「重要インフラのサイバーセキュリティに係る行動計画」の概要
官民連携による重要インフラ防護の推進● 任務保証の考え方を踏まえ、重要インフラサービスの安全かつ持続的な提供を実現● 官民が一体となって重要インフラのサイバーセキュリティの確保に向けた取組を推進
NISCによる総合調整

重要インフラ所管省庁● 金融庁● 情報通信［金融］

● 金融

● 総務省

● 航空

［情報通信、行政］● 厚生労働省

● 空港

［医療］

● 鉄道

● 経済産業省［電力、ガス、化学、クレジット、石油］● 国土交通省［航空、空港、鉄道、水道、物流、港湾］

● 電力
● ガス

重要インフラ(全1５分野)● 政府・行政サービス
● 医療
● 水道
● 物流
● 化学
● クレジット● 石油● 港湾関係機関等● サイバーセキュリティ関係省庁［総務省、経済産業省等］● 事案対処省庁［警察庁、防衛省等］● 防災関係府省庁［内閣府、各省庁等］● サイバーセキュリティ関係機関［NICT、IPA、JPCERT/CC等］● サイバー空間関連事業者［サプライチェーン等に関わるベンダー等］「重要インフラのサイバーセキュリティに係る行動計画」における主な取組
障害対応体制の強化

安全基準等の整備
及び浸透情報共有体制の強化

リスクマネジメントの活用

防護基盤の強化

経営層、CISO、戦略マネジメン
ト層、システム担当等、組織全体での取組となるよう、組織統治の一部としての障害対応体制の強化を推進

重要インフラ防護において分野横断的に必要な対策の指針及び各分野の安全基準等の継続的改善の推進

官民間や分野内外間における情報共有体制の更なる強化

自組織の特性を明確化し、適した防護対策が継続的に実施されるようリスクマネジメントを活用

分野横断的演習の推進、国際連携の推進、広報広聴活動の推進等の取組によるサイバーセキュリティ全体の底上げ

1

行動計画の基本的考え方・要点
1. 「重要インフラ防護」の目的

重要インフラにおいて、任務保証の考え方を踏まえ、①重要インフラサービスの継続的提供を不確かなものとする自然災害、管理不良、サイバー攻撃や、重要インフラを取り巻く環境変化等をリスクとして捉え、リスクを許容範囲内に抑制すること②重要インフラサービス障害に備えた体制を整備し、障害発生時に適切な対応を行い、迅速な復旧を図ることの両面から、強靱性を確保し、国民生活や社会経済活動に重大な影響を及ぼすことなく、重要インフラサービスの安全かつ持続的な提供を実現すること。

2. 関係主体の責務

関係主体の責務は、サイバーセキュリティ基本法(平成26年法律第104号)を基本とする。
国は、サイバーセキュリティに関する総合的な施策を策定し、及び実施する。
地方公共団体は、サイバーセキュリティに関する自主的な施策を策定し、及び実施する。
重要インフラ事業者は、サービスを安定的かつ適切に提供するため、サイバーセキュリティの重要性に関する関心と理解を深め、自主的かつ積極的にサイバーセキュリティの確保に努める。
• サイバー関連事業者その他の事業者は、その事業活動に関し、自主的かつ積極的にサイバーセキュリティの確保に努める。

••••

3. 基本的な考え方• 重要インフラを取り巻く情勢は、システム利用の高度化、複雑化、サイバー空間の脅威の急速な高まりを受け、重要インフラ事業者等においては、経営層、CISO、戦略マネジメント層、システム担当者を含めた組織全体での対応を一層促進する。特に、経営の重要事項としてサイバーセキュリティを取り込む方向で推進する。
• 自組織の特性を明確化し、経営層からシステム担当者までの各階層の視点を有機的に組み合わせたリスクマネジメントを活用し、自組織に最も適した防護対策を実施する。
• 重要インフラを取り巻く脅威の変化に適確に対応するため、サプライチェーン等を含め、将来の環境変化を先取りした包括的な対応を実施する。

4. 障害対応体制の強化に向けた取組• リスクマネジメントによる事前対応と危機管理の組合せにより、障害対応体制を強化する。
• 組織におけるサイバーセキュリティに対する経営者と専門組織の関係を明確にする。
• サイバーセキュリティ基本法第2条の定義を踏まえ、外部からの攻撃のみならず、システム調達、設計及び運用に関係する事象を含め対応できるよう障害対応体制を整備・運用する。

2

行動計画の取組①： 障害対応体制の強化
重要インフラ事業者等は組織全体としてサイバーセキュリティの確保に取り組んだ上で、官民の相互連携を密にした障害対応体制の強化を推進する。
取組のポイント

障害対応体制の強化
重要インフラ事業者等

 組織統治の一部としての障害対応体制の整備
 サプライチェーンも含めた包括的な対応

経営層・CISO・サイバーセキュリティ体制と基本方針の決定
・IT障害が事業に与える影響の把握
・サイバーセキュリティに関する取組の開示

行動計画期間中の取組（2）障害対応体制の強化に向けた取組• 障 害 対 応 体 制 を 強 化 す る た め 、 BCP/IT-BCP 、CSIRT、監査体制等の効果的な取組を推進（3）官民一体となった障害対応体制の強化• 政府と重要インフラ事業者等の相互連携を密にした
官民一体としての対応を検討（4）重要インフラに係る防護範囲の見直し• 環境変化に対応するため、サプライチェーンを含めた「面としての防護」の確保及び国の安全等の確保の観点からの取組

現状の報告

対応指示

（1）組織統治の一部としての障害対応体制• 経営層、CISO、戦略マネジメント層、システム担当等
組織全体及びサプライチェーン等に関わる事業者を含めた障害対応体制の強化を推進

基準等の浸透
体制の指示・教育

戦略マネジメント層
・自組織の安全基準等の分析・検証
・BCP/IT-BCPの整備・対処体制（CSIRT等）の整備、運用
・リスクマネジメントの活用
・自組織に対する監査の実施とその結果の活用

情報共有
・報告
システム担当者・システムの不具合等の情報連絡・発見した脅威や脆弱性を払拭する管理策の実施
・障害対応訓練等の実施システムの不具合等の情報連絡 等

サプライチェーン管理

サイバー空間関連事業者等

取組の支援
防護範囲の見直し 等
分野内外間での情報共有

セプター及びセプター事務局

等

政府機関等
内閣官房（NISC）
重要インフラ所管省庁
サイバーセキュリティ関係省庁

事案対処省庁
防災関係府省庁3

行動計画の取組②： 安全基準等の整備及び浸透
自組織に最適な防護対策を実施するため、重要インフラ事業者等の関係主体における「安全基準等」の整備及び浸透の取組を推進する。
※ 安全基準等・・・関係法令、業界標準／ガイドライン、内規等の総称
取組のポイント 社会動向や周辺環境の変化に適応した、自組織に適した安全基準等の整備
 監査や演習等によるリスク評価を経た安全基準等の継続的な改善
行動計画期間中の取組（1）指針の継続的改善• 組織統治の一部としてサイバーセキュリティを取り入れる
方策の強化や、サプライチェーンに関する基準の整備• 自組織に適した継続的改善のための基準の整備（2）安全基準等の継続的改善• 内部・外部監査や演習への参加等によるリスク評価を経た、安全基準等の継続的な改善• 重要インフラ所管省庁による安全基準等の改善状況を調査（3）安全基準等の浸透• 重要インフラ事業者等におけるサイバーセキュリティ確保に向けた取組について、実態把握のための調査（4）安全基準等の文書の明確化• 安全基準等策定指針、安全基準等の理解促進のため、文書の一覧化や文書間の関係性を明確化

安全基準等の継続的な改善
法

律

閣 議決 定 サイバーセキュリティ基本法

 サイバーセキュリティ戦略

重要インフラ所管省庁・重要インフラ事業者等（基本法第12条）

安全基準等の継続的改善

行動計画（基本法第14条）

ｻｲﾊﾞｰｾｷｭﾘﾃｨ
戦略本部決定 安全基準等策定指針

計画

運用改善

評価

 手引書
内閣官房

 ガイダンス

重要インフラ所管省庁•

関係法令等に基づき、重要インフラ所管省庁が定める「基準」及び「ガイドライン」

重要インフラ事業者等
••

参照参照

安全基準等

業界団体等が定める業界横断的な「業界標準」及び「ガイドライン」
重要インフラ事業者等が自ら定める「内規」等【安全基準等とは】• 関係法令に基づき国が定める「強制基準」• 関係法令に準じて国が定める「推奨基準」及び「ガイドライン」• 関係法令や国民からの期待に応えるべく業界団体等が定める業界横断的な「業界標準」及び「ガイドライン」• 関係法令や国民・利用者等からの期待に応えるべく重要インフラ事業者等が自ら定める「内規」等

4

行動計画の取組③： 情報共有体制の強化
個々の重要インフラ事業者等が日々変化するサイバーセキュリティ動向に対応できるよう、官民間や分野内外間における情報共有体制の更なる強化に取り組む。
取組のポイント これまでの行動計画で構築され定着している情報共有体制の継承・発展 重要インフラ事業者等の自主的な取組の活性化

重要インフラにおける情報共有体制
内閣官房（事態対処・危機管理担当）
内閣官房内閣サイバーセキュリティセンター（NISC）

行動計画期間中の取組（１）情報共有の更なる促進• 共有された情報のリスクマネジメント等への積極的な活用• 重要インフラサービス障害に係る情報及び脅威や脆弱性情報の集約、分析、共有• 共有すべき情報の明確化（情報系だけでなく制御系やIoTシステムも対象となること等を明示）• 環境変化等が生じた場合における適時適切な見直し（２）重要インフラ事業者等の活動の更なる活性化• 経営層のリーダーシップの下、障害対応体制の構築・強化• セプター内、セプター間の情報共有の更なる充実• ISACへの参画及びISAC間の情報共有の促進• より実態に即した形でのセプター訓練の実施

早期警戒情報復旧手法情報各種関連情報 等

被災／被害情報
テロ関連情報各種関連情報 等

防災関係府省庁
事案対処省庁

連携要請
攻撃手法情報復旧手法情報各種関連情報 等
障害・攻撃情報 等

事業者の予兆・ヒヤリハット 等

重要インフラ所管省庁

ｻｲﾊﾞｰｾｷｭﾘﾃｨ関係省庁
ｻｲﾊﾞｰ空間関連事業者
ｻｲﾊﾞｰｾｷｭﾘﾃｨ関係機関

重要インフラ分野
早期警戒情報復旧手法情報各種関連情報 等

セプターカウンシル

セプター１
早期警戒情報障害・攻撃情報
復旧手法情報各種関連情報 等

セプター２

犯罪被害の通報 等

予兆・ヒヤリハット等

ホットライン(法令等報告対象外の事象）※匿名化等した上で共有することが可能。

（緊急時など）連携要請
攻撃手法情報復旧手法情報各種関連情報 等

重要インフラサービス障害・システムの不具合等（法令等報告対象の事象等）

セプターＸ

事務局
（各分野の業界団体等）
障害・攻撃情報 等

Ａ社

Ｂ社

Ｃ社

Ｄ社

5

行動計画の取組④： リスクマネジメントの活用
重要インフラサービスの継続的提供の強靭性確保のため、自組織に適した防護対策の計画・実施、評価・改善の繰り返しによる継続的な取組を推進する。
取組のポイント 自組織に適した防護対策の実現
 環境変化による新たなリスク・リスク源の把握
 重要インフラ分野間の相互依存性の解析
行動計画期間中の取組

環境変化におけるリスク把握

新たなガイダンス等の作成

環境変化調査相互依存性調査

リスクアセスメント（特定・分析・評価）

リスクへの対応

重要インフラ事業者等によるリスクマネジメントの取組（例）

組織の特性把握モニタリング及びレビュー（2）リスクに関する調査・分析• デジタル化を伴うDXの進展によるサイバー空間の変容等によるリスクに対応するため、環境変化調査を実施
する• 重要インフラサービス障害等が生じた場合に、他のどの重要インフラ分野に影響が波及するかという相互依存性に関する調査を実施する。

自組織に適した防護対策の実現に向けた方向性
自組織に適した防護対策の具現化

リスクコミュニケーション（1）リスクマネジメントの推進• 自組織のプロファイルを明確化し、自組織に適した防護対策の実現に向けた取組の推進• 有効な対策や既存の基準類の活用方法について検討し、手引書の見直し、新たなガイダンス等を整備する

リスクマネジメントの活用

リスクマネジメントに関するこれまでの取組の継続

監査等の観点の整理
リスクコミュニケーションの機会の提供
オリパラレガシーの活用

6

行動計画の取組⑤： 防護基盤の強化
重要インフラの防護基盤の強化のため、障害対応体制の有効性検証、人材育成、関係機関との連携、国際連携、広報広聴活動等、行動計画の全体を支える共通基盤的な取組を推進する。
取組のポイント

防護基盤の強化に向けた取組

 障害対応体制の有効性検証の実施
 IT部門だけでなく、幅広い部門の人材育成
 効果的な広報チャネルを活用した情報発信

障害対応体制の有効性検証
等

事前準備

事後改善

演習当日

行動計画期間中の取組（1）障害対応体制の有効性検証• 分野横断的演習による障害対応体制の検証• 演習で得た課題を活用した障害対応体制の改善（2）人材育成等の推進• 経営層と緊密な連携を行えるよう、戦略マネジメント層の育成• IT部門に限らない、組織全体の意識向上（3）国際連携の推進• 政府間や事業者間の様々な枠組みを活用した多面的・多角的な国際連携の推進（4）警察・デジタル庁との連携強化• サイバー犯罪や、DXに伴う新たな技術に対する意識向上による全体としてのセキュリティ確保の推進（5）広報広聴活動の推進• 行動計画の枠組みや取組の国民への積極的な発信• 関連文書及び関連規格の整備

IT部門等
IT部門等

自組織の課題・リスクを整理し改善

IT部門等
A部門

C部門

B部門

障害対応体制が有効に機能するか検証

人材育成等• 戦略マネジメント層の育成• 組織全体の意識向上

警察・デジタル庁との連携強化

国際連携

二国間、地域間、多国間の連携

広報広聴活動Web• サイバー犯罪の警察への通報等• DXに伴う新技術への意識向上を通じたサイバー空間の安全確保演習で得た課題の改善

講演

SNS

ニュースレターWebサイト、SNS、ニュースレター、講演等を通じた発信7

｢重要ｲﾝﾌﾗ事業者等による対策例｣と各対策に関連する｢政府機関等の施策例｣
サイバーセキュリティ基本法における関係主体の責務の理解

経営の重要事項にサイバーセキュリティを位置付け

針通

基本方針の策定／見直し

サイバーセキュリティに係る対策の運用（攻撃傾向の把握等）
サイバーセキュリティに係る状況の対外説明

時重要インフラサービス障害に対する防護・復旧
BCP・コンティンジェンシープラン等の実行
重要インフラサービス障害対応
状況の対外説明障害発生時

築画

サイバーセキュリティ（技術）に係る設計・実装／保守
サイバーセキュリティ（運用）に係る設計・手順書化／保守

障害発生時

構計

サイバーセキュリティに係るロードマップの作成／見直し
サイバーセキュリティに係る計画の作成／見直し

内規の策定／見直し（サイバーセキュリティポリシー等）
BCP・コンティンジェンシープラン等の策定／見直し
情報の取扱いについての規定化

時定

外部委託における対策

関係主体間による情報共有

平規制

予算・人材の確保
人材育成・配置・ノウハウの蓄積サイバーセキュリティに係る対策の運用（監視・統括）
サイバーセキュリティに係る対策の運用状況把握平

リスクマネジメントの活用
・組織のプロファイルの明確化 ・要件と実態の差異の分析
・改善項目の洗い出し ・防護対策の検討と優先順位付け

監査体制、情報共有体制、CSIRT等の整備

Ｃｈｅｃｋ（確認）・Ａｃｔ（是正）／確認・課題抽出

Ｄｏ（実施）／検知・復旧共方体

重 要 イ ン フ ラ 事 業 者 等 の対 策 例

Ｐｌａｎ（計画）／特定・予防サイバーセキュリティに係る対策の運用を通じた課題抽出
内部監査・外部監査を通じた課題抽出
環境変化の調査・分析
結果を通じた課題抽出
演習・訓練を通じた課題抽出

重要インフラサービス障害対応（検知・回復）を通じた課題抽出

障害対応体制の強化
組織統治の一部としての障害対応体制の促進／事業者におけるBCP・CSIRTの運用・監査等の取組支援（内閣官房／重要インフラ所管省庁）
官民一体となった障害対応体制の強化（内閣官房／重要インフラ所管省庁／事案対処省庁等）

政府機関等の施策例

安全基準等の整備及び浸透安全基準等の継続的改善 （内閣官房／重要インフラ所管省庁）
安全基準等の浸透 （内閣官房／重要インフラ所管省庁）
安全基準等策定指針の継続的改善（内閣官房／重要インフラ所管省庁）

情報共有体制の強化

官民の関係主体間の情報共有

セプター訓練（内閣官房／重要インフラ所管省庁）（内閣官房／重要インフラ所管省庁）

リスクマネジメントの活用
自らに適した防護対策の実現／リスクコミュニケーションの推進（内閣官房／重要インフラ所管省庁）

リスクアセスメントの浸透

環境変化におけるリスク把握（内閣官房／重要インフラ所管省庁）（内閣官房／重要インフラ所管省庁）

防護基盤の強化
人材育成等の推進／「ｾｷｭﾘﾃｨ･ﾊﾞｲ･ﾃﾞｻﾞｲﾝ」の推進／国際連携の推進／デジタル庁との連携／広報広聴活動

障害対応体制の有効性検証（内閣官房／重要インフラ所管省庁）（内閣官房／重要インフラ所管省庁）

重要インフラ所管省庁による訓練（重要インフラ所管省庁）

セプターとセプターカウンシル
セプター（ＣＥＰＴＯＡＲ）Capability for Engineering of Protection, Technical Operation, Analysis and Response 重要インフラ事業者等の情報共有・分析機能及び当該機能を担う組織。

 重要インフラサービス障害の未然防止、発生時の被害拡大防止・迅速な復旧および再発防止のため、政府等から提供される情報について、適切に重要インフラ事業者等に提供し、関係者間で情報を共有。
これによって、各重要インフラ事業者等のサービスの維持・復旧能力の向上に資する活動を目指す。

セプターカウンシル

 各重要インフラ分野で整備されたセプターの代表で構成される協議会で、セプター間の情報共有等を行う。
政府機関を含め他の機関の下位に位置付けられるものではなく独立した会議体。
 分野横断的な情報共有の推進を目的として、２００９年２月２６日に創設。
セプターカウンシル総会
オブザーバ

セプターカウンシル
総会
セプターのイメージ運営委員会（幹事会）
ＷＧ

ＷＧ

Ａ社

Ｂ社

Ｄ社

ＷＧ

Ｃ社

Ｅ社

Ｆ社

重要インフラ事業者等(一社)日本経済団体連合会
日本銀行(公財)金融情報システムセンター(株)ゆうちょ銀行

・運営委員会はセプターカウンシルの総合的な企画調整・運営を行う
・ＷＧは必要に応じて設置される(国研)情報通信研究機構（NICT）

セプター（情報通信分野：通信）

セプター（情報通信分野：ケーブルテレビ）

セプター（情報通信分野：放送）

セプター（金融分野：銀行）

セプター（金融分野：証券）

セプター（金融分野：生命保険）

セプター（金融分野：損害保険）

セプター（金融分野：資金決済）

セプター（航空分野）

セプター（電力分野）

セプター（ガス分野）

セプター（政府・行政サービス分野）

セプター（水道分野）

セプター（物流分野）

セプター（化学分野）

セプター（クレジット分野）

セプター（石油分野）

セプター（鉄道分野）

セプター（医療分野）

セプター（空港分野）(独)情報処理推進機構（IPA）(一社)JPCERTｺｰﾃﾞｨﾈｰｼｮﾝｾﾝﾀｰ
金融庁
総務省
厚生労働省
経済産業省
国土交通省

順不同

順不同

2023年4月21日現在

セプター特性把握マップ
2023年9月末日現在
重要イン
フラ分野
事業の範囲

名称

情報通信
電気通信

放送

銀行等

ケーブル
T放送
テレビ CEPTOARCEPTOAR
銀行等
CEPTOAR(一社)
ICTISAC

事務局

構成員

金融
証券

生命保険

損害保険

資金決済航空空港

鉄道

電力

ガス

政府･行政
サービス

医療水道物流

化学

クレジット

石油航空

空港

鉄道

電力

ガス

政府・地方公共団体

医療水道物流

化学

クレジット

石油

金融CEPTOAR連絡協議会
証券空港
鉄道
電力
GAS
自治体
医療水道物流
化学
クレジット
石油
航空
生命保険 損害保険 資金決済 CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOARCEPTOAR CEPTOAR CEPTOAR CEPTOAR CEPTOAR

(一社)
(一社)
(一社)
日本証券 (一社)(一社)(一社)
定期航空 空港・空
日本ケー 日本民間 全国銀行 業協会 生命保険 日本損害 日本資金 協会
港ビル協
ＩＴ統括 協会
ブルテレビ 放送連盟、協会
保険協会 決済業協
議会
総務部
IT企画部 会連盟
日本放送 事務・決済 部
システム部
事務局
協会

(一社)
電力
日本鉄道 ISAC
電気技術協会

27社
1団体

306社
1団体

194社
2団体

1,276社

280社
7機関

42社

47社

193社

14社
1団体

8社

22社
1団体

408社・
団体

336社

13社

2社・団体

━━

━

9社

━━

━

(一社)
地方公共 (公社)(公社)(一社)
石油化学 (一社)
石油連盟
日本ガス 団体情報 日本医師 日本水道 日本物流 工業協会 日本クレ協会
システム機 会
協会
団体連合
ジット協会
技術部
情報システ 総務部総 会
構製造グルー システム統プ
括室リスク管理課

24社

12社
1団体

21社・
機関

196社・
団体

(のべ数)

NISCからの情報の展開先(構成員以外)

ム課

47
1グループ
都道府県 21機関
1,741
市区町村

━務課

8水道
事業体

内容に応じ

398社・
1,314事業
団体
体へ展開

6団体
17社

13社

51社

11社

━━

━

━

その他(核物質防護等の措置が要求される企業、ビルディング・オートメーション協会、サイバーディフェンス連携協議会、大学等(内容に応じ展開先を選定))■ その他
情報通信(ICT-ISACにおいて、一部の放送事業者及びケーブルテレビ事業者が加盟)、金融(金融ISACにおいて、加盟金融機関間で情報共有・活動連携)、航空・空港・鉄道・物流(交通ISACにおいて、参加事業者間で情既存事業領域報共有・活動連携)、電力(電力ISACにおいて、加入する電気事業者間で情報共有・活動連携)、化学(石油化学工業協会と日本化学工業協会の情報共有・活動連携)、クレジット(ネットワーク事業者と情報共有・活動連を越える連携等携)、J-CSIP(IPA：標的型攻撃等に関する情報共有)、サイバーテロ対策協議会(重要インフラ事業者等と警察との間で連携、47都道府県に設置)、早期警戒情報CISTA(JPCERT/CC: セキュリティ情報全般)