資料２

2007年度 重要インフラにおける「安全基準等の浸透状況等に関する調査」について

2008年 3月 4日
内閣官房 情報セキュリティセンター（NISC）

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

「安全基準等の浸透状況等に関する調査」の概要◆目的・位置づけ「セキュア・ジャパン２００７」に基づき、２００６年度に策定・見直しを行った各重要インフラ分野における安全基準等（２００７年度に見直し前の安全基準等であることに注意）について、事業者等にどの程度浸透しているか、また事業者等が安全基準等に対して準拠しているかを把握するために行う調査。
安全基準等は随時見直しがなされるものであり、また着実にその浸透を図るべきものであることから、定期的に本調査を実施し、継続的に浸透状況等の把握を行う。

◆調査概要
調査対象範囲
調査方法：調査対象とする事業者等の範囲は重要インフラ所管省庁が決定：以下いずれかを重要インフラ所管省庁が選択①既存調査を活用 ②ＮＩＳＣ案に準じて実施
調査基準日：２００７年内に調査基準日を設定（②ＮＩＳＣ案に準じて実施 の場合、２００７年１０月１日現在）
アンケートの発出・回収：重要インフラ所管省庁が配布・回収（配布・回収方法は分野ごとに決定）
分野毎の集計：集計方法については、重要インフラ所管省庁が選択
ⅰ重要インフラ所管省庁で集計、ⅱＮＩＳＣで集計
全体集計・とりまとめ ：ＮＩＳＣが実施◆実施時期（②NISC案に準じて実施 の場合）
調査期間
とりまとめ

：２００７年１０月〜２００７年１２月（集計は２００８年１月まで）：２００７年度中◆調査内容（NISC案）
２００６年度に策定・見直しを行った安全基準等の浸透状況等¾分野の安全基準について認知されているか¾情報セキュリティの確保に関する内規等を制定しているか¾分野の安全基準に基づき、自社の内規等の見直しを実施しているか（予定を含む）

等

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

1調査結果 アンケート回収状況と留意点
・ 調査への協力を求めた2,958事業者等に対し、2,846事業者等からアンケートを回収（回収率 96.2％）
・ 全体集計に際しては、単純集計では回収数の多い分野の影響が大きくなる等から、共通の重みづけで集計を実施
既存調査
活用分野

アンケート回収状況

留意点

調査対象範囲

配布数

回収数

留意点１：類似の調査との重複⇒既存調査を活用することで調査を効率化

26

22

留意点２：調査対象の範囲⇒調査可能な範囲から取り組み、調査対象の拡大は追って検討

電気通信

しない

電気通信分野における情報セキュリティ対策協議会に参加する電気通信事業者

放送しない

ＮＨＫ及び地上系放送事業者

195

183

する

金融機関等

700

613

航空運送

しない

主たる定期航空運送事業者

2

2

航空管制しない

国土交通省

1

1

鉄道

しない

主要な鉄道事業者

22

21

上記に加え、単純集計では回収数の多い分野の全体集計への影響が大きくなることから、重要インフラ全体の状況把握をより適切に行うため、共通の重みづけで集計を実施

電力

しない

一般電気事業者、日本原電（株）、電源開発（株）

1212＜集計式＞

ガスしない

主要なガス事業者

1010

政府・行政サービスする

地方公共団体

1,874

1,874

医療しない

医療機関（病院抽出）

50

45

水道しない

主要な水道用水供給事業者
及び水道事業者

49

46

物流

しない大手物流事業者

17

17

2,958

2,846

情報通信
金融
航空

全分野合計

（第１１回重要インフラ専門委員会資料より）⎛ a1 ⎞ + ⎛ a2 ⎞ +･･･+ ⎛ an ⎞⎜ α⎟ ⎜ α ⎟
⎜ α⎟
1⎠ ⎝
2⎠
n⎠
⎝
⎝
A=n （※）
A : 回答Ａに対する全体集計（％）

an : 分野ｎにおける回答Ａの数
αn : 分野ｎにおける回収数※安全基準等の範囲にあわせて、情報通信、航空を２つに分けて集計するため、原則 n=12
（既存調査活用する場合に読み替え可能な項目がない場合を除く）

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

2調査結果 ①安全基準等の整備の状況に関する事項 (1/2)
・ 各分野の安全基準等について、調査対象範囲における概ね全ての事業者等に認知されていることが推定
・ 大半の事業者等が内規を制定済であるとともに、約7割の事業者等で内規見直しが実施・予定されていることが推定（１）安全基準等の認知（２）内規の制定

回収数合計：2,846

１．名称・内容ともに知っている, 90.2%

１．内規を制定している,
94.1%

３．知らない,2.1%

２．内規を制定していない, 5.9%２．名称のみ知っている,
7.7%（３）内規見直しの検討

回収数合計：2,233（４）内規の改定※金融は読み替え可能項目なし（集計対象に含めず）

１．定期的に実施している, 18.9%

２．実施したことがある,
35.9%

１．実施した,36.5%

回収数合計：359※金融、政府・行政サービスは読み替え可能項目なし（集計対象に含めず）

２．実施予定がある, 24.8%

その他(未回答・不明）,
1.8%

その他(未回答・不明）,
0.6%
４．現時点では予定していない, 31.5%

回収数合計：2,846

３．実施予定がある, 13.1%

３．現時点では予定していない, 36.9%

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

3調査結果 ①安全基準等の整備の状況に関する事項 (2/2)
・ 安全基準等の策定・見直し（2006年9月）から1年間にて、約半数の事業者等で内規見直しを実施済と推定
・ 一方で、内規見直しを予定していない事業者等も3割近く存在することが推定（３）内規見直しの検討 の時期別内訳

回収数合計：359

・実施済： 「１．定期的に実施している」（20.8％）「２．実施したことがある」（35.9％）合算の内訳
・実施予定 ： 「３．実施予定がある」（14.4％）の内訳
5%10%

2008年4月以降予定していない

累計
16.7%

23.0%

指針の見直し（SJ2006）

32.2.%

指針の改定（２００７．６）

57.4%

4.1%

61.5%

5.0%

「安全基準等」の策定・見直し（２００６．９）

26.9.%

55.2%

2.2%

今回の浸透状況調査対象

年度
2007

2008年1月〜3月

30%

5.3%

2007年4〜6月

2007年10月〜12月

25%

10.2%

2007年1〜3月

2007年7月以降

実
施
予
定

20%
16.7%

2006年12月以前

実
施
済

15%

指針の策定（２００６．２）

年度
20060%※金融は読み替え可能項目なし※政府・行政サービスは時期別内訳なし（集計対象に含めず）「安全基準等」の見直し（２００７．９）
指針の見直し（SJ2007）

66.5%
28.2%

94.7%

※その他（未回答・不明）があるため、合計は100%にならない
Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

4調査結果 ②安全基準等に対する準拠状況に関する事項 (1/2)
・ 今回初めて自己点検、演習・訓練、内部監査、外部監査の実施状況について調査
・ 本調査を継続して行う中で、これらの事項を引き続き確認していく（１）自己点検の実施（２）演習・訓練の実施

回収数合計：2,233※金融は読み替え可能項目なし（集計対象に含めず）

１．定期的に実施している
35.6%

２．実施したことがある
22.8%

その他(未回答・不明）
0.7%
４．現時点では予定していない
29.3%（３）内部監査の実施
１．定期的に実施している
36.7%
その他(未回答・不明）
0.7%
４．現時点では予定していない
41.7%

３．実施予定がある
11.6%

２．実施したことがある
12.0%

１．定期的に実施している36.9%
その他(未回答・不明）
1.2%
４．現時点では予定していない
45.2%

３．実施予定がある
4.7%（４）外部監査の実施

回収数合計：2,846
２．実施した
ことがある
11.9%

回収数合計：2,846

１．定期的に実施している
16.0%

回収数合計：2,846

２．実施したことがある
11.8%

その他(未回答・不明）
5.6%
３．実施予定がある
8.9%
Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

３．実施予定がある
3.7%

４．現時点では予定していない
63.0%5調査結果 ②安全基準等に対する準拠状況に関する事項（2/2）
・ より従業員数の多い事業者等において、概ね実施率が高い傾向にあることが推定
回収数合計：359※金融、政府・行政サービスは従業員数別内訳なし、「その他（未回答・不明）」を除く（集計対象に含めず）実施（予定含む）
未実施（１）自己点検の実施
10,000名
以上

17

5

10,000名
以上

1,000名〜9,999名

45

121,000名〜9,999名

100名
〜999名
100名
未満

0%

20%

40%

60%

80%

10,000名
以上

33

100名
〜999名

0%

61

40%

60%

0%

20%

80%

100%

40%

60%

80%

0%

100%

実施（予定含む）
未実施（４）外部監査の実施

100名
未満

92
20%

99

913

936

19

100名
〜999名

110

16

128

41

1,000名〜9,999名

24

23

34

10,000名
以上

4181,000名〜9,999名

100%

実施（予定含む）
未実施（３）内部監査の実施

100名
未満

100名
未満

66

42

5

17100名
〜999名

81

88

実施（予定含む）
未実施（２）演習・訓練の実施

125

42
94

1420%

40%

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

60%

80%

100%
6

調査結果 ③政府への提言、要望等
・ 政府への提言、要望等や情報セキュリティ対策の現場の状況や課題等について回答（主な内容を記載）（１）政府への提言、要望等••

新たな観点での安全基準等の整備推進施策への提言
a.

制御系システムに関する監査範囲や内容等を記載したマニュアルの整備b.

委託先にて個人情報の取扱い等を適切に実施しているかを点検するための基準の整備

政府レベルでの対策の要望
c.

「不正アクセス対策」、「コンピュータウイルス対策」への支援

d.

情報システムを提供するメーカーやベンダーへの指導e.

各省庁で発行している情報セキュリティに関するガイドライン等を統合

f.

安全基準等の見直し結果に対しての早期周知

g.

情報セキュリティ対策費用の経済的支援

h.

重要インフラ企業に対する情報セキュリティ対策の義務化

i.

コンピュータウイルス散布等に対する取り締まりと法整備の一層の強化（２）情報セキュリティ対策の現場の状況や課題等•

人的リソースの問題j.
k.

•必要な知見と専門性を有する人材の配置を整えるのが困難
IT化は進んでいるが、技術教育が遅れているために要員が不足

対策コストの問題
l.

経営が苦しくなる中、日常業務の続行を優先すれば、BCPや情報セキュリティ関連が予算削減対象に
Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

7

まとめ・ 重要インフラ事業者等における情報セキュリティ対策の実施状況を分野横断的な調査により初めて把握・ 2006年2月の指針の策定を受け、各分野における安全基準等の策定・見直しが着実に浸透していることが推定① 安全基準等の整備の状況に関する事項
・ 各分野の安全基準等について、調査対象範囲における概ね全ての事業者等に認知されていることが推定
・ 大半の事業者等が内規を制定済であるとともに、約7割の事業者等で内規見直しが実施・予定されていることが推定
・ 安全基準等の策定・見直し（2006年9月）から1年間にて、約半数の事業者等で内規見直しを実施済と推定
・ 一方で、内規見直しを予定していない事業者等も3割近く存在することが推定② 安全基準等に対する準拠状況に関する事項
・ 今回初めて自己点検、演習・訓練、内部監査、外部監査の実施状況について調査
・ 本調査を継続して行う中で、これらの事項を引き続き確認していく・ より従業員数の多い事業者等において、概ね実施率が高い傾向にあることが推定

z これらの結果を踏まえ、今後も継続的に調査を実施し、安全基準等の浸透状況等の傾向を把握する
z 加えて、指針の周知及び安全基準等に基づく内規の見直しの推進、並びに的確な情報把握のための調査の改善に努める

Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

8

＜参考＞ アンケート項目・ 以下アンケート項目にて調査を実施（「NISC案に準じて実施」の場合）
・ 「既存調査を活用」する場合は、全体集計に際して、可能な範囲でアンケート項目との読み替えを実施【基礎的事項】 貴社（又は貴団体）の従業員数を選んでください。
【① 安全基準等の整備の状況に関する事項】（１） 貴社（又は貴団体）は安全基準等を承知していますか。
（２） 貴社（又は貴団体）は情報セキュリティの確保に関する内規等を制定していますか。
（３） 安全基準等に基づき、貴社（又は貴団体）の内規等の見直しの検討を実施していますか（予定を含む）。（※）（４） 安全基準等に基づく内規等の見直しの検討の結果、内規等の改定を実施していますか（予定も含む）。（※）
【② 安全基準等に対する準拠状況に関する事項】（１） 安全基準等や貴社（又は貴団体）の内規等に基づく情報セキュリティ対策の実施状況の自己点検を行っていますか（予定を含む）。（※）（２） ＩＴ障害発生を想定した演習、訓練等を実施していますか（予定を含む）。
（３） 情報セキュリティ対策の実施状況に関する内部監査を実施していますか（予定を含む）。
（４） 情報セキュリティ対策の実施状況に関する外部監査を実施していますか（予定を含む）。
【③ 政府への提言、要望等】
その他、企業（団体）における情報セキュリティ対策の現場の立場から見た、政府への提言、要望、参考となる事項等ありましたらご回答下さい。
※ ①（３）、（４）及び②（１）は既存調査を活用する分野で読み替え可能な項目がない場合には、全体集計の対象には含めず
Copyright (c) 2008 National Information Security Center (NISC). All Rights Reserved.

9