「産業横断サイバーセキュリティ人材育成検討会」
第一期最終報告書 別紙 人材育成 WG 活動報告

第 1.0 版

2016 年 9 月 14 日

産業横断サイバーセキュリティ人材育成検討会

事務局
04.6. 人材定義 WG
人材定義 WG では、本検討会の方針に沿い、サイバーセキュリティ人材とはどのような人材を指すのかを定義し、育成の方向性や、産官学との連携の在り方について検証していくことを目的として活動を行ってきた。
ユーザ企業におけるサイバーセキュリティ人材とは、日々高度化していく ICT 環境及びサイバーインシデント事案と日々対峙していくことだけではなく、事業運営を支える社員
及び外注スタッフとしての日々の業務、情報システム部門の構成メンバとしての役割や、情報システム部門に属していなくてもサイバーインシデント事案発生時には、事態の収束に立ち上がる関係部門・部署の構成メンバとしての役割も必要となることから、ICT 環境や情報セキュリティといった今までの考え方を一度外して、企業における組織と業務の在り方
から、その存在意義を再確認することとした。
特に、サイバーセキュリティ人材の育成を考える時、日々日本国内で流通しているサイバ
ーセキュリティ対策に関する情報が、ICT 業界の製品サービスに関する情報と直接的に紐づいているものが多く、ユーザ企業における ICT 利用環境や ICT の構成の全体像を見えにくくしている課題を踏まえて、日本企業の独自性として考えられる社内システムの構築運用における外注比率の高さや、定期人事異動によるゼネラリストの育成方針等を踏まえた、有意義なサイバーセキュリティ人材の定義及び育成が求められるものと合意した。
人材定義の活動骨子としては、以下に集約される。


サイバーセキュリティ対策には、4 つのフィールド（情報システム、生産・制御シス
テム、IoT、CSIRT）があり、第一期としては、情報システムにおけるサイバーセキ
ュリティ人材を定義する。



日本におけるユーザ企業では、情報システムに関する外注比率が高いため、企業内におけるサイバーセキュリティ人材と、外注先に要求するサイバーセキュリティ人材については分けて検討を行う。

「サイバーセキュリティ経営ガイドライン」が、本検討会の活動途中に発表され、CISO 等という役割の重要性が問われるようになったため、ユーザ企業にとって必要とされる CISO の機能を討議する。



NISC の発表資料では、橋渡し人材という言葉が定義され、ユーザ企業内にこの橋渡し人
材を配置することについて検証し、必要となる人材要件を検討する。



日本企業の事業運営の特徴である「定期人事異動」に対応し、サイバーセキュリティ対策を俯瞰できる成果物を作成し、人事異動や組織の新設に伴う活動の立ち上がりの停滞を回避し、効率的な対策を側面から支援する。

1

サイバーセキュリティ人材の高度化を検討していく中で、ユーザ企業内で実施しなければならない業務、外注しコストダウンや対策の高度化を行う業務の切り分けが求められてきたため、インソースとアウトソースの業務分担例を策定する。

以上の目的に対し、下記合計 17 回という討議プロセスを経て、サイバーセキュリティ人材の定義を行った。
なお、本別紙は、中間報告書として既に公開した第 1 回から第 9 回までの人材定義 WG の活動も合わせて掲載し、全ての流れを確認できるよう再構成した。

2

4.6.1. 第 1 回 WG における検討
第 1 回の WG において、現在のサイバーセキュリティ人材不足の改善に向けた討議の方
向性の確認を行った。まずは以下 2 点について討議を進めた。
① セキュリティ専門家に何を委託し、自社として何を管理していくのか② セキュリティ人材は引き抜くのか、育てるのか
更に、本 WG における検討の範囲を絞り込むため、下記のモデルを提示し、検討の方向性が拡散しないように配慮することとした。

図 1 組織運営における人材配置と処遇イメージ
更に、本 WG 参加者が、人材育成に向けての機能定義を意識して討議できるよう、シス
テム開発プロセスおよびインシデントハンドリングプロセスのモデルを確認し、現在、自社社内ではどのような部門・部署、委託先が、サイバーセキュリティ対策に関する業務を担当しているのかを確認する機会とした。

3

図 2 システム開発プロセスから考える通常時と非常時の活動

図 3 インシデントハンドリングから考える通常時と非常時の考え方

44.6.2. 第 2 回 人材定義 WG における検討
第 2 回での討議は、第 1 回の全体像の共有を経て、人材的側面、組織的側面から検討を深め、更に、内部統制に絡む全社リスクマネジメントとの関係性について確認した。
ここでは、サイバーセキュリティ人材に求められるスキルセットの検証作業に入り込んでしまうと、最終的には採用時の「募集要項」のようなものが出来上がってしまう恐れがあったため、まずは機能や役割を検討するための人的側面について確認した。
まずは、下記資料に基づき、第 1 回で確認した「機能」を定義するためには、サイバーセ
キュリティ対策に明るい人材像を掘り下げるのではなく、サイバーセキュリティ対策に詳
しく、社内の業務に精通し、チームで業務が遂行できる人材を想定していることを再確認するものとした。

図 4 機能・役割を人的側面から検討する
更に、情報システム部門におけるサイバーセキュリティ対策に必要となる機能を定義するにあたり、機能を担う人材を企業内だけではなく、関係会社や取引先 SI 企業、セキュリ
ティ専門事業者等との分担により実現することを模索するための機能一覧を目指すこととした。
5

その機能の分担を検討していくにあたり、まずは管理部門における機能分化プロセス（下図）を用いて、現在の自社の部門の在り方について振り返ることとした。

図 5 管理部門の機能とその分化プロセス例
加えて、ユーザ企業においては J-SOX 対応によるリスクマネジメント委員会の機能強化
および、東日本大震災後に BCP 対策を強化している企業が多いため、既存のリスクマネジ
メントを実行する部門・部署を確認することにより、既存のリスクマネジメントに関する取り組みとサイバーセキュリティ対策を比較できるようにした。この検討プロセスは、サイバーセキュリティ対策が目新しいものではなく、現業の延長にあるものであるという共有に
繋がった。

6

図 6 法令要件としてのリスクマネジメント（対応組織）

図 7 法令要件としてのリスクマネジメント（対応プロセス）

7

次回 WG より実際にサイバーセキュリティ対策に求められる「機能定義」を討議していくため、まずは、サイバーセキュリティ事件・事故事例を振り返りながら、なぜ今サイバー
セキュリティ人材が不足しているのか、なぜサイバーセキュリティ対策に予算を割くことが難しいのかといった点について共有した。
サイバーセキュリティ被害の類型を共有しながら、サイバーセキュリティ対策の方向性
すなわち必要となる機能毎の活動の前提条件について討議確認をした。

図 8 最近のサイバーセキュリティ被害を振り返る
サイバーセキュリティ対策をどの被害の段階において、誰が、どのような権限で、どこまで対処すべきかを検討するため、サイバーセキュリティ被害の分類を 4 つに分け、それぞれにどのように対応していくべきかを自社に振り返り検討して頂くことで、必要となる機能についての検証を進めることとした。

8

4.6.3. 第 3 回 人材定義 WG における検討
第 3 回では、人材定義 WG において確認してきたサイバーセキュリティ人材の定義における課題や背景に基づき、今後の検討プロセスを共有することとした。

図 9 人材定義 WG 今後の検討プロセス
更に、機能定義における粒度を模索するため、簡易的な整理軸を定めることとした。
討議の中で、ユーザ企業各社の情報システムの構築運用の体制には大きな差があり、その中でサイバーセキュリティ対策に求められる機能定義を共通化していくことが重要であるということを、今後の討議の重要事項として提起した。
加えて、アウトソーシング（自社以外への委託）を行う分野・業務に関する分析を進めることを目的として、検討例を提示し、検証を進めた。

9図 10 機能一覧 アウトプット検討 例

図 11 機能のアウトソーシング可否の検討例

10

4.6.4. 第 4 回 人材定義 WG について
第 4 回では、前回の WG により共有された、サイバーセキュリティ対策に求められる機能定義を進める上で重要となる、ユーザ企業における共通モデルの策定に向けて、これまで管理部門の機能分化プロセスとして共有していたものから、情報システム部門における組織の成立からの機能分化プロセスについて確認を行うこととした。

図 12 一般的な情報システム部門の機能とその分化プロセス 例
特に、本機能分化プロセスは、日本企業における情報システム部門の発展を前提として例示したが、同時に、海外の基準も俯瞰することにより、機能定義がグローバル展開している場合であっても共通言語として活用できることを想定し、討議を進めた。
ここで活用した海外における基準は以下の 2 つによる。
Framework for Improving Critical Infrastructure Cybersecurity Version 1.0（NIST 発行）
the National Initiative for Cybersecurity Education（通称 NICE）

11

図 13 NIST サイバーセキュリティフレームワーク

図 14 NICE WORKFORCE

12

4.6.5. 第 5 回～第 7 回 人材定義 WG について
第 5 回から第 7 回における本 WG の討議は、ユーザ企業におけるサイバーセキュリティ対策に求められる機能定義に、共通モデルを策定するためのアンケートを実施した。
これまで、ユーザ企業におけるサイバーセキュリティ対策の機能定義を進めてきたが、実際に、各社の実情とどの程度整合性があり、また乖離しているのかについて確認を行うこととした。
アンケートの目的は 2 つあり、1 つめは、WG 参加企業におけるセキュリティ対策がどのような単位で分担されているのか、2 つめは、社内対応と社外（子会社や専門事業者
等）の分担はどのように行われているのか、を確認することとした。
このアンケートにより、人材の定義の前に、まずはユーザ企業がどのようなサイバーセ
キュリティ対策の体制を構築し、専門事業者を活用し、また非 IT 部門との連携を進めているのかについて確認することで、サイバーセキュリティ対策に必要となる機能定義に対する共通認識を醸成することとした。

図 15 サイバーセキュリティ機能の抽出・検証に関するアンケート結果

13

4.6.6. 第 8 回 人材定義 WG
本 WG においては、これまでの討議により策定された「機能定義」案に対して、アンケート結果に基づく機能の配列の修正を実施した。

図 16 サイバーセキュリティ対策の機能分化一覧の並べ替え
更に、機能定義の一覧を前提とし、ユーザ企業での運用に対応できるよう、サイバーセ
キュリティ対策の機能一覧を土台としたサイバーセキュリティ対策業務のプロセスモデルを導き出し、兼務を想定した必要となる機能の繋がりを明示することとした。
加えて、機能別に対するアウトソーシングの実施例および適用可能性を明示し、ユーザ
企業の社員が役割として担うべき機能と、管理監督を主体としてセキュリティ専門事業者
および ICT 事業者へアウトソーシング可能であると判断できるものを整理した。

14

図 17 サイバーセキュリティ対策の機能分化に基づく業務プロセス

図 18 サイバーセキュリティ対策の機能分化「アンケート」基づくアウトソーシング例

15

4.6.7. 第 9 回 人材定義 WG
本 WG では、前回策定された「機能定義」一覧に基づく業務プロセスモデルに対する機能粒度の調整およびアウトソーシング業務の拡大を念頭に、更に討議を深めることとした。
ここでの議論は、ユーザ企業の情報システム部門が日々意識しているサイバーセキュリ
ティ対策と「機能定義」や業務プロセスモデルとが整合しているかの確認を行い、各機能を社内外のいずれかの人材が担うとなった場合に過剰な人員構成等にならない、無理のない対応体制が構築できることを確認するためのものとした。

図 19 サイバーセキュリティ対策の機能モデルの簡素化
特に、通信監視およびデータベースセキュリティの機能が、サイバーセキュリティフレームワークの分類に影響を受けすぎていることを確認し、機能を統合することとした。
更に、アウトソーシングを委託する範囲を見直し、幅広くセキュリティ専門事業者および ICT 事業者のスキルを活用できるようにするため、サイバーセキュリティ対策の実施主
体と管理監督者の分離が必要との意見を受け、合意した。
最後に、サイバーセキュリティ人材の定義と採用の考え方について事務局より説明し、セキュリティ専門技術者とサイバーセキュリティ人材の間にある壁（差分）の取扱いについて、障害ではなく乗り越えていくべき重点課題として認識するよう意見を受け、修正し合意することとした。
16

図 20 サイバーセキュリティ対策の機能モデルに対するアウトソーシング範囲の拡大

図 21 サイバーセキュリティ人材の定義と採用

17

4.6.8.

第 10 回 人材定義 WG

第 9 回人材定義 WG までの議論により定義した「サイバーセキュリティ機能定義モデル」に基づき、今後の討議の方向性を探る議論を行った。
これは最終報告書にて添付した「5．Appendix 機能定義と NICE・NIST」から、実際にユーザ企業における情報システム部門での業務分担（例）を明示するための議論を目的とし検討の方向性を共有した。
なお、NICE とサイバーセキュリティフレームワーク（米国 NIST 提供）を活用する背景として、サイバーセキュリティ対策の有効性について検証を試みようとした際、日本国内には米国のサイバーセキュリティフレームワークと同等に位置づく基準が存在しないという課題があった。
また重要インフラ企業 13 業種における統一的な達成基準を策定するためには業務分析が必要であり、本検討会での議論だけでは困難であることから、サイバーセキュリティ対策のベストプラクティスの一例として NICE とサイバーセキュリティフレームワークを活用した。
「5．Appendix 機能定義と NICE・NIST」
機能定義とNICE/CSF

NICE /

セキュリティ機能一覧 & 機能分化プロセス

部門

主な機能概要セキュリティ機能定義
中期計画
年次計画

IT戦略

機能を実現する役割

情報収集・情報比較検討

らのセキュリティ対策整合性の担保

企画立案・計画立案

セキュリティ対策に係る実施計画
各事業に対するIT導入・構築運用改

情報収集・情報比較検討

善計画

企画立案・計画立案

ライセンス等を踏まえた、リプレー

情報収集・情報比較検討

ユーザビリティからの機能改善

システム企画IT企画

コスト管理
システム構築IT-BCP

情報収集・情報比較検討
要件定義に関するコスト管理
ICT環境における事業継続計画の策定

災害対策に関する改善計画

災害対策に関する稼働計画
セキュリティ
予防対策

情報セキュリティ（ISMS）

調達

情報セキュリティ改善計画

情報セキュリティ改善格闘

基幹システム構築

製品品質管理インフラ運用

企画立案・計画立案
情報収集・情報比較検討
企画立案・計画立案
情報収集・情報比較検討

的機能の継続的改善活動

計画立案・運用管理

セキュア設計（運用段階）

基本設計・詳細設計
導入計画・開発計画
基本設計・詳細設計
導入計画・運用改善
基本設計・詳細設計
導入計画・運用改善

導入計画・運用改善
詳細設計
導入計画・運用改善

運用テスト

パッチマネジメントの実施

詳細設計

パッチ管理

パッチ適用時のテスト実施

導入計画・運用改善

DB機器

DB機器等に関するバージョン管理

詳細設計

ver管理

クラウドサービス等のセキュリティ対策

導入計画・運用改善

DB機器

データマネジメントに必要なDB管理

詳細設計

構成管理

（データ特性に合わせたDB構成管導入計画・運用改善

DBデータ

理）
DB設定及び格納されるデータに対す

詳細設計

IDS / IPS

ID管理
アクセス権管理

セキュリティ監査
システム監査情報収集・情報比較検討

基本設計・詳細設計

通信監視システム運用ID

特定BE

ビジネス環境BE

ビジネス環境PR

防御

システム監査るセキュリティ対策
ファイアウォール設定

WAF設定

通信監視

通信遮断管理ターゲット

7 1

サイバーオペレーション

RS

対応

RP

対応計画の作成

RC

復旧

教育と訓練

GV

ガバナンス

RM

リスク管理戦略

IP

プロセス及び手順

RP

CO

対応計画の作成

RP

復旧計画の作成

伝達

CO

伝達

RP

対応計画の作成

RP

復旧計画の作成

RP

対応計画の作成

RP

復旧計画の作成

RP

対応計画の作成

RP

復旧計画の作成

CO

伝達

CO

伝達

IM

改善

IM

改善

IM

改善

IM

改善

IM

改善

IM

改善

IM

改善

IM

改善

情報システムセキュリティ

計画

7 2

オペレーション

7 3

法的助言と弁護

7 5

戦略的なポリシー策定

情報を保護するための

1 6

技術研究開発5 1 情報収集オペレーション

IP

プロセス及び手順

システムセキュリティ
1 5

アーキテクチャ

2 2

2 3

BE

ビジネス環境情報を保護するためのデータアドミニストレー
ション
ナレッジ
マネジメント

AM

資産管理

RM

リスク管理戦略

IP

AM

資産管理

IP

RM

リスク管理戦略

AT

ニング

PT

保護技術

情報保証コンプライアン
1 1

プロセス及び手順

情報を保護するための5 1 情報収集オペレーション

ス

7 1

教育と訓練
情報システムセキュリティ

7 2

オペレーション

7 3

法的助言と弁護

プロセス及び手順
意識向上およびトレー導入計画・運用改善

アーキテクチャ1 3システム開発1 4導入計画・運用改善

詳細設計

理

導入計画・運用改善計画

アーキテクチャ2 6

システムセキュリティ分PT析
情報システムセキュリティ

5 2 サイバーオペレーション 6 1

全情報源の諜報活動

7 2

ソフトウェア保証とエン
1 2

ジニアリング

1 7

試験と評価

ジニアリング

2 6

2 2

2 3

システムセキュリティ分析

脆弱性アセスメントと管
3 4

IP

PT

異常とイベントAE

異常とイベント

ニング

PT

保護技術

IM

改善

IM

改善

MA

保守

IM

改善

IM

改善

PT

保護技術

IM

改善

IM

改善

PT

保護技術

IM

改善

CO

伝達

MA

保守

CO

伝達

IM

改善

PT

保護技術

AE

IM

改善

CO

伝達

MA

保守

CM

CO

伝達

IM

改善

AC

アクセス制御DS

データセキュリティ

情報システムセキュリティ

データアドミニストレー

7 2

ション

オペレーション

ナレッジ
マネジメント情報システムセキュリティ

2 4

2 5

2 3

1 5

AE

保護技術

AT

ネットワークサービス
システムアドミニスト
レーション
ネットワークサービス
システムアドミニスト
レーション

3 1

オペレーション
情報システムセキュリティ

コンピューター ネット

7 2

ワーク防御分析

オペレーション

セキュリティの継続的

AM

資産管理

CM

なモニタリング

コンピューターネット

3 2

3 1

ワーク防御インフラ支援
情報システムセキュリティ

コンピューター ネット

5 1 情報収集オペレーション

ワーク防御分析

7 2

オペレーション

コンピューターネット

3 2

異常とイベント
セキュリティの継続的ワーク防御インフラ支援

ナレッジ

AM

マネジメント

資産管理

システムセキュリティ

内部監査・改善計画

プロセス及び手順

意識向上およびトレー

オペレーション

7 2

2 5

試験と評価

リスク管理戦略

情報システムセキュリティ

アーキテクチャ

2 4

1 7

保護技術
情報を保護するためのRM

オペレーション

7 2

理システムセキュリティ
1 5

オペレーション
情報システムセキュリティ

7 2

ソフトウェア保証とエン
1 2導入計画・運用改善

システム、フォルダ等アクセス権管

5 3

システム要件計画

詳細設計

導入計画・運用改善

計画

システムセキュリティ
1 5

導入計画・運用改善
詳細設計

5 3

サイバーオペレーション

詳細設計

詳細設計

キュリティ監査システム開発システムセキュリティ

1 5

導入計画・運用改善

シングルサインオン管理

情報セキュリティ監査、物理的セサイバーオペレーション
1 3

詳細設計

ActiveDirectry管理

システム監査セキュリティオペレーション業務
システム監査なモニタリング

情報を保護するためのアーキテクチャ内部監査・改善計画

4 2

捜査

7 3

4 2

捜査

7 3

法的助言と弁護

IP

法的助言と弁護IP

詳細設計
導入計画・運用改善

1 7

試験と評価

2 4

ネットワークサービス

3 1

プロセス及び手順

MA

保守

IM

改善

CM

なモニタリング

CO

伝達

CO

伝達

AN

分析

IM

改善

RP

対応計画の作成

RP

復旧計画の作成

プロセス及び手順

情報システムセキュリティ

コンピューター ネット

5 1 情報収集オペレーション

ワーク防御分析7 2

セキュリティの継続的オペレーション

SOC

2 5

システムアドミニスト
レーション
ナレッジ

ワーク防御インフラ支援

企画立案・運用改善

インシデントハンドリング

運用改善・情報収集

4 2

脅威情報収集、対策情報収集

情報収集・情報分析

4 2

フォレンジックス

情報収集・情報分析

4 1 デジタルフォレンジック

1 6

技術研究開発2 3

事後対応

トレーニング

2 6

マネジメント
システムセキュリティ分析AE

異常とイベントDP

検知プロセス

AE

異常とイベント

コンピューターネット

3 2

コマンダー
セキュリティ

CSIRT

ユーザーサポート検知

情報を保護するためのシステム監査セキュリティ

DE

情報を保護するための5 1 情報収集オペレーション 6 3

要件定義・訓練

情報収集・情報比較検討

通信環境管理

権限管理

監督と開発

計画

情報収集・情報比較検討

セキュリティ対策におけるシステム

ネットワーク管理

権限管理

企画立案・計画立案

理

Firewall / WAF

権限管理

情報収集・情報比較検討

業務システムに関するバージョン管バージョン管理

セキュリティ
インフラ運用

分析計画
サイバーオペレーション

5 3

5 3

要件定義・訓練

製品・サービス評価

アプリケーション

管理

データベース管理

システム要件計画

情報収集・情報比較検討に関するプロジェクトマネジメント

アプリケーション

運用テスト

1 4

企画立案・計画立案

システム構築及び運用のセキュリティ対策

セキュリティ対応
プロジェクト

運用テスト

ス

NIST / サイバーセキュリティフレームワーク

運用・情報収集サイバーオペレーション
5 3

企画立案・計画立案

情報収集・情報比較検討

製品選定

多層防御に関する取り組み

基幹システム運用

捜査

情報保証コンプライアン
1 1

情報収集・情報比較検討

製品・サービス調達

セキュア設計（構築段階）

導入・開発計画

インフラ構築サイバーセキュリティ教育イニシアティブ

守備・防衛

ス

情報収集・情報比較検討

情報収集・情報比較検討

構築・実装

基幹システム運用

運用・保守

提供
情報保証コンプライアン
1 1

情報収集・情報比較検討

取引先選定

パッチマネジメント計画

情報システムセキュリティ（概念の）

セット

調達

機能改善

インフラ構築要件定義

善
セキュリティサービス・ツール導入

スキル

企画立案・計画立案
情報収集・情報比較検討

システムセキュリティからの機能改

ディザスタリカバリ

調達

企画立案・計画立案

IT企画

機能構想

システム構築情報収集・情報比較検討

事業戦略

ス計画

事業継続

役割を担う作業要件

コンプライアンス及びガバナンスの観点か

3 3 インシデントレスポンス

5 1 情報収集オペレーション 6 1

全情報源の諜報活動

7 1

捜査

5 2 サイバーオペレーション 6 2

エクスプロイト分析

7 2

捜査

6 3

ターゲット

6 4

脅威分析

脆弱性アセスメントと管
3 4

理

教育と訓練

情報システムセキュリティ
オペレーション

RM

リスク管理戦略MA

RA

リスクマネジメント

AT

保守
意識向上およびトレー
ニング

セキュリティの継続的CMなモニタリング

CO

伝達

CO

伝達

DP

検知プロセス

AN

分析

IM

改善

MI

提言

IM

改善

情報収集・情報比較検討
企画立案・計画立案
カスタマーサポート &技

ユーザーサポート

ユーザーサポート

インシデント発生時の対応窓口

情報収集・運用改善

2 1

ヘルプデスクヘルプデスク

インシデント発生時の問合せ窓口

情報収集・運用改善

2 1

ユーザーサポート

術サポート

意識向上およびトレー

7 1

教育と訓練

AT

ニング

AE

カスタマーサポート＆技
術サポート

異常とイベント
セキュリティの継続的CMなモニタリング

図 22 Appendix 機能定義と NICE/NIST18

本 WG における機能定義の初期段階では、組織分化プロセス、各機能の定義、NICE や
サイバーセキュリティフレームワークに対応した一覧を作成し、それら機能についての詳細事項を明確化することを目指していたが、参加企業より新たに 2 つの観点が提起されたため、事務局として新たに対応した資料を提示した。2 つの観点とは「サイバーセキュリテ
ィ対策に必要な機能がどのように遂行されるべきかの一覧表」が必要となることと、「アウ
トソーシングの検証の前に、機能における管理監督と担当の役割分担の必要性」であった。
前者に対しては、サイバーセキュリティ対策に必要となる機能の一覧表として「機能定義・AtoZ」を公開し、サイバーセキュリティ機能に求められる業務の一覧の例示案を作成した。
「機能定義・AtoZ」は、それぞれの機能に対する業務内容を明記しており、それが左から、月次、日時、インシデント発生時、第 1 四半期～第 4 四半期という一覧となっており、ユーザ企業に勤務されていてサイバーセキュリティ対策に不慣れな方、新任の方でも、対策の全体像を俯瞰できることを目的とした。
機能定義とAtoZ
セキュリティ

機能を実現する役割

機能定義
中期計画
年次計画

役割を担う作業要件

リスクマネジメント委員会

企画立案・計画立案

経営会議

セキュリティ対策に係る実施計画
各事業に対するIT導入・構築運用改

情報収集・情報比較検討
企画立案・計画立案
情報収集・情報比較検討

善計画

企画立案・計画立案

IT企画

ライセンス等を踏まえた、リプレー

情報収集・情報比較検討

ス計画

企画立案・計画立案

ユーザビリティからの機能改善

コスト管理
IT-BCP

CIO/CISO支援

IT戦略会議CIO/CISO支援

セキュリティ対応進捗会議

セキュリティ対応進捗評価

情報収集・情報比較検討

システム運用に対するセキュリ

要件定義

ティ対策評価情報収集・情報比較検討

システム・機器等に対するセキュ

善

要件定義

リティ対策評価

セキュリティサービス・ツール導入に関するコスト管理
ICT環境における事業継続計画の策定

災害対策に関する改善計画

災害対策に関する稼働計画（ISMS）

定常（日次）業務

経営会議

システムセキュリティからの機能改

ディザスタリカバリ

情報セキュリティ

月例セット

情報収集・情報比較検討

キュリティ対策整合性の担保

事業戦略

機能構想

スキル

コンプライアンスの観点からのセ

情報セキュリティ改善計画

情報セキュリティ改善格闘

情報収集・情報比較検討

予実管理

情報収集・情報比較検討

リスクマネジメント委員会

バックアップ体制維持

企画立案・計画立案

CIO/CISO支援

システム更新対応

情報収集・情報比較検討

リスクマネジメント委員会

災害関連情報収集

企画立案・計画立案

CIO/CISO支援

災害対策ツール情報収集

インシデント発生時

CIO/CISO支援
インシデント対応判断（全体）

システム更新評価

ISMS委員会

年次計画進捗確認

策計画

インシデント対応判断

インシデント注意喚起（情報資産）

策計画

策計画

次年度 セキュリティ対 次年度 セキュリティ対 次年度 セキュリティ対
策計画

策計画

策計画

システム運用におけるシステム運用における システム運用における

KPI評価

KPI修正

システム機能改善計画

次年度 システム機能改 次年度 システム機能改

評価

善計画

KPI策定

善計画

エンドポイントセキュ エンドポイントセキュ

機能改善計画修正

リティ対策計画

リティ対策計画

次年度 セキュリティ対 次年度 セキュリティ対方針発表

IT-BCP内部監査

IT-BCP是正措置

IT-BCP訓練計画

IT-BCP訓練

IT-BCP内部監査

法定停電対策

防災訓練

方針発表

教育計画策定要件定義・訓練

情報収集・情報比較検討

年次計画進捗確認

防災訓練計画情報収集・情報比較検討

製品・サービス調達

年次計画進捗確認

第４四半期（例：1月～3月）

次年度 セキュリティ対 次年度 セキュリティ対 次年度 セキュリティ対

インシデント対応予算管理（災害）

情報収集・情報比較検討

年次計画進捗確認

インシデント対応状況評価

インシデント対応判断

取引先選定

第３四半期（例：10月～12月）

年次計画進捗確認

インシデント対応状況評価

要件定義・訓練

企画立案・計画立案

第２四半期（例：7月～9月）

年次計画進捗確認

インシデント対応状況評価

情報収集・情報比較検討

情報収集・情報比較検討

第１四半期（例：4月～6月）

方針発表

IT-BCP策定

法定停電対応（防災訓練）

ISMS内部監査
新任者セキュリティ教

ISMS是正措置

新規取引先審査

策事業者選定IT-BCP是正措置（防災訓練計画）

ISMS内部監査

新規入社社員教育策事業者選定ISMS更新審査計画

ISMS是正措置

育

取引先監査

取引先監査

調達

パッチマネジメント計画

機能改善

製品選定

購買申請受付対応

IT資産管理情報収集・情報比較検討

パッチ情報収集
パッチ適用情報管理
セキュリティ製品評価

企画立案・計画立案

次年度 調達計画

リティ対策評価

リティ対策評価

リティ対策評価

セキュア設計（運用段階）

構築PJ セキュリティ対応

基本設計・詳細設計
導入計画・運用改善
基本設計・詳細設計
導入計画・運用改善

構築PJ セキュリティ対応

構築PJ セキュリティ対応

セキュリティ対策 運用状況監視

運用PJ セキュリティ対応

インシデント情報収集

OSI7レイヤー整合性評価

セキュリティ製品評価
セキュリティサービス評価

システム構築及び運用のセキュリ

基本設計・詳細設計

インシデント対応PJ運営

インシデント対応PJ運営

インシデント対応PJ運営

ティ対策に関するプロジェクト管理導入計画・運用改善（緊急対応含む）（緊急対応含む）（緊急対応含む）

業務システムに関するバージョン管

詳細設計ライセンス管理

アプリケーションVer管理

アプリケーションVer管理理

導入計画・運用改善

運用テスト

パッチマネジメントの実施

詳細設計

OS/アプリ/ファームウェアVer管 OS/アプリ/ファームウェアVer管

パッチ管理

パッチ適用時のテスト実施

導入計画・運用改善

理・パッチ適用

理・パッチ適用

アプリケーションVer管理

アプリケーションVer管理

ファームウェアVer管理

ファームウェアVer管理

DB構成管理DB構成管理設定変更

ログ管理

DBセキュリティ改善

設定変更

DB機器

DB機器等のバージョン管理・クラウ

詳細設計

ドサービス等のセキュリティ対策

導入計画・運用改善

DB機器

データマネジメントに必要なDB管理

詳細設計

構成管理

（データ特性に合わせたDB構成管導入計画・運用改善

DBデータ

理）
DB設定及び格納されるデータに対す

詳細設計

るセキュリティ対策

導入計画・運用改善

ファイアウォール設定

WAF設定

通信監視

通信遮断管理セキュリティオペレーション業務

詳細設計
導入計画・運用改善
詳細設計
導入計画・運用改善
詳細設計
導入計画・運用改善
詳細設計
導入計画・運用改善
詳細設計
導入計画・運用改善

ライセンス管理

ログ管理

ログ管理

ログ管理

ログ管理

監視業務
稼働状況レポート作成等
監視業務
稼働状況レポート作成等
監視業務
稼働状況レポート作成等
監視業務
稼働状況レポート作成等

画策定

運用改善 設計支援

運用改善 設計支援

運用改善評価運用改善評価エンドポイントセキュ
リティ対策評価
次年度 構築PJ 設計支

次年度 構築PJ 設計支

次年度 構築PJ 設計支

援

援

援

次年度 運用PJ 設計

次年度 運用PJ 設計

導入システム 評価支援

プロジェクトver管理

運用改善 設計支援

パッチマネジメント計

改善・製品改善

セキュリティ製品情報収集

導入計画・開発計画

IT機器棚卸セキュリティ機能運用

計画立案・運用管理
基本設計・詳細設計

次年度 調達計画

評価・製品評価

的機能の継続的改善活動

バージョン管理

通信監視

用状況評価

セキュリティ機能運用

エンドポイントセキュ

アプリケーション

IDS / IPS

パッチマネジメント運用状況評価

エンドポイントセキュ

セキュリティ対応

通信環境管理パッチマネジメント運

エンドポイントセキュ

情報収集・情報比較検討

Firewall / WAF（IT機器棚卸）

用状況評価

セキュリティ製品評価支援

インシデント情報収集

製品・サービス評価

セキュリティ

パッチマネジメント運

パッチ適用評価支援

情報収集・情報比較検討

多層防御に関する取り組み

製品品質管理

企画立案・計画立案

セキュリティ対策におけるシステム

セキュア設計（構築段階）

導入・開発計画

情報収集・情報比較検討

ライセンス評価

パッチ適用状況確認

ライセンス評価

パッチ適用状況確認

パッチ適用状況確認

パッチ適用状況確認

ライセンス評価

ライセンス評価
次年度 構築PJ 設計支

次年度 構築PJ 設計支援援

DBセキュリティ設定評

DBセキュリティ計画

価

設定変更

FW 設定評価

FW 設定評価

FW 設定評価

FW 設定評価

設定変更

WAF 設定評価

WAF 設定評価

WAF 設定評価

WAF 設定評価

設定変更

設定変更

月例レポート作成
監視業務

SOC

稼働状況レポート作成等

設定変更

インシデント 初動対応

CSIRT

コマンダー

企画立案・運用改善

インシデントハンドリング

運用改善・情報収集

脅威情報収集、対策情報収集

情報収集・情報分析

フォレンジックス

情報収集・情報分析

トレーニングID管理
アクセス権管理

セキュリティ監査

月例レポート作成

インシデント対応PJ管理

インシデント初動対応
情報収集・分析業務

レポート作成等

レポート作成等

インシデント対応トレーニング企

インシデント注意喚起

画実施

導入計画・運用改善

システム、フォルダ等アクセス権管

詳細設計

理

導入計画・運用改善

次年度 CSIRT体制計画 次年度 CSIRT体制計画

フォレンジクス
教育計画策定シングルサインオン管理

CSIRT稼働状況評価（サイバーリスク）

情報収集・分析業務

企画立案・計画立案
詳細設計

インシデント対応判断

インシデント対応改善

情報収集・情報比較検討

ActiveDirectry管理

情報セキュリティ監査、物理的セ各種委員会報告

ID棚卸

アクセス権棚卸

人事異動等対応
外注先アカウント付与
人事異動等対応
外注先アクセス権付与

新規入社社員教育

新任者セキュリティ教

夏季休業 注意喚起

GW 注意喚起

設定変更

設定変更

育

サイバーセキュリティ

新年 注意喚起

人事異動ID管理

人事異動ID管理

人事異動ID管理

人事異動アクセス権管

人事異動アクセス権管

人事異動アクセス権管

理

理

理

月間イベント
新入社員ID管理
人事異動ID管理
新入社員アクセス権
人事異動アクセス権

内部監査・改善計画

監査役会支援監査役会支援リスクマネジメント委員会支援

システム監査内部監査・改善計画

監査役会支援監査役会支援リスクマネジメント委員会支援

ユーザーサポート

インシデント発生時の対応窓口

情報収集・運用改善

インシデント注意喚起

社内連絡窓口レポート作成等

稼働状況評価

次年度 体制計画

ヘルプデスク

インシデント発生時の問合せ窓口

情報収集・運用改善

社内通報窓口レポート作成等

稼働状況評価

次年度 体制計画

システム監査キュリティ監査会計監査対応会計監査対応

内部監査

是正措置

内部監査

是正措置

内部監査

是正措置

内部監査

是正措置

図 23 AtoZ「アウトソーシングの検証の前に、機能における管理監督と担当の役割分担の必要性」という意見に対しては、アウトソーシングを検討するための検証イメージを共有した上で、「機能定義・AtoZ・アウトソーシング例」という資料を公開し、各社のアウトソーシング状
況を踏まえた資料の最適化を目指すこととした。
19

図 24 機能定義とアウトソーシングを検討するための検証イメージ
機能定義とAtoZ

管理監督業務

セキュリティ

機能を実現する役割

機能定義
中期計画
年次計画

役割を担う作業要件

経営会議

セキュリティ対策に係る実施計画

情報収集・情報比較検討
企画立案・計画立案
情報収集・情報比較検討
企画立案・計画立案

ライセンス等を踏まえた、リプレー

情報収集・情報比較検討

ス計画

企画立案・計画立案

経営会議

CIO/CISO支援

IT戦略会議CIO/CISO支援

セキュリティ対応進捗会議

セキュリティ対応進捗評価

情報収集・情報比較検討

システム運用に対するセキュリ

要件定義

ティ対策評価システムセキュリティからの機能改情報収集・情報比較検討

システム・機器等に対するセキュ

善

要件定義

リティ対策評価

情報収集・情報比較検討

予実管理

ユーザビリティからの機能改善

セキュリティサービス・ツール導入に関するコスト管理
ICT環境における事業継続計画の策定

災害対策に関する改善計画

ディザスタリカバリ
災害対策に関する稼働計画（ISMS）

社内
リスクマネジメント委員会

善計画

情報セキュリティ

インシデント発生時

経営会議

各事業に対するIT導入・構築運用改

IT-BCP定常（日次）業務

リスクマネジメント委員会

企画立案・計画立案

IT企画

コスト管理

月例

セット

情報収集・情報比較検討

キュリティ対策整合性の担保

事業戦略

機能構想

スキル

コンプライアンスの観点からのセ

情報セキュリティ改善計画

情報セキュリティ改善計画

CIO/CISO支援

経営会議
CIO/CISO支援

アウトソーシング例
システム子会社

セキュリティ対策 情報提供・企画立案支援

インシデント対応判断

IT戦略会議（全体）

CIO/CISO支援

セキュリティ対策企画立案

セキュリティ対策 情報提供・企画立案支援

インシデント対応状況評価

セキュリティ対応進捗会議

セキュリティ対策企画立案

セキュリティ対策 情報提供・企画立案支援

インシデント対応状況評価

システム運用に対するセキュリティ対策評価

要件定義

セキュリティ対策 情報提供・企画立案支援

インシデント対応状況評価

システム・機器等に対するセキュリティ対策評価

要件定義

セキュリティ対策 情報提供・企画立案支援

インシデント対応予算管理

予実管理

基本設計

セキュリティ対策 情報提供・企画立案支援

リスクマネジメント委員会

バックアップ体制維持

リスクマネジメント委員会

バックアップ体制維持

企画立案・計画立案

CIO/CISO支援

システム更新対応

CIO/CISO支援

システム更新対応

情報収集・情報比較検討

リスクマネジメント委員会

災害関連情報収集

リスクマネジメント委員会

災害関連情報収集

企画立案・計画立案

CIO/CISO支援

災害対策ツール情報収集

CIO/CISO支援

災害対策ツール情報収集

インシデント対応判断（災害）

インシデント対応（災害）システム更新評価

情報収集・情報比較検討

インシデント対応判断

要件定義・訓練（災害）

企画立案・計画立案

セキュリティ専門事業者

セキュリティ対策企画立案

情報収集・情報比較検討

情報収集・情報比較検討

システム委託先ISMS委員会

インシデント対応 情報提供・計画立案支援
インシデント対応 情報提供・計画立案支援
インシデント対応 情報提供・計画立案支援
ISMS対応 情報提供・計画立案支援

ISMS委員会

情報収集・情報比較検討

教育計画策定インシデント対応判断

教育計画策定・注意喚起

要件定義・訓練

インシデント注意喚起（情報資産）

インシデント対応判断(情報資産)

取引先選定

情報収集・情報比較検討

新規取引先審査

新規取引先審査

製品・サービス調達

情報収集・情報比較検討

購買申請受付対応

購買申請受付対応

インシデント対応（情報資産）

インシデント対応 情報提供

信用調査

調達

パッチマネジメント計画

機能改善

製品選定

IT資産管理情報収集・情報比較検討

パッチ情報収集
パッチ適用情報管理
セキュリティ製品評価

企画立案・計画立案

パッチ適用評価支援

IT資産管理セキュリティ製品評価支援

セキュリティ製品評価

インシデント対応 情報提供

計画立案・運用管理

セキュリティ製品情報収集

セキュリティ製品情報収集

セキュリティ製品情報収集

インシデント対応 実務支援

セキュア設計（運用段階）

基本設計・詳細設計
導入計画・開発計画

構築PJ セキュリティ対応

基本設計・詳細設計
導入計画・運用改善
基本設計・詳細設計
導入計画・運用改善

構築PJ セキュリティ対応

構築PJ セキュリティ対応

構築PJ セキュリティ対応

セキュリティ対策 運用状況監視

運用PJ セキュリティ対応

セキュリティ対策 運用状況監視

インシデント情報収集

OSI7レイヤー整合性評価

インシデント情報収集

セキュリティ製品評価

セキュリティ製品評価

導入システム 評価支援
インシデント対応 実務支援
パッチ情報提供

パッチ適用

パッチ情報提供

テスト環境構築、テスト実施、評価結果報告

テスト計画策定支援（緊急対応含む）

アプリケーション

業務システムに関するバージョン管

詳細設計

バージョン管理理

導入計画・運用改善

ライセンス管理

アプリケーションVer管理

アプリケーションVer管理

運用テスト

パッチマネジメントの実施

詳細設計

OS/アプリ/ファームウェアVer管 OS/アプリ/ファームウェアVer管

パッチ管理

パッチ適用時のテスト実施

導入計画・運用改善

理・パッチ適用

理・パッチ適用

アプリケーションVer管理

アプリケーションVer管理

ファームウェアVer管理

ファームウェアVer管理

DB構成管理DB構成管理設定変更

DB構成管理ログ管理

DBセキュリティ改善

設定変更

ログ管理

設定変更

ログ管理

設定変更

ログ管理

設定変更

ログ管理

設定変更

ログ管理

DB機器等のバージョン管理・クラウ

詳細設計

ドサービス等のセキュリティ対策

導入計画・運用改善

DB機器

データマネジメントに必要なDB管理

詳細設計

構成管理

（データ特性に合わせたDB構成管導入計画・運用改善

DBデータ

理）
DB設定及び格納されるデータに対す

詳細設計

るセキュリティ対策

導入計画・運用改善

ファイアウォール設定

WAF設定

通信監視

通信遮断管理セキュリティオペレーション業務

詳細設計
導入計画・運用改善
詳細設計
導入計画・運用改善
詳細設計
導入計画・運用改善
詳細設計
導入計画・運用改善
詳細設計
導入計画・運用改善

ライセンス管理

ログ管理

ログ管理

ログ管理

ログ管理

セキュリティ監査

監視業務
稼働状況レポート作成等
監視業務
稼働状況レポート作成等

稼働状況レポート作成等

企画立案・運用改善

インシデントハンドリング

運用改善・情報収集

脅威情報収集、対策情報収集

情報収集・情報分析

フォレンジックス

情報収集・情報分析

トレーニング

アクセス権管理

稼働状況レポート作成等

監視業務

コマンダー

ID管理

稼働状況レポート作成等
監視業務

月例レポート作成

インシデント対応PJ管理システム、フォルダ等アクセス権管

詳細設計

理

導入計画・運用改善

人事異動等対応
外注先アクセス権付与

設定変更
監視業務・稼働状況レポート作成等
設定変更
監視業務・稼働状況レポート作成等
設定変更
監視業務・稼働状況レポート作成等
設定変更

インシデント 初動対応

インシデント初動対応

インシデント対応判断

各種委員会報告・インシデント対応PJ管理（サイバーリスク）インシデント対応判断（サイバーリスク）
インシデント対応改善
インシデント初動対応

設定変更

設定変更

パッチ情報提供
セキュリティ対策 情報提供・実務支援
セキュリティ対策 情報提供・実務支援
セキュリティ対策 情報提供・実務支援
セキュリティ対策 情報提供・実務支援
セキュリティ対策 情報提供・実務支援
セキュリティ対策 情報提供・実務支援

インシデント対応 実務支援
インシデント初動対応
情報収集・分析業務・レポート作成等
フォレンジクス

フォレンジクス

アクセス権棚卸監視業務・稼働状況レポート作成等

インシデント 初動対応

情報収集・分析業務

外注先アカウント付与

設定変更

設定変更

月例レポート作成

人事異動等対応

設定変更
DBセキュリティ改善

監視業務・稼働状況レポート作成等

レポート作成等

画実施

DB構成管理

設定変更

情報収集・分析業務

インシデント対応トレーニング企

ID棚卸

ファームウェアVer管理

監視業務・稼働状況レポート作成等

設定変更

インシデント初動対応

インシデント注意喚起

導入計画・運用改善

アプリケーションVer管理

月例レポート作成

レポート作成等

教育計画策定詳細設計ライセンス管理

情報収集・分析業務

企画立案・計画立案

シングルサインオン管理

OS/アプリ/ファームウェアVer管理

インシデント対応改善

情報収集・情報比較検討

ActiveDirectry管理

情報セキュリティ監査、物理的セ各種委員会報告

セキュリティサービス評価

月例レポート作成

月例レポート作成

SOC

CSIRT

監視業務

インシデント対応 情報提供
各種設計におけるレビュー

アプリケーションVer管理

インシデント対応PJ運営（緊急対応含む）

DB機器

各種設計におけるレビュー

OSI7レイヤー整合性評価

ライセンス管理

インシデント対応PJ運営（緊急対応含む）

ver管理

インシデント対応 実務支援

要件定義、基本設計、詳細設計及びレビュー

インシデント対応PJ運営（緊急対応含む）

インシデント対応PJ運営

導入計画・運用改善

導入システム 評価支援

インシデント対応 実務支援
各種設計におけるレビュー

構築PJ セキュリティ対応

インシデント対応PJ運営（緊急対応含む）

基本設計・詳細設計

ティ対策に関するプロジェクト管理

セキュリティサービス評価

構築PJ セキュリティ対応
要件定義、基本設計、詳細設計及びレビュー

導入システム 評価

システム構築及び運用のセキュリ

通信監視

セキュリティ製品評価 支援的機能の継続的改善活動

プロジェクトIDS / IPS

セキュリティ製品評価
インシデント情報収集

セキュリティ対応

通信環境管理セキュリティパッチ評価支援

セキュリティ製品情報収集

インシデント情報収集

情報収集・情報比較検討

Firewall / WAF

セキュリティパッチ情報提供

パッチ適用情報管理

インシデント情報収集

製品・サービス評価

セキュリティ

セキュリティ対策 情報提供
パッチ情報収集

情報収集・情報比較検討

多層防御に関する取り組み

製品品質管理

企画立案・計画立案

セキュリティ対策におけるシステム

セキュア設計（構築段階）

導入・開発計画

情報収集・情報比較検討

教育計画策定インシデント対応トレーニング企画実施

インシデント注意喚起

インシデント注意喚起

ID棚卸
人事異動等対応・外注先アカウント付与
アクセス権棚卸
人事異動等対応・外注先アクセス権付与

インシデント対応 実務支援

設定変更

セキュリティ対策 情報提供

設定変更

セキュリティ対策 情報提供

内部監査・改善計画

監査役会支援監査役会支援リスクマネジメント委員会支援

監査役会支援リスクマネジメント委員会支援

セキュリティ対策 情報提供

システム監査内部監査・改善計画

監査役会支援監査役会支援リスクマネジメント委員会支援

監査役会支援リスクマネジメント委員会支援

セキュリティ対策 情報提供

ユーザーサポート

インシデント発生時の対応窓口

情報収集・運用改善

インシデント注意喚起

社内連絡窓口レポート作成等

インシデント注意喚起

ヘルプデスク

インシデント発生時の問合せ窓口

情報収集・運用改善

社内通報窓口レポート作成等

システム監査キュリティ監査インシデント注意喚起
社内連絡窓口・レポート作成等
社内通報窓口・レポート作成等

インシデント対応 実務支援
インシデント対応 実務支援

図 25 サイバーセキュリティ対策の機能分化に基づくアウトソーシング 例

20

4.6.9.

第 11 回 人材定義 WG

第 10 回人材定義 WG において、機能定義一覧の拡張版の 2 点をセットとした 3 点セットの検証を開始した。

図 26 検証作業協力のお願い
また、これまで明確にしてこなかった CISO の機能を明確にするべく次回、第 12 回で CISOに関する議論を進めることを決めた。なお、サイバーセキュリティ人材の役割を検討することを目指し、育成モデルの検討方針を共有した。
加えて機能定義に定めた各機能が正しく活動できるために、必要となる作業項目を以下の通り整理した。


管理する側・される側の観点管理すべき立場、対策を実行すべき立場を明確にし、それぞれの立場を誰が担うのか（社員はどこまで対応できると望ましいのか）」について討議・共有する。



人材採用と人材育成の観点機能を担う人材を選ぶ視点について、過去セキュリティ対策に必要なる人材をどのように集めてきたのかを共有する。選ぶ際の注意事項も共有する。



機能を担当する範囲を検討することにより、部署名や役職名を検討できる
21

機能定義と人材育成をつなぐための、人材の位置づけや価値を検討する。

図 27 検証：CISO の役割

図 28 検証：情報システム部門責任者の役割
22

図 29 検証：IT 戦略・企画部署の役割

図 30 検証：セキュリティ対策プロジェクトマネージャーの役割

23

4.6.10. 第 12 回人材定義 WG
第 12 回では、CISO の機能に限定した議論を実施した。

図 31 CISO を機能マップに追加するための検討
ここでは、CISO を機能として考えた時、単純に役員相当の社内人材にその名称を与えることだけで良いのかという議論を行い、一般的に、IT 業界で共有されている「情報セキュ
リティを統括する担当役員」である CISO という説明と、コーポレートガバナンスの観点か
らの「役員の人数の減少および意思決定の高度化」といった世の中の流れについて共有した。
これは、多くの ICT 関連メディアを中心に説明されている「サイバーセキュリティが経営課題である」というフレーズに対して、単純に CISO の任命で問題が解決できるような単純なものではなく、会社組織として全社リスクマネジメントの観点、企業防衛の視点を持った
サイバーセキュリティ対策をいかに高度化、効率化していくのかという点での重要な議論となった。
まずは、サイバーセキュリティ経営ガイドラインの記載内容を振り返ることから始め、更に、討議を進めるための新しいプロセス図の開設を実施した。

24

図 32 サイバーセキュリティ経営ガイドラインと CISO
そこで、これまで活用してきたプロセス図に対して、CISO 機能を追記し、監査の報告先を CISO 等とする新しいプロセス図に基づく議論を進めた。

図 33 サイバーセキュリティ対策の機能定義とアウトソーシング
25

4.6.11. 第 13 回人材定義 WG
第 13 回では、第 12 回での CISO に関する議論を踏まえて、最終成果物に向けた議論を深めることとなった。
まずは、以下の項目について第 12 回の議論をまとめた。

図 34 CISO を機能マップに追加するための検討（討議後）これまでの討議により、事務局より提示してきたサイバーセキュリティ対策の機能定義に関するプロセスについて、大幅な改定を行うこととした。
機能定義における機能の見直しとしては、「コスト管理」が多くの機能に内包されていることから削除され、「アプリケーション管理」が「OS 管理」と「アプリケーション管理」に分割、更には「DB データセキュリティ」から派生して「クラウドサービス管理」の位置付けを検証することとした。
更に、機能内容の見直しに加えて、各業務に対するスタンスを PDCA と OODA ループを使用して整理し、業務レベルの整理および、これまで業務の関連性を示すものとして使用してきた矢印を削除することとなった。

26

図 35 サイバーセキュリティ対策の機能定義とアウトソーシング

図 36 サイバーセキュリティ対策における機能の活動プロセスモデル

27

上記モデルに対する討議を踏まえて、討議プロセスの変遷を図としてまとめた。

図 37 サイバーセキュリティ対策の機能定義とアウトソーシング（第 13 回提示）
コスト管理の重要性を強調するプロセス図から、コスト意識は全てのポジションが保有すべきとの意見を受け、下記図に修正した。

28

図 38 サイバーセキュリティ対策の機能定義とアウトソーシング（討議後）

図 39 サイバーセキュリティ対策の機能定義とアウトソーシング（要検証）29

更に、上記のとおり、プロセス図に新機能（クラウドセキュリティを想定）を追加し、業務分担をより明確にするために、一旦矢印を削除することとした。

図 40 サイバーセキュリティ対策の機能定義とアウトソーシング（線削除）30最後に、事務局より、人材定義 WG における最終報告書作成に向けた協力を依頼した。

図 41 人材定義に向けてこれまでの討議の振り返り

31

4.6.12. 第 14 回人材定義 WG
第 14 回では、情報システム部門における業務をイメージし「機能定義 AtoZ」と「機能定義アウトソーシング」という 2 つのシートの設計思想となりうる全体構成の整理を実施し、組織内での配置や、業務を遂行する上で意識すべき時間軸等の追加を行った。
これまで議論を進めてきた機能定義のプロセスマップに対し、矢印を削除したため関係図としてこれを定め、更に機能の配置だけではなく、機能群を意識した役割および時間軸を整理した。

図 42 サイバーセキュリティ対策の機能定義（関係図）
更に、左列の定義を見直し、各機能の配置を整理し、情報システム部門におけるサイバー
セキュリティ機能の配置を最適化した。構築管理・運用管理・システム管理・セキュリティ管理という切り分け方を止め、監査を構築運用主体の中に機能として配置することは無いとの意見から、再度修正を行った。
これにより、配置した機能の中でも、隣接する機能同士での兼務等を意識し、キャリアパ
スをイメージできるようにすることを念頭に置いた。

32

図 43 サイバーセキュリティ対策の機能定義（関係図）改定
最後に、人材定義 WG の最終成果物（予定）の説明を行い、作業の方向性を固めた。

図 44 人材定義 WG におけるアウトプットイメージ
33

図 45 人材定義におけるアウトプットイメージ（5 点セット）

34

4.6.13. 第 15 回人材定義 WG
第 14 回の議論を経て、機能定義のプロセスマップの見直しを実施した。

図 46 サイバーセキュリティ対策の機能定義（関係図）再改定
第 14 回の討議において、システム運用におけるセキュリティ対策の強化および、セキュ
リティ機能で特に注意すべき部分については、セキュリティという記載を明確化し、更にア
ウトソーシングが可能な範囲を可能な限り広げて明示するという 3 点に基づき修正を行った。
上記、機能定義プロセスマップに基づき、各機能の関係性を整理したことによって、最終的な人材定義の成果物となるシートの作成および検証に着手することとなった。成果物として提示したものは、エクセルシートの 3 点。
特に、人材定義に結び付けるための一覧として、機能定義＆人材定義（案）を作成し、機能を統合したサイバーセキュリティ人材の位置付けを明確にし、今後の人材育成や人材採用および評価に向けて、どのような役割が社内に必要で、そのために知識や経験をいかに求めていくのかという点を整理する資料とした。

35

また、機能定義プロセスマップに記載のある「セキュリティ機能評価」については「セキュリティ機能改善」と各担当業務（青色の部分）にそれぞれ内包されるため、人材定義リフ
ァレンス（エクセル版）においては「セキュリティ機能評価/改善」と本バージョンにおいては統合している。

図 47 本日の資料

36

図 48 機能定義一覧＆AtoZ

図 49 機能定義一覧＆アウトソーシング37

図 50 機能定義一覧＆人材定義（案）
最後に、人材定義 WG の中で、主体となる成果物と設定してきた、NICE およびサイバーセ
キュリティフレームワークに基づく機能定義については、今回の成果物とはせず、参考として位置付けることを事務局より説明した。
この理由は、ユーザ企業に求められるサイバーセキュリティ対策は、今後、全社リスクマ
ネジメントの観点が強く求めると考えられ、サイバーインシデント対応に主眼を置く NICE
やサイバーセキュリティフレームワークではセキュリティ対策の全体像をミスリードしてしまう恐れがあることを共有した。更には、サイバーセキュリティフレームワークが参照する各種標準・基準が多岐に渡り、ISA62443、COBIT、SP800、ISO27001 等を俯瞰し整理・共有するための時間を割くことが困難であると考えられた。
しかしながら、米国 NIST 作成の基準であるこれらの指標については、今後検証を進め、人材育成を検討する際に米国で作成されている人材育成のモデルおよび教育プログラムとの相互関係を整理するための資料として再度活用を試みることを事務局より説明した。

38

図 51 「機能定義＆NICE/NIST」の取扱いについて
加えて、CSIRT 人材や SOC 人材の定義については、日本シーサート協議会および日本セキュリティオペレーション事業者連絡会で検討、発表している人材定義とすり合わせることを考え、人材定義 WG でそれらの対策の在り方と必要となる人材の定義については、国内の諸団体活動に委ねることとした。

39

4.6.14. 第 16 回人材定義 WG
第 16 回では、事務局より、人材定義 WG のこれまでの活動を振り返り、また今後の方向性について説明を行った。

図 52 サイバーセキュリティ人材定義の【これまで】
中間報告書においても記載した通り、当初、サイバーセキュリティ人材育成に向けた人材定義を実施するため、様々なサイバーセキュリティ対策そのものの議論や勉強会、各社事例の共有を行ってきたが、これまでは、参加企業のいずれにも関心のある「情報システム部門」
において求められる「サイバーセキュリティ人材」についての議論を進めてきた。
今後については、制御系におけるサイバーセキュリティ人材のあり方について議論を進めていくことを議論し、更には、これまでの人材定義に対する人材育成の方向性や施策に関する討議を行うこととした。

40

図 53 サイバーセキュリティ人材定義の【これから】
続いて、機能定義に紐づく対策カレンダーとしての AtoZ についての使用法を解説した。

図 54 標準タスクとしての「機能定義一覧 AtoZ」
41

図 55 標準タスクとしての「機能定義一覧 AtoZ」

図 56 標準タスクとしての「機能定義一覧 AtoZ」

42

図 57 標準タスクとしての「機能定義一覧 AtoZ」
次に、機能定義一覧に基づく、アウトソーシングの基準についての説明を行った。

図 58 「機能定義一覧 アウトソーシング」
43

図 59 「機能定義一覧 アウトソーシング」

図 60 「機能定義一覧 アウトソーシング」

44

図 61 「機能定義一覧 アウトソーシング」
AtoZ およびアウトソーシングを踏まえ、サイバーセキュリティ人材のモデル像を確認した。

図 62 「機能定義一覧 人材モデル定義」
45

図 63 「機能定義一覧 人材モデル定義」

図 64 「機能定義一覧 人材モデル定義」

46

図 65 「機能定義一覧 人材モデル定義」「機能定義一覧 人材モデル定義」に関する議論において、業務を担うための「知識」と「経験」に着目し、それぞれを○、△、×による分類に基づき初案を策定した。

CISO

システム部門システム企画基幹システム基幹システム

責任者

担当者

構築担当者

運用担当者

知識

経験

知識

経験

知識

経験

知識

経験

知識

経験

○

◎

○

△

△

×

△

×

△

×

○

◎

○

◎

○

△

×

×

×

×

○

◎

○

◎

○

◎

△

×

△

×

○

◎

○

◎

○

◎

△

△

△

△

○

◎

○

◎

○

◎

△

△

△

△

図 66 「機能定義一覧 人材モデル定義」知識と経験
今回の議論から 2 つのポイントを導き、分類の仕方と評価方法を変更することとなった。変更の目的は、スキルや経験を持った人材が適任か否か判断するというこれまでのセ
キュリティ人材におけるスキル評価の方法を見直し、定期人事異動等により経営判断によ47

ってスキルの有無とは関係なく、その任に就くことがある日本企業における人材定義を模索することとなった。
最終成果物に反映された下記表記においては、これまでの配属基準となる記載から、配属された後にどのような知識や経験が求められるのかに着目し、「要求知識」（役割を担うために求められる知識）と「業務区分」（役割を担当するということは、どのような業務に対してどのような責任や権限が伴うのか）の 2 軸による記載方法に修正した。
更に、経験や知識を持ちうるのかというこれまでの基準を見直し「やらなければならないこと」と「やらなければならない人は誰か」を明確にする指標を定めることとした。
CISO

サイバーセ

CRO

キュリティ統

CIO等

括（室等）

システム部門 業務システム ネットワーク
責任者

管理者

管理者

要求

業務

要求

業務

要求

業務

要求

業務

要求

業務

知識

区分

知識

区分

知識

区分

知識

区分

知識

区分

○

5

○

4

○

4

×

1

×

1

○

4

△

4

○

5

△

4

△

4

○

4

○

4

○

5

△

4

△

4

○

4

△

4

○

5

△

4

△

4

○

4

△

4

○

5

△

4

△

4

図 67 「機能定義一覧 人材モデル定義」要求知識と業務区分
以上より、業務区分の 5 段階は、以下の通りとした。
5：業務責任を負う 4：業務責任者を支援・補佐する
3：業務を担当する 2：業務担当者を支援・補佐する 1：業務内容を理解する
ここまでに至る修正の経緯は、全て事務局から提示したモデルケースに対する、参加企
業による社内展開を想定した「使い勝手」に基づく判断および要求に基づく成果であり、今後役割の種類について企業規模や事業内容、全社リスクマネジメントにおけるサイバー
セキュリティ対策の重要性の違い等による人員配置の違い等へ昇華していくものと考えられる。
特に、人材定義として進めてきた成果物が、今後各社で活用されるためには、評価基準
としての活用を想定したものにすべきとの意見を受け、ゴールの見えにくいサイバーセキ
ュリティ対策を追求していく人材を育成するための会社がもつべき基準となりうることをイメージし、策定することとなった。
48

4.6.15. 第 17 回人材定義 WG
第 17 回では、最終成果物の発表に関する報告を行った。これまでの議論を振り返り、作成してきた資料とその内容について再度確認を行い、また NISC、経済産業省、文部科学省、
IPA 等との情報共有について、事務局から説明を行った。

図 68 人材定義 WG 資料作成の変遷
最終成果物として提示するものとして、以下 5 つについて解説を行い、それぞれの名称について決定した。
サイバーセキュリティ対策の機能定義（関係図）



産業横断 人材定義リファレンス～機能と業務に基づくセキュリティ人材定義～



産業横断 セキュリティ対策カレンダー～セキュリティ対策 AtoZ～



産業横断 セキュリティオペレーション アウトソーシングガイド



産業横断 人材定義リファレンスに基づくスキルマッピング

49

図 69

1．サイバーセキュリティ対策の機能定義（関係図）

図 70

2．産業横断 人材定義リファレンス

50

図 71

図 72

3．産業横断 セキュリティ対策カレンダー

4．産業横断セキュリティオペレーション アウトソーシングガイド

51

図 73

5．情報システム部門におけるサイバーセキュリティ人材イメージ

52

4.6.16. 人材定義 WG の活動の総括
これまで 17 回の議論を通じて、サイバーセキュリティ人材とは情報資産の安全性を確保する人材という広い意味から、日々高度化する ICT そのものの技術要件に詳しいだけではなく、会社組織に対する理解、リスクマネジメントを遂行するリスク・センス、更には会社全体で対応していくコミュニケーション能力と幅広いスキルや経験、そしてサイバー空間に流れる様々な情報を扱うための語学力（主に英語力）が求められていることを共有できた。
更には、セキュリティ専門職としてのキャリアを築けるか否かという議論もさることな
がら、やはり会社組織としての人事異動に伴う担当者交代による対策の有効性判断の違い、リスクへの感度の違いを、いかに会社組織の仕組みとして補完していけるのかという議論ができ、成果に反映できたことは活動の大きな意義として位置付けられる。
第一期での検証は、情報システム部門という限定された範囲におけるサイバーセキュリ
ティ人材の定義ではあるものの、セキュリティに強い人材という定義そのものに対して、セキュリティ専門職の位置付けの重要性だけではなく、エンジニアや管理職として日常的には個々のサイバーセキュリティ対策をあまり意識されることのない方々に対しても、業務上必要となるサイバーセキュリティ対策のノウハウを学習することの重要性を示すことができたことは大きな成果と言える。
今後、サイバーセキュリティ人材育成を考える時、少数のサイバーセキュリティ専門職を育成していくことだけにとらわれずに、社内の教育制度を拡充し、会社の重要な資産を守るセキュリティ対策全般の向上に資する人材育成と定め、効率的かつ効果的に広くそのノウハウを身に着けられる機会を準備活用できるかが重要となってくるものと考えられる。
会社組織としてのサイバーセキュリティ対策に対する「当たり前の基準（値）」を高めていくための情報共有、情報連携、トレーニングの高度化等、新たなテーマを見据えて、
本人材定義 WG における「情報システム部門を中核としたサイバーセキュリティ人材定義」は一旦の終了とした。

53