参考資料５

重要インフラの情報セキュリティ対策に係る第２次行動計画（案）について【情報セキュリティ政策会議配付資料】
２００８年１２月１０日
内閣官房 情報セキュリティセンター（NISC）

重要インフラの情報セキュリティ対策に係る第２次行動計画(案)の全体像○ 「重要インフラにおけるＩＴ障害の発生を限りなくゼロにすること」を目指すとともに、 「ＩＴ障害が国民生活や社会経済活動に重大な影響を及ぼさないようにすること」を目標に官民が連携して重要インフラ防護に取り組む○ 新たに分野毎(*)に重要インフラサービスの検証レベルを設定して着実に改善を実施○ 第１次行動計画において設定した施策の４つの柱に着実に取組み、また経験を改善につなげるとともに、新たに「環境変化への対応」を５つめの柱に掲げ、変化に対する察知能力の向上と機敏な対応に取り組む
第１次行動計画の成果

第２次行動計画の施策の枠組み【2006年度～2008年度】【2009年度～2011年度】①安全基準等・「重要インフラにおける情報セキュリティの確保に係る「安全基準等」策定にあたっての指針」を策定、改定・各分野にて安全基準等の策定、見直し②情報共有体制の強化

重要インフラ事業者等による分野横断連携

複数分野に共通の潜在的な脅威を発見

情報共有の推進
必要な情報を獲得し活用

セプターカウンシル②情報共有体制・官民の情報提供・連絡の体制を整備し、情報提供･情報連絡を開始
・各分野にてセプターを整備
・セプターカウンシルを創設（予定）③相互依存性解析
・静的相互依存性解析を実施
・動的相互依存性解析を実施①安全基準等の浸透④分野横断的演習
セプター

セプター

セプター

Ａ分野

Ｂ分野

Ｃ分野

検証レベル

検証レベル

検証レベル

対策を充実、着実に実践

分野毎の主体的な対策③共通脅威分析

防護対策向上のための課題抽出④分野横断的演習
・研究的演習、机上演習を実施
・機能演習を実施⑤環境変化への対応

関係機関
政府

変化を捉えて機敏に対応

政府等による支援※１０分野： 情報通信、金融、航空、鉄道、電力、ガス、政府・行政サービス（地方公共団体を含む）、医療、水道、物流

2

第２次行動計画の概要○ ＩＴ障害が国民生活や社会経済活動に重大な影響を及ぼさないようにすることを目標として継続
総論

第２次行動計画 (2009-2011)

第１次行動計画 （2006-2008)

情報セキュリティ対策の柱¾ 想定する脅威や防護すべき重要システム等の対策の範囲を設定¾ サービスレベルと検証レベルを定義、脅威等の対象範囲を見直し¾ 情報セキュリティ対策に関する官民連携の施策の枠組みを構築¾ アウトカムとなる「理想とする将来像」を提示

１ 安全基準等の整備

１ 安全基準等の整備及び浸透¾ 「『安全基準等』策定にあたっての指針」を策定¾ 「『安全基準等』策定にあたっての指針」の充実¾ 各分野毎に上記指針を踏まえた「安全基準等」を策定・改定¾ 各分野毎に「安全基準等」の継続的な改善の実施と、確実な浸透

２ 情報共有体制の強化

２ 情報共有体制の強化¾ IT障害に対応するための、官民の情報提供・連絡の体制を整備¾ 情報セキュリティ対策に資する、共有すべき情報を整理¾ 各分野毎に「セプター（情報共有・分析機能）」を整備¾ 情報の分析等のセプターに期待される機能を示し、必要な支援を実施¾ 分野横断的な情報共有の場として「セプターカウンシル」を設立¾ 分野横断的な情報共有等のセプターカウンシルに望まれる事項を提示

３ 相互依存性解析

３ 共通脅威分析¾ 相互依存性解析の問題提起と実施効果等を記載¾ 潜在的なリスクチェーンの把握等のため相互依存性解析を継続¾ 内閣官房を中心に、相互依存性解析を試行¾ 検討対象を技術、システム、環境等に拡大した分野共通の脅威を分析

４ 分野横断的演習

４ 分野横断的演習¾ 内閣官房の企画・立案の下、各分野が参加する形態で「研究的演習」、¾ 具体的なＩＴ障害の発生を想定した分野横断的演習を継続的に実施「机上演習」、「機能演習」を段階的に実施

５ 環境変化への対応¾ 広く協力、支援を得るため広報公聴活動を実施

評価・検証¾ 国際会合や他国機関との対話を通じた国際連携を推進¾ ３年毎又は必要に応じて行動計画を見直し¾ 分野毎にIT障害の検証レベルを設定し、また施策毎に検証指標を設定して、情報セキュリティ対策の継続的な検証と改善に取り組む¾ 指標だけでは把握しきれない状況を収集するために、補完調査を実施¾ ３年毎又は必要に応じて行動計画を見直し3

情報セキュリティ対策のイメージ○情報セキュリティ対策には大別して、ＩＴ障害の発生を可能な限り未然に防止する予防的体策と、ＩＴ障害発生時の迅速な復旧等の確保によりその影響を可能な限り最小化する事後的対策がある。
○分野毎にIT障害の検証レベルを設定し、また施策毎に検証指標を設定して、情報セキュリティ対策の継続的な検証と改善に取り組む
重要インフラサービスのサービスレベルの維持、回復予防的対策

想定脅威

事後的対策

脅威の顕在化（例）
・サイバー攻撃（例）・プログラム上の欠陥（バ ・サイバー攻撃にグ）よるＩＴの機能不全
・地震による設備損壊

国民生活や社会経済活動への重大な影響（例）
・サイバー攻撃を防ぐ対策

予防的対策により、通常はＩＴの機能不全が抑制されているか、発生してもＩＴ障害には至らない

ＩＴ障害の顕在化（例）・重要インフラサービスの停止（例）
・事業継続計画の発動

重大な影響

（例）
・社会不安や国民生活（例）・国民生活への影響の の混乱発生

ＩＴ障害発生時における事後的対策により、ＩＴ障害の影響は最小限にとどめられる

行動計画の目標が達成されない状況対策と施策の成果検証
補完調査
行動計画の枠組の評価

継続的な検証と改善により、経験を行動計画の枠組みの改善に活かす
4

重要インフラサービスの検証レベル○重要インフラ分野毎に業法上の義務的な取組みに加えて、新たに検証レベルを設定し、これを逸脱するＩＴ障害の発生状況を毎年検証して行動計画の改善を期す○重要インフラ事業者等は検証レベルによらず各々サービスレベルを定め、これを維持することを目標として対策に取り組む
事が望ましい情報セキュリティ対策が必要な事象

行動計画の対象となるＩＴ障害

検証レベル
本検証レベルを逸脱する
ＩＴ障害の発生状況を検証する

検証対象となるＩＴ障害

ＩＴ障害が国民生活や社会経済活動に影響を与える状態

情報セキュリティ対策が必要な事象

サービスレベル各事業者はこのレベルを維持することを目標として対策に取り組むことが望ましい（事業者毎に設定）※「IT障害」とは、重要インフラサービスにおいて発生する障害（サービスレベルを維持できない状態等）のうち、ITの機能不全が引き起こすもの

重要インフラ分野

検証レベル （一部表現を簡素化）

情報通信

・電気通信役務の停止、品質の低下が、3万以上の利用者に対し2時間以上継続する事故が生じないこと
・放送の停止が生じないこと

金融

銀行・預金の払戻しの遅延、停止が生じないこと
・融資承諾をした貸付の実行の遅延、停止が生じないこと・為替（銀行振込）の遅延、停止が生じないこと

生命保険

・保険金等の支払いに遅延、停止が生じないこと

損害保険・保険金等の支払いに遅延、停止が生じないこと

証券会社
金融商品取引所・預り有価証券等の売却、解約代金の払い出し等に遅延、停止が生じないこと
・有価証券の売買又は市場デリバティブ取引等に遅延、停止が生じないこと

航空

・貨客の運送に支障を及ぼす定期便の欠航が生じないこと

鉄道

・旅客の輸送に支障を及ぼす列車の運休が生じないこと

電力・供給支障電力が１０万キロワット以上で、その支障時間が１０分以上の供給支障事故が生じないこと

ガス・供給支障戸数が３０以上の供給支障事故が生じないこと

政府・行政サービス(地方公共団体を含む)・住民等の権利利益の保護に支障が生じないこと
・住民等の安全・安心を確保できる時間内にシステムの復旧を行うこと

医療・診療録等の保存に支障が生じないこと

水道・断減水、水質異常、重大なシステム障害のうち給水に支障を及ぼすものが生じないこと

物流

・貨物運送の停止や貨物の紛失が生じないこと※概要を示すため表現を簡素化している。正確な表記は第２次行動計画（案）別紙２を参照。

5