「産業横断サイバーセキュリティ人材育成検討会」
第二期最終報告書

2018 年 11 月 21 日

一般社団法人サイバーリスク情報センター
産業横断サイバーセキュリティ人材育成検討会

本報告書について
本報告書は「産業横断サイバーセキュリティ人材育成検討会」 (以下、「本検討会」)の活動に関する 2016 年 7 月から 2018 年 12 月までの内容を纏めた第二期最終報告です。
本検討会に関心のある方々に向けて、本検討会の目的や意義、活動内容等についてご理解いただくことを主な目的としています。
本報告書をお読みいただくにあたり、全体の概要を先ず知りたいという方は第 2 章
Executive Summary を、本検討会の取り組みの全体像を知りたい方は、第 3 章以降をご覧ください。
なお一部図表等に著作権表示を掲示している部分を除き、本報告書の著作権は「一般社団法人サイバーリスク情報センター」に帰属するものです。

名称：一般社団法人サイバーリスク情報センター
産業横断サイバーセキュリティ人材育成検討会

英名：Cyber Risk Intelligence Center - Cross Sectors Forum略称：CRIC CSF

URL

：http://cyber-risk.or.jp/

本検討会の第二期最終報告書は、以下の URL からダウンロードが可能です。
http://cyber-risk.or.jp/cric-csf/report/index.html
本報告書についてのお問い合わせは、以下のアドレスまでお願いします。
office@cyber-risk.or.jp

今後とも本検討会の活動に対する継続的なご支援、ご理解を、何卒宜しくお願い申し上
げます。

目次
はじめに............................................................ 1
Executive Summary................................................... 2
2.1 本検討会発足の経緯 ................................................. 2
2.2 本検討会の活動方針 ................................................. 2
2.3 第一期 (2015 年 6 月から 2016 年 6 月) の活動と成果物 .............. 2
2.4 第二期 (2016 年 7 月から 2018 年 12 月) の活動概要 ................... 2
サイバーセキュリティを取り巻く状況の変化 ....................... 2
活動の概要 ..................................................... 3
主要検討ポイントそれぞれが活動から得られた方向性 ............... 4
第三期 (2019 年 1 月から 2020 年 9 月) の活動 ................... 6
これまでの成果と第二期における活動状況 .............................. 8
3.1 セキュリティ人材の検討 ............................................. 8
第一期の検討内容と第二期に向けての課題 ......................... 8
3.2 セキュリティ統括室 ................................................ 11
ユーザ企業の類型 .............................................. 11
セキュリティ統括室の役割と位置づけ ............................ 12
ユーザ企業のためのセキュリティ統括室構築・運用キット .......... 16
セキュリティ統括人材の位置づけとその育成 ...................... 17
3.3 OT セキュリティ人材 ................................................ 26
3.4 サプライチェーン全体のサイバーセキュリティ向上について ............ 29
サプライチェーンにおけるセキュリティ課題 ...................... 29
発注元企業におけるセキュリティ課題 ............................ 31
受注企業側のセキュリティ課題 .................................. 34
サプライチェーンセキュリティを巡る世の中の動き ................ 35

3.5 経営者のリーダーシップと信頼の輪の構築 ............................ 39
3.6 各 WG との関連性 ................................................... 42
人材育成 WG .................................................... 42
OT セキュリティ人材定義 WG ..................................... 43
情報連携・ナレッジ共有 WG ...................................... 44
産学連携人材教育 WG ............................................ 45
3.7 関係省庁をはじめとする外部機関との連携 ............................ 48
3.8 サイバーセキュリティ人材確保のためのエコシステム .................. 51
エコシステムの重要性 .......................................... 51
サイバーセキュリティ人材確保のためのエコシステム .............. 53
エコシステムの実現に向けて .................................... 54
おわりに........................................................... 56

はじめに交通、エネルギー、金融など国民の生活と経済活動の根幹を支える重要インフラは、今や大きく IT に依存している。その一方で、システムの脆弱性や人の心理的な隙をついて攻撃を仕掛けるサイバー攻撃の脅威は、おおきな社会的問題としてクローズアップされている。
本検討会は、第一期 (2015 年 6 月から 2016 年 6 月) には日本企業 (特にユーザ系
企業) における重要インフラ業務に共通するセキュリティ業務と組織構造との関係を把握しながらサイバーセキュリティに係る人材の定義に取り組み「産業横断人材定義リファレンス (機能と業務に基づくセキュリティ人材定義) 」等の成果物を策定した。
第二期 (2016 年 7 月から 2018 年 12 月) においては、環境の変化として IoT 時代の本格的な到来に伴うサイバー攻撃等の影響の拡大を意識し、以下の 5 つの点を主要な検討ポ
イントとして丁寧な議論を進めている。
✓

産業界の知恵を結集したベストプラクティクス✓

経営者の強いリーダーシップを支える「トップ層会合」と「セキュリティ統括人材」✓

IoT 社会の到来をにらんだ OT (Operational Technology) 人材✓

関係省庁をはじめとする外部機関との連携✓

産学官セキュリティ人材育成エコシステムの実現

本報告書は、こうした検討ポイントをベースとし、第二期の２年の間に参加企業に依って熱く議論された検討をまとめたものである。

1

Executive Summary
2.1 本検討会発足の経緯
2014 年 10 月、経団連傘下に「サイバーセキュリティに関する懇談会 (座長：梶浦敏
範氏) 」が発足した。そのメンバでもある日本電信電話株式会社、日本電気株式会社、株
式会社日立製作所の 3 社が発起人・事務局となり、2015 年 6 月 9 日に重要インフラ分
野を中心とした企業 48 社が結集して本検討会を発足した。

2.2 本検討会の活動方針
2020 年の東京オリンピック・パラリンピックを乗り切り、その先も頑張り続ける産業界としての主体的な活動として推進する。「学」と「官」との連携・協調を含め、あくまでも「産 (産業界) 」が自主的・主体的に取り組み、自助と共助で様々なセキュリティ問題を乗り越えていく。

2.3 第一期 (2015 年 6 月から 2016 年 6 月) の活動と成果物
本検討会は、主にユーザ系企業に共通するセキュリティ業務と組織構造との関係を整理した。その結果、セキュリティ業務 (機能) は企業組織内で広範囲に分散している。従って、人材育成のスコープは CSIRT などのセキュリティ専門組織だけでは不十分であるとの結論に至った。そのうえでサイバーセキュリティに係る人材の定義に取り組み、以下の成果物を設けた。
✓

産業横断 人材定義リファレンス～機能と業務に基づくセキュリティ人材定義～✓

産業横断 セキュリティ対策カレンダー～セキュリティ対策 A to Z～✓

産業横断 セキュリティオペレーション アウトソーシングガイド✓

産業横断 人材定義リファレンスに基づくスキルマッピング

2.4 第二期 (2016 年 7 月から 2018 年 12 月) の活動概要
サイバーセキュリティを取り巻く状況の変化
東京オリンピック・パラリンピックを見据えた横断的なセキュリティ水準確保の必要性
2020 年の東京オリンピック・パラリンピックが成功するには、競技スケジュールの管理や競技の動画配信などの大会運営に加えて、世界中から訪れる観光客を輸送する
航空や鉄道、それらを支える電力、ガス、石油などの重要インフラが適切に運営され
2

なくてはならない。一方で、安全管理の分野で盛んに用いられる“The strength ofthe chain is in the weakest link. 「鎖は、もっとも弱いリングで切れる」”のことわざにあるように、大会運営や重要インフラを支える IT に脆弱な部分があると、サイバー攻撃によりおおきなダメージを受けるおそれがある。そうなれば社会的な混乱や不安を引き起こし、ひいては大会運営をおおきく揺るがしかねない。
このような理由から大会運営を支える IT のみならず重要インフラを担う IT には横断的かつ統一的なサイバーセキュリティ水準を確保すべきである。

IoT (Internet Of Things) 社会の到来
IDC Japan によると国内の IoT (Internet Of Things) 市場は、年率 17％の成長が予想1されるという。一方で、あらゆるものがインターネットにつながる IoT 社会が到来すれば、あらゆる機器がインターネットに繋がれ、例えば最適な設備運転を自動的に制御するなど、おおきな利便性や効率化をもたらすであろう。しかしながら
IoT を介して制御系システムなどがサイバー攻撃を受ければ、生産計画が狂うのみな
らず破壊など、人の身体や生命に影響を及ぼす事故につながりかねず、十分な対策を行うことが急務である。

活動の概要
本検討会では IoT 時代の到来に伴うサイバー攻撃の影響をも意識し、全体会議配下に 4
つの WG のほかトップ層会合、オープンセミナーを配置し、サイバーセキュリティに関する情報共有及び人材育成を進めている (図 2-1) 。

1https://www.idcjapan.co.jp/Press/Current/201704101Apr.html
3図 2-1 活動の構成

主要検討ポイントそれぞれが活動から得られた方向性
企業間の壁を越えた情報共有体制の構築とベストプラクティクスの策定
前述のように、2020 年の東京オリンピック・パラリンピックをにらみ大会運営ならびに重要インフラを担う IT には、横断的かつ統一的なセキュリティ水準を確保する事が求められる。そのためには、「目指すべきセキュリティ水準」を社会的に共有し、個々の経営者が強いリーダーシップを発揮して系列企業ならびにサプライチェー
ンのビジネスパートナーなどを含めたセキュリティ対策を推進しなくてはならない。
一方で然るべきセキュリティ水準を得た企業においても、おそらくは幾多の課題をあらゆる観点から検討し、知恵を集めて解決したことであろう。そして、その知恵こ
そ、社会として共有する価値があるとの観点から参加企業の具体的な検討を整理・蓄積し、産業界のベストプラクティクスとして策定したものである。併せて経営者を対象とした「トップ層会合」を開催して、先進的な事例などを紹介するとともに経営者間の情報交換・意識共有を推進した。

4

ユーザ系企業の代表的組織として関係省庁の検討を支援
2020 年の東京オリンピック・パラリンピックの開催や Society5.0 の実現をにらみ、
サイバー攻撃のリスクが急速に高まるなか内閣官房サイバーセキュリティセンター
(NISC) や経済産業省などが検討・対策を急いでいる。本検討会はサイバーセキュリ
ティに係るユーザ系企業の代表的組織として関係省庁の検討の場に招致され、検討・推進を支援している

OT (Operational Technology) 人材の定義
前述のように IoT 社会の到来をにらみ IoT に係るサイバー攻撃対策の整備は急務である。そこで、本検討会の検討範囲を従来の IT (Information Technology) 人材に加えて、社会インフラ・制御システムを担う OT (Operational Technology) に拡
大し、OT セキュリティ人材が習得すべきセキュリティ要素を加味した人材定義を設けた。

統括人材の定義と人材定義リファレンスによるアセスメントの促進
前述のように適切なサイバー攻撃対策を推進するには、経営者の強いリーダーシッ
プが不可欠である。しかしながら、その専門的な障壁からセキュリティ方針を設け現場の納得を得ながら、これをリードするのは難しい。そこで、経営的な知見とサイバ
ー攻撃やネットワークインフラなどの専門的な知見を有して、経営を支援しながら関係部署をリードする「統括人材」の育成が急務である。しかしながら多様かつ高度な知見を有する統括人材の育成には相当の期間が必要となろう。そこで様々の識者を集めた組織「セキュリティ統括 (室等) 」が必要と認識し、求められる人物像やスキルに加えて、その業務運用手順を定めた「セキュリティ統括室構築・運用キット」を作成した。

産学連携人材教育の推進
産学官セキュリティ人材育成エコシステム実現を目指すべく、先ずは産業界が求める人材像を明らかにした。そのうえで大学などと連携して行う「寄附講座」や、企業側から教材と講師を派遣する「出張授業」など多彩な支援のあり方を検討した。併せて、第一線で活躍するセキュリティ技術者と次代を担う大学生との交流の場を設け、セキュリティ技術者が抱く仕事の面白さや、やりがいを共有する機会を設けた。

5

第三期 (2019 年 1 月から 2020 年 9 月) の活動
第三期中には東京オリンピック・パラリンピックが開催され、これに乗じたサイバー攻撃には最大限の警戒をしなければならない。一方で一日に 100 万を超えるマルウェアが作られる (シマンテック社調べ) といわれる今般、もはやサイバー攻撃を完全に撃退する正解を得ることはできない。このような認識のもとで各企業は、検知の精度向上やインシデ
ントが及ぼす影響の最小化など現実的な対策を模索しなければならない。
このようななか本検討会は、これまでに培った「信頼の輪」のもとに、互いの取り組み
に関するリアルな情報を積極的に交換するなど実効的な活動に注力する所存である。以下に、第三期の基本的な構想を述べる。

ベストプラクティスの深化とタイムリーな情報共有の実現
2020 年の東京オリンピック・パラリンピックが迫るなかで、より切迫感をもって現実的な施策を講じる必要がある。特に IoT (Internet Of Things) の拡充により、従前はサイバー攻撃のターゲットとはならなかった制御系システムのサイバー攻撃における対策が必要となる。あるいは事業のグローバル展開が進む一方で EU 一般データ保護規則 (General Data Protection Regulation：GDPR) などの規制の強化が進みつつあることへの対応も必要となる。このようにセキュリティ対策は、あらゆる事業方
針を実現するうえで留意すべき重要な事項となりつつある。これを効率的かつ遺漏なく実現するには企業間のノウハウ交換が極めて有効である。本検討会は会員企業間で培った「信頼の輪」のもとに、さらに緊密な情報交換を促す枠組みを設けたい。

統括人材の現実的な育成スキームの実現
前述のように統括人材には経営の意思決定を支援しながら、現場をリードする事が求められる。すなわち検知したインシデントを正確に理解したうえで、これが自社のシステム構成や脆弱性、さらには事業や社会に及ぼす影響度を総合的に考慮したうえ
で実効的な対策案を設けなくてはならない。すなわち統括人材にはインシデントや脆弱性のような極めて専門性の高い情報を的確に分析できる能力が求められる。これらの能力をいかに獲得すべきか、その具体的な方策について検討を深めたい。

Society5.0 の実現をにらんで
政府は、あらゆるモノ・ヒト・コトがデータでつながり経済発展と社会的課題の解決を実現する Society 5.0 を提唱しており、今後よりリアルな議論が進むものと考えられる。具体的に言うと Society 5.0 では、事業や市民生活がサイバー空間へ大きく
6依存するうえに、これまではサイバー空間とは無縁だった制御系機器や産業用ロボッ
トなどがつながり、相互に依存しながら、より付加価値の高いサービスを提供していくと考えられる。従って、サービスや商品の企画・設計段階からセキュリティを意識する「セキュリティ・バイ・デザイン」が極めて重要となる。すなわち、制御系機器
や産業用ロボットをはじめとする広範囲な技術者がサイバーセキュリティの知識を習得する社会的な枠組みが必要となろう。本検討会は、この知識習得の枠組みの一助とすべく検討を深めたい。

7これまでの成果と第二期における活動状況
3.1 セキュリティ人材の検討
本章では、第一期にセキュリティ人材定義 WG として活動し、第二期で人材育成 WG 及び
OT セキュリティ人材定義 WG として活動した内容を報告する。

第一期の検討内容と第二期に向けての課題
第一期のセキュリティ人材定義 WG では、企業におけるセキュリティ人材の定義を検討するにあたって、IT における企業のセキュリティ関連活動を機能として洗い出した (図3-1) 。

図 3-1 サイバーセキュリティ対策の機能定義(関係図)

さらに、それぞれの機能を実施していくために必要な 30 の役割を抽出し、セキュリティ人材定義とし (表 3-1) 、「セキュリティ人材定義リファレンス」として定めた。

8

表 3-1 サイバーセキュリティ対策機能を担う役割一覧
カテゴリ
管理職

役割 (担当)CISO / CRO / CIO 等
サイバーセキュリティ統括 (室等)システム部門責任者

情
報
シ
ス
テ
ム
部
門
に
お
け
る
サ
イ
バ
ー
セ
キ
ュ
リ
テ
ィ
機
能
を
担
う
役
割

システム管理者
ネットワーク管理者
CSIRT 責任者
セキュリティ担当職

サイバーセキュリティ事件・事故担当
セキュリティ設計担当
構築系サイバーセキュリティ担当
運用系サイバーセキュリティ担当
CSIRT 担当
SOC 担当ISMS 担当

担当職

システム企画担当
基幹システム構築担当
基幹システム運用担当
WEB サービス担当
業務アプリケーション担当
インフラ担当

(

サーバ担当

担
当

)

DB 担当
ネットワーク担当
サポート・教育担当
ヘルプデスク担当

の
セ
キ
ュ
リ
テ
ィ
担
当
職

情
報
シ
ス
テ
ム
部
門
以
外

監査・個人情報保護

監査責任者
監査担当
特定個人情報取扱責任者
特定個人情報取扱担当
個人情報取扱責任者
個人情報取扱担当

セキュリティ人材定義リファレンスは、企業におけるサイバーセキュリティ関連活動のある瞬間において必要な役割を示しているが、それらの役割に至るキャリアパスは示していない。
セキュリティ人材に優秀な人材を惹き付けるためには、セキュリティに関わる仕事をしようとする人たちにどのようなキャリアパスがあるのかを示していく必要があるが、本検討会に参加しているユーザ企業の現状から推測すると、ユーザ企業でのセキュリティ関連するキャリアは明確とはなっていない。

9

ユーザ企業がキャリアパスを構築し内部で育成するセキュリティ人材を明確にすることが望まれている。また、そのようなセキュリティ人材を育成するために、どのような教育が必要で、また、どのような経験を踏めばよいかを検討する必要がある。
またユーザ企業の多くは、ものづくり的な部分がビジネスの根幹である企業である。そのビジネスの根幹である工場設備などを制御するシステムへのサイバー攻撃は、ラインの停止や設備の破壊、人命への影響など事業継続性に影響を与えかねないインパクトを有している。第一期では、IT のセキュリティを担う人材の検討を行ってきた。
第二期の人材育成 WG では、企業におけるセキュリティ人材のキャリアパス2を 3 つにモデル化し、特に、ユーザ企業のセキュリティ人材の中核として「エキスパート人材 (セキュリティ統括人材) 」に関する検討を行い、セキュリティ統括人材が活躍する組織（セキュリティ統括室）及び、セキュリティ統括人材自信の育成について検討した。また第二期では OT セキュリティ人材定義 WG を設立し、制御システムなどのセキュリティを担う人材の検討についても行った。

2

3.2 節では、検討の際に実際に使われた「キャリアパス」という用語をそのままの形で使用している。検討を進める中で、キャリアパスは様々なパターンがあり、検討の中で使われている「キャリアパス」という用語は、セキュリティ人材のキャリアとして考えられる 3 つのおおきな領域を示す「キャリア領域」と呼ぶべきではないかと議論があった。本報告書では、検討の際に使われていた「キャリアパス」という用語をそのまま使うことしたが、将来的には「キャリア領域」に変更する可能性もある。

10

3.2 セキュリティ統括室
第一期の人材定義 WG での議論で、一般企業において通常見られる業務系 IT システムにおける 30 の役割を定義した。このうち、本検討会で議論をした結果として追加した役割を担う部署が「セキュリティ統括 (室等) 」である。
これは本検討会参加企業において、業務系 IT 以外のシステムにおいて徐々に IT を利活用する事例が多くなり、それに伴い従来の情報システム部門だけではセキュリティに関しての企画・戦略・管理が難しく、それらをとりまとめる部門が必要になってきているという事情を反映した結果である。事実その後、企業活動の全体に跨ってセキュリティ統括を行う部署が、参加企業において設置されている。

ユーザ企業の類型
検討の対象となる企業は業態、業界、規模など様々な要因で、その状況は異なっており、キャリアパスもそれに応じて検討する必要がある。今回、全ての企業におけるセキュ
リティ人材のキャリアパスを一緒に検討することは困難なため、「規模」ならびに「IT と事業の関係性」から企業を分類して議論することとしたが、第二期のこれまでの議論では、「IT と事業の関係性」で企業を大きく 2 つの類型として検討を行うのが良いと判断した。それぞれの特性は、以下のとおりである。
① IT ビジネス企業：ビジネス自体がインターネット上にある企業、または IT を駆使してビジネスを行う企業•

業界：E-コマース、金融、各種クラウドサービス事業者等•情報を主に取り扱い、情報漏えいや改ざんなど、機密性・整合性・可用性(Confidentiality, Integrity, Availability) の順でセキュリティを検討する。

•

サイバーセキュリティがビジネスに直結していることに自覚的であり、サイバーセキュリティに関して経営層の理解も高い。

② 伝統的な企業：ものづくり的な部分がビジネスの根幹である企業•

業界：電力、ガス、水道、石油、化学、自動車、航空、鉄道、その他製造メー
カ等 (多くの重要インフラ関連企業が含まれる)•情報だけでなく、物理的なプラントや人などの安全 (セーフティ) も含めたセキュリティであり、可用性・整合性・機密性 (Availability , Integrity,
Confidentiality) の順で検討する。

11•

サイバーセキュリティの重要性を認識しつつも、その優先度は必ずしも高くない。

本検討会では重要インフラ企業からの参加が多いため、②の企業を検討の対象とした。
①の企業においては、ビジネス開発は IT システム開発を伴うことが多く、DevOps ある
いは DevSecOps などといわれるように、開発と運用とセキュリティ対策がサイクル的に同時並行的に行われており、セキュリティ人材のキャリアパスは通常の人事制度として確立されていると考え、対象としないこととした。
なお今回の議論においては、「規模」による企業分類に基づくセキュリティ人材とそのキャリアパスに関しては検討を行っていないが、「規模」に基づく企業類型では、主に中小企業に対しての検討が主になると思われる。ただし、上記「IT と事業性の関係」、「グループ会社かどうか」、「サプライチェーンへの帰属度合い」などによって、いくつかの類型に分類した上で検討をすることが必要であると考えている。
中小企業の多くでは、セキュリティに専属の人材を設置することや、既存の人材にセキ
ュリティ教育をすることもままならない状況である。セキュリティ人材のキャリアパス以
前に、セキュリティ人材不在を前提にセキュリティ対策を検討すべきという見解もあった。そのため、中小企業におけるサイバーセキュリティ対策については、今後の課題として、別途検討を行うこととした。

セキュリティ統括室の役割と位置づけ
IT システム、制御システムがユーザ企業の事業活動推進・効率化などに重要な位置を占めるようになってくると共に、サイバーセキュリティを取り巻く環境も変化してきている。本検討会では、経営課題となるサイバーインシデントや必要なスキル等の洗い出しを行った (表 3-2)。

表 3-2 経営課題となるサイバーインシデント及び必要スキル• 事業展開に必要となる国別対応 (日本を含む)‒

ガバナンス (経営判断に結び付く情報収集、分析、グループセキュリティ)‒コンプライアンス (法令対応) 及び、国別、業種別、企業規模別等のセキュリ
ティ対策の追求‒

事業環境に応じたセキュリティ対策における費用対効果の追求• セキュリティ対策に必要となるスキル (個人が対応するのではなく、組織化が必要)‒

IT 領域 (インフラ基盤、アプリケーション等) に対する知見
12

‒

システム構築・運用に対するセキュリティ対策、外注比率に基づく管理策の調整‒管理部門間の連携・調整 (財務、経理、総務、広報、法務、調達等)• サプライチェーンを意識した包括的なセキュリティ対策 (社内外との積極的な連携)‒

有効性の確保されたセキュリティ対策の実現 (サプライチェーン先への過剰な要求にならない配慮)‒

対策状況の包括的なモニタリング、改善指導本検討会では、これら日本を含む世界各国のサイバーセキュリティ法対応及び各国要求事項の整理、対策立案、対策状況の確認を含めたユーザ企業の事業活動に必要となるサイ
バーセキュリティ関連業務を実行する組織の必要性が議論された。議論の結果として、本検討会では、経営課題として認識できるすべてのセキュリティ領域を把握する組織として“セキュリティ統括 (室等) ”を定義し、この組織が対応すべき範囲の検討を行った(図 3-2) 。

13

図 3-2 セキュリティ統括室が対応すべき範囲の一例

本検討会では、“セキュリティ統括 (室等)”は、部門横断的な立場で CISO の役割を担
う経営幹部 (CISO 及び CIO 等) を補佐する部門として設置することが望ましい、という位置づけが議論された。さらには調達先との連携を重視し、サプライチェーンの観点からセキュリティ戦略を遂行することが望ましいともされた。そこで、セキュリティ統括室とは、基幹となる IT、製造・運行等の OT、さらにデジタルトランスフォーメーションを実現する IoT 領域のすべてのセキュリティ戦略に対応する組織、と規定した (図 3-3)。
14図 3-3 すべてのセキュリティ戦略に対応する組織であるセキュリティ統括(室等)

また、設置形態についても議論する必要がある。本検討会では、企業の類型やセキュリ
ティ統括室の役割、業務範囲に基づき、適切な配置、権限と責任等を付与していくよう検討した。どの配置を選択したとしても、セキュリティ統括 (室等) を、経営判断に関与する組織体として配置することが重要である。この場合、独立した組織体として配置することにより独自の予算執行が可能となり、適切な対処を進めることが可能となる。さらに権限と分掌を定義することにより、対応の責任範囲を明確にし人材育成をその業務として定めることも可能となる。セキュリティ統括室の設置及び運用の形態はいくつか考えられるが、形態に依るメリット・デメリットを図の様に検討した (図 3-4) 。

15

図 3-4 セキュリティ統括室の設置及び運用の形態(例)

ユーザ企業のためのセキュリティ統括室構築・運用キット
ユーザ企業のためのセキュリティ統括室構築・運用キット（以下、「統括室キット」）
は、CRIC CSF 会員企業の多くに設置されている「セキュリティ統括機能」を参考とし、今後新たに構築・運用を検討されたい企業向けにガイドライン的な位置づけで策定した。
統括室キットは概要編、統括室編、統括人材編の 3 部構成となっており、概要編のみを外部へ公開することとしている。

16

尚、本統括室キットでは、第一期に策定した「人材定義リファレンス」に基づき IT 領
域におけるセキュリティ機能及び役割の配置を行った企業に向けて、さらに経営層の意思決定に寄与するセキュリティ組織のあり方を検討頂く材料の 1 つとして構成している。

セキュリティ統括人材の位置づけとその育成
セキュリティ統括人材に求められるスキルと位置づけ
サイバーセキュリティは主として IT 領域で議論されることが多いが、実際にはユーザ企業の事業活動のあらゆる場面に大きな影響を与えている。ビジネスの変革のス
ピードを高めるための IT の活用に伴うサイバーセキュリティリスクを考慮すべきであることはもちろん、コンプライアンスやガバナンスの観点も重要である。本検討会
では、部門横断的にサイバーセキュリティを統括する人材についての課題を検討した(表 3-3) 。
表 3-3 セキュリティ統括を担う人材• 事業展開に必要となる国別対応 (日本を含む) ができる人材をいかに育成するか。
‒

ビジネスプロセスを理解し、適切なセキュリティ戦略立案ができること‒

セキュリティ対策に対する費用対効果の検証及び交渉ができること• セキュリティ対策に必要となるスキルセットの定義が必要。
‒‒

IT 領域 (インフラ基盤、アプリケーション等) に対する知見をもっていること
IT 領域、OT 領域、IoT 領域それぞれのセキュリティに対する知見をもっていること‒ 外注比率に基づく管理策 (アウトソーシング・調達とセキュリティレベル) の調整ができること• サプライチェーンを意識した包括的なセキュリティ対策を理解し、共有するスキルが重要。
‒

サプライチェーン先とのセキュリティレベルの調整、共有、モニタリングの実施ができること‒

サプライチェーン先への過剰な要求にならないコミュニケーションが取れること

事業活動を行う際には、調達や委託など多くの企業との連携が必要不可欠である。
自社内の様々な部門を横断してセキュリティ対策を行うと共に、調達先企業などの他企業と連携したセキュリティ対策を前提としたセキュリティ戦略が必要である。セキュリティ統括人材には、このような事業全般にかかわる幅広い実施スキルが必要となってくる (図 3-5) 。
17

図 3-5 セキュリティ統括人材の役割

セキュリティ人材のキャリア
部門横断的にサイバーセキュリティを統括するセキュリティ統括人材をどのように育成することができるか？

本検討会では、セキュリティ人材育成を議論する中で、企業におけるキャリアパスという観点からも検討を行い、“ゼネラリスト”、“エキスパート”、“スペシャリスト”という 3 つのキャリアに向けたキャリアパスを想定した (表 3-4 表 3-4 セキュリティ人材のキャリアパス) 。
表 3-4 セキュリティ人材のキャリアパス
議論での名称
ゼネラリスト

エキスパート3

スペシャリスト3

人材のイメージ
企業における(ライン) マネジメントを行う人材

現状のキャリアパスとの関係
管理職のキャリアパス

自社事業とセキュリティ活動をよく

技術系企業の技師や技術職などの知り、現場と経営をつなぐ人材

キャリアパスに類似

専門的技術を持った人材

IT/セキュリティベンダ、情報子会社のキャリアパス「エキスパート」という名称については、WG の中でも様々な意見があり、必ずしも適切であるかどうかについては、結論が出ていない。議論を進める上で、ゼネラリストとスペシャリストと区別するための名称が必要であるため、検討の際に利用した名称をそのまま使用している。

18

現状多くの企業においては、複線型人事制度4により、ラインマネージャーへの昇格を前提としたキャリアパスのみでなく、専門職としての役割・業務に呼応した職種を設定し、例えば、技術系企業における技師、研究など職種ごとに異なった評価を行い処遇することが行われている。
企業におけるセキュリティ人材も、各部門の管理者として組織運営においてセキュ
リティ対策に責務を負う役割と、セキュリティと事業の両面についての専門性を持ってセキュリティ関連活動を統括する人材の役割を異なるキャリアパスとすれば、セキュリティ人材に対する複線型人事制度として、現在の各企業における人事制度とうまく整合が取れるのではないかと考えた。また、一方でセキュリティ監視オペレータやフォレンジック技術者などのセキュリティの深い知識と技術を持った人材を、一般のユーザ企業の中で育成し、保持していくことは容易ではないため、その部分については内製するのではなく、サービスや人的支援を外部から調達することで対応することの方が現実的であると考えた。
以上の検討から、企業におけるセキュリティ人材のキャリアを“ゼネラリスト”、“エキスパート”、“スペシャリスト”の 3 つとして考え、そのそれぞれについて考えることが重要と言う結論に至った。
これを一般に確立している経理人材のキャリアで例えると、次のようになる。
✓

経理人材は経理のエキスパートであり、経営者になるキャリアパスがある。

✓

スペシャリストとしては会計士がいる。

✓

経理部門以外の営業部門も工場も上級管理者は経理の基礎知識は持っていないと困るため、ゼネラリストとして、経理のことは知っていることが求められる。

経理のキャリアが当然のように確立しているのは昔から経営上その専門性の必要性が認識されているからであり、セキュリティも同じ認識で考えれば、セキュリティ人
材は専門職だけでなく、当然ライン職階においてもセキュリティの基礎知識を持った職として必要である。この様に、セキュリティ人材も同じ枠組みで考えられる。

4「複線型人事制度とは、全社共通の画一的な人事制度ではなく、同一企業内に複数のキャリアコー
スが並立する多元的な人事管理システムのことです。ラインとスタッフ、総合職と一般職、全国社員と地域限定社員などの区分を設定し、区分ごとに採用、昇進・昇格、賃金、教育研修などを管理します」（『日本の人事部』 より引用 https://jinjibu.jp/keyword/detl/243/ ）19

“ゼネラリスト”へのキャリアパスは、どの企業においてもラインマネージャーとして確立されている。また“スペシャリスト”へのキャリアパスは、IT/セキュリティベンダあるいは情報子会社において、別途キャリアパスとして人事制度に取り入れられている。そのため、ユーザ企業としてセキュリティ人材としてキャリアパスを考え育成することが必要な人材は“エキスパート”人材であると考えるともに、経営上のセキュリティの専門性が必要であることを認識することが必要であると考えた。
この 3 つのキャリアパスと第一期で検討した「人材定義リファレンス」との関係を
図 3-6 に表現した。

図 3-6 サイバーセキュリティ人材育成リファレンスに対する「エキスパート」の関係

ただし 3 つのキャリアパスが明確に 3 つに分かれるわけではなく、それぞれのキャリアを渡り歩く人材も多くいると考えている。重要なのは一般のユーザ企業において、セキュリティ人材として内製するべき人材のキャリアがエキスパート人材という形で顕在化され、認識されることである。

CISO とセキュリティ統括人材の役割分担 – 説明責任と意思決定について
サイバーセキュリティが経営課題となってきている状況では、セキュリティ対策に関わる意思決定とそれに対する説明責任は様々なレベルで必要とされている。本検討20

会では、セキュリティ統括人材が組織の中で、どのような説明責任と意思決定の任を持つべきかについて議論した (図 3-7) 。
NISC では、『経営層の示す経営方針に基づき、組織全体のサイバーセキュリティ対策を提示し、さらに、組織内の関係部局間の総合調整や実務者層をまとめ、指揮することができる「橋渡し人材層」を置くとともに、「橋渡し人材層」がその役割を十分に遂行できるよう「権限」と「責任」を明示することが必要である』5としている。
図 3-7 の左側部分は、本検討会が考える普及している意思決定プロセスを説明している。

図 3-7 CISO とセキュリティ統括人材の役割分担「橋渡し人材」は CISO を直接補佐するのではなく、様々な部門の責任者 (特に、システム部門責任者) とセキュリティ専門事業者の間に位置して、セキュリティの専門的な表現を分かりやすく各部門長に説明するような役割を担っていることが多いと想定している。
本検討会で検討した結果、本来あるべき意思決定プロセスは図 3-7 の右側部分に示すように、セキュリティについての意思決定に関わるものと考えられる。「橋渡し人材」として関わる組織間の連携を行うだけではなく、「セキュリティ統括人材」として CISO の直下で他部門の責任者と同レベルに位置し、周りと連携しながらセキュリ

5https://www.nisc.go.jp/active/kihon/pdf/jinzai2017.pdf
21

ティ対策の実務を検討し方向づけ、そして CISO がその内容の承認を行うと言った組織的な対応が必要である。また、セキュリティ統括人材の「対策実務決定」と CISOの「承認」を合わせた「意思決定」が重要なのである。CISO の役割は「説明責任」と「予算執行承認」であり、現在の意思決定プロセスと大きく異なるのは、セキュリテ
ィ統括人材がセキュリティの意思決定に関わることである。

セキュリティ統括人材の育成“セキュリティ設計担当”の役割として、持つべき能力、あるいは育成すべき能力はどのようなものであるかについて、第一期でも使用した「氷山モデル」で検討した。その結果、「倫理観・信条」などを基礎として、知識や技術だけではない様々な能力が必要であると言う結論に至った (図 3-8) 。

図 3-8 セキュリティ統括人材が持つべき能力/育成すべき能力
表 3-5 に、それらの能力の具体的な例とそれらがどのように育成されるのかについて、“育成に必要な条件”としてまとめている。

22

表 3-5 セキュリティ人材育成に必要な条件
能力

具体的な例

適応力・態度

リスクセンス・コミュニケーション

プロフェッショナル

個
人
の
行
動
力

スキル

人材定義リファレンス：機能 (業務区分)

育成に必要な条件
環境により醸成されるもの
自主的に学習可能なもの知識

人材定義リファレンス：機能 (要求区分)

経験

キャリアパスやこれまでの業務経験 (人生経験)

倫理観・信条等

仕事に対するスタンス

環境によって醸成さ
れるもの

管
理
能
力

プ
ロ
ジ
ェ
ク
ト

活動

プロジェクト管理

人材定義リファレンス：機能に対する「実際の業務」

業務の優先順位付けや、達成基準の設定と評価

学習と環境の両面から育成されるもの「人材定義リファレンス」では、役割として必要な能力に関して、個人の行動力としては“プロフェッショナルスキル”と“知識”、プロジェクト管理能力の部分では“活動”に該当する能力についてのみ言及している。これら能力に関しては、かなりの部分、自主的な学習で育成可能であり、理解しやすく評価も比較的行いやすい能力であるため、「人材定義リファレンス」に取り入れた形となっている。
第二期ではセキュリティ統括人材に必要な能力として、その他の能力を加えて育成に向けてどのようにすべきかを検討した (図 3-9) 。

23

図 3-9 セキュリティ統括人材の「リスクセンス」を高める育成環境

経験に関しては、実経験のみでは時間や機会を得ることが難しいため演習や訓練で補う必要がある。育成のポイントとしては演習・訓練を育成の中心として考えている。知識の獲得・更新には自己学習が有用であるが、自己能力のレベル感を実感する
ためには、研修・資格取得などが必要である。また組織内で孤立してしまい、独りよ
がりの偏った知識や判断になってしまわないために、セキュリティ関連の社外交流を行うことも必要である。加えて組織として活動を進めていく為に必要なプロジェクト管理能力や社内の業務を知るためには、業務に関する様々な文書 (業務マニュアル、
社内規定) などが整備され、それらに精通する必要がある。本検討会では、こうした多方向からの育成を実現するために、特に上長からの評価・支援が最も大事ではないかとの議論があった。
また現在、議論の中でセキュリティ統括人材にとって必要だと考えられているのが、“リスクセンス”と呼ばれる能力である。
例えば、セキュリティ統括人材が何かの脅威に対応をしなければならない場合、完璧な情報がそろっていない状況で、事業へのインパクト、脅威への対抗手段の選択、必要なコスト・リソースなどの様々な要因を勘案し、限られた時間のなかで判断し対応をしていくことになる。このような対応能力が、“リスクセンス”である。
24

セキュリティ統括人材の育成ポイントは、保有する知見を活用し業務に対して活躍できる環境の準備である。育成を「学習」の範囲にとどめることなく、組織、規定、業務プロセス、マネジメントを含めた包括的な対策及び環境の構築が重要である(図 3-10) 。

図 3-10 セキュリティ統括人材を取り巻く環境の整理25

3.3 OT セキュリティ人材
ユーザ企業のビジネスを変革し、高度化、効率化を図るためには、事業本体の“ものづくり”を担う制御システムなどのセキュリティ、つまり、「OT セキュリティ」が重要であり、その重要性が増している。OT セキュリティにおいては、事業の“ものづくり”を最重要と捉え、その仕組みを熟知していることが必要であることとから、一般的な IT セキュ
リティの導入時の判断とは異なる考えが必要なことから、IT 人材とは異なったモデル、育成が必要と考えられる。第二期においては、OT セキュリティ人材定義 WG において、ユー
ザ企業において OT セキュリティを担う人材について検討を行った。

OT セキュリティ人材スキル定義リファレンス・パターン
IT システムは、社内情報システムや顧客向けウェブサービスなど、セキュリティの観点から一つの共通モデルを作ることができ、それを支えるセキュリティ人材についても一つの共通モデルを基本として考えることができた。一方で、ユーザ企業の事業を支える制御システムは、業態や企業規模などによって大きく異なり、本検討会では一つの標準モデルを作ることが難しい、という結論に至った。また、セーフティ (安全計装) に留意する必要がある、という点でも IT とは異なる。そこで本検討会では各企業の業態を踏まえ、その業務プロセスを分析し 3 つの主要パターン (サービス・イ
ンフラの構築・運用/サービス・インフラの利用・製造/サービスの提供) に分類した。さらにサービス・インフラの構築・運用とサービス・インフラの利用・製造を、それぞれ 2 つの視点に分けて合計 5 つのパターンとした (図 3-11)。

図 3-11 業務プロセスに基づくリファレンス・パターン「A: サービス・インフラを作るフェーズ」は、”インフラを構築するまでの期間”と”構築後の運用期間”とに分けた。このフェーズは更に分けられ、サービス・インフ
ラを構築するまでを指し構築側の視点で人材を定義する「A-1: インフラの構築」
26

と、サービス・インフラの構築後から運用する構築側の視点での「A-2: インフラの運用」とした。
次に「B: サービス・インフラを利用して製品を作るフェーズ」は、こちらも分割
し、ものづくりの視点で設備やラインを運営する視点である「B-1: サービス・インフラの利用 (設備・ラインの視点)」と製品そのものを見る視点の「B-2: サービス・
インフラの利用 (製品の視点)」とに分けた。
最後に「C: サービスの提供フェーズ」は、構築されたサービス・インフラや製造された製品を利用してサービスを提供するものである。
ここで各リファレンス・パターンでは、組織業態が異なることが考えられる。このため、それぞれにおいて同じ意味のものを異なる表現をすることが多く、それが各フェーズ間で意思疎通を図ることが困難になっている。

OT セキュリティ人材スキル定義リファレンス
異なるパターンに属する人材の間での相互理解が困難ということは、IT セキュリテ
ィ人材に対して、一律の教育や経験によって OT セキュリティを担える能力を付与することは困難であろう、という議論に至った。しかしそれよりも、OT セキュリティ人
材(各パターンの業務を担う人材) にセキュリティも理解してもらうことの方が効

果的であり、そのための役割や必要機能・レベルの定義が重要であろうと考え、(1)で示した 5 つのパターンについて必要な役割の特定との設定を行った。
各リファレンス・パターンに対し事業における「経営層」「企画」「設計」といった役割について、NIST SP800-536に準拠した必要なスキルを技術面と管理面とでレベルを提示した OT セキュリティ人材スキル定義リファレンスを開発した。OT セキュ
リティ人材スキル定義リファレンスではリファレンス・パターンに対し関わる役割について、それぞれ必要なレベルを実施主体としての主担当は◎、実施主体としての副担当または兼務は○、実施対象者側の関係者・関係部署のレベルは△として定義した。また、★は (理想的には) 経営層からの強い指示・承認を存在することを示し、☆は経営層からの指示・承認が伴うことを示している。赤くハッチングされている個所は、主たる運営主体者・運営責任者であることを示す (図 3-12)。

6

NIST SP800-53
出典

IPA https://www.ipa.go.jp/files/000056415.pdf
27

図 3-12 OT セキュリティ人材スキル定義リファレンスの例 (A-1 の場合)

これら OT セキュリティ人材スキル適宜リファレンスはベースラインであり、各社の事業形態により必要な役割やスキルを見直し、活用されることを望むものである。

28

3.4 サプライチェーン全体のサイバーセキュリティ向上について
企業それ自体の規模の大小にかかわらず、今や ICT なしには実業はあり得ない。この実業が大きく依存している ICT 自体の健全性を如何に確保するかが経営課題であり、この健全性を構成する要素の一つがセキュリティである事から、ICT 自体にセキュリティを適切に実装することが経営課題解決の一つの方策といえる。
IT 人材の約 75%が IT・ICT ベンダに所属する日本においては、企業の多くが ICT システ
ムを構築するに当り、「調達部門」が窓口となり IT・ICT ベンダに発注する。一方、ベンダ側は調達部門から提示された仕様書に基づき開発を実施するが、ここも二次、三次とTier の回次を下げながら開発を委託していくケースが少なくない。
従って ICT にセキュリティを実装するためには、「仕様書への客観的なセキュリティ要件の記述」と、開発のサプライチェーンを担う各企業による「的確に当該要件を実現する技術」とが必要不可欠である。しかし現状では、仕様書を実際に起こしていく発注元起案部門や Tier を構成する各企業の調達部門において、セキュリティを要件として適切に取り扱うスキルを有する人材が配置されているケースは希少である。またセキュリティ要件が不十分な仕様書で、適切なセキュリティ実装を実行することもまた困難である。
本章では上記現状を踏まえ、今後のサプライチェーンセキュリティとしてのあるべき姿と対応策について、ユーザ企業とベンダ企業、各々の立場から記述する。

サプライチェーンにおけるセキュリティ課題
IT 要員を自社で抱え自社でシステムを開発することが多い米国企業と比べ、日本企業では企業内システムの開発や保守を IT ベンダに依存するケースが殆どであろう。
また顧客へ提供する製品・サービスにおいて、サプライチェーンから調達する IoT 部品やクラウド等の ICT サービスが自社の製品・サービスの一部となっている場合が少なくない。従って、IT・ICT ベンダを含むサプライチェーンへの調達基準として、サイバーセキ
ュリティ要件を盛り込むことの必要性・重要性は前述した通りである。
かかる状況を踏まえ、実業が依存する ICT システムとは何かに着目すると、業種に固有の業務アプリケーションを除けば、大きく以下の二つに大別される。

✓

ビジネスを支える受発注や生産管理等の「企業システム」✓

顧客へ提供する製品・サービスを構成する「IoT 系の部品やソフトウェア/サービス (モノ)

29

図 3-13 調達部門を取り巻く環境事業の基となる製品やサービスは、多種多様で膨大な数量から成る IoT 系部品や、クラウド等の機能別サービス（モノ）の組み合わせにより構成される。また、それらを調達するシステム、調達品を生産現場に供して開発し管理するためのシステムも必要となる。これらは殆ど全て、調達部門を介した外部からの購入、又は委託により委ねられる。
従って発注品の機能要件や運用要件を理解し、調達先との折衝を重ねる調達部門には、業務を経験した技術者、ICT に精通した技術者等をローテーション人事で配置する企業も昨今では少なくない。
ここで、セキュリティもその例外ではない。現場部門から提示される ICT システムにおけるセキュリティ要件の理解と実装確認スキル、導入対象のクラウドサービス自体の安全性を見極めるスキルに加えて、IoT 機器に至っては OS 等のインテリジェンス機能の実装有
無とそれに伴う潜在リスクの確認、ネットワーク接続時の安全性の確認スキル等が今後求められるかもしれない。
そう考えると、調達部門の人員にもある程度のセキュリティスキルが必要であり、それがないと要件内容を理解できず、発注先企業からの納品時の検収もスムースに実行されない可能性が大きい。
またサプライチェーンを構成する企業に潜在する「サイバーセキュリティリスク」が、自社の製品やサービスの安定的な提供を脅かすリスクに直結するようになってきており、サプライチェーンへの調達基準に「企業自体のセキュリティ実装レベル」を設定する、等の施策も今後重要となってくる。
30

2017 年のランサムウェア WannaCry 等に代表される、サイバー攻撃に伴う業務停止リス
クは既に現実化しており、サプライチェーンを構成する Tier の中間企業の製造ラインが業務停止したために全体の需給バランスが崩れ、最終的には発注元の操業が停止した等の事例も顕在化している。しかもそれは大企業というよりも、サプライチェーンを構成する
中小企業においては、人材面、資金面において、より切実な課題といえる。
これらの課題への取組みを、調達する側、及び発注を受ける側双方の立場で、次節以降で記述する。

発注元企業におけるセキュリティ課題
セキュリティ要件策定における課題
ここで、調達時に関するセキュリティ要件に関する役割分担を以下のように想定する。
✓

事業部門 ： システム、IoT 機器類、サービス等のセキュリティ実装方針を検討し、具体的な要件として記述する。必要に応じて、調達先の会社が具備すべ
きセキュリティ実装レベルを規定し要件として既述する。

✓

調達部門 ： 当該要件に基づき製品選定、会社選定を実施し発注する。納品時には納品時には事業部門と連携し当該要件を満たしているかの検証を行う。

① 個々のセキュリティ要件に対応すべき企業側の負担増
サイバーセキュリティに関する調達基準については 米国政府のクラウド調達の基準である FedRAMP に見られるように、自国企業との取り引き時に国境を越えて採用を求める等の国際的な枠組みが作られつつある。
一方、我が国では国際調達は元より、国内取引であっても各企業で採用する標準的なセキュリティ基準がない。従って各企業は自社の個別の基準に基づきセキュリティ要件を策定し、受注者側に要求するのが一般的である。しかし、これは受注企業にとっては複数の相異なる要件への対応を求められ、対応の重複やコストの増加が発生することとなる。さらにグローバルにビジネスを展開する企業にとっては、国際標準との重複も考えられ、ビジネス展開上の障壁ともなりかねない。

31

② 非機能要求グレードの存在
元々セキュリティは非機能要件として位置付けられ、「どこまで」対応すべきかが曖昧な性質といわれている。それに対して、独立行政法人情報処理推進機構 (以下、IPA と略す) では、「非機能要求グレード」7を定義している。
非機能要求グレードは発注者と受注者との認識上のアンマッチを防ぐためのツールとの位置付けである。しかし、例えば IT・ICT ベンダ以外の企業で上記について十分に認識されているかというと、残念ながら NO である。これは、セキュリティの基本的知識がないと理解が難しいこともあるが、それよりもグレードの存在そのものを関知している企業担当者が希少である事の方が大きい。

セキュリティ要件「ベストプラクティス」の策定① 共通雛形モデル策定検討
そこで本検討会に参画する一般企業の活動として、セキュリティ実装の雛形モデルを議論する場を設け、そこに IT・ICT ベンダが意見を出し合いながら、受発注時の「セキュリティ標準要件定義モデル」を策定することを計画している。
さらに、サプライチェーンの裾野が広がるのに伴い、素材やインフラ産業を中心として業界を跨いだ取引が多く発生することから、業界を横断した基準の作成が求められている。産業界として一枚岩となり上記モデルを策定する一方で、政府には調達基準に関するグローバル標準との連携も要望していきたい。
② 企業としてのセキュリティマネジメント標準モデル検討
一方、企業としてどこまでセキュリティマネジメントを実装するか、というのも悩ましい問題である。セキュリティマネジメントのモデルでは ISMS に代表される
ISO27000 シリーズが知られており、多くの企業が認証を取得している。また、システ

7

非機能要求グレード
情報システムの開発では、業務機能に関する要求以外のいわゆる「非機能要求」について、発注者と受注者との認識の行き違いや、互いの意図と異なる理解をしたことに気づかないまま開発が進んでしまうことがあります。「非機能要求グレード」は、このような状態を防止することを目的とし、重要な項目から段階的に詳細化しながら非機能要求の確認を行うツール群です。
出典

IPA https://www.ipa.go.jp/sec/softwareengineering/reports/20100416.html
32

ムの品質という観点では ISO9001 があり、システム品質に関する一定レベルの維持・確保をアピールできる。
また昨今では、リスクマネジメントの標準規格である ISO31000 シリーズが着目されている。これは組織体のどのレベル・規模であっても適用可能な「リスクマネジメ
ントの考え方」を示したものであり、従来は災害や事故等を想定した対応が一般的であったが、最近はセキュリティリスクについてもマネジメントに含むケースが増えている。
加えて、事業継続計画 (以下、Business Continuity Plan：BCP と略す) の策定
は、昨今の企業では一般的となりつつあるが、災害やパンデミックに加えてサイバー
セキュリティに関する BCP 策定の重要性、必要性が認識されつつある。前者は非常時に如何に事業を継続するかの方策を掲げるが、後者は事業を継続するためにシステムの停止を含めた判断を為すための方策が必要であり、対処の方向性が逆といえる。いざという時に的確に行動するためにも、双方を予め策定することが望ましい。
サプライチェーンを構成する企業として良質な受注を獲得するためにも、企業ポリ
シーとして、どこまでセキュリティマネジメントを実装するべきかを検討し、定める必要がある。それを行うに当たっては、「セキュリティ要件標準モデル」と同様に、実装の目安としての推奨すべき雛形モデルを策定し、共有する事のメリットは大きい。ただし、これについては業界ごとにレベル、内容の相違があると想定され、本検討会における幅広い業種の企業の知恵を結集して検討していきたい。

事業部門、調達部門におけるセキュリティ教育の推進
前述の標準モデルが整備されたとしても、それを担当し活用するためには、一定の知識は必要不可欠である。セキュリティ要件を検討するに足るセキュリティ知識を確保するためには、セキュリティに関する基礎レベルの教育受講等でスキルを身に着ける地道な努力が求められるが、現状では一般企業向けのセキュリティ講座が極めて希少である。
適格な教育講座を探すための手段の一つとして、人材育成 WG の第二期において、
現在開講されているセキュリティ教育講座を調査し、本検討会公式ホームページに掲示しているので、活用いただきたい。現状を俯瞰すると、やはり専門家向け講座が少なくないが、一般企業の CISO や、セキュリティ統括人財育成等の講座も最近では開講されるようになりつつある。今後の当該講座の数の増加と、関東圏以外での開講に向け、本検討会としてもその整備に貢献していきたい。
33

受注企業側のセキュリティ課題
IT システム構築時のセキュリティ実装レベル① 仕様書上にない要件の取扱い企業から ICT システムの発注を受けて製品・サービスや IoT 部品等を提供する ICT
ベンダ側からみると、元々提示されたシステム仕様書にセキュリティ上の具体的な記述が乏しい中で、仕様書上のセキュリティ機能を何処まで実装すべきかとの悩みがある。
仕様書上の要求のないセキュリティ機能を実装することは、システムの安全性は確保できるがその分コスト増を招き、入札等においては失注の原因にもなりかねない。
しかし、だから何もしない、という訳ではなく、業界として標準的に実装すべきセキ
ュリティ機能については、各社チェックリスト等を策定し標準実装している。例えばWeb エントリ系システムでは、SQL インジェクション対策等の機能は実装するのが当然である。
ただ企業体力の乏しい中小の技術系ベンダでは、何処まで実装可能かは個々の企業努力に委ねられており、階層が大きいサプライチェーンでは末端での未実装が上位層で発見されず、後々のセキュリティホールとなる例も散見される。
② 発注側との標準要求定義モデルの共有
そこで、「セキュリティ標準要件定義モデル」の策定が、その解決策の一つとなり得る。IT、IoT 等のシステム製品に実装すべきセキュリティ標準モデルが規定され、それを業界共通のテンプレートとして IT・ICT ベンダ間、及び発注企業側の双方と共有することは、発注側の企業、受託開発すべきベンダ企業の双方の悩みを解決し、かつ我が国における IT システムのサイバーセキュリティ耐性を高める効果が期待される。
かかる成果物である標準モデルは、CRIC CSF 共通リファレンス8 として公開し、例
えば調達時の仕様書上で、「CRIC CSF 共通リファレンスの№＊＊を参照のこと」と記載することで、解釈のゆらぎを回避し、受発注企業双方の共通の理解の下での的確な運用が可能になると考えられる。

8「CRIC CSF 共通リファレンス」は、CCR（CRIC CSF Reference）として検討中
34

③ IT ベンダ側技術者のレベル均質化
IT・ICT ベンダ側の SE 等の技術者においても、セキュリティの知識レベルにはまだ
まだばらつきがあり、担当者によって当たり外れが大きい、との意見も少なくない。
特に現状では、要件やレベルが曖昧なセキュリティにおいては、ユーザ企業の意図を的確に汲み取ることが求められ、当該技術者がどれほどのセキュリティスキル有する者かを可視化する方策を検討する事も、IT・ICT 業界としては必要である。
セキュリティの職種自体も多岐に渡っている。例えば ISMS マネジメントコンサル
タントとフォレンジック技術者では、必要とされる知識や技術・経験は全く異なる。
最近、IT・ICT ベンダ業界共通で、いわゆるセキュリティ専門家というよりも、IT 技術をベースに「セキュリティ知識も有する IT・ICT 技術者」の要件を定義し、その育成のための講座シラバスをオープンにする活動も行われている。今後、シラバスに準拠したセキュリティ講座の開設や、実際に手を動かし頭を使う演習環境の整備も必要となってくるであろう。
加えて、職種に応じて必要となる技術や経験等をレベルに応じて明確化し、その実績に応じてポイント化し、当該ポイントに応じたレベルを認定する事で、どのベンダであっても当該レベルを取得していれば、それなりの技術者であることを示す制度等は有用である。
当該技術者の普及が業界全体のセキュリティ技術レベルを向上・普遍化し、必要なセキュリティ機能が適格に実装された IT・ICT システムが調達・提供され、我が国全体のシステムのセキュリティ耐性向上に寄与するものと考えられる。今後、本検討会としても実践に向けた活動を実行していきたい。

サプライチェーンセキュリティを巡る世の中の動き
Society5.0 実現の社会に向けて
政府は、第 5 次科学技術基本計画において、我が国が目指す未来社会の姿として、
Society 5.0 を提唱している。これは、「サイバー空間 (仮想空間) とフィジカル空間(現実空間) を高度に融合させたシステムにより、経済発展と社会課題の解決を両立す
る人間中心の社会 (Society) 」を表しており、狩猟社会 (Society1.0) 、農耕社会 (同2.0) 、工業社会 (同 3.0) 、情報社会 (同 4.0) に続く、新たな社会と定義している(内閣府ホームページより (以下 HP と略す) ) 。
Society 5.0 の社会では、「多様なニーズにきめ細やかに対応したモノやサービスを提供し、経済的発展と社会的課題の両立を実現する」ために、「様々なつながりによ35

る新たな付加価値を創出する Connected Industries9の実現に向けて新たな産業構造の構築が必要」とされている (経済産業省 HP) 。ここで着目すべきは、従来以上にサイバーセキュリティ上の脅威が増大する、ということである。その理由を以下三点、及び図 3-14 にて説明する。
✓

IoT によりヒトとモノがつながることにより、サイバー攻撃の起点が増大すると共に、複雑につながるサプライチェーンを通じてサイバーリスクの範囲が拡
大✓サイバー空間とフィジカル空間の融合により、サイバー攻撃がフィジカル空間
である工場等の現場にまで浸透する可能性✓

大量のデータの流通・連携を支えるデータプロテクションセキュリティの重要性が増大

9経済産業省商務情報政策局サイバーセキュリティ課, サイバー・フィジカル・セキュリティ
対策フレームワークの策定に向けて

http://www.meti.go.jp/committee/kenkyukai/shoujo/sangyo_cyber/wg_1/pdf/001_06_00.pd
f. より引用36

図 3-14 Society 5.0 社会におけるセキュリティ脅威の変化

受発注の調達時におけるセキュリティ要件とその実装にフォーカスしていたサプラ
イチェーンセキュリティであるが、これからは仕様書に記載された機能を「開発する
環境の安全性と信頼性」がより求められる。
例えば、これまでクローズドであった製造現場にインターネットが接続されることで、不正なアクセスによる設計情報の外部漏えいや改ざんリスクへの対策は十分か、または製造における所定の品質チェックや試験が為されており、かつそれは適正な資格を有する専門家により行われているか、そのエビデンスが残されているか、といったことである。
従来は異業種と呼称されるような多種多様な企業とのネットワークを介した取引が常態化する社会を想定するとき、人が ID/パスワードで相手を特定するのと同様、ネットワーク越しで調達する企業と、そこで製造されるモノの、セキュリティを含めた品質と信頼性をエビデンスとして確保すること、信頼する企業間での取引を実現することが急務といえる。

37

海外における新たな施策
海外においても、IoT や ICS 防衛のためにはサプライチェーンマネジメントでアプローチする必要性が認識され始め、実際に施策として実現化されている。代表的な事
例が、米国と欧州である。
米国では、NIST が 2015 年に SP800-171 を策定し、非政府機関の情報システム等における CUI の保護を目的としたサイバーセキュリティ対策の要件を規定した。そこで規定されている 14 の大分類を(表 3-6)に示す。これはシステムとして具備すべきセキ
ュリティ項目の標準であり、調達時の参考ともなり得る。
表 3-6

№

NIST SP800-171 14 の大分類 (Family)

名称

1 アクセス制御
2 意識向上と訓練
3 監査と責任の追跡
4 構成管理5 識別と認証
6 インシデントレスポンス
7 維持管理8 メディアの保護
9 要員のセキュリティ
10 物理的保護
11 リスクアセスメント
12 セキュリティアセスメント
13 システムと通信内容の保護
14 システムと情報の完全性

原語Access Control
Awareness and Training
Audit and Accountability
Configuration Management
Identification and Authentication
Insident Response
MaintenanceMedeia Ptotection
Personnel Security
Physical Protection
Risk Assessment
Security Assessment
System and Communications Protection
System and Information Integrity

2016 年、DRAFS Clause252.204-7012 が出され、国防総省(DoD)調達に係るサプラ
イヤーに対して上記 SP800-171 に対応する事が求められると、2017 年にはその期限が 2017 年 12 月末と定められた。米国の防衛産業と取り引きする日本の企業でもその影響は既に現れており、実装に対する具体的な動きが始まっている。
これらの動きに対して、経済産業省は新たに産官学からなる「産業サイバーセキュ
リティ研究会」を 2017 年 12 月に発足させ、サプライチェーン全体でのリスク対策・
認証方法の検討がスタートした。米国の動きに対応した日本独自のサプライチェーン
セキュリティ施策の実施が期待される。

38

3.5 経営者のリーダーシップと信頼の輪の構築
今や企業の事業は IT なしでは成り立たず、IoTの拡大により制御系システムもネットワークに組み込まれ、さらにはSociety 5.0やデジタルトランスフォーメーションの進展に伴い、ITへの依存度はますます高まっていく。その一方で、サイバー攻撃の手口はますます巧妙化・高度化し、2020年の東京オリンピック・パラリンピックに向け、攻撃がさらに激化すると考えられる。このようなサイバー攻撃に
より顧客情報などが詐取される、生産活動がストップする、さらには重大な事故の発生により、サプラ
イチェーンや社会全体に混乱と不安を引き起こすような事態が生じ、企業がその社会的責任を問われ事業継続に甚大な影響を及ぼしかねないリスクが高まっている。そこで、経営者はサイバー攻撃を重大な経営リスクと捉えて適切な対策を講じる必要がある。
一般的に「リスク」という言葉は自然災害や事故など損害を被る「危険」という意味で捉えられることが多い。しかし、あらゆる企業活動にリスクは付きものである。
「ノーリスク・ノーリターン」ともいわれるように、経営者はリスクを事業に付きものの「不確実性」と捉えるべきである。経営判断によって想定通りの結果が出ることも、悪い方向あるいは良い方
向にふれることもあるため、このような不確実性を管理することこそ、経営者が行うべきリ
スクマネジメントである。
サイバー攻撃はまさに事業遂行上切り離すことができないリスク、すなわち不確実性であり、これを適切にマネジメントするためには、経営者が「セキュリティ対策を強化するように」といった漠然とした指示ではなく、的確なリーダーシップを発揮することが必要である。しかし、
サイバー攻撃に関する技術的専門性の高さや経営者を対象とした情報提供の不足により、経営者の理解が進まず、結果的に有効なリーダーシップを発揮できずにいる可能性がある。
言うまでもなく、経営者のリーダーシップは直接サイバー攻撃対策の推進やインシデン
ト対応を実践することを意味するものではない。経営者が発揮すべき“第一のリーダーシッ
プ”は、サイバー攻撃への対策は経営として取り組むべきものと位置付け、経営的な知見とサイバー攻撃やネットワークインフラなどの専門的な知見を有し経営者を支援しながら関係部署をリードできる「セキュリティ統括人材」を新たに育成・確保し、正式な社内組織としての「セキュリティ統括室」の設置、必要な予算の割り当てなど、組織的、制度的な対応を実施することにある。
一方でリスクマネジメントは、リスクが発生する可能性とその影響度合いを勘案して対策を講じ、やみくもにすべてのリスクに対策を行うものではない。サイバー攻撃のリスクが発生する可能性が高く、かつ、その影響度が極めて大きいものは、例えばインターネットの接点を自社で保有せず他社に委託するなど「リスクを回避」すべきである。またリスクが顕39

在化する可能性が極めて低く、その影響度が極めて低いものは「リスクを受忍する」という選択もある。
さらにサイバー攻撃対策では、不正な通信のフィルタリングなどリスクの発生頻度を下げる事前の対策 (「特定」「防御」) とサイバー攻撃を受けた場合にインターネットから切り離すなど、リスクが発生した場合に被害を極小化する「事後の対応」 (「検知」「対応」)
を講じる必要がある。従前は事前の対策が主流であったが、今般のサイバー攻撃の手口は多様化・巧妙化しており、あらゆるサイバー攻撃を防ぐことはできないという前提に基づき事後の対応、さらには事業をいかに再開するか「復旧」についてあらかじめ計画しておく必要がある。
このようなサイバー攻撃対策の基本的な方向性を意思決定し、これを推進する「統括人材」
を強力にバックアップすることが、経営者の発揮すべき“第二のリーダーシップ”である。
リスクを不確実性と捉え、その発生の可能性と事業に与える影響度合いに関する考察を通じて、夫々のリスクに対する具体的な対策や、影響を被る顧客や取引先など協働で対策を講じるべきステークホルダーが明らかとなってくるが、サイバー攻撃の手口は常に向上するため対策の陳腐化は極めて早い。このため、あらゆる最新の情報に目を配り必要に応じて対策の改善を行わねばならないが、個々の企業が知り得る情報には限界がある。また、そも
そもサイバー攻撃は、サイバー空間に存在する攻撃者が金銭取得や政治的な目的を持って行うものであるため、特定の業種や企業に特化したリスクであるというよりも社会的なリスクと認識し、社会全体のサイバー攻撃に対する耐性を向上させる取り組みも不可欠である。
経営者は、この取り組みは企業にとっての「競争領域」ではなく、他社と協調して社会的な付加価値を設ける (CSV : Creating Shared Value) すなわち「協創領域」であるとの認識のもと、他社と交流し「信頼の輪」を築きながら、失敗も含めた自らの取り組みや経験、知恵を積極的に提供することにより「目指すべきセキュリティ水準」を産業界で共有し、系列企業
ならびにサプライチェーンを含めたサイバー攻撃対策を推進していくべきである。本検討会は、その一助とすべく、第二期の成果物として会員企業間の知恵を交換した「サイバーセ
キュリティ対策の事例集」を策定している。
さらにこのような産業横断の連携に加えてベンダ企業、「官」 (政府) 、「学」 (大学ほか) と連携を図ることにより、サイバー攻撃対策に関する情報交換にとどまらず、人材育成のための人的交流の実施、政策を通じた社会全体のセキュリティレベルの向上、さらに企業にとって必要なセキュリティ教育の実現などを目指すことができる。
このように、自社の取り組みや経験、知恵の開示を積極的に行い、様々な外部との連携を図るとともに、系列企業、ビジネスパートナーなどのサイバー攻撃対策を推進していくため
40

に必須となる会員企業間の「信頼の輪」をさらに深化させていくことが経営者の発揮すべき最も重要な“第三のリーダーシップ”であり、本検討会は「信頼の輪」の深化の一助となる
べく、各経営者層の信頼を醸成するため定期的に「トップ層会合」を開催している (図3-15)。

図 3-15 2017 年度トップ層会合の様子

413.6 各 WG との関連性
本検討会は、重要インフラ事業者を中心としたユーザ企業及びその委託先企業に求められるサイバーセキュリティ人材の育成要件をより深く検討するため、図 2-1 に示す 4 つのWG を置き、人材定義や人材育成に対するあるべき姿の検討、判断の基準となる情報共有、
高等専門学校、大学・大学院への育成環境の支援等を視野に入れて活動している。ここでは、以下に各 WG の目的・目標・活動方針について概要を示す。

人材育成 WG
人材育成 WG では、第一期で策定公開した「人材定義リファレンス」の有効活用に向けてユーザ企業に求められるセキュリティ人材育成の高度化・効率化を目的とした活動を続けてきた。
第二期中間報告にも記載した通り「活動目標は、エコシステム実現に向けた人材定義・
人材育成・採用活動の包括的な対策モデルを策定することであり、引き続き第一期同様の成果物の公開を目指して「人材定義リファレンス」の改訂、リファレンスの 30 の役割に対応した育成プログラムの検証、効率的な人材育成に向けた「研修データベース」の構築
運用、産学連携に求められる「採用基準」の確立を行うことしている」の実現に向けて、いくつかのテーマに基づき検討を実施した。

セキュリティ統括室の配置
第一期の「人材定義リファレンス」に記述した「セキュリティ統括 (室等) 」の業
務及び役割についての検討を進め、ユーザ企業における IT、OT、IoT 領域に跨る全社的な視点に立った「セキュリティ統括機能」の実装に必要となる項目を洗い出した。

セキュリティ統括人材の定義及び育成「セキュリティ統括室」を構成する人材と定め、IT、OT、IoT 領域における統括業
務の整理及び担当する人材の幅やスキルについて検討した。OT 領域の人材定義は、OT
セキュリティ人材定義 WG により検討され、その機能と役割について統合する予定である。
人材育成の観点からは、既存講座はデータベースに集約し、また登録セキスペとの関係性の整理や、トレーニングだけではない企業における人材育成 (成長の機会) を洗い出し、制度からマネジメント、教育や交流を織り交ぜた人材育成のあり方を検証した。
42

セキュリティ人材 研修データベースの構築・運用
人材育成 WG の課題として持ち上がった「既存のセキュリティ研修は活用可能か？」という問いを解消するために、会員企業各社を中心とし、広く教育事業者やセキュリティ事業者に声掛けをしつつ、研修データベースを更新している。現在では、国内外のセミナーやイベント情報をも網羅するようになっている。

取り組みを普及するためのイベント及び成果物
これまで社外発信をあまり実施してこなかった CRIC CSF として、IPA との共催でのセミナーを開催した (6 月 12 日開催「今なすべきサイバーセキュリティ対策とそれに必要な人材とは～求められる人材像と情報処理安全確保支援士制度について～」) 。さらに、その講演資料及び動画は IPA から公開10され、広く認識されることとなった。
更に、登録セキスペの普及に向けた支援として、IPA で開催する登録セキスぺへの移行説明会においても CRIC CSF としてユーザ企業としての取り組みの説明を行った。
第二期の成果物に、以下の 2 点がある。
✓

人材定義リファレンス 解説書✓

ユーザ企業のためのセキュリティ統括室構築・運用キット (統括室キット)

今後は、これまで検討の土台として活用してきた NIST サイバーセキュリティフレームワーク 1.1 (及び 1.0) や、SP800-181 (旧 NICE Framework) といった海外の文書との精緻な連携・連動を行い、日本国内でのセキュリティ対策状況が、われわれの文書を通じて、海外でも活用できることを目指すこととする。

OT セキュリティ人材定義 WG
OT セキュリティ人材定義 WG では、第一期の検討課題として残していた OT(Operational Technology：制御・運用技術) に関するセキュリティ人材の育成方法を明確にするため、重要インフラ事業者である参加企業の事例共有を通じ OT 領域を明確化
し、タイプ･スキルと言った人材像を定義することを目的と定めた。
また実践的な OT セキュリティの人材モデルを策定することを目標とし、OT 領域における業務プロセスや業務要件を特定の粒度で明確に具体化し、OT 領域における「わかりやす
い」セキュリティ人物像・人材モデルの策定、主要な業務単位を意識した成果物のパッケ

10

セミナー開催レポート: https://www.ipa.go.jp/siensi/report180612.html

43

ージ化・実際に人材を育成するためのロードマップ素案作成 (人材育成 WG への継承) の方針を実現すべく活動した。
WG では、✓

業務プロセスに基づくリファレンス・パターンの定義✓

各リファレンス・パターンにおける OT セキュリティ人材定義スキル・リファ
レンスの開発を行った。なおリファレンス・パターンについては、会員企業の業態に沿っているか検証を行い、パターンとして満足していることの検証も行った。
第三期活動の活動では、IoT (Internet of Things) における人材定義スキル・リフ
ァレンスの開発を目指していく。

情報連携・ナレッジ共有 WG
情報連携・ナレッジ共有 WG では、ユーザ企業を中心とした産業横断連携により、参加
企業の課題解決に貢献できること、情報共有と情報活用の場を作ることを目的とし、産業界全体のサイバーレジリエンス向上・効率化を目標に据えて活動を進めてきた。本 WG の第二期活動においては、人材育成 WG で定義するセキュリティ統括人材が活躍する現場での課題を解決し、サイバー脅威に対抗できる円滑な組織運営につなげるため、以下 2 点をテーマに取り組みを推進してきた。
✓

セキュリティ統括室を核とした経営層、実務層とのギャップ解消に向けた情報交換✓

サイバーセキュリティ経営ガイドラインに準じた見える化と事例集の策定

会員各社より、「他社と比較した自社のセキュリティレベルが分かり、経営層の理解が進んだ」、「各社の取り組みから課題解決のヒントをもらえた」、「サイバーセキュリテ
ィ分野の人脈ができ、自身の視野が広がった」といった意見も多く挙がり、この第二期活動において、信頼の輪に基づく情報共有コミュニティがより深化し、各社の現場での悩みの解消、課題解決の一助となる情報・ナレッジの交換を行うことができた。
第三期活動に向けては、さらに踏み込んだ議論 (成功事例のみならず失敗から得られた教訓など) を進めるため、第二期で作り上げた信頼のコミュニティをより強固にしていくと共に、変化するサイバー脅威に対して、会員企業がセキュリティ統括現場で抱える様々な悩みを早期にキャッチし、タイムリーかつインタラクティブに解決できる共助の仕組みづくりに取り組む。

44

産学連携人材教育 WG
産学連携人材教育 WG では、セキュリティ人材の育成スキームを確立し、産学官が連携したセキュリティ人材育成エコシステムの実現、及び 2020 年までに可能な限り多くの学生、社会人に良質の教育機会を提供することを目的として、2016 年 4 月から活動を進めてきた。
本 WG を構成するユーザ企業及びベンダ企業の参加各社は、目的を実現するために、「産官学セキュリティ人材育成エコシステムの実現」に向けた産学連携の在り方、ならびにユーザ企業が学に求める人材像についてを検討してきた。その検討の過程で、ユーザ企業が統括人材として求めるのは、セキュリティの専門的な技術者ではなく IT リテラシー
やリスクセンス、他部署と連携して問題を解決するためのコミュニケーション能力等であるという議論があった。
本 WG では、さらに議論を重ねて検討し、主に以下 2 つの具体的な活動を行った。
✓

各社による大学連携スキームの実践の紹介として、寄附講座及び共同研究の活動状況の情報共有の場を設けた。本 WG では、各社から提供された情報をもとに、産学連携の在り方を検討した。

✓

求める人材像の策定に繋がる学生への具体的な働きかけとして、日本経済団体連合会 (経団連) 後援の「CRIC CSF 主催の学生向けセミナー (2018 年 6月) 」を実施した。本 WG では、実施結果を検討議題にフィードバックして議論を進めた。

特に二つ目の学生向けセミナーでは、セキュリティ技術者として第一線で活躍する各社パネラー (5 名) と、サイバーセキュリティに前提知識・関心がある学生 (23 名) の間でインタラクティブに活発な質疑 (約 50 件/110 分) が行われた (図 3-16、図 3-17、図 318)。
本 WG の開催を通じて得られた成果は、産学のそれぞれの立場が違えど、セキュリティ
技術者が抱く仕事の面白さや、やりがいを共有できたこと。また、実際に参加した学生からセキュリティに関する業務に理解が深まったという多数の意見があり、セキュリティ技
術者と大学生の重要な交流の機会となったことである。

45

図 3-16 学生向けセミナー (講演) の様子

図 3-17 学生向けセミナー (パネルディスカッション) の様子 その 1

図 3-18 学生向けセミナー (パネルディスカッション) の様子 その 246

第二期でみえてきたユーザ企業とベンダ企業とで学に求める人材像が異なるといった課
題等についても検討が必要である。そのため第三期の活動に向けて、今回開催したセミナ
ーで上がった学生からの声や要望等も踏まえ各産業界に必要な人材像の検討、またできるだけ多くの学生や社会人への良質な教育機会の創出、そして産学連携の在り方に関する検討を継続していく。

なお以上紹介した４つの WG に加え、トップ層会合・オープンセミナーを含めた活動内
容については別途公開を予定しているので、詳細はそちらをご覧頂ければ幸いである。

47

3.7 関係省庁をはじめとする外部機関との連携
本検討会では、これまでユーザ企業として求めるセキュリティ人材の在り方やベンダ企
業との協力体制、セキュリティ人材育成に向けた産官学での連携などについて、各 WG の活動を通じ議論、検討を進めてきた。これらの活動を進めるにあたっては、オブザーバである内閣サイバーセキュリティセンター (NISC) をはじめとする関係省庁、外部機関との連携が肝要である。世の中の動きを活動に取り入れながら、ユーザ企業として求めるサイ
バーセキュリティの在り方を政策へ反映し、また我々の活動が広く認知されることで、重要インフラを中心としたユーザ企業のサイバー脅威への耐性強化、さらにはサプライチェーン、利用者に至るまでの日本社会全体のセキュリティレベル向上へ寄与し、サイバー攻撃による日本経済へのインパクトの軽減を達成できるものと考えている。
第二期活動では、省庁横断での取り組みとして、2018 年 7 月 27 日に閣議決定された「サイバーセキュリティ戦略」の意見募集及び本戦略における人材育成に関連した「普及啓発・人材育成専門調査会 (NISC) 」とその配下の WG に対して、本検討会より産業界でのサイバー脅威への対応能力強化に向けた意見書の提示等を行った。さらには関係省庁の一つである経済産業省が主催する「産業サイバーセキュリティ研究会」配下のワーキンググループ２ (経営・人材・国際) や、IPA が主催、経済産業省がオブサーバとなっている「サイバーセキュリティ経営プラクティス検討会」に専門委員として参画し、ユーザ企業
ならではの組織構造、人材、役割、オペレーション等を考慮したサイバーセキュリティ対策に求める姿をフィードバックし、より良いアウトプットとなるよう取り組んでいる。
また、2018 年 6 月 12 日に開催された IPA 主催「今なすべきサイバーセキュリティ対策とそれに必要な人材とは」や、同 11 月からの「第一回戦略マネジメント系セミナー」な
どの各種セミナーに協力し、CRIC CSF が掲げるサイバーセキュリティと統括人材の在り方や、ビジネスプロセスとサイバーセキュリティ対策の関係についての議論が活発化する
よう普及啓発を進めてきた。
さらには、一般社団法人日本サイバーセキュリティ・イノベーション委員会 (JCIC) をはじめとする各種団体との協力関係を新たに築き、米国においては、サイバーセキュリテ
ィに関する有力団体である NIST (National Institute of Standards and Technology)に、CRIC CSF の取り組みが「Cyber Security Framework (NIST) 」の優良活用事例として取り上げられるなど、国内外問わず、互助精神に基づく活動の枠を広げながら、ユー
ザ企業団体としての提言をより洗練化し、浸透させるための取り組みが進んだ。

48

本検討会における外部機関との連携については、公式 WEB (http://cyber-risk.or.jp)
にて公開している。表 3-7 に、その一部を紹介する。
表 3-7 外部機関との連携例関係省庁・団体
外部機関名

WG 等

連携・取組状況内閣サイバーセ

普及啓発・人材

本調査会ならびに配下の「セキュリティマインドを持

キュリティセン

育成専門調査会

った企業経営 WG」及び「人材育成に関する施策間連携

ター（NISC）

WG」へ参画し、そこでの議論を通じて、「サイバーセ
キュリティ人材育成取組み方針」が決定。今後もサイバーセキュリティの普及啓発に向けた議論を継続。

文部科学省

基本戦略

2018.7.27 に閣議決定された「サイバーセキュリティ

グループ

戦略（案）」の意見募集へ対応。

高等教育局専門

enPIT、enPITpro の普及に向けた、CRIC CSF セキュ

教育課

リティ人材育成 研修データベースとの連携に関する検討に着手。

経済産業省

産業サイバー

サイバー・フィジカル・セキュリティ対策フレームワ

セキュリティ

ーク（案）に関する議論。

研究会

2018.7.10 に立ち上がった「サイバーセキュリティ経営プラクティス検討会」へ参画し、産業界からのアドバイスを実施。

独立行政法人産業サイバー

IPA 主催「第一回戦略マネジメント系セミナー

情報処理推進セキュリティ

(2018.11-12) 」に協力。サイバー脅威に立ち向かう機構（IPA）

センター

ための企業に必要な機能やそれを実現するための体制などの考え方について講義。

IPA HRD

IPA 主催「今なすべきサイバーセキュリティ対策とそ

イニシアティブ

れに必要な人材とは (2018.6.12) 」にて、講演及びセンター

パネルディスカッションを実施。当日の講演資料は
IPA の WEB サイトより公開中。
https://www.ipa.go.jp/siensi/report180612.html

49

関係省庁・団体

連携・取組状況

一般社団法人日本経済団体連合会

サイバーセキュリティに関する懇談会に参画し、（経団連）

2017.12.12 に公表された第三次提言に、CRIC CSF のエコシステムが引用。また、本懇談会での活発な議論を通じて、2018.3.16 に、経団連サイバーセキュリティ経営宣言が公表。

一般社団法人日本システム・

プラクティス検討や人材育成に関する連携が双方にとユーザー協会（JUAS）って有益であるとの認識の下、具体的な連携方法について検討中。

一般社団法人日本サイバー

団体相互の情報交換、サイバーセキュリティ人材育成

セキュリティ・イノベーション

に関する取り組み推進に向けて協力関係を築いた。

委員会（JCIC）
National Institute of Standards

CRIC CSF における NIST Cyber Security Framework

and Technology （NIST）

や NICE の活用事例が、NIST の「Success Story」として取り扱われることとなり、2018.11.7-9 に米国で開催された「NIST Cybersecurity Risk Management
Conference」において事例発表を行った。
https://www.nist.gov/newsevents/events/2018/11/nist-cybersecurity-riskmanagement-conference

また、NIST の公式 WEB サイトに日本の産業横断の取り組み事例が掲載された。
https://www.nist.gov/node/1332326/japanese-crosssector-forum503.8 サイバーセキュリティ人材確保のためのエコシステム
エコシステムの重要性
本検討会では、各 WG の活動を通じて、産業横断による情報共有の場を維持しながら、
人材定義から具体的な育成スキームの実現に向けた議論やツールの創出まで、様々な取り組みを自主的・主体的に行っているが、個々の企業が自助と共助で取り組むだけでは、2020 年の東京オリンピック・パラリンピックはもちろん、その先の時代も含め、サイバー
セキュリティ問題を乗り越えていくことは難しく、「産」の自主的・主体的な取り組みが「官」や「学」としっかりとした連携・協力の体制が築かれていることが不可欠である。
そこでサイバーセキュリティ人材の確保という観点から、「産」、「官」、「学」それぞれの関連組織が、相応の役割と責任を担い合い、様々なリソースと活動を補い合いながら有機的に繋がって理想的な状態を維持するエコシステムが成り立っていることが重要と考える。
本章では、そのようなサイバーセキュリティ人材確保のためのエコシステムについて、
特に「産」（産業界）の位置付けと、本検討会の活動や成果をどのようにエコシステムに寄与させたいと考えているか説明する。なお、セキュリティ人材の確保が必要となるのは、必ずしも「産」だけでなく「官」や「学」の領域にでも同様であるが、現段階では「官」や「学」で必要なセキュリティ人材が育成、雇用されて活躍し続けることに関しては、便宜上、言及・明示するのを省略するが、産業界のサイバーセキュリティ対応の強化のためにも「官」や「学」のもとで「産」のセキュリティ人材が努めるべきことも多いと考えている。

CRIC CSF が考えるサイバーセキュリティ人材確保のためのエコシステム
日本におけるセキュリティ人材育成の取り組みとして、大学等の教育機関(「学」)では若年層のみならず社会人も対象とし、セキュリティの基礎から高度な実践教育を行うためのカリキュラム策定や講座の開設等に力を入れるようになってきており、企業からの協力による産学連携の教育環境も増えつつある。また NISC や各省庁等、国の機関 (「官」) においては、「学」におけるセキュリティ人材教育を支援しつつ、セキュリティ人材としての種別やレベルの指標となる資格制度の運営や OT 領域も含めた特殊で高度な人材を養成するための取り組み等、日本の各界を統制する「官」だからこそ実現可能な各種施策を立ち上げている。そのような中で産業界としても自主的・主体的にセキュリティ人材の育成に取り組む必要があり、本検討会がその一助をなすべく活動を進めていることは本報告書の各章に記載しているとおりである。
51

本検討会では産業界として求められるセキュリティ人材の定義、及び、その定義に基づく人材の育成・維持のための手段や施策を、産業界として自主的・主体的に推進すべく丁寧な議論を進めている。育成されたセキュリティ人材あるいはセキュリティ“もわかる”人材が各業界、各企業に適切に雇用され、活躍し続けることができる仕組みが整っていることが重要となる。
第一期では、「産」、「学」、「官」がそれぞれ担うべき役割や機能を並べ、想定される相互の関係を描いたエコシステムのイメージを（図 3-19）のように示した。
その後、エコシステム具現化のために重要となる様々なポイントが明らかになりなってきており、第二期では 2020 年の東京オリンピック・パラリンピックを見据え、日本の重要インフラの横断的かつ統一的なサイバーセキュリティ水準を確保されるために産業界が行うべき短期的な取り組みを推進しつつ、将来的にも産業会のセキュリテ
ィ水準が維持されるためのエコシステム実現に向け、本検討会の活動やその成果がどのように寄与していくと考えているかを示し、産業界、特にユーザ企業、重要インフ
ラ企業への理解を広めたい。そのためには、「あるべき姿 (Toe 像) 」、「あるべき姿（Tobie 像）に向けて産業界が取り組むべきこと」、そのために「本検討会が取り組むべきこと」のそれぞれの観点で全体をとらえて整理することが必要となる。

図 3-19 第一期で示した人材育成のためのエコシステムイメージ

52

サイバーセキュリティ人材確保のためのエコシステム
第二期の議論において明らかになってきたサイバーセキュリティ人材確保のための幾つかの重要ポイントを踏まえ、産学官連携の在り方及び本検討会の活動やその成果（各種ア
プトプット）がどのよう寄与していくと考えているのか、その全体像、すなわちエコシス
テムのイメージを（図 3-20）に示す。

図 3-20 サイバーセキュリティ人材確保のためのエコシステム (イメージ)
以下、図 3-20 に示すエコシステムについて説明する。

エコシステムの構成要素
 「産」：産業界全体を意味する。本検討会は、ユーザ企業や重要インフラ企業を中心に構成されているが、エコシステムの構成を議論する上では、セキュリティに関連する事業を行っている IT 企業やベンダ企業に期待される役割や責任も重要となるため、「産」と一括りにしつつも、その中に「ユーザ企業／重要インフ
ラ企業」、「ベンダ企業／IT 企業」の２つのカテゴリに属する業界や企業があることを明示する。
53

 「学」：大学や高専、各種研究機関など、教育機関全般を指す。
 「官」：NISC や関係省庁などを指す。
 「CRIC CSF」：CRIC CSF すなわち本検討会は、産業界における各企業メンバから成る活動組織であるが、エコシステムの中ではプレイヤとして存在することではなく、CRIC CSF の活動成果が産学官連携によるサイバーセキュリティ人材確保にどのような形で寄与するものであるかが重要であり、図 3-20 においてもその部分を明示している。

産業界からみた産学官連携の在り方
 セキュリティ人材の確保は、「育成」、「雇用」、「アウトソース」の３つの手段に大別される。
 雇用先は、ユーザ企業だけでなく、ユーザ企業からのアウトソース要望に応える
ベンダ企業／IT 企業も雇用先となる。
 「産」は「学」に対して、期待どおりのセキュリティ人材やセキュリティもわかる人材が排出されるよう、産業界としての要件を提示するとともに、教育のための様々なノウハウ支援を行う。
 「産」は「官」に対して、国としての様々な施策が産業界の実状により即したものとなるよう、国による最新の指針や制度に対するタイムリーな理解と、本検討会へのフィードバックに努めながら、産業界としての要件を提示し、連携協力の関係を維持する。
 本検討会の各 WG 活動による各種成果物は、「産」、「学」、「官」のどこに寄与していくものなのかを明らかにする必要がある。具体的には、WG で作成される
人材定義やアウトソーシングガイドといった各種リファレンスを産業界だけでなく、学や官にも広く提示し、活用されるための円滑なチャネルの構築、維持が重要となる。

エコシステムの実現に向けて
産学官連携を前提としたセキュリティ人材確保のためのエコシステム実現に向け、本検討会すなわち CRIC CSF としては、その活動成果を各種リファレンスやツールとしてまとめ、産業界に活用を促すことで、それぞれの企業の実状にあった人材育成のための具体的な施策として実装が可能となり、サイバーセキュリティ水準向上の実績が広がることを期待している。

54

一方、日本の重要インフラにおける横断的かつ統一的なサイバーセキュリティ水準確保に向けては、NISC をはじめとする政府機関や関連省庁、関連団体、及び若年層から社会人まで幅広い対象で教育の場を営む大学などの学術機関との密接な連携が欠かせない。従って、産学官すべての領域における関係組織が、エコシステムにおけるそれぞれの役割や責任を考え、オールジャパンで共助する枠組み構築に一丸となって取り組めるよう、本検討会では、引き続き産業界の立場だけでなく産学連携の観点からの活動を議論し、これまで作り上げてきた各種リファレンスやツールをさらに充実化し、産業界に向けてだけでなく「官」や「学」にも様々な機会を通して提示していくことで、産業界としての要件や期待を「官」や「学」から参照できるようにし、より効果的な産学官連携の実現につなげていきたいと考えている。

55

おわりに
産業横断サイバーセキュリティ人材育成検討会では、セキュリティ人材不足という課題
に対してエコシステムの観点から解決策を検討してきた。
これまで第一期、第二期を通して、セキュリティ人材と呼ばれる人材が実際にはどのような役割を担う人材であり、どのように育成していくことが望ましいのか、会員各社の組織や役割および取り組み状況等に関する情報共有を進めることにより、これまで明確にされてこなかったセキュリティ機能および役割を定義してきた。

第一期では「人材定義リファレンス」の検討を通し、組織に求められるセキュリティ機
能および役割を定め、それら役割を担う人材像を明確にしてきた。
上記リファレンスを作成する過程において、ユーザ企業としてセキュリティ対策をどこまで実施すべきかという課題が浮き彫りになり、また日本企業特有のユーザ企業とベンダ企業の役割分担のあり方についても検討を行った。
セキュリティが経営課題として明確に認識されるようになってきた昨今では、第一期に共有してきた課題がまさに各社における事業戦略上の課題の 1 つとなっており、たとえ同業種の企業であっても経営方針が異なる場合には、要求されるセキュリティ対策も異なると認識するに至った。

そこで、第二期では、経営方針を理解し、戦略的にセキュリティ対策を企画・立案し、実施状況を確認する役割を担う「セキュリティ統括室（統括人材）」について議論し、同時に OT 領域におけるセキュリティ人材の定義を進めてきた。具体的には、サイバー攻撃の変化を捉えた柔軟なセキュリティ対策や、事業戦略上必要とされる様々なサイバーセキ
ュリティ対策が国内外から求められている現状を踏まえて、経営層が意思決定するために必要な要素とその遂行に求められる機能を「セキュリティ統括室（統括人材）」に定めた。
「セキュリティ統括室（統括人材）」は、その役割・機能を全てアウトソースすることはできず、企業自身が組織を構成し、人材を育成する必要があるとの認識に至った。更に、OT 領域における人材定義の結果を踏まえて、IT 領域が拡大する中での OT 領域の人材育成については、継続的な議論を行うこととした。
56

これから始まる第三期においては、2020 年のオリンピック・パラリピックへの対応と同時に、Society 5.0（あらゆるモノ・ヒト・コトがデータでつながる社会）を見据え、事業と IT が不可分になる時代に求められるセキュリティのあり方を検討していくこととなる。
特に OT 領域へのセキュリティ対策や、指数関数的に増えていく IoT 機器への対応が急務となっており、更には Society 5.0 のベースとなる AI・ビッグデータの活用に伴うセキュリティ対策を検討する必要が認識されつつある。これはデータをハッキングされることもさることながら、悪意のある不整合なデータを混入されることにより情報の精度が落ち
重要な経営判断を誤る可能性も出てくると想定するものである。

これまで第一期と第二期において共有してきた課題認識及び、その解決策の共有とオー
ルジャパンで対処していく必要性の気づきは価値あるものと考えており、より多くのユー
ザ企業の皆様に当検討会へ参加頂き「信頼の輪」の下で知見を共有し、自社取り組みへ反映頂く機会を提供して頂きたいと考えている。
更に、産業横断という名称の通り、特定の業種業界に拠らない企業全般に求められるセ
キュリティ対策及び人材育成を検討する会として、経営層からセキュリティ実務担当者に渡る幅広い情報連携、全社セキュリティリテラシーの向上に資する情報共有を積極的に進めることにより、見えない攻撃者に対して「集団防御体制」をより強固なものにしていきたいと考えている。

最後に、本検討会の成果物のさらなる啓発・浸透を図ると同時に Society 5.0 を見据えた産業横断ならでは検討・提言につなげ、安心・安全なエコシステムの実現と拡大への貢献を行っていく。

以上

57