JPCERT Coordination Center

産業分野におけるサイバーセキュリティ政策
経済産業省 商務情報政策局
サイバーセキュリティ課
鴨 田 浩 明電子署名者 : JPCERT Coordination Center
DN : c=JP, st=Tokyo, l=Chuo-ku, o=Japan Computer
Emergency Response Team Coordination Center,
cn=JPCERT Coordination Center, email=office@jpcert.or.jp
日付 : 2020.02.27 14:58:09 +09'00'

１．サイバー攻撃の動向

２．産学官の検討体制の構築~産業サイバーセキュリティ研究会

３．WG1：「Society5.0」において必要なセキュリティ対策~サイバー・フィジカル・セキュリティ対策フレームワークの策定

４．WG2：サイバーセキュリティ対策の基盤整備~経営、人材育成、中小企業

５．WG3：サイバーセキュリティビジネスの創出~エコシステムの構築

1

(独)情報処理推進機構：情報セキュリティ10大脅威 2020
個 人

昨年順位

ランク
外 スマホ決済の不正利用

組 織

順 位

昨年順位

1位 標的型攻撃による情報流出

1位

2位 フィッシングによる個人情報の詐取

2位 内部不正による情報漏えい

5位

1位 クレジットカード情報の不正利用

3位 ビジネスメール詐欺による金銭被害

2位

7位 インターネットバンキングの不正利用

4位 サプライチェーンの弱点を悪用した攻撃

4位

5位 ランサムウェアによる被害

3位

3位 への被害6位 予期せぬIT基盤の障害に伴う業務停止

16位

5位 ネット上の誹謗・中傷・デマ

7位 不注意による情報漏えい（規則は遵守） 10位

NEW

メールやSMS等を使った脅迫・詐欺の4位 手口による金銭要求

不正アプリによるスマートフォン利用者

インターネット上のサービスへのインターネット上のサービスからの8位 不正ログイン

8位 個人情報の窃取

7位

6位 偽警告によるインターネット詐欺

9位 IoT機器の不正利用

8位

10位 サービス妨害攻撃によるサービスの停止

6位

インターネット上のサービスからの１2位 個人情報の窃取<出典：情報処理推進機構、2020.1.29.>

2

ASUS社端末におけるアップデート機能を悪用した攻撃（サプライチェーンを通じた攻撃（水平的脅威））⚫ 台湾のIT機器大手ASUS社※１において、正規のアップデートサーバが攻撃を受け、当該サーバから端末向けに配布されたアップデートファイルを介し、数十万の同社端末がマルウェアに感染する事案が発生。
（出典：MOTHERBOAR誌にてKim Zetter氏執筆。さらにKaspersky社が本件の簡易レポート発出。）⚫ 正規のダウンロード経路を悪用した同様の攻撃は、2017年に「CCleaner※２」においても発生しており、
マルウェア感染経路の一つとして警戒を要する。
※１ ASUS社：台北市に本社を置く大手PC、スマートフォン、周辺機器製造メーカー。ソニー、アップル、HP、EPSON等への部品供給も行う。
※２ CCleaner：ハードディスク内部の不要なファイルやレジストリを削除するためのツール。イギリスの Piriform Ltd. が開発。

本事案の詳細（原因・影響等）⚫

本攻撃は2018年6月から11月にかけて発生。「ShadowHammer」と呼ばれる。

⚫

「ASUS Live Update Utility（アップデートサーバ）」によるソフトウェアアッ
プデートを経由し、マルウェア（バックドアファイル）が数十万のASUS端末※Kaspersky社は数百万に上る可能性も指摘に感染。

⚫

本攻撃の大きな特徴として、マルウェアは標的とする端末のMACアドレスをあらかじめ保有しており、感染端末のMACアドレスを参照し、それが標的端末であるかを識別していた。

事案のイメージ
サーバ内のアップデートファイルに
マルウェア埋め込み

攻撃者

攻撃

アップデートサーバ

配布※Kaspersky社は、200の検体サンプルから600の標的MACアドレスを確認している由⚫

✓✓識別の結果、マルウェア感染端末が標的端末であった場合、C&Cサーバと通信を開始する攻撃手法。実際に標的端末が感染。

アップデートファイル内に埋め込まれたマルウェアは、標的とするMACアドレスを保有

C&Cサーバマルウェア感染

標的端末以外ではマルウェアを作動させないことで、事案の発覚を遅らせる狙いがあるとみられる。

標的端末のみマルウェアが作動し、C&Cサーバと通信

攻撃者はMACアドレスにより、生産ロット等から標的とする特定の出荷先を絞り込こんだものと推測される。
端末

標的端末

2

OSSライブラリに悪意のあるコードが仕込まれる：Copay⚫ 仮想通貨（暗号資産）のウォレットアプリ「Copay」にユーザーの仮想通貨を盗み出す
バックドアが仕掛けられて公開されていた。
⚫ 攻撃者はCopay本体ではなく、Copayが利用する外部ライブラリの一つ（eventstream）を正規の権限で編集し、悪意のあるコードが仕込まれた外部ライブラリ（flatmap-stream）に関連させることでバックドアを仕掛けた。
⚫ 悪意あるコードを追加する工程を複雑にし、かつ隠蔽を行うことで発覚を遅らせようとした。
・開発者によるevent-streamの最終更新

2018.8末・攻撃者がevent-streamの開発者に「メンテナンスを引き継ぎたい」と持ちかけメンテナンス権限を取得

2018.9.9

・攻撃者がevent-streamを更新 → event-streamがflatmap-streamと関連2018.10.5

・攻撃者がflatmap-streamに悪意のあるコードを追加…

2017.102018.10.26

・Copayが更新→ Copayが悪意のあるコードが仕込まれたflatmap-stream に関連するようになり、攻撃者がバックドアを利用できるように…

2018.11.26

Copay
event-stream
v3.3.6
flatmap-stream
v0.1.1・ニュースになり、 flatmap-streamは削除された
4

サイバー攻撃の脅威レベルの増大（制御系にまで影響が波及）（情報システムを越えて制御システムに達する攻撃（垂直的脅威））⚫ 米国ICS-CERTの報告では、重要インフラ事業者等において、制御系にも被害が生じている。
⚫ ウクライナでは、 2015年と2016年にサイバー攻撃による停電が発生。2016年の攻撃(CrashOverRide)では、サイバー攻撃のみで、停電が起こされた。
米国の重要インフラへのサイバー攻撃の深さ

攻撃のうち約一割は、制御系までサイバー攻撃が到達

Level 2 –Business Network
39

ITネットワークへの侵入
269件

2016年に発生したウクライナの停電に係る攻撃（CrashOverRide(Industryoyer)）
不正アクセス

不正ソフト
書込み【IT系システム】【重要インフラ】【産業用制御系システム】
不正操作
・停止

（出典）NCCIC/ICS-CERT Year in Review FY2015
Homeland Security より経済産業省作成

停電発生(出典)https://www.jiji.com/jc/v2?id=20110311earthquake_25photo(出典)www.chuden.co.jp/hekinan-pr/guide/facilities/thermalpower.html

5ランサムウェア(LockerGoga)によるノルウェーのアルミ精錬・加工企業への事業被害（情報システムを越えて制御システムに達する攻撃（垂直的脅威））⚫ 2019年3月、ノルスク・ハイドロ社（ノルウェーを拠点とする世界最大級のアルミニウム製錬・加工企業）が、 ラ
ンサムウェア「LockerGoga」による被害を受けた。
⚫ アルミニウム製造・発電プラントのITシステムからの切り離し及び手動操作への切り替え、プレス加工等の一時的な生産停止など、感染確認から1週間で4000万ドルに相当する事業被害。
本事案の詳細（原因・影響等）⚫ 2019年3月19日、ノルスク・ハイドロ社はランサムウェア「LockerGoga」への感染・大規模なシステム障害を発表。

事案のイメージ
現時点では感染源は不明（標的型メール、RDP等）

Active Directoryへの攻撃等により
ITシステム全体に拡散⚫ 感染経路は不明（2019年３月時点）。
⚫ ログオンシステム（ADサーバ）への攻撃を通じた感染拡大により、ほとんどの事業部門のITシステムが影響。
⚫ 感染拡大・拡散防止のため、グローバルなITシステム全体を停止。
⚫ オフィス業務への影響の他、プレス加工等の一時的な生産停止や、製造プラント等

アルミニウム製造や発電プラントをITシステムから切り離して手ネットワーク内で感染が拡大

動操作に切り替えるなどの影響が生じた。

社内ITネットワーク⚫ 身代金の支払いには応じていないが、感染の確認から1週間で4000万ドルに相当する事業への被害を確認。

影響拡散防止と安全な操業継続のため、製造プラントや発電プラントはITシステムから隔離し手動オペレーションへ変更

6

１．サイバー攻撃の動向

２．産学官の検討体制の構築~産業サイバーセキュリティ研究会

３．WG1：「Society5.0」において必要なセキュリティ対策~サイバー・フィジカル・セキュリティ対策フレームワークの策定

４．WG2：サイバーセキュリティ対策の基盤整備~経営、人材育成、中小企業

５．WG3：サイバーセキュリティビジネスの創出~エコシステムの構築

7

産業サイバーセキュリティ研究会とWGの設置による検討体制
産業サイバーセキュリティ研究会
第１回：平成29年12月27日 開催
第２回：平成30年 5月30日 開催
アクションプラン（４つの柱）を提示
第３回：平成31年 4月19日 開催
アクションプランを加速化する３つの
指針を提示
構成員

※2019年4月開催時点

石原 邦夫 日本情報ｼｽﾃﾑ･ﾕｰｻﾞｰ協会会長、
東京海上日動火災保険株式会社相談役
泉澤 清次 三菱重工業株式会社取締役社長
遠藤 信博 日本経済団体連合会情報通信委員長、
日本電気株式会社会長、サイバーセキュリティ戦略本部員
小林 喜光 経済同友会代表幹事、
株式会社三菱ケミカルホールディングス取締役会長
篠原 弘道 日本電信電話株式会社取締役会長
中西 宏明 株式会社日立製作所会長
船橋 洋一 アジア・パシフィック・イニシアティブ理事長

ＷＧ１（制度・技術・標準化）

第１回 平成30年2月7日
第２回 平成30年3月29日
第３回 平成30年8月3日
第４回 平成30年12月25日
第５回 平成31年4月4日

１．サプライチェーン強化パッケージ
ＷＧ２（経営・人材・国際）

第１回 平成30年3月16日
第２回 平成30年5月22日
第３回 平成30年11月9日
第４回 平成31年3月29日

２．経営強化パッケージ
３．人材育成・活躍促進パッケージ
ＷＧ３(サイバーセキュリティビジネス化)

第１回 平成30年4月4日
第２回 平成30年8月9日
第３回 平成31年1月28日
第４回 令和元年8月2日

４．ビジネスエコシステム創造パッケージ村井 純(座長)慶應義塾大学教授、サイバーセキュリティ戦略本部員

渡辺 佳英 日本商工会議所特別顧問、
大崎電気工業株式会社取締役会長
オブザーバー
NISC、警察庁、金融庁、総務省、外務省、文部科学省、厚生労働省、農林水産省、国土交通省、防衛省

産業サイバーセキュリティの加速化指針
１．『グローバル』をリードする
２．『信頼の価値』を創出する~Proven in Japan~
３．『中小企業・地域』まで展開する
8

産業サイバーセキュリティ研究会関連の動き
時期

2017年度

2019年度

2018年度

12月 1月 2月 3月 4月 5月 6月 7月 8月 9月 10月 11月 12月 1月 2月 3月 4月 5月 6月 7月 8月 9月 10月 11月 12月（NISC）サイバーセキュリティ戦略本部

政府の動き

政府機関等の情報セキュリティ対策のための統一基準群（平成30年度版）改訂（NISC）重要インフラ専門調査会

サイバーセキュリティ2019

サイバーセキュリティ戦略（閣議決定）

産業サイバー
セキュリティ研究会

第1回
12/27

第2回
5/30

第3回
4/19

加速化指針

アクションプラン提示『グローバル』をリード

１．サプライチェーン強化パッケージ
第1回
2/7

第2回
3/29

第3回
8/3

第4回
12/2
5

分野横断SWG

WG1（制度・技術・
標準化）

CPSF策定（4/18）
第5回
4/4

ビルガイドライン策定（6/17）

ビルSWG
スマートホームSWG
防衛産業SWG
電力SWG
自動車産業SWG
第3層TF
ソフトウェアTF
第2層TF

WG2（経営・人材・国際）
WG3
サイバーセキュリティ
ビジネス化

コラボレーション
プラットフォーム

２．経営強化パッケージ
３．人材育成・活躍促進パッケージ
第1回
3/16

『中小企業・地域』への展開

第２回
5/22

『信頼の価値』を創出

第２回
7/23

検証基盤構築

第３回
1/28

第２回
8/9

第１回
6/13

第４回
3/29

第3回
11/9

４．ビジネスエコシステム創造パッケージ
第1回
4/4

サイバーセキュリティお助け隊

第３回
9/3

第4回
10/1
6

第5回
11/3
0

第6回
1/25

第４回
8/2

第7回
3/4

第８回
4/23

第９回
6/12

第10回
7/29

第11回
9/12

第12回
11/25

9

１．サイバー攻撃の動向

２．産学官の検討体制の構築~産業サイバーセキュリティ研究会

３．WG1：「Society5.0」において必要なセキュリティ対策~サイバー・フィジカル・セキュリティ対策フレームワークの策定

４．WG2：サイバーセキュリティ対策の基盤整備~経営、人材育成、中小企業

５．WG3：サイバーセキュリティビジネスの創出~エコシステムの構築

10

サイバー・フィジカル・セキュリティ対策フレームワークの策定＜サプライチェーン構造の変化＞⚫ 「Society5.0」では、データの流通・活用を含む、より柔軟で動的なサプライチェーンを構成することが可能となる。一方で、サイバーセキュリティの観点では、サイバー攻撃の起点の拡散、フィジカル空間への影響の増大という新たなリスクへの対応が必要となる。
「Society5.0」以前
個々の企業主体の定型的なつながり
で価値を生み出す

サイバー空間で大量のデー
タの流通・連携⇒データの性質に応じた管理の重要性が増大
フィジカル空間とサイバー空間の融合⇒フィジカル空間まで
サイバー攻撃が到達
企業間が複雑につながるサプライチェーン
⇒影響範囲が拡大
Society5.0の社会におけるモノ・データ等の繋がりのイメージ
11

＜三層構造と６つの構成要素＞
サイバー・フィジカル一体型社会のセキュリティのためにCPSFで提示した新たなモデル⚫ CPSFでは、産業・社会の変化に伴うサイバー攻撃の脅威の増大に対し、リスク源を適切に捉え、検討すべきセキュリティ対策を漏れなく提示するための新たなモデル（三層構造と６つの構成要素）を提示。
６つの構成要素

三層構造「Society5.0」における産業社会を３つの層に整理し、セキュリティ確保のための信頼性の基点を明確化

対策を講じるための単位として、サプライチェーンを構成する要素を６つに整理

構成要素
サイバー空間におけるつながり【第３層】
自由に流通し、加工・創造されるサービスを創造するためのデータの信頼性を確保
フィジカル空間とサイバー空間のつながり【第２層】
フィジカル・サイバー間を正確に“転写“する機能の信頼性を確保（現実をデータに転換するセンサーや電子信号を物理運動に転換するコ
ントローラ等の信頼）
企業間のつながり【第１層】
適切なマネジメントを基盤に各主体の信頼性を確保

定義•

バリュークリエイションプロセスに参加する企業・団体・組織•

ソシキに属する人、及びバリューク
リエイションプロセスに直接参加する人•

ハードウェア、ソフトウェア及びそれらの部品操作する機器を含む•

フィジカル空間にて収集された情報及び共有・分析・シミュレーショ
ンを通じて加工された情報

プロシージャ

•定義された目的を達成するための一連の活動の手続き

システム

•

目的を実現するためにモノで構成される仕組み・インフラ

ソシキ

ヒト

モノ

データ

12

＜CPSFの全体概要＞
三層構造モデルに基づきリスク源、対応方針等を提示⚫ サプライチェーンの信頼性を確保する観点から、産業社会を３つの層から捉え、それぞれにおいて守るべきもの、直面するリスク源、対応方針等を整理。
企業間のつながり【第１層】

フィジカル空間とサイバー空間のつながり【第２層】

サイバー空間におけるつながり
【第３層】

新たな
サプライチェーン
構造の整理

機能（守るべきもの）
セキュリティインシデント
リスク源(構成要素ごとに整理)

対策要件

13
13

分野別SWG と テーマ別TFの検討状況⚫ CPSFに基づくセキュリティ対策の具体化・実装を推進するため、検討すべき項目ごとに焦点を絞ったタスクフォース（TF）を新たに設置。
産業サイバーセキュリティ研究会ＷＧ１（制度・技術・標準化）『第3層』 TF

標準モデル（CPSF）
Industry by Industryで検討(分野ごとに検討するためのSWGを設置)

電力SWG
防衛産業SWG
自動車産業SWG
スマートホームSWG
・・・

分野横断SWG

ビルSWG

データの信頼性確保のために、データの区分に応じた適切なセキュリティ対策要件
及びデータの信頼性の確認手法を検討する。
7/31の第１回TFでは、プライバシーを含むデータの属性やデータに対する処理、データを扱う場等によって要求されるセキュリティが異なり得ること等を議論。
ソフトウェア TF
ソフトウェア管理手法、脆弱性対応、OSSの利活用等について検討する。
9/5の第1回TFではSBOM等を用いたソフトウェア管理手法について、11/6の第2回TFでは脆弱性対応について、 12/4の第3回TFではOSSの利活用について
それぞれ論点の洗い出しを行った。

『第2層』 TF
サイバー・フィジカル間の転写機能を持つ機器等について、自己適合宣言・認証等の確認の在り方等を検討するとともに、産業保安・製品安全も考慮したセキュリ
ティ対策の在り方について検討する。
8/2の第1回TF及び11/27の第2回TFでは、安全とセキュリティを併せて考えることの重要性や求められるセキュリティに応じて機器をカテゴライズする必要性等につ
いて議論。
14

（参考）ビルSWG（座長：江崎 浩 東京大学 教授）⚫ 産業サイバーセキュリティ研究会WG1（制度・技術・標準化）の下のビルSWG（ビルオーナー～ベンダまで、ビル関連のステークホルダが参加）において、ビルの管理・制御システムに係る各種サイバー攻撃のリスクと、それに対するサイバーセキュリティ対策を整理し、ビルに関わるステークホルダーが活用できるガイドラインを作成。
2019年6月17日付で第1版を公開。
⚫ 場所→場所に置かれる機器→機器に想定されるリスク→対策要件→ライフサイクル別の対応策という流れで整理
場所

場所及びその場所に設置される機器等をリストアップ

ネットワーク／外部ネットワーク

機器

リスク

受変電システムの標準モデル

HMI

モデム／GW

サーバ

見える化
モニタ

IPネット
ワーク

・主にネットワークからの侵入

ファームウェア

ビルシステムのライフサイクルの各フェーズ毎に対策を展開

統合ネットワーク（BACnet）

中央監
視セン
ター
配線経
路

サーバ

HMI

アプリ（表示、データ加工等）

アプリ（DB等）

ミドルウェア（通信他）

ミドルウェア（通信他）

OS（Windows系、Linux系等）

OS（Windows系、Linux系等）

GW
ファーム
ウェア

制御系ネットワーク（Lon Works、KNX、FL-Net、CC-Link、Modbus
Device-net 、接点等）

・不正操作
・不正接続
・ログ管理
・パッチ管理、等
・不正操作
・不正接続、等

コントローララダープログラム

制御盤

OS（専用OS等）

末端
フィールド

シリアル／接点

受変電設備

器因威

セキュリティポリシー

No.

対応策
No.

設計・仕様(Planning/Procurement)：

No.

建設(Building)No.

竣工検査(Completion inspection)

No.

運用(Operation)

No.

改修・廃棄(Reforming)

00.構成情報／管理情報
001.システムの構成情報が最新になっておらず、機器の接続関係等が把握できないため、被害の確認や復旧のための作業の支障となる。
0011.最新の構成情報の管理が出来ていない。管理運用会社
構築システム構成図（設計時）に対し、引き渡し時のシステム構成図を竣工引き渡し書類として作成すフィールドネットワーク

機械室／
制御盤box０.全体管理
機要脅

・不正操作
・不正接続
・ログ管理
・パッチ管理、等

0011-P1

るように”設計仕様”に加える。システム構成図につ0011-

いては※※を参照

P1M1

設計図書の特記仕様にシステム構成図を記載する
システム全体構成の更新履歴、管理設備毎の稼動履歴等、FMSを利用した運用管理を行う仕様を明記する

0011-

納品されるシステム構成品（設備）が設計仕様（同等品でも）と異P1M1-B1

なる場合、その内容を明記してシステム構成図を作成する

0011P1M1-B1C1

システム構成図と現場機器が合致しているかの確認を行い、引き渡す

0011P1M1-B1C1-O1

理する

0011P1M1-B1C1-O1-R1

システム構成が更新や改修時に変更があった部分を最新の情報にシステム構成図を改め、古い構成図は廃棄処理を確認する。

すること

01.バックアップデータ／事業継続
011.システムのバックアップ等が適切に取得・管理されておらず、被害時の復旧のための作業の支障となる。
0111.定期的なバックアップが取られていない。
システムバックアップ方法を運用側と確認の上でバックアップ方法を設計時に仕様を組み込む

・不正接続
・ネットワーク経由の不正操作、等

定期的なシステム構成図の確認を行い外部に漏れないようFMSで管システム全体構成の最新状態が常に把握できる様に

0111-P1

管理ポイントや運転スケジュール等、システムを運

0111P1M1

用するにあたって必要がデータについては、定期的定められた方法で、システムバックアップデータが作成されること

リスクアセスメント実施を踏まえた設計・仕様策定を行い、システ
ムバックアップ周期と操作権限者を定める。その上で、バックアッ
プデータの保管方法と再インストール方法を作成。

0111-

を確認する。その上で、作成されたバックアップデータが有効に再

P1M1-C1

インストールできるか確認しバックアップデータをマニュアルとともに引き渡す。

運用開始前に、運用者自らバックアップデータからの復旧再インス
0111-

トールが行えることを確認する。

0111-

P1M1-C1-

バックアップデータの保管場所管理の定期的確認を行う。

P1M1-C1-

O1

管理ポイントや運転スケジュール等、システムを運用するにあたっ O1-R1

改修時のバックアップデータ廃棄て必要なデータについては、定期的にバックアップを取得するにバックアップを取得する機能を有すること

012.脆弱性情報等を定期的にチェックしておらず、必要な対応措置をとっていないために、脆弱性を突いた攻撃にあう可能性がある。
0121.適切なアップデート／パッチ適用がなされていない。またはそれに代わる対策が取られていない。

セキュリティインシデント

4.1 全 体 管 理

1.

構成情報／管理情報2.

バックア ップ データ／事業継続

3.

会社／要員の管理

4.

体制構築等

4.2 機 器1.

2.

ネットワーク(クラ ウド、情報系NW、BACnet)
10

ネットワーク11

クラ ウドサーバ･Webサーバ

12

情報系端末

13

外部接続用ネットワーク機器（ FW、ルータ）

14

ビ ルシ ステ ム間相互接続

防災セン ター（ 中央監視室）
20

防災セン ター（ 中央監視室）

21

HMI/HIM22

保守用持ち 込み端末

23

統合NWにつながる ネットワーク機器（ FW、ルータ、SW）

24

シ ステ ム管理用サーバ（ ビ ルシ ステム主装置）

リスク源

セキュリティポリシー

導入するシステム機器については、アップデート／
0121-P1

１．構成情報／管理情報(1)
ビル シス テム への 被害 発生 ビルの構成情報が最新状態に管理 ・構築 シス テム 構成 図（設 計時 ）に対 し、時 に、 被害 確 認が 遅 れ、 復 で きて おらず、機器 の最新 の接続 引き渡し時の シス テム構成 図 を竣工引
旧作業の支障となる。
関係が把握できない。
き渡し書 類と して作成す るように”設計仕様”に加え る。
・ システム 全体構成 （外部接続 先 を含む）の最新 状態 を常に把握で きるようにする。

２．バックアップデータ／事業継続(1)
適切なバッ クアッ プデー タが バックアッ プが取 られていない、ま ・ シス テムバッ クアッ プ方 法 を運用 側と確なく、ビル シス テムへの 被害 たはバッ クアッ プの範 囲や 対象が 認の上でバックアッ プ方法を設計時に仕発生時に復 旧作業 の支障 と 適切で な い。
様を組み込む。
なる。
・管理ポ イントや運転スケ ジュール等、 シス テム を運 用 す るに あ た って 必 要な
データについては、バックアッ プを取得する機能を具備する。

リスクアセスメント実施を踏まえた設計・仕様策定を行い、設計図

パッチの状態を管理すること

0121-

書の特記仕様にシステムの脆弱性対策について記載する

0121-

システム全体の接続性を担保した上での、最新のアップデート／

ただし他機器および他システムとの接続性について

P1M1

システム全体の接続性を担保した上での、最新のアップデート／

P1M1-C1

パッチが適用されている機器であることを確認し引き渡す

パッチが適用されている機器であることを仕様に明記するは、担保しなければならない

0121P1M1-C1O1

JDCC-19／建物設備システムのセキュリティ脆弱性に関する情報を定期的に入手し、必要に応じてセキュリティパッチを適用すること

02.会社／要員の管理
021.ビル管理・運用会社においてセキュリティ意識が醸成されておらず、事前のセキュリティ対策が十分に取られず、攻撃を受けた際の対応も遅れる可能性がある。
0211.管理運用会社のセキュリティ意識が低い。
BAシステムの運用会社選定（委託先選定）にあたって、その責任範囲を発注要件に組み込む。
管理・運用組織への継続的セキュリティ啓発／監査を実施する
リスクアセスメント実施を踏まえた設計・仕様策定を行い、発注主
0211-P1

システム構築要件に教育訓練について明記する

0211-

側の運転管理者教育について、明記する。

0211-

竣工引き渡し時にシステム操作説明を行う際、合わせてセキュリ

P1M1（教育人数・教育テキスト・教育期間・セキュリティー関連教育を

P1M1-C1

ティについても教育を実施すること。

含む・教育場所を明記）

0211P1M1-C1O1

・BAシステム引渡し前に運転要員相当数に十分な操作訓練期間を設ける
・BAシステムの運転権限者の登録情報を発注者と共有できる・自社（運用会社）の定められた人以外の操作者に対し（保守作業者など）定めた手順を確認し記録する
・発注主に対し運転記録・保管記録類の定期報告要件がある（日常正常時・不具合対応時）

022.作業員に内部攻撃者が紛れることを防げず、内部からの攻撃を受ける可能性がある。
0221.作業員の身元管理や行動確認が出来ていない。
作業場所が施錠可能な状況から機器の搬入据付を行なう。
やむを得ず、搬入する場合、事前開封が行なわれたかの有無が確認

リスクアセスメント実施を踏まえた設計・仕様策定を行い、システ
0221-P1システムの構築・施工に関する要件を明記すると。

0221-

ム構築要件を明示する。

P1M1

就労届や作業員名簿にて、作業員の身元確認を実施すること。また P1M1-B1

0221-

作業実施時は必ず元請社員の立会いを行うこできる梱包をして保管

0221-

就労届や作業員名簿にて、作業員の身元確認を実施すること。また P1M1-B1作業実施時は必ず元請社員の立会いを行うこC1

元請け社員以外の作業箇所記録を保管し、発注主に報告可能な状態とする

0221P1M1-B1C1-O1

保守作業のための来館者は事前届出を行い、入館時に身元確認をし作業域への入室を許可する

定期的な現場巡回を行い、不審者や不審行動（不要な撮影等）などを取り締まる

03.体制構築等
031.設計・構築において、技術者のセキュリティへの知識が不足しており、十分にセキュアなシステムを構築出来ない。

3.

4.

5.

(2)

機械室／制御盤ボックス

シス テム の 脆 弱性 をつい た 脆弱性についての認識が不十分で、・既知の脆弱性に対して必要な対策（パッ攻撃を受ける。
脆弱性が 残 った ままの状態になっ チ等）が適用されているもの を導入し管
て いる。
理する。
・ただし、他機器および他シス テムの正常稼動については、担保しなければならない。

0311.十分なセキュリティ知識と技術をもった設計者が設計をしていない。
0311-P1

セキュリティ知識を持った有識者の元で設計を実施

0311-

リスクアセスメント実施を踏まえた設計・仕様策定を行い、設計過0311-

構築後セキュリティ知識を持った有識者の監修を受け、証明を得るする体制を整えること。

P1M1程で、セキュリティ知識を持った有識者の監修を受けること

P1M1-C1

こと

機械室

31

コン トロ ーラ （ DDC、PLC等）

32

ネットワーク機器（ FW、ルータ、SW）

33

ゲートウェイ 機器

34

各種制御盤・ 分電盤

配線経路（ MDF室、EPS、天井裏ラ ック）
40

MDF室／EPS／天井裏ラ ック

41

内部に置かれたネットワーク機器（ SW類）

末端装置が置かれる 場所
50

末端装置

３．会社／要員の管理(1)ビル シス テム への 被害 発生 ビル管理会 社においてセキュリティ ・ シス テム構 築要件に教 育訓練について時に、迅速な 対応がで きず、 への意識醸成、要員教育が十分で 明記する。
被害が拡大する。
はなく、事前 対策や 対応 準備が出来ていない。

0321-

機器設定情報等のドキュメント類については、竣工時に全て回収す(2)

ビル シス テム が内 部作 業員 作業員 等の 身元 確認 や行 動監視 ・シス テムの構築・施工・保守にあたって 、等から攻撃を受ける。
が不十分で、内部攻撃者が紛れ る 作業員等の身元確認や行動確認につこと や攻 撃 を行う こと を防 ぐことが いての要件を明記する。
出来て いな い。

４．体制構築等(1)
攻撃等への対応 が効果的に 十分なリスクアセスメ ント が出来て ・リスクアセスメント を実施し、その結果 を出来ず、被害が拡大する。 いないため、リスク対応の運用計画 基に監理 監査 面か らの「運 用す る管理や体制が十 分な レベルで 構築で き 体系」な どを運用 計画 として 定義・ 整備
ていない。
する。

P1M1-C1-

竣工引き渡し時の監査の内容に変化がないか定期的な確認を行う

O1

0321.作業員1人1人のセキュリティ意識が低い。
就労届や作業員名簿にて、作業員の身元確認を実施すること
0321-P1

入場者教育実施時にセキュリティ教育を実施するこ

0321-

設計要件に見積漏れが無いように入場者教育実施時にセキュリティ 0321-

また作業実施時は必ず元請社員の立会いを行うこと

と。

P1M1

教育を実施することを明記。

定期的な現場巡回を行い、不審者や不審行動（不要な撮影等）など P1M1-C1

P1M1-B1

るを取り締まる30

0311-

032.作業員のセキュリティ教育が十分でなく、初期対応等に遅れが生じる。

0321P1M1-C1-

保守員の教育を徹底し、訓練を実施し防御のレベルを上げる

O1

場所・機器別の想定されるインシデントとリスク源を整理し、その対策をポリシー
レベルで整理15

第3層TF：データの信頼性の考え方⚫ データの信頼性とは、データの属性に応じて、イベントの信頼性及び場の信頼性を適切に確保すること、と考えてはどうか。

必要な場合には、自己宣言or第三者認証

イベント

データA

イベントの信頼性• 抽出（取得） （直接関与するプロセスや機器の確認等）

属性
•
•
•
•
•

カテゴリ（営業秘密、技術情報等）
プライバシー性（高い、低い等）
価値（高い、低い等）
機密性（オープン、クローズ等）
所属（個人、法人等）

イベント
•
•
•

加工
流通
廃棄

データA’

属性
•
•
•
•
•

カテゴリ（営業秘密、技術情報等）
プライバシー性（高い、低い等）
価値（高い、低い等）
機密性（オープン、クローズ等）
所属（個人、法人等）

場の信頼性（法律適合等）場（国、社内、インターネット等）
16

第3層TF：データの信頼性確保のためのセキュリティ要件の考え方⚫ セキュリティ要件は、データAの属性及び対応する場、並びに、データA‘へ処理するためのイベントの影響を受けて決まるのではないか。
電力使用量データから防災等に活用するための昼夜人口増減データへの匿名加工化の想定（イメージ）✓ 属性：データが有する性質✓ 場：特定の規範を共有する範囲✓ イベント：データの属性を生成・変化させる処理

電力使用
イベント
•

属性
•
•
•
•
•

抽出

電力使用量
データA

属性

カテゴリ（電力使用量データ）
プライバシー性（高い）価値（高い）
機密性（クローズ）
所属（一般送配電事業者）

場（電力業界）

イベント
•

•
•
•
•
•

匿名加工等

昼夜人口増減データA‘

カテゴリ（昼夜人口増減データ）
プライバシー性（低い）
価値（高い）
機密性（オープン）
所属（地方公共団体）

場（個人情報保護法）
17

第2層TF：ソフトウェアの信頼性確保の検討の方向性⚫ 本タスクフォースにおいて、米国NTIAのSoftware Component Transparencyの議論との連携を視野に入れながら、OSSを安全に活用するための手法、ソフトウェアの脆弱性管理手法等を検討。

ソフトウェアの利活用を巡る課題のイメージ

機器・サービスソフトウェアインハウス開発

アウトソースパッケージ導入

ソフトウェアOSSの活用
委託開発
OSSの活用APIの活用

ハードウェアOSSの活用•利用ソフトウェア・APIの脆弱性管理•保守・サポート期間の終了••

安全なOSSの選定、
評価
OSSコミュニティの活用•

ライセンスによる制約•

再委託、再々委託先
等の管理

外部サービスの利用(SaaS等）•••

セキュリティの要件定義の能力
セキュアコーディング
脆弱性ハンドリング••

安全な接続先の選定、評価
SLAの担保- 開発環境の管理- コーディング規約

•
•

責任分界

安全なAPIの選定、評価

18

『ソフトウェアTF』における検討の方向性⚫ ソフトウェア管理手法、脆弱性対応、OSSの利活用等に関する検討を行う。

ソフトウェア管理手法の検討• ソフトウェアの開発から、運用中の脆弱性発見まで• 構成管理・脆弱性管理に求められるソフトウェア管理手法のあり方• SBOM等ソフトウェア管理スキームの活用に求められる技術面・制度面の課題

第1回
検討事項

脆弱性対応手法の検討• 脆弱性が発見された場合のソフトウェアへの対応• 脆弱性発覚時に必要な脆弱性への対応手法・体制のあり方• 運用中システムへの脆弱性対応に求められる技術面・制度面の課題

第2回
検討事項

OSSを利活用する際のビジネス的な側面の検討
・OSS利用に関連するライセンスや契約
・OSS活用のベストプラクティス／OSSコミュニティへの発信

第3回
検討事項

19

第3層TF：サイバー・フィジカル間をつなぐ機器・システムのリスクイメージ
経済
的影
響の度
合い

物流管理
システム

電力システム・マッピングはあくまでイメージ・機器単体での使用を想定してマッピング 機器・場合によっては、システムでのマッピングが必要 システム

災害監視
システム

バス運行
監視システムガスシステム

プラント

空調

エレベータ

航空機

ロボット
（産業機械）

自動車

照明

ドライヤー

冷蔵庫

浴室
電気乾燥機

イヤホン
（本体）

洗濯乾燥機

血圧計

輸液ポンプ
（医療機器）
ウェブカメラ人へのダメージに対するリカバリの困難性の度合い

20第3層TF：サイバー・フィジカル間をつなげる機器・システムのカテゴライズ基準の例⚫ 指摘のあった観点それぞれについて影響の度合いを整理。他に考慮すべき観点はないか、
あるいは、各観点における影響の度合い（レベル）の表現は適切か、検討が必要⚫ CPSFを適用してリスクアセスメントを実施する際に、これらの観点が利用可能ではないか。
基準

それぞれの観点におけるカテゴライズ基準の例
ダメージに対するリカバリの困難性の度合い
人命/安全

プライバシー

経済的影響の度合い
資産

生活影響

社会影響

レピュテー
ション

Lv.
1

限定的な
影響

軽傷

漏えい、悪用

損害

不便

悪影響

信用低下

Lv.
2

重大な
影響

重傷

名誉毀損

大損害

支障

混乱

業績悪化

Lv.
3

致命的・
壊滅的な
影響

人命への影響人命への影響

破産

困難

大混乱

倒産

21

第3層TF：カテゴリに応じて求められるセキュリティ・セーフティ要求の強度のイメージ

セキュリティ・セーフティ要求

経済的影響の度合い

人へのダメージに対するリカバリの困難性の度合い

22第3層TF：カテゴリに応じて求められるセキュリティ・セーフティ要求の強度のイメージ

セキュリティ・セーフティ要求

社会的なサポートの有無（保険加入義務等）

運用者の認証の有無（ライセンス等）
経済的影響の度合い

運用中の検査の有無
製造段階における技術的な確認要求（自己宣言、第三者確認、公的認証等）
－製品
－組織
－人
人へのダメージに対するリカバリの困難性の度合い

23

１．サイバー攻撃の動向

２．産学官の検討体制の構築~産業サイバーセキュリティ研究会

３．WG1：「Society5.0」において必要なセキュリティ対策~サイバー・フィジカル・セキュリティ対策フレームワークの策定

４．WG2：サイバーセキュリティ対策の基盤整備~経営、中小企業、人材育成

５．WG3：サイバーセキュリティビジネスの創出~エコシステムの構築

24

サイバー・フィジカル・セキュリティ対策フレームワークを軸とした各種取組⚫「サイバー・フィジカル・セキュリティ対策フレームワーク」では、Society5.0における産業社会でのセキュリティ対策の全体枠組みを提示。
⚫全体の枠組みに沿って、対象者や具体的な対策を整理し、『サイバーセキュリティ経営ガイドライン』
や産業分野別のガイドラインなどの実践的なガイドラインを整備。
＜各種取組の大まかな関係＞
経営層
コ
ン
セ
プ
ト

実務層（産業分野個別）

サイバー・フィジカル・セキュリティ対策フレームワーク
第I部 サイバー空間とフィジカル空間が融合した産業社会におけるサイバーセキュリティの在り方

サイバーセキュリティ
経営ガイドライン

具
体
的
対
策

実務層（共通）中小企業の情報セキュリティ対策
ガイドライン（IPA）

活用

第II部 リスク源の洗い出し
第III部 対策要件と対策例集

支援ツール

経営プラクティス集（IPA）

ビ
ル
分
野
の
ガ
イ
ド
ラ
イ
ン

ス
マ
ー
ト
ホ
ー
ム
分
野
の
取
組

・・・

電
力
分
野
の
取
組

可視化ツール（IPA）
25

経営者にサイバーセキュリティ経営を促す仕組み 『 ３Steps アプローチ 』

1st
Step

2nd
Step

3rd
Step

サイバーセキュリティ経営の在り方の明確化◆ サイバーセキュリティ経営ガイドラインの普及・定着

サイバーセキュリティ経営を求める仕組みの構築◆ コーポレート・ガバナンス・システム（CGS)に関するガイドラインのとりまとめに向け、サイバーセキュリティを位置付け◆ 『取締役会実効性評価』の項目にサイバーリスクを組み込むことを促進◆ サイバーセキュリティが経営リスクであることの投資家に対する啓発

市場（投資家）に対するサイバーセキュリティ経営の可視化◆ セキュリティの高い企業であることを投資家が評価できるようにするための、サイバーセキュリティ経営に関する情報の開示の在り方の検討
26

平成27年12月28日策定
平成28年12月8日改訂（Ver.1.1）
平成29年11月16日改訂（Ver2.0）

サイバーセキュリティ経営ガイドライン⚫ セキュリティはコストではなく投資であると位置づけ、経営者がリーダーシップを取ってセキュリ
ティ対策を推進していくことが重要であることを示したガイドラインを公表
概要
経営者が適切な
セキュリティ投資を行わないと…

⚫社会からリスク対応の是非が問われる⚫経営責任や法的責任が問われる⚫国際的なビジネスに影響をもたらす

セキュリティ対策の実施を「コスト」と捉えるのではなく「投資」と捉える
経営戦略としてのセキュリティ投資は必要不可欠
かつ 経営者としての責務

経営者が認識する必要がある 三原則

経営者は
サイバーセキュリティリスクを認識し自社は勿論のこと
ビジネスパートナーや委託先も含めた

リーダーシップによって対策を進める

サプライチェーンに対するセキュリティ対策

ことが必要

が必要

平時および
緊急時のいずれにおいてもサイバーセキュリティリスクや対策に係る情報開示など

関係者との適切なコミュニケーションが必要

27

サイバーセキュリティ経営ガイドライン

平成27年12月28日策定
平成28年12月8日改訂（Ver.1.1）
平成29年11月16日改訂（Ver2.0）⚫ 経営者がサイバーセキュリティ対策を実施する上での責任者となる担当幹部（CISO等）に指示すべき重要10項目

指示 1

サイバーセキュリティリスクの認識、組織全体での対応方針の策定

指示 2

サイバーセキュリティリスク管理体制の構築

指示 3

サイバーセキュリティ対策のための資源（予算、人材等）確保

指示 4

サイバーセキュリティリスクの把握とリスク対応に関する計画の策定

指示 5

サイバーセキュリティリスクに対応するための仕組みの構築

指示 6

サイバーセキュリティ対策におけるPDCAサイクルの実施

指示 7

インシデント発生時の緊急対応体制の整備

指示 8

インシデントによる被害に備えた復旧体制の整備

指示 9ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策および状況把握
情報共有活動への参加を通じた攻撃情報の入手とその有効活用および提供

指示 10

28

コーポレートガバナンスの一環として、サイバーセキュリティ経営を位置づけ⚫ 海外では投資家がサイバーセキュリティをビジネス上の大きな脅威と認識しており、経営層のサイ
バーセキュリティへの関わりを重要視。
⚫ 「グループ・ガバナンス・システムに関する実務指針(グループガイドライン)」において、グループ内部
統制システムの一つとして、サイバーセキュリティ対策の在り方を位置づけ。(2019年6月公表)⚫ 親会社の取締役会レベルで、子会社も含めたグループ全体、更には関連するサプライチェーンも考慮に入れてセキュリティ対策を行うことを検討すべきことを明記。
＜ご参考＞グループ・ガバナンス・システムに関する実務指針の立ち位置
Hard Law

法律「グループ・ガバナンス・システムに関する実務指針」の目次

2019年6月28日策定（会社法・金商法など）

コーポレートガバナンス・コード
コーポレート・ガ
バナンス・システ
ムに関する実務指針(CGSガイド

グループ・ガバナ
ンス・システムに関する実務指針ライン)【全上場企業が対象】
Soft Law

１．はじめに２．グループ設計の在り方
３．事業ポートフォリオマネジメントの在り方
４．プ内部統制システムの在り方
4.1内部統制システムの意義
4.2内部統制システムに関する現状と課題
4.3内部統制システムの構築・運用に関する基本的な考え方
4.4グループの内部統制システムに関する親会社の取締役会の役割
4.5内部統制システムに関する監査役等の役割等
4.6実効的な内部統制システムの構築・運営の在り方
4.7監査役等や第2線・第3線における人材育成の在り方
4.8ITを活用した内部監査の効率化と精度向上

4.9サイバーセキュリティ対策の在り方

4.10有事対応の在り方
５．子会社経営陣の氏名・報酬の在り方
６．上場子会社に関するガバナンスの在り方
７．おわりに【グループ経営を行う上場企業が対象】（出典）第13回CGS研究会資料より抜粋
コーポレート・ガバナンス改革を「形式」から「実質」へ深化させる（出典）第13回CGS研究会資料より抜粋

29

『サイバーセキュリティ経営ガイドラインVer2.0実践のための経営プラクティス集』を策定⚫ 2019年3月、「サイバーセキュリティ経営ガイドラインVer2.0実践のための経営プラクティス
集」を公開。経営ガイドラインの重要10項目の実践事例に加え、セキュリティ担当者の日常業務における悩みに対する具体的対応策を提示。
⚫ 業界団体との連携も視野に入れつつ、継続して収集し、2019年度も改訂を予定。

第一章：経営とサイバーセキュリティ＜経営者、CISO等向け＞
なぜサイバーセキュリティが経営課題となるのか等を解説
第二章：サイバーセキュリティ経営ガイドライン実践のプラクティス＜CISO等、セキュリティ担当者向け＞
企業の具体事例をベースとした重要10項目の実践手順、
実践内容、取り組む際の考え方を解説
第三章：サイバーセキュリティ対策を推進する担当者の悩みと解決のプラクティス＜セキュリティ担当者向け＞
サイバーセキュリティ対策を実践する上での悩みに対する、企業の具体的な取組事例を紹介
30

（参考） 『サイバーセキュリティ経営ガイドラインVer2.0実践のための経営
プラクティス集』のアップデート状況⚫ 2019年3月25日にIPAより公開した「サイバーセキュリティ経営ガイドラインVer2.0実践のための経営プラクティス集」について、昨年度収集していない指示項目を中心にプラク
ティスを収集中であり、今年度中にアップデート版を公開予定。
＜プラクティス集のダウンロード数推移＞
5,000

累計5,031DL (2019年12月時点)

4,000【参考】 プラクティス集 目次
第一章：経営とサイバーセキュリティ

3,000＜経営者、CISO等向け＞
なぜサイバーセキュリティが経営課題となるのか等を解説

2,000

第二章：サイバーセキュリティ経営ガイドライン実践のプラクティス＜CISO等、セキュリティ担当者向け＞
企業の具体事例をベースとした重要10項目の実践手順、
実践内容、取り組む際の考え方を解説

1,000
0

累計

【参考】上場企業数 第一部 2,157社
第二部
488社

単月

日本取引所グループ公表
2019年12月17日時点

第三章：サイバーセキュリティ対策を推進する担当者の悩みと解決のプラクティス＜セキュリティ担当者向け＞
サイバーセキュリティ対策を実践する上での悩みに対する、企業の具体的な取組事例を紹介＜今年度アップデート予定の指示項目＞⚫ 指示4 リスクの把握と対応計画策定（リスクアセスメント手法）⚫ 指示6 PDCAの実施（リスク管理に関するKPIの定め方、是正措置の実施方法、情報開示の手法）⚫ 指示10 情報共有活動への参加（情報の提供方法、入手した情報の活用方法）
31

可視化ツールの作成により目指すサイバーセキュリティ経営⚫ サイバーセキュリティ経営ガイドラインをベースとした可視化ツールにより、自社内の可視化、投資家等ステークホルダー向けの可視化を段階的に実現、2nd～3rd stepをつなぐ。
⚫ βテスト後、2020年度以降に可視化ツールV1.0をリリースし、広く展開する。
経営層

実務者

経営ガイドラインに基づき指示

グループ・ガバナンスシステムに関する実務指針（METI）

参照

参照して実践
プラクティス集（IPA）【第１段階】自社内の可視化（2020年度にβ版テスト）

可視化ツール等を利用し経営層へ報告サイバーセキュリティ
経営ガイドライン（METI、IPA）

対策状況の評価【第２段階】ステークホルダー向けの可視化（2020年度以降にβ版テスト）

イメージ

可視化ツール

指示１

指示10

対策状況の情報開示

ステークホルダー例

可視化ツールによる客観評価
これに応じたサービス提案

指示２

指示９

指示３

指示８

指示４

指示５

指示７

取引先

投資家

損保会社

指示６

2019年度、β版公開

2020年度以降、可視化ツールV1.0リリース、本格展開
32

機密性２

攻撃者はサプライチェーンのどこを狙うか⚫ 企業の対策レベルはバラバラだが、「金（カネ）」になる重要情報は至る所に存在する。
攻撃スキル＝金メダル級

防御レベル＝金メダル級

攻撃者

防御レベル＝銀メダル級？

防御レベル＝銅メダル級

サプライチェーン

33

機密性２

攻撃者はサプライチェーンのどこを狙うか⚫ 企業の対策レベルはバラバラだが、「金（カネ）」になる重要情報は至る所に存在する。
攻撃スキル＝金メダル級

防御レベル＝金メダル級

攻撃者

防御レベル＝銀メダル級

防御レベル＝銅メダル級

攻撃者は、防御レベルの低い組織を狙う
サプライチェーン

34

取引先へのサイバーセキュリティ対策の遅れ⚫ 日本企業では、委託先等の取引先への対応が大幅に遅れている■委託先のセキュリティ対策状況把握（業務委託先）

状況把握は・米国の半分以下
・欧州の2/3■委託先のセキュリティ対策状況把握（物品調達先）

状況把握は・欧米の6割以下

出典：独立行政法人情報処理推進機構「企業のCISOやCSIRTに関する実態調査2017-調査報告書-」（2017年4月13日）* 日本・米国・欧州（英・独・仏）の従業員数300人以上の企業のCISO、情報システム／情報セキュリティ責任者／担当者等にアンケートを実施（2016年10～11月）。 回収は日本755件、米国527件、欧州526件。

35

中小企業に対するサイバー攻撃の調査・分析結果（大阪商工会議所）⚫ 地域の中小企業も、例外なくサイバー攻撃の脅威にさらされている

中小企業被害実態に関する調査■調査内容
実証期間：平成30年9月～平成31年1月
実証内容：中小企業30社を対象に、ネットワーク
上の通信データ等を一定期間収集。

取引先経由の被害に関する調査■調査内容
調査期間：平成31年2月～3月
調査内容：全国の従業員100人以上の企業を対象に、郵送、FAX、メール、Web、対面による依頼・回答■調査結果（中間報告）⚫ 大企業・中堅企業118社に調査したところ、取引先がサイバー攻撃被害を受け、影響が自社に及んだ経験がある企業が30社あった（25％）

２５％■ 調査結果（中間報告）⚫ 調査した30社全てでサイバー攻撃を受けていたことを示す不審な通信が記録されていた。
⚫ 少なくとも5社ではコンピューターウイルスに感染するなどして、情報が外部に流出したおそれがあることが分かった。

７５％「取引先がサイバー攻撃被害を受け、それが自社に及んだ経験」がある企業「中小企業自身が自衛すべきだ」という答えは６割

出典：大阪商工会議所「サプライチェーンにおける取引先のサイバーセ
キュリティ対策等に関する調査」（2019年5月）＜出典：大阪商工会議所「平成30年度中小企業に対するサイバー攻撃実情調査（報告）」共同研究実施者：神戸大学、東京海上日動火災保険（株）(2019年7月）＞

36

中小企業における現場対応の徹底支援~事前の備えから、インシデントが発生してしまった後の対応・復旧支援まで⚫ セキュリティ対策を始めるに当たって何をやればいいのかわからない、そういった悩みをもつ中小企業に対し、専門家を派遣し、セキュリティポリシーの策定を支援。
⚫ インシデントが発生してしまったが対処方法がわからない、そんな中小企業の事後対応を支援する
簡易保険の実現を目指し、サイバーセキュリティお助け隊による支援体制を構築。
特定

防御

検知

対応

復旧

主に事前支援

主に事後支援（サイバーセキュリティお助け隊）

・中小企業ガイドライン
・セキュリティアクション（９万社超が自己宣言）

・中小企業がサイバー攻撃等で困った時の相談窓口、駆けつけ支援体制を構築。
・将来的な民間サービスとしての自走を目指し、今年度は８地域で実証。
・今年度の結果を踏まえ、来年度以降、全国展開を目指すための方策を実施。

・セキュリティマネジメント指導：中小企業に専門家を派遣し、実践的なセキュリティ対策の定着につなげる。

IPA
研修

お助け隊チーム・セキュリティ機器の設置及び監視・相談窓口設置
・一次対応、リモートサポート

中小企業
対策支援
（主にポリシー策定支援、4回/1社）

情報処理安全確保支援士（登録セキスぺ）

中小企業

ITベンダー等

連携地域のIT事業者等
・駆けつけ支援

損保会社
・普及啓発説明会の開催
・簡易保険の在り方の検討

相談駆けつけ等の対応支援

37

事前支援：中小企業の情報セキュリティ対策ガイドライン⚫ これからセキュリティ対策に取り組む企業向けの対策や、ある程度対策の進んでいる企業向けの対策の提示など、企業のレベルに合わせてステップアップできるように構成。
経営者向けの解説

サイバーセキュリティ経営ガイドラインの内容を中小企業向けに整理し、経営者が認識すべき３原則と実施すべき重要７項目を解説

実践者向けの解説

実践者が具体的にセキュリティ対策を実施していくための方法を、企業のレベルに合わせて段階的にステップアップできるような構成で解説

ガイドライン本体

Step1
まず始める

最低限実施すべき
セキュリティ対策の5か条

Step2
現状を知り改善する

Step3
本格的に取り組む

簡易的な
セキュリティ対策の25項目

セキュリティポリシーを策定し、組織的な対策の取り組み

こちらより無料ダウンロード可能です
https://www.ipa.go.jp/security/keihatsu/sme/guideline/index.html

Step4
改善を続ける

第三者認証(ISMS)の取得を目指した取り組み

38

中小企業の情報セキュリティ対策ガイドライン・セキュリティ対策自己宣言「SECURITY ACTION」⚫ 中小企業自らが、セキュリティ対策に取り組むことを自己宣言する制度（IPA）。
⚫ IT導入補助金の申請において、「SECURITY ACTION」の宣言を必須要件化。
⚫ ９万者を超える中小企業が宣言（2019年10月末時点）。
＜中小企業の情報セキュリティ対策ガイドライン＞

情報セキュリティ5か条に取り組む企業

情報セキュリティ自社診断の実施及びセキュリティポリシーを策定する企業

IT導入補助金の申請要件となったことにより、宣言数が大幅に増加(2019年11月末時点)

39

主に事後支援：サイバーセキュリティお助け隊⚫ 全国8地域を対象に地域の団体、企業等と連携して、中小企業向けのサイバーセキュリティ対策
支援の仕組みの構築を目的とした実証事業を実施⚫ 本事業を通じて、サイバー攻撃の実態や対策のニーズを把握するとともに、中小企業の事前対策の促進、意識喚起を図る＜実証地域＞＜実証のイメージ＞
サイバーセキュリティお助け隊
実証地域の
中小企業

①相談
＜電話orメール＞②対応、
リモートサポート⑤石川、福井、富山⑦大阪、京都、兵庫

機器設置①岩手、宮城福島③長野、群馬
栃木、茨城、埼玉⑧広島、山口⑥愛知等）• 事前対策
③対応依頼• 意識喚起• 実態把握 等

UTM②新潟

相談窓口機能（セキュリティベンダー、IT専門コールセンター

④対応、
復旧支援
＜駆けつけ＞④神奈川＜駆けつけが必要な場合＞

対応機能（地域のIT事業者等）
中小企業向け簡易保険・サービスの開発（損害保険会社）

実証結果
中小企業 側

保険会社、セキュリティベンダー 側⚫ 自社の攻撃実態等への気付き⚫ セキュリティ事前対策の促進⚫ 事後対応への意識向上
等⚫ 中小企業のセキュリティ対策状況の把握⚫ 中小企業の被害実態の把握⚫ 中小企業が求めるサービスの把握
等

40サイバーセキュリティお助け隊 今年度実証事業の状況⚫ 多くの中小企業に参加いただき、駆けつけ事例も発生している状況。
受託事業者

地域

参加
中小企業数

株式会社デジタルハーツ

宮城県、岩手県、福島県

110

東日本電信電話株式会社

新潟県

148

富士ゼロックス株式会社

長野県、群馬県、栃木県、茨城県、埼玉県

109

SOMPOリスクマネジメント株式会社

神奈川県

151

株式会社PFU

石川県、富山県、福井県

120

MS&ADインターリスク総研株式会社

愛知県

201

計1,064社の中小企業が参加

大阪商工会議所

大阪府、京都府、兵庫県

112(2020年1月10日時点)

株式会社日立製作所

広島県、山口県111

お助け隊で観測されたサイバー攻撃の実例
お助け隊設置のUTMが不審な通信を観測。ボットネット
への通信が疑われた。
原因は、従業員がマルウェア感染が疑われる私物のス
マートフォンを社内の無線アクセスポイントに接続したこと。
お助け隊が駆けつけ対応を実施し、対処した。

お助け隊による対処が行われず放置した場合・・・
スマートフォンに感染しているマルウェアがWi-Fiを経由して社内LANに侵入し、社員全員の業務用PC全25台に感染、業務停止や機密情報が漏洩する事態が考えられた。
この場合の保険会社算出の被害想定額※は、

約4,925万円※初動対応、調査対応、復旧費用、事業停止による損失等。

41

産業サイバーセキュリティセンター（ICSCoE）⚫ 2017年4月、IPAに産業サイバーセキュリティセンターを設置し、IT系・制御系に精通した専
門人材の育成を開始。

⚫ 世界的にも限られている、制御系セキュリティにも精通する講師を招き、テクノロジー、マネジメ
ント、ビジネス分野を総合的に学ぶ1年程度のトレーニングを実施。

中核人材育成プログラム- 年間スケジュール

１年を通じた
集中トレーニング

7月

8月

9月

プライマリー(レベル合わせ）

開
講
式

10月

11月

12月

ベーシック
（基礎演習）

1月

3月

2月

4月

アドバンス
(上級演習）

ビジネス・マネジメント・倫理
プロフェッショナルネットワーク（含む海外）

5月

6月

卒業
プロジェクト修了式

第１期受講生
第２期受講生
第３期受講生(平成29年7月～平成30年6月) (平成30年7月～令和元年6月） (令和元年7月～令和2年6月）
業界別構成
業界別構成
業界別構成
◀模擬プラント

全景〇 IT系・制御系に精通した専門人材の育成〇 模擬プラントを用いた対策立案〇 実際の制御システムの安全性・信頼性検証等〇 攻撃情報の調査・分析

現場を指揮・指導するリーダーを育成

76人

83人

69人
42

ＩＣＳＣｏＥの施設（千石、秋葉原）⚫ 座学や基礎演習を行う千石と、各業界を想定した実機を使った模擬プラントを実際に攻撃して脆弱性を洗い出すなどの実践的なプログラムを行う秋葉原で活動を展開。

千石ー研修・演習施設＜座学＞

秋葉原ー模擬プラント＜実践的プログラム＞

攻撃

模擬プラントを攻撃①発電模擬プラント②機械製造模擬プラント＜基礎演習＞

対策を検討

受講生

脆弱性
を発見

③鉄鋼圧延模擬プラント④鉄道運行管理模擬プラント⑤スマートグリッド模擬プラ
ント⑥施設管理模擬プラント
模擬プラント全景

模擬プラント43

多様な短期プログラム（製造・生産分野の管理監督者層向けプログラム）⚫ 製造・生産現場のセキュリティに必要なIT・OT基礎からセキュリティ戦略立案まで、現場が主体的に取り組むためのマネジメントスキルを学ぶプログラム。

⚫ 受講者は1つあるいは複数のコースを選択して受講可能。
コース名

開催期間（2019年度）

1

製造・生産現場のセキュリティに必要なIT・OT基礎

11/11～11/14（4日間）

2

製造プラント・工場等が稼働している中でのリスク分析手法

2/3～2/7（5日間）

3

製造・生産現場へのセキュリティ製品導入及びベンダー選定方法

12/3 ～12/6 （4日間）

4

製造・生産現場向けセキュリティ教育の実施方法

12/16～12/19（4日間）

5

製造・生産現場でのセキュリティ・インシデント対応実践方法

1/20～1 /24（5日間）

6

製造・生産現場におけるセキュリティ業務の運用・保守手法

2/17～2 /20（4日間）

7

実践 製造・生産現場のためのセキュリティ戦略立案

3/3 ～3/6（4日間）

開催場所 独立行政法人情報処理推進機構（東京都文京区本駒込2-28-8）
定員

各コース 40名

受講料

各コース 15万円（税込）

申込

https://www.ipa.go.jp/icscoe/program/seizo-seisan/index.html
44

インド太平洋地域向け日米サイバー演習⚫ 経済産業省及びIPA産業サイバーセキュリティセンター（ICSCoE）が、日米の専門家による制御システムのサイバーセキュリティに関する演習をインド太平洋地域（14の国・地域）向けに実施。
■日時・場所：2019年9月9日（月）～12日（木）＠東京（今年で２回目、以後毎年開催。）■参加者：ASEAN９カ国、スリランカ、バングラデシュ、インド、NZ、台湾 35名

ICSCoE中核人材育成プログラム研修生 69名■来賓挨拶／講師：（米国）在日米国大使館首席公使代理、国務省東アジア・太平洋局首席次官補代理、エネルギー省、NIST、INL、ISA、米国企業（日本）関芳弘経済産業副大臣、ICSCoE講師、日本企業

Bangladesh

TaiwanMyanmar

India
Laos

米国国務省挨拶

米国の専門家による講義

Philippines

Thailand

日本の専門家による講義

Vietnam
Sri Lanka

Brunei
Darussalam

Cambodia

Indonesia

Singapore

New Zealand

ハンヅオントレーニング

ワークショップ

サイバー攻撃のデモ

参加国・地域31

国立高専機構と産・官との連携促進・具体化⚫ METI、IPA、JPCERT及び業界団体が国立高専機構と連携し、高専生の専攻（セキュリティ、IT、その他（機械、電気等））に応じた教育コンテンツの提供や講師の派遣等、産学官連携の具体化を推進中。
使用できるインフラ⚫ 演習設備⚫ 同時中継(全国高専間で配信可)⚫ 仮想空間国立高専卒業生
約1万人/年の内訳

約１％
セキュリティスキルレベル

トップガンの学生→ 主にセキュリティ企業
に就職

約20％
情報系学科の学生→ 主にIT企業に就職

約80％
非情報系学科の学生→ 主にユーザー企業に就職

国立高専教員

コンテンツ開発・授業の提供(パワーポイント、ビデオ等)

パターン①：90分程度
・高専教員がコンテンツを使って講義 又は 企業等の方が講義(拠点校から全国各校に同時配信も可)
パターン②：15分程度
授業冒頭や隙間時間でビデオ放映※トップガンの学生は、全国各校、各学科に散らばっているため、通常の授業時間で集合する機会がない。

KOSENセキュリティコンテスト (１泊2日)
年1回程度開催（CTF）参加者：130名程度• JNSAが講師の派遣を検討中。
ゲーム形式教材のｲﾒｰｼﾞ※ＪＮＳＡ：ＮＰＯ日本ネットワークセキュリティ協会• 四国地域企業のIPA ICSCoE終了生が講義を検討中。
• 日立製作所が一関高専生向けに出前授業、インターンシッ
プを実施し、出前授業は全国各校に配信。

• CRICが佐世保高専と連携し、業界別（例．機械、電気、建築等）ビデオ教材（20分程度）を作成中。

※授業実施側のため。

高度セキュリティ合宿 (1泊2日)
年2回程度開催（インシデント対応演習等）参加者：35名程度※開催期間中の一部の時間を利用して、一線で活躍するホワイト
ハッカーから講義を実施可能。

• JNSAのゲーム形式教材を石川高専と連携してアプリ化。

※ＣＲＩＣ：一般社団法人サイバーリスク情報センター

セキュリティ合宿に関する協力• METIがセキュリティ専門官を高度セキュリ
ティ合宿に講師として派遣。

開催の様子＠石川高専• JNSAとSECCONビギナーズを石川高専と苫小牧高専で開催。
• JNSAがCTFビギナーズfor高専生＠木更津高専に講師を派遣。
• IPAが高度セキュリティ合宿に講師を派遣し、App Goat（脆弱性体験学習ツール）の講習会を開催。
• METIがセキュリティ専門官を高知高専に派遣し、出前授業を実施。

※セキュリティ合宿のような機会は特段なし。
※合宿のような機会は現状存在しない。
AppGoat講習の様子• IPAが教員向けにAppGoat講習会を開催。
• JPCERT/CCが情報担当教員向け研修に講師を派遣。
• 教員がIPAのセキュリティキャンプ全国大会を見学。
• 教師向け合宿で、METIがセキュリティ専門官の派遣を検討中。

46

インシデント情報の収集・共有によるサイバーセキュリティ対策の強化⚫ IPAは、重要インフラ事業者に対するサイバー攻撃情報共有体制 （J-CSIP（ジェイ シ ッ プ ） ： Initiative for Cyber Security Information sharing
Partnership of Japan、15業種、262組織が参加）を構築。

⚫ 公的機関としての信頼性を基に、秘密保持等契約を結び、企業から情報を収集、解析、秘匿化し、迅速に共有することにより被害拡大を防止。

【J-CSIPの仕組み】

秘密保持等契約を結び、企業から情報を収集、解析、秘匿化し迅速に共有。

サイバー攻撃情報の収集

重要インフラ等企業（重工、電気、ガス、化学、石油、資源開発、自動車、クレジット、物流、航空、鉄道、医療、空港、水道、鉄鋼：15業種262組織）47

高度標的型サイバー攻撃を受けた組織への初動対応支援⚫ 平成26年7月、IPAに、個々の組織の能力では対処困難な、高度標的型サイバー攻撃を受けた組織に対する初動対応を行う「サイバーレスキュー隊（J-CRAT）」を立ち上げ。
⚫ 最初の標的となり、対応遅延が社会や産業に重大な影響を及ぼすと判断される組織（主として、重要インフラ事業者、業界団体・独法等）に対して、初動対応支援を実施。
【サイバーレスキュー隊の活動】

重要インフラ、業界団体等

・初動時の緊急処置の助言
・被害状況の理解促進
・対応体制の早急な立ち上
げの支援

緊急時の
初動対応

経済社会に被害が拡大するおそれが強く、一組織で対処が困難
な深刻なサイバー攻撃の発生

サイバーレスキュー隊

標的型サイバー攻撃特別相談窓口
https://www.ipa.go.jp/security/tokubetsu/index.html
E-mail: tokusou@ipa.go.jp
TEL: 03-5978-7599

48

１．サイバー攻撃の動向

２．産学官の検討体制の構築~産業サイバーセキュリティ研究会

３．WG1：「Society5.0」において必要なセキュリティ対策~サイバー・フィジカル・セキュリティ対策フレームワークの策定

４．WG2：サイバーセキュリティ対策の基盤整備~経営、人材育成、中小企業

５．WG3：サイバーセキュリティビジネスの創出~エコシステムの構築

49

Society5.0時代の信頼性確保のために必要となる攻撃型手法を含むハイレベルな検証サービスの普及展開へ向けた実証⚫ IoT機器・システムを中心に、ホワイトハッカー等を有する事業者による攻撃的手法を含むハイレ
ベルな検証を実施。
⚫ 実証を通じ、信頼できる検証主体を確認する仕組みや、機器毎に効果的な検証手法等の考え方を整理し、検証サービスの効果・信頼性を向上させ、ビジネスとして普及展開。

実証
検
証
対
象

実証の成果と活用のイメージ

・ネットワークに常時接続する端末機器
・サイバー攻撃を受けることにより事故に繋がる可能性があるもの 等①各検証手法を用いた、対象機
器・システムごとの検証結果⇒IoT機器等毎の効果的な検証手法の考え方を整理期待される効果

検証サービスの効果・信頼性向上②検証事業者に求められる、情報管理体制等の考え方の整理

検証事業
検証手法・検証ツール（リバースエンジニアリング・
ネットワークキャプチャ 等）

検証事業者（ホワイトハッカー 等）

検証技術等の技術開発（内閣府SIPプロジェクト、AIチッププロジェクト 等）⇒信頼できる検証主体を確認する
仕組みの検討③技術開発支援などにより、我が国の検証技術の高度化

検証ビジネス
の普及展開『Proven in Japan』の促進⇒検証サービスの効果向上
50

情報セキュリティサービス審査登録制度の概要⚫ 一定の品質を維持・向上するための要件を定めた「情報セキュリティサービス基準」を策定し、基準に適合するサービスの台帳をIPAより公開。（2018年7月）⚫ 基準に適合するサービスのリストを利用することで、ユーザーは一定の品質維持向上が図られているサービスを使うことが可能になる。
✓ 外部に委託したいがどの事業者のサービスを選べば良いか分からない

？

？

？

？

ユーザー

最低限の品質を満たした
119サービスが掲載（2019年10月時点）• 情報セキュリティ監査（25サービス）• 脆弱性診断（47サービス）• デジタルフォレンジック（17サービス）• セキュリティ監視・運用（30サービス）

選定時に
活用

（企業やコンシューマ）5152