み替え可能項目なし（集計対象に含めず）

20%

40%

60%

0%

１．経営者層にて決定

12ヵ月未満２．情報セキュリティ委員会にて決定

12ヵ月以上24ヵ月未満

20%40%

60%

80%

2011

2011

2012

2012

2013

2013

３．１．２以外の体制で決定

24ヵ月以上その他（未回答・不明）

その他（未回答・不明）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

7

②情報セキュリティ対策の実施状況に関する事項 (1/4)

調査結果

・ 今回からケーブルセプターが新たに調査対象となった。
・ 経年変化（除、ケーブルセプター回答）については、(1)-(4)の各対策状況とも、ほぼ昨年度と同様の結果。
(1) 組織・体制及び資源の確保に関する対策
0%

20%

40%

(2) 情報についての対策
60%

80%

0%

100%

１．情報セキュリティ
管理担当者の割当て

１．情報の格付け２．情報セキュリティに係わる人材育成、教育

２．情報の取扱い制限

2011
2012
2013

３．その他

４．実施していない。

その他（未回答・不明）

その他（未回答・不明）

0%

20%

40%

60%

80%

40%

60%

80%

100%

20112012
2013

３．その他

４．実施していない。

(3) 情報セキュリティ要件の明確化
政府・行政サービスは読み替え可能項目なし（集計対象に含めず）

20%(4) 情報セキュリティ要件に対応した情報システムの対策

0%

100%

50%

100%

１．サーバ室等の入退室管理

１．機能の観点からセキュリティ要件の明示

２．サーバ室等の停電対策
３．記憶媒体の持込、持出制限

２．脅威に対するセキュリティ要件の明示
３．その他

４．重要データへのアクセス制限
５．重要データのバックアップ

2011
2012
2013

６．重要データの暗号化
７．無許可ソフトウェアの導入禁止
８．機器を廃棄する際のデータ消去

４．実施していない。

９．証跡管理その他（未回答・不明）

11．実施していない。

2011
2012
2013

10．その他
その他（未回答・不明）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

8

調査結果

②情報セキュリティ対策の実施状況に関する事項 (2/4)

・ (5)-(6)の各対策状況とも、ほぼ昨年度と同様の結果。
・ 事業継続計画の策定状況については、策定予定なしが暫時減少傾向にあり、策定予定を含めて策定が進んでいる傾向にある。一方、策定済みであるものの定期的な見直しについては減少した。
(5) 情報セキュリティ対策の運用に関する対策

0%(6)運用に関する情報セキュリティ対策において対象とする脅威

50%

0%

100%

１．IT障害の観点から見た事業継続性確保のための対策

20%

40%

60%

80%

１．サイバー攻撃
２．システム障害

２．情報漏えい防止のための対策
３．物理的破壊
３．外部委託における情報セキュリティ確保のための対策
４．その他
５．実施していない

2011
2012
2013

４．情報漏えい

2011
2012
2013

５．自然災害６．疾病の流行（オペレータ不足によるＩＴ障害）
７．その他

その他（未回答・不明）

その他（未回答・不明）(7) 事業継続計画の策定状況

0%

10%

20%

30%

40%

１．策定済であり、定期的に見直しを実施
２．策定したことがある
３．策定予定がある
４．現時点では予定していない

2011
2012
2013

その他（未回答・不明）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

9

調査結果

②情報セキュリティ対策の実施状況に関する事項 (3/4)

・ 情報セキュリティ対策の対外的な説明を定期的に実施している事業者等は昨年度同様約３割。また、説明方法については、ホームページ、ＣＳＲ報告書を用いている事業者等が多い。
・ 昨年度同様6割強の事業者等で、IT障害時の情報提供に関する方策を内規等に明示している。
(9) 情報セキュリティ対策の対外的な説明の方法
金融、政府・行政サービスは 読み替え可能項目なし（集計対象に含めず）(8) 情報セキュリティ対策の対外的な説明の状況
政府・行政サービスは 読み替え可能項目なし（集計対象に含めず）

0%

20%

40%

60%

80%

0%

10%

20%

30%

40%

１．情報セキュリティ報告書に記載

１．定期的に説明を実施

２．CSR報告書に記載
２．説明したことがある

３．有価証券報告書に記載

2011
2012
2013

３．説明予定がある

４．ディスクロージャー資料に記載
５．ホームページに記載

４．現時点では予定していな
い2011
2012
2013

６．その他

その他（未回答・不明）

その他（未回答・不明）(10) IT障害時のユーザへの情報提供の方策
金融、政府・行政サービスは 読み替え可能項目なし（集計対象に含めず）

0%１．明示されている

２．明示されていない

20%

40%

60%

80%
2011
2012
2013

その他（未回答・不明）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

10

調査結果

②情報セキュリティ対策の実施状況に関する事項 (4/4)

・ ITに係る環境変化に伴う脅威に対して、対策を実施、または予定している事業者等は昨年度同様、６割程度と推定。
・ 想定する脅威に関しては、標的型攻撃による内部情報窃取等、制御システムをターゲットとしたコンピュータウィルスが引き続き上位。続いてクラウドサービス利用におけるセキュリティ管理、スマートフォン等のモバイル端末のセキュリティといった新技術の脅威想定が伸長。
(12) 想定する脅威
政府・行政サービスは 読み替え可能項目なし（集計対象に含めず）※項目１、２、６は2012年度に、７は2013年度に追加(11) ITに係る環境変化に伴う脅威に対する対策
政府・行政サービスは 読み替え可能項目なし（集計対象に含めず）

0%

10% 20% 30% 40% 50% 60% 70%

0%

10% 20% 30% 40% 50% 60%

１．標的型攻撃による内部情報窃取等
１．実施している

２．制御システムをターゲットとしたコン
ピュータウィルス
３．暗号の危殆化

２．実施予定がある

2011

４．IPv4アドレス枯渇に伴うIPv6への移行

2011

2012

５．プロトコル（TCP/IP、IPv6等）の脆弱性

2012

2013
３．現時点では予定していない

2013

６．クラウドサービス利用におけるセキュリティ管理
７．スマートフォン等のモバイル端末のセキュリティ
８．その他

その他（未回答・不明）
その他（未回答・不明）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

11

調査結果

③安全基準等に対する準拠状況に関する事項 (1/4)

・ 昨年度同様、自己点検を定期的に実施している事業者等が約５割、予定を含む実施割合が約７割と推定。

(1) 自己点検の実施

自己点検の事業規模ごとの実施割合（予定含む）

0%

20%

40%

60%

80%

0%

100%

１．定期的に実施している

20%

40%

60%

80%

100%

１．１００名未満

２．実施したことがある
２．１００名〜９９９名
３．実施予定がある

2011

2011

2012

2012

2013

３．１，０００名〜９，９９９名

2013

４．現時点では予定していない

その他（未回答・不明）

４．１０，０００名以上

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

12

調査結果

③安全基準等に対する準拠状況に関する事項 (2/4)

・ 演習・訓練の実施状況については、総じてほぼ昨年度水準。

(２)演習・訓練の実施

演習・訓練の事業規模ごとの実施割合（予定含む）

0%

20%

40%

60%

80%

0%

100%

１．定期的に実施している

50%

100%

１．１００名未満

２．実施したことがある
２．１００名〜９９９名
３．実施予定がある

2011

2011

2012

2012

2013

３．１，０００名〜９，９９９名

2013

４．現時点では予定していない

その他（未回答・不明）

４．１０，０００名以上

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

13

調査結果

③安全基準等に対する準拠状況に関する事項 (3/4)

・ 内部監査の実施状況については、総じてほぼ昨年度水準。

(3) 内部監査の実施

内部監査の事業規模ごとの実施割合（予定含む）

0%

20%

40%

60%

80%

0%

100%

１．定期的に実施している

50%

100%

１．１００名未満

２．実施したことがある
２．１００名〜９９９名
３．実施予定がある

2011

2011

2012

2012

2013

３．１，０００名〜９，９９９名

2013

４．現時点では予定していない

その他（未回答・不明）

４．１０，０００名以上

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

14

調査結果

③安全基準等に対する準拠状況に関する事項 (4/4)

・ 外部監査の実施状況については、総じてほぼ昨年度水準。
・ 費用のかかる外部の監査機関の利用は大規模事業者では増加傾向だが、他事業者ではやや微減。

(４) 外部監査の実施
金融は読み替え可能項目なし（集計対象に含めず）

0%

20%

40%

60%

外部監査の事業規模ごとの実施割合（予定含む）

80%

0%

100%

１．定期的に実施している

20%

40%

60%

80%

100%

１．１００名未満

２．実施したことがある
２．１００名〜９９９名
３．実施予定がある

2011

2011

2012

2012

2013

2013

３．１，０００名〜９，９９９名

４．現時点では予定していないその他（未回答・不明）

４．１０，０００名以上Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

15

調査結果

④安全基準等への提言、要望等 (1/2)

・ 安全基準等の指針に対する意見としては、対策の段階化（最低限必要なレベル、望ましいレベル、理想レベル)等による企業規模に見合った指針化、取り組み易い具体策の提示等、より実効性を求める要望があった。
・ 安全基準等に対する意見としては、事例提供・分野内共通の留意点の提示・セミナー開催等の情報提供、事業者としての必要最低限の対応の担保に向けた法制化を視野に見直しを進めることの検討着手について意見があった。
１．安全基準等の指針に対して① 最低限必要な対策、望ましい対策、理想とする対策など段階的な指針にするとわかりやすい② 情報セキュリティ政策会議で策定している指針や対策編は参考になるが、次元がハイレベルのように感じる③ 対策編で更なる具体的な内容を示してほしい④ チェックシートなどがあるとさらに有意義になるのではないか
２．安全基準等に対して① ガイドライン適用の参考としたく、出来るだけ多くの事例を提供いただきたい② 内規案があるとより理解、対策が可能となる③ 一般論ではなく、規模・コスト別の対策例を提示いただきたい④ 必要最低限にすべき。過度に基準を設定しても、実行できなければ意味を呈さない⑤ 安全基準等は参考するも、見直しが追いついていないように感じる。ITが専門ではない事業分野においては、対策を最新に保つのが難しいので、事業分野に共通する留意点を専門的な立場から提示して頂きたい⑥ 日々発見される脅威への対応が充分なのか不安な面が多々ある。多くの安全基準等のセミナー開催を希望⑦ 営利企業においては、情報セキュリティの重要性は理解できても、それに要するコストは常にメリットとの見合い。
その意味で政府等が示すガイドラインは、強制力がなく、状況に応じた事業者判断を可能としている形態は適切と考えられる。
一方で昨今の情報セキュリティを巡る情勢から、各事業者が足並みをそろえた対応すべき点も生じることが想定される。事業者の必要最低限な対応の担保に向け、法制化も視野に対策見直しを進めることも要検討だと考えられる※金融、政府・行政サービスは、調査対象外
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

16

調査結果

④安全基準等への提言、要望等 (2/2)

・ 自由意見としては、ＩＴ人材育成支援・情報セキュリティ相談窓口、セキュリティ対策費用の助成等の支援、政府レベルでのＯＳ不具合・ウイルスソフト等の情報公開・対策、セキュリティ対策の一定水準の義務付け、サイバーテロ等に対する取り締まりと法的措置の強化といった意見があった。

３．その他（自由意見を記載）① IT人材育成のための支援を重視して頂きたい② 情報セキュリティの相談窓口の設置をお願いしたい③ 対策実施には多額の設備投資を要する箇所もある。支援して頂けるような枠組みがあれば助かる④ 情報セキュリティに関して、一定の水準を保つよう義務付けるとともに、セキュリティ費用等における助成の検討をお願いしたい⑤ セキュリティ全般に対するＯＳの不具合、ウイルスソフト等を政府として迅速に公開してほしい⑥ 現在、コンピュータウイルスの対策はソフトウエア業界任せであり、真の脅威に積極的に取り組んでいるとは言い難
いとの思いがある。真の脅威を未然に防ぐためにも国の研究機関等が、重要なコンピュータウイルス対策を行うべきではないか⑦ サイバーテロ、不正アクセス、ウイルス散布、スパムメール等に対する取り締まりと法的措置の強化を実施して頂きたい※金融、政府・行政サービスは、調査対象外

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

17まとめ・ 重要インフラ事業者等における情報セキュリティ対策の実施状況を分野横断的に把握

 回答選択の傾向は総じて昨年とほぼ同様であった。また、回収率は９４．１％（対前年度＋０．９％）であった。
 想定する脅威として、「クラウドサービス利用におけるセキュリティ管理」、「スマートフォン等のモバイル端末のセキュリティ」といった環境変化を挙げる事業者が増加している。
 一部項目において見られた対策状況の率の減少（対前年比）については回答者の追加・入替え等に起因するものであり、追加・入替え等を除く対策状況については横ばいから微増であった。
このことから、現調査対象範囲における安全基準等の対策状況は、対策途上期から成熟期に移行しつつあることが推定される。
≪さらなる情報セキュリティ対策の拡充に向けて≫ 環境変化、とりわけ新技術に係る重要インフラ事業者等によるリスク分析への支援について検討を要する。
 現調査対象範囲からの対象拡張及び具体的な対策状況確認を通じて、本調査結果（特に課題）を国の施策にフィードバックする機能の実現に向けた検討を要する。
 今後の重要インフラ事業者等における情報セキュリティ対策の実施状況の把握については、本調査による以下の実現を目指し、一部調査運営を見直した上で継続して実施する。
 調査対象範囲の拡張にて、より広範な重要インフラ全体の状況確認
 より具体的な対策状況の確認を通じたより深化した課題抽出 成熟期への移行推定に基づく率の減少（対策退化傾向）の検知
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

18

＜参考＞

アンケート項目・ 以下のアンケート項目にて調査を実施（「NISCアンケート項目に準じて実施」の場合）
・ 「既存調査を活用」する場合は、全体集計に際して、可能な範囲でアンケート項目との読み替えを実施【基礎的事項】 貴社（又は貴団体）の従業員数を選んでください。
【① 安全基準等の整備の状況に関する事項】（１） 指針及び対策編をご存知ですか。
（２） 指針及び対策編を何で知りましたか。
（３） 今後の周知方法の検討に活かしたいと思いますので、効果的に周知する手段について良いと思われるものがありましたらご紹介ください。
（４） 内規の策定・見直しの契機を以下からお知らせ下さい。
（５） 参考とする安全基準等や諸規格をお知らせ下さい。
（６） 内規改定を行う際の体制をお知らせ下さい。
（７） 内規改定に要する大体の期間をお知らせ下さい。
【② 情報セキュリティ対策の実施状況に関する事項】（１） 組織・体制及び資源の確保に関する対策を実施していますか。
（２） 情報についての対策を実施していますか。
（３） 情報セキュリティ要件の明確化を実施していますか。
（４） 明確化した情報セキュリティ要件に対応した情報システムの対策を実施していますか。
（５） 情報セキュリティ対策の運用に関する対策を実施していますか。
（６） 事業継続計画の策定状況をお知らせ下さい。
（７） 事業継続計画の対象とする脅威をお知らせ下さい。
（８） 貴社（又は貴団体）における情報セキュリティ対策の対外的な説明状況をお知らせ下さい。
（９） 情報セキュリティ対策の対外的な説明の方法をお知らせ下さい。
（１０）重要インフラサービスに障害が発生した場合に障害の状況、復旧等の情報提供の方策が明示されていますか。
（１１）環境変化に伴う脅威に対する対策を実施していますか。
（１２）対象とする脅威をお知らせ下さい。
【③ 安全基準等に対する準拠状況に関する事項】（１） 安全基準等や貴社（又は貴団体）の内規等に基づく情報セキュリティ対策の実施状況の自己点検を行っていますか（予定を含む）。
（２） ＩＴ障害発生を想定した演習、訓練等を実施していますか（予定を含む）。
（３） 情報セキュリティ対策の実施状況に関する内部監査を実施していますか（予定を含む）。
（４） 情報セキュリティ対策の実施状況に関する外部監査を実施していますか（予定を含む）。
【④ 政府への提言、要望等】（１） 安全基準等の指針に対して（自由意見を記載）（２） 安全基準等に対して（自由意見を記載）（３） その他（自由意見を記載）
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

19