資料５

重要インフラにおける「安全基準等の浸透状況等に関する調査」の進め方について

2009年 1月 23日
内閣官房 情報セキュリティセンター（NISC）

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

「安全基準等の浸透状況等に関する調査」の概要○2007年度「安全基準等の浸透状況等に関する調査」を行い、各分野における安全基準等の策定・見直しが着実に浸透しつつあることを確認している○今回、セキュア・ジャパン2008に基づいて、安全基準等の浸透状況に関する調査を2009年度当初に実施するための企画・準備を実施する○この調査は、第２次行動計画（案）において引き続き定期的に実施する「安全基準等の浸透状況等に関する調査」と位置づけ、「毎年一定時期に事業者自らが定める「内規」を含めた対策状況の客観的な把握」の結果として、活用する。

第1次行動計画における取組み
安全基準等の策定・見直し（SJ2006）

2006年度に策定・見直しを行った安全基準等を対象

安全基準等の見直し（SJ2007）

浸透状況等調査（SJ2007）

第2次行動計画（案）における取組み
安全基準等の見直し（SJ2008）

安全基準等の継続的改善

浸透状況等調査
浸透状況等調査（SJ2008～
毎年一定時期
SJ2009（予定））に定点調査

セキュア・ジャパン2007

第2次行動計画（案）・重要インフラ所管省庁の協力を得つつ、2006年度に策定・見直しを行った
各重要インフラ分野における安全基準等の浸透状況についての調査を実施する・事業者自らが定める「内規」を含めた安全基準等の浸透を確実なものとするために、「安全基準等の浸透状況等に関する調査」を引き続き定期的に実施することとする。調査項目・調査主体等については、適宜見直しを行うこととする。
・毎年一定時期に事業者自らが定める「内規」を含めた対策状況の客観的な把握を行うこととする

セキュア・ジャパン2008
・2007年度の調査の結果を踏まえ、重要インフラ所管省庁の協力を得つつ、各重要インフラ分野における安全基準等の浸透状況に関する調査を2009年度当初に実施するための企画・準備を実施する

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

1

2008年度「安全基準等の浸透状況等に関する調査」について◆目的・位置づけ「セキュア・ジャパン２００８」及び「重要インフラの情報セキュリティに係る第２次行動計画」（案）に基づき、各重要インフラ分野における安全基準等について、毎年一定時期の定点調査として、重要インフラ事業者等にどの程度浸透しているか、また重要インフラ事業者等が安全基準等に対して準拠しているかを把握するために行う調査。
安全基準等は随時見直しがなされるものであり、また着実にその浸透を図るべきものであることから、定期的に本調査を実施し、継続的に浸透状況等の把握を行い、施策の成果検証に活用する。
◆調査概要
2007年度の浸透状況等調査に際して判明した留意点（後述＜参考１，２＞参照）を踏まえつつ、以下のとおり実施
調査対象範囲： 調査対象とする事業者等の範囲は重要インフラ所管省庁が決定
調査方法： 以下いずれかを重要インフラ所管省庁が選択①既存調査を活用②ＮＩＳＣ案に準じて実施
調査基準日： ２００９年３月末日（「①既存調査を活用」の場合は、その調査基準日による）アンケートの発出・回収： 重要インフラ所管省庁が配布・回収（配布・回収方法は分野ごとに決定）
分野毎の集計： 集計方法については、重要インフラ所管省庁が選択
ⅰ重要インフラ所管省庁で集計
ⅱＮＩＳＣで集計
全体集計・とりまとめ ： ＮＩＳＣが実施◆実施時期 （②NISC案に準じて実施 の場合）
調査期間
： ２００９年４月～２００９年６月（集計は２００９年７月まで）とりまとめ： ２００９年９月（重要インフラ専門委員会にて報告（予定））※青字は、2007年度浸透状況等調査からの変更点
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

2

アンケート項目（2007年度実績と2008年度方針）○調査の位置づけの変更（「2006年度に策定・見直しをおこなった安全基準等を対象」から「毎年一定時期に定点調査」に変更）を踏まえ、2007年度に調査を実施した際のアンケート項目のうち、安全基準等の整備の状況に関する事項については、調査項目の統合を検討する○指針の具体的項目や第２次行動計画（案）における取組みへの対応状況を確認することに加え、施策の成果検証に活用することを考慮して、調査項目の拡充（読み替えが可能なように修正することを含む）を検討する

2007年度実績

2008年度方針【①安全基準等の整備の状況に関する事項】（１） 安全基準等の認知（２） 内規の制定（３） 内規見直しの検討（４） 内規の改定○調査の位置づけの変更（「2006年度に策定・見直しをおこなった安全基準等を対象」から「毎年一定時期に定点調査」に変更）
・ 内規見直しの検討
統合¾ 実施（予定含む）のみでなく、見直しの契機や参考とする安全基準等や諸規格についても調査¾ 「安全基準等の認知」「内規の制定」の調査結果もここから得られるように質問内容を工夫・ 内規の改定¾ 実施（予定含む）のみでなく、改定のプロセス（体制や期間等）についても調査【②安全基準等に対する準拠状況に関する事項】（１） 自己点検の実施（２） 演習・訓練の実施（３） 内部監査の実施（４） 外部監査の実施○指針の具体的項目①４つの柱拡充②３つの重点項目
・ＩＴ障害の観点から見た事業継続性確保のための対策 等○第２次行動計画（案）における取組み
・事業継続計画（ＩＴ障害に係るもの）の策定状況
・情報セキュリティ対策の対外的な説明の状況 等○施策の成果検証に関する記述
・「定期的な自己検証に取り組んでいる重要インフラ事業者等の数」
・「指針の重要インフラ事業者等による評価」【③政府への提言、要望等】 自由意見

Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

3

＜参考１＞浸透状況等調査の実施における留意点
・ 2007年度の浸透状況等調査の実施に際して明らかとなった以下点に留意して、「安全基準等の浸透状況等に関する調査」の企画・立案を行う
留意点１：類似の調査との重複について
・重要インフラ10分野には既に類似の調査を実施している分野があり 、新たに調査を実施すると重複する恐れがある
・既存調査で、安全基準等の普及・活用状況の把握が可能な場合がある

既存調査を活用することで調査を効率化－ 安全基準等の見直し周期や行動計画の進捗状況の評価周期にあわせて、調査周期は原則１年とする－ 調査内容のずれについては、調査実施前に所管省庁（調査実施主体）とＮＩＳＣの間で整合を図るべく努力する－ 2008年度以降は調査基準日を半年ずつずらし、既存調査との整合を確保する

留意点２：調査対象の範囲について・分野に属する事業者等のうち、重要インフラ事業者等とみなすべき範囲が不明確な分野がある・重要インフラ所管省庁の調査が及ぶ事業者等の範囲が限定される分野がある（都道府県認可の場合など）調査可能な範囲から取り組み、調査対象の拡大は追って検討－ 個人事業者に至るまでのすべての事業者を網羅することは、重要インフラの趣旨を超えるため、当初は大規模事業者等を中心に調査を行い、段階的に調査範囲を拡大することを検討する－ 例えばCEPTOARの連絡体制等を活用するなど、各分野の状況に応じて調査体制の充実を検討する
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

4

＜参考２＞既存調査と浸透状況等調査の関係整理（2007年度実績）
既存調査分野情報
通信有無

名称

浸透状況等調査
調査基準日調査周期

既存調査
活用

調査対象範囲※既存調査活用する場合は、既存調査の範囲・数

ｱﾝｹｰﾄ配布数
26

電気通信なししない

電気通信分野における情報セ
キュリティ対策協議会に参加する
電気通信事業者

放送

なし

しない

ＮＨＫ及び地上系放送事業者

195

する

金融機関等

700

金融あり

金融機関等のコンピュータシステムに関する安全対策状況調査

3月31日

1年毎

航空運送

なし

しない

主たる定期航空運送事業者

2

航空管制なし

しない

国土交通省

1

鉄道なし

しない

主要な鉄道事業者

22

電力なし

しない

一般電気事業者、日本原電（株）、電源開発（株）

12

ガス

なし

しない

主要なガス事業者

10

政府・行政サービスありする

地方公共団体

1,874

医療なし

しない

医療機関（病院抽出）

50

水道なし

しない

主要な水道用水供給事業者及び水道事業者

49

物流

なし

しない

大手物流事業者

17

航空

地方公共団体における行政情報化の推進状況調査

4月1日

1年毎

留意点１に対応
Copyright (c) 2009 National Information Security Center (NISC). All Rights Reserved.

留意点２に対応
5