Japan Computer Emergency Response Team Coordination Center

電子署名者 : Japan Computer Emergency Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku, email=office@jpcert.or.jp, o=Japan Computer Emergency Response
Team Coordination Center, cn=Japan Computer Emergency Response Team Coordination Center
日付 : 2010.02.01 10:26:12 +09'00'

重要インフラ情報セキュリティフォーラム2010特別講演

重要インフラに関する情報セキュリティ政策について

2010年 1月25日
内閣官房情報セキュリティセンター（NISC）
内閣参事官 丹代 武

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

目次

情報セキュリティ対策が求められる背景

内閣官房情報セキュリティセンターについて

第２次行動計画の目標と方向性



第２次行動計画の対象



情報セキュリティ対策の５つの柱



関係主体の役割と取組み



評価・検証と見直し

参考情報

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

1

情報セキュリティ対策が求められる背景

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

2

重要インフラにおけるＩＴ利用状況
ＩＴは、重要インフラサービスの利便性向上や重要インフラ事業者等の業務効率化など広範に利用されている。今後も、ＩＴの利用は経済社会の発展とともに拡大すると予想される。
携帯電話の高機能化

地上波デジタル放送への移行

ＡＴＭの利用インターネットによる証券取引

ＰＣ利用者数の増加
ガス安全システム

鉄道運行システム、ＩＣカード

航空チケットのインターネット予約
送電システムCopyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

3ＩＴ障害が国民生活や社会経済活動へ及ぼす影響
重要インフラ分野

IT障害やその影響の例

情報通信・放送・電気通信サービスの停止、放送サービスの停止

金
融・預金の払い出し、振込等資金移動、融資業務の停止
・保険金の支払い停止
・保険金の支払い停止
・有価証券売買の停止 等

銀行
生命保険・損害保険
証券会社
金融商品取引所

航空

・運航の遅延、欠航、航空機の安全運航に対する支障等

鉄道

・列車運行の遅延、運休、列車の安全安定輸送に対する支障等

電力・電力供給の停止、電力プラントの安全運用に対する支障等

ガス・ガスの供給の停止、ガスプラントの安全運用に対する支障等

政府・行政サービス

・政府・行政サービスに対する支障
・個人情報の漏洩、盗聴、改ざん

医療・診療支援部門における業務への支障等

水道・水道による水の供給の停止
・丌適当な水質の水の供給 等

物流

・輸送の遅延・停止
・貨物の所在追跡困難
Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

4

内閣官房における情報セキュリティ政策の流れ
ワーム
猛威

2001.09

2003.08

対策充実に向けた新たな
仕込み

Blaster

米国
同時多発
テロ

枠組み・道具仕込み

2000.01

組織・体制
仕込み

省庁ＨＰ
連続改ざん

1999年 2000年 2001年 2002年 2003年 2004年 2005年 2006年 2007年 2008年 2009年

各省試行
錯誤の時代

内閣官房による対策実行第１期

第２期への助走期

2006.02

枠対
組策
み推
・進
道の
具

2000.07
1
箇
月
で
組
織
立
ち
上
げ

セキュリティポリシー
ガイドライン
2000.12

重要インフラサイバーテロ
特別行動計画

2000.02

第１次
情報セキュリティ基本計画

対策
充実

第２次
情報セキュリティ
基本計画

2005.122005.12

政府機関の情報セキュリティ対策のための統一基準

政府機関
統一基準
（見直し）

2005.04

重要インフラの情報セキュリティ対策に係る
行動計画

第２次
重要インフラ
行動計画

内閣官房
情報セキュリティ対策推進室

体組
制織対策実施第２期

2004.04① 情報セキュリティ補佐官の設置② 内閣官房情報セキュリティセンター
③ 情報セキュリティ政策会議
2005.05

2008.04④ ＧＳＯＣの運用開始

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

5情報セキュリティ政策会議の構成
情報セキュリティ政策会議 官民における統一的・横断的な情報セキュリティ対策の推進を図る【有識者構成員】【閣僚構成員】

内閣官房長官 【議長】

小野寺 正

KDDI株式会社代表取締役社長兼会長

内閣府特命担当大臣（科学技術政策）【議長代理】

黒川 博昭

富士通株式会社相談役

国家公安委員会委員長

土屋 大洋

慶應義塾大学大学院准教授

総務大臣
経済産業大臣野原 佐和子 株式会社イプシ・マーケティング研究所代表取締役社長

防衛大臣

前田 雅英

首都大学東京法科大学院教授

村井 純
慶應義塾大学教授（活動中の各種専門委員会）
重要インフラ専門委員会 我が国全体の重要インフラ防護に資する情報セキュリティに係る事項について調査検討
浅野 正一郎
【委員長】
伊藤 悦郎
稲垣 隆一
大塚 順三
大林 厚臣
雄川 一彦
岸本 博之
阪上 啓二
佐藤 久光
神保 謙
田口 靖
竹原 秀臣
土居 範久

情報・システム研究機構 国立情報学研究所教授

東日本旅客鉄道（株） 総合企画本部システム企画部次長
弁護士
日本放送協会 総合企画室〔情報システム〕次長
慶應義塾大学大学院経営管理研究科 教授
日本電信電話（株）技術企画部門次世代ﾈｯﾄﾜｰｸ推進室 担当部長（財）金融情報システムセンター 監査安全部長
野村證券（株） ＩＴ基盤戦略部長
東京都総務局行政改革推進部 副参事
慶應義塾大学 総合政策学部 准教授（社）日本水道協会 工務部長
電気事業連合会 情報通信部長
中央大学 理工学部教授

情報ｾｷｭﾘﾃｨ報告書専門委員会
技術戦略専門委員会

中尾
永瀬
早貸
広瀬
松田
宮島
持田
森山
矢野
山川
山本
渡辺
渡邊

康二
裕伸
淳子
雅行
栄之
理一郎
恒太郎
拓哉
一博
浩之
志郎
研司
正美

KDDI（株） 運用統括本部 情報セキュリティフェロー
日本通運（株） ＩＴ推進部 専任部長
一般社団法人 JPCERTｺｰﾃﾞｨﾈｰｼｮﾝｾﾝﾀｰ 常務理事（株）東京証券取引所ＩＴ企画部長
新日本有限責任監査法人 公会計本部ディレクター
定期航空協会 IT専門委員（株）三井住友フィナンシャルグループ IT企画部
住友生命保険（相） 情報システム部システムリスク管理室長
日本医師会総合政策研究機構 主任研究員（社）日本ガス協会 技術部長
日本興亜損害保険（株）ＩＴ企画部
長岡技術科学大学 大学院技術経営研究科准教授
東京地下鉄（株） 鉄道本部 安全・技術部長

政府機関の情報セキュリティ報告書作成のためのガイドラインの策定、情報セキュリティ報告書の定量的評価等の手法等について調査検討
情報セキュリティに係る研究開発及び技術開発並びにそれらの成果利用の戦略に係る事項について調査検討

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

6

内閣官房情報セキュリティセンターについて

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

7

内閣官房組織図（2010年1月現在）

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

8

内閣官房情報セキュリティセンター（NISC）の役割「情報セキュリティ問題に取り組む政府の役割・機能の見直しに向けて」（2004年12月7日IT戦略本部決定）を受け、情報セキュリティ問題に関する政府中核機能の強化に向けて機能・体制等を整備
 2005年4月25日、内閣官房情報セキュリティセンター（NISC：National Information Security Center）を設置
 2005年5月30日、IT戦略本部の下に「情報セキュリティ政策会議」を設置

IT戦略本部

情報セキュリティ政策会議

内閣官房情報セキュリティセンター（NISC）

情報セキュリティ政策会議
事務局①情報セキュリティ政策に関する基本戦略の立案

情報セキュリティ基本戦略
等、根幹となる事項を決定④重要インフラの情報セキュリティ対策
重要インフラ所管省庁②政府機関の総合対策促進③政府機関の事案対処支援

政府機関（各省庁）

金
融
庁

総
務
省

重要インフラ

厚
生
労
働
省

国
土
交
通
省

情報セキュリティ関係省庁
経
済
産
業
省

警
察
庁

企業

総
務
省

経
済
産
業
省

防
衛
省

◆諸外国との情報交換・連携の一元化◆国際的な信頼醸成

個人

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

9情報セキュリティセンターの組織
官民から専門家を集約（2010年1月現在約80名）
企業

個人

基本戦略立案グループ

セ
ン
タ
ー
長

内
閣
官
房
副
長
官
補
（
安
全
保
障
・
危
機
管
理
）

副センター長全体戦略（「情報セキュリティ基本計画」）策定
研究開発・技術開発戦略の立案
情報共有・対策その他の官民連携の推進 等
政府機関総合対策促進グループ

情報セキュリティ補佐官
（２名）

各政府組織

政府統一的な「対策基準」の策定
政府統一的な情報セキュリティ対策の「評価」等
事案対処支援グループ
早期警戒情報の収集・分析機能の強化
情報セキュリティ関係機関との連携強化 等

重要インフラ副センター長重要インフラ対策グループ
行動計画の推進
横断的な対策基準の策定
共通脅威分析分野横断的演習の実施 等

諸外国関係機関

国際戦略グループ情報セキュリティに関する我が国の国際戦略の立案
諸外国の関係機関等との緊密な連携 等

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

10

第２次行動計画の目標と方向性

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

11

第２次行動計画の目標
目標：「ＩＴ障害が国民生活や社会経済活動に重大な影響を及ぼさないようにすること」
第２次行動計画の２つの側面
第１次行動計画からの「継続」「重要インフラにおけるＩＴ障害の発生を限りなくゼロにすること」を目指す
重要インフラの情報セキュリティ対策に取り組む関係主体の、ＩＴ障害が重大な影響を及
ぼさないよう丌断の努力を怠らないという基本姿勢の表れ
第１次行動計画を踏まえた「発展」

分野ごとの重要インフラサービスの合理的な水準をサービスレベルとして定める
各分野の特性を踏まえつつ、現状に即して情報セキュリティ対策の実効性を継続的に改善できるようにする「重要インフラ事業者等のサービスの維持」のためのＩＴ障害の予防的対策と「ＩＴ障害発生時の迅速な復旧等の確保」のための事後的対策の両方について広く具体化
Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

12基本的な方向性
重要インフラ事業者等が主体的に連携できる環境を構築するために、各主体が努めるべき基本的な方向性を整理
１）指針の遵守に加えて、先進的な対策の活用に努めること

２）技術面、経営面、法制面での対応の調和を図ること

３）顧客サービスの視点と社会的責任の視点の双方に配慮すること

４）ＩＴ障害の予防的対策に努め、また予防的対策を過信しないこと

５）ＩＴ障害に関する情報は可能な限り共有すべきと理解すること

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

13

理想とする将来像
第２次行動計画に基づく取組みによって以下のような将来像を目指す
各関係機関の主体的な取り組み及び連携の確立

ＩＴ障害に関する情報共有の価値の普遍化•関係主体は守るべき重要インフラサービスと必要な対策を理解•関係主体はＩＴ障害発生時に誰とどのような情報を共有すべきかを理解•「情報セキュリティガバナンス」の考え方が重要
インフラ事業者等に十分に浸透•重要インフラ事業者等は、 ＩＴ障害の発生は隠すべきものではなく関係者間で共有すべきものであるという認識の所有

将来像• ＩＴ障害は発生していないか、発生しても社会経済活動に重大な影響を与える事態には至らない• 関係主体が連携して重要インフラ防護に取り組んでいることが広く国民に知られ、国民に安心感を与えるようになっている• 各関係主体の情報セキュリティ対策に関する取り組みが社会の持続的な発展を支えるものとして確実に定着している

環境変化への機敏な対応体制の普遍化

内閣官房を中心とした速やかな解決体制の構築•重要インフラ事業者等は、ＩＴ障害の脅威やリスクの変化を適切に察知して、各々自主的に対策を進め、また必要に応じて調整を実施•情報セキュリティ対策に資する多様な情報が内閣官房に集積•特異重大な脅威等の場合には、内閣官房、専門委員会、セプターカウンシルの連携により、解決策の実現に向けた調整を速やかに実施

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

14

第２次行動計画の対象

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

15

防護対象となる重要インフラ分野・サービス
国民生活及び社会経済活動の基盤となる重要インフラ１０分野が対象
重要インフラ分野

重要インフラサービス（手続きを含む）

サービス（手続きを含む）の説明

情報通信

・電気通信役務・電気通信設備を用いて他人の通信を媒介し、その他電気通信設備を他人の通信の用に供すること・放送

・公衆によって直接受信されることを目的とする無線通信の送信

銀行

・預金、貸付、為替・預金又は定期積金等の受入れ、資金の貸付け又は手形の割引、為替取引

生命保険・保険金等の支払い・保険金等の支払請求の受付、保険金等の支払審査、保険金等の支払い

損害保険

・保険金等の支払い

・事敀受付、損害調査等、保険金等の支払い

証券会社
金融商品
取引所

・有価証券の売買等
・金融商品市場の開設・有価証券の売買、市場デリバティブ取引又は外国市場デリバティブ取引・有価証券の売買又は市場デリバティブ取引を行うための市場施設の提供、その他取引所金融商品市場の開設に係る業務

金
融

航空

・旅客、貨物の航空輸送サービス ・他人の需要に応じ、航空機を使用して有償で旅客又は貨物を運送する事業
・予約、発券、搭乗・搭載手続き ・航空旅客の予約、航空貨物の予約、航空券の発券、料金徴収、航空旅客のチェッ
クイン・搭乗、航空貨物の搭載

鉄道

・旅客輸送サービス
・発券、入出場手続き

・他人の需要に応じ、鉄道による旅客又は貨物の運送を行う事業
・座席の予約、乗車券の販売、入出場の際の乗車券等の確認

電力・一般電気事業・一般の需要に応じ電気を供給する事業

ガス

・一般ガス事業・一般の需要に応じ導管によりガスを供給する事業

政府・行政サービス

・地方公共団体の行政サービス

・地域における事務、その他の事務で法律又はこれに基づく政令により処理することと
されるもの

医療

・診療

・診察や治療等の行為、診療録及び診療諸記録類等の記録・保存

水道

・水道による水の供給

・一般の需要に応じ、導管及びその他工作物により飲用水を供給する事業

物流

・物流

・貨物の運送及び保管
Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

16検証対象となるＩＴ障害


ＩＴ障害の発生状況を検証するために、検証レベルを設定
重要インフラ事業者等は、検証レベルを参考として事業者毎にサービスレベルを設定
情報セキュリティ対策が必要な事象

ＩＴ障害が国民生活や
社会経済活動に影響を不える状態

検証レベル
本検証レベルを逸脱する
ＩＴ障害の発生状況を
検証する

行
動
計
画
の
対
象
と
な
る
Ｉ
Ｔ
障
害

検
証
対
象
と
な
る
Ｉ
Ｔ
障
害

情報セキュリティ対策が必要な事象

サービスレベル各事業者はこのレベルを維持することを目標として対策に取り組むことが望ましい（事業者毎に設定）※「IT障害」とは、重要インフラサービスにおいて発生する障害（サービスレベルを維持できない状態等）のうち、ITの機能丌全が引き起こすもの

重要インフラ分野

検証レベル （一部表現を簡素化）

情報通信

・電気通信役務の停止、品質の低下が、3万以上の利用者に対し2時間以上継続する事敀が生じないこと
・放送の停止が生じないこと

金
融

銀行

・預金の払戻しの遅延、停止が生じないこと
・融資承諾をした貸付の実行の遅延、停止が生じないこと・為替（銀行振込）の遅延、停止が生じないこと

生命保険

・保険金等の支払いに遅延、停止が生じないこと

損害保険

・保険金等の支払いに遅延、停止が生じないこと

証券会社
金融商品取引所・預り有価証券等の売却、解約代金の払い出し等に遅延、停止が生じないこと
・有価証券の売買又は市場デリバティブ取引等に遅延、停止が生じないこと

航空

・貨客の運送に支障を及ぼす定期便の欠航が生じないこと

鉄道

・旅客の輸送に支障を及ぼす列車の運休が生じないこと

電力・供給支障電力が１０万キロワット以上で、その支障時間が１０分以上の供給支障事敀が生じないこと

ガス・供給支障戸数が３０以上の供給支障事敀が生じないこと

政府・行政サービス(地方公共団体を含む)・住民等の権利利益の保護に支障が生じないこと
・住民等の安全・安心を確保できる時間内にシステムの復旧を行うこと

医療・診療録等の保存に支障が生じないこと

水道・断減水、水質異常、重大なシステム障害のうち給水に支障を及ぼすものが生じないこと物流

・貨物運送の停止や貨物の紛失が生じないこと※概要を示すため表現を簡素化している。正確な表記は第２次行動計画の別紙２を参照。

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

17

ＩＴ障害を引き起こしうる脅威
ＩT障害を引き起こしうる要因を脅威と呼び、４種類に類型化
サイバー攻撃をはじめとする
意図的要因

非意図的要因（例）
不正侵入、データ改ざん・破壊、不正コマン
ド実行、ウイルス攻撃、サービス不能攻撃（DoS: Denial of Service）、情報漏えい、重要情報の詐取、内部不正 等（例）
操作・設定ミス、プログラム上の欠陥（バグ）、
メンテナンス不備、内部・外部監査機能の不
備、外部委託管理の不備、マネジメントの欠陥、機器故障 等

災害や疾病

他分野の障害からの波及（例）
地震、水害、落雷、火災等の災害による電力設備の損壊、通信設備の損壊、水道設備の損壊、コンピューター施設の損壊 等（例）
電力供給の途絶、通信の途絶、水道供給の途絶（相互依存性解析の成果で判明しているもの） 等

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

18

情報セキュリティ対策に取り組むことを想定している関係主体

情報セキュリティ関係省庁

NISC
事案対処省庁

関係主体

電力
ガス

航空
水道

鉄道
物流

重要インフラ・
地方公共団体重要インフラ所管省庁

政府・行政

医療
金融

情報通信
Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

19情報セキュリティ対策の５つの柱

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

20

情報セキュリティ対策の５つの柱• 第１次行動計画から行ってきた取組みを継続・発展• 第２次行動計画から開始した新たな取組み①安全基準等の整備及び浸透②情報共有体制の強化

各分野の安全基準等の継続的改善及び浸透に資するため、「安全基準等策定にあたっての指針」の見直しを実施。

共有すべき情報の整理を行い、情報共有に必要な環境整備を推進するとともにセプターカウン
シル等の活動を充実強化。

⇒ ①～④
⇒ ⑤

重要インフラの情報セキュリティ対策に係る第２次行動計画③共通脅威分析④分野横断的演習⑤環境変化への対応

重要インフラ分野共通に起こり得る脅威を分析し、重要インフラサービスの維持・復旧に関する基礎資料を提供。

官民の情報共有体制の見直しや重要インフラ事業者等の事業継続計画策定等に資する分野横断的演習を実施。

環境の変化に情報セキュリティ
対策を機敏に対応させていくた
め、広報公聴活動やリスクコ
ミュニケーションを充実。

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

21

１

安全基準等の整備及び浸透• 指針（※）の位置づけや記載内容の具体性のレベルの見直しを行う• 重要インフラ事業者等のPDCAサイクルとの整合性を踏まえた安全基準等の整備の推進などの底上げに資する取組みのみならず、個別の先進的な対策を伸ばしその浸透を図る観点からの取組みも推進する
第1次行動計画における取組み

分野横断的に俯瞰して必要度の高い項目を記載

指針

安
全
B分野
基
A分
準
業法
各分野において野
情報セキュリティ確 等
業界標準/ 保に係る「安全基準 の策定・導入ガイドライン等」を整備
整・既存文書を見直し
運用見直し
備・新たに策定内規及評価び
浸「自らが何をすべきか」が理解可能な状況 透
C分野

安全基準等の見直し及び指針の見直しを通じて適宜適切なものとなるよう随時検討

第2次行動計画における取組み（１）指針の継続的改善
 「要検討事項」（全分野共通で特段の理由がない限り対策が望まれる事項）と「参考事項」（進んだ対策として各分野が任意で参考とする事項）に分類する
 対策項目の具体化の例示を行う（２）安全基準等の継続的改善
 各分野にて主体的にPDCAサイクルを回す 情報セキュリティ監査や情報セキュリティ報告書等の自主的な取組みを一層推奨する
 毎年一定時期に実態把握を行う（３）安全基準等の浸透
 各分野にて対策の推進に加え、対策を実装するための環境整備にも努める
 毎年一定時期に「安全基準等の浸透状況等に関する調査」を実施し、「内規」を含めた対策状況の客観的な把握を行う※「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」（2007年6月14日改定 情報セキュリティ政策会議決定）
Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

22

(参考) 指針に記載する情報セキュリティ対策項目(ﾊﾟﾌﾞｺﾒ案)＜対策項目＞（１）４つの柱ア 組織・体制及び資源の対策
イ 情報についての対策
ウ 情報セキュリティ要件の明確化に基づく対策
エ 情報システムについての対策（２）５つの重点項目
ア ＩＴ障害の観点から見た事業継続性確保のための対策
イ 情報漏えい防止のための対策
ウ 外部委託における情報セキュリティ確保のための対策
エ ＩＴ障害発生時の利用者の対応のための情報の提供等の対策
オ ＩＴに係る環境変化に伴う脅威のための対策

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

23

（参考）

安全基準等の状況把握のための取組

調査名

安全基準等の継続的改善状況等の把握及び検証

安全基準等の浸透状況等に関する調査１）対象

重要インフラ分野

重要インフラ事業者

２）目的

各重要インフラ分野の取り組み等の実態把握を行い、指針の分析・検証の結果を踏まえた改善の状況や、重要インフラ分野毎の独自の改善の状況について、客観的な把握、検証を行う

重要インフラ事業者自らが定める「内規」を含めた対策状況の客観的な把握を行う

３）方法

重要インフラ所管省庁を通じた調査

重要インフラ所管省庁を通じたアンケート等の実施

４）項目①「安全基準等」の見直し状況等②各分野の安全基準等の特徴等①安全基準等の整備状況に関する事項②情報セキュリティ対策の実施状況に関する事項③安全基準等に対する準拠状況④政府への提言、要望等

５）頻度

毎年実施

毎年実施

６）次回実施２０１０年２月（予定）

２０１０年４－６月（予定）

備考

前回調査実績（１０分野１２業種）

前回調査実績（３０１９事業者）

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

24

２

情報共有体制の強化

第１次行動計画において構築した「官民の情報共有の枠組み」を踏襲し、第２次行動計画
では「官民連携、情報提供の充実」を目指す。
官民の情報共有体制◆第１次行動計画の成果◎セプターカウンシルの創設（平成21年2月）
・各セプターによる分野横断的な情報共有の推進◎セプターの整備
・分野内における情報共有・分析機能の整備・政府から提供される情報に対する窓口の設置◎官民の情報提供・連絡体制の整備◎官民の情報提供・連絡体制
・NISCと所管省庁の間の手の整備続きとして「実施細目（※）」・NISCと所管省庁の間の手続を策定きとして「実施細目」を策定
・重要インフラ事業者等から・重要インフラ事業者等からNISCへの情報連絡（青線）、NISCへの情報連絡、NISCか
NISCから重要インフラ事業
ら重要インフラ事業者等への者等への情報提供（赤線）
情報提供の運用を開始の運用を開始◆第２次行動計画の取組み

セプターカウンシル（事務局：NISC）
A分野 セプター

B分野 セプター

C分野 セプター

重要インフラ
事業者等

重要インフラ
事業者等

重要インフラ
事業者等

PoC
（窓口）

重要インフラ
所管省庁

PoC
（窓口）

重要インフラ
所管省庁

PoC
（窓口）

重要インフラ
所管省庁

NISC
政府機関等
事案対処省庁

情報セキュリティ
関係省庁

関係機関

◎セプターカウンシル
・各セプターにより構成される共助・互恵の活動の取組みの場
・情報共有の改善等や政府機関等との意見交換への期待◎セプターの強化・セプターにおける情報の収集、把握・分析、情報の共有・発信・コーディネータの設置等の自主的な取組みへの期待◎情報提供・情報連絡の充実
・実施細目を含めた各経路間の情報取り扱いルールの整合
・関係機関等が保有する分析機
能の活用
・セキュリティに関して有用な活動を行う機関との連携の推進◎共有すべき情報の整理
・関係主体の保有する情報毎に、重要インフラ事業者にとって有用な情報提供のあり方を整理※「重要インフラの情報セキュリティ対策に係る行動計画」の情報連絡・情報提供に関する実施細目
Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

25

２

情報共有体制の強化（続き）（第２次行動計画

別紙４より）

事案対処省庁
攻撃がテロによるものだと思われる場合の被災情報等 等情報セキュリティ関係省庁

関係機関
連携要請 等

テロ関連情報 等

各種関連情報復旧手法情報 等

攻撃手法情報 等

各種関連情報復旧手法情報 等

内閣官房 情報セキュリティセンター
共通脅威分析
障害発生情報犯罪被害等の通報

各種関連情報復旧手法情報 等

早期警戒情報 等
各種関連情報復旧手法情報※重要インフラ事業者等の自主的判断に基づくもの

重要インフラ所管省庁※情報共有を行う重要インフラ事業者等又はセプターと関係機関との合意に基づく
補完的な情報共有

セプターカウンシル

セプター

注：本図は、重要インフラのサービスの維持・復旧等に資する情報を、適切に重要インフラ事業者等に提供・共有を行う体制のうち、今後基本としていくべき情報の流れを示したもの。なお、波線矢印（）については、本来本図の対象外ではあるが、他の矢印の内容を明確化する必要性から、参考までに記載したもの。

セプター

セプター
障害発生情報

A社

等

B社

C社

D社

E社

重要インフラ分野
Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

26

共有すべき情報のイメージ（検討例）共有情報

A. 再発防止の観点で有益な情報情報ソース

B.未然防止の観点で有益な情報
a.各種規程、制度、環境変化等に関する情報

政府機関（下記の機関以外）◎海外動向

ＮＩＳＣ(重要インフラＧ以外) ◎IT障害事例

・犯罪事例
・障害事例
・技術動向 …等

公開情報
ＮＩＳＣ重要インフラＧ

関係機関・関係省庁
・研究機関等

所管省庁・セプター・
重要インフラ事業者等
その他の情報ソース（ベンダー等）

情報共有の
タイミング
情報共有の方法

・障害の内容・障害の原因・発生時の応急対処
・IT障害の相関関係
・体制の変更等長期的対策
・教訓（・過去の障害事例一覧）等◎ヒヤリハット事例・内容・原因・再発防止策・教訓等

b.個別の事例等に関する情報◎脅威の動向・脅威の内容・脅威への対処方法
・攻撃事例
・攻撃方法
・NISCの見解、コメント等◎関係各種規程類
・指針等◎制度変更等の情報◎社会・技術動向◎参考文献、会合の案
内・共通脅威分析等の報告書
・最新技術動向・セミナー等の開催情報
・人的交流の情報
等◎統計情報の提供
・IT障害、サイバー攻撃の発生状況
等◎情報セキュリティ対策への取組み状況・セプター活動状況の紹介、
CSR報告書等◎演習、訓練等から得られた課題等

c.予兆・警報に関する情報◎緊急事態（大規模サイバー攻撃等）時の広報等◎国事等（ソーシャルイ
ベント）・対策室の設置/閉鎖情報（連絡体制の変
更）等

◎災害情報
・災害の現地情報 ・被害の復旧見込み◎個別の脆弱性に対する情報
・脆弱性情報・対策・NISCからの見解、コメント
等◎予兆についての情報
・予兆（不審なアクセスの多発、
不審メールの急増等）情報・トラフィックの観測情報
・NISCの見解、コメント
等◎個別の脅威（攻撃）についての情報
・攻撃の内容・攻撃手法
・対策方法（・NISCによるとりまとめ）等◎IT障害情報◎情報セキュリティ対策情報・重要インフラ事業者等の分析報告、プレゼン
テーション、業界レポー
ト、ベストプラクティス、
関係機関等のレポートの公表、等◎重要インフラへのサイバー
攻撃等の速報・障害の内容 ・障害の原因
・発生時の応急対処
・IT障害の相関関係
・障害に対する対策
・復旧見込み等（イ）要警戒時・障害発生時→ リアルタイム性が必要（実施細目に基づく取扱い）（ア）平時（要警戒時・障害発生時以外のタイミング）→ リアルタイム性は不要
・ニュースレター・Webサイト・意見交換会
・セミナー
・セプターカウンシル/ワーキング

C. 障害の拡大防止・復旧のため必要となる情報・ニュースレター
・Webサイト・実施細目に基づく情報連絡/情報提供

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

・実施細目に基づく情報連絡/情報提供（※緊急事態等における別の連絡体制や手続きがある場合を除く）

27

（参考）セプターカウンシルの概要
・各セプターにより構成される共助・互恵の活動の取組みの場
・11のセプターの参加を得て、平成21年2月に創設。当面の間、ＮＩＳＣが事務局を務める
セプターカウンシル
セプターカウンシル総会
オブザーバ

総会

事務局

セプター（鉄道分野）（NISC）

幹事会

セプター（医療分野）
セプター（物流分野）

ＷＧ

ＷＧ

ＷＧ

（社）日本経済団体連合会※幹事会はセプターカウンシルの綜合的な企画調整・運営を行う※ＷＧは必要に応じて設置される

日本銀行（財）金融情報システムセンター
金融庁

セプター
（情報通信分野：通信）

セプター（情報通信分野：放送）

セプター（金融分野：銀行）

セプター（金融分野：証券）

セプター（金融分野：生命保険）

セプター（金融分野：損害保険）

セプター（航空分野）

セプター（電力分野）

セプター（ガス分野）

総務省
厚生労働省
経済産業省
国土交通省
順丌同

セプターのイメージ

セプター（政府・行政サービス分野）

セプター（水道分野）

Ａ社 Ｂ社 Ｃ社順丌同

Ｄ社 Ｅ社 Ｆ社
重要インフラ事業者等

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

28

３

共通脅威分析
第１次行動計画

第２次行動計画

ＮＩＳＣが2006年度より相互依存性に係る調査・分析を実施（その他の脅威は個々の分野が独自に調査・分析）

ＮＩＳＣが2009年度より共通脅威全般に係る調査・分析を実施

重要
インフラ
ＢＣＰ
策定

分
野
Ａ

ＢＣＰ
策定

拡大する
共通脅威
脅威の調査・対策検討[要点]
・重要インフラ各分野からのニーズ吸い上げ
・研究機関との連携による実効性向上
・判断材料として国内外関連研究・事例を調査
・情報保護のための守秘の合意の徹底
・重要インフラ事業者との問題共有、利害一致

共通
環境

共通
要素

分
野
Ｂ

ＢＣＰ
策定

NISC/
有識者委員

分
野
Ｃ

成
果
共有・活用

・以下に資する基礎資料①事業継続計画②復旧優先順位③重要インフラ連携対処
・安全基準等の指針

相互依存脅威の調査・対策検討
要望・情報提供（分野委員）

重要
インフラ
ＢＣＰ
策定

分
野
Ａ

NISC/有識者委員
+

研究機関
成
果

・以下に資する基礎資料①事業継続計画②復旧優先順位③重要インフラ連携対処
・安全基準等の指針

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

分
野
Ｂ

ＢＣＰ
策定

ＢＣＰ
策定

分
野
Ｃ

共有・活用

29

2009年度の共通脅威分析各目標の活動内容
１．重要インフラ分野におけるＩＴに係る脅威の抽出・分類① 重要インフラ事業者等へのアンケート調査と集計結果の分析等を行い、脅威の対象範囲や、重要
インフラ事業者等の抱える課題を抽出・分類する。
② 国内のＩＴ障害事例を把握し、共通脅威分析の方向付け等に資する情報を蓄積する。

２．協力可能な研究機関の把握と連携準備研究機関や研究者へのアンケート調査等により、調査・分析に必要な情報や専門的な意見の提供が可能な、あるいは、近い将来共通脅威分析の業務の一端を担うことが可能な連携先を把握し、連携の打診等を行う。

３．優先度の高い共通脅威の調査・分析① １．で抽出・分類した脅威より、優先度の高い共通脅威を選定し、実態、背景、原因などを分析して、各課題の特徴や有効な対策等を把握する。
② 共通脅威全般に関する国内外の研究・調査の動向を把握し、共通脅威分析の方向付けや新たな共通脅威の発見等に資する情報を蓄積する。
③ 平成２０年度の相互依存性解析で作成した分野間のデータ送受信に係る分析ワークシートをブラッ
シュアップし、重要インフラ事業者等の運用に資するよう実用性の向上を図る。

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

30

４

分野横断的演習
第１次行動計画

第２次行動計画＜2006年度＞

分野横断的な重要インフラ防護対策の向上

官民連携の仕組みづくり

研究的演習

机上演習

演習実施概念、演習
課題設定、演習手法の理解等を主眼として実施。

脅威として災害を設定し、会議形式の演習を実施。

＜2007年度＞
官民連携体制の機能向上

機能演習
脅威としてDDoS攻撃を設定し、チーム毎に個室に分かれ、メールのみを利用した演習を実施。

＜2008年度＞
官民連携体制の実効性向上

機能演習
参加者にIT障害の発生原因を知らせないなど
より現実に近い状況で、起こった現象に関する関係者間の情報共有により原因を特定し、サービスの維持・早期復旧や事業継続等を行っていく演習を実施。

分
野
横
断
的
な
演
習
手
法
に
関
す
る
知
見

目標
分野横断的な脅威に対する共通認識の醸成

他分野の対応状況把握による自分野の対応力強化

官民の情報共有をより効果的に運用するための方策得るもの
演習に関する施策① シナリオ、実施方法、検証課題等を企画し、演習を実施② ＩＴ障害発生時の早期復旧手順・事業継続計画の検討状況等を把握し、その結果を演習参加者等に提供③ 演習の向上策検討④ 演習の実施方法等に関する知見の集約・蓄積

机上演習状況

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

機能演習状況
31

５

環境変化への対応

環境の変化に情報セキュリティ対策を機敏に対応させることを目指す○ＩＴ利用動向

環境⇒刻々と変化○ＩＴ技術動向 ○脅威動向等

環境の変化を察知する能力の向上を図る
広報公聴活動○Webを活用した情報発信や意見受付○ニュースレターの発行○会議資料の公開○セミナー等の開催

国際戦略の推進○重要情報インフラに関するベストプラクティスの共有○国際会合や他国機関等との対話を通じた最新動向の把握

リスクコミュニケーションの充実○連携して対処すべきリスクや対策に関する共通認識の形成○連携効果の高まり○強固な信頼関係の構築

情報セキュリティ基盤の強化○高度なITスキルを有する人材の育成○脅威への対応能力の強化に資する研究開発○地域レベルの連絡・連携

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

32

５

環境変化への対応（続き）

環境変化対応の目標：①環境の変化を察知する手法を開発する②開発した手法を用いて環境の変化の察知する
環境変化の定義：重要インフラを取り巻く制度・政策、ＩＴ利用、ＩＴ技術、脅威等において今後情報セキュリティに影響を不えると見込まれる変化
時間的視野：現行行動計画の見直しや次期行動計画の策定に反映するため、2014年度（5年後）頃までに対応が必要となる環境変化を視野に入れる
期待するアウトプット：◎環境変化を察知する手法のまとめ◎察知した環境変化とそれに起因する脅威のまとめ
2009
2010
2011
2012
2013
2014
2015

第２次行動計画
現在
分野横断的な
情報セキュリティ対策

セプターＢ

重要インフラの情報セキュリティを取り巻く
環境変化
察知

セプターＡ
セプターＣ

次期行動計画将来
分野横断的な
情報セキュリティ対策
セプターＡ

機敏に対応
セプターＢ

セプターＣ

ＩＣＴ動向に関する情報収集や、重要インフラ事業者へのヒアリングを実施中
これまでに、ＩＰｖ６、暗号危殆化、クラウド、スマートグリッド等の環境変化を抽出
Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

33

５

環境変化への対応（続き）

情報セキュリティに影響を不える可能性のある環境変化の例（関係者へのヒアリング結果より）
2006

2007 2008

第１次行動計画

2009

2010

2011

2012

第２次行動計画

2013

2014

2015

次期行動計画

企業ＨＰの改ざん多発
クラウドコンピューティングの台頭
テレワーキング、リモートメンテナンスの普及
制御系システムのオープン化
ＩＰｖ６への移行
暗号の危殆化ユビキタスの普及
グリーンＩＴ、スマートグリッドの普及
国際会計基準の適用

関係主体の役割と取組み

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

35

重要インフラの情報セキュリティ対策の推進体制
重要インフラ防護体制の強化のための施策及び対策

情報セキュリティ関係省庁
我が国全体としての重要インフラ防護に資する施策
各重要インフラ分野に共通の分野横断的に実施すべき施策

NISC

事案対処省庁

関係機関

我が国全体としての重要インフラ防護体制に資する施策
電力
航空

NISCで行う施策と連動した対策
自分野・他分野との情報共有の充実
鉄道

水道
ガス

重要インフラ所管省庁

物流

政府・行政 重要インフラ・地方公共団体情報通信

NISCで行う施策と連動した施策
重要インフラ事業者等の情報セキュリティに関する活動の把握
Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

医療

金融
36

関係主体の取組み
第２次行動計画の実現を図るため、毎年度、より具体的な施策の実施プログラムを「セキュア・ジャパン２０ＸＸ」として策定。
「セキュア・ジャパン２００９」に基づき、２００９年度に取り組む重点政策
内閣官房の取組み「安全基準等」
の整備及び
浸透

連携施策

重要インフラ所管省庁等の取組み

・指針の継続的改善
・安全基準等の継続的改善状況等の把握及び検証・安全基準等の継続的改善（重要インフラ所管省庁）
・電気通信事業における情報セキュリティマネジメントの強化（総務省）
・ネットワークのＩＰ化に対応した電気通信システムの安全・信頼性確保（総務省）

安全基準等の浸透（内閣官房及び重要インフラ所管省庁）

情報共有体制の強化

・共有すべき情報の整理
・第２次行動計画の情報連絡・情報提供に関する実施細目の見直し

・情報共有ルールの見直し（重要インフラ所管省庁）
・重要インフラで利用される情報システムの信頼性向上のための支援体制の整備（経産省）

セプター訓練の実施（内閣官房及び重要インフラ所管省庁）
セプターの強化（内閣官房及び重要インフラ所管省庁）
・セプターカウンシルの支援

共通脅威分析

・共通脅威分析の実施

分野横断的
演習

分野横断的演習の実施（内閣官房及び重要インフラ所管省庁）
・電気通信事業分野におけるサイバー攻撃への対応強化（総務省）
情報セキュリティに関する国際会合の開催（内閣官房及び関係府省庁）

環境変化への対応

・広報公聴活動

・重要インフラ事業者向けの啓発セミナー等の実施（経産省）
リスクコミュニケーションの充実（内閣官房及び重要インフラ所管省庁）

・国際連携の推進

・ソフトウェアや情報システムの脆弱性の発生を縮減するための対策の推進（経産省）
・重要インフラ事業者に対するソフトウェア等の脆弱性関連情報の優先提供及び情報
セキュリティ関連情報マネジメントの支援等（経産省）
・重要インフラ事業における制御システムの脆弱性に関する情報提供等（経産省）
・制御系システムに関する脆弱性への対応のための連携体制の構築（経産省）

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

37評価・検証と見直し

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

38評価・検証による継続的な改善

事業者、分野、政府の３層で改善サイクルを駆動
官民連携により、我が国全体の重要インフラにおけるPDCAサイクルを回していき、期待される社会的効果が実現しつつあるかの観点からの評価を実施
行動計画の見直しの際には、期待される社会的効果（アウトカム）に向けて行動計画そのものが必要十分な内容を有しているか検討を実施
情報セキュリティ政策会議
重要インフラ専門委員会

重要インフラ分野

重要インフラ事業者等

・各施策への協力
・事業者等への指導・助言
・分野の特性を踏まえつつ独自の取組みを推進

・サービスの提供
・個別具体的な情報セ
キュリティ対策の推進

Plan【施策立案】
・行動計画の策定
・単年度施策（セキュア・ジャパン）の具体化

Act

Do

【施策の改善】
・翌年度施策への反映

Check【施策の実施】
・安全基準等の継続的改善
・情報共有体制の強化
・共通脅威分析・分野横断的演習

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

※自主的な取組みが大原則

39

政府の施策の成果検証• 情報セキュリティ対策の柱毎に、重要インフラ事業者等の情報セキュリティ対策への寄不を検証

情報セキュリティ対策の柱

検証指標

安全基準等の整備及び浸透・指針及び参考資料に採録した対策項目数
・安全基準等に基づいて定期的な自己検証に取り組んでいる重要インフラ事業者等の数・指針の重要インフラ事業者等による評価

情報共有体制の強化

・内閣官房が発信した情報件数
・セプター等で共有された情報件数・共有された情報が情報セキュリティ対策に資すると評価した重要インフラ事業者等の数

共通脅威分析

・共通脅威分析において実施した検討項目件数
・共通脅威分析の検討項目について、各検討結果の重要インフラ事業者等の評価

分野横断的演習・演習の述べ参加者数・演習で得られた知見が所属する組織の情報セキュリティ対策に資すると評価した重要インフラ事
業者等の数

環境変化への対応（広報公聴活動）・Webサイトのコンテンツの充実度
・行動計画を紹介したセミナー等の回数（リスクコミュニケーション）
・セプターカウンシルや分野横断的演習等の関係主体間のコミュニケーションの機会の開催回数

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

40

参考情報

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

41

重要インフラに関わる主なwebサイト


NISC
http://www.nisc.go.jp/index.html

「重要インフラの情報セキュリティ対策に係る第２次行動計画」
http://www.nisc.go.jp/active/infra/pdf/infra_rt2.pdf

「セキュア・ジャパン２００９」
http://www.nisc.go.jp/active/kihon/pdf/sjf_2009.pdf



情報セキュリティ政策会議
http://www.nisc.go.jp/conference/seisaku/index.html



重要インフラ専門委員会
http://www.nisc.go.jp/conference/seisaku/ciip/index.html
Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

42

ご清聴ありがとうございました。

Copyright (c) 2010 National Information Security Center (NISC). All Rights Reserved.

43