サイバーセキュリティ戦略本部
第 32 回会合

１

重要インフラ専門調査会
議事概要

日時
令和５年３月 22 日（水）16 時 00 分～18 時 00 分

２

場所
Web 会議３

出席者（五十音順・敬称略）
（委員）
伊勢勝巳

東日本旅客鉄道株式会社 代表取締役副社長 イノベーション戦略本部長

大杉謙一

中央大学

小松文子

長崎県立大学

情報システム学部

佐々木秀明

電気事業連合会

理事・事務局長

神保謙

慶應義塾大学高橋正和

株式会社 Preferred Networks

武田雅哉

青森県

長島公之

公益社団法人日本医師会

大学院法務研究科

総合政策学部

教授
教授

教授
執行役員

最高セキュリティ責任者

ＩＴ専門監

教養学部

常任理事

奈良由美子

放送大学教授野口和彦

横浜国立大学前川

篤

株式会社シグマクシス シニアフェロー、大阪大学 招聘教授、京都大学 特任教授

松本勉

横浜国立大学

大学院環境情報研究院

渡辺研司

名古屋工業大学

大学院工学研究科

客員教授

（事務局）
髙橋憲一

内閣サイバーセキュリティセンター長

𠮷𠮷川徹志

内閣審議官

内藤茂雄

内閣審議官

上村昌博

内閣審議官

小柳誠二

内閣審議官

中溝和孝

内閣参事官

紺野博行

内閣参事官

中越一彰

内閣参事官

松本崇

中尾康二

企画官
サイバーセキュリティ参与

1教授
社会工学専攻教授

（オブザーバー）
内閣官房（事態室）
警察庁サイバー警察局サイバー企画課
金融庁総合政策局リスク分析総括課
デジタル庁戦略・企画グループ
総務省サイバーセキュリティ統括官室
総務省自治行政局デジタル基盤推進室
厚生労働省政策統括官付サイバーセキュリティ担当参事官室
経済産業省商務情報政策局サイバーセキュリティ課
原子力規制庁長官官房サイバーセキュリティ対策チーム
国土交通省総合政策局情報政策課サイバーセキュリティ対策室
防衛省整備計画局情報通信課 AI・サイバーセキュリティ推進室

４

議事概要
（１）開会
渡辺会長から開会に際しての挨拶が行われた。

（２）報告事項「重要インフラを取り巻く情勢」及び「分野横断的演習の実施結果」について、資料２、３に基づき、事務局から報告が行われた。「関係省庁の取組状況」について、資料４に基づき、金融庁、総務省、厚生労働省、経済産業省及び国土交通省から報告が行われた。
（本議題に関する主なやりとりは次のとおり。）（奈良委員）○ 分野横断的演習を通じて参加者が洗い出した課題に対する事後改善の取組状
況及び政府によるフォローアップについて伺いたい。
（紺野参事官）○ 毎年度、NISCから演習参加者に対してフォローアップ調査を行い、各事業者の改善状況について把握している。
（奈良委員）○ 課題や改善状況を包括的に扱えるよう、次年度以降の演習内容の設定に生かしていただきたい。

（武田委員）

2

○ TikTokの使用に関して欧米で動きがあるが、日本としての考え方は如何。
○ クレジット分野のセキュリティ対策における経済産業省と金融庁の連携状況について教えていただきたい。
（松本企画官）○ 日本の政府機関においては、「政府機関等のサイバーセキュリティのための統一基準群」に基づき、機密情報の取扱いに際してTikTokをはじめとしたSNS等の外部サービスは使用不可となっている。機密情報以外の情報に関しても各省庁がNISCの助言を得ながらリスクを踏まえて必要な措置を講じている。
（経済産業省）○ 割賦販売法に基づく事業としてクレジット分野は経済産業省が管轄しているが、金融庁もクレジットカード決済システムのセキュリティ対策強化検討会やDMARC周知活動等を通じて連携している。
（武田委員）○ 現状、TikTokの使用は各省庁等の判断に止まるかたちで米国のような禁止措置には至っていない。政府としてより強い意思表示を期待したい。

（野口委員）○ 各種訓練について、訓練自体の評価、被訓練者の評価、改善策の評価を実施する必要がある。中でも改善策の有効性に関する評価は重要であるが、多くの訓練で徹底されない傾向にある。この点について見解を求めたい。
（紺野参事官）○ 分野横断的演習では、事後改善として各事業者が演習当日に抽出した課題の改善に取り組んでいる。NISCとしてもフォローアップ調査等を通じて各事業者における改善策の実施状況や有効性把握に努めてまいりたい。

（伊勢委員）○ 交通ISACにおける対応演習を通じて、平時から情報を共有し問題意識を高めておくことの重要性を認識しているところ。実事案においても政府から情報提供いただいているところではあるが、政府による脅威警戒情報の迅速な提供をお願いしたい。
（松本企画官）○ 入手した情報については、可及的速やかに情報提供しているところではあるが、更に早い段階で予兆が掴めるようなことがあれば対応してまいりたい。
（𠮷𠮷川審議官）○ 既発生事案の分析による攻撃の特徴や防護策に関する情報も提供しており、事前の心構えに役立てていただきたい。

3

（中尾参与）○ 米国においては、攻撃の初期挙動を如何に把握するかという着眼点で官民連携を推進しており、有用な対策であると考える。
○ 米国サイバーセキュリティ戦略に関連して、昨年から議論が続いているNIST
CSF2.0の改定について、今年2月に開催されたワークショップ動向を情報提供したい。現行ではIdentify、Protect、Detect、Response、Recoverをコアとしているところ、新たにGovernanceというファンクションを追加する見込み。
また、サプライチェーンを考慮したフレームワークにし、フレームワークの活 用 程 度 に 関 す る Measurementや Assessmentを 充 実 さ せ る よ う な 方 向 性 で 検討している模様。

（３）討議事項「安全基準等策定指針・手引書（改定原案）」について、資料５に基づき事務局から説明が行われ、討議がなされた。
（本議題に関する主なやりとりは以下のとおり。）（野口委員）○ リスクマネジメント等手引書について、任務保証を前提としたリスクマネジメントの手引書として改善すべき点が見受けられる。改定原案の内容は、主にサイバーセキュリティ部門の視点に限定されており、手引書のスコープに関する説明等の補足が必要。
（紺野参事官）○ 改定スケジュールを含め検討したい。

（大杉委員）○ 安全基準等策定指針3.4の「経営層の責任においてサイバーセキュリティに関する責任者を任命する」における経営層について、もしあれば、取締役会や理事会等も含まれることを示すべき。3.5に関しても同様。
○ 指針の注釈８について、取締役会による重要な使用人の選任に関する会社法の記載を挿入するよう検討されたい。
（紺野参事官）○ 各事業者の実態も考慮しつつ修正を検討したい。

（前川委員）○ 経営層には執行役員及び取締役が含まれると捉えているが、解釈について整4

理すべき。
○ 指針・手引書の公表後、どのようなスケジュール、プロセスで事業者の経営層等まで伝わるのか確認したい。
（紺野参事官）○ 一点目については、大杉委員の御意見と併せて検討したい。二点目については、各分野の所管省庁や業界団体によるガイドラインの策定時において参照されることで、経営層等に伝わるものと考えている。
（前川委員）○ 事業者の自主努力に頼らぬよう、政府として踏み込んだ周知活動をお願いしたい。

（長島委員）○ 指針・手引書の各分野における活用にあたり、分野毎に定められたガイドライン等との整合性や使い分けについて示していただきたい。
（紺野参事官）○ 指針は各分野のガイドライン等策定時に参照されることを目的として分野共通の対策を示したものであるため、各事業者におかれては分野毎のガイドライン等を参照されたい。
（厚生労働省）○ NISCの説明のとおり、厚生労働省のガイドラインは指針を参考に策定している。

（高橋委員）○ 大杉委員の御指摘について、経営層には経営と業務執行という異なる機能があると思うが、指針3.4における経営層は会社経営を担う者という理解でよいか。
（紺野参事官）○ 御認識のとおり。
（高橋委員）○ 経営層という言葉の定義が難しいと感じている。経営と業務執行が明確に分離されにくい実情も考慮すると案の書きぶりになるかと思うが、読み手に分かり易いよう整理いただきたい。
（野口委員）○ 指針・手引書の読者である多様な組織が自分事として読み取れるよう、経営層について用語定義を設けるとよい。
（大杉委員）

5

○ 日本の会社法においては、取締役会の機能を経営と業務執行どちらとも指定していない。
（前川委員）○ 指針全体をとおして経営層を取締役会に限定してしまうのは不適切。まず業務執行側が組織方針の策定やコミュニケーション等を行い、取締役会においてモニタリング、サポートをするのが一般的である。

（４）閉会
髙橋センター長から閉会に際しての挨拶が行われた。
次回の専門調査会の開催予定について、事務局から連絡があった。

以上

6