資料4

重要インフラの情報セキュリティ対策に係る第２次行動計画の概要及び次期行動計画の検討状況について
20１３年 １０月４日
重要インフラ専門委員会事務局

第２次重要インフラ行動計画の全体像
官民連携による重要インフラ防護の推進
重要インフラにおけるＩＴ障害が国民生活、社会活動に重大な影響を及ぼさないことを目指す①予防的な対策と再発防止対策の両側から対処（具体的には、安全基準の整備、情報共有体制の強化など。）②重要インフラ事業者等における情報セキュリティ対策の浸透状況や急速な技術進展等を踏まえたＰＤＣＡの促進

重要インフラ（１０分野）
●情報通信
●金融
●航空
●鉄道
●電力
●ガス
●政府・行政サービス（含・地方公共団体）●医療●水道●物流

重要インフラ所管省庁（５省庁）

ＮＩＳＣによる調整・連携●金融庁 [金融分野]●総務省 [情報通信分野、行政分野]●厚生労働省 [医療分野、水道分野]●国土交通省 [航空分野、鉄道分野、物流分野]●経済産業省 [電力分野、ガス分野]

関係機関等●情報セキュリティ関係省庁●事案対処省庁●その他関係機関

重要インフラの情報セキュリティに係る第２次行動計画（平成２１年２月策定、平成２４年４月改定）（１）安全基準等の整備・浸透重要インフラ各分野に横断的な「指針」に基づいて、「安全基準」等の浸透を図る（２）情報共有体制の強化

障害・攻撃に関する情報の共有により、個々の主体による孤立した対応から、社会全体としての対応を促進

重要インフラ防護対策の向上（３）共通脅威分析（４）分野横断的演習

複数分野に共通する潜在的な脅威の分析

防護対策向上のための課題抽出

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

環境変化への対応

刻々と変化する環境の変化への対策の機敏な対応

1
1

情報セキュリティ政策の全体像と重要インフラとの関係

2001.9年度

スパイウェアボットネットによる攻撃

2000

2004

Winny

2005

米韓
ＤＤｏｓ
攻撃
Gumblar
猛威

2009

制御ｼｽﾃﾑSuxnet攻撃

標的型攻撃
組織的高度化

9.18
攻撃
2013

2010

基本戦略

国民を守る情報セキュリティ戦略（2010.5.11 情報セキュリティ政策会議決定）【基本戦略】（2013.6.10）（情報セキュリティ政策会議決定）（2006.2.2 情報セキュリティ政策会議決定） （2009.2.3 情報セキュリティ政策会議決定）※ 基本戦略に基づき策定する年度計画

ＳＪ２００６

ＳＪ２００７

ＳＪ２００８

ＳＪ２００９

政府機関対策

政府機関の情報セキュリティ対策のための統一基準（第１～３版）

情報セキュリティポリシー
に関するガイドライン

２０１１

2012

２０１３

政府機関の情報セキュリティ対策のための統一基準（第４版～）（（2005.12.13
情報セキュリティ政策会議決定）（2009.2.3 情報セキュリティ政策会議決定）

重要インフラの情報セキュリティ対策に係る行動計画

重要インフラの情報セキュリティ対策に係る第２次行動計画

次期統一基準群

2012.4.26 改定

重要ｲﾝﾌﾗ対策

重要インフラのサイバーテロ対策に係る特別行動計画（情報セキュリティ政策会議決定）（2000.12 情報セキュリティ対策推進会議決定） （2005.12.13（2009.2.3 情報セキュリティ政策会議決定）

次期行動計画

重要インフラ（2000.7 情報セキュリティ対策推進会議決定）

ＪＳ２０１０

政府

約１箇月で組織を立ち上げ対策推進の枠組み

ｻｲﾊﾞｰｾｷｭﾘﾃｨ戦略第１次情報セキュリティ基本計画 第２次情報セキュリティ基本計画【年度計画：セキュア・ジャパン】

基本戦略

サイバー攻撃事態発生を念頭、新たな環境変化対応、能動的情報セキュリティ対策
IT障害への対応も含めた「事故前提社会」への対応力強化など成熟した
総合的な対策基盤づくりの推進
情報セキュリティ先進国へ向けた取組み

サイバー攻撃への対応を中心とした対策実施時期

各省における試行錯誤

2006

国民を守る情報セ戦略

米国
同時多発テロ

2000.1

DNSキャッシュ
ポイズニング
誘導型攻撃の出現

第二次情報セ基本計画

Webサーバの省庁ＨＰ 脆弱性への攻撃
連続改ざん
フィッシング詐欺

組織体制① 内閣官房情報セキュリティセンター （2005.4 設置）② 情報セキュリティ政策会議 （2005.5 設置）③ GSOC （2008.4 運用開始）

内閣官房情報セキュリティ対策推進室（2000.2設置）

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

22

サイバーセキュリティ戦略の概要（重要インフラ関連）
１．環境の変化サイバー空間と実空間の「融合・一体化」► 情報通信技術の普及・⾼度化・利活⽤の進展

サイバー空間を取り巻く「リスクの深刻化」► リスクの甚⼤化・拡散・グローバル化

２．基本的な方針(1)目指すべき社会像： 「サイバーセキュリティ立国」の実現
国家の安全保障・危機管理、社会経済の発展、国民の安全・安心確保のため、「世界を率先する」 「強靭で」「活力ある」サイバー空間を構築し、サイバー攻撃等に強く、イノベーションに満ちた、世界に誇れる社会を実現(2)基本的な考え方① 情報の自由な流通の確保② 深刻化するリスクへの新たな対応③ リスクベースによる対応の強化④ 社会的責務を踏まえた行動と共助► 表現の⾃由やプライバシーの保護等が確保され、経済成⻑等を享受► リスクの変化に迅速・的確に対応できる多層的な取組が必要► 動的対応⼒を通じ、リスクの性質を踏まえた対応の強化が必要► 多種多様な主体が各々の役割を発揮し、相互連携・共助が必要(３)各主体の役割► サイバー空間の外交・防衛・犯罪対策、政府機関等における対策強化・対処態勢整備 等①国► 現⾏10分野の取組強化、新たな分野における必要な対策の実施 等② 重要インフラ事業者等（10分野：情報通信、⾦融、航空、鉄道、電⼒、ｶﾞｽ、政府・⾏政ｻｰﾋﾞｽ（地⽅公共団体を含む）、医療、⽔道、物流）► 情報共有等の集団的対策、産学連携による⾼度技術・⼈材の供給 等③ 企業や教育・研究機関④ 一般利用者や中小企業►「他者に迷惑かけない」認識醸成やリテラシー向上など⾃律的取組、情報共有 等⑤ サイバー空間関連事業者► 製品等の脆弱性への対応、インシデント認知・解析、国際競争⼒の強化 等

３．取組分野② 重要インフラ事業者等における対策：政府機関等における対策に準じた取組
例▸ 重要インフラ事業者等とサイバー空間関連事業者との間の、攻撃情報等の情報共有を促進。
▸ GSOCが保有するインシデント情報等を重要インフラ事業者等と共有するための仕組みを整備。
▸ 重要インフラの範囲及び対応の在り⽅等を検討し、対策をとりまとめた新たな「⾏動計画」を策定。

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

3

（参考）重要インフラの定義及び対象
１ 現行の定義等
情報セキュリティ対策における「重要インフラ」は、第２次行動計画において定義。
（１） 重要インフラの定義
他に代替することが著しく困難なサービスを提供する事業が形成する国民生活及び社会経済活動の基盤であり、その機能が停止、低下又は利用不可能な状態に陥った場合に、わが国の国民生活又は社会経済活動に多大なる影響を及ぼすおそれが生じるもの（重要ｲﾝﾌﾗの情報ｾｷｭﾘﾃｨ対策に係る第2次行動計画（平成21年2月3日制定、平成24年4月26日改定） Ⅰ 総論 ２ 定義と対象範囲 より抜粋）（２） 重要インフラ及び重要インフラ事業者の対象（１）を踏まえ、第２次行動計画において、「情報通信」「金融」「航空」「鉄道」「電力」「ガス」「政府・行政サービス（地方公共団体を含む。）」「物流」「水道」及び「医療」の１０分野を防護対象と規定。
対象となる「重要インフラ事業者等」は、上記１０分野に属する事業を営む者のうち、第２次行動計画 別紙１において「対象となる事業者」に指定された者及びこれらの者から構成される団体と規定。
（３） 重要インフラサービス及び重要システム「重要インフラサービス」は、重要インフラ事業者等が提供するサービス及びそのサービスを利用するために必要な一連の手続きのうち、国民生活や社会経済活動に与える影響の度合いを考慮して、特に防護すべきとして重要インフラ分野毎に規定。第
２次行動計画 別紙２において、対象とした分野毎の重要インフラサービスを規定（分野によっては対象としたサービスの代表のみ例示している場合あり）。
「重要システム」とは、重要インフラサービスを提供するために必要な情報システムのうち、重要インフラサービスに与える影響の度合いを考慮して、重要インフラ事業者毎に規定。第２次行動計画 別紙１において対象となる重要システムの例を規定。
（４） 関係主体
重要インフラに係る情報セキュリティ対策に取り組むことを想定している「関係主体」として規定
・内閣官房
・重要インフラ所管省庁（金融庁、総務省、厚生労働省、経済産業省、国土交通省）
・情報セキュリティ関係省庁（警察庁、総務省、経済産業省、防衛省）
・事案対処省庁（警察庁、消防庁、海上保安庁、防衛省）
・関係機関（警察庁サイバーフォース、NICT、AIST、IPA、Telecom-ISAC Japan、JPCERT/CC 等）
・重要インフラ事業者等
・セプター、セプターカウンシル等

4Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

（参考）日米欧における重要インフラの定義と対象分野
日本（１０分野）
防護対象

定義

米（１８分野）英（９分野）

独（１０分野）情報システム

物理的・仮想的なｼｽﾃﾑ・資産

設備、ｼｽﾃﾑ、施設・ﾈｯﾄﾜｰｸ

他に代替することが著しく困難なサービスを提供する事業が形成する国民生活及び社会経済活動の基盤であり、その機能が停止、低下又は利用不可能な状態に陥った場合に、わが国の国民生活又は社会経済活動に多大なる影響を及ぼすおそれが生じるもの

米国にとって非常に重要な物理的または仮想的なｼｽﾃﾑや資産であり、それらの無力化や破壊によりｾｷｭﾘﾃｨ、国家の経済安全保障、国民の公衆衛生や安全、またはそれらの組み合わせを衰えさせるような影響を与えるもの

国家の社会・経済にとって非常に重要な組織構造及び物理構
国家の機能や国内の日常生活造であり、その故障や劣化が持が依存する本質的なｻｰﾋﾞｽの提続的な供給不足、公共の安全や供のために不可欠な設備、ｼｽﾃ
ｾｷｭﾘﾃｨへの障害、またはその他
ﾑ、施設及びﾈｯﾄﾜｰｸの重大な結果をもたらすようなもの

①

①

①

情報通信

通信
情報技術（IT)② 金融② 銀行・金融③ 航空、④鉄道、⑤ 物流③ ④⑤輸送システム⑥ 電力、⑦ガス⑥⑦ エネルギー⑧ 政府・行政サービス（地方 ⑧ 政府施設公共団体を含む。）
⑨ 水道
⑨ 水道
⑩ 医療
⑩ 公衆衛生・医療

組織構造・物理構造

通信

①

② 金融
③ ④⑤輸送⑥⑦エネルギー
⑧ 政府

②
③
⑥⑧⑧
⑨

水道
保健・医療

情報通信技術■金融・保険業□④⑤輸送■
電力供給■
議会・政府機関・公的機
関・法執行機関□⑨ 上下水道■⑩ 公衆衛生・（食糧）□対象分野
緊急サービス
食糧・農業
化学
商業施設
重要製品・材料製造
ダム
軍事武器基盤
国家的記念建造物等
原子力（炉、部材、廃棄物）
郵便配送

緊急サービス食糧

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

緊急・救急ｻｰﾋﾞｽ・災害対応□
メディア・文化的資産□■技術的ｲﾝﾌﾗ、□社会経済ｻｰ
ﾋﾞｽｲﾝﾌﾗ5

安全基準等の整備及び浸透• NISCが「指針」を策定し、必要度の高い情報セキュリティ対策を示す• 重要インフラ分野において「指針」を参考に「安全基準等」（業法、業界標準／ガイドライン、内規等） を策定
各重要インフラは、各分野における安全基準等に従ってシステムを運用「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」
・・・重要インフラ１０分野横断的な情報セキュリティ基準を定めたもの。
「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」対策編
・・・対策の具体例を記載した項目集

指針

分野Ａ

内規 内規 内規 ・・・

見直し 運用（１）指針の継続的改善
要検討事項：全分野共通の対策が望まれる事項
参考事項：進んだ対策として任意で参考とする事項

評価

分野横断的に必要度の高い項目を抽出

分野Ｂ

安
業法
全基
業界標準/
準ガイドライン等

第２次行動計画における取組

安全基準等の整備及び浸透安全基準等の策定の参考として提示

策定

安
業法
全基
業界標準/準ガイドライン
等

分野Ｃ
安
業法
全基
業界標準/
準ガイドライン等

内規 内規 内規 ・・・

内規 内規 内規 ・・・（２）安全基準等の継続的改善
 各分野において安全基準等を見直し、PDCAサイクルを回す（３）安全基準等の浸透
 毎年一定時期に「安全基準等の浸透状況等に関する調査」を実施し、対策状況を客観的に把握※「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針」（20１３年２月２２日改定 情報セキュリティ政策会議決定）※「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定にあたっての指針 対策編」
（20１３年３月２６日改定 重要インフラ専門委員会決定）66

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

重要インフラ分野における情報共有体制
官民の緊密な連携の下、関係主体が情報セキュリティ対策の強化に努め、重要インフラサービスの維持及びＩＴ障害発生時の迅速な復旧等の確保に努める。
事案対処省庁
攻撃がテロによるものだと思われる場合の被災情報等 等情報セキュリティ関係省庁

関係機関
連携要請 等

テロ関連情報 等

各種関連情報復旧手法情報 等

攻撃手法情報 等
各種関連情報復旧手法情報 等

内閣官房 情報セキュリティセンター
犯罪被害等の通報※重要インフラ事業者等の自主的判断に基づくもの

共通脅威分析
障害・攻撃情報 等

各種関連情報復旧手法情報 等

早期警戒情報 等

重要インフラ所管省庁(5省庁)（総務省,経産省､金融庁､国交省､厚労省）

重要インフラ分野
セプターカウンシル（事業者間の情報共有組織）

等

セプター
CEPTOAR (Capability for Engineering of Protection,
Technical Operation, Analysis and Response)

障害・攻撃情報 等

各分野のIT障害等に関する情報共有・分析機能。
代表は主に業界団体が務める。

障害・攻撃情報
各種関連情報復旧手法情報 等

セプター１

各種関連情報復旧手法情報セプターＸ（各分野の業界団体）

セプター２（主な活動）
・政府等関係機関から提供される情報の事業者等への提供・関係者間の情報共有

障害・攻撃情報 等

A社

B社

C社

D社

E社

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

・各事業者等のサービスの維持・復
旧能力の向上に資する活動77

セプター及びセプターカウンシル
セプター（ＣＥＰＴＯＡＲ：Capability for Engineering of Protection, Technical Operation, Analysis and Response）
各重要インフラ分野におけるIT障害に関して、情報共有体制を強化するための「情報共有・分析機能」。
IT障害の未然防止、発生時の被害拡大防止・迅速な復旧および再発防止のため、政府等から提供される情報について、適切に重要インフラ事業者等に提供し、関係者間で情報を共有する。これによって、各重要インフラ事業者等のサービスの維持・復旧能力の向上に資する活動を目指す。

重要インフラの情報セキュリティ対策の向上を図るため、分野横断的な情報共有の推進を目的として、２００９年２月に創設。
重要インフラ事業者の自主的な活動として、政府機関から独立した会議体であり、１２分野（セプター）で構成 （ＮＩＳＣは事務局として活動を支援）

セプターカウンシル総会オブザーバ

セプター（鉄道分野）

セプター（医療分野）

セプターのイメージ

総会事務局

Ｂ社

Ａ社

（NISC）

幹事会（一社） 日本経済団体連合会

Ｃ社

日本銀行
Ｄ社

Ｅ社

Ｆ社
（公財） 金融情報システムセンター

ＷＧ

ＷＧ

重要インフラ事業者等

ＷＧ（株） ゆうちょ銀行
セプター（情報通信分野：通信）

セプター（情報通信分野：ｹｰﾌﾞﾙﾃﾚﾋﾞ）

セプター（情報通信分野：放送）

セプター（金融分野：銀行）

セプター（金融分野：証券）

セプター（金融分野：生命保険）

セプター（金融分野：損害保険）

セプター（航空分野）

セプター（電力分野）

セプター（ガス分野）

セプター（政府・行政サービス分野）

セプター（水道分野）

セプター（物流分野）（カウンシルの活動内容）••••（独） 情報通信研究機構（NICT)（独） 情報処理推進機構（IPA)（一社） ＪＰＣＥＲＴ コーディネーションセンター

金融庁

総務省

厚生労働省

経済産業省

国土交通省

順不同

順不同

情報セキュリティ対策に係る政府・関係機関の動向や取組み紹介
セプター・事業者間における情報共有プロジェクトの推進重要インフラ事業者間の現場見学及び意見交換
災害発生時における異業種間の互助活動
等

88

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

重要インフラ セプター一覧表(10分野、15セプター)
2013年3月末日現在
重要イン
フラ分野
事業の範囲

情報通信
電気通信

金融
放送

銀行等

証券

生命保険

損害保険

航空

鉄道

電力

ガス

政府・行政サービス

航空

鉄道

電力

ガス

地方公共団体医療

水道

物流

航空分野における
CEPTOAR

鉄道
CEPTAOR電力
CEPTOARGAS
CEPTOAR

自治体
CEPTOAR

医療
CEPTOAR

水道
CEPTOAR物流
CEPTOAR

電気事業連合 一般社団法人
日本ガス協会会
保安技術グル
情報通信部
ープ

財団法人
地方自治情報センター
自治体セキュ
リティ支援室

医療

水道

物流

金融CEPTOAR連絡協議会
名称事務局

T-CEPTOAR

ケーブルテレビ

CEPTOAR証券
CEPTOAR

生命保険
CEPTOAR

一般財団法人 一般社団法人 一般社団法人 一般社団法人 日本証券業
日本データ通 日本ケーブル 日本民間放送 全国銀行協会 協会
テレビ連盟
連盟
事務システム ＩＴ管理部
信協会 テレ部
コム・アイザック推進会議

社団法人
生命保険協会
総務部コンプ
ライアンス統括グループ

27社・団体246社(固定系のﾈｯﾄﾜｰｸｲﾝﾌﾗを設置する電気通信事業者、ｱｸｾｽ系の電気通信事業者、ISP事業者、携帯電話事業者等）(一般社団法人日本ケーブ
ルテレビ連盟の正会員ケー
ブルテレビ事業者）

緊急窓口

2007年4月より運用開始

2012年12月より運用開始情報の取扱いルール

2007年
1月制定

2012年
11月制定

構成員
（内訳）

放送
CEPTOAR194社・団体（日本放送協会、地上系民間基幹放送事業者、一般社団法人日本民間放送連盟）

銀行等
CEPTOAR

1,561社

253社
8機関

43社

損害保険
CEPTOAR

一般社団法人 国土交通省
日本損害保険
航空局協会
安全企画課
業務企画部共同システム開
発室

国土交通省

2グループ
3機関

22社1団体1機関

29社（含むｵﾌﾞｻﾞｰﾊﾞｰ3社）（銀行、信用金 （証券会社、取 （社団法人生 （情報システム （航空運送事庫、信用組合 引所等証券関 命保険協会の 委員会参加会 業者、定期航定款に定める 社）、労金、商工 係機関）
空協会及び官
中金、農協等）
社員および特庁（航空局・気別会員）
象庁））

鉄道局
危機管理室

（鉄道事業者22社、1団体及び官庁（鉄道局））

12社2機関10社

47都道府県1,742市区町
村（一般電気事 （主要な一般業者、日本原 都市ガス事業
電(株)、電源 者１０社）
開発(株)、電気事業連合会、電力中央研究所）

2007年4月より運用開始
2007年
3月制定

2007年
3月制定

2007年
3月制定

2007年
3月制定

2007年
3月制定

2007年
3月制定

厚生労働省
一般社団法人
社団法人
医政局研究開日本物流団体日本水道協会
連合会
発振興課医療技術情報推進 総務部総務課
室

1グループ
2機関

８水道事業体16社6団体(会員水道事（医療機関、日 業体のうち会 （物流事業者）
本医師会（情 長都市並びに報共有機能）、 地方支部長都市）
保健医療福祉
情報システム [補足]
工業会（情報 障害の内容に分析機能））よって、構成員を通じ、全国の日本水道協会の会員水道事業体(1,350事業体)への情報を提供。

2008年4月より運用開始
2007年
3月制定

2006年
9月制定

2007年
3月制定

2007年
3月制定

2008年
3月制定

2008年
3月制定

2008年
3月制定

障害事例情報 障害事例情報 障害事例情報 障害事例情報 障害事例情報 障害事例情報 障害事例情報 障害事例情報 障害事例情報 脆弱性に関す 障害事例情報 障害事例情報 障害事例情報 障害事例情報 障害事例情報
等
等
等
等
等
等
等
等
等
等
等
等
等
等る情報等
情報と連絡手段

メール、電話、 メール、電話
ＦＡＸ

メール、電話、 メール、電話、 メール、電話、 メール、電話
ＦＡＸ、WEBＷＥＢＦＡＸ、ＷＥＢ

メール、電話メール、電話メール、電話メール、電話、 メール、電話、 メール、電話、 メール、電話、 メール、電話
メール、電話、 携帯電話、ＦＡ WEB
携帯電話、衛 携帯電話、衛携帯電話、ＦＡ Ｘ
星電話、ＦＡＸ 星電話、ＦＡＸ
Ｘ、電子会議室、ＴＶ会議、会議体（注） 本マップは、各セプターの自主的な整備状況を把握し、マップとして取り纏めたもの。
Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

99

分野横断的演習［目的］
大規模なＩＴ障害の要因となり得る事態に際し、重要インフラ各分野が的確に情報共有・連携し、ＩＴ障害の未然防止やＩＴ障害に係る被害の最小化・早期復旧に関する検証を行なうことを目的とし、内閣官房情報セキュリティセンターの施策として、２００６年度より継続実施（計7回）。
［参加機関］ ４２組織１４８名（平成２４年度実績）
重要インフラ事業者等： １０分野（情報通信､金融､航空､鉄道､電力､ガス､政府･行政サービス､医療､水道､物流）
セプター ： １０分野の１５セプター
政府： 重要インフラ所管省庁（金融庁､総務省､厚労省､経産省､国交省）及び内閣官房情報ｾｷｭﾘﾃｨｾﾝﾀｰ（ＮＩＳＣ）
重要インフラ［生保］ ［損保］ ［銀行］ ［証券］

金融情報連絡・提供

水道

物流

重要インフラ１０分野
１５セプター（情報共有・連携対処）

鉄道

情報連絡・提供

航空

政府・行政サービス

電力

ガス ［通信］［ｹｰﾌﾞﾙﾃﾚﾋﾞ］ ［放送］情報通信所管省庁■金融庁■総務省■厚生労働省■経済産業省■国土交通省

ＮＩＳＣ

医療1010

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

分野横断的演習 ～過去の実施実績～
第２次行動計画（２００９～２０１３年度）

第１次行動計画（２００６～２００８年度）【目標】重要インフラ事業者におけるＢＣＰ等の実効性の確認・問題点抽出【目標】 官民連携の充実①分野横断的な脅威に対する共通認識の醸成＜2006年度＞
官民連携の仕組みづくり

脅威として災害を設定し、会議形式の演習を実施。

＜2007年度＞

機能演習

官民連携体制の実効性向上
機能演習
参加者にIT障害の発生原因を知らせない等
より現実に近い状況で、起こった現象に関する関係者間の情報共有により原因を特定し、サービスの維持・早期復旧や事業継続等を行っていく演習を実施。

み＜2008年度＞

２０１０年度

２０１１年度

２０１２年度

２０１３年度

広域停電

大規模
通信障害

重要インフラ
複合障害

重要インフラ
複合障害＋便乗型
ＩＴインシデント

情報セキュリティ
インシデント

① シナリオ、実施方法、検証課題等を企画

組

脅威としてDDoS攻撃を設定し、チーム毎に個室に分かれ、メールのみを利用した演習を実施。

２００９年度取官民連携体制の機能向上③官民の情報共有をより効果的に運用するための方策

テーマ

机上演習

演習実施概念、演習課題設定、演習手法の理解等を主眼として実施。

②他分野の対応状況把握による自分野の対応力強化

年度

研究的演習

分野横断的な演
習
手法に関す
る
知見

② 早期復旧手順・事業継続計画等の検証、共有③ 演習の実施方法等に関する知見の集約・蓄積④ 自職場演習の導入⑤ サブシナリオの導入⑥ 重要インフラ分野、事業者間の連携推進⑦ 第三者による助言の導入

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

⑦ 第三者による助言の充実

11

共通脅威分析
重要インフラ分野に共通に起こりうる脅威の把握と分析を実施。
あわせて、相互依存性解析（ある重要インフラ分野にIT 障害が生じた場合に他のどの重要インフラ分野に影響が波及するか）についても継続的に取り組み。
＜共通脅威分析結果の活⽤＞■ ＩＴ障害発生要因○サイバー攻撃をはじめとする意図的要因○非意図的要因（機器故障）○災害や疾病（大規模な地震）○他分野の障害からの波及

安全基準等の整備に活⽤

共通脅威分析

安全基準等の整備等①相互依存性解析②共通脅威分析

分野横断的演習
シナリオ策定等に
活⽤■ IT障害の定義「 ＩＴ障害 」＝「 重要システムの機能不全によるサービスの停止・低下等 」

ここで、「 重要システム 」＝ 「 重要インフラの基幹をなす重要な情報システム 」

演習実施による、サービス維持復旧のための連携の検証等

環境変化への対応

重要インフラ（１０分野）のＷＧ、検討会
リスクコミュニケーションの充実に
活⽤※ 「重要インフラの情報セキュリティ対策に係る第２次行動計画改訂版」 別紙１の対象となる重要インフラと重要システムを参照●情報通信 ●ガス
●金融
●政府・行政サービス（含・地方公共団体）
●航空
●医療
●鉄道
●水道
●電力
●物流

共通脅威(相互依存性解析を含む)の検討と分野横断的演習は、同じWG、検討会で実施してきている。
分野委員以外に、所管省庁、関係機関(IPA,JPCERT)、有識者が参加。

12
12

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

共通脅威分析 ～過去の実施実績～
Phase1 第１次行動計画（2006～2008年度）
相互依存性解析Phase2 第２次行動計画（2009～2013年度）
共通脅威分析
国民を守る情報ｾｷｭﾘﾃｨ戦略※ 相互依存性解析を含む（2010～2013年度）

Step1

Step2

Step3

Step1

Step2

Step3

Step4

Step5

2006年度

2007年度

2008年度

2009年度

2010年度

2011年度

2012年度

2013年度① 静的相互依存性解析① 静的相互依存性解析の総括② 動的相互依存性解析① データ送受信に係る相互依存性解析② 研究動向・IT障害事例調査③ 共通脅威分析に係る検討①共通脅威の抽出②脅威の分類①共通脅威の定義②テーマを選定して調査・分析①テーマを選定して調査・分析①テーマを選定して調査・分析①環境変化調査からの新たな脅威候補の絞り込み

・クラウドの範囲
・導入に際しての脅威と対応方策・導入の可能性と形態について
・諸外国との比較

重要システムの堅ろう性について分析

重要インフラ分野における同時多発型IT障害時の復旧対応についての分析

次期行動計画に向けての環境変化調査重要システムが他の重要システ
ムにどのように依存しているか

IT障害時において時間経過とともに分野間の関係がどのように変化するかある重要インフ
ラ分野にIT障害が生じた場合に他のどの重要インフラ分野に影響が波及するか

1) 外部からの脅威
2) システム自体が抱える脅威
3) 運用・管理体制における脅威4) システムを取り巻く技術環境における脅威5) 社会・制度における脅威

重要インフラ分
野共通に起こりうる脅威は何か
環境変化調査と共同で実施

重要インフラ分
野におけるクラウドコンピューティン
グ利活用の現状と将来は制御システムを含む国内外のインシデント事例や研究動向等に着目して分析・評価する

外部依存性として特に特定のIT技術・構成要素、及びITベンダに着目して分析・評価する

気付きからテーマに反映★相互依存性の再調査

短期的環境変化・クラウド・スマートフォン/タブレット・BYOD
・リモートメンテ
長期的環境変化・ビッグデータ・M2M・スマートコミュニティー
環境変化調査と共同で実施相互依存性の再確認調査
新たな脅威候補の再調査・絞り込み

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

13
13

環境変化への対応• 広報公聴活動
⾏動計画そのものや計画に基づく各主体の取組みを広く公開・公表するとともにセミナー等による施策紹介の際に意⾒を聴取。

• リスクコミュニケーションの充実
重要インフラの情報セキュリティを取り巻く社会環境や技術環境に伴い発⽣する新たな脅威やリスクを調査。
セプターカウンシルの情報共有体制や共通脅威分析の検討会体制を通じてリスクコミュニケーション（リスクに関する関係者間の共有認識のためのコミュニケーション）を実施 ⇒ リスクに関する共通理解の促進、有事の際の対策の向上等が期待• 国際連携活動の推進
国際会合や他国機関等との対話を通じて最新動向の把握及び情報共有を実施＜2013年度の環境変化調査の候補＞●設備等の実態調査
1) クラウドサービスの利用状況、及び情報セキュリティ対策
2) 情報セキュリティ人材の育成の現状
3) スマートフォン・タブレット端末における利用動向、及び情報セキュリティ
4) SOHO、在宅勤務等の利用動向、及び情報セキュリティ
5) 重要インフラシステムのリモートメンテナンス利用率について●環境変化の調査
1) データセンターの利用動向、今後利用にあたって求められる要件等
2) 今後のIT環境の変化に伴い必要となる人材育成
3) 今後、BYODやSOHO、在宅勤務等の普及に伴って必要となる情報セキュリティ
4) 重要インフラシステムに関連する技術動向（ネットワークの仮想化、スマートグリッド）
5) その他、重要インフラに影響を与える可能性のあるインフラの動向（ITS、電子政府・電子自治体、マイナンバー等）
6) 今後、求められる制御システムにおける情報セキュリティ対策

・２０１３年度の候補を精査した結果、４つの調査対象を抽出
・更に、⻑いスパンで将来を予⾒すべきテーマについても取り組むこととし、新たなIT技術⾰新の中から３つの調査対象を抽出

クラウド ／ スマートフォン・タブレット端末 ／ ＢＹＯＤ ／ リモートメンテナンス
Ｍ２Ｍ ／ ビッグデータ ／ スマートコミュニティー

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

14
14

次期行動計画策定に当たっての基本理念
基本的な方針戦略① 情報の自由な流通の確保
第２次② 深刻化するリスクへの新たな対応 行動計画
③ リスクベースによる対応の強化④ 社会的責務を踏まえた行動と共助

一義的には重要インフラ事業者等が自らの責任において実施○第２次行動計画の基本的な方針を継続（一義的には事業者自らの責任で実施）
・重要インフラ事業者等

事業主体として、また社会的責任を負う立場としてそれぞれに対策を講じ、また継続的な改善に取り組む。
・政府機関（ＮＩＳＣ、重要インフラ所管省庁等）
重要インフラ事業者等の情報セキュリティ対策に関する取組みに対して必要な支援を行う
・取組方針
事業者等の単独のものだけでなく、分野内の他事業者や他分野の事業者等のものとの連携をも充実させる。
(個々の重要インフラ事業者等が単独で取り組む情報セキュリティ対策のみでは、多様な脅威への対応が万全であることを確認することは困難)

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

15

考慮すべき課題と解決に当たっての方向性
課題

方向性

論点
防護体制の成熟度の高まり

重要インフラ事業者等における理解等のばらつき「一義的に自らの責任で実施」の実行・意識が不十分

事業者等の自律性を促進しつつ、どこまでばらつきを減らすのか一定の体制・方策を構築

年々深刻化する脅威に対す
る適切・迅速な体制・方策が不十分（官民双方に）どのような体制・方策が更に必要になるのか

・現実を見据えた実現可能な対策の推奨・経営層に対する一層の関与の訴求
・参照すべき規程類の体系化、明確化
・環境変化に対応する広報・公聴活動の一層の充実

・防護対象と脅威の明確化
・普遍的な対策・環境変化に伴う対策の分類
・（踏み台等で）不十分な対策による責任が生じ得ることの自覚の訴求・リスクマネジメントの重要性の訴求

平時とは異なる形で体制を構築（実際に）大規模障害が生じた際の対処方法・体制の整理が不十分

共有・連絡すべき情報を整理し、各主体における対応を予め定めた連携体制が必要ではないか

・事業者等にとっても特別な事態と認知できるメカニズムの構築
・平常時の体制との変更点（追加等）を可能な限り明確化（平常時と異なる体制は非現実的）16

16

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

次期行動計画策定に向けた方向性と今後の検討課題
第２次行動計画

次期行動計画における方向性（案）

要検討点（重要インフラの範囲の見直し）

・現在、重要インフラではないが、現行１０分野と同等にその機能障害が国民生活及び社会経済活動に多大な影響を及ぼす分野におけるシステム、サービスについての位置付けを踏まえた範囲の見直し等

・候補分野の絞り込みと参加・システムベンダー、セキュリティベンダー等のサイバー空間関連事業者の関係主体への追加の是非①安全基準等の整備及び浸透

第２次行動計画を基本的に踏襲。
防護力向上に向け、セキュリティ対策の段階的導入
等実情に即した成長モデルの提示。

・安全基準等の浸透状況の調査結果を指針・対策編に反映するプロセスを明示
・指針による成長モデル等の訴求・対策の実情の調査②情報共有体制の強化

第２次行動計画を基本的に踏襲。
（範囲見直しに基づく分野・省庁の追加、リスク関係情報の共有の促進）
大規模障害発生時、平時の情報連絡・提供体制を活用しつつ、政府全体の対処態勢との連動体制を整備

・情報共有体制の全体像「別紙４」における各主体の位置付けの見直し及び各主体間の関係の再整理
・他分野への波及防止、事例の集積による傾向の分
析等に資する情報共有の在り方（脅威の類型等）の見直し
・平時の対応を念頭に置いた事案対処体制の明確化③共通脅威分析⑤の一部と統合して、「リスクマネジメント（仮称）」として整理。

・（リスク、脅威等の用語を再定義した上で）求められるリスク調査・分析の種類及びその結果の反映方策の明確化④分野横断的演習

重要インフラ所管省庁の演習・訓練の全容を把握した上で、 「障害対応体制の強化」として、分野横断的演習とセプター訓練を位置付け横断的演習の成果の普及・浸透・重要インフラ所管省庁の演習・訓練の全容の把握と連携のあり方の整理⑤環境変化への対応

環境変化調査やリスクコミュニケーションについては、 ・（この施策群に含まれる）広報公聴活動、国際連携③と統合。の推進を含む施策の在り方の整理
広報公聴活動、国際連携については、「防護基盤の・情報セキュリティ対策に資する標準・規格の参照の強化」として整理。
在り方の整理Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

1717

次期行動計画で想定される施策群の全体像
官民連携による重要インフラ防護の推進
重要インフラにおけるＩＴ障害が国民生活、社会活動に重大な影響を及ぼさないことを目指す①予防的な対策と再発防止対策の両側から対処（具体的には、安全基準の整備、情報共有体制の強化など。）②重要インフラ事業者等における情報セキュリティ対策の浸透状況や急速な技術進展等を踏まえたＰＤＣＡの促進

重要インフラ（１０分野）
●情報通信
●金融
●航空
●鉄道
●電力●ガス●政府・行政サービス（含・地方公共団体）●医療●水道●物流

重要インフラ所管省庁（５省庁）

現在重要インフラと位置付けられていないが影響が既存10分
野と同等程度ある（近い将来可能性が生じ得る）もの

ＮＩＳＣによる調整・連携●金融庁 [金融分野]●総務省 [情報通信分野、行政分野]●厚生労働省 [医療分野、水道分野]●国土交通省 [航空分野、鉄道分野、物流分野]●経済産業省 [電力分野、ガス分野]

関係機関等●情報セキュリティ関係省庁●事案対処省庁●その他関係機関（サイバー空間関連事業者を含む）

サイバーセキュリティ戦略（次期重要インフラ行動計画：現時点（未定稿））
安全基準等の整備・浸透

情報共有体制の強化

障害対応体制の強化

ﾘｽｸﾏﾈｼﾞﾒﾝﾄ

防護基盤の強化

重要インフラ各分野に横断的な対策「指針」の策定とそれに基づく、「安全基準」等の整備・浸透の促進

障害・攻撃に関する情報の共有による、官民の関係者全体での対応の促進

ｲﾝｼﾃﾞﾝﾄ発生時の官民の対応・連絡体制整備の促進と演習等の充実による対応能力の向上

社会経済・技術の変革等に伴い生じる変化の抽出と重要イ
ンフラに与える影響の分析を通じたリスクの管理

国際連携、広報報公聴、参照すべき規格・標準の調査、関係規程類の整備等の防護基盤の強化

Copyright (c) 2013 National Information Security Center (NISC). All Rights Reserved.

1818