資料４－１

サイバー安全保障分野での対応能⼒の向上に向けた有識者会議（官⺠連携）
これまでの議論の整理 素案
概 要官⺠連携の課題と論点
＜課題＞

1
＜論点＞

重要インフラ等への攻撃の高度化

1.サイバー攻撃が発生した場合の対応の見直し 高度な侵入・潜伏能力を備えた攻撃は、単純なインディケータ情報の共有では検知や対策が困難

 高度な攻撃に対する支援・情報提供 迅速化・負担軽減の観点から、対応の一元化が必要
重要インフラ等のデジタル化
 サイバーセキュリティ対策を講じな
いと、DXがリスク要因に
 強靭性向上によるサービスの継続が必要

 ソフトウェア等の脆弱性対応
 政府の情報提供・対処支援を支える制度
２.サービス継続のための普段からの対策強化
 サイバーセキュリティ戦略本部・NISC・関係省庁が連携した施策の推進 重要インフラ事業者等の対策強化
 政府機関等の対策強化

社会全体の強靭化の必要性

３.サプライチェーン全体での対応

 中小企業の強靭性を高めないと、社会全体の強靭性は高まらない サイバーセキュリティ人材の育成・確保

 サイバーセキュリティを支える人材の不足

 中小企業を含めた対策強化

「官⺠連携」 これまでの議論の整理 概要（１）2

１．（１）高度な攻撃に対する支援・情報提供＜① 情報提供に関する政府の役割について＞
 情報共有は社会全体の強靭性を高める上で最重要。被害組織の情報を他組織に共有することにより、被害拡大防止が可能となるが、これには被害組織が情報提供するインセンティブの設計が必要。政府が率先して情報提供し、官民双方向の情報共有を促進すべきではないか。
＜② 提供されるべき情報について＞
 高度な侵入・潜伏能力を備えた攻撃に対し、事業者等が具体的行動を取れるよう、攻撃者のIPアドレスのようなアナリスト向けの技術情報に加え、経営層が判断を下す際に必要な攻撃の背景や目的なども共有すべきではないか。
 近年の攻撃は、単純なインディケータ情報の共有では検知や対策が困難であり、脅威ハンティングを効率的に行えるよう、攻撃者の手法に関する具体的情報の提供も必要ではないか。
＜③ 情報提供・情報共有の体制について＞ セキュリティクリアランス制度を活用し、適切な情報管理と情報共有を両立すべきではないか。
 制度設計に際し、ISACやサイバーセキュリティ協議会等の既存枠組の効果を検証すべきではないか。
また、友好国との間での相互運用性に配慮すべきではないか。
 緊急性の高い情報発信については、発信機関ごとに内容の差異があると混乱が生じることから、ワンボイスで行うべきではないか。

「官⺠連携」 これまでの議論の整理 概要（２）3

１．（２）ソフトウェア等の脆弱性対応＜① ベンダーの責務について＞
 ゼロデイ脆弱性の早期対処等にあたり、システム開発やセキュリティ監視等を担うベンダーとの連携を深めるべきではないか。
 攻撃を受けたソフトウェアベンダーからユーザーに被害が拡散する「サプライチェーン攻撃」を防
ぐため、海外事例等も参考に、ベンダーの規律を設定し、セキュアな製品の提供や脆弱性情報の報告等を求めるべきではないか。
 脆弱性対策を進めるに際し、中小メーカーはリソースが限られており、厳しい価格競争にも晒されていることから、単にメーカーに責任を負わせるのではなく、支援も行うべきではないか。
＜② 脆弱性情報等の提供について＞
 事業者等が膨大な脆弱性情報の中から優先順位を付けられるよう、国内で悪用されている脆弱性情報を分かりやすく発信すべきではないか。
 国民生活等の基盤となる事業者については、政府が資産情報を把握し、関連するゼロデイ情報等を速やかに提供する枠組みを構築すべきではないか。

「官⺠連携」 これまでの議論の整理 概要（３）4

１．（３）政府の情報提供・対処支援を支える制度＜① インシデント報告の義務化ついて＞
 重要インフラのデジタル技術等への依存度が増していることを踏まえれば、継続的なサービス提供のため、インシデント報告を義務化し、情報共有を促進すべきではないか。デジタル・インフラス
トラクチャーと電力は特に重要なインフラとして扱うべきではないか。
 インフラ以外の事業者についても、情報窃取及び国内外でのサイバー攻撃事案や、サプライチェーンにおける重要性等に鑑みれば、インシデント報告の義務化などを検討するべきではないか。
＜② インシデント報告の迅速化について＞
 対応迅速化と報告者の負担軽減のため、報告先の一元化やフォーマットの統一化を進めるべきではないか。
 有効な対処をするためには、数分・数十分というタイムスケールでの迅速な情報収集・共有が必要であることを踏まえれば、インシデント報告において自動化を活用すべきではないか。
＜③ 報告された情報の取扱いについて＞
 報告された情報は、経営上機微な情報を含み得るため、慎重に取り扱うべき。報告された情報の利用目的を明確化し、情報の不用意な流出や、制裁目的での利用防止を規定すべきではないか。

「官⺠連携」 これまでの議論の整理 概要（４）5

２．（１）サイバーセキュリティ戦略本部・NISC・関係省庁が連携した施策の推進 サイバーセキュリティ戦略本部について、事案発生時における役割等を踏まえて、本部の構成の在り方等を検討するとともに、その他の政府機関等との役割分担や責任範囲を整理すべきではないか。

２．（２）重要インフラ事業者等の普段からの対策強化
 重要インフラ分野について、デジタル空間における位置づけ等を踏まえた分野の範囲等を検討すべきではないか。
 重要インフラの対策強化に当たっては、サービスの継続とサプライチェーンを含めたレジリエンス強化の観点が重要ではないか。
 基準･ガイドライン等の手法を活用し、分かりやすく取り組むべき事項の明確化が必要ではないか。
 基準等の策定に加え、基準に対する取組状況を把握し、実効性を高める仕組みを検討すべきではないか。
２．（３）政府機関等の普段からの対策強化
 政府機関等のシステムに対する不正な活動の監視・制御する技術の導入や分析の向上等、政府機関等のサイバーセキュリティ水準を強固にするための取組を進めるべきではないか。
 政府機関等の対策強化に当たっては、諸外国の取組を参考にするほか、国産セキュリティ製品・技術も活用していくべきではないか。

「官⺠連携」 これまでの議論の整理 概要（５）6

３．（１）人材の育成・確保
 サイバーセキュリティに関わる人材は、技術者に限られるものではない。経営等に関わる者も含め、広くサイバーセキュリティに関わる人材の定義（役割、知識、技術等）づけを行って育成・確保等を検討すべきではないか。
 企業・組織からの視点だけでなく、サイバーセキュリティに携わる人からの視点も取り込み、キャリアパスの明示等、魅力あるキャリアとする方策についても検討すべきではないか。
 人材の定義等の枠組みを通じ、産学官での人材交流・流動化を進めるべきではないか。また、政府人材の任期等についても検討すべきではないか。
３．（２）中小企業の対策強化
 社会全体の強靱性を高める観点で基幹インフラのサプライチェーンなど中小企業のセキュリティ対策について支援を行うべきではないか。
 IoT機器など中小ベンダ等がセキュアな製品を開発・供給するための支援も検討すべきではないか。
 大企業が下請け企業のセキュリティ対策を要請することに関して、サプライチェーンセキュリティに関する独占禁止法等の明確な整理を行うべきではないか。
その他の論点 安全保障の観点から、国産のセキュリティ技術の育成・展開が重要であり、大学等で開発された技術等を活かしたエコシステムの構築を図るべきではないか。
 サイバーセキュリティ対策の重要性を広く理解いただくための取組が必要ではないか。

御議論いただきたい事項

7（１）サイバー攻撃が発生した場合の対応について
 高度な攻撃に対する支援・情報提供について、民間が有効な対策を行うには、政府の支援や情報提供の内容・体制・枠組みはどうあるべきか。
 ソフトウェア等の脆弱性対応として、政府やソフトウェアベンダに求められる役割や対応はどのようなものか。
 政府の情報提供・対処支援を支える制度として、報告の対象や内容はどうあるべきか。また、報告の迅速性、事業者への負担、情報の取扱いについてどのような点に留意するべきか。
（２）官民の普段からの対策強化に向けた体制・枠組みについて サイバーセキュリティ戦略本部が担うべき役割や、これを踏まえた構成の在り方等はどうあるべきか。
 重要インフラの対策強化のため、政府の司令塔として何をすべきか。例えば、特に求めるべき対策事項やその実効性を高める仕組みをどのように定めるべきか。
 政府機関等の対策強化のため、政府の司令塔として何をすべきか。例えば、取り組むべき対策や各政府機関等の対応を確実なものとする仕組みをどのように構築すべきか。
（３）人材の育成・確保、中小企業の対策強化
 官民で効果的にサイバーセキュリティに関わる人材を育成・確保するため、基盤となる取組や視点としてどのようなものが考えられるか。
 サプライチェーン全体での対策強化のため、特にどのような取組が必要か。