資料２

重要インフラにおける情報セキュリティ確保に係る「安全基準等」策定にあたっての指針及び対策編の見直しについて

2012年 9月２７日
内閣官房 情報セキュリティセンター（NISC）

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

「指針・対策編の見直し」の概要○２０１０年度に、指針（※１）の改定（2010年5月）、対策編（※２）の策定（2010年7月）を行い、各分野にて安全基準等の見直しが順次行われているところ○東日本大震災や標的型サイバー攻撃等の環境変化を受けた第２次行動計画の改定（本年4月）に伴い、指針・対策編を分析・検証し、必要に応じて改定を実施するとされたところ

第1次行動計画における取組み
指針の見直し（SJ2006）
指針

指針の改定（第２版）（２００６．２）（２００７．６）

第2次行動計画における取組み
今回の改定
指針の見直し指針の内容の充実（SJ2008～（JS2012）
SJ2010）
指針の改定（第３版）

対策編（２０１０．５）（２０１０．７）

指針・対策編の改定（２０１３．３頃予定）

情報セキュリティ2012(2012.7決定）

第2次行動計画（2012.4改定）

・東日本大震災において重要インフラ分野に生じた複合的な障害における教訓を踏まえ、事業継続計画（BCP）において情報セキュリティ上のリスクを十分想定し得るよう「重要インフラにおける情報セキュリティ確保に係る「安全基準等」策定にあたっての指針（第３版）」の内容を充実させる。また、安全基準等の分析・評価にあたり、標的型攻撃、制御システムへの攻撃など最近の環境変化に対応しているか否かの分析・検証を行う。

・指針の改定に関する検討にあたっては、東日本大震災において重要インフラ分野に生じた複合的な障害における教訓を踏まえ、事業継続計画において情報セキュリティ上のリスクを十分想定する必要が生じている状況や、事業継続計画に関する国際規格化の進展状況等を踏まえつつ、分野横断的な観点からも実効的であるかを検証できるように指針の内容を充実させるものとする。

（※１）重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針（情報セキュリティ政策会議決定）（※２）重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針 対策編（重要インフラ専門委員会決定）
Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

1

【参考】指針の位置づけ＜指針＞
重要インフラ１０分野における横断的な情報セキュリティ基準を定めたもの

各分野横断的な情報セキュリティ基準
・指針（事項）・対策編（指針における事項の具体例：技術等）

・・分野

A分野

国業所管法令重要ｲﾝﾌﾗ業界

業界ガイドライン等

重要ｲﾝﾌﾗ事業者

内規

内規

・・

内規

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

・・2【参考】重要インフラ第２次行動計画の改訂と具体的な対応

項目行動計画の改訂

１．ＢＣＰ等の充実

ＢＣＰ関連の記述を修正・追加（Ⅱ １．（１）指針の継続的改善）

２．環境変化を踏まえた安全基準の改善（Ⅱ １．（２）安全基準等の継続的改善）

３．情報共有体制の強化

重要インフラ事業者等と政府機関等の密接な意見交換や事業者にも役立つ情報の共有等、取組みを具体的に追加対策が求められる例として「標的型攻撃」、「制御システムへの攻撃」を追加

具体的な対応 （平成24年度）「安全基準等の策定に当たっての指針」
または「対策編」に、通信途絶時の対策等ＩＴ－ＢＣＰに関する項目を追記
攻撃の動向、情報システムの変化等の環境変化への安全基準の対応状況を精査※※必要に応じて「指針」または「対策編」に必要な項目を追加するとともに、国際標準に準拠した評価認証機関の活用またはセキュリティ検証施設の活用等制御システムのセキュリティ評価・検証を容易にするための方策を追加。

セプターカウンシルにおいて、システムの運用状況の客観的判断材料等事業者間で共有可能な情報の追加を具体的に検討（Ⅱ ２．（４）セプターカウンシル）（第２９回情報セキュリティ政策会議資料2-1より抜粋）

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

3

【参考】指針・対策編の策定・改定の経緯
年月

決定機関

名称

主な改定（追加）内容

２００６年６月

情報セキュリティ政策会議

重要インフラにおける情報セキュリティ確保に係る「安全基準等」策定にあたっての指針（第１版）

・重要インフラ分野内及び分野間の対策レベルの格差を最小限にし、統一的な重要インフラ防護に資する目的で、共通の指針を策定

２００７年７月

情報セキュリティ
政策会議

（第２版）

・自己点検・監査の実施
・システムの負荷分散、冗長化・システムの処理性能確保、品質確保

２０１０年５月

情報セキュリティ
政策会議

（第３版）

・ＩＴ障害発生時におけるサービス状況等の利用者への情報提供・新型インフルエンザ等の新たな脅威に対する対応・先進的な個別対策も取り込めるような記載

２０１０年７月

重要インフラ専門委員会

重要インフラにおける情報セキュリティ確保に係る「安全基準等」策定にあたっての指針対策編（第１版）

・重要インフラ分野及び事業者が安全基準等を定めるにあたり、実践的な参考になるよう、具体例を記した「対策編」を策定

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

4

「指針･対策編見直し」の分析・検証におけるアプローチ○今回の分析・検証においては、以下の３つの視点から検討が必要な課題を抽出し、指針・対策編への反映を検討する。
◆指針･対策編見直しの分析・検証における３つのアプローチ①事業継続計画（ＢＣＰ）の一層の充実：「東日本大震災における重要インフラの情報システムに係る対応状況等に関する調査」（２３年度）や複合的障害を想定した分野横断的演習での気づき・教訓を指針･対策編へ反映。
②標的型サイバー攻撃等の環境変化に対する対応：
標的型サイバー攻撃・制御システムへの攻撃への対策について、Ｈ２３年度の共通脅威分析結果等を検証した上で、必要に応じて対応策を指針･対策編へ反映。

③他基準との平仄合わせ：
政府統一基準群に記載されている対応策について、比較検討の上、必要に応じて指針･対策編へ反映。

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

5指針・対策編 ２０１２年度改定（案）の方針
以下の３つの視点からのアプローチにより課題を抽出し、対応する対策を追記。
（１）広域災害、複合障害を想定した対策を進めることを求める

指針本編（２）通信が途絶した中での緊急時行動ルールの策定を求める①業務継続計画（ＢＣＰ）の一層の充実（３）通信途絶時の対策を追記（４）停電への対応を追記（５）代替手段で使用するシステムの準備を追記（６）緊急時に使用が増加するシステムの準備を追記（７）相互支援に備えたデータ形式の標準化推進を追記（１）ＩＤ・パスワード管理の強化策の詳細化（２）入口対策の詳細化②標的型サイバー攻撃等の環境変化に対する対応（３）出口対策の詳細化

対策編（４）ネットワーク構成等に関する情報の取扱いを追記（５）モバイル端末のセキュリティ対策の詳細化（６）グループ会社全体でのセキュリティ対策体制の整備を追記（７）業界内、ベンダー等との情報連絡体制の構築を追記（１）事業継続計画と情報セキュリティ対策の整合性確保を明記③他基準との平仄合わせ（２）メールのなりすまし防止策を追記（３）ＩＤ・パスワード管理の強化策の追記

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

6状況検証：①事業継続計画（ＢＣＰ）の一層の充実（ 1/２ ）東日本大震災における重要インフラの情報システムに与えた影響調査（平成２３年度）
及び分野横断的演習で得られた課題・気づきの検証を実施
課題

検証結果

（１）広域災害、複合障害に対する対策

 広域災害、複合障害を想定した対策を実施していなかった 広域災害、複合障害についても想定した事業継続性確保の個別対策の実施が望まれる（２）緊急時の行動ルール

 通信が途絶した状況で、意思決定する役割を持った経営層等との連絡がとれず、初動が遅れた

 被災後の初動を早くするために、通信が途絶した状態でも、要員の参集や意思決定等の権限委譲が自動的に行われるような緊急時の行動ルールの策定が望まれる（３）通信途絶時の対策

 正副の通信回線が同時に切断され、通信回線が使用不可となった
 固定電話・携帯電話は輻輳により使用できなかったが、衛星携帯電話・優先電話は使用できた
 通信が途絶しても手元にデータを残していたため、必要最小限の業務ができた 通信回線の二重化や通信キャリアを正回線、副回線で分けるなど、同時被災しないような通信回線の対策が望まれる 輻輳などで一部の通信手段が使用できなくなる可能性を考慮し、複数の通信手段を準備し、使用できるようにしておくことが望まれる
 通信途絶時でも必要最小限の業務ができるように準備しておくことが望まれる（４）停電への対応

 自家発電機の準備・訓練が不十分であったため、有効に使用できなかった
 実際には発生しなかったが、自家発電機の燃料があと少しで枯渇した

 災害時の停電に備えて自家発電装置等使用の準備・訓練と燃料対策を実施しておくことが望まれる

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

7

状況検証：①事業継続計画（ＢＣＰ）の一層の充実（２/２）

課題

検証結果

 事務代行拠点からのアクセス権限付与を可能とする機能がなく、急きょ、システム変更を実施し、事務代行拠点からのアクセスを可能とした 災害時に代替手段として必要となるシステムを平時から開発し、準備しておくことが望まれる（６）緊急時に使用が増加するシステ
ムの性能の確保

 利用者に重要サービスの提供状況等を発信する情報発信システム等、災害時に重要なシステムの可用性の確保が不十分であったため、アクセス集中により、サーバがダウンするなどの事象が発生

 災害時に重要な機能を担う情報発信システム等の可用性を高めるため、平時から定期的にシステム性能を見直す等の対策を行うことが望まれる（７）相互支援に備えたデータ形式の標準化

 業界内で、データ形式が共通化できていなかったため、他の事業者が支援のために使用できなかった 災害時に業界内で相互支援できるように、データ形式の標準化を推進することが望まれる（５）代替手段で使用するシステムの準備

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

8

反映の方向性：①事業継続計画（ＢＣＰ）の一層の充実
分析・検証結果より抽出した問題意識

指針・対策編への反映の方向性①東日本大震災を踏まえた環境変化の検証より
 本編：「５つの重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」 に、考慮すべき脅威の例示等を追記。

（１）

 対策編：「５つの重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」 に、対策項目の例示等を記載。

（２）

 対策編： 「５つの重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」 に、対策項目の例示等を記載。

（２）

 輻輳などで一部の通信手段が使用できなくなる可能性を考慮し、複数の通信手段を準備し、使用できるようにしておくこと

 対策編：「５つの重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」 に、対策項目の例示等を記載。

（３）

 通信途絶時でも必要最小限の業務ができるように準備しておくこと

 対策編：「５つの重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」 に、対策項目の例示等を記載。

（３）

 災害時の停電に備えて自家発電装置等使用の準備・訓練と燃料対策を実施しておくこと

 対策編：「５つの重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」 に、対策項目の例示等を記載。

（４）

 対策編：「５つの重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」 に、対策項目の例示等を記載。

（５）

 災害時に重要な機能を担う情報発信システム等の可用性を高めるため、平時から定期的にシステム性能を見直す等の対策を行う
こと

 対策編： 「５つの重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」 に、対策項目の例示等を記載。

（６）

 災害時に業界内で相互支援できるように、データ形式の標準化を推進すること

 対策編：「５つの重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」 に、対策項目の例示等を記載。

（７）

 広域災害、複合障害を想定した対策の実施

 通信が途絶した状態でも、要員の参集や意思決定等の権限委譲が自動的に行われるような緊急時のルール作り
 通信回線の二重化や通信キャリアを正回線、副回線で分けるな
ど、同時被災しないような通信回線の対策

 災害時に必要となる機能を平時から開発し、準備しておくこと

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

9状況検証：②標的型サイバー攻撃等の環境変化に対する対応
共通脅威分析（平成２３年度）の結果等から、対策課題の分析・検討を実施
対策課題

分析結果

（１）ＩＤ・パスワードの管理 攻撃者にアクセス権限を容易に奪取されないように、ＩＤ・パスワードの管理を厳格化すべき

 共用ＩＤの禁止、不要ＩＤの削除の徹底、ＩＤごとに異なるパスワードを設定する等の対策の追加が必要と考える（２）入口対策

 アンチウィルスソフトやＩＤＳ等だけではな
く、多層的な防御対策が必要

 ＷＡＦ（ウェブアプリケーションファイアウォール）や迷惑メールフィルターの導入、脆弱性のある作り込みをしないような対策等も必要と考える（３）出口対策

 侵入されても情報窃取を防ぐためには、外部への通信制御が重要 内部から外部への通信制御としてプロキシ経由にするなどの対策が必要と考える（４）ネットワーク構成
情報の管理 攻撃者にネットワーク構成等に関する情報が漏れないようにすべき ネットワーク構成等に関する情報の秘匿対策が必要と考える（５）モバイル端末のセキュリティ対策

 モバイル端末が高度化する中、暗号化機能の実装だけでなく、ワンタイムパスワードや遠隔消去等の機能も必要 ワンタイムパスワードや遠隔ロック、遠隔消去等の機能の実装も必要と考える（６）グループ会社を含めた体制

 セキュリティ対策が十分でないところからの侵入を防ぐため、本体企業だけでなく、グループ会社も含めたセキュリティ対応が必要

 グループ会社も含めたセキュリティ対応体制の構築が必要と考える（７）情報連絡体制

 業界内、ベンダー等との情報連絡が重要

 業界内、ベンダー等との、緊急時及び平常時の連絡体制の整備が必要と考える

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

10反映の方向性：②標的型サイバー攻撃等の環境変化に対する対応
分析・検証結果より抽出した問題意識

指針・対策編への反映の方向性②標的型サイバー攻撃に対する対策の分析より
 共用ＩＤの禁止、不要ＩＤの削除の徹底、ＩＤごとに異なるパスワードを設定する等の対策の追加

 ＷＡＦ（ウェブアプリケーションファイアウォール）の導入や脆弱性のある作り込みをしないような対策

 対策編：「４つの柱 ウ 情報セキュリティ要件の明確化に基づく対策」に、対策項目の例示等を記載。

（１）

 対策編：「 ４つの柱 ウ 情報セキュリティ要件の明確化に基づく対策」（２）に、対策項目の例示等を記載。

 対策編： 「 ４つの柱 エ 情報システムについての対策」 に、対策項目の例示等を記載。

（３）

 ネットワーク構成等に関する情報の秘匿対策

 対策編：「 ４つの柱 エ 情報システムについての対策」 に、対策項目の例示等を記載。

（４）

 ワンタイムパスワードや遠隔ロック、遠隔消去等の機能の実装

 対策編：「 ４つの柱 エ 情報システムについての対策」 に、対策項目の例示等を記載。

（５）

 グループ会社も含めたセキュリティ対応体制の構築

 対策編：「 ４つの柱 ア 組織・体制及び資源の対策」 に、対策項目 （６）の例示等を記載。

 業界内、ベンダー等との、緊急時及び平常時の連絡体制の整備

 対策編：「５つの重点項目 ウ 外部委託における情報セキュリティ確保のための対策」 に、対策項目の例示等を記載。

 内部から外部への通信制御としてプロキシ経由にするなどの対策

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

（７）

11

状況検証：③他基準との平仄合わせ
政府統一基準群に記載されている対応策について、指針・対策編との比較分析を実施

対策

分析結果

（１）事業継続計画とセキュリティ対策の整合性

 業務継続計画及び情報システム運用継続計画と情報セキュリティ関係規程との整合性の確保、必要な措置の実施

 事業継続計画と情報セキュリティ対策との間の整合性確保が重要インフラ分野にも必要と考える（２）電子メールのなりすまし対策

 電子メールの送信元について、なりすましの防止策を講ずる

 電子メール送信時及び受信時の送信ドメイン認証の導入が重要インフラ分野にも必要と考える（３）ＩＤ・パスワードの管理 攻撃者にアクセス権限を容易に奪取されないように、ＩＤごとに異なるパスワードを設定する

 IDごとに異なるパスワードを設定することが重要インフラ分
野にも必要と考える

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

12

反映の方向性： ③他基準との平仄合わせ分析・検証結果より抽出した問題意識

指針・対策編への反映の方向性③政府統一基準に記載されている対策の分析より

 事業継続計画と情報セキュリティ対策との間の整合性確保

 対策編：「５つの重点項目 ア ＩＴ障害の観点から見た事業継続性確保のための対策」 に、対策項目の例示等を記載。

（１）

 電子メール送信時及び受信時の送信ドメイン認証の導入

 対策編：「 ４つの柱 エ 情報システムについての対策」 に、対策項目の例示等を記載。

（２）

 IDごとに異なるパスワードを設定

 対策編：「 ４つの柱 ウ 情報セキュリティ要件の明確化に基づく対策」 に、対策項目の例示等を記載。

（３）

Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

13指針・対策編の改定に向けたスケジュール○今後、各重要インフラ分野における意見を集約・反映し、来年１～２月頃のパブリックコメントを経て、今年末頃に指針・対策編の改定版を策定（指針については、政策会議で策定）○本改定版は、安全基準等の継続的改善の際に活用されることを期待

情報セキュリティ政策会議（重要インフラ専門委員会）
指針・対策編の見直し
2012年7～9月頃 2012年10月頃

分析・検証（３つのアプローチ→改定案作成→パブコメ案作成）

改定案
検討

改定案
確定

2013年1月頃

意見集約・反映

パブコメ案
決定

2013年4月頃

パブ指針・対策編
リック改訂版
コメント決定●専門委員会（１月）●専門委員会（９月末）・パブコメ案
・見直しの考え方（対策編に盛り込むべき事項） →政策会議に報告（指針は審議事項）
・指針の改定の有無●専門委員会（３月）・対策編（指針案）確定→対策編を政策会議に報告→指針案を政策会議にて審議

各重要インフラ分野
安全基準等の継続的改善
・対策の経験から得られた知見を安全基準等に反映するため、安全基準等の継続的な改善に取り組む
・安全基準等の検証に際しては、指針や毎年実施される指針の分析・検証の結果を踏まえた検討を行うこととし、必要に応じて安全基準等の改定を行う
Copyright (c) 2012 National Information Security Center(NISC).All Rights Reserved.

14