参考資料２

重要インフラの情報セキュリティ対策に係る第３次行動計画の概要

平成２６年１０月１０日

情報セキュリティ政策の全体像と重要インフラとの関係

ボットネットによる攻撃

誘導型攻撃の出現

Winny

2001.9年度

2000

各省における試行錯誤

2004

2005

サイバー攻撃への対応を中心とした対策実施時期

2006

Gumblar猛威

2009

IT障害への対応も含めた
総合的な対策基盤づくりの推進

標的型攻撃
組織的高度化20132014

国民を守る情報セキュリティ戦略（2010.5.11 情報セキュリティ政策会議決定）

ｻｲﾊﾞｰｾｷｭﾘﾃｨ戦略

第１次情報セキュリティ基本計画 第２次情報セキュリティ基本計画（2013.6.10）（情報セキュリティ政策会議決定）（2006.2.2 情報セキュリティ政策会議決定） （2009.2.3 情報セキュリティ政策会議決定）【年次計画】※ 基本戦略に基づき策定する年度計画

約
１
箇
月
で組
織を
立
ち
上げ

政府機関対策情報セキュリティポリシーに関するガイドライン

SJ2006

SJ2007

SJ2008

SJ2009JS2010JS2011JS2012

政府機関の情報セキュリティ対策のための統一基準（第１～３版）

政府機関の情報セキュリティ対策のための統一基準（第４版～）（2005.12.13 情報セキュリティ政策会議決定）（2009.2.3 情報セキュリティ政策会議決定）

重要インフラの情報セキュリティ対策に係る行動計画

重要インフラの情報セキュリティ対策に係る第２次行動計画（2000.12 情報ｾｷｭﾘﾃｨ対策推進会議決定） （2005.12.13 情報セキュリティ政策会議決定）（2009.2.3 情報セキュリティ政策会議決定）（2000.7 情報ｾｷｭﾘﾃｨ対策推進会議決定）

重要ｲﾝﾌﾗ対策
重要インフラのサイバーテロ対策に係る特別行動計画

内閣官房情報セキュリティ対策推進室（2000.2設置）

2015

サイバー攻撃事態発生を念頭、新たな環境変化対応、リスクの深刻化の進展に対応
能動的情報セキュリティ対策した国家安全保障・危機管理「事故前提社会」への対応力強化等成熟した等の観点からの取組みの強化
情報セキュリティ先進国へ向けた取組【中長期計画】

組
織体
制

9.18
攻撃

韓国
大規模障害

2010

基本戦略

対策
推
進の枠
組
み制御ｼｽﾃﾑ
Stuxnet攻撃

サイバーｾｷｭﾘﾃｨ戦略

スパイウェア米韓
ＤＤｏS
攻撃

国民を守る情報セ戦略

米国
同時多発テロ

2000.1

DNSキャッシュ
ポイズニング

第二次情報セ基本計画

Webサーバの省庁ＨＰ 脆弱性への攻撃
連続改ざん
フィッシング詐欺

SS2013SS2014改定
統一基準群
2014.5.19決定

第３次行動計画① 内閣官房情報セキュリティセンター （2005.4 設置） センター長：内閣官房副長官補（事態対処・危機管理）② 情報セキュリティ政策会議 （2005.5 設置） 議長：内閣官房長官③ GSOC （2008.4 運用開始）
Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

1

第３次行動計画の全体像
官民連携による重要インフラ防護の推進
重要インフラにおけるサービスの持続的な提供を行い、自然災害やサイバー攻撃等に起因するＩＴ障害が国民生活や社会経済活動に重大な影響を及ぼさないよう、ＩＴ障害の発生を可能な限り減らすとともにＩＴ障害発生時の迅速な復旧を図ることで重要インフラを防護する

重要インフラ（１３分野）●情報通信●金融●航空●鉄道●電力●ガス●政府・行政サービス（含・地方公共団体）●医療●水道●物流

重要インフラ所管省庁（５省庁）●化学●クレジット●石油

ＮＩＳＣによる調整・連携

●金融庁
［金融］
●総務省
［情報通信、行政］●厚生労働省 ［医療、水道］●経済産業省 ［電力、ガス、化学、クレジット、石油］●国土交通省 ［航空、鉄道、物流］

関係機関等●情報セキュリティ関係省庁●事案対処省庁●防災関係府省庁●情報セキュリティ関係機関●サイバー空間関連事業者

重要インフラの情報セキュリティに係る第３次行動計画
安全基準等の整備・浸透

情報共有体制の強化

障害対応体制の強化

リスクマネジメント

防護基盤の強化

重要インフラ各分野に横断的な対策の策定とそれに基づく、各分野の「安全基準」等の整備・浸透の促進

ＩＴ障害関係情報の共有による、官民の関係者全体での平時・大規模IT障害発生時における連携・対応体制の強化

官民が連携して行う演習等の実施・演習・訓練間の連携によるＩＴ障害対応体制の総合的な強化

重要インフラ事業者等におけるリスク評価を含む包括的なマネジメントの支援

広報公聴活動、国際連携の強化、規格・標準及び参照すべき規程類の整理・活用・国際展開

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

2

重要インフラ
重要イン
フラ分野
事業の範囲
名称

事務局

セプター一覧表（13分野・18セプター） 2014年4月現在

情報通信
電気通信
TCEPTOAR

放送

銀行等

証券

生命保険 損害保険

航空

鉄道

電力

ガス

政府･行政
サービス

医療水道

物流

化学

クレジット

石油

航空

鉄道

電力

ガス

政府公共団体

医療

水道

物流

化学

クレジット

石油

金融CEPTOAR連絡協議会
ケーブル
航空分野
放送
鉄道
電力
GAS
自治体
医療
水道
物流
化学
クレジット
石油
テレビ
における銀行等
証券
生命保険
損害保険
CEPTOAR
CEPTAOR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOARCEPTOAR
CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR(一財)日 (一社)日本データ 本ケーブ通信協会 ルテレビ
テレコム・ 連盟
アイザック
推進会議
２８社・団体金融

２５２社(一社)日 (一社)全 日本証券 (一社)生 (一社)日本民間放 国銀行協 業協会
命保険協 本損害保送連盟
会
険協会
ＩＴ管理部 会
事務シス
総務部コ ＩＴ推進部
テム部
ンプライア 共同シスンス統括 テム開発
グループ 室１９４
１，４１１社
社・団体

２５１社
７機関

国土交通 国土交通 電気事業 (一社)日 地方公共 厚生労働 (公社)日 (一社)日 石油化学 (一社)日 石油連盟
省
省
連合会
本ガス協 団体情報 省
本水道協 本物流団 工業協会 本クレジッシステム 医政局 研 会
体連合会
ト協会
航空局 安 鉄道局 総 情報通信 会
全企画課 務課 危機 部
保安技術 機構
究開発振 総務部総管理室

グループ

情報化支 興課 医療 務課
援戦略部 技術情報
推進室

４３社

構成員
（内訳）３０社
２グループ
２２社
１２社
１０社
４７
１ｸﾞﾙｰﾌﾟ８水道
１６社(オブザーバ ３機関
１団体
２機関
都道府県 ２機関
事業体
６団体
３社含む)
１機関
１，７４２
（固定系 （(一社)日 （日本放 （銀行、信 （証券会 （(一社)生 （情報シス （航空運 （鉄道事 （一般電 （主要な一 市区町村 （医療機 （会員水 （物流事のﾈｯﾄﾜｰｸ 本ケーブ 送協会、 用金庫、 社、取引 命保険協 テム委員 送事業者、 業者22社、 気事業者、 般都市ガ関、日本 道事業体 業者）
ｲﾝﾌﾗを設 ルテレビ 地上系民 信用組合、 所等証券 会の定款 会参加会 定期航空 1団体、官 日本原電 ス事業者
医師会[情 のうち会置する電 連盟の正 間基幹放 労金、商 関係機に定める 社）
協会、官 庁［鉄道 (株)、電源 10社）
報共有機 長都市並気通信事 会員ケー 送事業者、 工中金、 関）社員およ庁［航空 局］）
開発(株)、能]、保健 びに地方業者、ｱｸ ブルテレ (一社)日 農協等）
び特別会
局、気象
電気事業
医療福祉 支部長都ｾｽ系の電 ビ事業者） 本民間放員）
庁］）
連合会、情報シス 市）
気通信事送連盟）
電力中央
テム工業 [補足]障害の内容によって、業者、ISP研究所）
会[情報分 構成員を通じ、事業者、
析機能]） 全国の日本水道協会の携帯電話
会員水道事事業者業体(1,350事等）業体)への情緊急窓口

2007年4月 2012年12月
運用開始 運用開始

検討中

検討中

検討中

（検討中） （検討中） （検討中）

報を提供

検討中

検討中

検討中

検討中

検討中

検討中

障害事例 障害事例 障害事例 障害事例 障害事例 障害事例 障害事例 障害事例 障害事例 脆弱性に 障害事例 障害事例 障害事例 障害事例 障害事例 検討中
情報等
情報等
情報等
情報等
情報等
情報等
情報等
情報等
情報等
関する情 情報等
情報等
情報等
情報等
情報等
報等

検討中

検討中

メール、電 メール、電 メール、電 メール、電 メール、電 メール、電 メール、電 メール、電 メール、電 メール、電 メール、電 メール、電 メール、電 メール、電 メール、電 検討中
話
話
話、FAX、 話、ＷＥＢ 話、FAX、 話
話
話
話
話、携帯、 話、携帯、 話、WEB 話、携帯、 話、携帯、 話
WEB
WEB
FAX、電 AX
衛星電話、 衛星電話、子会議室、
FAX
FAX
TV会議、会議体

検討中

検討中

情報の取扱 2007年
2012年
2007年
1月制定 11月制定 3月制定
ルール

情報と連絡手段2007年4月より運用開始
2007年
3月制定

2007年
3月制定

2007年
3月制定

2007年
3月制定

2007年
3月制定

2008年4月より運用開始
2007年
3月制定

2006年
9月制定

2007年
3月制定

2007年
3月制定

2008年
3月制定

2008年
3月制定

2008年3月制定（注） 本マップは、各セプターの自主的な整備状況を把握し、マップとして取り纏めたもの。
Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

3

第３次行動計画の主なポイント 第２次行動計画の施策群の基本的な骨格の維持
 必要に応じた個別施策とその実施体制等の見直しによる当該施策の修正・補強
第３次行動計画における施策群

第２次行動計画からの補強・改善のポイント

１．安全基準等の整備及び浸透○他施策の結果を指針・対策編に反映するプロセスの明示○指針による成長モデル等の訴求及び対策の実情の調査

２．情報共有体制の強化○新たな関係主体を含めた情報共有体制における各関係主体の位置付けの見直し及び関係主体間の関係の再整理○サイバー攻撃関係情報の増加を踏まえた共有すべき情報（脅威の類型等）の見直し○平時における対応を念頭に置いた大規模ＩＴ障害対応時の事案対処体制の明確化

３．障害対応体制の強化○重要インフラ関係の演習・訓練の全体像を把握した上でＩＴ障害対応体制の総合的な強化○新たな関係主体との連携を念頭に置いた横断的演習の質的改善

４．リスクマネジメント○環境変化等に応じて生じる複数分野において大きな影響を生じ得るリスク源、将来的に多大な影響が予想される環境変化についての中長期的な調査の実施○重要インフラ事業者等が自らの状況を正しく認識し、活動目標を主体的に定めるに当たって必要となるリスクマネジネントの訴求

５．防護基盤の強化○広報公聴、国際連携に加え、関連する国際標準・規格、参照すべき規程類の整理、活用方法の提示を追加

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

4

第３次行動計画の基本的考え方・要点

行動計画-II章（p11）

基本的考え方
●「重要インフラ防護」の目的• 重要インフラにおけるサービスの持続的な提供を行い、自然災害やサイバー攻撃等に起因するＩＴ障害が国民生活や社会経済活動に重大な影響を及ぼさないよう、ＩＴ障害の発生を可能な限り減らすとともにＩＴ障害発生時の迅速な復旧を図ることで重要インフラを防護する。

●「基本的な考え方」
情報セキュリティ対策は、一義的には重要インフラ事業者等が自らの責任において実施するものである。また、重要インフラ防護における官民が一丸となった取組を通じて国民の安心感の醸成を目指す。
• 重要インフラ事業者等は事業主体として、また社会的責任を負う立場としてそれぞれに対策を講じ、また継続的な改善に取り組む。
• 政府機関は、重要インフラ事業者等の情報セキュリティ対策に関する取組に対して必要な支援を行う。
• 取組に当たっては、個々の重要インフラ事業者等が単独で取り組む情報セキュリティ対策のみでは多様な脅威への対応に限界があることから、他の関係主体との連携をも充実させる。

要点～ 行動計画推進に当たって期待する関係主体、更には事業者等の経営層に期待すること ～●各関係主体の在り方• 自らの状況を正しく認識し、活動目標を主体的に策定するとともに、各々必要な取組の中で定期的に自らの対策・施策の進捗状況を確認する。また、他の関係主体の活動状況を把握し、相互に自主的に協力する。
• ＩＴ障害の規模に応じて、情報に基づく対応の５Ｗ１Ｈを理解しており、ＩＴ障害の予兆及び発生に対し冷静に対処ができる。多様な関係主体間でのコミュニケーションが充実し、自主的な対応に加え、他の関係主体との連携、統制の取れた対応ができる。

●重要インフラ事業者等の経営層の在り方
経営層は、上記の在り方に加え、以下の項目の必要性を認識し、実施できていること。
• 上記の目的達成に当たっての情報セキュリティを中心とするリスク源の認識。
• 上記のリスク源の評価及びそれに基づく優先順位を含む方針の策定。
• システムの構築・運用及び当該方針の実行に必要な計画の策定、並びに予算・体制・人材等の経営資源の継続的な確保。
• システムの運用状況の把握等を通じた当該方針の実行の有無の検証。
• 演習・訓練等を通じた他関係主体との情報共有を含む障害対応体制の検証及び改善策の有無の検証。
Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

5

｢重要ｲﾝﾌﾗ事業者等による対策例｣と各対策に関連する｢国の施策例｣
重要イン
フラ
事
業者
等の対策
例Ｐｌａｎ（準備）／予防・抑止規定

抽出した課題に基づくリスク評価

共針

基本方針の策定／見直し

通内規の策定／見直し（情報セキュリティポリシー等）

計

IT-BCP等の策定／見直し

画

情報セキュリティ対策に係るロードマップの作成／見直し
情報セキュリティ対策計画の作成／見直し

情報の取扱いについての規定化

体制平

情報セキュリティ対策の運用（監視・統括）情報セキュリティ対策の運用状況把握
情報セキュリティ対策の運用（予兆の把握、パスワード変更等）
情報セキュリティ対策状況の対外説明

構
人材育成・配置・ノウハウの蓄積

築

外部委託における対策（管理体制・契約・ＩＴ障害時）

情報セキュリティ要件の明確化／変更
情報セキュリティ対策（技術）に係る設計・実装／保守
情報セキュリティ対策（運用）に係る設計・手順書化／保守

平時

時

予算・体制（含、委託先）の確保

Ｃｈｅｃｋ（確認）・Ａｃｔ（是正）／確認・課題抽出

Ｄｏ（実働）／検知・回復方行動計画-II章（p12）

情報セキュリティ対策の運用を通じた課題抽出
内部監査・外部監査を通じた課題抽出
ＩＴに係る環境変化の調査・分析
結果を通じた課題抽出
演習・訓練を通じた課題抽出

障害
発
生
時

ＩＴ障害に対する防護・回復
情報セキュリティ対策状況の対外説明

障害
発
生
時

ＩＴ障害対応（検知・回復）を通じた課題抽出

リスクマネジメント
リスク特定・分析の支援（内閣官房）

国

障害対応体制の強化
分野横断的演習の安全基準等の整備及び浸透情報共有体制の強化

施

指針の継続的改善

官民の関係主体間の情報共有

セプター訓練（内閣官房）（内閣官房／重要インフラ所管省庁）（内閣官房／重要インフラ所管省庁）

策

安全基準等の継続的改善

ｾﾌﾟﾀｰｶｳﾝｼﾙによる情報共有

重要インフラ所管省庁訓練（重要インフラ所管省庁）（内閣官房／重要インフラ所管省庁）（重要インフラ所管省庁）例（内閣官房／重要インフラ所管省庁）

安全基準等の浸透状況等に関する調査（内閣官房）

防護基盤の強化
広報公聴活動／国際連携／規程類の整備（内閣官房／重要インフラ所管省庁）

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

6

行動計画-III.1（p13～）

安全基準等の整備及び浸透重要インフラ防護能力の維持・向上を目的に、ＰＤＣＡサイクルの下、「指針」及び「安全基準等」の相互的・継続的改善を目指す。
※安全基準等・・・業法、業界標準／ガイドライン、内規等の総称※指針・・・・・・安全基準等の策定・改訂に資するため、分野横断的に必要度の高い対策項目を収録したもの

行動計画期間当初の課題
 優先順位付けされた指針の提示要望（事業者等から）
 事業者等のPDCAサイクルに沿った指針の見直し
行動計画期間中の施策（１） 指針の継続的改善 ※2014年度内に見直しを実施
 指針本編・対策編のPDCAサイクルに沿った見直し セキュリティ対策の優先順位付け等（成長モデル）の考え方の例示（２） 安全基準等の継続的改善
 各分野の安全基準等を対策等から得た知見を基に改善（３） 安全基準等の浸透
 毎年の調査（重要インフラ事業者等への往訪を含む）
により、対策状況を客観的に把握
 中小規模事業者等調査対象の拡大と対策プロセスに沿った項目整理により、強化対象等を明確化

指針

第３次行動計画に基づく取組
み相互的・継続的改善
安全基準等の策定の参考として提示

策定
見直し

分野Ａ
安
業法
全
基
準 業界標準/等 ガイドライン
内規 内規 内規 ・・・

運用

評価

分野横断 安全基準
的に必要 等の浸透度の高い 状況・改善項目を抽 状況を調
出査

分野Ｂ
安
業法
全
基
準 業界標準/等 ガイドライン
内規 内規 内規 ・・・

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

分野Ｃ
安
全
基
準等

業法
業界標準/
ガイドライン
内規 内規 内規 ・・・

7

行動計画-III.2（p15～）

情報共有体制の強化

多様な脅威に対応するため、個々の重要インフラ事業者等が単独で取り組む情報セキュリティ対策に加え、分野内、分野間あるいは官民間の情報共有を一層強化する。
事案対処省庁

情報セキュリティ関係省庁

行動計画期間当初の課題

攻撃手法情報復旧手法情報各種関連情報 等

 情報共有頻度の分野間格差の解消
 「脅威の類型」の細分化 大規模ＩＴ障害対応時の情報共有体制の構築
 新たな関係主体との連携の在り方の整理

内閣官房情報セキュリティセンター（NISC）
早期警戒情報復旧手法情報各種関連情報 等

犯罪被害等の通報※重要インフラ事業者等の自主的判断に基づくもの

連携要請
攻撃手法情報復旧手法情報各種関連情報 等

情報ｾｷｭﾘﾃｨ関係機関
連携要請
攻撃手法情報復旧手法情報各種関連情報 等

障害・攻撃情報 等

重要インフラ所管省庁（５省庁）（金融庁、総務省､厚生労働省、経済産業省､国土交通省）

サイバー空間関連事業者

重要インフラ分野

平時等

セプターカウンシル
早期警戒情報復旧手法情報各種関連情報 等

セプター１

行動計画期間中の施策（１） 情報共有体制の発展
 新たな関係主体※の追加※防災関係府省庁、サイバー空間関連事業者

 平時とその延長線上の大規模IT障害対応体制の構築（２） 情報共有の更なる促進 迅速・正確な状況把握のための情報連絡・提供時の詳細項目の見直し
 セプターカウンシルを始めとするセプター間の情報共有の更なる充実（３） 関係主体の役割の明確化
 多様な関係主体の役割を平時・大規模IT障害発生時に分類して明確化

第３次
行動
計
画に基
づ
く
取組
み平
時の延
長線
上の体
制

早期警戒情報障害・攻撃情報
復旧手法情報各種関連情報 等

障害・攻撃情報 等

セプター２
セプターＸ

事務局（各分野の業界団体等）
復旧手法情報各種関連情報 等

障害・攻撃情報 等

Ａ社

Ｂ社

Ｃ社

Ｄ社

Ｅ社

円滑な移行
事案対処省庁

防災関係府省庁

情報セキュリティ関係省庁
攻撃手法情報復旧手法情報各種関連情報 等

被害情報
対応状況情報 等

攻撃がテロによるものだと思われる場合の被災情報、テロ関連情報 等

内閣官房（事態対処・危機管理担当）
内閣官房情報セキュリティセンター（NISC）
早期警戒情報復旧手法情報各種関連情報 等

犯罪被害等の通報※重要インフラ事業者等の自主的判断に基づくもの

情報ｾｷｭﾘﾃｨ関係機関
連携要請
攻撃手法情報復旧手法情報各種関連情報 等

障害・攻撃情報 等

重要インフラ所管省庁（５省庁）（金融庁、総務省､厚生労働省、経済産業省､国土交通省）

大規模
IT障害
発生時

連携要請
攻撃手法情報復旧手法情報各種関連情報 等

サイバー空間関連事業者

重要インフラ分野

セプターカウンシル
早期警戒情報復旧手法情報各種関連情報 等

セプター１
早期警戒情報障害・攻撃情報
復旧手法情報各種関連情報 等

障害・攻撃情報 等

セプター２
セプターＸ

事務局（各分野の業界団体等）
復旧手法情報各種関連情報 等

障害・攻撃情報 等

Ａ社

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

Ｂ社

Ｃ社

Ｄ社

Ｅ社

8

行動計画-III.3（p20～）

障害対応体制の強化

分野横断的演習の更なる充実に加え、ＩＴ障害対応に関する他の演習・訓練との連携・役割分担を行うことで、重要インフラ事業者等のＩＴ障害対応能力を高める。
ボリュームゾーンに着目

分野横断的演習の参加者拡大

行動計画期間当初の課題
 横断的演習の成果の重要インフラ全体への普及・浸透 IT障害発生時の対応を踏まえた関係主体の在り方 重要インフラ所管省庁等による演習・訓練との連携等

行動計画期間中の施策（１） 分野横断的演習の改善
 他施策等との連携強化による横断的演習自身の改善※他施策で得られた知見、最新動向のシナリオへの反映※演習成果の他施策への反映

 成果の浸透 参加対象の裾野拡大（２） 関係演習・訓練との連携による相乗効果
 セプター訓練・重要インフラ所管省庁による他演習・訓練と相互に連携・補完

上級者
中級者
初級者

ＰＤＣＡによる
改善プロセス例

分野全体のレベル引き上げ

重要ｲﾝﾌﾗ事業者

Plan(準備)

第３
次
行動計
画に基づ
く
取組
み

参加対象の裾野拡大

参加個社におけるIT-BCP等関係規程の整備・見直し○演習から得た改善点に基づくIT-BCP等関係規定の整備・見直し
例：指揮命令系統の明確化
権限委譲、代行順位
広報、利用者への対応 等Do(実働)Check(確認)

平時におけるシステム運用
平時における情報連絡・情報提供
規程に基づく自主訓練等の実施（含、セプター訓練）

参加個社における規程類・体制の実効性検証民民間の情報共有体制の実効性検証○整備・見直しをした関係規定に基づくシステム運用、情報連絡・情報提供、自主訓練等の実施

演習の事前準備Act(是正)分野横断的演習から得た改善点の抽出・分析＜規程類・体制の実効性検証＞○IT-BCP本体の実効性検証○IT-BCP発動の際の連絡・対応体制等の検証＜民民間情報共有体制の検証＞○セプター内の体制の検証○セプター間の体制の検証○実効性検証を踏まえた改善点の抽出
・分析

演習本番

演習後の振返り等国
Plan(準備)
分野横断的演習の企画
行動計画の各施策群への反映＜演習の企画＞○前回演習から得た改善点を踏まえた
今回演習の企画＜各施策群への反映＞○前回演習から得た改善点に基づく情報共有体制の見直し○前回演習から得た改善点に基づく指針の改訂

Do(実働)

Check(確認)Act(是正)セプター訓練事業者によるIT-BCPの見直しの促進
情報共有体制による情報提供の実施
安全基準等の改善の促進

分野横断的演習の実施目的に照らした
各項目のチェック
（各施策群）

分野横断的演習から得た改善点の抽出・分析
行動計画の各施策群における改善点の抽出・分析（フィードバック）＜セプター訓練＞○分野横断的演習のベースである官民間の情報伝達体制の機能確認＜IT-BCPの見直しの促進＞○前回演習から得た各事業者のIT-BCPの改善点の見直しの促進＜情報提供＞○見直した情報共有体制による情報提供の実施＜安全基準等の改善の促進＞○改訂した指針を参考にした各分野の安全基準等の改善の促進＜演習の実施＞○演習シナリオに沿う中での、あるべき姿と実態の乖離状況のチェック－障害対応体制
どの程度機能しているのか
何が不足しているのか－情報共有体制
障害対応体制の観点から、何が不足しているのか－指針
障害対応体制の観点から、何が不足しているのか

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

＜演習の改善点＞○今回演習で得た次回演習での改善点の抽出・分析＜フィードバック＞○今回演習で得た情報共有体制の改善点の抽出・分析○今回の演習で得た指針の改善点の抽
出・分析

9

行動計画-III.4（p23～）

リスクマネジメント

重要インフラ事業者等がその事業目的であるサービスの持続的提供を実現するために実施するリスクマネジメントを支援する。
行動計画期間当初の課題
 重要インフラ事業者等において、事業目標達成に向け必要なリスクマネジネントの訴求 環境変化等に応じて生じ得るリスク源、多大な影響が生じうる環境変化の中長期的な調査
行動計画期間中の施策（１） リスクマネジメントの標準的な考え方
 リスクマネジメントは自らの状況把握をし、各重要インフラ事業者等がそれぞれにおいて主体的に実施
 防護基盤強化のため作成する手引書等の利活用※国際標準への準拠を求めるものではなく、自組織のリスクマネジメントの更なる最適化等が目的。

（２） リスクマネジメントの内閣官房による支援
 リスクアセスメントの支援
・環境変化調査・相互依存性解析（ＩＴ依存度調査含む）

 リスクコミュニケーション及び協議の支援（３） 他施策との相互反映プロセスの確立
 環境変化調査、相互依存性解析の結果 ⇒ 他施策
 他施策で顕在化したリスク等 ⇒ 調査・解析対象

第３次行
動計
画に基づ
く
取組
み重要イン
フラ
事
業者
等

情報セキュリティ
リスク管理

ｼｽﾃﾑ
担当者

情報セキュリティ
リスク

環境
リスク

経済
リスク・・・

評判
リスク

経営層

重要インフラ全体のリスク管理

支援
リスクコミュニケーション及び協議の支援

内
閣
官
房を中
心とした
取組

・セプターカウンシル
・分野横断的演習の検討会

分野Ａ

分野B

ＩＴ障害

ＩＴ障害

（重要サービスの停止）（重要サービスの停止）

影響大ＩＴの不具合影響小ＩＴの不具合（重要システムの停止）（重要システムの停止）
新規
脅威

新規
脆弱性

技術

リスク源
イベント

システム

環境の変化

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

既存
リスク源

法規

ﾘｽｸ
ｱｾｽﾒﾝﾄの支援
IT依存度調査

既存
リスク源

政策

環境変化
調査
10行動計画-III.5（p27～）

防護基盤の強化

広報公聴、国際連携、関係規程類、国際基準等の手引書作成等、重要インフラ防護の全体を支える共通基盤的な取組を強化する。
行動計画期間当初の課題
 広報公聴の一層の充実
 二国間、地域間、多国間の枠組みの積極的な活用を通じた国際連携の強化
 参照すべき規程類の整備・活用等
行動計画期間中の施策（１） 広報公聴 行動計画及びその取組について、広く認識・理解を得るための公報広聴活動の充実（２） 国際連携
 欧米、ＡＳＥＡＮ、Meridian等二国間、地域間、多国間の枠組みの積極的な活用を通じた国際連携（３） 規程類の整備
 重要インフラ防護に係る関連規程集の発行
 国際基準等の適用の際の手引書等の整備
 情報セキュリティに関する評価・認証制度の拡充の支
援

第３
次行動計
画に基づ
く
取組
み

安全基準等の整備・浸透

情報共有体制の強化

障害対応体制の強化

リスクマネジメント

知見と成果の反映

共通基盤の強化
防護基盤の強化

広報公聴

国際連携

規程類の整備HP
Web Web等による広報関連規程類を俯瞰可能な手引書

講演
二国間、地域間多国間の連携

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

11

（参考）セプター及びセプターカウンシル
セプター（ＣＥＰＴＯＡＲ）Capability for Engineering of Protection, Technical Operation, Analysis and Response 重要インフラ事業者等の情報共有・分析機能及び当該機能を担う組織。
 IT障害の未然防止、発生時の被害拡大防止・迅速な復旧および再発防止のため、政府等から提供される情報について、適切に重要インフラ事業者等に提供し、関係者間で情報を共有。これによって、各重要インフラ事業者等のサービスの維持・復旧能力の向上に資する活動を目指す。

セプターカウンシル
 各重要インフラ分野で整備されたセプターの代表で構成される協議会で、セプター間の情報共有等を行う。
政府機関を含め他の機関の下位に位置付けられるものではなく独立した会議体。
 分野横断的な情報共有の推進を目的として、２００９年２月２６日に創設。
総会
事務局

幹事会

（NISC）

総会オブザーバ 順不同

セプターのイメージ
Ａ社

Ｂ社

Ｄ社

セプター（鉄道分野）

Ｃ社

Ｅ社

セプター（医療分野）

Ｆ社(一社)日本経済団体連合会

重要インフラ事業者等

ＷＧ

ＷＧ

ＷＧ

(公財)金融情報システムセンター

順不同
セプター
（情報通信分野：通信）
セプター（金融分野：証券）

セプター（情報通信分野：ケーブルテレビ）
セプター（金融分野：生命保険）

セプター（電力分野）

セプター（ガス分野）

セプター（物流分野）

セプター（化学分野）

セプター（情報通信分野：放送）
セプター（金融分野：損害保険）
セプター（政府・行政サービ
ス分野）
セプター（クレジット分野）

日本銀行

セプター
（金融分野：銀行）(株)ゆうちょ銀行(独)情報通信研究機構（NICT）(独)情報処理推進機構（IPA）

セプター（航空分野）(一社)JPCERTｺｰﾃﾞｨﾈｰｼｮﾝｾﾝﾀｰ

セプター（水道分野）

総務省

セプター
（石油分野）

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

金融庁
厚生労働省
経済産業省
国土交通省
12（参考）分野横断的演習＜目的＞「重要インフラの情報セキュリティ対策に係る第３次行動計画」に基づく種々の情報セキュリティ対策等の実効性の検証と、自然災害・サイバー攻撃等による分野横断的なＩＴ障害が発生した際の重要インフラ防護能力の維持・向上＜参加機関：予定＞
重要インフラ事業者等：１３分野（情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス、医療、水道、物流、化学、クレジット、石油）
セプター：１３分野１８セプター
関係機関：ＪＰＣＥＲＴコーディネーションセンター（ＪＰＣＥＲＴ／ＣＣ）、情報処理推進機構（ＩＰＡ）
政府機関：重要インフラ所管省庁（金融庁、総務省、厚生労働省、経済産業省、国土交通省）、ＮＩＳＣ

航空［生保］ ［損保］ ［銀行］ ［証券］

金融

水道物流

鉄道
重要インフラ
13分野18セプター（情報共有・連携）

○金融庁
○総務省
○厚生労働省○経済産業省○国土交通省連携

政府・行政サービス

電力

化学

クレジット

情報連絡・提供
連携

CLEDIT CARD

関係機関

XXXX XXXX XXXX XXXX

ガス

重要インフラ
所管省庁

情報連絡・提供

石油［通信］ ［ｹｰﾌﾞﾙﾃﾚﾋﾞ］ ［放送］ 医療

情報通信

JPCERT/CC
IPA

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

連携

ＮＩＳＣ
13