経済産業省のサイバーセキュリティ政策について

商務情報政策局

サイバーセキュリティ課

１．諸外国の動向
２．サイバー・フィジカル・セキュリティ対策フレームワークとその具体化

２．１ IoTセキュリティ関連
２．２ ソフトウェアセキュリティ関連

２．３ OTセキュリティ関連
２．４ データセキュリティ関連

1

米国サイバー戦略 （令和5年3月3日）⚫ ２０２３年３月２日（現地時間）、米ホワイトハウスは、４年４ヶ月ぶりに「国家サイバー戦略」を公表。社会全体のデジタル技術への依存度の高まりや、中国、ロシア、イラン、北朝鮮及び非国家主体の悪意あるサイバー活動による、米国の安全保障や経済的への影響を踏まえ、以下の５つを柱として構成。
⚫ これらの柱を実現するため、①消費者や中小企業等の特定のプレイヤーに過度に依拠せず、重要システムの開発主
体に取組を要請、②目先の脅威への対応にとらわれるのではなく、デジタルインフラの強靱化に向けた取組にインセンティブを付与する等により、長期的な防御能力を高めることの２点を挙げている。
第一の柱 重要インフラの防護１．１ 国家の安全保障や公共の安全を支えるサイバーセキュリティ要件の確立
１．２ 官民協力の拡大
１．３ 連邦政府のサイバーセキュリティーセンターの統合

１．４ 連邦政府のインシデント対応計画及びプロセスの改訂
１．５ 連邦政府防衛の現代化

第二の柱 脅威主体の阻止と解体（Disrupt and Dismantle）
２．１ 連邦政府による阻止活動の統合
２．２ 敵対者を阻止するための官民の運用協力の強化
２．３ インテリジェンス・シェアリング及び被害通知の加速と規模拡大

２．４ 米国内に存在するインフラの悪用阻止
２．５ サイバー犯罪への対抗、ランサムウェアの打倒

第三の柱 セキュリティ及び強靱性強化のための市場原理の形成
３．１ データ管理者の説明責任を果たさせる
３．２ 安全なIoTデバイス開発の推進
３．３ 安全性に問題のあるソフトウェア及びサービスに対する法的責任の転嫁

３．４ 安全を確保した設計に対する連邦政府の補助金及びその他のインセンティブの活用
３．５ 説明責任を向上させるための連邦政府調達の活用
３．６ 連邦政府によるサイバー保険安全措置の検討

第四の柱 強靱な未来（Resilient Future）への投資
４．１ インターネットの技術的基礎の安全確保
４．２ サイバーセキュリティーのための連邦政府の研究開発の再活性化
４．３ ポスト量子に対する備え

４．４ クリーンエネルギーの将来性の確保
４．５ デジタル・アイデンティティー・エコシステムの発展の支援
４．６ サイバー人材強化のための国家戦略の策定

第五の柱 共通の目標を追求する国際パートナーシップの形成
５．１ デジタル・エコシステムに対する脅威に対処するコアリションの形成
５．２ 国際的なパートナーの能力の強化
５．３ 同盟国及び同志国を支援する米国の能力の拡大

５．４ 国家の責任ある行動についてのグローバルな規範の強化のためのコアリションの形成
５．５ 情報、通信並びにオペレーショナルテクノロジー製品及びサービスのグローバルサプライチェーンの安全確保
2

米国サイバー戦略 （令和5年3月3日）⚫ ２０２３年３月２日（現地時間）、米ホワイトハウスは、４年４ヶ月ぶりに「国家サイバー戦略」を公表。社会全体のデジタル技術への依存度の高まりや、中国、ロシア、イラン、北朝鮮及び非国家主体の悪意あるサイバー活動による、米国の安全保障や経済的への影響を踏まえ、以下の５つを柱として構成。
⚫ これらの柱を実現するため、①消費者や中小企業等の特定のプレイヤーに過度に依拠せず、重要システムの開発主
体に取組を要請、②目先の脅威への対応にとらわれるのではなく、デジタルインフラの強靱化に向けた取組にインセンティブを付与する等により、長期的な防御能力を高めることの２点を挙げている。
第一の柱 重要インフラの防護１．１ 国家の安全保障や公共の安全を支えるサイバーセキュリティ要件の確立
１．２ 官民協力の拡大
１．３ 連邦政府のサイバーセキュリティーセンターの統合

１．４ 連邦政府のインシデント対応計画及びプロセスの改訂
１．５ 連邦政府防衛の現代化

第二の柱 脅威主体の阻止と解体（Disrupt and Dismantle）

政権はIoTセキュリティ・ラベリング・プログラムの開発を引き続き推進する予定

２．１ 連邦政府による阻止活動の統合
２．４ 米国内に存在するインフラの悪用阻止である。 IoTセキュリティラベルの拡大を通じて、消費者はさまざまなIoT製品が提２．２ 敵対者を阻止するための官民の運用協力の強化
２．５ サイバー犯罪への対抗、ランサムウェアの打倒供するサイバーセキュリティ保護を比較できるようになり、IoTエコシステム全体でセ
２．３ インテリジェンス・シェアリング及び被害通知の加速と規模拡大

キュリティを強化するための市場インセンティブが生まれる。

第三の柱 セキュリティ及び強靱性強化のための市場原理の形成
３．１ データ管理者の説明責任を果たさせる
３．２ 安全なIoTデバイス開発の推進
３．３ 安全性に問題のあるソフトウェア及びサービスに対する法的責任の転嫁

３．４ 安全を確保した設計に対する連邦政府の補助金及びその他のインセンティブの活用
３．５ 説明責任を向上させるための連邦政府調達の活用
３．６ 連邦政府によるサイバー保険安全措置の検討

第四の柱 強靱な未来（Resilient Future）への投資
４．１ インターネットの技術的基礎の安全確保
４．４ クリーンエネルギーの将来性の確保⚫ ソフトウェアを保護するための合理的な予防措置を講じなかった事業者に４．２ サイバーセキュリティーのための連邦政府の研究開発の再活性化
４．５ デジタル・アイデンティティー・エコシステムの発展の支援責任を負わせることを開始しなければならない。
４．３ ポスト量子に対する備え
４．６ サイバー人材強化のための国家戦略の策定⚫ 政権は、議会や民間部門と協力して、ソフトウェア製品とサービスの責任を確立する法律を策定する。
第五の柱 共通の目標を追求する国際パートナーシップの形成

５．１ デジタル・エコシステムに対する脅威に対処するコアリションの形成
５．２ 国際的なパートナーの能力の強化
５．３ 同盟国及び同志国を支援する米国の能力の拡大

５．４ 国家の責任ある行動についてのグローバルな規範の強化のためのコアリションの形成
５．５ 情報、通信並びにオペレーショナルテクノロジー製品及びサービスのグローバルサプライチェーンの安全確保
3

【米国】U.S. Cyber Trust Mark（検討中）⚫ FCC（米連邦通信委員会）が2023年8月にNPRM（立法案公告）を公表した、任意のラベリング制度。
米時間9月25日までパブコメを実施。
⚫ 想定対象は「消費者用IoT機器」（詳細は下記）。ラベリングを得た機器とその機器に関する情報を全国登録簿に掲載し、ラベルに付随するQRコードを通じて全国登録簿が参照できるような仕組みを想定。
⚫ 今までNIST(米国立標準技術研究所）が公表してきた基準に基づく見込み。なお、消費者向けルーター（consumer grade router）については、NISTが特別にそのセキュリティ要件を定義する予定。
⚫ 2024後半の運用開始を目指す。
米FCC NPRM（立法案公告）の主な内容【対象について】
以下２つを満たすものを提案。
(1) 物理的世界と直接相互作用するための、1つ以上のトランスデューサー（センサーまたはアクチュエーター）を備え、意図的にラジオ
周波数を放出することができる（※intentional radiatorに限定）インターネット接続デバイス(2) デジタル世界と相互作用するための、1つ以上のネットワークインターフェース（Wi-Fi、Bluetoothなど）※ただし、FCCのCovered listや、米商務省のEntity List、米国防総省のList of Chinese Military Companiesの機器、またはその企業が生産する機器は対象外とする。
➢➢

対象をIoT「機器」とするべきか、NIST定義に基づくIoT「製品」とするべきか（IoT機器＋バックエンド、ゲートウエイ等必要な追加部品）「消費者」IoTに限定するべきか、「商業用」目的のものも含むべきか、対象は「使用方法」で判断するべきか。

【スキーム・体制について】
第三者機関としてCyber LABs（Cybersecurity Labeling Authorization Bodies）を設置することを提案。
【基準策定について】➢ NIST基準をどのように活用できるか。その他考慮するべき基準はあるか。
➢ よりリスクが高いIoT機器・機器の分類には、別途基準を策定するべきか。

4

国家のサイバーセキュリティの改善に係る米国大統領令の署名⚫ 2021年5月12日、バイデン大統領は、連邦政府機関におけるサイバーセキュリティ改善に係る大統領令に署名。
⚫ 官民での脅威情報の共有、ソフトウェアサプライチェーンセキュリティ対策の強化、ゼロトラストアーキテクチャへの移行等を通じて、連邦政府機関のサイバーセキュリティ対応能力の向上を図っている。

本大統領令における主な指示事項
1

2

官民の脅威情報共有における障害の除去 (Section 2)⚫

ITサービスプロバイダーが連邦政府と確実に脅威情報を共有できるようにした上で、特定のインシデント情報の共有を義務づける。

連邦政府におけるより強力な標
準の近代化と導入 (Section 3)⚫

FedRAMP改定等を通じて、連邦政府が安全なクラウド及びゼロトラストアーキ
テクチャに移行することを支援し、多要素認証と暗号化の導入を義務づける。

⚫

NISTを通じて政府が調達するソフトウェアの開発に関するセキュリティ基準(安全な開発環境の確保や構成要素に関する詳細（SBOM）の開示等を含む)を確立し、特に重要なソフトウェアに対して一定の対策を義務づける。
商務省は、既存のラベル表示などを参考にして、消費者向けの情報提供に関するパイロット制度を開始する。

3

ソフトウェア・サプライチェーンのセキュリティ向上 (Section 4)4

5

6

サイバー安全審査委員会の創設 (Section 5)
インシデント対応のための標準
プレイブックの策定 (Section 6, 7)
調査及び修復能力の向上(Section 8)（出典）各種公開情報より作成⚫
⚫

国土安全保障省は、重大なインシデントが生じた際に政府と民間事業者が共同議長を務める「サイバー安全審査委員会」を設置し、サイバーセキュリティ向上に向けた具体的な提言を行う権限を与える。

⚫

国土安全保障省は、連邦政府機関によるインシデント対応のためのプレイブックを策定する。
連邦政府機関は、エンドポイント検知・対応(EDR)イニシアチブを展開し、インシデントの検知、積極的なサイバーハンティング、有事対応をサポートする。

⚫
⚫

連邦政府機関に対してセキュリティイベントログの要件を設け、侵入を検知し、対処する組織能力の向上を支援する。
5

【米国】大統領令におけるソフトウェア・サプライチェーンに関するタイムライン⚫ 大統領令では、ソフトウェア・サプライチェーンの確保に向け、NISTが中心となりガイドラインを策定する旨を指示しており、このガイドラインには製品購入者に対するSBOM提供に関する項目も含まれる。
⚫ また、NISTに対して、NTIAと連携してSBOMの最小要素を公表することを指示している。
⚫ 将来的には、公開されたソフトウェア・サプライチェーンに関するガイダンスの要求事項に基づき、連邦政府のソフ
トウェア調達に関するFAR（連邦調達規則）が改正される予定である。
2021.5.12

大統領令の署名2021.6.25「重要なソフトウェア」の定義の公表

2021.7.9
2021.7.12「重要なソフトウェア」のセキュリティ対策に係るガイダンスの公開
ソフトウェア検証の最低基準に関するガイドラインの公表 NISTNTIASBOMの最小要素の公表 NIST

2021.7.25まで「重要なソフトウェア」の定義を満たすソフトウェア製品のカテゴリを特定し、政府機関に通知

2021.8.10

NISTが公開した重要なソフトウェアのセキュリティ対策に関するガイダンスを、各省庁が遵守することを求めるための措置を講じる

2021.10.28

ソフトウェアサプライチェーンのセキュリティを強化するための予備的なガイドラインの公表

2022.2.4

ソフトウェアサプライチェーンのセキュリティを強化するための指針を示すガイダンスの公表

2022.3.8まで

大統領令以降に調達されたソフトウェアに関して、各省庁がNISTによる指針を遵守するための適切な措置を講じる

2022.5.8まで「予備的なガイダンス」の定期的な見直し・更新のための手順を含む追加のガイドラインの公表

2022.5.12まで

FAR審議会に対し、各省庁が購入可能なソフトウェアサプライヤーに対する上記ガイダンスに基づく要求事項の遵守と、遵守の証明を義務付ける契約文言を勧告 DHS(現状、期限の
指定なし)

NIST

DoD

DHS

OMB
NIST

DHS

OMB

DHS

DHS

NIST
OMB

NIST

FAR審議会
DHSによる勧告の検討、FARの改正
FAR改正に伴い、FARの要件を満たさないソフトウェア製品を調達契約から削除

NIST
OMB

NIST

各省庁

出所）White House, “Executive Order on Improving the Nation’s Cybersecurity” https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-onimproving-the-nations-cybersecurity/ , NIST, “Executive Order” https://www.nist.gov/itl/executive-order-improving-nations-cybersecurity/executive-order6

【米国】各省庁における「重要なソフトウェア」の対策実装に向けた覚書⚫ 2021年8月、OMBは、各省庁に対し、各省庁が利用・調達している「重要なソフトウェア」を60日以内に特定し、当該ソフトウェアに対して必要なセキュリティ対策を1年以内に実装することを指示した覚書に署名した。
⚫ 各省庁のセキュリティ対策にあたって、NISTが7月9日に公開したガイダンスに遵守することを求めた。

⚫ また、NISTやCISAに対して、「重要なソフトウェア」に含まれるソフトウェアカテゴリの定義や、当該ソフトウェ
アのセキュリティ対策に係るガイドラインを必要に応じて更新することを要求した。
「重要なソフトウェア」のセキュリティ対策実装に向けた要件一覧
要求先

各省庁

要件

期限

使用中または調達中のすべての「重要なソフトウェア」を特定する。

本覚書発行後、60日以内■初期フェーズ
セキュリティ上重要な機能を備えている、もしくは攻撃された場合に重大な危害の可能性があるスタンド
アロンやオンプレミスの「重要なソフトウェア」を対象に、NISTのガイダンスに記載されたセキュリティ対策※を実装する。

本覚書発行後、1年以内■後続フェーズ
今後、NISTが「重要なソフトウェア」のセキュリティ対策に係るガイダンスを更新した場合に、「重要なソフ
トウェア」に対して当該ガイダンスに記載された対策を実装する。

NISTによるガイダンスの更新後、1年以内

今後、CISAが「重要なソフトウェア」に新たなソフトウェアカテゴリを追加した場合に、NISTのガイダンスに記載されたセキュリティ対策を実装する。
【新たに対象となるソフトウェアの候補】
データへのアクセスを制御するソフトウェア、ソフトウェア開発ツール、OTのソフトウェアコンポーネント 等

CISAによる「重要なソフトウェア」の定義更新後、
1年以内

NIST

「重要なソフトウェア」の定義と、当該ソフトウェアのセキュリティ対策に係るガイダンスを更新する。

必要に応じて

CISA「重要なソフトウェア」の定義に含まれるソフトウェアカテゴリのリストを更新する。

必要に応じて※ NISTが2021年7月9日に公開した、「重要なソフトウェア」のセキュリティ対策を示すガイダンスに記載されたセキュリティ対策を意味する。
なお、本覚書で要求されているとおり、当該ガイダンスの内容は今後更新される可能性があることに留意。
出所）OMB, “Protecting Critical Software Through Enhanced Security Measures”
https://www.whitehouse.gov/wp-content/uploads/2021/08/M-21-30.pdf

7

【米国】セキュアなソフトウェアを開発するためのフレームワーク（SSDF）⚫ 2022年2月、NISTは、ソフトウェアの脆弱性を軽減するためのソフトウェア開発者向けの手法をまとめたフレームワークであるSSDF（Secure Software Development Framework）のVer. 1.1を公開。
⚫ 各手法は4つに分類され、手法を実践するためのタスクが体系化。各手法の実践により、脆弱性を低減するとともに、未対処の脆弱性が悪用された場合の影響を軽減し、脆弱性の再発を防ぐ根本原因に対処可能。
⚫ また、大統領令の記載事項とSSDFの手法との対応関係を整理。大統領令の記載事項に対処するために、
SSDFを活用可能であるとしている。
セキュアなソフトウェアを開発するための手法をまとめたフレームワーク（SSDF）
分類

手法

1. 組織の準備（PO）
ソフトウェアを開発する組織は、組織レベルで安全なソフト
ウェアの開発を行うために、適した人材、プロセス、技術を準備する必要がある。

•
•
•
•
•

ソフトウェア開発におけるセキュリティ要件を定義する（PO.1）
ソフトウェア開発における役割と責任を明確化する（PO.2）
ソフトウェア開発を支援するツールチェーンを明確化する（PO.3）
ソフトウェアのセキュリティを確認するための基準を定義し、活用する（PO.4）
ソフトウェア開発のための安全な環境を導入し、維持する（PO.5）

2. ソフトウェアの保護（PS）• あらゆる形態のコードを不正アクセスや改ざんから保護する（PS.1）
ソフトウェアを開発する組織は、ソフトウェアのすべてのコン• ソフトウェアリリースの完全性を検証する仕組みを提供する（PS.2）
ポーネントを、改ざんや不正アクセスから保護する必要がある。 • 各ソフトウェアのリリースをアーカイブ化し、保護する（PS.3）
3. 安全なソフトウェアの開発（PW）
ソフトウェアを開発する組織は、脆弱性を最小限に抑え、十分なソフトウェアを備えたソフトウェアをリリースする必要があ
る。

•
•
•
•
•
•
•
•

セキュリティ要件を満足するとともにセキュリティリスクを軽減できるよう、ソフトウェアを設計する（PW.1）
ソフトウェア設計をレビューし、セキュリティ要件やリスクへの適合性を検証する（PW.2）
実現可能な場合、機能を重複させずに既存の保護されたソフトウェアを再利用する（PW.4）
セキュアコーディングのプラクティスを遵守してソースコードを作成する（PW.5）
実行可能なセキュリティを向上させるために、コンパイル、インタプリター及びビルドプロセスを構築する（PW.6）
コードをレビュー・分析することで、脆弱性を特定し、セキュリティ要求事項への準拠を検証する（PW.7）
実行コードをテストして脆弱性を特定し、セキュリティ要求事項への準拠を検証する（PW.8）
ソフトウェアをデフォルトで安全な設定とする（PW.9）

4. 脆弱性への対応（RV）
ソフトウェアを開発する組織は、リリースするソフトウェアに残存する脆弱性を特定し、適切に対応する必要がある。

• 脆弱性に対する継続的な把握と確認を実施する（RV.1）• 脆弱性の評価、優先順位付け及び修正を実施する（RV.2）• 脆弱性を分析することで、その根本原因を特定する（RV.3）※ PW.3はPW.4の手法に統合されたため、定義されていないことに留意。また、PS.3のタスクの一つとして、SBOM等を用いたコンポーネントリストの生成・維持・共有に関するタスクが含まれている。
出所）NIST, SP 800-218 Secure Software Development Framework (SSDF) Version 1.1: Recommendations for Mitigating the Risk of Software Vulnerabilities
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218.pdf

8

【米国】ソフトウェアサプライチェーンの確保に関する覚書の発行⚫ 2022年9月14日、OMBは、安全なソフトウェア開発手法の実装を通じたソフトウェアサプライチェーンの確保に関する覚書を発行した。
⚫ 各省庁等の機関に対して、本覚書発行後一定期間内に、機関が使用するソフトウェアの目録作成や、NISTのガイダンスに基づく自己適合証明書をソフトウェアベンダーに要求することなどが求められている。
⚫ なお、SBOMに関しては、適合証明のために必要に応じてソフトウェアベンダーからSBOMを入手することができるとして推奨の位置付けとしている。

覚書の概要
政府関係機関は、安全なソフトウェア開発手法（SSDF）の実装を証明できるソフトウェアベンダーが提供するソフ
トウェアのみを使用すべきである。そのために、各機関の最高情報責任者（CIO）は、OMB及び最高調達責任者（CAO）と連携し、ソフトウェアベンダーによるSSDFの実装、実装の適合性を確保しなければならない。このために、機関は以下を実施する必要がある。
1. 機関は、ソフトウェア使用前に、SSDFの実装の適合性を証明する自己適合証明書の取得をソフトウェアベン
ダーへ要求する。
2. 機関は、必要に応じて、自己適合証明書に付随する成果物（SBOM等）をソフトウェアベンダーから入手することができる。
◼ 対象ソフトウェア：
ファームウェア、OS、アプリケーション、アプリケーションサービス（クラウドベースのソフトウェア）、ソフトウェアに使用されるOSS、ソフト
ウェアを使用する製品※ 機関によって開発されたソフトウェアや直接的に入手したOSSは対象外◼ 要件の適用範囲：
覚書発行日以降に開発されたソフトウェア（既存ソフトウェアのメジャーバージョンアップ含む）を機関が使用する場合に適用される。
出所）OMB, ” Enhancing the Security of the Software Supply Chain through Secure Software Development Practices”
https://www.whitehouse.gov/wp-content/uploads/2022/09/M-22-18.pdf

9【米国】ソフトウェアサプライチェーンの確保に関する覚書の更新⚫ 2023年6月、OMBは、安全なソフトウェア開発手法の実装を通じたソフトウェアサプライチェーンの確保に関する覚書（M-22-18）の内容を更新する新たな覚書（M-23-16）を発行した。
⚫ 本覚書では、機関がソフトウェアベンダーからSSDFに準拠していることを示す自己適合証明書の取得期限の延長のほか、M-22-18の要求事項の明確化や補足的なガイダンスについて示されている。
本覚書の記載概要
M-22-18によって連邦政府機関が求められているソフトウェアベンダーからの自己適合証明書の取得期限に関して、以下のとおり延長する。
自己適合証明書の取得期限の延長M-22-18の要求事項の明確化•「重要なソフトウェア」の自己適合証明書：•
当初予定：M-22-18発行後270日以内である2023年6月11日まで
延長後：CISAが発表した自己適合証明書フォームの承認後3ヶ月以内

すべてのソフトウェアの自己適合証明書
当初予定：M-22-18発行後1年以内である2023年9月14日まで
延長後：CISAが発表した自己適合証明書フォームが承認後1年以内•

サードパーティコンポーネントに対する自己適合証明書の取得について
自己適合証明書は、機関が使用するソフトウェアの最終ベンダーから取得されなければならない。そのため、機関は、使用するソフトウェアに組み込まれる
サードパーティコンポーネントのベンダーから自己適合証明書を取得する必要はない。

•

無償で入手可能なプロプライエタリソフトウェアと一般に公開されているソフトウェアに対する自己適合証明書の取得について
一般に無償で入手可能なプロプライエタリソフトウェアは自己適合証明書の取得の対象外とする。また、一般に公開されているWebブラウザ等のソフトウェ
アについても、自己適合証明書取得の対象外とする。ただし、機関は、このようなソフトウェアのリスクを評価し、適切な対処を講じなければならない。
なお、自由に入手可能な場合でも、無償で入手できないソフトウェアのデモやパイロット版は自己適合証明書の取得の対象となる。

•

連邦政府の請負業者によって開発されたソフトウェアに対する自己適合証明書の取得について
連邦契約の下で開発されたソフトウェアが、M-22-18において対象外としている「機関によって開発されたソフトウェア」に該当するかは、機関がソフトウェア
開発ライフサイクルを一貫して、安全なソフトウェア開発手法を実践することを実行できるかによる。

ソフトウェアベンダーが自己適合証明書フォームに記載された事項の実施を証明できない場合であっても、証明できない事項を特定し、リスクを軽減するための実施事項を文書化し、自己適合証明書フォームの提出までの行動計画・マイルストーン（POA&M）を提出することで、機関はそのソフトウェアの使用が許可されている。本内容に関して、以下のとおり補足的なガイダンスを示す。
ソフトウェアベンダーが自己適合証明できない場合における補足的なガイダンス•

機関は、自己適合証明の期限延長をOMBへ申請しなければならない。

•

リスクを軽減するための実施事項をまとめた文書が不十分またはPOA&Mが未提出の場合は、機関はソフトウェアの使用を中止しなければならない。また、機関が自己適合証明の期限延長を申請しない場合は、提出されたPOA&Mは有効とならず、機関はソフトウェアの使用を中止しなければならない。

•

自己適合証明できず、複数機関が影響を受ける場合、OMBは主導機関を指定し、主導機関に対して自己適合証明に関する調整・管理を要求する。

また、本覚書発行後1年以内に、OMBは、各機関のPOA&Mの承認、自己適合証明の期限延長（免除含む）に関する状況把握を開始する。
出所）OMB, ”Update to Memorandum M-22-18, Enhancing the Security of the Software Supply Chain through Secure Software Development Practices”
https://www.whitehouse.gov/wp-content/uploads/2023/06/M-23-16-Update-to-M-22-18-Enhancing-Software-Security.pdf

10EUにおけるIoT機器のセキュリティ政策の動向⚫ 欧州では、IoT機器を含む製品の認証スキームが検討されているほか、無線機器に対するセキュ
リティ対策が2024年8月から義務化される予定。
•

欧州全体のIoT機器の安全性確保に向けた近年の代表的な取組として、2019年に「EUサイバー
セキュリティ法」が施行。欧州でのIoT機器を含む製品の認証スキームであるEUCC（Common
Criteria based European Candidate Cybersecurity Certification Scheme）が検討。

•

無線機器に関する「EU無線機器指令（RED）（2014/53/EU）」にセキュリティに関する要件が追加され、2024年8月から欧州で販売する無線機器に対するセキュリティ対策が義務化される。

•

加えて、2022年9月にEU市場に投入されるデジタル製品のセキュリティ対応を義務付ける「EUサイバーレジリエンス法」の草案を発表。2025年後半の施行を予定しており、対象製品の上市にあたってはセキュリティ要件への適合性証明（自己適合宣言もしくは第三者認証）が求められる。
EU無線機器指令（RED）（2014/53/EU）（2022年2月発行、2024年8月より義務化予定）• 2022年1月12日、欧州委員会は、Radio Equipment Directive（欧州無線機器指令）のサイバーセ
キュリティ関連条項の施行に関する委任規則（EU）2022/30が発行し、EU市場に投入される無線機器に対してセキュリティの強化を求めた。
• 具体的な規則は2024年8月1日より義務化。
• 対象機器について、直接・間接問わずインターネットに接続される無線機器が対象となる。
11

EUサイバーレジリエンス法（草案）⚫ 2022年9月に草案提出。2023年後半の発効、2025年後半の適用を目指す。
⚫ 例外を除き、デジタル要素を備えた全ての製品が対象。SBOM作成や更新プログラム提供等セキュリ
ティ要件への適合（自己適合宣言/第三者認証）が求められる。
⚫ 重要なデジタル製品について、低リスク製品でEUCCやEN規格対象外の製品は第三者認証を、高リスク製品には第三者認証を求める。（中小企業の認証手続き減額）⚫ 適合性評価証明書にはEU適合宣言書（CEマーク）/EUCC証明書を用いる。
⚫ 脆弱性の悪用やインシデント発見後24時間以内にENISAへの報告を義務化。
⚫ 罰則あり。（最高1,500万ユーロ又は当該企業の全世界売上高の2.5％以内）【対象】デジタル要素を備えた全ての製品

注：EUCCとは、IoT製品を対象とする欧州サイバーセキュリティ認証。
EN規格とは、欧州整合化規格

・デバイスやネットワークに直接的/間接的に接続されるものも含む。
・医療機器規則、体外診断用医療機器規則、民間航空機規則、自動車の型式承認規則の対象製品は適用除外。
・国家安全保障に関するデジタル製品や軍事目的・機密情報処理目的のものは除外。
・SaaSなどのソフトウェアサービスは対象外。研究開発目的のOSSなども対象外。

【適合性評価】使用環境等のリスクレベル毎に以下を求める。
➢「デジタル製品」
・・・ 自己適合宣言か第三者認証を選択➢「重要なデジタル製品」のうちクラスI（低リスク）・・・EUCCやEN規格の対象外は第三者認証➢「重要なデジタル製品」のうちクラスII（高リスク）・・・第三者認証【適合性評価証明書】

・EU適合宣言書（CEマーク）に基づく証明書
・EUCCに基づく証明書（必要に応じてEUCCを必要とする製品を指定）※この他、市場サーベイランスも行われる。
※第三国（日本も含む）との相互承認も可能。※条文上は見当たらず。

CEマーク

12

重要なデジタル製品

以下の各クラスに規定された要素を主に有するデジタル製品

クラスI(低リスク)第三者認証(EUCC,EN規格以外）
1. ID管理システム、アクセス管理ソフト
2. スタンドアロン型/組込み型ブラウザ
3. パスワードマネジャー
4. マルウェア検知・削除・隔離ソフトウエア
5. VPN機能を持つ製品
6. ネットワーク管理システム
7. ネットワーク・コンフィグレーション管理ツール
8. ネットワーク・モニタリングシステム
9. ネットワーク・リソース管理
10. SEIM（セキュリティ情報イベント管理）
11. ブートマネジャーを含む更新・パッチ管理
12. アプリケーション構成管理システム
13. リモートアクセス/共有ソフトウェア
14. モバイル機器管理ソフトウェア
15. 物理ネットワークインターフェイス
16. OS（クラスII製品以外）
17. ファイアウォール、侵入検知・防止システム（産業用以外）
18. ルータ、モデム、スイッチ（産業用以外）
19. マイクロプロセッサ（クラスII製品以外）
20. マイクロコントローラ
21. NIS２指令の別添Iに示される目的でのASIC、FPGA
22. PLC、DCS、CNC、SCADAなどの産業用自動化制御システム（IACS）（クラスII製品以外）
23．産業用IoT（クラスII製品以外）

クラスII(高リスク) 第三者認証
1．OSであってサーバ、デスクトップ、モバイル機器用のもの
2．OSや同様の環境の仮想化を実施するためのハイパバイザー
及びコンテナー・ランタイム・システム
3．公開鍵インフラ及びデジタル証明書発行
4．産業用のファイアウォール、侵入検知・防止システム
5．汎用マイクロプロセッサ
6．PLCやセキュアエレメントへの統合を目的としたマイクロプロセッサ
7．産業用のルータ、モデム、スイッチ
8．セキュアエレメント
9．ハードウェア・セキュリティ・モジュール（HSMs）
10．セキュア暗号プロセッサ
11．スマートカード、スマートカードリーダー、トークン
12．産業用のPLC、DCS、CNC、SCADAなどの産業用自動化制御システム（IACS）
13．NIS２指令の別添Iに記載された重要エンティティが使用する産業用IoT機器
14．ロボットセンシング/アクチュエーターコンポーネント及びロボット
15．コントローラー
13英国におけるIoT機器のセキュリティ政策の動向⚫ 英国では、2018年に消費者向けIoT製品のセキュリティに関する行動規範が発表されたほか、消費者向けIoT製品に対する対策の義務化を求める法律の検討が進められている。
•

英国政府におけるIoT機器の安全性確保に向けた近年の代表的な取組として、2018年にDCMS（デジタル・文化・メディア・スポーツ省）が、消費者向けIoT製品のセキュリティに関する13の行動規範である「Code of Practice for Consumer IoT Security」を公開した。

•

DCMSは本規範をEU全体に普及させるべく技術仕様の国際標準化をETSIに提案し、本規範に基づく欧州規格であるEN 303 645が2019年11月に発表された。

•

また、消費者向けIoT製品に対してセキュリティ対策の義務化を求める法律（Product Security
and Telecommunications Infrastructure）の検討が現在進められている。
Code of Practice for Consumer IoT Security（2018年10月）• 消費者向けIoT製品のセキュリティに関する13の行動規範で、消費者向けIoT製品の設計段階で安全性が確保されるよう、また利用者がデジタルの世界を安心して楽しめるようにガイドラインを設けることで、IoT製品の開発、製造、販売に携わる利害関係者を支援することを目的としている。
• 対象製品について、インターネットやホームネットワーク（両方又はその一方）と関連サービスに接続する消費者向けIoT製品を対象としている。
• 英国DCMSは本行動規範をEU全体に普及させるべく、技術仕様の国際標準化をETSIに提案。ETSIはこの提案に基づき、2019年11月に、EN 303 645として欧州規格化。ETSI EN 303 645はフィンランド、
ドイツ、シンガポールのラベリング制度のベースとなっている。

14

IoT製品適合性評価関係の各国制度
法規制
米国【カリフォルニア州】SB-327 Information privacy: connected devices【オレゴン州】HB-2395 (2019) Oregon Cybersecurity Bill• 他の法令やガイダンスに基づくセキュリティ要件の対象となっている製品を除くインターネットに接続される機器が対象• IoT機器を販売するメーカーに対し、パスワードの管理等を含む合理的なセキュリティ機能を具備することを要求• 【オレゴン州のみ】セキュリティ対策違反を起こした場合、調査措置や差止命令が行われる可能性があるほか、故意に違反していると判断された場合には、最高25,000ドルの罰金の支払いが命じられる可能性がある

EU
Cyber Resilience Act（CRA） (草案提出中)• 一部例外を除きデジタル要素を備えた全ての製品に対して、EU全域に水平的なサイバー
セキュリティ要件を課す内容（罰則あり）• 主として、製造業者への①上市前の設計製造に関する義務、②上市後の報告義務に代
別される。

日本
端末設備等規則（総務省令）• 電気通信事業者のネットワーク（インターネット等）に直接接続するIoT製品。
• 間接的にネットワークに接続するIoT機器（ホームネットワークのみに繋がるスマートホーム機器、等）は対象外。

英国
Product Security and Telecommunications Infrastructure (PSTI) Act
2022（2024年4月開始予定）• インターネットもしくはネットワークにつながる製品に対して、セキュリティ対策を義務化する内容（罰則あり）• 今後、下位法令にて具体的な内容が規定される。

Radio Equipment Directive（RED）（2024年8月から）• 直接又は間接にインターネットに接続する無線製品が対象• ①ネットワーク・機能の損害/ネットワーク・リソース悪用/許容できないサービス低下の防止、②個人データ・プライバシー保護、③不正行為からの保護サポートを要求予定

任意制度（認証、ラベリング）
米国
U.S. Cyber Trust Mark Program（検討中）• 消費者向けIoT機器に対する任意の認証制度を2024年内に開始予定。
• 中でも消費者向けルーターは個別に要件策定がなされている。

EU
EU Cybersecurity Certification (EUCC) （検討中）• ICT製品を対象とするCommon Criteria（ISO/IEC 15408）及び関連する共通評
価方法（ISO/IEC 18045）に基づく認証スキーム

ドイツ
IT-Sicherheitskennzeichen (IT Security Label) （導入済）• ブロードバンドルーター、電子メールサービス、スマートテレビ、スマートスピーカー等の消費者向
けIoT製品を対象相互運用を実施
• 2022年8月22日時点（制度開始後8ヶ月）で34製品・サービスがラベルを取得

シンガポールCybersecurity Labelling Scheme (CLS) （導入済）• すべての消費者向けIoT製品を対象とする任意の認証制度。４段階の認証がある。
• 2022年8月22日時点（制度開始後22ヶ月）で206製品がラベルを取得

オーストラリア
Labelling for Smart Devices（検討中）• インターネットやホームネットワークに接続される前提で開発されたすべての消費者向けのスマートデ
バイスを対象として検討中

相互運用を実施
フィンランドFinnish Cybersecurity Label（導入済）• インターネットに接続され、デジタル形式でデータを処理・伝送する製品・サービスを対象• 2022年8月22日時点（制度開始後33ヶ月）で14製品がラベルを取得

15

１．諸外国の動向
２．サイバー・フィジカル・セキュリティ対策フレームワークとその具体化

２．１ IoTセキュリティ関連
２．２ ソフトウェアセキュリティ関連

２．３ OTセキュリティ関連
２．４ データセキュリティ関連

16

経済産業省におけるサイバーセキュリティ政策の全体像⚫ サイバー攻撃の高度化・多様化が生じている現状を認識しつつ、我が国産業界へのサイバー攻撃を
抑制・防御し、事業活動への影響を最小化する。そのために国が行うべき政策を企画・実行する。
⚫ その上で、サイバーセキュリティの確保に向けた各種の取組を、我が国産業競争力の強化につなげる。
①サプライチェーン全体での対策強化⚫ サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）の具体化・実装⚫ 経営ガイドラインの活用促進⚫ 国境を越えて行われるサイバー
攻撃へのJPCERT/CCの対処能力の向上

サイバー攻撃事案の調整件数（年度集計）⚫ 重要インフラ事業者等での事
案発生時の初動支援を行う
J-CRATの体制強化⚫ サイバーセキュリティお助け隊
サービスの普及促進⚫ 重要インフラ等を守る高度セ
キュリティ人材の育成（中核人材育成プログラム）⚫ 日米欧によるインド太平洋
地域向けの能力構築支援③政府全体でのサイバーセキュリティ対応体制の強化⚫ 改正保安３法を踏まえた事
故調査体制の構築
産業サイバーセキュリティセンター
Industrial Cyber Security
Center of Excellence (ICSCoE)②国際連携を意識した認証・評価制度等の立上げ⚫ IoT適合性評価制度の検討、国際制度調和に向けた調整⚫ SBOM（Software Bill of Materials）の
SBOMの概念的イメージ
活用促進⚫ QUAD上級サイバー会合、
G7等を通じた各国間連携⚫ サイバー攻撃被害情報の共有促進に向けた検討④新たな攻撃を防ぎ、守るための研究開発の促進（サイバーセキュリティ産業新興）⚫ 先進的サイバー防御機能・分析能力の強化⚫ セキュリティ産業の成長加速化、製品/サービスの国内自給率向
上に向けた政策検討

17

産業サイバーセキュリティ研究会とWGの設置による検討体制
産業サイバーセキュリティ研究会
第１回：平成29年12月27日 開催
第２回：平成30年 5月30日 開催
アクションプラン（４つの柱）を提示

第３回：平成31年 4月19日 開催

ＷＧ１（制度・技術・標準化）

アクションプランを加速化する３つの指針を提示

第４回：令和2年

4月17日 開催（電話開催）

１．サプライチェーン強化パッケージ

産業界へのメッセージを発信

第５回：令和2年

6月30日 開催

サイバーセキュリティ強化運動の展開

第６回：令和３年

４月２日 開催

ＷＧ２（経営・人材・国際）

アクションプランの持続的発展と、新たな課題へのチャレンジへ

第７回：令和４年

4月11日 開催

産業界へのメッセージを発信
構成員

大林 剛郎 日本情報ｼｽﾃﾑ･ﾕｰｻﾞｰ協会会長、
株式会社大林組代表取締役会長

櫻田 謙悟 経済同友会代表幹事、ＳＯＭＰＯホールディングス
グループＣＥＯ取締役 代表執行役社長
篠原 弘道 日本電信電話株式会社取締役会長

第１回 平成30年3月16日
第２回 平成30年5月22日
第３回 平成30年11月9日
第４回 平成31年3月29日
第５回 令和2年1月15日
第６回 令和2年8月25日
第７回 令和3年2月18日
第８回 令和4年3月23日

２．経営強化パッケージ
３．人材育成・活躍促進パッケージ

泉澤 清次 三菱重工業株式会社取締役社長 ※2022年4月開催時点
遠藤 信博 日本経済団体連合会サイバーセキュリティ委員長、
日本電気株式会社取締役会長等

第１回 平成30年2月7日
第２回 平成30年3月29日
第３回 平成30年8月3日
第４回 平成30年12月25日
第５回 平成31年4月4日
第６回 令和2年3月（書面開催）
第７回 令和2年10月（書面開催）
第８回 令和3年３月15日
第９回 令和4年4月4日

ＷＧ３(サイバーセキュリティビジネス化)

第１回 平成30年4月4日
第２回 平成30年8月9日
第３回 平成31年1月28日
第４回 令和元年8月2日
第５回 令和2年3月(書面開催)
第６回 令和3年3月10日
第７回 令和4年4月6日

４．ビジネスエコシステム創造パッケージ

東原 敏昭 株式会社日立製作所取締役会長 代表執行役
船橋 洋一 一般財団法人アジア・パシフィック・イニシアティブ理事長
村井 純(座長)慶應義塾大学教授
渡辺 佳英 日本商工会議所特別顧問、大崎電気工業株式会社
取締役会長
オブザーバー

NISC、警察庁、金融庁、総務省、外務省、文部科学省、厚生労働省、農林水産省、国土交通省、防衛省、デジタル庁

産業サイバーセキュリティの加速化指針
１．『グローバル』をリードする
２．『信頼の価値』を創出する~Proven in Japan~
３．『中小企業・地域』まで展開する
18

分野別SWGにおけるサイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）の具体化と テーマ別TFにおける検討⚫ 7つの産業分野別サブワーキンググループ（SWG）を設置し、CPSFに基づくセキュリティ対策の具体化・実装を推進⚫ 分野横断の共通課題を検討するために、3つのタスクフォース（TF）を設置
産業サイバーセキュリティ研究会ＷＧ１（制度・技術・標準化）

標準モデル（CPSF）

Industry by Industryで検討(分野ごとに検討するためのSWGを設置)

ビルSWG

分
• 小売電気事業者ガイドライン策定(2021.2) 野
防衛産業SWG
横• 防衛産業サイバーセキュリティ基準の改訂を公表(2022.4)
断
自動車産業SWG
S• ガイドライン2.0版を公表(2022.4)
スマートホームSWG
W• ガイドライン1.0版を公表(2021.4)
G
宇宙産業SWG• ガイドライン第2版の策定(2023.4)『サイバー空間におけるつながり』の信頼性確保に向けたセキュリティ対策検討タスクフォース『第3層』 TF：

検討事項：
「協調的なデータ利活用に向けたデータマネジメント・フレームワーク」を公開。

電力SWG• 2023年３月にガイドラインVer1.1版を公表

工場SWG• ガイドラインVer1.0を公表（2022.11）

・・・

ソフトウェアTF： サイバー・フィジカル・セキュリティ確保に向けたソフトウェア管理手法等検討タスクフォース

検討事項：
OSSの管理手法に関するプラクティス集を策定、SBOM活用促進に向けた実証事業（PoC）を実施。

『第2層』 TF：『フィジカル空間とサイバー空間のつながり』の信頼性確保に向けたセキュリティ対策検討タスクフォース

検討事項：
フィジカル空間とサイバー空間のつながりの信頼性の確保するための「IoTセキュリティ・セーフティ・フレームワーク(IoT-SSF)」を公開。このIoT-SSFをわ
かりやすく理解するためのユースケースを新たに公開。
19

「Society5.0」の社会を見据えた対策の検討⚫ 「Society5.0」では、データの流通・活用を含む、より柔軟で動的なサプライチェーンを構成することが可能となる。一方で、サイバーセキュリティの観点では、サイバー攻撃の起点の拡散、フィジカル空間への影
響の増大という新たなリスクへの対応が必要となる。
⚫ サイバー・フィジカル・セキュリティ対策フレームワークを策定し、必要な対策を検討。
https://www.meti.go.jp/policy/netsecurity/wg1/cpsf.html

サイバー空間で大量のデー
タの流通・連携⇒データの性質に応じた管理の重要性が増大

フィジカル空間とサイバー空間の融合⇒フィジカル空間まで
サイバー攻撃が到達

企業間が複雑につながるサプライチェーン
⇒影響範囲が拡大

CPSFのモデル＜3層構造＞【第３層】
サイバー空間におけるつながり【第２層】
フィジカル空間とサイバー空間のつながり【第１層】
企業間のつながり＜6つの構成要素＞
ソシキ

ヒト

モノ

データ

プロシージャ

システム

Society5.0の社会におけるモノ・データ等の繋がりのイメージ

20

サイバー・フィジカル・セキュリティ対策フレームワークを軸とした各種取組⚫Society5.0における産業社会でのセキュリティ対策の全体枠組みを提示。
⚫全体の枠組みに沿って、対象者や具体的な対策を整理し、『サイバーセキュリティ経営ガイドライン』
や産業分野別のガイドラインなどの実践的なガイドラインを整備。
＜各種取組の大まかな関係＞
経営層

実務層（共通）実務層（産業分野個別）

サイバー・フィジカル・セキュリティ対策フレームワーク （2019年4月）

コ
ン
セ
プ
ト

第I部 サイバー空間とフィジカル空間が融合した産業社会におけるサイバーセキュリティの在り方
第II部 リスク源の洗い出し
第III部 対策要件と対策例集

サイバーセキュリティ
経営ガイドライン活用（Ver3.0：2023年3月）

3層：協調的なデータ利活用に向けたデータ
マネジメント・フレームワーク（2022年4月）
SW：OSS管理手法の事例集、SBOM実証事業

2層：IoTセキュリティ・セーフティ・フレームワーク（2020年11月）

経営プラクティス集（IPA）

具
体
的
対
策

中小企業の
情報セキュリティ対策
ガイドライン（IPA）（第3.1版：2023年４月）

支
援
ツ
ー
ル

（第3版：2022年3月）

サイバーセキュリティ体制構築・人材確保の手引き（第2.0版：2022年6月）

可視化ツール（ver2.1：2023年7月）

（（ ビ
共空
通調 ル
編編 分
第： 野
2２ の
版０ ガ
：２ イ
２２ ド
０年 ラ
２ 10 イ
３月
年） ン
4
月
）

（
第自
2動
．車
０分
版野
：の
２
０ガ
２イ
2ド
年ラ
4イ
月ン
）

ス
（マ
第ー
１ト
．ホ
０
版ー
：ム
２分
０野
２の
１ガ
年イ
４ド
月
）ラ
イ
ン

（
第
１工
．場
０分
版野
：の
２ガ
０イ
２
２ド
年ラ
11 イ
月ン
）

・・・

21

１．諸外国の動向
２．サイバー・フィジカル・セキュリティ対策フレームワークとその具体化

２．１ IoTセキュリティ関連
２．２ ソフトウェアセキュリティ関連

２．３ OTセキュリティ関連
２．４ データセキュリティ関連

22

IoT機器の利用拡大に伴い増加するリスクと、その経営への影響
ネットワークに接続される機器(IoT機器)は増加傾向、IoT機器を狙った攻撃は多い
600.0

400.0
200.0

億台

予測値

189.9 208.7 230.7

253.0 292.7

398.5
323.3 358.0

0.02017 2018 2019 2020 2021 2022 2023 2024

世界のIoT機器数の推移及び予測(※1)

IoT機器の利用数は増加IoT機器を狙った攻撃(31.5%)
その他の攻撃(68.5%)

不審な通信のうち約1/3はIoT機器を狙った攻撃[※1] 出所:総務省「情報通信白書令和4年版 データ集」(3章関連データ)[※2] 出所:NICT「NICTER観測レポート2022」
調査を除く攻撃パケットのうち、23/TCP、22/TCP、
ダークネットにおける年間観測パケット数の割合(※2)
5555/TCP、81/TCPへのパケットを集計。

IoTにおけるセキュリティインシデントが経営に大きな影響を及ぼす可能性が高まっている

操業停止や逸失利益の発生を含む事業への直接的な影響

脆弱性対応や損害賠償を含む
追加費用の発生

評判の低下等より生じる
競合優位性の低下

半導体製造工場の制御装置に対する攻撃によって、3日間の操業停止、営業機
会損失が発生(売上高(四半期)の3%損失)[台湾:2018]

脆弱性発見による自動車140万台のリコールの発生。脆弱性等の対応で、2億9900万ユーロ(約394億円)の赤字を計上(四半期の最終損益) [米国:2015]

高級ホテルで客室のカードキー発行システ
ムがランサムウェアに感染し、一切のシステ
ム操作が不可能となった。客室扉の施錠、開錠が不可能となり、宿泊客が閉め出される事態が発生。サービスの品質が著し
く低下 [オーストリア: 2017]

石油化学工場の安全計装システムを対象とした攻撃による操業停止。プラント爆
発のおそれ[サウジアラビア:2017][参考] 各公開情報を基に作成

23

IoT機器に対するセキュリティ対策の必要性⚫ DXの進展により、インターネットとIoT機器が繋がり始めたところであるものの、セキュリティ事件/事故による
IoT機器やOTシステムの一時停止を約25％の企業が経験。こうした機器やシステムでセキュリティ対策を多くの者が導入しているとは言い難い状況。
⚫ 機器に対する十分なセキュリティ対策が実施されず、脆弱性が残存した場合、悪意ある攻撃者によって不正操
作や誤作動が実行され、機器の利用者へ影響を及ぼす恐れ。
⚫ また、開発企業は脆弱性の対応に追われることとなる。過去には、脆弱性によりリコールや利用者による訴訟に発展した事例もあり、最悪の場合、開発企業の経営に対して影響を与える可能性もある。
⚫ 今後さらなる脅威の増加・高度化が想定されるところ、機器に対するセキュリティ対策の具備が不可欠。
2021年 国内企業のIoT/OTセキュリティ対策実態調査結果

セキュリティ対策の不備により開発企業に影響を及ぼした事例
自動車における脆弱性の検出による140万台のリコール
販売中の自動車に対して外部から不正アクセス可能な脆弱性が公開。
顧客からの問い合わせが殺到し、開発企業は140万台のリコール。リコールの対応には1,000万ドル以上の費用を要した。
心臓ペースメーカーにおける脆弱性の検出による46.5万台のリコール
販売中の心臓ペースメーカーに対して心拍リズムを外部から制御可能なな脆弱性が公。開発企業は市場に流通している46.5万台を対象にリコール。
脆弱な家庭用ネットワークカメラのメーカに対する訴訟
家庭用ネットワークカメラにおいて、認証不備に関する脆弱性が内在し、脆弱性を悪用した不正アクセスが行われた。不正アクセスの被害を受けた複数の利用者により、開発企業に対して500万ドルを求める集団訴訟が提起。

IDC 「2021年 国内企業のIoT/OTセキュリティ対策実態調査」 https://www.idc.com/getdoc.jsp?containerId=prJPJ47631521※ 調査実施：2021年2月、調査対象：国内企業443社

24

IoT適合性評価制度検討会

25

経産省においてIoT適合性評価制度検討会立ち上げ⚫ IoT機器の急増に伴い、IoT機器の脆弱性を狙ったサイバー脅威が高まってきたことから、IoT製品のセキュリティ対策を適切に評価し、適切な対策が講じられているIoT製品が広まる仕組みの構築が必要。また、我が国のIoT製品がグローバルマー
ケットから弾き出されないよう、諸外国の取組を考慮することが必要。
⚫ こうした観点で制度の検討を行うため、2022年11月より「IoT機器に対するセキュリティ適合性評価制度構築に向けた検討会」を３回開催し、2023年5月に中間報告をとりまとめた。委員は、学術界、法曹界、業界団体、企業、消費者団体から構成。オブザーバとして、関係省庁、研究機関、認証機関が参画。 2023年度中の最終報告に向け議論を継続中。
⚫ 国内での議論と並行して、米EU等の諸外国との制度調和を図るための国際的な対話も実施中。

中間報告（概要）
検討会において議論した事項⚫ 課題
ベンダ、利用者、国民の三者において、以下の課題が存在。
✓ ベンダ： 対策が評価されず製品価値に繋がらない。諸外国の制度対応負担が増加。
✓ 利用者： 適切な対策の製品が可視化されていないため、適切な製品を選べない。
✓ 国民：
適切でない製品が多く流通した場合、IoTがボット化するなどして、国内のシステムや国民生活に悪影響を及ぼす。
⚫ 構築すべき適合性評価制度✓ ベンダによる能動的なセキュリティ向上を促す観点や、特に中小企業の負担の観点から、まずは任意制度として制度を運用することが適当。ただし、制度の浸透具合や、諸外国の動向によっては、法令に基づく義務化の検討も必要になり得る。
✓ 対象製品範囲については、「間接的又は直接的にインターネットに接続する製品」とすることが適当。その上で、具体的な対象製品については今後要検討。

✓ 適合性評価基準については、国際的な標準を参照の上、国際的な標準と整合的な形で構築していくことが適当。その上で、具体的にいかなる製品にどのような基準を適用するかは今後要検討。
✓ 運用については、既存の評価スキームを活用した制度とすることが適当。その上で、具体的にどのようなスキームを活用すべきかは今後要検討。
今後議論が必要な事項

JISEC制度

上記に加え、政府の関与や検討体制のあり方、IoT製品ベンダーの能動的な制度活用を促す仕掛け、適合性評価済製品におけるセキュリティ事案への対応。
【IoT機器に対するセキュリティ適合性評価制度構築に向けた検討会】会議資料
ワーキンググループ3（IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会） （METI/経済産業省）
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_cybersecurity/iot_security/index.html

26

JISEC制度をベースとした適合性評価制度の全体像⚫ これまでの議論を踏まえ、本制度の各主体の適格性について、政府のガバナンスが効く構造が重要。かかる観点から、CC認証の知見があるIPAのJISEC認証制度（ITセキュリティ評価及び認証制度）を拡張する形の制度を構築予定。
⚫ 2023年度末までに要求基準・適合基準の検討およびルーター、スマート家電、ネットワークカメラ等を対象とした評価検証を行う予定。

政府（経産省）所管独法として監督所管独法として監督ガバナンス認定機関（NITE※3）

認証機関（IPA※3）

ISO/IEC 17025※1に基づく
適格性の付与・確認委員会
適合基準策定WG1

適合性評価の実施、評価報告書の提出
評価
機関
B

検証
事業
者C

・・・
申請、
自己適合宣言評価報告書等に基づく認証、適合性ラベルの付与

IoT製品ベンダー等※2

適合基準策定WG2

…

評価
機関
A

• 適合基準・評価手順の策定、提示• 製品類型・レベル毎の適合基準案の考え方の提示、整合性確認

適合基準案の策定、付議（製品類型毎の想定）
IoT製品に対する適合基準の策定、提示

評価機関・検証事業者の選定、評価依頼※1：ISO/IEC 17025（JIS Q 17025）は、試験所及び校正機関の試験・校正能力に関する一般要求事項を規定した国際標準であり、JISEC認証制度に基づくIT製品及びシステムのセキュリティ評価を行う試験事業者に求められる。なお、ISO/IEC 17065（JIS Q 17065）は、製品認証機関の認証能力に関する一般要求事項を規定した国際標準である。
※2：IoT製品を製造するベンダーだけでなく、海外からIoT製品を輸入・販売する輸入業者も含まれる。
※3：組織名称は制度発足時に変更となる可能性がある。

27

既存制度との関係性と評価方法⚫ CC認証のみを対象としている現行のJISEC認証制度を拡張し、本適合性評価制度を含む形の新たな枠組みを立ち上げる。
⚫ 最低限の適合性評価レベル(☆1)では自己適合宣言を許容しつつ、リスクの高い分野の製品には第三者評価を求める。

発展 JISEC（第三者評価※＋自己適合宣言）
既に国際的
な評価基準
に基づく相互承認が可能

現 JISEC認証制度

第三者評価

EDSA認証/
CSA認証

CC認証

（評価機関に能力審査・公正性・中立性が求められる）IoTセキュリティ適合性評価制度（本適合性評価制度）

今後国際的
な相互承認
に向けて調整が必要☆4

広範囲な脅威への対策（製品分野別A）
適合基準☆4☆3

中程度の脅威への対策（製品分野別A）
適合基準☆3☆2

限定的な脅威への対策（製品分野別A）
適合基準☆2☆1

最低限の脅威への対策

IT（製品分野別C）
適合基準☆3（製品分野別B）
適合基準☆2※ ☆２以上において、どの製品・どのレベルで第三者評価を求めるかは今後検討（製品分野別C）
適合基準☆2

自己適合宣言（検証事業者による評価）

自己適合宣言統一的な最低限の適合基準（☆1）

（自己評価
でよい）

OT

28

IoT機器等の開発時のセキュリティ向上

29

IoT機器に対する脆弱性検証の実証⚫ 令和３年度補正予算事業として、中小企業等が開発・販売するIoT機器の対策の現状を把握するとともに、セキュリティ検証の留意点や求められる対策を抽出するために、実証事業として、IoT機器の脆弱性検証を希望する中小企業等を募集し、74社・155製品に対して、IoT機器検証（ペネトレーションテスト等）を実施したほか、優れたIoTセキュリティ対策を行っている企業へのヒアリングを実施した。
※ 「中小企業」の定義は中小企業基本法に基づき、製造業であれば資本金3億円以下又は従業員数300人以下の企業を中小企業としている。

74

155

応募のあった製品のうち、
社・
製品に対し
て、
検証事業者による脆弱性検証を実施
申込み企業の意向や各検証事業者の実績・能力を踏まえ、各製品の検証を実施する検証事業者を割り当て【本実証事業における検証事業者】• 株式会社AGEST• 株式会社FFRIセキュリティ【74社の主な業種】【155製品の主な類型】• 製造業（電気機器器具、• ゲートウェイ・ルータ

一般機械器具、輸送用• ネットワークスイッチ

機械器具、出版・印刷等）• 卸売・小売業• 株式会社ラック• 情報サービス業• 株式会社ベリサーブ• 専門サービス業• 株式会社ユビキタスAI• 株式会社ベルウクリエイティブ

ル

• 通信業

• GMOサイバーセキュリティ by イエラエ株式会社• UTM・ファイアウォー• ネットワークカメラ• スマートロック• 産業用センサ• 産業用コントローラ

等• 産業用ロボット• サイバートラスト株式会社• ドローン• 株式会社SYNCHRO• 複合機• 大日本印刷株式会社• スマートメータ• 株式会社神戸デジタル・ラボ• スマート家電
等

30

検証の結果明らかになった脆弱性⚫ 155製品に対する検証の結果、計4,789件の脆弱性が検出された。
※脆弱性が検出されなかった製品もあった一方で、多いものでは１製品につき900件の脆弱性が検出された。

⚫ 検出された脆弱性のうち、約80%の脆弱性については、IoT機器に搭載されているソフトウェアのバージョンが古いこと等に起因する既知の脆弱性であった。これらの脆弱性が悪用された場合、導入している企業の業務やシステムが停止するおそれや、個人情報や機微情報などの重要情報が外部に漏えいするおそれがある。
⚫ また、実証に協力いただいた検証事業者からも、大手企業が開発・販売しているIoT機器と比較して、多くの脆弱性が検出されたことが指摘された※。
※本事業の検証結果では、１製品あたりの脆弱性件数について、大企業製品のみでは18.57件だったに対し、中小企業製品のみでは35.48件だった。

検証の結果明らかとなった脆弱性の件数検出された脆弱性の総数：

4,789件

ルーターにおいて検出された深刻度の高い脆弱性の悪用例
ルーターに搭載されている通信ソフトウェアのバージョンが古いと、処理能力を超える大量のデータや悪意あるデータを送られることでメモリの許容量を超えてしまう脆弱性（バッファオーバーフロー）に繋がり、この悪用されることで、サービス拒否を引き起こしたり、任意のコードが実行される可能性がある。この結果、ルーターの動作が停止し、ネットワークへの接続が遮断され、企業の業務やシステムが停止するおそれがある。
対策として、最新バージョンのソフトウェアにアップデートすることが必要となる。

細工したメッセージ
ルーターの
動作停止
インターネット

攻撃対象ルーター

攻撃者

ソフトウェアのバージョンが古いこと等に

3,813件起因する既知の脆弱性：

ネットワークの遮断⇓業務やシステムの停止
ルーターに接続する社内システム

31

IoT機器開発中小企業の効果的なセキュリティ対策事例⚫ 他方で、実証に協力いただいた中小企業の中には、IoT機器の開発段階から効果的なセキュリティ対策を進めている事例も見られた。

株式会社SYNCHRO（シンクロ）

IPカメラシステム“KATABAMI”
企業概要【取組内容】⚫ 株式会社SYNCHROは、セキュリティ設計が得意な開発請負業者とも連携し、開発初期の時点から、販売を行う前の最終的なセキュリ
ティ確認の際に、いかなる検証を行うべきかの仕様を定めている。

企業名

株式会社SYNCHRO

従業員数

10-19名所在地

東京都→セキュリティ機能が高く、かつ脆弱性が解消されている製品の出荷が可能に。
また、製品の機能やコンパクトさのみならず、セキュリティ機能を付加価値としてユーザに訴求することも可能に。

設立

2001年

主要製品

・静脈認証システム・アクセス制御機能付きキャビネット
・入退室＆ログオン管理連動システム
・共連れ検知システム※当該企業は、IoT製品の開発者コミュニティを地域で立ち上げ、企業間で知見を共有することで地域一体となった人材のレベルアップの実現にも貢献。

製品の特徴
1.ネットワーク・セキュリティの強化
暗号化通信機能の強化により「なりすまし」「中間者攻撃」等のサイバー攻撃を防御
2.コンパクト
処理能力も実装サイズもコンパクト、IoT機器への組み込みを容易に

3.ネットワーク自体でセキュリティを確保
アプリケーションではなくネットワークレイヤでセキュリティ機能を実装、様々なシステムへの応用が可能
32

IoT機器等を開発する中小企業向け製品セキュリティ対策ガイドの作成・普及⚫

このような優れた中小企業を増やすことが、我が国全体のIoT製品のセキュリティ向上には重要。しかし、IoTセキュリティに関するガイドラインは多数ある
ものの、内容が専門的であるなど中小企業にとってわかりやすいガイドにはなっておらず、「何を参照していいかわからない」「どのような対策をすればいいかわからない」という状況。

⚫

そこで、中小企業がIoT製品の開発を行う際にセキュリティ面で考慮してほしいポイントをわかりやすく記載した「IoT機器を開発する中小企業向け製品セキュリティ対策ガイド」を策定し、公開（2023年6月）。本ガイドでは、セキュアなIoT機器が数多く出荷されていくためには、出荷前の検証のみ
ならず設計・開発といった初期段階からセキュリティ対策を実施することが重要である旨を記載。また、既存ガイドの重要ポイントや優良企業の事
例も記載。

⚫

今後、中小企業関連政策や中小企業関連団体と連携を行い、 IoT機器の設計・開発段階でのセキュリティ対策や検証の必要性をより多くの中小企業が認識するよう普及活動を行っていく。

「IoT機器を開発する中小企業向け製品セキュリティ対策ガイド」の策定
ガイド目次

関連ガイドラインから最初に実施すべき対策を抽出•

経営者の皆様へ•

本ガイドの概要

各フェーズで求められる対策
節

項目【対策1】製品に関するセキュリティ ポリシーを策定・周知する•

各フェーズで求められる
対策

方針・体制構築フェーズで求められる対策•

設計・開発フェーズで検討すべき主な技術的対策

設計・開発フェーズで求められる対策•

IoT機器を開発する中小企業の対策事例集

検証フェーズで求められる対策【対策5】セキュリティに関する要件が満たされているかを検証する

運用・保守フェーズで求められる対策【対策6】出荷後もリスクに関する情報の収集や関係者とのコミュニケーションを行い、適切なサポートを行う•【対策2】セキュリティポリシーを適切に運用するための体制を整備する【対策3】IoT機器等において守るべきものを特定し、それに対するリスクを想定する【対策4】守るべきもの及びリスクを考慮した設計・開発を行う

付録

中小企業関連団体等を通じた周知

HP・メールマガジン等を通じた案内、セミナー等における案内、各都道府県を通じた地域の中小企業への周知

SC3を通じた中小企業関係者、業界団体等への周知・案内
設立：2020年11月1日
概要：産業界が一体となって、中小企業を含むサプライチェーン全体のサイバーセキュリティ対策を推進するコンソーシアム
会長：遠藤 信博（一般社団法人日本経済団体連合会副会長・サイバーセキュリティ委員長）

33

「IoT機器等を開発する中小企業向け製品セキュリティ対策ガイド」全体概要
ガイドの基本的な考え方

ガイドの想定読者の方⚫ サイバー攻撃の脅威が増している中、IoT機器等のセキュリティを確保することは極めて重要です。企業規模によらず、必要なセキュリティ機能を搭載させる対策を実施しましょう。

⚫ IoT機器等を開発する中小企業の経営者⚫ IoT機器等を開発する中小企業のセキュリティ担当者・
開発担当者・品質管理者⚫ IoT製品にセキュリティが実装されていることを確認するためには、セキュリティ検証が有効です。しかし、出荷前の検証で問題が発見された場合には、製品の販売に影響が出ることも考えられるほか、必要な機能が実装できないな
ど製品のセキュリティ自体に支障が出てしまう可能性もあります。そのため、設計や開発段階からセキュリティを考慮すること（セキュリティ・バイ・デザイン）がとても重要です。
⚫ しかし、IoTのセキュリティに関しては国内外に複数のガイドラインや規格等が提示されており、セキュリティ対策に取り組もうとする企業にとっては、何から始めてよいかがわかりにくい場合があります。
→ IoT機器等のセキュリティ対策を行おうとする企業が第一歩として取り組む対策を提示⚫ 本ガイドに示した対策それぞれを実施することが理想的ですが、中小企業においては予算や人員が限られるなど、対策全てを網羅的に実施することは難しい場合もあると考えられます。企業の経営方針、成長ステージ、人員の状況や体制、予算、製品の特性、顧客との関係など、自社を取り巻く様々な環境を考慮しつつ、優先順位をつけて、まずできるところから対策を進めることが重要です。
→ リソースに限りがありながらも、セキュリティ対策を効果的に進める中小企業の事例集を掲載

中小企業は、様々な経営課題の中でセキュリティ対策に取り組む優先順位が低くなる場合や、セキュリティ担当者が別の業務を兼務している場合が多いことから、実施事項をわかりやすく示した本ガイドは、主に中小企業を対象としています。
ただし、本ガイドに記載している事項は中小企業以外の企業にとっても参照されるべき事項であるため、セキュリティ対策に取り組もうとしているIoT機器等を開発する皆様にご活用いただけます。

各フェーズで求められる対策
設計・開発フェーズで検討すべき主な技術的対策

方針・体制構築

対策1
製品に関するセキュリティポリ
シーを策定・周知する

対策2
セキュリティポリシーを適切に運用するための体制を整備する

IoT機器等で提供する機能と対応する主な技術的対策

設計・開発
対策3

運用・保守

IoT機器等において守るべきものを特定し、それに対するリスク
を想定する

対策6
出荷後もリスクに関する情報の収集や関係者とのコミュニ
ケーションを行い、適切なサポートを行う対策4
守るべきもの及びリスクを考慮した設計・開発を行う

(1)

通信機能を
提供するIoT機器等

A 認証・認可機能の提供(2)

データの送信・保存機能
高い可用性が(3)を有するIoT機器等求められるIoT機器等

B アップデート機能の提供

A データの暗号化・保護機能の提供

C ログの保存機能の提供

B データの削除機能の提供

A システムの復旧の提供
B 異常検知機能の提供

検証
対策5
セキュリティに関する要件が満たされているかを検証する
34

中小企業に対するセキュリティ・バイ・デザインの補助⚫

前述のとおり、中小企業によるセキュアなIoT機器が数多く出荷されていくためには、出荷前の検証のみならず、設計・開発といった初期段階からセキュリティ対策を行っていくことが重要。

⚫

「ものづくり補助金」では、中小企業が開発するIoT機器に関連して、✓ 設計時にセキュリティ設計が得意な専門家のアドバイスを受けることに係る経費✓ 生産性向上やセキュリティ向上に資する機械・ソフトウェア等の設備投資✓ ペネトレーションテスト等の検証費用等に対する補助を行うことが可能。

⚫

このように、IoT機器の開発から出荷に至る一連のプロセスでサポートを行うことで、中小企業がセキュアなIoT機器を数多く出荷していくことを後押ししていく。

⚫ 予算額：2,000億円（R4年度2次補正）⚫ 補助下限額：100万円、補助上限額：750万円～5,000万円※
補助率：1/2~2/3※

設計・開発※従業員数や公募枠により補助上限・補助率が変動※例年の採択件数は、1公募あたり、2,000～3,000件程度※補助を受けるには50万円以上の設備投資が必要

生産

検証

設計・開発段階で、どのようなセキュリティ機能を搭載すべきかについて、セキュリティの専
門家のアドバイスを受けたい。

IoT製品の機能性を上げるために生産設備を導入したい。また、生産段階でセキュリティ上不正な機能が混入しないようセンサを導入したい。

もの補助で
補助が
可能

製品に脆弱性がないかを確認するために、ペネトレーションテ
ストや脆弱性診断を行いたい。

セキュアなIoT機器の出荷
35

IoT-SSF

36

IoTセキュリティ・セーフティ・フレームワーク（IoT-SSF）の策定⚫ IoT機器は、出荷時のみならず、使用時において、ステークホルダー間で適切にリスク管理されていることが重要。
⚫ 用途や使用環境によって課題が異なるIoT機器・システムに対するセキュリティ対策を、複数のステークホルダ間で合意する際に活用できる「IoTセキュリティ・セーフティ・フレームワーク（IoT-SSF）」を2020年11月5日に公開。
⚫ 本フレームワークで、IoT機器・システムをカテゴライズし、カテゴリごとに求められるセキュリティ・セーフティ要求の観点を把握・比較することにより、それぞれに求める対策の観点・内容の整合性を確保できる。

https://www.meti.go.jp/press/2020/11/20201105003/20201105003.html
https://www.meti.go.jp/policy/netsecurity/wg1/wg1.html

37

IoT-SSF(※3)活用によるリスクマネジメントのメリット[※3] IoT-SSF:IoTセキュリティ・セーフティ・フレームワーク

セキュリティリスクへの対処には、組織全体や関係者の現状を把握した上でリスクの抽出とそれらを考慮した対策が必要
IoT-SSFを活用することで、包括的にIoTにおけるリスクの抽出とそのリスクへの対策が可能
特徴1

特徴2

関係者と協力することで抜け漏れなく対策が可能

けがや事業への被害を考慮しつつ包括的に
IoTのリスクを特定可能• IoTに関係するシステム・関係者の全体を把握できていない• 攻撃を受けたときに想定している影響範囲に不安がある• 効果的な対策や投資範囲がわからない

特徴3

既存の
製品安全分野の検討結果と調整しつつ対策が可能
セキュリティリスクへの対処にあたって想定される悩み(例)【適用実証に参加された事業者からお寄せいただいたお声】◆ 組織外部の関係者におけるリスクを確認できた点にメリットを感じた。(家庭用機器製造事業者)◆ 関係者間で共通の認識を持った上で、事業リスクを考慮しつつ脅威を整理することができた。 (住宅メーカ/住宅設備製造販売事業者)◆ 製品安全分野の技術者とセキュリティ分野の技術者間で認識をすり合わせつつ、IoT-SSFを適用できた。 (制御機器メーカ)

38

IoTｰSSFの枠組み⚫実現される仕組み・サービスの利用者側から見てインシデントが発生した場合の影響を適切に分析。
•第１軸：発生したインシデントの影響の回復困難性の度合い•第２軸：発生したインシデントの経済的影響の度合い（金銭的価値への換算）⚫それぞれのカテゴリーに従って第３軸を活用してセキュリティ・セーフティ要求の観点・内容を適切に検討するための枠組み。
•第１の観点：運用前（設計・製造段階等）におけるフィジカル・サイバー空間をつなぐ機器・システムの確認要求•第２の観点：運用中のフィジカル・サイバー間をつなぐ機器・システムの確認要求•第３の視点：機器・システムの運用・管理を行う者の能力に関する確認要求•第４の観点：その他、社会的なサポート等仕組みの要求
フィジカル・サイバー間をつなげる
機器・システムのカテゴライズのイメージ※ 同じ機器・システムでも使用形態などによってマッピング先が異なり得る。
例えば、機器ｇと機器ｈが同じ機器で異なる使用形態である場合などがあり得る。）

カテゴリに応じて求められる
セキュリティ・セーフティ要求の観点のイメージ

39

ユースケース集の作成⚫ IoT-SSFは、IoT機器・システムのセキュリティに係る様々な主体に適用可能な「基本的共通基盤」であるが、抽象度が高い部分も含まれているため、読者にとって理解が難しい部分がある。
⚫ IoT-SSFの普及、具体的な活用に向けては、IoT-SSFで示されたリスクのマッピング手法やカテゴ
ライズ手法に関する指針もしくはガイドラインの整備が必要。

2022年4月に公表

1. ユースケース集の位置付けと構成「IoTセキュリティ・セーフティ・フレームワーク」の概要ほか
2. 「IoTセキュリティ・セーフティ・フレームワーク」実践に係るユースケース集
・ユースケースにおける記載事項① リスクアセスメント、リスク対応に向けた事前準備
ユースケースの選定は以下の要素を勘案② リスクアセスメント• 利用者の区分（個人・家庭/事業者）③ リスク対応（ステークホルダー別の対策例一覧）• 利用環境（家庭/公共空間/事業所）
・具体的なユースケース• 想定する適用主体の特徴① 家庭用ガス給湯器の遠隔操作② ドローンを活用した個人による写真撮影③ 物流倉庫内のAGVによる自動ピッキング• 添付Aと添付Bは、各ユースケース固有④ 化学プラント施設内の蒸留工程の自動制御の事情に依存しない一般的に適用し得⑤ 工場内のロボットによる部材加工作業（溶接工程）の自動化
る内容⑥ 金属製造現場の温度センサ等による製造設備の状態監視• 想定読者において具体的な対策を検添付A 対策要件
討する際に適宜参照
添付B 対策例40

(例)物流倉庫内のAGVによる自動ピッキング（ケースの概要：事前準備）⚫ 物流事業者がIoT-SSFの主たる適用主体となってリスクマネジメントを行うユースケース。
⚫ 当該事業者は、事業規模拡大に伴って既存の物流倉庫において、省人化や効率化を目的として新たにAGVや倉庫制御システム等の導入を予定。
✓ 対象機器・システムの概要✓ 適用主体及び他のステークホルダーの情報• 工業用間接資材を扱う物流倉庫において、無人搬送車（AGV）が自動ピッキングを行う。
• 物流倉庫内の保管エリアにてAGVが保管棚をピッキングエリアにいる作業員のもと（ピッキングステーション）まで移動させ、作業員がピッキングを行う。
インターネット

物流倉庫

安全制御
PLC

WMS
（Warehouse
Management
System）

WCS（Warehouse
Control
System

FW

FW

操作用
端末

保守用
端末

操作用
端末

保守用
端末

物流
事業者
物流倉庫を運用

ルータ

AGV(無人搬送機)IoT機器を製造し、システムインテグレータに提供する
事業者

AGV

システムインテグレータ（システム開発の委託先企業）

システム
インテグレータ
物流倉庫システム、AGV等を納入

AGV(無人搬送機)

AGV製造事業者

AGV
製造事業者
AGVを納入

AGVを組み込んだ
倉庫管理システムを提供する事業者

IoT-SSF
の
適用主体

開発委託

・倉庫管理
システム
・倉庫制御
システム
・AGV

物流事業者
（委託元企業）

物流倉庫を運用する事業者

既存の物流倉庫において、省人化や効率化を目的としてAGVや倉庫制御システム等の導入を予定している。

41

(例)物流倉庫内のAGVによる自動ピッキング（リスクアセスメント）⚫ セキュリティインシデントによって「物流事業者」が保有する倉庫内の業務が停止し、倉庫内のみならず取引先、サプライチェーン規模で影響が波及し、結果として生じる経済的影響が大きくなる可能性がある。
✓ 対象機器・システムにおいて想定されるリスク(例)
分類

物流事業者
にとってのリスクシステム
インテグレータにとってのリスク

AGV製造事業者にとってのリスク

想定されるリスク（例）• 外部から倉庫管理システムが不正にアクセス。保存されている在庫情報が改ざんされ、配送の停止や誤配送が生じ得る。
• 配送の停止や誤配送により、搬送会社や工業資材の利用者等、物流サービスの提供を受ける倉庫外部の事業者等へ影響が及ぶ可能性がある。
• 自社環境が不正アクセスされ、配信前のアップデートを改ざんされ、物流工場が停止し、大規模な製品回収が生じ得る。
• AGVに重大な脆弱性が発見されることによって、大規模な製品回収が生じ得る。

※その結果として、各事象のステークホルダを含む関係者に対する損害賠償（配送遅延や誤配送への対応等）の事後的な対応が発生し得る✓ 想定されるリスク(例)のマッピング結果• 物流事業者、システムインテグレータ及びAGV製造事
業者視点の物流倉庫システムの保有するリスクは、目標とする水準には収まっておらず、何らかの対処実施が望まれる。
経済的影響
の度合い
高
壊滅的な
経済影響
重大な
経済影響
限定的な
経済影響
低

物流倉庫システム(物流事業者)

物流倉庫システム対策の実装等を通じて、可能な限りリスクを低減すべき対象(ｼｽﾃﾑｲﾝﾃｸﾞﾚｰﾀｰ/
AGV製造事業者)

目標とする
リスクの水準低 限定的な
ダメージ

重大な
ダメージ

致命的な 高 回復困難
性
ダメージ

の度合い

42

(例)物流倉庫内のAGVによる自動ピッキング（リスク対応の検討）⚫ 影響度が大きいリスクにつながり得る脅威の例： 不正アクセス、サービス不能、マルウェア感染等。
⚫ 「リスク評価、リスク対応に向けた事前準備」にて整理した機器ごとに脅威を整理する。

想定される脅威（例）不正アクセス

データの改ざん

情報漏えい

サービス不能マルウェア感染不正利用

利用者による
セキュリティ
設定の誤り等

安全制御
PLC

データの改ざん

サービス不能情報漏えい

マルウェア感染サービス不能インターネット
操作用
端末

WMS
FW

操作用
端末

WCS
FW

データの改ざん

情報漏えい

データの改ざん
保守用
端末

情報漏えい

サービス不能サービス不能不正アクセス

不正アクセスマルウェア感染
不正利用

保守用
端末

利用者による
セキュリティ
設定の誤り等

マルウェア感染不正利用

利用者による
セキュリティ
設定の誤り等

マルウェア感染不正利用

ルータ利用者による
セキュリティ
設定の誤り等

データの改ざん マルウェア感染
情報漏えい

AGV
(無人搬送機)不正利用

利用者によるセキュリティ
設定の誤り等※太字・水色網掛けで示した脅威は、主要な被害を引き起こす可能性のある脅威を示す。

43

(例)物流倉庫内のAGVによる自動ピッキング（リスク対応の検討）⚫ 適用主体である物流事業者は、リスクを目標とする水準に収めるため、影響が大きいリスクに対処するための対策方針を明確にした上で、行うべきと考えられる対策要件（例）を検討。
⚫ 行うべきと考えられる対策の例：様々なIoT機器を接続する際のセキュリティの確保 [第1の観点]、
IoT機器・システムのモニタリング及びログの取得、分析[第2の観点]等。
物流事業者(自身)にとってのリスクを低減するための対策
影響が大きいリスクに対処するための対策方針
セキュリティインシデントが発生したとしても、それらの被害を最小限にするための仕組みの構築
信頼性の高い物流倉庫の操業を可能にするための仕組みの構築行うべきと考えられる対策の例• 様々なIoT機器を接続する際のセキュリティの確保• 適切なネットワークの分離• IoT機器・システムの十分な可用性の確保• IoT機器・システムのモニタリング及びログの取得、分析

システムインテグレータにとってのリスクを低減するための対策
影響が大きいリスクに対処するための対策方針行うべきと考えられる対策の例

大規模な製品回収等につながり得る機器・シス
テムのセキュリティ上の欠陥を防ぐための、セキュリ
ティ・バイ・デザインの取組みの推進• 運用前（設計・製造段階）における法令および契約上の要求事項の遵守• セキュリティ設計と両立するセーフティ設計の仕様化

安全なアップデートプログラムの配信のための仕組
みの構築• IoT機器・システムに対するアップデートの適用

44

１．諸外国の動向
２．サイバー・フィジカル・セキュリティ対策フレームワークとその具体化

２．１ IoTセキュリティ関連
２．２ ソフトウェアセキュリティ関連

２．３ OTセキュリティ関連
２．４ データセキュリティ関連

45

OSS管理手法に関する事例集の策定
https://www.meti.go.jp/policy/netsecurity/wg1/ossjirei_20220801.pdf⚫ OSSの留意点を考慮した適切なOSS利用の促進✓ 企業がOSSを利活用するに当たって留意すべきポイントを整理。
✓ そのポイントごとに参考となる事例を、具体的な個別企業ヒアリング等により取りまとめ公開。
✓ 企業のOSS利用の障壁を取り除くことで、一層のOSS利活用を促進。
✓ 産業界においてOSSのメリットを享受することで競争力を向上
OSSに関する課題例
ライセンス管理
脆弱性管理
サプライチェーン管理
組織体制

コミュニティ活動

OSS事例集で紹介する取組例⚫ スキャンツールを用いてソフトウェア部品構成表（SBOM）を作成。
⚫ 脆弱性やライセンス等について、抜け漏れのないリスク管理を実施。
⚫ 安全確認したOSSの登録・利用、良質なOSS選定のため評価結果のレーダー
チャート化等に係るシステムの構築。
⚫ サプライヤからの部品・ソフトウェア納入の際に、確認書を提出。
⚫ OpenChain Japan WGを活用し、サプライヤの理解促進。
⚫ サポート終了リスク、長期間利用での脆弱性管理やアップデート対応に係るコストの考え方等について、顧客と事前合意。
⚫ OSS利活用プロセスを全社ルール化して、トップダウンで適用を指示。適用プロ
ジェクトを増やし、高い効果に結実。
⚫ 社員に対して、就業時間内でのOSS開発等を容認。
⚫ 自社開発のソフトウェアをOSS化し、コミュニティ型開発により性能向上。
46

（参考） OSS管理手法に関する事例集の主な掲載事例⚫ OSSの利用が広がる一方、自社だけでOSSを検証するための体制等を整える負担は大きく、ベストプラク
ティスを共有することに対するニーズが存在していることを踏まえ、「OSSの利活用及びセキュリティ確保に向けた管理手法」をまとめた事例集を作成し、2021年4月21日に公開（2022年8月事例を拡充）。

主な掲載事例
ヒアリング調査• トヨタ自動車：サプライチェーンにおけるソフトウェア使用状況把握• ソニー：各事業部による主体性のある取組• オリンパス：ヒヤリ・ハット事象を契機とした全社的取組• 日立製作所：製品化の過程における徹底したOSS管理• オムロン：PSIRTの連携を通じたOSS対応• 東芝：グループにおける一貫したOSS対応体制• デンソー：サプライチェーン全体における最適なOSS管理• 富士通：部門横断のOSS対応体制と全社統一的なソフトウェア管理• NEC：事業部毎の取組から全社的取組へ• NTT：OSSサポートに係る適切な役割分担• 損害保険ジャパン ：ソフトウェア部品構成表を活用した脆弱性管理• Visionalグループ ：自社状況に対して最適なツールの利用• サイボウズ：OSSエコシステムに貢献するOSSポリシー
文献調査• マイクロソフト：OSSに係るセキュリティリスク緩和策• ザランド：OSSプロジェクトの全社的な推進• Linux Foundationとハーバード大学によるCensusⅡプロジェクトの予備的レポート：アプリケーションに最も利用されているFOSSコンポーネントに関する調査47

ソフトウェアタスクフォースの検討の方向性（SBOMについて）⚫ SBOM （Software Bill of Materials）とは、ソフトウェアの部品構成表のこと。ソフトウェアを構成する各部品（コンポーネント）を誰が作り、何が含まれ、どのような構成となっているか等を示す。
⚫ SBOMによりソフトウェアの構成情報を詳細に把握することができるため、脆弱性情報の即時の特定が可能であり、脆弱性対応などへの活用が期待できる一方、その作成効果やコストなどの課題が存在するため、実証による検証を実施。
⚫ 2021年5月に発令された米・大統領令においてもSBOM提供について言及されており、今後、政府調達要件として整備が進むものと想定。
SBOMの導入効果：脆弱性発覚から復旧までの時間を短縮

SBOMの構成イメージ

SBOMなし

脆弱性発覚
パーツ ！

パーツの修正により、当該パーツを利用していたコンポーネントでも修正が必要なことが発覚。対応が後手に。

！

修正・対応
！

軽減措置

！

時間経過

軽減措置

対応完了までの時間短縮
修正・対応
https://www.ntia.doc.gov/SoftwareTransparency

脆弱性の存在をSBOMにより即座に認識、対応開始。

48

2022年度の実証内容・体制⚫ SBOMに関して「規制や推奨化が見込まれる分野」や「効果が大きいと思われる分野」
を候補に、実証参加企業の選定、実証内容を設計。
⚫ 実証結果や民間で進められているSBOM活用の取組について、知見等を共有し、実際の活用方法を検討。
経済産業省

事業委託先

自動車業界
（OEM/部品サプライヤー等）⚫ 実証の対象分野／組織の選定⚫ SBOMの効果に係る評価の観点、項目の整理➢ 調達時のリスク評価（脆弱性、ライセンス、サポート期間、ベンダー評価）➢ 運用時の脆弱性対応（脆弱性および影響の特定～対応の時間短縮、特定漏れの低減等）➢ 資産管理（システムや機器の更新判断、計画）➢ 供給者管理（契約書における責任分界点等の規定）⚫ SBOM活用モデルの選択肢の整理⚫ 参加者の知見共有の仕組み（定期的な会議開催等）の検討⚫ これまでの調査、検討結果や、国内外の動向等の共有

医療機器業界（医療機器メーカー等）

SBOMに関する規制や推奨化が見込まれる分野

ソフトウェア業界（ITベンダーとそのサプライチェーン等）
知見を共有⚫ 規制等において定められるSBOMへの要求事項を満たしつつ、効率的にSBOMを作成、活用していくモデル（作成者、作成／共有方法、最低限含むべき項目やフォーマット等）を検討。
⚫ 米国NTIAにおける既存のPoCについて得られる情報を確認、活用。

SBOMの効果が大きいと思われる分野⚫ 社内システム及び顧客向けシステム／サービスを多く管理し、SBOMを多様なサプライヤーやユーザーと共有し、メリットを最大限享受できる活用モデルの検討。
⚫ 開発環境や構成管理ツール等との連携など、ツール環境に関する知見や課題の整理。

49

ソフトウェア管理に向けたSBOMの導入に関する手引き
2023年7月28日、経済産業省は「ソフトウェア管理に向けたSBOM(Software Bill ofMaterials)の導入に関する手引」を策定。

「関連資料」からダウンロー
ド可能「ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引」（2023年7月、経済産業省）：
https://www.meti.go.jp/press/2023/07/20230728004/20230728004.html

50ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引 ～全体概要～
手引の背景・目的

対象読者

SBOM導入の主なメリット⚫ ソフトウェアサプライチェーンが複雑化し、オープンソースソフトウェア（OSS）の利用が一般化する中で、ソフトウェアにおける脆弱性管理やライセンス管理の重要性が高まっている。
⚫ ソフトウェア管理の一手法として、Software Bill of Materials（SBOM：エスボム）を用いた管理手法が注目を集めている。
⚫ 複数の産業分野における実証を通じ、SBOMを活用することで効率的なソフトウェア管理を実施できることが確認できた一方で、実際のSBOM導入に際しては様々なハードルが存在することが明らかとなった。
⚫ 本手引では、SBOMに関する基本的な情報やSBOMに関する誤解と事実を提供するとともに、企業のSBOM導入を支援するために、
SBOM導入に向けた主な実施事項及び導入にあたって認識しておくべきポイントを示す。

⚫ 主に、パッケージソフトウェアや組込みソフト
ウェアに関するソフトウェアサプライヤー※⚫ 脆弱性管理のメリット✓ 脆弱性残留リスクの低減✓ 脆弱性対応期間の低減✓ ソフトウェア開発・設計部門✓ 製品セキュリティ担当部門（PSIRTなど）✓ 脆弱性管理にかかるコストの低減⚫ ライセンス管理のメリット✓ 経営層✓ 法務・知財部門✓ ライセンス違反リスクの低減✓ ライセンス管理にかかるコストの低減※ このうち、以下に示すようなSBOM初級者を特に対象としている。
•

ソフトウェアにおける脆弱性管理に課題を抱えている組織•

SBOMという用語は聞いたことがあるが具体的な内容やメリッ
トは把握できていない組織•

SBOMの必要性は理解しているが、導入に向けた取組内容が認識できていない組織 など⚫ 開発生産性向上のメリット✓ 開発遅延の防止✓ 開発にかかるコストの低減✓ 開発期間の短縮

SBOM導入に向けたプロセス
フェーズ

1

環境構築・体制整備フェーズ⚫ 1-1. SBOM適用範囲の明確化✓ SBOMを作成する対象ソフトウェアに関する情報（言語、開発
ツール、構成図、契約形態・取引慣行、規制要求事項、
SBOM導入に関する組織内の制約等）を整理する。
✓ 整理した情報を踏まえて、SBOM適用範囲を明確化する。

⚫ 1-2. SBOMツールの選定✓ SBOMツールの選定の観点を整理し、当該観点に基づきSBOM
ツールを評価・選定する。
（選定観点の例：機能、性能、解析可能な情報・データ形式、コスト、対応フォーマット、解析方法、サポート体制、他ツールとの連携、ユーザーインタフェース、対応する言語、日本語対応等）⚫ 1-3. SBOMツールの導入・設定✓ SBOMツールが導入可能な環境の要件を確認し、整備する。
✓ 取扱説明書等を確認して、SBOMツールの導入・設定を行う。

⚫ 1-4. SBOMツールに関する学習✓ 取扱説明書等を確認して、SBOMツールの使い方を習得する。
✓ ツールの使い方に関するノウハウや各機能の概要は記録し、組織内で共有する。

フェーズ

2

SBOM作成・共有フェーズ⚫ 2-1. コンポーネントの解析✓ SBOMツールを用いて対象ソフトウェアのスキャンを行い、コンポーネントの情報を解析するとともに、コンポーネントの解析結果について、コンポーネントの誤検出や検出漏れが無いかを確認する。
✓ SBOMツールを用いることで、手動の場合と比較して効率的にコンポーネントの解析及びSBOMの作成を行うことができる。
✓ パッケージマネージャーを用いることで、SBOMツールでは特定できない粒度の細かいコンポーネントを特定できる場
合がある。

⚫ 2-2. SBOMの作成✓ 作成するSBOMの項目、フォーマット、出力ファイル形式
等のSBOMに関する要件を決定し、当該要件を満足す
るSBOMを作成する。

⚫ 2-3. SBOMの共有✓ 対象ソフトウェアの利用者及びサプライヤーに対する
SBOMの共有方法を検討した上で、当該方法に基づきSBOMを共有する。

フェーズ

3

SBOM運用・管理フェーズ⚫ 3-1. SBOMに基づく脆弱性管理、ライセンス管理等の実施✓ 脆弱性に関するSBOMツールの出力結果を踏まえ、深刻度の評価、影響度の評価、脆弱性の修正、残存リス
クの確認、関係機関への情報提供等の脆弱性対応を行う。
✓ ライセンスに関するSBOMツールの出力結果を踏まえ、OSSのライセンス違反が発生していないかを確認する。

⚫ 3-2. SBOM情報の管理✓ SBOMに含まれる情報やSBOM自体を適切に管理する。
※ SBOMの管理は、組織内のPSIRTに相当する部門が対応することが効果的✓ 自動で脆弱性情報が更新・通知されるSBOMツールを用いることで、新たな脆弱性に関する情報を即座に把握することができる。ツールを用いた自動管理ができない場
合、担当者を別途設置するなど運用面でカバーする。

51

2023年度SBOM実証の全体像： SBOMを活用した脆弱性管理の効率化
実証の目的（ポイント）⚫ 脆弱性管理プロセスを俯瞰し、SBOMを活用した脆弱性管理の効率的な方法について検討し、その効果評価、課題の整理を行う。脆弱性情報の提供に係る機関（IPA, ISAC等）と連携し、脆弱性情報を効率的に取得する方法を検討する。
⚫ SBOMを活用した脆弱性管理を広く普及させるため、中小企業を含む多くの企業が活用できるように、脆弱性の深刻度、脅威、アドバイザリなども活用するための方策等について整理する。

脆弱性管理の主なステークホルダとプロセスの全体像
凡例： 主体（ステークホルダー）集約されたSBOM

SBOM作成・活用企業
ユーザ組織
SBOM

要
求

製品等
SBOM

脆弱性管理の段階（フェーズ）
CI/CDループ実証による高度化・効率化

最終ベンダ

ID管理方式検討機関(IPA,SAMAC)
連携

脆弱性マッチングの効率化(共通管理方式の検討)

脆弱性情報取扱機関(IPA,JPCERT)
脆弱性情報

SBOMツール
SBOM

サ
プ
ラ
イ
チ
ェ
ー
ン

調
達
・

要
求

調
達
・

部品

SBOMツールベンダ・
コンサル

SBOM

OSS

サプライヤーOSS・・・・・・・・

OSSコミュニティ
ベンダ

連携

脅威情報共有機関(ISAC)

脆弱性情報と脅威情報の連携

脅威情報・アドバイザリ

52

SBOMを活用した脆弱性管理における課題（俯瞰図）⚫

SBOMを活用した脆弱性管理の効率化・普及促進に向けて、各プレイヤー、ユーザなどにおいて様々な対応が必要であり、特に脆弱管理プロセス（脆弱性の特定、脆弱性評価等、情報共有、対応）における課題が存在。
BtoB想定凡例：

各プレイヤー（ユーザ・最終ベンダー・サプライヤー）

各プレイヤー（ユーザ・最終ベンダー・サプライヤー）
脆弱性
（１）
情報
脆弱性

マッチングの部品ID
CPE? PURL?・・・

脆弱性DB

複数の脆弱性DBの網羅性の向上

容易に利用できるツール環境を広く普及

共有

最終ベンダー

深刻度、悪用可能性、アドバイ
ザリ等を取得する環境の整備（VEX等の普及）

VEX等

脆弱性DB

OSSの脆弱性情報・付加情報を取得できる環境の整備・網羅性の向上

ツールで特定出来無い
部品の手動追加

暫定対応の周知・実施
共
有

脅威情報等

共
有

流
通
・
連
携

サプライチェーンを通じた情報共有・修正依頼

脆弱性対応の要否・優先付け判断による効率化

主体

組織ユーザ

対応不要

・・・

SBOM

サ
プ SBOM
ラ 部品ID
イ
チ
ェ
ー
ン
を
通
じ
て

優先対応

情報

部品IDの一意性が無く、脆弱性マッチングの障害

課題

ソフト修正後のSBOM, VEXの更新・流通・管理の整備

サプライヤー（ソフトウェアの修正・ビルド・テスト・流通等）

脆弱性の特定

OSV

ZDI

・
・
・

GitHub

脆弱性評価・優先付け

脆弱性管理プロセス

情報共有
暫定対応
ソフトの修正依頼、本対応

53

日米豪印（Quad（クアッド））第５回首脳会合について⚫ 5月20日（土）、第５回日米豪印（通称「Quad（クアッド）」）首脳会合を広島で対面開催。

第１回：2021年３月（オンライン）、第２回：同９月（米国）、第３回：ウクライナに関する臨時会合 2022年3月（オンライン）、第４回：同5月（日本）⚫ 岸田総理大臣からは、ASEANや南アジア、太平洋島嶼国といった地域の国々の声に耳を傾けながら、「善を推進する力」として、地域に真に裨益する実践的協力を展開していく重要性を強調。
⚫ また会合後、４カ国は共同声明を発出。当省関連では、重要・新興技術、気候、サイバーセキュリ
ティ、インフラ、宇宙等での新たな協力を進めることが記載された。その他、海洋安全保障、海洋状況把握、国際保健等での新たな協力が記載された。

⚫ 来年の首脳会合は、インドで開催することで一致した。
サイバーセキュリティ••

地域のサイバー人材の能力向上支援を継続、サイバーセキュリ
ティの啓発を目的とした「日米豪印サイバー・チャレンジ」の実施を歓迎。
ソフトウェアの開発、利用、政府調達に係るセキュリティ向上を奨励する「ソフトウェア・セキュリティに関する日米豪印共同原則」及び「重要インフラのサイバーセキュリティに関する日米豪
印共同原則」の発表を歓迎。

外務省HP：https://www.mofa.go.jp/mofaj/fp/nsp/page1_001702.html

54日米豪印（Quad（クアッド））第５回首脳会合の成果【首脳共同声明（仮訳） 抜粋】⚫ 我々は、より安全なサイバー空間と、全ての人々のためになる国際デジタル経済を促進することへのコミットメントを再確認する。日米豪印パートナーは、サイバー事案及び脅
威への地域の能力及び強靱性を高めるため、引き続き協働する。
⚫ 我々は、サイバーに対する意識を高め、インド太平洋の参加者がオンライン上で自身を保護することを支援するため、本年実施した初めての日米豪印サイバー・チャレンジを歓迎する。
⚫ また、「ソフトウェア・セキュリティに関する日米豪印共同原則」及び「重要インフラのサイバーセキュリティに関する日米豪印共同原則」並びにサプライチェーン・セキュリティと強靱性を確保するための指針となる枠組みを開発するための取組を歓迎する。
⚫ これらの原則は、ソフトウェア・サプライチェーンや重要インフラ及びサービスへのサイバー脅威に対する地域の防御を強化するために設計されている。

【ソフトウェア共通原則（概要）】⚫ 日米豪印上級サイバーグループは、政府のためのソフトウェアの開発、調達及び利用の指針となる最低限のサイバーセキュリティ・ガイドラインを構築することにより、ソフトウェア・
セキュリティを共同で向上するとの我々のコミットメントを再確認する。
⚫ 日米豪印は、以下のハイレベルの安全なソフトウェア開発慣行を追求し、既存の政府の政策にそれらを採り入れ、これらの慣行を満たすソフトウェアを取得し、ソフトウェア開発者/サプライヤにそれらの実施を奨励するとの意図を有する。
1. 組織の準備：人々が適切に訓練され、プロセスが定義され、安全なソフトウェア開発を実行するためのテクノロジーソリューションが導入されていることを確認する。
2. ソフトウェアおよびソフトウェア開発環境の保護：ソフトウェアの全てのコンポーネントを改ざんおよび不正アクセスから保護し、各ソフトウェアリリースをアーカイブ化し保護し、各リリースで使用されるさまざまなコンポーネントの詳細（例：ソフトウェア部品表（SBOM））及びサプライチェーン関係の十分な記録を維持する。
3. 十分に安全が確保されたソフトウェアの作成：：リリース時のセキュリティの脆弱性が最小限の、十分にセキュリティで保護され、テスト済みのソフトウェアを作成する。
4. 脆弱性への対応：：継続的にそれらの脆弱性に対処し将来の同様の脆弱性の発生を防止するために、ソフトウェアリリースの脆弱性を特定し適切に対応する。
⚫ 日米豪印は、ソフトウェア又はソフトウェアを含む製品の政府調達に関して、以下の最低限のガイドラインを追求する意図を有する。各国は、国際的義務、国内法、規制、及びそれぞれのサイバー空間の成熟度と整合的に、以下の慣行を奨励することにより、国内でガイドラインの実施を追求する意図を有する。
1. ソフトウェアの開発が安全なソフトウェア開発慣行に準拠していることを示す第三者認証が提供されない限り、ソフトウェア開発者による自己申告を要求する。
2. ソフトウェア開発者に対し、報告と開示のプロセスを含む各国の脆弱性開示プログラムに報告するよう奨励する。
⚫ 日米豪印は、政府によるソフトウェアの利用のために以下のセキュリティ対策を追求する意図を有する。
1. ソフトウェア及びソフトウェア・プラットフォームを不正なアクセスおよび利用から保護するための十分な管理およびプロセスを確保する。
2. ソフトウェア及びソフトウェア・プラットフォームで使用されるデータの機密性、完全性、可用性を保護するための十分な管理およびプロセスを確保する。
3. ソフトウェアを不正利用から保護するため、ソフトウェア・プラットフォームと、それらのプラットフォームに展開されたソフトウェアを特定して維持する。
4. ソフトウェア及びソフトウェア・プラットフォームに関連するインシデントを迅速に検出、対応し、回復する。
5. ソフトウェア及びソフトウェアプラットフォームのセキュリティを促進する人間の行動の理解及び遂行を強化する。

外務省HP：https://www.mofa.go.jp/mofaj/fp/nsp/page1_001702.html

55

１．諸外国の動向
２．サイバー・フィジカル・セキュリティ対策フレームワークとその具体化

２．１ IoTセキュリティ関連
２．２ ソフトウェアセキュリティ関連

２．３ OTセキュリティ関連
２．４ データセキュリティ関連

56

工場SWG （座長：江崎 浩 東京大学 教授）⚫ 2022年1月6日に工場SWGを設置し、これまでに計4回開催。委員、オブザーバー、ヒアリング対象など、主な関係団体・企業も広く参画し、工場セキュリティガイドラインの策定に向けて活動。
⚫ 2022年11月16日にガイドラインを公表。
https://www.meti.go.jp/policy/netsecurity/wg1/factorysystems_guideline.html
開催実績
第１回 工場SWG設置について
第２回 主な産業界団体・企業からのヒアリング⚫ 日本自動車工業会⚫ 電子情報技術産業協会半導体部会⚫ NEC プラットフォームズ⚫ パナソニック⚫ 日本鉄鋼連盟⚫ 日本医療機器産業連合会⚫ 日本工作機械工業会

第３回 パブコメに向けたガイドライン案の審議
第４回 パブコメ意見を踏まえたガイドライン案の審議

委員名簿
江崎 浩（座長）
岩﨑 章彦
榎本 健男
桑田 雅彦
斉田 浩一
佐々木 弘志
斯波 万恵
高橋 弘宰
中野 利彦
市岡 裕嗣
藤原 剛
松原 豊
村瀬 一郎
渡辺 研司

東京大学 教授
電子情報技術産業協会
日本工作機械工業会
日本電気株式会社
ファナック株式会社
フォーティネットジャパン株式会社
株式会社東芝トレンドマイクロ株式会社
株式会社日立製作所
三菱電機株式会社
ビー・ユー・ジーDMG森精機株式会社
名古屋大学 准教授
技術研究組合制御ｼｽﾃﾑｾｷｭﾘﾃｨｾﾝﾀｰ
名古屋工業大学 教授

第2回 産業サイバーセキュリティ研究会 ワーキンググループ1（制度・技術・標準化） 工場サブワーキンググループ 資料4-2,4-4より抜粋
https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_kojo/002.html

57

工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン
ガイドラインの背景・目的⚫ 工場のIoT化やクラウド活用によるネットワーク接続機会の増加に伴いサイバー攻撃リスクが増加。また、ネットワークの接続が少ない工場
であっても不正侵入者等による攻撃の可能性あり。
⚫ 意図的な攻撃の場合もあれば、たまたま攻撃される場合もある。
→いかなる工場でもサイバー攻撃のリスクあり。

⚫ 本ガイドは業界団体や個社が自ら対策を企画・実行するに当たり、参照すべき考え方やステップを示した「手引き」。
→各業界・業種が自ら工場のセキュリティ対策を立案・実行することで、工場のセキュリティの底上げを図ることが目的。

想定する読者の方対策に取り組む効果⚫ ITシステム部門⚫ 生産関係部門（生産技術部門、生産管理部門、工作部門等）⚫ 戦略マネジメント部門（経営企画等）⚫ 監査部門⚫ 機器システム提供ベンダ、機器メーカ⚫ 工場のBC／SQDC※の価値がサイバー攻撃により毀損されることを防止。
⚫ 経営目標(事業伸長、継続の観点等)との連関⚫ セキュリティが担保されることでIoT化や自動化が進み、多くの工場から新たな付加価値が生み出されていくことを期待。

（サプライチェーンを構成する調達先を含む）※想定読者が経営層（CTO、CIO、CISO）をはじめとした意思決定層と適切なコミュニケーションを行うことが重要。
※事務系の情報システム（IT）は対象外。

セキュリティ対策企画・導入の進め方
ステップ

1

ステップ

内外要件（経営層の取組や法令等）や業務、保護対象等の整理⚫ ステップ1-1
セキュリティ対策検討・企画に必要な要件の整理

2⚫ ステップ2-1 セキュリティ対策方針の策定⚫ ステップ2-2 (高・中・最低限）⚫ ライフサイクルでの対策
サプライチェーンを考慮した対策(2)外部要件の整理(1)システム構成面での対策① ネットワークにおけるセキュリティ対策② 機器におけるセキュリティ対策③ 業務プログラム・利用サービスにおけるセキュリティ対策（生産管理・監視、制御系、自動搬送、自動倉庫、リモートメンテナンス等）⚫ ステップ1-7 ゾーンと、セキュリティ脅威の影響の整理（俯瞰化、別ゾーンへの影響の抑止、被害の抑制）

3

セキュリティ対策の実行、及び計画・対策・運用体
制の不断の見直し（PDCAサイクルの実施）想定脅威に対するセキュリティ対策の対応づけ⚫ ステップ1-2 業務の整理⚫ ステップ1-3 業務の重要度の設定⚫ ステップ1-4 保護対象の整理⚫ ステップ1-5 保護対象の重要度の設定⚫ ステップ1-6 ゾーンの整理とその業務、保護対象の結びつけ

ステップ

セキュリティ対策の立案(1)経営目標等の整理(3)内部要件／状況の把握※ 安全確保(S：Safety)、
事業／生産継続(BC：Business Continuity)
品質確保(Q：Quality)
納期遵守・遅延防止(D：Delivery)
コスト低減(C：Cost)(2)物理面での対策① 建屋にかかわる対策② 電源／電気設備にかかわる対策③ 環境(空調など)にかかわる対策④ 水道設備にかかわる対策⑤ 機器にかかわる対策⑥ 物理アクセス制御にかかわる対策(1)ライフサイクルでの対策① 運用・管理面のセキュリティ対策
A) サイバー攻撃の早期認識と対処（OODAプロセス）B) セキュリティ対策管理(ID/PW管理、機器の設定変更など)
C) 情報共有②維持・改善面のセキュリティ対策
・セキュリティ対策状況と効果の確認・評価、環境変化に関する情報収集、対策の見直し・更新
・組織・人材のスキル向上（教育、模擬訓練等）(2) サプライチェーン対策
・取引先や調達先に対するセキュリティ対策の要請、対策
状況の確認

事業や環境、技術の変化に応じて各ステップについて不断の見直しを行いながらステップのサイクルを回す58

１．諸外国の動向
２．サイバー・フィジカル・セキュリティ対策フレームワークとその具体化

２．１ IoTセキュリティ関連
２．２ ソフトウェアセキュリティ関連

２．３ OTセキュリティ関連
２．４ データセキュリティ関連

59

『第3層TF』の検討の方向性⚫ 本タスクフォースにおいて、データの信頼性確保のために、「データの区分に応じた適切なセキュリ
ティ対策要件」及び「データの信頼性の確認手法」を検討。

データの区分に応じた適切なセキュリティ対策要件の検討
データをセキュアに管理すること⇒マネジメント、プロセス、セキュリティポリシー、システム要件等のセキュリティ要件の明確化など

データの信頼性の確認手法の検討
データそのものや生成者の実体の確認⇒データの真正性確認、モノ等の確認など

データの来歴の確認⇒トレーサビリティの仕組みの検討など
60

『第3層TF』データマネジメントの新たな捉え方⚫ 既存のデータマネジメント等の考え方を参考にしつつ、第1回タスクフォースの議論を踏まえ、データ
マネジメントとは、「データの属性が場におけるイベントにより変化する過程をライフサイクルを踏まえて管理すること」とここでは捉える。
✓ 属性：データが有する性質✓ 場：特定の規範を共有する範囲✓ イベント：データの属性を生成・変化させる処理

イベント
データA

• 抽出
（取得）

データA’

属性
•
•
•
•
•

カテゴリ（営業秘密、技術情報等）
プライバシー性（高い、低い等）
価値（高い、低い等）
機密性（オープン、クローズ等）
所属（個人、法人等）

イベント
•
•
•

加工
流通
廃棄

属性
•
•
•
•
•

カテゴリ（営業秘密、技術情報等）
プライバシー性（高い、低い等）
価値（高い、低い等）
機密性（オープン、クローズ等）
所属（個人、法人等）

場（国、社内、インターネット等）
61

データマネジメント・フレームワークの概要⚫ データマネジメントに関する定義を明確化し、フレームを設定することで、主体間を転々流通するデータに関するリス
クポイントの洗い出しを可能にする。
⚫ また、本枠組みを共通の定規として利用することで、各国・地域などの主体間のデータに関するルールのギャップ/
データの流通プロトコルの問題を可視化、データの囲い込みを回避する取組につなげる。
⚫ 「協調的なデータ利活用に向けたデータマネジメント・フレームワーク」を公開（2022年4月）。
基本情報

フレームワークの構成◆ フレームワークの目的◆ 本文• 主体間を転々流通するデータの信頼性を確保することで、バリュークリエイション
プロセスが付加価値を生み出す• データを軸に置き、ライフサイクルを通じて、データの置かれている状態を可視化してデータに対するリスクを洗い出し、そのセキュリティを確保するために必要な措置を適切なデータマネジメントによって実現• フレームワーク適用の具体的な効果としては、主に以下を想定。

1. 新たなデータマネジメントの在り方① as is の対策の検討② to be の対策の検討• ガバナンスを含めた必要な措置をステーク
ホルダーが協調して実施• データ流通を促進するために必要な条件を明確化。プロトコル設計が容易に• 洗い出されたリスクへの対策要件例として、
これまでに公表されてきた情報セキュリティ
に関する様々な国際標準等を参照• オープン化された環境でデータ連携やシス
テムの組み合わせの自由を確保することを可能に• 各国の制度間のギャップ分析を行い必要な調整措置を明らかに◆ 想定読者•••••

バリュークリエイションプロセスに参加する者
データ利活用に関するサービスを提供する者
データ利活用に関するサービスを提供するシステムの設計・構築・運用に関わる者
トラストサービスを提供しようとする者
データセキュリティに関わるガイドライン等のルール設定に関わる者

1-1 CPSFにおける第3層（サイバー空間におけるつながり）1-1-1 CPSF概論
1-1-2 第3層の位置づけ
1-2 データの信頼性確保：データマネジメントの考え方の確立
1-3 本フレームワークの目的
1-4 本フレームワークの想定読者

2. 本フレームワークにおけるデータマネジメントのモデル
2-1 概要編
2-1-1 データマネジメントのモデル化の概要
2-1-2 リスク分析手順
2-2 詳細編
2-2-1 モデル化（「イベント」）
2-2-2 モデル化（「場」）
2-2-3 モデル化（「属性」）

3. 活用方法
3-1 サプライチェーンを構成するステークホルダー間での活用
3-2 ルール間のギャップの分析◆ 添付資料
添付A. ユースケース
添付B. イベントごとのリスクの洗い出しのイメージ

62

フレームワークに基づくリスク分析の手順⚫ 下記の4つのステップに沿ってバリュークリエイションプロセスにおけるデータの状態を可視化。
⚫ 「属性」、「場」、「イベント」が相互に依存する関係にあることから、STEP1～3の各ステップは不可逆的なものではなく、互いにフィードバックをかけながら検討されることが適切。
⚫ リスクの洗い出しに当たっては、機密性・完全性・可用性といったサイバーセキュリティに係る観点の他、各法制度等に係るコンプライアンスの観点でのリスクについても洗い出す必要。

◆ フレームワークに基づくリスク分析の手順
STEP 1
データ処理フロー（「イベント」）の可視化

STEP 2
必要な制度的な保護措置（「場」）の整理

STEP 3「属性」の具体化

STEP 4「イベント」ごとのリスクの洗い出し• データの生成・取得から廃棄に至るまで、想定されるデータ利活用プロセスにおける大まかなデー
タフロー及び「イベント」を可視化する。
• 「イベント」をどの程度詳細に記述するかは、データフロー整理の目的に応じて調整する必要がある。
• データ保護に資する「場」(必要な制度的な保護措置)を検討し、法律・契約の観点から適切なものを設定する。
• 一つのデータに対して複数の「場」が重なり合う、つまり、データに対して様々な観点からの要求がなされることが考えられる。

• 設定されたデータや「イベント」、「場」に基づいて、管理上あるべき「属性」を特定する。
• 場合によっては、データの「属性」を整理していく中で、本データが取り扱われるべき「場」や実施されるべき「イベント」に漏れがあった場合、適宜追加等を実施する。

• 設定された「場」という観点から、「イベント」ごとに想定されるリスクを抽出し、設定した「属性」をレビューする。
• 機密性・完全性・可用性といったサイバーセキュリティに係る観点のほか、各法制度等に係るコンプライアンスの観点でのリスクについても洗い出す必要がある。

63

ユースケース：小売業におけるPOSデータの活用事例
データマネジメントの新たな捉え方▶データの ”属性” が ”場” における ”イベント” により変化する過程をライフサイクル全体にわたって管理すること
属性
データが有する性質

場
特定の規範を共有する範囲

イベント
データの属性を生成・変化させる処理

新たな捉え方への当てはめステップ
STEP 1
データ処理フロー(イベント)の可視化
STEP ２
必要な制度的な保護措置(場)の整理
STEP ３「属性」の具体化

STEP ４
イベントごとのリスクの洗い出し

販売データA(物理店舗)
属性

販売集計データA(物理店舗)
属性

カ テ ゴ リ 営業秘密
イベント
ﾌﾟﾗｲﾊﾞｼｰ性 高い
生成・取得
価
値 高い
開 示 範 囲 A社内
データ権利者 A社 個人
保 有 主 体 A社

カ テ ゴ リ 営業秘密
ﾌﾟﾗｲﾊﾞｼｰ性 高い
価
値 高い
開 示 範 囲 A社内
データ権利者 A社 個人
保 有 主 体 A社

場（小売事業者X ）ネットワーク上の通信の盗聴
イベント
統合販売データ
加工（統合）
属性
カ テ ゴ リ 営業秘密
ﾌﾟﾗｲﾊﾞｼｰ性 非常に高い
価
値 非常に高い開 示 範 囲 A社内
データ権利者 A社 個人
保 有 主 体 A社

エリア別売上/
会員数データ属性
イベント
加工

販売データB(ECサイト)属性

販売集計データB(ECサイト)属性

カ テ ゴ リ 営業秘密
イベント
ﾌﾟﾗｲﾊﾞｼｰ性 高い
生成・取得
価
値 高い
開 示 範 囲 A社内
データ権利者 A社 個人
保 有 主 体 A社

カ テ ゴ リ 営業秘密
加工（統合）
ﾌﾟﾗｲﾊﾞｼｰ性 高い
価
値 高い
開 示 範 囲 A社内
データ統合の際に名寄せ誤りが生じる
データ権利者 A社 個人
保 有 主 体 A社場（個人情報保護法）

イベント

カ テ ゴ リ 営業秘密
ﾌﾟﾗｲﾊﾞｼｰ性 低い
価
値 高い
開 示 範 囲 A社内
データ権利者 A社
保 有 主 体 A社

場（割賦販売法/PCI-DSS）

64

⚫サイバー攻撃は規模や烈度が増大。DXの進展に伴い、IoT機器をはじめとして、攻撃拠点、攻撃の影響範囲が拡大。
⚫IT/IoT製品等の製造事業者は、製品・サービスのセキュリティ対策に責任を持つことが必要に。

経済産業省のサイバーセキュリティ政策ウェブページはこちら⇒
https://www.meti.go.jp/policy/netsecurity/index.html
65