参考資料３

２００６年度の情報セキュリティ政策の評価等－「真の情報セキュリティ先進国」を目指す取組みの 1 年目の評価－【抜粋版】

内閣官房情報セキュリティセンター（ＮＩＳＣ）
２００７年４月２３日

はじめに
１．

本文書の位置づけと基本認識

本文書は、２００６年度から始まる３年間を対象期間とする「第 1 次情報セキュリティ基本計画（以下「基本計画」という。）1」と、それに基づく年度計画である「セキュア・ジャパン２００６（以下「ＳＪ２００６」という。）2」によって進められている情報セキュリティ政策について、２００６年度の政策の評価等3を行った結果を報告するものである。
我が国の情報セキュリティ政策の運用は、上述の基本計画及び年度計画に基づくＰＤＣＡサイクル4の形で行うこととなっており、その詳細は、情報セキュリティ政策の枠組みについて記述した文書である「情報セキュリティの観点から見た我が国社会のあるべき姿及び政策の評価のあり方」（以下「情報セキュリティ政策の枠組み文書」という。）など 5 により定められている。これらに基づき内閣官房情報セキュリティセンター
（National Information Security Center (ＮＩＳＣ)）（以下「ＮＩＳＣ」という。）は、評価指標にのっとったデータ等の情報を集め、評価等を行った。
本文書は、我が国情報セキュリティ政策のＰＤＣＡサイクルの運用において、２００６年度施策の点検段階（Ｃ）に該当するものであり、情報セキュリティ政策会議は、本文書の報告を受けた後に、我が国の情報セキュリティに関する現状認識を明確にするとともに、翌年度の年度計画である「セキュア・ジャパン２００７（以下「ＳＪ２００７」という。）」を策定することになる。
したがって、本報告書の主眼は、２００６年度の情報セキュリティ政策が社会に与えた変化や情報セキュリティに関連のある事象などを全て網羅的に把握することにあるのではなく、上記のようなＳＪ２００７との関係性を踏まえ、翌年度の政策を検討するための現状認識に有益な情報を、より多く含むものとすることにある。
２．

本文書の構成1 ２００６年２月２日情報セキュリティ政策会議決定
2 ２００６年６月１５日情報セキュリティ政策会議決定
3 本書においては、情報セキュリティ政策会議決定文書（注５参照）、「１ 評価指標に基づく評価等のための作業方針」における定義に従い、「評価指標に基づく評価、補完調査及び分析等」を「評価等」と記す。但し、２００６年度は、補完調査は行っていないため、２００６年度の「評価等」には実質的には補完調査が含まれない。
4 計画（Ｐｌａｎ）、実施（Ｄｏ）、点検（Ｃｈｅｃｋ）、改善処置（Ａｃｔ）の各段階を経て、改めて計画（Ｐｌａｎ）に戻る自律的な政策推進サイクル。
5 ２００７年２月２日情報セキュリティ政策会議決定文書・了解文書（「「セキュア・ジャパン」の実現に向けた取組みの評価等及び合理性を持った持続的改善の推進について」［政策会議決定］及び「情報セキュリティの観点から見た我が国社会のあるべき姿及び政策の評価のあり方～「セキュア・ジャパン」の実現に向けた情報セキュリティ政策のＰＤＣＡサイクル確立へ～」［政策会議了解］）1

本文書では、第 1 章においては情報セキュリティ政策全体、第２章においては政府機関、第３章においては重要インフラ、第４章においては企業及び個人、第５章においては横断的な情報セキュリティ基盤 6について現状の評価等を行う。各章の構成については、他の章との比較を容易にするため、全ての章を通じてほぼ同じ柱立てとしており、各章ともに第１節では「２００６年度の取組み」、第２節では「２００６年度の取組み及び取組みを受けた現状の評価等（２００６年度の評価等）」、第３節では、評価等から抽出される「２００７年度に向けた課題」について述べる。そして、第２節の２００６年度の評価等においては、評価等の視点をはじめとする基本的考え方を述べた上で評価指標などを提示し、さらに、具体的な評価等を「施策の取組み結果」と「施策の取組みによる社会的変化」に関して加えた上で、総評を行う。
なお、第１章の情報セキュリティ政策全体の評価等は、上記の情報セキュリティ政策の枠組み文書において述べられているように、「様々な主体ごとの取組み結果の」「積み上げによってわが国総体として」「総合的かつ分析的に」行う。したがって、第１章の政策全体の評価等は、第２章以降の各章における政策領域ごとの評価等の総評を活用しながら行うこととなる。情報セキュリティ政策全体に関する具体的な分析の枠組みと手法については、以下に述べる。
３．

情報セキュリティ政策全体の評価等に係る検討の枠組みと手法

情報セキュリティ政策全体の評価等は、定性的な検討部分と、定量的なデータを適宜組み合わせる形で行う。具体的には、象徴的な事象等がある場合、これに着目してそれらが示唆するものを抽出し、適宜これに即したデータを組み合わせて評価等を行う。
検討の手順は、上述のように各政策領域7の評価等からはじめ、これらを積み上げた上で政策全体としての評価等を進める。したがって、まず基本計画及びＳＪ２００６で設定されている政策領域について、各々の領域全体としての評価等を行う。但し、各々の政策領域の評価等は、第２章以下の各論の中で領域ごとの評価等及び総評においてまとめられることから、これらを活用する。
6 情報セキュリティ技術戦略、情報セキュリティ人材の育成・確保、国際連携・協調、犯罪の取締り及び権利利益保護・救済の４分野が含まれる。
7 ここで各々の政策領域とは、「対策実施４領域」である政府機関・地方公共団体、重要インフラ、企業、及び個人、そして「横断的な情報セキュリティ基盤」である情報セキュリティ技術戦略の推進、情報セキ
ュリティ人材の育成・確保、国際連携・協調の推進、犯罪の取締り及び権利利益の保護・救済のことである。

2

こうした政策領域をまず念頭に置き、これに組み合わせて各々の政策領域に係る社会の状況等についても検討するために、社会情勢、政府の取組み実績（施策の取組み評価等）を意識する。そして、前者を横軸として捉え、後者を縦軸に捉えて（参照：
図１）全体を見た上で、縦軸の領域についても個々の領域全体として評価等を行う。
社会情勢は、非常に広範な要素を含むことから、検討にあたっては、
１）社会環境などに作用を行う主体として「人的要素（人、意識、体制・制度）」、
２）社会環境などに作用を行う際の媒介物や、作用を行った結果生み出されるものとして「物的要素（投資、技術、ハード、ソフト、ネットワーク）」、
３）実際に作用を受ける社会環境などとして「周辺情勢（インシデント・事件、市場など）」に分類を行い、各々について評価等を行うこととする。その上で、それらを積み上げる形で情報セキュリティ政策全体について評価等を行うこととする。

図１：２００６年度の情報セキュリティ政策の評価等に係る検討枠組み
政 策 領 域対 策 実 施 領 域
政府機関

重要インフラ企業

総
横 断 的 基 盤

個人

技術戦略

人材育成

国際連携

物的側面
（投資、技術、ﾊｰﾄﾞ、ｿﾌﾄ、NW）

周辺情勢（インシデント・事件、市場等）

ＳＪ０６の取組みの進捗

総評

評

社会情勢等に関する評価等

人的側面（人、意識、体制、制度）

社会
情勢

犯罪対策

各 政 策 領 域 ご と の 評 価 等

3

政策全体の評価等

第３章 重要インフラにおける現状の評価等
第１節 重要インフラにおける情報セキュリティに関する２００６年度の取組み
１．２００６年度の取組みの背景
重要インフラにおいては、そのサービスの安定的供給が最優先課題であるという面から、各事業において発生するＩＴ障害が国民生活・社会経済活動に重大な影響を及ぼさないよう対策を実施することが必要である。このような安全対策は、一義的には各重要インフラ事業者等が担うべきものであるが、社会全体のＩＴへの依存が進む中で、日増しに増大していく各種脅威への対策が個々の取組みだけでは限界に達しつつあるのが現実である。
そこで、中・長期的な取組み課題は山積するものの、先ずは実施可能なものから取組みを開始し、継続的な見直しと改善を通じて、情報セキュリティ対策の向上を図っていくというアプローチが妥当との判断に立ち、「重要インフラの情報セキュリティ対策に係る行動計画」（２００５年１２月１３日情報セキュリティ政策会議決定）（以下「行動計画」という。）を定め、「２００９年度初めには、重要インフラにおけるＩＴ障害の発生を限りなくゼロにすること」（第１次基本計画）を目指して取組みを進めているところである。
重要インフラ分野における２００６年度の取組みは、この行動計画の下で取組みを推進するための初年度の取組みとしてなされたものである。
２．２００６年度の取組み
行動計画においては、重要インフラ関係の４本の施策の柱（①安全基準等の整備 ②情報共有体制の強化 ③相互依存性解析の実施 ④分野横断的な演習の実施）と、各主体における取組み項目を示し、各項目ごとにアクションプランとして具体化を図ることにより、重要インフラの情報セキュリティ対策の向上につなげていくことにしている。また、行動計画は、３年ごと又は必要に応じ、見直しを行うこととなっている。
これを踏まえ、ＳＪ２００６において、具体的取組みを定め、実施したところである。（具体的には「第２節 ２」において後述。）【参考： ４本の施策の柱】①重要インフラにおける情報セキュリティ確保に係る「安全基準等」の整備

4

２００６年２月２日に情報セキュリティ政策会議において決定された「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」（以下、「指針」という。）を踏まえ、それぞれの重要インフラ事業分野ごとに、必要な又は望ましい情報セキュリティ対策の水準について、「安全基準等」に明示することを目標とする。
さらに、指針については１年ごと及び必要に応じて適時見直すこととし、「安全基準等」については、情報セキュリティを取り巻く環境の変化に応じ、随時見直しを行う。
②情報共有体制の強化
ＩＴ障害に関する情報について、１）ＩＴ障害の未然防止、２）ＩＴ障害の拡大防止・迅
速な復旧、３）ＩＴ障害の要因等の分析・検証による再発防止の３つの側面から、政府等は重要インフラ事業者等に対し適宜・適切に提供する。
また重要インフラ事業者等間並びに相互依存性のある重要インフラ分野間においてはこれら情報を共有する体制を強化する。
③相互依存性解析の実施
我が国全体としての重要インフラ対策の向上に向けた、分野横断的な状況の把握のため、それぞれの重要インフラに起こりうる脅威が何であるかを把握するとともに、ある重要インフラにＩＴ障害が生じた場合に、他の重要インフラに、いかなる影響が波及するかという相互依存性の把握を行う。
④分野横断的な演習の実施想定される具体的な脅威シナリオの類型をもとに、各重要インフラ所管省庁、各重要インフラ事業者等、各重要インフラ分野のＣＥＰＴＯＡＲ等の協力の下に、重要インフラ横断的な演習を行う。演習を通じ、安全基準等、情報共有体制、情報共有・分析機能、相互依存性解析等の各施策の実効性・妥当性を定期的に、かつ、段階的に、検証する。
また、この演習やその他の訓練、セミナー等を通じて、重要インフラ所管省庁及び重要インフラ事業者等を中心に、高度なＩＴスキルを有する人材を育成し、確保する。

第２節 ２００６年度の取組み及び取組みを受けた重要インフラにおける現状の評価
等（２００６年度の評価等）
１．２００６年度の評価等に関する基本的考え方（評価等の視点）
冒頭に述べたとおり、重要インフラの情報セキュリティ対策については、行動計画に従って、官民の緊密な連携の下で、情報セキュリティ対策の強化を目指しているところである。行動計画に定める取組みは、ＩＴ障害の発生を可能な限り未然に防止するために必要な対策、及び、ＩＴ障害が発生した際の影響を可能な限り極小化するために必要な具体的対策（すなわち、重要インフラにおけ5

るＩＴ障害の発生を限りなくゼロにするための対策）であり、これらの取組みの進捗度合いをみることで、重要インフラ分野におけるサービスの安定的供給機能の維持とリスクへの適切な対応の実現度合いを把握することができる。このことを踏まえ、重要インフラ分野における情報セキュリティ対策の評価等は、対策向上を目的に行動計画で定めた４本の施策の柱それぞれについて、各年度ごとの目標（具体的取組み）に対する実施状況を把握し、その進捗度合いがどの程度の状態であるかということを確認するという視点に立って行うこととする。
２．評価等について（評価指標等）（１）２００６年度の評価等について
２００６年度における重要インフラ分野における情報セキュリティ対策の評価等を行うにあたり、進捗度合いを把握する対象となる「具体的取組み」（すなわち目標）は、ＳＪ２００６に記載されているそれぞれの取組みである（別表１）。そして、これらの取組みの進捗度合いそのものが、２００６年度の進捗度合いを把握するための指標である。
（２）２００７年度の評価等について２００７年度以降についても毎年度の年度計画に盛り込む取組みの進捗度合いが指標となる。毎年度の目標とする取組みの設定については、重要インフラ専門委員会において、報告された前年度の実施状況や実際のＩＴ障害の発生状況等も踏まえながら、行動計画に掲げられている取組みの着実な進捗を確保することに留意しつつ、行うこととする。
３．評価等の結果と総評（１）施策の取組み結果に関する評価等
重要インフラ分野における情報セキュリティ対策向上の取組みに関しては、２００６年度においては、下表のとおり、計３回の重要インフラ専門委員会会合を開催し、それぞれ検討を重ねたところである。
また、「分野横断的演習」及び「相互依存性解析」については、２００６年７月から２００７年３月まで、それぞれ１０回、計２０回の検討会を開催し、具体的な検討、取組みを進めたところである。

6主な議題第６回専門委員会

・重要インフラ対策全般の今後の進め方について（２００６年６月 12 日）

・「分野横断的演習」「相互依存性解析」の進め方について

第７回専門委員会

・重要インフラ分野における情報セキュリティ対策の浸透度合いの評（２００６年 11 月 27 日）

価指標について・安全基準等の見直し、策定及び情報共有体制の構築の状況について
・「分野横断的演習」「相互依存性解析」の取組みの進捗について

第８回専門委員会

・「相互依存性解析」「分野横断的演習」の取組みについて（２００７年３月 12 日）

・「安全基準等の策定状況の把握及び評価」について
・「情報セキュリティ確保に係る『安全基準等』策定にあたっての指針の見直し」について
・「情報共有体制の構築の状況」についてその結果、行動計画に定める４つの施策の柱それぞれについて、本年度は以下のとおりの取組みの成果が得られた。
（ア）安全基準等の整備①「安全基準等」の策定・見直し
２００６年９月末において、８分野が安全基準等の策定・見直しを実施した。また同年１０月には水道分野が安全基準等を策定し、医療分野においても、２００７年３月末に見直しを完了した。
②「安全基準等」の策定状況の把握及び評価
各分野における安全基準等の策定状況についてヒアリング等によって状況把握を行い、情報セキュリティ政策会議・重要インフラ専門委員会へ報告を行うとともに、２００７年３月には指針との対応状況についての評価を実施した。
③指針の見直し
２００７年３月に、定常的なＩＴ障害の発生状況の分析、関連文書の検証、社会的条件や環境の変化の検証といったアプローチから、指針の見直し及び必要な改定のための作業を行い、重要インフラ専門
7

委員会において改定案をとりまとめた。
（イ）情報共有体制の強化①内閣官房と各重要インフラ所管省庁間での体制整備
各重要インフラ所管省庁にリエゾン（内閣官房併任）を置き、内閣官房と各重要インフラ所管省庁との間で情報連絡・情報提供を行うための体制を整備し、運用を開始した。
②各重要インフラ分野における CEPTOAR 整備の推進
７分野の重要インフラ分野において、２００６年度末までにCEPTOAR の整備を完了した。また、新規追加３分野（医療、水道、物流）において、２００７年度中の CEPTOAR の整備に向けた基本的合意が完了した。
③ＣＥＰＴＯＡＲ特性把握マップ
重要インフラ所管省庁等の協力を得て、２００６年度末に整備される各ＣＥＰＴＯＡＲ（７分野）の事業特性を把握するとともに、整備状況とあわせてＣＥＰＴＯＡＲ特性把握マップとしてとりまとめた。
④CEPTOAR-Council（仮称）設置に向けた検討
各重要インフラ分野が整備に向け検討中である CEPTOAR の参加を得て、CEPTOAR の代表から構成される CEPTOAR-Council（仮称）設置に向けた検討の場を重要インフラ所管省庁及び重要インフラ事業者等の協力を得て設置し開催した。
（ウ）相互依存性解析の実施、及び、分野横断的な演習の実施
相互依存性解析と分野横断的演習については、２００６年度は、行動計画の初年度として、官民での連絡・連携の仕組みづくりを進めた段階であったため、この仕組みづくりと実効性の強化に寄与する知見を提供していくことを目的として、これらの取組みを実施した。
相互依存性解析と分野横断的演習は、官民で連携して行う分野横断的な取組みとしては、いずれも我が国で初めてとなるものであり、行動計画を踏まえ、研究的・試行的レベルから、段階的に進めていくことにしている。

8

この考え方に沿って、分野横断的演習は、年度上半期で、演習実施の概念、演習課題の設定及び演習方法の理解などを主眼とした研究的演習を２００６年７月～１０月にかけて実施し、これを踏まえ、２００７年2 月に、重要インフラ１０分野とこれを所管する５省庁などが参加して、具体的なシナリオの下に課題討議を行う「机上演習」を実施した。また、分野ごとのサイバー演習と内閣官房の実施する演習について、実施形態及びその目的の整合性を考慮しつつ、知見の共有などの連携を図った。
また、相互依存性解析については、各重要インフラ所管省庁の協力を得て、各重要インフラ分野の特性や状況等に配慮しつつ、依存関係を可視化できる仕組み（静的相互依存性解析）の構築に向けた試行的な相互依存性解析を実施した。
これらの取組みの成果は、以下のように総括される。
①相互依存性解析
ＩＴ障害のメカニズムの構造化・可視化との面では、１０分野間での定性的な接続関係の全体像の概要の把握の中で、ＩＴシステムの運用に、通信、電力、水が重要なリソースであることが把握できた。
また、「求められる対策」に関する共通認識の醸成との面では、「自助」の取組みは進んでいる中で、「共助」の重要性への認識が高まった。その中でも、特にＩＴ障害時における情報共有に対する期待が大きいことが明らかになった。一方、「依存する分野」と「依存される分野」では、認識に違いがあるものがあり、他分野の状況を把握することにより、他分野からどのように期待されているのか、について認識の共有が図られた。
さらに、演習シナリオに知見提供を行うとともに、ベストプラクティスなど、事例分析からの知見を共有することができた。
②分野横断的演習
２００６年度の演習は、セミナー形式から始め、共通認識を形成するステップから検討を重ね、関係者の理解の増進に寄与しつつ実施した。
即ち、２００６年度の目的に沿った検証課題を踏まえ、相互依存性解析の結果をインプットし、演習のパターンの検討、机上演習のシナリオへの反映・課題討議というステップを通じ、関係者間での意見交換を実施するというプロセスにより、実証的にアウトプットを導出すると

9

ともに、次の段階である機能演習の実施等に関する知見を得ることができた。
具体的には、この演習の実施により、①障害発生時等の分野間及び分野内のコミュニケーションと連携のあり方、②官民での情報共有・連携のあり方、③ＩＴ障害発生時における迅速な対策等実施のための平時からの対応のあり方、④今後の演習や解析の取組みのあり方などの点につき、現実的対応に当たっての知見や課題等が導出された。
（２）施策の取組みによる社会的変化に関する評価等
以上のような、行動計画に基づく具体的取組みを進めたこと等により、重要インフラ分野におけるサービスの安定的供給機能を維持しつつリスクに適切に対応する社会の実現に向け、本年度においては、次に掲げるような社会的変化が認められた。
（ア）安全基準等の整備
重要インフラ全１０分野において、望ましいと考えられるレベルを満たす情報セキュリティ対策が実施されるための「安全基準等」が整備された。
また、指針の見直しを通じ、情報漏えい問題が引き続き発生していることや、ＩＴの適用範囲の拡大・高度化やＩＴ依存のブラックボックス化が進みつつあることなどの問題意識が改めて認識された。
（イ）情報共有体制の強化
政府（内閣官房及び重要省庁所管省庁）内における情報共有体制の整備と、各重要インフラ分野における情報共有体制の整備が進んだ
ことにより、重要インフラ分野における官民の各主体間での情報共有、連絡・連携のための基本的枠組みが構築された。
（ウ）相互依存性解析及び分野横断的演習
我が国で初めての取組みとして、情報共有の重要性等に関する重要インフラ関係者間での共通認識の醸成に寄与するとともに、前節に10述べたような知見等をとりまとめることができた。
これらの知見等は、その提供により、サプライチェーンの進展などの中での関係者間でのリスクに関するコミュニケーションの向上、「自助」のみならず「共助」の考え方を進めることによる社会のリジリエンシー8の向上などを通じ、国民生活や社会経済活動を支える重要インフラ基盤確立に向けたスパイラルアップに寄与するものとなると考えられる。
（３）総評
以上のことより、２００６年度における取組みは、別表２のとおり、当初の目標に沿った成果をあげている。
しかしながら、国民生活、社会経済活動におけるＩＴの利用は引き続き進展や拡大が予想されること、加えてＩＴ障害を発生させる要因や脅威は常に変化し続けるものであることから、重要インフラ分野における情報セキュリティ対策については、継続的にその向上に取り組んでいくことが必要である。
第３節 ２００７年度に向けた課題
重要インフラ分野における情報セキュリティ対策の向上のためには、行動計画に掲げた取組みの着実な進捗が必要不可欠であり、２００７年度においては、２００６年度における取組みを通じて認識した以下のような課題も踏まえた取り組みを行うことが重要である。
（ア）安全基準等の整備①安全基準等の見直し
各重要インフラ分野における安全基準等については、２００６年２月に策定された指針の内容を踏まえた対応がなされていること、また、分野の特性に応じた対策項目の具体化などの工夫もなされていることが確認できた。
一方で、指針の見直しを通じ改めて認識された情報セキュリティ対策上の問題意識については、現在の指針の中に既に具体的に盛り込まれているものと、そうでないものがあることも明らかとなった。
そこで、情報セキュリティ対策の向上のためには、これらの問題意識に対
8 リジリエンシーとは、耐障害性と復旧機能を意味する（参照：重要インフラの情報セキュリティ対策に係る行動計画（２００５年１２月１３日情報セキュリティ政策会議決定）１２頁脚注）。

11

し、各分野において、対策の状況や今後の方針を確認・検証した上で、必要があれば新たな対策を早急かつ確実に講じる必要がある。
② 各重要インフラ分野における安全基準等の浸透状況等
各重要インフラ分野における「安全基準等」については、各重要インフラ事業者等との関係においては、それが所管省庁により作成した「基準」から業界団体が自主的に作成した「ガイドライン」に至るまで、分野の特性に応じ、形式や位置づけ、拘束力等に様々なケースがあることが改めて認識できた。
一方で、重要インフラ分野における情報セキュリティ対策の向上のためには、各重要インフラ分野において定められた「安全基準等」が、各重要インフラ事業者等が情報セキュリティ対策を行うにあたっての基準又は参考として役割を十分に果たし得るものである必要がある。
③ 指針の見直し
指針の見直しを通じ、定常的なＩＴ障害の発生状況や、国内外の規格文書の動向、リスクマネジメント関連の動きなどを検証した結果、２００６年２月の策定時からおよそ１年の間にも、情報セキュリティ対策を取り巻く環境は常に変化を伴うものであることが改めて認識された。また、本年度は見直しに至らなかったものの、今後の相互依存性解析の結果によっては、その成果を踏まえた情報セキュリティ対策の見直しの必要性も考えられる。
各重要インフラ分野における「安全基準等」は、情報セキュリティを取り巻くこれら環境の変化に応じ、随時見直しが行われるべきものであるから、安全基準等の策定・改定を支援することを目的とする指針についても、情報セキュリティに関して可能な限り、最新の問題意識を反映したものである必要がある。
（イ）情報共有体制の強化①情報共有体制整備と機能強化
２００６年度の取組みにより、重要インフラ分野における官民の各主体間での情報共有、連絡・連携のための基本的枠組みは構築された。しかしながら、ＩＴ障害の未然防止、拡大防止・迅速な復旧、再発防止の３つの側面において重要となる情報が適切に共有され、的確な情報セキュリティ対策がなされるためには、状況の変化や実際の運用における課題の認識があった場合に、それに対応した工夫や見直しがなされることが重要である。

12

②各重要インフラ分野におけるＣＥＰＴＯＡＲ整備の推進
新 規 追 加 ３ 分 野 （ 医 療 、 水 道 、 物 流 ） に お い て は 、 ２０ ０ ７ 年 度 中 のCEPTOAR 整備に向けた基本的合意が完了したところであるが、２００６年度末までに整備された７分野の経験を踏まえると、今後実際の整備までの間に、新たに解決すべき課題が発生することも考えられることから、合意に基づいた着実な整備が図られるよう努めることが課題である。
③「ＣＥＰＴＯＡＲ特性把握マップ」のフォローアップ「ＣＥＰＴＯＡＲ特性把握マップ」とは、各重要インフラ分野ごとに設けられるＣＥＰＴＯＡＲについて、事業特性から反映された機能特色等について業種ごとに把握し、特徴把握が容易かつ可視性を工夫したものであり、今後のＣＥＰＴＯＡＲのあり方を考える上で参考となるものである。
２００６年度末までに、７分野の重要インフラ分野において、重要インフラ事業者等との間で２００６年度末の整備を完了したところであるが、整備目的の共有、既存の連絡体制との整合性、必要となるコストなど、実際の整備に至るまでの間の様々な課題が明確となった。
その結果、整備初年度から各分野の事業特性に合わせた機能等のすべてが整備されているとは限らず、分野によっては、今後具体的な運用等を通じて機能の充実がなされる可能性もある。
④ 「CEPTOAR－Council」（仮称）創設の検討「CEPTOAR－Council」（仮称）は、重要インフラ事業者等において、分野横断的な情報共有の推進を図り、多様な知見をサービスの維持・復旧に活かしていくための、各ＣＥＰＴＯＡＲ間での横断的な情報共有の場として想定しているものである。２００６年度においては、「CEPTOAR－Council」（仮称）創設に向けた検討の場は、各分野でのＣＥＰＴＯＡＲの整備が進み、Ｃｏｕｎｃｉｌの構成員の概要がほぼ固まった年度末に開催されたものであり、実質的な検討は今後行われることとなるが、「CEPTOAR－Council」（仮称）の設立に向けては、これらの構成員の間での基本的事項に対する合意が必要不可欠である。
（ウ）相互依存性解析の推進
２００６年度においては、重要インフラ分野間での定性的な接続関係の全体像の概要の把握の中でＩＴシステムの運用に重要なリソースを把握する等

13

の知見を得たが、２００７年度は、脅威の変化・多様化、想定外の脅威の発生などを踏まえ、脅威の類型や脅威と障害の因果関係などについての検討の深化などを行っていくとともに、時間と空間を超えて波及する等のＩＴ障害の特徴などを踏まえつつ、重要インフラにおける障害発生から波及・拡大という連鎖的な伝播プロセスを動的に把握する動的依存性解析の実施方法の検討等を行っていくことが重要である。
（エ）分野横断的演習の推進
２００６年度は、行動計画の初年度として、官民での連絡・連携の仕組みづくりを進めた段階であり、机上演習における課題討議などを通じ、この仕組みづくりと実効性の強化に寄与する知見等をとりまとめた。２００７年度は、官民の連絡・連携体制の機能とＩＴ障害発生時の対応能力の向上等に寄与していくため、２００６年度の取組みから得られた知見などを活用し、重要インフラ所管省庁、各重要インフラ事業者等及び各重要インフラ分野のＣＥＰＴＯＡＲ等の協力を得て、相互依存性解析の知見を踏まえつつ、想定される具体的な脅威シナリオの類型をもとにテーマを設定し、分野横断的な機能演習を実施していくことが重要である。

14

（別表１）
４本の施策の柱①重要インフラにおける情報セキュリ

２００６ 具体的取組み目標
安全基準等の策定・見直し

ティ確保に係る「安全基準等」の整備

２００６年９月を目処に、指針を踏まえて、各重要インフラ事業分野における安全基準等に必要又は望ましい情報セキュリティ対策の水準を明示するよう努力する。この際、「情報システムの信頼性向上に関するガイドライン」を参考とする。

「安全基準等」の策定状況

２００６年度中に「安全基準等」の策定状況を、各重要インフラ所管の把握及び評価省庁の協力を得て把握を行い、相互依存解析の実施状況も踏まえつつ「安全基準等」の評価を実施する。

指針の見直し定常的なＩＴ障害の発生状況の把握を通じ、各重要インフラ分野に共通する横断的な対策課題の分析・検討を行うとともに、政府機関統一基準、その他関連文書を参照しつつ、各重要インフラ所管省庁の協力を得て、２００６年度中を目途に指針の見直しを実施する。

②情報共有体制の強化

情報共有体制整備と機能強

２００６年度において、各重要インフラ事業者等から連絡された情化報及び情報セキュリティ関係省庁 、事案対処省庁 、関係機関から集約した情報を分析し、適切に各重要インフラ所管省庁及び各重要インフラ事業者等に対し情報提供を実施する。さらに、緊急時においても関係者との間で必要な対処についての調整を行えるようセンター機能 の２００７年度内運用開始に向けた環境整備に着手する。

情報提供・連絡のための体

内閣官房にて策定された実施細目 (仮称)に基づき、重要インフラ制強化

事業者等から各重要インフラ所管省庁ごとに選任されたリエゾンを通じて連絡された情報を内閣官房に連絡するための体制を強化する。また、内閣官房から提供された情報を CEPTOAR を通じて、各重要インフラ事業者等に提供するための体制を強化する。このため、重要インフラ所管省庁に、内閣官房が構築した情報共有体制を適切な情報管理で行うためのリエゾンを２００６年度の可能な限り早期におき、内閣官房に併任する。

各重要インフラ分野におけ各重要インフラ所管省庁及び各重要インフラ事業者等間での協る CEPTOAR 整備の推進議を開始し、２００６年度末までに各重要インフラ分野にCEPTOAR が整備されることを目指す。また、新規追加分野（水道、医療及び物流）については、CEPTOAR 整備に関する重要イ
ンフラ所管省庁及び重要インフラ事業者等間での基本的合意を２００６年度末までに完了することを目指す。

「CEPTOAR 特性把握マッ重要インフラ所管省庁の協力を得て、各重要インフラ分野ごとにプ」とりまとめ設けられる各 CEPTOAR の整備状況を把握するとともに、各分野の事業特性から反映された機能特色等について業種ごとに把握し、特徴把握が容易かつ可視性を工夫した「CEPTOAR 特性把握マップ」を２００６年度末を目途に作成する。

③相互依存性解析の実施「重要インフラ連絡協議会

２００６年度内に整備される CEPTOAR の代表から構成される検討（ＣＥＰＴＯＡＲ－Ｃｏｕｎｃｉｌ）」の場を重要インフラ所管省庁及び重要インフラ事業者等の協力を（仮称）の創設促進得て協議会設置に向けた検討の場を設ける。

相互依存性解析の試行的

２００６年度中に、各重要インフラ所管省庁の協力を得て、２００５年

実施

度の解析手法に関する調査結果を踏まえ、過去の災害等の調査等を通じて、依存関係を可視化できる仕組み（静的相互依存性解15析）を構築するとともに、各重要インフラ分野の特性や状況等を配慮しつつ、試行的に相互依存性解析を実施する。
④分野横断的な演習の実施「研究的演習」の実施

２００６年度中に、演習実施の概念、演習課題の設定及び演習手法の理解等を主眼とし、各重要インフラ分野の特性や状況等を配慮しつつ、研究会を併用した演習（「研究的演習」）を実施する。

「机上演習」 の実施

２００６年度中に、類似業態単位又は重要インフラ分野横断的な共通事項単位に議論発掘と具体課題整理のための「机上演習」を実施する。

各分野サイバー演習との連

２００６年度中に、分野ごとに実施された「情報通信」「電力」等のサ携イバー演習と内閣官房の実施する演習について、実施形態及びその目的の整合性を考慮しつつ、連携に向けた検討を開始する。

16

（別表２）

２００６年度における取組みの進捗状況
４本の施策の柱２００６ 具体的取組み目標

２００６成果・２００６年９月を目処に、指針を踏ま・２００６年９月末において、８分野が安全基おける情報セキ

えて、各重要インフラ事業分野にお準等の策定・見直しを実施。

ュリティ確保に係ける安全基準等に必要又は望ましい・同 10 月水道分野が安全基準等を策定。

る「安全基準等」

情報セキュリティ対策の水準を明示

・医療分野においては、２００７年３月末に見の整備するよう努力。

直しを完了。

「安全基準等」の策定状況の・２００６年度中に「安全基準等」の策

各分野における安全基準等の策定状況に把握及び評価定状況を、各重要インフラ所管省庁ついてヒアリング等によって状況把握を行の協力を得て把握を行い、相互依存い、情報セキュリティ政策会議・重要インフラ解析の実施状況も踏まえつつ「安全専門委員会へ報告を行うとともに、２００７年基準等」の評価を実施。

３月に、指針との対応状況についての評価①重要インフラに安全基準等の策定・見直しを実施。
指針の見直し・２００６年度中を目途に指針の見直２００７年３月に指針の見直し及び必要な改しを実施。

定のための作業を行い、重要インフラ専門委員会において改定案をとりまとめ。

②情報共有体制

情報共有体制整備と機能強・各重要インフラ事業者等から連絡さ各重要インフラ所管省庁にリエゾン（内閣官の強化化れた情報及び情報セキュリティ関係房併任）をおき、センターと各重要インフラ省庁 、事案対処省庁、関係機関か所管省庁との間で情報連絡・情報提供を行ら集約した情報を分析し、適切に各うための体制を整備し、運用を開始。

重要インフラ所管省庁及び各重要インフラ事業者等に対し情報提供を実施。
・緊急時においても関係者との間で必要な対処についての調整を行えるようセンター機能 の２００７年度内運用開始に向けた環境整備に着手。
情報提供・連絡のための体制

・内閣官房にて策定された実施細目

・各重要インフラ所管省庁において、情報共強化(仮称)に基づき、重要インフラ事業者有体制を適切な情報管理で行うためのリエ等から各重要インフラ所管省庁ごとゾンを、内閣官房に併任し、情報提供・連絡に選任されたリエゾンを通じて連絡さのための体制強化を実施。

れた情報を内閣官房に連絡するための体制を強化。
・重要インフラ所管省庁に、内閣官房が構築した情報共有体制を適切な情報管理で行うためのリエゾンを２００６年度の可能な限り早期におき、内閣官房に併任。
各重要インフラ分野における・２００６年度末までに各重要インフラ・７分野の重要インフラ分野において、2006

CEPTOAR 整備の推進

分野に CEPTOAR を整備年度末までに整備を完了。

・新規追加分野（水道、医療及び物・新規追加３分野（医療、水道、物流）にお流）については、CEPTOAR 整備にいて、2007 年度中の CEPTOAR 整備に向け関する重要インフラ所管省庁及び重た基本的合意が完了。

要インフラ事業者等間での基本的合意を２００６年度末までに完了。

17

「CEPTOAR 特性把握マップ」

・各 CEPTOAR の整備状況を把握

重要インフ ラ所管省庁等の協力を得て、とりまとめ・各分野の特徴把握が容易かつ可2006 年度末現在の各 CEPTOAR（7 分野）

視性を工夫した「CEPTOAR 特性把の特性を把握するとともに、整備状況とあわ握マップ」を２００６年度末を目途に作せて CEPTOAR 特性把握マップとしてとりま成。

とめ。

「重要インフラ連絡協議会協議会設置に向けた検討の場の設

各重要インフラ分野が整備に向け検討中で「CEPTOAR-Council」（仮称）置。

あ る CEPTOAR の 代 表 者 の 参 加 を 得 ての創設促進「CEPTOAR-Council」（仮称）の設置に向けた検討の場を重要インフラ所管省庁及び重要インフラ事業者等の協力を得て設置し開催。

③相互依存性解

相互依存性解析の試行的実・依存関係を可視化できる仕組み

各重要インフラ所管省庁の協力を得て、各析の実施

施（静的相互依存性解析）を構築

重要インフラ分野の特性や状況等を配慮し・試行的に相互依存性解析を実施。

つつ、依存関係を可視化できる仕組み（静的相互依存性解析）の構築に向けた試行的な相互依存性解析を実施。

④分野横断的な「研究的演習」の実施

演習の実施・研究会を併用した演習（「研究的演演習実施の概念、演習課題の設定及び演習」）を実施。

習手法の理解等を主眼とし、各重要インフラ分野の特性や状況等を配慮しつつ、２００６
年７月から１０月にかけて「研究的演習」を実施。

「机上演習」 の実施・議論発掘と具体課題整理のための「研究的演習」を踏まえ、２００７年２月に、重「机上演習」を実施。

要インフラ分野と重要インフラ所管省庁などが参加して、具体的なシナリオの下に会議形式で課題討議を実施。

各分野サイバー演習との連携

・分野ごとに実施されたサイバー演

分野ごとのサイバー演習と内閣官房の実施習と内閣官房の実施する演習につする演習について、実施形態及びその目的いて、実施形態及びその目的の整の整合性を考慮しつつ、知見の共有などの合性を考慮しつつ、連携に向けた検連携。

討を開始。

1819