資料２

関係省庁の取組状況について【金 融 庁】
資料２－１

金融庁におけるサイバーセキュリティ施策の取組状況について【総 務 省】
資料２－２

総務省におけるサイバーセキュリティ施策の取組状況について【厚生労働省】資料２－３

医療機関におけるサイバー攻撃の現状と対応について【経済産業省】
資料２－４

経済産業省におけるサイバーセキュリティ施策の取組状況について資料２－１

金融庁におけるサイバーセキュリティ施策の取組状況について2022年3月
金融庁総合政策局リスク分析総括課サイバーセキュリティ対策企画調整室

金融分野におけるサイバーセキュリティ強化に向けた取組方針（Ver. 3.0）
～サイバーセキュリティを確保し、安心・安全かつ利便性の高い金融サービスの実現へ～

サイバー空間の変化◼

国家の関与が疑われる組織化・洗練化されたサイバー攻撃や、国際的なハッカー集団等によるランサムウェア攻撃の多発◼

デジタライゼージョンの進展による金融サービスの担い手の多様化と、キャッシュレス決済などの連携サービスの進展◼

クラウドサービスをはじめとした外部委託の拡大、サプライチェーンの複雑化・グローバル化等によるリスク管理の難度の高まり

新たな取組方針（以下、５項目）
１．モニタリング・演習の高度化
金融機関の規模・特性やサイバーセキュリティリスクに応じて、検査・モニタリングを実施し、サイバーセキュリティ管理態勢を検証する。
共通の課題や好事例については業界団体を通じて傘下金融機関に還元し、金融業界全体のサイバーセキュリティの高度化を促す。特に✓ 3メガバンクについては、サイバー攻撃の脅威動向の変化への対応や海外大手金融機関における先進事例を参考にしたサイバーセキュリティの高度化に着目しつつ、モニタリングを実施する✓ 地域金融機関については、サイバーセキュリティに関する自己評価ツールを整備し、各金融機関の自己評価結果を収集、分析、還元し、自律的なサイバーセキュリティの高度化を促す✓ サイバー演習については、引き続き、サイバー攻撃の脅威動向や他国の演習等を踏まえて高度化を図る
２．新たなリスクへの備え✓ キャッシュレス決済サービスの安全性を確保するため、リスクに見合った堅牢な認証方式の導入等を促す（セキュリティバイデザインの実践）✓ クラウドサービスの安全な利用に向けて、利用実態や安全対策の把握を進めるとともに、クラウドサービス事業者との対話も実施

３．サイバーセキュリティ確保に向けた組織全体での取組み✓ 経営層の積極的な関与の下、組織全体でサイバーセキュリティの実効性の向上を促す（セキュリティ人材の育成も含む）
４．関係機関との連携強化✓ サイバー攻撃等の情報収集・分析、金融犯罪の未然防止と被害拡大防止への対応を強化するため関係機関（NISC、警察庁、公安調査庁、
金融ISAC、海外当局等）との連携を強化
５．経済安全保障上の対応✓ 政府全体の取組みの中で、機器・システムの利用や業務委託等を通じたリスクについて適切に対応を行う

資料２－２

総務省におけるサイバーセキュリティ施策の取組状況について2022年3月
総務省サイバーセキュリティ統括官室

（１）実践的サイバー防御演習（CYDER）

2

CYDER： CYber Defense Exercise with Recurrence➢ 総務省は、情報通信研究機構(NICT)を通じ、国の機関、指定法人、独立行政法人、地方公共団体及び重要インフラ事業者等の情報システム担当者等を対象とした体験型の実践的サイバー防御演習(CYDER)を実施。
➢ 受講者は、チーム単位で演習に参加。組織のネットワーク環境を模した大規模仮想LAN環境下で、実機の操作を伴って、外部のセキュリティ事業者の支援を受けることを前提としてサイバー攻撃によるインシデントの検知から対応、報告、回復までの一連の対処方法を体験。
➢ 全都道府県において、年間100回・計3,000名規模で実施。 参加申込 → https://cyder.nict.go.jp※2017年度:100回・3,009名、2018年度:107回・2,666名、2019年度:105回・3,090名、2020年度:106回・2,648名、2021年度: 105回・2454名

演習のイメージ
我が国唯一の情報通信に関する公的研究機関であるNICTが有する最新のサイバー攻撃
情報を活用し、実際に起こりうるサイバー攻撃事例を再現した最新の演習シナリオを用意。

北陸StarBED技術センターの大規模高性能サーバ群を活用

閉域ネットワーク

閉域ネットワーク

FW

FW

研究データ
サーバ

受発注管
理サーバ

研究開発環境

端末

端末

端末

FW

DHCP
サーバ
※業務用ネットワーク
内の端末はDHCPによって動的にIPアドレスが割り当てられる

FW※遮断通信のみ
ログ出力

AD
サーバ

Web
サーバ

ファイル
サーバ

メール
サーバ

端末

DNS
サーバ

端末

端末

端末

端末

端末
各課のセグメント

基幹系ネットワーク

業務用ネットワーク

SOC
監視対象

プロキシ
サーバ
※業務用ネットワーク内からイ
ンターネットへのHTTP通信は
本プロキシサーバを経由する

Aソリューション(株)の運用支援範囲
研究開発用ネットワーク

擬似
攻撃者

インターネット

無害化
サーバ

DMZ

演習模様
専門指導員
による補助

企業・自治体の社内LANや端末を再現した環境で演習を実施チーム内での議論を通じた相互理解

受講チームごとに独立した演習
環境を構築

本番同様の
データを
使用した演習

イ
対ン
処シ
能デ
力ン
のト
向（
上事
案
）

令和３年度の実施計画
コース名

演習方法

A
B-1
B-2

レベル
初級

集合演習

C

オンラインA ｵﾝﾗｲﾝ演習

中級
準上級

初級

受講想定者（習得内容）
システムに携わり始めた者

受講想定組織

開催地

開催回数

実施時期

全組織共通

４７都道府県

６８回

７月～翌年２月

地方公共団体
全国１１地域
２１回(主体的な事案対応・ｾｷｭﾘﾃｨ管理) 地方公共団体以外 東京・大阪・名古屋・福岡 １３回
セキュリティ専門担当者
全組織共通
東京
３回

10月～翌年２月
翌年１月～２月(事案発生時の対応の流れ)

システム管理者・運用者(高度なセキュリティ技術)

システムに携わり始めた者(事案発生時の対応の流れ)

全組織共通（受講者職場等）

随時

翌年１月～２月

11月～翌年２月(6~8月に試験提供予定)

令
和
３
年
度
か
ら
新
規
開
設

（１）実践的サイバー防御演習（CYDER）

3

CYDERオンラインコースの実施➢ 感染症拡大防止対策として、また、地理的・時間的要因等によりCYDERが受講できない方への最低限の対応として、オンライン受講環境を整備。
➢ 自組織のパソコンのWebブラウザから演習環境に接続し、ｅラーニング方式により演習を受講。
➢ 2021年８月まで試験提供を実施し、改修を加えた上で、同年11月から正式提供。

※実施期間: 2021年11月9日～2022年３月４日➢ 641名が受講修了、771名が申込（令和３年度）。
(
地
方
自演
治習
体
向環
け境
の
例

NICT内の大規模計算環境)

リモート接続サーバ
オンライン接続

自身のPC上のWebブラウザにおいて遠隔受講機能を利用可能

Webブラウザ上で動作する
実機画面表示機能

背景情報・課題の提示や課題回答の入力機能

解説表示機能やチュートリアル表示機能

（１）実践的サイバー防御演習（CYDER）

4

CYDER Cコースの実施➢ 2020年度まで実施した「サイバーコロッセオ」のレガシー(遺産)のうち中級A, Bを、CYDERのCコース(準上級)として、2022年1月、2月に計３回開催➢ コロッセオでは1日間で提供していたコースを2日間に延長し、演習スケジュールに余裕を持たせることで、受講者がしっかりと技術を習熟できるように工夫➢ 72名が受講修了、109名が申込（令和３年度）。
コースの具体的内容
1回目: Web系を主とした攻撃と対処【2022年1月】
脆弱性のあるWebサイトへの攻撃や攻撃ツールを利用した攻撃体験と攻撃解析を通じて防御方法の検討を行う。
• Web系への攻撃を学ぶ• 自チームから他チームを攻撃• 各種攻撃ログの調査や分析を行う✓ 他チームの受講者が行った攻撃を解析✓ 受講者の攻撃以前に用意しておいた攻撃痕跡を解析
2,3回目: パケット解析を主とした攻撃と対処【2022年2月】
外部公開サーバ経由での侵害を発端とする1つの大規模なインシデントを解き明かす。
• 外部公開サーバへの侵害(サーバログ調査)• クライアント端末のマルウェア感染✓ Proxyログ解析✓ ネットワークパケット解析• 被疑サーバの調査

コース内容のイメージ
１回目
他チームをWeb系攻撃

WWW

WWW

自チームサーバを調査

２, 3回目（２）地域に根付いたセキュリティコミュニティ（地域SECUNITY）の形成促進

5◼ 総務省、経済産業省が互いに連携しつつ、地域単位の事業者のセキュリティ対策の強化のため、地域に根付いたセキュリティコミュニティ（地域SECUNITY（セキュニティ））の形成の促進を図る。
【令和４年度予算案：地域セキュリティコミュニティ強化支援事業（0.4億円）】⚫ 地域の企業や地方公共団体については、各者とも単独で有効なサイバーセキュリティ対策をとることは困難であり、地域レベルでのコミュニティを形成して情報共有等を強化する必要がある。

⚫ 全国規模で事業展開する企業に比べ、地域の企業や地方公共団体などについては、有効なサイバー
セキュリティ対策をとるための人材育成・普及啓発の
機会や情報共有の枠組みなどが不足しているおそれ。

地域に根付いたセキュリティコミュニティ

地方公共団体サイバーセキュリティ
関係機関・関係事業者

セキュリティコミュニティの形成の促進
都道府県警

事業者・
業界団体等

有識者
商工会議所

通信
放送
ケーブルテレビ
総務省
総合通信局
セキュリティ関連
の情報共有

産業②
産業①
連携

経済産業省
経済産業局
定期的なセミナーや演習等の実施⚫ ①当該地域における大手事業者、②業界団体（地方支部など）、③都道府県警、④サイバーセキュリティ関係事業者・機関、⑤地方公共団体、⑥有識者などによる地域のサイバーセキュリティ向上のための推進体制を構築する。なお、情報共有体制がすでに存在している地域においては、既存の体制を活用していくことが望ましい。

⚫ 地域の企業等向けに①定期的なセミナー
やインシデント演習の実施、②セキュリティ
関連の情報共有の枠組みなどを構築。

（参考）各地域におけるセキュリティコミュニティ◼ 全11地域において、セキュリティコミュニティの設立が完了。今後は、地域全体への活動の展開や、セミナー等の開催に加えて幅広い層への普及啓発に取り組んでいくことを期待。
関西サイバーセキュリティ・
ネットワーク【事務局】 近畿総合通信局、近畿経済産業局、(一財)関西情報センター（2018年10月設立）

北陸サイバーセキュリティ連絡会

北海道地域情報セキュリティ連絡会(HAISL)【事務局】 北陸総合通信局（2020年3月設立）【事務局】 北海道総合通信局、北海道経済産業局、
北海道警察本部（2014年9月 設立）

東北地域サイバーセキュリティ連絡会

中国地域サイバーセキュリティ連絡会【事務局】 東北総合通信局、東北経済産業局（2021年10月設立）【事務局】 中国総合通信局、中国経済産業局（2020年10月設立）

関東サイバーセキュリティ連絡会【事務局】 関東総合通信局、関東経済産業局（2021年3月設立）

九州・沖縄地域情報
セキュリティ推進連絡会議【事務局】 九州総合通信局、九州経済産業局（2012年5月設立）

信越サイバーセキュリティ連絡会【事務局】 信越総合通信局、関東経済産業局（2022年1月設立）

沖縄サイバーセキュリティ
ネットワークサイバーセキュリティシンポジウム道後【事務局】 内閣府沖縄総合事務局、沖縄総合通信事務所、沖縄県警察本部（2015年3月設立）【事務局】 （一社）テレコムサービス協会四国支部、四国総合通信局（共催）、他複数団体が共催（2012年10月設立）

東海サイバーセキュリティ連絡会【事務局】 東海総合通信局、中部経済産業局（2020年8月設立）

6

（３）クラウドサービス利用・提供における適切な設定の促進◼ 近年、クラウドサービスの利活用が急激に拡大する中で、クラウドサービス利用者がクラウドサービスを利用する際の設定ミスに起因する事故や、他事業者のクラウドサービスを調達・利用するクラウドサービス提供者における設定ミスに起因する情報漏えいや障害といった事故が多発している。
◼ このため、総務省において、有識者及び事業者を交えて、過去の情報漏えい等の事故の原因や、クラウドサービス
利用者及び提供者において実施されている設定ミスを防止するための取組について調査・分析を行った上で、クラウドサービス利用者及び提供者において実施することが望ましい取組を整理・検討しているところ。
◼ 検討結果については、「クラウドサービス利用・提供における適切な設定のためのガイドライン（仮称）」として、広く意見募集を行った上で、今年中に策定・公表する予定。
（例）IaaSの設定に関する責任共有モデル（利用者に求められる取組例）
・クラウド利用における社内ガバナンスの確保
・セキュリティに係る設定項目の確認・支援ツールや外部診断サービス等の活用・設定に関する定期的なチェックや内部監査（提供者に求められる取組例）
・正しく、十分で、わかりやすく、タイムリーな情報の提供
・体系的な学習コンテンツの提供
・設定項目管理ツールの提供
・デフォルト値の見直し

7

医療機関におけるサイバー攻撃の現状と対応について

医政局研究開発振興課
医療情報技術推進室

医療における情報セキュリティ インシデント事例（一部）2015.11.27

第3回健康・医療・介護情報利活用検討会医療情報ネットワークの基盤に関するワーキン
ググループ
参考資料５より抜粋。

菰野厚生病院（三重県）：医事システムの端末がウイルス感染。インターネット利用中に感染し、ウイルスが院内ネットワークを通じてサーバーに侵入。サポート終了したOS（Windows XP）を試用していたことも原因の一つ。
2017

2018

2016.01.14

鳥取県立中央病院（鳥取県）：庁内LANパソコン１台が、外部からのウイルスメールによりコンピュータウイルスに感染し、保存されていた3,152個の電子ファイルがコンピュータウイルスにより、開くことができなくなった。
2017.08～2018.01 福島医大病院（福島県）：コンピューターウイルス感染により検査装置が不具合を起こし、患者へのコン
ピューター断層撮影(CT)などをやり直すトラブルが起きた。
2018.10.16

宇陀市立病院（奈良県）：電子カルテを含む医療情報システムがコンピュータウイルスに感染し、一部のデータが暗号化され、患者カルテが参照できなくなった。外部と接続されていないはずの医療情報システムが外部と接続された
2019

状況になり、ウイルスの侵入・感染に至った可能性が高いとの指摘。
2019.05.20

多摩北部医療センター（東京都）：職務用パソコン端末へ送信された不正アクセスを意図したメールの添付ファイルを開封した結果、マルウェアに感染し、メールボックス内に不正アクセスされ、メールボックス内の除法の一部が流出した。
2020

2021

2019.11.01

徳島大学病院（徳島県）：海外出張の際にパソコン及び業務用携帯電話の収められたカバンの盗難被害が発生した。

当該パソコンに患者の症例情報（3,201件）等、業務用携帯電話に職員氏名・業務用電話番号（約1,000件）が保管されていた。

2021.04.30

千葉大学医学部附属病院（千葉県）：患者586名の個人情報を個人用パソコンに保存し、大学で許可されていない

クラウドサービスを利用していたところ、宅配業者を装ったフィッシングメールによりクラウドサービス用ID・パスワードを盗み取られ、個人情報を閲覧できる状態になっていた。
2021.05.31

市立東大阪医療センター（大阪府）：医用画像参照システムに不正アクセスがあり、システムが利用できなくなった。

2021.10.31

つるぎ町立半田病院（徳島県）：電子カルテがランサムウェアに感染し、システムが利用できなくなった。

2

医療における情報セキュリティに関する脅威やインシデント
近年、「外的要因」かつ「意図的な事象」に脅威・インシデントの傾向が変化しつつある
外部事業者等によるミス

外的・Webサイト、保守回線等を経由した攻撃・外部事業者の設定ミス

・ランサムウエアやマルウエアなど、等

参考資料５より抜粋。

外部からの攻撃要因

・外部事業者の情報紛失(事例)

第3回健康・医療・介護情報利活用検討会医療情報ネットワークの基盤に関するワーキン
ググループ

システムの様々な脆弱性を利用した攻撃

・外部事業者の設定ミスにより、患者70人分の個人情報が含まれたファイルがインターネットを経由し近年、「外部からの攻撃」が増加傾向にあり、アクセス可能な状態となり、個人情報が漏洩する恐れがあった。

医療機関個々での単独対策には限界がある。

偶発的職員によるミス

内部不正

等

意図的

・USBメモリやPCの紛失・盗難・職員による、機密情報、個人情報等の持ち出し

・FAXやメールの誤送信

・委託事業者による機密情報、個人情報等の持ち出し・誤操作によるファイルのアップロード
等(事例)

氏名や生年月日などの個人情報を保存したUSBメモリを紛失した。

等

・元職員が、在職中に患者の個人情報を持ち出し、新しく開設する
介護事業所の案内状送付に利用した。

・医師が患者約330人分の手術記録を保存したUSBメモリを紛失した。
・薬剤師が、糖尿病・内分泌代謝内科を受診した患者3,835人の

(事例)

内的
要因

参照：https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/iryou/johoka/cyber-security.html

3

海外のヘルスケア分野における情報セキュリティ インシデント事例 等
2016.02.15

第3回健康・医療・介護情報利活用検討会医療情報ネットワークの基盤に関するワーキン
ググループ
参考資料５より抜粋。

アメリカ・ハリウッドにあるHollywood Presbyterian医療センターで、サイバー犯罪者による攻撃を受け、病院のデータを人質にして、9000枚のビットコイン（約340万ドル相当）を要求された。
急を要する患者については救急車で移送が行われ、病院の職員は紙とペンで患者のカルテを記録し、各部門はファックスでやりとりをせざるを得なくなっており、病院のメールサーバーがダウンしたため、患者は検査結果を確認するために、病院に出向くことにもなった。
2020.09

ドイツ・デュッセルドルフ大学病院でランサムウェアによりシステムが停止が発生した。

同病院で救命処置を受ける予定だった患者を受け入れることができず、別の病院に搬送された。
2021.05

アイルランドの公的医療サービスを提供するHealth Service Executive（HSE）のシステムの一部が、ランサムウェアグループContiによる攻撃で、停止した。これにより、一部の外来患者の予約がキャンセルされた。
なお、Contiは「Apache Log4j」の脆弱性を利用していた。

The health sector and in particular the vaccine rollout was a major focus for the NCSC,
with the organisation’s world-leading services protecting NHS, healthcare, and vaccine
supplier IT systems from malicious domains billions of times.
（NCSC英国家サイバーセキュリティセンター 年次レビュー）
参照： https://www.ncsc.gov.uk/news/record-number-mitigated-incidents
https://japan.zdnet.com/article/35179996/
4医療機関におけるサイバー攻撃の現状
医療機関からの報告について○ 平成19年３月から、「医療情報システムの安全管理に関するガイドライン」に基づき、医療機関等においてサイバー
攻撃等のインシデント事案が発生した場合は、当該医療機関等から厚生労働省等の所管官庁へ報告することを求めている。
○ また、都道府県等に対しては、平成30年10月に通知（「医療機関等におけるサイバーセキュリティ対策の強化について」（医政総発1029 第１号 医政地発1029 第３号 医政研発1029 第１号 平成30年10月29日））を発出し、必要に応じて管内の医療機関
等における被害状況、対応状況等に係る調査及び指導を行うとともに、厚生労働省へ報告することを求めている。

診療に及ぼす影響について
1.

一般に、ランサムウェアによるサイバー攻撃は情報の暗号化と情報の詐取と金銭の要求がセットとなっていることが多いが、情報の詐取が確認された場合には個人情報漏洩事案となる。
※ 令和２年改正個人情報保護法において、不正アクセス等による個人情報の漏えい（疑いを含む）については、件数に関わりなく個人情報保護委
員会への報告を義務付け（令和４年４月施行）。 また、法人に対する罰金を最大1億円に引き上げ。

2.

保存すべき診療録等が滅失・毀損する。また、患者の病歴等について再度の聴取等が必要となることによる患者側も負担増加。
※ ランサムウェアによって、診療録をはじめとする診療に関する諸記録が暗号化され、バックアップファイルも含めて、完全には復号化できないことが判明した場合には、医療法第21 条等に抵触する恐れがある。

3.

過去の患者カルテと、来院した患者の氏名等といった基礎情報が電子的に突合できず、対面での指差し確認等の手作業で本人確認が必要。医療従事者が慣れない紙カルテでの運用に追われることになる医療者側の負担増加。

4.

被害の状況により、診療報酬の請求事務に影響を及ぼすことがあるほか、診療データの継続的な提出を評価する「データ提出加算」の算定や、「データ提出加算」を前提とする入院料の届出に影響が生じる場合がある。
5

医療機関における情報セキュリティについて
現在の取組○ 厚生労働省においては、「医療情報システムの安全管理に関するガイドライン」を定め、医療機関等に対し、技術的・運用管理上の観点から必要な対策を求めている。
【ガイドラインに基づく対策】（情報漏えい対策）
・ ネットワーク接続に当たっては、送信元と送信先を限定する方式等で接続を行うこと
・ セキュリティ対策（ウイルス対策ソフトやセキュリティ・パッチなど）を適切に実施すること・ システムの保守に当たっては、保守会社と守秘契約を締結するとともに、作業者、作業内容及び作業結果を確認すること（医療情報を外部に保存する際の基準）
・ 受託事業者が情報セキュリティに関する国際認証を取得していること等を確認すること
・ 医療情報を格納する機器等が国内法（医療法に基づく立入検査等）の適用を受けることを確認すること

等

等（非常時も含めた重大なシステム障害への備え）
・ 災害・サイバー攻撃等の非常時における事業継続計画を策定すること・ システム障害の発生時にもシステム全体の機能を維持するため、平常時からサーバやネットワーク機器等の予備設備を準備・運用すること
・ データの適切なバックアップを行うこと

サイバー攻撃を踏まえた対応○ 今般、病院へのサイバー攻撃により、診療が長期にわたって制限された事例（※）があったことから、令和３年11月、全国の医療機関に対し脆弱性が指摘されている機器の点検、バックアップの作成等について注意喚起を行った。
〇 また、厚生労働省では、令和４年１月21日に各都道府県・関係団体宛に通知し、全国の病院における、ランサムウェアを想定したリスクを把握するための実態調査を実施中。
〇 許可病床400床以上の保険医療機関について、医療情報システムのバックアップ体制の確保状況を届け出ることを診療録体
制加算の要件として追加する。
※ 徳島県つるぎ町立半田病院におけるマルウェア感染事案（R3.10）
・ バックアップがオンラインで保持されていたことから、電子カルテシステムがランサムウェアに感染した際にバックアップも感染し、長期にわたり過去の診療情報を閲覧できなくなったため一部診療が縮小されたが、近隣の医療機関との連携等を図ることで、必要な医療を提供した。

今後、都道府県等と連携しながら、各医療機関のバックアップ状況等に関する所要の対応を行うとともに、医療情報システムの安全管理に関するガイドラインを見直すなど、電子カルテの適切なバックアップの徹底を図っていく。
6

病院における医療情報システムのバックアップデータおよびリモートゲートウェイ装置に係る調査（概要）目

的

医療機関に対するランサムウェアなどのサイバー攻撃が増加し、長期にわたり診療が停止した事例等が確認されていることから、病院におけるランサムウェアのリスクを把握するとともに、早急に長期に診療が停止することがないよう有効な対策の実施を促すため、病院が保有する医療情報システムの保守等に用いられるリモートゲートウェイ装置の有無とそのアップデート状況及び電子カルテシステ
ムのバックアップ保持の実態についての調査を行う。

調査方法・対象

G-MISを用いて、リモートゲートウェイ装置及びバックアップ保持の実態に関する調査を実施する。
（問数は10～15問程度）
調査対象は、G-MIS IDが付与されている、約8300の病院。
スケジュール

調査期間：令和４年１月28日～令和４年２月14日、令和４年３月８日～令和４年３月24日（予備）※結果の公表については、時期や方法を検討中。

7

医療分野におけるサイバーセキュリティ対策調査事業（厚生労働省委託事業）
背景

医療分野のサイバーセキュリティについては、その脅威がますます高まるとともに、日本の医療機関における人材育成の必要性や医療分野におけるＩＳＡＣの在り方の検討等が求められている。
○自民党サイバーセキュリティ対策本部第一次提言（2018年4月24日）→

医療分野におけるＩＳＡＣの創設○「サイバーセキュリティ2019」（令和元年（2019年）５月23日サイバーセキュリティ戦略本部決定）→ 厚生労働省において、医療分野及び水道分野におけるISAC 等のサイバーセキュリティ対策に関する情報共有のあり方について引き続き検討を行う。
令和3年度事業内容
令和２年度までの調査研究事業を実施して把握した、日本や海外におけるサイバーセキュリティ人材の実態、海外における医療分野におけるＩＳＡＣや日本の他分野におけるＩＳＡＣの実態を踏まえ、サイバーセキュリティ研修の実
施や日本における医療分野におけるＩＳＡＣの設立に向けた基盤整備を行う。
1.

医療関係者向け、サイバーセキュリティ研修の実施

2.

継続的な医療関係者による意見交換会の開催、情報共有・掲示板ツール（ＳＩＧＮＡＬ等）を用いた相談体制の構築※なお、上記意見交換会においては、内閣サイバーセキュリティセンター（NISC）にもオブザーバーとしてご参画い
ただいている。
8【参考１】調査票（病院における医療情報システムのバックアップデータ及びリモートゲート
ウェイ装置に係る調査）

No. 設問項目

1 回答者の情報（氏名、所属、連絡先）

2 セキュリティ責任者を設置しているか3

医療情報システムの安全管理に関するガイドライン及びそれを基としたチェックリスト等を活用しているか。

4 システム障害発生時等において詳細な緊急対応手順を整備し、定期的に訓練しているか

5

電子カルテシステムを使用しているか。（なお、電子カルテシステムとは、 オーダリング機能、画像管理等の部門システム及び診療録を電子的に記録する機能を備えた統合的な医療情報システムを指す。）

6 電子カルテシステムのバックアップデータは作成しているか。

7 バックアップデータは世代管理しているか。

8

9

-

バックアップデータについて、サイバー攻撃による汚損や破壊、火災や自然災害による消失など同時被災を回避する方法で保管しているか。(例、遠隔地のサーバに保管、4世代ごとにオフラインで保管)
バックアップデータの漏洩対策を講じているか。
(例：バックアップデータは暗号化している。)
以降の設問は、回答にあたり、院内のサーバ室等を確認し、リモートゲートウェイ装置（VPN装置）が存在するか確認すること。

10 VPN装置が存在するか。

11 VPN装置のメーカー名、型番、台数をすべて記載すること。

12

内閣サイバーセキュリティセンター（NISC）や厚生労働省の注意喚起を基にVPN装置のアップデートを適切に行っているか。

13 VPN装置へのアクセス元IPアドレスを保守業者等に制限しているか。

14 VPN装置へのアクセス記録は定期的に検査しているか。

【参考２】

別紙

病院における医療情報システムのバックアップデータ及びリモートゲートウェイ装置に係る調査に係る回答要領
依頼事項
 本回答要領に基づき、病院における医療情報システムのバックアップデー
タ及びリモートゲートウェイ装置に係る調査（以下「本調査」という。）の設問に回答してください。
 回答に当たっては、提出後の修正等作業をできるだけ防ぐだめ、必ず本回答要領を確認してください。


技術的な質問・用語等については、院内担当者だけでなく、システム設置事業者や保守事業者への照会等も活用して回答してください。

【電子カルテシステムのバックアップに係る質問関係】
１．回答者の情報
回答者の氏名、所属、連絡先を記載してください。なお、後日内容の確認のため、厚生労働省より回答者に対し連絡をさせていただく可能性があります。
２．セキュリティ責任者を設置しているか
システム障害時の対応や、問題発生の原因調査、セキュリティ対策訓練に関して責任がある、セキュリティ責任者を職員として配置しているか。また、セキュリティ責任者を医療情報システムの責任者とは、別に、配置しているか。
回答を選択してください。
３．医療情報システムの安全管理に関するガイドライン及びそれを基としたチェックリスト等を活用しているか。
厚生労働省が定めている、

医療情報システムの安全管理に関するガイドライン
同ガイドラインを基にした「医療機関のサイバーセキュリティ対策チェックリスト」及び「医療情報システム等の障害発生時の対応フローチャート」
を活用しているか回答を選択してください。
（参考）
医療情報システムの安全管理に関するガイドライン 第 5.1 版（令和 3 年 1月）https://www.mhlw.go.jp/stf/shingi/0000516275.html

別紙

４．システム障害発生時等において詳細な緊急対応手順を整備し、定期的に訓練しているかシステム障害時や不正アクセスが顕在化した際に、速やかに連絡するべき者（※）を院内に平時から確認・周知することが必須です。障害や不正の発生個
所特定のための分析や切り分けの具体的な技術手順、代替措置のための機器や環境整備、緊急対応のための技術的措置に必要な設計資料やマニュアル、認証等の情報を常時最新化し、緊急対応が発生した際に対応が可能な状態である
か、また、それらの情報を医療情報システムの担当者と導入事業者が一体となって定期的に点検しているか、回答を選択してください。
（※）具体的には、医療情報システムの完全管理に関するガイドラインに記載されている
医政局研究機発振興課医療情報技術推進室 03-3595-2430
情報処理推進機構 情報セキュリティ安心相談窓口 03-5978-7509の他、必要に応じて事業者、捜査機関等にも適切に情報提供すること。

５．電子カルテシステムを使用しているか
診療録の記載・保存を電子カルテシステムで行っているか回答を選択してください。なお、本問でいう電子カルテシステムとは、


オーダリングシステム
オーダリング機能、画像管理等の部門システム及び診療録を電子的に記録する機能を備えた統合的な医療情報システム
を指します。なお、電子カルテシステムを使用していない場合は、７．まで
は回答不要となります。

６．電子カルテシステムのバックアップデータは作成しているか
サイバー攻撃や災害等で電子カルテシステムのデータが消失又は使用不可
能な状態（暗号化等）になった場合でも、バックアップデータを作成し、診療におおきな支障がないように復旧が可能となるように定期的にテストを行っているか回答を選択してください。

別紙

７．バックアップデータは世代管理しているか
電子カルテシステムのバックアップデータについて、世代管理をしているか回答を選択してください。ただし、具体的な管理方法までを問うものではありません。
なお、世代管理とは最新のバックアップデータだけでなく、それ以前のバックアップデータも管理することを指します。例えば、１日１回バックアッ
プデータを作成している環境で「３世代管理」といえば、３日前までのデー
タまでさかのぼれることが可能となります。
８．バックアップデータについて、サイバー攻撃による汚損や破壊、火災や自然災害による消失等同時災害を回避する方法で管理しているか
作成しているバックアップデータについて、例えば遠隔地のサーバに保管、世代ごとにオフラインで保存するなど、不測の事態に備えた保管方法をとっているか回答を選択してください。ただし、具体的な管理方法まで問う
ものではありません。
９．バックアップデータの漏洩対策を講じているか
作成しているバックアップデータが仮にサイバー攻撃等を受け漏洩する事態が起こった場合等においても、解読できないような対策（暗号化や秘密分散管理等）を講じているか回答を選択してください。ただし、具体的な管理方法まで問うものではありません。

別紙【リモートゲートウェイ装置に係る質問関係】
本項目については、回答に当たり院内のサーバ室等を確認し、リモートゲー
トウェイ装置（以下、「VPN 装置」という）が存在するか確認してください。
１０．VPN 装置が存在するか。
医療情報システム（※）の保守点検等を目的とし、事業者とシステムを接続するために VPN 装置を設置している場合が多々あります。
システム設置業者や保守業者などに照会し、当該機器が設置されているか回答を選択してください。設置されていない場合は、以降の設問は回答不要となります。
（※）医療情報システムとは、オーダリングシステム、電子カルテシステム、
レセプト電算システム（審査請求受付も含む）、画像・検査等の各部門シ
ステム、地域医療ネットワークシステム、PHR 等、病院における診療を補助するためのシステム全般を指します。
１１．VPN 装置のメーカー名、型番、台数を全て記載すること
上記で確認した VPN 装置について記載してください。（記述方式）
１２．内閣サイバーセキュリティセンター（NISC）や厚生労働省の注意喚起を
基に VPN 装置のアップデートを適切に行っているか
NISC や厚生労働省では、医療セプターや都道府県・地方厚生局宛にサイバーセキュリティ対策に係る情報を提供しています。それらの情報を基に、VPN
装置のアップデートを適切に行っているか、回答を選択してください。
（参考）
内閣サイバーセキュリティセンターランサムウェア特設ページ
https://security-portal.nisc.go.jp/stopransomware/
１３．VPN 装置へのアクセス元 IP アドレスを保守業者等に制限しているか
VPN 装置への不正アクセスを防ぐため、アクセス元 IP アドレスを制限しているか、回答を選択してください。保守業者がアクセスするだけで機能を果たせると考えられ、それ以外のアクセスについては制限されるのが一般的です。保守事業者に照会し、現状を確認してください。

別紙

１４．VPN 装置へのアクセス記録を定期的に分析・監査しているか
不正アクセス防止の観点から VPN 装置へのアクセスをログ等に記録し、かつ、記録に不正な傾向がないか定期的に（例えば年 1 回）分析・監査をしているか回答を選択してください。
サイバー攻撃を受けた医療機関においても、不正アクセスの記録が残っていることがあり、それらを把握することができていれば被害を防げていた可能性もあります。

資料２－４

経済産業省におけるサイバーセキュリティ施策の取組状況について

2022年3月

経済産業省サイバーセキュリティ課

セキュリティとセーフティの融合への対応～IoTセキュリティ・セーフティ・フレームワーク（IoT-SSF）の策定⚫

用途や使用環境によって課題が異なるIoT機器・システムに対するセキュリティ対策を、複数のステークホルダ間で合意する際に活用できる「IoTセキュリティ・セーフティ・フレームワーク（IoT-SSF）」を2020年11月5日に公開。

⚫

本フレームワークで、IoT機器・システムをカテゴライズし、カテゴリごとに求められるセキュリティ・セーフティ要求の観点を把握・比較することにより、それぞれに求める対策の観点・内容の整合性を確保できる。

https://www.meti.go.jp/press/2020/11/20201105003/20201105003.html

1

IoTｰSSFの枠組み⚫実現される仕組み・サービスの利用者側から見てインシデントが発生した場合の影響を適切に分析。
•第１軸：発生したインシデントの影響の回復困難性の度合い•第２軸：発生したインシデントの経済的影響の度合い（金銭的価値への換算）⚫それぞれのカテゴリーに従って第３軸を活用してセキュリティ・セーフティ要求の観点・内容を適切に検討するための枠組み。
•第１の観点：運用前（設計・製造段階等）におけるフィジカル・サイバー空間をつなぐ機器・システムの確認要求•第２の観点：運用中のフィジカル・サイバー間をつなぐ機器・システムの確認要求•第３の視点：機器・システムの運用・管理を行う者の能力に関する確認要求•第４の観点：その他、社会的なサポート等仕組みの要求
フィジカル・サイバー間をつなげる
機器・システムのカテゴライズのイメージ※ 同じ機器・システムでも使用形態などによってマッピング先が異なり得る。
例えば、機器ｇと機器ｈが同じ機器で異なる使用形態である場合などがあり得る。）

カテゴリに応じて求められる
セキュリティ・セーフティ要求の観点のイメージ

2

ユースケース集の作成（令和３年度）⚫ IoT-SSFは、IoT機器・システムのセキュリティに係る様々な主体に適用可能な「基本的共通基盤」であるが、抽象度が高い部分も含まれているため、読者にとって理解が難しい部分がある。
⚫ IoT-SSFの普及、具体的な活用に向けては、IoT-SSFで示されたリスクのマッピング手法やカテゴライズ手法
に関する指針もしくはガイドラインの整備が必要。
年度内にとりまとめ公表予定
1. ユースケース集の位置付けと構成「IoTセキュリティ・セーフティ・フレームワーク」の概要ほか
2. 「IoTセキュリティ・セーフティ・フレームワーク」実践に係るユースケース集
・ユースケースにおける記載事項① リスクアセスメント、リスク対応に向けた事前準備
ユースケースの選定は以下の要素を勘案② リスクアセスメント• 利用者の区分（個人・家庭/事業者）③ リスク対応（ステークホルダー別の対策例一覧）• 利用環境（家庭/公共空間/事業所）
・具体的なユースケース• 想定する適用主体の特徴① 家庭用ガス給湯器の遠隔操作② ドローンを活用した個人による写真撮影③ 物流倉庫内のAGVによる自動ピッキング④ 化学プラント施設内の蒸留工程の自動制御• 添付Aと添付Bは、各ユースケース固有の事情に依存⑤ 工場内のロボットによる部材加工作業（溶接工程）の自動化
しない一般的に適用し得る内容⑥ 金属製造現場の温度センサ等による製造設備の状態監視• 想定読者において具体的な対策を検討する際に適宜添付A 対策要件参照
添付B 対策例3

IoT-SSFに基づくリスクマネジメントのプロセス⚫ 既存の国際標準（ISO 31000等）や 「サイバー・フィジカル・セキュリティ対策フレームワーク」を踏まえて、
以下のステップでリスクマネジメントを実施し、個別のユースケースを整理した。
ユースケース集
リスクアセスメント、
リスク対応に向けた
事前準備• 対象ソリューションの概要• ステークホルダー関係図• システムを構成する機器の一覧• システム構成図、データフロー図• リスク基準• 想定されるセキュリティインシデント
等とその結果の特定

リスクアセスメント• 機器・システムの重要度の判断基
準及び判断された重要度の一覧• マッピング結果の整理と評価の実施• システムを構成する機器ごとの脅威
の整理

リスク対応
（ステークホルダー別• 脅威への対策の整理の対策例一覧）• 整理した対策に対する意思決定

IoT-SSFにおける3つの軸
第1軸：回復困難性の度合い
インシデントの影響の回復の困難性からリスクを捉えるもの
第2軸：経済的影響の度合い

インシデントによる影響の回復の可能性・困難性という観点を除き、インシデントによる影響の大きさを金銭的価値に換算した場合の大きさ・度合いを基準としたもの
第3軸：求められるセキュリティ・セーフティ要求
フィジカル・サイバー間をつなぐ機器・システムのセ
キュリティ対策を包括的に整理するため、セキュリ
ティ・セーフティを確保するための手法を4つの観点から整理したもの

4

物流倉庫内のAGVによる自動ピッキング（ケースの概要：事前準備）⚫ 物流事業者がIoT-SSFの主たる適用主体となってリスクマネジメントを行うユースケース。

⚫ 当該事業者は、事業規模拡大に伴って既存の物流倉庫において、省人化や効率化を目的として新たにAGVや倉庫制御システム等の導入を予定。
✓ 対象機器・システムの概要✓ 適用主体及び他のステークホルダーの情報• 工業用間接資材を扱う物流倉庫において、無人搬送車（AGV）が自動ピッキングを行う。
• 物流倉庫内の保管エリアにてAGVが保管棚をピッキングエリアにいる作業員のもと（ピッキングステーション）まで移動させ、作業員がピッキングを行う。

AGV製造事業者

IoT機器を製造し、システムイン
テグレータに提供する事業者

インターネット

物流倉庫

WMS（Warehouse
Management
System）

安全制御
PLC

WCS
（Warehouse
Control
System

FW

FW

操作用
端末

保守用
端末

操作用
端末

保守用
端末

物流
事業者
物流倉庫を運用
システム
インテグレータ
物流倉庫システム、AGV等を納入

AGV

システムインテグレータ

物流事業者（システム開発の委託先企業）

開発委託（委託元企業）AGVを組み込んだ
倉庫管理システムを提供する事業者

・倉庫管理シス
テム
・倉庫制御シス
テム
・AGV

物流倉庫を
運用する事業者

ルータ

AGV(無人搬送機)

AGV(無人搬送機)

AGV
製造事業者
AGVを納入IoT-SSFの 既存の物流倉庫において、省人化や効率化を目的としてAGVや倉庫適用主体 制御システム等の導入を予定している。

5

物流倉庫内のAGVによる自動ピッキング（リスクアセスメント）⚫ セキュリティインシデントによって「物流事業者」が保有する倉庫内の業務が停止し、倉庫内のみならず取引先、サプライチェーン規模で影響が波及し、結果として生じる経済的影響が大きくなる可能性がある。
✓ 対象機器・システムにおいて想定されるリスク(例)
分類

物流事業者
にとってのリスクシステム
インテグレータにとってのリスク

AGV製造事業者にとってのリスク

想定されるリスク（例）• 外部から倉庫管理システムが不正にアクセス。保
存されている在庫情報が改ざんされ、配送の停止や誤配送が生じ得る。
• 配送の停止や誤配送により、搬送会社や工業資材の利用者等、物流サービスの提供を受ける倉庫外部の事業者等へ影響が及ぶ可能性がある。
• 自社環境が不正アクセスされ、配信前のアップ
デートを改ざんされ、物流工場が停止し、大規模な製品回収が生じ得る。
• AGVに重大な脆弱性が発見されることによって、大規模な製品回収が生じ得る。

※その結果として、各事象のステークホルダを含む関係者に対する損害賠償（配送遅延や誤配送への対応等）の事後的な対応が発生し得る✓ 想定されるリスク(例)のマッピング結果• 物流事業者、システムインテグレータ及びAGV製造事業者視点の物流倉庫システムの保有するリスクは、目標とする水準には収まっておらず、何らかの対処実施が望まれる。
経済的影響
の度合い
高
壊滅的な
経済影響

重大な
経済影響
限定的な
経済影響
低

物流倉庫システム(物流事業者)

物流倉庫システム対策の実装等を通じて、可能な限りリスクを低減すべき対象(ｼｽﾃﾑｲﾝﾃｸﾞﾚｰﾀｰ/
AGV製造事業者)

目標とする
リスクの水準低 限定的な
ダメージ

重大な
ダメージ

致命的な
ダメージ

高

回復困難性
の度合い

6

物流倉庫内のAGVによる自動ピッキング（リスク対応の検討）⚫ 影響度が大きいリスクにつながり得る脅威の例： 不正アクセス、サービス不能、マルウェア感染等。

⚫ 「リスク評価、リスク対応に向けた事前準備」にて整理した機器ごとに脅威を整理する。
想定される脅威（例）不正アクセス

データの改ざん

情報漏えい

サービス不能マルウェア感染不正利用

利用者による
セキュリティ
設定の誤り等

安全制御
PLC

データの改ざん

サービス不能情報漏えい

マルウェア感染サービス不能インターネット
操作用
端末

WMS
FW

操作用
端末

WCS

FW

データの改ざん
情報漏えい

データの改ざん
保守用
端末

情報漏えい

サービス不能サービス不能不正アクセス

不正アクセスマルウェア感染
不正利用

保守用
端末

利用者による
セキュリティ
設定の誤り等

マルウェア感染不正利用
利用者による
セキュリティ
設定の誤り等

マルウェア感染不正利用

ルータ利用者による
セキュリティ
設定の誤り等
AGV(無人搬送機)※太字・水色網掛けで示した脅威は、主要な被害を引き起こす可能性のある脅威を示す。

データの改ざん

マルウェア感染

情報漏えい

不正利用

利用者によるセキュリティ
設定の誤り等

7

物流倉庫内のAGVによる自動ピッキング（リスク対応の検討）⚫

適用主体である物流事業者は、リスクを目標とする水準に収めるため、影響が大きいリスクに対処するための対策方針を明確にした上で、行うべきと考えられる対策要件（例）を検討。

⚫

行うべきと考えられる対策の例：様々なIoT機器を接続する際のセキュリティの確保 [第1の観点]、IoT機器・システムのモニタリング及びログの取得、分析[第2の観点]等。
物流事業者(自身)にとってのリスクを低減するための対策
影響が大きいリスクに対処するための対策方針行うべきと考えられる対策の例

セキュリティインシデントが発生したとしても、それらの被害を最小限にするための仕組みの構築• 様々なIoT機器を接続する際のセキュリティの確保• 適切なネットワークの分離

信頼性の高い物流倉庫の操業を可能にするための仕組みの構築• IoT機器・システムの十分な可用性の確保• IoT機器・システムのモニタリング及びログの取得、分析

システムインテグレータにとってのリスクを低減するための対策
影響が大きいリスクに対処するための対策方針行うべきと考えられる対策の例

大規模な製品回収等につながり得る機器・システムのセキュリ
ティ上の欠陥を防ぐための、セキュリティ・バイ・デザインの取組
みの推進• 運用前（設計・製造段階）における法令および契約上の要求事項の遵守• セキュリティ設計と両立するセーフティ設計の仕様化

安全なアップデートプログラムの配信のための仕組
みの構築• IoT機器・システムに対するアップデートの適用

8添付資料の概要（添付A）⚫

添付Aでは、IoT-SSFの第3軸「求められるセキュリティ・セーフティ要求」における4つの観点を参照しつつ、有効と考えられる対策要件を示す。

観点

実装先

ソシキ・
ヒト

対策要件

観点

マルウェア対策の実施

運用前（設計・製造段階）におけるIoTセキュリティを目的とした体制の確保

IoT機器・システムの十分な可用性の確保

IoTセキュリティに関するステークホルダーの役割の明確化

IoTに適したネットワークの利用

IoT機器・システムに係る要員のセキュリティ確保

適切なネットワークの分離

運用前（設計・製造段階）における法令および契約上の要求事項の遵守IoT機器・システムの設置場所等に対する物理的アクセスの制御

適切な水準のアクセス制御の実装
システム

対策要件

IoT機器・システムにおけるセキュリティポリシーの策定

企画・設計段階におけるセキュリティ要求事項の分析及び
仕様化

第1の
観点

実装先

第1の
観点

IoT機器システムの構成要素（機器、ネットワーク等）
システム の物理的保護
セキュリティ設計と両立するセーフティ設計の仕様化

ソフトウェアの完全性の検証

セキュアな開発環境と開発手法の適用

ソフトウェアのインストールの制限

IoT機器・システムにおけるセキュリティ機能の検証

様々なIoT機器に接続する際のセキュリティの確保

信頼できるIoT機器やサービスの選定

暗号化によるデータの保護

IoT機器・システムの出荷時における安全な初期設定と構成

ライフサイクルを通じた暗号鍵の管理

IoT機器・システムにおける運用開始時の正しい設置、
設定※上記に加えて、CPSF「添付Ｃ 対策要件に応じたセキュリティ対策例」を参照した上で、対策要件を検討することが望ましい。

9

添付資料の概要（添付A）⚫

添付Aでは、IoT-SSFの第3軸「求められるセキュリティ・セーフティ要求」における4つの観点を参照しつつ、有効と考えられる対策要件を示す。

観点

実装先

ソシキ・ヒト

対策要件

対策要件
継続的な資産管理

運用中におけるIoTセキュリティを目的とした体制の確保

プログラムソースコード及び関連書類の保護
第2の
観点

システム

IoT機器・システムのモニタリング及びログの取得、分析

脆弱性対応に必要な手順等の整備と実践

IoT機器・システムに対するアップデートの適用

インシデント対応手順の整備と実践

IoT機器・システムの安全な廃棄または再利用

事業継続計画の策定と実践

IoT機器・システムの運用・管理を行う者に対する要求事項の特定プロシージャ
IoT 機器・システムの適正な使用
IoT 機器・システムの適正な運用・保守
システム

実装先

利用者へのリスクの周知等の情報発信

過去の対応事例からの学習
第2の
観点

観点

第3の
観点

ソシキ・ヒト

第4の観点

ソシキ・ヒトIoT機器・システムの運用・管理を行う者に対する要求事項の遵守の確認
賠償等の対処を実施することが容易ではないケース
等における社会的なセーフティネットの構築

運用中における法令および契約上の要求事項の遵守

10添付資料の概要（添付B）⚫ 添付Bでは、事業者が具体的なセキュリティ対策等を検討する際に参照できる情報として、添付Aに示された対策要件ごとに講じる対策の例を示す。

実際に講じる対策の例
観点

第1の
観点

実装先

ソシキ・ヒト

対策要件

対象のIoT機器・システムにおける
セキュリティポリシーの策
定

対策例

⚫

自組織が提供または利用するIoT機器・システム、サービスのセキュリティに関する方針（ポリシー）を策定し、社内に周知するとともに、継続的に実現状況を把握し、定期的にレビューする。
⁻かかるポリシーとして、自組織の役割に応じて、IoT機器・システムの管理のポリシー、IoT
サービス提供のポリシー、個人情報を含むデータ管理などのポリシー等が策定され得る。
⁻
IoT機器・システム、サービスのセキュリティポリシーは以下の事項に関する記述を含むことが望ましい。
➢
対象となるIoT機器・システム、サービスの概要➢
IoT機器・システム、サービスに係る自組織の役割（例：IoTユーザ、IoTサービス
提供者、IoTサービス開発者）➢
IoT機器・システム、サービスに対するセキュリティ対策の目的
CPS.BE-2➢
組織内におけるIoT機器・システム、サービスのセキュリティに対する役割と責任
CPS.GV-1⚫

上記の全体的な方針に加え、特定のIoT機器・システム、サービスを対象としたより具体的なポ
リシー、対策基準等を策定する。かかる対策基準等のトピックとして、以下の事項に関する記述を含むことが望ましい。
アクセス制御情報分類及び取扱い
その他の対策領域

⁻
⁻
⁻

・・・

対応するCPSFの対策要件ID

・・・

CPS.GV-2

・・・

11