資料１

サイバーセキュリティ 2019（案）※資料１－１ サイバーセキュリティ 2019（案）の全体概要
資料１－２ サイバーセキュリティ 2019（案）の概要
資料１－３ 2019 年度に実施すべき施策に関する意見募集の結果の概要
資料１－４ 2019 年度に実施すべき施策に関する意見募集の結果一覧
資料１－５ サイバーセキュリティ 2019（案）サイバーセキュリティ2019（案）（2018年度報告・2019年度計画） 全体概要

資料1-1

趣旨・背景 ○ 1部を年次報告（2018年度）、2部を年次計画（2019年度）とし、記載の根拠となるデータを充実化しつつ、報告と計画の関連性を明確化するため冊子を一本化○ 1部の１章を新設し、サイバー空間における動向と脅威の主なトピックとともに、新戦略(2018年7月決定）の目指す姿と対処方針等のポイントを改めて整理○ 2部の１章を新設し、新戦略の対処方針について国内外の関係者の理解を図るため、対処方針（積極的サイバー防御等）に沿って、取組を抽出し、そのポイントを整理

1部 年次報告（2018年度）
1章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
１ 本章の位置づけ（一般（経営層等）への波及を期待、新戦略の理解と実践の参考）

新設 （一般（経営層等）向け）

２ 変わりゆくサイバー空間とそれに伴う脅威の深刻化
２.１ 新たなサイバーセキュリティ戦略の位置づけ（３年間の基本計画、我が国の基本的立場の明示）
２.２ 新戦略で目指す姿とサイバー空間における脅威の状況（１）サイバーセキュリティを通じたサイバー空間の持続的発展（自律的な取組による「Society 5.0」の実現への寄与）（２）目指す企業経営とサイバーセキュリティの姿 ～DX with Cybersecurity～

あらゆる企業が、自律的にサイバーセキュリティにも取り組む「デジタル企業」となり、新製品やサービス等を創出する姿（３）身近にあるサイバー空間における脅威とその影響の拡大①サイバー空間における脅威による影響（業務・サービス障害、情報漏えい、金銭被害）②サイバー空間における攻撃者優位の状況（攻撃者（時間、場所の無制約等）、防御側（完全なリスク除去不可能等））③サイバー空間における脅威の影響が広がる可能性（イベント、裾野拡大（人、供給網、IoT）、先端技術（AI等））

２.３ 主なトピック（１）業務・機能・サービス障害（平昌大会関係、奈良県病院のシステム障害等）（２）情報の毀損及び漏えい（大学等におけるフィッシングによる情報漏えい事案、国家の関与が疑われるAPT10等）（３）金銭の窃取・搾取等（フィッシング詐欺の増加、脅迫メール、暗号資産等）

３ 新戦略に基づく対処方針
３.１ 持続的な発展のためのサイバーセキュリティ ～サイバーセキュリティエコシステム～
３.２ 積極的サイバー防御 ～事前の能動的な取組～
３.３ 2020年東京大会とその後を見据えた対処態勢の強化

２部 年次計画（2019年度）
1章 2019年度のトピックとなる取組
１ 持続的な発展のためのサイバーセキュリティ
１.１ サービス提供者関連（１）企業 （戦略マネジメント層育成、企業におけるサプライチェーン・リスク対策、情報開示手引き等）（２）重要インフラ事業者等（安全基準等策定指針の改定及び浸透等）

１.２ 全ての主体関連（１）意識・行動強化 （意識・行動強化プログラム等）（２）IoT関連 （技術基準、国際標準化等）

１.３ 国際協力・連携関連（法の支配の推進、能力構築支援等）
１.４ 研究開発関連（研究・技術開発の取組方針等）

２ 積極的サイバー防御 ～事前の能動的な取組～
２.１ 政府関係者の取組（１）改定された統一基準群に基づく取組（未知の不正プログラム対応、IT資産管理の自動化等）（２）政府調達におけるサプライチェーン・リスク対策（IT調達に係る申合せに基づく取組等）（３）ボットネット対策（パスワード設定に不備のあるIoT機器の調査等）（４）先行的防御を可能にするための取組（脅威情報の共有・活用の促進、攻撃誘引技術の活用等）

２.２ 従来の枠を超えた取組（１）情報共有連携体制（サイバーセキュリティ協議会）（２）暗号資産（仮想通貨）に関する取組（３）自動運転に関する取組

３ 2020年東京大会とその後を見据えた対処態勢の強化
３.１ 2020年東京大会における対処態勢
３.２ 大規模サイバー攻撃事態等への対処態勢

昨年度報告・計画に該当部分あり

２章 2018年度のサイバーセキュリティに関する情勢

２章 2019年度の各種施策一覧表

１ サイバーセキュリティの基本的な枠組みに関する情勢（新戦略の策定経緯、基本法を一部改正する法律の経緯）
２ 重要インフラ分野等におけるサイバーセキュリティに関する情勢
３ 政府機関等におけるサイバーセキュリティに関する情勢
４ サイバー空間に係る国際的な動向

１ 経済社会の活力の向上及び持続的発展

３章 2018年度のサイバーセキュリティ関連施策の取組実績と評価
１ 経済社会の活力の向上及び持続的発展
２ 国民が安全で安心して暮らせる社会の実現
３ 国際社会の平和・安定及び我が国の安全保障への寄与
４ 横断的施策
５ 推進体制別添～サイバーセキュリティエコシステム～

1.1新たな価値創出を支えるサイバーセキュリティの推進 1.2多様なつながりから価値を生み出すサプライチェーンの実現
1.3安全なIoTシステムの構築

２ 国民が安全で安心して暮らせる社会の実現

2.1 国民・社会を守るための取組 2.2 官民一体となった重要インフラの防護 2.3 政府機関等におけるセキュリティ強化・充実
2.4 大学等における安全・安心な教育・研究環境の確保 2.5 2020年東京大会とその後を見据えた取組
2.6 従来の枠を超えた情報共有・連携体制の構築 2.7 大規模サイバー攻撃事態等への対処態勢の強化

３ 国際社会の平和・安定及び我が国の安全保障への寄与

3.1 自由、公正かつ安全なサイバー空間の堅持 3.2 我が国の防御力・抑止力・状況把握力の強化 3.3 国際協力・連携

４ 横断的施策

4.1 人材育成・確保 4.2 研究開発の推進 4.3 全員参加による協働

５ 推進体制

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針 別添２ 2018年度のサイバーセキュリティ関連施策の実施状況 (一覧表)
別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組 別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添５ サイバーセキュリティ関連データ集 別添６ 担当府省庁一覧（2019年度計画） 別添７ 用語解説

サイバーセキュリティ戦略（2018年）・サイバーセキュリティ2019の概要

資料1-2

サイバーセキュリティ戦略(2018年７月)は、サイバーセキュリティ基本法に基づく２回目の「サイバーセキュリティに関する基本的な計画」。2020年以降の目指す姿も念頭に、我が国の基本的な立場等と今後３年間（2018年～2021年）の諸施策の目標及び実施方針を国内外に示すもの
サイバーセキュリティ2019は、同戦略に基づく初めての年次報告とそれを反映した年次計画を統合したもの。各府省庁はこれに基づき、施策を着実に実施＜新戦略(2018年戦略）（平成30年7月27日閣議決定）の全体構成＞
１ 策定の趣旨・背景• サイバー空間がもたらす人類が経験したことのないパラダイムシフト（Society5.0）• サイバー空間と実空間の一体化の進展に伴う脅威の深刻化、2020年東京大会を見据えた新たな戦略の必要性

２ サイバー空間に係る認識• 人工知能（AI)、IoTなど科学的知見・技術革新やサービス利用が社会に定着し、人々に豊かさをもたらしている。
• 技術・サービスを制御できなくなるおそれは常に内在。IoT、重要インフラ、サプライチェーンを狙った攻撃等により、国家の関与が疑われる事案も含め、多大な経済的・社会的損失が生ずる可能性は指数関数的に拡大

４ 目的達成のための施策

３ 本戦略の目的• 基本的な立場の堅持（基本法の目的、基本的な理念（自由、公正かつ安全なサイバー空間）及び基本原則）• 目指すサイバーセキュリティの基本的な在り方：持続的な発展のためのサイバーセキュリティ（サイバーセキュリティエコシステム）の推進。３つの観点（①サービス提供者の任務保証、②リスクマネジメント、③参加・連携・協働）からの取組を推進

４ 目的達成のための施策
経済社会の活力の向上
及び持続的発展～新たな価値創出を支える
サイバーセキュリティの推進～

国民が安全で安心して暮らせる社会の実現～「積極的サイバー防御」の推進による任務保証～～自由、公正かつ安全なサイバー空間の堅持～

国民・社会を守るための取組

新たな価値創出を支えるサイバーセキュリティの推進

官民一体となった重要インフラの防護

多様なつながりから価値を生み出すサプライ
チェーンの実現

大学等における安全・安心な教育・研究環境の確保

安全なIoTシステムの構築

国際社会の平和・安定及び我が国の安全保障への寄与
自由、公正かつ安全なサイバー空間の堅持

政府機関等におけるセキュリティ強化・充実
我が国の防御力・抑止力・状況把握力の強化

2020年東京大会とその後を見据えた取組
従来の枠を超えた情報共有・連携体制の構築
大規模サイバー攻撃事態等への対処態勢の強化

国際協力・連携

横断的施策
人材育成・確保

５ 推進体制研究開発の推進

全員参加による協働

内閣サイバーセキュリティセンターを中心に関係機関の一層の能力強化を図るとともに、同センターが調整・連携の主導的役割を担う。

1

（参考）サイバー空間と実空間の更なる一体化のイメージ

実空間（フィジカル空間）

実空間（フィジカル空間）

サイバー空間 連接・融合

・・・・・

家電
連接・融合

一体化

自動車

スマホ

電子行政

ロボット

インフラ

マイナンバー制度活用等

健康・医療・介護

スマートシティ等

データ連携等

サイバー空間ものづくり

金融

コネクテッド・フィンテック等

インダストリーズ等

移動

自動運転等

参考：Society 5.0のしくみ（内閣府作成）

一体化が更に進展すると、今まで関わりのない分野にも影響を与える可能性【サイバー空間と実空間の一体化・活動空間の拡張】(2018年戦略の概要資料)

電子行政

マイナンバー制度活用等

インフラ

スマートシティ等

サイバー空間
と実空間

金融

ものづくり

コネクテッド・インダストリーズ等

健康・医療・介護
データ連携等移動

フィンテック等

自動運転等

Society 5.0の実現に向けた政府の主な体制図
日本経済再生本部（2012年に設置）

その他の本部等〈戦略〉・未来投資戦略（総合科学技術・イノベーション会議、
知的財産戦略本部等）

サイバーセキュリティ
戦略本部[2015年に設置]

IT総合戦略本部（高度情報通信ネットワーク
社会推進戦略本部）

個人情報保護委員会[2014年に設置][2001年に設置]〈戦略〉
・サイバーセキュリティ戦略〈所管法令〉
・サイバーセキュリティ基本法〈戦略〉 ・IT戦略(世界最先端デジタル
国家創造宣言等)・官民データ活用推進基本計画〈所管法令〉
・個人情報の保護に関する法律〈所管法令〉
・高度情報通信ﾈｯﾄﾜｰｸ社会形成基本法
・官民データ活用推進基本法

2

サイバーセキュリティ2019（１部（2018年度報告） １章及び２章 ）の概要
１部１章（変わりゆくサイバー空間とそれに伴う脅威の深刻化）
サイバー攻撃による被害が深刻化する中、サイバー空間における攻撃者優位の状況(攻撃者：時間・場所の無制約や低コストかつ豊富な手段、防御側：限られた資源、脆弱性の完全除去は不可能、攻撃者特定困難)も背景に、サイバー空間と実空間の一体化の進展により被害が拡大する可能性がある。
【サイバー攻撃による被害の主なトピック※1】※1 2018年度を中心とした近年の事例をピックアップ

業務・機能・サービス障害・2018年平昌大会期間中に約550万件のサイバー攻撃との報道
・奈良県病院 約２日間にわたるカルテシステムの障害(2018/10)⇒今後ますます現場のデジタル化が進む中、通信障害、交通混乱や停電等の事態が発生する可能性【サイバー空間における脅威の影響が広がる可能性】○国際的なイベントの開催に伴う脅威

最高度の注目を集めるため攻撃のターゲットとなるおそれのある国際イベントが開催予定(G20(2019/6)、ラグビーワールドカップ(2019/9)、2020年東京オリンピック・パラリンピック競技大会(2020/7))○サイバー空間利用の裾野拡大に伴う脅威

スマートフォンやIoT等の生活への普及・浸透やDX※2の進展に伴い、人間の脆弱性、供給網（サプライチェー※2 将来の成長、競争力強化のために、新たなデジタル技術を活用
ン）、IoT機器の問題に起因する脅威が広がるおそれして新たなビジネス・モデルを創出・柔軟に改変すること情報の毀損及び漏えい
・大学におけるフィッシングによる情報漏えい(10大学での被害が報道)
・国家の関与が疑われるAPT10を非難(外務報道官談話 2018/12)⇒今後個人情報やリアルデータ等の情報の価値が高まっていくにつれて、金銭獲得や別の攻撃への悪用を目的に脅威が高まる可能性

国内における情報通信機器の保有状況推移（世帯）100(％)

モバイル端末

80

パソコン
40

2018/９ 約70億円相当）⇒今後、低い労力で多くの利益を得ることを狙って、対策が不十分な分野や多額の金銭を得られる対象に関する脅威が高まる可能性

75.1％

2,121億

パケット数（億）

2000

500

(注) モバイル端末にはスマートフォンを内数とし含めている

0

観測された攻撃のうち、3年間で3.9倍

1000

スマートフォン

20

・過去最大規模(前年比約2.5倍)のフィッシング詐欺(2018年)
・巧妙化する脅迫メール（実際に使用されたパスワードを記載したメール等）
・暗号資産の窃取（2018/1 約580億円相当、2018/８ 約1500万円相当、

94.8％
72.5％ 1500

60金銭の窃取・詐取等

１年間で観測されたサイバー攻撃のパケット数

545.1億 1,281

1,504

2,121

128.8 256.6 545.1

2013 2014 2015 2016 2017 201802010 2011 2012 2013 2014 2015 2016 2017

約半数がIoTを狙っている
IoT機器を狙った攻撃（Webカメラ、ルータ等）
48％

出典：国立研究開発法人 情報通信研究機構「NICTER」観測データ(参考)平成30年版情報通信白書（総務省）○先端技術・サービスの利用拡大に伴う脅威

今後、AI、 Fintech※3、自動運転車等の先端技術・サービスの利用拡大が予想され、新たな脅威が生じるおそれ ※3 Finance(金融)とTechnology(技術)を組み合わせた造語。ブロックチェーンやビッグデータといった新たな技術を活用した革新的な金融サービス

１部２章（サイバーセキュリティに係る情勢）
政府機関等に対する攻撃の高度化・巧妙化

国外の動き（諸外国の戦略的取組）

政府機関において、マルウェア感染の疑いがある通信や標的型攻撃を引き続き検知しており、標的型攻撃は増加（図表１）。標的型攻撃については、より巧妙化されたメールも確認されている。また、近年、ファイル添付型(不審なファイルを添付)に代わってURL型(不審なURLを記載)の不審メールの比率が増加（図表２）。
図表１ 政府機関における引き続き警戒を要する攻撃等の検知件数※4年度

マルウェア感染の疑い
標的型攻撃
タイポスクワッティング※5の疑い

2017年度169
57
0

2018年度

111
66
5

米国

・新たな国家サイバー戦略（2018/9）
・連邦政府・重要インフラの保護、安全・信頼のインターネット維持等
・国土安全保障省にサイバーセキュリティ・インフラストラク
チャー・セキュリティ庁（CISA）を設置（2018/11）

EU・欧州NW・情報セキュリティ機関(ENISA)の権限拡大等を含むサイバーセキュリティ法成立（2018/12）
・一般データ保護規則(GDPR)成立（2018/5 施行）

英国

・国家サイバーセキュリティ戦略（2016）
・「防御」、「抑止」、「開発」を目的

中国・国家サイバー空間セキュリティ戦略（2016）
・サイバー空間主権確保

図表２ 政府機関等に対する不審メールの傾向

0%

（件）

20%

40%

60%

80%

100%

2015年度
2016年度
2017年度※4 既に攻撃手法に対応済みであるため攻撃としては失敗した通信、攻撃の前段階
2018年度で行われる調査のための行為にとどまり明らかに対応不要と判断できる通信等をＵＲＬ型
ＵＲＬ型かつファイル添付型分析しノイズとして除去した上で、引き続き警戒を要するイベントについて集計※5 URLやメールアドレスを入力する際に打ち間違うことを期待して、正規ドメインと紛らわしいドメインを所有しておく行為。

ファイル添付型

その他

3サイバーセキュリティ2019（２部（2019年度計画））の概要
２部１章（2019年度のトピックとなる取組）
新戦略の対処方針に関する国内外の関係者の理解・浸透を図るため、その方針別に、「トピックとなる取組」を抽出し、その方向性と主な施策例を示したもの。その概要は以下のとおり。

１ 持続的な発展のためのサイバーセキュリティ ～サイバーセキュリティエコシステム～
１.１ サービス提供者関連

１.２ 全ての主体関連（１）企業（戦略マネジメント層育成、サプライチェーン・リスク対策、情報開示手引き等） （１）意識・行動強化 （意識・行動強化プログラム等）－デジタルトランスフォーメーション(DX)とサイバーセキュリティを一体的に進める戦略マネジメント層の育成等の推進－サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）の具体化・実装の推進、徹底した中小企業の現場支援（２）重要インフラ事業者（安全基準等策定指針の改定及び浸透等）－自然災害に起因する重要インフラサービス障害の発生も可能な限り減らすための安全基準等を改善する取組の推進

１.３ 国際協力・連携関連－人材育成や普及啓発に関する官民の様々な取組みを集約するポータルサイトの構築等（２）IoT関連 （技術基準、国際標準化等）－今後製品化されるIoT機器がパスワード設定の不備等により悪用されないようにする対策の推進等

１.４ 研究開発関連－自由、公正かつ安全なサイバー空間を堅持するための理念の発信と途上国向け能力構築支援－サプライチェーン全体の信頼確保に向けたICT機器・サービスのセキュリティの技術検証を行うための推進体制の整備や、国内産業の育成・発展に向けた取組

2 積極的サイバー防御 ～事前の能動的な取組～
２.１ 政府関係者の取組（１）改定された統一基準群に基づく取組（未知の不正プログラム対応、IT資産管理の自動化等）－脅威が深刻化するサイバー攻撃への対応及びクラウドサービス利用時の適切な情報セキュリティ対策の推進（２）政府調達におけるサプライチェーン・リスク対策（IT調達に係る申合せに基づく取組等）－サプライチェーン・リスク対応が必要な調達時の総合評価落札方式等、価格面だけでない総合的な評価を行う契約方式を採用する方針（３）ボットネット対策（パスワード設定に不備のあるIoT機器の調査等）－サイバー攻撃を受けてから対応するのではなく、先手を打って悪用されるおそれのあるIoT機器の能動的な調査と利用者への注意喚起（４）先行的防御を可能にするための取組（脅威情報の共有・活用の促進、攻撃誘引技術の活用等）
ー実証環境を用いた標的型攻撃の解析や、フィッシング詐欺の攻撃手法分析、なりすましメールを防止する送信ドメイン認証技術等の推進

２.２ 従来の枠を超えた取組（１）情報共有連携体制（サイバーセキュリティ協議会）－官民・業界を問わず多様な主体が連携し、サイバーセキュリティの確保に資する情報の共有と、サイバー攻撃による被害とその被害拡大の阻止（２）暗号資産（仮想通貨）に関する取組－自主規制機関と連携して暗号資産交換業者のサイバーセキュリティ対策の実施状況モニタリングし、利用者保護の確保を目指す

3 2020年東京大会とその後を見据えた対処態勢の強化
３.１ 2020年東京大会における対処態勢－サイバーセキュリティ対処調整センター及び情報共有システムのG20大阪
サミット等での運用による対処支援調整能力の向上と万全な対処態勢確立を目指すー対処態勢やリスクマネジメントの取組によって得られた経験・ノウハウを、大会後にもレガシーとして日本のサイバーセキュリティの確保に活用すべく、大会に向けた準備の推進

３.２ 大規模サイバー攻撃事態等への対処態勢－内閣官房を中心とした情報の集約・共有、初動対処に係る訓練・演習・見直しを通じて対処態勢の強化
ー各対処機関ではサイバー空間における情報収集・分析能力向上ーサイバー攻撃の対象となり得る事業者での対処活動の支援強化（３）自動運転に関する取組－自動運転システムへの新たなサイバー攻撃手法、インシデント情報、対策技術を調査した上での、脅威を想定した能動的な対策の推進

等

２部２章（2019年度の各種施策一覧）
新戦略の体系に沿って諸施策の目標や実施方針とともに、具体的な施策を網羅的に示したもの。

4

参考資料

（１部３章（主な政策の取組実績と評価）、
２部１章（トピックとなる取組）関連）

5

サイバーセキュリティ2019（１部（2018年度報告） ３章）の概要
１部３章（主な政策の取組実績と評価）
１．経済社会の活力の向上及び持続的発展＜実績＞
経営層の意識改革を目的に、各省庁におけるセミナーや各種ガイドライン等の普及活動を実施
Society5.0の実現に必要なセキュリティ対策の全体像を示す業種横断的な施策となる「サイバー・フィジカル・セキュ
リティ対策フレームワーク」を策定
安全なIoTシステムの構築に向け、パスワード設定等に不備のあるIoT機器を調査及び注意喚起する取組を実施＜評価＞
業種横断的な指針の策定、安全なIoTシステムの構築については概ね当初の計画どおりに進捗。今後は、これらの取組がより効果的なものとなるよう、普及に向けた活動や整備した内容の見直しが必要となる。また、経営層の意識改革等については、業種・業態や企業の規模等によっては取組が十分とはいえないため、引き続き、各種取組を積極的に行っていくことが求められる。

２．国民が安全で安心して暮らせる社会の実現＜実績＞
重要インフラ防護範囲の見直しを実施したほか、官民の枠を超えた訓練・演習の実施等、行動計画に基づく各施策を継続して実施
政府機関等全体のセキュリティ対策強化に向け、統一基準群を改定したほか、CSIRT要員等の事案対処能力・知識を向上させる取組や、府省庁対抗による競技形式のサイバー攻撃対処訓練を継続して実施
2020年東京大会に向け、脅威・事案情報の共有等を担うサイバーセキュリティ対処調整センターを構築
多様な主体が相互に連携し、施策の推進に係る協議を行うためのサイバーセキュリティ協議会を組織＜評価＞
重要インフラ防護、政府機関等の対策強化、2020年東京大会のセキュリティ確保、従来の枠を超えた情報共有・連携体制の構築
等、各種取組は着実に進展。対処調整センターや協議会等、新たに取組を開始したものについては、今後の運用の中で、必要に応じてルールやシステムの見直しを行い改善していくことが求められる。

6

サイバーセキュリティ2019（１部（2018年度報告） ３章）の概要
１部３章（主な政策の取組実績と評価）
３．国際社会の平和・安定及び我が国の安全保障への寄与＜実績＞
法の支配の推進に寄与することを目指し、次会期国連政府専門家会合の方向性等を含め、国連におけるサイバーセキュリティに関する議論に積極的に貢献
中国を拠点とするAPT10といわれるグループによるサイバー攻撃に関し、米英等による非難声明を支持する形で外務報道官談
話を発出
13の国と地域の間で二国間協議を開催するとともに、多国間対話等を通じ、各国との連携を強化。また、事故対応等に係る国際連携の強化に向けた演習や能力構築支援を実施＜評価＞
サイバー空間における法の支配の推進や国際協調・協力の深化については、着実に進展。今後は、引き続き、有志国と連携し、次会期国連政府専門家会合への関与等を通じて、既に合意された規範について国際社会が実施するよう促していく必要がある。

４．横断的施策＜実績＞
サイバーセキュリティ人材の育成・確保を強化すべく、産学官の関係機関の間で情報共有・施策間連携を図り、戦略マネジメ
ント層や実務者層・技術者層の育成を推進
研究・技術開発に関する取組の具体化に向け、「我が国におけるサイバーセキュリティ研究・技術開発の取組方針」を策定「参加・連携・協働」の観点で、産学官民の有機的な連携に向け、「サイバーセキュリティ意識・行動強化プ
ログラム」を決定。また、「サイバーセキュリティ月間」において、TVアニメ『約束のネバーランド』とタイアップを行
い、ポスターやWebバナーの作成、イベント「抗え。この世界（インターネット）の脅威に。」を開催＜評価＞
人材育成については、戦略マネジメント層及び実務者層・技術者層の育成等の取組が着実に進展している中、継続して人材の育成・確保などを進めていく必要がある。研究開発については、新たに決定した研究・技術開発の取組方針に基づき、取組を推進していくことが求められる。普及啓発については、意識・行動強化プログラムを踏まえた若年層に重点を置いたキャンペーンやイベントが前年度と比較して大きな反響が得られたことも踏まえ、今後の検討を進めていくことが必要である。
7

サイバーセキュリティ2019（１部（2018年度報告） ３章）の概要
１部３章（主な政策の取組実績と評価）
５．推進体制＜実績＞
内閣サイバーセキュリティセンターを中心に、関係機関とのパートナーシップに基づく国内外のインシデント及びサイバー攻撃に関する情報の共有を推進するなど、関係機関の一層の能力強化を実施
新戦略の趣旨を国内外の関係者に向け効果的に発信することを目的に新戦略のカラー冊子を制作。カラー冊子を活用するなどして、計78件のイベント等で、国内の関係者6,500名超、国外の関係者1,500名超に対して新戦略の発信を実施＜評価＞
新戦略の国内外の関係者への更なる浸透を図るため、引き続き、取り組むことが重要。その効果的な実施に向けて、十分な現状把握の上で進めることが重要であり、関係機関との一層の連携の強化を図り、新戦略の発信等に取り組むことが求められる。

8

1.サイバーセキュリティエコシステム

コーポレートガバナンスの一環として、サイバーセキュリティ経営を位置づけ（経済産業省資料）＜2部2章 1.1 新たな価値創出を支えるサイバーセキュリティの推進関連＞

海外では投資家がサイバーセキュリティをビジネス上の大きな脅威と認識しており、経営層のサイバーセキュリティへの関わりを重要視。
このため、内部統制の一環としてサイバーセキュリティ対策の在り方を示すとともに、経営層のサイバーセキュリティへの関与状況も含めた取締役会の実効性評価を促進。

グループ内部統制システムの在り方として、親会社の取締役会レベルで、子会社も含めたグループ全体、更には関連するサプライチェーンも考慮に入れてセキュ
リティ対策を検討すべきと実務指針案に盛り込み

CGS研究会（第2期）＜平成29年12月に第一回を開催し、平成31年4月までに16回開催＞
直近のスケジュール： 第14回（2/12）ガイドライン骨子
第15回（3/15）ガイドラインとりまとめ素案
第16回（4/18）ガイドラインとりまとめ

実務者指針公表に向け最終調整中
９

1.サイバーセキュリティエコシステム

サイバーセキュリティ経営の実践(プラクティス集、可視化ツールの整備)（経済産業省資料）＜2部2章 1.1 新たな価値創出を支えるサイバーセキュリティの推進関連＞• 経営ガイドラインの重要10項目の実践事例に加え、セキュリティ担当者の日常業務における悩みに対する具体的対応策を提示したプラクティス集を公開（2019年3月）。
• 2019年度に、サイバーセキュリティ経営ガイドラインをベースとして企業のセキュリティ対策状況を可視化するツールを整備予定。
サイバーセキュリティ経営を実践するプラクティス集

サイバーセキュリティ経営ガイドラインVer2.0実践のための経営プラクティス集（IPA）

対策状況の可視化

サイバーセキュリティ
経営ガイドライン（METI、IPA）

可視化ツール【第一章】
経営とサイバーセキュリティ（経営者、CISO等向け）【第二章】
サイバーセキュリティ経営ガ
イドライン実践のプラクティス（CISO等、セキュリティ担当者
向け）
【第三章】
サイバーセキュリティ対策を推進する担当者の悩みと解決のプラクティス（セキュリティ担当者向け）

経営ガイドライン付録Aのチェック項目チェック項目の回答結果に応じて、対策状況を可視化し、他社の状況との比較※上記の図はイメージ（情報セキュリティベンチ
マーク（IPA）の引用）

10

1.サイバーセキュリティエコシステム

サイバーセキュリティ対策情報開示の手引きの策定（総務省資料）＜2部2章 1.1 新たな価値創出を支えるサイバーセキュリティの推進関連＞

民間企業のサイバーセキュリティ対策の情報開示の促進のため、民間企業にとって参考となり得る事例等をまとめた手引きを策定する。

目的

民間企業によるサイバーセキュリティ対策やその対策の情報開示の重要性の認識を促進する。
民間企業にとって参考になり得るような既存の開示の実例を事例集として示す。

活用主体

サイバーセキュリティ対策の情報開示に一定の関心のある民間企業の開示の実務担
当者等を想定。

対象とする
情報開示

開示書類を通じた情報開示を取り扱う。

内容

開示書類の読み手は、投資家、融資元、顧客・契約者・取引先、従業員、競合他社等を含む、社会全体の広範なステークホルダーを想定。

企業が取ることが望ましい対策項目を記載した上で、その開示に当たっての留意事項等について記載。
既に存在する開示の実例について、対策項目との関係性を明示して掲載する。
11

1.サイバーセキュリティエコシステム『サイバー・フィジカル・セキュリティ対策フレームワーク(CPSF)』の策定・公表（経済産業省資料）＜2部2章 1.2 多様なつながりから価値を生み出すサプライチェーンの実現関連＞• 2019年4月18日、『サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）Ver1.0』を策定・公表。
• 2度にわたる英文パブコメに対して海外からも多数のコメントが寄せられ、国際的認知も進展。
• CPSFで示した『3層構造モデル』、『リスクベースアプローチ』、『マルチステークホルダーアプローチ』
に対する期待が大きい。
CPSFが示した『3層構造』、『6つの構成要素』

第2回パブリックコメント（英語表記含む）の結果

構成要素

期間 ：2019年1月9日～2月28日
意見数：国内27、海外13（米国7、欧州6） から、
約500件

サイバー空間におけるつながり
【第３層】

ソシキ
ヒト

フィジカル空間とサイバー空間のつながり
【第２層】

モノ
データ
プロシー
ジャ
企業間のつながり
【第１層】

システム

CPSFにおけるリスク管理の考え方
機能（守るべきもの）

セキュリティ
インシデント

リスク源(構成要素ごとに整理)

対策要件＜主な意見＞•CPSFの3層構造モデル、リスクベースアプローチ、マルチステークホルダーアプローチ等に対する肯定
的な意見。

•

データ保護、ソフトウェアセキュリティ等、CPSFのより具体的な活用方法を求める意見。
12

1.サイバーセキュリティエコシステム

CPSFの具体化・実装の推進（経済産業省資料）＜2部2章 1.2 多様なつながりから価値を生み出すサプライチェーンの実現関連＞• CPSFの具体的適用に向け、『データ区分に応じたセキュリティ対策』、『転写機能を持つ機器・シス
テムに求められるセキュリティ対策』、『OSS（※）を含むソフトウェアの管理手法等』について、分野横断的な議論を行うタスクフォース(TF)を設置。
• 分野別サブワーキンググループ(SWG)の議論と連携し、CPSFの産業界における実装を推進。
※OSS：Open Source Softwareの略

13

1.サイバーセキュリティエコシステム『Proven in Japan』の促進：包括的なサイバーセキュリティ検証基盤を構築（経済産業省資料）＜2部2章 1.1 新たな価値創出を支えるサイバーセキュリティの推進関連＞• 「Proven in Japan」では、2つの方向を追求し、セキュリティビジネスの成長を促進。
① 有効性確認等を通じ、日本発のサイバーセキュリティ製品のマーケット・インを促進② IoT機器等の信頼性を高度に検証するハイレベル検証サービスの拡大

１．セキュリティ製品の有効性検証２．実環境における
試行検証

有効性
検証
ベンチャー等のセキュリティ製品

お試し製品
提供と検証
ベンチャー等検証
環境

実環境

３．攻撃型を含めたハイレベルな検証サービス
検証サービス
事業者＜イメージ＞

様々なIoT機器・システム等

攻撃型
検証等
・情報保全の髙信頼

民間事業者等のオフィス

信頼できるセキュリティ製品・サービス

世界に貢献する
高水準・高信頼の検証サービス
14

1.サイバーセキュリティエコシステム

中小企業・地域のセキュリティ対策強化に向けて（経済産業省資料）＜2部2章 1.1 新たな価値創出を支えるサイバーセキュリティの推進関連＞• サイバー攻撃の脅威は、資源・人材の限られる中小企業・地域も例外でない。
• サプライチェーン全体での対策を進めていくためには、各中小企業・地域の実態に応じた、徹底した中小企業の現場支援と、地域を支えるコミュニティ形成が必要。

商工会議所等と連携した実態把握

徹底した中小企業の現場支援

地域での人材育成・コミュニティ形成促進【地域を支える人材の育成】【事前支援】
・中小企業ガイドラインやセキュリティアクション（6.7万社 ・高専機構等との産学官連携による人材育成推進
・産業サイバーセキュリティセンター（ICSCoE）の地域
が自己宣言※）※2019年2月時点
へのアウトリーチ
・登録セキスペの企業派遣・マネジメント支援【地域コミュニティの形成】【事後支援】
・コラボレーションプラットフォームの地域展開
・サイバーセキュリティお助け隊
・地域の登録セキスペやICSCoE修了生との連携
各地域の実態に応じた
取組の推進

15

1.サイバーセキュリティエコシステム 中小企業における現場対応の徹底支援（経済産業省資料）＜2部2章 1.1 新たな価値創出を支えるサイバーセキュリティの推進関連＞• セキュリティ対策を始めるに当たって何をやればいいのかわからない、そういった悩みをもつ中小企業に対し、専門家を派遣し、セキュリティポリシーの策定を支援。
• インシデントが発生してしまったが対処方法がわからない、そんな中小企業の事後対応を支援する
簡易保険の実現を目指し、サイバーセキュリティお助け隊による支援体制を構築。
特定

防御

検知

対応

復旧

主に事前支援（セキュリティ専門家派遣）

主に事後支援（サイバーセキュリティお助け隊）

・中小企業に専門家を派遣し、実践的なセキュリティ対策の定着につなげる。

・中小企業がサイバー攻撃等で困った時の相談窓口、駆けつけ支援体制を構築。
・将来的な民間サービスとしての自走を目指し、今年度は８地域で実証。
・今年度の結果を踏まえ、来年度以降、全国展開を目指すための方策を実施。
お助け隊チーム

IPA

中小企業

中小企業

損保会社

教育

対策支援

（主にポリシー策定支援、4回/1社）

情報処理安全確保支援士（登録セキスぺ）・普及啓発説明会の開催、・相談窓口設置、一次対応、・簡易保険の在り方の検討

連携相談

ITベンダー

・専門知見が必要な事案の対応、駆けつけ支援、・セキュリティ機器の設置及び監視駆けつけ等の対応支援
16

1.サイバーセキュリティエコシステム

産業サイバーセキュリティセンター（ICSCoE）（経済産業省資料）＜2部2章 4.1 人材育成・確保関連＞

2017年4月、IPAに産業サイバーセキュリティセンターを設置し、IT系・制御系に精通した専
門人材の育成を開始。
世界的にも限られている、制御系セキュリティにも精通する講師を招き、テクノロジー、マネジメ
ント、ビジネス分野を総合的に学ぶ1年程度のトレーニングを実施。
中核人材育成プログラム- 年間スケジュール

１年を通じた
集中トレーニング

7月

8月

9月

10月

プライマリー(レベル合わせ）

11月

12月

ベーシック
（基礎演習）

1月

2月

3月

アドバンス
(上級演習）

4月

5月

6月

卒業
プロジェクト
修了式

開講式

ビジネス・マネジメント・倫理
プロフェッショナルネットワーク（含む海外）◀模擬プラント
全景

第１期受講生(平成29年7月～平成30年6月)
業界別構成

第２期受講生(平成30年7月～令和元年6月）
業界別構成〇 IT系・制御系に精通した専門人材の育成〇 模擬プラントを用いた対策立案〇 実際の制御システムの安全性・信頼性検証等〇 攻撃情報の調査・分析

現場を指揮・指導するリーダーを育成

76人

83人

17

1.サイバーセキュリティエコシステム•••

サイバーセキュリティ経営を進める戦略マネジメント層の育成（経済産業省資料）＜2部2章 4.1 人材育成・確保関連＞

経営層が示す戦略の下、事業継続と価値創出に係るリスクマネジメントを中心となって支える立場
である「戦略マネジメント層」の育成が急務。
このため、2018年度においては、IPA産業サイバーセキュリティセンターや一橋ビジネススクールICSの協力で戦略マネジメント層向けのセミナー・カリキュラムを実施。
2019年度においても、引き続き、戦略マネジメント層を育成する取組を進める。

一橋ビジネススクールICS協力「デジタル・トランスフォーメーション
時代における人材育成プログラム」

産業サイバーセキュリティセンター
「戦略マネジメント系セミナー」•

平成30年11月～12月（全７回）•

１７名（うち６名は部長以上）が参加•

平成30年9月～１1月（全12日間※修了式除く）•

前半は専門家からの講義、後半はケース討議（グループディスカッション）の２部構成で実施
アンケート調査の結果、参加者の約９割が有意義であったと回答•

官民合わせて30社が参加•

DXに関するリテラシーが向上し、参加者間でのネットワークが構築

•18

1.サイバーセキュリティエコシステム

重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針(第５版)等の改定案について（NISC資料）＜2部2章 2.2 官民一体となった重要インフラの防護関連＞

安全基準等策定指針（平成30年４月４日本部決定）
改定の必要性の主な背景【改定案】（平成31年４月18日重要インフラ専門調査会にて承認）

・2018年は各地で複数の自然災害が発生し、重要インフラ事業者等においても、地震や台風によって、重要インフラサービスの停止等に繋がる被害が発生した。災害による直接的な被害だけでなく、大規模停電に伴う間接的な被害を受ける事態なども発生した。
・様々なデータの活用のために円滑なデータ流通が重要である一方、データ管理に関するルールの策定が世界各地で進められており、これらの国際的な規制等の動向も踏まえた望ましいデータ管理の在り方を検討する必要がある。

サイバーセキュリティ戦略（平成30年7月27日閣議決定）
4.2 国民が安全で安心して暮らせる社会の実現
4.2.2 官民一体となった重要インフラの防護(1)行動計画に基づく主な取組②重要インフラ事業者等における適切な対応を促進するため、国は、安全基準等を策定するための指針を浸透させる取組を行うとともに、データの管理の状況に関する調査や国際動向も踏まえた望ましいデータ管理（略）を含め、安全基準等を改善する取組を継続的に推進する。

【2018年の災害に起因する重要インフラサービス
障害例及びシステム不具合等の事案】●大規模停電●空港ビル（設備停止） 等●電力Ｗｅｂサイト：停電情報が更新できない●鉄道Ｗｅｂサイト：運行状況が更新できない●通信事業者：データセンター停電（一部サーバー5時間停止）

１．災害による障害の発生しにくい設備の設置及び管理
重要インフラサービスの提供に係る情報システム、データセンター等の設備については、各種災害による障害が発生しにくい配置とする等、災害が発生した場合であっても被害を低減できるような防止対策を事前に検討・実施すること
により、適切な設備の設置及び管理を行う仕組みを構築する。
２．データ管理システムのリスク評価に応じてデータの適切な保護や保管場所の考慮をはじめとした望ましいデータ管理を行う。
また、事業環境の変化を捉え、インターネットを介したサービス（クラウドサー
ビス等）を活用するなど新しい技術を利用する際には、国内外の法令や評価制度等の存在について留意する。
（加えて、指針の関連文書である「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書」の別紙に、具体的な事象（脅威）の例及びリスク源の例として「法令・政策の不認識」を追記する。）
３．その他
空港分野の追加等に伴い、所要の改正を行う。

【データ管理(国際動向）】
EU
GDPR（一般データ保護規則）
米国
FISMA(連邦情報セキュリティ
マネジメント法)中国
サイバーセキュリティー法※出典：第６回官民データ活用推進戦略会議
合同会議 参考資料【指針及びリスクアセスメント手引書】
重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針
重要インフラサービスの安全かつ持続的な提供の実現を図る観点から、分野毎に事業所管省
庁や業界団体等が作成する「安全基準等」において規定が望まれる項目を整理・記載したもの
重要インフラにおける機能保証の考え方に基づく
リスクアセスメント手引書
機能保証の考え方に基づくリスクアセスメントの観点や具体的な作業手順等を記載したもの

19

1.サイバーセキュリティエコシステム 「サイバーセキュリティ意識・行動強化プログラム」(概要)について(NISC資料)＜2部2章 4.3 全員参加による
協働関連＞

１ はじめに「サイバーセキュリティ戦略」(2018年7月閣議決定)に基づき、普及啓発について、2020年東京オリンピック・パラリンピック競技大会を見据えつつ、産学官民の関係者が円滑かつ効果的に活動し、有機的に連携できるよう、本プログラムを策定。

２ 現状①個人：AIやIoTの「生活」への浸透に伴い、インターネット利用への不安感が拡大。一方、具体的な対策の実施に十分に結びついていない。
②企業：中小企業では、特に規模の小さい企業ほど担当者が置かれない場合も多いなど、取組が遅れている。
＜セキュリティ対策の実施状況＞＜インターネットの利用に関連するトラブルへの不安感＞

５割に達していない

60%

不安がある（67.6%）

2018年

50%

45.4%

44.1%

2017年

40%
不安がある

わからない

どちらかといえば 不安はない
どちらかといえば
30%
不安はない
不安がある
(出典)インターネットの安全・安心に関する世論調査（内閣府、2018年11月）「2018年度情報セキュリティの脅威に怪しいと思われるウェブサイト 対する意識調査」（IPA)を元に作成にはアクセスしないによるセキュリティパッチの更新の導入・使用添付ファイルは開かない
３ 今後の取組の基本的な考え方
・対策に関する情報が国民一人一人や中小企業に必ずしも行き届いていない、いわば「サイバーセキュリティのラストワンマイル」の状況。
・「３つの視点」から取組を推進：①継続的な実施、②対象に合わせた適切なツール・コンテンツの提供、③関係者間の連携の促進
Windows Updateなど

セキュリティソフト・サービス

不審な電子メールの４ 具体的取組の推進(1) 基本的な対策の徹底(2) 重点的な対象とその内容(3) 情報発信・相談窓口の充実

・個人や企業が取組の必要性を自覚し、当たり前のこととして取組を講じる状態を目指し、必要な対策を継続的に伝える・様々な対象に幅広く実施することを前提としつつ、以下の対象について、重点的に取組を実施①中小企業 中小企業のトラブル対応を支援する「サイバーセキュリティお助

・最新の脅威の情報・対策の適時かつ迅速な発信や相談できる窓口の確保
等、自ら取り組むための環境を整備（取組の一例）「インターネットを安全に利用するための情報セキュリティ対策
９か条」（2015年2月 NISC・IPA）の各種取組への浸透

け隊」の地域実証、 「SECURITY ACTION」活用の促進、中小企業支援ネットワークによる啓発等（取組の一例）NISCにおけるSNSによる情報発信②若年層 無自覚なまま加害者になることを防ぐためのリテラシー向上の取組、先端的人材育成施策の推進③地域における取組の支援 産学官連携型の取組の活性化、高専学生によるボランティア活動等

高専学生によるボランティア活動（提供：警察庁）

５ 連携体制の強化
・NISCをはじめとした関係機関が連携し、ラストワンマイルに情報が行き着くよう配慮しつつ取組を推進①ポータルサイトによる取組の見える化・連携推進 ②ツール・コンテンツの共有 ③サイバーセキュリティ月間の推進 ④国際的連携の強化、⑤ＰＤＣＡによる継続的改善

・官民の様々な取組を集約するポータルサイトを構築し、対象となる層や伝達手法の見える化及び連携を推進
・個別施策の実施状況に加え、個人や企業の対策の実施状況等を分析し、本プログラムの内容・効果の定期的な評価、見直しを実施20

1.サイバーセキュリティエコシステム IoT機器の技術基準へのセキュリティ対策の追加及びガイドラインの策定(総務省資料)＜2部2章 1.3 安全なIoTシステムの構築関連＞

今後製品化されるIoT機器がパスワード設定の不備等により悪用されないようにする対策として、
IoT機器の技術基準※1にセキュリティ対策を追加するための省令改正を行う※2。
※1 電気通信事業法では、電気通信事業者のネットワークに接続して使用する端末設備は、総務省令（端末設備等規則）で定める技術基準に適合しなければならないこととされている。
※2 IoT機器のセキュリティ対策の内容は、情報通信審議会等に諮問して検討を実施（2018年２月～2019年１月）。

【端末設備等規則（省令）の改正概要】
インターネットプロトコルを使用し、電気通信回線設備を介して接続することにより、電気通信の送受信に係る 機能を操作することが可能な端末設備について、最低限のセキュリティ対策として、以下の機能を具備することを技術基準（端末設備等規則）に追加する。
① アクセス制御機能※1（例えばアクセス制限をかけてパスワード入力を求め、正しいパスワードの入力時のみ制限を解除する機能のこと）② 初期設定のパスワードの変更を促す等の機能③ ソフトウェアの更新機能※1
又は ①～③と同等以上の機能※2※1 ①と③の機能は、端末が電源オフになった後、再び電源オンに戻った際に、出荷時の初期状態に戻らず電源オフになる直前の状態を維持できることが必要。
※2 同等以上の機能を持つものとしては、国際標準ISO/IEC15408に基づくセキュリティ認証(CC認証)を受けた複合機等が含まれる。

PCやスマートフォン等、利用者が随時かつ容易に任意のソフトウェアを導入することが可能な機器については本セキュリティ対策の対象外とする。
【スケジュール】
本年３月１日に改正省令を公布。来年（2020年）４月１日に改正省令を施行。
改正省令の運用方法や解釈等を定めるガイドラインも策定予定（本年４月目途）。

21

1.サイバーセキュリティエコシステム サイバー攻撃に悪用されるおそれのあるIoT機器の調査及び注意喚起(総務省資料)＜2部2章 1.3 安全なIoTシステムの構築関連＞
２．積極的サイバー防御

サイバー攻撃に悪用されるおそれのある機器を調査（※１）し、利用者への注意喚起を行う取組「NOTICE（※２）」を開始。
※１：サイバー攻撃に悪用されるおそれのあるIoT機器の調査等を実施するため、国立研究開発法人情報通信研究機構法を平成30年5月に改正。
※２：National Operation Towards IoT Clean Environment① NICTがインターネット上のIoT機器に容易に推測されるパスワードを入力する等により、サイバー攻撃に悪用されるおそれのある機器を特定。
② 当該機器の情報を電気通信事業者に通知。
③ 電気通信事業者が当該機器の利用者を特定し、注意喚起を実施。

22

1.サイバーセキュリティエコシステム

サイバー空間における法の支配の推進への取組み（NISC資料）＜2部2章 3.1 自由、公正かつ安全なサイバー空間の堅持関連＞

国連サイバー政府専門家会合（UNGGE）への参加
サイバー空間における国際法の適用、規範の形成に積極的に関与
2013年9月には、サイバー空間においても既存の国際法が適用されるとする報告書（第3会期）が提出された。
2015年9月の報告書（第４会期）では、2013年の報告書の内容を踏まえつつ、国家の責任ある行動規範に係る章において具体的なルールに係る勧告が盛り込まれているほか、ICTの使用に対する国際法の適用に係る章において、「国家が国際法に従って、かつ、国連憲章で認められた形でとり得る固有の権利に留意する」ことが明記された。
ただし、2016年～2017年の第5会期では、国際法の適用のあり方等についてコンセンサスを得られなかった。
2018年国連総会決議に基づき、2019年に第6会期が立ち上がる予定。

サイバーに関する新たなG7作業部会（G7伊勢志摩サイバーグループ）の立ち上げ
サイバーセキュリティ環境及びＧ７各国のサイバーセキュリティ関連政策に係る情報共有並びにG７の政策調整に関する議論とサイバー空間における法の支配を促進するための国際的議論の加速を目的として設置。
２０１６年５月G7伊勢志摩サミットの首脳宣言及び附属文書において，以下を確認。
・国連憲章をはじめとする既存の国際法のサイバー空間への適用を確認するとともに，サイバー空間を通じた武力攻撃に対し，国連憲章第５１条で認められた個別的又は集団的自衛権が行使可能である。
２０１７年４月Ｇ７ルッカ外相会合の外相共同コミュニケ及び「サイバー空間における責任ある国家の行動に関するG7（ルッカ）宣言」において，以下を確認。
・国際違法行為を行った国家に対して均衡性のある対抗措置をとり得る。
・事実を評価し，他の国家にサイバー行為を帰属させることについて国際法に従って独自の決定を自由に行うことができる。
２０１８年４月G7トロント外相会合の外相共同コミュニケ及び「G7伊勢志摩サイバーグループ会合議長報告書」において，以下を確認。
• 悪意のあるサイバー行為を阻止し，抑止し，妨げ，対抗するための措置を展開するために協働し，適時にコストを課すことで，悪意のあるサイバー行
為を行う者を抑止する。

サイバー犯罪条約の締約国の拡大・推進
迅速かつ効果的な捜査共助等の法執行機関間における国際連携の強化。
国境を越えるサイバー犯罪者の検挙に向けた国際協力の推進。

その他、GCSC、GCCS等、各種国際会議への参加

23

1.サイバーセキュリティエコシステム

能力構築支援（NISC資料）＜2部2章 3.3 国際協力・連携関連＞

NISC及び関係省庁は、主にASEAN諸国向けに各種の能力構築支援プロジェクトを主催または支援。昨年の主な取り組みは以下の通り。

日 ASEAN
政策会議

分類

名称

実施時期

実施組織

短期研修

情報連絡演習

5月

NISC

机上演習

7月

NISC

CIIPワークショップ

7月

NISC

ASEAN地域のサイバーセキュリティ対策強化のための政策能力向上

2月

JICA

サイバー攻撃防御演習

2月

JICA

日ASEAN・サイバーセキュリティ能力構築センター(AJCCBC)

9月～

総務省・ETDA(タイ)制御システムに係るASEAN等向け日米サイバー共同演習

9月

経産省

日・ASEAN ISP向け情報セキュリティワークショップ

総務省

情報
共有

APTサイバーセキュリティ技術研修

10月

APT(*1)DAEDALUS ： サイバー攻撃アラートシステム

通年

総務省

TSUBAME ： インターネット定点観測システム

通年

JPCERT/CC

日・ASEAN首脳会議（2016年9月7日）
安倍総理席上発言: 「サイバーセキュリティの確保のため、能力構築支援の方針を策定し、引き続きオールジャパンでASEANを支援していく」
議長声明: 「ASEAN諸国のサイバーセキュリティ確保の取組みに対する日本の積極的な支援の決意を歓迎」

日・ASEAN首脳会議（2018年11月14日）
安倍総理席上発言: 「本年9月、バンコクに日ASEANサイバーセキュリティ能力構築支援センターを構築するなど、サイバー分野でも協力していく」
議長声明: 「サイバーセキュリティを含む非伝統的安全保障上の課題及び伝統的犯罪に対処すべく、引き続き協力強化を決意。産業制御システムに係
る日米共同サイバーセキュリティ演習を東京で実施したことに関し、日本の産業サイバーセキュリティセンター（ICSCoE）を称賛。ARF会期間会合
24
並びに日ASEANサイバーセキュリティ能力構築支援センターの開設といった進捗を歓迎」

1.サイバーセキュリティエコシステム

国際連携（警察庁資料）＜2部2章 3.1 自由、公正かつ安全なサイバー空間の堅持、国際協力・連携関連＞

外国捜査機関・国際機関との連携○ 捜査協力・・・国際捜査共助（外交、刑事共助条約、サイバー犯罪条約）、
ＩＣＰＯ、Ｇ７・24時間コンタクトポイント○ 国際機関等への職員派遣・・・ＩＧＣＩ（在シンガポール）、
米国研究機関等

ＩＧＣＩ

能力構築支援（キャパシティ・ビルディング）○ ＪＩＣＡ課題別研修・・・サイバー犯罪対処能力の向上を目指した研修○ ベトナム公安省への支援・・・ベトナム公安省を対象にサイバーセキュ
リティ及びサイバー犯罪対処能力強化を目指した研修ベトナム公安省への研修

国際会議への参画等○ 二国間協議（サイバー対話・協議）・・・主に欧米、アジア、中東○ 多国間会合・・・Ｇ７ローマ／リヨン・グループ（ハイテク犯罪サブ・グループ）
欧州評議会サイバー犯罪条約締約国委員会

Ｇ７ローマ/リヨン・グループ25

1.サイバーセキュリティエコシステム

国際連携の推進（総務省資料）＜2部2章 3.1 自由、公正かつ安全なサイバー空間の堅持、国際協力・連携関連＞■ASEAN各国との連携
実践的サイバー防御演習「CYDER」等の海外展開を通じたセキュリティ人材の育成支援（日ASEANサイバーセキュリティ能力構築センター
等）を推進するとともに、各種会議等を通じて、我が国及びASEANにおけるサイバーセキュリ
ティの脅威をめぐる状況やIoTセキュリティ対策
に関する情報交換を行うほか、ASEAN側のニーズを踏まえつつ、ASEANにおけるIoTセキュリ
ティ強化に向けた施策の導入・促進のための協力を推進。

■国際的なISAC間連携
国際連携ワークショップの開催等を通じて、日本のICT-ISACと米国のICT分野のISACとの連携を強化し、通信事業者、IoT機器ベンダー、セキュリティ
ベンダー等が、AIS（Automated Indicator Sharing）
等を介して脅威情報を自動的に共有し、サイバーセ
キュリティ対策への活用を促進。
日本

受付・配布
インディケータICT-ISAC■国際標準化の推進
ISO/IEC（国際標準化機構/国際電気標準会議）及びITU-T（国際電気通信連合電気通信標
準化部門）における、IoTシステムのセキュリティに係る国際標準化に関する活動に積極的に貢献。

金融ISAC
インディケータ

米国

米国ISACISAC間脅威情報共有のイメージ■サイバー空間における国際ルールを巡る議論への積極的参画
様々なチャネ ルを通じて進められてい る、サイバー空間における国際ルール等に関する議論へ積極的に参画。
26

1.サイバーセキュリティエコシステム

国際連携（経済産業省資料）＜2部2章 3.3 国際協力・連携関連＞

１．ASEAN等向け日米サイバー演習（2018年9月）
制御システムのサイバーセキュリティに関する日米専門家による講義・演習を実施。
多国間連携のシンボル事業として、2019年度も開催に向けて準備中。
＜昨年度の例＞

OTセキュリティの基礎を学習

制御システムを用いた演習

模擬プラントを用いた講義

プラクティス共有等

２．ASEAN等へのセキュアな電力制御システム（SCADA）の導入に向けた取組
ASEAN等においてサイバー攻撃に強い電力制御
システム（SCADA）の導入のため、企画・計画
段階から現地の電力企業を支援。

３．ASEAN諸国サイバーエコシステム健全性分析調査

東アジア・ASEAN経済研究センター（ERIA）が中心となり、米国のNPOとも連携し、ASEAN各国のネットワークやサーバー等のインターネットインフラの健全性やセキュリティ状況に関する分析レポートを作成。
27

1.サイバーセキュリティエコシステム

国際連携（防衛省資料）＜2部2章 3.2 我が国の防御力・抑止力・状況把握力の強化、国際協力・連携関連＞

近年、サイバー攻撃の態様は、より一層複雑化・巧妙化・高度化。また、国境を越えるサイバー空間の脅威に対しては、国際的に連携して対処していく必要。
サイバー攻撃は、自衛隊や米軍の任務遂行の場面において大きな阻害要因等となり得ることから、今後日米防衛協力を一層推進していく上で、サイバー空間の安定的かつ効果的な利用の確保は重要。
日米サイバー協力の主要枠組み
日米サイバー対話

日米サイバー防衛政策
ワーキンググループ（政府間の包括的な協議）（防衛当局間の政策協議）

日米ITフォーラム

日米情報保証
実務者定期協議（防衛当局間の情報通信分野に関する協議）（統幕、在日米軍間の協議）

脅威情報の
共有

重大事案へ
の共同対処

両政府全体の取組＋自衛隊・米軍による取組

日米サイバー防衛協力の主要成果

日米サイバー協力の深化
日米防衛協力のための指針（平成27年4月）
サイバー空間に関する協力の項を新たに設け、情報共有等、今後の日米のサイバー協力に関する方向性を記述

日米ｻｲﾊﾞｰ防衛政策ﾜｰｷﾝｸﾞｸﾞﾙｰﾌﾟ共同声明（平成27年5月）

重要インフラの防護

共同演習

サイバーに係る脅威認識を共有した上で、重大なサイバー事案への対処、役割・任務、情報共有、重要インフラ防護等、防衛省＝国防省間における具体的な協力分野を記述。
この他、シンガポール、ベトナム、インドネシアとの防衛当局間でITフォーラムを実施するとともに、英国、NATO、エストニア、豪等との間で、
28
防衛当局間によるサイバー協議を設け、脅威認識やそれぞれの取組に関する意見交換を実施。

1.サイバーセキュリティエコシステム 「サイバーセキュリティ研究・技術開発取組方針」（概要）について(NISC資料)＜2部2章 4.2 研究開発の推進関連＞「サイバーセキュリティ戦略」（2018年7月閣議決定）に基づき、戦略期間中の実践的な研究・技術開発に関する取組の具体化を図るという目的のもと、研究開発戦略専門調査会において「サイバーセキュリティ研究・技術開発取組方針」を策定。

取り組むべき課題(1)サプライチェーンリスクの増大(2)サイバーセキュリティ自給率の低迷(3)研究・技術開発に資するデータの活用(4)先端技術開発に伴う新たなリスクの出現(5)産学官連携強化の必要(6)国際標準化の必要（参考）セキュリティ関連製品の地域別市場シェア（2016年）（出典）拡大するサイバーセキュリティ市場（JETRO)
https://www.jetro.go.jp/biz/areareports/2018/1fb2ecd606c590e5.html

今後の取組強化の方向性①サプライチェーンリスクへ対応するためのオールジャパンの技術検証体制の整備③攻撃把握・分析・共有基盤の強化②国内産業の育成・発展に向けた支援策の推進

・耐量子計算機暗号や量子暗号等の安全なセキュリティ技術、IoTデバイ
スにて活用可能な暗号技術の研究・開発
・暗号技術、暗号・セキュリティ製品やモジュール認証等の国際標準化促進

・サイバー攻撃を迅速に把握するための観測技術の高度化や、AI等の活用による分析・解析技術の効率化・自動化（NICTER、STARDUST等）
・ICT機器・サービスの信頼性・有効性を検証するためのオールジャパンの体制整備 ・サイバー攻撃の把握・分析データを共有する基盤（CURE）構築
・ハードウェア・ソフトウェア両面の検証技術の研究開発・実用化（5Gセキュリティ、
チップ脆弱性検知、エッジからクラウドに至るまでのハードウェアセキュリティ）④暗号等の基礎研究の促進
・「Proven in Japan」の推進に向けた、日本発のサイバーセキュリティ製品・サービスの創出・活用及び信頼性を検証するための包括的検証基盤の構築
・中小企業のニーズに対応したビジネス創出のための支援（サイバーセキュリティお助け隊、コラボレーション・プラットフォーム）⑤産学官連携の研究・技術開発のコミュニティ形成
・産学官によるコミュニティの形成及び諸外国との連携に向けた検討

・上記の取組強化の方向性に沿って、関係省庁が連携して、具体的・実践的な研究開発を推進
・個別の研究・技術開発の成果の創出に留まらず、社会実装までのプロセスを念頭に置きつつ推進するとともに、国民社会におけるサイバーセキュリティに関する意識向上に向けた取組も併せて実施
・研究開発戦略専門調査会において定期的に評価を行い、必要に応じて方針の見直しを実施
29

1.サイバーセキュリティエコシステム

NICTにおけるアドバンスト・サイバーセキュリティ技術（総務省資料）＜2部2章 4.2 研究開発の推進関連＞◆サイバー攻撃観測技術（NIRVANA改）・ 組織内にセンサーを設置して組織内の通信状況をリアルタイムに可視化するもの。
・ ネットワーク内での異常検知時に通信を自動遮断する技術等を開発中。

◆機械学習等の応用
データセットの構築（例）■ダークネット関連データ

未使用IPアドレスへの攻撃関連通信データ等

DB■マルウェア関連データ

マルウェア検体等、静的・動的解析結果等

DB

機械学習の活用（例）■特徴選択

多様な特徴情報から最も影響力の強い特徴情報を特定
特徴
情報
１

特徴
情報
２
特徴
情報
３

特徴
情報２

■SVM（サポートベクタマシン）

特徴情報に基づき、機械学習（SVM等）を用いて、データを分類

研究開発成果攻撃パターンの分析やマルウェアの動作・影響分析等を自動化（事例１）DDoS攻撃の発生検知

ダークネットトラフィックにおける特徴情報を効果的に特定することで、DDoS攻撃の発生を早期に検知（事例２）パッカーの特定

マ ルウ ェア が どのよ うなパ ッ カー
（難読化ツール）を利用しているかを特定30

1.サイバーセキュリティエコシステム

サプライチェーンサイバーセキュリティに係る研究開発の推進（経済産業省資料）＜2部2章 4.2 研究開発の推進関連＞• 総合科学技術・イノベーション会議の戦略的イノベーション創造プログラム（SIP）を活用した研究開発を着実に実施すると共に、研究開発事業を拡充。
• 産業技術総合研究所にサイバー・フィジカル・セキュリティの中核的な研究開発拠点を開設。研究成果の実装のための認定・認証体制の強化を推進。
SIP第2期 「IoT社会に対応したサイバー・フィジカル・セキュリティ」
プログラムディレクター：後藤 厚宏 情報セキュリティ大学院大学 学長

セキュアな「Society5.0」実現に向けて、サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）の社会実装に求められる、IoTシステム・サービス及び大規模サプライチェーン全体を守る対策基盤の開発・実証。
産総研 サイバーフィジカルセキュリティ研究センター（2018年11月設立）
研究センター長：松本 勉 横浜国立大学 教授
バリューチェーンにおけるセキュリティで必要となる「研究開発」～「評価制度」まで技術面からサポート。
セキュリティを測定可能とする研究、継続的な最新技術／知見の蓄積。

31

２．積極的サイバー防御2019年（平成31年）１月24日

IT調達に係る国の物品等又は役務の調達方針及び調達手続に
サイバーセキュリティ戦略本部報告
関する申合せ等について（ＮＩＳＣ資料）＜2部2章 2.3 政府機関等におけるセキュリティ強化・充実関連＞

サプライチェーン・リスクとは
情報通信機器等の開発や製造過程において、情報の窃取・破壊や、情報システムの停止等の悪意のある機能が組み込まれる懸念。
さらに、納入後においても、情報システムの特徴として、事後的な運用・保守作業により、製造業者等が修正プログラムを適用する等、調達機関が意図しない、不正な変更が行われる可能性。

サプライチェーン・リスク対策の重要性「サイバーセキュリティ戦略」において、サプライチェーン・リスク対策の重要性について言及。
「政府統一基準群」において、サプライチェーン・リスク対策に係る考え方を記載。
～

政府機関等の対策基準策定のためのガイドラインの解説（遵守事項5.1.2(1)(a)”「不正な変更が加えられない」について”に係る解説）から抜粋～「開発・製造過程において悪意ある機能が組み込まれる懸念が払拭できない機器等、及びサプライチェーン・リスクに係る懸念が払拭できない企業の機器等を調達しないことが求められる。」「サプライチェーン・リスク対策」のより具体的な方策として全省庁による「申合せ」を決定。
（平成３０年１２月１０日

サイバーセキュリティ対策推進会議（第16回）各府省情報化統括責任者連絡会議（第81回）合同会議）

１．適用対象：重要性の観点から５類型を提示。
① 国家安全保障及び治安関係の業務を行うシステム② 機密性の高い情報を取り扱うシステム並びに情報の２．適用時期：平成31年度予算に基づき平成31年４月１日
漏洩及び情報の改ざんによる社会的・経済的混乱を招く
以降に調達手続（公告等）が開始されるもの。
おそれのある情報を取り扱うシステム
３．調達手続の流れ：③ 番号制度関係の業務を行うシステム等、個人情報を極めて大量に取り扱う業務を行うシステム
ｰ 「総合評価落札方式」や「企画競争」等を用い、RFIやRFPと④機能停止等の場合、各省庁における業務遂行に著しいいった事前の情報取得や、審査の過程において、必要な情報を
影響を及ぼす基幹業務システム、LAN等の基盤システム
入手し評価することにより、サプライチェーン・リスク対策を実施。 ⑤ 運営経費が極めて大きいシステム
ｰ 必要に応じて、情報通信技術（ＩＴ）総合戦略室及び内閣サイバーセキュリティセンターから、講ずべき必要な措置について助言を実施。
32

２．積極的サイバー防御

防衛産業に適用される調達に関する情報セキュリティ基準の整備（防衛省資料）＜2部2章 3.2 我が国の防御力・抑止力・状況把握力の強化関連＞

取組の背景・経緯⃝ 現在、防衛省においては、「保護すべき情報」（注意・部内限り）を取り扱う契約企業に対し、特約条項に基づき、防衛省の情報セキュリティ基準（ ISO（国際標準化機構）の情報セキュリティ基準（ISMS）がベース）の遵守を義務付け⃝ 他方、サイバー攻撃の脅威が増大する中、米国の国防調達においては、保全が必要な情報（CUI※）を取り扱う全ての調達先企業（下請企業を含む）に対し、2017年末までにNIST SP800-171（ ISMSより強化された米国の情報セキュリティ基準）の要求事項を満たすことを義務化（※ Controlled Unclassified Information：保護すべき非秘密情報）⃝ NIST SP800-171を満たすことが、今後の米国等との国際共同研究・開発への参加を継続する最低条件となる可能性○ 平成29年に主要な防衛関連企業等との間で「官民検討会」を設置し、我が国の防衛調達における情報セキュリティ強化の方策について検討を実施○ その結果を踏まえ、契約企業が「保護すべき情報」を取り扱う際に適用する防衛省の情報セキュリティ
基準(※)について、令和元年度にNIST SP800-171と同程度まで強化する改正を行うことを検討（改正後、所要の準備期間を経て施行することを検討）※具体例（安全な情報共有を確保する仕組み）
新たな情報セキュリティ基準においては、官民の間で電子メールによって「保護すべき情報」の情報共有する場合、のぞき見防止のための暗号化
33及びなりすまし防止のための電子証明書を利用した仕組みを導入することも検討２．積極的サイバー防御

脆弱性関連情報等の届出制度（経済産業省資料）＜2部2章 2.1 国民・社会を守るための取組関連＞• 「ソフトウエア製品等の脆弱性関連情報に関する取扱規程」（経済産業省告示（2017年改訂））に基づく脆弱性関連情報等の届出受付を実施。（2004年～）• コンピュータウイルス、コンピュータ不正アクセス等による被害を抑制するため、関係機関との連携の下、脆弱性関連情報の適切な流通を実現するための取組みを実施。
• 脆弱性対策情報ポータルサイト（JVN）における対策情報等の公表、対策ツールの提供などを通じ、脆弱性対策を推進。

※IPA：独立行政法人情報処理推進機構、JPCERT/CC：一般社団法人 JPCERTコーディネーションセンター、産総研：国立研究開発法人産業技術総合研究所

34

サイバー攻撃誘引基盤（STARDUST）の構築（総務省資料）

２．積極的サイバー防御＜2部2章 2.2 官民一体となった需要インフラの防護関連＞○ 高度かつ複雑なサイバー攻撃に対処するため、政府や企業等の組織を模擬したネットワークに攻撃者を誘い込み、攻撃者の組織侵入後の詳細な挙動をリアルタイムに把握することが可能な、高度なサイバー攻撃誘引基盤を構築。
○ 攻撃活動の早期収集や未知の標的型攻撃等を迅速に検知する技術等の実証を行うための研究開発
環境を、情報通信研究機構（NICT）に整備。分析結果は、セキュリティ対策機関等と連携して情報共有を図り、安全なサイバー空間を実現。

システムイメージ
実ネットワークA

２）模擬環境へ移して実行
ダミー
ネットワークA３）観測・分析

攻撃者
１）攻撃を実施

実ネットワークC
実ネットワークB

し

攻撃を継続
ダミー
ネットワークB

ダミー
ネットワークC①模擬環境の自動生成機能の開発

サイバー攻撃誘引基盤
サーバ群②動的な観測・分析機能の開発③観測・分析情報の情報共有35

２．積極的サイバー防御

サイバーセキュリティ協議会について（NISC資料）＜2部2章 2.6 従来の枠を超えた情報共有・連携体制の構築関連＞

サイバーセキュリティ基本法の一部を改正する法律が成立～民間企業等が情報共有をためらう要因となっているデメリットを、法律上の措置によって除去～

概要※ 2019年４月1日施行

・官民の多様な主体が相互に連携し、サイバーセキュリティに関する施策の推進に係る協議を行うための協議会を創設※
・構成員に対して守秘義務及び情報提供義務を適用する等の措置を講ずる。 ※サイバーセキュリティ戦略本部長及びその委嘱を受けた国務大臣が組織
サイバーセキュリティ協議会
有識者等
連携専門機関等から得られた対策情報を戦略的かつ迅速に共有
国の
行政
機関

地方
公共
団体

重要
インフラ
事業者

対策実施

対策実施

対策実施

サイバー関連事業者（セキュリティ事業者・
システム関連事業者等）
対策実施

教育
研究
機関
対策実施

海外の行政機関・
民間事業者等事務局（NISC・専門機関）〇情報共有のデメリット除去のために必要な規定を措置
１ 罰則（※）により担保された守秘義務※１年以下の懲役又は50万円以下の罰金

サイバーセキュリティの確保の促進

２ 法律に規定された情報提供義務

国民の安心・安全の確保、経済社会の活力向上等に寄与

サイバーセキュリティ協議会の運用ルール案 ～デメリットの除去に加え、協議会の運用ルールにより情報提供を行うメリットを付加～
背景

デメリット除去を法改正によって措置することは不可欠だが、それだけでは情報提供を促進するインセンティブにならないため、情報提供を行うメリットを増加させることも重要

解決策

提供者のモチベーションと提供される情報の質を維持するため、積極的な情報提供に能力と意欲を有する者を、一般の構成員と別に、タスクフォースとしてグループ化（運用ルール案）

タスクフォースのメリット〇 提供した未確定の情報に対して相互にフィードバックを行うことで、提供した情報の確度を高めることができる。
〇 各主体がフィードバックだけでなく、自らも積極的に情報を提供するギブアンドテイクの原則を徹底することで、
タスクフォースのみに共有される情報を得ることができる。

サイバーセキュリティ協議会

構成員
の役割

※改正法中、「協議会の組織及び運営に関し必要な事項は協議会が定める」としており、協議会の運用ルール（規約）を整備。

タスクフォース
未確定の情報を相互にフィードバックを行い、速やかに対策情報等を作出する※専門機関、セキュリティベンダ等対策情報等の情報提供

一般の構成員
基本的に、作出された対策情報等を受領し、自らの組織の対策に役立てる※国の行政機関、地方公共団体、重要社会基盤事業者等

36

２．積極的サイバー防御自主規制団体について（金融庁資料）＜2部2章 2.1 国民・社会を守るための取組関連＞

自主規制団体（日本仮想通貨交換業協会）の認定
18年３月、一般社団法人 日本仮想通貨交換業協会設立
自主規制規則・体制の整備状況等について厳格に審査した結果、資金決済法上の自主規制団体に認定（18年10月24日）

自主規制団体の主な役割
ルール（自主規制規則）の制定•

資金決済法で求める内容を細分化したもの（システムリスク管理、マネロン対策•

上記以外の自主規制で新たに求めるもの（不公正取引対応、勧誘・広告

など）

など）

会員のモニタリング（法令・自主規制規則等の遵守状況調査・検査）
会員の処分（法令等の遵守又は利用者保護を図るための会員への指導・勧告）
外部機関(国民生活センターなど)と連携、苦情対応 など

当庁の対応
自主規制団体と緊密に連携するともに、同団体が利用者保護の観点から機動的に
自主規制機能を発揮しているかモニタリングを実施

37

２．積極的サイバー防御

車両に関する安全基準の策定、制度整備（国土交通省資料）＜2部2章 2.1 国民・社会を守るための取組関連＞

自動運転に関する課題と我が国の国際的な取組み○ 自動運転の早期実現に向けては産学官が密接に連携した取組みを推進しており、国土交通省としては、自動運転戦略本部（本部長：国土交通大臣）の下、車両の安全確保等に関するルール整備を着実に実施。
○ 一方、自動運転に関する課題は世界共通であり、国際的な安全基準の策定には国際的な相互協力が不可欠。
○ 国連WP.29（自動車基準調和世界フォーラム）において、我が国は、自動運転に係る基準等について、共同議長又は副議長として議論を主導。
○ 引き続き各国と協力し、自動ハンドル、サイバーセキュリティ対策等の自動運転に係る国際基準の策定に向けて検討。

自動運転技術に係る国際基準検討体制及び検討項目＜これまでに策定された基準＞

国連自動車基準調和世界フォーラム(WP.29)（日本、米国、欧州、中国等が参画）

自動運転(GRVA)

自動操舵

安全一般(GRSG)

衝突安全(GRSP)

自動ブレーキ

灯火器
(GRE)

サイバー
セキュリティ

自動運転技術に係る主な会議体
自動運転専門分科会

騒音とタイヤ(GRBP)

排出ガスとエネルギー(GRPE)【レベル２】
・自動駐車（リモコン駐車）・手を添えた自動ハンドル（車線維持／車線変更）* 本田技研工業（株） HP

自動運転認証

日本の役職
副議長

自動操舵専門家会議議長(独と共同)

自動ブレーキ専門家会議

議長(ECと共同)

リモコン駐車* 日産自動車（株） HP* BMW HP

車線変更

車線維持

* LEXUS HP* LEXUS HP＜検討中の基準＞【レベル３】
・自動ハンドル（車線維持／変更）
・ドライバーモニタリング【全てのレベルに共通】・サイバーセキュリティ

サイバーセキュリティタスクフォース 議長(英と共同)
自動運転認証専門家会議

議長(蘭と共同)* LEXUS HP* 日野自動車（株） HP

38

３．対処態勢の強化

2020年東京大会に向けた取組状況について(NISC資料)＜2部2章 2.5 2020年東京大会とその後を見据えた取組関連＞

サイバーセキュリティ基本法に基づく「サイバーセキュリティ戦略」に基づき、大会の運営に大きな影響を及ぼし得る重要サービス事業者等を対象としたリスクマネジメントの促進や、関係府省庁、大会組織委員会、東京都等を含めた関係組織と、サイバーセキュリティに係る脅威・事案情報の共有等を担う中核的組織としてのサイバーセキュリティ対処調整センターの構築等、対処態勢の整備を推進中。

リスクマネジメントの促進○取組状況
手順書を作成するとともに、東京大会において開催・運営に影響を与える重要サービス事業者等を選定し、リスクの低減と最新のリスクへの対応のため、リスクアセスメントの実施を依頼。 2016年度から2020年６月末まで計６回を予定。第3回目においては、対象の事業者を全国へ拡大、実施結果について横断的に分析し各事業者等にフィードバック。
また、競技会場に提供されるサービスの重要度に応じて対象事業者等を選定の上、サイバーセキュリティ対策の実施状況をNISCが検証する横断的リスク評価を実施。 2020年３月末までに計３回を予定。第1回目においては、電力、通信、水道、鉄道、放送等から5者を対象に実地検証、全重要サービス事業者等から20者を対象に書面検証を実施。
○今後の取組リスクアセスメントの取組については、重要サービス事業者等のリスクアセスメントにおいて、情報資産、リスクの洗い出しの網羅性及び要対応リスクに対する対策の網羅的な検討を促進するとともに、残存リスクが顕在化した場合の対応体制の強化を促進。
横断的リスク評価の取組については、引き続き、重要サービス事業者等（競技会場(レガシー部分)を含む。）を対象として検証を実施するとともに、競技会場のオーバーレイ部分の対策の整備状況及び監督状況について東京大会組織委員会を対象として検証を実施。

対処態勢の整備（サイバーセキュリティ対処調整センターの構築等）○取組状況
情報共有・事案発生時の態勢について関係府省庁、大会組織委員会、東京都等と協議し、運用方針等を決定した。また、サイバー
脅威情報の提供について４社から協力を受けることを決定するとともに、大会組織委員会、東京都等を交えた机上演習を実施した。
情報共有システムの構築が完了し、2019年４月にサイバーセキュリティ対処調整センターを設置した。
○今後の取組サイバーセキュリティ対処調整センターは、大会関係組織と情報共有システムを介した情報共有の促進及びインシデント発生時の対処支援調整を実施。また、重要サービス事業者等も参加する情報共有及びインシデント発生時の対処支援調整等の訓練・演習を実施
し、大会関係組織間で緊密に連絡調整を図るための態勢を整備。さらに、大会までの大規模イベント（G20大阪サミット、ラグビーワールドカップ等）において情報共有及びインシデント発生時の対処に係る試験運用を実施。
39
これらの取組を通じて、大会に向けて万全の対処態勢の整備を目指す。

情報共有基盤について（NISC資料）

３．対処態勢の強化＜2部2章 2.5 2020年東京大会とその後を見据えた取組関連＞

2019年4月より、対処調整センターは利用組織(※)に情報共有基盤を介してサービスを提供する。
情報共有基盤を活用して、連絡体制確立のための演習・訓練を開催予定。

情報共有基盤の特徴及び利用メリット
関係府省庁

ワンストップで関係機関等へ報告共有可
情報発信者が共有範囲を設定可
いつでもどこでも利用可 (スマホ等)
国産国営のSNS(関係組織専用)

専用SNS(利用組織間のコミュニケーション)

専用SNS(サイバーセキュリティ情報の提供)

重要サービス事業者等

そうだんの窓口(インシデント発生時の対処支援)

情報共有基盤

サイバーセキュリティ対処調整センター

情報セキュリティ関係機関※大会組織委員会、会場管理者、東京都、会場のある地方公共団体、重要サービス事業者等、スポーツ関連団体、情報セキュリティ関係機関、
政府機関、警察等を想定している。

40

「サイバーセキュリティ戦略」に基づき、2019年度に実施すべき施策に関する意見募集の結果の概要

資料１－３■実施方法：NISCのWebページ、内閣官房のWebページ、電子政府の総合窓口（e-Gov）に掲載して公募■実施期間：平成31年（2019年）１月24日（木）～２月25日（月）■意見総数：24者から92件 【8企業・団体から延べ45件、16個人から延べ47件】【意見の種類】
・2019年度に実施すべき施策（サイバーセキュリティ2019）に関する意見：87件
・経済社会の活力の向上及び持続的発展：27件
・国民が安全で安心して暮らせる社会の実現：21件
・国際社会の平和・安定及び我が国の安全保障への寄与：4件
・横断的施策：29件
・推進体制：6件

・その他の意見：５件■（参考）提出者名：

オフィスVG2、スプランクサービスジャパン合同会社、富士通クラウドテクノロジー株式会社、一般社団法人日本経済連合会産業技術本部、
BSA | ザ・ソフトウェア・アライアンス、株式会社ラック、大日本印刷株式会社、匿名希望の団体、個人（12人）

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

４．１．１ 新たな価値創出を支えるサイバーセキュリ
ティの推進「5G（第5世代）」における構造では、「センサー技術、ネットワー
ク技術、デバイス技術」から成る「CPS（サイバーフィジカルシステム）」の融合であり、「ゼネコン（土木及び建築）、船舶、鉄道、
先端技術を利活用したイノベーションを支えるサイバーセキュリティに関する賛
航空機、自動車、産業機器、家電」等に対し、融合される事で、同意見として承りました。内容については、今後の施策の検討や実施の推進
サイバーセキュリティー対策が重要と、私は考えます。
に当たって参考とさせていただきます。
クラウドコンピューティングとエッジコンピューティングに対し、無線LANにおける「Wi-Fi（ワイアーレスローカルエリアネットワー
キング）」が、今後の構造に成ると、私は考えます。

2

４．１．１ 新たな価値創出
団体名匿名希を支えるサイバーセキュリ
望ティの推進

個人情報保護法については、第19条において、「個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に企業の保有する情報について、情報の消去に関して明記し、使 保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消用済み情報の消去によりサイバー攻撃など有事の際のリスク 去するよう努めなければならない。」と明記されております。
の軽減を図ることができる。
企業におけるサイバーセキュリティ対策に関しては、経営層の意識改革やサイ
バーセキュリティに対する投資の推進等を行うこととしており、引き続き、取組を推進してまいります。

3

個人
（７）

４．１．１ 新たな価値創出を支えるサイバーセキュリ
ティの推進

企業においては、サイバーセキュリティ対策が、潜在的損失リ 企業におけるサイバーセキュリティ対策に関しては、年次計画において「経営スクの低減に資すること、また、会社経営におけるリスク管理項 層の意識向上や民間企業における対策の促進に向けた取組を幅広く推進す目であることを、財務指標に組み込むとともに、監査項目に組 る」としており、サイバーセキュリティが経営リスクの一つとして認識されるよう、み込むべきであると考える。
引き続き、取組を推進してまいります。

４．１．１ 新たな価値創出を支えるサイバーセキュリ
ティの推進

(意見）
個人情報取扱事業者及びインターネットを収益プラットフォーム 情報処理安全確保支援士（登録セキスペ）制度は、平成２９年４月に登録を開としている事業者については、情報処理安全確保支援士を常 始し、２０１９年４月現在での登録者数は１８，３３０人となったところ。また、登勤の取締役ＣＩＳＯとして必置化を義務とするべきである。
録開始から３年目となり、ある程度の運用実績も積み上がってきたことから、(理由）
年次計画において「情報処理安全確保支援士制度の着実な実施に向けて必「サイバーセキュリティ２０１８」において、戦略マネジメント層向 要な措置を講じる」としており、制度運用の更なる改善を検討する予定です。事けの理解促進等が記載されているが、理解の促進では実効性 業者等に対し登録セキスペの設置を強制する措置が適当か否かは慎重に議が無い。4.1.1(2)・(3)の実現にあたっても、経営的に発言権を持 論する必要がありますが、御意見については、今後の検討にあたっての参考
ち、判断できる知識を持つ有資格者のＣＩＳＯを必置とすべきで とさせていただきます。
ある。

1

4

個人
（４）

個人
（10）

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

5

スプランク
４．１．１ 新たな価値創出
サービス ジャ を支えるサイバーセキュリ
パン合同会社 ティの推進

サイバーセキュリティに対する投資ののインセンティブとしては、平成30年より
コネクテッド・インダストリーズ税制等、一定のサイバーセキュリティ対策が講じられたデータ連携・利活用により生産性を向上させる取組についての税制措「サイバーセキュリティ投資へのインセンティブ」を明示化・視覚置を講じており、年次計画において「必要となるシステムやサイバーセキュリ
化するために、情報を共有しそれらを開示するための基盤シス
ティ対策製品等の導入に対して税額控除等を措置するコネクテッド・インダスト
テムが必要と考えます。
リーズ税制の活用を促す」などとされており、引き続きこのような取組の推進を図ってまいります。御意見については今後の取組の検討や実施にあたっての参考とさせていただきます。

6

４．１．１ 新たな価値創出
株式会社ラッを支えるサイバーセキュリ
クティの推進

各種施策の総合的な展開に当たっては、産官が適切な枠割り 経済社会の活力の向上及び持続的発展に資するサイバーセキュリティに関す分担のもと密接に連携しつつ、「サイバーセキュリティ産業化」 る賛同意見として承りました。ご意見については、今後の施策の検討や実施のの視点をよりいっそう重視願いたい。
推進に当たって参考とさせていただきます。

7

４．１．１ 新たな価値創出
株式会社ラッを支えるサイバーセキュリ
クティの推進

スタートアップ支援事業について、「サイバーセキュリティ産業化」をも視野に実施願いたい。

8

４．１．１ 新たな価値創出
株式会社ラッを支えるサイバーセキュリ
ク
ティの推進

9

４．１．１ 新たな価値創出
株式会社ラッを支えるサイバーセキュリ
ク
ティの推進

10

４．１．１ 新たな価値創出
大日本印刷株を支えるサイバーセキュリ
式会社
ティの推進

経済社会の活力の向上及び持続的発展に資するサイバーセキュリティに関する賛同意見として承りました。ご意見については、今後の施策の検討や実施の推進に当たって参考とさせていただきます。

経営層の意識改革を目的として、年次計画において「経営層の意識向上や民経営層の意識改革と合わせて、経営層自らが広くICTについて
間企業における対策の促進に向けた取組を幅広く推進する」としており、サイ理解し一定の専門的知見を身につけられるよう「学び」の機会
バーセキュリティが経営リスクの一つとして認識されるよう、引き続き、取組をの創出その他の取組みを推進願いたい。
推進してまいります。
平成31年3月に独立行政法人情報処理推進機構より、サイバーセキュリティ経サイバーセキュリティを十分認識した上で広くICTの利活用を推営の実践をサポートするために、民間等の有意な取組事例を整理した「サイ進している民間のCIOその他の有為な者の活動について、官民
バーセキュリティ経営ガイドラインVer2.0実践のためのプラクティス集」を公表しが連携し、ベストプラクティスとして共有・参照する取組みを検ました。今後も本プラクティスの拡充等の取組を推進してまいります。
討願いたい。
経済産業省・独立行政法人情報処理推進機構で公開しているサイバーセキュ
リティ経営ガイドラインにおいて、企業のサイバーセキュリティ対策に関する情報開示を促しているところです。また、年次計画において、経済産業省では、重要インフラ事業者や東証一部上場企業などから段階的に情 引き続きサイバーセキュリティ経営ガイドラインの普及促進を図るとともに、そ
報開示を義務化することが必要と考えます。
のプラクティス集の充実を進めることとしており、総務省では「「サイバーセキュ
リティ対策情報開示の手引き」（仮称）を策定、公表し、その普及を図る。」としております。御意見については今後の取組の検討や実施に当たっての参考とさせていただきます。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

新たな価値創出を支えるサイバーセキュリティへの賛同意見として承りました。
価値を創出するにはサイバーセキュリティを強化する必要があ
内容については、今後の施策の検討や実施の推進に当たって参考とさせていります。
ただきます。

個人（１３）

４．１．１ 新たな価値創出を支えるサイバーセキュリ
ティの推進

12

個人
（８）

2018年度の戦略においては、「サプライチェーンにおける調達者が機器・サービス等の利用に際し、その信頼を確認できるよ サプライチェーンにおけるサイバーセキュリティを確保できる仕組みの構築に
４．１．２ 多様なつながり
う、官民が連携して、信頼性が証明されている機器・サービス ついては、年次計画において「サプライチェーンの分野毎の要件を明確にしたから価値を生み出すサプラ
等のリストの作成と管理を行う仕組みの構築が必要である。」と うえでトラストリストを構築・確認する技術」等を確立することとしております。御イチェーンの実現されております。2019年度においては、具体的かつ現実的な計 意見については取組の実施や検討に当たって、参考とさせていただきます。
画作りを行い取り組むことが重要と考えます。

13

スプランク
４．１．２ 多様なつながり ログを記録する仕組みが必要と考えます。
サービス ジャ から価値を生み出すサプラ セキュリティ装置だけではなく、ネットワークトラフィック、サーパン合同会社 イチェーンの実現
バー、端末までのトレーサビリティを確保するための期間を定11

トレーサビリティの仕組みを確保するためには、期間を定めた
トレーサビリティ確保については、年次計画において、「業務データを安全に流通させるためのトレーサビリティ確保技術」等を開発することとしております。御意見については取組の実施や検討に当たって、参考とさせていただきます。

めた「中央管理型ログ基盤」の仕組みが必要と考えます。
サプライチェーンに連なる中小企業のサイバーセキュリティ対策については、
2019年4月に策定した「サイバー・フィジカル・セキュリティ対策フレームワーク」
ではNIST SP800-171との対応関係も示しているため、NIST SP800-171に準拠するセキュリティ対策要件を把握することが可能となっています。引き続き、中小企業等が実効的にこれらの対策要件を実装できるようにするための検討などを推進してまいります。御意見については取組の実施や検討に当たって、参考とさせていただきます。

14

富士通クラウドテクノロジー
４．１．２ 多様なつながり
サプライチェーンにつらなる中小企業がNIST SP800-171準拠
ズ株式会社
から価値を生み出すサプラ（JASA/CAIS
性を低コストで得られるようにすべき。
イチェーンの実現
情報セキュリティ監査人補）15（一社）日本経 ４．１．２ 多様なつながり 機器・サービス等のリストの作成と管理を行う仕組みの構築」をついては、年次計画において「サプライチェーンの分野毎の要件を明確にした済団体連合会 から価値を生み出すサプラ 実施する際には、以下の2点に留意すべきである。
うえでトラストリストを構築・確認する技術」等を確立することとしております。御産業技術本部 イチェーンの実現(1)現実的かつ分かりやすいものとすること「サプライチェーンにおける調達者が、信頼性が証明されている(2)海外の取り組みも参考にすること

サプライチェーンにおけるサイバーセキュリティを確保できる仕組みの構築に意見については取組の実施や検討に当たって、参考とさせていただきます。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

16

サプライチェーン対策については、2019年4月に策定した「サイバー・フィジカ
サプライチェーンへの脅威を低減し、悪意ある活動への防御をル・セキュリティ対策フレームワーク」の社会実装を推進するために、各産業分
強化し、イノベーションと相互運用性を可能にするよう、洗練さ
野におけるセキュリティ対策の検討を引き続き推進するとともに、データそのも
BSA | ザ・ソ ４．１．２ 多様なつながり
れたアプローチを優先的に採用することを推奨。サプライチェー
フトウェア・ア から価値を生み出すサプラののセキュリティ信頼性確保や、ソフトウェアのセキュリティ確保を実効的に行ンセキュリティへのアプローチが、裁量、相互運用性、協働、透ライアンス
イチェーンの実現う確保するための具体的なセキュリティ対策管理手法等を検討してまいりま
明性、公平性、イノベーション、執行の各原則に従って策定されす。御意見については今後の取組の検討や実施の推進に当たっての参考とさることを提案。
せていただきます。

17

４．１．２ 多様なつながり
中古品のリスクについて国民に対して広く普及・啓蒙する取り株式会社ラッから価値を生み出すサプラ
ク組みを推進願いたい。
イチェーンの実現

18

４．１．２ 多様なつながり ファームウェア書き換え、チップのすり替え等を防止する観点かついては、「4.1.2 多様なつながりから価値を生み出すサプライチェーンの実
株式会社ラッから価値を生み出すサプラ ら、デバイスの製造者において、筐体の要所を複製が困難な封ク現」のとおり推進しているところです。御意見については取組の実施や検討にイチェーンの実現
印等でシールするような仕組みを検討願いたい。

国民一人一人がサイバーセキュリティに対する意識・理解を醸成し、サイバー空間における様々なリスクに対して対処できるよう、情報発信等の取組を推進しているところです。御意見については取組の実施や検討に当たって、参考とさせていただきます。
サプライチェーンにおけるサイバーセキュリティを確保できる仕組みの構築に当たって、参考とさせていただきます。

「サイバー・フィジカル・セキュリティ対策フレームワーク（案）」で中小企業におけるセキュリティ確保の取組については、年次計画において示された「Society5.0」での新たなサプライチェーンにおいて、全「SECURITY ACTION制度の拡大及びニーズに応じた制度の見直し」を通じて
４．１．２ 多様なつながり
体のセキュリティレベルを底上げし、中小企業を欠くべからざる
から価値を生み出すサプラ
引き続き意識の向上を促す取組を実施してまいります。また、「サイバーセキュ
構成要素とするため、中小企業におけるICT利活用と一体的なイチェーンの実現
リティお助け隊に係る実証事業の全国実施」を通じて、中小企業に対する具体
セキュリティ確保の取組みへの支援策を抜本的に強化願いた的な取組支援も実施してまいります。
い。

19

株式会社ラック

20（一社）情報通 ４．１．２ 多様なつながり 際し、その信頼を確認できるよう、官民が連携して、信頼性がサプライチェーンにおけるサイバーセキュリティを確保できる仕組みの構築に
信ネットワーク から価値を生み出すサプラ 証明されている機器・サービス等のリストの作成と管理を行う仕ついての賛同意見として承りました。引き続き、取組を推進してまいります。
産業協会
イチェーンの実現
組みの構築が必要である。」とされており、これをさらに具体的「サプライチェーンにおける調達者が機器・サービス等の利用にかつ現実的な計画に落とし込むことが重要

21

個人
（１４）

スパイ防止法など、法の面から実行できるサイバーセキュリティ強化の取組・仕組みづくりの実施もお願いいたします。国内で いわゆるスパイ防止法の必要性については様々な議論があるものと承知して４．１．２ 多様なつながり はファーウェイ問題に対しての危険意識が薄く、十分な議論も おりますが、不正競争防止法に基づき、営業秘密の保護を図っているところでから価値を生み出すサプラ 尽くされていないと思います。
あり、年次計画においても産業界及び関係省庁との連携により企業情報の漏
イチェーンの実現
日本企業、ひいては社会・国民の知的資産を守るため意識付 えいの手口・被害実態等の情報共有を行うとするなど、各種取組を行っていま
けの為にも、法整備を含めた取組のご実施を強く希望いたしま す。引き続き秘密の保護に努めてまいります。
す。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

22

個人
（２）

４．１．３ 安全なIoTシステ
ムの構築

電気用品（PSEマーク）や携帯電話（技適マーク）のように国内 官民が連携して、安全なIoTシステムの構築に取り組む必要があるという認識において利用可能なIoT機器の認証制度を制定・実施すべきと の下、取組を進めており、今後の検討や実施の推進にあたって参考にさせて考える。
いただきます。

23

個人
（４）

４．１．３ 安全なIoTシステ
ムの構築「5G（第5世代）」におけるサイバーセキュリティ対策には種類が先端技術を利活用したイノベーションを支えるサイバーセキュリティに関する賛ある。IoT機器を接続すると、「サテライト、クラウド、エッジ」等の同意見として承りました。内容については、今後の施策の検討や実施の推進システムに対し、サイバーセキュリティー対策が重要と、私は考に当たって参考とさせていただきます。
えます。

24

BSA | ザ・ソ
４．１．３ 安全なIoTシステ
フトウェア・アムの構築
ライアンス

IoTセキュリティ基準は、当該基準が世界中における同様の取組みと継続的に整合性を保っていることが重要。IoT機器は、機
安全なIoTシステムの構築に関する賛同意見として承りました。内容について
能、能力及びリスクに関して極めて幅広い多様性があることをは、今後の施策の検討や実施の推進に当たって参考とさせていただきます。
考慮し、IoTセキュリティ基準は、リスクベースで柔軟性を有するものであることが重要。

25

株式会社ラック

国産のサイバーセキュリティ製品・サービスに関しては、年次計画において、「内閣官房において、研究・技術開発に資する産学官連携による体制構築のIoTを中核とする「Society5.0」実現のためには、安全保障の観検討を含め、国産のサイバーセキュリティ製品・サービスの育成も見据えた、
４．１．３ 安全なIoTシステ 点から、「サイバーセキュリティ産業化」をも視野に、国主導によ
我が国のサイバーセキュリティの研究・技術開発に関する取組方針を取りまとムの構築
り、トラストチェーンインフラ国産化に向けた取組みに早急に着めると共に、関係機関との連携の下、施策を推進する。」としております。御意
手願いたい。
見については今後の取組の検討や実施の推進に当たっての参考とさせていた
だきます。

26

個人
（１３）

４．１．３ 安全なIoTシステ
ムの構築

個人
（１６）

サイバーセキュリティ戦略（平成30年７月27日閣議決定）では、官民が連携し初期のままの利用を制限すること。誰でも利用するそのことをて、IoT機器の脆弱性について、設計・製造、運用、そして破棄までのライフサ
４．１．３ 安全なIoTシステ 踏まえ、アクセシビリティにすること。設定が困難または面倒イクルを見通したサイバーセキュリティ対策や、ネットワーク上の脆弱なIoT機
ムの構築
あったりなどがあると脆弱性になる。業界へ積極的な対策の後器の対策等のための体制整備が必要であるとされており、今後の施策の実施
押しと一般（多様な）への啓発をすること。
や検討に当たって、参考とさせていただきます。

個人（１）

ご指摘の書き込みが具体的に何を指すのか必ずしも明確ではないと考えられ
某大型掲示板はじめとするネットでの荒らし、煽り、ネガティブ
ますが、今後も、サイバーセキュリティ戦略（平成30年７月27日閣議決定）に基
４．２．１ 国民・社会を守る キャンペーンといった書き込みの厳罰化をお願いします。
づき、国民が安全で安心して暮らせる社会の実現のため、サイバー犯罪へのための取組もしそういう事を書き込んだら２度と書き込めないようにして下さ対策を推進していきます。
い。

27

28

安全なIoTシステム構築に向けて、サイバーセキュリティの体系の整備や脆弱
国内企業（可能であれば政府が支援をする形）で進めて欲しい 性対策に係る体制の整備を行うこととしております。内容については、今後の施策の検討や実施の推進に当たって参考とさせていただきます。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

意見の要旨

該当箇所

国家機密だけではなく企業秘密に関してもカバーするスパイ防

29

個人
（11）

４．２．１ 国民・社会を守る 止法を制定し、内部からのセキュリティ破壊者（侵入者）、情報ための取組
漏洩者に対する罰則を厳罰化し、不法活動の防止を図るべき

と考える。

資料1-4

主な考え方
いわゆるスパイ防止法の必要性については様々な議論があるものと承知しておりますが、特定秘密保護法や不正競争防止法に基づき、特定秘密や営業秘密の保護を図っているところであり、引き続き秘密の保護に努めてまいります。

30

政府では、サプライチェーン・リスク対策として、IT調達に係る国の物品等又は政府が、情報インフラ等の信頼性を評価するための検証や政 役務の調達方針及び調達手続に関する申合せを行い、年次計画において、政（一社）日本経
４．２．１ 国民・社会を守る 府調達における運用改善等について検討し対策を進める際、 府の重要業務に係る情報システム・機器・役務等の調達におけるサイバーセ
済団体連合会ための取組
海外の取組も参考にし、現実的かつ分かりやすいものとすべき キュリティ上の深刻な悪影響を軽減するための取組を開始したところです。円
産業技術本部である。
滑な調達が行われるよう、頂いた御意見も参考に関係省庁と連携して取り組んで参ります。

31

株式会社ラッ ４．２．１ 国民・社会を守る ティ事業を安心して実施できるよう、いわゆるコンピュータ・ウイに明示されており、その考え方についても法務省ウェブサイト
ク
ための取組
ルスに関する罪の成立条件を具体的かつ網羅的に提示願いた研究者やセキュリティベンダー等がマルウェア解析やセキュリ
い。

32

33

いわゆるコンピュータ・ウイルスに関する罪については、その構成要件は法律（http://www.moj.go.jp/content/000076666.pdf）で公表しております。

政府では、サプライチェーン・リスク対策として、IT調達に係る国の物品等又は役務の調達方針及び調達手続に関する申合せを行い、年次計画において、政海外の事例も踏まえ、日本に新たな機器セキュリティ検証・評 府の重要業務に係る情報システム・機器・役務等の調達におけるサイバーセ（一社）情報通４．２．１ 国民・社会を守る
信ネットワーク
価の仕組みを構築することが、今後の日本の情報通信インフラ キュリティ上の深刻な悪影響を軽減するための取組を開始したところです。ま
ための取組
産業協会
および日本経済の発展のために重要と考える。
た、産学官が連携した、サプライチェーンリスクに対応するための技術検証体制の整備に向けた取組など、サイバーセキュリティの研究・技術開発を政府一体となって進めてまいります。

個人
（１３）

5G通信インフラへの注目が集まる中、日本は、国民や社会を
４．２．１ 国民・社会を守る守るために、中国産や影響力を行使されている企業を選定対ための取組
象外とすべきである。

特定の国や企業を対象としたものではありませんが、政府では、サプライ
チェーン・リスク対策として、IT調達に係る国の物品等又は役務の調達方針及び調達手続に関する申合せを行い、年次計画において、政府の重要業務に係る情報システム・機器・役務等の調達におけるサイバーセキュリティ上の深刻な悪影響を軽減するための取組を開始したところです。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

34

35

36

37

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

個人
（６）

ご指摘のエンドポイントセキュリティについては、「重要インフラにおける情報セ
キュリティ確保に係る安全基準等策定指針（第５版）」（平成３０年４月４日サイバーセキュリティ戦略本部決定）等に基づき、「マルウェアからの保護」、「運用４．２．２ 官民一体となった 重要インフラを担う企業（下位請負含む）に対してはエンドポイ
ソフトウェアの管理」、「技術的脆弱性管理」等を求める取組を進めており、年重要インフラの防護
ントセキュリティを徹底させる事が必要と感じる。
次計画では、2章2.2 (1)(ア)において、「各分野の安全基準等の整備・浸透を促進する。」としています。ご意見については、このような施策の検討や実施の推進にあたって参考にさせていただきます。

個人
（10）

自治体・金融機関等の重要インフラ事業者等におけるシステム構築について
ＩＰＡの実施する情報処理技術者試験の所持者と工程を関連付は、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針
けて、特に官公庁及び自治体、金融、生活インフラ系企業のシ（第５版）」（平成３０年４月４日サイバーセキュリティ戦略本部決定）において、４．２．２ 官民一体となった ステム構築については、無免許無資格者による作業を早急に
情報セキュリティ要件を踏まえた情報システムの取得について定める等、適切重要インフラの防護法により禁止すべきである。
な対応を求めており、年次計画では、2章2.2 (1)(ア)において、「各分野の「安全経済産業省においては、直ちに義務化に向けた法制度検討、基準」等の整備・浸透を促進する。」としています。ご意見については、このよう資格取得支援制度の拡充を実施すべきである。
な施策の検討や実施の推進にあたって参考にさせていただきます。

個人
（10）

地方公共団体等における人材育成については、「重要インフラの情報セキュリ
ティ対策に係る第４次行動計画」（平成２９年４月１８日サイバーセキュリティ戦
略本部決定、平成３０年７月２５日サイバーセキュリティ戦略本部改定）等に基地方公共団体のうち、県及び政令市においては、ＩＰＡ高度資格
づき、必要なセキュリティ人材像の定義、情報セキュリティに係る訓練・演習、
４．２．２ 官民一体となったとＩＴＳＳスキルマップに対応した情報系人事施策の実施につい重要インフラの防護資格取得等の具体的な人材育成策を推進しているところです。年次計画でて着手すべきである。
は、総務省による地方公共団体向けの取組等を進めることとしています。ご意見については、このような施策の検討や実施の推進にあたって参考にさせていただきます。

個人（10）

県及び政令市を含む重要インフラ事業者等における人材育成については、「重要インフラの情報セキュリティ対策に係る第４次行動計画」（平成２９年４月１８日サイバーセキュリティ戦略本部決定、平成３０年７月２５日サイバーセキュリ
４．２．２ 官民一体となった 官公庁・生活インフラ企業・県及び政令市については、情報処
ティ戦略本部改定）等に基づき、必要なセキュリティ人材像の定義、情報セキュ
重要インフラの防護
理安全確保支援士のＣＩＳＯを必置化すべき。
リティに係る訓練・演習、資格取得等の具体的な人材育成策を推進しているところです。ご意見については、このような施策の検討や実施の推進にあたって参考にさせていただきます。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

38

国内外の法令や評価制度等について、国際動向も踏まえた望ましいデータ管理（クラウドサービスを含む）の在り方について、「重要インフラにおける情報セ
キュリティ確保に係る安全基準等策定指針（第５版）等の改定」の検討を進め
富士通クラウており、年次計画においても1章1.1 (2)において「「データ管理の在り方」を同指ドテクノロジー
クラウドサービスについては、国内外でルール化が進む中、重針に追加するとともに所要の修正を行う改定を実施し、改定後の指針について
ズ株式会社 ４．２．２ 官民一体となった
要インフラの防護という観点から、「国策クラウド」を作った方が（JASA/CAIS 重要インフラの防護は、従来と同様、関係省庁等が連携し、各重要インフラ分野の安全基準等へいいのではないか。
情報セキュリの反映を通じて事業者へ浸透させる取組を促進していく。」としているところで
ティ監査人補）す。
御意見については、このような施策の検討や実施の推進に当たって参考にさせていただきます。

39

個人
（10）

「Society5.0以前」の社会インフラでは、各工程について厳密な資格制度が設けられている。同様に、「Society5.0」において、 官公庁等の調達においては、必要に応じ、システム構築を確実に実施できる
重要な社会インフラとなる情報システム及び通信について、ＩＰ ように資格要件を定めるなどして、適切に対応を行っているところです。
４．２．３ 政府機関等におけるセキュリティ強化・充実 Ａの実施する情報処理技術者試験の所持者と工程を関連付け 権利制限に関する制度をシステム構築に適用することの適否については慎重て、特に官公庁及び自治体、金融、生活インフラ系企業のシス に議論する必要はありますが、いただいた御意見は、今後の施策の実施や検テム構築については、無免許無資格者による作業を早急に法 討に当たって参考とさせていただきます。
により禁止すべき。

40

我が国においても、中枢、末端に至るセイバーセキュリティ情報 端末、サーバ、通信回線等の監視及び監視するイベント情報の効率的活用にを採取、分析することで日本政府における監視体制が確立でき ついて現行の統一基準群に記載しております。
スプランク
また、年次計画において、情報提供の迅速化・高度化に資するため、情報収
４．２．３ 政府機関等にお るものと考える。
サービス ジャ
けるセキュリティ強化・充実 このため、各府省庁の端末におけるリアルタイム情報収集・分 集・分析機能強化等の検討を行うこととしています。
パン合同会社
析による、決められた時間内にアラートを発することのできる監 いただいた御意見は、施策の実施や検討に当たって、参考とさせていただきま視の仕組みが必要と考える。
す。

41

年次計画において、引き続き、統一基準群に定めた内部からの不正操作を防政府機関等の内部にスパイが潜入していた場合を考え、スパイ 止するための措置や情報システムが不正操作等されていないことの検証を行
４．２．３ 政府機関等におけるセキュリティ強化・充実 防止法を制定し、内部からのセキュリティ破壊者（侵入者）に対 うために必要なログを取得する規定等に基づいて取組を行ってまいります。
する罰則を厳罰化すべき。
いただいた御意見は、今後の施策の実施や検討に当たって、参考とさせていただきます。

個人（11）2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

42

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

サイバーセキュリティ戦略は、政府機関でのクラウド推進の重要性を認識。政府のメッセージの一貫性を保ち、関係政府機関
等の誤解を生まないよう、クラウドに関する過去のガイダンスの一部の再検討を要望。特に、政府統一基準のうちクラウドがリ
スクを高めているような記載（4.1.4）及び物理的ネットワーク分
離がセキュリティ上解決策であるとの推奨（5.2.1（2）a項）を懸 年次計画において、引き続き、政府機関におけるクラウドサービスの利用状況
BSA | ザ・ソを適宜調査し、課題等の把握に努めてまいります。
４．２．３ 政府機関等にお 念。
フトウェア・ア
けるセキュリティ強化・充実
いただいた御意見は、今後の施策の実施や検討に当たって参考とさせていた
ライアンス「政府情報システムにおけるクラウドサービスの利用に関する だきます。
基本方針」における「クラウド・バイ・デフォルト原則」を評価。経
済産業省と総務省によるクラウドサービス安全性評価の取組が、当該方針に適合し、世界的に他の政府機関クラウド安全性評価及び認証スキームと相互運用可能で、国際的に認められた標準に適合するよう要望。

43

個人
（１５）

44

個人
（１６）

45

株式会社ラック

年次計画において、政府機関等における情報システムのセキュリティ対策の進捗状況の把握や、取組の促進に向けて必要な支援を行うなど、政府機関等
全体としての情報セキュリティ水準の維持・向上を図るべく必要な施策を進めてまいります。
いただいた御意見は、今後の施策の実施や検討に当たって参考とさせていただきます。
政府機関等において発生した情報セキュリティインシデントに対処する体制として、各政府機関等にCSIRTを設置しています。また、政府一体となった対応が必要となる情報セキュリティインシデントに対する機動的な支援体制として、高度な攻撃が可能になればリスクが高まるため、内閣サイバーセキュリティセンターに情報セキュリティ緊急支援チーム
４．２．３ 政府機関等におけるセキュリティ強化・充実 専任担当と、研修、緊急時など、実際のリスクの軽減と対処を （CYMAT）を設置しています。なお、各政府機関等のCSIRT要員及びCYMAT要
積極的に出来る体制を作ること。
員の能力及び技能の向上に向けた研修等を実施しております。
御意見を踏まえ、年次計画において、引き続き、CSIRT及びCYMATに対して研修等の実施を盛り込み、体制の強化を行ってまいります。
年次計画において、対処態勢の整備の取組を実施することとしております。サ
イバーセキュリティ対処調整センターの情報共有システムには、サイバーセ「サイバーセキュリティ対処調整センター」において、関連情報 キュリティ関係機関や重要サービス事業者等並びにCTI情報を提供してくださ
４．２．５ 2020年東京大会を民間の知見をも活用しつつ幅広く収集・分析する等の取組み る事業者の方々が参加し、民間の方々の知見が活用できる仕組みになっておとその後を見据えた取組を推進してほしい。
ります。今後は、その仕組みを有効に働かせることが肝要と考えております。
御意見については今後の取組の検討や実施の推進に当たっての参考とさせていただきます。
サイバー攻撃等に対し安全保障上のグランドデザインについ４．２．３ 政府機関等にお て、まずは我が国の中枢機能のセキュリティ強化、充実を、最けるセキュリティ強化・充実 もはじめに重点的になすべき。
世代を超えたオールジャパンで取り組んで頂きたい。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

個人
（11）

４．２．６ 従来の枠を超え 大規模サイバー攻撃等を防ぐために、諸外国の諜報機関
た情報共有・連携体制の構 （CIA、MI6等）のような体制を整備し、水面下の情報を確実に収 引き続き諸外国の様々な機関とも連携して、情報収集に努めてまいります。
築
集し、それを生かせる様にすべき。

株式会社ラック

2018年12月に改正されたサイバーセキュリティ基本法に基づき、2019年4月1日に、官民の多様な主体が連携してサイバーセキュリティに関する情報共有を
内閣官房が中心となり構築する情報共有体制における情報共 行い、サイバー攻撃による被害の発生及び被害の拡大を防ぐための「サイ４．２．６ 従来の枠を超え 有を促進する観点から、当該情報共有に貢献した参加者が適 バーセキュリティ協議会」が組織されました。
た情報共有・連携体制の構
切に評価され、また適切に保護される環境の整備を加速願い 同協議会については、年次計画においても、実際の運用の経験や各主体の意
築たい。
見を丁寧に踏まえ、必要に応じて運用ルールやシステムを不断に見直すこととしており、頂いた御意見は、同協議会における情報共有促進のための参考とさせていただきます。

48

個人
（６）

「4.2.7 大規模サイバー攻撃事態等への対処態勢の強化」では、あらゆる対策を行ったうえで、万が一、事態が発生してしまった場合に備えた施策・取組を記載しています。ご指摘のとおり、まずは事態が発生しないような取組が重要であることから、「4.2.2 官民一体となった重要インフラの防護」、「4.2.3 政府機
４．２．７ 大規模サイバー 大規模サイバー攻撃事態等への対処態勢強化として、まず入関等におけるセキュリティ対策の強化・充実」及び「4.2.5 2020年東京大会とそ攻撃事態等への対処態勢 念なリスクの洗い出しとリスクの解消や低減を最優先で行っての後を見据えた取組」に対応するものとして、年次計画において重要インフラの強化欲しい。
事業者等におけるリスクマネジメントの推進、政府機関等の情報システムの調達におけるセキュリティ・バイ・デザインの推進、2020年東京大会の安全に対する脅威及びリスクの分析、評価等の取組を行っているところです。ご意見については、取組の実施や検討に当たって、参考とさせていただきます。

49

富士通クラウドテクノロジー
４．３．２ 我が国の防御
ズ株式会社
力・抑止力・状況把握力の（JASA/CAIS
強化
情報セキュリティ監査人補）

46

47

50

個人
（１５）

自衛隊のサイバー防衛隊に日本企業に所属する日本国籍所
防衛省における民間のセキュリティ人材の活用策については、不断に検討して有者だけが資格を有する予備自衛官制度を作り、民間企業のまいります。
セキュリティ人材をそれに任命するのが妥当と考える。

サイバーセキュリティ戦略（平成30年７月27日閣議決定）に基づき、国民・社会
サイバーセキュリティについて、安全保障上も危機感をもって、 を守るための取り組みや重要インフラ防護、政府機関のセキュリティ強化、我４．３．２ 我が国の防御
グランドデザインをし、官民一体、オールジャパンで総力をあげ が国の防御力、抑止力、状況把握の強化等の取り組みを内閣サイバーセキュ
力・抑止力・状況把握力のて取り組んでいただきたい。その先導役を果たしていただくこと リティセンターが中心となり官民一体となって進めてまいります。ご指摘の点に強化を切に希望する。
ついても今後の取組の検討や実施の推進に当たって参考とさせていただきます。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

BSA | ザ・ソ
フトウェア・ア ４．３．３ 国際協力・連携
ライアンス

内閣官房、警察庁、総務省、外務省、経済産業省、その他関係府省庁・機関
が相互に連携、情報共有を行い、ASEAN加盟国をはじめとする各国における多くの国々が未だ新たなサイバーセキュリティ法の策定・施行
能力構築支援に積極的に取り組んでいます。ご指摘の点についても参考とさの初期段階にある東南アジア地域に注力した国際的キャパシせていただき、年次計画において「関係府省庁・機関が相互に連携、情報共有
ティ・ビルディング支援活動を維持し拡大するよう希望。
を行い、各国における効果的な能力構築支援に積極的に取り組む」としております。

52

株式会社ラッ
４．３．３ 国際協力・連携
ク

内閣官房、警察庁、総務省、外務省、経済産業省、その他関係府省庁・機関
が相互に連携、情報共有を行い、ASEAN加盟国をはじめとする各国における能力構築支援に積極的に取り組んでいます。ご指摘の点についても参考とさせていただき、年次計画において「関係府省庁・機関が相互に連携、情報共有を行い、各国における効果的な能力構築支援に積極的に取り組む」としております。
アジア太平洋地域におけるサイバーセキュリティ人”才”の育成 総務省では、日ASEANサイバーセキュリティ能力構築センター（AJCCBC）に関支援事業については、国内外で実績のある手法を活用しつつ、 しては、ASEAN各国の政府機関及び重要インフラ事業者のサイバーセキュリ「サイバーセキュリティ産業化」をも視野に推進願いたい。
ティ担当者等を集め、実践的サイバー防御演習（CYDER）をはじめとするサイバー演習を提供しています。今後とも、民間企業と連携しつつ、ASEAN域内のサイバーセキュリティ能力向上の充実に努めてまいります。
経済産業省は、「サイバーセキュリティ産業化」としては、ベトナム、バングラデ
シュ、カンボジア、ラオス、ミャンマーといったASEAN地域において、サイバー攻
撃に強い電力制御システム（SCADA）の導入に向け、現地の電力企業への支援に取り組んでいます。

53

個人
（３）

４．４．１ 人材育成・確保

54

個人
（３）

４．４．１ 人材育成・確保

55

個人
（６）

４．４．１ 人材育成・確保

51

情報処理技術者試験及び情報処理安全確保支援士試験につきましては、年
IPA主催の資格試験の時期を4月・10月から、7月・1月への変更 間合計約50万人が受験する試験となっています。受験者の混乱を避ける観点を検討してほしい。
から、試験の実施期日の変更については、慎重に検討する必要があります。
御意見については、今後の検討にあたっての参考とさせていただきます。
情報セキュリティマネジメント試験の午後試験においては、１つの事例に対し、
IPA主催のセキュリティマネジメント試験をCBT対応としてほし 複数の質問を設ける出題形式をとっており、ＣＢＴになじまない試験となっておい。
ります。御意見については、今後の検討にあたっての参考とさせていただきます。
国民一人一人がサイバーセキュリティに対する意識・理解を醸成し、サイバー態勢強化としては、ホワイトハッカーなどの技術者の育成は第空間における様々なリスクに対して対処できるよう、全員参加による協働に向一に挙げられる事が多いが、啓蒙や教育が大きな力となる。
けた取組を推進しているところです。御意見については取組の実施や検討に
国民の意識から対処態勢の意識が欲しい。
当たって、参考とさせていただきます。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

「情報処理安全確保支援士(登録セキスペ)」の役割と位置付け 情報処理安全確保支援士（登録セキスペ）制度は、平成２９年４月に登録を開について明記して欲しい。例えば、今度実施される「NOTICE」に 始し、２０１９年４月現在での登録者数は１８，３３０人となったところ。また、登関して、一定の権限を課してその実施を代行出来る様にしても 録開始から３年目となり、ある程度の運用実績も積み上がってきたことから、よいのではないか。もちろん、そのための法整備は必要であ
年次計画において「情報処理安全確保支援士制度の着実な実施に向けて必り、すぐにというわけにはいかないと思うが、国が設けた資格故 要な措置を講じる」としており、制度運用の更なる改善を検討する予定です。御に、一定の役割と権限を付与して然るものと考える。
意見については、今後の検討にあたっての参考とさせていただきます。
有資格者による組織強化に直ちに着手すべきである。支援士と官公庁においても、体制の整備を図っているほか、人材育成の観点から、情報してスキルが担保されている人材を直ちにCISOに就け、これら
システム統一研修（総務省主催）を実施しています。
の業界に対して異動の抑制を要請するとともに、それらに対すCISOについては、各府省庁において、職歴・保有資格等を勘案し任命しているるより高度な研修を実施するほうが有効性が高いと考える。
ものと承知しており、頂いた意見については、今後の体制整備・人材育成の参
よって、官公庁については、情報処理安全確保支援士のＣＩＳＯ考とさせていただきます。
を必置化すべき。
官公庁においては、一定の業務経験と研修の修了（特定の資格による代替
資格者が高く評価されるようになるはずであるし、そうすれば企可）を要件としてスキル認定を与え、その者が専門性・特殊性の高い業務に従業もそこにお金を投じる動機付けにもなる。一方で、官公庁も事した際には、一定の給与上の評価をしています。御意見については、今後の人材確保の観点から、制度でもって民間の取り組みを刺激する検討にあたっての参考とさせていただきます。
ような取り組みが必要であると考える。
情報処理技術者試験などの試験合格者に一定の処遇を与えるか否かは、民
よって、ＩＰＡの資格者、上級ベンダー資格取得者に対して一定間企業などが自社の業務内容に応じて判断すべき事項であると考えておりまの処遇とすることについて法制化すべき。
す。

56

オフィスＶＧ２ ４．４．１ 人材育成・確保

57

個人
（10）

４．４．１ 人材育成・確保

58

個人
（10）

４．４．１ 人材育成・確保

59

個人
（11）

４．４．１ 人材育成・確保

基礎的ITリテラシーの標準装備へ向けて、ITパスポート試験の ITパスポート試験は、ITを利活用するすべての社会人が備えておくべき受験を業種を問わず全てのビジネスパーソン、学生たちへ奨励 ITに関する基礎的な知識が証明できる国家試験であり、いただきましたご意見してはどうか。
のとおり、普及に努めてまいります。

４．４．１ 人材育成・確保

ITパスポート試験については、既にスコア表示にも対応しております。また、当該試験は、ITを利活用するすべての社会人が備えておくべき
ITパスポート試験を合否制からスコア制へと変更して、ITリテラ
ITに関する基礎的な知識が証明できる国家試験であり、これに満たないＩＴＬＳ
シースタンダード（ITLS）1 級、 2級などを認定する方式に改め
２級を認定する意義は認められないことから、検討する予定はありません。ごてはどうか。
意見については今後の取組の検討や実施の推進に当たっての参考とさせていただきます。

４．４．１ 人材育成・確保

情報セキュリティマネジメント試験は、情報セキュリティを担う人材の育成・確保を目的に、情報セキュリティマネジメントに関する基本的なスキルを認定する試
情報セキュリティマネジメント試験を改組して「情報システムアド
験として、平成２８年４月から開始しされました。いわゆる情報システムアドミニ
ミニストレータ試験」を新たに創設してはどうか。
ストレータとは、主旨がことなるものであり、情報セキュリティマネジメント試験の改組を検討する予定はありません。

60

61

個人
（11）

個人
（11）

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

情報システムアドミニストレータ試験については、以下のとおりにしてはどうか。
・略号：ID 午前試験⇒80問、120分
情報セキュリティマネジメント試験は、情報セキュリティを担う人材の育成・確保
・情報セキュリティに関する出題×25問を目的に、情報セキュリティマネジメントに関する基本的なスキルを認定する試・FE試験よりテクノロジ、マネジメント、ストラテジ、各10問
験として、平成２８年４月から開始しされました。いわゆる情報システムアドミニ
・iパスの公開問題よりAI、ビッグデータ、IoTから25問
ストレータとは、主旨がことなるものであり、情報セキュリティマネジメント試験
午後試験⇒120分の改組を検討する予定はありません。
・情報セキュリティマネジメントに関する出題×2問（各20点）
・シスアド的なスキルを問うための中問×4題を出題（各15点）
サイバーセキュリティ人材育成が優先課題。現在の人材における不均衡に対処するため、多くの女子学生がサイバーセキュリ イノベーションを推進する観点から、人材の多様性の確保を推進していくことへ
ティを含むコンピューターサイエンス教育の道を進むインセン の賛同意見として承りました。
ティブ付与は特に重要。
大規模災害の被災地の復興支援と人材定着に向け 、セキュリ
イノベーションを推進する観点からも人材の多様性の確保に取り組んでいくこ
ティ人"才"育成をベースとするICT利活用事業を実施願いたととしております。
い。

62

個人
（11）

63

BSA | ザ・ソ
フトウェア・ア ４．４．１ 人材育成・確保
ライアンス

64

株式会社ラッ
４．４．１ 人材育成・確保
ク

65

株式会社ラッ
４．４．１ 人材育成・確保
ク

人材の流動性・地位の向上、安定的な雇用機会の創出並びに 産学官が連携して人材の需要や人材育成施策に関する情報共有等の連携をキャリアパス及び適切な処遇の確保に向けた所要のスキルの 図りつつ、人材育成・確保を強化するとともに、人材の多様性の確保を推進し明確化、素養を含む保持スキルの「見える化」、キャリアパスの ていくことが重要としております。御意見については今後の取組の検討や実施
例示その他の取組みを総合的に推進願いたい。
の推進に当たっての参考とさせていただきます。

株式会社ラッ
４．４．１ 人材育成・確保
ク

情報リテラシー・モラルに関する普及啓発については、年次計画において「文各地において情報リテラシー・モラルに関する普及啓発に取組 部科学省において、ネットモラルキャラバン隊を通じ、スマートフォン等によるイ
む者に対する財政的・人的支援の強化、インセンティブ付与策 ンターネット上のマナーや家庭でのルールづくりの重要性の普及啓発を実施すを検討願いたい。
る。」としております。御意見については取組の実施や検討に当たって、参考とさせていただきます。

66

67

４．４．１ 人材育成・確保

株式会社ラッ
４．４．１ 人材育成・確保
ク

若年層に対する情報モラル教育の一環として、普及・啓発を強化願いたい。
かかる指導層を確保するため、特にサイバーセキュリティに関する法制度に関するものについてもよりいっそう盛り込んでいただきたい。

若年層に対する普及啓発に寄与する教員に関する取組として、年次計画において「独立行政法人教職員支援機構と連携し、新学習指導要領の趣旨を踏まえ、情報通信技術を活用した指導や情報モラルに関する指導力の向上を図る
ため、各地域で情報教育の中核的な役割を担う教員等を対象とした研修を実施する。」としております。御意見については取組の実施や検討に当たって、参考とさせていただきます。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

株式会社ラッ
４．４．１ 人材育成・確保
ク

我が国のセキュリティ若手人材が海外の若手人材との交流等ができる実践的な機会については、NPO日本ネットワークセキュリティ協会が実施する
わが国のセキュリティ若手人材が海外の有為な若手人材との「SECCON国際CTF大会」に対し、経済産業大臣賞を交付することで支援をし交流等を通じて国際感覚を身に着けるための実践的機会の創ており、年次計画においても、「「CTF」に対する後援等を通じて、普及・広報の出支援を行う。」とし、引き続き支援を行う予定です。御意見については取組の実施や検討に当たって、参考とさせていただきます。

大日本印刷株
４．４．１ 人材育成・確保
式会社

情報処理安全確保支援士（登録セキスペ）制度は、平成２９年４月に登録を開始し、２０１９年４月現在での登録者数は１８，３３０人となったところ。また、登情報処理安全確保支援士（登録セキスペ）制度において、「技録開始から３年目となり、ある程度の運用実績も積み上がってきたことから、能検定」も導入し、「事態対処可能なサイバーセキュリティ技術
年次計画において「情報処理安全確保支援士制度の着実な実施に向けて必者育成」が必要と考えます。
要な措置を講じる」としており、制度運用の更なる改善を検討する予定です。御意見については、今後の検討にあたっての参考とさせていただきます。

70

大日本印刷株
４．４．１ 人材育成・確保
式会社

情報処理安全確保支援士（登録セキスペ）制度は、平成２９年４月に登録を開始し、２０１９年４月現在での登録者数は１８，３３０人となったところ。また、登登録セキスペの人数に応じたポイント制度を導入し、登録人数
録開始から３年目となり、ある程度の運用実績も積み上がってきたことから、に応じた税制優遇措置、サイバーセキュリティ保険の減額など
年次計画において「情報処理安全確保支援士制度の着実な実施に向けて必の具体的インセンティブが必要
要な措置を講じる」としており、制度運用の更なる改善を検討する予定です。御意見については、今後の検討にあたっての参考とさせていただきます。

71

大日本印刷株
４．４．１ 人材育成・確保
式会社

緊急の有事対応を想定しサイバーセキュリティ人材データベー
防衛省における民間のセキュリティ人材の活用策については、不断に検討してス構築、また、当該人材を育成・確保するための認定講習、認いくとともに、人材育成・確保に係る各種取組を進めてまいります。
定講習機関の登録制度などの仕組みが必要

72

個人
（１６）

４．４．１ 人材育成・確保

戦略的に質の担保をしその向上とその維持。各分野をつなげる役割やそれらの人材などが足かせにならないように

個人（７）

サイバー攻撃の脅威を踏まえた実践的なサイバーセキュリティの研究開発が事業者での調達に関する調達システムおよび調達システムを 必要であるとの認識の下、システムに組み込まれている機器やソフトウェアに構成する個別の IT/ICT機器の要求技術仕様を検討・推奨、シ ついて検証できる手段を確保することが重要としており、年次計画において「内４．４．２ 研究開発の推進 ステムを各IT/ICT機器の安全性を検証するための検証技術仕 閣官房において、関係府省と連携し、国産技術の確保・育成のための取組や、様とその検証環境、ならびに実機を用いた検証を実施する産 政府調達における活用も可能な、産学官連携による、サプライチェーンリスク
官学の組織を創設すべきに対応するための技術検証体制の整備に向けた取組を進める。」として、引き続き、取組を推進してまいります。

68

69

73

御意見の趣旨が必ずしも明確ではないと考えられますが、御意見として承ります。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

個人
（８）

「政府機関や重要インフラ事業者等が提供するサービスの全体の基盤となる信頼できる情報インフラについて、国際海底ケーサイバー攻撃の脅威を踏まえた実践的なサイバーセキュリティの研究開発がブル等のインフラ設備の防護の強化を含めた整備を促進する。
必要であるとの認識の下、システムに組み込まれている機器やソフトウェアにこのため、信頼性を評価するための検証や政府調達におけるついて検証できる手段を確保することが重要としており、年次計画において「内運用改善等について検討し、対策を進める。」とされておりま
４．４．２ 研究開発の推進
閣官房において、関係府省と連携し、国産技術の確保・育成のための取組や、す。2019年度においては、具体的かつ現実的な計画の策定を政府調達における活用も可能な、産学官連携による、サプライチェーンリスク
し取り組むことが重要と考えます。
に対応するための技術検証体制の整備に向けた取組を進める。」として、引き日本に新たな予断の無い機器セキュリティ検証・評価の仕組み
続き、取組を推進してまいります。
を構築することが、今後の日本の情報通信インフラおよび日本
経済と社会の発展のために重要と考えます

個人
（12）

サイバー攻撃の脅威を踏まえた実践的なサイバーセキュリティの研究開発が情報通信機器の安全性を，社会体制，地理的，経済的な要因必要であるとの認識の下、システムに組み込まれている機器やソフトウェアにとは独立して，技術的に検証する必要性が，今後ますます重要
ついて検証できる手段を確保することが重要としており、年次計画において「内になると考えられる．通信機器に関するソフトウェア・ハードウェ
４．４．２ 研究開発の推進
閣官房において、関係府省と連携し、国産技術の確保・育成のための取組や、アセキュリティの専門家からなる検討委員会を発足させ，そこで政府調達における活用も可能な、産学官連携による、サプライチェーンリスクの検討結果を結果をうけ，機器単位で安全性の認証をおこなうに対応するための技術検証体制の整備に向けた取組を進める。」として、引き機構を発足させることを提言する．
続き、取組を推進してまいります。

76

株式会社ラック

情報処理安全確保支援士（登録セキスペ）制度は、平成２９年４月に登録を開始し、２０１９年４月現在での登録者数は１８，３３０人となったところ。また、登録開始から３年目となり、ある程度の運用実績も積み上がってきたことから、年次計画において「情報処理安全確保支援士制度の着実な実施に向けて必要な措置を講じる」としており、制度運用の更なる改善を検討する予定です。まいわゆるセーフハーバールール（例：登録セキスペその他の資た、ご指摘の「いわゆるセーフハーバールール」が具体的に何を指すのか必ず
４．４．２ 研究開発の推進 格保持者が研究その他の適正な業務を遂行する際に免責されしも明確ではないと考えられますが、例えば、不正指令電磁的記録作成等罪る等）の導入を検討願いたい。
（刑法168条の2）については，「実行の用に供する目的」や「正当な理由がない」ものであることが要件とされ、これらの要件を満たさない場合には、処罰の対象とされないところです。また、不正アクセス行為の禁止等に関する法律第２条第４項においては、アクセス管理者の承諾を得て行う行為は不正アクセス行為に当たらないとされており、同行為は処罰の対象とされないところです。

77

株式会社ラッ
４．４．２ 研究開発の推進
ク

74

75

サイバー空間におけるイノベーションの進展とそれに値するサイバー攻撃の脅
AI時代におけるサイバーセキュリティ確保の観点から大きな脅 威を踏まえた実践的なサイバーセキュリティ研究開発を進めることとしておりま威となる各種課題についての研究開発を推進願いたい。
す。御意見については取組の実施や検討に当たって、参考とさせていただきます。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

４．４．３ 全員参加による協働

国民一人一人がサイバーセキュリティに対する意識・理解を醸成し、サイバー事件があれば一部を高らかに報道させてしまう事が、国民に空間における様々なリスクに対して対処できるよう情報発信等の取組を推進しとっては最大の防御力・抑止力・状況把握力の強化に繋がるとているところです。御意見については取組の実施や検討に当たって、参考とさ感じる。AC（公共広告機構）を上手く利用しても良いと思う。
せていただきます。

株式会社ラッ ４．４．３ 全員参加によるク
協働「サイバーセキュリティ意識・行動強化プログラム」（平成31年１月24日サイ「全員参加による協働」推進の観点から一定の意義・有益性が バーセキュリティ戦略本部決定）においてポータルサイトによる取組の見える認められるものについて、一般ユーザがスマートフォン等で簡 化及び連携推進を掲げているところ、御意見踏まえ、年次計画において、「内便に利用できるようアプリ化・ツール化する取組みを推進願い 閣官房において、関係機関と連携し、人材育成や普及啓発に関する官民のたい。
様々な取組みを集約するポータルサイトを構築し、対象となる層や伝達手法の見える化及び連携を推進するための検討を行う。」と記載いたしました。

株式会社ラッ ４．４．３ 全員参加によるク
協働「サイバーセキュリティ意識・行動強化プログラム」（平成31年１月24日サイバーセキュリティ戦略本部決定）においてポータルサイトによる取組の見える
網羅的・一覧性をもってサイバーセキュリティに関する普及啓化及び連携推進を掲げているところ、御意見踏まえ、年次計画において、「内発・支援ポータルに掲載される等、当該コンテンツの流通・利活
閣官房において、関係機関と連携し、人材育成や普及啓発に関する官民の用を促進願いたい。
様々な取組みを集約するポータルサイトを構築し、対象となる層や伝達手法の見える化及び連携を推進するための検討を行う。」と記載いたしました。

81

個人
（１６）

４．４．３ 全員参加による協働

国民一人一人がサイバーセキュリティに対する意識・理解を醸成し、サイバー空間における様々なリスクに対して対処できるようにするため、全員参加によ障害者や高齢者なども全員参加による協働が出来るようにアクる協働に向けて国民一人一人を対象とした取組を記載しているところです。内セシビリティにすること
容については、今後の施策の検討や実施の推進に当たって参考とさせていた
だきます。

82

個人
（６）

５．推進体制サイバー空間の維持管理はもはや民間企業だけで担えるもの ご指摘の「法整備」が具体的に何を指すのか必ずしも明確ではないとでは無い。守るための取り組みとして最善のものは法整備であ 考えられますが、サイバーセキュリティ基本法の一部を改正する法律
り、急務である。これらは旧来の商法や刑法を改革していかね （平成30年法律第91号）などが成立しており、それに基づく取組を進めばならない。
ております。

５．推進体制サイバーセキュリティ政策については、サイバーセキュリティ基本法に基づき、「内閣官房内閣サイバーセキュリティーセンター（NISC）」を昇格
関係省庁の大臣を本部員とする「サイバーセキュリティ戦略本部」の下、戦略させ「内閣サイバーセキュリティー庁」を導入する事が望ましを定め、対策を進めています。また、内閣サイバーセキュリティセンターはサイい。
バーセキュリティ戦略本部の事務局を担っており、関係府省庁の総合調整等「５G（第５世代）」の構造では「NR(New Radio)」の導入であり、を行っております。なお、平成28年、平成30年にはサイバーセキュリティ基本法「６G（第６世代）」の構造では「NA(New Audio)」の導入であるとの法改正が成立するなど、必要な体制整備を行っています。
思う。「情報技術（IT）」の分野でのITネットワークだけでは無く、御意見につきましては、サイバー空間に係る認識として「ＡＩの劇的な進化」も「人工知能（AI）」の分野でのAIネットワークに対しても、サイ盛り込んだサイバーセキュリティ戦略（平成30年７月27日閣議決定）の実施状
バーセキュリティ対策が必要と思う。
況や、改正法の施行状況を注視していくべきと考えています。

78

79

80

83

個人
（６）

個人
（４）

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

BSA | ザ・ソ
フトウェア・ア ５．推進体制
ライアンス

BSA会員企業は、サイバーセキュリティ戦略の実施に重大な関心を有しており、日本のコネクテッド・エコノミー全体のセキュリ サイバーセキュリティ戦略の推進に当たっての賛同意見として承りました。今
ティを向上させる効果的なアプローチを策定するため、NISCに 後の施策の実施や検討に当たって、参考とさせていただきます。
協力させていただきたいと考えています。

BSA | ザ・ソ
フトウェア・ア ５．推進体制
ライアンス

BSAの提唱するインターナショナル・サイバーセキュリティ・ポリ サイバーセキュリティ戦略（平成30年７月27日閣議決定）の基本原則には、「情シーフレームワークの原則（①国際的に認められた技術標準と 報の自由な流通の確保」、「自律性」、「多様な主体の連携」が盛り込まれておの整合性、②リスクベース、結果重視、技術中立的であること、 り、また、同戦略には、サイバーセキュリティの取組を進めるに当たって求めら③市場主導のメカニズムを信頼すること、④イノベーションを促 れる観点として、「リスクマネジメント」が盛り込まれており、これらに基づいた取進するよう柔軟で適応可能であること、⑤官民連携、⑥プライ 組を進めております。頂いた御意見については、今後の施策の実施や検討にバシー保護を重視すること）に基礎を置くよう提言。
当たって、参考とさせていただきます。

86

BSA | ザ・ソ
フトウェア・ア ５．推進体制
ライアンス

BSAは、サイバーセキュリティにおけるNISCのリーダーシップに敬意を表するとともに、NISCが協力的なマルチステークホル
ダー・アプローチを取られていることについて感謝します。サイサイバーセキュリティ戦略（平成30年７月27日閣議決定）の推進に関する賛同
バーセキュリティ戦略に基づき2019年度に実施すべき施策の意見として承りました。今後の施策の実施や検討に当たって、参考とさせてい検討においてBSA及び会員企業の本意見が有用なものである
ただきます。
こと、また、本取組みについて引き続きNISCと協力していけることを願っております。ご質問やご意見があればいつでもご連絡
下さい。

87

個人
（１６）

５．推進体制用語が色々わからない。
ご指摘の用語が具体的に何を指すのか必ずしも明確ではないと考えられます
規模や官民や立場や個人や組織に寄らずというのを整理し強が、サイバーセキュリティ戦略（平成30年７月27日閣議決定）の推進に当たっ
調したほうが良いて、参考とさせて頂きます。

88

個人
（９）

-

サイバーセキュリティ担当大臣の発言が、病人の気持ちを考え本意見募集と直接関係ないと考えられますが、ご意見として承ります。
ていない内容であり、問題である。

-

・社会構造が古い為に新しく改革し向上による概略案
・教育内容の改正による具体案
・女性社会進出での改正による具体案
・外国人高度人材での導入で社会水準の向上による具体案
・「ガバナンス（政治統治）」構造の改正による具体案
・生活水準での基準による詳細案
・官公庁が考案した無駄な政策の廃止による詳細案」

84

85

89

個人
（４）

本意見募集と直接関係ないと考えられますが、ご意見として承ります。

2019年度に実施すべき施策に関する意見募集の結果一覧
通しNo

提出者

該当箇所

意見の要旨

資料1-4

主な考え方

-

20年前に仕事中の事故で、建設用の重機に右足をひかれ切断に至った。当時の重機の運転手を処罰して欲しい。警察も頼り 本意見募集と直接関係ないと考えられますが、ご意見として承ります。
にならないので国の力を貸して欲しい。

91

個人
（１３）

-

学生に中共スパイが混じっているようにも思える。学校存続のために変な補助金目当てで外国人留学生を日本の税金を使っ本意見募集と直接関係ないと考えられますが、御意見として承ります。
て無料招待するより、日本国民学生の学費ローンとも呼ばれる
奨学金制度を何とかしてほしい。

92

個人
（１６）

-

学問というより数学のようにそれを前提とした利用、それを推進 御意見の趣旨が必ずしも明確ではないと考えられますが、今後も、サイバーセするための基礎研究、抽象的でわかりがたいことを伝える工キュリティ戦略（平成30年７月27日閣議決定）に基づく取組を推進していきま夫。日常（アナログ）の延長ではない。
す。

90

個人
（５）

資料１－５

サイバーセキュリティ2019（案）（2018年度報告・2019年度計画）

令和元年（2019年）

月日

サイバーセキュリティ戦略本部

サイバーセキュリティ普及啓発ロゴマーク（商標登録第 5648615 号及び第 5648616 号）○中央の球体は国際社会（地球）をイメージし、白い線は情報通信技術のグローバル化と国際社会にいる世界中の人々のネットワーク（繋がり）との両方の意味を持つ。
○地球を包む３つのオブジェクトは、情報セキュリティ普及啓発のキャ
ッチフレーズ「知る・守る・続ける」そのものであり、
・「知る」（青色）は、IT リスクなどの情報を冷静に理解し知る・「守る」（緑色）は、安全・安心にインターネットを利用し、情報セキュリティ上の脅威から、身を守る・「続ける」（赤色）は、情報セキュリティ対策を情熱を持って続ける
ことをそれぞれ意味する。
サイバーセキュリティ普及啓発ロゴマークは、産官学民連携した情報セキュリ
ティ普及啓発を一層推進するため、有識者等の御意見を賜り、定められた。
本ロゴマークについては、政府機関だけでなく、広く関係機関・団体、企業等にも、長期間、様々なイベントに使用していただき、効果的な PR 活動に役立たせ、誰もが安心して情報通信技術の恩恵を享受し、国民一人ひとりが情報セキュ
リティについての関心を高めてほしいという願いが込められている。

＜目次＞

はじめに .........................................................1
1部 年次報告（2018年度） ........................................4
1章

サイバー空間と実空間の一体化の進展に伴う動向と対処方針 ............... 41

本章の位置づけ ........................................................ 4

2

変わりゆくサイバー空間とそれに伴う脅威の深刻化 ........................ 5

2.1

新たなサイバーセキュリティ戦略の位置づけ ........................... 5

2.2

新戦略で目指す姿とサイバー空間における脅威の状況 ................... 5

2.3

主なトピック ...................................................... 13

3

新戦略に基づく対処方針 ............................................... 19

3.1

持続的な発展のためのサイバーセキュリティ ～サイバーセキュリティエコシステム～ .. 19

3.2

積極的サイバー防御3.3

2020 年東京大会とその後を見据えた対処態勢の強化 .................... 22～事前の能動的な取組～ ................................ 20

2章

2018 年度のサイバーセキュリティに関する情勢 ......................... 23

1

サイバーセキュリティの基本的な枠組みに関する情勢 ..................... 23

2

重要インフラ分野等におけるサイバーセキュリティに関する情勢 ........... 26

3

政府機関等におけるサイバーセキュリティに関する情勢 ................... 29

3.1

政府機関等におけるサイバーセキュリティに関する体制 ................ 29

3.2 2018 年度の政府機関等に対する外部からの攻撃に係る情報セキュリティ
インシデントの傾向 ................................................. 30
3.3 2018 年度の政府機関等における意図せぬ情報流出に係る情報セキュリティ
インシデントの傾向 ................................................. 36
4

サイバー空間に係る国際的な動向 ....................................... 37

3章

2018 年度のサイバーセキュリティ関連施策の取組実績と評価 ............. 39

1

経済社会の活力の向上及び持続的発展 ................................... 39

1.1

新たな価値創出を支えるサイバーセキュリティの推進 .................. 39

1.2

多様なつながりから価値を生み出すサプライチェーンの実現 ............ 40

1.3

安全な IoT システムの構築 .......................................... 412

国民が安全で安心して暮らせる社会の実現 ............................... 42

2.1

国民・社会を守るための取組 ........................................ 422.2

官民一体となった重要インフラの防護 ................................ 44

2.3

政府機関等におけるセキュリティ強化・充実 .......................... 46

2.4

大学等における安全・安心な教育・研究環境の確保 .................... 47

2.52020 年東京大会とその後を見据えた取組 .............................. 48

2.6

従来の枠を超えた情報共有・連携体制の構築 .......................... 49

2.7

大規模サイバー攻撃事態等への対処態勢の強化 ........................ 50

3

国際社会の平和・安定及び我が国の安全保障への寄与 ..................... 51

3.1

自由、公正かつ安全なサイバー空間の堅持 ............................ 51

3.2

我が国の防御力・抑止力・状況把握力の強化 .......................... 51

3.3

国際協力・連携 .................................................... 52

4

横断的施策 ........................................................... 54

4.1

人材育成・確保 .................................................... 54

4.2

研究開発の推進 .................................................... 55

4.3

全員参加による協働 ................................................ 57

5推進体制 ............................................................. 59

2部 年次計画（2019年度） .......................................62
1章

2019 年度のトピックとなる取組 ....................................... 62

1

持続的な発展のためのサイバーセキュリティ ～サイバーセキュリティエコシステム～ ..... 62

1.1 サービス提供者関連 ................................................ 62
1.2 全ての主体関連 .................................................... 64
1.3 国際協力・連携関連 ................................................ 65
1.4 研究開発関連 ...................................................... 66
2

積極的サイバー防御～事前の能動的な取組～ ................................... 67

2.1 政府関係者の取組 .................................................. 67
2.2 従来の枠を超えた取組 .............................................. 69
32020 年東京大会とその後を見据えた対処態勢の強化....................... 71

3.1 2020 年東京大会に向けた対処態勢 .................................... 71
3.2 大規模サイバー攻撃事態等への対処態勢............................... 72
2章

2019 年度の各種施策一覧表 ........................................... 73

1

経済社会の活力の向上及び持続的発展 ................................... 73

1.1

新たな価値創出を支えるサイバーセキュリティの推進 .................. 73

1.2

多様なつながりから価値を生み出すサプライチェーンの推進 ............ 74

1.3

安全な IoT システムの構築 .......................................... 762

国民が安全で安心して暮らせる社会の実現 ............................... 77

2.1

国民・社会を守るための取組 ........................................ 77

2.2

官民一体となった重要インフラの防護 ................................ 80

2.3

政府機関等におけるセキュリティ強化・充実 .......................... 83

2.4

大学等における安全・安心な教育・研究環境の確保 .................... 86

2.52020 年東京大会とその後を見据えた取組 .............................. 87

2.6

従来の枠を超えた情報共有・連携体制の構築 .......................... 882.7
3

大規模サイバー攻撃事態等への対処態勢の強化 ........................ 89

国際社会の平和・安定及び我が国の安全保障への寄与 ..................... 90

3.1

自由、公正かつ安全なサイバー空間の堅持 ............................ 90

3.2

我が国の防御力・抑止力・状況把握力の強化 .......................... 91

3.3

国際協力・連携 .................................................... 944

横断的施策 ........................................................... 96

4.1

人材育成・確保 .................................................... 96

4.2

研究開発の推進 .................................................... 99

4.3

全員参加による協働 ............................................... 102

5推進体制 ............................................................ 104

別添１

各府省庁における情報セキュリティ対策の総合評価・方針 .. 105

別添２

2018年度のサイバーセキュリティ関連施策の実施状況 ......... 131

別添３

政府機関等における情報セキュリティ対策に関する統一的な取組. 195

別添４

重要インフラ事業者等における情報セキュリティ対策に関する取組等 . 239

別添５

サイバーセキュリティ関連データ集 ...................... 329

別添６

担当府省庁一覧（2019年度計画） ........................ 351

別添７

用語解説 .............................................. 355

はじめにサイバー空間は、実空間との一体化が進展し、経済社会の必要不可欠な基盤となり、人々の生活に様々な恩恵をもたらしている。一方で、これに伴い、悪意ある主体による活動も多様化・巧妙化してきており、経済的・社会的損失が生ずる可能性が飛躍的に高まり、今後、脅威は更に深刻化することが予想される。サイバーセキュリティの確保は、成長戦略を実現するための基盤であるだけでなく、我が国の安全保障・危機管理にとっても極めて重要な課題である。
こうした中、サイバーセキュリティ基本法（平成26年法律第104号。以下「基本法」という。）に基づき、2018年７月、約３年ぶりに新たなサイバーセキュリティ戦略（2018年７月27日閣議決定。以下「新戦略」という。
）を今後３年間の基本的な計画として策定した。その後、新戦略に基づく１期目の年次計画であるサイバーセキュリティ2018に基づき、具体的な取組を推進してきたところである。
本書では、2018年度における我が国を取り巻くサイバーセキュリティに関する情勢及びサイバ
ーセキュリティ2018に掲げられた具体的な施策の実施状況等を年次報告としてまとめた。また、
これまで、政府が実施する具体的な施策は年次報告とは別の冊子にまとめていたが、新戦略で「本部は（中略）年次報告として取りまとめ、次年度の年次計画へ反映する」とされて相互に関連があるため、本書では、１部を年次報告（2018年度）、２部を年次計画（2019年度）とし、冊子を統合・一本化した。また、関係機関の協力を得て、記載の根拠となるデータを充実化した。
本編に記載のとおり、１部の年次報告で特記すべき点としては、①新戦略の策定（2018年７月27日）、②政府機関等の情報セキュリティ対策のための統一基準群の改定（2018年７月25日）、③
従来の枠を超えた情報共有・連携体制の構築に向けた取組（基本法の改正の成立（2018年12月5日））などが挙げられる。このうち、新戦略はサイバーセキュリティに係る共通の理解と行動の基礎となるため、１部１章でサイバー空間における脅威の動向と主なトピックを加え、その目指す姿と対処方針などのポイントを改めて整理した。また、２部の年次計画では、２部１章で、新たに、新戦略の対処方針に関する国内外の関係者の理解・浸透を図るため、対処方針別にトピッ
クとなる取組を抽出し、その狙いとポイント、主な施策の例を整理した。なお、２部２章では、昨年度と同様、新戦略の体系に沿って、各目的・領域別に、具体的な施策を網羅的に示した。
本書は、新戦略の閣議決定後に初めて作成する年次報告とそれを反映した年次計画を統合・一本化したものである。新戦略に基づき、自律的にサイバーセキュリティに取り組むとともにサイバー空間が持続的に発展する姿（サイバーセキュリティエコシステム）を目指すためには、官民データ活用推進基本法（平成28年法律第103号）等に基づく取組と同時並行的に、サイバーセキ
ュリティの取組に関し、政府機関等は元より、重要インフラ事業者等や企業、そのサービスの恩恵を享受する利用者を含む全ての主体が「参加・連携・協働」していく必要がある。
2018年度の報告も統合した本書の名称は、「人々が美しく心を寄せ合う中で文化が生まれ育つ」との意味が込められた令和1の時代においても、協調して施策を推進する文化を引き続き育んでいく観点とともに、名称の継続性も尊重して、「サイバーセキュリティ2019」とした。
なお、本書の記載にかかわらず、我が国を取り巻くサイバーセキュリティに関する情勢に変化が生じた場合には、その内容に応じて、必要な範囲で迅速に取組を策定・実施することとする。

1安倍内閣総理大臣記者会見（平成 31 年４月１日）（抜粋）
この「令和」には、人々が美しく心を寄せ合う中で文化が生まれ育つという意味が込められております。

- 1 -- 2 -

１部

年次報告（2018年度）- 3 -1 部 年次報告（2018 年度）
1 章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
1 本章の位置づけ

1部

年次報告（2018 年度）

1章

サイバー空間と実空間の一体化の進展に伴う動向と対処方針

1 本章の位置づけ
昨今、AI、IoT、Fintech、ロボティクス、３D プリンター、AR/VR などの知見や技術・サービスが社会に定着し、狩猟社会、農耕社会、工業社会、情報社会から Society 5.0（超スマート社会）へのパラダイムシフト、サイバー空間と実空間の一体化が進展している。インター
ネットを通じて、いつでもどこでも、実空間とほぼ同様の社会経済活動を行うことできるよ
うになるだけでなく、サイバー空間を通じて、これまでにできなかったことが次々に実現してきている。時間や場所の制約に捉われず、データの共有・分析等が可能という特質を持つ
サイバー空間は、人間の活動空間を拡大させている。こうした潮流の中、特定のグローバル
企業が先導する激しい国際競争の下、様々なサービスを提供する企業は、中長期的な成長のために、また、それのみならず、事業を継続していくためにも、サイバー空間の利用を避けることはできない。これは、サービスの恩恵を享受する全ての利用者（個人・組織等）にとっても同様である。
一方で、サイバー空間を利用して恩恵を受ける主体は、同時に、サイバー空間における脅
威から逃れられない。時間や空間の制約を受けないという特徴を有し、ほぼ無制限にデータ共有・分析等が可能であるサイバー空間を利用し、活動を拡大するのは、悪意ある主体にとっても同様であり、その活動は巧妙化・多様化してきているからである。
「情報の毀損及び漏えい」に加え、直接的な「金銭の窃取・詐取等の損害」、さらには、「業務・機能・サービス障害」などが引き起こされる事案が国内外で生じており、国家の関与が疑われる大規模な事案も発生している。サイバー空間上の社会経済活動が飛躍的に増えて恩恵がもたらされれば、その一方で、この空間における脅威が社会経済に与える影響が質量ともに拡大していく。必然的に、サイバーセキュリティの確保は、全ての主体の課題となってきている。
こうした認識の下、政府は、2018 年７月、新戦略を策定し、「サイバーセキュリティエコシ
ステム」を目指す姿として掲げた。これは、生活の基盤となる様々なモノやサービスを提供する責任がある政府機関等や重要インフラ事業者等、企業に加え、そのサービスの利用者（個人・組織等）を含めた「全ての主体」が、サイバーセキュリティに関する自律的な取組を行う
ことで、一種の生態系のようにサイバー空間が持続的に発展していくという概念である。
2000 年以降、政府機関等や重要インフラ事業者等は、各種の対策基準や行動計画の策定など様々な取組を進めてきた。基本法は、その目的として、「経済社会の活力の向上及び持続的発展」を最初に掲げており、サイバーセキュリティの確保とともにサイバー空間が発展する
ことを通じて、経済社会の持続的発展を目指すことが重要である。今後、中小企業やそのサービスの利用者にも多大な影響を与えるような、経済社会への影響力を有する企業は、サイバーセキュリティの確保にとっても、根幹となっていくと考えられる。新戦略の推進にあた
り、特に、こうした企業の経営層への理解・浸透を図ることを通じて、中小企業や若年層を含む全ての主体の意識が高まり行動につながるというような波及が重要であり、期待される。
以上を踏まえ、本章は、2018 年度を中心とした近年の適切なトピックを選び、サイバーセ
キュリティの確保にあたって、新戦略の理解を深め、実践していくための参考として活用されることを目指し、作成したものである。
- 4 -

1章

1 部 年次報告（2018 年度）
サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化

2 変わりゆくサイバー空間とそれに伴う脅威の深刻化
2.1

新たなサイバーセキュリティ戦略の位置づけ
新戦略は、基本法に基づき、サイバーセキュリティに関する施策を総合的かつ効果的に推進するために策定した旧サイバーセキュリティ戦略（2015 年９月閣議決定。以下「2015 年戦略」という。）を初めて改定したものであり、基本法に基づく２回目の「サイバーセキュリテ
ィに関する基本的な計画」である。
その位置づけと狙いは、我が国が 2020 年以降の目指す姿も念頭におきつつ、今後３年間（2018 年７月～2021 年７月）の諸施策の目標と実施方針を国内外に示すものである。また、一部の国家において見られるサイバー空間を管理・統制する潮流に対し、「こうした管理・統制の強化はサイバー空間の自律的・持続的な発展の可能性を閉ざす」との認識の下、「自由、公正かつ安全なサイバー空間」という基本的な理念をはじめとした、2015 年戦略で示した我が国の基本的な立場を堅持することを示したものでもある。
新戦略では、サイバー空間と実空間の一体化の進展に伴い、脅威が深刻化しているとの認識の下、サイバー空間の持続的な発展のため、全ての主体が自律的にサイバーセキュリティに取り組む方針を定めた。こうした方針の下、各種ガイドラインの作成や相談窓口の設置、税制優遇措置などの企業に関する施策を含め、各種施策を盛り込んだ年次計画を策定した。
政府は、新戦略を確実に実行するため、サイバーセキュリティ戦略本部の下、関係府省庁が連携して、年次計画に基づき、取り組んでいくこととしている。

2.2
(1)

新戦略で目指す姿とサイバー空間における脅威の状況
サイバーセキュリティを通じたサイバー空間の持続的発展
新戦略で目指すのは、サイバーセキュリティの取組が自律的に行われるとともに、こうした官民の取組によりサイバー空間が持続的に発展することを通じて、Society 5.0 の実
現に寄与することである。
Society 5.0 は、サイバー空間とフィジカル（実）空間を高度に融合させることにより、経済的発展と社会的課題の解決を両立する「人間中心の社会」である。これまでの情報社
会では、インターネット上の膨大な情報から必要な情報を人の手で収集・分析するのに限界があったが、Society 5.0 は、人工知能・IoT の活用で、情報の共有・分析が進展し、分野を越えて、人々に様々な恩恵をもたらす社会になるとされる2。言い換えれば、次に目指
す社会は、サイバー空間と実空間の間でデータが循環して、相互に作用し、これを前提とした様々なサービスが提供され、人々の生活に浸透し、恩恵をもたらす社会である。
近年、具体的な潮流として、インターネット利用者数が増加し、スマートフォンの個人
保有率が大きく伸び、SNS の利用割合も伸びているように、サイバー空間上でコミュニケー
ションを行うことが日常的になり、経済活動においてもネットショッピングや株取引・オンラインバンキング、キャッシュレスサービスの利用が進むなど新サービスが次々登場している。こうした潮流の中、我が国が目指す Society 5.0 では、自動運転など、AI（人工知能）やロボットによって様々な分野で自動化が進むことや、消費者のニーズの変化を的

2

出典：内閣府資料- 5 -

1 部 年次報告（2018 年度）
1 章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化

確に捉えた商品・サービスの提供、人の健康状態に応じた健康・医療・介護サービスなどが可能になるとされている3。また、こうした Society 5.0 時代にふさわしい行政サービスという観点でも、政府において、行政サービスのデジタル化の推進や、情報システムのク
ラウド化などの合理化に関する方策の検討が行われている。

(2)

目指す企業経営とサイバーセキュリティの姿～DX with Cybersecurity～

企業経営にとっても、デジタル化の推進は、新サービスの創出の観点はもちろん、競争環境の下で事業継続するという観点でも重要な課題であり、デジタル化の推進を含むサイバー空間の利用は避けられない課題である。言い換えれば、サイバーセキュリティに取り組まず発展しないまま終わるか、サイバーセキュリティに取り組みながらサイバー空間を有効に活用してビジネスの継続・発展を目指すのかの二者択一を迫られている状況である。
今後、国際競争を勝ち抜くためには、サイバー空間を活用して、効率化を追求するとともに、我が国で長年培われてきた顧客重視のきめ細かな商慣習のうち、強みにできる部分も生かし、質を向上させて新しい製品やサービス等の新たな価値を生み出していくとの観点も重要である。
いわゆる「デジタルトランスフォーメーション（DX：Digital transformation）」には、これと同時に、サイバーセキュリティ対策を組み込んでいくこと（DX with Cybersecurity）
が、経営課題として求められている4。あらゆる産業におけるユーザ企業は、デジタル技術を駆使する「デジタル企業」となることを目指すべき5であり、そこに、サイバーセキュリ
ティの確保も含まれなければならない。このように、あらゆる企業が、事業を継続して新たな価値を創出できる「デジタル企業」となるためにサイバーセキュリティの確保に同時に取り組むことを想定し、新戦略では、「サイバーセキュリティ対策をやむを得ない「費用」
ではなく、事業継続や新たな価値創出のために不可欠な「投資」であると捉えられるようにする」とされている。
また、新戦略では、「官民のデータ利活用が更に進むと、IoT、サプライチェーン、オープ
ンイノベーションの脆弱な部分を狙う動き（中略）が発生する懸念は高まる」とされており、様々な企業の協業の中で、新しい製品・サービスを創出していくには、サプライチェーン全体が、サイバーセキュリティの確保について同時に、協調して取り組むことが必須である。
こうしたことも踏まえ、新戦略では、自律的な取組の３つの観点として、「参加・連携・協働」とともに、自らの責任で遂行すべき業務・サービスを見定めて取り組む「任務保証」と、完全なリスクの除去は不可能であると認識してリスクを許容し得る程度まで低減する対応を行う「リスクマネジメント」の考え方が明記された。
今後、こうした考え方の理解・浸透を図り、サイバー空間の持続的発展を通じて、Society
5.0 の実現に寄与していくことが求められている。

3

出典：未来投資戦略 2018
経団連サイバーセキュリティ経営宣言（2018 年３月）では、「いまやすべての企業にとって価値創造とリスク
マネジメントの両面からサイバーセキュリティ対策に努めることが経営の重要課題となっている。
」とされて
いる。
5
出典：DX レポート（平成 30 年 9 月 7 日経済産業省デジタルトランスフォーメーションに向けた研究会）
4

- 6 -

1章

(3)

1 部 年次報告（2018 年度）
サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化

身近にあるサイバー空間における脅威とその影響の拡大
新戦略では、脅威について、「AI や IoT などの技術・サービスが人々に多くの恩恵をもたらす可能性がある一方で、こうした技術・サービスを提供する者がこれらを制御できなくなるおそれは常に内在」とし、実際に、制御できなくなれば、「多大な経済的・社会的な損失が生じ得る」としている。
そもそも、こうした損失を引き起こす「サイバー攻撃」には様々な類型があり、外延が定まっているわけではないが、一般的には、「インターネットやコンピュータを悪用することにより、情報の窃取や改ざんを行うこと等」を意味する6。これに対する「サイバーセキ
ュリティの確保」とは、一般的に「コンピュータ、ネットワークの安全性及び信頼性の確保のために必要な措置が講じられ、その状態が適切に維持管理されていること」を意味しており7、「外部からの侵入を防ぐ」等の安全性の確保に加え、「障害等が発生しても迅速に復旧すること」等の信頼性の確保の観点が含まれていることに留意が必要である。

①

サイバー空間における脅威による影響
サイバー攻撃による経済的・社会的損失については、新戦略で、「実際に、IoT、仮想通貨を含む Fintech、重要インフラ、サプライチェーンを狙った攻撃等 により、従来の情報漏えいに加えて、直接的な金銭被害、業務・サービス障害が国内外で生じ、経済社会の持続的な発展や国民生活の安全・安心等を脅かす事例が生じている。」とし、「業務・サービス障害」、「情報漏えい」、「金銭被害」の３点に整理されている。近年、こうした損失を生じさせることを目的とした悪質な攻撃が多様化・巧妙化しており、国家の関与が疑われるような組織的で高度な攻撃手法なども登場している。
なお、サイバー攻撃により、どのような被害実態があるのかを適切に把握することは重要であるが、その被害実態の金銭的価値への換算については、事案ごとに様々な事情があるため単純な試算は困難であり、慎重な検討が必要である。すでに、様々な試算モ
デルなどの取組8が行われており、こうした試みも注視しつつ、サイバー攻撃による被害の実態を適切に把握するよう努めることが重要である。
（ア）業務・サービス障害
新戦略で、「業務・機能・サービス障害による社会への多大な影響」とされ、具体的には、「重要インフラサービスの障害や IoT 機器の意図しない作動により、様々な業務・機能・サービス障害が生じた場合、社会に大きな影響が生じ」としている。
これまで、我が国で、これに当たる大きな事案は生じていないが、2016 年には、ウクライナで、変電所がサイバー攻撃を受けて停電が発生する事案が、2017 年には、英国の多数の病院で医療サービスが中断する被害が生じた事案がある。

6

基本法第２条では「情報通信ネットワーク又は（中略）記録媒体（中略）を通じた電子計算機に対する不正な活動」が例示されている。また、2013 年に策定されたサイバーセキュリティ戦略（2013 年６月情報セキュリ
ティ政策会議決定）では、「情報通信ネットワークや情報システム等の悪用により、サイバー空間を経由して行われる不正侵入、情報の窃取、改ざんや破壊、情報システムの作動停止や誤作動、不正プログラムの実行やDDoS 攻撃（分散サービス不能攻撃）等」とされている。
7
基本法２条では、「この法律において「サイバーセキュリティ」とは、電子的方式、磁気的方式その他人の知覚によっては認識することができない方式（略）により記録され、又は発信され、伝送され、若しくは受信される情報の漏えい、滅失又は毀損の防止その他の当該情報の安全管理のために必要な措置並びに情報システム及び情報通信ネットワークの安全性及び信頼性の確保のために必要な措置（略）が講じられ、その状態が適切に維持管理されていることをいう。
」とされている。
8
サイバーセキュリティ戦略本部普及啓発・人材専門調査会第 10 回会合（平成 30 年 12 月 19 日）資料２-２参照- 7 -1 部 年次報告（2018 年度）
1 章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化（イ）情報漏えい
新戦略で、「情報の毀損及び漏えいによる競争力低下」とし、「情報の毀損」も併せて整理されている。具体的には、「個人情報、営業秘密、価値あるデータを始めとした情報の漏えいは、損害賠償請求の対象となるおそれがあるだけでなく、組織・企業の社会的評価・信頼の低下を招くおそれがある。」とし、経済的な損失に加えた、信頼性の損失（いわゆるレピュテーションリスク）のおそれが指摘されている。
我が国で、これに当たる事案として、2015 年に日本年金機構の保有する個人情報約125 万件が流出した事案がある。
（ウ）金銭被害新戦略で、「金銭の窃取・詐取等の損害」として整理されている。具体的には、「仮想通貨交換業者への不正アクセスやビジネスメール詐欺で巨額の金銭的な被害が発生した事例が生じている。」とされ、2018 年、我が国において暗号資産（仮想通貨）の窃取の事案が相次いで発生した。また、2017 年には偽の請求書メールによる３億円の詐欺被害が生じた事案など、人間の脆弱性を狙って金銭を詐取する事案が相次いでいる。

②

サイバー空間における攻撃者優位の状況
サイバーセキュリティに効果的に取り組むためには、「彼を知り己を知る」という意味
で、こうしたサイバー攻撃を行う悪意ある主体とそのグループ（以下「攻撃者」という。）
とともに、これを防御する主体（以下「防御側」という。
）の置かれた環境・状況を正確に把握・分析することが求められる。
攻撃者と防御側が置かれた環境について、新戦略では、「この空間は、場所・時間の制
約を受けずに、悪意ある主体を含む全ての者が、新たな情報通信技術を悪用・濫用し、容易に活動できる場である。」とし、攻撃者について、「攻撃プログラムを含むデータや情報を容易に複製・流通させることが可能」、「進展する AI やブロックチェーン 等の技術も柔軟に取り入れて自由に利用できる。」とし、「防御側と比べて非対称な優位性」があると結論づけている。一方で、防御側について、新戦略では、「防御側の体制が従前の制度や技術体系を前提としている場合には、その優位性が高まると考えられる。
」としている。
まとめると、その優位性は、攻撃者はサイバー空間の特性を生かして、場所・時間の制約を受けずに攻撃できることと、攻撃を隠匿する技術を含む多様な技術を低コストで利用できるという点、一方で、防御側はその従前の制度や技術体系の制約を受ける点に集約される。
（ア）攻撃者の状況 ～時間・場所の無制約、低コストかつ豊富な手段～
サイバー空間は、いつでも国境を越えてどこからでも参加でき、恩恵をもたらす
一方で、攻撃に悪用することも可能である。こうした悪用された場合のサイバー空間の特徴を示す調査として、2017 年に行われた実証実験によれば、インターネットに接続された脆弱な IoT 機器が、最短で 38 秒でマルウェアに感染したとの報告9もある。それを誰もが観測できるわけではない。言うなれば、目に見えない犯罪者が常に家の周りを徘徊しているともいえ、脆弱な IoT 機器が鍵のかかっていない家に

9

出典：ＩｏＴマルウェア駆除と感染防止に関する実機を用いた実証実験（2017 年横浜国立大学）

- 8 -

1章

1 部 年次報告（2018 年度）
サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化

たとえられることもあるが、このような比喩だけでは十分に説明しきれない脅威がある。
攻撃者は、単独で攻撃する場合でも、年齢・性別・資格などに関わらず、実態上、サイバー空間上の攻撃プログラムなどを容易に入手・複製できるため、高いコストをかけずに、攻撃のための手段を手にすることができる。悪用できる技術の中には、発信元を秘匿化するソフト10があり、実際に、暗号資産（仮想通貨）流出に関して
初摘発された事案で用いられたとする報道もある。また、IoT 機器を乗っ取り、これを踏み台にして、攻撃元を偽装することも可能である。また、外部の資源を利用することも容易である。一般に見えないダークウェブと呼ばれるサイバー空間上の市場で、攻撃用の様々なツールの売買や攻撃を請け負う業者が存在するとの調査結
果11もある。さらに、サイバー空間上で多数の協力者を募ることや、IoT 機器を乗っ取ることなどができれば、勝手に他人の資源を用いることも可能になる。これに加え、国家の関与が疑われる事例では、その後ろ盾や暗黙の支援があると考えられる。このように、攻撃者は、既存の制度や技術体系に縛られることなく、豊富な人的資源・コンピュータ資源を用いることが可能である。
（イ）防御側の状況 ～限られた資源、脆弱性の完全除去は不可能、攻撃者特定困難～
防御側は、一般的に、従前の制度や技術体系の枠内での対応をせざるを得ず、使用できる資源は限られており、柔軟な対応が難しい。また、そもそも、利用する情報システム等とそれを運用・操作する人間の脆弱性を完全に除去することは不可能である。
情報システム等について、人間が作るものであるがゆえに、その脆弱性を完全に除去するのは難しく、意図しない脆弱性が残ることがある。また、悪意のある攻撃者が脆弱性を組み込む場合があり得る。こうしたことに対して、セキュリティ・バ
イ・デザインに基づく取組とともに、引き続き、脆弱性情報の公表や修正プログラ
ムによる対応等を日々、地道に行っていくことが求められる。
また、情報システム等を操作して重要な決定を行う主体たる人間が、実空間と同様、誤解、思い込みなど正常な判断ができない状態で操作を行えば、誤作動等を引き起こし得る。こうした人間の脆弱性は、誰でも持っているものであり、完全に除去することは不可能である。近年、こうした人間心理の隙を利用した攻撃、いわゆ
る「ソーシャルハッキング」が注目されている。具体的には標的型攻撃やビジネス
メール詐欺など大きな事案が生じた例もある。攻撃者が、防御側の親しい相手や上司などに偽装することや、判断を急がされる、防御側の欲望や恐怖心を刺激するなどにより、正常な判断を阻害する事例が見られる。また、非日常のイベントの開催などの要因によっても、正常な判断が阻害される状況が考えられる。
さらに、防御側は、攻撃そのものに気づかない場合や、原因究明に時間を要し、その明確な証拠を収集することは困難であること、信頼性の損失（いわゆるレピュ
テーションリスク）を恐れて、公開を原則とする民事訴訟を起こすことも難しい12ため、攻撃者の特定のために資源を投入しづらい問題もある。防御側は、完全な対
10

Tor 等
出典：McAfee Labs 脅威レポート（2018 年 12 月）
12「サイバー攻撃の被害者である民間企業の対抗手段はどこまで可能か」（林紘一郎、田川義博著 2018 年 11
月）参照
11

- 9 -

1 部 年次報告（2018 年度）
1 章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化策は難しく、かつ、攻撃者を特定して対処することは、少なくとも、単独では困難な状況である。

③

サイバー空間における脅威の影響が広がる可能性
こうした攻撃者優位の状況で、サイバー空間における脅威が深刻化する中、攻撃者の実態を把握しつつ、近年の動向を踏まえて脅威がどのように変化していくのか、今後の可能性について想定することも重要である。
攻撃者の実態について、完全な把握は不可能であるが、民間事業者による調査結果（2018 年６月）13によれば、見落としがちな内部の攻撃者の存在や、組織犯罪グループの割合が大きいという傾向が分かる。攻撃者の目的について、2013 年に策定されたサイバーセキュリティ戦略（2013 年６月情報セキュリティ政策会議決定。以下「2013 年戦略」という。）では、「初期のサイバー攻撃には、自己顕示欲（中略）等を目的とした愉快犯（中略）が多かった。
（中略）金銭や示威を目的とするものが出現し、最近では国家や企業の機密情報等を窃取しようとするもの、重要なデータやシステムを破壊しようとする
ものが顕在化」としている。前述の民間事業者による調査では、「サイバー犯罪のほとん
どが、金銭的な目的を動機」とし、愉快犯やスパイ活動もあるとしている。
これらも踏まえ、攻撃者の目的を整理すると、精神的目的（愉快犯等）、経済的利益目
的（金銭入手等）、政治的目的（スパイ活動等）の３類型に整理できる。
精神的目的の攻撃については、暗号資産（仮想通貨）流出で初摘発された事案では、犯人が若年層であり、動機がゲーム感覚であったとする報道もあった。近年、若年層の不正アクセス禁止法違反の検挙が他の世代に比べて高い14ことも踏まえると、情報モラル・倫理を含むリテラシー教育が重要である。加えて、サイバー空間に係る高度な技術を有する技術者を、攻撃者にさせないための取組も引き続き求められる。
経済的利益目的の攻撃については、昨今、割りの良い犯罪として、分業化が進み、産業化しており、現在の脅威の中核をなしていると指摘されている。こうした目的の前段階で、個人情報や認証情報を窃取する動きもある。いかに安いコストで多額の金銭を得られるかという費用対効果の観点で攻撃が行われるため、攻撃に係るコストをいかに高くできるかという視点での対処が有効であり、基本的な対策の徹底等が重要である。
政治的目的の攻撃には、国家の関与が疑われるものなどが指摘され、脅威は高まっており、それ以外にもハクティビストによるものもあると指摘される。これらは、経済社
会に与えられる影響が大きければ、コストのかかる手法であっても、組織的な支援の下で、実行されるおそれがある。政府機関等や重要インフラ事業者等、経済社会に大きな影響力がある企業は、こうした攻撃を念頭におき、基本的な対策の徹底に加え、事前の積極的な防御策の強化や、迅速な復旧を含む対処態勢の構築に取り組むことが重要である。
併せて、自然災害などのサイバー攻撃に因らない要因により重要インフラサービス障害が生じた事例もあり、障害発生時点では要因が明確にならず、サイバー攻撃による障害が含まれることがあり得るため、対処態勢の構築においても、サイバー空間と実空間
13

出典：2018 年度データ漏洩/侵害調査報告書（Verison の調査（2018 年６月）
。65 か国、67 組織の協力を得て、53,308 件のインシデントを対象にした調査）全体の約４分の３が外部の攻撃者（うち半数が組織犯罪グループで、約 12%が国家の関与が疑われるとしている。
）、残りは内部の攻撃者が関わっている。サイバー犯罪のほとんどが、金銭的な目的を動機とし具体的に 76%が金銭を奪う目的、愉快犯が 10％程度、スパイ活動 20%程
度としている。
14
出典：サイバーセキュリティ意識・行動強化プログラム（2019 年１月）参考 16- 10 -

1章

1 部 年次報告（2018 年度）
サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化の一体化の進展を踏まえ、連携・協働していくことが求められる。
こうした実態がある中、国際的なイベントの開催、サイバー空間利用の裾野拡大、先端技術・サービスの利用拡大の３点から、脅威が広がる可能性が高まっている。
（ア）国際的なイベントの開催に伴う脅威 ～攻撃インセンティブの高まり～
G20 やオリンピック・パラリンピック等の国際的なイベントは、非日常のイベントであり、最高度の注目を集めるため、攻撃のターゲットとなるおそれがあると考えられる。具体的に、政治的及び精神的目的の攻撃者にとって、攻撃のインセンテ
ィブを高めてしまうと考えられる。経済的利益目的の攻撃者の観点からも、観戦チ
ケットの販売を含む様々なサービスや、国籍を超えた多数の利用者が関わることになり、非日常のイベントであるがゆえに人間の脆弱性が高まる可能性があるため、攻撃のインセンティブが高まると考えられる。実際に、2012 年ロンドン大会、2016
年リオデジャネイロ大会、2018 年平昌五輪大会で、各々、様々なサイバー攻撃が確認されている。
非日常という視点では、自然災害が発生すれば、そのような状況となり、人間の脆弱性も高まると考えられ、これまでの自然災害発生時にもサイバー攻撃が増加したとの指摘もあり、こうした視点にも留意することが重要である。
今後、我が国において、2019 年には、G20、ラグビーワールドカップ、2020 年東京オリンピック・パラリンピック競技大会（以下「2020 年東京大会」という。
）など我が国で開催される国際的なイベントが予定されており、過去の事例や教訓を踏まえた対策強化が引き続き求められる。
（イ）利用の裾野拡大に伴う脅威 ～脆弱性がある人間と IoT の増加～
IoT 機器の普及、SNS・ネットショッピングの利用拡大等が人々の生活に様々な恩恵をもたらす一方で、IoT 機器を狙った攻撃が増加し、ランサムウェア（身代金攻撃）の被害が発生している。今後も意識が高くない個人や企業が狙われるおそれがあるとの指摘がある。
スマートフォンの普及が爆発的に進んでおり、今後も、脆弱性を内在しつつ、サイバー空間に参加する人間が増大すると見込まれる。人間の脆弱性は前述のとおりであるため、これに関連する脅威は高まると予想される。
また、サイバー空間を構成する IoT 機器について、2017 年時点で 275 億個あり、2020 年には約 400 億個になると予想されており、普及が進むと予想される。そもそも IoT 機器は、
「IoT セキュリティガイドライン ver1.0」(2016 年７月 IoT 推進
コンソーシアム)で整理されたように、ライフサイクルが長い、監視が行き届きに
くい、機能・性能が限られた機器が存在するといった特徴があり、サイバーセキュ
リティ上の問題や攻撃の検知がしづらく、対策が難しいという問題がある。
以上のように、サイバー空間の生活への普及・浸透に伴い、サプライチェーンな
どの脆弱な部分を狙う動きが高まり、人間の脆弱性と IoT 機器の問題に起因する脅威が広がるおそれがあるため、必要な対策を重点的に進めることが重要である。
（ウ）先端技術の利活用に伴う脅威 ～AI とサイバーセキュリティ～今後、AI、 Fintech、自動運転車、ドローン等の先端技術・サービスの利用拡大が予想され、脅威が生じるおそれがある。既存かつ普及した情報システム等でも新
たな脆弱性が発見されることは少なくないが、こうした先端技術の場合は、特に、- 11 -

1 部 年次報告（2018 年度）
1 章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化

技術そのものに加え、利用方法によっても、未知の脆弱性が生ずる可能性が高まる。
暗号資産（仮想通貨）やインターネットバンキングなど Fintech はもちろん、特に、自動運転車などについては様々な制度整備など普及に向けた取組が行われており、将来の普及を見込み、様々な可能性を考慮して、先手を打って対策を進める必要がある。
サイバーセキュリティの観点で共通した課題として、前述した IoT の問題に加え、AI があると考えられ、これについて整理する必要がある。
AI については、「人間中心の AI 社会原則（2019 年３月統合イノベーション戦略推進会議決定）」では、「人間が AI に過度に依存したり、人間の行動をコントロー
ルすることに AI が利用される社会を構築するのではなく」とし、あらゆる人間の活動が AI に置き換えられる世界を目指さないことを明確にしている。新戦略では、「昨今の計算機科学の知見が進展し、（中略）深層学習は、その登場により、AI の画像解析の精度を飛躍的に向上させ、製品の異常検知、ガンの診断、投資判断、翻訳等の精度を高め、経済社会において様々な機能の効率化・高品質化を加速させ、既に幅広い産業に応用され始めている。」等とされており、サイバーセキュリティも含む様々な分野で AI を活用していく傾向がある。
今後、AI が人間に代わって重要な決定を行うような状況になれば、AI が攻撃の対象になる可能性がある。AI とサイバーセキュリティの関係については様々な議論があるが、集約すると、「AI を利用した攻撃」、「AI 自身による自律的な攻撃」、「AI への攻撃」、「AI を利用したセキュリティ対策」の４つの類型に整理できる。
ⅰ）AI を利用した攻撃
様々なサイバー攻撃に AI を活用する類型であるが、例えば、ボットを利用してコンサートチケットを買い占める試みがあったとの指摘があり、また、SNSのデータの自動収集と採取したデータからのフィッシング攻撃も試みられたとの報告15もあり、AI を利用した攻撃は、現実的になりつつある。また、パス
ワードの推測、個人認証のなりすましなどに AI が活用される懸念の指摘もあった。さらに、新戦略では、脅威の深刻化の類型として「民主主義の根幹を揺るがす事態も生ずるおそれがある」としているが、2018 年において、自然言語処理において画期的な発展があった16との指摘も踏まえ、こうした事態が生ずる可能性も考慮し、引き続き注視することが求められる。
ⅱ）AI 自身による自律的な攻撃
AI を人間が制御できなくなり、自律的にサイバー攻撃を行う可能性の指摘もある。一方で、小説等の創作においても、AI は創作本能を持たず、人間からの「○○を作って」という働きかけは必要17とされており、現時点では、AI 自身で課題を作って攻撃するような世界は現実的ではない。一方で、音楽や小説等の創作物について、（創作的寄与が認められないような）簡単な指示で AI が自律的に生成する世界は現実的なものとなっており、新戦略でも、自律的な AIについて、「権利侵害や事故を起こした場合の責任を誰が負うのかといった問

15

出典：情報セキュリティ 10 大脅威 2019（IPA）
Elmo、BERT 等
17
出典：次世代知財システム検討委員会報告書（平成 28 年４月）
16

- 12 -

1章

1 部 年次報告（2018 年度）
サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化

題が生ずる可能性がある」とされ、人間の関与がない中で、AI 兵器など AI がサイバー攻撃を行い、権利侵害を起こした場合の責任は誰が負うのかという問
題は、サイバーセキュリティの世界でも生じ得るため、状況を注視していくことが求められる。
ⅲ）AI への攻撃
深層学習する AI を前提としておいた場合、AI にフェイクデータを学習させること、いわゆる「敵対的学習」が考えられる。この点、実証段階ではあるが、民間企業の AI チャットロボットにおける事例がある。ただし、程よく誤動作するノイズを組み込むことは技術的に難しく、不正侵入する方が簡単との指摘もあり、技術的には可能なものの、費用対効果の観点で合理的な状況ではなく、
現時点では顕在化していない。今後、AI への人間の関与が減り、重要な決定（投資判断、診断など）について AI が自律的かつ最終的に行うことが定着す
れば、こうした攻撃が現実的なものとなる可能性があり、状況を注視していくことが求められる。
ⅳ）AI を利用したセキュリティ対策
サイバーセキュリティ対策に AI を活用する試みは、新戦略で「サイバーセ
キュリティにおいても、こうした可能性を持つ AI は、例えば、マルウェアの自動検知などの対策の自動化に活用されつつある。」とあるように、すでに、様々な試みがある。
検知の精度は上がる一方で、検知の精度が上がる理由を説明できないとの課題もある。新しい攻撃、個別具体的な対策は難しく、マルウェアを次から次に大量に自動生成する AI がでてくると対応が難しいとの指摘もあった。また、
AI を利用した対策を逆用し、攻撃に用いることも考えられる。実際に、AI による対策を解析し、それを回避する方法として、一般的でない拡張子を持つファイルの利用など、防御側の検知を回避する攻撃方法が編み出されているとの報告18もある。
今後、AI を利用した攻撃、こうした AI を利用した対策を逆用した攻撃も念頭におき、サイバーセキュリティ対策における AI の活用について、先手を打って、研究開発を進めることが重要である。現時点では、AI に何を解決させた
いのかという課題設定や、AI の判断をどう解釈するのかという問題は引き続き人間が担うことになるため、サイバーセキュリティの観点でも、AI を使いこなす人材育成も求められる。

2.3
(1)

主なトピック
業務・機能・サービス障害
インフラメンテナンスの効率化や新たなビジネスの創出等を目的に、IoT の導入などの現場のデジタル化が進展している。今後、IoT 機器から得られるデータの利用が事業の前提となることや制御系システムが外部のネットワークと繋がる状況となれば、万が一、攻撃

18

情報セキュリティ 10 大脅威 2019（IPA）- 13 -

1 部 年次報告（2018 年度）
1 章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化を受けた場合や自損事故及び自然災害に起因して、重要インフラサービスの障害や IoT 機器の意図しない動作により、通信障害、交通混乱や停電といった事態が発生することも可能性として想定される。その可能性が現実的なものとなれば、国家や悪意を持つ団体のターゲットとなるおそれに加え、社会的な注目を求める愉快犯による犯行などの脅威の高まりが懸念される。また、最近ではサイバー攻撃に因らない重要インフラサービス障害が発生しており、社会に多大な影響を与えた事例19が多く確認されている。
国外においては、ウクライナの国営電力会社の変電所がサイバー攻撃を受けて停電する事例が生じている。国内においては未だサイバー攻撃を起因とする大規模な事案は確認されていないが、2020 年に開催を控える「東京オリンピック・パラリンピック競技大会」において、会場のシステム異常、HP の閲覧障害などが発生した場合、大会の運営に影響を及ぼすことが想定されるため、その対策には万全を期す必要がある。
最近の傾向として、国外からのスキャン活動が増えているというデータが観測されており、これに対してサイバー関連事業者からは、何らかの準備のために調査をしている可能性があるという指摘もあり、一層、警戒を強める必要がある。

①

国際的なイベントに伴うサイバー攻撃事例
オリンピック・パラリンピック等の国際的なイベントでは、攻撃のインセンティブが高まることを背景に、過去の大会では図表１－２－１のような状況が確認されている。
いずれも大会の運営に支障を来すような事案は発生していないものの、注目を集めるイベントが攻撃のターゲットとなることがこれらの状況からも推定される。
図表１－２－１
大会

確認された状況2012 年ロンドン ・大会公式サイトに対して約２億件の悪意ある接続要求
大会・開会式直前にオリンピックスタジアムへの電源系への攻撃情報を入手し、必要な対処を実施

2016 年リオ大会

・大会公式サイトに対する執ようなサイバー攻撃
・大会関係組織の一部の Web の改ざん

2018 年平昌大会

等
等

・大会準備期間に約６億件、大会期間中に約 550 万件のサイバー攻撃
・開会式においてサイバー攻撃に起因して一部のサービスが利用不可
等の報道あり

我が国においては、2019 年６月の G20、９月のラグビーワールドカップ、2020 年東京
大会と複数の国際的に注目を集めるイベントが控えている。これらのイベントの成功は重要であり、イベントの円滑な遂行を目指すためにも、運営に大きな影響を及ぼし得る
重要サービスを中心に、過去の事例や教訓を踏まえた対策強化が求められる。

②

重要インフラ等のサービス障害
サイバー攻撃によって、重要インフラ等が被害に遭い、大規模な社会的混乱等が引き起こされる状況が現実のものとなりつつある。国外では、2015 年 12 月と 2016 年 12 月にサイバー攻撃によりウクライナにおいて停電が発生した事例や、2017 年５月にランサ
ムウェア「WannaCry」により英国の国民保険サービス関連システムが停止し、多数の病院で医療サービスが中断するなどの事例が確認されている。
19

平成 30 年台風 21 号、平成 30 年北海道胆振東部地震によるもの等- 14 -

1章

1 部 年次報告（2018 年度）
サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化

2018 年度には、我が国でも、ランサムウェアの感染により、７月に交通機関における一般業務系での障害、10 月に医療機関での障害が発生した事例20などが確認されている。
医療機関の事例では、奈良県の病院において電子カルテシステムが被害に遭い、約２日間にわたって使用できない状態に陥った。結果として、システムが復旧するまでの間、
紙カルテ及び伝票運用による診療を行うなどの業務支障が発生している。ランサムウェ
アは金銭獲得を目的として、感染した対象に保存されているファイルを暗号化するなどして不当に金銭を要求するものであるが、暗号化されたファイルが重要情報や基幹シス
テムのシステムファイル等であった場合は、事業継続にも影響をおよぼす可能性がある。

③

インターネットサービス等のサービス障害
一般的なインターネットサービスなどが狙われて、国民の生活に影響を与える事例も存在しており、過去には、2016 年 10 月に、IoT の爆発的な普及を背景として、マルウェ
ア「Mirai」により史上最大規模の DDoS 攻撃が引き起こされた事例がある。Mirai に感染した 10 万台を超える IoT 機器から、ある米国企業の DNS サーバに大量の通信が送り込まれ、その結果、数多くの大手インターネットサービスやニュースサイトにアクセスしにくくなる等の影響を与えた。
近年において、IoT 機器がますます社会へ普及し、人々の生活に様々な恩恵をもたらす
一方で、IoT 機器を狙ったサイバー攻撃はさらに高度化しており、2018 年に観測されたデータ21では、IoT 機器固有の脆弱性を狙う攻撃活動が増加している。また、スマートフォンの代表的 OS である AndroidOS を感染対象とするマルウェアも確認されており、AndroidOS を搭載したテレビやカーナビシステム等の多様な IoT 機器を狙った攻撃も登場22してきている。

(2)

情報の毀損及び漏えい
情報漏えいについては、過去には、2015 年の日本年金機構における個人情報の流出事案
や、2016 年の大学における研究成果の流出事案などが発生しており、その他にも多くの事案が発生している。昨今は、それらに加えて、ものづくりや医療等の「現場」から得られる豊富な「リアルデータ」23についても活用が進んでおり、今後、その価値は高まっていくと考えられる。価値の高い情報は、売買による金銭獲得や別のサイバー攻撃への悪用などの目的で窃取されるおそれがあり、情報を毀損した際にはサービス障害が発生することも想定される。
2018 年度においても、国内の事業者が提供するファイル共有サービスに不正アクセスを受けて顧客情報が漏えいした事例や大学等に対するフィッシングメールにより個人情報が漏えいした事例など、引き続き、多くの事案が発生しており、国外でも、大手 SNS サービ
スにおける大規模な個人情報漏えい事案などが確認されている。
最近は、情報を窃取するための手口が更に高度なものになってきており、既存の有名サ
イトやクラウドサービスを模倣した画面で利用者の目を欺き、個人情報を窃取する事例なども登場してきている。また、個々の事案との直接的な関連は不明であるが、漏えいした

20

https://www.city.uda.nara.jp/udacity-hp/oshirase/change-info/documents/press-release.pdf
https://www.nict.go.jp/press/2019/02/06-1.html
22https://www.nict.go.jp/cyber/report/NICTER_report_2018.pdf
23
未来投資戦略 201821

- 15 -

1 部 年次報告（2018 年度）
1 章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化

情報を悪用して巧妙なフィッシングメールを仕掛ける事例も確認されており、情報漏えいに端を発する被害が表面化している。

①

個人及び企業における情報漏えい
個人を対象とした情報窃取を狙う攻撃については、多種多様な手口を用いて、人間の脆弱性を突いた攻撃が登場している。2018 年度においては、大手インターネットサービ
スや宅配業者を装い、アカウントの期限切れや不在通知などを訴えかけて正規なサイトに巧妙に似せて作ったサイトへ誘導して、スマートフォンへの不正アプリのインストー
ルやクラウドの認証情報を窃取した上で個人情報などを窃取するような攻撃が確認されている。
また、引き続き、企業も攻撃のターゲットとなっており、2019 年１月には、国内の事業者が提供するファイル共有サービスが不正アクセスを受けて、利用者のログイン用メールアドレスやパスワード等を含む約 480 万件の顧客情報が漏えいしたことが明らかになった。その他、国外では、2018 年９月に、米国大手 SNS サービスにおいて、サービスの脆弱性に起因して、数千万件の利用者情報が流出したおそれがあることが公表されている。

②

自治体・大学等における情報漏えい
2018 年度には、自治体や大学等における情報漏えい事例も多く確認されている。自治体においては、情報管理に対する意識の低さに起因する情報漏えいが確認されている他、大学においては、管理者を装ったフィッシングメールで有名クラウドサービスの認証画面に似せたサイトへ誘導され、有名クラウドサービスの認証情報が窃取されることにより、個人情報が漏えいした事例などが複数の大学で発生している。
また、2018 年７月、国立研究開発法人産業技術総合研究所は同年２月に明らかになった外部からの不正アクセスによる被害の報告書を発出24し、未公表の研究情報や個人情報が外部に漏えいしたおそれがあることが明らかになった。

③

国家の関与が疑われる事例
研究情報や産業技術などの機密情報を狙った国家の関与が疑われる攻撃などの存在も指摘されている。近年、国外に拠点を置く APT10 といわれるグループからの日本の民間企業、学術機関等を対象とした長期にわたる広範な攻撃が確認されており、これに対し、
2018 年 12 月 20 日から 21 日にかけて、英国・米国等が APT10 に関する声明文を発表し12 月 21 日、我が国もこれらの国を支持し、外務報道官談話を発出25している。また、2018
年 11 月には米国大手ホテル事業者における最大約 3.8 億人分の顧客情報の流出が報道されており、これに対して、ポンペオ米国務長官はインタビューで国家の関与があったという見方を示している。

(3)

金銭の窃取・詐取等
今や様々な経済活動に伴う送金や支払において、Fintech は人々の生活に密接に関わりのあるものとなってきている。金銭が電子情報となってサイバー空間上で扱われるようになるとともに、サイバー攻撃の脅威にさらされることとなってきており、過去にもインターネットバンキングの不正送金や暗号資産（仮想通貨）の流出被害などが発生している。

24
25

https://www.aist.go.jp/pdf/aist_j/topics/to2018/to20180720/20180720aist.pdf
https://www.mofa.go.jp/mofaj/press/danwa/page4_004594.html- 16 -

1章

1 部 年次報告（2018 年度）
サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化

近年、政府はキャッシュレス社会の実現26をめざし、キャッシュレス決済の普及等を進めており、これらの推進を図るとともに、これにより高まる脅威への対応も必要である。攻撃者はより低い労力で多くの利益を得られる分野を狙う傾向にあると考えられ、過去に攻撃を受けるなどした分野においては一定程度対策が進む中、対策が十分でない分野や攻撃が成功した場合に多額の損失が想定される対象については、基本的な対策の徹底等が重要である。
実際の攻撃として、2017 年度に猛威を振るったランサムウェアに関しては、感染の原因となる脆弱性への対応が進む中、検出台数の伸びが鈍化しているものの、特にフィッシン
グをはじめとする人間の心理を突いた攻撃は対策が難しく、引き続き多くの攻撃が確認されている。
攻撃者は、より多額の金銭を得るためにより巧妙な手口を使ってきており、2018 年度には国内において、不正に窃取したアカウントやパスワードを悪用して、メール本文に実際に使用されたパスワードを記載した脅迫メール27なども登場している。また、その他の傾向
としては、従来型のインターネットバンキングにおける不正送金事案は事業者側の対策が一定程度進んだことで被害が減少傾向28にある一方で、暗号資産（仮想通貨）をマイニング
するマルウェア（以下「マイニングマルウェア」という。
）については、2018 年度第１四半期において 2017 年度に比べて増加し、暗号資産（仮想通貨）の価値の下落に伴い、その後、減少するなどの動きがあった。このように、暗号資産（仮想通貨）の価値の変動に合わせ、今後ターゲットが別の対象に移っていく可能性もある。

①

人間の脆弱性を狙って金銭を詐取する事例
2018 年度は、過去最大規模のフィッシング詐欺が発生29している。攻撃者は金融機関

や大手 IT 企業を装ったメール等により、クレジットカード情報等の個人情報を窃取し、悪用することにより金銭を獲得する。その他にも、性的な映像をばらまくと脅迫し人の羞恥心につけこんで金銭を要求するような新たな手口も確認30されている。
また、企業を狙った手口として、国内において日本語が使用されたビジネスメール詐欺が確認31されている。従来から英語のメールによるものは確認されていたが、海外との取引等がない国内の企業においてもビジネスメール詐欺の脅威が高まっている。中には、実際の CEO を騙って企業の財務担当者を騙そうとするもの32も出てきており、手口が巧妙化している。

②

ランサムウェアの事例
ランサムウェアは 2017 年の「WannaCry」をはじめ、様々な種類のものが登場しており、一時期の盛り上がりに比べると少し落ち着いてきているものの、継続して攻撃が確認されている。2018 年においても、国内で引き続き被害は発生しており、鉄道、病院、大学、サービス業などでランサムウェアに感染する事例が起こっている。また、海外においては、ランサムウェア「SamSam」に関して主に米国の企業の間で被害が発生しており、201826

日本経済再生本部 経済政策の方向性に関する中間整理（平成 30 年 11 月）
https://www.jpcert.or.jp/newsflash/2018080201.html
28
https://www.npa.go.jp/publications/statistics/cybersecurity/data/H30_cyber_jousei.pdf
29
https://is702.jp/news/3456/
30
https://www.ipa.go.jp/security/anshin/mgdayori20181010.html
31
https://www.ipa.go.jp/security/announce/201808-bec.html
32
https://blog.trendmicro.co.jp/archives/19654
27- 17 -

1 部 年次報告（2018 年度）
1 章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
2 変わりゆくサイバー空間とそれに伴う脅威の深刻化

年７月時点で約 6 億 7 千万円の被害があったことが報告33されている。ランサムウェア
は依然として攻撃者が効率よく利益を得られる攻撃であり、今後も、引き続き警戒が求
められる。

③

暗号資産（仮想通貨）の事例
暗号資産（仮想通貨）の窃取を目的としたサイバー攻撃は国内外で発生しており、国内でも、2018 年１月に約 580 億円相当の被害が発生した事例や、2018 年８月に約 1500
万円相当の被害が発生した事例、2018 年９月に約 70 億円相当の被害が発生した事例などが発生している。
また、感染した PC の CPU 等の計算処理能力を利用したマイニングマルウェアも継続して確認されている。2018 年度は、2017 年度に比べてその数が増加しており、世界全体では 2018 年にマイニングマルウェアの検出台数が 100 万件を超え、前年比約 237%の急増を示しているとの報告34もある。

33

https://www.sophos.com/ja-jp/press-office/press-releases/2018/08/samsam-the-almost-6-million-ranso
mware.aspx
34
トレンドマイクロ 2018 年 年間セキュリティラウンドアップ（平成 31 年２月）

- 18 -

1章

1 部 年次報告（2018 年度）
サイバー空間と実空間の一体化の進展に伴う動向と対処方針
3 新戦略に基づく対処方針

3 新戦略に基づく対処方針
3.1

持続的な発展のためのサイバーセキュリティ～サイバーセキュリティエコシステム～

今後、高まると想定される脅威に対し、サイバーセキュリティの確保を通じて、サイバー空間の持続的な発展(Society 5.0)を支えていく必要がある。新戦略では、その基本的な在り方として、「サイバーセキュリティエコシステム」を掲げた。これは、「全ての主体が、サイバーセキュリティに関する取組を自律的に行いつつ（中略）サイバー空間が進化していく姿」
を、「一種の生態系」にたとえて呼称することとした概念である。
そのイメージとしては、実空間との一体化が進んだサイバー空間で、サイバーセキュリテ
ィの確保とともに新たな価値が創造（イノベーション創出）され、それにより生じる富を原資に、投資・研究開発・人材育成が行われ、更なるイノベーションが生み出されていくとの循環が自然に行われる生態系である。また、国民一人一人が、手洗い・うがいといった公衆衛生活動や、信号を遵守するといった交通安全活動と同様に、サイバーセキュリティに関する基本的な意識・理解を醸成し、様々なリスクに自律的に対処していく姿が考えられる。さらに、容易に国境を越えるサイバー空間における法の支配の確立のため、国際連携・協力が自律的に行われることも含まれると考えられる。その他、研究開発・人材育成などの横断的な取組も含め、サイバーセキュリティに関する様々な取組が自律的に行われ、その実施状況を検証して次の取組に反映していくといった循環も想定される。
こうした状態を作り出していくために、新戦略では、「３つの観点（①「サービス提供者の任務保証」（以下「任務保証」という。
）、②「リスクマネジメント」、③「参加・連携・協働」）
からサイバーセキュリティに関する官民の取組を推進する」と明記された。

(1) 全ての主体にとって必要な観点 ～「参加・連携・協働」～
このうち、参加・連携・協働は、サイバー空間上のサービスを享受する利用者を含む、全ての主体にとって必要な観点である。新戦略では、「サイバー空間の脅威から生じ得る被害やその拡大を防止するため、個人又は組織各々が、平時から講じる基本的な取組」とされており、その基本的な取組には、各個人のパスワードの適切な管理・パッチ適用による脆弱性の解消・ウイルス対策ソフトのインストールなどの対策に加えて、ベストプラクティ
スやインシデント情報の共有を行い、個人と組織間で相互に連携・協働するなどが含まれる。

(2) サービス提供者を主に想定した観点～「任務保証」、「リスクマネジメント」～

任務保証とリスクマネジメントは、様々な製品やサービスを提供する政府機関等や重要インフラ事業者等、企業などの「サービス提供者」を主に想定した観点である。任務保証
は、新戦略で、「サイバーセキュリティ（中略）を目的化するのではなく、各々の組織の経
営層・幹部が（中略）業務やサービス（中略）の安全かつ持続的な提供に関する責任を全うするという考え方」とされ、業務・サービスあってのサイバーセキュリティであるとの考え方を明確にしている。また、「一部の専門家に依存するのではなく」とも明記されており、経営層の自律的な取組が必要であるとされている。
リスクマネジメントは、新戦略で、「組織が担う「任務」の内容に応じて、リスクを特定・分析・評価し、リスクを許容し得る程度まで低減する対応をしていくこと」とされている。
リスクとは、本来、不確実さを意味し、プラス面もマイナス面もある。そのため、本質的に、完全なリスクの除去が不可能なのは当然である。組織の任務の遂行のため、その有す- 19 -

1 部 年次報告（2018 年度）
1 章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
3 新戦略に基づく対処方針

る有限の資源をどのように使い、リスクに対応していくのかという課題は、組織の任務を認識し、組織を指揮統制する経営層にしかできない。なお、新戦略では、サイバー空間の恩恵を享受する以上、個人にとっても、リスクマネジメントの考え方は求められるとしていることにも留意が必要である。

3.2

積極的サイバー防御～事前の能動的な取組～

サイバー空間において、攻撃者優位の状況がある中、脅威に対して適切な対処を行うためには、攻撃者の実態を把握し、そのリスクを特定・評価し、それに応じた対処が求められる。
「2.2(2)③サイバー空間における脅威の影響が広がる可能性」で整理したとおり、攻撃者の目的は、精神的目的（愉快犯等）、経済的利益目的（金銭入手等）、政治的目的（スパイ活動
等）が考えられるが、このうち、経済的利益目的以外の、精神的目的及び政治的目的の攻撃については、政府機関や重要インフラ事業者等、経済社会に大きな影響力がある企業が標的にされ、たとえ、基本的な対策によって攻撃に係るコストをあげたとしても、攻撃を抑止できないおそれがある。新戦略でも「サイバー犯罪・サイバー攻撃は複雑化・巧妙化しており、攻撃の種類も多種多様となっていることから、従来の受動的な対策だけでは対応しきれず、
これまでよりも積極的な対策を行う必要がある」とされ、特に、政治的目的の攻撃では、国家の関与が疑われるものなどの組織的な支援の下の攻撃の可能性があり、こうしたことを念頭におき、事前の積極的な防御策の強化が求められる。
(1) 新戦略における「積極的サイバー防御」の概念と位置づけ
新戦略では、基本法の目的の一つである「国民が安全で安心して暮らせる社会の実現」に係る取組の実施方針として、「積極的サイバー防御」の構築を掲げた。これは、「サイバー関連事業者等と連携し、脅威に対して事前に積極的な防御策を講じること」である。サイバー攻撃を受けてから対応するのではなく、事前に、能動的に防御していく取組を行うことであり、具体的には、「脅威情報の共有・活用の促進、攻撃者の情報を集めるための攻撃誘引技術の活用、ボットネット対策等」があげられている。なお、関連で、英国の戦略で掲げる Active Cyber Defence（ACD）（事業者と協力した、常時からの積極的防御策）35があるが、法制度上の違いからその範囲に相違点もある一方で、広い意味で類似点があると考えられる。ただし、英国でも、ACD は平素からの ISP と協力したネットワーク防御を意味しており、Offensive Cyber（サイバー攻撃能力）や hack back（逆ハック、サイバー反撃）のような取組とは明確に区別されており、新戦略で掲げる積極的サイバー防御にもこれらが含まれないことに留意が必要である。
積極的サイバー防御の位置づけについては、これまでのサイバーセキュリティに関する基本計画の歴史を踏まえて整理することが重要である。政府として、初めて策定したサイ
バーセキュリティ政策に関する基本的な計画（第１次基本計画（平成 18 年（2006 年）決定）で、情報の取り扱いや対策のルールを定めるといった事前対策に特に焦点を当てた取組が推進され、第２次基本計画（平成 21 年（2009 年））では「事故前提社会」への対応力強化の実現を謳って事後対応に重点が置かれた。その後、2013 年戦略では、これらの継続とともに次元を変えた取組が必要とされ、「サイバー空間の衛生」の概念が提示されて、予35Annual Review2018 では、「1 年間で 13 万 8,398 のフィッシングサイトを除去し、英国へのフィッシング攻撃の割合を 5.3%から 2.4%に減少させることに成功し、毎月平均 10,975 件の悪意あるドメインがブロックされている」という報告がある。

- 20 -

1章

1 部 年次報告（2018 年度）
サイバー空間と実空間の一体化の進展に伴う動向と対処方針
3 新戦略に基づく対処方針

防的な取組の必要性が指摘された。基本法に基づく初めての戦略であった 2015 年戦略では、「後手から先手へ」というアプローチが明記され、「社会変化や、今後発生し得るリスクを分析し（中略）先手を打って必要な政策を展開する」とされた。このような潮流を受けて、「積極的サイバー防御」に関連する取組については、模索が続けられてきた。
新戦略では、サイバーセキュリティエコシステムを推進するため、サービス提供者を主に想定した観点である「任務保証」及び「リスクマネジメント」に関し、これを具体化した取組の実施方針として、「積極的サイバー防御」が明記された。これは、完全な事前対策でも、事後対応であるわけではなく、その間にある、脅威に対して、予兆段階においても、リスクに応じて事前に積極的に取り得る防御策を講じることと位置づけられるものである。
(2) 「積極的サイバー防御」に関連する取組とその広がり
こうした考え方は、電気通信事業法及び国立研究開発法人情報通信研究機構法の一部を改正する法律（平成 30 年法律第 24 号。以下「NICT 法改正」という。
）に基づく IoT 機器の調査等の取組や、政府機関等の情報セキュリティ対策のための統一基準群の改定（2018 年７月）に基づく取組、同統一基準群に記載されたサプライチェーン・リスク対策に係る考え方に関する申合せ（2018 年 12 月）、基本法の改正（2018 年 12 月）によるサイバーセキ
ュリティ協議会などに反映されており、深刻化する脅威に対し、政府機関等が積極的に取り組むことを示したものとなっている。
NICT 法改正では、脆弱な IoT 調査（NOTICE36）については、サイバー攻撃を受けてから対応するのではなく、サイバー攻撃に悪用されるおそれのある IoT 機器を調査して、注意喚起することができるような法整備を行うという先進的で、積極的な取組となっており、
まさに、「積極的サイバー防御」を体現した取組であると言える。
また、改定された統一基準群でも、未知の不正プログラムに係る被害の未然防止のための端末等での挙動検知や、情報漏えいが起きた場合でもデータが保護される対策など、事案が生じることを予測した上での新しい技術による対策を積極的に行うことを促すものとなっている。
さらに、基本法の改正に基づき、2019 年４月に組織されたサイバーセキュリティ協議会
は、こうした取組を政府機関等や重要インフラ事業者等に限らず、それ以外の企業にも門戸を広げた取組となっている点や、予兆段階で情報共有に取り組む仕組みを整えている点が画期的である。今後、従来の枠を超えた新たな情報共有・連携体制の構築が謳われ、積極的サイバー防御の取組の広がりの可能性を示している。
こうした潮流の中、企業においても、ダークウェブから将来の攻撃を予測し、対策を行
う取組が行われてそれが功を奏し被害を免れた事例の報道があった。また、このような対策の方が、攻撃を受ける前提の対策よりも、むしろ予算を取りやすく、実施したいとの要
望が企業からサイバー関連事業者に寄せられたとの指摘もあった。また、先手を打った対策の促進として、バグバウンティ37の取組があり、一定の成果をあげているとの指摘もあった。
今後、ますます、生活の基盤となる様々なモノやサービスを提供する責任のある政府機関等や重要インフラ事業者等、企業にとっては、自動運転や暗号資産（仮想通貨）などの先端技術の普及も見込み、先手を打ってこれに関する研究開発や対策を行うことなどを含36

National Operation Towards IoT Clean Environment
脆弱性などを見つけた人に報奨金を与える仕組み

37- 21 -

1 部 年次報告（2018 年度）
1 章 サイバー空間と実空間の一体化の進展に伴う動向と対処方針
3 新戦略に基づく対処方針

め、積極的サイバー防御の取組を進めていくことの重要性が増すと考えられる。

3.3

2020 年東京大会とその後を見据えた対処態勢の強化
2020 年東京大会は、前述したとおり、攻撃者を刺激し、リスクが高まることが想定される。
大会の円滑な開催と運営のために、大会に関係する重要なサービスを担う事業者のリスクマ
ネジメントと対処態勢の構築と訓練・演習を通じた強化が重要であり、こうした考えの下で、政府・関係者一丸となって、取り組むことが重要である。
2020 年東京大会が無事成功で終わったとしても、「任務」を担う政府機関等や重要インフラ
事業者等、企業にとって、サイバー攻撃への対処態勢の強化は重要な課題である。リスクを完全に除去できない以上、不正侵入を防ぐといった安全性の確保に加え、攻撃を受けた時の復旧、すなわち、信頼性確保に向けた取組の重要性は増している。
事後対応能力については、2005 年の第１次基本計画でも指摘され、2009 年の第２次基本計
画でその強化が謳われ、その後も継続が必要とされたように、永遠の課題である。攻撃を受けた際の対処に係る体制、計画を整備し、地道な訓練・演習といった取組を継続することが求められる。加えて、サイバー空間に係る動向を把握し、そのリスクに応じて訓練・演習内容の不断の見直しを図っていくことが重要であり、その積み重ねのみが、被害やその拡大を防止する強力な対処態勢を実現するのであり、不断の取組が求められる。

- 22 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
1 サイバーセキュリティの基本的な枠組みに関する情勢

2章

2018 年度のサイバーセキュリティに関する情勢

1 サイバーセキュリティの基本的な枠組みに関する情勢
基本法第12条に基づき策定された2015年戦略は、策定後３年間を計画期間としており、
2018年に計画期間を終えることから、政府は、サイバー空間と実空間の一体化に伴う脅威の深刻化を踏まえ、2020年以降の目指す姿も念頭に、我が国の基本的な立場等と今後３年間の諸施策の目標及び実施方針を盛り込んだ新戦略を決定した。
また、従来の枠を超えた情報共有・連携体制の構築に向けた取組として、サイバー攻撃による被害の発生及び被害の拡大を防止するためのサイバーセキュリティ協議会の組織などを柱とするサイバーセキュリティ基本法の一部を改正する法律（平成30年法律第91号）が成立（2018年12月5日）し、2019年４月1日に施行された。以下、新戦略の策定に至る経緯や概要
及び、同戦略の取組に関連するサイバーセキュリティ基本法の一部を改正する法律案に関する経緯や概要について概説する。

1.1

新たなサイバーセキュリティ戦略の策定について
2015年戦略の計画期間（2015年９月～2018年９月）が残すところ約１年となったサイバー
セキュリティ戦略本部会合（以下「本部会合」という。
）第14回会合において、加速・強化
すべき施策を取りまとめ、新戦略の策定等につなげることが明記された「2020年及びその後を見据えたサイバーセキュリティの在り方について―サイバーセキュリティ戦略中間レビュー―」（2017年７月13日サイバーセキュリティ戦略本部決定。以下「2015年戦略中間レビュー」という。
）が決定された。これを踏まえ、2018年１月の第16回本部会合では、「次期サイバーセキュリティ戦略の検討に当たっての基本的な考え方」（2018年１月17日サイバーセキ
ュリティ戦略本部決定。
）が決定された。ここでは、検討すべき事項として「サイバー空間の将来像と新たな脅威の予測」等の３点を掲げ、「あらゆる主体が参加し、実空間（フィジカル空間）との一体化が加速的に進展するグローバルなサイバー空間の将来像を視野に入れつつ、それを支えるサイバーセキュリティの基本的な在り方を明確にし、次期戦略の策定に係る検討を開始する。
」された。
その後、有識者本部委員等の関係者から意見聴取等を随時実施し、検討が進められ、同年４月の第17回本部会合では、新戦略の骨子案が示された。この中で、サイバーセキュリティの基本的な在り方として、持続的に発展するサイバー空間が維持される姿を「サイバーセキュリティエコシステム」とし、３つの観点（①任務保証、②リスクマネジメント、③参加・連携・協働）から、官民のサイバーセキュリティに関する取組を推進することが示された。
これは、2015年戦略で示した施策実施に当たっての３つのアプローチ（①後手から先手へ、②受動から主導へ、③サイバー空間から融合空間へ）を、具体的な取組を進めるにあたっての方針の参考となるよう、３つの観点として再整理したものである。
この後、第18回本部会合において、新戦略のパブリックコメント案（2018年６月７日サイバーセキュリティ戦略本部決定）が示され、同年６月７日から６月21日まで一般からの意見募集を行ったところ、16の企業・団体及び11の個人等から97件の意見が寄せられた。こうした意見も踏まえ、更に検討を進め、第19回本部会合において、新戦略の案（2018年７月25日
サイバーセキュリティ戦略本部決定）が決定された。同案は、新戦略として、2018年７月27- 23 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
1 サイバーセキュリティの基本的な枠組みに関する情勢

日に閣議決定され、同日、基本法第12条第５項において準用する同条第４項の規定に基づ
き、国会報告された。

1.2

サイバーセキュリティ基本法の一部を改正する法律の経緯について
サイバーセキュリティの確保は、本来、個々の組織が自主的に取り組むべきものである
が、サイバー攻撃が複雑化し、脅威の変化が早い現状においては、個々の組織が単独で有効な分析を行い、確証をもって効果的な対策を迅速に講じることに限界が生じており、また、
サイバー攻撃は、同時並行的に多くの組織を対象とするケースも多いため、迅速な情報共有が行われなければ、攻撃手法や対策の方法を共有することができず、同様の手口によるサイバー攻撃の被害が拡大するおそれがある。
そこで、近年においては、サイバーセキュリティの確保のために、複数の組織が連携して情報共有を行うことの重要性が増しており、既に複数の情報共有体制が設立され、着実に活動を行っている。しかし、他組織に対して情報提供を行うことについてはさまざまな課題も残されており、必ずしも常に迅速な情報共有が実施できているわけではない。
例えば、2017年に、日本を含む世界約150カ国以上で感染が確認され、英国の病院では診療・手術の中止等、業務に支障を及ぼす被害が発生したランサムウェア「Wannacry」等に関しても、攻撃手法や対策方法に関する情報を迅速に広く共有することができていたならば、他組織への被害の拡大を防ぐことができた可能性がある。
上記事案等を受けて、2017年７月にサイバーセキュリティ戦略本部が決定した「2015年戦
略中間レビュー」においては、「情報共有・連携ネットワーク（仮称）の構築・運用」として、「迅速な集約・分析、効果的な対策の共有を行う情報連携体制を構築する」こととされた。
以上の状況を踏まえ、内閣官房は、官民を含めた多様な主体がサイバーセキュリティに関する情報を迅速に共有することにより、サイバー攻撃による被害を予防し、また、被害の拡大を防ぐことを目的としたサイバーセキュリティ協議会を創設すること等を内容とするサイ
バーセキュリティ基本法の一部を改正する法律案を2018年３月に第196回通常国会に提出した。
同法案は、同国会では成立せず継続審査となったが、第197回臨時国会において、2018年
11月27日に衆議院で原案のとおり附帯決議なく可決され、また、同年12月５日に参議院で原案のとおり附帯決議なく可決・成立し、同月12日に、平成30年法律第91号として公布された。
同法の施行にあたって、2019年３月８日に、サイバーセキュリティ基本法の一部を改正する法律の施行期日を定める政令（平成31年政令第36号）及びサイバーセキュリティ戦略本部
令の一部を改正する政令（平成31年政令第37号）が閣議決定された。
これらの政令により、サイバーセキュリティ基本法の一部を改正する法律の施行期日が2019年４月１日とされ、また、同法は、サイバーセキュリティ戦略本部の事務の一部（関係機関との連絡調整事務）を政令で定める法人に委託することができる旨を定めていたところ、当該法人として、一般社団法人ＪＰＣＥＲＴコーディネーションセンターが指定された。

- 24 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
1 サイバーセキュリティの基本的な枠組みに関する情勢

図表２－１－１ 新戦略の概要

図表２－１－２ サイバーセキュリティ基本法の概要（平成30年改正後）- 25 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
2 重要インフラ分野等におけるサイバーセキュリティに関する情勢

2 重要インフラ分野等におけるサイバーセキュリティに関する情勢
2018年度、国内外において重要インフラサービスに関するインシデントが発生した。海外
では、金融機関を狙ったサイバー攻撃事例やランサムウェアの報告が目立った。また、国内
では、グローバルと同様に日本でも金融周りの事例やランサムウェア等によるサイバー攻撃、自損事故や自然災害に起因する重要インフラサービス障害が報告されている。
国外における主な事例としては、金融機関を狙ったサイバー攻撃事例やランサムウェアに
よるDoS攻撃等が挙げられる。2018年４月には、メキシコの中央銀行であるメキシコ銀行が提供する銀行間電子決裁システム(SPEI)を利用していた同国の複数の銀行がサイバー攻撃を受け、少なくとも４億ペソ(約2,000万米ドル)が不正送金により窃取された38。また、2018年
８月には、インド最古の銀行「Cosmos Bank」が、同行のATMやSWIFT環境に対するサイバー攻撃により1,350万米ドルの被害にあった。このサイバー攻撃では世界28か国のATMで不正引
き出しが行われた39。さらに2018年11月、パキスタンでは、ダークウェブフォーラム上で、同国のクレジットカードやデビットカード情報が公開されているということが、セキュリテ
ィ企業により発見された。同国の連邦捜査局(FIA)は、パキスタンのほぼ全ての銀行の顧客データが流出していることを明らかにした40。
2017年度は「WannaCry」や「NotPetya」等に代表されるランサムウェアが世界的に大流行したが、2018年度は、ランサムウェアによる攻撃総数自体は減少した。ランサムウェア感染により重要インフラサービスの提供に支障を来した事例が報告されていることから、その脅威は継続していると言える。例えば、2018年３月には、米国ジョージア州アトランタ市が被害を受けたランサムウェアは、同市の基幹システムを支える424のソフトウェアプログラムのうちの約３分の１を攻撃し、多くのオンラインサービスを停止させた。攻撃者は、身代金として51,000米ドル相当のビットコインを要求したが、同市は拒否し、結果としてシステムの復旧に要求額以上の費用を要することとなった41。この事例では、2015年に初めて確認されたランサムウェア「SamSam」が利用されていた。
国内においても、医療機関、交通機関等でランサムウェアによる感染事例が確認され、医療機関の事例では、電子カルテシステムがランサムウェアに感染し、約２日間にわたって使用できない状態に陥った。また、自治体に対するサイバー攻撃による情報窃取、ホームペー
ジ改ざん等の被害が多数見受けられた。特に、自治体に寄付すると税が控除される「ふるさと納税」を巡り、寄付金の詐取を目的とする偽サイトが多数存在することが明らかになった。実際に寄付金をだましとられる被害が確認されたことから、捜査機関が捜査を開始するとともに、総務省は寄付者に対して注意を促す通知を全国の自治体に発出するなどして対応した。また、フィッシング詐欺は、昨年に引き続き増加しており42、金融機関等を装ったメールを送り、フィッシングサイトに誘導させて、銀行口座番号、クレジットカード情報等を窃取するサイバー攻撃や、宅配業者の不在通知を装って、携帯電話番号と認証コードの窃取

38

http://www.banxico.org.mx/publicaciones-y-prensa/informes-trimestrales/recuadros/%7B86A498AE-5F8A57CE-2C11-B5059AB9EB20%7D.pdf
39https://www.cosmosbank.com/press-release/40
https://bankislami.com.pk/wp-content/uploads/2018/10/Material-Information-Cyber-Attack-on-Debit-Ca
rds.pdf
41
https://www.atlantaga.gov/Home/Components/News/News/11520/672
42
https://is702.jp/news/3456/- 26 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
2 重要インフラ分野等におけるサイバーセキュリティに関する情勢を目的としたサイトへ誘導するショートメッセージ(SMS)を送付する等のサイバー攻撃が確認されている。
業務委託に関するサプライチェーン・リスクも顕在化した。ある政府機関は2018年12月14日、マイナンバー等個人情報の記載のある書類のデータ入力を委託されていた業者が契約に反して別の業者に再委託していたことを発表した（書類にして約69万件）。当該委託されていた業者は、このほかにも当該業者によるマイナンバー等個人情報の記載のある書類のデー
タ入力の再委託に関する契約違反ないし法令違反が判明（書類にして約171万件）したことを発表した。また、このほか、一部自治体においても再委託に関する同様の問題が明らかになった。
自損事故や自然障害等、サイバー攻撃に因らない重要インフラサービス障害も目立った。
自損事故の例としては、2018年６月、インターネット経由で株式を取引するシステムにおいて、２日半の間システムの利用に不具合が発生し、株式予約注文約１万件が影響を受けた。
原因は、システム更新作業時の設定誤りによるものであった。
また、2018年９月、成田国際空港第２ターミナルの国際線搭乗手続き関連システムで発生した障害では、航空各社のネットワーク上でエアラインが旅客の搭乗手続き作業を行った際に通信が不安定になったことにより搭乗手続きに必要な手荷物情報が受信できなくなったた
め、出発階は一時、搭乗手続きを待つ旅客で混雑した。
さらに、2018年12月、国内の通信事業者が提供する通信サービスにおいて、４時間25分にわたり、約3,060万回線に影響を及ぼす通信障害が発生した。通信障害は、同者が提供する
４G(LTE)携帯電話サービス、固定電話サービス、ブローバンドサービスのほか、同者の回線を利用した他社の仮想移動体通信事業者(MVNO)サービスでも発生した。さらには、通信障害による二次的影響として、携帯端末向けの電子決済サービス、宅配ドライバーの集荷依頼/
再配達の受付、携帯端末を使用した搭乗券確認業務等多岐にわたり、通信サービスと経済のつながりの深さを改めて浮き彫りにした。通信障害の原因は同者の通信インフラの中核を構成する他社製の通信機器(Mobility Management Entity：MME)のソフトウェアで使用していたデジタル証明書の有効期限切れであった。このデジタル証明書は、当該MMEの開発ベンダ
ーによって、オペレータからは確認できない形で組み込まれており、同者が有効期限切れを事前に把握することが困難だったとされる。
自然災害では様々な脆弱性が浮かび上がった。2018年９月、関西地方を中心に猛威を振るった台風21号の影響により、交通や電力などのインフラに大きな被害を与えた。関西国際空
港では、台風21号による高波の影響で、滑走路や旅客ターミナルが冠水し、また、関西国際空港連絡橋の橋桁にタンカーが衝突し、連絡橋が使用不能となり、空港の利用客と職員が同空港内に一時取り残された。さらに、2018年９月、北海道では、胆振地方中東部を震源として発生した「平成30年北海道胆振東部地震」により、国内初のエリア全域停電（ブラックアウト）が発生した。地震発生に伴い、北海道電力管内の約半分の電力を担う苫東厚真発電所（北海道厚真町）が停止したことに加え、電源系統周波数を調整する水力発電所と電源系統を繋ぐ多重化された送電線が地震によって使用できず、その結果ブラックアウトとなった。
ブラックアウトから概ね全域に供給が回復するまで45時間程度要した。
自然災害等に関連した問題として、誤情報や偽情報の拡散があり、これらが重要インフラ
サービスに影響を及ぼすことがあった。北海道地震では、根拠のない誤情報や偽情報が交流
サイト(SNS)や無料対話アプリを中心に拡散した。札幌市等北海道内の複数の自治体が、予- 27 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
2 重要インフラ分野等におけるサイバーセキュリティに関する情勢

定がないのに「断水が始まる」といった誤った情報がインターネット上で拡散しているとして、ホームページ(HP)で注意喚起を行った。会員制交流サイト(SNS)への投稿のほか、通信アプリ「LINE」を介して、チェーンメールのように拡散したケースもあった。
SNSが問題を引き起こした反面、同社は、SNSを活用し、停電復旧情報等を効果的に発信することができた。北海道地震によって、同社の停電情報システムがダウンしたことから、20
17年３月31日で閉鎖していた公式Twitterを復活させ、道内の停電復旧情報の逐次発信を行った。インターネットやSNSが普及した今日、公共サービスを担う重要インフラの非常時の情報発信の観点から参考となる事例である。

- 28 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
3 政府機関等におけるサイバーセキュリティに関する情勢

3 政府機関等におけるサイバーセキュリティに関する情勢
3.1

政府機関等43におけるサイバーセキュリティに関する体制
政府機関等におけるサイバーセキュリティ対策について、政府横断的な立場から推進するため、2008年４月からNISCにおいて政府機関に対する情報セキュリティ横断監視・即応調整
チーム（第一GSOC44）を、また、2017年４月からNISCの監督の下、独立行政法人情報処理推進機構（IPA）（以下「IPA」という。
）において独立行政法人及び基本法に基づく指定法人（以下「独立行政法人等」という。
）に対する情報セキュリティ横断監視・即応調整チーム（第二GSOC）を設けている（以下、第一GSOCと第二GSOCを併せて「GSOC」という。）。
GSOCでは、24時間365日体制でサイバー攻撃等の不審な通信の横断的な監視、不正プログ
ラムの分析や脅威情報の収集を実施し、各組織へ情報提供を行っている（図表２－３－
１）。
図表２－３－１ GSOCの概要

また、NISCは各府省庁の要請により情報セキュリティ緊急支援チーム（CYMAT45）を派遣
し、技術的な支援・助言を実施している。
一方、各府省庁や各法人はそれぞれ組織内CSIRT46を設置し、自組織の情報システムの構築・運用を行うとともに、サイバー攻撃による障害等の事案が発生した場合には、情報シス
テムの管理者としての責任を果たす観点から、自ら被害拡大の防止、早期復旧のための措置、原因の調査、再発防止等の対応を実施している。
このように、各組織がそれぞれ適切な役割分担の下、相互かつ密接に連携しつつ、政府全体として効果的な対応をとることができるような体制を構築している。（図表２－３－２）。

43

本章では、各府省庁、独立行政法人及び基本法に基づく指定法人並びにオブザーバ機関を総称して「政府機関等」という。
44
GSOC（Government Security Operation Coordination team）
45
CYMAT（CYber incident Mobile Assistance Team）
46
CSIRT（Computer Security Incident Response Team）- 29 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
3 政府機関等におけるサイバーセキュリティに関する情勢

図表２－３－２ 政府機関等における情報集約・支援体制の枠組み

3.2

2018 年度の政府機関等に対する外部からの攻撃に係る情報セキュリティ
インシデントの傾向
政府機関等において発生した情報セキュリティインシデント47の主な要因は、「外部からの攻撃」によるものと「意図せぬ情報流出」によるものに大別される。本項では前者について記す。
なお、2017年度から検知・解析機能の強化やセンサーの増強を図った第３期GSOCシステムの運用を開始しているが、対応能力等のリソースの有効活用等を目的として、分析等の機械的処理を含むセンサー性能の向上を図り自動化を進めたことに伴い、統計処理方法を変更することとしたため、以下の図表において2016年度以前の件数と2017年度以降の件数は単純比較できなくなっている。

(1) 政府機関等に対する攻撃等の動向
第一GSOCは、センサー等による政府機関に対する不審な通信の検知や、政府機関等のWebサイトに対する稼働状況の監視活動、セキュリティ対策に必要となる情報収集や情報提供を政府横断的に行っている。また、第二GSOCは独立行政法人等に対する同様の業務を行っている。不審な通信とは、外部から政府機関等に対する不正アクセス、サイバー攻撃
やその準備動作に係るもの、標的型攻撃によりもたらされた不正プログラムが行うもの、

47

情報セキュリティに関する望まない又は予期しない事象であって、事業運営を危うくする確率及び情報セキュ
リティを脅かす確率が高いもの（「別添５ 用語解説」参照）。政府機関等において発生し公表又は報道された
情報セキュリティインシデントの一覧については「別添３－10 政府機関等に係る 2018 年度の情報セキュリ
ティインシデント一覧」を参照。

- 30 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
3 政府機関等におけるサイバーセキュリティに関する情勢

これらに該当するとの疑いがあるもの等を指す。このような不審な通信を検知することによりサイバー攻撃を発見することに資することから、その検知は重要である。
センサーによる横断的な監視や政府機関等のWebサイトに対する稼働状況の監視活動において、政府機関等に対する不審な通信として検知したものの中には、既に攻撃手法に対応済みであるため攻撃としては失敗した通信や、攻撃の前段階で行われる調査のための行
為にとどまり明らかに対応不要と判断できる通信が含まれている。これらを分析しノイズとして除去した上で、なお対処の要否について確認を要する事象（以下「確認を要するイ
ベント」という。
）48については、以下のような傾向がみられた。

① 対策の進展がみられる攻撃等について
前年度までに対策済みであり政府機関等の情報システムに影響がないと判断された攻撃通信は、当年度にGSOCセンサーでイベントとして検知されたとしても「確認を要するイベント」には含まれないため、確認が必要と認められる新たに発見された脆弱性を利用する攻撃通信が発生しない限り、政府全体の対策が進むことによって確認を要するイ
ベントの検知件数は自然と減少していく。
2018年度の第一GSOCにおいては、新たに発見された脆弱性やそれらを利用する攻撃通信自体は発生しているものの、政府機関等の情報システムに影響する攻撃通信が少なかったほか、政府機関等において迅速な対策がなされた結果、件数としては低い水準となった49。第一GSOCにおける具体的な状況は次のとおりである。
2017年度に検知したウェブアプリケーションの脆弱性や設定不備を狙った攻撃は合わ
せて1,545件であったが、その内容について見ると、「Apache Struts」を狙った通信が1,364件検知されるなど、アプリケーションサーバを狙った攻撃が多かった。2018年度
はこのような攻撃に対する対策が進んだ結果、当該攻撃に係る通信は確認を要するイベ
ントではなくなっており、クロスサイトスクリプティングを狙った攻撃を11件検知したのみであった。
また、2017年度はポリシー違反の疑いがある通信を3,614件検知しており、そのうち
3,479件は特定のリモートアクセスアプリケーションの通信が占めていたが、当該通信が発生した機関においてそれ以降このアプリケーションの使用を取りやめたため、2018
年度はP2P通信を行うファイル共有アプリケーションによる通信を９件検知したのみとなっている。ポリシー違反の疑いがある通信は2016年度から年々減少してきているが、考えられる要因として、前述のような事例があったほか、検知ルールの調整が進んだことや、各機関において許可されたもの以外のアプリケーションの使用制限が進んでいること等が挙げられる。

48

2016 年度まではセンサー監視等によって検知した個々の不審な通信の件数である「センサー監視等による脅威
件数」を一つの指標としてきたが、2017 年度から運用を開始した第３期 GSOC システムではこれに代わるものとして「確認を要するイベント」を指標とすることとした。この「確認を要するイベント」は、センサーから通知される全てのログを機械的処理により自動的に分析することでノイズ等を除外し、情報セキュリティ上の影響を及ぼす可能性の有無について確認が必要な通信を検知したログを抽出し、技術的知見を有する分析者が一連の同種の攻撃の試みを１つのイベントとしてまとめる（結果として個々の不審な通信を束ねたものとなる）などした上で、統計処理を行ったものである。
49
第二 GSOC は、2017 年度に運用を開始して間もなく、センサーでの検知に当たり不要と判断できるノイズの除去について継続して調整中であり、状況確認等のため検知ルールの追加や削除を行ったことから、2018 年度においては約 230 万件と高い値となっている。

- 31 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
3 政府機関等におけるサイバーセキュリティに関する情勢

さらに、DoS攻撃については、2017年度には「Slow HTTP DoS」などといった攻撃を
1,292件検知したものの、当該年度以外においては確認を要するイベントとして検知するような顕著なDoS攻撃は無かった。

② 引き続き警戒を要する攻撃等について
一方、2018年度の第一GSOCにおけるマルウェア感染の疑いや標的型攻撃の検知件数は
図表２－３－３のように2017年度と同程度で推移しており、引き続き十分な警戒を要す
る状況である。そのほか、政府機関のドメイン（～.go.jp）に似せた紛らわしいドメインを用意しそのドメインに誤って送信されたメールを盗み見たと思料されるタイポスク
ワッティングの疑いを５件検知した。
図表２－３－３ 引き続き警戒を要する攻撃等の検知件数
年度
2017 年度
2018 年度 （件）マルウェア感染の疑い

169

111

標的型攻撃

57

66

タイポスクワッティングの疑い

05

また、第二GSOCにおいては、ウェブアプリケーションの脆弱性や設定不備を狙った攻撃に係る検知が多く、特にコンテンツマネジメントシステム（CMS）を対象としたものが多かった。
ウェブアプリケーションの脆弱性や設定不備を悪用した攻撃の例としては、攻撃対象のサーバ上で任意のコマンドを実行するものや、ファイルを不正にアップロードするものが挙げられる。第二GSOCにおける監視活動においても、このような攻撃を検知しており、今後も対策の強化促進が必要である。

(2) 政府機関等への通報確認を要するイベントを検知した際には、これを分析し、必要に応じ当該機関への通報を行っており、2018年度においては、第一GSOCでは60件、第二GSOCでは1,273件の通報を行った（図表２－３－４）。なお、2017年度に運用を開始した第二GSOCでは、対象機関のシステムや業務等の特性に応じた詳細な分析に基づく通報の実施に係る判断基準を調整中
であることから、第一GSOCと比べて通報件数が多くなっている。

- 32 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
3 政府機関等におけるサイバーセキュリティに関する情勢

図表２－３－４ GSOC センサー監視等による通報件数の推移
(件)
3,000

2,618 件

2,500
2,000
1,273 件

1,500
1,000
500

163件

180件

133件

60件

2015年度

2016年度

2017年度

2018年度第一GSOC

第二GSOC0(3) 不審メール等に関する注意喚起
GSOCでは、政府機関等が受信する不審メール等の対応のため、情報を集約し注意喚起等を行っている。この業務では、政府機関等が受信した不審メールや添付ファイル、プログ
ラム等の検体の提供を受け、分析を行った結果、不正プログラムであることが確認できたもの等について、政府機関等に対して一斉に注意喚起を行っており、2018年度においてはGSOCから395件の注意喚起を行った（図表２－３－５）。
図表２－３－５ 不審メール等に関する注意喚起の件数
(件)
2,500
1,981 件2,000
1,677 件
1,500
878 件

1,000

395 件

500
0
2015年度

2016年度

2017年度

2018年度

この注意喚起の件数は年々減少しているが、マルウェアの高度化が進む中、メールの文
面が自然な日本語であったり、実在する組織やその所属職員の名前が用いられていたりす
るなど巧妙化してきていることや、暗号化通信の特性を悪用した攻撃もあることに留意しておく必要がある。

- 33 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
3 政府機関等におけるサイバーセキュリティに関する情勢

コラム① ～政府機関等に対する不審メールの傾向～○

不審なファイルに導く手法の変化
図表２－３－６は、政府機関等から GSOC に対して解析依頼のあった不審メールにおける不審なファイルに導く手法の割合を示したものである。近年では、不審なファイルをメールに添付する手法（以下「ファイル添付型」という。）に代わってメール本文に不審なURL を記載する手法（以下「URL 型」という。）の比率が高まっており、その背景には URL
型はファイル添付型に比べセキュリティ装置で検知・排除されにくいことがあると考えられる。
URL 型の不審メールには、記載された URL にアクセスすることによってマルウェアがダウンロードされるものとフィッシングサイトが表示されるものとがあり、2018 年度では、以前より後者の割合が増加している。フィッシングサイトへの接続は、単に情報を入力させて盗むだけでなくサイバー攻撃の前段階の場合もあることから、安易に不審な URL にア
クセスしないよう継続的に周知することが重要である。
ファイル添付型の不審メールでは、Office形式のファイルの添付が多く、埋め込まれたマクロを用いてマルウェアとして機能するものが目立っている。

図表２－３－６ 不審メールの傾向
0%

10%

20%

30%

40%

50%

60%

70%

80%

90%

100%

2015年度
2016年度
2017年度
2018年度

ＵＲＬ型○

ＵＲＬ型かつファイル添付型

ファイル添付型

その他

送信元の偽装GSOCにおいて解析した不審メールにおいて、正規のメールアカウントが不正にログイ

ンされ、不審メールの送信に使用された事例が散見された。中には、正規の利用者が送信したメールを引用したメールにマルウェアを添付する手口も確認された。図表２－３－７はその例である。

- 34 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
3 政府機関等におけるサイバーセキュリティに関する情勢

図表２－３－７ 返信型の不審メールの例

かつては不審メールの多くで本文に英語が使われたり不自然な日本語が使われたりしていたが、返信型の不審メールでは、自然な日本語が使われ、以前自分が送信したメー
ルの本文が取り込まれているため、不審なメールと判断することが著しく難しくなっている。
なお、返信型の不審メールを作成するにはメールアカウントに不正にログインしている場合が多いと考えられるが、覗き見られたメールから重大な情報漏えい事案に発展する可能性があるため、迅速な対処が必要である。

コラム② ～標的型メールにおける具体的手法～
政府機関等からGSOCに対して解析依頼のあった不審メールには、いわゆるばらまき型メールも多く含まれるが、攻撃者が政府機関等をターゲットにしたとみられる標的型メールも確認されている。
この標的型メールでは、非常に自然な日本語が用いられ、メール本文の末尾に公然情報からのものとみられる実在の政府機関や担当者氏名、連絡先などが付記されるだけでなく、その連絡先情報を一部改変して担当者に確認しにくくする細工も施されており、非常に精巧な作りとなっている。
標的型メールに添付されたファイルを見ると、その内容が時宜に適った政治経済に関するものや、実在する公的な会議に関するものであるなど、メールの受け手に不審感を与えないよう工夫されている。また、ファイル形式も一般的なOffice形式だけでなく、発表されたばかりの脆弱性を有する特殊なファイル形式のものを、他の一般的なファイル形式に偽装するなど、複雑かつ高度な手法が用いられている。

- 35 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
3 政府機関等におけるサイバーセキュリティに関する情勢(4) ソフトウェアの脆弱性情報の配信
GSOCでは、Webサイト等への攻撃を始めとする各種のサイバー攻撃に悪用される可能性があるソフトウェアについての脆弱性対策情報等を政府機関等に配信し、注意喚起を行っている。2018年度においては、第一GSOCから150件、第二GSOCより140件の脆弱性情報等を配信した（図表２－３－８）。
図表２－３－８ GSOC が配信したソフトウェアの脆弱性情報等の件数
(件)
200
161件

149件
150

150件
140 件

116 件

99件
100
50
0
2015年度

2016年度第一GSOC2017年度第二GSOC2018年度(5) 今後の対応
センサー監視等により検知したイベントを分析したところ、脆弱性の公開に合わせた攻撃や、執拗な攻撃のほか、実在する人物になりすましたメールによる標的型攻撃が行われるなど、手口が高度化・巧妙化していることが分かった。よって、攻撃数そのものは大きく減少しているものの、その中身については、攻撃が効率的に行われるようになったと見ることができ、注意喚起を行った件数も決して少なくない状況であることも踏まえると、
政府機関等に対する実質的な脅威度は引き続き高いままであると考えられる。
こうした状況を踏まえ、第一GSOCと第二GSOCとの間で緊密な連携を図り、政府機関等へのサイバー攻撃に対し、引き続き迅速かつ適切に対応していくこととしている。

3.3

2018 年度の政府機関等における意図せぬ情報流出に係る情報セキュリティ
インシデントの傾向
本項では、政府機関等において発生した情報セキュリティインシデントの主な要因のうち「意図せぬ情報流出」に係るものについて記す。
2018年度も、職員の過失等による意図せぬ情報流出にかかる情報セキュリティインシデン
トが散見された。
PCやUSBメモリ等記憶媒体の紛失・盗難事案や、BCCで送付すべき一斉送信メールをToやCCで送付してメールアドレスが流出した事案、誤って個人情報等が記載されているファイルをWebサイトに掲載した事案などが発生している。
こうした事案を防止するためにも、個々の職員のサイバーセキュリティに対する意識の涵養が不可欠である。

- 36 -

2章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティに関する情勢
4 サイバー空間に係る国際的な動向

4 サイバー空間に係る国際的な動向
サイバー空間はグローバルであり、我が国として国際動向を注視して施策を推進する必要がある。
米国においては、トランプ大統領が2017年５月に米国連邦政府のネットワーク及び重要イ
ンフラ事業者のサイバーセキュリティ強化に関する大統領令50に署名し、関係機関は同大統
領令に基づく報告書を発表。2018年９月、新たな国家サイバー戦略を公表し、「連邦政府のネットワークと重要インフラの保護」、「デジタルエコノミーの繁栄」、「サイバー抑止イニシ
アティブの立ち上げ」、「開放的で相互運用性があり、安全で信頼できるインターネットの維持」等に言及している。また、同年11月、国土安全保障省にサイバーセキュリティ・インフ
ラストラクチャー・セキュリティ庁（CISA51）が設置され、官民協力を進め、あらゆる脅威やリスクから重要インフラを防護する体制が強化された。また、2018年８月、2019年度国防
授権法を策定し、2019年２月には、CISAが開催するサプライチェーンリスクマネジメントタ
スクフォースが開催される等、サプライチェーン・リスク対策も強化している。
欧州連合（EU）では、2018年12月、欧州ネットワーク・情報セキュリティ機関（ENISA52）の権限拡大や認証枠組みの導入を含むサイバーセキュリティ法が成立し、また、2018年５月を期限として、NIS指令53の加盟国における国内法化が進められる等、欧州一体としてサイバーセキュリティ対策を強化している。また、2018年５月に、一般データ保護規則（GDPR）54が施行されている。また、サプライチェーン・リスクに関しては、５Ｇネットワークのサイ
バーセキュリティに関する勧告を発出し、加盟国及びＥＵレベルでのリスク評価と連携した対応の強化を打ち出している。
中国は、2017年６月、「サイバーセキュリティ法」を施行し、同法に基づく関連規制（ネットワーク製品及びサービスの安全審査弁法、個人情報及び重要データの越境安全評価法、
重要情報インフラ保護弁法等）を発行した。ロシアは、2016年12月、「情報安全保障ドクトリン」を公表し、サイバー空間におけるロシア連邦の安全保障を目的としたサイバーセキュ
リティ政策の方向性を明示している。
サイバー空間における国際法の適用に関する議論については、第５次国連政府専門家会合（GGE）55は、国際法の適用の在り方等について、参加国の意見が一致せず、コンセンサス報
告書を発出することがかなわなかったが、2018年国連総会決議に基づき、2019年に第６会期が立ち上がる予定となっている。また、G7においては、2018年４月トロント外相会合の外相
共同コミュニケ及び「G7伊勢志摩サイバーグループ会合議長報告書」において、「悪意のあるサイバー行為を阻止し、抑止し、妨げ、対抗するための措置を展開するために協働し、適時にコストを課すことで、悪意のあるサイバー行為を行う者を抑止する」ことが確認されている。また、2019年４月ディナール外相会合の外相共同コミュニケにおいて、悪意のあるサ
50

Presidential Executive Order on Strengthening the Cybersecurity of Federal Networks and Critical I
nfrastructure
51
Cybersecurity Infrastructure Security Agency
52
欧州ネットワーク・情報セキュリティ機関（European Network and Information Security Agency）
53
Directive (EU) 2016/1148 of the European Parliament and of the Council of 6 July 2016 concerning measures for a high common level of security of network and information systems across the Union
54
Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the pro
tection of natural person with regard to the processing of personal data and on the free movementof such data, and repealing Directive 95/46/EC (General Data Protection Regulation)
55
国連総会決議（A/RES/70/237）に基づき、2016 年 8 月から 2017 年 6 月まで 4 回の会合（合計 20 日）を開催。

- 37 -

1 部 年次報告（2018 年度）
2 章 2018 年度のサイバーセキュリティに関する情勢
4 サイバー空間に係る国際的な動向

イバー活動を非難し、そのような活動を防止する目的の措置を発展させるよう協力を強化すべき旨再確認し、「サイバー規範イニシアチブに関するディナール宣言」を発出した。2018
年11月には、フランスが主導し、サイバー空間における「信頼」と「安全」を確保するためのマルチステークホルダーでの宣言として、Paris Call for trust and security in the
cyberspaceが発表され、我が国もこれを支持している。また、同年11月には、サイバー空間の安定性に関する委員会（GCSC56）が、Norm Package Singaporeを発表している。
サイバー攻撃に一国のみで対応することは、容易ではなく、国際社会全体との連携や協力、法の支配による安定化を進めていくことが不可欠であることから、我が国としてもこうした法の支配の推進に積極的に寄与し、国際連携を進めていくとともに、各国の動向を踏まえ、国内のサイバーセキュリティ対策を強化していくことが必要である。特に、2019年度にはG20が日本で開催されるところ、我が国は開催国としての立場を活用し、国際社会の連携を推進していく。

56

Global Commission on the Stability of Cyberspace- 38 -

3章

3章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
1 経済社会の活力の向上及び持続的発展2018 年度のサイバーセキュリティ関連施策の取組実績と評価

1 経済社会の活力の向上及び持続的発展
1.1

新たな価値創出を支えるサイバーセキュリティの推進【取組実績】
企業が直面するサイバーセキュリティに係るリスクが高まっている中、全ての産業分野においてサイバーセキュリティに取り組む必要があるとの認識を広げる必要がある。また、その取組をリスクマネジメントの一環と捉え、自然な形で対策が組織に浸透していくことが重要である。これらを踏まえ、以下の取組等を実施した。
経営層の意識改革を目的として、経営層の意識調査や経営層向けのセミナー、「サイバー
セキュリティ経営ガイドライン」の説明会を実施した。また、本社のみならずグループ企業のガバナンスの在り方の指針を示す「グループ･ガバナンス･システムに関する実務指針（仮称）」にサイバーセキュリティ対策の在り方を盛り込むとともに、「取締役会の実効性評価」にサイバーセキュリティへの経営層の関与を盛り込んだ。
さらに、企業が対策を講じる上で認識するべき関係法令集の作成のため、2018年10月より「サイバーセキュリティ関連法令の調査検討等を目的としたサブワーキンググループ」を開催した。
サイバーセキュリティに対する企業の投資の推進に関しては、「サイバーセキュリティ経営ガイドラインVer2.0実践のためのプラクティス集」の公開や、企業のサイバーセキュリテ
ィ対策に関する情報開示を行うに当たって参照可能な手引きの策定に着手する等の取組を進めた。加えて、情報セキュリティサービス審査登録制度の基準に適合するサービスの台帳化を行い政府調達で活用することで、情報セキュリティサービスの利用促進を行った。また、税制施策やサイバー保険の推進を目的として、税制施策に関する説明会の実施やサイバー保険も活用した情報開示の仕組みの検討を行った。
先端技術を利活用したイノベーションを支えるサイバーセキュリティビジネスの強化に関して、クラウドに係る取組としては、「クラウドサービス提供における情報セキュリティ対策ガイドライン」に、クラウド事業者のIoTサービスリスクへの対応に関する内容を追加するとともに、事業者のセミナー等において、CSマークやクラウドセキュリティ認証の取得に向けて呼びかけ等を行った。
営業秘密保護に関する取組としては、各種情報発信を行うとともに、ハンドブックの改訂を見据え調査を実施し、2019年4月に報告書を公開した。また、「秘密情報の保護ハンドブッ
ク～企業価値向上に向けて～」やその簡易版となる小冊子を、HPや講演において周知した。
さらに、組込みソフトウェアに係る取組としては、組込みソフトウェア産業の抱える課
題、開発技術動向、人材育成状況などの実態と動向を把握するための調査・分析を行い、結果を公開するとともに、組込みソフトウェア開発向けコーディング作法について、ガイドとなる書籍の発行や民間団体と連携したセミナー等を通じて普及展開を図った。
サイバーセキュリティビジネスの振興・活性化を図るため、メンバーを限定しない情報交流の場の構築等を行った。また、サイバーセキュリティ製品・サービスの創出・活用を促進するため、市場で流通させるための有効な施策について調査を行い、有効性検証やレーティ
ング等の在り方について検討を行った。
- 39 -

1 部 年次報告（2018 年度）
3 章 2018 年度のサイバーセキュリティ関連施策の取組実績と評価
1 経済社会の活力の向上及び持続的発展【評価】
経営層の意識改革については、各省庁におけるセミナーや各種ガイドライン等の普及活動等を通じて一部への効果はあったと考えられるものの、調査57による企業の意識や対策の可視化結果を鑑みると、業種・業態や企業の規模等によっては取組が十分とは言い難い。引き続き、関係省庁が連携して各種取組を積極的に行っていく必要がある。
サイバーセキュリティに対する投資の推進については、プラクティス集の作成や手引書の検討等、取組は進んでいるものの、人材配置等のソフト面への投資や、税制や保険の認識、活用にはまだ至っていない企業の割合も高い57ため、普及や周知について取組を進める必要がある。
先端技術を利活用したイノベーションを支えるサイバーセキュリティビジネスの強化に関しては、各分野において導入資料の作成やその周知を図る取組がなされているため、より広い浸透を目指して引き続き取組を継続していく必要がある。

1.2

多様なつながりから価値を生み出すサプライチェーンの実現【取組実績】
サプライチェーン全体に対して、一貫性をもった必要な対策が実装されることが不可欠であることを踏まえ、以下の取組等を実施した。
サイバーセキュリティ対策指針の策定に関しては、Society 5.0の実現に必要なセキュリ
ティ対策の全体像を示す「サイバー・フィジカル・セキュリティ対策フレームワーク」の策定を進め、二度のパブリックコメントを実施した。これらを踏まえて、2019年４月に公表した。また、産業分野ごとにワーキンググループを開催し、各産業における守るべきものやリ
スクに基づいたセキュリティ対策の検討を進めた。特に、ビル分野においては「ビルシステ
ムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン（案）」を2019年３月に取りまとめ、パブリックコメントを実施した。さらに、下請中小企業振興法の振興基準の改訂に伴い、下請ガイドラインについて業界団体と連携して、必要な見直しを実施するとともにセミナー等における周知や自主行動計画のフォローアップを行う等、取引適正化に向けた取組を実施した。
サプライチェーンにおけるサイバーセキュリティを確保できる仕組みの構築に関しては、関係府省庁が連携し、技術開発から実証実験、認証制度の検討、グローバル協調にわたる総合的な研究開発計画を立案した。同様に研究開発計画に基づき公募により研究開発機関を決定し、概念設計を行う等研究開発を開始した。また、各産業における守るべきものやリスクに基づいたセキュリティ対策の検討を行うとともに、認証を含む確認の仕組みについて調査を行った。
中小企業においてはサイバー攻撃が経営に与えるインパクトが大きいこと、自社のみならず取引先まで影響が拡大する恐れがあることから、重点的な対策が必要である。このような中小企業における取組の促進に向けて、中小企業の実態を踏まえた対策集の取りまとめや、
サイバー保険も活用した情報開示の仕組みの検討を実施した。また、セキュリティ対策の取組を自己宣言するSECURITY ACTION制度を補助金の要件とすることで、中小企業のセキュリ
ティ意識向上と対策強化を図った。

57「企業のサイバーセキュリティ対策に関する調査」（2019 年５月 内閣サイバーセキュリティセンター）- 40 -

3章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
1 経済社会の活力の向上及び持続的発展【評価】
サイバーセキュリティ対策指針の策定に関しては、「サイバー・フィジカル・セキュリテ
ィ対策フレームワーク」の策定に向けて着実に取組を実施した結果、公表に至った。今後
は、本フレームワークの普及に向けた活動が重要となる。
サプライチェーンにおけるサイバーセキュリティを確保できる仕組みの構築に関しては、
ワーキンググループを開催する等、各産業における守るべきものやリスクに基づいたセキュ
リティ対策の検討を行うとともに、認証を含む確認の仕組みについて調査を行う等の一定の進展がある。さらに、仕組み構築のための研究開発については、研究開発機関を決定し、概念設計を行う等研究開発を開始する等、一定の取組を進めている。引き続きこれら取組を進めていく。
中小企業の取組の促進については、対策集の取りまとめや仕組みの検討を進めているところであるが、各種調査結果によれば、中小企業における取組の一層の強化を促進する必要があり、引き続き既存の制度の周知強化も含め、関係省庁が連携して各種取組を推進していく必要がある。

1.3

安全な IoT システムの構築【取組実績】
サイバー空間につながる様々なモノが急速に広がっており、経済社会の発展に不可欠なインフラとしてのサイバー空間に悪影響を及ぼし得る脆弱なモノ（機器）のサイバーセキュリ
ティ対策が喫緊の課題となっている。また、セキュリティレベルや物理的安全性等の安全基準が異なる様々なモノ（IoT機器）のつながりが拡大する中、こうしたつながりは、新たな脅威を生む可能性がある。このような状況を踏まえ、官民が連携して、安全なIoTシステムの構築に取り組む必要があり、以下の取組等を実施した。
IoTシステムにおけるサイバーセキュリティの体系の整備に関しては、「サイバーセキュリ
ティ関係施策に関する平成31年度予算重点化方針」（平成30年７月25日サイバーセキュリテ
ィ戦略本部決定）において、「安全なIoTシステムのためのセキュリティに関する一般的枠組」を踏まえることや、IT利活用等を目指す施策についても、セキュリティ・バイ・デザイ
ンの考え方を盛り込むことに留意することを示した。また、「安全なIoTシステムのためのセキュリティに関する一般的枠組」を踏まえ、関係省庁との会合や講演を行うなど、各主体間での共通認識の醸成と情報共有を促進するとともに、各省庁のIoTセキュリティに関する取組との連携を図る等、協働を進めた。
国際標準化に関しては、国際標準化機関であるISO/IEC JTC 1/SC 41において「安全なIoTシステムのためのセキュリティに関する一般的枠組」等を基本とした国際標準化活動を、
ISO/IEC JTC 1/SC 27及びITU-T SG17において「IoTセキュリティガイドライン」等を基本とした国際標準化活動を各々推進。国際会合にて作業原案や勧告草案を提案する等、国際標準化のプロセスを進めた。
また、IoT推進コンソーシアム IoTセキュリティWGを通じて、それぞれの機器の利用方法
やサイバーセキュリティ上の脅威、諸外国の検討状況や技術の進展の動向等を十分踏まえた取組を推薦するために、各関係機関がそれぞれ取り組むべき事項を、「IoT 機器のセキュリティ対策に関する検討の方向性」として取りまとめた。
- 41 -

1 部 年次報告（2018 年度）
3 章 2018 年度のサイバーセキュリティ関連施策の取組実績と評価
2 国民が安全で安心して暮らせる社会の実現

さらに、電子情報技術産業協会(JEITA)と連携して開催したスマートホームサイバーセキュリティワーキンググループを活用して、多岐に渡るステークホルダーと連携して、家庭で使用されるIoT機器のサイバーセキュリティの確保に求められるセキュリティ対策の方向性について検討を行った。
また、ネットワーク上の脆弱なIoT機器の対策については、所要の制度整備を行った上で、サイバーセキュリティ戦略本部からの意見58も踏まえ所要の手続きを進め、2019年２月より、パスワード設定等に不備のあるIoT機器を調査及び注意喚起を行う取組（「NOTICE」）
を開始し、取組を実施した。さらに、今後製品化されるIoT機器に関する対策として、IoT機器の技術基準にセキュリティ対策を追加するための改正省令を2019年３月に公布している。
その他、内閣官房において、IoT機器のセキュリティ対策に関する体制等についても関係者との意見交換を行い検討した。
【評価】
IoTシステムにおけるサイバーセキュリティの体系の整備に関しては、「安全なIoTシステ
ムのためのセキュリティに関する一般的枠組」を踏まえ、関係省庁との会合やセミナーでの講演、各省庁のIoTセキュリティに関する取組との連携を図る等、各主体間の共通認識の醸
成と情報共有を促進した。また、国際標準化に関しては、ISO/IEC JTC 1やITU-T等において我が国の研究開発成果やIT環境・基準・ガイドライン等を踏まえた、国際標準化のプロセスを進める等一定の進捗があった。引き続き、これら課題を踏まえた取組を推進する必要がある。
ネットワーク上の脆弱なIoT機器の対策については、「参加・連携・協働」の観点で各々が平時から講じる基本的な取組を促進する側面もある一方で、攻撃を受ける蓋然性のあるIoT
機器を事前に調査して注意喚起するという点で積極的サイバー防御の取組とも言える画期的な取組である。そのため、引き続き、産官学民及び民間企業相互間の連携と役割分担の下で進めるとともに、調査方法の高度化や実施体制の充実化等のサイバーセキュリティ戦略本部
意見や調査結果を踏まえて発展させていく必要がある。また、IoT機器に関する各施策については、IoT機器の普及に伴う脅威の高まりを踏まえ、継続してフォローを行い、全体像を把握しながら取組を推進していくことが求められる。

2 国民が安全で安心して暮らせる社会の実現
2.1

国民・社会を守るための取組【取組実績】
サイバー犯罪・サイバー攻撃の複雑化・巧妙化を背景に、積極的サイバー防御を推進した。具体的な実施内容としては、経済産業省において、IPAを通じてウェブサイトの攻撃兆候検知ツールを引き続き提供した。また、IPA及びJPCERT/CCを通じ、脆弱性関連情報について届出・受付・公表をすることで脆弱性関連情報を共有する取組が行われた。フィッシング
攻撃についても、JPCERT/CC を通じ、国内外からフィッシングに関する報告や情報提供を受けるとともに、フィッシングサイトの情報提供や注意喚起が行われた。総務省において、
ICT-ISACが中心となってマルウェアに感染した端末が不正サーバと通信しようとする場合に当該通信を遮断し、被害を未然に防止する取組を促進した。

58

サイバーセキュリティ戦略本部会合第 19 回会合及び第 20 回会合資料- 42 -

3章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
2 国民が安全で安心して暮らせる社会の実現

こうした取組に加え、先端技術の普及を見込んだ研究開発や対策が求められている。経済産業省及び国土交通省において、自動運転について、車両外部からの通信が車内ネットワー
クにつながることによるサイバーセキュリティリスクへの対応に向けて、車両内の電子シス
テムを模擬した評価環境（テストベッド）を構築した。また、金融庁において、一般社団法人日本仮想通貨交換業協会を資金決済法に基づく認定資金決済事業者協会として認定し、当協会において、システムリスク管理を含む自主規制規則を定め、各暗号資産交換業者における規則の遵守態勢等について指導等を行った。
また、安心・安全なサイバー空間の利用環境の構築に必要な各種セキュリティ評価ガイド
ライン等を金融分野、電気通信分野、医療分野をはじめとした各分野で周知徹底する取組がなされた。
サイバー犯罪への対策については、国民一人一人の自主的な対策を促進する目的で、インターネット利用者等の情報セキュリティに関する意識・知識の向上、サイバー犯罪による被害の防止のため、各種ウェブサイトや講演会を始めとする様々な媒体・機会を活用し、対象者に応じた内容での広報啓発活動が行われた。具体的には、警察庁及び都道府県警察において、SNS等に関連した犯罪被害防止のための保護者向けの啓発活動が行われた。
また、不正アクセス防止対策、フィッシング対策、企業情報の漏えいを狙ったサイバー攻
撃対策、インターネット上における児童ポルノ流通防止対策、偽サイト対策等について、対策に資する情報の共有を始めとした官民が連携した取組を実施した。
さらに、サイバー犯罪等に係る専門的・技術的な研修等を実施し、サイバー犯罪対策・対処等に従事する職員の能力向上が図られた。
【評価】
安心・安全なサイバー空間の利用環境たる情報システム等は、人間が作るものであるがゆえに、意図しない脆弱性が残り、その脆弱性を完全に除去することが難しく、またその脆弱性を突いた攻撃が行われる。そのため、脆弱性情報や修正プログラム、フィッシングサイト
情報等の公表や共有だけでなく、攻撃兆候検知ツールの機能改善の検討や利用拡大を図る等の地道な対策が引き続き求められる。
今後実用化が見込まれる先端技術の一例たる自動運転の研究開発についても、自動車への新たなハッキング手法等を継続的に調査・分析することが必要である。暗号資産（仮想通貨）においても、自主規制団体による実効的な自主規制機能が発揮されるよう促していく必要がある。
また、積極的サイバー防御を行っていくためには、技術的なサイバーセキュリティ対策だ
けでなく、各事業者等への周知とその浸透と、関係団体との連携を図っていく必要がある。
そのためにも、業界問わず、策定したセキュリティ評価ガイドラインを継続的に更新する等の運用体制が求められる。
サイバー犯罪への対策については、様々な広報啓発活動や官民連携による対策が行われ、国民・社会を守るための取組が広がっている一方で、サイバー犯罪の検挙件数とサイバー犯罪に関する相談件数は、平成30年中も高い水準にある。そのため、引き続き効果的な広報啓発や官民連携による対策を推進していくことが必要である。

- 43 -

1 部 年次報告（2018 年度）
3 章 2018 年度のサイバーセキュリティ関連施策の取組実績と評価
2 国民が安全で安心して暮らせる社会の実現

また、サイバー犯罪の手口やサイバー犯罪に使われる技術について、新たなものが次々と登場することを踏まえると、サイバー犯罪対策等に従事する職員の能力向上やサイバー空間
における事後追跡可能性の確保に継続的に取り組む必要がある。

2.2

官民一体となった重要インフラの防護【取組実績】
国民生活・社会経済活動は、様々な社会インフラによって支えられており、その中でも特にその機能が停止又は低下した場合に多大なる影響を及ぼしかねないサービスは、重要インフラとして、官民が一丸となり防護していく必要がある。重要インフラ防護に当たっては、
官民の共通の行動計画として、「重要インフラの情報セキュリティ対策に係る第４次行動計画」（2017年４月18日サイバーセキュリティ戦略本部決定 平成30年７月25日サイバーセキ
ュリティ戦略本部改定。以下「第４次行動計画」という。
）を策定し、これに従って必要な施策を実施している。なお、第４次行動計画においては、13分野が重要インフラとして指定されていたが、国民生活や社会経済活動に与える影響の度合いを考慮して、2018年７月25日に新たに「空港分野」を追加し、14分野を重要インフラとして指定する改定を実施した。
「安全基準等の整備及び浸透」については 、重要インフラ各分野に横断的な指針として、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」（2018年４月サイバーセキュリティ戦略本部決定。以下「指針」という。
）を公表し、重要
インフラ事業者等の自主的な取組を促すとともに、所管省庁等と連携し、各重要インフラ分
野の安全基準等の改善状況の把握等を実施した。これらの取組により、関係主体が自主的に安全基準等の見直しの必要性を判断して改善するサイクルが浸透しており、安全基準等の改善が継続的に取り組まれている。また、自然災害の多発やサイバーセキュリティ戦略の改定
等、第５版とりまとめ後の環境変化等を踏まえた指針の改定について方向性の承認を得た。
「情報共有体制の強化」については、情報セキュリティの動向が刻々と変化する昨今、重要インフラ事業者等が高いセキュリティ水準を保ち続けるには、単独で取り組む情報セキュ
リティ対策のみでは限界があり、官民・分野横断的な情報共有に取り組む必要がある。こうした中 、重要インフラサービス障害に係る情報及び脅威情報を分野横断的に収集する仕組
み及びサイバー空間から関連する情報を積極的に収集・分析する仕組みを構築することにより、収集した情報を取りまとめ、必要な情報発信を行った他、セプター事務局や重要インフラ事業者等との情報共有に関し、情報共有体制の更なる改善に向けた検討を実施した。
「障害対応体制の強化」については、官民の情報共有体制を含めた重要インフラ全体の重要インフラサービス障害対応能力の維持・向上のため、内閣官房、重要インフラ所管省庁、重要インフラ各分野の事業者等が情報共有・対処を行う「分野横断的演習」を毎年実施している。2018年度は、空港分野を加えた全14分野が演習に参加し、参加者数は3,077名に増加している。また、事後の意見交換会も実施し、分野間での情報共有を促進した。これらの取組を通じて、重要インフラサービス障害対応体制の総合的な強化が図られている。
「リスクマネジメント及び対処態勢の整備」については、2020年東京大会の関連事業者等が継続的に実施しているリスクアセスメントの取組に利活用されるべく提供した「機能保証のためのリスクアセスメント・ガイドライン」をWebサイトへの掲載や説明会で配布することで浸透を図った。また、同ガイドラインを一般化するとともに、内部監査等の観点を追加した「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書」を公表- 44 -

3章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
2 国民が安全で安心して暮らせる社会の実現した。さらに、2020年東京大会のサイバーセキュリティに係る脅威・インシデント情報の共有等を担う中核的組織としてのサイバーセキュリティ対処調整センターを構築したほか、サイバーセキュリティ対処調整センターを含む、2020年東京大会に向けたサイバーセキュリテ
ィ体制の運用方針等について決定した。これら取組により、重要インフラ事業者等において、任務保証の考え方を踏まえたリスクアセスメントの浸透、新たなリスク源・リスクを勘案したリスクアセスメントの実施及び対処態勢の整備が図られている。
「防護基盤の強化」については、防護範囲の見直し、広報広聴活動、国際連携、人材育成等の推進等、第４次行動計画の全体を支える共通基盤の強化を推進した。特に、防護範囲の見直しでは、重要インフラ分野の追加（空港分野）、各セプターにおける中小事業者を含めたセプター構成員の拡大、交通ISAC（仮称）の創設に向けた取組など、情報共有の輪を拡
大・充実化する動きが生じている。
地方公共団体のセキュリティ強化・充実については、総合行政ネットワーク（LGWAN）による監視強化や自治体CSIRTの設立等、セキュリティ強化・充実に資する取組が着実に行われたほか、内閣府による情報照会・提供等の監視・監督やマイナポータルを活用した官民の認証連携等の取組、総務省による脆弱性診断ツールの提供、集合研修・eラーニング研修や実践的サイバー防御演習（CYDER）実施等の取組、厚生労働省によるマイナンバーカードの健康保険証としての活用に向けた取組等についても着実に推進された。
【評価】
第４次行動計画に基づく取組は順調に推進しており、今後も関係省庁等の積極的な取組を継続し、一層推進するとともに、同計画の見直しの必要性についても検討していくことが望まれる。
「安全基準の整備及び浸透」については、第５版とりまとめ後の環境変化等を踏まえた指針の改定について着実に進めていくことが望まれる。また、指針を浸透させる取組についても継続して推進することが望まれる。
「情報共有体制の強化」については、情報共有の取組をさらに促進し、情報共有体制を拡充していくため、引き続き、サイバー空間から関連する情報を積極的に収集・分析すると共に、セプター事務局や重要インフラ事業者等との情報共有に関し、情報共有体制の更なる改善に向けた検討をより推進していくことが必要である。
「障害対応体制の強化」については、2020年東京大会の開催を踏まえたシナリオ策定等、
より実効性の高い演習方法・内容等について検討を行った上で、来年度以降も引き続き実施することで、官民の枠を超えた様々な規模の主体の間での訓練・演習を引き続き実施し、必要に応じて対象の拡大や内容の改善を図るなど、発展させていく必要がある。
「リスクマネジメント及び対処態勢の整備」については、任務保証の考え方を踏まえたリ
スクマネジメントの活動全体が継続的かつ有効に機能するよう、取組を継続して推進することが望まれる。
「防護基盤の強化」については、防護範囲見直しの取組が継続して行われているとともに、行動計画の枠組みについて国民等への理解を広められているなど、行動計画の全体を支える共通基盤の強化が着実に取組を進められており、引き続き、経営層への働きかけ等を着実に行いつつ、取組を継続することが望まれる。
- 45 -

1 部 年次報告（2018 年度）
3 章 2018 年度のサイバーセキュリティ関連施策の取組実績と評価
2 国民が安全で安心して暮らせる社会の実現

地方公共団体のセキュリティ強化・充実については、引き続き、総合行政ネットワーク（LGWAN）の更なる強化やセキュリティ人材の育成等を継続的に取り組む必要がある。また、内閣府、総務省、厚生労働省や関係機関等による各種取組についても、継続して着実に推進していくことが望まれる。

2.3

政府機関等におけるセキュリティ強化・充実【取組実績】
政府機関等 は、国民や国を守り、一層の発展に向けて、諸施策を遂行するために国民から大切な情報資産を預かり、また、国としての意思決定等に不可欠な情報資産を保有している。そして情報システムを用いた情報提供や業務の執行など、様々な重要な情報を情報システムで処理している。このような大切な情報資産やこれを取り扱う情報システムを、複雑化・巧妙化するサイバー攻撃などの脅威から守るために、これまで必要な施策を実施している。
政府は、政府機関等全体の情報セキュリティ対策の強化・拡充を図ることを目的として、政府機関等の情報セキュリティ対策のための統一基準群（以下「統一基準群」という。
）を策定しており、各政府機関等は、統一基準群を踏まえ統一基準と同等以上の情報セキュリテ
ィ対策が可能となるよう定めたポリシーに則り、情報セキュリティ対策を実施している。
2018年７月には、政府機関等が目指すべき情報セキュリティ対策の将来像も踏まえ統一基準群の改定が決定した。改定にあたっては、①未知の不正プログラムに係る被害の未然防止／拡大防止、②IT資産管理の自動化とそれによる脆弱性への迅速な対応、③事案が発生した
際にも被害を無効化する、データ保護による情報漏えい対策の導入等をコンセプトとした規定がなされるなど、情報セキュリティ対策の強化・拡充が図られた。
当該基準に基づいた監査や、不正な通信の監視等の取組等を通じても、政府機関等全体としての対策の水準の向上が推進されてきている。
当該基準に基づいた監査として、政府機関等への監査を実施（独立行政法人等への監査事
務の一部はIPAに委託） し、今後のサイバーセキュリティ対策を強化する上で有益な助言等を行った。また、2017年度に実施した政府機関等への監査の結果について、ヒアリング等により改善状況のフォローアップを行った。さらに、政府機関等の情報システムに対して、攻撃者が実際に攻撃で行う手法を用いた疑似攻撃にて侵入検査（ペネトレーションテスト）を実施し、問題点を改善するための対応策について助言等を行った。
インシデントの未然防止のための主な取組として、GSOCにおけるセンサー監視等により検知した政府機関等に対するサイバー攻撃の傾向や情勢等について、政府機関等に対し注意喚起等を行った。
政府機関のクラウドサービスの利用推進に当たっては、内閣官房においてクラウドサービ
スの利用状況の把握に努めると共に、総務省において政府共通プラットフォーム第二期整備計画を策定し、設計開発業務に着手した。また、適切なセキュリティ水準が確保された信頼できるクラウドサービスの利用促進のため、経済産業省及び総務省においてクラウドサービ
スの安全性評価の方法について検討を行った。
政府機関等に対するサイバー攻撃の発生に備え、情報セキュリティ緊急支援チーム（CYMAT要員）、政府機関等のインシデント対処に関わる要員（CSIRT要員）等に対し、各政府機関等の事案対処能力や情報セキュリティに係る知識を向上させる取組を行った。2018年- 46 -

3章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
2 国民が安全で安心して暮らせる社会の実現

度には、CYMATが支援対象機関に対して具体的な支援及び助言を行う機会はなかった。そのほか、１府12省庁対抗による競技形式のサイバー攻撃対処訓練であるNATIONAL 318(CYBER)EKIDEN 2019を実施した。
政府調達におけるサプライチェーン・リスク対策として、2018年12月には、各府省庁において特に防護すべきシステムとその調達手続について「申合せ」を行い、2019年４月以降、
国家安全保障及び治安関係の業務を行うシステム等、より一層サプライチェーン・リスクに対応することが必要であると判断されるものを調達する際には、総合評価落札方式等、価格
面のみならず、総合的な評価を行う契約方式を採用し、原則として、情報通信技術（IT）総合戦略室や内閣サイバーセキュリティセンターの助言を得ることとした。
【評価】
統一基準群を改定することにより、各政府機関等において未知のマルウェアの被害の未然防止、拡大防止の対策が推進されることで、将来像を見据えたサイバーセキュリティ対策の体系の進化が図られた。
また、NISCが行った監査及び侵入検査において、各機関が今後の対策を強化する上での必要な助言等を行い、各機関が助言等に応じて必要な改善を実施することにより、更なる対策の底上げが図られた。あわせて、 GSOCによる政府横断的な監視により、政府機関等におけるインシデントの未然防止が図られた。
さらに、CYMAT、CSIRT要員等に対しては、研修・訓練を行うことで、各機関のCSIRT要員において知見の向上やインシデントへの対応能力向上など、各機関においてインシデントに備えた更なる体制強化が図られた。
加えて、政府調達におけるサプライチェーン・リスク対策について、実効性のある対策を行う体制が整えられた。
引き続き、政府機関等におけるサイバーセキュリティ対策が推進されるよう、継続的に取組を推進していく必要がある。

2.4

大学等における安全・安心な教育・研究環境の確保【取組実績】
大学等は、多様な構成員によって構成され、多岐にわたるIT資産、多様なシステムの利用実態を有する。IT環境やサイバーセキュリティ等を取り巻く情勢の大きな変化や、サイバー攻撃の更なる複雑化・巧妙化が生じており、求められる対策・対応も急速に高度化し、増大しつつある。大学等が安全・安心な教育・研究環境を確保しつつ、教育・研究・社会貢献といった役割を今後果たしていくためには、大学等の特性を踏まえた上で、IT・セキュリティを取り巻く情勢の変化に応じて求められる対策を着実かつ継続的に行うとともに、セキュリ
ティ水準の維持・向上を絶えず図っていくことが必要である。
国は、大学等における安全・安心な教育・研究環境の確保を図ることを目的として、大学等の多様性を踏まえた自律的かつ組織的な取組を促進するとともに、大学等の連携協力による取組を推進している。
文部科学省では、大学等においてサイバーセキュリティに関するインシデントが多数発生していることを踏まえ、大学等におけるサイバーセキュリティ対策の状況について把握するとともに、再発防止策を検討し、その徹底を図るために、2018年４月より、ワーキンググル- 47 -

1 部 年次報告（2018 年度）
3 章 2018 年度のサイバーセキュリティ関連施策の取組実績と評価
2 国民が安全で安心して暮らせる社会の実現

ープを開催した。ワーキンググループにおいては、当該対策の推進のため、大学等が取り組
むべき事項、文部科学省が支援すべき事項等について検討を行った。
また、大学等の最高情報セキュリティ責任者、戦略マネジメント層、CSIRT構成員、情報
セキュリティ監査担当者等に対して、統一基準群やポリシー等のマネジメントに関わる知識、サイバー攻撃にかかる攻撃手法と防御方法、情報セキュリティインシデントへの対応等の、大学等におけるリスクマネジメントや事案対応に資する各層別研修及び実践的な訓練・演習を試行的に行うとともに、大学等の自律的な取組を促進するために、大学等の保有する情報システムに対する脆弱性診断（ペネトレーションテスト）を実施した。
加えて、国立情報学研究所（NII）において、国立大学法人及び大学共同利用機関法人（以下「国立大学法人等」という。
）のインシデント対応体制を高度化するために、国立大学法人等へのサイバー攻撃の情報提供と情報セキュリティ担当者の研修を実施するとともに、サイバー攻撃に関わるデータ解析技術の開発を促進するため、国立大学法人等の通信データのうち、M2Mを含めたサイバー攻撃に関するデータ等を収集して、データのフォーマッ
トや匿名化を含めた提供方法について検討し、国立大学法人等研究機関へ提供する準備を整えた。
【評価】「大学等におけるサイバーセキュリティ強化ワーキンググループ」において、大学等の多様性を踏まえたサイバーセキュリティ対策の推進に資するガイドライン等の策定に向けた検討を行った。ガイドライン等作成に向けて、引き続き検討を行う必要がある。
また、大学等におけるリスクマネジメントや事案対応に資する各層別研修及び実践的な演習を試行的に行うとともに、大学等の情報システムに対する脆弱性診断を実施した。2018年
度は国立大学法人等を対象としたが、各層別研修については、2019年度より公私立大学を対象に加え実施する予定である。
さらに、国立情報学研究所（NII）において、国立大学法人等のインシデント対応体制を高度化するために、国立大学法人等へのサイバー攻撃の情報提供と情報セキュリティ担当者の研修を引き続き実施するとともに、サイバー攻撃耐性を向上させるため、国立大学法人等における学術評価に適したデータを実環境から継続的に収集、匿名処理し、研究データを作成、共有することで、データ解析技術の開発を促進する必要がある。

2.5

2020 年東京大会とその後を見据えた取組【取組実績】
引き続き、大会の運営に大きな影響を及ぼし得る重要サービス事業者等を対象としたリス
クマネジメントの促進や、関係府省庁、大会組織委員会、東京都等を含めた関係組織と、サイバーセキュリティに係る脅威・事案情報の共有等を担う中核的組織としてのサイバーセキ
ュリティ対処調整センターの構築等、対処態勢の整備を推進した。
リスクマネジメントの促進については、重要サービス事業者等（東京都、近郊県及び地方
競技会場）を対象とする第３回リスクアセスメントの実施を依頼、各事業者等から提出された実施結果について、重要サービス分野内及び重要サービスを分野横断的に分析し、各事業者等へフィードバックを実施した。

- 48 -

3章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
2 国民が安全で安心して暮らせる社会の実現

また、競技会場に提供されるサービスの重要度に応じて対象業者等を選定の上、サイバー
セキュリティ対策の実施状況をNISCが検証する横断的リスク評価について、第１回として、
電力、通信、水道、鉄道、放送分野等から５者を対象に実地検証、全重要サービス分野から20者を対象に書面検証を実施し、結果の取りまとめを行った。
対処態勢の整備については、サイバーセキュリティ対処調整センターを構築したほか、サイバーセキュリティワーキングチーム等における検討を更に進め、大会に向けたサイバーセ
キュリティ体制の運用方針等を関係府省庁、大会組織委員会、東京都等と協議の上、決定した。さらに、関係省庁において、サイバー攻撃対策の推進に向けて、脅威情報の収集・分析を行うとともに、その過程で得られた教訓やノウハウについて周知及び活用を図った。
【評価】
リスクマネジメントの促進については、当初の計画どおり地方の競技会場まで対象を拡大
してリスクアセスメントの取組を実施できた。2018年度から実施結果を分析して各事業者等にフィードバックしており、更なる効果が期待できる。
今後は、この施策を大会まで繰り返し実施して、引き続きリスクの低減と新たなリスクへの対応を促していく必要がある。
対処態勢の整備についても、計画どおり進捗した。2019年４月にはサイバーセキュリティ
対処調整センターの運用を開始したが、今後は段階的に訓練演習を重ねてその運用要領、運用手順に慣熟するとともに、G20やラグビーワールドカップ等、実際の運用の場を活用して更なる能力の向上と運用要領等の改善を行い、対処態勢の完成度を上げていく必要がある。

2.6

従来の枠を超えた情報共有・連携体制の構築【取組実績】
2018 年 12 月に、サイバーセキュリティ基本法の一部を改正する法律が成立した。同法により改正された基本法第 17 条に基づき、2019 年 4 月 1 日に、国の行政機関、重要インフラ
事業者、サイバー関連事業者等官民の多様な主体が相互に連携し、サイバーセキュリティに関する施策の推進に係る協議を行うためのサイバーセキュリティ協議会が組織された。
同協議会は、官民を問わず、また、業界を問わず多様な主体が連携し、サイバーセキュリ
ティの確保に資する情報を迅速に共有することにより、サイバー攻撃による被害を予防し、また、被害の拡大を防ぐことを目的としている。
今回の法改正では、協議会の構成員が相互に安心して情報共有を行うために必要不可欠な遵守事項（守秘義務及び情報提供義務）等が法定化された。また、協議会の組織及び運営に関し必要な事項は、協議会において定めることとされている（基本法第17条第６項）ところ、多様な主体がそれぞれ安心して協議会に加入し、情報共有活動に参加することができる
よう、きめ細やかな運用ルール（規約等）を整備した。具体的には、各主体の自主性を最大限に尊重するためのルール、各主体が安心して情報の共有を行うことを可能にするためのルールや既存の情報共有体制との円滑な連携等を可能にするためのルールなど、様々な運用ルールの整備を図った。

- 49 -

1 部 年次報告（2018 年度）
3 章 2018 年度のサイバーセキュリティ関連施策の取組実績と評価
2 国民が安全で安心して暮らせる社会の実現【評価】
2019年4月にサイバーセキュリティ協議会が組織され、計画どおり進捗が図られた。今後は、実際の運用の経験や各主体の意見を丁寧に踏まえ、必要に応じて運用ルールやシステム
を不断に見直しつつ、より多様かつ重要なサイバーセキュリティの確保に資する情報を迅速かつ確実に共有するとともに、より多くの主体が参加する重厚な体制を構築していく必要がある。
図表３－２－１ サイバーセキュリティ協議会の概要及び設立について

2.7

大規模サイバー攻撃事態等への対処態勢の強化【取組実績】
関係省庁及び重要インフラ事業者等が参加する大規模サイバー攻撃事態等対処訓練を通じて、政府の初動対処態勢の整備や対処要員の能力強化が図られたほか、訓練を踏まえた対処
態勢の見直しにも取り組まれている。都道府県警察においても、重要インフラ事業者等との共同対処訓練が実施され、現場レベルでの対処態勢強化が図られている。
警察庁では、大規模産業型制御システムを対象としたサイバー攻撃に係る調査・検証等にも取り組んでおり、この取組を通じた対処能力向上が期待できる。
経済産業省においては、JPCERT/CC、IPA及び日本シーサート協議会の活動を通じて、事業者等におけるサイバー攻撃への対処やインシデント対応を支援する取組を実施し、社会全体
におけるサイバー攻撃への対処態勢の強化に大きく貢献している。
個人情報保護委員会においては、個人データ漏えい等事案防止を目的とした取組を実施した。
【評価】
サイバー攻撃による被害は、実空間へも大きく波及し、国民生活に多大な影響を与えかねない。そのため、様々な分野のサービスが同時多発的に被害を受けることを想定するなど、- 50 -

3章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
3 国際社会の平和・安定及び我が国の安全保障への寄与

被害が大規模になることを想定し、実空間における混乱への対処も踏まえた訓練を実施し、更なる対処態勢の強化に取り組む必要がある。
また、各対処機関においてそれぞれの能力向上に取り組むとともに、サイバー攻撃の対象となり得る事業者等を支援する取組についても充実・強化していく必要がある。

3 国際社会の平和・安定及び我が国の安全保障への寄与
3.1

自由、公正かつ安全なサイバー空間の堅持【取組実績】
首脳・閣僚級の共同声明や意見交換を通じて、サイバー面での協力を強化していくことを確認した。また、実務レベルにおける二国間サイバー協議や有志国会合、その他の多国間会議を通じ、責任ある国際社会の一員として、サイバー空間における法の支配の推進に積極的に寄与するとともに、マルチステークホルダーの協力によるインターネットガバナンス等に積極的に関与している。また、自由、公正かつ安全なサイバー空間の実現を阻害するような法制度に対しては、有志国、民間団体等とも連携しつつ、パブリックコメントの提出、WTOでの議論等を通じて、透明性の確保、貿易制限的な運用を行わないことを要請する等様々な取組を行った。
サイバー空間における法の支配の推進に関しては、次会期国連政府専門家会合の方向性等
を含め、国連におけるサイバーセキュリティに関する議論に積極的に貢献するとともに、各種国際会議等での議論やパネルディスカッション等を通じ、国際的なルール及び規範作りに積極的に関与している。また、法執行面においても各国との連携を強化しており、二国間の刑事共助条約・協定の下での共助の迅速化や、サイバー犯罪条約の締約国会合に参加し、他の締約国との連携強化を図った。また、G7ローマ／リヨングループに置かれたハイテク犯罪
サブグループ会合（2018年10月、2019年3月）への参加や、日ASEANサイバー犯罪対策対話（2019年1月）の実施等を通して、外国捜査機関職員との情報交換を積極的に推進するとともに、協力関係の醸成に努めた。
【評価】
サイバー空間における法の支配の推進に向けては、首脳・閣僚によるハイレベルの協議や多国間会議等の場を活用して、継続的に関係国と連携しつつ、次会期国連政府専門家会合への関与等を通じて、サイバー空間における国際的なルール及び規範について、更なる議論の深化を図るとともに、既に合意された規範について国際社会が実施するよう促していく必要がある。また、サイバー空間の自律的・持続的な発展を阻害するような動きに対し、引き続き学術界・民間の取組と政府の努力を有機的に結合させ、我が国の考え方を発信することによって、自由、公正かつ安全なサイバー空間を堅持していく必要がある。

3.2

我が国の防御力・抑止力・状況把握力の強化【取組実績】
国家の強靭性の確保に関しては、我が国の安全保障に関係する政府機関の任務遂行を保証するため、自衛隊の任務保証に関連する主体との連携を深化させるための取組を行った。また、防衛省において、各自衛隊の防護システムの機能拡充、訓練、研究等の取組を行い、自らのネットワーク・インフラの防護の強化に努めた。また、防衛省の調達する情報システムに係る情報セキュリティ上のサプライチェーン・リスク対策としての、調達に係る関連規則- 51 -

1 部 年次報告（2018 年度）
3 章 2018 年度のサイバーセキュリティ関連施策の取組実績と評価
3 国際社会の平和・安定及び我が国の安全保障への寄与の整備等を通じて、我が国の先端技術・防衛関連技術の防護に取り組んだ。サイバー空間を悪用したテロ組織への活動への対策としては、こうしたテロ組織の活動等に係る情報の収集・分析を強化し、当該活動等への対策を進めている。
サイバー攻撃に対する抑止力の向上に関しては、実効的な抑止のための対応として、中国を拠点とするAPT10といわれるグループによるサイバー攻撃に関し、事前に米英等の有志国と緊密に連携しつつ、我が国としても米英等による非難声明を支持する形で12月に外務報道官談話を発出した。また、悪意ある主体によるサイバー空間の利用を妨げる能力に関して
は、新たな防衛計画の大綱において、「有事において、我が国への攻撃に際して当該攻撃に用いられる相手方によるサイバー空間の利用を妨げる能力」が明記されたことから、当該能力を含めた防衛省・自衛隊のサイバー防衛能力の抜本的強化を図るため、2019年度予算においてサイバー防衛隊の人員を約70名増員する等の取組を進めている。また、信頼醸成措置については、特にARFの枠組を通じ、サイバーセキュリティに関する会期間会合を設立し、2019年１月には第３回目となる専門家会合を開催したところであり、地域・国際的なサイバ
ーセキュリティ環境に対する見方や各国・地域の取組について意見交換を行った上で、今後取り組むべき信頼醸成について議論している。
サイバー空間の状況把握の強化に関しては、関係機関の能力向上については、各対処機関
は、高度なサイバー攻撃からの防護、脅威認識等に係る能力を強化するため、人材、技術及び組織の観点から、サイバー空間に係る情報を収集・分析し、それに対処する体制の整備に継続的に取り組んでいる。また、脅威情報連携については、外国関係機関との情報交換等を緊密に行い、主要国のサイバー攻撃対処や国家の関与が疑われるようなサイバー攻撃の動向
等の情報収集・分析を実施している。
【評価】
上述の取組により、我が国の防御力・抑止力・状況把握力の強化が進んでいるが、サイバ
ー空間の脅威は、多様化・複雑化しており、各国においても体制や能力の増強が進められていることから、引き続き我が国の防御力・抑止力・状況把握力の強化のための取組を強化することが求められる。
我が国の安全の確保に必要な政府機関の任務を保証する観点から、必要な重要インフラの堅牢性と強靭性を確保するため、引き続き、関連する主体の連携を深化させていく必要がある。また、我が国の安全保障上重要な先端技術の防護に向けては、関係する事業者におけるサイバーセキュリティの強化を一層徹底していく必要がある。さらに、抑止力を高めるために、サイバー攻撃のコストを高めるような、実効的な対策について、有志国と連携して取り組んで行く必要がある。また、サイバー空間の利用が拡大する一方、攻撃手法の高度化・巧妙化は引き続き継続しており、関係機関の防護能力とサイバー空間に係る情報収集・分析能力の更なる強化が求められ、更なる海外関係機関との脅威情報連携も必須である。

3.3

国際協力・連携【取組実績】
知見の共有・政策調整としては、13の国と地域の間で二国間協議を開催し、情勢認識、両国におけるサイバー政策、国際場裡における協力、能力構築支援等、二国間協力について幅広く議論を行った。また、ASEAN諸国との間では、日・ASEANサイバーセキュリティ政策会議
を継続して開催し、日・ASEANにおけるサイバーセキュリティ政策の相互理解と連携を強化- 52 -

3章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
3 国際社会の平和・安定及び我が国の安全保障への寄与

するとともに、共通課題の解決に向けた協力活動を拡充したほか、ISPを対象にワークショ
ップを開催し、合同サイバー攻撃対応演習を実施した。また、Meridian会合、FIRST等の多国間会議に参加し、重要インフラ防護、インシデント対応における取組やベストプラクティ
スの共有を推進し、国際協調・協力の推進に努めている。
平時からのサイバー脅威情報の共有について、IWWN、FIRST等に参画し、我が国からの情報発信を行いつつ、各国政府機関との情報共有の充実に努めた。さらに、事故対応等に係る国際連携の強化に向け、ASEAN加盟国とサイバー演習及び机上演習を継続的に実施している
ほか、有志国を我が国の分野横断的演習に招へいしてワークショップを実施する等、連携体制の強化に努めている。また、ICT-ISACをはじめとする日米間でのISAC連携を進めている。
能力構築支援に関しては、「サイバーセキュリティ分野における開発途上国に対する能力構築支援（基本方針）」（2016年10月）に基づいて、内閣官房を中心とした関係省庁の緊密な連携の下で、政府全体でASEANを中心とした開発途上国向け支援の取組を行っている。特に、経済産業省において、2018年9月10～14日、米国・国土安全保障省（DHS）及びNCCICICSから専門家5名を招聘し、ASEAN等向けに日米サイバー共同演習を実施した。また、総務省において、「日ASEANサイバーセキュリティ能力構築センター」を2018年9月にタイ・バンコクに設立し、ASEAN加盟国の政府職員、重要インフラ事業者等を対象とした実践的サイバ
ー防御演習及び若手エンジニア向けサイバーセキュリティ競技等を継続的に実施した。防衛省においては、2019年３月11～15日、ベトナム人民軍要員15名を招へいし、サイバーセキュ
リティセミナーを実施した。また、外務省及び警察庁がシンガポール政府及びインターポール（ICPO）と協力し、ASEAN地域の法執行機関に対して2016年10月以降、継続してサイバー
犯罪対策能力向上に資する研修機会を提供したほか、JICA事業を通じてサイバーセキュリテ
ィ政策能力向上に資する研修機会を提供した。こうした取組により、特にASEAN地域でのサイバーセキュリティ対策の向上に寄与するとともに、我が国との連携を深めている。
【評価】
アジア大洋州、北米、欧州等の各地域において、各国政府や地域の主体との間での連携強化が着実に進んだ。同盟国・有志国といった国々とは二国間協議の回数を重ねており、相互の政策について理解が深まっていると評価できるが、引き続き、情報共有の充実、連携の深化に向けて取り組む必要がある。
また、ASEAN諸国とは日・ASEANサイバーセキュリティ政策会議が10周年を迎えて活動の充実が進んできたことを踏まえ、従来からの能力構築支援に加えて、同地域のサイバーセキュ
リティ対策の底上げに資する実務的な協力活動の充実を進めることが求められる。
平時からの脅威情報共有を一層進めるためには、有志国との信頼構築を進めるとともに、ナショナルCERTの情報収集と情報発信の両面での能力強化が必要である。また、事故対応等に係る国際連携については、有志国との演習の実施やワークショップの開催を通じて、更に困難な事案にも適切に連携・対処できるよう、演習の内容の高度化を進めていく必要がある。
能力構築支援については、対象国の能力とニーズのきめ細かな把握を進めるとともに、状況に応じた効果的な支援のため、政府一体で戦略的に対応していく必要がある。

- 53 -

1 部 年次報告（2018 年度）
3 章 2018 年度のサイバーセキュリティ関連施策の取組実績と評価
4 横断的施策

4 横断的施策
4.1

人材育成・確保
【取組実績】
サイバー攻撃の脅威が広がる中、産学官が連携して人材の需要や人材育成施策に関する情報共有等の連携を図りつつ、人材の育成・確保を強化していく必要がある。このため、普及啓発・人材育成専門調査会において、人材育成に関する政府の取組を整理・更新するとともに、産学官の多様な取組について関係機関の間で情報共有を行い施策間の連携を促進している。
経営層が示す戦略の下、組織がマネジメントすべきリスクの一つとして、業務やサービス等を実現するために必要なサイバーセキュリティに係るリスクを認識し、事業継続と価値創出に係るリスクマネジメントを中心となって支える立場である「戦略マネジメント層」を担う人材が求められる。この戦略マネジメント層の育成・定着に関しては、必要な知識・スキ
ル及びそれを学ぶカリキュラムを検討するとともに、実際に試行的取組を行い、成果を取りまとめた。また、企業の責任者クラス等を対象とした短期プログラムや戦略マネジメント層になることも見込まれる中核人材を育成するプログラムの実施、高等教育機関等における社会人学生の受け入れを実施した。
実務者層・技術者層の育成に関して、教育機関では、高等専門学校を対象にサイバーセキ
ュリティ講義を実施した。組織レベルでは、都道府県警察と重要インフラ事業者等との共同対処訓練を実施し、また、行政機関や地方公共団体等における実践的な演習を実施し、対処態勢の強化を推進した。
各種資格・試験に関しては、情報処理安全確保支援士の登録者数が増加するとともに、さらなる活用と普及のため登録状況の公表と企業や団体への周知を行い、また、情報セキュリ
ティマネジメント試験の広報活動を実施した。
人材育成の基盤の整備や若年層向けの取組として、“学び直し”の指針であるITSS+について、新たな領域を公開した。教育段階に関しては、2020年度の新学習指導要領の実施を見据
え、教科等横断的な情報活用能力の育成に係る、指導方法や教材の利活用等の研究を実施した。また、小中高校等の教員養成課程に、ICT活用の指導法等の内容を加えた。さらに、各地域で教員等を対象に研修を実施した他、教員等を対象とした情報モラル教育指導者セミナーも実施し、教員育成の充実を図った。
また、若年層を対象にしてサイバーセキュリティに関する能力が突出した人材の発掘・育成を行う「セキュリティ・キャンプ」や「SECCON2018」、「SecHack365」を引き続き実施・協力した。さらに、ITを駆使してイノベーションを創出する人材を発掘・育成する未踏事業を引き続き実施する中で、プロジェクトマネージャーにはセキュリティ･キャンプの講師を登用し、セキュリティテーマの応募の促進を図った。
政府機関におけるセキュリティ・IT人材の確保・育成については、各府省庁において2018
年８月末に、2016年に策定された「各府省庁セキュリティ・IT人材確保・育成計画」の見直しを行った。また、同計画に基づく体制の整備として機構・定員要求を行い、政府全体で約60のポスト増（機構新設や振替を含む）による体制強化を実現、適切な処遇の確保として、俸給の調整額の要求を行い、政府全体で約40のポストの適用が認められた。ほかにも、有為な人材を確保するための採用活動、処遇改善、研修の受講等の取組を推進した。
- 54 -

3章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
4 横断的施策

また、「サイバーセキュリティ・情報化審議官」等を対象とした研修を実施し、ケースス
タディなどを通じて、当該審議官等の各府省庁におけるセキュリティ対策の司令塔機能として必要な知識・能力の向上に努めた。さらに、一定の専門性を有する人材を育成するため、全府省庁のセキュリティ担当者を対象とした「CISSP入門講座」を実施した。
さらに、人材育成に関しては、可能な限りグローバルな規模で切磋琢磨できるようにすべきであるという観点から、国内外の大学や公的機関等における取組について、関係機関へのヒアリングや調査会での議論を行った。また、ベトナム等にてサイバー攻撃に強い電力制御
システム（SCADA）の導入のため支援を実施するとともに、導入に向けた理解を醸成するための研修を実施した。
【評価】
戦略マネジメント層の育成に関しては、各種調査やセミナーの実施により育成手法の研究が着実に進んでいるが、今後は、企業等においてその定着を図ることが重要な課題となる。
引き続き、関係省庁が連携して、役割やスキルの見える化のためのモデル構築及び育成手法の確立・普及を目指して取組を推進していく必要がある。
実務者層・技術者層の育成に関しては、各機関・事業において各種取組が着実に進んでおり、参加者や受講者数も増加している。これらを維持して引き続き人材の育成・確保を進めていく。
人材育成基盤、若年層に係る取組に関しては、知識技術体系やモデルカリキュラムの検討が進むとともに、学校教育において、児童生徒への教育の充実や教員を対象とした取組も進められている。また、突出した能力を有する人材育成として、セキュリティ・キャンプや
SECCON等の一般の方を対象とした取組も実施されており、引き続き推進していく。
各府省庁におけるセキュリティ人材の確保・育成の強化のため、政府機関におけるセキュ
リティ・IT人材の確保・育成を推進し、体制の整備、有為な人材の確保等が行われており、今後も、引き続き、セキュリティ・IT人材の充実に資する取組を継続することが求められる。
国際連携の推進に関しては、引き続き具体的取組の実施に向けて検討を行っていく必要が
ある。

4.2

研究開発の推進【取組実績】
サイバー空間におけるイノベーションの進展とそれに対するサイバー攻撃の脅威を踏まえた、実践的なサイバーセキュリティの研究開発等が必要であるとの認識のもと、以下の取組等を実施した。
先進的な技術を用いた研究開発に係る取組としては、量子コンピュータに関するセキュリ
ティやAI（人工知能）に関するセキュリティとプライバシーに関する基盤技術の研究等を実施した。また、システムの品質、安全性、効率を向上、両立させるための革新的、先端的技術の基礎研究に取り組む活動や、ハードウェアを中心としたセキュリティ技術及びその評価技術の開発を実施した。
サプライチェーンにおける信頼の確保に係る取組としては、不正なプログラムや回路が仕込まれていないことを技術的に検証するための体制整備に向けた検討を進めるとともに、不- 55 -

1 部 年次報告（2018 年度）
3 章 2018 年度のサイバーセキュリティ関連施策の取組実績と評価
4 横断的施策

正なハードウェアやソフトウェアの検出に関する課題についての国内外の動向調査や検証、
未知のIoT回路を不正回路であるかどうか判定する技術や、電力波形をはじめとする複数の
外部特徴量から不正機能を検知する技術の開発等を進めた。また、真贋判定技術と動作監視解析技術の検証を行い、安全性と有効性の評価を実施した。さらに、IoT機器向け暗号実装
技術の最適化・高速化を行った。
攻撃活動の把握、分析、共有に係る取組としては、サイバー攻撃誘引基盤（STARDUST）を高度化し、攻撃活動の早期収集や未知の標的型攻撃等を迅速に検知する技術等の研究開発を行った。また、情報共有のためのサイバーセキュリティ・ユニバーサル・リポジトリ（CURE）の構築や、自動対策技術の確立に向けた試験運用を行った。また、IoT機器の効率的な脆弱性検証に向けた、周波数の利用状況の自動推定による広域ネットワークスキャン技
術や、スキャン時の無線通信量軽減に関する基礎技術の開発を行った。
暗号化技術などの基盤技術の研究開発に係る取組としては、量子鍵配送ネットワークの信頼性に関する、模擬医療データの分散ストレージ機能の実証や、超小型衛星に搭載可能な量
子暗号通信技術の研究開発を開始した。また、耐量子計算機暗号の標準化動向調査及び鍵管理ガイドラインの作成に向けた検討を行った。さらに、CRYPTREC暗号リストに掲載された暗号技術の監視や暗号政策の検討を進めた。
サイバーセキュリティの研究開発の成果の国際的な情報発信等に係る取組については米国
サンフランシスコで開催されたRSAカンファレンスにて、我が国初となるジャパン・パビリ
オンの出展支援を実施した。また、ISO/IEC JTC 1/SC 27のWG2コンビーナ、WG3副コンビー
ナとして、暗号とセキュリティメカニズムの国際標準化について中心的役割を担った。
【評価】
先進的な技術を用いた研究開発に関しては、量子コンピュータやAI、IoTに係るサイバー
セキュリティ確保の技術・製品・サービスの検討や研究がなされており、更なる技術向上に向け今後も引き続き取組を継続していく必要がある。
サプライチェーンにおける信頼の確保に関しては、不正回路や不正機能の検出技術やIoT
機器向け暗号実装技術の強化が進められているが、引き続き、各要素技術の向上に向けた取組を継続するとともに、技術的検証等を行うための体制構築等に関する取組を推進する必要がある。
攻撃活動の把握、分析、共有に関しては、STARDUSTやCUREの強化や、広域ネットワークス
キャンの技術開発などがなされているが、今後の攻撃の増加や高度化への対応に向け、引き続き取組を継続していく必要がある。
暗号技術などの基盤技術については、量子鍵配送や量子暗号通信技術に関する実証実験、耐量子計算機暗号に関する調査などがなされており、引き続き、実用化に向けて取組を継続していく必要がある。
国際的な情報発信等については、国際的なイベントでの情報発信や、国際機関で中心的な役割を果たすなどの取組がなされており、引き続き、国際的な影響力向上に向けて取組を継続していく必要がある。
これらの状況を踏まえつつ、今後は、「サイバーセキュリティ研究・技術開発取組方針」（令和元年５月サイバーセキュリティ戦略本部報告）に基づき、取組を推進していく。
- 56 -

3章

4.3

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
4 横断的施策

全員参加による協働【取組実績】
サイバー空間で活動する主体としての国民一人一人がサイバーセキュリティに対する意
識・理解を高め、サイバー空間における様々なリスクに対処できることが不可欠になっていることを踏まえ、普及啓発・人材育成専門調査会等における議論を経て、2019年１月24日にサイバーセキュリティ戦略本部において「サイバーセキュリティ意識・行動強化プログラム」を決定した。
若年層への普及の観点では、全国各地で、児童・生徒、保護者・教職員等に対してe-ネッ
トキャラバンやインターネット安全教室、講師へのトレーニングを実施した。また、各地域
で情報教育を担う教員等を対象とした研修や、情報モラル教育に関するセミナーを実施した。さらに、情報モラル・セキュリティに関する学校の取組を表彰する活動にも取り組んだ。
一般向けの情報発信に関しては、サイバーセキュリティに関する注意・警戒情報等の発信を、各種媒体を用いて引き続き実施した。さらに、セミナー等への講師派遣や展示会への出展による情報の周知・提供を実施した。情報発信の一環として、内閣官房において、「イン
ターネットの安全・安心ハンドブック」（旧称：ネットワークビギナーのための情報セキュ
リティハンドブック）の内容の見直しを行い、各種媒体にて無料で配信するとともに、都道府県警察と連携して普及活動を行った。また、一般からの相談対応に関しては、情報セキュ
リティ安心相談窓口や標的型サイバー攻撃特別相談窓口で相談対応を引き続き行うとともに、情報収集に努め、調査や分析を行い、各種対応を行った。
サイバーセキュリティ月間に関しては、産学官民の各種啓発主体による関連行事が計175件実施された。また、「サイバーセキュリティ意識・行動強化プログラム」を踏まえ、若年層に重点を置いたキャンペーンやイベントを行った。特設サイトへの総アクセス数は12万超であった。
利用者によるサイバーセキュリティの取組実施に向けた、事業者や関係団体等による活動の促進の観点では、白書や各種調査報告書の公開、公衆無線LANに関するオンラインコンテンツを活用した啓発活動等を実施した。

- 57 -

1 部 年次報告（2018 年度）
3 章 2018 年度のサイバーセキュリティ関連施策の取組実績と評価
4 横断的施策

図表３－４－１「約束のネバーランド×サイバーセキュリティ月間特別イベント「抗え。
この世界（インターネット）の脅威に。
」」の様子（2019年３月３日開催）【評価】「サイバーセキュリティ意識・行動強化プログラム」を2019年１月に策定するとともに、本プログラムに沿った取組を着実に進めた。特に、若年層を主な対象とした各地で行われる教室等において参加者が増加するなど、関心の高まりが見られており、継続的な取組を進めていくことが重要である。
情報発信や相談窓口に関しては、今後も内容の改善を検討しつつ、情報発信活動や相談窓口対応を引き続き実施していくことが必要である。
サイバーセキュリティ月間のさらなる充実に関しては、各地域の関連行事は前年同程度開催され、意識醸成の機運が維持されていると考えられる。また、「サイバーセキュリティ意識・行動強化プログラム」を踏まえ、若年層に重点を置いたキャンペーンやイベントについては、前年度と比較して大きな反響が得られた。これらの結果も踏まえ、来年度に向けた検討を進めていくことが必要である。
また、事業者や関係団体等の取組が促進される環境整備等に関しては、各種調査報告書や白書等の公表等、今後も着実に取組を進めていくことが求められる。

- 58 -

3章

1 部 年次報告（2018 年度）
2018 年度のサイバーセキュリティ関連施策の取組実績と評価
5 推進体制5 推進体制【取組実績】
政府一体となったサイバーセキュリティ対策を推進するため、内閣サイバーセキュリティ
センターを中心に関係機関の一層の能力強化を図るとともに、新戦略に基づく諸施策が着実に実施されるよう、新戦略を国内外の関係者に積極的に発信することが求められる。
そこで、JPCERT/CCとのパートナーシップに基づき、リエゾン及び2015年度に整備した情報連携のための環境により、国内外のインシデント及びサイバー攻撃に関する情報の共有を推進するなど、内閣サイバーセキュリティセンターを中心に関係機関の一層の能力強化を図った。
更に、新戦略の趣旨を、国内外の関係者に向け、効果的に発信し、十分な理解を得ること目
的に、国内外の関係機関への配付や国際会議・普及啓発イベントにおける関係者への配布などにより広く国内外へ周知広報するため、新戦略のカラー冊子（日本語版及び英訳版、英訳版フライヤー）を制作した。
内閣官房及び関係省庁において、カラー冊子を活用するなどして、計 79 件のイベント等で、国内の関係者 6,500 名超、国外の関係者 1,500 名超に対して新戦略の発信を行い、周知を行った。また、カラー冊子については、第 21 回本部会合において、在外公館などを通じて発信すべきとの提案があったことを踏まえ、外務省を通じ、在外公館へ配布を行った。
【評価】
新戦略の発信や関係主体との連携強化を通じた推進体制については、パートナーシップに基づく取組や、新戦略のカラー冊子の制作・各種セミナーを通じた国内外の関係者への発信などによる成果に関し、一定の評価ができる。一方で、新戦略で掲げたサイバーセキュリティエコシステムの推進には、その理解・浸透が広く行われることが必要不可欠であり、国内外の関係者への更なる浸透を図るため、引き続き、取り組むことが重要である。その効果的な実施に向けて、十分な現状把握の上で進めることが重要であり、関係機関との一層の連携の強化を図り、被害実態の把握にも努め、新戦略の発信等に取り組むことが求められる。
図表３－５－１ 新戦略カラー冊子- 59 -

- 60 -

２部

年次計画（2019年度）- 61 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
1 持続的な発展のためのサイバーセキュリティ ～サイバーセキュリティエコシステム～2部

年次計画（2019 年度）

1章

2019 年度のトピックとなる取組

本章では、新戦略の対処方針に関する国内外の関係者の理解・浸透を図るため、その方針別に、「トピックとなる取組」を抽出し、以下のとおり、その方向性と主な施策例を示す。

1

持続的な発展のためのサイバーセキュリティ ～サイバーセキュリティエコシステム～

1.1 サービス提供者関連(1)

企業【取組の方向性】
政府としては、民間企業のサイバーセキュリティの確保のため、「サイバーセキュリティ人
材育成取組方針」（平成 30 年６月サイバーセキュリティ戦略本部報告）に基づき、引き続き一体となって取組を推進していく。
また、2019 年４月には、Society 5.0 の実現に必要なセキュリティ対策の全体像を示す「サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）」を策定した。CPSF の全体枠組みに沿って対象者や具体的対象を整理することで、CPSF の具体化・実装を推進し、企業・組織におけるリスク源の洗い出し、対処すべきセキュリティ対策の検討を促進することで、各産業分野におけるサイバーセキュリティの確保を進めていく。
経営層に関しては、意識改革に向け、産業界とも連携した取組を引き続き進める。特に、サイバーセキュリティ対策の観点を含めたグループガバナンスの在り方に関するガイドラインの策定や、サイバーセキュリティ関係法令集に関するハンドブックの取りまとめに向けて、取組を進める。また、デジタルトランスフォーメーション（DX）の進展や、サイバー空間における脅威の高まりといった状況も踏まえ、DX とサイバーセキュリティを一体的に進める戦略
マネジメント層の確保・育成に向け、2018 年度に作成したモデルカリキュラムも活用した戦
略マネジメント層の普及・育成の促進や、独立行政法人情報処理推進機構（IPA）を中心に、「産業サイバーセキュリティセンター」における短期プログラムや「戦略マネジメント系セミナー」、将来、戦略マネジメント層になることも見込まれる中核人材を育成する「中核人材育成プログラム」のカリキュラムのさらなる充実を目指す。実務者層・技術者層については、
イノベーションを支える先端的な人材の育成に向け、若年層のセキュリティ意識向上と突出した人材の発掘・育成を目的とした「セキュリティ・キャンプ」の開催や「SecHack365」の実施等を進める。また、情報セキュリティ人材を含めた高度 IT 人材の育成強化のため、情報セ
キュリティ分野を含めた各種情報分野の人材スキルを測る情報処理技術者試験について、周知及び普及を図る。これらの人材育成施策を推進する際には、教える側の質の確保といった観点にも留意していく。
また、実務者層に向けては、サイバーセキュリティに関する投資の促進に向け、サイバー
セキュリティ経営ガイドラインの実践のための「プラクティス集」の継続的な更新や可視化
ツール作成に取り組む。さらに、企業の情報開示の実例も盛り込んだ「サイバーセキュリテ
ィ対策情報開示の手引き」の策定に取り組む。
加えて、中小企業・地域におけるサイバーセキュリティの取組は、日本の産業に対する世- 62 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
1 持続的な発展のためのサイバーセキュリティ ～サイバーセキュリティエコシステム～

界の信頼に直結する重要な課題であることを踏まえ、サイバーセキュリティ対策強化を中小企業・地域まで展開するため、中小企業・地域の更なる実態把握、徹底した中小企業の現場支援、地域を支えるコミュニティ形成を進めていく。
さらに、イノベーションを支えるサイバーセキュリティビジネスの強化に向けては、我が国における検証等を通じて Society 5.0 を支える信頼の価値を創出するというコンセプト、“Proven in Japan”、を旗印として、新たなセキュリティ技術の有効性を検証・評価する仕組みを検討するとともに、IoT 機器等の信頼を高度に検証するハイレベルな検証サービスの実証等を通じ、世界に貢献する高水準・高信頼の検証サービスを拡大するための包括的な検証基盤を構築する等の取組を進めていく。加えて、営業秘密の保護に関するハンドブック等の普及啓発や、今後さらに活用が進むと想定されるクラウドサービスに関するセキュリティ対策のガイドラインの普及に取り組む。
【関連する主な施策例】
・1.1(1)(ア)：サイバーセキュリティ人材育成取組方針の推進
・1.1(1)(イ)：グループ・ガバナンス・システムに関する実務指針の策定
・1.1(1)(オ)：サイバーセキュリティ関係法令集の策定
・1.1(2)(ア)：サイバーセキュリティ対策実施の目安となる可視化ツールの作成
・1.1(2)(イ)：サイバーセキュリティ対策情報開示の手引きの策定
・1.1(3)(ウ)：クラウドセキュリティ監査制度等の普及促進
・1.2(1)(ア)：Society 5.0 の実現に向けたサイバー・フィジカル・セキュリティ対策フレームワークの社会実装の推進
・1.2(3)(ウ)：サイバーセキュリティお助け隊に係る実証事業の全国実施
・1.2(3)(カ)：SECURITY ACTION 制度の拡大及びニーズに応じた制度の見直し
・4.1(1)(ア)：産業サイバーセキュリティセンターを通じた中核人材及び戦略マネジメン
ト層等の育成・4.1(1)(エ)：モデルカリキュラムの活用等による戦略マネジメント層の普及促進(2)

重要インフラ事業者等【取組の方向性】「サイバーセキュリティエコシステム」の実現に向け、重要インフラの防護については、「任務保証」の考え方を踏まえ、重要インフラサービスの安全かつ持続的な提供を実現する
ため、サイバーセキュリティに関する全体的な底上げを行う必要があり、各々の主体が自主的な取組を進めつつ、国も積極的な支援を行うことで、官民一体でセキュリティ対策に取り組んでいくこととしている。
こうした取組を進める中、各地で複数の自然災害が発生し、重要インフラ事業者等においても、地震や台風によって多大な被害を受けたところである。また、災害による直接的な被害だけでなく、大規模停電に伴う間接的な被害を受ける事態も発生している。こうした状況から、「任務保証」の考え方を踏まえ、自然災害に起因する重要インフラサービス障害の発生を可能な限り減らすこともますます重要となっている。
- 63 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
1 持続的な発展のためのサイバーセキュリティ ～サイバーセキュリティエコシステム～

また、新戦略にも記載したとおり、重要インフラ事業者等における適切な対応を促進する
ため、データの管理の状況に関する調査や国際動向も踏まえた望ましいデータ管理の在り方
を含め、安全基準等を改善する取組を継続的に推進する必要がある。
これらの社会動向の変化、新たな知見を踏まえ、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）（平成 30 年４月４日サイバーセキュリティ戦略本部決定）」を改定する検討を進めてきた。
今後は、「災害による障害の発生しにくい設備の設置及び管理」及び「データ管理の在り方」
を同指針に追加するとともに所要の修正を行う改定を実施し、改定後の指針については、従来と同様、関係省庁等が連携し、各重要インフラ分野の「安全基準等」への反映を通じて事業者へ浸透させる取組を促進していく。
【関連する主な施策例】
・2.2(1)(ア)：重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）の改定1.2 全ての主体関連(1)

意識・行動強化【取組の方向性】
サイバー空間の脅威が広がる中、安全・安心なサイバー空間の利用を進めるため、サイバ
ーセキュリティに対する国民一人一人の意識・理解を広く醸成し、自律的な活動が促進されることが不可欠である。政府としては、「サイバーセキュリティ意識・行動強化プログラム」（平成 31 年１月サイバーセキュリティ戦略本部決定）に基づき、産学官民の関係者の連携のもと、幅広く取組を推進していく。具体的には、人材育成や普及啓発に関する官民の様々な取組を集約するポータルサイトを構築し、対象となる層や伝達手法の見える化及び連携を推進するための検討を行う。また、同プログラムにおいて重点的な対象と位置付けた、中小企業、若年層、地域に向けた取組については、例えば中小企業にとって身近な知見者となる「セキュリティプレゼンター」を通じた情報の周知など、施策を一層強化し、それぞれの主体における取組の促進を図っていく。
【関連する主な施策例】
・4.1(イ)：人材育成や普及啓発に関するポータルサイトの構築
・4.3(ア)：サイバーセキュリティ意識・行動強化プログラムの推進・4.3(キ)：セキュリティプレゼンター制度等を通じた企業等への意識啓発
・4.3(サ)：青少年や保護者等に向けた e-ネットキャラバン等啓発講座の推進
・4.3(タ)：一般のインターネット利用者を対象としたインターネット安全教室の推進(2)

IoT 関連【取組の方向性】
サイバー空間につながる様々なモノが急速に広がっており、経済社会の発展に不可欠なインフラとしてのサイバー空間に悪影響を及ぼし得る脆弱なモノ（機器）のサイバーセキュリ
ティ対策が喫緊の課題となっている。また、セキュリティレベルや物理的安全性等の安全基- 64 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
1 持続的な発展のためのサイバーセキュリティ ～サイバーセキュリティエコシステム～

準が異なる様々なモノ（IoT 機器）のつながりが拡大すると、新たな脅威を生む可能性がある
ため、一定の整合性・一貫性をもって戦略的に取り組む必要がある。
具体的には、我が国の安全・安心といった強みを活かしながらグローバルな規模での展開を進めることも見据え、ISO/IEC JTC 1/SC 27 及び ITU-T SG17 において、引き続き、IoT 推
進コンソーシアムの IoT セキュリティワーキンググループにおいて策定された「IoT セキュ
リティガイドライン」の国際標準化に向けた取組を進めていく。
また、各 IoT 機器の特性や利用方法等を踏まえるとともに、サイバーセキュリティの確保に必要な要件を満たす IoT 機器の利用を推奨するべく、改正省令やその運用方法・解釈等を定めるガイドラインの策定により、今後製品化される IoT 機器がパスワード設定の不備等により悪用されないようにする対策を進めていく。さらに、家電など家庭で使われる IoT 機器のサイバーセキュリティについて、関連事業者との連携の下、スマートホーム分野のサイバー・フィジカル・セキュリティ対策ガイドラインを策定し、セキュリティ対策を推進していく。
【関連する主な施策例】
・1.3(1)(ウ)：IoT セキュリティガイドライン等をベースとした国際標準化の推進
・1.3(2)(イ)：IoT 機器の技術基準へのセキュリティ対策の追加及びガイドラインの策定
・1.3(2)(イ)：家電など家庭で使われる IoT 機器に関するサイバー・フィジカル・セキュ
リティ対策ガイドラインの策定
・1.3(2)(ウ)：サイバー攻撃に悪用されるおそれのある IoT 機器の調査及び注意喚起

1.3 国際協力・連携関連【取組の方向性】
サイバー攻撃は国境を越えるところ、サイバー空間の安定化のためには、サイバー空間における法の支配を推進し、これまで明らかにされた責任ある国家の行動規範や、各種国際会
議で提案されている、官民における規範の実践が重要となる。日本政府において、各二国間協議や国際専門家会合等の多国間協議に参画し、多国のサイバー空間における国際法の適用や国際的なルール・規範作り等に積極的に関与し、それらに我が国の意向を反映させるとともに、国内外での国際法・規範の普及に取り組んでいく。2019 年には、昨年の国連総会決議に基づき、
国連サイバー政府専門家会合（UNGGE）
第 6 会期及び OEWG（Open End Working Group）
が立ち上がる予定であるところ、規範の形成・普遍化についての議論を深化させ、責任ある
国家の行動規範国家実行を積み重ねていくことで、規範に反する行動を抑止する。特に、2019
年は G20 が日本で開催されるところ、開催国として、サイバーセキュリティに関する自由、公正かつ安全なサイバー空間を実現するための理念を発信していく。
サイバー空間の安定を実現するためには、開発途上国を含む世界各国との国際協力が必要となる。このため、途上国のサイバーセキュリティ能力構築支援は、先進国の責務である。
我が国は、ASEAN 加盟国を始め、世界各国を対象に積極的に能力構築支援を行うこととしている。特に、日・ASEAN サイバーセキュリティ政策会議は、ASEAN 加盟国との中核的な役割を担っている。また、総務省において、ワークショップの開催等を通じた我が国と ASEAN 加盟国のネットワークオペレータによって培われた知見や経験の相互共有の促進、経済産業省において、アジア共通統一試験の実施を通じた人材育成を行うための講師育成に取り組む。この- 65 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
1 持続的な発展のためのサイバーセキュリティ ～サイバーセキュリティエコシステム～

ほか、JICA 課題別研修等のスキームを用いて各種の能力構築支援を行う。このように、内閣官房が中心となって関係府省庁が効果的な連携、情報共有を行い、様々な政策手段を活用し、開発途上国における能力構築に貢献すると共に、同地域における実務的な協力活動を推進していく。
【関連する主な施策例】
・3.1(2)(ア)：多国のサイバー空間における国際的なルール・規定作り等への積極的関与
・3.3(1)(ウ)：アジア共通統一試験の定着及び講師育成の促進
・3.3(3)(ア)：関係府省庁・機関の連携による各国における効果的な能力構築支援

1.4 研究開発関連【取組の方向性】
近年のサイバーセキュリティに関する脅威の拡大や、我が国の研究・技術開発の動向を踏
まえ、顕在化する課題に対処していくため、「サイバーセキュリティ研究・技術開発取組方針」（令和元年５月サイバーセキュリティ戦略本部報告）に基づき、取組を進める。
具体的には、サプライチェーン・リスクへ対応するためのオールジャパンの技術検証体制の整備を進める。また、サプライチェーン全体の信頼確保に向けた、ICT 機器・サービスのセキュリティの技術検証を行うための推進体制の整備や、それを実施する上で必要となる、不正なプログラムや回路が仕込まれていないことを確認するためのソフトウェア・ハードウェ
ア両面の検証技術の研究開発・実用化に、関係機関の連携の下で取り組む。さらに、国内産業の育成・発展に向けた、製品・サービスを安心して利用するための検証基盤や中小企業のニーズに対応したビジネス創出等に向けた支援策の推進、AI 等も活用した、サイバー攻撃の観測・把握・分析技術や情報共有基盤の強化、暗号等の基礎研究の促進等にも取り組む。加えて、サイバーセキュリティの研究・技術開発について、産学官の関係者が連携し、相互の取組の情報共有や研究活動における連携を図るためのコミュニティ形成についても、検討を開始する。
研究・技術開発の推進に当たっては、個別の研究・技術開発の成果の創出に留まらず、社
会実装までのプロセスを念頭に置きつつ、取組を進める。加えて、社会実装を促進する上では、サイバーセキュリティの重要性が社会において十分に認識されていることが前提となることから、国民社会におけるサイバーセキュリティに関する意識向上に向けた取組も併せて実施する。
【関連する主な施策例】
・1.2(2)(ウ)、4.2(1)(ア)：サプライチェーンリスクに対応するための技術検証体制の整備
・4.1(5)(ア)、4.2(1)(ホ)：サイバーセキュリティの研究・技術開発に関する取組方針の推進
・4.2(1)(コ)：IoT システムにおける脅威に対応する先端的セキュリティ技術の研究開発
・4.2(1)(オ)：設計・製造におけるチップの脆弱性検知手法の研究開発
・4.2(1)(チ)：AI 技術を駆使したマルウェアの挙動解析を自動化する技術の研究開発- 66 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
2 積極的サイバー防御 ～事前の能動的な取組～

2 積極的サイバー防御～事前の能動的な取組～

2.1 政府関係者の取組(1) 改定された統一基準群に基づく取組【取組の方向性】
政府機関等においては、統一的な基準を踏まえた情報セキュリティ対策が講じられるところ、2018 年７月に「政府機関等の情報セキュリティ対策のための統一基準群」の改定を行い、脅威に対して事前に積極的な防御策を講じる観点も踏まえ、未知の不正プログラムによる被害の未然防止／拡大防止、IT 資産管理の自動化とそれによる脆弱性への迅速な対応、データ保護による情報漏えい対策等をコンセプトとした規定などによって、政府機関等における情報セキュリティ対策の強化・拡充の取組を行っている。今後は、脅威が深刻化するサイバー
攻撃への対応及びクラウドサービス利用時における適切な情報セキュリティ対策等について、
次期統一基準群の改定に際して、対策として盛り込むよう取組を進めていく。
また、政府機関等に対して、その基準に基づいてマネジメント監査及び侵入検査（ペネト
レーションテスト）を実施し、今後の情報セキュリティ対策を強化するために必要な助言等の取組を行い、自律的なセキュリティ水準の向上を促す仕組みを確立する。また、独立行政法人等への監査は、IPA との連携等により、2020 年東京大会までに、全ての法人に対し行う計画とする。
あわせて、GSOC により政府機関の情報システムに対するサイバー攻撃等に関する情報を収集・分析し、その結果を政府機関等に対して適宜提供しており、さらに GSOC システムの検知・解析機能を始めとした機能強化等を図り、政府機関等と次期 GSOC における効果的かつ効率的な連携を推進していく。
これらの取組などとともに、今後の政府機関等の IT 投資の効率化を踏まえて、セキュリテ
ィ関連投資の充実を図るために必要な予算を確保するなどにより、政府機関等の情報セキュ
リティ対策を推進するものである。
【関連する主な施策例】
・2.3(1)(ア)：次期統一基準群改定に係るコンセプトの検討
・2.3(1)(キ)：政府関係機関情報セキュリティ横断監視・即応調整チーム（GSOC）の運用
・2.3(1)(セ)：政府機関等と次期 GSOC における効果的かつ効率的な連携の推進
・2.3(4)(ア)：政府機関等における統一基準群等に基づく取組状況の監査の実施
・2.3(4)(イ)：政府機関等の情報システムに対するペネトレーションテストの実施
・2.3(4)(ウ)：独立行政法人等における統一基準群等に基づく取組状況の監査の実施
・2.3(4)(エ)：独立行政法人等の情報システムに対するペネトレーションテストの実施(2) 政府調達におけるサプライチェーン・リスク対策【取組の方向性】
サイバー攻撃は複雑化・巧妙化しており、今後発生し得るリスクに応じて事前に積極的に取り得る防御策が必要であるところ、サイバーセキュリティを確保する上では、情報の窃取、破壊、情報システムの停止等、悪意のある機能が組み込まれた機器をあらかじめ使用しない- 67 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
2 積極的サイバー防御 ～事前の能動的な取組～ようにすることが極めて重要であり、こうしたサプライチェーン・リスク対策を強化するため、2018 年７月に閣議決定した、新戦略において、サプライチェーン・リスク対策の重要性を盛り込むとともに、2018 年 12 月には、各府省庁において特に防護すべきシステムとその調達手続について、「申合せ」を行った。
この「申合せ」は、2019 年４月以降、国家安全保障及び治安関係の業務を行うシステム等、より一層サプライチェーン・リスクに対応することが必要であると判断されるものを調達する際には、総合評価落札方式等、価格面のみならず、総合的な評価を行う契約方式を採用し、原則として、情報通信技術（IT）総合戦略室や内閣サイバーセキュリティセンターの助言を得ることを示したものである。
【関連する主な施策例】
・2.3(1)(ス)：政府調達におけるサプライチェーン・リスク対策の強化
・2.3(2)(イ)：安心・安全なクラウドサービス利用に向けた安全性評価の方法に関する検討
・3.2(1)(キ)：防衛省の調達仕様書等に適用される調達に関する関連規則の整備
・3.2(1)(ケ)：防衛産業に適用される調達に関する情報セキュリティ基準の整備(3) ボットネット対策【取組の方向性】
IoT 機器の生活への普及・浸透が進む中、2016 年にはネットワーク上の脆弱な IoT 機器が、
ウイルス感染等により攻撃者の自由に操られる状態となった機器を束ねたネットワーク（ボットネット）を構築し、大規模な DDoS 攻撃を仕掛ける事案が発生する等、IoT 機器を悪用したサイバー攻撃の深刻化が進んでいる。
これに対し、2019 年２月から開始した「NOTICE」では、国立研究開発法人情報通信研究機
構（NICT）がパスワード設定等に不備のある IoT 機器を調査し、電気通信事業者が当該機器の利用者への注意喚起を行っている。サイバー攻撃を受けてから対応するのではなく、先手を打って悪用されるおそれのある IoT 機器を能動的に調査し利用者に対して適宜パスワード変更等を促すことにより、ネットワーク上の脆弱な IoT 機器を減少させ、安全な IoT システ
ムの構築を目指していく。
今後も引き続き、産官学民及び民間企業相互間の連携と役割分担の下で進めるとともに、実効性の高い取組となるように適時見直しを行いながら、調査方法の高度化や実施体制の充実化等、取組を発展させていく。
【関連する主な施策例】
・1.3(2)(ウ)：サイバー攻撃に悪用されるおそれのある IoT 機器の調査及び注意喚起(4) 先行的防御を可能にするための取組【取組の方向性】
サイバー空間の脅威の深刻化が進み、攻撃の種類も多種多様となっていることから、従来の受動的な対策だけでは対応しきれず、これまでよりも積極的な対策を行い先行的な防御を進める必要がある。
具体的には、脅威情報の共有・活用の促進として、脆弱性情報の公表に係る制度の着実な- 68 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
2 積極的サイバー防御 ～事前の能動的な取組～

実施や脅威情報収集の自動化に関する支援、制御システムに係る公開情報の分析に基づく情報提供などの取組を進めるとともに、ウェブサイトへのサイバー攻撃の予兆を事前に検知するツールの利用拡大を目指して機能改善に向けた検討を行っていく。また、攻撃者の情報を集めるための攻撃誘引技術の活用として、官公庁・大企業の LAN 環境を模擬した実証環境を用いて標的型攻撃の解析を実施し、関係機関との情報共有を進めていく。さらに、近年増加傾向にあるフィッシング詐欺に対してはサイト閉鎖等の対応を引き続き実施するとともに、攻撃手法の傾向を分析し、効率的・効果的な阻害方法を選択することで、量的な対応力の向上を図っていく。加えて、2019 年から 2020 年にかけて予定されている複数の国際的なイベントに関連して、なりすましメールが増加することも想定され、国民の間で個人情報や金銭の詐取等の被害が生じる可能性は高いため、そのような被害を防止するためにもなりすまし
メールを防止する送信ドメイン認証技術を推進していく。
【関連する主な施策例】
・2.1(1)(ア)：脆弱性情報公表に係る制度の実施等を通じた脆弱性関連情報の共有
・2.1(1)(ウ)：ソフトウェア等の脆弱性に関する自動配信等による脆弱性マネジメント
支援
・2.1(1)(オ)：サイト閉鎖等によるフィッシング詐欺対策及び量的な対応力の向上
・2.1(1)(キ)：ウェブサイトの攻撃兆候検出ツールの利用拡大
・2.1(1)(サ)：なりすましメール対策となる送信ドメイン認証技術の周知・広報・2.2(1)(ケ)：大規模 LAN 環境を模擬した実証環境(STARDUST)を活用した標的型攻撃の解析及び事業者間での情報共有
・2.2(1)(ト)：制御システムに係る脆弱性等の公開情報の分析・提供及び調査方法等の効率化の検討

2.2 従来の枠を超えた取組(1) 情報共有連携体制（サイバーセキュリティ協議会）【取組の方向性】
2018 年 12 月に、サイバーセキュリティ基本法の一部を改正する法律が成立した。同法により改正された基本法第 17 条に基づき、2019 年 4 月 1 日に、官民の多様な主体が相互に連携し、サイバーセキュリティに関する施策の推進に係る協議を行うためのサイバーセキュリ
ティ協議会が組織された。
同協議会は、官民を問わず、また、業界を問わず多様な主体が連携し、サイバーセキュリ
ティの確保に資する情報を迅速に共有することにより、サイバー攻撃による被害を防ぎ、また、被害の拡大を防ぐことを目的としている。
サイバーセキュリティ協議会については、2019 年４月に第一期の構成員の募集を行い、５月から暫定運用を開始する予定である。2019 年度中に、第二期及び第三期の構成員の募集を行い、漸次拡大していくことを予定している。
運用面については、実際に情報共有活動を行う中で、構成員等の意見も踏まえつつ、必要に応じて運用ルールやシステムを不断に見直しつつ、より多様かつ重要なサイバーセキュリ
ティの確保に資する情報を迅速かつ確実に共有するとともに、より多くの主体が参加する重- 69 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
2 積極的サイバー防御 ～事前の能動的な取組～

厚な体制を構築するなど、さらなる情報共有の促進のために必要な施策を推進していく。
【関連する主な施策例】
・2.6(1)(ア)：サイバーセキュリティ協議会の運用ルールの見直し、多様かつ重要なサイバーセキュリティの確保に資する情報の迅速かつ確実な共有及び多くの主体が参加する重厚な体制の構築(2) 暗号資産（仮想通貨）に関する取組【取組の方向性】
インターネットを通じて電子的に取引されるいわゆる暗号資産（仮想通貨）において、暗号資産交換業者に対するサイバー攻撃により顧客の暗号資産（仮想通貨）が流出した事例が発生している。そのような状況を踏まえ、利用者保護の確保に向けて、サイバーセキュリテ
ィ対策を進めていく。
具体的には、資金決済法等の改正の趣旨を踏まえ、サイバーセキュリティの強化に向け、自主規制機関における実効的な自主規制機能の発揮を促すとともに、自主規制機関と連携しながら、暗号資産交換業者におけるサイバーセキュリティ対策の実施状況等のモニタリングを行っていく。また、引き続き、定期的な自主規制機関との意見交換等を通じて上記取組の推進を図っていく。
【関連する主な施策例】
・2.1(1)(セ)：暗号資産にかかる自主規制機能の発揮促進及び交換業者に対するモニタリ
ングの強化(3) 自動運転に関する取組【取組の方向性】
自動運転の実現に向けては、外部からの通信が車両ネットワークにつながることも想定され、サイバー攻撃を受けて不正操作された場合には人命に影響を及ぼすおそれがあるため、かかる事態が生じないような対策が求められる。そのためには、車両機器や制御装置の脆弱性を設計・開発段階から取り除く視点などが必要となるが、自動車の安全基準については、国際場裡においてサイバーセキュリティ対策に係る国際基準策定の議論が進められており、議長国として議論を主導するとともに、国際基準の適合性に係る審査体制の構築に向け、検討の深化を図っていく。また、関係省庁との連携の下、自動運転システムへの新たなサイバー攻撃手法の動向、インシデント情報、対策技術等の調査を実施することにより、自動運転に係る脅威を想定の上、先手を打って対策を進めていく。
【関連する主な施策例】
・2.1(1)(ソ)：自動車のサイバーセキュリティ対策に係る国際基準策定の主導及び基準適合性に係る審査体制の構築に向けた検討の深化
・2.1(1)(チ)：自動運転システムへの新たな攻撃手法及び対策技術等の調査- 70 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
3 2020 年東京大会とその後を見据えた対処態勢の強化

3 2020 年東京大会とその後を見据えた対処態勢の強化
3.1 2020 年東京大会に向けた対処態勢【取組の方向性】
オリンピック・パラリンピック競技大会は、世界最大級のスポーツイベントであり、全世界から注目を集めることから、過去大会においてもサイバー攻撃の標的となっており、東京大会に向けて、国を挙げてサイバーセキュリティの確保に取り組んでいるところである。
大会のセキュリティ全般については、「2020 年東京オリンピック・パラリンピック競技大会関係府省庁連絡会議」の下で開催されている「セキュリティ幹事会」において、平成 29 年
３月、「2020 年東京オリンピック競技大会・東京パラリンピック競技大会に向けたセキュリ
ティ基本戦略（Ver.1）」を決定し対策を推進している。
サイバーセキュリティの確保については、基本法に基づく新戦略を平成 30 年７月に閣議決定し、この二つの戦略に基づき、大会の運営に大きな影響を及ぼし得る重要サービス事業者等を対象としたリスクマネジメントの促進や、関係府省庁、大会組織委員会、東京都等を含めた関係組織と、サイバーセキュリティに係る脅威・事案情報の情報共有等を担う中核的組織としてのサイバーセキュリティ対処調整センターの構築等、対処態勢の整備を推進している。対処態勢の整備に当たっては、「セキュリティ幹事会」の下のサイバーセキュリティワ
ーキングチームにおいて、関係府省庁、大会組織委員会、東京都等と協議を実施し、2018 年
度末にはサイバーセキュリティ対処調整センターの運用方針等を作成するとともに、サイバーセキュリティ対処調整センター及び情報共有システムを構築した。
2019 年度においては、サイバーセキュリティ対処調整センター及び情報共有システムを
G20 大阪サミット等において運用するとともに各種演習・訓練を通じて、関係機関等との連携体制の強化や手順等の慣熟及び見直しを実施し、様々な事象への対応力、対処支援調整能力を高め、万全な対処態勢を確立させていく。また、これまでにも実施してきた「分野横断的演習」や「金融業界横断的なサイバーセキュリティ演習」等の官民の枠を超えた関係者間での演習・訓練についても、2020 年東京大会に関わる重要インフラ事業者等が、大会開催時に想定されるより困難な脅威にも適切に対応できる状態に達することを目指し、大会の開催を踏まえたシナリオを策定する等、より実効性の高いものとすることで障害対応体制の強化を一層推進していく。
大会のために準備した対処態勢やリスクマネジメントの取組によって得られた経験・ノウ
ハウは、大会後もレガシーとして日本のサイバーセキュリティの確保に活用していく。
【関連する主な施策例】
・2.2(1)(テ)：官民の枠を超えた関係者間での演習・訓練
・2.5(1)(ア)：2020 年東京大会に関する重要サービス事業者等のリスクマネジメントの促
進・2.5(1)(ア)：サイバーセキュリティ対処調整センターの運用及び演習・訓練- 71 -

2 部 年次計画（2019 年度）
1 章 2019 年度のトピックとなる取組
3 2020 年東京大会とその後を見据えた対処態勢の強化

3.2 大規模サイバー攻撃事態等への対処態勢【取組の方向性】
海外での事例を踏まえると、我が国においてもサイバー攻撃によって国民生活に大きな影響を与えるような業務・機能・サービスの停止といった事態がいつ発生してもおかしくない
状況にある。さらに、あらゆる分野で情報通信技術が不可欠となり、ネットワークを介してあらゆるものがつながっている昨今、複数の分野で一斉に被害を受け、その影響が実空間における混乱といった形で表面化することが考えられる。
こうしたことを踏まえ、政府においては内閣官房を中心として情報の集約・共有、初動対処に係る訓練・演習とその結果を踏まえた見直しを通じて対処態勢の強化を図り、各対処機関においてはサイバー空間における情報収集・分析能力の向上を図っていく。また、サイバー攻撃の対象となり得る事業者等においても、サイバー攻撃への対処活動を実施することから、この活動を支援する取組を充実・強化していく。
【関連する主な施策例】
・2.7(ア)：大規模サイバー攻撃事態等に対する訓練の実施
・2.7(イ)：初動対処態勢の整備や能力向上に必要な取組の実施
・2.7(カ)：個人情報漏えい等事案への適切な対応等
・2.7(キ)：国内における組織内 CSIRT 設立の支援
・2.7(ク)：金融分野における大規模インシデント等の発生に備えた官民連携の危機管理態
勢の構築- 72 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
1 経済社会の活力の向上及び持続的発展

2章

2019 年度の各種施策一覧表

本章では、以下のとおり、新戦略の体系に沿って各目的・領域別に、新戦略で定めた諸施策の目標や実施方針とともに、具体的な施策を表にして、網羅的に示す。

1 経済社会の活力の向上及び持続的発展
1.1

新たな価値創出を支えるサイバーセキュリティの推進(1)経営層の意識改革
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・経営層に説明や議論ができる人材の発掘・育成、経営層向けセミナー等の開催による、経営層の意識改革
・対策の可視化など、経営層に訴求するための施策の推進
・企業が参照すべき法制度に関する整理
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、経営層の意識改革や戦略マネジメント層、実務者層・技術者層、若年層の育成に関して、関係府省庁と連携の下、「サイバーセキュリティ人材育成取組方針」（2018 年６月）に基づき、産学官の連携を図りつつ、関係施策を推進していくとともに、必要に応じてフォローアップや見直しを図る。

(イ) 経済産業省

経済産業省において、コーポレート・ガバナンス・システム研究会（第２期）における議論を踏まえ、グループ内部統制システム上の重要なリスク項目としてサイバーセキュリティを認識し、「サイバーセキュリテ
ィ経営ガイドライン」などを参照してセキュリティ対策の在り方に関する検討の必要性を盛り込んだグルー
プガバナンスの在り方に関するガイドラインを策定する。

(ウ) 経済産業省

経済産業省において、取締役会のサイバーセキュリティへの関与を促すとともに、投資家に対するサイバー
セキュリティの啓発を行う観点から、上場企業において行われる「取締役会の実効性評価」の評価項目についてサイバーセキュリティへの経営層の関与をその評価項目として組み込むことを、実効性評価の第三者評
価を実施する外部専門組織と連携して促進する。

(エ) 経済産業省

経済産業省において、経営層がサイバーリスクを経営上の重要課題として把握し、設備投資、体制整備、人材育成等経営資源に係る投資判断を行い、更なる組織能力の向上を図るために、「サイバーセキュリティ経営ガイドライン」の改訂の検討を行い、説明会等を通じて、当該ガイドラインの普及を図るとともに、更なるサイバーセキュリティ経営への意識の定着のため、改訂を含めた検討を進める。

(オ) 内閣官房

内閣官房において、サブワーキンググループの運営を継続し、有識者の意見も踏まえつつ、サイバーセキュ
リティ関係法令集の策定に向けて検討を進め、ハンドブック（仮）として成果物を取りまとめる。

(2)サイバーセキュリティに対する投資の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・企業の積極的な情報発信・開示に向けたベストプラクティスの共有やガイドラインの策定
・情報発信・開示の状況についての継続的な把握・評価・投資家が企業経営層のサイバーセキュリティに関する取組を評価できるような仕組みづくり
・企業に対するサイバーセキュリティの促進策のフォローと措置の検討
・サイバーセキュリティ保険の活用を推進するための方策についての検討
項番

担当府省庁

2019 年度 年次計画(ア) 経済産業省

経済産業省において、プラクティス検討会を中心に、「サイバーセキュリティ経営ガイドライン Ver2.0 実践のためのプラクティス集」の継続的な事例収集を行い、継続的な更新を行う。また、企業のサイバーセキュ
リティ対策の実施状況を可視化するツールを作成する。

(イ) 総務省

総務省において、企業の情報開示の実例も盛り込んだ「サイバーセキュリティ対策情報開示の手引き」を策定、公表し、その普及を図る。

(ウ) 経済産業省

経済産業省において、本制度の普及促進を図るとともに、情報セキュリティサービス審査登録制度のよりよ
い利用についての検討を行い、競争力強化やサイバーセキュリティの成長産業化に取り組む。

(エ) 総務省
経済産業省

総務省及び経済産業省において、一定のサイバーセキュリティ対策が講じられたデータ連携・利活用により生産性を向上させる取組について、それに必要となるシステムやサイバーセキュリティ対策製品等の導入に対して税額控除等を措置するコネクテッド・インダストリーズ税制の活用を促すことで、事業者のセキュリ
ティ対策の強化と生産性向上を同時に促進する。また、2018 年度の実績を踏まえ事例の紹介や経産省 HP でのニーズ調査などを用い、税制の更なる活用促進策を見いだし、ニーズに沿った周知・広報を強化する。

- 73 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
1 経済社会の活力の向上及び持続的発展(オ) 経済産業省

経済産業省において、IPA を通じ、サイバーセキュリティお助け隊の実証事業を全国で実施し、中小企業の実態や求めるサービス内容、レベル等を明らかにするとともに、中小企業のサイバーセキュリティ意識向上を図る。実証結果を基に、セキュリティベンダー、損害保険会社等連携し、中小企業が利用し易い、支援体
制、サイバー保険について検討、構築し、普及を図る。

(カ) 総務省

総務省において、総合通信局、地域の事業者、保険会社、セキュリティ関係機関等の関係者間において、サ
イバーセキュリティに関する情報共有を促進する取組を実施する。

(3)先端技術を利活用したイノベーションを支えるサイバーセキュリティビジネスの強化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・先端技術の利用に伴うサイバーセキュリティリスクの分析・明確化とそれに基づくガイドラインの策定や普及等
・先端技術のリスク分析や脅威への対策に係る研究開発の推進
・セキュリティ・バイ・デザインの考え方を基本とした取組
・先端技術の利用を支えるためのサイバーセキュリティ技術・サービスの供給者とのマッチング、サイバーセキュリティ技術・サービスの適切な評価に係る仕組みの構築
・我が国の高いサイバーセキュリティが確保されたモノやサービス等のトップセールスや展示会等を活用したアピール、国際展開をしやすい
ビジネス環境の整備
項番

担当府省庁

2019 年度 年次計画(ア) 経済産業省

経済産業省において、IPA を通じ、営業秘密保護に関する対策等を推進するための情報発信を行うとともに、
不正競争防止法改正を踏まえ、適切なデータ共有・利活用に関する指針の策定に向けた検討を行う。

(イ) 経済産業省

経済産業省において、企業の情報漏えいの防止に資するため、「秘密情報の保護ハンドブック～企業の価値向上に向けて～」、「秘密情報の保護ハンドブックのてびき～情報管理も企業力～」及び産業競争力強化法に基づく技術等の情報の管理に係る認証制度について、普及啓発を図る。

(ウ) 総務省
経済産業省

総務省及び経済産業省において、引き続き、「クラウドサービス提供における情報セキュリティ対策ガイド
ライン」、クラウドセキュリティ監査制度等の普及促進を行う。

(エ) 文部科学省

文部科学省において、2019 年１月１日に施行された改正著作権法によって、いわゆる非享受目的の利用に係る権利制限規定（著作権法第 30 条の 4）が創設されたことに伴い、「リバースエンジニアリングを行うこと」「解析やその訓練のために必要なプログラム等を保全し、コピーを作成すること」「セキュリティ上の調査のためのデバッグ等の解析」なども著作権違反にならないことを明確化するよう、ガイドラインを整備し、周知を行う。

(オ) 経済産業省

経済産業省において、IPA を通じ、サイバーセキュリティビジネスの振興・活性化を図るため、サイバーセ
キュリティ対策におけるニーズの明確化・具体化、シーズの発掘やビジネスマッチングを行うメンバーを限定しない情報交流の場（コラボレーション・プラットフォーム）を継続して開催する。また、コラボレーション・プラットフォームの地方開催についても検討を進める。

(カ) 経済産業省

経済産業省において、日本のセキュリティニーズに応じた日本発のサイバーセキュリティ製品・サービスの創出・活用を推進するため、セキュリティ製品・サービスの有効性を検証する基盤を構築する。

(キ) 経済産業省

経済産業省において、ASEAN やインド等の新興国に対し、電力をはじめとした重要インフラ分野におけるサ
イバーセキュリティに関する意識啓発、知見・能力の構築支援を通じて、日本製のセキュリティを備えた質の高いインフラ輸出に向けた環境整備を行う。

(ク) 総務省

総務省において、サイバーセキュリティ関連産業の国際展開及びサイバーセキュリティ関連の研究開発の国
際的な発信等のため、我が国の関係組織の主要な国際展示会への出展に資する事業を、規模を拡大し実施する。

1.2

多様なつながりから価値を生み出すサプライチェーンの推進(1)サイバーセキュリティ対策指針の策定
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・サプライチェーンにおいて、運用レベルでの対策が実施できるような業種横断的な指針の策定
・IoT 機器や組織等に求められる具体的な対応策の産業分野毎の提示
項番

担当府省庁

(ア) 経済産業省

2019 年度 年次計画
経済産業省において、産業サイバーセキュリティ研究会の下で開催した WG１(制度・技術・標準化）にて、策定した「サイバー・フィジカル・セキュリティ対策フレームワーク」の社会実装を推進するために、フレー
ムワークの周知・普及、各産業分野におけるセキュリティ対策の検討を引き続き推進するとともに、データそのものの信頼性確保や、ソフトウェアのセキュリティを実効的に確保するための具体的な管理手法等を検討する。

- 74 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
1 経済社会の活力の向上及び持続的発展(2)サプライチェーンにおけるサイバーセキュリティを確保できる仕組みの構築
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・要件の確認等による信頼を創出する仕組みの構築
・信頼性が証明されている機器・サービス等のリストの作成と管理を行う仕組みの構築
・トレーサビリティを確認するための仕組みと、創出された信頼そのものに対する攻撃を検知・防御するための仕組みの検討
項番

担当府省庁

2019 年度 年次計画(ア) 内閣府
総務省
経済産業省

内閣府において、戦略的イノベーション創造プログラム（SIP）第２期「IoT 社会に対応したサイバー・フィ
ジカル・セキュリティ」により、セキュアな Society 5.0 の実現に向けて、様々な IoT 機器を守り、社会全体の安全・安心を確立するため、中小企業を含むサプライチェーン全体を守ることに活用できる、『サイバー・フィジカル・セキュリティ対策基盤』の研究開発及びその社会実装を推進する。本プロジェクトでは、
IoT システムのセキュリティを保証する技術、サプライチェーンの分野毎の要件を明確にしたうえでトラス
トリストを構築・確認する技術、業務データを安全に流通させるためのトレーサビリティ確保技術等を開発する。研究開発を本格化するともに実証実験に向けた準備を着実に進める。また、本プロジェクトが目指す『サイバー・フィジカル・セキュリティ対策基盤』の実現には、様々な産業分野が関係することから、総務省、経済産業省をはじめとした府省庁及び産学とが分野横断的に連携して推進する。

(イ) 経済産業省

経済産業省において、産業サイバーセキュリティ研究会の下で開催した WG１(制度・技術・標準化）にて策定した「サイバー・フィジカル・セキュリティ対策フレームワーク」の社会実装を推進するために、IoT 機
器に求められる機能の要求を明確化すると共に、産業界の自主活動を含めたラベリングの仕組み、認証制度の在り方を検討する。

(ウ) 内閣官房

内閣官房において、関係府省と連携し、国産技術の確保・育成のための取組や、政府調達における活用も可
能な、産学官連携による、サプライチェーンリスクに対応するための技術検証体制の整備に向けた取組を進める。

(3)中小企業の取組の促進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・中小企業を対象としたサイバーセキュリティ対策の事例集の作成
・サイバーセキュリティ保険の活用促進
・中小企業がサイバーセキュリティに関するトラブル等について相談できる仕組みの強化
・中小企業が自主的に宣言できる仕組みなどの可視化の取組促進、インセンティブの仕組みとの連携
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、関係機関と連携し、「小さな中小企業と NPO の情報セキュリティハンドブック」の周知を行う。

(イ) 総務省

総務省において、総合通信局、地域の事業者、保険会社、セキュリティ関係機関等の関係者間において、サ
イバーセキュリティに関する情報共有を促進する取組を実施する。（再掲）(ウ) 経済産業省

経済産業省において、IPA を通じ、サイバーセキュリティお助け隊の実証事業を全国で実施し、中小企業の実態や求めるサービス内容、レベル等を明らかにするとともに、中小企業のサイバーセキュリティ意識向上を図る。実証結果を基に、セキュリティベンダー、損害保険会社等連携し、中小企業が利用し易い、支援体
制、サイバー保険について検討、構築し、普及を図る。（再掲）(エ) 経済産業省

経済産業省において、営業秘密保護や事業継続性の観点からも経営層がサイバーリスクを重要課題として把握し、人材育成等経営資源に係る投資判断を行い、組織能力の向上を図るために、説明会等を通じて、「サイバーセキュリティ経営ガイドライン」の普及を図る。また、IPA を通じて、中小企業における情報セキュ
リティ対策の実施を促すため、中小企業支援団体との連携強化や地域での説明会の拡充等を通じて「中小企業の情報セキュリティ対策ガイドライン」の普及を図る。

(オ) 経済産業省
総務省

中小企業における情報セキュリティ投資を促進するために、以下の取組を実施する。
・経済産業省において、中小企業等の生産性向上に資する IT 導入等の促進とあわせて、セキュリティに係る意識向上やその対策に向けた具体的な取組を促す。
・経済産業省において、セキュリティにも配慮した安心安全なクラウドサービス利用の促進等のために、認定された IT ベンダーのセキュリティ関連の取組状況等を開示し、その制度の普及促進を図る。
・経済産業省において、セキュリティ対策の普及啓発を行うとともに、専門家等を派遣して、セキュリティマネジメント指導を実施する。
・経済産業省において、中小企業に対して、日本政策金融公庫による特別利率での融資も更に実施する。
・総務省及び経済産業省において、一定のサイバーセキュリティ対策が講じられたデータ連携・利活用に
より生産性を向上させる取組について、システムやセンサー・ロボット、セキュリティ対策製品等の導入に対する税制措置の活用を促し、事業者のセキュリティ対策の強化と生産性向上を同時に促進する。

- 75 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
1 経済社会の活力の向上及び持続的発展(カ) 経済産業省

1.3

経済産業省において、IPA を通じ、中小企業におけるセキュリティ対策強化に資するため、「中小企業の情報セキュリティ対策ガイドライン」の普及を図るとともに、実践に関する指導者の拡大に向けた「講習能力養成セミナー」の開催や、中小企業支援機関等が主催する情報セキュリティ対策支援セミナーへの協力等の取組を実施する。また、「SECURITY ACTION 制度」の更なる周知を図り、参画企業の拡大に取り組むとともに、ニーズに応じた制度の見直しについて検討を行う。

安全な IoT システムの構築(1)IoT システムにおけるサイバーセキュリティの体系の整備と国際標準化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・各主体の間での共通認識の醸成と、役割や機能の明確化を図った上での、協働した取組の推進
・官民の各主体が抱える課題やそれぞれの取組の可視化と情報共有を行うための仕組みの構築
・安全な IoT システムを実現するために求められるサイバーセキュリティに関する基本的な要素等の国際標準化に向けた取組
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、IoT システムに係る新規事業がセキュリティ・バイ・デザインの考え方に基づき取り組
まれるよう、経費の見積もりの方針にこうした考え方を盛り込むとともに、各府省庁等において、こうした考え方に基づく取組が行われるよう働きかけを引き続き行う。具体的には、研究開発戦略専門調査会等を通じ、関係省庁の IoT システムのセキュリティに関する取組について情報共有を行うとともに、着実な取組が行われているかどうか、確認する。

(イ) 内閣官房

内閣官房において、IoT システムに係る関係省庁の自律的な取組を推進するとともに、各主体が協働できる
よう、共通認識の醸成や情報共有等の取組を推進する。具体的には、各種講演活動や関係省庁の IoT セキュ
リティに関する取組との連携を図る等、取組を継続する。

(ウ) 総務省
経済産業省

・安全な IoT システムの構築に向けて、総務省及び経済産業省において、以下の取組を実施する。
・専門機関と連携し、情報セキュリティ分野の国際標準化活動である ISO/IEC JTC 1/SC 27、ITU-T SG17
等が主催する国際会合等に参加し、我が国の研究開発成果や IT 環境・基準・ガイドライン等を踏まえて国際標準化を推進する。
・IoT 推進コンソーシアム IoT セキュリティ WG 等を通じて、IoT 機器のセキュリティ対策の推進に努めるとともに、IoT セキュリティに関する研究開発、実証実験及び IoT セキュリティの確保に向けた総合的な対策の実施を通じ、IoT 製品やシステムにおける「セキュリティ・バイ・デザイン」の国際的展開に向けた活動を行う。
・経済産業省において、IPA を通じて、様々な製品やシステムがつながる IoT において重要なセキュリティ・
セーフティのうち、特に IoT 社会で関心の高いセキュリティに着目し、我が国産業界の競争力を強化するとともに、国際的な IoT のセキュリティレベルの向上を目指すために、日本主導で進めている遵守すべき
セキュリティの基本的な枠組みの国際標準化を引き続き推進する。

(エ) 消費者庁

消費者庁において、製造物責任に係る法的解釈等（IoT 機器のソフトウェアに脆弱性が存在しインシデントが発生した場合等を含む。）について最新の動向の収集・分析等により、関係者の理解を促進する。

(オ) 内閣官房

内閣官房において、IoT システムの設計・開発・運用に係る概念について、国内で官民が連携してモノ・ネットワーク、システム等に関する各種基準等への組込みを促進するため、情報技術に関わる国際標準化を担う ISO/IEC の分科委員会にて 2017 年 11 月に日本が提案した「安全な IoT システムのためのセキュリティに関する一般的枠組」等を基本とした国際規格案の標準化に向け、積極的に取り組む。具体的には、日本提案の国際標準化に向け、国内委員会に参加する等、有識者と議論・連携しながら、着実に標準化プロセスを進める。

(2)脆弱性対策に係る体制の整備
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・IoT 機器に必要なサイバーセキュリティに関する要件の整理と、その要件を満たす IoT 機器の利用の推奨
・パスワード設定に不備のある機器の調査・特定を行い、利用者への注意喚起を円滑に行えるような所要の制度整備
・我が国の対策をモデルとして、国際的な連携や標準化等を通じて海外に展開し、安全なネットワークの環境整備に貢献
項番

担当府省庁

(ア) 内閣官房
警察庁
総務省
経済産業省

2019 年度 年次計画
内閣官房及び関係省庁において、ネットワーク上の脆弱な IoT 機器の効果的な対策等のための体制について、官民の関係者の取組全体を把握しつつ、引き続き検討する。

- 76 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(イ) 総務省
経済産業省

・総務省及び経済産業省において、IoT 推進コンソーシアム IoT セキュリティ WG 等を通じて、IoT 機器のセ
キュリティ対策を推進する。
・総務省において、今後製品化される IoT 機器がパスワード設定の不備等により悪用されないようにする対策として、IoT 機器の技術基準にセキュリティ対策を追加するため、端末設備等規則（総務省令）の改正
省令を施行する。施行に先立ち、運用方法や解釈等を定めるガイドラインを策定する。
・経済産業省において、産業サイバーセキュリティ研究会 WG1（制度・技術・標準化）の下で開催している
スマートホーム SWG（一般社団法人電子情報技術産業協会スマートホームサイバーセキュリティ WG）を活用して、家電など家庭で使われる IoT 機器のサイバーセキュリティの確保のための必要な対策について、関連する事業者と連携しながら検討を進め、スマートホーム分野のサイバー・フィジカル・セキュリティ
対策ガイドラインを策定する。

(ウ) 総務省

総務省において、国立研究開発法人情報通信研究機構（NICT）がサイバー攻撃に悪用されるおそれのある IoT
機器を調査し、電気通信事業者を通じた利用者への注意喚起を行う取組「NOTICE」を引き続き推進する。

2 国民が安全で安心して暮らせる社会の実現
2.1

国民・社会を守るための取組
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より

・全ての主体が、自主的にセキュリティの意識を向上させ、主体的に取り組むとともに、連携して多層的にサイバーセキュリティを確保する
状況を作り出していく
項番

担当府省庁

(ア) 総務省

2019 年度 年次計画
総務省において、フェイクニュースや偽情報への対策のため、「プラットフォームサービスに関する研究会」を開催し、表現の自由に留意しながら、欧州の動向も参考にしつつ、ユーザリテラシー向上及びその支援方策、また、ファクトチェックの仕組みやプラットフォーム事業者との連携等の自浄メカニズムなどについて検討を行う。

(1)安全・安心なサイバー空間の利用環境の構築
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・脅威に対して事前に積極的な防御策を講じる「積極的サイバー防御」の推進
項番

担当府省庁

2019 年度 年次計画(ア) 経済産業省

経済産業省において、経済産業省告示に基づき、IPA（受付機関）と JPCERT/CC（調整機関）により運用されている脆弱性情報公表に係る制度を着実に実施するとともに、必要に応じ、「情報システム等の脆弱性情報の取扱いに関する研究会」での検討を踏まえた運用改善を図る。また、関係者との連携を図りつつ、「JVN」
をはじめ、「JVNiPedia」（脆弱性対策情報データベース）や「MyJVN」（脆弱性対策情報共有フレームワーク）などを通じて、脆弱性関連情報をより確実に利用者に提供する。さらに、能動的な脆弱性の検出とその調整に関わる取組を行う。また、海外の調整機関や研究者とも連携し、国外で発見された脆弱性について、
国内開発者との調整、啓発活動を JPCERT/CC において実施する。

(イ) 経済産業省

経済産業省において、情報システム等がグローバルに利用される実態に鑑み、IPA 等を通じ、脆弱性対策に関する SCAP、CVSS 等の国際的な標準化活動等に参画し、情報システム等の安全性確保に寄与するとともに、国際動向の普及啓発を図る。

(ウ) 経済産業省

経済産業省において、JPCERT/CC を通じ、ソフトウェア等の脆弱性に関する情報等の脅威情報を、各種脅威対策ツールが自動的に取り込める形式で配信する等、ユーザー組織における、脅威・脆弱性マネジメントの重要性の啓発活動及び脅威・脆弱性マネジメント支援を、関連標準技術の変化を踏まえて実施する。

(エ) 経済産業省

経済産業省において、IPA を通じ、情報システムの脆弱性に対して、プロアクティブに脆弱性を検出するための技術の調査、公開資料の拡充を行い、関係者と連携を図りつつ普及・啓発活動を行う。

(オ) 経済産業省

経済産業省において、フィッシング対策協議会及び JPCERT/CC を通じ、フィッシングに関するサイト閉鎖依頼やその他の対策実施に向けた取組等を実施する。
増加傾向にあるフィッシング詐欺に対して、攻撃手法の傾向を分析し、効率的・効果的な阻害方法を選択することで量的な対応力の向上を図る。

(カ) 経済産業省

経済産業省において、IPA を通じ、ソフトウェア等の脆弱性に関する情報をタイムリーに発信するサイバー
セキュリティ注意喚起サービス「icat」を提供する。また、利用者からの意見を収集・分析するとともに、各種セミナーやイベントで利用方法を紹介することにより「icat」の普及を図る。

(キ) 経済産業省

経済産業省において、IPA を通じ、ウェブアプリケーションの脆弱性を早期に発見し、対処に役立てるため、ログを解析し外部からの攻撃の痕跡を検査する「ウェブサイトの攻撃兆候検出ツール」（iLogScanner）を企
業のウェブサイト運営者等に提供する。また、攻撃検出条件の見直しを検討する。

(ク) 経済産業省

経済産業省において、IPA を通じ、ウェブサイト運営者や製品開発者が脆弱性対策の必要性及び対策手法等
を自ら学習することを支援するため、既存の公開資料の拡充を行い、関係者と連携し各種イベントでの講演やセミナー等を開催することで更なる普及啓発を図る。

- 77 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(ケ) 経済産業省

経済産業省において、JPCERT/CC を通じて、ソフトウェア製品や情報システムの開発段階において、製品開発者が情報セキュリティ上の観点から配慮すべき事項を、刻々と変化する環境やトレンドを踏まえつつ、解説資料やセミナーの形で公開し、普及を図る。

(コ) 総務省

総務省において、高度化・巧妙化するマルウェアの被害を防止するため、「ICT-ISAC」が中心となって実施
している、マルウェアに感染した端末が不正サーバと通信しようとする場合に、当該通信を遮断することで、被害を未然に防止するなどの取組（ACTIVE）を引き続き促進する。

(サ) 総務省

いわゆる「なりすましメール」への技術的対策の一つである送信ドメイン認証技術のうち、DMARC の普及が進んでいないことから、総務省において、引き続き普及に向けた周知、広報を行う。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・サービスの全体の基盤となる信頼できる情報インフラの整備の促進
・仮想通貨交換業者との連携及び対応の推進
・自動運転車やドローンに関するセキュリティ対策の推進
項番

担当府省庁

2019 年度 年次計画

(シ) 経済産業省

経済産業省において、高水準・高信頼の検証サービスに向けた体制整備を推進するとともに、信頼できるセ
キュリティ製品・サービスのマーケット・イン促進のための環境整備を推進する。

(ス) 内閣官房
金融庁
総務省
厚生労働省
経済産業省
国土交通省

重要インフラ所管省庁及び重要インフラ事業者等は、重要インフラ全体の防護能力の維持・向上を目的とし、各重要インフラ事業者等の対策の経験から得た知見等をもとに、国際海底ケーブル等の情報インフラ設備の物理的セキュリティや機器の特性（使用期間等）も考慮しつつ、継続的に安全基準等を改善する。

(セ) 金融庁

金融庁において、資金決済法等の改正の趣旨を踏まえ、サイバーセキュリティの強化に向け、日本仮想通貨交換業協会における実効的な自主規制機能の発揮を促すとともに、同協会と連携しながら、暗号資産交換業者におけるサイバーセキュリティ対策の実施状況等のモニタリングを行う。

(ソ) 国土交通省

国土交通省において、独立行政法人自動車技術総合機構交通安全環境研究所と連携し、自動車の安全基準の国際調和等を審議する唯一の場である国連自動車基準調和世界フォーラム（WP29）での自動車のサイバーセ
キュリティ対策に係る国際基準の策定の議論を議長国として引き続き主導するとともに、国際基準の適合性に係る審査体制の構築に向け、引き続き検討の深化を図る。

(タ) 経済産業省
国土交通省

経済産業省及び国土交通省において、自動運転車両外部からの通信が車内ネットワークにつながることによるサイバーセキュリティリスクへの対応に向けて、2018 年度に車両内の電子システムを模擬した評価環境（テストベッド）を構築したところ。2019 年度以降、自動走行の開発の核となる自動車工学とサイバーセキ
ュリティを含むソフトウェアエンジニアリングの両方を担える人材が不足している事から、人材育成等に活用する。また、サプライヤー等による部品レベルでの性能評価に利用するなど、活用方法の更なる拡大を図る。

(チ) 内閣府
経済産業省
総務省

内閣府 SIP（戦略的イノベーション創造プログラム）を中心に、経済産業省、総務省をはじめとする関係省庁と連携し、自動運転システムへの新たなサイバー攻撃手法の動向、インシデント情報、対策技術等の調査を実施する。

(ツ) 内閣官房

空の産業革命に向けた総合的な検討の検討体制を整理し、専門家等が検討を進めるとともに、内閣官房及び関係省庁等による「小型無人機に係る環境整備に向けた官民協議会」の場に報告し、引き続き論点整理を進める。

加えて、内閣官房及び重要インフラ所管省庁は、情報セキュリティを更に高めるため、安全等を維持する観点から必要に応じて、情報セキュリティ対策を関係法令等における保安規制として位置付けることや、機能保証の観点から適切な情報セキュリティ対策を実施できるようサービス維持レベルを関係法令等において具体化すること、人的要因によるリスク軽減の在り方の検討など、制度的枠組みを適切に改善する取組を継続的に進める。内閣官房は、重要インフラ事業者等における安全基準等の浸透状況等及び重要インフラ所管
省庁による安全基準等の改善状況を年度ごとに調査し、その結果を公表する。

- 78 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(2)サイバー犯罪への対策
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバー犯罪の実態把握、取締りの推進
・官民が連携したサイバー犯罪対策の推進
・サイバー空間における事後追跡可能性の確保に必要な取組の実施
項番

担当府省庁

2019 年度 年次計画(ア) 警察庁

警察庁及び都道府県警察において、教育機関、地方公共団体職員、インターネットの一般利用者等を対象として、情報セキュリティに関する意識・知識の向上、サイバー犯罪による被害の防止等を図るため、サイバー犯罪の現状や検挙事例、スマートフォン、IoT 機器等の電子機器や SNS 等の最新の情報技術を悪用した犯罪等の身近な脅威等について、ウェブサイトへの掲載、講演の全国的な実施等による広報啓発活動を実施する。さらに、関係省庁との連携によるスマートフォンに関する青少年に対する有害環境対策の徹底等、スマートフォンの安全利用のための環境整備に向けた取組を実施する。

(イ) 警察庁
総務省
経済産業省

警察庁、総務省及び経済産業省において、不正アクセス行為の禁止等に関する法律に基づき、不正アクセス
行為、フィッシング行為、他人の識別符号を不正に取得・保管する行為等の取締りを強化するとともに、事業者団体に対して、取締り等から得られた不正アクセス行為の手口に関する最新情報の提供や、不正アクセス行為の発生状況及びアクセス制御機能に関する研究開発の状況を公表すること等を通じ、不正アクセス行
為からの防御に関する啓発及び知識の普及を図るなど、官民連携した不正アクセス防止対策を更に推進する。

(ウ) 警察庁

警察庁において、サイバー防犯ボランティアの結成を促すとともに、効果的な活動事例の紹介を積極的に行うなど、活動の支援を強化することにより、安全で安心なインターネット空間の醸成に向けた取組を推進する。

(エ) 内閣府

個人情報保護委員会において、事業者団体、消費者団体、地方公共団体等が主催する研修会等への講師派遣等を通じて、個人情報保護法に関する周知・広報を実施する。また、個人情報保護法相談ダイヤルや事業者からの個別の相談への対応を通じて、個別事案に関する個人情報保護法の解釈に対応する。

(オ) 警察庁

警察庁において、警察大学校サイバーセキュリティ対策研究・研修センターについて、最新のサイバー空間
情勢に応じた授業項目の見直しを行うとともに、同センターを通じてサイバー犯罪・サイバー攻撃捜査に専従する高度な知識・技術を有する捜査員を始めとする全部門の捜査員を対象に、当該センターで実施した研究の成果を活用しつつ、実際の事案を想定した演習を多く取り入れるなど、サイバー空間における警察全体の対処能力の底上げに資する研修を実施する。

(カ) 警察庁

警察庁において、高度な情報通信技術を用いた犯罪に対処するため、情報技術の解析に関する資機材の整備・高度化、解析に関する高度な技術を身に付けた職員の育成、関係機関との連携、不正プログラムの解析等を推進する。また、警察大学校サイバーセキュリティ対策研究・研修センターを通じ、新たな電子機器や技術に係る解析手法の確立に向けた研究を推進する。

(キ) 法務省

法務省において、検察官及び検察事務官が、複雑・巧妙化するサイバー犯罪に適切に対処するため、捜査上必要とされる知識と機能を習得できる研修を全国規模で実施し、捜査能力の充実を図る。

(ク) 法務省

検察当局及び都道府県警察において、サイバー犯罪に適切に対処するとともに、サイバー犯罪に関する条約を締結するための「情報処理の高度化等に対処するための刑法等の一部を改正する法律」（サイバー刑法）の適正な運用を実施する。

(ケ) 総務省

総務省において、NICT を通じ、引き続き、能動的・網羅的なサイバー攻撃観測技術の開発に取り組むとともに、運用するサイバー攻撃観測網（NICTER）における観測・分析結果を NISC をはじめとする政府機関等への情報提供等を通じた連携強化を図る。

(コ) 経済産業省

経済産業省において、今後ますます高度化・複雑化が予想されるサイバー攻撃等の最新の手口や被害実態等の情報、また、ビッグデータ・ＡＩの実装が進展する第四次産業革命を背景に多様化する営業秘密の管理方
法等の情報を共有する場として、産業界及び関係省庁と連携して「営業秘密官民フォーラム」を開催するとともに、参加団体等に営業秘密に関するメールマガジン「営業秘密のツボ」を配信し、判例分析や逮捕情報等に関する情報共有を行う。

(サ) 警察庁

警察庁において、新たな手口の不正アクセスや不正プログラム（スマートフォン等を狙ったものを含む。）の悪用等急速に悪質巧妙化するサイバー犯罪の取締りを推進するために、改定した人材育成方針に従い、サイバー犯罪捜査に従事する全国の警察職員に対する部内研修及び民間企業への講義委託の積極的な実施、官民人事交流の推進、技術的に高度な民間資格の活用等、サイバー犯罪への対処態勢の強化を推進する。

(シ) 警察庁

警察庁において、サイバー空間の脅威に対処するため、日本版 NCFTA である一般財団法人日本サイバー犯罪対策センター（JC3）や、都道府県警察と関係事業者から成る各種協議会等を通じた産学官連携を促進するとともに、サイバーセキュリティに関する課題や対応策の調査等を推進する。

(ス) 経済産業省

経済産業省において、フィッシング対策協議会および JPCERT/CC を通じ、フィッシング詐欺被害の抑制のため、情報収集や情報提供を進める。国内については、フィッシング対策協議会の Web ページでの緊急情報の発信等を通じた一般向けの啓発活動を継続しつつ、同協議会の会員事業者との連携を強化し、国内のフィッシングの動向を分析しながら、事業者側で取るべき対策の検討を進める。海外案件は、国際的な取組をしている団体と連携し、事例、技術、対策等に関する情報収集を行う。

- 79 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(セ) 警察庁

警察庁において、公衆無線 LAN を悪用したサイバー犯罪に対する事後追跡可能性の確保に必要な対策が適切に講じられるよう、関係機関等と連携して必要な対応を行う。

(ソ) 警察庁
総務省

警察庁及び総務省において、安全・安心なサイバー空間を構築するため、通信履歴等に関するログの保存の在り方については、「電気通信事業における個人情報保護に関するガイドライン」の解説を踏まえ、関係事業者における適切な取組を推進するなど必要な対応を行う。

2.2

官民一体となった重要インフラの防護(1)行動計画に基づく主な取組
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・重要インフラ行動計画に基づく取組の推進及び同計画の見直し
・面としての防護の強化及び情報共有の促進・拡充
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房
金融庁
総務省
厚生労働省
経済産業省
国土交通省

内閣官房及び重要インフラ所管省庁等において、「重要インフラの情報セキュリティ対策に係る第４次行動計画」に基づき、安全基準等の整備及び浸透、情報共有体制の強化、障害対応体制の強化、リスクマネジメ
ント、防護基盤の強化の５つの施策を実施する。
「安全基準等の整備及び浸透」については、自然災害の多発やサイバーセキュリティ戦略の改定等、指針第５版とりまとめ後の環境変化等を踏まえた「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」の改定とそれに基づく、各分野の安全基準等の整備・浸透を促進する。
「情報共有体制の強化」については、共有情報の明確化や重要インフラサービス障害対応体制の構築・強化に資する情報を分野横断的に集約・分析し、関係主体と共有する仕組み等による官民・分野横断的な情報共有体制の強化を行う。
「障害対応体制の強化」については、官民が連携して行う演習等の実施、演習・訓練間の連携による重要イ
ンフラサービス障害対応体制の総合的な強化を行う。
「リスクマネジメント及び対処態勢の整備」については、リスク評価やコンティンジェンシープラン策定等の対処態勢の整備を含む包括的なマネジメントの支援を行う。
「防護基盤の強化」については、重要インフラに係る防護範囲の見直し、広報広聴活動、国際連携の推進、経営層への働きかけ、人材育成等を推進する。

(イ) 総務省

総務省において、重要インフラにおけるサービスの持続的な提供に向け、重要無線通信妨害事案の発生時の対応強化のため、申告受付の 24 時間体制を継続して実施するとともに、妨害原因の排除を迅速に実施する。
また、重要無線通信への妨害を未然に防ぐための周知啓発を実施するほか、必要な電波監視施設の整備、電波監視技術に関する調査・検討を実施する。

(ウ) 経済産業省

経済産業省において、安全・安心なクレジットカードの利用環境整備のため、クレジット取引セキュリティ対策協議会が策定した「クレジットカード取引におけるセキュリティ対策の強化に向けた実行計画」に基づき、関係事業者等の取組を更に推進する。

(エ) 厚生労働省

厚生労働省において、保険医療情報を医療機関で確認できる仕組みを推進していく中で、当該仕組みにおけるセキュリティ対策強化について、必要な実証等を行う。

(オ) 厚生労働省

厚生労働省において、医師等の医療従事者が資格を証明できる電子証明書である保健医療福祉分野電子証明書（HPKI）の活用・普及について引き続き推進していく。

(カ) 厚生労働省

厚生労働省において、医療機器の安全性を担う医療機器製造販売業者、組織としての対策を行う医療機関、
脆弱性や攻撃の分析を行うセキュリティ機関、自治体等と連携・協調して対応する。

(キ) 経済産業省

経済産業省の有識者が参画する専門の研究会（電力サブワーキンググループ）において、新たなサイバーセ
キュリティリスクについても考慮しながら、電力分野において中長期的視点から対応すべき事項について議論を行う。

(ク) 内閣官房

内閣官房において、引き続き、重要インフラ所管省庁の協力の下、第４次行動計画に基づく施策を中小事業者へ拡大すると共に、社会的情勢も踏まえ、継続的に重要インフラに係る防護範囲の見直しに取り組む。

(ケ) 総務省

総務省において、NICT を通じ、標的型攻撃に関する情報の収集・分析能力の向上に向け、官公庁・大企業のLAN 環境を模擬した実証環境（STARDUST）を用いて標的型攻撃の解析を実施し、関係機関との情報共有を行う。また、「ICT-ISAC」が中心となって実施している、サイバー攻撃に関する情報を収集・分析・共有するための基盤となるプラットフォームの高度化を図り、関係事業者等での情報共有の取組を強化する。

- 80 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(コ) 内閣官房

内閣官房において、情報セキュリティ関係機関等と協力関係を構築・強化していくと共に、引き続き、得られた情報を適切に重要インフラ事業者等に情報提供する。また、情報セキュリティ関係機関を情報共有体制のメインプレーヤの一つとして活用していくことについて、具体的な検討を継続的に行う。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より①リスクマネジメントの推進
・リスクマネジメントの活動全体が継続的かつ有効に機能することに資する取組の推進
項番

担当府省庁

(サ) 内閣官房

2019 年度 年次計画
内閣官房において、引き続き、重要インフラサービスを安全かつ持続的に提供できるよう、重要インフラサービス障害の発生を可能な限り減らすとともに、迅速な復旧が可能となるよう、情報セキュリティ対策に関する取組を推進する。
また、2020 年東京オリンピック・パラリンピック競技大会に関係する重要なサービスについても、安全かつ持続的に提供できるよう、この取組を継続して推進する。
・重要インフラ事業者等における平時のリスクアセスメントに対し、「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書」に基づくリスクアセスメントの実施（継続的な見直しを含む）の浸透に向けた取組を行う。
・重要インフラ事業者等の事業継続計画及びコンティンジェンシープランに対し、盛り込まれるべき「サイバー攻撃リスクの特性並びに対応及び対策の考慮事項」の浸透に向けた取組を行う。

(シ) 金融庁

金融庁において、大規模な金融機関に対して、そのサイバーセキュリティ対応能力をもう一段引き上げるため、「脅威ベースのペネトレーションテスト（金融機関に対する脅威動向の分析を踏まえて作成した攻撃シ
ナリオに基づく実践的な侵入テスト）」等、より高度な評価手法の活用を促していく。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より②安全基準等の改善・浸透・安全基準等を改善する取組の継続的な推進・安全等を維持する観点を踏まえた制度的枠組みの適切な改善
項番

担当府省庁

2019 年度 年次計画(ス) 内閣官房
金融庁
総務省
厚生労働省
経済産業省
国土交通省

重要インフラ所管省庁及び重要インフラ事業者等は、重要インフラ全体の防護能力の維持・向上を目的とし、各重要インフラ事業者等の対策の経験から得た知見等をもとに、国際海底ケーブル等の情報インフラ設備の物理的セキュリティや機器の特性（使用期間等）も考慮しつつ、継続的に安全基準等を改善する。
加えて、内閣官房及び重要インフラ所管省庁は、情報セキュリティを更に高めるため、安全等を維持する観点から必要に応じて、情報セキュリティ対策を関係法令等における保安規制として位置付けることや、機能保証の観点から適切な情報セキュリティ対策を実施できるようサービス維持レベルを関係法令等において具体化すること、人的要因によるリスク軽減の在り方の検討など、制度的枠組みを適切に改善する取組を継続的に進める。内閣官房は、重要インフラ事業者等における安全基準等の浸透状況等及び重要インフラ所管
省庁による安全基準等の改善状況を年度ごとに調査し、その結果を公表する。（再掲）(セ) 総務省

総務省において、ネットワーク IP 化の進展に対応して、ICT サービスのより安定的な提供を図るため、電気通信に関する事故の発生状況等の分析・評価等を行い、その結果を公表する。また、事故再発防止のため、「情報通信ネットワーク安全・信頼性基準」等の見直しの必要性について検討する。

(ソ) 総務省
経済産業
内閣官房

・総務省及び経済産業省において、官民双方が一層安心・安全にクラウドサービスを採用し、継続的に利用していくため「クラウドサービスの安全性評価に関する検討会」について、2020 年秋の全政府機関等での安全性評価制度の利用開始とその後の重要産業分野等への評価結果の活用の推奨に向け、2019 年度中に制度の実証ととりまとめを行う。
・内閣官房において、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」に、「データ管理の在り方」を追加する改定を行う。

(タ) 厚生労働省

厚生労働省において、「医療情報システムの安全管理に関するガイドライン」（第５版）の分かりやすい資料を公開することで普及に取り組む。

(チ) 厚生労働省

厚生労働省において、2019 年度より３年間の予定で医療機関における医療機器のサイバーセキュリティに係る課題抽出等に関する研究を実施することとしており、これにより医療機関及び製造販売業者における、国内外における医療機器のサイバーセキュリティ対応状況を調査し、モデルケースにおける課題の分析、ベス
トプラクティス事例等のまとめを行い、医療機器のサイバーセキュリティ対策においてより具体的な対応策を検討する。

- 81 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より③深刻度評価基準
・サイバー攻撃による重要インフラサービス障害等に係る深刻度評価基準の策定
項番

担当府省庁

(ツ) 内閣官房

2019 年度 年次計画
内閣官房において、重要インフラ所管省庁の協力の下、第４次行動計画に従い、情報共有体制の強化について次のとおり検討を進める。
・連絡形態の多様化（連絡元の匿名化、セプター事務局・情報セキュリティ関係機関経由）による情報共有の障壁の排除、及び分野横断的な情報を内閣官房に集約する仕組みの検討を進める。
・効果的かつ迅速な情報共有に資するため、情報共有体制構築に係る検討を行う。
・発生したサービス障害を深刻度評価基準に適用し、検証・評価を行う。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より④官民の枠を超えた訓練・演習の実施
・官民の枠を超えた様々な規模の主体間での訓練・演習の実施
項番

担当府省庁

(テ) 内閣官房
総務省
経済産業省
金融庁

2019 年度 年次計画
情報共有体制その他の重要インフラ防護体制を実効性のあるものにするため、官民の枠を超えた関係者間での演習・訓練を次のとおり実施する。
・内閣官房において、重要インフラ事業者等の障害対応能力の向上を図るため、重要インフラ分野や所管省庁等が横断的に参加する演習を実施する。
・総務省において、NICT の「ナショナルサイバートレーニングセンター」を通じ、重要インフラ事業者におけるサイバー攻撃への対処能力の向上を図るための実践的サイバー防御演習（CYDER）を実施する。
・経済産業省において、IPA に立ち上げた「産業サイバーセキュリティセンター」において、これまでの２年間の実施経験や受講生のアンケート結果を踏まえ、更なるカリキュラムの見直しを行った上で、ITと OT 双方のスキルを核とした上でビジネススキルやマネジメントスキル・リーダーシップをバランスよく兼ね備えた、我が国の重要インフラ等におけるサイバーセキュリティ対策の中核を担う人材の育成に取り組む。
・金融庁において、参加金融機関および金融業界全体のセキュリティレベルの底上げを図るため、対象業態の拡充や 2020 年東京大会の開催を踏まえたシナリオを策定し、より実効性の高い金融業界横断的なサイバーセキュリティ演習を引き続き実施する。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より⑤制御系システムのセキュリティ対策
・制御系システムの特性を踏まえたセキュリティ対策の実施
・制御系システムに関する人材育成及び脅威情報の収集・分析・展開等の推進
項番

担当府省庁

2019 年度 年次計画(ト) 経済産業省

経済産業省において、JPCERT/CC を通じて、インターネット上の公開情報を分析し、国内の制御システム等
で外部から悪用されてしまう危険性のあるシステムの脆弱性や設定の状況について、その保有組織に対して情報を提供するとともに、対象システム調査や情報提供の効率化を検討し、通知件数の増加を目指す。

(ナ) 経済産業省

経済産業省において、制御システムの脅威分析、リスク評価を行う技術開発をビルシステムの共通項以外にも拡大して行う。またこれらの技術を実際の環境に適用できる枠組み整備に向けた検討を行う。

(ニ) 内閣官房

内閣官房において、我が国で使用される制御系機器・システムに関する脆弱性情報やサイバー攻撃情報などの有益な情報について収集・分析・展開していく。また、どのような情報が事業者等にとって有益なのかヒ
アリング等により調査し、情報共有がより効果的なものとなるよう検討を行う。

(ヌ) 経済産業省

経済産業省において、サイバー・フィジカル・セキュリティ対策フレームワーク及び海外におけるルール化の動向も踏まえて、重要産業分野を中心に産業分野毎のサプライチェーンの構造や守るべきもの、脅威の差異を考慮した、産業分野別の具体的な対策指針を策定する。

- 82 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(2)地方公共団体のセキュリティ強化・充実
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・サービス障害や人為的ミスによるマイナンバーを含む情報漏えいへの対策
・セキュリティポリシーに関するガイドラインの更新
・業務用ネットワークのセキュリティレベルの確保
・セキュリティ人材の確保・育成及び体制の充実を支援する取組の推進
・官民の認証連携に関する環境整備
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房
総務省

内閣官房及び総務省において、引き続き、サイバーセキュリティ基本法等に基づいて、地方公共団体に対する情報の提供など、地方公共団体におけるサイバーセキュリティの確保のために必要とされる協力を行う。

(イ) 総務省

総務省において、関係機関と協力の上、地方公共団体職員が情報セキュリティ対策について習得することを支援するため、情報セキュリティ監査セミナー、情報セキュリティマネジメントセミナーを集合研修で、その他情報セキュリティ関連研修を e ラーニングで実施する。

(ウ) 総務省

総務省において、関係機関と協力の上、情報セキュリティ対策の取組事例の収集、情報セキュリティ事故情報の収集・分析の充実を図り、総合行政ネットワーク（LGWAN）内のポータルサイトに、情報セキュリティに関する解説等を提供するなど、その運営を支援し、更なる利用を促進する。また、地方公共団体の外郭団体での情報セキュリティインシデントも発生していることから、LGWAN メール以外の媒体(インターネットメー
ル)により情報提供を行う外郭団体数の増加を図る。

(エ) 総務省

総務省において、関係機関と協力の上、サーバやネットワーク機器等における脆弱性診断を地方公共団体自らが実施できるよう支援する。地方公共団体の緊急時対応訓練の支援及び CSIRT の連携組織である「自治体CSIRT 協議会」の運営を支援することにより、地方公共団体のインシデント即応体制の強化を図る。

(オ) 内閣官房
内閣府
総務省

内閣官房及び総務省において、総合行政ネットワーク（LGWAN）に設けた集中的にセキュリティ監視を行う機能（LGWAN-SOC)などにより、GSOC との情報連携を通じた、国・地方全体を俯瞰した監視・検知を行う。また、総務省において、地方公共団体のセキュリティ強化対策を推進するため、情報システムの強靱性の向上や自治体情報セキュリティクラウドの状況に係るフォローアップを実施するとともに、関係機関と協力の上、地方公共団体のセキュリティ確保に資するため、引き続き、「自治体情報セキュリティ向上プラットフォーム」
を活用し、地方公共団体の LGWAN 端末に OS やウイルス対策ソフトの更新情報を提供していく。さらに、情報連携に利用する情報提供ネットワークシステムについて、インターネットと分離する、セキュリティ分析・
早期インシデント検知を行う等の対策を講じており、引き続き高いセキュリティ確保をすべく、適切な管理・監督・支援等を行う。加えて、個人情報保護委員会において、関係省庁等と連携しつつ、特定個人情報の適正な取扱いに関するガイドラインの遵守、特定個人情報に係るセキュリティの確保を図るため、専門的・技術的知見を有する体制を拡充するとともに、監視・監督機能を強化し、情報提供ネットワークシステムに係る監視を適切に行う。

(カ) 総務省

総務省において、NICT の「ナショナルサイバートレーニングセンター」を通じ、受講実績の少ない地方公共団体の受講機会拡大を図るため、開催方法等の工夫を行った上で、地方公共団体におけるサイバー攻撃への対処能力の向上を図るための実践的サイバー防御演習（CYDER）を実施する。

(キ) 内閣官房
内閣府

内閣府において、2017 年 11 月に本格運用を開始したマイナポータルを活用し、官民の認証連携及びデータ連携をより一層推進していく。

(ク) 厚生労働省

厚生労働省において、マイナンバーカードの健康保険証としての活用について、医療保険制度の適正かつ効率的な運営を図るための健康保険法等の一部を改正する法律案を踏まえ、2020 年度の導入を目指して必要な準備を進めていく。

2.3

政府機関等におけるセキュリティ強化・充実(1)情報システムのセキュリティ対策の高度化・可視化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・対処能力の向上に加え、新たな防御技術を活用したより効果的な取組
・情報システムの防御能力の向上と状態の把握
・政府機関等における横断的な連携の高度化による被害の発生・拡大の防止
項番

担当府省庁

(ア) 内閣官房

2019 年度 年次計画
内閣官房において、政府機関等における情報システムのセキュリティ対策の進捗状況を把握するとともに、取組の促進に向けて必要な支援を行う。また、政府機関等全体としての情報セキュリティ水準の維持・向上を図るべく、次期統一基準群改定に係るコンセプトについて検討を行う。

- 83 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(イ) 内閣官房

内閣官房において、政府機関等の情報システムの調達におけるセキュリティ・バイ・デザインを推進するた
め、NISC が公表している関連のマニュアルについて、近年のサイバー攻撃や脅威の動向、政府機関等における情報システムの調達状況を踏まえた対策内容の見直しを行う。

(ウ) 経済産業省

経済産業省において、政府調達等におけるセキュリティの確保に資するため、IPA を通じ、「IT 製品の調達におけるセキュリティ要件リスト」の記載内容（製品分野、製品に対する脅威、脅威に対する要件としてのプロテクション・プロファイルなど）の見直しを必要に応じて行うとともに、政府機関の調達担当者等に対し、最新のプロテクション・プロファイル（翻訳版）を含む情報の提供や普及啓発を行う。

(エ) 経済産業省

経済産業省において、IPA を通じ、国際共通に政府調達等における情報セキュリティの確保に資するため、引き続き CCRA の会合などに積極的に参加するとともに、我が国に有益となるＨＣＤ（複合機）等の国際共通
プロテクション・プロファイル（PP）の開発を推進する。

(オ) 経済産業省

経済産業省において、IPA を通じ、JISEC（IT セキュリティ評価及び認証制度）の利用者の視点に立った評
価・認証手続の改善、積極的な広報活動等を実施するとともに、調達関係者に対する広報活動や勉強会、ヒ
アリングを実施し、必要に応じて手順や新たな IT 製品への対応等の見直しを実施する。また、安全な IT 製
品調達という観点から、政府機関や独立行政法人にとどまらず、地方自治体とも連携を深め、本制度の活用を促す。

(カ) 経済産業省

経済産業省において、安全性の高い暗号モジュールの政府機関における利用を推進するため IPA の運用する暗号モジュール試験及び認証制度（JCMVP）の普及を図るとともに、IPA が運用する「IT セキュリティ評価及び認証制度」(JISEC)との連携を含め、さらなる普及のための方策を検討する。

(キ) 内閣官房

内閣官房において、政府関係機関情報セキュリティ横断監視・即応調整チーム（GSOC）により、政府機関の情報システムに対するサイバー攻撃等に関する情報を 24 時間 365 日収集・分析し、政府機関等に対する新
たなサイバー攻撃の傾向や情勢等について、分析結果を政府機関等に対して適宜提供する。また、IPA の実
施する独立行政法人等に係る監視業務の監督を行うとともに、監視に係る能力や機能の向上の観点から、攻撃情報や監視手法の共有などを行い連携を図る。

(ク) 内閣官房

内閣官房において、情報セキュリティに関する動向等を踏まえ、府省庁全体として分析・評価及び課題の把握、改善等が必要と考えられる公開された脆弱性等への対応やサイバー攻撃に係る対策等の項目について調査を実施する。調査結果は、マネジメント監査により確認された課題等と併せて、統一基準群を始めとした
規程への反映や改善に向けた取組に活用する。

(ケ) 内閣官房

内閣官房において、「高度サイバー攻撃対処のためのリスク評価等のガイドライン」に基づき、政府機関等のリスク評価を通じて、標的型攻撃に対する多重防御の仕組みの実現に向けた取組を引き続き推進する。

(コ) 内閣官房

内閣官房において、大規模サイバー攻撃や大規模災害発生時における、情報システムを用いる業務についての復旧対策を強化するため、前年度の調査結果に基づいた具体的施策を検討し、実施する。

(サ) 総務省
経済産業省

総務省及び経済産業省において、CRYPTREC 暗号リストに掲載された暗号技術の監視、安全性及び信頼性の確保のための調査、研究、基準の作成等を行う。また、社会ニーズを見据え、暗号を安全に利活用するための取組などについて検討する。さらに、NICT 及び IPA を通じ、暗号技術の安全性に係る監視及び評価、新世代
暗号に係る調査、暗号技術の安全な利用方法に関する調査、暗号の普及促進、暗号政策の中長期的視点からの取組の検討を実施するため、暗号技術評価委員会及び暗号技術活用委員会を開催する。
加えて、量子コンピュータや新たな暗号技術の動向等を踏まえ、我が国の暗号の在り方と課題についての議論や、次期 CRYPTREC 暗号リストが満たすべき条件の整理を進める。

(シ) 厚生労働省

厚生労働省において、社会保険診療報酬支払基金について、内閣官房等と緊密に連携し、監査等を通じて、当該法人のセキュリティ対策の更なる強化に取り組む。

(ス) 内閣官房

内閣官房において、2018 年 12 月に決定された、特に防護すべきシステムとその調達手続に関する「申合せ」に基づき、国家安全保障及び治安関係の業務を行うシステム等、より一層サプライチェーン・リスクに対応することが必要であると判断され、総合評価落札方式等、価格面のみならず、総合的な評価を行う契約方式を採用された各府省庁の調達案件に対し、助言を行う。

(セ) 内閣官房

内閣官房において、2020 年東京オリンピック・パラリンピック競技大会とその後を見据えて、IPA の実施する独立行政法人等に係る監視業務も含めて、インシデント発生前及び発生時の情報提供の迅速化・高速化に資する GSOC システムの検知・解析機能を始めとした機能強化等を図るなど、政府機関等における端末等での新たな監視手法等の導入状況も踏まえつつ、政府機関等と次期 GSOC における効果的かつ効率的な連携を推進する。

- 84 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(2)クラウド化の推進等による効果的なセキュリティ対策
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・政府プライベート・クラウドとしての政府共通プラットフォームへの移行を含むクラウド化の推進
・信頼できるクラウドの利用を促進する方策の検討
・政府機関のインターネット接続口の適切な集約の推進とともに、境界監視ポイントの集約の検討
項番

担当府省庁

(ア) 内閣官房
総務省

2019 年度 年次計画
政府機関のクラウド化を推進する観点から、以下の取組を行う。
・内閣官房において、引き続き、政府機関におけるクラウドサービスの利用状況を適宜調査し、課題等の把握に努める。
・総務省において、政府共通プラットフォーム第二期整備計画に基づき、IT リソースの柔軟性やコスト低減等を目的として、新たな政府のプライベート・クラウドとしての第二期政府共通プラットフォームの整備に向けた作業を推進する。

(イ) 総務省
経済産業省

総務省及び経済産業省において、官民双方が一層安心・安全にクラウドサービスを採用し、継続的に利用していくため「クラウドサービスの安全性評価に関する検討会」について、2020 年秋の全政府機関等での安全性評価制度の利用開始に向け、2019 年度中に制度の実証ととりまとめを行う。

(ウ) 内閣官房
総務省

内閣官房及び総務省において、政府機関のインターネット接続口の集約を推進し、GSOC による境界監視の効率化を引き続き検討する。

(3)先端技術の活用による先取り対応への挑戦
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・新しい設計思想の下で誕生した情報技術の活用の可能性の検討
項番

担当府省庁

(ア) 内閣官房

2019 年度 年次計画
内閣官房において、近年普及してきた情報システムの基盤の中でサイバー攻撃による高い耐性を有するものについて、2018 年度において作成した調査内容に基づき業務利用の可能性等に関する検討を行う。

(4)監査を通じたサイバーセキュリティの水準の向上
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・組織横断的な分析により抽出される傾向や課題を踏まえたサイバーセキュリティ水準向上の促進
・IT 資産管理情報を活用した効果的かつ効率的な監査の実施
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、政府機関における統一基準群等に基づく施策の取組状況について、前回までの監査の結果を踏まえ、情報セキュリティ対策とその維持改善するための体制の整備及び運用状況に係る現状を把握し、引き続き国の行政機関に対して改善のために必要な助言等を行う。なお、これまでに行った監査の結果に対する改善計画については、フォローアップを実施する。

(イ) 内閣官房

内閣官房において、国の行政機関の情報システムにおけるセキュリティ対策の点検・改善を行うため、自衛隊が有する知識・経験を活用しつつ、攻撃者が実際に行う手法を用いた侵入検査（ペネトレーションテスト）
を引き続き実施し、問題点の改善に向けた助言等を行う。また、侵入検査を実施した国の行政機関について
は、フォローアップを実施する。

(ウ) 内閣官房

内閣官房において、独立行政法人等における統一基準群等に基づく施策の取組状況について、IPA との連携等により、情報セキュリティ対策とその維持改善するための体制の整備及び運用状況に係る現状を把握し、引き続き独立行政法人等に対して改善のために必要な助言等を行う。なお、これまでに行った監査の結果に対する改善計画については、フォローアップを実施する。

(エ) 内閣官房

内閣官房において、独立行政法人等の情報システムにおけるセキュリティ対策の点検・改善を行うため、攻撃者が実際に行う手法を用いた侵入検査（ペネトレーションテスト）を、IPA との連携等により引き続き実施し、問題点の改善に向けた助言等を行う。侵入検査を実施した法人については、フォローアップを実施する。また、独立行政法人等における情報セキュリティ対策の実施状況を明らかにし、その結果を踏まえ、所管する府省庁と協力しセキュリティ対策の強化を図る。

- 85 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(5)組織的な対応能力の充実
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・事案対応を行うチームを中心に事案対応能力や情報セキュリティに係る知識の向上
・情報セキュリティ緊急支援チームの要員の対処能力の向上
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、サイバーセキュリティ基本法に基づく重大インシデント等に係る原因究明調査等をより適切に実施するため、民間事業者の知見を活用するなどして、デジタルフォレンジック調査に当たる職員の技術力の向上に取り組む。

(イ) 内閣官房

内閣官房において、サイバー攻撃への対処に関する政府機関全体としての体制を強化するため、政府機関等のインシデント対処に関わる要員による情報共有及び連携の促進に資するコミュニティを維持すると共に、より連携を強化するための新たな取組を検討する。

(ウ) 内閣官房

内閣官房において、引き続き、府省庁及び独立行政法人等を対象に、2018 年度に改定した政府統一基準群の解説、マネジメント監査等の実施結果から得られた課題並びに昨今のサイバーセキュリティの動向等に応じたテーマによる勉強会等を開催する。また、人事院と協力し、政府職員の採用時の合同研修にサイバーセキ
ュリティに関する事項を盛り込むことによる教育機会の付与に取り組む。

(エ) 内閣官房
総務省

政府機関におけるサイバー攻撃に係る対処要員の能力及び連携の強化を図るため、以下の訓練及び演習を実施する。
・内閣官房において、各府省庁におけるインシデント対処に関わる要員を対象として、最高情報セキュリ
ティ責任者及びサイバーセキュリティ・情報化審議官等をはじめとした幹部による指揮の下での組織的かつ適切な対処の実現を目指し、これまでの訓練及び監査並びに調査等により明らかになった課題や近年のサイバーセキュリティ動向等を踏まえた訓練及び演習を実施する。
・内閣官房において、各府省庁及び独立行政法人等におけるインシデント対処に関わる要員を対象とした研修を、年間を通じて複数回実施する。
・内閣官房において、政府一体となった対応が必要となる情報セキュリティインシデントに対応できる人
材を養成・維持するため、情報セキュリティ緊急支援チーム（CYMAT）要員等に対する研修と実習等を実施するとともに、CYMAT における対処能力の向上に関する情報収集に取り組む。
・内閣官房において、政府機関等のサイバー攻撃対処能力の更なる向上に向けた推進方策を検討する。
・総務省において、NICT の「ナショナルサイバートレーニングセンター」を通じ、国の行政機関における
サイバー攻撃への対処能力の向上を図るための実践的サイバー防御演習（CYDER）を実施する。

2.4

大学等における安全・安心な教育・研究環境の確保(1)大学等の多様性を踏まえた対策の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・大学等における計画等に基づく自律的かつ組織的な取組の促進
・サイバーセキュリティに関するガイドライン等の策定と普及・各層別研修及び実践的な訓練や演習の実施
・事案発生時の初動対応への支援
項番

担当府省庁

2019 年度 年次計画(ア) 文部科学省

文部科学省において、大学等の多様性を踏まえ、大学等が自律的かつ組織的に取り組むべきサイバーセキュ
リティ対策について検討を行い、大学等の取組を促進するとともに、当該対策の推進に資するガイドライン
等について検討する。また、国立情報学研究所（NII）において、政府統一基準に準拠したセキュリティポリ
シーおよびそのためのセキュリティ対策を実現するため、「高等教育機関の情報セキュリティ対策のためのサンプル規程集」を改訂する。

(イ) 文部科学省

文部科学省において、大学等におけるリスクマネジメントや事案対応に資する各層別研修及び実践的な訓練・演習を実施する。

(ウ) 文部科学省

文部科学省において、外部のセキュリティ機関等と連携し、大学等で発生した事案の初動対応や対処後の事
案検証等において必要な支援を行う体制の整備を引き続き進める。

- 86 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(2)大学等の連携協力による取組の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバー攻撃への監視能力の機能維持・強化
・戦略マネジメント層の育成に向けた共同研究や技術職員への研修の実施
・サイバー攻撃に関する情報や共通課題事案対応の知見等を共有するための取組への支援
項番

担当府省庁

2019 年度 年次計画(ア) 文部科学省

国立情報学研究所（NII）において、国立大学法人等のインシデント対応体制を高度化するために、国立大学法人等へのサイバー攻撃の情報提供を引き続き実施するとともに、国立大学法人等の要望を踏まえて、情報
セキュリティ担当者向けの研修を充実させる。

(イ) 文部科学省

国立情報学研究所（NII）において、サイバー攻撃耐性を向上させるため、国立大学法人等において、M2M を含み学術評価に適したデータを実環境から継続的に収集、匿名処理し、研究データを作成、共有することで、更なるデータ解析技術の開発に資する。

(ウ) 文部科学省

文部科学省において、サイバー攻撃に関する情報や共通課題、事案対応の知見等を共有するための取組をより一層支援する。

2.5

2020 年東京大会とその後を見据えた取組(1)2020 年東京大会に向けた態勢の整備
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・「セキュリティ幹事会」で決定された基本戦略に基づく取組の推進
・大会の安全に関する情報の集約等の取組の推進
・リスク評価及び明らかになったリスクへの対策の促進
・「サイバーセキュリティ対処調整センター」の構築の推進と連絡調整態勢の整備
項番

担当府省庁

(ア) 内閣官房

2019 年度 年次計画
内閣官房において、引き続き、リスクマネジメントの促進と対処態勢の整備・運用を推進する。
・「リスクマネジメントの促進」については、NISC が作成した手順に基づくリスクアセスメントの取組及び横断的リスク評価の取組を繰り返し実施し、事業者等にて明らかになったリスクへの対策を促進する。
・「対処態勢の整備・運用」については、サイバーセキュリティ対処調整センターの運用及び大会に向けた演習・訓練等を実施するとともに、G20（金融・世界経済に関する首脳会合）、ラグビーワールドカ
ップ 2019 等において、サイバーセキュリティ対処調整センター及び情報共有システムを運用し、運用態勢の確認、改善を実施する。

(イ) 警察庁

警察庁に構築したセキュリティ情報センターにおいて、国の関係機関等の協力を得て、サイバーセキュリテ
ィに係るものを含む 2020 年東京オリンピック・パラリンピック競技大会の安全に関する情報集約を一層推進するとともに、大会の安全に対する脅威及びリスクの分析、評価を引き続き行い、国の関係機関等に対し必要な情報を随時提供する。

(2)未来につながる成果の継承
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・2020 年東京大会の態勢整備のための各種施策の継続推進
・整備した仕組み、運用経験及びノウハウの活用
・「サイバーセキュリティ対処調整センター」のナショナル CSIRT としての活用
・「リスクアセスメント」の手法の全国の事業者等への適用とそのための整備・普及
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、2020 年東京大会に向けた態勢の整備等を最優先に推進するとともに、整備した仕組み、
その運用経験及びノウハウをレガシーとするため、有効な点、反省点を整理して、大会後に適切に評価できるような工夫及びレガシーとするにあたっての課題について検討を実施する。

(イ) 警察庁
法務省

警察庁及び都道府県警察において、2020 年東京大会その他の大規模国際イベントを見据えたサイバー攻撃対策を推進するとともに、態勢の運用を通じて得た情報収集・分析、管理者対策、事案対処等に関する教訓やノウハウの効果的活用を推進する。また、法務省（公安調査庁）において、人的情報収集・分析を行うとともに、その過程で得られた教訓やノウハウについて、庁内での周知及び活用を推進する。

(ウ) 総務省

総務省において、NICT の「ナショナルサイバートレーニングセンター」を通じ、2020 年東京オリンピック・
パラリンピック競技大会の大会関連組織のセキュリティ担当者のサイバー攻撃への対処能力の向上を図る
ための実践的サイバー演習である「サイバーコロッセオ」を、更なる内容の充実と受講機会の拡大を図りつつ実施する。

- 87 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現

2.6

従来の枠を超えた情報共有・連携体制の構築
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・ISAC を含む既存の情報共有の推進
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、情報セキュリティ関係機関等と協力関係を構築・強化していくと共に、引き続き、得られた情報を適切に重要インフラ事業者等に情報提供する。また、情報セキュリティ関係機関を情報共有体制のメインプレーヤの一つとして活用していくことについて、具体的な検討を継続的に行う。（再掲）(イ) 経済産業省

経済産業省において、最新の脅威情報やインシデント情報等の共有のため IPA を通じ実施している「サイバー情報共有イニシアティブ」（J-CSIP）の運用を着実に継続し、より有効な活動に発展させるよう参加組織の拡大、共有情報の充実等、民民、官民における一層の情報共有網の拡充を進める。

(ウ) 総務省

総務省において、ISP 事業者や ICT ベンダー等を中心に構成されている「ICT-ISAC」を核として、国際連携を含めてサイバー攻撃に関する情報共有網の拡充を引き続き推進する。

(エ) 国土交通省

国土交通省において、重要インフラ事業者（航空、空港、鉄道、物流）が情報共有・分析及び対策を連携して行う体制である「交通 ISAC」（仮称）について、事業者の情報共有を支援するとともに、事業者が参加する検討会を開催し、2020 年度の本格運用に向けて、運営形態等を検討・議論する。

(オ) 金融庁

金融庁において、金融機関に対し、「金融 ISAC」を含む情報共有機関等を通じた情報共有網の拡充を進める。

(カ) 厚生労働省

厚生労働省において、医療分野及び水道分野における ISAC 等のサイバーセキュリティ対策に関する情報共有のあり方について引き続き検討を行う。

(キ) 経済産業省

経済産業省において、クレジットカード会社に対し、JPCERT/CC、金融 ISAC 等の情報共有機関等を通じた情報共有網の維持・強化を進める。

(ク) 経済産業省

経済産業省において、2019 年度以降、自動車業界の「J-Auto-ISAC」等の情報共有機関等に対して、サプラ
イヤー等の参加を促し、同機関等を通じた情報共有網の更なる拡充を進める。

(ケ) 経済産業省

経済産業省において、重要インフラ事業者等において対策が必要となる可能性のある脅威情報及びその対策に関する情報を、事前の合意に基づき、早期警戒情報として、JPCERT/CC から重要インフラ事業者等へ提供するとともに、制御システムに対する脅威情報や対策に関する情報への注目の高まりを鑑み、JPCERT/CC にて情報の収集と制御システムの関係者へ情報提供する。

(コ) 警察庁

警察庁において、サイバー空間の脅威に対処するため、捜査で得た手口の情報等を活かし、一般財団法人日本サイバー犯罪対策センター（JC3）を通じた産学官連携した取組を進める。

(1)多様な主体の情報共有・連携の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・情報共有に十分な知見を有する専門機関を含む官民の多様な参加主体が、安心して相互に情報共有を図るための体制の構築
・官民、業界、国内外といった枠を超えた情報共有・連携の推進
・既存の情報共有体制についての連携や統合の検討
項番

担当府省庁

(ア) 内閣官房

2019 年度 年次計画
2019 年４月に組織されたサイバーセキュリティ協議会について、その実際の運用の経験や各主体の意見を丁寧に踏まえ、必要に応じて運用ルールやシステムを不断に見直しつつ、より多くの主体が参加する重厚な体制の構築を目指していく。

- 88 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
2 国民が安全で安心して暮らせる社会の実現(2) 情報共有・連携の新たな段階へ
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・積極的に情報提供に協力する者ほど恩恵を享受できる仕組みの検討
・情報処理の自動化の推進
・参加主体が従来の枠を超えて共存・発展する関係構築に向けた環境整備の推進
項番

担当府省庁

(ア) 内閣官房

2.7

2019 年度 年次計画
2019 年４月に組織されたサイバーセキュリティ協議会において、国も率先して自ら保有する情報を適切に提供していく。加えて、協議会の実際の運用の経験や各主体の意見を丁寧に踏まえ、必要に応じて運用ルール
やシステムを不断に見直しつつ、例えばリコールの要因となる情報等、国民の生命・身体を保護するため不可欠な情報を含め、より多様かつ重要な情報が迅速かつ確実に共有される重厚な体制の構築を目指していく。

大規模サイバー攻撃事態等への対処態勢の強化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より

・サイバー空間と実空間の双方の危機管理に臨むための大規模サイバー攻撃事態等への対処態勢の強化
・サイバー空間における情報収集・分析機能及び緊急対処能力の向上
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、2020 年東京大会を見据え、国民の生命等に重大な被害が生じ、若しくは生じるおそれのあるサイバー攻撃事態又はその可能性のある事態（大規模サイバー攻撃事態等）発生時における政府の初動対処態勢の整備及び対処要員の能力の強化を図るため、関係府省庁、重要インフラ事業者等と連携した初動対処訓練を実施する。

(イ) 内閣官房

内閣官房において、大規模なサイバー攻撃等発生時における初動対処（情報集約・共有・発信）が的確に行われるよう、必要な対処態勢の整備や能力向上を図る。

(ウ) 警察庁

警察庁及び都道府県警察において以下の取組を推進することにより、サイバー攻撃対処態勢の強化を推進する。
・都道府県警察において、安全確保等に係る実空間の対処も考慮しつつ、サイバー攻撃の発生を想定した
重要インフラ事業者等との共同対処訓練を計画及び実施することにより、サイバー攻撃に対する危機意
識の醸成を図り、官民一体となって対処態勢の強化を推進する。
・警察庁において、外国治安情報機関等との情報交換や民間の知見の活用等を推進するとともに、都道府県警察において、官民連携の枠組みを通じた情報共有等を推進し、サイバー攻撃に関する情報収集を強化する。
・警察庁及び都道府県警察において、分析官等の育成を進めるとともに、捜査等を通じて得たサイバー攻撃に関する情報の集約及び整理を推進し、サイバー攻撃に関する分析能力の強化を推進する。
・警察庁において、都道府県警察のサイバー攻撃対策担当者を対象に、大規模産業型制御システムに関するサイバー攻撃対策に係る訓練を実施する。
・大規模産業型制御システム模擬装置を活用して、制御システムに対するサイバー攻撃手法及びその対策
手法について検証を推進する。
・警察庁において、サイバー空間の脅威への危機管理に臨むため、サイバー空間に関する観測機能の強化、
サイバー攻撃の実態解明に必要不可欠な不正プログラムの解析等に取り組むことで、サイバーフォース
センターの技術力の向上等を図る。

(エ) 経済産業省

経済産業省において、重要インフラ事業者等において対策が必要となる可能性のある脅威情報及びその対策に関する情報を、事前の合意に基づき、早期警戒情報として、JPCERT/CC から重要インフラ事業者等へ提供するとともに、制御システムに対する脅威情報や対策に関する情報への注目の高まりを鑑み、JPCERT/CC にて情報の収集と制御システムの関係者へ情報提供する。（再掲）(オ) 経済産業省

経済産業省において、IPA を通じ、我が国経済社会に被害をもたらすおそれが強く、一組織で対処が困難な
サイバー攻撃を受けた組織等を支援するため、「サイバーレスキュー隊（J-CRAT）」を引き続き運営するとともに、標的型サイバー攻撃に関する公開情報の収集・分析等を通じた知見の蓄積を図り、被害組織における迅速な対応・復旧に向けた計画作りを支援する。

(カ) 内閣府

個人情報保護委員会において、個人情報取扱事業者における、外部からの不正アクセス等による個人データの漏えい等の事案への対応が適切に実施されるよう、引き続き個人情報サイバーセキュリティ連携会議を通じて、関係機関と緊密な連携を図り事案の詳細の把握に努めるとともに、必要に応じて事業者に対し指導・助言等を行う。
また、個人情報等の適正な取扱いを確保する観点から、事業者や国民に広く発信すべき情報については、必要に応じて委員会ウェブサイト等を通じて情報発信を行う。

- 89 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
3 国際社会の平和・安定及び我が国の安全保障への寄与(キ) 経済産業省

経済産業省において、JPCERT/CC を通じ、企業へのサイバー攻撃等への対応能力向上に向けて、国内における組織内 CSIRT 設立や組織内 CSIRT 間の連携を促進・支援する。また、情報を共有する場を積極的に設定し、CSIRT の構築・運用に関するマテリアルや、インシデント対策・対応に資する脅威情報や攻撃に関する情報、所要の分析を加えた具体的な対策情報等を適切な者の間で共有することにより、CSIRT の普及や、国内外の組織内 CSIRT との間における緊急時及び平常時の連携の強化を図るとともに、巧妙かつ執拗に行われる標的型攻撃への対処を念頭においた運用の普及、連携を進める。

(ク) 金融庁

金融庁において、2020 年東京大会の開催を控え、大規模インシデント等の発生に備え、官民が一体となった
危機管理態勢の構築に取り組む。

3 国際社会の平和・安定及び我が国の安全保障への寄与
3.1

自由、公正かつ安全なサイバー空間の堅持
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より

・グローバル規模で自由、公正かつ安全なサイバー空間を実現するための、国際場裡における理念の発信、サイバー空間における法の
支配の推進
項番

担当府省庁

(ア) 内閣官房
外務省2019 年度 年次計画
内閣官房、外務省及び関係府省庁において、ハイレベルの会談・協議等を通じ、サイバー空間における我が国の利益が達成されるよう、戦略的な取組を進める。特に、2019 年度は G20 が日本で開催されるところ、開催国として、サイバーセキュリティに関する自由、公正かつ安全なサイバー空間を実現するための理念を発信していく。

(1)自由、公正かつ安全なサイバー空間の理念の発信
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・日本型のサイバーセキュリティの基本的な在り方の発信、サイバー空間の発展を妨げるような国際ルールの変更等を目指す取組への
対抗
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房
警察庁
総務省
外務省
経済産業省
防衛省

内閣官房、警察庁、総務省、外務省、経済産業省及び防衛省において、各二国間協議や多国間協議に参画し、我が国の意見表明や情報発信に努める。安倍首相が 2019 年１月に出席した世界経済フォーラム年次総会（ダボス会議）において、「DFFT（信頼ある自由なデータ流通）のための体制を作り上げる」と述べたことを踏
まえ、越境データ規制、ソースコード開示、国家によるインターネットの資源管理等、自由な情報の流通を阻害するような動きに対抗し、自由、公正かつ安全なサイバー空間を実現する。また、サプライチェーン・
リスク対策には国際連携が重要であるところ、関係国と連携して対策を進める。

(イ) 経済産業省
外務省

経済産業省及び外務省において、情報セキュリティなどを理由にしたローカルコンテント要求、国際標準から逸脱した過度な国内製品安全基準、データローカライゼーション規則等、我が国企業が経済活動を行うに当たって貿易障壁となるおそれのある国内規制（デジタル保護主義）を取る諸外国に対し、対話、意見交換、
パブリック・コメントの提出等を通じ、当該規制が自由貿易との間でバランスがとれたものとなるよう、主要国の規制情報等を収集しつつ、民間団体とも連携して働きかけを行う。

(2)サイバー空間における法の支配の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・既存の国際法の個別具体的な適用の在り方、規範の形成・普遍化についての議論への積極的な関与
項番

担当府省庁

(ア) 内閣官房
警察庁
総務省
外務省
経済産業省
防衛省

2019 年度 年次計画
内閣官房、警察庁、総務省、外務省、経済産業省及び防衛省において、各二国間協議や国際専門家会合等の多国間協議に参画し、多国のサイバー空間における国際法の適用や国際的なルール・規範作り等に積極的に関与し、それらに我が国の意向を反映させる。昨年の国連総会決議に基づき、国連サイバー政府専門家会合（UNGGE）第６会期及び OEWG（Open End Working Group）が立ち上がる予定であるところ、責任ある国家の行動規範に係る議論について、積極的に参加していく。

- 90 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
3 国際社会の平和・安定及び我が国の安全保障への寄与
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバー犯罪に関する条約、刑事共助条約、ICPO 等の枠組みを活用した国際機関、外国法執行機関、外国治安情報機関等との間における国際捜査共助や情報交換等による国際連携
項番

担当府省庁

2019 年度 年次計画(イ) 警察庁
法務省

警察庁及び法務省において、容易に国境を越えるサイバー犯罪に効果的に対処するため、原則として共助を義務的なものとする日・米、日・韓、日・中、日・香港、日・EU、日・露間の刑事共助条約・協定及びサイバー犯罪に関する条約の発効を受け、これらの条約・協定の下で、中央当局を設置し、外交ルートを経由せずに直接中央当局間で共助実施のための連絡を行うことで共助の迅速化を図る。今後も引き続き共助の迅速化を図るとともに、サイバー犯罪に対する効果的な捜査を実施するため、更なる刑事共助条約や現在起草作業中のサイバー犯罪条約第２追加議定書の締結について検討していく。

(ウ) 警察庁

警察庁において、迅速かつ効果的な捜査共助等の法執行機関間における国際連携の強化を目的とし、我が国のサイバー犯罪情勢に関係の深い国々の各法執行機関と効果的な情報交換を実施するとともに、G7、ICPO 等のサイバー犯罪対策に係る国際的な枠組みへの積極的な参加等を通じた多国間における協力関係の構築を推進する。また、外国法執行機関等に派遣した職員を通じ、当該機関等との連携強化を推進する。さらに、証拠の収集等のため外国法執行機関からの協力を得る必要がある場合について、外国の法執行機関に対して積極的に捜査共助を要請し、的確に国際捜査を推進する。

(エ) 外務省

外務省において、我が国が 2012 年７月にサイバー犯罪に関する条約を締結し、同年 11 月から我が国について同条約の効力が生じたことを受け、引き続き、アジアで最初の同条約締約国として、アジア地域への能力構築支援等を通じて同条約の普遍化に取り組む。

3.2

我が国の防御力・抑止力・状況把握力の強化(1)国家の強靭性の確保
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より①任務保証
・政府機関及び重要インフラ事業者等におけるサイバーセキュリティの確保の推進
・防衛省・自衛隊のサイバー攻撃対処を行う部隊の能力向上、自らの活動が依存するネットワーク・インフラの防護強化、自衛隊の任務保証に関連する主体との連携の深化
項番

担当府省庁

(ア) 警察庁

2019 年度 年次計画
都道府県警察において、重要インフラ事業者等の意向を尊重しつつ、以下の取組を実施することにより、サイバー攻撃に対する危機意識の醸成を図り、官民一体となって対処能力の向上を推進する。
・重要インフラ事業者等への個別訪問を行い、各事業者等の特性に応じた情報提供や保有するシステムに対するぜい弱性試験を実施する。
・事案発生を想定した共同対処訓練を実施する。
・サイバーテロ対策協議会を通じて、参加事業者間の情報共有を推進する。

(イ) 防衛省

防衛省において、対処機関としてのサイバー攻撃対処能力向上のため、最新技術及び部外の優れた知見を活用して、サイバー防護分析装置、サイバー情報収集装置、各自衛隊の防護システムの機能の拡充を図る。また、多様な事態において指揮命令の迅速かつ確実な伝達を確保するため、防衛情報通信基盤（DII）のクロー
ズ系及びネットワーク監視器材へ常続監視等を強化するための最新技術を適用していく。

(ウ) 防衛省

防衛省において、防衛省と防衛産業との間におけるサイバー攻撃対処のための官民協力関係の深化に向けた取組を実施し、情報共有体制の強化を図っていく。また、任務保証の観点から、防衛省・自衛隊の活動が依存するネットワーク・インフラの防護を引き続き強化するとともに、自衛隊の任務保証に関連する主体との連携を深化させていく。

(エ) 防衛省

防衛省・自衛隊が保有する情報通信ネットワーク等に対する侵入試験（ペネトレーションテスト）を実施していく。

(オ) 防衛省

防衛省において、サイバー攻撃等によって防衛省・自衛隊の情報通信基盤の一部が損なわれた場合においても、運用継続を実現するためのサイバーレジリエンスに関する研究試作を実施するとともに試作品について試験評価を実施する。

(カ) 防衛省

防衛省において、移動系システムを標的としたサイバー攻撃対処のための演習環境整備に関する研究試作において設計を実施する。

- 91 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
3 国際社会の平和・安定及び我が国の安全保障への寄与
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より②我が国の先端技術・防衛関連技術の防護
・防衛産業において、安全な情報共有を確保する仕組みの導入、契約企業向けの新たな情報セキュリティ基準の策定、契約条項の改正等の取組の実施・国立研究開発法人や先端的な技術情報を保有する大学等における対策の促進
項番

担当府省庁

2019 年度 年次計画(キ) 防衛省

防衛省において、サイバーセキュリティの更なる確保のため、サプライチェーン・リスク及びその対策について、引き続き調査研究等を通じて必要な情報収集及び検討を行い、必要な場合はサプライチェーン・リス
ク対策の関連規則等へ反映する。

(ク) 内閣官房
文部科学省

科学技術競争力や安全保障等に係る技術情報を保護する観点から、以下の取組を行う。
・内閣官房において、先端的な技術を保有する国立研究開発法人が、自立的に情報セキュリティ対策を講じていくことができるよう、引き続き国立研究開発法人相互の協力の枠組みを通じ取組を促す。
・文部科学省において、先端的な技術情報を保有する大学等に対して、SINET に設置した検知システム等を用いて警報分析及び各連携機関への通知を行う NII-SOCS の運用など、サイバー攻撃による情報の漏えいを防止するための取組を促すとともに、支援する。

(ケ) 防衛省

防衛省の「保護すべき情報」を取り扱う契約企業に適用される情報セキュリティ基準について、米国の新たな基準と同程度まで強化する改正を行うべく、官民間での議論を行いながら検討を進める。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より③サイバー空間を悪用したテロ組織の活動への対策
・サイバー空間におけるテロ組織の活動に関する情報の収集・分析の強化その他の必要な措置の実施
項番

担当府省庁

2019 年度 年次計画(コ) 内閣官房

内閣官房において、サイバー空間における国際テロ組織の活動等に関する情報の収集・分析の強化等により、全体として、テロの未然防止に向けた多角的かつ隙の無い情報収集・分析を推進するとともに、関連情報の内閣情報官の下での集約・共有を強化する。

(サ) 警察庁
法務省

警察庁および法務省（公安調査庁）において、サイバー空間におけるテロ組織等の動向把握及びサイバー攻撃への対策を強化するため、サイバー空間における攻撃の予兆等の早期把握を可能とする態勢を拡充し、人的情報やオープンソースの情報を幅広く収集する等により、攻撃主体・方法等に関する情報収集・分析を強化するとともに、サイバー空間を悪用したテロ組織の活動への対策について、国際社会との連携を推進する。

(2)サイバー攻撃に対する抑止力の向上
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より①実効的な抑止のための対応
・我が国の安全保障を脅かすようなサイバー空間における脅威への、同盟国・有志国と連携し、政治・経済・技術・法律・外交その他の取り得るすべての有効な手段と能力を活用した対応
・法執行機関、自衛隊を始めとする関係機関の能力強化
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

適切な対応を適時にとれるよう、内閣官房を中心とした関係省庁の連携体制を強化し、政府が一体となって組織・分野横断的な取組を総合的に推進する。

(イ) 防衛省

2018 年 12 月に策定された新たな防衛計画の大綱及び中期防衛力整備計画を踏まえ、「相手方によるサイバ
ー空間の利用を妨げる能力」等、サイバー防衛能力の抜本的強化を図っていく。

(ウ) 警察庁

警察庁において、サイバー攻撃を受けたコンピュータや不正プログラムの分析、外国治安情報機関との情報交換等を推進するとともに、民間の知見を活用するなどして、サイバー攻撃事案の攻撃者や手口に関する実態解明を推進する。また、都道府県警察において、サイバー攻撃特別捜査隊を中心として、サイバー攻撃に関する情報の収集及び整理並びに犯罪の予防及び捜査を推進する。

- 92 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
3 国際社会の平和・安定及び我が国の安全保障への寄与
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より②信頼醸成措置・偶発的、不必要な衝突を防ぐための、国際的な連絡体制の構築
・二国間・多国間協議における情報交換、政策対話等を通じた信頼醸成
項番

担当府省庁

2019 年度 年次計画(エ) 内閣官房
外務省

最近の諸課題について相互の理解を深めることができたこと等を踏まえて、内閣官房、外務省及び関係府省庁において、サイバー攻撃を発端とした不測事態の発生を未然に防止するため、ARF や二国間協議等を通じて、脅威認識やサイバーセキュリティ戦略等の政策について共有し、国際的な連絡体制等を引き続き構築する。

(オ) 経済産業省

経済産業省において、JPCERT/CC を通じて、インシデント対応調整や脅威情報の共有に係る CSIRT 間連携の窓口を運営するとともに、各国の窓口チームとの間の MOU/NDA に基づく継続的な連携関係の維持を図り、迅速かつ効果的なインシデントへの対処を継続する。また、FIRST、APCERT、IWWN などの国際的なコミュニテ
ィにおける活動、及びアジア太平洋地域におけるインシデント対応演習等の活動等を通じた各国 CSIRT とJPCERT/CC とのインシデント対応に関する連携を一層強化する。

(3)サイバー空間の状況把握の強化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より①関係機関の能力向上
・関係機関の情報収集・分析能力の質的・量的向上
・高度な分析能力を有する人材の育成・確保、サイバー攻撃を検知・調査・分析等するための技術の開発・活用
・カウンターサイバーインテリジェンスに係る取組の推進
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、「カウンターインテリジェンス機能の強化に関する基本方針」に基づき、各府省庁と協力し、サイバー空間におけるカウンターインテリジェンスに関する情報の集約・分析を行い各府省との共有化を図る。

(イ) 警察庁
法務省

警察庁及び法務省（公安調査庁）において、サイバー空間の状況把握の強化に向けて、以下の取組を行う。
・警察庁において、事業者等との情報共有を推進するなどサイバーインテリジェンス対策に資する取組を実施する。
・法務省（公安調査庁）において、サイバー関連調査の推進に向け、人的情報収集・分析体制の強化及び関係機関への適時適切な情報提供等、サイバーインテリジェンス対策に資する取組を実施する。

(ウ) 警察庁

警察庁及び都道府県警察において、以下の取組を推進することによりサイバー空間の状況把握の強化を推進する。
・警察庁において、外国治安情報機関等との情報交換や民間の知見の活用等を推進するとともに、都道府県警察において、官民連携の枠組みを通じた情報共有等を推進し、サイバー攻撃に関する情報収集を強化する。（再掲）
・警察庁及び都道府県警察において、分析官等の育成を進めるとともに、捜査等を通じて得たサイバー攻撃に関する情報の集約及び整理を推進し、サイバー攻撃に関する分析能力の強化を推進する。（再掲）
・警察庁において、システムの脆弱性の調査等を目的とした不正なアクセスが国内外で多数確認されている背景を踏まえ、こうした攻撃の未然防止活動、有事の緊急対処に係る能力向上に資する訓練、サイバー空間に関する観測機能の強化、サイバー攻撃の実態解明に必要不可欠な不正プログラムの解析等に取り組むことで、サイバーフォースセンターの技術力の向上等を図る。

(エ) 警察庁

警察庁において、警察部内の高度な専門性を有する人材等の確保に係る取組を推進し、人的基盤を強化する
ため、改定した人材育成方針に従い人材育成に係る取組を強化する。

(オ) 経済産業省

経済産業省において、JPCERT/CC がインシデント対応支援活動等において解析したマルウェア検体及びその解析結果について、同様の情報を有する国内外の関係機関との適切な相互共有やインターネット定点観測シ
ステム（TSUBAME）の活用を進める。また、より高度な観測能力を実現するためにシステムの刷新を図る。

(カ) 防衛省

防衛省において、高度なサイバー攻撃からの防護を目的として、引き続き、国内外におけるサイバー攻撃関連情報を収集・分析する体制を強化するとともに、必要な機材の拡充を実施する。

(キ) 防衛省

防衛省において、巧妙化するサイバー攻撃に適切に対応していくため、CSIRT 要員に対するインシデント対処訓練を実施するとともに、国内外の大学院等への留学等を行い、人材育成への取組を実施する。

(ク) 法務省

法務省（公安調査庁）において、国家安全保障等に資するため、サイバー関連調査の推進に向けた人的情報
収集・分析を強化するための高度な専門性を有する人材の確保・育成に向けた取組を推進する。

- 93 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
3 国際社会の平和・安定及び我が国の安全保障への寄与
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より②脅威情報連携
・同盟国・有志国との脅威情報共有の推進
・政府内の脅威情報共有・連携体制の強化
項番

担当府省庁

2019 年度 年次計画(ケ) 内閣官房

内閣官房において、外国関係機関との情報交換等を緊密に行い、主要国のサイバー攻撃対処や国家の関与が疑われるようなサイバー攻撃の動向等の情報収集・分析を継続的に実施していく。

(コ) 内閣官房

内閣官房を中心とした政府内の脅威情報共有・連携体制を強化する。

(サ) 警察庁
法務省

警察庁及び法務省（公安調査庁）において、サイバー攻撃対策を推進するため、以下の取組を実施する。
・警察庁において、諸外国関係機関との情報交換等国際的な連携を通じて、サイバー攻撃に関する情報収集・分析を継続的に実施する。
・法務省（公安調査庁）において、諸外国関係機関との情報交換等国際的な連携強化を推進するなど協力関係を引き続き強化する。

3.3

国際協力・連携
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より

・国際場裡での我が国の立場を主張できる官民の人材を確保し、育成する
項番

担当府省庁

(ア) 内閣官房

2019 年度 年次計画
内閣官房及び関係府省庁において、各国機関との連携、FIRST、RSA カンファレンス、Blach hat 等、国際会議への参加、我が国での国際会議の開催等を通じ、我が国のサイバーセキュリティ人材が海外の優秀な技術者等と切磋琢磨しながら研鑽を積む場を増やす。

(1)知見の共有・政策調整
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバーセキュリティに関する二国間の協議や国際会議を通じた、互いのサイバーセキュリティ政策や戦略、体制の情報交換の実施
・戦略的パートナー国とのサイバーセキュリティ施策に関する協力・連携の強化
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房
総務省
外務省
経済産業省

内閣官房、総務省、外務省及び経済産業省において、多国間会議、二国間協議等の枠組みを通じ、サイバー政策における相互理解と連携を強化する。特に、日・ASEAN サイバーセキュリティ政策会議では、同地域のサイバーセキュリティ政策の底上げに資する実務的な協力活動の充実を進める。また、総務省において、ワ
ークショップの開催等を通じて、我が国と ASEAN 加盟国のネットワークオペレータによって培われた知見や経験の相互共有を促進する。

(イ) 防衛省

防衛省において、東南アジア各国等との間で、防衛当局間の IT フォーラムや ADMM プラス EWG 等の取組を通じ、サイバー分野での連携やこれらの国に対する能力構築への協力、情報の収集や発信を推進していく。

(ウ) 経済産業省

経済産業省において、アジア地域での更なる情報セキュリティ人材の育成を図るため、独立行政法人情報処理推進機構を通じて、ITPEC 加盟国の責任者を集めた会合を開催し、加盟国間でアジア共通統一試験に関する取組を共有するなど、当該試験の定着を図る取組を実施する。また、ITPEC 加盟国において、AI を含む新
たな技術などに対応した人材を育成するための講師育成に取り組む。

(エ) 内閣官房
外務省

内閣官房、外務省及び関係府省庁において、引き続き日米サイバー対話等の枠組みを通じ、幅広い分野における日米協力について議論し、昨年策定された我が国のサイバーセキュリティ戦略や米国の国家サイバー戦
略等も踏まえつつ、両国間の政策面での協調や体制及び能力の強化、インシデント情報の交換等を推進し、同盟国である米国とのサイバー空間に関する幅広い連携を強化する。

(オ) 総務省
外務省

総務省、外務省及び関係府省庁において、米国とのインターネットエコノミーに関する日米政策協力対話にて一致した、産業界及び他の関係者と共同してサイバーセキュリティ上の課題に取り組むことが不可欠であるとの認識に基づき、引き続き米国との情報共有を強化する。また、関連して、総務省において、サイバー
セキュリティに関する情報収集や、収集した情報の分析等を行う業界ごとの組織である ISAC（Information
Sharing and Analysis Center）に関して、日米の通信分野をはじめとする ISAC 間の連携を推進する。

(カ) 経済産業省

経済産業省において、国際協力体制を確立するという観点から、米 NIST 等の各国のサイバーセキュリティ
機関との連携を通じて、情報セキュリティに関する最新情報の交換や技術共有等に取組む。

(キ) 防衛省

防衛省において、日米サイバー防衛政策ワーキンググループ（CDPWG）の開催等を通じて、情報共有、訓練・人材育成等の様々な協力分野において日米サイバー防衛の連携をより一層深めていく。また、新たな日米防衛協力のための指針で示された方向性に基づき、自衛隊と米軍との間における運用面のサイバー防衛協力を深化させていく。

- 94 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
3 国際社会の平和・安定及び我が国の安全保障への寄与(ク) 内閣官房
外務省
防衛省

・内閣官房、外務省及び関係府省庁において、引き続き二国間協議の枠組みを通じ、昨年策定された我が国のサイバーセキュリティ戦略や EU・欧州各国のサイバーセキュリティ体制強化の動きを踏まえつつ、欧州
各国との連携を強化する。
・防衛省において、日英防衛当局間サイバー協議、日 NATO サイバー防衛スタッフトークスや NATO 主催の演習への参加等を通じ、欧州各国とのサイバー防衛協力を引き続き推進していく。

(ケ) 内閣官房
外務省

最近の諸課題について相互の理解を深めることができたこと等を踏まえて、内閣官房、外務省及び関係府省庁において、国際的な会議の場等を活用し、二国間協議に加え、各国とのサイバーセキュリティ分野における関係を引き続き強化する。

(コ) 警察庁

・警察庁において、サイバー攻撃対策を推進するため、情報交換等国際的な連携を通じて、諸外国関係機関との連携強化を推進する。
・FIRST 会合等に参加し、情報交換等国際的な連携を通じて、諸外国機関との連携強化を図る取組を実施する。

(サ) 経済産業省

経済産業省において、IPA を通じ、JIWG 及びその傘下の JHAS 等と定期的に協議を行うとともに、AIST 等との共同活動を通じ、技術的評価能力の向上に資する最新技術動向の情報収集等を行う。

(シ) 防衛省

防衛省において、国家の関与が疑われるような高度なサイバー攻撃に対処するため、脅威認識の共有などを通じて、防衛省・自衛隊のサイバーセキュリティに係る諸外国との技術面・運用面の協力を推進する。

(2)事故対応等に係る国際連携の強化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・CERT 間連携の強化
・国際サイバー演習への参加、共同訓練等を通じた連携対処能力の向上
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房及び関係府省庁において、IWWN や FIRST、日・ASEAN サイバーセキュリティ政策会議等のサイバー空間に関する多国間の情報共有枠組み等に参画し、我が国の情報収集及び情報発信の両面での能力強化を行う。また、インシデント対応演習や机上演習等を通じて、各国との情報共有や国際連携、信頼醸成を推進し、インシデント発生時の国外との情報連絡体制を整備する。

(イ) 経済産業省

経済産業省において、JPCERT/CC を通じ、各国の CSIRT 連携による対応・対策を強化するため、サイバーセ
キュリティに関する比較可能な指標の掲示(Mejiro プロジェクト、サイバーグリーン)を通じて、効率的な対処のためのオペレーション連携を実現するための基盤構築に資する開発、運用協力体制の検討を進める。

(ウ) 経済産業省

経済産業省において、JPCERT/CC を通じて、主にアジア太平洋地域等を対象としたインターネット定点観測システム（TSUBAME）に関し、運用主体の JPCERT/CC と各参加国関係機関等との間での共同解析やマルウェア
解析連携との連動等の取組を進める。また、アフリカ地域を中心にアジア太平洋地域以外への観測点の拡大を進める。

(エ) 経済産業省

経済産業省において、JPCERT/CC を通じ、以下の取組を行う。
・アジア太平洋地域、アフリカ等において、各国における対外・対内調整を担う CSIRT の構築及び運用、連携の継続的な支援。JPCERT/CC の経験の蓄積をもとに新規開発したサイバー攻撃に対処するためのツールの提供を行う。
・アジア太平洋地域等我が国企業の事業活動に関係の深い国や地域を念頭に、組織内 CSIRT 構築セミナー
等の普及・啓発、サイバー演習の引き続きの実施。
・我が国企業が組込みソフトウェア等の開発をアウトソーシングしているアジア地域の各国を中心に、脆弱性を作りこまないコーディング手法や脆弱性ハンドリングに関するセミナーの継続実施。

(3)能力構築支援
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・様々な政策手段を活用した開発途上国における能力構築支援の実施
項番

担当府省庁

(ア) 内閣官房
警察庁
総務省
外務省
経済産業省

2019 年度 年次計画
・内閣官房、警察庁、総務省、外務省、経済産業省、その他関係府省庁・機関が相互に連携、情報共有を行い、各国における効果的な能力構築支援に積極的に取り組む。特に、日・ASEAN サイバーセキュリティ政策会議等を通じた日本の取組の紹介、サイバーセキュリティ政策能力向上等の研修機会の提供等の JICA 事
業を通じた支援、2018 年９月にタイ・バンコクに設立された「日 ASEAN サイバーセキュリティ能力構築センター」による ASEAN 加盟国向けの防御演習等を実施する。
・外務省において、警察庁等とも協力しつつ、第４回日・ASEAN サイバー犯罪対策対話や日ＡＳＥＡＮ統合基金の活用、UNODC プロジェクトへの拠出を通じて、ASEAN 加盟国のサイバー犯罪対策能力構築支援を行う。その他国際機関などと連携したプロジェクトについても検討する。

- 95 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
4 横断的施策(イ) 経済産業省

経済産業省及び IPA 産業サイバーセキュリティセンター（ICSCoE）が米国政府と協力し、ASEAN をはじめとしたアジア太平洋地域の国々に対する産業サイバーセキュリティの共同演習実施等を通じた能力構築支援を行う。

4 横断的施策
4.1

人材育成・確保新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・人材の需要と供給を相応するための好循環を形成するため、産学官が連携して人材の需要や人材育成施策に関する情報共有等の連携を図りつつ、人材育成・確保を強化
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、経営層の意識改革や戦略マネジメント層、実務者層・技術者層、若年層の育成に関して、関係府省庁と連携の下、「サイバーセキュリティ人材育成取組方針」（2018 年６月）に基づき、産学官の連携を図りつつ、関係施策を推進していくとともに、必要に応じてフォローアップや見直しを図る。（再掲）(イ) 内閣官房

内閣官房において、関係機関と連携し、人材育成や普及啓発に関する官民の様々な取組を集約するポータル
サイトを構築し、対象となる層や伝達手法の見える化及び連携を推進するための検討を行う。

(ウ) 総務省

総務省において、地域におけるサイバーセキュリティ人材育成のエコシステムの構築に向け、地域の中小企業や自治体のサイバーセキュリティに関する意識向上や取組を促進するための研修等を行う。

(1)戦略マネジメント層の育成・定着
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・「戦略マネジメント層」に関する経営層の理解の促進と産業界と連携したその定着
・戦略マネジメント層向けの実践的な教材の開発や、指導者の発掘・育成も含め、学び直しプログラムの実践を推進
項番

担当府省庁

(ア) 経済産業省

2019 年度 年次計画
経済産業省において、IPA の「産業サイバーセキュリティセンター」を通じ、・これまでの２年間の実施経験や受講生のアンケート結果を踏まえ、更なるカリキュラムの見直しを行っ
た上で、IT と OT 双方のスキルを核とした上でビジネススキルやマネジメントスキル・リーダーシップ
をバランスよく兼ね備えた、我が国の重要インフラ等におけるサイバーセキュリティ対策の中核を担う人材の育成に取り組む。また、重要インフラ等における実際の制御システム等の安全性・信頼性を検証する事業も実施し、対策強化に繋げる。
・2018 年度に実施した「戦略マネジメント系セミナー」の経験や受講生のアンケート結果を踏まえ、必要に応じてカリキュラム等を見直した上で、高度な経営判断を補佐する戦略マネジメント機能を担う人材に必要なセキュリティ対策に関するトレーニングを行うプログラムを 2019 年秋から開始する。

(イ) 経済産業省

経済産業省において、セキュリティ教育を提供するため、教える側の質的向上・量的拡充のため、「学」の教員向けに IPA、JPCERT/CC により、FD（Faculty Development）等の研修機会の提供を実施していく。

(ウ) 文部科学省

文部科学省において、IT 技術者等のサイバーセキュリティに係る素養の向上を図るため、高等教育機関等における社会人学生の受け入れを促進する。

(エ) 内閣官房

内閣官房において、関係府省庁や各種団体等と連携して、2018 年度に作成したモデルカリキュラムも活用しつつ、戦略マネジメント層の普及に取り組むとともに、その育成を促す。

(2)実務者層・技術者層の育成
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・学び直しによるスキルの開発や実践的な演習
項番

担当府省庁

2019 年度 年次計画(ア) 警察庁

警察庁において、国立高等専門学校機構と連携し、高等専門学校へのサイバーセキュリティ対策に係る講義を実施することで、学生のサイバーセキュリティ分野に対する興味・理解を促進し、人材育成とそれに伴う社会全体の対処能力向上を図る。

(イ) 警察庁

都道府県警察において、安全確保等に係る実空間の対処も考慮しつつ、サイバー攻撃の発生を想定した重要インフラ事業者等との共同対処訓練を計画及び実施することにより、サイバー攻撃に対する危機意識の醸成を図り、官民一体となって対処態勢の強化を推進する。（再掲）- 96 -

2章

2 部 年次計画（2019 年度）
2019 年度の各種施策一覧表
4 横断的施策(ウ) 総務省

総務省において、NICT の「ナショナルサイバートレーニングセンター」を通じ、受講者のニーズやネットワーク環境等を踏まえたコースの再編等を行った上で、国の行政機関、地方公共団体、独立行政法人及び重要インフラ事業者等におけるサイバー攻撃への対処能力の向上を図るための、新たなシナリオによる実践的サ
イバー防御演習（CYDER）を実施する。

(エ) 文部科学省

文部科学省において、高等専門学校における情報セキュリティ教育の強化のため、企業等のニーズを踏まえた技術者のセキュリティ教育に必要な教材・教育プログラム開発等に必要な予算を確保し、（独）国立高等専門学校機構において、教育プログラムの開発等を進める。2016 年より、段階的に整備を進めてきた情報セ
キュリティ教育の演習拠点（10 拠点）について、日々進歩しているサイバー攻撃技術に対応するための定期的な環境更新（アップデート）を図るとともに、「情報セキュリティ人材」の発掘・育成を実行する。

(オ) 厚生労働省

厚生労働省において、引き続き、離職者や在職者を対象として職業に必要な技能及び知識を習得させるため、
サイバーセキュリティに関する内容を含む公共職業訓練を実施するとともに、離職者や在職者を対象とした教育訓練給付制度において、サイバーセキュリティに関する内容を含む教育訓練を指定する。

(カ) 経済産業省

経済産業省において、情報処理安全確保支援士制度の着実な実施に向けて必要な措置を講じるとともに、当該制度の普及のため、企業や団体への周知等を積極的に行う。

(キ) 経済産業省

経済産業省において、国家試験である情報処理技術者試験において、組織のセキュリティポリシーの運用等に必要となる知識を問う「情報セキュリティマネジメント試験」について、引き続き、IPA を通じて広報活動を実施する。

(ク) 経済産業省

経済産業省において、情報セキュリティ人材を含めた高度 IT 人材の育成強化のため、情報セキュリティ分
野を含めた各種情報分野の人材スキルを測る情報処理技術者試験について、周知及び普及を図る。

(ケ) 経済産業省

経済産業省において、IPA を通じ、各府省庁、全国各地の関係団体と協力し、インターネットを利用する一般の利用者を対象として、SNS 利用に関連した最近の事件やその手口、被害に遭わないための対策等を含む
情報セキュリティに関する啓発を行うインターネット安全教室を引き続き開催していく。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・突出した能力を有しグローバルに活躍できる人材の発掘・育成・確保、グローバルに切磋琢磨する機会を広げ、対策を検討できる能力の
育成
項番

担当府省庁

2019 年度 年次計画(コ) 経済産業省

経済産業省において、IPA を通じ、若年層のセキュリティ意識向上と突出した人材の発掘・育成を目的として、「セキュリティ・キャンプ」を開催する。

(サ) 経済産業省

経済産業省において、IPA を通じ、IT を駆使してイノベーションを創出することのできる独創的なアイディ
ア・技術を有する人材の発掘・育成する「未踏 IT 人材発掘・育成事業」を実施し、プロジェクトマネージャ
ーに引き続きセキュリティを専門とした人材を採用する。

(シ) 経済産業省

経済産業省において、若手情報セキュリティ人材の育成の観点から、NPO 日本ネットワークセキュリティ協会が実施する情報セキュリティをテーマとした様々な競技を通して、攻撃・防御両者の視点を含むセキュリ
ティの総合力を試すハッキングコンテスト「CTF」に対する後援等を通じて、普及・広報の支援を行う。

(ス) 防衛省

防衛省において、巧妙化するサイバー攻撃に適切に対応していくため、CSIRT 要員に対するインシデント対処訓練を実施するとともに、国内外の大学院等への留学等を行い、人材育成への取組を実施するほか、人材確保に向けた取組を実施する。

(セ) 防衛省

防衛省において、自衛隊のサイバー攻撃対処部隊の対処能力を向上させるため、体制を拡充するとともに、
指揮システムを模擬し、攻撃・防御の機能とこれに対する統裁・評価の機能等を備えた実戦的な演習環境の整備を進める。

(ソ) 防衛省

防衛省において、防衛省と防衛産業との間におけるサイバー攻撃対処のための官民協力関係の深化に向けた取組を実施し、情報共有体制の強化を図る。

(3)人材育成基盤の整備
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・知識・技術体系やそれに基づくモデルカリキュラムの在り方の検討
・教育課程内での情報活用能力の育成、情報モラル教育
・教員の研修の充実
・自由にサイバー関連ツール、機器を用いて興味を持って学べる機会が豊富に用意されるような環境整備
・大学・高等専門学校等の高等教育段階における情報技術人材の育成
項番

担当府省庁

(ア) 経済産業省

2019 年度 年次計画
経済産業省及び IPA において、人材のニーズとシーズの見える化・マッチングを促すため、セキュリティ人
材の役割・スキルを定めた ITSS+（セキュリティ領域）を抜本的に見直し、セキュリティ人材の専門分野を整理するとともに、各専門分野で情報処理安全確保支援士等が活躍するためのキャリアアップへの道筋を描く。

- 97 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
4 横断的施策(イ) 文部科学省

文部科学省において、新学習指導要領の実施を見据え、児童生徒の発達の段階に応じた、プログラミング的
思考や情報セキュリティ、情報モラル等を含めた情報活用能力を培う教育を一層推進する。特に、各学校における指導の改善・充実に向けて、教科等横断的な情報活用能力の育成に係るカリキュラム・マネジメントの在り方等に関する実践的な研究を実施する。

(ウ) 文部科学省

文部科学省において、独立行政法人教職員支援機構と連携し、新学習指導要領の趣旨を踏まえ、情報通信技術を活用した指導や情報モラルに関する指導力の向上を図るため、各地域で情報教育の中核的な役割を担う
教員等を対象とした研修を実施する。

(エ) 文部科学省

文部科学省において、最新のトラブルや被害の状況等を踏まえ、2018 年度に改善した動画教材や指導手引書も活用して、学校における情報モラル教育の充実を図るため、教員等を対象としたセミナーを実施する。

(オ) 総務省

総務省において、NICT の「ナショナルサイバートレーニングセンター」における「SecHack365」の取組を通じて、育成プログラムの質の向上を図りつつ、若年層の ICT 人材を対象に、セキュリティに関わる技術を本格的に指導し、セキュリティイノベーターの育成に取り組む。

(カ) 文部科学省

文部科学省においては産学連携による PBL（課題解決型学習）等の実践的なサイバーセキュリティ教育について、参加大学数、連携企業を増加させる取組を推進することにより、大学における情報技術人材の育成強化を目指す。

(キ) 文部科学省
経済産業省

文部科学省及び経済産業省において、高度な IT の知識と経営などその他の領域における専門知識を併せもつハイブリッド型人材の育成を進める。文部科学省においては産学連携による PBL（課題解決型学習）等の実践的なサイバーセキュリティ教育について、参加大学数、連携企業を増加させる取組を推進することにより、大学における情報技術人材の育成強化を目指す。

(4)各府省庁におけるセキュリティ人材の確保・育成の強化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・各府省庁におけるセキュリティ人材の着実な確保・育成を継続
・毎年度、計画の見直しを行い、一層の取組の強化
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房の主導により、各府省庁が PDCA サイクルを更に充実させることにより、「サイバーセキュリティ人
材育成総合強化方針」に基づき策定した「各府省庁セキュリティ・IT 人材確保・育成計画」の見直しを行い、体制の整備・人材の拡充、有為な人材の確保、一定の専門性を有する人材の育成や適切な処遇の確保を含む政府部内のセキュリティ人材の充実に係る諸施策をより一層推進する。また、内閣官房等の関係機関で連携し、「サイバーセキュリティ人材育成総合強化方針」に基づく取組の進捗状況等を踏まえ、今後のセキュリ
ティ人材等の充実に向けた取組の方向性について検討を行う。

(イ) 内閣官房

各府省庁において、2020 年東京オリンピック・パラリンピック競技大会の成功等に向けて、サイバーセキュ
リティ・情報化審議官等が中心となって、引き続き、各府省庁の進捗状況を踏まえ、「各府省庁セキュリテ
ィ・IT 人材確保・育成計画」に沿って、体制の整備と適切な処遇の確保に取り組む。

(ウ) 内閣官房
総務省

各府省庁のセキュリティ・IT 人材を育成・確保するため、内閣官房及び総務省において、情報システム統一
研修等各コースの内容の更なる充実に向けた取組を進める。また、2018 年１月に策定された「橋渡し人材のスキル認定の基準」に基づく橋渡し人材（部内育成の専門人材）のスキル認定が推進されるよう、引き続き、認定の手続規定の整備等を含め、各府省庁に対する支援等を行う。

(エ) 内閣官房

内閣官房において、サイバーセキュリティ・情報化審議官等の座学や実習によるセキュリティ関係の研修等を通じて政府機関内における相互の事例共有、意見交換等の継続的な実施を促進する。

(5)国際連携の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・国際的な基準を踏まえた人材育成プログラムの認定など海外組織との間での連携を促すための仕組み作り
・海外におけるサイバーセキュリティ人材の能力構築への貢献
項番

担当府省庁

(ア) 内閣官房

2019 年度 年次計画
内閣官房において、研究・技術開発に資する産学官連携による体制構築の検討を含め、我が国のサイバーセ
キュリティの研究・技術開発に関する取組方針を取りまとめると共に、関係機関との連携の下、施策を推進する。

- 98 -

2章

4.2

2 部 年次計画（2019 年度）
2019 年度の各種施策一覧表
4 横断的施策

研究開発の推進(1)実践的な研究開発の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・不正なプログラムや回路が仕込まれていないことの検証を行うための体制の整備とそのための研究開発
・サプライチェーンにおける価値創出のプロセスにおける信頼の創出や証明、トレーサビリティ（追跡可能性）の確保とこれらに対する攻撃の検知・防御に関する研究開発
・機器に組み込まれた不正なハードウェアやソフトウェアを効率的に検出する技術開発、プラットフォームにおいて利用者の意図しない動作を生じさせるおそれがあるときにもデータや情報の真正性・可用性・機密性を確保するための研究開発
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、関係府省と連携し、国産技術の確保・育成のための取組や、政府調達における活用も可能な、産学官連携による、サプライチェーンリスクに対応するための技術検証体制の整備に向けた取組を進める。（再掲）(イ) 内閣府

内閣府において、関係府省庁と連携して、戦略的イノベーション創造プログラム（SIP）第 1 期「重要インフラ等におけるサイバーセキュリティの確保」により、2020 年東京オリンピック・パラリンピック競技
大会を支える重要インフラに導入して有効性を実証し、将来の国内インフラ産業の安定運用やインフラ輸出に貢献するための研究開発・社会実装を行う。本プロジェクトでは、制御・通信機器のセキュリティ確
認技術、動作監視・解析技術等を開発する。プロジェクトの最終年度として、幅広い分野に横展開するための技術開発及び社会実装を進める。

(ウ) 内閣府
総務省
経済産業省

内閣府において、戦略的イノベーション創造プログラム（SIP）第２期「IoT 社会に対応したサイバー・フィジカル・セキュリティ」により、セキュアな Society 5.0 の実現に向けて、様々な IoT 機器を守り、社会全体の安全・安心を確立するため、中小企業を含むサプライチェーン全体を守ることに活用できる、『サ
イバー・フィジカル・セキュリティ対策基盤』の研究開発及びその社会実装を推進する。本プロジェクト
では、IoT システムのセキュリティを保証する技術、サプライチェーンの分野毎の要件を明確にしたうえでトラストリストを構築・確認する技術、業務データを安全に流通させるためのトレーサビリティ確保技術等を開発する。研究開発を本格化するともに実証実験に向けた準備を着実に進める。また、本プロジェ
クトが目指す『サイバー・フィジカル・セキュリティ対策基盤』の実現には、様々な産業分野が関係することから、総務省、経済産業省をはじめとした府省庁及び産学とが分野横断的に連携して推進する。（再掲）(エ) 総務省

総務省において、IoT システムの基盤技術となる第５世代移動通信システム（５Ｇ）に係る各構成要素におけるセキュリティを総合的かつ継続的に担保する仕組みを整備し、対策の共有等を図る。

(オ) 総務省

総務省において、チップの設計回路の解析や各種システム／サービスの挙動や動作の観測を通じた悪性機能を検出する技術の研究開発を実施する。

(カ) 総務省

総務省において、スマートシティのセキュリティ要件について、プラットフォームを含むレイヤー構造や様々なユースケースを踏まえて検討し、具体化を図る。

(キ) 経済産業省

経済産業省において、日本のセキュリティニーズに応じた日本発のサイバーセキュリティ製品・サービスの創出・活用を推進するため、セキュリティ製品・サービスの有効性を検証する基盤を構築する。（再掲）(ク) 経済産業省

経済産業省において、産業サイバーセキュリティ研究会の下に設置した WG１(制度・技術・標準化）にて、策定した「サイバー・フィジカル・セキュリティ対策フレームワーク」の社会実装を推進するために、フレームワークの周知・普及、各産業分野におけるセキュリティ対策の検討を引き続き推進するとともに、
データそのものの信頼性確保や、ソフトウェアのセキュリティを実効的に確保するための具体的な管理手法等を検討する。（再掲）(ケ) 経済産業省

経済産業省において、IoT・ビッグデータ・AI（人工知能）等の進化により実世界とサイバー空間が相互連関する社会（サイバーフィジカルシステム）の実現・高度化に向け、そうした社会を支えるハードウェアを中心としたセキュリティ技術及びその評価技術の開発等を行う。

(コ) 経済産業省

経済産業省において、AIST サイバーフィジカルセキュリティ研究センター等を通じ、IoT 機器やそれを用いたシステムへの脅威に対応するため、ソフトウェア工学、暗号技術などを用いてシステムのセキュリテ
ィ、品質、安全性、効率の向上、それらの評価などを可能とする、革新的、先端的技術の基礎研究に取り組む。

(サ) 経済産業省

経済産業省において、制御システムの挙動を解析し、サイバー攻撃を検知・予測する技術開発や、可用性を確保した脆弱性への対処技術に関して、期間および規模を拡大した監視・検知により、高度な攻撃意図を伴う潜伏的な脆弱性の検知・対処を実現するための研究を行う。

- 99 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
4 横断的施策新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバーセキュリティの研究開発の成果の普及や社会実装の推進
項番

担当府省庁

2019 年度 年次計画

(シ) 経済産業省

経済産業省において、日本のセキュリティニーズに応じた日本発のサイバーセキュリティ製品・サービスの創出・活用を推進するため、セキュリティ製品・サービスの有効性を検証する基盤を構築する。（再掲）(ス) 経済産業省

経済産業省において、本制度の普及促進を図るとともに、情報セキュリティサービス審査登録制度のよりよ
い利用についての検討を行い、競争力強化やサイバーセキュリティの成長産業化に取り組む。（再掲）(セ) 経済産業省

経済産業省において、IPA を通じ、サイバーセキュリティお助け隊の実証事業を全国で実施し、中小企業の実態や求めるサービス内容、レベル等を明らかにするとともに、中小企業のサイバーセキュリティ意識向上を図る。実証結果を基に、セキュリティベンダー、損害保険会社等連携し、中小企業が利用し易い、支援体
制、サイバー保険について検討、構築し、普及を図る。（再掲）(ソ) 経済産業省
総務省

・中小企業における情報セキュリティ投資を促進するために、以下の取組を実施する。（再掲）・経済産業省において、中小企業等の生産性向上に資する IT 導入等の促進とあわせて、セキュリティに係る意識向上やその対策に向けた具体的な取組を促す。
・経済産業省において、セキュリティにも配慮した安心安全なクラウドサービス利用の促進等のために、認定された IT ベンダーのセキュリティ関連の取組状況等を開示し、その制度の普及促進を図る。
・経済産業省において、セキュリティ対策の普及啓発を行うとともに、専門家等を派遣して、セキュリティマネジメント指導を実施する。
・経済産業省において、中小企業に対して、日本政策金融公庫による特別利率での融資も更に実施する。
・総務省及び経済産業省において、一定のサイバーセキュリティ対策が講じられたデータ連携・利活用により生産性を向上させる取組について、システムやセンサー・ロボット、セキュリティ対策製品等の導入に対する税制措置の活用を促し、事業者のセキュリティ対策の強化と生産性向上を同時に促進する。

(タ) 経済産業省

経済産業省において、IPA を通じ、サイバーセキュリティビジネスの振興・活性化を図るため、サイバーセ
キュリティ対策におけるニーズの明確化・具体化、シーズの発掘やビジネスマッチングを行うメンバーを限定しない情報交流の場（コラボレーション・プラットフォーム）を継続して開催する。また、コラボレーション・プラットフォームの地方開催についても検討を進める。（再掲）

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・政府機関や企業等の組織を模擬したネットワークに攻撃者を誘い込み、攻撃活動を把握、ネットワーク上の脆弱な IoT 機器の調査のための広域ネットワークスキャンの軽量化を目指した研究開発、セキュリティ運用を行う事業者と、国の研究機関等とのリアルタイムでの情報
共有を推進
項番

担当府省庁

2019 年度 年次計画(チ) 総務省

総務省において、ダークネット、ハニーポット等の多くの手段により収集したデータに基づき、AI 技術を駆使することで、マルウェアの攻撃挙動の解析を自動化し、早期警戒情報を導出する技術の研究開発を実施する。

(ツ) 総務省

総務省において、NICT を通じ、模擬環境・模擬情報を用いたサイバー攻撃誘引基盤（STARDUST）の並列性向
上や解析自動化等の高度化を図り、攻撃活動の早期収集や未知の標的型攻撃等を迅速に検知する技術等の研究開発を行う。また、サイバーセキュリティ関連情報を大規模集約し、安全かつ利便性の高いリモート情報共有を可能とするサイバーセキュリティ・ユニバーサル・リポジトリ（CURE）を構築するとともに、CURE に基づく自動対策技術の確立等を行う。

(テ) 総務省

総務省において、脆弱な IoT 機器のセキュリティ対策のため、通信量の抑制と精度の向上を実現する効率的な広域ネットワークスキャンのための研究開発を進め、詳細な技術仕様の検討と性能評価を行う。

(ト) 総務省

総務省において、NICT を通じ、巧妙かつ複雑化したサイバー攻撃や今後本格普及する IoT 等への未知の脅威に対応するため、新たなハニーポット技術等の研究開発に基づくサイバー攻撃観測技術の高度化、機械学習等を応用した通信分析技術やマルウェア自動分析技術、さらにアラート自動分析技術の高度化等のアドバン
スト・サイバーセキュリティ技術の研究開発を行う。

(ナ) 経済産業省

経済産業省において、経済産業省告示に基づき、IPA（受付機関）と JPCERT/CC（調整機関）により運用されている脆弱性情報公表に係る制度を着実に実施するとともに、必要に応じ、「情報システム等の脆弱性情報の取扱いに関する研究会」での検討を踏まえた運用改善を図る。また、関係者との連携を図りつつ、「JVN」
をはじめ、「JVNiPedia」（脆弱性対策情報データベース）や「MyJVN」（脆弱性対策情報共有フレームワーク）などを通じて、脆弱性関連情報をより確実に利用者に提供する。さらに、能動的な脆弱性の検出とその調整に関わる取組を行う。また、海外の調整機関や研究者とも連携し、国外で発見された脆弱性について、
国内開発者との調整、啓発活動を JPCERT/CC において実施する。（再掲）(ニ) 経済産業省

経済産業省において、JPCERT/CC がインシデント対応支援活動等において解析したマルウェア検体及びその解析結果について、同様の情報を有する国内外の関係機関との適切な相互共有やインターネット定点観測シ
ステム（TSUBAME）の活用を進める。また、より高度な観測能力を実現するためにシステムの刷新を図る。
（再掲）- 100 -

2章

2 部 年次計画（2019 年度）
2019 年度の各種施策一覧表
4 横断的施策新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・先進的な技術を用いたサイバーセキュリティ確保の技術、製品・サービスを構成するシステムの中に組み込むセキュリティ技術や、その組
み込みの方法に関する実践的な研究開発
・計算機技術の発展（例：量子コンピュータ、AI）を意識した暗号技術など安全保障の観点から国として維持することが不可欠な基盤技術の
研究開発
項番

担当府省庁

2019 年度 年次計画(ヌ) 文部科学省

文部科学省において、2018 年度に開始した「光・量子飛躍フラッグシッププログラム（Q-LEAP）」により、①量子情報処理（主に量子シミュレータ・量子コンピュータ）、②量子計測・センシング、③次世代レーザ
ーの 3 領域における研究開発を着実に推進し、経済・社会的な重要課題を解決につなげることを目指す。

(ネ) 文部科学省

文部科学省において、理化学研究所革新知能統合研究センター（AIP センター）を通じ、革新的な人工知能
基盤技術の構築や、サイバーセキュリティを含む社会的課題の解決に向けた応用研究等を進める。また、JSTの戦略的創造研究推進事業において、既存の戦略目標に加え、IoT に関する戦略目標を 2019 年度に新たに設定し、サイバーセキュリティを含めた研究課題に対する支援を一体的に推進する。

(ノ) 経済産業省

経済産業省において、AIST サイバーフィジカルセキュリティ研究センター等を通じ、IoT 機器やそれを用いたシステムへの脅威に対応するため、ソフトウェア工学、暗号技術などを用いてシステムのセキュリティ、
品質、安全性、効率の向上、それらの評価などを可能とする、革新的、先端的技術の基礎研究に取り組む。
（再掲）(ハ) 総務省
経済産業省

総務省及び経済産業省において、CRYPTREC 暗号リストに掲載された暗号技術の監視、安全性及び信頼性の確保のための調査、研究、基準の作成等を行う。また、社会ニーズを見据え、暗号を安全に利活用するための取組などについて検討する。さらに、NICT 及び IPA を通じ、暗号技術の安全性に係る監視及び評価、新世代
暗号に係る調査、暗号技術の安全な利用方法に関する調査、暗号の普及促進、暗号政策の中長期的視点からの取組の検討を実施するため、暗号技術評価委員会及び暗号技術活用委員会を開催する。
加えて、量子コンピュータや新たな暗号技術の動向等を踏まえ、我が国の暗号の在り方と課題についての議論や、次期 CRYPTREC 暗号リストが満たすべき条件の整理を進める。

(ヒ) 総務省

総務省において、NICT を通じ、情報理論的安全性（暗号が情報理論的な意味で無条件に安全である性質）を具備した量子暗号等を活用した量子情報通信ネットワーク技術の確立に向け、実用性の向上とアプリケーシ
ョンの拡大に向けた研究開発及び国際標準化を推進する。

(フ) 総務省

総務省において、盗聴や改ざんが極めて困難な量子暗号通信を、超小型衛星に活用するための技術の確立に向けた研究開発を推進する。

(ヘ) 経済産業省

経済産業省において、IPA を通じ、情報セキュリティ分野と関連の深い国際標準化活動である ISO/IEC JTC
1/SC 27 が主催する国際会合等へ機構職員を派遣し、暗号技術、暗号・セキュリティ製品やモジュールの認証等の国際標準化において、国内の意見が反映されるよう活動する。特に、日本提案の PUF セキュリティのISO 採録に向けた支援、及び日本提案暗号の標準化準備のための検討作業での支援を引き続き実施する。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・海外のイベント等への積極的な参加等を通じた、国際的な情報発信、共同研究の実施や研究成果の国際標準化等の研究開発に係る官民の国際連携の強化
・サイバーセキュリティ対策における制度上の課題に関する調査・研究
項番

担当府省庁

2019 年度 年次計画(ホ) 内閣官房

内閣官房において、研究・技術開発に資する産学官連携による体制構築の検討を含め、国産のサイバーセキ
ュリティ製品・サービスの育成も見据えた、我が国のサイバーセキュリティの研究・技術開発に関する取組
方針を取りまとめると共に、関係機関との連携の下、施策を推進する。

(マ) 総務省
経済産業省

総務省及び経済産業省において、専門機関と連携し、情報セキュリティ分野の国際標準化活動である ISO/IEC
JTC 1/SC 27、ITU-T SG17 等が主催する国際会合等を通じて、我が国の研究開発成果や IT 環境・基準・ガイ
ドライン等を踏まえた国際標準の策定・勧告に向けた取組を推進する。

(ミ) 総務省

総務省において、サイバーセキュリティ関連産業の国際展開及びサイバーセキュリティ関連の研究開発の国
際的な発信等のため、我が国の関係組織の主要な国際展示会への出展に資する事業を、規模を拡大し実施する。

(ム) 経済産業省

経済産業省において、IPA を通じ、情報セキュリティ分野と関連の深い国際標準化活動である ISO/IEC JTC
1/SC 27 が主催する国際会合等へ機構職員を派遣し、暗号技術、暗号・セキュリティ製品やモジュールの認証等の国際標準化において、国内の意見が反映されるよう活動する。特に、日本提案の PUF セキュリティのISO 採録に向けた支援、及び日本提案暗号の標準化準備のための検討作業での支援を引き続き実施する。
（再掲）(メ) 内閣官房

内閣官房において、サブワーキンググループの運営を継続し、有識者の意見も踏まえつつ、サイバーセキュ
リティ関係法令集の策定に向けて検討を進め、ハンドブック（仮）として成果物を取りまとめる。

- 101 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
4 横断的施策(2)中長期的な技術・社会の進化を視野に入れた対応
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・人文社会学的視点も含めた様々な領域の研究との連携、融合領域の研究を促進
項番

担当府省庁

(ア) 内閣官房

4.3

2019 年度 年次計画
内閣官房において、各府省庁と連携し、中長期を視野に、様々な領域の研究との連携についての調査等を検討する。

全員参加による協働
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より

・サイバーセキュリティの普及啓発に向けた総合的な戦略及び具体的なアクションプランの策定
項番

担当府省庁

(ア) 内閣官房

2019 年度 年次計画
「サイバーセキュリティ意識・行動強化プログラム」に基づき、内閣官房をはじめとした関係機関が連携し取組を推進するとともに、状況を分析し、プログラムの内容・効果の定期的な評価・見直しを実施する。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・必要な情報発信や国民からの相談対応
・産学官民の様々なコミュニティの代表が参加する協議会の場を活用しながら、関係者による実践を推進
項番

担当府省庁

2019 年度 年次計画(イ) 内閣官房

内閣官房において、関係機関と連携し、人材育成や普及啓発に関する官民の様々な取組を集約するポータル
サイトを構築し、対象となる層や伝達手法の見える化及び連携を推進するための検討を行う。（再掲）(ウ) 内閣官房

内閣官房において、個人や組織のセキュリティ意識向上のため、注意・警戒情報やサイバーセキュリティに関する情報等について、SNS 等を用いた発信を引き続き行うとともに、より効果的な手段について検討を行う。

(エ) 経済産業省

経済産業省において、IPA を通じ、「情報セキュリティ安心相談窓口」、さらに、高度なサイバー攻撃を受けた際の「標的型サイバー攻撃の特別相談窓口」によって、サイバーセキュリティ対策の相談を受け付ける体制を充実させ、引き続き一般国民や中小企業等の十分な対策を講じることが困難な組織の取組を支援する。

(オ) 総務省
法務省
経済産業省

総務省、法務省及び経済産業省において、電子署名などのトラストサービスの利活用等に関するセミナーの開催及び HP を活用した情報提供を行うことで、国民による安全なサイバー空間の利用をサポートするとともに、認定認証事業者に対する説明会の開催、民間事業者等からの電子署名に関する相談対応等を行うこと
で、企業における電子署名の利活用の普及促進策を検討・実施する。また、総務省において、ネットワークにつながる人・組織・モノの正当性を確認できる仕組みの確保やデータの完全性の確保等を実現するためのトラストサービスの在り方について検討を行う。

(カ) 経済産業省

経済産業省において、IPA、JPCERT/CC を通じて、ウイルス感染や不正アクセス等のサイバーセキュリティ被害の新たな手口の情報収集に努め、一般国民や中小企業等に対し、ウェブサイトやメーリングリスト等を通じて対策情報等、必要な情報提供を行う。

(キ) 経済産業省

経済産業省において、IPA を通じ、広く企業及び国民一般に情報セキュリティ対策を普及するため、地域で開催されるセミナーや各種イベントへの出展、普及啓発資料の配布などにより情報の周知を行う。特に中小企業に対しては、セキュリティプレゼンター制度やセキュリティ啓発サイト、各種支援ツール類の提供を通じ、対策実施に向けた意識啓発を促進する。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・「サイバーセキュリティ月間」のさらなる充実
項番

担当府省庁

(ク) 内閣官房

2019 年度 年次計画
内閣官房において「サイバーセキュリティ意識・行動強化プログラム」に基づき、「サイバーセキュリティ
月間」において各府省庁や民間の取組主体と協力し、サイバーセキュリティに関する普及啓発活動を進める。

- 102 -

2章

2 部 年次計画（2019 年度）
2019 年度の各種施策一覧表
4 横断的施策新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・国民向けのわかりやすい解説書の作成・普及
・学校教育を通じた、情報モラル教育の一部としてのサイバーセキュリティ教育の推進
項番

担当府省庁

2019 年度 年次計画(ケ) 内閣官房

内閣官房において、サイバーセキュリティに関する基本的な知識を紹介したハンドブックについて、引き続き活用を促すための取組を続けていく。

(コ) 経済産業省

経済産業省において、個人情報も含む情報漏えい対策に取り組むため、IPA を通じ、ファイル共有ソフトによる情報漏えいを防止する等の機能を有する「情報漏えい対策ツール」を民間の配布サイトも活用して一般国民に提供する。

(サ) 総務省
文部科学省

総務省において、文部科学省と協力し、青少年やその保護者のインターネットリテラシー向上を図るため、「e-ネットキャラバン」等の青少年や保護者等に向けた啓発講座の実施等を行う。2018 年度には、e-ネット
キャラバンの保護者・教職員等向け講座の内容に、若者が使う主要な SNS の解説等を加えており、このような内容更新を踏まえつつ、引き続き啓発講座を実施する。また、「インターネットトラブル事例集」の作成や「情報通信の安心安全な利用のための標語」の募集等を通し、インターネット利用における注意点に関する周知啓発の取組を行う。

(シ) 文部科学省

文部科学省において、ネットモラルキャラバン隊を通じ、スマートフォン等によるインターネット上のマナ
ーや家庭でのルールづくりの重要性の普及啓発を実施する。

(ス) 文部科学省

文部科学省において、独立行政法人教職員支援機構と連携し、新学習指導要領の趣旨を踏まえ、情報通信技術を活用した指導や情報モラルに関する指導力の向上を図るため、各地域で情報教育の中核的な役割を担う
教員等を対象とした研修を実施する。（再掲）(セ) 文部科学省

文部科学省において、最新のトラブルや被害の状況等を踏まえ、2018 年度に改善した動画教材や指導手引書も活用して、学校における情報モラル教育の充実を図るため、教員等を対象としたセミナーを実施する。
（再掲）(ソ) 経済産業省

経済産業省において、IPA を通じ、各府省庁と協力し、情報モラル/セキュリティの大切さを児童・生徒が自身で考えるきっかけとなるように、IPA 主催の標語・ポスター・４コマ漫画等の募集及び入選作品公表を行
い、国内の若年層や保護者、学校関係者等における情報モラル/セキュリティ意識の醸成と向上を図る。

(タ) 経済産業省

経済産業省において、IPA を通じ、各府省庁、全国各地の関係団体と協力し、インターネットを利用する一般の利用者を対象として、SNS 利用に関連した最近の事件やその手口、被害に遭わないための対策等を含む
情報セキュリティに関する啓発を行うインターネット安全教室を引き続き開催していく。（再掲）

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・利用者がサイバーセキュリティの取組を適切に実施できるよう事業者や関係団体等の取組が促進される環境の整備、サイバーセキュリテ
ィの確保に資するガイドラインの整備とその着実な実施を推進
項番

担当府省庁

2019 年度 年次計画(チ) 総務省

総務省において、安全に無線 LAN を利用できる環境の整備に向けて、引き続き利用者・提供者において必要となるセキュリティ対策に関する検討を行うとともに、利用者・提供者に対する周知啓発を実施する。

(ツ) 経済産業省

経済産業省において、IPA を通じて、サプライチェーンリスク管理や秘密情報管理等を含めたサイバーセキ
ュリティに関する現状把握及び対策を実施する際に参考となる最新の動向の収集・分析・報告書の公表等により、サイバー空間利用者への啓発を推進する。

- 103 -

2 部 年次計画（2019 年度）
2 章 2019 年度の各種施策一覧表
5 推進体制5 推進体制新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・関係機関の一層の能力強化
・内閣サイバーセキュリティセンターにおいて、新戦略に基づく諸施策が着実に実施されるよう、新戦略を国内外の関係者に積極的に発信しつつ、各府省庁間の総合調整及び産学官民連携の促進の要となる主導的役割を実施
・危機管理対応の一層の強化
・2020 年東京大会に向けた産学官民の参加・連携・協働の枠組み構築及びサイバーセキュリティの確保に向けた取組の着実な履行
項番

担当府省庁

2019 年度 年次計画(ア) 内閣官房

内閣官房において、関係機関の一層の能力強化に向けて、JPCERT/CC と締結した国際連携活動及び情報共有等に関するパートナーシップの一層の深化を図るため、2015 年度に構築した情報共有システムの機能向上を図るとともに連携体制についても逐次見直しを実施する。また、総合的分析機能の強化を図る。
さらに、NICT と締結した研究開発や技術協力等に関するパートナーシップに基づいて NICT との協力体制を整備し、サイバーセキュリティ対策に係る技術面の強化を図る。

(イ) 内閣官房

内閣官房において、全ての主体によるサイバーセキュリティに関する自律的な取組を促進するため、引き続
き、国内外の関係者へ 2018 年戦略及びこれに基づく年次計画等の発信を行う。また、関係者との意見交換を行って、サイバー攻撃による被害の実態を含むサイバー空間に係る動向の把握に努め、2020 年東京大会後を見据えた検討を進める。

(ウ) 内閣官房

内閣官房において、2020 年東京大会を見据え、国民の生命等に重大な被害が生じ、若しくは生じるおそれのあるサイバー攻撃事態又はその可能性のある事態（大規模サイバー攻撃事態等）発生時における政府の初動対処態勢の整備及び対処要員の能力の強化を図るため、関係府省庁、重要インフラ事業者等と連携した初動対処訓練を実施する。（再掲）(エ) 内閣官房

内閣官房において、引き続き、リスクマネジメントの促進と対処態勢の整備・運用を推進する。（再掲）・「リスクマネジメントの促進」については、NISC が作成した手順に基づくリスクアセスメントの取組及び横断的リスク評価の取組を繰り返し実施し、事業者等にて明らかになったリスクへの対策を促進する。
・「対処態勢の整備・運用」については、サイバーセキュリティ対処調整センターの運用及び大会に向けた演習・訓練等を実施するとともに、G20（金融・世界経済に関する首脳会合）、ラグビーワールドカ
ップ 2019 等において、サイバーセキュリティ対処調整センター及び情報共有システムを運用し、運用態勢の確認、改善を実施する。

- 104 -

別添１

各府省庁における情報セキュリティ対策の総合
評価・方針- 105 -

＜別添１－目次＞
内閣官房 ............................................................ 108
内閣法制局 .......................................................... 109
人事院 .............................................................. 110
内閣府 .............................................................. 111
宮内庁 .............................................................. 112
公正取引委員会 ...................................................... 113
警察庁 .............................................................. 114
個人情報保護委員会 .................................................. 115
金融庁 .............................................................. 116
消費者庁 ............................................................ 117
復興庁 .............................................................. 118
総務省 .............................................................. 119
法務省 .............................................................. 120
外務省 .............................................................. 121
財務省 .............................................................. 122
文部科学省 .......................................................... 122
厚生労働省 .......................................................... 124
農林水産省 .......................................................... 125
経済産業省 .......................................................... 126
国土交通省 .......................................................... 127
環境省 .............................................................. 128
防衛省 .............................................................. 129- 106 -

別添１ 各府省庁における情報セキュリティ対策に関する取組

統一基準において、各府省庁の最高情報セキュリティ責任者（CISO）は「対策推進計画」を定めることとされている。本別添は、各府省庁のCISOがおおむね2019年度当初までに定めた「対策推進計画」を基として、2018年度の取組の総合評価結果及びそれを踏まえた各府省庁におけるサ
イバーセキュリティ対策に関する2019年度の全体方針の概要について、内閣官房において取りまとめたものである。

- 107 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
内閣官房

内閣官房
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
内閣総務官 原 邦彰

2018度は、従来の標的型攻撃メールに加え、ランサムウェアなどを使用した政府機関に対する攻撃、その他IoT機器の脆弱性を狙った脅威の顕在化などその態様も多様化し、これらの攻撃への対応の重要性が一層増しているところである。
また、GSOCから提供された不審メール情報等を内閣官房において集計したところ、2018年は約350件と経年的には減少傾向にあるものの、技術の高度化により攻撃自体が検知されず潜在・巧妙化し、かつ執拗となっているとも指摘され、政府機関に対するサイバー攻撃の脅威が大きい状況が続いているものと考えられる。
このような事案に対応するためには、ソフトウェア等の脆弱性に関する情報の入手及び必要な対策の実施、世の中に発生している事案に係る正確な情報の収集及び関係部署への情報提供、サイバー攻撃に関する情報の収集・分析、職員に対する注意喚起及び情報セキュリティ教育の充実等が重要となる。
内閣官房においては、多様なソースから情報を入手するよう努めるとともに、入手した情報は、情報の性格・内容に応じ、各々の速報性・正確性に配意して、組織内共有を行うことにより、情報セキュリティ対策の基礎として活用している。
また、一般職員の業務に影響を及ぼすようなセキュリティ事案が発生した場合には、当該事案を解説するとともに注意喚起を図る教材を作成・配布するなど、職員教育を行うことにより、人的な情報セキュリティ対策を行っている。
しかし、日々技術が進歩するとともに新たな脆弱性も発見される情報通信分野において、情報
セキュリティ対策に終わりはない。また、サイバー攻撃に対する防御についても同様であり、コンピュータ技術だけではなく、人を騙すテクニック、いわゆるソーシャルハッキングについても新たな手法が考案されていることから、広い意味でのサイバー攻撃対策についても、絶えず見直す必要がある。
また、GSOCより発出されている不審メール情報等が多い状況が続いていることは、2020年東京
オリンピック・パラリンピック競技大会を控え、関係者に対する警鐘として重く受け止めなければならない。
このような状況を踏まえ、内閣官房では2019年度においても、脅威に関する幅広い情報収集や実践的な職員教育を中心に情報セキュリティ対策を行っていくことが必要であり、さらに効果的な教育を実施する観点から、2017年度に導入したeラーニングを改善した上で引き続き実施するほか、従来の資料配布や、内閣官房内閣サイバーセキュリティセンター等が主催する研修会への参加を一層促進する。
情報収集については、CYMATのコミュニケーションを活用し、他府省との情報交換を積極的に行うことで幅広い分野からの知見を集めるとともに、内閣官房内に速やかな展開を行っていく必要がある。

- 108 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
内閣法制局

内閣法制局
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
総務主幹 平川 薫

内閣法制局は、機密性が高い行政情報を取り扱う政府機関の一員として、情報システムの安全性を確保し、高い情報セキュリティ水準を維持する必要があると認識している。
2018 年度においては、全職員を対象に情報セキュリティ研修及び標的型メール攻撃に対処するための訓練を実施し、CSIRT 構成員を対象にインシデント発生時の対応訓練等により教育・啓発を行った。このほか、内閣官房内閣サイバーセキュリティセンター（以下「NISC」という。）の不審
メール情報等の周知及び注意喚起等に迅速かつ適切に対応するとともに、NISC が実施するマネジ
メント監査の実施により、情報セキュリティ対策の助言を受けた。また、体制整備・人材拡充のために策定した「内閣法制局セキュリティ・ＩＴ人材確保・育成計画」（以下「人材育成計画」という。
）に基づき、リテラシー向上に努めた。
2019 年度においては、
政府機関に対するサイバー攻撃が増大・巧妙化している状況等を踏まえ、法令に関する意見事務及び審査事務を主な所掌事務とする内閣法制局においては、特に、他府省との電子メールの送受信における情報セキュリティ対策に注意することが重要と考えられるため、昨年度に引き続き、全職員を対象とした情報セキュリティ研修の実施、標的型攻撃メールに対処するための訓練の実施のほか、NISC の不審メール情報等に迅速かつ適切に対応することで、マルウェアの感染等のインシデントの発生防止を図る。さらには、人材育成計画に基づき、情報管理担当部門の職員はもとより、一般職員の情報リテラシーの向上を図ることにより、当局全体の体制を強化・整備する。また、統一基準群の改定に伴う内閣法制局情報セキュリティポリシー関連規程の整備、NISC が実施したマネジメント監査における指摘事項に対する改善計画への対応、ペネトレーションテスト、CSIRT 訓練等を通じ、情報セキュリティ対策に取り組むものとする。
このような取組、対策等を実施することによって、引き続き、情報システムの安全性を確保し、情報セキュリティ水準の維持・向上に努めていく。

- 109 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
人事院

人事院
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
総括審議官 松尾 恵美子

人事院では、政府におけるサイバーセキュリティ戦略本部で決定する計画等に基づき、内閣官
房内閣サイバーセキュリティセンター（以下「NISC」という。
）と連携しつつ、情報セキュリティ対策を実施してきているところである。
政府機関を標的とした様々なサイバー攻撃が巧妙化・悪質化し、情報漏えいのリスクや脅威が増大している中、人事院における様々な情報資産を適切に管理しその脅威から守っていくためには、組織として必要な情報セキュリティの確保とその継続的な強化等の対策に取り組むことが不可欠である。
2018年度においては、「政府機関の情報セキュリティ対策のための統一基準」の改定や情勢の変化等を踏まえ、人事院情報セキュリティポリシーを改定し、その周知・徹底及び情報セキュリテ
ィ対策の遵守について再認識させるため、新任管理者を対象とした集合研修や新規採用職員研修における情報セキュリティに関する講義のほか、全職員を対象としたe-ラーニングによる情報セキュリティ教育を実施した。このほか、「人事院におけるセキュリティ・ＩＴ人材確保・育成計画」
で定めた職員を対象として、NISC等が実施する研修への参加を一層促進した。
また、全職員を対象とした標的型メール攻撃訓練を実施し、その結果と標的型メール攻撃の際の対処方法について周知するとともに、不審なメールを受領した際に求められる人事院CSIRTへの報告を経験させた。
職員の情報セキュリティ対策の実施状況について、職員全員に情報セキュリティ対策を実施す
る上でのそれぞれの役割に応じて自己点検を行わせるとともに、課室ごとに結果を分析した。また、監査については、2017年度以降５か年実施計画に基づき選定した部局について実施するとともに、前年実施した監査のフォローアップを行い、情報セキュリティ対策の改善策の実施を確認した。
2019年度においては、自宅におけるテレワークなど要管理対策区域外において情報処理を行う
場合の情報セキュリティ対策を定め、テレワークを希望する職員に対する研修を実施し、情報セキュリティ対策の実施の徹底を図るとともに、万が一情報セキュリティインシデントが発生した
場合に組織として適切に対処するため情報セキュリティ責任者等と人事院CSIRTの間の連携の強化に取り組むこととする。
また、情報セキュリティ対策に係る自己点検や監査を充実させ、PDCAサイクルの実践の促進を図り、情報セキュリティ対策の一層の向上に努めることとする。

- 110 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
内閣府

内閣府
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
大臣官房長 井野 靖久

情報システムの高度化、複雑化を受け、その脆弱性を狙うサイバー攻撃が日々激しさを増している。これまで、不正なメールや危険な添付ファイルの検知、削除等の入口対策、不正なマルウ
ェア等を検知する内部対策、不正な送信先への接続遮断等の出口対策を含む、多層防御による情報システムの強化を図ってきたところである。
その一方で、サイバー攻撃は情報システムの強化だけでは防げず、最も脆弱なのは情報システ
ムの利用者と言われている。標的型攻撃メール等、人間の心理的な隙や行動のミスにつけ込むソーシャルエンジニアリングの手法は年々巧妙化しており、外部からの不正アクセスによる情報漏
えいとともに、データの改ざん、システムの乗っ取り等の脅威が増大している。
こうした中、2019年1月には内閣府LANを更改し、次世代アンチウイルスによる不審なファイルの実行制御、メール誤送信防止機能の強化、Webアクセス分離の実装等、セキュリティ対策を強化した。また、「働き方改革」の一環として一般行政端末の持ち運びを容易とするにあたり、シンクライアント端末を導入し紛失等による情報漏えいのリスクを軽減した。ただし、庁舎外で端末を操作する場合、ショルダーハッキングや公衆無線LANの利用等による情報の窃取など、ユーザに起因するリスクの増加に留意する必要がある。
以上の状況を踏まえ、2019年度は、昨年度に引き続き専門家等の助言を得て、情報システムの構築、運用における技術的なセキュリティの強化に取り組むとともに、標的型攻撃メールに対す
る意識向上、誤送信の防止、政府ドメイン取得、運用方法の周知徹底等、職員に対する教育・訓練、啓発、自己点検等、人への対策を重点的に実施する。

- 111 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
宮内庁

宮内庁
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
長官官房審議官 野村 善史

近年、政府機関等を対象としたサイバー攻撃が頻発し、攻撃の手法も巧妙化・複雑化している状況にあり、宮内庁としても、情報セキュリティ対策の強化は重要な課題となっている。
これまでも、サイバー攻撃に適切に対処していくため、人的な対策と技術的な対策の両方を継続的に実施してきたところであるが、2018年度においては、主に以下の取組を実施した。
○宮内庁セキュリティ・ＩＴ人材確保・育成計画に基づく出向、体制強化○重要な情報とインターネットの分離に係る実効的な対策の推進○宮内庁情報ネットワークシステムの更なる整備に向けた検討
2019年度においては、政府機関等の情報セキュリティ対策のための統一基準群の改定を踏まえ、
宮内庁情報セキュリティポリシーや各種手順等の整備を行う。
また、宮内庁セキュリティ・ＩＴ人材確保・育成計画を推進し、お代替わりに伴う宮内庁の組織改正も踏まえ、改めて全職員の情報セキュリティに対する意識の向上を図るとともに、マルウ
ェアに感染した場合にも被害を最小化できるよう、情報セキュリティインシデント発生時の初動対応の在り方、日常的な情報の保存管理について、重点的な教育を行う。
また、技術的対策としては、宮内庁デジタル・ガバメント中長期計画との整合性を図りつつ、
宮内庁情報ネットワークシステムの更なる整備を円滑に実施し、情報セキュリティ対策の多層化・高度化を図る。
さらに、情報セキュリティ対策に係る自己点検や監査を充実させることにより、PDCAサイクルの推進を図り、一層の情報セキュリティ対策の向上に努めることとする。

- 112 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
公正取引委員会

公正取引委員会
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
官房総括審議官 粕渕 功

公正取引委員会においては、独占禁止法違反事件調査等を通じて、事業者の秘密に関する情報等を取り扱っていることから、情報漏えい等の情報セキュリティインシデントの発生を防止するため、教育・訓練等の様々な対策を行ってきたところである。
2018年度においては、標的型メール攻撃による情報漏えいの脅威が高まっていることから、公正取引委員会においても、同様の攻撃による情報漏えいを防ぐため、標的型メール攻撃に特化した全職員対象の訓練を実施するとともに、不審メールのURLをクリック等した場合にルールに則り報告・連絡を行うエスカレーション訓練も行うことでその対策に関する研修・周知を行った。また、公正取引委員会セキュリティ・ＩＴ人材確保・育成計画を改定し、当該計画に基づき情報セ
キュリティに対する更なる意識向上を図るため、情報セキュリティ全般に関する全職員を対象としたｅラーニング研修を実施したほか、管理職員並びに新規採用、中途採用及び非常勤職員などの階層別の集合研修や情報システム担当者向けの集合研修・ｅラーニング研修を実施した。そのほか、引き続き、当該計画に基づき情報セキュリティ関係機関への出向を行うことにより、人材の育成を図った。さらに政府統一基準群の改定や内閣官房内閣サイバーセキュリティセンターによるマネジメント監査、自己点検・監査の結果を踏まえ、公正取引委員会における情報や機器の取扱いについての関係規程を見直し、情報セキュリティ水準の向上を図った。
2019年度においては、引き続き、情報セキュリティ全般に関する教育・訓練を実施し、情報セキュリティ対策に関する自己点検及び監査を実施する。また、標的型メール攻撃に特化した訓練については、今年度の訓練結果を踏まえ、内容等を見直すなどにより、実際の標的型メール攻撃に即した対応ができるようにする。そのほか、情報セキュリティインシデントが発生した際に、迅速かつ的確に対応できるよう、インシデント発生を想定した連絡訓練に加え、公正取引委員会の関係部局において初期対応訓練を行い、公正取引委員会として、情報セキュリティ対策の更なる向上を図る。

- 113 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
警察庁

警察庁2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ管理者
情報通信局長 彦坂 正人

警察庁では、犯罪捜査や運転免許等に関する個人情報等のほか、多くの機密情報を取り扱っていることから、これまでも情報セキュリティを確保するため、警察情報セキュリティポリシーを策定し、情報システムに対する技術的対策を講じるほか、警察情報セキュリティポリシーを策定するなどして職員の情報セキュリティに関する規範意識の徹底等を図ってきた。
2018年度においては、2018年７月に「政府機関等の情報セキュリティ対策のための統一基準群」が改正されたことを受け、2018年９月に警察情報セキュリティポリシーを改正し、対策の強化等を図った。また、改正した警察情報セキュリティポリシーの浸透・徹底を図るとともに、教育教材について、昨今の情報セキュリティに係る脅威等を踏まえて内容を見直した上で、各種教育を実施した。
標的型メール攻撃への対応については、その手口が巧妙化している情勢を踏まえ、昨年度に引き続き、外部との電子メールの送受信を行っている職員を対象に標的型メール攻撃に関する訓練を実施し、職員の対処能力の向上を図った。また、各都道府県警察におけるCSIRT担当者の情報セキュリティインシデント対処能力向上及び連携強化を目的として、それぞれのCSIRT担当者を招致した訓練等を実施した。
このほか、情報セキュリティ監査も毎年度実施しており、監査の結果、情報セキュリティに関する教育の実施等、積極的な取組を確認した。一方で、端末のセキュリティ対策等の実施状況に
おいて改善を要する事項が認められたことから、改善措置の結果報告を求めるなどして確実に対策を講じた。
2019年度においても、引き続き、緊張感を持ち、悪質化・巧妙化する標的型メール攻撃への対応能力向上を目的とした訓練や監査、脆弱性試験の結果等を踏まえた情報システムに対する技術的対策を実施するとともに、「IT調達に係る国の物品等又は役務の調達方針及び調達手続に関する申合せ」（平成30年12月10日関係省庁申合せ）に基づき必要な措置を講じる。また、職員が警察情報セキュリティポリシーの趣旨を理解し、適切に情報通信技術を活用できるよう情報リテラシーの向上を図っていく。
昨今、情報セキュリティをめぐる情勢は非常に厳しいものがあるが、警察庁では、上記取組を計画的に進め、情報セキュリティの確保に万全を期していく。

- 114 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
個人情報保護委員会

個人情報保護委員会
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
事務局長 其田 真理

個人情報保護委員会（以下「委員会」という。
）は、個人情報の保護に関する法律（平成 15 年
法律第 57 号）に基づき、2016 年１月１日に設置された合議制の機関である。その使命は、独立した専門的見地から、個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであることその他の個人情報の有用性に配慮しつつ、個人の権利利益を保護するため、個人情報（特定個人情報を含む。
）の適正な取扱いの確保を図ることである。
この使命を十分認識し職務を遂行すべく、委員会は、個人データをめぐる状況の変化に対す
る適切な対応、個人番号のセキュリティの確保、情報セキュリティ等について最先端の技術や国際的な連携に対応できる体制の整備に取り組むこと等を内容とする「個人情報保護委員会の組織理念」（2019 年２月５日委員会決定）を踏まえて業務に取り組んでいるところである。
委員会は、このような組織の使命及び理念を踏まえて、その業務遂行のために管理する情報及び情報システムを適切に保護する観点から、情報セキュリティ対策について万全を期す必要がある。
2019 年度においては、政府機関におけるセキュリティ・IT 人材育成に係る受入れ府省としての立場も踏まえて、2018 年度に改定した「個人情報保護委員会情報セキュリティポリシー」（2018
年 12 月 14 日最高情報セキュリティ責任者決定）の周知徹底を行うほか、委員会事務局の更なる体制拡充を踏まえて、新入・転入職員を含む全ての職員において的確な対応を可能とするとともに、円滑かつ確実な情報システムの整備・管理の徹底を図るものとする。

- 115 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
金融庁

金融庁
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
総合政策局総括審議官 中島 淳一

昨今、政府機関等からの情報の窃取等を企図したサイバー攻撃は、一層複雑化・巧妙化を続けている。また、政府機関等の職員や外部委託先の社員による事務過誤や犯罪による情報漏洩も大きな脅威となっており、情報セキュリティの確保は、引き続き重要な課題となっている。
一方で、「世界最先端デジタル国家創造宣言・官民データ活用推進基本計画について（2018 年６月 15 日閣議決定）」において、「世界最先端デジタル国家」へ目標を深化させていくことが表明され、ビックデータ利活用等の IT の活用に関する様々な具体的施策が進められており、IT の利便性と情報セキュリティとの高いレベルでの両立が求められている。
こうした状況にあって、金融庁としても、サイバー攻撃等に対応するための網羅的な対策を継続していくことの必要性を強く認識しており、2018 年度においては、情報セキュリティに関する教育・訓練の実施、情報セキュリティに関連する規則や手順等の改定、技術的対策の多重化・多層化等に取り組んだところである。
2019 年度においては、基本的にはこれまでの取組みを継続することとしつつ、2018 年度の取組
みにより明らかになった課題や、政府機関全体としての情報セキュリティ対策に関する取組みへの的確な対応を念頭におき、情報セキュリティに関する教育・訓練、情報システムに関する新たな技術的対策の導入に向けた検討、インシデント発生時における対応体制の見直しなどに引き続き取り組み、ＰＤＣＡの徹底により、情報セキュリティ水準の一層の向上を図っていくこととする。

- 116 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
消費者庁

消費者庁
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
次長 井内 正敏

2018 年度は、当庁情報システムの根幹である消費者庁ネットワークシステム（以下「当庁Ｌ
ＡＮシステム」という。
）の更改を通じて、技術的な面における情報セキュリティ対策の強化を行った。ネットワーク分離やログ統合監視機能等の導入により、庁外からの不正なアクセスに対する防御能力を向上させると同時に、シンクライアント端末や仮想デスクトップの採用により、行政端末からの情報漏えいのリスクを低減させた。
人的対策の強化についても継続して取り組んでいる。当庁ＬＡＮシステムの更改に合わせて、「政府機関等の情報セキュリティ対策のための統一基準群（平成 30 年度版）」に準拠する形で、当庁情報セキュリティポリシー（以下「当庁ポリシー」という。
）及び付随規程類を改定し、職員への周知を行った。また、年２回実施した不審メール訓練では、前年度の訓練よりも不審メールの開封率が大きく低下しており、継続的な取組によって職員の情報セキュリティ意識が向上していることが確認された。
2019 年度は、昨年度と同様に、
ＰＤＣＡサイクルに従って情報セキュリティ対策を推進する。
対策のうち、情報セキュリティ教育に関しては、全職員を対象とした e ラーニングによる教育や不審メール訓練を継続して行い、情報セキュリティ意識の向上を目指す。なお、教育内容については必要に応じて見直しを行う。当庁ＬＡＮシステムを始めとする当庁が所管する情報システムに関しては、当庁ポリシー等や情報セキュリティ要件に従い適切に対策が行われるよう管理する。
上記の対策内容について、自己点検や情報セキュリティ監査によって遂行状況を確認し、問題点等があれば計画的な改善活動を行う。

- 117 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
復興庁

復興庁
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
統括官 末宗 徹郎

復興庁は、復興に関する施策の企画、調整及び実施、地方公共団体への一元的な窓口と支援等を行う行政機関として、復興庁情報セキュリティポリシーの整備をはじめ、様々な情報セキュリ
ティ対策の実施、情報セキュリティ対策のための体制整備、職員への情報セキュリティ教育の実施等を図ってきた。

2018年度は、「政府機関等における情報セキュリティ対策のための統一基準群」の改定を踏まえ、復興庁情報セキュリティポリシー等の関係規定の改定を実施した。
また、全職員を対象とした情報セキュリティ研修や標的型攻撃への対処訓練を実施するなど、職員の情報セキュリティ水準の更なる向上、多様化する標的型攻撃への適切な対処のための教育・訓練を実施した。
情報セキュリティ監査については、2017年度に引き続き、復興局を対象に情報セキュリティ監
査を実施し、復興局における情報セキュリティ対策の実施状況等を把握した。

2019年度においては、2018年度に実施した情報セキュリティに関する自己点検で明らかとなった課題等を踏まえ、情報セキュリティ教育のための研修教材の見直しの実施など、復興庁職員の更なる情報セキュリティ対策に対する意識の向上を図ることにより、復興庁全体の情報セキュリ
ティ水準の維持・向上に取り組んでいくこととする。

- 118 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
総務省

総務省
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
サイバーセキュリティ統括官 竹内 芳明

総務省は、行政組織、公務員制度、地方行財政、選挙、消防防災、情報通信、郵政事業など、国家の基本的仕組みに関わる諸制度、国民の経済・社会活動を支える基本的システムを所管しており、国民生活の基盤に広く関わる行政機能を担っている。本計画は、職員及び省内の情報システ
ム全てを対象とし情報セキュリティ対策のより一層の推進を目指すものである。
○2018年度の総合評価
2018年度は、政府統一基準群の改定を受け、総務省情報セキュリティポリシー（以下、「ポリシー」という。
）の改定を行い、引き続き、政府統一基準群に沿った対策が行えるよう配慮した。また、前年度の対策推進計画に基づく各種情報セキュリティ対策を実施したところ、自己点検や監査等の結果から、省内はおおむね適切な状態が保たれていると評価をしている。
○2019年度の計画
2019年度以降、国際的な大規模イベントが多数開催されることを踏まえ、引き続き、サイバー
セキュリティに係る対策の実施を行う。特に、2018年度に実施した施策及びリスク評価の結果を踏まえ、以下の事項を重点的に実施する。
また、内閣サイバーセキュリティセンターによる重点検査、各種監査等に対しては、重要な取り組みとして随時対応を行う。
(ア)サイバー攻撃等に備えた教育・訓練の実施
省内の情報セキュリティ対策・職員のセキュリティ意識については、従来から教育を通じ向上に努めてきたところであるが、昨今の政府機関等へのサイバー攻撃等の増加・高度化も踏まえ、以下の教育・訓練を行う。
・ 最新のサイバー攻撃動向に対応した教育・ 情報システム向けの情報セキュリティインシデント対応訓練(イ)セキュリティ対策推進のための取組の実施
総務省においては、「大臣官房企画課サイバーセキュリティ・情報化推進室サイバーセキュリテ
ィ対策担当」及び最高情報セキュリティアドバイザーがCSIRTとして省内及び所管法人における情報セキュリティインシデントの対応を行うとともに、省内から寄せられる情報技術利活用時の情報セキュリティに係わる相談への対応を行ってきた。2019年度においても、引き続き以下の取組を実施する。
・ 省内及び所管法人における情報セキュリティインシデントへの対応
・ 最高情報セキュリティアドバイザーによる情報システム向け相談会の実施
・ 利活用とのバランスを考慮した情報セキュリティ対策の推進
・ 情報セキュリティに関する教育及び自己点検の実施
・ 情報セキュリティ監査（ウェブサーバ監査、運用準拠性監査、ポリシー監査等）
・ 不審メールへの適切な対応に関する訓練- 119 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
法務省

法務省
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
大臣官房長 川原 隆司

法務行政は、国民の生命、身体、財産、そして、安全、安心を預かる国の礎となる職務であり、法務行政を司る法務省においては、国民の安全・安心な暮らしと持続可能な経済社会の基盤確保に資するために、サイバーセキュリティを含む情報セキュリティの確保に特に万全を尽くす必要がある。
かかる認識の下、サイバーセキュリティ戦略において示された取組の方向性を踏まえ、2018
年度は、前年度に全面改定を行った当省の情報セキュリティの基本的枠組みを定める情報セキュ
リティポリシー（法務省における情報セキュリティ対策の基本方針等）について、確実な遵守のための浸透を図るとともに、あわせて、情報セキュリティマネジメントの実効性確保のための取組として, 助言型の内部監査の試行を実施した。
また、情報セキュリティの様々な取組への適切な対応に必要な人材の確保のため、「法務省におけるセキュリティ・ＩＴ人材確保・育成計画」（2016 年８月３１日最高情報セキュリティ責任者決定。以下「人材育成計画」という。
）の見直しを行うとともに、同計画に基づき、セキュリ
ティ・IT 人材の確保・育成を継続的に進めた。
これらの取組等を評価すると、情報セキュリティに係る教育、自己点検及び監査等の取組を通じて、新たな情報セキュリティポリシーの浸透は進んでいるものの、情報セキュリティ対策が組織全体で実行されるためには、各組織における情報セキュリティポリシーに基づく対策の実施状
況を確認し、確実な遵守のための改善を図る必要がある。すなわち、組織及び情報システムの運用における情報セキュリティ対策が適切に行われているかを確認し、その結果に基づき情報セキ
ュリティ対策の適切な改善に取り組むことが求められる。また、2018 年７月の政府統一基準群の改定を契機とした法務省ポリシーの改定を行ったことから、最新の情報セキュリティポリシー
の浸透を効果的に進める必要がある。
さらに、サイバー空間における脅威の深刻化を踏まえて、新たな脅威の発生に適切に対応できるように継続的に改善を進めるとともに、事案発生時には迅速かつ適切に対処できるよう、組織としての対処能力の維持・向上を図る必要がある。
したがって、2019 年度は、最新の情報セキュリティポリシーに基づいた情報セキュリティ対策を浸透させつつ、組織及び情報システムの運用における情報セキュリティ対策の取組状況に関する監査を通じて情報セキュリティポリシーの遵守状況を確認するとともに、情報セキュリティ
インシデントに対処する要員等の知見及び技能の向上を通じたサイバーセキュリティ対処能力の向上に取り組むこととする。

- 120 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
外務省

外務省
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
大臣官房長 下川 眞樹太

外務省は、安全保障をはじめとする外交機密情報に加え、旅券や査証、海外に在留する邦人の保護に関連した個人情報等多様な情報を取り扱っており、情報セキュリティの確保は最重要課題の一つである。一方で、当省職員を標的とした不審メールが恒常的に送られており、またその技術や手口は日々巧妙化・高度化していることから、電子情報を含めた情報の適切な管理やセキュ
リティの確保のあり方について不断に見直していく必要がある。
＜外務省情報セキュリティポリシーの策定＞
2018 年度の取組としては、同年７月の政府統一基準群の決定を受け、当省におけるセキュリテ
ィ政策の土台となる「外務省情報セキュリティポリシー」の改定を行った。さらに職員の理解促進を目的として当該ポリシーをわかりやすく解説したマニュアル等も策定した。
＜セキュリティマインドの向上：サイバー訓練＞
標的型メールの模擬訓練を職員向けに複数回実施した。特に、当省ではＬＡＮをはじめ各種情報システムを在外公館でも共有していることから、一般の職員の他に現地採用の外国人職員も含めた同メール訓練を日本語及び英語で本省・在外公館双方において同時に実施した。
＜情報セキュリティ政策部門との協力や研修の充実化＞
刻々と進化するサイバー攻撃に対して実効性のある防御を行うためにも、その動向の把握が重要である。この観点から、セキュリティ専門家を外部から招いて省員向け研修を行う等して、セキュリティ分野における最新情報の共有を行っている。
また、省内のサイバー政策部門における意見交換を定期的に行ってきており、国際社会におけるサイバー問題への協力体制や各国の取組について把握するほか、当省が受けているサイバー攻撃の状況をシステム部門が政策部門に情報共有する等、多面的な取組を行っている。
＜インシデント発生への対処＞
実際に事案が発生した場合に備え、インシデント発生の際の情報共有フローを見直し、省内のサイバーセキュリティ・情報化参事官や所管する独立行政法人等との連絡が一層迅速に行われるよう体制を整備する等、即応力の強化を図っている。
2019 年度は、Ｇ20 大阪サミット、第７回アフリカ開発会議（ＴＩＣＡＤ７）、即位礼正殿の儀といった諸外国の要人が参加する大規模行事が予定されている。これら行事が円滑に執り行われ
るよう、また、本格化する 2020 年東京オリンピック・パラリンピック競技大会の準備と並行して、引き続き外交業務が円滑に行われるよう、特に以下の事項について取り組み、外務省全体の情報
セキュリティ水準のさらなる向上を図っていく。
（１） 改定した「外務省情報セキュリティポリシー」に則した教育資料の策定、ｅラーニングの実施（２）情報システム保有課室のシステム担当者向け情報セキュリティ講習会の創設（３）民間企業での取組事例や省員アンケート結果を参考にした効果的な啓発・教育方法の検討- 121 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
財務省

財務省
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
大臣官房長 矢野 康治

近年、政府機関等を狙ったサイバー攻撃が一層複雑化・巧妙化し、攻撃対象も拡大している。
財務省では、従来から情報セキュリティの重要性を強く認識し、昨今の情報セキュリティ情勢を踏まえつつ、内閣官房内閣サイバーセキュリティセンター（以下「NISC」という。）とも連携し、情報セキュリティの確保に取り組んできた。
2018年度においては、政府機関としてのセキュリティ対策を進める観点から、以下の項目に取り組んだ。
・ 全職員を対象とした情報セキュリティ研修・標的型メール攻撃訓練を実施したほか、システ
ム所管部局を対象とした研修や省内・地方支分部局の幹部職員等を対象とした定期的な説明会を実施
・ システム統括部局（大臣官房文書課業務企画室）を中心に、CSIRT要員等のインシデント対処訓練やサイバー防御演習への参加
・ 省内における情報セキュリティ上の課題把握のための内部監査や自己点検等を実施
・ NISCによる独法への監査について、所管独法等連絡会議を開催して情報を共有
・ 2018年7月に改正された政府統一基準群を踏まえた財務省情報セキュリティ対策基準の改定
・ CIO補佐官４名を最高情報セキュリティアドバイザーとして指名

2019年度においては、着実に情報セキュリティ対策の強化を進めるため、新たに、「IT調達に係る国の物品等又は役務の調達方針及び調達手続に関する申合せ」を踏まえた調達手続の実施（サプライチェーン・リスク対応）や、サイバーセキュリティ協議会構成員として求められる役
割・取組みを進めていくとともに、引き続き、以下の項目に取組むこととする。
・ 「財務省セキュリティ・ＩＴ人材確保・育成計画」（2016年8月策定）を踏まえ、全職員及び職位・階層に応じた職員を対象に情報セキュリティ研修や説明会等を実施するほか、職員に対して各種外部研修や情報セキュリティインシデントの対処訓練等への参加を奨励（職員セキュ
リティ意識の向上を図る）
・ 情報セキュリティに関する自己点検や内部監査等をより計画的に実施し、その結果を踏まえ、研修等に反映（PDCAサイクルを継続的に推進する）
・ 所管独法等との情報共有（財務省組織を挙げた情報セキュリティ体制で対応）

文部科学省
2018 年度の総合評価・2019 年度の全体方針- 122 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
文部科学省

最高情報セキュリティ責任者
大臣官房長 生川 浩史

近年、教育、研究機関等において、攻撃者がターゲットとする特定組織の特性に応じて、当該組織にのみ適用する高度なサイバー攻撃の手法を用いて執拗に攻撃を行う「標的型攻撃」が疑われる事案の発生が増加しており、当該機関等を所管する文部科学省においても、更に高度なサイバー攻撃が行われる可能性を想定したセキュリティ対策を講じる必要がある。
本計画を策定するにあたり、統一基準群に基づき、「高度サイバー攻撃対処のためのリスク評価等のガイドライン（2016 年 10 月７日サイバーセキュリティ対策推進会議決定）」（以下、「リスク評価等のガイドライン」という）に沿ってリスク評価を行った。
リスク評価の結果、リスク評価等のガイドラインに示された対策セットについては、文部
科学省の基幹システムである行政情報システムにおいて導入済みであったが、日々進化する
脅威に対応するためには、対策セット以外の対策や、CSIRT 能力の強化といった対策を講じていく必要がある。
また、外部からの直接的な攻撃のみならず、情報セキュリティインシデントにつながる可能性のある省内職員による人的ミスを防止するために必要な取組を引き続き行っていく必要がある。
以上を踏まえ、行政情報システム及び CSIRT の運用を通じて更なるサイバー攻撃に対する防御力の強化、並びに、インシデント対処能力の向上を推進するとともに、全職員に対して情報セキュリティ意識を向上させるため、本年度は以下に掲げる取組を推進する。

(1)

情報セキュリティポリシーを全職員に浸透させるため、教育コンテンツの改善や内容の充実とともに実施体制を強化(2)

セキュリティ対策の強化が必要な事項に対する自己点検の実施(3)

情報セキュリティ監査（準拠性監査及び情報システム脆弱性診断）の実施(4)

CSIRT 要員におけるインシデント・ハンドリング能力及び最先端のサイバーセキュ
リティに関する情報収集能力強化(5)

その他、情報セキュリティ対策を向上するために必要な対策の実施- 123 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
厚生労働省

厚生労働省
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
厚生労働審議官 宮川 晃

近年のインターネットその他の高度情報通信ネットワークの整備及び情報通信技術の活用の進展に伴い、これら技術を行政事務に積極的に活用することにより、国民の利便性や業務の効率化の向上を図る必要がある一方で、世界的規模で生じているサイバーセキュリティに対する脅威も年々深刻化し、政府機関を標的とした様々なサイバー攻撃が増加している。
医療や年金、雇用対策など、国民生活に直結する政策を担っている厚生労働省（以下「当省」という。
）においては、業務で取り扱う情報資産を適切な運用管理の下、あらゆる脅威から守ることが重要であり、そのためには、必要な情報セキュリティの確保とその継続的な強化・拡充に取り組むことが不可欠である。
こうした状況を踏まえ、2018年度においては、次の取組を重点的に実施した。
・ 高度な標的型攻撃に対する多層防御対策の強化
・ インターネットからの重要情報に対する直接的なサイバー攻撃が及ばないようにするための内外環境の論理的な分離の実施
・ 「政府機関等の情報セキュリティ対策のための統一基準群」の見直し等に基づく当省情報セ
キュリティポリシー（以下「ポリシー」という。
）及び関係規程の改定
・ 情報セキュリティ監査の実施
2019年度においては、これまでの取組内容を一部見直して継続実施するとともに、新たに以下の取組を実施することとする。
・ 2020年東京オリンピック・パラリンピック競技大会に向けたサイバーセキュリティ対策の強化
・ IT 調達に係るサプライチェーン・リスク対応の強化
・ 2018年度に改定したポリシー及び関係規程に関する具体的な手続・対策を示した階層別研修の充実
当省においては、今後も情報セキュリティを取り巻く環境や情報通信技術の動向を踏まえつつ、
新たなリスク・脅威に適切に対応するとともに、引き続き情報セキュリティ対策の維持・強化に努めていくこととする。

- 124 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
農林水産省

農林水産省
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
大臣官房長 水田 正和(1) 国内においては、依然として、組織を狙った巧妙な標的型メール攻撃が発生しているほか、電子メールのクラウドサービスやウェブメールのサーバが不正アクセスされ、情報の窃取や迷惑メール送信の踏み台にされる事案が多数発生するなど、サイバー攻撃は、より一層、巧妙化・深刻化が進んでいる状況である。

(2) このような中、農林水産省においては、省内の LAN システムについて、2016 年１月に、省内 18 シ
ステムのうち９システムを統合（第１次統合）し、2019 年３月に、残りの９システムを統合（第２次統合）したところである。これに伴い、サイバー攻撃の監視や情報セキュリティインシデント対処等の体制を本省に一元化するなど、LAN システムに関する情報セキュリティ対策の強化を図ったところである。

(3) また、情報セキュリティ推進体制の強化を図るため、2018 年度から外部委託により農林水産省最高
情報セキュリティアドバイザーを確保し、発生した情報セキュリティインシデントについて、適切に対処するための助言や支援を得ながら、迅速かつ的確な初動対応等に当たっているところである。

(4) これらの状況を踏まえ、2019 年度においては、農林水産省における情報セキュリティ関係規程に基づく取組のほか、以下の取組を実施することとする。

ア 農林水産省 CSIRT 構成員、情報システムセキュリティ管理者等に対し、情報システムのセキュリティ対策に関する研修や情報セキュリティインシデントの発生を想定した実践的な演習等の実施
イ ソフトウェアの重大な脆弱性に関する注意喚起及び対策の実施状況の把握
ウ 2019 年度に発足するサイバーセキュリティ協議会を通じたサイバー攻撃に係る情報共有の推進
並びに当該情報を活用したサイバー攻撃の被害予防及び迅速かつ的確なインシデント対処
エ 外部委託により確保した農林水産省最高情報セキュリティアドバイザーの活用による情報セキ
ュリティ推進体制の充実・強化

また、引き続き、内閣官房内閣サイバーセキュリティセンター、農林水産省所管独立行政法人等の関係機関と連携し、情報共有を図っていくほか、発生した情報セキュリティインシデントへの迅
速かつ的確な対処等に努めるものとする。

- 125 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
経済産業省

経済産業省
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
大臣官房長 糟谷 敏秀

経済産業省は、これまでに政府におけるサイバーセキュリティ戦略本部で決定する計画等に基づき、内閣官房内閣サイバーセキュリティセンター（以下「NISC」という。
）と連携しつつ、情報
セキュリティ対策を実施してきているところ。
昨今、メールやウェブを経由し政府機関等を狙ったサイバー攻撃（標的型攻撃、ＤＤｏＳ攻撃、メールの大量送付、アプリケーションの脆弱性を悪用した攻撃等）は、対象や手法の多様化、規模の拡大の様相を呈しているところ。このようなサイバー攻撃から重要な情報資産を守り、業務サービスを維持することができる高い情報セキュリティを確保することが求められている。
2018 年度においては、2018 年７月に実施された統一基準の改定に伴う当省内の関連規程の改定、職員のセキュリティ意識の向上等のための情報セキュリティに関する監査、教育、自己点検等を実施するとともに、セキュリティ・IT に係る人材の確保・育成に資するべく NISC 等の実施する CSIRT 訓練や各種研修等に参加した。
また、情報システムについても、基幹 OA システムの更なるセキュリティ対策や精度向上、省内各部局で所管する業務用情報システムの情報セキュリティ対策の実施状況の確認及び対策を実施した。
2019 年度においては、これまでの取組みを継続することとしつつ、2018 年度に明らかになった
課題や、政府機関全体としての情報セキュリティ対策等に関する取り組みを念頭に置き、以下を実施することで、情報セキュリティ水準の維持・向上に取り組んでいく。
(1) 当省で所管するシステム等について、2018 年度に引き続きセキュリティ対策を維持・向上(2) 各部局で所管する業務システム等におけるセキュリティ対策の実施状況の確認と対策の強化(3) 人材・育成計画に基づく取組の継続によるセキュリティ・IT 人材の確保・育成(4) 監査や自己点検を通じた、各部局や職員一人一人の情報セキュリティに係る体制の強化・意識の向上(5) 当省のインシデント・レスポンス能力の更なる向上のための NISC が実施する CSIRT 訓練や各種研修等への参加- 126 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
国土交通省

国土交通省
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
総合政策局長 栗田 卓也

近年では、国土交通省をはじめ、独立行政法人や所管事業者等に対するサイバー攻撃が多数観測・報告されており、2020年東京オリンピック・パラリンピック競技大会等に向けて、これらは、より一層、複雑化・巧妙化・増加することが予想される。特に標的型メール攻撃については、やり取り型攻撃や複合的攻撃など、その手口が巧妙化し、政府機関等においても大きな被害が発生している。
このような中、国土交通省では、情報セキュリティ対策を推進している。
具体的には、2018年度においては、主なものとして、以下の対策を実施した。
①「政府機関等の情報セキュリティ対策のための統一基準群」の改定を受け、国土交通省情報セ
キュリティポリシーを改定。また、情報セキュリティインシデント発生時の対処を適切に実施するため、「情報セキュリティインシデントの報告及び対処手順」を改定②セキュリティ・IT人材の確保・育成を推進するため、「国土交通省セキュリティ・ＩＴ人材確保・育成計画」を改定するとともに、橋渡し人材のスキル認定の手続を設定③職員に対し、役職段階別等の研修を実施するとともに、総務省等が実施する研修への職員の参加を奨励。また、省内イントラネットの情報セキュリティ関連ページを充実④情報セキュリティ対策の持続的な向上を図るため、情報セキュリティ対策の自己点検及び情報
セキュリティ監査を実施⑤内閣官房内閣サイバーセキュリティセンターが実施するインシデント対処訓練及び情報通信研
究機構（NICT）が実施するサイバー防御演習（CYDER）に参加⑥国土交通省のメール・インターネット接続機能等に用いる情報システムの情報セキュリティ対策を強化⑦これらのほか、独立行政法人、重要インフラ分野、所管事業者の情報セキュリティ対策を強化するため、国土交通省所管独立行政法人CISO連絡会議の開催、重要インフラ分野（航空、鉄道、物流）の情報共有体制である交通ISAC（仮称）の創設の支援、空港分野の重要インフラ分野への追加、所管事業者向けの情報セキュリティ対策のチェックリストの配布等を実施
2019年度においては、変化するサイバー攻撃の状況や過去の経験から得た知見を踏まえつつ、①セキュリティIT人材の確保・育成、②情報セキュリティに関する教育、③情報セキュリティ対策の自己点検、④情報セキュリティ監査、⑤情報システムに関する技術的対策を推進するための取組、⑥国土交通省情報セキュリティポリシーに基づく規程の改定等を推進する。

- 127 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
環境省

環境省
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
大臣官房長 鎌形 浩史

近年、標的型攻撃に代表されるサイバー攻撃の手法は一層の複雑化と巧妙化が進み、政府機関
をはじめとする組織内部の情報窃取に対する脅威が継続している。また、2020年東京オリンピッ
ク・パラリンピック競技大会の開催に向け、今後さらなる攻撃の増加が懸念されるところ、サイバー攻撃は、行政事務従事者だけでなく外部委託先も含めて対象となることから、サプライチェーン全体における情報セキュリティ対策は重要な課題となっている。このような脅威に対し、環境省では、「侵入を前提とした多層防御」による『システム的対策』と、情報資産の紛失等の人為的なミスや外部委託先に対する管理の強化といった『人的対策』について、それぞれ取組を継続しているところである。
2018年度においては、「政府機関の情報セキュリティ対策のための統一基準」（平成30年７月25日改定、サイバーセキュリティ戦略本部決定）に基づき、「環境省情報セキュリティポリシー」（以下、「ポリシー」という）の改定を行った。また、2018年度の情報セキュリティ教育では、e-ラー
ニングを通じて当該ポリシーの改定内容の浸透を図るとともに、集合研修や標的型メール訓練等
によって、実践的な対策レベルの底上げを図った。さらに、自己点検における省内の情報システ
ムの対策状況の調査や、各種監査における指摘事項への対応に加え、新たに省内でのクラウドサービスの利用実態を調査し、潜在するリスクの把握に努めた。
2019度においても、情報セキュリティ対策のPDCAサイクルに則り、従来の取組の質的向上を継続する。2018年度の取組の結果を踏まえて取組内容を見直しつつ、教育等の対策を効果的に推進するとともに、情報セキュリティ監査や自己点検の結果等に基づき、情報セキュリティ対策を総合的に改善、強化していく。
また、2018年度に検討を開始した次期システム更改に向け、働き方改革及び人材の多様化の支援等を推進するため、情報通信技術の活用、更にはAIやIoTを始めとする新技術の利活用の可能性を視野に入れ、業務効率化、柔軟性の確保と利便性の向上を図りつつ、十分なセキュリティを確保する等、時代の変化に合わせた新たな取組にも努めることとする。

- 128 -

別添１ 各府省庁における情報セキュリティ対策の総合評価・方針
防衛省

防衛省
2018 年度の総合評価・2019 年度の全体方針
最高情報セキュリティ責任者
整備計画局長 鈴木 敦夫

サイバー攻撃の脅威が日々、高度化・巧妙化する中、防衛省・自衛隊としても、サイバー空間
における更なる能力の向上は喫緊の課題であると認識しており、2018年度においては、サイバー防衛隊の体制強化、最新技術の研究、サプライチェーン・リスク対策等、様々な観点から能力を強化するため、主に以下の取組を行った。
○サイバー防衛隊の体制強化（約40名の増員）○移動系システムを標的としたサイバー攻撃対処のための演習環境の整備に関する研究○人工知能のサイバーセキュリティへの応用に関する調査研究○サプライチェーン・リスク対策として、調達仕様書に係る関連規則の整備

また、防衛省の情報セキュリティポリシー等に基づき、職員に対する情報セキュリティ対策の実施状況に関する自己点検、情報システムの利用環境等に関する重点検査及び職員に対する所持品検査等を実施し、情報セキュリティ対策が適切に取られていることを確認した。また、2019年
２月の防衛省情報セキュリティ月間においては、重点テーマを「不審メールへの対処能力の向上～ 私はだまされない！ ～」とし、全職員に対して、最新の脅威に対し留意すべき事項について教育を行うとともに、標的型攻撃等への対処に係るメール訓練を行った。更に部外有識者を招聘し、情報セキュリティ講習会を実施することで、職員のサイバーセキュリティに関する意識の向上を図った。

2019年度においては、2018年12月に策定された新たな防衛計画の大綱及び中期防衛力整備計画に基づき、①サイバー防衛隊等の拡充、②相手方によるサイバー空間の利用を妨げる能力の保持、③ 専門教育課程の拡充など優秀な人材の計画的な育成等、サイバー防衛能力の抜本的強化のための施策を進めていくこととする。その際、政府全体としての取組に寄与できるよう、防衛省・自衛隊の知見や人材の共有等を通じ、平素より関係府省庁との連携を強化する。また、2018年度に引き続き、防衛省の情報セキュリティポリシー等に基づく点検、教育、メール訓練等を実施する
ことで、全省的なサイバーセキュリティの更なる向上に努める。

- 129 -

- 130 -別添２2018 年度のサイバーセキュリティ関連施策の実施状況 (一覧表)- 131 -

＜別添２－目次＞
1. 経済社会の活力の向上及び持続的発展 ............................... 133
1.1. 新たな価値創出を支えるサイバーセキュリティの推進 ................... 133
1.2. 多様なつながりから価値を生み出すサプライチェーンの実現 ............. 136
1.3. 安全な IoT システムの構築 ........................................... 139

2. 国民が安全で安心して暮らせる社会の実現 ........................... 141
2.1. 国民・社会を守るための取組 ......................................... 141
2.2. 官民一体となった重要インフラの防護 ................................. 147
2.3. 政府機関等におけるセキュリティ強化・充実 ........................... 156
2.4. 大学等における安全・安心な教育・研究環境の確保 ..................... 161
2.5. 2020 年東京大会とその後を見据えた取組............................... 162
2.6. 従来の枠を超えた情報共有・連携体制の構築 ........................... 164
2.7. 大規模サイバー攻撃事態等への対処態勢の強化 ......................... 166

3. 国際社会の平和・安定及び我が国の安全保障への寄与 ................. 168
3.1. 自由、公正かつ安全なサイバー空間の堅持 ............................. 168
3.2. 我が国の防御力・抑止力・状況把握力の強化 ........................... 171
3.3. 国際協力・連携 ..................................................... 176

4. 横断的施策 ....................................................... 181
4.1. 人材育成・確保 ..................................................... 181
4.2. 研究開発の推進 ..................................................... 187
4.3. 全員参加による協働 ................................................. 191

5. 推進体制 ......................................................... 193- 132 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
1. 経済社会の活力の向上及び持続的発展

1. 経済社会の活力の向上及び持続的発展
1.1. 新たな価値創出を支えるサイバーセキュリティの推進(1) 経営層の意識改革
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・経営層に説明や議論ができる人材の発掘・育成、経営層向けセミナー等の開催による、経営層の意識改革
・対策の可視化など、経営層に訴求するための施策の推進
・企業が参照すべき法制度に関する整理
項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、2016 年に決定した「企業経営のためのサイバ ・内閣官房において、サイバーセキュリティに対すーセキュリティの考え方」及び 2018 年に決定した「サイバーセ る経営層の意識に関する調査を行うとともに、産キュリティ人材育成取組方針」を踏まえ、関係府省庁と協力し、 業界による経営層向けのセミナー等の取組に積サイバーセキュリティ対策の推進に関する以下の取組を行う。
極的に協力を行った。
・サイバーセキュリティ対策について経営層が果たすべき役
割、持つべき認識についての考え方の共有を図るため、「企業経営のためのサイバーセキュリティの考え方」の見直しを検討する。
・サイバーセキュリティ対策の取組を分かりやすく表現・普及するため、マークやスローガンなどのツールについて検討を行う。
・サイバーセキュリティ対策に関して、経営層が果たすべき
役割・認識について、経営層の視点で、経営層自身に分かりやすく説明する人材、いわゆる伝道師の発掘と派遣や産業界と連携した経営層向けのセミナーについて検討を行う。

(イ) 経済産業省

経済産業省において、コーポレート・ガバナンス・システムに関 ・経済産業省において、コーポレート・ガバナンス・する議論の中で、「守り」のリスク管理の一環として、サイバー システム研究会（CGS 研究会）（第２期）におい
セキュリティ対策を位置付け、コーポレート・ガバナンス・シス て、サイバーセキュリティを内部統制システム上テムに関するガイドラインのとりまとめに向け、サイバーセキュ の重要なリスク項目として位置づけることを検
リティを位置付けることを検討する。
討し、グループ・ガバナンス・システムに関する実務指針（仮称）にサイバーセキュリティ対策の在り方を盛り込む方向でドラフト版を作成した。
なお、CGS 研究会（第２期）における議論を踏まえ、グループガバナンスの在り方に関するガイド
ラインを 2019 年６月に策定する予定。

(ウ) 経済産業省

経済産業省において、取締役会のサイバーセキュリティへの関与 ・経済産業省において、を促すとともに、投資家に対するサイバーセキュリティの啓発を・投資家向けの説明会において、「取締役会の実行う観点から、上場企業において行われる「取締役会の実効性評
効性評価」の中にサイバーセキュリティの経営価」の評価項目について、サイバーセキュリティへの経営層の関層の関与の重要性を周知した。また、「取締役与をその評価項目として組み込むことを促進する。
会の実効性評価」に関する第三者評価を実施する機関との連携を強化し、実効性評価の中にサ
イバーセキュリティへの経営層の関与の組み込みを促進した。
・セキュリティ対策に取り組むことを自己宣言する制度である SECURITY ACTION を IT 導入補助金の申請要件とすることで、IT 導入の促進と併せて中小企業のセキュリティ意識向上及び対策強化を図った。

(エ) 経済産業省

経済産業省において、経営層がサイバーリスクを経営上の重要課 ・経済産業省において、説明会等を通じて、「サイ題として把握し、設備投資、体制整備、人材育成等経営資源に係 バーセキュリティ経営ガイドライン」の普及を図る投資判断を行い、組織能力の向上を図るために、説明会等を通 った。
じて、「サイバーセキュリティ経営ガイドライン」の普及を図る。

(オ) 内閣官房

内閣官房において、企業が積極的なサイバーセキュリティ対策を ・2018 年 10 月に、法律家を中心とした有識者から講じる上で事業者が特に認識しておくべき関係法令集の作成を 構成される「サイバーセキュリティ関連法令の調
念頭に、その体制について検討を行う。
査検討等を目的としたサブワーキンググループ」
を立ち上げた。本サブワーキンググループは、サイバーセキュリティ関係法令集の策定を目的の 1
つとしているものであり、2019 年２月に第一回会
合を開催した。

- 133 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
1. 経済社会の活力の向上及び持続的発展(2) サイバーセキュリティに対する投資の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・企業の積極的な情報発信・開示に向けたベストプラクティスの共有やガイドラインの策定
・情報発信・開示の状況についての継続的な把握・評価・投資家が企業経営層のサイバーセキュリティに関する取組を評価できるような仕組みづくり
・企業に対するサイバーセキュリティの促進策のフォローと措置の検討
・サイバーセキュリティ保険の活用を推進するための方策についての検討
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 経済産業省

経済産業省において、「サイバーセキュリティ経営ガイドライン」 ・経済産業省において、IPA に設置した、サイバーの実践的な定着を図るために、具体的な対策事例や情報共有活動 セキュリティ経営プラクティス検討会により、サ事例等を示すプラクティスを作成する。また、企業がどの程度サ イバーセキュリティ経営ガイドラインの具体的
イバーセキュリティ対策を実施するかの目安として活用できる な実施事例等を示す、「サイバーセキュリティ経
可視化ツールを作成する。
営ガイドライン Ver2.0 実践のためのプラクティ
ス集」をとりまとめ、公開した。また、本検討会において、企業のサイバーセキュリティ対策の実施状況を可視化するための方向性について議論を行った。

(イ) 総務省

総務省において、ベストプラクティスも盛り込んだ「セキュリテ ・2017 年 12 月に、タスクフォースの下に「情報開ィ対策情報開示ガイドライン」（仮称）を策定、公表する。
示分科会」を設置し、民間企業のサイバーセキュ
リティ対策の情報開示に関する課題を整理し、その普及に必要な方策について検討を行い、その結果をとりまとめ、2018 年６月に情報開示分科会報
告書として公表した。同報告書を踏まえ、2018 年
度に企業のサイバーセキュリティ対策に関する情報開示を行うに当たって参照可能な手引きの策定に着手した。なお、手引きの策定・公表は 2019年度早期を予定。

(ウ) 経済産業省

経済産業省において、一定のセキュリティ品質を有するセキュリ ・経済産業省において、一定のセキュリティ品質を
ティサービスを審査登録する体制を整備することにより競争力 維持・向上するために実施すべき取組を定義した
強化や活用促進を図るなど、サイバーセキュリティの成長産業化 「情報セキュリティサービス基準」を策定した。
に取り組む。
本基準に適合するサービスの台帳を IPA より公表した（情報セキュリティサービス審査登録制度）。また、補助金や政府調達等から本台帳の利用を推奨することで、情報セキュリティサービス
の活用促進を行った。

(エ) 総務省
経済産業省

総務省及び経済産業省において、一定のサイバーセキュリティ対 ・説明会等を通じてコネクテッド・インダストリー
策が講じられたデータ連携・利活用により生産性を向上させる取 ズ税制の周知を行い、活用を促進した。
組について、それに必要となるシステムやサイバーセキュリティ
対策製品等の導入に対して税額控除等を措置するコネクテッド・インダストリーズ税制の活用を促すことで、事業者のセキュリテ
ィ対策の強化と生産性向上を同時に促進する。

(オ) 経済産業省

経済産業省において、中小企業のサイバーセキュリティ対策の促 ・経済産業省において、中小企業のサイバーセキュ
進を図るため、身近な相談窓口の整備等の支援体制の強化を検討 リティ対策の促進を図るため、2018 年度補正予算するとともに、サイバーセキュリティ保険の普及を図る。
により、中小企業向けのサイバーセキュリティに関する相談窓口（サイバーセキュリティお助け隊）の構築に向け、全国で実証事業を行うこととした。実証により、中小企業の実態を明らかにした上で、中小企業が利用しやすいサイバーセキュ
リティ支援体制やサイバー保険について検討し、普及を図る。

(カ) 総務省

総務省において、サイバーセキュリティ保険も活用した、関係者 ・総務省において、関係者間のサイバーセキュリテ
間のセキュリティに関する情報開示・共有を促進するためのモデ ィに関する情報開示・共有を促進するための仕組
ル事業について検討を行う。
みの構築について検討を行った。

- 134 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
1. 経済社会の活力の向上及び持続的発展(3) 先端技術を利活用したイノベーションを支えるサイバーセキュリティビジネスの強化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・先端技術の利用に伴うサイバーセキュリティリスクの分析・明確化とそれに基づくガイドラインの策定や普及等
・先端技術のリスク分析や脅威への対策に係る研究開発の推進
・セキュリティ・バイ・デザインの考え方を基本とした取組
・先端技術の利用を支えるためのサイバーセキュリティ技術・サービスの供給者とのマッチング、サイバーセキュリティ技術・サービスの適切な評価に係る仕組みの構築
・我が国の高いサイバーセキュリティが確保されたモノやサービス等のトップセールスや展示会等を活用したアピール、国際展開をしやすいビジネ
ス環境の整備項番 担当府省庁(ア) 経済産業省

サイバーセキュリティ 2018

取組の成果、進捗状況

経済産業省において、IPA を通じ、営業秘密保護に関する対策等 ・経済産業省において、IPA を通じて、を推進するため、組織における内部不正防止のためのガイドライ
・営業秘密保護に関する官民連携フォーラムにンや営業秘密保護ハンドブックの普及推進を図る。
おける情報共有のため、フォーラム参加 29 組
織（83 メールアドレス）に向けたメールマガジ
ンを 2018 年度 12 回発行し、営業秘密保護に関する最新情報を提供したほか、セミナー等で４回講演し、普及促進を図った。
・営業秘密保護ハンドブックの改訂を見据え、「安全なデータ利活用に向けた準備状況及び課題認識に関する調査」を実施し、2019 年４月に報告書を公開した。

(イ) 経済産業省

経済産業省において、企業の情報漏えいの防止に資するため、「秘 ・経済産業省において、「秘密情報の保護ハンドブ
密情報の保護ハンドブック～企業の価値向上に向けて～」及び ック～企業価値向上に向けて～」やその簡易版と「秘密情報の保護ハンドブックのてびき～情報管理も企業力～」 なる小冊子「秘密情報の保護ハンドブックのてびについての普及啓発を図る。
き～情報管理も企業力～」を、HP や講演において周知した。

(ウ) 総務省
経済産業省

総務省及び経済産業省において、「クラウドサービス提供におけ ・総務省において、クラウド事業者が IoT サービ
る情報セキュリティ対策ガイドライン」、クラウドセキュリティ スを提供する際のリスクへの対応方針を取りま
監査制度等の普及促進を行う。
とめ、2018 年７月 31 日、IoT サービスリスクへの対応方針等の掲載した「クラウドサービス提供
における情報セキュリティ対策ガイドライン（第２版）」を公表した。
・また、経済産業省において、クラウド事業者の参加するセミナー、企業の経営者やセキュリティ担
当者向けの講演において、JASA のクラウドセキュ
リティ・マーク（CS マーク）やクラウドセキュリ
ティ認証の取得に向けて呼びかけを行うなど、普及・促進を図った。

(エ) 経済産業省

経済産業省において、IPA を通じ、サイバーセキュリティビジネ ・経済産業省において、2018 年６月に IPA と連携
スの振興・活性化を図るため、サイバーセキュリティ対策におけ して、コラボレーション・プラットフォームを立るニーズの明確化・具体化、シーズの発掘やビジネスマッチング ち上げ、１～２か月に１度の頻度でサイバーセキを行うメンバーを限定しない情報交流の場（コラボレーション・ ュリティに関してメンバーを限定しない情報交
プラットフォーム）を設置する。
流を行った。

(オ) 経済産業省

経済産業省において、日本のセキュリティニーズに応じた日本発 ・経済産業省において、サイバーセキュリティ製のサイバーセキュリティ製品・サービスの創出・活用を推進する 品・サービスの創出・活用を促進するため、市場
ため、セキュリティ製品・サービスの有効性検証、レーティング で流通させるための有効な施策についてサイバを実施できる環境を整備するための検討を行う。
ーセキュリティ分野への有識者ヒアリング等も含めた調査を行い、有効性検証やレーティング等の在り方について検討を行った。

- 135 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
1. 経済社会の活力の向上及び持続的発展(カ) 経済産業省

経済産業省において、IPA を通じ、組込みソフトウェア産業の抱 ・経済産業省において、IPA を通じて、える課題、開発技術動向、人材育成状況などの実態と動向を把握
・IoT 機器、サービスを支える組込みソフトウェするための調査・分析を行うとともに、組込みソフトウェアが組ア産業の高度化に向けて、組込みソフトウェア
み込まれた製品やシステム開発の高信頼化を目的として、システ産業の抱える課題、開発技術動向、人材育成状
ムアプローチによる安全性解析手法の開発・セキュリティ分析手
況などの実態と動向を把握するための調査・分法の検討、コーディング規約策定及びそれらの普及を図る。
析を行い、結果を 2019 年３月に公開した。
・組込みソフトウェア開発向けコーディング作法についてガイドをまとめるとともに、コーディング規約の重要性について普及展開を図った。また、安全性解析手法 STAMP の導入を容易にするモデリングツールを用いたハンズオン
セミナーを行い、システムアプローチによる安全性解析手法の普及展開に努めた。

(キ) 経済産業省

経済産業省において、ASEAN をはじめとした新興国に対し、電力 ・ベトナム、バングラデシュにおいて、サイバー攻をはじめとした重要インフラ分野におけるサイバーセキュリテ 撃に強い電力制御システム（SCADA）の導入のたィに関する意識啓発、知見・能力の構築支援を通じて、日本製の め、企画・計画段階から現地の電力企業への支援
セキュリティを備えた質の高いインフラ輸出に向けた環境整備 を実施した。また、カンボジア、ラオス、ミャンを行う。
マーにおいて、サイバー攻撃に強い電力制御シス
テム（SCADA）の導入に向けた理解を醸成するため、現地の電力企業向けに研修を実施した。

1.2. 多様なつながりから価値を生み出すサプライチェーンの実現(1) サイバーセキュリティ対策指針の策定
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・サプライチェーンにおいて、運用レベルでの対策が実施できるような業種横断的な指針の策定
・IoT 機器や組織等に求められる具体的な対応策の産業分野毎の提示
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 経済産業省

経済産業省において、産業サイバーセキュリティ研究会の下に設 ・経済産業省において、産業サイバーセキュリティ
置した WG1(制度・技術・標準化)において、Society5.0 の実現に 研究会の下に設置した WG１(制度・技術・標準化)必要なセキュリティ対策を示す「サイバー・フィジカル・セキュ を中心に、Society 5.0 の実現に必要なセキュリ
リティ対策フレームワーク」を策定する。また、産業分野毎に設 ティ対策の全体像を示す「サイバー・フィジカル・
置した SWG における検討を通じて、産業分野毎に守るべきもの・ セキュリティ対策フレームワーク」の策定を進
リスク・必要な対策について整理する。
め、2018 年４月と 2019 年１月の二度のパブリッ
クコメントを実施した。本フレームワークは、パブリックコメントで寄せられた意見を踏まえて、2019 年度当初に公表する予定である。
また、ビル、電力、防衛、スマートホームの各分
野について SWG を設置して、各産業における守るべきものやリスクに基づいたセキュリティ対策の検討を進めた。特に、ビル分野においては「ビルシステムにおけるサイバー・フィジカル・セキ
ュリティ対策ガイドライン（案）」を 2019 年３月に取りまとめ、パブリックコメントを実施した。

(イ) 経済産業省

経済産業省において、情報システム開発・運用に係るサプライチ ・経済産業省において、
ェーン全体のセキュリティ向上のため、リスクの高い丸投げ下請
・下請中小企業振興法の振興基準の改訂に伴い、や多様化するセキュリティ対策費用の増加に応じた適切な価格
下請ガイドラインについて業界団体と連携し設定に向け、セミナー等を通した下請ガイドラインの更なる浸透て、必要な見直しを実施。
を図るとともに、業界団体と連携したフォローアップなどを実施
・セミナー等における周知や自主行動計画のフ
し、情報システム開発・運用に係る取引の適正化を図る。
ォローアップを行う等、取引適正化に向けた取組を実施。

- 136 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
1. 経済社会の活力の向上及び持続的発展(2) サプライチェーンにおけるサイバーセキュリティを確保できる仕組みの構築
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・要件の確認等による信頼を創出する仕組みの構築
・信頼性が証明されている機器・サービス等のリストの作成と管理を行う仕組みの構築
・トレーサビリティを確認するための仕組みと、創出された信頼そのものに対する攻撃を検知・防御するための仕組みの検討
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣府
総務省
経済産業省

内閣府において、戦略的イノベーション創造プログラム（SIP） ・関係省庁と連携し、技術開発から実証実験、認証
第 2 期「IoT 社会に対応したサイバー・フィジカル・セキュリテ 制度検討、グローバル協調にわたる総合的な研究
ィ」により、セキュアな Society 5.0 の実現に向けて、様々な 開発計画を立案した。
IoT 機器を守り、社会全体の安全・安心を確立するため、中小企・研究開発計画に基づき公募により研究開発機関
業を含むサプライチェーン全体を守ることに活用できる、『サイ を決定し、概念設計を行う等研究開発を開始し
バー・フィジカル・セキュリティ対策基盤』の研究開発及びその た。
社会実装を推進する。本プロジェクトでは、IoT 機器のセキュリ
ティを保証する技術、サプライチェーンの分野毎の要件を明確にしたうえでトラストリストを構築・確認する技術、業務データを安全に流通させるためのトレーサビリティ確保技術、サイバー・
フィジカル空間を跨った不正なデータを検知・防御する技術等を開発する。また、本プロジェクトが目指す『サイバー・フィジカ
ル・セキュリティ対策基盤』の実現には、様々な産業分野が関係することから、総務省、経済産業省をはじめとした府省庁及び産学とが分野横断的に連携して推進する。

(イ) 経済産業省

経済産業省において、業界横断的な指針及び産業ごとの対策を整 ・経済産業省において、産業サイバーセキュリティ
理した上で、セキュリティ対策が講じられているかどうかを確認 研究会の下に設置した WG１(制度・技術・標準化)するための、認証を含む確認の仕組みを検討する。
を中心に、Society 5.0 の実現に必要なセキュリ
ティ対策の全体像を示す「サイバー・フィジカル・
セキュリティ対策フレームワーク」の策定を進め、2018 年４月と 2019 年１月の二度のパブリッ
クコメントを実施した。本フレームワークは、パブリックコメントで寄せられた意見を踏まえて、2019 年度当初に公表する予定である。
また、ビル、電力、防衛、スマートホームの各分
野について SWG を設置して、各産業における守るべきものやリスクに基づいたセキュリティ対策の検討を行うとともに、認証を含む確認の仕組みについて調査を行った。

(3) 中小企業の取組の促進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・中小企業を対象としたサイバーセキュリティ対策の事例集の作成
・サイバーセキュリティ保険の活用促進
・中小企業がサイバーセキュリティに関するトラブル等について相談できる仕組みの強化
・中小企業が自主的に宣言できる仕組みなどの可視化の取組促進、インセンティブの仕組みとの連携
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

内閣官房において、中小企業における実態を踏まえつつ、IT や ・関係機関との連携の下、「小さな中小企業と NPO
セキュリティの知識がなくとも理解できるような対策集の作成 の情報セキュリティハンドブック」を取りまとめに向けた取組を行う。
た。

(イ) 総務省

総務省において、サイバーセキュリティ保険も活用した、関係者 ・総務省において、関係者間のサイバーセキュリテ
間のセキュリティに関する情報開示・共有を促進するためのモデ ィに関する情報開示・共有を促進するための仕組
ル事業について検討を行う。（再掲）
みの構築について検討を行った。

(ウ) 経済産業省

経済産業省において、中小企業のサイバーセキュリティ対策の促 ・経済産業省において、中小企業のサイバーセキュ
進を図るため、身近な相談窓口の整備等の支援体制の強化を検討 リティ対策の促進を図るため、2018 年度補正予算するとともに、サイバーセキュリティ保険の普及を図る。
（再掲） により、中小企業向けのサイバーセキュリティに関する相談窓口（サイバーセキュリティお助け隊）の構築に向け、全国で実証事業を行うこととした。実証により、中小企業の実態を明らかにした上で、中小企業が利用しやすいサイバーセキュ
リティ支援体制やサイバー保険について検討し、普及を図る。

- 137 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
1. 経済社会の活力の向上及び持続的発展(エ) 経済産業省

経済産業省において、営業秘密保護や事業継続性の観点からも経 ・経済産業省において、営業秘密保護や事業継続性
営層がサイバーリスクを重要課題として把握し、人材育成等経営 の観点からも経営層がサイバーリスクを重要課
資源に係る投資判断を行い、組織能力の向上を図るために、説明 題として把握し、人材育成等経営資源に係る投資会等を通じて、「サイバーセキュリティ経営ガイドライン」の普 判断を行い、組織能力の向上を図るために、説明及を図る。また IPA を通じて、中小企業における情報セキュリテ 会等を通じて、「サイバーセキュリティ経営ガイ
ィ対策の実施を促すため、説明会等において「中小企業の情報セ ドライン」の普及を図った。また IPA を通じて、
キュリティ対策ガイドライン」の普及を図る。
中小企業における情報セキュリティ対策の実施を促すため、説明会等において「中小企業の情報
セキュリティ対策ガイドライン」の普及を図るとともに、「中小企業の情報セキュリティ対策ガイ
ドライン」をより利用し易い内容に改訂を行い2018 年度３月末に改訂版を公開した。

(オ) 経済産業省

中小企業における情報セキュリティ投資を促進するため、経済産 [経済産業省]
業省において、以下の取組を実施する。
・セキュリティ対策に取り組むことを自己宣言す・中小企業等の生産性向上に資する IT 導入の促進とあわせて、 る制度である SECURITY ACTION を IT 導入補助金
セキュリティに係る意識向上やその対策に向けた具体的な取組の申請要件とすることで、IT 導入の促進と併せてを促す。
中小企業のセキュリティ意識向上及び対策強化・認定された IT ベンターに対してサイバーセキュリティの情報 を図った。
提供などを実施するとともに、当該 IT ベンダーが取り組むセキュリティ対策に関する情報を中小企業向けに開示する仕組みの ・中小企業の IT 活用を支援する IT ベンダー等の「クラウドサービスの安全・信頼性に関する情構築を進める。
・財政投融資制度において、中小企業で導入が進んでいないネッ 報」、「セキュリティ対策状況」、「利用者のサ
トワークセキュリティの更なる普及促進に向けて、特別利率によ ポート体制」、「利用終了時のデータの取扱い」
等を確認し、スマート SME サポーターとして認定
る融資を実施する。
し、中小企業向けに特設サイトで当該情報を開示する仕組みを構築した。
・中小企業で対策が進んでいないネットワークセ
キュリティの更なる普及促進に向けて、財政投融資制度による特別利率での融資を実施した。また、一定のサイバーセキュリティ対策が講じられたデータ連携・利活用により、生産性を向上させる取組について、それに必要となるシステムや、センサー・ロボット、セキュリティ対策製品等の導入に対して、特別償却 30％又は税額控除３％（賃上げを伴う場合は５％）を措置するコネクテ
ッド・インダストリーズ税制を開始するなど支援策を強化した。
[総務省]
・説明会等を通じてコネクテッド・インダストリー
ズ税制の周知を行い、活用を促進した。

(カ) 経済産業省

経済産業省において、IPA を通じ、中小企業における情報セキュ ・経済産業省において、IPA を通じ、リティ教育担当者や中小企業を指導する立場にある者等を対象
・「講習能力養成セミナー」を全国 21 箇所におとした「中小企業情報セキュリティ講習講師養成セミナー」を実いて開催し、中小企業の経営者、社内教育担当
施するとともに、中小企業団体、関係機関等との連携により、当者等合計約 1,150 名が参加した。
該団体等が主催する情報セキュリティ対策セミナーに協力する・商工団体・税理士会・社会保険労務士会等の指取組を実施する。さらに、IPA が 2017 年度に創設した、対策ガ
導員等を対象とする研修会、警察・自治体・中イドラインに基づき中小企業自らが情報セキュリティ対策に取
小企業団体等が主催する中小企業向けのセミ
り組むことを 自己宣言する制度「SECURITY ACTION」への登録を
ナー等へ合計 63 箇所に講師を派遣し、3,801 名促すことで、中小企業のセキュリティレベルの向上、IPA 等の作が受講した。
成する啓発資料や情報セキュリティ対策支援サイト等のツール
等の利用促進等を図る。
・セキュリティ対策に取り組むことを自己宣言する制度である SECURITY ACTION を IT 導入補助金の申請要件とすることで、IT 導入の促進と併せて中小企業のセキュリティ意識向上及び対策強化を図った。
・上記活動の中で、IPA が作成する情報セキュリ
ティ啓発資料や情報セキュリティ対策支援サ
イトのツール等を紹介することで利用促進を図り、情報セキュリティ対策支援サイトへの登録ユーザー数が累計 81,400 名に増加した。

- 138 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
1. 経済社会の活力の向上及び持続的発展

1.3. 安全な IoT システムの構築(1) IoT システムにおけるサイバーセキュリティ体系の整備と国際標準化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・各主体の間での共通認識の醸成と、役割や機能の明確化を図った上での、協働した取組の推進
・官民の各主体が抱える課題やそれぞれの取組の可視化と情報共有を行うための仕組みの構築
・安全な IoT システムを実現するために求められるサイバーセキュリティに関する基本的な要素等の国際標準化に向けた取組
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

内閣官房において、IoT システムに係る新規事業がセキュリテ ・「サイバーセキュリティ関係施策に関する平成ィ・バイ・デザインの考え方に基づき取り組まれるよう、経費の 31 年度予算重点化方針」（平成 30 年７月 25 日サ
見積もりの方針にこうした考え方を盛り込むとともに、各府省庁 イバーセキュリティ戦略本部決定）において、「安等において、こうした考え方に基づく取組が行われるよう働きか 全なＩｏＴシステムのためのセキュリティに関けを引き続き行う。さらに着実にこの考え方に基づく取組が行わ する一般的枠組」を踏まえることや、ＩＴ利活用
れているか適時確認をする。
等を目指す施策についても、セキュリティ・バイ・
デザインの考え方を盛り込むことに留意することを示した。

(イ) 内閣官房

内閣官房において、自律的な IoT システムに係る関係省庁の取 ・「安全な IoT システムのためのセキュリティに組を推進するとともに、各主体が協働できるよう情報共有等の取 関する一般的枠組」を踏まえ、2018 年４月に関係組を推進する。その際、各主体の間で共通認識や役割の明確化を 省庁との会合、2018 年８月にサイバーセキュリテ図るため、「安全な IoT システムのためのセキュリティに関する ィ 第 192 委員会での講演を行うなど、各主体間
一般的枠組」を踏また取組(IoT の分野個別の課題だけでなく、 での共通認識の醸成と情報共有を促進した。まその範囲や定義、物理安全対策、責任分界点（既知の脆弱性への た、各省庁の IoT セキュリティに関する取組（総対応に関する製造者責任や運用者等の安全管理義務などインシ 務省 サイバーセキュリティＴＦ、経産省 産業
デント発生時における関係者の責任を含む）やプライバシーの問 サイバーセキュリティ研究会など）との連携を図題などの共通課題の検討を含む。）を推進する。
る等、協働を進めた。

(ウ) 総務省
経済産業省

安全な IoT システムの構築に向けて、総務省及び経済産業省に ・総務省及び経済産業省において、専門機関と連携
おいて、以下の取組を実施する。
し、情報セキュリティ分野の国際標準化活動であ・総務省及び経済産業省において、専門機関と連携し、情報セキ る ISO/IEC JTC 1/SC 27、ITU-T SG17 等が主催すュリティ分野の国際標準化活動である ISO/IEC JTC1/SC27、ITU- る国際会合等に参加し、我が国の研究開発成果やT SG17 等が主催する国際会合等に参加し、我が国の研究開発成 IT 環境・基準・ガイドライン等を踏まえて国際標
果や IT 環境・基準・ガイドライン等を踏まえて国際標準化を推 準化を推進し、JTC 1/SC 27 においては ISO/IEC
進する。
27030 の作業文書(WD)第二版が発行された。ITU・総務省及び経済産業省において、IoT 推進コンソーシアムを通 T SG17 においては、勧告案 X.sc-iot として 2018
じて、IPA 及び NICT と連携しつつ、「IoT セキュリティガイドラ 年９月より勧告化の検討を開始した。
イン」を様々な産業分野の標準仕様等に反映させるべく、普及展 ・総務省及び経済産業省において、IoT 推進コンソ開に努めるとともに、IoT セキュリティに関する研究開発、実証ーシアム IoT セキュリティ WG を通じて、それぞ
実験及び IoT セキュリティの確保に向けた総合的な対策の実施 れの機器の利用方法やサイバーセキュリティ上を通じ、IoT 製品やシステムにおける「セキュリティ・バイ・デ の脅威、諸外国の検討状況や技術の進展の動向等
ザイン」の国際的展開に向けた活動を行う。
を十分踏まえた取組を推薦するために、総務省、・経済産業省において、IPA を通じて、「IoT セキュリティガイ 経産省及び業界団体でそれぞれ取り組むべき事ドライン」の考え方の基本となった「つながる世界の開発指針」、 項を、「IoT 機器のセキュリティ対策に関する検又はその他関連ガイド等を様々な産業分野や団体の標準仕様等
討の方向性」として取りまとめた。
に反映させるべく、引き続き提案活動を実施する。また「IoT セ
キュリティガイドライン」を基本とする考え方の国際標準化に向 ・経済産業省において、産業サイバーセキュリティ
研究会 WG1（制度・技術・標準化）の下に設置しけた取り組みを進める。
・経済産業省において、産業サイバーセキュリティ研究会 WG1（制 たスマートホーム SWG（一般社団法人電子情報技
度・技術・標準化）の下に設置したスマートホーム SWG（一般社 術産業協会スマートホームサイバーセキュリテ
団法人電子情報技術産業協会スマートホームサイバーセキュリ ィ WG）を活用して、機器製造業者、電力事業者、
ティ WG）の場を活用して、家電など家庭で使われる IoT 機器の 住設機器製造業者、建設事業者などの多岐に渡る
サイバーセキュリティの確保のための必要な対策について、関連 ステークホルダーと連携して、家庭で使用される
IoT 機器のサイバーセキュリティの確保に求めらする事業者と連携しながら検討を進める。
れるセキュリティ対策の方向性について検討を行った。
・経済産業省において、IPA を通じて、「IoT セキュリティガイドライン」の考え方の基本となった「つながる世界の開発指針」及び関連ガイドを様々な産業分野の標準仕様等に反映させるべく、一般社団法人組込みシステム技術協会（JASA）、
一般社団法人 IT 検証産業協会（IVIA）などの業
界団体・組織が運営するシンポジウムや委員会等において普及展開を実施。さらに 2019 年２月には地域団体とも連携してセミナーを開催し、地域への普及を図った。

- 139 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
1. 経済社会の活力の向上及び持続的発展(エ) 内閣官房

内閣官房において、IoT システムの設計・開発・運用に係る概念 ・IoT システムの設計・開発・運用等に係る概念にについて、国内で官民が連携してモノ・ネットワーク、システム ついて、国内において官民が連携してモノ・ネッ
等に関する各種基準等への組込みを促進するため、情報技術に関 トワーク、システム等に関する各種基準等への組
わる国際標準化を担う ISO/IEC の分科委員会にて 2017 年 11 月 込みを促進するため、国際標準化機関であるに日本が提案した「安全な IoT システムのためのセキュリティ ISO/IEC の JTC1 SC41 において「安全な IoT シスに関する一般的枠組」を基本とした国際規格案の標準化に向け、 テムのためのセキュリティに関する一般的枠組」
積極的に取り組む。
等を基本とした国際標準化活動を推進。2018 年５月の独ベルリン会合、11 月の横浜会合にて作業原案を提案する等し、国際標準化に向けたプロセスを進めた。

(2) 脆弱性対策に係る体制の整備
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・IoT 機器に必要なサイバーセキュリティに関する要件の整理と、その要件を満たす IoT 機器の利用の推奨
・パスワード設定に不備のある機器の調査・特定を行い、利用者への注意喚起を円滑に行えるような所要の制度整備
・我が国の対策をモデルとして、国際的な連携や標準化等を通じて海外に展開し、安全なネットワークの環境整備に貢献
項番 担当府省庁(ア) 内閣官房
警察庁
総務省
経済産業省

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房及び関係省庁において、サイバー環境をよりクリーンな [NISC]
ものに保つため、官民が連携して「ボット撲滅」に向けた体制を
・内閣官房において、官民連携の枠組みとして、構築し対策を推進するための検討を行う。
2018 年２月に開催した関係省庁及び民間も含めた関係者会合の結果を踏まえ、2019 年２月より同会合の関係者との意見交換を行い、実態を把握するとともに体制等についての検討を行った。
[警察庁]
・警察庁において、ボット対策を含むサイバー犯罪対策について講演を行った。
[総務省、経済産業省]
・総務省及び経済産業省において、IoT 推進コンソーシアム IoT セキュリティ WG を通じて、それぞれの機器の利用方法やサイバーセキュリティ上の脅威、諸外国の検討状況や技術の進展の動向等を十分踏まえた取組を推薦するために、総務省、経産省及び業界団体でそれぞれ取り組むべき事項を、「IoT 機器のセキュリティ対策に関する検討の方向性」として取りまとめた。

(イ) 総務省
経済産業省

総務省及び経済産業省において、IoT 推進コンソーシアムを通じ ・総務省及び経済産業省において、IoT 推進コンソて、IPA 及び NICT と連携しつつ、「IoT セキュリティガイドライ ーシアム IoT セキュリティ WG を通じて、それぞン」を様々な産業分野の標準仕様等に反映させるべく、普及展開 れの機器の利用方法やサイバーセキュリティ上に努める。
の脅威、諸外国の検討状況や技術の進展の動向等を十分踏まえた取組を推薦するために、総務省、経産省及び業界団体でそれぞれ取り組むべき事項を、「IoT 機器のセキュリティ対策に関する検討の方向性」として取りまとめた。
・総務省において、今後製品化される IoT 機器がパスワード設定の不備等により悪用されないよ
うにする対策として、IoT 機器の技術基準にセキュリティ対策を追加するため、端末設備等規則（総務省令）の改正省令を 2019 年３月に公布した。

- 140 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(ウ) 総務省

総務省において、NICT を通じ、パスワード設定に不備のある機 ・総務省において、IoT 機器等を悪用したサイバー器の調査を行い、電気通信事業者の協力の下、当該機器の利用者 攻撃の深刻化を踏まえ、2018 年５月に改正されたを特定し、設定変更を促す取組を行う。また、「IoT セキュリテ 国立研究開発法人情報通信研究機構法に基づき、
ィ総合対策」を踏まえ、2018 年度中に IoT 機器に対する脆弱性 2019 年２月より NICT がサイバー攻撃に悪用され対策に関する実施体制を整備する。
るおそれのある機器を調査し、電気通信事業者が用者への注意喚起を行う取組「NOTICE※」を実施。
※ National Operation
Environment

Towards

IoT

Clean

・NOTICE の実施にあたっては、専用のサポートセ
ンターを立ち上げ、ウェブサイトや電話による問合せ対応を通じて利用者に適切なセキュリティ対策等を案内。消費生活センター等とも連携して対応。
・IoT 機器のセキュリティ対策の必要性、本取組の内容の広報のため、公共機関等でのポスター掲示に加え、新聞広告、交通広告等を実施。

2. 国民が安全で安心して暮らせる社会の実現
2.1. 国民・社会を守るための取組(1) 安全・安心なサイバー空間の利用環境の構築
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・脅威に対して事前に積極的な防御策を講じる「積極的サイバー防御」の推進

項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 経済産業省

経済産業省において、経済産業省告示に基づき、IPA（受付機関） ・経済産業省において、IPA 及び JPCERT/CC を通と JPCERT/CC（調整機関）により運用されている脆弱性情報公表 じ、脆弱性関連情報の届出受付・公表に係る制度に係る制度を着実に実施するとともに、関係者との連携を図りつ を着実に運用した。2018 年度においては、ソフト
つ、「JVN」をはじめ、「JVNiPedia」（脆弱性対策情報データベ ウェア製品の届出 325 件、ウェブアプリケーショース）や「MyJVN」（脆弱性対策情報共有フレームワーク）など ンの届出 223 件の届出の受付を実施し、ソフトウ
を通じて、脆弱性関連情報をより確実に利用者に提供する。さら ェア製品の脆弱性対策情報については、202 件をに、能動的な脆弱性の検出とその調整に関わる取組を行う。また、 公表した。
海外の調整機関や研究者とも連携し、国外で発見された脆弱性に ・「JVNiPedia」（脆弱性対策情報データベース）
ついて、国内開発者との調整、啓発活動を JPCERT/CC において実 と「MyJVN」の円滑な運用により、2018 年度にお施する。
いては、脆弱性対策情報を 15,921 件（累計：97,444 件）公開した。

(イ) 経済産業省

経済産業省において、情報システム等がグローバルに利用される ・経済産業省において、IPA を通じ、実態に鑑み、IPA 等を通じ、脆弱性対策に関する SCAP、CVSS 等
・ NIST 脆弱 性対策デ ータベ ース NVD と JVNの国際的な標準化活動等に参画し、情報システム等の国際的な安iPedia との連携、CVSS バージョン３への対応
全性確保に寄与する。
など、脆弱性対策情報の発信、対策基盤の整備を推進した。
・インシデント対応と対策の基盤を実現する技
術仕様の連携を図るため、脅威情報構造化記述
形式 STIX の普及啓発を推進した。

(ウ) 経済産業省

経済産業省において、JPCERT/CC を通じて、ソフトウェア等の脆 ・経済産業省において、JPCERT/CC を通じ、VRDA フ
弱性に関する情報を、マネジメントツールが自動的に取り込める ィードの運用において、MyJVN API より取得可能
形式で配信する等、ユーザー組織における、ソフトウェア等の脆 なアドバイザリを基に HTML 形式および XML 形式
弱性マネジメントの重要性の啓発活動及び脆弱性マネジメント で配信した。また、JVN の運用においては、アド支援を実施する。
バイザリの公表および更新の通知を、Twitter を通じて実施した。

(エ) 経済産業省

経済産業省において、IPA を通じ、情報システムの脆弱性に対し ・経済産業省において、IPA を通じ、普及・啓発活て、プロアクティブに脆弱性を検出する技術の普及・啓発活動を 動として、情報セキュリティ EXPO での講演及び行う。
「ファジング入門セミナー」の開催を実施した。

- 141 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(オ) 経済産業省

経済産業省において、フィッシング対策協議会及び JPCERT/CC を ・経済産業省において、 JPCERT/CC を通じ、国内通じてフィッシングに関するサイト閉鎖依頼その他の対策実施 外からフィッシングに関する報告や情報提供をに向けた取組等を実施する。
受け 、フィッシングサイトの閉鎖の調整を行っている。2018 年度は、2019 年２月末現在で約５千(5174)のフィッシングサイト閉鎖の対応を行った。そのうち 69%のサイトについてはフィッシ
ングサイトと認知後３営業日以内で閉鎖した。また、ブラウザやウィルス対策ソフト・ツール等でフィッシングサイトへのアクセスを遮断できる
よう、そのようなソフトウエアやサービス を提供している組織に対して、フィッシングサイトのURL 提供を行った。
フィッシング対策協議会では、JPCERT/CC にフィッシングサイト閉鎖の依頼を行うとともに、報告に基づいて「緊急情報」をウェブ上に公開し、広く注意喚起を行った。

(カ) 経済産業省

経済産業省において、IPA を通じ、ソフトウェア等の脆弱性に関 ・経済産業省において、IPA を通じ、「情報セキュする情報をタイムリーに発信するサイバーセキュリティ注意喚 リティ EXPO」等のイベント、IPA セミナー「脆弱起サービス「icat」を提供する。また、各種セミナーやイベント 性対策の効果的な進め方」、各種講演等で icat ので利用方法を紹介することにより「icat」の普及を図る。
紹介を行い、icat サービスの普及促進を図った。
また、icat の利用サイト数は 1,161 サイトとなった。

(キ) 経済産業省

経済産業省において、IPA を通じ、ウェブアプリケーションの脆 ・経済産業省において、IPA を通じ、企業に対し「ウ弱性を早期に発見し、対処に役立てるため、ログを解析し外部か ェ ブ サ イ ト の 攻 撃 兆 候 検 出 ツ ー ルらの攻撃の痕跡を検査する「ウェブサイトの攻撃兆候検出ツー （iLogScanner）」の紹介を行い、2018 年度のダル」（iLogScanner）を企業のウェブサイト運営者等に提供する。 ウンロード数は 3,361 件と、利用拡大を図った。

(ク) 経済産業省

経済産業省において、IPA を通じ、ウェブサイト運営者や製品開 ・経済産業省において、IPA を通じ、普及・啓発活
発者が脆弱性対策の必要性及び対策手法等を自ら学習すること 動として、「安全なウェブサイトの作り方」の継を支援するため、「安全なウェブサイトの作り方」を引き続き公 続公開および、ウェブサイト運営者向けの普及啓開するとともに、体験的かつ実践的に学ぶツール「AppGoat」に 発資料「ウェブサイト開設等における運営形態のついてセミナー等を開催することで更なる普及啓発を図る。
選定方法に関する手引き」、「安全なウェブサイ
トの運用管理に向けての 20 ヶ条」の公開を実施した。また、AppGoat V3.0 を活用した脆弱性対策の普及方法について検討し、2019 年度に高等専門学校の教員向け講習を行い、授業を通じた普及啓発を推進することとした。

(ケ) 経済産業省

経済産業省において、JPCERT/CC を通じて、ソフトウェア製品や ・経済産業省において、JPCERT/CC を通じて、2018
情報システムの開発段階において、製品開発者が情報セキュリテ 年度は、経済発展に伴いソフトウエア開発の分野
ィ上の観点から配慮すべき事項を、解説資料やセミナーの形で公 でも存在感の増しているインドネシアでアンド
開し、普及を図る。
ロイドセキュアコーディングセミナーを実施した。

(コ) 総務省

総務省において、高度化・巧妙化するマルウェアの被害を防止す ・総務省において、高度化・巧妙化するマルウェア
るため、「ICT-ISAC」が中心となって実施している、マルウェア の被害を防止するため、「ICT-ISAC」が中心となに感染した端末が不正サーバと通信しようとする場合に、当該通 って実施している、マルウェアに感染した端末が信を遮断することで、被害を未然に防止するなどの取組（ACTIVE） 不正サーバと通信しようとする場合に、当該通信を促進する。
を遮断することで、被害を未然に防止するなどの取組（ACTIVE）を促進した。

(サ) 総務省

総務省において、2018 年５月に成立した電気通信事業者間のサ ・総務省において、2018 年５月に成立したサイバ
イバー攻撃に関する情報共有の促進のための制度整備を含む「電 ー攻撃に関する電気通信事業者間の情報共有の気通信事業法及び国立研究開発法人情報通信研究機構法の一部 促進のための制度整備を含む「電気通信事業法及を改正する法律」を踏まえ、その施行に向けた省令等の整備を行 び国立研究開発法人情報通信研究機構法の一部う。
を改正する法律」を踏まえ、その施行に向けた省令等の整備を行った。具体的には、一般社団法人
ICT-ISAC から認定送信型対電気通信設備サイバ
ー攻撃対処協会の認定申請を受け、同団体に対し、認定を行った。

(シ) 総務省

総務省において、いわゆる「なりすましメール」への技術的対策 ・総務省ホームページにおいて、各ドメインの送信の一つである送信ドメイン認証技術（SPF、DKIM、DMARC 等）の普 ドメイン認証技術（SPF、DMARC）の導入状況を公及を図る。
表している。

- 142 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・サービスの全体の基盤となる信頼できる情報インフラの整備の促進
・仮想通貨交換業者との連携及び対応の推進
・自動運転車やドローンに関するセキュリティ対策の推進
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ス) 内閣官房
総務省
経済産業省

内閣官房、総務省及び経済産業省において、情報通信ネ ・経済産業省において、IoT 製品の普及が進展する中で、IoT 製品が抱えるットワークの変化、新たなサービス提供に伴い社会・経 脆弱性とその脅威を検知する手法について調査を行った。また、ソフトウ
済に生じ得るリスク源を評価するとともに、情報通信ネ ェアを利用した製品・サービスの安全・安心を確保するために、OSS を含
ットワークに関連するハードウェア、ソフトウェアの市 むソフトウェアを安心して利活用するための課題を明確にするための調場動向及び技術開発動向等について調査を行う。
査を行った。

(セ) 内閣官房
金融庁
総務省
厚生労働省
経済産業省
国土交通省

重要インフラ事業者等及び重要インフラ所管省庁は、重 [NISC]
要インフラ全体の防護能力の維持・向上を目的とし、各・制度的な枠組みに関する状況の把握に努め、人的要因によるリスクに関し重要インフラ事業者等の対策の経験から得た知見等をては、事業者等へのヒアリング等調査を実施した。
もとに、国際海底ケーブル等の情報インフラ設備の物理・安全基準等の浸透状況調査を実施し、重要インフラ所管省庁や業界団体等
的セキュリティや機器の特性（使用期間等）も考慮しつ
つ、継続的に安全基準等を改善する。加えて、内閣官房 が定める安全基準等が、重要インフラ事業者等にどの程度浸透しているか
及び重要インフラ所管省庁は、情報セキュリティを更に を把握し、その結果を 2019 年４月の重要インフラ専門調査会に報告した。
高めるため、安全等を維持する観点から必要に応じて、 ・安全基準等の改善状況等の調査を行い、重要インフラ所管省庁及び重要イ
情報セキュリティ対策を関係法令等における保安規制 ンフラ事業者等が、本行動計画期間の指針改定やサイバー攻撃の動向、ITとして位置付けることや、機能保証の観点から適切な情 に係る環境変化の調査・分析結果等を受けて、安全基準等の継続的な改善
報セキュリティ対策を実施できるようサービス維持レ に取り組んでいることを把握し、その結果を 2019 年４月の重要インフラ
ベルを関係法令等において具体化すること、人的要因に 専門調査会に報告した。
よるリスク軽減の在り方の検討など、制度的枠組みを適[金融庁]切に改善する取組を継続的に進める。内閣官房は、重要インフラ事業者等における安全基準等の浸透状況等及 ・金融庁においては、「サイバーセキュリティ戦略」の改訂（2018 年７月）
び重要インフラ所管省庁による安全基準等の改善状況 等を踏まえ、2018 年 10 月、「金融分野におけるサイバーセキュリティ強を年度ごとに調査し、その結果を公表する。
化に向けた取組方針」をアップデートし、公表した。
・金融分野については、FISC において「重要インフラにおける情報セキュ
リティ確保に係る安全基準等策定指針（第５版）」の内容を包括した、「金融機関等コンピューターシステムの安全対策基準・解説書」を作成している。
[総務省]
・電気通信分野については、「情報通信ネットワーク安全･信頼性基準」、「電気通信分野における情報セキュリティ確保に係る安全基準（第４版）」
及び「事業用電気通信設備規則」について、改善に向けた分析・検証を行っている。
・放送分野については、「放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン」及び「放送設備に関するサ
イバーセキュリティガイドライン」について、改善に向けた分析・検証を行っている。
・ケーブルテレビ分野については、「ケーブルテレビの情報セキュリティ確保に係る「安全基準等」策定ガイドライン」について、改善に向けた分析・検証を行っている。
[厚生労働省]・水道分野については、2018 年度末に水道分野における安全基準である「水道分野における情報セキュリティガイドライン」（第４版）を策定し、水道事業者等に通知した。
・医療分野については、厚生労働省において、医療機関等におけるサイバー
セキュリティ対策の現状について調査を行い、2018 年 10 月に医療情報シ
ステムの安全管理に関するガイドラインの周知徹底やサイバーセキュリ
ティ事案発生時に医療法に基づき都道府県等が立ち入り検査を実施できること等に関して都道府県に対し通知した。
[経済産業省]・ガス分野については、サイバーセキュリティ対策をガス事業法における保安規則として位置付けるべく、ガス事業法施行規則を改正した。
[国土交通省]・国土交通省において、国土交通省所管の重要インフラ分野（航空、空港、
鉄道、物流）における「情報セキュリティ確保に係る安全ガイドライン」の改訂を行い、事業者への周知・浸透を図るとともに、国土交通省のウェブサイトに掲載した。

- 143 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(ソ) 金融庁

金融庁において、仮想通貨交換業者におけるサ ・金融庁において、2018 年 10 月、一般社団法人日本仮想通貨交換
イバーセキュリティの強化に向け、認定された 業協会を資金決済法に基づく認定資金決済事業者協会として認自主規制団体との意見交換等を通じて、実効性 定した。当協会においては、システムリスク管理の内容を含む自ある自主規制機能の確立を促していく。
主規制規則を定めており、各暗号資産交換業者における規則の遵守態勢等について指導等を行っている。金融庁では、定期的な意
見交換等を通じて、自主規制団体の上記のような取組による自主規制機能の確立を促している。

(タ) 国土交通省

国土交通省において、独立行政法人自動車技術 ・自動車の安全基準の国際調和等を審議する唯一の場である国連総合機構交通安全環境研究所と連携し、自動車 自動車基準調和世界フォーラム（WP29）での自動車のサイバーセの安全基準の国際調和等を審議する唯一の場で キュリティ対策に係る国際基準の策定の議論に、独立行政法人自ある国連自動車基準調和世界フォーラム（WP29） 動車技術総合機構交通安全環境研究所と連携の下に参画し、2019
での自動車のサイバーセキュリティ対策に係る 年１月の自動運転専門分科会に基準案を上程した。また、交通安
国際基準の策定の議論を議長国として主導する 全環境研究所において、国際基準に基づく審査の実施に必要な知とともに、基準適合性に係る審査体制の構築を 見の収集を行う等、審査の円滑な実施に向けた検討を進めた。
図る。

(チ) 経済産業省
国土交通省

経済産業省及び国土交通省において、自動運転 ・経済産業省及び国土交通省において、車両内の電子システムを
車両外部からの通信が車内ネットワークにつな 模擬した評価環境（テストベッド）の構築に関して、予定通り終がることによるサイバーセキュリティリスクへ 了した。の対応に向けて、2018 年度中に車両内の電子シ
ステムを模擬した評価環境（テストベッド）を構築し、2019 年度以降、人材育成等に活用する。

(ツ) 内閣府

内閣府 SIP（戦略的イノベーション創造プログラ ・2017 年度に作成したセキュリティ評価ガイドライン案に基づム）を中心に、経済産業省、総務省をはじめとす き、実機を用いたセキュリティ評価の実証実験を実施することにる関係省庁と連携し、2017 年度に作成したセキ より、セキュリティ評価ガイドライン（案）を策定した。
ュリティ評価ガイドライン案を踏まえ、実証実験を実施する。

(テ) 内閣官房

様々な用途への活用が進むドローンのサイバー ・ドローンのサイバーセキュリティについて、内閣官房及び関係
セキュリティについて、内閣官房及び関係省庁 省庁等による「小型無人機に係る環境整備に向けた官民協議会」
等による「小型無人機に係る環境整備に向けた の場においては、「空の産業革命に向けたロードマップ 2018～小官民協議会」等の場において、「空の産業革命に 型無人機の安全な利活用のための技術開発と環境整備～」（2018向けたロードマップ 2018～小型無人機の安全な 年６月小型無人機に係る環境整備に向けた官民協議会決定）に基利活用のための技術開発と環境整備～」（2018 年 づき、空の産業革命に向けた総合的な検討の一環として論点整理
６月小型無人機に係る環境整備に向けた官民協 を行っているところ。
議会決定）に基づき、空の産業革命に向けた総合的な検討の一環として論点整理を行う。

- 144 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(2) サイバー犯罪への対策
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバー犯罪の実態把握、取締りの推進
・官民が連携したサイバー犯罪対策の推進
・サイバー空間における事後追跡可能性の確保に必要な取組の実施
項番 担当府省庁(ア) 警察庁

サイバーセキュリティ 2018

取組の成果、進捗状況

警察庁及び都道府県警察において、教育機関、
地方公共団体職員、 ・SNS 等に関連した犯罪の被害防止を図るため、保インターネットの一般利用者等を対象として、情報セキュリティ 護者向けのリーフレットを 2019 年１月に作成に関する意識・知識の向上、サイバー犯罪による被害の防止等を し、各都道府県警察に配布するとともに、警察庁図るため、サイバー犯罪の現状や検挙事例、スマートフォン等の ウェブサイトに掲載した。
情報端末や SNS 等の最新の情報技術を悪用した犯罪等の身近な ・警察庁ウェブサイト「＠police」において、仮想脅威等について、ウェブサイトへの掲載、講演の全国的な実施等 通貨や IoT 機器等に対する不審なアクセスの観による広報啓発活動を実施する。さらに、関係省庁との連携によ
測状況を公開し、適切な被害防止対策を講ずるよるスマートフォンに関する青少年に対する有害環境対策の徹底 う注意喚起を行った。
等、スマートフォンの安全利用のための環境整備に向けた取組を・情報セキュリティ・ポータルサイト「ここからセ実施する。
キュリティ！」を活用し、官民連携した広報啓発活動を実施した。
・警察庁ウェブサイトや SNS において、サイバー犯罪の発生状況について広報するとともに、注意喚起を行った。
・警察庁の統合ウェブサイト「サイバーポリスエー
ジェンシー」において、警察庁における各種サイ
バーセキュリティ関連施策を広報した。
・都道府県警察等において、教育機関関係者、地方公共団体職員、インターネットの一般利用者等を対象とした講演等を実施し、情報セキュリティに関する意識・知識の向上を図った。特に、2019 年
２月１日から３月 18 日までのサイバーセキュリ
ティ月間の間は、全国各地で広報啓発活動を推進した。

(イ) 警察庁
総務省
経済産業省

警察庁、総務省及び経済産業省において、不正アクセス行為の禁 ・不正アクセス防止対策に関する官民意見集約委
止等に関する法律に基づき、不正アクセス行為、フィッシング行 員会による情報セキュリティ・ポータルサイト
為、他人の識別符号を不正に取得・保管する行為等の取締りを強 「ここからセキュリティ！」を活用し、官民連携化するとともに、事業者団体に対する不正アクセス行為の手口に した広報啓発活動を推進した。
関する最新情報の提供や、不正アクセス行為の発生状況及びアク ・2018 年中の不正アクセス行為の発生状況等をセス制御機能に関する研究開発の状況の公表等を通じ、不正アク2019 年３月 22 日に公表し、不正アクセス行為か
セス行為からの防御に関する啓発及び知識の普及を図るなど、官 らの防御に関する啓発及び知識の普及を図った。
民連携した不正アクセス防止対策を更に推進する。

(ウ) 警察庁

警察庁において、サイバー防犯ボランティアの結成を促すととも ・警察庁ホームページにおいて、優れた活動を行っに活動の支援を強化することにより、安全で安心なインターネッ ているサイバー防犯ボランティア団体を紹介し、ト空間の醸成に向けた取組を推進する。
活動の活性化を図った。
・都道府県警察において、2018 年度地方財政計画を踏まえた予算措置によるサイバー防犯ボラン
ティアが行う犯罪抑止活動への支援に要する経費を活用し、サイバー防犯ボランティア活動への支援を実施した。その結果、2018 年末現在の全国のサイ バー防犯ボラ ンティア数は、 244 団体
9,022 名となり、大学生等若い世代が中心となり、
サイバー犯罪被害の防止に関するイベントやサイバーパトロール等が活発に行われている。

(エ) 警察庁

警察庁において、警察大学校サイバーセキュリティ対策研究・研 ・警察大学校サイバーセキュリティ対策研究・研修
修センターを通じ、サイバー犯罪等の取締りのための情報技術の センターにおいて、最新のサイバー空間情勢に応解析に関する研究及びサイバー犯罪等の取締りに必要な専門的 じた授業項目の見直しを行うとともに、サイバー
知識・技術に関する研修を実施する。
犯罪・サイバー攻撃捜査に専従する高度な知識・技術を有する捜査員を始めとする全部門の捜査員を対象に、当該センターで実施した研究の成果
を活用しつつ、実際の事案を想定した演習を多く取り入れるなど、サイバー空間における警察全体の対処能力の底上げに資する研修を実施した。

- 145 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(オ) 警察庁

警察庁において、高度な情報通信技術を用いた犯罪に対処するた ・デジタルフォレンジック用資機材等を整備し、対め、情報技術の解析に関する資機材の強化、関係会合への参加、 処能力を強化した。
技術協力を通じた関係機関との協力、不正プログラムの解析等を ・関係会合への参加や技術協力を通じて、関係機関推進する。また、警察大学校サイバーセキュリティ対策研究・研 との連携を推進した。
修センターを通じ、新たな電子機器や技術に係る解析手法の確立
・高度情報技術解析センターを中心として、不正プに向けた研究を推進する。
ログラムの解析を実施した。
・警察大学校サイバーセキュリティ対策研究・研修
センターにおいて、最新のサイバー空間情勢に応じた授業項目の見直しを行うとともに、サイバー
犯罪・サイバー攻撃捜査に専従する高度な知識・技術を有する捜査員を始めとする全部門の捜査員を対象に、当該センターで実施した研究の成果
を活用しつつ、実際の事案を想定した演習を多く取り入れるなど、サイバー空間における警察全体の対処能力の底上げに資する研修を実施した。
（再掲）
・警察大学校サイバーセキュリティ対策研究・研修
センターにおいて、不正プログラムの効率的な解析手法の確立に向けた研究を実施した。

(カ) 法務省

法務省において、検察官及び検察事務官が、複雑・巧妙化するサ ・証拠となる電磁的記録の収集、保全及び解析やサイバー犯罪に適切に対処するため、捜査・公判上必要とされる知 イバー犯罪の技術的手口に関する知識・技術を習
識と技能を習得できる研修を全国規模で実施し、捜査・公判能力 得させる研修を実施し、捜査・公判上必要な知識の充実を図る。
と技術の習得を図った。

(キ) 法務省
警察庁

検察当局及び都道府県警察において、サイバー犯罪に適切に対処 ・検察当局及び都道府県警察において、サイバー刑
するとともに、サイバー犯罪に関する条約を締結するための「情 法の違反事実を含むサイバー犯罪に対し、事案に報処理の高度化等に対処するための刑法等の一部を改正する法 応じて法と証拠に基づき適切に対応した。
律」（サイバー刑法）の適正な運用を実施する。

(ク) 総務省

総務省において、NICT を通じ、能動的・網羅的なサイバー攻撃 ・NICT を通じ、能動的・網羅的なサイバー攻撃観観測技術の開発に取り組むとともに、運用するサイバー攻撃観測 測技術の開発に取り組むとともに、運用するサイ網（NICTER）における観測・分析結果を NISC をはじめとする政 バー攻撃観測網（NICTER）における観測・分析結府機関等への情報提供等を通じた連携強化を図る。
果を NISC をはじめとする政府機関等への情報提供等を通じた連携強化を行った。

(ケ) 経済産業省

経済産業省において、産業界及び関係省庁と連携し、企業情報の ・官民の実務者間において、企業情報の漏えいに関
漏えいに関して、サイバー攻撃など今後ますます高度化・複雑化 する最新の手口やその対応策に関する情報交換が予想される最新の手口や被害実態などの情報の共有を行う場 を緊密に行う場である「営業秘密官民フォーラ
として、「営業秘密官民フォーラム」を開催するとともに、参加 ム」を開催した。また、当該フォーラムの参加団
団体等に営業秘密に関するメールマガジン「営業秘密のツボ」を 体向けに、判例分析や逮捕情報等に関する情報を配信し、判例分析や逮捕情報等に関する情報共有を行う。
掲載した営業秘密に関するメールマガジン「営業秘密のツボ」を毎月配信した。

(コ) 警察庁

警察庁において、新たな手口の不正アクセスや不正プログラム ・サイバー犯罪捜査に従事する全国の警察職員に（スマートフォン等を狙ったものを含む。）の悪用等急速に悪質 対する部内研修、民間企業への講義委託等のサイ巧妙化するサイバー犯罪の取締りを推進するため、サイバー犯罪 バー犯罪への対処態勢の強化方策を実施した。
捜査に従事する全国の警察職員に対する部内研修及び民間企業への講義委託の積極的な実施、官民人事交流の推進、技術的に高度な民間資格の活用等、サイバー犯罪への対処態勢を強化する。

(サ) 警察庁

警察庁において、サイバー空間の脅威に対処するため、日本版 ・都道府県警察において、JC3 を通じて企業等とサ
NCFTA である一般財団法人日本サイバー犯罪対策センター（JC3） イバー空間の脅威への対処に関する情報を共有
や、都道府県警察と関係事業者から成る各種協議会等を通じた産 したほか、不正作成ＩＤの流通阻止に向けた官民学官連携を促進するとともに、サイバーセキュリティ政策会議等 連携による犯罪インフラ対策や、クレジットカー
において官民連携による取組を推進する。
ドの不正利用に係る不正宿泊対策を実施した。
・インターネット上における児童ポルノの流通防止対策として、インターネット・サービス・プロ
バイダによるブロッキングを推進するため、アドレスリスト作成管理団体に対し、インターネッ
ト・ホットラインセンターで収集した情報の提供を行うなどの支援を実施した。
・都道府県警察が相談等で受理した海外の偽サイ
ト等の URL 等の情報を集約し、情報セキュリティ
関連事業者等に提供して、これらのサイトを閲覧しようとする利用者のコンピュータ画面に警告表示等を行う対策を推進した。

- 146 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(シ) 経済産業省

経済産業省において、フィッシング詐欺被害の抑制のため、フィ ・経済産業省において、2018 年度は米国 APWG が５
ッシング対策協議会を通じて、海外、特に米国を中心として大き 月に主催した APWG eCrime 2018 （サンディエゴ）
な被害を生んでいるフィッシング詐欺に関する事例情報、技術情 に参加し、日本のフィッシング状況について発表
報の収集及び提供を行う。
するとともに、海外のフィッシング関連の状況や動向について情報収集を行った。
また、フィッシング対策協議会の技術・制度検討
ワーキンググループにおいて、フィッシング対策
ガイドラインやフィッシングレポートの改訂（2019 年度第１四半期中に公開予定）を進めた。

(ス) 警察庁

警察庁において、公衆無線 LAN を悪用したサイバー犯罪に対す ・警察庁において、公衆無線ＬＡＮを悪用したサイる事後追跡可能性の確保に必要な対策が適切に講じられるよう、 バー犯罪に対する事後追跡可能性の確保に必要必要な対応を行う。
な対策が適切に講じられるよう、必要な対策を行った。

(セ) 警察庁
総務省

警察庁及び総務省において、安全・安心なサイバー空間を構築す ・警察庁及び総務省において、安全・安心なサイバ
るため、
通信履歴等に関するログの保存の在り方については、「電 ー空間を構築するため、通信履歴等に関するログ
気通信事業における個人情報保護に関するガイドライン」の解説 の保存の在り方については、「電気通信事業におを踏まえ、関係事業者における適切な取組を推進するなど必要な ける個人情報保護に関するガイドライン」の解説対応を行う。
を踏まえ、関係事業者における適切な取組を推進するなど必要な対応を行った。

2.2. 官民一体となった重要インフラの防護(1) 行動計画に基づく主な取組
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・重要インフラ行動計画に基づく取組の推進及び同計画の見直し
・面としての防護の強化及び情報共有の促進・拡充
項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房及び重要インフラ所管省庁等において、「重要インフラ ・第４次行動計画に基づき、５つの施策群（安全基の情報セキュリティ対策に係る第４次行動計画」に基づき、安全 準等の整備及び浸透、情報共有体制の強化、障害基準等の整備及び浸透、情報共有体制の強化、障害対応体制の強 対応体制の強化、リスクマネジメント、防護基盤化、リスクマネジメント、防護基盤の強化の５つの施策を実施す の強化）に関する取組を実施した（「安全基準等る。
の整備及び浸透」については本項目、(ス)・(ソ)「安全基準等の整備及び浸透」については、重要インフラ各分野 及び 2.1(1)（セ）、「情報共有体制の強化」につに横断的な指針の策定とそれに基づく、各分野の「安全基準」等 いては(コ)・(テ)、(2)(ア)及び 2.6(ア)、「障害の整備・浸透を促進する。
対応体制の強化」については(ト)、「リスクマネ「情報共有体制の強化」については、連絡形態の多様化や共有情 ジメント及び対処態勢の整備」については(サ)、報の明確化等による官民・分野横断的な情報共有体制の強化を行 「防護基盤の強化」については本項目及び(ク)にう。
取組の詳細を記載）。
「障害対応体制の強化」については、官民が連携して行う演習等 ・「安全基準等」の整備を支援するため策定した「重の実施、演習・訓練間の連携による重要インフラサービス障害対 要インフラにおける情報セキュリティ確保に係
応体制の総合的な強化を行う。
る安全基準等策定指針（第５版）」について、2019「リスクマネジメント及び対処態勢の整備」については、リスク 年１月の重要インフラ専門調査会において、自然
評価やコンティンジェンシープラン策定等の対処態勢の整備を 災害の多発やサイバーセキュリティ戦略の改定
含む包括的なマネジメントの支援を行う。
等、指針第５版とりまとめ後の環境変化等を踏ま「防護基盤の強化」については、重要インフラに係る防護範囲の えた指針の改定について方向性の承認を得た。
見直し、広報広聴活動、国際連携の推進、経営層への働きかけ、・広報広聴活動として、第４次行動計画について、人材育成等を推進する。
重要インフラ事業者等を対象とした講演等を開
催し、重要インフラ事業者等のセキュリティに対する意識向上を図った。

- 147 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(イ) 総務省

総務省において、重要インフラにおけるサービスの持続的な提供 ・重要無線通信妨害事案の発生時の対応強化のたに向け、重要無線通信妨害事案の発生時の対応強化のため、申告 め、申告受付の 24 時間体制を継続して実施する
受付の 24 時間体制を継続して実施するとともに、妨害原因の排 とともに、地方総合通信局等における迅速な出動
除を迅速に実施する。また、重要無線通信への妨害を未然に防ぐ 体制の維持を図った。
ための周知啓発を実施するほか、必要な電波監視施設の整備、電・重要無線通信への妨害を未然に防ぐため、2018
波監視技術に関する調査・検討を実施する。
年６月１日から 10 日までの電波利用環境保護周知啓発強化期間を含め、年間を通してポスター掲
示等による周知啓発活動を実施した。
・耐災害性能が向上する電波監視施設の更改を行い、また、同施設のセンサー27 か所を 2018 年度内に更改した。
・大規模イベントにおける電波監視機能を強化するため、高い周波数帯や低い出力の無線局に対応する小型のモニタリングセンサを設置した。

(ウ) 経済産業省

経済産業省において、安全・安心なクレジットカードの利用環境 ・2018 年６月１日に「割賦販売法の一部を改正すの整備を目的とする「割賦販売法の一部を改正する法律（平成 28 る法律（平成 28 年法律第 99 号）」が施行し、同年法律第 99 号）」の成立を受け、2017 年 12 月に改正政省令を 法が実務上の指針と位置付けるクレジット取引
公布し、2018 年６月に改正法を施行する。また、クレジットカ セキュリティ対策協議会（事務局：一般社団法人ード取引に関係する事業者等で構成されているクレジット取引 日本クレジット協会）の「クレジットカード取引
セキュリティ対策協議会において、改正法の実務上の指針とし におけるセキュリティ対策の強化に向けた実行て、2018 年３月に改訂された「クレジットカード取引における 計画」について 2019 年３月１日に改訂した。本
セキュリティ対策の強化に向けた実行計画-2018-」に基づき、関 実行計画に基づき、関係事業者等の取組を促進し係事業者等の取組を更に推進する。
た。

(エ) 厚生労働省

厚生労働省において、「未来投資戦略」等に基づき、保健医療記 ・厚生労働省において、「未来投資戦略」等に基づ
録共有サービスを 2020 年度から本格稼働させることを目指す中 き、全国的な保健医療情報ネットワーク等のセキ
で、ネットワークや医療機関のセキュリティ対策強化について、 ュリティ対策に関する調査事業を実施した。
コスト負担のあり方も含めて調査・検討する。

(オ) 厚生労働省

厚生労働省において、医師等の医療従事者が資格を証明できる電 ・厚生労働省において、医師等の医療従事者が資格子証明書である保健医療福祉分野電子証明書（HPKI）の活用・普 を証明できる電子証明書である保健医療福祉分及について一層推進していく。
野電子証明書（HPKI）の活用・普及について、サブ認証局を運営している主な団体へ運用費を補助した。

(カ) 厚生労働省

厚生労働省において、医療機器の安全性を担う医療機器製造販売 ・2018 年４月 24 日に医療セプターを代表し、公益業者、組織としての対策を行う医療機関、脆弱性や攻撃の分析を 社団法人日本医師会がセプターカウンシルに加行うセキュリティ機関、自治体等と連携・協調して対応する。
盟した。
・医療機器のサイバーセキュリティの確保に関するガイダンスについて（薬生機審発 0724 第 1 号、
薬生安発 0724 第 1 号、平成 30 年７月 24 日厚生労働省医薬・生活衛生局医療機器審査管理課長、
同医薬安全対策課長通知）を発出し、製造販売業
者が行うべきサイバーセキュリティへの取組及び対応を具体的に提示した。

(キ) 経済産業省

スマートメーターシステムセキュリティガイドラインに基づき ・経済産業省において、2018 年６月、電力分野の電力各社が取組を強化している中で、 経済産業省において、ス サイバーセキュリティに関する今後の取組につマートメーターのセキュリティを含め電力会社を取り巻く情勢 いて検討を行うため、有識者が参画する電力サブを分析し、課題の抽出及び必要な対策を検討すべく、新たに有識 ワーキンググループを設置し、2018 年度中に４回者が参画する専門の研究会（電力サブワーキング）を立ち上げる。 開催した。

(ク) 内閣官房

内閣官房において、重要インフラ所管省庁の協力の下、第４次行 ・重要インフラ分野の追加（空港分野）、各セプタ
動計画に基づく施策を、中小事業者へ拡大すると共に、継続的に ーにおける中小事業者を含めたセプター構成員
重要インフラに係る防護範囲の見直しに取り組む。
の拡大など、セキュリティの取組の輪が広がっている。

(ケ) 総務省

総務省において、NICT を通じ、標的型攻撃に関する情報の収集・ ・NICT を通じ、標的型攻撃に関する情報の収集・分析能力の向上に向け、官公庁・大企業の LAN 環境を模擬した実 分析能力の向上に向け、官公庁・大企業の LAN 環
証環境を用いて標的型攻撃の解析を実施する。また、「ICT-ISAC」 境を模擬した実証環境（STARDUST）を用いて標的が中心となって実施している、サイバー攻撃に関する情報を収 型攻撃の解析を実施するとともに、IPA 等、関係集・分析・共有するための基盤となるプラットフォームの構築及 機関との情報共有を行ったほか、情報共有の対象
び関係事業者等での情報共有の取組を促進する。
機関を拡大した。
また、「ICT-ISAC」が中心となって実施している、
サイバー攻撃に関する情報を収集・分析・共有するための基盤となるプラットフォームの構築及び関係事業者等での情報共有の取組を促進した。

- 148 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(コ) 内閣官房

内閣官房において、情報セキュリティ関係機関等と協力関係を構 ・内閣官房とパートナーシップを締結している情築・強化していくと共に、引き続き、得られた情報を適切に重要 報セキュリティ関係機関と情報を共有し、重要イ
インフラ事業者等に情報提供する。また、情報セキュリティ関係 ンフラ事業者等への情報提供を行った。また、同機関を情報共有体制のメインプレーヤの一つとして活用してい 機関が分析した情報の横展開を行った。さらに、
くことについて、具体的な検討を行う。
同機関を始めとした情報セキュリティ関係機関と定期的に会合を設け、意見交換を行い、連携強化を図った。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より①リスクマネジメントの推進
・リスクマネジメントの活動全体が継続的かつ有効に機能することに資する取組の推進
項番 担当府省庁(サ) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、重要インフラサービスを安全かつ持続的に提 ・オリパラ大会の関連事業者等が継続的に実施し供できるよう、重要インフラサービス障害の発生を可能な限り減 ているリスクアセスメントの取組に利活用されらすとともに、迅速な復旧が可能となるよう、情報セキュリティ るべく提供した「機能保証のためのリスクアセス対策に関する取組を推進する。
メント・ガイドライン」を Web サイトへの掲載やまた、オリパラ大会に関係する重要なサービスについても、安全 説明会で配布することで浸透を図った。また、当かつ持続的に提供できるよう、この取組を推進する。
該ガイドラインを重要インフラ事業者等におけ・重要インフラ事業者等における平時のリスクアセスメントに るリスクアセスメントに利活用できるように一対し、「重要インフラにおける機能保証の考え方に基づくリスク 般化するとともに、内部監査等の観点を追加した
アセスメント手引書」に基づくリスクアセスメントの実施（継続 「重要インフラにおける機能保証の考え方に基的な見直しを含む）の浸透に向けた取組を行う。
づくリスクアセスメント手引書」をとりまとめ、・重要インフラ事業者等の事業継続計画及びコンティンジェン 2018 年４月に公表した。
シープランに対し、盛り込まれるべき「サイバー攻撃リスクの特・事業継続計画及びコンティンジェンシープラン
性並びに対応及び対策の考慮事項」の浸透に向けた取組を行う。 の実行性の検証に係る観点をとりまとめ、分野横断的演習のテキストブックに掲載するとともに、演習事前説明会で重要インフラ事業者等に、これらの観点を踏まえた課題抽出と改善の重要性について説明を行った。

(シ) 金融庁

金融庁において、大規模な金融機関に対して、そのサイバーセキ ・金融庁において、諸外国における「脅威ベースのュリティ対応能力をもう一段引き上げるため、「脅威ベースのペ ペネトレーションテスト」の手法や金融機関の活ネトレーションテスト（テスト対象企業ごとに脅威の分析を行 用状況を把握するための外部委託調査を実施し、い、個別にカスタマイズしたシナリオに基づく実践的な侵入テス 2018 年５月に「諸外国の「脅威ベースのペネトレト）」等、より高度な評価手法の活用を促していく。
ーションテスト（TLPT）」に関する報告書」を公表した。
また、大規模な金融機関との建設的な対話において「脅威ベースのペネトレーションテスト」の活用を促した結果、３メガバンクグループを中心に同テストの活用が進められた。

- 149 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より② 安全基準等の改善・浸透・安全基準等を改善する取組の継続的な推進・安全等を維持する観点を踏まえた制度的枠組みの適切な改善
項番 担当府省庁

サイバーセキュリティ 2018(ス) 内閣官房
金融庁
総務省
厚生労働省
経済産業省
国土交通省

重要インフラ事業者等及び重要インフラ所管省庁は、重要イ
ンフラ全体の防護能力の維持・向上を目的とし、各重要インフラ事業者等の対策の経験から得た知見等をもとに、国際海底ケーブル等の情報インフラ設備の物理的セキュリティや機器の特性（使用期間等）も考慮しつつ、継続的に安全基準等を改善する。加えて、内閣官房及び重要インフラ所管省庁
は、情報セキュリティを更に高めるため、安全等を維持する観点から必要に応じて、情報セキュリティ対策を関係法令等における保安規制として位置付けることや、機能保証の観点から適切な情報セキュリティ対策を実施できるようサービ
ス維持レベルを関係法令等において具体化すること、人的要因によるリスク軽減の在り方の検討など、制度的枠組みを適切に改善する取組を継続的に進める。内閣官房は、重要インフラ事業者等における安全基準等の浸透状況等及び重要イ
ンフラ所管省庁による安全基準等の改善状況を年度ごとに調査し、その結果を公表する。（再掲）

取組の成果、進捗状況[NISC]
・制度的な枠組みに関する状況の把握に努め、人的要因によるリスクに関しては、事業者等へのヒアリング等調査を実施した。
・安全基準等の浸透状況調査を実施し、重要インフラ所管省庁や業界団体等が定める安全基準等が、重要インフラ事業者等にどの程度浸透しているかを把握し、その結果を 2019 年４月の重要インフラ専門調査会に報告した。
・安全基準等の改善状況等の調査を行い、重要インフラ所管省庁及び重要インフラ事業者等が、本行動計画期間の指針改定やサイバー攻撃の動向、IT に係る環境変化の調査・分析結果等を受けて、安全基準等の継続的な改善に取り組んでいることを把握し、その結果を 2019 年４月の重要インフラ専門調査会に報告した。
[金融庁]
・金融庁においては、「サイバーセキュリティ戦略」の改訂（2018 年７月）等を踏まえ、2018 年 10 月、「金融分野におけるサイバーセキュ
リティ強化に向けた取組方針」をアップデートし、公表した。
・金融分野については、FISC において「重要インフラにおける情報セ
キュリティ確保に係る安全基準等策定指針（第５版）」の内容を包括した、「金融機関等コンピューターシステムの安全対策基準・解説書」を作成している。

[総務省]
・電気通信分野については、「情報通信ネットワーク安全･信頼性基準」、「電気通信分野における情報セキュリティ確保に係る安全基準（第４版）」及び「事業用電気通信設備規則」について、改善に向けた分析・検証を行っている。
・放送分野については、「放送における情報インフラの情報セキュリテ
ィ確保に関わる「安全基準等」策定ガイドライン」及び「放送設備に関するサイバーセキュリティガイドライン」について、改善に向けた分析・検証を行っている。
・ケーブルテレビ分野については、「ケーブルテレビの情報セキュリテ
ィ確保に係る「安全基準等」策定ガイドライン」について、改善に向けた分析・検証を行っている。
[厚生労働省]・水道分野については、2018 年度末に水道分野における安全基準である「水道分野における情報セキュリティガイドライン」（第４版）を策定し、水道事業者等に通知した。
・医療分野については、厚生労働省において、医療機関等におけるサイ
バーセキュリティ対策の現状について調査を行い、2018 年 10 月に医療情報システムの安全管理に関するガイドラインの周知徹底やサイ
バーセキュリティ事案発生時に医療法に基づき都道府県等が立ち入り検査を実施できること等に関して都道府県に対し通知した。
[経済産業省]・ガス分野については、サイバーセキュリティ対策をガス事業法における保安規則として位置付けるべく、ガス事業法施行規則を改正した。
[国土交通省]・国土交通省において、国土交通省所管の重要インフラ分野（航空、空
港、鉄道、物流）における「情報セキュリティ確保に係る安全ガイド
ライン」の改訂を行い、事業者への周知・浸透を図るとともに、国土交通省のウェブサイトに掲載した。

- 150 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(セ) 総務省

総務省において、ネットワーク IP 化の進展に対応し ・2017 年度に発生した電気通信事故の原因及び対応策等につて、ICT サービスのより安定的な提供を図るため、電 いて分析・評価を行い、2018 年９月に公表した。
気通信に関する事故の発生状況等の分析・評価等を ・上記の事故等の発生状況の分析結果や、有識者からの意見を行い、その結果を公表する。また、事故再発防止のた 踏まえ、「情報通信ネットワーク安全・信頼性基準」等につめ、「情報通信ネットワーク安全・信頼性基準」等のいて、2019 年に改正を行った。
見直しの必要性について検討する。

(ソ) 総務省
経済産業省

総務省及び経済産業省において、重要インフラ事業 ・総務省及び経済産業省が中心となり、有識者からなる「クラ者等が保有する重要データがクラウドサービス等に ウドサービスの安全性評価に関する検討会」において、適切
おいて適切に保護される仕組みの在り方について本 なセキュリティを満たすクラウドサービスを政府が導入す年度中に国内外の実態調査を踏まえ技術面・法制度 るために必要な評価方法について議論を開始した。
面から検討を開始する。
・重要産業分野等において当該検討会の安全性評価制度の評
価結果の活用を推奨することを前提として検討を進めている。
・当該検討会を年度内に合計６回開催し、中間とりまとめを行った。
・重要インフラ 14 分野に対するデータの管理に関するヒアリングを行った。
・2019 年１月の重要インフラ専門調査会において、「重要イン
フラにおける情報セキュリティ確保に係る安全基準等策定
指針（第５版）」に、「データ管理の在り方」を追加する改定について方向性の承認を得た。

(タ) 厚生労働省

厚生労働省において、医療機関におけるサイバーセ ・厚生労働省において、医療機関等におけるサイバーセキュリ
キュリティの現状について調査を行うとともに、医 ティ対策の現状について調査を行い、2018 年 10 月に医療情療情報システムの安全管理ガイドラインの普及に取 報システムの安全管理に関するガイドラインの周知徹底やり組む。
サイバーセキュリティ事案発生時に医療法に基づき都道府
県等が立ち入り検査を実施できること等に関して都道府県に対し通知した。

(チ) 厚生労働省

厚生労働省において、医療機器のサイバーセキュリ ・医療機器のサイバーセキュリティの確保に関するガイダン
ティ対策ガイドラインの策定等により、医療機器の スについて（薬生機審発 0724 第 1 号、薬生安発 0724 第 1 号、サイバーセキュリティ対策を推進していく。
平成 30 年７月 24 日厚生労働省医薬・生活衛生局医療機器審査管理課長、同医薬安全対策課長通知）を発出し、製造販売業者が行うべきサイバーセキュリティへの取組及び対応を具体的に提示した。

(ツ) 経済産業省

経済産業省において、「ガス事業法」により、ガス事 ・経済産業省において、ガス事業者に作成と遵守が課せられる業者に作成と遵守が課せられる保安規程の規定事項 保安規程の規定事項に製造・供給に係る制御システムのサイに「製造・供給に係る制御システムのサイバーセキュ バーセキュリティ対策を加えた「ガス事業法施行規則（昭和
リティ対策」を追加することについて具体化を図る。 45 年通商産業省令第 97 号）」の改正を行い、2019 年１月に公布した。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より③深刻度評価基準
・サイバー攻撃による重要インフラサービス障害等に係る深刻度評価基準の策定
項番 担当府省庁(テ) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、重要インフラ所管省庁の協力の下、第４次行 ・サイバーセキュリティ戦略本部において、重要イ
動計画に従い、情報共有体制の強化について次のとおり検討を進 ンフラ専門調査会における調査審議を踏まえ、発める。
生したサービス障害が国民社会に与えた影響全・ サービス障害の深刻度評価基準の導入に向けた検討を進め 体の深刻さを事後に評価するための基準の初版る。
を決定した。
・ 連絡形態の多様化（連絡元の匿名化、セプター事務局・情報 ・重要インフラサービス障害に係る情報及び脅威
セキュリティ関係機関経由）による情報共有の障壁の排除、及び情報を分野横断的に収集する仕組みを構築し、収分野横断的な情報を内閣官房に集約する仕組みの検討を進める。 集した情報を取りまとめた。
・効果的かつ迅速な情報共有に資するため、情報共有システム構・セプター事務局や重要インフラ事業者等との情築に係る検討を行う。
報共有に関し、情報共有体制の更なる改善に向けた検討を実施した。

- 151 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より④官民の枠を超えた訓練・演習の実施
・官民の枠を超えた様々な規模の主体間での訓練・演習の実施
項番 担当府省庁

サイバーセキュリティ 2018(ト) 内閣官房
金融庁
総務省

情報共有体制その他の重要インフラ防護体制を実効性のあるものにするため、官民の枠を超えた関係者間での演習・訓練を次のとおり実施する。
・内閣官房において、重要インフラ事業者等の障害対応能力の向上を図るため、重要インフラ分野や所管省庁等が横断的に参加する演習を実施する。
・総務省において、NICT に組織した「ナショナルサイバートレ
ーニングセンター」を通じ、重要インフラ事業者等におけるサイバー攻撃への対処能力の向上を図るための新たなシナリオによる実践的サイバー防御演習（CYDER）を実施する。
・金融庁において、参加金融機関および金融業界全体のセキュリ
ティレベルの底上げを図るため、攻撃の実例分析を踏まえた金融
業界横断的なサイバーセキュリティ演習について、必要に応じて対象業態を拡充の上、引き続き実施する。

取組の成果、進捗状況[NISC]
・内閣官房において、2018 年 12 月 13 日、重要イ
ンフラ事業者等の障害対応能力の向上を図るた
め、重要インフラ分野や所管省庁等が横断的に参加する演習を実施した。
[総務省]
・実践的サイバー防御演習（CYDER）について、2018
年度、重要インフラ事業者向けの B-3 コースを開講し、重要インフラ事業者等から 397 名が受講。
[経済産業省]・経済産業省において、2018 年７月から、「産業サイバーセキュリティセンター」において、約 80名の受講生を受け入れ、IT と OT 双方のスキルを核とした上でビジネススキルやマネジメントス
キル・リーダーシップをバランスよく兼ね備え
た、我が国の重要インフラ等におけるサイバーセ
キュリティ対策の中核を担う人材育成を目的とした第２期「中核人材育成プログラム」を開講した。
[金融庁]
・金融庁において、2018 年 10 月に、金融業界全体のサイバーセキュリティの底上げを図ることを目的として、今回から新たな業態として拡充した
FX 業者、仮想通貨交換業者を含めた金融機関 105社が参加し金融業界横断的なサイバーセキュリ
ティ演習（Delta Wall Ⅲ）を実施。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より⑤制御系システムのセキュリティ対策
・制御系システムの特性を踏まえたセキュリティ対策の実施
・制御系システムに関する人材育成及び脅威情報の収集・分析・展開等の推進
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ナ) 経済産業省

経済産業省において、JPCERT/CC を通じて、インターネット上の ・経済産業省において、JPCERT/CC を通じて、公開情報を分析し、国内の制御システム等で外部から悪用されて SHODAN などのインターネット上の公開情報を分しまう危険性のあるシステムの脆弱性や設定の状況について、そ 析し、国内の制御システム等で外部から悪用されの保有組織に対して情報を提供する。
てしまう危険性のあるシステム 47 件(2019 年２月末時点)について、その保有組織に対して情報提供した。

(ニ) 経済産業省

経済産業省において、制御システムのテスト環境を用いシステム ・経済産業省において、ビルの制御システムを例
全体の脅威分析、リスク評価を行う技術開発を行う。
に、建物全体に分布する制御システム全体についてのインシデント分析、リスク源整理、セキュリ
ティ対策の検討を行い、ビルに係わるステークホ
ルダーの検討会により、ガイドライン案として取りまとめた。また、CSSC と連携し、ビルの制御シ
ステムテスト環境に通じたレビューを行い、サイバー対策技術の整理とガイドライン案のブラッシュアップを実施した。

- 152 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(ヌ) 内閣官房

内閣官房において、我が国で使用される制御系機器・システムに [NISC]
関する脆弱性情報やサイバー攻撃情報などの有益な情報につい・我が国で使用される制御機器・システムについて、非制御系の情報共有体制と整合性のとれた情報共有体制によ て、実際に運用を行っている事業者等にヒアリン
り、収集・分析・展開していく。また、どのような情報が事業者 グを行い、現場での取組状況を把握するととも等にとって有益なのかヒアリング等により調査し、情報共有がよに、どのような情報が事業者等にとって有益なの
り効果的なものとなるよう検討を行う。
か調査を行った。
[経済産業省]・経済産業省において、JPCERT/CC を通じ、2013 年
度に整えられた、制御システムの脆弱性届出の体制に基づき、脆弱性情報の受付、調整を行った制御システム関連脆弱性調整件数は、15 件(2019 年
２月末時点)である。

(ネ) 経済産業省

経済産業省において、海外におけるルール化の動向も踏まえ、サ ・経済産業省において、産業サイバーセキュリティ
プライチェーンにおける脅威を明確化し、運用レベルでの対策が 研究会の下に設置した WG1(制度・技術・標準化)実施できるような業種横断的な指針を策定するとともに、重要産 を中心に、Society 5.0 の実現に必要なセキュリ業分野を中心に産業分野毎のサプライチェーンの構造や守るべ ティ対策の全体像を示す「サイバー・フィジカル・
きもの、脅威の差異を考慮した、産業分野別の具体的な対策指針 セキュリティ対策フレームワーク」の策定を進を策定する。
め、2018 年４月と 2019 年１月の二度のパブリッ
クコメントを実施した。本フレームワークは、パブリックコメントで寄せられた意見を踏まえて、2019 年度当初に公表する予定である。
また、ビル、電力、防衛、スマートホームといった重要産業分野について SWG を設置して、各産業における守るべきものやリスクに基づいたセキュリティ対策の検討を進めた。特に、ビル分野においては「ビルシステムにおけるサイバー・フィ
ジカル・セキュリティ対策ガイドライン（案）」を 2019 年３月に取りまとめ、パブリックコメン
トを実施した。

(2) 地方公共団体のセキュリティ強化・充実
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・サービス障害や人為的ミスによるマイナンバーを含む情報漏えいへの対策
・セキュリティポリシーに関するガイドラインの更新
・業務用ネットワークのセキュリティレベルの確保
・セキュリティ人材の確保・育成及び体制の充実を支援する取組の推進
・官民の認証連携に関する環境整備
項番 担当府省庁(ア) 内閣官房
総務省

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房及び総務省において、サイバーセキュリティ基本法等に [NISC]
基づいて、地方公共団体に対する情報の提供など、地方公共団体 ・重要インフラ所管省庁等や情報セキュリティ関におけるサイバーセキュリティの確保のために必要とされる協係機関等から情報連絡を受け、また内閣官房とし力を行う。
て得られた情報について必要に応じて、重要インフラ所管省庁を通じて地方公共団体を含む重要インフラ事業者等へ情報提供を行った。
・セプター事務局や地方公共団体を含む重要インフラ事業者等との情報共有に関し、情報共有体制の更なる改善に向けた検討を実施した。（自治体
CSIRT 協議会が 2018 年 10 月設立）
[総務省]
・地方公共団体における情報セキュリティ対策の取組事例の収集、情報セキュリティ事故情報の収集・分析の充実を図り、LGWAN メールでの送信やLGWAN 上の情報セキュリティ支援サイトにおいて、情報セキュリティに関する解説等を提供した。
また、2018 年９月に「地方公共団体における情報
セキュリティポリシーガイドライン」の改定を行った。

- 153 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(イ) 総務省

総務省において、関係機関と協力の上、地方公共団体職員が情報 【集合研修実施状況】
セキュリティ対策について習得することを支援するため、情報セ （１）情報セキュリティ監査セミナー 年二回実キュリティ監査セミナー、情報セキュリティマネジメントセミナ 施 受講者数 95 名ーを集合研修で、その他情報セキュリティ関連研修を e ラーニ （２）情報セキュリティマネジメントセミナー
ングで実施する。また、マイナンバー制度における情報連携の状 年三回実施 受講者数 142 名
況等を踏まえつつ、地方公共団体における情報セキュリティポリ
シーに関するガイドラインの改定を実施する。
【e ラーニングによる情報セキュリティ研修実施状況】
実施期間 2018 年７月 18 日～2019 年１月 31 日
受講者数 363,151 名(ウ) 総務省

総務省において、関係機関と協力の上、情報セキュリティ対策の ・地方公共団体における情報セキュリティ対策の取組事例の収集、情報セキュリティ事故情報の収集・分析の充実 取組事例の収集、情報セキュリティ事故情報の収を図り、総合行政ネットワーク（LGWAN）内のポータルサイトに、 集・分析の充実を図り、LGWAN メールでの送信や情報セキュリティに関する解説等を提供するなど、その運営を支 LGWAN 上の情報セキュリティ支援サイトにおい援し、更なる利用を促進する。
て、情報セキュリティに関する解説等を提供した。
（実績:緊急連絡等 78 件、ニュース・メルマガ 49
件）
・地方公共団体の外郭団体での情報セキュリティ
インシデントの発生もあることから、行政専用ネットワークである LGWAN メール以外での提供媒体(インターネット)の拡充を図った。

(エ) 総務省

総務省において、関係機関と協力の上、サーバやネットワーク機 ・地方公共団体自らが脆弱性診断を実施できるよ器等における脆弱性診断を地方公共団体自らが実施できるよう うセルフ診断ツールを提供した。
支援する。地方公共団体の緊急時対応訓練の支援及び CSIRT の ・地方公共団体が訓練ツールを用いた緊急時対応
連携組織を設立し、地方公共団体のインシデント即応体制の強化 訓練を実施、訓練のコーディネーターを派遣しを図る。
た。これにより訓練の企画段階から実施までを支援し、地方公共団体のインシデント即応体制の強化を図った。
（実績:11 県地域、165 団体が参加）
・2018 年 10 月に、自治体 CSIRT 協議会を立ち上げ、技術講習会や緊急時対応訓練を行った。
（実績）
技術講習会：88 団体
緊急時対応訓練：22 団体- 154 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(オ) 内閣官房
総務省

内閣官房及び総務省において、総合行政ネットワーク（LGWAN） [総務省]に設けた集中的にセキュリティ監視を行う機能（LGWAN-SOC)など
・総合行政ネットワーク（LGWAN）については、集により、GSOC との情報連携を通じた、国・地方全体を俯瞰した 中的にセキュリティ監視を行う LGWAN-SOC を監視・検知を行う。また、総務省において、地方公共団体のセキ 2017 年２月に構築し、政府共通ネットワークとのュリティ強化対策を推進するため、情報システムの強靱性の向上
通信を監視している。また、2018 年度に LGWAN のや自治体情報セキュリティクラウドの状況に係るフォローアッ 更改を実施し、LGWAN 内の全ての通信についてプを実施するとともに、「自治体情報セキュリティ向上プラット LGWAN-SOC による監視を開始したところ。
フォーム」の利用を促進することにより、マイナンバー制度を含めたセキュリティ確保を徹底する。さらに、情報連携に利用する ・情報システムの強靱性の向上や自治体情報セキ
情報提供ネットワークシステムについて、インターネットから独 ュリティクラウドの状況については、総務省にお立する等の対策を講じており、引き続き高いセキュリティ確保を いて毎年度実施している「地方自治管理概要」のすべく、適切な管理・監督・支援等を行う。加えて、個人情報保 調査項目として新たに追加して、調査を実施し護委員会において、関係省庁等と連携しつつ、特定個人情報の適 た。2018 年 10 月から、地方公共団体の LGWAN 端
正な取扱いに関するガイドラインの遵守、特定個人情報に係るセ 末に OS やウィルス対策ソフトの更新情報を提供
キュリティの確保を図るため、専門的・技術的知見を有する体制 した。
を拡充するとともに、監視・監督機能を強化し、情報提供ネット
2018 年度「自治体情報セキュリティ向上プラッ
ワークシステムに係る監視を適切に行う。
トフォーム」利用団体数：420 団体
・総務省が設置・管理する情報提供ネットワークシ
ステムについては、ログ情報等統合分析・監査機
能を用いてセキュリティ分析・早期インシデント
検知を行う等のセキュリティ対策を講じた上で、適切な管理を実施しており、2018 年度においても、安定的に運用を行った。
[個人情報保護委員会]
・高い専門性や幅広い知識を有する人材を育成する観点から、他府省との人事交流や外部機関等において実施されるセキュリティ・IT 関連の研修等の受講促進に注力した。
また、情報提供ネットワークシステムを利用した情報照会・提供等を監視・監督するためのシステ
ムを運用し、適切に監督を行った。

(カ) 総務省

総務省において、NICT に組織した「ナショナルサイバートレー ・実践的サイバー防御演習（CYDER）について、2018
ニングセンター」を通じ、地方公共団体におけるサイバー攻撃へ 年度、地方公共団体からは 490 団体、計 1,664 名の対処能力の向上を図るための新たなシナリオによる実践的サ が受講。
イバー防御演習（CYDER）を実施する。

(キ) 内閣府

内閣府において、2017 年 11 月に本格運用を開始したマイナポー ・2017 年 11 月にマイナポータルの本格運用を開
タルを活用し、官民の認証連携をより一層推進していく。
始し、これまでに国税庁の e-Tax、日本郵便のMyPost、野村総合研究所の e-私書箱、日本年金機
構のねんきんネット及び総務省の総合無線局監
理システム（PARTNER システム）との認証連携を開始した。

(ク) 厚生労働省

厚生労働省において、マイナンバーカードの健康保険証としての ・厚生労働省において、マイナンバーカードを用い活用について、2020 年度の導入を目指して準備を進めていく。
たオンライン資格確認を導入することとする、医療保険制度の適正かつ効率的な運営を図るための健康保険法等の一部を改正する法律案を提出した。

- 155 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現

2.3. 政府機関等におけるセキュリティ強化・充実(1) 情報システムのセキュリティ対策の高度化・可視化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・対処能力の向上に加え、新たな防御技術を活用したより効果的な取組
・情報システムの防御能力の向上と状態の把握
・政府機関等における横断的な連携の高度化による被害の発生・拡大の防止
項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、統一基準群の改定に伴う各府省庁、独立行政 ・内閣官房において、統一基準群の改定案を策定
法人及びサイバーセキュリティ基本法に基づく指定法人（以下 し、サイバーセキュリティ戦略本部で決定した。
「独立行政法人等」という。）の情報セキュリティポリシーの見 また、本改定に伴う政府機関等の情報セキュリテ
直しについて、必要な支援を行う。また、新たに直面した脅威・ ィポリシーの見直しが速やかに行われるよう、必課題への対応について、統一基準群の将来の改定に向けた知見の 要な支援を行った。
蓄積を行う。
・統一基準群の将来の改定に向け、情報セキュリテ
ィの動向等について情報収集を行った。

(イ) 内閣官房

内閣官房において、政府機関等の情報システムの調達におけるセ ・内閣官房において、NISC が公表している政府機
キュリティ・バイ・デザインを推進するため、NISC が公表して 関等の情報システムの調達におけるセキュリテ
いるセキュリティ・バイ・デザインに関連するマニュアルの改定 ィ・バイ・デザインに関連するマニュアルの改定に着手する。
に向け、有識者や関連事業者との意見交換を通して、盛り込むべき対策内容の検討を行った。

(ウ) 経済産業省

経済産業省において、政府調達等におけるセキュリティの確保に ・経済産業省において、IPA を通じ、「IT 製品の調資するため、IPA を通じ、「IT 製品の調達におけるセキュリティ 達におけるセキュリティ要件リスト」の記載内容
要件リスト」の記載内容（製品分野、製品に対する脅威、脅威に の見直しの準備として、CCRA における国際共通プ
対する要件としてのプロテクション・プロファイルなど）の見直 ロテクション・プロファイル（PP）の策定状況、しを行うとともに、政府機関の調達担当者等に対し、最新のプロ 日本を含む各国のプロテクション・プロファイル
テクション・プロファイル（翻訳版）を含む情報の提供や普及啓 の策定状況の調査を行った。また、政府機関の調発を行う。
達担当者等に対し、最新のプロテクション・プロ
ファイル（翻訳版）を含む情報の提供や普及啓発を実施した。

(エ) 経済産業省

経済産業省において、IPA を通じ、CCRA などの海外連携、セキュ ・経済産業省において、IPA を通じ、CCRA の会合
リティ評価に係る国際基準の作成や各国の情報収集を行うとと などに参加し、セキュリティ評価に係る国際基準
もに、安全な政府調達のための国際共通プロテクション・プロフ である ISO/IEC15408 の改正作業等の情報収集を
ァイル（PP）の開発、情報収集を実施する。
行うとともに、安全な政府調達のための国際共通
プロテクション・プロファイル（PP）の開発、情報収集を実施した。

(オ) 経済産業省

経済産業省において、IPA を通じ、JISEC（IT セキュリティ評価 ・経済産業省において、IPA を通じ、及び認証制度）の利用者の視点に立った評価・認証手続の改善、 ・統一基準（2018 年度版）において運用上のセ積極的な広報活動等を実施するとともに、安全な政府調達を推進
キュリティ確保を求められている特定用途機するため、調達関係者に対する広報活動や勉強会、ヒアリングを器のうち、政府機関や自治体から要望のあった実施するとともに必要に応じて手順や新たな IT 製品への対応等
入退室管理システムのセキュリティ要件につの見直しを実施する。
いて、政府機関等での調達・運用における確認
すべきセキュリティ要件を明確にするため「入退室管理システムにおける情報セキュリティ
要件に関する調査」事業を実施。
・認証の主流製品である複合機の暗号関連評価に 関 し、 暗号 モジ ュー ル試 験及 び 認証 制度(JCMVP)の活用を取り入れるとともに、業界団体から要望のあった暗号ツールの適用などの資料を公開し、申請者に対する利便性を向上。
・分離されていた JISEC のハードウェア製品分
野の規程・申請書様式を統一し、申請者がスムーズに申請手順の理解と手続が行える改善を図った。

- 156 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(カ) 経済産業省

経済産業省において、安全性の高い暗号モジュールの政府機関に ・経済産業省において、IPA を通じ、IoT セキュリ
おける利用を推進するため IPA の運用する暗号モジュール試験 ティフォーラム 2018 で「暗号モジュール試験及及び認証制度（JCMVP）の普及を図る。
び認証制度」(JCMVP)の制度紹介を行うとともに、関連する動向として、欧米における情報の格付けとセキュリティ認証制度との対応関係の紹介を行った。
また、「IT セキュリティ評価及び認証制度」(JISEC)と連携して、JCMVP の暗号アルゴリズム実装試験ツールが活用され、デジタル複合機の中の暗号実装の正確性を確認することに貢献した。

(キ) 内閣官房

内閣官房において、政府機関情報セキュリティ横断監視・即応調 ・情報セキュリティインシデントの未然防止のた
整チーム（GSOC）により、政府機関情報システムのサイバー攻撃 めの主な取組として、IPA が運用している独立行
等に関する情報を 24 時間 365 日収集・分析し、政府機関等に対 政法人等に対する不正な通信の監視体制と連携する新たなサイバー攻撃の傾向や情勢等について、分析結果を各 しつつ、GSOC におけるセンサー監視等により検知
政府機関等に対して適宜提供する。また、IPA の実施する、独立 した政府機関等に対するサイバー攻撃の傾向や行政法人等に係る監視業務の監督を行うとともに、監視に係る能 情勢等について、政府機関等に対し注意喚起等を力や機能の向上の観点から、攻撃情報の共有等の連携を図る。
行った。

(ク) 内閣官房

内閣官房において、巧妙化する情報セキュリティに関する脅威、 ・内閣官房において、昨今のサイバーセキュリティ
動向等を踏まえ、各府省庁の情報システムにおける対策の実施状 に関する状勢や動向を踏まえ、政府機関全体とし況の点検・改善を行うため、公開された脆弱性等への対応やサイ て分析、評価及び課題の把握、改善等が必要と考
バー攻撃に係る対策の実施状況の調査を行う。調査結果は、マネ えられる項目として、2018 年度はリモートアクセ
ジメント監査により確認された課題等も踏まえ、統一基準群を始 スにおける情報セキュリティ対策、 サポートがめとした規程への反映や改善に向けた取組について検討を行う。 切れる OS ソフトウェア対策及びソフトウェアに関する脆弱性対策対応を、それぞれ重点検査として実施した。調査結果は、統一基準群の改善等に向けた課題として検討を行った。

(ケ) 内閣官房

内閣官房において、「高度サイバー攻撃対処のためのリスク評価 ・内閣官房において、「高度サイバー攻撃対処のた等のガイドライン」の運用等を通じて標的型攻撃に対する多重防 めのリスク評価等のガイドライン」に基づき、府御の取組を引き続き推進する。
省庁、独立行政法人及び指定法人に対して、標的型攻撃に対する多重防御の取組を推進し、その結果を取りまとめ報告した。

(コ) 内閣官房

内閣官房において、大規模サイバー攻撃や大規模災害発生時にお ・内閣官房において、大規模サイバー攻撃や大規模
ける、情報システムを用いる業務についての復旧対策を強化する 災害発生時における、情報システムを用いる業務ため、政府機関における IT-BCP の見直しにかかる調査等を実施 についての復旧対策を強化するため、国内外の文するとともに、規程の改定に着手する。
献調査、専門家へのヒアリング及び政府機関等へのヒアリングを実施し、政府機関における IT-BCPのあるべき姿について規程の改定を含む検討を実施した。

(サ) 総務省
経済産業省

総務省及び経済産業省において、CRYPTREC 暗号リストに掲載さ ・総務省及び経済産業省において、CRYPTREC 暗号
れた暗号技術の監視、安全性及び信頼性の確保のための調査、研 リストに掲載された暗号技術の監視、暗号の普及
究、基準の作成等を行う。また、社会ニーズを見据え、暗号を安 促進、暗号政策の中長期的視点からの取組の検討
全に利活用するための取組などについて検討する。さらに、NICT を実施するために暗号技術検討会を開催した。
及び IPA を通じ、暗号技術の安全性に係る監視及び評価、新世代 また、NICT 及び IPA を中心に暗号技術評価委員
暗号に係る調査、暗号技術の安全な利用方法に関する調査、暗号 会及び暗号技術活用委員会を開催し、耐量子計算の普及促進、暗号政策の中長期的視点からの取組の検討を実施す 機暗号の研究動向調査及び鍵管理ガイドライン
るため、暗号技術評価委員会及び暗号技術活用委員会を開催す の作成に向けた検討を行った。
る。

(シ) 厚生労働省

厚生労働省において、社会保険診療報酬支払基金のサイバーセキ ・社会保険診療報酬支払基金のサイバーセキュリ
ュリティ体制について、内閣官房等と緊密に連携し、迅速なサイ ティ体制について、内閣官房と連携し、体制強化
バー攻撃からの防護の技術的な体制の強化に取り組む。
に関する取組について検討を行った。

(ス) 内閣官房

内閣官房において、2020 年東京オリンピック・パラリンピック ・近年のサイバー攻撃事例や手法、今後の技術動向
競技大会及びその後を見据えて、インシデント発生前及び発生時 等を踏まえつつ、GSOC システムの検知・解析機能の情報提供の迅速化・高度化に資する GSOC システムの検知・解 を始めとした機能強化の検討や、政府機関等と析機能を始めとした機能強化、GSOC センサーの増強等の検討を GSOC システムにおけるより効果的かつ効率的な行うなど、政府機関等における端末等での新たな監視手法等の導 連携の実現に向けた検討を行った。
入状況を踏まえつつ、政府機関等と次期 GSOC における効果的か
つ効率的な連携を推進する。

- 157 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(2) クラウド化の推進等による効果的なセキュリティ対策
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・政府プライベート・クラウドとしての政府共通プラットフォームへの移行を含むクラウド化の推進
・信頼できるクラウドの利用を促進する方策の検討
・政府機関のインターネット接続口の適切な集約の推進とともに、境界監視ポイントの集約の検討
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房
総務省

政府機関のクラウド化を推進する観点から、以下の取組を行う。 [NISC]
・内閣官房において、政府機関におけるクラウドサービスの利用 ・内閣官房において、政府機関におけるクラウドサ
状況を適宜調査し、課題等の把握に努める。
ービスの利用状況にかかる調査を実施した。
・総務省において、政府共通プラットフォームの本格更改に向[総務省]
け、新たな政府のプライベート・クラウドとしての整備計画を策定する。
・政府共通プラットフォームの本格更改に向け、政府共通プラットフォーム第二期整備計画（2019 年２月 25 日各府省情報化統括責任者（CIO）連絡会
議決定）を策定した。

(イ) 総務省
経済産業省

総務省及び経済産業省において、官民双方が一層安心・安全にク ・総務省及び経済産業省が中心となり、有識者からラウドサービスを採用し、継続的に利用していくため、情報資産 なる「クラウドサービスの安全性評価に関する検の重要性に応じ、信頼性の確保の観点から、クラウドサービスの 討会」において、適切なセキュリティを満たすク
安全性評価について、諸外国の例も参考にしつつ、2018 年度か ラウドサービスを政府が導入するために必要なら検討を開始する。
評価方法について議論を開始した。
・当該検討会を年度内に合計６回開催し、中間とりまとめを行った。

(ウ) 内閣官房
総務省

内閣官房及び総務省において、政府機関のインターネット接続口 ・セキュリティ対策の効率化の観点も踏まえつつ、の集約を推進し、GSOC による境界監視の効率化を検討する。
次期 GSOC システムの構築に向けた検討を進めた。

(3) 先端技術の活用による先取り対応への挑戦
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・新しい設計思想の下で誕生した情報技術の活用の可能性の検討

項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、近年普及してきた情報システムの基盤の中で ・内閣官房において、サイバー攻撃に対する高い耐サイバー攻撃による高い耐性を有するものについて、これらの情 性の点で有望視される複数の技術について、次年報技術を、政府機関等において活用できる可能性について検証す 度以降に行う調査の具体的な内容の策定を行っる。
た。

(4) 監査を通じたサイバーセキュリティの水準の向上
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・組織横断的な分析により抽出される傾向や課題を踏まえたサイバーセキュリティ水準向上の促進
・IT 資産管理情報を活用した効果的かつ効率的な監査の実施
項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、政府機関における統一基準群等に基づく施策 ・内閣官房において、「サイバーセキュリティ対策の取組状況について、セキュリティ対策を強化するための体制等 を強化するための監査に係る基本方針」（2015 年が有効に機能しているかとの観点を中心とした検証を通じて、自 ５月 25 日 サイバーセキュリティ戦略本部決律的なセキュリティ水準の向上を促す仕組みを確立するため、引 定）に基づき、2017 年度、2018 年度の２年間でき続き国の行政機関に対して監査を実施する。監査の実施に当た 全ての国の行政機関（以下「被監査主体」という。）っては、２年間で全ての国の行政機関に対して監査を実施する計 への監査を実施し、被監査主体が今後のサイバー画とし、国の行政機関のサイバーセキュリティ対策及びその維持 セキュリティ対策を強化するための検討をする
改善の体制の整備及び運用状況に係る現状を把握し、改善のため 上で有益な助言等を行った。また、2017 年度に実に必要な助言等を行う。なお、監査を実施した国の行政機関につ 施した被監査主体への監査結果について、ヒアリ
いては、フォローアップを実施する。2018 年度の監査について ング等により改善状況のフォローアップを行っは、前回までの監査の結果を踏まえるとともに前回対象としなか た。さらに、厚生労働省及び日本年金機構に対すった部局やシステムを対象として実施する。
る施策の評価を行った。

- 158 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(イ) 内閣官房

内閣官房において、国の行政機関の情報システムにおけるセキュ ・内閣官房において、「サイバーセキュリティ対策
リティ対策の点検・改善を行うため、実際の攻撃手法を用い を強化するための監査に係る基本方針」（2015 年て情報システム内部への侵入及び侵入後の被害状況について検 ５月 25 日 サイバーセキュリティ戦略本部決証を行うペネトレーションテストを引き続き国の行政機関に対 定）に基づき、全ての国の情報システムから調査して実施する。その結果を踏まえて、問題点の改善に向けた助言 対象システムを選定し、自衛隊が有する知識・経等を行う。なお、ペネトレーションテストを実施した国の行政機 験を活用しつつ、攻撃者が実際に行う手法を用い
関については、フォローアップを実施する。加えて、情報システ た疑似攻撃にて侵入検査（ペネトレーションテス
ムのペネトレーションテストを行うに当たり、自衛隊が有する知 ト）を実施した。その結果判明した問題点への対識・経験の活用を実施していく。
応策及びセキュリティの改善・維持のため、有益な助言等を行った。また、2017 年度に実施した被調査対象システムへの監査結果について、改善状
況のフォローアップを行った。

(ウ) 内閣官房

内閣官房において、独立行政法人等における統一基準群に基づく ・内閣官房において、「サイバーセキュリティ対策
施策の取組について、セキュリティ対策を強化するための体制等 を強化するための監査に係る基本方針」（2015 年が有効に機能しているかとの観点を中心とした検証を通じて、自 ５月 25 日 サイバーセキュリティ戦略本部決律的なセキュリティ水準の向上を促す仕組みを確立するため、 定）に基づき、2018 年度に実施すべき独立行政法
IPA との連携等により、引き続き独立行政法人等に対して監査を 人等（以下「被監査主体」という。）への監査を実施する。監査は、2020 年東京オリンピック・パラリンピック 実施し、被監査主体が今後のサイバーセキュリテ
競技大会までに、全ての法人に対し行う計画とし、独立行政法人 ィ対策を強化するための検討をする上で有益な等のサイバーセキュリティ対策及びその維持改善の体制の整備 助言等を行った。また、2017 年度に実施した被監及び運用状況に係る現状を把握し、改善のために必要な助言等を 査主体への監査結果について、ヒアリング等によ行う。なお、監査を実施した法人については、フォローアップを り改善状況のフォローアップを行った。
実施する。また、独立行政法人等における情報セキュリティ対策の実施状況を明らかにし、その結果を踏まえ、所管する府省庁と協力しセキュリティ対策の強化を図る。2018 年度の監査については、独立行政法人等の業務内容の多様性を踏まえ選定した部署やシステムを対象として実施する。

(エ) 内閣官房

内閣官房において、独立行政法人等の情報システムにおけるセキ ・内閣官房において、「サイバーセキュリティ対策
ュリティ対策の点検・改善を行うため、実際の攻撃手法を用いて を強化するための監査に係る基本方針」（2015 年
情報システム内部への侵入及び侵入後の被害状況について検証 ５月 25 日 サイバーセキュリティ戦略本部決を行うペネトレーションテストを、IPA との連携等により、引き 定）に基づき、2018 年度に実施すべき独立行政法
続き独立行政法人等に対して実施する。その結果を踏まえて、問 人等の情報システムから調査対象システムを選
題点の改善に向けた助言等を行う。ペネトレーションテストは、 定し、攻撃者が実際に行う手法を用いた疑似攻撃
2020 年東京オリンピック・パラリンピック競技大会までに、全 にて侵入検査（ペネトレーションテスト）を実施ての法人に対し行う。なお、ペネトレーションテストを実施した した。その結果判明した問題点への対応策及びセ
法人については、フォローアップを実施する。
キュリティの改善・維持のため、有益な助言等を行った。また、2017 年度に実施した被調査対象シ
ステムへの監査結果について、ヒアリング等により改善状況のフォローアップを行った。

(5) 組織的な対応能力の充実
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・事案対応を行うチームを中心に事案対応能力や情報セキュリティに係る知識の向上
・情報セキュリティ緊急支援チームの要員の対処能力の向上
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

内閣官房において、サイバーセキュリティ基本法に基づく重大イ ・サイバーセキュリティに係る技術的な国際カンンシデント等に係る原因究明調査をより適切に実施するため、デ ファレンスや専門的なトレーニングへの参加等
ジタルフォレンジック調査に当たる職員の技術力の向上に引き を通じて、民間事業者が保有するフォレンジック
続き取り組むとともに、民間事業者の知見を活用するための方策 調査、マルウェア解析のための高度な技術・知見を講じる。
を習得した。習得した技術・知見を活用して、政府機関等に対するサイバー攻撃防御に資する注意喚起等を実施した。

(イ) 内閣官房

内閣官房において、サイバー攻撃への対処に関する政府機関全体 ・内閣官房において、府省庁における CSIRT 要員
としての体制を強化するため、各府省庁のインシデント対処に関 を対象としたコミュニティを運営した。2018 年度
わる要員による情報共有及び連携の促進に資するコミュニティ は、政府機関等における実際のインシデント事案の更なる活性化を図る。
を題材とし、事案の関係者を交えた講義及びグループワークを実施した。また、CSIRT の能力を把握する手段について学ぶなどにより実践的な取組を実施し、府省庁の CSIRT 体制の強化やインシデント対処能力の向上を支援した。

- 159 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(ウ) 内閣官房

内閣官房において、引き続き、府省庁及び独立行政法人等を対象 ・内閣官房において、政府機関や独法等の職員向けに、昨今のサイバーセキュリティの動向や課題等に応じたテーマ に、2018 年度版統一基準の改定ポイントや情報セによる勉強会等を開催する。また、人事院と協力し、政府職員の キュリティ監査、府省庁・独法等マネジメント監
採用時の合同研修にサイバーセキュリティに関する事項を盛り 査・ペネトレーションテストの実施結果の分析か込むことによる教育機会の付与に取り組む。
ら得られた課題の傾向と対策等をテーマとした
NISC 勉強会を開催した。
・内閣官房において、2018 年度新任管理者セミナーにおいて、新任管理者向けに情報セキュリティをテーマとした講演を実施した。
・内閣官房において、2019 年４月に実施される国
家公務員合同初任者研修における研修カリキュ
ラムの中で使用する資料等について、近年のサイバーセキュリティに関する情勢を踏まえて作成
し、人事院に提供した。

(エ) 内閣官房

政府機関におけるサイバー攻撃に係る対処要員の能力及び連携 ・内閣官房において、府省庁における CSIRT 要員の強化を図るため、以下の訓練・演習を実施する。
を対象とし、インシデント発生時における適切か
・内閣官房において、各府省庁における情報セキュリティインシ つ円滑な対処を企図した訓練及び演習を全 22 府
デント対処に関わる要員を対象として、最高情報セキュリティ責 省庁個別に実施した。CISO 等の幹部も参加するこ任者及びサイバーセキュリティ・情報化審議官等をはじめとした とで、組織的対処能力の向上も図った。また、2018
幹部による指揮の下での組織的かつ適切な対処の実現を目指し、 年度は訓練直後に CSIRT 要員へのヒアリングを
これまでの訓練や調査等により明らかになった課題や近年のサ 府省庁個別に行い、対処状況の確認及び助言を実
イバー攻撃動向等を踏まえた訓練を実施する。
施し、得られた好事例を府省庁に共有すること
また、府省庁及び独立行政法人等における情報セキュリティイン で、政府機関全体としてのインシデント対処能力
シデント対処に関わる要員を対象として、研修を年間を通じて実 の向上を図った。
施する。
・内閣官房において、インシデント発生時における
さらに、政府機関等において自組織の環境に最適化した訓練を独対処能力の向上を図るため、府省庁、独立行政法
自に実施できるようにするために必要な支援を行う。
人及び指定法人における CSIRT 要員に対して、技術的事項の習得に重点を置いた研修を年間を通じて実施した。
・内閣官房において、府省庁 CSIRT の対処能力の更なる強化のために必要な施策として、自組織においてインシデント対処訓練が実施できるよう支援するための資料及び手引書等を配布し、後日フォローアップを行った。

内閣官房

内閣官房において、サイバー攻撃等により発生した支援対象機関 ・内閣官房において、サイバー攻撃等の発生時にお等の情報システム障害又はその発生が予想される場合等、政府一 ける対処能力の向上を図るため、インシデント発体となった対応が必要となる情報セキュリティインシデントに 生時の対応等について、情報セキュリティ緊急支対応できる人材を養成・維持するため、情報セキュリティ緊急支 援チーム(CYMAT)要員等に対して、技術的事項の援チーム（CYMAT）要員等に対する研修と実習等を実施する。
習得に重点を置いた研修を年間を通じて実施した。また、サイバーセキュリティに関連するシンポジウム等へ参加し、CYMAT における対処能力の向上に関する情報収集に努めた。

総務省

総務省において、NICT に組織した「ナショナルサイバートレー ・2018 年度については、実践的サイバー防御演習
ニングセンター」を通じ、国の行政機関等におけるサイバー攻撃 （CYDER）に国の行政機関から 386 名が受講。
への対処能力の向上を図るための新たなシナリオによる実践的・１府 12 省庁が参加し、各府省庁のサイバー攻撃
サイバー防御演習（CYDER）を実施する。
対処能力の向上を目的とした競技会である・内閣官房及び総務省において、昨今のサイバー攻撃やこれまで NATIONAL 318(CYBER) EKIDEN 2019 を実施した。
の実施結果を踏まえつつ、NATIONAL 318(CYBER) EKIDEN を実施する。

- 160 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現

2.4. 大学等における安全・安心な教育・研究環境の確保(1) 大学等の多様性を踏まえた対策の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・大学等における計画等に基づく自律的かつ組織的な取組の促進
・サイバーセキュリティに関するガイドライン等の策定と普及・各層別研修及び実践的な訓練や演習の実施
・事案発生時の初動対応への支援
項番 担当府省庁(ア) 文部科学省

サイバーセキュリティ 2018

取組の成果、進捗状況

文部科学省において、大学等の多様性を踏まえ、大学等が自律的 ・文部科学省において、大学等における自律的な取かつ組織的に取り組むべきサイバーセキュリティ対策について 組を促進するために、国立大学法人等が所有する検討を行い、大学等の取組を促進する。また、当該対策の推進に 情報システムの脆弱性診断（ペネトレーションテ
資するガイドライン等について検討する。
スト）を実施した。
・文部科学省において、大学等のサイバーセキュリ
ティ対策の推進に資するガイドライン等の策定に向け、WG を設置し検討を行った。
・国立情報学研究所（NII）において、政府統一基準に準拠したセキュリティポリシーおよびそのためのセキュリティ対策を実現するため、「高等教育機関の情報セキュリティ対策のためのサン
プル規程集」の改訂のための見直しを行った。
（改訂版の公表は 2019 年 6 月予定）(イ) 文部科学省

文部科学省において、大学等におけるリスクマネジメントや事案 ・文部科学省において、大学等の CISO、戦略マネ対応に資する各層別研修及び実践的な訓練・演習の体系について ジメント層、CSIRT 構成員、情報セキュリティ監
検討し、試行的に実施する。
査担当者等に対して、統一基準群やポリシー等のマネジメントに関わる知識、サイバー攻撃に係る攻撃手法と防御方法、情報セキュリティインシデ
ントへの対応等に関する研修や実践的な演習を行った。

(ウ) 文部科学省

文部科学省において、外部のセキュリティ機関等と連携し、大学 ・文部科学省関係機関において、標的型サイバー攻等で発生した事案の初動対応について必要に応じて支援する体 撃により重大な被害が発生している（おそれを含制を整備する。
む）場合、被害の最小化及び拡大防止のため、当該機関が迅速に民間セキュリティ事業者への移行を前提とした初動対応や対処後の事案検証等において必要な支援を行う体制を整備を開始し、一部については試行的に実施した。

(2) 大学等の連携協力による取組の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバー攻撃への監視能力の機能維持・強化
・戦略マネジメント層の育成に向けた共同研究や技術職員への研修の実施
・サイバー攻撃に関する情報や共通課題事案対応の知見等を共有するための取組への支援
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 文部科学省

文部科学省において、国立情報学研究所（NII）を通じ、国立大 ・国立情報学研究所（NII）において、国立大学法
学法人及び大学共同利用機関法人（以下「国立大学法人等」とい 人等のインシデント対応体制を高度化するためう）のインシデント対応体制を高度化するために、国立大学法人 に、国立大学法人等へのサイバー攻撃の情報提供
等へのサイバー攻撃の情報提供と情報セキュリティ担当者の研 と情報セキュリティ担当者の研修を実施した。
修を実施する。

(イ) 文部科学省

文部科学省において、国立情報学研究所（NII）を通じ、サイバ ・国立情報学研究所（NII）において、サイバー攻ー攻撃耐性を向上させるため、国立大学法人等において、M2M を 撃に関するデータ解析技術の開発を促進するた
含み学術評価に適したデータを実環境から継続的に収集し、デー め、国立大学法人等の通信データのうち、M2M をタ解析技術の開発を促進する。
含めたサイバー攻撃に関するデータ等を収集し、共有するため、データのフォーマットや匿名化を含めた提供方法について検討し、国立大学法人等
研究機関へ提供する準備を整えた。

- 161 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(ウ) 文部科学省

文部科学省において、サイバー攻撃に関する情報や共通課題、事 ・国立大学法人等における情報セキュリティ対策
案対応の知見等を共有するための手法を検討する。
基本計画の進捗状況を把握し、その結果に基づ
き、対応すべき課題について文部科学省関係機関
最高情報セキュリティ責任者会議を通じてフィードバックを行うことにより知見等の共有を図った。
・学術系 CSIRT 情報交流会にオブザーバーとして参加し、大学等の CSIRT 間で情報共有の活性化を図った。

2.5. 2020 年東京大会とその後を見据えた取組(1) 2020 年東京大会に向けた態勢の整備
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・「セキュリティ幹事会」で決定された基本戦略に基づく取組の推進
・大会の安全に関する情報の集約等の取組の推進
・リスク評価及び明らかになったリスクへの対策の促進
・「サイバーセキュリティ対処調整センター」の構築の推進と連絡調整態勢の整備
項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、「2020 年東京オリンピック競技大会・東京 ・引き続き、大会の運営に大きな影響を及ぼし得る
パ ラ リ ン ピ ッ ク 競 技 大 会 に 向 け た セ キ ュ リ テ ィ 基 本 戦 略 重要サービス事業者等を対象としたリスクマネ（Ver.1）」（2017 年３月 21 日セキュリティ幹事会決定）に基 ジメントの促進や、関係府省庁、大会組織委員会、づくサイバーセキュリティ対策の強化を引き続き推進する。
東京都等を含めた関係組織と、サイバーセキュリ
具体的には、オリパラ競技大会の運営に大きな影響を及ぼし得る ティに係る脅威・事案情報の共有等を担う中核的
重要サービス事業者等を対象として、リスク評価に基づく対策の 組織としてのサイバーセキュリティ対処調整セ
促進と、情報の共有、インシデント発生時の調整役となるための ンターの構築等、対処態勢の整備を推進した。
組織であるサイバーセキュリティ対処調整センター（政府オリン① 『リスクマネジメントの促進』
ピック・パラリンピック CSIRT）の整備を推進する。
・重要サービス事業者等（東京都、近郊県及び地方
2018 年度のリスク評価は、対象エリアを全国に拡大して実施するとともに特に重要なサービス事業者については国として横断 競技会場）を対象とする第３回リスクアセスメン
トの実施を依頼、各事業者等から提出された実施的リスク評価を実施する。
また、サイバーセキュリティ対処調整センター（政府オリンピッ 結果について、重要サービス分野内及び重要サー
ク・パラリンピック CSIRT）については、2018 年度末を目途に構 ビスを分野横断的に分析し、各事業者等へフィー
築し、2019 年度から要員の訓練、情報共有システムのユーザー ドバックを実施した。
に対する操作訓練、情報共有訓練及びインシデント発生時の対応 ・競技会場に提供されるサービスの重要度に応じ訓練支援が実施できるよう準備する。
て対象業者等を選定の上、サイバーセキュリティ対策の実施状況をＮＩＳＣが検証する横断的リ
スク評価について、第１回として、電力、通信、
水道、鉄道、放送分野等から５者を対象に実地検証、全重要サービス分野から 20 者を対象に書面検証を実施し、結果の取りまとめを行った。
②『対処態勢の整備』

・サイバーセキュリティワーキングチーム等における検討を更に進め、大会に向けたサイバーセキ
ュリティ体制の運用方針を関係府省庁、大会組織
委員会、東京都等と協議の上、決定した。
・サイバーセキュリティ対処調整センターを構築した。
(イ) 警察庁

警察庁に設置したセキュリティ情報センターにおいて、国の関係 ・警察庁に設置したセキュリティ情報センターに機関の協力を得て、サイバーセキュリティに係るものを含む おいて、サイバーセキュリティに係るものを含む
2020 年東京オリンピック・パラリンピック競技大会の安全に関 2020 年東京オリンピック・パラリンピック競技大する情報を集約するとともに、大会の安全に対する脅威及びリス 会の安全に関する情報を集約するとともに、大会
クの分析、評価を行い、国の関係機関等に対し必要な情報を随時 の安全に対する脅威及びリスクの分析、評価を行提供する。
い、国の関係機関等に対して情報を提供した。

- 162 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(2) 未来につながる成果の継承
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・2020 年東京大会の態勢整備のための各種施策の継続推進
・整備した仕組み、運用経験及びノウハウの活用
・「サイバーセキュリティ対処調整センター」のナショナル CSIRT としての活用
・「リスクアセスメント」の手法の全国の事業者等への適用とそのための整備・普及
項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、2020 年東京大会に向けた態勢の整備に当た ・2020 年東京大会に向けた態勢の整備に当たってっては、整備した仕組み、その運用経験及びノウハウが、レガシ は、整備した仕組み、その運用経験及びノウハウーとして、2020 年東京大会以降の我が国の持続的なサイバーセ が、2020 年東京大会以降の我が国の持続的なサイキュリティの強化のために活用できることを考慮し、構築した バーセキュリティの強化のために活用できるこ「サイバーセキュリティ対処調整センター」は、サイバー攻撃等 とを考慮し、「サイバーセキュリティ対処調整セ
に対してオールジャパンで力を合わせて対処するための調整役・ ンター」の構築を実施した。整備する情報共有シ調整窓口となる組織（ナショナル CSIRT）へと成長・発展させ、 ステムは、大会後に全国の重要インフラ事業者等
サイバーセキュリティの基本的な在り方でも掲げた「リスクマネ までユーザーを拡大できるよう、特に専門的な知ジメント」の手法については、広く全国の事業者等に適用できる 識がなくても使っていただけるよう考慮して設よう検討する。
計を行った。
・「リスクマネジメント」の手法についても、広く
全国の事業者等に適用できるよう考慮し、米国のシンクタンクの支援及びリスクアセスメント結果の反映等により逐次改善を実施した。

(イ) 警察庁
法務省

警察庁及び都道府県警察において、2020 年東京大会その他の大 [警察庁]規模国際イベントを見据えたサイバー攻撃対策を推進するとと ・警察庁及び都道府県警察において、2020 年東京
もに、態勢の運用を通じて得た情報収集・分析、管理者対策、事大会その他の大規模国際イベントを見据えたサ案対処等に関する教訓やノウハウの効果的活用を図る。また、法 イバー攻撃対策を推進するとともに、体制の運用
務省において、人的情報収集・分析を行い、対応を推進する。
を通じて得た情報収集・分析、管理者対策、事案対処等に関する教訓やノウハウの効果的活用を
推進した。
[法務省]
・法務省（公安調査庁）において、2020 年東京大会等を見据えたサイバー攻撃対策の推進に向けて、人的情報収集・分析を行うとともに、その過程で得られた教訓やノウハウについて、庁内での周知及び活用を図った。

(ウ) 総務省

総務省において、NICT に組織した「ナショナルサイバートレー ・サイバーコロッセオについては、東京オリンピッ
ニングセンター」を通じ、2020 年東京オリンピック・パラリン ク・パラリンピック競技大会組織委員会のセキュピック競技大会に向けた大規模演習環境「サイバーコロッセオ」 リティ担当者等を対象に演習を実施し、2018 年度を活用し、同大会のサイバーセキュリティを守る高度な人材の育 は延べ 137 名が受講。
成を推進し、更なる内容の拡充を図り、より実践的な環境の下でのサイバー演習の強化を図る。

- 163 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現

2.6. 従来の枠を超えた情報共有・連携体制の構築
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・ISAC を含む既存の情報共有の推進

項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

内閣官房において、情報セキュリティ関係機関等と協力関係を構 ・内閣官房とパートナーシップを締結している情築・強化していくと共に、引き続き、得られた情報を適切に重要 報セキュリティ関係機関と情報を共有し、重要イ
インフラ事業者等に情報提供する。また、情報セキュリティ関係 ンフラ事業者等への情報提供を行った。また、同機関を情報共有体制のメインプレーヤの一つとして活用してい 機関が分析した情報の横展開を行った。さらに、
くことについて、具体的な検討を行う。（再掲）
同機関を始めとした情報セキュリティ関係機関と定期的に会合を設け、意見交換を行い、連携強化を図った。

(イ) 経済産業省

経済産業省において、最新の脅威情報やインシデント情報等の共 経済産業省において、IPA を通じ、有のため IPA を通じ実施している「サイバー情報共有イニシア
・J-CSIP の情報共有活動の着実な運用を継続。
ティブ」（J-CSIP）の運用を着実に継続し、より有効な活動に発
また、一部、STIX 等の機械処理可能な形式での展させるよう参加組織の拡大、共有情報の充実等、民民、官民に情報共有も試行した。
おける一層の情報共有網の拡充を進める。また、重要インフラ事
・2018
年度は新たにエアポート業界 SIG と鉄鋼業者等における信頼性・安全性向上の取組を支援するため、IPA
業界 SIG が運用開始した。また、既存の SIG とを通じ、障害事例等の情報を重要インフラ事業者等へ提供する。
運用ルールの異なる新たな「情報連携体制」として、医療業界、水道業界での情報共有の取組を開始した。
・STIX/TAXII による脅威情報の表現形式について、調査・検討を実施。
・重要インフラ事業者等における信頼性・安全性向上の取組を支援するため、2017 年度までに体制構築した 12 の情報共有体制に対して、情報処理システムの障害情報等を提供し、自律的な障害情報共有に向けた支援を実施した。また、障害事例から得られた経験やノウハウを「教訓」として取りまとめ、「情報処理システム高信頼化教訓集 IT サービス編」の書籍を 2019
年３月に発行するとともに、教訓を自組織内で実践するための対策方法や障害原因分析に用いられる分析手法をまとめた資料を web 公開した。

(ウ) 総務省

総務省において、ISP 事業者や ICT ベンダー等を中心に構成され ・ICT-ISAC の会員企業を順次拡大し、「ICT-ISAC」ている「ICT-ISAC」を核として、国際連携を含めてサイバー攻撃 を核とした通信事業者、放送事業者、CATV 事業に関する情報共有網の拡充を推進する。
者、セキュリティベンダ等の情報通信分野全体における情報共有を促進した。

(エ) 国土交通省

国土交通省において、2018 年４月から重要インフラ（航空、鉄 ・国土交通省において、2018 年４月から重要イン
道、物流分野）事業者による情報共有・分析及び対策を連携して フラ事業者（航空、鉄道、物流）が情報共有・分行う体制である「交通 ISAC」（仮称）の仮運用が開始されたこと 析及び対策を連携して行う体制である「交通から、事業者等が参加する検討会を開催し、交通 ISAC の本格運 ISAC」（仮称）の仮運用が開始されたことから、用に向けて情報共有・知見共有の仕組みや運営形態等を検討・議 事業者が参加する検討会を開催し、交通 ISAC の論する。
本格運用に向けて情報共有・知見共有の仕組みや運営形態等を検討・議論した。
また、2018 年７月に重要インフラ分野に追加された空港分野の事業者に対し、交通 ISAC への参加を促した。

(オ) 金融庁

金融庁において、金融機関に対し、「金融 ISAC」を含む情報共有 ・金融庁において、各業態の金融機関に対し、「金機関等を通じた情報共有網の拡充を進める。
融 ISAC」を含む情報共有機関等を活用した情報収集・提供の意義について、周知すること等により、2019 年３月現在、「金融 ISAC」の加盟社は 382 社（正会員）まで増加。

(カ) 厚生労働省

厚生労働省において、医療分野及び水道分野の ISAC について、 ・水道分野については、水道分野の ISAC について、必要な調査・情報収集を行うとともに、検討を進める。
海外の事例を調査・情報収集したところである。
・医療分野については、医療分野のサイバーセキュ
リティ対策について海外事例を中心に調査を行い、情報共有のあり方等について検討を行った。

- 164 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(キ) 経済産業省

経済産業省において、クレジットカード会社に対し、「金融 ISAC」 ・経済産業省において、2018 年 11 月に金融 ISAC
等の情報共有機関等を通じた情報共有網の拡充を進める。
事務局との間で意見交換を行い、金融 ISAC の活動目的・内容等について情報提供を受け、カード会社の参加状況等について確認した。また、この内容について、2018 年 11 月に開催したクレジッ
トセプター運営会議で報告を行い、金融 ISAC の参加メンバーであるカード会社委員等との間で意見交換を行った。

(ク) 経済産業省

経済産業省において、自動車業界の事業者に対し、「J-Auto-ISAC」 ・経済産業省において、自動車業界の「J-Auto等の情報共有機関等を通じた情報共有網の拡充を進める。
ISAC」等の情報共有機関等に対して、全自動車メーカーが参加し、同機関等を通じた情報共有網の拡充を進めた。

(ケ) 経済産業省

経済産業省において、重要インフラ事業者等において対策が必要 ・経済産業省において、JPCERT/CC を通じ、となる可能性のある脅威情報及びその対策に関する情報を、事前・重要インフラ事業者等において対策が必要との合意に基づき、早期警戒情報として、JPCERT/CC から重要インなる可能性のある情報セキュリティ上の脅威
フラ事業者等へ提供する。
及びその対策について、46 件の「早期警戒情報」を発行した（2019 年 2 月末現在）。
・被害の発生及び拡大抑止のための関係者間調整を実施した（調整件数 8,776 件：2019 年２月末現在）。また制御システムの関係者向けに
21 件の参考情報と 12 件の月次ニュースレタ
ー、57 件のニュースクリップなどの情報発信を行った。(全て 2019 年２月末時点)(コ) 警察庁

警察庁において、サイバー空間の脅威に対処するため、一般財団 ・都道府県警察において JC3 を通じて企業等とサ
法人日本サイバー犯罪対策センター（JC3）を通じた産学官連携 イバー空間の脅威への対処に関する情報を共有した取組を進める。
したほか、不正作成ＩＤの流通阻止に向けた官民連携による犯罪インフラ対策や、クレジットカー
ドの不正利用に係る不正宿泊対策を実施した。
（再掲）(1) 多様な主体の情報共有・連携の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・情報共有に十分な知見を有する専門機関を含む官民の多様な参加主体が、安心して相互に情報共有を図るための体制の構築
・官民、業界、国内外といった枠を超えた情報共有・連携の推進
・既存の情報共有体制についての連携や統合の検討
項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

国の行政機関、重要インフラ事業者、サイバー関連事業者等官民 ・2018 年 12 月に、サイバーセキュリティ基本法のの多様な主体が相互に連携し、サイバーセキュリティに関する施 一部を改正する法律（平成 30 年法律第 91 号）が策の推進に係る協議を行うための協議会の創設に向けて検討を 成立した。同法により改正されたサイバーセキュ
進める。
リティ基本法第 17 条に基づき、2019 年４月１日に、国の行政機関、重要インフラ事業者、サイバー関連事業者等官民の多様な主体が相互に連携し、サイバーセキュリティに関する施策の推進に係る協議を行うためのサイバーセキュリティ協議会を組織した。また、この協議会の規約等において、各主体の自主性を最大限に尊重するためのルール、各主体が安心して情報の共有を行うことを可能にするためのルール、既存の情報共有体制との円滑な連携等を可能にするためのルール等、様々な運用ルールを整備した。

- 165 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(2) 情報共有・連携の新たな段階へ
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・積極的に情報提供に協力する者ほど恩恵を享受できる仕組みの検討
・情報処理の自動化の推進
・参加主体が従来の枠を超えて共存・発展する関係構築に向けた環境整備の推進
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

内閣官房が中心となり構築する情報共有体制において、積極的に ・2018 年 12 月に、サイバーセキュリティ基本法のサイバーセキュリティインシデント等に係る情報（例えば、リコ 一部を改正する法律（平成 30 年法律第 91 号）がールの要因となる情報など、国民の生命・身体を保護するために 成立した。同法により改正されたサイバーセキュ
提供される情報を含む。）の共有に貢献する参加者が評価される リティ基本法第 17 条に基づき、2019 年４月１日
環境を整備するための検討を進める。また、当該体制において情 にサイバーセキュリティ協議会を組織した。この報の共有や分析を迅速に行うための処理の自動化に向けた検討 協議会の規約等において、サイバーセキュリティを進める。
インシデント等に係る情報（リコールの要因となる情報等を含む。）を積極的に提供する構成員がより評価され、メリットを享受することを可能にするためのルールや、情報の共有・分析を迅速に行うための処理の自動化に対応したシステム等を整備した。

(イ) 内閣官房

内閣官房が中心となり構築する情報共有体制において、所管省庁 ・2018 年 12 月に、サイバーセキュリティ基本法のを同じくする複数の業界が業界を跨いで情報共有の仕組みを構 一部を改正する法律（平成 30 年法律第 91 号）が築する等新しい情報共有・連携を推進するための検討を進める。 成立した。同法により改正されたサイバーセキュ
リティ基本法第 17 条に基づき、2019 年４月１日にサイバーセキュリティ協議会を組織した。この協議会の規約等において、所管省庁を同じくする
複数の業界が、業界を跨いで情報共有の仕組みを構築するといった様々な情報共有・連携の在り方に柔軟に対応できるようにするためのルール等を整備した。

2.7. 大規模サイバー攻撃事態等への対処態勢の強化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバー空間と実空間の双方の危機管理に臨むための大規模サイバー攻撃事態等への対処態勢の強化
・サイバー空間における情報収集・分析機能及び緊急対処能力の向上
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

内閣官房において、国民の生命等に重大な被害が生じ、若しくは ・内閣官房が、関係省庁及び重要インフラ事業者等
生じるおそれのあるサイバー攻撃事態又はその可能性のある事 とともに、重要インフラに対するサイバー攻撃を態（大規模サイバー攻撃事態等）発生時における政府の初動対処 想定した大規模サイバー攻撃事態等対処訓練を態勢の整備及び対処要員の能力の強化を図るため、関係府省庁、 実施し、政府の初動対処態勢を整備するととも重要インフラ事業者等と連携した初動対処訓練を実施する。
に、対処要員の能力強化を図った。

(イ) 内閣官房

内閣官房において、サイバー攻撃等の事象に関する政府としての ・初動対処訓練を通じて、サイバー攻撃発生時にお一連の初動対処（検知、判断、対処、報告）を見直し、サイバー ける組織内の情報共有、関係府省庁、関係機関等
セキュリティに係る危機管理対応の一層の強化が図られるよう との連携について確認した。そのうえで、サイバ留意する。
ーセキュリティに係る危機管理対応の一層の強化を図るために見直すべき事項を洗い出し、環境整備等必要な措置の検討を行った。

- 166 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
2. 国民が安全で安心して暮らせる社会の実現(ウ) 警察庁

警察庁及び都道府県警察において以下の取組を推進することに ・都道府県警察において、サイバー攻撃の発生を想より、サイバー攻撃対処態勢の強化を図る。
定した重要インフラ事業者等との共同対処訓練を計画及び実施することにより、官民の協働によ・都道府県警察において、安全確保等に係る実空間の対処も考慮 る対処態勢の強化を推進した。
しつつ、サイバー攻撃の発生を想定した重要インフラ事業者等と・警察庁において、外国治安情報機関等との協議をの共同対処訓練を計画及び実施することにより、官民の協働によ 通じた情報交換や民間の知見の活用等を推進す
る対処態勢の強化を図る。
るとともに、各都道府県警察において、捜査や重・警察庁において、外国治安情報機関等との情報交換や民間の知要インフラ事業者等への個別訪問、サイバーテロ
見の活用等を推進するとともに、都道府県警察において、官民連 対策協議会を通じた情報共有等を実施し、サイバ携の枠組みを通じた情報共有等を推進し、サイバー攻撃に関する ー攻撃に関する情報収集を推進した。
情報収集を強化する。
・警察庁及び都道府県警察において、分析官等の育成を進めると ・警察庁及び都道府県警察において、分析官等の育ともに、捜査等を通じて得たサイバー攻撃に関する情報の集約及 成を進めるとともに、捜査等を通じて得たサイバ
び整理を推進し、サイバー攻撃に関する分析能力の強化を図る。 ー攻撃に関する情報の集約及び整理を推進し、サ・警察庁において、都道府県警察のサイバー攻撃対策担当者を対 イバー攻撃に関する分析能力の強化を推進した。
象に、大規模産業型制御システムに関するサイバー攻撃対策に係 ・警察庁において大規模産業型制御システムに対る訓練を実施する。
するサイバー攻撃対策を適切に行うための訓練
・警察庁において、サイバー空間の脅威への危機管理に臨むた を実施した。
め、サイバー空間に関する観測機能の強化等に取り組むことで、
サイバーフォースセンターの技術力の向上等を図る。また、サイ ・大規模産業型制御システム模擬装置を使用して、産業制御システムを対象としたサイバー攻撃の
バー攻撃の実態解明に必要不可欠な不正プログラム等の解析を調査・検証を実施した。これらの調査結果をもと推進する。
に対処の任につく警察職員へ教養を実施したほか、関係機関と連携して制御システムに係る情報収集や共同研究を行った。
・サイバー空間に関する観測機能を強化し、サイバーフォースセンターの技術力向上を推進した。また、標的型メールに添付された不正プログラム等の解析を推進した。

(エ) 経済産業省

経済産業省において、JPCERT/CC を通じ、重要インフラ事業者等 ・経済産業省において、JPCERT/CC を通じ、からの依頼に応じ、国際的な CSIRT 間連携の枠組みも利用しな・重要インフラ事業者等において対策が必要とがら、攻撃元の国に対する調整等の情報セキュリティインシデンなる可能性のある情報セキュリティ上の脅威
トへの対応支援や、攻撃手法の解析の支援を行う。
及びその対策について、46 件の「早期警戒情報」を発行した（2019 年 2 月末現在）。
・被害の発生及び拡大抑止のための関係者間調整を実施した（調整件数 8,776 件：2019 年２月末現在）。また制御システムの関係者向けに
21 件の参考情報と 12 件の月次ニュースレタ
ー、57 件のニュースクリップなどの情報発信を行った。(全て 2019 年２月末時点)(オ) 経済産業省

経済産業省において、IPA を通じ、我が国経済社会に被害をもた ・経済産業省において、IPA を通じ、レスキュー対
らすおそれが強く、一組織で対処が困難なサイバー攻撃を受けた 応が必要と判断した組織に対するヒアリングや組織等を支援するため、「サイバーレスキュー隊（J-CRAT）」の 相談者自身による調査対応の支援等を 127 件行
活動を増強し、被害組織における迅速な対応・復旧に向けた計画 うとともに、うち 31 件に対してオンサイトでレ作りを支援する。
スキュー活動を実施した。

(カ) 内閣府

個人情報保護委員会において、個人情報取扱事業者における、外 ・2018 年６月 11 日に第２回個人情報保護法サイ部からの不正アクセス等による個人データの漏えい等の事案へ バーセキュリティ連携会議を開催し、個人情報等の対応が適切に実施されるよう、個人情報サイバーセキュリティ の漏えいを取り巻く状況やダークウェブの現状
連携会議を通じて、関係機関と緊密な連携を図り事案の詳細の把 等について意見交換や、当委員会に報告された漏握に努めるとともに、必要に応じて指導・助言等を行う。
えい等事案について情報共有するなど、情報セキ
ュリティ関係機関との連携を図った。
また、個人情報取扱事業者から個人データの漏えい等事案の報告を受けた際には、事実関係及び再発防止策の確認等を行うとともに、同種の事態が起きないよう必要に応じて指導等を行った。

- 167 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(キ) 経済産業省

経済産業省において、JPCERT/CC を通じ、企業へのサイバー攻撃 ・経済産業省において、日本シーサート協議会の運等への対応能力向上に向けて、国内における組織内 CSIRT 設立 営委員および事務局業務を通じ、国内組織におけを促進・支援する。また、CSIRT の構築・運用に関するマテリア る CSIRT 構築や機能強化、CSIRT 間の連携の促進
ルや、インシデント対策・対応に資する脅威情報や攻撃に関する 等を積極的に支援している。同協議会の加盟組織
情報、所要の分析を加えた具体的な対策情報等を適切な者の間で 数は 2018 年３月末時点では 284 組織であったが、共有することにより、CSIRT の普及や、国内外の組織内 CSIRT と 2019 年２月末現在で 329 組織となり、サイバーの間における緊急時及び平常時の連携の強化を図るとともに、巧 セキュリティにかかる緊急時及び平常時の相互妙かつ執拗に行われる標的型攻撃への対処を念頭においた運用 連携が可能な国内組織が増えた。
の普及、連携を進める。
標的型攻撃等を含む CSIRT のサイバーインシデ
ント対応や体制整備を目的に、「CSIRT マテリア
ル」などの普及啓発資料の改訂や、企業等への机上演習プログラムの実施を進めた。

3. 国際社会の平和・安定及び我が国の安全保障への寄与
3.1. 自由、公正かつ安全なサイバー空間の堅持
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・グローバル規模で自由、公正かつ安全なサイバー空間を実現するための、国際場裡における理念の発信、サイバー空間における法の支配の推進
項番 担当府省庁(ア) 内閣官房
外務省

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房、外務省及び関係府省庁において、ハイレベルの会談・ ・2018 年５月の日イスラエル首脳会談で、両首脳協議等を通じ、サイバー空間における我が国の利益が達成される は、サイバー面での協力を強化していくことを確よう、戦略的な取組を進める。
認。両首脳は、イスラエルのベイルシェバにある
サイバーセキュリティーコンプレックスへ専門家を派遣することに合意し、本合意に基づき、2018 年６月、11 月に専門家を派遣した。
・2019 年１月の日英首脳会談で、両首脳は、「日英共同声明」において、「自由で、開かれ、平和
で、公正かつ安全なサイバー空間を促進することに対するコミットメントを改めて表明」するとともに、「サイバー攻撃を抑止し、対応し、緩和するために共に取り組み、国家の無責任な行動を非難」し、「サイバーにより可能となる知的財産の窃取その他の脅威から技術を保護するにあたり協力を強化すること」を表明した。
・2019 年１月、櫻田大臣は、イスラエル、英国及びフランスに出張し、東京大会の成功に向けた協力関係の構築の確認、サイバーセキュリティの課
題の共有や対応策に関する意見交換を実施した。

- 168 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(1) 自由、公正かつ安全なサイバー空間の理念の発信
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・日本型のサイバーセキュリティの基本的な在り方の発信、サイバー空間の発展を妨げるような国際ルールの変更等を目指す取組への対抗

項番 担当府省庁(ア) 内閣官房
警察庁
総務省
外務省
経済産業省
防衛省

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房、警察庁、総務省、外務省、経済産業省及び防衛省にお ・米英等をはじめとする、サイバーセキュリティにいて、各二国間協議や多国間協議に参画し、我が国の意見表明や 関する知見・能力とプレゼンスを有する関係国と情報発信に努めるとともに、越境データ規制、ソースコード開示、 の協議を実施し、サプライチェーンリスク、デー
国家によるインターネットの資源管理等、自由な情報の流通を阻 タの自由な流通等のサイバーに関する最近の諸害するような動きに対抗し、自由、公正かつ安全なサイバー空間 課題について議論を行い、相互の理解を深めていを実現する。
る。
・米英等も参加するサイバーセキュリティに関する有志国会合へ参加し、自由、公正かつ安全なサイバー空間の実現を阻害するような動きを念頭に、様々な取組に関して議論。
・各種国際会議等での議論やパネルディスカッシ
ョン等を通じ、マルチステークホルダーの協力によるインターネットガバナンス等に積極的に関与している。

(イ) 経済産業省
外務省

経済産業省及び外務省において、情報セキュリティなどを理由に ・経済産業省及び外務省において、したローカルコンテント要求、国際標準から逸脱した過度な国内・中国、ベトナム等のサイバーセキュリティ法及製品安全基準、データローカライゼーション規則等、我が国企業
び関連法・施行規則に関し、WTO のサービス貿
が経済活動を行うに当たって貿易障壁となるおそれのある国内
易理事会、TBT 委員会での議論等を通じて、要規制（「Forced Localization Measures」）を行う諸外国に対し、件・定義・手続きの明確化、透明性の確保、貿対話や意見交換を通じ、当該規制が自由貿易との間でバランスが易制限的な運用を行わないこと等を要請した。
とれたものとなるよう、民間団体とも連携しつつ働きかけを行
・上記のような国内規制により、我が国企業を含う。
む外国企業の活動に悪影響が及ばないよう、対象国当局との協議、有志国、民間団体等との情報交換を行った。

(2) サイバー空間における法の支配の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・既存の国際法の個別具体的な適用の在り方、規範の形成・普遍化についての議論への積極的な関与

項番 担当府省庁(ア) 内閣官房
警察庁
総務省
外務省
経済産業省
防衛省

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房、警察庁、総務省、外務省、経済産業省及び防衛省にお ・米英等をはじめとする、サイバーセキュリティにいて、各二国間協議や多国間協議に参画し、サイバー空間におけ 関する知見・能力とプレゼンスを有する関係国とる国際法の適用や国際的なルール・規範作り等に積極的に関与 の協議を実施し、国際的なルールや規範等のサイし、それらに我が国の意向を反映させる。
バーに関する最近の諸課題について議論を行い、相互の理解を深めている。
・米英等も参加するサイバーセキュリティに関する有志国会合へ参加し、自由、公正かつ安全なサイバー空間の実現を阻害するような動きを念頭に、サイバー空間における国際法の適用や国際的なルール・規範作り等を含め、様々な取組に関して議論。
・中国を拠点とする APT10 といわれるグループによるサイバー攻撃に関し、事前に米英等の有志国と緊密に連携しつつ、我が国としても米英等による非難声明を支持する形で 2018 年 12 月に外務報道官談話を発出した。
・次会期国連政府専門家会合の方向性等を含め、国連におけるサイバーセキュリティに関する議論に積極的に貢献。また、各種国際会議等での議論やパネルディスカッション等を通じ、国際的なルール及び規範作りに積極的に関与している。

- 169 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバー犯罪に関する条約、刑事共助条約、ICPO 等の枠組みを活用した国際機関、外国法執行機関、外国治安情報機関等との間における国際捜査共助や情報交換等による国際連携
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(イ) 警察庁
法務省

警察庁及び法務省において、容易に国境を越えるサイバー犯罪に ・原則として共助を義務的なものとする日・米、日・
効果的に対処するため、原則として共助を義務的なものとする 韓、日・中、日・香港、日・EU、日・露間の刑事
日・米、日・韓、日・中、日・香港、日・EU、日・露間の刑事共 共助条約・協定の発効を受け、これらの条約・協助条約・協定及びサイバー犯罪に関する条約の発効を受け、これ 定の下で、中央当局を設置し、外交ルートを経由
らの条約・協定の下で、中央当局を設置し、外交ルートを経由せ せずに直接中央当局間で共助実施のための連絡ずに直接中央当局間で共助実施のための連絡を行うことで共助 を行い、刑事共助条約を締結済みのアメリカ合衆の迅速化を図る。今後は、更なる刑事共助条約の締結について検 国及び大韓民国との間では中央当局間実務者協討していく。
議を実施し、共助の迅速化を図った。また、サイバー犯罪条約の締約国会合に参加し、他の締約国との連携強化を図った。

(ウ) 警察庁

警察庁において、迅速かつ効果的な捜査共助等の法執行機関間に ・G7 ローマ／リヨングループに置かれたハイテク
おける国際連携の強化を目的とし、我が国のサイバー犯罪情勢に 犯罪サブグループ会合（2018 年 10 月、2019 年３
関係の深い国々の各法執行機関と効果的な情報交換を実施する 月）、ASEAN サイバー犯罪対策対話（2019 年１月）
とともに、G7、ICPO 等のサイバー犯罪対策に係る国際的な枠組 等に参加し、外国捜査機関職員との情報交換を積みへの積極的な参加、アジア大洋州地域サイバー犯罪捜査技術会 極的に推進するとともに、協力関係の醸成に努め
議の主催等を通じた多国間における協力関係の構築を推進する。 た。
また、外国法執行機関等に派遣した職員を通じ、当該機関等との・警察庁とアジア大洋州地域における法執行機関
連携強化を推進する。さらに、証拠の収集等のため外国法執行機 との間で、情報技術の解析に係る知識・経験等を
関からの協力を得る必要がある場合について、外国の法執行機関 共有し、情報技術解析能力の向上を図ることを目に対して積極的に捜査共助を要請し、的確に国際捜査を推進す的として、2018 年 12 月に、アジア大洋州地域サる。
イバー犯罪捜査技術会議を開催した。
・外国捜査機関等との連携強化を目的として、サイバー犯罪に係るリエゾンを派遣した。
・サイバー犯罪捜査において、外国捜査機関からの協力を得る必要がある場合には、刑事共助条約（協定）や ICPO、サイバー犯罪に関する 24 時間
コンタクトポイント 2019 年１月現在、85 の国及び地域が参加）等の枠組みを活用し、外国捜査機関に対して積極的に国際捜査を推進した。

(エ) 外務省

外務省において、我が国が 2012 年７月にサイバー犯罪に関する ・2018 年４月及び 2019 年３月にウィーンで開催条約を締結し、同年 11 月から我が国について同条約の効力が生 された国連サイバー犯罪包括研究に関する政府
じたことを受け、引き続きアジア地域初の締約国として同条約の 間オープンエンド専門家会合や、2018 年７月及び普及等に積極的に参画する。
11 月にストラスブールで開催されたサイバー犯罪条約締約国会合のほか、2019 年１月にブルネイ
で開催された日 ASEAN サイバー犯罪対策対話等の場において、サイバー犯罪に関する有志国と連携しつつ、サイバー犯罪条約の有効性を発信するとともに、同条約に関心を持つアジア諸国に対して働きかけを行った。

- 170 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与

3.2. 我が国の防御力・抑止力・状況把握力の強化(1) 国家の強靭性の確保
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より①任務保証
・政府機関及び重要インフラ事業者等におけるサイバーセキュリティの確保の推進
・防衛省・自衛隊のサイバー攻撃対処を行う部隊の能力向上、自らの活動が依存するネットワーク・インフラの防護強化、自衛隊の任務保証に関連する主体との連携の深化
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 警察庁

都道府県警察において、重要インフラ事業者等の意向を尊重しつ ・都道府県警察において、重要インフラ事業者等へ
つ、以下の取組を実施することにより、緊急対処能力の向上を図 の個別訪問、事案発生を想定した共同対処訓練、る。
サイバーテロ対策協議会を通じた情報共有等を・重要インフラ事業者等への個別訪問を行い、各事業者等の特 実施し、官民一体となったサイバー攻撃対策を推性に応じた情報提供や保有するシステムに対するぜい弱性試験 進した。
を実施する。
・事案発生を想定した共同対処訓練を実施する。
・サイバーテロ対策協議会を通じて、参加事業者間の情報共有を実施する。

(イ) 防衛省

防衛省において、対処機関としてのサイバー攻撃対処能力向上の ・防衛省において、サイバー攻撃等に関する技術はため、最新技術を活用して、サイバー防護分析装置、サイバー情 日々進歩していることを踏まえ、2019 年３月まで
報収集装置、各自衛隊の防護システムの機能の拡充を図るととも に各自衛隊の防護システム、防衛情報通信基盤に、多様な事態において指揮命令の迅速かつ確実な伝達を確保す （DII）のクローズ系、ネットワーク監視機材のるため、防衛情報通信基盤（DII）のクローズ系及びネットワー 機能拡充の検討等を引き続き実施した。
ク監視器材へ常続監視等を強化するための最新技術を適用していく。

(ウ) 防衛省

防衛省において、防衛省と防衛産業との間におけるサイバー攻撃 ・防衛省において、防衛省と防衛産業との間におけ対処のための官民協力関係の深化に向けた取組を実施する。ま るサイバー攻撃対処のための官民協力関係の深た、任務保証の観点から、防衛省・自衛隊の活動が依存するネッ 化に向け、事案発生を想定した共同訓練及び脅威
トワーク・インフラの防護を引き続き強化するとともに、自衛隊 情報等の情報共有を実施した。
の任務保証に関連する関係主体との連携を深化させていく。
また、自衛隊の任務保証に関連する主体との連携を深化させるため、重要インフラへのサイバー攻撃等に起因する障害が発生した場合の情報共有の在り方について関係省庁との意見交換を実施
した。

(エ) 防衛省

防衛省・自衛隊が保有する情報通信ネットワーク等に対する侵入 ・防衛省・自衛隊が保有する情報通信ネットワーク
試験（ペネトレーションテスト）について、実施に向けた所要の 等に対する侵入試験（ペネトレーションテスト）
準備を進める。
に向け、必要な訓練等を実施した。

(オ) 防衛省

防衛省において、サイバー攻撃等によって防衛省・自衛隊の情報 ・防衛省において、サイバー攻撃等によって防衛通信基盤の一部が損なわれた場合においても、運用継続を実現す 省・自衛隊の情報通信基盤の一部が損なわれた場
る研究を実施する。
合においても運用継続を実現するための、サイバーレジリエンスに関する研究のための試作品の設計を実施した。

(カ) 防衛省

防衛省において、移動系システムを標的としたサイバー攻撃対処 ・防衛省において、移動系システムを標的としたサのための演習環境整備に関する研究を実施する。
イバー攻撃対処のための、移動系サイバー演習環
境構築技術に関する研究を開始した。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より②我が国の先端技術・防衛関連技術の防護
・防衛産業において、安全な情報共有を確保する仕組みの導入、契約企業向けの新たな情報セキュリティ基準の策定、契約条項の改正等の取組の実施
・国立研究開発法人や先端的な技術情報を保有する大学等における対策の促進
項番 担当府省庁(キ) 防衛省

サイバーセキュリティ 2018

取組の成果、進捗状況

防衛省において、サイバーセキュリティの更なる確保のため、調 ・防衛省において、サイバーセキュリティの更なる達する情報システムに係る情報セキュリティ上のサプライチェ 確保のため、調達する情報システムに係る情報セーンリスク対策として、調達仕様書に係る関連規則の整備を行う キュリティ上のサプライチェーンリスク対策ととともに、引き続き調査研究等を通じて必要な関連規則等の整備 して、調達に係る関連規則を整備した。
を進める。

- 171 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(ク) 内閣官房
文部科学省

科学技術競争力や安全保障等に係る技術情報を保護する観点か [NISC]
ら、以下の取組を行う。
・内閣官房において、先端的な技術を保有する国立・内閣官房において、先端的な技術を保有する国立研究開発法人 研究開発法人に対しての対策を引き続き推進しが、自立的に情報セキュリティ対策を講じていくことができるよ た。
う国立研究開発法人相互の協力の枠組みを通じ取組を促す。
ガバナンス体制の確立に向けた支援を行うとと・文部科学省において、先端的な技術情報を保有する大学等に対 もに、国立研究開発法人の業務特性に応じた課題
して、サイバー攻撃による当該情報の漏えいを防止するための取 を検討し、これを盛り込んだ統一基準を公表し組を促すとともに、支援する。
た。
個々の法人については、マネジメント監査及び侵入検査（ペネトレーションテスト）を行い有益な助言等を行った。
また、国立研究開発法人協議会に対する情報提供を通じて国立研究開発法人相互の協力による自立的活動の向上を支援した。
[文部科学省]・国立大学法人等における情報セキュリティ対策
基本計画の進捗状況を把握し、その結果に基づ
き、対応すべき課題について文部科学省関係機関
最高情報セキュリティ責任者会議を通じてフィードバックを行った。
・大学等のサイバーセキュリティ対策の推進に資するガイドライン等の策定に向け、WG を設置し検討を行った。
・国立情報学研究所（NII）が国立大学法人等と連携し、SINET に設置した検知システム等を用いて警報分析及び各連携機関への通知を行う NIISOCS を運用した。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より③

サイバー空間を悪用したテロ組織の活動への対策

・サイバー空間におけるテロ組織の活動に関する情報の収集・分析の強化その他の必要な措置の実施
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ケ) 内閣官房

内閣官房において、サイバー空間における国際テロ組織の活動等 ・内閣情報官の下に、サイバー問題やテロ問題等にに関する情報の収集・分析の強化等により、全体として、テロの ついて関係省庁が収集した情報等を集約し、それ未然防止に向けた多角的かつ隙の無い情報収集・分析を推進する らを基にして総合的な分析を行い、その分析結果
とともに、関連情報の内閣情報官の下での集約・共有を強化する。 等は、関係省庁や官邸要路に適時適切に報告された。

(コ) 警察庁
法務省

警察庁及び法務省において、サイバー空間におけるテロ組織等の [警察庁]動向把握及びサイバー攻撃への対策を強化するため、サイバー空・警察庁のインターネット・オシントセンターにお間における攻撃の予兆等の早期把握を可能とする態勢を拡充し、 いて、インターネット上に公開されたテロ等関連
人的情報やオープンソースの情報を幅広く収集する等により、攻 情報の収集・分析を推進した。
撃主体・方法等に関する情報収集・分析を強化するとともに、サイバー空間を悪用したテロ組織の活動への対策について、国際社 [法務省]会との連携を図る。
・法務省（公安調査庁）において、サイバー空間における公然情報のモニタリング調査に対する取組を通じ、過激思想の伝播活動を含む国際テロ組
織等の動向の把握・分析を強化した。また、サイバー空間上における国際テロ組織等の動向に関する人的情報収集・分析を強化するとともに、得られた情報を適時適切に関係機関に提供した。

- 172 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(2) サイバー攻撃に対する抑止力の向上
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より①実効的な抑止のための対応
・我が国の安全保障を脅かすようなサイバー空間における脅威への、同盟国・有志国と連携し、政治・経済・技術・法律・外交その他の取り得るす
べての有効な手段と能力を活用した対応
・法執行機関、自衛隊を始めとする関係機関の能力強化
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

適切な対応を適時にとれるよう、内閣官房を中心とした関係省庁 ・関係省庁の連携体制を強化し、政府が一体となっの連携体制を強化し、政府が一体となって組織・分野横断的な取 て組織・分野横断的な取組を総合的に推進してい組を総合的に推進する。
るところ。

(イ) 防衛省

防衛省において、自衛隊のサイバー攻撃対処部隊の対処能力の練 ・防衛省において、自衛隊のサイバー攻撃対処部隊
度を向上させるため、指揮システムを模擬した環境を構築して、 の対処能力の練度を向上させるため、指揮システ
攻撃・防御の機能とこれに対する統裁・評価の機能等を備えた実 ムを模擬した環境を構築して、攻撃・防御の機能
戦的な演習環境を整備する。その際、悪意ある主体によるサイバ とこれに対する統裁・評価の機能等を備えた実戦
ー空間の利用を妨げる能力の保有の可能性についても視野に入 的な演習環境の整備を引き続き実施した。
れる。
また、悪意ある主体によるサイバー空間の利用を妨げる能力に関しては、新たな防衛計画の大綱において、「有事において、我が国への攻撃に際して当該攻撃に用いられる相手方によるサイバー
空間の利用を妨げる能力」が明記されたことか
ら、当該能力を含むサイバー防衛能力の抜本的強化を図るため、2019 年度予算案において所要の事業を計上した。

(ウ) 警察庁

警察庁において、サイバー攻撃を受けたコンピュータや不正プロ ・警察庁において、サイバー攻撃を受けたコンピュ
グラムの分析、外国治安情報機関との情報交換等を通じて、サイ ータや不正プログラムの分析、外国治安情報機関
バー攻撃事案の攻撃者や手口に関する実態解明を推進する。ま との情報交換等を通じて、サイバー攻撃事案の攻た、都道府県警察において、サイバー攻撃特別捜査隊を中心とし 撃者や手口に関する実態解明を推進した。
て、サイバー攻撃に関する情報の収集及び整理並びに犯罪の予防 ・都道府県警察において、「サイバー攻撃特別捜査及び捜査を推進する。
隊」を中心として、サイバー攻撃に関する情報の収集及び整理並びに犯罪の予防及び捜査を推進するとともに、サイバー攻撃の実態解明を推進した。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より②信頼醸成措置・偶発的、不必要な衝突を防ぐための、国際的な連絡体制の構築
・二国間・多国間協議における情報交換、政策対話等を通じた信頼醸成
項番 担当府省庁(エ) 内閣官房
外務省

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房、外務省及び関係府省庁において、サイバー攻撃を発端 ・サイバーセキュリティに関する知見・能力とプレとした不測事態の発生を未然に防止するため、ＡＲＦや二国間協 ゼンスを有する関係国との二国間協議を通じて、議等を通じて、脅威認識やサイバーセキュリティ戦略等の政策に 脅威認識やサイバーセキュリティ戦略等の政策
ついて共有し、国際的な連絡体制等を平素から構築する。
について共有し、相互の理解をさらに深めている。
・特に ARF の枠組みでは、サイバーセキュリティに関する会期間会合を設立し、2019 年１月には第３回目となる専門家会合を開催したところ、考え方を異にする国との間でも予測可能性を向上し、信頼醸成を進めている。

- 173 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(オ) 経済産業省

経済産業省において、JPCERT/CC を通じて、インシデント対応調 ・経済産業省において、JPCERT/CC を通じて、整や脅威情報の共有に係る CSIRT 間連携の窓口を運営するとと・2018 年度期限を迎えた MOU の更新を滞りなくもに、各国の窓口チームとの間の MOU/NDA に基づく継続的な連すすめ、継続的な CSIRT 間連携関係の維持に努携関係の維持を図り、迅速かつ効果的なインシデントへの対処をめた。日中韓 CSIRT MOU に基づき 2018 年 8 月継続する。また、JPCERT/CC の FIRST、IWWN や APCERT におけるに「第６回 日中韓サイバーセキュリティイン
活動、及びアジア太平洋地域におけるインシデント対応演習等のシデント対応年次会合」を JPCERT/CC がホスト活動等を通じた各国 CSIRT と JPCERT/CC とのインシデント対応
し東京で開催した。
に関する連携を行う。
・FIRST、APCERT 等の CSIRT コミュニティのイベ
ントに積極的に参加し、CSIRT 間の連携の窓口として情報を取り入れる活動を継続して行った。
シンガポールが主催する ASEAN CERT Incident
Drill(ACID)等のインシデント対応演習等の活動等を通じて、各国 CSIRT とインシデント対応に関する連携を行った。
・そのほか、コミュニティとも連携しインシデン
トハンドリング対応支援に生かし、得られた知見を外部への公開を行った。

(3) サイバー空間の状況把握の強化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より①関係機関の能力向上
・関係機関の情報収集・分析能力の質的・量的向上
・高度な分析能力を有する人材の育成・確保、サイバー攻撃を検知・調査・分析等するための技術の開発・活用
・カウンターサイバーインテリジェンスに係る取組の推進
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

内閣官房において、「カウンターインテリジェンス機能の強化に ・関係省庁との連携を密にし、サイバー空間におけ関する基本方針」に基づき、各府省庁と協力し、サイバー空間に るカウンターインテリジェンスに関する情報をおけるカウンターインテリジェンスに関する情報の集約・分析を 集約・分析するとともに、資料発出等を通じた情行い各府省との共有化を図る。また、政府機関が保有する機密情 報共有、職員に対する意識啓発等を行った。
報が保護されるよう適切な措置を実施する。

(イ) 警察庁
法務省

警察庁及び法務省において、サイバーインテリジェンス対策に資 [警察庁]する取組を実施する。
・都道府県警察においてサイバー攻撃に係る捜査を推進するとともに、警察庁において、サイバー
インテリジェンス情報共有ネットワークを通じて民間事業者等から提供された情報や、海外の捜査機関等から寄せられた情報を集約し、分析することで、サイバー攻撃の実態解明を推進した。
・警察庁において、サイバー空間の脅威に関する知見を有するセキュリティ関連事業者に対し、サイバー攻撃に関する情報について調査を委託し、情報の提供を受けた。
[法務省]
・法務省（公安調査庁）において、サイバー空間における懸念国の動向等に関する人的情報収集・分析を強化するとともに、得られた情報を適時適切に関係機関に提供した。

- 174 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(ウ) 警察庁

警察庁及び都道府県警察において、以下の取組を推進することに ・警察庁において、外国治安情報機関等との協議を
よりサイバー空間の状況把握の強化を図る。
通じた情報交換や民間の知見の活用等を推進するとともに、各都道府県警察において、捜査や重・警察庁において、外国治安情報機関等との情報交換や民間の知 要インフラ事業者等への個別訪問、サイバーテロ
見の活用等を推進するとともに、都道府県警察において、官民連 対策協議会を通じた情報共有等を実施し、サイバ携の枠組みを通じた情報共有等を推進し、サイバー攻撃に関する ー攻撃に関する情報収集を推進した。（再掲）
情報収集を強化する。（再掲）
・警察庁及び都道府県警察において、分析官等の育・警察庁及び都道府県警察において、分析官等の育成を進めると成を進めるとともに、捜査等を通じて得たサイバ
ともに、捜査等を通じて得たサイバー攻撃に関する情報の集約及 ー攻撃に関する情報の集約及び整理を推進し、サび整理を推進し、サイバー攻撃に関する分析能力の強化を図る。 イバー攻撃に関する情報収集を推進した。
（再掲）
（再掲）
・大規模産業型制御システム模擬装置を使用して、・警察庁において、システムの脆弱性の調査等を目的とした不正なアクセスが国内外で多数確認されている背景を踏まえ、こうし 産業制御システムを対象としたサイバー攻撃のた攻撃の未然防止活動、有事の緊急対処に係る能力向上に資する 調査・検証を実施した。これらの調査結果をもと
訓練、サイバー空間に関する観測機能の強化等に取り組むこと に対処の任につく警察職員へ教養を実施した。
で、サイバーフォースセンターの技術力の向上等を図る。また、 ・サイバー空間に関する観測機能を強化し、サイバ
サイバー攻撃の実態解明に必要不可欠な不正プログラム等の解 ーフォースセンターの技術力向上を推進した。ま析を推進する。
た、標的型メールに添付された不正プログラム等の解析を推進した。

(エ) 警察庁

警察庁において、警察部内の高度な専門性を有する人材等の確 ・警察庁において、警察部内の高度な専門性を有す保・育成を図る方策を検討する。
る人材等の確保・育成を図る方策の検討を進めるとともに、警察庁サイバー人材確保・育成計画を遂行した。

(オ) 経済産業省

経済産業省において、JPCERT/CC がインシデント対応支援活動等 ・経済産業省において、JPCERT/CC を通じて、アフにおいて解析したマルウェア検体及びその解析結果について、同 リ カ 地 域 の NationalCSIRT が 加 盟 し て い る様の情報を有する国内外の関係機関との適切な相互共有やイン AfricaCERT 加盟組織に対して、TSUBAME への参
ターネット定点観測システム（TSUBAME）の運用との連動等の有 加の呼びかけを行い、当該組織からの問い合わせ
効活用やその高度化を進める。
等に対応することで、加盟に向けた取組を実施した。結果、ガーナの CSIRT (NCA CERT) が新たに
TSUBAME に加わった。APCERT の中国での年次総会に合わせて、カンファレンスでの情報共有を実施した。
また、APCERT の Malware Mitigation WG に参加
し TSUBAME との連携を模索中である。

(カ) 防衛省

防衛省において、高度なサイバー攻撃からの防護を目的として、 ・防衛省において、高度なサイバー攻撃からの防護
引き続き、国内外におけるサイバー攻撃関連情報を収集・分析す を目的として、国内外におけるサイバー攻撃関連
る体制を強化するとともに、必要な機材の拡充を実施する。
情報を収集・分析する体制を強化するため増員を行うとともに、サイバー攻撃対処部隊及び関係機
関と情報共有を引き続き実施した。

(キ) 防衛省

防衛省において、巧妙化するサイバー攻撃に適切に対応していく ・防衛省において、サイバー攻撃等対処に向けた人ため、CSIRT 要員に対するインシデント対処訓練を実施するとと 材育成の取組として、CSIRT 要員を対象とした部
もに、国内外の大学院等への留学等を行い、人材育成への取組を 外研修及び各種演習・訓練に参加した。また、国実施する。
内外の大学院等への隊員の留学等を行い、高度な知見を有する人材の育成を実施した。

(ク) 法務省

法務省において、人的情報収集・分析を強化するための高度な専 ・法務省（公安調査庁）において、高度な専門性を門性を有する人材の確保・育成を図る方策を検討する。
有する人材の確保・育成に向けた方策の検討を実施した。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より②脅威情報連携
・同盟国・有志国との脅威情報共有の推進
・政府内の脅威情報共有・連携体制の強化
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ケ) 内閣官房

内閣官房及び外務省において、外国関係機関との情報交換等を緊 ・外国関係機関との情報交換等を緊密に行い、主要密に行い、主要国のサイバー攻撃対処や国家の関与が疑われるよ 国のサイバー攻撃対処や国家の関与が疑われる
うなサイバー攻撃の動向等の情報収集・分析に努める。
ようなサイバー攻撃の動向等の情報収集・分析を実施し、随時、その結果を関係機関に提供した。

(コ) 内閣官房

内閣官房を中心とした政府内の脅威情報共有・連携体制を強化す ・政府内の脅威情報共有・連携体制の強化を推進しるているところ。

- 175 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(サ) 警察庁
法務省

警察庁及び法務省において、サイバー攻撃対策を推進するため、 [警察庁]
諸外国関係機関との情報交換等国際的な連携を通じて、サイバー・警察庁において、諸外国関係機関との情報交換を攻撃に関する情報収集・分析を継続的に実施する。
行うなど、サイバー攻撃の主体・方法等に関する情報収集・分析を継続的に実施している。FIRST
会合に参加し、サイバー攻撃手法等に関する情報交換等国際的な連携を推進した。
[法務省]
・法務省（公安調査庁）において、諸外国関係機関との情報交換を強化するなどして、サイバー攻撃に関する情報収集・分析を継続的に実施した。

3.3. 国際協力・連携
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・国際場裡での我が国の立場を主張できる官民の人材を確保し、育成する。

項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房及び関係府省庁において、各国機関との連携、国際会議 ・FIRST、ICSJWG、RSA カンファレンス、Black Hat
への参加、我が国での国際会議の開催等を通じ、我が国のサイバ 等の会議に参加し、各国政府、ベンダー、その他
ーセキュリティ人材が海外の優秀な技術者等と切磋琢磨しなが のステークホルダーの知見・技術動向、サイバーら研鑽を積む場を増やす。
環境の潮流に関する情報に接する機会を積極的に設け、関係者のスキル向上を図った。

(1) 知見の共有・政策調整
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバーセキュリティに関する二国間の協議や国際会議を通じた、互いのサイバーセキュリティ政策や戦略、体制の情報交換の実施
・戦略的パートナー国とのサイバーセキュリティ施策に関する協力・連携の強化
項番 担当府省庁(ア) 内閣官房
総務省
外務省
経済産業省

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房、総務省、外務省及び経済産業省において、日 ASEAN サ [NISC]
イバーセキュリティ政策会議、二国間協議等の枠組みを通じ、ア・「サイバーセキュリティ分野における開発途上国
ジア大洋州各国とのサイバー政策における相互理解と連携を強 に対する能力構築支援（基本方針）」（2016 年 10化する。また、総務省において、ワークショップの開催等を通じ 月）に基づいて、内閣官房を中心とした関係省庁て、我が国と ASEAN 加盟国のネットワークオペレータによっての緊密な連携の下で、政府全体で ASEAN を中心と培われた知見や経験の相互共有を促進する。
した開発途上国向け支援の取組を行った。
・日・ASEAN サイバーセキュリティ政策会議を継続して開催し、日・ASEAN におけるサイバーセキュ
リティの相互理解と連携を強化した。特に、同地域の意識啓発を一層強化するため、セキュリティ
チェックシートを共同作成し、各国の言語に翻訳
し希望国へ送付する等 ASEAN 加盟国の要望に応じた取組を行った。
[総務省]
・日本及び ASEAN の ISP 間の情報共有を促進する「第 9 回 ISP 向け日 ASEAN 情報セキュリティワー
クショップ」（2019 年１月、シンガポール）を開
催し、日 ASEAN の ISP の取組の共有及びさらなる連携方策の議論を行うとともに、合同サイバー攻
撃対応演習を実施した。

(イ) 警察庁
法務省
外務省

警察庁、法務省及び外務省において、国境を越えるサイバー犯罪 ・警察庁とアジア大洋州地域における各法執行機の脅威に対抗するため、特にアジア太平洋地域諸国におけるサイ 関との間で、情報技術の解析に係る知識・経験等
バー犯罪対策に関する刑事司法制度の整備等が進むよう、二国間 を共有し、情報技術解析能力の向上を図ることを又は多国間の枠組みを活用した技術援助活動を積極的に推進す 目的として、2018 年 12 月に、アジア大洋州地域
る。
サイバー犯罪捜査技術会議を開催した。

- 176 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(ウ) 防衛省

防衛省及び関係府省庁において、東南アジア各国との間で、防衛 ・防衛省において、ベトナムに対するサイバーセキ
当局間の IT フォーラム等の取組を通じ、サイバー分野での連携 ュリティに関する能力構築支援事業（2019 年３やこれらの国に対する能力構築への協力、情報の収集や発信を推 月）及び日越（ベトナム）ＩＴフォーラム（2019
進していく。また、防衛省において、諸外国とのサイバー防衛協 年３月）等を実施した他、諸外国との連携を強化
力を推進していく。
した。

(エ) 経済産業省

経済産業省において、アジアでの更なる情報セキュリティ人材の ・経済産業省において、我が国の情報処理技術者試育成を図るため、アジア 11 か国・地域と相互・認証を行ってい 験制度を移入して試験制度を創設した国（フィリ
る「情報処理技術者試験」について、我が国の情報処理技術者試 ピン、ベトナム、タイ、ミャンマー、モンゴル、
験制度を移入して試験制度を創設した国（フィリピン、ベトナム、 バングラデシュ）が協力して試験を実施するため
タイ、ミャンマー、モンゴル、バングラデシュ）が協力して試験 の協議会である ITPEC がアジア統一試験を実施を実施するための協議会である ITPEC がアジア統一試験を実施 しているところ、ITPEC の更なる定着を図るため、しているところ、ITPEC の更なる定着を図る。
2018 年８月に日本において責任者会議を開催し、今後の展開等について討議を行った。また、2019
年２月には、ITPEC 試験合格者で特に優秀な者として選出したアジアトップガン人材を日本に招き、アジアの優秀な IT 人材と日本の IT 企業との交流などを行うとともに、独立行政法人情報処理推進機構（ＩＰＡ）が参加者を帰国後に試験の普及活動を行う人材として、ITPEC アンバサダーに任命した。

(オ) 内閣官房
外務省

内閣官房、外務省及び関係府省庁において、日米サイバー対話等 ・第６回日米サイバー対話を開催し、日米両国の政の枠組みを通じ、幅広い分野における日米協力について議論し、 府横断的な取組の必要性を踏まえ、前回日米サイ両国間の政策面での協調や体制及び能力の強化、インシデント情 バー対話等のフォローアップを行うとともに、日報の交換等を推進し、同盟国である米国とのサイバー空間に関す 米双方の関係者が、情勢認識、両国におけるサイる幅広い連携を強化する。
バー政策、国際場裡における協力、能力構築支援
等、サイバーに関する日米協力について幅広く議論を行った。

(カ) 総務省
外務省

総務省、外務省及び関係府省庁において、米国とのインターネッ ・「第３回日米 ISAC 国際連携ワークショップ」及
トエコノミーに関する日米政策協力対話にて一致した、産業界及 び「サイバーセキュリティ国際シンポジウム」
び他の関係者と共同してサイバーセキュリティ上の課題に取り （2019 年２月、東京）を開催した。米国より DHS
組むことが不可欠であるとの認識に基づき、引き続き米国との情 （国土安全保障省）、Comm-ISAC 及び IT-ISAC が報共有を強化する。また、関連して、総務省において、日米の通 参加し、ICT-ISAC をはじめとする日本国内の信分野の ISAC 間の連携を推進する。
ISAC 関係団体との間で、脅威情報の共有等に関する意見交換・議論を行った。

(キ) 経済産業省

経済産業省において、国際協力体制を確立するという観点から、 ・経済産業省において、IPA を通じ、2018 年４月
米 NIST 等の各国のサイバーセキュリティ機関との連携を通じ に、米国立標準技術研究所（NIST）を訪問し、暗て、情報セキュリティに関する最新情報の交換や技術共有等に取 号モジュール試験・認証制度における連携や、現組む。
在 NIST が取り組んでいる暗号アルゴリズム確認
やモジュール認証の自動化等に関する意見交換を実施した。

(ク) 防衛省

防衛省において、日米サイバー防衛政策ワーキンググループ ・防衛省において、新たな日米防衛協力のための指（CDPWG）の開催等を通じて、情報共有、訓練・人材育成等の様々 針や日米サイバー防衛政策ワーキンググループ
な協力分野において日米サイバー防衛の連携を深めていく。ま （CDPWG）で示された方向性に基づき、2018 年９た、新たな日米防衛協力のための指針で示された方向性に基づ 月に開催された CDPWG 第６回会合を含め、各種レ
き、自衛隊と米軍との間における運用面のサイバー防衛協力を深 ベルで米国と協議を実施し、米国との連携を強化化させていく。
した。

(ケ) 内閣官房
外務省

内閣官房、外務省及び関係府省庁において、二国間協議の枠組み [NISC、外務省]を通じ、欧州各国との連携を強化する。
・第４回日仏サイバー協議（2018 年６月 東京）等
防衛省において、日英防衛当局間サイバー協議、日 NATO サイバ を開催し、サイバーセキュリティに関する政策やー防衛スタッフトークスや NATO 主催の演習への参加等を通じ、国内動向の共有を進めた。
欧州各国とのサイバー防衛協力を引き続き推進していく。
[防衛省]
・防衛省において、2019 年３月より、NATO CCDCOEに防衛省職員を派遣する他、日英防衛当局間サイバー協議、日 NATO サイバー防衛スタッフトーク
スや NATO 主催の演習のビジターデーへの参加等
を通じ、欧州各国との連携強化に努めた。

- 177 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(コ) 内閣官房
外務省

内閣官房、外務省及び関係府省庁において、国際的な会議の場等 ・Meridian 会合、CIP フォーラム、FIRST 等に参加を活用し、二国間協議に加え、各国とのサイバーセキュリティ分 し、重要インフラ防護、インシデント対応におけ野における関係を強化する。
る取組やベストプラクティスの共有を推進し、国際協調・協力の推進に努めた。
・サイバーセキュリティに関する知見・能力とプレゼンスを有する関係国との協議を実施し、国際的なルールや規範、能力構築支援、サプライチェー
ンリスク、データの自由な流通等のサイバーに関する最近の諸課題について議論を行い、相互の理解を深めている。

(サ) 警察庁

警察庁において、サイバー攻撃対策を推進するため、情報交換等 ・警察庁において、諸外国関係機関との情報交換を国際的な連携を通じて、諸外国関係機関との連携強化を推進す 行うなど、サイバー攻撃の主体・方法等に関するる。
情報収集・分析を継続的に実施した。（再掲）
・FIRST 会合等に参加し、サイバー攻撃手法等に関する情報交換等国際的な連携を推進した。
（再掲）(シ) 経済産業省

経済産業省において、IPA を通じ、技術的評価能力の向上に資す ・経済産業省において、IPA を通じ、JIWG プレナ
る最新技術動向の情報収集等を行うため、JIWG 及びその傘下の リ会合に１回参加し、2018 年度の活動報告とJHAS、JEDS と定期的に協議を行う。
2019 年度の活動計画を協議した。また、JHAS 会
合に６回、JEDS/JTEMS 会合に３回参加し、欧州のハードウェアセキュリティに関する最新技術動向に関する情報を収集した。

(ス) 防衛省

防衛省において、国家の関与が疑われるような高度なサイバー攻 ・防衛省において、各国との協議及び脅威認識等の撃に対処するため、防衛省・自衛隊のサイバーセキュリティに係 共有を図った。
る諸外国との技術面・運用面の協力を推進する。

(2) 事故対応等に係る国際連携の強化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・CERT 間連携の強化
・国際サイバー演習への参加、共同訓練等を通じた連携対処能力の向上
項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房及び関係府省庁において、二国間協議、IWWN、日 ASEAN ・IWWN、FIRST 等に参画し、我が国からの情報発信
サイバーセキュリティ政策会議等のサイバー空間に関する多国 を行いつつ、各国政府機関との情報共有の充実に
間の情報共有枠組み等に参画し、それぞれの取組においてインシ 努めた
デント対応演習や机上演習等を通じて、各国との情報共有・イン ・ASEAN 加盟国とサイバー演習及び机上演習を実
シデント発生時の国外との情報連絡体制を整備する。
施し、インシデント対応にかかる連携対処能力の向上を進めた。
・有志国を分野横断的演習に招へいし、我が国の重要インフラ防護に向けた具体的取組に関する理解促進を図るとともに、国際演習ワークショップを実施し信頼関係構築の一助とした。

(イ) 経済産業省

経済産業省において、JPCERT/CC を通じ、各国の CSIRT 連携によ ・経済産業省において、JPCERT/CC を通じ、サイバる対応・対策を強化するため、サイバーセキュリティに関する比 ーグリーンインスティテュート(CGI)と連携し、較可能で堅牢な定量評価の仕組み（サイバーグリーン）の検討や、 インターネット上のリスクとなりうる要因とな
効率的な対処のためのオペレーション連携を実現するための基 るデータを使用し、クリーンアップ活動につなげ盤構築に資する開発、運用協力体制の検討を進める。
た。2017 年度にリリースした、インターネットリ
スク可視化サービス「Mejiro」は 2018 年８月に英語版を公開した。また、2019 年３月に新規デー
タソース(CGI)の取込みと監視対象プロトコルを追加し機能の拡張を行った。

(ウ) 経済産業省

経済産業省において、JPCERT/CC を通じて、主にアジア太平洋地 ・経済産業省において、JPCERT/CC を通じ、APCERT
域等を対象としたインターネット定点観測システム（TSUBAME） の中国での年次総会（2018 年 10 月）に合わせて、に関し、運用主体の JPCERT/CC と各参加国関係機関等との間で WG 内で行っている情報共有の項目から主に IoTの共同解析やマルウェア解析連携との連動等の取組を進める。ま を対象とした攻撃の動向と各地域での影響につた、アジア太平洋地域以外への観測点の拡大を進める。
いて分析結果の共有を行った。また協調した対応を行うため、National CSIRT 間の情報共有、地域内でのセキュリティ機関との情報共有の重要性についての問題意識を共有した。TSUBAME 加盟
組織拡大については、中東・アフリカ地域へのア
プローチを継続して実施した。

- 178 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(エ) 経済産業省

経済産業省において、JPCERT/CC を通じ、以下の取組を行う。 ・経済産業省において、JPCERT/CC を通じ、2018 年
・アジア太平洋地域、アフリカ等において、各国における対外・ 度は、経済発展に伴いソフトウエア開発の分野で対内調整を担う CSIRT の構築及び運用、連携の支援。JPCERT/CC も存在感の増しているインドネシアにてアンドの経験の蓄積をもとに開発されたサイバー攻撃に対処するため ロイドセキュアセキュアコーディングセミナーの演習ツールの提供や演習の実施。
を実施し、40 名程度が参加した。
・アジア太平洋地域等我が国企業の事業活動に関係の深い国や ア フ リ カ 地 域 に お い て は Africa Internet
地域を念頭に、組織内 CSIRT 構築セミナー等の普及・啓発、サイ Summit 2018、Afrinic29 に参加し、OSINT トレー
バー演習の実施。
ニング、インシデントハンドリングトレーニング
・我が国企業が組込みソフトウェア等の開発をアウトソーシン を行った。
グしているアジア地域の各国を中心に、脆弱性を作りこまないコ OSINT のトレーニングでは発生した脅威と、脅威ーディング手法に関する技術セミナーを実施。
因子に関する情報を収集したり、それらの情報の分析、フィルター処理を行い有用な情報を生成す
る手法についてレクチャーすることで、アフリカ地域におけるサイバーセキュリティ能力向上に貢献した。

- 179 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
3. 国際社会の平和・安定及び我が国の安全保障への寄与(3) 能力構築支援
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・様々な政策手段を活用した開発途上国における能力構築支援の実施

項番 担当府省庁(ア) 内閣官房
警察庁
総務省
外務省
経済産業省

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房、警察庁、総務省、外務省、経済産業省、その他関係府 [NISC]
省庁・機関が相互に連携、情報共有を行い、ASEAN 加盟国をはじ ・「サイバーセキュリティ分野における開発途上国
めとする各国における能力構築支援に積極的に取り組む。取組に に対する能力構築支援（基本方針）」（2016 年 10
際しては、内閣官房を中心に、 「サイバーセキュリティ分野に月）に基づいて、内閣官房を中心とした関係省庁
おける開発途上国に対する能力構築支援（基本方針）」（2016 年 の緊密な連携の下で、日英共催ＡＳＥＡＮ諸国向10 月）を踏まえ、政府及び関係機関が一体となって対応してい けサイバーワークショップを実施する等、政府全く。
体で ASEAN を中心とした開発途上国向け支援の・内閣官房において、日・ASEAN サイバーセキュリティ政策会議 取組を行った。
を通じたセキュリティ人材育成の取組や一般向け意識啓発の取・日・ASEAN サイバーセキュリティ政策会議人材育組を通じて、ASEAN 加盟国の能力構築に貢献する。
・警察庁において、アジア大洋州地域サイバー犯罪捜査技術会議 成 WG を継続して開催し、日・ASEAN におけるサイや JICA 課題別研修（サイバー犯罪対処能力向上）、JICA 国別研 バーセキュリティ人材の育成の方策の議論を進修（サイバーセキュリティ及びサイバー犯罪対処能力強化）の開 めた。
催等を通じ、アジア大洋州地域をはじめとする各国における能力 ・2018 年において国際連携・協力の推進に資する構築に貢献する。
取組として、セキュリティチェックシートを共同
・総務省において、日 ASEAN 情報通信大臣会合を通じて、情報通 作成し、各国の言語に翻訳し希望国へ送付する等
信分野に関して ASEAN 域内各国・地域との間でのネットワーク ASEAN 加盟国の要望に応じた取組を行った。
セキュリティ分野における能力構築等の連携を推進する。また、
APT（アジア・太平洋電気通信共同体）における取組や ITU-D 等 [警察庁]の取組を通じて、研修やセミナーを開催することにより、諸外国 ・警察庁とアジア大洋州地域における法執行機関に対する意識啓発に取り組む。
との間で、情報技術の解析に係る知識・経験等を共有し、情報技術解析能力の向上を図ることを目的として、2018 年 12 月に、アジア大洋州地域サイバー犯罪捜査技術会議を開催した。(再掲)・2018 年 11 月、警察庁と JICA の連携の下、ベト
ナム公安省からサイバー犯罪対策等に従事する職員を招聘し、日本の法制度、捜査手法及びサイバー犯罪対策に取り組むための民間との協力に関する知識や経験を習得させるとともにこと及び日本・ベトナム両国の関係強化を目的として、
JICA 国別研修（サイバーセキュリティ及びサイバ
ー犯罪対処能力強化）を実施した。
・2019 年１～２月、警察庁とＪＩＣＡの連携の下、海外 20 か国の捜査機関等からサイバー犯罪対策等に従事する職員を招へいし、サイバー空間の脅
威への対処に関する知識・技術を習得させるとともに、外国捜査機関等との協力関係を強化することを目的とした JICA 課題別研修（サイバー犯罪
対処能力向上）を実施した。
[総務省]
・「日 ASEAN サイバーセキュリティ能力構築センター」を 2018 年９月にタイ・バンコクに設立し、ASEAN 加盟国の政府職員、重要インフラ事業者等を対象とした実践的サイバー防御演習及び若手
エンジニア向けサイバーセキュリティ競技等を継続的に実施した。
・APT 加盟国を対象とした研修（2018 年 10 月、東京）や APT 幹部ワークショップ（2019 年３月、東京）において、我が国のサイバーセキュリティ政策について情報共有を行うとともに、意見交換等を実施した。
・ITU-D SG2 ラポータ会合（2018 年 10 月、ジュネーブ）におけるサイバーセキュリティワークショ
ップにおいて、総務省のサイバーセキュリティ政策に関する講演及びパネルディスカッションを実施した。

- 180 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策

外務省
経済産業省

・外務省において、警察庁等とも協力しつつ、第３回日・ASEAN ・2018 年度予算として、東南アジアの国々の能力
サイバー犯罪対策対話や日 ASEAN 統合基金の活用、UNODC プロジ 向上を支援する UNODC サイバー犯罪グローバル・ェクトへの拠出を通じて、ASEAN 加盟国のサイバー犯罪対策能力 プログラムに 10 万ドルを拠出し、また、UNODC に構築支援を行う。その他国際機関などと連携したプロジェクトに よる東南アジア向けのダークネットの調査等についても検討する。
関するプロジェクトに 50 万ドルを拠出した。ま・経済産業省において、ASEAN 加盟国に対し、ISMS、CSMS に関す た、2019 年１月にブルネイで第３回日 ASEAN サ
る研修・セミナー等を通じて、我が国のセキュリティマネジメン イバー犯罪対策対話を開催し、ASEAN 各国のサイトに関するノウハウを共有することで、ASEAN 加盟国への能力構 バー犯罪対策の現状について意見交換を実施し築支援へ貢献する。
たほか、日 ASEAN 統合基金を活用して実施してい・経済産業省において、JPCERT/CC を通じ、アジア太平洋地域、 る ASEAN サイバー能力向上プロジェクトについアフリカ等において、各国における対外・対内調整を担う CSIRT て議論を行った。
の構築及び運用、連携の支援を行う。JPCERT/CC の経験の蓄積をもとに開発されたサイバー攻撃に対処するための演習ツールの提供や演習実施を行う。また、アジア太平洋地域等我が国企業の事業活動に関係の深い国や地域を念頭に、組織内 CSIRT 構築セ
ミナー等の普及・啓発、サイバー演習の実施等の活動等を行う。
さらに、我が国企業が組込みソフトウェア等の開発をアウトソー
シングしている先のアジア地域の各国を中心に、脆弱性を作りこ
まないコーディング手法に関する技術セミナーを実施する。

(イ) 経済産業省

経 済 産 業 省 及 び IPA 産 業 サ イ バ ー セ キ ュ リ テ ィ セ ン タ ー ・経済産業省において、2018 年９月 10～14 日、米（ICSCoE）が米国土安全保障省及び同省傘下の ICS-CERT と協力 国・国土安全保障省（DHS）及び NCCIC ICS からし、ASEAN をはじめとしたアジア太平洋地域の国々に対する産業 専門家５名を招聘し、ASEAN 等向けに日米サイバ
サイバーセキュリティの共同演習実施を通じた能力構築支援を ー共同演習を実施し IPA 産業サイバーセキュリ開始する。
ティセンター（ICSCoE）中核人事育成プログラムの研修生 83 名に加え、ASEAN 等の 15 の国・地域（ブルネイ、カンボジア、インドネシア、ラオス、マレーシア、ミャンマー、フィリピン、シンガポ
ール、タイ、ベトナム）、オーストラリア、インド、韓国、ニュージーランド、台湾）からの参加
者 36 名が参加した。

4. 横断的施策
4.1. 人材育成・確保
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・人材の需要と供給を相応するための好循環を形成するため、産学官が連携して人材の需要や人材育成施策に関する情報共有等の連携を図りつつ、人材育成・確保を強化
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

内閣官房において、関係府省庁と連携しつつ、「サイバーセキュ ・普及啓発・人材育成専門調査会において、人材育
リティ人材育成プログラム」及び「サイバーセキュリティ人材育 成に関する産学官の多様な取組について、関係機成取組方針」に基づき、産学官の連携を図りつつ、関係施策を促 関の間で情報共有を行うと共に、施策間の連携を進していく。
促進した。

(イ) 内閣官房

内閣官房において、「サイバーセキュリティ人材育成プログラム」 ・普及啓発・人材育成専門調査会において、人材育及び「サイバーセキュリティ人材育成取組方針」を踏まえ、さま 成に関する政府の取組を整理・更新し、「見えるざまな人材育成施策について、施策間の連携を強化するととも 化」を進めた。
に、横断的かつ継続的に人材育成施策の全体像が把握できるよう、「見える化」の推進を図る。

- 181 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策(1) 戦略マネジメント層の育成・定着
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・「戦略マネジメント層」に関する経営層の理解の促進と産業界と連携したその定着
・戦略マネジメント層向けの実践的な教材の開発や、指導者の発掘・育成も含め、学び直しプログラムの実践を推進
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 経済産業省

経済産業省において、IPA に設置した「産業サイバーセキュリテ ・経済産業省において、2018 年７月から、「産業ィセンター」において、IT と OT 双方のスキルを核とした上でビ サイバーセキュリティセンター」において、約 80
ジネススキルやマネジメントスキル・リーダーシップをバランス 名の受講生を受け入れ、IT と OT 双方のスキルをよく兼ね備えた、我が国の重要インフラ等におけるサイバーセキ 核とした上でビジネススキルやマネジメントス
ュリティ対策の中核を担う人材の育成に取り組む。また、重要イ キル・リーダーシップをバランスよく兼ね備え
ンフラ等における実際の制御システム等の安全性・信頼性を検証 た、我が国の重要インフラ等におけるサイバーセする事業も実施し、対策強化に繋げる。
キュリティ対策の中核を担う人材育成を目的とした第２期「中核人材育成プログラム」を開講するとともに、各社の CISO 等の責任者やその補佐等を対象とした短期プログラムも計５回実施。また、制御システム等の安全性・信頼性を検証する
リスク評価事業を１業種において実施。

(イ) 経済産業省

経済産業省において、IPA の「産業サイバーセキュリティセンタ ・経済産業省において、2018 年 11 月から同年 12ー」を通じ、高度な経営判断を補佐する戦略マネジメント機能を 月までの間に週１回/全７回、「産業サイバーセ
担う人材に必要なセキュリティ対策に関するトレーニングを行 キュリティセンター」において、約 20 名の受講うプログラムを 2018 年秋から開始する。
生を受け入れ、企業におけるリスク管理に関わる責任者クラスを対象とした「戦略マネジメント系
セミナー」を実施した。

(ウ) 経済産業省

経済産業省において、セキュリティ教育を提供するため、教える ・経済産業省において、独立行政法人国立高等専門
側の質的向上・量的拡充のため、「学」の教員向けに IPA、 学校機構の情報担当教員向け研修に、JPCERT/CC
JPCERT/CC により、FD（Faculty Development）等の研修機会の から講師を派遣。
提供を実施していく。

(エ) 文部科学省

文部科学省において、IT 技術者等のサイバーセキュリティに係 ・「成長分野を支える情報技術人材の育成拠点の形る素養の向上を図るため、高等教育機関等における社会人学生の 成（enPiT）」において、セキュリティ分野の人材受け入れを促進する。
育成にも取り組んでいる。当事業において、産学連携による実践的な教育ネットワークを構築し、IT 技術者を中心とした社会人のキャリアアップ・
キャリアチェンジに資するための短期の学び直しプログラムを開発・実施している。

(オ) 内閣官房

内閣官房において、戦略マネジメント層を担う人材の育成に向け ・「戦略マネジメント層の育成手法に関する調査」て、必要な知識・スキルを身に着けるための試行的取組について を実施し、戦略マネジメント層を担う人材に必要検討する。
な知識・スキル及びそれを学ぶカリキュラムを検討するとともに、実際に試行的取組を行い、成果を取りまとめた。

(2) 実務者層・技術者層の育成
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・学び直しによるスキルの開発や実践的な演習

項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 警察庁

警察庁において、国立高等専門学校機構と連携し、高等専門学校 ・国立高等専門学校機構の情報セキュリティ人材へのサイバーセキュリティ講義を実施することで、学生のサイバ 育成プログラムに参加する高等専門学校を対象
ーセキュリティ分野に対する興味・理解を促進し、人材育成とそ に、サイバーセキュリティ講義を実施した。
れに伴う社会全体の対処能力向上を図る。

(イ) 警察庁

都道府県警察において、安全確保等に係る実空間の対処も考慮し ・都道府県警察において、サイバー攻撃の発生を想つつ、サイバー攻撃の発生を想定した重要インフラ事業者等との 定した重要インフラ事業者等との共同対処訓練
共同対処訓練を計画及び実施することにより、官民の協働による を計画及び実施することにより、官民の協働によ対処態勢の強化を図る。（再掲）
る対処態勢の強化を推進した。（再掲）- 182 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策(ウ) 総務省

総務省において、NICT に組織した「ナショナルサイバートレー ・実践的サイバー防御演習（CYDER）については、
ニングセンター」を通じ、国の行政機関、地方公共団体、独立行 2018 年度、全国 47 都道府県で 107 回の演習を実政法人及び重要インフラ事業者等におけるサイバー攻撃への対 施し、計 2,666 名が受講。
処能力の向上を図るための新たなシナリオによる実践的サイバ
ー防御演習（CYDER）を実施する。

(エ) 文部科学省

文部科学省において、高等専門学校におけるセキュリティ教育の ・2018 年度予算において（独）国立高等専門学校
強化のための施策として、企業等のニーズを踏まえた技術者のセ 機構運営費交付金に情報セキュリティ人材育成
キュリティ教育に必要な教材・教育プログラム開発を進める。ま に係る予算を措置。教育プログラムの開発についた、並行して、2016 年より、段階的に整備を進めてきた情報セ て、引き続き実践・検証を進める。また、2016 年
キュリティ教育の演習拠点（10 拠点）については、日々進歩し より、段階的に整備を進めてきた情報セキュリテているサイバー攻撃技術に対応するため、定期的な環境更新（ア ィ教育の演習拠点（10 拠点）では、日々進歩してップデート）を進めるなど、全国の高等専門学校生が共同で利用 いるサイバー攻撃技術に対応するための定期的できるサイバーレンジ（実践的な演習環境）の提供に向けた取組 な環境更新（アップデート）に 2018 年度から取を推進する。
り組んでいる。あわせて、全国 10 カ所で「情報セキュリティ人材」の発掘・育成を実行。

(オ) 厚生労働省

厚生労働省において、離職者や在職者を対象として職業に必要な ・サイバーセキュリティに関する内容を含む公共
技能及び知識を習得させるため、サイバーセキュリティに関する 職業訓練を実施した。（35 コース・受講者数 523
内容を含む公共職業訓練を実施するとともに、離職者や在職者を 人）対象とした教育訓練給付制度において、サイバーセキュリティに ・一般教育訓練給付の対象に、サイバーセキュリテ
関する内容を含む教育訓練を指定する。
ィに関する内容を含む情報関係分野の教育訓練を指定した。（2018 年 10 月 1 日時点の情報関係の指定講座数 332 講座）
・専門実践教育訓練給付の対象に、ＩＴＳＳレベル
３相当以上の資格取得を目指す「一定レベル以上の情報通信分野」の教育訓練を指定した。（2018年 10 月 1 日時点の指定講座数 28 講座）(カ) 経済産業省

経済産業省において、情報セキュリティに係る最新の知識・技能 ・経済産業省において、2019 年４月時点の情報処を備えた専門人材の国家資格として 2016 年に開始した情報処理 理安全確保支援士（登録セキスペ）は 18,330 人
安全確保支援士（登録セキスペ）制度の着実な実施と当該制度の （うち、男性 17,235 人、女性 1,095 人）となっ普及のため、企業や団体への周知等を積極的に行う。
た。また、登録セキスペの更なる活用のため、IPAの HP で登録状況を公表するとともに、支援士制
度の普及のため、企業や団体への周知等を行った。

(キ) 経済産業省

経済産業省において、国家試験である情報処理技術者試験におい ・経済産業省において、情報処理技術者試験の一区て、組織のセキュリティポリシーの運用等に必要となる知識を問 分である情報セキュリティマネジメント試験にう「情報セキュリティマネジメント試験」の普及を図る。
ついて、IPA を通じて広報活動を実施した。

(ク) 内閣官房
経済産業省

内閣官房及び経済産業省において、情報セキュリティ人材を含め ・経済産業省において、IPA を通じ、年に２回（春・た高度 IT 人材の育成強化のため、情報セキュリティ分野を含め 秋）実施している情報処理技術者試験（うち IT パ
た各種情報分野の人材スキルを測る情報処理技術者試験につい スポート試験については毎月実施）の普及を図るて一層の周知及び普及を図る。
べく、広報活動を実施した。

(ケ) 経済産業省

経済産業省において、IPA を通じ、各府省庁、全国各地の関係団 ・経済産業省において、IPA を通じて、体と協力し、インターネットを利用する一般の利用者を対象とし・全国各地域で、NPO 等の団体との連携により「イて SNS の安全な利用方法を含む情報セキュリティに関する啓発
ンターネット安全教室」を合計 128 回開催し、を行うインターネット安全教室を引き続き開催していく。
SNS の安全な利用方法を含む情報セキュリティに関する啓発を行い、小中高校生からシニア層
まで合計 12,252 名が参加した。
・各地域団体による講習能力の向上を図る講師
トレーニングを全国５箇所において開催し、合計 189 名が参加した。

- 183 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・突出した能力を有しグローバルに活躍できる人材の発掘・育成・確保、グローバルに切磋琢磨する機会を広げ、対策を検討できる能力の育成

項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(コ) 経済産業省

経済産業省において、若年層のセキュリティ意識向上と突出した ・経済産業省において、若年層のセキュリティ意識
人材の発掘・育成を目的として IPA と「一般社団法人セキュリテ 向上と突出した人材の発掘・育成を目的として、
ィ・キャンプ協議会」にて共催しているセキュリティ・キャンプ 2018 年 8 月 14 日～18 日にかけて「セキュリテについて、サイバーセキュリティを取り巻く状況の変化への更な ィ・キャンプ全国大会」を東京都で実施。85 名がる対応を図る。
参加した。
また、2018 年５月から 2019 年 3 月にかけて、セキュリティ人材の裾野とコミュニティの拡大を目的に「セキュリティ・キャンプ地方大会」を全
国 11 箇所で実施した。

(サ) 経済産業省

経済産業省において、IT を駆使してイノベーションを創出する ・経済産業省において、「未踏 IT 人材発掘・育成
ことのできる独創的なアイディア・技術を有する人材の発掘・育 事業」は 21 テーマ 27 名のクリエータを採用し、成に向け、「未踏 IT 人材発掘・育成事業」を実施する。
着実に事業を実施した。また、2017 年度に引き続き、セキュリティ・キャンプの講師を担っている方をプロジェクトマネージャーとして登用し、セキュリティ分野をテーマとした応募の促進を行った。

(シ) 経済産業省

経済産業省において、情報セキュリティをテーマとした様々な競 ・経済産業省において、NPO 日本ネットワークセキ
技を通して、攻撃・防御両者の視点を含むセキュリティの総合力 ュリティ協会が主催する「SECCON2018」に対して、を試すハッキングコンテスト「CTF」について、NPO 日本ネット 経済産業省として後援するとともに、2018 年 12
ワークセキュリティ協会及び企業が共同で開催地域拡大や競技 月 22 日～23 日に実施された「SECCON2018 決勝大内容の向上を図り、更なる人材候補者を増やすべく、大学等との 会」国際大会において、最も優秀な成績を収めた
連携や多様なコンテストの在り方を検討するとともに、同協会で チームを対象として経済産業大臣賞を付与した。
実施するコンテスト（「SECCON 2018」）について普及・広報の支援を行う。

(ス) 防衛省

防衛省において、巧妙化するサイバー攻撃に適切に対応していく ・防衛省において、サイバー攻撃等対処に向けた人ため、CSIRT 要員に対するインシデント対処訓練を実施するとと 材育成の取組として、CSIRT 要員を対象とした部
もに、国内外の大学院等への留学等を行い、人材育成への取組を 外研修及び各種演習・訓練に参加した。また、国実施する。
内外の大学院等への隊員の留学等を行い、高度な知見を有する人材の育成を実施した。

(セ) 防衛省

防衛省において、自衛隊のサイバー攻撃対処部隊の対処能力の練 ・防衛省において、自衛隊のサイバー攻撃対処部隊
度を向上させるため、指揮システムを模擬した環境を構築して、 の対処能力の練度を向上させるため、指揮システ
攻撃・防御の機能とこれに対する統裁・評価の機能等を備えた実 ムを模擬した環境を構築して、攻撃・防御の機能
戦的な演習環境を整備する。
とこれに対する統裁・評価の機能等を備えた実戦的な演習環境の整備を引き続き実施した。

(ソ) 防衛省

防衛省において、防衛省と防衛産業との間におけるサイバー攻撃 ・防衛省において、防衛省と防衛産業との間におけ対処のための具体的・実効的連携を深化するための取組を実施す るサイバー攻撃対処に係る連携の強化を図るたる。
め、事案発生を想定した共同訓練及び脅威情報等の情報共有を引き続き実施した。

(3) 人材育成基盤の整備
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・知識・技術体系やそれに基づくモデルカリキュラムの在り方の検討
・教育課程内での情報活用能力の育成、情報モラル教育
・教員の研修の充実
・自由にサイバー関連ツール、機器を用いて興味を持って学べる機会が豊富に用意されるような環境整備
・大学・高等専門学校等の高等教育段階における情報技術人材の育成
項番 担当府省庁(ア) 経済産業省

サイバーセキュリティ 2018

取組の成果、進捗状況

経済産業省において、情報サービスの提供に必要な実務能力を明 ・経済産業省において、第四次産業革命に向けて求確化、体系化した共通指標である IT スキル標準の全面的な改訂 められる新たな領域の“学び直し”の指針としてに向け、第４次産業革命に伴い主流となる新技術に対応する IT ＩＴＳＳ＋を策定。主に、従来ＩＴスキル標準が人材に焦点を当てたスキル標準の検討を引き続き行う。
対象としていた人材の新たな領域におけるスキル強化を想定していいる。2018 年４月に新たに「アジャイル領域」、「IoT ソリューション領域」
を公表。

- 184 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策(イ) 文部科学省

文部科学省において、新学習指導要領の実施を見据え、児童生徒 ・新学習指導要領の実施を見据え、「次世代の教育の発達の段階に応じた、プログラミング的思考や情報セキュリテ 情報化推進事業」において、教科等横断的な情報
ィ、情報モラル等を含めた情報活用能力を培う教育を一層推進す 活用能力の育成に係るカリキュラム・マネジメンる。特に、各学校における指導の改善・充実に向けて、教科等横 トの在り方や、それに基づく指導方法・教材の利
断的な情報活用能力の育成に係るカリキュラム・マネジメントの 活用等について、実践的な研究を実施し、成果を在り方や、それに基づく指導方法・教材の利活用等について、実 取りまとめている。
践的な研究を実施する。

(ウ) 文部科学省

文部科学省において、2016 年 11 月の教育職員免許法改正及び ・小学校・中学校・高等学校等の教員養成課程（合2017 年 11 月の同法施行規則改正に基づき、ICT を用いて効果的 計 18,766 課程）について、ICT を活用した指導法
な授業を行ったり、適切なデジタル教材を開発・活用したりする 等の内容を加えた授業科目や専任教員等の体制ことができる力を教師を志す学生に身に付けさせるため、各教科 を審査の上、改めて文部科学大臣が認定した。新の指導法を学ぶ科目について、当該教科の特性に応じた情報機器 しい教員養成課程は、2019 年度入学生から適用さや教材の効果的な活用方法を新たに内容に加えた教員養成課程 れる。
の審査を行う。

(エ) 文部科学省

文部科学省において、独立行政法人教職員支援機構と連携し、情 ・独立行政法人教職員支援機構と連携し、2019 年
報通信技術を活用した指導や情報モラルに関する指導力の向上 １月 28 日～２月１日に各地域で情報教育の中核を図るため、各地域で情報教育の中核的な役割を担う教員等を対 的な役割を担う教員等を対象とした研修を実施
象とした研修を実施する。
済。

(オ) 文部科学省

文部科学省において、動画教材や指導手引書も活用して、学校に ・教員等を対象とした情報モラル教育指導者セミおける情報モラル教育の充実を図るため、教員等を対象としたセ ナーについて、2019 年２月までに実施済。
ミナーを実施する。

(カ) 総務省

総務省において、NICT に組織した「ナショナルサイバートレー ・若年層の ICT 人材を対象に、未来のサイバーセ
ニングセンター」における「SecHack365」の取組を通じて、若年 キ ュ リ テ ィ イ ノ ベ ー タ ー の 育 成 に 取 り 組 む
層の ICT 人材を対象に、高度なセキュリティ技術を本格的に指 「SecHack365」を実施。１年間を通じてセキュリ
導し、セキュリティイノベーターの育成に取り組む。
ティに関わる技術を本格的に指導し、2018 年度
は、46 名がプログラムを修了した。修了生のうち、男性は 42 名、女性は４名。

(キ) 文部科学省

文部科学省において、複数の大学や産学の連携によるサイバーセ ・「成長分野を支える情報技術人材の育成拠点の形
キュリティに係る実践的な教育ネットワークの構築や PBL（課題 成（enPiT）」において、セキュリティ分野の人材解決型学習）の実施を支援する。
育成にも取り組んでいる。当事業において、産学が連携した教育ネットワークを構築し、実際の課題に基づく課題解決型学習などの実践的な教育を行うことにより、学部３～４年生の学生を対象とした質の高い情報技術人材を育成する取組を推進するとともに、ＩＴ技術者を中心とした社会
人のキャリアアップ・キャリアチェンジに資するための短期の学び直しプログラムを開発・実施している。なお、学部 3～4 年生の学生を対象とした enPiTⅡにおいて外部有識者による中間評価を実施した。

(ク) 文部科学省

文部科学省及び経済産業省において、高度な IT の知識と経営な ・「成長分野を支える情報技術人材の育成拠点の形
どその他の領域における専門知識を併せもつハイブリッド型人 成（enPiT）」において、セキュリティ分野の人材材の育成を進める。
育成にも取り組んでいる。当事業において、産学が連携した教育ネットワークを構築し、実際の課題に基づく課題解決型学習などの実践的な教育を行うことにより、学部３～４年生の学生を対象とした質の高い情報技術人材を育成する取組を推進するとともに、ＩＴ技術者を中心とした社会
人のキャリアアップ・キャリアチェンジに資するための短期の学び直しプログラムを開発・実施している。なお、学部 3～4 年生の学生を対象とした enPiTⅡにおいて外部有識者による中間評価を実施した。

- 185 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策(4) 各府省庁におけるセキュリティ人材の確保・育成の強化
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・各府省庁におけるセキュリティ人材の着実な確保・育成を継続
・毎年度、計画の見直しを行い、一層の取組の強化
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

各府省庁において、内閣官房の主導により PDCA サイクルを更に ・内閣官房の主導により、各府省庁が「サイバーセ
充実させることにより、「サイバーセキュリティ人材育成総合強 キュリティ人材育成総合強化方針」に基づき策定化方針」に基づき策定した「各府省庁セキュリティ・IT 人材確 した「各府省庁セキュリティ・IT 人材確保・育成
保・育成計画」の見直しを行い、体制の整備・人材の拡充、有為 計画」の見直しを行い、諸施策を推進することにな人材の確保、一定の専門性を有する人材の育成や適切な処遇の より、政府部内のセキュリティ人材の充実が図ら
確保を含む政府部内のセキュリティ人材の充実に係る諸施策を れた。
より一層推進する。

(イ) 内閣官房

各府省庁において、2020 年東京オリンピック・パラリンピック ・各府省庁において、サイバーセキュリティ・情報
競技大会の成功等に向けて、サイバーセキュリティ・情報化審議 化審議官が中心となって「各府省庁セキュリテ官等が中心となって、「各府省庁セキュリティ・IT 人材確保・育 ィ・IT 人材確保・育成計画」に沿って体制の整備成計画」に沿って引き続き体制の整備と適切な処遇の確保に取り と適切な処遇の確保に取り組み、それぞれフォロ組む。
ーアップを行って確認したところ、いずれにも成果が見られた。

(ウ) 内閣官房
総務省

各府省庁のセキュリティ・IT 人材を育成・確保するため、内閣 ・内閣官房及び総務省において、橋渡し人材の育成
官房及び総務省において、情報システム統一研修等各コースの内 に向けた研修内容等を見直した 2018 年度情報シ
容の更なる充実に向けた取組を進めるとともに、2018 年１月に ステム統一研修を実施したほか、橋渡し人材のス策定された「橋渡し人材のスキル認定の基準」に基づく橋渡し人 キル認定が推進されるよう各府省庁に対する支材（部内育成の専門人材）のスキル認定が推進されるよう、各府 援を実施した。
省庁に対する支援等を行う。

(エ) 内閣官房

内閣官房において、サイバーセキュリティ・情報化審議官等の研 ・内閣官房において、サイバーセキュリティ・情報
修等を通じて政府機関内における相互の事例共有、意見交換等の 化審議官等を対象とした座学や実習によるセキ
継続的な実施を促進する。また、府省庁を対象に、昨今のサイバ ュリティ関係の研修を４回開催し、実際に発生しーセキュリティの動向や課題等に応じたテーマによる勉強会を た事案を題材としたケーススタディや有識者に開催する。
よる講義・ディスカッション等を通し、政府機関
内における相互の事例共有、意見交換等の継続的な実施を促進した。

(5) 国際連携の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・国際的な基準を踏まえた人材育成プログラムの認定など海外組織との間での連携を促すための仕組み作り
・海外におけるサイバーセキュリティ人材の能力構築への貢献
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 内閣官房

内閣官房において、主要国における取組について調査の上、人材 ・国内外の大学や公的機関等における人材育成や育成に取り組む大学や公的機関等の研究・教育プログラムに係る 研究開発の取組について、関係機関へのヒアリン
基準や諸外国との連携方策について検討を行う。
グや調査会での議論を行い、検討を進めた。

(イ) 経済産業省

経済産業省において、今後、ますますの経済連携が求められる ・経済産業省において、ベトナム、バングラデシュ
ASEAN 各国において、我が国企業が安全に活動でき、また、我が において、サイバー攻撃に強い電力制御システム
国の持つノウハウを ASEAN 諸国と共有できるよう、セキュリテ （SCADA）の導入のため、企画・計画段階から現地ィマネジメント導入のためのノウハウ支援等を行う。
の電力企業への支援を実施した。また、カンボジ
ア、ラオス、ミャンマーにおいて、サイバー攻撃に強い電力制御システム（SCADA）の導入に向けた理解を醸成するため、現地の電力企業向けに研修を実施した。

- 186 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策

4.2. 研究開発の推進(1) 実戦的な研究開発の推進
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・先進的な技術を用いたサイバーセキュリティ確保の技術、製品・サービスを構成するシステムの中に組み込むセキュリティ技術や、その組み込みの方法に関する実践的な研究開発
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ア) 総務省

総務省において、NICT を通じ、巧妙かつ複雑化したサイバー攻 ・総務省において、NICT を通じ、巧妙かつ複雑化
撃や今後本格普及する IoT 等への未知の脅威に対応するため、 したサイバー攻撃や今後本格普及する IoT 等へ
サイバー攻撃観測技術の高度化、機械学習等を応用した通信分析 の未知の脅威に対応するため、サイバー攻撃観測技術やマルウェア自動分析技術の高度化等のアドバンスト・サイ 技術の高度化、機械学習等を応用した通信分析技
バーセキュリティ技術の研究開発を行う。
術やマルウェア自動分析技術の高度化等のアド
バンスト・サイバーセキュリティ技術の研究開発を行った。

(イ) 文部科学省

文部科学省において、サイバーセキュリティを含む経済・社会的 ・経済・社会的な重要課題を解決につなげることをな重要課題を解決につなげることが期待される、量子コンピュー 目指し、2018 年度より「光・量子飛躍フラッグシ
タをはじめとした量子科学技術に関する研究開発を推進する。
ッププログラム（Q-LEAP）」を開始した。①量子情報処理（主に量子シミュレータ・量子コンピュータ）、②量子計測・センシング、③次世代レーザーを対象とし、プログラムディレクターによるきめ細かな進捗管理によりプロトタイプによる実証を目指す研究開発を行う Flagship プロジェ
クトや、基礎基盤研究を推進している。

(ウ) 文部科学省

文部科学省において、理化学研究所革新知能統合研究センター ・理化学研究所革新知能統合研究センター（AIP セ（AIP センター）を通じ、革新的な人工知能基盤技術の構築と、 ンター）において、革新的な人工知能基盤技術のサイバーセキュリティを含む社会的課題の解決に向けた応用研 構築を進めるとともに、人工知能が社会において究等を進めていく。あわせて、JST の戦略的創造研究推進事業に 適切に利用されるために必要なセキュリティとおいて、サイバーセキュリティを含めた研究課題を支援する。
プライバシーに関する基盤技術の研究等を通じ、
サイバーセキュリティを含む社会的課題の解決に向けた応用研究等を実施した。あわせて、JSTの戦略的創造研究推進事業において、ビッグデー
タ等に関する戦略目標の下、ビッグデータ統合利活用促進のためのセキュリティ基盤技術などサ
イバーセキュリティを含む研究課題に対する支援を実施した。

(エ) 経済産業省

経済産業省において、AIST 等を通じ、IoT システムに付随する脅 ・経済産業省において、AIST を通じ、ソフトウェ
威に対応するため、ソフトウェア工学、暗号技術などを用いてシ ア工学、暗号技術などを用いてシステムの品質、
ステムのセキュリティ、品質、安全性、効率の向上、などを両立 安全性、効率を向上、両立させるための革新的、させるための革新的、先端的技術の基礎研究に取り組む。
先端的技術の基礎研究に取り組んだ。特筆すべき成果としては、入力を秘密にしたまま、あるクラスの計算を実行できる暗号技術の C++ライブラリ
での実装において、世界最高速を達成したり、ウェブブラウザで１ミリ秒以下での計算を可能とした等、提案技術の実用性を実システム上で示すことができた。

(オ) 経済産業省

経済産業省において、IoT・ビッグデータ・AI（人工知能）等の ・経済産業省の「IoT 推進のための横断的な技術開進化により実世界とサイバー空間が相互連関する社会（サイバー 発事業」において、2016 年度及び 2017 年度に、フィジカルシステム）の実現・高度化に向け、そうした社会を支 データの収集、蓄積、解析、セキュリティの４つえるコア技術の調査・研究開発・実証等を行う。
の領域における技術開発を実施。また、経済産業
省「高効率・高速処理を可能とする AI チップ・
次世代コンピューティングの技術開発事業」の中で、2018 年度より、ハードウェアを中心としたセキュリティ技術及びその評価技術の開発を実施。

- 187 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・サプライチェーンにおける価値創出のプロセスにおける信頼の創出や証明、トレーサビリティ（追跡可能性）の確保とこれらに対する攻撃の検知・防御に関する研究開発
・機器に組み込まれた不正なハードウェアやソフトウェアを効率的に検出する技術開発、プラットフォームにおいて利用者の意図しない動作を生じさせるおそれがあるときにもデータや情報の真正性・可用性・機密性を確保するための研究開発
・不正なプログラムや回路が仕込まれていないことの検証を行うための体制の整備とそのための研究開発
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(カ) 経済産業省

経済産業省において、制御システムの挙動を解析し、サイバー攻 ・経済産業省において、機器の信頼性創出や証明、撃を検知・予測する技術開発や、可用性を確保した脆弱性への対 トレーサビリティ確保、機器に組み込まれた不正処技術に関する研究を行う。
なハードウェアやソフトウェアの効率的な検出に関して高度な技術を持つ事業者と連携し、これらの課題についての国内外の動向調査、実際の市販製品を用いた試験的検証を実施し、これら課題への対応策の確立に向けた予備調査を実施した。

(キ) 内閣府

内閣府において、関係府省庁と連携して、戦略的イノベーション ・技術開発を進めるとともに、真贋判定技術と動作創造プログラム（SIP）第 1 期「重要インフラ等におけるサイバ 監視解析技術を事業者環境で検証を行い、安全性ーセキュリティの確保」により、2020 年東京オリンピック・パ と有効性の評価を実施した。
ラリンピック競技大会を支える重要インフラに導入して有効性 ・IoT 機器向け暗号実装技術では、当初性能目標をを実証し、将来の国内インフラ産業の安定運用やインフラ輸出に 前倒しして達成し、最適化・高速化を行った。
貢献するための研究開発・社会実装を行う。
本プロジェクトでは、制御・通信機器のセキュリティ確認（機器やソフトウェアの真正 ・2020 年東京オリンピック・パラリンピック競技
性・完全性を確かめること）技術、動作監視・解析技術、異常検 大会に向けて、重要インフラ事業者への導入計画
知時に制御システムの可用性を重視する防御技術等を開発する。 を着実に進めた。

(ク) 内閣府
総務省
経済産業省

内閣府において、戦略的イノベーション創造プログラム（SIP） ・関係省庁と連携し、技術開発から実証実験、認証
第 2 期「IoT 社会に対応したサイバー・フィジカル・セキュリテ 制度検討、グローバル協調にわたる総合的な研究
ィ」により、セキュアな Society 5.0 の実現に向けて、様々な 開発計画を立案した。
IoT 機器を守り、社会全体の安全・安心を確立するため、中小企 ・研究開発計画に基づき公募により研究開発機関
業を含むサプライチェーン全体を守ることに活用できる、『サイを決定し、概念設計を行う等研究開発を開始し
バー・フィジカル・セキュリティ対策基盤』の研究開発及びその た。
社会実装を推進する。本プロジェクトでは、IoT 機器のセキュリ
ティを保証する技術、サプライチェーンの分野毎の要件を明確にしたうえでトラストリストを構築・確認する技術、業務データを安全に流通させるためのトレーサビリティ確保技術、サイバー・
フィジカル空間を跨った不正なデータを検知・防御する技術等を開発する。また、本プロジェクトが目指す『サイバー・フィジカ
ル・セキュリティ対策基盤』の実現には、様々な産業分野が関係することから、総務省、経済産業省をはじめとした府省庁及び産学とが分野横断的に連携して推進する。（再掲）(ケ) 総務省

総務省において、スマートシティにおけるプラットフォームに係 ・「欧州との連携によるハイパーコネクテッド社会
るセキュリティ要件の具体化や所用の技術開発を推進するとと のためのセキュリティ技術の研究開発」について
もに、その成果を国際的な標準化プロセスに提案する等の取組を は、上記公募に係る審査・採択を経て、2018 年度進める。
から取り組んでいる。

(コ) 総務省

総務省において、戦略的情報通信研究開発推進事業（SCOPE）の ・2018 年度においては、IoT 部品・IoT 機器・IoT
なかで、IoT 機器などのハードウェアに組み込まれるおそれのあ ネットワークについて階層を横断するセキュア
るハードウェア脆弱性を検出する技術の研究開発を実施する。
化に向け、 IoT 部品のセキュア化のために AI 技術の利用によって未知の IoT 回路を比較的高い精度で不正回路か判定できる技術を、また、IoT
機器・ネットワークのセキュア化のために特定のモデル上で電力波形をはじめとする複数の外部特徴量から不正機能を検知する技術をそれぞれ開発した。

(サ) 内閣官房

内閣官房において、関係府省と連携しつつ、政府機関や重要イン ・研究開発戦略専門調査会において議論を実施し、フラ事業者等のシステムに組み込まれている機器やソフトウェ 技術検証体制の構築に向けた検討を進めた。
アについて、不正なプログラムや回路が仕込まれていないことの技術的検証等を行うための体制整備を図るとともに、そのために必要となる研究開発について関係施策を促進していく。

- 188 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・政府機関や企業等の組織を模擬したネットワークに攻撃者を誘い込み、攻撃活動を把握、ネットワーク上の脆弱な IoT 機器の調査のための広域ネットワークスキャンの軽量化を目指した研究開発、セキュリティ運用を行う事業者と、国の研究機関等とのリアルタイムでの情報共有を推進
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(シ) 総務省

総務省において、NICT を通じ、模擬環境・模擬情報を用いたサ ・総務省において、NICT を通じ、模擬環境・模擬
イバー攻撃誘引基盤（STARDUST）の高度化を図り、攻撃活動の早 情報を用いたサイバー攻撃誘引基盤（STARDUST）
期収集や未知の標的型攻撃等を迅速に検知する技術等の研究開 の高度化を図り、攻撃活動の早期収集や未知の標発を行う。
また、サイバーセキュリティ関連情報を大規模集約し、 的型攻撃等を迅速に検知する技術等の研究開発
安全かつ利便性の高いリモート情報共有を可能とするサイバー を行う。また、サイバーセキュリティ関連情報をセキュリティ・ユニバーサル・リポジトリ（CURE）を構築すると 大規模集約し、安全かつ利便性の高いリモート情
ともに、CURE に基づく自動対策技術の確立等を行う。
報共有を可能とするサイバーセキュリティ・ユニ
バーサル・リポジトリ（CURE）を構築するとともに、CURE に基づく自動対策技術の確立に向けて、試験運用を行った。

(ス) 総務省

総務省において、脆弱な IoT 機器のセキュリティ対策のため、通 ・総務省において、通信量の抑制と精度の向上を実信量の抑制と精度の向上を実現する効率的な広域ネットワーク 現する効率的な広域ネットワークスキャン技術
スキャンのための研究開発を行う。
を確立するため、周波数の利用状況の自動推定による広域ネットワークスキャン技術、広域ネット
ワークスキャンの無線通信量軽減技術に関する
基礎技術の開発を行った。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・計算機技術の発展（例：量子コンピュータ、AI）を意識した暗号技術など安全保障の観点から国として維持することが不可欠な基盤技術の研究
開発
・サイバーセキュリティ対策における制度上の課題に関する調査・研究発
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(セ) 内閣府

内閣府において、革新的研究開発推進プログラム(ImPACT)「量子 ・量子暗号技術を応用したセキュアなデータ保存
人工脳を量子ネットワークでつなぐ高度知識社会基盤の実現」に 方法を開発し、模擬電子カルテデータを東京-名より、機密情報を安全に伝送・保管できる通信ネットワークの構 古屋-大阪-高知間(800km)で安全にデータ共有す
築を目指して量子暗号技術の研究開発を行う。
る実証実験に成功した。

(ソ) 総務省

総務省において、NICT を通じ、情報理論的安全性（暗号が情報 ・総務省において、量子鍵配送ネットワークの信頼
理論的な意味で無条件に安全である性質）を具備した量子暗号等 性試験を継続した。鍵管理の高信頼性を実現し、を活用した量子情報通信ネットワーク技術の確立に向け、研究開 ネットワークシステム全体の安全性向上に取り発を実施する。
組んだ。Tokyo QKD Network 上に構築した情報理論的に安全な秘密分散ストレージシステムの技
術と、量子鍵配送ネットワークの鍵管理システムの技術を活用し、JGN の広域ネットワーク上に模擬医療データの分散ストレージ機能を実装し、その動作実証を行った。光空間通信テストベッドに実装した物理レイヤ秘密鍵共有システムによる、見通し通信路における情報理論的に安全な鍵生成の高速化に取り組んだ。

(タ) 総務省

総務省において、盗聴や改ざんが極めて困難な量子暗号通信を、 ・総務省において、超小型衛星に搭載可能な量子暗超小型衛星に活用するための技術の確立に向け、研究開発を実施 号通信技術の研究開発を 2018 年度より開始（研する。
究開発期間は 2018 年度～2022 年度）。

(チ) 内閣官房

内閣官房において、企業が積極的なサイバーセキュリティ対策を ・2018 年 10 月に、法律家を中心とした有識者から講じる上で事業者が特に認識しておくべき関係法令集の作成を 構成される「サイバーセキュリティ関連法令の調
念頭に、その体制について検討を行う。（再掲）
査検討等を目的としたサブワーキンググループ」
を立ち上げた。本サブワーキンググループは、サイバーセキュリティ関係法令集の策定を目的の 1
つとしているものであり、2019 年２月に第一回会
合を開催した。

- 189 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策(ツ) 総務省
経済産業省

総務省及び経済産業省において、CRYPTREC 暗号リストに掲載さ ・総務省及び経済産業省において、CRYPTREC 暗号
れた暗号技術の監視、安全性及び信頼性の確保のための調査、研 リストに掲載された暗号技術の監視、暗号の普及
究、基準の作成等を行う。また、社会ニーズを見据え、暗号を安 促進、暗号政策の中長期的視点からの取組の検討
全に利活用するための取組などについて検討する。さらに、NICT を実施するために暗号技術検討会を開催した。
及び IPA を通じ、暗号技術の安全性に係る監視及び評価、新世代 また、NICT 及び IPA を中心に暗号技術評価委員
暗号に係る調査、暗号技術の安全な利用方法に関する調査、暗号 会及び暗号技術活用委員会を開催し、耐量子計算の普及促進、暗号政策の中長期的視点からの取組の検討を実施す 機暗号の研究動向調査及び鍵管理ガイドライン
るため、暗号技術評価委員会及び暗号技術活用委員会を開催す の作成に向けた検討を行った。
る。（再掲）

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバーセキュリティの研究開発の成果の普及や社会実装の推進、海外のイベント等への積極的な参加等を通じた、国際的な情報発信、共同研究の実施や研究成果の国際標準化等の研究開発に係る官民の国際連携の強化
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(テ) 総務省
経済産業省

総務省及び経済産業省において、専門機関と連携し、情報セキュ ・総務省及び経済産業省において、専門機関と連携
リティ分野の国際標準化活動である ISO/IEC JTC1/SC27、ITU-T し、情報セキュリティ分野の国際標準化活動であSG17 等が主催する国際会合等に参加し、我が国の研究開発成果 る ISO/IEC JTC 1/SC 27、ITU-T SG17 等が主催すや IT 環境・基準・ガイドライン等を踏まえて国際標準化を推進 る国際会合等に参加し、我が国の研究開発成果やする。（再掲）
IT 環境・基準・ガイドライン等を踏まえて国際標準化を推進した結果、ISO/IEC JTC 1/SC 27 においては ISO/IEC 27030 の作業文書(WD)第二版が発行され、ITU-T SG17 においては IoT セキュリ
ティガイドラインをベースとした勧告案 X.scIoT の検討を 2018 年９月より開始した。

(ト) 総務省

総務省において、サイバーセキュリティ関連産業の国際展開及び ・2019 年３月４日から８日まで米国サンフランシ
サイバーセキュリティ関連の研究開発の国際的な発信等のため、 スコで開催された RSA カンファレンスについて、我が国の関係組織の主要な国際展示会への出展に資する事業を 我が国初となるジャパン・パビリオンの出展支援実施する。
を実施。※RSA カンファレンスは参加者約 42500
人、出展企業約 700 社の世界最大希望のセキュリ
ティ産業に関するカンファレンス。

(ナ) 経済産業省

経済産業省において、IPA を通じ、情報セキュリティ分野と関連 ・経済産業省において、IPA を通じ、の深い国際標準化活動である ISO/IEC JTC1/SC27 が主催する国・WG2 コンビーナ、WG3 副コンビーナ（2018 年４際会合等へ機構職員を派遣し、暗号技術、暗号・セキュリティ製月武漢会合、2018 年 10 月イェービク会合）と品やモジュールの認証等の国際標準化において、国内の意見が反して、暗号とセキュリティメカニズムの国際標
映されるよう活動する。
準化について中心的役割を担うとともに、日本の意見を反映させた。
・日本技術の標準化作業を推進し、特に WG3 では国立研究開発法人新エネルギー・産業技術総合開発機構による委託事業「高効率・高速処理を可能とする AI チップ・次世代コンピューテ
ィングの技術開発事業／高度な IoT 社会を実現する横断的技術開発／複製不可能デバイスを活用した IoT ハードウェアセキュリティ基盤の研究開発」が取り組んでいる PUF の国際標準化を支援している。

(2) 中長期的な技術・社会の進化を視野に入れた対応
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・人文社会学的視点も含めた様々な領域の研究との連携、融合領域の研究を促進

項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、各府省庁と連携し、信頼性工学、心理学等の ・研究開発戦略専門調査会において、中長期的な研様々な社会科学的視点も含めて策定した「サイバーセキュリティ 究開発の課題について、議論を行った。
研究開発戦略」について、目下の課題を解決すべく、融合領域の研究動向についての調査等を検討する。

- 190 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策

4.3. 全員参加による協働新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・サイバーセキュリティの普及啓発に向けた総合的な戦略及び具体的なアクションプランの策定

項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、「新・情報セキュリティ普及啓発プログラム」 ・普及啓発・人材育成専門調査会等における議論をの改訂を行い、普及啓発施策の方向性と具体的な行動計画をとり 経て、2019 年１月のサイバーセキュリティ戦略本まとめる。
部において、「サイバーセキュリティ意識・行動
強化プログラム」を決定した。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・必要な情報発信や国民からの相談対応
・産学官民の様々なコミュニティの代表が参加する協議会の場を活用しながら、関係者による実践を推進
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(イ) 内閣官房

内閣官房において、家庭や教育現場、企業内等でのセキュリティ ・主に一般国民向けに、緊急時における注意・警戒
意識向上のため、緊急時における注意・警戒情報やサイバーセキ 情報やサイバーセキュリティに関する役立ち情ュリティに関する役立ち情報等について、SNS 等を用いた発信を 報等について、媒体の特徴に合わせた情報発信を
引き続き行うとともに、より効果的な手段について検討を行う。 行った。

(ウ) 経済産業省

経済産業省において、IPA を通じ、「情報セキュリティ安心相談 ・経済産業省において、IPA を通じ、窓口」、さらに、高度なサイバー攻撃を受けた際の「標的型サイ・情報セキュリティ安心相談窓口にて、電話、メバー攻撃の特別相談窓口」によって、サイバーセキュリティ対策
ール、FAX 等で 13,185 件の相談に対応した。
の相談を受け付ける体制を充実させ、一般国民や中小企業等の十・標的型サイバー攻撃特別相談窓口では、情報収分な対策を講じることが困難な組織の取組を支援する。
集に努め、標的型サイバー攻撃の相談と情報受付を 413 件実施した。これを通じて、不審メー
ルを 774 件入手した。入手した不審メールの調査と相談内容の分析を行い、状況などからレス
キュー対応が必要と判断した組織に対し、ヒアリングや、相談者自身による調査対応の支援等を実施した。

(エ) 内閣官房

内閣官房において、主体的に普及啓発活動を行う動きが地域レベ ・普及啓発・人材育成専門調査会等における議論をルでも促進されるよう、「情報セキュリティ社会推進協議会」等 経て、2019 年１月のサイバーセキュリティ戦略本を活用しつつ、産学官民の連携・協力を通じて、必要な取組につ 部において、「地域における取組の支援」を重点
いて検討を進める。
的な対象の一つとした「サイバーセキュリティ意識・行動強化プログラム」を決定した。

(オ) 総務省
法務省
経済産業省

総務省、法務省及び経済産業省において、電子署名などのトラス ・経済産業省において、電子署名の利活用に関するトサービスの利活用等に関するセミナーの開催及び HP を活用し セミナー等を実施した。
た情報提供を行うことで、国民による安全なサイバー空間の利用 総務省において、プラットフォームサービスに関をサポートするとともに、認定認証事業者に対する説明会の開 する研究会の下にトラストサービス検討ワーキ
催、民間事業者等からの電子署名に関する相談対応等を行うこと ンググループを開催し、国際的な相互運用性の観で、企業における電子署名の利活用の普及促進策を検討・実施す 点も踏まえつつ、トラストサービスの在り方につる。
いて検討を行ったほか、トラストサービスワーク
ショップの開催等を通じて、電子署名の普及促進を図った。

(カ) 経済産業省

経済産業省において、IPA、JPCERT/CC を通じて、情報漏えいの新 ・経済産業省において、IPA を通じ、「緊急対策情
たな手法や手口の情報収集に努め、一般国民や中小企業等に対 報」を 13 件、「注意喚起情報」を 31 件、「安心し、ウェブサイトやメーリングリスト等を通じて対策情報等、必 相談窓口だより」を 9 件公表した。
要な情報提供を行う。

(キ) 経済産業省

経済産業省において、IPA を通じ、広く企業及び国民一般に情報 ・経済産業省において、IPA を通じ、セキュリティ対策を普及するため、地域で開催されるセミナーや・広く企業及び国民一般に情報セキュリティ対
各種イベントへの出展、普及啓発資料の配布、セキュリティプレ策を普及するため、IPA において、セミナー等
ゼンター制度の運用などにより情報の周知を行い、セキュリティへの講師派遣（150 件）や展示会への出展（26
啓発サイトや各種ツール類を用いて、対策情報の提供を行う。
件）等による情報の周知・提供を実施した。
・セキュリティプレゼンター制度を運用し、登録したセキュリティプレゼンター（2018 年度新規登録 142 名）が活躍する地域で自主的に開催するセミナー等を支援することにより、自主的普及活動の拡大を図った。

- 191 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
4. 横断的施策

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・「サイバーセキュリティ月間」のさらなる充実

項番 担当府省庁(ク) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内閣官房において、行動計画に基づき、NISC が中核的役割を担 ・「サイバーセキュリティ月間」では各種啓発主体
いつつ、各府省庁や民間の取組主体と協力して、「サイバーセキ と連携して、各地で関連行事を行うとともに、「サュリティ月間」をはじめとし、サイバーセキュリティに関する各 イバーセキュリティ意識・行動強化プログラム」
種イベント等の開催や情報発信等を通じ普及啓発活動を進める。 を踏まえ、若年層に重点を置いたキャンペーンやイベントを行い、普及啓発活動に取り組んだ。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・国民向けのわかりやすい解説書の作成・普及
・学校教育を通じた、情報モラル教育の一部としてのサイバーセキュリティ教育の推進
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(ケ) 内閣官房

内閣官房において、サイバーセキュリティに関する基本的な知識 ・「インターネットの安全・安心ハンドブック」（旧を紹介したハンドブックについて、引き続き内容の見直しを行う 称：ネットワークビギナーのための情報セキュリ
とともに、普及及び活用を促す取組を行う。
ティハンドブック）の内容見直しを行い、各種媒体にて無料で配信するとともに、都道府県警察と連携して普及活動を行った。

(コ) 経済産業省

経済産業省において、個人情報も含む情報漏えい対策に取り組む ・経済産業省が IPA を通じ提供している「情報漏ため、IPA を通じ、ファイル共有ソフトによる情報漏えいを防止 えい対策ツール」については、民間のダウンローする等の機能を有する「情報漏えい対策ツール」を民間の配布サ ドサイトを活用して、10,065 件ダウンロードされイトも活用して一般国民に提供する。
た。

(サ) 総務省

総務省において、文部科学省と協力し、青少年やその保護者のイ ・子どもたちのインターネットの安全な利用に係
ンターネットリテラシー向上を図るため、多くの青少年が初めて る普及啓発を目的に、児童・生徒、保護者・教職
スマートフォン等を手にする春の卒業・進学・新入学の時期に特 員等に対する、学校等の現場での出前講座であるに重点を置き、関係府省庁と協力して啓発活動を集中的に展開す e-ネットキャラバンを、情報通信分野等の企業・
る「春のあんしんネット・新学期一斉行動」の取組や、「e-ネッ 団体と総務省・文部科学省が協力して全国で開催
トキャラバン」等の青少年や保護者等に向けた啓発講座の実施等 した。2018 年度は、2018 年４月から 2019 年１月を行う。また、「インターネットトラブル事例集」の作成や「情 までの間、2,314 件の出前講座を実施した。また、報通信の安心安全な利用のための標語」の募集等を通し、インタ 2018 年 12 月に、自画撮り写真の交換に端を発し
ーネット利用における注意点に関する周知啓発の取組を行う。
た脅迫被害、SNS 上の知人による誘い出しに関する事例の追加等を行い、「インターネットトラブ
ル事例集」 （2018 年度版）を公表した。

(シ) 文部科学省

文部科学省において、ネットモラルキャラバン隊を通じ、スマー ・当初の予定通り、ネットモラルキャラバン隊によトフォン等によるインターネット上のマナーや家庭でのルール る普及啓発活動を実施した。
づくりの重要性の普及啓発を実施する。

(ス) 文部科学省

文部科学省において、独立行政法人教職員支援機構と連携し、情 ・独立行政法人教職員支援機構と連携し、2019 年
報通信技術を活用した指導や情報モラルに関する指導力の向上 １月 28 日～２月１日に各地域で情報教育の中核を図るため、各地域で情報教育の中核的な役割を担う教員等を対 的な役割を担う教員等を対象とした研修を実施
象とした研修を実施する。（再掲）済。

(セ) 文部科学省

文部科学省において、動画教材や指導手引書も活用して、学校に ・教員等を対象とした情報モラル教育指導者セミおける情報モラル教育の充実を図るため、教員等を対象としたセ ナーについて、2019 年２月までに実施済。
ミナーを実施する。（再掲）(ソ) 経済産業省

経済産業省において、IPA を通じ、各府省庁と協力し、情報モラ ・経済産業省において、IPA を通じて、第 14 回情ル/セキュリティの大切さを児童・生徒が自身で考えるきっかけ 報モラル・セキュリティコンクールを開催。
となるように、IPA 主催の標語・ポスター・４コマ漫画等の募集 ・全国の小中高生から、標語 55,524 点、ポスター
及び入選作品公表を行い、国内の若年層における情報モラル/セ5,421 点、４コマ漫画 7,292 点、書写（硬筆）2,395
キュリティ意識の醸成と向上を図る。
点、合計 70,653 点の応募があった。また、情報
モラル・セキュリティに関する学校の取組を表彰する活動事例には 21 校の応募の中から「優秀活動事例賞」に５校、最も優れた活動に取り組んでいる１校に「文部科学大臣賞」を授与した。この取組を通じて、若年層の情報モラル/セキュリテ
ィの醸成と向上に寄与した。

- 192 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
5. 推進体制(タ) 経済産業省

経済産業省において、IPA を通じ、各府省庁と協力し、家庭や学 ・経済産業省において、IPA を通じて、校からインターネットを利用する一般の利用者を対象として情・全国各地域で、NPO 等の団体との連携により「イ報セキュリティに関する啓発を行う安全教室について、全国各地
ンターネット安全教室」を合計 128 回開催し、の関係団体と連携し引き続き開催していく。
SNS の安全な利用方法を含む情報セキュリティに関する啓発を行い、 小中高校生からシニア層まで合計約 12,252 名が参加した。
・各地域団体による講習能力の向上を図る講師
トレーニングを全国５箇所において開催し、合計約 189 名が参加した。

新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より・利用者がサイバーセキュリティの取組を適切に実施できるよう事業者や関係団体等の取組が促進される環境の整備、サイバーセキュリティの確保に資するガイドラインの整備とその着実な実施を推進
項番 担当府省庁

サイバーセキュリティ 2018

取組の成果、進捗状況(チ) 総務省

総務省において、安全に無線 LAN を利用できる環境の整備に向 ・総務省において、オンライン教育コンテンツ等をけて、引き続き利用者・提供者において必要となるセキュリティ 活用して公衆無線 LAN のセキュリティ対策に係対策に関する検討を行うとともに、利用者・提供者に対する周知 る啓発を行った。
啓発を実施する。特に、セキュアな公衆無線 LAN 環境の実現に向けて、各種ガイドラインの改定や教育コンテンツを活用した周知・啓発、データ利活用施策との連携、セキュアな公衆無線 LAN
環境の優良事例の調査・整理及びこれを踏まえた所要の政策支援
等の取組を行う。

(ツ) 経済産業省

経済産業省において、IPA を通じて、サイバーセキュリティに関 ・経済産業省において、IPA を通じ、する現状把握及び対策を実施する際の参考となる最新の動向の・国民全体に向けた活動として、2018 年７月に、収集・分析・報告書の公表等により、サイバー空間利用者への啓「情報セキュリティ白書 2018」を発行した。
発を推進する。
・「情報セキュリティ脅威と倫理に関する意識調査（2018 年版）」を実施し、2018 年 12 月に報告書を公開した。
・「IT システム・サービスの業務委託におけるセキュリティに係る責任範囲に関する調査」を実施し、2018 年３月に報告書を公開した。
・「サイバーセキュリティ経営プラクティス」を2019 年３月に公開した。
・「安全なデータ利活用に向けた準備状況及び課
題認識に関する調査」を実施し、2019 年４月に報告書を公開した。

5. 推進体制
新戦略（2018 年 7 月 27 日閣議決定。2018 年 7 月～2021 年 7 月の諸施策の目標と実施方針）より
・関係機関の一層の能力強化
・内閣サイバーセキュリティセンターにおいて、新戦略に基づく諸施策が着実に実施されるよう、新戦略を国内外の関係者に積極的に発信しつ
つ、各府省庁間の総合調整及び産学官民連携の促進の要となる主導的役割を実施
・危機管理対応の一層の強化
・2020 年東京大会に向けた産学官民の参加・連携・協働の枠組み構築及びサイバーセキュリティの確保に向けた取組の着実な履行
項番 担当府省庁(ア) 内閣官房

サイバーセキュリティ 2018

取組の成果、進捗状況

内 閣官 房にお いて 、関係 機関の 一層 の能力 強化 に向け て、 ・JPCERT/CC とのパートナーシップに基づき、リエ
JPCERT/CC と締結した国際連携活動及び情報共有等に関するパ ゾン及び 2015 年度に整備した情報連携のためのートナーシップの一層の深化を図るため、2015 年度に構築した 環境により、国内外のインシデント及びサイバー
情報共有システムの機能向上を図るとともに連携体制について 攻撃に関する情報の共有を推進した。また、情報も逐次見直しを実施する。また、総合的分析機能の強化を図る。 共有のための環境については、継続して改善を実さらに、NICT と締結した研究開発や技術協力等に関するパート 施している。
ナーシップに基づいて NICT との協力体制を整備し、サイバーセ
キュリティ対策に係る技術面の強化を図る。

- 193 -

別添２ 2018 年度のサイバーセキュリティ関連施策の実施状況
5. 推進体制(イ) 内閣官房

内閣官房において、2018 年戦略に基づく諸施策が着実に実施さ ・内閣官房において、2018 年戦略について、国内れるようにするとともに、全ての主体によるサイバーセキュリテ 外の関係機関への配付や国際会議・普及啓発イベ
ィに関する自律的な取組を促進するため、各種イベント等におけ ントにおける関係者への配布などにより、広く国る説明会の開催などを通じて、国内外の関係者への 2018 年戦略 内外へ周知広報するため、カラー冊子を制作しの発信を積極的に行い、周知を図る。
た。
・内閣官房及び関係省庁において、カラー冊子を活用し、各種セミナーでの説明等を通じて、計 79 件のイベントで、国内の関係者 6,500 名超、国外の関係者 1,500 名超に対して、2018 年戦略の発信を行い、周知を図った。

(ウ) 内閣官房

内閣官房において、国民の生命等に重大な被害が生じ、若しくは ・内閣官房が、関係省庁及び重要インフラ事業者と生じるおそれのあるサイバー攻撃事態又はその可能性のある事 ともに、重要インフラに対するサイバー攻撃を想態（大規模サイバー攻撃事態等）発生時における政府の初動対処 定した大規模サイバー攻撃事態等対処訓練を実態勢の整備及び対処要員の能力の強化を図るため、関係府省庁、 施し、政府の初動対処態勢を整備するとともに、重要インフラ事業者等と連携した初動対処訓練を実施する。（再 対処要員の能力強化を図った。
掲）(エ) 内閣官房

内閣官房において、「2020 年東京オリンピック競技大会・東京 ・引き続き、大会の運営に大きな影響を及ぼし得る
パ ラ リ ン ピ ッ ク 競 技 大 会 に 向 け た セ キ ュ リ テ ィ 基 本 戦 略 重要サービス事業者等を対象としたリスクマネ（Ver.1）」（2017 年３月 21 日セキュリティ幹事会決定）に基 ジメントの促進や、関係府省庁、大会組織委員会、づくサイバーセキュリティ対策の強化を引き続き推進する。
東京都等を含めた関係組織と、サイバーセキュリ
具体的には、オリパラ競技大会の運営に大きな影響を及ぼし得る ティに係る脅威・事案情報の共有等を担う中核的
重要サービス事業者等を対象として、リスク評価に基づく対策の 組織としてのサイバーセキュリティ対処調整セ
促進と、情報の共有、インシデント発生時の調整役となるための ンターの構築等、対処態勢の整備を推進した。
組織であるサイバーセキュリティ対処調整センター（政府オリン① 『リスクマネジメントの促進』
ピック・パラリンピック CSIRT）の整備を推進する。
2018 年度のリスク評価は、対象エリアを全国に拡大して実施す ・重要サービス事業者等（東京都、近郊県及び地方るとともに特に重要なサービス事業者については国として横断 競技会場）を対象とする第３回リスクアセスメン
トの実施を依頼、各事業者等から提出された実施的リスク評価を実施する。
また、サイバーセキュリティ対処調整センター（政府オリンピッ 結果について、重要サービス分野内及び重要サー
ク・パラリンピック CSIRT）については、2018 年度末を目途に構 ビスを分野横断的に分析し、各事業者等へフィー
築し、2019 年度から要員の訓練、情報共有システムのユーザー ドバックを実施した。
に対する操作訓練、情報共有訓練及びインシデント発生時の対応 ・競技会場に提供されるサービスの重要度に応じ訓練支援が実施できるよう準備する。（再掲）て対象業者等を選定の上、サイバーセキュリティ対策の実施状況を NISC が検証する横断的リスク評価について、第１回として、電力、通信、水道、
鉄道、放送分野等から５者を対象に実地検証、全重要サービス分野から 20 者を対象に書面検証を実施し、結果の取りまとめを行った。
②『対処態勢の整備』

・サイバーセキュリティワーキングチーム等における検討を更に進め、大会に向けたサイバーセキ
ュリティ体制の運用方針を関係府省庁、大会組織
委員会、東京都等と協議の上、決定した。
・サイバーセキュリティ対処調整センターを構築した。

- 194 -

別添３

政府機関等における情報セキュリティ対策に関する統一的な取組（基準・監査・注意喚起等)- 195 -

＜別添３

目次＞

別添３－１

「政府機関等の情報セキュリティ対策のための統一基準群」による対策の推進 ........................................................ 197

別添３－２

サイバーセキュリティ基本法に基づく監査 ...................... 200

別添３－３

重点検査 .................................................... 206

別添３－４

高度サイバー攻撃への対処 .................................... 208

別添３－５

教育・訓練に係る取組 ........................................ 210

別添３－６

なりすまし防止策の実施状況 .................................. 217

別添３－７

暗号移行 .................................................... 219

別添３－８

独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報セキュリティ対策の調査結果の概要 ...................... 221

別添３－９

NISC 発出注意喚起文書及びサイバーセキュリティ対策推進会議決定等232

別添３－10 政府機関等に係る 2018 年度の情報セキュリティ インシデント一覧 234
別添３－11 政府のサイバーセキュリティ関係予算額の推移 .................. 238- 196 -

別添３－１

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組「政府機関等の情報セキュリティ対策のための統一基準群」による対策の推進

別添３－１ 「政府機関等の情報セキュリティ対策のための統一基準群」
による対策の推進
１

概要「政府機関等の情報セキュリティ対策のための統一基準群」（以下「統一基準群」という。）は、サイバーセキュリティ基本法に基づく政府機関、独立行政法人及び指定法人（以下「政府機関等」という。
）におけるサイバーセキュリティに関する対策の基準として位置づけられるものであり、政府機関等が講ずるべき対策のベースラインを定めている。統一基準群の運用により、各政府機関等のサイバーセキュリティ対策が強化・拡充されることで、政府機関等全体のセキュリティ対策水準を維持・向上させている。
統一基準群は、2005年12月に初版が策定されて以来、サイバーセキュリティを取り巻く情勢の変化等に応じて改定を重ねており、2018年度時点では、2018年７月25日のサイバーセキ
ュリティ戦略本部において決定された統一基準群（平成30年度版）が運用されている。
統一基準群（平成30年度版）の文書構成は、図表１のとおりである。

図表１ 統一基準群の文書構成

政府機関等は、それぞれの組織の目的・規模・編成や情報システムの構成、取り扱う情報の内容・用途等の特性を踏まえ、「政府機関等の情報セキュリティ対策のための統一基準（以下「統一基準」という。）」と同等以上の情報セキュリティ対策が可能となるよう情報セ
キュリティポリシーを策定し、当該ポリシーに定めた情報セキュリティ対策を実施することとされている（図表２）。

- 197 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－１ 「政府機関等の情報セキュリティ対策のための統一基準群」による対策の推進

図表２ 統一基準群と政府機関等の情報セキュリティポリシーの関係

政府機関等の情報セキュリティ対策は、運用指針において、①政府機関等の個々の組織のPDCA、②政府機関等全体としてのPDCAの２つのマネジメントサイクルにより、継続的に強化することとされている（図表３）。

図表３ 政府機関等における情報セキュリティのマネジメントサイクル- 198 -

別添３－１２

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組「政府機関等の情報セキュリティ対策のための統一基準群」による対策の推進

統一基準群の改定
最近のサイバー攻撃は、未知の不正プログラムの使用や脆弱性情報の公開直後の攻撃など、脅威が深刻化・巧妙化しており、国家の関与が疑われる大規模な事案も発生している。
また、世界的規模でのランサムウェアによる被害は、標的型攻撃に加え、ばらまき型攻撃の危険性をあらためて認識させた。このようなサイバー攻撃から、行政サービスを守ることは重要な課題である。
上述のような情勢や脅威等の動向を踏まえ、2018年７月25日のサイバーセキュリティ戦略
本部において統一基準群（平成30年度版）が決定された。
統一基準群（平成30年度版）における主な改定内容を、以下に示す。

（１）将来像を見据えたサイバーセキュリティ対策の体系の進化①情報システムの内部（端末等）での挙動の検知による未知の不正プログラムに係る被害の未然防止／拡大防止､②IT資産管理の自動化とそれによる脆弱性への迅速な対応､③データ保護による情報漏えい対策の導入を、今後政府機関等が目指すべき３本の柱とし、これらの対策の導入を推奨。
（２）政府機関等のサービスの利用者の側に立った対策
政府機関等は、自らの情報システムのサイバーセキュリティ対策に加え、国民が安心して安全にウェブサイト等を通じて行政サービスを利用できるよう、利用者側に立った追加的な対策を規定。
（３）政府機関等の自律的な能力向上への誘導（PDCA サイクルの効果的運用）一巡した府省庁監査の結果から得られた知見を踏まえ、自らの対策状況を評価し、より効
果的な改善に繋げるべく、政府機関等の自律的なPDCAサイクルの更なる循環を促す対策を規定。
（４）業務形態に対応した規定の整備
多様な業務形態が存在する独立行政法人等に目を向け、これらを踏まえたサイバーセキュ
リティ対策を規定。

- 199 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－２ サイバーセキュリティ基本法に基づく監査

別添３－２
１

サイバーセキュリティ基本法に基づく監査2018 年度における監査の概要
サイバーセキュリティ基本法に基づく監査について、2018年度は、政府機関、独立行政法
人及び指定法人（以下「政府機関等」という。）を対象として、サイバーセキュリティに関する施策を総合的かつ効果的に推進するため、政府機関等におけるサイバーセキュリティ対策に関する現状を適切に把握した上で、対策強化のための自律的かつ継続的な改善機構であるPDCAサイクルの構築及び必要なサイバーセキュリティ対策の実施を支援するとともに、当該PDCAサイクルが継続的かつ有効に機能するよう助言することによって、政府機関等におけるサイバーセキュリティ対策の効果的な強化を図ることを目的とし、マネジメント監査及びペネトレーションテストを実施した。
なお、監査事務の一部をIPAに委託しているが、IPAはその技術力及び専門的な知識経験を活用して、監査事務をNISCとともに推進し、各法人の多様な業務内容を理解した上で、情報セキュリティ水準の向上に必要な助言をNISCに提示している。NISCは、IPAの監査内容を評価し、提示された助言が統一基準群のもとで、現実的かつ適切なものであるかの観点で確認し、各所轄府省庁を通じ各法人に通知している。各法人はこの助言に沿って、セキュリティ対策を実施し、情報セキュリティ水準の向上を図ることができている。

２

政府機関を対象としたマネジメント監査の実施結果概要（１）マネジメント監査の実施期間
2018 年４月から 2019 年３月までの間（２）マネジメント監査の実施対象
政府機関（全 22 府省庁）のうち、12 の府省庁を対象とした。

（３）マネジメント監査の実施内容「政府機関等の情報セキュリティ対策のための統一基準群」等に基づく施策の取組状況について、各府省庁における組織・体制の整備状況、サイバーセキュリティ対策の実施状- 200 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－２ サイバーセキュリティ基本法に基づく監査

況、教育の実施状況、情報セキュリティ監査の実施状況等を把握した上で、サイバーセキ
ュリティ対策の水準の自律的かつ継続的な向上を促すことを目的とし、PDCA サイクルの構築及びその適切な運用が行われているかとの観点を中心に監査を実施した。当該監査結果を踏まえ、PDCA サイクルの構築に資するとともに、PDCA サイクルが継続的かつ有効に機能していくよう助言等を行った。

（４）マネジメント監査の実施結果「サイバーセキュリティ対策を強化するための監査に係る基本方針」（2015 年５月 25 日
サイバーセキュリティ戦略本部決定。2016 年 10 月 12 日改定）に基づき、各府省庁への監査を実施し、サイバーセキュリティ対策に係る PDCA サイクルの構築及びその適切な運用が図られるよう、各府省庁に対して、改善のための必要な助言等を行った。また、2017 年度に被監査主体であった府省庁に対しては、監査結果を踏まえて策定した改善策の取組状況について、ヒアリング等によりフォローアップを実施した。
監査におけるグッドプラクティスの事例及び主な助言等並びに 2017 年度以前に実施したマネジメント監査に係るフォローアップの状況は以下のとおりである。
① グッドプラクティスの事例
・行政事務従事者に遵守してほしい事項をまとめた「情報セキュリティハンドブッ
ク」を行政事務従事者に配布するなど、サイバーセキュリティの普及啓発に向けた取組を行っていた事例
・電磁的記録等からの不用意な情報漏えいを防止するための措置の一環として、PDF
作成時にプロパティ情報に作成者情報が入らないよう、端末のソフトウェアを制御していた事例・行政事務従事者が業務にかかる脅威の可能性を認知した場合に、報告できる窓口を整備した上で、報告のあった脅威に対するリスク評価を行い、リスクを軽減する対策を実施していた事例・システムのログイン時に、情報セキュリティに関する事項等について同意させてシステムの利用を可能とすることで、システムの情報セキュリティ水準の維持を徹底していた事例② 主な助言等2018 年度の監査においては、以下に示す主な監査項目について、各府省庁におけるサイバーセキュリティ対策に関連する規程の整備状況及びその運用状況に係る監査を実施し、情報システムにおける技術的な対策を含めて、改善のために必要な助言等を行った。
【主な監査項目】
・ 情報セキュリティ対策の基本的枠組みに係る規程の整備及び運用状況
・ 情報の取扱いに係る規程の整備及び運用状況
・ 外部委託に係る規程の整備及び運用状況
・ 情報システムのライフサイクルに係る規程の整備及び運用状況
・ 情報システムのセキュリティ要件に係る規程の整備及び運用状況
・ 情報システムの構成要素に係る規程の整備及び運用状況
・ 情報システムの利用に係る規程の整備及び運用状況③ 2017 年度以前に実施したマネジメント監査に係るフォローアップの状況- 201 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－２ サイバーセキュリティ基本法に基づく監査2017 年度に監査を実施した 11 府省庁に対して、2017 年度以前に実施した監査結果を踏まえて策定した改善策の取組状況について、ヒアリング等によりフォローアップ
を 2018 年度に実施した。その結果、監査における助言に対して、システム改修が必要となるものなど時間を要するものを除き、改善策が概ね実施済となっていた。
2016 年度までの監査において、府省庁は対策状況を評価して改善を行う自律的な取り組みを実施する等の情報セキュリティマネジメントシステムに課題が見られたが、2017 年度から始まった各府省庁における２回目の監査においては、セキュリティポリシーの策定等の規定類や体制の整備や強化が進んでいた。2017 年度の監査においては、サイバーセキュ
リティ推進部局以外の部局が対策を講じる部分について、その対策水準の向上が求められる場合も見られた。2018 年度の監査においては、府省庁が自ら定めた規定の一部が適切に実施されていない等、規定の運用に課題が残っているものの、情報セキュリティマネジメ
ントシステムに係る課題についてはさらに改善が進んでいた。
フォローアップにおいて、各府省庁の 2017 年度以前の監査に対する改善結果等を確認したところ、監査で発見された課題について、計画に基づいて改善されており、さらなる対策水準の向上が確認できた。
府省庁は、継続的に情報セキュリティ対策の水準の向上を図るため、助言への対応を含
め対策状況を評価して改善を行う自律的な取組を実施し、組織全体として PDCA サイクルを適切に維持・運用していくことが必要である。

３

政府機関を対象としたペネトレーションテストの実施結果概要（１）ペネトレーションテストの実施期間
2018 年４月から 2019 年３月までの間（２）ペネトレーションテストの実施対象
政府機関（全 22 府省庁）が運用するインターネットに接続する基幹 LAN システム及び重要な情報を取り扱う情報システムの中から選定した 43 の情報システムを対象とした。

（３）ペネトレーションテストの実施内容
攻撃者が実際に用いる手法での疑似的な攻撃により、情報システムに対しての侵入可否調査を実施した。具体的には、情報システムを運用する上で重要な情報を取り扱うサーバ
等（以下「ホスト」という。
）を選定し、インターネット（外部）から調査対象ホストへの侵入可否調査を行うとともに、情報システム内部の端末がマルウェアに感染したと想定し、当該端末（内部）から調査対象ホストへの侵入可否調査を実施した。また、侵入を確認した場合は、侵入後の被害範囲の調査を実施した。

（４）ペネトレーションテストの実施結果
調査の結果、インターネットから情報システムに直接侵入できるような脆弱性等はおおむね発見されなかった。一方、情報システム内部での調査において、侵入できる脆弱性等が発見された。このうち主なものは、使用されているパスワードについて、その保存方法- 202 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－２ サイバーセキュリティ基本法に基づく監査が適切でない、パスワード解析への耐性が十分でないなど、主体認証情報（ID・パスワー
ド等）の管理不備に関するものであった。調査において侵入に利用できる脆弱性等を認知した場合には、当該府省庁に速やかに通知し、対処計画の策定又は対処結果の報告を求めた。
調査終了後、調査結果を分析・取りまとめた後、当該府省庁に報告するとともに、セキュリティ対策水準の向上を図ることを視野に入れた助言等を行った。また、発見された脆弱性等については、他の情報システムにおいても共通している可能性があることを踏まえ、横展開を行うよう助言等を行った。

４

独立行政法人及び指定法人を対象としたマネジメント監査の実施結果概要（１）マネジメント監査の実施期間
2018 年４月から 2019 年３月までの間
今後、2020 年東京オリンピック・パラリンピック競技大会の前年度までの間に、全ての独立行政法人及び指定法人に対し監査を実施する予定としている。

（２）マネジメント監査の実施対象
独立行政法人及び日本年金機構を含む指定法人（全 96 法人）のうち、30 の法人を対象とした。

（３）マネジメント監査の実施内容「政府機関等の情報セキュリティ対策のための統一基準群」等に基づく施策の取組状況について、独立行政法人情報処理推進機構（IPA）に事務の一部を委託し、法人における組織・体制の整備状況、サイバーセキュリティ対策の実施状況、教育の実施状況、情報セキ
ュリティ監査の実施状況等を把握した上で、サイバーセキュリティ対策の水準の自律的か
つ継続的な向上を促すことを目的とし、PDCA サイクルの構築及びその適切な運用が行われているかとの観点を中心に監査を実施した。当該監査結果を踏まえ、PDCA サイクルの構築に資するとともに、PDCA サイクルが継続的かつ有効に機能していくよう助言等を行った。

（４）マネジメント監査の実施結果「サイバーセキュリティ対策を強化するための監査に係る基本方針」（2015年５月25日
サイバーセキュリティ戦略本部決定。2016年10月12日改定）に基づき、独立行政法人情報処理推進機構（IPA）に事務の一部を委託し、法人への監査を実施し、サイバーセキュリ
ティ対策に係るPDCAサイクルの構築及びその適切な運用が図られるよう、法人に対して、改善のための必要な助言等を行った。
監査におけるグッドプラクティスの事例及び主な助言等の状況は以下のとおりである。
① グッドプラクティスの事例
・情報セキュリティ委員会を危機管理等の全組織的リスク管理態勢の枠組みの中に位置
づけ、情報セキュリティリスクを全組織的リスクとして管理していた事例
・他の組織で発生した情報漏えい事案を参考として、対応訓練を実施していた事例
・情報の格付や情報を所持して外出する際の注意喚起等、周知徹底が必要な事項を目に- 203 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－２ サイバーセキュリティ基本法に基づく監査つきやすいところに適宜掲載していた事例
・委託先の情報セキュリティ対策の履行状況を確認する際に、委託先が独立監査法人等に依頼して実施した情報セキュリティ監査結果を、委託先から入手する等により、効率的に確認していた事例
・システムごとのライフサイクルに応じて、予算を考慮した運用計画を詳細に策定し、計画が完了するたびに具体的な導入を進めていた事例② 主な助言等2018 年度の監査においては、以下に示す主な監査項目について、法人におけるサイ
バーセキュリティ対策に関連する規程の整備状況及びその運用状況にかかる監査を実施し、情報システムにおける技術的な対策を含めて、改善のために必要な助言等を行った。
【主な監査項目】
・ 情報セキュリティ対策の基本的枠組みに係る規程の整備及び運用状況
・ 情報の取扱いに係る規程の整備及び運用状況
・ 外部委託に係る規程の整備及び運用状況
・ CSIRT に係る規程の整備及び運用状況
・ 情報システムのセキュリティ要件に係る規程の整備及び運用状況
・ 情報システムのライフサイクルに係る規程の整備及び運用状況
・ 情報システムの構成要素に係る規程の整備及び運用状況
・ 情報システムの利用に係る規程の整備及び運用状況③ 2017 年度に実施したマネジメント監査に係るフォローアップの状況
2017 年度に監査を実施した独立行政法人等 33 法人に対して、監査の結果及び助言を踏まえて自律的に策定した改善計画の取組状況についてヒアリング等によりフォ
ローアップを実施した。その結果、改善計画通り対策が概ね実施されていることを確認した。
2018 年度は 30 法人のマネジメント監査を実施した。各法人は情報セキュリティ対策の推進に努力していた。一方、これらの法人においては多様な業務を背景とし、統一基準群のもとでの情報セキュリティ対策への取り組みは府省庁と比べて歴史が浅いこともあり、その取組状況は必ずしも一様ではなかった。
フォローアップにおいて、2017 年度に実施したマネジメント監査で発見された重要な事項への対策状況を確認したところ、改善計画に基づいて対策されており、情報セキュ
リティ水準の向上が確認できた。
今後各法人において、引き続き、多様な業務を踏まえつつ、統一基準群のもとでの自律的な情報セキュリティ対策への取組を促進し、情報セキュリティ水準の向上を図ることが必要である。

- 204 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－２ サイバーセキュリティ基本法に基づく監査

５

独立行政法人及び指定法人を対象としたペネトレーションテストの実施概要（１）ペネトレーションテストの実施期間
2018 年４月から 2019 年３月までの間
今後、2020 年東京オリンピック・パラリンピック競技大会の前年度までの間に、全ての独立行政法人及び指定法人に対しペネトレーションテストを実施する予定としている。

（２）ペネトレーションテストの実施対象
独立行政法人及び日本年金機構を含む指定法人（全 96 法人）のうち、30 の法人が運用するインターネットに接続する基幹 LAN システム及び重要な情報を取り扱う情報システムの中から選定した 31 の情報システムを対象とした。

（３）ペネトレーションテストの実施内容
攻撃者が実際に用いる手法での疑似的な攻撃による情報システムに対しての侵入可否調査を独立行政法人情報処理推進機構（IPA）に事務の一部を委託して実施した。具体的には、ホストを選定し、インターネット（外部）から調査対象ホストへの侵入可否調査及び情報システム内部の端末がマルウェアに感染したと想定し、当該端末（内部）から調査対象ホストへの侵入可否調査を実施した。また、侵入を確認した場合は、侵入後の被害範囲の調査を実施した。

（４）ペネトレーションテストの実施結果
調査の結果、インターネットから情報システムに直接侵入できるような脆弱性等はおおむね発見されなかった。一方、情報システム内部での調査において、侵入できる脆弱性等が発見された。このうち主なものは、使用されているパスワードについて、その保存方法が適切でない、パスワード解析への耐性が十分でないなど、主体認証情報（ID・パスワー
ド等）の管理不備に関するものであった。調査において侵入に利用できる脆弱性等を認知した場合には、当該組織に速やかに通知し、対処計画の策定又は対処結果の報告を求めた。
調査終了後、調査結果を分析・取りまとめ、セキュリティ対策水準の向上を図ることを視野に入れた助言等を行うとともに、発見された脆弱性等については、他の情報システム
においても共通している可能性があることを踏まえ、横展開を行うよう助言等を行った。

- 205 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－３ 重点検査

別添３－３
１

重点検査

概要
重点検査は、昨今の情報セキュリティに関する動向等を踏まえ、政府機関全体として分析・評価、課題の把握及び改善等が必要と考えられる項目について検査を実施し、各種対策の強化等に反映させることを目的とするものである。

２

検査項目と結果
検査項目
リモートアクセスにおける情報セキュリティ対策
サポートが切れる OS・ソフ
トウェア対策ソフトウェアに関する脆弱性対策

検査項目とした理由

リモートアクセスの利用状況及
び情報漏えい対策の実施状況
Windows ７のサポート終了に伴う対応状況
Office 2010 のサポート終了に伴う対応状況
情報システムで利用しているソ
フトウェアの公開脆弱性への対策実施状況

リモートアクセス環境の導入が進んでいる状況を踏まえ、そのセキュリティ対策の実施状況を把握するため。
各政府機関においてサポート終了する OS・ソフ
トウェアに係る対応が、適切に検討・計画されていることを確認するため。
各政府機関において、パッチ適用及びソフトウ
ェアのアップデート等の対策が適切に行われていることを確認するため。

（１）リモートアクセスにおける情報セキュリティ対策
各府省庁における職員や委託事業者へのリモートアクセス環境の導入が進んでいる状況を踏まえ、利用状況及びセキュリティ対策状況について検査を実施した。
リモートアクセス環境の導入状況については、大多数の府省庁で導入されている状況である。また、今後新たにリモートアクセス環境の導入を検討しているとの回答も見られた。
リモートアクセス環境の安全な利用のための主な対策としては、通信内容の暗号化(VPNや
https等のTLSプロトコルを用いたもの)、端末の盗難対策としてディスクの暗号化、端末自体に情報を持たないシンクライアント端末の利用やセキュアブラウザを活用するなどのセキュリティ対策があり、複数の対策を組み合わせた対策が取られていることが確認できた。
また、委託事業者が利用するためのリモートアクセス環境におけるセキュリティ対策については、事前申請内容に基づいたリモートアクセスポートの適切な管理や委託事業者が実施するセキュリティ対策要件の提示を求めるなどの対策が行われていることが確認できた。
以上のように、リモートアクセスにおける情報セキュリティ対策はおおむね良好に実施されていることが確認できた。今後は、更にセキュリティを高める対策として委託事業者への監査やリモートアクセスログの監査といった対策が考えられる。

（２）サポートが切れるOSソフトウェア対策
Windows 7・Windows Server 2008 及び 2008 R2延長サポート終了（2020年１月14日）、
Microsoft Office 2010延長サポート終了（2020年10月13日）に伴うセキュリティ対応状況については、最新のOSやソフトウェアに更新される、若しくはシステム更改時にあわせ更新- 206 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－３ 重点検査する、当該ソフトウェアをアンインストールするなど、適切な対応が実施される予定である
ことが確認できた。
サポートが終了したOS、ミドルウェア、アプリケーション（以下、「各種ソフトウェア」と言う。
）の利用は、情報セキュリティ関連の脆弱性を修正するための修正プログラムが原則としてベンダから提供されなくなり、これらの各種ソフトウェアを利用している情報シス
テムにおいてウイルス対策ソフトウェアを導入するなどの対策を講じていたとしても、不正プログラム感染や不正アクセスによる情報漏えい等のリスクが高まることから、今後も、端末やサーバで使用する各種ソフトウェアについてはサポート期間を適時確認し、サポート終了までにソフトウェアを更改する等の必要な対応を徹底し、計画的にシステム調達や更新を行っていく必要がある。

（３）ソフトウェアに関する脆弱性対策
統一基準において、サーバ、通信回線装置、及び端末の設置又は運用開始時に、利用するソフトウェアの脆弱性対策を求めていること、また、日々発見される脆弱性に対して、適切なパッチの適用及びソフトウェアのバージョンアップは不可欠であることから、これらの実
施状況について検査を実施した。
脆弱性対策の基本となる、情報システムで利用しているソフトウェアのバージョン管理については、おおむね全てのシステムにおいて何らかの方法で適切な管理がなされている状況である。管理方法としては、IT資産管理ソフトウェアの利用、電子化又台帳による一元管理などがあげられる。
脆弱性対策計画の策定及び実施状況については、おおむね全てのシステムにおいて自府省
庁独自又は運用業者と連携するなどして、適切に行われている。クラウド利用の進展に伴い、クラウド事業者の責任において脆弱性対策計画が策定され、実施されるとの回答も一定数見られた。
ソフトウェアの脆弱性に関する情報源としては、NISC、IPA、JPCERT等の組織からの通知が最も多く利用されており、他にも当該ソフトウェアのWebサイトやセキュリティ関連ニュース、開発元や保守業者からの通知が多く利用されている状況である。数は少ないが、商用の脆弱性情報提供サービスを契約し、積極的に情報収集しているシステムも見られた。
脆弱性対策状況を確認する頻度としては、大半のシステムにおいて、脆弱性情報を入手するたびに、又は定期的に確認が行われている。
以上のように、ソフトウェアに関する脆弱性対策はおおむね良好に実施されていることが確認できた。今後は、IT資産管理ソフトウェアの活用等による省力化の推進や、クラウド利用時のクラウド事業者による脆弱性対策実施状況を定期的に把握するなどにより、脆弱性対策をより効率化、高度化していくことが適切と考えられる。
重点検査は、昨今の情報セキュリティに関する動向等を踏まえ、政府機関全体として分析・評価、課題の把握及び改善等が必要と考えられる項目について検査を実施し、各種対策の強化等に反映させることを目的とするものである。

- 207 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－４ 高度サイバー攻撃への対処

別添３－４

高度サイバー攻撃への対処

今日において、各府省庁の事務の高度化・効率化のために情報システムの利活用は必須であり、情報システムへの依存度は一層増大していることから、情報システムの利活用における基盤的な環境としての情報セキュリティの確保は、各府省庁の運営上、極めて重要である。このような状況の中、政府機関においては、標的型攻撃その他の組織的・持続的な意図をもって外部から行われる情報の窃取・破壊等の攻撃が極めて大きな脅威となっており、この脅威に対抗していくことが喫緊の課題といえる。
高度サイバー攻撃のうち、昨今、特に大きな脅威となっている標的型攻撃の主目的は、情報システム内の端末を不正プログラムに感染させることではなく、情報システム内部に侵入基盤を構築し、更に侵入範囲を拡大して重要な情報の窃取・破壊等を行うことであり、そのために組織力を動員した攻撃が行われることから、内部統制的な手法だけでは十分な防御を行うことは困難であり、情報システムにおける適切な対策の実施及び運用・監視の強化を伴う計画的で持続可能な情報セキュリティ投資が必要となる。
このため、各府省庁において、高度サイバー攻撃の標的とされる蓋然性が高い業務・情報に重点を置いたメリハリのある資源の投入を計画的に進め、それらの業務・情報に係る多重的な防御の仕組みを実現することが不可欠である。
そこで、NISCでは、その実現に向けたリスク評価手法及び標的型攻撃を始めとした高度サイバー攻撃への対策について、産学官の専門家による検討会を開催して検討を進め、2013年
度後半より試行としての取組を開始し、2014年に「高度サイバー攻撃対処のためのリスク評
価等のガイドライン（以下「ガイドライン」という。）」（2014年６月25日情報セキュリティ対策推進会議（現サイバーセキュリティ対策推進会議））を策定した（図表１）。
図表１ 「高度サイバー攻撃対処のためのリスク評価等のガイドライン」に基づく取組の概要- 208 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－４ 高度サイバー攻撃への対処

さらに、2016年度にはガイドラインを改定し、独立行政法人及び指定法人（以下「独立行政法人等」という。
）を適用範囲に加え、独立行政法人等においても政府機関同様の高度サ
イバー攻撃のためのリスク評価等を実施することとなった。
2018年度の各府省庁における高度サイバー攻撃対策実施状況の総論としては、2017年度と比較し、高度サイバー攻撃の標的とされる蓋然性の高い業務及びシステムは微増しているが、全体として高度サイバー攻撃への対策が講じられており、計画的な対策の強化が行われている。具体的には、政府機関全体で、ガイドラインに基づき保護対象に選定されたおよそ130の業務領域に使用されているおよそ50の情報システムを対象として、重点的に取組が実施された結果、全てのシステムおいてガイドラインに掲載されている標的型攻撃手法に対して、ガイドラインに掲載されている対策又は各府省庁独自の対策がほぼ全て講じられており、標的型攻撃に対する対策が実施され強化が図られていた。残るわずかな対策についても、今後のシステム更新等に合わせて計画的に対策の強化を図ることとしている。
各府省庁においては、引き続きリスク評価を適切に実施し、多重防御の観点から、より一層の対策強化を推進することが望まれる。
2018年度の独立行政法人等における高度サイバー攻撃対策実施状況の総論は、2017年度と比較し、高度サイバー攻撃の標的とされる蓋然性の高いシステムは横ばいで推移しているが、対象となる業務が増加している状況である。高度サイバー攻撃への対策は、大きな改善まではいかないが、着実に対策の強化は進められている状況である。具体的には、独立行政法人等全体で、ガイドラインに基づき保護対象に選定されたおよそ300の業務領域に使用されるおよそ240の情報システムを対象として、各独立行政法人等のCISOの下で対策強化が実施された結果、ネットワークセグメントに対する対策やユーザ端末係る対策を中心に標的型
攻撃に対する対策の強化が図られていた。
独立行政法人等においては、標的型攻撃に対する対策の更なる向上が望まれることから、
今後も、高度サイバー攻撃に対処するため、重点的に守るべき業務・情報にかかるリスク評
価を適切に実施し、継続的に多重的な防御の仕組み等を実現するための資源を計画的に投入した対策を推進することが重要である。

- 209 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－５ 教育・訓練に係る取組

別添３－５
１

教育・訓練に係る取組

各府省庁 CSIRT 要員に対する訓練（１）目的
各府省庁において、情報セキュリティインシデント（以下「インシデント」という。）を認知した際に、初動対処、被害拡大防止、早期復旧等に取り組むに当たっては、府省庁関係者への報告やNISCへの連絡等を適時・適切に行い、幹部職員の指揮の下、組織として迅
速かつ適切に対処することが重要である。
本訓練は、各府省庁におけるインシデント認知時に、府省庁CSIRT要員とCISOを含む幹部職員、関係部局、NISC等との報告・連携が確実に行われること、幹部職員による指揮の下で迅速かつ適切に組織的対処が行われることに主眼を置き、府省庁CSIRT要員のインシデント対応における対処能力及び対処手順の整備状況を評価するとともに、CSIRT要員の対処能力の向上を目的としたものである。

（２）概要
訓練参加者は、日常業務で使用している、外部との電子メールの送受信ができる業務用端末から電子メールを用いて、府省庁内外の様々な登場人物を演じる訓練事務局（NISC及び受託者）とのやりとりを通じて訓練を進行した。
訓練参加者は、府省庁内外の様々な登場人物を演じる訓練事務局に対して、情報収集、指示、連絡や報告を行ったほか、通信ログ等の分析を自ら行い、発生している事象の状況把握や対処内容の検討を行った。
図表１に本訓練の登場人物、図表２に本訓練の物理的環境を示す。

図表１ 本訓練の登場人物- 210 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－５ 教育・訓練に係る取組

図表２ 本訓練の物理的環境（３）参加人数
約200人（全22府省庁参加）（４）訓練時期
2019年１月～２月（５）まとめ
多くの府省庁においてCISOが参加したことにより、より緊張感のある訓練が実施され、組織的対処能力の向上が図られた。今年度は訓練直後にCSIRT要員へのヒアリングを府省
庁個別に行い、対処状況の確認及び助言を実施し、得られた好事例を府省庁に共有することで、政府機関全体としてのインシデント対処能力の向上を図った。
訓練後に実施した訓練参加者による自己評価及びアンケートの結果から、多くの府省庁で対処手順や対処内容、トリアージ、インシデントであるか否かの評価、NISCへの連絡等に関する課題、改善点等を見出すことができた。
本訓練を通じて見出されたインシデント対処上の重要課題、多くの府省庁に共通の課題については、2019年度以降のNISCの取組に反映していく。

２

各府省庁 CSIRT 要員に対する研修・勉強会（１）目的
インシデント発生時に対処を行う府省庁CSIRT要員の能力強化を図るため、対処に必要な基礎知識、サイバー攻撃・インシデントの最新の事例や動向、経験者や有識者による具体的な対応事例やノウハウ等を提供することを目的としたものである。
- 211 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－５ 教育・訓練に係る取組（２）対象
各府省庁のCSIRT要員

（３）内容
No.

時期

１

2018 年【CSIRT 会合】

６月～

・SOC、CSIRT の成熟度の考え方と、現場で 外部講師
起きていること

11 月

テーマ

講師

参加人数

NISC 職員、 延べ約 90 名
（３回開催）・CSIRT 要員が身につけておくべき教養・不正アクセス事案に学ぶインシデント対処 ほか
２2018 年７月～
2019 年
３月【CSIRT 研修】

外部講師

延べ約 200 名（７回開催）

外部講師

延べ約 30 名（３回開催）

外部講師

延べ約 40 名（２回開催）

・インシデント対処・デジタル・フォレンジック
・平成 29・30 年度のトピック ほか

３2019 年１月【CSIRT 向け講習会】
インシデント対処に必要な基礎知識
・サイバー攻撃の情勢
・インシデント対処のプロセス
・ワークショップ ほか

４2019 年１月【CSIRT 向け実機演習】
・サイバー攻撃の手口
・Web サイトへのサイバー攻撃
・組織内部への侵入を狙った攻撃 ほか

３

独立行政法人等 CSIRT 要員に対する研修（１）目的
インシデント発生時に対処を行う独立行政法人等CSIRT要員の能力強化を図るため、対処に必要な基礎知識、サイバー攻撃・インシデントの最新の事例や動向、経験者や有識者による具体的な対応事例やノウハウ等を提供することを目的としたものである。

- 212 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－５ 教育・訓練に係る取組（２）対象
独立行政法人及び指定法人のCSIRT要員

（３）内容
No.

時期

１

2018 年【CSIRT 研修】

７月～

・インシデント対処

2019 年
３月

テーマ

講師

参加人数

外部講師

延べ約 790 名（７回開催）

・デジタル・フォレンジック
・平成 29・30 年度のトピック ほか

４

NISC 勉強会（１）目的
NISC職員による統一基準群の解説やマネジメント監査に係る説明により、情報セキュリ
ティ関係職員の基本的な知見を向上させ、政府機関等における情報セキュリティの確保につなげることを目的としたものである。

（２）対象
各府省庁、サイバーセキュリティ対策推進会議オブザーバー機関、独立行政法人及び指定法人の情報セキュリティ担当職員等

（３）内容
No.
１

時期

テーマ

2018 年

政府機関等の情報セキュリティ対策のため

９月の統一基準群の改定ポイントについて

講師
NISC 職員

参加人数
延べ 357 名(２回開催)

統一基準群に基づく情報セキュリティ監査
２2018 年
11 月

について
・基礎編 監査の基本知識、情報セキュリテ NISC 職員
ィ監査の解説延べ 239 名(２回開催)

・実践編 監査の実施、監査所見の演習

３2018 年
12 月

・情報セキュリティ 10 大脅威とその対策
・政府機関等の情報セキュリティ対策のための統一基準群について- 213 -

外部講師

延べ 224 名

NISC 職員(２回開催)

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－５ 教育・訓練に係る取組

４2019 年

マネジメント監査・ペネトレーションテス

３月

ト実施結果の分析から得られた課題と対策

NISC 職員

延べ 265 名(２回開催)

図表３ NISC勉強会講義中の様子

５

サイバーセキュリティ・情報化審議官等研修（１）目的
2016年４月に各府省庁に設置された「サイバーセキュリティ・情報化審議官」等に対し、各府省庁におけるサイバーセキュリティ対策の司令塔としての能力向上のため、基礎的な知識や最新動向に関する理解を深めるとともに、組織運営の在り方等について検討させるための研修を実施した。

（２）対象
各府省庁のサイバーセキュリティ・情報化審議官等（３）内容
2018年度においては、サイバーセキュリティに関する政策・最新動向等に関する座学や実機を用いた演習を４回実施した。
ケーススタディで学ぶインシデントハンドリングにおいては、７人の講師・アシスタ
ントの指導の下、情報セキュリティインシデントのケーススタディを通じた少人数制のディスカッションを行ったほか、インシデント対応のため実機を用いた実習を行い、インシデントハンドリングを体験した。

No.
１

時期
2018 年
８月

テーマ
【座学①】
1．サイバーセキュリティ戦略等について- 214 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－５ 教育・訓練に係る取組

2．「政府機関等の情報セキュリティ対策のための統一基準群」等について
3．平成 31 年度機構・定員要求等について

２

３

2018 年
10 月【座学②】
1．脅威傾向と組織特性の分析
2．サイバーセキュリティ月間について

2019 年【座学③】
1．ケーススタディで学ぶインシデントハンドリング

１月

2．「IT 調達に係る国の物品等又は役務の調達保身及び調達手続に関する関する申合せ」についての意見交換

４

６2019 年【座学（演習）④】2月

1．インシデント対応のためのサイバーセキュリティ実習

各府省庁セキュリティ担当者向け研修（１）目的
2016年３月に決定された「サイバーセキュリティ人材育成総合強化方針」（2016年３月
31日サイバーセキュリティ戦略本部決定）に基づき、政府一体となって政府機関におけるセキュリティ・IT人材を本格的に確保・育成することが必要となっている。政府におけるセキュリティ人材育成を本格的に実施していくためには、これまで以上に研修の受講機会を確保し、研修内容を充実させていく必要があることから、各府省庁でサイバー
セキュリティ関係業務に従事する職員を対象として体系的な知識等を習得させるための研修を実施している。

（２）対象
各府省庁においてサイバーセキュリティ関係業務に従事する者（３）内容「CISSP」入門講座
セキュリティ基盤技術を網羅的かつ系統的に学習し、セキュアな情報システム構築の知
識と基礎力を養うことを目的とした「CISSP 入門講座」を実施1。
「CISSP」は、（ISC）1 が認定を行っている、国際的に認められた情報セキュリティ・プロフェッショナル認証資格である。
実施時期：2018 年８月～2018 年 12 月
受講者数：約 50 名
＜カリキュラム概要＞①CISSP の概要⑨セキュリティエンジニアリング(2)②セキュリティとリスクマネジメント(1) ⑩通信とネットワークセキュリティ(1)1

学校法人東京電機大学が開講している「国際化サイバーセキュリティ学特別コース」（CySec）における「サイバーセキュリティ基盤」科目を「CISSP 入門講座」として実施。

- 215 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－５ 教育・訓練に係る取組③セキュリティとリスクマネジメント(2) ⑪通信とネットワークセキュリティ(2)④セキュリティの運用(1)⑫セキュリティの評価とテスト⑤セキュリティの運用(2)⑬ソフトウェア開発セキュリティ(1)⑥アイデンティティとアクセスの管理⑭ソフトウェア開発セキュリティ(2)⑦資産のセキュリティ⑮まとめと学力考査⑧セキュリティエンジニアリング(1)- 216 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－６ なりすまし防止策の実施状況

別添３－６
１

なりすまし防止策の実施状況

取組の概要
政府機関になりすました電子メールを一般国民や民間企業等に送信し、電子メールに添付したファイルを実行させて不正プログラムに感染させることで、重要な情報を窃取するなどの攻撃が発生している。なりすましの手段として、悪意ある第三者が、電子メールアドレスのドメイン名（@マーク以降）を、政府機関のドメイン名（xxx.go.jp）に詐称するものがある。
政府機関でのなりすましの防止策については、「政府機関等の情報セキュリティ対策のための統一基準群」を踏まえ、各府省庁において、政府機関又は政府機関の職員になりすました電子メールにより、電子メールを受信する一般国民、民間企業等に害を及ぼすことが無い
よう、なりすましの防止策であるSPF（Sender Policy Framework）等の送信ドメイン認証技術の導入を、政府機関全体として取組を推進している。
図表１ SPFを活用したなりすまし対策の概要
メールサーバ

政 府 機 関 （xxx.go.jp）
通常のメールFrom : aaa@xxx.go.jp

国 民

受信側
メールサーバ
送信元 IP の取得

DNSに登録されている
送信サーバの I Pと比較

ブロック

怪しいメール

送信元 IP の取得

DNS サーバ

なりすましメール
From : bbb@xxx.go.jp

メールサーバ

図表１に、政府機関において取り組んでいるSPFを活用したなりすまし対策の概要を示す。SPFを利用する場合、電子メールの送信側であらかじめ電子メールを送信する可能性のある電子メールサーバのIPアドレスをSPFレコード2に設定して公開する。受信側では、電子メールの受信時に、SPFレコードに公開されたIPアドレスと実際に送信元となっている電子
メールサーバのIPアドレスが一致するかどうかを確認する。このような手順により、受信者が受け取った電子メールについて、送信者情報が詐称されているかどうかの確認が可能となる。

2

SPF において、そのドメイン名が使用する送信メールサーバの IP アドレス等の情報が記載され、DNS サーバに設定してインターネット上に公開されるもの。

- 217 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－６ なりすまし防止策の実施状況

２

取組の結果及び今後の課題
2018年及び2019年の１月末時点での、政府機関のドメイン名における送信側のSPFの設定
状況は図表２のとおり。
図表２ 政府機関のドメイン名における送信側のSPFの設定状況-all※１~all※２

設定なし

2018 年１月末

74.5%

11.7%

13.8%

2019 年１月末

69.7%

13.6%

16.7%

ドメイン名リスト取得日※１ 設定された以外のIPアドレスは当該ドメイン名の電子メールを送信する電子メール
サーバとして認証しない。
※２ 認証情報を公開しているが、正当な電子メールであっても認証が失敗する可能性もある。

調査の結果、SPFの設定状況は、１年前と比較して、適切な設定がされている割合がやや低下していることがわかった。主な原因として考えられるのは、この１年間で、政府機関のドメインの全体の１割程度が消滅し、ほぼ同数の新たなドメインが取得されており、総数
は、横ばいで推移しているところ、新規に取得されたドメインの多くが適切な設定がなされてなかったことが挙げられる。今後は、新規のドメインに対し、然るべき設定がなされるよう、必要な取り組みを推進する。またSPFの設定がなされていないドメイン名について分析したところ、約８割が、電子メールに関係する設定が記載されていないドメイン名3であることが判明した。このようなドメイン名では、外部との電子メールの送受信を目的としていないことが考えられる。電子メールを利用していないドメイン名についても、その情報を、
当該ドメイン名を管理するDNSサーバのSPFレコードに設定することで、当該ドメイン名になりすました電子メールについて受信者が正当性を確認できるようになる。受信側における送信ドメイン認証技術等を用いた対策として、SPFを利用する割合が大きいことを踏まえると、これを有効な対策とするためには、あらゆる政府機関のドメイン名について、送信側における送信ドメイン認証技術を用いた対策を実施することが求められる。
送信ドメイン認証技術による受信側の対策としては、既存の認証技術を利用することにより、詐称されたメールを受信側がどう扱うべきかの方針をドメイン名の正規の管理者側が宣言するための仕組みである DMARC(Domain-based Message Authentication, Reporting& Conformance)や受信した電子メールに対し送信ドメイン認証に基づくなりすまし判定を行い、なりすましと判定した場合には、電子メールの件名や本文に注意喚起を挿入するな
どの機能を導入するよう推進する。その他、DKIM(Domainkeys Identified Mail)等の SPF
以外の送信ドメイン認証技術の導入についても、技術動向等を踏まえて必要な取組を推進する。

3

MX レコード（外部とのメールを中継するメールエクスチェンジャを指定するための情報）が設定されていない
ドメイン名。

- 218 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－７ 暗号移行

別添３－７

暗号移行

2012年10月改定の「政府機関の情報システムにおいて使用されている暗号アルゴリズムSHA-1及びRSA1024に係る移行指針」4に基づき、各政府機関で暗号移行が進められている。なお、政府認証
基盤及び電子認証登記所が発行する電子証明書のうち、発行済み電子証明書の有効期間が残存し、やむを得ない場合については2019年度末まではその電子証明書を検証可としている。

政府機関の暗号アルゴリズムに係る移行指針の改定概要
１ 経緯①電子政府システム（入札・申請等）において電子署名等のために広く使用されているSHA-1及びRSA1024と呼ばれる暗号方式の安全性の低下が指摘②より安全な暗号方式（SHA-256及びRSA2048）への移行が必要であることから、「政府機関の情報システ
ムにおいて使用されている暗号アルゴリズムSHA-1及びRSA1024に係る移行指針」を策定（H20年4月22日 情報セキュリティ政策会議決定）

２ 政府機関における移行に向けた準備スケジュール
各府省庁が保有する情報システムの新たな暗号方式への対応時期⇒ 「２０１３年度末まで」

新たな暗号方式による電子証明書の発行開始可能時期⇒ 「２０１４年度早期」

従来の暗号方式による電子証明書の検証（有効性の確認）終了可能時期 ⇒ 「２０１５年度早期」（H21年2月3日 情報セキュリティ政策会議決定）

３ 移行指針の改定概要
切替時期について各認証基盤との調整結果を踏まえ、以下のとおり改定
政府認証基盤及び電子認証登記所が発行する電子証明書については、
a. 「２０１４年９月下旬以降、早期に」新たな暗号方式に切替
b. 「２０１５年度末までに」従来の暗号方式によって発行された証明書の検証を終了
ただし、発行済み電子証明書の有効期間が残存し、やむを得ない場合は、「２０１９年度末まで」検証可（参考） 政府機関における暗号移行スケジュール
2014年3月31日▽ 2014年9月下旬▽

【認証局】新たな暗号への切替え
日程の決定及び告知開始【各府省庁】
情報システムの対応期限

2015年度末▽【認証局】電子証
明書の新たな暗号への切替え【認証局】従来の暗号を利用した
電子証明書の検証停止

2019年度末▽※発行済み電子証明書の有効期間が残存し、その失効が制度や費用の観点で困難であり又は合理的でない
場合は、2019年度末を超えない範囲
で従来の暗号の検証をしても良い。

【認証局】従来の暗号の検証
停止期限切替えに向けた最終
検証・調整等の実施

従来の暗号方式のみの使用

複数の暗号方式が混在

新たな暗号
方式のみの
使用

【内閣官房・総務省・経産省】 従来の暗号および新たな暗号の安全性について監視し、必要な情報を速やかに各府省庁に提供【各府省庁】 利用している暗号の急激な安全性の低下による影響が生じた場合、あらかじめ検討した緊急避難的な対応を実施

4https://www.nisc.go.jp/conference/suishin/index.html#2012_5（第８回情報セキュリティ対策推進会議、2012 年 10 月 26 日）- 219 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－７ 暗号移行

（参考）暗号の危殆化
コンピュータの計算能力の向上により、セキュリティの基盤技術の一つである暗号技術の危殆化にも注視すべき状況となっている。2006年頃、当時のコンピュータの計算性能の向上予測
から、従来政府機関で使われている公開鍵暗号アルゴリズムRSA（鍵長1024ビット）については、
2010～2020年の間に危殆化する可能性があることが指摘された。
図表１は、計算機の出現年数に対して演算性能をプロットしたものである。出現当時、世界トップの性能を持つ計算機については（□）、世界500位相当の計算機は（△）でプロットされている。両者とも過去20年にわたりムーアの法則に近似した指数的な増加を示しているが、近年その性能の伸びは鈍化傾向にある。また、（＋）は学術会議等で報告された、実際に各ビット数の素因数分解を達成した計算機の演算性能を表している。
図表１ １年間でふるい処理を完了するのに要求される処理能力の予測（2019 年 3 月更新）5

5

https://www.cryptrec.go.jp/report/cryptrec-rp-2000-2018.pdf「CRYPTREC Report 2018(暗号技術評価委員会報告)」(CRYPTREC)- 220 -

別添３－８

別添３－８
１

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要

独立行政法人、指定法人、国立大学法人及び大学共同利用機
関法人における情報セキュリティ対策の調査結果の概要

調査目的
独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人6における情報セキュ
リティ対策の実施状況を明らかにし、その結果により情報セキュリティ対策の強化を図ることを目的に本調査を実施した。

２

調査概要

（１）調査対象
独立行政法人：87法人
指定法人：９法人
国立大学法人：86法人
大学共同利用機関法人：４法人
計

186法人（2019年３月末日現在）（２）調査時点
独立行政法人、指定法人及び国立大学法人等 2018年12月末日

6

本調査では、国立大学法人及び大学共同利用機関法人を「国立大学法人等」という。

- 221 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－８ 独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要

３

調査結果

独立行政法人、指定法人及び国立大学法人等の調査結果については以下のとおりである。
また、構成比は小数点第１位を四捨五入しているため、合計しても必ずしも 100%となるとは限らない。

（１）情報セキュリティ対策の導入・計画①

最高情報セキュリティ責任者（CISO）の設置状況
図表１ CISOの設置状況７

・ 独立行政法人
CISOを置いている法人は、87法人全てである。
・ 指定法人CISOを置いている法人は、2017年度の8法人（89%）から9法人（100%）に増加している。
・ 国立大学法人等
CISOを置いている法人は、90法人全てである。

7

図表中における(N=)は、法人の数を表す。

- 222 -

7

別添３－８②

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要

情報セキュリティ委員会の設置状況
図表２ 情報セキュリティ委員会の設置状況88・ 独立行政法人
情報セキュリティ委員会を置いている法人は、2017年度の84法人（97%）から85法
人（98%）に増加している。
・ 指定法人情報セキュリティ委員会を置いている法人は、９法人全てである。
・ 国立大学法人等
情報セキュリティ委員会を置いている法人は、90法人全てである。

8

図表中の検討中について、「検討中」と「準備中」の違いが不明確との意見があったため、2017 年度からの調査の選択肢から「検討中」を削除した。以降の③ CSIRT の設置状況、④ 情報セキュリティポリシーの策定状
況も同様である。

- 223 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－８ 独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要③

CSIRT（Computer Security Incident Response Team）の設置状況
図表３ CSIRTの設置状況

・ 独立行政法人
CSIRTを設置している法人は、2017年度の79法人（91%）から83法人（95%）に増加している。
・ 指定法人CSIRTを設置している法人は、2017年度の7法人（78%）から変化していない。
準備中が1法人（11％）から2法人（22％）に増加している。
・ 国立大学法人等
CSIRTを設置している法人は、2016年度の88法人（98%）から90法人（100%）に増加している。

- 224 -

別添３－８④

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要

情報セキュリティポリシーの策定状況
図表４ 情報セキュリティポリシーの策定状況

・ 独立行政法人
情報セキュリティポリシーを定めている法人は、87法人全てである。
・ 指定法人情報セキュリティポリシーを定めている法人は、８法人（89%）である。
・ 国立大学法人等
情報セキュリティポリシーを定めている法人は、90法人全てである。

- 225 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－８ 独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要（２）情報セキュリティ対策の運用①

教育・訓練9の実施状況
図表５ 教育・訓練の実施状況

・ 独立行政法人
教育・訓練を実施している法人は、87法人全てである。
・ 指定法人教育・訓練を実施している法人は、９法人全てである。
・ 国立大学法人等
教育・訓練を実施している法人は、90法人全てである。

9

教育・訓練とは、情報セキュリティ関係規定への理解を深めるために実施する取組のことである。

- 226 -

別添３－８②

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要

教育・訓練の実施内容
図表６ 教育・訓練の実施内容

・ 独立行政法人
教育・訓練の実施内容について、集合教育を実施している法人は、77法人（89%）
である。また、eラーニングを実施している法人は、48法人（55%）、標的型メール
攻撃等の模擬訓練を実施している法人は、62法人（71%）である。
・ 指定法人教育・訓練の実施内容について、集合教育を実施している法人は、６法人（67%）
である。また、eラーニングを実施している法人は、7法人（78%）、標的型メール
攻撃等の模擬訓練を実施している法人は、６法人（67%）である。
・ 国立大学法人等
教育・訓練の実施内容について、集合教育を実施している法人は、79法人（88%）
である。また、eラーニングを実施している法人は、73法人（81%）、標的型メール
攻撃等の模擬訓練を実施している法人は、58法人（64%）である。

- 227 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－８ 独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要（３）情報セキュリティ対策の点検①

自己点検の実施状況
図表７ 自己点検の実施状況

・ 独立行政法人
自己点検を実施している法人は、2017年度の77法人（89%）から76法人（86%）になっている。
・ 指定法人
自己点検を実施している法人は、６法人（67%）である。
・ 国立大学法人等
自己点検を実施している法人は、2017年度の82法人（91%）から84法人（93%）に増加している。

- 228 -

別添３－８②

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要

情報セキュリティ監査の実施状況
図表８ 情報セキュリティ監査の実施状況

・ 独立行政法人
情報セキュリティ監査を実施している法人は、2017年度の74法人（85%）から78法
人（90%）に増加している。
・ 指定法人情報セキュリティ監査を実施している法人は、2017年度の5法人（56%）から6法人（67%）に増加している。
・ 国立大学法人等
情報セキュリティ監査を実施している法人は、87法人（97%）となっている。

- 229 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－８ 独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要（４）情報セキュリティ対策の見直し①

情報セキュリティポリシー等の見直しの対応状況
図表９ 情報セキュリティポリシー等の見直し等の対応状況

・ 独立行政法人
情報セキュリティポリシー等の規定類について、見直す必要の有無を確認した法人は、84法人（97%）である。
・ 指定法人情報セキュリティポリシー等の規定類について、見直す必要の有無を確認した法
人は、6法人（75%）である。
・ 国立大学法人等
情報セキュリティポリシー等の規定類について、見直す必要の有無を確認した法人は、89法人（99%）である。

- 230 -

別添３－８４

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
独立行政法人、指定法人、国立大学法人及び大学共同利用機関法人における情報
セキュリティ対策の調査結果の概要

各法人及び所管府省庁の対応
ほぼすべての法人において、CISO の設置、情報セキュリティ委員会の設置及び教育訓練が実施され、情報セキュリティの推進体制が年々整備されてきている。
一方、CSIRT の設置、自己点検、情報セキュリティ監査等を実施していない法人も散見されることから、当該法人は、速やかに対応することが必要である。
これらの結果を踏まえ、所管する府省庁は、上記の情報セキュリティ対策を実施していな
い独立行政法人等に対して、CSIRT の設置、自己点検、情報セキュリティ監査等を実施するように指導等を行うことが重要である。加えて、情報セキュリティ対策の取組が進んでいる法人に対しても、法人の情報セキュリティ対策の PDCA サイクルが継続的かつ有効に機能するよう、適宜その状況を把握し、必要に応じて助言することが望ましい。

- 231 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－９ NISC 発出注意喚起文書及びサイバーセキュリティ対策推進会議決定等

別添３－９ NISC 発出注意喚起文書及びサイバーセキュリティ対策推進会議決定等
１「Twitter 利用におけるパスワード変更について（注意喚起）」（2018 年５月５日
発出）
事

務

連

絡

平成 30 年５月５日

各府省庁等情報セキュリティ担当課室長 殿
各府省庁情報システム担当課室長 殿
サイバーセキュリティ対策推進会議オブザーバー機関情報セキュリティ担当課室長等 殿
内閣官房 内閣サイバーセキュリティセンター
内閣参事官（基本戦略担当）
内閣参事官（政府機関総合対策担当）
内閣参事官（重要インフラ担当）

Twitter 利用におけるパスワード変更について（注意喚起）

米 Twitter 社より、利用者のパスワードが米 Twitter 社のシステムの内部ログに暗号化されないまま保存されていたため、パスワードの変更を求める発表がなされました。
ついては、情報発信等のため業務上で Twitter を用いている場合には、以下の対策を講じる
ようお願いいたします。
①Twitter で利用しているパスワードを変更すること。
②Twitter で利用しているパスワードと同じパスワードを使用している他の全てのシステムやサービスのパスワードを変更すること。
上記については、独立行政法人その他の所管する法人に周知するとともに、業界団体を通じて連絡する等により所管する産業界（重要インフラ事業者を含む。
）へも幅広く周知していただ
きますようお願いいたします。

（参考）○米 Twitter 公式アカウント（ブログ）
https://blog.twitter.com/official/en_us/topics/company/2018/keeping-youraccount-secure.html※

URL については廃止や変更されることがあります。最新のアドレスについては、御自身で御確認ください。

- 232 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－９ NISC 発出注意喚起文書及びサイバーセキュリティ対策推進会議決定等

２

サイバーセキュリティ対策推進会議(CISO 等連絡会議)の開催状況
No.

開催日

主な議事

第 14 回2018 年

・次期サイバーセキュリティ戦略骨子について４月３日

・政府機関等の情報セキュリティ対策のための統一基準群の見直しについて（骨子）・2018 年サイバーセキュリティ月間について
・「各府省庁セキュリティ・IT 人材の確保・育成計画」の実施状況
について
・「橋渡し人材のスキル認定の基準」について
・サイバーセキュリティ基本法の一部を改正する法律案について

第 15 回2018 年

・次期サイバーセキュリティ戦略（案）について

７月 23 日・サイバーセキュリティ 2018（案）について
・サイバーセキュリティ政策に係る年次報告（2017 年度）（案）について・サイバーセキュリティ関係施策に関する平成 31 年度予算重点化方
針（案）について
・政府機関等の情報セキュリティ対策のための統一基準群の改定（案）について・政府機関におけるセキュリティ・IT 人材の確保・育成について
・2018 年平昌オリンピック・パラリンピック競技大会における状況について

第 16 回2018 年
12 月 10 日・IT 調達に係る国の物品等又は役務の調達方針及び調達手続きに関する申合せ（案）について
・サイバーセキュリティ基本法の改正について- 233 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－10 政府機関等に係る 2018 年度の情報セキュリティ
インシデント一覧

別添３－10 政府機関等に係る 2018 年度の情報セキュリティ
インシデント一覧
年月(※1)

情報セキュリティインシデントの概要・対応等(※2)

種別2018 年 ４月 【概要】原子力規制委員会は３日、Web サイトで３月 20 日に公開した東北
電力女川原子力発電所の審査資料で、テロ等への悪用を避けるため空白とすべき構内図や写真を、４つのファイルで 57 ヶ所にわたってそのまま掲
意図せぬ載するミスがあったと公表した。
情報流出【対応等】Web サイトに情報を掲載する際のマスキングの有無の確認等を徹底し、再発防止を図る。
【概要】厚生労働省千葉労働局は４日、柏労働基準監督署において、郵便物に同封されていた医療機関で撮影されたレントゲン写真等の画像データが保存されている DVD-RW１枚を誤廃棄したことを公表した。
その他【対応等】個人情報の重要性の再認識と管理の徹底を指示し、郵便物の作業手順等の再発防止策の注意喚起等を行った。
【概要】京都教育大学は６日、同大学が提供する WWW メールサービスにおいて、１件のアカウントに対して学外から不正アクセスが行われ、当該ア 外 部 か ら
カウントから学外の約 36 万件のアドレス向けに迷惑メールが発信されたの攻撃ことを公表した。
【概要】原子力規制委員会は 11 日、Web サイトに掲載した資料について、
マスキングすべき情報が誤ってマスキング処理されないまま掲載されていたことと、当該資料を削除の上、改めてマスキング処理された資料を掲載し意図せぬたことを公表した。誤掲載した情報は、中部電力株式会社の印影及び担当者
情報流出
氏名（１名）であった。
【対応等】Web サイトに情報を掲載する際のマスキングの有無の確認等を徹底し、再発防止を図る。
【概要】地域医療機能推進機構相模野病院は 18 日、整形外科・泌尿器科手術の画像データを保存した外付けハードディスクを紛失したことを公表し その他
た。
６月 【概要】国立環境研究所は１日、国及び地方公共団体等職員の業務用メール
意図せぬアドレス（134 件）を誤って To 欄に入力してメールを送信したことを公表
情報流出した。
【概要】国立病院機構小諸高原病院は 12 日、患者５名分の個人情報を保存
その他
した USB メモリを紛失したことを公表した。
【概要】島根大学は 22 日、教職員１名が、海外出張中に宅配業者を騙った
フィッシングメールを受信し、本文に記載された Web サイトにアクセスしたところ、同大学が利用しているメールサービスのサインインページに類 外 部 か ら似した偽サイトが表示され、そこに入力したパスワードが詐取されたこと の攻撃により、教職員本人になりすまされ、外国から多量の迷惑メールの送信が行われたことを公表した。
【概要】弘前大学は 27 日、教職員に対して、同大学が利用しているメール
サービスのサインインページに類似した偽サイトへ誘導しパスワードを入力させるフィッシングメールが届いたところ、教職員 12 名がパスワードを 外 部 か ら
入力したことにより、これらのメールアドレスに届いた総計 3,151 通のメ の攻撃ールが外部へ不正に転送され、メールアドレスを含む個人情報が漏えいしたことを公表した。
【概要】明石高専は６日、教員が誤って学生情報が保管されているリンク先 意 図 せ ぬを記載したメールを送信したと公表した。
情報流出
７月 【概要】環境省は２日、（実在しない）同省職員のメールアドレスを詐称したメールが配信されており、当該メールにおけるマルウェアの検知・駆除の連絡を受けたことを公表した。
その他【対応等】環境省をかたった不審メールが送信されている状況と判断し、Web サイト上で注意喚起を実施した。
【概要】４日、経済産業省 Web サイトのコピーサイトが存在するとの情報がTwitter に掲載された。
その他【対応等】経済産業省は Web サイト上で注意喚起を実施した。

- 234 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－10 政府機関等に係る 2018 年度の情報セキュリティ
インシデント一覧

年月(※1)

情報セキュリティインシデントの概要・対応等(※2)

種別【概要】大阪大学は 27 日、基礎工学研究科・基礎工学部 Web サイトにおい 外 部 か らて、Web サイトが改ざんされたことが判明したと公表した。
の攻撃【概要】福島地方環境事務所は 30 日、入札を予定していた業務について、適切な入札の執行に支障を与える情報が当該事務所の Web サイトに誤って意図せぬ掲載されたことを公表した。
情報流出【対応等】同日、掲載されたファイルを削除し、同日 18 時頃、公告を一旦取り下げた。
８月 【概要】農畜産業振興機構は 17 日、元職員により、当機構が設置している委員会の委員数名の住所等の個人情報を含む、業務関連の内部情報が持ち 内部不正出されたことを２日に確認したと公表した。
９月 【概要】福島地方環境事務所は 21 日、環境再生プラザが企画しているイベ
ントの案内をスタッフが過去の同イベントに参加した者（64 アドレス、うち送信できたメールは 54 件）に対して BCC で送信する際、これらのアドレ
意図せぬスが記載された Excel ファイルを誤って添付して送信したと公表した。
情報流出【対応等】所長より環境再生プラザを運営する事業者に対して、個人情報管理の徹底や本事案に関する問題点の抽出およびその解決策を早急に出すよう指示した。
11 月 【概要】気象庁は８日、気象庁発表の警報等を装った迷惑メールが一般国民宛てに届いたことを公表した。
その他【対応等】同日、気象庁 Web サイトに注意喚起を掲載した。
【概要】兵庫教育大学は 17 日、事務職員が、出張先や自宅においても業務用のメールを確認できるよう、2016 年４月 1 日から大学のメールアドレス
宛てに届くメールをフリーメールへ自動転送しており、2018 年 10 月 26 日 意 図 せ ぬに当該職員のフリーメールに不正なアクセスを示すアラートが現れ、メー 情報流出
ルソフトのログイン履歴を確認したところ、第三者に閲覧されていた可能性があることが判明したと公表した。
【概要】森林研究・整備機構は 20 日、森林整備センター職員のメールアカ
外部からウントが盗用され、英文の迷惑メールが大量に送信されたことが判明したの攻撃と公表した。
【概要】日本貿易振興機構は 21 日、ジェトロ・バンコク事務所のサーバに外部からおいて、不正アクセスによりバックドアとみられるプログラムが設置されの攻撃ていたことが判明したと公表した。
【概要】厚生労働省大分労働局は 29 日、「医療労務管理支援事業」の受託事業者が就業規則等について宛先を誤って送信したと公表した。
意図せぬ【対応等】受託事業者に対し、個人情報の重要性等を周知徹底するよう指示
情報流出
するとともに、個人情報保護管理規定及び実施体制を整備するよう指示した。
【概要】消費者庁は 30 日、所管法令に基づく調査対象の２事業者に対し、電子メールを送信した際、本来送付すべきファイルとは異なるファイルを誤って添付したことにより、当該２事業者とは異なる他の事業者の情報が意図せぬ漏えいしたと公表した。
情報流出【対応等】職員に対し、改めて情報の適切な管理について周知徹底を図るよう指導を行うとともに、再発防止に向け外部への情報発信に係る管理の改善を図った。
【概要】国立病院機構相模原病院は 30 日、患者 61 名分の個人情報が保存
その他された外付けハードディスクを紛失したことを公表した。
12 月 【概要】環境省は４日、同省地球環境局地球温暖化対策課国民生活対策室が企画している２月に実施予定のイベントについて、委託事業者から再委託を受けた事業者が、案内の送付に先立ったテストメールを企業や団体 169 社（187 アドレス、うち送信できたメールは 183 件）に対して一斉送信する
意図せぬ
際、誤って BCC ではなく To で送信したと公表した。
情報流出【対応等】再委託者よりメール誤送信についてのお詫びとメールの削除をお願いする旨のメールを送信し、地球環境局地球温暖化対策課国民生活対策室長から委託事業者及び再委託を受けた事業者に対して、個人情報管理の徹底や本事案に関する原因の調査及びその解決策の提示を指示した。
【概要】新潟大学は６日、学生に対するフィッシングメールにより電子メー 外 部 か ら
ルアカウントのパスワードが窃取され、不正アクセスを受けたと公表した。 の攻撃- 235 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－10 政府機関等に係る 2018 年度の情報セキュリティ
インシデント一覧

年月(※1)

情報セキュリティインシデントの概要・対応等(※2)

種別【概要】国家公務員共済組合連合会は 12 日、舞鶴共済病院が、第三者から 外 部 か らの不正アクセスを受けたことにより、Web サイトを停止したと公表した。 の攻撃【概要】厚生労働省埼玉労働局は 18 日、平成 30 年度労働行政関係功労者
表彰式の開催について同局 Web サイトで公開した際、誤って被表彰者の個
人情報が掲載された資料を公開したと公表した。
意図せぬ【対応等】Web サイトへの掲載を行う際、資料に誤りがないか、掲載できな 情報流出
い個人情報等が含まれていないかを複数人で確認すること等を再発防止策として周知徹底した。
【概要】環境省は 25 日、過去に実施していた実証事業サイトについて、検索エンジンにおいて、検索範囲を同サイトに限定して通販関係のキーワー
ドを入力すると、検索結果の上位にインターネット通販情報が表示される 外 部 か らことを公表した。
の攻撃【対応等】同日中に実証事業サイトの運用管理者に対して閲覧停止及び原因調査を要請した。
【概要】厚生労働省広島労働局は 28 日、広島公共職業安定所において、求職者情報公開サービスにおける求職者情報を同局 Web サイトに掲載したところ、誤って求職者 97 名分の個人情報が記載された資料を掲載したことを
意図せぬ
公表した。
情報流出
【対応等】Web サイトへの掲載を行う際、資料に誤りがないか、掲載できな
い個人情報等が含まれていないか等を複数人で確認すること等を再発防止策として周知徹底した。
2019 年 １月 【概要】東京外国語大学は９日、職員に対して、メール保存制限の超過警告を装って偽のサインインページへ誘導しパスワードを入力させるフィッシ
ングメールが 12 月 17 日に届き、同日職員１名が ID とパスワードを入力し外部からたところ、窃取された ID とパスワードを使用して本人になりすました不正の攻撃なアクセスにより、12 月 18 日から 19 日にかけて約 24 万通の迷惑メールが送信されたこと、またその間、なりすましを行った者が個人情報を覗き見た可能性のあることが判明したことを公表した。
【概要】環境省は９日、COP24 会場内日本政府作業部屋に保管していた PC
及び USB メモリが無くなっており、盗難に遭ったと推測される旨を公表しその他た。なお、情報流出の有無については確認されていない。
【対応等】物品及びデータの適切な管理について改めて周知徹底した。
【概要】厚生労働省島根労働局は 25 日、MRI 画像を保存した CD-R を紛失したことを公表した。
その他【対応等】個人情報の適正な管理の徹底について指導するとともに、CD-R 等の適正な管理を徹底した。
【概要】厚生労働省山梨労働局は 31 日、若年者地域連携事業において、ある企業の説明会参加申込書を、誤って別の企業に電子メールで送信したこ
意図せぬとを公表した。
情報流出【対応等】全ての委託事業の受託事業者に対して、本事案の事実経過を周知するとともに、個人情報の適正な管理の徹底について指導した。
【概要】造幣局は 31 日、造幣局オンラインショップにおいて、システムの保守の際の作業ミスにより、１月 23 日から１月 28 日まで 66 名の顧客の個
意図せぬ
人情報（氏名、住所、電話番号、FAX 番号、購入履歴）が別の顧客の注文履
情報流出
歴に混入し、各顧客の注文履歴画面で閲覧可能な状態になっていたことを公表した。
２月 【概要】環境省広報室は 15 日、九州地方環境事務所において、情報公開法
第４条第１項に基づく行政文書の開示請求に基づき開示した文書について、非開示にすべき希少種の生息していた場所の情報や検討委員の電子メールアドレス等の個人情報が記載された形で文書を誤送付したことを公表 意 図 せ ぬした。
情報流出【対応等】情報開示文書を発送する際には、印刷された資料を担当部署及び公開担当部署のそれぞれで複数名により確認を行うとともに、封入時の最終確認をする等の体制の確保を行うこととした。
３月 【概要】国立精神・神経医療研究センターは６日、職員が約 25 名分の患者
その他の個人情報を記録したタブレット型端末を紛失したことを公表した。

- 236 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－10 政府機関等に係る 2018 年度の情報セキュリティ
インシデント一覧

年月(※1)

情報セキュリティインシデントの概要・対応等(※2)

種別【概要】厚生労働省長野労働局は 14 日、長野公共職業安定所において、「地
方人材還流促進事業」の利用者に対してメールを送信する際、１名のメール
意図せぬアドレスを誤って BCC ではなく To で送信したことを公表した。
情報流出【対応等】メール送信時に宛先の確認を徹底する等メールによる誤送信の防止策の再確認の指示を行った。
【概要】広島大学高等教育研究開発センターは 19 日、第三者からの不正ア
クセスにより Web サイトが改ざんされ、特定の検索サイトの検索結果画面 外 部 か らから情報調査室の Web サイトにアクセスした場合、外部の問題がある商業 の攻撃
サイトに転送される不正コードが組み込まれていたことを公表した。
【概要】地域医療機能推進機構うつのみや病院は 29 日、約 700 名の氏名、
年齢及び生年月日を含む健診データが保存された USB メモリを紛失したこ その他とを公表した。
※1 初めて報道又は公表された年月。
※2 情報セキュリティインシデントの概要については、報道内容・公表内容を元に記載。また、政府機関における情報セキュリティインシデントについては、公表内容を元に対応等を記載。

- 237 -

別添３ 政府機関等における情報セキュリティ対策に関する統一的な取組
別添３－11 政府のサイバーセキュリティ関係予算額の推移

別添３－11 政府のサイバーセキュリティ関係予算額の推移
2017 年度

2018 年度

2019 年度

当初予算額

598.9 億円

621.1 億円

712.9 億円

補正予算額

32.7 億円

21.0 億円－※サイバーセキュリティに関する予算として切り分けられないものは計上していない。
※補正には減額補正を含む。

単位：億円

補正予算

当初予算

800.0

21.0
600.0

32.7

400.0

598.9

621.1

2017年度

2018年度

712.9

200.0

0.0

- 238 -

2019年度別添４

重要インフラ事業者等における情報セキュリティ対策に関する取組等- 239 -

＜別添４－目次＞

別添４－１

第４次行動計画の概要 .................................... 241

別添４－２

重要インフラにおける取組の進捗状況 ...................... 246

別添４－３

安全基準等の継続的改善状況等の把握及び検証 .............. 263

別添４－４

安全基準等の浸透状況等に関する調査（アンケート調査） .... 271

別添４－５

安全基準等の浸透状況等に関する調査（往訪調査） .......... 309

別添４－６

情報共有件数 ............................................ 313

別添４－７

セプター概要 ............................................ 314

別添４－８

分野横断的演習 .......................................... 315

別添４－９

セプター訓練 ............................................ 318

別添４－10

補完調査 ................................................ 319- 240 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－１ 第４次行動計画の概要

別添４－１

第４次行動計画の概要「重要インフラの情報セキュリティに係る第４次行動計画」の概要

重要インフラの情報セキュリティ対策に係る第４次行動計画- 241 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－１ 第４次行動計画の概要

第４次行動計画の基本的考え方・要点「重要インフラ防護」の目的
重要インフラにおいて、機能保証の考え方を踏まえ、自然災害やサイバー攻撃等に起因する重要インフラサービス障害の発生を可能な限り減らすとともに、その発生時には迅速な復旧を図ることにより、国民生活や社会経済活動に重大な影響を及ぼすことなく、
重要インフラサービスの安全かつ持続的な提供を実現すること。

「基本的な考え方」
情報セキュリティ対策は、一義的には重要インフラ事業者等が自らの責任において実施するものである。
重要インフラ全体の機能保証の観点から、官民が一丸となった重要インフラ防護の取組を通じて国民の安心感の醸成を目指す。
• 重要インフラ事業者等は事業主体として、また社会的責任を負う立場としてそれぞれに対策を講じ、また継続的な改善に取り組む。
• 政府機関は、重要インフラ事業者等の情報セキュリティ対策に関する取組に対して必要な支援を行う。
• 取組に当たっては、個々の重要インフラ事業者等が単独で取り組む情報セキュリティ対策のみでは多様な脅威への対応に限界があることから、他の関係主体との連携をも充実させる。
各関係主体（重要インフラ事業者等、政府機関、情報セキュリティ関係機関等）の在り方• 自らの状況を正しく認識し、活動目標を主体的に策定するとともに、各々必要な取組の中で定期的に自らの対策・施策の進捗状況を確認する。また、他の関係主体の活動状況を把握し、相互に自主的に協力する。
• 重要インフラサービス障害の規模に応じて、情報に基づく対応の５Ｗ１Ｈを理解しており、重要インフラサービス障害の予兆及び発生に対し冷静に対処ができる。多様な関係主体間でのコミュニケーションが充実し、自主的な対応に加え、他の関係主体との連携、統制の取れた対応ができる。

重要インフラ事業者等の経営層の在り方

・情報セキュリティの確保は経営層が果たすべき責任であり、経営者自らがリーダーシップを発揮し、機能保証の観点から情報セキュリティ対策に取り組むこと。
・自社の取組が社会全体の発展にも寄与することを認識し、サプライチェーン（ビジネスパートナーや子会社、関連会社）を含めた情報セキュリ
ティ対策に取り組むこと。
・情報セキュリティに関してステークホルダーの信頼・安心感を醸成する観点から、平時における情報セキュリティ対策に対する姿勢やインシデント
発生時の対応に関する情報の開示等に取り組むこと。
・上記の各取組に必要な予算・体制・人材等の経営資源を継続的に確保し、リスクベースの考え方により適切に配分すること。

第４次行動計画 施策①：安全基準等の整備及び浸透- 242 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－１ 第４次行動計画の概要

第４次行動計画 施策②：情報共有体制の強化

第４次行動計画 施策③：障害対応体制の強化- 243 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－１ 第４次行動計画の概要

第４次行動計画 施策④：リスクマネジメント及び対処態勢の整備
重要インフラサービスの安全・持続的な提供に向けて、重要インフラ事業者等が実施するリスクマネジメント及びこれを踏まえた対処態勢整備を推進する。
現状の課題

リスクアセスメントの浸透

リスクアセスメントの重要性については認識が広まりつつあるが、その考え方や実施方法については十分に浸透していない。
重要インフラサービス障害が発生した際に備えた対処態勢整備の必要性が高まっているが、具体的な方向性・支援策等が示されていない。

・環境変化調査・相互依存性解析

対処態勢整備の推進

・機能保証の考え方を踏まえた事業継続計画及びコンティンジェンシープランの要点の整理・オリパラ大会に向けたインシデント情報共有等を担う組織体制の構築

リスクコミュニケーション及び協議の推進
・内部ステークホルダー間、関係主体間での情報・意見交換の機会の提供
モニタリング及びレビューの推進・重要インフラ事業者等が自主的に行う内部監査等の監査観点の整理

リスクコミュニケーション
及び協議の推進

機会の提供

リスクアセスメント（特定・分析・評価）

リスク対応（対処態勢の整備）

対処態勢整備の推進

事業継続計画及びコンティンジェンシープランに係る要点の整理

環境変化調査相互依存解析

重要インフラ事業者等によるリスクマネジメントの取組

新たなリスク源・リスク等に関する調査・分析

組織の状況の確定

新たなリスク源・リスク等に関する調査・分析

モニタリング及びレビュー

・オリパラ大会に向けたリスクアセスメントの実施推進
・機能保証の考え方に立脚したリスクアセスメントガイドライン等の整備・浸透

リスクコミュニケーション
及び協議（１）リスクマネジメントの標準的な考え方（２）リスクマネジメントの推進
リスクアセスメントの浸透ガイドライン等の整備・浸透

第４次行動計画に基づく取組

行動計画期間中の施策

オリパラ大会に向けた
リスクアセスメントの実施推進

モニタリング及びレビューの推進

監査観点の整理オリパラ大会に向けたインシデント情報共有等を担う組織体制の構築（３）本施策と他施策との相互反映プロセスの確立

第４次行動計画 施策⑤：防護基盤の強化- 244 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－１ 第４次行動計画の概要｢重要ｲﾝﾌﾗ事業者等による対策例｣と各対策に関連する｢政府機関等の施策例｣
Ｄｏ（実働）／検知・回復針共 通方抽出した課題に基づく
リスクアセスメント
基本方針の策定／見直し

Ｃｈｅｃｋ（確認）・Ａｃｔ（是正）／確認・課題抽出

情報セキュリティ対策の運用（監視・統括）情報セキュリティ対策の運用状況把握関係主体間による情報共有

BCP・コンティンジェンシープラン等の実行
重要インフラサービス障害対応
状況の対外説明

情報セキュリティ対策の運用を通じた課題抽出
内部監査・外部監査を通じた課題抽出ＩＴに係る環境変化の調査・分析
結果を通じた課題抽出
演習・訓練を通じた課題抽出

障害発生時

重要インフラサービス障害に対する防護・回復時

情報セキュリティ対策の運用（攻撃傾向の把握等）
情報セキュリティ対策状況の
対外説明

平

障害発生時

築

外部委託における対策

情報セキュリティ要件の明確化／変更情報セキュリティ対策（技術）に係る設計・実装／保守
情報セキュリティ対策（運用）に係る設計・手順書化／保守

時

制

人材育成・配置・ノウハウの蓄積

構体

予算・体制の確保

情報セキュリティ対策に係る
ロードマップの作成／見直し
情報セキュリティ対策計画の作成／見直し平

内規の策定／見直し（情報セキュリティポリシー等）
BCP・コンティンジェンシープラン等の策定／見直し情報の取扱いについての
規定化

計 画

規 定

重要インフ ラ 事業者等の対策例

Ｐｌａｎ（準備）／予防・抑止重要インフラサービス障害対応（検知・回復）を通じた課題抽出

安全基準等の整備及び浸透安全基準等の継続的改善（内閣官房／重要インフラ所管省庁）

政府機関等の施策例

安全基準等の浸透状況等に関する調査指針の継続的改善（内閣官房）

情報共有体制の強化（内閣官房／重要インフラ所管省庁）

障害対応体制の強化

官民の関係主体間の情報共有

分野横断的演習（内閣官房／重要インフラ所管省庁）（内閣官房／重要インフラ所管省庁）

セプター訓練（内閣官房／重要インフラ所管省庁）

重要インフラ所管省庁訓練（重要インフラ所管省庁）

リスクマネジメント及び対処態勢の整備
リスクコミュニケーション及び協議の推進（内閣官房／重要インフラ所管省庁）

ﾓﾆﾀﾘﾝｸﾞ及びﾚﾋﾞｭｰの推進

リスクアセスメントの浸透（内閣官房／重要インフラ所管省庁）（内閣官房／重要インフラ所管省庁）

対処態勢整備の推進

新たなリスク等の調査・分析（内閣官房／重要インフラ所管省庁）（内閣官房／重要インフラ所管省庁）

防護基盤の強化
防護範囲の見直し／広報広聴活動／国際連携／ｾｷｭﾘﾃｨ･ﾊﾞｲ･ﾃﾞｻﾞｲﾝの推進／経営層への働きかけ／人材育成等の推進／規程類の整備（内閣官房／重要インフラ所管省庁）- 245 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況

別添４－２

重要インフラにおける取組の進捗状況

本章では、「重要インフラの情報セキュリティ対策に係る第４次行動計画」（以下「第４次行動計画」という。
）に基づく取組について、2018年度の進捗状況の確認・検証結果を報告する。

１

重要インフラと第４次行動計画全体に関する取組(1)

第４次行動計画の概要

第４次行動計画は、「重要インフラのサイバーテロ対策に係る特別行動計画（2000年12月）」、「重要インフラの情報セキュリティ対策に係る行動計画（2005年12月）」、「重要インフラの情
報セキュリティ対策に係る第２次行動計画（2009年２月、2012年４月改定）」及び「重要イン
フラの情報セキュリティ対策に係る第３次行動計画（2014年５月、2015年５月改定）」に続いて、我が国の重要インフラの情報セキュリティ対策として位置付けたものであり、2017年４月にサイバーセキュリティ戦略本部で決定した。その後、2018年７月に、重要インフラ分野
として「空港分野」を追加する改定を実施している。
第４次行動計画においては、「安全基準等の整備及び浸透」、「情報共有体制の強化」、「障害対応体制の強化」、「リスクマネジメント及び対処態勢の整備」及び「防護基盤の強化」の５つの施策を掲げており、これらはいずれも重要インフラ事業者等による情報セキュリティ対策の効果を高めるため政府が支援を行うものである（参考：別添４－１）。施策ごとの取組の進捗状況については次節に示す。

(2)

取組の進捗状況

第４次行動計画は、第３次行動計画の基本的骨格（５つの施策）を維持しつつ、重要インフラを標的とするサイバー攻撃の状況やその背景としての社会環境・技術環境の変化を勘案し、策定したものである。この策定に当たっては、「重要インフラサービスの安全かつ持続的な提供の実現」を重要インフラ防護の目的の中で明確化したほか、重要インフラサービスに重点を置き、これまで「IT障害」としていた表記を「重要インフラサービス障害」とするな
ど、機能保証の考え方を踏まえたものとした。
2018年度は、2017年度に引き続き、同計画に従って機能保証の考え方に基づき、５つの施策それぞれについて取組を進めた。各施策の取組等の詳細は次節以降に示すが、過去最大規
模での分野横断的演習の開催、発生したサービス障害が国民社会に与えた影響全体の深刻さを事後に評価するための基準の初版の決定など、各種取組の着実な成果を得た。なお、第４次行動計画における施策の枠外の取組として、2017年度に引き続き、重要インフラサービス
障害等の事例についての現地調査である補完調査を実施した（参考：別添４－10）
。

(3)

今後の取組

引き続き、内閣官房と重要インフラ所管省庁等が一体となり、第４次行動計画に基づく取組を推進し、重要インフラ事業者等に対して必要な支援を実施する。

２

第４次行動計画の各施策における取組

本節においては、第４次行動計画における施策ごとの取組の進捗状況について示す。なお、
進捗状況の確認・検証は、第４次行動計画のⅤ.1.3及びⅤ.2.3に記載される各施策における目
標及び具体的な指標を踏まえたものである。

(1)

安全基準等の整備及び浸透
第４次行動計画における本施策の目標及び具体的な指標は次のとおりである。

- 246 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況＜目標＞
・情報セキュリティ対策に取り組む関係主体が、安全基準等によって自らなすべき必要な対策を理解し、各々が必要な取組を定期的な自己検証の下で着実に実践するという行動様式が確立されること＜具体的な指標＞
・安全基準等の浸透状況等の調査により把握したベースラインとなる情報セキュリティ対策に取り組んでいる重要インフラ事業者等の割合
・安全基準等の浸透状況等の調査により把握した先導的な情報セキュリティ対策に取り組んでいる重要インフラ事業者等の割合

ア

取組の進捗状況

安全基準等の整備及び浸透に関して、以下の取組を実施した。本取組の中で、重要インフラ事業者等における情報セキュリティ対策のPDCAサイクルとの整合性の確保、第４次行動計画の他施策との連携強化を図ることにより、情報セキュリティ対策の重要性を重要イ
ンフラ事業者等に訴求する仕組みを構築した。
○安全基準等策定指針の改定等
第４次行動計画を踏まえて考慮すべき情報セキュリティ対策の対策項目を例示することや、経営層の積極的な関与が期待される場面や関わり方等を明確化すること、サイバー攻撃への初動対応や事業継続のための復旧対応方針等を定める際に考慮すべき事項を整理することなどを柱とする指針の改定作業を進め、「重要インフラにおける情報セキュ
リティ確保に係る安全基準等策定指針（第５版）」をとりまとめ、2018年４月のサイバー
セキュリティ戦略本部において決定、公表を行った。
また、2019年１月の重要インフラ専門調査会において、自然災害の多発やサイバーセ
キュリティ戦略の改定、重要インフラ分野への空港分野の追加等、指針第５版とりまとめ後の環境変化を踏まえた指針の改定について方向性が承認された。
○安全基準等の改善状況調査
各重要インフラ分野における安全基準等の継続的な改善状況について調査した（参考：別添４－３）。各分野において安全基準等の改善の必要性について検討・確認し、2017年
度より４分野増加した８つの分野において安全基準等の改善を行ったほか、７の分野において改善に向けた分析・検証に着手している。なお、各分野における制度的な枠組みについては、経済産業省においてガス事業法施行規則を改定し、「ガス工作物の運転又は操作を管理する電子計算機に係るサイバーセキュリティの確保に関すること」をガス事
業法上の保安規制の一部として位置付ける取組があった。
○安全基準等の浸透状況等調査
重要インフラ事業者等における情報セキュリティ対策の状況について調査を実施した。
アンケート調査（参考：別添４－４）では、2,050件の回答が得られ、分析の結果、重要インフラ事業者等が「ベースラインとなる情報セキュリティ対策に取り組んでいる割合」
は2017年度と同様の約５割であった。また、重要インフラ事業者等が「先導的な情報セ
キュリティ対策に取り組んでいる割合」は2017年度の約２割から2018年度には約３割となった。良好な点として、ほぼ全ての事業者等で何らかの情報セキュリティ対策が取られていることから、セキュリティマインドが醸成されていること等が認められた。
また、往訪調査を実施し、情報セキュリティに係る体制や規程等について意見交換を行うとともに、政府への意見・要望の収集を実施し、良好事例及び課題を整理した（参考：別添４－５）
。

イ

今後の取組

2018年度の取組結果を活用しつつ、第４次行動計画に基づき、重要インフラ防護において分野横断的に必要な対策の指針及び各重要インフラ分野の安全基準等の継続的改善を推進するとともに、重要インフラ事業者等への安全基準等の浸透を図る。具体的には、「重要
インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」を改定した上で、同指針の普及・浸透を図るともに、重要インフラ所管省庁と連携し、制度的枠組みを必要に応じて適切に改善する取組を継続する。また、浸透状況等調査については、アン- 247 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況

ケートの回答が事業者等に資する内容となるよう、取組の充実を図る。

(2)

情報共有体制の強化
第４次行動計画における本施策の目標及び具体的な指標は次のとおりである。

＜目標＞
・最新の情報共有体制、情報連絡・情報提供に基づく情報共有及び各セプターの自主的な活動の充実強化
を通じて、重要インフラ事業者等が必要な情報を享受し活用できていること。
＜具体的な指標＞
・情報連絡・情報提供の件数
・各セプターのセプター構成員数

ア

取組の進捗状況

情報共有体制の強化として、以下の取組を実施した。こうした取組により、官民の各関係主体が協力する情報共有体制の維持・強化を推進するとともに、重要インフラ事業者等
による情報共有活動の活性化を図った。
○官民の情報共有体制
第４次行動計画に基づき、重要インフラ所管省庁と連携し、具体的な取扱手順にのっとって情報共有体制を運営した。また、2017年度に引き続き、重要インフラ所管省庁や重要インフラ事業者等に対し、関係会合の場などを通じて、小規模な障害情報や予兆・
ヒヤリハットも含めた情報共有の必要性について周知徹底に取り組んだ。その結果、重要インフラ事業者等から内閣官房に対して223件の情報連絡が行われ、内閣官房からは43件の情報提供を行っている（参考：別添４－６）。
表１：重要インフラ事業者等との情報共有件数
年度
重要インフラ事業者等から内閣官房への情報連絡件数
内閣官房からの情報提供件数

2014

2015

2016

2017

2018

124件

401件

856件

388件 223件

38件

44件

80件

54件

43件

重要インフラ事業者等におけるセキュリティ対策の取組（Web・メール等の無害化等）が進んだこと等により、情報連絡の件数は前年度に比べ減少しているものの、内閣官房からの情報提供件数も含め、情報共有件数は依然として多い状況である。
大規模重要インフラサービス障害対応時の情報共有体制における各関係主体の役割については、平時から大規模重要インフラサービス障害対応時への体制切替の手順について確認を行うとともに、大規模サイバー攻撃事態等対処訓練に参加し、内閣官房や関係省庁との連携要領、関係主体の役割の在り方及び同手順の実効性に関する検証を実施した。
○セプター及びセプターカウンシル
重要インフラ事業者等の情報共有等を担うセプターは、空港分野が追加となり、14分
野で19セプターが設置されている（参考：別添４－７）。各セプターは、分野内の情報共有のハブとなるだけではなく、分野横断的演習にも参加するなど、重要インフラ防護の関係主体間における情報連携の結節点としても機能している。また、一部の分野においては、ICT-ISAC、金融ISAC及び電力ISACの活発な活動など、自主的な分野内情報共有体制が確立されているほか、交通ISAC（仮称）の創設に向けた取組や、医療・水道分野における情報連携機能（ISAC）を検討するための調査などの取組も進んでいる。
セプター間の情報共有等を行うセプターカウンシルは、民間主体の独立した会議体であり、内閣官房はこの自主的取組を支援している。セプターカウンシルは、2018年４月の総会で決定した活動方針に基づき、2018年度に、運営委員会（４回）、相互理解WG（４- 248 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況回）、情報収集WG（４回）、総会準備WG（３回）を開催し、セプター間の情報共有や事例紹介等、情報セキュリティ対策の強化に資する情報収集や知見の共有、及び、更なる活動活性化に向けた要望の聞き取り、その実現に向けた情報分析機能の高度化に関する討議検討を行った。また情報共有活動である「Webサイト応答時間計測システム」及び「標的型攻撃に関する情報共有体制（C4TAP）」を通じて、情報共有活動の更なる充実を図っている。
○深刻度評価基準の策定に向けた取組
サイバーセキュリティ戦略本部において、重要インフラ専門調査会における調査審議を踏まえ、発生したサービス障害が国民社会に与えた影響全体の深刻さを事後に評価するための基準の初版を決定した。

イ

今後の取組

重要インフラを取り巻く急激な環境変化を的確に捉えた上で、情報セキュリティ対策への速やかな反映が必要であることを踏まえ、情報共有を容易にする環境整備（連絡形態の多様化、情報共有システムの整備）や共有情報の理解浸透（共有範囲の明確化）等、引き続き官民を挙げた情報共有体制の強化に取り組んでいく。
また、政府機関を含め、他の機関から独立した会議体であるセプターカウンシルについては、従来にも増して各セプターの主体的な判断に基づく情報共有活動を行うことが望まれる。更なるセプターカウンシルの自律的な運営体制とそれによる情報共有の活性化を目
指し、内閣官房は運営及び活動に対する支援を継続していく。

(3)

障害対応体制の強化
第４次行動計画における本施策の目標及び具体的な指標は次のとおりである。

＜目標＞
・分野横断的演習を中心とする演習・訓練への参加を通じて、重要インフラサービス障害発生時の早期復旧手順及び IT-BCP 等の検証
・関係主体間における情報共有・連絡の有効性の検証や技術面での対処能力の向上等＜具体的な指標＞
・分野横断的演習の参加事業者数・演習で得られた知見が所属する組織の情報セキュリティ対策に資すると評価した参加者の割合
・分野横断的演習を含め組織内外で実施する演習・訓練への参加状況

ア

取組の進捗状況

障害対応体制の強化として、以下の取組を実施した。こうした取組により、重要インフラサービス障害発生時の早期復旧手順及びIT-BCP等の検証や、関係主体間における情報共有の有効性の検証を可能にするとともに、技術面での対処能力の向上等を図った。
○分野横断的演習
第４次行動計画に基づく具体的な取組の方向性として「より実践的な演習機会の提供」、「自職場参加の推進」、「重要インフラ全体での防護能力の底上げ」及び「情報共有体制の実効性の向上」に取り組んだ（参考：別添４－８）。
2018年度からは、空港分野を加えた全14分野が演習に参加し、参加者数は3,077名に増加した。また、事後の意見交換会も実施し、分野間での情報共有を促進した。
表２ 分野横断的演習参加者数の推移
年度
参加者数

2015
1,168名2016
2,084名2017
2,647名2018
3,077名2018年度においては、重要インフラ全体での防護能力の底上げのため、募集の際に自職場参加について丁寧に説明したテキストブック等を添付することで、昨年度と比較し、自職場参加者が増加した（2017年度：63％→2018年度：75％）。

- 249 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況

また、演習当日における経営層参加については、参加者募集時や事前説明会における資料に加え、ベースシナリオの中でも経営層の参加を促したものの、その参加率は28%に留まっている。
なお、2017年度分野横断的演習参加者へのフォローアップ調査の結果から、演習で得られた知見が所属する組織の情報セキュリティ対策に資する（演習で得られた知見を踏
まえ改善を実施又は検討している）と評価した参加者の割合は82％となっている。一方で、安全基準等の浸透状況等調査の結果から、組織内外で実施する演習・訓練への参加
状況について、分野横断的演習を含む組織外で実施される演習・訓練への参加割合は61％、組織内で演習・訓練を実施している割合は29％に留まっている。
○セプター訓練
各重要インフラ分野における重要インフラ所管省庁及びセプターとの「縦」の情報共有体制の強化を通じた重要インフラ防護能力の維持・向上を目的に、情報共有体制における情報連絡・情報提供の手順に基づく訓練を実施した（参考：別添４－９）。
表３：参加セプター・参加事業者等数の推移
年度
参加セプター
参加事業者等

2015
18
1,658

2016
18
2,020

2017
18
2,106

2018
19
2,005

実施に当たっては、重要インフラ事業者等に内閣官房から提供する情報が届いているかを事業者等に確認（受信確認）する「往復」訓練をベースとし、実施日時を指定しない「抜き打ち訓練」の採用、通常の伝達手段が使用できないことを想定した代替手段の実効性の検証、自社における被害状況を確認の上、「被害あり」という仮定の下で、その旨を報告する方式の採用等、より実態に即した訓練を実施した。その結果、多くのセプ
ターで情報共有の体制や手段等で改善すべき点の明確化が図られ、本訓練の有用性が確認された。
○重要インフラ所管省庁等との連携
内閣官房が主催する分野横断的演習及びセプター訓練以外にも、重要インフラ事業者等を対象とした演習として、総務省においては、情報システム担当者等のサイバー攻撃への対処能力向上のため、実践的サイバー防御演習（CYDER）を実施した。また、金融庁
では金融業界全体のサイバーセキュリティの底上げを図ることを目的に、業界横断的なサイバーセキュリティ演習（Delta Wall Ⅲ）を実施した。これら演習と相互に連携・補完しつつ分野横断的演習等を実施することにより、効率的・効果的な重要インフラ防護能力の維持・向上を図った。

イ

今後の取組

第４次行動計画に基づき、分野横断的演習については、自職場参加の推奨等により演習未経験者の新規参加を促し、全国の重要インフラ事業者等の取組の裾野拡大を図るとともに、2020年東京オリンピック・パラリンピック競技大会に関わる重要インフラ事業者等が、大会開催時に想定されるより困難な脅威にも適切に対応できる状態に達することを目指す
取組を行う。また、引き続き、各重要インフラ分野及び重要インフラ事業者等内での演習実施についても促進していく。
セプター訓練については、引き続きその機会を有効に活用し、「往復」訓練をベースとし、実施日時を指定しない「抜き打ち訓練」の採用、通常の伝達手段が使用できないことを想定した代替手段の実効性の検証、自社における被害状況を確認の上、「被害あり」という仮定の下でその旨を報告する方式の採用等を実施する。

(4)

リスクマネジメント及び対処態勢の整備
第４次行動計画における本施策の目標及び具体的な指標は次のとおりである。
- 250 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況＜目標＞
・重要インフラ事業者等が実施するリスクマネジメントの推進・強化により、重要インフラ事業者等において、機能保証の考え方を踏まえたリスクアセスメントの浸透、新たなリスク源・リスクを勘案したリスクアセスメントの実施及び対処態勢の整備が図られた上、これらのプロセスを含むリスクマネジメン
トが継続的かつ有効に機能していること＜具体的な指標＞
・「機能保証に向けたリスクアセスメント・ガイドライン」の配付数（Web サイトに掲載する場合には、掲載ページの閲覧数）及びリスクアセスメントに関する説明会や講習会の参加者数
・内閣官房が実施した環境変化調査や相互依存性解析の実施件数
・セプターカウンシルや分野横断的演習等の関係主体間が情報交換を行うことができる機会の開催回数
・浸透状況調査結果が示す内閣官房の提示する要点を踏まえた対処態勢整備及び監査の実施件数

ア

取組の進捗状況

リスクマネジメントの推進に係る取組を以下のとおり実施した。これらの取組を通じて、重要インフラ事業者等におけるサイバー攻撃を想定したリスクマネジメント及び対処態勢整備に必要となる考え方や観点、具体的な作業手順等を整理するとともに、重要インフラ
事業者等への浸透を図った。
○リスクマネジメントに対する支援
内閣官房は、2020年東京オリンピック・パラリンピック競技大会の関連事業者等が継続的に実施しているリスクアセスメントの取組に利活用されるべく提供した「機能保証のためのリスクアセスメント・ガイドライン」をWebサイトへの掲載や説明会で配布することで浸透を図った。また、同ガイドラインを重要インフラ事業者等におけるリスクア
セスメントに利活用できるように一般化するとともに、内部監査等の観点を追加した「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書」をとりまとめ、2018年４月に公表した。さらに、重要インフラ事業者等への浸透を図るべく、重要インフラのセキュリティに関するカンファレンスや、ISACにおける勉強会、分野横断的演習の説明会などで同手引書に関する説明を実施するとともに、各重要インフラ所管省
庁へも説明を実施した。
なお、「機能保証のためのリスクアセスメント・ガイドライン」の配付数について、掲載されているWebサイトの閲覧数は257件、第３回説明会の参加者数は504人、第４回説明会の参加者数は515人となっている。
○対処態勢整備に対する支援
内閣官房は、個々の重要インフラ事業者等が、サイバー攻撃への初動対応や事業継続のための復旧対応の方針等を策定・改定する際に考慮すべき「サイバー攻撃リスクの特性」並びに「対応及び対策の考慮事項」について、「重要インフラにおける情報セキュリ
ティ確保に係る安全基準等策定指針（第５版）」に盛り込んだ。さらに、重要インフラ事
業者等への浸透を図るべく、重要インフラのセキュリティに関するカンファレンスや分野横断的演習の説明会等で、重要インフラ事業者等における機能保証の考え方を踏まえた事業継続計画及びコンティンジェンシープランに関する説明を実施した。
また、2017年12月に2020年オリンピック・パラリンピック東京大会関係府省庁連絡会
議セキュリティ幹事会において決定された「サイバーセキュリティ対処調整センターの構築等について」に基づき、大会のサイバーセキュリティに係る脅威・インシデント情報の共有等を担う中核的組織としてのサイバーセキュリティ対処調整センターを構築したほか、サイバーセキュリティ対処調整センターを含む、大会に向けたサイバーセキュ
リティ体制の運用方針等について、大会組織委員会、東京都等と協議の上、2020年オリンピック・パラリンピック東京大会関係府省庁連絡会議セキュリティ幹事会サイバーセ
キュリティWTにおいて決定した。
○リスクコミュニケーション及び協議に対する支援
内閣官房は、重要インフラ事業者等その他関係主体間のリスクコミュニケーション及び協議の機会の提供に取り組み、セプターカウンシルの活動（運営委員会（４回）、相互理解WG（４回）、情報収集WG（４回）、総会準備WG（３回））を支援したほか、分野横断的- 251 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況

演習に関しても、説明会、意見交換会、各重要インフラ分野が検討に参加する検討会（２回）及び拡大作業部会（１回）をそれぞれ開催した。また、2020年東京オリンピック・パ
ラリンピック競技大会に向けたリスクアセスメントの参加事業者等を対象に、説明会（25回）や情報交換会（６回）を開催し、大会に係るリスクコミュニケーション及び協議を
支援した。

イ

今後の取組

2018年度の取組の成果等を活用し、重要インフラ事業者等におけるリスクマネジメント
及び対処態勢整備の強化を促進するとともに、リスクマネジメントの取組を継続的かつ有効に機能させるべくモニタリング及びレビューの強化を推進していく。
また、セプターカウンシルや分野横断的演習等を通じて引き続き重要インフラ事業者等のリスクコミュニケーション及び協議の支援を行うとともに、経営層を含む内部ステーク
ホルダー相互間のリスクコミュニケーション及び協議の推進への支援を実施する。

(5)

防護基盤の強化第４次行動計画における本施策の目標及び具体的な指標は次のとおりである。

＜目標＞
・「防護範囲の見直し」については、環境変化及び重要インフラ分野内外の相互依存関係等を踏まえた防護範囲見直しの取組の継続及びそれぞれの事業者の状況に合わせた取組の推進
・「広報公聴活動」については、行動計画の枠組みについて国民や関係主体以外に理解が広まり、技術動向に合わせた適切な対応が行われていること
・「国際連携」については、二国間・地域間・多国間の枠組み等を通じた各国との情報交換の機会や支援・啓発の充実
・「規格・標準及び参照すべき規程類の整備」については、整備した規程類の重要インフラ事業者等における利活用＜具体的な指標＞
・Web サイト、ニュースレター及び講演会等による情報の発信回数
・往訪調査や勉強会・セミナー等による情報収集の回数
・二国間・地域間・多国間による意見交換等の回数・重要インフラ防護に資する手引書等の整備状況
・制御系機器・システムの第三者認証制度の拡充状況

ア

取組の進捗状況

防護基盤の強化として、以下の取組を実施した。こうした取組により、第４次行動計画の全体を支える共通基盤の強化が図られた。
○防護範囲の見直し
重要インフラ分野の追加（空港分野）、各セプターにおける中小事業者を含めたセプタ
ー構成員の拡大、民間事業者におけるICT-ISAC、金融ISAC及び電力ISACの活発な活動、
交通ISAC（仮称）の創設に向けた取組など、情報共有の輪を拡大・充実化する動きが生じており、情報共有等の活動に関する主体性・積極性の向上に着実な成果があったと認められる。
○広報広聴活動
内閣官房は、NISCのWebサイトにおいて、分野横断的演習やセプターカウンシルの開催について広報を行うとともに、重要インフラ専門調査会の会議資料等の掲載を通じ、第４次行動計画の進捗状況等を随時公表したほか、重要インフラ事業者等に対して、情報セキュリティに関する政府機関、情報セキュリティ関係機関、海外機関等の公表情報の紹介等を記載した重要インフラニュースレターを24回発行した。
また、重要インフラ防護に関する講演を14回実施し、第４次行動計画の考え方や取組状況について重要インフラ事業者等や海外等への周知を図った。
さらに、情報通信、航空、鉄道、物流、ガス及びクレジット分野の合計16事業者等を対象とした往訪調査の機会を活用し、第４次行動計画やその施策等について説明し、第４次行動計画への意見や内閣官房への要望についてヒアリング等を行った。
- 252 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況○国際連携
内閣官房は、重要インフラ所管省庁及び情報セキュリティ関係機関と連携し、国際的な情報セキュリティ対策の水準向上のためのキャパシティビルディング（能力向上）と各国の重要インフラ防護担当者とのFace-to-Faceの会合等による緊密な関係性の構築に向けた取組を実施した。
多国間では、2018年10月に韓国で開催されたMeridian会合において、日本のサイバー演習や2020年東京オリンピック・パラリンピック競技大会に向けた取組の紹介及び各国の取組等に関する意見交換を実施した。また、2018年12月に開催した分野横断的演習当日に合わせて海外機関を対象とした演習見学会を開催し、演習概要の説明及び各国のサイバー演習の取組に関する情報交換を実施した。加えて、国際的な情報共有の枠組みであるIWWNを利用して、サイバー攻撃や脆弱性対応についての情報を継続的に共有している。
地域間では、2019年１月にASEAN研修員向けの「ASEAN地域のサイバーセキュリティ対策強化のための政策能力向上」研修において、日本における重要インフラ防護の取組について講演した。
二国間では、日仏サイバー協議における意見交換や、日米間や日豪間における政府間協議等を行った。また、2018年４月に開催された米国サイバー演習の視察に合わせ、サイバー演習について米国と意見交換を実施したほか、2019年１月には仏国サイバー演習を視察するとともに、サイバー演習や重要インフラ防護施策について意見交換を実施した。
○経営層への働きかけ
内閣官房において、「記述情報の開示に関する原則」の公表（金融庁）、「経営ガイドライン」の普及活動、産業サイバーセキュリティ研究会の活動（経済産業省）のほか、IPA（中小企業向けのサービス）等の取組について、第４次行動計画の関連施策の改善を実施するための参考とするとともに、関連施策を通して経営層への働きかけを実施した。
○人材育成等の推進
内閣官房は、「サイバーセキュリティ人材育成取組方針」（2018 年６月サイバーセキュ
リティ戦略本部報告）に基づく取組を推進した。重要インフラ事業者等については、情報セキュリティ人材の育成カリキュラム等による組織内の人材教育について、各関連施策を通じて普及啓発を行った。
○規格・標準及び参照すべき規程類の整備
内閣官房は、国内外で策定される重要インフラ防護に関係する規格について情報を収集するとともに、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」を作成するに当たって関連する規格を整理し、指針に反映した。
また、重要インフラ防護に係る関係主体におけるナレッジベースの平準化を目的に、関係主体が共通に参照するサイバーセキュリティ戦略、第４次行動計画等の各関連文書を合本した「重要インフラ防護に係る規程集」を更新し、配布した。
制御系機器・システムの第三者認証制度については、経済産業省において、CSSCを通じて、国内外の制御システムセキュリティ認証事業の動向を把握し、今後の評価認証の方向性について検討を実施した。

イ

今後の取組

防護範囲の見直しについては、引き続き見直しの取組及びそれぞれの事業者等の状況に合わせた取組の推進を実施する。
広報広聴活動については、Webサイト、重要インフラニュースレター及び講演等を通じ、行動計画の取組を広く認識・理解し得るよう引き続き努めるとともに、より効果的な広報チャネルについても検討を進める。また、往訪調査や勉強会・セミナー等を通じた各重要
インフラ分野の状況把握や技術動向等の情報収集に努め、随時施策に反映させる。

- 253 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況

国際連携については、引き続き、重要インフラ所管省庁や情報セキュリティ関係機関と連携して、欧米・ASEANやMeridian等の二国間・地域間・多国間の枠組みを積極的に活用して我が国の取組を発信することなどにより、継続的に国際連携の強化を図る。また、海外から得られた我が国における重要インフラ防護能力の強化に資する情報について、関係主
体への積極的な提供を図る。
経営層への働きかけについては、引き続き内閣官房及び重要インフラ所管省庁が連携し、重要インフラ事業者等の経営層に対して情報セキュリティに関する意識を高めるように働きかけを行うとともに、そのような働きかけを通して知見を得て、重要インフラ防護施策
を実態に即した実効的なものとする。
人材育成等の推進については、引き続き「サイバーセキュリティ人材育成取組方針」を踏まえ、重要インフラ事業者等の重要サービス等を防御するセキュリティ人材の育成カリ
キュラム等について普及啓発を行う。
規格・標準及び参照すべき規程類の整備については、引き続き、各関連文書を合本し、「重要インフラ防護に係る規程集」として発行する。また、重要インフラ防護に係る関連規格について、適切な版を必要なときに参照できるようにするため、他の関係主体との協力の下、国内外で策定される関連規格について調査を行った上で整理し、その結果を明示する。

- 254 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況

３

第４次行動計画における各施策の取組内容

第４次行動計画 IV 章記載事項
1. 内閣官房の施策(1) 「安全基準等の整備及び浸透」に関する施策①本行動計画で掲げられた各施策の推進に資す
るよう、指針の改定を実施し、その結果を公
表。

取組内容

第４次行動計画を踏まえて考慮すべき情報セキュリティ対策の対策項目を例示することや、経営層の積極的な関与が期待される場面や関わり方等を明確化すること、サイバー攻撃への初動対応や事業継続のための復旧対応の方針等を定める際の考慮すべき事項を整理すること等を柱とする指針の改定を行い、2018 年４月のサイバーセキュリティ戦略本部において決定、公表を行った。

②必要に応じて社会動向の変化及び新たに得た知見に係る検討を実施し、その結果を公表。

2019 年 1 月の重要インフラ専門調査会において、自然災害の多発やサイバ
ーセキュリティ戦略の改定、重要インフラ分野への空港分野の追加等の環境変化を踏まえた指針の改定について、方向性が承認された。

③上記①、②を通じて、各重要インフラ分野の安全基準等の継続的改善を支援。

2018 年４月に決定した指針（第５版）の説明を重要インフラ所管省庁やセプター等に対して行うとともに、指針の更なる改定に関して重要インフラ
所管省庁やセプター等に背景や方針の説明を行うことなどを通じて、安全基準等の継続的改善を支援した。

④重要インフラ所管省庁の協力を得つつ、毎年、各重要インフラ分野における安全基準等の継続的改善の状況を把握するための調査を実施
し、結果を公表。加えて、所管省庁とともに、安全等を維持する観点から必要に応じて、情報
セキュリティ対策を関係法令等の保安規制として位置付けることや、機能保証の観点から適切な情報セキュリティ対策を実施できるようサービス維持レベルを関係法令等において具体化することなど、制度的枠組みを適切に改善する取組を継続的に進める。
⑤重要インフラ所管省庁及び重要インフラ事業者等の協力を得つつ、毎年、安全基準等の浸透状況等の調査を実施し、結果を公表。

重要インフラ所管省庁の協力を得て、各重要インフラ分野の安全基準等の分析・検証及び改訂等の実施状況並びに今後の実施予定等の把握を実施（2018 年 12 月～2019 年３月）し、「2018 年度 重要インフラにおける安全基準等の継続的改善状況等の調査」を 2019 年４月に公表した。

⑥安全基準等の浸透状況等の調査結果を、本
行動計画の各施策の改善に活用。

安全基準等の浸透状況等の調査結果をもとに、各施策の改善事項の検討を実施した。

(2) 「情報共有体制の強化」に関する施策① 平時及び大規模重要インフラサービス障害対応時における情報共有体制の運営及び必要に応じた見直し。

平時から大規模重要インフラサービス障害対応時への情報共有体制の切替えについて、第４次行動計画に基づいた手順を確認し、訓練により手順の有効性について検証を実施した。

各重要インフラ分野における制度的枠組みの現状の把握に努めた。

重要インフラ所管省庁の協力を得て、各重要インフラ分野における安全基
準等の整備状況、情報セキュリティ対策の実施状況等についての調査（2018 年６月～12 月）及び事業者等への往訪による調査（2018 年１月～
12 月）を実施し、「2018 年度 重要インフラにおける『安全基準等の浸透状況等に関する調査』について」を 2019 年４月に公表した。

② 重要インフラ事業者等に提供すべき情報の集約及び適時適切な情報提供。

実施細目に基づき、重要インフラ所管省庁等や情報セキュリティ関係機関
等から情報連絡を受け、また内閣官房として得られた情報について必要に応じて、重要インフラ所管省庁を通じて事業者等及び情報セキュリティ関係機関へ情報提供を行った。（2018 年度 情報連絡 230 件、情報提供 43件）③ 国内外のインシデントに係る情報収集や分析、インシデント対応の支援等にあたっている
情報セキュリティ関係機関との協力。

・内閣官房とパートナーシップを締結している情報セキュリティ関係機関と情報を共有し、重要インフラ事業者等への情報提供を行った。また、同機
関が分析した情報の横展開を行った。さらに、同機関を始めとした情報セ
キュリティ関係機関と定期的に会合を設け、意見交換を行い、連携強化を図った。

④ サイバーセキュリティ基本法に規定された勧告等の仕組みを適切に運用。

サイバーセキュリティ基本法に規定された勧告等の仕組みを適切に運用するため、考え方の整理について引き続き検討した。

⑤ 重要インフラサービス障害に係る情報及び脅威情報を分野横断的に集約する仕組みの構築を進め、運用に必要となる資源を確保。
⑥ 重要インフラ所管省庁の協力を得つつ、各セプターの機能、活動状況等を把握するための定期的な調査・ヒアリング等の実施、先導的なセプター活動の紹介。
⑦ 情報共有に必要となる環境の提供を通じたセプター事務局や重要インフラ事業等への支援の実施。

重要インフラサービス障害に係る情報及び脅威情報を分野横断的に収集する仕組みを構築し、収集した情報をとりまとめた。
重要インフラ所管省庁の協力を得て、2018 年度末時点の各セプターの特性、活動状況を把握するとともに、セプター特性把握マップについては、
定期的に公表した。
セプター事務局や重要インフラ事業者等との情報共有に関し、情報共有体
制の更なる改善に向けた検討を実施した。

- 255 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況⑧ セプターカウンシルに参加するセプターと連携し、セプターカウンシルの運営及び活動に対する支援の実施。

セプターカウンシルの意思決定を行う総会、総合的な企画調整を行う運営委員会及び個別のテーマについての検討・意見交換等を行う WG について、それぞれの企画・運営の支援を通じて、セプターカウンシル活動の更なる活性化を図った。（2018 年度のセプターカウンシル会合の回数は延べ 16回）⑨ セプターカウンシルの活動の強化及びノウハ
ウの蓄積や共有のために必要な環境の整備。

セプターカウンシルの活動の強化及びノウハウの蓄積や共有のために必
要な環境の構築に向けた検討を実施した。

⑩ 必要に応じてサイバー空間関連事業者との連携を個別に構築し、ＩＴ障害発生時に適時適切な情報提供を実施。
⑪ 新たに情報共有範囲の対象となる重要インフ
ラ分野内外の事業者に対する適時適切な情報提供の実施。

サイバー空間関連事業者との間での情報提供に関し、検討を行った。

(3) 「障害対応体制の強化」に関する施策① 他省庁の重要インフラサービス障害対応の演習・訓練の情報を把握し、連携の在り方を検討。

新たに情報共有範囲の対象となった重要インフラ分野内外の事業者に対し、情報提供や重要インフラニュースレターによる注意喚起等を適時適切に実施した。
重要インフラ所管省庁が実施する障害対応の演習・訓練について、相互に参加する等により最新の状況を把握した。
分野横断的演習の企画・実施に際しては、他の演習・訓練における目的・特徴等を踏まえ、十分な効果が得られるよう差別化を図った。

② 重要インフラ所管省庁の協力を得つつ、定期
的及びセプターの求めに応じて、セプターの情報疎通機能の確認（セプター訓練）等の機会を提供。

実施日時を予め明らかにしない方式の採用、通常の連絡手段が使用不可能な状況下における代替手段の使用可能性の確認、訓練参加者が単純に受信確認するだけではなく自社の被害状況をセプター事務局や重要インフラ所管省庁へ報告を行うなど、より実態に即した訓練を 14 分野 19 セプター
を対象に実施した。

③ 分野横断的演習のシナリオ、実施方法、検証
課題等を企画し、分野横断的演習を実施。

重要インフラ全体の防護能力の維持・向上を図る観点から、「より実践的な演習機会の提供」、「自職場参加の推進」、「重要インフラ全体での防護能力の底上げ」、「情報共有体制の実効性の向上」に重点をおきつつ、分野横断的演習を実施した。2018 年度は、3,077 名が演習に参加した。

④ 分野横断的演習の改善策検討。

分野横断的演習が全ての重要インフラ分野を対象としていることを考慮するとともに、最新のサイバー情勢、攻撃トレンドを踏まえつつ演習の構成・内容について検討した。また、シナリオ作成に際しては、2020 年東京
オリンピック・パラリンピック競技大会を見据えた情報共有体制の確認やレピュテーションリスクにおける視点にも留意した。
事前説明会において、個別シナリオ作成における事業継続計画及びコンティンジェンシープランの重要性について説明を実施するとともに、経営層による演習参加の重要性を明確にするよう、改善を図った。

⑤ 分野横断的演習の機会を活用して、リスク分
析の成果の検証並びに重要インフラ事業者等が任意に行う重要インフラサービス障害発生時の早期復旧手順及び IT-BCP 等の検討の状況把握等を実施し、その成果を演習参加者等に提供。

2017 年度分野横断的演習の事後調査により、演習に参加して得られた気づきを踏まえた改善状況等（リスク分析の成果の検証状況、復旧手順及び ITBCP 等の検討の状況）を把握し、その分析結果を踏まえた 2018 年度分野横断的演習の企画・運営について検討した。また、効果的な取組を進めていると評価される参加事業者等について、ヒアリング等を通じて具体的な取組内容を把握し、グッドプラクティスとしてまとめ、他の演習参加者等に提供した。
演習実施前に、演習の検証課題を提示すること等により、演習参加効果を向上させるための取組を実施した。また、演習参加により抽出された課題・問題点等を明確にした。
演習において、重要インフラ障害の発生に係るシナリオを取り入れ、参加事業者等が各社の早期復旧手順や IT-BCP 等の有効性や実効性を確認する
機会を提供した。
事後の意見交換会として、討議事項にセキュリティに関する対策や課題、顔の見える関係等に関する意見交換を含む機会を提供した。

⑥ 分野横断的演習の実施方法等に関する知見の集約・蓄積・提供（仮想演習環境の構築
等）。

演習の概要、目的等を整理し、「テキストブック」として参加事業者等のサブコントローラー向け、プレイヤー向け及びセプター事務局向けそれぞれの版を作成し、参加事業者等、セプター事務局及び重要インフラ所管省
庁に提供した。
自組織の環境に即したシナリオを作成するとともに、プレイヤーの行動について指導・評価を行う「サブコントローラー」が果たすべき役割を整理し、参加事業者等に分かりやすく提示した。
個別の重要インフラ事業者等による演習実施の支援に資することを目的に、仮想的な演習環境の構築を進めた。

⑦ 分野横断的演習で得られた重要インフラ防護に関する知見の普及・展開。

重要インフラ全体の防護能力の維持・向上に資するべく、分野横断的演習の結果得られた知見・成果などを集約し、対外的に明確化した資料を作成し展開した。

- 256 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況⑧ 職務・役職横断的な全社的に行う演習シナリ
オの実施による人材育成の推進。

複数の職務や役職を対象とし、全社的な演習実施にも対応したシナリオを作成し、参加事業者等における重要インフラ防護における人材育成の強化・充実に寄与する演習を実施した。

(4) 「リスクマネジメント及び対処態勢の整備」に関する施策① オリパラ大会に係るリスクアセスメントに関す2020 年東京オリンピック・パラリンピック競技大会の関連事業者等に対して、機能保証の考え方を踏まえたリスクアセスメントの実施手順を記載しる次の事項
た「機能保証のためのリスクアセスメント・ガイドライン」を 2016 年度にア．当該リスクアセスメントの実施主体への「機整備・公表している。
能保証に向けたリスクアセスメント・ガイドライン」の提供。
2018 年度は、「機能保証のためのリスクアセスメント・ガイドライン」のイ．リスクアセスメントに関する説明会や講習会
内容を踏まえ、「2020 年東京オリンピック・パラリンピック競技大会に向の主催又は共催。
けたリスクアセスメントの取組」に係る説明会（25 回）及び情報交換会（６回）を開催するなど、2020 年東京オリンピック・パラリンピック競技大会の開催・運営を支える重要サービスを提供する事業者等（268 組織）のリ
スクマネジメントを促進する取組を行った。
② 重要インフラ事業者等における平時のリスク
アセスメントへの利活用のための「機能保証に向けたリスクアセスメント・ガイドライン」の一般化及び「重要インフラにおける情報セキュリティ対策の優先順位付けに係る手引書」の必要に応じた改善。

2020 年東京オリンピック・パラリンピック競技大会の関連事業者等が継続的に実施しているリスクアセスメントの取組に利活用されるべく提供した「機能保証のためのリスクアセスメント・ガイドライン」を、重要インフラ事業者等におけるリスクアセスメントに利活用できるように一般化するとともに、内部監査等の観点を追加した「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書」をとりまとめ、2018 年４月に公表している。なお「重要インフラにおける情報セキュリティ対策の優先順位付けに係る手引書」は本手引書に統合する形となっている。

③ 本施策における調査・分析の結果を重要インフラ事業者等におけるリスクアセスメントの実
施や安全基準の整備等に反映する参考資料として提供。

安全基準の整備等に関わる新たなリスク源について、安全基準等策定指針
等の改定に向けて整理したほか、新たなリスク源に関するヒアリング等を実施することで、社会状況を反映したより実態に近い各重要インフラ分野
におけるサービス維持に関する状況等の把握を行った。

④ 本施策における調査・分析の結果を本行動計画の他施策に反映する参考資料として利活用。

新たなリスク源に関するヒアリング等を実施することで、社会状況を反映したより実態に近い各分野におけるサービス維持に関する状況等の把握を行い、他施策の内容検討に繋げた。

⑤ 重要インフラ事業者等が取り組む内部ステー
クホルダー相互間のリスクコミュニケーション
及び協議の推進への必要に応じた支援。

2018 年４月に公表した「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」及び「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書」の中で内部ステークホルダ
ー間のコミュニケーションの重要性について記載を行い、経営層と実務者間、関連部門間等におけるコミュニケーションを推進した。
2020 年東京オリンピック・パラリンピック競技大会に向けたリスクアセス
メントの参加事業者等を対象に、説明会や情報交換会等を開催し、有識者による講演やリスクアセスメントの演習等を通じて重要インフラ事業者
等の内部におけるリスクコミュニケーションに資する情報の提供を行った。

⑥ セプターカウンシル及び分野横断的演習等を通じて重要インフラ事業者等のリスクコミュニ
ケーション及び協議の支援。

重要インフラ事業者等その他関係主体間のリスクコミュニケーション及び協議の機会の提供に取り組み、セプターカウンシルの活動を支援したほか、分野横断的演習に関しても、説明会や意見交換会等のほか、各重要イ
ンフラ分野が検討に参加する検討会（２回）及び拡大作業部会（１回）をそれぞれ開催した。

⑦ 機能保証の考え方を踏まえて事業継続計画
及びコンティンジェンシープランに盛り込まれるべき要点やこれらの実行性の検証に係る観点等を整理し、重要インフラ事業者等に提示するなどの支援。

個々の重要インフラ事業者等が、サイバー攻撃への初動対応や事業継続のための復旧対応の方針等を策定・改定する際に考慮すべき、「サイバー攻撃リスクの特性」並びに「対応及び対策の考慮事項」について、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」に盛り込み、2018 年４月に公表している。
事業継続計画及びコンティンジェンシープランの実行性の検証に係る観点をとりまとめ、分野横断的演習のテキストブックに掲載するとともに、演習事前説明会で重要インフラ事業者等に、これらの観点を踏まえた課題
抽出と改善の重要性について説明を行った。

- 257 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況⑧ オリパラ大会も見据えた各関係主体におけるインシデント情報の共有等を担う中核的な組織体制の構築。

2017 年 12 月にセキュリティ幹事会において決定された「サイバーセキュ
リティ対処調整センターの構築等について」に基づき、大会のサイバーセ
キュリティに係る脅威・インシデント情報の共有等を担う中核的組織としてのサイバーセキュリティ対処調整センターを構築した。また、サイバー
セキュリティ対処調整センターを含む、2020 年東京オリンピック・パラリ
ンピック競技大会に向けたサイバーセキュリティ体制の運用方針等について、大会組織委員会、東京都等と協議の上、決定した。

⑨ リスクマネジメント及び対処態勢における監査の観点の整理及び重要インフラ事業者等への提供。

リスクマネジメントにおける内部監査の観点を、「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書」に記載し、2018 年４月に公表している。

(5) 「防護基盤の強化」に関する施策① 機能保証のための「面としての防護」を念頭に、サプライチェーンを含めた防護範囲見直しの取組を継続するとともに、関係府省庁（重要
インフラ所管省庁に限らない）の取組に対する協力・提案を継続。

防護範囲見直し及び情報共有範囲の拡充を推進した。これにより、重要イ
ンフラ分野の追加（空港分野）、各セプターにおける中小事業者を含めたセプター構成員の拡大、民間事業者における ISAC の活発な活動など、情報共有の輪を拡大・充実化する動きが生じており、情報共有等の活動に関する主体性・積極性の向上が図られた。

② Web サイト、ニュースレター及び講演会を通じた広報を実施。

NISC 重要インフラニュースレターを 24 回発行し、注意喚起情報の掲載のほか、政府機関、関係機関、海外機関等の情報セキュリティに関する公表
情報の紹介等の広報を行った。第４次行動計画の実行に当たり、セプターや重要インフラ事業者等に加え海外の重要インフラ関係者に対し、第４次行動計画やその施策等について計 14 回講演を行った。

③ 往訪調査や勉強会・セミナー等を通じた広聴を実施。

往訪調査等を通じて、第４次行動計画やその施策等について説明を行うとともに、第４次行動計画への意見や NISC への要望についてヒアリング等を行った。

④ 二国間・地域間・多国間の枠組みの積極的な活用を通じた国際連携の強化。

各国とのサイバーセキュリティに関する意見交換等の二国間会合、ASEAN
研究員向けサイバーセキュリティ対策強化のための政策能力向上研修に
お ける講演 、海外 機関を対 象と した分野 横断的 演習見学 会の 開催 、Meridian 会合や IWWN での情報交換等の地域間・多国間における取組を通じて、相互理解の基盤を強化した。

⑤ 国際連携で得た事例、ベストプラクティス等を国内の関係主体に積極的に提供。

米国サイバー演習の視察及び意見交換を通じて得た知見を踏まえ、国内での有識者・業界関係者等との議論・検討を行い、分野横断的演習内容の改善を行った。

⑥ 重要インフラ所管省庁と連携し、重要インフラ
事業者等の経営層に対し働きかけを行うとともに、知見を得て、本行動計画の各施策の改善に活用。

「記述情報の開示に関する原則」の公表（金融庁）、「経営ガイドライン」の普及活動、産業サイバーセキュリティ研究会の活動（経済産業省）のほ
か、IPA（中小企業向けのサービス）等の取組について、本行動計画の関連
施策の改善を実施するための参考とするとともに、関連施策を通して経営層への働きかけを実施した。

⑦ 重要インフラ防護に係る関係主体におけるナレッジベースの平準化を目的に、関係主体が共通に参照する関連文書を合本し、規程集を発行。
⑧ 関連規格を整理、可視化。

重要インフラ関係者が共通に参照する関連文書について、サイバーセキュ
リティ戦略、行動計画等の各関連文書を合本した「重要インフラ防護に係る規程集」を更新、配布した。

⑨ 重要インフラ事業者等に対する第三者認証
制度の認証を受けた製品活用の働きかけ。

第三者認証制度について、第４次行動計画における取組内容の検討を行い、第三者認証を受けた製品の活用を推進していくこととしており、重要インフラ事業等に対する働きかけに向け、メーカーとの意見交換等を通じた状況把握を実施した。

国内外で策定される重要インフラ防護に関係する規格について情報を収集するとともに、「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）」を作成するに当たって関連する規格を整理し、指針に反映した。

2. 重要インフラ所管省庁の施策(1) 「安全基準等の整備及び浸透」に関する施策① 指針として新たに位置付けることが可能な安全基準等に関する情報等を内閣官房に提供。

経済産業省において、「サイバーセキュリティリスクに対応するための仕組みの構築」や、委託先の組織としての活用の把握等の留意点が記載されている「サイバーセキュリティ経営ガイドライン」の普及啓発を行った。

- 258 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況② 自らが安全基準等の策定主体である場合
は、定期的に、安全基準等の分析・検証を実施することに加えて、必要に応じて安全基準等の改定を実施。さらに、安全等を維持する観点から必要に応じて、情報セキュリティ対策を関係法令等の保安規制として位置付けることや、機能保証の観点から適切な情報セキュリティ対策を実施できるようサービス維持レベルを関係法令等において具体化することなど、制度的枠組みを適切に改善する取組を内閣官房とともに継続的に進める。

総務省において、「自治体情報セキュリティ対策検討チームの報告（2015年 11 月）」を踏まえた地方公共団体におけるセキュリティ対策の抜本的強化への取組や、「政府機関の情報セキュリティ対策のための統一基準」の改定等を踏まえ、2018 年９月に「地方公共団体における情報セキュリティポ
リシーに関するガイドライン」等を改定した。また、2017 年度に発生した電気通信事故の原因及び対応策等について分析・評価を行い、その結果や有識者からの意見を踏まえ、「情報通信ネットワーク安全・信頼性基準」等について、2019 年３月に改定した。
厚生労働省において、2019 年３月に「水道分野における情報セキュリティ
ガイドライン（第４版）」を策定した。
国土交通省において、国土交通省所管の重要インフラ分野（航空、空港、
鉄道、物流）における「情報セキュリティ確保に係る安全ガイドライン」の改訂を行い、事業者への周知・浸透を図るとともに、国土交通省のウェブサイトに掲載した。
金融庁及び経済産業省については、自らが安全基準等の策定主体とはなっていない。
制度的枠組みを適切に改善する取組として、経済産業省においてガス事業
法施行規則を改定し、「ガス工作物の運転又は操作を管理する電子計算機に係るサイバーセキュリティの確保に関すること」をガス事業法上の保安規制の一部として位置付けた。

③ 重要インフラ分野ごとの安全基準等の分析・検証を支援。

重要インフラ所管省庁は、各重要インフラ分野における検証等に寄与するため、所管のガイドライン等を改定若しくは改定の検討を行った。

④ 重要インフラ事業者等に対して、対策を実装するための環境整備を含む安全基準等の浸透に向けた取組を実施。

厚生労働省において、「医療情報システムの安全管理に関するガイドライン」及び「水道分野における情報セキュリティガイドライン」について、
ツイッター等を活用した普及活動を実施した。また、2018 年 10 月に「医療情報システムの安全管理に関するガイドライン」の周知徹底等に関して都道府県等に対し通知した。

⑤ 毎年、内閣官房が実施する安全基準等の継続的改善の状況把握に協力。

重要インフラ所管省庁は、内閣官房が実施した安全基準等の継続的改善状
況等の調査について、所管の各重要インフラ分野における現状を把握した上で、調査の回答を行った。

⑥ 毎年、内閣官房が実施する安全基準等の浸透状況等の調査に協力。

重要インフラ所管省庁は、内閣官房が実施した安全基準等の浸透状況等の調査について、所管の各重要インフラ分野に協力を求め、2,050 者から回答を得た。なお、浸透状況等の調査として、金融庁では「金融機関等のシステムに関する動向及び安全対策実施状況調査」を通じて、所管の各重要
インフラ事業者等への調査を実施した。

(2) 「情報共有体制の強化」に関する施策① 内閣官房と連携し、平時及び大規模重要イン
フラサービス障害対応時における情報共有体制の運用。
② 重要インフラ事業者等との緊密な情報共有体制の維持と必要に応じた見直し。

重要インフラ所管省庁及び内閣官房において相互に窓口を明らかにし、重要インフラ事業者等から情報連絡のあったＩＴの不具合等の情報を内閣官房を通じて共有するとともに、内閣官房から情報提供のあった攻撃情報をセプターや重要インフラ事業者等に提供する情報共有体制を運用した。
重要インフラ所管省庁において、①の情報共有体制の運用と併せて、重要インフラ事業者等と緊密な情報共有体制を維持した。また、重要インフラ
所管省庁内のとりまとめ担当部局と各重要インフラ分野を所管する部局との間においても円滑な情報共有が行えるよう体制を維持している。
厚生労働省においては、2018 年 10 月に「医療情報システムの安全管理に関するガイドライン」の周知徹底等に関して都道府県等に対して通知した。また、医療・水道分野における情報連携機能（ISAC）を検討するための調査等を行った。
国土交通省において、2018 年４月から重要インフラ事業者（航空、鉄道、物流）が情報共有・分析及び対策を連携して行う体制である「交通 ISAC」（仮称）の仮運用が開始されたことから、事業者が参加する検討会を開催
し、交通 ISAC の本格運用に向けて情報共有・知見共有の仕組みや運営形
態等を検討・議論した。また、2018 年７月に重要インフラ分野に追加された空港分野の事業者に対し、交通 ISAC への参加を促した。

③ 重要インフラ事業者等からのシステムの不具合等に関する情報の内閣官房への確実な連絡。

重要インフラ所管省庁は、重要インフラ事業者等からのＩＴ障害等に係る報告があった際に、事案の大小や重要インフラサービスの事案であるか否かに関わらず、速やかに内閣官房へ情報連絡を行った。

④ 内閣官房が実施する各セプターの機能や活動状況を把握するための調査・ヒアリング等への協力。
⑤ セプターの機能充実への支援。

重要インフラ所管省庁は、セプターの活動状況把握のための調査など多くの調査・ヒアリングに協力した。
重要インフラ所管省庁において、セプター活動推進のため、内閣官房が実施する各種施策に関して必要に応じてセプター事務局との連絡調整等を行った。

- 259 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況⑥ セプターカウンシルへの支援。

重要インフラ所管省庁は、セプターカウンシル総会及び幹事会にオブザーバーとして出席した。
2018 年４月 24 日に医療セプターを代表し、公益社団法人日本医師会がセプターカウンシルに加入した。
国土交通省において、2018 年７月に重要インフラ分野に追加された空港分
野がセプターカウンシルに加入するよう、事業者と調整中である。

⑦ セプターカウンシル等からの要望があった場
合、意見交換等を実施。

重要インフラ所管省庁は、セプターカウンシル総会及び幹事会にオブザーバーとして出席した。

⑧ セプター事務局や重要インフラ事業者等における情報共有に関する活動への協力

厚生労働省において、医療分野におけるセプター構成員の拡充に関して支援を行った。また、IPA の情報収集・分析・共有の仕組み（J-CSIP）に加入するよう調整を行い、医療分野は、2018 年５月、水道分野は 2018 年 11月に加入した。
国土交通省において、2018 年７月に重要インフラ分野に追加された空港分
野が IPA の情報収集・分析・共有の仕組み（J-CSIP）に加入するよう、事業者と調整し、2018 年 11 月に加入した。

(3) 「障害対応体制の強化」に関する施策① 内閣官房が情報疎通機能の確認（セプター訓練）等の機会を提供する場合の協力。

重要インフラ所管省庁を通じた情報共有体制の確認として、2018 年８月から 10 月までの間に、全 19 セプターに対するセプター訓練を実施した。

② 分野横断的演習のシナリオ、実施方法、検証
課題等の企画、分野横断的演習の実施への協力。

重要インフラ所管省庁は、2018 年度分野横断的演習検討会、拡大作業部会等に出席し、演習を実施する上での方法や検証課題等についての検討を行った。

③ 分野横断的演習への参加。

重要インフラ所管省庁からは、内閣官房との情報共有窓口を担当している
職員や重要インフラ分野の所管部局職員などが、2018 年 12 月に実施された分野横断的演習に参加した。

④ セプター及び重要インフラ事業者等の分野横断的演習への参加を支援。

重要インフラ所管省庁において、セプター及び重要インフラ事業者等に対して 2018 年度分野横断的演習への参加を促し、全体で過去最多の 3,077
名の参加者を得た。

⑤ 分野横断的演習の改善策検討への協力。

重要インフラ所管省庁は、2018 年度分野横断的演習の事後調査に回答するとともに、演習における対応記録を作成し翌年度以降の改善策の検討材料として内閣官房へ提出した。また、翌年度以降も視野に入れた課題、方向性についての議論を行う検討会に出席した。

⑥ 必要に応じて、分野横断的演習成果を施策へ活用。

重要インフラ所管省庁において、分野横断的演習への参加を通じて、重要インフラ事業者等及びセプターとの間の情報共有が、より迅速かつ円滑に行えるようになるとともに、情報共有の重要性について再認識できた。

⑦ 分野横断的演習と重要インフラ所管省庁が実施する重要インフラ防護に資する演習・訓練との相互の連携への協力。

重要インフラ事業者等を対象とした演習として、総務省においては、情報システム担当者等のサイバー攻撃への対処能力向上のため、実践的サイバ
ー防御演習「CYDER」を実施した。また、金融庁では金融業界全体のサイバーセキュリティの底上げを図ることを目的に、金融業界横断的なサイバー
セキュリティ演習（Delta Wall Ⅲ）を実施した。

(4) 「リスクマネジメント及び対処態勢の整備」に関する施策① オリパラ大会に係るリスクアセスメントの実施
重要インフラ所管省庁において、内閣官房と連携し、オリパラ大会に係るリスクアセスメントの取組を実施した。
に際し、内閣官房、重要インフラ事業者等その他関係主体が実施する取組への協力。
② 内閣官房により一般化された「機能保証に向重要インフラ所管省庁において、内閣官房が作成した「重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書」の浸透状況をけたリスクアセスメント・ガイドライン」及び改善把握するための調査に協力した。
された「重要インフラにおける情報セキュリティ対策の優先順位付けに係る手引書」の重要イ
ンフラ事業者等への展開その他リスクアセスメ
ントの浸透に資する内閣官房への必要な協力。
③ 本施策における調査・分析に関し、当該調重要インフラ所管省庁から、重要インフラ分野に関するＩＴ障害等の情報提供や環境変化などの動向など、必要な情報を内閣官房に提供した。
査・分析の対象に関する情報及び当該調査・分析に必要な情報の内閣官房への提供等の協力。また、重要インフラ所管省庁が行う調査・分析が本施策における調査分析と関連する場合には、必要に応じて内閣官房と連携。
④ 本施策における調査・分析の施策へ活用。
「ＥＵ諸国及び米国における情報共有体制に関する調査」については、重要インフラ所管省庁において、情報共有体制の強化に係る施策を検討するに当たっての基礎資料として活用されている。

- 260 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況⑤ 重要インフラ事業者等のリスクコミュニケーシ
ョン及び協議の支援。

重要インフラ所管省庁において、重要インフラ事業者等の情報セキュリテ
ィ担当者との意見交換を図るとともに、分野横断的演習やセプターカウン
シルの開催・運営に対して必要な協力を行っている。
2020 年東京オリンピック・パラリンピック競技大会に向けたリスクアセス
メントの参加事業者等を対象とした説明会、意見交換会等の開催に協力することにより、重要インフラ事業者等間のリスクコミュニケーション及び協議を支援した。

⑥ 重要インフラ事業者等が実施する対処態勢の整備並びにモニタリング及びレビューの必要に応じた支援。

金融庁において、諸外国における「脅威ベースのペネトレーションテスト」の手法や海外金融機関の活用状況を把握するための外部委託調査を実施
し、2018 年５月に「諸外国の「脅威ベースのペネトレーションテスト
（TLPT）」に関する報告書」を公表した。また、大規模な金融機関に対し、
サイバーセキュリティ対策の一層の高度化を図るため、「脅威ベースのペネトレーションテスト」の活用を促した。
厚生労働省において、2018 年度に策定した「水道分野における情報セキュ
リティガイドライン（第４版）」において、コンティンジェンシープランを位置付けた。

(5) 「防護基盤の強化」に関する施策① 内閣官房と連携し、二国間・地域間・多国間の枠組みの積極的な活用を通じた国際連携の強化。

総務省及び経済産業省を中心として、日・ASEAN サイバーセキュリティ政策会議等をはじめとした会合の開催等を行うなどにより国際連携の強化を図った。

② 内閣官房と連携し、国際連携にて得た事例、
ベストプラクティス等を国内の関係主体に積極的に提供。
③ 内閣官房と連携し、重要インフラ事業者等の経営層に対し働きかけを行う。

総務省及び経済産業省を中心として、国際連携にて得た知見を、講演等を通じて国内の関係主体に提供した。

④ 内閣官房と連携し、関連規格を整理、可視化。

重要インフラ所管省庁は、内閣官房と連携し、国内外で策定される重要イ
ンフラ防護に関係する規格について、情報を収集した。

⑤ 機能保証のための「面としての防護」を確保するための取組を継続。

厚生労働省において、医療分野におけるセプター構成員の拡充に関して支援を行った。

厚生労働省において、2018 年度に策定した「水道分野における情報セキュ
リティガイドライン（第４版）」において、経営層が果たすべき役割を位置付けた。

国土交通省において、重要インフラ分野に空港分野が追加となるよう調整
する（2018 年７月 25 日に重要インフラ分野に追加）とともに、空港セプ
ターに新たに参加する事業者についてセプター事務局と検討・調整を行った。
⑥ 情報セキュリティに係る演習や教育等により、情報セキュリティ人材の育成を支援。

重要インフラ所管省庁は、分野横断的演習等に参加し、情報セキュリティ
人材の育成を支援した。
総務省において、国立研究開発法人情報通信研究機構（NICT）を通じ、実践的サイバー防御演習「CYDER」を実施した。

⑦ 重要インフラ事業者等に対する第三者認証
制度の認証を受けた製品活用の働きかけ。

経済産業省において、制御系機器・システムの第三者認証制度について、
CSSC を通じ、国内外の制御システムセキュリティ認証事業の動向を把握し、今後の評価認証の方向性について検討を実施した。

3. 情報セキュリティ関係省庁の施策(1) 「情報共有体制の強化」に関する施策① 内閣官房と連携し、平時及び大規模重要イン
フラサービス障害対応時における情報共有体制の運用。
② 攻撃手法及び復旧手法に関する情報等の収集及び内閣官房への情報連絡。
③ セプターカウンシル等からの要望があった場
合、意見交換等を実施。

情報セキュリティ関係省庁及び内閣官房において、相互に情報共有窓口を明らかにすることにより、情報共有体制の運用を行った。
情報セキュリティ関係省庁から、標的型メール攻撃に利用された添付ファ
イルや URL リンク情報等について内閣官房に情報連絡を実施した。
重要インフラ所管省庁において、セプターカウンシル総会及び幹事会にオ
ブザーバーとして出席した。

4. 事案対処省庁及び防災関係府省庁の施策(1) 「情報共有体制の強化」に関する施策① 内閣官房と連携し、平時及び大規模重要イン
フラサービス障害対応時における情報共有体制の運用。
② 被災情報、テロ関連情報等の収集。

2018 年度において大規模重要インフラサービス障害に該当する事案は発生していないが、事案対処省庁等は、大規模サイバー攻撃事態等対処訓練に参加し、当該障害への対応を想定して内閣官房等との情報共有体制を運用した。
「サイバー攻撃特別捜査隊」を中心として、各都道府県警察においてサイバー攻撃に関する情報の収集及び整理並びに犯罪の予防及び捜査を推進するための体制を強化した。
警察庁のインターネット・オシントセンターにおいて、インターネット上に公開されたテロ等関連情報の収集・分析を行った。

- 261 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－２ 重要インフラにおける取組の進捗状況③ 内閣官房に対して、必要に応じて情報連絡の実施。

事案対処省庁及び防災関係府省庁は、内閣官房と必要に応じて情報共有を実施した。

④ セプターカウンシル等からの要望があった場
合、意見交換等を実施。

警察庁及び都道府県警察において、重要インフラ事業者等の意向を尊重しつつ、重要インフラ事業者等への個別訪問を行い、各事業者等の特性に応じた情報提供を実施したほか、最新のサイバー攻撃に関する講演やデモン
ストレーション、事案発生を想定した共同対処訓練の実施やサイバーテロ対策協議会を通じた事業者等間の情報共有により、サイバーテロ発生時における緊急対処能力の向上を図った。
警察庁において、収集・分析したサイバー攻撃に係る情報をウェブサイト、
メーリングリスト、サイバーテロ対策協議会等を通じて重要インフラ事業者等に提供し、サイバー攻撃対策の強化に資する注意喚起を行った。

(2) 「障害対応体制の強化」に関する施策① 分野横断的演習のシナリオ、実施方法、検証
課題等の企画、分野横断的演習の実施への協力。

事案対処省庁は、2018 年度分野横断的演習検討会及び拡大作業部会にオブザーバーとして出席するとともに、当該検討会等においては、シナリオ、
実施方法、検証課題等についての検討が行われた。

② 分野横断的演習の改善策検討への協力。

事案対処省庁は、2018 年度分野横断的演習検討会及び拡大作業部会にオブザーバーとして出席するとともに、当該検討会等においては、演習の総括、次年度に向けた課題等についての検討が行われた。

③ 必要に応じて、分野横断的演習と事案対処
省庁及び防災関係府省庁が実施する重要インフラ防護に資する演習・訓練との相互の連携への協力。

分野横断的演習と重要インフラ防護に資するそれ以外の演習・訓練を相互に視察し、演習・訓練担当者間の連携強化に努めた。

④ 重要インフラ事業者等からの要望があった場
合、重要インフラサービス障害対応能力を高めるための支援策を実施。

警察庁及び都道府県警察において、重要インフラ事業者等の意向を尊重しつつ、重要インフラ事業者等への個別訪問を行い、各事業者等の特性に応じた情報提供を実施したほか、最新のサイバー攻撃に関する講演やデモン
ストレーション、事案発生を想定した共同対処訓練の実施やサイバーテロ対策協議会を通じた事業者等間の情報共有により、サイバーテロ発生時における緊急対処能力の向上を図った。

都道府県警察において、関係主体とも連携しつつ、サイバー攻撃の発生を想定した重要インフラ事業者等との共同対処訓練を実施した。

警察庁において、収集・分析したサイバー攻撃に係る情報をウェブサイト、
メーリングリスト、サイバーテロ対策協議会等を通じて重要インフラ事業者等に提供し、サイバー攻撃対策の強化に資する注意喚起を行った。

- 262 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－３ 安全基準等の継続的改善状況等の把握及び検証

別添４－３

安全基準等の継続的改善状況等の把握及び検証
調査の目的

調査対象一覧
分野

情報通信

金融

安全基準等名称

電気通信

情報通信ネットワーク安全･信頼性基準
電気通信分野における情報セキュリティ確保に係る安全基準（第４版）
電気通信事業法／電気通信事業法施行規則／事業用電気通信設備規則

放送

放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン
放送設備サイバー攻撃対策ガイドライン

ケーブル

ケーブルテレビの情報セキュリティ確保に係る「安全基準等」策定ガイドライン＜初版＞

銀行等
生命保険
損害保険
証券

金融機関等におけるセキュリティポリシー策定のための手引書
金融機関等コンピュータシステムの安全対策基準・解説書 第9版
金融機関等におけるコンティンジェンシープラン策定のための手引書

航空

航空運送事業者における情報セキュリティ確保に係る安全ガイドライン（第４版）

空港

空港分野における情報セキュリティ確保に係る安全ガイドライン（第１版）

鉄道

鉄道分野における情報セキュリティ確保に係る安全ガイドライン（第３版）

電力

電力制御システムセキュリティガイドライン
電気設備の技術基準の解釈
電気事業法施行規則第５０条第２項の解釈適用に当たっての考え方
スマートメーターシステムセキュリティガイドライン

ガス

製造・供給に係る制御系システムのセキュリティ対策ガイドライン

政府・行政サービス

地方公共団体における情報セキュリティポリシーに関するガイドライン

医療

医療情報システムの安全管理に関するガイドライン（第５版）

水道

水道分野における情報セキュリティガイドライン

物流

物流分野における情報セキュリティ確保に係る安全ガイドライン（第３版）

化学

石油化学分野における情報セキュリティ確保に係る安全基準

クレジット

クレジットCEPTOARにおける情報セキュリティガイドライン

石油

石油分野における情報セキュリティ確保に係る安全ガイドライン
調査対象数：24件- 263 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－３ 安全基準等の継続的改善状況等の把握及び検証

調査結果一覧
分野

2018年度内の取組状況

安全基準等名称

分析・検証

改定

電気通信

情報通信ネットワーク安全･信頼性基準
電気通信分野における情報セキュリティ確保に係る安全基準（第４版）
電気通信事業法／電気通信事業法施行規則／事業用電気通信設備規則

実施した
実施した
実施中

実施した
実施した
実施していない

放送

放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン
放送設備サイバー攻撃対策ガイドライン

実施していない
実施していない

実施していない
実施していない

ケーブル

ケーブルテレビの情報セキュリティ確保に係る「安全基準等」策定ガイドライン＜初版＞

実施した

実施していない

銀行等
生命保険
損害保険
証券

金融機関等におけるセキュリティポリシー策定のための手引書
金融機関等コンピュータシステムの安全対策基準・解説書 第9版
金融機関等におけるコンティンジェンシープラン策定のための手引書

実施していない
実施した
実施していない

実施していない
実施していない
実施していない

航空

航空分野における情報セキュリティ確保に係る安全ガイドライン（第５版）

実施した

実施した

空港

空港分野における情報セキュリティ確保に係る安全ガイドライン（第２版）

実施した

実施した

鉄道

鉄道分野における情報セキュリティ確保に係る安全ガイドライン（第４版）

実施した

実施した

電力

電力制御システムセキュリティガイドライン
電気設備の技術基準の解釈
電気事業法施行規則第５０条第２項の解釈適用に当たっての考え方
スマートメーターシステムセキュリティガイドライン

実施中
実施していない
実施していない
実施中

実施していない
実施していない
実施していない
実施していない

ガス

製造・供給に係る制御系システムのセキュリティ対策ガイドライン

実施中

実施していない

政府・行政サービス

地方公共団体における情報セキュリティポリシーに関するガイドライン

実施した

実施した

医療

医療情報システムの安全管理に関するガイドライン（第５版）

実施していない

実施していない

水道

水道分野における情報セキュリティガイドライン

実施した

実施した

物流

物流分野における情報セキュリティ確保に係る安全ガイドライン（第４版）

実施した

実施した

化学

石油化学分野における情報セキュリティ確保に係る安全基準

実施した

実施中

クレジット

クレジットCEPTOARにおける情報セキュリティガイドライン

実施した

実施した

石油

石油分野における情報セキュリティ確保に係る安全ガイドライン

実施した

情報
通信

金融

実施中

調査対象数：24件

安全基準等の継続的改善状況（概要)○安全基準等の継続的改善における2018年度の取組状況及び改定状況については以下のとおり。
分析・検証後、改定を実施済：9件

分析・検証後、改定を実施中：2件分析・検証を実施中：5件（上記以外に昨年度に改定不要と判断したため、今年度は分析・検証を実施しなかった等が8件）○安全基準等の分析・検証を行うに至った主な契機は以下のとおり。
• 指針の改定• ITに係る環境変化の調査・分析からの課題発見• 定期的に検証することとしている（上記以外にも、 ユーザからの要望やIoTの普及や仮想化技術の進展などネットワークの環境変化に対応等もあった。）○重要インフラの情報セキュリティ対策に係る第４次行動計画と指針に記載されている「機能保証の考え方」、「経営層の在り方」、「制御系セキュリティ」について、下記のことが考えられる。
• 指針の改訂に伴い、第5版で新たに記載された「機能保証の考え方」等の内容を踏まえた安全基準等の改善が見受けられ、
リスクアセスメントの取組が一歩進んだ。
• 経営層の積極的関与や在り方についての記載が充実化されている安全基準等も存在し、経営層に対するアプローチの重要性が認識されてきていることが認められる。
• OT（制御系）とIT（情報系）を含めた内容の記載のある安全基準等もあることから、制御系を含めた意識醸成がされ始めていることが確認できる。

- 264 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－３ 安全基準等の継続的改善状況等の把握及び検証

安全基準等の継続的改善状況（詳細 1/12)
情報通信（電気通信）

情報通信（電気通信）

名称

情報通信ネットワーク安全･信頼性基準

電気通信分野における情報セキュリティ確保に係る安全基準（第４版）

発行主体等

総務省

一般社団法人電気通信事業者協会

最新改定／新規作成年月

2015年4月

2018年10月

分析検証の実施状況

2018年度中に実施済

2018年度に実施済

分析検証の実施契機

その他状況の変化等（平成29年８月にGoogleを起因とする大規模なイ
ンターネット障害が発生したことを踏まえ、その対象について分析・検証を実施。）

安全基準等策定指針の改定（第5版への改定） / ITに係る環境変化の調査・分析からの課題発見 / サイバー攻撃動向を受けて分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2017年12月～2018年９月（２）情報通信審議会 情報通信技術分科会 IPネットワーク設備委員会（３）同委員会は、近年のIoTの普及に伴う通信ネットワークの高度化や利用形態の多様化を踏まえ、「IoTの普及に対応した電気通信設備に係る技術的条件」について検討（合計８回）。同委員会の検討結果について、情報通信審議会情報通信技術分科会で審議が行われ、一部答申を受けたため、改定を行うことが正式決定。

（１）2018年4月～2019年3月（２）一般社団法人電気通信事業者協会 安全・信頼性協議会 安全基
準検討ワーキンググループ（３）同ワーキンググループで分析・検証し、改定が必要な場合は同WGで改定案を作成・検討し、策定する。

改定の実施状況2018年度中に実施済

2018年度に実施済

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2019年３月（２）総務省総合通信基盤局電気通信事業部電気通信技術システム課安全・信頼性対策室（３）2018年12月下旬から１か月間、改定案について意見募集を実施
し、その結果に基づき、2019年３月末までに改定を実施する予定。

（１）2018年10月（２）一般社団法人電気通信事業者協会 安全・信頼性協議会 安全基
準検討ワーキンググループ（３）同ワーキンググループで改定案を作成・検討し、策定。

大規模インターネット障害に関し、事業者等に推奨する対策の追加

主として、NISC指針第5版で記載されたリスクアセスメントのうち、「機能保証の考え方」を踏まえた継続的な改善に取り組む必要性、経営層の積極的な関与・在り方についての記載充実化・明確化、「サイバー攻撃リスクの特性」「対策の考慮事項」の整理、OT(制御系)含めた
CSIRTの構築や人材育成、の4点を反映した。

分析・検証状況

分野

改定状況

改定内容

記載項目を包括的に確認し、 はい（第5版の記載項目、第4版の記載項目）
安全基準等に必要な項目を漏れなく記載していますか
独自記載項目はい（第5版の記載項目、第4版の記載項目）なし

ISO/IEC27001:・27002:2013の要素を取り入れるとともに、
ISO/IEC27017:2015（クラウドサービスのための実践規範）を取り入れた。

安全基準等の継続的改善状況（詳細 2/12）
分野

情報通信（電気通信）

情報通信（放送）名称

事業用電気通信設備規則※電気通信事業法、電気通信事業法施行規則は改定なし

放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策定ガイドライン

発行主体等

総務省

放送セプター（日本放送協会（NHK）、一般社団法人日本民間放送連
盟）

最新改定／新規作成年月

2015年11月27日

2016年10月

実施中

2018年度に実施予定なし(理由：放送設備サイバー攻撃対策ガイドラインの現場への浸透を進めているため、本ガイドラインの分析・検証は2019年度以降に実施予定)

分析検証の実施状況
分析・検証状況
改定状況

その他状況の変化等（IoTの普及や仮想化技術の進展などネットワークの環境変化に対応して、設備の維持・管理に求められる知識、能力の確保の在り方や将来にわたっての人材の確保・育成の方策等について検討する必要があるため。）

ー

分析検証の実施契機

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2018年10月～（２）情報通信審議会（情報通信技術分科会ＩＰネットワーク設備委員会）（３）2019年5～6月頃に一部答申を予定。

ー

改定の実施状況ーー

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

ー

ー

ー

ー

改定内容

記載項目を包括的に確認し、 いいえ（本件は、事業用電気通信設備の技術基準に特化した内容である
安全基準等に必要な項目をため）漏れなく記載していますか

はい（第4版の記載項目）

独自記載項目なし

なし- 265 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－３ 安全基準等の継続的改善状況等の把握及び検証

安全基準等の継続的改善状況（詳細 3/12)
分野

情報通信（放送）

情報通信（ケーブルテレビ）

名称

放送設備サイバー攻撃対策ガイドライン

ケーブルテレビの情報セキュリティ確保に係る「安全基準等」策定ガイ
ドライン＜初版＞

発行主体等一般社団法人ICT-ISAC放送設備サイバー攻撃対策ＷＧ

一般社団法人日本ケーブルテレビ連盟（通信・放送制度委員会）

最新改定／新規作成年月2018年6月

2012年11月

2018年度に実施予定なし（理由：2018年6月に作成）

2018年度に実施済

分析検証の実施状況

分析・検証状況

分析検証の実施契機
分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ
改定の実施状況

改定状況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れー

定期的に検証することとしているー（１）毎年4～5月（２）通信・放送制度委員会（３）通信・放送制度委員会配下のセキュリティWGにて改訂の必要性を検討→通信・放送制度委員会で承認を行う。

ー

実施不要と判断（理由：既存内容を確認した結果、大きな変更は必要ないと判断し、次回は2019年度に検討を行うと判断した。

ー

ー

ー

ー

改定内容

いいえ（本ドキュメントは、放送設備のサイバー攻撃の対策に特化して記載項目を包括的に確認し、 おり、該当部分のみを参照した）
安全基準等に必要な項目を漏れなく記載していますか

いいえ（各ケーブルテレビ事業者に対して災害や事業環境変化による経営危機に備えるために経営戦略と連動したBCPの策定を促進させている。
本ガイドラインは業界におけるセキュリティ対策の留意点をまとめたものであり、BCPの一部として位置付けている。）

独自記載項目なし

なし

安全基準等の継続的改善状況（詳細 4/12）
分野

金融

金融

名称

金融機関等におけるセキュリティポリシー策定のための手引書

金融機関等コンピュータシステムの安全対策基準・解説書 第9版

発行主体等

公益財団法人 金融情報システムセンター（FISC）

公益財団法人 金融情報システムセンター（FISC）

最新改定／新規作成年月2008年６月

2018年3月

2018年度に実施予定なし（理由：次年度以降に改訂の要否含め検討予定）2018年度中に実施済

分析検証の実施状況

分析・検証状況

分析検証の実施契機

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ
改定の実施状況

改定状況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

ー

ITに係る環境変化の調査・分析からの課題発見ー（１）2018年7月～2019年3月（２）安全対策専門委員会、安全対策に関する検討部会（３）金融機関、ＩＴベンダー等から構成される安全対策専門委員会等を2018年12月から開催し、会員意見を踏まえ
2019年3月までに改訂内容を決定する予定。

ー

ー

ー

ー

ー

ー

改定内容

記載項目を包括的に確認し、 はい（第5版の記載項目）
安全基準等に必要な項目を漏れなく記載していますか

はい（第5版の記載項目）

独自記載項目金融機関における固有業務や設備設置に係る基準等金融機関における固有業務や設備設置に係る基準等- 266 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－３ 安全基準等の継続的改善状況等の把握及び検証

安全基準等の継続的改善状況（詳細 5/12）
分野

金融

航空

名称

金融機関等におけるコンティンジェンシープラン策定のための手引書

航空分野における情報セキュリティ確保に係る安全ガイドライン第５版

発行主体等

公益財団法人 金融情報システムセンター（FISC）

国土交通省

最新改定／新規作成年月

2017年５月

2019年（平成31年）3月29日

分析・検証状況

分析検証の実施状況

2018年度に実施予定なし（理由：2016年度に分析・検証実施済）

分析検証の実施契機
分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ
改定の実施状況

安全基準等策定指針の改定（第5版への改定）

ー（１）2018年（平成29年）4月～2018年（平成30年）12月（２）国土交通省、航空運送事業者、定期航空協会（３）「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第5版）」（平成30年4月改定）を踏まえるとともに「政府機関等の情報セ
キュリティ対策のための統一基準群」（平成30年7月改定）を参考。

2019年度以降に先送り（理由：2017年度にサイバー攻撃対応に係る改訂を実施
し、2017年５月に第３版追補３を発刊したため）

改定状況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

2018年度に実施済

ー（１）2018年4月～2019年3月末（２）国土交通省（３）「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第5版）」（平成30年4月改定）（以下「策定指針」という。）を踏まえると
ともに「政府機関等の情報セキュリティ対策のための統一基準群」（平成30年7月改定）を参考にしながら、重要インフラ事業者等と調整の上、改訂。

ー・策定指針の改定を踏まえた見直し（「機能保証」の考え方、経営層の在り方、
コンティジェンシープラン及び事業継続計画等の整備、ＣＳＩＲＴ等の整備、関連部門との役割分担等の合意など）
・政府統一基準の考え方を踏まえた見直し（クラウドサービスの利用など）
・ガイドライン名称の見直し
・全体構成や表現の見直し

改定内容

記載項目を包括的に確認し、安全基準等に必要な項目を漏れなく記載していますか2018年度に実施済

ー

はい（第5版の記載項目）

はい（第5版の記載項目、第4版の記載項目）

金融機関における固有業務や設備設置に係る基準等

政府統一基準群を参考にして追加している項目がある。
なお、今後、安全基準等策定指針の改定に際して、以下の意見を提出いたします。
策定指針中、【「安全基準等」で規程が望まれる項目】は概念的な記述が多く、また、制御系については広く浅い言及にとどまっているという印象です。一方、政府統一基準群では、安全基準等策定指針より詳細な記載もあり、セキュリティ対策について網羅的に記載され、政府で保有する制御系システムについても当該基準を基に対策を講じております。
政府統一基準群は公表資料であるため民間企業でも参考にされており、さらに同じNISC内で策定されているものでもあることか
ら、これを活用して策定指針のブラッシュアップを図っていただくことで、我が国のサイバーセキュリティ対策を同じ方向性をもって取り組むことが可能となるものと考えます。
政府統一基準群は網羅的に記載されているが故に制御系システムに特化した記述はありませんが、制御系システムを有する重要イ
ンフラ分野が多いことを踏まえ、策定指針のブラッシュアップの際には、制御系システムを念頭においた項目をさらに盛り込んでいただきたいと思います。
なお、そのようにすることで、策定指針は、国の整備する制御系システムの安全対策にも役立つものになると考えます。

独自記載項目安全基準等の継続的改善状況（詳細 6/12）
分野

空港

鉄道

名称

空港分野における情報セキュリティ確保に係る安全ガイドライン第２版

鉄道分野における情報セキュリティ確保に係る安全ガイドライン第４版

発行主体等

国土交通省

国土交通省

最新改定／新規作成年月

分析・検証状況
改定状況

2019年（平成31年）3月29日

2019年（平成31年）3月29日

分析検証の実施状況

2018年度に実施済

2018年度に実施済

分析検証の実施契機

安全基準等策定指針の改定（第5版への改定）

安全基準等策定指針の改定（第5版への改定）

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2018年（平成29年）4月～2018年（平成30年）12月（２）国土交通省、主要な空港・空港ビル事業者（３）「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第5版）」（平成30年4月改定）を踏まえるとともに「政府機関等の情報セ
キュリティ対策のための統一基準群」（平成30年7月改定）を参考。

（１）2018年（平成29年）4月～2018年（平成30年）12月（２）国土交通省、重要インフラ事業者等（３）「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第5版）」（平成30年4月改定）を踏まえるとともに「政府機関等の情報セ
キュリティ対策のための統一基準群」（平成30年7月改定）を参考。

改定の実施状況2018年度に実施済

2018年度に実施済

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2018年4月～2019年3月末（２）国土交通省（３）「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第5版）」（平成30年4月改定）（以下「策定指針」という。）を踏まえると
ともに「政府機関等の情報セキュリティ対策のための統一基準群」（平成30年7月改定）を参考にしながら、重要インフラ事業者等と調整の上、改訂。

（１）2018年4月～2019年3月末（２）国土交通省（３）「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第5版）」（平成30年4月改定）（以下「策定指針」という。）を踏まえると
ともに「政府機関等の情報セキュリティ対策のための統一基準群」（平成30年7月改定）を参考にしながら、重要インフラ事業者等と調整の上、改訂。

改定内容

・策定指針の改定を踏まえた見直し（「機能保証」の考え方、経営層の在り方、
コンティジェンシープラン及び事業継続計画等の整備、ＣＳＩＲＴ等の整備、関連部門との役割分担等の合意など）
・政府統一基準の考え方を踏まえた見直し（クラウドサービスの利用など）
・全体構成や表現の見直し

・策定指針の改定を踏まえた見直し（「機能保証」の考え方、経営層の在り方、
コンティジェンシープラン及び事業継続計画等の整備、ＣＳＩＲＴ等の整備、関連部門との役割分担等の合意など）
・政府統一基準の考え方を踏まえた見直し（クラウドサービスの利用など）
・全体構成や表現の見直し

はい（第5版の記載項目、第4版の記載項目）

はい（第5版の記載項目、第4版の記載項目）

政府統一基準群を参考にして追加している項目がある。

政府統一基準群を参考にして追加している項目がある。

なお、今後、安全基準等策定指針の改定に際して、以下の意見を提出いたします。

なお、今後、安全基準等策定指針の改定に際して、以下の意見を提出いたします。

策定指針中、【「安全基準等」で規程が望まれる項目】は概念的な記述が多く、また、制御系については広く浅い言及にとどまっているという印象です。一方、政府統一基準群では、安全基準等策定指針より詳細な記載もあり、セキュリティ対策について網羅的に記載され、政府で保有する制御系システムについても当該基準を基に対策を講じております。
政府統一基準群は公表資料であるため民間企業でも参考にされており、さらに同じNISC内で策定されているものでもあることか
ら、これを活用して策定指針のブラッシュアップを図っていただくことで、我が国のサイバーセキュリティ対策を同じ方向性をもって取り組むことが可能となるものと考えます。
政府統一基準群は網羅的に記載されているが故に制御系システムに特化した記述はありませんが、制御系システムを有する重要イ
ンフラ分野が多いことを踏まえ、策定指針のブラッシュアップの際には、制御系システムを念頭においた項目をさらに盛り込んでいただきたいと思います。
なお、そのようにすることで、策定指針は、国の整備する制御系システムの安全対策にも役立つものになると考えます。

策定指針中、【「安全基準等」で規程が望まれる項目】は概念的な記述が多く、また、制御系については広く浅い言及にとどまっているという印象です。一方、政府統一基準群では、安全基準等策定指針より詳細な記載もあり、セキュリティ対策について網羅的に記載され、政府で保有する制御系システムについても当該基準を基に対策を講じております。
政府統一基準群は公表資料であるため民間企業でも参考にされており、さらに同じNISC内で策定されているものでもあることか
ら、これを活用して策定指針のブラッシュアップを図っていただくことで、我が国のサイバーセキュリティ対策を同じ方向性をもって取り組むことが可能となるものと考えます。
政府統一基準群は網羅的に記載されているが故に制御系システムに特化した記述はありませんが、制御系システムを有する重要イ
ンフラ分野が多いことを踏まえ、策定指針のブラッシュアップの際には、制御系システムを念頭においた項目をさらに盛り込んでいただきたいと思います。
なお、そのようにすることで、策定指針は、国の整備する制御系システムの安全対策にも役立つものになると考えます。

記載項目を包括的に確認し、安全基準等に必要な項目を漏れなく記載していますか

独自記載項目- 267 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－３ 安全基準等の継続的改善状況等の把握及び検証

安全基準等の継続的改善状況（詳細 7/12）
分野

電力

電力

名称

電力制御システムセキュリティガイドライン

電気設備の技術基準の解釈

発行主体等

一般社団法人 日本電気協会

経済産業省

最新改定／新規作成年月

2016年5月

2018年10月

実施中

2018年度に実施予定なし（理由：引用している民間規格が改定手続き
中で、改定が次年度になるため）

分析検証の実施状況
分析・検証状況
改定状況

その他状況の変化等（ユーザーからの要望による）ー（１）２０１８年１２月～２０１９年１０月（２）情報専門部会（３）電気事業者主体の分科会・作業会で、分析・検証を実施。改定案も含めて検討し、上位の会議体で審議。

ー

改定の実施状況ーー

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

ー

ー

ー

ー

分析検証の実施契機
分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ

改定内容

記載項目を包括的に確認し、 はい（第5版の記載項目）
安全基準等に必要な項目を漏れなく記載していますか
独自記載項目はい（第5版の記載項目）

電力制御システムに特化する内容は安全基準等策定指針には含まれていないことがある。

電力制御システムやスマートメーターに特化する内容は安全基準等策定
指針には含まれていないことがある。

安全基準等の継続的改善状況（詳細 8/12）
分野

電力

電力

名称

電気事業法施行規則第５０条第２項の解釈適用に当たっての考え方

スマートメーターシステムセキュリティガイドライン

発行主体等

経済産業省

一般社団法人 日本電気協会

最新改定／新規作成年月

2016年9月

2016年3月

分析検証の実施状況
分析・検証状況2018年度に実施予定なし（理由：2016年度に改定されたところであり、 実施中
環境変化がないため。）

改定状況

ー

安全基準等策定指針の改定（第5版への改定）/その他状況の変化等（ユーザーからの要望による）分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れー（１）２０１８年１２月～２０１９年１０月（２）情報専門部会（３）電気事業者主体の分科会・作業会で、分析・検証を実施。改定案も含めて検討し、上位の会議体で審議。

改定の実施状況ーー

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

ー

ー

ー

ー

分析検証の実施契機

改定内容

記載項目を包括的に確認し、 いいえ（本ドキュメントは保安規程の記載事項に特化した内容のため、安全基準等に必要な項目を
該当部分のみを参照。）
漏れなく記載していますか
独自記載項目なし

はい（第5版の記載項目）

スマートメーターシステムに特化している内容は安全基準等策定指針に含まれていないことがある- 268 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－３ 安全基準等の継続的改善状況等の把握及び検証

安全基準等の継続的改善状況（詳細 9/12）
ガス

政府・行政サービス

名称

製造・供給に係る制御系システムのセキュリティ対策ガイドライン

地方公共団体における情報セキュリティポリシーに関するガイドライン

発行主体等

一般社団法人 日本ガス協会

総務省自治行政局地域情報政策室

最新改定／新規作成年月

2016年7月

2018年9月

分析検証の実施状況

実施中

2018年度に実施予定なし（理由：2017年以前に分析・検証実施済）

分析検証の実施契機

その他状況の変化等（2018年3月METIガス安全小委員会を踏まえ、都市ガス業界におけるサイバーセキュリティ保安規程化が決定したため）ー（１）2018年4月～2019年3月（予定）（２）JGAシステムセキュリティWG（３）保安規程化の決定を踏まえ、要領改訂内容についてシステムセ
キュリティWGにて検討中。その結果を、上位組織の保安対策小委員会に報告し、改訂を行うことを正式決定予定。

ー

分析・検証状況分野

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ
改定の実施状況

改定状況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れー2018年度に実施済

ー（１）平成29年12月～平成30年9月（２）総務省自治行政局地域情報政策室（調査研究受託事業者：日本電気株式会社）（３）①改定項目の整理→②有識者へのヒアリング→③改定案の作成→④有識者検討会議の開催→⑤パブコメ→⑥改定

ー「政府機関の情報セキュリティ対策の統一基準」等の反映

改定内容記載項目を包括的に確認し、 はい（第5版の記載項目、第4版の記載項目）
安全基準等に必要な項目を漏れなく記載していますか

はい（第4版の記載項目）

独自記載項目なし

なし

安全基準等の継続的改善状況（詳細 10/12）
医療

水道

名称

医療情報システムの安全管理に関するガイドライン（第５版）

水道分野における情報セキュリティガイドライン

発行主体等

厚生労働省

厚生労働省 医薬・生活衛生局水道課

最新改定／新規作成年月

2017年５月

2019年３月

分析検証の実施状況

2018年度に実施予定なし（理由：2017年以前に分析・検証実施済のため）

2018年度に実施済

分析検証の実施契機

ー安全基準等策定指針の改定（第5版への改定、第4版への改定）

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れー（１）2018年4月～2019年3月（２）厚生労働省医薬・生活衛生局水道課（３）第4次行動計画等に基づき、安全基準等の改定を行った。

分析・検証状況

分野

改定の実施状況

実施不要と判断（理由： 2017年度に改定実施済みのため）

改定状況

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ

2018年度に実施済

ー（１）2018年4月～2019年3月（２）厚生労働省医薬・生活衛生局水道課（３）第4次行動計画等に基づき、安全基準等の改定を行った。

ー

指針等を参考にして、PDCAサイクルによる情報セキュリティ対策の実施と見直しの考え方の充実、情報セキュリティの取組における経営層の役割の追加、最高情報セキュリティ責任者の役割の充実、インシデント
発生時における対応の追加、平時及びインシデント発生時における関係
機関との連携体制の追加等を行った。

改定内容

記載項目を包括的に確認し、 いいえ（安全基準等策定指針よりも国内の法令や現場の実態に沿った要安全基準等に必要な項目を件を重視したため）
漏れなく記載していますか

はい（第5版の記載項目、第4版の記載項目）

独自記載項目なし

なし- 269 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－３ 安全基準等の継続的改善状況等の把握及び検証

安全基準等の継続的改善状況（詳細 11/12）
分野

物流

化学

名称

物流分野における情報セキュリティ確保に係る安全ガイドライン第４版

石油化学分野における情報セキュリティ確保に係る安全基準

発行主体等

国土交通省

石油化学工業協会

最新改定／新規作成年月

分析・検証状況
改定状況

2019年（平成31年）3月29日

2015年3月

分析検証の実施状況

2018年度に実施済

2018年度に実施済

分析検証の実施契機

安全基準等策定指針の改定（第5版への改定）

安全基準等策定指針の改定（第5版への改定）

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2018年（平成29年）4月～2018年（平成30年）12月（２）国土交通省総合政策局物流政策課、重要インフラ事業者及び業界団体（１
７社６団体）（３）「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第5版）」（平成30年4月改定）を踏まえるとともに「政府機関等の情報セ
キュリティ対策のための統一基準群」（平成30年7月改定）を参考。

（１）2018年4月～2018年7月（２）石油化学工業協会 情報通信委員会 情報セキュリティWG（３）WGで第5版に則り分析・検証し、安全基準の改定が必要と判断

改定の実施状況2018年度に実施済

実施中

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2018年4月～2019年3月末（２）国土交通省（３）「重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第5版）」（平成30年4月改定）（以下「策定指針」という。）を踏まえると
ともに「政府機関等の情報セキュリティ対策のための統一基準群」（平成30年7月改定）を参考にしながら、重要インフラ事業者等と調整の上、改訂。

（１）2018年7月～2019年5月（２）石油化学工業協会 情報通信委員会 情報セキュリティWG（３）WGで改定案を作成し、情報通信委員会で承認を得る予定

・策定指針の改定を踏まえた見直し（「機能保証」の考え方、経営層の在り方、
コンティジェンシープラン及び事業継続計画等の整備、ＣＳＩＲＴ等の整備、関連部門との役割分担等の合意など）
・政府統一基準の考え方を踏まえた見直し（クラウドサービスの利用など）
・全体構成や表現の見直し

リーダーシップの観点、リスクアセスメント、リスク対応などを追加、充実

改定内容

はい（第5版の記載項目、第4版の記載項目）

いいえ（この点も含めて、安全基準等の継続的改善のために分析・検証を実施しているところである。）

政府統一基準群を参考にして追加している項目がある。

なし

記載項目を包括的に確認し、安全基準等に必要な項目を漏れなく記載していますか

独自記載項目なお、今後、安全基準等策定指針の改定に際して、以下の意見を提出いたします。
策定指針中、【「安全基準等」で規程が望まれる項目】は概念的な記述が多く、また、制御系については広く浅い言及にとどまっているという印象です。一方、政府統一基準群では、安全基準等策定指針より詳細な記載もあり、セキュリティ対策について網羅的に記載され、政府で保有する制御系システムについても当該基準を基に対策を講じております。
政府統一基準群は公表資料であるため民間企業でも参考にされており、さらに同じNISC内で策定されているものでもあることか
ら、これを活用して策定指針のブラッシュアップを図っていただくことで、我が国のサイバーセキュリティ対策を同じ方向性をもって取り組むことが可能となるものと考えます。
政府統一基準群は網羅的に記載されているが故に制御系システムに特化した記述はありませんが、制御系システムを有する重要イ
ンフラ分野が多いことを踏まえ、策定指針のブラッシュアップの際には、制御系システムを念頭においた項目をさらに盛り込んでいただきたいと思います。
なお、そのようにすることで、策定指針は、国の整備する制御系システムの安全対策にも役立つものになると考えます。

安全基準等の継続的改善状況（詳細 12/12）
分野

クレジット

石油

名称

クレジットCEPTOARにおける情報セキュリティガイドライン

石油分野における情報セキュリティ確保に係る安全ガイドライン

発行主体等

一般社団法人 日本クレジット協会

石油連盟

最新改定／新規作成年月

分析・検証状況
改定状況

2018年4月（最新改定）/2014年12月（新規）2017年5月26日

分析検証の実施状況

2018年度に実施済

2018年度に実施済

分析検証の実施契機

ITに係る環境変化の調査・分析からの課題発見

安全基準等策定指針の改定（第5版への改定）

分析・検証プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2018年4月に、日本クレジット協会クレジットCEOTOAR運営会
議において協議（１）（２）石油連盟 サイバーセキュリティ専門委員会（３）指針第5版の改定内容や各社の取り組み状況を踏まえ、ITセキュ
リティ連絡会にて改定することを決定

改定の実施状況2018年度に実施済

実施中

改定プロセス（１）実施時期（２）実施主体（３）実施の流れ（１）2018年4月に、日本クレジット協会クレジットCEOTOAR運営会
議において協議（１）未定（２）石油連盟 サイバーセキュリティ専門委員会、危機管理委員会（３）サイバーセキュリティ専門委員会にて改定原案作成済。今後、上部組織である危機管理委員会を得て、正式改定となる障害発生時に重要インフラ事業者が報告を行う際の「インシデント報告書（重要インフラサービス障害）」のフォーマットの変更『指針第4版』の以下の新たな要請項目について「実施が望ましい項目」として追記①経営層の果たすべき役割、経営層による情報セキュリティ対策の運用
状況把握②抽出した課題に基づくリスク評価の実施③基本方針の策定・見直しの実施④情報セキュリティ対策に係るロードマップの作成・見直しの実施

改定内容

はい（第5版の記載項目）
記載項目を包括的に確認し、 ※「クレジットCEPTOARにおける情報セキュリティガイドライン」に
安全基準等に必要な項目をは記載していないが、重要インフラについては、割販法のもと、漏れなく記載していますか
PCIDSS準拠が義務付けられている。PCIDSSでは、「安全基準等策定
指針」の記載項目をカバーしていることを包括的に確認している。

はい（第5版の記載項目）

独自記載項目なし

なし- 270 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

別添４－４

安全基準等の浸透状況等に関する調査（アンケート調査）
アンケート調査の目的、概要及び内容◆アンケート調査の目的

アンケート調査は、重要インフラ所管省庁（以降、所管省庁）や業界団体等が定める「安全基準等」※1が、重要インフラ事業者等（以下、事業者等）にどの程度浸透しているかを把握することを目的として、毎年、事業者等の情報セキュリティに関する取組状況を確認し、その分析結果を公表するものです。
アンケート調査への回答を通じて、事業者等が自組織の情報セキュリティ対策の現状を確認し、改善・強化すべき方向性を把握できることを目指すと共に、
アンケート調査で得られた知見や課題は重要インフラ防護能力のための各施策へと展開します。

◆アンケート調査の概要
・アンケート調査対象範囲：所管省庁にて調査対象の事業者等を決定
・アンケート調査方法と調査基準日：以下の方法のいずれかを所管省庁が選択① NISCが準備する調査票（アンケート）を活用（基準日：2018年3月末日）② 関連組織が独自に行う調査の結果をNISCで読み替え（基準日：各調査で設定した基準日）
注）今年度より政府・行政サービス分野は、NISCが準備する調査票（アンケート）を利用して回答を実施しているため、一部の設問で回答の傾向が大幅に変化している。

◆アンケート調査の内容
・安全基準等の整備・浸透に係る事項：① 行動計画※2や指針※3 、リスクアセスメント手引書※4等の認知状況② 事業者等が定める内規の策定・見直しの状況 等
・情報セキュリティ対策の実施に係る事項： PDCAサイクルに沿った具体的な情報セキュリティ対策の取組状況
・意見、要望※1 安全基準等関係法令に基づき国が定める「強制基準」、関係法令に準じて国が定める「推奨基準」及び「ガイドライン」、関係法令や国民からの期待に応えるべく業界団体等が定める
業界横断的な「業界標準」及び「ガイドライン」、関係法令や国民・利用者等からの期待に応えるべく重要インフラ事業者等が自ら定める「内規」等の総称。
※2 重要インフラの情報セキュリティ対策に係る第４次行動計画 （サイバーセキュリティ戦略本部決定）
昨今のサイバー攻撃による急速な脅威の高まりや、2020東京オリンピック・パラリンピック競技大会も見据え、安全かつ持続的なサービスの提供に努めるという機能保証の考え方に基づき、第３次行動計画を見直したもの。
※3 重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）（サイバーセキュリティ戦略本部決定）
安全基準等の策定・改定に資することを目的として、情報セキュリティ対策において、必要度が高いと考えられる項目及び先導的な取組として参考とすることが望ましい項目を、横断的に重要インフラ分野を俯瞰して収録したもの。
※4 重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書（第1版）（サイバーセキュリティ戦略本部決定）
情報セキュリティ確保に係るリスクアセスメントの考え方や具体的な作業手順に関するフレームワークを提供することにより、重要インフラ事業者等におけるリスクアセスメントの理解を深め、その精度や水準の向上に寄与するとともに、重要インフラ事業者等による自律的な情報セキュリティ対策を促進することを目的としているもの。

重要インフラ分野のアンケート調査状況
NISC独自アンケートの配布は重要インフラ13分野(*1)の2,610事業者等。回答は1,381事業者等。
（昨年度比 配布数：284% 回答数：200％ 回答率：-22.1ﾎﾟｲﾝﾄ*1 ）(*2)
重要インフラ分野

調査対象範囲

アンケート
配布数

アンケート
回収数

電気通信

T-CEPTOAR構成各社、電気通信事業者協会正会員各社

72

23

ケーブルテレビ

ケーブルテレビセプターに加盟する事業者

334

125

放送

日本放送協会（ＮＨＫ）、地上系民間基幹放送事業者（多重単営社及びコミュニティ放送事業者を除く）

196

191

金融

銀行等、証券会社、生命保険会社、損害保険会社

(799)

(669)

航空

航空運送事業者

2

1

鉄道

鉄道CEPTOAR構成員事業者

22

19

電力

一般送配電事業者、主要な発電事業者

12

12

ガス

ガスセプターを構成する主要ガス事業者

11

11

政府・行政サービス

地方公共団体

1,788

866

医療

電子カルテ等の医療情報システムを導入している医療機関の中からランダムで選定した事業者

31

18

水道

現在給水人口30万人以上の水道事業者又は水道用水供給事業者

79

70

物流

物流CEPTOAR構成員事業者

17

11

化学

石油化学工業協会に加盟する事業者のうち主にエチレンセンターを運営する企業

13

9

クレジット

リスクアセスメント対象会社（自社でオーソリゼーションシステムを保有しているクレジットセプター構成員）

21

18

石油

石油精製企業

情
報
通
信

全分野合計

－－－

＊１：2018年3月末日基準のアンケート調査のため、2018年7月に重要インフラ分野として追加された「空港分野」は対象外である。
＊２：政府・行政サービス分野が、今年度からNISC独自アンケートを利用して、回答を実施したため。
＊３：金融機関等のシステムに関する動向及び安全対策実施状況調査（調査基準日：2018年3月31日）- 271 -

12

7

2,610
(3,409)1,381(2,050)

調査方法

NISC調査独自調査(*3)

NISC調査－－－別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査の要約（１/５）(1) 規定類の整備状況と機能保証の考え方についての状況

基本方針や情報セキュリティに関する内規が策定されている（グラフ① 青枠内）。 一方で、情報セキュリティに関する計画・
コンティンジェンシープランが策定されていない（グラフ① 赤枠内）。
新たなリスクに対応し続けていくための計画である情報セキュリティリスク対応計画や初動対応（緊急時対応）の方針を定めたコンティンジェンシープランを策定する事業者を増やし、対処態勢整備を強化することが重要である。
リスクアセスメント手引書を認知している事業者等は、「機能保証」の考え方を踏まえたリスクアセスメントの実施及びBCP・CPの整備が進んでいる（グラフ② 青枠内）。 一方で、認知していない事業者等は取組が遅れている（グラフ② 赤枠内）。
サイバーセキュリティ戦略にも記載されている、「任務保証」の考え方を踏まえたリスクアセスメント、BCP・CPの策定が重要であるため、見直し等により「機能保証」の考え方が盛り込まれるよう、リスクアセスメント手引書を普及・啓発が重要である。
グラフ① 各種規程類の整備状況（複数回答）

グラフ② リスクアセスメント手引書の認知状況と機能保証の考え方の認知状況の関係性（設問１と設問３６のクロス分析）
92%

基本方針を策定している（設問９）

情報セキュリティに関する計画を策定している（設問１０）
情報セキュリティに関する内規を策定している（設問１８）
内規に情報の取扱いに関する規定を策定している（設問１９）

機能保証の考え方を踏まえた
BCP・CP等が整備されている
33%

機能保証の考え方を踏まえて、
現在BCP・CP等を策定中である

36%

機能保証の考え方を踏まえていないが、現在BCP・CP等を策定中である

67%

50%

46%

機能保証の考え方を踏まえていないが、BCP・CP等が整備されている

48%

25%

18%

（設問１と設問３７のクロス分析）

65%

0%

29%

機能保証の考え方もリスクアセスメントも浸透していない

72%

外部委託に関する規定を規定している（設問２２）39%

機能保証の考え方は浸透しているが、リスクアセスメントには反映されていない

78%

コンティンジェンシープランを策定している（設問２１）

56%

機能保証の考え方を踏まえていないが、リスクアセスメントは浸透している

45%

事業継続計画を策定している（設問２０）

機能保証の考え方を踏まえた
リスクアセスメントが浸透している

75%

23%

0%

100%

25%

50%

75%

100%

重要インフラにおける機能保証の考え方に基づく
リスクアセスメント手引書（第１版）の認知率

2018年度の実施状況

アンケート調査の要約（２/５）(2) 対策状況

従業員1,000人以下の企業（グラフ①）は、昨年からの各対策の強化による影響により以下の良化ポイントが見られる。
①情報セキュリティ対策に関する基本方針の策定②情報セキュリティに関する内規の策定状況⑤情報セキュリティ対策に関する計画策定状況⑥情報セキュリティ対策の実施に向けた予算の確保状況⑧全従業員向けセキュリティ研修の実施状況⑪責任者へのセキュリティ対策の運用報告⑬障害発生時における連絡体制の整備状況⑮脅威や脆弱性等の情報収集⑯情報セキュリティに関する監査実施状況⑰外部の演習等への参加状況
従業員1,001人以上の企業（グラフ②）は、昨年からの各対策の強化による影響により以下の良化ポイントが見られる。
①情報セキュリティ対策に関する基本方針の策定⑥情報セキュリティ対策の実施に向けた予算の確保状況⑦セキュリティ人材の確保状況⑧全従業員向けセキュリティ研修の実施状況⑰外部の演習等への参加状況
PDCAサイクルにおいて、取組が進んでいない（グラフ①,②上凹んでいる）項目については、取組が進んでいる事業者等に往訪調査等で確認し、全体を真円に近づけられるよう、得られた結果を展開する必要がある。
グラフ① 行動計画テーマ別グラフ（従業員1,000名以下）

グラフ② 行動計画テーマ別グラフ（従業員1,001名以上）

①

①
100%

100%

②

75%

75%

⑰
⑯

⑰

50%

⑤

25%
0%

⑮

50%
25%
0%

⑥

⑥
⑦

⑬
2017年度

2018年度⑧⑧⑪

2017年度- 272 -

2018年度別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査の要約（３/５）(3) 経営層の関与状況

基本方針の策定に経営層が関与している事業者等は、他事業者等の取組事例や外部研修等で推奨されている内容を把握するために、外部での研修や演習等に参加している傾向があるため、他事業者動向を認識する意義も含めて、分野横断的演習の参加を推奨していく必要がある（グラフ①）。
機能保証の考え方を踏まえてリスクアセスメントを実施している事業者は、経営層までリスクアセスメントの報告を行っている傾向があるため、機能保証の考え方を普及・啓発していくことが重要である（グラフ②）。
リスク対応において経営層が積極的に関与している事業者等は、情報資産管理や管理している資産の格付けを実施している傾向があるため、リスク対応に関して、経営層に働きかけていく必要性が認められる（グラフ③）。
グラフ② 機能保証の考え方（リスクアセスメント）の浸透状況と経営層への報告（結果）の関係性（設問３６と設問３６－１のクロス分析）

グラフ① 基本方針策定時の経営層の関与と各項目の関係性機能保証の考え方を踏まえた
リスクアセスメントが浸透している
機能保証の考え方を踏まえた
リスクアセスメントが浸透していない（設問９－１と設問６のクロス分析）
基本方針の策定に経営層が関与している場合の外部研修等への参加率

0%
25%
50%
75%
経営層にリスクアセスメントの結果を報告している割合

75%

基本方針の策定に経営層が関与していない場合の外部研修等への参加率67%
5%

グラフ③ リスク対応における経営層の関与と各項目の関係性

59%（設問１１と設問１７のクロス分析）

リスク対応に関する判断結果を経営層が把握している場合の情報資産管理の実施率
リスク対応に関する判断結果を経営層が把握していない場合の情報資産管理の実施率（設問９－１と設問３０のクロス分析）
基本方針の策定に経営層が関与している場合の外部演習への参加率

66%

基本方針の策定に経営層が関与していない場合の外部演習への参加率

25%

50%

58%

35%

（設問１１－１と設問１７のクロス分析）

49%

0%

100%

75%

100%

リスク対応に関する判断結果を経営層が把握している場合の情報資産の格付け実施率
リスク対応に関する判断結果を経営層が把握していない場合の情報資産の格付け実施率

65%

38%

0%

参加している事業者の割合

25%

50%

75%

100%

実施している事業者等の割合

アンケート調査の要約（４/５）(4) CISOの任命状況

情報セキュリティ対策の実施を取り組む上で十分な予算が確保されている事業者等は、CISOを任命している割合が高く、経営層の働きかけにより、確保されていると考えられる（グラフ①）。
CISOを任命している事業者等は、セキュリティ人材を育てるために、積極的に外部への研修に参加している（グラフ②）。
内規等を策定する際の参考文献として、所管省庁が発行しているガイドライン・指針等を参考にしている事業者等は、CISOを任命している傾向がある。NISCが定めている安全基準等策定指針にもCISOの任命を求めていることが、所管省庁発行のガイドライン・指針等に反映されているためであると考えられる（グラフ③）。
グラフ① 予算の確保状況とCISOの任命状況の関係性

グラフ③ CISOの任命状況と内規等を策定する際の参考文献の関係性（設問３と設問７のクロス分析）（設問２と設問７のクロス分析）
74%

予算を十分に確保している40%

予算を十分に確保していない

0%

25%

50%

75%

CISOを任命している

100%

91%

CISOの任命率
グラフ② CISOの任命状況と外部研修の参加状況の関係性（設問５と設問７のクロス分析）
CISOを任命している

75%
CISOを任命していない

CISOを任命していない

64%

58%

0%

25%

50%

75%

100%

外部研修に参加している割合

0%

25%

50%

75%

100%

所管省庁が発行しているガイドライン・指針 等を参考にしている 割合- 273 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査の要約（５/５）(5) 自由意見【安全基準等に関する意見・要望等】•

事業規模を考慮した基準等や費用対効果の高い対策等の例示の要望があった。
（備考：事業規模の小さい事業者の人材育成、費用を抑える仕組み等）＜参考例＞ 中小企業の情報セキュリティ対策ガイドライン第３版 等 （IPA）
サイバーセキュリティ経営ガイドラインVer 2.0実践のためのプラクティス集 等（IPA)【安全基準等策定指針（第5版）に関する意見・要望等】•

指針を活用したガイドラインにおいて、一部分野で参考資料としてチェックシートが作成されているが、多くの分野で対策例を示してほしいという要望があった。
＜参考例＞対策例：補完調査報告書（NISC）等【情報共有体制に関する意見・要望等】••••

情報共有方法（メール、システム、電話等）の統一化してほしい。
最新の重要インシデント（ヒヤリハット含む）を早期に情報、評価結果、対策を情報共有できる体制。
報告ルート一本化による事業者負担を軽減してほしい。
情報システム部とセキュリティベンダーの月例会を実施し、サイバーセキュリティインシデントに関する情報交換を行っている。

【その他の意見・要望等】
初心者でもわかりやすい解説がほしい。
＜参考例＞ 関連JIS Q 27001の解説書 等• 担当者が少ない事業者向けの良好事例を紹介してほしい。
＜参考例＞ 中小企業における情報セキュリティ対策の実態調査（IPA） 等• 国の演習や人材育成等の紹介してほしい。
＜参考例＞ CYDER（NICT）、分野横断的演習（NISC）等•

アンケート調査結果概要－

PDCA サイクルに沿った対策状況(１/４)(1) 全分野の重要インフラ事業者－※2018年度は金融分野を、
2017年度は金融・自治分野を除く

行動計画のテーマ別グラフ（レーダーチャート（全分野集計））①【P-方針】情報セキュリティ対策に関する基本方針の策定状況⑲【経営層】リスク対応に関する判断結果についての経営層の100%②【P-規程】情報セキュリティに関する内規の策定状況
把握状況⑱【CA-平時】内部での演習等の実施状況③【P-規程】事業継続計画の策定状況

75%⑰【CA-平時】外部の演習等への参加状況④【P-規程】コンティンジェンシープランの策定状況

50%

25%

⑯【CA-平時】情報セキュリティに関する監査実施状況⑤【P-計画】情報セキュリティ対策に関する計画策定状況0%⑥【P-体制】情報セキュリティ対策の実施に向けた予算の確保状況⑮【CA-平時】脅威や脆弱性等の情報収集⑭【D-障害発生時】障害発生時の利用者アナウンスの判断基準⑦【P-体制】セキュリティ人材の確保状況⑬【D-障害発生時】障害発生時における連絡体制の整備状況

2017年度
2018年度

2017年度
2018年度
2019年度
2020年度⑧【P-体制】全従業員向けセキュリティ研修の実施状況⑫【D-障害発生時】対外向けの情報共有窓口の設置状況⑨【P-構築】リスク対応の判断基準⑪【D-平時/障害発生時】責任者へのセキュリティ対策の運用報
告⑩【D-平時/障害発生時】情報セキュリティ対策状況（N=1,381）

①
②
③
④
⑤
⑥
⑦
⑧
⑨
⑩
⑪
⑫
⑬
⑭
⑮
⑯
⑰
⑱
⑲
72.0% 68.6% 53.4% 26.2% 45.1% 69.9% 33.4% 53.9% 41.5% 99.9% 93.1% 40.4% 89.5% 43.3% 86.1% 46.8% 42.2% 29.3% 52.8%
87.6% 77.9% 48.6% 22.5% 45.0% 85.4% 28.9% 65.3% 34.2% 99.7% 95.7% 31.9% 92.1% 28.8% 87.4% 52.3% 61.0% 29.2% 43.2%-- 274 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果概要－

PDCA サイクルに沿った対策状況(２/４)(2) 従業員1000名以下の重要インフラ事業者－※2018年度は金融分野を、
2017年度は金融・自治分野を除く

行動計画のテーマ別グラフ（レーダーチャート（1,000名以下の事業者等））①【P-方針】情報セキュリティ対策に関する基本方針の策定状況⑲【経営層】リスク対応に関する判断結果についての経営層の100%②【P-規程】情報セキュリティに関する内規の策定状況
把握状況⑱【CA-平時】内部での演習等の実施状況③【P-規程】事業継続計画の策定状況

75%⑰【CA-平時】外部の演習等への参加状況④【P-規程】コンティンジェンシープランの策定状況

50%

25%

⑯【CA-平時】情報セキュリティに関する監査実施状況⑤【P-計画】情報セキュリティ対策に関する計画策定状況0%⑥【P-体制】情報セキュリティ対策の実施に向けた予算の確保状況⑮【CA-平時】脅威や脆弱性等の情報収集⑭【D-障害発生時】障害発生時の利用者アナウンスの判断基準⑦【P-体制】セキュリティ人材の確保状況⑬【D-障害発生時】障害発生時における連絡体制の整備状況

2017年度
2018年度⑧【P-体制】全従業員向けセキュリティ研修の実施状況⑫【D-障害発生時】対外向けの情報共有窓口の設置状況⑨【P-構築】リスク対応の判断基準⑪【D-平時/障害発生時】責任者へのセキュリティ対策の運用報
告⑩【D-平時/障害発生時】情報セキュリティ対策状況（N=1,064）

2017年度
2018年度
2019年度
2020年度

①
②
③
④
⑤
⑥
⑦
⑧
⑨
⑩
⑪
⑫
⑬
⑭
⑮
⑯
⑰
⑱
⑲
67.3% 62.4% 47.5% 18.2% 37.4% 65.3% 34.9% 48.8% 34.3% 99.8% 91.7% 34.5% 88.1% 37.6% 83.5% 38.2% 34.3% 22.0% 47.2%
84.7% 73.2% 40.3% 15.2% 39.9% 83.1% 26.1% 60.3% 28.8% 100% 95.1% 26.9% 90.9% 24.6% 85.2% 44.0% 53.5% 22.3% 38.3%-

アンケート調査結果概要－

PDCA サイクルに沿った対策状況(３/４)(3) 従業員1,001名以上の重要インフラ事業者－※2018年度は金融分野を、
2017年度は金融・自治分野を除く

行動計画のテーマ別グラフ（レーダーチャート（1,001名以上の事業者等））①【P-方針】情報セキュリティ対策に関する基本方針の策定状況⑲【経営層】リスク対応に関する判断結果についての経営層の100%②【P-規程】情報セキュリティに関する内規の策定状況
把握状況⑱【CA-平時】内部での演習等の実施状況③【P-規程】事業継続計画の策定状況

75%⑰【CA-平時】外部の演習等への参加状況④【P-規程】コンティンジェンシープランの策定状況

50%

25%

⑯【CA-平時】情報セキュリティに関する監査実施状況⑤【P-計画】情報セキュリティ対策に関する計画策定状況0%⑥【P-体制】情報セキュリティ対策の実施に向けた予算の確保状況⑮【CA-平時】脅威や脆弱性等の情報収集⑭【D-障害発生時】障害発生時の利用者アナウンスの判断基準⑦【P-体制】セキュリティ人材の確保状況⑬【D-障害発生時】障害発生時における連絡体制の整備状況⑧【P-体制】全従業員向けセキュリティ研修の実施状況

2017年度
2018年度

2017年度
2018年度
2019年度
2020年度⑫【D-障害発生時】対外向けの情報共有窓口の設置状況⑨【P-構築】リスク対応の判断基準⑪【D-平時/障害発生時】責任者へのセキュリティ対策の運用報
告⑩【D-平時/障害発生時】情報セキュリティ対策状況（N=313）

①
②
③
④
⑤
⑥
⑦
⑧
⑨
⑩
⑪
⑫
⑬
⑭
⑮
⑯
⑰
⑱
⑲
92.7% 96.0% 79.0% 61.3% 79.0% 89.6% 27.2% 76.0% 73.4% 100.0% 99.2% 66.1% 96.0% 68.5% 97.6% 84.7% 76.6% 61.3% 77.4%
97.8% 93.9% 76.4% 47.0% 62.0% 93.6% 38.0% 82.4% 53.0% 99.4% 98.1% 48.6% 96.5% 42.8% 95.2% 80.2% 87.2% 52.4% 59.1%-- 275 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果概要－

PDCA サイクルに沿った対策状況(４/４)－(4) 従業員1,000名以下と1,001名以上の重要インフラ事業者の対策状況の比較（2018年度）
取組状況の比較（従業員数別） ▲ ： 1,000名以下の事業者等(2018)100%● ： 1,001名以上の事業者等(2018)

75%

50%

25%

⑲【経営層】リスク対応に関する判断結果についての経営層の把握状況⑱【 CA平時】内部での演習等の実施状況⑰【 CA平時】外部の演習等への参加状況⑯【 CA平時】情報セキュリティに関する監査実施状況

⑮【 CA平時】脅威や脆弱性等の情報収集⑭【 D障害発生時】障害発生時の利用者
アナウンスの判断基準⑬【 D障害発生時】障害発生時における連絡体制の整備状況⑫【 D障害発生時】対外向けの情報共有
窓口の設置状況⑪【 D平時 障/害発生時】責任者へのセキュリティ対策運用報告⑩【 D平時 障/害発生時】
情報セキュリティ対策状況⑨【 P構築】リスク対応の判断基準⑧【 P体制】全従業員向けセキュリティ研修の実施状況⑦【 P体制】セキュリティ人材の確保状況⑥【 体制】情報セキュリティ対策のP実施に向けた予算の確保状況⑤【 P計画】情報セキュリティ対策 に関する計画策定状況④【 P規程】コンティンジェンシー
プランの策定状況③【 P規程】事業継続計画（ BCP）の策定
状況②【 P規程】情報セキュリティに関する内規の策定状況①【 P方針】情報セキュリティ対策に関する基本方針の策定状況

0%（N=1,381）

①
②
③
④
⑤
⑥
⑦
⑧
⑨
⑩
⑪
⑫
⑬
⑭
⑮
⑯
⑰
⑱
⑲
▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ● ▲ ●2017年度 67.3% 92.7% 62.4% 96.0% 47.5% 79.0% 18.2% 61.3% 37.4% 79.0% 65.3% 89.6% 34.9% 27.2% 48.8% 76.0% 34.3% 73.4% 99.8% 100.0% 91.7% 99.2% 34.5% 66.1% 88.1% 96.0% 37.6% 68.5% 83.5% 97.6% 38.2% 84.7% 34.3% 76.6% 22.0% 61.3% 47.2% 77.4%
2018年度 84.7% 97.8% 73.2% 93.9% 40.3% 76.4% 15.2% 47.0% 39.9% 62.0% 83.1% 93.6% 26.1% 38.0% 60.3% 82.4% 28.8% 53.0% 100.0% 99.4% 95.1% 98.1% 26.9% 48.6% 90.9% 96.5% 24.6% 42.8% 85.2% 95.2% 44.0% 80.2% 53.5% 87.2% 22.3% 52.4% 38.3% 59.1%
2019年度 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 2020年度 - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -アンケート調査結果詳細－(１/５８)－

設問1 NISCの取組の認知状況
・行動計画や指針、リスクアセスメント手引書を認知している事業者等
は、セキュリティ対策が進んでいる傾向がある。分野横断的演習を認知している事業者等は、情報共有を行っている傾向がある（参考①）。

NISCの取組の認知状況（複数回答）

参考① 分野横断的演習の認知状況と情報共有の実施状況の関係性

56%

重要インフラの情報セキュリティ対策に係る第４次行動計画43%

重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針（第５版）

38%

48%

情報共有を行っている

0%

重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書（第１版）

52%

52%

27%
70%

重要インフラニュースレター

39%

分野横断的演習

38%

62%

2%
3%

その他

0%
2017年度31%

情報共有を行っていない
13%

把握している取組はない

69%

30%

25%
2018年度

50%

75%

100%
（N=1,380）

0%25%

分野横断的演習を認知している※金融は読替え可能項目なし（集計していません）- 276 -

50%

75%

分野横断的演習を認知していない

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問2 自分野の安全基準等の認知状況－

参考① 自分野の安全基準等の認知状況と
CSIRTの設置状況の関係性

・ CSIRTを設置している事業者は所管省庁が発行しているガイドライン・
指針等を認知している傾向がある（参考①）。また、基本方針、計画、内規等の作成、外部演習への参加も同じ傾向がある。
・業界団体や関連団体が発行しているガイドラインや指針を確認している事
業者等は、事業継続計画（BCP）やコンティンジェンシープラン（CP）
を策定している傾向がある（参考②）。

所管省庁が発行しているガイドライン・指針 等を

35%

65%

把握している9%

所管省庁が発行しているガイドライン・指針 等を把握していない

72%

91%
25%

業界団体が発行しているガイドライン・指針 等を把握している

自分野の安全基準等の認知状況（複数回答）

所管省庁が発行しているガイドライン・指針 等(２/５８)

75%

業界団体が発行しているガイドライン・指針 等を把握していない

34%

66%

関連団体が発行しているガイドライン・指針 等を把握している

38%

62%

30%

関連団体が発行しているガイドライン・指針 等を把握していない

88%

70%

0%
CSIRTを設置している

25%
50%
75%
CSIRTを設置していない

100%

62%

業界団体が発行しているガイドライン・指針 等

参考② 自分野の安全基準等の認知状況とコンティンジェンシープラン（CP）策定状況の関係性

30%

所管省庁が発行しているガイドライン・指針 等を把握している32%

関連団体が発行しているガイドライン・指針 等
20%

24%

所管省庁が発行しているガイドライン・指針 等を把握していない
業界団体が発行しているガイドライン・指針 等を把握している8%

上記いずれのガイドライン・指針を把握していない0%2017年度

50%

75%

100%

82%
36%

関連団体が発行しているガイドライン・指針 等を把握していない（N=1,380）

2018年度

81%

25%

コンティンジェンシープランを策定している

アンケート調査結果詳細－

設問3 情報セキュリティ対策の実施に向けた予算の確保状況
・情報セキュリティ対策の実施を取り組む上で十分な予算が確保されている事業者等は、CISOを任命している割合が高く、経営層の働きかけにより、確保されていると考えられる（参考①）。
・予算の確保ができている事業者等は、情報セキュリティ対策に関する計画等が実施されている事業者等が多い傾向がある（参考②）。

(３/５８)

50%

75%

100%

コンティンジェンシープランを策定していない－

参考① 予算の確保状況とCISOの任命状況の関係性

74%

予算を確保している

26%

40%

予算を確保していない

情報セキュリティ対策の実施に向けた予算の確保状況（単一回答）

64%

19%

0%

※金融は読替え可能項目なし（集計していません）

67%

18%

関連団体が発行しているガイドライン・指針 等を把握している

25%

89%
33%

業界団体が発行しているガイドライン・指針 等を把握していない

5%

76%

11%

0%

25%
CISOを任命している

60%

50%

75%

100%

CISOを任命していない

70%
確保している

参考② 予算の確保状況と情報セキュリティ対策に関する
計画状況の関係性

85%

48%

予算を確保している

52%30%
確保していない
15%28%

予算を確保していない0%25%
2017年度

50%
2018年度75%

100%（N=1,380）

0%

72%

25%

50%

75%

情報セキュリティ対策に関する計画を策定している※金融は読替え可能項目なし（集計していません）

情報セキュリティ対策に関する計画を策定していない- 277 -

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問4 セキュリティ人材の確保状況
・セキュリティ人材が必要数確保できている事業者等は、障害発生時に経営層に報告し、情報セキュリティを経営リスクの一つとしてとらえていると考えられる（参考①）。
・セキュリティ人材が必要数確保できている事業者等は、社員に対する情報セキュリティの研修に力を入れる傾向が見られ、セキュリティ対策体制の構築が進められていると考えられる（参考②）。

(４/５８)－

参考① セキュリティ人材の確保状況と事業者等の責任者への報告状況の関係性
1%
必要数セキュリティ人材が確保できている

セキュリティ人材の確保状況（単一回答）

99%

セキュリティ人材が不足している

89%

0%

33%

25%

50%

障害発生時、責任者に報告している

必要数確保している
29%

11%

75%

100%

障害発生時、責任者に報告していない

参考② セキュリティ人材の確保状況と自社研修の実施状況の関係性

必要数セキュリティ人材が確保できている

67%

62%

38%

不足している
71%
セキュリティ人材が不足している

0%

25%

50%

75%

2017年度

2018年度43%（N=1,380）0%※金融は読替え可能項目なし（集計していません）

25%

50%

自社研修を実施している

アンケート調査結果詳細－

設問4-1 必要とする人材の職種(５/５８)

75%

100%

自社研修を実施していない－

参考① 運用系人材の充足状況と情報資産管理状況の関係性

・運用系の人材が足りていない事業者等は、足りている事業者と比較して、情報資産の洗い出しを行い、台帳で管理している資産が一部にとどまっている傾向がある（参考①）。
・また、セキュリティ対策の統括者がいない事業者等は、情報資産の洗い出しができていないだけではなく、専門部署の設置や情報セキュリティ対策に関する計画、外部委託の規程ができていない傾向がある（参考②）。

42%

情報資産を全て管理している必要とする人材の職種（複数回答）

58%

42%

47%

0%

53%

25%

運用系人材が不足している

21%
20%

50%

75%

100%

運用系人材は不足していない

参考② セキュリティ統括者の充足状況と各項目の関係性
62%70%

運用系情報セキュリティ業務従事者

31%

検査・監査系情報セキュリティ業務従事者

58%

情報資産を一部管理している情報資産を管理していない

開発系情報セキュリティ業務従事者

57%

100%

セキュリティの専門部署を設置している

41%

59%

セキュリティの専門部署を設置していない

49%

74%

26%

22%
25%

コンサルティング系情報セキュリティ業務従事者

情報セキュリティ対策に関する計画を策定している

48%
46%

部署内の情報セキュリティ管理者

56%
50%

全社的・部署横断的な情報セキュリティの統
括者
2%
2%

その他

0%
2017年度47%

情報セキュリティ対策に関する計画を策定していない

52%

外部委託規定を策定している25%
2018年度

50%

75%

100%
（N=981）※金融は読替え可能項目なし（集計していません）

48%

47%

外部委託規定を策定していない

53%

55%

0%

25%

統括者が不足している- 278 -

53%

45%

50%

75%

統括者が不足していない

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問5 セキュリティ人材育成の取組状況(６/５８)－

参考① 外部研修の参加状況とCSIRTの構築状況の関係性

・セキュリティ人材育成のために外部研修に参加している事業者等は、社員のセキュリティ研修を実施している。また、外部研修に参加している事
業者等はCSIRTの設置率が2倍を超えている（参考①）。
・セキュリティ人材を育成していない事業者等は、予算も確保されていない傾向がある（参考②）。

セキュリティ人材育成の取組状況（複数回答）

38%

外部研修に参加している

62%

17%

外部研修に参加していない

83%

20%
20%

ジョブローテーション

0%

41%
49%

自社内での研修（グループ企業含む）

56%

外部研修への参加

他社及びグループ会社内での交換研修

9%

情報処理（登録セキスペ）に関する資格取得
を奨励

8%

25%

50%

CSIRTを構築している

75%

100%

CSIRTを構築していない

参考② セキュリティ人材の育成状況と予算の確保状況の関係性

70%

17%

15%

セキュリティ人材育成に取り組んでいる

89%

11%

2%
2%

その他

20%
12%

セキュリティ人材育成に取り組んでいない0%
2017年度セキュリティ人材育成に取り組んでいない

25%

50%

75%

56%

（N=1,380）

2018年度

44%

100%
0%

※金融は読替え可能項目なし（集計していません）

25%

50%

予算を確保しているアンケート調査結果詳細
設問6 全従業員向けセキュリティ研修の実施状況－(７/５８)

75%100%

予算を確保していない－

参考① 従業員向け研修の実施状況とCSIRTの設置状況の関係性

・全従業員向けのセキュリティ研修を実施している事業者等は、CSIRTの設置率が２倍である（参考①）。
・全従業員向けのセキュリティ研修を実施している事業者等は、情報セ
キュリティ基本方針を策定しており、セキュリティに関する規程類も策定している傾向がある（参考②）。

全従業員向けセキュリティ研修の実施状況（単一回答）

全従業員向けの研修を実施している38%

全従業員向けの研修を実施していない

62%

19%

0%

81%

25%

50%

CSIRTを設置している

56%
実施した

75%

100%

CSIRTを構築していない

参考② 全従業員向け研修の実施状況と情報セキュリティ基本方針策定の関係性

65%

全従業員向けの研修を実施している

44%

95%

5%

実施していない35%
全従業員向けの研修を実施していない0%25%
2017年度

50%
2018年度

75%

75%

25%

100%
（N=2,032）
0%25%

基本方針を策定している- 279 -

50%

75%

基本方針を策定していない

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問7 内部体制の取組状況(８/５８)－

参考① CISOの任命状況と外部研修の参加状況の関係性

・CISOを任命している事業者等は、セキュリティ人材を育てるために、積極的に外部への研修に参加している。また、全従業員向けのセキュリティ研修を実施している（参考①）。
・CSIRTが設置されている事業者等は、分野横断的演習を認知している傾向がある（参考②）。
・ CISOを任命している事業者等は、 CSIRTが設置されている傾向がある（参考③）。

CISOを任命している

CISOを任命していない

31%

専門部署の設置

23%
31%

25%

58%

0%

42%

25%

50%

外部研修に参加している

内部体制の取組状況（複数回答）
CISO(最高情報セキュリティ責任者)の任命

75%

75%

100%

外部研修に参加していない

参考② CSIRTの設置状況と分野横断的演習の認知状況の関係性

69%

CSIRTを設置している

48%

52%

61%
66%

管理担当者の任命

CSIRTを設置していない

52%
51%

CSIRTの設置
サイバーセキュリティの認証（ISMS等）を
取得済

0%
3%

サイバーセキュリティの認証（ISMS等）の
取得審査中

0%
0%

サイバーセキュリティの認証（ISMS等）の
取得検討中

0%
1%

その他

3%
2%

33%

0%

67%

25%

50%

分野横断的演習を知っている

75%

100%

分野横断的演習を知らない

参考③ CISOの任命状況とCSIRTの設置状況の関係性

いずれも対応していない

11%

0%

CISOを任命している

25%

25%

2017年度

50%

75%

100%

41%

CISOを任命していない

59%

10%

90%

2018年度
0%25%
CSIRTを設置している※一部選択肢において、金融は読替え可能項目なし（集計していません）

アンケート調査結果詳細－

設問8 情報セキュリティ対策のノウハウの蓄積方法－

23%

ノウハウを蓄積している

77%

3%

情報セキュリティ対策のノウハウの蓄積方法（複数回答）

97%

ノウハウを蓄積していない

41%

0%
25%
ジョブローテーションを実施している

58%

49%

インシデント事例の管理

100%

参考① ノウハウの蓄積状況とジョブローテーションの実施状況の関係性

・人材育成の手法として、ジョブローテーションを実施している事業者等は、ノウハウの蓄積を行っている。セキュリティ人材の育成手法として、ジョブ
ローテーションは有効であることが確認できる（参考①）。
・ノウハウの蓄積方法としては、予算が少ない事業者等も業務引継ぎ書の作成やインシデント事例の管理で実施している（参考②）。

業務引継ぎ書の作成(９/５８)

50%
75%
CSIRTを設置していない

50%
75%
100%
ジョブローテーションを実施していない

参考② 予算の確保状況とノウハウ蓄積方法の関係性

51%

21%

社内ポータル（社内wiki）

20%
61%

予算を確保している

39%

5%

その他

4%

23%

ノウハウの蓄積は行っていない

15%

0%

25%
2017年度38%

予算を確保していない

50%
2018年度

75%

62%

100%
（N=1,380）※金融は読替え可能項目なし（集計していません）

0%

25%

業務引継ぎ書を作成している- 280 -

50%

75%

業務引継ぎ書を作成していない

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問9 情報セキュリティ対策に関する基本方針の策定状況
・CISOが任命されている事業者等は、情報セキュリティ基本方針が策定されている（参考①）。
・情報セキュリティ基本方針が策定できていない事業者等は、内規等の策定も進んでいない傾向がある（参考②）。

情報セキュリティ対策に関する情報セキュリティ基本方針の策定状況（単一回答）(１０/５８)－

参考① 情報セキュリティ基本方針策定状況とCISOの任命状況の関係性
25%

情報セキュリティ基本方針を策定している75%

情報セキュリティ基本方針を
策定中

25%

75%

情報セキュリティ基本方針を策定していない

22%

78%

0%

25%

50%

75%

100%

CISO(最高情報セキュリティ責任者)の任命している
CISO(最高情報セキュリティ責任者)の任命していない

86%
策定している92%

参考② 情報セキュリティ基本方針の策定状況と内規の策定状況の関係性

5%

3%

情報セキュリティ基本方針を策定している

策定中

86%

11%

4%

8%
情報セキュリティ基本方針を
策定中

75%
4%

9%

情報セキュリティ基本方針を策定していない

策定していない
5%

0%

16%

25%

50%

2017年度

75%

0%

100%

70%

25%

50%

75%

100%

情報セキュリティに関する内規を策定している（N=2,049）

2018年度26%

情報セキュリティに関する内規を策定中
情報セキュリティに関する内規を策定していない

アンケート調査結果詳細－

設問9-1 情報セキュリティ基本方針の策定に関する経営層の関与状況(１１/５８)－

参考① 経営層の関与状況と各項目との関係性
91%

行動計画を認知している・行動計画やガイドライン等を認知し、外部への研修や演習等に参加しているような情報収集に積極的な事業者等は、経営層が関与している傾向がある（参考①）。

27%

87%

安全基準等を認知している
45%

安全基準等を認知していない

情報セキュリティ基本方針の策定に関する経営層の関与状況（単一回答）

9%

73%

行動計画を認知していない

13%
55%

89%

外部研修に参加している

11%

62%

外部研修に参加していない

38%

91%
関与している

89%

演習に参加している

11%

86%
67%

演習に参加していない

82%

内部統制を実施している
9%

33%

18%

88%

内部統制を実施していない

12%

関与していない14%82%

全従業員向け研修を実施している

0%25%
2017年度

50%
2018年度

75%

100%

87%

全従業員向け研修を実施していない（N=1,283）※金融は読替え可能項目なし（集計していません）

0%
経営層が関与している- 281 -

18%

25%

50%

13%

75%

経営層が関与していない

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－(１２/５８)－

設問9-2 策定した情報セキュリティ基本方針の外部公表状況
・情報セキュリティ基本方針を外部に公表している事業者等は、外部に公表していない事業者等に比べ、情報セキュリティの取り組みが進んでいる傾向が見られる。これは、外部への見せる安全や攻撃者への抑止効果を目指しているのではないかと感じる。また、外部に公表している事業者
等は、情報セキュリティを経営リスクの一つととらえ、投資家からの評価も意識していると考えられる（参考①）。

策定した情報セキュリティ基本方針の
外部公表状況（単一回答）

参考① 情報セキュリティ基本方針の外部公表状況と情報セキュリティへの取組進捗状況の関係性

16%

外部に公表している

39%

35%

9% 0%

34%
外部に公表している
38%
6%

48%

19%

外部に公表していない

25%

2%

66%
外部に公表していない
62%

0%
0%

25%

50%

2017年度

2018年度75%

100%（N=1,210）

25%

50%

75%

とても取組が進んでいる

取組が進んでいる

平均的な取組である

取組が進んでいない

100%

取組がほとんど進んでいない※金融は読替え可能項目なし（集計していません）

アンケート調査結果詳細－(１３/５８)－

設問9-3 情報セキュリティ基本方針の見直し検討状況
・CISOを任命している事業者等は、情報セキュリティ基本方針の見直し検討を行っている傾向がある。経営層が意識をもって実施している結果であると考えられる 。情報セキュリティ基本方針の見直し検討を行っている事業者等は、情報セキュリティに関する内規や外部委託の規程の策定が実施されている傾向もある。規程を策定することから意識改革ができると考えられる（参考①）。

参考① 情報セキュリティ基本方針の見直し状況と各項目の関係性

CISOを任命している

74%

情報セキュリティ基本方針の見直し検討状況（単一回答）CISOを任命していない

26%

46%

54%

64%
見直し検討を行った
70%

情報セキュリティに関する内規を策定している

36%

72%

28%

見直し検討を行っていない30%
情報セキュリティに関する内規を策定していない

0%

25%

50%

2017年度

2018年度

75%

40%

60%

100%
（N=1,210）※金融は読替え可能項目なし（集計していません）

0%

25%

基本方針の見直しを実施している- 282 -

50%

75%

100%

基本方針の見直しを実施していない

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問9-4 情報セキュリティ基本方針の見直し検討の契機
・情報セキュリティ基本方針を定期的もしくは監査の度に見直している事業者
等は、基本方針だけではなく、内規の見直しも実施している傾向がある（参考①）。
・情報セキュリティ基本方針を運用課題として検討している事業者等は、インシデント事例の管理でノウハウの蓄積をしている傾向がある（参考②）。
・情報セキュリティ基本方針をビジネス環境の変化を契機にして見直している事
業者等は、リスク対応要否に係る判断基準を定めている傾向がある（参考
③）。

定期的に
実施している
定期的に実施していない

76%

内部もしくは外部の監査の結果で実施
内部もしくは外部の監査の結果で未実施

78%

運用課題で
見直しを実施する

内部もしくは外部の監査の結果

29%

運用課題で
見直しを実施しない
38%

24%

44%

ガイドライン等の改定

25%
2017年度

50%

67%

75%

100%

44%

25%

50%

32%

0%

68%

25%

50%

－

(１５/５８)

情報セキュリティ対策に関する計画を策定している
情報セキュリティ対策に関する計画を策定中情報セキュリティ対策に関する計画を策定していない

情報セキュリティ対策に関する計画策定状況（単一回答）

66%

34%
62%

36%

64%
25%

50%

情報資産を格付けしている

75%

100%

情報資産を格付けしていない

参考② 情報セキュリティ対策に関する計画策定状況と各項目の関係性45%

リスク対応の要否に関する判断基準を定めている

45%

リスク対応の要否に関する判断基準を定めていない

策定している

6%
70%
34%

12%

6%

36%

43%

100%

50%

8%
67%

リスク対応の対応手段を定めていない（N=1,380）20%
14%

リスク対応の対応手段を
定めている

34%

51%

74%

リスク対応の優先順位づけを行っていない策定していない

24%
15%

リスク対応の優先順位づけを
行っている

20%
策定中

2018年度

100%

－

38%

0%

75%

75%

リスク要否に係る判断基準を定めていない

参考① 情報セキュリティ対策に関する計画策定状況と情報資産の格付け状況の関係性

・情報セキュリティ対策に関する計画を策定している事業者等は、情報資産の格付けを実施しており、リスクの特定、対応要否の判断基準、対応
優先順位づけ等を実施している傾向がある（参考①,②）。
・策定中になっている事業者等は、リスク対応に関しては未着手となっている傾向がある（参考②）。

2017年度100%

46%

リスク要否に係る判断基準を定めている

設問10 情報セキュリティ対策に関する計画策定状況

50%

75%

インシデント事例の管理を未実施

54%

ビジネス環境の変化を契機にしていない（N=848）2018年度

アンケート調査結果詳細

25%

100%

29%

56%

ビジネス環境の変化を契機にしている※金融は読替え可能項目なし（集計していません）

0%

75%

参考③ 情報セキュリティ基本方針の見直し事由とリスク要否の判断基準の決定状況の関係性

4%
1%

0%

50%

内規の見直しを行っていない

71%

0%

47%
40%

関係法令の改定

その他

25%

インシデント事例の管理を実施

7%
4%

演習等への参加及び実施

12%
22%

参考② 情報セキュリティ基本方針の見直し事由とインシデント事例管理状況の関係性

29%
27%

ビジネス環境の変化

12%
24%

88%

0%

運用課題

16%

88%

内規の見直しを行った

40%

27%

－

参考① 情報セキュリティ基本方針の見直し事由と内規の見直し状況の関係性

情報セキュリティ基本方針の見直し検討の契機（複数回答）
定期的に実施(１４/５８)

37%

0%

26%
14%

25%

50%

49%

75%

情報セキュリティ対策に関する計画を策定している
情報セキュリティ対策に関する計画を策定中※金融は読替え可能項目なし（集計していません）

情報セキュリティ対策に関する計画を策定していない- 283 -

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－(１６/５８)－

設問10-1 情報セキュリティ対策に関する計画の見直し（又は修正）状況
・情報セキュリティ対策に関する計画の見直しを行った事業者等は、情報資産の洗い出しやリスク特定、リスク対応基準の策定だけではなく、運用面において、セキュリティ対策状況を定期的に責任者と共有している傾向がある（参考①）。
・事業者等の内部で情報セキュリティ対策の計画を定め、計画に則り、PDCAを回せる事業者等は、多くの項目で良好な傾向がある。

参考① 情報セキュリティ対策に関する計画の見直し状況と各種実施状況の関係性
情報資産を洗い出して管理している79%

情報資産を洗い出して管理していない

情報セキュリティ対策に関する計画の見直し（又は修正）状況（単一回答）

21%

64%

36%

80%

リスクを特定している

20%

65%

リスクを特定していない

35%

76%
情報セキュリティ対策に関する計画の見直しを行った

リスク対応基準を
定めている

73%

80%

リスク対応基準を定めていない

24%

65%

セキュリティ運用状況を定期的に報告している

情報セキュリティ対策に関する計画の見直しを行っていない25%

2017年度

50%

75%

13%

63%

0%
0%

35%

87%

セキュリティ運用状況を定期的に報告していない

27%

20%

37%

25%

50%

75%

100%

情報セキュリティ対策に関する計画の見直しを行った

100%

情報セキュリティ対策に関する計画の見直しを行っていない

2018年度※金融は読替え可能項目なし（集計していません）

アンケート調査結果詳細－

設問11 取扱い情報資産（システム含む）の洗い出し及び台帳等での管理状況－

参考① 情報資産の管理状況と各項目の関係性・取扱い情報資産の管理をしている事業者等は、情報資産の格付けまで実施している傾向やリスクの判断基準等が定められている傾向がある（参考① ） 。
・情報資産と重要度に応じた格付けを定めると共に、障害発生時に正しい判断や行動ができるように、リスク判断基準も明確になっており、管理と運用の両面で必要事項が定められている傾向がある。

取扱い情報資産（システム含む）の洗い出し及び台帳等での管理状況（単一回答）(１７/５８)

情報資産の格付けを
行っている

60%

情報資産の格付けを行っていない31%

46%

リスク対応要否の判断基準を定めている24%

63%

リスク対応要否の判断基準を定めていない

0%

40%

4%

33%

37%

47%

15%

73%
管理している63%
リスク対応の優先順位付けを定めている

66%

29%

4%

19%
一部管理している

リスク対応の優先順位付けを定めていない

29%

7%

47%

リスク対応手段の判断基準を定めている管理していない
8%

0%

38%

25%

50%

2017年度

2018年度

75%

100%

63%

リスク対応手段の判断基準を定めていない（N=2,049）

全て管理している- 284 -

31%

38%

0%

15%

47%

25%

50%

一部管理している

6%

14%

75%
管理していない100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－(１８/５８)－

設問11-1 情報資産の重要度に応じた格付け状況
・情報資産の重要度に応じた格付けを実施している事業者等は、リ
スク特定、リスク対応基準等を定めている傾向がある。また、情報セキュリティに関する運用状況を定期的に報告している事業者等
は、情報資産の重要度に応じた格付けもできている（参考①）。

参考① 情報資産の格付け状況と各項目の関係性
72%

リスクを特定している

28%

45%

リスクを特定していない

55%

情報資産の重要度に応じた格付け状況（単一回答）
リスク対応の要否に係る判断基準を
定めている

79%

リスク対応の要否に係る判断基準を定めていない79%
格付けしている

21%

45%

55%

72%

セキュリティ対策の運用状況を定期的に報告している
セキュリティ対策の運用状況を不定期に報告している

21%
格付けしていない
28%

0%

77%

25%

50%

2017年度

2018年度

75%

55%

45%

セキュリティ対策の運用状況を
障害発生時のみ報告している

44%

56%

セキュリティ対策の運用状況を報告していない

45%

55%

100%

0%

（N=1,883）

25%

情報資産の格付けをしている

アンケート調査結果詳細

23%

－

50%

75%

100%

情報資産の格付けをしていない(１９/５８)－

設問11-2 情報資産の見直し状況
・情報資産の見直しを行っている事業者等は、内規等の見直しを実施し、リスクの特定も実施している傾向がある（参考①）。内規等の見直しを契機に情報資産とリスクを適正に管理していることが推察できる。

参考① 情報資産の見直し状況と各項目の関係性

策定した内規の見直し検討を行った

65%

35%

情報資産の見直し状況（単一回答）
策定した内規の見直し検討を行っていない

23%

77%

79%
情報資産の見直しを
行った
69%

68%

リスクを特定している

21%

32%

情報資産の見直しを行っていない31%
32%

リスクを特定していない

0%

25%

50%

2017年度

2018年度

75%

68%

100%
0%

25%

情報資産の見直しを行った- 285 -

50%

75%

情報資産の見直しを行っていない

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－(２０/５８)

設問12 脅威や脆弱性等の情報収集－

参考① 情報収集とインシデント事例管理状況の関係性

・情報収集を行っている事業者等は、自社内のインシデント管理を実施している傾向があり、セキュリティ対策としても証跡管理を行っていることが多い（参考①、参考②）。セキュリティ情報の収集を行っている事業者等は、収集したセキュリティ情報をもとに対策まで実施していると推察できる。

情報収集を
行っている

脅威や脆弱性等の情報収集（単一回答）

55%

情報収集を
行っていない

25%

75%

0%

92%

45%

25%

50%

インシデント事例を管理している情報収集を行っている

75%

100%

インシデント事例を管理していない

参考② 情報収集と証跡管理の関係性

91%

情報収集を
行っている

63%

37%

8%
情報収集を行っていない
9%

0%

情報収集を
行っていない

25%

50%

2017年度

2018年度

75%

100%

32%

68%

0%

25%
証跡管理を行っている

アンケート調査結果詳細－

設問12-1 情報収集の確認頻度(２１/５８)CSIRT－CSIRTの設置状況
53%

19%

毎日収集していない81%

インシデントの管理状況
53%

毎日収集している74%

セキュリティ対策としての証跡管理の状況
82%

毎日収集している

42%

実施していない

実施している

責任者への定期的な報告
31%

18%

58%

毎日収集していない

32%

実施していない

実施している

証跡管理

18%

47%

26%

20%

30%

設置していない

設置している

毎日収集していない

月１回以上

100%

証跡管理を行っていない

47%

毎日収集している

インシデント管理

情報収集の確認頻度（単一回答）

週１回以上

75%

参考① 情報収集の頻度と各項目の関係性

・情報収集を毎日行っている事業者等は、CSIRTの設置、インシデント管理、証跡管理、責任者との情報連携、コンティンジェンシープラン（CP）の策定等、様々な取り組みが進んでいる傾向がある（参考①）。
・政府の動向やインシデント情報を収集し、事業者等のセキュリティ対策を実施していると推察できる。

毎日

50%

責任者への定期的な報告状況
78%

毎日収集している

22%

33%
50%

毎日収集していない

報告している
CPの策定

19%

月1回未満

16%

0%

コンティンジェンシープランの策定状況
55%

毎日収集している25%

50%
2017年度

2018年度

75%

100%※金融は読替え可能項目なし（集計していません）

0%

72%

25%
策定している- 286 -

45%28%

毎日収集していない（N=1,207）50%

報告していない

50%
策定していない75%100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問13 リスクの特定状況(２２/５８)－

参考① リスクの特定状況と各項目の関係性

・リスクの特定を行っている事業者等は、リスク対応要否の判断基
準やリスク対応の優先順位づけ、リスク対応手段の判断基準等を策定していることから有事の際の対応を想定し、リスクの特定を行っている（参考①）。
・リスクの特定を行っている事業者等は、監査の実施や演習の参加割合が高いため、改善活動を進める上でリスクを特定することは、優先事項として取り組んでいると推察できる。

リスク対応の要否に係る判断基準を定めている

70%

リスク対応の要否に係る判断基準を定めていない

25%

75%

リスク対応の優先順位付けに係る判断基準を定めている

72%

リスク対応の優先順位付けに係る判断基準を定めていない

リスクの特定状況（単一回答）

28%

28%

72%

対応手段の判断基準を
定めている

67%

対応手段の判断基準を定めていない

75%

30%

33%

28%

72%

特定している59%53%

監査を実施している
23%

監査を実施していない

25%

77%

44%

演習に参加している

特定していない

47%

56%

31%

演習に参加していない

69%

41%

CPを策定している

0%

25%

50%

2017年度

75%

100%

63%

CPを策定していない

29%

71%

（N=2,049）

2018年度

0%25%
特定している

アンケート調査結果詳細－

設問13-1 リスクの特定方法
・リスクの特定方法としてチェック項目の方式を用いる場合は、リスク対応
要否の判断基準が定められている傾向があるため、リスク対応を強化したい場合は、チェックリスト方式を採用することが推奨される（参考①）。
・リスクの特定方法として、他事業者等の類似事例からの帰納的抽出方式を用いた場合は、セプター事務局からの情報をしっかりと受け取っている傾向があるため、情報共有を強化したい場合は、演繹的分析方式を採用することが推奨される（参考②）。

50%

75%

100%

特定していない－

参考① リスクの特定方法とリスク対応要否の判断基準の関係性

事前にチェック項目を準備した
チェックリスト方式を採用

73%

27%

39%

0%

47%
46%

事業者内業務に精通した
少数メンバーによるグループディスカッション方式(２３/５８)

事前にチェック項目を準備した
チェックリスト方式を不採用

リスクの特定方法（複数回答）
事前にチェック項目を準備したチェックリスト方式

37%

61%

25%

50%

75%

100%

リスク対応要否の判断基準を定めているリスク対応要否の判断基準を定めていない

33%
25%

関係部署へのアンケートを通じたアンケート方式

14%
14%

避けたい結果を設定し、リスクに分解した
演繹的分析方式

15%
14%

他事業者等の類似事例からリスクを洗い出す
帰納的抽出方式

参考② リスクの特定方法と情報共有の関係性避けたい結果を設定し、リスクに分解した
演繹的分析方式を採用

66%

34%

27%
28%
避けたい結果を設定し、リスクに分解した
演繹的分析方式を不採用

3%
7%

その他

0%

25%

50%

2017年度

2018年度

75%

100%

43%

0%

25%

57%

50%

75%

セプター事務局から展開された情報を受け取っている※金融は読替え可能項目なし（集計していません）

セプター事務局から展開された情報を受け取っていない- 287 -

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問14 リスク対応の要否に係る判断基準(２４/５８)－

参考① リスク対応の要否に係る判断基準の決定状況と各項目の関係性・リスク対応の要否に係る判断基準が決定している事業者等は、多くの項目において良好な傾向が見られた。特に、リスク対応の要否だけではな
く、優先順位に係る判断基準も定められ、対応手順に至るまで決定している傾向がある。さらに、経営層の積極的な関わりも確認できることから、演習や監査の機会を通じて、情報セキュリティ体制の改善活動がされていると推察できる（参考①）。

5%

リスク対応の優先順位に係る判断基準を定めている

95%

リスク対応の優先順位に係る判断基準を定めていない

9%

91%

リスクに応じた対応手段の判断基準を定めている

86%

リスクに応じた対応手段の判断基準を定めていない

リスク対応の要否に係る判断基準（単一回答）

8%

リスク対応に関する判断結果を経営層が把握している

58%

リスク対応に関する判断結果を経営層が把握していない

36%

14%
92%

42%

9%

91%

定めている
30%

50%

演習を実施している

50%

22%

演習を実施していない

78%

42%

監査を実施している

58%

64%
17%

監査を実施していない

定めていない83%

70%
利用者に対する障害時の情報発信を行う判断基準を定めている

0%

25%

50%

2017年度

75%

100%

46%

20%

0%

（N=1,380）

2018年度54%

利用者に対する障害時の情報発信を行う判断基準を定めていない

80%

25%

50%

75%

100%

リスク対応の要否に係る判断基準を定めている※金融は読替え可能項目なし（集計していません）

リスク対応の要否に係る判断基準を定めていない

アンケート調査結果詳細－

設問15 リスク対応の優先順位に係る判断基準(２５/５８)－

参考① リスク対応の優先順位に係る判断基準の決定状況と各項目の関係性

・リスク対応の優先順位が決定している事業者等は、多くの項目において良好な傾向が見られた。特に、対応手順に至るまで決定している傾向がある。さらに、経営層の積極的な関わりも確認できることから、演習や監査の機会を通じて、情報セキュリティ体制の改善活動がされていると推察できる（参考①）。

リスク対応の要否に係る判断基準を定めている

78%

リスク対応の要否に係る判断基準を定めていない

22%

98%
2%

リスク対応の優先順位に係る判断基準（単一回答）

リスクに応じた対応手段の判断基準を定めている
リスクに応じた対応手段の判断基準を定めていない

78%

22%

96%
4%

33%
定めている
25%

リスク対応に関する判断結果を経営層が把握しているリスク対応に関する判断結果を経営層が把握していない

51%

49%

95%
5%

67%
定めていないコンティンジェンシープランを策定している

75%

0%

25%
2017年度

50%
2018年度

75%

100%

43%

コンティンジェンシープランを策定していない（N=1,380）

57%

17%

0%

83%

25%

50%

75%

リスク対応の優先順位に係る判断基準を定めている※金融は読替え可能項目なし（集計していません）

リスク対応の優先順位に係る判断基準を定めていない- 288 -

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問16 リスクに応じた対応手段の判断基準(２６/５８)－

参考① リスクに応じた対応手段の判断基準の決定状況と各項目の関係性・リスクに応じた対応手順の判断基準が決定している事業者等は、多くの項目において良好な傾向が見られた。さらに、経営層の積極的な関わりも確認できることから、演習や監査の機会を通じて、情報セキュリティ体制の改善活動がされていると推察できる（参考①）。

リスク対応の要否に係る判断基準を定めている

80%

20%

リスク対応の要否に係る判断基準を定めていない

95%
5%

リスクに応じた対応手段の判断基準（単一回答）

リスク対応の優先順位に係る判断基準を定めている

88%

リスク対応の優先順位に係る判断基準を定めていない

12%

92%
8%

36%
定めている
28%

リスク対応に関する判断結果を経営層が把握している

57%

43%

リスク対応に関する判断結果を経営層が把握していない

94%
6%

64%
定めていないコンティンジェンシープランを策定している72%

46%

コンティンジェンシープランを策定していない

0%

25%

50%

2017年度

75%

100%

20%

0%

（N=1,380）

2018年度

54%

80%

25%

50%

75%

100%

リスクに応じた対応手段の判断基準を定めている※金融は読替え可能項目なし（集計していません）

リスクに応じた対応手段の判断基準を定めていない

アンケート調査結果詳細－

設問17 リスク対応に関する判断結果についての経営層の把握状況
・リスク対応に関する判断結果を経営層が把握していない事業者等は、演習を実施しておらず、監査も実施していない傾向がある。また、障害発生時に利用者に対して情報発信を行う判断基準も策定されていない。
さらに、経営層が把握している事業者等は、情報セキュリティ基本方針にも関与している傾向がある（参考①）。

リスク対応に関する判断結果についての経営層の把握状況（単一回答）(２７/５８)－

参考① リスク対応の判断結果の経営層の認知状況と各項目の関係性
リスク対応の要否に係る判断基準を定めている

84%

リスク対応の要否に係る判断基準を定めていない

16%

26%

74%

リスク対応の優先順位に係る判断基準を定めている

89%

リスク対応の優先順位に係る判断基準を定めていない

28%

11%

72%

53%
経営層が把握している
43%

リスクに応じた対応手段の判断基準を定めている

88%

リスクに応じた対応手段の判断基準を定めていない

26%

12%

74%

47%
経営層が把握していない
基本方針の策定にあたり、経営層が関与している

57%

0%

25%

50%

2017年度

2018年度

75%

100%

50%

基本方針の策定にあたり、経営層が関与していない（N=1,380）

50%

17%

0%

83%

25%

50%

75%

リスク対応に関する判断結果を経営層が把握している※金融は読替え可能項目なし（集計していません）

リスク対応に関する判断結果を経営層が把握していない- 289 -

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問18 情報セキュリティに関する内規の策定状況(２８/５８)－

参考① 情報セキュリティに関する内規の策定状況と各項目の関係性・情報セキュリティに関する内規まで策定している事業者等は、規定類が策定されている傾向がある（参考①）。ただし、事業継続計画（BCP）やコンティンジェンシープラン（CP）は、それほど大きな差は見られないことから、これらの策定については、規定類の整備とは異なるアプ
ローチでの啓発活動が必要であると推察できる。

情報セキュリティ対策に関する基本方針策定している
情報セキュリティ対策に関する基本方針策定中
情報セキュリティ対策に関する基本方針策定していない

11%

16%

75%

26%

8%
70%

4%

情報セキュリティ対策に関する計画を策定している

2%

92%

情報セキュリティ対策に関する計画を策定中情報セキュリティに関する内規の策定状況（単一回答）

3%

86%

53%

6%
6%

41%

情報セキュリティ対策に関する計画を策定していない

70%

27%
3%

内規に情報の取扱いに関する規定を策定している

69%

内規に情報の取扱いに関する規定を策定中策定している

内規に情報の取扱いに関する規定を策定していない

78%

0%

98%
21%

74%

30%

2%
5%

66%

4%

3%
事業継続計画を策定している12%87%

事業継続計画を策定中

策定中

事業継続計画を策定していない

7%

21%

72%

策定していない
15%

0%

25%

50%

2017年度

2018年度73%

コンティンジェンシープランを策定していない73%

外部委託に関する規定を規定している（N=1,380）

外部委託に関する規定を規定していない

0%※金融は読替え可能項目なし（集計していません）

22%

6%
95%

コンティンジェンシープランを
策定中

100%

75%

14%

2%

コンティンジェンシープランを策定している

19%

10%

65%

4%
24%
7%

5% 7%

88%
57%

12%

25%

情報セキュリティに関する内規を策定している

50%

3%

20%

31%

75%

100%

情報セキュリティに関する内規を策定中

情報セキュリティに関する内規を策定していない

アンケート調査結果詳細－(２９/５８)－

設問18-1 内規等を策定する際の参考文献
・内規等を策定する際の参考文献として、所管省庁が発行しているガイド
ライン・指針等を参考にしている事業者等は、CISOを任命している傾向がある。政府が指針等で、CISOの任命を求めていることが反映されているためであると考えられる（参考①）。

内規等を策定する際の参考文献（複数回答）
関係法令

61%
56%

所管省庁が発行しているガイドライン・指針 等

60%

業界団体が発行しているガイドライン・指針 等

15%

重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針

12%

重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書（第１版）

85%

53%

22%

関連団体が発行しているガイドライン・指針 等

参考① CISOの任命状況と内規等を策定する際の参考文献の関係性

CISOを任命している

91%

9%

26%
24%

0%
6%
CISOを任命していない

11%
5%

その他

64%

36%

5%
1%

参考にしているものはない

0%2017年度

25%

50%

2018年度75%

100%（N=1,076）※金融は読替え可能項目なし（集計していません）※リスクアセスメント手引書は、2018年度から調査開始

0%

25%

50%

75%

所管省庁が発行しているガイドライン・指針 等を参考にしている所管省庁が発行しているガイドライン・指針 等を参考にしていない- 290 -

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－(３０/５８)－

設問18-2 策定した内規の見直し検討状況・策定した内規等の見直しを実施している事業者等は、情報資産の見直しも実施している傾向がある。また、リスクの特定も実施している傾向がある（参考①） 。
・そのため、内規等の見直しに合わせて、情報資産の見直しがされる仕組みが循環していることが推察される。

参考① 策定した内規の見直し検討状況と各項目の関係性

情報資産の見直しを行った86%

14%

策定した内規の見直し検討状況（単一回答）
情報資産の見直しを行っていない

53%

47%

70%
策定した内規の見直しを
行った
71%

81%

リスクを特定している

19%

30%
策定した内規の見直しを行っていない29%
63%

リスクを特定していない

0%

25%

50%

2017年度

2018年度

75%

100%
0%

アンケート調査結果詳細－

設問18-3 内規の見直し検討の契機

内規の見直し検討の契機（複数回答）

内部もしくは外部の監査の結果

19%

ビジネス環境の変化

0%

14%

92%
25%

内規の見直し検討は定期的に実施している

50%

75%

100%

内規の見直し検討は定期的に実施していない

88%

12%

18%
0%

82%
25%

内規の見直し検討は運用課題である
41%

基本方針の見直し検討は監査の結果である

52%
51%

8%
0%

25%

50%
2018年度※金融は読替え可能項目なし（集計していません）

100%

20%

50%

75%

100%

内規の見直し検討は監査の結果ではない

65%
84%

基本方針の見直し検討はビジネス環境の変化である

25%

75%

92%

内規の見直し検討は監査の結果である

4%
2%

2017年度50%

内規の見直し検討は運用課題ではない

80%

基本方針の見直し検討は監査の結果ではない
44%

0%

－

8%

基本方針の見直し検討は運用課題ではない

ガイドライン等の改定

その他

100%

41%

9%
5%

関係法令の改定

75%87%

基本方針の見直し検討は定期的に実施していない

34%

28%

演習等への参加及び実施

基本方針の見直し検討は定期的に実施している

基本方針の見直し検討は運用課題である

37%
35%

運用課題

(３１/５８)50%

策定した内規の見直し検討を行っていない

参考① 内規の見直し検討の契機と基本方針の見直し契機の関係性

・内規の見直し検討の契機と情報セキュリティ基本方針の見直しの契機
は、同じく定期的に見直し検討を行っていることが確認できる（参考①）。
・定期的もしくは運用課題を見つけて自発的に見直し検討を行っている事
業者等よりも、ガイドラインや関係法令の改定といった外的要因により、見直しをしている割合が多い傾向がある。

29%

25%

策定した内規の見直し検討を行った※金融は読替え可能項目なし（集計していません）

定期的に実施

37%

75%

100%
（N=761）11%

基本方針の見直し検討はビジネス環境の変化ではない
0%

89%
25%

内規の見直し検討はビジネス環境の変化である- 291 -

16%

50%

75%

100%

内規の見直し検討はビジネス環境の変化ではない別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問19 情報の取扱いに関する規定の策定状況(３２/５８)－

参考① 情報の取扱いに関する規定策定状況と各項目の関係性
6%

・情報の取扱いに関する規程を策定している事業者等は、外部委託に関する規程を策定している傾向がある。また、策定中の事業者等は、監査や従業員向けのセキュリティ研修（演習等）を実施していない傾向がある（参考①） 。

外部委託に関する規定を策定している
外部委託に関する規定を策定していない

情報の取扱いに関する規定の策定状況（単一回答）

12%

83%

49%

37%

14%

5%

14%

81%

内部監査のみを実施した

4%

17%

78%

外部監査のみを実施した

63%
策定している

3% 5%

72%

内部監査及び外部監査の両方を実施した

92%

58%

監査を実施していない

13%

29%

13%

策定中
8%
6%
全従業員向けセキュリティ研修を
実施した

24%

14%

81%

策定していない20%0%

全従業員向けセキュリティ研修を実施していない25%

50%

2017年度

75%

100%

0%

（N=1,380）

2018年度

54%

33%

13%

25%

50%

75%

100%

内規に情報の取扱いに関する規定策定している
内規に情報の取扱いに関する規定策定中である※金融は読替え可能項目なし（集計していません）

内規に情報の取扱いに関する規定策定していない

アンケート調査結果詳細－

設問20 事業継続計画（BCP）の策定状況(３３/５８)－

参考① 事業継続計画（BCP）の策定状況と各項目の関係性・策定している事業者等は、情報資産の格付けやリスクの特定を実施している傾向がある。また、機能保証の考え方を踏まえて策定されている傾向がある（参考①）。

63%

情報資産を格付けしている
34%

情報資産を格付けしていない

37%

リスクを特定していない

76%

機能保証の考え方を踏まえてBCPを整備している

策定している
65%

情報資産を全て管理している

10%

情報資産を一部管理している

14%

19%

16%

47%

12%

47%

73%

機能保証の考え方を踏まえてBCPを整備していない

10%

24%
48%

67%

リスクを特定している

事業継続計画（BCP）の策定状況（単一回答）

13%
18%

41%

27%

61%

策定中
42%

27%

19%

28%

情報資産を管理していない

12%

16%

0%

39%
56%

14%
策定していない
24%

63%

情報資産の見直しを実施した
37%

情報資産の見直しを実施していない0%25%
2017年度

50%
2018年度75%

100%（N=2,049）

0%25%

事業継続計画を策定している
事業継続計画を策定していない- 292 -

11%

27%

20%

50%

44%

75%

事業継続計画を策定中

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問20-1 事業継続計画（BCP）に基づいた訓練状況
・訓練を行った事業者等は、運用状況を責任者に定期的に報告している傾向がある。また、監査を通じて是正すべき対策について検討している傾向がある（参考①） 。

(３４/５８)

参考① 事業継続計画（BCP）に基づいた訓練状況と各項目の関係性

実装しているセキュリティ対策の運用について定期的に報告している

62%

実装しているセキュリティ対策の運用について定期的に報告していない

事業継続計画に基づいた訓練状況（単一回答）

－

38%

35%

65%

63%
訓練を行った58%
監査を通じて、是正すべき対策について検討を実施した

57%

43%

37%
訓練を行っていない

監査を通じて、是正すべき対策について検討を実施していない

42%

0%

25%

50%

75%

2017年度

2018年度

0%

100%

71%

25%

50%

75%

100%

事業継続計画に基づいて、訓練を行った（N=1,324）

アンケート調査結果詳細

29%

事業継続計画に基づいて、訓練を行っていない－(３５/５８)－

設問20-2 事業継続計画（BCP）の見直し状況
・事業継続計画（BCP）の見直しを行った事業者等は、情報資産の見直しを行っており、リスクの特定を実施している傾向がある。また、セキュリ
ティ対策として、証跡管理や重要データの暗号化等の取組みがされている（参考①）。

参考① 事業継続計画（BCP）の見直し状況と各項目の関係
情報資産の見直しを行った

67%

情報資産の見直しを行っていない

33%

37%

63%

事業継続計画（BCP）の見直し状況（単一回答）
71%

リスクを特定している

36%

リスクを特定していない

67%

29%

64%

見直しを行った
55%

62%

証跡管理を実施している

38%

38%

証跡管理を実施していない

62%

33%
見直しを行っていない
45%
重要データの暗号化対策を実施している0%25%
2017年度

50%
2018年度

75%

100%

63%

重要データの暗号化対策を実施していない

37%

46%

54%

（N=671）
0%※金融は読替え可能項目なし（集計していません）

25%

事業継続計画の見直しを行った- 293 -

50%

75%

100%

事業継続計画の見直しを行っていない

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問20-3 事業継続計画（BCP）の見直し契機(３６/５８)

参考① 事業継続計画（BCP）の定期見直しと情報資産の見直しの関係

・定期的に事業継続計画（BCP）を見直しを実施している事業者等は、情報資産の見直しやリスクの特定を実施している傾向がある（参考①）。
・訓練を契機に事業継続計画（BCP）を見直している事業者等
は、経営層にリスクアセスメントの結果を報告している傾向がある（参考②）。

71%

情報資産の見直しを行った

0%
61%

25%

50%

75%

100%

事業継続計画を定期的に見直していない

参考② 事業継続計画（BCP）の訓練ごとの見直しと経営層への報告の関係性

28%
22%

経営層にリスクアセスメントの結果を報告している

37%

業務変更

46%

事業継続計画を定期的に見直している

66%

訓練

29%

54%

情報資産の見直しを行っていない

事業継続計画（BCP）の見直し契機（複数回答）

定期的に実施

－

39%

61%

35%

7%

その他

経営層にリスクアセスメントの結果を報告していない

5%

0%

25%

50%

2017年度

75%

100%

87%

0%

（N=368）2018年度

13%

25%

50%

75%

100%

事業継続計画を訓練を契機に見直している※金融は読替え可能項目なし（集計していません）

事業継続計画を訓練を契機に見直していない

アンケート調査結果詳細－

設問21 コンティンジェンシープラン（CP）策定状況
・コンティンジェンシープラン（CP）を策定している事業者等は、機能保証の考え方を踏まえた上で策定されている事業者等が多い。さらに、経営層まで状況報告されている事業者等も多い。また、コンティ
ンジェンシープラン（CP）を策定している事業者等は、情報資産・インシデントを管理し、CSIRTが設置されている傾向がある（参考①） 。

(３７/５８)

参考① コンティンジェンシープランの策定状況と各項目の関係性0%

機能保証の考え方を踏まえて策定している

77%

機能保証の考え方を踏まえて策定していない

14%

13%

策定している
48%

5%
5%

32%

情報資産を
管理していない

8% 5%

47%

25%
2017年度

50%

11%

2018年度100%（N=2,049）

14%

0%

60%
77%
87%

8%

59%

6%

83%

41%

CSIRTを設置していない

75%

7%

8%

34%

CSIRTを設置している

策定していない0%16%

インシデント事例を管理していない

61%
82%

33%

情報資産を
一部管理している

インシデント事例を管理している

策定中

9%

5%

情報資産を
管理している
63%

82%

30%

運用状況を平時に経営層まで伝えていない

23%

4%

運用状況を平時に経営層まで伝えていない

コンティンジェンシープラン（CP）策定状況（単一回答）

－

4%

55%

8%

78%

25%

50%

75%

コンティンジェンシープランを策定している
コンティンジェンシープランを策定中
コンティンジェンシープランを策定していない- 294 -

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問21-1 コンティンジェンシープラン（CP）の見直し状況
・コンティンジェンシープラン（CP）の見直しを行っている事業者等
は、責任者に定期的に報告を行い、監査を通じて是正すべき対策を検討している傾向がある。また、コンティンジェンシープラン（CP）の見直すべき項目を検討するために、リスクの特定を実施していることが多い（参考① ）。

(３８/５８)－

参考① コンティンジェンシープラン（CP）の見直し状況と各項目の関係性

実装しているセキュリティ対策の運用について責任者へ定期的に報告している76%

実装しているセキュリティ対策の運用について責任者へ定期的に報告していない

24%

41%

59%

コンティンジェンシープラン（CP）の見直し状況（単一回答）
監査を通じて、是正すべき対策の検討を実施している

67%

33%

61%
見直しを行った
監査を通じて、是正すべき対策の検討を実施していない

62%

41%

59%

39%
69%

リスクを特定している

見直しを行っていない

31%

38%

42%

リスクを特定していない

0%

25%

50%

2017年度

2018年度

75%

58%

100%
0%

（N=953）

25%

50%

75%

100%

コンティンジェンシープランの見直しを行った
コンティンジェンシープランの見直しを行っていない

アンケート調査結果詳細－

設問22 外部委託に関する規定の策定状況(３９/５８)－

参考① 外部委託に関する規定の策定状況と各項目の関係性

・外部委託に関する規程を策定している事業者等は、可搬媒体の持込
持ち出し制限を実施していたり、無許可ソフトウェアの導入を禁止していたり、重要データのアクセス制限を行っている傾向がある（参考①）。

可搬媒体の持込み/持ち出し制限を実施している

72%

可搬媒体の持込み/持ち出し制限を実施していない

28%

43%

57%

外部委託に関する規定の策定状況（単一回答）
無許可ソフトウェアの導入を禁止している

71%

29%

61%
規定している

無許可ソフトウェアの導入を禁止していない

67%

39%

43%

重要データへのアクセス制限を実施している

規定していない

57%

70%

30%

33%
重要データへのアクセス制限を実施していない0%25%
2017年度

50%
2018年度75%

100%（N=1,380）

40%

0%

25%

60%

50%

外部委託に関する規定を策定している※金融は読替え可能項目なし（集計していません）

外部委託に関する規定を策定していない- 295 -

75%100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問23 外部委託先管理に関する対策(４０/５８)－

参考① 外部委託先管理に関する対策と証跡管理実施の関係性

・証跡管理を行っている事業者は「対策項目の周知や定期点検・監査」を実施している傾向がある（参考①）。
・自事業者等も内部及び外部監査を実施している事業者は、外部委託先事業者等の定期点検・監査も実施している傾向がある（参考②）。

外部委託管理として、情報セキュリティ対策項目の周知、遵守方法の明確化を実施している68%

外部委託管理として、情報セキュリティ対策項目の周知、遵守方法の明確化を実施していない

32%

43%

57%

外部委託先管理に関する対策（複数回答）
外部委託管理として、
定期点検、監査を実施している

61%
69%

必要な情報のみ提供

53%

情報セキュリティ対策項目の周知、遵守方法の明確化

外部委託管理として、
定期点検、監査を実施していない

63%

外部委託を行っていない6%
2%

外部委託先の管理に関する対策は行ってい
ない

7%
5%

0%
2017年度

外部委託管理として、
定期点検、監査の実施した

外部委託管理として、
定期点検、監査の実施していない

25%

50%

50%

75%

100%

証跡管理を実施していない

参考② 外部委託先管理に関する対策と監査実施の関係性

58%
61%

緊急時の連絡体制の確立

50%

25%

証跡管理を実施している

30%
34%

委託先作業時の申請手続き

22%

50%

0%

30%
33%

定期点検、監査の実施

78%

75%

74%

8%

92%

100%
0%

（N=1,380）

2018年度

26%

25%

50%

75%

100%

内部監査及び外部監査の両方を実施した※金融は読替え可能項目なし（集計していません）

内部監査及び外部監査の両方は実施していない

アンケート調査結果詳細－

設問24 実施済みの情報セキュリティ対策
・重要データの暗号化を実施している事業者等は、情報資産の格付けを実施し、リスクの特定を行っている傾向がある（参考①）。
・証跡管理を行っている事業者等は、コンティンジェンシープラン（CP）を策定している傾向がある（参考②）。

(４１/５８)－

参考① 情報セキュリティ対策の実施状況と重要データ暗号化実施の関係性
53%

情報資産を格付けしている

47%

27%

情報資産を格付けしていない

73%

実施済みの情報セキュリティ対策（複数回答）
81%

サーバ室の入退室管理

91%
93%
92%

サーバ室の停電対策
67%

可搬媒体の持込み/持ち出し制限
57%

リモートアクセス制限/接続可能端末の管理

54%

リスクを特定している

46%

81%

71%

31%

リスクを特定していない

69%

89%
92%

ネットワークへの侵入防止
重要データへのアクセス制限

68%

0%

82%

74%

重要データのバックアップ

25%

重要データの暗号化を実施している

86%

50%

75%

100%

重要データの暗号化を実施していない

42%
44%

重要データの暗号化

65%

無許可ソフトウェアの導入禁止

参考② コンテンジェンシープラン（CP）策定状況と証跡管理実施の関係性

81%
84%
92%

機器廃棄時のデータ消去
48%

証跡管理

59%
87%
90%

マルウェア対策（標的型攻撃・ランサム…
OS/ソフトウェアのアップデート管理

0%

その他

0%
2%

何も対策をしていない

0%
0%

0%
2017年度

コンティンジェンシープランを策定している

82%

18%

82%

コンティンジェンシープランを策定していない25%
50%
2018年度

75%

52%

48%

100%

※一部選択肢において、金融は読替え可能項目なし（集計していません）※OS/ソフトウェアのアップデート管理は、2018年度から調査開始（N=2,031）- 296 -

0%25%

証跡管理を実施している

50%

75%

証跡管理を実施していない

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問25 責任者へのセキュリティ対策の運用報告(４２/５８)－

参考① 責任者へのセキュリティ対策の運用報告と各項目との関係性

・セキュリティ対策を実施する専門部署を設置している事業者等は、定期的に運用報告を行っている傾向がある（参考①） 。
・障害発生時のみ責任者へ報告している事業者等は、監査を実施しておらず、能動的な情報提供を行っていない傾向がある（参考②）。

1%
41%

専門部署を設置している

22%

21%

専門部署を設置していない

35%

25%

49%

6%

2%

セキュリティ対策のノウハウの蓄積を実施していない

7%

1%
26%

20%

32%

22%

52%

6%

2%

セキュリティ対策のノウハウの蓄積を実施した

16%

33%
56%

40%

能動的な情報発信を実施していない

12%

24%

24%

能動的な情報発信を
実施した

52%

不定期だが報告している

14%

監査を実施していない

64%

定期的に報告している

41%

監査を実施している責任者へのセキュリティ対策の運用報告（単一回答）

32%
10%

25%

17%

41%
60%

14%

20%

障害発生時のみ報告している

3%

30%

30%

予算を確保している

24%

15%

予算を確保していない

43%

20%

52%

12%

4%

報告していない

0%

3%

25%

50%

75%

100%

運用状況を責任者に定期的に報告している
0%

25%

50%

2017年度

2018年度75%100%

運用状況を責任者に不定期的だが報告している（N=2,049）

運用状況を責任者に障害発生時のみ報告している
運用状況を責任者に定期的に報告していない

アンケート調査結果詳細－

設問25-1 経営層への情報セキュリティ運用報告(４３/５８)－

参考① 経営層への報告状況と各項目の関係性・責任者に定期的に情報セキュリティ報告を行っている事業者等
は、経営層にも定期的に情報を報告している傾向がある（参考①）。
・経営層に報告している事業者等はリスクアセスメントの結果についても、経営層に報告を行っている傾向がある（参考②）。

3%
CISOを任命している

24%

32%

41%

CISOを任命していない

26%

31%

38%

1%

リスク対応に関する判断結果を経営層が把握している経営層への情報セキュリティ運用報告（単一回答）

5%39%

リスク対応に関する判断結果を経営層が把握していない

14%

33%

28%

30%

50%

6%

54%

すべて伝えている

37%

運用状況を責任者に
不定期に報告している

17%

一部伝えている2%

運用状況を責任者に定期的に報告している

30%

32%

38%

25%

運用状況を責任者に障害発生時のみ報告している

16%

22%

50%

20%

17%

62%

47%

36%

5%
4%

27%

障害発生時のみ伝えている

32%

経営層にリスクアセスメントの結果を報告していない

2%

伝えていない6%0%0%

経営層にリスクアセスメントの結果を報告している
21%

0%
25%

50%

2017年度

2018年度

75%

31%

25%

50%

100%

すべて情報を経営層まで伝えている（N=2,001）

一部の情報を経営層まで伝えている
障害発生時のみ経営層まで伝えている
経営層には伝えていない- 297 -

17%
44%

5%

75%

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問26 対外向けの情報共有窓口の設置状況(４４/５８)－

参考① 対外向け情報窓口の設置状況と各項目の関係性
リスク対応の要否に係る判断基準を定めている

・対外向けの情報共有窓口を設置している事業者等は、リスク対応の優
先順位に係る判断基準、対応要否に係る判断基準、リスクに応じた対応手段の判断基準が決められているだけではなく、障害発生時のサービス利用者への情報発信に関する基準も定めている傾向がある（参考
①）。

51%

リスク対応の要否に係る判断基準を定めていない

対外向けの情報共有窓口の設置状況（単一回答）

49%

24%

リスク対応の優先順位に係る判断基準を定めている

76%

54%

リスク対応の優先順位に係る判断基準を定めていない

46%

25%

75%

41%
設置している
32%

リスクに応じた対応手段の判断基準を定めている

49%

リスクに応じた対応手段の判断基準を定めていない

51%

25%

75%

59%
設置していない
障害発生時に利用者に対して情報発信を行う判断基準を
定めている

68%

0%

25%

50%

2017年度

75%

100%

障害発生時に利用者に対して情報発信を行う判断基準を定めていない

46%

23%

0%

（N=1,380）

2018年度

54%

77%

25%

50%

75%

100%

対外向けの情報共有窓口を設置している※金融は読替え可能項目なし（集計していません）

対外向けの情報共有窓口を設置していない

アンケート調査結果詳細－

設問27 障害発生時における連絡体制の整備状況(４５/５８)－

参考① 障害発生時の連絡体制整備状況と各項目の関係性
5%・障害発生時における連絡体制を整備している事業者等は、情報セキュリティの管理担当者を任命しており、情報資産の格付けを実施し、外部委託の際に緊急連絡の体制を整備して、経営層にリス
ク対応に関する判断結果が共有されている傾向がある（参考
①）。

95%

管理担当者の任命している

86%

管理担当者の任命していない

14%

3%

障害発生時における連絡体制の整備状況（単一回答）

情報資産の格付けを
行っている

97%

情報資産の格付けを行っていない

88%

12%

93%
整備している4%

外部委託の際、緊急時の連絡体制の確立している

94%

96%

外部委託の際、緊急時の連絡体制の確立していない

87%

13%

7%
3%

整備していない

リスク対応に関する判断結果を経営層が把握している

6%

97%

リスク対応に関する判断結果を経営層が把握していない0%25%
2017年度

50%
2018年度75%

100%（N=2,029）

88%

0%

25%

50%

12%

75%

障害発生時における連絡体制が整備されている障害発生時における連絡体制が整備されていない- 298 -

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問28 障害発生時の利用者アナウンスの判断基準(４６/５８)－

参考① 障害発生時の判断基準策定と各項目の関係性
リスク対応の要否に係る判断基準を定めている

・アナウンスの判断基準を定めている事業者等は、リスクに対して判断基準もそれぞれ明確化されており、その基準および判断結果を経営層が把握している傾向がある（参考①）。

52%

リスク対応の要否に係る判断基準を定めていない

障害発生時の利用者アナウンスの判断基準（単一回答）

48%

19%

81%

リスク対応の優先順位に係る判断基準を定めている

58%

リスク対応の優先順位に係る判断基準を定めていない

42%

19%

81%

43%
定めている
リスクに応じた対応手段の判断基準を定めている

29%

54%

リスクに応じた対応手段の判断基準を定めていない

46%

19%

81%

57%
定めていないリスク対応に関する判断結果を経営層が把握している

71%

43%

リスク対応に関する判断結果を経営層が把握していない

0%

25%

50%

2017年度

75%

100%

18%

0%

（N=1,380）

2018年度

25%

50%

75%

100%

障害発生時に利用者に対して情報発信を行う判断基準を定めていない

アンケート調査結果詳細－

設問29 情報セキュリティに関する監査実施状況(４７/５８)－

参考① 監査の実施状況とCISOの設置状況の関係

・CISOを任命している事業者は、内外監査を実施し、全従業員向けの研修を実施している傾向がある（参考①、参考②）。また、内部と外部の監査の両方を実施している９割の事業者等では、全社員向けの研修が行われている（参考②） 。

情報セキュリティに関する監査実施状況（単一回答）

80%

内部監査のみ実施した

20%

外部監査のみ実施した

72%

28%

内部監査及び外部監査の両方を実施した

73%

27%

60%

監査を実施していない

0%
31%

40%

25%

50%

75%

100%

CISO(最高情報セキュリティ責任者を任命している

35%

CISO(最高情報セキュリティ責任者)を任命していない

参考② 監査の実施状況と全従業員向けの研修実施状況の関係

3%

外部監査のみ実施した

82%

障害発生時に利用者に対して情報発信を行う判断基準を定めている※金融は読替え可能項目なし（集計していません）

内部監査のみ実施した

57%

5%
内部監査のみ実施した

76%

24%

外部監査のみ実施した

74%

26%

38%

内部監査及び外部監査の両方を実施した

28%

27%

実施していない

内部監査及び外部監査の両方を実施した32%

0%
2017年度

25%
2018年度

50%

75%

100%

89%

50%

監査を実施していない（N=2,030）

0%25%

全従業員向けの研修を実施した- 299 -

11%

50%

50%

75%

100%

全従業員向けの研修を実施していない

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－(４８/５８)－

設問29-1 監査を通じた対策の是正検討状況
・監査を通じて対策の是正を実施している事業者等は、監査を、「内部・外部」＞「外部のみ」＞「内部のみ」の順で実施している。
是正まで実施している事業者等は、全体的に取組が進んでいる傾向がある（参考①）。

参考① 内部監査と外部監査の実施状況と対策の是正状況の関係性
2%

監査を通じた対策の是正検討状況（単一回答）

98%

内部監査及び外部監査の両方を実施した

99%
実施した
92%

外部監査のみ実施した

95%

1%

86%

内部監査のみ実施したを肯定

実施していない

8%

14%

5%

0%
0%

25%

50%

2017年度75%

100%（N=1,372）

2018年度

アンケート調査結果詳細－(４９/５８)

75%

100%

－

参考① 外部の演習等に参加している事業者等における分野横断的演習認知度と参加状況の関係性

46%

分野横断的演習の認知状況

0%
45%

54%

21%

分野横断的演習の参加状況

外部の演習等への参加状況（単一回答）

50%

監査を通じて、是正すべき対策について検討を実施していない

設問30 外部の演習等への参加状況
・外部の演習等に参加している事業者等のうち、５割弱が分野横断的演習を認知しており、約2割が分野横断的演習に参加した（参考①）。外部の演習等に参加するような演習に対して積極的な事業者等に対する分野横断的演習のPRは一定の効果が出ている。
・CSIRTが設置されている事業者等は「外部の演習等に参加している」
傾向がある（参考②）。外部の演習等を通じて、他社の状況に刺激を受け、改善活動が進んでいると推察できる。

25%

監査を通じて、是正すべき対策について検討を実施した

79%

25%

知っている・参加した

50%

75%

100%

知らない・参加していない

参加した

参考② 外部の演習等に参加している事業者等とCSIRT設置状況の関係性

60%

外部の演習等に
参加した

39%

61%

55%
参加していない40%
外部の演習等に参加していない0%25%
2017年度

50%
2018年度

75%

19%

81%

100%
（N=2,033）

0%25%
CSIRTを設置している- 300 -

50%

75%

CSIRTを設置していない

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－(５０/５８)－

設問31 事業者等の内部で実施している演習等の実施状況
・事業者等ごとに演習を実施している事業者等では、リスクの特定やコンティ
ンジェンシープラン（CP）の策定もできている傾向がある（参考①）。
・リスクの特定やコンティンジェンシープラン（CP）の策定ができている事業者
等は、演習の機会を通じて、改善項目の洗い出しをしていると推察できる。

参考① 内部で実施している演習内容と各項目の関係性

44%

リスクを特定している

56%

事業者内部で実施している演習等の実施状況（単一回答）
20%

リスクを特定していない

80%

35%
実施した
34%

コンティンジェンシープランを策定している

65%

53%

47%

実施していない66%

コンティンジェンシープランを策定していない

0%

25%

50%

2017年度

75%

22%

78%

100%
（N=2,033）

2018年度

0%

アンケート調査結果詳細
設問32 情報共有体制下での受信状況

－

25%

50%

75%

100%

内部での演習を実施した

内部での演習を実施していない(５１/５８)－

設問32-1 受信情報の有効活用度

・NISCや省庁、情報セキュリティ機関といった外部から展開された情報の受信については増加傾向があるが、セプター内、セプター間の情報共有が低調でありセプターの活動の活性化を図る必要がある。

・提供された情報を基に対策を行っている事業者が増加しており、引き続き情報提供を着実に行うことが必要であると考えられる。

情報共有体制下での受信状況（複数回答）

受信情報の有効活用度（単一回答）

NISCや省庁から展開された情報（書面展開さ
れたもの）

79%
81%

貴社のセプター事務局から展開された情報
貴社のセプターの構成事業者から展開された情報66%提供された情報を基にセキュリティ対策を行っ
た

54%

32%

72%

22%
14%

他のセプターの構成事業者から展開された情
報

11%
7%

情報セキュリティ関係機関から展開された情
報

54%

0%

ベンダから展開された情報
その他
受け取っている情報はない

6%
3%

0%

22%

提供された情報に該当する製品等がなかった

9%

41%

4%
1%

2017年度

8%

68%

12%
8%

セプターカウンシルから展開された情報

13%

情報提供される前に対応できていた

0%

見直しに繋がらなかった

25%

50%

2018年度※金融は読替え可能項目なし（集計していません）※ベンダから展開された情報は、2018年度から調査開始

75%

100%

10%

0%

（N=1,380）

2017年度

25%
2018年度※金融は読替え可能項目なし（集計していません）- 301 -

50%

75%

100%
（N=1,331）

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細
設問33 能動的に行った情報共有状況－(５２/５８)－

設問34 分野横断的演習の認知状況

・能動的に情報共有を行っていない事業者が依然として半数以上となっている。また、情報セキュリティ機関への情報共有は増加している一方で所管省庁やセプターへの情報共有は低下しており、その状況も依然として低調である。情報共有の必要性の周知や、情報共有することによるメリットを示すなど、情報共有の活発化に向けた取組を行う必要がある。

・「知っているが参加していない」事業者に向け、自職場参加の推奨等にて参加を促し、分野横断的演習に可能な限り参加できるよう継続的な取り組みが望まれる。
また、「知らない」事業者に対しては、所管省庁等を通して広報活動を行う必要がある。

能動的に行った情報共有状況（複数回答）

分野横断的演習の認知状況（単一回答）

所管省庁（NISC）への情報共有

17%
15%

知っており、実際に前年度参加した

貴社のセプター事務局への情報共有

18%
11%

知っていたが、開催地が遠いため参加できな
かった

11%
9%

知っていたが、スケジュールが合わず参加できなかった

貴社のセプターの構成事業者への情報共有

6%
10%
14%
15%

知っていたが、組織内で理解が得られず参加できなかった4%3%

他のセプターの構成事業者への情報共有

19%
13%

知っていたが、参加できる人員が不足しているため参加できなかった

14%
20%

情報セキュリティ関係機関への情報共有

1%
1%
18%
14%

セプターカウンシルへの情報共有

2%2%

知っていたが、参加しなくても対処能力を十分に有している

0%
0%

その他

4%
3%

知っていたが、他の訓練や演習に参加しているため、分野横断的演習には参加しなかった

3%
8%

60%
60%

行っていない0%
2017年度

25%

50%

75%

100%

0%

（N=1,380）

2018年度※金融は読替え可能項目なし（集計していません）

2017年度

－設問35 内部での訓練・演習の実施内容
・「実施していない」事業者については、まずは分野横断的演習等の演習に参加することが有効であると考えられるため、継続して演習開催の取り組みを行う必要がある。

内部での訓練・演習の実施内容（複数回答）
23%
15%

関係主体間(自社、他社(ベンダー等)、関係省
庁)の情報共有が正しく機能するか検証する
訓練や演習

9%
10%

実機を用いるなど技術面で対処能力向上のための検証する訓練や演習(シミュレーション
テストや本番テスト)

13%
7%

机上演習などで技術面で対処能力向上のための検証を行う訓練や演習(ワークショップ訓練やロールプレイング訓練)

16%
13%

60%

実施していない69%

0%
2017年度

25%
2018年度

25%
2018年度※金融は読替え可能項目なし（集計していません）

アンケート調査結果詳細

自社内の情報共有が正しく機能するか検証す
る訓練や演習

38%
39%

知らない

50%

75%

100%
（N=1,380）※金融は読替え可能項目なし（集計していません）- 302 -

(５３/５８)

－

50%

75%

100%
（N=1,380）

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－

設問36 機能保証の考え方を踏まえたリスクアセスメントの
認知状況
・何らかのNISCの取組を把握している事業者等のうち、 ６割の事業者
で機能保証の考え方が浸透していない。また、リスクアセスメント手引書を把握している事業者等は５割である。そのため、一層の周知・啓発の必要性が認められる（参考①）。
・機能保証の考え方を踏まえたリスクアセスメントが浸透している事業者等であっても、うち4割がリスク対応の優先順位に係る判断基準を定めていないため、一層の実践が期待される。（参考②）(５４/５８)－

参考① 機能保証の考え方とNISCの取組認知度の関係性

NISCの取組を知っている39%

リスクアセスメント手引書を知っている

機能保証の考え方を踏まえた
リスクアセスメントの認知状況（単一回答）

61%

50%

0%

50%

25%

50%

機能保証の考え方が浸透している
21%

機能保証の考え方を踏まえたリスクアセスメ
ントが浸透している

75%

100%

機能保証の考え方が浸透していない

参考② リスクアセスメントの浸透とリスク対応の判断基準（優先順位）の関係性

15%

11%

機能保証の考え方を踏まえていないが、リスクアセスメントは浸透している

7%
機能保証の考え方を踏まえた
リスクアセスメントが浸透している

62%

38%

17%

機能保証の考え方は浸透しているが、リスク
アセスメントには反映されていない

17%
機能保証の考え方を踏まえた
リスクアセスメントが浸透していない

51%

機能保証の考え方もリスクアセスメントも浸透
していない

18%

82%

61%

0%
2017年度

25%

50%

75%

0%

100%
（N=1,380）

2018年度

25%

50%

75%

100%

リスク対応の優先順位に係る判断基準を定めている※金融は読替え可能項目なし（集計していません）

リスク対応の優先順位に係る判断基準を定めていない

アンケート調査結果詳細－(５５/５８)－

設問36-1 結果を踏まえた対策の実施状況
・機能保証の考え方を踏まえたリスクアセスメントが浸透している事業者等のうち7割の事業者等が、リスクアセスメントの結果を経営層へ報告していることが分かる（参考①）。一方で、全体ではリスクアセスメント自体の認知率・実施率ともに昨年より悪化している。リスクアセスメントの結果を踏まえたリスク低減等の対応を戦略的に講じることは経営者の責務であるため、機能保証の考え方の浸透も含め、経営層への更なる働きかけが必要である。

参考① 機能保証の考え方（リスクアセスメント）の浸透状況と経営層への報告（結果）の関係性

結果を踏まえた対策の実施有無（単一回答）
49%

経営層にリスクアセスメントの結果を報告し、結果を踏まえた対策を行っている。

37%
機能保証の考え方を踏まえた
リスクアセスメントが浸透している

経営層への説明は行っていないが、リスクア
セスメントの結果を踏まえた対策を行ってい
る。

67%

33%

16%
19%

11%

リスクアセスメントは実施しているが、その結果を踏まえた対策は行っていない。

5%9%
機能保証の考え方を踏まえた
リスクアセスメントが浸透していない

95%

24%

リスクアセスメントを実施していない。

35%0%2017年度

25%
2018年度

50%

75%

100%
（N=543）

0%

25%

50%

75%

経営層にリスクアセスメントの結果を報告している
経営層にリスクアセスメントの結果を報告していない※金融は読替え可能項目なし（集計していません）- 303 -

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－(５６/５８)－

設問37 機能保証の考え方を踏まえた事業継続計画（BCP）やコンティンジェンシープラン（CP）等の策定状況
・機能保証の考え方を踏まえたリスクアセスメントが浸透している事業者のうち、機能保証の考え方を踏まえた事業継続計画（BCP）・コンティン
ジェンシープラン（CP）等が整備されている事業者は6割に留まっており、一層の実践が期待される（参考①）。
・策定中・計画中の事業者も合わせると８割になるため、それらの事業者への支援も有効と考えられる。
・全体では機能保証の考え方そのものの浸透に課題があり、まずはその普及・啓発が必要と考えられる。
機能保証の考え方を踏まえた事業継続計画（BCP）・コン
ティンジェンシープラン（CP）等の策定状況（単一回答）
機能保証の考え方を踏まえた事業継続計画・
コンティンジェンシープラン等が整備されている。

参考① 機能保証の考え方の浸透状況と事業継続計画/コンティンジェンシープラン整備状況の関係性

機能保証の考え方を踏まえたリスクアセスメントが浸透している

62%

38%

26%
25%

機能保証の考え方を踏まえていないが、事業継続計画・コンティンジェンシープラン等が整備されている。

20%

機能保証の考え方を踏まえて、現在策定中である。あるいは策定を計画している。

21%

25%
機能保証の考え方を踏まえたリスクアセスメントが浸透していない

9%

91%

19%

33%

機能保証の考え方を踏まえていないが、現在策定中である。あるいは策定を計画している。

31%0%
2017年度

25%

0%
50%

75%

2018年度

25%

50%

75%

100%

機能保証の考え方を踏まえた事業継続計画・コンティンジェンシープラン等が整備されている100%（N=940）

機能保証の考え方を踏まえた事業継続計画・コンティンジェンシープラン等が整備されていない※金融は読替え可能項目なし（集計していません）

アンケート調査結果詳細－(５７/５８)－

設問38 国の施策に対する意見
・事業者の状況に合わせた取組や技術動向に合致していると回答
した者は、NISCの取組や自分野のガイドラインを把握している傾向があり、国の施策を理解した上でセキュリティ対策に取り組んでいるものと考えられる（参考①）。

参考① NISC等の取組把握状況と事業者等のセキュリティ対策の取組の関係性

国の施策に対する意見（単一回答）
事業者の状況に合わせた取組や技術動向に合致している
対応になっている

41%
事業者の状況に合わせた取組になっている

75%

25%

36%

49%
技術動向に合った適切な取組になっている
46%

事業者の状況に合わせた取組や技術動向に合致している
対応になっていない

20%
上記の対応になっていない

57%

43%

27%

0%
2017年度

25%
2018年度

50%

75%

100%
（N=1,380）0%※金融は読替え可能項目なし（集計していません）

NISCの取組を把握している- 304 -

25%

50%

75%

NISCの取組を把握していない

100%

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査結果詳細－(５８/５８)－

設問39 重要インフラニュースレターに関する状況
・重要インフラニュースレターが届いていない、あるいはその存在すら知らないという事業者が増加しており、その結果参考にしている事業者についても減少してしまっている。事業者が求める内容を調べるとともに、周知活動や配信先の確認等を行う必要がある。

重要インフラニュースレターに関する状況（単一回答）
60%

毎号届いており、参考にしている

35%

10%

毎回ではないが届いており、参考にしている

7%

10%

届いてはいるが、あまり参考にはしていない

8%

6%

まったく届いていない

16%

13%

存在を知らない34%0%
2017年度

25%
2018年度

50%

75%

100%
（N=1,380）※金融は読替え可能項目なし（集計していません）

アンケート項目調査に用いたｱﾝｹｰﾄ項目は以下の通り。なお、各項目のｸﾞﾗﾌについては「5.調査結果詳細」の該当設問を参照のこと【Ⅰ．前提条件】

分野の選択
従業員数（規模）の選択【Ⅱ．浸透状況等調査項目】
設問1
設問2
設問3
設問4
設問4-1
設問5
設問6
設問7
設問8
設問9
設問9-1
設問9-2
設問9-3
設問9-4
設問10
設問10-1
設問11
設問11-1
設問11-2
設問12
設問12-1
設問13
設問13-1
設問14

NISCの取組の認知状況
自分野の安全基準等の認知状況
情報セキュリティ対策の実施に向けた予算の確保状況
セキュリティ人材の確保状況必要とする人材の職種
セキュリティ人材育成の取組状況
全従業員向けセキュリティ研修の実施状況
内部体制の取組状況
情報セキュリティ対策のノウハウの蓄積方法
情報セキュリティ対策に関する基本方針の策定状況
基本方針の策定に関する経営層の関与状況策定した基本方針の外部公表状況
基本方針の見直し検討状況
基本方針の見直し検討の契機
情報セキュリティ対策に関する計画策定状況
計画の見直し（又は修正）状況
取扱い情報資産（システム含む）の洗い出し及び台帳等での管理状況
情報資産の重要度に応じた格付け状況
情報資産の見直し状況
脅威や脆弱性等の情報収集
情報収集の確認頻度
リスクの特定状況
リスクの特定方法
リスク対応の要否に係る判断基準- 305 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）【Ⅱ．浸透状況等調査項目】（続き）
設問15
設問16
設問17
設問18
設問18-1
設問18-2
設問18-3
設問19
設問20
設問20-1
設問20-2
設問20-3
設問21
設問21-1
設問22
設問23
設問24
設問25
設問25-1
設問26
設問27
設問28
設問29
設問29-1
設問30
設問31

リスク対応の優先順位に係る判断基準
リスクに応じた対応手段の判断基準
リスク対応に関する判断結果についての経営層の把握状況
情報セキュリティに関する内規の策定状況
内規等を策定する際の参考文献
策定した内規の見直し検討状況
内規の見直し検討の契機
情報の取扱いに関する規定の策定状況
事業継続計画（BCP）の策定状況
事業継続計画（BCP）に基づいた訓練状況
事業継続計画（BCP）の見直し状況
事業継続計画（BCP）の見直し契機
コンティンジェンシープラン（CP）策定状況
コンティンジェンシープラン（CP）の見直し状況
外部委託に関する規定の策定状況
外部委託先管理に関する対策
実施済みの情報セキュリティ対策
責任者へのセキュリティ対策の運用報告
経営層への情報セキュリティ運用報告
対外向けの情報共有窓口の設置状況
障害発生時における連絡体制の整備状況
障害発生時の利用者アナウンスの判断基準
情報セキュリティに関する監査実施状況
監査を通じた対策の是正検討状況
外部の演習等への参加状況
内部での演習等の実施状況【Ⅲ．国の施策の取組状況調査】
設問32
設問32-1
設問33
設問34
設問35
設問36
設問36-1
設問37
設問38
設問39

情報共有体制下での受信状況
受信情報の有効活用度
能動的に行った情報共有状況
分野横断的演習の認知状況
内部での訓練・演習の実施内容
機能保証の考え方を踏まえたリスクアセスメントの認知状況
結果を踏まえた対策の実施状況
機能保証の考え方を踏まえた事業継続計画（BCP）・コンティンジェンシープラン（CP）等の策定状況
国の施策に対する意見
重要インフラニュースレターに関する状況【Ⅳ． 自由記述】
a.
b.
c.
d.
e.
f.
g.
h.
i.
j.
k.
l.
m.
n.
o.
p.

本編及び対策編に対する意見（自由意見を記載）
安全基準等に対する意見（自由意見を記載）
その他の意見（自由意見を記載）
NISCの取組についての意見（自由意見を記載）
セキュリティ人材についての意見（自由意見を記載）
人材育成についての意見（自由意見を記載）
内部統制強化についての意見（自由意見を記載）
ノウハウの蓄積方法についての意見（自由意見を記載）
基本方針の見直し契機についての意見（自由意見を記載）
リスクの特定方法についての意見（自由意見を記載）
内規の策定する際の参考文献に関する意見（自由意見を記載）
内規の見直し契機についての意見（自由意見を記載）
事業継続計画（BCP）の見直し契機についての意見（自由意見を記載）
セキュリティ対策の実施手法に関する意見（自由意見を記載）
情報共有（受信側）に関する意見（自由意見を記載）
情報共有（送信側）に関する意見（自由意見を記載）- 306 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）

アンケート調査の自由意見【安全基準等に関する意見・要望等】
•
•
•
•
•
•
•

•
•
•
•
•
•

情報セキュリティポリシーを策定する際には、安全基準等や関連組織が発行しているガイドブック等を参考にしている。
販売されている情報システムの製品については、購入時点で情報セキュリティのガイドライン等に準拠することができるよう、政府として動いていただきたい。
分野特有のシステムに汎用的なOSの採用やバックアップの回線にインターネットVPNの採用等の新たなリスクが増加していることから、安全基準等を改正する際には、事業者の現状を把握する必要がある。
安全基準等は、策定する所管省庁ごとに事業者に求める対策水準が異なるため、設備によっては対策水準が異なる。分野によらない一律の対策水準を策定していただきたい。
安全基準等を策定する際は、最終目標だけでなく、各事業者等の事情を踏まえ、状況に応じた段階的な対応策及び業務支援の拡充を考慮したうえで、円滑な対応ができるよう検討いただきたい。
安全基準等の内容が抽象的である。安全基準等として、どの程度の対策水準を求めているのか、またどの対策の水準を満たせば十分なのか具体的かつ明確に示していただきたい。
事業規模が小さい事業者では、人材面や資金面が十分ではないため、政府や情報セキュリティ関連団体が要求する事項を実施することは難しい。対策を実施するのに障壁が高いセキュリティ対策を要求するのであれば、実現可能な手立ても併せて提示していただきたい。事業規模に合わせた対策内容や優先順位、ロードマップ等を示していただきたい。
事業規模が小さい事業者は人材や資金が乏しいため、安全基準等の対策をすべて講じることは難しい。事業規模を考慮した安全基準等を策定していただきたい。
安全基準等の充足度が事業者でも確認できるチェックリストがほしい。
安全基準等の改訂があった場合は、わかりやすい新旧対照表をいただきたい。
一部の安全基準等は、難しい専門的用語やカタカナ英語を用いているので、わかりにくい。初心者でも理解し、読み手全員が共通の認識を得られるように、解説や例示を設ける等の配慮をいただきたい。
安全基準等に基づき規則・基準・内規等を整備したとしても、その実効性に疑問がある。また、訓練や演習、監査も人材面や資金面の負担が大きい。そのため、費用対効果の高い対策等を示していただきたい。
重要サービスの提供に関わる重要な施設は広大であり、様々な職種の方が作業に関わるため、入退管理制限対策を行い、部外者の侵入を完全に塞ぐことは難しい。

【指針に関する意見・要望等】• 一部の分野では、指針を参考にガイドラインが策定され、チェックシート等が整備された。
• 具体的にどのような対策を進めていくべきか、明示的に示してほしい。
• 「機能保証」は重要であるが、これを前提すると情報セキュリティ以外も考慮する必要が発生してしまう。
【情報共有体制の推進に関する意見・要望等】• 一部の分野では、業法に基づいて報告する事案でないヒヤリハット等を情報共有できるルートが設定されている。
• 第４次行動計画の情報共有体制では、業法に関わる事案やヒヤリハットで匿名化の処置が必要な事案によって、報告ルートが異なっている。インシデント対応は対応事項が多いので、報告ルートを統一化し、事業者負担の軽減してほしい。
• 政府やセプター事務局、セキュリティ関係機関は、脅威の大きさに関わらず注意喚起を行っているため、その件数が多い。結果、事業者が情報の確認や評価する負荷が増加したため、脅威情報の検知等が遅くなるリスクが増加している。情報提供元が情報を集約し、評価していただきたい。
• 報告先により、情報共有方法（メール、システム、電話等）が統一されていない。この部分も、統一化していただきたい。
• 情報共有の手法が、情報共有ツールを用いたシステム化が進んでいるが、一部の事業者ではセキュリティ上の思想により、情報共有ツールが遮断されているケースもあり、情報の共有にタイムラグが生じている。
• 政府の施策が改善され、事業者まで周知が必要な事項の場合は、連絡していただきたい。
• 情報システム部とセキュリティベンダーの月例会を実施し、サイバーセキュリティインシデントに関する情報交換を行っている。
• 情報セキュリティのインシデント事例の提供は有難い。必要に応じて、関係部署と共有し、セキュリティ強化を図っている。
• セキュリティ情報は積極的に収集しているが、情報報告や社内展開には消極的である。
• セキュリティベンダーの担当者から定期的にセキュリティパッチ配信や情報セキュリティの助言をいただいている。
• 地域的に近い事業者や同じ分野の事業者、ITユーザ会の参加事業者と情報システム部会を開催し、意見交換している。
• 技術の進展やソフトウエアの開発によって、リスクや脅威の変化するので、最新の状況を連携していただきたい。
• 情報システムや情報セキュリティの発展速度が著しく早いため、習得したノウハウがすぐに過去のものになってしまう。また、情報セキュリ
ティの情報は公開されにくいため、最新情報が簡単には得にくい。

- 307 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－４ 安全基準等の浸透状況等に関する調査（アンケート調査）【国・政府に対する意見・要望等】
•
•
•
•
•
•

•
•
•
•

•
•

•

NISCが発行している重要インフラニュースレターは、必要な情報がまとめられており、対策検討や注意喚起に役立っている。
重要インフラニュースレターの情報は、専門性が高く、送られてくる情報が理解できない部分がある。
政府や情報セキュリティ関係機関から早期警戒情報や脆弱性情報等の情報が届くが、提供元ルートを一元化してほしい。
分野的横断演習のインデント対応の中で、自社の対応における問題点や課題が明確になった。
「重要インフラ事業者等」に該当する事業者等の定義を明確にしていただきたい。
ランサムウェア等によるシステム不全に陥るようなサイバー攻撃が目立ってきているが、現状では、マルウェアの対策はソフトウェ
ア業界任せになっており、表面化していない脅威に積極的に取り組んでいるとは言い難い。そのような脅威を未然に防ぐためにも、政府の研究機関等が、マルウェア対策に取り組んでいただきたい。
情報セキュリティに関わる「人材育成」を重要課題と捉え、積極的な支援や方策等について取り組んでいただきたい。
情報セキュリティ対策に関わる補助金などを準備いただきたい。
情報セキュリティの担当者が少ない事業者でも取り組めるセキュリティ対策良好事例を紹介いただききたい。
ネットワークを含めたセキュリティの基礎から習得する必要があるため、Cyderだけでなく、ベンダーが実施している有償の技術研修にも参加している。セキュリティ対策への理解が得られなければ、予算の確保もできないため、Cyder等の研修において、ネットワークを含めたセキュリティの基礎から習得する研修を設定してほしい。
CSIRT構築など情報セキュリティ対策として求められる要件を鑑みて、最低限義務付ける人員・業務項目を提示いただくとともに、ハードルの高いセキュリティ対策を要求するなら、実現可能な手立てや態勢整備のための支援・補助を期待する。
情報セキュリティや情報システムを保守する技術職の人材不足で、十分な対応ができない。また、次世代の育成にも問題を抱えている。政府として、事業規模の小さい事業者でも、情報セキュリティや情報システムを保守する技術職の従業員が十分確保できるような施策を行っていただきたい。
IoT機器やSNSの普及により、インターネット環境が必要不可欠となってきている。利便性を高めつつ、セキュリティ強化をする必要があり、設備費用や運用費用も高額になっている。政府として、費用を抑える仕組みを検討していただきたい。

【アンケートに関する意見・要望等】
•
•
•

•
•
•

アンケート後に表示される事業者に向けた「アドバイス」があり、大変参考になった。
情報セキュリティ対策のノウハウを蓄積するという考えそのものがなく、大変参考になった。
情報セキュリティの専門知識を有する従業員が少ない事業者等もいるため、情報セキュリティ用語の説明や推奨される取り組み等のURLを増やして頂けると他部署の従業員等への情報の共有や浸透に、より一層利用しやすくなる。
重要インフラサービス提供に最も大きく影響するシステムに対する設問への回答が、実態とそぐわない場合がある。そのシステムについて回答を求める場合は、実態に合った設問に修正していただきたい。
重要システムの運用管理部門と全体統制を行う部門が異なるため、各設問項目において、回答すべき部門や回答を想定しているシステム等を明記していただきたい。（「システム運用部門への問い」「全社的なリスク統括部門への問い」 等）「アンケート設問に対する注釈の内容が読めない」「解説文のアドレスをコピーできない」「表示されるURLがリンク切れしている」等があるため、必要に応じて改善していただきたい。また、シートの保護を解除する件について、ご検討いただきたい。

【その他の意見】•

情報セキュリティは社内を横断した対策を求められることから様々な知見が必要だが、情報セキュリティを一括して相談できる窓口がない。コンサルタントに相談することも考えられるが、資金が必要となるため、事業規模の小さい事業者では、現実的な選択肢ではなく、対策の取り組みが滞ってしまう。

- 308 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－５ 安全基準等の浸透状況等に関する調査（往訪調査）

別添４－５

安全基準等の浸透状況等に関する調査（往訪調査）
往訪調査の目的等

1.本調査の目的••

アンケート調査結果から得られた仮説の検証及び良好事例の収集
各分野の状況把握や技術動向等の情報収集に努め、随時施策に反映※重要インフラの情報セキュリティ対策に係る第４次行動計画（平成29年４月18日サイバーセキュリティ戦略本部決定）

2.調査方法
安全基準等の浸透状況等調査の結果を基にした現地ヒアリング（2時間程度）

3.主な調査内容① 経営層の関わり方について② 演習や訓練について③ 情報共有体制について④ 内部・外部犯行対策について⑤ システムの出入り口対策について

4.調査対象5.調査期間2018年1月～2018年12月

重要インフラ事業者等 16者

情報通信分野・航空分野・鉄道分野・物流分野・ガス分野・クレジット分野※アンケート調査結果・地域特性・事業規模を踏まえ、選定※所管省庁や関係セプター事務局と調整の上、対象事業者を選定

6.調査結果
往訪先事業者等から得られた検証結果と良好事例を取りまとめた。
※調査対象を公表することにより事業者に不利益が生ずる可能性があるため、個社名は非公表

往訪調査で収集した良好事例のトピック- 309 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－５ 安全基準等の浸透状況等に関する調査（往訪調査）

往訪調査結果（1/5）

経営層の関わり方について

往訪調査結果（2/5）

演習や訓練について- 310 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－５ 安全基準等の浸透状況等に関する調査（往訪調査）

往訪調査結果（3/5）

往訪調査結果（4/5）

情報共有体制について

内部・外部犯行対策について- 311 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－５ 安全基準等の浸透状況等に関する調査（往訪調査）

往訪調査結果（5/5）

システムの出入り口対策について- 312 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－６ 情報共有件数

別添４－６

情報共有件数「重要インフラの情報セキュリティ対策に係る第４次行動計画」に基づき、内閣官房(NISC)、
関係省庁、関係機関及び重要インフラ事業者等との間で行われた情報共有の実施状況は以下のとおり。
FY27 FY28 FY29

実施形態

FY30

計

計

計

1Q

2Q

3Q

4Q

計

重要インフラ事業者等から NISC への情報連絡(※)

401

856

388

69

50

60

44

223

関係省庁・関係機関からの NISC への情報共有

52

41

19

0

1

3

3

7

NISC からの情報提供

44

80

54

7

17

8

11

43

※１)重要インフラ事業者等からNISCへの情報連絡の事象別内訳は以下のとおり。
FY27 FY28 FY29

事象の類型

FY30

計

計

計

1Q

2Q

3Q

4Q

計

予兆・ヒヤリハット

75

330

80

7

8

8

4

27

機密性を脅かす事象

情報の漏えい

15

30

15

4

4

2

3

13

完全性を脅かす事象

情報の破壊

52

47

20

5

7

3

2

17

可用性を脅かす事象システム等の利用困難

86

80

143

21

20

29

27

97

マルウェア等の感染

111

289

65

9

2

4

2

17

不正コード等の実行

11

10

13

2

1

0

1

4

システム等への侵入

27

26

17

6

1

3

4

14

その他

24

44

35

15

7

11

1

34

未発生の事象発生した事象

上記につながる事象※２)上記事象における原因別類型は以下のとおり。
（複数選択）
事象の類型

意図的な原因偶発的な原因環境的な原因その他の原因

FY27

FY28

FY29

計

計

計

FY30
1Q

2Q

3Q

4Q

計

不審メール等の受信

83

546

89

16

5

9

6

36

ユーザＩＤ等の偽り

8

1

4

2

1

0

0

3

DoS 攻撃等の大量アクセス

47

23

31

6

4

5

2

17

情報の不正取得

8

14

16

2

5

1

2

10

内部不正

2

0

4

1

0

0

0

1

適切なシステム等運用の未実施

10

19

15

4

1

7

2

14

ユーザの操作ミス

10

15

23

4

1

4

1

10

ユーザの管理ミス

5

8

13

5

0

1

0

6

不審なファイルの実行

51

243

42

10

5

1

0

16

不審なサイトの閲覧

49

29

20

1

1

1

1

4

外部委託先の管理ミス

12

20

41

11

9

5

4

29

機器等の故障

17

22

32

8

8

7

4

27

システムの脆弱性

29

56

36

7

6

5

1

19

他分野の障害からの波及

5

0

10

2

0

1

3

6

災害や疾病等

0

0

0

0

0

1

0

1

その他

22

34

29

6

7

8

8

29

不明

105

92

57

10

9

14

13

46

- 313 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－７ セプター概要

別添４－７

セプター概要
セプター及びセプターカウンシルの概要

セプター（ＣＥＰＴＯＡＲ）Capability for Engineering of Protection, Technical Operation, Analysis and Response
重要インフラ事業者等の情報共有・分析機能及び当該機能を担う組織。
重要インフラサービス障害の未然防止、発生時の被害拡大防止・迅速な復旧および再発防止のため、政府等から提供される情報について、適切に重要インフラ事業者等に提供し、関係者間で情報を共有。これによって、各重要インフラ事業者等のサービスの維持・復旧能力の向上に資する活動を目指す。

セプターカウンシル
各重要インフラ分野で整備されたセプターの代表で構成される協議会で、セプター間の情報共有等を行う。
政府機関を含め他の機関の下位に位置付けられるものではなく独立した会議体。
分野横断的な情報共有の推進を目的として、２００９年２月２６日に創設。

セプターカウンシルの概要（2019 年４月 23 日現在）

- 314 -

- 315 -銀行等証券生命保険 損害保険

航空

航空
空港

空港
鉄道

鉄道
電力

電力
ガス

ガス

医療
医療

政府･行政
サービス
政府・地方
公共団体

水道

水道
物流

物流
化学

化学

クレジット

クレジット

石油

石油

411社

335社
1団体

12社

197社・
団体

3社・団体

1,386社

━

269社
７機関

━

41社

グループ

━

46社

ループ

━

14社
1団体

━

8社

━

22社
1団体

14社・
機関

14社
3機関

182社・
団体

10社・
団体

━

379社

47
1グループ
都道府県 18機関
1,741
市区町村

戦略部

━

6団体
17社

━

13社

━

51社

━

12社

情報通信（ICT-ISACにおいて、一部の放送事業者及びケーブルテレビ事業者が加盟）、金融（金融ISACにおいて、加盟金融機関間で情報共有・活動連携）、電力（電力ISACにおいて、加入する電気事業者間で情報内容に応じ
1,343事業
体へ展開

8水道
事業体

(一社)
(一社)
(一社)
日本証券 (一社)(一社)
定期航空 空港・空港 (一社)
電力ISAC (一社)
地方公共 (公社)(公社)(一社)
石油化学 (一社)
石油連盟
日本ケーブ 日本民間 全国銀行 業協会
生命保険 日本損害 協会
ビル協議会 日本鉄道
日本ガス 団体情報 日本医師 日本水道 日本物流 工業協会 日本クレ
ＩＴ統括部 協会
ルテレビ連 放送連盟、協会
保険協会
電気技術
協会
システム機 会
協会
団体連合
ジット協会
総務部経営 ＩＴ推進部
技術ユニット 構
情報システム 総務部総務 会
盟
日本放送 事務・決済協会
システム部
企画・法務 品質管理グ
課
情報化支援 課協会

金融CEPTOAR連絡協議会
ケーブル
放送
航空
空港
鉄道
電力
GAS
自治体
医療
水道
物流
化学
クレジット
石油
テレビ
証券
生命保険 損害保険 CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOARCEPTOAR 銀行等
CEPTOAR
CEPTOAR CEPTOAR CEPTOAR CEPTOAR

放送

金融

その他（核物質防護等の措置が要求される企業、ビルディング・オートメーション協会、サイバーディフェンス連携協議会、大学等（内容に応じ展開先を選定））

407社・
団体

23社
1団体

(一社)
ICTISACTCEPTOAR

電気通信

情報通信

J-CSIP（IPA：標的型攻撃等に関する情報共有）、サイバーテロ対策協議会（重要インフラ事業者等と警察との間で連携、47都道府県に設置）、早期警戒情報CISTA（JPCERT/CC: セキュリティ情報全般）

既存事業領域
共有・活動連携）、化学（石油化学工業協会と日本化学工業協会の情報共有・活動連携）、クレジット（ネットワーク事業者への拡張）、制御システム（JPCERT/CCが提供するConPaS等）、を越える連携等■ その他

NISCからの情報の展開先（構成員以外）

（のべ数）

構成員

事務局

名称

事業の範囲

重要イン
フラ分野

2019年3月末日現在

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－７ セプター概要

セプター特性把握マップ

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－８ 分野横断的演習

別添４－８

分野横断的演習
分野横断的演習の参加者数の推移

3500■過去最大規模の開催
参加人数 前年比430名増の3,077名

3000

2500

参 2000
加
者
数
1500

1000

500

0
2006

2007

2008

2009

2010

2011

2012

2013

2014

2015

2016

2017

2018

年度

2018 年度の取り組み
より実践的な演習機会の提供

自職場参加の推進

実時間に近い時間軸の検討
実環境に即した個別シナリオの検討（サブコントローラーへの支援の充実）
オリパラへの対応
国際・地域的な視点の考慮

自職場参加者への説明の充実
自職場参加者を意識したシナリオの準備
経営層への理解浸透

重要インフラ全体での防護能力の底上げ

情報共有体制の実効性の向上「普段やっていることを検証する」だけでなく「(必ずしも普段できていなくても)やるべきことを
しっかり実行するための契機となる」演習へ
事業者等が常用するツール等を意識した演習の検討

参加が少ない業界の参加推進（場所、実施日程等の検討）
セプター事務局向け説明の充実
第4次行動計画に基づく情報共有体制に関する理解の増進
ベンチマークの作成- 316 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－８ 分野横断的演習

2018 年度分野横断的演習 開催実績

2019 年度の主な取組方針【重要インフラの防護能力の強化】
・大規模事案発生時のIT部門、危機管理部門、広報部門等の連携
・各分野の実情に配慮した、事業者の演習参加の促進
・法令に基づく報告が必要となるような重要インフラサービス障害があった時の所管省庁への迅速な情報連絡【オリパラを見据えた演習】
・重要サービス事業者を主体としたオリパラを想定した演習（ただし、必要に応じて重要サービス事業者以外も対象とする）
・従来のシナリオよりも、より困難な内容を含む共通シナリオ
・演習時計は共通のものとするとともに、演習時間を拡大
・他の東京オリパラ大会関係のサイバー演習や情報共有のシステムとの連携を図る【官民・政府機関内連携】
・NISCおよび所管省庁における事業者からの情報連絡の効率的かつ正確な集約・分析・展開【演習参加形態の整理】
・オリパラ重点等を踏まえ、演習当日のメイン集合会場は東京とする（ただし、地方にも1会場確保を検討）
・さらなる自職場参加の推進- 317 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－９ セプター訓練

別添４－９

セプター訓練セプター訓練（第 13 回）の概要＜概要＞
本訓練は、「重要インフラの情報セキュリティ対策に係る第４次行動計画」で、内閣官房が定期的及びセプターの求めに応じてセプターの情報疎通機能の確認等の機会を提供する取組として位置付けられている。
他の演習・訓練との関連性に留意しつつ、各重要インフラ分野内の「縦」方向と重要インフラ分野間の「横」方向の情報共有体制を強化し、官民連携による重要インフラ防護の維持・向上を図る。

＜目的＞✔ 関係主体間における情報疎通機能の確認を通じた 情報共有体制の実効性の検証✔ 各主体、各経路における既存の手順等の改善、解決すべき課題の抽出＜参加者＞
情報通信（電気通信、放送、ケーブルテレビ）、金融（銀行等、生命保険、損害保険、証券）、航空、空港
鉄道、電力、ガス、政府・行政サービス、医療、水道、物流、化学、クレジット、石油の計19セプター、2,005者＜実施期間＞
2018年8月から10月まで（セプター毎に異なる日時に実施）＜訓練の流れ＞1. NISCから、模擬の情報（注意喚起及び影響確認）を所管省庁へ送付
2. 所管省庁は、NISCから受領した情報をセプター事務局へ送付
3. セプター事務局は、所管省庁から受領した情報を訓練参加者へ送付
4. 訓練参加者は、自社への被害状況（≒受信確認）をセプター事務局又は所管省庁へ報告
5. セプター事務局又は所管省庁は受信状況をとりまとめの上、（所管省庁経由で）NISCへ報告

セプター訓練（第 13 回）の特徴
１. 多数の事業者による参画✔ 全てのセプターが参画し、2,005者が訓練に参加（2017年度参加実績2,106者）
２. 実施結果及び訓練により得られた気づき等✔ 2017年度の結果と比較し訓練情報の受信確認の割合が低下（全体94%→89%）
・ 9セプターにて、2017年度より受信確認割合が低下した。
・ 受信確認割合100%は、2017年度12セプターに対して、2018年度は8セプターであった。
✔ 訓練を通じて新たな課題や気付き等を認識
・ 連絡先の複数登録や、メール・FAX・電話等による伝達手段の多様化。
・ 事業者-セプター事務局間の連絡フォーマットの周知・浸透および改良。
・ 定期的な登録状況点検（メール送達確認）の実施等による、連絡先担当者の確実な最新化。
受診確認割合が低下したセプターには、特に課題や気付きを基にした対策を図る必要がある。

- 318 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－10 補完調査

別添４－10 補完調査
補完調査とは調査の目的補完調査とは、行動計画※の取組の評価に当たって、個別施策の結果・成果だけでは把握しきれない状況についても適切に把握することが重要であることから、個別施策の指標では捉えられない側面を補完的に調査することを目的として毎年度実施する調査です。
※重要インフラの情報セキュリティ対策に係る第４次行動計画（平成29年４月18日サイバーセキュリティ戦略本部決定）

調査の運営
重要インフラサービス障害等の事例について、重要インフラ事業者等の協力を得て、現地調査（ヒアリング等）
を実施します。重要インフラ事業者等における今後の取組にも資するよう、原因、対応、得られた気付き・教訓
等をとりまとめ、可能な範囲で調査結果を公表します。

調査対象事例の選定基準
本報告書の調査対象事例は、2018年1月1日～2018年12月31日の間に、重要インフラ事業者等から内閣サイバーセキュリティセンターに提出された情報連絡の事例の中から、主に以下の選定基準により選定しました。
-

重要インフラサービス及びその周辺サービスへの実害の有無 - 世の中のトレンド
事案の重大さ・社会的影響（関心）の大きさ- 他分野への波及の可能性
類似事例の発生状況や今後発生する可能性- 得られる気付き・教訓の有用性等
攻撃手口や被害の目新しさ※その他、事案の対応の優劣、地域性や分野のバランスも考慮

2018 年度

調査対象事例概要•“外部事業者のサービス障害に起因した重要インフラサービス障害”が複数分野の重要インフラ事業者等で発生したことか
ら、各事業者における対応事例を調査。

•”外部からのサイバー攻撃”や”重要インフラ事業者内でのインシデント”等、例年発生頻度の高い脅威は2018年も一定数発生しているが、対応を実際に経験したことで重要インフラ事業者が新たに気づいた課題や教訓等について調査。

No.

事例

影響

原因

外部事業者のサービス障害に起因した重要インフラサービス障害1

インターネットサービス利用時の認 インターネットを通じて提供される重要インフラサービスで、利用者を 外部サービス（クラウド型認証サービス）の認証する機能に障害が発生し、一部サービスが使用できなくなった。 障害
証の障害

2

重要インフラ事業者間での映像 重要インフラサービスとして提供する予定の映像を予定時刻に送受信できず、利用者に提供できなくなった。
データ送受信の中断

3

重要インフラサービスの受付業務 利用者の受付業務に支障が発生し、重要インフラサービスの提供が 外部サービス（顧客受付システムを共同遅延した。
利用するための共通ネットワーク）の障害の遅延

外部サービス（通信回線）の障害

外部からのサイバー攻撃
4

IoTデバイスへの不正侵入及び改ざん

第三者にネットワークカメラ等に不正に侵入・改ざんされ、施設等の監視に支障が発生した。

第三者が類推可能な認証情報（ID/パス
ワード）の悪用

5

脆弱性を悪用した攻撃

クラウド基盤のネットワーク機器が機能停止し、基盤上の業務システ ネットワーク機器の脆弱性を悪用した攻撃ムが使用できなくなった。

6

広域DoS攻撃によるWebサイト ある分野の複数の重要インフラ事業者等のWebサイトが閲覧できな Webサイトに対するDoS攻撃
くなった。
閲覧障害

重要インフラ事業者内でのインシデント
7

商用ネットワークの高負荷による 商用ネットワーク全体が高負荷となり、特にDNSサーバからの応答が 商用ネットワーク内のネットワーク機器の不滞ったことで、顧客のインターネット接続に支障が発生した。
具合によるトラフィックの異常増加
通信障害

8

他人の認証情報の悪用による情報の不正取得

本来、閲覧権限のない機微情報を不正に利用された。

- 319 -

従業員による他人の認証情報（ID/パス
ワード）の不正利用

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－10 補完調査

得られた気付き・教訓

概要（各事案に共通する事項）

外部事業者に起因した重要インフラサービス障害事例（No. 1, 2, 3）から•セキュリティ対策やリスクマネジメントに日々積極的に取り組んでいる先導的な重要インフラ事業者であっても、外部事業者のサービス障害に起因したサービス障害への対応を経て、重要インフラ設備の一部を外部事業者に依存してサービスを提供する際のリスクが再認識されている。
重要インフラ事業者側で取り得る対策としては以下が挙げられる。他事業者においても参考とすることが期待される。
外部事業者のサービスが中断した場合の、自組織への影響を再度評価する。
特定の外部事業者のみに依存しない、多様性のある設備を自組織側で確保する。
（事業上の制約で多様性のある設備が確保できない場合、）重要な業務については、外部事業者のサービスの復旧までの間、自組織側で実行可能なコンティンジェンシープランの整備や更なる効率化を図る。
外部事業者との緊急連絡体制の整備は必須であるが、外部事業者側の現場の対応状況を直接確認できる連絡体制がより望まれる。
緊急時の連絡の場合は、中継のみのために介在する組織/担当者をできる限り減らすなど、連絡体制を効率化する。
自組織内の各部署/各担当者が有事における自身の役割を理解し、能動的に動けるレベルを目指して訓練を行う。

外部からのサイバー攻撃への対応事例（No. 4, 5, 6）から•

情報セキュリティの専任の担当者がいない/少ない事業者においては、担当者の稼働やスキルの不足、予算の不足等により、既知のリスクへの対策が十分に行うことができず、事案への対応の進め方にも窮する場合がある。この際、事業上の関係がある組織や情報セキュリティ関係機関等からの助言により事態が好転したケースが複数の重要インフラ事業者で確認されている。しかしながら、事案に対応した多くの担当者によれば、「緊急時には、平時から関係のある信頼できる組織や担当者に対してでなければ、そもそも相談しようという発想が出てこない」という。
情報共有の体制や訓練への参加は重要であるが、参加するだけでなく、平時からの実体のあるコミュニケーションが有事の際に重要となる。

重要インフラ事業者内で発生した事案への対応事例（No. 7, 8）から••機器の故障等、偶発的な要因で発生する障害は、完全に防止することは困難であるが、事業上重要なシステム/サービスについては、各分野の安全指針等を参考に、迅速に対処・復旧するための対策を設計段階から検討する必要がある。
従業員による不正等、人為的に発生する要因は、自組織で扱う情報の重要性等も考慮し、セキュリティリスクについて、システム面、運用面のアプローチで低減するとともに、実行動機の抑止に繋がる対策についても従業員への研修等、教育面のアプローチを検討する必要がある。

※ 個々の事例ごとの他の気付き・教訓については、各事例の項を参照。

- 320 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－10 補完調査

事例１

インターネットサービス利用時の認証の障害【１ 背景】• インターネットを通じて提供される重要インフラサービスにおいて、利用者の認証に外部事業者（海外）のクラウド型認証サービスを採用していた。
• 外部事業者では、クラウド認証サービスの基盤がある
データセンターの移行を進めており、新旧データセンター
間を暫定ネットワークで接続し、セキュリティ強化の為にネットワーク認証を導入していた。

【２ 検知】【５ 再発に備えた対策】• 重要インフラサービス側の認証機能の多様化や代替手段の導入を検討し、特定１社への依存を解消。
• 外部事業者の現地の運用者とのホットラインを構築し、日本法人を経由する連絡体制で生じる時間ロスを解消。

【6 得られた気付き・教訓】•

自力でのサービス継続のための代替手段の必要性
外部事業者による利用者認証サービスを利用していたが、その障害時に自組織側で発動できる代替手段がなく、外部事業者
による復旧を待たざるを得なかった。自力でのサービス継続のため、利用者への代替の認証手段を用意しておくべきであった。

•

有事を想定した利用者対応訓練の効果
重要インフラサービスの障害では利用者からの問い合わせが急増するが、有事の情報公開についてシステム部門と利用者対応
部門で定期的に訓練を実施しており、混乱なく対応できた。

•

外部事業者との緊急時の連絡体制整備
海外の外部事業者という事もあり、連絡ルートにシステムベンダ
や日本法人が介在しているため、復旧状況の把握に時間がかかった。本件を受け、経営幹部が主体的に交渉に動き、現地の運用者と直接連絡が取れるホットラインを構築した。

•

海外サービス利用時の現地時差
海外のサービスを利用する場合、メンテナンス等が相手国の深夜時間帯に実施されると日本時間で業務時間帯にあたることもあることから、サービス提供側の国と利用者側の国との時差によるリスクの見直しを行った。

• 監視システムにてクラウド型認証サービスの異常を検知。
• 障害発生直後からコールセンターに多数の問い合わせ。

【３ 対処】• 重要インフラシステム側のログのエラー情報から、クラウド型認証サービスでの障害であることを特定。
• システムベンダ経由で、外部事業者から障害に関する調査・対応状況を収集し、テレビ会議で利用者対応
部門（広報、コールセンター等）にリアルタイムに共有。
• 外部事業者による復旧までの間、ホームページとコール
センターを通じて、復旧状況を利用者に逐一提供。

【４ 原因】• ネットワーク認証の認証情報の有効期限切れにより、
新旧データセンター間の接続に障害が発生した結果、
旧データセンター側のシステムに登録されていた利用者
情報との照合ができなくなった。
• ネットワーク認証の認証情報は自動で更新される仕組みであったがプログラムの不具合により更新されなかった。

- 321 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－10 補完調査

事例２

重要インフラ事業者間での映像データ送受信の中断【１ 背景】【５ 再発に備えた対策】• 重要インフラ事業者間で、サービスに使用する映像デー
タを送受信する際、通信事業者の回線を利用している。
• 回線は、通信事業者の回線制御システムに使用時間帯を予約設定することで時間帯毎に切り替わる仕組み。

【２ 検知】• 受信側の重要インフラ事業者のオペレーターが、映像提供予定時刻に映像データが届いていないことを発見。
同時に、受信側の重要インフラ事業者では利用者に提供する映像に異常が発生。
• 送信側の重要インフラ事業者は、受信側からの連絡により、映像データが正常に届いていないことを認識。

• 回線制御システムの不具合の解消（通信事業者にて実施）。
• 通信事業者に対する、異常発生時の迅速な情報提供の依頼。
• 緊急時対応プロセスの更なる効率化による有事の切り替え時間
短縮、及びオペレーター全員への定期訓練等による手順の浸透。
• 自組織全体、及び同じ分野の重要インフラ事業者への事例共有
による、分野内での類似事案への対処能力の強化。

【6 得られた気付き・教訓】•

事業継続を最優先として動く組織のマインド
事業継続のために優先すべき対応がオペレーションの現場まで浸透し、かつ判断の権限を持っていることが、迷いのない迅速な対処に繋がった。

•

日常的な障害対応訓練
コンティンジェンシープラン等を整備するだけでなく、日常的に障害対応訓練を行っており、誰が対応することになっても判断し対応できるレベルまで緊急時のオペレーションが成熟していた。

•

依存度の高い外部サービスの障害に備えた対策
経営上重要な事業に使用している外部事業者のサービスで障害が発生する事態に備え、代替の外部サービスを確保していたことが、復旧時間の短縮に大きく寄与した。

•

他事業者任せにしない再発防止
障害の直接原因は他事業者であったが、そのような場合に備えた自組織側の対応プロセスについても見直した。

【３ 対処】• 回線制御システムの予約含め、重要インフラ事業者側の操作ミスや設備不具合を調査したが、該当無し。
• 重要インフラ事業者から通信事業者に問い合わせたが、原因・復旧共に不明との回答。
• 送信側で、別の通信事業者が提供するバックアップ用の衛星回線への切り替えを決定し、送信のタイミング等を連絡。
• 受信側は、通信事業者の回線の復旧までの約30分
間、手動操作によりサービスを継続。

【４ 原因】• 通信事業者の回線制御システムのソフトウェア不具合。
（通信事業者内でも回線は冗長化されていたが、制御するソフトウェア側の不具合のため機能せず）- 322 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－10 補完調査

事例３

重要インフラサービスの受付業務の遅延【１ 背景】• 複数事業者が利用する顧客受付システムのネットワー
クに、個々の重要インフラ事業者が管理する部分と、複数事業者が利用する部分（共通ネットワーク）がある。
• 共通ネットワークについては、システムベンダに保守を委託している。

【２ 検知】• 重要インフラ事業者の現場担当者が、当該システムが利用できなくなっている状態を検知した。

【３ 対処】• 現場担当者は、まずシステムベンダに連絡し、ネットワー
クベンダにて原因の切り分け作業を行った。
• 切り分け作業の結果を元に、システムベンダにて調査を開始した。
• 経路のループの箇所を特定し、設定を修正することでネットワークを正常化した。
• 顧客受付システムは別のネットワーク上に設置されていたため、現場担当者はインターネット経由、もしくはバッ
クオフィスの専用端末で当該システムに接続することで顧客の受付業務を継続した。

【４ 原因】• 共通ネットワークに接続する他事業者の作業ミスで、当該事業者と共通ネットワークとの間でループが発生した。
• 共通ネットワークが輻輳し、接続された複数の事業者において、顧客受付システムが利用不可となった。

【５ 再発に備えた対策】• システムベンダにおいてループが発生しないネットワーク機器および障害検知のためのログ監視ツールを導入。
• 対処に時間がかかったことへの対策として、委託先のシステムベン
ダの保守体制（緊急時の情報伝達経路等）の見直しを依頼。
• 顧客受付システムを利用する事業者間で事例を共有。

【6 得られた気付き・教訓】•

外部サービスでの障害に備えた自組織側での対応訓練
SLAを厳しくする、抜け漏れがないようにRFPに記載する等の対策を行っていても、外部サービスの障害を完全に防ぐことは困難である。外部サービスが利用不可となったことを想定し、日頃から訓練を行っていると、システムが利用できなくても業務を継続できると考えられる。

•

委託先との連絡体制整備
対処に時間がかかった原因の一つとして、「委託先の情報伝達がしっかりしていなかった」、「対処方針を示す指示役（旗振り役）がいなかった」といった点が挙げられる。緊急時における委託先との情報伝達経路を整備するとともに、委託先における体制についても把握しておくことが重要である。

•

同一システムを利用する間での事例の共有
本事案は、ある事業者の設定ミスが他事業者に波及したという事例であり、利用者側でシステムや対応の改善のみで完全に防ぐことは困難である。同様の事案を起こさないように、関係する事業者間で事例の共有を行うと良い。

- 323 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－10 補完調査

事例４

IoT デバイスへの不正侵入及び改ざん【１ 背景】• 重要インフラ事業者の施設情報の監視・公開を目的として、ネットワークカメラを設置し、映像をWebサイトで公開。

【２ 検知】• 施設の映像を確認するためにアクセスした従業員が、複数のカメラの映像内に不審なメッセージを発見。
• ネットワークカメラのパスワードが侵入者により変更され、管理画面にログインできなくなっていた。
• 他の事業者でもネットワークカメラに対し、同様の不正侵入が確認され、メーカーから注意喚起が発出された。

【３ 対処】【４ 原因】• ネットワークカメラのパスワード設定は、導入時、事業者と機器設置業者のいずれでも検討されず、初期設定のまま運用されていた。
• ネットワークカメラへの直接アクセスによる閲覧は許可する予定はな
かったが、特にアクセス制限を行っていなかった。

【５ 再発に備えた対策】• IoT機器のセキュリティ設定やログの取得・保存期間に関して、導入時および運用時の手順を見直し、利用部門への研修も企画。
• IoT機器を調達する際の検討事項として、認証やアクセス制御等のセキュリティ機能の観点を追加。
• ネットワークカメラへのアクセスはVPN経由のもののみ許可するようにし、外部からアクセスできないようにネットワークを構成変更。

• Webサイトでの監視映像の公開を停止し、当該カメラに対する外部からの直接アクセスも制限。
【6 得られた気付き・教訓】• 当該重要インフラ事業者が保有している全てのIoT機• IoT機器を悪用されるリスクの認識器の状況を調査。念のためパスワードを全て変更。
IoT機器の初期パスワードは、公開されているマニュアル等を• 対応方針について、同時期に同様の攻撃を受けた同じ通じて誰でも容易に知り得ることを認識し、悪用されないように分野の事業者と情報交換、外部の調査機関にも相談。
導入時に必ずパスワードを変更する。メーカーが発信する脅威情報にも注意し、注意喚起等が行われた場合は、自組織の• 侵入された機器をネットワークから切り離したうえで、ログ利用形態におけるリスクを点検し対応の要否を検討する。
等の痕跡を保全するため電源は維持し、外部の調査
機関立ち合いのもと、調査。１日分のログしか残らない• 同様の攻撃を受けた事業者との情報交換の有用性設定となっていたため、侵入元特定には至らず。
同時期に他の事業者でも同様の攻撃を受けたことを知ってい• Webサイト閉鎖中の代替措置として、従業員による目たため、攻撃手口や対応方法等について当該事業者と情報視で施設の監視を行い、状況をWebサイトやTwitter
交換しながら対応を進めることができ、平時から互いに相談でを通じて利用者に逐一伝達。
きる関係作りの重要性を認識した。
• 代替機器を手配し、監視映像の公開を再開。

- 324 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－10 補完調査

事例５

脆弱性を悪用した攻撃【１ 背景】• 事案発生の数日前、当該脆弱性を利用した攻撃があったという情報をつかんだ。
• 該当機器には、情報をつかんだ10日後の、月次メンテ
ナンスの日にパッチを適用する予定であった。

【２ 検知】• システム監視にて検知し、保守担当にて確認した。
• ネットワーク機器のステータスランプが点滅状態（正常時は点灯）になっていたため、ハード故障と判断し対応した。

【３ 対処】• ネットワークから該当機器を切り離しバックアップ用の機器で運用し、翌日には該当機器を交換した。
• ベンダーにて該当機器のログ等を調査したところ、ネット
ワーク機器の特定の機能の脆弱性をついたサイバー攻撃が原因と報告があり、社内CSIRTに報告した。
• 脆弱性を含む機能を停止し、ファームウェアをバージョン
アップした。

【５ 再発に備えた対策】• 本内容を社内、グループ会社で共有した。
• 普段使用しない機能の脆弱性をついた攻撃であったことから、他にも各ネットワーク機器で動作中の機能を確認し、不要な機能を停止した。
• ネットワーク機器への脆弱性が出た場合は、検証環境にて対象かどうかの確認を行う、診断ツールが利用できる場合は使用する等、社内ルールを変更した。
• サイバー攻撃に関する勉強会を定期的に実施することとした。

【6 得られた気付き・教訓】•

脆弱性へのパッチ適用の判断
月次メンテナンスでパッチを適用するまでの間に攻撃を受けた。
ネットワーク機器の脆弱性が公表された場合に、対応要否を迅速に見極めるために、検証環境にて影響有無の確認を行う、診断ツールが利用できる場合は利用するなど、運用を見直した。

•

報告用フォーマットの改善
最初からサイバー攻撃である可能性も視野に入れて対応できるよう、責任者への報告用フォーマットにサイバー攻撃が疑われる場合のチェックポイントを組み込んだ。

•

セキュリティリテラシーの底上げ
一部のセクションでは診断ツールでチェックができていたなど、部署ごとの対応にばらつきがあった。サイバー攻撃に関する勉強会等によりセキュリティリテラシーの底上げを図った。

【４ 原因】• ネットワーク機器の特定の機能の脆弱性をついた攻撃が原因であった。
• 該当機器では、アクセス制限を使用機能に応じたプロト
コルとIPアドレスで実施していたが、本脆弱性がある機
能に気がつかず、アクセスが可能な状態になっていた。

- 325 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－10 補完調査

事例６

広域 DoS 攻撃による Web サイト閲覧障害【１ 背景】• 複数の重要インフラ事業者において、Webサイトの運用を同一の事業者に委託していた。

【6 得られた気付き・教訓】•

組織間の情報共有体制の構築
平時から関係する組織間で情報を共有し、連絡先を認識(顔の見える関係の構築)しておくことで、広範囲にわたるサイ
バー攻撃が発生した際に、スムーズな情報連携が確立でき、早期に事態を収束することが可能となると考えられる。

•

自組織でのサイバーセキュリティの専門人材の登用・育成システムやセキュリティの運用を外部委託している場合でも、有事の際に状況の正確な認識、事態への円滑な対処等を統制しながら進めることのできるサイバーセキュリティの専門人材は、自組織側でも確保する必要があることを認識した。専門人材の採用や自組織内での育成を、費用面等の制約条件も考慮して検討する。また、希望すれば専門人材としてのキャリアパス
が選択できるような仕組みも検討する。

•

サイバー攻撃への対応ノウハウの定着
今回のサイバー攻撃への対応において、専用のマニュアルは存在していなかったが、攻撃を受けたシステムの運用監視を長期間行っていた、スキルのある担当者により、苦慮しつつも対応を行うことができた。今後はこの対応を組織として形式知化し他の担当者にも展開し、組織的に対応できるよう対策を行う。

•

DoS攻撃への対策
自組織の事業上、重要なサーバについては、ある程度の瞬発的なアクセス増加に耐え得るサーバリソースの設計や、通信量のモニタリング、特定IPからのアクセスの制限方法の導入等の対策を講じる。

【２ 検知】• Webサイト運用担当者が、Webサイトの表示が不安定であることに気づいた。
• 外部機関からも「攻撃を受けているのではないか」、という指摘があった。

【３ 対処】• インシデントハンドリングを実施することとなっている事業者に状況を報告し、関係する事業者全体の被害状況を把握した。
• 取りまとめられた状況から、攻撃元IPアドレス等の詳細な攻撃情報を関係事業者全体に周知した。
• 委託事業者にWebサイト運用サーバへの攻撃を遮断するよう指示した。

【４ 原因】• 委託先運用のサーバへのDoS攻撃【５ 再発に備えた対策】• 委託先事業者に指示し、関係事業者を防護している
ファイアウォールに攻撃元と考えられるIPアドレスをリスト登録した。
• 早期に情報共有できる体制を構築し、サイバー攻撃があった際、関係する事業者に素早く展開できるよう、共有体制の見直しを行った。

- 326 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－10 補完調査

事例７

商用ネットワークの高負荷による通信障害【１ 背景】• 商用ネットワークの障害時にも状態把握が可能となるよう、監視専用のネットワークを別途構築し、監視方法を変更した。
• 利用者への周知方法として、自組織のWebサイトを利用する以外に、SNSの公式アカウントを取得し、周知方法を増やした。

• 利用者にインターネット接続サービスを提供していた。
• 機器の監視は、商用ネットワークで実施していた。
• 商用ネットワークは帯域制御しておらず、異常トラフィッ
クを考慮した設計となっていなかった。

【6 得られた気付き・教訓】【２ 検知】• 利用者から、「インターネットに接続できない」という問い
合わせがあった。
• 商用ネットワークの状況を確認するために、機器にアクセスしたが、輻輳が発生しており、確認できなかった。

•

障害に強いネットワーク設計の重要性
ネットワーク機器の監視用のネットワークと、商用ネットワークを分離して整備することで、商用ネットワークで障害が発生してもネットワーク機器の状態をリアルタイムに確認でき、原因の切り分けがより迅速になる。監視用ネットワークと商用ネットワークを分けておくことが重要である。
DNSサーバ等、サービス提供上重要なサーバは、経路の異なる別セグメントに分散して配置するなどを設計段階で検討しておくことで、サービス提供の強靭性を向上できる。設計段階からの障害対策が重要である。

•

通信帯域の制限
通信帯域の制限により、ネットワーク機器のリソース逼迫を回避できることに加え、閾値超過時の早期異常検知にも役立つ。

•

周知方法の多様化
オンプレミスのみでWebサイトを構築している際、自組織のネットワークに異常があった場合、利用者への広報手段として機能しなくなる場合がある。外部のSNSで公式アカウントを運用する等、周知方法の多様化を考慮する必要がある。

【３ 対処】• 現地で直接各ネットワーク機器の通信状況を確認した。
• 通信内容から、特定の機器間で通信が再送され続けていることを確認。サイバー攻撃の可能性も考慮し、対応を実施した。
• 当該機器を再起動し、輻輳が正常化したことを確認後、機器を交換した。

【４ 原因】• 当該機器の一部ポートにおけるソフトウェアエラーにより、再帰的にリクエストが発生した。

【５ 再発に備えた対策】• 輻輳によるネットワーク機器のリソース逼迫も誘発していたため、帯域制御を実施した。

- 327 -

別添４ 重要インフラ事業者等における情報セキュリティ対策に関する取組等
別添４－10 補完調査

事例８

他人の認証情報の悪用による情報の不正取得【１ 背景】【6 得られた気付き・教訓】• 重要データ（顧客の個人情報等）と業務用データ（その他の情報）が別のシステムで管理されていた。
• 業務用データを取り扱うシステムへのログインは、部署ごとにアクセス制御を実施しており、関係する従業員のみ利用可能となっていた。

•

組織内での意識醸成と抑止
組織内で内部不正・不正アクセスに関する周知・教育を研修等を通じて徹底しておく必要がある。それと同時に、万が一不正アクセスが行われた際には、早期に検知できるよう、各システムのアクセスログを収集し、定期的に不審な点が無いか確認しておくことが肝要であると考えられる。

•

生体認証を含めた二要素認証の採用
重要なデータへのアクセスについては、ID・パスワードのような、代替しやすい手段だけではなく、第三者が不正利用しにくい生体情報を含めた二要素認証を採用することが望まれる。

•（参考）パスワード設定の重要性
パスワードの定期的な変更の要否については、議論の残すところではあるが、システムログインにおけるパスワードは、英数・記号・大文字小文字を含めた推察されにくいランダムな文字列で10桁以上で設定しておくことが望まれる。

【２ 検知】• 該当部署で閲覧不可能な業務用データの資料が印刷され、プリンターに放置されていた。

【３ 対処】• プリンターのログを確認し、印刷した端末を特定した。
• 該当する端末を利用している職員に聞き込みを実施し、職員の特定に至った。
• サーバのアクセスログから、業務用データへの不正なアクセスを開始した時期を特定した。

【４ 原因】• 業務用データへのアクセスに使用するID・パスワードは、使用頻度が高いことから、類推しやすい平易なものになっていた。

【５ 再発に備えた対策】• パスワードの桁数を増やし、ランダムなものに設定しなおした。また、類推しやすい平易なものを設定不可とした。
• アクセスログを取得していることを含めて、全従業員向けに研修を実施し、内部不正の抑止に関して意識向上を図った。

NISCとしての見解は、パスワードの定期変更は基本は必要なしと考えている。ただし、万が一パスワードが流出した場合は速やかに変更すべきであると考えている。また、ZIPファイルのようなものの暗号キーである場合は、英数・記号・大文字小文字を含めた推察されにくいランダムな文字列で15桁以上で設定することが望まれる。
※参考資料：インターネットの安全・安心ハンドブックVer.4.00（NISC）（https://www.nisc.go.jp/security-site/files/handbook-all.pdf）- 328 -

別添５

サイバーセキュリティ関連データ集- 329 -

＜別添５－目次＞

データ 1 世界の IoT デバイス数の推移及び予測.............................. 331
データ 2 NICTER 観測結果 ................................................. 331
データ 3 平成 30 年インターネット観測結果................................. 332
データ 4 「Security Action」制度

登録事業者数........................... 348

データ 5 情報処理安全確保支援士

登録者数 ............................... 349

データ 6 情報セキュリティマネジメント・情報処理安全確保支援士の合格者数推移 . 349- 330 -

別添５ サイバーセキュリティ関連データ集

データ 1 世界の IoT デバイス1数の推移及び予測

データ 2 NICTER 観測結果
データ 2.1 ダークネットセンサによる攻撃の観測数
パケット数（億）

2,121

2000

1,504

1500

1,281

1000

545.1
500

128.8

256.6

0
2013

2014

2015

1

2016

2017

2018

各カテゴリの範囲は以下のとおり。
「通信」：固定通信インフラ・ネットワーク機器、2G、3G、4G 各種バンドのセルラー通信及び Wifi・WIMAX などの無線通信インフラ及び端末。
「コンシューマー」：家電（白物・デジタル）、プリンターなどの PC 周辺機器、ポータブルオーディオ、スマートトイ、スポーツ・フィットネス、その他。
「コンピューター」：ノートパソコン、デスクトップパソコン、サーバー、ワークステーション、メインフレーム・スパコンなどコンピューティング機器。
「産業用途」：オートメーション（IA/BA）、照明、エネルギー関連、セキュリティ、検査・計測機器などオートメーション以外の工業・産業用途の機器。
「医療」：画像診断装置ほか医療向け機器、コンシューマーヘルスケア機器。
「自動車・輸送機器」：自動車（乗用車、商用車）の制御系及び情報系において、インターネットと接続が可能な機器。
「軍事・宇宙・航空」：軍事・宇宙・航空向け機器（例：航空機コックピット向け電装・計装機器、旅客システム用機器、軍用監視システムなど）。

- 331 -

別添５ サイバーセキュリティ関連データ集

データ 2.2 ダークネットセンサによる攻撃の観測結果の内訳(2018 年)
その他
41％

IoT 機器を狙った攻撃（Web カメラ、ルータ等）
48％

データベースを狙った攻撃
２％
等

ファイル共有を狙った攻撃
５％（注１） NICTER で観測されたパケットのうち、サービスの種類（ポート番号）ごとに割合の多い上位から 30 位までを分析したもの。
（注２） IoT 機器を狙った攻撃は多様化しており、ポート番号だけでは分類しにく
いものなど、「その他」に含まれているものもある。

データ 3 平成 30 年インターネット観測結果2
データ 3.1 センサーにおいて検知したアクセス件数の推移（件/日・IPアドレス）
3,000

2,752.8

2,500
1,893.0

2,000

1,692.0

1,500
1,000
491.6

729.3

500
0
平成26年

平成27年

平成28年

2

平成29年

平成30年

警察庁にて、全国の警察施設のインターネット接続点にセンサーを設置し、インターネット定点観測シ
ステムを構築してアクセス情報等を集約・分析した結果。「@police」 https://www.npa.go.jp/cyberpolice/
で公開。
- 332 -

445/TCP
52869/TCP

1433/TCP
8080/TCP

22/TCP
53/UDP- 333 -

平成30年12月

平成30年11月

平成30年10月

平成30年9月

平成30年8月

平成30年7月

平成30年6月

平成30年5月

ウェルノウンポート

平成30年4月

平成30年3月

平成30年2月

平成30年1月

平成29年12月

平成29年11月

平成29年10月

平成29年9月

平成29年8月

平成29年7月

平成29年6月

平成29年5月

平成29年4月

平成29年3月

平成29年2月

平成29年1月

250

100

80/TCP
23/TCP(右軸)平成30年12月

平成30年11月

平成30年10月

平成30年9月

平成30年8月

平成30年7月

平成30年6月

平成30年5月

平成30年4月

平成30年3月

平成30年2月

平成30年1月

平成29年12月

平成29年11月

平成29年10月

平成29年9月

平成29年8月

平成29年7月

平成29年6月

平成29年5月

平成29年4月

平成29年3月

平成29年2月

平成29年1月

別添５ サイバーセキュリティ関連データ集

データ 3.2 ウェルノウンポート及びそれ以外のアクセス件数の推移[平成 29 年（以下「前期」）及び平成 30 年（以下「今期」）](件/日・IPアドレス)
4,000

3,500

3,000

2,500

2,000

1,500

1,000

500

0

ウェルノウンポート以外

データ 3.3 主な宛先ポート（検知件数上位及び増加順位上位）別アクセス件数の推移（各月の一日当たりの平均値）[前期及び今期]

350(件/日・IPアドレス)
1,200

300
1,000

800

200

150
600

400

50
200

0
0

別添５ サイバーセキュリティ関連データ集

データ 3.4 センサーにおけるアクセス検知の観測結果
宛先ポート別アクセス検知件数（今期順位）
今期
順位
1位
2位
3位
4位
5位

前期
順位
1位
4位
3位
2位
11 位

ポート

今期件数 3

23/TCP
445/TCP
1433/TCP
22/TCP
80/TCP

387.08 件
223.83 件
89.74 件84.94 件67.90 件

前期比 3－41.7%＋137.0%－13.7%－29.3%＋182.5%（－277.20 件）（＋129.39 件）（－14.21 件）（－35.26 件）（＋43.87 件）

宛先ポート別検知件数（増加順位）
増加
順位
1位
2位
3位
4位
5位

ポート

今期件数 3

445/TCP
52869/TCP
80/TCP
53/UDP
8080/TCP

223.83 件
49.71 件67.90 件35.82 件41.91 件

前期比 3＋137.0%＋1,671.0%＋182.5%＋342.3%＋177.5%（＋129.39 件）（＋46.91 件）（＋43.87 件）（＋27.72 件）（＋26.81 件）

今期
順位
2位
6位
5位
10 位
7位

前期
順位
4位
34 位
11 位
24 位
15 位

今期
順位
1位
128 位
4位
13 位
22 位

前期
順位
1位
6位
2位
5位
9位

宛先ポート別検知件数（減少順位）
減少
順位
1位
2位
3位
4位
5位

3

ポート

今期件数 3

23/TCP
5358/TCP
22/TCP
2323/TCP
1900/UDP

387.08 件
1.19 件84.94 件28.02 件11.45 件

前期比 3－41.7%－97.4%－29.3%－46.2%－64.4%

一日・1IP アドレス当たり。

- 334 -（－277.20 件）（－44.94 件）（－35.26 件）（－24.09 件）（－20.73 件）

別添５ サイバーセキュリティ関連データ集

宛先ポート別比率（全て）宛先ポート別比率（日本国内）

14.1%
34.2%

8.1%

61.5%
1.3%
23/TCP
22/TCP
8080/TCP
53/UDP

445/TCP
80/TCP
81/TCP
その他

3.3%
3.1%
2.5%
1.8%
1.5%
1.4%
1.4%

54.0%
1.6%
1.8%
3.7%

1433/TCP
52869/TCP
53413/UDP

4.8%

23/TCP

2323/TCP

445/TCP

37215/TCP

53/UDP

その他

宛先ポート別上位の着信元国・地域別比率
0%

20%

40%

60%

80%

23/TCP
445/TCP
1433/TCP
22/TCP
80/TCP
52869/TCP
8080/TCP
81/TCP
53413/UDP
53/UDP
ロシア

中国

米国

オランダ

- 335 -

ウクライナ

その他・不明

100%

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日別添５ サイバーセキュリティ関連データ集

宛先ポート 23/TCP に対するアクセス件数の推移(件/日・IPアドレス)
600
550
500
450
400
350
300
250
200
150
100
50
0

中国

ベトナム

中国
ブラジル

米国
ロシア

インドネシア

インド
米国

インド

韓国

- 336 -

日本

中国
ロシア

ブラジル

その他・不明

宛先ポート 445/TCP に対するアクセス件数の推移(件/日・IPアドレス)
550
500
450
400
350
300
250
200
150
100
50
0

その他・不明

宛先ポート 1433/TCP に対するアクセス件数の推移(件/日・IPアドレス)
250

200

150

100

50

0

その他・不明

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日別添５ サイバーセキュリティ関連データ集

宛先ポート 22/TCP に対するアクセス件数の推移(件/日・IPアドレス)
150

120

90

60

30

0

中国

米国
ロシア

中国
米国

ブラジル
ブラジル

ロシア

- 337 -

オランダ

イラン

その他・不明

宛先ポート 80/TCP に対するアクセス件数の推移(件/日・IPアドレス)
400
350
300
250
200
150
100
50
0

その他・不明別添５ サイバーセキュリティ関連データ集

データ 3.5 着信元国・地域別アクセス検知件数
着信元国・地域別検知件数（今期順位）
今期
順位
1位
2位
3位
4位
5位

前期
順位
3位
1位
2位
7位
13 位

国・地域

今期件数 4

ロシア
中国
米国
オランダ
ウクライナ

573.44 件
387.68 件
346.02 件
164.50 件
140.83 件

前期比 4＋327.7%－16.7%＋37.8%＋159.6%＋335.5%（＋439.37 件）（－77.47 件）（＋94.85 件）（＋101.13 件）（＋108.49 件）

着信元国・地域別検知件数（増加順位）
増加
順位
1位
2位
3位
4位
5位

国・地域

今期件数 4

ロシア
ウクライナ
オランダ
米国
チリ

573.44 件
140.83 件
164.50 件
346.02 件
109.35 件

前期比 4＋327.7%＋335.5%＋159.6%＋37.8%＋248.7%（＋439.37 件）（＋108.49 件）（＋101.13 件）（＋94.85 件）（＋78.00 件）

今期
順位
1位
5位
4位
3位
6位

前期
順位
3位
13 位
7位
2位
15 位

今期
順位
2位
17 位
15 位
34 位
19 位

前期
順位
1位
5位
6位
11 位
9位

着信元国・地域別検知件数（減少順位）
減少
順位
1位
2位
3位
4位
5位

4

国・地域

今期件数 4中国
韓国
インド
アルゼンチン
台湾

387.68 件
35.02 件39.32 件9.83 件28.31 件

一日・1IP アドレス当たり。
- 338 -

前期比 4
－16.7%－54.4%－46.9%－74.3%－47.5%（－77.47 件）（－41.72 件）（－34.71 件）（－28.48 件）（－25.64 件）

別添５ サイバーセキュリティ関連データ集

着信元国・地域別比率
20.8%
27.4%

2.2%
2.4%
2.6%
2.9%
4.0%
5.1%

14.1%

12.6%

6.0%

ロシア
中国
米国
オランダ
ウクライナ
チリ
ブラジル
フランス
インドネシア英国
その他・不明

着信元国・地域別上位の宛先ポート別比率
0%

20%

40%

60%

80%

ロシア
中国
米国
オランダ
ウクライナ
チリ
ブラジル
フランス
インドネシア
英国
23/TCP

445/TCP

1433/TCP

22/TCP

80/TCP

52869/TCP

8080/TCP

81/TCP

53413/UDP

その他- 339 -

100%

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日別添５ サイバーセキュリティ関連データ集

ロシアからのアクセス件数の推移(件/日・IPアドレス)
2,000

1,600

1,200

800

400

0

23/TCP

23/TCP

23/TCP

445/TCP

1433/TCP

53413/UDP

22/TCP

22/TCP

445/TCP

8088/TCP

445/TCP

52869/TCP- 340 -

3389/TCP

3306/TCP

22/TCP

その他

中国からのアクセス件数の推移(件/日・IPアドレス)
1,600
1,400
1,200
1,000
800
600
400
200
0

その他

米国からのアクセス件数の推移(件/日・IPアドレス)
1,200

1,000

800

600

400

200

0

その他

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日
1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日別添５ サイバーセキュリティ関連データ集

オランダからのアクセス件数の推移(件/日・IPアドレス)
1,200

1,000

800

600

400

200

0

53/UDP

445/TCP

52869/TCP

23/TCP

81/TCP

22/TCP

53413/UDP

80/TCP- 341 -

23/TCP

3389/TCP

その他

ウクライナからのアクセス件数の推移(件/日・IPアドレス)
700

600

500

400

300

200

100

0

その他

別添５ サイバーセキュリティ関連データ集

データ 3.6 不正侵入等の観測結果
不正侵入等の攻撃手法別検知件数
今期
順位
1位
2位
3位
4位
5位

前期
順位
1位
3位
2位
4位
5位

攻撃手法

今期件数 5

Scan
DNS
VoIP
Scan(Password)
ICMP

638.59 件
172.26 件
36.56 件18.04 件15.64 件

増加
順位

前期比 5
－42.6%＋557.5%＋17.2%－29.4%＋45.2%（－474.49 件）（＋146.06 件）（＋5.37 件）（－7.52 件）（＋4.87 件）

1位
2位
2位
3位

不正侵入等の攻撃手法別検知件数の推移

DNS

VoIP

Scan(Password)

ICMP

2.0% 1.8%

0.7%
Scan

19.4%

DNS
VoIP
Scan(Password)
ICMP
その他
72.0%

5

一日・1IP アドレス当たり。
- 342 -

11月19日

11月5日

10月8日

その他

不正侵入等の攻撃手法別検知比率4.1%

10月22日

9月24日

9月10日

8月27日

8月13日

7月30日

7月16日

7月2日

6月4日

6月18日

5月21日

5月7日

4月9日

4月23日

3月26日

3月12日

2月26日

2月12日

1月29日

1月15日

1月1日

(件/日・IPアドレス)
2,000
1,800
1,600
1,400
1,200
1,000
800
600
400
200
0

Scan

減少
順位
1位

別添５ サイバーセキュリティ関連データ集

不法侵入等の攻撃手法の国・地域別検知比率
0%

20%

40%

60%

80%

100%

Scan

DNS

VoIP

Scan(Password)

ICMP

その他

中国

米国

オランダ

ロシア

ブラジル

- 343 -

香港

フランス

その他・不明別添５ サイバーセキュリティ関連データ集

データ 3.7 着信元国・地域別アクセス検知件数
不正侵入等の着信元国・地域別検知件数（今期順位）
今期
順位
1位
2位
3位
4位
5位

前期
順位
1位
3位
2位
7位
9位

国・地域

今期件数 6

中国
米国
オランダ
ロシア
ブラジル

441.22 件
138.57 件
44.64 件27.81 件24.99 件

前期比 6
－57.7%＋304.4%＋5.6%＋249.3%＋471.6%（－601.87 件）（＋104.31 件）（＋2.36 件）（＋19.85 件）（＋20.62 件）

不正侵入等の着信元国・地域別検知件数（増加順位）
増加
順位
1位
2位
3位
4位
5位

国・地域

今期件数 6

米国
ブラジル
ロシア
マカオ
香港

138.57 件
24.99 件27.81 件13.42 件16.37 件

前期比 6＋304.4%＋471.6%＋249.3%－ 7＋419.8%（＋104.31 件）（＋20.62 件）（＋19.85 件）（＋13.39 件）（＋13.22 件）

今期
順位
2位
5位
4位
8位
6位

前期
順位
3位
9位
7位
－7
11 位

今期
順位
1位
29 位
41 位
34 位
36 位

前期
順位
1位
10 位
15 位
16 位
22 位

不正侵入等の着信元国・地域別検知件数（減少順位）
減少
順位
1位
2位
3位
4位
5位

国・地域

今期件数 6

中国
ポーランド
スイス
チリ
リトアニア

441.22 件
2.07 件0.81 件1.29 件
1.09 件

前期比 6－57.7%－51.5%－66.1%－33.3%－23.5%（－601.87 件）（－2.21 件）（－1.58 件）（－0.64 件）（－0.34 件）

6

一日・1IP アドレス当たり。

7

前期の検知件数が僅かなため、前期比及び前期順位は記載していません。

- 344 -

別添５ サイバーセキュリティ関連データ集

不正侵入等の着信元国・地域別検知件数の推移

中国

オランダ

ロシア

ブラジル

中国
米国
オランダ

1.5%
1.8%
2.8%
3.1%

ロシア
49.7%

ブラジル
香港

5.0%

フランス
その他・不明15.6%- 345 -

11月19日

11月5日

10月8日

その他・不明

不正侵入等の着信元国・地域別検知比率20.3%

10月22日

9月24日

9月10日

8月27日

8月13日

7月30日

7月16日

7月2日

6月4日

6月18日

5月21日

5月7日

4月9日

米国

4月23日

3月26日

3月12日

2月26日

2月12日

1月29日

1月15日

1月1日

(件/日・IPアドレス)
2,000
1,800
1,600
1,400
1,200
1,000
800
600
400
200
0

別添５ サイバーセキュリティ関連データ集

不正侵入等の着信元国・地域別上位の攻撃手法別検知比率
0%

20%

40%

60%

80%

100%

中国

米国

オランダ

ロシア

ブラジル

香港

フランス

Scan

DNS

VoIP

Scan(Password)- 346 -

ICMPその他

別添５ サイバーセキュリティ関連データ集

データ 3.8 DoS 攻撃被害の観測結果
跳ね返りパケット着信元ポート別比率

跳ね返りパケット着信元国・地域別比率
1.2% 5.4%
6.6%

20.4%
28.3%
7.3%
4.0%
8.2%
5.7%

71.2%
22.0%

19.6%
80/TCP

6031/TCP

161/TCP

30050/TCP

443/TCP

その他

中国
米国
ドイツ

フランス
カナダ
その他・不明跳ね返りパケットの着信元ポート別検知件数（今期順位）
今期
順位

前期
順位

ポート

今期件数 8

前期比 8

1位

1位

80/tcp5,417.49 件-54.5% (-6,485.81 件)

2位

－

9

6031/tcp

4,218.42 件－ 9 (+4,218.41 件)

3位

－ 9

161/tcp

3,753.56 件－ 9 (+3,753.54 件)

4位

－ 9

30050/tcp

1,086.68 件－ 9 (+1,086.67 件)

5位

3位

443/tcp756.93 件+90.8% (+360.3 件)

跳ね返りパケットの着信元国・地域別検知件数（今期順位）
今期
順位

前期
順位

国・地域

今期件数 8

前期比 8

1位

1位

中国

13,636.8 件+56% (+4,893.53 件)

2位

4位

フランス

1,577.39 件

3位

2位

米国

1,406.21 件-76% (-4,459.63 件)

4位

3位

カナダ

1,265.77 件+6.4% (+76.46 件)

5位

5位

ドイツ

227.45 件-68.9% (-503.61 件)

8

一日当たり。

9

前期の検知件数が僅かなため、前期比及び前期順位は記載していません。

- 347 -

+47.6% (+508.45 件)

別添５ サイバーセキュリティ関連データ集

跳ね返りパケットの着信元国・地域別検知件数の推移（中国のみ）

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日(件/日)1,600,000
1,400,000
1,200,000
1,000,000
800,000
600,000
400,000
200,000
0

中国

跳ね返りパケットの着信元国・地域別検知件数の推移（中国以外）(件/日)
120,000
100,000
80,00060,00040,00020,000

1月1日
1月15日
1月29日
2月12日
2月26日
3月12日
3月26日
4月9日
4月23日
5月7日
5月21日
6月4日
6月18日
7月2日
7月16日
7月30日
8月13日
8月27日
9月10日
9月24日
10月8日
10月22日
11月5日
11月19日
12月3日
12月17日
12月31日

0

フランス

米国

カナダ

データ 4 「Security Action」制度
平成29年度
一つ星

213

ドイツ

登録事業者数

平成30年度

二つ星

271

一つ星

52,955二つ星

8,626

その他・不明

合計
登録のみ

5,497

一つ星

53,168- 348 -

二つ星

8,897

登録のみ

累計
登録者数

5,497

67,562

別添５ サイバーセキュリティ関連データ集

データ 5 情報処理安全確保支援士
平成29年度
4月登録

4,172

10月登録

2,822

登録者数

平成30年度
4月登録2,206

平成31年度

10月登録

4月登録

8,214

1,052

累計
登録者数

平成31年4月1日時点

登録者数（※）

18,466

18,330（※）累計登録者数から登録消除等 136 名を減算

データ 6 情報セキュリティマネジメント・情報処理安全確保支援士の合格者数推移
試験区分

情報処理安全確保支援士(※)

年度合計

応募者数52,04352,043

受験者数

34,07434,074

合格者数

5,906

5,906

応募者数

59,28559,285

受験者数

39,342

39,342

合格者数

5,804

5,804

応募者数

57,24357,243

受験者数

37,19837,198

合格者数

5,110

5,110

応募者数

57,94457,944

受験者数

39,09239,092

合格者数

5,407

5,407

応募者数

56,45256,452

受験者数

36,90536,905

合格者数

5,147

5,147

応募者数

54,981

54,981

受験者数

36,104

36,104

合格者数

5,071

5,071

応募者数

55,61355,613

受験者数

36,982

36,982

合格者数

5,764

5,764

年度
平成 21 年度

平成 22 年度

平成 23 年度

平成 24 年度

平成 25 年度

平成 26 年度

平成 27 年度

平成 28 年度

平成 29 年度

平成 30 年度

情報セキュリティ
マネジメント

応募者数43,87759,356103,233

受験者数

36,58940,31476,903

合格者数

28,905

5,992

34,897

応募者数

42,06948,55590,624

受験者数

34,08433,48467,568

合格者数

19,914

5,589

25,503

応募者数

38,992

45,627

84,619

受験者数30,32830,63660,964

合格者数

15,146

5,414

20,560（※）平成２８年度までは情報セキュリティスペシャリスト試験、平成２９年度からは、情報処理安全確保支援士試験を示す。

- 349 -

- 350 -別添６

担当府省庁一覧（2019 年度計画）- 351 -

別添６ 担当府省庁一覧（2019年度計画）

担当府省庁一覧
担当府省庁

項目（◎：主担当、○：関係府省庁）

1. 経済社会の活力の向上及び持続的発展
1.1 新たな価値創出を支えるサイバーセキュリティの推進(1) 経営層の意識改革◎：NISC、経済産業省○：金融庁(2) サイバーセキュリティに対する投資の推進◎：総務省、経済産業省(3) 先端技術を利活用したイノベーションを支えるサイバー◎：総務省、文部科学省、経済産業省

セキュリティビジネスの強化
1.2 多様なつながりから価値を生み出すサプライチェーンの実現(1) サイバーセキュリティ対策指針の策定◎：経済産業省(2) サプライチェーンにおけるサイバーセキュリティを確保◎：内閣府、経済産業省○：総務省※内閣府：政策統括官（科学技術・イノベーシ
ョン担当）

できる仕組みの構築◎：NISC、総務省、経済産業省(3) 中小企業の取組の促進
1.3 安全な IoT システムの構築(1) IoT システムにおけるサイバーセキュリティの体系の整
備と国際標準化◎：NISC、消費者庁、総務省、経済産業省○：法務省◎：NISC、警察庁、総務省、経済産業省(2) 脆弱性対策に係る体制の整備
2. 国民が安全で安心して暮らせる社会の実現
2.1 国民・社会を守るための取組(1) 安全・安心なサイバー空間の利用環境の構築◎：NISC、内閣官房、内閣府、金融庁、総務省、
厚生労働省、経済産業省、国土交通省○：内閣官房、内閣府、宮内庁、警察庁、消費者庁、法務省、外務省、文部科学省、農林水産省、環境省、防衛省※内閣官房（◎）：内閣官房副長官補（国土交通、海上保安担当）※内閣府（◎）：政策統括官（科学技術・イノ
ベーション担当）(2) サイバー犯罪への対策◎：内閣府、警察庁、総務省、法務省、経済産業省※内閣府：個人情報保護委員会

2.2 官民一体となった重要インフラの防護(1) 行動計画に基づく主な取組◎：NISC、金融庁、総務省、厚生労働省、経済産業省、国土交通省○：警察庁(2) 地方公共団体のセキュリティ強化・充実◎：NISC、内閣府、総務省、厚生労働省○：内閣官房※内閣府：番号制度担当室、個人情報保護委員会※内閣官房：情報通信技術（IT）総合戦略室

2.3 政府機関等におけるセキュリティ強化・充実(1) 情報システムのセキュリティ対策の高度化・可視化◎：NISC、総務省、厚生労働省、経済産業省(2) クラウド化の推進等による効果的なセキュリティ対策◎：NISC、内閣官房、総務省、経済産業省※内閣官房：情報通信技術（IT）総合戦略室(3) 先端技術の活用による先取り対応への挑戦◎：NISC- 352 -

別添６ 担当府省庁一覧（2019年度計画）(4) 監査を通じたサイバーセキュリティの水準の向上◎：NISC○：内閣府、消費者庁、総務省、外務省、財務省、文部科学省、厚生労働省、農林水産省、経済産業省、国土交通省、環境省、防衛省(5) 組織的な対応能力の充実◎：NISC、総務省○：人事院

2.4 大学等における安全・安心な教育・研究環境の確保(1) 大学等の多様性を踏まえた対策の推進◎：文部科学省○：NISC(2) 大学等の連携協力による取組の推進◎：文部科学省

2.52020 年東京大会とその後を見据えた取組(1)

2020 年東京大会に向けた態勢の整備◎：NISC、警察庁(2) 未来につながる成果の継承◎：NISC、警察庁、総務省、法務省

2.6 従来の枠を超えた情報共有・連携体制の構築◎：NISC、警察庁、金融庁、総務省、厚生労働省、経済産業省、国土交通省(1) 多様な主体の情報共有・連携の推進◎：NISC(2) 情報共有・連携の新たな段階へ◎：NISC

2.7 大規模サイバー攻撃事態等への対処態勢の強化◎：NISC、内閣官房、内閣府、警察庁、金融庁、経済産業省※内閣官房：内閣官房副長官補（事態対処・危機管理担当）、内閣府：個人情報保護委員会

3. 国際社会の平和・安定及び我が国の安全保障への寄与
3.1 自由、公正かつ安全なサイバー空間の堅持◎：NISC○：外務省(1) 自由、公正かつ安全なサイバー空間の理念の発信◎：NISC、外務省、経済産業省○：警察庁、総務省、防衛省(2) サイバー空間における法の支配の推進◎：NISC、警察庁、法務省、外務省○：総務省、経済産業省、防衛省

3.2 我が国の防御力・抑止力・状況把握力の強化(1) 国家の強靱性の確保◎：NISC、内閣官房、警察庁、法務省、文部科学省、防衛省○：内閣府、総務省、外務省、厚生労働省、農林水産省、経済産業省、国土交通省、環境省※内閣官房：内閣情報調査室(2) サイバー攻撃に対する抑止力の向上◎：NISC、内閣官房、警察庁、外務省、経済産業省、防衛省○：総務省、財務省※内閣官房：国家安全保障局(3) サイバー空間の状況把握の強化◎：内閣官房、警察庁、法務省、経済産業省、防衛省○：NISC、総務省、外務省※内閣官房：国家安全保障局、内閣情報調査室◎：NISC○：その他の府省庁

3.3 国際協力・連携(1) 知見の共有・政策調整◎：NISC、警察庁、総務省、外務省、経済産業
省、防衛省
○：法務省

(2) 事故対応等に係る国際連携の強化◎：NISC、経済産業省○：警察庁、外務省(3) 能力構築支援◎：NISC、警察庁、総務省、外務省、経済産業省

4. 横断的施策◎：NISC、総務省○：文部科学省、経済産業省

4.1 人材育成・確保◎：NISC、文部科学省、経済産業省(1) 戦略マネジメント層の育成・定着- 353 -

別添６ 担当府省庁一覧（2019年度計画）(2) 実務者層・技術者層の育成◎：警察庁、総務省、文部科学省、厚生労働省、経済産業省、防衛省○：NISC(3) 人材育成基盤の整備◎：総務省、文部科学省、経済産業省(4) 各府省庁におけるセキュリティ人材の確保・育成の強化◎：NISC、総務省○：その他の府省庁(5) 国際連携の推進◎：NISC、経済産業省

4.2 研究開発の推進(1) 実践的な研究開発の推進◎：NISC、内閣府、総務省、文部科学省、経済産業省※内閣府：政策統括官（科学技術・イノベーシ
ョン担当）(2) 中長期的な技術・社会の進化を視野に入れた対応◎：NISC○：その他の府省庁◎：NISC、総務省、文部科学省、経済産業省○：法務省

4.3 全員参加による協働◎：NISC、内閣官房○：警察庁、金融庁、総務省、外務省、文部科学
省、厚生労働省、経済産業省、国土交通省、防衛省※内閣官房：内閣官房副長官補（事態対処・危機管理担当）

5.推進体制- 354 -

別添７

用語解説

- 355 -

別添７ 用語解説

A

用
AI

語

AIST

Apache Struts
APCERT
APEC
AppGoat
APT
APT10

ARF

B

ASEAN
BCP

C

C4TAP

CC

CCRA
CEPTOAR

CERT/CC

CISO

CISSP

解
説
人工知能のこと。昨今の計算機科学の知見が進展し、大量のデータが必要である機械学
習の分野の研究が進展し、深層学習という手法が登場しており、これによりAIの画像解
析の精度を飛躍的に向上させ、製品の異常検知、ガンの診断、投資判断、翻訳等の精度を高め、経済社会において様々な機能の効率化・高品質化を加速させ、既に幅広い産業に応用され始めている。
National Institute of Advanced Industrial Science and Technologyの略。国立研究開発法人産業技術総合研究所（産総研）。2001年１月６日の中央省庁再編に伴い、通商産業省工業技術院及び全国15研究所群を統合再編し、通商産業省及びその後継の経済産
業省から分離して発足した独立行政法人。
Webアプリケーションを構築する際に必要となる諸機能を提供するオープンソースのフレ
ームワーク。
Asia Pacific Computer Emergency Response Teamの略。各国・地域におけるCSIRTの活動と連携し、アジア太平洋地域におけるコーディネーションの実施等を行う。
Asia-Pacific Economic Cooperationの略（エイペック）。アジア太平洋地域の21の国と地域が参加する枠組み。
IPAが無償提供する脆弱性体験学習ツール。学習教材と演習環境がセットになっており、脆弱性の検証手法から原理、影響、対策までを演習しながら学習できる。
Asia-Pacific Telecommunityの略。アジア太平洋電気通信共同体。アジア・太平洋地域の電気通信の開発促進及び地域電気通信網の整備・拡充を目的として1979年に設立。
中国を拠点とするサイバー攻撃集団。APTはAdvanced Persistent Threatの略で、「標的型攻撃」と訳される。米セキュリティ企業ファイア・アイが特定の組織に的を絞って攻撃する複数のハッカー集団を分類し、番号をつけて監視しており、「APT10」はその一つ。
ASEAN Regional Forumの略。政治・安全保障問題に関する対話と協力を通じ、アジア太平洋地域の安全保障環境を向上させることを目的としたフォーラム。
Association of South East Asian Nationsの略。東南アジア諸国連合。
Business Continuity Planの略。緊急事態においても重要な業務が中断しないよう、又は中断しても可能な限り短時間で再開できるよう、事業の継続に主眼を置いた計画。BCPのうち情報（通信）システムについて記載を詳細化したものがIT-BCP（ICT-BCP）である。
Ceptoar Council's Capability for Cyber Targeted Attack Protectionの略（シータップ）。セプターカウンシルにおける標的型攻撃に関する情報共有体制。重要インフラサービスへの攻撃の未然防止、もしくは被害低減、サービスの維持、早期復旧を容易にすることを目的として、2012年12月に運用を開始した。
Common Criteriaの略。ISO/IEC 15408のこと。情報セキュリティの観点から、情報技術に関連した製品及びシステムが適切に設計され、その設計が正しく実装されていることを評価するための国際標準規格。
Common Criteria Recognition Arrangementの略。CCに基づいたセキュリティ評価・認証の相互承認に関する協定。
Capability for Engineering of Protection, Technical Operation, Analysis andResponseの略（セプター）。重要インフラ事業者等の情報共有・分析機能及び当該機能を担う組織。2005年以降順次構築が進められ、2019年３月末現在、14分野で19セプターが活動。
Computer Emergency Response Team/Coordination Centerの略（サートシーシー）。サ
イバー攻撃情報やシステムの脆弱性関連情報を収集・分析し、関係機関に情報提供等を行っている非営利団体の一般的な名称。複数の国で設立されており、日本にはJPCERT/CCが設置されている。
Chief Information Security Officerの略。最高情報セキュリティ責任者。企業や行政機関等において情報システムやネットワークの情報セキュリティ、機密情報や個人情報の管理等を統括する責任者のこと。なお、「政府CISO」は内閣サイバーセキュリティセ
ンター長である。
Certified Information Systems Security Professionalの略。非営利組織である(ISC)2(International Information Systems Security Certification Consortium：アイエス
シー・スクエア)が認定を行っている国際的に認められた情報セキュリティ・プロフェッ
ショナル認証資格のこと。

- 356 -

別添７ 用語解説

CPSF
CRYPTREC

CSIRT

CSMS
CSSC

CTF
CURE

CVSS
CYMAT

D

DoS攻撃

DDoS攻撃

DII
DKIM

DMARC

DNS
DX
E
F

eラーニング
Fintech

FIRST

G

G7
G20

Cyber/Physical Security Frameworkの略。「サイバー・フィジカル・セキュリティ対策
フレームワーク」を参照。
Cryptography Research and Evaluation Committeesの略。電子政府推奨暗号の安全性を評価・監視し、暗号技術の適切な実装法・運用法を調査・検討するプロジェクト。総務
省及び経済産業省が共同で運営する暗号技術検討会と、NICT及びIPAが共同で運営する暗号技術評価委員会及び暗号技術活用委員会で構成される。
Computer Security Incident Response Teamの略（シーサート）。企業や行政機関等において、情報システム等にセキュリティ上の問題が発生していないか監視するとともに、万が一問題が発生した場合にその原因解析や影響範囲の調査等を行う体制のこと。
Cyber Security Management Systemの略。制御システムのセキュリティマネジメントシ
ステム。
Control System Security Centerの略。技術研究組合制御システムセキュリティセンター。重要インフラの制御システムのセキュリティを確保するため、研究開発、国際標準化活動、認証、人材育成、普及啓発、各システムのセキュリティ検証等を担う。2012年３月設立。
Capture The Flagの略。情報セキュリティをテーマとした様々な競技を通して、攻撃・防御両者の視点を含むセキュリティの総合力を試すハッキングコンテスト。
国立研究開発法人情報通信研究機構（NICT）において研究開発している、サイバーセキ
ュリティ研究及びセキュリティ・オペレーションの遂行に不可欠な各種通信、マルウェ
ア、脆弱性情報、イベント情報、インシデント情報等のサイバーセキュリティ関連情報を大規模集約し、安全かつ利便性の高いリモート情報共有を可能とする仕組み。
Common Vulnerability Scoring Systemの略。情報システムの脆弱性の深刻度に対するオープンで汎用的な評価手法。
CYber incident Mobile Assistance Teamの略（サイマット）。我が国の機関等において大規模なサイバー攻撃等により政府として一体となって迅速・的確に対応すべき事態等が発生した際に、機関の壁を越えて連携し、被害拡大防止等について機動的な支援を行うため、2012年６月に内閣官房に設置した体制のこと。
Denial of Serviceの略。サービス不能攻撃。特定のサーバに対して一度に大量のデータを送出し、通信路やサーバの処理能力をあふれさせるものや、サーバやアプリケーションの脆弱性を悪用して機能を停止させるものがある。
Distributed Denial of Serviceの略。分散型サービス不能攻撃。多数のコンピュータを用いたDoS攻撃。大規模な攻撃では、遠隔操作される等により数万台以上のコンピュータ
が攻撃に用いられているケースもある。
Defense Information Infrastructureの略。防衛省の基盤的共通通信ネットワーク。
Domain Keys Identified Mailの略。電子署名を利用した電子メールの送信ドメイン認証
技術の一つ。スパムメール、フィッシングメールなどの迷惑メールへの対策の一つとして利用可能。
Domain-based Message Authentication, Reporting &Conformanceの略。電子メールにおける送信ドメイン認証技術の一つであり、SPF・DKIMのドメイン認証技術を利用し、メールの正当性を送信者と受信者間で確認する仕組み。
Domain Name Systemの略。ドメイン名とIPアドレスを対応付けて管理するシステム。
Digital Transformationの略。将来の成長、競争力強化のために、新たなデジタル技術を活用して新たなビジネス・モデルを創出・柔軟に改変すること。
electronic learningの略。情報通信技術を用いた教育、学習のこと。
Finance（金融）とTechnology（技術）を組み合わせた造語。ブロックチェーンやビッグ
データ、AIといった新たな技術を活用し、多くが急速に普及したスマートフォンやタブレット等を通じて行われる革新的な金融サービス。
Forum of Incident Response and Security Teamsの略。各国のCSIRTの協力体制を構築する目的で、1990年に設立された国際協議会であり、2017年５月現在、世界80ヶ国の官・民・大学等369の組織が参加している。
Group of Seven（主要７か国首脳会議）の略。
Group of Twentyの略。G7（仏、米、英、独、日、伊、加（議長国順）、欧州連合（EU））に加え、亜、豪、ブラジル、中、印、インドネシア、メキシコ、韓、露、サウ
ジアラビア、南アフリカ、トルコ（アルファベット順）の首脳が参加して毎年開催される国際会議。

- 357 -

別添７ 用語解説

GSOC

I

Government Security Operation Coordination teamの略（ジーソック）。政府関係機関
情報セキュリティ横断監視・即応調整チーム。各機関に設置したセンサーを通じた政府
横断的な監視、攻撃等の分析・解析、各機関への助言、各機関の相互連携促進及び情報共有を行うためのGSOCシステムを運用する体制のこと。
2008年４月から運用を開始した政府機関等に対する監視体制（第一GSOC）と、2017年
４月から運用を開始した独立行政法人等に対する監視体制（第二GSOC）がある。
icat
IPAの運営するサイバーセキュリティ注意喚起サービス。ソフトウェア等の脆弱性に関する情報をタイムリーに発信する。
ICPO
International Criminal Police Organizationの略（インターポール）。国際刑事警察機構。
ICT
Information and Communications Technologyの略。情報通信技術のこと。
IoTInternet of Thingsの略。あらゆる物がインターネットを通じて繋がることによって実現する新たなサービス、ビジネスモデル、又はそれを可能とする要素技術の総称。
IoT機器
インターネットに接続が可能な機器及び端末等のこと。例えば、パソコン、スマートフ
ォンのほか、Webカメラ（防犯カメラ等）、各種センサーなど、多様な機器がある。
IoT推進コンソー IoT推進に関する技術の開発・実証や新たなビジネスモデルの創出を推進するための体制
シアムを構築することを目的として、2015年10月に設立された産官学が参画・連携する組織。
IoTセキュリティ IoT推進コンソーシアム IoTセキュリティワーキンググループにおいて、2016年７月に策ガイドライン
定。IoT特有の性質とセキュリティ対策の必要性を踏まえて、IoT機器やシステム、サービスについて、その関係者がセキュリティ確保の観点から求められる基本的な取組を、
セキュリティ・バイ・デザインを基本原則としつつ、明確化することによって、産業界による積極的な開発等の取組を促すとともに、利用者が安心してIoT機器やシステム、サービスを利用できる環境を生み出すことにつなげるもの。
IPA
Information-technology Promotion Agencyの略。独立行政法人情報処理推進機構。ソフ
トウェアの安全性・信頼性向上対策、総合的なIT人材育成事業（スキル標準、情報処理技術者試験等）とともに、情報セキュリティ対策の取組として、コンピュータウイルスや不正アクセスに関する情報の届出受付、国民や企業等への注意喚起や情報提供等を実施している独立行政法人。
IPアドレスInternet Protocol addressの略。インターネットやイントラネットなど、IPネットワー
クに接続されたコンピュータや通信機器等に割り振られた識別番号。
ISAC
Information Sharing and Analysis Centerの略。サイバーセキュリティに関する情報収集や、収集した情報の分析等を行う組織。分析した情報はISACに参加する会員間で共有され、各々のセキュリティ対策等に役立てられる。
ISMS
Information Security Management Systemの略。情報セキュリティマネジメントシステ
ム。
ISOInternational Organization for Standardizationの略。電気及び電子技術分野を除く
全産業分野（鉱工業、農業、医薬品等）における国際標準の策定を行う国際標準化機
関。
ISO/IEC JTC 1 SC 情報セキュリティ、サイバーセキュリティ、プライバシー保護の分野を対象に、国際規27格を策定するISO/IEC JTC 1配下の分科委員会。
https://www.iso.org/committee/45306.html 参照
ISO/IEC JTC1
インターネット・オブ・シングスと関連技術の分野を対象に、国際規格を策定する
SC41
ISO/IEC JTC1配下の分科委員会。
ISP
Internet Service Providerの略。インターネット接続事業者。
ITPEC
IT Professionals Examination Councilの略。アジア統一共通試験実施委員会。我が国の情報処理技術者試験制度を移入して試験制度を創設した国（６カ国）が協力して試験を実施するための協議会。
ITU
International Telecommunication Unionの略。国際電気通信連合。国際連合の専門機関の一つ。国際電気通信連合憲章に基づき無線通信と電気通信分野において各国間の標準化と規制を確立することを目的とする。
ITU-DInternational Telecommunication Union Telecommunication Development Sectorの略。ITUの電気通信開発部門。
ITU-T
International Telecommunication Union Telecommunication Standardization Sectorの略。ITUの電気通信標準化部門。

- 358 -

別添７ 用語解説

IT障害

J

L

M

重要インフラの情報セキュリティ対策に係る第３次行動計画において使用された用語で、「ITの不具合のうち、重要インフラサービスの提供水準が同計画に記載された水準を下回るもの。」と規定。同第４次行動計画において、「重要インフラサービス障害」の用語に変更し、定義の明確化を図った。
IT製品の調達にお 経済産業省及びIPAの共同により、2014年５月に策定。安全性・信頼性の高いIT製品等のけるセキュリティ 利用推進の取組の一つとして、従来の「ITセキュリティ評価及び認証制度等に基づく認要件リスト
証取得製品分野リスト」を改訂したもの。
ITセキュリティ評 IT製品・システムについて、そのセキュリティ機能や目標とするセキュリティ保証レベ
価及び認証制度
ルを、情報セキュリティの国際標準ISO/IEC 15408に基づいて第三者が評価し、結果を公的に検証し、原則公開する制度。
IT総合戦略本部
高度情報通信ネットワーク社会推進戦略本部のこと。ITの活用により世界的規模で生じている急激かつ大幅な社会経済構造の変化に適確に対応することの緊要性にかんがみ、
高度情報通信ネットワーク社会の形成に関する施策を迅速かつ重点的に推進するために、2001年１月、内閣に設置された。
IWWN
International Watch and Warning Networkの略。サイバー空間の脆弱性、脅威、攻撃に対応する国際的な取組の促進を目的とした会合。
JC3Japan Cybercrime Control Centerの略。一般財団法人日本サイバー犯罪対策センター。
産学官連携によるサイバー犯罪等への対処のため、日本版NCFTAとして設立された。
JCMVP
Japan Cryptographic Module Validation Programの略。「暗号モジュール試験及び認証制度」を参照。
J-CSIP
Initiative for Cyber Security Information sharing Partnership of Japanの略。サイバー情報共有イニシアティブ。IPAを情報ハブ（集約点）の役割として、参加組織間で情報共有を行い、高度なサイバー攻撃対策に繋げていく取組。
JHAS
Joint Interpretation Library（JIL）Hardware-related Attacks SWGの略。欧州の認証機関、評価機関、スマートカードベンダ、ユーザーなどからなる作業部会。
JISEC
Japan Information Technology Security Evaluation and Certification Schemeの略。
ITセキュリティ評価及び認証制度を参照。
JIWG
Joint Interpretation Library（JIL）WGの略。欧州における、スマートカードなどのセキュリティ認証機関からなる技術ワーキンググループ。
JPCERT/CC
Japan Computer Emergency Response Team/Coordination Centerの略。インターネット
を介して発生する侵入やサービス妨害等のコンピュータセキュリティインシデントについて、日本国内のサイトに関する報告の受け付け、対応の支援、発生の状況の把握、手口の分析、再発防止のための対策の検討や助言などを、技術的な立場から行っている機関。特定の政府機関や企業からは独立した組織として、日本における情報セキュリティ対策活動の向上に積極的に取り組んでいる。 1996年10月に「コンピュータ緊急対応センター」として発足。
JTEMS
Joint Interpretation Library（JIL） Terminal Evaluation Methodology Subgroupの略。カード端末セキュリティに関する検討部会。
JVN
Japan Vulnerability Notesの略。JPCERT/CCとIPAが共同で管理している脆弱性対策情報提供サイト。
JVNiPedia
IPAが運営する脆弱性情報データベース。
LAN
Local Area Networkの略。企業内、ビル内、事業所内等の狭い空間においてコンピュー
タやプリンタ等の機器を接続するネットワーク。
LGWAN
Local Government Wide Area Networkの略。総合行政ネットワーク。地方公共団体の組
織内ネットワークを相互に接続する行政専用ネットワークであり、安全確実な電子文書
交換、電子メール、情報共有及び多様な業務支援システムの共同利用を可能とする電子
自治体の基盤。
M2M
Machine-to-Machineの略。ネットワークに繋がれた機器同士が人間を介在せずに相互に情報交換し、自動的に最適な制御が行われるシステムのこと。例としては、情報通信機
器（情報家電、自動車、自動販売機等）や建築物等に設置された各種センサー・デバイ
スを、ネットワークを通じて協調させ、エネルギー管理、施設管理、経年劣化監視、防災等の多様な分野のサービスを実現するなど。より広義の概念でIoT（Internet Of
Things）と呼ばれることもある。
MOU/NDA
Memorandum Of Understanding/Non-Disclosure Agreementの略。覚書及び秘密保持契約。

- 359 -

別添７ 用語解説

MyJVN

N

NATIONAL
318(CYBER)EKIDEN
NCFTA

NICT

NII

NISC

NIST
NOTICE

O

OECD
OS

P

PBL
PDCAサイクル

PP
S

SCAP
SECCON 2018

SIP

Slow HTTP DoS
SNS

SOC

JVNiPedia で配布されている脆弱性チェックツール。PCのソフトウェアが最新か、セキュリティ設定に問題がないか等を確認し、対策が必要な場合は情報へのリンクを提供する。
府省庁職員を対象とした、１府12省庁対抗による競技形式のサイバー攻撃対処訓練のこと。
National Cyber-Forensics and Training Allianceの略。FBI、民間企業、学術機関を構成員として米国に設立された米国の非営利団体。サイバー犯罪に係る情報の集約・分
析、海外を含めた捜査機関等の職員に対するトレーニング等を実施。
National Institute of Information and Communications Technologyの略。国立研究開
発法人情報通信研究機構。情報通信技術分野の研究開発を実施するとともに、民間や大学が実施する情報通信分野の研究開発の支援の実施等を行う独立行政法人。
National Institute of Informaticsの略。国立情報学研究所。大学共同利用機関法人
情報・システム研究機構の一員。情報学という新しい学問分野での「未来価値創成」を目指すわが国唯一の学術総合研究所として、ネットワーク、ソフトウェア、コンテンツなどの情報関連分野の新しい理論・方法論から応用までの研究開発を総合的に推進している。
National center of Incident readiness and Strategy for Cybersecurityの略。内閣
サイバーセキュリティセンター。サイバーセキュリティ戦略本部の事務の処理を行い、我が国におけるサイバーセキュリティの司令塔機能を担う組織として、2015年１月９日、内閣官房情報セキュリティセンター（National Information Security Center）を改組し、内閣官房に設置された。センター長には、内閣官房副長官補（事態対処・危機管理担当）を充てている。
National Institute of Standards and Technologyの略。アメリカ国立標準技術研究所。
National Operation Towards IoT Clean Environmentの略。NICTがサイバー攻撃に悪用されるおそれのある機器を調査し、電気通信事業者を通じた利用者への注意喚起を行う取組。
Organization for Economic Co-operation and Developmentの略。経済協力開発機構。
Operating Systemの略。多くのアプリケーションソフトが共通して利用する基本的な機能を提供し、コンピュータシステムを管理する基本ソフトウェア。
Project Based Learningの略。課題解決型学習。
Plan-Do-Check-Act cycle。事業活動における生産管理や品質管理などの管理業務を円滑に進める手法の一つ。Plan（計画）→Do（実行）→Check（評価）→Act（改善）の４段
階を繰り返すことによって、業務を継続的に改善する。
Protection Profileの略。IT製品のセキュリティ上の課題に対する要件をCCに従って規定したセキュリティ要求仕様。主に調達要件として用いられる。
Security Content Automation Protocol の略。情報セキュリティにかかわる技術面での自動化と標準化を実現する技術仕様。
SECCON：SECurity CONtest 2018の略。情報セキュリティをテーマに多様な競技を開催する情報セキュリティイベントの2018年における名称。競技を通じた実践的情報セキュリ
ティ人材の発掘・育成、技術実践の場の提供を目的とする。
cross-ministerial Strategic Innovation promotion Programの略。戦略的イノベーシ
ョン創造プログラム。内閣府総合科学技術・イノベーション会議が司令塔機能を発揮して、府省の枠や旧来の分野を超えたマネジメントにより、科学技術イノベーション実現のために創設した国家プロジェクト。国民にとって真に重要な社会的課題や、日本経済再生に寄与できるような課題に取り組み、基礎研究から実用化・事業化（出口）までを見据えて一気通貫で研究開発を推進する。
DoS攻撃の一種で、対象Webサーバへ比較的少ないパケット数をTCPセッションが継続する
ように長時間に渡って送り続け、正規の閲覧者がアクセスできないようにする攻撃。
Social Networking Serviceの略。社会的ネットワークをインターネット上で構築するサービスのこと。友人・知人間のコミュニケーションを円滑にする手段や場を提供した
り、趣味や嗜好、居住地域、出身校、「友人の友人」といったつながりを通じて新たな人間関係を構築したりする場を提供する。
Security Operation Centerの略。セキュリティ・サービス及びセキュリティ監視を提供するセンター。

- 360 -

別添７ 用語解説

Society 5.0

狩猟社会、農耕社会、工業社会、情報社会に続く、人類史上５番目の新しい社会。新しい価値やサービスが次々と創出され、社会の主体たる人々に豊かさをもたらしていく。
（出典：未来投資戦略2017（平成29年6月9日閣議決定））
SPF
Sender Policy Frameworkの略。電子メールにおける送信ドメイン認証の一つ。差出人のメールアドレスが他のドメインになりすましていないかどうかを検出することができる。
STARDUST
国立研究開発法人情報通信研究機構（NICT）において研究開発している、高度かつ複雑なサイバー攻撃に対処するため、政府や企業等の組織を模擬したネットワークに攻撃者を誘い込み、攻撃者の組織侵入後の詳細な挙動をリアルタイムに把握することを可能とするサイバー攻撃誘引基盤。
T TSUBAMEJPCERT/CCが運営するインターネット定点観測システム。Internet上に観測用センサーを分散配置し、セキュリティ上の脅威となるトラフィックの観測を実施。得られた情報はウェブサイト等を通して提供されている。
W WG2コンビーナ
IPAは、国際標準化を行うISOとIECの合同委員会（ISO/IEC JTC1）において、情報セキュ
リティに関する標準化を担当する副委員会（ISO/IEC JTC1 SC27）の下に設置されている
ワーキンググループ2（WG2：暗号とセキュリティメカニズム）のコンビーナ（議長）を務めている。
WG3副コンビーナ IPAは、ISO/IEC JTC1 SC27のワーキンググループ3（WG3：セキュリティ評価基準）の副
コンビーナ（副議長）を務めている。
あ アクセス制御
情報等へのアクセスを許可する者を制限等によりコントロールすること。
暗号アルゴリズム 暗号における計算方法のこと。共通鍵暗号、公開鍵暗号、ハッシュ等の分類がある。
暗号モジュール試 電子政府推奨暗号リスト等に記載されている暗号化機能、ハッシュ機能、署名機能等の験及び認証制度承認されたセキュリティ機能を実装したハードウェア、ソフトウェア等から構成される
暗号モジュールが、その内部に格納するセキュリティ機能並びに暗号鍵及びパスワード
等の重要情報を適切に保護していることを、第三者による試験及び認証を組織的に実施することにより、暗号モジュールの利用者が、暗号モジュールのセキュリティ機能等に関する正確で詳細な情報を把握できるようにすることを目的とした制度。IPAにより運用されている。
安全基準等関係法令に基づき国が定める「強制基準」、関係法令に準じて国が定める「推奨基準」
及び「ガイドライン」、関係法令や国民からの期待に応えるべく業界団体等が定める業界横断的な「業界標準」及び「ガイドライン」、関係法令や国民・利用者等からの期待に応えるべく重要インフラ事業者等が自ら定める「内規」等の総称。ただし、重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針は含まない。
安全なIoTシステ NISCにおいて、2016年８月に策定。従来の情報セキュリティの確保に加え、新たに安全ムのためのセキュ 確保が重要なIoTシステムは、セキュリティ・バイ・デザインの思想で設計、構築、運用
リティに関する一 されることが不可欠であるため、安全なIoTシステムが具備すべき一般要求事項としての
般的枠組
セキュリティ要件の基本的要素を明らかにしたもの。
い イノベーション
新技術の発明や新規のアイデア等から、新しい価値を創造し、社会的変化をもたらす自発的な人・組織・社会での幅広い変革のこと。
インシデント
中断・阻害、損失、緊急事態又は危機になり得る又はそれらを引き起こし得る状況のこと（ISO22300）。IT分野においては、システム運用やセキュリティ管理等における保安上の脅威となる現象や事案を指すことが多い。
インシデント・ハ インシデント発生時から解決までの一連の処理のこと。
ンドリング
か カウンターインテ 外国の敵意ある諜報活動に対抗する情報防衛活動のこと。
リジェンス
可用性
情報に関して正当な権限を持った者が、必要時に中断することなく、情報にアクセスできること（Availability）。
完全性
情報に関して破壊、改ざん又は消去されていないこと（Integrity）。
き 機密性
情報に関して正当な権限を持った者だけが、情報にアクセスできること（Confidentiality）。
く クラウドサービス インターネット等のブロードバンド回線を経由して、データセンタに蓄積されたコンピュータ資源を役務（サービス）として、第三者（利用者）に対して遠隔地から提供するもの。なお、利用者は役務として提供されるコンピュータ資源がいずれの場所に存在しているか認知できない場合がある。

- 361 -

別添７ 用語解説

クラウドサービス 総務省において、2014年４月策定。クラウドサービス利用の進展状況等に対応するた提供における情報 め、クラウドサービス提供事業者が留意すべき情報セキュリティ対策に関するガイドラ
セキュリティ対策 イン。2018年７月に第２版を公表し、クラウド事業者のIoTサービスリスクへの対応に関ガイドラインする内容を追加。
グループガバナン 子会社を保有しグループ経営を行う企業においてグループ全体の企業価値向上を図るたス
めのガバナンス。
クロスサイトスク 閲覧者が入力したデータがページ内容に反映されるような動的Webページにおける、当該
リプティングページに不正なスクリプトを埋め込むことができる脆弱性、もしくはその脆弱性を利用した攻撃手法。
こ 公開鍵暗号
暗号化処理と復号処理で使う暗号鍵が異なるタイプの暗号方式で、復号処理で使う暗号(ISO/IEC18033鍵だけを秘密にしておけば暗号アルゴリズムとしての安全性が保たれ、暗号化処理で使2/AMD1)う暗号鍵は公開してもよいという特長をもつ。
高度サイバー攻撃 2016年10月７日サイバーセキュリティ対策推進会議（CISO等連絡会議）決定。政府機関
対処のためのリス 等における情報及び情報システムに係る情報セキュリティ水準の一層の向上及びサイバ
ク評価等のガイド ー攻撃への対処体制の充実・強化に資するために策定されたもの。
ライン
コーポレート・ガ 会社が、株主をはじめ顧客・従業員・地域社会等の立場を踏まえた上で、透明・公正か
バナンス・システ つ迅速・果断な意思決定を行うための仕組みに関するシステム。
ム
コンティンジェン 重要インフラ事業者等が重要インフラサービス障害の発生又はそのおそれがあることをシープラン認識した後に経営層や職員等が行うべき初動対応（緊急時対応）に関する方針、手順、態勢等をあらかじめ定めたもの。
さ サイバーインテリ 情報通信技術を用いた諜報活動のこと。
ジェンス
サイバーインテリ サイバーインテリジェンスによる被害を防止するため、標的型メール攻撃等の情報窃取
ジェンス情報共有 を企図したものと考えられるサイバー攻撃事案に係る情報を共有すべく、警察と情報窃
ネットワーク
取の標的となるおそれの高い先端技術を有する全国の事業者等で構成している組織。
サイバー関連事業 主として、セキュリティソフトを開発、販売する事業者や、セキュリティに関するサー者
ビスを提供する事業者等のこと。サイバーセキュリティ基本法第７条では、「インターネットその他の高度情報通信ネットワークの整備、情報通信技術の活用又はサイバーセ
キュリティに関する事業を行う者をいう。」とされている。
サイバー空間
一般的には、コンピュータネットワーク上に作られる仮想空間のこととされる。
サイバー攻撃一般的には、インターネットやコンピュータ等を悪用することにより、情報の窃取等を行うこととされる。サイバーセキュリティ基本法第２条では「情報通信ネットワーク又は（中略）記録媒体（中略）を通じた電子計算機に対する不正な活動」が例示されている。また、2013年に策定されたサイバーセキュリティ戦略（2013年６月情報セキュリテ
ィ政策会議決定）では、「情報通信ネットワークや情報システム等の悪用により、サイバー空間を経由して行われる不正侵入、情報の窃取、改ざんや破壊、情報システムの作動停止や誤作動、不正プログラムの実行やDDoS攻撃（分散サービス不能攻撃）等」とされている。
サイバー攻撃特別 サイバー攻撃対策の強化のため、14都道府県警察に設置。サイバー攻撃に関する情報収捜査隊
集、被害の未然防止及び犯罪捜査に専従している。
サイバーセキュリ コンピュータ、ネットワークの安全性及び信頼性の確保のために必要な措置が講じらティれ、その状態が適切に維持管理されていること。サイバーセキュリティ基本法２条では、「この法律において「サイバーセキュリティ」とは、電子的方式、磁気的方式その他人の知覚によっては認識することができない方式（略）により記録され、又は発信され、伝送され、若しくは受信される情報の漏えい、滅失又は毀損の防止その他の当該情報の安全管理のために必要な措置並びに情報システム及び情報通信ネットワークの安全性及び信頼性の確保のために必要な措置（略）が講じられ、その状態が適切に維持管理されていることをいう。」とされている。
サイバーセキュリ サイバーセキュリティ普及啓発について、産学官民の関係者が円滑かつ効果的に活動
ティ意識・行動強 し、有機的に連携できるよう、2019年１月24日にサイバーセキュリティ戦略本部にて決化プログラム定。
サイバーセキュリ 2018年７月に策定された新戦略において目指す姿として掲げられた概念であり、全てのティエコシステム 主体が、サイバーセキュリティに関する取組を自律的に行いつつ、相互に影響を及ぼし合いながら、サイバー空間が進化していく姿を一種の生態系にたとえて呼称したもの。

- 362 -

別添７ 用語解説

サイバーセキュリ サイバーセキュリティに関する施策を総合的かつ効率的に推進するため、基本理念を定
ティ基本法
め、国の責務等を明らかにし、戦略の策定その他当該施策の基本となる事項等を定めた法律。2014年11月12日公布・一部施行、2015年１月９日完全施行。
サイバーセキュリ 2018年12月に成立したサイバーセキュリティ基本法の一部を改正する法律に基づき、
ティ協議会
2019年４月１日に、官民の多様な主体が相互に連携し、サイバーセキュリティに関する施策の推進に係る協議を行うために組織されたもの。本協議会は、官民又は業界を問わず多様な主体が連携し、サイバーセキュリティの確保に資する情報を迅速に共有することにより、サイバー攻撃による被害を防ぎ、また、被害の拡大を防ぐことなどを目的としている。
サイバーセキュリ 経済産業省及びIPAの共同により、2015年12月にVer1.0を策定、2017年11月にVer2.0に改
ティ経営ガイドラ 訂。大企業および中小企業（小規模事業者を除く）のうち、ITに関するシステムやサーイン
ビス等を供給する企業及び経営戦略上ITの利活用が不可欠である企業の経営者を対象に、経営者のリーダーシップの下で、サイバーセキュリティ対策を推進するためのガイ
ドライン。
サイバーセキュリ 重点的かつ効果的にサイバーセキュリティに対する取組を推進するため、2010年より毎ティ月間
年２月に実施してきた「情報セキュリティ月間」を、2015年より、２月１日から３月18日までに期間を拡大したもの。月間の期間中、各種啓発主体と連携し、サイバーセキュ
リティに関する普及啓発活動を集中的に実施。
サイバーセキュリ 情報通信技術の進化や、人間と情報の関わり方が変化していることを意識しつつ、近い
ティ研究開発戦略 将来及び中長期的な将来における、サイバーセキュリティ研究開発の方向性についてビジョンを提示した文書。2017年７月13日にサイバーセキュリティ戦略本部にて決定。
サイバーセキュリ 「サイバーセキュリティ人材育成プログラム」及び「サイバーセキュリティ戦略中間レ
ティ人材育成取組 ビュー」を踏まえ、普及啓発・人材育成専門調査会及びその下に設置されたワーキング方針
グループにおける検討の成果を取りまとめたもの。2018年６月７日にサイバーセキュリ
ティ戦略本部に報告。
サイバーセキュリ サイバーセキュリティ関連人材の育成の方向性を示した「サイバーセキュリティ人材育
ティ人材育成プロ 成プログラム」を2017年４月18日にサイバーセキュリティ戦略本部にて決定。
グラム
サイバーセキュリ 我が国のサイバーセキュリティ政策に関する国家戦略であり、2015年９月４日に閣議決
ティ戦略（2018年 定された前戦略からのサイバー空間に係る現状認識を踏まえ、目指すサイバーセキュリ
戦略）
ティの基本的な在り方として、「持続的な発展のためのサイバーセキュリティ（サイバーセキュリティエコシステム）の推進」を位置づけており、今後３年間の諸施策の目標
及び実施方針を国内外に明確に示すことにより、共通の理解と行動の基礎となるもの。
サイバーセキュリ 2015年１月９日、サイバーセキュリティ基本法に基づき内閣に設置された。我が国におティ戦略本部
ける司令塔として、サイバーセキュリティ戦略の案の作成及び実施の推進、国の行政機関等における対策の実施状況に関する監査、重大事象に対する原因究明のための調査等を事務としてつかさどる。本部長は、内閣官房長官。
サイバーテロ対策 警察とサイバー攻撃の標的となるおそれのある重要インフラ事業者等との間で構成する協議会組織。全国の都道府県に設置されており、サイバー攻撃の脅威や情報セキュリティに関する情報共有のほか、サイバー攻撃の発生を想定した共同対処訓練やサイバー攻撃対策
セミナー等の実施により、重要インフラ事業者等のサイバーセキュリティや緊急対処能力の向上に努めている。
サイバーセキュリ 2020年東京大会のサイバーセキュリティに係る脅威・事案情報を収集し、関係機関等にティ対処調整セン 提供するとともに、関係機関等における事案対処に対する支援調整を行う組織。2019年4
ター
月1日に設置。
サイバー犯罪条約 正式名称はサイバー犯罪に関する条約（通称ブダペスト条約）。サイバー犯罪に効果的かつ迅速に対処するために国際協力を行い，共通の刑事政策を採択することを目的とする条約。
サイバー・フィジ サイバー空間とフィジカル空間を高度に融合させることにより実現される
カル・セキュリテ 「Society5.0」における新たなサプライチェーン（バリュークリエイションプロセス）
ィ対策フレームワ 全体のサイバーセキュリティ確保を目的として、産業に求められるセキュリティ対策のーク
全体像を整理したもの。経済産業省に設置した産業サイバーセキュリティ研究会WG1の下で検討を進め、2019年4月にVersion 1.0を策定。
サイバーフォース 警察庁情報通信局に設置。サイバー攻撃の予兆・実態把握、標的型メールに添付されたセンター
不正プログラム等の分析を実施するほか、事案発生時には技術的な緊急対処の拠点として機能する。

- 363 -

別添７ 用語解説

サプライチェーン 一般的には、取引先との間の受発注、資材の調達から在庫管理、製品の配達まで、いわば事業活動の川上から川下に至るまでのモノや情報の流れのこと。これらに加えてさらに、ITにおけるサプライチェーンでは、製品の設計段階や、情報システム等の運用・保守・廃棄を含めてサプライチェーンと呼ばれることがある。
サプライチェー
従来のサプライチェーン・リスクは、自然災害等何らかの要因からサプライチェーンにン・リスク
障害が発生し、結果として事業の継続に支障を来す恐れがあるというリスクを主に想定していた。ITにおける新たなサプライチェーン・リスクとしては、サプライチェーンのいずれかの段階において、サイバー攻撃等によりマルウェア混入・情報流出・部品調達への支障等が発生する可能性も考慮する必要がある。また、サプライチェーンのいずれかの段階において、悪意のある機能等が組み込まれ、機器やサービスの調達に際して情報窃取・破壊・情報システムの停止等を招く可能性についても想定する必要がある。
産業サイバーセキ 経済産業省において設置された研究会。我が国の産業が直面する、深刻度を増しているュリティ研究会
サイバーセキュリティの課題を洗い出し、関連政策を推進していくため、産業界を代表する経営者、インターネット時代を切り開いてきた学識者等から構成される。
し 事案対処省庁
警察庁、消防庁、海上保安庁及び防衛省。
事業継続計画BCPを参照。
重要インフラ他に代替することが著しく困難なサービスを提供する事業が形成する国民生活及び社会
経済活動の基盤であり、その機能が停止、低下又は利用不可能な状態に陥った場合に、我が国の国民生活又は社会経済活動に多大なる影響を及ぼすおそれが生じるもので、重要インフラ分野として指定する分野。
重要インフラサー 重要インフラ事業者等が提供するサービス及びそのサービスを利用するために必要な一ビス
連の手続のうち、国民生活や社会経済活動に与える影響の度合いを考慮して、特に防護すべきとして重要インフラ分野ごとに定めるもの。
重要インフラサー システムの不具合により、重要インフラサービスの安全かつ持続的な提供に支障が生じ
ビス障害
ること。
重要インフラ事業 重要インフラの情報セキュリティ対策に係る第４次行動計画における関係主体の一つ。
者等
重要インフラ分野に属する事業を営む者等のうち、同行動計画の「別紙１ 対象となる
重要インフラ事業者等と重要システム例」における「対象となる重要インフラ事業者等」に指定された事業者及び当該事業者等から構成される団体。
重要インフラ所管 重要インフラの情報セキュリティ対策に係る第４次行動計画における関係主体の一つ。
省庁
金融庁、総務省、厚生労働省、経済産業省及び国土交通省。
重要インフラ専門 我が国全体の重要インフラ防護に資するサイバーセキュリティに係る事項について、調調査会
査検討を行うため、サイバーセキュリティ戦略本部令（平成26年政令第400号）第２条の規定に基づいて設置されるもの会議体であり、委員は内閣総理大臣が任命する。
重要インフラにお 2018年４月４日サイバーセキュリティ戦略本部決定。情報セキュリティ確保に係るリスける機能保証の考 クアセスメントの考え方や具体的な作業手順に関するフレームワークを提供することにえ方に基づくリス より、重要インフラ事業者等におけるリスクアセスメントの理解を深め、その精度や水クアセスメント手 準の向上に寄与するとともに、重要インフラ事業者等による自律的な情報セキュリティ
引書対策を促進することを目的としているもの。
重要インフラにお 安全基準等の策定・改定に資することを目的として、情報セキュリティ対策において、ける情報セキュリ 必要度が高いと考えられる項目及び先導的な取組として参考とすることが望ましい項目
ティ確保に係る安 を、横断的に重要インフラ分野を俯瞰して収録したもの。
全基準等策定指針
重要インフラの情 2017年４月18日サイバーセキュリティ戦略本部決定。昨今のサイバー攻撃による急速な報セキュリティ対 脅威の高まりや、2020東京オリンピック・パラリンピック競技大会も見据え、安全かつ策に係る第４次行 持続的なサービスの提供に努めるという機能保証の考え方に基づき、第３次行動計画を
動計画
見直したもの。2018年７月25日に、重要インフラ分野として「空港分野」を追加する改定を実施している。
重要インフラ分野 重要インフラについて業種ごとに分野と指定しているものであり、具体的には、「情報通信」、「金融」、「航空」、「空港」、「鉄道」、「電力」、「ガス」、「政府・行政サービス（地方公共団体を含む）」、「医療」、「水道」、「物流」、「化学」、「クレジット」及び「石油」。
重要サービス事業 2020年東京大会の開催・運営に影響を与える可能性のあるサービスのうち重要なもの
者
で、会場に供給する電力や、競技を中継する通信等のサービスを提供する事業者のこと。

- 364 -

別添７ 用語解説

情報セキュリティ 望まない単独若しくは一連の情報セキュリティ事象、又は予期しない単独若しくは一連
インシデントの情報セキュリティ事象であって、事業運営を危うくする確率及び情報セキュリティを脅かす確率が高いもの。（JIS Q 27000:2014）
情報セキュリティ 重要インフラの情報セキュリティ対策に係る第４次行動計画における関係主体の一つ。
関係機関
警察庁サイバーフォースセンター、国立研究開発法人情報通信研究機構（NICT）、国立
研究開発法人産業技術総合研究所（AIST）、独立行政法人情報処理推進機構（IPA）、一般社団法人ICT-ISAC、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）、
一般財団法人日本サイバー犯罪対策センター（JC3）。
情報セキュリティ 重要インフラの情報セキュリティ対策に係る第４次行動計画における関係主体の一つ。
関係省庁
警察庁、総務省、外務省、経済産業省、原子力規制庁（※）及び防衛省。
※原子力発電所の安全の観点からサイバーセキュリティに取り組む省庁
情報セキュリティ 2005年５月、IT総合戦略本部の下に設置された会議。内閣官房長官を議長とし、我が国政策会議の情報セキュリティに関する諸問題に係る対策等を決定する。サイバーセキュリティ戦略本部に業務が引き継がれ、2015年６月に廃止。
情報通信ネットワ 1987年２月14日郵政省告示第73号。情報通信ネットワークのうち社会的に重要なもの又ーク安全・信頼性 はそれに準ずるものを対象とし、その安全・信頼性対策の指標としての基準を定めるこ
基準とにより、安全・信頼性対策の普及を促進し、もって情報通信ネットワークの健全な発展に寄与することを目的としているもの。
す ステークホルダー 利害関係者のこと。
スマートフォン
従来の携帯電話端末の有する通信機能等に加え、高度な情報処理機能が備わった携帯電話端末。従来の携帯電話端末とは異なり、利用者が使いたいアプリケーションを自由にインストールして利用することが一般的。
せ 制御系
センサーやアクチュエータなどのフィールド機器、コントローラ、監視・制御用に用いるサーバやクライアントPCなどをネットワークで接続した機器群をさす。
セキュリティ・キ 次代を担う日本発で世界に通用する若年層のセキュリティ人材を発掘・育成するため、
ャンプ実施協議会 産業界、教育界を結集した講師による「セキュリティ・キャンプ」（22歳以下を対象）を実施し、それを全国的に普及、拡大していくことを目的とした協議会。なお、同協議会は2018年４月24日に「一般社団法人セキュリティ・キャンプ協議会」となったことが発表されている。
セキュリティ・バ システムの企画・設計段階から情報セキュリティの確保を盛り込むこと。
イ・デザイン
セキュリティパッ 発見された情報セキュリティ上の問題を解決するために提供される修正用のプログラム
チのこと。提供元や内容によって、更新プログラム、パッチ、ホットフィクス、サービス
パック等名称が異なる。
積極的サイバー防 サイバー関連事業者等と連携し、脅威に対して事前に積極的な防御策を講じること。
御2018年７月に策定された新戦略において基本法の目的の一つである「国民が安全で安心して暮らせる社会の実現」に係る取組の実施方針として掲げられたもの。
セプター
CEPTOAR （Capability for Engineering of Protection, Technical Operation,
Analysis and Response）を参照。
セプターカウンシ CEPTOAR-Council。各重要インフラ分野で整備されたセプターの代表で構成される協議会
ルで、セプター間の情報共有等を行う。政府機関を含め他の機関の下位に位置付けられるものではなく独立した会議体。
た タイポスクワッテ 任意の者がURLやメールアドレスを入力する際に打ち間違うことを期待して、正規ドメイ
ィング
ンと紛らわしいドメインを所有しておく行為。紛らわしいドメインへのアクセスやメー
ル送信に対してマルウェアを感染させたり情報を窃取したりすればサイバー攻撃となる。
ダウンタイムシステム等において障害が発生し、システム等が利用することができない期間のこと。
大規模サイバー攻 国民の生命、身体、財産若しくは国土に重大な被害が生じ、若しくは生じるおそれのあ
撃事態等るサイバー攻撃事態又はその可能性のある事態。例えば、サイバー攻撃により、人の死
傷、重要インフラサービスの重大な供給停止等が発生する事態。
つ つながる世界の開 IPAにおいて、2016年３月に策定、2017年６月に第２版へ改訂。様々なモノがつながって
発指針
新たな価値を創出していく『つながる世界』ならではの機器やシステムに関わる企業が安全安心に関して最低限考慮すべき事項をとりまとめたもの。
て デジタルフォレン 不正アクセスや機密情報漏えい等、コンピュータ等に関する犯罪や法的紛争が生じた際
ジックに、原因究明や捜査に必要な機器やデータ、電子的記録を収集・分析し、その法的な証
拠性を明らかにする手段や技術の総称。

- 365 -

別添７ 用語解説

テストベッド技術や機器の検証・評価のための実証実験、又はそれを行う実験機器や条件整備された環境のこと。
電気通信事業にお 2017年４月18日総務省告示第152号。同年９月14日総務省告示第297号最終改正。電気通ける個人情報保護 信事業の公共性及び高度情報通信社会の進展に伴い個人情報の利用が著しく拡大していに関するガイドラ ることに鑑み、通信の秘密に属する事項その他の個人情報の適正な取扱いに関し、電気イン通信事業者の遵守すべき基本的事項を定めることにより、電気通信役務の利便性の向上を図るとともに、利用者の権利利益を保護することを目的とするもの。
電子署名
電子文書に付加される電子的な署名情報。電子文書の作成者の本人性確認や、改ざんが行われていないことを確認できるもの。
と 統一基準群
国の行政機関、独立行政法人及び指定法人の情報セキュリティを確保するため、これらのとるべき対策の統一的な枠組みについて定めた一連のサイバーセキュリティ戦略本部
決定文書等のこと。「政府機関等の情報セキュリティ対策のための統一規範」、「政府機関等の情報セキュリティ対策の運用等に関する指針」、「政府機関等の情報セキュリ
ティ対策のための統一基準」（平成30年７月25日サイバーセキュリティ戦略本部決定）
及び「政府機関等の対策基準策定のためのガイドライン」（平成30年７月25日内閣官房
内閣サイバーセキュリティセンター決定）。
特定秘密
行政機関の長が、当該行政機関の所掌事務に係る特定秘密保護法別表に掲げる事項に関する情報であって、公になっていないもののうち、その漏えいが我が国の安全保障に著しい支障を与えるおそれがあるため、特に秘匿することが必要であるものとして指定したものをいう（特定秘密保護法第3条第1項）。
匿名エンティティ 本人を特定させることなくプライバシーを保護して、相手（エンティティ）の認証を行認証
うことができる技術。
（ISO/IEC200094）
ドメイン名
国、組織、サービス等の単位で割り当てられたインターネット上の名前であり、英数字等を用いて表したもの。
トリアージ
インシデント・ハンドリングの際、対処を行う優先順位を決定、選別すること。
な 内閣サイバーセキ NISCを参照。
ュリティセンター
ナショナルサイバ 2017年４月、実践的なサイバートレーニングを企画・推進する組織としてNICTに設置さートレーニングセ れたもの。
ンター
なりすまし
他の利用者のふりをすること。または、中間者（Man-in-the-Middle）攻撃など他の利用者のふりをして行う不正行為のこと。例えば、その当人であるふりをして電子メールを送信するなど、別人のふりをして電子掲示板に書き込みを行うような行為が挙げられる。
に 日米サイバー対話 サイバー空間を取り巻く諸問題についての日米両政府による包括対話。（第１回：2013
年５月、第２回：2014年４月、第３回：2015年７月、第４回：2016年７月、第５回：2017年７月、第６回：2018年７月）
任務保証
企業、重要インフラ事業者や政府機関に代表されるあらゆる組織が、自らが遂行すべき業務やサービスを「任務」と捉え、係る「任務」を着実に遂行するために必要となる能力及び資産を確保すること。サイバーセキュリティに関する取組そのものを目的化するのではなく、各々の組織の経営層・幹部が、「任務」に該当する業務やサービスを見定めて、その安全かつ持続的な提供に関する責任を全うするという考え方。
は ハクティビスト
ハッカー（hacker）と活動家（activist）を合わせた造語。政治的な動機でハッキング活動を行う人やグループを指す。その思想は「ハクティビズム（hacktivism）」と言われる。例えば、国際的ハッカー集団「アノニマス」があたるとされる。
ハッキング
高度なコンピュータ技術を利用して、システムを解析したり、プログラムを修正したりする行為のこと。不正にコンピュータを利用する行為全般のことをハッキングと呼ぶこともあるが、本来は悪い意味の言葉ではない。そのような悪意のある行為は、本来はクラッキングという。
バックドア
外部からコンピュータに侵入しやすいように、“裏口”を開ける行為やその裏口のこと。バックドアがしかけられてしまうと、インターネットからコンピュータを操作されてしまうなどの可能性がある。
ハニーポット
攻撃者の情報を集めるための攻撃誘因技術のこと。例えば、わざと侵入しやすいように設定したおとりサーバを利用して、攻撃者の挙動や攻撃手法を把握する手法がある。

- 366 -

別添７ 用語解説

ひ ビジネスメール詐 巧妙に細工したメールのやり取りにより企業の担当者を騙し、攻撃者の用意した口座へ欺送金させる詐欺の手口のこと。
ビッグデータ
利用者が急激に拡大しているソーシャルメディア内のテキストデータ、携帯電話・スマートフォンに組み込まれたGPS（全地球測位システム）から発生する位置情報、時々刻々と生成されるセンサーデータなど、ボリュームが膨大であるとともに、従来の技術では管理や処理が困難なデータ群。
秘密情報の保護ハ 経済産業省において、2016年２月に策定。秘密情報の漏えいを未然に防ぐため、企業がンドブック～企業 対策を行う際の参考となる対策例を紹介するもの。
の価値向上に向けて～
秘密情報の保護ハ 経済産業省において、2016年12月に策定。「秘密情報の保護ハンドブック～企業の価値
ンドブックのてび 向上に向けて～」について、活用しやすいようにわかりやすくまとめたもの。
き～情報管理も企
業力～
秘密分散メカニズ データに特殊な符号化を施して複数の断片に分割することで、個々の断片からは情報がム
漏れず、幾つかの断片が消失しても復元が可能な技術。
（ISO/IEC195922）
標的型攻撃
特定の組織や情報を狙って、機密情報や知的財産、アカウント情報（ID、パスワード）などを窃取、又は、組織等のシステムを破壊・妨害しようとする攻撃。標的型攻撃の一種として特定のターゲットに対して様々な手法で持続的に攻撃を行うAPT（Advanced
Persistent Threat）攻撃がある。
ふ フィッシング
実在の金融機関、ショッピングサイトなどを装った電子メールを送付し、これらのホー
ムページとそっくりの偽のサイトに誘導して、銀行口座番号、クレジットカード番号やパスワード、暗証番号などの重要な情報を入力させて詐取する行為のこと。
フィッシング対策 フィッシングに関する情報収集・提供、注意喚起等の活動を中心とした対策を促進する協議会
ことを目的として、2005年４月28日に設立された協議会。
不正アクセス
ID・パスワード等により利用が制限・管理されているコンピュータに対し、ネットワー
クを経由して、正規の手続を経ずに不正に侵入し、利用可能とする行為のこと。
不正プログラム
情報システムを利用する者が意図しない結果を当該情報システムにもたらすプログラムの総称。
ブロックチェーン ブロックチェーン技術のこと。電子署名とハッシュポインタを使用して改ざん検出が容易なデータ構造を持ち、当該データをネットワーク上に分散する多数のノードに保持させることで、高可用性及びデータ同一性等を実現する技術（出典：日本ブロックチェー
ン協会「ブロックチェーンの定義」）
へ ベストプラクティ 優れていると考えられている事例やプロセス、ノウハウなど。
ス
ペネトレーション 情報システムに対する侵入テストのこと。「サイバーセキュリティ対策を強化するため
テストの監査に係る基本方針」（2015年５月25日サイバーセキュリティ戦略本部決定）においては、「インターネットに接続されている情報システムについて、疑似的な攻撃を実施することによって、実際に情報システムに侵入できるかどうかの観点から、サイバーセ
キュリティ対策の状況を検証し、改善のために必要な助言等を行う。なお、インターネ
ットとの境界を突破できた場合を仮定して、内部ネットワークについても、サイバーセ
キュリティ対策上の問題を検証し、改善のために必要な助言等を行う。」とされている。
ほ 防災関係府省庁
災害対策基本法（昭和36年法律第223号）第２条第３号に基づく指定行政機関等の、災害時の情報収集に関係する府省庁。
ボットネットマルウェアに感染したコンピュータ等により構成されたネットワークであり、攻撃者はネットワークを構成するコンピュータ等に対して一斉に指令を与えることができる。
ポータルサイトインターネットにアクセスする際の入口となるウェブサイト。
ポート
ポート番号。コンピュータが通信する際に通信先のプログラムを識別するための番号
で、通常利用されるTCP/IPでは、65535番まである。通常、プロトコルに応じてポートが割り当てられている。たとえば、FTPはTCPの21番ポート（制御用）と20番ポート（データ用）、HTTPはTCPの80番ポート、HTTPSはTCPの443番ポートを使用する。
ま マイナポータル
政府が運営するオンラインサービス。子育てに関する行政手続きがワンストップでできたり、行政機関からのお知らせを確認できたりするポータルサイトのこと。

- 367 -

別添７ 用語解説

マルウェア

malicious software の短縮された語。不正かつ有害な動作を行う、悪意を持ったソフト
ウェアのこと。
み 未踏IT人材発掘・ 2000年度から「未踏ソフトウェア創造事業」として開始し、2008年度により若い人材の育成事業
発掘・育成に重点化すべく「未踏IT人材発掘・育成事業」として再編したもの。
む ムーアの法則
ゴードン・ムーア氏が集積回路に搭載する素子数の長期傾向について提唱したことに由来する法則。一般に、半導体の集積密度が２年で２倍になるといったように指数関数的に増加するもの等と受け止められている。
ら ランサムウェア
データを暗号化して身代金を要求するマルウェア。ランサムは身代金の意味。例えば、2017年に世界的に流行した「WannaCry」があたる。
り リスク
プラス及びマイナスの両面がある不確実性を意味する。
リスクマネジメン 組織が担う「任務」の内容に応じて、リスクを特定・分析・評価し、リスクを許容し得トる程度まで低減する対応をしていくこと。サイバー空間に本質的にある不確実さから、不可避的に導かれる観点。
リテラシー
本来、文字を読み書きする能力を意味するが、「情報リテラシー」のように、その分野における知識、教養、能力を意味することに使われている。
リバースエンジニ Reverse engineering。ソフトウェアやハードウェアなどを解析・分解し、その仕組みやアリング
仕様、目的、要素技術などを明らかにすること。
量子暗号
量子力学の原理を用いた暗号技術。原理的に盗聴の有無を検知できる特性を持つ。

- 368 -