資料３－２

2012年度 重要インフラにおける「安全基準等の浸透状況等に関する調査」について

2013年3月26日
内閣官房情報セキュリティセンター（NISC）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

「安全基準等の浸透状況等に関する調査」の概要（1/2）
「重要インフラの情報セキュリティに係る第２次行動計画」及び「情報セキュリティ２０１２」に基づき、各重要インフラ分野における安全基準等について、毎年一定時期の定点調査として、重要インフラ事業者等にどの程度浸透しているか、また重要インフラ事業者等が安全基準等に対して準拠しているかを把握するために行う調査。
安全基準等は随時見直しがなされるものであり、また着実にその浸透を図るべきものであることから、定期的に本調査を実施し、継続的に浸透状況等の把握を行い、施策の成果検証に活用する。

第1次行動計画における取組み
安全基準等の策定・見直し（SJ2006）

安全基準等の見直し（SJ2007）

第2次行動計画における取組み

安全基準等の見直し（SJ2008）

浸透状況等調査（SJ2007）
2006年度に策定・見直しを行った安全基準等を対象

安全基準等の継続的改善（JS2010）

安全基準等の継続的改善（JS2011）

安全基準等の継続的改善（JS2012）

浸透状況等調査

浸透状況等調査（SJ2008～SJ2009）

浸透状況等調査

浸透状況等調査（JS2010）（JS2011）（JS2012）

第2次行動計画
ＳＪ：セキュアジャパン
ＪＳ：情報セキュリティ

安全基準等の継続的改善（SJ2009）

毎年一定時期に定点調査

毎年一定時期に定点調査

・事業者自らが定める「内規」を含めた安全基準等の浸透を確実なものとするために、「安全基準等の浸透状況等に関する調査」を引き続き定期的に実施することとする。調査項目・調査主体等については、適宜見直しを行うこととする。
・毎年一定時期に事業者自らが定める「内規」を含めた対策状況の客観的な把握を行うこととする。

情報セキュリティ2012
・重要インフラ所管省庁の協力を得つつ、「安全基準等」の整備浸透状況について以下の調査を行う。
〈重要インフラ事業者等に対する調査〉2012 年度に「安全基準等」の浸透状況、震災を踏まえた改善等に関する調査を実施し、結果を公表する。
また次年度の調査のための企画・準備を実施する。
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

1

「安全基準等の浸透状況等に関する調査」の概要（2/2）◆調査概要
調査対象範囲調査方法： 調査対象とする事業者等の範囲は重要インフラ所管省庁が決定： 以下いずれかを重要インフラ所管省庁が選択①既存調査を活用②ＮＩＳＣアンケート項目に準じて実施
調査基準日： ２０１２年３月末日（「①既存調査を活用」の場合は、その調査基準日による）アンケートの発出・回収 ： 重要インフラ所管省庁が配布・回収（配布・回収方法は分野ごとに決定）
分野毎の集計： 集計方法については、重要インフラ所管省庁が選択
ⅰ 重要インフラ所管省庁で集計
ⅱ ＮＩＳＣで集計
全体集計・とりまとめ： ＮＩＳＣが実施◆実施時期 （②NISCアンケート項目に準じて実施 の場合）
調査期間 ： ２０１２年４月～２０１２年６月
とりまとめ ： ２０１２年１０月～２０１２年１１月◆主な調査内容（NISCアンケート項目）①安全基準等の整備の状況に関する事項
指針・対策編の認知度、知った手段
内規策定・見直しの契機参考とする安全基準等の諸規格②情報セキュリティ対策の実施状況に関する事項
組織・体制及び資源の確保に関する対策
情報についての対策を実施③安全基準等に対する準拠状況
自己点検の実施
演習、訓練等の実施④政府への提言、要望等
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

2

調査結果

アンケート回収状況と留意点

・ 調査への協力を求めた3,140事業者等に対し、2,928事業者等からアンケートを回収（回収率 93．2％、前年比 -0.3％）
・ 全体集計に際しては、単純集計では回収数の多い分野の影響が大きくなることから、共通の重みづけで集計を実施
既存調査
活用

分野

アンケート回収状況

留意点

調査対象範囲

配布数

回収数

留意点１：類似の調査との重複⇒既存調査を活用することで調査を効率化

79

28

留意点２：調査対象の範囲⇒調査可能な範囲から取り組み、調査対象の拡大は追って検討

電気通信

しない

固定系のﾈｯﾄﾜｰｸｲﾝﾌﾗを設置する電気通信事業者、ｱｸｾｽ系の電気通信事業者、ISP事業者、携帯電話事業者等

放送

しない

日本放送協会及び地上系一般放送事業者

193

184

する

金融機関等

921

789

航空運送

しない

航空運送事業者

2

2

航空管制

しない

官庁

1

1

しない

鉄道事業者２２社

22

22

電力

しない

一般電気事業者、日本原電(株)、電源開発(株)

12

12

ガス

しない

政令指定都市８社、同等の事業者２社

10

10

政府・行政サービスする

地方公共団体

1,784

1,784

医療

しない

医療機関（病院抽出）

50

43

水道しない

水道事業体（事業者抽出）

45

45

物流

しない

物流事業者

21

8

3,140

2,928

情報
通信

金融
航空
鉄道

全分野合計

（第２３回重要インフラ専門委員会資料より）

上記に加え、単純集計では回収数の多い分野の全体集計への影響が大きくなることから、重要インフラ全体の状況把握をより適切に行うため、共通の重みづけで集計を実施＜集計式＞

 a1    a2  ･･･  an  α  α  αn1 2A
n （※）
A : 回答Ａに対する全体集計（％）
an : 分野ｎにおける回答Ａの数
αn : 分野ｎにおける回収数※安全基準等の範囲にあわせて、情報通信、航空を２つに分けて集計するため、原則 n=12
（既存調査を活用する場合に読み替え可能な項目がない場合を除く）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

3

＜参考1＞既存調査と浸透状況等調査の関係整理（2012年度実績）
既存調査
分野

情報
通信有無

名称

浸透状況等調査
調査
基準日調査
周期

既存調査
活用

調査対象範囲※既存調査活用する場合は、既存調査の範囲・数

ｱﾝｹｰﾄ
配布数

電気通信なししない

固定系のﾈｯﾄﾜｰｸｲﾝﾌﾗを設置す
る電気通信事業者、ｱｸｾｽ系の電気通信事業者、ISP事業者、携帯電話事業者等

放送なし

しない

日本放送協会及び地上系一般放
送事業者

193

する

金融機関等

921

金融あり

金融機関等のコンピュータシステムに関する安全対策状況調査

3月31日

1年毎

79

航空運送なししない

航空運送事業者2

航空管制なし

しない官庁

1

鉄道なし

しない

鉄道事業者２２社

22

電力なし

しない

一般電気事業者、日本原電(株)、電源開発(株)

12

ガスなし

しない

政令指定都市８社、同等の事業者２社

10

政府・行政サービスありする

地方公共団体

1,784

医療なし

しない

医療機関（病院抽出）

50

水道なし

しない

水道事業体（事業者抽出）

45

物流

なし

しない

物流事業者

21

航空

地方公共団体における行政情報化の推進状況調査

4月1日

1年毎

※既存調査の活用項目は、主な調査内容の①～③が対象
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

4

①安全基準等の整備の状況に関する事項 (1/3)

調査結果

・ 指針について、認識している事業者等は８割強であると推定。
・ 指針・対策編を認知している事業者のうち、それらを知った手段は、ＮＩＳＣホームページが一番多く、業界団体からの紹介、所管省庁からの紹介が続く。
(1)指針・対策編の認知度
金融、政府・行政サービスは読み替え可能項目なし（集計対象に含めず）

0.0%

20.0%

40.0%

60.0%

80.0%

68.6%

１．両方とも知っている(2)指針・対策編を知った手段
金融、政府・行政サービスは読み替え可能項目なし（集計対象に含めず）

0.0%

10.0%

20.0%

１．NISCホームページ

36.8%

２．所管省庁からの紹介

17.6%

３．業界団体からの紹介
0.1%

21.0%

４．セミナー・シンポジウム等

4.5%

５．ニュースサイト等

4.1%

16.7%

４．両方とも知らない

６．ウェブ検索による

その他（未回答・不明）40.0%

14.3%

２．指針のみ知っている

３．対策編のみ知っている

30.0%

0.3%

12.1%

７．その他

3.1%

その他（未回答・不明）

4.0%

3)効果的に周知する手段
金融、政府・行政サービスは読み替え可能項目なし（集計対象に含めず）※要望の多かった順に記載①担当者へのメールによる通知②セミナーやシンポジウムの開催③マスメディアを通じた広報④所管省庁からの情報提供

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

5

①安全基準等の整備の状況に関する事項 (2/3)

調査結果

・ 内規策定・見直しの契機としては、自分野の安全基準等が約５割を占める。
・ 参考とする安全基準、規格等も、自分野の安全基準等が７割弱を占める。
(1) 内規策定・見直しの契機

0%(2) 内規策定・見直しにあたり参考とする安全基準、規格等

20%

40%

60%

80%

0% 10% 20% 30% 40% 50% 60% 70% 80%

１．自分野の安全基準等の策定・改定

１．自分野の安全基準等

２．安全基準等の指針の策定・改定

２．他分野の安全基準等

３．上記１、２以外の文書の策定・改定

３．安全基準等の指針

４．自社におけるIT障害の発生

４．ISO/IEC27000シリーズ

５．他社におけるIT障害の発生
６．その他

2010
2011

５．ISO/IEC20000シリーズ
６．ISO/IEC 15408

2012

2010
2011
2012

７．ISO/IEC 38500
７．見直しをしてない

８．ISO/IEC TR 13335
８．内規を制定していない

９．その他
その他（未回答・不明）

その他（未回答・不明）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

6

調査結果

①安全基準等の整備の状況に関する事項 (3/3)

・ 内規改定を行う際の体制は、経営者層での決定が減少し、経営者層以外の体制での決定が増加。
経営者層以外の体制での決定は、情報セキュリティ委員会などによるものが大半。
・ 内規の改定は、概ね１年未満で実施されている。
(3) 内規改定を行う際の体制

0%(4) 内規改定に要する期間
金融は読み替え可能項目なし（集計対象に含めず）

20%

40%

60%

0%

80%

20%

40%

60%

80%

100%

12ヵ月未満１．経営者層にて決定

12ヵ月以上24ヵ月未満
２．１以外の体制で決定

2010

2010

2011

2011

2012

その他（未回答・不明）

24ヵ月以上2012

その他（未回答・不明）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

7

調査結果

②情報セキュリティ対策の実施状況に関する事項 (1/4)

・ (1)～(4)について、昨年度に比べて対策の実施率が全体的に増加している。
(1) 組織・体制及び資源の確保に関する対策
0%

20%

40%

(2) 情報についての対策
60%

80%

0%

100%

１．情報セキュリティ
管理担当者の割当て

１．情報の格付け２．情報セキュリティに係わる人材育成、教育

２．情報の取扱い
制限

2010
2011

３．その他

20%

40%

60%80%

100%

2010
2011

３．その他

2012

2012
４．実施していない。

４．実施していない。

その他（未回答・不明）

その他（未回答・不明）(3) 情報セキュリティ要件の明確化
政府・行政サービスは読み替え可能項目なし（集計対象に含めず）

0%

20%

40%

60%

80%

(4) 情報セキュリティ要件に対応した情報システムの対策

100%

0%

20%

40%

60%

80%

100%

１．サーバ室等の入退室管理

１．機能の観点からセキュリティ要件の明示

２．サーバ室等の停電対策
３．記憶媒体の持込、持出制限

２．脅威に対するセキュリティ要件の明示

４．重要データへのアクセス制限

2010
３．その他

2011
2012

５．重要データのバックアップ
６．重要データの暗号化
７．無許可ソフトウェアの導入禁止
８．機器を廃棄する際のデータ消去

４．実施していない。

９．証跡管理その他（未回答・不明）

11．実施していない。

2010
2011
2012

10．その他
その他（未回答・不明）

Copyright (c) 2012 National Information Security Center (NISC). All Rights Reserved.

8

調査結果

②情報セキュリティ対策の実施状況に関する事項 (2/4)

・ 事業継続性確保のための対策に関して、対象とする脅威として、物理的破壊、自然災害の比率が高まっている。東日
本大震災を受けて、それらを脅威の対象とする事業者等が増加していることが推定される。
・ 事業継続計画の策定状況については、策定済みであり、定期的に見直しを実施している、また策定予定があるとした事業者等が増加している一方で、２割強の事業者等が依然として策定予定がないと回答。
(5) 情報セキュリティ対策の運用に関する対策

0%

20%

40%

(6)事業継続性確保のための対策に関して、対象とする脅威

60%

80%

0%

100%

20%

40%

60%

80%

１．サイバー攻撃

１．IT障害の観点から見た事業継続性確保のための対策

２．システム障害
３．物理的破壊２．情報漏えい防止のための対策
３．外部委託における情報セキュリティ確保のための対策
４．その他

４．情報漏えい2010

５．自然災害2011

６．疾病の流行（オペレータ不足によるＩＴ障害）

2012

2011
2012

７．その他

2010

その他（未回答・不明）

５．実施していない(7) 事業継続計画の策定状況
その他（未回答・不明）

0%

10%

20%

30%

40%

１．策定済であり、定期的に見直しを実施
２．策定したことがある
３．策定予定がある
４．現時点では予定していない

2010
2011
2012

その他（未回答・不明）
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

9

調査結果

②情報セキュリティ対策の実施状況に関する事項 (3/4)

・ 情報セキュリティ対策の対外的な説明に関して、定期的に説明を実施している事業者等が増加している。また、説明方法
において、CSR報告書、ホームページに記載している事業者等が多い。
・ 6割強の事業者等で、IT障害時の情報提供に関する方策を内規等に明示している。
(9) 情報セキュリティ対策の対外的な説明の方法
金融、政府・行政サービスは 読み替え可能項目なし（集計対象に含めず）(8) 情報セキュリティ対策の対外的な説明の状況
政府・行政サービスは 読み替え可能項目なし（集計対象に含めず）

0%

20%

40%

60%

80%

0%

5%

10%

15%20%

１．情報セキュリティ報告書に記載

１．定期的に説明を実施

２．CSR報告書に記載

２．説明したことがある
2010

３．説明予定がある

2011
2012

４．現時点では予定していない

３．有価証券報告書に記載
４．ディスクロージャー資料に記載
５．ホームページに記載

2010
2011
2012

６．その他

その他（未回答・不明）
その他（未回答・不明）(10) IT障害時のユーザへの情報提供の方策
金融、政府・行政サービスは 読み替え可能項目なし（集計対象に含めず）

0%

10% 20% 30% 40% 50% 60% 70% 80%

１．明示されている
2010
２．明示されていない

2011
2012

その他（未回答・不明）
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

10

調査結果

②情報セキュリティ対策の実施状況に関する事項 (4/4)

・ ITに係る環境変化に伴う脅威に対して、対策を実施している（予定含む）事業者等が増加し、5割程度と推定。
・ 想定する脅威に関しては、今回調査から追加した標的型攻撃による内部情報窃取等が最も多かった。昨年度の防衛産業、政府機関等への攻撃多発を受け、脅威として想定する事業者等が多かったものと推定される。
(12) 想定する脅威
政府・行政サービスは 読み替え可能項目なし（集計対象に含めず）※項目１、２、６は２０１２年度に追加(11) ITに係る環境変化に伴う脅威に対する対策
政府・行政サービスは 読み替え可能項目なし（集計対象に含めず）

0% 10% 20% 30% 40% 50% 60% 70% 80%

0%5%

10% 15% 20% 25% 30%

１．標的型攻撃による内部情報窃取等
２．制御システムをターゲットとしたコンピュータウィルス

１．実施している

３．暗号の危殆化
２．実施予定がある

2010
2011
2012

３．現時点では予定していない

４．IPv4アドレス枯渇に伴うIPv6への移行
５．プロトコル（TCP/IP、IPv6等）の脆弱性
６．クラウドサービス利用におけるセキュリティ管理

2010
2011
2012

７．その他
その他（未回答・不明）
その他（未回答・不明）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

11

調査結果

③安全基準等に対する準拠状況に関する事項 (1/4)

・ 自己点検を定期的に実施している事業者等が増加し、約５割。予定を含む実施割合は約７割と推定。
・ １万名以上の事業者等では、ほぼ１０割が実施（予定含む）。

(1) 自己点検の実施

自己点検の事業規模ごとの実施割合（予定含む）

0%

10%

20%

30%

40%

0%

50%

１．定期的に実施している

20%

40%

60%

80%

100%

１．１００名未満

２．実施したことがある
２．１００名～９９９名
３．実施予定がある

2010

2010

2011

2011

2012

2012

３．１，０００名～９，９９９名

４．現時点では予定していない

その他（未回答・不明）

４．１０，０００名以上

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

12

調査結果

③安全基準等に対する準拠状況に関する事項 (2/4)

・ 演習・訓練を定期的に実施している事業者等が増加。予定を含む実施割合は約７割弱と推定。
・ １万名以上の事業者等では、ほぼ１０割が実施（予定含む）。

(２)演習・訓練の実施

演習・訓練の事業規模ごとの実施割合（予定含む）

0%

10%

20%

30%

40%

0%

50%

１．定期的に実施している

20%

40%

60%

80%

100%

１．１００名未満

２．実施したことがある
２．１００名～９９９名
３．実施予定がある

2010

2010

2011

2011

2012

2012

３．１，０００名～９，９９９名

４．現時点では予定していない

その他（未回答・不明）

４．１０，０００名以上

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

13

調査結果

③安全基準等に対する準拠状況に関する事項 (3/4)

・ 内部監査を実施したことがある事業者等が増加し、予定を含む実施割合は約８割弱と推定。
・ １万名以上の事業者等では、ほぼ１０割が実施（予定含む）。

(3) 内部監査の実施

内部監査の事業規模ごとの実施割合（予定含む）

0%

10%

20%

30%

40%

0%

50%

１．定期的に実施している

20%

40%

60%

80%

100%

１．１００名未満

２．実施したことがある
２．１００名～９９９名
３．実施予定がある

2010

2010

2011

2011

2012

2012

３．１，０００名～９，９９９名

４．現時点では予定していない

その他（未回答・不明）

４．１０，０００名以上

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

14

調査結果

③安全基準等に対する準拠状況に関する事項 (4/4)

・ 外部監査の実施状況は、予定を含む全体の実施割合は3割強程度。
・ 全事業規模で増加傾向であるが、費用のかかる外部の監査機関の利用は自己点検、内部監査と比べて少ないものと推定。
(４) 外部監査の実施
金融は読み替え可能項目なし（集計対象に含めず）

0%

20%

40%

外部監査の事業規模ごとの実施割合（予定含む）

60%

0%

80%

１．定期的に実施している

20%

40%

60%

80%

100%

１．１００名未満

２．実施したことがある
2010

３．実施予定がある

その他（未回答・不明）

2010
2011

2011
2012

４．現時点では予定していない

２．１００名～９９９名

３．１，０００名～９，９９９名

2012

４．１０，０００名以上

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

15

調査結果

④安全基準等への提言、要望等 (1/2)

・ 安全基準等の指針に関する意見においては、業種、企業規模に見合った基準、セキュリティとユーザビリティのバランスに関するものがあった。
・ 安全基準等に対する意見としては、各分野、事業の実態に合った基準への要望が多い。

1．安全基準等の指針に対して① 情報セキュリティ対策をしっかり実施していると自負していますが、反面、ＰＣ利用の自由度が失われています。仕事によっては、自宅ＰＣの方が快適に作業出来る、という矛盾があります。難しい問題ですが、公のお立場から、適度な対策・管理・規制をお願い致します。
② 企業状況（規模の大小・業態）等により柔軟な対応が必要ではないかと思います。
③ 情報システムのトラブル時に、早期復旧を行うためにリモートアクセス回線を設置することがあるが、このような場合の指針があるとよい。
④ 国民を守る情報セキュリティ戦略及び本指針を含め概念的な位置づけでしかないため、これらを現実的に実施し、国としてのセキュリティレベルを高めようとするのであれば、例えばOSI参照モデルの階層毎に事業者・システム毎に実施できるチェックシート等を付加されてはどうでしょうか。人的な研修等も必要ですが、それを補完する、概念ではなく実際に利用できるツールがあれば、国が目指している方向性がより具体的にわかると思います。

2．安全基準等に対して① サービスの信頼性、安全性の処置は、事業性、採算性を含めて講じることになるため、安全基準等の強化を一方的に決定することにならないように配慮いただきたい。
② 業界・業種によってリスク範囲に差異があるので、それぞれの実態に合った指針を盛込んで欲しい。

※金融、政府・行政サービスは、調査対象外
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

16

調査結果

④安全基準等への提言、要望等 (2/2)

・ 自由意見については、情報セキュリティの重要性や安全基準等の周知、一定の水準を保つためのセキュリティ対策費用の助成等の意見が多い。

3．その他（自由意見を記載）① サイバーテロ、不正アクセス、ウイルス散布、スパムメールに対する取締と法的措置の強化を実施すべき。情報セキュリティに関して、一定の水準を保つよう義務付けるとともに、セキュリティ費用等における助成の検討をお願いしたい。
② 重要インフラにおける情報セキュリティ確保に係る「安全基準等」策定にあたっての指針（第３版）対策編の「５つの重点項目」については、項目の重要度や手順等を加えて、分かりやすい内容にして頂きたい。
③ 事例を集めてＱ＆Ａ集を充実させてほしい。
④ 中小規模の事業者は、使い勝手を優先する方向にあるので、セキュリティに関して経営者が読む雑誌などで情報セキュリティの重要性を喚起してもらいたい。
⑤ ＩＴ障害については、よく耳にするのですが、障害が発生した企業等がその後、どのような対策を実施したのか具体例を教えてほしい。
⑥ 情報セキュリティの相談窓口の設置をお願いしたい。
⑦ ガイドライン等の告知を能動的（ホームページ掲載のみならず）に行ってほしい。
⑧ 複数の公的機関から似たような情報をいただいているが、全体像の理解・把握が難しい。もう少しシンプルにならないものでしょうか？

※金融、政府・行政サービスは、調査対象外

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

17

まとめ
・ 重要インフラ事業者等における情報セキュリティ対策の実施状況を分野横断的に把握

 全体的に回答選択の傾向は昨年とほぼ同様であった。また、回収率は９３．２％（対前年度－０．３％）であった。
 重要インフラ事業者等における情報セキュリティ対策の実施率が全体的に増加している。また、自己点検、演習・訓練、監査（内部、外部）の実施率（予定含む）も増加しており、安全基準等の浸透が進んでいることが推定される。
≪さらなる情報セキュリティ対策の拡充に向けて≫
 標的型攻撃による内部情報窃取を脅威と想定する事業者等が多い。標的型攻撃の情報共有をセプターカウンシル情報共有に関する検討推進WG等で推進していくことが望まれる。
 BCPを作成している（予定含む）事業者等が増加しており、BCPの実効性確認のために分野横断的演習が一層活用されるように、普及・啓発を図る。
 情報セキュリティの重要性、安全基準等の周知に関する要望が多いので、今回の指針・対策編の改定に合わせて、周知方法等について検討する。

 次回調査においても、引き続き、東日本大震災や標的型サイバー攻撃等において得られた課題・教訓を受け、安全対策・業務継続対策の浸透状況に変化があるものと思料する。
 今後も重要インフラ事業者等における情報セキュリティ対策の実施状況を継続的に把握する。
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

18

＜参考＞

アンケート項目・ 以下のアンケート項目にて調査を実施（「NISCアンケート項目に準じて実施」の場合）
・ 「既存調査を活用」する場合は、全体集計に際して、可能な範囲でアンケート項目との読み替えを実施【基礎的事項】 貴社（又は貴団体）の従業員数を選んでください。
【① 安全基準等の整備の状況に関する事項】（１） 指針及び対策編をご存知ですか。
（２） 指針及び対策編を何で知りましたか。
（３） 今後の周知方法の検討に活かしたいと思いますので、効果的に周知する手段について良いと思われるものがありましたらご紹介ください。
（４） 内規の策定・見直しの契機を以下からお知らせ下さい。
（５） 参考とする安全基準等や諸規格をお知らせ下さい。
（６） 内規改定を行う際の体制をお知らせ下さい。
（７） 内規改定に要する大体の期間をお知らせ下さい。
【② 情報セキュリティ対策の実施状況に関する事項】（１） 組織・体制及び資源の確保に関する対策を実施していますか。
（２） 情報についての対策を実施していますか。
（３） 情報セキュリティ要件の明確化を実施していますか。
（４） 明確化した情報セキュリティ要件に対応した情報システムの対策を実施していますか。
（５） 情報セキュリティ対策の運用に関する対策を実施していますか。
（６） 事業継続計画の策定状況をお知らせ下さい。
（７） 事業継続計画の対象とする脅威をお知らせ下さい。
（８） 貴社（又は貴団体）における情報セキュリティ対策の対外的な説明状況をお知らせ下さい。
（９） 情報セキュリティ対策の対外的な説明の方法をお知らせ下さい。
（１０）重要インフラサービスに障害が発生した場合に障害の状況、復旧等の情報提供の方策が明示されていますか。
（１１）環境変化に伴う脅威に対する対策を実施していますか。
（１２）対象とする脅威をお知らせ下さい。
【③ 安全基準等に対する準拠状況に関する事項】（１） 安全基準等や貴社（又は貴団体）の内規等に基づく情報セキュリティ対策の実施状況の自己点検を行っていますか（予定を含む）。
（２） ＩＴ障害発生を想定した演習、訓練等を実施していますか（予定を含む）。
（３） 情報セキュリティ対策の実施状況に関する内部監査を実施していますか（予定を含む）。
（４） 情報セキュリティ対策の実施状況に関する外部監査を実施していますか（予定を含む）。
【④ 政府への提言、要望等】（１） 安全基準等の指針に対して（自由意見を記載）（２） 安全基準等に対して（自由意見を記載）（３） その他（自由意見を記載）
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

19