サイバーセキュリティ戦略本部 重要インフラ専門調査会
第２回会合 議事概要
１２３

日時
平成27年７月17日(金)場所
中央合同庁舎７号館

14：00〜16：00

13階

共用第一特別会議室

出席者（敬称略）
有村 浩一 委員 （一般社団法人ＪＰＣＥＲＴコーディネーションセンター）
石川 広己 委員 （公益社団法人日本医師会）
稲垣 隆一 委員 （稲垣隆一法律事務所 弁護士）
大高 利夫 委員 （神奈川県藤沢市）
大平 充洋 委員 （一般社団法人日本クレジット協会）
菊池 篤郎 委員 （明治安田生命保険相互会社）
神保謙 委員 （慶應義塾大学）
鈴木 栄一 委員 （一般社団法人日本損害保険協会）
高橋 泰宏 委員 （石油連盟）
竹原達 委員 （電気事業連合会）
千葉 邦史 委員 （株式会社三菱東京ＵＦＪ銀行）
野口 和彦 委員 （横浜国立大学）
橋本 伊知郎委員 （野村ホールディングス株式会社）
平田 真一 委員 （日本電信電話株式会社）細川
猛 委員 （石油化学工業協会）
増子 明洋 委員 （日本放送協会）
松田 栄之 委員 （ＮＴＴデータ先端技術株式会社）
若林 武夫 委員 （公益社団法人日本水道協会）
和田 昭弘 委員 （全日本空輸株式会社）
渡辺 研司 委員（会長） （名古屋工業大学）
（事務局）
髙見澤將林
藤山 雄治
谷脇 康彦
本間 祐次
柳原 拓治

内閣サイバーセキュリティセンター長
内閣審議官
内閣審議官
内閣参事官
内閣参事官

（オブザーバー）
金融庁総務企画局政策課
総務省情報流通行政局情報セキュリティ対策室
総務省地域力創造グループ地域情報政策室
厚生労働省医政局研究開発振興課医療技術情報推進室
経済産業省商務情報政策局情報セキュリティ政策室

1

国土交通省総合政策局情報政策課
防衛省運用企画局情報通信・研究課サイバー対処・情報保証企画室
内閣府防災・災害緊急事態対処
外務省大臣官房情報通信課
４ 議事概要(1) 開会（挨拶）渡辺会長から挨拶。
○（渡辺会長）第１回の専門調査会を本年３月に開催し、今回は第２回目。その間、サイバー空間における脅威はますます深刻化しており、事案も急激に増えている。
先月初旬に公表された日本年金機構における個人情報流出事案は、125万件以上ということで、政府機関としても過去に例を見ない大規模なもの。実際に起こっている事案のほか、まだ発覚していないものも含めると、潜在的に我が国全体にこのような事案が既に相当数存在しているかと思われる。
このような状況において、我が国の重要インフラのサイバーセキュリティに関する調査・検討の場として、事業者、所管官庁、有識者の方々が集まるこの専門調査会の重要性はますます高まると認識している。
本日の会合は、最初に、重要インフラの情報セキュリティ対策に係る第３次行動計画の2014年度の進捗報告の確認・検証について審議を行うこととしている。また、その後の討議事項としては、むしろ第３次行動計画に捉われずに、重要インフラの更なるセキュリティ強化のためにどのような方策が考え得るのかということを議論することとしている。
本専門調査会での審議・検討が我が国全体の重要インフラ防護において大変重要な役割を担っているということを改めて認識した上で、闊達な議論をお願いしたい。
(2)

決定事項
【第３次行動計画の進捗状況・評価について】事務局から、資料２に沿って説明。質疑応答は次のとおり。
○（大高委員）自治体分野について、資料2-2の「安全基準等の継続的改善状況」の最新改定年月の部分で、３月に改訂版が出ているため、2014年度の報告ということであれば踏まえてほしい。
その他特段の異議なく、指摘箇所を修正した上で「重要インフラの情報セキュリティ対策に係る第３次行動計画の進捗状況等」について了解された。

(3)

報告事項
【分野横断的演習について】事務局から、資料３に沿って説明。質疑応答は次のとおり。
○（渡辺会長）演習については検討会の副座長として参加しているが、期待感は高まっており、他の演習・訓練との有機的なつながりや、演習の効果測定などについて関係者の皆様に引き続き協力願う。
○（野口委員）通常の教育、演習、訓練は、去年は何をやったとか、今年は何をやったという報告になりがちだが、実際の安全レベルの向上には、何をチェックしていないか、何を行っていないかということを把握しておくことが非常に重要。そして、その把握は難しいため、本来やるべきことが最初にきちんと把握されているかどう2

かということである。それを今年の演習でどこまでカバーして、カバーしていない部分をどのようなスケジュールで今後詰めていくかという、中長期的な計画で演習を議論しないといけない。PCDAと言っても、単に毎年実施して、昨年に問題だとわかったことを今年は工夫しますという格好になると、気付かなかったことや、最初から目を付けなかったことは、何も強化されていないことになってしまう。
そうした意味では、IT社会で最先端のことをやらなければいけないということもあり、様々な分野で実施されていることをサーベイして、他の分野より一歩先に出るような演習計画を期待する。
○（柳原内閣参事官）演習の検討会の委員からも、同様の御指摘を頂戴しており、求められるレベルは高いが、そうした方向で取り組むことについて意欲的に考えている。
○（稲垣委員）CSSCの監事として、制御系のセキュリティ演習を見学した経験として、個社ごとはもっと高度なことも行っているが、他業種あるいは関連業種と一堂に会して情報交換ができたことが非常に有益であったという意見が見られる。これは、逆に言うと、そうした情報交換が難しい状況にあるということを示している。
実はこの課題は、分野横断的演習の課題でもあり、資料３の１ページ目のNISCの他施策との相互連携を図っていくという、ここが一番大事なことだと思うが、ここにどのように演習の成果を結びつけるかというときに、どういう資料をインプットするのかという課題がある。演習の規模も拡大し、今後も拡大していくと思うので、今後、参加者の側が抱えている、あるいは評価した課題をぜひ具体的に取り込み、それを分析し、更にセプターや国が支援できる課題を積極的に抽出する。第３次行動計画では経営層の関与ということが非常に積極的に出ているので、演習現場からここ、ここから経営層へという情報の流れや施策も可能になっているので、お願いしたい。
○（柳原内閣参事官）フォローアップアンケートを定点観測的に初めてやるようになっており、いろいろ幅広いものがとれる項目での実施を考えている。委員御指摘の点に沿う形で我々も考えており、取り組んでいきたい。
その他、特段の意見・質問はなく、報告事項について了解された。
(4)

討議事項
【重要インフラの更なるセキュリティ強化等について】事務局から、資料４に沿って説明。資料及び討議内容は非公開。

(5)

その他
その他、各委員からの特段の発言はなかった。

(6)

閉会
髙見澤内閣サイバーセキュリティセンター長から挨拶。
○（髙見澤内閣サイバーセキュリティセンター長）今回は大変貴重な意見を聞かせていただき、参考にしていきたい。
年金機構の情報流出事案については、検証報告がまだ検討中ではあるが、一連のサイバーセキュリティを巡る動きの中で、いくつか教訓があるのではないかと考えており、皆様にもまた考えてほしい。
まず、基本事項の徹底とはどういうことなのか。それを支える専門性や人材とは何であるのかということ。基本事項が明らかに徹底されておらず、さらに、その基3

本事項を実施するための方策について、組織全体としての十分なプライオリティーが置かれていないというところがあったということについて、これは日々やっていかなければいけない。
２点目は、実際に事が起きてしまったときに、どれだけ迅速に組織を挙げて対応するかということができているか。それぞれの組織の中で意識の高いところや低いところと違っているのではないか。一方で、迅速に対応したからよかったということではなく、新たな攻撃に日々さらされているわけであり、それをどう継続していくかが非常に重要である。
３点目は、基準が非常に大事だと言われているわけだが、基準の具体化がそれぞれの組織の中でどれだけできているか。また、基準を出した方は、それが適切に具体化されているかということをどれだけ確認しているか。いわゆる出しっ放しになっていないのかということ。ただ、これだけ様々な事案が起きてくると、やはりポリシーとして確立している部分がどれだけしっかりしているかということが全体にとって重要である。また、基準を守っていればよいということではなく、更にそれを強化しなければいけなかったり、基準と少し違っても柔軟に対応しなければいけなかったりするケースもある。
４点目は、NISCと関係省庁や、関係省庁と重要インフラ事業者等の関係として、信頼関係が重要ではあるが、ある程度の緊張関係も必要である。そして緊張関係が信頼関係につながるためには、様々なルールの確立など透明性を持った何らかの義務付けが必要かと思う。また、信頼関係を築くためには、活発なインタラクションや協議も行わなければいけない。先ほどの基本事項を徹底するためにも、それぞれの組織のインタラクションが必要である。
最後に、教育など、個人の意識のベースを上げる必要があり、経営者やトップにサイバーセキュリティについてのある程度の知識が非常に重要である。その上で初めてチームワークが生まれてくる。知る・守る・続けるということがサイバーセキ
ュリティの普及啓発のキャッチフレーズとしてある。知るということは、まず知らないということを知って、それから知っていくということが大事であり、守るということは、守れないということをまず知って、どうしたらよいか、多重防御の話となり、続けるということがいかに経営層にとって大事か、また、一度投資しても、それを継続的に投資していかないと、マイナスになっていく。
今後サイバーセキュリティ戦略も策定し、戦略の中で、様々なアジェンダがあり、官民一体となって様々な施策が展開されていく、しかも、施策を単につくるだけではなく、PDCAのサイクルを回して確認していくという作業をやっていけなければい
けない。皆様のお力も頂戴しながら進めていきたい。
事務局から、今後の予定として、第３次行動計画の進捗状況・評価については、サイバーセキュリティ政策に係る年次報告の一部として取りまとめ、サイバーセキュリティ戦
略本部に諮り決定する手続を実施する旨を連絡。
また、重要インフラ専門委員会について、本年６月30日のIT総合戦略本部会合において、情報セキュリティ政策会議の廃止が決定されたことに伴い、併せて廃止された旨を報告。

4