資料４－２1234567891011121314151617181920212223242526272829

サイバー安全保障分野での対応能力の向上に向けた有識者会議
官民連携に関するテーマ別会合 第２回

官民連携に関するこれまでの議論の整理（素案）※本日（令和６年７月23日）の討議の内容は会議終了後に反映予定
１ 対応能力向上のための官民連携の必要性① 重要インフラ等への攻撃の高度化• サイバー攻撃は一段と巧妙化、高度化、複雑化、組織化されていることが顕在化している。
• 攻撃の高度化に伴い、近年の攻撃は単純なインディケータ情報の共有では検知や対策が困難になってきている。
• 現状、インシデントの報告窓口は複数存在しており、一刻を争う状況の中で、報告コストを下げるため、窓口の一本化やフォーマットの統一が求められる。
② 重要インフラ等のデジタル化• 重要インフラのDXが進んだ結果、インターネット等への依存が高まり、サイバーセキュリティのリスクも高まった。
• 重要インフラを守ることの大きな目的は、国民視点でサービスが持続的に提供されるということ。
③ 社会全体の強靱化の必要性• サプライチェーン全体を考慮したとき、国家のレジリエンスを確保するためには、数の上で90％以上を占める中小企業の対策は絶対的に必要。
• セキュリティ人材の重要性が叫ばれて久しいが、セキュリティ分野に実際に人材が流入するような状況にはなっていない。
• 国家のサイバーセキュリティの力とは、その国におけるサイバーセキュリティ人材の層の厚さである。

303132２ 高度な攻撃に対する支援・情報提供① 情報提供に関する政府の役割について

33•

重要インフラは、国民視点でサービスを継続できることが大事。

34•

人口減少社会においては、官民が連携してサイバーセキュリティの確保に努めていくことが必要であり、情報共有は、レジリエンスを高める上で最も重要。

35
36

•

被害企業から情報を報告してもらうには、インセンティブの設計が大事。政府が情37報を受け取るだけでなく、率先して情報を示していくなどの姿を見せるべきではな

38

いか。

39

•

官民連携による情報共有は、双方向であるべき。

4041② 提供すべき情報について

42•

経営者、実務者、アナリストといった階層ごとに適切な情報を提供することが必要
1

1である。例えば、近年の攻撃は単純なインディケータ情報の共有では検知や対策が2困難になってきており、アナリストに対しては脅威ハンティングの過程で入手し3た、より高度な情報（マルウェアのふるまいに関する情報や攻撃者のツール・テク

4ニック）の共有が重要。

56③ 情報提供・情報共有の体制について

7•

するが、有事においてはワンボイスで情報発信をすることが重要。

89

•
•

クリアランスがあると海外との連携、官民の情報共有が行いやすくなるなどが期待でき、最大活用を考えてほしい。

1213

インテリジェンス活動等を含めて政府が分析した情報を、必要な共有先に柔軟に共有すべき。

1011

現状ではJPCERT/CC、IPA、警察、経済産業省等のそれぞれの観点があることは理解•

安全・安心なサイバー空間を構築するためには、トラストに立脚した相互運用性が14不可欠。このため、政府による制度設計においては友好国との間での平仄と相互運

15

用性に配慮すべき。

16•の事例を調べ、ISAC間のノウハウ共有を政府が支援してはどうか。

1718

海外や国内の取組が進んでいるISAC(Information Sharing and Analysis Center)•

情報共有の既存の枠組みの実効性も十分に検証した上で、屋上屋を架すような制度設計は避けるべき。

1920
2122

３ ソフトウェアの脆弱性対応⓪ 脆弱性への対応について

23•

毎年、多くの脆弱性が公表され、今年は約３万件になるとされているが、攻撃に悪24用されているのはそのうち1%未満。悪用されている脆弱性に優先的に手当てをする

25

ことが重要。

2627① ベンダーの責務について

28•

ることである。

29
30

インフラのサイバーセキュリティにとって一番重要なのはやはりゼロデイに対応す•ソフトウェアベンダーが被害を受け、更に被害を拡散するケースが散見される。海31外の事例等も参考に、ソフトウェアベンダーなどに対して規律付け、報告の義務化

32などを行うべきではないか。

33•ォルトを推進すべき。

3435
36

SBOM（Software Bill of Materials）やセキュアバイデザイン・セキュアバイデフ•

脆弱性対応は進めるべきだが、中小のメーカーや攻撃が集中する通信機器のメーカーに対して全ての対策を任せるのは無理がある。彼らへのサポートが重要である。

372

1

② 脆弱性情報等の提供について

2•

アメリカで悪用が認められた脆弱性（KEV）がカタログとして公表されているが、3日本やアジアでのみよく使われているソフトウェアの情報は掲載されない。このよ4

うな脆弱性情報を、日本語で発信することが大事。

5•

豪州では、資産情報を予め登録させることで、登録情報と適合した脆弱性情報が速6やかにフィードバックされる仕組みとなっており、迅速な共有を実現する自動化の7取組の一つだと考えている。

8910

４ 政府の情報提供・対処を支える制度① インシデント報告の義務化について

11•

国民生活及び経済活動の基盤である重要インフラ事業者に対するインシデント報告義務化は導入すべき。

1213

•

報告を義務化する範囲については、ある程度広くあるべき。

14•

重要インフラのデジタル技術への依存度が増していることを踏まえれば、デジタル・インフラストラクチャーと電力は特に重要なインフラとして扱うべき。

1516

•

非重要インフラについて、海外の事例等も参考に、ソフトウェアベンダー、防衛産

17

業、重要製造業など、特に重要な者に対しては、報告の義務化などを適用してもい18

いのではないか。

19
20② インシデント報告の迅速化について

21•

行政へのインシデント報告は、これまで監督省庁へ行われてきたが、セキュリティ

22

担当者のリソースの不足からリアルタイム性が損なわれる可能性がある。これをな23

くすために報告先の一元化を含めて工夫してほしい。

24•

事業者に負担をかけずに効率的に情報収集し、フィードバックするという仕組みが25重要になってきている。サイバー攻撃の情報共有は数分、数十分程度でやる必要が26あるため、迅速であることが重要。そのための鍵は自動化であり、自動化は効率化

27にも寄与する。

28
29③ 報告された情報の取扱いについて30•

報告を行う被害企業の負担を考慮すると、報告先の一元化に加えて、報告フォーマ31ットの統一化も必要。この際、フォーマット以上の情報が入手できないことを防ぐ

32

ため、一定のバッファを設ける等の工夫もすべき。

33•

情報提供については、明確な規律が必要ではないか。民間企業の情報を出す側から

34

見ると、他の企業への提供や公表など、提供してからどのように使われるかの予測

35が立たないと、怖くて出せないのではないか。

3637

•

事業者から提供される情報は、センシティブ情報として慎重に取り扱うべき（懲罰的な見せしめは避けるべき）
3

12
3
4
5
6
7
8

５ サイバーセキュリティ戦略本部・NISC・関係省庁が連携した施策の推進• サイバーセキュリティ戦略本部は、一般的な政策立案や助言だけでなく、事案が発生したときに、司令塔として関連省庁に指示を出す組織だとすれば、有識者の関わり方を含めて、構成の在り方を検討すべきではないか。
• NISCやサイバーセキュリティに関係するその他政府機関等、それぞれの役割と責任範囲を明確に整理すべき。
６重要インフラ事業者等の普段からの対策強化

910•

重要インフラの範囲を定義するにあたっては、重要性の優先順位とともに、新しい分類やデジタル空間の構造を踏まえて考えるべき。

111213•

重要インフラは、国民視点でサービスを継続できることが大事であり、インフラの補完・代替・復旧など全体の大きな計画の中でどのように備えるべきか考えるべき。

1415

•

サプライチェーンを構成する中小企業のレジリエンス強化には、政府が方法論を用意して、それを中小企業が活用する取組が必要。

16171819•

質の保証の観点から、基準、ガイドラインという手法により、行政が達すべきと考える水準を分かりやすく示し、誘導していく手法が重要。また、遵守の実効性を確保するため、認証、資格の活用や遵守状況の公表など、実効性を高める仕組みを考えていくことが重要。

20212223•

サプライチェーン全体のレジリエンス強化に向けて、ガイドラインの策定のみならず実行に必要なリソース支援、政府調達要件への採用等も検討すべき。

７

政府機関等の普段からの対策強化

24•

まず取り組むべきこととして、各組織におけるサイバーセキュリティ水準を強固にすることが必要。

2526

•

政府機関等の情報システム内で行われる不正活動を監視・制御する技術の導入を進27

め、今まで以上にサイバー攻撃に関する膨大かつ詳細な状況の観測・分析の積み重

28

ねが必要。

29

•

ほとんどなく、公に使われているものもない。

30
31

•

英国では、公共機関や国民向けに多様なサービスを提供しており、現行法制度下でも実施可能な施策は取り入れるべきではないか。

32
33

日本発のサイバーセキュリティ関係のソフトウェアや中核的なセキュリティ技術が•国家安全保障の観点からも政府主導で高品質な国産セキュリティ製品、サービス供給の強化を支援すべき。

34
35
36

８

人材の育成・確保

37•

産学官の共通認識をするため、政府主導で人材定義の可視化を検討すべき。

38•

人材育成については、非技術者の巻き込みも大事。

39•

適切な比喩や統計データの活用などにより、サイバーセキュリティ対策の重要性に

40

ついて、経営層を含めた非技術者にも広くわかりやすく説明することが必要。
4

•

サイバーセキュリティ人材の待遇の改善、長期的なキャリアパスの提示、人材の重要性の周知、企業等の組織への当該分野人材採用のための支援策が必要ではないか。

•

CISOを組織で重要視すべき。CISOを置くことで組織のセキュリティが強化されるとともに魅力的なキャリアパスを提示することになる。

•

官民の流動化を進めるうえで、制度面や給与面だけでなく、サイバーセキュリティを担う人材のインセンティブが重要。 現場の生の声を聞き、それを集約して政策に活かすことも重要ではないか。

•

海外では産学間の移動も多い。民間の優秀な人材が大学に来て、さらに専門的な能力を身につけるという流れは重要。

•

情報や危機感の共有によるトラストの醸成を目的として、NISC等の政府機関との官民人材交流に関する枠組みを導入すべき。

•

政府のサイバーセキュリティ業務にあたる人材の任期の長期化や勤務場所の集約を検討すべきではないか。

16９

中小企業の対策強化

17•

社会はサプライチェーンで価値を創出。中小企業の強靱性を高めないと、社会全体の強靱性は高まらない。

•

特にIoT機器などは、大企業だけが製造に関わっているのではなく、家庭用製品は厳しい価格競争にも晒されている。対策を企業だけに任せるのは難しく、メーカーをサポートするなどの対策が必要ではないか。

•

情報共有を行う内容の調査ができる人材育成が必要と同時に、調査を支援してくれるのであれば報告するという企業からの情報を拾い上げる仕組みも検討する必要があるのではないか。

•

基幹インフラのサプライチェーンを含め、中小企業の事業継続・セキュリティ対策の支援をお願いしたい。

•

サプライチェーンにおいて、大企業が下請けとなる中小企業のセキュリティ対策を要請したり、逆に支援したりすることが競争法上の問題とならないか、整理することが必要なのではないか。

12345678910111213141518192021222324252627282930
31

１０ その他の論点

32•

大学発のよい技術を社会実装するとともに、その知見が研究にフィードバックされることで、更なる技術開発につながるが、日本では、このサイクルが機能せず、大学発の中核的なセキュリティ技術が少ないのではないか。

•国家安全保障の観点からも政府主導で高品質な国産セキュリティ製品やサービスの供給を支援すべき。

•

適切な比喩や統計データの活用などにより、幅広い層にサイバーセキュリティの重要性について発信することは重要。

3334353637385