「重要インフラの情報セキュリティ対策に係る第２次行動計画」

安心があたりまえ～誰もが安心できる社会基盤に～
２００９年２月２０日

内閣官房情報セキュリティセンター（NISC)
http://www.nisc.go.jp/

内閣参事官

上 原

仁

目

次

（１）内閣官房における情報セキュリティ政策の流れ（２）第２次情報セキュリティ基本計画（３）重要インフラの情報セキュリティ対策に係る第２次行動計画

これまでの取組

内閣官房における情報セキュリティ政策の流れ（２０００年以降の概要）

2003.08

2001.09

1999年
1999年

2000年
2000年

各省試行
錯誤の時代

2001
2001年

2002年
2002年

2003年
2003年

内閣官房による対策実行第１期

2004年
2004年

2005年
2005年

第２期への助走期

2000.07
セキュリティポリシー
ガイドライン

組織
体制

箇月で組織立ち上げ

対策推進の
枠組み・
道具

2006.021

2000.12

重要インフラサイバーテロ
特別行動計画

2006年
2006年

2007年
2007年

2008
2008年

対策実施第２期

第１次
情報セキュリティ基本計画

2009
2009年

対策
充実
第２次
情報セキュリティ
基本計画

2005.122005.12

政府機関の情報セキュリティ対策のための統一基準

政府機関
統一基準
（見直し）

2005.04

重要インフラの情報セキュリティ対策に係る
行動計画

第２次
重要インフラ
行動計画

内閣官房
情報セキュリティ対策推進室
2000.02

対策充実に向けた新たな仕込み

ワーム
猛威

枠組み・道具仕込み

2000.01

Blaster

米国
同時多発
テロ

組織・体制
仕込み

省庁ＨＰ
連続改ざん

2004.04① 情報セキュリティ補佐官の設置② 内閣官房情報セキュリティセンター
③ 情報セキュリティ政策会議
2005.05

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

2008
2008.04④ ＧＳＯＣの
ＧＳＯＣの運用開始
3情報セキュリティ政策会議及び内閣官房情報セキュリティセンター（NISC）の設置¾「情報セキュリティ問題に取り組む政府の役割・機能の見直しに向けて」（2004年12月7日IT戦
略本部決定）を受け、情報セキュリティ問題に関する政府中核機能の強化に向けて機能・体制等を整備中¾2005年NISC：：National Information Security Center）を設置
2005年4月25日、内閣官房情報セキュリティセンター（
25日、内閣官房情報セキュリティセンター（NISC
Center）を設置¾2005年
IT戦略本部の下に「情報セキュリティ政策会議」を設置
戦略本部の下に「情報セキュリティ政策会議」を設置
2005年5月30日、30日、ITIT戦略本部

情報セキュリティ政策会議

内閣官房情報セキュリティセンター（NISC）

官民から専門家を集約
（2009
74名
名）
2009年１月現在
年１月現在74①情報セキュリティ政策に関する基本戦略の立案

情報セキュリティ基本戦略等、根幹となる事項を決定④重要インフラの情報セキュリティ対策
防衛省

総務省

警察庁

企業

経済産業省

情報セキュリティ関係省庁

経済産業省

国土交通省

重要インフラ

厚生労働省

政府機関（各省庁）

総務省③政府機関の事案対処支援

重要インフラ所管省庁
金融庁②政府機関の総合対策促進◆諸外国との情報交換・連携の一元化◆国際的な信頼醸成

個人

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

4情報セキュリティ政策の構造「第１次情報セキュリティ基本計画」 （２００６年２月２日
２００６年２月２日 情報セキュリティ政策会議決定）

目標

各実施領域の重要政策

重要インフラ企 業

個 人

すべての政府機関が「政府機関統一基準」が求める水準にＩＴ障害を限りなくゼロに対策の実施状況を世界トップクラスの水準に「IT利用に不安を感じる」
個人を限りなくゼロに◆ 第三者評価制度の活用◆ ウィルス等への体制強化◆ セキュリティ教育の推進◆ 広報啓発の強化◆ ユーザーフレンドリーな
サービスの提供等

重要政策
横断的な

２００５年度◆重要インフラ行動計画◆ 政府機関統一基準に基づく各
省庁の評価◆ サイバー攻撃等への緊急対応能力の強化

・安全基準等の整備の推進
・情報共有体制の強化
・相互依存性解析
・分野横断的演習実施

情報セキュリティ技術戦略の推進

情報セキュリティ人材の育成確保

国際連携・協調の推進

犯罪の取締り、権利利益の保護救済

２００８年度

２００７年度

２００６年度
評価２００６

セキュア・ジャパン２００６
セキュア・ジャパン２００６

第２次計画

３ヵ年の

政府機関
・地方公共団体
政府機関・地方公共団体（２００９年２月３日 情報セキュリティ政策会議決定）「新しい官民連携モデル」の構築を目指す。
２００６～２００８年度の３ヵ年計画。全主体が適切な役割分担を果たす「新しい官民連携モデル」の構築
２００６～２００８年度の３ヵ年計画

評価２００７

セキュア・ジャパン２００７
セキュア・ジャパン２００７

２００９年度
評価２００８

セキュア・ジャパン２００８
セキュア・ジャパン２００８

セキュア・ジャパン２００９
セキュア・ジャパン２００９「セキュア・ジャパン」：基本計画の遂行を確実にするため、毎年の政府の重点施策をまとめた年度計画

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

5「第２次情報セキュリティ基本計画 」について

全体設計図である「第２次情報セキュリティ基本計画」、分野単位の個別設計図○情報セキュリティ政策は、情報セキュリティ問題全般に関する全体設計図である「第２次○情報セキュリティ政策は、情報セキュリティ問題全般に関する全体設計図である「第２次情報セキュリティ基本計画」と、分野別の個別設計図の組み合わせで推進する。
情報セキュリティ基本計画」と、分野別の個別設計図の組み合わせで推進する。
○このような組み合わせに基づくことで、個別分野縦割り的対応を排し、我が国全体とし○このような組み合わせに基づくことで、個別分野縦割り的対応を排し、我が国全体として分野横断的・政策領域横断的な視点を持って、複雑化する情報セキュリティ問題へのて分野横断的・政策領域横断的な視点を持って、複雑化する情報セキュリティ問題への的確な対応を進める。
的確な対応を進める。

「第２次情報セキュリティ基本計画」「第２次情報セキュリティ基本計画」（全体設計図）（全体設計図）情報セキュリティ
政策（個別設計図）（個別設計図）
PLAN
DO
CHECK
ACTION「政府機関統一基準」「政府機関統一基準」「重要インフラ行動計画」「重要インフラ行動計画」

企業、個人、横断分野、企業、個人、横断分野、政策の評価等
政策の評価等

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

7「第１次情報セキュリティ基本計画」の成果と「第２次情報セキュリティ計画」の目標 （目指す「姿」）
２．第２次基本計画（’０９年～’１１年）
２．第２次基本計画（’０９年～’１１年）

１．第１次基本計画（’０６～’０８年）
１．第１次基本計画（’０６～’０８年）
目標

成果

情報セキュリティ政策の立上げ

関係者の「気付き」を高めた

政策の継続と更なる発展
事前対策は当たり前のことに→ P to Pソフトで情報流出の危険性→ サイバー攻撃で情報を盗まれる危険性→ システム障害で事業が止まる危険性とりあえず政策推進の枠組みは構築

問題が生じても、冷静かつ迅速に事後対応・復旧活動を推進できる→ 政府機関の統一基準に基づく対策と評価→ 重要インフラ事業者間の情報共有体制→ 日米、日ASEANで情報交換を行う枠組み

（問題が生じないための）事前対策の取組みはある程度進展

情報を管理する側に加えて、情報を預ける側も取組みの対象に→ 但し、日々新たなリスクが生まれ、また変化している
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

8

「第２次情報セキュリティ基本計画」の全体像 ［１］○「第２次情報セキュリティ基本計画」は、情報セキュリティ問題全般に係る中長期計画○「第２次情報セキュリティ基本計画」は、情報セキュリティ問題全般に係る中長期計画（全体設計図）として、今後の我が国の取組みに関する、１）基本的考え方と、２）重点（全体設計図）として、今後の我が国の取組みに関する、１）基本的考え方と、２）重点政策の方向性を提示。
政策の方向性を提示。
○具体的には、２００９年度～２０１１年度までの３カ年計画として策定。これまで同様、○具体的には、２００９年度～２０１１年度までの３カ年計画として策定。これまで同様、本計画に基づいた年度ごとの推進計画である「セキュア・ジャパン」を策定するとともに本計画に基づいた年度ごとの推進計画である「セキュア・ジャパン」を策定するとともに、年度ごとの取組み状況や社会変化などに関する評価等を行う予定。
、年度ごとの取組み状況や社会変化などに関する評価等を行う予定。

第１次基本計画からの「発展」と「継続」
第１次基本計画からの「発展」と「継続」
1. 具体的取組みの持続的な推進、新たな課題への政策的対応（第１次基本計画で構築した取組みの各種枠組みを持続的に活用）

2. 「事故前提社会」への対応力強化（十分な事前対策の取組みにも関わらず、万が一問題が生じた場合を考えて準備を怠らない）

3. 合理性に裏付けられたアプローチの実現（情報資産の価値、リスクの大きさに応じた合理的（最適）な水準の対策を実現）
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

9「第２次情報セキュリティ基本計画」の全体像 ［２］第２次基本計画の基本的考え方
第２次基本計画の基本的考え方●基本目標 → 「ＩＴを安心して利用できる環境」の構築（第１次基本計画と同様。ＩＴ基本法第２２条の実現）●取組みにあたっての基本理念 → 「セキュリティ立国」の思想の成熟（ＩＴ時代の力強い「個」と「社会」の確立へ）（目指す「姿」は、最適な水準の取組みとセキュリティの実現であり、絶対的な無謬性の追求ではない → 絶対的な無謬性から脱却するには国民や社会全体の意識改革も不可欠）●基本目標の実現に向けた取組み → 官民の各主体が適切な役割分担を果たす「新しい官民連携モデル」＋（対策実施側のみならず）情報提供側も視野に入れた取組みの推進（第１次基本計画の下では、対策実施主体及び対策支援主体による「新しい官民連携モデル」を追求。状況変化を踏まえ、新たに情報提供側も視野に入れた取組みを推進）

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

10「第２次情報セキュリティ基本計画」の全体像 ［３］

第２次基本計画の下で取組みを行う政策領域
第２次基本計画の下で取組みを行う政策領域●課題の把握から事前対策、事後対応まで視野に入れた取組み（事前対策のみならず、万が一問題が生じた場合も視野に入れて事後対応の準備を進める）●技術面での対応から制度面、人的側面の対応まで視野に入れた取組み（技術開発から人材育成のような側面まで幅広く取組みを進める）●国内における対策の推進から、情報セキュリティ確保のために国際的になされる活動も視野に入れた取組み（ＩＴ利用・活用においては国境を越えるのは当然となっており、国内の取組みと国際的な取組み
を有機的に結びつけた取組みとする）●国民の日常生活や経済活動といった個別主体に関係の深い領域から、安全保障や文化といった我が国全体に関係の深い領域にまで対応した取組み（情報セキュリティ問題は相当程度幅が広いことに鑑み、様々な観点から柔軟かつ領域横断的に取組みを進める）

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

11「第２次情報セキュリティ基本計画」に基づく取組み－今後３年間の重点政策－

重要インフラ企業

個人◆能動的に情報セキュリティ対策を推進する体制確立（最高情報セキュリティアドバイザー
設置、年次報告書の報告・公表）◆事業継続性確保の検討、サイバー攻撃等への緊急対応能力強化◆ 情報共有体制の強化◆ 重要インフラ連絡協議会の設置◆ 分野横断的な演習、共通脅
威分析の実施◆ 情報セキュリティ監査等第三者評価制度の活用推進◆ 対策容易化のためのツール提供◆ 中小企業の対策促進◆ コンピュータウィルス等への対応体制の強化◆ 学校や地域における教育モラル等の教育の推進◆ 個人の質問対応を行えるようなサポータの育成◆ サービス提供事業者や対策支援主体によるリスク情報等の個人への適切な提供促進

政府機関統一基準

重要インフラ行動計画

各省庁による施策

各省庁による施策

政府機関
・地方公共団体
政府機関・地方公共団体（４領域）
主な重点政策①
３年間の
主体
情報提供

自身の有する情報を預ける主体 （新たな課題として、関係機関等が協力しながら取組みを検討・推進）（横断的事項）主な重点政策②
３年間の情報セキュリティ技術戦略の推進◆セキュリティ対策を埋め込んだ機器の開発促進◆ 「グランドチャレンジ型」技術開発の推進

国際連携・協調の推進◆ 世界の脅威動向を把握するための官民連携確立◆ アジアにおける知恵の結集と水準の向上

情報セキュリティ人材の育成確保◆ 政府機関における人材の育成・確保◆ 保有するスキルの見える化の推進

犯罪の取締り、権利利益の保護救済◆ 犯罪取締りのための基盤整備の推進◆ 権利利益の保護・救済のための基盤性の推進※その他、「情報セキュリティ対策を実施する主体」の取組みを支援する主体の取組みも促進する。
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.
12

行動計画の策定の背景

IT障害を引き起こす脅威の例

脅威の類型

脅威の例

サイバー攻撃をは 不正侵入、データ改ざん・破壊、不正コマンド実行、ウイルス
じめとする意図的 攻撃、サービス不能攻撃（DoS：Denial of Service）、情報漏え
要因
い、重要情報の詐取、内部不正 等
非意図的要因操作・設定ミス、プログラム上の欠陥（バグ）、メンテナンス不備、内部・外部監査機能の不備、外部委託管理の不備、マネ
ジメントの欠陥、機器故障 等

災害や疾病

地震、水害、落雷、火災等の災害による電力設備の損壊、通信設備の損壊、水道設備の損壊、コンピュータ施設の損壊
等

他分野の障害から 電力供給の途絶、通信の途絶、水道供給の途絶（相互依存性の波及
解析の成果で判明しているもの） 等

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

14

情報セキュリティ対策とは情報セキュリティの三要素
機密性(Confidentiality)

認められた者しかその情報にアクセスできないこと完全性(Integrity)

情報が破壊、改ざん、消去され
ないこと

可用性
(Availability)

障害や妨害が無く、情報シス
テムを使えること

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

15

ＩＴ障害やその影響の例（抜粋）
重要インフラ分野

IT障害やその影響の例

情報通信

・電気通信サービスの停止、放送サービスの停止

金
融・預金の払い出し、振込等資金移動、融資業務の停止
・保険金の支払い停止
・保険金の支払い停止
・有価証券売買の停止 等

銀行
生命保険・損害保険
証券会社
金融商品取引所

航空

・運航の遅延、欠航、航空機の安全運航に対する支障等

鉄道

・列車運行の遅延、運休、列車の安全安定輸送に対する支障等

電力・電力供給の停止、電力プラントの安全運用に対する支障等

ガス・ガスの供給の停止、スプラントの安全運用に対する支障等

政府・行政サービス

・政府・行政サービスに対する支障
・個人情報の漏洩、盗聴、改ざん

医療・診療支援部門における業務への支障等

水道・水道による水の供給の停止
・不適当な水質の水の供給 等

物流

・輸送の遅延・停止
・貨物の所在追跡困難
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

16基本的な方向性○情報セキュリティ対策は、一義的には重要インフラ事業者等が自らの責任において実施するもの○他方、単独で取り組む対策のみで、多様な脅威への対応が万全であることを確認することは困難

分野内の他事業者、他分野の事業者等との連携の充実が必要
第２次行動計画

各関係主体による様々な情報セキュリティ対策を、・重要インフラ事業者等がとることが望ましい自主的な対策
・内閣官房を中心とした政府及び関係機関等において実施することが望ましい施策からなる体系的な枠組みとして整理。
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

17

第２次行動計画

重要インフラの情報セキュリティ対策に係る第２次行動計画の全体像○ 「重要インフラにおけるＩＴ障害の発生を限りなくゼロにすること」を目指すとともに、 「ＩＴ障害が国
民生活や社会経済活動に重大な影響を及ぼさないようにすること」を目標に官民が連携して重要インフラ防護に取り組む○ 新たに分野毎(*)に重要インフラサービスの検証レベルを設定して着実に改善を実施○ 第１次行動計画において設定した施策の４つの柱に着実に取組み、また経験を改善につなげる
とともに、新たに「環境変化への対応」を５つめの柱に掲げ、変化に対する察知能力の向上と機※１０分野： 情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス（地方公共団体を含む）、医療、水道、物流
敏な対応に取り組む
第１次行動計画の成果

第２次行動計画の施策の枠組み【2006年度～2008年度】【2009年度～2011年度】①安全基準等・「重要インフラにおける情報セキュリ
ティの確保に係る「安全基準等」策定にあたっての指針」を策定、改定・各分野にて安全基準等の策定、見直し②情報共有体制の強化
情報共有の推進
必要な情報を獲得し活用①安全基準等の浸透②情報共有体制・官民の情報提供・連絡の体制を整備し、情報提供･情報連絡を開始
・各分野にてセプターを整備
・セプターカウンシルを創設（予定）③相互依存性解析

重要インフラ事業者等による分野横断連携複数分野に共通の潜在的な脅威を発見

セプターカウンシル④分野横断的演習
セプター

セプター

セプター

Ａ分野

Ｂ分野

Ｃ分野

検証レベル

検証レベル

検証レベル

関係機関

政府

対策を充実、着実に実践

分野毎の主体的な対策③共通脅威分析

防護対策向上のための
課題抽出

・静的相互依存性解析を実施
・動的相互依存性解析を実施④分野横断的演習
・研究的演習、机上演習を実施
・機能演習を実施

政府等による支援Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

⑤環境変化への対応
変化を捉えて機敏に対応
19

情報セキュリティ対策のスコープ・事業継続性を確保するためには、予防的体策と事後的対策の両方が必要
・情報セキュリティ対策の継続的な検証と改善に取り組む
重要インフラサービスのサービスレベルの維持、回復

予防的対策

想定脅威

事後的対策

脅威の
顕在化
（例）
・サイバー攻撃（例）・プログラム上の欠陥（バ・サイバー攻撃にグ）
よるＩＴの機能不全
・地震による設備損壊

国民生活や
社会経済活動への重大な影響（例）
・サイバー攻撃を防ぐ対策

予防的対策により、
通常はＩＴの機能不全が抑制されているか、発生してもＩＴ障害には至
らない

ＩＴ障害の
顕在化
（例）
・重要インフラサービスの停止（例）
・事業継続計画の発動

重大な影響
（例）
・国民生活への影響の発生

ＩＴ障害発生時における事後的対策により、ＩＴ障害の影響は最小限にとどめられる（例）
・社会不安や国民生活の混乱

行動計画の目標が達成されない状況対策と施策の成果検証
補完調査
行動計画の枠組の評価

継続的な検証と改善により、経験を行動計画の枠組みの改善に活かす
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

20

［参考］ 第２次行動計画の概要○ ＩＴ障害が国民生活や社会経済活動に重大な影響を及ぼさないようにすることを目標として継続
総論

第２次行動計画 (2009-2011)

第１次行動計画 （2006-2008)

情報セキュリティ対策の柱¾ 想定する脅威や防護すべき重要システム等の対策の範囲を設定¾ サービスレベルと検証レベルを定義、脅威等の対象範囲を見直し¾ 情報セキュリティ対策に関する官民連携の施策の枠組みを構築¾ アウトカムとなる「理想とする将来像」を提示

１ 安全基準等の整備

１ 安全基準等の整備及び浸透¾ 「『安全基準等』策定にあたっての指針」を策定¾ 「『安全基準等』策定にあたっての指針」の充実¾ 各分野毎に上記指針を踏まえた「安全基準等」を策定・改定¾ 各分野毎に「安全基準等」の継続的な改善の実施と、確実な浸透

２ 情報共有体制の強化

２ 情報共有体制の強化¾ IT障害に対応するための、官民の情報提供・連絡の体制を整備¾ 情報セキュリティ対策に資する、共有すべき情報を整理¾ 各分野毎に「セプター（情報共有・分析機能）」を整備¾ 情報の分析等のセプターに期待される機能を示し、必要な支援を実施¾ 分野横断的な情報共有の場として「セプターカウンシル」を設立¾ 分野横断的な情報共有等のセプターカウンシルに望まれる事項を提示

３ 相互依存性解析

３ 共通脅威分析¾ 相互依存性解析の問題提起と実施効果等を記載¾ 潜在的なリスクチェーンの把握等のため相互依存性解析を継続¾ 内閣官房を中心に、相互依存性解析を試行¾ 検討対象を技術、システム、環境等に拡大した分野共通の脅威を分析

４ 分野横断的演習

４ 分野横断的演習¾ 内閣官房の企画・立案の下、各分野が参加する形態で「研究的演習」¾ 具体的なＩＴ障害の発生を想定した分野横断的演習を継続的に実施、「机上演習」、「機能演習」を段階的に実施

５ 環境変化への対応¾ 広く協力、支援を得るため広報公聴活動を実施

評価・検証¾ 国際会合や他国機関との対話を通じた国際連携を推進¾ ３年毎又は必要に応じて行動計画を見直し¾ 分野毎にIT障害の検証レベルを設定し、また施策毎に検証指標を設定して、情報セキ

ュリティ対策の継続的な検証と改善に取り組む¾ 指標だけでは把握しきれない状況を収集するために、補完調査を実施¾ ３年毎又は必要に応じて行動計画を見直し

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

21安全基準等の整備及び浸透

１ 安全基準等の整備及び浸透○ 指針（※）の位置づけや記載内容の具体性のレベルの見直しを行う○ 重要インフラ事業者等のPDCAサイクルとの整合性を踏まえた安全基準等の整備の推進などの底上げに資する取組みのみならず、個別の先進的な対策を伸ばしその浸透を図る観点からの取組みも推進する
第1次行動計画における取組み（１）指針の継続的改善

指針
C分野
B分野

A分野
策定・導入
見直し

運用

業法

各分野において
情報セキュリティ確保
業界標準/ に係る「安全基準等」をガイドライン 整備
・既存文書を見直し
・新たに策定内規評価¾ 「自らが何をすべきか」が理解可能な状況¾ 安全基準等の見直し及び指針の見直しを通じて適宜適切なものとなるよう随時検討

安全基準等の整備及び浸透分野横断的に俯瞰
して必要度の高い項目を記載

第2次行動計画における取組み¾ 「要検討事項」（全分野共通で特段の理由がない限り対策が望まれる事項）と「参考事項」（進んだ対策として各分野が任意で参考とする事項）に分類する¾ 対策項目の具体化の例示を行う（２）安全基準等の継続的改善¾ 各分野にて主体的にPDCAサイクルを回す¾ 情報セキュリティ監査や情報セキュリティ報告書等の自主的な取組みを一層推奨する¾ 毎年一定時期に実態把握を行う（３）安全基準等の浸透¾ 各分野にて対策の推進に加え、対策を実装するための環境整備にも努める¾ 毎年一定時期に「安全基準等の浸透状況等に関する調査」
を実施し、「内規」を含めた対策状況の客観的な把握を行う※「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」（2007年6月14日改定 情報セキュリティ政策会議決定）

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

23

【参考】安全基準等一覧（2009年1月時点）
分野

安全基準等の名称

電気通信
情報通信

電気通信事業法、電気通信事業法施行規則、事業用電気通信設備規則等（関連する告示を含む）
情報通信ネットワーク安全・信頼性基準
電気通信分野における情報セキュリティ確保に係る安全基準（第1版）

放送

放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン
金融機関等におけるセキュリティポリシー策定のための手引書
金融機関等コンピュータシステムの安全対策基準・解説書
金融機関等におけるコンティンジェンシープラン策定のための手引書

金融
航空運送

航空運送事業者における情報セキュリティ確保に係る安全ガイドライン

航空管制

航空管制システムにおける情報セキュリティ確保に係る安全ガイドライン

航空
鉄道

鉄道分野における情報セキュリティ確保に係る安全ガイドライン

電力

電力制御システム等における技術的水準・運用基準に関するガイドライン

ガス

製造・供給に係る制御系システムの情報セキュリティ対策ガイドライン

政府・行政

地方公共団体における情報セキュリティポリシーに関するガイドライン

医療

医療情報システムの安全管理に関するガイドライン第３版

水道

水道分野における情報セキュリティガイドライン

物流

物流分野における情報セキュリティ確保に係る安全ガイドライン
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

24

【参考】安全基準等に係る３年間の取り組みについての総括
分野名
指針

②

審議会における審議

策定
策定

①

策定

②改定

②

策定

★

③

策定

★③改定

・ネットワークのIP化に伴う・IP系サービス事故の増加
電気通信サービスの事
故の増加
②追補

見直し

航空管制

策定

航空運送

策定

ガス

★

・PDCAサイク
ルの規定

策定
策定

★ 改定

策定

医療

策定

見直し
策定

物流

策定

確認・検証

★

確認・検証
予定
確認・検証

・分野内を取り巻くセキ
ュリティ動向の変化

金融機関等のセキュリティ動向★①改定

・定期的な確認・検証(2008
年度中に実施中（予定））

・事業者等が策定するセキュ
見直し★改定 リティポリシーとの整合

確認・検証

見直し

確認・検証

★改定

見直し

★改定 ・他のガイドラインとのギャップ分析

★改定
見直し

見直し

★

見直し

・無線LAN、モバイルネット
ワークの利用への対応

見直し
見直し

改定

②確認・検証予定

・最新のIT技術動向

見直し

★ 改定

水道

見直し

・定期的な確認・検証(2008
年度中に実施予定）

②施行

見直し

見直し

策定

政府・行政

★ ①施行

見直し

放送

電力

要点周知

策定

鉄道

2008年度

指針改定

見直し

策定

③

金融

2007年度

安全基準等
整備

指針策定

①
電気
通信

2006年度

2005年度以前

確認・検証 ・事業者が策定する内規からのフィード
確認・検証
バック

確認・検証
確認・検証

★改定

確認・検証

★改定

確認・検証

見直し

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

確認・検証

25

【参考】「安全基準等の浸透状況等に関する調査」（２００７年度）より（１）安全基準等の認知（２）内規の制定

回収数合計：2,846

１．名称・内容ともに知っている, 90.2%

１．内規を制定している,
94.1%

３．知らない,2.1%

２．内規を制定していな
い, 5.9%２．名称のみ知っている,
7.7%（３）内規見直しの検討

回収数合計：2,233（４）内規の改定※金融は読み替え可能項目なし（集計対象に含めず）

１．定期的に実施している, 18.9%

２．実施したことがある,
35.9%

１．実施した,36.5%

回収数合計：359※金融、政府・行政サービスは読み替え可能項目なし（集計対象に含めず）

２．実施予定がある, 24.8%

その他(未回答・不明）,
1.8%

その他(未回答・不明）,
0.6%
４．現時点では予定していない, 31.5%

回収数合計：2,846

３．実施予定がある, 13.1%

３．現時点では予定していない, 36.9%

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

26

情報共有体制の強化

２ 情報共有体制の強化◆第１次行動計画において構築した「官民の情報共有の枠組み」を踏襲し、第２次行動計画では「官民連携、情報提供の充実」を目指す。
官民の情報共有体制◆第１次行動計画の成果◎セプターカウンシルの創設（予定）・各セプターによる分野横断的な情報共有の推進◎セプターの整備
・分野内における情報共有・分析機能の整備
・政府から提供される情報に対する窓口の設置◎官民の情報提供・連絡体
制の整備◎官民の情報提供・連絡体
・NISCと所管省庁の間の手制の整備（※）
続きとして「実施細目」を・NISCと所管省庁の間の手
策定
続きとして「実施細目」を策・重要インフラ事業者等から
定
NISCへの情報連絡（青線）、・重要インフラ事業者等からNISCから重要インフラ事業
NISCへの情報連絡、NISC
者等への情報提供（赤線）
から重要インフラ事業者等への運用を開始の情報提供の運用を開始◆第２次行動計画の取組み

セプターカウンシル（事務局：NISC）
A分野 セプター

B分野 セプター

C分野 セプター

重要インフラ
事業者等

重要インフラ
事業者等

重要インフラ
事業者等

PoC
（窓口）

重要インフラ
所管省庁

PoC
（窓口）

重要インフラ
所管省庁

PoC
（窓口）

重要インフラ
所管省庁

NISC
政府機関等
事案対処省庁

情報セキュリティ
関係省庁

関係機関

◎セプターカウンシル
・セプターカウンシルにおいて取り組むことが望まれる事項を明示
・情報共有の改善等や政府機関等との意見交換への期待◎セプターの強化
・情報の収集、把握・分析等セプターに期待される機能を明示
・NISCは、事例紹介等でセプ
ター強化のための支援を強化◎情報提供・情報連絡の充実
・各経路間の情報取り扱いルー・実施細目を含めた各経路間の情報取り扱いルールの整合
ルの整合、運用の可視化
・関係機関等が保有する分析機
能の活用
・セキュリティに関して有用な活動を行う機関との連携の推進◎共有すべき情報の整理
・関係主体の保有する情報毎に、重要インフラ事業者にとって有用な情報の共有の在り方を検討※「重要インフラの情報セキュリティ対策に係る行動計画」の情報連絡・情報提供に関する実施細目

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

28

セ

プ

タ

ー

ＣＥＰＴＯＡＲ（情報共有・分析機能）の整備促進

セプター
ＣＥＰＴＯＡＲ： Capability for Engineering of Protection, Technical Operation,
Analysis and Response「IT障害の未然防止、発生時の被害拡大防止・迅速な復旧及び再発防止のため、政府等から提供される情報について、適切に重要インフラ事業者等に提供し、関係重要インフラ事業者等間で共有」
各重要インフラ事業者等のサービスの維持・復旧能力の向上に資する機能・役割・ 政府からの情報提供窓口
・ 関係機関、他分野CEPTOAR等との情報共有（相互の合意に基づく）

要 件

・ 情報の取り扱いルール及び緊急時に連絡可能な窓口（最低要件）
・ 将来的には、分野内の情報集約、情勢判断を行えるコーディネータの設置が望ましいCopyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

29

【参考】「CEPTOAR特性把握マップ」 について
平成20年3月末日現在
重要インフラ分野

事業の範囲

電気通信

放送

名称

Ｔ－
ＣＥＰＴＯＡＲ

放送における
情報共有体制

事務局

概要

情報通信

財団法人マル 総務省情報通
チメディア振興 信政策局地上
放送課
センター

航空

鉄道

電力

ガス

政府・行政
サービス

医療

水道

物流

損害保険

航空

鉄道

電力

ガス

地方公共団体

医療

水道

物流

生命保険
CEPTOAR

損害保険
CEPTOAR

航空分野における
ＣＥＰＴＯＡＲ

鉄道
ＣＥＰＴＯＡＲ

電力におけるＩＴ障害に係る情報共有・分析機能GAS
CEPTOAR

自治体
ＣＥＰＴＯＡＲ

医療
CEPTOAR

水道
ＣＥＰＴＯＡＲ

物流
CEPTOAR

社団法人生命保険協会
総務部組織人事グループ

社団法人日本
損害保険協会
業務企画部企
画安全グループ

国土交通省
航空局 航空安全推進課
航空保安対策室

国土交通省
鉄道局危機管理室

電気事業連合会
情報通信部

社団法人日本
ガス協会
保安技術グ
ループ

財団法人地方 厚生労働省
自治情報センター
自治体セキュリ
ティ支援室

社団法人日本水道協会
総務部庶務課

社団法人日本物流団体連合会

２２社１団体1機関（鉄道事業者２
２社、１団体及び官庁（鉄道局））

１２社２機関

１０社

金融
銀行等

証券

生命保険

金融ＣＥＰＴＯＡＲ連絡協議会
銀行等
CEPTOAR証券
CEPTOAR

全国銀行協会 日本証券
事務システム 業協会
ＩＴ管理室
部

２９社・団体

１９５社・団体(固定系のﾈｯﾄ （日本放送協
構成員（主な事業者等）

ﾜｰｸｲﾝﾌﾗを設 会及び地上系
置する電気通 一般放送事業
信事業者、ｱｸ 者）
ｾｽ系の電気通信事業者、ISP
事業者、携帯
電話事業者等）

１，７３８社

３１７社
１０機関（銀行、信用金 （証券会社、取庫、信用組合、 引所等証券関
労金、商工中 係機関）
金、農協等）

２８社（含むｵﾌﾞｻﾞｰﾊﾞｰ３社）（社団法人生命 （情報システム
保険協会の定 委員会参加会
款に定める社 社）
員および特別
会員）
４１社

機能
情報と
連絡手段

特徴

その他

２グループ
３機関
（航空運送事業者及び官庁（航空局・気象庁））

１，８６３団体（一般電気事業 （政令指定都市 （都道府県及者、日本原電８社、同等の事 び市区町村）(株)、電源開発 業者２社）(株)、電気事業連合会、電力中央研究所）

平成１９年４月より運用開始

緊急窓口（POC）
情報の取扱いルール

平成２０年３月末に整備

平成１９年３月末に整備

整備状況等

平成１９年
１月制定

平成１９年
３月制定

障害事例情報等
メール、電話、
ＦＡＸ

障害事例情報等
メール、電話、
ＦＡＸ

障害事例情報 障害事例情報 障害事例情報等
等
等
メール、電話
メール、電話、 メール、電話
ＦＡＸ、ＷＥＢ

運営委員会のもとに、業態の違い
による4つのSGを設置し、全体として密な情報共有の実現を目指す。

既存の災害対応時等の連絡体制を活用する体制とした。

Telecom-ISAC
Japan及び社団
法人電気通信事業者協会における情報共有等の先進的な取組が
母体。

平成１９年
３月制定

平成１９年
３月制定

平成１９年
３月制定

１，３９３水道事 １６社６団体
業体（全国の会員（物流事業者）
水道事業体）

平成２０年４月より運用開始
平成１９年
３月制定

平成２０年
３月制定

平成２０年
３月制定

平成２０年
３月制定

障害事例情報等
メール、電話、WEB

障害事例情報等
メール、電話、携帯電話、衛星電話、ＦＡＸ

障害事例情報等
メール、電話、携帯電話、衛星電話、ＦＡＸ

障害事例情報等
メール、電話

１２社２機関は、 分野内の利用 地方公共団体 都道府県等をFace to Face システム調査を の情報セキュ 通じた既存のを含め、情報共 実施。
リティレベルの （地震等災害有を行う。行動向上を支援す 時の）情報連計画で対象とす 業界内でＩＴ障るための各種 絡体制を活用
る１２社に留ま 害の判断基準と 事業を実施。
する。
らず、分析機能 なる考え方を共をサポートすべ 有できるよう、
情報セキュリ
保健医療福祉
く、電力中央研 実務者による常 ティに関する各 情報システム
設のＷＧが、未 種情報を、行究所も体制に工業会を活用然防止策や再 政専用ネット
参画する。
して障害事例
発防止策等の ワークの調査・分析を具体的な取り組 （LGWAN）を活 行い、各医療み課題を適切用したメール及 機関への情報にサポートする。 びポータルサ 提供等を行う。
イトにより提供。

日本水道協会の会長都市及び７地方支部
長都市の８構成員を連絡拠点とし、既存の情報連絡体制を活用して会員水道事業体との情報連絡・共有を図る。

様々な物流関連の業態が存在する分野で
ある。

平成１９年
３月制定

平成１９年
３月制定

平成１９年
３月制定

障害事例情報等
メール、電話

障害事例情報等
メール、電話

障害事例情報等
メール、電話

障害事例情報 障害事例情報
等
等
メール、電話、 メール、電話、
携帯電話、ＦＡＸ 携帯電話、ＦＡＸ
ＷＥＢ、会議体

情報セキュリ 各証券関連団 分野内の利用 分野内の利用
ティ対策委員 体及び財団法 システム調査を システム調査会及び財団法 人金融情報シ 年１回実施。
を年１回実施。
人金融情報シ ステムセンター
ステムセンター による障害事 社団法人生命 社団法人日本による障害事 例分析等を実 保険協会及び 損害保険協会
例分析等を実 施する機能を 財団法人金融 及び財団法人
施し、分析結 有する。
情報システムセ 金融情報シス
果を通知する
ンターによる障 テムセンターに機能を有する。
害事例分析等 よる障害事例を実施し、分析 分析等を実施
結果を通知す し、分析結果をる機能を有する。通知する機能を有する。

航空局による障害事例分析
等を実施し、分析結果を通知する機能を有すると共に、分
析結果をデー
タベース化する機能を有する。

国土交通省鉄道局危機管理室が鉄道ＣＥＰＴＯＡＲの窓口となり、現在運用されている
鉄道事故等報告規則等に基づく報告を活用して情報の共有を図ることとしている。

T-PoC（T-CEPT
OARのPoC）及び4つのSGの代表者によって構成される運営委
員会において、情勢判断等を実施。

１グループ
２機関（医療機関、日本医師会（情報共有機能）、
保健医療福祉
情報システム工業会（情報分析機能））

平成１８年
９月制定

平成１９年
３月制定

（注） 本マップは、各ＣＥＰＴＯＡＲの自主的な整備状況を把握し、マップとして取り纏めたもの。

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

既存の会議体を活用して障害事例の調査・分析を行い、全国の会員水道事業体への情報提供等を行う。

事務局が各分
野団体の窓口となり、ＩＴ障害
情報については必要に応じて関係者間の情報共有を図
る。

Ver.２
Ver.２

30

共通脅威分析３ 共通脅威分析の概要－複数の重要インフラ分野で共通の知見を必要とする共通脅威を分析－

第二次行動計画

第一次行動計画
ＮＩＳＣが2006年度より相互依存性に係る調査・分析を実施（その他の脅威は個々の分野が独自に調査・分析）
重要
インフラ

共通
環境

[要点]
・重要インフラ各分野からＮＥＥＤＳを吸い上げ
・専門の外部研究機関との協業で実効性ＵＰ・判断材料として国内外関連研究・事例を調査
・情報保護のための守秘契約の徹底
・重要インフラ事業者との問題共有、利害一致
脅

威

の
調
査

報提供
要望・情
共有・活用

有識者委員
成
果

・以下に資する基礎資料①事業継続計画②復旧優先順位③重要インフラ連携対処
・安全基準等の指針

相互依存脅威の調査・対策検討
要望・情報提供（分野委員）

検
討

望
要

NISC/有識者委員
+

ＢＣＰ
策定

外部研究機関成
果・以下に資する基礎資料①事業継続計画②復旧優先順位③重要インフラ連携対処
・安全基準等の指針

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

分野Ｃ

NISC/

策

報
・情

ＢＣＰ
策定

供
提

分野Ｂ

共通
要素

・対

重要
インフラ
分野Ａ

分野Ｃ

ＢＣＰ
策定

脅威の調査・対策検討

分野Ｂ

ＢＣＰ
策定

分野Ａ

ＢＣＰ
策定

拡大する
共通脅威

ＮＩＳＣが2009年度より共通脅威全般に係る調査・分析を実施

ＢＣＰ
策定

共有・活用

32

相互依存性解析の検討結果
 相互依存性を次のように捉える• ある重要インフラ分野にIT障害が生じた場合に、他の重要インフラ分野に影響が波及する場合。
• ある重要インフラ分野にサービスの停止や機能の低下等が生じた場合に、他の重要インフラ分野の重要システムに影響が波及する場合。
情報通信分野（通信）
情報通信分野
（放送）

物流分野

金融分野

水道分野

電力分野

医療分野

航空分野

政府・行政
サービス分野

鉄道分野
ガス分野

通信分野と他分野との相互依存性

電力分野と他分野との相互依存性

水道分野と他分野との相互依存性

凡例
分野間の相互依存性
時間経過に伴う状況変化等により変化する可能性のある分野間の相互依存性
A分野※ 上記相互依存性関係において、一般的には各分野におけるサービスに影響しないよう、適切な対策がとられている。
※ 上記における各分野に係る記載は、各分野の主要な事業者へのヒアリングに基づくものであることに留意が必要である。

B分野

A分野のサービスの停止や機能の低下等により、B分野の重要システムが機能不全（又は定常運用ではない状態）となる可能性がある。

A分野

重要システムとサービスの独立性が高い分野。

A分野

重要システムとサービスの独立性が低い分野。

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

33

分野横断的演習

４ 分野横断的演習
第一次行動計画

第二次行動計画＜2006年度＞

分野横断的な重要インフラ防護対策の向上

官民連携の仕組みづくり

研究的演習

机上演習

演習実施概念、演習課
題設定、演習手法の理解等を主眼として実施。

脅威として災害を設定
し、会議形式の演習を実施。

＜2007年度＞
官民連携体制の機能向上

機能演習
脅威としてDDoS攻撃を設定し、チーム毎に個室に分かれ、メールのみを利用した演習を実施。

＜2008年度＞
官民連携体制の実効性向上

機能演習
参加者にIT障害の発生原因を知らせないなどより現実に近い状況で、起こった現象に関する関係者間の情報共有により原因を特定し、サービスの維持・早期復旧や事業継続等を行っていく演習を実施。

分
野
横
断
的
な
演
習
手
法
に
関
す
る
知
見

目標
分野横断的な脅威に対する共通認識の醸成

他分野の対応状況把握による自分野の対応力強化

官民の情報共有をより効果的に運用するための方策得るもの
演習に関する施策① シナリオ、実施方法、検証課題等を企画し、演習を実施② ＩＴ障害発生時の早期復旧手順・事業継続計画の検討状況等を把握し、その結果を演習参加者等に提供③ 演習の向上策検討④ 演習の実施方法等に関する知見の集約・蓄積

机上演習状況

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

機能演習状況
35

環境変化への対応

環境変化への対応

広報公聴活動
広報公聴活動広く協力、支援を得るため広報公聴活動を実施

国際連携の推進
国際連携の推進
国際会合や他国機関との対話を通じた国際連携を推進

その他
その他
リスクコミュニケーションの充実等

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

37評価・検証と改善サイクル

評価・検証と改善サイクルの枠組み
事業者、分野、政府の３層で改善サイクルを駆動
情報セキュリティ政策会議
重要インフラ専門委員会

重要インフラ分野

重要インフラ事業者等

・各施策への協力
・事業者等への指導・助言
・分野の特性を踏まえつつ独
自の取組みを推進

・サービスの提供
・個別具体的な情報セ
キュリティ対策の推進

Plan【施策立案】
・行動計画の策定
・単年度施策（セキュア・ジャパン）の具体化

Act

Do

【施策の改善】
・翌年度施策への反映

Check【施策の実施】
・安全基準等の継続的改善
・情報共有体制の強化
・相互依存性解析
・分野横断的演習【検証②】
・施策毎の目標水準に対する状況を把握※自主的な取組みが大
原則

【検証①】
・サービス毎の目標水準に対する状況を把握【補完調査】
・個別のIT障害等に対する補完調査を実施【評価】・官民連携により、我が国全体の重要インフラにおけるPDCAサイクルを回していき、期待される社会的効果が実現しつつあるかの観点からの評価を実施
・行動計画の見直しの際には、期待される社会的効果（アウトカム）に向けて行動計画そのものが必要十分な内容を有しているか検討を実施
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

39

重要インフラサービスと検証レベル○重要インフラ分野毎に業法上の義務的な取組みに加えて、新たに検証レベルを設定し、これを逸脱するＩＴ障害の発生状況を毎年検証して行動計画の改善を期す○重要インフラ事業者等は検証レベルによらず各々サービスレベルを定め、これを維持することを目標として対策に取り組む
事が望ましい情報セキュリティ対策が必要な事象

行動計画の対象となるＩＴ障害

検証レベル
本検証レベルを逸脱する
ＩＴ障害の発生状況を検証する

検証対象となるＩＴ障害

ＩＴ障害が国民生活や社会経済活動に影響を与える状態

情報セキュリティ対策が必要な事象

サービスレベル各事業者はこのレベルを維持することを目標として対策に取り組むことが望ましい（事業者毎に設定）※「IT障害」とは、重要インフラサービスにおいて発生する障害（サービスレベルを維持できない状態等）のうち、ITの機能不全が引き起こすもの

重要インフラ分野

検証レベル （一部表現を簡素化）

情報通信

・電気通信役務の停止、品質の低下が、3万以上の利用者に対し2時間以上継続する事故が生じないこと
・放送の停止が生じないこと

金
融

銀行

・預金の払戻しの遅延、停止が生じないこと
・融資承諾をした貸付の実行の遅延、停止が生じないこと・為替（銀行振込）の遅延、停止が生じないこと

生命保険

・保険金等の支払いに遅延、停止が生じないこと

損害保険

・保険金等の支払いに遅延、停止が生じないこと

証券会社
金融商品取引所・預り有価証券等の売却、解約代金の払い出し等に遅延、停止が生じないこと
・有価証券の売買又は市場デリバティブ取引等に遅延、停止が生じないこと

航空

・貨客の運送に支障を及ぼす定期便の欠航が生じないこと

鉄道

・旅客の輸送に支障を及ぼす列車の運休が生じないこと

電力・供給支障電力が１０万キロワット以上で、その支障時間が１０分以上の供給支障事故が生じないこと

ガス・供給支障戸数が３０以上の供給支障事故が生じないこと

政府・行政サービス(地方公共団体を含む)・住民等の権利利益の保護に支障が生じないこと
・住民等の安全・安心を確保できる時間内にシステムの復旧を行うこと

医療・診療録等の保存に支障が生じないこと

水道・断減水、水質異常、重大なシステム障害のうち給水に支障を及ぼすものが生じないこと物流

・貨物運送の停止や貨物の紛失が生じないこと※概要を示すため表現を簡素化。正確な表記は第２次行動計画を参照。

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

40

防護対象とする重要インフラサービスの例（抜粋）
重要インフラ分野

重要インフラサービス（手続きを含む）（注）呼称

サービス（手続きを含む）の説明

・電気通信役務・電気通信設備を用いて他人の通信を媒介し、その他電気通信設備を他人の通信の用に供すること・放送

・公衆によって直接受信されることを目的とする無線通信の送信

銀行

・預金、貸付、為替・預金又は定期積金等の受入れ、資金の貸付け又は手形の割引、為替取引

生命保険・保険金等の支払い・保険金等の支払請求の受付、保険金等の支払審査、保険金等の支払い

損害保険

・保険金等の支払い

・事故受付、損害調査等、保険金等の支払い

証券会社
金融商品取
引所

・有価証券の売買等
・金融商品市場の開設・有価証券の売買、市場デリバティブ取引又は外国市場デリバティブ取引・有価証券の売買又は市場デリバティブ取引を行うための市場施設の提供、その他取引所金融商品市場の開設に係る業務

航空・旅客、貨物の航空輸送サービス
・予約、発券、搭乗・搭載手続き

・他人の需要に応じ、航空機を使用して有償で旅客又は貨物を運送する事業
・航空旅客の予約、航空貨物の予約、航空券の発券、料金徴収、航空旅客のチェ
ックイン・搭乗、航空貨物の搭載

鉄道

・旅客輸送サービス
・発券、入出場手続き

・他人の需要に応じ、鉄道による旅客又は貨物の運送を行う事業
・座席の予約、乗車券の販売、入出場の際の乗車券等の確認

電力・一般電気事業・一般の需要に応じ電気を供給する事業

ガス

・一般ガス事業・一般の需要に応じ導管によりガスを供給する事業

政府・行政サービス・地方公共団体の行政サービス

・地域における事務、その他の事務で法律又はこれに基づく政令により処理することとされるもの

医療・診療・診察や治療等の行為、診療録及び診療諸記録類等の記録・保存

水道

・水道による水の供給

・一般の需要に応じ、導管及びその他工作物により飲用水を供給する事業

物流

・物流

・貨物の運送及び保管

情報通信

金融

注 本行動計画の目標から、ＩＴを全く利用していないサービスについては対象外※概要を示すため表現を簡素化。正確な表記は第２次行動計画を参照。

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

41

政府の施策の成果検証
情報セキュリティ対策の柱毎に、重要インフラ事業者等の情報セキュリティ対策への寄与を検証
情報セキュリティ対策の柱

検証指標

安全基準等の整備及び浸透・指針及び参考資料に採録した対策項目数
・安全基準等に基づいて定期的な自己検証に取り組んでいる重要インフラ事業者等の数・指針の重要インフラ事業者等による評価

情報共有体制の強化

・内閣官房が発信した情報件数
・セプター等で共有された情報件数・共有された情報が情報セキュリティ対策に資すると評価した重要インフラ事業者等の数

共通脅威分析

・共通脅威分析において実施した検討項目件数
・共通脅威分析の検討項目について、各検討結果の重要インフラ事業者等の評価

分野横断的演習・演習の述べ参加者数・演習で得られた知見が所属する組織の情報セキュリティ対策に資すると評価した重要インフラ事業者等の数

環境変化への対応（広報公聴活動）・Webサイトのコンテンツの充実度
・行動計画を紹介したセミナー等の回数（リスクコミュニケーション）
・セプターカウンシルや分野横断的演習等の関係主体間のコミュニケーションの機会の開催
回数
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

42

２月２日は「情報セキュリティの日」です

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

43

ありがとうございました。
内閣官房情報セキュリティセンター
（NISC）ホームページ
http://www.nisc.go.jp/
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

44