独立行政法人等の情報セキュリティ対策の現状について
対象機関： 独立行政法人、国立大学法人及び大学共同利用機関法人 （189法人）
調査時点： 平成21年2月末時点※前回調査は、平成19年2月末時点に195法人に実施。
前回調査は、平成19年月末時点に195法人に実施。
※文部科学省所管の法人において、前回調査では独自に実施していた類似調査の結果を用いているため、単純な経年比較は出来ないことに注意が必要。

「第１次情報セキュリティ基本計画」 （平成18年2月2日情報セキュリティ政策会議決定）
第３章 第１節 （１） ア ②独立行政法人等のセキュリティ対策の改善
政府機関統一基準を踏まえ、独立行政法人等の情報セキュリティ水準の向上を促進する。特に、これまで情報セキュリティポリシーを策定していない独立行政法人等については、情報資産及びリスクの状況等、各法人の実情を踏まえつつ、情報セキュリティポリシーの策定を行い、また策定されている独立行政法人等については、ポリシーの見直しを行う等の改善を図る。

情報セキュリティポリシーの策定状況

0%

20%

H19（N=195）

40%

60%

116(59%)H21（N=189）

80%22(11%)

100%

52(27%)

146(77%)25(13%)

既に策定している

現在、策定を進めている段階である策定を検討中である

策定する明確な予定はない

5(3%)
17(9%)

前回の調査結果と比べ一定の進捗が見られ、全体の88割弱で情報セキュリティポリシーが策定済みとなった。
前回の調査結果と比べ一定の進捗が見られ、全体のしかし、情報セキュリティポリシー策定の際に、数年前の基準を基にしているものも多く、最新の脅威に対応した情報セキュリティポリシーとなっているか懸念が残る。引き続き取り組みが必要。

情報セキュリティポリシーの参考状況※複数回答含む『上記以外』の主なもの：
・高等教育機関の情報セキュリティ対策のためのサンプル規程集（27）・情報セキュリティポリシーに関するガイドライン（15）・ISO27001、17799系（6）

0%

5%

10%

15%

20%

政府機関統一基準・初版（平成17年12月策定）

40%

45%

38(20%)

政府機関統一基準・第4版（平成21年2月改訂）

13(7%)

所管府省庁の基準(平成18年度版)

12(6%)
5(3%)
7(4%)

上記以外
特に踏まえていない

35%

29(15%)

政府機関統一基準・第3版（平成20年2月改訂）

所管府省庁の基準(平成20年度版)

30%

41(22%)

政府機関統一基準・第2版（平成19年6月改訂）

所管府省庁の基準(平成19年度版)

25%

79(42%)
13(7%)

11(1%)

＜情報セキュリティポリシー策定済み法人の対策実施状況＞
0%

20%

40%

60%

80%

100%

ポリシーの見直し
H19（N=116 ）

36(31%)

H21（N=146）

22(19%)

18(12%)

82(56%)

定期的に実施している0%

職員の教育・訓練

58(50%)

制度が変更されたとき等、不定期に実施している

20%

H19（N=116 ）47(32%)

40%

60%

57(49%)

H21（N=146）

0%

80%

100%

50(43%)

55(37%)

定期的に実施している

実施していない9(8%)

51(35%)

41(28%)

制度が変更されたとき等、不定期に実施している

20%

40%

60%

実施していない

80%

100%

遵守状況の把握
H19（N=116 ）H21（N=146）

42(36%)

46(31%)

定期的に実施している

19(16%)

54(37%)

不定期に実施している

55(47%)

47(32%)

実施していない

情報セキュリティポリシー策定済みの法人においても、ポリシーに基づく対策の実施（Do）、評価（Check）、見直し（Act）の徹底は前回調査よりも不十分な状況である。ポリシーを策定するにとどまらず、見直し、活用することが重2要であり、第二次情報セキュリティ基本計画期間中における能動的なPDCAサイクルの構築を強く期待する。

＜情報セキュリティ対策推進体制の整備状況＞
0%

最高情報セキュリティ責任者（CISO）の設置責任者（CISO）の設置

20%

40%

60%

100%

H19（N=195 ）

146(75%)49(25%)

H21（N=189）

139(74%)50(26%)

置いている（兼務を含む）
0%

統括組織の設置

80%

20%※統括組織とは、全組織的に情報セキュリティ対策を主管している部署のこと。

60%

116(59%)H19（N=195 ）H21（N=189）

40%

置いていない32(17%)

80%
57(29%)

146(77%)100%
22(11%)

11(6%)

専任的に行っている部署がある兼務であるが、担当している部署がある
全組織的に管理している部署はない

前回調査に比較し、ＣＩＳＯを設置している組織数はほぼ横ばい。他方、全組織的に情報セキュリティ対策を専任で行っている部署が大幅に減少し、兼務へとシフトしている。本データのみで一概に善し悪しを評価できないが、適切な推進体制の整備が必要。

3

＜規程類の整備状況＞
運用に関する規程類

0%

H19（ N=195 ）H21（N=189）※規程類とは、情報セキュリティポリシーに基づくセキュリティ対策を円滑に実施するための文書（実施手順、規程及びマニュアル等）

20%

40%

60%

112(57%)29(15%)

85(45%)※複数回答を含む

100%

25(13%)

55(29%)

29(15%)

45(24%)

既に策定している

現在、策定を進めている段階である策定を検討中である

策定する明確な予定はない

0%

職員の情報管理に関する規程類と職員の情報管理に関する規程類と情報管理対策の状況（N=189）

80%

10%

20%

1 規程類において、適切な情報管理を求めている。

30%

40%

4(2%)

50%

60%

80%

100(53%)

2 今年度実施した職員の教育・訓練等において、適切な情報管理を求めた。

89(47%)

3 今年度実施した注意喚起等の周知・展開において、適切な情報管理を求めた。

133(70%)

上記2又は3において、Winny等ファイル交換ソフトによる情報流出事案への対応を含めて実施した。

84(44%)

その他

18(10%)

対応を検討中である。

特に対応する予定はない。

70%

18(10%)

0(0%)

規程類の整備については、ほとんどの法人において取り組みを進めてはいるものの十分な状況ではなく、職員が情報を取り規程類の整備については、ほとんどの法人において取り組みを進めてはいるものの十分な状況ではなく、職員が情報を取り扱う場面にて情報セキュリティポリシーに即した対処が円滑に行われるように、引き続き取り組みが必要。
引き続き取り組みが必要。
扱う場面にて情報セキュリティポリシーに即した対処が円滑に行われるように、
4

＜第２次情報セキュリティ基本計画に向けたその他の状況＞「第２次情報セキュリティ基本計画」 （平成21年2月3日情報セキュリティ政策会議決定）
第３章 第１節 （１） ① （オ） 独立行政法人等の情報セキュリティ対策の推進
独立行政法人等の情報セキュリティ対策を推進するため、独立行政法人等を所管する政府機関は、中期目標の中に情報セキュリティ対策に係る事項を明記し、独立行政法人等が組織として情報セキュリティ対策に取り組む体制を構築させる。各独立行政法人等は、その業務特性及び対策の実施状況に応じて、政府機関統一基準を含む政府機関における一連の対策を踏まえ、自らの情報セキュリティ対策に係るＰＤＣＡサイクルを構築する。また、独立行政法人等及び独立行政法人等を所管する政府機関は、緊急時を含め実効性のある連絡体制を整備する。
情報セキュリティに係る中期計画

0%

20%

40%

60%

80%

100%

（N=189）60(31%)

言及している86(45%)

45(24%)

次期計画で言及することを検討中である

言及する予定はない

中期計画において自組織の情報セキュリティ対策に言及している法人は約3中期計画において自組織の情報セキュリティ対策に言及している法人は約3割である。第2割である。第2次情報セキュリティ基本計画に基づき、所管する府省庁の策定する中期目標に当該事項を明記することで、各法人の中期計画にも反映されることを推進する必要がある。
所管する府省庁の策定する中期目標に当該事項を明記することで、各法人の中期計画にも反映されることを推進する必要がある。
0%

注意喚起等の周知・展開方法について（N=189）10%

全職員・部署にメールや掲示板で周知・展開している

20%

30%

40%

50%

60%

70%

87(46%)※複数回答を含む事案に応じて関係職員・部署にメールや掲示板で周知・展開している

その他の方法で周知・展開している

周知・展開はしていない

126(67%)

11(6%)

1(1%)

5
一部の法人では、情報セキュリティに関する実効性のある連絡体制が整備されていないことが懸念される。

最高情報セキュリティ
アドバイザー（）の設置
アドバイザー（CISO補佐官
CISO補佐官）の設置（N=189）

0%

20%

7(4%)

63(33%)

40%

60%

80%

100%

119(63%)

専任で置いているCIO（情報化統括責任者）補佐官等との兼務で置いている
置いていない最高情報セキュリティアドバイザー（）の業務
業務
アドバイザー（CISO補佐官
CISO補佐官）の

0%

20%

40%

60%

80%

100%

（N=70）
35(49%)

業務内容を定めている

27(38%)

検討中である10(14%)

業務内容を定めていない

最高情報セキュリティアドバイザーを設置している法人は、兼務を含めると4
最高情報セキュリティアドバイザーを設置している法人は、兼務を含めると4割弱である。自らの情報セキュリティ対策に係わるPDCAサイクルを構築するにあたり、最高情報セキュリティ責任者を補佐する情報セキュリティアドバイザーの活用等についても検討
PDCAサイクルを構築するにあたり、最高情報セキュリティ責任者を補佐する情報セキュリティアドバイザーの活用等についても検討されることが望まれる。

6