資料３

重要インフラにおける「指針の見直し」の分析・検証に基づく指針への反映について
2009年 ７月 ７日
内閣官房 情報セキュリティセンター（NISC）

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

「指針見直し」の分析・検証におけるアプローチ○今回の分析・検証においては、以下の５つのアプローチから検討が必要な課題を抽出し、指針への反映方法を判断する。
○今回の「指針の見直し」は、第２次行動計画策定後最初の見直しであるため、第２次行動計画の反映をアプローチに追加する。

◆指針見直しの分析・検証における５つのアプローチ①第２次行動計画の反映：
指針（骨子案）に対して第2次行動計画の内容をどのように反映するか。
②定常的なIT障害等の発生状況の分析：
2008年度に発生したＩＴ障害の事例から、得られた教訓をどのように指針に反映するか。
③行動計画に基づく施策の成果：
第１次行動計画に基づき、2008年度までに取り組んできた施策の成果をどのように反映するか。
④関連文書の検証：
情報セキュリティ対策に関連する文書等をどのような観点で指針に盛り込んでいくか。
⑤社会的条件（環境）の変化の検証：
技術面、経営面、法制面及びその他の社会的動向の観点から重要インフラの情報セキュリティ対策に及ぼす変化に対して、指針ではどのように反映していくか。
Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

1

◆STEP1
各アプローチに基づく問題意識の抽出

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

2

状況検証：①第２次行動計画の反映
第２次行動計画の策定を踏まえ、各重要インフラ分野に共通する情報セキュリティ対策等の新たな観点の検証を実施
概要z第2次行動計画の全体的な枠組みについて、第1次行動計画からの変更点を検証（１）全体の枠組み・重要インフラサービスという観点の追加
・IT障害の脅威の見直し（２）安全基準等の整備及び浸透に関する施策

z安全基準等の整備及び浸透に関する施策について、第1次行動計画からの変更点を検証
・指針の継続的改善・指針の内容の充実
・安全基準等の継続的改善・安全基準等の浸透
・事業継続計画の観点・対外的な説明への取組み（３）その他の施策

z第２次行動計画で新たに追加された施策について、第１次行動計画における記載と比較・検証
・リスクコミュニケーション

検証結果
z第2次行動計画において重要インフラサービスという観点を追加し、重要インフラ事業者等が提供するサービス等のうち、特に防護すべき重要インフラサービスを重要インフラ分野毎に定め、それを踏まえた全体的な枠組みについて見直しを実施した。
・重要インフラサービスの提供に必要な情報システムのうち、重要インフラ事業者等毎に重要システムを定めることとした。
・重要インフラ事業者等はサービスレベルを定めることとした。
・重要インフラ分野毎に検証レベルを定めた。
・重要インフラサービスにおいて発生する障害（サービスレベルが維持出来ない状態等）のうち、ITの機能不全が引き起こすものをIT障害と定義した。
zIT障害の脅威の類型に他分野からの波及を追加し、社会全体で対応が望まれる脅威と事業者による個別対応を中心とする脅威に分類した。
z指針の継続的改善を3年に1度実施する「指針の改定に関する検討」と毎年及び必要に応じて実施する「分析・検証」に分類した。
z参考事項、具体化の例示等の追加により、指針の充実を図る。
z対策の共有を促進するため、従来検証対象となっている安全基準等の他に情報セキュリティに関する基準や参考文献等を改めて広く安全基準等として整理することが望まれる。
z安全基準等の浸透に向けて、対策を実装するための環境整備に努め、「安全基準等の浸透状況等に関する調査」を定期的に実施する。
z事業継続計画の策定状況等を踏まえ、指針の内容を充実させる。
z情報セキュリティ監査の実施やセキュリティ報告書の作成等の自主的な取組みを一層推奨し、情報セキュリティ対策の対外的な説明に努める。
z必要な範囲内でのリスクコミュニケーションに努めるとともに、公表に差し支えない範囲で情報セキュリティ対策の開示に努める。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

3状況検証：②定常的なIT障害等の発生状況の分析
前回見直し以降の主要なIT障害の発生状況から、各重要インフラ分野に共通する横断的な対策課題の分析・検討を実施
概要

検証結果

（１）サイバー攻撃等

z 不正侵入や改ざん等が昨年度に引き続き報告されており、その状況を分析・SQLインジェクションによる不正侵入、Webサイトの改ざんが散見される。

z 社会動向の変化に伴う情報システムのセキュリティ要件の見直し、システム全体としてのセキュリティチェックの実施、対策の検討、対策の実施といったPDCAサイクルの考えを踏まえたセキュリティ対策の実施が望まれる。
z 利用者や職員の通報も障害発生の認識に役立ち、通報の取り扱いをマニュアルに示した上での活用が望まれる。
z 障害の認識から適切な判断を行うまでの時間短縮の観点で、報告手順、様式等の整備等により迅速に対応できる体制構築の取り組みが望まれる。

（２）システム障害によるサービス停止、低下

z システムの仕様やプログラム上の欠陥（バグ）等、非意図的要因によるシステム障害の発生状況を分析・IT化による業務の効率化で省力化などが可能となる一方、障害が発生した際には、手作業での対応限界を超え、サービスの提供に一定の支障が生じている場合がある。

z 障害発生を未然に防止するためには、システムの構築、保守時における障害の原因の発見、障害の要因となり得る不具合の除去等を着実に行なうことが重要であり、このために必要な対策を実施していくことが望まれる。
z 費用対効果の観点も勘案しつつ、適切な早期復旧を可能とする方法、体制の整備を図っていくことが望まれる。

（３）情報漏えい

z 情報漏えいの発生状況を分析
・Winny等を介して感染するコンュータウィ
ルスによる情報流出は引き続き発生している。

z ファイル交換ソフトを通じた情報漏えいについては、情報セキュリティの関係主体などの度重なる注意喚起にもかかわらず継続的に発生している。
z 情報漏えいの防止に向けた実効性ある対策、被害を最小化するための継続的な取り組みが今後も望まれる。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

4状況検証：③行動計画に基づく施策の成果
第１次行動計画に基づき、2008年度までに取り組んできた施策の成果を踏まえ、各重要インフラ分野に共通する情報セキュリ
ティ対策等の新たな観点の検証を実施
概要（１）指針見直しの要点の反映

z2007年度の指針見直しによって得られた成果について検証
・水道分野と他分野との相互依存性・IT障害の脅威の定義、及び、重要インフラ事業者等、重要システムの範囲・経験やベストプラクティスの共有
・IPv6への移行を行う場合の適切な対応（２）前回の安全基準 z2007年度の安全基準等の浸透状況等調査にお等の浸透状況等調
ける調査結果について検証
査の結果
・安全基準等の整備状況
・安全基準等に対する準拠状況（３）相互依存性解析で得られた成果

z2007年度における、重要インフラ分野間のサービス提供に係る相互依存性解析で得られた成果について検証
z2008年度における、重要インフラ分野間のデータ送受信に係る相互依存性解析で得られた成果について検証

検証結果
z水道分野のサービス停止や機能の低下等により、他分野のシステムが機能不全に陥る恐れがある。
zIT障害の脅威の定義等について、第２次行動計画において見直しを実施した。（「①第２次行動計画の反映」を参照）
z各重要インフラ分野及び重要インフラ事業者等の取組みから得られる知見・教訓等を踏まえた指針の充実を図る。
z第２次行動計画別紙３のIT障害の脅威の例示にIPv6への移行等を含める「社会全体で対応が望まれる脅威」の分類を追加した。

z大半の事業者等において内規を制定済みである一方で、その見直しを予定していない事業者等が３割近く存在することが推定され、内規見直しの推進が望まれる。

z電力、水道分野のサービスの停止・低下時に、時間経過に伴い重要システムの機能不全によるサービスの停止・低下等となる場合がある。
z重要インフラ分野間のデータ送受信に係る不適切な現象とその影響に関して、通信・送受信システムの正常稼働時においては、影響範囲が局所的であることが多く、非正常稼働時においては、影響範囲が広範であることが多い。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

5状況検証：④関連文書の検証
前回見直し以降の関連文書から、各重要インフラ分野に共通する情報セキュリティ対策等の新たな観点の検証を実施
概要（１）情報セキュリティ対策に関連する文
書等

z 以下の文書を検証
・ 産業構造審議会情報セキュリティ基本問題委員会 中間とりまとめ～企業における戦略的な情報セキュリティガバナンスの確立に向けて～
・ 情報セキュリティ管理基準（平成20年改正版）
・ 政府機関の情報セキュリティ対策のための統一基準（第４版）

z 国際規格（ISO/IEC27000ファミリー）の動向について検証（２）事業継続計画に関連する文書等

z 以下の文書を検証
・ 地方公共団体におけるICT部門の業務継続計画（BCP）策定に関するガイドライン
・ ITサービス継続ガイドライン

z 事業継続マネジメントシステム（BCMS）に関する国際規格の動向について検証（３）暗号に関連する文書等

z 以下の文書を検証（４）その他の文書等

z 以下の文書を検証

・ 政府機関の情報システムにおいて使用されている暗号アルゴリズムSHA-1及びRSA1024に係る移行指針
・ 公的個人認証サービスにおける暗号方式等の移行に関する検討会報告書・電子政府推奨暗号リストの改訂に関する骨子(案)・ 発注者ビューガイドライン
・ 情報システム調達のための技術参照モデル（TRM）平
成20年度版
・ CSIRTマテリアル
・ 情報システムの信頼性向上に関するガイドライン（第2版）
・ 情報セキュリティ人財アーキテクチャ（暫定版）
・ 「新型インフルエンザ対策行動計画」（改定案）及び「新型インフルエンザ対策ガイドライン」（案）

検証結果
z 経営層の判断の下、情報セキュリティに対する取組状況の開示の促進等を通じた戦略的CSRの推進が望まれる
z 国際規格やISMS適合性評価制度との整合をとって、情報セキュリティ対策を推進することが望まれる
z 技術・環境の変化等、重要インフラにおいても参考となる事項についての盛り込みが望まれる
z ISO/IEC27000ファミリーとして整備されつつあるISMSに関する国際規格の作成状況を踏まえ、対策項目を具体化をすることが望まれる
z 情報システム部門における事業継続計画（BCP）の構築と運用が望まれる
z 業務プロセスの情報システムへの依存性を考慮して、組織全体の事業継続計画（BCP）と連携して事業継続マネジメントシステム（BCMS）を運用することが望まれる
z 情報システムにおいて暗号アルゴリズムを使用する場合は、電子政府推奨暗号リストを参考にすることが望まれる
z 暗号の危殆化が予想されている暗号アルゴリズムを使用している場合は、その移行に向けたスケジュールの策定と、より安全性の高い暗号アルゴリズムを導入することが望まれる
z 発注者（ユーザ企業）と開発者（ベンダ企業）の十分な意思疎通と適切な役割分担により、情報システムの運用を円滑に行うことが望まれる
z 経営層の積極的な関与の下、組織全体の視点からの情報セキュリティインシデント対応を行う動きがある
z 知的財産としての「人財」という認識に立った情報セキュリ
ティ人材育成や要員管理が望まれる
z 社会全体で対応する脅威に対して、最低限の国民生活を維持するための準備と対応について検討が望まれる

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

6状況検証：⑤社会的条件（環境）の変化の検証
以下の社会的条件（環境）の変化より、新たな脅威の発生・新たな対策の確立についての検証を実施
概要（１）社会的な側面から見た変化（２）情報システムに関する動き

z以下の動向の変化を検証
・事業者等の合併・統合及びそれに伴う情報システムの対応
・業務の電子化に係る動向
・新たなサービスの動向
・情報システムに関する社会状況と今後の見込み

z 以下のIT動向の変化について検証
・DNSキャッシュポイズニングに係る脆弱性・非機能要求の検討
・暗号の危殆化に係る問題（３）意図的要因に関する脅威

z 以下の意図的要因に関する脅威について検証（４）情報セキュリティに関する動き

z 以下の情報セキュリティに関する動向について検証

・SQLインジェクションによる不正アクセスの急増・標的型攻撃手法の進化・ボットに関する動向
・最近流行したウイルスの動向

・第2次情報セキュリティ基本計画
・制御システムに対する情報セキュリティ
・セキュリティパッチの定例化

検証結果
z システムの統合や更新時に不具合が混入してIT障害に至る場合が見られるため、十分な検証等の対応が望まれる。
z 災害や障害等が発生した際の情報収集のためのツールとして、様々な主体が提供するサービスを利用することが望まれる。
z 技術的な対策は多くの事業者等で行われており、今後は監査等によるセキュリティ対策の評価が望まれる。
z IPv6への移行をはじめ、利用されている技術が次々と移り変わることに対応するため、常にリスク分析や対策の見直しの実施が望まれる。
z 一般に広く使われる技術、プロトコル、ソフトウェア等の脆弱性が顕在化すると、影響は社会全体に及ぶ。
z 情報システムの要件として情報セキュリティに関する要件は不可欠であるが、可視化が難しく、企画・設計段階から意識して検討することが望まれる。
z 暗号アルゴリズムについては、時間が経過するほど解読されるリスクが高まることから、適切なタイミングにおける見直しが望まれる。その時に、移行についての配慮することが望まれる。
z SQLインジェクションで狙われるWebサイトの脆弱性は、サイト毎に異なることが多く、事業者等自身が対策を実施することが望まれる。
z ボットやウイルスについては、減少の傾向が見られず今後も継続して対策が必要。手法の高度化、多機能化にも注意を払うことが望まれる。
z ウイルス対策ソフトでは全てに対応することが困難であることから、職員への教育など他の対策を併用して、対策に努めることが望まれる。
z 未然防止のための対策と、IT障害発生後の拡大防止・早期復旧に向けた対応のバランスを取ることが望まれる。
z 今後は技術的な対策に加え、制度面、人的側面の対策も望まれる。
z 今後は制御系システムについて、セキュリティ確保のための対策が望まれる。
z パッチの提供が定例化されているものについては、周到な準備と迅速な対応が必要。同時に非定例で提供されるパッチに対する、情報収集が望まれる。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

7

◆STEP2
改定の方向性について以降のページで示す「指針（第３版）」への反映の方向性については、資料４「指針（第３版）パブリックコメント案」に反映しています。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

8

反映結果：①第２次行動計画の反映
分析・検証結果より抽出した問題意識

指針（第３版）への反映の方向性①第２次行動計画の反映 より
z 第２次行動計画において重要インフラサービスという観点を追加し、それを踏まえた全体的な枠組みの見直しを実施
・重要システム、サービスレベル、検証レベル、IT障害の定義 等

z 本編：例えば、「脚注２」を「重要インフラサービスにおいて発生する障害（サービスレベルを維持できない状態等）のうち、ITの機能不全が引き起こすもの」と修 →(1)正する等、指針全体について見直しを行い、必要に応じて修正。

z IT障害の脅威の類型に他分野からの波及を追加

z 本編：「Ⅱ３．「安全基準等」の対象とする脅威」に「（４）他分野の障害からの波及」を追加し、他分野の障害からの波及の脅威の例示を記載。

→(2)z 本編：「Ⅲ２．本指針の継続的改善」に、指針の改定に関する検討及び分析・検証について記載。

→(3)z 指針の継続的改善を3年に1度実施する「指針の改定に関する検討」と毎年及び必要に応じて実施する「分析・検証」に分
類

z 参考事項、具体化の例示等の追加により、指針の充実

z 本編：「Ⅰ５．本指針の構成」に、指針に記載する事項を「要検討事項」と「参考事項」に分類すること、及び別冊として対策編を設けて対策項目の具体化 →(4)の例示等を取りまとめることを記載。

z 情報セキュリティに関する基準や参考文献等を改めて広く安全基準等として整理

z 本編：「Ⅰ６．本指針を踏まえた安全基準等の継続的改善及び浸透への期待」に、情報セキュリティに関する基準や参考文献類を安全基準等として整理することについて記載。

z 安全基準等の浸透に向けて、対策を実装するための環境整備

z 本編： 「Ⅰ６．本指針を踏まえた安全基準等の継続的改善及び浸透への期待」及び「Ⅲ４．（１）重要インフラ所管省庁及び重要インフラ事業者等」に、対→(6)策を実装するための環境整備について記載。

z 「安全基準等の浸透状況等に関する調査」を定期的に実施

z 本編： 「Ⅲフォローアップ」に「４．安全基準等の浸透」を追加し、内閣官房が「安全基準等の浸透状況等に関する調査」を毎年行うことを記載。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

→(5)

→(7)
9

反映結果：①第２次行動計画の反映
分析・検証結果より抽出した問題意識指針（第３版）への反映の方向性①第２次行動計画の反映 より
z 事業継続計画の策定状況等を踏まえ、指針の充実

z 本編：「Ⅲ２．（２）指針の分析・検証」に、事業継続計画の観点から指針の内容を充実させることについて記載。

z 本編：「Ⅲ３．（１）重要インフラ所管省庁及び重要インフラ事業者等」に情報
セキュリティ監査又はそれに相当するものの実施を検討することについて記載。

z 情報セキュリティ監査の実施やセキュリティ報告書の作成等の自主的な取組み

z 情報セキュリティ対策の対外的な説明
z リスクコミュニケーション、公表に差し支えない範囲での情報セキュリティ対策の開示

z 本編：「新たな重点項目 エ ＩＴ障害発生時の利用者の対応のための情報の提供等の対策」にサービスの停止・低下が発生した際でも利用者が安心して対応が行える情報提供の実施について記載。
z 「重点項目 ア（イ） 事業継続計画との整合性への配慮」にリスクコミュニケーション等の連携について記載。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

→(8)

→(9)

→(10)

10

反映結果：②定常的なIT障害等の発生状況の分析
分析・検証結果より抽出した問題意識指針（第３版）への反映の方向性②定常的なIT障害等の発生状況の分析 より
z 社会動向の変化に伴う情報システムのセキュリティ要件の見直し、システム全体としてのセキュリティチェックの実施、対策の検討、対策の実施といったPDCAサイクルの考えを踏まえたセキュリティ対策の実施

z 本編：「４つの柱 ア 組織・体制及び資源の確保」にて、反映済。

→(11)z 利用者や職員の通報も障害発生の認識に役立ち、通報の取り扱いをマニュアルに示した上での活用

z 本編：「４つの柱 ア 組織・体制及び資源の確保」にて反映済。

→(12)

z 報告手順、様式等の整備等により迅速に対応できる体制構築

z 本編：「４つの柱 ア 組織・体制及び資源の確保」にて、「運用等に係る組織及び体制の確立及びこれを支える資源の確保」に反映済。

→(13)z システムの構築、保守時における障害の原因の発見、障害の要因となり得る不具合の除去等を着実に行なうこと

z 本編：「４つの柱 エ 情報システムについての対策」に、「保守時の対応の必要性」について記載。

→(14)

z 適切な早期復旧を可能とする方法、体制の整備を図っていくこと

z 本編： 「重点項目 ア IT障害の観点から見た事業継続性確保のための対策」に反映済。

→(15)

z 情報漏えいの防止に向けた実効性ある対策、被害を最小化するための継続的な取り組みz 本編： 「重点項目 イ 情報漏えい防止のための対策」にて、「各分野において発生防止及び再発防止の対策に取り組む必要」に反映済。

→(16)

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

11

反映結果：③行動計画に基づく施策の成果（1/2）
分析・検証結果より抽出した問題意識

指針（第３版）への反映の方向性③行動計画に基づく施策の成果 より
z 水道分野のサービス停止や機能の低下等による、他分野のシステムが機能不全に陥る恐れ

本編：「Ⅱ３．「安全基準等」の対象とする脅威」に「（４）他分野の障害からの波 →(17)及」を追加し、脅威の例示に水道供給の途絶について記載。
「Ⅱ６．対策項目（１）４つの柱 エ 情報システムについての対策（ア）施設と環境」に反映済。

z IT障害の脅威の定義等について、第２次行動計画において見直しz 本編：「脚注２」を「重要インフラサービスにおいて発生する障害（サービスレベルを維持できない状態等）のうち、ITの機能不全が引き起こすもの」と修正する等、→(18)
指針全体について行動計画を踏まえた用語の見直しを行い、必要に応じて修正 （「①第２次行動計画の反映」を参照）。

z 重要インフラ分野及び重要インフラ事業者等の取組みから得られる知見・教訓等を踏まえた指針の充実

z 本編：「Ⅰ６．本指針を踏まえた安全基準等の継続的改善及び浸透への記載」に反映済み。

z 脅威の例示にIPv6への移行等を含める「社会全体で対応が望まれる脅威」の分類をを追加

z 本編：「新たな重点項目 オ ＩＴに係る環境変化に伴う脅威のための対策 」に、→(20)
暗号の危殆化やIPv6への移行等の対策について記載。

z 事業者等が制定する内規見直しの推進

z 本編：「Ⅲ４．安全基準等の浸透」に重要インフラ事業者等、重要インフラ所管省庁及び内閣官房の取り組みを記載。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

→(19)

→(21)

12反映結果：③行動計画に基づく施策の成果（2/2）
分析・検証結果より抽出した問題意識③行動計画に基づく施策の成果 より

z 電力、水道分野のサービスの停止・低下が他分野のサービス停止・低下等に与える影響についての対応

指針（第３版）への反映の方向性
z 本編：「Ⅱ３．「安全基準等」の対象とする脅威」に「（４）他分野の障害からの波及」を追加し、脅威の例示に電力供給の途絶、水道供給の途絶等について記載。
z 本編：「４つの柱 エ 情報システムについての対策（ア）施設と環境」にて、停電時への対応ついては反映済。

→(22)

→(23)

z 本編：「４つの柱 エ 情報システムについての対策（ア）施設と環境」に、断水時への対応について記載。
→(24)

z 重要インフラ分野間のデータ送受信に係る不適切な現象とその影響に関して、通信・送受信システムの正常稼働時においては、影響範囲が局所的であることが多く、非正常稼働時においては、影響範囲が広範であることが多い

z 本編： 「４つの柱 エ 情報システムについての対策 （ウ）アプリケーションソフト
ウェア及び（エ）通信回線及び通信回線装置」にて、重要インフラ分野間のデータ送受信に係る対策に反映済。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

13

反映の方向性：④関連文書の検証（1/2）
分析・検証結果より抽出した問題意識指針（第３版）への反映の方向性④関連文書の検証 より
z 経営層の判断の下、取組状況の開示の促進等を通じた戦略的CSRの推進

z 本編：新たな重点項目「エ ＩＴ障害発生時の利用者の対応のための情報の提供等の対策」に、サービスの停止・低下が発生した際でも利 →(25)
用者が安心して対応が行える情報提供の実施について記載。

z 国際規格やISMS適合性評価制度との整合
z ISMSに関する国際規格の作成状況を踏まえ、対策項目を具体化

z 本編：「Ⅰ６．本指針を踏まえた安全基準等の継続的改善及び浸透 →(26)への期待」にて、反映済。

z 技術・環境の変化等、重要インフラにおいても参考となる事項についての盛り込み

z 本編：新たな重点項目「オ ＩＴに係る環境変化に伴う脅威のための対 →(27)
策」に、記載。

z 情報システム部門における事業継続計画（BCP）の構築と運用

z 本編：「重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」にて、反映済。

z 業務プロセスの情報システムへの依存性を考慮して、組織全体の事業継続計画（BCP）と連携して事業継続マネジメントシステム（BCMS）を運用

z 暗号アルゴリズムを使用する場合は、電子政府推奨暗号リストを参考→(28)z 本編：「４つの柱 ウ 情報セキュリティ要件の明確化に基づく対策」にて、反映済。
→(29)

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

14

反映の方向性：④関連文書の検証（2/2）
分析・検証結果より抽出した問題意識指針（第３版）への反映の方向性④関連文書の検証 より
z 暗号の危殆化が予想されている暗号アルゴリズムを使用している場
合は、その移行に向けたスケジュールの策定と、より安全性の高い暗号アルゴリズムを導入

z 本編：新たな重点項目「オ ＩＴに係る環境変化に伴う脅威のための対策」に、暗号の危殆化について記載。

→(30)

z 発注者（ユーザ企業）と開発者（ベンダ企業）の十分な意思疎通と適切な役割分担

z 本編：「重点項目 ウ 外部委託における情報セキュリティ確保のための対策」に、契約者双方の責任の明確化と合意形成について記載
→(31)
済。

z 経営層の積極的な関与の下、組織全体の視点からの情報セキュリ
ティインシデント対応

z 本編：「重点項目 ア ＩＴ障害の観点から見た事業継続性確保のた→(32)めの対策」にて、反映済。

z 知的財産としての「人財」という認識に立った情報セキュリティ人材育成や要員管理z 本編：「４つの柱 ア 組織・体制及び人的資源の確保」に、情報セキュリティ人材育成等について記載。

z 社会全体で対応する脅威に対して、最低限の国民生活を維持するための準備と対応

z 本編： 「重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」に新型インフルエンザ等、社会全体で対応する脅威への →(34)
考慮について記載。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

→(33)

15

反映の方向性： ⑤社会動向（環境）の変化の検証（1/2）
分析・検証結果より抽出した問題意識

指針（第３版）への反映の方向性⑤社会動向（環境）の変化の検証 より
z システムの統合や更新時に、十分な検証等の対応

z 本編：「４つの柱 エ 情報システムについての対策」の（イ）から（ウ）で更 →(35)
新時の十分な検証について追加。

z 災害や障害等が発生した際の情報収集のためのツールとして様々な主体が提供するサービスを利用

z 本編：「重点項目 ア ＩＴ障害の観点から見た事業継続性確保のため→(36)の対策」に反映済。

z 監査等によるセキュリティ対策の評価

z 本編：「Ⅲ．フォローアップ」に記載されているが、第2次行動計画でにに具体的に盛り込まれていることを踏まえ、「4つの柱 ア 組織・体制及び資源の確保」の参考事項として外部監査について記載。
→(37)

z 利用されている技術が次々と移り変わることに対応するため、常にリスク分析や対策の見直しの実施

z 本編：継続的改善については、「Ⅲ．フォローアップ３」の（１）で安全基準等の見直しに関する検討について反映済みであるが、新たな重点項目「オ ＩＴに係る環境変化に伴う脅威のための対策」に脅威に対す→(38)る対応を記載。

z 一般に広く使われる技術、プロトコル、ソフトウェア等の脆弱性が顕在化すると、影響は社会全体に及ぶ

z 本編：現行指針に記載はなく、新たな重点項目「オ ＩＴに係る環境変化に伴う脅威のための対策」に技術等の環境変化への検討につい →(39)て記載。

z 情報セキュリティに関する要件は不可欠であるが、可視化が難しく、企画・設計段階から意識して検討

z 本編：「４つの柱 ウ 情報セキュリティ要件の明確化に基づく対策」に反→(41)映済。

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

16

反映の方向性： ⑤社会動向（環境）の変化の検証（2/2）
分析・検証結果より抽出した問題意識⑤社会動向（環境）の変化の検証 より指針（第３版）への反映の方向性

z 暗号アルゴリズムについては、適切なタイミングで見直し
z 移行についての十分な配慮

z 本編：現行指針に記載はなく、新たな重点項目「オ ＩＴに係る環境 →(42)変化に伴う脅威のための対策」に暗号の危殆化に対応する対策項目について記載。

z Webサイトの脆弱性は、サイト毎に異なることが多く、事業者等自身が対策を実施

z 本編：「４つの柱 ウ 情報セキュリティ要件の明確化に基づく対策」（イ） →(43)に反映済。

z 職員への教育など他の対策を併用して、対策に努める

z 本編：「４つの柱 ア 組織・体制及び資源の確保（ア）」に記載。

→(44)

z 未然防止のための対策と、IT障害発生後の拡大防止・早期復旧に向けた対応のバランスを取ること

z 本編：「Ⅰ２「安全基準等」の必要性」に反映済。

→(45)

z 制度面、人的側面の対策

z 本編：人的側面の対策については、「４つの柱 ア 組織・体制及び資→(46)源の確保」に反映済。

z 制御系システムについて、セキュリティ確保のための対策

z 本編：「Ⅰ４本指針の位置づけ」に、反映済。

z パッチの提供が定例化されているものについては、周到な準備と迅
速な対応
z 非定例で提供されるパッチに対する、情報収集

z 本編：「４つの柱 ウ 情報セキュリティ要件の明確化に基づく対策（イ）情報セキュリティについての脅威」に記載済。
→(48)

Copyright (c) 2009 National Information Security Center(NISC).All Rights Reserved.

→(47)

17