資料３

重要インフラにおける安全基準等の策定・見直しについて（案）2006年11月
内閣官房情報セキュリティセンター（NISC）

重要インフラにおける安全基準等の意義・位置づけ
（※１）

（※２）

○ 重要インフラをIT障害から防護するための全体計画として「重要インフラの情報セキュリティ対策に係る行動計画」を策定（2005年12月13日情報セキュリティ政策会議決定）。また、セキュア・ジャパン2006にて本年度の具体的施策を策定（2006年6月15日情報セキュリティ政策会議決定）○ また、それぞれの事業分野においてその特性に応じた必要または望ましい情報セキュリティ対策の水準を「安全基準等」という形で明示するため、「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」を策定（2006年2月2日情報セキュリティ政策会議決定）○ これらを受け、各重要インフラ分野において、「安全基準等」の策定・見直しを実施（2006年9月を目処に）（※１）重要インフラ１０分野；情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス、医療、水道、物流（※２）重要インフラの各事業において発生する障害(サービスの停止や機能の低下等)のうちＩＴの機能不全が引き起こすものを「IT障害」という。

重要インフラの情報セキュリティ対策に係る行動計画（2005年
2005年12月12月13日情報セ13日情報セキュリティ政策会議決定）

重要インフラにおける情報セキュリティ確保に係る「安全基準等」策定にあたっての指針

セキュア・ジャパン
2006（2006年
2006年2月2日情報セキュリティ政策会議決定）（2006年
2006年6月15日情報セ15日情報セキュリティ政策会議決定）

分野横断的視点から、情報セキュリティ対策の実施にあたり、対処がなされていることが望ましい項目を列記【４つの柱】＜４つの柱＞
１．組織・体制及び資源の確保
２．情報についての対策
３．情報セキュリティ要件の明確化に基づく対策
４．情報システムについての対策

１．「安全基準等」の整備
２．情報共有体制の構築
３．相互依存性解析の実施
４．分野横断的演習の実施＜３つの重点項目＞
１．IT障害の観点から見た事業継続性確保のための対策
２．情報漏えい防止のための対策
３．外部委託における情報セキュリティ確保のための対策

各重要インフラ分野において、「安全基準等」の策定・見直しを実施（2006年9月を目処に）【具体的施策】
ア）各重要インフラ分野の安全基準等の策定・見直しイ）「安全基準等」の策
定状況の把握及び評価ウ）指針の見直し

1重要インフラにおける安全基準等の策定・見直し状況
重要インフラ所管省庁の協力を得て、 「安全基準等」策定・見直し状況の調査を行った結果、以下の通り、策定・見直しがなされつつあることを確認（2006年11月現在）
分野

安全基準等の名称【発行主体】

策定・見直し状況
実施済

情報通信

電気通信事業法、電気通信事業法施行規則、事業用電気通信設備規則等（関連する告示を含む）
情報通信ネットワーク安全・信頼性基準【総務省】
電気通信分野における情報セキュリティ確保に係る安全基準等【ISeCT】（※１）
放送における情報インフラの情報セキュリティ確保に関わる「安全基準等」策
定ガイドライン【日本放送協会（NHK）、（社）日本民間放送連盟】

実施済

金融

金融機関等におけるセキュリティポリシー策定のための手引書【FISC】（※２）
金融機関等コンピュータシステムの安全対策基準・解説書【FISC】
金融機関等におけるコンティンジェンシープラン策定のための手引書【FISC】

実施済

航空

航空運送業者における情報セキュリティ確保に係る安全ガイドライン【国土交通省】
航空管制システムにおける情報セキュリティ確保に係る安全ガイドライン【国土交通省】

実施済

鉄道

鉄道分野における情報セキュリティ確保に係る安全ガイドライン【鉄道事業者等】

実施済

電力

電力制御システム等における技術的基準・運用基準に関するガイドライン【電気事業連合会】

実施済

ガス

製造・供給に係る制御系システムの情報セキュリティ対策ガイドライン【（社）日本ガス協会】

実施済

政府・行政サービス

地方公共団体における情報セキュリティポリシーに関するガイドライン
【総務省】

実施済

医療

医療情報システムの安全管理に関するガイドライン【厚生労働省】

見直し中

水道

水道分野における情報セキュリティガイドライン【厚生労働省】

実施済

物流

物流分野における情報セキュリティ確保に係る安全ガイドライン【国土交通省】

実施済

情報ｾｷｭﾘﾃｨ政策会議第４回会合(2006年(2006年2月2日）「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」を決定

重要インフラ
必要な又は望ましい情報セキュリ
ティ対策の水準について「安全基準等」に明示
策定・導入
見直し
評価

運用

（※１）ISeCT:電気通信分野における情報セキュリティ対策協議会（※３）今年度中に見直し完了予定（※３）（※２）FISC:（財）金融情報システムセンター

2

重要インフラにおける安全基準等の特徴
現時点で策定・見直しが完了した「安全基準等」を分野横断的に概観したところ、ＩＴ障害が国民生活・社会経済活動に重要な影響を及ぼさないようにするため、「自らが何をすべきか」が全ての関係者にとって理解可能な状況となりつつあることを確認① 「行動計画」にて、対象とする脅威及び対象分野が拡張されたのに対応し、「安全基準等」を策定・見直ししている• 「サイバー攻撃によるIT障害」に加え、「行動計画」にて新たに脅威とされた「非意図的要因によるIT障害」、「災害によるIT障害」を対象とする脅威としている• 既存７分野（情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス）に加え、新規３分野（医療、水道、物流）についても、今年度中に見直し完了予定である医療分野を除き、安全基準等の策定・見直しが完了している② 「指針」にて掲げる４つの柱と３つの重点項目をふまえ、各分野において必要と考えられる項目を記載している• ４つの柱と３つの重点項目について、その事業の態様等の理由から規定する必要がないと判断されない限り、「安全基準等」にて記載されている• また、当該事業分野の特質及び当該事業者等の特質（法令等の要求事項、業務内容、事業者等の規模等）をふまえ、情報セキュリティ対策項目を記載している• 加えて、情報セキュリティを取り巻く環境の変化に応じ、安全基準そのものを随時見直すこととしている③ 国内外のベストプラクティスを参考にしている• ISO/IEC17799等の情報セキュリティに関する国際標準を参考にしている• 「指針」に加えて、「政府機関の情報セキュリティ対策のための統一基準」、先行的に整備された他分野の「安全基準等」をベストプラクティスとして参考にしている④ 事業者等において具体的な情報セキュリティ対策を行うことが予定されている• 「安全基準等」は一部を除き法的拘束力を持たない「推奨基準」や「ガイドライン」の位置づけであるため、情報セキュリティ対策の具体的内容は事業者等の自主的な取り組みに委ねられている• 事業者等において、具体的な情報セキュリティ対策を定めた内規の策定・見直しが期待されている• 事業者等において、PDCAサイクルを回す中で自主的な点検を行い、継続的改善を行うことが期待されている

3