資料４－３

サイバー安全保障分野での対応能⼒の向上に向けた有識者会議
官⺠連携に関するテーマ別会合 第2回
参考資料
令和６年７⽉23⽇
内閣官房
サイバー安全保障体制整備準備室

ソフトウェア等の脆弱性対応 〜安全な製品開発〜※前回資料（再掲） 各国では、これまで、安全な製品開発を促すため、国際標準や認証制度の整備を促進
 ⼀⽅、海外では、安全な製品開発に関する製品ベンダの責務の明確化や法的義務の導⼊も顕在化【ソフトウェア等の脆弱性対応の流れ】

安全な製品開発【国内外におけるこれまでの取組】






解消⼿段開発脆弱性認知国際標準や認証制度の整備
情報技術に関連した製品及びシステムの評価に関するコモンクライテリア(ISO/IEC 15408,1999年)を⽪切りに国際標準の整備が進捗
制御システムに係る同様の国際標準として、IEC62443において、製品開発ライフサイクルや、技術的セキュリティの要件が定められている
国際標準等に即した国内の動き
上記国際標準に基づき、例えば、情報処理推進機構がISO/IEC15408の認証制度を運営
最近では、各国でIoT機器の枠組み整備が進められており、国内でも「IoT製品に対するセキュリティ適合性評価制度」が2025年3⽉から⼀部開始予定（製品開発者）

注意喚起（公的機関）

解消⼿段適⽤（利⽤者）【海外における更なる取組】
サイバー空間を守る責任のリバランス (2023年)
「国家サイバーセキュリティ戦略」(2023年3⽉)において⽶国政府が提唱。現在、サイバーリスクを低減する責任が利⽤者に過度に偏っているとの現状認識の下、システムの提供者や政府の役割拡⼤を謳う
セキュアバイデザイン・セキュアバイデフォルト原則(2023年 ⽇⽶欧等の18組織が共同署名)
 ソフトウェア提供者に係る三原則として、①顧客のセキュリティの結果に責任を持つ、②徹底した透明性と説明責任を負う、③トップ主導での実施、を具体的に説明。
製品ｾｷｭﾘﾃｨ及び通信ｲﾝﾌﾗ法(2024年施⾏)

 ネットワーク製品提供者に対し、脆弱な初期 
パスワード設定の禁⽌、セキュリティ対応体制の構築を求める

サイバーレジリエンス法草案(2022年提出）
デジタル製品のメーカに対し、上市前の適合性評価、脆弱性悪⽤が発⾒された場合の当局(ENISA※)への報告等を規定※ENISA（欧州連合サイバーセキュリティ機関）: The European Union Agency for Cybersecurity

1ソフトウェア等の脆弱性対応 〜脆弱性の早期対応〜※前回資料（再掲） 開発段階でいかに注意しても、システムへの不正侵⼊等に悪⽤し得るバグ（＝脆弱性）は発⽣
 製品開発者による解消⼿段の開発と、利⽤者による適⽤を促すため、⽶国MITRE社等が脆弱性管理に係る国際枠組みを運営。同国際枠組みと連携しながら、⽇本国内でも同様の制度を整備
 ⼀⽅、海外では、解消⼿段の開発前に悪⽤が先⾏する「ゼロデイ脆弱性」も念頭に、脆弱性悪⽤状況や、重要インフラにおける機器利⽤状況等を踏まえた、踏み込んだリスク情報も提供

安全な製品開発【国内外におけるこれまでの取組】






解消⼿段開発脆弱性認知

脆弱性管理に係る国際枠組み (1999年)
ソフトウェア等の脆弱性に係る情報を国際的に⼀元管理するため、⽶国⾮営利団体MITRE社が、年間3万件弱発⾒される個々の脆弱性を採番管理（例.CVE-2024-0000など）
⽶国国⽴標準技術研究所(NIST)が技術的な悪⽤可能性を「CVSS値」として算出・公表※
早期警戒パートナーシップ制度（2004年）「情報処理の促進に関する法律」の告⽰に基づ
き、情報処理推進機構及びJPCERT/CCが運営。上記国際枠組みとも連携
このほか、国内悪⽤実績などリスクが⾼い脆弱性は、JPCERT/CCやNISC等が注意喚起（製品開発者）

注意喚起（公的機関）

解消⼿段適⽤（利⽤者）【海外における更なる取組】
悪⽤された脆弱性のデータベース化 (2021年)


国⼟安全保障省のサイバーセキュリティ・インフラ保安庁(CISA)が、⽶国内で悪⽤された脆弱性について、「既知の悪⽤された脆弱性(KEV)カタログ」として⼀覧化した上で公表



政府機関は、カタログに記載された脆弱性について、原則2週間以内に対策を講じることが必要（期間は脆弱性の影響度により変わり得る）
重要インフラ保安法(SOCI法、2022年改正)



重要インフラ事業者に対して、データ、コンピュータ等を含めた資産登録義務付け

登録された資産情報については、迅速な助⾔やリスク情報提供等に活⽤※CVE（共通脆弱性識別⼦）: Common Vulnerabilities and Exposures ※CVSS（共通脆弱性評価システム）:Common Vulnerability Scoring System2

脆弱性ハンドリングの類型
安全な製品開発

脆弱性認知解消⼿段開発注意喚起（製品開発者）（公的機関）

解消⼿段適⽤（利⽤者）【発⾒時において、未だ悪⽤されていない場合︓約29,000件/年(MITRE,2023年)】① 製品開発者が⾃ら脆弱性・対応策を公表する場合（主要ベンダによる脆弱性公表、機器メーカーの「プロダクト・サート」）※IEC62443等で標準化・普及

製品開発者② 製品開発者が、外部発⾒者の協⼒を得て脆弱性を発⾒、対応策を公表する場合（例︓ベンダによる外部発⾒者への報奨⾦⽀払い）

発⾒者

製品開発者

③ バグバウンティ・プラットフォームが、製品開発者と外部発⾒者を仲介する場合
バグバウンティプラットフォーム

発⾒者

製品開発者

調整機関

公開管理簿掲載
内容分析
CVS番号付与

MITREが⼀括管理

CVSS値付与

NISTが技術⾯から悪⽤可能性を評価

影響評価
注意喚起

利⽤者

普及状況・悪⽤動向を含めた評価• ⽶国ではCISAが「既知の悪⽤された脆弱性(KEV)」を公表

商流を踏まえた利⽤者への周知

ウェブサイト公表
NISTやIPAが管理④ 専⾨機関が、製品開発者と外部発⾒者を仲介する場合（例︓MITRE, JPCERT/CC など）

発⾒者

公表
登録

製品開発者

【発⾒時において、ゼロデイ脆弱性として既に悪⽤されている場合︓約60-100件/年※】⑤ ゼロデイ脆弱性の悪⽤が起点となり、脆弱性対応が⾏われる場合
被害組織
セキュリティベンダ

対処機関

調整機関

製品開発者

※https://cloud.google.com/blog/topics/threat-intelligence/2023-zero-day-trends?hl=en

3重要インフラ防護に関する戦略・指針等
 重要インフラ分野の防護範囲は、 サイバーセキュリティ戦略本部が「⾏動計画」により決定。
 また、同本部は「安全基準等策定指針」を策定している⼀⽅、遵守の実効性を確保する仕組みがあるわけではない。
［各⽂書の根拠］
法 サイバーセキュリティ基本法

律（平成26年法律第104号）

 我が国のサイバーセキュリティ政策に関し、基本理念、国、事業者等の責務を定める。
 国は重要インフラ事業者等におけるサイバーセキュリティに関し、基準の策定、演習及び訓練、情報の共有その他の⾃主的な取組の促進その他の必要な施策を講ずるものとされている。

最終改正︓令和元年法律第11号

 サイバーセキュリティ戦略

閣 議 決 定（基本法第12条）（令和３年９⽉28⽇）

⾏動計画ｻｲﾊﾞｰｾｷｭﾘﾃｨ
戦略本部決定（基本法第14条）

安全基準等策定指針
重要インフラ専
⾨調査会決定

 ⼿引書

内閣官房

 ガイダンス

重要インフラ所管省庁

 サイバーセキュリティに関する施策の総合的かつ効果的な推進を図るため、サイバーセキュリティ基本法に基づき策定されるサイバーセキュリティに関する基本的な計画。
 サイバーセキュリティに係る我が国としての基本的な⽴場を明らかにするとともに、諸施策の⽬標及び実施⽅針を国内外に⽰すことを⽬的とする。３年ごとに改定。
 重要インフラ防護に係る基本的な枠組みを定めた政府と重要インフラ事業者との官⺠共通の⾏動計画。国、重要インフラ事業者等が取り組むべき事項が規定。
 重要インフラサービスの安全かつ持続的な提供を図る観点から、「安全基準等」において規定が望まれる項⽬を整理・記載し、重要インフラ事業者や重要インフラ所管省庁の「安全基準等」の策定・改定を⽀援することを⽬的とするもの。
 ⾏動計画の改定、サイバーセキュリティを取り巻く環境の変化等を踏まえて⾒直しを実施。
 「安全基準等策定指針」で定めたリスクアセスメントや情報共有を⾏う際の⼿順を具体的に⽰したもの。
 ⾏動計画の改定、サイバーセキュリティを取り巻く環境の変化を踏まえて⾒直しを実施。
 安全基準等策定指針及び⼿引書に付随する⽂書として、個別の対処⽅法、留意点等を⽰す関連⽂書。

参照• 関係法令等に基づき、重要インフラ所管省庁が定める「基準」及び「ガイドライン」

重要インフラ事業者等

参照• 業界団体等が定める業界横断的な「業界標準」及び「ガイドライン」• 重要インフラ事業者等が⾃ら定める「内規」等

国際標準、他国の基準等
ISO/IEC

NIST・・・

4我が国と諸外国における重要インフラの対象分野
 重要インフラ分野の範囲は、サイバーセキュリティ戦略本部による⾏動計画の改定により随時追加。
 諸外国では、幅広く重要インフラとして指定しているが、必ずしも重要インフラ間の優先順位付けは⾒られない。
 なお、重要インフラ分野の防護範囲を決定する戦略本部の構成として、我が国や諸外国で重要インフラとなっている分野を所管する⼤⾂が全て⼊っているわけではない。
第１次⾏動計画（2005年12⽉ 〜 2009年2⽉）

第３次⾏動計画

第２次⾏動計画（2014年5⽉ 〜 2017年4⽉）（2009年2⽉ 〜 2014年5⽉）（2022年6⽉ 〜 ）重要＋3分野（化学、クレジット、⽯油） ＋1分野（空港）

10分野（情報通信、⾦融、航空、鉄道、電⼒、ガス、政府・⾏政サービス、医療、⽔道、物流）

現 ⾏動計画

第４次⾏動計画（2017年4⽉ 〜 2022年6⽉）

10分野

13分野

＋1分野（港湾）（2024年〜）

14分野

重要対象分野アメリカ（16分野）

イギリス（13分野）

オーストラリア（11分野）EU NIS2指令（11＋7分野）※基幹事業体＋重要事業体＜重要インフラ分野＞①通信②情報技術（IT）③⾦融④輸送システム⑤エネルギー
⑥化学
⑦政府施設
⑧上下⽔道
⑨公衆衛⽣・医療⑩緊急サービス⑪⾷糧・農業⑫商業施設⑬重要製造業⑭ダム⑮防衛産業基盤⑯原⼦⼒(炉・部材・廃棄物)＜国家重要インフラ分野＞
①通信
②⾦融
③輸送
④エネルギー⑤政府⑥⽔道⑦保健⑧緊急サービス⑨化学⑩⾷糧⑪防衛⑫⺠⽣⽤原⼦⼒⑬宇宙＜重要インフラ分野＞
①情報通信
②⾦融
③交通
④エネルギー⑤医療⑥⽔道⑦⾷料・農業⑧防衛産業⑨データ・クラウドサービス⑩教育・研究機関⑪宇宙＜基幹事業体＞①エネルギー（電⼒、地域冷暖房、⽯油、ガス、⽔素）②輸送（航空、鉄道、⽔上、道路）③銀⾏④⾦融市場インフラ
⑤医療
⑥飲料⽔
⑦廃⽔
⑧デジタルインフラ⑨ICTサービス
⑩⾏政
⑪宇宙

15分野

＜重要事業体＞①郵便・宅配便②廃棄物処理③化学品④⾷糧⑤製造（医療機器、コンピュータ・電⼦光学機器、電気設備、機械設備、⾃動⾞・トレーラー、その他輸送機械）⑥デジタルプロバイダー⑦研究5

諸外国における取り組むべき事項の明確化の取組
 諸外国では、分野横断的なサイバーセキュリティ対策のベースラインを明⽰。
 各国で共通する事項としては、「リスク管理（資産管理と脆弱性対策）」、「事業継続と復旧の計画」のほか、「サプライチェーン対策」などが規定されている。
※⾚字は、各国で特に共通する事項

アメリカ

イギリス

オーストラリア

EU

基準名

Cross-Sector Cybersecurity
Performance Goals (CPGs)

Cyber Assessment
Framework (CAF)

Essential Eight
Maturity Model

NIS2指令

適⽤対象

重要インフラ全体

国家重要インフラを含む⺠間
事業者

重要インフラを含む様々な組織

基幹事業者及び重要事業者

主な内容

１．識別

１．ガバナンス
２．リスク管理
３．資産管理４．サプライチェーン
５．サービス保護の⽅針とプロセス
６．IDとアクセス制御
７．データ・セキュリティ
８．システム・セキュリティ（脆弱性管理等）
９．レジリエントなネットワークとシステム（バックアップ等）
10．スタッフの意識向上と研修
11．セキュリティ監視12．プロアクティブなセキュリティ・イベントの発⾒13．対応と復旧計画
14．教訓からの学習

１．資産管理と脆弱性ス
キャン
２．OSへのパッチ適⽤
３．多要素認証
４．特権アカウントの管理
５．アプリケーション制御
６．MS officeのマクロ制
御７．ウェブブラウザの制御
８．定期的なバックアップ

・リスク分析及び情報セキュリ
ティに関する⽅針
・インシデント対応
・事業継続（バックアップ管理等）
・サプライチェーンセキュリティ
・ネットワークやシステムのセキュリティ（脆弱性対処等）
・リスク管理措置の有効性評
価・サイバー衛⽣の実施及びサイバーセキュリティ研修
・暗号の使⽤・⼈的セキュリティ（アクセス管理等）及び資産管理
・多要素認証等の活⽤資産インベントリ、ITとOTのサイバーセ
キュリティ関係の改善、既知の脆弱性の緩和、サプライチェーンでのインシデントの報告 等

２．防御デフォルトパスワードの変更、ネットワークセグメンテーション、多要素認証、OTサ
イバーセキュリティトレーニング、協⼒でアジャイルな暗号化、マクロの無効化、システムのバックアップ、ログの収集、公衆インターネットへのOT接続の制限 等

３．検知

関連する脅威及びTPPの検知

４．対応

インシデント報告、脆弱性報告 等

５．復旧

インシデント計画及び準備（うちリスク管理措置）

6重要インフラにおける安全基準等の浸透状況
 サイバーセキュリティ戦略本部が定める安全基準等策定指針については、重要インフラ事業者への実施状況を毎年度調査。項⽬等によるばらつきが⾒られ、例えば、 「監査／脆弱性診断の実施」 、「リスクアセスメントの実施」、「コンティジェンシープラン／事業継続計画の策定」は、他の項⽬として相対的に低くなっていることが伺われる。
 なお、各分野における基準・ガイドライン等は、業法等に基づき所管省庁が定めるもののほか、業界独⾃に策定するものなど様々となっており、必ずしも遵守の実効性を確保する仕組みがあるわけではない。
安全基準等の浸透状況に関する調査結果（※）［2021〜2023年度］※重要インフラ事業者等における安全基準等の実施状況等を把握するため、毎年度、重要インフラ事業者等に対し、セキュリティ対策の実施状況について、アンケート調査等を実施しているもの。

監査の実施

事業継続計画の策定
コンティジェンシー
プランの策定脆弱性診断の実施
リスクアセスメントの実施

基本⽅針の策定等の基本的な事項と⽐較して、・具体的なリスク管理措置や、・実際にサイバー攻撃を受けた場合の事業継続に対する備えが⼗分でない傾向がある。

※⾦融分野（資⾦決済以外）を除く

7

政府機関等の対策強化に向けた取組例①（横断的ASM事業）
 NISCにおいて、インターネットに露出した政府機関等のIT資産を対象に、常時評価し、脆弱性等を随時是正する事業として、令和６年度から横断的アタックサーフェスマネジメント事業（横断的ASM事業）を開始。
 なお、政府機関等に提供するリスク評価結果や注意喚起について、その対応は各政府機関等に委ねられており、対応の実効性を確保する仕組みがあるわけではない。

２

政府機関・独法等

NISC

インターネットに露出したIT資産
・情報システム・ネットワーク機器
・IoT機器 等

ASMシステム

セキュリティ対応体制と連携

・IT資産とリスク調査
・脆弱性情報収集

・IT資産収集・リスク評価・是正管理等・リスク評価結果通知・是正管理
・脆弱性情報提供
・政府全体への注意喚起
・セキュリティ対策等判断

NISC
職員等により運⽤横断的な情勢判断等（政府全体を把握）

A省
１ B庁
C機構
１ 横断的なリスク把握

INTERNET

サイバーセキュリティの司令塔として、 NISCにはASM情報の他、各組織で発⽣したインシデント情報や各種の脅威情報も集約される。
これらの情報とともに政府全体にかかるリスク影響を的確に把握し、政府組織全体のセキュリティ対策を牽引する。

２ 攻撃者⽬線での施策⽴案
NISCにはセキュリティに精通した⼈材や機材が集中しており、 攻撃者⽬線でのリスク評価・是正管理を効果的・効率的に推進することができる。

8

政府機関等の対策強化に向けた取組例②（CYXROSSプロジェクト）
CYXROSSプロジェクト︓CYNEX XROSS-organ observatory Project

 総務省では、国⽴研究開発法⼈情報通信研究機構（NICT）を通じ、安全性や透明性の検証が可能な国産センサー『CYXROSS Agent』 を開発し、政府端末に導⼊することで情報収集や分析を⾏う事業を実施。NICTが開発した様々な技術や観測等で蓄積したデータも活⽤し、我が国独⾃のサイバーセキュリティに関する情報を⽣成。
 NISCでは、サイバーセキュリティ運⽤の枠組み（GSOC）による従来の政府機関等全体の監視・分析等に加え、脅威ハンティングのためにも、同事業による組織横断的な情報分析の結果を活⽤する⽅向で検討中。

NICT

NICTが開発した技術

NICTER

デジタル庁

観測データ等
も活⽤

サイバー攻撃観測技術

情報分析
標的型攻撃観測・分析技術

分析レポート等の活用

サイバー攻撃情報統合分析技術

各省庁
情報収集

窃取・攻撃プロファイル
・サイバー脅威情報(IoC)
・統計情報 など
我が国独自の情報を生成

各省庁
情報共有

分析レポート等の活用

破壊
改竄

NISC

（CYXROSS Agent 導入省庁）
情報収集
窃取

NICTに閉じた安全な情報管理

分析レポート等の活用

破壊
改竄（CYXROSS Agent 導入省庁）

GSOCによる監視・分析、脅威ハンティング9⽶国におけるNICEフレームワークの⼈材育成・確保への活⽤例
 ⽶国では、NICEフレームワークを活⽤し、同フレームワークで定義された職種を軸にして検索できるサイトが提供されているほか、役割に応じた教育コースの提供などがされている。
NICEフレームワークの職種「サイバー防衛インシデント・レスポンダー」を軸として①採⽤情報を検索（例）インシデント・レスポンダーを求める連邦政府職員の募集要項②教育情報を検索（例）インシデント・レスポンダーを教育する機関・コースの検索結果

役割
サイバー防衛インシデント・レスポンダー（531）
専⾨分野
インシデント・レスポンス
USAJobsは、連邦政府機関の公務員の採⽤、ローテンションプログラム等の情報が掲載された⽶国政府のウェブサイト。NICEフレームワークの職種で求⼈情報検索ができる。

NICCS Education and Training Catalog は、⽶国各地における、あらゆるスキルレベルのサイバーセキュリティ⼈材向けの関連育成コースを検索できるサイト。

10

重要インフラ事業者におけるCISOの設置について
 2023年に改定された「重要インフラのサイバーセキュリティに係る安全基準等策定指針」（サイバーセキュリティ戦略本部決定）では、重要インフラ事業者に対し、 CISO等を任命することを求めるとともに、経営層クラスから任命することを推奨。
重要インフラにおける安全基準等策定指針(2023)改定の背景とポイント
背景

旧指針

サイバー攻撃やシステム障害が重要インフラの事業経営に影響を及ぼすものに変化。

経営層のコミットメント等を含めた情報セキュリティ⽅針を策定。

改訂のポイント
経営⽅針にセキュリティ担保を組み⼊れるとともに、経営層に相当する者の中からCISO等を任命することを推奨

重要インフラにおける安全基準等策定指針（2023年7⽉4⽇サイバーセキュリテイ戦略本部決定）

３．組織統治におけるサイバーセキュリティ
3.4. 責任及び権限の割当て
サイバーセキュリティリスクの管理について、サイバーセキュリティを担当する部署及び従業員を決定するとともに、責任及び権限を割り当てる。特に、サイバーセキュリティに関する責任者（CISO等）を任命すべきであり、その任命にあたっては、経営層の責任において実施する。当該責任者は、サイバーセキュリティに関する知⾒を有する者であるとともに、組織内の職階において、平時に、またとりわけ有事に、組織トップと直接コミュニケーションできる者として位置づけられるべきであり、経営層に相当する者の中から任命されることが望ましい。

11