高度情報通信ネットワーク社会推進戦略本部情報セキュリティ政策会議
重要インフラ専門委員会
第 2 回会合議事要旨
1. 日時 平成 17 年 10 月 17 日(月) 18：00〜21：00
2. 場所 内閣府本府地下講堂
3. 出席者[委員]
浅野 正一郎 委員長（国立情報学研究所教授）
石井 健睿 委員（（社）日本水道協会）
伊藤 友里恵 委員（JPCERT/CC）
稲垣 隆一 委員（弁護士）岩田 隆 委員（（社）日本ガス協会）
大場 満 委員（東京地下鉄（株））
雄川 一彦 委員（日本電信電話（株））
久保田 啓一 委員（日本放送協会）
九萬原 敏已 委員（電気事業連合会）
外川 雅通 委員（住友生命保険相互会社）
郡山 信 委員（（財）金融情報システムセンター）
小西 甲 委員（日本通運（株））
静 正樹 委員（（株）証券取引所）
田中 正史 委員（全日本空輸（株））
土居 範久 委員（中央大学）
中尾 康二 委員（KDDI（株））
中原 周司 委員（あいおい損害保険（株））
沼澤 勝美 委員（日本医師会総合政策研究機構）
深谷 聖治 委員（東日本旅客鉄道（株））
前田 淳一 委員（東京都総務局ＩＴ推進室）
松田 栄之 委員（新日本監査法人）
宮下 典久 委員（三井住友銀行）
森田 元 委員（（株）日本航空）
渡辺 研司 委員（長岡技術科学大学助教授）（五十音順）[政府]
内閣官房情報セキュリティセンター副センター長
内閣官房情報セキュリティセンター情報セキュリティ補佐官
内閣官房情報セキュリティセンター内閣参事官
内閣府政策統括官(防災担当)付地震・火山対策担当参事官-1-

警察庁生活安全局情報技術犯罪対策課長
防衛庁長官官房情報通信課情報保証室長
金融庁総務企画局参事官
総務省自治行政局地域情報政策室長
総務省情報通信政策局情報通信政策課情報セキュリティ対策室課長補佐
厚生労働省医政局研究開発振興課医療機器・情報室長
経済産業省原子力安全・保安院電力安全課長
経済産業省原子力安全・保安院ガス安全課長
経済産業省商務情報政策局情報セキュリティ政策室長
国土交通省総合政策局情報管理部情報企画課長
国土交通省政策統括官付政策調整官

4. 議事概要(1) 論点説明に関して○ 事務局より説明(2) 相互依存性の論点分解に関して○ 渡辺委員より説明(3) 委員意見開陳○ 重要インフラの「安全基準・ガイドライン」策定のための指針（案）について。「望ましい対策事項を提示」という記述になっているが、一方で「最低限講ずべき対策レベルを示す」との記述もあり、誤解のないように、「最低限講ずべき対策項目」あるいは「最低限講ずべき」という表現にすることが望ましい。
○ 各業法の法制度との整合性について、整合性をあらかじめ整理し、各業法の中の指導あるいは許認可に係る基準や手順との連携を「考慮する」あるいは明確に「図る」ということを付け加えることが望ましい。
○ 本指針の位置づけを明確にするためにも、「安全基準・ガイドライン」の修飾語として、「情報セキュリティ確保のための」あるいは「IT 障害に関する」等の表現を付加した方が良いのではないか。
○ 一般にセキュリティ事項で予算を獲得するのは困難であり、指針あるいはガイドライン等によって、セキュリティ関連の予算が位置づけられるよう、配慮をした方が良いのではな
いか。

-2-

○ この「安全基準・ガイドライン」が策定されれば、実際に各事業体がこれを基にブレイクダウンしたものを作ることになることが想定されるが、例えば数人の事業体から数千人いる事業体間で一律にセキュリティをどこまで確保するべきなのか、ナショナルレベルですんなり統一出来るものなのか。
○ このガイドラインの指針の機能が他の制度においても、セキュリティ問題を議論する際の根拠付けとなるような力を持ったものになるようにするべき。
○ この「安全基準・ガイドライン」策定のための指針案において、Confidentiality（機密性 ） 、 Integrity （ 完 全 性 ） 、 Availability （ 可 容 性 ） は 組 み 入 れ ら れ て い る が 、Authenticity（真正性）は入れる必要はないのか。
○ どの事業者としても既に「安全基準・ガイドライン」なるものは社内規定として有しているはず。その内容は業務の根幹に係る部分が多いものであり、殆どが公開できないものと認識している。それを事業分野ごとに策定をし、原則公開といっても、果たして出来るのか。
○ 最終的には各事業者の規定類の中で、盛り込むことに望ましい項目に該当する対策の検討が為されることを期待しているが、公開する対象としては、各事業者がその対策を検討するために必要な点というものを指し示しており、各事業者の検討結果が公表対象になると言うことは想定していない。
○ 自分の手の内を明かす必要はないが、他分野が参考にできるように、ある程度抽象化しておけば、役に立つものもあるのではないか。これを実現することにより、相互の補強を行うことも重要。
○ 事細かな安全基準、技術基準的なものを公開することになると、クローズなシステムについては、手の内を明かすとことになり、引いては脅威につながる。したがってもし公開するのであれば、抽象化したものに限らせていただきたい。
○ 業界として統一し、各々重要インフラを守るということのために詳細化したものではない
必要最低限の基準というものはあるはず。それについては当然出す必要があるのではないか。またそれに対するブレイクダウンを経て事細かになったものは、恐らく業界内の全てで遵守するものと事業者単位のものがあるだろうが、前者の部分においては最低限公開する部分はあると思われ、それはやる必要がある。
○ もし「公開」という言葉が誤解を生むのであれば、むしろ「宣言」あるいは「社会に対する誓約」等のような表現も議論の余地がある。原則としてはちゃんと決めるべき。
○ 基準を策定、公開することにより、それを基にメーカーやシステムベンダがシステムを作-3-

るとなると、1000 社以上の企業がそれを見ることになり、それによって世間の批判に晒されるというプレッシャーを感じるため、世間に対しても批判されないようなものを作らなければいけないという自助努力も働く。
○ パブリックコメントは意見を広く聞くと言うことで、非常に重要なステップと認識しているが、一方で、対象としている重要インフラのシステムが具体的にどういうものかが理解されていないのが実情。全部で 10 分野もあり、一般的にそれぞれ専門的でよくわからないのではないか。
○ 安全対策基準の提示先が最終的には国民にとなると、結局お金の流れが国民から国、重要インフラへと流れ、それに伴い組織法制とか市場法制等にも影響が及ぶ。それがなければ実際に何するにしても、金が無いがために最終的なリスクアセスメント／マネージメントが駄目になる。現在それが非常に問題。例えば上場基準なり、市場における評価基準にも利用・連携できるような工夫を御願いしたい。
○ 事業継続性確保については、政府における対策基準では既に確保されているという前提であり、事業継続計画を定める際には「政府統一基準」との整合を図るという形で盛り込まれることを想定している。
○ タイトルが「安全基準」というのは”requirement”。「・」ということは「安全基準」と「ガイドライン」、その”development”のための指針は JIS では”guideline”と訳されており、括弧書きの中は、requirement である意味で強いセキュリティの要求事項を言っているのか。あるいはかなりガイドライン的なものが入っているのか、それとも「・」は「かつ」のため、両方存在するようなセットなのかが不明。
○ 相 互 依 存 性 解 析 の 論 点 分 解 案 につ い て。 解 析 の 流 れ と して 、 「 Awareness」 か ら「Recovery」までの 5 点あるが、6 点目として、解析・分析の情報の「検証」というプロセスが必要ではないか。次の論点にあるサイバーセキュリティ演習を実施して解析された情報を基にシナリオを作り、相互依存性を検証することは、非常に有効なプロセスと考える。
○ 依存ポイントを下流から上流、上流から下流で詰めていき、平成 18 年度から試行、その後定期的に、というペースだと遅いような気がするので、先ずは出来るところから進めていくべき。
○ 論点の具体的脅威シナリオの作成方法について。シナリオを作成する前にいくつかの決め事が必要。具体的には、各参加事業者、監督官庁を含めセンシティブな情報を扱うシステム情報であるとか、脆弱性情報であるとか、出てくる結果であるとかの情報を扱うに当たって、演習の目的から始まって、情報の取扱い方法、情報の機密性の確保、セキュリティ、匿名性について、情報の取扱いについての取り決め、成果の出し方、情報の公-4-

表の仕方等々についての取り決めをしておくことが必要。
○ 実施体制について。様々な法的観点やドキュメントの整理、ロジスティックス、セキュリテ
ィの問題等、シナリオ作りを行うチームだけではなく、色々な体制チームも必要。さらにそのような体制を構築した上で、SF 的なシナリオにならないことも含め、参加者が企画・デザインの段階から参加するというデザインの仕方が望ましい。
○ 事業の中には、止まった後が防災と類似するものもあるので、防災の観点を活用しながら、ということを考慮して頂きたい。
○ 平成 18 年度は机上の演習であるのに対し、平成 19 年度以降の演習については机上ではないものを想定しているものとすると、具体的にどういうものを想定されているのかイメージが持てない。
○ 内閣官房による重要インフラの「安全基準・ガイドライン」策定・見直し状況の把握について（案）の中で、重要インフラ所管省庁は、シートに記入するに当たり、重要インフラ事業者に対して、ヒアリングすることになると想定されるが、事業者は、自主的判断で参加しているので、事業者の負担が過大とならないようにお願いしたい。
(4)今後の予定○ 事務局より説明−以 上−-5-