各国のセキュリティ対策の動向と日本の取組～サイバー・フィジカル・セキュリティ対策フレームワークの策定とその概要～

平成30年6月21日
経済産業省

商務情報政策局

サイバーセキュリティ課

１．IoTの進展等によるSociety5.0の実現に伴うサイバー攻撃の脅威レベルの向上と海外の動向
２．サプライチェーンサイバーセキュリティ強化へ向けた検討体制の構築
３．サイバー・フィジカル・セキュリティ対策フレームワークの策定
４．フレームワークを活用したサプライチェーンサイバーセキュリ
ティ強化~産業分野別のガイドライン策定と必要な技術開発の促進
1

Society5.0、Connected Industries が実現する社会 Society5.0は、サイバー空間とフィジカル空間を高度に融合させることにより、多様なニーズにきめ細かに対応したモノやサービスを提供し、経済的発展と社会的課題の解決を両立する社会。
 Society5.0へ向けて、様々なつながりによる新たな付加価値を創出するConnectedIndustriesの実現に向けた新たな産業構造の構築が必要。

出典：経済産業省「平成27年度我が国経済社会の情報化・サービス化に係る基盤整備(水道事業におけるCPS(サイバーフィジカルシステム)実装のための調査研究)」報告書を基に作成

2

サイバー攻撃の脅威の増大
 IoTとAIによって実現されるSociety5.0の社会(人間中心の社会)では、サイバー攻撃の起点が増大するとともに、複雑につながるサプライチェーンを通じてサイバーリスクの範囲が拡大。
 サイバー空間とフィジカル空間が高度に融合するため、サイバー攻撃がフィジカル空間まで到達。
 IoTから得られる大量のデータの流通・連携を支えるセキュリティも課題。
 海外においても、IoTやICS（産業制御システム）防衛のためにはサプライチェーンマネジメントでアプローチする必要が広く認識されるようになっている。
大量のデータの流通・連携⇒データ管理の重要性が増大「Society5.0」社会におけるモノ・データ等のつながりのイメージ

フィジカルとサイバーの融合⇒フィジカル空間までサイバー攻撃が到達複雑につながるサプライチェーン⇒影響範囲が拡大
3

米国における最近の動き①：
サイバーセキュリティフレームワークの改訂
 2度の意見募集を踏まえた修正を行った上で、2018年4月、NIST（米国国立標準技術研究所）が「Cybersecurity Framework Version1.1」を決定。
 国際標準化に向けた活動も開始している状況。
NIST 「Cybersecurity Framework」の経緯••••

2014年2月、サイバーセキュリティ対策の全体像を示し、「特定」、「防御」、「検知」、「対応」、「復旧」に分類して対策を記載した「Cybersecurity Framework Vesion1.0」を策定。
2017年1月、「Cybersecurity Framework Version1.1 draft1」を公表。
2017年12月、「Cybersecurity Framework Version1.1 draft2」を公表。
2018年4月、 「Cybersecurity Framework Version1.1」を決定。

NIST 「Cybersecurity Framework Version1.1」の特徴•

Version1.1は、Version1.0より特に以下の点が追記され、その重要性が説かれている。
 サプライチェーンのリスク管理（Supply Chain Risk Management）
 サイバーセキュリティリスクの自己評価（Self-Assessing Cybersecurity Risk)
Cybersecurity Frameworkにおける5つの分類

特定防御検知対応
復旧

ID.AM
ID.BE
ID.GV
ID.RA
ID.RM
ID.SC

資産管理
ビジネス環境
ガバナンス
リスクアセスメント
リスク管理戦略
サプライチェーン管理

Version1.1でID.SCが新規に追加され、サプライチェーン全体で対策を実施することや、必要に応じて監査を行うことを要求

4

米国における最近の動き②：
2017年5月大統領令に基づく各種報告書の公表

 2017年5月、トランプ大統領が「サイバーセキュリティ強化のための大統領令」に署名。関係省庁に対して複数の報告書の策定を命令。
 2018年５月29-31日、関係省庁は国内での議論を喚起するため、可能な範囲で各種報告書を公表。
１．連邦政府のサイバーセキュリティリスクに関する報告書 (5/29 DHS・行政管理予算局):• 96の政府機関のサイバーセキュリティ管理能力のアセスメント結果と改善策を報告。
２．ボットネット対策等に関する報告書 (5/30 DHS・商務省):• ボットネット対策等のために官民が取るべき対策を報告。120日以内にロードマップを策定予定。
３．電力網への攻撃に対するインシデント・レスポンスに関する報告書 (5/31 エネルギー省):• 電力事業者がインシデントに対応するための７つの能力ギャップと提言について報告。
４．人材育成に関する報告書 (5/31 DHS・商務省):• 299,000人分のオンライン上のセキュリティ関連空きポストに対応するための取組について報告。
５．米国のサイバー利益保護のための国際活動に関する報告書（5/31 国務省）:• 開放的で相互運用可能で安全で信頼の高いサイバー空間のために必要な外交活動等について報告。
６．敵対勢力に対する抑止等に関する報告書 (5/31 国務省):• 武力等により抑止を行うべき悪意あるサイバー活動の基準・閾値等について報告。
７．重要インフラ防御に関する報告書 (5/31 DHS):• 各政府機関が各重要インフラ事業者に対して有する権限や能力について特定し、改善策を報告。
８．市場の透明性に関する報告書 (5/31 DHS):• 事業者のセキュリティリスクの透明化のために必要な調査・政策検討について報告。

5

（参考）連邦政府のサイバーセキュリティリスクに関する報告書
 米国行政管理予算局（OMB）とDHSが政府機関のサイバーセキュリティ管理能力のアセスメントを行い、96機関中71機関（74%）の機関が高リスク又はリスクがあると報告。
改善に必要とされる４つのコア活動（１）サイバー脅威フレームワークの活用により、リスクの優先順位をつけて対策に取組む。
（２）ＩＴとサイバーセキュリティに係るコスト管理と資産マネジメント能力の標準化。
（３）ＳＯＣの統合により検知・対応能力を向上。
（４）プロセス改善や繰り返しのリスクアセスメントにより、説明責任能力を向上。
 サイバー脅威フレームワーク （右図）
• 国家情報長官官房(ODNI)が開発。
• サイバー攻撃における一連の活動を、４つの段階（Preparation  Engagement  Presence  Effect/Consequence）に分けて整理。
• サイバー攻撃に関する共通的な語彙と枠組みを提供し、脅威の傾向や必要な対策等を検討する際に使用されることを目指している。
出典：米国国家情報長官官房(ODNI)

6

（参考）ボットネット対策等に関する報告書
 2017年5月、トランプ大統領が「サイバーセキュリティ強化のための大統領令」に署名。
 2018年１月、大統領令を踏まえた報告書案を公表（セキュリティ確保のためのエコシステムの形成を強調）。
 2018年2月28日~3月1日、NIST、NTIA、DHSによるワークショップ開催。
 2018年５月、本報告書を大統領に報告。
同月22日、NTIAが最終報告書を公表。
2017年5月大統領令
Presidential Executive Order on Strengthening the Cybersecurity of Federal Networksand Critical Infrastructure（連邦ネットワーク及び重要なインフラストラクチャに対するサイバーセキュリティの強化に関する大統領令） 2017年5月11日①連邦政府のネットワーク ②重要インフラ ③国家／国民のためのサイバーセキュリティ(ボットネット対策含む)に関して各連邦政府機関の長に対し、期限以内に大統領に報告書を提出するよう指示2018年5月最終報告書
A Report to the President on Enhancing the Resilience of the Internet andCommunications Ecosystem Against Botnets and Other Automated, DistributedThreats（ボットネットおよびその他の自動化・分散化した脅威に対するインターネット・通信のエコシステムの強靭性の強化に関する報告書） 2018年5月22日
本報告書の公表をもって取組が終わる訳ではないとした上で、連邦政府が取り組むべき事項に力点を置き、関係者による様々な取組の調整・協働をサポートするための道筋を提示

7

（参考）NIST SP800-171
 NIST SP800-171は、CUIの保護を目的に14個のカテゴリと109の項目から構成。
 米国の防衛調達において必須になっているが、SP800-171の遵守状況に関する政府機関による第三者認証制度はなく、自己宣言という形で準拠したか否かについて判断する自己認証を採用。
 2018/06/07にも、アップデート版を公表。 ※「APPENDIX F：DISCUSSION」が追加
2015.06

NIST SP800-171策定

非政府機関の情報システム等におけるCUI(*1)の保護を目的としたサイバーセキュリティ対策の要件を規定

2016.10DFARS Clause252.204-7012
発行

CDI(*2)を保護対象とし、米国防衛省と契約する者に対し、2017年12月31日までにSP800-171相当のサイバーセキュリティの対応を要求。

NIST SP800-171における14個のカテゴリ(*1) Controlled Unclassified Information；管理対象となるが秘密指定されていない情報(*2) Covered Defense Information

1. アクセス制御：システムへのアクセスが出来る人／機能を制限す9. 人的セキュリティ：システムへのアクセスを行う個人を審査するこることと
2. 意識向上と訓練：セキュリティポリシーを遵守すること
10. 物理的保護：組織のシステム、装置等への物理的アクセスを
3. 監査と責任追跡性：システムの監査を行うとともに責任の追及制限することが出来ること
11. リスクアセスメント：情報資産のリスクを適切に評価すること
4. 構成管理：システムを構成する機器に求められるセキュリティ構 12. セキュリティアセスメント：セキュリティ管理策を定期的に評価す
成設定を確立することること
5. 識別と認証：システム利用者、デバイスを識別すること(例えば、13. システムと通信の保護：システムの鍵となる通信を監視し、制御多要素認証を必須化)
し、保護すること
6. インシデント対応：インシデントの追跡、報告が出来ること
14. システムと情報の完全性：タイムリーに情報及びシステムフローを
7. メンテナンス：組織のシステムのメンテナンスを行うこと識別すること8. 記録媒体保護：CUIをセキュアに格納するとともにアクセスできる者を制限すること8欧州における最近の動き

 欧州では、「Cybersecurity Certification Framework」の導入に向けた議論を継続。
 なお、EU一般データ保護規則（GDPR）が2018年5月25日から施行。
「Cybersecurity Certification Framework」の経緯•

2017年9月、ユンカー欧州委員会委員長の施政方針演説で、EUにおけるサイバーセキュリティ政策（CybersecurityAct）が発表され、そこには新たにサイバーセキュリティ認証フレームワーク（Cybersecurity CertificationFramework）の導入について言及。

•

2018年2月、EU標準化団体とENISAにより、「Cybersecurity Act」に関する会議開催。

•

2018年3月、欧州委員会とENISAにより、「Cybersecurity Certification Framework」に関する会議開催。

•

2019年5月、Cybersecurity Actの施行予定。

「Cybersecurity Certification Framework」の特徴•

既に多数のスキームが存在していることから、一からFrameworkを作成するわけではなく、「Meta-Scheme Approach」を用いたスキームを指向。Voluntaryなものとして、枠組み作りを優先する方向で議論。
垂直的全ての要求を満たすスキームは存在せず、現時点で多くのスキームが存在。

水平的Meta-SchemeApproach

メタ言語を介し異なるスキームを横断して組み立て。

9

欧米において強化される『サプライチェーン』
サイバーセキュリティへの要求

 米国、欧州は、サプライチェーン全体に及ぶサイバーセキュリティ対策を模索。

【米国】

【欧州】

 2017年末、防衛調達に参加する全ての企業に対してセキュリティ対策（SP800-171の遵守）を義務化

 2016年、エネルギー等の重要インフラ事業者に、セキュリティ対策を義務化（NIS Directive）

 2018 年 、 サ イ バ ー セ キ ュ リ テ ィ フ レ ー ム ワ ー ク（NIST策定のガイドライン）に、『サイバーサプライチェーンリスクマネジメント』を明記

 2017年、単一サイバーセキュリティ市場を目指し、ネットワークに繋がる機器の認証フレームの導入検討を発表
 EUの顧客データを扱う企業に対するデータ処理制
限等の新たな義務（GDPR）を2018年5月から適用開始
 ドイツにおいてルータのテクニカルガイドラインを作
成中

セキュリティ要件を満たさない事業者、製品、サービスはグローバルサプライチェーンからはじき出されるおそれ10

１．IoTの進展等によるSociety5.0の実現に伴うサイバー攻撃の脅威レベルの向上と海外の動向
２．サプライチェーンサイバーセキュリティ強化へ向けた検討体制の構築
３．サイバー・フィジカル・セキュリティ対策フレームワークの策定
４．フレームワークを活用したサプライチェーンサイバーセキュリ
ティ強化~産業分野別のガイドライン策定と必要な技術開発の促進
11サイバーセキュリティ政策の方向性① 重要インフラの対策強化－情報共有体制強化

等

１．産業政策と連動した ② IoTの進展を踏まえたサプライチェーン毎の対策強化(Industry by industry)
政策展開－防衛関係、自動車、電力、スマートホーム等の分野別検討と技術開発・実証の推進③ 中小企業のサイバーセキュリティ対策強化① 日米欧間での相互承認の仕組みの構築
2．国際ハーモナイゼーション ② 民間主体の産業活動をゆがめる独自ルールの広がり阻止

3．サイバーセキュリティ ① 産業サイバーセキュリティシステムを海外に展開ビジネスの創出支援② サービス認定創設、政府調達などの活用

４．基盤の整備

① 経営者の意識喚起② 多様なサイバーセキュリティ人材の育成（ICSCoE等）③ サイバーセキュリティへの過少投資解決策の検討
12

サイバーセキュリティ政策の課題とWG等における対応状況
産業サイバーセキュリティ研究会

第１回：平成29年12月27日 開催
第２回：平成30年 5月30日 開催
3/9
閣議決定

 重要インフラ分野における情報共有体制の構築

サイバーセキュリティ基本法
改正（NISC）にて対応

 「Society5.0」におけるサプライチェーン全体のセキュリティ確保

ＷＧ１（制度・技術・標準化）

第１回 2/7
第２回 3/29

ＷＧ２（経営・人材・国際）

第１回 3/16
第２回 5/22

 経営者のサイバーセキュリティに関する意識喚起
 セキュリティ人材の育成
 日米欧三極の連携強化
 サイバーセキュリティのビジネス化

ＷＧ３(サイバーセキュリティビジネス化)

第１回 4/413

アクションプランの4つの柱
１．サプライチェーンサイバーセキュリティ強化パッケージ
２．サイバーセキュリティ経営強化パッケージ
３．サイバーセキュリティ人材育成・活躍促進パッケージ
４．セキュリティビジネスエコシステム創造パッケージ14

WG1の検討体制
 サイバー・フィジカル・セキュリティ対策フレームワーク（後述）の標準モデルを検討し、業界毎に順次展開して、具体的適用のためのセキュリティポリシーを検討。

ＷＧ１ 制度・技術・標準化

標準モデル

Industry by Industryで検討(分野ごとに検討するSWGを設置)

ビル （エレベーター、エネルギー管理等）
電力
防衛産業

標準化・技術開発等の連携

自動車産業

標準化・規格・認証関連機関

IPA
ECSEC
JIPDECCSSC
CRYPTREC
セキュリティ技術開発に関する産学官の各種プロジェクト

スマートホーム
その他コネイン関係分野
国際標準提案 / 相互承認提案

企業

大学

国研

15

１．IoTの進展等によるSociety5.0の実現に伴うサイバー攻撃の脅威レベルの向上と海外の動向
２．サプライチェーンサイバーセキュリティ強化へ向けた検討体制の構築
３．サイバー・フィジカル・セキュリティ対策フレームワークの策定
４．フレームワークを活用したサプライチェーンサイバーセキュリ
ティ強化~産業分野別のガイドライン策定と必要な技術開発の促進
16

サイバー・フィジカル・セキュリティ対策フレームワークを策定する目的
 「Society5.0」、「Connected Industries」 の実現へ向けて、産業構造、社会の変化に伴うサイバー攻撃の脅威の増大に対応することが必要。
 このため、産業に求められるセキュリティ対策の全体像を整理し、産業界が活用できる『サイバー・フィジカル・セキュリティ対策フレームワーク』の策定を進めている。
１．各事業者がフレームワークを活用することで期待される効果• 「Society5.0」、「Connected Industries」の実現に求められるセキュリティの確保• 製品・サービスのセキュリティ品質を差別化要因（価値）にまで高めることによる競争力の強化
２．フレームワークの特徴① 各事業者が実施するセキュリティ対策のオペレーションレベルで活用できる•社会として目指すべき概念だけではなく、各事業者が実際にセキュリティ対策を実施するうえで活用できる内容にする。

② セキュリティ対策の必要性とコストの関係を把握できる•••

サプライチェーン全体を構成する中小企業を含めた事業者が、実際に対策を行えるよう、想定されるリスクと必要な対策のコストのバランスをイメージできるような内容にする。
セキュリティレベルを保ったままでコストを圧縮できるような内容にする。
リスクシナリオベースの考え方も考慮した内容にする。

③ グローバルハーモナイゼーションを実現する。
•グローバルサプライチェーンの中で、日本における製品・サービスのセキュリティ対策が海外からも認められるよう、諸外国の動きをよく取り入れ、ISMSやNIST Cybersecurity Frameworkなど米欧などの主要な認証制度との整合性を確保し、相互承認を進めていくことができる内容にする。
17

フレームワークの構造～「Society5.0」型サプライチェーン“価値創造過程”への対応 あらゆるものがつながるIoT、データがインテリジェンスを生み出すAIなどによって実現される「Society5.0」（人間中心の社会）、「Connected Industries」では、製品/サービスを生み出す工程（サプライチェーン） も従来の定型的・直線的なものとは異なる、多様なつながりによる非定型の形態を取ることになる。
 本フレームワークでは、このような「Society5.0」型サプライチェーンをこれまでのサプライチェーンとは区別して認識するため、価値創造過程（バリュークリエイションプロセス）と定義し、「Society5.0」、「Connected Industries」によって拡張したサプライチェーンの概念に求められるセキュリティへの対応指針を示す。
• 本フレームワークは、価値創造のための活動が営まれる産業社会を、下記の三層構造と6つの構成要素で捉え、包括的にセキュリティポイントを整理し、それらに対応するための指針となるものである。 ⇒ 詳細は次頁以降参照◆三層構造
第3層－ サイバー空間におけるつながり
第2層－ フィジカル空間とサイバー空間のつながり
第1層－ 企業間のつながり（従来型サプライチェーン）◆６つの構成要素－組織、ヒト、モノ、データ、プロシージャ、システム

18三層構造アプローチの意義 3つの層には、価値創造過程において確保されなければならない機能・役割が存在する。
 例えば、各層において以下で示すようなことが確保されていなければ、価値創造過程は成立をしないことになる。
–

第１層では生産された製品等－信頼できる企業が信頼できる生産活動によって仕様どおりの製品やサービスを供給しているか否か–

第２層ではセンサーで読み込まれたデータ等－フィジカル空間における情報を、センサーなどのIoT機器が正確にデジタル化し、サイバー空間に“転写”しているか否か–

第３層ではデータ分析で得られたデータ等－収集する過程で改ざんされていないデータを適切な方法で加工した、信頼できるデータを活用できるか否か

 本フレームワークでは、各層で創造される価値の持つ特徴を踏まえた対応の方針を示す。

19

価値創造過程に関わる６つの要素と構成要素の関係
構成要素

定義

組織

• 価値創造過程（特に、従来型サプライチェーン）に参加する企業・団体

ヒト• 組織に属する人、及び価値創造過程に直接参加する人モノ• ハードウェア、ソフトウェア、及びそれらの部品

データ• フィジカル空間にて収集された情報、及び共有・分析・シミュレーショ
ンを通じて加工された情報

プロシージャ

• 定義された目的を達成するために要求される定型化された一連の活動

システム• サービスを実現するためにモノで構成される仕組み・インフラ20

各層におけるセキュリティ対策の概要

21

フレームワークにおける信頼の確保の考え方
 サイバーフィジカルシステムのセキュリティを確保するため、それぞれの構成要素についてのセキュリティの確保(信頼の創出)とその確認(信頼の証明)を繰り返し行い、信頼のチェーンを構築、維持することで、価値創造過程全体のセキュリティを実現。
１．信頼の創出・セキュリティ要件を満たすモノ・データ等の生成
・対象のモノ・データ等が要件を満たした形で生成されたことの確認
２．信頼の証明
・対象のモノ・データ等が正常に生成されたものであることを確認できるリスト(トラストリスト)の作成と管理・トラストリストを参照することで対象のモノ・データ等が信頼できるものであることの確認
３．信頼のチェーンの構築と維持
・信頼の創出と証明を繰り返すことで信頼のチェーンの構築(トレーサビリティの確保)
・信頼のチェーンに対する外部からの攻撃等の検知・防御
・攻撃に対するレジリエンスの強化
22

サイバー・フィジカル・セキュリティ対策フレームワークへのパブコメ 実施期間・状況
 平成30年4月27日～5月28日でパブリックコメントを実施。
 海外からの関心が高く、英語版パブコメも実施。
 国内23、海外10の組織・個人より、300以上の意見提出あり。肯定的な意見が9割弱。

 国内からの主な意見
 Society5.0における信頼の確保へ向けた取組として、フレームワークの趣旨に賛同。
 既存の国際規格等があるので、対応関係を明確化してほしい。
 NIST SP800-171と比較して、対策の強度は低いが準拠するためのコストが掛かることを懸念。

 海外からの主な意見
 フレームワーク案を広く支持。サイバーセキュリティと経済活動を両立する上で効率的な、マルチステークホルダーアプローチやリスクベースアプローチに合致する多数の概念や対策が含まれている。
 国際規格であるIEC 62443 への言及が少ないように見える。
 中小企業にとっても活用しやすいガイドラインを期待。
23

(参考)国際標準等との整合性について
 国際標準等との整合性を取るため、国内外の30以上の規格等を参照して作成。
 特に、3つの重要な規格等(下記赤字のもの)については、対応表を作成し、整合性を確認した上で、公表済み。
（参照した主な規格等）
 国際標準① IEC 62443 (IEC)② ISO/IEC 27001:2013 (ISO/IEC)③ ISO/IEC 27002:2013 (ISO/IEC)

 米国NIST関連文書① Framework for Cyber-Physical
Systems② Framework for Improving Crititcal
Infrastructure Cybersecurity

 欧州 Industrie 4.0 関連文書
① インダストリー4.0実現戦略(Umsetzungsstrategie Industrie 4.0)

(NIST サイバーセキュリティフレームワーク）③ Draft NISTIR 8200
④ NIST SP800-53② Security in RAM4.0⑤ NIST SP800-161③ Secure cross-company communication⑥ NIST SP800-171
24

１．IoTの進展等によるSociety5.0の実現に伴うサイバー攻撃の脅威レベルの向上と海外の動向
２．サプライチェーンサイバーセキュリティ強化へ向けた検討体制の構築
３．サイバー・フィジカル・セキュリティ対策フレームワークの策定
４．フレームワークを活用したサプライチェーンサイバーセキュリ
ティ強化~産業分野別のガイドライン策定と必要な技術開発の促進
25

サイバー・フィジカル・セキュリティ対策フレームワークの実装の方向性
 『サイバー・フィジカル・セキュリティ対策フレームワーク』は、対策の枠組み(チェックポイント)を示したものであり、セキュリティ水準(対策の強度)を示すものではない。
 産業分野ごとに守るべきものやリスクに違いも存在するため、産業分野ごとにセキュリティ水準の検討を進めていく。
 必要に応じて、求められるセキュリティ水準を満たしていることについて、認証を含めた確認方法についても検討を進める。
『サイバー・フィジカル・セキュリティ対策フレームワーク』と分野別におけるセキュリティ対策のイメージ
分野別セキュリティガイドライン
サイバー・フィジカル・セキュリティ対策フレームワーク
三層別アプローチ

必要な対策のポイント

必要なセキュリティ水準

セキュリティポリシーの策定、体制の整備
1. 企業間のつながり(主体の信頼)

事業継続計画又はコンティンジェンシープラ 対策のポイントンへの反映を踏まえて産業・・

2. フィジカル空間とサイバー空間のつながり(機能の信頼)
3. サイバー空間におけるつながり(データの信頼)

セキュリティ対策が施されたIoT機器の導入
セキュリティバイデザインの実践
・・
信頼できるサービスサプライヤーの選定
サイバー空間における接続相手の認証
・・

分野ごとに検討

確認手段として、認証やトラストリスト等の仕組みの検討
組織の認証(例：ISMS 等)
機器の認証(例：CC、IEC62443等)

クラウドの認証(例：ISO27017 等)

26

産業分野ごとの検討の促進：分野別のSWGの設置
 WG1で検討する『サイバー・フィジカル・セキュリティ対策フレームワーク』を、分野別に順次展開し、具体的適用のためのセキュリティポリシーを検討。

ＷＧ１ 制度・技術・標準化
標準モデル

Industry by Industryで検討 (分野ごとに検討するためのSWGを設置)（エレベーター、エネルギー管理等）

2/28 第1回会合, 4/16 第2回会合,
6/11 第3回会合開催

電力

6/12 第1回会合開催

防衛産業

3/29 第1回会合開催

自動車産業

設置に向けた検討中ビル

スマートホーム
その他コネイン関係分野(防衛装備庁 第6回情報セキュリティ官民検討会）

3/13 第1回会合, 4/5 第2回会合,6/13 第3回会合開催(JEITA スマートホーム部会 スマートホームサイバーセキュリティWG）

27

ビルSWG（座長：江崎 浩 東京大学 教授）
 ビルの情報系・制御系システムに係るサイバー攻撃のリスクと、それに対するサイバーセキュリティ対策について、海外における取組状況を含めて知見を共有
 共有した知見を踏まえ、ビルに求められるサイバーセキュリティ対策を整理し、ビルに関わるステークホルダーが活用できるガイドライン等をとりまとめる
 オリパラに向けて、各事業者において実施できる分野から実装を目指す＜構成員＞
有識者、ビルオーナー、ゼネコン、サブコン、設計事務所
個別システム事業者（ビル管理、空調、エレベーター、ビデオ監視、電力・熱供給 等）
自治体、関係省庁 等＜ガイドラインのとりまとめイメージ＞ ビルシステム全体に共通する最低限の要求をまとめたもの＋より詳細な方策を示したものの二階建て構成
 ガイドラインでは、多くの事業者の取組の参考となるよう優先順位を示した選択肢を提供
内容項目例
・ ビルに係わるサイバーセキュリティ上の脅威の現状
・ ビルシステムに対して起こりえる攻撃とその影響の予測
・ サイバーセキュリティ確保のための対策の概要
・ 対策の具体的内容
・ 対策実施に向けたチェックリスト

フェーズ

主な要求概要関係する
ステークホルダー

設計

機器、ネットワーク、物理
セキュリティへの要求

設計事務所、オーナー、ゼネコン、サブコン、ベンダー

施工／建築機器単位、システム単位の施工プロセスへの要求

ゼネコン、サブコン、ベンダー

竣工検査

全体管理体制、管理結果、受入検査への要求

ベンダー、ゼネコン、サブコン、オーナー、設計事務所

運用・保守管理体制への要求

オーナー、サブコン、ベンダー

28

スマートホームSWG（座長：小松崎 常夫 セコム株式会社 顧問）
 JEITA スマートホーム部会内にスマートホームサイバーセキュリティWGを新たに設置
 ハウスメーカ、システム・インテグレータ、機器メーカ等の住まいに関わる企業、業界団体が参加＜構成員＞
企業）家電・AV関連、IT・通信関連、車載関連、住宅設備・サービス関連
団体・機関）住宅・住宅設備分野、電機・通信分野、医療分野、研究機関
スマートホーム部会長の丹 康雄教授（北陸先端大）も委員として参画＜検討項目＞
マンション
戸建て

行政

住宅設備

家電

ヒト（生命・財産）

自動車・流通サービス

スマートホーム
サプライチェーン

消費者視点に立った信頼のサービスチェーン

Step1 “スマートホーム産業”に求められるセキュリティ対策像を整理し、住宅・住設・家電・サービス等のスマートホームサプライチェーンで活用できる「サイバー・フィジカル・セキュリティ対策フレームワーク」を策定する。
Step2 「サイバー・フィジカル・セキュリティ対策フレームワーク」を概念としてだけではなく、各事業者が実際のセキュリティ対策オペレーションレベルで活用できるよう、実効的な施策について検討を行い、必要に応じて、政府への政策提言を行う。
Step3 実運用に向けて、消費者へのリスク周知や免責事項、モニタリングの在り方、事業者間の信頼の創出方法等について検討。さらには、スマートホームからスマートライフ分野（街・社会インフラ）に対応したセキュリティ対策についても検討を進めていく。
29

サプライチェーンサイバーセキュリティに係る研究開発の推進
 総合科学技術・イノベーション会議の研究開発プログラム（SIP）に「IoT社会に対応したサイバー・フィジカル・セキュリティ」プログラムを設置など(※）研究開発事業を拡充。
 更に、拠点化による中核的な研究開発体制の整備や、研究成果の実装のための認定・認証体制の強化を推進。
SIP第2期 「IoT社会に対応したサイバー・フィジカル・セキュリティ」
平成30年3月30日：
総合科学技術・イノベーション会議にて課題決定
平成30年4月12日：
プログラムディレクター(PD)決定後藤 厚宏 情報セキュリティ大学院大学 学長
平成30年度下半期：研究開発開始を予定

研究開発の内容■サプライチェーンのセキュリティ確保（例）• IoT等のエッジデバイスのセキュリティ確保
技術•

取引先のセキュリティの確保状況を確認するための基盤技術•

AIを活用したサイバー攻撃の検知・解析
技術※ AIチップ・次世代コンピューティングの技術開発においてもセキュリティ技術の研究開発を推進

30

(参考)
サイバーセキュリティの枠組みを巡る各国との議論の状況

31マルチ・バイを通じた国際協調への取り組み① 「サイバー・フィジカル・セキュリティ対策フレームワーク」を軸に、各国のステークホルダーと議論、マルチの会議で紹介し、サイバー・フィジカル・セキュリティに関する共通の認識を醸成。
 安全なサプライチェーンの実現には関係する者の信頼性の確保について、各国と意見交換。

【ドイツ】
 Securing Global Industrial Value Networks （2018年5月＠ベルリン）
 ドイツを中心とした各国の官民の関係者にむけて、Society5.0時代のサイバーセキュリティについてフレームワークや標準化活動等、日本の取組を説明。
 日独連携の取組の成果として、2017年に引き続き2018年5月に産業サイバーセキュリティに関する共同ポジションペーパーを発出。
カンファレンスの講演内で日独双方から披露・解説。
32マルチ・バイを通じた国際協調への取り組み②【EU・OECD】
 日EUデータエコノミー対話 政府間会合（2018年4月＠東京）
 EUでサイバーセキュリティを所掌する通信総局（DG CONNECT）へフレームワークを紹介。
日欧は協調してセキュリティに関する国際的なルール構築に当たっていくとの認識を共有。
 OECD／CDEP（デジタル経済政策委員会）会合（2018年5月＠パリ）
 セキュリティ・プライバシーに関する作業部会（SPDE）にてフレームワークを紹介。

33

マルチ・バイを通じた国際協調への取り組み③【アメリカ】
 TecGlobal （米国商工会議所主催）（2018年４月＠ワシントン）
 国土安全保障省、アメリカ民間企業等に、現在日本で検討を進めているフレームワークについて、基本的な考え方や検討状況を共有し、お互いのサイバーセキュリティの取組を協調しながら進めていく環境を整備。

米国商工会議所のHPより引用

 Industrial Control Systems Joint Working Group (ICSJWG)（2018年４月＠アルバカーキ）
 米国国土安全保障省(DHS）傘下の国家サイバーセキュリティ通信総合センター（NCCIC）が、重要インフラ防護に向けて官民関係者の連携を深めるべく、関係者で情報共有を図る会議において「サイバー・フィジカル・セキュリティ対策フレームワーク」を初めとする経産省のサイバーセキュリティ政策について紹介。

34

マルチ・バイを通じた国際協調への取り組み④【ASEAN】
 第2回日・ASEANサイバーセキュリティWG（2018年５月＠インドネシア・バリ）
 情報セキュリティ分野において、我が国とASEAN諸国との国際的な連携・取組を強化することを目指す会議において、日本のサプライチェーンセキュリティの取組、フレームワークについて紹介。域内の情報セキュリティ水準向上のための意識啓発を実施。
 日米共同演習への参加を呼びかけ。

35マルチ・バイを通じた国際協調への取り組み⑤【APEC】
 APEC TEL57（第57回電気通信・情報作業部会）（2018年6月＠パプアニューギニア・ポートモレスビー）
 Security and Prosperity Steering Group (SPSG)において中国のサイバーセキュリティ関連組織であるCNCERT/CCが主催した「IoT Security Workshop」で、「サイバー・フィジカル・セキュリティ対策フレームワーク」について紹介。
 華為技術（Huawei）、カスペルスキー研究所、UL等の民間企業やIntermet Society(ISOC)、Asia-Pacific Network Information Centre （APNIC ）等の国際団体も参加。

36