土居範久

中央大学理工学部

平成18年3月23日
重要インフラ向け情報セキュリティセミナー

重要インフラにおける情報セキュリティ山崎琢矢 内閣官房情報セキュリティセンター
内閣官房情報セキュリティセンター 参事官補佐
内閣官房情報セキュリティ
内閣官房情報セキュリティ対策推進室
セキュリティ対策推進室

資料を資料を作成するにあたっては作成するにあたっては多くの方々の協力を協力を得た．とりわけ，とりわけ，次のするにあたっては多くの方方々には貴重には貴重な資料をご提供頂
貴重な資料をごをご提供頂いた
提供頂いた：いた：謝辞

「重要インフラのサイバーテロ対策に係る特別行動計画」にて規定されている重要インフラ

医療

水道

水供給

鉄道

電力供給

行政

航空

通信回線およびサービス提供

電力

ガス

ガス供給

－ ハザードマップ作成
ハザードマップ作成の作成のベース －放送

ristex「情報と社会」領域作成

通信

金融

金融サービス提供

一般家庭
事業所等

わが国
わが国における重要における重要インフラ
重要インフラのインフラの相互依存性概観

内閣官房を中心とした情報セキュリティ政策の取り組み

１．政府中核機能の整備

2000年
2000年

政府のののの情報セキュリティ確保ハッカー対策等のののの基盤整備にににに係係係係るるるる
２０００．．．．１１１１））））
行動計画（（（（サイバーテロ対策に対策に係る官民連絡・官民連絡・連携体制について２００１．
１０））（２００１．１０

電子政府の電子政府の情報セキュリティ
情報セキュリティ確保のための確保のためのアクションプラン

２００２．
１１））
（２００２．１１

重要インフラ
重要インフラのインフラのサイバーテロ対策に対策に係る特別行動計画に基づく取組みの取組みの推進
みの推進

２００２．
１１））
（２００２．１１

2004年
2004年

２００３..８～）（２００３

各省庁等の各省庁等の情報システム
情報システムにシステムに対する脆弱性検査の脆弱性検査の実施

2003年
2003年

各省庁における各省庁における情報セキュリティ
情報セキュリティ
ポリシー実施状況
ポリシー実施状況の評価

2002年
2002年

２０００．
１２）） （２００１（２０００．１２２００１．
１０））
．１０

重要インフラ
重要インフラのインフラのサイバーテロ対策に対策に係る特別行動計画

２０００．
（２０００．７）

情報セキュリティ
ポリシーにポリシーに関するガイドライン

2001年
2001年

＜我が国の重要イン重要インフラにおけるにおける情報
フラにおける情報セキュリ
情報セキュリ
ティ対策
ティ対策の対策の強化に向けて＞
けて＞（2005.4)

第２次提言

ＩＴ戦略本部決定
ＩＴ戦略本部決定（2004.12)＜情報セキュリティ
情報セキュリティ問
セキュリティ問
題に取り組む政府の政府の役割・役割・機能の機能の見直し見直しについて＞について＞（2004.11)

第１次提言

2005年
2005年

現在までの内閣官房における情報セキュリティ政策の流れ

情報セキュリティ政策会議のののの設置（（（（２００５．．．．５５５５））））のののの設置（（（（２００５．．．．４４４４））））
内閣官房情報セキュリティセンター（ＮＩＳＣ）

情報セキュリティ基本問題委員会のののの設置（（（（２００４．．．．７７７７））））

２００４．．．．４４４４））））
情報セキュリティ補佐官のののの設置（（（（e-Japan戦略ⅡⅡⅡ
ⅡⅡⅡⅡⅡ加速化パッケージ（（（（２００４．．．．２２２２））））

重要インフラ防護

重要インフラ所管省庁

金融庁

重要インフラ
重要インフラ

企業

情報セキュリティ関係省庁④重要インフラ重要インフラの情報セキュリティ対策
インフラの情報セキュリティ
セキュリティ対策

個人（現在45名→2006現在45名
年度はは60名体制
年度名体制を60名体制を目標）
目標）

官民から官民から専門家から専門家を専門家を集約◆諸外国との情報交換・連携の一元化◆国際的な信頼醸成

内閣官房情報セキュリティセンター
内閣官房情報セキュリティセンター（セキュリティセンター（NISC）
NISC）①情報セキュリティ
情報セキュリティ政策
セキュリティ政策に政策に関する基本戦略
する基本戦略の基本戦略の立案

総務省

政府機関
（各省庁）
各省庁）

③政府機関の政府機関の事案対処支援②政府機関の政府機関の総合対策促進

情報セキュリティ
情報セキュリティ基本戦
セキュリティ基本戦略等、略等、根幹となる根幹となる事項となる事項を事項を決定

情報セキュリティ
情報セキュリティ政策会議
セキュリティ政策会議

IT戦略本部

2005年
戦略本部の下に「情報セキュリティ
情報セキュリティ政策会議セキュリティ政策会議」政策会議」を設置。
設置。
2005年5月30日
30日、IT戦略本部
IT戦略本部の2005年
内閣官房情報セキュリティセンター（セキュリティセンター（NISC；設置
2005年4月25日
25日、内閣官房情報セキュリティセンター
NISC；National Information Security Center）
Center）を設置。

 「情報セキュリティ問題に取り組む政府の役割・機能の見直しに向けて」（2004年12月7日IT戦略本部決定）を受け、情報セキュリティ問題に関する政府中核機能の強化に向けて機能・体制等を整備中。

情報セキュリティ政策会議及び内閣官房情報セキュリティセンター（NISC）の設置

経済産業省

総務省

防衛庁

警察庁

経済産業省

国土交通省

厚生労働省

８名

２０００年２月発足
９名

２００１年１月

副センター
内閣審議官
副センター長
センター長
長（（内閣審議官）
内閣審議官）
センター長
内閣審議官））

情報セキュリティ
情報情報セキュリティ
セキュリティ
情報セキュリティ補佐官
補佐官副センター
内閣審議官
副センター長
センター長
長（（内閣審議官）
内閣審議官）センター長内閣審議官））

等

等

１８名
１８名

２００４年７月

４５名
４５名

２００５年１２月初時点●情報セキュリティに関する我が国の国際戦略の立案●諸外国の関係機関等との緊密な連携
等

国際戦略
国際戦略

●相互依存性の分析●横断的な対策基準の策定●総合的演習の実施

重要インフラインフラ対策
対策
重要インフラ
重要インフラインフラ対策
重要インフラ対策●早期警戒情報の収集・分析機能の強化●情報セキュリティ関係機関との連携強化

事案対処支援事案対処支援●政府統一的なの「対策基準」の策定●政府統一的な情報セキュリティ対策の「評価」 等

政府機関総合対策促進
政府機関総合対策促進●全体戦略（「情報セキュリティ基本計画」）策定●研究開発・技術開発戦略の立案
等

基本戦略立案
基本戦略立案企業

個人

６０名
６０名（目標）目標）

２００６年４～７月

諸外国関係機関

重要インフラ
重要インフラ

各政府組織

内閣官房情報セキュリティセンター（NISC）の機能・体制●内閣官房の体制強化の変遷

センター長長長長 （（（（安全保障・・・・危機管理担当副長官補））））情報セキュリティ
セキュリティ基本問題委員会
情報セキュリティ基本問題委員会
第１次提言（2004.11.16）

情報セキュリティ
セキュリティ基本問題委員会
情報セキュリティ基本問題委員会
第２次提言（2005.4.22）

企業

個人

 「セキュリティ文化」の参加者としての積極的な取り組み
 個人情報保護問題やプライバシー問題に対するコンセンサスの形成 情報セキュリティに関する研究開発・技術開発の戦略的な推進 依存可能な基盤としての機能提供
 検証可能な機能設計と事業継続性確保
 重要インフラ相互間の連携と協力

重要インフラ
重要インフラ

重要インフラの情報セキュ
リティ対策に係る具体的施策の検討

重要インフラ
重要インフラ専門委員会
インフラ専門委員会

技術戦略専門委員会
情報セキュリティに係る研究開発・技術開発、その成果利用の戦略についての検討

セキュリティ文化の醸成に関する方策の検討

情報セキュリティ問題を俯瞰した中長期の戦略

 高水準の情報セキュリティ対策への適応と高い事業継続性確保
 国民から預託された情報に対する信頼感の高い取り扱い
 国際的な信頼醸成 バランスある技術投資の実施
 透明性の確保

政府組織

セキュリティ文化専門委員会
セキュリティ文化専門委員会「第１次情報セキュリティ基本計画（仮称）」重要インフラの情報セキュリティ対策に係る具体的施策の検討→重要インフラ
重要インフラ専門委員会
インフラ専門委員会

情報セキュリティに係る研究開発・技術開発、その成果利用の戦略についての検討→技術戦略専門委員会
技術戦略専門委員会

セキュリティ文化の醸成に関する方策の検討→セキュリティ
セキュリティ文化専門委員会
セキュリティ文化専門委員会

 「第１次情報セキュリティ基本計画（仮称）」の審議に資するため、以下の３つの専門委員会を設置。

 本年末を目処に、情報セキュリティ問題を俯瞰した中長期の戦略としての「第１次情報セキュリティ基本計画（仮称）」（案）を情報セキュリティ政策会議にて策定予定。→パブリックコメントを実施した上で最終決定「第１次情報セキュリティ基本計画（仮称）」に向けた検討

２．政府機関・重要インフラの対策

今回策定した文書

政府機関統一基準(2005年12月版(全体版初版））の策定（年内目途）

具体的対策基準として個別ガイドライン群を作成

ＰＤＣＡサイクル
ＰＤＣＡサイクルの確立

対策の対策の具体化

内閣官房情報ｾｷｭﾘﾃｨｾﾝﾀｰによる検査・評価（本年度内目途）

各府省庁の情報セキュリティ対策内容の整合化・共通化を促進するために、各府省庁が採るべき情報セキュリティ対策を定めたもので、緊急性の高いものを中心に取りまとめ＜盛り込まれた内容
まれた内容の内容の例＞●情報の格付け及び取扱制限に関する基準を明示する手順の整備●情報の持ち出し等の制限事項の強化●一定の情報システムに対するアクセス制御・ログ管理機能の導入●サービス不能攻撃（DoS攻撃）対策の実施●省庁ネットワークに対する不用意な接続の禁止●外部委託先が遵守すべき事項等を含めた契約書の取り交わし「政府機関の情報セキュリティ対策のための統一基準」

政府機関統一基準（2005年項目限定版2005年項目限定版）
年項目限定版）

各府省庁における具体的なレベルでの対策実施を支援するための個別ガイドライン群の策定（例：webサーバ設置、モバイルPC管理等）

３．政府機関統一基準の対策項目の具体化（個別ガイドライン群の策定）

第三者の視点で内閣官房情報セキュリティセンター（NISC）が検査・評価し、当該評価結果を基に情報セキュリティ政策会議が勧告→見直し

２．各府省庁の対策実施状況の検査と評価に基づくＰＤＣＡサイクルを確立

各府省庁の情報セキュリティ対策の整合化・統一化と、その水準の斉一的な引き上げ

１．政府機関統一基準の策定と省庁対策基準の見直し（水準の底上げ）

ポイント

省庁対策基準
省庁対策基準

省庁対策基準
省庁対策基準甲省庁

政府機関統一基準に準拠した見直し

甲省庁

A省庁 B省庁 C省庁 D省庁 E省庁 F省庁（今後）

現在の最低水準

最低限求められる水準水準の底上げ

より高い水準を確保

F省庁
政府機関統一基準に準拠した見直し
A省庁 B省庁 C省庁 D省庁 E省庁（現在）② 各府省庁の各府省庁の情報セキュリティ
情報セキュリティ水準セキュリティ水準の水準の向上

（今後）

（現在）

情報セキュリティ
情報セキュリティ対策
セキュリティ対策の対策の不備(ここがここが足
ここが足りない、りない、不十分である不十分である)である① 政府機関統一基準による政府機関統一基準による省庁対策基準による省庁対策基準の省庁対策基準の補完

内閣官房情報セキュリティセンター
セキュリティセンター（対策実施状況を検査・評価。
●今後、各府省庁は本基準を踏まえて対策を実施し、内閣官房情報
内閣官房情報セキュリティセンター
（NISC）
を検査・評価。
NISC）が対策実施状況●各府省庁の情報セキュリティ対策の整合化・共通化を促進し、政府機関全体政府機関全体としての政府機関全体としての情報としての情報セキュリティ
情報セキュリティ水準
セキュリティ水準の水準の向上を向上を図るべく、るべく、「政府機関の。
政府機関の情報セキュリティ
情報セキュリティ対策セキュリティ対策のための対策のための統一基準のための統一基準」
統一基準」とその運用枠組とその運用枠組みを運用枠組みを政策会議決定
みを政策会議決定（2005年9月15日）
政策会議決定「政府機関の政府機関の情報セキュリティ
情報セキュリティ対策セキュリティ対策のための対策のための統一基準のための統一基準（2005年項目限定版）
年項目限定版）」（2005.9.15）

情報セキュリティ水準
情報セキュリティ水準

１９ＦＹ

１８ＦＹ

１７ＦＹ

（１２月）

（９月）

内容充実・項目追加

評価

評価

運用

運用基準を適用する
具体的基準

項目追加

・・・

継続的に追加・更新

充実

個別ガイドライン群

緊急性の高い項目について作成(12月)対策の対策の具体化のの具体化
切 り札

個別ガイドライン
個別ガイドライン群
ガイドライン群の整備（検討例）
ＩＰｖ６、生体認証
セキュアOS・・・

セキュリティ強化に資する新規システム（機能）の導入検討とその実現最適化計画で新たに開発（導入）するシステムのセキュリティ機能を明確化

最適化計画対象の政府共通システムの開発との連携最適化計画とは、総務省行政管理局が中心となって推進しているシステム
刷新計画

中長期的な中長期的なセキュリティ対策の対策の強化・強化・検討

世界最先端のIT（情報技術）国家にふさわしい情報セキュリティ水準の実現

見直し

策定・導入

見直し

策定・導入

標準的年度サイクルの開始(2005年12月版(全体版初版））

政府機関統一基準

政府機関統一基準
パブリックコメント実施

項目を追加充実

標準的年度サイクル
標準的年度サイクルのサイクルの実施

セキュリティ対策に関する検査を複数年にわけて順次実施

ファーストトラック作業

各府省庁基準改定
状況検査・・・（３月までに）各府省庁の当初状
態実態調査・・・（１２月までに）（2005年項目限定版）

政府機関統一基準

旧ガイドライン（平成12年）

１７年度内
１７年度内サイクル
年度内サイクル（緊急度の高い対策中心）

統一基準による統一基準による情報による情報セキュリティ
情報セキュリティ対策
セキュリティ対策の対策の実施

サイバー攻撃

我が国の重要インフラにおける情報セキュリティ対策の強化に向けて

第２次提言

重要インフラのサイバーテロ対策に係る特別行動計画
平成１７年４月

平成１７年９月

重要インフラの情報セキュリティ対策に係る基本的考え方

平成１６年７月

重要インフラ専門委員会

平成１７年１２月

重要インフラの情報セキュリティ対策に係る行動計画（仮称）平成１２年１２月

情報セキュリティ
基本問題委員会（５年経過）

４４．．分野横断的演習の分野横断的演習
分野横断的演習の分野横断的演習のの実施
実施
重要インフラ
想定脅威に対応した具体的脅威シナリオの類型を元に、毎年度、重要重要インフラ分野横断的インフラ分野横断的な分野横断的な演習を実施
演習

「情報共有・情報共有・分析センター分析センター」（センター」（仮称」（仮称）仮称）等の各分野内情報共有機構の各分野内情報共有機構の創設
重要インフラ横断的な情報共有の推進（「重要インフラ連絡協議会」（仮称）の設立等）
情報提供体制の整理・強化、情報の充実・質の向上

３３．．情報共有・情報共有
提供体制
情報共有・提供体制のの強化
強化
情報共有・・提供体制の提供体制の技術的基準及び運用基準についての「「安全基準・安全基準・ガイドライン」
ガイドライン」の策定・策定・見直し
見直し等を実施

２２．．情報セキュリティ
情報
セキュリティ
水準
情報セキュリティ
セキュリティ水準
水準のの向上向上
情報セキュリティ水準
セキュリティ水準の水準の横断的な状況把握（相互依存性解析等）
内閣官房情報セキュリティセンターを中心に、横断的横断的な状況把握（相互依存性解析等）を実施

１１．．重要インフラ
重要インフラ横断的機能
重要インフラインフラ横断的機能
横断的機能のの強化
強化
重要インフラ横断的機能
インフラ横断的機能の横断的機能の新
たな
体制
新たな体制
たな体制
体制のの構築構築
たな体制の体制の物流

水道

金融

鉄道

分野横断的演習の分野横断的演習の実施

情報共有機構の情報共有機構の創設「安全基準・安全基準・ガイドライン」ガイドライン」の策定・策定・見直し
見直し

相互依存性解析の相互依存性解析の実施（平成１８年度）

自然災害に自然災害に起因する起因するIT障害
する 障害

医療

電力通信

ガス
内部
行政サービス
行政サービス
攻撃 情報（地方公共団体）
地方公共団体）航空『重要インフラのサイバーテロ対策に係る特別行動計画』

対象分野・
対象分野
脅威
見直
対象分野・脅威のの見直し
見直し
し対象分野・・脅威の脅威の見直し
新たに、
重要インフラ分野として、情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービスに、新たに、医療、医療、水道、水道、物流を物流を加えた１０
えた１０分野
１０分野を設定分野
想定する脅威を、「「サイバー攻撃サイバー攻撃」攻撃」に加えて、えて、人為的ミス人為的ミス等ミス等の「非意図的要因」、「非意図的要因」、「自然災害」、「自然災害」自然災害」へと拡大へと拡大

本年１２１２月
目処に重要インフ●「基本的考え方」に基づき、政策会議に設置した重要インフラ専門委員会の検討を経て、本年本年１２月を目処に「重要インフラの情報セキュリティ情報セキュリティ対策セキュリティ対策に対策に係る行動計画（行動計画（仮称）」仮称）」を）」を策定する予定。
策定●情報セキュリティ基本問題委員会第２次提言を受け、情報情報セキュリティ
情報セキュリティ面セキュリティ面からの新からの新たな重要
たな重要インフラ
重要インフラ防護インフラ防護の防護の基本理念とし基本理念として、「重要、「重要インフラ重要インフラのインフラの情報セキュリティ情報セキュリティ対策セキュリティ対策に対策に係る基本的考え基本的考え方」を政策会議決定（2005年9月15日）。
政策会議決定「重要インフラ）重要インフラのインフラの情報セキュリティ
情報セキュリティ対策セキュリティ対策に対策に係る基本的考え基本的考え方」（2005.9.15）」（

システム障害等
非意図的要因によるＩＴ障害

情報共有・分析機能

情報共有・分析機能

Ａ社

障害発生情報Ｄ社
重要インフラ分野

Ｂ社 Ｃ社

Ｅ社

情報共有・分析機能

重要インフラ所管省庁

早期警戒情報 等

相互依存性解析各種関連情報障害発生情報 復旧手法情報 等

重要インフラ連絡協議会（仮称）※重要インフラ事業者の自主的判断に基づくもの

犯罪被害等の通報

各種関連情報攻撃手法情報 等
各種関連情報復旧手法情報 等
連携要請 等 復旧手法情報 等

情報セキュリティ関係省庁

関係機関※重要インフラ事業者及び情報共有・分析機能と関係機関との合意に基づく補完的な情報共有

各種関連情報復旧手法情報 等

内閣官房情報セキュリティセンター（NISC）

攻撃がテロによるも テロ関連情報 等のだと思われる場合の被災情報 等

事案対処省庁

情報共有・提供体制の強化

３．今後の活動（NISC)

(12月)

第３回
第３回(9/15)

第第２２回
回(7/14)

第１回
第１回
等

政府機関
政府機関

政府機関統一基準（2005年12月版(全体版初版)）

項目の追加充実

基本計画の基本計画の方向性

セキュリティ文化専門委員会等での検討・「第1次情報セキュリティ基本計画（仮称）」の骨子と方向性

個人

情報セキュリティ問題を俯瞰した中長期の戦略
企業

情報セキュリティ
セキュリティ基本問題委員会
情報セキュリティ基本問題委員会
第２次提言（平成17年4月22日）

重要インフラ

重要インフラ
重要インフラ16

重要インフラの情報セキュリティ対策に係る行動計画

基本的考え方に基づいた具体的な行動計画の策定

・重要インフラの対象範囲等の見直し
・情報セキュリティ水準向上のための具体的対策
・官民の連絡・連携、情報共有体制の強化

重要インフラ
重要インフラのインフラの情報セキュリティ
情報セキュリティ対策
セキュリティ対策に対策に係る基本的考え
基本的考え方 「重要インフラ
重要インフラのインフラのサイバーテロ対策
サイバーテロ対策に対策に係る特別行動計画」
行動計画」の改定に改定に向けての検討
けての検討◆「安全基準・ガイドライン」の指針を9月までに策定◆重要インフラごとの「安全基準・ガイドライン」策定◆自治体ＩＳＡＣ（仮称）の創設支援
等

政策会議決定（平成17年7月14日）
重要インフラ 「インターネット安全教室」等、国民のリテラシー向上等への取組み
 フィッシング、ボットネットなど新たに登場してきた脅威への対策
等

企業・個人

＜当面の課題への対応＞

早期に早期に着手すべき着手すべき政府統一的すべき政府統一的・政府統一的・横断的課題「第１次情報セキュリティ基本計画(仮称)」（案）

・情報セキュリティ対策の強化に関する政府基本方針
・統一基準運用指針（スキームの提示）
・政府機関の統一基準

政府機関統一基準（2005年項目限定版）

 情報セキュリティ
情報セキュリティ対策
セキュリティ対策の対策の統一的な統一的な基準を基準を示し、ガイドライン群ガイドライン群を作成

 総合的な監視・警戒態勢の構築

政府機関

情報セキュリティ
セキュリティ基本問題委員会
情報セキュリティ基本問題委員会
第１次提言（平成16年11月16日）

政府機関

情報セキュリティ
情報セキュリティ政策会議
セキュリティ政策会議において検討中
において検討中の検討中の課題