「情報セキュリティ白書2022」の刊行にあたって
2021 年も新型コロナウイルス変異株による感染拡大が継続しました。米欧では対策緩和の方針がとられましたが、ワクチン接種やそれに基づく移動許可等の可否について多くの議論を呼びました。日本は、厳しい規制の中で東京 2020 オリンピック・パラリンピック競技大会を無観客で開催、成功させましたが、その後も規制はゆるまず、テレワーク等の新しい業務形態が定着していきました。
この間、重要な組織やインフラを狙った攻撃も続きました。特に目立ったのがランサムウェア被害です。
米国では 2021 年 5 月にエネルギー事業者が攻撃を受け、米国東部の石油供給が一時ストップしました。国内では 7 月に食品事業者がバックアップデータまで暗号化され、事業再開が遅れました。10 月には病院が攻撃を受けて診療に支障が出ました。2022 年 2 月には製造事業者が攻撃を受け、納入先の事業者の生産に影響が出ました。昨年の巻頭言で申し上げたとおり、こうした攻撃は巧妙化しており、システムの脆弱性やサプライチェーンを介して侵入し、情報を盗んで二重の脅迫を行う等、深刻な脅威となっています。一方脆弱性については、テレワークで活用が進んだ VPN 等の対策がまだ十分でなく、12 月には広範囲の Web システムに影響を及ぼす Log4j の脆弱性が報告されました。こうした懸念もあり、2022 年の 10 大脅威では修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）が初めてランクインしま
した。テレワークや DX 推進等によって生活や業務の各場面でデジタル化が進む中、安全で信頼できると思っていた機器やシステムに脆弱性が見つかり、ゼロデイ攻撃され、生活の一部が突然立ち行かな
くなるかもしれない、そういう時代を私達は迎えつつあります。
更に 2021 年後半以降のウクライナ危機は、「まさかこのような事態が起こるとは」を私達に痛切に感じさせました。ロシアとウクライナの紛争は、情報セキュリティの視点からは、三つの点が特に注目されます。
一つ目は、紛争が武力とサイバー空間上の攻防が組み合わされたハイブリッドな戦いであること。二つ目は、ネット等で配信される紛争関連情報が急増し、その信頼性の見極めが難しいこと。最後は、サイバー空間の攻防において、民間組織や個人が簡単に当事者になってしまうこと。私達は国家間の分断や物的な流通分断のリスクに加え、虚偽の情報に誘導される、サイバー攻撃の対象になる、等のリスクに直面することとなりました。
半年前まで想定できなかったこうした状況に私達はどう対応すればよいでしょうか。申し上げてきたことの繰り返しになりますが、リスク対応の基本が大切であると思います。情報セキュリティに関しては、機器やシステムの脆弱性をなくすこと、このサービスが止まったときにどうするか、の想像力を持つことは大変重要です。また虚偽の情報に惑わされないために、様々なソースの情報を参照し、視野を広く持つことも大切になるでしょう。本白書が、多くの方々に広く利用され、新しい生活や働き方のリスクに対する意識を高め、備えを実践するための一助となることを祈念します。
2022年7月
独立行政法人情報処理推進機構
（IPA）
理事長

目次
序章 2021年度の情報セキュリティの概況
第1章 情報セキュリティインシデント・脆弱性の現状と対策・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

6

・・・・・・・・・・・・・・・

8

・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・

8

1.1 2021年度に観測されたインシデント状況
1.1.1
1.1.2

世界における情報セキュリティインシデント状況・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 8
国内における情報セキュリティインシデント状況・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 11

1.2 情報セキュリティインシデント別の手口と対策

・・・・・・・・・・・・・・・・・・・・・・・・・

1.2.1
1.2.2
1.2.3
1.2.4
1.2.5
1.2.6
1.2.7
1.2.8

標的型攻撃・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 16
ランサムウェア攻撃・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 21
・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 26
ビジネスメール詐欺（BEC）
・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・
31
DDoS攻撃ソフトウェアの脆弱性を悪用した攻撃・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 33
ばらまき型メールによる攻撃・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 36
個人をターゲットにした騙しの手口・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 39
情報漏えいによる被害・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 49

1.3 情報システムの脆弱性の動向

・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

1.3.1
1.3.2

・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

70

・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

70

2.1 国内の情報セキュリティ政策の状況

政府全体の政策動向・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 70
経済産業省の政策・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 74
総務省の政策・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 81
警察によるサイバー犯罪対策・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 87
CRYPTRECの動向・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 91

2.2 国外の情報セキュリティ政策の状況

・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

2.2.1
2.2.2

・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

101

情報セキュリティ人材の状況・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 101
産業サイバーセキュリティセンター・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 105
情報セキュリティ人材育成のための国家試験、国家資格制度・ ・・・・・・・・・・・・・・・ 107
情報セキュリティ人材育成のための活動・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 108

2.4 組織・個人における情報セキュリティの取り組み

・・・・・・・・・・・・・・・・・・・・・

2.4.1
2.4.2
2.4.3
2.4.4

94

国際社会と連携した取り組み・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 94
アジア太平洋地域でのCSIRTの動向・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 98

2.3 情報セキュリティ人材の現状と育成
2.3.1
2.3.2
2.3.3
2.3.4

55

JVN iPediaの登録情報から見る脆弱性の傾向・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・ 55
早期警戒パートナーシップの届出状況から見る脆弱性の動向・ ・・・・・・・・・・・・・・・・ 59

第2章 情報セキュリティを支える基盤の動向
2.1.1
2.1.2
2.1.3
2.1.4
2.1.5

16

112

企業等における対策状況・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 112
中小企業に向けた情報セキュリティ支援策・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 115
教育機関・政府及び地方公共団体等法人における対策状況・・・・・・・・・・・・・・・・ 120
一般利用者における対策状況・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 123

2.5 情報セキュリティの普及啓発活動

・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

2.5.1
2.5.2
2.5.3

ネットリテラシーの重要性・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 127
恒常的な啓発活動・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 129
インターネットがもたらす未来・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 131

2.6 国際標準化活動

・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

2.6.1
2.6.2

・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

3.1 制御システムの情報セキュリティ

・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

173

186

クラウドサービスの利用状況・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 186
クラウドサービスのインシデント被害・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 187
クラウドサービスのセキュリティの課題と対策・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 189
クラウドの情報セキュリティに対する政府の取り組み・ ・・・・・・・・・・・・・・・・・・・・・・・ 193

3.4 米国・欧州の情報セキュリティ政策

・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

3.4.1
3.4.2

164

残存するIoTのセキュリティ脅威・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 173
サプライチェーンとEOLのリスク・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 177
脆弱なIoT機器とウイルス感染の実態・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 182
セキュリティ対策強化の取り組み・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 183

3.3 クラウドの情報セキュリティ
3.3.1
3.3.2
3.3.3
3.3.4

164

インシデントの発生状況と動向・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 164
脆弱性及び脅威の動向・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 167
海外の制御システムのセキュリティ強化の取り組み・ ・・・・・・・・・・・・・・・・・・・・・・・・ 169
国内の制御システムのセキュリティ強化の取り組み・ ・・・・・・・・・・・・・・・・・・・・・・・・ 171

3.2 IoTの情報セキュリティ
3.2.1
3.2.2
3.2.3
3.2.4

150

個人情報保護法改正・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 150
内部不正防止対策の動向・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 152
暗号技術の動向・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 155

第3章 個別テーマ
3.1.1
3.1.2
3.1.3
3.1.4

143

ITセキュリティ評価及び認証制度・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 143
暗号モジュール試験及び認証制度・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 146
・ ・・・・・・・・・・・・・・・・・ 148
政府情報システムのためのセキュリティ評価制度（ISMAP）

2.8 その他の情報セキュリティ動向
2.8.1
2.8.2
2.8.3

133

様々な標準化団体の活動・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 133
情報セキュリティ、
サイバーセキュリティ、
プライバシー保護関係の規格の標準化
・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・
134（ISO/IEC JTC 1/SC 27）

2.7 安全な政府調達に向けて
2.7.1
2.7.2
2.7.3

127

195

米国の政策・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 195
欧州の政策・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 201

付録

資料・ツール・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

221

資料A 2021年のコンピュータウイルス届出状況・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 222
資料B 2021年のコンピュータ不正アクセス届出状況・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 223
資料C ソフトウェア等の脆弱性関連情報に関する届出状況・ ・・・・・・・・・・・・・・・・・・・・・・ 225
資料D 2021年の情報セキュリティ安心相談窓口の相談状況・・・・・・・・・・・・・・・・・・・・・ 228
IPAの便利なセキュリティツール・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 230

第17回IPA「ひろげよう情報モラル・セキュリティコンクール」2021受賞作品

・ ・・・・

234

・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

246

索引

コラム
知ってる人は知っている、知らない人は多分ぜんぜん知らない 情報セキュリティの10大脅威・・・・・・・・・・・・・・・・ 15
子どもへの情報リテラシー教育のために・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 54
多様化する「だまし」の手口に対抗するには ・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 63
デジタル庁が進めるシステム検証とは？・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 93
高齢者層の情報セキュリティ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 126
インターネット上の戦い・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 132
DXとセキュリティの相性は悪いのか・ ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 194
Disinformationの脅威とは・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 209

2022

情報セキュリティ白書●序章

2021年度の情報セキュリティの概況●第1章 情報セキュリティインシデント・脆弱性の現状と対策
1.1 2021年度に観測されたインシデント状況
1.2 情報セキュリティインシデント別の手口と対策
1.3 情報システムの脆弱性の動向●第2章 情報セキュリティを支える基盤の動向
2.1 国内の情報セキュリティ政策の状況
2.2 国外の情報セキュリティ政策の状況
2.3 情報セキュリティ人材の現状と育成
2.4 組織・個人における情報セキュリティの取り組み
2.5 情報セキュリティの普及啓発活動
2.6 国際標準化活動
2.7 安全な政府調達に向けて
2.8 その他の情報セキュリティ動向●第3章 個別テーマ
3.1 制御システムの情報セキュリティ
3.2 IoTの情報セキュリティ
3.3 クラウドの情報セキュリティ
3.4 米国・欧州の情報セキュリティ政策

序章
2021年度の情報セキュリティの概況

2020 年から世界中で流行した新型コロナウイルス感重要とされた。また同月にデジタル庁が発足、政府の染症については、日本・米国・欧州ではワクチン接種がIT 基盤とセキュリティの整備を統括することとなった。サ

進み、感染者の増減はあるものの、経済活動は徐々に

プライチェーンセキュリティについては、経済産業省がサ以前の状態に戻りつつある。国内では、感染拡大防止

プライチェーン・サイバーセキュリティ・コンソーシアム

対策として実施されたテレワークやオンライン会議等が新（SC3）等を継続的に推進した。

しい働き方として定着しつつある。こうした業務の見直し、

米国では、重要インフラやライフラインに関わる制御シ

デジタル化は、組織における DX（デジタルトランスフォー

ステムへの攻撃が相次ぎ、水道や浄水場等の制御シス

メーション）の推進を後押しする形となっている。

テムへの攻撃、石油供給事業者へのランサムウェア攻2021 年はランサムウェアの手口が巧妙化して被害が撃が報告された。米国 Biden 政権は重要インフラのセ拡大し、サプライチェーンに関連したインシデントや脆弱

キュリティ対策強化を打ち出し、これを受けた米国国立性を狙った攻撃も引き続き発生した。警察庁によれば、標準技術研究所（NIST）は、重要ソフトウェア調達にお2021 年下期の被害報告件数は 2020 年下期の 4 倍とけるセキュリティガイドライン策定、消費者向け IoT 製品なった。また、2021 年 7 月の製粉会社、10 月の病院のラベリング制度の検討等を実施した。NIST はまたサの事案では、バックアップデータも暗号化されたために早プライチェーンセキュリティに関する官民連携イニシアティ

期復旧が困難であった。データ保管方法の見直しや復ブ（NIICS）の設置、サプライチェーンリスク管理の標準

旧計画の重要性が再確認された。

ガイド（NIST SP800-161）の改訂を進めた。今後の動向

攻撃経路として、海外拠点、海外子会社、取引先が注目される。

が攻撃され、被害を受ける事案も多くみられた。2021

欧州では、欧州ネットワーク・情報セキュリティ機関

年 10 月の医薬品メーカの情報漏えい事案は海外拠点（ENISA）が主導し、重要インフラに関するサイバーセが攻撃対象であった。2022 年 2 月の自動車部品会社

キュリティ準拠法の改訂案（NIS2 Directive）審議、あるへのランサムウェア攻撃では、部品供給先の自動車メー

いは域内の製品・サービスのセキュリティを担保するサイカの工場が 1日停止した。サプライチェーン全体のセキュ

バーセキュリティ認証スキーム（EUCC scheme V1.1.1）

リティ強化が求められている。情報漏えい事案としては、の構築等を中心としてセキュリティ政策を推進した。また

マッチングアプリや大手製菓製造会社への不正アクセス

欧州委員会は 2021 年 4 月、AI 利用リスクへの対処ににより合わせて 300 万件以上の大量の個人情報が流出関する法案を公表した。同法は罰則を伴う初の AI 利

した。

用規格として注目される。

ソフトウェアの脆弱性を悪用した攻撃も継続して報告さこのように、各国とも重要インフラやサプライチェーンへれた。2021 年に報告された脆弱性としては、
VPN 製品、のセキュリティ対策強化を進めてきたが、2021 年後半以

Microsoft Exchange Server の脆弱性、多くの製品や降はウクライナ情勢が悪化、2022 年 2 月のロシアのウクソフトウェアで使用される Java ベースのロギングライブラ

ライナ侵攻により、世界は新たな緊張に直面している。

リApache Log4j の脆弱性等、影響範囲が広く、攻撃

この紛争は、武力とサイバー攻撃・防御あるいはサイバーにより大きな被害が予想されるものが目立った。このほか、空間での情報戦が組み合わさったハイブリッドな戦いが2021 年初頭に欧州司法機関の一斉テイクダウンにより沈特徴であり、サイバー空間上では政府に加えて民間組

静化したウイルス「Emotet（エモテット）」の感染が再拡織・個人が参画する、というまったく新たな状況が生ま

大し、2022 年に入り注意喚起された。

れている。政府の安全保障政策・サイバーセキュリティ

セキュリティ政策面では、国内では 2021 年 9 月に「サ政策は言うまでもなく、企業や個人がこのリスクへの対

イバーセキュリティ戦略」が閣議決定された。同戦略では応、例えば、親ロシア系ハッカーの攻撃への備え、紛争「DX with Cybersecurity」として、デジタル社会の進に関連する情報の信頼度の見極め等をどうするべきか、展と併せてサイバーセキュリティ確保の取り組み推進がが問われている。

6情報セキュリティ白書

主な情報セキュリティインシデント・事件

2021 年4月

ファーストフードチェーン店でランサムウェア被害（1.2.8）
マッチングアプリが不正アクセスを受け約 171 万件の個人情報流出
（1.2.8、3.3.2）

5月

6月

7月

米石油供給事業者へのサイバー攻撃、身代金 500 万ドル相当を支払いか（3.4.1）無線通信機器メーカ、2017 年に不正アクセス確認か
ら 3 年以上報告せず（1.2.8）
電子部品メーカの再委託先社員が取引先情報約 3 万件、従業員関連情報約 4 万件を不正持ち出し（1.2.8）
大手製粉会社がサイバー攻撃を受けシステム障害（1.2.2）
IT 管理ツールをランサムウェア攻撃に悪用（1.1.1）8月

主な情報セキュリティ政策・イベント

経済産業省「サイバーセキュリティ体制構築・人材確保の手引き」（第 1.1 版）
改訂（2.1.2、2.3.1）
欧州委員会「Artificial Intelligence Act」
（AI 法）
提出（3.4.2）

サプライチェーンセキュリティ強化を目指した米国大統
領令 EO 14028 発表（3.4.1）
EU 域内のセキュリティ認証スキーム（EUCC scheme
V1.1.1）
公開（3.4.2）

総務省「スマートシティセキュリティガイドライン（第 2.0版）」公開（2.1.3）

NISC「政府機関等のサイバーセキュリティ対策のための統一基準（令和３年度版）」公開（2.1.1）
総務省「ICTサイバーセキュリティ総合対策 2021」公開（2.1.3）
IPA「サイバーセキュリティ経営可視化ツール」公開（2.1.1）（1.2.5）ProxyShell の脆弱性を公表

NIST が「サプライチェーンセキュリティに関する官民を推進する国家イニシアティブ」
を設置（3.4.1）（2.1.1）
デジタル庁発足

9月

10 月

11 月

NISC「サイバーセキュリティ戦略」「サイバーセキュリ
ティ2021」決定（2.1.1）
徳島の町立病院でランサムウェアの被害発生（1.2.2）
医薬品メーカの国内外の拠点に不正アクセス（1.2.8）
大手眼鏡販売チェーン持株会社で約 1 億円のビジネ
スメール詐欺被害（1.2.3）
Emotet（エモテット）の攻撃活動再開（1.2.6）12 月

2022 年1月

ロギングライブラリ Apache Log4j の任意のコード実
行の脆弱性に関する注意喚起（1.1.1、1.3.2）
スマホ決済のキャンペーン関係識別情報 13 万 3,484
件が GitHub 上で閲覧可能になっていたと発表（1.2.8）

CISA、FBI がウクライナで使用された破壊的ウイルスに関し注意喚起（3.4.1)
自動車部品会社がサイバー攻撃を受け、自動車メーカ
が国内工場停止（1.2.2）3月

Ransom Disclosure Act 米国議会に提出（3.4.1）NISC「クラウドを利用したシステム運用に関するガイダンス」公開（2.1.1、3.3.4）
CISA が既知の脆弱性悪用に関する重大リスクの削減
に関する運用指令を公開（3.4.1）

米 Biden 大統領が国防授権法に署名、アジア大平洋地域やウクライナ・NATO への関与を強化（3.4.1）

決済サービス事業者不正アクセスによる情報漏えい公表（1.2.8）ロシアがウクライナに侵攻（3.4.1）2月

NISC、第 14 回「日・ASEAN サイバーセキュリティ政策会議」開催（2.2.1）

大手製菓製造会社への不正アクセス（1.2.8）
複数の自治体で利用するクラウドが踏み台となり約 91
万件の迷惑メール発信（3.3.2）

NIST「ソフトウェアサプライチェーンセキュリティガイダ
ンス」、NIST SP800-218 Ver.1.1 公開（3.4.1）CISA がウクライナ関連攻撃対策サイト「SHIELDSUP」
を公開（3.4.1)
総務省「地方公共団体における情報セキュリティポリ
シーに関するガイドライン」改訂版等公開（2.1.3）※ 2021年度の主な情報セキュリティインシデント・事件、及び主な情報セキュリティ政策・イベントを示している。標的型攻撃、ランサムウェア被害、
ビジネスメール詐欺、DDoS 攻撃、Web 改ざん、フィッシング等の攻撃や被害は通年で発生している。表中の数字は本白書中に掲載している項目
番号である。特に注目されたもののみを挙げた。他のインシデントや手口と対策、及び政策・イベント等については本文を参照していただきたい。

7

２０２１年度の情報セキュリティの概況

VPN 製品「Pulse Connect Secure」
ゼロデイ攻撃発生（1.2.5）

序章

2021 年度の情報セキュリティの概況

2022

第1章
情報セキュリティインシデント・脆弱性の現状と対策
2021 年もテレワークや DX 推進の取り組みが進む中、なった。

国内外でランサムウェアやサプライチェーン攻撃による本章では、国内外で発生した主なインシデントの概要

大きな被害が続いた。Emotet の感染再拡大、影響と攻撃の手口や対策の状況、脆弱性の動向等についてと深刻度が大きい Apache Log4j の脆弱性等も話題と解説する。

1.1 2021年度に観測されたインシデント状況
本節では 2021 年度に観測された世界と日本における2017年

情報セキュリティインシデントの発生状況について概説す
る。

2018年
2019年

世界における情報セキュリティ
1.1.1
インシデント状況

2020年

世界における情報セキュリティインシデントの発生状況

2021年について、主に以下の情報セキュリティ関連の報告書を

301,580件
14億ドル

総届出件数

276万件

351,937件

187億ドル467,361件
35億ドル
791,790件
42億ドル
847,376件
69億ドル
届出件数

参照し概説する。

総被害額

27億ドル

被害額

■図 1-1-1 サイバー犯罪の届出件数と被害額の推移（出典）
FBI「Internet Crime Report 2021」
を基に IPA が編集• 米 国 連 邦 捜 査 局（FBI：Federal Bureau of
Investigation）：Internet Crime Report 2021 ※ 1• Anti-Phishing Working Group, Inc（APWG）：
Phishing Activity Trends Reports

ドで売り切れや油価の高騰等、社会に大きな影響を与え※2

5「3.4.1（1）（b）Colonial Pipeline 事案とその対応」
た※ （• Verizon Communications Inc.
（以下、Verizon 社）：
2022 Data Breach Investigations Report

参照）。

※3

2021 年の 3 月と8 月に相次いで発見された Microsoft• 日本アイ・ビー・エム株式会社（以下、IBM 社）：

Exchange Server の ProxyLogon ※ 6 及び ProxyShell ※ 7

IBM X-Force 脅 威インテリジェンス・インデックスの脆弱性においては、最も攻撃に晒されやすいインター

2022

※4

ネットに接続された Exchange Server の総数が 40 万台
8「1.2.5（2）Microsoft
以上にわたっていると報告された※ （（1）広い範囲に影響を与えるサプライチェーンに対するインシデント

製品の脆弱性を対象とした攻撃」「3.4.1（1）（a）
Microsoft

FBI によると、サイバー犯罪の件数と被害額は過去 52021 年 12 月には、Apache Log4j の任意のコード

年間増加を続け、2021 の年間被害額は 69 億ドルとなっが実行される脆弱性（CVE-2021-44228）がアナウンスた（図 1-1-1）。

さ れ た ※ 9。Apache Log4j は Apache Software

Exchange Server 事案とその対応」参照）。

中でも、2021 年は広範囲に影響を及ぼしたサプライ

Foundation が開発したオープンソースの Java ベースのチェーンに関わるインシデントが注目された。ここでは 5

ロギングライブラリである。発見された脆弱性の CVSS

件の事例を紹介する。

（Common Vulnerability Scoring System）
による深刻

2021 年 5 月、 米 Colonial Pipeline Company がラ

度は、最大値の 10.0（レベルⅢ（危険））であった。影響

ンサムウェアによるサイバー攻撃を受け、米国東海岸のを受ける最初のバージョンのリリースが 2013 年と古く、シ燃料輸送が 6 日間にわたり停止し、多数のガソリンスタン

ステムを開発する際に、開発者がこのモジュールを組み

8情報セキュリティ白書

込むことが可能だったため、ソフトウェアの使用者が、（件数）
800,000

Log4j が組み込まれていること自体を把握していなかったり、どのバージョンが組み込まれているかを把握する

600,000

第 章

ことも困難だったりと、混乱が生じた（「3.1.2（1）（a）

400,000。
Log4Shell」参照）
2020 年から続いた米 SolarWinds Worldwide, LLC.

1

200,000

アップデートファイルに悪意のあるウイルスが組み込まれ2020年

た、サプライチェーン攻撃によるものであった（本インシデ■図 1-1-3 業種別のフィッシングサイト件数（2020 年と2021 年の比較）（出典）
APWG「Phishing Activity Trends Reports」
を基に IPA が作成

ントに関係した米国の政策については「3.4.1 米国の政

2021年

策」参照）
。
2021 年 7 月には、
米 Kaseya Limited の IT 管理ツー

（3）
フィッシングによる被害」
を参照されたい。

ル「VSA」がサイバー攻撃を受け、ランサムウェアを拡散（3）情報漏えいインシデントの状況する攻撃に悪用された。その結果、1,500 社近くの会社

Verizon 社によると、2021 年に同社が分析した 2 万がランサムウェアによる攻撃を受けた可能性があるとKaseya Limited は発表している。

3,896 件のインシデントのうち、情報漏えい／侵害の件数
は 5,212 件であり、
2 万 9,207 件のインシデントのうち 5,258（2）
フィッシングの傾向件だった 2020 年※ 12 に比べ、インシデント件数が 18.1%

APWG によると、2021 年の届け出されたフィッシング

減ったものの、情報漏えい／侵害の件数はほぼ横ばい

サイトの総数は約 284 万 8,000 件で、2020 年と比較しだった。

て 87% 増と大幅に増加し、過去 10 年で最多となった（図

情報漏えい／侵害の侵入手口では、「Web アプリケー

1-1-2）。

ション」の侵害が最も多く、「電子メール」「設定等の不備」「デスクトップ共有ソフト」と続いている（図 1-1-4）。

（件数）
400万

300万

Webアプリケーション

2,847,773

電子メール
設定等の不備

200万
1,520,832

1,397,553
100万

0630,507492,300 393,160

789,068

662,795

デスクトップ共有ソフト
バックドア

785,920 791,766

その他
02012 2013 2014 2015 2016 2017 2018 2019 2020 2021（年）

■図 1-1-2 世界における届け出されたフィッシングサイト件数（出典）
APWG「Phishing Activity Trends Reports」
を基に IPA が作成

10

20

30

40

50
（％）

■図 1-1-4 情報漏えい／侵害の侵入手口（2021 年、n=3,279）（出典）Verizon 社「2022 Data Breach Investigations Report」
を基に
IPA が編集

業種別のフィッシングサイト件数では、2021 年には、
「金融機関」が 23.5%、「SaaS ／ Web メール」が 19.6%、

情報漏えい／侵害の 82% において、窃取された認「ソーシャルメディア」が 13.8%と続いている。2017 年か

証情報の利用、フィッシング、特権の誤用、ヒューマンら2020 年までトップ 3 に入っていた「ペイメント（支払い）」

エラー等、人的要因が関与していたという。
また、システムへの侵入インシデントの 62% がサプライ

は 9.2%と、全体に占める割合は減った。ただし、各業

チェーンを介して発生したという。

種別の件数を 2020 年と比較すると上記業種はいずれも増加しており、「ペイメント（支払い）」以上に件数が増加（4）脆弱性とランサムウェアによる被害

した業種が多かったに過ぎないことが分かる（図 1-1-3）。

IBM Security X-Force Incident response によって

なお、フィッシングサイトの国内の傾向については「1.1.2

9

情報セキュリティインシデント・脆弱性の現状と対策

その他

ペイメント
︵支払い︶

ｅコマース／
小売り社が影響を受けた※ 10。このインシデントは、同社の正規

ソーシャル
メディア

金融機関

0

攻撃により、米政府機関を始め、同社顧客の 1 万 8,000

ＳａａＳ／
Ｗｅｂメールのネットワーク監視ソフト「Orion」の侵害による大規模な

※ 11

2022

観測された感染手口の内訳では、「フィッシング」と「脆

この中でもApache Log4j の脆弱性は 2021 年 12 月

弱性の悪用」が合わせて 75%と2020 年に続いて多い。

と比較的新しく報告されたものであるが、広く利用されてまた、2021 年には、「リムーバブル・メディア」や「パスワーいるライブラリであるため、このように頻繁に悪用される※ 13

ド・スプレー攻撃」といった項目も新たに登場している

結果になったと考えられる。

（図 1-1-5）。

IBM 社によると2021 年に攻撃の対象となった業種は、2020 年まで 1 位だった「金融・保険業」が 2 位となり、代41

フィッシング療／ヘルスケア」
も順位が大きく上昇している（図 1-1-6）。

9

資格情報の盗用

18
（順位）
1

6

ブルート・フォース

4
4

リモート・デスクトップ

パスワード・スプレー攻撃

順位と比較すると「製造業」のほか、「エネルギー業」「医34
35

脆弱性の悪用

リムーバブル・メディア

わって「製造業」が初めて首位となった。また、2019 年の

33

2

7

3

4
0

4

1
0

0

10

20
2021年

30

40

2020年

5

50
（％）

6

■図 1-1-5 上位の感染手口（2021 年と 2020 年の比較）（出典）
IBM 社「IBM X-Force 脅威インテリジェンス・インデックス 2022」
を基に IPA が編集

7
82021 年に頻繁に悪用された脆弱性の上位を表 1-1-19に示す。2020 年には上位 10 件中 4 件※ 14 が 2 年以内に公表された脆弱性であったが、2021 年には上位 10

10

件中 8 件が 2 年以内に公表されたものとなった。
CVE No.

2019年
製造業
エネルギー
運輸

内容

2020年
金融・保険業
小売・卸売業
官公庁／自治体

2021年
専門・ビジネスサービス
医療／ヘルスケア
教育
メディア■図 1-1-6 最も頻繁に攻撃対象となった業界の順位（上位 10 業種）（出典）
IBM 社「IBM X-Force 脅威インテリジェンス・インデックス 2022」
を基に IPA が作成

1

Microsoft Exchange server のCVE-2021-34523
ProxyLogon の脆弱性2

CVE-2021-44228 Apache Log4j ライブラリの脆弱性

3

Microsoft Exchange Server にCVE-2021-26857 おけるリモートでコードを実行される脆弱性

4

CVE-2020-1472

Netlogon の特権昇格の脆弱性

たのに対し、2021 年には 3,729 件、49.2 万ドルと大幅

5

CVE-2021-27101

Accellion における SQL インジェ
クションの影響を受ける脆弱性に増加した。ランサムウェアの被害を受けた業界は、「保6

CVE-2020-7961

Liferay Porta におけるリモートでコードを実行される脆弱性

7

CVE-2020-15505

MobileIron におけるリモートでコードを実行される脆弱性

8

CVE-2018-20062

ThinkPHP におけるリモートでコードを実行される脆弱性

9ForgeRock Access Management
CVE-2021-35464 （OpenAM）におけるリモートでコードを実行される脆弱性

一方、FBI によると、ランサムウェア被害の届出件数と被害額は 2020 年には 2,474 件、29.1 万ドル※ 15 だっ

健・公衆衛生」が最も多く、「金融サービス」「情報技術」「重要製造業」が続いている（次ページ図 1-1-7）。

（5）Linux を狙うウイルス
Linux を狙うウイルスは年々増加しているが、IBM
Security X-Force 脅威インテリジェンス・インデックスのパートナーである Intezer Labs の分析によると、ウイル
ス※ 14 のコードの多くが再利用されている場合は革新性

Citrix ADC および Citrix Gateway
10 CVE-2019-19781 における任意のコードを実行される脆弱性は低く、独自のバリエーションが多い場合は革新性が高い、という方法論に基づく指標を用いて、固有のコードを持つ Linux 環境のウイルスの割合を調査した結果、■表 1-1-1 2021 年に最も頻繁に悪用された上位の脆弱性（出典）
IBM 社「IBM X-Force 脅威インテリジェンス・インデックス 2022」
を基に IPA が作成

2021 年は 2020 年よりはるかに固有のコードを持つウイル

10情報セキュリティ白書（1）情報セキュリティインシデントの発生状況

148

保健・公衆衛生

MBSD 社によれば 2021 年の情報セキュリティインシデ

89

金融サービス

ントの種類別報道件数は全体で 769 件となり、2020 年

74

情報技術

65

政府施設

60

商業施設

56

食品・農業

52

の 537 件から 43.2% 増であった（図 1-1-9）。割合が最も多いのは「不正アクセス」で、37.2% であった。前年比では、「不正アクセス」が 141.6%、「改ざん」が 242.9%、

31

エネルギー
コミュニケーション

17

その他

19

（件数）
1,000

0

50

100

150

200
（件数）

800

■図 1-1-7 産業別ランサムウェア被害の届出件数（出典）
FBI「Internet Crime Report 2021」
を基に IPA が編集

600
400

スの割合が高くなったと報告している（図 1-1-8）。更に、200

Linux のウイルスが増加している理由は、クラウドの利

0

12.8

0

12.6

286

2020年

2021年

13.2

2,439 件で前年比 180.5% と急増し、過去 5 年間では9.3

最多となった（図 1-1-10）。

2.2
6.0

9.0

2021年

2020年

改ざん
その他

JPCERT/CC へ報告された Web サイト改ざん件数は

10.9

12.0

月別では 12 月が 434 件、四半期別では 2021 年 10

15.0
（％）

～ 12 月が 906 件で最も多かった（次ページ図 1-1-11）。

■図 1-1-8固有のコードを持つ Linux を狙うウイルス・（2021 年と 2020 年の比較）（出典）
IBM 社「IBM X-Force 脅威インテリジェンス・インデックス 2022」
を基に IPA が編集

1.1.2

85

35

2021 年 4 月 1 日 か ら 2022 年 3 月 31 日 ま で に

6.2

3.0

146

（2）Web サイト改ざんによる被害

0.9

マイナー
ボットネット198■図 1-1-9 情報セキュリティインシデントの種類別報道件数（出典）
MBSD 社による集計情報を基に IPA が作成

14.0
5.7

トロイの木馬

154

不正アクセス
情報流出

比率が高いためと分析している。

Banker

200
537

202

用増加に伴い、そこで運用される OS として Linux の

ランサムウェア

769（3）
フィッシングによる被害
フィッシング対策協議会への 2021 年度の報告件数は国内における情報セキュリティ
インシデント状況

（件数）
3,000

国内における情報セキュリティのインシデント発生状況について、主に以下の資料を参照して概説する。

2,439

2,500

• 三井物産セキュアディレクション株式会社（以下、2,000

MBSD 社）による集計情報※ 17• 一般社団法人 JPCERT コーディネーションセンター

1,500（JPCERT/CC：Japan Computer Emergency

1,000

Response Team Coordination Center）：インシデン

500

1,351

1,259
1,016

976

※ 18

ト報告対応レポート

0• フィッシング対策協議会：月次報告書※ 19• 警察庁：令和 3 年におけるサイバー空間をめぐる脅威

2017年度 2018年度 2019年度 2020年度 2021年度■図 1-1-10 W eb サイト改ざん年度別件数推移（2017 ～ 2021 年度）（出典）
JPCERT/CC「インシデント報告対応レポート」（2017 年 4 月 1 日～ 2022 年 3 月 31 日）
を基に IPA が作成※ 20-1の情勢等について111

情報セキュリティインシデント・脆弱性の現状と対策「情報流出」が 135.6%、「その他」が 129.9% であった。

38

交通機関

第 章

重要製造業

2022

た※ 20-2。例えば「Amazon」「Apple」「LINE」
「楽天」

（件数）
500

434

「三井住友カード」等である。しかし 2021 年度は悪用さ

400
324
300

れるブランドが多岐にわたり、2020 年度のように特定の289

ブランドが集中して悪用される傾向とは異なっている。

250

244

表 1-1-2 は 2021 年度に悪用された各月の上位五つの

200
173
100
0

65
4月

79
5月

6月

ブランドである。報告件数全体に占める割合は 2020 年

164

162 148107

度に比べ低下している。8 割を超過したのは 2021 年 4
7月

8月

9月 10月 11月 12月 1月

2月

月のみで、それ以降は 6 割から 7 割台半ばで推移し、3月

2022 年 2 月、3 月には 6 割を切った。この傾向は上位■図 1-1-11 W eb サイト改ざん月別件数推移（2021 年度）
（出典）
JPCERT/CC「インシデント報告対応レポート」（2021 年 4 月 1 日～ 2022 年 3 月 31 日）
を基に IPA が作成の特定ブランド以外にも多くのブランドが悪用されたことが要因である。表 1-1-3（次ページ）
は月間 1,000 件以上（件数）
800,000が報告されたブランドの数と全体に占める割合をまとめたものである。2020 年度の各月は上位 4 ブランドで約 9 割を占めていたが、2021 年 9 月以降は 10 以上のブランド

589,766

600,000

で全体の約 8 割を占め、多種多様なブランドが悪用され
400,000ていることがうかがえる。

319,066

警察庁によれば、フィッシングを主な手口とする「インターネットバンキングに係る不正送金」は、2019 年に被200,000

073,57622,503

11,2054月

2017年度 2018年度 2019年度 2020年度 2021年度■図 1-1-12 年
 度別フィッシング報告件数（2017 ～ 2021 年度）（出典）
フィッシング対策協議会「月次報告書」（2017 年 4 月～ 2022 年
3 月）
を基に IPA が作成

58 万 9,766 件で前 年 比 185% であった（ 図 1-1-12）。
2020 年度の件数はその前の過去 3 年に比べて突出していたが、2021 年度は更にそれを上回り、2017 年度と比べると52 倍以上に上る報告件数であった。この増加の内訳を悪用されたブランド数で見ると、2021 年度の各
月ブランド数は 2020 年度の同月を 1.1 倍から 1.6 倍程度上回っていた（図 1-1-13）。
月によってブランドの変動はあるが、2020 年度は毎
月上位四つのブランドで報告件数の約 9 割を占めてい

105
84

80
66

60 58

54

89

82
58

52

55

49

82

77

76

74

57

63

87

86
77
63

67

69
59

40

4月

5月

6月

7月

8月

9月 10月 11月 12月 1月

2020年度

2月

7月

8月

9月

1位

Amazon Amazon Amazon Amazon Amazon Amazon

2位

楽天

3位

三菱
三井住友 エムアイ
UFJ
カード
カード
ニコス

4位

三井住友 イオン 三井住友 イオン
カード
カード
カード
カード

5位

JCB

JCB

エポス
カード

VISA

コロナ
PayPay
ワクチン
銀行
ナビ

10 月

11 月

12 月

1月

2月

楽天

楽天

ETC
三井住友 三井住友
利用照会
カード
カード
サービス
楽天

エポス
カード

イオン
カード

イオン 三井住友
カード
カード

3月

1位

Amazon Amazon Amazon Amazon Amazon Amazon

2位

メルカリ メルカリ メルカリ メルカリ メルカリ メルカリ

3位

三井住友 三井住友 三井住友
カード
カード
カード

4位

ETC
利用照会
サービス

5位

楽天

20
0

6月

全件に
占める 66.6% 67.7% 74.0% 67.6% 56.6% 55.0%
割合

（件数）
120
100

5月

全件に
占める 81.2% 76.6% 71.4% 67.8% 65.8% 64.0%
割合

3月

2021年度

JCB

JCB

えき
ねっと

楽天

ETC
三井住友
利用照会
カード
サービス

－

－

ETC
利用照会
サービス

JCB

－

－

－

■表 1-1-2 悪用された上位ブランド名と報告全件に占める割合（出典）
フィッシング対策協議会「月次報告書」（2021 年 4 月～ 2022 年
3 月）
を基に IPA が作成■図 1-1-13 悪 用されたブランド数の比較（2020 年度、2021 年度）（出典）
フィッシング対策協議会「月次報告書」（2020 年 4 月～ 2022 年
3 月）
を基に IPA が作成

12

情報セキュリティ白書

ブランド数

9月

10 月 11 月 12 月

1月

2月

3月

者が標的となり、市民生活にまで重大な影響を及ぼす

10

11

10

10

18

事案も発生している。

9

12

全件に
占める 81.6% 83.2% 79.2% 88.4% 82.9% 74.2% 88.7%
割合

警察庁に報告された国内のランサムウェアによる被害
期 61 件、同下半期 85 件と急激に増加した（図 1-1-14）
。
（件数）
100
85
80

害額約 25 億 2,100 万円に達していたが、2021 年までに被害額は約 3 分の 1 に減少したという。一方、図61

60

1-1-12（前ページ）のとおりフィッシングの報告件数は増加

40の一途をたどっている。

20

一般財団法人日本サイバー犯罪対策センター（JC3：
Japan Cybercrime Control Center）によれば、2021

0

年は銀行を装ったフィッシングサイトの割合は少なく、ネッ

21

2020年下半期

2021年上半期

2021年下半期■図 1-1-14 企
 業・団体等におけるランサムウェア被害の報告件数の推移（出典）
警察庁「令和 3 年におけるサイバー空間をめぐる脅威の情勢等について｣を基に IPA が編集

ト通販等の e コマース、通信事業者、クレジットカード会
社等を装ったフィッシングサイトが多数を占めているという。
「インターネットバンキングに係る不正送金」の被害額が減少している一方で、ネット通販等のクレジットカード情報

2021 年中にランサムウェア被害を警察に報告した企業を窃取するフィッシングサイトの割合が大きくなったことが、に対し警察庁が行ったアンケート調査によると、企業・団

クレジットカード不正利用の被害額が増加している要因

体等の被害件数 146 件のうち、54% が「中小企業」での一つと考えられるという。銀行等の金融機関から、クあった（図 1-1-15）。また、金銭の要求が確認できたのレジットカード情報や各種 EC サイトのアカウント情報へとはそのうち 97 件であり、「二重恐喝」による要求は 85%

フィッシングのターゲットが変化してきていることから、同セを占めたという（図 1-1-16）。

※ 20-3。

警察庁は被害のあった 146 件に対して、「復旧に要しトレンドマイクロ株式会社（以下、トレンドマイクロ社）のレポートにおいても、誘導先となるフィッシングを含む詐欺

③12％
（18件）

サイトは、銀行等金融機関やクレジットカード関連のほか、

①34％
（49件）

モバイル決済、暗号資産取引所、生命保険、携帯通信会社、給付金・ワクチン等コロナ関連、水道等の公

②54％
（79件）

共料金支払い等、多岐に及ぶとしている。その要因とし

①大企業
②中小企業
③団体等

て、これまでもサイバー犯罪における常套手段として用いられてきた詐欺手法が、コロナ禍における支払い・決■図 1-1-15 被 害企業・団体等の件数及び割合（n=146）（出典）
警察庁「令和 3 年におけるサイバー空間をめぐる脅威の情勢等について」
を基に IPA が編集済手段としてのインターネット需要の高まりにより、広く一般のインターネット利用者を狙う攻撃の中で拡大し、2021
年はその傾向が顕著化したとしている※ 20-4。

②15％
（15件）

（4）国内被害が拡大したランサムウェアについて
ランサムウェアについては、国内外で「二重恐喝」
（窃

①85％
（82件）
①二重恐喝
②二重恐喝以外

取したデータを暗号化するだけでなく、金銭を支払わな
ければ、そのデータを公開すると二重に脅す手口。「二重の脅迫」とも呼ばれる）による被害の拡大や、産業制御システムに影響を及ぼすようなウイルスが引き続き確認■図 1-1-16 被 害の手口別件数及び割合（n=97）（出典）
警察庁「令和 3 年におけるサイバー空間をめぐる脅威の情勢等について」
を基に IPA が編集されているほか、国内の医療機関等重要インフラ事業

13

1

情報セキュリティインシデント・脆弱性の現状と対策

報告件数が月間 1,000 件を超過したブランド数と報告件数全体に占める割合（出典）
フィッシング対策協議会「月次報告書」（2021 年 9 月～ 2022 年
3 月）
を基に IPA が作成

第 章の報告件数は、2020 年下半期 21 件から 2021 年上半■表 1-1-3

ンターは一層の警戒が必要あるという

2022

感染経路では、「VPN 機器からの侵入」が 54%と最た期間」「調査・復旧費用の総額」「感染経路」について
アンケートを実施し、123 件の回答が得られた。

も多く、「リモートデスクトップからの侵入」は 20% であっ「復旧に 1 ケ月以上要した」のは、有効回答 108 件のた。一方で従来認識されていた「不審メールやその添

うち 26 件、24% であった（図 1-1-17）。ランサムウェアの付ファイル」を経由した侵入は 7% であり、テレワークの被害に遭うと、その後の事業継続に少なからず影響を急速な拡大等に伴い生じた脆弱性を突いて攻撃してい及ぼすことが分かる。

る傾向が見受けられる（図 1-1-19）。

⑤22％
（24件）

③7％
（5件）

④10％
（11件）

②1週間〜1か月
⑤復旧中

①54％
（41件）

②20％
（15件）

②24％
（26件）

③14％
（15件）
①即時〜1週間④2か月以上

④20％
（15件）

①30％
（32件）

①ＶＰＮ機器からの侵入③不審メールやその添付ファイル③1か月〜2か月②リモートデスクトップからの侵入④その他■図 1-1-17 復 旧に要した期間（n=108）（出典）
警察庁「令和 3 年におけるサイバー空間をめぐる脅威の情勢等について」
を基に IPA が編集■図 1-1-19 感 染経路（n=76）（出典）
警察庁「令和 3 年におけるサイバー空間をめぐる脅威の情勢等について」
を基に IPA が編集「調査・復旧費用の総額」で最多だったのは、有効VPN やリモートデスクトップを感染経路としたランサム

回答 97 件のうち 34 件で 35% を占めた「1,000 万円以

ウェアは、新型コロナウイルス感染拡大で定着したリモー

上～ 5,000 万円未満」であった（図 1-1-18）。被害に遭っ

トワークにより顕在化した脅威である。今後もリモートワー

た企業・団体にとって、調査・復旧費用が重荷になってクがゼロになることはなく、一般的なビジネス環境としていると推察される。

活用が続くと考えられる。感染被害を引き起こさないた

⑤8％
（8件）

④35％
（34件）
③7％
（7件）
①100万円未満③500万円以上1,000万円未満⑤5,000万円以上

めにも、企業・組織では脆弱性対策等の基本的対策のほか、万が一侵入された場合に備えた対策の充実が求

①22％
（21件）

められる（ランサムウェアの手口や対策については「1.2.2
ランサムウェア攻撃」参照）。

②28％
（27件）
②100万円以上500万円未満④1,000万円以上5,000万円未満■図 1-1-18 調 査・復旧費用の総額（n=97）（出典）
警察庁「令和 3 年におけるサイバー空間をめぐる脅威の情勢等について」
を基に IPA が編集

14

情報セキュリティ白書

C

O

L

U

M

N

IPA が毎年、発表している情報セキュリティ 10 大脅威（表 1）。2022 年版では組織の 7
10 にランクインする顔ぶれは例年大きく変わることはありません。「毎年ほぼ同じ顔ぶれ」ということは残念ながら、これらの脅威はずっと、私たちの身近に存在し続けていると言えます。
表 1 情報セキュリティ10 大脅威 2022「個人」
・「組織」向け脅威の順位「個人」向け脅威

順位「組織」向け脅威

フィッシングによる個人情報等の詐取

1

ランサムウェアによる被害

ネット上の誹謗・中傷・デマ

2

標的型攻撃による機密情報の窃取メールや SMS 等を使った脅迫・詐欺の手口による金銭要求

3

サプライチェーンの弱点を悪用した攻撃

クレジットカード情報の不正利用

4

テレワーク等のニューノーマルな働き方を狙った攻撃

スマホ決済の不正利用

5

内部不正による情報漏えい

偽警告によるインターネット詐欺

6

脆弱性対策情報の公開に伴う悪用増加

不正アプリによる
スマートフォン利用者への被害

7

修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）インターネット上のサービスからの個人情報の窃取

8

ビジネスメール詐欺による金銭被害

インターネットバンキングの不正利用

9

予期せぬ IT 基盤の障害に伴う業務停止

インターネット上のサービスへの
不正ログイン10

不注意による情報漏えい等の被害

しかし、これらの脅威について一般のパソコン利用者の認知度を調査してみると、「ランサムウェア」が 30.9%、「標的型攻撃」が 26.8%、「ビジネスメール詐欺」が 26.8% と決して高くはありません。最も認知度が高い脅威である「フィッシング」でも 56.7% と、過半数を超えた程度です i。この認知度をどうとらえるかは人それぞれだと思いますが、職場やプライベートでインターネットの利用が不可避となる中、脅威を理解し、その対策を実践するのは、「ニューノーマルな生活の知恵」ではないでしょうか？ IPA は情報セキュリティの脅威とその対策が国民に広く浸透、理解されることを願っています。
「情報セキュリティ 10 大脅威 2022」解説書及び社内教育や研修に使える「情報セキュリティ 10 大脅威 2022」簡易説明資料（スライド形式）、関連する IT 用語を解説した「知っておきたい用語や仕組み」は以下の URL からダウンロードできます。また、「情報セキュリティ 10
大脅威の活用法」も以下の URL で公開していますので併せてご活用ください。
https://www.ipa.go.jp/security/vuln/10threats2022.html
IPA：2021 年度 情報セキュリティの倫理と脅威に対する意識調査− 【脅威編】 −https://www.ipa.go.jp/security/economics/ishikichousa2021.html〔2022/5/23 確認〕

15

1

情報セキュリティインシデント・脆弱性の現状と対策

位に「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」が初ランクインしましたが、トップ第 章

知ってる人は知っている、知らない人は多分ぜんぜん知らない
情報セキュリティの10大脅威

i

2022

1.2 情報セキュリティインシデント別の手口と対策
本節では、インシデント別の発生状況と、具体的な事的組織と他の組織とのメールの盗聴等により必要な情報

例について述べる。また、2021 年度に確認されたサイを収集することもある。

バー攻撃の手口を中心に解説する。

次の「初期潜入段階」では、「事前調査段階」で得られた情報を基に、標的組織の端末へのウイルス感染を1.2.1試みる。海外拠点や取引先組織といった、いわゆるサ

標的型攻撃

プライチェーン上のセキュリティの弱い部分を狙う手口に標的型攻撃とは、ある特定の企業・組織や業界等を加え、VPN 製品や公開サーバ等のインターネットとの境狙って行われるサイバー攻撃の一種である。ウイルスメー

界にある装置の脆弱性を悪用し、侵入する手口もある。

ルやフィッシングメールを不特定多数の相手に無差別に標的組織の人間に対し、ウイルスを仕込んだファイルが送り付ける攻撃とは異なり、標的型攻撃は、特定の企業・添付された、あるいは悪意のある URLリンクが記載さ組織や業界が持つ機密情報の窃取やシステム・設備のれた標的型攻撃メールを送り付ける手口も依然として確破壊・停止といった、明確な目的を持って行われる。また、認されている。また、悪意のある Web サイトを閲覧した

標的型攻撃は長期間継続して行われることが多く、攻だけで、ウイルスに感染してしまうドライブ・バイ・ダウンロー

撃者が標的とする組織（以下、標的組織）の内部に長ド攻撃が用いられることもある。

期間潜伏して活動するという特徴も持つ。

「初期潜入段階」で標的組織の内部に侵入した攻撃

IPA では、過去の事例等から、標的型攻撃の流れ者は、「攻撃基盤構築段階」へと移り、標的組織内のを五つの段階に分類している（図 1-2-1）。

パソコンを遠隔操作するため、遠隔操作ウイルス（RAT：「事前調査段階」では、標的組織や業界の情報を収

Remote Access Trojan）に感染させることを試みる。こ集する。公開されている情報を収集するだけでなく、標の際、遠隔操作を長期的かつ継続的に行うため、複数の RAT に感染させる場合もある。このとき、より隠密性

C&Cサーバ指令を使うケーの高いウイルス（ファイルレスマルウェア※ 22 等）

C&Cサーバ（command and control server）
ウイルス等により乗っ取ったコンピュータに対し、遠隔から命令を送り制御させるサーバ

スも確認されている。
次の「システム調査段階」では、「攻撃基盤構築段階」
で感染させた RAT を使用して、組織内ネットワークの攻撃に必要なウイルスやツールを送り込む。これらのウイ

0 事前調査攻撃者

ルスやツールを用いて、組織内ネットワークの調査、管2

理者権限の奪取、目的とする情報の探索等を行う。こ

標的型メールのとき、侵入したパソコン等に標準でインストールされて

4
1

悪意ある
Webページいるアプリケーションが悪用されることもある。

3「攻撃最終目的の遂行段階」では、攻撃者は、目的と攻撃者のターゲット

する情報の窃取等を行う。海外の事例では、情報の窃取ではなく、国家間の政治的主張等を目的とした攻撃も0［事前調査段階］

標的組織を攻撃するための情報を収集する。

確認されている※ 23。

1［初期潜入段階］

標的型攻撃メールや、Webサイト閲覧を通してウイルスに感染させる。

2［攻撃基盤構築段階］（1）国内の標的型攻撃事例

侵入したPC内でバックドアを作成し、外部のC&Cサーバと通信を行い、新たなウイルスをダウンロードする。

本項では、2021 年度に確認された 2 件の標的型攻3［システム調査段階］

撃の事例を紹介する。

情報の存在箇所特定や情報の取得を行う。
攻撃者は取得情報を基に新たな攻撃を仕掛ける。

4［攻撃最終目的の遂行段階］（a）
ショートカットファイルを悪用した攻撃

攻撃専用のウイルスをダウンロードして、攻撃を遂行する。

JPCERT/CC のレポート※ 24 によると、2021 年 7 月か

■図 1-2-1 標的型攻撃の流れ（出典）
IPA「標的型サイバー攻撃の脅威と対策※ 21」を基に編集

ら 9 月の間に、暗号資産交換業者を狙ったと考えられる

16

情報セキュリティ白書のセキュリティソフトが不審な挙動を検知し、社内ネット

標的組織に対し、ファイル共有を装ったメールが送られてワークが外部から不正アクセスを受けていたことが、同社くることから始まる。メールの本文中には URLリンクが記

プレスリリースにて 2020 年 1 月に公表された※ 27。2020

載され、URLリンクをクリックさせることで不正なショートカッ

年 2 月に公表された第 3 報によると、中国にある海外拠トファイルを格納した圧縮ファイルをダウンロードさせようと点への侵入を発端とした標的型攻撃と考えているとのこする。ショートカットファイルには、JavaScript ファイルをダとであった※ 28。
2021 年 12 月、防衛省は、本件により流出した可能は本命のウイルスに感染させられる。この攻撃手口は、性のある防衛関連のデータファイル約 2 万件のうち、安2019 年 7 月に JPCERT/CC が公開した国内外の暗号全保障に影響を及ぼす恐れのあるデータファイルは 59 件

資産に関連する組織を狙った攻撃キャンペーンと類似しであるとの調査結果を公表した※ 29。三菱電機株式会社ているという※ 25。このキャンペーンでは、圧縮ファイルにも同時期に、第 4 報として本件により流出した可能性のは、パスワードが設定された囮の文書とショートカットファ

ある防衛関連の一部のデータの管理不備について、防イルが格納されている。
ショートカットファイルには「パスワー

衛省より注意・指導を受けたとの内容を公表した※ 30。
図 1-2-2 は、公表された資料を基に、システム構成のド .txt.lnk」のように二重拡張子で拡張子を偽装したファ

概略と攻撃経路を図示したものである。

イル名が付けられており、囮の文書のパスワードを確認し本事例では、攻撃者は最初にルータの脆弱性を悪用

ようとショートカットファイルを開いてしまうと、攻撃が進行※ 26

し、最終的には本命のウイルスに感染させられる。

し、中国拠点の社内ネットワークに侵入し、中国拠点の手口が類似していることから、同じ攻撃者が継続してウイルス対策管理サーバ（以下、管理サーバ）へ未公開の脆弱性※ 32 を悪用した攻撃を行い、同サーバを侵害

標的型攻撃を行っているものと思われる。

した。次に、管理サーバのパターンファイルアップデート
国内企業の海外拠点を狙った未公開の脆弱性を悪（b）

機能を利用して拠点内の端末にファイルレスマルウェアを用した標的型攻撃

拡散した。感染した端末を大手クラウドサービス上に構2019 年 6 月に三菱電機株式会社の国内拠点の端末

築したサーバから遠隔操作し、中国拠点と同じ手口で日

中国拠点①ルータの脆弱性を
通じて侵入

ルータ

⑩推定約200MBのデータを数回に分け送信

本社・国内拠点
情報送信用
パソコン

クラウド
サービス

②未公開の脆弱性を悪用し侵害
ウイルス対策
管理サーバ③管理サーバのアップ
デート機能を悪用しファイルレスマルウェア
を拡散

社内
パソコン

クラウド
サービス

④⑧ファイルレス
マルウェアによる
遠隔操作

情報流出の
可能性

不正アクセス
確認されず

パソコン
120台超

サーバ

サーバ
40台超

機密情報の保存サーバ⑦管理サーバのアップデート機能を悪用しファイルレスマルウェアを拡散

ウイルス対策
管理サーバ⑤乗っ取ったアカウントで国内拠点へ侵入⑨送信用のパソコンに情報を集約⑥未公開の脆弱性を悪用し侵害■図 1-2-2 標的型攻撃の事例概要
※ 28
（出典）
三菱電機株式会社「不正アクセスによる個人情報と企業機密の流出可能性について（第 3 報）」及び piyolog「ログ消去もされていた三菱電機の不正アクセスについてまとめてみた※ 31」
を基に IPA が編集

17

1

情報セキュリティインシデント・脆弱性の現状と対策

ウンロードして実行するコマンドが含まれており、最後に第 章

標的型攻撃の報告が寄せられたという。この攻撃は、

2022

本国内の管理サーバを経由して国内の端末へ感染を拡でよく用いられる言葉を使用し、メールの信憑性を高める

大していった。

ことで、添付ファイルの実行または悪意のあるファイルの本事例では、セキュリティ対策が強固な日本国内のネッダウンロードを行わせるというソーシャルエンジニアリング

トワークへ侵入するための足掛かりとして、中国拠点がの手口である。

狙われたものと思われる。攻撃者は中国拠点の管理サー

攻撃者はメールの信憑性を高めるため、標的とする

バへの攻撃において、送信元アドレスを詐称し、特定を企業に関係する組織や官公庁が公表している情報等か困難にしていたという。また、ファイルレスマルウェアの利ら、その業界特有の用語や関係者の情報を「事前調査用や不正通信先に大手クラウドサービスを利用するといっ段階」で集め、それを件名、本文、署名、添付ファイル

た、ウイルス対策製品等で検知しづらい手法が用いられ名や内容等に利用するケースが過去に確認されている。

ていた。更に、未公開の脆弱性を悪用するゼロデイ攻撃（b）
サプライチェーン・海外拠点等への攻撃が行われていたため、侵入を完全に防ぐことは困難であったと言える。他のサイバー攻撃と同様に、侵入を前提と「1.2.1（1）（b）国内企業の海外拠点を狙った未公開のした多層的なセキュリティ対策を実施し、速やかに攻撃

脆弱性を悪用した標的型攻撃」や「情報セキュリティ白を発見し対応できる体制を整備しておくことが望ましい。

書 2021 ※ 34」の「1.2.1（1）国内の標的型攻撃事例」で紹介したように、標的となる組織のネットワークやシステムを（2）標的型攻撃の傾向

直接狙うのではなく、取引先企業や海外拠点、または日本国内の企業・組織を対象とした標的型攻撃は、

海外の子会社を初期潜入の標的にした攻撃の手口が2011 年に複数の重工業メーカ等が標的となった事例以確認されている。

降、継続的に発生している。

これは、取引先企業が小規模の組織であるとセキュリ「1.2.1（1）国内の標的型攻撃事例」で紹介したように、

ティ対策が脆弱であったり、また海外拠点・組織に対し海外関連組織を足掛かりとした攻撃も確認されており、ては国内のセキュリティガバナンスが効きにくかったりする

海外を含む企業グループ全体でセキュリティ対策を講じ傾向が強いためである。攻撃者は事前調査段階で、ていく必要がある。

標的組織のネットワークやサプライチェーン全体を見渡

初期潜入段階で用いられる手口としては、2020 年とし、そのうちの脆弱な箇所を侵入のための足掛かりとし同様に、標的型攻撃メールのみならず、テレワークの普ている。

及で利用が拡大した VPN 製品や外部からアクセス可能（c）
VPN 製品や公開サーバ等の脆弱性を悪用した攻撃なサーバ等の脆弱性管理の不備を突く事例が報告されている。

米国政府機関によると、攻撃者は標的組織への侵入

一方、海外の事例では、重要インフラ組織や防衛・経路として、SSL-VPN 製品の脆弱性を利用している可※ 33

政府機関を標的とした攻撃が報告されている能性があると報告されている※ 35。

。今後日本の組織が攻撃されることも予想されるため、業種や

また、Web サイトやユーザ向けシステム等、公開サー規模にかかわらず、常に対策を講じておくことが重要でバの脆弱性を悪用した攻撃による被害も確認されていある。

る。特に近年、脆弱性情報が公開された後、その脆弱性を悪用した攻撃方法が作成されるまでの時間や、そ（3）標的型攻撃の手口（初期潜入段階）の攻撃方法が悪用されるまでの時間が短くなっている傾向がある※ 36。修正プログラムが作成される前に攻撃さ初期潜入段階における、代表的な標的型攻撃の手口を以下に示す。

れ、被害が発生してしまうこともある。

なお、記載する手口はこれまでに確認されているもの（4）標的型攻撃の手口（攻撃基盤構築段階）の一部であり、業務形態や IT 環境・セキュリティ対策

攻撃基盤構築段階における、最近確認している具体の変化に応じて、攻撃者も手口を変化させていくことが予想されるため、新たな手口への注意も重要である。

的な手口を紹介する。

（a）
標的型攻撃メール（a）
感染の永続化
攻撃者は、標的組織内での活動を継続して行うため、標的型攻撃メールは、標的とする企業・組織・業界

18

情報セキュリティ白書

端末の起動時に RAT が自動的に実行されるよう、レジスがないか注意し、不用意な添付ファイルの開封や、トリの改変やタスクスケジューラの登録等を行う。このとき、

本文 URLリンクのクリック、及びメールへの返信をしファイルレスマルウェアを用いることで、セキュリティソフト等

ないことは、有効な対策である。添付ファイルを開いによる検知を避けようとする手口が確認されている。

てしまい、不審と感じるメッセージやダイアログが表示された場合や、表示されたメッセージの意味が分から（b）
組織内での侵害範囲拡大

ない場合はその指示に従わずに、企業のシステム管理部門へ連絡することが望ましい。

セキュリティソフトのアップデート機能等、標的組織のシス• SNS を悪用した手口の周知

テムやアプリケーションソフトが持つファイルの共有・配布

攻撃者は SNS を悪用し、求人や共通の趣味等、個機能を悪用して組織内で侵害範囲を拡大する手口が確

人への関心を装って攻撃対象者に近づき、信頼関係認されている。

を構築する。そして、悪意のあるファイルや URLリンクを送り、それを開かせることで初期潜入の経路を開（c）
感染端末と攻撃者のサーバとの通信

拓することがある。

感染端末と攻撃者のサーバとの通信においては、通個人の環境で SNS 等の利用を制限することは難しい

信先（攻撃者のサーバ）の IP アドレスやドメインを頻繁にが、このようなケースがあることを周知し、利用者の変えるほか、前述の事例のように、大手クラウドサービス

警戒意識を高めることは有効である。また組織内のを通信先として悪用することで、正規の通信であるかの業務環境では、個人による SNS の利用を制限するこように見せかけ、セキュリティソフト等での検知を逃れようとが望ましい。

とする手口が確認されている。また、通信内容を暗号化• 標的型攻撃メール訓練等の実施したり、一見無害な画像データの中に命令を埋め込むス

擬似的な標的型攻撃メールを利用者に送信して、そテガノグラフィ技術を用いたりすることで、命令を隠ぺいのメールへの対応を行う訓練（標的型攻撃メール訓※ 38練）の実施も利用者の意識向上に有効である。訓練する手口も確認されている。

を通じて、不審メールを受信した場合に着目すべき箇（5）標的型攻撃への対策

所の再確認や、不審メールを受信した際、あるいは

標的型攻撃の傾向や手口に記載したとおり、攻撃者受信したメールの添付ファイルを開いてしまった（ウイルは多種多様な手口で、計画的かつ巧妙に攻撃を遂行

スに感染した）際に必要となる対処の再確認を行う。

する。このため、ある対策を取れば完全に防御できると必要となる対処には、組織内の不審メール届出窓口

いうことはなく、多層的防御が必要である。組織の規模への連絡も含まれる。不審メールを開封したことを責や業種により取り得る対策は異なるが、情報資産を守る

めず、利用者に報告してもらい、情報を共有することためには、あらゆる可能性を考慮し、対策の検討と選別、が重要である。また、利用者が不審メールを未読のま実施を行うことが重要である。以下に、その例を示す。

ま削除するだけでは不十分であり、報告が必要であると理解してもらうことも重要である。

（a）
利用者の意識向上

このような訓練を定期的に行うことで、利用者の対応

利用者の意識向上を目的とした対策例を以下に示す。

能力を維持・向上させる。また、具体的な攻撃手口• 不審メールに対する注意力の向上

を利用者に周知することも対応能力の向上に有効で標的型攻撃では、標的組織に関連する人物のメールある。

アカウントを攻撃者が悪用してメールを送信するもの（b）
組織としての対応体制の強化

や、組織や業界固有の用語等をメール本文中で用いて自然な文章を装ったもの等、受信者を騙すために組織として攻撃に対応していくための体制の強化を図

巧妙な手口が使われることが多い。しかし、標的型る対策例を以下に示す。

攻撃メールがすべて精巧に作られているわけではな• CSIRT 設置と運用い。そのため、組織としては、利用者へ不審メール

利用者が標的型攻撃メール等の不審なメールを受信に対する注意力向上に向けた教育や注意喚起を実した際に、連絡すべき窓口が組織内に周知されてい施することが重要である。また、利用者が不審な点ることは重要である。また、組織外から連絡を受けて

19

1

情報セキュリティインシデント・脆弱性の現状と対策

前述の国内企業の海外拠点を狙った事例のように、

第 章

※ 37

2022

標的型攻撃の被害に気付くことも考えられるため、外セキュリティポリシーが策定・周知され、またセキュリティ

部からの連絡を受ける窓口を設けることも重要となる。

リスクの可視化と、改善や対策活動が行われることがこのような、組織内部・外部との適切な連絡体制の望ましい。実施する際は、所在地の法制度や労働慣整備やセキュリティインシデントが発生した際の調査・行の違い等も把握して、国内と同一の対策が取れな

分析、セキュリティの教育・啓発活動の実施等を行う

い場合は代替策を考える必要がある。

組 織・体 制のことを CSIRT（Computer Security

また、国内・海外を問わず取引先等とは、セキュリティ

Incident Response Team）と呼ぶ。セキュリティイン

対策状況や連絡体制を共有し、セキュリティインシデン

シデントの未然防止、またはインシデント発生時の迅速ト発生時の連携を容易にすることで、サプライチェーン

な対応を行うために、CSIRT やそれに準ずる体制をを狙った標的型攻撃にいち早く対処可能となる。

※ 39

組織内に設置することは有効な手段である。
（c）システムによる対策• インシデントの発生を想定した事前準備
組織内に CSIRT 等の体制を整えるだけではなく、実システムによる対策例を以下に示す。

際にセキュリティインシデントが発生した際、事業を継続• 不審メールを警告する仕組みの導入

できるように事業継続計画（BCP：Business Continuity

組織のメールシステムでメール受信時に、送信者

Plan）に情報セキュリティの観点を組み込み、運用し（From）メールアドレスの偽装や、フリーメールアドレスておくとよい。

の利用、悪用されやすい添付ファイルの拡張子やファ

CSIRT 向けの取り組みでは、他組織で発生したインイルタイプ、メール内の URLリンク先の情報等を検知

シデントや自組織で起こり得るインシデントを基にシナリし、必要に応じて利用者に警告することで、利用者オを作成し、インシデントの発生を想定して演習を行うに不審メールであると気付く機会を与えることが可能でことが望ましい。
これは、組織全体の対応力・回復力（サある。

イバーレジリエンス）の強靭化に有効である。

また、添付ファイル付きメールの受信時やインターネット• 流行している攻撃の手口や対策の組織内共有上のファイルダウンロード時には、ウイルス検査はもちろ

今後も引き続き、標的型攻撃によるセキュリティインシ

ん、サンドボックス上で動的にファイル解析を行うこともデントが、被害を受けた組織から公表され、また各報有効である。なお、オンラインで提供されるサンドボッ

道機関やセキュリティベンダがその手口や対策を発表

クスを利用する際は、ファイルをアップロードすることでしていくことが想定される。

意図せず情報漏えいにつながる危険性があるため、これらの情報を CSIRT 等が定期的に収集し、自組十分な注意が必要である。

織において同様の脅威となり得るか確認し、必要であ

加えて、セキュリティインシデント発生に備え、不審メー

れば自組織の対策に組み込むことは重要である。具ルを確保できる仕組みを導入することが望ましい。不体的には、攻撃者の侵入手口が特定機器の脆弱性

審メールをいつでも調査可能にしておくことで、影響を突いたものであれば、自組織のシステムに該当する

範囲等の解析が可能となり、解析結果を組織全体で機器や脆弱性がないか確認し、修正プログラムが適活用し対策を取ることができる。

用されていなければ適用する。標的型攻撃メールによ• 適切な修正プログラムの適用

り攻撃が行われたのであれば、社内にそのメールのシステムの脆弱性を悪用する標的型攻撃に備え、IT特徴を周知することで、類似した攻撃メールによる被資産管理システム等を活用し、組織内のすべてのサー害が発生しないようにすることが望ましい。

バ・パソコン等に適切に修正プログラムが適用できる• 海外拠点・サプライチェーンを意識したセキュリティ対

仕組みを作ることが望ましい。

策の強化

特に今回紹介した手口のように、初期潜入段階では前述のとおり、攻撃者はセキュリティ対策が脆弱な海

インターネットに公開されたサーバや VPN 製品等の脆

外拠点や海外子会社、取引先企業を初期潜入の標

弱性が狙われる傾向がある。これらの製品は、システ的にする傾向がある。このため、海外拠点・サプライ

ム環境によってはすぐに修正プログラムを適用できない

チェーンを意識したセキュリティ対策の強化が求められ場合もある。また、脆弱性情報が公開されたら速やている。

かに対応することが望ましいが、その時点で修正プロ

具体的には、海外拠点においても国内拠点と同様にグラムが提供されていないこともある。その場合、ベン20

情報セキュリティ白書

討する、提示されていなければ当該システムを一時的策である。EDR 製品は、すべてのウイルス等に対しに停止する等の対応が有効である。修正プログラムて万能ではないものの、ファイルレスマルウェアや未知を適用する場合、検証環境でテストし、問題がなけのマルウェア等の検知・対策にも有効である可能性がれば本番環境に適用する等の対応が必要となることもある。またクラウドの利用等によって、業務情報を自社あるため、適用するシステムを想定して、どのように対システム外に保管するケースも増えてきており、データ

応していくか、事前に計画を立てておくことが望ましい。

そのものへのセキュリティ対策（暗号化や DLP（Data

運用中のシステムの脆弱性対策を外部へ委託する場

Loss Prevention）等）を検討することも有効である。

合、委託先と協議の上、事前に具体的な実施内容を取り決めておくことが重要である。

以上のように、利用者のセキュリティリテラシーの向上、• 通常業務で使わないファイルの実行・ソフトウェアの利

インシデント発生時に適切に対応できる組織体制の構築、用防止システムによる各種対策等、複数の観点を組み合わせ、利用者が通常の業務では使わないであろうファイルや多層的に対策を実施していくことが標的型攻撃への対ソフトウェアについては、あらかじめ、
システムやポリシー

策として重要である。

で制御することが望ましい。具体的には、利用者の環境で実行可能なファイルの種類やソフトウェアを許可

1.2.2 ランサムウェア攻撃

リスト化しておくことで、ウイルスへの感染を防止する。
許可リストのみによる制限の実施が難しい場合は、利ランサムウェアとは「ransom」（身代金）と「software」

用者の環境で実行することが望ましくないファイルの種（ソフトウェア）を組み合わせた造語で、パソコンやネット類やソフトウェアを特定し禁止リスト化する。

ワーク接続された共有フォルダ等に保管されたファイルを

例 えば、 悪 用され ることの 多 い PowerShell や暗号化することや、画面をロックすること等により、パソコ

JavaScript 等のスクリプトファイル（拡張子が .ps1 や .js

ンやファイルを使用不可にするウイルスの総称である。使等のファイル）のような、業務で使用しないであろうファ

用不可の状態から復旧することと引き換えに身代金を支イルの実行を禁止することが有効である。

払うように促すメッセージを表示することから、
ランサムウェ• セキュリティ対策の再チェック

アと呼ばれている。本項では、ランサムウェアを使用した

2021 年度も新型コロナウイルスの流行は収束しておらサイバー攻撃を「ランサムウェア攻撃」と呼ぶ。

ず、テレワークを目的とした VPN 製品等のシステムのランサムウェア攻撃には、大きく分けて次の 2 種類が導入や、システム構成または設定の変更等が継続しある（次ページ図 1-2-3）。

て行われた。しかし、適切なセキュリティ設計や設定• 広く多数のコンピュータを狙うランサムウェア攻撃が行われていなかったり、セキュリティ設定をあえて緩

ばらまき型メール、悪意のある Web サイトからのダウ

和したりすることで、脆弱な箇所が発生するケースもンロード、脆弱性の悪用等で、広く不特定多数のコンあったと思われる。

ピュータをランサムウェアに感染させようとする攻撃。

そのようなケースを認識している場合には、改めてセ2017 年に多くの感染が確認された「WannaCry」と呼キュリティ対策が現状のままでよいか再検討することがばれるランサムウェアでは、感染拡大の方法として、望ましい。

脆弱性を悪用したワーム（自己複製）機能の手口が用• ネットワーク構成の変化に合わせた対策

いられた。

働き方の多様化により、仕事場を従来の職場に限定• 侵入型ランサムウェア攻撃

せず、在宅でも可能にする勤務形態や、BYOD（Bring

攻撃者自身が様々な攻撃方法を駆使し、企業・組織

Your Own Device）端末の業務利用の広まりにより、のネットワークへひそかに侵入し、システムの侵害範囲

これまでのような組織内ネットワークとインターネットの境を拡大しつつ、大量のデータをランサムウェアによって界におけるセキュリティ対策だけでは、侵害を防ぐこと暗号化する等、事業継続に関わるような被害を与えるが難しくなってきている。そのため、パソコンや携帯端攻撃。組織の内部ネットワークへの侵入手口には標的末等の業務端末（エンドポイント）において不審な挙動型 攻 撃と同様の攻 撃 技 術が使われる。 海 外ではを監視し、攻撃活動の抑え込みを行うEDR（Endpoint「human-operated ransomware attacks（人手によ211

情報セキュリティインシデント・脆弱性の現状と対策

Detection and Response）製品の導入等も有効な対第 章

ダから一時的な回避策が提示されていれば適用を検2022

広く多数のコンピュータを狙うランサムウェア攻撃

侵入型ランサムウェア攻撃
企業・組織を標的に攻撃

不特定多数に攻撃
攻撃者

攻撃者

ばらまき型
メール

企業・組織のネットワーク

悪意あるWebページ

企業・組織のネットワークへ
ひそかに侵入ネットワーク内で侵害範囲拡大データの窃取、暗号化

ドメインコントローラ
等の管理サーバ

データの復旧と引き換えに身代金を要求ネットワーク内の端末やサーバを一斉に攻撃

ワーム機能

データ・システムの復旧と引き換えに身代金を要求＋
窃取したデータを公開しないことと引き換えに身代金を要求■図 1-2-3 ランサムウェア攻撃の手口のイメージ（出典）
IPA「【注意喚起】事業継続を脅かす新たなランサムウェア攻撃について※ 40」を基に編集るランサムウェア攻撃）」とも言われる。侵入型ランサム

を別の攻撃者が分担して行う等のシステムが成立していウェア攻撃では、データの復旧のために金銭を要求する。そのため、高度な技術を持たなくても、簡単に攻撃るだけでなく、データを窃取し、身代金を支払わないが行える状況となっており、多くの企業・組織が攻撃対場合、データを公開するといった脅迫も行うことがある

象となり得る。
侵入の手口については、2021 年も継続して、VPN（「二重の脅迫」と呼ばれる）。

製品※ 47 や Windows のリモートデスクトップサービス※ 48（1）
ランサムウェア攻撃の傾向の設定不備、あるいは脆弱性を悪用する手口が確認さ従来の主流は「広く多数のコンピュータを狙うランサム
ウェア攻撃」であったが、2018

※ 41

※ 42

～ 2019 年れている。従って、VPN 製品やリモートデスクトップサー

ごろか

ビスが攻撃者に狙われていることを認識し、対策を講じ

ら「侵入型ランサムウェア攻撃」や「二重の脅迫」が観測る必要がある。

され始めた。2020 年には、複数の日本企業・組織の被（2）
ランサムウェア攻撃の被害事例

害が報道され、IPA ※ 40 と内閣サイバーセキュリティセン

2021 年度に公表された事例から次の 2 件を紹介する。

ター（NISC：National center of Incident readiness※ 43

and Strategy for Cybersecurity）

が同攻撃の手両事例ともにバックアップデータまで暗号化されて復旧が口について注意喚起を行っている。
※ 44

困難となり、被害が大きくなった。バックアップデータをオによると、2020 年

フラインで保存する等、暗号化されることのない状態で下期の企業・団体等におけるランサムウェア被害の報告

バックアップデータを管理することの重要性が示唆される。

また、警察庁の公表した資料

件 数が 21 件であったものが、2021 年 上 期は 61 件、（a）
国内病院の被害事例

2021 年下期は 85 件と急増した。2022 年 2 月にも、自動車部品会社である小島プレス工業株式会社がランサ

2021 年 10 月 31 日、徳島県つるぎ町の町立半田病院

ムウェア攻撃を受けたことにより、トヨタ自動車株式会社

は、ランサムウェアに感染した事実を公表した。報道※ 49

が国内全工場（14 工場 28 ライン）を 3 月 1 日に丸 1 日停を基に被害状況や攻撃の手口を紹介する。

※ 45。これらのことから、公表当日の 0 時半ごろ、同病院の電子カルテのデー

今後も日本の企業・組織が攻撃対象となる状況は続くとタが暗号化され、患者約 8 万 5,000 人分の記録が参照

予想されるため、注意が必要である。

できなくなったほか、受付・診察・会計まで、すべての止させるという被害が出ている

なお、ランサムウェア攻撃は 2015 年前後から高度に※ 46

IT システムがダウンした。また、病院内のプリンタから大の動きも見られており、ランサムウェ

量に文章が印刷された。内容は「身代金を払わなけれア（ウイルス）の開発、攻撃の実行、及び身代金の回収ば、盗んだデータを公開する」といった旨の英語の脅迫

組織化・分業化22

情報セキュリティ白書文であったという。

害状況の調査、全面的なネットワーク環境の見直し、サーバの再構築等に時間を要することから、2021 年度の第保存していたが、バックアップサーバもランサムウェアによ1 四半期及び第 2 四半期の決算をそれぞれ延期せざる

り暗号化されたため、システムの復旧が困難となった。

を得ない状況となった。
本事例は状況から「侵入型ランサムウェア攻撃」及びバが壊れた場合の予備として用意していたもので、サイ「二重の脅迫」、もしくはそれに類する攻撃を受けた可バー攻撃から守る仕組みにはなっていなかったという。

能性がある。また、同時多発的に全部または一部のデー同病院は、電子カルテ復旧のため身代金の支払いもタを暗号化されたことから、攻撃者が 1 台ずつランサム

検討したが、身代金を支払ってもデータが復旧する保証

ウェアに感染させたとは考えにくい。ドメインコントローラのがないこと等から、支払わないことを決め、約 2 億円をような管理サーバ経由でランサムウェア感染等が行われかけ新システムを構築することにした。しかしながら、窃た可能性も考えられる。

取された可能性のある電子カルテ等の個人情報は、今（3）侵入型ランサムウェア攻撃の手口

後も流出のリスクが残存することとなった。
同病院では、少なくとも約 4,000 枚のカルテを手書き

前述の被害事例からも分かるように、「侵入型ランサ

で作り直したが、過去の治療歴を正確に把握できなかっムウェア攻撃」は企業・組織にとって脅威である。ここでたことや、新規患者や救急搬送の受け入れを停止せざ

はその手口について紹介する。

るを得ない状況になったこと等、2022 年 1 月 4 日の全面「侵入型ランサムウェア攻撃」は、次の（a）～（e）の五再開まで約 2ヵ月間、病院の機能低下を強いられた。

つのステップに分けられる。

同病院は 13 の診療科を持ち、1 日約 300 人が通院す（a）
ネットワークへの侵入

る県西部の主要な病院であったため、多くの通院者にも「侵入型ランサムウェア攻撃」は、攻撃者が企業・組影響が生じた。

織のネットワークへ侵入するところから始まる。ネットワー

本事例は「Lockbit2.0」と呼ばれる攻撃者グループによるものと報じられている。システムログが攻撃者によってクへの侵入手口として次のようなものがある。

消去されていたため、攻撃者やウイルスの侵入経路は明• ウイルスメールによる侵入

らかになっていないが、同病院では脆弱性のある VPN

攻撃者は、企業・組織へ遠隔操作ウイルス等を添付

製品をテレワークで使用していたと報道されており、VPN

したメールや、遠隔操作ウイルス等をダウンロードさせ製品を起点に不正アクセスされて「侵入型ランサムウェア

る URLリンクを記載したメールを送り付ける。受信者

攻撃」と「二重の脅迫」の被害に遭った可能性がある。

が不用意に添付ファイル等を開くことで、遠隔操作ウ
イルス等に感染させられ、パソコンが乗っ取られる。

（b）
国内企業の被害事例

攻撃者は、そのパソコンを足掛かりとして組織内ネット
ワークへ侵入する。

大手製粉会社である株式会社ニップンは、2021 年 7• インターネットを経由した侵入

月 9 日に公表したシステム障害について、サイバー攻撃

攻撃者は、企業・組織がインターネット上に公開してによる被害であったことを 2021 年 8 月 16 日に公表し※ 50。それによると、
2021 年 7月7日未明から同社グルーいるリモートデスクトップサービスや VPN 製品を調査

プの大部分のサーバ及び一部の端末に対し、同時多発し、アクセス制御、認証に関する設定、パスワードの的にデータが暗号化されるサイバー攻撃が発生したとい

強度が不十分であれば、認証を突破して侵入する。

う。また、同社サーバへの不正アクセスにより、企業情• 脆弱性を悪用した侵入報及び個人情報が一部流出した可能性があるとのこと攻撃者は、企業・組織が使用している VPN 製品等だ。同社では事業継続計画を策定していたが、災害時に残存する脆弱性を悪用して侵入する（「1.2.5（1）や単体のシステム障害を想定しており、本件のように同VPN 製品の脆弱性を対象とした攻撃」参照）。

時多発的な攻撃を受けることは想定外だったとしている。
（b）
ネットワーク内の侵害範囲拡大

同社ではバックアップデータも暗号化されたため、サーバの早期復旧が難しく、通常は財務システムに自動入力

攻撃者は、企業・組織のネットワークへの侵入に成功される帳票を手作業で作成することになった。また、被した後、データの窃取やランサムウェアの感染範囲を広23

1

情報セキュリティインシデント・脆弱性の現状と対策

同病院によると、バックアップサーバは災害時にメインサー

第 章

同病院では電子カルテのデータをバックアップサーバに

た

2022

的型攻撃同様、ネットワーク構成の把握や管理者権限（4）広く多数のコンピュータを狙うランサムウェア
攻撃の手口の奪取を行い、これらの情報を基にして、機微情報等「広く多数のコンピュータを狙うランサムウェア攻撃」
も依が保存されているパソコンやサーバ、ドメインコントローラ

然として確認されており、感染させる手口は以下の（a）～等の管理サーバ、バックアップ用のサーバ等に侵入する（f）の六つが考えられる。なお、これらはランサムウェアと考えられる。ドメインコントローラの一種である Activeに限らず、他のウイルスの感染経路となる可能性がある。

げる目的で、ネットワーク内で侵害範囲拡大を行う。標Directory サーバを掌握されると、グループポリシーによ（a）
ばらまき型メールによる感染

るウイルスの配信が可能となるため、組織内のパソコン

ばらまき型メールを介して、添付ファイルを開封させるやサーバのデータが一斉に暗号化される危険性がある。

方法や、メール本文の悪意のある URLリンクへ誘導し、
（c）
データ窃取

「（b）Web サイトからの感染」の手口を使用する方法により、ランサムウェアに感染させる。

データの窃取は、攻撃者が「二重の脅迫」を狙っている場合に行われる。遠隔操作ウイルスを使用する等、（b）
Web サイトからの感染

攻撃者自身の操作によって、データの探索・収集、攻悪意のある Web サイトからダウンロードしたファイルの撃者のサーバやクラウドストレージへのアップロード等が実行によって感染させる。また、悪意のある Web サイト行われる。

だけでなく、企業の正規の Web サイトが改ざんされて（d）
データの暗号化・システム停止

感染源となる場合もある。

攻撃者は身代金を得るために企業・組織のデータをラ（c）
脆弱性の悪用による感染

ンサムウェアで暗号化し、事業継続に関わる重要なシス
テムの停止を狙う。また、バックアップデータ等による業更新されていない端末等の OS の脆弱性を悪用し、務復旧を妨害するため、「1.2.2（2）ランサムウェア攻撃のリモートコードの実行や遠隔操作等で感染させる。また、被害事例」のように、ネットワーク経由で到達可能であれ

悪意のある Web サイトにアクセスした際に、端末のソフ

ば、それらのデータも暗号化する可能性がある。

トウェアの脆弱性を調査して攻撃する「エクスプロイトキッ
ト」というツールによって、ランサムウェアに感染させる※ 53。

データを暗号化する際に OS の標準機能を使って暗号化する等、セキュリティ製品では検知されない機能を（d）
ワーム機能による感染

悪用した事例もある。例えば、Windows OS の標準機

LAN に接続された端末にワーム（自己複製）機能を持能である BitLocker を悪用してディスク全体を暗号化す※ 51

る事例が確認されている。

つランサムウェアが感染すると、ワーム機能によりネットワー
クを介して他の端末にもランサムウェアを感染させる。

（e）
窃取したデータの公開（e）不正アプリによる感染

窃取したデータの公開は、攻撃者が「二重の脅迫」を狙っている場合に行われる。公開方法としては、攻撃

ゲームやセキュリティソフトを装った偽のアプリ（不正ア者がインターネットやダークWeb 上に設置した、データ公プリ）のインストールによってランサムウェアに感染させる。

開のための Web サイト（以下、リークサイト）
での公開や、パソコンだけでなく、スマートフォンやタブレットもランサム

オークション形式での販売が挙げられる。攻撃者は窃取

ウェア感染のリスクがある。

したデータをリークサイトで公開する際に、被害者への身（f）
USB メモリ経由による感染代金支払いの圧力を高めるため、窃取したデータを一度にすべて公開するのではなく、一部だけ公開し、指定し攻撃者が用意した USB メモリからランサムウェアに感た期日までに身代金を支払わないと、徐々に公開するデー染させる。例えば、攻撃者が差出人を偽装した郵送物

タの範囲を広げるといった声明を出す場合がある。

に USB メモリが入っており、その USB メモリを接続した端末がランサムウェアに感染した事例がある※ 54。

身代金の交渉には電子メールのほかに、攻撃者が特定サイト内のチャットで個別にやり取りを要求する事例もある※ 52。

24

情報セキュリティ白書（5）
ランサムウェア攻撃への対策

2022

ワークに接続するための VPN 装置が攻撃者によく狙わ

ここではランサムウェア攻撃に対して、特に重要と考えれるため、企業・組織では特に注意が必要である。また、られる対策について説明する。

脆弱性が公開されてから、その脆弱性が悪用されるま（a）
セキュリティソフトの導入に迅速に対応できるよう体制や計画を整えておくことが大セキュリティソフトの導入は「侵入型ランサムウェア攻

切である。
（e）
企業・組織のネットワークへの侵入対策

撃」双方で有効である。新しいウイルスを検知・駆除するために、セキュリティソフトは最新の状態に保つことも「侵入型ランサムウェア攻撃」は、攻撃者が企業・組重要となる。ただし、「侵入型ランサムウェア攻撃」では、織内のネットワークへ侵入することから始まる。そのため、使用されるウイルスが標的の企業・組織向けにカスタマ

次のような侵入対策を行うことが重要である。

イズされている場合もあり、セキュリティソフトでは検知し• 攻撃対象領域の最小化

にくい可能性もあるため、他の対策も併用することが望ま

インターネットからアクセス可能な、意図的に公開する

しい。

サーバやネットワーク機器等を最小限にするとともに、アクセス可能なプロトコルやサービスも最小限にする。

（b）
攻撃メール対策

また、誤ってインターネットに公開している機器等がな

攻撃メール対策は、「侵入型ランサムウェア攻撃」及び

いか確認を行う。更に、それらの機器が乗っ取られる「広く多数のコンピュータを狙うランサムウェア攻撃」双方可能性を考慮し、そこからアクセス可能な範囲を限定で有効である。攻撃メール対策には、メールのフィルタする。例えば、不用意にリモートデスクトップサービス

機能や、セキュリティ装置等を用いて不審なメールの検をインターネット上に公開しない、業務に必要なサーバ

知・隔離を行うシステムによる対策や、従業員への教育、等をインターネット上に公開する場合は、どの機器を公啓発、訓練による対策等がある。また、メール利用者

開しているか等の管理を行う、といった対策が挙げら一人ひとりが、「身に覚えのないメールの添付ファイルはれる。

開かない、怪しいリンクはクリックしない」という意識を持• アクセス制御と認証

つことが大切である。

企業・組織外からアクセス可能な機器等を最小限にした上で、それらが攻撃者に不正に操作されないよう、（c）
不正アプリ対策

適切なアクセス制御と認証を行う必要がある。例えば、「広く多数のコンピュータを狙うランサムウェア攻撃」で運用上、機器へのアクセスが国内からのみであれば、使われる不正アプリは、主に非公式なアプリストアから配

海外の IP アドレスからのアクセスを遮断するといった布される。改ざんされた Web サイト等では「ソフトウェア対策が考えられる。また、多要素認証のような強固なアップデート」や「システムエラー」の画面を表示して非公認証方式を使用して、認証を突破しにくくすることや、式のアプリストアへ誘導するため、これらの表示が出た

アクセスや認証のログを取得、監視して、不審な行為

場合は、ブラウザを閉じることで対処する。また、公式や攻撃の検知を試みることも有効である。

のアプリストアにも不正アプリが紛れ込んでいる場合があ• 拠点間ネットワークのセキュリティ強化

るため、注意が必要である。提供元が不明な信頼できランサムウェア攻撃に限らず、自組織で複数の拠点をないアプリのインストールをしないことが大切である。

ネットワークで接続している場合、例えば十分にセキュ
リティ対策ができていない防御の弱い海外拠点から侵

（d）
脆弱性対策

入され、組織の中枢が侵害される場合がある（「1.2.1

脆弱性を悪用したウイルス感染やネットワークへの侵入（1）（b）国内企業の海外拠点を狙った未公開の脆弱を防ぐために、パソコンやサーバの OS 及び利用ソフトウェ性を悪用した標的型攻撃」参照）。必要に応じ、拠ア、ネットワーク機器のファームウェア等を常に最新の状

点間のアクセス制御の強化も検討する。

態に保つことは「侵入型ランサムウェア攻撃」及び「広く（f）ネットワーク内の侵害範囲拡大への対策

多数のコンピュータを狙うランサムウェア攻撃」双方で有効である。インターネットを経由して企業・組織内のネット「侵入型ランサムウェア攻撃」を受けた場合、企業・

25

1

情報セキュリティインシデント・脆弱性の現状と対策

撃」及び「広く多数のコンピュータを狙うランサムウェア攻第 章

での期間が短くなっていることから、公開された脆弱性

組織のネットワーク内における不審な活動を検知し、攻ムウェア攻撃」は、侵入の手口が標的型攻撃と同様のた撃の早期発見と対応につなげる。
統合ログ管理、内部ネッ

め、対応も全体的に標的型攻撃と同様となる（「1.2.1（5）

トワーク監視、
エンドポイント監視といった仕組み（製品等）（b）組織としての対応体制の強化」参照）。インシデント

を活用し、ネットワークのスキャン、通常発生しない不正対応の一般的な進め方について、JPCERT/CC がマな通信や認証の試行、無許可のユーザアカウント作成

ニュアル※ 56 を公開しているため、参照いただきたい。ま等の操作、無許可のプログラム設置・実行、イベントロ

た、データ暗号化と身代金要求への対応については

グの削除、シャドウコピーの削除等の攻撃者の活動を検JPCERT/CC が侵入型ランサムウェア攻撃を受けた際知する。

の FAQ ※ 57 についても公開しているため、こちらも参照
いただきたい。

被害者は、データの暗号化やシステム停止を受けて初めて、攻撃を受けていることを認識する場合があるが、ランサムウェア攻撃のインシデント対応において、留意

データの暗号化等がされてからの対策・対応は困難ですべき点として、「ステークホルダーとのコミュニケーショ

あるため、より早期の検知を可能にすることが望ましい。

ンができる体制作り」がある。ランサムウェア攻撃では、
一般のインシデントと異なり、業務停止や顧客・取引先（g）
バックアップからの復旧の情報漏えいが発生し、自組織内に閉じたインシデント「侵入型ランサムウェア攻撃」への対策として重要なこで終わらない傾向がある。ステークホルダーとの適切でとは、データの保護のみならず、「システムの再構築を

素早い連絡・調整を含む、経営層を含めた体制作りが含めた復旧計画」
を事前に策定し、バックアップからの復必要である。

旧を可能にしておくことである。「1.2.2（2）ランサムウェア
攻撃の被害事例」にもあるように、企業・組織のパソコン

1.2.3 ビジネスメール詐欺（BEC）

やサーバ等がバックアップも含めて一斉に暗号化される可能性がある。こうした状況に備え、事業継続に重要

ビ ジ ネ ス メ ー ル 詐 欺（BEC：Business Emailなデータやシステムのバックアップデータをオフラインで管Compromise）
は、巧妙な騙しの手口を駆使した偽のメー

理するほか、必要に応じて業務継続やシステムの再構

ルを企業・組織に送り付け、従業員を騙して送金取り引

築に必要なリソース等を考慮した復旧計画を策定しておきに関わる資金を詐取する等の金銭被害をもたらすサイ

くことが大切である。

バー攻撃である。偽のメールを送るための前段階として、企業の従業員や取引先のメールアカウント情報を狙うた（h）
データの窃取と公開への対策

め、フィッシング攻撃や情報を窃取するウイルスが使用されることもある。

「侵入型ランサムウェア攻撃」によりデータが窃取され、本項では、2021 年度に公表されたビジネスメール詐

意 図 せ ず 公 開される脅 威 へ の 対 策として、IRM※ 55（Information Rights Management）

等の活用や、

欺の状況、事例を紹介し、その巧妙な手口と対策につネットワーク分離が挙げられる。IRM を活用し、データ

いて解説する。

が窃取されても被害を限定的な範囲に留める。また、
ネッ（1）
ビジネスメール詐欺の被害状況

トワーク分離では、例えば、メールの送受信や Web 閲
覧等で使用する一般的な業務用のネットワークと機密情

FBI のインターネット犯罪苦情センター（IC3：Internet

報等を取り扱うネットワークを分離する。こうすることで、Crime Complaint Center）が 2022 年 3 月に公開した

攻撃者に業務用のネットワークに侵入されたとしても、機年次報告書※ 58 によると、2021 年度に報告されたビジネ

密情報等を取り扱うネットワークには到達されないようにす

スメール詐欺の被害総額は、前年比約 1.3 倍の約 23る。ただし、ネットワーク分離は運用コストや利便性に著

億 9,600 万ドル（未遂を含む）となっている。また、2015

しい影響があるため、機密情報等の重要性やリスクを踏

年から 2021 年までに発生した被害総額の推移をグラフ

まえて実施を検討する必要がある。

で表すと、被害額が増加傾向にあることから、ビジネス
メール詐欺の脅威がより深刻なものになっていることが分（i）
インシデント対応

かる（次ページ図 1-2-4）。

ランサムウェア攻撃の被害を受けてしまった際のインシ

また、トレンドマイクロ社の報告によれば、同社のセキュデント対応はケースバイケースとなるが、「侵入型ランサ

リティ製品がビジネスメール詐欺と判定・検出したメール

26

情報セキュリティ白書（2）2021 年度に報道された事例の概要

（億ドル）
25

2021 年度においても国内外で金銭被害に遭った事例が多数確認されている。国内で発生した事例としては、

20

ジョナリーホールディングスの 子 会 社 の 株 式 会 社
VISIONIZE に対し、取引先関係者をかたった人物か

10が約 1 億円を送金してしまったという※ 65。また、国内企
業の海外子会社で発生した事例では、加賀電子株式2015年 2016年 2017年 2018年 2019年 2020年 2021年

会社の海外子会社が悪意の第三者による虚偽の送金■図 1-2-4 ビジネスメール詐欺の被害総額推移（出典）
IC3 年次報告書を基に IPA が作成指示に騙され、約 5 億円の資金を流出させてしまったと
いう※ 66。海外で発生した事例では、韓国の航空関連の件数が、2021 年の 1 月から 9 月にかけて徐々に増加企業である韓国航空宇宙産業に対し、取引先企業のしているという。特に 7 月から 9 月においては、検出数

メールアカウントを乗っ取った攻撃者が担当者になりすまが約 5 万件と、新型コロナウイルス拡大前の 2019 年のして、口座を変更したという旨の偽メールを送ってきたと

※ 59

。また、

いう。当該企業の担当者は、そのメールを取引先企業

国際的なフィッシング対策の非営利団体である APWG

からの正規のメールだと思い込み、約 16 億ウォンを送金の報告によると、2021 年 5 月に、給与振込口座を変更してしまったという※ 67。

同時期と比較して、
約 3.5 倍になったとしている

一方で、詐取された金銭を回収できた事例もあった。

させる手口が電信送金を利用する手口を上回り、増加し
※ 60

。

たという

米国ミネソタ州レッドウッドフォール市で起きた事例では、

一方で、世界の法執行機関等がビジネスメール詐欺

同市が消防車の売買に関する担当者をかたった攻撃者の容疑者を逮捕・起訴する事例も多数公表されている。

とやり取りし、約 120 万ドルを送金してしまったが、調査2021 年 の 6 月から 9 月まで の 4 ヵ月間 に 行 わ れ たの過程で資金が見つかったため、同市へと返還されるこ「HAECHI-II」と呼ばれる国際的な取り締まりでは、ビジとになったという※ 68。

ネスメール詐欺等に関わっていた 1,003 人を逮捕し、金（3）IPA が情報提供を受けた事例の概要

銭の詐取等に悪用されていた約 2,350 件の口座を凍結

IPA では、実際に試みられたビジネスメール詐欺の事させ、約 2,700 万ドルの資金を押収することに成功した
※ 61

。
また、
「情報セキュリティ白書 2021」の「1.2.3（1）

例を基に、2017 年 4 月、2018 年 8 月に続き、2020 年

ビジネスメール詐欺の被害状況」で紹介した、国際刑事

4 月に第三報として注意喚起を行った。また、サイバー警 察 機 構（ICPO：International Criminal Police

情報共有イニシアティブ（J-CSIP：Initiative for Cyber

Organization、INTERPOLとも呼ばれる）やナイジェリ

Security Information Sharing Partnership of Japan）

ア警察等が行った共同調査による逮捕事例に関連し、の運用状況レポートでも事例を公開している。

という2022 年 1 月、同じ犯罪組織のメンバーと見られる 11 人

IPA が情報提供を受けたビジネスメール詐欺事例のうの容疑者が新たに逮捕された。逮捕された容疑者の一ち、J-CSIP の運用状況レポートにて 2021 年度に公開し人は、自身のパソコン上に攻撃対象と思われる 80 万件た事例の概要を表 1-2-1（次ページ）に示す。なお、この

※ 62

。そのほ

うちの 1 件（表 1-2-1 の項番 3）については、金銭的被か、米国司法省（U.S. Department of Justice）の発害が確認されている。残り8 件については、メールの受以上のアカウント情報を所持していたという
表※ 63によれば、ビジネスメール詐欺等を行い、少なくと信者等が不審であることに気付いたため、被害を防ぐこも100 人の被害者から 1,700 万ドル以上の金銭を詐取しとができている。

た 33 人の容疑者が逮捕されたほか、欧州においても、（4）IPA が情報提供を受けた事例

ビジネスメール詐欺等に関わっていたとされる 106 人の※ 64

容疑者が逮捕されている

ここでは、IPA が 2021 年度に公開したビジネスメー。

ル詐欺事例の中から特筆すべき表 1-2-1（次ページ）の項
番 3と8 について紹介する。

27

1

情報セキュリティインシデント・脆弱性の現状と対策

ら仕入代金の送金を促すメールが送られ、当該子会社

5

第 章

大手眼鏡販売チェーンの持株会社である株式会社ビ

15

0

2022

項番

事例概要

被害の
有無

備考

1

2021 年 1 月、国内企業の取締役になりすました攻撃者から、海外グループ企業の担当者に対してビジネスメール詐欺が試みられた。

なし「サイバー情報共有イニシアティブ（J-CSIP）運用状況［2021
※ 69
」に記載
年 1 月〜 3 月］

22021 年 2 月、取引先ではない海外企業の担当者になりすました攻撃者から、国内企業の担当者に対し、偽の口座への支払いを要求するメールが送られた。

なし

同上

3

2021 年 4 月、国内企業の海外関連企業（請求側）と、海外取引先企業（支「サイバー情報共有イニシアティ
払側）との取り引きにおいて、請求側企業の担当者になりすました攻撃者から、偽 あり ブ（J-CSIP）運用状況［2021
※ 70
」に記載
の口座への振り込みを要求するメールが送られ、支払側企業の担当者が送金した。
年 4 月〜 6 月］

42021 年 5 月、国内企業の役員になりすました攻撃者から、当該企業の複数の担当者に対して、同一内容の偽メールを送り付けるビジネスメール詐欺が試みられた。

なし

同上

5

2021 年 6 月、国内企業の役員になりすました攻撃者から、当該企業の複数の担当者に対して、英語と日本語で書かれた偽メールを送り付けるビジネスメール詐欺が試みられた。

なし

同上

62021 年 8 月、国内企業の海外関連企業の役員になりすました攻撃者から、当該企業の担当者に対して、ビジネスメール詐欺が試みられた。

なし「サイバー情報共有イニシアティブ（J-CSIP）運用状況［2021
※ 71
」に記載
年 7 月〜 9 月］

72021 年 9 月、
国内企業（支払側）と、
海外取引先（請求側）との取り引きにおいて、「サイバー情報共有イニシアティ
請求側企業の担当者になりすました攻撃者から、偽の口座への振り込みを要求す なし ブ（J-CSIP）運用状況［2021
※ 72
」に記載
るメールを送り付けるビジネスメール詐欺が試みられた。
年 10 月〜 12 月］

82021 年 10 月、国内企業の代表取締役になりすました攻撃者から、当該企業の複数の役員に対して、約 2 時間の間に 17 通の偽メールを送り付けるビジネスメー
ル詐欺が試みられた。

なし

同上

9

2021 年 10 月、国内企業の役員になりすました攻撃者から、当該企業の人事部門の担当者に対して、ビジネスメール詐欺が試みられた。

なし

同上■表 1-2-1

IPA が情報提供を受け 2021 年度に公開したビジネスメール詐欺事例の概要

また、「情報セキュリティ白書 2020」の「1.2.2（4）（b）• 正規のメールアドレスに似せた偽の詐称用ドメインのCEO を詐称する一連の攻撃」で紹介した事例、及び、

悪用注意喚起の第三報の「『日本語化』された CEO 詐称の• メールの転送設定によるメールの盗聴攻撃」で紹介した事例について、引き続き、多数の情報（ア）
A 社と B 社のやり取りへ介入提供を受けたため、それぞれの概要を紹介する。なお、
攻撃メールに見られる特徴等に関しては、表 1-2-1 の「備A 社（海外関連企業）と、
B 社（海外取引先）との間で、考」に記載した各レポートを参照いただきたい。

取り引きに係るビジネスメールをやり取りしている中、2021
年 3 月 16 日に攻撃者から B 社の担当者へ偽のメール（a）
偽の口座への振り込みを要求する攻撃事例が送られた。その後、B 社担当者と攻撃者間で複数回本事例は、2021 年 4 月、J-CSIP の参加組織（国内

メールのやり取りを継続したと見られるが、詳細は情報

企業）の海外関連企業（A 社：請求側）と、その海外取提供外のため不明である。そのやり取りの中で、B 社

引先企業（B 社：支払側）との間で取り引きを行っている

担当者は攻撃者が用意した偽の口座へ支払いをしてし中、A 社の担当者になりすました攻撃者から、偽の口まったため、金銭的被害が発生した。

座への振り込みを要求するメールが送られたものである。

攻撃に関係したメールのやり取りを図 1-2-5（次ページ）

B 社の担当者が攻撃者の用意した偽の口座へと送金をに示す。

行ってしまったため、金銭的な被害が発生した。

その後、2021 年 4 月 9 日に A 社から B 社へ、請求

この手口は、IPA が 2017 年 4 月に公開した注意喚中の支払いがないため連絡をしたところ、B 社からは支※ 73

で紹介しているビジネスメール詐欺の五つのタイプ

払い済みであると回答を受けたことで事案が発覚した。

のうち、「タイプ 1：取引先との請求書の偽装」に該当する。

B 社では偽の口座への振り込みの取り消し対応を行って今回の事例では、やり取りされたメールはすべて英文おり、当該口座は凍結されたとのことだが、送金した資起であり、詐欺の過程において、次の手口が使われた。

金が回収できたかは不明である。

• A 社とB 社のやり取りへ介入

なお、本件で攻撃者が用意した偽の口座は、同時期

28

情報セキュリティ白書

2021/3/16
正規のメール
のやりとり

A社担当者

攻撃者

用していたメールサービスに定期的にログインすることな請求済みの支払いがないと電話で確認

メールの
やりとりを
継続

く、A 社とB 社のやり取りを盗み見ることが可能となっていたと見られる。

詐欺の発覚

送金被害発生

B社では
支払い済み
と回答

（b）
経営者をかたる日本語の攻撃事例

偽の口座
へ送金

本事例は、2021 年 10 月、J-CSIP の参加組織（国内企業）の複数の役員に対し、同社の代表取締役にな■図 1-2-5 攻撃者とのやり取り（出典）
IPA「サイバー情報共有イニシアティブ（J-CSIP）
運用状況［2021
年 4 月〜 6 月］」

りすました攻撃者から、
約 2 時間の間に 17 通の偽のメールが送られたと情報提供があったものである。
攻撃者から送られた偽のメールは日本語であり、機密に本件とは別のビジネスメール詐欺と思われる詐欺行為

事項について助けが必要だという内容で、受信者に返でも悪用されていたことが判明している。攻撃者が、被信を依頼するものであった。メールの下部には実在する害者を騙して振り込ませる口座を、複数の犯罪に使い回

日本の弁護士事務所の弁護士から連絡があったようにしていることは推測されていたが、実際に複数の会社に見せかける偽の内容が記載されていた。

対するビジネスメール詐欺が関係していたということが本本事例で、攻撃者から送られたメールを図 1-2-7 に示

事例をとおして確認された。

す。

ビジネスメール詐欺にて確認した偽の口座情報を、銀行や警察等と連携することで、攻撃者の口座を凍結し、別の企業等に行われているビジネスメール詐欺の被害を未然に防げる可能性がある。攻撃者の口座が判明した
際は、速やかに銀行や警察等へ連絡することを検討いただきたい。
正規のメールアドレスに似せた偽の詐称用ドメイン（イ）の悪用
攻撃者から B 社の担当者へ送られた偽メールでは、
A 社の正規のドメインに似通った「詐称用ドメイン」がメールの送信に使用されていた。詐称用ドメインは、最初の攻撃メールが送られた当日（2021 年 3 月 16 日）に新規に取得され、図 1-2-6 に示すように、正規のドメイン名を 1
文字変更したものであった。

【本物のメールアドレス】alice @ abccompany-a . com【偽物のメールアドレス】alice @ abcccompany-a . com
（「c」を一文字追加）※実際に悪用されたものとは異なる。

■図 1-2-7 実在する代表取締役と弁護士を詐称する日本語のメール（出典）
IPA「サイバー情報共有イニシアティブ（J-CSIP）
運用状況［2021
年 10 月〜 12 月］」■図 1-2-6

A 社の詐称用ドメインの例（B 社へ送られた偽メールで使われたドメインの例）（出典）
IPA「サイバー情報共有イニシアティブ（J-CSIP）
運用状況［2021
年 4 月〜 6 月］」

本メールの送信者のメールアドレスには、日本の金融（ウ）
メールの転送設定によるメールの盗聴庁のドメインに似た偽のメールアドレスも記載されており、攻撃者は何らかの方法で B 社の Microsoft 365 のこの偽のメールアドレスへ返信されるように細工されていメールアカウントへ不正アクセスし、正規の A 社の担当た。また、同報先（CC）には、弁護士のメールアドレスを者から送られたメールを攻撃者の元へ転送するように設かたった偽のメールアドレスが設定されており、あたかも

29

1

情報セキュリティインシデント・脆弱性の現状と対策

B社担当者定していた。この設定を行うことで、攻撃者は B 社が利2021/4/9

第 章

攻撃者に
よって盗聴

A社担当者になりすまし、
偽のメールを
送付

2022

（5）
ビジネスメール詐欺の騙しの手口

弁護士にも同報されているかのように見せかけていた。

ビジネスメール詐欺で用いられる騙しの手口は様々でこのメールについては、IPA が 2018 年 8 月に公開し※ 74のレポート事例 1と同じ手口であある。詳細は「情報セキュリティ白書 2020」の「1.2.2（5）

り、継続して類似した攻撃が行われているものと推測さビジネスメール詐欺の騙しの手口」にて、実際に使われれる。

た具体的な手口を紹介しているため、そちらを参照いた

た注意喚起の続報

普段英語のメールでやり取りを行わないような企業やだきたい。

組織であっても、日本語で書かれた偽のメールが着信す

なお、攻撃者は被害者から金銭を詐取するために、る可能性があるため、引き続き注意が必要である。

手口を多様に組み合わせて巧妙に攻撃を仕掛ける場合
や、「新型コロナウイルスによる影響のため、通常の取（c）
CEO を詐称する一連の攻撃

引手続きではない方法で支払ってほしい」 等と時流に

2021 年においても、CEO（Chief Executive Officer）

沿った口実を使って被害者を騙そうとする等、手口を新詐欺について継続して情報提供があった。更に IPA でしくしながら攻撃を行っていることを認識しておく必要が

J-CSIP 外の情報等を含め独自に調査を行ったところ、ある。

複数の類似するメール検体を入手した。

（6）
ビジネスメール詐欺への対策

本項では、
これら二つの CEO 詐欺について説明する。

ビジネスメール詐欺への対策を以下にまとめる。日頃• 複数組織へ行われた CEO を詐称する一連の攻撃

からビジネスメール詐欺への意識を高め、組織内の送• 「日本語化」
された CEO 詐欺の攻撃

金チェック体制や監視体制、被害に遭ったときの迅速な対応体制を整えておくことが重要である。

複数組織へ行われた CEO を詐称する一連の攻撃については、2021 年に 34 件の情報提供を受け、これま

また、JPCERT/CC や株式会社マクニカ、PwC のでに 207 件のメール検体を入手している。本攻撃は、報告書等も、対策・対応について記載されており、そち2019 年 7 月以降継続して観測しており、国内外の複数らも活用いただきたい※ 76。

の組織を対象として行われた痕跡を確認している。メー（a）
ビジネスメール詐欺の周知徹底と情報共有

ルの件名や内容は時期ごとに変化が見られるが、メールのヘッダ情報に類似する点があり、一連の攻撃は同一

ビジネスメール詐欺は、企業間のビジネス活動がメーの攻撃者によるものと推測している。また、本攻撃メールに依存している点を悪用した巧妙な騙しの手口であり、ルについては、米国のセキュリティベンダが公開している

その手口を知らなければ、被害を防止することは困難で※ 75

レポートと同様の手口であることを確認している。

ある。ビジネスメール詐欺におけるなりすましは外部企業「日本語化」
された CEO 詐欺の攻撃については、2021との取り引きだけでなく、グループ会社同士の取り引きに

年に 15 件の情報提供を受け、これまでに 68 件のメー

おいても発生している。このため、海外関連企業を含む

ル検体を入手している。本攻撃は、2019 年 11 月以降

全グループ企業の全従業員に対して詐欺の手口につい継続して観測しており、国内外の複数の組織を対象として周知徹底し、ビジネスメール詐欺への意識を高めておて行われた痕跡を確認している。メールの件名や内容くことが重要である。特に、最高財務責任者（CFO：は一部に変化が見られるが、ほぼ同じ内容のメールであChief Financial Officer）や経理部門等の金銭を取り扱

り、メールのヘッダ情報や、「SendGrid」や「SMTP2GO」

う担当者が、ビジネスメール詐欺の脅威についてよく理というメールサービスを使用する場合がある等類似する

解し、送金前に攻撃に気付くことができれば、金銭的な点があり、一連の攻撃は同一の攻撃者によるものと推測

被害を未然に防ぐ可能性が高まる。

している。

また、メールに普段とは異なる言い回しや表現の誤り

これら二つの CEO 詐欺は、特定の組織や業種を狙があった、突然送信エラーメールを受信するようになった

うものではなく、多くの業種に対して試みられたことを確等、不審な兆候が見られた場合、CSIRT 等の社内の認している。このため、業種に関わらず、今後も継続し適切な部門に報告できる体制を整え、その情報を組織て国内外の組織に対して攻撃が行われる可能性があり、内外で共有することも重要である。ビジネスメール詐欺

注意が必要である。

は、自組織だけではなく、取引先にも被害が及ぶことがあり、取引先と情報を共有することにより、サプライチェー

30

情報セキュリティ白書

や、攻撃者が取引先等のドメイン名に似せた詐称用のドる。もし、自組織を詐称したビジネスメール詐欺を確認しメインを取得し、そのドメインのメールアドレスを用いる場

た場合や自組織が被害に巻き込まれた場合は、取引先合等、正しいメールと偽のメールの区別がつきにくい場

や、警察、金融機関へ報告し、同様の攻撃に対する合があるため、注意が必要である。また、送信元（From

注意喚起を行うといった体制を整えておくことで、更なるヘッダ）を正しい送信者のメールアドレスに偽装し、返信被害拡大を防ぐことが可能となる。

先（Reply-To ヘッダ）を攻撃者のメールアドレスにする手（b）
電子署名等によるなりすまし防止

ダ）が異なる際に警告を表示する機能があるメールシス

ビジネスメール詐欺は、メールのやり取りにおいて本物テムを導入することも対策として有効である。

の担当者になりすますことで攻撃を成立させる。そのた（e）フィッシング・ウイルス・不正アクセス対策

め、取引先と連携した対策として、請求書等の重要情報をメールで送受信する際は電子署名を付ける等の手

ビジネスメール詐欺を行う攻撃者は、攻撃に至る前に、段で、なりすましを防止する対策が有効である。

何らかの方法でメールのやり取りを盗み見ている場合がある。その方法として、フィッシング攻撃によるメールアカ（c）
送金処理のチェック体制強化

ウントの詐取、ウイルス感染等によるメールの内容やメー

ビジネスメール詐欺の被害を防止するためには、送金

ルアカウント情報の窃取、メールサーバやメールアカウント

時のチェック体制を強化することが最も重要である。金への不正アクセス等がある。そのため、基本的なフィッ銭を取り扱う担当者は、通常と異なる対応（役員等権威

シング対策・ウイルス対策・不正アクセス対策を徹底してある立場からの通常の手順とは異なる支払い依頼や、いただきたい。

企業間取り引きにおいて別の口座への突然の変更依

特に、Microsoft 365 や Google Workspace（旧称、頼、見積価格の修正、支払方法の変更、急なメールア

G Suite）等のようなクラウド型サービスを利用している場

ドレス変更等）を求められた場合は、ビジネスメール詐欺

合は、多要素認証等を活用し、第三者による不正ログを疑い、別の担当者とダブルチェックを行うことや、信頼インを防ぐことが重要である。

できる方法で入手した連絡先に、電話や FAX 等のメー

また、攻撃者によってメールアカウントが乗っ取られ、利ル以外の手段で事実を確認するといった、二重三重の用者本人が行っていない転送設定やフォルダの振り分け

チェックを行う体制とすることが必要である。

設定がされている等、不正利用の兆候があった場合には、Microsoft 社等より該当アカウントへの対処方法（d）
攻撃に使われるメールアドレスへの対策※ 77が公開されているため、そちらを参照いただきたい。

ビジネスメール詐欺において、攻撃者がメールを偽装する方法は様々であるが、偽のメールだと気付かず返信

1.2.4

してしまった場合でも、送信先や返信先に設定されていDDoS攻撃るメールアドレスに注意していれば、攻撃と見抜ける可DDoS（Distributed Denial of Service）攻撃とは、能性があった事例が多く見られるため、送信前にメール

Web サーバ等の攻撃対象に対して複数の送信元から同アドレスが正しいかどうか、落ち着いて確認していただき時に大量のパケットを送信することで、攻撃対象のリソーたい。

スに負荷をかけ、サービス運用を妨害する攻撃である。
本項では、2021 年度に確認された DDoS 攻撃につビジネスメール詐欺で使われるメール偽装の手口としいて事例と対策を解説する。

て、フリーメールを悪用する場合や、自組織のドメイン名に似せた詐称用のドメインを取得し、そのドメインのメー（1）DDoS 攻撃の動向

ルアドレスを用いて攻撃を行う場合がある。フリーメール
や自組織外のメールアドレスから着信したメールについセキュリティベンダによると、2021 年上半期に全世界て、件名や本文にその旨の警告を表示するメールシステ

で確認された DDoS 攻撃は、過去最多となる 540 万回

ムを採用すれば、従業員がそれらのメールを見分けやすで、前年同期と比較して 11% 増加した※ 78。2020 年以くなる。なお、このようなメールシステムを利用していても、降、DDoS 攻撃は急激に増加しているが、これは、新取引先の企業でフリーメールをビジネスに使っている場合

型コロナウイルスの世界的蔓延とロックダウン等の影響に

31

1

情報セキュリティインシデント・脆弱性の現状と対策口もあり、送信元（From ヘッダ）と返信先（Reply-To ヘッ

第 章

ン全体でビジネスメール詐欺への耐性を高めることができ

2022

より、多くの日常的な活動がオンラインに移行したことで、が構築・実施していたために被害は発生しなかったが、潜在的な攻撃対象が増加したことが原因である可能性

このようなリフレクション攻撃の頻度と規模は近年ますま※ 79が高いとされる。

す増加している。

ここでは、2021 年度における、DDoS 攻撃に関する（b）
オリンピック期間中に確認された DDoS 攻撃

主だった事例を紹介する。

※ 82
事業者によ
CDN（Content Delivery Network）（a）
リフレクション攻撃の事例

り、東京 2020 オリンピック・パラリンピック競技大会の競通信プロトコルの中には、リクエストよりもレスポンスの技開始後の日本国内への DDoS 攻撃の件数が、通常

データサイズが大きくなるものがある。攻撃者がそのよう時の 10 倍以上に増加したとする調査データが公開されな仕様を悪用し、送信元を攻撃対象のアドレスに偽装した※ 83。

たリクエストを大量に送信することで、増幅されたレスポ

オリンピック・パラリンピックの開催中は、開催国へのサンスが攻撃対象のアドレスに宛てて送信される。攻撃対イバー攻撃が集中することがこれまでも観測されており、象は、大量のデータを受信することになり、処理能力の東京 2020 オリンピック・パラリンピック競技大会でも、攻限界を迎え、サービスのパフォーマンス低下や停止を起撃が集中することが予測されていた。本大会では、組こす。このような DDoS 攻撃は「リフレクション攻撃」と呼織委員会や関係機関が、開催前から攻撃への対策をばれる。

強化すると宣言する等、事前に対策に乗り出していたこともあり、大会の開催期間中に運営に支障が出るようなリフレクション攻撃では、外部に公開されている UDP※ 80（User Datagram Protocol） を用いて通信を行うサー被害は生じなかった。

ビス（以下、UDP サービス）を悪用した攻撃が多く観測（2）DDoS 攻撃を行うボットネットの拡大されている。UDP サービスを悪用した攻撃では、UDP

DDoS 攻撃には、ボットネットと呼ばれる攻撃用ネットの以下の三つの特徴が悪用される。

ワークが使用される場合がある。ボットネットは、攻撃者①要求パケットの送信元 IP アドレスを確認しない。このが乗っ取った多数のコンピュータ、ネットワーク機器、

ため、送信元を偽装しやすい。

IoT 機器等と、それらに対して遠隔で指令を送信するた②要求パケットの長さよりも応答パケットの長さが大きくな

めの C&C サーバで構成されている。攻撃者が C&C

る増幅効果（Amplification）がある。
③ UDP サービスを提供するサーバ（以下、
UDP サーバ）

サーバを介して、ボットネットに攻撃指令を送信することへ行われたリクエストは、応答パケットとして、送信元

で、ボットネットを構成する機器が一斉に攻撃を行う。ボッホスト（攻撃においては送信元に偽装された攻撃対象

トネットを構成する機器のほとんどは組織や家庭で利用さ

のホスト）
へ反射
（Reflection）
される。

れているもので、サービスやソフトウェアの脆弱性を悪用されたりウイルスに感染させられたりした結果、制御を奪われた機器である。

UDP サービスが DDoS 攻撃に悪用されると、①の特徴により攻撃元の特定が難しく、②③の特徴を悪用する

攻撃者は、より多くの機器を乗っ取るため、アップデー

ことで、送信するデータ量を数十倍から数百倍に増幅さトを繰り返すことで、最新の悪用手法等を取り入れ、様々せた攻撃が可能となる。また、インターネット上からアクなターゲットに対して攻撃を繰り返しながらボットネットを拡セス可能な UDP サーバへの通信そのものは正常である

大させ、大規模な DDoS 攻撃等を実行する。

ため、攻撃が行われていることを把握し対応を行うには、

2021 年 6 月末ごろから、IoT 機器を悪用して DDoS

後述の「1.2.4（3）（b）攻撃に加担しないための対策」が攻撃を仕掛ける「Mēris」と呼ばれるボットネットが新たに必要となる。

観測された※ 84。Mēris による攻撃トラフィックは、2016

UDP サービスを悪用したリフレクション攻撃は、2021 年

年に猛威を振るった IoT マルウェアである Mirai ※ 85 にも定常的に確認されており、11 月には、Microsoft Azureて観測されたものの約 3 倍規模に相当し、Cloudflare,のアジアユーザを対象とした、3.47Tbps（テラビット／秒）

Inc. では 1,720 万 rps（リクエスト／秒）という大規模な※ 81という過去最大規模の DDoS 攻撃が行われた

DDoS 攻撃が確認されている※ 86。

。この事例では、大規模な DDoS 攻撃の兆候を検知した

このようなボットネットは、攻撃ツールとして、DDoS 代

時点で、その攻撃に対する緩和策を既に Microsoft 社

行サービスを通じて有償で貸し出されることがある。拡大32

情報セキュリティ白書

したボットネットが DDoS 代行サービスに使用され、攻撃認し、存在した場合は適切なパスワードに変更する。

者がそれを購入することで比較的手軽に悪用できること

パスワードが初期設定のままの機器は、攻撃者によりが、大規模な DDoS 攻撃が発生しやすくなる要因となっ

容易に侵入され、制御を奪われてしまう可能性がある。
• 外部と接続しているネットワーク機器や IoT 機器をとおして組織内の他の機器に対して感染拡大を試みるウ（3）DDoS 攻撃への対策

イルスも確認されているため、インターネットに直接接続していない機器においても脆弱性対策等を行う。

た場合の対策に加えて、管理または所有する機器が乗っ• 組織内で稼働しているプリンタ等の機器や、自組織が取られ、DDoS 攻撃に加担することを防ぐための対策も外部で管理している Web カメラや気象センサー等の求められる。これらの対策について解説する。

機器を洗い出し、DDoS 攻撃に悪用される可能性があるサービスやソフトウェアが適切に運用されているこ（a）DDoS 攻撃の被害に遭った場合の対策とを確認する。具体的には、これらのサービスやソフト

DDoS 攻撃によって送られてくる通信データを遮断し、ウェアが稼働する機器に関して、OS を始め、各サーサービスを提供するサーバやネットワークのリソースを保ビス等が脆弱性を含むバージョンで稼働していないこ

護する対策が必要である。正常なアクセスと DDoS 攻とや、DDoS 攻撃に悪用される設定になっていないこ

撃によるアクセスを、どのように切り分けるかが対策のポとを確認する。また、それらのサービスを組織内のみ

イントとなる。以下に、具体的な対処方法を挙げる。

で利用している場合でも、意図せずインターネット上に• アクセスログや通信ログ等を確認し、攻撃が特定の公開していないかを確認する。

IP アドレスから行われていると判断できる場合は、当• 組織内の機器の外向きの通信を監視し、異常な通信

該 IP アドレスからのアクセスを遮断する。

を確認した場合は、攻撃の踏み台となっている可能• 国内からのアクセスを主に想定しているサイトでは、海性がある。そういった機器は、ウイルス感染等が生じ外の IP アドレスからのアクセスを一時的に遮断するこていないか調査し、対処を行う。自組織での対処がとを検討する。

困難な場合は関係当局やセキュリティベンダ等への相• 攻撃者が攻撃元の IP アドレスや攻撃方法を定期的談を検討する。

に変更してくる場合があるため、継続して監視を行い、攻撃方法に合わせた対策を実施する。

1.2.5• 攻撃の頻度や、攻撃対象サイトの重要性によっては、ソフトウェアの脆弱性を悪用した
攻撃

ISP 事業者が提供する DDoS 攻撃対策サービスやセ2021 年度は、2020 年度に引き続き VPN 製品の脆

キュリティベンダ等が提供する DDoS 攻撃対策製品

弱性を狙った攻撃が多く報告された。また、多くの利用の利用を検討する。

者がいる Microsoft 製品や、多数の IoT 製品に影響• 組織内で対処しきれない程、大規模な攻撃や執拗ながあるとされる脆弱性も報告された。

攻撃を受けている場合は、ISP 事業者との対策協議

本項では、これらの脆弱性を悪用した攻撃の状況と等の連携や警察等への通報を実施する。

対策について解説する。

（1）VPN 製品の脆弱性を対象とした攻撃（b）
攻撃に加担しないための対策
自組織や個人で使用する機器が DDoS 攻撃に悪用

VPN は、専用のネットワーク回線を仮想的に構築するされないように、セキュリティソフトを導入したり、適切なことで、物理的に離れている拠点のネットワーク間を、あ設定をしたりといった対策が必要である。また企業におたかも同一のネットワークであるかのように接続する技術

いては、自組織の機器を悪用された場合に、それを早である。拠点のネットワークと離れた場所にあるパソコン

期に検知できるように通信の監視を行うといった対策も推等を安全に接続するために、VPN は使用される。
2021 年度は、新型コロナウイルス感染拡大防止のた奨する。以下に、具体的な対処方法を挙げる。

め、2020 年度に引き続きテレワークが強く推奨された影• IoT 機器の OS やファームウェアを最新の状態に保ち、響もあり、VPN 製品の脆弱性を悪用した攻撃数が依然脆弱性の悪用により制御を奪われることを防ぐ。

として高い水準で推移した※ 87。また、VPN 製品の新

• パスワードが初期設定のままの機器が存在しないか確

33

1

情報セキュリティインシデント・脆弱性の現状と対策

DDoS 攻撃への対策では、DDoS 攻撃の被害に遭っ

第 章

ている。

2022

たな脆弱性が相次いで発見され、脆弱性が解消されて有または利用するシステムについて、構成管理を適切にいない製品を狙った攻撃も多数報告された。

行い、システムを構成するソフトウェア等の脆弱性に関する情報収集を日々行う必要がある。また、事前に対策の

（a）
攻撃事例

実施手順を整えておき、脆弱性の対応を遅延なく着実

2021 年 2 月 に、SonicWall, Inc. 製 SonicWallに実施することが重要である。

SMA100 シリーズの SSL-VPN 機能に関して、SQL イ※ 88

ンジェクション

の脆弱性（CVE-2021-20016※ 89

対策の実施手順として、以下に示す内容をあらかじ）が公め定めておくことを推奨する。

表された。

• 利用しているソフトウェア等の脆弱性情報の収集方法

この脆弱性は、SSL VPN ポータルに存在する。攻• 脆弱性が確認された場合の対応方法

撃者は、細工したリクエストをポータルに送信することで、• 脆弱性の緊急度や深刻度に応じた対応の優先度

認証を必要とせずに SQL 文を実行し、認証やセッション• 他部署やベンダ等への連絡の要否基準に関連する情報にアクセスできる可能性があった。
2021 年 1 月 22 日、同社は当該脆弱性を悪用したと

このような実施手順の準備に加え、侵害されている痕思われる標的型攻撃を観測し、1 月下旬より調査を進め跡が存在するかの確認や攻撃を受けてしまった場合のていることを公表した。当該脆弱性が悪用された事例と対応を定めておくことを推奨する。

※ 90

。

なお、近年の VPN 製品の需要の高まりから、古い

また、2021 年 5 月に Pulse Secure, LLC. は、同社製品を利用する必要に迫られることも考えられる。そのの VPN 製品である Pulse Connect Secure に発見さ際は、ベンダからサポートを受けられる状態であることをれた複数の脆弱性を解消する定例外の修正プログラム

確認し、必要な修正プログラムを適用して既知の脆弱性

して、FiveHands ランサムウェアへの感染等がある

※ 91

を公開した
22893

※ 92

。解消された脆弱性のうち、CVE-2021-を解消してから利用することが望ましい。

については、悪用による被害が確認された。

この脆弱性を悪用されると、認証されていない攻撃者（2）Microsoft 製品の脆弱性を対象とした攻撃

により、解放済みメモリ使用の脆弱性（Use After Free）

2021 年度も 2020 年度に引き続き、Microsoft 製品を悪用され、
当該製品上のライセンスサーバの Web サーの脆弱性を狙った攻撃が多数報告されている。本項でビスを経由して任意のコードを実行される可能性がある。

は、Microsoft Exchange Server の脆弱性を狙った事※ 93

また、認証を回避され、製品上に Web シェル

を設

例を紹介する。

置されることで、システムが永続的に侵害される可能性
（a）
攻撃事例

がある。
これらの VPN 製品は、脆弱性を解消したバージョン

Microsoft Exchange Server は、Microsoft 社が開のソフトウェアが配布されるまでに数週間から 1ヵ月程の発したメールサーバ及びグループウェアである。

期間を要しており、脆弱性情報の公開後、当該脆弱性

ここでは、2021 年 3 月に公開された「ProxyLogon」と、同年 8と呼ばれる脆弱性（CVE-2021-26855 ※ 95 等）を悪用した攻撃の事例が報告されている。
これは、脆弱性情報の公開当初はソフトウェアの修正

月に公開された「ProxyShell」と呼ばれる脆弱性（CVE-

プログラムが公開されていなかったことに加え、修正プロを悪用した攻撃について解説する。
2021-34473 ※ 96 等）

グラムを適用したとしても、適用前に脆弱性を悪用され、• ProxyLogon の脆弱性

認証情報を不正に取得されていた場合、攻撃者が窃取

この脆弱性は、Exchange Server のプロキシアーキ

した認証情報により不正アクセスできてしまうことが要因とテクチャに認証の不備があることに起因する。攻撃者※ 94

して挙げられる。

は、脆弱性が存在する Exchange Server を導入したサーバの 443 番ポートに対して細工したリクエストを（b）
脆弱性を狙った攻撃への対策送信する。脆弱性が存在すると、認証を回避して管脆弱性が発見されると攻撃者に狙われ、被害が発生理者になりすますことが可能となり、他の脆弱性と組みしてしまう可能性があるため、新たな脆弱性が公開され合わせることで、任意のコードが実行される（次ページた際は、迅速な対応が求められる。

図 1-2-8）。

そのためには、事前の準備が重要である。自らが保• ProxyShell の脆弱性

34

情報セキュリティ白書

インターネットにつながっていれば攻撃可能に侵入され、ブロードキャストによって、ネットワーク内の認証を回避されてしまう

脆弱性がある機器の制御を奪取されたり、サービス妨害等を引き起こされたりする可能性があるという。

攻撃リクエスト機器で広く利用されていることから、少なくとも1 億台の脆弱性が存在する
Exchange Server を利用しているサーバ

認証を回避された結果、他の脆弱性と組み合わせることで、任意のコードが実行されてしまう

機器が影響を受ける可能性があるとされる※ 101。
ない IoT 製品を狙った攻撃が発生する可能性があり、ProxyShell の脆 弱 性も、ProxyLogon の脆 弱 性と対策が必要である。

同様に、クライアントアクセスサービスに認証の不備が（b）
IoT 製品を対象とした攻撃への対策あることに起因する。当該脆弱性により、攻撃者が標的となる Exchange Server に対し、細工したリクエス

前述の NAME:WRECK のような脆弱性の存在を踏

トを送 信することで、バックエンドサーバの任 意のまえて、IoT 製品を安全に保つためには、以下の対策

URL へアクセスできる。また、他の脆弱性と組み合が必要となる。

わせることで、任意のファイルを上書きして Web シェ• 製品開発者が行うべき対策

ルを設置すること等ができるとされている。

– IPA や JPCERT/CC 等の各組織が公開している
IoT 製品の開発ガイドライン等を基に、企画・設計

2021 年 1 月、ProxyLogon を悪用され、攻撃対象等を含めたすべての開発工程で実施すべきセキュのサーバで認証を回避し、メール情報を窃取される事例

リティ対策を明確にする（ガイドラインについては

※ 97

。

が報告されている「3.2.4（1）IoT 関連セキュリティガイド等の改訂・新規発行」参照）。

（b）
脆弱性を狙った攻撃への対策– 製品で使用する部品の調達に関し、契約等におい

脆弱性を狙った攻撃による被害を防ぐため、修正プロて脆弱性対処の項目を含める。

グラムが公開されたら、利用者は速やかにアップデートを– 製品出荷後に修正プログラムによりアップデートが実実施することが求められる。また、事前に対策の実施

施できるように製品に更新機能等を組み込む。

手順を整えておくことを推奨する（「1.2.5（1）（b）脆弱性を– 製品に関する脆弱性が発見・報告された場合、速狙った攻撃への対策」参照）。

やかに修正プログラムを公開する。
– 安 全に運用するための注意点等の情報を製品利（3）IoT 製品を対象とした攻撃用者に提供する。

2021 年度も、多数の IoT 製品に影響を与える脆弱• 製品利用者が行うべき対策性が公開されている。本項では、「NAME:WRECK」– 製 品開発者が提供する安全に運用するための注と呼ばれる脆弱性を紹介する。

意点やアップデート方法等の情報を確認した上で利
用する。

（a）
多数の IoT 製品に影響する脆弱性– 攻 撃者に脆弱性を悪用されるリスクを低減するた

2021 年 4 月 12 日、米国のサイバーセキュリティ企業でめ、製品を利用するにあたって問題がなければ、イ

ある Forescout Technologies, Inc. 及びイスラエルのサ

ンターネットから直接 IoT 製品にアクセスできないよ

イバーセキュリティ企業である JSOF Ltd. より、「NAME:

うにする。

※ 98

WRECK」と呼ばれるゼロデイの脆弱性群に関する– 脆 弱性情報を収集する。具体的には、IPA が公。NAME:WRECK は、TCP/IP

開している「JVN iPedia ※ 102」や、IPA から送付さスタック※ 100 に DNS プロトコルのメッセージ圧縮機能をれるセキュリティ対策情報のメールニュース、製品

持つ FreeBSD や Nucleus NET 等の IoT 機 器 向け開発者の Web サイトで公開される情報等を定期的の OS やソフトウェアライブラリに発見された 9 個の脆弱に確認する。

性の総称である。これらの脆弱性が悪用された場合、– 製品開発者が修正プログラムを公開した場合、速※ 99

情報が公開された

攻撃者により、IoT 製品を経由して外部からネットワーク

やかに修正プログラムを適用する。

35

1

情報セキュリティインシデント・脆弱性の現状と対策

今後も、NAME:WRECK の脆弱性が解消されていProxyLogon の脆弱性を悪用した攻撃イメージ

第 章

当該製品は、医療機器や制御システム等の組み込み
攻撃者■図 1-2-82022

1.2.6（1）正規のメールと誤認させる手口

ばらまき型メールによる攻撃

攻撃者が、ばらまき型メールの受信者に正規のメールと誤認識させるために使う手口について解説する。

特定の組織や個人ではなく、不特定多数の一般利用者を狙った、ウイルス感染を目的としたメールを本項では（a）
正規のメールへの返信、転送、及び再送を装う手口「ばらまき型メール」と呼ぶ。

IPA では、正規のメールへの返信、転送、及び再送

2015 年 10 月ごろより、国内で日本語のばらまき型メー
※ 103

。2021

を装うばらまき型メール（以下、正規のメールへの返信等

年においても、件名やメール本文が受信者とは関係のを装うメール）を観測している。このばらまき型メールでは、ないメール、実在の組織をかたったメール、一見すると攻撃対象者が過去にメールのやり取りをしたことのある、業務に関係のありそうな件名や本文のメール、「正規の実在する相手の氏名、メールアドレス、メールの内容等

メールへの返信」を装ったメール等を確認している。ばらが流用され、その相手からの返信、転送、及び再送のまき型メールでウイルスに感染させる手口としては、添付

メールを装っている。

ルによる攻撃が多く観測されるようになったファイルやメール本文中の URL を用いる手法が存在す

この手口のばらまき型メールは 2018 年 11 月から観測

る。メールの添付ファイルには実行ファイル、脆弱性を悪されており※ 106、次の方法によってメールが送信される。

用する Office 文書ファイル、Office アプリケーションのア• ウイルスに感染した端末から窃取した情報を基に、メー

ドインファイル等を確認している。また、マクロ付きのル送信用のボットネットから、別の相手に対して正規のOffice 文書ファイル、これらのファイルを圧縮した形式のメールへの返信等を装うメールをばらまく方法※ 107。

ファイルについても継続的に確認している。ばらまき型メー• 攻撃者がメールアカウントへ不正アクセスし、そのメールによってウイルスに感染すると、感染した端末の情報

ルアカウントで受信していた正規のメールへの返信等

窃取や遠隔操作、ランサムウェアへの感染等につながるを装うメールをばらまく方法• あらかじめ窃取したメール情報を用いて正規のメールため注意が必要である。

への返信等を装うメールをばらまく方法

IPA では、2019 年、2020 年に日本国内で多くの感染被害が発生した「Emotet」と呼ばれるウイルスへの感（b）メール受信者の興味・関心を惹く題材を悪用する

染を狙うばらまき型メール（以下、Emotet のばらまき型
メール）を、2021 年 11 月に再度観測した。Emotet の

手口

ばらまき型メールは、2021 年 1 月に欧州刑事警察機構

IPA では、受信者の興味・関心を惹く題材をメール（Europol）によりEmotet の攻撃基盤（ウイルスをばらまの件名・本文に記載するばらまき型メールを継続して観いたり、感染したマシンを操作したりするための機器等）

測している。2020 年 12 月にはクリスマスや賞与を題材と※ 104がテイクダウン（停止）
された

ため、世界中で 2021 年

2 ～ 10 月の間、確認されていなかった。しかし、Emotetのばらまき型メールが再度観測されたことから、攻撃者
はテイクダウンされた攻撃基盤とは別の攻撃基盤を用意
し、Emotet のばらまき型メールを送信している可能性がある。国内では、2022 年 2 ～ 3 月にかけて、企業・組織における Emotet 感染が急増していると報告されている※ 105。このほか、Emotet 以外のウイルスに感染させるばらまき型メールについては、2021 年をとおして観測されている。
本項では、2021 年度に国内で観測された日本語のばらまき型メールによる攻撃で使用されたメール偽装の手口
やウイルス感染の手口について解説する。
■図 1-2-9 新型コロナウイルスを題材としたばらまき型メールの例（出典）
公益社団法人日本医師会「【注意喚起】
日本医師会を騙る不審メールの流通について※ 108」36

情報セキュリティ白書を題材としたばらまき型メールを観測していた。その後、の有効化）ボタンのクリックを促す指示が書かれているも2021 年 7 ～ 10 月には請求書を題材としたばらまき型メーのがあることを確認している。2020 年 9 月まではこれら

ルを、2021 年 9 月には図 1-2-9（前ページ）のように新型の記述は英語のみであったが、IPA では 2020 年 10 月

コロナウイルスを題材としたばらまき型メールを観測した。

以 降、日本 語で指 示が記 載された Word ファイルやこれらの手口から、攻撃者は日本国内のメール受信者のExcel ファイルを確認している。2021 年 4 月にも図 1-2-

興味・関心を惹く題材を選んで継続的に攻撃を行ってい11 に示すように、Excel ファイルを使用し、ウイルスに感ると言える。

染させようとするばらまき型メールを確認している※ 109。

（c）
実在の組織をかたった手口
実在する組織をかたるばらまき型メールも観測されている。図 1-2-9（前ページ）や図 1-2-10 のように、実在する組織をかたり、あたかもその組織からの連絡であるかのように送信元や本文を偽装したメールが送信される。
この手口も継続して使われているため、引き続き注意が必要である。

■図 1-2-11 日本語で記載されている Excel ファイルの例（b）
Excel アドインファイルを使用する手口
Excel アドイン（拡張子が .xll）のファイルを悪用する手口を確認している※ 110。この手口ではファイルを開くと、
図 1-2-12（次ページ）のように、警告ウィンドウが表示される。警告ウィンドウで、利用者が「このアドインをこのセッショ
ンに限り有効にする」を選択すると、表示用のダミー文書
ファイルが表示され、最終的にウイルスに感染する。
（c）
パスワード付きの ZIP ファイルを使用する手口
パスワード付きのZIPファイルが添付され、そのパスワー■図 1-2-10 実
 在する企業をかたるばらまき型メールの例

ドがメール本文に記載されているばらまき型メールを確認（2）
ウイルスに感染させる手口している。ZIP ファイルを解 凍 すると、マクロ付きの攻撃者がばらまき型メールを用いてウイルスに感染させWord ファイルが出力され、利用者がそのファイルを開いる手口を解説する。

て「コンテンツの有効化」ボタンをクリックすることでウイルスに感染する。添付ファイルが暗号化されていることから、（a）マクロ付きの Office 文書ファイルを使用する手口

メール配送中のセキュリティ製品や、セキュリティサービ

こ の 手 口 で は、 マ クロ 付 き の Word、Excel、ス、セキュリティソフトによる検知や検疫をすり抜け、受PowerPoint といった Office 文書ファイル内の悪意ある信者のもとに攻撃メールが届いてしまう確率が高い。こマクロが動作することでウイルスに感染させる。マクロ付の手口自体は 2019 年 12 月ごろから使われているが、き Word、Excel ファイルには、Microsoft 社や Office2021 年度も継続的に使われており、引き続き注意が必等のロゴとともに、「文書ファイルを閲覧するには操作が要である。

必要である」という趣旨の記述と「Enable Editing」
（編

37

1

情報セキュリティインシデント・脆弱性の現状と対策集を有効にする）ボタンと「Enable Content」（コンテンツ

第 章

したばらまき型メールを、2021 年 1 月には緊急事態宣言

2022

要である。
（a）
一般利用者における対策
次に示す対策は、ばらまき型メール以外の攻撃に対しても有効であり、徹底することを推奨する。
• セキュリティソフトを導入する
メール受信者がウイルスメールであると判断できずに添付ファイル等を開いてしまったとしても、セキュリティ
ソフトが検知・検疫し、被害を免れる可能性がある。
セキュリティソフトは導入するだけでなく、常に最新の状態に保つことも重要である。
• 不用意にメールや添付ファイル内の指示に従わない
身に覚えのないメールの添付ファイルを開かないことや、本文中の URLリンクにアクセスしないことが重要である。また、受信したメールに疑問や不審を抱いた
場合は、送信元となっている企業や組織の公式サイト
でばらまき型メールに関する注意喚起が公開されていないかを確認するほか、当該メールの送付有無を問い合わせる。受信メールの真偽が分からない段階では、メールへの返信、添付ファイルを開くこと、及び■図 1-2-12 E xcel アドインのファイルを開いたときに表示される警告・ウィンドウとダミー文書ファイルの例

本文中に記載されている URL へのアクセスは避ける（d）
メール本文中の URL リンクを使用する手口

ンドウが表示された場合、その警告の意味が分からなべきである。また、添付ファイルを開いたときに、警告ウィ

この手口ではメール本文中に URLリンクが記載されいのであれば、操作を中断し、システム管理部門等ており、URLリンクをクリックしてアクセスすると、悪意のへ報告・相談を行うことを推奨する。

あるマクロ付きOffice 文書ファイルや PDF 閲覧ソフトを• OS やソフトウェアのバージョンを常に最新に保つ装ったウイルスファイル等をダウンロードさせる Web サイト

適宜、修正プログラムを適用し、既知の脆弱性を解※ 111へ誘導される。Office 文書ファイルをダウンロードし消しておくことで、脆弱性を悪用した攻撃が成功する

た場合、前述の「（a）マクロ付きの Office 文書ファイルを確率を下げることができる。

使用する手口」を用いてウイルスに感染させる。また、• Office 文書ファイルを開いたときに保護ビューの解除

PDF 閲覧ソフトを装うウイルスファイルについては、脆弱やマクロの有効化を行わない性を悪用し更に別のウイルスに感染させることを確認して正規のものであると確信の持てない Word、Excel、※ 112。URLリンク先は、攻撃者が用意したサーバ

PowerPoint 等のファイルを何らかの方法で入手してである場合や、Microsoft OneDrive、Google Drive

開いたときに、マクロやセキュリティに関する警告が表

等のクラウドストレージの場合もある。この手口は新しいも示された場合は、不用意に「編集を有効にする」ボタのではないが 2021 年度も継続して使われており、引きンや「コンテンツの有効化」ボタンをクリックしない。
また、続き注意が必要である。

Word、Excel、PowerPoint 等の設定でマクロの自いる

動実行を無効化する。業務等でマクロを使わないと（3）
ばらまき型メールへの対策

分かっている場合にはマクロ機能自体を無効化するとばらまき型メールの攻撃者は、ウイルスに感染させる

いった対策も有効である。

確率を上げるために様々な工夫を凝らし、新たな手口を（b）
企業・組織における対策

取り入れて攻撃している。そのため利用者はセキュリティ
ソフトの活用、スパムメール対策、メール受信者自身によ

企業・組織におけるばらまき型メールに対する対策は、る防御等の対策を実施し、多層的な防御を行うことが重「1.2.1（5）標的型攻撃への対策」で述べている内容と基38

情報セキュリティ白書

本的には同じである。不審なメールを受信した際の報告

これを受けて 2021 年 12 月、IPA では「安心相談窓

窓口を設けることや、利用者に対してウイルス感染を想口だより※ 113」に通信事業者をかたった手口の説明を追定した訓練と教育を行うといった組織的な取り組みのほ加し、注意喚起を行った。
（a）
通信事業者を装うSMS組みを確立する、適切な修正プログラムを適用する、特2021 年 10 月ごろより、利用料金の支払いが確認でき使用しない特定のファイル形式のファイルが添付されたない等の偽の SMS 文面から URL をタップさせようとす

メールは受信を拒否する、使用しないクラウドサービスへる手口の相談が多くなった。通信事業者は、当初、株のアクセスを禁止するといった対策が重要である。

式会社 NTTドコモ（以下、NTTドコモ）をかたっていたが、au（KDDI 株式会社）をかたるものも登場した（図また、公開されているばらまき型メールに関する注意

1-2-14）。

喚起情報を組織内で共有し、同様の攻撃による被害を受けないようにすることも重要である。なお、企業や大学、個人等からも、ばらまき型メールに関する注意喚起が出されているため、これらの情報を収集し、活用することが望ましい。

■図 1-2-14 通 信事業者をかたる偽 SMS の例

1.2.7

個人をターゲットにした騙しの手口（ア）
手口

2021 年度は、手口の種類は増えてはいないが、手口

この手口は、「利用料金に未払いがある」という通信の細かい部分で変化し続けているのが特徴と考えられる。

事業者を装った SMS を送り付け、SMS 内のリンクから

SMS（Short Message Service）の手口では、通信偽サイトへ誘導する。リンクをタップした後の手口は変化

事業者をかたる SMS が出現した。一時期減少していを続けている。以下は、2022 年 1 月時点の確認内容

た暗号資産を要求する脅迫メールの手口では、文面がである。

より日本語らしくなったこともあり、本物と信じたという相談

偽サイトにアクセスしてしまうと、アクセスしたスマートフォが増加している。Web からの騙しの手口では、2020 年

ンが Android OS 端末（以下、Android）であるか、度末から登場した Web ブラウザの通知機能を悪用する

iPhone や iPad 等の iOS 端末（以下、iPhone）である

手口の相談が増加している。

かによって、この後遭遇する手口が異なる。
①Android を狙った手口の詳細（1）変化が続くSMS の手口

SMS の URL をタップすると、「システム警告」という2021 年度も、偽 SMS の手口に関する相談は継続し画面が出て、「ＸＸＸセキュリティ」というアプリのバーて寄せられているが、従来の手口である宅配便業者をジョンアップを促されるが、これは不正なアプリをダウン

かたる SMS に加えて、通信事業者をかたった偽 SMS

ロードさせようとしているものである（図 1-2-15）。

が登場した（図 1-2-13）。

ダウンロードしただけでは被害にはつながらないが、

（件数）
300
2020年度合計：1,590
2021年度合計： 657

250
200
150
100
50

3月
2月
1月
月
月
月
9月
8月
7月
6月
5月
4月
3月
2月
1月
月
月
月
9月
8月
7月
6月
5月
4月

0

10 11 122020年

10 11 12

2021年
宅配便業者

2022年
通信事業者

■図 1-2-13 偽 SMSに関する月別相談件数推移（2020 ～ 2021 年度）■図 1-2-15 K
 DDI セキュリティのアップデートをかたる例

391

情報セキュリティインシデント・脆弱性の現状と対策

定のファイル形式について実行許可・禁止の設定を行う、第 章

か、システムの対策として、不審なメールを解析する仕

2022

ファイルをタップし、不正なアプリをインストールすると、被害につながる。
なお、偽のセキュリティアプリの名前は、かたる通信事業者に合わせ、au の場合は、「KDDI セキュリティ」、
NTTドコモの場合は、「NTT セキュリティ」となる。
不正なアプリのインストールが終わった後、正規のセキュリティアプリの削除に誘導される場合がある（図1-2-16）。

■図 1-2-16 セキュリティアプリ（あんしんセキュリティ）を削除させる例■図 1-2-17 構
 成プロファイルをダウンロードさせ、不正なアプリを・
インストールさせる手口（出典）
一般財団法人日本サイバー犯罪対策センター「通信事業者を装った※ 114
フィッシング（不正アプリに注意）」
を基に IPA が編集削除される正規のセキュリティアプリは次の三つを確認している。
• あんしんセキュリティ（NTTドコモ）

求する偽のメッセージと偽の請求額が表示される• 安心ネットセキュリティ（KDDI 株式会社）（図 1-2-18）。

• マカフィーモバイルセキュリティ（マカフィー株式会社）②iPhone を狙った手口の詳細
iPhone を狙った手口は、以下の三つを確認している。
• 不正なアプリをインストールさせる手口
SMS の URL のタップにより構成プロファイルをダウ
ンロードさせ、偽のセキュリティアプリをインストールさせる（図 1-2-17）。
構成プロファイルは主に通信事業者等が iPhone の設定を一括して行うために利用されるが、この手口■図 1-2-18 未 払い料金を請求する偽のメッセージと偽の請求額が・表示される画面では正規のアプリストアである Apple Store 以外から不正なアプリをインストールさせるためにダウンロー

NTTドコモを装ったフィッシングサイトに誘導された

ドさせたものと考えられる。
• フィッシングサイトに誘導し、アカウント認証情報とクレ

場合は、d アカウントIDとパスワードを入力すると、ジットカード情報を入力させる手口

未払い料金を請求する偽のメッセージと偽の請求

SMS の URL をタップすると、Apple Store アカウン

額が表示される。ログインページが出ず、偽の請トに異常があったというポップアップメッセージが出

求額が表示される場合もある。

て、メッセージをタップすると、Apple Inc. を装った
（イ）被害

フィッシングサイトが表示される。

手口に遭遇した端末が、Android か iPhone である• フィッシングサイトに誘導し、アカウント情報とギフト券
番号を入力させる手口

かによって被害が異なる。

au を装ったフィッシングサイトに誘導された場合は、①Android における被害
Android における被害として、以下が確認されている。

au IDとパスワードを入力すると、未払い料金を請

40

情報セキュリティ白書

2022• スマートフォンが攻撃の踏み台にされ、不特定多数の宛先（自身のアドレス帳にはない電話番号）へ、偽SMS を勝手に送信された。

第 章• スマートフォンから、アドレス帳の内容、SMS メッセー
ジ等を窃取され、以下のように悪用された。

1– 通 信事業者が提供するキャリア決済サービスに– フリーマーケットサービス、後払い決済サービス、
その他のアカウントサービス等のアカウントを勝手に作成され、不正使用された。

■図 1-2-19 ギフトカード番号の入力に誘導される画面• セキュリティアプリが削除され、セキュリティ対策が機能しなくなった。

照いただきたい。なお、正規のセキュリティアプリを削② iPhone における被害

除してしまった場合は、セキュリティアプリの再インストー

iPhone における被害として、以下が確認されている。

ルが必要である。また、セキュリティアプリの初期設定• 不正なアプリをインストールさせられた。

が必要な場合がある。

不正なアプリを起動すると、ネットワーク暗証番号を②iPhone における対処

入力させる画面が出て、入力した情報が詐取され不正なアプリをインストールした場合の対処は、以下のた。

とおりである。

• フィッシングサイトに誘導し、アカウント認証情報とクレ•不 正なアプリのインストールによる、スマートフォン本

ジットカード情報を入力させられた。

体への影響範囲は不明なため、アンインストールだフ ィッシングサイトで情報を入力した場合は、その情けではなく、スマートフォンの初期化を推奨する。

報を不正使用される可能性がある。次のような相談• 不正なアプリにネットワーク暗証番号を入力した場合が寄せられている。

は、ネットワーク暗証番号を変更する。

– Apple ID、パスワード、Apple ID 確認コードを•上
 記以外の対処は、「情報セキュリティ白書 2021」

入力したところ、不正ログインされた。

の「1.2.7（3）（a）（ウ）対処」
を参照いただきたい。

– 電 話番号とキャリア決済サービスの認証コードを（b）
宅配便業者を装うSMS入力したところ、身に覚えのない請求が発生した。
– 電 話番号と認証コードを入力したところ、フリー

本件に関する相談は、2017 年から確認されている。

マーケットサービス等にアカウントを勝手に作成さこの手口は、当初佐川急便株式会社（以下、佐川急便）

れた。

をかたるものであったが、2020 年 8 月ごろからは、事業• フィッシングサイトに誘導し、アカウント情報とギフト券

者名が記載されないものが登場し、2021 年度は、かた番号を入力させられた。

る宅配便業者や不正なアプリの名前が変わる等、継続「利用料金の未払い金があります。
」という偽の画面的に変化している（図 1-2-20）。

から先へ進むと、ギフトカードで料金を支払うように誘導され、ギフトカードのシリアル番号を入力した場
合は、購入したギフトカードの額面（金額）が相手に渡ってしまう（図 1-2-19）。

■図 1-2-20 宅
 配便業者をかたる SMS の例（ウ）
対処

2021 年 4 月から佐川急便をかたる SMS による相談が増加し、8 月ごろからはヤマト運輸株式会社をかたる手口に遭遇した端末が、Android か iPhone である
かによって対処が異なる。

SMS の相談へ、更に 11 月からは日本郵便株式会社を①Android における対処

かたる SMS の相談へと変化している。相談件数自体は減少傾向にある（次ページ図 1-2-21）。

不正なアプリをインストールした場合の対処は、「情報2021 年 5 月初旬ごろから、再配達受付サイトを装っセキュリティ白書 2021」の「1.2.7（3）（a）（ウ）対処」を参41

情報セキュリティインシデント・脆弱性の現状と対策

おいて、身に覚えのない請求が発生した。

この手口は、従来の宅配便業者をかたる手口と異なり、

（件数）
200

AndroidもiPhoneも同じ手口なのが特徴である。
偽サイトに記載されている指示に従い「電話番号」「本

150

人確認書類（マイナンバーカード、運転免許証、パスポー

100ト）の写真」「メールアドレス」を入力すると、それらの情報が相手に伝わってしまうと考えられる。

50

0

4月 5月
2021年

6月

7月

不明

8月

9月 10月 11月 12月 1月 2月
2022年

佐川急便

ヤマト運輸

（イ）
被害

3月

入 力した電 話 番 号やメールアドレス宛に、不 審な

日本郵便

SMS や迷惑メールが届く可能性が考えられる。しかしな■図 1-2-21 宅
 配便業者をかたる SMS の件数推移（2021 年度）

がら、運転免許証、マイナンバーカード、パスポートのた偽サイトに誘導し、運転免許証等の本人確認書類の写真が悪意の第三者に渡った場合の被害については分

写真を詐取する新たな手口に関する相談が増加した。

かっていない。

※ 115

IPA は「安心相談窓口だより」で、2021 年 6 月に注（ウ）対処

意喚起を行った。
以下では、この新たな手口について説明する。従来

どのような対処が必要かについては、詐取された本の Android 端末に不正なアプリをインストールさせる手

人確認書類によって、以下の窓口等に相談することを検口や、
iPhoneでの偽のサイトに誘導する手口については、討いただきたい。

「情報セキュリティ白書 2021」の「1.2.7（3）（a）宅配便の• 運転免許証の場合、住所地を管轄する警察署

不在通知を装うSMS」
を参照いただきたい。

• マイナンバーカード、パスポートの場合、交付元の各
自治体

（ア）
手口
（c）
SMS の手口の変化への対策

下記のような宅配便の不在通知を装った偽 SMS が送られてくる。偽 SMS に記載されている URL をタップする

通信事業者は、SMS を送信する場合の電話番号やと、佐川急便を装った再配達受付の偽サイトに誘導されアドレス、内容について公式サイトで説明を行っている。

る（図 1-2-22）。

宅配便業者は、SMS で連絡することはないとサイトで案内している場合が多い。公式サイト等の確かな情報源を使って確認していただきたい。特に SMS に記載されている URL には注意が必要である。また、送信元情報は偽装される場合もある。SMS を安全に利用するためには、受信しても即座に反応せず、真偽の判断を行っていただきたい。
なお、2022 年 3 月から、各通信事業者が SMS を悪用したフィッシング詐欺への対策を開始した。NTTドコモ
は、危険と判断したサイトの URL 等が含まれる SMS を※ 116

自動で拒否する設定の自動適用を開始した。KDDI

株式会社は、迷惑メッセージブロック機能アプリの無償提供を開始し※ 117、ソフトバンク株式会社は迷惑 SMS
対策機能の提供を順次行っている※ 118。通信事業者が提供している機能を利用した対策を併せて行っていただ
きたい。

（2）暗号資産を要求する脅迫メールの手口
この手口については 2018 年度より相談があり、2019■図 1-2-22 偽 の不在通知 SMS から本人確認書類を詐取する手口

42

情報セキュリティ白書

2022

年度末以降は減少していたが、2020 年度末から 2021
年 7 月にかけて相談が増加した（図 1-2-23）。
従来は、外国語を日本語に直訳したような翻訳調の第 章

文面が多かったが、2020 年度末からは翻訳調ではなく顔文字を入れる等の日本語らしい文面のメールも登場し1たため、受信件数の増加に加えて、内容を信じて不安

（件数）
150

149

120
90
67

60
30

4

36

32

31
2

8

36
19

28
15

24
10

②自然な日本語の文面

25 22 26 22

当初この手口はもっぱら英語の文面を用いていたが、

7

3月
2月
1月
月
月
月
9月
8月
7月
6月
5月
4月
3月
2月
1月
月
月
月
9月
8月
7月
6月
5月
4月

0

20

17

■図 1-2-24 脅
 迫メールの例

59 59

54

10 11 122020年

10 11 122021年

その後機械翻訳されたと思われる日本語の文面が送2022年られるようになり、2021 年度には自然な日本語の文面■図 1-2-23 暗 号資産を要求する脅迫メールについての相談件数の・推移（2020 ～ 2021 年度）の脅迫メールが登場した。顔文字が入っているものもある（図 1-2-25）。元になる文面は英語と思われるが、（a）
手口

翻訳ソフトの翻訳精度が上がってきたためではないか

脅迫メールの文面は変化を続けているが、盗んだ情と考えられる。

報や盗撮したという動画を知人や動画サイトにばらまか
れたくなければ、制限時間内に Bitcoin（ビットコイン）等の暗号資産を送金するよう要求する手口は変わっていない。
盗んだとする情報がメールに記載・添付されていた事
例や、支払いに応じなかったために情報がばらまかれた事例等は確認されていない。このことから、根拠のない内容で脅迫していると推測される。
①脅迫メールの文面の変化■図 1-2-25 自然な日本語の脅迫メールの例

過去から継続している脅迫メールの文面としては、ハッ（b）対処

カーを名乗り、パソコンに「トロイの木馬ウイルスをインス

当該メールが複数回届くため、パソコンやスマートフォ

トールした」（図 1-2-24）、「ハッキング」した、という文面がある。

ンからの情報窃取が、事実ではないかと信じ始めて相談過去の文面と比較して、以下のような変化が観測されされる場合や、メールソフトやメールサービスの「迷惑メーた。

ルフォルダ」に振り分けられている脅迫メールを確認して• ハッキングしたという内容は同様だが、スマートフォン

心配になり相談されることが多くなった。メールが届いたを対象として、「あなたのモバイルストレージについて

場合は、メールを削除するだけで問題ない。
メールの送信元が、メール受信者自身のアドレスになっデータ侵害がありましたことをお知らせいたします。
」という文面も登場した。

ている場合があるが、送信元アドレスは技術的に詐称が• パソコンやスマートフォンの中の情報から友人、知人可能であり、
迷惑メールのフィルタリングを回避することや、に情報をばらまくというのが定番であったが、2021

あたかもメールアカウントをハッキングしたと信じさせること

年 12 月ごろから、盗撮した動画を動画サイトで公が目的と考えられる。また、現在使用しているパスワード

開するという脅迫の手口も登場した。

が書かれていた場合は、すぐにパスワードを変更し、併43

情報セキュリティインシデント・脆弱性の現状と対策になり相談することが増えたと考えられる。

せて、そのパスワードを使っていたサービスへの不正ロ
グインがないか確認することを推奨する。

（3）世の中の関心に乗じる手口
2021 年度も、新型コロナウイルスの感染が続き、経済や社会に様々な影響が出ているが、関心の高かった
予防接種に関する内容が、フィッシングメールの手口に
使われた。
（a）
手口
2021 年 2 月より、新型コロナウイルスワクチンの先行接種が開始され※ 119、高齢者の接種に続いて、対象■図 1-2-27 特 別定額給付金の支給をかたるメール（出典）
フィッシング対策協議会「特別定額給付金に関する通知を装う※ 123
フィッシング（2021/08/24）」
を IPA にて編集

年齢が順次下げられていったが、予約が取りづらい状況にあった。これに乗じて、8 月ごろから、新型コロナワ
クチン接種に関するフィッシングが登場し、「大規模接種センターの予約サイト案内」をかたるフィッシングメールに起が厚生労働省より出され、注意喚起が行われている。

関する相談があった。IPA でフィッシングサイトを確認し総務省は、特別定額給付金について、政府からメール等で知らせることはないと説明している※ 124。

たところ、各種個人情報、クレジットカード情報を詐取す

今後も、新型コロナウイルスに関して、様々な手口がる画面に誘導されることが分かり（図 1-2-26）
、注意喚起
※ 120

を行った

※ 122

ンター

。また、厚生労働省※ 121

や、国民生活セ

登場することが想定されるが、対処は他の不審メールやからも注意喚起が行われた。

フィッシングメールへの対応と同様である。本物かどうか判断に迷った場合は、公式サイト等、確かな情報源を使って確認し、以下の対処を行う。
• 添付ファイルを開かない。
• 記載の URL から Web サイトにアクセスしない。
• 記載の電話番号に電話をしない。
• 返信しない。
Web サイトについては、見た目だけでは本物のサイト
か偽のサイトかは、判断できにくくなっているため、メールに記載された URL から Web サイトにアクセスする以外の方法で運営者に確認するほか、フィッシング詐欺事例等がないかをインターネットで検索する等の対処を行う。

■図 1-2-26 コロナワクチン接種の偽サイト（4）悪質化する Web ブラウザによる手口

2020 年度は「新型コロナウイルス感染症緊急経済対策」
として家計支援のため、1 人あたり10 万円が支給さ

パソコンやスマートフォンでインターネット閲覧中に、突れた「特別定額給付金」に関するものが多かったが、然別の Web サイトに遷移し、画面が切り替わったり、ス

2021 年度も、特別定額給付金に関する通知を装うフィッマートフォンにポップアップが表示されたりすることで、「偽シングが、フィッシング対策協議会より報告されている（図のセキュリティ警告」や「アプリ誘導」の手口に遭遇するこ1-2-27）。

とがある。
2020 年度末から 2021 年度にかけては、Web ブラウ（b）
対処

ザの通知機能を悪用した手口によって誘導される相談が多くなってきた。

新型コロナワクチン接種に関しては、「新型コロナウイ※ 119

ルスを題材とした攻撃メールについて」という注意喚44

情報セキュリティ白書（a）
偽のセキュリティ警告

（件数）
2,500

主にパソコンで Web サイト閲覧中に、突然警告音とともに、「ウイルスに感染している」等の警告画面が表示さ

2,030

2,000

第 章

れたことをきっかけに、画面に表示された電話番号に電1,500

話をしてしまい、遠隔操作に誘導され被害に遭ってしまったという相談が 2021 年度も続いている。IPA は 2021

1,000
500

起を行った。
警告画面を出す手口に変化は少ないが、コンビニエ

0

ンスストアでプリペイドカードを購入させ、その番号を伝え

1

909
426

386
55

2017年度 2018年度 2019年度 2020年度 2021年度■図 1-2-29 偽 セキュリティソフトに関する年度別相談件数ることによりサポート費用と称したお金を支払わせる手口の相談が多くなった。

に記載してある電話番号に電話をかけさせようとする。

コンビニエンスストアのプリペイドカード売り場に注意喚

そのため、様々な誇大表現で危険性を訴えかけ、冷静起の表示がされるようになったが、被害が続いている。

な判断を妨げるよう仕組んでいると考えられる。

テレビやインターネットのニュース等でもこの手口が報道さこの手口は以下の①から④の流れとなる場合が多い。

れ、手口についての認識は広がっていると考えられるが、①偽のセキュリティ警告画面が表示される

実際に遭遇すると、この手口に遭っていることに気が付偽のセキュリティ警告画面の表示は以下のようになるかなかったという相談者も多い。

場合が多い。

2022 年 1 月に、この手口で犯人が初めて逮捕された

 告の画面が次々と重なって開く•警との報道があった。被害は 400 件以上でサポート費用と警告画面がいくつも重なって開き、しかも警告が全

※ 126

。この報

画面表示で固定されて「閉じるボタン」が隠されてし道の後も、相談件数は減らないため、この手口を用いる

まい、画面を閉じることができない事例が多い（図

攻撃者は多く存在していると考えられる。

1-2-30）。

2021 年度に IPA の安心相談窓口に寄せられた相談件数は、有償サポート契約に誘導される「偽警告」（別名、サポート詐欺）
が 1,476 件（図 1-2-28）、有償ソフトウェアの購入に誘導される「偽セキュリティソフト」が 55 件であった（図 1-2-29）。「偽セキュリティソフト」の購入に誘導する手口は減少している。
（ア）
手口
インターネット閲覧中の Web ブラウザ画面上に、本物に見せかけたセキュリティ警告を表示して、解決のため

（件数）
2,000

■図 1-2-30 警
 告画面が次々と全画面で開く画面の例• 実在する企業やサービスのロゴ等が表示される
1,839
1,508

1,500

Microsoft 社、マカフィー株式会社等の企業名やロ

1,773

ゴ（次ページ図 1-2-31）、また Windows の標準機

1,476

能からの警告を偽った表示が、繰り返し表示される。
• サポート窓口の電話番号が表示される

1,000

問い合わせ先の電話番号が、繰り返し表示される。
5000

特に Microsoft 社のサポート窓口をかたる事例を多く確認している（次ページ図 1-2-32）。
2018年度

2019年度

2020年度②警告音やアナウンスが流れる

2021年度

画面上の偽の警告表示に加えて、けたたましい警告■図 1-2-28 偽 警告に関する年度別相談件数

45

情報セキュリティインシデント・脆弱性の現状と対策

年 11 月、「安心相談窓口だより※ 125」で改めて注意喚

偽って銀行口座に振り込ませていたという

2022

（イ）
対処
パソコンの画面については、Web ブラウザを閉じるだ
けで問題はない。通常の操作で画面を閉じることができない場合は、Windows であれば、タスクマネージャーから Web ブラウザを終了する、Mac であれば、「強制終了」ウィンドウから Web ブラウザを終了する、という方法で対処できる。また、どちらの OS の場合も、パソコンを再起動することでも対処できる。
パソコンに遠隔操作用ソフトウェアをインストールしてし■図 1-2-31 実
 在する企業やサービスのロゴ等が表示された画面の例

まった場合は、アンインストールする。
電話口のオペレーターに詳細不明のソフトウェアをイン
ストールさせられた場合は、より安全な対応として、当該ソフトをインストールする前の状態にシステムを戻すこと
や、パソコンを初期化することを推奨する。
契約については、消費生活センター等※ 127 に相談する。プリペイドカードでの支払いについては返金が困難な場合が多い。また、Microsoft 社では、当該手口に関する専用ページ※ 128 で手口や事例を紹介し、被害報告も受け付けているため、活用を検討いただきたい。

■図 1-2-32 サポート窓口の電話番号が表示された画面の例

（b）
アプリ誘導

音や、テクニカルサポートを名乗る「ウイルス感染」等

主にスマートフォンで、Web サイト閲覧中に「ウイルスの警告アナウンスが大音量で延々と流れる。

に感染している」等の根拠のない警告画面を表示して騙③オペレーターが電話対応する

す手口の相談が続いている（図 1-2-33）。

警告画面に記載されている電話番号に電話をかけると、オペレーターが状況を聞き、ウイルスに感染してい

（件数）
80

る等と言い、遠隔操作用ソフトウェアをダウンロードさせインストールをさせようとする。更に遠隔操作によっ63

60て、パソコンに様々な画面を表示させ、危険性をあおり、有償サポート契約を勧める。

41

40「年間契約」「永• 相手の反応を見ながら、「月契約」

33
24

20

久契約」等の契約期間を説明し、期間に合わせて、0• 入力フォームに住所・氏名等の個人情報の入力をさ

30

24

16

21

31

26
17

8

21

19

15
8

10 11 122020年

せることがある。

35

23

11

18

15

11

3月
2月
1月
月
月
月
9月
8月
7月
6月
5月
4月
3月
2月
1月
月
月
月
9月
8月
7月
6月
5月
4月

数万～ 10 万円程度の代金を提示することが多い。

11

57

10 11 12

2021年

2022年

■図 1-2-33 アプリ誘導に関する相談件数（2020 ～ 2021 年度）• デスクトップのアイコンを非表示にしたり、パソコン起

手口の変化は少なく、インターネット閲覧中に偽の警動時に新たにパスワードの入力を必要にしたりする

告から誘導される事例が多い。

等、勝手にパソコンの設定を変更し、元に戻すために契約しろと要求する悪質な手口も確認している。

2020 年度は、iPhone カレンダースパムからこの手口④サポート代金のプリペイドカードを繰り返し購入させるに誘導されたため、iPhone の相談が多かったが、2021

2021 年度は、購入したプリペイドカードのコードを伝え

年度は、Android の相談が増えているのが特徴である

ると「コードが間違っていてブロックされた」等と言い、繰

（次ページ図 1-2-34）。
以下では、Android の場合の手口、対処を中心にり返しプリペイドカードを購入させ、複数回支払わせる

説明する。

例が増え、
90 万円を支払ったという相談事例もあった。

46

情報セキュリティ白書

無料アプリだと誤解して承認してしまうと、無料期間は

（件数）
400

3 日間から 1 週間程度であることが多く、無料試用期間
303
24

300

の終了後に意図しない利用料金が発生することになる。
（イ）
対処

87

100

偽のセキュリティ警告が表示された場合は、Web ブラ

279

2019年度

ウザのタブを閉じる、または、Web ブラウザを終了し閲

140

83
2020年度iPhone覧履歴を削除することで対処できる。

2021年度

アプリをインストールしてしまった場合は、不要であれ

Androidばアンインストールをする。アンインストールだけでは自動■図 1-2-34 アプリ誘導の端末別の年度別相談件数推移

継続課金は解約されないので、自動継続課金の登録を取り消す必要がある。Android の場合は定期購入の解（ア）
手口約（図 1-2-37）、iPhone の場合はサブスクリプションの解「あなたのスマホはウイルスに感染している可能性があ約も実施する。

る」「下のボタンをタップし無料で推奨セキュリティアプリを
インストールして実行し、ウイルスを削除」というように、
偽の警告画面を表示して公式ストア上のアプリを入手するよう誘導する手口である（図 1-2-35）。

■図 1-2-37 定
 期購入の解約手順（Android 11 の場合）

（c）
Web ブラウザの通知機能の悪用
2020 年度後半から、2021 年度にかけて、パソコンやスマートフォンで Web ブラウザを起動中に、「『コンピュー

■図 1-2-35 偽 のセキュリティ警告から公式ストアのアプリへ誘導する
流れの例（Android の場合）

タが危険にさらされている』『携帯をクリーンアップしてください』等のメッセージが繰り返し表示された」、またその「サブスクリプション詐欺」を目的として、自動継続課※ 129

表示画面から「不審なセキュリティソフトの購入や、不審に誘導することが目的と考えられ、アプリインストーなスマートフォンアプリのインストールに誘導された」といっル後の初回起動時にウイルススキャンをしているかのようた相談が急増した（図 1-2-38）。IPA は 2021 年 3 月、
「安

な表示をしてウイルスを検出したと偽り、定期購入に誘心相談窓口だより※ 130」で注意喚起を行った。

金導するものも登場した（図 1-2-36）
。
（件数）
200
158

150

100

50

0

■図 1-2-36 偽 のウイルス検知画面から定期購入へ誘導する流れの例（Android の場合）

0
2019年度

8
2020年度

2021年度■図 1-2-38 W eb ブラウザ通知機能の悪用の相談件数推移

47

1

情報セキュリティインシデント・脆弱性の現状と対策

100
17

第 章

227
200

0

2022

（ア）
手口
Web ブラウザの通知機能※ 131 を悪用し偽の通知を表示させ、不審サイトに誘導する手口である。以下の①か
ら③の流れとなる場合が多い。
①サイト上で Web ブラウザの通知を許可するように誘導される
検索サイトで表示されたサイトにアクセスする等でサイトに訪れた人に Web ブラウザ通知の許可ボタンを表示し、アクセスした人に「許可」を押させようとする（図1-2-39）。その際、reCAPTCHAv2 認証※ 132 を装った画面を表示して、「許可」ボタンを押させようと誘導する（図 1-2-40）。

■図 1-2-41 ス
 マートフォンに表示される通知表示事例（Android の場合）

■図 1-2-42 パソコンのデスクトップ右下に出現する通知表示事例される。
パソコンではセキュリティベンダや、Windows のロゴを勝手に使用したと思われる通知がデスクトップの右下に表示される事例を確認している（図 1-2-42）。
これらの通知は根拠のない偽の内容であり、不安をあ■図 1-2-39 「許可」
ボタンへの誘導事例（Android の場合）おって不審サイトに誘導する目的であると考えられる。
③通知表示をクリックすると不審なサイトに誘導される
通知表示をクリックすると、様々な不審サイトに誘導される。パソコンの場合、「偽のセキュリティ警告」が表示されるサイトや、「セキュリティソフト購入サイト」に誘導される。スマートフォンの場合、「不審アプリのインス
トール誘導サイト」が表示される事例を確認している。
（イ）
対処
Web ブラウザ通知機能の悪用そのものへの対処、
Web ブラウザ通知機能を悪用された結果起こった事象■図 1-2-40 reCAPTCHAv2 認証を装った「許可」
ボタンへの誘導事例（パソコンの場合）への対処、それぞれの対処方法について述べる。
① Web ブラウザの通知の削除方法② Web ブラウザ起動中に偽の通知が表示される

Web ブラウザに登録した通知許可を削除することで、

図 1-2-39 や、図 1-2-40 等の画面で「許可」を押してし通知表示を止めることができる。各 Web ブラウザ操

まうと、当該不審サイトの通知許可が Web ブラウザに作方法の詳細は、「安心相談窓口だより※ 128」や、パ登録されてしまう。その後、Web ブラウザを起動中等

ソコン・スマートフォンメーカのサポート情報、各 Webに「パソコンがウイルス感染した」「スマートフォンをク

ブラウザのヘルプページを参照いただきたい。
②誘導された不審サイトで操作を行った場合

リーンアップしてください」（図 1-2-41）等の通知が表示

48

情報セキュリティ白書誘導された不審サイトの手口に応じて、以下の対処を

2022

い等を主な要因とする情報漏えい被害について述べる。

行う。

（1）2021 年の情報漏えいの概況• 偽のセキュリティ警告に誘導された場合を行う。

京商工リサーチ社）が公開した上場企業の個人情報漏• セキュリティソフト購入サイトに誘導された場合

えい・紛失事故の調査結果※ 135 によると、2021 年に個
人情報の漏えい・紛失事故を公表した上場企業は 120

合は、
マカフィー株式会社の Web ページにある、「マ、事故件数は 137 件（2020
社（2020 年※ 136 は 88 社）

カフィーを装う偽のポップアップ通知と問題の解消方

年は 103 件）、漏えいした個人情報は 574 万 9,773 人分

※ 133

」
を参照して対処いただきたい。誤っ（2020 年は 2,515 万 47 人分）に達した。漏えいした個て製品等を購入した場合については、「一般的な人情報は大幅に減少しているが、公表した社数、事故

法について
FAQ

※ 134

」
を参照いただきたい。

件数ともに東京商工リサーチ社が調査を開始した 2012• 不審アプリのインストールサイトに誘導された場合年以降で最多となった（図 1-2-43）。

「1.2.7（4）（b）
アプリ誘導」に記載した対処を行う。
（社数・件数）150（5）騙しの手口への対策
情報セキュリティへの意識の高まりを攻撃者に逆手にと107られ、「ウイルス感染」や「トロイの木馬」「ハッキングした」
等という文言を信じてしまい、被害に遭っていることが多60 54

いと考えられる。

30

71

0

不審な SMS やメール、端末への通知が来ても、いった

103
87

87

90

日頃からしっかりとセキュリティ対策を行うことによって、

137
120

120

59

70

69

77

73

86

85
68

88

66

2012年 2013年 2014年 2015年 2016年 2017年 2018年 2019年 2020年 2021年
社数ん立ち止まり、対応を確認することができるので、過剰9089

情報漏えい・紛失事故件数■図 1-2-43 漏
 えい・紛失事故の年次推移（出典）
東京商工リサーチ社「上場企業の個人情報漏えい・紛失事故は、※ 135
調査開始以来最多の 137 件 574 万人分（2021 年）」を基に IPA が編集

な心配をせず攻撃者に付け込まれないようにすることができると考える。
対策の例としては、以下のものがある。

2021 年の情報漏えい・紛失事故 137 件のうち、原因• 使用している端末やアプリのアップデートを常日頃行として最も多かったのは「ウイルス感染・不正アクセス」のう。

68 件、構成比 49.6％（2020 年は 51 件、構成比 49.5%）、• サービスの利用にあたって、可能な場合は必ず多要

次いで「誤表示・誤送信」が 43 件、構成比 31.3％（2020

素認証を設定する。

年は 32 件、構成比 31.0%）となっており、構成比の変• 不審なメールや SMS、サイト等で目にした情報の真偽化は小さいが、件数がともに 10 件以上増えており、過は、確かな情報源で確かめる。

去最多となった要因になっている（次ページ図 1-2-44）。

• 判断に迷ったら、身に覚えのない内容のメールや画面に表示された電話番号の相手ではなく、信頼できる相（2）不正アクセスによる情報漏えい

手に相談する。

不正アクセスの手口は年々巧妙化しており、システムの以上に加えて、日頃から最新情報を入手して手口を脆弱性を利用したものや、対策が不十分な委託先、シ知ることが、騙しの手口への重要な対策となると考える。

ステム等、様々な原因から不正アクセスが発生している。

1.2.8

（a）
不正アクセスによる大量の情報流出事例

情報漏えいによる被害

株式会社ネットマーケティングの事例※ 137 では、同社

2021 年度も、多数の情報漏えい被害が発生している。

の運営する恋活・婚活マッチングアプリ「Omiai」から

本項では、外部からの不正アクセス、操作ミス等の過失、

171 万 1,756 件の年齢確認書類画像データが流出した。

内部者の故意による持ち出し、不適切な情報の取り扱

年齢確認書類画像データは法令で義務付けられた本人

49

1

情報セキュリティインシデント・脆弱性の現状と対策

マカフィー株式会社と思われるサイトに誘導された場

第 章

2022 年 1 月に株式会社東京商工リサーチ（以下、東「1.2.7（4）（a）偽のセキュリティ警告」に記載した対処

（2件）
⑤1.4％
④5.8％
（8件）

が同社に届き、記載されたリンク先で上記情報を確認したという。

③11.6％（16件）（b）
不正アクセスによる情報流出への対策・対処
不正アクセスの事前対策については、「1.2.1（5）標的①49.6％（68件）②31.3％（43件）

型攻撃への対策」を参照いただきたい。不正アクセスを認識した場合、情報流出の有無の調査に時間を要することが多い。情報漏えいは企業・組織の信頼を失墜さ①ウイルス感染・不正アクセス④盗難③紛失・誤廃棄せる可能性があり、流出の事実が確認できるまでは公表②誤表示・誤送信⑤不明・その他を避けたいと考える企業もある。しかし、不正アクセスが検知された段階で公表することにより、類似の攻撃によ■図 1-2-44 情 報漏えい・紛失事故件数の原因別割合（出典）
東京商工リサーチ社「上場企業の個人情報漏えい・紛失事故は、調査開始以来最多の 137 件  574 万人分（2021 年）」を基に IPA が編集るインシデントの未然防止や早期検知に貢献できる。また流出が確認された場合は、情報の悪用による二次被確認に使用しており、運転免許証、健康保険証、
パスポー

害を防げる可能性がある。そのため、企業・組織は早ト、マイナンバーカード（表面）等が含まれていた。その期に公表、あるいは関連機関への報告を行い、調査を

他に登録されていた個人情報の流出は確認されていない

継続して経過を伝えることが重要である。なお、2020（「3.3.2（2）
不正アクセスに起因するインシデント」参照）。

年 6 月に公布され、2022 年 4 月より全面施行された「個※ 138-1

では、同社運営の人情報の保護に関する法律等の一部を改正する法律

Web サイト「森永ダイレクトストア」（旧「天使の健康」）の案」では、情報が漏えいした場合の個人情報保護委員

顧客 164 万 8,922 人分の個人情報（氏名や住所、連絡会等への報告や本人への通知が、一定条件のもとで義先等）が流出した可能性があると公表した。脆弱性が務化された（「2.8.1 個人情報保護法改正」参照）。

森永製菓株式会社の事例

残存していたネットワーク機器への攻撃により侵入され、情報流出の有無について調査でも判明しない場合

一部のデータは利用できない状態となった。

は、不正アクセス対策を強化するとともに、定期的に流カジュアルウェア専門店株式会社ライトオンの事例で出した情報が悪用されていないかを確認することが必要

は、公式オンラインショップに不正アクセスがあり、会員である。

登録フォームより入力された個人情報（氏名や生年月日、

個人情報については、必要以上に保有しないことも重

性別、住所、電話番号、メールアドレス等）24 万 7,600

要である。前述の株式会社ネットマーケティングの事例※ 138-2

件が流出した。

では、会員情報の保管期間を一律で退会後 10 年間と臨床試験に関する業務を受託する株式会社リニカル※ 139していたが、被害後、年齢確認書類画像データは提出

では、日本、台湾、欧州の同社拠点のサー後 72 時間で自動削除、その他の個人データは退会後バに対して不正アクセスがあり、犯行グループから窃取

90 日間と変更し、他の安全対策とともに運用を開始した。

の事例したとするデータに対して身代金を要求する脅迫メッセー（c）
SQL インジェクション攻撃による情報流出事例

ジがあった。日中韓台の採用応募者や株主情報等約 9
万 6,000 件、日欧中韓台の社員情報・人事情報約 12

株式会社メタップスペイメントの事例

※ 141

では、決済

万 5,000 件及び臨床試験関連文章や営業データ等が情報等を格納した三つのデータベースに不正アクセスさ流出した可能性が判明した。

れ、そのうちの一つであるトークン方式クレジットカード決
済情報データベースから最大 46 万 395 件のクレジットカー

映像技術・マイクロ波・無線通信技術の専門メーカ※ 140

では、同社は 52

ド情報（カード番号、有効期限、セキュリティコード）が流

万 8,563 件のデータ、会員情報 40 万 5,576 件が 2017

出した可能性がある。本事例では SQL インジェクション

年 10 月に流出していたことを 2021 年 6 月に公表した。

攻撃と不正ファイル（バックドア）の設置が確認されてい2017 年当時は不正アクセスを確認するも情報流出の痕る。同社の収納代行システムを利用する団体では、一跡は認められなかったため公表しなかったが、2021 年 5部のカード決済機能の停止、チケット販売や新規入会

月にサーバからハッキングした顧客情報を持っているとし

停止等の影響が出た※ 142。

である株式会社ユピテルの事例

SQL インジェクション攻撃による情報の流出では、他にて、犯人と見られる人物から金銭を要求する脅迫メール50

情報セキュリティ白書

滋賀県、埼玉県、岡山県等※ 156 の建築関連の委託業から最大 28 万 106 件、翻訳ソフトウェア事業等を展開

務の図面や資料、関係者の個人情報等が含まれている※ 144

から約 12 万 8,000 件、株が、どの情報が流出したかの特定には至っていない。

から 9 万 8,635 件、自社ブラン

同社は 2021 年 9 月期（2020 年 10 月 1 日～ 2021 年 9するロゴヴィスタ株式会社
式会社石橋楽器店

※ 145

※ 146

月 30 日）の連結業績について、復旧に向けた関連費用

3,435 件のメールアドレスが、宅配クリーニングサービスのとして約 7 億 5,000 万円の特別損失を計上する見込み

Web サイトを運営する株式会社ヨシハラシステムズ※ 147を発表した※ 157。

から 5 万 8,813 件のクレジットカード情報が流出した可能その他のランサムウェアの被 害と対 策については性があると公表されている。

「1.2.2 ランサムウェア攻撃」
を参照いただきたい。

（d）SQL インジェクション攻撃による情報流出への対策

委託先のシステムが不正アクセスされたことによる・
（f）
漏えい事例

SQL インジェクションは過去 10 年以上にわたり問題であり続けている。IPA では 2008 年に「SQLインジェクショ

富士通株式会社の事例※ 158 では、同社はプロジェク

2017 年に「SQLインジェン攻撃に関する注意喚起※ 148」、

ト情報共有ツール「ProjectWEB」に不正アクセスがあり、クションをはじめとしたウェブサイトの脆弱性の再点検と速保存していた情報の一部が不正に閲覧またはダウンロー※ 149」と題する注意喚起を行っている。

やかな改修をドされたと公表した。同社がプロジェクト運営に際し、委

※ 150

」
「安全

託元を含む関係者との情報共有に ProjectWEB を利用」等を参照して、対策を検討しており、被害のあった顧客は行政機関（NISC、外務省、

IPA が公開している「ウェブ健康診断仕様※ 151

なウェブサイトの作り方
いただきたい。

国土交通省、総務省等）や重要インフラ企業（成田国際空港株式会社等）
等 142に及んだ。
閲覧またはダウンロー（e）
ランサムウェア攻撃による情報流出事例※ 152

ドされた情報には、システムに関する情報（システムを構

では、
ランサムウェ

成する機器類の情報等）、プロジェクト関連資料（体制

ア攻撃により、約 30 万件のサブクラブカード会員番号、図、打合せメモ、作業項目一覧、進捗管理表、社内

約 8 万人分の顧客情報（誕生日、都道府県、職業等）、

事務手続きの資料等）、顧客・関係者の個人情報（氏名・約 1 万人分の個人情報（名前、結婚歴、誕生日、性別、

メールアドレス等）が含まれていたという。同社は、脆弱

住所、職業、電話番号、職歴、メールアドレス、収入性を悪用した第三者が ID とパスワードを窃取し、外部情報、銀行口座情報、自動車運転免許、国籍、クレジッから不正アクセスを行ったとしている。NISC は政府機関

ト歴、パスポート/ID、賞罰歴、ユーザネーム等）、64

等、重要インフラ事業者等に向けて、同種ツールに対す

名の顧客情報（名前、年齢、電話番号）に不正アクセス

る不正アクセス対策の確認について注意喚起※ 159 を行っされた恐れがあると公表している。

た。同社は ProjectWEB の利用を停止し、その後の日本サブウェイ合同会社の事案調査で ProjectWEB に複数の脆弱性が存在していたこ

行政機関の公共事業を受託するランドブレイン株式会※ 153

では、不正アクセスした攻撃者が、サーと、多要素認証を採用していなかったこと、不正アクセ

バ上の二つのファイルを開封した痕跡があり、データのスを早期に検知する仕組みが十分でなかったこと等を認

暗号化、ファイルの作成が確認された。しかし、情報流

めた。

社の事例

出を示唆する明確な痕跡は確認されず、情報流出はな

株式会社ジーアールの事例※ 160 では、同社が運営すいと判断したという。攻撃に用いられたランサムウェアは、る「オムニ EC システム」に不正アクセスがあり、顧客情「Crypt3r」「Ghost」「Phantom」「Vjiszy1lo」といった報やクレジットカード情報が流出した。クレジットカード会※ 154

別名でも知られる「Cring」であることが判明した。

社から同システムを利用する流通大手企業に情報流出

同じく公共事業を受託する株式会社オリエンタルコン※ 155の懸念があると同社に連絡があり、発覚した。同システでは、同社はグ

ムは、小売店や製造販売会社のサービスのデジタル統ループ会社数社の複数のサーバがランサムウェア攻撃を合に利用されており、影響を受けた 11 社※ 161 が被害を受け、サーバ内の委託業務関連データの多くが暗号化公表した。漏えいした情報は 11 社合わせて 40 万件以され、外部流出した可能性があると公表した。流出の上に及ぶ。この事例の攻撃手法はクロスサイト・スクリプ

可能性のある情報には、千葉県、東京都、群馬県、

ティングだったと報じられている。

サルタンツホールディングスの事例

51

1

情報セキュリティインシデント・脆弱性の現状と対策

から 2 万ド製品の企画、開発を行うビーズ株式会社

第 章

も中学受験関連サービスを提供する株式会社日能研※ 143

2022

（g）
委託先のシステムへの不正アクセス対策・対処

知書の再作成・発送やお詫び状の送付等費用はサンメッ

複数の企業・組織が利用するシステムやサービスにセ株式会社が負担し、同社は 2022 年 3 月期第 2 四半

対する不正アクセスは、影響範囲が広く、システムやサー期において 2 億 3,000 万円の特別損失を計上した※ 165。

ビスの提供事業者は、不正アクセス対策と流出した情報

LINE 株 式 会 社の事 例 ※ 166-1 では、同 社は LINEを特定する調査に時間を割かれる。利用各社は情報流

VOOM（旧タイムライン）において、システム移行時の設出の可能性について報告を受けた場合、すぐに、二次定ミスにより「友だち」の公開範囲の設定が適切に機能せ被害を防ぐための対応と当該システムやサービスの利用ず、利用者が非公開と設定した「友だち」が公開先リス継続を検討しなければならない。情報流出被害がなかっ

トに誤って含まれる不具合があったと公表した。この不具た委託元企業・組織も、システムやサービスの運用停止、合により、約 111 万アカウント（国内約 84 万アカウント）に改修等の影響を受ける可能性がある。システムやサービ

おいて非公開投稿が誤って表示されたほか、非公開のスの委託にあたっては日頃から保管を委託する情報の種「友だち」が「LINE 友だち」に追加されたアカウントは約

類、量、保管状態等を確認し、この情報が流出あるい911 万アカウント（国内約 764 万アカウント）に上るという。

は利用できない状態となった場合の対応策についても検LINE 株式会社がサーLINE Pay の事例※ 166-2 では、
ビス利用ユーザのアカウント合計 13 万 3,484 件（うち国討しておくことが望ましい。

内ユーザは 5 万 1,543 件）のキャンペーン関係の識別情（3）過失による情報漏えい

報（識別子・加盟店管理番号、キャンペーン情報）が認定個人情報保護団体である一般財団法人日本情GitHub 上で外部閲覧可能な状態にあったと公表した。

報経済社会推進協会（JIPDEC）が 2021 年 10 月に公

同社の委託先であるグループ会社の従業員が、ポイント表した「（2020 年度）
『個人情報の取扱いにおける事故

付与漏れの調査を行うプログラム及び対象となる決済に※ 162」によると、2020 年度は 939 のプラ

関する情報を無断で GitHub 上にアップロードしてしまい、

イバシーマーク付与事業者から 2,644 件の事故報告が閲覧できる状態であったという。部外者から GitHub のあった。事故の発生原因としては「誤送付」が 62.3%

情報へのアクセスが 11 件あったことが確認され、流出（2019 年度は 59.5%）と最も多く、「紛失」が 14.9%（2019

対象となったユーザに通知を行った。

報告集計結果』

年度は 16.6%）、「その他漏えい」が 17.2%（2019 年度（b）
過失による情報漏えいへの対策

は 17.5%）となっている。「誤送付」の中でも「メール誤送信」は過去 5 年間で最も多く、764 件に達している。こ

情報の取り扱いに人が介在する状況においては、過れに対し、「宛名間違い」「封入ミス」「FAX 誤送信」等

失による情報漏えい被害を完全に防ぐことは難しい。事の紙媒体を伴う報告は減少しており、テレワークの導入

故事例に基づく教育等で担当者の意識向上を図ること

等により、通信及び連絡手段が変化したことによるものとに加え、重要な情報の取り扱いルールを設け、運用を推測している。

徹底する、適宜見直す等で、過失の発生機会をできる限り削減する体制づくりが望まれる。うっかりミスを減らす（a）
過失による情報漏えい事例※ 163

ために、ダブルチェック等の対策が取られることも多いが、では、同機構は年金振込

新型コロナウイルス対策、あるいは、省人化・自動化の通知書の印刷誤りにより愛知県、三重県、和歌山県、

ため、1 人で業務することも増えており、業務フローの

奈良県、福岡県、山形県、富山県、静岡県、岐阜県

見直しも含めたリスク低減策が必要である。また、業務の合わせて 97 万 5,065 件の受給者に、本人と別の受を委託している場合は、ルール順守状況の点検や成果

給者の情報が記載されたはがきを送付したと公表した。

物の確認等を委託元の責任として実施することも大切で原因は、印刷業務を委託したサンメッセ株式会社での印ある。

日本年金機構の事例

刷工程の作業ミスであったが、その後の調査により、仕（4）内部不正による情報漏えい

様書どおりの環境で作業せず同機構に虚偽の報告をしていた、出力設定に誤りがないことを確認する仕組みが

IPA が実施した「企業における営業秘密管理に関すなかった、仕様書に定められている宛名と記載情報のる実態調査 2020 ※ 167」では、営業秘密の漏えい原因は突合作業をしていなかった等、作業ミスの防止対策が「中途退職者」が 36.3%と最も多く、2016 年の調査から※ 164実施されていなかったことが分かった。年金振込通7.7 ポイント上昇していた。同調査によれば、うっかりミス52

情報セキュリティ白書は減少したが確信犯的な内部不正は増加しており、継れた。また「金融商品仲介補助簿」以外の書類を確認続している傾向がうかがえる。

した結果、176 局で約 14 万 2,000 人分を紛失していた。

2022「金融商品仲介補助簿」は法令上 7 年保存（社内規則
株式会社村田製作所の事例※ 168

上は 10 年保存）と定められていたが、大多数の郵便局
では、同社は委託において保存期間の認識相違や保存箱の入れ間違い

先である日本アイ・ビー・エム株式会社の再委託先の中等により、誤って廃棄してしまったという。
金沢信用金庫の事例※ 173 では、同金庫は為替関係が同社の取引先情報 3 万 555 件、同社の従業員関連

帳票、ATM ジャーナル、住宅ローン稟議書、伝票等の情報 4 万 1,905 件を含むプロジェクト管理データを許可な書類を保管していた文書箱合わせて 11 箱、延べ 55 万

く業務用パソコンへダウンロードし、更にこれらのデータを1149 件の顧客情報の所在が不明であることを公表した。

中国国内クラウドストレージサービスの個人アカウントへ

保存期限を経過した書類を廃棄（裁断）した際、誤ってアップロードしていたと公表した。再委託先の社内監視

これらも廃棄（裁断）した可能性が高いと考えられている。
トヨタ自動車株式会社の事例※ 174 では、同社が提供システムのセキュリティアラートにより検知された。

する顧客向け Web サイト認証サービス「TOYOTA/

回転ずし大手「かっぱ寿司」を経営するカッパ・クリエ※ 169

では、同社は代表取締役が競

LEXUS の共通 ID」の ID 発行のため、本人の同意を合する株式会社はま寿司（以下、はま寿司）の営業秘密

得ずに顧客情報を登録していた。同社の販売店であるを不正に取得したとして、不正競争防止法違反で警視

福岡トヨペット株式会社において、同事象が発覚し、全庁から捜査され、はま寿司により告訴がなされたことを公

国 257 社で同様の事例がないか調査した結果、27 社、表した。代表取締役は、同社の顧問となる以前は、は5,797 人分の個人情報（名前、生年月日、性別、住所、

ま寿司の親会社である株式会社ゼンショーホールディング

電話番号、コネクテッドサービス契約車両の所有情報）スに勤めており、元同僚からはま寿司の日次売上データ

が本人の同意を得ずに登録されていたという。このよう等の送付を数回にわたって受けていた。

な個人情報の不適切な取り扱いの背景には、同社から

イト株式会社の事例

※ 170

では、元従

販売店に同 ID の発行を推奨する活動を行っていたこと

業員が 2021 年 1 月に同社を退職する際、所属部門にがあるとされる。同様に、株式会社 SUBARU ※ 175 に保管されていた顧客情報を持ち出した。同社は元従業おいても本人の同意を得ずに新規会員登録が行われて員を不正競争防止法違反で刑事告訴し、愛知県警察

いた。

株式会社ハウスドゥ住宅販売の事例

新生銀行グループの事例※ 176 では、株式会社新生による捜査で不正な持ち出しが判明した。

銀行並びに新生フィナンシャル株式会社は複数の業務（b）
内部不正による情報漏えいへの対策

委託先に対して Web 解析や広告媒体事業に関するデータを提供する際、提供対象ではないデータが誤って

IPA では、2022 年 4 月に「組織における内部不正防※ 171」第 5 版を公開した。内部不正による含まれていたと公表した。同行において、Web 解析を

情報セキュリティ事故を防止するための幅広い対策を掲目的に、業務委託先等のうち 1 社から還元を受けたデー載しており、参照いただきたい（「2.8.2 内部不正防止対タを検証したところ、新生銀行グループの株式会社アプ策の動向」参照）。

ラスから提供したデータに、提供すべきでない ID・パス

止ガイドラインワードが含まれていたことから、同グループ内において類（5）不適切な情報の取り扱い

似の事象が発生していないか調査を実施した。その結

紙媒体を含めた情報の不適切な管理による漏えいも果、七つの事案において延べ 8,875 件のデータが誤っ継続している。

て業務委託先及び広告媒体会社 10 社に提供されていた。提供されたデータにはメールアドレス、住所、氏名、（a）
不適切な情報の取り扱い事例
日本郵便株式会社の事例※ 172

生年月日、会員番号、カード番号、カード暗証番号、

では、投資信託取り引金融機関と口座情報等が含まれていた。

き及び国債取り引きに関する「金融商品仲介補助簿」の株式会社新生銀行の別の事例※ 177 では、同行は吸社内紛失が全郵便局 1 万 9,816 局のうち6,389 局（32.2%）

収分割契約によりマネックス証券株式会社へ承継する投で確認され、合わせて顧客約 7 万 2,000 人分と公表さ資信託保護預かり口座の情報を提供する際、無関係の53

1

情報セキュリティインシデント・脆弱性の現状と対策

国法人 IBM Dalian Global Delivery Co., Ltd. の社員

第 章

（a）
内部不正による情報漏えい事例

（b）
不適切な情報の取り扱いへの対策

口座情報 1,469 件を誤って提供したことを公表した。提供された情報には個人情報（マイナンバー、氏名、生年

個人情報や営業秘密情報等の取り扱いについては、月日、口座番号）、法人情報（法人番号、法人名、口法改正やガイドラインの整備が進んでおり、社内ルール

座番号）が含まれていた。

への取り込みや周知徹底のために従業員への教育等を継続して行う必要がある。

C

O

L

U

M

N

子どもへの情報リテラシー教育のために
IPA では、情報セキュリティの基礎知識に加えて情報リテラシーの向上を目指し、「インター
ネット安全教室」という講義形式のセミナーを実施しています。対象は、「インターネットを利用するすべての方」で、子どもからシニア世代まで幅広く受講いただいています。受講された学校の先生から、「生徒の自宅での情報端末管理は各家庭に任せている」という声があり、家庭での情報リテラシー教育も重要なことを改めて認識しました。
インターネット利用開始時に誰に使い方を教えてもらったかを尋ねたところ、保護者と回答した割合が最も多かったという家庭教育の重要性を示す調査結果ⅰがあります。SNS をめぐるトラブルや情報流出等の事故を防ぐためには、判断能力が十分に備わっていない子どもに任せきりにせず、保護者との日頃のコミュニケーションを通じた学びが不可欠です。
子どもに情報端末を持たせるとき、保護者側が何らかのルールを設ける場合が多いものの、その内容は利用する時間・場所、利用料金や利用するサイトに関するものが多くⅱ、ID・
パスワードの管理といったセキュリティ寄りの内容はやや不足しているように思われます。
GIGA スクール構想で一人一台の情報端末が配布され、オンライン教育も当たり前のものとなった今、子どもにとって、インターネットを安全に利用するための情報セキュリティはより身近なものとなり、保護者自身も意識を高めていくことが重要です。
IPA では、Web サイト「＃今こそ考えよう 情報モラル・セキュリティⅲ」上で、対象者層ごとに適したコンテンツを紹介しています。更に、一般社団法人日本教育情報化振興会では、「ネッ
ト社会の歩き方Ⅳ」で、冊子・シミュレーション教材等を公開しています。ぜひ、これらの資料を活用しましょう。
一方、情報リテラシー啓発に携わる教育委員会の委員等からは、「保護者に啓発したいけ
れども、なかなかセミナーの場に参加していただけない」という声が聞かれました。今後、保護者層へ訴求していくためには、学校や公的機関による従来の情報提供の形に加えて、情報リテラシー分野をより敷居の低いのものとするため、TV アニメ化もされた漫画「はたらく細胞Ⅴ」にみられるような、擬人化したキャラクターやストーリーをきっかけに、保護者・子どもが共に楽しみながら学べる新しいコンテンツ等も求められているのかもしれません。
i      総務省：2020 年度 青少年のインターネット・リテラシー指標等に係る調査結果 https://www.soumu.go.jp/main_content/
000746185.pdf〔2022/5/23 確認〕
ii 内閣府：令和 2 年度 青少年のインターネット利用環境実態調査（PDF 版） https://www8.cao.go.jp/youth/youth-harm/chousa/r02/net-jittai/pdf-index.html〔2022/5/23 確認〕iii https://www.ipa.go.jp/security/keihatsu/imakoso/〔2022/5/23 確認〕iv http://www2.japet.or.jp/net-walk/〔2022/5/23 確認〕v 株式会社講談社：はたらく細胞 https://shonen-sirius.com/series/sirius/saibou/〔2022/5/23 確認〕54

情報セキュリティ白書

2022

1.3 情報システムの脆弱性の動向
る。The MITRE Corporation ※ 183 によると、2016 年

トウェア製品及び Web アプリケーションの脆弱性対策に

12 月に 47 社 ※ 184 だった CNA は、2021 年 12 月にはついて概説する。

209 社※ 185と約 4.4 倍となった。この増加した CNA によっ

1.3.1

れる脆弱性の件数増加につながった可能性がある。

JVN iPediaの登録情報から見る脆弱性の傾向一方、JVN から収集した脆弱性情報は、2020 年に

IPA は、 脆 弱 性 対 策 情 報 デ ータベ ース「JVN

公表されたものが 1,120 件で、2019 年の 594 件から 2※ 102」に、国内外のソフトウェア製品の脆弱性対倍近くになったが、2021 年は再び減少し、半数以下の策情報を収集し、蓄積している。このデータベースに登496 件となった。また、国内製品開発者から公表された

録されている脆弱性対策情報から、ソフトウェアに関す脆弱性対策情報は、毎年数十件の登録であり、2021

る脆弱性の特徴を統計的に確認することができる。本項年は 12 件であった。

iPediaでは、2021 年 12 月までに登録された JVN iPedia の脆
（年）
〜2005

弱性対策情報の傾向を分析する。

2006

2,640

累計件数：137,702件

2007（1）JVN iPedia への登録状況
JVN iPedia は、国内外で利用されているソフトウェア
製品の脆弱性対策情報を、以下の三つの公開情報か（2021年12月末時点）

4,006
6,480

2008

5,735

2009

5,728

2010

4,903

ら収集・蓄積しており、2007 年 4 月 25 日から公開して

2011

4,739

いる。

2012

• 脆弱性対策情報ポータルサイトJVN ※ 178 で公表した

2013

脆弱性対策情報• 国内のソフトウェア開発者が公開した脆弱性対策情報

5,771
6,410

2014

8,101

2015

7,837
8,938

2016

• 米国国立標準技術研究所（NIST：National Institute2017

of Standards and Technology）の脆 弱 性データ

2018

15,707ベース「NVD ※ 179」で公開された脆弱性対策情報

201915,330（a）
JVN iPedia の登録件数の推移

0

JVN iPedia に登録している情報を、製品ベンダやセキュリティ関連企業が脆弱性情報を公表した年別

15,732

2020
2021

※ 180

14,308

5,337
5,000

10,000

NVDから収集したもの
国内製品開発者から収集したものに15,00020,000（件数）
JVNから収集したもの■図 1-3-1 JVN iPedia 登録状況
（公表年別）
JVN iPedia の登録情報を基に IPA が作成（出典）まとめると、2011 年を境にして NVD から収集した脆弱性対策情報の登録件数がおおむね増加傾向となっており、2018 年以降は 1 万 5,000 件を超えている。なお、

JVN iPedia は、発見された脆弱性の種類を識別す

2021 年の登録件数は 12 月末時点で 5,337 件であるが、るための 共 通 脆 弱 性タイプ 一 覧（CWE：Common

脆弱性対策情報の公開から JVN iPedia への登録まで※ 186
を脆弱性対策情報に付
Weakness Enumeration）

タイムラグがあるため、2021 年の登録数も最終的には与して登録を行っている。2021 年に登録した CWE の2020 年と同程度になる見込みである（図 1-3-1）。2017

割合は「クロスサイト・スクリプティング」が 9.2％と最も高く、年以降、NVD に公開される脆弱性の件数が大幅に増「不適切な権限管理」が 6.8%、「境界外書き込み」が加した理由としては、脆弱性を登録するための共通脆5.4%、「情報漏えい」が 2.7％と続いている（次ページ図弱 性 識 別 子 CVE（Common Vulnerabilities and1-3-2）。

※ 181の採番機関（CNA：CVE Numbering

最も件数の多かった「クロスサイト・スクリプティング」に※ 182が増加したことが一因として挙げられ分類される脆弱性を悪用されると、偽の Web サイトへ

Exposures）
Authority）

55

1

情報セキュリティインシデント・脆弱性の現状と対策て、多くの脆弱性に CVE が付与され、NVD に公開さ第 章

本節では、ソフトウェア製品の脆弱性の動向や、ソフ誘導され、情報が漏えいしたりする恐れがある。

「その他」の採番が増えたと考えられる。

2019 年以降の CWE 別割合を年別に見ると、上位 5（b）
JVN iPedia の登録情報の深刻度

種では、「クロスサイト・スクリプティング」「情報漏えい」の割合が減少傾向にあり、「不適切な権限管理」「境界

JVN iPedia は、オープンで汎用的な脆弱性評価手外書き込み」「不正な認証」の割合は増加傾向である

法 で あ る CVSS（Common Vulnerability Scoring（図 1-3-3）。一方で、上位 9 種と、10 位以下をまとめた「そSystem：共通脆弱性評価システム）※ 187 を用いて、脆の他」の割合を見ると、上位 9 種については「不適切な弱性の深刻度を公開している。なお、JVN iPedia では

入力確認」を始め、2020 年に比べて減少したものが多CVSS v2 及び CVSS v3 の二つのバージョンの情報をい。これに対して、「その他」の割合が 2021 年は 65.1％

公開しているが、本項では CVSS v2 を基に統計処理と2020 年の 57.5％から増加している。この増加の一因を行っている。

としては、JVN iPedia の情報の収集元である NVD に

深刻度には、CVSS v2 の基本評価基準（BM：Base

おいて、近年 CWE を細分化して採番する傾向がある

Metrics）
を基に評価した基本値によるレベルⅠ、レベルⅡ、ことが挙げられる。このため、これまで 9 種の CWE に

レベルⅢの 3 段階があり、数値が大きい程深刻度が高い。

分類されていた脆弱性の一部が「その他」に分類され、深刻度のレベルごとに想定される影響は以下である。
• 深刻度 レベルⅢ
（危険）：基本値 7.0 ～ 10.0

①9.2％
②6.8％

リモートからシステムを完全に制御されたり、大部分の情報が漏えいしたりする等の影響が想定される。

③5.4％
④2.7％
⑤2.5％
⑥2.2％
⑦2.2％
⑧2.1％
⑨2.0％

⑩65.1％（警告）：基本値 4.0 ～ 6.9• 深刻度 レベルⅡ
一部の情報が漏えいしたり、サービス停止につながったりする等の影響が想定される。
（注意）：基本値 0.0 ～ 3.9• 深刻度 レベルⅠ
深刻度レベルⅡ相当の影響があるが、攻撃するには①クロスサイト・スクリプティング（CWE-79）②不適切な権限管理（CWE-269）③境界外書き込み（CWE-787）④情報漏えい（CWE-200）⑤不正な認証（CWE-863）⑥不適切な入力確認（CWE-20）⑦SQLインジェクション
（CWE-89）⑧解放済みメモリの使用（CWE-416）⑨境界外読み取り（CWE-125）⑩その他

複雑な条件を必要とする。
2021 年に登録された脆弱性対策情報を深刻度のレ
ベル別で分類すると、レベルⅢが 20.0％、レベルⅡが65.0％、レベルⅠが 15.0％となっており、一部の情報漏え
いやサービス停止につながるレベルⅡ以上の脆弱性が全■図 1-3-2

JVN iPedia における脆弱性対策情報の CWE 別割合（2021 年、n=5,308）（出典）
JVN iPedia の登録情報を基に IPA が作成

2019年③15.0％

55.8%（n=15,280）

2020年①20.0％②65.0％

57.5％（n=15,660）

2021年

①レベルⅢ
（危険）
②レベルⅡ
（警告）
③レベルⅠ
（注意）

65.1％

（n=5,308）0

体の 8 割以上を占めている（図 1-3-4）。

20

40

60

①クロスサイト・スクリプティング（CWE-79）②不適切な権限管理（CWE-269）③境界外書き込み（CWE-787）④情報漏えい（CWE-200）⑤不正な認証（CWE-863）⑥不適切な入力確認（CWE-20）⑦SQLインジェクション
（CWE-89）⑧解放済みメモリの使用（CWE-416）⑨境界外読み取り（CWE-125）
⑩その他

80

100
（％）

■図 1-3-4

JVN iPedia における脆弱性対策情報のレベル別割合・（2021 年、n=5,138）
JVN iPedia の登録情報を基に IPA が作成（出典）

2019 年以降の深刻度のレベル別割合を年別に見ると、レベルⅡ以上の脆弱性の割合は 2019 年が 88.3％、2020 年が 84.4％と減少したが、2021 年は 85.0％とほぼ■図 1-3-3

JVN iPedia における脆弱性対策情報の CWE 別割合（2019 ～ 2021 年）（出典）
JVN iPedia の登録情報を基に IPA が作成

横ばいであった。更に 2021 年を 2020 年と比較すると、

56

情報セキュリティ白書

最も深刻度が高いレベルⅢに該当する脆弱性の割合がMicrosoft Windows 8.1（n=61）③11.5％

3.7％減少し、レベルⅡの脆弱性の割合はその分増加し①13.1％ている（図 1-3-5）。これは、比較的レベルⅡに分類される

①レベルⅢ
（危険）
②レベルⅡ
（警告）
③レベルⅠ
（注意）

②75.4％したことや、全体の 65.1％を占める「その他」の脆弱性がレベルⅡに分類されることが多かったことが一因と考えら

2019年

26.2%

62.1%

2020年

23.7%

60.7%

15.6%

2021年

20.0%

65.0%

15.0%

（n=15,588）（n=5,138）
0

20
レベルⅢ
（危険）

40

Microsoft Windows 10（n=94）

11.7%

60③13.8％①12.8％
①レベルⅢ
（危険）
②レベルⅡ
（警告）
③レベルⅠ
（注意）

②73.4％

80
100
（％）
レベルⅠ
（注意）

レベルⅡ
（警告）

■図 1-3-5

JVN iPedia における脆弱性対策情報のレベル別割合・（2019 ～ 2021 年）
JVN iPedia の登録情報を基に IPA が作成（出典）

Microsoft Windows 11（n=89）③16.8％

製品開発者は、ソフトウェアの企画・設計・製造段階からセキュアコーディング※ 188 を含めたセキュリティ対策②70.8％

を講じる等、脆弱性による被害を未然に防ぐための対応が必要となる。また、製品の利用者にも、日頃から新た①12.4％
①レベルⅢ
（危険）
②レベルⅡ
（警告）
③レベルⅠ
（注意）

に公開される脆弱性対策情報に注意を払い、脆弱性が公開された場合には製品を最新バージョンにアップデート
する等の対応が求められる。

■図 1-3-6

JVN iPedia に登録された Microsoft Windows 製品の・
脆弱性対策情報の深刻度のレベル別割合・（2021 年 10 ～ 12 月）（出典）
JVN iPedia の登録情報を基に IPA が作成（2）Microsoft Windows 11 の脆弱性について
Microsoft 社より、Windows 11 が 2021 年 10月5日（日本時間）にリリースされた。本製品は Windows 10 の後

いレベルⅢが 12.4％、次に高いレベルⅡが 70.8％、レベル

継バージョンとして注目を集め、無償でアップグレードでき

Ⅰが 16.8％である。レベルⅢ及びレベルⅡにあたる脆弱性がるた め、 徐 々に 利 用 者 が 増 えて いる。 同 社 は、全体の 8 割以上を占めており、Windows 8.1、Windows

Windows 11 は様々な新機能に加え、「何も信頼しない」

10 と比較して深刻度のレベル別割合に大きな差は見らを前提に対策を講じるゼロトラストの考え方を取り入れるれなかった。このことから、2022 年以降もWindows 11※ 189

等、セキュリティ面も強化したとしている。

の脆弱性対策情報は、これまでの Windows OS と同

その一方で、Windows 11 において既に多くの脆弱様の傾向で公開されると見られる。

性が公開されている。
リリースから2021 年 12月末までに、これらの脆弱性を解消し安全に Windows 11 を利用

89 件の Windows 11 の脆弱性対策情報が JVN iPedia

するためには、利用者は従来の Windows 製品と同様に登録された。その中には、深刻度の高い脆弱性も含に Microsoft 社から公開される修正プログラムを速やかまれている。図 1-3-6 は、2021 年第 4 四半期（10 月 1に適用することが推奨される。IPA においても、同社か日～ 12 月 31 日）に JVN iPedia へ登録された、現在

ら月例の修正プログラムが公開された際、重要なセキュMicrosoft 社 で サ ポ ートされ て い る Windows 8.1、

リティ情報として注意喚起情報を公開しており、特に脆Windows 10、Windows 11 の脆弱性対策情報の深弱性攻撃が確認されている場合は緊急対策情報として

刻度のレベル別割合である。

発信している。

Windows 11 においては、脆弱性の深刻度が最も高57

1

情報セキュリティインシデント・脆弱性の現状と対策

れる。

第 章

ことが多い「不正な認証（CWE-863）」の脆弱性が増加（n=15,283）

2022

（3）Apache HTTP Server の脆弱性についても集まり、攻撃に悪用される恐れがある。利用者におい2021 年 10 月に、Apache Software Foundation かては、継続的に脆弱性情報を収集し、修正プログラムがら Apache HTTP Server の脆弱性 CVE-2021-41773

公開された場合は速やかに対応することが求められる。

の情報が公開され、IPA を始め複数の公的機関から脆（4）今後の展望

弱性の悪用が確認されたとして注意喚起が発信され
※ 190

た

。本脆弱性はドキュメントルート外のファイルにアクJVN iPedia へ登録された脆弱性対策情報の累計件セスされる恐れのあるパストラバーサルの脆弱性で、これ数は、2021 年 12 月末 時 点で 13 万 件を超えている。

を悪用されるとリモートから不正にファイルを操作される恐2017 年以降は毎年 1 万件前後の脆弱性対策情報がれがあった。脆弱性の深刻度を示す CVSS v2 基本値

登録されており、2022 年以降も同程度の件数が登録さ

は 4.3

※ 191

でレベルⅡにあたり、特別高い数値ではなかっ

れていくものと考えられる。

た。しかし、複数の実証コードが公開され、国内での2021 年は、2020 年に引き続き新型コロナウイルス感染

攻撃が確認されたこともあり、脆弱性の影響を受けるバーへの対応を迫られる年であった。対応の施策として、こジョンを利用している組織は対策が求められた。

の間急速にテレワークの普及が進んだが、これに伴いテ

また、CVE-2021-41773 の修正版としてリリースされた

レワーク機器の脆弱性等を狙った攻撃も報告された※ 194。

バージョンの Apache HTTP Server にも、数日で別のテレワーク対応のため急遽導入した機器については、業

パストラバーサルの脆弱性 CVE-2021-42013 が存在する

務の早期開始を重視した結果、脆弱性の管理がされてことが明らかになった。本脆弱性の CVSS v2 基本値はいない等セキュリティに対して十分対応できないという課

7.5

※ 192

で、レベルⅢに分類された。CVE-2021-41773

題が明らかになり、機器の運用管理の見直しが必要にと同様に本脆弱性も実証コードの公開が確認され、また、なった。

CVE-2021-41773 の修正版のリリース直後に発見された

一方、2019 年の「情報処理の促進に関する法律の※ 193

脆弱性ということもあり、ネット記事等にも掲載され一部を改正する法律案」の閣議決定※ 195 等をきっかけ、

広く注目された。

に、DX（デジタルトランスフォーメーション）の考え方が注

Apache HTTP Server は Apache Software

目されるようになり、組織においては業務の DX 化が求Foundation がオープンソースソフトウェアとして提供してめられるようになった。2022 年はテレワークに伴う業務のいる Web サーバ用のプログラムである。本製品の脆弱

デジタル化が加速し、更に DX 導入が進展すると考えら

性対策情報は、JVN iPedia に 2021 年末までの累計でれる。これに伴い、AI（Artificial Intelligence：人工194 件登録されている。図 1-3-7 はその深刻度別割合知能）や IoT 機器等を活用して DX 化を推進する様々を示したものである。脆弱性の深刻度が最も高いレベルな機器やソフトウェア、サービスが提供されると考えられⅢが 12.4％、次に高いレベルⅡが 82.0％、レベルⅠが 4.1％

る。このような DX 対応の機器やソフトウェアの導入にセとなっており、脆弱性を悪用された場合の影響が大きい、

キュリティ研究者や攻撃者が関心を持ち、新たな脆弱性

レベルⅢ及びレベルⅡでほぼ占められている。

を発見し、JVN iPedia 等の脆弱性対策情報データベー

④1.5％
③4.1％

②82.0％

スにおいて登録が増えることも予想される。
DX 化を推進する機器やソフトウェアの新たな脆弱性①12.4％が発見されれば、それを狙った攻撃が増えると想定される。一方で、テレワーク対応機器の導入においては既

①レベルⅢ
（危険）
②レベルⅡ
（警告）
③レベルⅠ
（注意）
④なし

知の脆弱性が放置され、被害が出た等の事例があり、DX 化を推進するための機器やソフトウェアの導入についても同様の問題が懸念される。これを防ぐために、導入した機器を構成するソフトウェア及びそのバージョンの■図 1-3-7

JVN iPedia に登録された Apache HTTP Server の脆弱性対策情報のレベル別割合（2007 年 4 月～ 2021 年 12 月、
n=194）（出典）
JVN iPedia の登録情報を基に IPA が作成

把握、当該バージョンが影響を受ける脆弱性情報等の定期的な入手、アップデート対応等、基本的な脆弱性対策を適切に行っていくことを強く推奨する。その中のApache HTTP Server のように広く利用されているソ

当該バージョンが影響を受ける脆弱性情報等の定期的

フトウェアは、脆弱性情報が公開されると攻撃者の注目な入手の一つの手段として、JVN iPedia をぜひ活用し58

情報セキュリティ白書ていただきたい。

ソフトウェア製品（n=5,009）

40.2%（2,014件）

59.8%（2,995件）

13.0%（1,579件）
Webサイト（n=12,130）87.0%（10,551件）

0

ソフトウェア製品や Web アプリケーション（以下、Web

20

40

60

取り扱い終了サイト）※ 196 の脆弱性を悪用した攻撃による情報漏えい、

80

100
（％）

取り扱い中

社会的に大きな影響を与える恐れのある脆弱性につ展が望めない届出（調整不能案件）を公表する手続きと

いては、開発者以外に関係機関から注意喚起等が出さして、公表判定委員会※ 201 がある。2021 年は、公表れることがある。例えば、2021 年 12 月には、多くの製判定委員会の判定の結果、10 件の調整不能案件を品やソフトウェアで使用され、任意のコードが実行可能

JVN で公表した（「1.3.2（1）（c）公表判定委員会の判定

な Java ベースのロギングライブラリApache Log4j の脆による JVN 公表」参照）。

弱性について、IPA 以外にもNISC 等複数機関から注（1）
ソフトウェア製品の脆弱性意喚起※ 197 が出された。
※ 198

」
（以

2021 年のソフトウェア製品の脆弱性の状況を、パート※ 199

下、パートナーシップ）
では、脆弱性関連情報の届出

ナーシップへの届出件数や製品開発者による対策の取りを受け付けているが、2021 年に届出された件数は、ソ組み状況等から解説する。

フトウェア製品が 309 件、Web サイトが 605 件、合計（a）2021 年のパートナーシップの届出受付動向

914 件であった（図 1-3-8）。

2021 年にパートナーシップで受け付けたソフトウェア製

2020年

244

754

2021年

309

605

品の届出
（不受理 1 件を除く）
は、308 件であった。

905

図 1-3-10 は、2017 年から 2021 年までのソフトウェア

0

200

400

600

ソフトウェア製品

製品の届出受付数（不受理を除く）を示している。届出
受付数は、2017 年の 435 件から 2019 年の 214 件まで減少したが、2020 年は 240 件、2021 年は 308 件と増
800

1,000

Webサイト1,200

えてきている。2021 年のソフトウェア製品の届出のうち、（件数）

製品開発者による自社製品に関する届出は、308 件中■図 1-3-8 脆弱性関連情報の種類別届出状況（2019 ～ 2021 年）（出典）パートナーシップの届出状況を基に IPA が作成

26 件であった。
（件数）
500

2021 年のソフトウェア製品及び Web サイトの総届出件数（914 件）と、2020 年の件数
（998 件）を比較すると、

400

約 8% 減少している。なお、2021 年のソフトウェア製品とWeb サイト個々の件数を 2020 年の件数と比較すると、

435
15
312
26

300

ソフトウェア製品の届出は約 27% 増加、Web サイトの200

届出は約 20% 減少した。

214
21

420
286

パートナーシップ開始時点（2004 年 7 月 8 日）
からの届

100

出 件 数を累 計 すると、ソフトウェア製 品は 5,009 件、

0

Web サイトは 1 万 2,130 件となり、2021 年 12 月末時点

193

2017年

2018年

2019年

ソフトウェア製品の届出での合計が 1 万 7,139 件に上る。これらの届出のうち

240
24

216

2020年

308
26

282

2021年

自社製品に関する届出■図 1-3-10 ソフトウェア製品の届出受付数（2017 ～ 2021 年）（出典）パートナーシップの届出状況を基に IPA が作成

ソフトウェ
IPA での取り扱いが終了※ 200した届出件数は、
ア製品 2,995 件（59.8%）、Web サイト1 万 551 件（87.0%）

図 1-3-11（次ページ）は、同期間の製品の種類別のである（図 1-3-9）。

届出受付数の割合を示している。2021 年に割合が大きパートナーシップには、製品開発者と連絡が取れず進59

情報セキュリティインシデント・脆弱性の現状と対策

脆弱性関連情報の種類別取り扱い終了状況・（2021 年末までの累計）（出典）
パートナーシップの届出状況を基に IPA が作成発生している。

232

1■図 1-3-9

及び Web サイト改ざん等の被害は、2021 年も引き続き

2019年

第 章

早期警戒パートナーシップの届出
1.3.2
状況から見る脆弱性の動向「情報セキュリティ早期警戒パートナーシップ

2022

く増加したものは「ウェブアプリケーションソフト※ 202」と「グ

CMS は、Web サイトのコンテンツの作成・管理に使

ループウェア」であった。「ウェブアプリケーションソフト」

用されるソフトウェア製品である。CMS の特徴として、「プ

は 41.2％と直近 5 年で最も大きな割合となっている。また、ラグイン」と呼ばれる拡張ソフトウェア製品を導入すること「グループウェア」は前年の 2.9% から約 3 倍の 8.8% にで、機能の拡張が容易であることが挙げられる。CMSなった。

とプラグインを利用することで、Web サイトの運営者に専門知識がなくても、自組織のニーズに合わせた Web サイトの作成・管理が可能となる。代表的な CMS として

2017年（n=435）は WordPress や Movable Type、EC-CUBE 等が挙
げられる。

2018年

（n=312）2021 年に JVN に公表した EC-CUBE に関連した対策情報を見ると、EC-CUBE 本体だけでなく、プラグイン

2019年（n=214）も含めて脆弱性が発見されており（表 1-3-1）、8 件中 6
件がクロスサイト・スクリプティングの脆弱性であった。

2020年（n=240）項番

2021年（n=308）
0

20

40

60

ウェブアプリケーションソフト
ルータ
アプリケーション開発・実行環境

80

スマートフォン向けアプリ
グループウェア
その他

100
（％）

1 JVN#97554111

EC-CUBE におけるクロスサイトスク
リプティングの脆弱性

複数のイーシーキューブ製 EC-CUBE
3 JVN#57524494 用プラグインにおける複数のクロスサ
イトスクリプティングの脆弱性（b）2021 年の JVN 公表の動向
パートナーシップに届出のあった脆弱性の対策情報のうち 2021 年に JVN 公表に至った件数は、185 件であった。
図 1-3-12 は、届出のうち 2017 年から 2021 年までの

4 JVN#95292458

EC-CUBEにおける複数のクロスサイ
トスクリプティングの脆弱性

5 JVN#57942445

EC-CUBE におけるアクセス制限不備の脆弱性

EC-CUBE 用プラグイン「一覧画面（受注管理）項目変更プラグイン」
6 JVN#46313661
におけるクロスサイトスクリプティングの脆弱性

JVN 公 表 数を示している。2017 年から 2019 年まで
JVN 公表数は減少していたが、2020 年からは一転して増加している。また 2021 年に公表した自社製品に関EC-CUBE 用プラグイン「注文ステー
7 JVN#23406150 タス一括変更プラグイン」におけるクロスサイトスクリプティングの脆弱性する届出は 28 件であった。

8 JVN#75444925

（件数）
400
322
16

EC-CUBE 2 系における複 数の脆
弱性■表 1-3-1

2021 年に JVN 公表した
「EC-CUBE」に関連した脆弱性
対策情報（出典）
JVN を基に IPA が作成

232
26

200
306

98
15
83

206

100
0

件名

複数の ETUNA 製 EC-CUBE 用プ
2 JVN#79254445 ラグインにおけるクロスサイトスクリプ
ティングの脆弱性■図 1-3-11 製 品種類別のソフトウェア製品の届出受付数の割合・（2017 ～ 2021 年）（出典）パートナーシップの届出状況を基に IPA が作成

300

JVN 番号

2017年

2018年

2019年

ソフトウェア製品の届出

133
25
108
2020年

185
28

公表した脆弱性の中でも、影響が大きいものとして

157

JVN#97554111 ※ 203 がある。これは、EC-CUBE 本体にクロスサイト・スクリプティングの脆弱性が存在したため、2021年

EC-CUBE を用いて作成した EC サイトにおいて、攻撃自社製品に関する届出者が特定の入力欄にスクリプトを入力することにより、EC■図 1-3-12 届
 出されたソフトウェア製品のうち JVN 公表した件数・（2017 ～ 2021 年）（出典）パートナーシップの届出状況を基に IPA が作成

サイト管理者の Web ブラウザ上で任意のスクリプトが実行される可能性がある、というものであった。また、この2021 年 は、Web サイト構 築 に 使 用される CMS

脆弱性を悪用した攻撃が確認されており、実際にクレジッ（Content Management System）の脆弱性に関するトカード情報が流出したため注意喚起が出された※ 204。
CMS の脆弱性対策としては、CMS 本体やそのプラ

JVN 公表が 31 件あった。

60

情報セキュリティ白書

グインを、常に最新の状態に維持（アップデート）すること続となった。また、公表した 10 件のうち 9 件は、深刻が重要である。アップデートをするためには、JVN や製

度の 3 段階レベルのうちレベルⅡの「警告」と判断され、品開発者の Web サイト等を確認し、脆弱性対策情報

残りの 1 件はレベルⅠの「注意」と判断された。

に確認しなければならない。また、開発・サポートが終れないことを理由に調整不能となったもので、アップデー

了したプラグインについては、使用をやめる必要がある。

ト等の対策は提供されていない。また、IPA において届

このようなアップデート情報の確認やアップデートの適用

出情報を基に製品を検証しており、脆弱性が存在するこ作業等が負担となる場合には、Web サイトの運用・保守とが確認されている。利用者には脆弱性を回避する対作業を委託することや、CMS 本体を、自動アップデート機策として、製品の使用をやめることが求められる。

能を持つクラウド版に置き換えることも一つの方策となる。
（d）
製品開発者の脆弱性対策に関する取り組み（c）
公表判定委員会の判定による JVN 公表

IPAとともにパートナーシップを運営している JPCERT/

パートナーシップでは、原則として、製品開発者の合CC は、インシデント報告や脆弱性報告で顕著な貢献を意のもとで、脆弱性対策情報を JVN で公表しているが、した報告者を顕彰するための「ベストレポーター賞※ 205」

届出の中には、製品開発者との連絡が取れない等のを 2021 年に制定し、同年に初の贈呈を実施した。
同賞の脆弱性報告部門では、トレンドマイクロ社が製様々な理由により、公表に向けての調整が難航してしま

品開発者の脆弱性対応の取り組みとして、社内外で発う調整不能案件が存在する。
製品利用者が被害を受ける可能性を低減するため、見された自社製品の脆弱性について、その悪用の有無

IPA では、調整不能案件の脆弱性情報について、公を含め多数報告し、脆弱性情報流通に対して前向きに表が適当か否かを判定する第三者委員会である「公表

対処、協力している姿勢が評価され受賞した。
パートナーシップでは、製品開発者からの自社製品の判定委員会」
を組織している。

脆弱性の届出も受け付けているが、2021 年の自社製品

2021 年には、同委員会での判定に基づき、10 件のの届出は 26 件と多くない。

脆弱性情報を JVN に公表した（表 1-3-2）。JVN での製品開発者から自社製品の脆弱性について報告が増調整不能案件の公表は 2020 年の 9 件に続き、2 年連
深刻度

項番

JVN 番号えることで、製品開発者側での公表や JVN での公表も増え、より多くの利用者に対策情報が認識されるようになり、

件名

脆弱性悪用の被害が低減することが今後期待される。

マガジンガーＺにおけるクロスサ
1 JVN#97370614 警告
イトスクリプティングの脆弱性（2）Web サイト※ 196 の脆弱性

影舞におけるクロスサイトスクリ
2 JVN#12559271 警告
プティングの脆弱性

2021 年にパートナーシップで受け付けた Web サイトの影舞におけるクロスサイトスクリ
3 JVN#42220311 警告
プティングの脆弱性
4 JVN#11438679 注意

届出（不受理 5 件を除く）
は、600 件であった。
図 1-3-13 は、2017 年から 2021 年までの Web サイト

影舞におけるクロスサイトリクエ
ストフォージェリの脆弱性の届出受付数（不受理を除く）
を示している。前年を大きClick Ranker におけるクロス
5 JVN#93207949 警告
サイトスクリプティングの脆弱性

く上回る 2019 年の 884 件をピークに、2020 年より届出

6 JVN#37179202 警告

Yomi-Search におけるクロス
サイトスクリプティングの脆弱性

2017年

7 JVN#83042295 警告

Yomi-Search におけるクロス
サイトスクリプティングの脆弱性

2018年

8 JVN#94705238 警告

Yomi-Search におけるクロス
サイトスクリプティングの脆弱性

2019年

232
884

2020年

rNote におけるクロスサイトスク
9 JVN#68244135 警告
リプティングの脆弱性
10 JVN#55833077 警告

132

746

2021年

600
0

yappa-ng におけるクロスサイト
スクリプティングの脆弱性

200

400

600

800

1,000
（件数）

■図 1-3-13 W eb アプリケーションの不受理を除いた届出件数・（2017 ～ 2021 年）（出典）パートナーシップの届出状況を基に IPA が作成■表 1-3-2 2021 年に JVN 公表した調整不能案件（出典）
JVN を基に IPA が作成

61

1

情報セキュリティインシデント・脆弱性の現状と対策公表した脆弱性は、いずれも製品開発者と連絡が取

第 章

やアップデート情報が新たに公表されていないか定期的

2022

は減少してきている。

パートナーシップでは、このような問題についても、脆弱性の一種と定義し取り扱っている。

（a）パートナーシップから見る 2021 年の届出の傾向

2021 年のパートナーシップに届出があった「ファイルの

図 1-3-14 は、2019 年から 2021 年までの脆弱性の種

誤った公開」の主な要因は、CMS のような「ウェブアプリ

類別の届出受付数（不受理を除く）を示している。2020

ケーションソフト」を初期設定のまま使用し構築した問題

年では届出全体に対する割合が多かった「クロスサイト・であった。それによりWeb サイトでは、公開領域に機密

スクリプティング」と「SQL インジェクション」は、2021 年で情報が含まれるファイルが生成、配置される作りとなっては減少した。他方、2021 年に増加したものに、「ファイいた。

ルの誤った公開」がある。この脆弱性の 2021 年届出数

上記は「ウェブアプリケーションソフト」の仕様であり、こは 89 件であり、2020 年の 45 件と比較すると 2 倍に増の仕様に気が付かずそのまま運用していたため、意図加した。これは、2004 年の制度開始から 2021 年までせず機密情報が含まれるファイルが誰でもアクセスできるの間で当該脆弱性に関して最も多い件数である。

ようになっており、その多くは検索エンジンから特定のキー

14

2019年

754

（n=884）

2020年

490

119 45（n=600）
0

332

85

89

18

うものであった。

3

65

（c）
Web サイト運営者に求められる対策

9

23

2021年

情報が公開状態にあることを容易に知ることができたとい

73
18（n=746）

ワードで検索することにより、アカウント情報を含む機密

22

前述のとおり、「ファイルの誤った公開」の届出では、

61
10

200

400

600

800

クロスサイト・スクリプティング
ファイルの誤った公開

SQLインジェクション
認証に関する不備

アクセス制限の回避

その他「ウェブアプリケーションソフト」の仕様を確認しないまま利

1,000
（件数）

用していたため、非公開にすべきファイルが公開されているという届出が多数を占めていた。
まず、Web サイト運営者は「ウェブアプリケーションソフ■図 1-3-14 脆
 弱性種類別の Web アプリケーションの届出受付数（2019 ～ 2021 年）（出典）パートナーシップの届出状況を基に IPA が作成

ト」 の現状の設定を確認していただきたい。併せて、IPA が公開している「安全なウェブサイトの運用管理に※ 207「ファイルの誤った公開」は 2018 年当時からあり、決向けての 20ヶ条

して少なくない。そのため同年の第 4 四半期の「ソフトウェ
ア等の脆弱性関連情報に関する届出状況

※ 206

出対策

」では

」や「Web サーバからのファイル流※ 208」等を参考にして、非公開にすべきファイルが公開されていないか、設定やファイルの配置場所等を「機密情報の意図しない公開に注意」と題して、Web サ

見直すことも必要である。

イト運営者に注意を促していた。

なお、Web サイト運営者が自組織で確認できない場

しかしながら、その後も数の増減はあるもののパート

合は、セキュリティベンダに脆弱性診断を依頼する等のナーシップには毎年一定数届出されている。前述のとお対応が考えられる。

り、2021 年はこれまでで最多であり、依然としてこの脆問題を確認した場合は、公開しているファイルを速や弱性が残存する Web サイトが多数あると考えられる。

かに非公開設定にする。加えて、漏えいが疑われる情報は、検索エンジンでキャッシュされている場合があるた（b）「ファイルの誤った公開」の脆弱性の現状

め、各検索エンジンを運営する事業者へ問題となった「ファイルの誤った公開」とは、Web サイトの管理・運ページやファイルのキャッシュ情報の削除を依頼する等の用においてアクセス制限等の設定不備により、意図せず対応を検討いただきたい。

ファイルにアクセスされてしまう問題であり、このファイルにまた、
クロスサイト・スクリプティングや SQL インジェクショ

保存されている管理者権限のアカウントやパスワードが外ン等の脆弱性についても、未だに多くの届出がある。

部に流出すると、第三者に悪用され被害が深刻化する

Web サイト運営者は、ページの新規追加や変更を行う等の脅威が発生する。ディレクトリ・トラバーサルのような際に、IPA が公開している「ウェブ健康診断仕様※ 150」

ソフトウェアの設計に起因する問題とは異なり、基本的に「安全なウェブサイトの作り方※ 151」等を参照して、運営

は Web サイト運営者による不適切な運用の問題に起因する Web サイトの現状を確認し、対策や見直しを検討する。

いただきたい。

62

情報セキュリティ白書

C

O

L

U

M

N

IPA の「情報セキュリティ安心相談窓口」には日々様々な相談が寄せられています。中でも、「偽サイトや不審サイトにアクセスして、大事な情報をサイトに入力した」「不審なアプリをサ
そのような偽サイトや不審サイトへの誘導方法としては、メールや SMS を不特定多数にばらまく手法が従来の代表的な手口です。しかし、最近では、それ以外の方法により偽サイ
トや不審サイトへ誘導する手口の相談も増えており、「だまし」の手口が多様化しているといえる状況です。例えば、「スマートフォンのカレンダー機能」「SNS のメッセージ機能」「ブラウザの通知機能」等を悪用して、ユーザが利用する端末に不審な URL を送り付ける手口も確認しています。これらのどの手口においても、基本的には URL リンクをタップ／クリック
することで被害につながります。URL をタップ／クリックさえしなければ被害につながることはありません（図 1）。
きっかけのサービスは様々【共通】
URLリンクをクリックすることで被害発生につながる！

SMS

スマホ
機能

記載されているURLリンク（iPhoneカレンダー）

http://www.●●

SNS

不審サイト
不審アプリ

ブラウザ
通知

基本的に被害発生無し

図1

被害発生

URL リンクからの被害発生のイメージ

これらの手口があることを知っていれば、実際にそのような場面に遭遇しても、怪しいことに気が付き、被害の発生を防げる可能性が高まります。そのため情報セキュリティ安心相談
窓口では、以下の情報発信を行っています。
◦「Twitter 安心相談窓口公式アカウント」（https://twitter.com/IPA_anshin）では新たな手口が確認された場合に速やかに情報を提供しています。
◦「安心相談窓口だより」（https://www.ipa.go.jp/security/anshin/mgdayoriindex.
html）
では確認された手口と対処、被害に遭わないための対策等を分かりやすく詳細に説明しています。
「だまし」の手口に引っかからないように、「Twitter 公式アカウント」をフォローして、「安心相談窓口だより」を定期的にチェックしてください。

631

情報セキュリティインシデント・脆弱性の現状と対策

イトからインストールした」という相談が多く寄せられています。

第 章

多様化する「だまし」の手口に対抗するには

メール

2022

※ 1 https://www.ic3.gov/Media/PDF/AnnualReport/2021_
IC3Report.pdf〔2022/5/17 確認〕※ 2 https://apwg.org/trendsreports/〔2022/5/17 確認〕※ 3 https://www.verizon.com/business/resources/reports/dbir/〔2022/5/27 確認〕※ 4 https://www.ibm.com/security/jp-ja/data-breach/threatintelligence/〔2022/5/17 確認〕※ 5 CNN.co.jp：米首都のガソリンスタンド、８割が売り切れ パイプラ
イン停 止の影 響 続く https://www.cnn.co.jp/business/35170841.
html〔2022/5/17 確認〕※ 6 Microsoft 社：Microsoft Exchange Server のリモートでコードが実行される脆弱性 CVE-2021-26855 https://msrc.microsoft.com/〔2022/5/17 確認〕
update-guide/vulnerability/CVE-2021-26855※ 7 Microsoft 社：Microsoft Exchange Server のリモートでコードが実行される脆弱性 CVE-2021-34473 https://msrc.microsoft.com/
update-guide/ja-jp/vulnerability/CVE-2021-34473〔2022/5/17
確認〕
NIST：CVE-2021-34523 Detail https://nvd.nist.gov/vuln/detail/〔2022/5/17 確認〕
CVE-2021-34523
NIST：CVE-2021-31207 Detail https://nvd.nist.gov/vuln/detail/CVE-2021-31207〔2022/5/17 確認〕※ 8 Orange Tsai：ProxyLogon is Just the Tip of the Iceberg, A
New Attack Surface on Microsoft Exchange Server! https://i.blackhat.com/USA21/Wednesday-Handouts/us-21-ProxyLogonIs-Just-The-Tip-Of-The-Iceberg-A-New-Attack-Surface-On〔2022/5/17 確認〕
Microsoft-Exchange-Server.pdf※ 9 JVN iPedia：JVNDB-2021-005429 Apache Log4j における任意のコードが実行可能な脆弱性 https://jvndb.jvn.jp/ja/contents/
2021/JVNDB-2021-005429.html〔2022/5/17 確認〕※ 10 Solar Winds Worldwide, LLC.：SolarWinds Security Advisoryhttps://www.solarwinds.com/ja/sa-overview/securityadvisory〔2022/5/17 確認〕※ 11 Reuters：Kaseya ransomware attack sets off race to hackservice providers -researchers https://www.reuters.com/
technology/kaseya-ransomware-attack-sets-off-race-hack-serviceproviders-researchers-2021-08-03/〔2022/5/17 確認〕
Kaseya Limited：Incident Overview & Technical Details https://
helpdesk.kaseya.com/hc/en-gb/articles/4403584098961Incident-Overview-Technical-Details〔2022/5/17 確認〕※ 12 Verizon 社：2021 Data Breach Investigations Reporthttps://www.verizon.com/business/resources/reports/2021-data〔2022/5/27 確認〕
breach-investigations-report.pdf
なお、本文に記載した 2020 年のインシデント件数である 2 万 9,207 件は、
7 万 9,635 件のうちの適格性の基準を満たした件数である。
※ 13 パスワード・スプレー攻撃：同じパスワードを使って複数のアカウントへのログインを試みる攻撃手法。ログイン制御が施されているシステムに対して、同じアカウントへの複数回のログイン試行を回避できる。
※ 14 IBM 社：X-Force 脅威インテリジェンス・インデックス 2021 エグゼ
クティブ・サマリー https://www.ibm.com/downloads/cas/98Z6YYG6〔2022/5/17 確認〕※ 15 FBI：Internet Crime Report 2020 https://www.ic3.gov/〔2022/5/17 確認〕
Media/PDF/AnnualReport/2020_IC3Report.pdf※ 16 「マルウェア」等の用語を混在して使用すると、読者を混乱させる可能性があるため、本白書では特に断りのない限り、または文献引用上の正確性を期す必要のない限り、総称して「ウイルス」と表現する。
※ 17 MBSD 社のご厚意により、ご提供いただいた集計情報を本白書では掲載している。
※ 18 https://www.jpcert.or.jp/ir/report.html〔2022/5/16 確認〕※ 19 フィッシング対 策 協 議 会：月次 報 告 書 一 覧 https://www.
antiphishing.jp/report/monthly/〔2022/5/16 確認〕※ 20-1 https://www.npa.go.jp/publications/statistics/cybersecurity/
data/R03_cyber_jousei.pdf〔2022/5/16 確認〕※ 20-2「情報セキュリティ白書 2021」（https://www.ipa.go.jp/security/
publications/hakusyo/2021.html〔2022/5/16 確認〕）の「1.1.2（3）フィッシングによる被害」（p.13）
参照。
※ 20-3 JC3：フィッシングターゲットの変 遷 https://www.jc3.or.jp/
threats/topics/article-430.html〔2022/5/16 確認〕※ 20-4 トレンドマイクロ社：2021 年年間セキュリティラウンドアップ
https://resources.trendmicro.com/jp-docdownload-form-m449web-2021-annualsecurityreport.html〔2022/5/16 確認〕※ 21 https://www.ipa.go.jp/security/event/2013/isec-semi/
documents/2013videosemi_targeted_cyber_attacks_v1.pdf〔2022/
4/18 確認〕※ 22 ファイルレスマルウェア：ウイルス本体をディスクドライブ上に直接格納せず、悪意あるコードを PowerShell 等のツールに読み込ませることで、メモリ上で実行・動作するタイプのウイルスのこと。
※ 23 ITmedia NEWS：ベラルーシのハクティビスト、ロシア軍阻止目的
で 国 鉄 にランサムウェア 攻 撃と声 明 https://www.itmedia.co.jp/
news/articles/2201/25/news080.html〔2022/4/18 確認〕※ 24 JPCERT/CC：JPCERT/CC インシデント報告対応レポート［2021
年 7 月 1 日 ～ 2021 年 9 月 30 日 ］ https://www.jpcert.or.jp/pr/
2021/IR_Report20211014.pdf〔2022/4/18 確認〕※ 25 JPCERT/CC：短縮 URL から VBScript をダウンロードさせるショー
トカットファイルを用いた攻撃 https://blogs.jpcert.or.jp/ja/2019/07/
shorten_url_lnk.html〔2022/4/18 確認〕※ 26 NTT セキュリティ株式会社：標的型攻撃グループ CryptoMimic の
攻 撃 手 法の変 化について https://insight-jp.nttsecurity.com/post/
102gpur/cryptomimic〔2022/4/18 確認〕※ 27 三菱電機株式会社：不正アクセスによる個人情報と企業機密の流
出 可 能 性について https://www.mitsubishielectric.co.jp/news/
2020/0120-b.pdf〔2022/4/18 確認〕※ 28 三菱電機株式会社：不正アクセスによる個人情報と企業機密の流出可能性について（第 3 報） http://www.mitsubishielectric.co.jp/
news/2020/0212-b.pdf〔2022/4/18 確認〕※ 29 防衛省：三菱電機株式会社に対する不正アクセスによる安全保障
上の影 響に関する調 査 結 果について https://www.mod.go.jp/j/press/news/2021/12/24c.pdf〔2022/4/18 確認〕※ 30 三菱電機株式会社：不正アクセスによる個人情報と企業機密の流出可能性について（第 4 報） http://www.mitsubishielectric.co.jp/
news/2021/1224.pdf〔2022/4/18 確認〕※ 31 https://piyolog.hatenadiary.jp/entry/2020/01/20/172436〔2022/4/18 確認〕※ 32 報道によると Trend Micro ウイルスバスター法人向け製品の脆弱性を悪用されたとのこと。当時は未公開であったが、2022 年時点では修正パッチが提供されている。
ZDNet：Two Trend Micro zero-days exploited in the wild byhackers https://www.zdnet.com/article/two-trend-micro-zero〔2022/4/18 確認〕days-exploited-in-the-wild-by-hackers/※ 33 TechCrunch：US says Iran-backed hackers are now targetingorganizations with ransomware https://techcrunch.com/2021/
11/17/cisa-iran-hackers-ransomware/〔2022/4/18 確認〕
Security Affairs：China-linked APT used Pulse Secure VPN zeroday to hack US defense contractors https://securityaffairs.co/
wordpress/117060/apt/pulse-secure-vpn-zeroday-attacks.html〔2022/4/18 確認〕※ 34 IPA：情 報セキュリティ白 書 2021 https://www.ipa.go.jp/
security/publications/hakusyo/2021.html〔2022/4/18 確認〕※ 35 Cybersecurity and Infrastructure Security Agency（CISA）：
FBI-CISA Joint Advisory on Exploitation of Fortinet FortiOS
Vulnerabilities https://www.cisa.gov/uscert/ncas/currentactivity/2021/04/02/fbi-cisa-joint-advisory-exploitation-fortinetfortios〔2022/4/18 確認〕※ 36 IPA：IPA 脆弱性対策コンテンツリファレンス https://www.ipa.
go.jp/files/000051352.pdf〔2022/4/18 確認〕※ 37 INTERNET Watch：カスペルスキー、マルウェア「LODEINFO」の亜種が観測されたと発表 https://internet.watch.impress.co.jp/
docs/news/1374019.html〔2022/4/18 確認〕※ 38 シスコシステムズ合同会社：侵害された Web サイトを使用した新しいキャン ペーンで ObliqueRAT が 復 活 https://gblogs.cisco.com/
jp/2021/03/talos-obliquerat-new-campaign/〔2022/4/18 確認〕※ 39 一般社団法人日本コンピュータセキュリティインシデント対応チーム
協 議 会：What's CSIRT？ https://www.nca.gr.jp/imgs/CSIRT.pdf〔2022/4/18 確認〕※ 40 IPA：【注意喚起】事業継続を脅かす新たなランサムウェア攻撃について https://www.ipa.go.jp/security/announce/2020-ransom.html〔2022/4/18 確認〕※ 41 株 式 会 社 FFRI セキュリティ：標 的 型ランサムウェアの脅 威
https://www.ffri.jp/blog/2020/06/2020-06-29-Targetedransomware-threat.htm〔2022/4/18 確認〕※ 42 株式会社カスペルスキー：ランサムウェアを操る脅迫犯、盗んだデー
タを公開 https://blog.kaspersky.co.jp/ransomware-data-disclosure/26862/〔2022/4/18 確認〕※ 43 NISC：ランサムウエアによるサイバー攻撃について【注意喚起】
https://www.nisc.go.jp/pdf/policy/infra/ransomware20201126.pdf〔2022/4/18 確認〕※ 44 警察庁：令和３年におけるサイバー空間をめぐる脅威の情勢等につい て https://www.npa.go.jp/publications/statistics/cybersecurity/
data/R03_cyber_jousei.pdf〔2022/4/18 確認〕※ 45 日本経済新聞：ハッカーに狙われたトヨタの部品 小島プレスがなぜ https://www.nikkei.com/article/DGXZQOUC0319Y0T00C22

64

情報セキュリティ白書

65

1

情報セキュリティインシデント・脆弱性の現状と対策〔2022/4/18 確認〕※ 61 INTERPOL：More than 1,000 arrests and USD 27 million
intercepted in massive financial crime crackdown https://www.
interpol.int/News-and-Events/News/2021/More-than-1-000arrests-and-USD-27-million-intercepted-in-massive-financial-crimecrackdown〔2022/4/18 確認〕※ 62 INTERPOL：Nigerian cybercrime fraud: 11 suspects
arrested, syndicate busted https://www.interpol.int/News-andEvents/News/2022/Nigerian-cybercrime-fraud-11-suspects〔2022/4/18 確認〕
arrested-syndicate-busted※ 63 The Record： US arrests 33 BEC scammers linked to
Nigerian crime syndicate https://therecord.media/us-arrests-33bec-scammers-linked-to-nigerian-crime-syndicate/〔2022/4/18 確認〕※ 64 Europol：106 arrested in a sting against online fraudsters
https://www.europol.europa.eu/newsroom/news/106-arrested-in〔2022/4/18 確認〕
sting-against-online-fraudsters※ 65 株式会社ビジョナリーホールディングス：当社子会社における資金流出事案の発生並びに特別損失の計上に関するお知らせ https://
ssl4.eir-parts.net/doc/9263/tdnet/2092784/00.pdf〔2022/5/19
確認〕※ 66 加賀電子株式会社：当社米国子会社における資金流出事案について https://www.taxan.co.jp/jp/ir/upload_file/tdnrelease/8154_
20210319481006_P01_.pdf〔2022/4/18 確認〕※ 67 dongA.com：KAI, 해커 일당에 16 억원‘피싱사기’당해…“후속조치 협조” https://www.donga.com/news/Society/article/all/202
10618/107504131/1/〔2022/4/18 確認〕※ 68 KNUJ Radio：City of Redwood Falls victim of bank wire
scam over fire truck; funds recovered https://knuj.net/2021/
06/19/city-of-redwood-falls-victim-of-bank-wire-scam-over-firetruck-funds-recovered/〔2022/4/18 確認〕※ 69 https://www.ipa.go.jp/files/000090633.pdf〔2022/4/18 確認〕※ 70 https://www.ipa.go.jp/files/000092808.pdf〔2022/4/18 確認〕※ 71 https://www.ipa.go.jp/files/000094117.pdf〔2022/4/18 確認〕※ 72 https://www.ipa.go.jp/files/000095766.pdf〔2022/4/18 確認〕※ 73 IPA：ビジネスメール詐欺「BEC」に関する事例と注意喚起
https://www.ipa.go.jp/files/000058478.pdf〔2022/4/18 確認〕※ 74 IPA：【注意喚起】偽口座への送金を促す“ビジネスメール詐欺”の手口（続報） https://www.ipa.go.jp/security/announce/201808-bec.
html〔2022/4/18 確認〕※ 75 Agari：Cosmic Lynx: A Russian Threat Hits the BEC Scene
https://www.agari.com/email-security-blog/cosmic-lynx-russian〔2022/4/18 確認〕
bec/※ 76 JPCERT/CC：ビジネスメール詐欺の実態調査報告 https://www.jpcert.or.jp/research/BEC-survey.html〔2022/4/18 確認〕
株式会社マクニカ：ビジネスメール詐欺の実態と対策アプローチ 第 1 版
https://www.macnica.net/security/report_02.html〔2022/4/18 確認〕
PwC：Business-Email-Compromise-Guide https://github.com/
PwC-IR/Business-Email-Compromise-Guide/blob/main/PwCBusiness_Email_Compromise-Guide.pdf〔2022/4/18 確認〕※ 77 Microsoft 社：侵害された電子メールアカウントへの対応 https://
docs.microsoft.com/ja-jp/microsoft-365/security/office-365security/responding-to-a-compromised-email-account?view=o365worldwide〔2022/4/18 確認〕
Microsoft 社：アカウントが侵害されたかどうかを Office 365 する方法
https://docs.microsoft.com/ja-jp/office365/troubleshoot/sign-in/
determine-account-is-compromised〔2022/4/18 確認〕
FireEye：Obscured by Clouds：Office 365 攻撃の洞察と MandiantManaged Defense の 調 査 方 法 https://www.fireeye.com/blog/
jp-threat-research/2020/07/insights-into-office-365-attacks-andhow-managed-defense-investigates.html〔2022/4/18 確認〕
Google LLC：ハッキングまたは不正使用された Google アカウントを保護する https://support.google.com/accounts/answer/6294825?hl=
ja〔2022/4/18 確認〕※ 78 NetScout Systems, Inc.：ISSUE 7: FINDINGS FROM 1H
2021 NETSCOUT THREAT INTELLIGENCE REPORT https://www.netscout.com/sites/default/files/2021-10/SECIG_015_EN2101-Threat_Report_SP_Infographic.pdf〔2022/4/18 確認〕※ 79 株 式 会 社カスペルスキー：＜ Kaspersky サイバー脅 威 調 査：2020 年 第 2 四 半 期の DDoS 攻 撃＞新 型コロナウイルスの流 行 下、
DDoS 攻撃数は前年同期比の 3 倍に。 人々の外出機会の減少が影響
https://www.kaspersky.co.jp/about/press-releases/2020_vir18092020〔2022/4/18 確認〕※ 80 UDP（User Datagram Protocol）：インターネットで標準的に使われているプロトコルの一種。接続のチェックが不要なコネクションレスなサービスに利用される。

第 章

A3000000/〔2022/4/18 確認〕※ 46 トレンドマイクロ社：闇市場とサイバー犯罪：「RaaS」ランサムウェ
ア の サ ー ビ ス 化 https://blog.trendmicro.co.jp/archives/17416〔2022/4/18 確認〕※ 47 トレンドマイクロ社 : ランサムウェア「Cring」の被害が国内で拡大、VPN 脆 弱 性を 狙 い 侵 入 https://blog.trendmicro.co.jp/archives/
27830〔2022/4/18 確認〕※ 48 ESET：ESET サイバーセキュリティ脅威レポート 2021 年第 2 三
半期版を公開 ～侵入口として悪用される RDP/ オリンピック期間中の動向
も～ https://www.eset.com/jp/blog/threat-report/2021-t2/〔2022/
4/18 確認〕※ 49 NHK：病院がサイバー攻撃を受けたとき 消えた電子カルテの衝撃
https://www3.nhk.or.jp/news/special/sci_cul/2021/11/
special/story_20211119〔2022/4/18 確認〕
MBS：サイバー攻撃と戦った公立病院の 2 か月間『電子カルテが暗号化』
過 去の検 査 結 果も病 歴もわからず ... 手 書き対 応にも苦 労 https://www.mbs.jp/4chantv/news/kodawari/article/2022/01/087200.
shtml〔2022/4/18 確認〕
MBS：【特集】サイバー攻撃と戦った公立病院の２か月間『電子カルテが暗号化』過去の検査結果も病歴もわからず ... 手書き対応にも苦労（2021 年
1 月 6 日） https://www.youtube.com/watch?v=eb8RLIIaBn4〔2022/
4/18 確認〕
MBSD：ランサムウェア「LockBit2.0」の内部構造を紐解く https://www.mbsd.jp/research/20211019/blog/〔2022/4/18 確認〕
日本経済新聞：身代金払わず 2 億円で新システム 徳島サイバー被害病院 https://www.nikkei.com/article/DGXZQOUE25C3L0V21
C21A1000000/〔2022/4/18 確認〕※ 50 株式会社ニップン：ウィルス攻撃感染被害によるシステム障害発生のお知らせ https://www.nippn.co.jp/topics/detail/__icsFiles/afiel
dfile/2021/07/09/20210709system.pdf〔2022/4/18 確認〕
株式会社ニップン：システム障害発生のお知らせ（続報） https://www.
nippn.co.jp/topics/detail/__icsFiles/afieldfile/2021/08/16/
20210816.pdf〔2022/4/18 確認〕
株式会社ニップン：2022 年 3 月期第 1 四半期報告書の提出期限延長に関する承認申請書提出のお知らせ https://www.nikkei.com/nkd/
disclosure/tdnr/d2a0bf/〔2022/4/18 確認〕
ITmedia NEWS：ニップン、前例ないサイバー攻撃で延期した 1Q 決算
は増 収 増 益に 影 響は「 引き続き調 査 中 」 https://www.itmedia.
co.jp/news/articles/2110/29/news202.html〔2022/4/18 確認〕
ITmedia NEWS：日本の製粉大手に「前例ない」大規模攻撃 大量デー
タ暗号化 起動不能、バックアップもダメで「復旧困難」 https://www.
itmedia.co.jp/news/articles/2108/17/news121.html〔2022/4/18
確認〕※ 51 NTT Com DD 株式会社：予測不能に進化し続けるネットワークの脅威 – 最近のランサムウェアとマルウェアはどんなもの？ https://nttcdd.
jp/blog/2107/〔2022/4/18 確認〕※ 52 トレンドマイクロ社：ランサムウェア攻撃後に予期される身代金交渉の 実 状 を 解 説 https://blog.trendmicro.co.jp/archives/30035〔2022/4/18 確認〕※ 53 Avast Software s.r.o.：Magnitude Exploit Kit: Still Alive andKicking https://decoded.avast.io/janvojtesek/magnitude-exploitkit-still-alive-and-kicking/〔2022/4/18 確認〕※ 54 Gigazine：ランサムウェア入り USB メモリを送りつける詐欺が増加
中、データを暗号化して使用不能にし元に戻すための身代金を要求する手
口 https://gigazine.net/news/20220111-cyber-criminalsmailing-usb-drives-ransomware/〔2022/4/18 確認〕※ 55 IRM：業務で使用する文書ファイル等を暗号化し、閲覧や編集等を制限する仕組み。
※ 56 JPCERT/CC：インシデントハンドリングマニュアル https://www.
jpcert.or.jp/csirt_material/files/manual_ver1.0_20211130.pdf〔2022/
4/18 確認〕※ 57 JPCERT/CC：CSIRT：侵入型ランサムウェア攻撃を受けたら読む
FAQ https://www.jpcert.or.jp/magazine/security/ransom-faq.html〔2022/4/18 確認〕※ 58 被害金額については、2015 ～ 2021 年の年次報告書（IC3：Annual Reports https://www.ic3.gov/Home/AnnualReports〔2022/4/18 確認〕）を参照した。
※ 59 トレンドマイクロ社：電子メールサービスの特性を悪用する様々なビ
ジ ネスメー ル 詐 欺 の 手 口 を 解 説 https://blog.trendmicro.co.jp/
archives/29272〔2022/4/18 確認〕
日本 経 済 新 聞：ビジネスメール詐 欺が 急 増、トレンドマイクロ調べ
https://www.nikkei.com/article/DGXZQOUC09CGM0Z01C21
A2000000/〔2022/4/18 確認〕※ 60 APWG：Phishing Activity Trends Reports 2nd Quarter 2021
https://docs.apwg.org/reports/apwg_trends_report_q2_2021.pdf

2022

※ 81 Microsoft 社：Azure DDoS Protection—2021 Q3 and Q4
DDoS attack trends https://azure.microsoft.com/en-us/blog/
azure-ddos-protection-2021-q3-and-q4-ddos-attack-trends/〔2022/4/18 確認〕※ 82 CDN（Content Delivery Network）：Web コンテンツを配信するために最適化されたネットワーク。オリジナルの Webコンテンツを格納するサーバである「オリジンサーバ」、代理で Web コンテンツを配信する「キャッシュサーバ」などから構成される。
※ 83 INTERNET Watch：オリンピック開始後、DDoS 攻撃が 10 倍超に増加。Cloudflare がトラフィック動向を発表 https://internet.watch.
impress.co.jp/docs/news/1341736.html〔2022/4/18 確認〕※ 84 GIGAZINE：史上最大規模の DDoS 攻撃を行う「Mēris ボットネット」が出現 https://gigazine.net/news/20210910-meris-botnet/〔2022/
4/18 確認〕※ 85 Mirai：IoT 機器に感染してボットネットを構成し、サイバー攻撃に悪用するウイルス。2016 年に史上最大規模の DDoS 攻撃を引き起こした。
ソースコードが公開されていたため、様々な亜種が出現している。
※ 86 Cloudflare, Inc.：Cloudflare が 1720 万 RPS（記録上最大規模）の DDoS 攻 撃を防 御 https://blog.cloudflare.com/ja-jp/cloudflarethwarts-17-2m-rps-ddos-attack-the-largest-ever-reported-ja-jp/〔2022/4/18 確認〕※ 87 トレンドマイクロ社：2021 年年間セキュリティラウンドアップ
https://resources.trendmicro.com/jp-docdownload-form-m449web-2021-annualsecurityreport.html〔2022/4/19 確認〕※ 88 SQL インジェクション：SQL 文の組み立てにおいて、利用者からの入力情報を基に細工された SQL 文を埋め込まれると、データベースを不正に操作されてしまう脆弱性。
※ 89 SonicWall, Inc.：CONFIRMED ZERO-DAY VULNERABILITY
IN THE SONICWALL SMA100 BUILD VERSION 10.X https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2021-0001〔2022/4/19 確認〕※ 90 FBI：CU-000154-MW: Fivehands-HelloKitty FLASH Cord
Final (002) https://www.ic3.gov/Media/News/2021/211029.pdf〔2022/4/19 確認〕※ 91 Pulse Secure, LLC.：SA44784 - 2021-04: Out-of-Cycle
Advisory: Multiple Vulnerabilities Resolved in Pulse Connect
Secure 9.1R11.4 https://kb.pulsesecure.net/articles/Pulse_
Secure_Article/SA44784/〔2022/4/19 確認〕※ 92 JPCERT/CC：Pulse Connect Secure の脆弱性（CVE-202122893）に関する注 意 喚 起 https://www.jpcert.or.jp/at/2021/
at210019.html〔2022/4/19 確認〕※ 93 Web シェル：Web サーバに不正にアップロードされるバックドアプロ
グラム。
※ 94 Palo Alto Networks, Inc.：ランサムウェアギャング REvil：Kaseya
VSA 攻 撃 の 背 後にいる攻 撃グループを理 解する https://unit42.
paloaltonetworks.jp/revil-threat-actors/〔2022/4/19 確認〕※ 95 Microsoft 社：Microsoft Exchange Server Vulnerabilities
Mitigations – updated March 15, 2021 https://msrc-blog.
microsoft.com/2021/03/05/microsoft-exchange-servervulnerabilities-mitigations-march-2021/〔2022/4/19 確認〕※ 96 Microsoft 社：April 2021 Update Tuesday packages now
available https://msrc-blog.microsoft.com/2021/04/13/april2021-update-tuesday-packages-now-available/〔2022/4/19 確認〕※ 97 Volexity：Operation Exchange Marauder: Active Exploitationof Multiple Zero-Day Microsoft Exchange Vulnerabilities https://www.volexity.com/blog/2021/03/02/active-exploitation-of〔2022/4/19 確認〕
microsoft-exchange-zero-day-vulnerabilities/※ 98 ゼロデイ：脆弱性が発見・報告された日から、その脆弱性を解消するための手段が確立するまでの期間のこと。
※ 99 Forescout Technologies, Inc.：NAME:WRECK https://www.forescout.com/research-labs/namewreck/〔2022/4/19 確認〕※ 100 TCP/IP スタック：IoT 機器のファームウェア等に追加されるネット
ワーク機能を提供するためのライブラリ。
※ 101 Forescout Technologies, Inc.：NAME:WRECK: Breaking
and fixing DNS implementations https://www.forescout.com/
resources/namewreck-breaking-and-fixing-dns-implementations/〔2022/4/19 確認〕※ 102 https://jvndb.jvn.jp/〔2022/4/19 確認〕※ 103 IPA：
【注意喚起】特定の組織からの注文連絡等を装ったばらまき型メールに注意 https://www.ipa.go.jp/security/topics/alert271009.
html〔2022/4/18 確認〕※ 104 Europol：World's most dangerous malware EMOTET
disrupted through global action https://www.europol.europa.eu/
media-press/newsroom/news/world's-most-dangerous-malwareemotet-disrupted-through-global-action〔2022/4/18 確認〕※ 105 IPA：
「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて https://www.ipa.go.jp/security/announce/20191202.
html〔2022/4/18 確認〕
JPCERT/CC：マルウェア Emotet の感染再拡大に関する注意喚起
https://www.jpcert.or.jp/at/2022/at220006.html〔2022/4/18 確認〕※ 106 IPA：サイバー情報共有イニシアティブ（J-CSIP）運用状況［2018年 10 月～ 12 月］ https://www.ipa.go.jp/files/000071273.pdf〔2022/4/18 確認〕※ 107 JPCERT/CC：マルウエア Emotet の感染活動について https://www.jpcert.or.jp/newsflash/2019112701.html〔2022/4/18 確認〕※ 108 https://www.med.or.jp/nichiionline/article/010228.html〔2022/4/18 確認〕※ 109 Mal-Eats：日本を狙う新たな攻撃キャンペーン Campo の全体像
https://mal-eats.net/2021/05/10/campo_new_attack_campaign_
targeting_japan/〔2022/4/18 確認〕※ 110 IPA：サイバー情報共有イニシアティブ（J-CSIP）運用状況［2021年 7 月～ 9 月］ https://www.ipa.go.jp/files/000094117.pdf〔2022/
4/18 確認〕
デジタルアーツ株式会社：見慣れない XLL ファイル（Excel アドイン）を使う
攻撃に要注意！ https://www.daj.jp/webtopics/102/〔2022/4/18
確認〕※ 111 IPA:「Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて https://www.ipa.go.jp/security/announce/20191202.
html〔2022/4/18 確認〕※ 112 BleepingComputer：Microsoft fixes Windows AppX Installer
zero-day used by Emotet https://www.bleepingcomputer.com/
news/Microsoft/Microsoft-fixes-windows-appx-installer-zero-dayused-by-emotet/〔2022/4/18 確認〕※ 113 IPA：安心相談窓口だより 宅配便業者に加えて通信事業者をかたる偽ショートメッセージサービス（SMS）が増加中 https://www.ipa.
go.jp/security/anshin/mgdayori20211222.html〔2022/4/18 確認〕※ 114 https://www.jc3.or.jp/threats/examples/article-409.html〔2022/4/18 確認〕※ 115 IPA：安心相談窓口だより 安易に運転免許証など本人確認書
類の写 真を送 信しないで！ https://www.ipa.go.jp/security/anshin/mgdayori20210623.html〔2022/4/18 確認〕※ 116 NTTドコモ：フィッシング詐欺を未然に防ぐ「危険 SMS 拒否設定」の 提 供を開 始 ＜ 2022 年 1 月 13 日＞ https://www.nttdocomo.
co.jp/info/news_release/2022/01/13_00.html〔2022/4/18 確認〕
NTTドコモ：SMS 拒否設定 https://www.docomo.ne.jp/info/spam_
mail/sms/〔2022/4/18 確認〕※ 117 KDDI 株式会社：迷惑メッセージブロック機能を au・UQ mobile・
povo 向 け に 提 供 https://news.kddi.com/kddi/corporate/
newsrelease/2022/03/16/5928.html〔2022/4/18 確認〕※ 118 ソフトバンク株 式 会 社：迷 惑 SMS 対 策 機 能を提 供 開 始
https://www.softbank.jp/corp/news/press/sbkk/2022/
20220113_02/〔2022/4/18 確認〕※ 119 厚生労働省：新型コロナウイルスワクチンの接種の実施について
https://www.mhlw.go.jp/stf/newpage_16799.html〔2022/4/18
確認〕※ 120 IPA
（情報セキュリティ安心相談窓口 Twitter アカウント）：https://twitter.com/IPA_anshin/status/1432190641866358784〔2022/
4/18 確認〕※ 121 厚生労働省：新型コロナウイルスを題材とした攻撃メールについて
https://www.mhlw.go.jp/stf/newpage_09393.html〔2022/4/18
確認〕※ 122 厚生労働省：新型コロナワクチン接種の予約を案内する怪しいメー
ルに注意！－国がコロナワクチン接種に関連して金銭やクレジットカード番号を求めることはありません－ https://www.kokusen.go.jp/news/data/n-20210902_7.html〔2022/4/18 確認〕※ 123 https://www.antiphishing.jp/news/alert/kyufukin_20210824.html〔2022/4/18 確認〕※ 124 総務省：特別定額給付金の給付を騙ったメールに対する注意喚起
https://www.soumu.go.jp/menu_kyotsuu/important/kinkyu02_
000438.html〔2022/4/18 確認〕※ 125 IPA：安心相談窓口だより 偽のセキュリティ警告に表示された番号 に 電 話をかけないで！ https://www.ipa.go.jp/security/anshin/mgdayori20211116.html〔2022/4/18 確認〕※ 126 朝日新聞：PC 画面に「ウイルス感染」偽の警告…「サポート詐欺」
容 疑 で 初 逮 捕 https://www.asahi.com/articles/ASQ1L3G76Q1
LUTIL001.html〔2022/4/18 確認〕※ 127 独立行政法人国民生活センター：全国の消費生活センター等
http://www.kokusen.go.jp/map/〔2022/4/18 確認〕※ 128 Microsoft 社：テクニカル サポート詐欺から身を守る https://
support.microsoft.com/ja-jp/windows/ テクニカル - サポート詐欺から身66

情報セキュリティ白書

67

1

情報セキュリティインシデント・脆弱性の現状と対策に関するお詫びとお知らせ https://www.be-s.co.jp/notice/4168〔2022/4/20 確認〕※ 147 株式会社ヨシハラシステムズ：弊社が運営する「せんたく便」への不正アクセスによる個人情報流出に関するお詫びとお知らせ https://www.sentakubin.co.jp/news/20210405.html〔2022/4/20 確認〕※ 148 https://www.ipa.go.jp/security/vuln/documents/2008/
200805_SQLinjection.html〔2022/4/20 確認〕【注意喚起】SQL インジェクションをはじめとしたウェブサイトの※ 149 IPA：
脆弱性の再点検と速やかな改修を https://www.ipa.go.jp/security/
announce/website_vuln.html〔2022/4/20 確認〕※ 150 https://www.ipa.go.jp/files/000017319.pdf〔2022/4/20
確認〕※ 151 https://www.ipa.go.jp/security/vuln/websecurity.html〔2022/4/20 確認〕※ 152 日本サブウェイ合同会社：サーバー不正アクセスのご報告（2）
https://origin.subway.co.jp/upload/press/f28005a86357b259abf
e324a355631e7f8f8f1a2.pdf〔2022/4/20 確認〕
日本サブウェイ合同会社：サーバー不正アクセスのご報告（3） https://www.subway.co.jp/press/year2021/news2582/〔2022/4/20 確認〕※ 153 ランドブレイン株式会社：弊社サーバーのウイルス感染及び情報流出に関する調査結果のご報告 https://www.landbrains.co.jp/hp/
doc/210519.pdf〔2022/4/20 確認〕※ 154 Security NEXT：不正アクセス被害のランドブレイン、調査結果を公表 - ランサムウェアは「Cring」 https://www.security-next.com/
126310〔2022/4/20 確認〕※ 155 株式会社オリエンタルコンサルタンツホールディングス：ランサムウェ
ア攻撃に関するご報告 https://www.oriconhd.jp/files/information/
news20211008_01.pdf〔2022/4/20 確認〕※ 156 市原市：委託事業者のサーバーへの不正アクセスについて（調査
結果のお知らせ） https://www.city.ichihara.chiba.jp/article?articleI
d=6170b83e910de2089661fe84〔2022/4/20 確認〕
市川市：本市の業務委託先の業者のサーバーがサイバー攻撃を受けた件について https://www.city.ichikawa.lg.jp/sys07/0000373622.
html〔2022/4/20 確認〕
東京都総務局：委託業務受託者のサーバーに対するサイバー攻撃について https://www.metro.tokyo.lg.jp/tosei/hodohappyo/press/
2021/09/01/01.html〔2022/4/20 確認〕
東京都港湾局：委託業務受託者へのサイバー攻撃について https://www.metro.tokyo.lg.jp/tosei/hodohappyo/press/2021/09/01/14.
html〔2022/4/20 確認〕
東京都建設局：委託業務受託者へのサーバー攻撃について https://www.metro.tokyo.lg.jp/tosei/hodohappyo/press/2021/09/01/13.
html〔2022/4/20 確認〕
東 京 都 都 市 整 備 局：委 託 業 務 受 託 者へのサイバー攻 撃について
https://www.metro.tokyo.lg.jp/tosei/hodohappyo/press/2021/
09/01/15.html〔2022/4/20 確認〕
東京都下水道局：委託業務受託者へのサイバー攻撃について https://www.metro.tokyo.lg.jp/tosei/hodohappyo/press/2021/09/03/04.
html〔2022/4/20 確認〕
東京都水道局：業務受託者へのサイバー攻撃について https://www.
metro.tokyo.lg.jp/tosei/hodohappyo/press/2021/09/03/01.html〔2022/4/20 確認〕
葛飾区：令和 3 年 8 月に発生した本区業務委託事業者へのサイバー攻撃について（令和 4 年 3 月更新） https://www.city.katsushika.lg.jp/
information/kouho/1005542/1026867.html〔2022/4/20 確認〕
埼玉県：本県業務委託事業者へのサイバー攻撃について https://www.pref.saitama.lg.jp/a1002/news/page/news20210826.html〔2022/4/20 確認〕
群馬県：【9 月 3 日】本県業務委託事業者へのサイバー攻撃について（建設企画課） https://www.pref.gunma.jp/houdou/h81g_00043.html〔2022/4/20 確認〕
滋賀県：本県業務委託事業者へのサイバー攻撃について https://www.pref.shiga.lg.jp/kensei/koho/e-shinbun/oshirase/320910.html〔2022/4/20 確認〕
倉敷市：本市の業務委託（依頼）業者が受けたサイバー攻撃に関する調査状況について https://www.city.kurashiki.okayama.jp/item/142781.
htm#itemid142781〔2022/4/20 確認〕※ 157 株式会社オリエンタルコンサルタンツホールディングス：特別損失の計上及び業績予想の修正に関するお知らせ https://www.oriconhd.
jp/files/information/news20210917_01.pdf〔2022/4/20 確認〕※ 158 富士通株式会社：プロジェクト情報共有ツールへの不正アクセスについて（第五報） https://pr.fujitsu.com/jp/news/2022/03/7-1.
html〔2022/4/20 確認〕
富士通株式会社：プロジェクト情報共有ツールへの不正アクセスについて（第四報） https://pr.fujitsu.com/jp/news/2021/12/9-1.html〔2022/

第 章を守る-2ebf91bd-f94c-2a8a-e541-f5c800d18435〔2022/4/18 確認〕※ 129 自動継続課金：ここでは「一定の利用期間ごとに定額を支払う料
金方式、かつ、利用契約が自動更新される方式」を指す。なお、「一定の利用期間ごとに定額を支払う料金方式」は、Android では「定期購入」、
iPhone では「サブスクリプション」と呼ばれる。
※ 130 IPA：安心相談窓口だより ブラウザの通知機能から不審サイトに
誘 導 する手 口 に 注 意 https://www.ipa.go.jp/security/anshin/mgdayori20210309.html〔2022/4/18 確認〕※ 131 ブラウザの通知機能：ウェブサイトからブラウザを通じて画面上に配信されるプッシュ型の通知サービス。2021 年 3 月 9 日現在、iOS 端末（iPhone、iPad 等）にはブラウザ通知機能は搭載されていない。
※ 132 reCAPTCHAv2：reCAPTCHA とは、アクセスしているのが機械でなく人間であることの判別をするための認証機能。reCAPTCHA v2 はGoogle が提供する CAPTCHA（キャプチャ）認証システムの名称。
※ 133 https://www.mcafee.com/ja-jp/consumer-support/help/
support/block-fake-alert.html〔2022/4/18 確認〕※ 134 https://www.mcafee.com/ja-jp/consumer-support/help/
common-faq.html?culture=ja-jp&id=commonFAQ〔2022/4/18 確認〕「間違って購入してしまいました。払い戻しの方法を教えてください。」
を参照。
※ 135 東京商工リサーチ社：上場企業の個人情報漏えい・紛失事故は、調査開始以来最多の 137 件 574 万人分（2021 年） https://www.
tsr-net.co.jp/news/analysis/20210117_01.html〔2022/4/20 確認〕※ 136 東京商工リサーチ社：「上場企業の個人情報漏えい・紛失事故」調査（2020 年） https://www.tsr-net.co.jp/news/analysis/20210115_
01.html〔2022/4/20 確認〕※ 137 株式会社ネットマーケティング：不正アクセスによる会員様情報流
出の調 査 結 果と今 後の対 応について https://www.net-marketing.
co.jp/news/6001/〔2022/4/20 確認〕※ 138-1 森永製菓株式会社：不正アクセス発生による個人情報流出の可能性のお知らせとお詫び https://www.morinaga.co.jp/company/
newsrelease/detail.php?no=2178〔2022/4/20 確認〕※ 138-2 弊社公式オンラインショップへの不正アクセスによる個人情報流出に関するお詫びとご報告 https://biz.right-on.co.jp/news/topics/
1104-2.php〔2022/5/19 確認〕※ 139 株式会社リニカル：不正アクセスに伴う原因究明のためのサーバーの一時停止措置に関するお詫びとご報告 https://www.linical.co.jp/
news/7ca5d9e93f2674a92830d2dec379d16d1d67f170.pdf〔2022/4/20 確認〕
株式会社リニカル：不正アクセスによる個⼈情報等流出の可能性に関するお知らせとお詫び https://www.linical.co.jp/news/17705e29046
d75409e91d377bb1410558f8e6e21.pdf〔2022/4/20 確認〕※ 140 株式会社ユピテル：My Yupiteru 会員様情報の一部流出のお詫
びとお知らせ https://www.yupiteru.co.jp/corp/important/210607.
html〔2022/4/20 確認〕※ 141 株式会社メタップスペイメント：不正アクセスによる情報流出に関するご 報 告とお 詫 び https://www.metaps-payment.com/company/
20220228.html〔2022/4/20 確認〕※ 142 コンディショニングジム GOING：【重要】会費ペイによるクレジット
決 済 停 止 のお知らせ https://www.facebook.com/cggoing/posts/
3237118433079143〔2022/5/19 確認〕
子どもの発達支援を考える ST の会：「会費徴収システムの情報漏洩に関するご報 告 」 https://www.kodomost.jp/announce/kaihipay.pdf〔2022/4/20 確認〕
一般社団法人日本機械学会：イベントペイ クレジットカード不正利用疑いと決 済 機 能 の 一 時 停 止 に つ いて https://www.jsme.or.jp/2021
1227-2/〔2022/4/20 確認〕
ＮＳフィットネス：【お詫び】WEB 入会時にクレジットカード決済が出来ない件について https://ns-fit-fukusaki.com/news/【お詫び】WEB 入会時にクレジットカード決済が出 〔/ 2022/4/20 確認〕
一般社団法人日本集中治療医学会：イベントペイ クレジットカード不正利
用 疑 いと決 済 機 能 の 一 時 停 止 について https://www.jsicm.org/
news/news211228.html〔2022/4/20 確認〕
有限会社アップリンク：【重要なお知らせ】オンラインチケット一部販売再開のお知らせ https://joji.uplink.co.jp/news/2022/13116〔2022/4/
20 確認〕※ 143 株式会社日能研：不正アクセスによるメールアドレス流出の可能性に関するお 詫 びとお 知らせ https://www.nichinoken.co.jp/info/
owabi/220129.html〔2022/4/20 確認〕※ 144 ロゴヴィスタ株式会社：弊社ホームページへの不正アクセスによる被害発生のお詫びとお知らせ https://www.logovista.co.jp/lverp/
information/information/emergency.html〔2022/4/20 確認〕※ 145 株式会社石橋楽器店：株式会社石橋楽器店への不正アクセスによる情 報 流 出 の 可 能 性 に関するお 詫 びとお 知らせ https://www.
ishibashi.co.jp/company/20220111.html〔2022/4/20 確認〕※ 146 ビーズ株式会社：不正アクセスによるメールアドレス流出の可能性

2022

4/20 確認〕
総務省：富士通株式会社が管理・運営するプロジェクト情報共有ツールへの不正アクセスによる情報の流出 https://www.soumu.go.jp/menu_
news/s-news/01kanbo05_02000152.html〔2022/4/20 確認〕
国土交通省：富士通株式会社が管理・運営するプロジェクト情報共有ツー
ルへの不 正アクセスによる国 土 交 通 省 関 係 情 報の流 出について
https://www.mlit.go.jp/report/press/joho02_hh_000004.html〔2022/4/20 確認〕
外務省：富士通株式会社が管理・運営するプロジェクト情報共有ツールへの不正アクセスによる情報の流出について https://www.mofa.go.jp/
mofaj/press/release/press4_009061.html〔2022/4/20 確認〕
内閣官房内閣サイバーセキュリティセンター：富士通株式会社が管理・運営するプロジェクト情報共有ツールへの不正アクセスによる情報の流出について https://www.nisc.go.jp/pdf/press/20210602NISC_press.
pdf〔2022/4/20 確認〕
NHK：成田空港 運航管理情報システムへの不正アクセス受け注意喚起
https://www3.nhk.or.jp/news/html/20210526/k1001305155
1000.html〔2022/4/20 確認〕※ 159 内閣官房内閣サイバーセキュリティセンター：プロジェクト情報共有
ツールに対する不正アクセス対策の確認 に関する政府機関等及び重要イ
ンフラ事 業 者 等への注 意 喚 起の発 出について https://www.nisc.
go.jp/pdf/press/projectist20210525.pdf〔2022/4/20 確認〕※ 160 株式会社ジーアール：「オムニＥＣシステム」一部サーバーへの不正アクセスについて https://www.grinc.co.jp/information202109.pdf〔2022/4/20 確認〕※ 161 株式会社ペイジア：弊社「ベイシアネットショッピング」委託先への不正アクセスによるお客様情報流出に関するお詫びとお知らせ https://www.beisia.co.jp/wp-content/uploads/2021/10/c9f3e8b196c27
d7f25d6e823c664f247.pdf〔2022/4/20 確認〕
サミット株式会社：弊社「サミット予約ネット」委託先への不正アクセスによるお客様情報流出に関するお詫びとお知らせ https://www.summitstore.
co.jp/20210916net.pdf〔2022/4/20 確認〕
株式会社リウボウストア：オンラインショップへの不正アクセスによる個人情
報漏えいについて https://ryubostore.jp/news_detail.html?code=65〔2022/4/20 確認〕
株式会社天満屋ストア：お客様情報の流出の可能性に関するお知らせとお詫び http://www.tenmaya-store.co.jp/assets/images/sys/2021/
09/20210916_2.pdf〔2022/4/20 確認〕
株式会社丸久：お客様情報の流出の可能性に関するお知らせとお詫び
http://www.mrk09.co.jp/ 重要なお知らせ 〔/ 2022/4/20 確認〕
株式会社マルヨシセンター：弊社が使用する「オンライン予約販売システム」
への不正アクセスによるお客様情報の流出に関するお詫びとお知らせ
https://ww2.maruyoshi-center.co.jp/upload/news/202109/２０２１
年９月１６日発信文書② .pdf
〔2022/4/20 確認〕
グラントマト株式会社：不正アクセスによる個人情報流出の可能性に関する 調 査 結 果 のご 報 告 https://www.grantomato.jp/topics/topics.
php?id=687〔2022/4/20 確認〕
株式会社杏林堂薬局：「杏林堂（公式）オンラインショップおよび「店頭予約者情報」への不正アクセスによる お客様情報漏えいに関するお詫びとお 知らせ https://www.kyorindo.co.jp/news/pdf/kyorindo_online_
news.pdf〔2022/4/20 確認〕
株式会社芝寿し：弊社「芝寿しオンラインショップ」委託先への不正アクセスによるお客 様 情 報 流 出に関するお詫びとお知らせ https://www.
online-shibazushi.com/user_data/20211130_oshirase.pdf〔2022/4/20 確認〕
株式会社アヤハディオ：弊社が運営する「アヤハディオネットショッピング」
への不正アクセスによるお客様情報漏洩に関するお詫びとお知らせ
https://www.ayahadio.jp/user_data/20211201.pdf〔2022/4/20
確認〕
沓間水産株式会社：弊社が運営する「魚がし鮨お持ち帰り予約サイト」への不 正アクセスによるお客 様 情 報 流出に関するお詫びとお知らせ
https://www.uogashizushi.co.jp/wp-content/uploads/2021/12/
sps03.pdf〔2022/4/20 確認〕※ 162 https://privacymark.jp/system/reference/pdf/2020
JikoHoukoku_211005.pdf〔2022/4/20 確認〕※ 163 日本年金機構：年金振込通知書の印刷誤りについて https://www.nenkin.go.jp/oshirase/taisetu/2021/202110/100602.html〔2022/4/20 確認〕
日本年金機構：年金振込通知書（令和 3 年 10 月定期支払）の再送付について https://www.nenkin.go.jp/oshirase/taisetu/2021/202110/
1013.html〔2022/4/20 確認〕※ 164 日本年金機構：「年金振込通知書」（令和３年１０月定期支払）の印刷誤り事案に係る検証状況報告について https://www.nenkin.
go.jp/oshirase/taisetu/2021/202112/1203.files/1203.pdf〔2022/4/20 確認〕※ 165 サンメッセ株式会社：特別損失（製品保証引当金繰入額）の計上
及び 2022 年３月期第２四半期連結累計期間の業績予想値と実績値との差 異に関するお知らせ https://www.sunmesse.co.jp/ir/news/
file/20211104155237.pdf〔2022/4/20 確認〕※ 166-1 LINE 株式会社：LINE VOOM の公開範囲の設定における不具合のお知らせとお詫び https://linecorp.com/ja/security/article/
400〔2022/4/20 確認〕【LINE Pay】一部ユーザーのキャンペーン参加※ 166-2 LINE 株式会社：に関わる情報が閲覧できる状態になっていた件のお知らせとお詫び
https://linecorp.com/ja/pr/news/ja/2021/4032〔2022/4/20 確認〕※ 167 IPA：
「企業における営業秘密管理に関する実態調査 2020」報
告 書について https://www.ipa.go.jp/security/fy2020/reports/ts_
kanri/index.html〔2022/4/20 確認〕※ 168 株式会社村田製作所：再委託先社員による不適切なデータの取り扱いについてのお知らせとお詫び https://corporate.murata.com/
ja-jp/newsroom/news/company/general/2021/0805〔2022/4/20
確認〕※ 169 カッパ・クリエイト株式会社：当社役員に対する競合会社からの告訴について https://www.kappa-create.co.jp/blog/wp-content/
uploads/2021/07/ 当社役員に対する競合会社からの告訴について_20210705.pdf〔2022/4/20 確認〕※ 170 株式会社 And Do ホールディングス：当社子会社の元従業員の不正行為について https://www.housedo.co.jp/and-do/news/2022/
20220118.html〔2022/4/20 確認〕※ 171 https://www.ipa.go.jp/security/fy24/reports/insider/〔2022/4/20 確認〕※ 172 日本郵便株式会社、株式会社ゆうちょ銀行：郵便局におけるお客さま 情 報 の 紛 失（ 調 査 結 果 ） https://www.post.japanpost.jp/
notification/pressrelease/2021/00_honsha/1215_02_01.pdf〔2022/4/20 確認〕※ 173 金 沢 信 用 金 庫：お客さま情 報の紛 失について http://www.
shinkin.co.jp/kanazawa/material/top_news/2022.1.28.pdf〔2022/
4/20 確認〕※ 174 トヨタ自動車株式会社：トヨタ販売店におけるお客様の個人情報の不 適 切な取 扱いについて https://global.toyota/jp/newsroom/
corporate/35909023.html〔2022/4/20 確認〕
トヨタ自動車株式会社：トヨタ販売店におけるお客様の個人情報の不適切な取 扱いについて https://global.toyota/jp/newsroom/corporate/
36003832.html〔2022/4/20 確認〕※ 175 株式会社 SUBARU：SUBARU 販売特約店における、お客様
情報の不適切な取り扱いについて https://www.subaru.co.jp/news/
2021_10_27_162724/〔2022/4/20 確認〕※ 176 株式会社新生銀行、新生フィナンシャル株式会社：業務委託先等への提供データに一部のお客さま情報が含まれていたことに関するお詫び https://www.shinseibank.com/corporate/news/pdf/pdf2021/
210927_personal_info_j.pdf〔2022/4/20 確認〕
株式会社新生銀行、新生フィナンシャル株式会社：業務委託先等への提供データに一部のお客さま情報が含まれていたことに関するお詫び（２）
https://www.shinseibank.com/corporate/news/pdf/pdf2021/
220127_personal_info_j.pdf〔2022/4/20 確認〕※ 177 株式会社新生銀行：お客さま情報を誤って提供したことについてのお詫びとご説明 https://www.shinseibank.com/corporate/news/
pdf/pdf2021/220127_personal_info_j.pdf〔2022/4/20 確認〕※ 178 JPCERT/CC、IPA：Japan Vulnerability Notes https://jvn.
jp/〔2022/4/19 確認〕※ 179 NIST：National Vulnerability Database https://nvd.nist.
〔2022/4/19 確認〕
gov/※ 180 公表年は、ベンダがアドバイザリを公開した年、他組織やセキュリ
ティポータルサイト等の登録／公開した年、発見者が一般向けに報告した
年 等、 脆 弱 性 対 策 情 報が 一 般に公 表された年を指す。 なお、JVN「登録年」としている。
iPedia で脆弱性対策情報を公開した年は※ 181 IPA：共通脆弱性識別子 CVE 概説 https://www.ipa.go.jp/
security/vuln/CVE.html〔2022/4/19 確認〕※ 182 The MITRE Corporation：CVE Numbering Authorities（CNA）
https://www.cve.org/ProgramOrganization/CNAs〔2022/4/19
確認〕※ 183 The MITRE Corporation：米国政府向けの技術支援や研究開発を行う非営利組織。80 を超える主要な脆弱性情報サイトと連携して、脆弱性情報の収集と、重複のない CVE の採番を行っている。
※ 184 The MITRE Corporation：CVE Adds 7 New CVE Numbering
Authorities (CNAs) https://cve.mitre.org/news/archives/2016/〔2022/4/19 確認〕
news.html※ 185 The MITRE Corporation：VulDB Added as CVE Numbering
Authority (CNA) https://www.cve.org/Media/News/item/news/
2021/12/21/VulDB-Added-as-CVE-Numbering〔2022/4/19 確認〕68

情報セキュリティ白書

69

1

情報セキュリティインシデント・脆弱性の現状と対策

IPA：更新：Apache Log4j の脆弱性対策について (CVE-2021-44228)
https://www.ipa.go.jp/security/ciadr/vul/alert20211213.html〔2022/4/18 確認〕※ 198 IPA：情報セキュリティ早期警戒パートナーシップの紹介 https://www.ipa.go.jp/files/000044731.pdf〔2022/4/18 確認〕※ 199 IPA：脆 弱 性 関 連 情 報の届 出 受 付 https://www.ipa.go.jp/
security/vuln/report/index.html〔2022/4/18 確認〕※ 200 ソフトウェア製品の取り扱い終了は、「不受理」「脆弱性でない」「脆
弱性対策情報公表済み」「公表せずに製品開発者が利用者ごとに個別で対策を実施済み」のいずれかであることを指す。Web アプリケーションの取り扱い終了は、「不受理」「脆弱性でない」「連絡不可能」「修正完了」「IPA
による注意喚起実施済み」のいずれかであることを指す。
※ 201 IPA：調整不能案件の公表判定業務における取扱いプロセス
https://www.ipa.go.jp/security/vuln/report/unreachable_process.
html〔2022/4/18 確認〕※ 202 「1.3.2 早期警戒パートナーシップの届出状況から見る脆弱性の動向」
では、「ウェブアプリケーションソフト」
は、Web サイト構築関係のソフ
トウェアを指す。これは、四半期ごとの脆弱性関連情報の届出状況のレポー
ト（IPA：脆弱性関連情報の届出状況 https://www.ipa.go.jp/security/
vuln/report/press.html〔2022/4/18 確認〕）で使用している「製品情報種類」の分野種別と同じである。
※ 203 JVN：JVN#97554111 EC-CUBE におけるクロスサイトスクリプ
ティングの 脆 弱 性 https://jvn.jp/jp/JVN97554111/index.html〔2022/4/18 確認〕※ 204 株式会社イーシーキューブ：【重要】EC-CUBE 4.0 系における緊急度「高」の脆弱性（JVN#97554111）発覚と対応のお願い（2021/
5/24 17:00 更 新 ）（2021/05/24） https://www.ec-cube.net/
news/detail.php?news_id=383〔2022/4/18 確認〕※ 205 JPCERT/CC：JPCERT/CC ベ ストレ ポ ーター 賞 2021
https://www.jpcert.or.jp/award/best-reporter-award/2021.html〔2022/4/18 確認〕※ 206 IPA：ソフトウェア等の脆弱性関連情報に関する届出状況［2018年第 4 四半期（10 月～ 12 月）］ https://www.ipa.go.jp/security/
vuln/report/vuln2018q4.html〔2022/4/18 確認〕※ 207 https://www.ipa.go.jp/security/vuln/websitecheck.html〔2022/4/18 確認〕※ 208 IPA：セキュアプログラミング講座 Web アプリケーション編 第 5 章
暴露対策 Web サーバからのファイル流出対策 https://www.ipa.go.jp/
security/awareness/vendor/programmingv2/contents/401.html〔2022/4/18 確認〕

第 章※ 186 IPA：共 通 脆 弱 性タイプ 一 覧 CWE 概 説 https://www.ipa.
go.jp/security/vuln/CWE.html〔2022/4/19 確認〕※ 187 IPA：共通脆弱性評価システム CVSS 概説 https://www.ipa.
go.jp/security/vuln/CVSS.html〔2022/4/19 確認〕※ 188 JPCERT/CC：セキュアコーディング https://www.jpcert.or.
jp/securecoding/〔2022/4/19 確認〕※ 189 Microsoft 社：Windows 11: ハイブリッド ワークと学習のためのオ
ペレーティング システム https://blogs.windows.com/japan/2021/
06/25/windows-11-the-operating-system-for-hybrid-work-andlearning/〔2022/4/19 確認〕※ 190 IPA：更 新：Apache HTTP Server の 脆 弱 性 対 策 に つ いて
(CVE-2021-41773, CVE-2021-42013) https://www.ipa.go.jp/
security/ciadr/vul/alert20211006.html〔2022/4/19 確認〕
JPCERT/CC：Apache HTTP Server のパストラバーサルの 脆 弱 性（CVE-2021-41773）に関する注意喚起 https://www.jpcert.or.jp/
at/2021/at210043.html〔2022/4/19 確認〕※ 191 NVD：CVE-2021-41773 Detail https://nvd.nist.gov/vuln/
detail/CVE-2021-41773〔2022/4/19 確認〕※ 192 NVD：CVE-2021-42013 Detail https://nvd.nist.gov/vuln/
detail/CVE-2021-42013〔2022/4/19 確認〕※ 193 Security NEXT：わずか 3 日、「Apache HTTPD」が再修正 前回修正は不十分、RCE のおそれも https://www.security-next.
com/130520〔2022/4/19 確認〕※ 194 日本経済新聞：VPN 認証情報また流出 日本は 1000 社、中小企業中心 https://www.nikkei.com/article/DGXZQOUE110A80
R10C21A9000000/〔2022/4/19 確認〕※ 195 経済産業省：「情報処理の促進に関する法律の一部を改正する法律案」が閣議決定されました https://www.meti.go.jp/press/2019/10/20191015002/20191015002.html〔2022/4/19 確認〕※ 196 「1.3.2 早期警戒パートナーシップの届出状況から見る脆弱性の動向」
では、「ソフトウェア製品」と「Web アプリケーション」
は、早期警戒パー
トナーシップにおける対象の区分を意味するものであり、特に断りのない限
り、または文献引用上の正確性を期す必要のない限り、「Web アプリケー
ション」の省略形として「Web サイト」
を使用する。
※ 197 NISC：ApacheLog4j の脆弱性 (CVE-2021-44228) に関する
注 意 喚 起 https://www.nisc.go.jp/pdf/press/20211213NISC_
press.pdf〔2022/4/18 確認〕
JPCERT/CC：Apache Log4j の任 意のコード実 行の脆 弱 性（CVE2021-44228） に 関 する注 意 喚 起 https://www.jpcert.or.jp/at/
2021/at210050.html〔2022/4/18 確認〕

2022

第2章
情報セキュリティを支える基盤の動向
2021 年度も、新型コロナウイルス感染症の蔓延が続のデジタル化が進んでいる。政府ではデジタル庁が発足いたが、日本・米国・欧州ではワクチン接種が進み、徐々し、政府の IT 基盤整備とセキュリティを統括することとに経済活動は戻りつつある。一方、2022 年 2 月にはロなった。

シアによるウクライナ侵攻が発生し、ウクライナ支援国家

本章では、情報セキュリティを支える基盤の動向としに対するサイバー攻撃や安全保障面の懸念が高まってて、国内外の主な政策、人材育成、国際標準化、各いる。

種認証制度、組織・個人における情報セキュリティの取

国内ではテレワークやオンライン会議が定着し、業務り組みの実態等について解説する。

2.1 国内の情報セキュリティ政策の状況
本節では、政府が推進する情報セキュリティ政策のいる。

状況を述べる。

年次計画では、「サイバーセキュリティ経営ガイドライン」「グループ・ガバナンス・システムに関する実務指針」等

2.1.1の普及・啓発、「取締役会の実効性評価」におけるサイ政府全体の政策動向

バーセキュリティの重要性周知等によるサイバーセキュリ

政府全体のサイバーセキュリティに関する政策は、3ティ経営の普及・実践を促進するとしている。

年ごとに改訂されている「サイバーセキュリティ戦略」に基

このうちサイバーセキュリティ経営ガイドラインの実践にづいている。更に、具体的な施策については各年度のついて、経済産業省は IPA を通じ、2021 年 8 月に「サ年次計画として策定される。本項では、2021 年 9 月にイバーセキュリティ経営可視化ツール」を公開した※ 3。ま（以
改訂・閣議決定された「サイバーセキュリティ戦略※ 1」

た、2022 年 3 月に「サイバーセキュリティ 経営ガイドライ下、戦略）で挙げられている四つの施策項目の概要と、

ン Ver2.0 実践のためのプラクティス集 第 3 版※ 4」を公

各施策項目に基づいて策定された 2021 年度の年次計

開した（「2.4.1（2）セキュリティリスクマネジメント」参照）。

画「サイバーセキュリティ2021※2」（以下、年次計画）のまた、IT やセキュリティの専門知識や業務経験を持

主な内容について述べる。

たない経営層が、セキュリティ専門家と協働するための「プラス・セキュリティ」知識を習得できる環境整備を推進（1）経済社会の活力の向上及び持続的発展～
DX with Cybersecurity の推進～するため、内閣サイバーセキュリティセンター（NISC：
National center of Incident readiness and Strategy

戦略では、経済社会のデジタル化や DX 推進の動き

for Cybersecurity）は、特に経営層や DX を推進するに併せてサイバーセキュリティ確保に向けた取り組みを同部課長向けのプログラムの普及の参考となるカリキュラ時に推進すること（DX with Cybersecurity）が重要で

5「2.3.1（3）人材育成の取り組み」
ムを作成・公開した※ （あるとしている。

参照）。

（a）
経営層の意識改革

地域・中小企業における DX with Cybersecurity（b）の推進

企業にとって、DX（デジタルトランスフォーメーション）の必要性が高まり、付加価値の高いデジタルサービスを

地域・中小企業、あるいはこれまで IT 化が進んでい生み出せることが重要な競争力になり、サイバーセキュリ

なかった業種・業態の企業でも、デジタル化や DX 推

ティ対策を前提とした DX の推進が経営者に求められて進への対応が求められ、サイバーセキュリティ対策の必70

情報セキュリティ白書

要性も増している。ところが、こうした企業ではサイバー識・能力を習得できる環境の整備が重要となり、官民にセキュリティの知見や人材等の不足、予算の確保が困よる普及啓発活動が求められる。

難等の課題がある。

NISC は、サイバーセキュリティの普及啓発や人材育省は IPA を通じ、中小企業向けにサイバーセキュリティを目的として、2021 年 9 月に、「みんなで使おうサイバー対策を安価に提供する民間のサービスのうち一定の基

セキュリティ・ポータルサイト※ 9」の正式運用を開始した。

準を満たすものに「サイバーセキュリティお助け隊サービ

このサイトは、ニーズ事例から適切な施策を選択できるス」の商標使用権を付与する制度を構築し（「2.4.2（3）「目的から選ぶ！施策一覧」と、利用者属性から適切な施（a）サイバーセキュリティお助け隊サービス制度」参照）、

策を選択できる「自身の年齢層や所属から選ぶ！施策一同サービスの普及を推進した。この制度には、2022 年

覧」とで構成されている。

※6

4 月 1 日時点で 12 件のサービスが登録された。

総務省は文部科学省と協力し、青少年やその保護者のインターネットリテラシー向上を図るため、「e-ネットキャ

新たな価値創出を支えるサプライチェーン等の・
（c）

ラバン」
（「2.1.3（5）（c）人材育成・普及啓発の推進」参信頼性確保に向けた基盤づくり

照）等の青少年や保護者等に向けた啓発講座等の実施

デジタルサービスの連携が進み、サプライチェーンがや、情報教育の中核的な役割を担う教員等を対象とし複雑化してサイバー攻撃のリスクポイントが増大することた研修を実施し、サイバーセキュリティを含む情報モラル

から、サプライチェーン全体を見通したリスク管理の重要に関する指導力の向上を図る取り組みを行っている。

性が増している。また、サイバーセキュリティ対策の推進

2021 年度は、「インターネットトラブル事例集（2021 年度のためには、セキュリティ製品・サービスの信頼性確保※ 10」を公開し、インターネットトラブルの実例と予防法版）

も課題である。

を紹介した。

サイバーフィジカルシステムのサプライチェーンセキュリ

なお文部科学省は、学校における「一人一台端末」

ティ実装を目的に、内閣府は、戦略的イノベーション創の実現を目指す GIGA スクール構想を推進している。同造プログラム（SIP）第 2 期「IoT 社会に対応したサイ構想におけるセキュリティリテラシーの向上については

バー・フィジカル・セキュリティ」
を実施し、「サイバー・フィ「2.5.1（2）GIGA スクール構想」
を参照されたい。

ジカル・セキュリティ対策基盤」の研究開発を推進してい」（2）国民が安全で安心して暮らせるデジタル社会の実現を開催し、成果を公開するとともに「Society 5.0 におけ戦略では、政府は安心して暮らせるデジタル社会をるサプライチェーンの信頼性を築くデジタルトラスト」等の実現するために、自助・共助による自律的なリスクマネジ

プレゼンテーションを行った。

メントの環境づくりに努めるとしている。また公助としては、る。2021 年 10 月 22 日、「IoT 社会に対応したサイバー・
フィジカル・セキュリティONLINE シンポジウム 2021

※7

セキュリティ製品・サービスの信頼性確保について、国民の安全・安心に関わる経済社会基盤について包括

経済産業省は、「情報セキュリティサービス審査登録制

的なサイバー防御に取り組み、かつ先進的な取り組みの度」に基づき、同制度のセキュリティサービス基準を満た導入を率先するとしている。

すサービスリストを、IPA を通じて公開している。2021（a）国民・社会を守るためのサイバーセキュリティ環境の

年度は、サービスリストの利用促進のため、「情報セキュ
※8

提供」を設置し、3回にわたり検討会を開催した（「2.1.2（4）情報セキュリティ

戦略では、サプライチェーンの複雑化を踏まえ、サイサービス審査登録制度」参照）。

バー空間のリスクの可視化、新しい技術・サービスのセキュリティ確保に取り組むとしている。このうち後者につ誰も取り残さないデジタル／セキュリティリテラシー（d）

いて、NISC は 2021 年 11 月、クラウドサービスの安全の向上と定着な運用やインシデント発生時の円滑な対応に重点を置い

社会のデジタル化に伴って、すべての国民がサイバーた利用者向けのガイダンスとして「クラウドを利用したシス
テム運用に関するガイダンス」を公表した※ 11。

セキュリティ上の脅威から自らを守れるようにする必要がまた、内閣官房、デジタル庁、総務省及び経済産業ある。従って、サイバーセキュリティに関する基本的な知71

2

情報セキュリティを支える基盤の動向

成に関する公的機関等の施策・取り組みを紹介すること

第 章

これに対する年次計画の取り組みとして、経済産業

リティサービス普及促進に関する検討会

2022

省は、統一的なセキュリティ要求基準に基づき安全性のジタル庁は、「マイナンバー制度及び国と地方のデジタル評価がされたクラウドサービスの「政府情報システムのた

基盤抜本改善ワーキンググループ」を設置 ※ 14 して、めのセキュリティ評価制度（ISMAP）」への追加登録や2021 年度に 3 回開催した。

※ 12

更新審査を行った。ISMAP クラウドサービスリストに（c）
経済社会基盤を支える各主体における取り組み

は、2022 年 6 月 1 日現在で 34 件のサービスが登録されている（「2.7.3 政府情報システムのためのセキュリティ

戦略では、各政府機関は、統一的な基準に基づくサ

評価制度（ISMAP）」参照）。

イバーセキュリティ対策を施すこととしている。NISC は2021 年 7 月に、「政府機関等のサイバーセキュリティ対策のための統一基準（令和 3 年度版）※ 15」及び「政府（b）デジタル庁を司令塔とするデジタル改革と一体となったサイバーセキュリティの確保

機関等の対策基準策定のためのガイドライン（令和 3 年

戦略では、国、地方公共団体や公的機関の情報シ※ 16」を公開した。これらにより、クラウドサービスの度版）

ステムの整備・管理の方針をデジタル庁が策定する際に、利用拡大を見据えた記載や、境界型防御だけでは十分

サイバーセキュリティの基本方針も盛り込み、実装を推なセキュリティを担保できなくなっている状況を踏まえて、進するとしている。デジタル庁において、サイバーセキュ

ゼロトラストアーキテクチャの導入を検討すること等が追

リティはデジタル社会共通機能グループの CoE チームが加された。
また戦略では、政府が共通で利用するシステムはデジ統括する（図 2-1-1）。
また戦略では、マイナンバーカードによる本人確認をタル庁が各府省庁と連携して整備・運用し、サイバーセ

前提として、マイナポータルを活用した官民の認証連携

キュリティも含めて安定的・継続的な稼働を確保するとしやデータ連携を推進する等としている。これを受けてデており、そのためのクラウドサービス（「ガバメントクラウド」）

内閣総理大臣デジタル大臣副大臣・大臣政務官

デジタル監
デジタル審議官

顧問・ 参与（デジタル政策担当、BPR・システム調達担当）（Chief Design
CA（Chief
Architect） CDO Oﬃcer）
Information
CISO（Chief
Security Oﬃcer）

Product
CPO（ChiefOﬃcer）

Technology
CTO （ChiefOﬃcer）

戦略・組織
グループ

デジタル社会共通機能
グループ

国民向けサービス
グループ

省庁業務サービス
グループ

グループ長

グループ長

グループ長

次長

グループ長

次長

総務チーム

戦略チーム

CoEチーム

国民向けサービス開発・運用

戦略企画（Center of
Excellence）

人材プール

総務・法令

デザイナー
ユニット

フロントサービス

人事システム統括・監理
リソース配分・アーキテクチャ

会計
調達支援
法務
情報システム国際戦略
広報戦略
セキュリティ
危機管理

基準・標準
・データ
・Ul/UX/アクセ
シビリティ
・ID/認証

健康・医療・介護分野

エンジニア
ユニット

・ネットワーク・セキュリティ

その他重要分野・サービス

等

等

品質管理
（クオリティ
・
アシュアランス）

省庁業務サービス開発・運用

基盤システム等

防災分野
地方活性化分野

行政人材ユニット

・地方業務関係次長

教育分野

セキュリティ
ユニット
PMユニット・クラウド

次長

先端技術計画サポート■図 2-1-1 デジタル庁の組織体制（2021 年 9 月 1 日現在）
（出典）
デジタル庁「組織情報※ 13」72

各府省システム・
独法システム 等

情報セキュリティ白書

を 2021 年度に整備し、翌年度以降は、原則として各フラ防護、意識啓発、能力構築等）について実施状況※ 17

府省庁等が活用を検討するとした。デジタル庁はこを確認し、今後の日・ASEAN の連携・協力が検討されを受けて、クラウドサービス移行に係る課題の検証をれた。その主な内容は以下のとおりである。

行う先行事業を 2021 年度から開始するために、協力す• 情報共有体制及びサイバーインシデント発生時の対処る自治体を公募した。2021 年 10 月、基幹業務システム

体制の強化

は神戸市、倉敷市等 8 市町村が、セキュリティシステム

• 重要インフラ防護に関する取り組みの推進、能力構
築及び意識啓発における協力の推進

プ、及び鳥取県、岡山県の 46 市町村が参加するグルー• 産学官連携の推進※ 18。
なお、日・ASEAN の政府間連携については「2.2.1（3）

政府は各主体の取り組みを促し、支援を行うとしている。

アジア太平洋地域のサイバー連携」
を参照されたい。

これに基づき、NISC は「重要インフラの情報セキュリティ（4）横断的施策

対策に係る第 4 次行動計画」の改定に先立ってパブリッ
クコメントを募集する目的で、その改訂案※ 19

を 2022 年

戦略では、前述の（1）～（3）に示した施策項目を実行

1 月 28 日に公開した。

する上で、横断的・中長期的な視点で、研究開発や人更に NISC は、「多様な主体によるシームレスな情報

材育成等に取り組んでいくことが重要であるとしている。

共有・連携と東京大会に向けた取り組みから得られた知（a）
研究開発の推進

見等の活用」に取り組むとして、2021 年 12 月に「東京オリンピック・パラリンピック競技大会等の大規模国際イベン戦略では、サイバーセキュリティの研究開発においてトにおけるサイバーセキュリティの確保に向けた取組の今は、脅威情報やユーザニーズを踏まえ、実践的に進め

後の活用方策に関する有識者会議 最終報告

※ 20

」をま

ることが重要であるとし、研究開発の国際競争力強化ととめ、公表した。

産学官エコシステムの構築に向けた関係府省庁の振興
施策を促進し強化を図るとしている。また、実践的な研（3）国際社会の平和・安定及び我が国の安全保障への寄与究開発の推進においては、サプライチェーンリスクに対応するための技術検証体制の整備、国内産業の育成・

我が国の安全保障環境は厳しさを増し、オープンで自発展支援策の推進、攻撃把握・分析・共有基盤の強化、

由なサイバー空間を確保するために国際社会との連携

暗号等の研究を推進するとしている。中長期的な対応を強化する重要性が認識されている。戦略では、サイについては、
特に AI（Artificial Intelligence：人工知能）

バー空間の安全・安定の確保のため、法の支配の推進、技術・量子暗号技術等に関する取り組みを推進するとし

サイバー攻撃に対する防御力・抑止力・状況把握力のている。

向上、国際協力・連携を一層強化するとしている。

サイバーセキュリティ戦略本部は、2021 年 5 月に「サNISC は 2021 年 6 月 24 日、ASEAN（Association

イバーセキュリティ研究開発戦略（改訂）※ 23」を決定しof Southeast Asian Nations：東南アジア諸国連合）各た。これは、2018 年 7 月改訂の「サイバーセキュリティ

国と日本のサイバーセキュリティインシデントへの対応能戦略」を基に、研究開発の進捗と、環境の変化を踏ま

力向上、国際連携強化を目的に、サイバー情報連絡演

えた上で、研究・産学官連携の推進方策と産学官エコ※ 21習を開催した。ASEAN 加盟国及び日本の政府機システムの構築戦略を示したものである。

関のサイバー関連業務担当者等 308 名が参加し、事2021 年度は、国立研究開発法人情報通信研究機構

前に準備したシナリオ（政府に導入されている VPN 装（NICT：National Institute of Information and

置へのサイバー攻撃、医療機関へのランサムウェア攻撃）

Communications Technology）等が共同で、AI を用のもとで、インシデント対応に関する情報共有の演習をいたプライバシー保護連合学習技術による不正送金検実施した。

知の実証実験を実施し、その結果を公表した※ 24。デー
タの機密性を保ったまま機械学習を行う技術等を活用

2021 年 10 月 21 日には、オンラインにて第 14 回 日本・※ 22

ASEAN サイバーセキュリティ政策会議が開かれた。

し、金融機関と連携して不正送金等を自動検知するシ

前年の第 13 回会合で協力が合意された活動（重要インステムの実現を目指すとしている。

73

2

情報セキュリティを支える基盤の動向

このほか、経済・社会を支える重要インフラ等について、第 章

は青森県、岩手県等 7 県 258 市町村が参加するグループが採択された

2022

め、以下の三つの課題にチャレンジするとした※ 28。

（b）
人材の確保、育成、活躍促進• Cyber New Normal における 5 つ※ 29 の処方箋戦略では、サイバー攻撃が複雑化・巧妙化する環境①「開発のための投資」から「検証のための投資」へ

において新たな価値を創出していくために、サイバーセのシフト

キュリティ確保に向けた人材の育成・確保が必要である②サイバー空間における価値創造を支えるデータマネとしている。

ジメントの枠組みの策定

サイバーセキュリティ戦略本部は 2021 年 7 月に、「政府機関におけるデジタル改革に必要な IT・セキュリティ③セキュリティとセーフティの融合への対応

知識を有する人材の確保・育成総合強化方針」を公表④サプライチェーンセキュリティ確保のための産業界

※ 25

した

。情報システムの開発・運用及びサイバーセキュ一丸となった対応

リティ対策と一体の業務改革に取り組むには、その担い⑤ Like-minded の関係強化

手となる人材の充実が不可欠であるとして、各府省庁• 国としての対処能力の強化の内部人材の育成及び外部登用による確保を図るとし• For the future infrastructureている。
以下では、本研究会で合意された取り組み方針に基2.1.2

づいた各 WG の 2021 年度の活動について述べる。

経済産業省の政策（a）
WG1（制度・技術・標準化）

経済産業省は、サイバー空間、フィジカル空間を統合したサプラチェーン全体にわたるセキュリティ対策の実現

WG1 では、「サプライチェーンサイバーセキュリティ強に向け、制度、標準化、経営、人材、ビジネス等、様々

化パッケージ」の活動を主に実施しており、産業サイバーな観点から施策を検討・実施している。

セキュリティに関する制度・技術・標準化を一体として政策に展開する戦略を議論している。その前提として、サ（1）産業サイバーセキュリティ研究会

イバー空間とフィジカル空間の融合により、柔軟かつ動的2017 年 12 月、経済産業省は我が国の産業界が直なサプライチェーンが生まれるとし、これを価値創造過程

面するサイバーセキュリティの課題を洗い出し、関連政（バリュークリエイションプロセス）と定義した。
また、バリュー策を推進するため、産業界を代表する経営者、インター

クリエイションプロセス全体の業界横断的な標準モデル

ネット関連の学識経験者等から構成される「産業サイである「サイバー・フィジカル・セキュリティ対策フレームワー

バーセキュリティ研究会」を設置した。図 2-1-2 に同研究ク※ 30（The Cyber/Physical Security Framework）

会の構成を示す。

Version 1.0」
（以下、CPSF）
を 2019 年 4 月に策定した。
2021 年度は、CPSF をサイバー・フィジカル・システム

産業サイバーセキュリティ研究会（CPS）をとらえるモデルの一つとして位置付け、これを日政策の方向性を提示

本案として国際規格の策定を推進している。具体的にWG1

制度・技術・標準化

は、ISO/IEC JTC 1/SC 27 WG 4 に Technical

制度・技術・標準化を一体的に政策展開する戦略を議論

WG2

Specification（TS）
として提案している（「2.6.2（4）WG 4

経営・人材・国際（セキュリティコントロールとサービス）」参照）。

サイバーセキュリティ政策全体の共通基盤となる
経営・人材・国際戦略を検討

CPSF の具体化や実装、分野横断の共通課題を検WG3 サイバーセキュリティビジネス化討するため、WG1 には産業分野別サブワーキンググルー

セキュリティサービス品質向上と国際プレーヤー創出に係る
政策を検討
連携

プ（SWG）と分野横断 SWG が設置されている（次ペー

中小企業政策審議会基本問題小委員会等
中小企業の生産性向上に資するIT利活用支援策とともに検討

ジ図 2-1-3）。2021 年度の活動の主な成果について述■図 2-1-2 産業サイバーセキュリティ研究会の構成（出典）
経済産業省「産業分野におけるサイバーセキュリティ政策※ 26」

べる。
産業分野別 SWG は、ビル、電力、防衛産業、自動同研究会では 2021 年 4月に第 6 回会合を開催し、「産

車産業、スマートホーム、宇宙産業、工場の七つの産

※ 27

」

業分野で活動している。ビル SWG は、ビルシステム全（2018 年 5 月発表）で示されたサプライチェーン、経営、般に共通的な要件をまとめた共通編※ 31 に続く個別編と人材、ビジネスの 4 パッケージを持続的に発展させるた

して「空調システム」
を作成中である。防衛産業 SWG は、業サイバーセキュリティ強化へ向けたアクションプラン

74

情報セキュリティ白書

具体的な対策手法やルールの明確化

実際の産業活動の内容【第3層】

データの信頼性

データを介した連携を行う産業活動(データの完全性、真正性等の確認 等)（分野間の連携 等）

分野別の産業活動 規模別の産業活動

サイバー空間におけるつながり

【第2層】

•ビル

•大企業

•電力

•中小企業 等•防衛

転写機能を持つ機器の ソフトウェアの取扱に関信頼性の確認手法するルール・管理手法• 機器・システムのセキュ
リティ 等

•自動車

• Software
component
transparency 等

第 章•スマートホーム等【第1層】

フィジカル空間とサイバー空間のつながり

2

企業間のつながり

産業サイバーセキュリティ研究会ＷＧ１

分野横断SWG

ビルSWG

自動車産業SWG
スマートホームSWG『第3 層』TF（ ⇒ データ区分に 応じた適切 なセキュリティ対策要件等）

ソフトウェアTF（ ⇒ OSSを含むソフトウェア管理手法等）『第2 層』TF（ ⇒ 機器毎のラベリング・認証の在り方、安全との一体化への対応等）

・・・■図 2-1-3 タスクフォースの構成（出典）
経済産業省「サブワーキンググループ、タスクフォース等の検討状況※ 36」2022 年 4 月に契約企業が保護すべき情報を取り扱う際

第 3 層 TF では、2022 年 4 月にデータマネジメントにに適用される情報セキュリティ基準を、米国連邦政府の関する共通の考え方を整理した「協調的なデータ利活用

セキュリティ標準（NIST SP800-171）と同程度まで強化しに向けたデータマネジメント・フレームワーク ～データによた新情報セキュリティ基準を公開※ 32した。電力 SWGは、る価値創造の信頼性確保に向けた新たなアプローチ」を公開した※ 38。

2021 年 2月に「小売電気事業者のためのサイバーセキュを公開した。自動車産
リティ対策ガイドライン Ver1.0 ※ 33」

ソフトウェア TF では、2021 年 4 月に「OSS の利活用

業 SWG は、2022 年 4 月に対策項目を拡充した「自工会及びそのセキュリティ確保に向けた管理手法に関する事」

例集」を公開した※ 39。またソフトウェア管理手法としてのを公開した。スマートホーム SWG は、2021 年 4 月に「スSoftware Bill of Materials（SBOM：ソフトウェア部品

マートホームの安心・安全に向けたサイバー・フィジカル・

表）の活用促進に向けて、自動運転システム検証基盤ソ／部工会・サイバーセキュリティガイドライン 2.0 版

セキュリティ対策ガイドライン Ver1.0

※ 34

※ 35

」
を公開した。宇フトウェア「GARDEN ScenarioPlatform」を対象にした実証事業を実施した※ 40。

宙産業 SWG は、2022 年 2 月から 3 月に「民間宇宙シ
ステムにおけるサイバーセキュリティ対策ガイドラインβ版」（b）
WG2（経営・人材・国際）に対するパブリックコメントを実施した。工場 SWG は、
2022 年 4 ～ 6 月に「工場システムにおけるサイバー・フィ「サイバーセキュリティ経営強化パッケージ」と「サイジカル・セキュリティ対策ガイドライン（案）」に対するパブバーセキュリティ人材育成・活躍促進パッケージ」の活動

リックコメントを実施した。

を主に実践する WG2 では、サイバーセキュリティ対策に

分野横断 SWG は、2020 年度に引き続き CPSF のおける経営者の参画と人材育成、中小企業の対策、国実装を促進するべく、第 2 層（フィジカル空間とサイバー際連携に関する政策を議論している。各種取り組みは空間のつながり）及び第 3 層（サイバー空間におけるつCPSF を軸として整備している（次ページ図 2-1-4）。

ながり）に焦点を絞った層別タスクフォース（以下、TF）

経営に関しては、「サイバーセキュリティ経営ガイド

や、オープンソースソフトウェア（OSS：Open Source

ライン※ 42」について、CPSF のコンセプトの反映やサプラ

Software）等のソフトウェアの活用・脆弱性管理手法をイチェーンの再整理等の検討を含め、2022 年度中に改検討するソフトウェア TF で議論を進めた。

訂を実施予定である。

第 2 層 TF では、
2022 年 4 月に「IoT セキュリティ
・セー「サイバーセキュリティ経営ガイドライン」の普及・定着

フティ・フレームワーク（IoT-SSF）」を活用するためのについては、
IPAを通じて 2022 年 3 月に「サイバーセキュ「IoT セキュリティ
・セーフティ
・フレームワーク Version 1.0

リティ経営ガイドライン Ver2.0 実践のためのプラクティス集※ 37

実践に向けたユースケース集

第 3 版※ 4」及び経営ガイドラインの「重要 10 項目」の実」を公開した。

75

情報セキュリティを支える基盤の動向

標準モデル（CPSF）

電力SWG
防衛産業SWG

2022

経営層

実務層（共通）実務層（産業分野個別）

コンセプト

サイバー・フィジカル・セキュリティ対策フレームワーク （2019年4月）
第Ⅰ部 サイバー空間とフィジカル空間が融合した産業社会におけるサイバーセキュリティの在り方

電力分野の取組（第1.1版：2021年4月）

12

スマートホーム分野の取組（第3版：2022年3月）

サイバーセキュリティ体制構築・人材確保の手引き

自動車分野のガイドライン（第3版：2019年7月）

経営プラクティス集（IPA）
支援ツール

具体的対策

中小企業の
情報セキュリティ対策
ガイドライン（IPA）︵第１・０版 ２０２０年 月︶

第Ⅱ部 リスク源の洗い出し
第Ⅲ部 対策要件と対策例集（Ver2.0：2017年11月）

ビル分野のガイドライン

活用︵第１版 ２０１９年６月︶

サイバーセキュリティ
経営ガイドライン

可視化ツール（V1.0版：2021年8月）■図 2-1-4 CPSF を軸とした各種取り組みの大まかな関係（出典）
経済産業省「事務局説明資料※ 41」（第 7 回 産業サイバーセキュリティ研究会 ワーキンググループ 2（経営・人材・国際）
資料 3）を基に IPA が編集

践をサポートする事例検索ツール「プラクティス・ナビ※ 43」

イバーセキュリティ体制構築・人材確保の手引き」の改を公開した。また、2021 年 8 月に「サイバーセキュリティ

訂第 1.1 版※ 44 を公開した（「2.3.1（2）セキュリティ業務・経営可視化ツール」（Web 版）を公開している（「2.4.1（2）

役割の広がり」参照）。
更に 2021 年 9 月から、「セキュリティ経営・人材確保

セキュリティリスクマネジメント」参照）。

の在り方検討 TF」を 9 回開催した（「2.1.2（2）（b）
セキュ

中小企業のセキュリティ対策の支援に関しては、IPA

リティ経営・人材確保の在り方検討 TF」参照）。

を通じて、2021 年 2 月には「サイバーセキュリティお助け隊サービス基準（1.0 版）」及び「サイバーセキュリティおプラス・セキュリティについては、SC3 の産学官連携

助け隊サービス審査登録機関基準（1.0 版）」を、2021

WG において必要なスキルの整理等を行うこととした

年 7 月には「サイバーセキュリティお助け隊サービス基「2.3.1（3）（b）SC3 産学官連携 WG」参照）。今後、プ準」改訂版として 1.1 版を公開した。また、サービス審

ラス・セキュリティの取り組みを普及させるため、デジタ

査登録機関により、サービス基準を満たすことが確認さ

ル人材育成プラットフォーム（「2.3.1（3）（a）デジタル人材れたサービスに対して「サイバーセキュリティお助け隊

育成プラットフォーム」参照）、地域 SECUNITYとの連マーク」の使用権を付与する事業を開始した。2022 年

携による取り組みの推進等が検討される。

※64 月 1 日時点で 12 の民間事業者が登録されている（c）
WG3（サイバーセキュリティビジネス化）（「2.4.2（3）（a）サイバーセキュリティお助け隊サービス制
度」参照）。

「セキュリティビジネスエコシステム創造パッケージ」の地域に関しては、地域のセキュリティ・コミュニティ（地域

活動を主に実践する WG3 では、セキュリティ製品・サー

SECUNITY）の取り組みを更に促進するため、2021 年 6

ビスの品質向上と国際プレイヤー創出に関わる政策とし月に「サプライチェーン・サイバーセキュリティ・コンソーシて、サイバーセキュリティ製品の有効性を検証する検証

アム（SC3：Supply Chain Cybersecurity Consortium）」

基盤の整備を進めている。

において地域 SECUNITY 形成促進 WG を設置した。

セキュリティ製品の有効性検証／実環境における試

また各地域における活動にあたって必要となる情報の共行検証に関しては、IPA を通じて、製品選定から有効

有、ベストプラクティスの展開、共通課題に対する解決性検証の仕組み（手順 ･ 基準等）に基づいた製品検証策の検討等を目的としたワークショップを実施した（「2.4.2

や実環境での試行を実施し、これを通じ「試行導入・実（2）（b）
地域 SECUNITY 形成促進事業」参照）。

更なるマッ
績公表の手引き※ 45」の評価を実施した。また、
チング機会創出に向け、検証結果を活用した表彰制度

人材に関しては、セキュリティ人材の育成とプラス・セの立案に向けた検討を行った。

キュリティの普及が取り組みの柱となった。組織における人材確保や体制構築については、2021 年 4 月に「サイ模擬攻撃を含めたハイレベルな検証サービスに関して

バーセキュリティ経営ガイドラインVer2.0」の付録文書「サは、成果として 2021 年 4 月にセキュリティ検証サービス

76

情報セキュリティ白書の高度化を目的に「機器のサイバーセキュリティ確保のたver1.2 ※ 47 を公開した。企業が本ガイドブックを参考にめのセキュリティ検証の手引き」の公開等を実施した※ 46。

することで、顧客や消費者からの信頼獲得、企業価値

本手引きは、「機器のセキュリティ検証において検証サー

向上につながることが期待される。

2022

ビス事業者が実施すべき事項」「より良い検証サービスを（b）
セキュリティ経営・人材確保の在り方検討 TF受けるために検証依頼者が実施すべき事項及び持つべ
コミュニケーションのために二者間で共有すべき情報やの見直し」と「セキュリティ人材活躍モデルの構築及び普留意すべき事項」を整理したものである。本手引きが検及啓発」をテーマとして、セキュリティ経営・人材確保の証サービス事業者及び依頼者に活用されることで、国在り方検討 TF を設置、2021 年 9 月から会合を 9 回開内の検証サービスの水準向上や、適切な検証体制の構催した。
「サイバーセキュリティ経営ガイドラインの見直し」

築が期待される。

については、経営層が自社にどのようなセキュリティ機能

中小企業向けセキュリティ製品・サービスの検証事業が必要かを考える際に、CPSF の枠組みで影響範囲をに関しては、セキュリティ情報提供プラットフォーム仮検証

とらえることが容易となるようCPSF の内容反映等を議論

サイトを立ち上げ、有効性検証を実施した。

し、サイバーセキュリティ経営ガイドラインの改訂方針案

サイバー・フィジカル・セキュリティに関する情報交流を策定した。また「セキュリティ人材活躍モデルの構築及の場であるコラボレーション・プラットフォームに関しては、

び普及啓発」については、2021 年 4 月に公開した「サイ2021 年度はオンライン開催で計 6 回実施し、計約 800

バーセキュリティ体制構築・人材確保の手引き 第 1.1

人が参加した（表 2-1-1）。2021 年度は、新型コロナウイ版」について、サプライチェーンや OT（Operational

ルス感染症（以下、新型コロナウイルス）対策のため聴Technology）の観点から体制面での取り組みの強化等

講主体のオンラインセミナー形式で実施されたが、今後を議論した。

は少人数参加型でのオンラインワーキンググループ形式（3）技術等情報管理認証制度

での開催が検討される。

経済産業省は「産業競争力強化法等の一部を改正
開催回する法律」に基づき、2018 年 9 月から「技術等情報管テーマ

第 17 回 サイバーセキュリティ検証基盤事業

理認証制度」
を開始した※ 48。これは、事業者の技術等

第 18 回 フェイクデータなど企業価値を毀損する新たな脅威の情報管理について、国が示す認証基準に適合していK 字型（二分化）経済環境下でのセキュリティ投第 19 回資のあり方ることを、事業所管大臣及び経済産業大臣が認定した認証機関が認証を付与する制度である。認証機関に対第 20 回 ESG 視点でサイバーリスクマネジメントのあり方を探る
第 21 回する支援措置として、独立行政法人中小企業基盤整備

サプライチェーンを標的とするサイバーセキュリティリ
スクへの課題と対応策

機構や IPA からの情報提供支援があり、2022 年 6 月

第 22 回 事業変革“DX”の成功を支えるセキュリティ■表 2-1-1

現在 7 事業者が認定を受けている。認証を取得しようとする企業・団体等に対しては、経済産業省が専門家を

2021 年度の議論のテーマ派遣して認証取得申請の支援を行う事業を行っており、（2）
その他の検討会の活動

2021 年度は 2021 年 8 月～ 2022 年 3 月の期間に実施
した※ 49。また 2021 年度は、本制度の改善点・普及啓他の検討会等における活動について述べる。

発方策等について検討会を 4 回実施した。機密性の高（a）
企業のプライバシーガバナンスモデル検討会

い技術情報等を保持する中小企業や業界団体等の制

経済産業省と総務省は、DX における円滑なデータ

度活用が期待される。

利活用のためにプライバシーガバナンスの構築を目指し（4）情報セキュリティサービス審査登録制度ている。2021 年度は、IoT 推進コンソーシアムのデータ
流通促進 WG のもとに設置された「企業のプライバシー

情報セキュリティサービスを安心して活用できる環境をガバナンスモデル検討会」において、2022 年 2 月に「DX醸成するべく、経済産業省は「情報セキュリティサービス

時代における企業のプライバシーガバナンスガイドブック」

基準」（以下、本サービス基準）及び「情報セキュリティの改訂版として、実践的な企業の具体例を充実させたサービスに関する審査登録機関基準」を策定し、2018772

情報セキュリティを支える基盤の動向

経済産業省は「サイバーセキュリティ経営ガイドライン

第 章

き知識」
「検証サービス事業者・検証依頼者間の適切な年 2 月に公表した※ 8。2022 年 1 月 31 日には、両基準策定のためのガイドライン（令和 3 年度版）※ 16」においに基づく情報セキュリティサービス審査登録制度の一層て、以下のケースにおける外部委託先選定の際に活用の普及を図るべく、両基準の第 2 版を公表し、併せて、できるように参照されている。

初版で「附則」としていた見直し需要の高い項目を「情報• 監査業務の外部委託先選定

セキュリティサービスにおける技術及び品質の確保に資• 脆弱性診断の外部委託先選定※ 50する取組の例示」
として新たに公開した。

• インシデントレスポンス業務の外部委託先選定

情報セキュリティサービス審査登録制度は、本サービ• セキュリティ監視業務の外部委託先選定

ス基準に照らして、情報セキュリティサービスについて一定の品質の維持・向上が図られているか否かを第三者

また、本リストの「情報セキュリティ監査サービス」に掲が客観的に判断し、結果を公開することで、利用者が載されているサービスを提供する監査機関であることは、必要なセキュリティサービスを容易に選定できるようにす「 政 府 情 報システムのためのセキュリティ評 価 制 度る枠組みである。

（ISMAP）」において、評価を実施する監査機関の登録

IPA はこの枠組みに基づき、2018 年 7 月から、審査
登録機関

※ 51

申請における要求事項の一つとなっている（「2.7.3 政府による審査の結果、本サービス基準に適情報システムのためのセキュリティ評価制度（ISMAP）」

合すると認められ、当該機関の登録台帳に登録され、参照）。

かつ IPA に誓約書を提出した事業者の情報セキュリティ

今後、
本サービスリストの活用が進むことで、情報セキュサービスを「情報セキュリティサービス基準適合サービス

リティサービスの品質の維持・向上に加え、情報セキュリ※ 52

リスト」（以下、本リスト）として公開している。また、

ティサービス市場の活性化にもつながることが期待される。

2021 年 2 月からは、本リスト利用者がサービスを選定する際の参考となるよう、サービスのホームページへのリン（5）J-CSIP（サイバー情報共有イニシアティブ）

ク、サービスの概要、主たる対象顧客の分野・業種、対経済産業省の協力のもと、
IPAでは2011 年 10月から、象とする地域の情報を本リストに追加し、提供している。

官 民 連 携による標 的 型 攻 撃 への対 策を目的として、

本サービス基準では、情報セキュリティサービスを以

J-CSIP（Initiative for Cyber Security Information

下の四つに分類しており、これらのサービス登録数の合Sharing Partnership of Japan：サイバー情報共有イニ

計は 2022 年 4 月に 249 件に達した。登録数の推移とし

シアティブ）
を運用している。
J-CSIP は、日本の基幹産業を担う企業を中心に、サては、ゆるやかな上昇傾向にある（図 2-1-5）。
• 情報セキュリティ監査サービス

イバー攻撃等に関する情報を相互に共有し、サイバー• 脆弱性診断サービス

攻撃の防御とその被害の低減を目指している。2022 年• デジタル・フォレンジックサービス

3 月末日現在、IPA を情報の中継・集約点（情報ハブ）• セキュリティ監視・運用サービス

として 15 の業界から 292 の企業や業界団体（以下、組織）が J-CSIP に参加している。参加の形態としては、IPA と各組織との間で個別に NDA（Non-Disclosure

なお、本リストは、NISC の「政府機関等の対策基準

Agreement：秘密保持契約）を締結して情報共有を行う
業界単位のグループ（SIG ※ 53）と、規約を基に業界の情

2020年12月

62

91

29

2021年3月

64

96

29

44

233

2021年6月

66

99

28

43

236

2021年9月

66

104

28

43

241

2021年12月

67

107

28

45

247

2022年4月

66

108

30

45

249

0

50
監査

■図 2-1-5

100
脆弱性

150

41

223

200

フォレンジック

250

報共有活動を支援するための枠組みである「情報連携体制」が存在する（次ページ図 2-1-6）。
また、J-CSIP は IPA を通じて、経済産業省やセプター
カウンシル※ 54 の C4TAP、一般社団法人 JPCERT コー
ディネーションセンター（JPCERT/CC：Japan Computer
Emergency Response Team Coordination Center）
等とも連携している。
J-CSIP では、IPAと参加組織との間でサイバー攻撃

300

に関する手口や被害の情報、標的型攻撃メール等に関監視する情報共有を行っている。なお、J-CSIP の中で共有情報セキュリティサービス登録数の推移

78

情報セキュリティ白書

連携

緊急注意喚起技術レポートの公開

一般企業・業界団体等

セプターカウンシル

C4TAP

連携

情報提供元の許可する範囲内で連携

JPCERT/CC 等

2022

内閣サイバーセキュリティセンター

NDAを締結し、IPAが情報ハブとなり
組織間・SIG間での情報共有を実施

ガス業界SIG

化学業界SIG

重工・重電など〔14組織〕

電力ISAC＋電力関連組織〔46組織〕

日本ガス協会＋ガス事業者〔79組織〕

日本化学工業協会＋化学会社〔24組織〕

石油業界SIG

資源開発業界SIG

自動車業界SIG

クレジット業界SIG

石油連盟
＋石油会社
〔6組織〕

石油鉱業連盟
＋鉱業会社
〔５組織〕

自動車関連
団体・企業
〔１０組織〕

日本クレジット協会＋クレジット会社〔４7組織〕

航空業界SIG 物流業界SIG 鉄道業界SIG
航空関連
団体・企業
〔７組織〕

物流関連
団体・企業
〔１２組織〕

鉄道関連
団体・企業〔１９組織〕

エアポート
業界SIG

鉄鋼業界SIG

空港関連組織〔6組織〕

日本鉄鋼連盟＋鉄鋼会社〔４組織〕

業界内の情報共有活動
を支援

医療業界
情報連携体制医療関連団体
〔４組織〕
＋団体会員

水道業界
情報連携体制水道関連事業者等〔９組織〕■図 2-1-6 J-CSIP の体制全体図
※ 55
（出典）
IPA「サイバー情報共有イニシアティブ（J-CSIP）
運用状況［2022 年 1 月～ 3 月］」

される情報は、提供元が明らかにならないよう、情報提J-CSIP では、無作為に送信される不審メールやウイ

供者の固有の情報を除去するルールがある。

ルスメール（ばらまき型メール）については、一般的に脅※ 56、

威の度合いが低いと考えられることから、原則として情攻撃の痕跡等の件数（情報提供件数）、提供を受けた報の提供依頼や共有の対象とはしていない。しかし、情報のうち標的型攻撃メール等と見なした件数（標的型

Emotet については、無作為に近い攻撃でありながらも、攻撃件数）、及びそれらを基に J-CSIP 内で情報共有を窃取した正規メールの文面の流用、パスワード付きZIP

行った件数（情報共有件数）を表 2-1-2 に示す。年度にファイルの悪用といった手口が駆使され、多数の企業・より件数の増減はあるものの、継続して情報提供や共有

組織にとって深刻な脅威であると見なせる状況であったが行われていることが分かる。

（「1.2.6 ばらまき型メールによる攻撃」参照）。このことか

参加組織から提供された、不審なメール、ウイルス

ら、特に攻撃手口等に大きな変化が確認できた際は、
2018 年度 2019 年度 2020 年度 2021 年度

情報共有の対象とし、各組織に対応を促してきた※ 57。

参加組織からの情報提供件数

2,020

2,303

6,202

843

なお、2017 年頃には Ursnif や Dreambot が巧妙な日

標的型攻撃件数（メール、検体等）

213

401

125

35

情報共有件数

195

225

147

118

■表 2-1-2

本語の件名のメールで観測されたことから、同様に一部情報共有を行ってきた。ばらまき型メールと見なせる攻撃であっても、かつて標的型攻撃で使われていたような巧妙な手口が取り入れられている傾向があり、状況に応じ、

J-CSIP の運用実績

今後も情報共有を図っていく必要があると思われる。
2021 年度は直近の 3 年間と比較して件数が減っていビジネスメール詐欺に関しては、2020 年度までと同様、る。これは「Ursnif」やその亜種である「Dreambot」、複数の情報提供を受けた。実被害に至る前に偽のメー

また「Emotet」と呼ばれるウイルスへの感染を狙う日本語

ルであることに気付けた事例もあれば、攻撃者の口座への攻撃メールが大量にばらまかれ続けていたが、2021

送金してしまった事例もあった。企業間の取り引きのメー

年度はそれらの攻撃が減少あるいは停止していた時期

ルに介入したり、CEO（Chief Executive Officer：最高が長かったことが影響している。

経営責任者）になりすましたりする等、基本的な騙しの792

情報セキュリティを支える基盤の動向

電力業界SIG

第 章

重要インフラ機器製造業者SIG手口は変わらない（「1.2.3 ビジネスメール詐欺（BEC）」

J-CRAT（Cyber Rescue and Advice Team against参照）。ただし細かい点では、送金先の変更を依頼す

targeted attack of Japan：サイバーレスキュー隊）を発る際、新型コロナウイルスの影響であるという嘘をつく等、足させた。J-CRAT の目的を以下に示す。

時流に沿った騙しの手口の変化が見られた。これらの詳• 攻撃に気付いた組織に対する被害拡大と再発の抑しい情報を J-CSIP 内で共有するとともに、情報提供元

止・低減の許可が得られた範囲で、事例の一般公開も行った。

• 標的型攻撃による諜報活動等の連鎖の遮断

このほか、ウイルスに感染させる仕掛けが施された
PowerPoint や Excel のアドインファイルが添付された攻J-CRAT では、常時「標的型サイバー攻撃特別相談

撃メール、自衛隊の大規模接種センターをかたったフィッ

窓口」（以下、窓口）の運営と「公開情報の分析・収集」

シングメール等の情報提供があり、それぞれ共有を行った。

の二つの活動を実施している。

全体的には、2016 年度まで観測されてきた、諜報活

窓口では、主に公的機関等の組織から、標的型攻動が目的と思われる、日本国内の特定の業界や組織に撃メールに関する情報提供や相談を受け付けている。

向けて多数のメールが送信されるような標的型攻撃は減「公開情報の分析・収集」では、日々公開されるインター

少傾向にある。これは、攻撃者がより慎重に、目立たな

ネット上の情報等から、各種ウイルス情報等を収集していように攻撃を行うようになったためであると考えられる。

いる。これまでの活動実績から、地政学や国際政治、

また、発端が標的型攻撃メールであるのか、別の方法

国際経済や科学技術等に関する動向との関連が明らかであるのか特定できないが、長期に渡って組織内ネットになったため、それらの情報収集を幅広く行っている。

ワークへ侵入されていたという情報提供もあった。ひそ

標的型サイバー攻撃の被害に遭っている、または遭っかに攻撃を行う攻撃者に一層の注意が必要と思われる。

ている可能性が高い組織のうち、特に公的機関や業界

情報共有活動は、攻撃の痕跡や手口の情報を基に、団体、重要インフラ関連企業や取引先等サプライチェー

防御側で連携して対抗するための重要な施策の一つでンを構成する組織に対して、被害実態の確認と認知のあり、IPA は引き続きJ-CSIP の運用を継続していく。

支援、被害緩和の暫定対応に関する助言を「サイバーレスキュー活動」
として実施している※ 58。また、窓口にお（6）J-CRAT（サイバーレスキュー隊）

ける対応の結果、必要があると判断した組織に対して、

経 済 産 業 省の協 力のもと、IPA は 2014 年 7 月に

JPCERT/CC
相談者

攻撃の期間・内容、感染範囲、想定被害等をヒアリン

アンチウイルスベンダ

リサーチャ

情報提供

別機関等

技術連携

サイバーレスキュー隊（J-CRAT）
公的機関

業界団体
社団・財団

情報提供
相談

サイバーレスキュー活動
標的型サイバー攻撃
特別相談窓口レスキュー支援
情報発信

重要産業
関連企業

支援内容

ケース１

検体解析

ケース２
公開情報の
分析・収集

ケース３

公開情報

重要産業
取引先

着手アプローチ

攻撃・被害
の把握
攻撃・被害
の可視化
関連情報
追跡

ケース1：標的型サイバー攻撃特別相談窓口に寄せられた支援対象組織からの相談
ケース2：受け付けた相談から、連鎖的な被害（の可能性のある）
組織が推定された場合
ケース3：公開情報の分析、収集により被害（の可能性のある）
組織が推定された場合※相談対応、レスキュー活動に伴う情報の利活用においては、利用者の責任者の下で実施してください。

■図 2-1-7 J-CRAT の活動の全体像とスキーム
※ 59
（出典）
IPA「サイバーレスキュー隊 J-CRAT（ジェイ・クラート）」

80

情報セキュリティ白書（1）
「ICT サイバーセキュリティ総合対策 2021」の概要

グし、早急な対策着手が行えるよう、民間セキュリティ事
業者への移行を前提とした助言を行っている（前ページ

2021 年 7 月、総務省は ICT サービス・インフラにお図 2-1-7）。

けるサイバーセキュリティを確保するための具体的な施ては、「レスキュー支援」を行い、更に当該組織での対策について、総合対策 2021 に取りまとめた。以下の方応が必要な場合は、隊員を派遣する「オンサイト支援」

針や考え方に準拠している。

を行っている。それぞれの支援件数を表 2-1-3 に示す。

• 2020 年 12 月に閣議決定した「デジタル社会の実現に

2021 年度の活動実績を 2020 年度と比較すると、「相向けた改革の基本方針※ 62」に基づく社会全体のデジ談件数」は 7.6% 減少しており、内訳を見ると「レスキュータル改革・DX の推進
※ 63
」に基づく
た「次期サイバーセキュリティ戦略（骨子）

47.1% 減少している。

「自由、公正、かつ安全なサイバー空間」の確保
2018 年度 2019 年度 2020 年度 2021 年度
レスキュー
支援件数
オンサイト
支援件数

413 件

392 件

406 件

375 件

127 件

139 件

102 件

94 件

31 件

20 件

17 件

9件

• IoT、5G を含む ICT サービス・インフラは、デジタル改革・DX 推進の基盤であり、国民一人ひとりが安心
して ICT を活用できるようなサイバーセキュリティの確保が不可欠であるという考え方※一つの事案に対しての複数回のオンサイト対応を要した場合も、1 件として集計■表 2-1-3

総合対策 2021 では、具体的施策として、「電気通信事業者における安全かつ信頼性の高いネットワークのJ-CRAT の活動実績

確保」「COVID-19 への対応を受けたセキュリティ対策

J-CRAT では、定期的に活動状況を公開するほか、の推進」「デジタル改革・DX 推進の基盤となるサービス

情報収集活動や支援活動から得られた結果を技術レ

等のセキュリティ対策」「サイバーセキュリティ情報に関すポートとして随時公開している。これらの取り組み等を通る産学官での連携・共有等の促進」を挙げている。また、じ、被害組織のセキュリティインシデントに対する速やか横断的施策として、「サイバーセキュリティ情報に関するな対応力向上や、平時における標的型攻撃への対策

産学官での連携・共有等の促進」「ICT サイバーセキュ

力向上に資する活動を行っている。また、活動を通じてリティに係る横断的施策」を挙げている。以下では、組織のセキュリティ人材の育成、標的型サイバー攻撃の2021 年度の各施策の実施状況について述べる。

連鎖の解明、及び攻撃の連鎖を遮断することによる被（2）電気通信事業者における安全でかつ高信頼
なネットワーク確保のための対策推進

害の低減を推進していく。

2.1.3

総合対策 2021 では、5G インフラ構築の進展や IoT

総務省の政策

機器の普及、社会のデジタル化進展等によって高まるサ

総務省は、IoT・5G 機器に対するサイバー脅威が深イバーリスクに対し、電気通信事業者がセキュリティ対策

刻化している状況を踏まえて 2020 年 7 月に取りまとめたを講じ、安全で高信頼なネットワークを確保することが重提言「IoT・5G セキュリティ総合対策 2020

※ 60

」の改訂

要であるとし、以下の三つの重点施策を挙げている。

版として、2021 年 7 月に「ICT サイバーセキュリティ総（以下、総合対策 2021）を策定・公合対策 2021 ※ 61」（a）
安全かつ信頼性の高いネットワーク確保表した。総合対策 2021 には、デジタル庁の発足、DX

総合対策 2021では、
安全かつ信頼性の高いネットワーの進展等の環境変化も踏まえ、IoT・5G にとどまらない

ク確保のため、ガバナンスの確保、及び通信事故の報

ICT インフラサービスに対するセキュリティ対策が広く盛告・検証に注目している。

り込まれている。

• ガバナンスの確保

本項では、総合対策 2021 の流れに沿った総務省の総務省は 2021 年 4 月に通信事業者にサイバーセキュ

セキュリティへの取り組み状況、及び地方自治体のセキュ

リティの実態に関しヒアリングを行うとともに、同年 5 月

リティへの取り組み状況を述べる。

に「電気通信事業ガバナンス検討会」を立ち上げ、セ81

2

情報セキュリティを支える基盤の動向• 2021 年 5 月にサイバーセキュリティ戦略本部が発表し支援件数」 が 7.8% 減少、「オンサイト支援件数」も第 章

相談を受けた案件のうち、緊急を要する事案に対し

相談件数

2022

キュリティ対策とデータの取り扱いに対する事業者のガ（億パケット）
6,000

バナンスの在り方を協議した。

5,001億5,000

上記検討会では、ネットワークサービス利用者情報の保護の強化が焦点となっていた。具体的には、ネット

4,000

ワークサービス事業者が収集するクッキー・タグ等の取3,000り扱いに関して国内外の施策を調査し、これらの情報

3年間で
3.3倍

1.5倍

1,000

を改正する方向で議論が進められた。一方で、討議
終盤に経済団体から、議論のプロセスが不透明であ0

る、電気通信事業法改正による方式は慎重に検討す

5,001

1.4倍

2,000

を保護するべきとし、事業法である電気通信事業法

1.6倍

1,504億

2.4倍
545

3,220

1.2倍
1,281

1,504

各IPに
約17秒
に１回
※１IPアドレス当たり 年間182
万パケット

2,121

2015年 2016年 2017年 2018年 2019年 2020年■図 2-1-8 IoT 機器を狙った攻撃の増加（出典）
総務省「ICT サイバーセキュリティ総合対策 2021」
を基に IPA が編集

べき、等の意見が提示された※ 64。これらの経済団体の意見、及び意見募集を調整した結果は 2022 年 2月 18 日に公開された※ 65。利用者情報の保護強化は盛り込まれたが、当初想定されたクッキー利用に関すとめ案」として意見募集を実施※ 70 し、2021 年 11 月 24

るオプトアウト義務化等は見送られ、事業者の更なる日に結果を公表した※ 71。結果は、C&C サーバである

ガバナンス強化は今後の検討を待つこととなった。

疑いの高い機器の検知行為、及び C&C サーバ検知に関する情報の共有はいずれも適法、というものであった。

• 通信事故の報告・検証
総務省は 2020 年以来、情報通信審議会情報通信（c）
5G セキュリティの強化

技術分科会 IP ネットワーク設備委員会にて、IoT 導入、マルチステークホルダー等で複雑化する通信事

総務省は、制度、技術、情報共有、市場、振興等

故の報告・原因検証を通じたリスクマネジメントに関すの各分野で総合的な 5G セキュリティの施策を推進して※ 66。2021 年度は、同委いる。2021 年時点で注目されるのは、2020 年 5 月に施員会に事故報告・検証制度等タスクフォースを設置し行、2021 年 9 月にデジタル庁発足を受けて一部改正さて事業者ヒアリングを実施した。また、事故対応で事れた「特定高度情報通信技術活用システムの開発供給

業者・官庁・自治体が即応連携する際に課題となる及び導入の促進に関する法律※ 72」の運用である。

るガバナンスを検討している

同法は、5G の全国基地局やローカル 5G に関わる高マルチステークホルダーの拡散（増大）について、リス※ 67ループ等）の強化

度情報通信システムの開発導入を税制面で優遇するもが重要であるとし、この視点から、サイバー攻撃を原ので、導入においてはサプライチェーンセキュリティを含因とする通信事故報告制度や検証制度の在り方、個むセキュリティ対策を求めている。税制優遇措置は当初

人情報保護法への対応、事故検証に基づくリスクア

施行後 2 年であったが、2021 年 12 月、3 年間の延長

セスメント機能の強化等を検討した。これらの検討結が閣議決定された※ 73。

クマネジメント（PDCA、OODA

果は報告にまとめられ※ 68、同報告に対する意見募集

上記のサプライチェーンセキュリティには、5G 関連機※ 69の結果が 2021 年 9 月 22 日に公表された。

器調達における海外（特に中国）ベンダへの依存リスク
対応が含まれる。海外ベンダ依存リスクを低減するため、（b）
電気通信事業者の積極的なサイバー攻撃対策

総務省は、5G 製品の相互接続規格化推進、5G 市場

総合対策 2021 では、IoT 機器へのサイバー攻撃がのオープン化施策を推進している。ベンダに向けた施策

急増している状況（図 2-1-8）を鑑み、端末側の脆弱性

としては、相互接続規格 O-RAN（Open Radio Access対策だけでなく、ネットワーク側での機動的な対策が必

Network）※ 74 の普及、国内の O-RAN 相互接続検証

要、としている。具体的に総務省は、情報フロー分析

拠点の具体化に取り組んでいる。また 5G 事業者に対しによる C&C（Command and Control）サーバ検知手法ては、周波数帯域割り当てにおいて、オープン化規格の実証施策を検討し、「電気通信事業におけるサイバーに基づく機器の採用計画を必須とし、これを含む特定基

攻撃への適正な対処の在り方に関する研究会」
にて、通地局向け周波数割り当て指針に関して 2021 年 12 月に

信の秘密に抵触しない範囲で事業者が共有できるサー

意見募集を行った※ 75。
このほか、2020 年 2 月に ICT-ISAC に設置された「5Gバ情報について整理した。またこの内容を「第四次とりま82

情報セキュリティ白書

セキュリティ推進グループ」は、ローカル 5G のセキュリティ※ 76

立ち上げ、我が国のトラストサービスの在り方に関するしている。具体的には 5G検討を行い、2020 年 2 月にトラストサービスの取り組み

関連機器ベンダ、通信事業者、ユーザ企業を対象としの方向性について提言した※ 80。この提言を踏まえ、タたアンケート調査結果を 2021 年 3 月に公開し、参照す

イムスタンプ認定制度の適切な運用、電子文書の発行べきガイドライン策定の必要性を指摘している。今後のガ元の真正性を証明する e シール等トラストサービスの普イドラインの整備が期待される。

及方策の検討を行った。

対策調査活動等を実施（3）新型コロナウイルスへの対応に関する
セキュリティ対策の推進

認定制度に関する検討会」を立ち上げ、現行の民間の認定制度である「タイムビジネス信頼・安心認定制度」の課題や EU（European Union：欧州連合）等の国際

2 月以降、人の移動を抑制し、患者・感染者との接触的な制度との整合性等の観点から議論を行い、2021 年

機会を減らす観点から、テレワークや時差出勤が推進さ4 月に「時刻認証業務の認定に関する規程（令和 3 年れている。総合対策 2021 では、新型コロナウイルスへ

総務省告示第 146 号）」を公布し、国によるタイムスタンの対応に関するセキュリティ対策として、以下の二つのプの認定制度を整備した※ 81。
e シールについては、2020 年 4 月に「組織が発行す対策を挙げている。

るデータの信頼性を確保する制度に関する検討会」を立（a）
テレワークセキュリティの確保

ち上げ、e シールの利用が有効なユースケースや、我

総務省では、企業等がテレワークを実施する際のセが国の e シールの在り方等について検討を行い、2021

キュリティ上の不安を払拭し、安心してテレワークを導入・

年 6 月に「e シールに係る指針」を公表※ 82 し、今後、我活用するための指針として「テレワークセキュリティガイド

が国の e シールの信頼性を担保するために利用者、認ライン」の初版を 2004 年 12 月に策定した。その後、状証局、e シールサービスの提供事業者、e シールを活用

況の変化に対応して改定を行い、2021 年 5 月に第 5するアプリケーションの提供事業者等に求められる技術版を公表した。また、セキュリティの専任担当がいな

上・運用上の基準等について整理した。

い中小企業等のシステム管理担当者を対象として、テレ電子署名については、2020 年 7 月に「電子署名法 2

ワークを実施する際に最低限のセキュリティを確実に確保条 1 項に関する Q&A ※ 83」を、9 月には「電子署名法 3

してもらうため「中小企業等担当者向けテレワークセキュ

条に関する Q&A ※ 84」を公表する等、電子署名法上のリティの手引き（チェックリスト）」等を 2020 年 9 月に策定

電子署名の利便性を改善した。

し、2021 年 5 月に最新のセキュリティ動向等を踏まえて（4）
デジタル改革・DX 推進の基盤となる
サービス等のセキュリティ対策の推進

改定を実施した※ 78。総務省はまた、テレワークを導入する企業等のセキュリティ対策状況の実態調査を実施した。
2022 年 3 月に公表された報告書によると、テレワーク導総合対策 2021 では、デジタル改革や DX 推進の基入の課題として、最も多かったのは「テレワークに必要な盤として IoT やクラウドサービス、そしてそれらのサービ

端末等の整備」（51.9%）、次いで「セキュリティの確保」

スを組み合わせたユースケースであるスマートシティ等を（51.6％）、「通信環境の整備」（44.3%）という結果で、セ安全に安心して利用できる環境を整備していくことが重キュリティの確保は大きな課題の一つであることがうかが要であるとし、セキュリティ対策として以下の三つの重点

※ 79

える

。

施策を挙げている。

（b）
トラストサービスの制度化と普及促進（a）
IoT のセキュリティ対策

新型コロナウイルス感染防止のため、対面を前提とし総合対策 2021 では、IoT 機器の設計・製造・販売

ない手続きの整備が進んだが、その際、データの改ざ段階と運用段階のセキュリティ対策強化を並行して行うとんや送信元のなりすまし等を防止する仕組みとしてトラスしている。

トサービスの必要性が高まった。

• 設計・製造・販売段階の対策

総務省では、「プラットフォームサービスに関する研究製造事業者に対して IoT 機器のセキュリティ・バイ・

会」のもとに「トラストサービス検討ワーキンググループ」をデザインの考え方を十分に浸透させるとともに、対策

83

2

情報セキュリティを支える基盤の動向

新型コロナウイルスの感染防止対策のため、2020 年

第 章

タイムスタンプについては、2020 年に「タイムスタンプ

※ 77

2022

がとられた機器の市場への展開を促進させるために、

務省は、2014 年に策定したクラウドサービス事業者向け

総務省は「電気通信事業法に基づく端末機器の基準の「クラウドサービス提供における情報セキュリティ対策ガ

認証に関するガイドライン」（以下、技術基準）を策定

イドライン」について、全体の構成や責任共有モデルの※ 85を公表した。一般社団

考え方・管理策の見直し等を行い、2021 年 10 月に改

法人重要生活機器連携セキュリティ協議会（CCDS：定した※ 93。改定内容については「3.3.4 クラウドの情報

Connected Consumer Device Security Council）

セキュリティに対する政府の取り組み」
を参照されたい。

し、2020 年 9 月に第 2 版は、この技術基準に加え、製品分野ごとのセキュリティ
要件のガイドライン※ 86 を策定し、当該要件に適合し（c）
スマートシティのセキュリティ対策

た IoT 機器に対して適合していることを示すマークを

総務省は 2021 年 6 月に、安全・安心なスマートシティ

付す認証の仕組み（CCDS サーティフィケーションプロの実現に資するため、「スマートシティセキュリティガイドラ

※ 87。2021 年 10 月には、

イン
（第 2.0 版）※ 94」を公表した。2020 年 10 月に公表し現金自動預け払い機（ATM）関連システムの物理・た第 1.0 版を、よりスマートシティの運用の実態に沿った、

サイバー攻撃対策に関するCCDSサーティフィケーショ

スマートシティ構築・運営主体が利用しやすいガイドライ

グラム）
を構築し、
運用している※ 88

ンプログラムの運用を開始した。

ンとする改定である。本ガイドラインでは、スマートシティ• 運用段階の対策の構成要素を「ガバナンス」「サービス」「都市 OS」「ア

既に運用されている IoT 機器のセキュリティを高める対セット」の四つのカテゴリに分け、各カテゴリにおけるセキュ策が必要であるとして、2019 年 2 月よりNICT が脆弱

リティと、スマートシティ全体としてのセキュリティそれぞれ性等のある IoT 機器を調査し、電気通信事業者（ISP：の観点から考慮すべきリスクや対策について整理していInternet Service Provider）を通じて利用者へ注意る。添付のセキュリティ対策一覧表やチェックシートは、※ 89

喚起を行う取り組み「NOTICE」を実施している。

スマートシティの分野や特性を踏まえたセキュリティ対策

2021 年度は、総務省のロゴ入り封筒による郵送の注の検討に活用されることが期待される。

意喚起の実施、注意喚起への対応ができていない利

また、2021 年 6 月に、上記ガイドラインを活用しようと

※ 90

。

するスマートシティ推進主体やサービス提供者等に向け

更に、これまでは Telnet 及び SSH（パスワード認証）

た導入ガイドブックとして、「スマートシティセキュリティガイのみを調査対象としてきたが、対象を http/https プ

ドブック※ 95」を公表した。上記ガイドラインと同様に活用

ロトコルに広げ、2022 年 3 月から予備調査を開始しが期待される。

用者（法人）に対する電話ヒアリング等を実施した

※ 91

た

。

また、2019 年 6 月からは既にウイルスに感染している（5）ICT サイバーセキュリティに係る横断的施策

IoT 機器を NICT の「NICTER」プロジェクトで得られ総合対策 2021 では、ICT サイバーセキュリティに係た情報を基に特定し、IPA を通じて利用者へ注意喚る横断的施策として、国際連携の推進、研究開発の推起を行う取り組みも実施している。2021 年は 1IP アド

進、人材育成・普及啓発の推進が掲げられている。以レスあたりで約 175 万パケットが観測され、2012 年以下にそれぞれの概要を述べる。

降続いていた増加傾向が減少（約 6% 減）に転じた（a）
国際連携の推進が、2019 年と比較すると約 1.4 倍の値であり、依然

サイバー空間は国境を越えて利用される領域であるこ多くのサイバー攻撃関連パケットが観測されている状※ 92

況が続いているとのことである （2021 年度の注意喚とから、情報共有、国際的なルール作り、研究開発、起数については「3.2.3（1）
国内における実態」参照）。

人材育成等の多様な取り組みが必要である。アジア地域においては ASEAN 各国との関係強化のため、日（b）
クラウドサービスの利用の進展を踏まえた対応

ASEAN サイバ ー セキュリティ能 力 構 築 センター

総合対策 2021 では、クラウドサービス利用時の設定（AJCCBC：ASEAN-Japan Cybersecurity Capacity

ミスを防止・軽減するため、発生している設定ミスやそ

Building Centre） において、CYDER 等を通じて、れに起因する事故、クラウドサービス事業者における取ASEAN のセキュリティ人材の育成支援を実施し、4 年

り組み状況等を把握し、当該事業者のセキュリティ対策

間で 734 名が参加している（2021 年 12 月現在）。また、を促す方策を検討することが適当であるとしている。総オンライン環境で受講可能なプログラムの拡充、有志国

84

情報セキュリティ白書（6）地方自治体の情報セキュリティとの第三者連携、国内企業により開発された演習の提供等を実施している。なお、ASEAN 諸国との包括的本項では、自治体等の情報セキュリティ対策の見直し

な連携については「2.2.1（3）アジア太平洋地域のサイについて、総務省が 2021 年 9 月より開始した「地方公バー連携」
を参照されたい。

共団体における情報セキュリティポリシーに関するガイドラ
インの改定等に係る検討会」からの公表情報等を参照し更に 5G・ポスト5G 推進とセキュリティ確保、知財権・て述べる。

プライバシー保護を含む安全なデジタルデータ流通につ（a）2021 年度の動向を実施している。2021 年度は以下の通り行われた。

2021 年 7 月、NISC の「政府機関等のサイバーセキュ※ 97• 2022 年 2 月 3 日：日 EU・ICT 政策対話
（第 27 回）

リティ対策のための統一基準群※ 15」が改定された。これ• 2022 年 3 月 23 日〜 24 日：日独 ICT 政策対話（第 6を踏まえ、総務省は「地方公共団体における情報セキュ• 2021 年 6 月 17 日：日仏 ICT 政策協議（第 21 回）

※ 98回）

リティポリシーに関するガイドライン」について、2020 年
12 月に改定した内容を維持しつつ、2021 年 9 月から 12月にかけて 3 回の検討会を実施 ※ 101、2022 年 3 月 25（b）
研究開発の推進日に改定版を公開した※ 102。

NICT は中長期計画に基づき、サイバーセキュリティ

主な改定内容は次の 4 点となる※ 103。

分野の基礎的、基盤的な研究開発等を実施している。

①業務委託・外部サービス利用時の情報資産の取り扱

具体的には、2022 年度までの 3 年間は「電波の有効利用のための IoT マルウェアの無害化、無機能化技術等

いについてに関する研究開発」等に取り組んでいる。本研究では、• 外部サービスを「業務委託」と「外部サービス」に再AI 技術を駆使した IoT マルウェアの挙動検知及び駆定義した上で、「機密性 2 以上の情報を取り扱う

除、感染した IoT 機器の無害化、無機能化の技術開場合」と「機密性 2 以上の情報を取り扱わない場

発に取り組むとしている。

合」に区分し、取り扱う情報に応じたセキュリティ対
策を追記

（c）
人材育成・普及啓発の推進• 機密性 2 以上の情報を取り扱う外部サービスの利

2021 年 4月に発足したサイバーセキュリティ統合知的・用ライフサイクルに渡るセキュリティ要件の追加、及人材育成基盤「CYNEX（Cybersecurity Nexus：サイびシャドー IT 対策となる組織内のサービス利用規ネックス）」は、我が国のサイバーセキュリティの対応力向定整備の要請を追記。CYNEX では、• クラウドサービス選定の指標・基準等として ISMAPNICT がこれまで 取り組 んできた、「STARDUST」

や ISO/IEC 27017 等の第三者認証の活用を推奨「NICTER」「CYDER」「ナショナルサイバートレーニング②未知の不正プログラム対策製品やソフトウェア等の導センター」等の知見、成果を産学官に開放する。更に入に加え、監視体制や CSIRTとの連携を留意点とし配下に四つのサブプロジェクト「Co-Nexus」
を設け、サイて追記

上を目指すための共通基盤である

バーセキュリティに関する攻撃分析、データ収集・蓄積、③多様な働き方を前提としたセキュリティ対策として製品検証、人材育成等の活動を行う。2022 年 2 月には• テレワークで職員が確認すべきチェック項目やショル

サブプロジェクトの一つであり、演習教材と実機の演習

ダーハッキング防止等のテレワークの運用面に関す※ 100

環境からなる「CYROP（サイロップ）」のトライアル利るセキュリティ対策を追記

用を期間限定で実施した（「2.3.4（7）
CYNEX」参照）。

• BYOD（Bring Your Own Device）利用時のセ

他方、インターネットの安心・安全な利用のため、児童・キュリティ対策として IP アドレス、MAC アドレス等

生徒とその保護者等を対象にした啓発事業「e-ネットキャによる端末認証や端末利用申請手続きの遵守、端ラバン」を官民連携で実施している。2021 年度の実施

末に情報を保存できないようにする機能を設ける等

件数は 2,559 件、開催場所は 47 都道府県で、全国まの対策を追記んべんなく開催されている。

• Web 会議サービス利用時のセキュリティ対策として
Web 会議に無関係な者が参加できないようにする対策等を追記852

情報セキュリティを支える基盤の動向

※ 96

第 章

いて、欧州諸国・EUとも定期的に協議やワークショップ

※ 99

2022

としている。

④マイナンバー利用事務系から外部接続先（eLTAX、
ぴったりサービス）へのデータのアップロードについて、2021 年 6 月、ガバメントクラウドの先行事業の公募が地方公共団体に対してリスク分析と情報セキュリティ

開始された※ 106。次期自治体情報セキュリティクラウドの対策の徹底を条件に認めることを追記

一部として活用を希望する都道府県を対象に、ガバメン
トクラウド等を通じてセキュリティ機能を国が提供する先

（b）
今後の予定

行事業となる。検証予定とするセキュリティシステムを地方自治体の基幹業務システムの統一・標準化に関CDN（Content Delivery Network）及び WAF（Web

しては、「デジタル社会の実現に向けた重点計画」（2021

Application Firewall）とし、サイバー攻撃やシステム障※ 104。以下、重点計画）に害時の国・地方の役割・連携方法を含め、効果的なセ

おいて、基幹業務システムを利用する原則すべての地

キュリティ対策の実施手法や運用に係る経費の削減等

方公共団体が、目標時期である 2025 年度までに、ガバ（図 2-1-9）。
導入効果を検証する予定となっている※ 107

メントクラウド上に構築された標準準拠システムへ移行で2021 年 10 月、ガバメントクラウド先行事業のうちセキュ

年 6 月及び 12 月に閣議決定

※ 105

。また、

リティシステムを対象とする自治体について、2 グループ

地方自治体が活用するクラウド環境のセキュリティ対策に（c）経済社会基盤を支えるが採択された※ 108（「2.1.1（2）としており、
セキュリティ
ついては「適切に講じる予定※ 104」

各主体における取り組み」参照）。

きるよう、環境を国が整備する、としているについては、各自治体が個別にセキュリティ対策や運用（7）その他の取り組み監視を行う必要がなく、また個別の対応が難しかった最
※ 104

。

新のセキュリティ対策も導入可能になる、としている

総務省のその他の取り組みについて述べる。

重点計画は、「自治体の三層の対策」の抜本的見直しを（a）
無線 LAN セキュリティ

含め、2022 年の夏を目途に地方公共団体のガバメントク
ラウド活用に関するセキュリティ対策の方針を決定してい総務省では、無線 LAN の利用者・提供者のそれぞ

くとし、また先の総務省検討会では「ガバメントクラウド活れに向けたセキュリティ確保に関するガイドラインとして用に関する新たなセキュリティ対策の在り方については、「Wi-Fi 利用者向け簡易マニュアル」及び「Wi-Fi 提供※ 103

者向けセキュリティ対策の手引き」を作成し※ 109、2020 年」

デジタル庁における検討と連携し、随時検討を行う

インターネット空間
悪意のある攻撃（Ddos攻撃 等）

ガバメントクラウド等により国として提供する機能
国として提供する共通セキュリティ機能（CDN・WAF）
セキュリティシステム
基幹業務アプリ

自治体セキュリティクラウドの一部機能を国において提供

CDN・WAF

市町村庁舎

自治体セキュリティクラウド
（SOC等）

都道府県庁舎基幹業務アプリの利用

インターネット閲覧、
メール、
民間クラウド利用 等

インターネット閲覧、
メール、
民間クラウド利用 等■図 2-1-9 先行事業（セキュリティシステム）
について
（出典）
内閣官房「地方自治体によるガバメントクラウドの活用（先行事業）について※ 107」を基に IPA が編集

86

情報セキュリティ白書

2022

事業における個人情報保護に関するガイドライン※ 113」のWi-Fi利用者向け

簡易マニュアル〜 安 全 な W i - F i の 利 用 に 向 け て 〜

解説を踏まえ、関係事業者における適切な取り組みを

Wi-Fi提供者向け推進する等の対応を行っている。同ガイドラインは 2022

セキュリティ対策の手引き

年 3 月 31 日に改訂された。

〜安全なWi-Fiの提供に向けて〜

令和２年５月版

令和２年５月版

2.1.4
なく、外出先においても有料・無料を問わず多くのWi-Fiが利用可能となっています。
通信料金を気にせず、高速な通信を利用する手段として、Wi-Fiは大変便利ですが、その反面、適切なセキュリティ対策をとらずにいると、気づかない間に通信内容が盗み見られたり不正アクセスを受けたりするおそれがあります。

本マニュアルは、Wi-Fiの利用者に対し、安全なWi-Fiの利用のために必要なセキュリ

ティ対策等に関する理解を深めてもらうことを目的としています。

※Wi-Fi（ワイファイ）とは、無線LANの普及促進を行う業界団体であるWi-Fi Allianceから認証を受けた機器のことです。
現在は認証を受けた機器が増えたことから、無線LAN全般を指してWi-Fiということもあり、本マニュアルでもその意味で使用しています。

警察庁では、｢警察におけるサイバーセキュリティ戦

顧客や来訪者に対するサービス・利便性の向上を目的として、Wi-Fiを提供する施設等が増えてきています。一方で、セキュリティ対策が十分とられていないものもあり、そのような場合には、利用者のプライバシーが守られなかったり、不十分な設定や管理によって通信内容の漏えい等のセキュリティ被害を受けたりするおそれがあります。

略※ 114｣ 及び「サイバーセキュリティ重点施策※ 115」に従本手引きは、Wi-Fiの提供者に対し、安全なWi-Fiの提供のために必要なセキュリティ対策等に関する理解を深めてもらうことを目的としています。

※Wi-Fi（ワイファイ）とは、無線LANの普及促進を行う業界団体であるWi-Fi Allianceから認証を受けた機器のことです。
現在は認証を受けた機器が増えたことから、無線LAN全般を指してWi-Fiということもあり、本手引きでもその意味で使用しています。また、本手引きでは、「Wi-Fiによるインターネット接続サービス」も「Wi-Fi」と表記しています。

推進している。

■図 2-1-10 無
 線 LAN 利用者・提供者向けガイドライン（出典）
総務省「無線 LAN（Wi-Fi）の安全な利用（セキュリティ確保）
に
※ 109
ついて
」

本項では、2021 年度の警察におけるサイバーセキュリ
ティ重点施策への取り組み状況とサイバー犯罪の情勢等

5 月にこれらの改訂を行っている（図 2-1-10）。

について、警察庁が公開している「令和 3 年上半期にお「Wi-Fi 利用者向け簡易マニュアル」では、以下のセけるサイバー空間をめぐる脅威の情勢等について※ 116」

キュリティ対策の三つのポイントを示し、解説している。

及び「令和 3 年におけるサイバー空間をめぐる脅威の情• 接続するアクセスポイントの確認

勢等について※ 117」等に基づいて述べる。

• https 通信の際の URL の確認（1）警察における主な取り組み• 自宅に設置している機器の設定の確認「サイバーセキュリティ重点施策」は、「サイバー空間「Wi-Fi 提供者向けセキュリティ対策の手引き」では、の脅威への対応の強化」「警察における組織基盤の更利用者を守るための対策や、Wi-Fi を安全に提供するなる強化」及び「国際連携及び産学官連携の推進」
を主ための対策等について解説している。

な柱としている。これらを踏まえ、2021 年度の警察におけるサイバー犯罪対策の主な取り組みについて述べる。

2021 年度の活動として、無線 LAN のセキュリティ対策に関する周知啓発を目的として、オンライン講座を開講
した※ 110。

（a）
サイバー空間の脅威への対応の強化
サイバー空間が社会活動を営む重要かつ公共性の高（b）
不正アクセス対策

い場へと変貌を遂げつつある中で 2021 年のサイバー犯

総務省は、「不正アクセス行為の禁止等に関する法罪の検挙件数は 1 万 2,209 件と過去最多を記録した。

※ 111」に基づく取り締り等から得た不正アクセスの手口

ランサムウェアによる被害の拡大、不正アクセスによる情に関する最新情報の提供や、「不正アクセス行為の発報流出、国家を背景に持つ集団によるサイバー攻撃等、

生状況及びアクセス制御機能に関する技術の研究開発

サイバー空間をめぐる脅威は、極めて深刻な情勢が続

律

※ 112

の状況」を公表すること等を通じ、不正アクセスのいているという。

防御に関する啓発及び知識の普及を図る等により、官• ランサムウェアの傾向と対応

民で連携した不正アクセス防止対策を推進している。な2020 年下期の企業・団体等におけるランサムウェア被お、上記の「不正アクセス行為の発生状況及びアクセス

害の報告件数が 21 件であったものが、2021 年上期制御機能に関する技術の研究開発の状況」は 2022 年

は 61 件、同年下期は 85 件と急増した（警察庁による

4 月 7 日に更新された。2021 年 1 月 1 日〜 12 月 31 日

ランサムウェア被害の調査結果については「1.1.2（4）の不正アクセス行為発生状況については「2.1.4（1）（a）

国内被害が拡大したランサムウェアについて」参照）。

サイバー空間の脅威への対応の強化」
を参照されたい。

ランサムウェアへの対策として、警察庁 Web サイトで
※ 118
、一般社団法人日本の注意喚起（2021 年 9 月）（c）
ログ保存の在り方

損害保険協会等との連携による警察への通報促進に

安全・安心なサイバー空間を構築するための通信履向けた取り組み※ 119、ダーク Web 上のサイトに掲載さ歴等に関するログの保存の在り方について、「電気通信れた「VPN 製品の認証情報」に関係する企業等への87

2

情報セキュリティを支える基盤の動向

い、サイバー空間の脅威への対処に関する取り組みを第 章

警察によるサイバー犯罪対策

スマートフォンが普及し、公衆Wi-Fi環境の整備も進んできたことで、自宅だけでは

注意喚起、医療機関を標的としたランサムウェアの被中、24 時間体制で臨んだ結果、大会の運営に影響

害に関する厚生労働省への情報提供等、関係機関を及ぼすようなサイバー攻撃は見受けられなかった※ 124と連携した対策を行った。

（「2.2.1（1）（c）オリンピック開催と期間中の首脳・外相
会談」参照）。

• 不正アクセスによる政府機関等からの情報流出
サイバー攻撃による情報窃取事案については、国内（b）
警察における組織基盤の更なる強化

において政府機関や研究機関等が外部からの不正ア

警察のサイバー犯罪対応体制としては、警察庁のサクセスを受け、個人情報等が流出した可能性がある事案が相次いで確認されている。

イバー攻撃対策室が、都道府県警察が行う捜査に対す

具体的な事例としては、国立研究開発法人海洋研る指導・調整、官民連携や外国治安情報機関との情究開発機構からの不正アクセス被害の発表（2021 年

報交換に当たっている。また、サイバー攻撃対策室長

3 月）、内閣府からの内閣府、内閣官房、復興庁及を長とする「サイバー攻撃分析センター」でサイバー攻撃

び個人情報保護委員会が使用するファイル共有ストに係る情報の集約・分析を実施、14 都道府県警察にはレージへの不正アクセス被害の公表（同年 4 月）
、原「サイバー攻撃特別捜査隊」を設置している。更に技術

子力規制庁からの原子力規制委員会ネットワークシス

面での支援部隊として警察庁の「サイバーフォースセン

テムへの不正アクセス被害の中間報告（同年 5 月）等

ター」
を司令塔に、全国の地方機関の情報通信部に「サがある。

イバーフォース」を設置、24 時間体制でのサイバー攻撃

また警察庁が実施した企業、行政機関等における不の予兆・実態把握、標的型メールに添付された不正プ

正アクセスの実態調査報告（同年 12 月公開）によると、ログラムの解析等を行っている※ 121。

回答総数 716 社・団体のうち、過去 1 年間に不正ア

2021 年、警察庁の私的懇談会であるサイバーセキュ

クセス等の攻撃・被害に遭ったと回答したのは 95 団体

リティ政策会議※ 125 において「サイバー局等新組織にお（13.3%）であった※ 120。

いて取り組む政策パッケージ」が議論され、サイバー空• 国家を背景に持つ集団によるサイバー攻撃

間を取り巻く情勢とリスク、新組織に求められる役割、そ警察の捜査により国家レベルの関与の可能性が明らの役割を果たす上での政策課題及び解決のための具かになったサイバー攻撃の事案がある。

体策等の提言を含む報告書が取りまとめられ、12 月に

具体的には、レンタルサーバ不正契約事件の捜査から公開された※ 126。

国立研究開発法人宇宙航空研究開発機構（JAXA：

並行して、警察法の一部を改正する法律案が 2022

Japan Aerospace Exploration Agency）
を始めとす

年 1 月に国会に提出された※ 127。国会では、サイバーる国内企業等へのサイバー攻撃に中国人民解放軍が事案に関する政策を一元的に担うサイバー警察局ととも

※ 121

や、日本

に、重大サイバー事案の捜査、実態解明の責を担う捜製法人版セキュリティソフトの年間使用権の不正取得

査部隊を警察庁に設置すること等が審議された。このに係る捜査から、中国人民解放軍が日本国内の各種結果、2022 年 4 月、警察庁にサイバー局、関東管区

情報を収集している可能性が高いとした事案がある。

警察局にサイバー特別捜査隊が発足した。

関与している可能性が高いとした事案

また 2021 年 7 月、 外 務 省 は サイバ ー 攻 撃 集 団（c）
国際連携及び産学官連携の推進｢APT40｣ 等について中国政府を背景に持つ可能性※ 122した。このとき警察は国境を越えるサイバー犯罪・サイバー攻撃に対処する

NISCと連携し、情報収集や対策等を進めていく旨をためには外国捜査機関との協力が必要になる。警察庁でが高いとする談話を発表※ 123、被害企業に対し、不正プログラムへの感

は、国際捜査共助の枠組みの活用や、国際会議、専門

染の可能性や有効な対応策等の情報を提供する等、

家会合、国際刑事警察機構（ICPO：International

被害防止の取り組みも併せて実施している。

Criminal Police Organization、INTERPOLとも呼ば

発表• 東京オリンピック・パラリンピック競技大会れる）等が主催するワークショップへの参加をとおして、

その他、東京 2020 オリンピック・パラリンピック競技大

外国捜査機関等との情報交換、協力関係の確立に積会では、大会関係機関と協力し、官民一体の共同対極的に取り組んでいる。また、情報技術解析に関する

処訓練や、大会関係事業者や重要インフラ事業者等

事案対処に資する技術情報の収集についても、ICPOに対する注意喚起等を継続的に実施した。大会期間

デジタル・フォレンジック専門家会合に参加している※ 121。

88

情報セキュリティ白書

国内では、一般財団法人日本サイバー犯罪対策センへのアクセス件数が特に増加しており、2017 年比で 7.1

ター（JC3：Japan Cybercrime Control Center）等と連倍となっている。普及する IoT 機器の脆弱性に対する携し、産学官の情報や知見をサイバー犯罪・サイバー探索行為であるとみられている※ 132。

2022

攻撃の取り締り等に活用している。
（b）
サイバー攻撃への警察の取り組み

具体的には、2020 年度に引き続き、総務省を装ったサイバー攻撃に対して警察は以下の取り組み等を実偽の特別定額給付金申請サイトへの誘導メールに関す、ワクチン接種予約を装ったフィッシング

施した。

※ 129

• 海外の捜査当局からの警察庁への情報提供に基づ

通信事業者、クレジット会社等を装ったフィッシングサイト

き、総務省と連携し、国内の Emotet に感染しているが多数観測されたことへの注意喚起等を JC3 の Web

機器の情報をインターネットサービスプロバイダ（ISP：※ 130

サイト等で実施した。

Internet Service Provider）に提供した。また ISP
経由で機器の利用者への注意喚起を実施した。

（2）2021 年のサイバー攻撃の情勢• サイバー攻撃事案で使用された不正プログラムの解警察が把握する 2021 年のサイバー攻撃の情勢につ析等を通じて警察が把握した国内 C&C サーバの機

いて述べる。

能停止（テイクダウン）
を、サーバの運営事業者等に働きかけた。運営事業者に対し、不正な蔵置ファイルの（a）
リアルタイム検知ネットワーク

削除を依頼する等により無害化措置を実施した結果、警察庁では、インターネットとの接続点にセンサーを設※ 131

27 件の C&C サーバの機能が停止した。

を 24 時• 電力事業者、自治体、金融機関等重要インフラ事業間体制で運用し、通常のインターネット利用では想定さ者等とのサイバー攻撃の発生を想定した共同対処訓れない接続情報等を検知、集約・分析している。本シ練を継続的に実施した。

置してリアルタイム検知ネットワークシステム

ステムが検知するアクセスの大半は、不特定多数の IP（3）2021 年のサイバー犯罪の情勢等

アドレスを対象とするサイバー攻撃やネットワークに接続さ警察が 2021 年に認知したサイバー犯罪の情勢等にれた機器の脆弱性を探索するサイバー攻撃の準備行為ついて述べる。

とみられている。2021 年に本システムで検知した不審なアクセス件数は、1 日・1IP アドレス当たり7,335.0 件（前（a）
サイバー犯罪の情勢

年比 12.7% 増）で、右肩上がりで増加している（図 2-1-

主なサイバー犯罪の情勢について以下に述べる。

11）。検知したアクセスの送信元は大半が海外であり、海外からのサイバー攻撃等の脅威が高くなっていること• フィッシング等に伴う不正送金・不正利用が分かる。

「インターネットバンキングに係る不正送金事犯」として
は、SMS 等を用いて金融機関等を装ったフィッシング

（件 / 日・IP アドレス）
8,000

サイトへ誘導する手口のほか、インターネット上のメモ

7,335.0

アプリ等に保存していたネットバンキングのID、
パスワー

6,506.4

6,000

ド等が、同アプリ等への不正アクセスから窃取され不正送金に使用されたと思われるケースが確認されてい4,192.0

4,000

る。インターネットバンキングに係る不正送金事犯によ2,752.82,000

01,893.0

る被害が集中している金融機関に対して、警察からはモニタリングの強化、認証手続きに関するセキュリティ

2017年

2018年

2019年

2020年

の強化、利用者への注意喚起の強化等を重点的に実2021年施してきた。2019 年に増加した発生件数、被害額は■図 2-1-11 サイバー空間における探索行為等とみられるアクセス件数（出典）
警察庁｢令和 3 年におけるサイバー空間をめぐる脅威の情勢等について｣を基に IPA が編集

ともに 2 年連続で大きく減少した（次ページ図 2-1-12）。
他方、既述の JC3 の注意喚起では、フィッシングのター

また検知したアクセスの宛先ポートも、主として IoT 機

ゲットが従来の銀行等の金融機関から、クレジットカー器が標準設定で使用するポート番号 1024 以上のポートド情報や各種 EC サイトのアカウント情報へと変化して

892

情報セキュリティを支える基盤の動向、ネット通販サイトの e コマース、に関する注意喚起

第 章

る注意喚起

※ 128

（百万円）
4,000

1,872

（件）
2,000

（件）
15,0001,734

12,20912,000

1,500

3,000
2,521

9,000

9,014

9,040

2017年

2018年

9,519

9,875

2019年

2020年

1,000

2,000

6,000
1,000

0

1,133

1,081
425

2017年

820

322
461

2018年

584

2019年

被害額（百万円）

2020年

2021年

500

3,000

0

0

2021年

発生件数
（件）

■図 2-1-13 サイバー犯罪の検挙件数（出典）
警察庁｢令和 3 年におけるサイバー空間をめぐる脅威の情勢等について｣を基に IPA が編集■図 2-1-12 インターネットバンキングに係る不正送金事犯（出典）
警察庁｢令和 3 年におけるサイバー空間をめぐる脅威の情勢等について｣を基に IPA が編集いる、と分析している。

ら大きく増加した（図 2-1-13）。

これらに対し警察は、不正送金組織、口座売買組織

2021 年 11 月に警察庁長官官房が実施した犯罪情勢の検挙等のほか、金融機関とのサイバー犯罪防犯情に関するアンケート調査（全国の 15 歳以上の男女 5,000報連絡会議等の連携強化、メモアプリ提供事業者に人を対象）によると、サイバー犯罪に遭うことへの不安感

対する被害防止対策の要請や各種注意喚起を実施とをもっているとの回答が 79.4%（2020 年は 75.3% ※ 134）している。

なり、その他の犯罪（窃盗、暴行、殺人、詐欺等）
を抑え、第一位となっている（図 2-1-14）。同調査で過去 1• 不正商品購入事犯
2020 年 9 月に確認されたスマートフォン決済サービス

年間にサイバー犯罪の被害に遭った、または遭う恐れのを使った不正商品購入の事犯では、2021 年 6 月まである経験をしたとの回答は 35.9% に上る。また、ここ 10に男女 8 人を詐欺等で検挙した。不正に使われたス

年で日本の治安が悪くなったと思うとした回答が 64.1%、

マートフォン決済サービスに関して、サービス事業者とその要因として 57.1% の方がサイバー犯罪を上げてい

業務提携する金融機関に開設された口座情報を不正る※ 132。国民のサイバー空間に対する不安感は年々高に入手し、振替を行う手口について、金融庁及び関まっている。警察等の公的な機関が必要な役割を果た係団体に情報提供するとともに不正防止対策強化のし、サイバー空間において実空間と同じく安全・安心の要請を実施した。

確保を図っていくことが求められている。

• SMS 認証代行
二要素認証等において本人確認として使われている

サイバー犯罪SMS 認証を不正に代行する「SMS 認証代行」についインフラにもなりうる懸念から、総務省と連携し、業界団体に対して SMS 機能付きデータ SIM 契約時の本
人確認の強化を要請した。併せて都道府県警察に対

殺人・強盗

61.8%

暴行・傷害

59.8%

オレオレ詐欺などの詐欺し、法令に違反する悪質事業者の取り締り強化を図った※ 133。
（b）
検挙件数
警察庁長官官房が公開している ｢令和 3 年の犯罪情
勢

71.7%

窃盗
（盗難）

て、特殊詐欺等に必要な犯行ツールを提供する犯罪

※ 132

79.4%

54.5%

ストーカー

44.4%

性犯罪

42.2%

DV

｣ によると、国内の犯罪情勢を測る指標のうち、

34.6%
0

刑法犯認知件数の総数は、2003 年以降一貫して減少

不安を感じる
不安を感じないしており、2021 年は戦後最少を更新している。一方で、

2040
ある程度不安を感じる
わからない

60

80
100
（％）
あまり不安を感じない■図 2-1-14 犯
 罪に遭うことに関する不安感（出典）
警察庁｢令和 3 年の犯罪情勢｣を基に IPA が編集

サイバー犯罪の検挙件数は 2020 年まで 1 万件弱で推移していたが、2021 年は 1 万 2,209 件に上り、前年か90情報セキュリティ白書

2.1.5

イドラインを作成する「暗号技術調査ワーキンググループ

CRYPTRECの動向（耐量子計算機暗号）」と、従来の暗号技術では実現

電子政府の情報セキュリティを確保するため、デジできないような機能を持つ「高機能暗号」に関するガイ

タル庁、総務省、経済産業省、NICT、及び IPA はドラインを作成する「暗号技術調査ワーキンググループ

安全性と実用性に優れた暗号技術を選び出すことを（高機能暗号）」が設置されている。

目的に、CRYPTREC（Cryptography Research and• 暗号技術活用委員会
セキュリティ対策の推進、暗号技術の利用促進等にでは、電子政府システムでの利用を推奨する暗号アルゴ

寄与する運用ガイドラインの整備を中心とした、暗号※ 135

利用に関する課題の検討を担当する。傘下には、監視し、暗号技術の適切な実装法や運用法を調査、2020 年度に公開した「暗号鍵管理システム設計指針※ 136」のガイダンスを作成する「暗号鍵管理（基本編）

検討している。

ガイダンスワーキンググループ」が設置されている。

（1）2021 年度の体制（2）2021 年度の主な活動

CRYPTREC は、デジタル庁と総務省、経済産業省

2021 年度の暗号技術検討会及び各委員会の主な活が運営し、政策的な判断を含む総合的な観点から電子

動内容・成果について以下に述べる。

政府の安全性及び信頼性を確保する活動を推進する「暗号技術検討会」、及び NICTとIPA が運営し、主（a）
暗号技術検討会に技術的な評価を実施する委員会とで構成されている。
委員会には、暗号技術の安全性評価を中心とした技

2021 年度には、各委員会の 2021 年度活動計画、術課題を主に担当する「暗号技術評価委員会」と、セ及び活動報告の審議が行われ、承認された。更に、キュリティ対策の推進、暗号技術の利用促進に向けた

以下の項目についても審議が行われ、承認された。

環境整備を主に担当する「暗号技術活用委員会」が設• 推奨候補暗号リストから電子政府推奨暗号リストへの昇格基準となる「暗号利用実績に関する選定基準」

置されている（図 2-1-15）。

• 電子政府システムの調達・開発にあたって、調達要件や開発要件として採用すべき「暗号強度要件（アル

暗号技術検討会

事務局：デジタル庁、総務省、経済産業省

ゴリズム及び鍵長選択）に関する設定基準」• 鍵長の選択方法や暗号鍵の設定に関する一般的な暗号技術評価委員会
事務局：NICT、IPA

ガイダンスを提供する「暗号鍵設定ガイダンス」

暗号技術活用委員会
事務局：IPA 、NICT• デ ジ タ ル 署 名 EdDSA（Edwards-curve Digital
Signature Algorithm）※ 137 の推奨候補暗号リストへ■図 2-1-15 C
 RYPTREC の体制の追加
暗号技術検討会と両委員会の主な役割は以下のとお（b）
暗号技術評価委員会りである。
• 暗号技術検討会

CRYPTREC 暗号リストに掲載されている暗号技術の

CRYPTREC 活動計画の承認、委員会が作成する安全性と実装性に関わる監視活動のほか、2021 年度

各種成果物の承認等、政策的な判断を含む総合的の主な活動内容・成果は以下のとおりである。

な観点から電子政府の安全性及び信頼性を確保す• デジタル署名 EdDSA の実装性能調査る活動を推進する。

デジタル署名 EdDSA について、2020 年度の安全• 暗号技術評価委員会

性評価に引き続き、2021 年度は実装性能評価を実施

暗号技術に対する攻撃技術動向の調査や安全性評した。その結果、EdDSA の実装上の特徴は、いず

価等、暗号技術の技術的信頼に関する検討を担当

れも実装性能として有益であると考えられ、楕円曲線

する。傘下には、量子コンピュータが実用化されてもDSA（ECDSA：Elliptic Curve Digital Signature

安全性が保てると期待される「耐量子計算機暗号

Algorithm）と比較しても遜色ない十分な実装性能を（PQC：Post-Quantum Cryptography）」に関するガ有していると判断した。

91

2

情報セキュリティを支える基盤の動向）の安全性を評価、第 章を組織している。CRYPTREC
Evaluation Committees）
リズム（CRYPTREC 暗号リスト2022• 軽量暗号に関する技術動向調査• 暗号強度要件（アルゴリズム及び鍵長選択）に関する2020 年度第 2 回暗号技術検討会での了承に基づき、設定基準の検討

2021 年度は、2016 年度に作成した「CRYPTREC

暗号の安全性は暗号アルゴリズムと鍵長の組み合せ

暗号技術ガイドライン（軽量暗号）」の更新のため、により決まるものであるが、今までの CRYPTREC 暗2017 年度以降の技術動向調査を実施した。特に、号リストでは鍵長の取り扱いは規定していなかった。

2016 年度ガイドラインで紹介された暗号方式を中心とそのため、今回、CRYPTREC 暗号リストに掲載されした代表的な軽量暗号に対して、2021 年 9 月時点でている暗号技術を利用する際に、適切なセキュリティ

脅威につながる脆弱性が指摘されているか否かを 3強度を実現するためのアルゴリズム及び鍵長の選択

段 階 で 分 類した。 今 後 は、NIST Lightweight

方法を規定するものとして本基準を作成した。具体的

※ 138

を対

には、電子政府システムを調達または開発する際は、象とした安全性及び実装性能に関わる調査・評価をそのシステムの運用寿命全体と、その期間に実現す実施し、新規情報を追加・更新した文書を 2023 年

るセキュリティ強度の関係を考慮してセキュリティ強度度版ガイドラインとして公開する予定である。

要件を設定し、その強度要件を満たすアルゴリズムとCryptography コンペティションファイナリスト• 暗号技術調査ワーキンググループの活動

鍵長の組み合せを調達・開発要件とするように定めて2020 年度第 2 回暗号技術検討会での了承に基づき、いる。

2021 年度は、耐量子計算機暗号に関するガイドライ• 暗号鍵設定ガイダンスの検討

ン、及び高機能暗号に関するガイドラインを作成するた暗号技術を利用する際の鍵長の選択方法に関する

めに、耐量子計算機暗号を検討するワーキンググルー

一般的な考え方のガイダンスとして作成した。具体的

プと高機能暗号を検討するワーキンググループを設置には、暗号鍵を安全に設定し、運用していくために考し、それぞれの研究動向を調査している。2022 年秋

慮すべき項目として、暗号鍵の鍵長についての考えまで調査を継続し、その結果を踏まえ、2022 年度中

方、暗号鍵のライフサイクル等について解説している。

にこれらのガイドラインを作成する予定である。この活

なお、本ガイダンスでは、実際の利用用途や利用期間、動に加え、主要な公開鍵暗号（RSA 暗号、楕円曲

環境、コスト、その他様々な制約条件を踏まえて、読線暗号）の安全性の根拠となる「素因数分解問題」と者が必要なセキュリティ強度を決めるスタイルを採用し「離散対数問題」の困難性に関して、CRYPTREC

ている。

※ 139

が公開している「予測図」の改訂も行った。

• 暗号鍵管理ガイダンスワーキンググループの活動
情報を安全に取り扱うためには、通信データや保管（c）
暗号技術活用委員会

情報の暗号化に使う暗号アルゴリズムのみに注意を払

2021 年度の主な活動内容・成果は以下のとおりであうだけでは不十分であり、その暗号アルゴリズムに用る。

いられる暗号鍵の管理が適切に行われる必要がある。

• 暗号利用実績に関する選定基準の検討

そこで、2020 年に公開した「暗号鍵管理システム設

暗号利用実績に基づく選定基準（選定ルール）は、

計指針（基本編）」に引き続き、暗号鍵管理について

2012 年度の CRYPTREC 暗号リスト改定の際に初めのガイダンスを作成するため、暗号鍵管理ガイダンスて導入されたものである。2021 年度の委員会では、ワーキンググループを設置した。具体的には、情報シ2012 年以降の暗号アルゴリズムをめぐる状況変化を踏

ステム設計者やシステム調達者が暗号鍵管理を適切まえて選定基準の見直しを行った。その結果、電子に扱えることを目的とし、暗号鍵管理で必要となる項目

政府推奨暗号リストへの昇格のための明確な選定基について、シンプルなモデルを例示しつつ、鍵管理に

準・閾値は設けず、本基準で示す考慮項目を参考における要求や思想が理解できるような記載を目指して実際の昇格判断は個々の状況を鑑みて個別に行うもいる。2021 年度は、ガイダンス作成に向けた執筆方のとする基準案を取りまとめた。

針の方向性を取りまとめ、2022 年度中に暗号鍵管理
ガイダンスとして完成させる予定である。

92

情報セキュリティ白書

C

O

L

U

M

2022

N

デジタル庁が進めるシステム検証とは？
2021 年 9 月 1 日に、日本のデジタル社会実現の司令塔としてデジタル庁が発足し、注目されています。2021 年 12 月 24 日には、目指すべきデジタル社会の実現に向けて、定されました。これは、各府省庁が構造改革や個別の施策に取り組み、それを世界に発信・提言する際の羅針盤となるものです。
倫理」等 10 原則を掲げていますが、その中の一つが「安全・安心」です。デジタル改革を進めるに当たって、政府機関・独立行政法人等のサービスにおける国民目線に立った利便性の向上の徹底と、国民への行政サービス等を安定して安全に提供するためのサイバーセキュリ
ティの確保の両立が不可欠であることから、サイバーセキュリティ戦略に基づき、政府全体
として同戦略を踏まえた施策を着実に講じていくことにより、サイバーセキュリティの強化に努めることを宣言しています。
その具体的な施策の一つとして、デジタル庁が整備・運用するシステム等の安定的・継続的な稼働の確保等の観点から「システム検証・監査」を実施することとし、その実施体制をデジタル庁とIPA が共同して構築することが記されています。
「システム検証」という言葉は、「シ
ステム監査」と比べて少し聞きなれないかもしれません。あえて「検証」という言葉を使っているのは、各情報システムがデジタル庁の示す情報システム整備方針に沿った整備・運用を行っているかどうか、という適合性を確認することを主眼としているからです。もちろん確認
手段等は「監査」と重なる部分も多いのですが、方針への適合性というより広い視野からの確認を行うことになります。また、この「システム検証」は、NISC・IPA による府省庁・独立行政法人等へのセキュリティ監査のような第三者による外部監査ではなく、あくまでデジタ
ル庁の内部監査的な位置付けとして実施される予定であることも特徴の一つです。新型コロ
ナウイルス接触確認アプリ「COCOA」における不具合は記憶に新しいところですが、開発チームと独立した検証チームを内部に持つことによって、外部監査よりも迅速かつ柔軟な対応が可能となることが期待されます。
この「システム検証」は、まず 2022 年度以降、「①デジタル庁システム」（各府省庁が共通で利用する基盤を含む）
を中心にスタートし、更に、2023 年度以降は、「②デジタル庁・各府省共同プロジェクト型システム」も対象とする予定で、IPA もその一翼を担う組織として
取り組みます。
i

https://www.digital.go.jp/policies/priority-policy-program/〔2022/5/23 確認〕

93

2

情報セキュリティを支える基盤の動向

この計画では、デジタル社会を形成するための基本原則として、「オープン・透明」
「公平・

第 章

政府が重点的に実施すべき施策として、「デジタル社会の実現に向けた重点計画 i」が閣議決

2.2 国外の情報セキュリティ政策の状況
サイバー脅威は国境を問わず、あらゆる国・地域のンダー平等、サプライチェーン脆弱性への対処等の方向

脆弱なシステムに対して攻撃が仕掛けられる。また、IT性が示された。また「より強靭な回復」に向けた議論にお化した社会サービスやそれを支えるサプライチェーンは国

いて、2020 年に引き続き中国に対する懸念が示され、境を越えてつながり合い、他国におけるサイバー脅威が市場の公平性・透明性の担保、人権・自由の尊重、自国に深刻な影響を与える可能性がある。更に近年、領土問題に関する力による現状変更への反対等も、盛国家の支援を受けた攻撃者による他国へのサイバー攻り込まれた。また 2020 年に引き続きワクチン接種等に関撃・虚偽情報流布等の脅威が現実になっている。こうしする途上国支援が、更に 2021 年の新提案として地球た状況に国や地域が単独で対処することは難しく、国

温暖化対策（エネルギーイノベーション）の推進が合意さ

際連携が不可避である。本節では、国際連携に向けれた。

た状況理解のために、各国・各地域における情報セキュ

G7 首脳会合で例年議論され、声明が出される「自由リティ政策について述べる。なお、米国・欧州について

でオープンなサイバー空間」の維持に関しては、上記の議は「3.4 米国・欧州の情報セキュリティ政策」を参照され論を反映し、2021 年度はより広範な「開かれた社会」を目たい。

デジタル、人権、指す声明が出された※ 141。同声明には、
ジェンダー、自由、オープン性・透明性を持つ多国間シ

2.2.1

ステム等に加え、ワクチン接種を含む課題への協働、持国際社会と連携した取り組み

続可能な開発目標（SDGs：Sustainable Development
Goals）の達成支援等が含まれている。

2020 年度に引き続き、日本政府は 2021 年度も米国、欧州、インド、ASEAN 諸国等とのサイバーセキュリティ

なお、菅義偉首相（当時）は、東京 2020 オリンピック・に関する連携協議や演習を実施した。それらの活動か

パラリンピック競技大会の安全・安心な開催の決意を示

ら主な取り組みを紹介する。2021 年度の傾向として、し、G7 首脳の同意を得た。

新型コロナウイルス感染対策に関する国際連携が引き続（b）
2022 年 3 月の G7 首脳会合・外相会合

き重要課題となったが、2022 年 2 月 24 日、ロシアのウク
ライナ侵攻が勃発、侵攻拡大阻止、ウクライナ政府・避2022 年 2 月 24 日、ロシアのウクライナ侵攻が開始され難民の支援、対ロシア経済制裁等に関する国際連携がた。これに対し G7 首脳は同日に緊急のテレビ会議※ 142

日本政府にとっても大きな課題となった。サイバーセキュを実施、3 月 12 日に首脳声明を発表し、Vladimir Putin

リティの観点では、サイバー戦への対策・ウクライナ支援

ロシア大統領への非難、侵攻の即時停止と被害者の救も国際的な課題となった。

済、ロシアへの制裁、ウクライナの支援について団結し合意したことを示した※ 143。具体的な制裁として、ロシア（1）各国首脳・国際機関との連携の最恵国待遇はく奪、多国籍金融機関のロシア融資停

新型コロナウイルスは 2021 年に入っても猛威を振るい、止、Putin 政権関係者の資産凍結支援、重要物品・2021 年 6 月以降は感染力の強い変異種デルタ株、同技術の輸出入制限、侵攻関係組織の資金調達制限等

年 11 月以降は更に感染力の強いオミクロン株が世界的が明記された。

に流行した。日本・米国・欧州諸国等は 3 回にわたるワ

更に 2022 年 3 月 24 日、緊急の G7 首脳会合がベル

クチン接種や数度のロックダウン等、対応に追われた。

ギー・ブリュッセルで開催され、Volodymyr Zelenskyy
ウクライナ大統領がオンラインで参加、更なる支援を呼びかけた※ 144。同会合の首脳声明では、3 月 12 日の首（a）2021 年 6 月の G7 首脳会合
2020 年度にオンライン形式で開催された G7 首脳会

脳声明で明記された金融・経済制裁の強化・ウクライナ

合は 2021 年 6 月 11 ～ 13 日、英国コーンウォール州カー支援に加え、原子力施設の安全や核兵器・生物化学※ 140。全体テーマ

兵器使用への懸念、ウクライナのサイバー防御支援・はコロナ禍からの「より良い回復」とされ、経済面の回復

難民支援、ロシア政府の欺瞞的情報統制への非難、

では、開かれた世界におけるデジタル化、グリーン化、ジェエネルギー・食料サプライチェーンの脱ロシアに向けた再

ビス・ベイにて対面形式で開催された

94

情報セキュリティ白書

構築、等が盛り込まれた。

ウトルック」を支持し、EU の「インド太平洋における協力

侵攻開始 1ヵ月のうちに、G7 首脳レベルでこのようなのための戦略」も歓迎した。また、ワクチンを含むコロナ

一枚岩の団結がなされたことは大きなインパクトがあった

対策、気候変動、海洋安全保障、テロ対策、サイバーと思われる。日本政府は、天然ガスや小麦等の供給をセキュリティ、人道支援・災害救援等の分野での 4ヵ国

ロシア・ウクライナに依存しているという課題を抱えながらの協力進展を歓迎し、宇宙、サイバーの分野で作業部も、侵攻に対して断固とした態度を取ることを決定してい会等を立ち上げるとともに、クリーン・エネルギー、人的。

交流の分野でも協力を強化することで一致した。

（c）
オリンピック開催と期間中の首脳・外相会談（e）
国際連合によるサイバー脅威対策推進
2021 年 5 月 24 ～ 28 日、サイバーセキュリティに関す

ルタ株流行の厳しい状況下となったが、2021 年 7 月 23

る第 6 会期国連政府専門家会合（GGE：the Group of

日～ 9 月 5 日、無観客・感染対策徹底という厳戒態勢

Governmental Experts）最終会合が開催され、日本かのもとに開催された。期間中のセキュリティに関しては、ら赤堀毅国連・サイバー政策担当大使（総合外交政策

NISC が運用した対処調整センターが観測情報 75 件、局審議官）ほかがオンラインで出席した※ 150。同会合で脅威情報 32 件を関係組織に提供したほか※ 146、協力

は、サイバー空間における責任ある国家の行動に関し、通信事業者が 4.5 億回に上る不審イベントを検知・遮断2015 年の GGE 報告書に記載された 11 個の規範へのし、大会運営に影響するインシデントは発生せず、全競

拘束力のある義務追加の可能性、サイバー空間への国※ 147

技を無事終了した。

際法、国連憲章の適用、紛争解決のための信頼醸成、

オリンピック期間中は各国首脳・外相との会談が集中能力構築等に関する共通認識を取りまとめた。この結果的に行われた。菅首相は 11ヵ国（米国・エストニア・フ

は報告書として 2021 年 9 月の第 76 回国連総会に提出

ランス・アルメニア・スイス・コソボ・ポーランド・モンテネ

された。

グロ・トルクメニスタン・モンゴル・南スーダン）の首脳と同報告はサイバー空間の各国の行動に国際法や国会談（電話会談を含む）、法の支配に基づく自由で開か

連憲章が適用されることとし、違反行為に対する加盟国れたインド太平洋地域や通商・デジタル化に向けた連携の責任ある行動を求めた点が特徴である。なお日本政を強化すること等を合意した。
また、
茂木敏充外相（当時）

府はサイバー行動に適用される国際法に関する基本的も6ヵ国（フィンランド・カナダ・アゼルバイジャン・アンティな立場を公表している※ 151。

グア‐バーブーダ・コソボ・米国）の外相・大統領と会談（電続いて 2021 年 11 月 13 ～ 17 日、
サイバーセキュリティ

話会談を含む）、上記課題のほかコロナ対策・人権等に関する国連オープン・エンド作業部会（OEWG 2021-※ 148

2025：the Open-Ended Working Group on security

についても連携を確認した。

of and in the use of information and communications（d）
日米豪印 4ヵ国の連携

technologies 2021-2025）第 1 回会合が開催された。

G7 の枠組みとは別に、2019 年以降、日米豪印 4ヵOEWG は全加盟国のサイバーセキュリティに関する協議

国による協議が重ねられている。中国の東シナ海・南シの場として 2019 年に設置され、2021 年 3 月に報告書

ナ海・インド洋への進出政策が各国共通の重要課題とを採択していた（「情報セキュリティ白書 2021」の「2.2.1

なっており、連携を強化する狙いがあると思われる。

（1）（c）国連によるサイバー脅威対策推進」参照）。第2021 年 9 月 24 日、第 2 回日米豪印首脳会合がワシン

75 回国連総会決議により、改めて 2025 年までの活動

トン D.C. で開催され、菅首相、Scott Morrison オーストが決まったものである。同会議では、日本から有馬裕サ

ラリア連邦首相（Prime Minister of the Commonwealth

イバー政策担当大使（総合外交政策局審議官）
がビデオ

of Australia）、Narendra Modi インド 首 相（Prime

メッセージで参加、前述の GGE 報告に記載された国際

Minister of India）、Joseph Biden 米国大統領が出席法の適用等の重要性を強調した。

※ 149

した

。同会談では。2020 年の 4ヵ国外相会談に引（2）2 国間連携の取り組み

き続き、法の支配に基づく「自由で開かれたインド太平洋」の実現に向けた連携で合意するとともに、ASEAN 諸国「2.2.1（1）（c）オリンピック開催と期間中の首脳・外相による取り組みである「インド太平洋に関する ASEAN ア会談」で見たとおり、2021 年の 2 国間首脳協議・閣僚

95

2

情報セキュリティを支える基盤の動向

東京 2020 オリンピック・パラリンピック競技大会は、デ

第 章

※ 145

る

2022

級協議は東京 2020 オリンピック・パラリンピック競技大会

ける自衛隊の体制強化、宇宙における「責任ある行動」

期間中に集中的に行われた。以下では、それ以外で行の確保に関する両国の連携強化等が議論された。

われたサイバーセキュリティ、及びサイバーを含む安全「責任ある行動」の重視は、国連 GGE や OEWG の保障に関する 2 国間協議について述べる。

活動（サイバー空間における国際法の適用）と連動したものと考えられる。

（a）
日英サイバー協議（d）
日米首脳会談2021 年 6 月 29 日、第 6 回日英サイバー協議がオンラ※ 152。日本からは赤堀審議官、

2021 年度は日米首脳会談が 2 回開催された。1 回目

英国からは William Middleton 外務連邦開発省サイ

は 2021 年 4 月 16 日、ワシントン D.C. にて 菅 首 相とバー政 策 部 長（Director Cyber, National Security

Biden 大統領との会談が行われた※ 156。同会談で、両Directorate, Foreign, Commonwealth and

国は「持続可能な、包摂的で、健康で、グリーンな世

Development Office）を始めとする両国関係省庁の代

界経済の復興」のため、デジタル経済の促進、脱炭素化、表者が出席した。

健康安全保障等において協力することで合意したほか、イン形式で開催された協議においては、2020 年開催の第 5 回に引き続き、「自由で開かれたインド太平洋と包摂的な経済的繁栄の

サイバー分野における脅威と施策の共有、国際連携、能推進」のために同盟を強化するとし、「台湾海峡の平和力構築支援、サイバー強靭性等について議論を行った。

と安定」
を重視することが明記された。
更に 2022 年 1 月 21 日、岸田文雄首相が Biden 大統領とテレビ会談を行った※ 157。同会議では、2021 年（b）
日エストニア・サイバー協議

4 月の首脳会談、及び 2022 年 1 月の日米「2+2」会議

2021 年 12 月 22 日、第 4 回日エストニア・サイバー協※ 153。日本からは有馬の合意が再確認されたほか、ウクライナへのロシアの侵審議官、エストニアからティルマー・クラール外務省サイ

攻抑止に関する連携が日米間で初めて言及された。まバー外交担当大使を始めとする両国関係省庁の代表者

た、経済連携強化のための日米経済政策協議委員会が出席した。

（経済版「2+2」）の設置が合意された。

議がオンライン形式で開催された協議においては、最近のサイバー環境やサイバー分（e）
日 EU 定期首脳協議野における両国の施策について意見を交換するとともに、国連の GGE、OEWG の活動等に関する 2 国間連2021 年 5 月 27 日、第 27 回日 EU 定期首脳協議が携について討議を行った。

テレビ会議形式で開催された。日本からは菅首相、EUからは Charles Michel 欧州理事会議長（President of（c）
日米安全保障協議委員会

the European Council）及び Ursula von der Leyen

2021 年 3 月 16 日、東京において日米安全保障協議

欧 州 委 員 会 委 員 長（President of the European
Commission）が参加した※ 158。

委員会（日米「2＋2」）が開催され、日本から茂木外務大臣と岸信夫防衛大臣、米国から Antony Blinken 国

同会議では、新型コロナウイルス終息後の経済復興、務長官（Secretary of State of the United States）、

高信頼通信インフラの整備、強靭なサプライチェーン構

Lloyd Austin 国防長官
（Secretary of Defense of the

築、安全保障上の観点からの海外投資等、中国の台※ 154

United States）
が参加した。同委員会では、中国・頭を意識した討議が行われた。

北朝鮮情勢に関する地域安全保障及び人権上の懸念（3）
アジア太平洋地域のサイバー連携と日米豪印 4ヵ国による連携強化、宇宙・サイバー領域

アジア太平洋地域における政府レベルの連携施策にの協力を含む防衛体制強化が議論された。
同委員会は更に 2022 年 1 月 7 日、オンライン形式でついて述べる。CSIRT に関する連携施策については、

開催され、日本からは第 2 次岸田内閣で着任した林芳「2.2.2 アジア太平洋地域での CSIRT の動向」を参照さ※ 155

正外務大臣、
岸防衛大臣が出席した。同会議では、れたい。

地域安全保障に関しては引き続き中国・北朝鮮対応が（a）
日 ASEAN 首脳会議

最重点となったが、新たにウクライナ情勢の注視が盛り込まれた。また防衛体制については、サイバー領域にお2021 年 10 月 27 日、第 24 回日 ASEAN 首 脳 会 議96情報セキュリティ白書

がオンラインで開催された。Haji Hassanal Bolkiah ブる。2021 年 10 月 25 ～ 29 日、経済産業省とIPA は米ルネイ国王陛下（His Majesty Sultan）が議長を務め、国政府及び欧州委員会（European Commission）
と連

※ 159

岸田首相は「自由で開かれたインド太平洋」の推進を強CSIRT 等の IT/OT セキュリティ担当者等を対象に、「イ

調し、新型コロナ対策支援、及び ASEAN 独自の構想「インド太平洋地域向け日米 EU 産業制御システムサイバー

ンド太 平 洋に関する ASEAN アウトルック」（AOIP：

セキュリティウィーク」を実施した※ 163。同演習は、リモー

ASEAN Outlook on the Indo-Pacific）の推進等につトによる模擬プラント操作、日米 EU の専門家によるワー

いて説明を行った。また、2020 年の第 23 回首脳会議

クショップ・セミナー等により参加者の能力向上を目指すに引き続き、サイバーセキュリティに関する連携強化が議内容である。なお、2021 年 3 月の演習については「3.1.4

長声明に盛り込まれた。

（1）
日本政府の取り組み」
を参照されたい。

（b）
ASEAN 地域フォーラム（4）
セキュリティ連携に関する国際会議
サイバーセキュリティの国際連携に関する主な会議とASEAN 地域フォーラム（ARF：ASEAN Regional※ 160）は、ASEAN 地域の安全保障環境の向して、2021 年度は、2020 年度に引き続き「サイバーセキュ上を目的としたフォーラムで、日本政府は連携を継続して

リティ国際シンポジウム」「サイバー・イニシアチブ東京」

いる。

が開催された。

Forum

サイバーセキュリティに関しては、2021 年 4 月 28 日、（a）
第 11 回サイバーセキュリティ国際シンポジウム

サイバーセキュリティに関する第 3 回 ARF 会期間会合がオンライン形式で開催され、日本からは赤堀審議官が本シンポジウムは、サイバー脅威対応に向けた国際間※ 161。同年 1 月に行われた第 6 回専門家会合の信頼構築を討議する場として、2016 年から日本で開に引き続き、国際的なサイバーセキュリティ環境や各国・催されている。2021 年は慶應義塾大学、大学間の国

地域の取り組み、今後取り組むべき信頼醸成措置につ際連携組織 INCS-CoE（InterNational Cyber Security

いて議論が行われた。また、その結果を信頼醸成と予Center of Excellence）、The MITRE Corporation ※ 164

防外交に関する会期間グループ会合（ISG on CBMsの共催の形を取り、10 月 25 ～ 29 日にオンラインで開催

and PD）
で報告することを確認した。

された※ 165。米国・英国・オーストラリア・イスラエル大参加した

使館及び駐日欧州連合代表部を始め、関係国の省庁（c）
日・ASEAN サイバーセキュリティ政策会議が後援し、各国の有識者が参加した。
Global session では、日本政府から平井卓也前デジタ

2021 年 10 月 21 日、第 14 回日・ASEAN サイバーセ
※ 162

。

ル大臣がビデオにより講演し、基調パネルでは、多国間

議長国は日本、ラオスが務め、日本、ASEAN のサイバー

サイバーセキュリティ行動委員会（MCAC：Multilateral

セキュリティ・情報通信所管省庁の代表が参加した。同Cybersecurity Action Committee）によるナショナルセ

会議では、第 13 回会議で合意された 10 項目の協力活

キュリティにおける国際連携、
あるいは相互承認（Mutual

動（演習、重要インフラ防護、意識啓発、能力構築、イ

Recognition）や信頼性のある自由なデータ流通（DFFT:

ンシデント時情報共有、産学連携等）の状況を確認し、Data Free Flow with Trust）
による社会セキュリティ等

今後の協力を検討した。また、メール等の情報連絡演がテーマとなり、参加各国の有識者が討議を行った。

習や、オンライン会議時のインシデント対応演習等につい2020 年度に引き続き、産学主導による国際間の信頼構ても活発な意見がかわされた。更に能力構築について

築討議の場となり、政府主導のイベントでありがちな「オーは、AJCCBC や、次項で述べる「インド太平洋地域向プンで自由なサイバー空間」のキャンペーンとは一線を画

け日米 EU 産業制御システムサイバーセキュリティウィー

したものとなった。

キュリティ政策会議がオンライン形式で開催されたク」の研修・演習内容が紹介された。
（b）
サイバー・イニシアチブ東京 2021（d）
インド太平洋地域に向けたサイバー演習

国内外のセキュリティ・IT 専門家を招いたサイバー・

日本政府はサイバーセキュリティ能力構築支援の一貫

イニシアチブ東京 2021 が、2021 年 11 月 29 ～ 30 日にとして、インド太平洋地域のサイバー演習を推進していオンラインで開催された※ 166。第 4 回となる同イベントの主

97

2

情報セキュリティを支える基盤の動向

携し、インド太平洋地域の重要インフラ事業者、National

第 章。

日本からは岸田首相がオンライン形式で参加した

2022

要議題は、社会のデジタル変革におけるセキュリティの実いと述べている。本戦略における重要技術とは、オース

装（デジタル・セキュア社会の実現）とされ、日本政府からトラリアの繁栄、社会的結束、国家安全保障等の国益は金子恭之総務大臣、萩生田光一経済産業大臣、小を大幅に向上させる、あるいは損なう可能性のある技術

田原潔外務副大臣、岸防衛大臣が、台湾政府からはと定義されており、人工知能（AI）、5G、IoT、量子コ

Audrey Tangソーシャルイノベーション担当デジタル大臣

ンピューティング、サイバーセキュリティ等が含まれる。サ（Digital Minister in charge of Social Innovation）がイバーセキュリティに関しては、National CSIRT の機能

講演したほか、各国の閣僚・有識者が講演・パネル討を担うACSC（Australian Cyber Security Centre）が議に参加した。

PaCSON（Pacific Cyber Security Operational

また、東京 2020 オリンピック・パラリンピック競技大会

Network）や APCERT（Asia Pacific Computerのセキュリティ対策の成果について、坂明デジタル庁

Emergency Response Team：アジア太平洋コンピューCISO（Chief Information Security Officer：最高情報

タ緊急対応チーム）等の地域のパートナーと協力し、信セキュリティ責任者）他の有識者がパネル討議を行ったこ頼できるサイバー脅威情報共有ネットワークの構築に取りとも注目された。

組んできたことを踏まえて、運用面及び技術面から深刻なサイバーセキュリティの課題に効果的に対処できるよう、
ガイダンスや脅威に関するアドバイスを提供していくとして

アジア太平洋地域でのCSIRTの
動向

2.2.2

いる。また、近隣国であるトンガやバヌアツ、サモア、フィ

2021 年、ランサムウェアを用いたサイバー攻撃が世界

ジー、
ソロモン諸島の CSIRT やセキュリティ運用センター

各地で相次ぎ、また Emotet の感染再拡大が確認され、へのインシデント対応支援を行うことで、地域の集合的

これらの動向はアジア太平洋地域においても深刻な脅威

なサイバーセキュリティを強化していくとしている。

となっている。こうした攻撃による被害拡大を防ぐための（b）
ニュージーランド対策情報の共有や、被害を受けた後の復旧支援等、インシデント対応連携の窓口となる CSIRT が果たす役割

2021 年 8 月 16 日、ニュージーランド首相内閣府に設は大きくなっており、各国では CSIRT の体制や情報連置された国 家セキュリティグループ（NSG：National

携の強化が進んでいる。本項では、主にアジア太平洋

Security Group）
が「サイバーセキュリティ緊急対応計画

地域における CSIRT の設立や機能強化に関する動き、（CSERP：Cyber Security Emergency Response

CSIRT 間の相互連携の実態について述べる。

Plan）」の第 5 版を発行した※ 168。2013 年に第 1 版が発行された後、変化する情勢に応じて、またインシデン（1）CSIRT の設立・機能強化の動き

トからの教訓を反映する形で更新されている。本計画は、アジア太平洋地域における各国・地域の CSIRT のサイバーセキュリティに関する緊急事態が起きた際の、機能強化の動きについて述べる。

政府の対応の枠組みを定めたガイダンスである。緊急を要するインシデントが起きた際は、CERT NZ（Computer（a）
オーストラリア

Emergency Response Team New Zealand：ニュー

2021 年 4月21日、
オーストラリア政府は「国際サイバー・

ジーランドコンピュータ緊急対応チーム）及び NCSC

重要技術エンゲージメント戦略（International Cyber（National Cyber Security Centre）がインシデントの重and Critical Technology Engagement Strategy）」
を

大性を評価し、「深刻」や「重大」等 4 段階に分類するよ※ 167。本戦略は、オーストラリア、インド太平洋

う定めている。「深刻」とされたインシデントの場合には、地域及び世界の安全と繁栄を、サイバー空間と重要技

ODESC（Officials Committee for Domestic and術の強化推進によって実現することを目指し策定されたもExternal Security Coordination：国内外のセキュリティのである。また本戦略は、サイバーと重要技術の諸問調整のための政府委員会）等の設置を含む国家安全保題に関して、オーストラリア政府が信頼のおける影響力

障システムが発動される。「重大」とされたインシデントののあるリーダーとして国際的な評価を得るための戦略的場合には、状況に応じて CERT NZ、首相内閣府、アプローチを示しており、より厳しさを増す国際環境を乗NCSC、警察等が、サイバーセキュリティ緊急調整グルーり切るために、サイバー能力の向上及び重要技術の開プを構成して対応にあたることを定めている。

発表した

発や活用を促進するような外交を強化しなければならな

98情報セキュリティ白書（c）
シンガポール

深め、サイバー脅威の状況認識を高めていくとしている。

2021 年 10 月 5 日、National CSIRT で あ る

また、世界中で深刻なサイバー攻撃が増加していること

SingCERT（Singapore Computer Emergencyを踏まえ、サイバーセキュリティ能力開発プログラムの提Response Team）を管轄する CSA（Cyber Security

供を通じて、国家安全保障機関、金融、エネルギー、Agency：サイバーセキュリティ庁）
が「サイバーセキュリティ

医療分野等を含む七つの主要な重要インフラセクターで戦 略 2021（The Singapore Cybersecurity Strategy

働く要員のサイバーセキュリティ能力を高めていく取り組
みも行うとしている※ 173。

」を発表した。同戦略では、「レジリエントなイ

ンフラの構築」「より安全なサイバースペースの実現」「国（2）
アジア太平洋地域の CSIRT 間連携

際的なサイバー協力の強化」の三本の戦略的柱を掲げ、アジア太平洋地域全体の CSIRT からなるコミュニティ

セキュリティの基礎として「活発なサイバーセキュリティエ

として、APCERT（Asia Pacific Computer Emergency

コシステムの構築」と「強固なサイバー人材供給力の育Response Team：アジア太平洋コンピュータ緊急対応成」を挙げている。国際的なサイバー協力の強化の項目チーム）※ 174 があり、地域内で発生したインシデント対応

では、CSIRT ネットワークへの積極的な参加と緊密な連における連携の円滑化や、サイバー脅威等に関する情携等を通じて、地域及び国際的なパートナーとの多国間

報共有・技術交流の推進を目的に活動している。2003

協力を強化するとしている。CSA は、毎年 ASEAN を

年の設立当初、参加メンバーは 12 の国・経済地域の対象としたサイバーインシデント演習（ACID：ASEAN

15 チームだったが、地域内で National CSIRT の立ち

CERT Incident Drill）を開催し、情報共有メカニズム

上げが進んだことや、CSIRT コミュニティへの参加を通の強化を行う等、国境を越えたサイバー脅威に立ち向かじた情報共有等の重要性が高まったことから年々メン

うために、地域のパートナーとの連携に取り組んでいる。

バーが増え、2022 年 3 月末現在、23 の国・経済地域の 32 チームが、オペレーショナルメンバーとなっている
（次

（d）
サモア

ページ図 2-2-1）。

2021 年 5 月 に SamCERT（Samoa National

JPCERT/CC は、2003 年の APCERT 設立当初かComputer Emergency Response Team：サモア国家ら事務局を務め、運営委員会の一員として組織運営を

コンピュータ緊急対応チーム）が MCIT（Ministry of

支えている。また、JPCERT/CC が主導するネットワー

Communications and Information Technology： 通

ク定点観測共同プロジェクト「TSUBAME」に参加する※ 170。サイバー攻APCERT メンバーも多く、APCERT 内にワーキンググ

撃やインシデントに際しては、これまで SMPP（Samoa

ループを設けて、センサーを用いたサイバー脅威動向のMinistry of Police and Prisons：サモア警察刑務所省）

観測や情報共有を推進している。2022 年 4 月末現在、が報告を受け付け、MCIT が支援を行う体制であった

TSUBAME には APCERT メンバーを中心に 18 の国・が、今後は SamCERT が窓口となってすべてのインシ

経済地域から 21 チームが参加し、観測結果を共有してデントに関して報告を受け付け、インシデントが起きた民いる※ 175。

信情報技術省）の傘下に設立された

間 企 業や非 政 府 組 織（NGO：Non-Governmental

APCERT の主な活動は、年次サイバー演習の実施、Organization）、政府機関、及び学術機関と連携して及び年次会合の開催であり、年次報告書を公表してい※ 171

対応するとしている。

る。2021 年のサイバー演習は、「Supply Chain Attack
Through Spear-Phishing - Beware of Working（e）タイfrom Home -（スピアフィッシングを発端とするサプライ

2021 年 8 月 18 日、タイの MDES
（Ministry of Digital

チェーン攻撃）」をテーマに実施された※ 176。同演習には、

Economy and Society：デジタル経済社会省）
が NCSAAPCERT のオペレーショナルメンバーのうち合計 19 の（National Cyber Security Agency：国家サイバーセ

国・経済地域から 25 チームが参加した。年次報告書は、

※ 172

。NCSA

APCERT 全体の活動に加えて各チームの組織概要や、は、経済及び社会に影響を及ぼす深刻なサイバー脅威対応したインシデントの統計等をまとめた文書で、Webに対処する機関として設立され、官民のサイバーセキュ

サイトで公開されている※ 177。2021 年の年次会合は、

リティ関連セクターのセキュリティに関する知識や理解を新型コロナウイルス感染拡大の影響により、前回に引きキュリティ機関）を新設したことを発表した

99

2

情報セキュリティを支える基盤の動向

それぞれの柱が詳細に述べられている。また、サイバー

第 章

※ 169

2021）

2022

日本
JPCERT/CCモンゴル
MNCERT/CC, MonCIRT韓国
KrCERT/CC, KN-CERT中国
CNCERT/CC, CCERT台湾
TWNCERT,TWCERT/CC

ブータン
BtCIRT香港
HKCERT, GovCERT.HK

バングラデシュbdCERT, BGD e-Gov CIRTマカオ
MOCERTインド
CERT-Inフィリピン
CERT-PH

ミャンマー
mmCERTベトナム
VNCERT/CC

スリランカ
Sri Lanka CERT｜CC,
TechCERT

ブルネイ
BruCERT

ラオス
LaoCERT

トンガ
CERT Tonga

タイ
ThaiCERT

インドネシア
Id-SIRTII/CC, ID-CERT

マレーシア
CyberSecurity Malaysia

オーストラリア
ACSC, AusCERT

シンガポール
SingCERT

ニュージーランド
CERT NZ■図 2-2-1

APCERT オペレーショナルメンバー（2022 年 3 月末現在）

続き 9 月にオンライン形式で開催された。マレーシアの
CNCERT/CC

セキュリティ能力向上の促進や情報連携の強化に取り組が 議 長 に、 中 国 のんでいる。ASCCE においても、新型コロナウイルス感が副議長にそれぞれ再選された。

染拡大の影響により、対面式のキャパシティビルディング

CyberSecurity Malaysia
※ 179

※ 178

また、JPCERT/CC が事務局に再選された。

（能力向上）等の取り組みが停止したが、状況の変化とこのほか、APCERT では能力開発の取り組みとして、
2014 年以来継続して、電話会議システムを利用して、ニーズに応じてオンライン形式のプログラム提供を行っている。

インシデント対応に関するノウハウを教えるオンライントレー

その他のアジア太平洋地域のサイバーセキュリティ関

ニングを実施している。新型コロナウイルス禍で、対面

連イベントの多くが、各国の National CSIRT が主催すでのトレーニング開催が困難な中でも、こうしたオンラインるカンファレンスを含め、2021 年も前年同様にオンラインで連携する取り組みを継続している。

形式で実施された。対面の会議や情報交換の機会がまた、2021 年 10 月には、シンガポールの CSA が立制 限されている状 況 下でも、こうした場をとおしてち上げた ASEAN-Singapore Cybersecurity Centre

CSIRT 間の連携が継続して行われている。

of Excellence（ASCCE）のキャンパス（活動拠点）が正※ 169

インシデントへの対応を効果的に進めていくためには、。ASCCE は、2019 年に立ち上諸外国や特に近隣地域との CSIRT 連携が重要となる。

げられたサイバー能力向上プログラムで、政策及び技術

CSIRT コミュニティをとおした協力が更に推進されることを担当する ASEAN 地域の上級実務者向けにサイバーで、アジア太平洋地域全体のサイバーセキュリティ能力

セキュリティのトレーニング等を提供し、地域のサイバーの一層の強化・進展が期待される。

式にオープンした100

情報セキュリティ白書

2022

2.3 情報セキュリティ人材の現状と育成
日本の方が不足数は低いが、NRI セキュアテクノロジー

量的にも不足しており、人材育成は各界が協力して解ズ株式会社の「NRI Secure Insight 2021 ※ 181」では、決すべき問題である。教育の充実、高度な人材の育成・米国と比較して充足できていない企業が非常に多くなっ

確保、セキュリティ人材が将来にわたって活躍できる社ている（図 2-3-1）。その要因として、セキュリティ業務シ会環境の整備等、様々な課題が挙げられている。本節

ステム化の標準化・自動化が進んでいないことが挙げら

では、セキュリティ人材の現状と、産学官における人材れる（表 2-3-1）。また、
DX 推進が強く進められている中、日本（n=1,616）6.7

2.3.1

2.8

情報セキュリティ人材の状況

米国（n=511）

85.9

12.9
1.2

コロナ禍によるテレワークが続き、また、企業におけ

オーストラリア（n=526）

る DX 推進が強く進められるようになってきている。2021

88.2

11.6
0.2

年 9 月に策定された「サイバーセキュリティ戦略」では、

0％

セキュリティに関わる人 材 育 成に関して、「DX with20％
充足している40％

60％
不足している

80％

100％

分からない

※充足している：「人材が過剰な状態」「充足している（最適な状態）」「どちらかといえば充足している」のいずれかを回答※不足している：「どちらかといえば不足している」「不足している」のいずれかを回答

Cybersecurity の推進」として「プラス・セキュリティ」知識を補充できる環境整備や「巧妙化・複雑化する脅威へ■図 2-3-1 セキュリティ対策に従事する人材の充足状況（出典）
NRI セキュアテクノロジーズ株式会社「NRI Secure Insightを基に IPA が編集
2021」の対処」として人材教育プログラムの強化や人材育成共有基盤の構築が盛り込まれた（「2.1.1（1）経済社会の活力の向上及び持続的発展～ DX with Cybersecurity

日本（n=109）の推進～」参照）。

米国（n=439）オーストラリア（n=464）

33.9%
35.8%
35.3%
セキュリティ業務 セキュリティ業務 セキュリティ業務
が標 準 化されて がシステム等によ がシステム等によ1位おり、役割分担 り自動 化・省力 り自動 化・省力が明 確 化されて 化されているため 化されているためいるため情報セキュリティ専門人材への需要は更に伸びるとともに、DX 推進によりセキュリティ関連業務を主とする職
種以外においてセキュリティ能力を持った人材への需要が高まっている。

33.3%
32.1%
32.8%
想定していたほど セキュリティ業務 想定していたほどの有事が少ない が標 準 化されて の有事が少ない
2位
ため
おり、役割分担 ためが明 確 化されているため（1）
セキュリティ人材不足に関する認識
2
米国（ISC）（International Information Systems

Security Certification Consortium）が発行した「20212
Cybersecurity Workforce Study ※ 180」による
（ISC）

31.3%
31.2%
33.0%
セキュリティ業務 想定していたほど セキュリティ業務
3 位 の量が少ないため の有事が少ない は経験豊富な一部のメンバーで対ため応しているためと、全世界で 419 万人のセキュリティの専門家がサイバー
セキュリティの業務に従事していると推定され、これは前年と比較して 70 万人以上増加している。また、サイバー

19.3%
31.4%
28.9%
セキュリティ業務 セキュリティ業務 セキュリティ業務
4 位 は経験豊富な一 の量が少ないため の量が少ないため部のメンバーで対応しているためセキュリティ人材の不足数は北米、南米、欧州で増加、アジア太平洋地域では減少している。全体としてはサイバーセキュリティ分野の人材不足は 2 年連続で減少しており、2021 年は前年の 312 万人から 272 万人に減少し

14.7%
29.8%
21.6%
セキュリティ業務 セキュリティ業務 セキュリティ業務
5 位 がシステム等によ は経験豊富な一 を外 部 委 託してり自動 化・省力 部のメンバーで対 いるため化されているため 応しているためているが、不足数を補うためには世界のサイバーセキュ
リティ人材を 65％増加させる必要があるとし、依然として
セキュリティの人材が不足している状況である。
日米の比較をすると同調査では米国では約 38 万人、日本では 4 万人が不足しているとしており、絶対数では

90.4■表 2-3-1 充足していると考える理由（出典）
NRI セキュアテクノロジーズ株式会社「NRI Secure Insightを基に IPA が編集
2021」

101

2

情報セキュリティを支える基盤の動向

育成の取り組みについて述べる。

第 章

国内のサイバーセキュリティに関わる人材は質的にも企業で求められるセキュリティに関する業務が変化してきリティに関連する業務を担当している役割をセキュリティていることも影響している。

「セキュの観点で表現しているととらえることができる※ 184。
リティ人材」 は赤枠で示すように、セキュリティ経営（2）
セキュリティ業務・役割の広がり（CISO）、脆弱性診断・ペネトレーション等のセキュリティ

企業でビジネスの IT 利用が浸透し、更に DX 化が対策に関する業務を主とする役割を表現している。特に、進むにつれて事業部門が自ら様々な IT を駆使してビジ

その中で中心的な役割を果たすのが「セキュリティ統括」

ネス環境を構築することが必要になり、事業部門の中に

（紫枠）
となる。

もIT やセキュリティの知識を有する技術者が在籍するこ個々の事業責任は推進する事業部門が持っている

※ 182

。

とが広まりつつあるが、事業で使用するシステム等のセキュリティに関しても、

サイバーセキュリティ戦略では、このような状況をとらえ第一義的には事業部門が責任を負う。CISO 及び情報て、デジタル化の進展と併せてサイバーセキュリティ確保

システム部門は共通化、標準化すべきインフラ等の整備に向けた取り組みを同 時に推 進 すること（DX withに加え、事業部門の DX 化支援により、企業全体とし

cybersecurity）が盛り込まれた。そして、DX を推進すてのセキュリティ状況を把握し、統括管理する体制に変る事業部門の人材を始め、IT やセキュリティの専門知

わりつつある。

識や業務経験を必ずしも持たない場合にも、セキュリティ

企業におけるセキュリティ関連業務が広がっていること

専門家と協働できる能力「プラス・セキュリティ」を補充でを踏まえて、セキュリティ人材育成の取り組みが行われきる環境整備を推進している。

ている。

セキュリティに関連する役割・人材を表現する用語について、「サイバーセキュリティ体制構築・人材確保の手引き 第 1.1 版（3）人材育成の取り組み※ 183」の ITSS+（セキュリティ領域）を基

経済産業省では人材施策として「サイバーセキュリティに整理すると図 2-3-2 のようになる。

体制構築・人材確保の手引き」（「サイバーセキュリティ経「戦略マネジメント層」は青枠で示すように、DX 推進

営ガイドライン」付録 F）を改訂するとともに、プラス・セキュ

におけるセキュリティをリードする役割を広く表現している

リティの取り組みを推進するとしている（次ページ図 2-3-3）ととらえることができる。「プラス・セキュリティ人材」は緑（「2.1.2（1）産業サイバーセキュリティ研究会」参照）。

枠で示すように事業遂行するにあたり、事業部門でセキュ経営層

セキュリティ人材の育成については、中核人材育成プ
実務者・技術者層

戦略マネジメント層

ユーザ企業における
組織の例

取締役会
執行役員会議

管理部門
内部監査部門
（総務、法務、広報、（外部監査を含む）
調達、
人事 等）

セキュリティ
関連タスクの例• セキュリティ意識
啓発• 対策方針指示• ポリシー・予算・実施事項承認• ＢＣＰ対応• 官公庁等対応• 法令等遵守対応• 記者・広報対応• 調達・契約・検収• 施設管理・物理
セキュリティ
• 内部犯行対策• システム監査• セキュリティ監査

デジタル
デジタル経営（Ｉ
Ｔ／Ｉ
ｏＴ／ＯＴ） （ＣＩＯ／ＣＤＯ）

システム監査セキュリティ経営（ＣＩ
ＳＯ）

セキュリティ
監査

設計・開発・テスト

運用・保守

セキュリティ
統括室

経営企画部門
事業部門• リスクアセスメント• ポリシー・ガイドラ
イン策定・管理• セキュリティ教育• 社内相談対応• インシデントハン
ドリング• 事業戦略立案• システム企画• 要件定義・仕様
書作成• プロジェクトマネ
ジメント• セキュアシステム
要件定義• セキュアアーキテ
クチャ設計• セキュアソフト
ウェア方式設計• テスト計画• 基本・詳細設計• セキュアプログラ
ミング• テスト・品質保証• パッチ開発• 脆弱性診断

デジタルシステム
ストラテジー

システム
アーキテクチャ

デジタル
プロダクト
開発

研究開発

デジタル部門／事業部門（ベンダーへの外注を含む）• 構成管理• 運用設定• 脆弱性対応• セキュリティツー
ルの導入・運用• 監視・検知・対応• インシデントレス
ポンス• ペネトレテスト• 現場教育・管理• 設備管理・保全• 初動対応・原因究明・フォレンジック• マルウェア解析• 脅威・脆弱性情報の収集・分析・
活用• セキュリティ理論
研究• セキュリティ技術
開発

デジタル
プロダクト
運用

対
応
セキュリティ

関連分野

セキュリティ統括
脆弱性診断・
ペネトレーションテスト

セキュリティ
監視・運用

セキュリティ
調査分析・研究開発

経営リスク
マネジメントその他

戦略マネジメント層：

企業経営
（取締役）

セキュリティ統括：

事業ドメイン（戦略・企画・調達）

事業ドメイン
（生産現場・事業所管理）法務

プラス・セキュリティ人材：

セキュリティ人材：■図 2-3-2 ITSS+（セキュリティ領域）
と人材分類
（出典）
経済産業省・IPA「サイバーセキュリティ体制構築・人材確保の手引き 第 1.1 版」（「サイバーセキュリティ経営ガイドライン」付録 F）
を基に編集

102

情報セキュリティ白書

2022

昨年度は、
「セキュリティ体制構築・人材確保の手引き」の改訂を行うとともに、セキュリティ人材育成の既存施策を進めつつ、特に、
セキュリティを本務としない者が自らの業務遂行にあたってセキュリティを意識し、必要かつ十分なセキュ
リティ対策を実現できる能力を身につける「プラス・セキュリティ」の取組を推進するため、SC3での検討や地域での具体的な取組を推進。

取組の全体像
セキュリティ対策を進めるための体制・人材の考え方

2

プラス・セキュリティの普及

ICSCoE中核人材育成プログラム

SC3産学官連携WGでのプラス・セキュリティ具体化

情報処理安全確保支援士

NISCにおけるモデルカリキュラム策定

セキュリティキャンプ

地域SECUNITYにおける人材育成

デジタル人材育成プラットフォームにおけるスキル標準の整理・教育コンテンツ・実践型教育
大学・高専等と産業界の連携

今後の方向性手引きの普及による各企業での体制構築の促進と各種セキュリティ人材育成施策を引き続き実施するとともに、
プラ
ス・セキュリティの取組を普及させるため、SC3産学官連携WG、
デジタル人材育成プラットフォーム、各地域における産学官連携の取組（地域SECUNITY）との連携による取組の具体化・拡大を進めていく。
■図 2-3-3 サイバーセキュリティ人材施策の全体像（出典）
経済産業省「第 7 回 産業サイバーセキュリティ研究会 事務局説明資料※ 185」
（資料 3）

セキュリティキャンプ
厚生労働省

経済産業省

文部科学省

その他省庁

支援・制度構築等
人材
企業内人材
行政職員
フリーランスオンライン教育
コンテンツ・
実践学習プログラム
検索

復職・転職希望者
高齢者
学生・ギフテッド
引きこもり人材オンライン教育
コンテンツ・
実践学習プログラム
紹介

デジタル人材育成プラットフォーム

地域包括DX
推進拠点

課題解決型現場研修プログラムの実施（３層）➢ 実践的なデジタルスキルを習得できる企業・地域の課題解決プログラム
を地域 包括DX推進拠点（※）
等と連携して提供。
（※）
地方版IoT推進ラボ等、地域における産学官コミュニティを想定➢ 拠点内の中立的な組織・コーディネータを介したプログラムと人材のマッ
チングを 実施。

全国20〜30箇所に産学官金の推進拠点を設置

実践的な疑似経験学習の運営（２層）➢ 企業の課題・データに基づく実践的な課題解決型学習プログラムを実施（教 材作成、受講者募集等）。
➢ デジタル人材のコミュニティ形成を支援（オンラインツールの活用等）。
オンライン教育コンテンツの整備（１層）➢ デジタル人材に求められるスキルを自ら学べるよう、
スキル標準に対応した教育 コンテンツを整備。
専用ポータルサイトの構築➢ １層〜３層の各教育コンテンツ・プログラム等を一覧で紹介するための専用 ポータルサイトを構築。
デジタルスキル・レベルの可視化に向けた環境整備➢ 育成や評価の基盤となるデジタルスキル・レベルの基準（スキル標準）を策定。
➢ デジタルバッジ等による学習歴の可視化。

現場研修プログラムの提供依頼
現場研修プログラム
への人材派遣教材の公開・提供

企業・大学等
民間企業
行政機関

現場研修プログラムの提供
教材作成用データ提供
コンテンツ提供・作成

地域拠点
大学・教育機関

協力・支援

IT業界団体

経済団体

中小企業団体■図 2-3-4 デジタル人材育成プラットフォーム 概要イメージ（出典）
経済産業省「実践的な学びの場ワーキンググループ活動結果報告※ 187（
」第 5 回 デジタル時代の人材政策に関する検討会 資料 3-1）を基に IPA が編集

103

情報セキュリティを支える基盤の動向

セキュリティ人材の育成

総務省

第 章

セキュリティ体制構築・人材確保の手引き（「サイバーセキュリティ経営ガイドライン」付録F）

築に向けての検討が進められている。

ログラム（「2.3.2（1）中核人材育成プログラム」参照）、セ
キュリティ・キャンプ（「2.3.4（1）セキュリティ・キャンプ」参（a）
デジタル人材育成プラットフォーム

照）等の活動が既に実施され継続されている。また、プラス・セキュリティの普及については、NISC により、経本プラットフォームは、ビジネスに求められるデジタルリ

営層・部課長級向けの知識補充のモデルカリキュラム策

テラシーとデジタル専門知識の学習機会を提供し、DX※ 186

定等が実施されてきた。

を推進できる実践的な DX 推進人材の育成手法を確立

それらに加えて、SC3 産学官連携 WG において、産することを目標としている（前ページ図 2-3-4）。

学官間でのセキュリティ人材育成をいかに行うべきかの育成する DX 推進人材像（仮説）として図 2-3-5 に示検討が進められている（後述）。また、セキュリティ人材、す五つが想定されており、サイバーセキュリティスペシャ

プラス・セキュリティ人材の基盤として活用可能なプラットリストとしてセキュリティ専門人材も含まれている。

フォームとして、「デジタル人材育成プラットフォーム」の構

プラットフォームで提供される教育コンテンツの整備並DX推進人材DX推進のための組織変革に関するマインドセットの理解・体得が必要。

ビジネス
アーキテクトデータサイエンティスト

エンジニア・
オペレータ

サイバーセキュリティ
スペシャリスト

UI/UX
デザイナー

デジタル技術を理解して、ビジネスの現場において
デジタル技術の導入を行う全体設計ができる人材

統計等の知識を元に、AIを活用してビッグデータから新たな知見を引き出し、価値を創造する人材

クラウド等のデジタル技術を理解し、業務ニーズに合わせて必要なITシステムの実装やそれを支える基盤の安定稼働を実現できる人材

業務プロセスを支えるITシ
ステムをサイバー攻撃の脅威から守るセキュリティ
専門人材

顧客との接点に必要な機能とデザインを検討し、シス
テムのユーザー向け設計を担う人材■図 2-3-5 DX を進める企業等におけるビジネスパーソンの人材像
（仮説）
（出典）
経済産業省「実践的な学びの場ワーキンググループ活動結果報告」（第 5 回 デジタル時代の人材政策に関する検討会 資料 3-1）を基に IPA が編集

プラス・セキュリティ

プラス・セキュリティの普及促進

プラス・セキュリティ=（セキュリティが本務ではないが）自らの業務遂行にあたってセキュリティを意識し、必要かつ十分なセキュリティ対策を実現できる能力を身につけること、あるいは身につけている状態のこと。
プラス・セキュリティの取組普及のため、SC3産学官連携WGにおいて必要なスキルの整理等が行われているほか、
NISCにおいても「プラス・セキュリティ」のモデルカリキュラムの策定や官民のコンテンツのポータルサイトへの掲載などを実施中。デジタル人材育成プラットフォーム事業等の関連施策とも連携し、取組を普及させていく。
SC3産学官連携WGにおける「プラス・セキュリティ」の具体化
産学官連携WG

ニーズ調査
分析結果 共通言語の整理

・プラス・セキュリティに必要な知識・スキル・アビリ
ティ/コンピテンシの整理

産業界が求めるプラス・セキュリティ像（素養、
スキル要件）

政府の人材育成施策等への反映
・モデルカリキュラムへの組み込みと試行
・専用サイトによる情報発信・スキル標準・試験制度等との連携
・デジタル人材育成プラットフォーム等との連携

プラス・セキュリティの推進のために整備・連携すべきプログラム、
カリキュラム編成の考察

既存の教育プログラム・体系（人材育成施策マップ）

教育機関によるプログラム等への活用
・カリキュラム編成時の参照情報として整備■図 2-3-6 SC3 産学官連携 WG「プラス・セキュリティの普及促進」（出典）
経済産業省「事務局説明資料※ 189」
（第 8 回 産業サイバーセキュリティ研究会 ワーキンググループ 2（経営・人材・国際）
資料 3）

104

情報セキュリティ白書

びに教育コンテンツが提供する具体的な学習項目についト、ビジネス分野を総合的に学び、サイバーセキュリティては、DXリテラシー標準として今後検討される。

対策の中核となる人材を育成する「中核人材育成プログ

経済産業省とIPA は、デジタル人材の育成を推進す

ラム」を開始した。本プログラムでは、OT 及び IT 知識るため、デジタル知識・能力を身に付けるための実践的のレベル合わせからハイレベルな演習までを 1 年間のフな学びの場として、デジタル人材育成プラットフォームポー

ルタイムで実施する（図 2-3-7）。第 1 期は 76 名、第 2タルサイト「マナビ DX（デラックス）」を 2022 年 3 月に開期は 83 名、第 3 期は 69 名、第 4 期は 47 名が参加し、。ポータルサイトでは、デジタルスキルを学ぶ

2021 年 7 月に開講した第 5 期では、電力・鉄鋼・石油・ことができる学習コンテンツを紹介するとともに、すべての化学・自動車・鉄道・放送・通信・産業ベンダ等の幅

社会人が身に付けるべきデジタルスキルを示した「DXリ

広い業界から 48 名が参加した。

設した

中核人材育成プログラム 年間スケジュール

学ぶ機会がなかった人にも新たな学習を始めるきっかけ

7月となることが期待される。

8月

9月

10月 11月 12月

1月

2月

3月

4月

5月

6月

アドバンス
（上級演習）択（b）
SC3 産学官連携 WG

ベーシック（基礎演習）

選プライマリー（レベル合わせ）防衛技術
ペネトレーション手法
OTインシデント
対応・BCP
ITセキュリティ

卒業
プロジェクトDXセキュリティ・
国際標準

SC3 産学官連携 WG では、プラス・セキュリティ人材

ビジネス・マネジメント・倫理
プロフェッショナルネットワーク（含む海外）

育成の具体化として、産業界が求めるプラス・セキュリティ
像と既存の教育プログラム・体系の摺り合わせを行うとし■図 2-3-7

第 5 期中核人材育成プログラムの年間スケジュールている（前ページ図 2-3-6）。
現時点では、プラス・セキュリティ向けの教育カリキュ

カリキュラムは OT 分野の「防衛技術・ペネトレーショ

ラムは整備されておらず、SC3 産学官連携 WG ではそン手法」（制御システム固有のセキュリティリスク、攻撃にれらのセキュリティ教育プログラムで身に付けるべき知識・対する防御技術の理解等）、「OT インシデント対応・スキル及びその他の能力を明確にし、共通化する作業

BCP」（安全性と事業継続性を両立する OT インシデントも行うとしている。

対応、
制御システムBCP 対応の演習等）、
IT 分野の「IT今後、教育機関、教育ベンダ等がプラス・セキュリティ

セキュリティ」（制御システムセキュリティ実現のための IT

に関する人材育成として具体的な教育プログラムを整備

設計、IT インシデント対応、体制整備等）の 3 領域をすることが期待される。

基軸として、ビジネスマネジメントに関する実務家による講義や米国・欧州等の先進事例を学ぶ海外派遣演習

2.3.2

等を含む構成となっている。

産業サイバーセキュリティセンター
※ 190

2021 年 10 月には米国政府・EUと連携した制御シス

や産

テムのサイバーセキュリティ対策に関するキャパシティビル

業基盤のサイバー攻撃に対する防御力を強化するため、ディングプログラム「インド太平洋地域向け日米 EU 産業

IPA は 2017 年 4 月に産業サイバーセキュリティセンター

制御システムサイバーセキュリティウィーク※ 191」を経済産（ICSCoE：Industrial Cyber Security Center of業省と共催した（「2.2.1（3）（d）インド太平洋地域に向け

Excellence）
を発足させた。

たサイバー演習」参照）。本演習には第 5 期の受講者

我が国の経済・社会を支える重要インフラ

ICSCoEは、
重要インフラや産業基盤のサイバーセキュ

及びインド太平洋地域から招聘した外国人受講者 40 名

リティリスクに対応する人材・組織・システム・技術を生がオンラインで参加し、米国、EU 及び日本の専門家にみ出していくため、「人材育成事業」「制御システムの安よるエネルギー分野を含むサイバーセキュリティに関する

全性・信頼性検証事業」「攻撃情報の調査・分析事業」

ワークショップ、
リモートでのハンズオン演習等を実施した。

の三つを事業の柱としている。本項では、「人材育成事

同年 12 月の海外派遣演習では、英国政府によるサイ
バーセキュリティ政策の紹介や英国企業によるサプライ業」について述べる。

チェーンサイバーセキュリティについてのケーススタディ等（1）中核人材育成プログラムをオンラインで実施した。2022 年 2 月には、2017 年 5

ICSCoE は、2017 年 7 月、 制 御 技 術（OT：

月に合意された「日イスラエル・イノベーション・パートナシッ

Operational Technology）
と情報技術
（IT）
、マネジメンプ」等に基づき、イスラエルのテルアビブ大学やイスラエ

105

2

情報セキュリティを支える基盤の動向

テラシー標準」も掲載しており、これまでデジタルスキルを

第 章

※ 188

2022

ル国家サイバー総局によるサイバーセキュリティ対策に関2021 年 9 月に本演習をオンライン（ライブ配信）で実施する講義をオンラインで実施した。

した。
本演習では、組織を守るために必要なスキルとメソッ

2022 年 5 月の海外派遣演習では、フランスを訪問し、ドを身に付けるため、最新のサイバー脅威の動向や米

サイバーセキュリティの国際標準や先進的な取り組みの国の先進的なサイバーセキュリティ戦略である「コレクティ

理解、現地トップレベル機関の人材とのネットワーク構築

ブ・ディフェンス」、近年重要性が説かれている「任務保を目的に学術研究機関や産学官連携による研究施設の証」等について、米国サイバーコマンド出身の専門家や講義を受講し、自動運転等の模擬システムを見学した。

CISO、セキュリティアーキテクト等が講師となって講演、2018 年 7 月、中核人材育成プログラムの修了者コミュ

講義及びロールプレイング演習を行った。受講者からは、※ 192」が発足し、2019 年夏以降、本多種多様な経験を積んできた講師陣の話をリアルタイム

プログラムを通じて培った人脈の活用、知見やノウハウの対話形式で聴くことができたことは有益であった、とのの共有を目指し、地域活動や技術をテーマにする複数反応があった。

ニティとして「叶会の部会が設置された。また修了年次をまたがる縦のつながりの形成、最新情報及びノウハウ収集を目的とした叶（b）
業界別サイバーレジリエンス強化演習（CyberREX）

会総会の第 4 回が 2021 年 11 月に開催された。叶会に「業界別サイバーレジリエンス強化演習（CyberREX：

は第 1 期から第 4 期までの修了者に加え、2022 年 6 月

Cyber Resilience Enhancement eXercise byに修了した第 5 期生も参加しており、今後もコミュニティ

industry）※ 195」は、電力、鉄道、ビル、ガス、金属、としての規模を拡大しながら、お互いの顔が見える縦横

石油・化学、自動車（製造）、ファクトリーオートメーショの人的つながりを形成し、産業サイバーセキュリティに関ン業界において、CISO に相当する役割を担う人材やする適時、適切な情報共有活動を継続することが期待IT 部門、生産部門等の責任者・マネージャークラスのされる。

人材を対象としたプログラムである。

なお、同プログラムの修了者は、「情報処理の促進に

2021 年 10 月にはオンライン（ライブ配信）で、11 月に関する法律」の規定に基づき、後述する情報処理安全は大阪で本演習を実施した。本演習は、部署・部門の

※ 193

。

確保支援士試験の全部免除を受けることができる

サイバーセキュリティに関するインシデント対応力・回復
力を強化するため、仮想企業を想定し、業界の最新動（2）短期プログラム

向、業界別に考慮すべきセキュリティ要件、安全性要ICSCoE では、セキュリティに関連するスキルの習得

件を織り込んだシナリオ形式による実践演習を中心に進機会が充分でない部門責任者や現場責任者、及びセめられた。受講者に加え、サイバーセキュリティの専門

キュリティ実務担当者に向けて、数日間で学ぶ短期演習

家や監督省庁の関係者も参加し、グループ演習を行っ形式の「サイバー危機対応机上演習（CyberCREST）」

た。受講者からは、実務で起こりうる事例がシナリオで「業界別サイバーレジリエンス強化演習（CyberREX）」

挙げられており興味深い、外部組織との連携や事業へ「戦略マネジメント系セミナー」「制御システム向けサイの影響等、高い視座でインシデントを見ることができ有意

バーセキュリティ演習」及び「ERAB サイバーセキュリティ義であったとの反応があった。

トレーニング」を提供している。対面形式での実施のほ（c）
戦略マネジメント系セミナー

か、新型コロナウイルス対策の一環として、オンライン形「戦略マネジメント系セミナー※ 196」は、経営層を補佐

式、または対面とオンラインを併用したハイブリッド形式でし、実務者・技術者を指揮することでセキュリティ対策をの実施とした。

進める戦略マネジメント層、及び今後戦略マネジメント層（a）
サイバー危機対応机上演習（CyberCREST）になることが期待される層を対象としたプログラムである。
2022 年 1 月から 2 月にかけて、本セミナーを対面（東「 サイバー危 機 対 応 机 上 演 習（CyberCREST：
※ 194

」

京）
とオンラインのハイブリッド形式で実施した。本セミナー

は、制御システムを有する企業・団体においてサイバー

は、ビジネスのデジタル化・DX 推進に伴うリスクの変化

セキュリティ対策を統括する責任者やセキュリティ・オペに対応して、セキュリティ対策を組織横断的に統括できレーション・センター（SOC）の責任者、サイバーセキュリる責任者を育成することを目的としている。具体的には、

ティ対策部門の管理職を対象にしたプログラムである。

政府の動向やサイバーセキュリティの事故や対策についCyber Crisis RESponse Table top exercise）

106

情報セキュリティ白書ての先進事例の講演、責任者の役割等を理解するため

2.3.3の講義のほか、事例を用いてインシデント発生時に必要2022

情報セキュリティ人材育成のための国家試験、国家資格制度な意思決定における課題を発見し、対策ガイドを作成す本項では、情報セキュリティ人材の育成や確保を目的るために、グループワーク（ディスカッション）を行った。受とした国家試験や国家資格制度に関する動向を紹介す講者からは、どのような視点で経営層と現場をつなげばる。

いいかが理解できた、他社の方と意見交換することで自企業・組織においては、組織が定めた情報セキュリティ（d）
制御システム向けサイバーセキュリティ演習

ポリシーを部門内に周知して遵守を促し、部門の情報管理を実施する等、情報セキュリティ対策を推進する人材

制御システムのサイバーセキュリティを担当する、または（情報セキュリティマネジメント人材）が必須である。こう今後担当予定の技術者を対象としたプログラムである。

した人材を育成するために、2016 年度春期より「情報2022 年 2 月に福岡で本演習を実施した。本演習は処理技術者試験」の新たな試験区分として「情報セキュ制御システムのサイバーセキュリティを理解するための導リティマネジメント試験」が実施されている。2019 年度ま

入的な演習に位置付けられ、制御システムの攻撃手法、

では、試験を筆記方式で年 2 回実施していたが、2020

及び制御システムのサイバーセキュリティ対策の基礎を、

年度から CBT（Computer Based Testing）方式※ 200

簡易模擬システムを用いた実機演習（ハンズオン演習）
でに移行した。CBT 方式への移行により、受験者は、自体験し、制御システムのセキュリティについて実践的に身で試験日、試験会場を選択することが可能となった。

理解することを目的としている。受講者からは、ハンズオ

2021 年度は、CBT 方式による試験が年 2 回（上期 7

ン研修は身に付きやすいと感じた、OT-IT 連携の重要

月 1 ～ 31 日、下期 12 月 1 ～ 26 日）実施され、応募者性について腹落ちしたとの反応があった。

数 3 万 1,672 人（前年比約 3.3 倍）、
合格者数 1 万 5,325人（前年比約 2.5 倍）であった※ 201。2022 年度もCBT（e）
ERAB サイバーセキュリティトレーニング

方式での実施を継続する。

※ 198「ERAB サイバーセキュリティトレーニング」は、電（2）情報処理安全確保支援士制度

力 小 売 事 業 に 関 わる ERAB（Energy Resource
Aggregation Business）事業者において、セキュリティ

サイバー攻撃の増加・高度化に加え、社会全般に対策を検討し、立案・実施する実務者及び対策の導入・

IT が広く普及・活用されていることから、企業・組織に実施を判断する責任者を対象としたプログラムである。

おけるサイバーセキュリティ対策の重要性が高まってい2022 年 2 月にはオンライン（ライブ配信）で、3 月には東る。それに伴い、企業・組織での安全なセキュリティ対

京で本トレーニングを実施した。本トレーニングは、経済策を高度なスキルを活かして推進できる人材が求められ産業省の「エネルギー・リソース・アグリゲーション・ビジネ

ている。

※ 199

」

そこで、最新の知識・技能を備え、サイバーセキュリティ

における ERAB 事業者に求められるサイバーセキュリ対策を推進する人材の育成と確保を目指し、2016 年 10

ティ対策に関する学習を目的としている。具体的には、

月に「情報処理の促進に関する法律」の改正法が施行

本ガイドラインの解説やリスク分析・対策事例の解説やされ、国家資格「情報処理安全確保支援士」制度が創グループワーク、実機を用いた実演（デモ）を中心とした設された。

スに関するサイバーセキュリティガイドライン Ver2.0

演習を実施した。受講者からは具体的なデモを目の当た

情報処理安全確保支援士（以下、登録セキスペ）はりにすることでリスクや事象についてイメージを持つことがサイバーセキュリティ分野初の国家資格であり、情報処

できた、実機を用いて不正アクセス・制御が実施できる

理安全確保支援士試験合格者等が登録申請後、登録ことを理解でき対策の必要性を実感できたとの反応が簿に登録されることにより資格を取得できる。試験は年 2あった。

回実施され、2021 年度は応募者数 3 万 2,627 人、合格者数 4,665 人であった※ 201。登録セキスペは 2022 年
4 月 1 日時点で 2 万 253 人※ 202 となった。
登録セキスペには、法定講習の受講と、3 年に 1 度

107

2

情報セキュリティを支える基盤の動向「制御システム向けサイバーセキュリティ演習※ 197」は、第 章（1）情報セキュリティマネジメント試験

分の中にはなかった視点を学べたとの反応があった。

＜共通講習（オンライン講習）＞
・最新の知識及び技能の学習、倫理の醸成
・毎年1回受講・全登録セキスペが共通に受講

︵専門性︶

講習の内容
＜実践講習＞
・実習、
実技、
演習または発表を伴う講習
・3年に1回受講・受講する講習を選択受講、資格更新オンライン申請、その他登録セキスペの

IPAが行う実践講習

民間事業者等が行う業務に役立つ情報の掲載等も開始された。

特定講習

・実践講習A
New・実践講習B
New・業界別サイバーレジリエンス強化演習
New・制御システム向けサイバーセキュリティ演習

11実施機関34講習（※1）

情報処理安全確保支援士制度全体に対して、登録
セキスペからは「国家資格保持者である登録セキスペと共通講習なることで、単なる情報部門の公務員ではなく、信頼で（オンライン講習）

きる情報技術の専門家とみなされるようになった」（地方（知識・技能の範囲）※12022/4/1現在

自治体所属）、「情報処理安全確保支援士の講習で得■図 2-3-8 法定講習の全体像（出典）
IPA「情報処理安全確保支援士（登録セキスペ）の受講する講習について※ 203」

られる最新の知識・スキルが業務で役立つ重要なツールになっている」（IT ベンダ企業所属）、等の声が聞かれ、
今後一層、企業・組織のセキュリティ対策推進に登録※ 203の登録更新が義務付けられている。

セキスペの活躍が期待され、大きな役割を果たしていく

法定講習の全体像を図 2-3-8 に示す。

と考えられる。

「共通講習（オンライン講習）」は、登録セキスペとして期待される情報セキュリティ実践のために必要な知識・

2.3.4

技能・倫理について学習することを目的として、すべての登録セキスペが毎年 1 回受講する。

情報セキュリティ人材育成のための活動

情報セキュリティに関する情報共有や情報セキュリティ「実践講習」は、実習、実技、演習または発表等を通人材育成の場として、様々なイベントが開催されている。

じて具体的な技術や手法を学ぶことを目的として、3 年

また、複数の大学と産業界がネットワークを形成し、セキュに 1 回「IPA が行う実践講習」あるいは「民間事業者等

リティ分野の人材を育成する事業が行われている。

が行う特定講習」から任意の講習を選択して受講する。

（1）
セキュリティ・キャンプ「IPA が行う実践講習」のうち「実践講習 A」は主に登録後 3 年目までの登録セキスペを対象とし、情報セキュ「セキュリティ・キャンプ」は、若年層の情報セキュリティ

リティインシデント対応等の演習を通じて情報セキュリティ

意識の向上、並びに将来第一線で活躍できる高度な情実践のための具体的な技術や手法を習得することができ

報セキュリティ人材を発掘・育成する場として、一般社

る。Web 会議ツールを活用したオンライン形式で実施し、団法人セキュリティ・キャンプ協議会とIPA により運営さ2021 年度は全国より3,016 名が受講した。更に、2022れている。本項では、一般社団法人セキュリティ・キャ

年 3 月より、主に登録後 4 年目以降の登録セキスペをンプ協議会とIPA が開催しているプログラム・イベントに対象とし、新規事業を立ち上げる際のセキュリティ上のついて紹介する。

助言を検討する「実践講習 B」を開始した。また専門的（a）
セキュリティ・キャンプ全国大会

な分野の知識・技術修得を望む登録セキスペを対象として、「業界別サイバーレジリエンス強化演習（CyberREX）」

年 1 回、主に夏休み期間中に 4 泊 5 日の合宿形式と「制御システム向けサイバーセキュリティ演習」が追加さの勉強会としてセキュリティ・キャンプのメインイベントであれ、より選択肢が広がった（演習内容については「2.3.2（2）

る「セキュリティ・キャンプ全国大会」（以下、全国大会）（b）
業界別サイバーレジリエンス強化演習（CyberREX）」が実施されてきた。18 回目となる 2021 年度の「全国大「2.3.2（2）（d）制御システム向けサイバーセキュリティ演会 2021 オンライン」は、2020 年に引き続き新型コロナウ

習」参照）
。

イルス感染防止のためオンライン形式による開催となっ「民間事業者等が行う特定講習」は、「IPA が行う実た。過去 3 番目の多さとなる 317 名の応募があり、選考

践講習」と同等以上の効果を有する講習として経済産業を通過した 81 名が参加した※ 205。

大臣が定める講習※ 204 であり、2022 年度は、11 実施（b）
セキュリティ・ネクストキャンプ

機関 34 講習が経済産業省より特定講習として定められている。

過去の全国大会を修了した、または同等以上のスキ

なお登録セキスペの利便性向上等を目的とし、2021

ルを持つ 25 歳以下の学生等を対象に、さらなる育成の年度に登録セキスペ専用の「情報処理安全確保支援士

場として「セキュリティ・ネクストキャンプ 2021 オンライン」

ポータルサイト」を開設し、「共通講習（オンライン講習）」が全国大会と同時にオンライン形式で開催された。3 回

108

情報セキュリティ白書

2022

た数名が参加した※ 209。

目の開催となる本プログラムでは選考を通過した 10 名が参加した※ 206。

（f）
Asian Cyber Security Challengeセキュリティ・キャンプ地方大会（c）（セキュリティ・ミニ「Asian Cyber Security Challenge（ACSC）」はアジ
アトップの Capture The Flag（CTF）プレイヤーを選出

これまで地方において小規模で開催してきた「セキュリするための CTF 大会である。2021 年 1 月 1 日時点でティ・ミニキャンプ」も、2020 年に引き続き一部オンライン

25 歳以下のアジア圏在住者を対象とし、成績優秀者は※ 207

形式を取り入れて開催された。

アジア代表チームとして「International Cybersecurity
Challenge（ICC）」に参加できる。ファイナリストには 3 名

月）、広島（2021 年 11 月）、大阪（2022 年 3 月）にて開の日本人 ※ 210 が選ばれ、2022 年 6 月※ 211 に開催され催し、最新のサイバーセキュリティ脅威の動向や対応策、る ICC にアジア代表のチームメンバーとして参加が予定

これからの IT 人材のキャリア等をテーマに、産学官のされている。

※ 208

有識者による講演やディスカッションが行われた。

また、2021 年 10 ～ 11 月に行われた「セキュリティ・ミ（2）enPiT

ニキャンプ オンライン 2021」は、従来のミニキャンプの特「enPiT（Education Network for Practical

徴を踏襲しつつ、地域ごとのグループによる助け合いと、

Information Technologies：成長分野を支える情報技

グループワークによる盛んな交流を取り入れて開催され術人材の育成拠点の形成）」は、情報技術を高度に活※ 207。参加者は、25 歳以下の学生・生徒・児童で、用して社会の具体的な課題を解決できる人材を育成す

北海道、東北、関東、中部、近畿、中国、四国、九州、るために、2012 年 4 月から開始された文部科学省の事

沖縄の地域ごとに 4 名程度を選考して実施された。

業である。産学協働の教育ネットワークを形成し、PBL

た（Problem Based Learning：課題解決型学習）等の実（d）
セキュリティ・キャンプフォーラム 2022

践 的な教 育を推 進・普 及することを目的としている。

セキュリティ・キャンプ修了生相互の年度を超えた交流2021 年度 4 月以降は、セキュリティを含む 4 分野においと意見交換の場の提供、及び同修了生の認知度向上とて大学により自主展開されている※ 212。本項では、セキュ

現在の活動状況紹介による産業界での活動の機会提

リティ分野で提供されている三つのプログラムについて紹供の 2 点を目的として 2022 年 3 月に「セキュリティ・キャ介する。

ンプフォーラム 2022」が開催された。本フォーラムでは講師、チューター、修了生がパネリストとなり、「プログラミ（a）SecCap

ングの教育者になるとしたら、何から教えるか」をテーマ

2012 〜 2016 年度までは大学院生を対象とした事業にパネルディスカッションや修了生による講演が行われた。

「第 1 期 enPiT」が実施された。この活動を継承した教

また、フォーラム終了後には「セキュリティ・キャンプ交流

育プログラム「enPiT1」のセキュリティ分野では、五つの会 2022 春オンライン」 が開催され、LT（Lightning

大学※ 213（情報セキュリティ大学院大学、北陸先端科学

Talk）会等、セキュリティ・キャンプ修了生同士の交流

技術大学院大学、奈良先端科学技術大学院大学、慶が行われた。

應義塾大学、東北大学）
が協力して開講する実践セキュ
リティ人材育成コース「SecCap」が設けられ、産業界が（e）Global Cybersecurity Camp求める「セキュリティ実践力のある IT 人材」を育成するプログラムとなっている。

「Global Cybersecurity Camp（GCC）」は「国籍・人種を超えた専門知識のあるグローバル人材の育成」と「国境を超えた友情とゆるやかなコミュニティの形成」を目（b）
Basic SecCap

的として、セキュリティに興味を持つ 25 歳以下の若者が「第 1 期 enPiT」を踏まえて 2016 年度から、学部生

ともに学び、友好を深める場として 2018 年度から日本をを対象とした「第 2 期 enPiT」（以下、enPiT2）が実施

含むアジア太平洋地域 8ヵ国の関連団体・大学により開されている。enPiT2 は、ビッグデータ・AI、セキュリティ、

催されている。4 回目となる 2021 年度の「GCC 2022

組み込みシステム、ビジネスシステムデザインの 4 分野を

Taiwan」は台湾で開催され、日本からも選考を通過し対象として教育プログラムを提供している。enPiT2 のセ

109

2

情報セキュリティを支える基盤の動向

参加資格を限定しない一般講座は山梨（2021 年 9

第 章

キャンプ）

キュリティ分野では、14 の大学※ 214 が協力して開講す

18 日に開催された※ 221。

る情報セキュリティ分野の実践的人材育成コース「Basic（b）
SECCON Beginners CTF

SecCap」が設けられ、幅広いセキュリティ分野の最新技※ 215

術や知識を取得可能なプログラムとなっている。

若 手 の CTF プレイヤ ー により運 営 され て いる
「SECCON Beginners」は、日本国内の CTF 参加者（c）enPiT Pro Securityを増やし、セキュリティ人材の底上げすることを目的とし「enPiT Pro Security（情報セキュリティプロ人材育た勉強会である。CTF 初心者・中級者を対象とした成短期集中プログラム）」は、情報セキュリティ大学院大「SECCON Beginners CTF」をオンライン形式で 2021

学、東北大学、大阪大学、和歌山大学、九州大学、

年 5 月 22 〜 23 日に開催した※ 222。

慶應義塾大学、長崎県立大学の 7 大学院※ 216 が連携（c）
CTF for GIRLS

し、文部科学省「情報セキュリティ人材育成に関する調査研究」で提唱されたモデル・コア・プログラムに基づき、「CTF for GIRLS」は、情報セキュリティ技術に興味

社会人の学び直しを支援する高等教育の体制を整え、がある女性（女性と自認されている方を含む）を対象に、様々な分野で活躍する情報セキュリティ分野のリーダー

気軽に技術的な質問や何気ない悩みを話し合うことが人材を育成する短期集中プログラムである。数学・アルできるコミュニティを作ることを目的とした団体である。コ

ゴリズム・暗号理論等のセキュリティの基盤技術から、サミュニティ形 成の一 環として、2021 年 6 月 30 日にはイバーセキュリティ・リスクマネジメント・法制度・暗号技

Exploit ※ 223、2021 年 9 月 22 日にはフォレンジック※ 224、術の応用・ビットコイン・ブロックチェーン・IoT 等の最新

2021 年 12 月 22 日には Web セキュリティ※ 225 に焦点を技術までを幅広くカバーしており、社会システムにセキュ当てたワークショップが開催された。

リティ技術を安全に適用できる知識の獲得を目的としてい（4）産学情報セキュリティ人材育成交流会

る※ 217。

「産学情報セキュリティ人材育成交流会」は、今後の（3）SECCON

情報セキュリティ業界を支える人材育成を目的とした「SECCON」（SECURITY CONTEST）は、情報セ

JNSA のインターンシップ支援活動である。将来情報セキュリティをテーマに多様な競技を開催する情報セキュリ

キュリティ業界で活躍したいと考える学生に対し、本交

ティコンテストイベントとして、特定非営利活動法人日本流会を介して 2021 年度は 8 社の企業がインターンシップ

ネットワークセキュリティ協会（JNSA：Japan Networkを実施した※ 226。

Security Association）内の SECCON 実行委員会によ（5）サイバーセキュリティ経営戦略コース

り運営されている※ 218。本イベントは、世界の情報セキュ
リティ分野で通用する実践的情報セキュリティ人材の発

東京工業大学社会人アカデミーでは 2021 年 11 月 11

掘・育成を目的とし、日本の情報セキュリティレベルを世日、MOT（Management of Technology：技術経営）

界トップレベルに引き上げることを目標としている。競技種に関する社会人向けプログラムとして「キャリアアップ※ 219。本項では、

MOT『サイバーセキュリティ経営戦略コース』」を開講し

SECCON 実行委員会が開催している三つのイベントにた。本コースは 2020 年に引き続きオンライン講義形式とついて紹介する。

なった。

目としては、CTF が採用されている

本コースでは、サイバーセキュリティが企業・組織の経（a）
SECCON CTF 2021

営に及ぼす影響を理解し、サイバーセキュリティ経営及世界各国のセキュリティ専門家が CTF の技量を競う

びその戦略立案に求められる知識・能力を備え、企業・「SECCON CTF 2021」は、2021 年 12 月 11 〜 12 日

組織を先導する人材の育成を目指しており、経営企画、にオンライン形式で開催され、世界各国から 506 のチー

CISO 相当業務等の実務者、サイバーセキュリティ経営

ムが参加し、そのうち日本からは 312 のチームが参加しを学びたい方等、多様な立場の社会人の受講を想定し※ 220ている。本コースは、週 1 回、産学官の有識者による

その他、コンテストの結果発表やワークショップを行う

関連技術・法制・世界情勢等の解説や、事例に基づくイベントとして「SECCON 2021 電脳会議」が同年 12 月

演習、討議等を含む全 18 回の講義で構成される※ 227。

た

。

110

情報セキュリティ白書（6）KOSEN Security Educational Community（7）CYNEX

SEC）」は、サイバーセキュリティ専門技術者として必要量のデータや、人材育成の知見を活用し、サイバーセキュとなる高度な技術を持つ人材だけでなく、工学分野（機リティ分野の産学官の「結節点」となることを目指し、

械・建築・土木・電気／電子・材料・生命等）の技術「CYNEX（Cybersecurity Nexus：サイネックス）」を者が持つべきセキュリティ技術を身に付けた人材の輩出

2021 年 4 月 1 日に設立した※ 99。本組織は、サイバーを目的とした独立行政法人国立高等専門学校機構（以セキュリティ情報を国内で収集・蓄積・分析・提供する

下、国立高専機構）による事業である。セキュリティ知識

とともに、人材育成の基盤としてサイバーセキュリティ演を身に付けた国立高等専門学校生（以下、高専生）、

習に必要となる演習環境や教材を提供することで、日本また高度なセキュリティ技術を身に付けた人材の育成ののサイバーセキュリティの対応能力向上を目的としているために、企業、大学、公的機関等の外部組織と連携し、（「2.1.3（5）（c）人材育成・普及啓発の推進」参照）。
CYNEX の 人 材 育 成 プロジェクトの 一 つ である講習会やコンテストの開催、インターンシップの実施等を「CYDERANGE as an Open Platform（CYROP）」で関連するイベントとして、2021 年 12 月 27 〜 28 日には、国内における民間事業者や教育機関におけるセ「K-SEC セキュリティウィンタースクール 2021」がオンライ

キュリティ人材育成事業の促進を目的に、NICT の演習

ン形式で開催された。本開催で 8 回目となり、全国から

プラットフォームをオープン化するための検証を 2022 年度

40 名の高専生が参加した。JNSA やトレンドマイクロ株

末までの期間限定で実施している。この検証によって演式会社、株式会社日本総合研究所等の様々な講師によ習を実施する組織からフィードバックを得て、演習教材

る講義や演習を通じて、参加者はセキュリティのスキルをの拡充や演習環境の高度化等を行い、2023 年度には

※ 228

学んだ

CYROP の本格運用開始が予定されている※ 100。

。

111

2

情報セキュリティを支える基盤の動向

NICT は、保有しているサイバー攻撃に関連した大第 章「KOSEN Security Educational Community（K-行っている。

2022

2.4 組織・個人における情報セキュリティの取り組み
企業・組織、教育機関、政府、地方自治体、一般

日本（n=1,510）

利用者の情報セキュリティ対策状況及び課題について、④9.9％

政府、IPA 等による取り組み及び公表されている資料を③21.7％①27.4％

基に述べる。

2.4.1②41.1％

企業等における対策状況
米国（n=509）

情報セキュリティに対する企業等の対策状況及びセ③5.5％

キュリティリスクマネジメントの取り組みについて述べる。

④0.8％①60.9％②32.8％（1）情報セキュリティに対する企業等の対策状況
近年、DX の推進に伴うサイバーセキュリティの重要性が注目されている。一方で、海外拠点を含むサプライ
チェーンのセキュリティ脅威が増しており、ランサムウェア

オーストラリア（n=518）

等の攻撃により事業継続に影響する被害も出ている。こ③6.0％のような背景を踏まえ、企業のセキュリティ対策・統制状①56.2％②36.9％

況について、NRI セキュアテクノロジーズ株式会社（以④1.0％

下、NRI セキュア社）の「NRI Secure Insight 2021 ※181」（日本 1,616 社、米国 511 社、オーストラリア 526 社の企業を対象に調査。以下、NRI セキュア社調査）を基に述べる。

①中長期の対策計画を立てている③今後計画を立てる予定である②1年以内の対策計画を立てている④計画を立てる予定はない■図 2-4-1 セキュリティ対策計画の策定状況（出典）
NRI セキュア社「NRI Secure Insight 2021」
を基に IPA が作成（a）
セキュリティ対策計画の策定状況
NRI セキュア社調査（図 2-4-1）によると、 3 年程度の「中長期の対策計画を立てている」企業の割合は日本が以上であった。また、自社の水準を満たすために関連子

27.4% である一方、米国とオーストラリアは 60% 前後と会社へ改善要求まで実施している割合は、日本では約

日本の約 2 倍であった。
また、「計画を立てる予定はない」

44.3% で、米国とオーストラリアでは 65% 以上であった。

企業の割合は日本が 9.9% である一方、米国とオースト

国内パートナー／委託先への統制状況を調査した結果が図 2-4-3（次ページ）である。国内パートナー／委託

ラリアは約 1% であった。

先のセキュリティ対策状況を把握している割合は、日本

回答企業のうち、1,000 人未満の企業の割合は日本
70.3%、米国 34.3%、オーストラリア 34.8%となっており、対策状況を把握している

日本と米国・オーストラリアの違いは企業規模の構成比

日本（n=1,132）が影響している可能性がある。中堅企業、中小企業においても、「サイバーセキュリティ経営ガイドライン※ 229」等を参照して、セキュリティ対策計画を立案し、対策を実施していくことが望まれる。

NRI セキュア社調査（図 2-4-2）によると、企業が国内
は、日本では 66.3% で、米国とオーストラリアでは 80%

米国（n=498）35.1

オーストラリア（n=501）

37.3

15.0

22.0

30.3

31.7

33.7

19.5

15.1

15.8

15.2

0
20
40
60
80
100
（％）
セキュリティ対策状況が改善されていることを定期的に確認している
セキュリティ対策状況を把握して自社の水準を満たすために改善を要求している
セキュリティ対策状況を把握している
セキュリティ対策状況を把握していない（b）
サプライチェーンのセキュリティ対策状況の把握
関連子会社のセキュリティ対策状況を把握している割合

29.3■図 2-4-2 国内関連子会社に対するセキュリティ統制状況（出典）
NRI セキュア社「NRI Secure Insight 2021」
を基に IPA が編集

112

情報セキュリティ白書

2022

（d）
セキュリティ人材の充足状況

では 46.9% で、米国とオーストラリアでは 85% 以上であった。また、自社の水準を満たすためにパートナー／委託

NRI セキュア社調査（表 2-4-2）によると、セキュリティ

先へ改善要求まで実施している割合は、日本では 33.3%

対策に従事する人材が不足しているとする企業におけで、米国とオーストラリアでは 60% 前後であった。

る、不足している人材の種別として、日本では「セキュリティ戦略・企画を策定する人」が 1 位であり、米国とオー対策状況を把握している

米国（n=496）

22.7

10.6

30.4

36.8

0

20

対策内容等を説明・報告できる人」が 1 位であった。

53.1

28.6

25.6

31.3
40

15.3

19.1
60

80

日本
（n=1,461）

12.8

セキュリティ対策状況が改善されていることを定期的に確認している
セキュリティ対策状況を把握して自社の水準を満たすために改善を要求している
セキュリティ対策状況を把握している
セキュリティ対策状況を把握していない■図 2-4-3 国内パートナー／委託先に対するセキュリティ統制状況（出典）
NRI セキュア社「NRI Secure Insight 2021」
を基に IPA が編集

39.3%
33.3%
31.1%
セキュリティリスク セキュリティリスク 関係部署との調を評 価・監 査す を評 価・監 査す 整をしながら、セ2位
キュリティ対策をる人る人
推 進・統 括できる人

日本でも、サプライチェーン上でのインシデントの増加
や政府機関による注意喚起もあったためか、国内関連

38.4%
29.5%
28.8%
ログを監視・分析 セキュリティ戦 セキュアなシステ
3 位 して、 危 険な兆 略・企画を策定 ム設 計ができる
候をいち早く察知 する人
人できる人

子会社に対するセキュリティ統制状況（前ページ図 2-42）では「セキュリティ状況を把握していない」 割合は33.7% であり、7 割弱の企業が何らかの取り組みを実施していた。しかし、統制対象が国内パートナー／委託
い」割合は 53.1%と約半数であった。子会社とは違ってオーストラリア（n=61）

54.3%
51.5%
41.0%
セキュリティ戦 経営層に対して 経営層に対して略・企画を策定 適 切な表 現で、 適 切な表 現で、1位する人
現状や対策内容 現状や対策内容等を説明・報告 等を説明・報告
できる人
できる人

100
（％）

先の場合（図 2-4-3）、「セキュリティ状況を把握していな

米国（n=66）■表 2-4-2 セキュリティ対策に従事する人材が不足していると考えている企業における、不足している人材種別（出典）
NRI セキュア社「NRI Secure Insight 2021」
を基に IPA が編集

統制は容易ではないと推察されるが、米国、オーストラリ
アでは統制が進んでいることから、国内でも状況の改善「2.4.1（1）（a）セキュリティ対策計画の策定状況」で述が望まれる。2022 年 1 月に IPA が発表した「情報セキュ

べたとおり、
日本では、「中長期の対策計画を立てている」※ 230」によると、「サプライチェーン

企業の割合が少ない。表 2-4-2 の結果から、その背景の弱点を悪用した攻撃」が 3 位となり、無視できない脅として、セキュリティ戦略・企画を策定する人材が不足し威になっている。業種・業態・事業規模に関係なく、サていることがうかがえる。

リティ10 大脅威 2022

プライチェーンを構成するすべての事業者が対策を検討

一方で、米国及びオーストラリアで「経営層に対してし、協力することが重要である。

適切な表現で、現状や対策内容を説明・報告できる人」が求められる状況は、CISO 設置率の高さ（表 2-4-1）と（c）
セキュリティ管理体制の構築状況も整合し、経営層がセキュリティに関与し、事業継続性

NRI セキュア社調査（表 2-4-1）によると、CISO を設置やサイバー攻撃に対する防御力向上の観点で適切な経している企業の割合は、米国とオーストラリアが 90% 以営判断を行うことを重要視していると推察される。

上であるのに対し、日本は 46.1% にとどまっている。これは、同社が前年に行った同様の調査※ 231 とおおむね同（2）
セキュリティリスクマネジメント
国内の企業・組織は、「2.4.1（1）情報セキュリティにじ結果であり、CISO の設置は進んでいない。

CISO

対する企業等の対策状況」で述べたようなセキュリティリ

日本（n=1,509）

米国（n=503）

オーストラリア（n=511）

スクに直面している。組織のセキュリティリスクを把握・

46.1%

94.8%

91.4%

管理するリスクマネジメントは、企業にとって経営・事業を守るための重要課題の一つである。リスクマネジメント■表 2-4-1 CISO の設置状況（出典）
NRI セキュア社「NRI Secure Insight 2021」
を基に IPA が編集には経営層のリーダーシップが欠かせないため、経済産

1132

情報セキュリティを支える基盤の動向

オーストラリア（n=514）

ストラリアでは「経営層に対して適切な表現で、現状や

13.6

第 章

日本
（n=1,269）

業省と IPA は、経営層のセキュリティリスクマネジメントていないことがうかがえる。一方、指示 8（インシデントに向上を目的として、2017 年に「サイバーセキュリティ経営

よる被害に備えた復旧体制の整備）、
指示 （9 ビジネスパー※ 232」（以下、経営ガイドライン）を発

トナーや委託先を含めたサプライチェーン全体の対策及行した。また IPA は、経営ガイドラインの実践には、対び状況把握）、指示 10（情報共有活動への参加を通じガイドライン Ver2.0

策状況の可視化や、参考となる実践事例（プラクティス）の提示が重要であることから、それらに関する取り組み

問 1（1）

成熟度

企業の対応状況

経営者がサイ レベル 1 認識していない又は部分的である
バーセキュリ レベル 2 認識しているが、文書化等はできてティリスクを経いない
営リスクの 1
レベル
3
認識しており、文書化されているが、つとして認識し対策は部下に任せているているを行ってきた。
本項では、上記の取り組みを基にしたセキュリティリス
クマネジメントについて述べる。

レベル 4 認識しており、定期的に経営会議等で議論している（a）
サイバーセキュリティの対策状況
組織のセキュリティリスクマネジメントにおいては、経営

レベル 5 認識しており、経営会議等での議論を踏まえて継続的に改善している層とCISO 等のセキュリティマネジメントを統括する部門
が情報共有できるように、自組織の対策状況を可視化す■表 2-4-3

ることが重要である。IPA は、経営ガイドラインに基づく
質問に回答することで、サイバーセキュリティ対策状況のレーダーチャート表示や業種平均との比較ができる「サイバーセキュリティ経営可視化ツール※ 3」（以下、可視化ツール）を提供している（図 2-4-4）。回答方法は成熟度
モデルに基づく5 段階（最高 5 ポイント、最低 1 ポイント）の選択式（表 2-4-3）で、回答者がなるべく客観的に判断できるようなヒントの提示（表 2-4-4）により、利用者がより正確に回答できるよう工夫されている。
可視化ツールでは、回答に基づき、対策実施状況を

問 1（1）の判断基準の例
・経営者が、ニュースや部下の報告等から昨今のサイバー攻撃の動向と自社への影響をある程度理解しているが、経営会議の資料等の形にしていなければレベル 2。
・経営会議の議題に入っているが、資料は付録、情シス責任者の報告を聞き流すだけ等であればレベル 3 以下。（経営者が自分の言葉で考え、語っているかがポイント。）
・経 営会議の議題に入っており、かつ経営者が自分の考え、自分の言葉で議論していればレベル 4。
・経営会議で議論されたことが現場に展開され、その結果がまた経営会議に報告・議論されるというプロセスが回っていれ
ばレベル 5。
■表 2-4-4

経営ガイドラインで示された「重要 10 項目」ごとにレー5 段階の成熟度モデルによる回答選択肢の例

問 1（1）の判断のためのヒント

ダーチャート表示する。図 2-4-5 に 2021 年 8 ～ 12 月に

指示1

利用者登録された企業全体と業種別（製造業、情報通

指示10

信業）
の回答の平均値を示す。
全回答の総計である「全体」では重要 10 項目の中で、

指示9

指示 1（サイバーセキュリティリスクの認識、組織全体で

4.0
3.5
3.0
2.5
2.0
1.5
1.0
0.5

指示2

指示3

の対応方針の策定）が 3.1 ポイントと最も高い。文書化まではできているものの、その見直し体制までは構築でき

指示8

指示4

指示7

指示5
指示6

情報通信業
（情報サービス（ソフトウェア、
情報処理）（）n=27）
製造業（n=44）
全体（n=154）
指示1：サイバーセキュリティリスクの認識、組織全体での対応方針の策定
指示2：サイバーセキュリティリスク管理体制の構築
指示3：サイバーセキュリティ対策のための資源（予算、人材等）
確保
指示4：サイバーセキュリティリスクの把握とリスク対応に関する計画の策定
指示5：サイバーセキュリティリスクに対応するための仕組みの構築
指示6：サイバーセキュリティ対策におけるPDCAサイクルの実施
指示7：インシデント発生時の緊急対応体制の整備
指示8：インシデントによる被害に備えた復旧体制の整備
指示9：ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握
指示10：情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供■図 2-4-5■図 2-4-4 サイバーセキュリティ経営可視化ツール画面

114

可視化ツールに利用者登録した企業のサイバーセキュリティ
対策状況（2021 年 8 ～ 12 月）

情報セキュリティ白書

た攻撃情報の入手とその有効活用及び提供）
は、1.8 ポ2022

③各拠点担当者が、本社の支援のもとチェックリストを用

イントと最も低い。対応方針の策定はできているものの、いて定期的な自己点検を実施した。

インシデント復旧体制の整備、サプライチェーンの状況④情報セキュリティ対策に関する内部監査で、上記の自把握、情報共有活動までは十分できていない実態がう己点検結果を監査することで現地法規制の遵守状況

かがえる。

を確認し、必要に応じて是正を指示した。

個別の業種については、回答数の多かった二つを掲る。一方、「情報通信業」は指示 1 ～ 9 で「全体」
を 0.2

ト作成にあたっては、正確性を担保しつつ現地の商習慣、～ 0.5 ポイント上回り、取り組みが進んでいる業種であるスタッフの役割等を考慮し各業務内容に沿った記載とすことがうかがわれる。その「情報通信業」においても指示ることで、現地スタッフにとって分かりやすい内容となるよ

10 のポイントは低く、情報共有活動の実践は業種横断う努めた。

的な課題である可能性がある。

なお、上記のような他社のプラクティスを参考にする際
は、実践内容をそのまま受け入れるのではなく、自社の（b）
セキュリティリスクマネジメントの実践事例

問題に置き換えて取り得る対策、重点化する対策等を他社のセキュリティリスクマネジメント実践事例は、自柔軟に考えることが重要である。

社の同様なセキュリティ課題について対策を行う上で、（c）
まとめ

有用な情報である。IPA は、企業へのアンケート及びインタビューを通じて収集した、実際に行われている施策

セキュリティリスクマネジメントについて、経済産業省はに基づく「サイバーセキュリティ経営ガイドライン Ver 2.0

サイバーセキュリティ経営ガイドラインの実践を通じた経

※4

」
（以下、
プラクティ

営層のコミットメント強化を推進しており、そのための重ス集）を提供している。プラクティス集は、事例ごとに仮要な支援ツールとして可視化ツールとプラクティス集が位

想的な企業を想定し、その企業が置かれている事業状置付けられている（「2.1.2（1）（b）WG2（経営・人材・国況やセキュリティ等の状況、CISO 等及び関係者の役割、際）」参照）。企業の経営層や CISO 等を含むリスクマネ対策に関する意思決定、実際の作業について具体的

ジメント統括部門はこれらの支援ツールを有効に活用し、に記載している。

セキュリティリスクマネジメントの向上に取り組むことが望ま実践のためのプラクティス集 第 3 版

プラクティス集では、二つのタイプ（重要 10 項目の実れる。

践に紐づくものと、重要 10 項目を横断する課題の解決に紐づくもの）を掲載している。ここでは、そのうち前者

2.4.2のタイプで重要 10 項目の指示 1 の実践に紐づく事例を紹介する。

中小企業に向けた情報セキュリティ
支援策

本項では、中小企業における情報セキュリティ、対策

従業員数 1 万名規模の精密機器メーカである C 社で支援、及び普及啓発・対策ツールの現状について紹介は、ある拠点で製品サポートを提供した顧客情報の管する。

理不備が見つかった。意図しない漏えいリスクに危機感を抱いた経営層は本社の CISO を中心に対応を指示し（1）中小企業の情報セキュリティの現状
IPA が 2022 年 3 月 31 日に発表した「2021 年度 中

た。CISO が各拠点の事情を踏まえ実践した手順は次のとおりである。

小企業における情報セキュリティ対策に関する実態調査①専門家の助言を基に、拠点立地国の個人情報やプラ報告書※ 233」によると、情報セキュリティに関する脅威に

イバシー情報の保護に関する要求事項（例：EU のついて、コンピュータウイルスを「非常に大きな脅威であ

GDPR（General Data Protection Regulation：一般

る」または「どちらかといえば脅威である」と認識している

データ保護規則））を整理した上、現地に対策を委ね

企業の割合は 81.7% であった。また、
不正アクセスを「非ることが困難な拠点を洗い出した。

常に大きな脅威である」または「どちらかといえば脅威である」と認識している企業は 76.5% であった
（次ページ図②当該拠点ごとのチェックリスト（例：個人情報を定めら

2-4-6）。

れた場所に保存しているか、保管期限を経過した情

一方で、脅威対策の満足度について、ウイルス対策を報を削除しているか等）
を作成した。

115

2

情報セキュリティを支える基盤の動向

CISO は①〜④のプロセスを統括し、②のチェックリス

第 章載している。「製造業」は「全体」とほぼ同様の傾向であ

脅威対策の満足度（コンピュータウイルス）

脅威を感じる程度（コンピュータウイルス）⑥10.4％⑥10.1％
⑤3.7％
④0.8％
③3.8％

①15.2％

⑤8.1％
④9.2％

①55.1％②26.6％②42.5％③14.6％①非常に大きな脅威である③あまり脅威ではない⑤脅威の度合いがわからない①十分と感じる③どちらかと言えば十分と感じない⑤わからない

②どちらかといえば脅威である④まったく脅威ではない⑥無回答

脅威を感じる程度（不正アクセス）②どちらかと言えば十分と感じる④十分と感じない⑥無回答

脅威対策の満足度（不正アクセス）⑥10.1％⑥10.4％

⑤4.7％
④1.4％
③7.3％

⑤12.5％①50.2％④12.0％②26.3％①10.3％②35.4％③19.4％①非常に大きな脅威である③あまり脅威ではない⑤脅威の度合いがわからない②どちらかといえば脅威である④まったく脅威ではない⑥無回答①十分と感じる③どちらかと言えば十分と感じない⑤わからない

■図 2-4-6 情報セキュリティに関する脅威（出典）
IPA「2021 年度中小企業における情報セキュリティ対策の実態調査報告書」
を基に編集②どちらかと言えば十分と感じる④十分と感じない⑥無回答■図 2-4-7 脅威対策の満足度（出典）
IPA「2021 年度中小企業における情報セキュリティ対策の実態調査報告書」
を基に編集「十分と感じる」
または「どちらかと言えば十分と感じる」と販売先・仕入先との契約締結時における情報セキュいう企業の割合は 57.7% であった。また、不正アクセス

リティに関する条項・取引上の義務・要請については、「義対策を「十分と感じる」
または「どちらかと言えば十分と感務・要請はない」の割合が高く63.2%となっている。「義じる」という企業の割合は 45.7% であった
（図 2-4-7）。

務・要請がある」の割合は、26.1% である（次ページ図

被害防止のための組織面・運用面の対策の実施状

2-4-10）。

況については、「重要なシステム・データのバックアップ」

また、「義務・要請がある」と回答した企業のうち、契の割合が最も高く37.5% となっている。次いで、「特に約時における情報セキュリティに関する要請について、「秘実施していない」（30.0%）、「一般ユーザアカウントの管密保持」の割合が最も高く93.8%となっている。次いで、

理ルールの策定（パスワードの設定ルール等）」（28.2%）と「契約終了後の情報資産の扱い（返却、消去、廃棄等）」

なっている。2016 年度に実施した同調査の結果と比較（36.3%）、「情報セキュリティに関する契約内容に違反しすると、「特に実施していない」の割合が 34.6% からた場合の措置」（32.4%）となっている（次ページ図 2-4-11）。

30.0% へ減少し、大半の項目で実施割合がわずかながこのような調査結果から、中小企業では情報セキュリら増加している（次ページ図 2-4-8）。

ティに関する脅威を認識しているものの、十分な対策が情報セキュリティ関連製品やサービスの導入状況につとられているとは言えない状況にあることが分かった。まいては、「ウイルス対策ソフト・サービスの導入」の割合

た、サプライチェーン上の販売先・仕入先等からの情報が最も高く77.2%となっている。次いで、「ファイアウォー

セキュリティに関する義務・要請も十分に行われていない。

ル」（35.6%）、「VPN」（17.1%）となっている。2016 年度

しかし、「サイバーセキュリティお助け隊事業（令和 2 年

調査の結果と比較すると、「VPN」の導入割合が 11.9%

度中小企業向けサイバーセキュリティ対策支援体制構から 17.1% に増加しているものの、その他の選択肢につ

築事業）成果報告書※ 234」では、業種や事業規模を問いては大きな差はない（次ページ図 2-4-9）。

わずサイバー攻撃や不審なアクセス等の脅威に晒されて116

情報セキュリティ白書

事業継続計画
（ＢＣＰ）
の策定

5.7
9.4

ウイルス対策ソフト・サービスの導入

6.3

ウェブ閲覧のフィルタリングソフトウェア

情報セキュリティに関するリスク分析

11.9

セキュリティポリシー
（セキュリティの規程やルール）が文章化されている

14.6
13.5

一般ユーザアカウントの管理ルールの策定（パスワードの設定ルール等）
Ｗｅｂサイト管理者権限アカウントの管理ルールの策定

12.2

11.9
16.3

ソフトウェアライセンス管理／
Ｉ
Ｔ資産管理製品

5.5
6.7

情報セキュリティマネジメントシステム
（Ｉ
ＳＭＳ）
の認証取得

2.3
2.9

特に導入しているものはない

プライバシーマーク（Ｐマーク）
の取得

3.7
2.6

無回答

3.3
5.1

情報セキュリティ対策の
定期的な見直し

5.6

12.0
11.6

13.3
9.5
3.2
8.6
0

7.0
9.9

情報セキュリティ監査（外部監査）
の実施

20

前回調査
（n=4,215）

7.8
10.1

（内容に応じて）委託先とＮＤＡ（機密保持契約）
の締結

7.6
10.1

40

60

一般ユーザのプログラムインストールの制限（ｅｘｅファイルの実行禁止等）

100
（％）

③10.7％①26.1％

15.1
20.9

アカウント毎のアクセス制御

80

今回調査
（n=4,074）■図 2-4-9 情 報セキュリティ関連製品やサービスの導入状況（複数回答）（出典）
IPA「2021 年度中小企業における情報セキュリティ対策の実態調査報告書」
を基に編集

17.4

委託先の情報セキュリティ対策、体制、実施状況などの確認

2

その他 1.0
1.1

21.9
27.2

情報セキュリティ監査（内部監査）
の実施

16.1
17.0

メールフィルタリングソフトウェア（誤送信防止対策製品、
スパムメール対策製品を含む）

16.2
21.4

ハードディスク等の廃棄時の破砕／溶融

8.0
7.7

8.6
10.5
38.2
37.5

重要なシステム・データのバックアップ②63.2％

12.4
16.8

セキュリティ監視サービスの活用
ログやファイル情報に基づく
Ｗｅｂコンテンツの改ざん検知

4.0
5.8

定期的なＷｅｂコンテンツのセキュリティ
5.7
6.4
診断サービス（ぜい弱性調査）の活用
クラウドサービス利用のための情報セキュリティマネジメントガイドライン 1.05.1（経済産業省ガイドライン）の活用
情報セキュリティ管理基準 1.0
3.6（経済産業省告示）の活用
ＳＳＬ／ＴＬＳ暗号設定ガイドライン（Ｉ
ＰＡのガイドライン）
の活用

1.9

①義務・要請がある

7.1

証跡の提示、監査協力等

その他 1.0
2.4
特に実施していない
6.1
8.1
10

20

30

今回調査
（n=4,074）

40

18.9

情報セキュリティに関する契約内容に違反した場合の措置
インシデントが発生した
場合の対応
可用性
（稼働率の水準、
目標復旧時間等） 3.6
認証
（Ｉ
ＳＭＳ等）
取得の
4.8
依頼／要件化
新たな脅威（ぜい弱性等）が9.8顕在化した場合の情報共有・対応

34.6
30.0

0

93.8

秘密保持

中小企業の情報セキュリティ対策ガイドライン 0.9
6.1（ＩＰＡのガイドライン）の活用

前回調査（n=4,215）③無回答■図 2-4-10 販
 売先・仕入先からの情報セキュリティに関する条項・・
取引上の義務・要請（出典）
IPA「2021 年度中小企業における情報セキュリティ対策の実態調査報告書」
を基に編集組織における内部不正防止ガイドライン 0.9
4.2（Ｉ
ＰＡのガイドライン）
の活用

無回答

②義務・要請はない

50（％）

再委託の禁止または制限■図 2-4-8 被害防止のための組織面・運用面の対策（複数回答）（出典）
IPA「2021 年度中小企業における情報セキュリティ対策の実態調査報告書」
を基に編集

32.4
24.5

28.4

契約終了後の情報資産の扱い（返却、消去、廃棄等）
その他

36.3
3.7

無回答 0.1
0

20

40

60

80

100
（％）

■図 2-4-11 契 約時における情報セキュリティに関する要請（販売先・（発注元企業）との契約時）（複数回答）（出典）
IPA「2021 年度中小企業における情報セキュリティ対策の実態調査報告書」
を基に編集

117

情報セキュリティを支える基盤の動向

6.4
7.6

機器や記録媒体の持込み・持出しの制限

暗号化製品（ディスク、
ファイル、メール等）

アイデンティティ管理／ログオン管理／ 3.7
アクセス許可製品 2.8
セキュリティ情報管理システム製品
5.8（ログ情報の統合・分析、システムのセキュリティ状態の総合的な管理機能） 5.3
クライアントＰＣの設定・動作・ネットワーク接続等 4.1を管理する製品（検疫ネットワークを含む） 4.0

24.1
25.7

外部送信ファイルへのパスワード設定

11.9
17.1

ワンタイムパスワード、
ＩＣカード、
ＵＳＢキー、生体認証等による個人認証

18.2

情報
（書類などの紙媒体）の施錠管理
セキュリティワイヤー等による
機器の固定

34.6
35.6

第 章

4.2
5.2

フロアや施設への入退出管理

11.6
13.3

ＶＰＮ

28.2

12.5
15.5

Ｉ
Ｔ資産構成や設定の文書化

82.3
77.2

ファイアウォール
21.7

2022

いる状況が明らかになっている。中小企業を含むサプラ

リティについての相談や意見交換を行う地域 SECUNITY

イチェーン全体でのセキュリティの確保が望まれる。

の形成を促進するために、地域ごとの形成状況に応じて、調査やセミナー、ワークショップ、専門家派遣、有（2）中小企業向け情報セキュリティ対策支援施策

識者会議等の取り組みを行った。

政府が 2021 年度に新たに実施した中小企業向け情

今後、地域の中でセキュリティに関する情報の収集や

報セキュリティ対策支援施策を紹介する。

相談が行える「共助」の取り組みが、全国各地で展開されることが期待される。

サプライチェーン・サイバーセキュリティ・コンソーシ（a）（3）普及啓発・対策ツール

アム
（SC3）

中小企業に向けた情報セキュリティの普及啓発活動

経済産業省は 2020 年度に引き続き2021 年度、IPA

や対策ツールを紹介する。

を通じて、産業界が一体となって中小企業を含むサプラ
イチェーン全体のサイバーセキュリティ対策を推進する運（a）
サイバーセキュリティお助け隊サービス制度

動「サプライチェーン・サイバーセキュリティ・コンソーシア
※ 235

ム
（SC3）

」の支援を行った。

IPA は 2021 年度、中小企業に対するサイバー攻撃

具体的には、中小企業対策強化 WG では、サイバーへの対処として不可欠なサービスの要件をまとめた「サイセキュリティお助け隊サービスの普及に向けた議論や中バーセキュリティお助け隊サービス基準※ 237」を満たした

小企業を対象としたウェビナーの開催等を行った。

民間セキュリティ事業者のサービスを「サイバーセキュリとして登録・公表した。
ティお助け隊サービス※ 6」

また、2021 年 6 月の運営委員会において、攻撃動向 分 析・対 策 WG 及び 地 域 SECUNITY 形 成 促 進

サイバーセキュリティお助け隊サービス基準は、相談

WG、産学官連携 WG が新たに設置された（図 2-4-

窓口、異常の監視、緊急時の対応支援、簡易サイバー

12）。このうち地域 SECUNITY 形成促進 WG は、全保険等の各種サービスをワンパッケージで安価に提供す国各地で活動する地域のセキュリティコミュニティ（通称、ることを要件としている（表 2-4-5）。同基準を満たすサー

地域 SECUNITY）を対象に地域間の情報共有や共通

ビスには、「サイバーセキュリティお助け隊マーク」の利用

課題の解決に向けた取り組みを検討・推進することを目が許諾される（次ページ図 2-4-13）。
2022 年 3 月末時点で 12 のサービスが登録されてい的としたワークショップを開催した。

る。中小企業が無理なくサイバーセキュリティ対策を導今後、各 WG の活動を通じて、地域や業界に閉じな入・運用できる具体的なサービスが明示されることで、サい横断的な活動を展開していくことが期待される。
Supply Chain Cybersecurity Consortium (SC3)

主な要件

総会

年１回程度開催（WG報告、重要事項の決定等）

運営委員会

中小企業
対策強化ＷＧ

会長
副会長
副会長

攻撃動向
分析・対策WG

相談窓口

遠藤 信博 経団連サイバーセキュリティ委員長
金子 眞吾 日本商工会議所 特別顧問
間下 直晃 経済同友会 副代表幹事

産学官
連携WG

地域SECUNITY
形成促進WG

ユーザからの相談を受け付ける窓口を設置／
案内

異常の監視の ネットワーク及び／または端末を 24 時間見守仕組み
る仕組みを提供
緊急時の対応 インシデント発生等の緊急時には駆け付け
支援
支援

その他、必要に応じて専門WGを設置予定

中小企業でも専門知識がなくても導入・運用できるような導入・運用で工夫
きる簡単さ

事務局：独立行政法人情報処理推進機構（IPA）■図 2-4-12 SC3 の組織体制（出典）
IPA「サプライチェーン・サイバーセキュリティ・コンソーシアム（SC3）とは※ 236」

簡 易サイバー 突発的に発生する駆付け費用等を補償する
保険
サイバー保険・ネットワーク一括監視型：月額 1 万円以下
（税抜き）
中小企業でも ・端末監視型：月額 2,000 円以下／台（税
導入・維持で 抜き）きる価格
・併用型：これらの和に相当する価格を超えないこと※端末 1 台から契約可能であることが条件（b）
地域 SECUNITY 形成促進事業
経済産業省は 2021 年度、地域に根差したセキュリティ
コミュニティの形成促進のため「地域 SECUNITY 形成促進事業」を実施した。
本事業では、地域のセキュリティ関係者（公的機関、教育機関、地元企業、地元ベンダ等）が集まり、セキュ

概要■表 2-4-5 サイバーセキュリティお助け隊サービス基準の主な内容（出典）
IPA「サイバーセキュリティお助け隊サービス基準」
を基に作成

118

情報セキュリティ白書■図 2-4-14 SECURITY ACTION ロゴマーク

プライチェーン全体のセキュリティの強化が期待される。

（c）
東商サイバーセキュリティコンソーシアム

IPA では、中小 企 業自らが情 報セキュリティ対 策

東京商工会議所は 2021 年 7 月 30 日、会員企業のに取り組 むことを自己 宣 言 する制 度「SECURITY

サイバーセキュリティ対策支援を目的とした「東商サイバー」を運営し、中小企業と関連の深い中小を設立した（図 2-4-15）。
セキュリティコンソーシアム※ 239」

企業支援機関、士業団体、IT 関連団体と連携して

東京商工会議所では、従前より展開している「『はじSECURITY ACTION を通じた情報セキュリティの普めて IT 活用』1 万社プロジェクト」において、中小・小及啓発を行っている（図 2-4-14）。

規模事業者の IT 活用を総合的に支援してきた。このACTION※ 238

SECURITY ACTION に基づく自己宣言は、経済産枠組みの中でコンソーシアムを設立し、東京商工会議所

業省が実施するものづくり・商業・サービス生産性向上と参画企業 5 社が連携し、専用 Web サイトを通じて、促進補助金のデジタル枠の申請要件になっているほか、

中小企業向けサイバーセキュリティ支援サービスを提供

公的な補助金制度の申請要件としても活用されている。

している。

2022 年 1 月末時点の宣言数は 18 万件（個人事業主

地域の総合経済団体による中小企業へのサイバーセ

を含む）を超えている。今後、より多くの中小企業がキュリティ対策支援の取り組みの一つのモデルとして、

SECURITY ACTION を宣言し、社内の意識付けや今後全国へと拡大していくことが期待される。

社外への信頼性のアピール等に活用し、対策を推進す
ることが望まれる。

東商会員

東商サイバーコンソーシアム①相談

サービス提供企業と直接契約

②連絡

③申込

東商「はじめてIT活用」
ウェブサイトにサービスメニューを掲載

サイバーセキュリティ支援サービス〈有料（一部無料）〉○セキュリティ機器設置（提供：三菱電機インフォメーションネットワーク、
富士フイルムビジネスイノベーション、
NTT東日本） 凸版印刷株式会社○相談対応、
標的型攻撃メール訓練（提供：東京海上日動、NTT東日本）三菱電機株式会社○人財育成プログラムの提供（提供：凸版印刷）
東京海上日動火災保険○Web脆弱性診断、コンサルティング
株式会社（提供：三菱電機インフォメーションネットワーク、
東京海上日動、NTT東日本）富士フイルムビジネス○クラウドセキュリティ強化、ウィルス対策イ
ノベーション株式会社（提供：三菱電機インフォメーションネットワーク、
富士フイルムビジネスイノベーション）
東日本電信電話株式会社○サイバーリスク保険（提供：東京海上日動）■図 2-4-15 東 商サイバーセキュリティコンソーシアムの連携スキーム図（出典）東京商工会議所「『東商サイバーセキュリティコンソーシアム』
が本日発足 ～東商とサイバーセキュリティ対策のノウハウを持つ大手 5 社が業界を横断し、初連携！増大するサイバーリスクにさらされる中小企業を総合的に支援～※ 240」
を基に編集

119

2

情報セキュリティを支える基盤の動向（b）
SECURITY ACTION

第 章■図 2-4-13 サイバーセキュリティお助け隊マーク2022

2.4.3ている。これに対し「システム・サーバー」を起因とする教育機関・政府及び地方公共団体等
法人における対策状況

事故発生件数は全体の 4.5%と少なく、1 件あたりの個

教育機関・政府及び地方公共団体等法人における人情報の漏えい人数が顕著に大きいことが分かる。

対策状況について、公表されている資料に基づいて述

⑧1.1％
⑦1.1％
⑥2.3％
⑤4.5％
④4.5％

べる。

（1）教育機関における個人情報紛失・漏えいの
現状

⑨0.6％
⑩0.6％
⑪1.1％

③9.1％

教育ネットワーク情報セキュリティ推進委員会（ISEN：①62.5％

Information Security for Education Network）は、②12.5％

毎年、学校等教育関連機関で発生した個人情報の紛
失・漏えい事故について公開情報を調査し、公表している。2021 年 11 月、「令和 2 年度
（2020 年度）学校・①書類③USBメモリ⑤システム・サーバー⑦SDカード⑨外付けハードディスク⑪不明

教育機関における個人情報漏えい事故の発生状況 －（以下、ISEN 報告書）
を公
調査報告書－ 第 2 版※ 241」表した。本項では、ISEN 報告書に基づいて、2020 年②電子メール④インターネットサービス・アプリ⑥ホームページ
⑧パソコン
⑩携帯電話

■図 2-4-17 漏
 えい経路・媒体別事故発生件数（出典）
ISEN 報告書を基に IPA が作成

4 月 1 日～ 2021 年 3 月 31 日の間の事故の傾向について述べる。
ISEN 報告書によると、2020 年度は 170 件（2019 年

漏えい人数とは別に、事故の種類ごとの発生件数を度 226 件）の個人情報漏えい事故が発生し、
11 万 4,232

調べると、「紛失・置き忘れ」｢誤配布｣ ｢誤送信｣ ｢誤公人分（2019 年度 23 万 6,185 人分）の個人情報が漏えい

開｣ ｢誤廃棄｣ のように ｢不注意｣ による事故が全体のした。2019 年度と比較すると、発生件数は約 25% 減

90.6% に上っている（図 2-4-18）。

少し、漏えい人数は半減した。

育委員会が管理する｢システム・サーバー」が 9 万 5,238

⑧0.6％
⑦1.8％
⑥2.9％
⑤4.1％

人と最も多く、2 位の「書類」以下を大きく引き離している。

④7.6％

漏えいした個人情報の人数を経路・媒体ごとに比較すると、図 2-4-16 に示すように、2020 年度は学校、教システム・サーバー
5,408

SDカード

4,697

USBメモリ

4,694②21.8％

インターネットサービス・
1,829
アプリ

①紛失・置き忘れ③誤送信⑤不正アクセス⑦盗難⑨その他

電子メール 1,574
ホームページ 931

②誤配布
④誤公開
⑥誤廃棄
⑧ワーム・ウイルス感染⑩不明■図 2-4-18 漏
 えい事故種別発生割合（出典）
ISEN 報告書を基に IPA が作成

外付けハードディスク 406
パソコン 149
不明 23
0①46.5％③11.8％

95,238

書類

⑨1.8％
⑩1.2％

20,00040,00060,000 80,000 100,000
個人情報漏えい人数（人）■図 2-4-16 漏
 えい経路・媒体別個人情報漏えい人数※ 242（出典）
ISEN 報告書を基に IPA が作成

このように教育機関等においては、個人情報が記録された書類や USB メモリの紛失・置き忘れ、誤配布等の不注意による事故が後を絶たない。学校における安全安心な ICT 活用に向け情報セキュリティ対策を講じる

一方で、漏えいした個人情報の漏えい経路・媒体ごことが求められる中、情報管理不備（不注意）対策と「シとの事故発生件数は、図 2-4-17 に示すように「書類」のステム・サーバー」等からの情報漏えい対策の徹底が、

62.5% が最も多く、次いで「電子メール」の 12.5%となっ

ますます重要になっている。

120

情報セキュリティ白書（2）文部科学省における対策

策やクラウドサービスの活用に向けたネットワーク構成等

文部科学省における情報セキュリティの取り組みをの課題に対応するため、2021 年 5 月に 2 回目の改訂が「『教育情報セキュリティポリシーに関するガイドライン』

実施され※ 247、「『教育情報セキュリティポリシーに関す（令和 4 年 3 月）
改定について※ 243」に基づき述べる。

るガイドライン』（令和 3 年 5 月版）ハンドブック※ 248」も公2017 年 10 月、教育委員会・学校が情報セキュリティ表された。
2021 年 5 月の改定では、学校内外での学習者用端報セキュリティポリシーに関するガイドライン」が策定され、末の活用や、クラウドサービス活用に向けた ID 管理等

その後、順次改定されてきた。

に関するセキュリティ対策が多く追記された。また、過渡期としてのローカルブレイクアウト※ 249 構成や、校務系

すことなく、公正に個別最適化され、資質・能力が一／学習系のネットワーク分離を必要としない教育情報ネッ

層確実に育成できる教育 ICT 環境｣ の実現を目指す、トワークの構成等についても記載された。

とする GIGA スクール構想の始動に合わせて 1 回

更に 2021 年 12 月、「デジタル社会の実現に向けた重点計画」が閣議決定され※ 250、今後、各地方公共団

目の改定が実施された。

体においてもクラウドの利用を念頭にセキュリティを検討しその後、新型コロナウイルス感染拡大に伴い、学びのていくことが方向付けられた。

環境を保障するために GIGA スクール構想計画は前倒2022 年 3 月には、その方針を踏まえ、デジタル庁のしされた。すなわち、当初「教育の ICT 化に向けた環
※ 245

」

支援のもと、3 回目となる改定が実施され※ 251、「『教育とされていたが、1 人 1 台の端末整備や高速大容量の情報セキュリティポリシーに関するガイドライン』
ハンドブック境整備」
については「5 か年計画
（2018 〜 2022 年）

校内通信ネットワークの整備等の GIGA スクール構想計※ 252」
も公開された。
（令和 4 年 3 月）

同ガイドラインで提示された、1 人 1 台端末を活用す

画は、3 度の補正予算によって 2020 年度内に完了し※ 246

るために必要なネットワーク構成のイメージ（アクセス制御

このような環境整備に併せて必要となるセキュリティ対による対策を講じたシステム構成）を図 2-4-19 に示す。

た。

データセンター/本庁電算室

セキュリティとプライバシー情報の扱い等が第三者認証により強化されたパブリック・クラウド等クラウド環境（SaaS）
管理者ツール（管理者アカウントのみ許可）

総務課/指導課

校務系システム（管理者/教員アカウント）

システム設定ログ

活用レポート
多要素認証設定

保健管理

出欠管理

生徒所見入力児童生徒証明書

監視

学習系システム（管理者/教員/児童生徒アカウント）

就学援助

学齢簿管理

情報資産

多要素認証設定

教育委員会事務系
財務会計

学籍/成績管理学習ツール

遠隔教育システム

チャット

電子メール

情報資産

重要
情報
ログ

アカウント認証

アクセス制限

暗号化通信
行政系
ネットワーク

インターネット
暗号化通信

暗号化通信

学校外およびLTE等の
移動体通信

学校

行政系

教員アカウント
管理者アカウント

多要素認証等

事務室等（事務職員等）

職員室等
（教員等）

児童生徒アカウント

多要素認証等

保健室等（養護教諭等）

普通教室/PC教室等（教員及び児童生徒等）■図 2-4-19 1
 人 1 台端末を活用するために必要なネットワーク構成例（出典）文部科学省「『教育情報セキュリティポリシーに関するガイドライン』
ハンドブック（令和 4 年 3 月）」を基に IPA が編集

121

自宅/病院
課外活動
（児童生徒等）2

情報セキュリティを支える基盤の動向

まず 2019 年 12 月、｢多様な子供たちを誰一人取り残第 章

ポリシーの作成や見直しを行う際の参考となる「教育情

※ 244

2022

（3）地方自治体等における対策状況

2022 年 3 月の改定では、今後の推奨ネットワーク構成となる、校務系／学習系のネットワーク分離を必要としな

総務省は、継続的に地方公共団体の情報セキュリティ

い教育情報ネットワーク構成としての「アクセス制御による対策の実施状況を調査している。ここでは総務省が対策を講じたシステム構成」と、これまでの「ネットワーク

2021 年 8 月に公表した「地方自治情報管理概要～電子分離による対策を講じたシステム構成」を明確に区分し、自治体の推進状況（令和 2 年度）～※ 255」に基づき、地その上で「アクセス制御による対策を講じたシステム構

方公共団体の情報セキュリティ対策の実施状況の変化

成」について、特に校務用端末における「リスクベース認について述べる。

※ 253

※ 254

」
「ふるまい検知」「マルウェア対策」「暗号化」

表 2-4-6 は、対策項目に関して、都道府県及び市区「SSO（シングルサインオン）の有効性」等の詳細な技術

町村の実施率をまとめたものである。2019 年度※ 256 と的対策が追記された。

2020 年度との実施率の差も併せて記載している。

証

また、上記それぞれの構成における「校務用端末の2019 年度に都道府県では 10 項目、市区町村では全使い分け」についての記述の適正化や、「校務用端末

項目について 100％の実施率を達成できていなかったが、の持ち出し」に関する記述の適正化が図られた。

2020 年度に都道府県では ｢重要なデータへのアクセス

今後の GIGA スクール構想の進展において、セキュリ

制限（権限設定、認証）を実施｣｢情報資産の調達の際、ティが担保されることで、「これまでの我が国の教育実践

仕様書等に情報セキュリティポリシーに基づいた要件をと最先端の ICT のベストミックスを図ることにより、教師・

記載している｣ の 2 項目について新たに 100% の実施率

※ 244

児童生徒の力を最大限に引き出す」環境が整備さを達成した。しかしながら、都道府県では全 22 項目中れることが期待される。

8 項目が、市区町村では依然として全項目が 100% の対策実施率（都道府県は 47、市区町村は 1,741）

対象項目

都道府県

市区町村

対象項目

都道府県

市区町村

情報セキュリティの責任者や管 100.0%
87.2%
99.9%
40.1%
（Ｂ） 緊急時対応訓練を実施している（0.0ポイント）（+0.1ポイント）（0.0ポイント）（+7.1ポイント）
理者等の任命の有無
100.0%
72.8%（0.0ポイント）（+3.2ポイント）

重要なデータのバックアップを取 100.0%
99.9%（0.0ポイント）（+0.0ポイント）
得情 報 資 産の重 要 度に応じて、100.0%
95.5%
保管やアクセス、持ち出しにつ（0.0ポイント）（+2.6ポイント）
いて規定

機器や外部記録媒体を廃棄す 100.0%
99.7%（0.0ポイント）（0.4ポイント）
る際、重要なデータを抹消

情報資産について、機密性、 85.1%
72.9%
完全性及び可用性により分類 （+10.6 ポイント）（+9.1ポイント）

重要なデータへのアクセス制限 100.0%
99.8%（+2.1ポイント）（+0.1ポイント）（権限設定、認証）を実施

主要な情報資産について調査 80.9%
55.2%（+6.4ポイント）（+7.4ポイント）
及びリスク分析を行っている

許可されていないソフトウェアの 100.0%
98.6%（0.0ポイント）（+0.7ポイント）
導入を禁止

サーバ室等の入退室管理を行っ 100.0%
99.5%（0.0ポイント）（+0.2ポイント）ている

重要な情報システムのアクセス 100.0%
93.3%（+0.0ポイント）（1.6ポイント）
ログを保存し、検査サーバ等への停電や免振対策 100.0%
98.1%（0.0ポイント）（+0.7ポイント）を実施している重要なデータを暗号化し保存

重要情報を含む紙媒体を適切 100.0%
99.1%（0.0ポイント）（+0.5ポイント）に管理している

委託事業者に対し、情報漏え
100.0%
97.8%
い防止策を契約等により義務付（+0.0ポイント）（+1.5ポイント）
けている

CD-R、USB メモリ等によるデー
97.9%
98.9%
タの持ち出し、持ち込みを制限（0.0ポイント）（+0.6ポイント）
している

情報資産の調達の際、仕様書
100.0%
80.0%
等に情報セキュリティポリシーに（+2.1ポイント）（+8.9ポイント）基づいた要件を記載している（Ａ） 緊急時対応計画を整備

（Ａ）

89.4%
56.7%
（+2.2ポイント）（+6.7ポイント）

情報システムの運用等の委託
クラウドサービスやデータセン 97.9%
74.5%
93.7%
58.5%
（Ｂ） 事業者に対する指導・監査を（4.3ポイント）（+2.5ポイント）（+6.4ポイント）（+9.0ポイント）
ターを利用している
実施している
機密性、完全性及び可用性等
情報セキュリティ研修を職員に 100.0%
についてサービス契約 (SLA) に 70.2%
94.1%
49.1%
（Ｂ）
（0.0ポイント）（+1.2ポイント）
対して実施している
定め、委託事業者に対し定期 （+10.6 ポイント）（+10.4 ポイント）
的に報告することを定めている■表 2-4-6 地方公共団体における主な情報セキュリティ対策状況（2020 年度、47 都道府県、1,741 市区町村）（出典）
総務省｢地方自治情報管理概要～電子自治体の推進状況（令和 2 年度）～｣｢地方自治情報管理概要～電子自治体の推進状況（令和元年度）～※ 256」を基に IPA が作成

122

情報セキュリティ白書

実施となっていない。

2022

2021 年度調査は仕様変更後 2 回目の調査となった。本

基本的な個別対策の中で「情報資産について、機密項では、同調査※ 257 のうち、情報セキュリティの脅威に性、完全性及び可用性により分類」については都道府対する意識調査について、主に追加分析を行った結果

県、市区町村ともに前年度からの改善ポイントは高いもを紹介する。

のの達 成 率そのものは都 道 府 県 85.1%、 市 区 町 村（1）使用機器の違いによる対策状況の差

72.9% にとどまっている。
や監査・評価に関する項目（表中の（B）の項目）は、特フォン利用者※ 258 を対象に、それぞれの機器の特性やに市区町村において、今後の改善が求められる。都道

使用環境に応じた質問を設定し、実施している。調査

府県においても「緊急時対応訓練を実施している」の項

結果では、総じてスマートフォン利用者のセキュリティ対目については前年度からの改善が見られていないことか

対策実施率）が低い。具体的には、策実施率※ 259（以下、ら、併せて今後の改善が求められる。

セキュリティ対策実施の有無を問う全 17 問中、スマートフォン利用者の対策実施率が 50% を超えるのは 3 問の2.4.4

みであった（表 2-4-7 の「A：全体」）。一方、パソコン利

一般利用者における対策状況

用者は全 20 問中、対策実施率が 50% を超える質問はIPA では、2005 年から情報セキュリティの脅威に対8 問※ 260 であった。そこでスマートフォン利用者の対策

する意識調査を、2013 年から倫理に対する意識調査を

実施率の低さの要因を探るため、回答者属性等の追加

継続して実施しており、標的型攻撃やランサムウェア等分析を行った。

の脅威に対する認知度、インターネットを利用する上で利用者に求められる各種対策、SNS 利用における意識、（2）
スマートフォン利用者の対策実施状況
追加分析の結果を以下に示す。

経験等を調査している。2020 年度に調査仕様を見直し、

A: 全体（n=5,000）

スマートフォン利用者のセキュリティ対策実施状況

B: スマートフォン C: スマートフォンでのみを利用の利用時間が長い（n=1,749）（n=3,251）

B･C 差（可能な機種の場合）OS のアップデート

51.6%

41.3%

57.2%

-15.9%

信頼できる場所（公式サイト、
公式ストア等）からアプリをインストー
ルする

56.4%

48.2%

60.8%

-12.6%

アプリをインストールする前または実行時に要求される権限を確認
する

46.1%

38.8%

50.0%

-11.2%

端末内のアプリのアップデート

59.2%

53.0%

62.5%

-9.5%

紛失時などに備えたデバイス捜索対策

29.6%

22.4%

33.4%

-11.0%

リモートロックなどの不正利用防止機能

26.1%

20.0%

29.4%

-9.5%

パスワードや PIN、パターンなどによる画面ロック機能

46.4%

39.5%

50.1%

-10.7%

指紋認証・顔認証など、生体認証による画面ロック機能

42.9%

34.4%

47.5%

-13.1%

アプリをインストールする前にレビューやコメントなどを確認する

46.8%

40.3%

50.3%

-10.1%

デバイス内データ（写真、動画、個人情報など）のバックアップ

43.3%

35.8%

47.4%

-11.6%

セキュリティソフト・サービスの導入・活用

38.5%

26.4%

44.9%

-18.5%

重要な情報を扱うアプリの個別ロック機能の活用

24.9%

17.2%

29.1%

-11.9%

パスワード、指紋、ワンタイムパスワード等から 2 種類以上を組合わせる多要素認証の積極的な利用

39.3%

30.8%

43.8%

-13.0%

IoT 機器にアカウント設定があれば、購入後すぐにパスワードの変更等セキュリティ設定を実施

29.1%

22.1%

32.8%

-10.7%

セキュリティのサポートが終了した IoT 機器等の利用を止めている

27.3%

20.6%

30.9%

-10.3%

使わなくなった IoT 機器は、ネットから切り離している

30.1%

22.9%

34.0%

-11.0%

IoT 機器を廃棄する場合には購入時の状態に初期化している

29.6%

22.4%

33.6%

-11.2%■表 2-4-7 スマートフォン利用者のセキュリティ対策実施状況比較

1232

情報セキュリティを支える基盤の動向

脅威に対する意識調査はパソコン利用者とスマート

第 章

また、調査・分析・計画等の項目
（表中の
（A）
の項目）

（a）
インターネットを利用する機器の違いによる対策・

B：スマート C：スマートフォ
A: 全体 フォンのみを ンでの利用
B･C 差（n=4,661）
利用
時間が長い（n=1,578）（n=3,083）

実施率
スマートフォン利用者向け調査は、事前調査の回答から、インターネットの利用をパソコンではなくスマートフォンのみで行う回答者※ 261と、パソコンも使っているがスマートフォンの方が利用時間が長い※ 262（以下、スマートフォン
での利用時間が長い）回答者を対象としている。サンプ
ル総数 5,000 人のうち、2021 年度調査では「スマートフォ

推測されに
くい

70.9%

67.1%

72.8%

-5.7%

出来るだけ
長い

59.7%

54.4%

62.4%

-8.0%

初期パスワー
ドを変更

63.7%

58.6%

66.3%

-7.8%

（n=3,930）（n=1,264）（n=2,666） B･C 差

ンのみを利用」している人が 1,749 人、「スマートフォンで

使いまわさ
ない

の利用時間が長い」人が 3,251 人であった。
スマートフォン利用者の対策実施率について、
「全体」

45.7%

41.5%

47.7%

-6.2%

■表 2-4-8 パスワード設定におけるセキュリティ対策実施状況（以下、A 群）と「スマートフォンのみを利用している人」（以下、B 群）、
「スマートフォンでの利用時間が長い人」

セキュリティ対策全般について、対策実施率が「A 群」
よ（以下、C 群）、及び「B 群」
「C 群」の実施率の差分をり低い。「B 群」は事前アンケートで「現在はパソコンでイ

表 2-4-7（前ページ）に示す。

ンターネットを使っていない」
を選択しており、調査時点で「A 群」の対策実施率が 50% を超えるのは「（可能な私物のパソコンを使わない、あるいは所有していない状

機種の場合）OS のアップデート」「信頼できる場所（公式況だったと考えられる。

サイト、公式ストア等）からアプリをインストール」「端末内

このことから、現在、パソコンでインターネットを使ってのアプリのアップデート」の 3 問である。そして「B 群」「C

いないことと、セキュリティ対策の学びの少なさに関係が群」と「A 群」を比較すると、「B 群」の対策実施率が全あるのではないかとの仮説を立て、セキュリティ教育の受設問で「A 群」
より低く、逆に「C 群」は「A 群」
より高い。

講経験の割合について調べた。

「B 群」と「C 群」では、後者の方がおおむね 10% 程度（c）
セキュリティ教育の受講経験割合

対策実施率が高かった。
表 2-4-7（前ページ）にあるスマー
トフォン利用者向けの設問の選択肢は、パソコンの使用「スマートフォン利用者」（以下、A 群）及び「パソコン経験から得られる知見等ではなく、ほとんどがスマートフォ利用者」（以下、D 群）のセキュリティ教育の受講経験ンに特化した対策事項である。にもかかわらず、「B 群」

割合を確認した（表 2-4-9）。「A 群」と「D 群」で比較すの対策実施率が低かった。この要因について以降で考ると前者が 1.8% 低いが大きな差ではない。次に「A 群」

察する。

の中で、前節の「B 群」と「C 群」を比較すると「B 群」の受講経験が 6.6% 低かった。

（b）
パスワード設定におけるセキュリティ対策実施率

昨今、パソコンを多用する職場では、社員教育の一パスワード設定における対策状況を比較した。
パスワー

環としてセキュリティ教育が進み、教育機会はある程度

ドのセキュリティ対策においても「B 群」の実施率が低い確保されていると考えられる。上記結果からも、パソコン

ことが分かる（表 2-4-8）。「A 群」の母数 4,661 人は、の利用経験（所有）があることによって、情報セキュリティ

事前質問においてインターネットサービスのアカウントを教育の受講機会が得られ、セキュリティ対策やリテラシー持っている人（パスワード設定の必要がある人）、またの向上につながっている可能性がある。その一方で、「B

3,930 人はインターネットのサービスアカウントを 2 個以上群」は、受講機会が得られにくく、対策の必要性への理保有する人である。
表中の四つの対策のうち、最も実施率が低いのは「使A 群：スマートフォン利用者（n ＝ 5,000）

15.1%

いまわさない」 であるが、「B 群 」 の対 策 実 施 率は

B 群：スマートフォンのみでインターネットを利用（n ＝ 1,749）

10.8%

C 群：スマートフォンでの利用時間が長い（n ＝ 3,251）

17.4%

D 群：パソコン利用者（n ＝ 5,000）

16.9%

41.5%、初期パスワードを変更していない割合も 41.4%と少ない。「A 群」も 36.3% が、例えば Web サービス
や IoT 機器等で提供される初期パスワードを変更しない

B 群と C 群の差

まま、利用していることになる。
表 2-4-7（前ページ）及び表 2-4-8 のとおり、「B 群」は■表 2-4-9 セキュリティ教育の受講経験割合の比較

124

-6.6%

情報セキュリティ白書

解や対策実施率の低さにつながっている可能性が考えパスワードリスト攻撃られる。セキュリティ教育の受講機会が「D 群」程ないとフィッシング詐欺想定される「B 群」にとって自主的に受講機会を得るのは

28.9
21.8
45.7

脆弱性

難しい。「B 群」に対し、どのようなセキュリティの学習
（教

33.5

ビジネスメール詐欺

26.8
21.2

10）
。属性の分類においては職種によって回答が分かれ

偽警告（サポート詐欺）

25.0

ることを想定し、会社員等職業従事者について、「情報ランサムウェア

システムや通信関係など IT 関連業務に従事、関与」し

不正ログインている人とそうでない人とを分けて集計した。結果は、

IoT機器への侵入･乗っ取り「パート、
アルバイト」（20.8%）、「専業主婦・主夫」（20.0%）、

セクストーション（性的脅迫）（15.9%）、「IT 業務に従事、関与※ 263していない会社員」

スミッシング

経験のない 89.2%（1,560 人）の属性を調べた（表 2-4-

30.9
44.5

22.9

54.8

31.2

17.8
14.0
20.9
17.5

0

20

40

パソコン利用者

この結果をまとめるとB 群の職業に従事していない属

2

33.6

60
スマホ利用者80（％）■図 2-4-20 パ
 ソコン及びスマートフォン利用者における各種脅威名の認知度比較

性では「専業主婦・主夫」「無職」の割合が高かった。
職業に従事する属性では「パート・アルバイト」「IT 業務に従事、関与していない会社員」の割合が高い一方で、トフォン利用者より高いが、認知度が過半数を超えるもの「IT 業務に従事、関与している会社員」も一定程度のは 2021 年度調査では「フィッシング詐欺」（56.7%）、「不割合（7.1%）で存在した。こうした属性が混在する職場

正ログイン」（54.8%）の 2 点のみである。その他、社会では、セキュリティ対策が十分にできていない可能性が人には比較的馴染みがあると思われる脅威名であっても、ある。

「ビジネスメール詐欺」（26.8%）、「標的型攻撃」（26.8%）、「DoS 攻撃」（22.4%）等の認知度は決して高くない。ま（3）脅威名の認知度

た、昨今国内でも深刻な被害が発生している「ランサム各種セキュリティ脅威の認知度についてパソコン利用ウェア」も30.9% である。なお、各種脅威の認知度は過者とスマートフォン利用者の割合を比較した（図 2-4-20）。

去の調査においても変動があまりなく、おおよそ上記と同総じて、パソコン利用者における認知度の方がスマー
人数

受講経験
割合

会社員

111

7.1%

公務員・団体職員

21

1.3%

教職員

3

0.2%

契約・派遣社員

37

2.4%

属性

IT 業務に従事 ･ 関与している様の割合、傾向である。
人数

受講経験
割合

会社員

248

15.9%

公務員・団体職員

17

1.1%

教職員

2

0.1%

契約・派遣社員

52

3.3%

37

2.4%

属性

IT 業務に従事 ･ 関与
していない

自営業・自由業・
フリーランス23

1.5%

自営業・自由業・
フリーランス

経営者・役員80.5%

専業主婦・主夫

312

20.0%

医者

0

0.0%

無職（定年退職・
家事手伝い含）

225

14.4%

弁護士

0

0.0%

パート・アルバイト

325

20.8%

医師・弁護士以外
の専門職

26

1.7%

短大生・高専生

2

0.1%

中学生

7

0.4%

大学生

7

0.4%

高校生

50

3.2%

大学院生

2

0.1%

専門学校生

4

0.3%

その他

41

2.6%

■表 2-4-10  「B 群：スマートフォンのみを利用」
する人で受講経験のない人の属性別割合（n=1,560）

125

情報セキュリティを支える基盤の動向「無職」（14.4%）の順で割合が高かった。

19.9

第 章

22.4
15.5

DoS攻撃

関係を確認するために「B 群」（1,749 人）のうち、受講

49.7

29.7
22.4

偽セキュリティソフト

次に、受講経験の割合の低さと、回答者の属性との

56.7

26.8
20.4

標的型攻撃

育）
機会をどうやって提供するかが課題と考えられる。

2022

（4）
まとめ

パソコン利用者とスマートフォン利用者とで認知度の差は、「脆弱性」が 16.2 ポイントと最も大きく、「フィッシング

これらの調査結果全体をとおし、セキュリティの対策

詐欺」「ランサムウェア」が 11.0 ポイント、「不正ログイン」

実施率、教育の受講経験割合、脅威名の認知度、いが 10.3 ポイントと続いている。スマートフォン利用者がパずれにおいても、スマートフォン利用者がパソコン利用者

ソコン利用者と比べ、セキュリティ脅威の基本である「脆に比べ低い傾向にあった。また属性でみると職業に従事

弱性」の認知度が低いのは、セキュリティ知識の不足のしていない「専業主婦・主夫」「無職」や、「パート・アル

一端を表しているといえる。

バイト」といった非正規雇用者において低い傾向にあった。こうした属性のスマートフォン利用者に対する教育機会の創出、提供が望まれる。

C

O

L

U

M

N

高齢者層の情報セキュリティ
2021 年 9 月 1 日に日本のデジタル社会実現の司令塔としてデジタル庁が発足しました。
デジタルの活用により、一人ひとりのニーズに合ったサービスを選ぶことができ、多様な幸せが実現できる社会を目指し、安全・安心を前提とした「誰一人取り残されない、人に優しい
デジタル化」を進めることを目標としています i。そのようなデジタル社会において、行政手
続きや暮らしに関わるオンラインサービス等の恩恵を社会全体で享受するためには、
インター
ネットやスマートフォンの積極的な活用が広まっていない高齢者層にも、今後はその活用が求められます。
デジタル社会の利便性を向上させていく一方で、情報セキュリティの確保は両立しなくてはならない課題です。特にインターネットやデジタル機器の扱いに慣れていない高齢者層の情報セキュリティの現状には、様々な課題があると考えられます。
具体的には、フィッシングや、偽サイト等のネット詐欺の被害事例が高齢者層で多く確認されています。例えば、独立行政法人国民生活センターが 2022 年 2 月 24 日に発表 ii した、
いわゆる「サポート詐欺」に関する相談における契約当事者の年齢は 60 歳以上が 5 割を超えていて、特に 70 歳以上が被害に遭っているとされています。パソコンやスマートフォン
等の端末操作に不慣れで、セキュリティの知識がないことにつけ込まれているとのことです。
このような状況からも、高齢者層の情報セキュリティに課題があることが分かります。
IPA は地域での普及啓発活動の一環として、2021 年度は高齢者層向けを意識した「インターネット安全教室 iii」の開催に力を入れました。この教室では、「パスワードの作り方が分からない」「フィッシングの見分け方を教えて欲しい」「SNS、SMS、二段階認証などの言葉の意味が分からない」といった不安に対して説明を行っています。また、「情報セキュリティ安
心相談窓口 iv」においても、高齢者の方々から数多くの様々なご相談をいただき、それに対してアドバイスを提供しています。
「誰一人取り残されない、人に優しいデジタル社会」を実現するために、社会全体の取り組みとして、高齢者層の情報セキュリティリテラシー向上を目指していく必要があります。
i
デジタル庁：デジタル社会の実現に向けた重点計画 https://www.digital.go.jp/policies/priority-policy-program〔2022/5/23
確認〕
ii 独立行政法人国民生活センター：そのセキュリティ警告画面・警告音は偽物です！「サポート詐欺」にご注意！
！ https://www.
kokusen.go.jp/pdf/n-20220224_2.pdf〔2022/5/23 確認〕iii https://www.ipa.go.jp/security/keihatsu/net-anzen.html〔2022/5/23 確認〕iv https://www.ipa.go.jp/security/anshin/〔2022/5/23 確認〕126

情報セキュリティ白書

2022

2.5 情報セキュリティの普及啓発活動
新型コロナウイルスの感染が収まらず、新型コロナウ

するような場合には、あらかじめ支払い金額を明示する

イルスに常に注意を向ける「with コロナ」の生活が続い必要がある」としており、表示方法の改善が期待される。

ている。

また、政府は消費者契約法改正案を提出するとして
おり、改正されれば、利用者にとって契約内容や解約

モート授業・会議は今や日常のものとなり、「オンライン状

方法が分かりやすくなり、トラブルの減少につながること態」にいる人が多くなっている。

が予想される。
通信販売トラブルはシニア層だけのものではない。若年層の定期購入に関する相談も増加している※ 269。

るネットリテラシーと様々な組織による普及啓発活動につ

1 回だけの「お試し」のつもりで申し込んだが、2 回目

いて述べる。

の商品が届き定期購入になっていたことに気づいた、等のトラブルが発生しており10 ～ 20 歳代の若者が巻き込

2.5.1 ネットリテラシーの重要性

まれるケースも少なくない。このため、独立行政法人国新型コロナウイルスの感染拡大に伴い、インターネット

民生活センターは「通信販売にはクーリング・オフ制度がを介した非接触のコミュニケーションが推奨され、リモートない」「注文する前に販売サイトを隅々まで確認する」等、

ツール・サービスが我々の生活に浸透してきている。

トラブル防止のポイントをまとめ、公表している※ 270。また、政府広報オンライン※ 271 や京都府消費生活安全センター（1）
オンライン取引／契約の注意点

等の公的機関が、定期購入に関する注意喚起動画（図コロナ禍以降は外出の自粛により「おうち時間」が増

2-5-1）を公開しており、手軽に学べる機会が提供されてえ、自宅にいながら買い物を楽しんだり、外食の代替といる。

して料理の宅配サービスを利用したりと、通信販売の利用が増加した※ 264。65 歳以上のシニア層世帯でも利用が進んでいる※ 265 が、通信販売に不慣れだったシニア
層がトラブルに巻き込まれるケースも増加している。
独立行政法人国民生活センターは、60 歳代以上から受けた通信販売に関する相談件数が、2020 年度に初
めて 10 万件を超え、過去最高となったと発表した※ 266。
60 歳代から 80 歳代以上のいずれの年代も、相談件数の上位は通信販売に関するものとなり、特に 70 歳代及び 80 歳代以上では、過去 5 年間で最も多くなった。

■図 2-5-1 定期購入に関する注意喚起動画（出典）
京都府「あなたも気をつけよう！～身近な消費者トラブル～お試し購入編※ 272」

中でも、定額を支払う音楽や動画等の配信サービス
利用や、サプリメント等の購入ができる「サブスクリプショ

SNS を介した「個人間融資」にも注意が必要である。

ン」についての相談が多く、そのほとんどがインターネット※ 267。
具体的には「動画配信サー

コロナ禍による失業や収入の低下によって金銭面で困難

ビスの解約を忘れ、利用していないにもかかわらず代金な状態にある人が巻き込まれやすいとされる「個人間融を請求された」等の事例が報告されている。

資」では、法外な利息を要求されるトラブルが発生していで契約したものであった

このサブスクリプション契約に関する対策として、消費る。また、保証金としてお金をとられたり、個人情報が者庁は特定商取引に関する法律の通達改正（2022 年 2

悪用され、さらなる犯罪被害に巻き込まれたりする恐れも

月 9 日）において、「通信販売の申込み段階における表ある※ 273。

を公表した。
この中で、「サ示についてのガイドライン※ 268」

金融庁は、SNS 等で勧誘し、お金の貸し借りを行う「個

ブスクリプションに見受けられる、無償または割引価格の人間融資」は、貸金業法の規程に抵触する場合がある

対象期間後、自動的に価格が変わる契約内容に移行として注意を呼びかけている※ 274。また、神奈川県もヤミ

1272

情報セキュリティを支える基盤の動向

このようにオンライン化が急激に進む中で、必要とされ第 章2020 年から急速な移行を求められたテレワークや、リ金融情報のページを開設※ 275 し、成年年齢の引き下げ事例を紹介する Web サイト「StuDX Style ※ 279」（図を受け、啓発キャラクタを使用したリーフレットを公開する

2-5-2）を公開し、子ども達への指導の際の参考となる情等して「絶対に借りないこと！」等のアドバイスを行っている。

報をまとめている。

（2）GIGA スクール構想
文部科学省が推進する GIGA スクール構想は、児童
生徒に 1 台ずつ端末を提供し、個別最適化された学びや創造性を育む学びの実現を目指している（「2.4.3（2）文部科学省における対策」参照）。「端末利活用状況等
※ 276
」は、
の実態調査（令和 3 年 7 月末時点）（確定値）

公立の義務教育段階の学校を設置する 1,812 の自治体の 96.2% において、児童生徒がタブレットやノートパソコ
ンを活用できる環境が整ったことを示した。残る自治体で■図 2-5-2  「StuDX Style」のホームページ抜粋（出典）
文部科学省「StuDX Style」

も、その 7 割は 2021 年度内に整備が完了するという。
端末を利用したオンライン授業は、通学の必要がなく、自分のペースで学習できる等のメリットがあるが、教員が心身ともに成長段階にある子ども達は、様々なことをそばで操作等について指導ができないため、児童生徒

柔軟に吸収する。そして、その柔軟さ故にトラブルの経

個々のネットリテラシーがより重要になる。

験は深い傷を残すことがあり、周囲の大人はトラブル回避に奔走する。しかし、当の大人はネット上のトラブルを

小学 1 年生～中学 3 年生の子どもを持つ保護者と、回避できているだろうか。

教員を対象とした「GIGA スクールにおけるセキュリティ実※ 277」を実施したトレンドマイクロ株式会社

IPA が公表した「2020 年度情報セキュリティの倫理とは、端末を受け取った児童生徒のうち、約 2 割が何か脅威に対する意識調査 【- 脅威編】報告書 - ※ 280」では、しらのトラブルを経験していると発表した。トラブルのうちパソコンを利用する回答者のうち「脅威との遭遇経験がセキュリティに関する主な項目は「アカウント（IDとパスワー

過去 1 年間にはなかった」とした人は 28.5% に過ぎず、ド）情報を盗まれる・悪用される（アカウントのっとり、不正

10 代が最も遭遇経験が少ないとの結果となった。多くのアクセスの被害者となる）」（9.2%）、「不正アプリ（ウイルパソコン利用者が何らかのトラブルを経験しており、大人ス）への感染」（7.8%）、「アカウント（IDとパスワード）情にとっても脅威は身近にあるといえる。

態調査 2021

報を盗む・悪用する（アカウントのっとり、不正アクセスの

子ども達の端末利用が進む中、大人もネット上の社会加害者となる）」（7.1%）だった。また、「ネットの長時間

倫理や情報セキュリティについてともに学びながら被害を利用による依存や、学業、健康への悪影響」（9.2%）、「不食い止めていかなければならない。

適切な Web サイトの閲覧」（5.0%）、「ネット上での見知（3）
ネット上の誹謗中傷への対策

らぬ人との出会い」（5.0%）等、情報モラル・リテラシーにSNS 等を介したコロナ感染者に対する差別的な発言

関連する回答も挙がった。

は後を絶たない。感染者のみならず、医療従事者やそ文部科学省は「GIGA スクール構想の下で整備された※ 278

1 人 1 台端末の積極的な利活用等について（通知）」の家族までがターゲットとなり、心ない書き込みによって苦の中で、「情報モラル教育の一層の充実を図ること」をしめられている。

通知しており、「1 人 1 台端末の利用に当たり、保護者

法務省人権擁護局は TikTokと連携し、インターネッ

等との間で事前に確認・共有しておくことが望ましい主な

ト上の人権侵害防止のキャンペーンを展開した（次ペー

ポイント」として、「端末・アカウント（ID）・パスワードを適

ジ図 2-5-3）。TikTok アプリ内に特設ページを開設し、切に取り扱う」「就寝 1 時間前からは ICT 機器の利用を「誹謗中傷」「SNS いじめ」及び「個人情報の取扱い」に控える」「他人を傷つけたり、嫌な思いをさせることをネッ

関する啓発動画を計 7 本公開している。動画は、人気

ト上に書き込まない」等の項目を紹介している。また、「はのクリエイターの協力により制作され、TikTok を利用す

じめてのパスワード指導」や「他人の情報の取り扱い方をる若者に向けて人権尊重を訴えた。また、中傷被害を考えよう」等、全国の自治体や学校による先進的な実践受けている人が相談する窓口の情報も掲載された。

128

情報セキュリティ白書

2.5.2

2022

恒常的な啓発活動

ここでは、コロナ禍以前から継続的に実施されている
情報セキュリティ・情報リテラシーに関する啓発活動について述べる。

2022 年 1 月、他人の SNS のアカウントに無断でログインした等により不正アクセス禁止法違反容疑で男が逮捕された※ 287。容疑者は、アカウント名から氏名や生年月日等を割り出し、パスワードを推測していたとされ、ID

コロナ差別への取り組みは、地方自治体でも独自に展やパスワードの管理の重要性を改めて知らしめた。

開されている。

SNS のセキュリティ強化として、Twitter Japan 株式

例えば石川県は「Stop! コロナ差別 !」と題した啓発活会社は Twitter を安心して使うための「プレイブック日本

動を行うとともに、AI を活用して SNS や掲示板を始めと語版」を 2021 年 12 月に公開した（図 2-5-4）。プレイブッ

する閲覧可能な Web サービス全般をチェックし、差別

クは「安心して使う」「安全を確保する」及び「自分のデジ※ 282。収集した情報は、被タルフットプリントを管理する」という目的で、該当する機害者が訴訟を起こす際の証拠資料として活用できるよう能の紹介を行うものである。シチュエーションごとに有効県が保管している。同様の取り組みは、
福井県、
愛知県、

な機能をフローチャートで紹介し、アカウントの安全を確

和歌山県、岡山県等でも実施されており、このうち、和保するための設定方法等について記載しており、活用的な書き込みを収集している

歌山県

※ 283

では、条例でプロバイダの責務を規定し、が望まれる。

誹謗中傷等の削除や、投稿の抑止のための広報活動等を依頼している。

（4）新型コロナウイルスに関するフィッシング
2021 年 6 月、「自衛隊大規模接種センター」をかたる
新型コロナワクチン接種の予約サイトの案内メールを送
信し、フィッシングサイトに誘導する手口が発覚した※ 284。
メールに記載されている URL をクリックするとワクチン接種に関するポータルサイトのようなページに辿りつき、氏
名や住所、更にはクレジットカードの情報を入力する画面が表示される。独立行政法人国民生活センターは送信■図 2-5-4 Twitter プレイブック日本語版（出典）
Twitter Japan 株式会社「Twitter の安全機能をまとめた
「プレイ
ブック」
日本語版を発行※ 288」

元やメールのタイトルに心当たりがない場合は、クリックやInstagramも、「プロフィール情報の確認」や「ログイ

タップをせず、「新型コロナ関連詐欺 消費者ホットライ※ 285

ン情報を共有しているアカウントの特定」等の「セキュリ

また、「新型コロナウイルス特別定額支援金」という偽ティに関する確認」4 項目を通知して、アカウントを安全に

サイトに誘導する手口も報告されており、厚生労働省は管理するための設定を促す取り組みを開始している※ 289。

ン」に相談してほしいと呼びかけている。

注意を呼びかけている※ 286。

また、ネット上のハラスメントや権利侵害、若年層保護

コロナ禍の不安につけ込んだ同様の手口は、今後もに対する対策も進んでいる。

発生する危険がある。受信したメールを鵜呑みにしてInstagram は、急激に注目を集めた利用者を誹謗中

メール内のリンクをクリック／タップすることのないよう注意

傷等から守る機能として「抑制」機能を発表した※ 290。こしたい（「1.2.7（3）
世の中の関心に乗じる手口」参照）。

れは、自身をフォローしていないアカウントや、最近フォロー
したばかりのアカウントから届くコメントや DMリクエストを自動的に非表示にするものである。また、若年層保護を

129

2

情報セキュリティを支える基盤の動向■図 2-5-3  「＃誰かのことじゃない～ネットの誹謗中傷・SNS いじめ・
個人情報の取扱い～」
キャンペーン（出典）
法務省人権擁護局の Tweet ※ 281

第 章（1）SNS 事業者等による対策

目的として、16 歳未満の全アカウントについて初期設定を法務省も「大人への道しるべ※ 297」という漫画とクイズ「非公開」にすること、若年層のアカウントにブロックされで学べるホームページを開設した（図 2-5-5）。「大人ってた成人のアカウントは、若年層とやり取りすること等ができ何？」や「契約は人と人との約束」等の項目のほか、
「SNS

※ 291

なくなる機能を加え、対策を強化した。

は便利で怖い」や「その動画、アップして大丈夫？」等、
ネッ

YouTube は、低評価の数を非表示にすると発表し

トにまつわるテーマの漫画とクイズが公開され、ネット上で※ 292の振る舞いや責任について改めて考えることができる。

た。本来は、動画の内容の良し悪しを判断できるよう設けられた機能だが、動画の内容ではなく動画のクリエイターに対する悪意ある低評価や嫌がらせに使用されるケースが発生しており、このようなハラスメントからクリエ
イターを守るためとして、2021 年 11 月 10 日から順次展開している。
ヤフー株式会社は、「Yahoo! ニュース」の記事に対し、利用規約等に違反する投稿を繰り返す利用者への対策を始めたと発表した※ 293。不適切投稿の抑止を目的としたもので、「発信者情報開示請求等を受けた場合、法令上の手続きにのっとり開示を行う場合がある」といった違反投稿を続けた場合に起こり得る法的なリスクを画面■図 2-5-5  「大人への道しるべ」のホームページ抜粋（出典）
法務省「大人への道しるべ」に表示する。
このようにサービス事業者の取り組みが進んでおり、

また、公益社団法人日本消費生活アドバイザー・コン

利用者側の意識の成熟も望まれる。

サルタント・相談員協会も「18 歳からのスマート通販（2）成年年齢引き下げに伴う啓発学※ 298」という電子書籍を公開した。「インターネット通販

2022 年 4 月より成年年齢が 18 歳に引き下げられた。

のメリット/ デメリット」や「投げ銭型ライブ配信サービス」

これまで若者は、未成年者取消権によって守られ、親の注意点等の事例と、トラブルに巻き込まれた際の相談

権者の同意を得ずに締結した契約は後から取り消しがで窓口が分かりやすく紹介されている。新たに成人になるきた。しかし、成年年齢の引き下げにより、18 歳、19

18 ～ 19 歳のみならず、インターネット通販を利用するす

歳の人はこの保護の対象外となる。

べての人に有効な情報であり、活用が推奨される。

18 ～ 19 歳の新成人となる層から消費者庁、自治体（3）
オンラインゲームにおけるチート行為対策

等の消費生活相談に寄せられたトラブルでは、健康食

2021 年 6 月、
日本初のシニアによる e スポーツプロチー

品や化粧品に関するもののほか、デジタルコンテンツや
※ 294

。これら

ムが発足した※ 299。高齢者の健康増進・維持としてののトラブルに巻き込まれるきっかけは SNS の広告や書き活用だけでなく、世代や地域を超えるコミュニケーション

込み等に誘導されるケースや SNS 上の知り合いから誘を可能にする点でもe スポーツは注目されている。

出会い系サイトに関するものが多くみられた

われるケース等が挙げられている。

2021 年 10 月には経済産業省が、社会人 e スポーツ

成人と言っても、経験したことのない事柄について判リーグ「AFTER 6 LEAGUE」を国の機関としては初め断するのは容易ではない。また、ネット上では、相手のて後援する※ 300 等、国を挙げた盛り上がりを見せ始め

顔が見えない状態で言葉巧みに言いくるめられ騙されるている。
オンラインゲームを活用した e スポーツが競技として楽ことも考えられる。
※ 295

消費者庁では、「『18 歳から大人』特設ページ」を開設して啓発動画を公開したり、Twitter による情報

しまれている一方で、オンラインゲームを悪用した手口による事件も発生している。

発信を行ったりしている。また、総務省も「インターネットト

京都府警察本部サイバー犯罪対策課はゲームを有利

ラブル事例集」の中で「成人年齢の引き下げにあたってに進めるための「チート行為」を行ったとして 5 人を書類

※ 296

学んでおきたいこと送検した※ 301。容疑は、ゲーム会社のサーバに不正な」をまとめた Web ページを公開している。

データを送信し、ゲーム内のアイテムを不正に入手する

130

情報セキュリティ白書

等した私電磁的記録不正作出・同供用にあたるとして身ロボットカフェ DAWN ver.β※ 307」では、筋萎縮性側いる。過去には、チート行為が「著作者人格権侵害」や索硬化症（ALS）等の重度の障害により外出が困難な人※ 302

が、全国各地から分身ロボットを遠隔操作し接客を行っ

り、安易にチート行為を行わないよう啓発が必要である。

ている（図 2-5-6）。これは、健常者が行っているリモート

また、オンラインゲームの開発者にも不正防止の対策

ワークの発展形という見方もあり、障害を持つ人の社会が必要である。株式会社ラックは、
オンラインゲームのチー

参加の場のみならず、コロナ禍において人と人との接触ト対策の知見を集めたホワイトペーパー「オンラインゲーを減らす役割を果たすことも期待できる。

ム、スマートフォンゲームのセキュリティ～チートの脅威と2対策について～」を開発者向けに公表した※ 303。

（4）誰も取り残さないセキュリティ・リテラシー
NISC は、セキュリティには「全員参加による共同、普及啓発」が重要だとしており、2022 年サイバーセキュリ
ティ月間（2 月 1 日～ 3 月 18 日）のキャッチフレーズを「#
サイバーセキュリティは全員参加」として、国民全体の意
識向上を目指す普及啓発活動を行っている。2022 年の
主なイベントとして「ランサムウェア攻撃対応・東京 2020大会の対策から学ぶ※ 304」と題したセミナーがオンライン■図 2-5-6 分身ロボットカフェ DAWN ver.β（出典）
株式会社オリィ研究所「分身ロボットカフェ DAWN ver.β」

配信されたほか、チェコ、フランス、ドイツを始めとする
海外のサイバーセキュリティ関係当局及び、日本のサイこのように、インターネットの技術及び関連するツール

バーセキュリティ関係省庁が参加した国際サイバーセ
※ 305

、インシデ

は、生活インフラであるという点での重要性のみならず、

ント発生時の対処能力の向上、知見の共有が行われた。

未来の生活に恩恵をもたらすものである。ただし、
インター

また、政府広報オンラインでも、サイバーセキュリティ

ネットの利用場面が増えると、情報セキュリティ対策が必月間の期間中「家族みんなで考えよう！安全・安心なイン

要な場面も増えていく。また、いかに有用であっても、※ 306」という動画を公開し、進級・進学

それを使いこなす側に悪意があれば、一転して我々をを機にスマートフォンを利用する子どもとその保護者に向脅かす武器になってしまう。悪意がなくても、無知や配けた啓発を行った。

慮の欠如によって他者への攻撃になってしまうこともあり

ターネットの利用

得る。
2.5.3

一人ひとりが「有用なツールを正しく使いこなすことがで

インターネットがもたらす未来

きているのか」と自らに問い続け、被害者にも加害者にも株式会社オリィ研究所が 2021 年 6 月に開店した「分ならないという意識と行動が一層必要とされている。

131

情報セキュリティを支える基盤の動向

作り手側と使用者側双方の意識向上が望まれる。

キュリティワークショップ・演習が開催され

第 章

もあ

「電子計算機損壊等業務妨害罪」となった事例

2022

C

O

L

U

M

N

インターネット上の戦い
こんにちは！ ぼくは、IPA「ひろげよう情報モラル・セキュリティコンクール」応援隊長のまもるです。ぼくたちは今、新型コロナウイルスに負けないように、マスクを着け、手洗いと換気をして戦っているよ。
そして、地球上ではコロナとは別の戦いが二つ起きています。戦車や爆撃などによる「地上戦」、もうひとつは「サイバー戦争」。ぼくたちが住んでいるところからは遠い国同士の戦いだと思っていたのだけれど、インターネットには国境がないから、「よその国のお話」では済まされないんだと、お父さんが話してくれました。
サイバー戦争で何が起きるのかを調べてみたら、ぼくたちの生活に大きく影響することがわかりました。鉄道や電気、ガス、水道を管理するシステムが攻撃されると、生きるために必要なものを手に入れられなくなるよね。それに、原子力発電所が攻撃されて、制御ができなくなったとしたら……。
ほかにも、もし国に関係する Web サイトが改ざんされてしまうと、自分たちの国がどんな情報を発信しているのか、わからなくなってしまうね。何か嘘の情報を書かれていたとしても、改ざんされていることを知らなかったら、ぼくたちはその情報を信じて間違った行動を起こしてしまうかもしれない。
実際に、ある国の大統領の偽の動画がネットに公開されたことがあったよ。武器を捨てて降伏するよう市民に訴えるディープフェイクだったんだけど、大統領のお話なら信じてしまい
そうだよね。
それから、サイバー戦争は、二つの国の間だけで起きているわけではなくて、「攻撃されている国」を助けるという目的で、「攻撃している国」にハッカー集団がサイバー攻撃をしかけているんだって。「攻撃している国」の国営テレビなどをハッキングして戦地の映像を放送した、と SNS に投稿したっていうよ。でも、本当に映像が流れたのかな？
そのハッカー集団はもともといろんな国の政府や企業にサイバー攻撃を繰り返している人たちで、いつもはみんなが怖がったり非難したりしている存在だから、信じて良いかどうかぼ
くには判断ができなかったよ。それなのに、世界中の多くの人が「良くやった！」とか「かっこいい！」と称賛する書き込みをしたりして、頭のなかがこんがらがってしまいました。こんなふうに、
情報はぼくたちを混乱させ、時には間違った方向に導くこともあるんだね。だから、発信する内容も閲覧する内容もよく確認しな
くてはいけないんだ。
それと、ショッキングな情報ほど目について誰かと共有したくなっちゃうんだ
けど、不確かな情報をむやみに拡散す
ることを止めなくちゃね。 安易な拡散によって、いつのまにか自分が誰かを「攻撃する側」に立っていた、なんてことにならないように。

132

情報セキュリティ白書

2022

2.6 国際標準化活動（2）標準の分類

国際標準とは、製品や技術を、国境を越えて利用す国際標準には、公的な標準化団体により所定の手続格とも呼ばれる。本節では、日本の国際標準化活動へ

きを経て行われる「デジュール標準（de jure standard）」、の取り組み、及びセキュリティ分野に関わる国際標準化

いくつかの団体（企業等）が協力して自主的に作成する活動の動向を紹介する。

「フォーラム標準（forum standard）」、公的な標準化団
体を介さず、市場や業界において広く採用された結果とstandard）」がある。

日本の国際標準化活動への取り組みと、作成プロセ

デジュール標準では、幅広くステークホルダーを集めスや作成組織の違いから見た標準の分類、及び情報セて議論をとおして合意形成を行う。次項で紹介する

キュリティ分野の主な標準化団体の概要を示す。

ISO、IEC、ITU が作成する国際規格や JIS 等の国家規格が該当し、策定プロセスが規定されており、様々な（1）
日本の国際標準化活動への取り組み

規制等に用いられることも多い。合意形成のために複数企業が培ってきた技術や知的財産の秘匿化や、それの検討段階が設定されており、正式に発行するまでにらを知財として権利化する「クローズ戦略」に対して、標時間がかかる（ISO/IEC は約 3 年）。

準化は「オープン戦略」に位置付けられている。クローズフォーラム標準は業界団体等、共通の関心を持つ企戦略により企業のコア領域を守り、他社との差別化を図業等が集まって議論し、業界ルール等限定的な範囲でることは重要であるが、その技術を利用する市場が広が合意される標準である。作成スピードは速く、業界の特らなければ、企業としては事業を拡大することが困難で性が反映されていることから、該当する業界内では利用ある。コア領域を守りつつ、市場を拡大する「オープン＆が促進されやすい。次項で紹介する IEEE、IETF、クローズ戦略」が必要である。技術の発展、市場のグロー

TCG が発行する標準が該当する。フォーラム標準はコ

バル化が進み、このオープン＆クローズ戦略の考え方はンソーシアム標準と呼ばれることもある。業界のフォーラム

企業にとどまらず、国の政策として位置付けられるように標準が、その後、国際標準化団体に提案され、時間なった。

をかけてデジュール標準となる場合もある。

既に、主要国では、自国に有利な標準化を目指し、電気製品や IT 製品等、開発サイクルの短い分野で官民を挙げて標準化活動に取り組んでおり、例えば、は、その時点の市場で一般的な規格としてデファクト標

米国の国立標準技術研究所（NIST：National Institute準が採用される傾向にある。例えば Windows のようなof Standards and Technology）では、政府・国内企OS や Google のような検索エンジン等、グローバルな業向けの標準策定に関与し、技術的知見や評価結果

IT 企業の製品・サービスが事実上の国際標準となる傾の提供、民間利害関係者間の調整、政府からの指示向があり、合意形成プロセスは存在しない。

を受けた標準化案の検討等を行っている。中国の中国（3）情報セキュリティ分野に関する標準化団体

標準化研究院や中国工程院、
ドイツのフラウンフォーファー
研究機構といった組織でも標準化の取り組みが行われ情報セキュリティに関連するデジュール標準やフォーラている。日本でも公的機関が民間の標準活用戦略活動

ム標準の策定を行っている主な国際標準化団体を以下を支援することが望ましいとして、国立研究開発法人産に示す。

業技術総合研究所、IPA、NICT、国立研究開発法人（International Organization for Standardization：• ISO

農業・食品産業技術総合研究機構、一般財団法人日国際標準化機構）/IEC（International Electrotechnical

本規格協会（JSA：Japanese Standards Association）

Commission：国 際 電 気 標 準 会 議 ）JTC 1（Joint

等の関係機関をネットワーク化し、ワンストップで支援す※ 309：
Technical Committee 1：第一合同技術委員会）

る協働体制「標準活用支援サービスプラットフォーム」を情報セキュリティを含む情報技術の国際規格を策定し

※ 308

整備した

。

ている。コンピュータや情報分野を扱う国際標準化団

1332

情報セキュリティを支える基盤の動向

して事実上標準化される「デファクト標準（de facto

様々な標準化団体の活動

2.6.1

第 章

るために制定される国際的な共通規格であり、国際規体として ISO、
IEC はそれぞれ独立に存在しているが、情報セキュリティに関する国際標準化を行う分科委員会

扱う領域の競合を避けるために双方が連携し、JTC1（SC）である。SC 27 は、テーマ別に以下の五つの作業が設立された。日本国内の標準化団体としては、日

グループ
（WG）
で構成される。

本 産 業 標 準 調 査 会（JISC：Japanese Industrial

WG 1：情報セキュリティマネジメントシステム

Standards Committee）
が ISO、IEC 双方のメンバー

WG 2：暗号とセキュリティメカニズム※ 310

であり、JTC 1 でも活動している。

WG 3：セキュリティの評価・試験・仕様• ITU-T（International Telecommunication Union

WG 4：セキュリティコントロールとサービス

Telecommunication Standardization Sector：

WG 5：アイデンティティ管理とプライバシー技術

国際電気通信連合 電気通信標準化部門）：電気通信技術に関わる国際規格を策定している。情報セキュリ

ISO/IEC における標準化作業は、策定する仕様の

※ 311

、

完成度によって図 2-6-1 のような状態があり、それぞれISO や後述する IETFとともにネットワークや ID 管理

各国の投票によって次の段階へ進む。なお、ISO にお等に関する標準化活動を行っている。策定した標準

いて、技術が未成熟である、またはガイダンス等の標準は ITU 勧告として定められる。

仕様ではないが重要であるとされたものは、技術報告書

ティに関しては SG（Study Group）17 が設置されまたは技術仕様書として出版する。
また、情報セキュリティ分野に関するフォーラム標準をIS規格化プロセス

策定する代表的な組織として、以下がある。

TR/TS制定プロセス

SP/PWI

標準化検討

SP/PWI

Engineers, Inc.）：

NP

新作業項目の投票NP

電気工学・電子工学技術に関する国際学会である。

新作業項目
の投票

WD

作業草案の
承認

WD

作業草案
の承認

CD

委員会原案の
投票

は、サイバーセキュリティ、ネットワークセキュリティ、IoT

DIS

国際規格
原案の投票

セキュリティ等の広範な領域で標準化を行っている。

FDIS

最終国際
規格案の投票IS

国際規格発行• IEEE（The Institute of Electrical and Electronics

標準化活動は内部組織である IEEE-SA（Standards
Association）
が行っている。情報セキュリティについて：• IETF（Internet Engineering Task Force）
インターネット技術の国際標準化を行う任意団体であ

検討

PDTR
/PDTS

草案TR/
草案TSの審議

DTR/DTS

最終TR案/
最終TS案の審議

TR/TS

TR/TS発行：投票による決議を伴うる。非常にオープンな組織であり、作業部会のメーリ
ングリストに登録することで誰でも議論に参加できる。

■図 2-6-1 ISO/IEC JTC 1/SC 27 における文書のステータス（出典）
JISC「ISO 規格の策定手順※ 314」を基に IPA が作成

情報セキュリティについては、インターネット上のセキュ
図 2-6-1 の各文書のステータスと略号は以下のとおり

アなプロトコル、暗号、デジタル署名、認証、セキュリである。

ティ情報連携（セキュリティオートメーション）等の方式※ 312の標準化を行っている。標準化した技術文書はSP：研究期間（Study Period）

RFC（Request For Comments）
として参照できる。

PWI：予備業務項目（Preliminary Work Item）• TCG（Trusted Computing Group）：※SPとPWIのどちらを実施するかはWGによって異なる。

信頼できるコンピューティング環境（組み込み機器、パ

NP：新作業項目（New work item Proposal）

ソコン／サーバ、ネットワーク等）に関するセキュリティ技

WD：作業原案（Working Draft）

術の標準化を行う業界団体である。ハードウェア、ソ

CD：委員会原案（Committee Draft）

フトウェア等のベンダやシステムインテグレータがメンバー

DIS：国際規格原案（Draft International Standard）※ 313となり、中国、日本に regional forum がある。

FDIS：最終国際規格案（Final Draft International
Standard）

2.6.2

IS：国際規格（International Standard）

情報セキュリティ、サイバーセキュリティ、プライバシー
保護関係の規格の標準化（ISO/IEC JTC 1/SC 27）

PDTR： 予 備 技 術 報 告 原 案（Preliminary Draft

ISO/IEC JTC 1/SC 27（以下、SC 27）は、ISO 及

Technical Report）

び IEC の合同専門委員会（ISO/IEC JTC 1）
において、

134

PDTS：予 備 技 術 仕 様 書 原 案（Preliminary Draft

情報セキュリティ白書

Technical Specification）

2022て 2022 年に発行予定である。

DTR：技術報告書原案（Draft Technical Report）

一方、ISO/IEC 27001:2013 の内容を見直す改訂のDTS：技術仕様書原案（Draft Technical Specification）

必要性も認識されており、上記の限定的な改訂を終え

TR：技術報告書（Technical Report）

た後の次期改訂に向け PWI を設置、検討を開始して

TS：技術仕様書（Technical Specification）

いる。

では略号を使用する。

ISO/IEC 27002:2022 発行に伴い、ISO/IEC 27002:
2013 を年号付きで引用、参照している規格は参照元を失ったことになる。また、仮に年号付きで引用、参照しWG 1 では、情報セキュリティマネジメントシステムていなくとも、今回の改訂で構成が大きく変わったこと等（ISMS：Information Security Managementを考慮すると、ISO/IEC 27002 を引用、参照する規格

System）に関する国際規格として、ISO/IEC 27001

はいずれも何らかの見直しが発生すると想定できる。

（ISMS 要求事項を示す規格）及び ISO/IEC 27002（情最も影響が大きいのは ISO/IEC 27001 であるが、こ報セキュリティ管理策及び実施の手引きを示す規格）をれについては、前述のとおりAnnex A を整合するため中心に、ISO/IEC 27001 が示す ISMS 要求事項に関の限定的改訂を現在実施中である。

する手引きや指針を提供する規格、ISO/IEC 27001 及次に影響が高いものとして、セクター規格がある。

び ISO/IEC 27002 を土台とする分野別規格、及びそISO/IEC 27011:2016 は、電気通信業界内の組織におの他トピックスに関する ISO/IEC 27000 ファミリー規格のける、ISO/IEC 27002 に基づいた情報セキュリティマネ

国際標準化活動を実施している。

ジメント導入を支援するガイドライン規格であり、ISO/IEC 27002:2013 をベースに追加の管理策やガイダンス

ISO/IEC 27001 及び ISO/IEC 27002 の改訂に（a）が記されている。SC 27 と ITU の共同文書でもある。

関する状況

本規格は、ISO/IEC 27002 改訂版発行を待たずに改ISO/IEC 27002:2013 は、1 年間の SP において、次

訂 作 業を開 始しており、 現 在 CD ステージである。

期改訂の設計仕様（Design Specification）を決定後、ISO/IEC 27017:2015 は、クラウドサービスのための情2018 年 3 月より改訂作業が開始されていたが、2022 年

報セキュリティ管理策実践の規範を提供する規格であ2 月に改訂版が発行となった。

り、同様に、ISO/IEC 27002:2013 をベースに追加の管本改訂では、管理策群の内容としては、基本的に理策やガイダンスを提供する。規格の普及状況等を考2013 年版を踏襲しており、それに新しい脅威や技術に慮しても、ISO/IEC 27002:2022 発行の影響は大きいた

合わせて、新規管理策が追加されている。一方で、管め、本規格についても改訂に向けた作業を開始、PWI

理策の構成については、2013 年版から大きく変更されを設 置した。 一 方、ISO/IEC 27010:2015 は、ISO/ている。ISO/IEC 27002:2022 には、2013 年版管理策

IEC 27002 をベースにしたセクター規格でありながらも、との対応表も Annex として掲載されているので、旧管改訂による影響は大きくないと判断され、改訂は見送ら

理策との対応や新規管理策を確認することができる。

れた。また、エネルギー業界向けセクター規格である

ISO/IEC 27002:2022 の管理策の構成等が 2013 年

ISO/IEC 27019:2017 については、改訂は今後の検討

版から大きく変わることを受け、ISO/IEC 27001：2013

課題となっており、まだ決定していない。

Annex Aとの不整合が発生する状況が望ましくないこと

また、ISO/IEC 27001 や ISMS についてのガイダンから、ISO/IEC 27001 を限定的に改訂することが合意

スを提供する他のガイドライン規格（ISO/IEC 27003:

された。具体的には、ISO/IEC 27001:2013 Annex A

2017、ISO/IEC 27004:2016、ISO/IEC TS 27008:

を ISO/IEC 27002:2022と整合するように変更することに2019 等）についても、ISO/IEC 27002 による影響は想伴う改訂のみを実施する。手続きとしては、まず、Annex

定されるが、セクター規格への対応が優先され、セクター

A の入れ替えに関連する内容を Amendment（追補）と規格に次いだ検討項目となっている。

して発行し、先に発行済みの 2 件の Corrigendum（正誤表）の内容も含め、ISO/IEC 27001 の新たな版とし

135

2

情報セキュリティを支える基盤の動向（1）WG 1（情報セキュリティマネジメントシステム）

第 章

（b）
ISO/IEC 27002:2022 発行の他規格への影響

以下に、各 WG の活動概要を述べる。なお本文中

（c）
その他の ISO/IEC 27000 ファミリー規格の国際標たため、いくつかの規格作成のスケジュール遅延が目に準化活動付くようになっていた。2022 年度に入り、当該大学関係

ISO/IEC 27002:2022 の改訂とは直接関係のない、者も標準化作業に時間を割くことができるようになり、こその他の規格の動向として次がある。

れから標準化作業の加速が期待される。

情報セキュリティリスクマネジメントに関するガイドライン
規 格 ISO/IEC 27005:2018 は、ISO/IEC 27001:2013（3）WG 3（セキュリティの評価・試験・仕様）

への本格的対応を積み残していることから改訂作業中

WG 3 は 2021 年 10 月、2022 年 4 月にオンライン会

であるが、2022 年 4 月時 点で DIS を審 議中である。

議にて定期会合を開催した。それらの会合の議論内容、

ISO/IEC 20000-1 及び ISO/IEC 27001 の統合実践に

特に 2021 年度に標準化が承認されたプロジェクトに焦関するガイドライン規格である ISO/IEC 27013:2015 は、点を当て以下に概説する。

ISO/IEC 20000-1:2018 の発行を受けて、2021 年 11 月（a）ISO/IEC 5888“Information security,

改訂版が発行された。ISMS 専門家の力量に関する要求事項を提供する ISO/IEC 27021:2017 は、2021 年にcybersecurity and privacy protection —追補を発行した。

Security requirements and evaluation activities
for connected vehicle devices”（2）WG 2（暗号とセキュリティメカニズム）

UNECE（United Nations Economic Commission

WG 2 では、暗号プリミティブ（暗号アルゴリズム）や、

for Europe：国際連合欧州経済委員会）の自動車基準

デジタル署名技術、鍵共有のような汎用的かつ基本的

調和世界フォーラム WP.29 にて自動車のサイバーセキュ

な暗号プロトコル等の標準化を行っている。WG 2 の国

リティ基準が採択されたことを受け、自動車業界はその際主査、副主査ともに日本人が選出され、WG 2 での基準への対応を迫られている。自動車の主要なコンポー

活動をリードしている。2021 年度は、新しい規格である

ネントである車載 Engine Control Unit（ECU）
に関する

「鍵管理

技術的詳細を記したサイバーセキュリティ基準は存在し

第 7 部：クロスドメイン・パスワードに基づく認証鍵交換（ISO/IEC 11770-7）」と「暗号アルゴリズムていない一方で、多くの脆弱性が検出されている。その第 3 部：ブロック暗 号

追 補 1（ISO/IEC 18033-3/

ため、WG 3 では 2019 年 4 月テルアビブ会合から車載

AMD1）」の 2 件、及び既存規格 6 件の改訂版が発行

ECU のセキュリティ評価基準に関する議論を開始し、された。このほかの主な活動内容について以下に示す。

2022 年 3 月に ISO/IEC 5888 の開発が承認された。
ISO/IEC 5888 は、車載 ECU に対し具体的にどのよ

（a）
PWI

うなセキュリティ要件（例えば、暗号に対する要件や、デー

2022 年 5 月時点の主な PWI は、
以下のとおりである。

タ保護に関する要件等）を課すべきか、そのセキュリティ

個別に議論され、標準化すべきとの判断となった場合、要件を満たしていることを確認するため、どのような脆弱標準化に着手する。なお、最後の項目については、日性分析やテストを実施すべきかを定める国際標準である。

本から提案された。

自動車業界が ISO/IEC 5888 に定義されたテスト等を実（tweakable）
ブロック暗号の利用モード• 調整値付き施することにより、WP.29 自動車サイバーセキュリティ基準• 算術演算暗号アルゴリズム（ハッシュ関数を含む）

や、その基準において参照されている、自動車のライフ• 安全なマルチパーティ計算 – 第 3 部：ガーブル回

サイクル全般にわたるサイバーセキュリティ対策を定めた

※ 315

路

を用いたメカニズム

ISO/SAE 21434“Road vehicles — Cybersecurity• ID 情報に基づく認証鍵交換の追加メカニズム

engineering”への適合を主張できることを念頭に置いている。

新型コロナウイルス感染拡大の影響によるプロジェ（b）

本国際標準は、情報セキュリティやサイバーセキュリ

クト進捗遅延
WG 2 では、「匿名デジタル署名

ティに関わる国際標準を開発する ISO/IEC JTC 1/SC
第 3 部：複数の27（Information security, cybersecurity and

公開鍵を用いたメカニズム（ISO/IEC 20008-3）」のようprivacy protection）、及び車載の電気・電子コンポー

な、大学関係者がエディタをしているプロジェクトが多くあネントに関わる国際標準を開発する ISO/TC 22/SC 32

り、オンライン授業等の対応を優先しなければならなかっ（Electrical and electronic components and general136情報セキュリティ白書

system aspects）の両方に関係するため、双方の SC

度については「3.4.2（3）（b）セキュリティ認証スキームとセの JWG（Joint Working Group）6 を ISO/IEC JTC

キュリティ市場分析」参照）。

2022

1/SC 27 配下に設立し、その JWG 6 にて標準開発す（4）WG 4（セキュリティコントロールとサービス）

ダーは双方の SC から既に選出されており、今後メンバー

WG 4 では、WG 1 が対象とする ISMS を実施・運募集終了後、本 JWG 6 における国際標準活動が開始

用する際に必要となる具体的なセキュリティ対策、及びされる予定である。なお、
SC 27 側の共同プロジェクトリー

セキュリティサービスの標準化を行っている。以下に、ダーとして日本のエキスパートが指名され、今後 ISO/WG 4 における 2021 年度の主な成果、活動を紹介する。

IEC 5888 の開発に深く関わることとなる。
ISO/IEC TS（b）9569“Information security,

WG 4 では、IoT のセキュリティとプライバシーに関わcybersecurity and privacy protection — Towards

る標準化として、以下の三つの活動を継続的に進めてCreating an Extension for Patch Management

おり、加えて今期は新しい課題の検討が PWI 27404:

for ISO/IEC 15408 and ISO/IEC 18045”

Cybersecurity Labelling for Consumer IoTとして始ISO/IEC 15408 に基づくIT 製品のセキュリティ評価・まった。これらの規格は、Cybersecurity – IoT security

認証制度では、IT 製品の特定のバージョン・リビジョン

and privacy と名付けられたプロジェクト群（ISO/IEC

に対し評価・認証を実施し、合格した IT 製品に認証

27400 シリーズ）として規格番号が振られ、規格間でも書が付与される。しかしながら評価・認証が完了したバー

適切な参照を行うような形で検討が進められている。

ジョン・リビジョン（例えば IT 製品 V1R1）に更新プログラ• ISO/IEC 27400: Cybersecurity – IoT security

ムが適用されると、その認証書は更新されたバージョン・

and privacy – Guideline

リビジョンの製品（IT 製品 V1R2）に対しては有効ではな• ISO/IEC 27402: Cybersecurity – IoT security

い。それは、評価・認証を経ていない更新プログラムを

and privacy – Device baseline requirements

適用することにより、新たな脆弱性が混入される可能性• ISO/IEC 27403: Cybersecurity – IoT security
and privacy –Guidelines for IoT domoticsがあるからである。IT 製品に対する軽微な更新の場合• PWI 27404: Cybersecurity Labelling forは、保証継続と呼ばれる、評価・認証より簡易な仕組

Consumer IoT

みによって、更新されたバージョン・リビジョンの製品に対し認証書を再発行することもできるが、修正量が多い場（ア）ISO/IEC 27400: Cybersecurity – IoT security

合は、再度評価・認証を実施し新規の認証書を更新製品に対し発行する必要がある。しかしながら更新が頻繁

and privacy – Guideline
日本は、IoT 関連の製品・システム開発の競争力をに発生する IT 製品においては、その都度保証継続、

強化し、また IoT の国際的なセキュリティレベル向上に

あるいは再評価を実施するのは現実的ではない。
本 ISO/IEC TS 9569 は、上記の問題を解決するた

寄与するために、IoT 推進コンソーシアムが策定した

め、開発者がセキュアな更新プログラムを開発する際に「IoT セキュリティガイドライン※ 319」の国際標準化を提案

順守すべき更新プログラムの管理要件や、攻撃者によりした。本ガイドラインに基づき、プライバシー関連の対策改変された更新プログラムが適用されることを防ぐためにを含む形で ISO/IEC 27400（IoT のセキュリティとプライ

IT 製品が満たすべきセキュリティ機能要件等を定める。

バシー）の規格案が SC 27/WG 4 で審議されている。

現在 EU で創設が進められているサイバーセキュリティ

以下に ISO/IEC 27400 の規格について概説する。

※ 317

においては、更新プログラム

ISO/IEC 27400 の具体的内容にあたる第 5 章以降を適用した際に認証書を更新する仕組みを導入する予では、第 5 章で参照モデル、各利害関係者の役割、定である。EUCC の評価・認証フレームを記した規定

IoT ライフサイクルに言及し、第 6 章で IoT システムに認証スキーム EUCC

※ 318

が公開されているが、その認証書更新の際のおけるリスク源（リスクソース）について言及している。第参 照 文 書として ISO/IEC TS 9569 を指 定しており、7 章では、セキュリティ対策、及びプライバシー対策が、

ISO/IEC TS 9569 は将来的に欧州における認証書更IoT サービス開発者及びサービスプロバイダ、ユーザの新の指針となる可能性もある（EU のセキュリティ認証制

それぞれの立場での対策内容、目的、導入ガイドといっ

文書

137

2

情報セキュリティを支える基盤の動向

IoT のセキュリティとプライバシーのための標準化活動
（a）
※ 316

第 章

ることで合意されている。
共同議長や共同プロジェクトリー

たガイドライン的表現で記載されている。ここで、IoT 機

決定したが、内容の重要性や ISO/IEC 27400 との整器製造業者は IoT サービス開発者の中に含まれる。現

合性等が議論され、2021 年 10 月会議で CD2 の状態

在策定されているドキュメントの枠組みは以下のとおりでとなっている。本規格の位置付けは、図 2-6-2 にあるよある。

うに、本規格の基本要求事項が水平方向の基本ベース

第 1 章～ 4 章：スコープ、文献、用語定義等

ラインとなり、その上に垂直市場（健康、金融サービス、

第 5 章：IoT 概念と参照モデル

産業、家電、輸送等）や様々なセクター（民間／工業、

5.1 概要公共、防衛、国家安全保障等）のアプリケーションで想5.2 IoT システムの特徴定される IoT デバイスの使用とリスクに対する追加要件

5.3 I oT システムの利害関係者（利用者、サービス提を構築できるというものになっている。

Vertical D

Vertical B

Vertical A

Sector D

5.6 ドメインに基づく参照モデル

Sector C

5.5 IoT ライフサイクル

Sector B

Sector A

5.4 IoT エコシステム

Vertical C

供者、サービス開発者）

第 6 章：IoT システムのリスク源（リスクソース）
6.1 導入Baseline requirements for loT Devices

6.2 リスク源（リスクソース）
第 7 章：セキュリティ／プライバシーのための管理策■図 2-6-2 特定セクターや垂直市場による潜在的な追加要件との関係（出典）
ISO・IEC「ISO/IEC CD 27402.2 - Cybersecurity —IoT security and privacy — Device baseline requirements ※ 320」

7.1 セキュリティ管理策
7.2 プライバシー管理策

また、本規格は IoT 機器の適合性評価スキームの要

付録 A（参考情報）：リスクシナリオの事例：IoT モニタリ

件を提供することができる。具体的には、まず特定のセ

ングカメラ

クター及び垂直市場の利害関係者が、この水平規格の2021 年 10 月にオンラインで開催された SC 27/WG 4「上」に構築される、それぞれのコンテキスト固有の要件

会議において、ISO/IEC 27400 は DISとなっていたが、に関する合意を形成することが期待され、その後、それDIS の投票を通過し、2021 年度末の段階では FDISとらの特定のセクター及び垂直市場に関する適合性評価

なっており、最終発行に近づいている。これまで、本規プログラムが開発され、本規格は、共通の基本要件セッ

格に対するコメントは、日本、スイス、フランス、カナダ、

トを提供しながら、そのようなプログラムに効果的に統合

ドイツ、インド、中国等の多くの機関から大量に提出されされるといったイメージとなる。
現在策定されているドキュメント（CD2）の枠組みを以ており、審議は極めて活発に行われた。本規格は IoT
セキュリティ及びプライバシーの規範となるガイドラインで下に示す。

あるため、IoT 利害関係者における認証等への活用が

第 1 章～ 4 章：スコープ、文献、用語定義、概要

期待されている。

第 5 章 要求事項
5.1 IoT 機器製造者のための要求事項
5.1.1 リスクアセスメント

ISO/IEC 27402: Cybersecurity – IoT security（イ）and privacy – Device baseline requirements

5.1.2 ユーザへのコミュニケーション

本規格は、米国が主導して進めており、IoT 機器が5.1.3 脆弱性の開示と処理プロセス備えるべきセキュリティメカニズムのベースラインとなる要求

5.2 IoT 機器のための要求事項

条件の規定を目指している。ISO/IEC 27400とは異なる

5.2.1 一般事項

スコープを掲げ、IoT 機器に特化した要件化を視野に入

5.2.2 IoT 機器の識別

れ、NIST 及び ETSI（European Telecommunications

5.2.3 構成

Standards Institute：欧州電気通信標準化機構）の既

5.2.4 リセット

存のガイドラインを下敷きに標準化を進めている。2020

5.2.5 ユーザデータの削除

年 4 月に WD 1として審議が開始され、一定の完成度

5.2.6 データの保護と判断され、2020 年 9 月会議では、CD1 に進むことが

5.2.7 インタフェースアクセス（Interface access）

138

情報セキュリティ白書

2022

ビッグデータのセキュリティとプライバシーのための（b）

5.2.8 ソフトウェアとファームウェアのアップデート

標準化活動
なお、
インタフェースアクセスは、IoT デバイスにおいて、ビッグデータとは、主にボリューム、多様性、速度、

秘密鍵やパスワード等の重要なセキュリティパラメータを及び／または変動性の特性を有し、効率的な保管、操共有または再利用するためのインタフェースへのアクセス

作、分析のためにスケーラブルなアーキテクチャを必要とを許可された権限者に限定することに言及している。

する広範なデータセットのことを指す。ビッグデータを用いティ対策として ISO/IEC 27400 においても触れられてお行動につながる洞察等を導き出すことができるため、近り、ISO/IEC 27400 と ISO/IEC 27402 は、ISO/IEC

年注目を浴びている。WG 4 では、ビッグデータのセキュ

27400 シリーズ規格として一貫性を確保する形で規格策

リティとプライバシーに関わる標準化として、以下の三つ定が進められている。

の活動を進めている。
• ISO/IEC 20547-4: Big data reference architectureISO/IEC 27403: Cybersecurity – IoT security（ウ）– Part4: Security and privacy

and privacy –Guidelines for IoT-domotics• PWI 27045: Big data security and privacy

本規格は、2019 年 4 月テルアビブ会議において、中—Guidelines for data security management

国から NPとして提案され、同年 10 月のパリ会議では、

framework

NP の承認がなされ、2021 年 10 月に CD1 に進んでい• ISO/IEC 27046: Big data security and privacy

る状況にある。「IoT-domotics」とは、娯楽、機器制御、— Guidelines for implementation

監視等の用途として、居住環境で利用する IoT サービスをいう。本規格は、ISO/IEC 27400との棲み分けが（ア）ISO/IEC 20547-4: Big data reference

難しい部分が多いものの、IoT-domotics の特性を抽出

architecture – Part4: Security and privacy

し、ISO/IEC 27400とは異なる視点でセキュリティとプラ

ISO/IEC JTC 1/SC 42 で審 議されている、ISO/

イバシーに関するガイドラインとして整理している。具体IEC 20547（ビッグデータ参照体系）は四つのパートから的には、IoT-domotics のためのリスクアセスメントの実成り立っている。そのうちパート4 は、SC 42 の依頼によ施を、アプリケーション、ネットワーク、ハードウェアの三りSC 27/WG 4 で審議されており、セキュリティ及びプラ点から評価しており、それらの結果を受ける形で、IoT-

イバシーに関わる参照体系を規定している。本規格は、domotics を構成するサブシステムや IoT ゲートウェイの2019 年パリ会議において DIS に進み、2021 年に発行

ためのセキュリティ、及びプライバシーのガイドラインを整されている。

理する方向としている。
PWI 27045: Big data security and privacy（イ）（エ）PWI 27404: Cybersecurity Labelling for— Guidelines for data security management

Consumer IoT

framework

本 PWI は、2021 年 10 月にシンガポールから提案さ本規格は、組織のビッグデータのセキュリティとプライれたもので、利用者が活用する IoT 機器にセキュリティ

バシーを評価及び改善するプロセスの参照モデル、評

ラベルを付与し、機器にどの程度セキュリティ機能が装価・成熟度モデルを規定するものであったが、内容的に備されているかを、IoT 機器の利用者が把握できるよう規格化の方法が難しいことから、いったん規格化を断念にする目的で検討が開始された。

し、PWI のステージに戻った形で議論が再開されている。

現在、PWI として審議を継続しているが、ISO/IEC

タイトルをビッグデータのセキュリティマネジメントのため

27402もIoT 機器に関する基本的な要求事項を規格化の枠組みを示すガイドラインとしており、多少これまでのしようとしており、そこでも機器認証に関連した議論を行っ

検討を修正し、規格として成立しやすい形で審議を開始ていることから、簡単に本 PWI は NPとならない可能性している。中国が主要なエディタとなり、オランダ、カナが高いと考えられている。

ダが支援している。

139

2

情報セキュリティを支える基盤の動向た分析により、より優れた意思決定や戦略的なビジネス

第 章

上記の要求事項に近い内容は、ハイレベルなセキュリ

（ウ）ISO/IEC 27046: Big data security and privacy

PWI 5689として「CPS のためのセキュリティフレームワー— Guidelines for implementation

ク」の議論が開始された。本フレームワークは経済産業

本規格は、ビッグデータのセキュリティとプライバシーの省で構築した「サイバー・フィジカル・セキュリティ対策フ

主要な課題とリスクを分析し、ビッグデータのリソース、※ 322」に基づいている（「2.1.2（1）産
レームワーク（CPSF）

組織化、分散化、計算能力及び破壊等の視点から、ビッ業サイバーセキュリティ研究会」参照）。現在のドラフトテ

グデータのセキュリティとプライバシーの実装のためのガイ

キスト（N 5436）では、CPS の概念モデル、CPS 下でのドラインを記述することを狙っている。2021 年 9 月会議（リセキュリティ懸念、ISO/IEC TS 27110 や NIST の文書

モート）においては、WD 5 への移行が決議され、本規と整合性のあるセキュリティフレームワークの記述がなさ

格におけるビッグデータのソリューションのためのセキュリれている。
規格案が一定のレベルに達したことにより、本 PWI をティとプライバシーのスコープを図 2-6-3 のように整理してNP に移 行 するための投 票 が 2021 年 12 月 2 日からいる。

2022 年 3 月 5 日まで実施され、規格に賛成した国は多サイバーフィジカルシステムのためのセキュリティの（c）

かったものの、規格策定に貢献する国の数が不足して枠組みいることが理由で投票は否決された。この結果、再審

サプライチェーンに代表される多様な組織が連携する議を実施するため、再度 PWI に戻り、規格スコープを拡張して審議を継続する予定である。

ビジネススタイルの急速な進展、サイバー攻撃の出現と巧妙化、更に近年の IoT の利用拡大、IoT システムで（d）
WG 4 に関連するその他の規格群収集されるデータの高度利用を考えると、サイバーフィジ
カルシステム（CPS：Cyber Physical System）という概

WG 4 では、上記の IoT 及びビッグデータ以外の課念を重視し、サイバーフィジカルシステムにおけるセキュリ

題についても、多数の重要な審議を進めている。以下

ティリスクを特定する必要がある。CPS の導入は、あらにその審議課題項目、規格の番号、及び審議状況をゆる社会システムの効率化、新しい産業の創出、知的示す。

生産性の向上等の目的に有用である。CPS は、現実

：PWI、
• ビジネス継続のための ICT 準備技術（27031）

世界（物理空間）
で発生する膨大な観測データ等の情報

NWI（New Work Item）の審議を経て、現在はを、サイバー空間の強力な計算能力と結びつけて定量

WD3 の段階• インターネットセキュリティガイドライン（27032）：現在は化するための方法論を提供するものである。

CD3 の段階

以上の背景から、日本の提案により2020 年 4 月にReports
Dashboards
What if Queries
Etc.

Big Data Repository

Data Source②①

Database
Data warehouse
ERP
CRM
Etc.

Big Data
Users

STRUCTURED

Analytics

Big Data
Managers

System Logs
Management
Configuration
Data Nodes
Errors Logs
Access Control
Etc.

Audio/Video
Excell,CVS
Social Media
Logs
Etc.

UNSTRUCTUREDManagement

Data
Logs
Financial
Healthcare
PllCredits Cards
Etc.

Data
Owners■図 2-6-3 ビッグデータソリューションにおけるセキュリティとプライバシーのスコープ（出典）
ISO・IEC「ISO/IEC WD 27046.4 - Information technology — Big data security and privacy — Implementation guidelines ※ 321」を基に IPA が編集

140

情報セキュリティ白書• ネットワークセキュリティ（27033-7）：ネットワーク仮想化

2022

在改訂中であり、2022 年 4 月のオンライン会議の結果、

セキュリティのガイドラインとして NP が成立し、現在はDIS に進むことになった。

WD4 の段階2015 年 6 月に発行された ISO/IEC 24760-2（アイデンティティ管理のフレームワーク パート2：リファレンスアーキ

FDIS に移行後、認証部分の記述の問題からキャンテクチャと要件）も現在改訂中であり、4 月のオンライン会

セルとなり、現在は PWIとして審議を継続。他パート

議の結果、アドホック（特設）グループが設立され、日本は規格化完了からもメンバーが参加し、改訂案を作成中である。
2016 年 8 月に発行された ISO/IEC 24760-3（アイデント1、及びパート2 については、見直しのフェーズ。な

ティティ管理のフレームワーク パート3：実践）は追補作

お、パート4 が Coordination として提案され、現在成中であり、2022 年 3 月末から 4 月初旬のオンライン会

WD4 の段階

議の結果、DIS に進むことになった。

• サプライヤ一関連セキュリティ（27036）：パート1 から（b）
プライバシー

改版作業を開始
収集、確保、
保全（27037）：• デジタルエビデンスの識別、属性に基づく連結不能なエンティティ認証のためのフ改版作業なしレームワークと要求事項を提供する ISO/IEC 27551 は（墨消し技術）（27038）：改版作業なし• リダクション

2021 年 9 月に発行された。

• IDPS（不正検知・防止システム）（27039）：改版作業

ユーザ主体でプライバシープリファレンス（プライバシーなし設 定 ） を 管 理 し、PII（Personally Identifiable• ストレージセキュリティ（27040）：大規模な改修を視野

Information）の提供を制御するフレームワークを規定すに入れ改版作業を開始、現在は CD1 の段階

る規格である ISO/IEC 27556 は、2022 年 5 月 24 日に• 仮想化サーバの設計／実装のためのセキュリティガイ

DIS DoC（Disposition of Comments）
オンライン会合をドライン（21878）：改版作業なし

開催し、FDIS に進んだ。

• 産業用インターネット基盤のためのセキュリティ参照体系

再識別リスク及び非識別データのライフサイクルに関（24392）：現在は CD2 の段階

連するリスクを特定し、軽減するための枠組みを提供す• 仮想化された信頼のルートのためのセキュリティ要件

る ISO/IEC 27559 は、2022 年 5 月 30 日に DIS DoC（27070）：現在は FDIS の段階

オンライン会合を開催し、FDIS に進んだ。

• 機器とサービス間の信頼接続の構築のためのセキュリ

中国から新規に提案された、組織とユーザの間で個

ティ推奨（27071）：現在は CD2 の段階

人データを共有または伝送する際に、共有情報を最小• 公 開 鍵 基 盤 に お ける実 践とポリシー の 枠 組 み

限にしてリスクを低減し、プライバシーを向上させるゼロ（27099）：現在は FDIS の段階

知識証明（ZKP：Zero-Knowledge Proof）を利用する• 安全な配備、アップデート、及びアップグレード（4983）：

ためのガイドラインの提供を目的とした ISO/IEC 27565

NWI 審議を経て、現在は WD2 の段階

が、2022 年 2 月の投票の結果、NP から 1st WD へと• データの起源―参照モデル（データ追跡のため）（5181）：PWIとして審議継続進んだ。
ISO/IEC 27001 及び 27002 を拡 張し、組 織によるPIMS（Privacy Information Management System：（5）WG 5（アイデンティティ管理とプライバシー
技術）ことを目的とする ISO/IEC 27701 は、発行から 3 年目をWG 5 では、アイデンティティ管理、プライバシー、バ迎え pre-review 時期にあたることと、ISO/IEC 27002

イオメトリクスの標準化を行っている。2021 年度の主なの改 訂 版が 2022 年 2 月に発 行されたことを受けて、活動を紹介する。

2022 年 4 月の会合で改訂の必要があることが合意されプライバシー情報マネジメントシステム）の構築を支援するた。改訂範囲等の詳細を議論するアドホックグループが（a）
アイデンティティ管理設置され、日本からもメンバーが参加し、議論する予定

2019 年 5 月に発行された ISO/IEC 24760-1（アイデンである。

ティティ管理のフレームワーク パート1：用語と定義）は現

141

2

情報セキュリティを支える基盤の動向• インシデントマネジメント（27035）：パート3 は発行。パー

第 章• アプリケーションセキュリティ（27034）：パート 4 が（c）
バイオメトリクス

バイオメトリック処理のすべてをモバイル端末で行うローカ

バイオメトリックデータの保 護 技 術を扱うISO/IEC

ルモードと、そうではないリモートモードを別パートで扱う

24745 は、2011 年に発行されたが、その後の新技術をように分割された。ローカルモードを扱うパート1 は、反映するための改訂が行われ、2022 年 2 月に第 2 版

2022 年 5 月 24 ～ 25 日に DIS DoC オンライン会合を開が発行された。

催し、FDIS に進んだ。リモートモードを扱うパート2 は

モバイル端末におけるバイオメトリック認証のセキュリ

4 月のオンライン会議の結果、NPとして登録されることとティとプライバシーの要求事項を扱うISO/IEC 27553は、

142

なった。

情報セキュリティ白書

2022

2.7 安全な政府調達に向けてされる予定である。

民に向けた情報提供や啓発活動、企業・組織に対する• デジタル複合機

セキュリティ施策の促進とともに、政府機関や独立行政• ファイアウォール

法人が安全に IT 製品やクラウドサービス等を調達する• 不正検知・防止システム

ために活用できる制度の運営を行っている。

• サーバ OS

本節では、政府機関等で使用される IT 製品のセキュ• データベース管理システム• スマートカード

度」、政府機関等のシステムに組み込まれる暗号のアル• 暗号化 USB メモリ

ゴリズムを確認する「暗号モジュール試験及び認証制• ルータ／レイヤ 3 スイッチ度」、及び政府が求めるセキュリティ要求を満たしている• ドライブ全体暗号化システム

クラウドサービスを評価・登録する「政府情報システムの• モバイル端末管理システム

ためのセキュリティ評価制度（ISMAP）」の動向について• 仮想プライベートネットワークゲートウェイ

報告する。
府省庁や独立行政法人の情報システムセキュリティ責
2.7.1

任者は、これらの製品分野の IT 製品を調達する場合、

ITセキュリティ評価及び認証制度想定されるセキュリティ上の脅威にそれらの製品が対抗

サイバーセキュリティ戦略本部は、2021 年 7 月、府できていることを確認することが義務付けられている。各

省庁及び独立行政法人が遵守すべき情報セキュリティ

組織が調達する IT 製品が、想定するセキュリティ要件対策を定めた「政府機関等のサイバーセキュリティ対策を満たしていることを個別に確認する方法に加え、調達のための統一基準（令和 3 年度版）」
（以下、政府統一要件リストでは、国際標準に基づく第三者認証製品の基準）を発行した。この中では、国民の情報等を扱う公活用も認めている。

的なサービスを提供するシステムを構築する場合、そのJISEC は、IT 製品のセキュリティ評価の国際標準でシステムを構成する市販の IT 製品についてもセキュリある ISO/IEC 15408 に基づく第三者認証制度を運営しティ要件を策定することを調達者に求めている。

ている。組織の調達責任者は、想定する脅威に対抗しIT 製品の調達において、セキュリティ要件を確認するていることが評価され、JISEC で認証された IT 製品をための仕組みとして、セキュリティ評価制度が先進国を購入することで、政府統一基準の要求を満たすことがで中心に発展し、セキュリティ評価基準が国際規格としてきる。

策定された。日本でも、このセキュリティ評価基準を用い

特に、システム構築とは独立して調達されることの多いて IT 製品を評価する「IT セキュリティ評価及び認証制「デジタル複合機」、国策としてセキュリティ対策が重要度（JISEC：Japan Information Technology Securityとなる旅券やマイナンバー等の「スマートカード」の調達でEvaluation and Certification Scheme）」を IPA が運JISEC の認証制度は活用されている。

営し、政府機関等の IT 製品調達に活用されている。

（2）認証制度の国際連携（1）政府の IT 製品調達セキュリティ要件

JISEC でも採用しているセキュリティ評価基準である

政府統一基準では、調達及び運用において特にセISO/IEC 15408 は、欧米 6ヵ国によるコモンクライテリア

キュリティ要件を策定すべき IT 製品分野として、経済（共通基準）プロジェクトとして開発された。これらの国々

産業省が発行している「IT 製品の調達におけるセキュリ

では、同じセキュリティ評価基準であるコモンクライテリア

※ 323

」
（以下、調達要件リスト）を参照してを用いて、その国を代表する公的機関が運営する制度いる。調達要件リストには、利用者情報を扱うシステムで評価された結果については相互に認め合うことで、調の基盤となり、攻撃の対象となり得る以下の 11 の製品

達国ごとに重複する評価を行うコストを低減することを目分野が指定されている。今後も対象製品分野は、拡大的とした相互承認協定が締結された。この相互承認の

ティ要件リスト

143

2

情報セキュリティを支える基盤の動向

リティ機能を評価する「IT セキュリティ評価及び認証制

第 章

IPA では情報セキュリティ対策の実現に向けて、国枠組みは、CCRA（Common Criteria Recognitionのセキュリティ要件仕様を、あいまいさを排除して製品

Arrangement）と呼ばれ、その後多くの国が加盟し、開発者に伝えることを可能とする。このコモンクライテリア

JISEC を運営する日本も 2003 年に加盟している。これ形式で表された調達要件仕様書を「プロテクションプロ

により、日本のベンダは日本語の開発資料をそのまま利用ファイル」と呼び、CCRA 加盟国での IT 製品の政府調し、JISEC で認証を取得した製品を CCRA 加盟国の達に利用されている。加盟国の調達部門は、調達する

政府調達の対象とすることができるようになった。CCRA

IT 製品のセキュリティ要件をプロテクションプロファイルとでは、自国で認証制度を運営している「認証国」と、認して作成し、調達要件として公開している。これらのプ証制度をまだ有しないが政府調達要件として認証結果

ロテクションプロファイルのうち汎用的なものは、CCRAを受け入れる「受入国」があり、近年は東ヨーロッパやアのポータルサイト※ 324 にも掲載され、他の機関も同様の

フリカの国が受入国として加盟している。2022 年 4 月現分野の製品を調達する際に用いることができる。日本に在、CCRA 加盟国は認証国 17ヵ国、受入国 14ヵ国

おいても、調達要件リストでは製品分野ごとにこれらのプの計 31ヵ国に上る（図 2-7-1）。

ロテクションプロファイルを指定している。また、独自の製品を調達する機関は、プロテクションプロファイルを自ら（3）
セキュリティ要件の共通化

作成し※ 325、調達を実施している。

コモンクライテリアでは、IT 製品が具備すべきセキュリ

同じ製品分野の IT 製品調達で、似たような調達仕ティ要件を、規定された形式に従って記述する。例えば、様が調達者ごとに提示されることは、開発者にとってはアクセス制御機能においては、対象となるオブジェクトや負荷となる。そこで CCRA では、加盟国の認証機関がサブジェクトのリスト、セキュリティ属性、それらを用いた中心となり、いくつかの製品分野で共通的に用いるプロ

アクセス方針をコモンクライテリアで規定された形式で記テクションプロファイルの策定を行っている。このプロテク述する。これにより、調達者が必要としている IT 製品

ションプロファイルは、cPP（collaborative Protection

日 本

カナダ

2022年4月現在

シンガポール
インド

フランス

マレーシア

ドイツ

CCRA認証国

トルコ

米国

イタリア

オーストラリア

スウェーデンニュージーランド
オランダ

韓

ノルウェー

国

スペイン

受入れ
CCRA受入国
英国

フィンランド

ギリシャ

イスラエル

オーストリア

ハンガリー

チェコ

デンマーク

パキスタン

カタール

エチオピア

■図 2-7-1

ポーランド

インドネシアCCRA 加盟国

144

スロバキア

情報セキュリティ白書

Profile）と呼ばれ、CCRA 加盟国は、該当する製品分

⑪0.5％
⑫0.3％
⑬0.3％
⑭0.3％
⑮0.3％
⑯0.3％
⑰0.1％

定することとしている。既にファイアウォール、暗号化ディ
スクドライブ、ネットワークデバイスの製品分野について
cPP が策定され、CCRA ポータルサイトで公開されている。現在も、バイオメトリクス認証やデータベースについて cPP の策定が進行中である。日本も、国内に多くの

第 章

⑩0.5％
⑨0.7％
⑧0.8％
⑦1.0％
⑥1.2％
⑤1.1％
④2.6％
③3.2％
②6.4％

野の調達には、この cPP を用いてセキュリティ要件を指製品ベンダを有するデジタル複合機について、韓国の2認証機関とともに発起人となり、各国のベンダや評価機①80.4％

定を継続して行っている。
①デジタル複合機④データベース管理システム⑦その他（ライブラリ）⑩PKI（認証局等）⑬その他（特殊端末）⑯文書管理（4）認証の状況
2021 年度までの JISEC における認証発行件数の推移を図 2-7-2 に示す。リーマンショックの影響による 2009
年の申請数の減少とそのリバウンド（2011 年）以降、毎■図 2-7-3②ミドルウェア
⑤ファイアウォール⑧生体認証⑪ネットワーク機器⑭デジタルカメラ⑰IDS/IPS③スマートカード⑥情報システム AP⑨ネットワーク管理⑫オペレーティングシステム⑮金融端末

JISEC の認証発行の製品分野内訳

年 40 件前後の認証発行を行ってきた。しかし、2021（件数）
1,000 960

年度の認証発行は前年度比約 48% 減となっている。これはコロナによる要員の配置や半導体調達の影響で、

922 912800

開発の遅延が発生したためである。

729

600

（件数）
80

449
400
62

18

11

シンガポール

71

インド

JISEC の認証発行件数の推移

74

トルコ

■図 2-7-2

75
イタリア■図 2-7-4

オーストラリア

5

ノルウェー

2

2002 2003 2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021
（年）

英国

17

スウェーデン

韓国

オランダ

23

157 139
125 123 103
100
スペイン

35

日本

0

カナダ

31

42

フランス

23

42

44
米国

40

42 42

34

20

0

41

191

200
45

ドイツ

40

57

マレーシア

43

59

CCRA 各国の認証件数

んどがデジタル複合機の新機種リリースによるものである。
CCRA 加盟各国の認証機関が公開している認証発

JISEC が認証発行した製品の分野の内訳を図 2-7-3

行件数の 2021 年度における累計を図 2-7-4 に示す。日に示す。認証製品分野としては、デジタル複合機が圧本の認証発行件数は、米国、フランス、ドイツに次いで倒的に多い。これは前述のように、日本のベンダが国際

4 番目に多い。これらの国は、政府調達に認証製品を的にもシェアを有し、CCRA 加盟国においても政府調達活用しているのに加えて、国内に IT 製品の製造業者の対象となっているからである。また、その他の製品分を多く持つ国々である。英国は、セキュリティ評価の歴野の認証が JISEC で少ないのは、セキュリティ製品全史は長いにもかかわらず、国内の製造業者の減少により、般において日本ベンダの国際的な競争力が弱く、デジタ

2019 年に制度維持コストの削減を理由に認証国から受

ル複合機以外の認証申請取得がなされないこと、ファイ入国に移行している。韓国では、国際的に大きな市場

アウォールやネットワーク管理製品等はシステム構築の中を持つ製造業者が、製品仕向地に応じてモバイル製品

で組み込まれてテストされ納入されることが多いため、製は米国で、スマートカード関連製品はヨーロッパで認証を品単品での調達要件の対象とならないこと等が理由であ取得しているため、国内制度の認証発行件数は少ない。

る。JISEC が毎年認証発行している 40 件前後は、ほと145

情報セキュリティを支える基盤の動向

関をメンバーとする技術コミュニティを発足し、cPP の策

60

2022

（5）2021 年度のトピック

る曲線拡大等、主に暗号面の安全性強化を行った新しJISEC では、IT 製品に対してだけでなく、プロテクショ※ 326

いプロテクションプロファイルの認証を行った。今後、本も実施している。2021

プロテクションプロファイルに基づき製品認証を取得した

年度から 2022 年度にかけて JISEC が認証した 2 件のIC チップが電子パスポートに採用されることにより、更にプロテクションプロファイルを以下に紹介する。

セキュリティ機能が強化された電子パスポートの推進・

ンプロファイルに対しての認証普及が期待される。
特定用途機器－共通セキュリティプロテクションプロ
（a）
ファイル

2.7.2

政府統一基準では、調達要件リストとは別に、近年

暗号モジュール試験及び認証制度

政府において活用されている IoT 製品についてもセキュ

暗号モジュール試験及び認証制度（JCMVP：Japan

リティ対策を求めている。更に 2020 年 4 月に施行されたCryptographic Module Validation Program）とは、「電気通信事業法に基づく端末機器の基準認証」では、利用者が暗号モジュールの信頼性を客観的に把握でき

IoT 機器の技術基準にセキュリティ対策が追加された。

るように設けられた第三者適合性評価認証制度である。

このような背景を踏まえ、IoT 製品分野に係る国内ベン本制度に基づく認証を取得することにより、暗号アルゴリ

ダが多く存在することから、JISEC では、安全な政府調

ズムが適切に実装され、暗号鍵等の重要情報を適切に達の推進と国際的な市場競争力の確保を目的に、IoT保護している暗号モジュールであることをアピールできる。

製品分野への認証制度活用に向けた取り組みを実施し本制度は、米国の NISTとカナダの CCCS（Canadianている。

Centre for Cyber Security）
により運営されているCMVP※ 327

これまでにネットワークカメラシステム及び入退管理シス（Cryptographic Module Validation Program）

テムについて、調達者自身が調達時に必要なセキュリティと同等の制度であり、IPA が認証機関として運営してい要件を確認できるようにチェックリストを公開している。

る。本項では、JCMVP の最新動向、及び関連する

IPA は 2020 年度にネットワークカメラシステムのチェックリ

CMVP の動向について述べる。

ストの基本的なセキュリティ要件について、コモンクライテ（1）政府機関等における JCMVP の活用

リアの評価手法に従った検証を実施し、コモンクライテリ
ア適用の有効性を確認した。この結果を踏まえ、2021

政府統一基準における暗号・電子署名の遵守事項

年度はネットワークカメラシステム等の IoT 機器を含む特（6.1.5 節）に対する基本対策事項として、「政府機関等

定用途機器の基本的セキュリティ要件についてプロテクの対策基準策定のためのガイドライン（令和 3 年度版）」

ションプロファイルを策定し、JISEC でのプロテクションプ

では「情報システムセキュリティ責任者は、暗号化又はロファイル認証を進めており、2022 年度上期に認証取

電子署名を行う情報システムにおいて、以下を例とする

得できる見込みである。
今後、認証を取得したプロテクショ

措置を講ずること。」
として、五つの例が挙げられている。

ンプロファイルを用いた特定用途機器分野の政府調達でその中の一つに、選択したアルゴリズムがソフトウェア及の活用を推進していく。

びハードウェアへ適切に実装されており、かつ、暗号化された情報の復号または電子署名の付与に用いる鍵及（b）
電子パスポートプロテクションプロファイル

びそれに対応する主体認証情報等が安全に保護される

偽変造防止や安全かつ迅速な空港手続きを目的としことを確実にするため、「暗号モジュール試験及び認証

た電子パスポートへの移行が、ICAO（International

制度」に基づく認証を取得している製品を選択すること

Civil Aviation Organization：国際民間航空機関）でが挙げられている。また、各府省情報化統括責任者の国際標準化策定により各国で進められている。

（CIO）連絡会議が決定し、2019 年 2 月に公開された「行日本においても、2015 年度に電子パスポート用 IC チッ

政手続におけるオンラインによる本人確認の手法に関す

プのプロテクションプロファイルの認 証を行っている。

るガイドライン※ 328」において、JCMVP により認証された

2021 年度は、ICAO 文書の改訂やコモンクライテリア文

ハードウェアトークンに対して当人認証保証の最高レベル

書の改訂、パスポート特有のライフサイクル期間（最長3 を与えるとされている。

10 年間）を考慮し、ハッシュ関数のハッシュ長拡大、主要暗号アルゴリズムの鍵長拡大、楕円曲線暗号に用い146

情報セキュリティ白書（2）IT セキュリティ評価及び認証制度（JISEC）との連携（3）JIS X 19790 及び X 24759 の改正
JCMVP に関連する JIS 規格として、JIS X 19790（セ

IPA が運営する評価認証制度には、JISECとJCMVP

キュリティ技術－暗号モジュールのセキュリティ要求事項）の二つがある。JISEC が 2016 年に発行、2020 年に改及び JIS X 24759（セキュリティ技術－暗号モジュールの※ 329

セキュリティ試験要件）がある※ 332。JIS X 19790 は、コが示されている（JISEC の活動については「2.7.1 IT セ

ンピュータシステム及び通信システムの中のセキュリティシ

キュリティ評価及び認証制度」参照）。

ステムで使用される暗号モジュールに対するセキュリティ
要求事項を規定したものである。JIS X 24759 は、暗プロテクションプロファイル「Protection Profile for号モジュールがその要求事項を満たしていることを試験

Hardcopy Devices 1.0 dated September 10, 2015 ※ 330」

機関が試験する方法等を規定したものである。これら

では、信頼できるツールを用いた暗号アルゴリズム実装

は、それぞれ国際規格 ISO/IEC 19790 及び ISO/IECのテストを求 めている。JISEC では、このテストに、

24759 の対応規格として作られている。

JCMVP の暗号アルゴリズム実装試験ツール（JCATT：

ISO/IEC 19790 は、2015 年 12 月に ISO/IEC 19790:

Japan Cryptographic Algorithm implementation

2012/Cor.1:2015 として、暗号モジュールのソフトウェア

Testing Tool）を活用して認証を行っている。2021 年

及びファームウェア構 成 要 素に対する誤り検出符 号

度は、このプロテクションプロファイルに基づく認証が 8（EDC：Error-Detecting Code）の適用についての要求※ 331。このような連携を通じて、図 2-7-5

事項を追加する等、要求事項をより明確化した訂正版に示すように、JCATT を使って確認された暗号アルゴリが発行されている。また、ISO/IEC 24759 は、2017 年

ズム実装の実績は、2018 年度から 2020 年度において3 月に ISO/IEC 24759:2017として、軽微な誤りの修正、堅調に増加してきた。2021 年度は 2020 年度よりも増加

技術的に正確な要件となるような修正を行い、ベンダ情のペースが鈍ったが、それが新型コロナウイルス感染拡報要件及び試験手順要件の一部を改正し、第 3 版が大の影響に起因する一時的なものかどうかは、現時点発行されている※ 333。

件完了しているでは不明である。また図 2-7-5 において、楕円曲線暗これに対し、JSA 及び IPA は、JIS X 19790 及び号 の 一 つ で ある ECDSA（Elliptic Curve Digital

JIS X 24759 について、対応国際規格との乖離を解消

Signature Algorithm）は、2019 年度からは毎年実績

するとともに技術の実態に即した内容にするための改正が増えてきており、鍵長が比較的短くて済む楕円曲線暗を進めることとした。IPA は、民間の有識者、学識経号のニーズが反映されていると考えられる。

験 者 及び 政 府 関 係 者 からなる JIS X 19790 及び X
24759 原案作成委員会を組織し、JIS 改正原案を 2022
年 2 月に作 成した。 原 案は JSA による校 正を経て、（暗号アルゴリズム）
DSA

2022 年 6 月に JSA から経済産業省へ提出された。

ECDSA
RSA

その後は、60 日間の WTO/TBT 意見受付公告※ 334

DHの後、JISC による審議を経て※ 335、2022 年末ごろに発行される見込みである。

ECDH
AES
Camellia（4）CMVP の動向

SHSNIST と CCCS は、2019 年に CMVP の新しい規格

HMACとなる FIPS 140-3 ※ 336 を発行したことを契機に 2020 年

DRBG

から FIPS 140-2 から FIPS 140-3 への移行を進めてい

KDF
0

10

20

30

40

50

60

2007年度〜2017年度
2018年度
2020年度
2021年度

70

80（件）
2019年度る。その移行スケジュールに則り、2021 年 9 月に FIPS
140-2 での新規申請が原則終了した（例外申請が認められた 分も 2022 年 3 月で申 請 終 了 ）。2026 年 9 月に

■図 2-7-5 JCATT により確認された暗号アルゴリズム実装の実績（出典）
IPA の公開情報を基に作成

FIPS 140-2 認証製品はすべて Historical List ※ 337 へ移動する予定である。

147

2

情報セキュリティを支える基盤の動向

例えば、この活用方針に関連するデジタル複合機の第 章

によって、JCMVP の活用方針定したガイドライン2022

2.7.3

テムにおけるクラウドサービスのセキュリティ評価制度の政府情報システムのためのセキュリティ評価制度（ISMAP）

基本的枠組みについて※ 343」が決定された。

2020 年 6 月 3 日、内閣官房、総務省、経済産業省

上記検討会において、2019 年 6 月から、政府情報は政 府 情 報システムのためのセキュリティ評 価 制 度

システム調達に応募するクラウド事業者が遵守すべきセ（ISMAP）の開 始をアナウンスした※ 338。 本 項では、キュリティ管理基準（ISMAP 管理基準）の検討が行わ

ISMAP の概要について紹介する。

れた。ISMAP 管理基準は、国際規格をベースに「政府機関等の情報セキュリティ対策のための統一基準群（1）ISMAP の概要「NIST SP800-53 rev.4」
を参照（平成 30 年度版）※ 344」

政 府 情 報システムのためのセキュリティ評 価 制 度して作成された。国際規格としては、情報セキュリティに（Information system Security Management and関しては JIS Q 27001（ISO/IEC 27001）、JIS Q 27002

Assessment Program：通称、ISMAP（イスマップ））は、（ISO/IEC 27002）とクラウドサービスの情報セキュリティ

政府が求めるセキュリティ要件を満たしているクラウド

に関する JIS Q 27017（ISO/IEC 27017）が参考にされサービスをあらかじめ評価・登録することにより、政府のた。また、これらの国際規格に準拠して編成された「ククラウドサービス調達におけるセキュリティ水準の確保を

ラウド情報セキュリティ管理基準（平成 28 年度版）」が参図り、クラウドサービスの円滑な導入に資することを目的と考にされ、そこに含まれるガバナンス基準について JISした制度である。

Q 27014（ISO/IEC 27014）
が参考にされた。

従来、政府調達にあたっては、個々のクラウドサービ（3）ISMAP のフロースが実施していると表明する情報セキュリティ対策の実施状況を、調達者が直接確認することが必要であった

本制度においては、本制度で定められた情報セキュが、本制度により、この確認を省略でき負担を軽減できる。

リティ監査の枠組みに基づき、政府機関等が調達するク

なお、ISMAP がクラウドサービスの申請受付を開始

ラウドサービスに要求される基本的な情報セキュリティ管した 2020 年 10 月 1 日から 1 年 間、現 状やむを得 ず

理・運用の基準を満たすセキュリティ対策を実施してい

ISMAP に登録されていないクラウドサービスを利用中、ることが確認されたクラウドサービスが、ISMAP クラウド

または利用予定の各政府機関等に対しては、当該サーサービスリスト（以下、サービスリスト）に登録される。政ビスが申請されることを前提として、それらのサービスの府機関がクラウドサービスを調達する場合、サービスリス

利用を可能とする暫定措置期間が設けられていた。そトに登録されたサービスを選定候補とする。

の暫定措置期間が 2021 年 9 月 30 日に期限を迎えるこ

また、本制度における監査を実施できる監査機関は、とから、2021 年 7 月 6 日に開催された「サイバーセキュリ

あらかじめ本制度で定める要求事項を満たすことが確認

ティ対策推進会議・各府省情報化統括責任者（CIO）

され、本制度が公表する ISMAP 監査機関リスト（以下、連絡会議」で、真にやむを得ないケースを対象に縮小し監査機関リスト）に登録される。

※ 339

た新規の暫定措置期間が設定された。

本制度のフローを図 2-7-6（次ページ）に示す。クラウドサービス提供者は、監査機関リストに登録された機関に（2）ISMAP 制度制定の経緯

よる監査を受け、ISMAP 運用支援機関である IPA を2018 年 6 月に公開された「政府情報システムにおける

通じて ISMAP 運営委員会にサービス登録申請を行う。

※ 340

」
（2021 年 3申請を受けた ISMAP 運営委員会は審査を行い、承認月30日付けで ISMAP に関する記述が追記されている）

されたサービスがサービスリストに掲載される。府省庁のでは、「クラウド・バイ・デフォルト原則」が掲げられた。

調達者はサービスリストを使って調達先候補を選ぶ。な

これを踏まえ、経済産業省と総務省は、2018 年 8 月から

お、本制度の運用に係る実務及び評価に係る技術的なクラウドサービスの利用に係る基本方針

※ 341

」を

支援は IPA が行い、そのうち、監査機関の評価及び管発足させ、適切なセキュリティ要件を満たすクラウドサー

理に関する業務については、IPA から特定非営利活動

ビスを導 入するために必 要な評 価 方 法 等を検 討し、

法人日本セキュリティ監査協会（JASA）に委託している。

「クラウドサービスの安全性評価に関する検討会

2020 年 1 月に「クラウドサービスの安全性評価に関する検討会とりまとめ※ 342」が公開された。また、同月のサイ（4）ISMAP の運用
本制度は、2020 年 6 月に運用が開始された。

バーセキュリティ戦略本部会合において「政府情報シス148

情報セキュリティ白書

2022

ISMAP運営委員会
制度運用
状況の報告
調達省庁

登録
参照

ISMAP
クラウド
サービス
リスト

助言

本制度の
最高意思決定機関

監査機関の技術的審査結果、クラウドサービスの技術的審査結果の報告

ISMAP
監査機関
リスト

制度運用に係る実務及び評価に係る技術的な支援の委任

制度運営委員会
事務局
監督

独立行政法人 情報処理推進機構
（IPA）

デジタル庁

総務省

サービス
登録申請

特定非営利活動法人
日本セキュリティ監査協会（JASA）
監査機関登録申請

経済産業省

制度所管省庁

監査機関の評価・管理

監査依頼
クラウドサービス
事業者様

監査機関様
監査実施

（注）
制度運用に係る実務及び評価に係る技術的な支援を IPA が行い、うち、監査機関の評価及び管理に関する業務について JASA に再委託する。

■図 2-7-6 クラウドサービスの安全性評価の制度のフロー（出典）
ISMAP「ISMAP 概要※ 345」

ISMAP の所管は 2022 年 1 月現在、NISC、デジタ

ウドサービスの適切な活用の推進が期待される。これにル庁、総務省、経済産業省であり、最高意思決定機

関連して、2019 年 5 月 23 日に改定された NISC の「重関として ISMAP 運 営 委 員 会を設 置し、 事 務 局 は要インフラにおける情報セキュリティ確保に係る安全基準

NISC に置き、運用実務は IPA が担当している。

※ 347
」は、
「事業環境の変化を捉え、等策定指針（第 5 版）

制度の概要、基準規程類、監査機関リスト、及びサー

インターネットを介したサービス（クラウドサービス等）
を活用

ビスリストは、2021 年 5 月に開設された ISMAP ポータするなど新しい技術を利用する際には、国内外の法令や※ 346で公開されており、2022 年 1 月には本制度

評価制度等の存在について留意する。
」としており、国の登録について、ポータルサイトでの電子申請の受付を内の評価制度としてはISMAP が該当すると考えられる。

開始している。2022 年 6 月 1 日時点で登録されている「クラウドサービスの安全性評価に関する検討会とりま

監査機関は 5 機関、また、クラウドサービスは 34 サービとめ」にも記載されたように、情報システムのセキュリティ

スである。

確保の責任は、一義的に当該システムの利用者である

ルサイト

調達省庁が負うものである。本制度に登録されたクラウ（5）
セキュアなクラウド利用に向けて

ドサービスを利用したとしても、それだけでは情報システ

IPA は、クラウドサービス事業者がサービスリストへの

ム全体のセキュリティが十分に確保されることにはならな登録を行うにあたり、セキュリティ対策の進め方及び管い。情報システムの利用者である調達省庁は、利用す

理基準の理解の一助となることを目的として、管理基準

るクラウドサービスについて適切な設定を行うことに加えマニュアルの作成を行っている。

て、情報システム全体のセキュリティリスクを分析し、適また、ISMAP で公開される情報は、重要インフラ分切な対策を行うことが求められる。

野等を始めとする民間においても参照されることで、クラ149

2

情報セキュリティを支える基盤の動向

監査機関の評価結果の報告
参照

監査機関の評価及び管理に関する業務の委託

第 章

内閣サイバーセキュ
リティセンター登録

2.8 その他の情報セキュリティ動向
個人情報保護法改正、内部不正防止対策の動向、れた。地方自治体関係機関に対する部分は 2023 年に及び暗号技術の動向について述べる。

2.8.1

施行予定である。

（2）個人情報保護法改正の概要

個人情報保護法改正

個人情報保護法※ 3482020 年及び 2021 年の法改正の概要をまとめる。

は、情報流通や通信の高度な進展に伴う個人情報利活用の有用性に配慮しながら、（a）2020 年の個人情報保護法改正

個人の権利利益を保護することを目的とした、個人情報

個人情報に対する意識の高まり、技術革新を踏まえの取り扱いに関する法律である。個人情報保護に関すた保護と利活用のバランス、越境データの流通増大に伴る施策推進の基本的方向性や、国、地方公共団体、

う新たなリスクへの対応等の改正が実施された。2020

個人情報取扱事業者等が講ずべき措置の方向性が示

年の改正の主な内容を挙げる。

されている。

①個人の権利の在り方
個人情報の利用停止・消去等の個人の請求権、個（1）個人情報保護法改正の経緯

人データの開示方法、第三者提供記録の本人開示

個人情報保護法は 2003 年に成立、2005 年に施行

請求等が拡充された。

された。その後情報通信技術の進展や個人情報を利②事業者の守るべき責務の在り方

活用する要請の高まりに伴い、「個人情報の保護に関個人情報保護委員会への報告や本人への通知が義する法律及び行政手続における特定の個人を識別する

務化され、不適正な方法での個人情報利用が禁止さための番号の利用等に関する法律の一部を改正する法

れた。

※ 349

」が 2015 年に成立、2017 年に施行され、3 年ご③事業者による自主的な取り組みを促す仕組みの在り方との見直し規定が盛り込まれた。この見直し規定に基づ

認証個人情報保護団体制度で、企業の特定分野（部

律

※ 350

き2020 年に法改正され（2022 年 4 月全面施行）、

個人の権利の保護と活用の強化、越境データの流通増

門）を対象とする団体を認定できるようになった。
④データ利活用の在り方

大に伴う新たなリスクへの対応、AI・ビッグデータ時代「仮名加工情報」が創設され、内部分析用途に限定への対応等が盛り込まれた。更に 2021 年に「デジタルし、開示・利用停止請求への対応義務が緩和された。

社会の形成を図るための関係法律の整備に関する法⑤ペナルティの在り方

※ 351

」
（デジタル社会形成整備法）に基づく法改正によ命令違反・虚偽報告等の行為者への罰金が引き上※ 352、官民を通じた個人情報保護制度の見直し（官げられ、法人は行為者より罰金刑最高額が引き上げ律り民一元化）が行われた。2021 年改正法は 2022 年 4 月

られた（次ページ表 2-8-1）。

に政府関係機関・学術研究機関に対する部分が施行さ⑥法の域外適用・越境移転の在り方
日本国内の個人情報等を取り扱う外国事業者を、罰
則付きの報告徴収・命令の対象とした。また、外国

2003年（平成15年）個人情報保護法成立（2005年（平成17年）全面施行）の第三者への個人データ提供時、移転先での個人

法執行後約10年が経過。
情報通信技術の発展により、制定当時には想定されなかったパーソナルデータの利活用が可能に

情報の取り扱いに関する本人への情報提供の充実が2015年（平成27年）個人情報保護法改正（2017年（平成29年）全面施行）求められた。

3年ごと見直し規定が盛り込まれる
国際的動向、
情報通信技術の進展、新産業の創出・発展の状況等勘案

なお、2020 年の個人情報保護法改正については「情2020年（令和2年）改正法
2020年（令和2年）
6月成立・公布 3年ごと見直し規定に基づく初めての法改正

報セキュリティ白書 2020 ※ 353」の「2.7.4 個人情報保護法の改正」
も参照されたい。

2021年（令和3年）改正法
2021年（令和3年）
5月成立・公布 デジタル社会形成整備法に基づく法改正■図 2-8-1

個人情報保護法改正の経緯

150

情報セキュリティ白書

懲役刑立の病院、大学等には原則として民間の病院、大学

罰金刑
改正前

個人情報
行為者
保護委員会
からの命令
法人等
への違反

6月
以下

1年
以下

30 万円 100 万
以下
円以下

−

−

30 万円 1 億円
以下
以下

個人情報
行為者
データベース
などの不正
法人等
提供など

1年
以下

1年
以下

50 万円 50 万円
以下
以下

−

−

50 万円 1 億円
以下
以下

個人情報
行為者
保護委員会
への虚偽
法人等
報告等

−

−

30 万円 50 万円
以下
以下

−

−

30 万円 50 万円
以下
以下

等と同等の規律を適用した（図 2-8-2 の②）。

改正後

③学術研究分野を含めた GDPR の十分性認定への対応を目指し、学術研究に係る適用除外規定（学術研究目的の利用については本人同意を必須としない等）について、一律の適用除外ではなく、義務ごとの例
外規定として精緻化した（図 2-8-2 の③）。
④個人情報の定義等を国・民間・地方で統一するとともに、行政機関等での匿名加工情報の取り扱いに関する規律を明確化した（図 2-8-2 の④）。
2021 年の改正法では、データの保有、利用目的、■表 2-8-1 2020 年改正前後の法定刑の比較
個人情報保護委員会「令和２年 改正個人情報保護法について※ 350」
（出典）

提供の適不適、例外適用の可否等の法解釈・運用に関する諸権限が、個人情報保護委員会に集約されるこ（b）
2021 年の個人情報保護法改正ととなった。

個人情報保護とデータ流通の両立・強化、国際的制

また、多くのステークホルダーが関与し、全国広範囲

度との調和を目的として 2021 年に法改正された。四つで実施されるようなビジネスにおいて、しばしば「個人情のポイントを以下に示す。

報保護法制 2000 個問題※ 355」と呼ばれていた以下の①個人情報保護法、行政機関個人情報保護法、独立

諸問題について、同法が一律に適用される見込みであ

行政法人等個人情報保護法の 3 本の法律を一つにり、実効的解決が期待されることとなった。

統合し、地方公共団体の個人情報保護制度につい• 個人情報関連法制が自治体ごとに異なるルール・解釈で運用されていた問題ても統合後の法律の中で全国的な共通ルールを規定• 個人情報を含むデータの利用を伴う新規案件の検討・し、全体の所管を個人情報保護委員会に一元化した（図 2-8-2 の①）。

実行の諸手続き解釈等の検討に長時間を要していた②医療・学術分野の規律を官民で統一するため、国公

問題

【現行】

個人情報保護法

各地方公共団体

独立行政法人等
個人情報保護法

対象

個人情報
保護委員会

行政機関
個人情報保護法

法令

総務省

個人情報
保護条例

所管

【見直し後】

国の
行政機関

独立
行政
法人等

民間
事業者

学術研究

個人情報保護委員会①
新個人情報保護法

国の行政機関
地方公共団体※ 等

地方公共
団体等

②

適用除外

・国立病院
・公立病院
・国立大学
・公立大学
・国立研究開発法人
等

民間
事業者

対象を拡大し、規律を精緻化

③

照合可能性

容易照合
可能性

団体により
異なる

容易照合可能性（個情法の定義に統一）

非識別加工情報

匿名加工
情報

規定なし
（一部団体を除く）

匿名加工情報（個情法の名称に統一し、規律を明確化）

個人情報
の定義等

④

※条例による必要最小限の独自の保護措置を許容■図 2-8-2 2021 年改正の概要（出典）
個人情報保護委員会「個人情報保護制度見直しの全体像※ 354」151

2

情報セキュリティを支える基盤の動向

改正後

第 章

改正前

2022

• 効率を高め得る新技術導入が敬遠され、導入時に過類型

各自治体に改正法の統一的な条文が適用される一方、自治体ごとの条例で個別に定めることができるのは、企業の職員が、退職後に企業のシステム
内の機密情報に不正アクセスし営業秘密
営業秘密情報の 情報を窃取した。
業績不振を理由に解雇されることに不満が漏えいあったこと、退職後に共有アカウントのパス
ワードが変更されていなかったことによる。

統一的な部分に対するいわゆる上乗せ・横出し部分（条例要配慮個人情報等）になると考えられる。
更に、国公立大学・病院等、日常的活動そのものに官民の差があまりない領域においては、官民で規律を企業の共同開発先として委託を受けた海外現地法人の職員が、業務用パソコンへ
取引先情報及び個人情報を含むデータを
顧客情報（営業
許可なくダウンロードし、海外のクラウドス
秘密）・個 人 情トレージサービスの個人アカウントへアップ
報の不正な持ちロードした。
出し
海外現地法人の職員に対する教育や内部不正対策の周知徹底が十分でなかったことによる。

共通化することで連携が容易となり、データが適正に管理されているかの見極めも、個人情報保護委員会が一元的に判断可能となると期待される。

2.8.2

内部不正の内容

企業の防衛・宇宙部門に在籍していた職員が、防衛・宇宙関連の営業秘密にあた
技術情報の国外る技術情報を国外に漏えいさせた。
への漏えい
職員の出身国であった外国政府からのアプ
ローチを受けたことによる。

度のカスタマイゼーションが求められがちであった問題

内部不正防止対策の動向

自治体の職員が、貸与パソコンから同自治体職員の個人情報を含むファイルを入手
し、新聞社にファイル添付したメールを送信した。
個人情報の暴露 貸与パソコンの中に、個人情報を含むファイルが残されていたこと、同職員には待遇への不満、自治体の情報管理不備をマスコミに告発することによる自己肯定欲求があったことによる。

組織が保有する秘密情報の保護は重要な課題であり、内部不正が関係する情報漏えいは、組織において特に注意すべき脅威の一つである。2020 年度に IPAが実施した営業秘密管理に関する実態調査※ 356 の結果でも、情報漏えいインシデントの多くは内部不正により発生する傾向が高いことが示されている。また同調査に企業の職員が、退職前に開発中のシステ
ムのソースコードを社内で共有せず自分のシステム・プログ パソコンから削除した。
ラムの破壊処遇に不満があったこと、プログラム管理システムへのソースコード登録の手続き不備があったことによる。

よれば、近年のテレワーク等の働き方の変化、クラウド化等の IT プラットフォームの変化は、組織のセキュリティ対策実施のガバナンスを弱め、内部不正のリスクを高めている、との意識も強まっている。

企業の職員が貸与されたコンピュータにハッキングツールをインストールし、他の職員の認証情報を盗み、外部の共犯者に渡した。
システム・プログ 共犯者は同社の Web サイトにその認証情
ラムの改ざん
報を用いて不正アクセスし、Web サイトを改ざんした。
支給されたコンピュータにハッキングツールをインストールすることが可能であったことによる。

これを受けて IPA は、2013 年に発行した「組織における内部不正防止ガイドライン」（以下、内部不正ガイド
ライン）
を 2022 年 4 月に第 5 版に改訂した※ 357。本項では改訂にあたり、近年の社会的・技術的環境変化を整理し、インシデントや政策・対策の現状を調査した上で、重要な対策のポイントを整理した結果を紹介する。

■表 2-8-2（1）内部不正によるインシデント事例

内部不正ガイドラインに掲載した内部不正事例
（抜粋）

を引く。

内部不正ガイドライン改訂に必要な情報収集の一環と（2）内部不正対策検討のポイント

して、国内外の内部不正によるインシデント事例を報道や公知の文献情報等から調査した。具体的には、悪意

内部不正のリスクを分析し、対策を検討する前提としによる情報の漏えい、退職時の情報持ち出し、不適切て、仕事や生活の IT 化・デジタル化に関する環境条に管理された情報の漏えい等に関係した事例を新たに件を整理することが有用であると考えられる。本改訂に収集した。第 5 版の改訂で内部不正ガイドラインに追記

おいては、それらの環境条件として IT に関わる政府のした事例の抜粋を表 2-8-2 に示す。

政策、社会情勢の変化、サービス・技術の変化の 3 点

外部者からの働きかけによる営業秘密情報の漏えい、に注目した（次ページ図 2-8-3）。

中途退職者による営業秘密情報の窃取、管理不備によIT に関わる政府の政策としては、サイバーセキュリティ

る営業秘密情報の外部への持ち出し等、以前から注意

戦略本部が公表している「サイバーセキュリティ2021 ※ 2」

喚起され、現在も継続して発生している典型的事例が目等の IT セキュリティ戦略の観点から、経済安全保障の152

情報セキュリティ白書

ITに関わる政府の政策

内部不正者への外部脅威者の多様なアプローチ

DX

不遇な生活、組織や社会への反感、倫理観の低下

サプライチェーンリスク対策

組織と職員の関係の希薄化（雇用の流動化）

ゼロトラスト脅威対策のインタビュー調査を行い、収集した情報を踏まえた 3
点のポイントを示す。
（a）
テレワーク・クラウドの普及に伴う対策
テレワークに代表される働き方の変化や、それに伴うニューノーマルへの移行

オンラインストレージやクラウド等の外部サービスの利用拡サイバーリスクの経営リスク化

クラウド、SNSの広範な普及

大といった環境変化が顕著である。それらの変化に対AI等による検知技術の進展

応した技術的な対策・証拠保全等の事後対策等が重要であり、特に以下の対策に留意する。
• 個人情報・営業秘密情報等の重要情報が、テレワー■図 2-8-3 三つの環境条件から見た重要な変化

クやクラウド等の利用により広範囲に分散する傾向が強化の必要性、DX 推進、サプライチェーンリスク対策、強まるため、重要情報の棚卸しを行い、情報の保存

ゼロトラスト脅威対策、関連する法改正等が注目される。

場所・管理責任者等に関する管理ルールを定め、運社会情勢の変化としては、内部不正者への外部脅威者用する。

の多様なアプローチ、不遇な生活・組織や社会への反• クラウドプロキシや CASB（Cloud Access Security

感、倫理観の低下、組織と職員の関係の希薄化（雇用Broker）の導入等により、クラウドの利用状況を把握の流動化）、ニューノーマルへの移行、サイバーリスクのし、管理されない「野良クラウド」の利用を認めない。

経営リスク化等が注目される。サービス・技術の変化に• クラウドサービスのアクセス権限の設定漏れや設定ミス

ついては、クラウド・SNS の広範な普及、AI 等による等による意図しない相手への情報の曝露に注意する。

検知技術の進展等が注目される。

• クラウドサービスへのアクセスの認証ログ・アプリケー

内部不正防止ガイドラインの改訂においては、関連法

ションの操作ログを取得し、ログに不正アクセスの痕跡

制調査を含む文献調査の結果と、上記の三つの環境が記録されていないかを定期的に確認する。

条件に関わる変化点を併せて整理し、新たな内部不正• データのダウンロードが制御できるクラウドサービスに限対策を検討するための七つの課題を抽出した。

り使用許可を行う。

①営業秘密、とりわけ重要技術情報の漏えいに対する• テレワーク端末の内蔵記録装置（HDD・SSD 等）の社会的な危機感の拡大

暗号化やデータの遠隔消去等の対策を導入する。

②内部不正が事業経営に及ぼすリスクの増大③テレワークに代表される働き方の変化、及びその常態（b）
退職者関連対策化に伴う情報漏えいリスクの増大

IPA が 2021 年に公開した「企業における営業秘密管④オンラインストレージやクラウド等の外部サービスの利用理に関する実態調査 2020

※ 356

」でも、営業秘密の漏えいルートは「中途退職者」による漏えいが 36.3%と最多で拡大⑤セキュリティ技術（特にエンドポイントセキュリティやモあった。退職者の内部不正を防止する目的でシステムのニタリング技術）の急速な進展と個人情報に配慮した

モニタリングを行うことは抑止的な対策として有用である。

運用

一方、プライバシーやコンプライアンスの観点からの注⑥雇用の流動化による退職者
（転職者）
の急増

意点も存在する。退職予定者を含めた役職員をモニタリ⑦法改正（個人情報保護法、不正競争防止法等）によングするにあたり、その目的が、正しく業務を行っている

る漏えいの通報義務、重要データ保護等の強化

役職員を保護するためであることを広く周知するべきである。経営者は、「モニタリングは不正アクセスの検知を

これらの課題のポイントは、以下として整理できる。

目的とし、業績評価を目的としない」「モニタリングは正し• 経営層のコミットメント

い業務を行う職員を守るために行う」等の周知を就業規• 法制との整合則等で明確に行い、役職員の理解を得ておくことが望ま• 強化すべき対策しい。
なお、退職後の秘密保持契約や誓約書の提出を退153

2

情報セキュリティを支える基盤の動向

サービス・技術の変化

第 章

関連する法改正

以下では強化すべき対策について、企業・有識者へ

社会情勢の変化

経済安全保障の強化2022

職予定者に拒否されることもありえるため、雇用契約に

正リスクに対する問題意識を高める施策はあらゆる対策

退職時の禁忌事項を盛り込む等の対策も有効である。

の根幹として重要である。経営陣が内部不正インシデン

また、退職者が組織の外に重要情報を不正に開示する

ト発生時のリスクと責任を認識できるよう、インシデントによような事態を防ぐために、退職前の事前対策として、重り引き起こされる事業への影響がどの程度なのか、BIA

要情報を組織の外に持ち出さないように本人に通知した（Business Impact Analysis）等の分析により評価し、上で技術的・物理的な情報漏えい対策を講じること等把握することが有用である。併せて、組織のリスクマネが有効である。

ジメント体制の中に内部不正リスクを所管する責任者を明示的に置くことも経営リスクと責任の所在の明確化に（c）
ふるまい検知等の新技術対策役立つ。

近年、急速に進展してきた新技術に、EDR（Endpoint（3）内部不正ガイドラインの改訂内容

Detection and Response）等のエンドポイントセキュリ
ティ技術や、パソコン・システム上におけるふるまい検知

このように得られた知見に基づき、2022 年 4 月に内部を含む各種モニタリング技術がある。AI 等によるふるま

不正ガイドラインを第 5 版に改訂した。検討した内部不い検知を行う製品・サービスも内部不正対策として実用

正対策の七つの課題に対応する改訂箇所を特定し、前レベルになってきている。

節で述べた対策強化ポイントを反映した（図 2-8-4）。

こうしたふるまい検知等の新技術を内部不正対策とし経営層への内部不正対策の重要性の訴求についてて適用することは効果的である一方、役職員の人権・は、「1．背景」「4-1 基本方針」部分の加筆を行った。

プライバシーに配慮した運用が求められる。個人情報保テレワーク・クラウド・AI ／ふるまい検知技術の普及に護法・欧州の GDPR・米国のプライバシー関連法等のついては、「4-4 技術・運用管理」に特に重点を置き加プライバシー保護規制に合わせた個人データの収集・分筆した。更に、モニタリング適用時の職員の人権・プラ

析や役職員の適切な保護が可能なシステムを選定する

イバシー保護等の必要性、雇用の流動化に伴う退職時

こと、行動履歴を含む個人データの収集については労の対策について「4-6 人的管理」の加筆・修正を行った。

働規約等で周知しておくこと、分析を AI まかせにせず、更に、内部不正防止に関連する法制度の変化に対「人間」による判断と「自動化・効率化」を組み合わせた応するため、NISC の「サイバーセキュリティ関係法令 Q運用を行う等、組織としてモニタリングの説明責任を果＆ A ハンドブック※ 359」等を参照し、各施策と個人情報たせる運用体制の構築が対策のポイントとなる。

保護法・改正不正競争防止法等の関係法制の対応を明示し、対策実施におけるコンプライアンスも重視した。

（d）
経営層へのメッセージ

内部不正ガイドライン第 5 版の今後の活用が望まれる。

以上 3 点の対策ポイントに加えて、経営層の内部不

経営者に
対する
メッセージ

七つの課題

反映箇所

営業秘密の漏えい、とりわけ重要技術情報の漏えいに対する社会的な危機感の拡大【 組織における内部不正防止ガイドライン 】
1．背景
2．概要
3．用語の定義と関連する法律
4．内部不正を防ぐための管理のあり方
4-1 基本方針
4-2 資産管理
4-3 物理的管理
4-4 技術・運用管理
4-5 原因究明と証拠確保
4-6 人的管理
4-7 コンプライアンス
4-8 職場管理
4-9 事後対策
4-10 組織の管理

内部不正が事業経営に及ぼすリスクの増大
テレワークに代表される働き方の変化、及びその常態化に伴う情報漏えいの拡大対策①②③

オンラインストレージやクラウド等の外部サービスの利用拡大
セキュリティ技術（特にエンドポイントセキュリティやモニタ
リング技術）の急速な進展と個人情報に配慮した運用
雇用の流動化による退職者（転職者）
の急増

法制との
整合

法改正等（個人情報保護法、不正競争防止法等）：個人
情報漏えいの通報義務、重要データ保護等の観点
経営層の関与対策ポイント①

法制との整合対策ポイント②

対策ポイント③■図 2-8-4 内部不正ガイドライン第 5 版の改訂箇所（出典）
株式会社エヌ・ティ・ティ・データ経営研究所「IPA『組織における内部不正防止ガイドライン』の改訂に係る調査等業務 概要説明
資料※ 358」を基に IPA が編集

154

情報セキュリティ白書

2.8.3

2022

ア ル ゴリズ ム（Partial Key Exposure Attack） が暗号技術の動向Asiacrypt 2021 において提案された。素因数分解す

本項では 2021 年度における、共通鍵暗号、公開鍵る数を N として、今までは CRT-RSA 指数※ 363 のサイ

暗号及び実装攻撃に関する研究動向についてそれぞれズが N0.122 以下のときの多項式時間攻撃が提案されてい解説する。

たが、本攻撃は CRT-RSA 指数の最下位ビット（LSB：
Least Significant Bit）の部分的な知識を仮定して、サイズが N0.122 以上 N0.5 以下の場合の攻撃を実現している。
また、RSA への攻撃方法を報告する Schnorr 氏の関する解読について大きな進展はなかったものの、既存査読前論文に関連して、格子理論を用いた素因数分解の暗号アルゴリズムへの攻撃について、攻撃に必要なについての講 演が、PKC 2021 にて行われた。この計算量の削減等の進展があった。ここでは主な発表を

Schnorr 氏の攻撃方法は直ちに RSA の危殆化につな紹介する。

がらないことは、既に専門家の間で暗黙の了解として共※ 360

については、二つの暗号解析論文が注目有されているものの、格子による RSA の解析アプローチ

される。
一つ目は、
Eurocrypt 2021で、AES 鍵スケジュー自体は重要な研究であるため、今後も動向を注視すべ

ルに対する新しい表現とそれを活用した AES-128 に対

きである。

AES

する不能差分攻撃（impossible-differential attacks）のNIST による、量子計算機による解読に耐性を持つ改善を報告した。INDOCRYPT 2010 で報告された攻暗 号「 耐 量 子 計 算 機 暗 号（PQC：Post-Quantum

撃、及びその亜種が今までの最善の攻撃であったが、Cryptography）」 の 標 準 化 で は、NIST PQC 3rd

本提案手法はそれよりも約 2.3 倍計算量を改善している。

Standardization Conference ※ 364 において、NIST は

この論文は Eurocrypt 2021 Best paper award を受「格子に基づかない汎用的電子署名スキームに関心が賞した。二つ目は、同じくEurocrypt 2021 にて、AES-ある」とした上で、第 3 ラウンド終了後、新たな提案募

128 ハッシュモードの 8 段に対する最初の攻撃を報告し集を行う予定を明らかにした。応募期間は 6ヵ月から 1た。これは、攻撃探索問題を混合整数線形計画法に

年 の 予 定 であり、 特 に 構 造 付き格 子（structured

おける制約条件のもとでの最適化問題に変換すること

lattice）以外の汎用的電子署名スキームに興味を示してで、攻撃の探索範囲を拡大し、より攻撃に有効な経路いる。第 3 ラウンドにおけるセレクションは未だ継続中でを発見できることを利用している。このように、AES に対あり、更に続く第 4 ラウンドもまた 12 ～ 18ヵ月かけて行する攻撃は 2021 年度も進展は見られたが、セキュリティ

われる見 通しである。 最 終 的な標 準 化については、

マージンはまだ十分にあり、AES の安全性に直ちに影

2024 年に最終版を提出する予定であるという。

響を与えるものではない。
そ の 他 の 暗 号 に つ い ては、Eurocrypt 2021 で、（3）実装攻撃に関する研究動向

ARX（Addition, Rotation, and XOR）ベースの暗号に

暗号実装に対する攻撃には、消費電力や処理時間

対する差分線形解析の改良が発表された。ストリーム暗等のサイドチャネル情報から暗号鍵等の秘密情報の復※ 361

元を試みるサイドチャネル攻撃や、IC チップに一時的な号の一種である ChaCha

がこのタイプに属し、研5151

究結果として、時間計算量が 2 、データ計算量が 2

誤動作を起こさせることによって暗号鍵等の秘密情報のとなるラウンド数 6 の ChaCha に対する攻撃が発表され暴露を試みる故障利用攻撃等が存在する。

た。この結果は、CRYPTO 2020 で発表された今まで

CPU の脆弱性を利用した具体的な暗号実装に対す

77.4

最良の攻撃計算量（時間計算量 2 、データ計算量る攻撃として、RAS（Return Address Stack）
を利用したサイドチャネル攻撃が発表された※ 365。

58

よりも大きく削減され、攻撃が進展したことを示してい2 ）る。ただ、ChaCha20 のラウンド数 20 にはまだマージン

CPU には、処理速度を向上させるための様々な機構があり、早急な対策が必要となるものではない。

が実装されているが、その実装の脆弱性を突いた攻撃が近年注目されている。分岐予測※ 366 や投機的実行※ 367（2）公開鍵暗号に関する研究及び標準化の動向の実装の脆弱性を突いた攻撃として 2018 年ごろに発見

については、部された Spectre ※ 368 が有名である。最近の CPU には、分的に秘密鍵が分かっている場合の新規の素因数分解

分岐予測・投機的実行による処理速度向上を更に改善

公開鍵暗号の一種である RSA

※ 362

155

2

情報セキュリティを支える基盤の動向

2021 年度は、2020 年度に引き続き、共通鍵暗号に

第 章（1）共通鍵暗号に関する研究動向するために、サブルーチンからのリターン命令における戻のセキュリティには今後とも注視が必要である。

り先アドレスの予測機構も組み込まれ、そのためにリター

その他にも、ECDSA に対する攻撃として、テンプレー

ンアドレスを CPU 内のバッファに保存する RASという仕ト攻撃※ 371 の一種である Online Template Attack に組みも実装されている。今回発表された攻撃は、この関する論文※ 372 が発表されている。Online Template

RAS に注目し、悪意あるプロセスが RAS のバッファを

Attack は、テンプレート生成のための暗号演算の実行埋め尽くすことによってキャッシュミスを誘発し、タイミング

回数が少なくても実行できるように改良した攻撃である。

※ 369を行うことで秘密鍵の推測につなげるものであ以前の研究では理論的な攻撃可能性のみ検討されている。実際に OpenSSL による楕円曲線 P-256 を使用した

たが、 今 回 の 発 表 では 具 体 的な暗 号 実 装 である

攻撃

ECDSA

※ 370

の署名生成に対する攻撃が有効であるこlibgcrypt、mbedTLS、wolfTLS に対する適用可 能とも示している。この攻撃は CPU の様々な処理速度高性を示している。

速化手法が攻撃対象となり得ることを示しており、CPU156

情報セキュリティ白書

157

2

情報セキュリティを支える基盤の動向※ 29 2022 年 4 月の「第 7 回 産業サイバーセキュリティ研究会 事務局
説明資料」（https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/pdf/007_03_00.pdf〔2022/5/12 確認〕）では「6 つの処方箋」に増えた。
※ 30 CPSF の詳細については「情報セキュリティ白書 2020」の「2.1.2
（1）
（a）
WG1
（制度・技術・標準化）」（p.69）
を参照。
※ 31 経済産業省：ビルシステムにおけるサイバー・フィジカル・セキュリティ
対策ガイドライン第１版 https://www.meti.go.jp/shingikai/mono_
info_service/sangyo_cyber/wg_seido/wg_building/20190617_
report.html〔2022/5/12 確認〕※ 32 防衛省：防衛産業サイバーセキュリティ基準の強化について
https://www.mod.go.jp/atla/pinup/pinup040401.pdf〔2022/5/12
確認〕※ 33 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_denryoku/20210222_report.html〔2022/5/12 確認〕※ 34 https://www.jama.or.jp/operation/it/cyb_sec/docs/cyb_
sec_guideline_V02_00.pdf〔2022/5/12 確認〕※ 35 経済産業省：「スマートホームの安心・安全に向けたサイバー・フィ
ジカル・セキュリティ対策ガイドライン」
を策定しました https://www.meti.
go.jp/press/2021/04/20210401005/20210401005.html〔2022/5/12 確認〕※ 36 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/pdf/006_05_00.pdf〔2022/5/12 確認〕※ 37 https://www.meti.go.jp/policy/netsecurity/wg1/IoT-SSF_
ver1.0_UseCase.pdf〔2022/5/12 確認〕※ 38 経済産業省：協調的なデータ利活用に向けたデータマネジメント・フ
レームワークを策定しました https://www.meti.go.jp/press/2022/04/20220408005/20220408005.html〔2022/5/12 確認〕※ 39 経済産業省：オープンソースソフトウェアの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集を取りまとめました https://www.meti.go.jp/press/2021/04/20210421001/20210421001.
html〔2022/5/12 確認〕※ 40 経済産業省：サイバー・フィジカル・セキュリティ確保に向けたソフト
ウェア管理手法等検討タスクフォースの検討の方向性 https://www.
meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/
wg_bunyaodan/software/pdf/006_03_00.pdf〔2022/5/12 確認〕※ 41 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_keiei/pdf/007_03_00.pdf〔2022/5/12 確認〕※ 42 経済産業省：サイバーセキュリティ経営ガイドラインと支援ツール
https://www.meti.go.jp/policy/netsecurity/mng_guide.html〔2022/5/12 確認〕※ 43 IPA：プラクティス・ナビ https://www.ipa.go.jp/security/
economics/practice/〔2022/5/12 確認〕※ 44 経済産業省：サイバーセキュリティ経営ガイドライン Ver2.0 付録 F
サイバーセキュリティ体制構築・人材確保の手引き 第 1.1 版 https://www.meti.go.jp/policy/netsecurity/downloadfiles/tekibihontai1.1r.
pdf〔2022/5/12 確認〕※ 45 IPA：試行導入・導入実績公表の手引き https://www.ipa.go.
jp/files/000090566.pdf〔2022/5/12 確認〕※ 46 経済産業省：機器のサイバーセキュリティ確保のためのセキュリティ
検証の手引きを取りまとめました https://www.meti.go.jp/press/2021/04/20210419003/20210419003.html〔2022/5/12 確認〕※ 47 総務省・経済産業省：DX 時代における企業のプライバシーガバナ
ンスガイドブック ver1.2 https://www.meti.go.jp/policy/it_policy/
privacy/guidebook12.pdf〔2022/5/12 確認〕※ 48 経済産業省：重要技術マネジメント https://www.meti.go.jp/
policy/mono_info_service/mono/technology_management/index.
html〔2022/5/12 確認〕※ 49 株式会社三菱総合研究所：「産業競争力強化法に基づく技術情報管理認証制度の普及促進に向けた調査分析及び専門家派遣等事業」（経済産業省事業）において専門家の派遣を希望する事業者の公募のご案 内 に つ い て https://www.mri.co.jp/news/public_offering/20210805.html〔2022/5/12 確認〕※ 50 経済産業省：「情報セキュリティサービス基準第 2 版」及び「情報セキュリティサービスに関する審査登録機関基準第 2 版」を公表しました
https://www.meti.go.jp/press/2021/01/20220131003/202201
31003.html〔2022/5/17 確認〕※ 51 審査登録機関：「情報セキュリティサービスに関する審査登録機関基準」に適合するとIPA が確認した機関。なお、申請事業者が「情報セキュ
リティサービス基準」に適合するか否かの審査・判定は、各審査登録機関
がその責任において実施する。
※ 52 IPA：情報セキュリティサービス基準適合サービスリストの公開
https://www.ipa.go.jp/security/it-service/service_list.html〔2022/
5/17 確認〕第 章※ 1 https://www.nisc.go.jp/pdf/policy/kihon-s/cs-senryaku2021.
pdf〔2022/5/12 確認〕※ 2 サイバーセキュリティ戦略本部：サイバーセキュリティ2021（2020年度年次報告・2021 年度年次計画） https://www.nisc.go.jp/pdf/
policy/kihon-s/cs2021.pdf〔2022/5/12 確認〕※ 3 IPA：サイバーセキュリティ経営可視化ツール https://www.ipa.
go.jp/security/economics/checktool/index.html〔2022/5/12 確認〕※ 4 IPA：サイバーセキュリティ経営ガイドライン Ver 2.0 実践のためのプラクティス集 https://www.ipa.go.jp/security/fy30/reports/ciso/
index.html〔2022/5/12 確認〕※ 5 NISC：プラス・セキュリティ知識補充講座 カリキュラム例 https://security-portal.nisc.go.jp/dx/pdf/plussecurity_curriculum.pdf〔2022/5/12 確認〕※ 6 IPA：サイバーセキュリティお助け隊サービス制度 https://www.
ipa.go.jp/security/keihatsu/sme/otasuketai/index.html〔2022/
5/12 確認〕※ 7 NEDO：戦略的イノベーション創造プログラム（SIP）第 2 期／ IoT
社会に対応したサイバー・フィジカル・セキュリティ https://www.nedo.
go.jp/activities/ZZJP2_100123.html〔2022/5/12 確認〕※ 8 経済産業省：情報セキュリティサービス審査登録制度 https://www.meti.go.jp/policy/netsecurity/shinsatouroku/touroku.html〔2022/5/12 確認〕※ 9 https://security-portal.nisc.go.jp/〔2022/5/12 確認〕※ 10 総 務 省：インターネットトラブル事 例 集 https://www.soumu.
go.jp/use_the_internet_wisely/trouble/〔2022/5/12 確認〕※ 11 NISC：クラウドを利用したシステム運用に関するガイダンス（詳細版）
https://www.nisc.go.jp/pdf/policy/infra/cloud_guidance.pdf〔2022/5/12 確認〕※ 12 https://www.ismap.go.jp/csm?id=cloud_service_list〔2022/
5/12 確認〕※ 13 https://www.digital.go.jp/about/〔2022/5/12 確認〕※ 14 デジタル庁：マイナンバー制度及び国と地方のデジタル基盤抜本改
善ワーキンググループ の 開 催 について https://www.digital.go.jp/
assets/contents/node/basic_page/field_ref_resources/
658916e5-76ce-4d02-9377-1273577ffc88/20211021_meeting_my_number_wg_01.pdf〔2022/5/12 確認〕※ 15 https://www.nisc.go.jp/pdf/policy/general/kijyunr3.pdf〔2022/5/12 確認〕※ 16 https://www.nisc.go.jp/pdf/policy/general/guider3.pdf〔2022/5/12 確認〕※ 17 政府 CIO ポータル：ガバメント・クラウド先行事業（市町村の基幹業務システム）の公募及びガバメントクラウド先行事業（地方自治体のセキュ
リティシステム）の公募について【地方自治体職員対象】 https://cio.
go.jp/node/2778〔2022/5/12 確認〕※ 18 デジタル庁：ガバメントクラウド先行事業（市町村の基幹業務システ
ム等）の採択結果を公表しました https://www.digital.go.jp/news/
ZYzU5DYY/〔2022/5/12 確認〕※ 19 NISC：重要インフラのサイバーセキュリティに係る行動計画（案）
https://www.nisc.go.jp/pdf/policy/infra/pubcom_keikakuan.pdf〔2022/5/12 確認〕※ 20 https://www.nisc.go.jp/pdf/council/2020-meeting/2020meeting-saisyuhoukoku.pdf〔2022/5/12 確認〕※ 21 NISC：日・ASEAN 国 際サイバー演 習の開 催 https://www.
nisc.go.jp/pdf/press/international_asean_rcx_20210625_jp.pdf〔2022/5/12 確認〕※ 22 NISC：第 14 回 日・ASEAN サイバーセキュリティ政策会議の結果 https://www.nisc.go.jp/pdf/press/AMSJ_CPM_20211021_
r2.pdf〔2022/5/12 確認〕※ 23 サイバーセキュリティ戦略本部：サイバーセキュリティ研究開発戦略（改訂） https://www.nisc.go.jp/pdf/policy/kihon-1/kenkyu2021kettei.pdf〔2022/5/12 確認〕※ 24 NICT：プライバシー保護連合学習技術を活用した不正送金検知の実 証実 験を実 施 https://www.nict.go.jp/press/2022/03/10-1.html〔2022/5/12 確認〕※ 25 サイバーセキュリティ対策推進会議等：政府機関におけるデジタル
改革に必要なＩ
Ｔ・セキュリティ知識を有する人材の確保・育成総合強化
方 針 https://www.nisc.go.jp/pdf/policy/materials/jinzai_kyoka_
hoshin2021.pdf〔2022/5/12 確認〕※ 26 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/pdf/001_05_00.pdf〔2022/5/12 確認〕※ 27 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/pdf/002_03_00.pdf〔2022/5/12 確認〕※ 28 経済産業省：第 6 回 産業サイバーセキュリティ研究会 事務局説
明資料 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/pdf/006_03_00.pdf〔2022/5/12 確認〕2022

※ 53 SIG（Special Interest Group）：「特定の分野（各業界におけるサイバー攻撃に関する情報）について、情報を交換するグループ」という意味
で、J-CSIP では各業界の参加組織の集合体を SIG と呼んでいる。
※ 54 セプターカウンシル：各重要インフラ分野で整備されたセプターの代表で構成される協議会で、セプター間の情報共有等を行う、分野横断的な情報共有体制。
※ 55 https://www.ipa.go.jp/files/000098129.pdf〔2022/5/16 確認〕※ 56 「マルウェア」等の用語を混在して使用すると、読者を混乱させる可能性があるため、本白書では特に断りのない限り、または文献引用上の正確性を期す必要のない限り、総称して「ウイルス」と表現する。
※ 57 IPA：サイバー情報共有イニシアティブ（J-CSIP）運用状況［2021年 10 月～ 12 月］ https://www.ipa.go.jp/files/000095766.pdf〔2022/5/16 確認〕※ 58 IPA：サイバーレスキュー隊 J-CRAT（ジェイ・クラート） https://www.ipa.go.jp/security/J-CRAT/index.html〔2022/5/16 確認〕
IPA：J-CRAT ／標的型サイバー攻撃特別相談窓口 https://www.ipa.
go.jp/security/tokubetsu/index.html〔2022/5/16 確認〕※ 59 https://www.ipa.go.jp/security/J-CRAT/index.html〔2022/
5/16 確認〕※ 60 https://www.soumu.go.jp/main_content/000698567.pdf〔2022/5/16 確認〕※ 61 https://www.soumu.go.jp/main_content/000761893.pdf〔2022/5/16 確認〕※ 62 https://warp.ndl.go.jp/info:ndljp/pid/11688280/www.kantei.
go.jp/jp/singi/it2/dgov/201225/siryou1.pdf〔2022/5/16 確認〕※ 63 https://www.nisc.go.jp/pdf/council/cs/dai17/17shiryou02.
pdf〔2022/5/16 確認〕※ 64 新経済連盟：電気通信事業法の改正の方向性に対する懸念について https://jane.or.jp/proposal/pressrelease/15987.html〔2022/
5/16 確認〕
一般社団法人日本経済団体連合会：総務省『電気通信事業ガバナンス
検討会報告書（案）』に対する意見 https://www.keidanren.or.jp/
policy/2022/012.html〔2022/5/16 確認〕※ 65 総務省：「電気通信事業ガバナンス検討会 報告書」及び意見募
集の結 果の公 表 https://www.soumu.go.jp/menu_news/s-news/
01kiban05_02000237.html〔2022/5/16 確認〕※ 66 総務省：IP ネットワーク設備委員会 https://www.soumu.go.jp/
main_sosiki/joho_tsusin/policyreports/joho_tsusin/ipnet/ipnet.html〔2022/5/16 確認〕※ 67 OODA：Observe, Orient, Decide, Act の略。
※ 68 総務省：情報通信審議会 情報通信技術分科会ＩＰネットワーク設
備委員会第五次報告（案）～ IoT の普及に対応した電気通信設備に係る技 術 的 条 件 ～ https://www.soumu.go.jp/main_content/
000759203.pdf〔2022/5/16 確認〕※ 69 総務省：情報通信審議会 情報通信技術分科会 IP ネットワーク設
備委員会 第五次報告（案）に対する意見募集の結果 https://www.
soumu.go.jp/menu_news/s-news/01kiban05_02000228.html〔2022/5/16 確認〕※ 70 総務省：電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会 第四次とりまとめ（案）についての意見募集
https://www.soumu.go.jp/menu_news/s-news/01kiban18_
01000130.html〔2022/5/16 確認〕※ 71 総務省：「電気通信事業におけるサイバー攻撃への適正な対処の在り方に関する研究会 第四次とりまとめ」及び意見募集の結果の公表
https://www.soumu.go.jp/menu_news/s-news/01kiban18_
01000134.html〔2022/5/16 確認〕※ 72 e-GOV 法令検索：特定高度情報通信技術活用システムの開発
供 給 及び 導 入 の 促 進に関する法 律 https://elaws.e-gov.go.jp/
document?lawid=502AC0000000037〔2022/5/16 確認〕※ 73 総 務 省：令 和 4 年 度 税 制 改 正 要 望 の 結 果 https://www.
soumu.go.jp/menu_news/s-news/01kanbo05_02000157.html〔2022/5/16 確認〕※ 74 O-RAN：https://www.o-ran.org〔2022/5/16 確認〕※ 75 総務省：2.3GHz 帯における第 5 世代移動通信システムの普及のための周波数の割当てに関する意見募集 https://www.soumu.go.jp/
menu_news/s-news/01kiban14_02000525.html〔2022/5/16 確認〕※ 76 ICT-ISAC JAPAN：ローカル 5G セキュリティ対策に関するアンケー
ト結 果（ 概 要 版 ）の公 開について https://www.ict-isac.jp/news/
news20210315.html〔2022/5/16 確認〕※ 77 総務省：テレワークセキュリティガイドライン 第５版 https://www.
soumu.go.jp/main_content/000752925.pdf〔2022/5/16 確認〕※ 78 総務省：中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト） 第２版 https://www.soumu.go.jp/main_content/
000753141.pdf〔2022/5/16 確認〕※ 79 株式会社東京商工リサーチ：「テレワークセキュリティに係る実態調査 調 査 報 告 書 」 https://www.soumu.go.jp/main_content/
000811682.pdf〔2022/5/16 確認〕※ 80 総務省：プラットフォームサービスに関する研究会最終報告書
https://www.soumu.go.jp/main_content/000668595.pdf〔2022/
5/16 確認〕※ 81 総 務 省：タイムスタンプについて https://www.soumu.go.jp/
main_sosiki/joho_tsusin/top/ninshou-law/timestamp.html〔2022/
5/16 確認〕※ 82 総務省：組織が発行するデータの信頼性を確保する制度に関する検討会取りまとめ（案）及び e シールに係る指針（案）に対する意見募集の結 果 https://www.soumu.go.jp/menu_news/s-news/01cyber01_
02000001_00114.html〔2022/5/16 確認〕※ 83 総務省・法務省・経済産業省：利用者の指示に基づきサービス提供事業者自身の署名鍵により 暗号化等を行う電子契約サービスに関するQ&A https://www.soumu.go.jp/main_content/000697715.pdf〔2022/5/16 確認〕※ 84 総務省・法務省・経済産業省：利用者の指示に基づきサービス提供事業者自身の署名鍵により暗号化等を行う電子契約サービスに関するQ&A（ 電 子 署 名 法 第３条 関 係 ） https://www.soumu.go.jp/main_content/000705576.pdf〔2022/5/16 確認〕※ 85 総務省：電気通信事業法に基づく端末機器の基準認証に関するガ
イドライン（ 第２版 ） https://www.soumu.go.jp/main_content/
000705080.pdf〔2022/5/16 確認〕※ 86 CCDS：サーティフィケーションプログラムにおけるセキュリティ要件
https://www.ccds.or.jp/certification/requirements.html〔2022/
5/16 確認〕※ 87 CCDS：プログラム概要 https://www.ccds.or.jp/certification/index.html〔2022/5/16 確認〕※ 88 CCDS：2021.10.15 [CCDS] 現金自動預け払い機 (ATM) 関連
システムの物理・サイバー攻撃対策に関する CCDS サーティフィケーション
プログラムの 運 用 開 始 https://www.ccds.or.jp/event/2021/
20211015/20211015.html〔2022/5/16 確認〕※ 89 総務省・NICT：IoT 機器調査及び利用者への注意喚起の取組「NOTICE」 の 実 施 https://www.soumu.go.jp/menu_news/snews/01cyber01_02000001_00011.html〔2022/5/16 確認〕※ 90 総務省：情報通信ネットワークの安全性・信頼性の確保に係るサイバーセキュリティ対策の現状と課題 https://www.soumu.go.jp/main_content/000812244.pdf〔2022/5/16 確認〕※ 91 NICT：サイバー攻撃に悪用されるおそれのある IoT 機器の調査等（NOTICE）の取組内容の変更について https://notice.go.jp/news/
topic/news20220121〔2022/5/16 確認〕※ 92 NICT：NICTER 観測レポート 2021 https://www.nict.go.jp/〔2022/5/16 確認〕
cyber/report/NICTER_report_2021.pdf※ 93 総務省：「クラウドサービス提供における情報セキュリティ対策ガイド
ライン（第 3 版）」（案）
に対する意見募集の結果及び「クラウドサービス提供
における情報セキュリティ対策ガイドライン（第 3 版）」の公表 https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_
00121.html〔2022/5/16 確認〕※ 94 https://www.soumu.go.jp/main_content/000757799.pdf〔2022/5/16 確認〕※ 95 https://www.soumu.go.jp/main_content/000757800.pdf〔2022/5/16 確認〕※ 96 総務省：日仏 ICT 政策協議（第 21 回）の結果 https://www.
soumu.go.jp/menu_news/s-news/01tsushin08_02000120.html〔2022/5/16 確認〕※ 97 総 務 省：日 EU・ICT 政 策 対 話（ 第 27 回 ）の結 果 https://www.soumu.go.jp/menu_news/s-news/01tsushin08_02000128.
html〔2022/5/16 確認〕※ 98 総務省：日独 ICT 政策対話（第 6 回）の結果 https://www.
soumu.go.jp/menu_news/s-news/01tsushin08_02000130.html〔2022/5/16 確認〕※ 99 NICT：サイバーセキュリティネクサス https://www.nict.go.jp/
cynex/〔2022/5/16 確認〕※ 100 NICT：サイバーセキュリティ演習基盤 CYROP のオープン化トライ
アルを開 始 https://www.nict.go.jp/press/2022/02/03-1.html〔2022/5/16 確認〕※ 101 総務省：地方公共団体における情報セキュリティポリシーに関する
ガイドラインの改定等に係る検討会 https://www.soumu.go.jp/main_sosiki/kenkyu/chiho_security_r03/index.html〔2022/5/16 確認〕※ 102 総務省：
「地方公共団体における情報セキュリティポリシーに関するガイドライン」等の公表及び意見募集の結果 https://www.soumu.
go.jp/menu_news/s-news/01gyosei07_02000128.html〔2022/
5/16 確認〕※ 103 総務省：
「地方公共団体における情報セキュリティポリシーに関するガイドライン」改定のポイントについて（案）」 https://www.soumu.

158情報セキュリティ白書

159

2

情報セキュリティを支える基盤の動向

cybersecurity/pdf/20211217_2.pdf〔2022/5/10 確認〕※ 127 警察庁：警察法の一部を改正する法律案要綱 https://www.
npa.go.jp/laws/kokkai/220128/01_youkou.pdf〔2022/5/10 確認〕※ 128 JC3：総務省を騙った特別定額給付金に関するフィッシングに注意
https://www.jc3.or.jp/threats/topics/article-42.html〔2022/
5/10 確認〕※ 129 警察庁：警察活動の回顧と展望 https://www.npa.go.jp/
bureau/soumu/tenbou/kaikototenbou.pdf〔2022/5/10 確認〕※ 130 JC3：フィッシングターゲットの変遷 https://www.jc3.or.jp/
threats/topics/article-430.html〔2022/5/10 確認〕※ 131 警察庁：サイバー攻撃に対する技術的対応 https://www.npa.
go.jp/joutuu/012.htm〔2022/5/10 確認〕※ 132 警 察 庁：令 和 3 年 の 犯 罪 情 勢 https://www.npa.go.jp/
publications/statistics/crime/situation/r3_hanzaijyousei.pdf〔2022/5/10 確認〕※ 133 警察庁：犯罪インフラ化するＳＭＳ認証代行への対策について
https://www.npa.go.jp/cyber/policy/pdf/R030422_SMStaisaku.pdf〔2022/5/10 確認〕※ 134 警 察 庁：令 和 2 年 の 犯 罪 情 勢 https://www.npa.go.jp/
publications/statistics/crime/situation/r2_report_c.pdf〔2022/
5/10 確認〕※ 135 正式名称は「電子政府における調達のために参照すべき暗号のリスト（CRYPTREC 暗 号リスト）」（https://www.cryptrec.go.jp/list/
cryptrec-ls-0001-2012r6.pdf〔2022/4/21 確認〕）。現在は、「電子政府推奨暗号リスト」「推奨候補暗号リスト」「運用監視暗号リスト」の三つのリストから構成される。
※ 136 https://www.ipa.go.jp/security/ipg/documents/ipa-cryptrecgl-3002-1.0.pdf〔2022/4/21 確認〕※ 137 EdDSA（Edwards-curve Digital Signature Algorithm）：楕円曲線の一種であるエドワーズ曲線を用いたデジタル署名アルゴリズム。
※ 138 NIST Lightweight Cryptography コンペティションファイナリスト：
NIST が 主 催 する軽 量 暗 号コンペティション（NIST：Lightweight
Cryptography https://csrc.nist.gov/Projects/lightweightcryptography〔2022/4/21 確認〕）の最終選考に残ったアルゴリズム。
※ 139 CRYPTREC：2021 年度 第１回 暗号技術検討会 https://www.cryptrec.go.jp/report/cryptrec-mt-1011-2021.pdf〔2022/
4/21 確認〕
上記に含まれる「配付資料３－４ 2021 年度暗号技術調査 WG（耐量子
計算機暗号）
活動報告」
を参照。
※ 140 外 務 省：G7 コーンウォール・サミット（ 概 要 ） https://www.
mofa.go.jp/mofaj/ecm/ec/page4_005342.html〔2022/5/11 確認〕※ 141 外 務 省：2021 年 開かれた社 会 声 明 https://www.mofa.go.
jp/mofaj/files/100200087.pdf〔2022/5/11 確認〕※ 142 外務省：G7 首脳テレビ会議 https://www.mofa.go.jp/mofaj/
ecm/ec/page6_000665.html〔2022/5/11 確認〕※ 143 外務省：G7 首脳声明 https://www.mofa.go.jp/mofaj/ecm/
ec/page4_005524.html〔2022/5/11 確認〕※ 144 外務省：G7 首脳会合 https://www.mofa.go.jp/mofaj/ecm/
ec/page6_000680.html〔2022/5/11 確認〕※ 145 首相官邸：ロシアによるウクライナ侵略を踏まえた対応について
https://www.kantei.go.jp/jp/headline/ukraine2022/index.html〔2022/5/23 確認〕※ 146 NISC：東京大会におけるサイバーセキュリティ対策と今後の取組方
針 https://www.nisc.go.jp/pdf/policy/2020/Tokyo2020houkoku.
pdf〔2022/5/11 確認〕※ 147 日本電信電話株式会社：東京 2020 オリンピック・パラリンピック
競 技 大 会における NTT の貢 献 https://group.ntt/jp/newsrelease/2021/10/21/211021a.html〔2022/5/11 確認〕※ 148 外務省：2020 年東京オリンピック・パラリンピック競技大会に向けた外 務 省の取り組み https://www.mofa.go.jp/mofaj/p_pd/ep/
page24_000800.html#section10〔2022/5/11 確認〕※ 149 外務省：第 2 回日米豪印首脳会合 https://www.mofa.go.jp/
mofaj/fp/nsp/page4_005424.html〔2022/5/11 確認〕※ 150 外務省：サイバーセキュリティに関する国連政府専門家会合最終
会合における報告書の採択 https://www.mofa.go.jp/mofaj/press/
release/press24_000114.html〔2022/5/11 確認〕※ 151 外務省 : サイバー行動に適用される国際法に関する日本政府の基本的な立場について https://www.mofa.go.jp/mofaj/gaiko/page3_003059.html〔2022/5/11 確認〕※ 152 外務省：第 6 回日英サイバー協議の開催 https://www.mofa.
go.jp/mofaj/press/release/press3_000511.html〔2022/5/11 確認〕※ 153 外務省：第 4 回日エストニア・サイバー協議の開催 https://www.mofa.go.jp/mofaj/erp/we/page24_001587.html〔2022/5/11
確認〕※ 154 外務省：日米安全保障協議委員会（日米「2 ＋ 2」）
（結果）

第 章

go.jp/main_content/000785574.pdf〔2022/5/16 確認〕※ 104 閣議決定：デジタル社会の形成に関する重点計画・情報システム
整備計画・官民データ活用推進基本計画について https://cio.go.jp/
sites/default/files/uploads/documents/digital/20211224_
policies_priority_package.pdf〔2022/5/16 確認〕
デジタル庁：デジタル社 会の実 現に向けた重 点 計 画 https://www.
digital.go.jp/policies/priority-policy-program〔2022/5/16 確認〕※ 105 デジタル庁：地方自治体によるガバメントクラウドの活用について（ 案 ） https://cio.go.jp/sites/default/files/uploads/documents/
digital/20211224_local_governments_02.pdf〔2022/5/16 確認〕※ 106 内閣官房：ガバメントクラウド先行事業（セキュリティシステム）公募
要 項 https://cio.go.jp/sites/default/files/uploads/documents/
koubosecurity20210604.pdf〔2022/5/16 確認〕※ 107 内閣官房：地方自治体によるガバメントクラウドの活用（先行事業）について https://cio.go.jp/sites/default/files/uploads/documents/
senkoujigyougaiyou20210831.pdf〔2022/5/16 確認〕※ 108 デジタル庁：ガバメントクラウド先行事業（市町村の基幹業務システ
ム等）の採択結果を公表しました https://www.digital.go.jp/posts/
ZYzU5DYY〔2022/5/16 確認〕※ 109 総務省：無線 LAN（Wi-Fi）の安全な利用（セキュリティ確保）について https://www.soumu.go.jp/main_sosiki/cybersecurity/wi-fi/〔2022/5/16 確認〕※ 110 総務省：無線 LAN のセキュリティ対策に係るオンライン講座の開
講 https://www.soumu.go.jp/menu_news/s-news/01cyber01_
02000001_00127.html〔2022/5/16 確認〕※ 111 e-Gov 法令検索：不正アクセス行為の禁止等に関する法律
https://elaws.e-gov.go.jp/document?lawid=411AC0000000128〔2022/5/16 確認〕※ 112 総務省：不正アクセス行為の発生状況及びアクセス制御機能に関する技 術 の 研 究 開 発 の 状 況 https://www.soumu.go.jp/menu_
news/s-news/01cyber01_02000001_00128.html〔2022/5/16 確認〕※ 113 https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/telecom_perinfo_guideline_intro.html〔2022/5/16 確認〕※ 114 警察庁：サイバーセキュリティ戦略の改定について（依命通達）
https://www.npa.go.jp/cybersecurity/pdf/300906_senryaku.pdf〔2022/5/10 確認〕※ 115 警察庁：サイバーセキュリティ重点施策の改定について（通達）https://www.npa.go.jp/cybersecurity/pdf/300906_juutensesaku.
pdf〔2022/5/10 確認〕※ 116 https://www.npa.go.jp/publications/statistics/cybersecurity/
data/R03_kami_cyber_jousei.pdf〔2022/5/10 確認〕※ 117 https://www.npa.go.jp/publications/statistics/cybersecurity/
data/R03_cyber_jousei.pdf〔2022/5/10 確認〕※ 118 警察庁：企業の皆様へ サイバー犯罪の被害は警察へ通報を！
https://www.npa.go.jp/cyber/ransom/pdf/leaflet.pdf〔2022/5/10
確認〕
警察庁：ランサムウェア被害防止対策 https://www.npa.go.jp/cyber/ransom/index.html〔2022/5/10 確認〕※ 119 一般社団法人日本損害保険協会：多様化するリスクとサイバー保険 https://www.sonpo.or.jp/cyber-hoken/risk/〔2022/5/10 確認〕※ 120 警察庁：不正アクセス行為対策等の実態調査 アクセス制御機能に関する技術の研究開発の状況等に関する調査 調査報告書 https://www.npa.go.jp/cyber/research/r3/R3countermeasures.pdf〔2022/
5/10 確認〕※ 121 警察庁：令和 3 年版警察白書（特集 2 サイバー空間の安全の確保） https://www.npa.go.jp/hakusyo/r03/pdf/03_tokushu02.pdf〔2022/5/10 確認〕※ 122 外務省：中国政府を背景に持つ APT40 といわれるサイバー攻撃
グループによるサイバー攻撃等について（外務報道官談話） https://www.mofa.go.jp/mofaj/press/danwa/page6_000583.html〔2022/
5/10 確認〕※ 123 NISC・警察庁：中国政府を背景に持つ APT40 といわれるサイバー
攻撃グループによるサイバー攻撃等について（注意喚起） https://www.
npa.go.jp/cybersecurity/pdf/20210719pr.pdf〔2022/5/10 確認〕※ 124 警察庁：治安の回顧と展望（令和３年版） https://www.npa.
go.jp/bureau/security/publications/kaiko_to_tenbou/R3/kaitenR3.
pdf〔2022/5/10 確認〕※ 125 サイバーセキュリティ政策会議：サイバー空間の脅威への対処について法学・技術系学者、弁護士、Ｉ
Ｔベンダー、日本サイバー犯罪対策センター等多様な分野の有識者による検討を行うサイバーセキュリティ・情報化審議官主催の私的懇談会。
警 察 庁：サイバーセキュリティ政 策 会 議 https://www.npa.go.jp/
cybersecurity/CS.html〔2022/5/10 確認〕※ 126 サイバーセキュリティ政策会議：実空間とサイバー空間とが融合したデジタル 社 会 の 安 全・ 安 心 の 確 保 https://www.npa.go.jp/

2022

https://www.mofa.go.jp/mofaj/na/st/page1_000942.html〔2022/5/11 確認〕※ 155 外務省：日米安全保障協議委員会（日米「2 ＋ 2」）（概要）
https://www.mofa.go.jp/mofaj/na/st/page4_005483.html〔2022/
5/11 確認〕※ 156 外務省：日米首脳会談 https://www.mofa.go.jp/mofaj/na/
na1/us/page1_000951.html〔2022/5/11 確認〕※ 157 外 務 省：日米 首 脳テレビ会 談 https://www.mofa.go.jp/
mofaj/na/na1/page1_001086.html〔2022/5/11 確認〕※ 158 外務省：第 27 回日 EU 定期首脳協議（概要） https://www.
mofa.go.jp/mofaj/erp/ep/page6_000563.html〔2022/5/11 確認〕※ 159 外 務 省：第 24 回日 ASEAN 首 脳 会 議 https://www.mofa.
go.jp/mofaj/area/asean/page3_003142.html〔2022/5/11 確認〕※ 160 http://aseanregionalforum.asean.org/〔2022/5/11 確認〕※ 161 外務省：サイバーセキュリティに関する第 3 回 ARF 会期間会合の開催（結果） https://www.mofa.go.jp/mofaj/press/release/press1_000518.html〔2022/5/11 確認〕※ 162 経済産業省：第 14 回 日・ASEAN サイバーセキュリティ政策会
議を開催しました https://www.meti.go.jp/press/2021/10/202110
22006/20211022006.html〔2022/5/11 確認〕※ 163 経産省：
「インド太平洋地域向け日米 EU 産業制御システムサイ
バーセキュリティウィーク」
を実施しました https://www.meti.go.jp/press/2021/11/20211101001/20211101001.html〔2022/5/11 確認〕※ 164 T h e M I T R E C o r p o r a t i o n（ h t t p s : / / w w w . m i t r e . o r g /〔2022/5/11 確認〕）は 1958 年創立の非営利民間企業で、米国連邦
政府機関の出資を受けた研究開発、及び成果の民間移転を推進している。
※ 165 サイバーセキュリティ国際シンポジウム事務局：第 11 回サイバーセ
キュリティ国 際 シン ポジウ ム https://symp.cysec-lab.keio.ac.jp/
2021oct/index-j.html〔2022/5/11 確認〕※ 166 株式会社日本経済新聞社・株式会社日経ビーピー：サイバー・イ
ニ シ ア チ ブ 東 京 2021 https://project.nikkeibp.co.jp/event/2021z1129cit/〔2022/5/11 確認〕※ 167 Australian Government：Launch of Australia’s International
Cyber and Critical Technology Engagement Strategy https://www.internationalcybertech.gov.au/launch-of-australias〔2022/5/10 確認〕
international-cyber-critical-tech-strategy※ 168 DPMC：New Zealand's Cyber Security Emergency
Response Plan https://dpmc.govt.nz/publications/new-zealands〔2022/5/10 確認〕
cyber-security-emergency-response-plan※ 169 CSA：The Singapore Cybersecurity Strategy 2021
https://www.csa.gov.sg/sgcybersecuritystrategy2021〔2022/
5/10 確認〕※ 170 APNIC：How can organizations support cybersecurity in
the Pacific? https://blog.apnic.net/2021/07/29/how-can〔2022/5/10 確認〕
organizations-support-cybersecurity-in-the-pacific/※ 171 PaCSON：Annual Report 2020 https://pacson.org/sites/
default/files/2021-12/PaCSON%202020%20Annual%20report.
pdf〔2022/5/10 確認〕※ 172 Ministry of Digital Economy and Society：https://www.
mdes.go.th/news/detail/4583〔2022/5/10 確認〕
上記では、Web ページのタイトルがタイ語のため省略している。
※ 173 National News Bureau of Thailand：Thailand’s Cyber Security
Agency Will Develop Security Skills in 7 Sectors https://thainews.
prd.go.th/en/news/detail/TCATG210917142334222〔2022/5/
10 確認〕※ 174 https://www.apcert.org/〔2022/5/10 確認〕※ 175 APCERT：TSUBAME Working Group https://www.apcert.
org/about/structure/tsubame-wg/index.html〔2022/5/10 確認〕※ 176 APCERT：APCERT CYBER DRILL 2021“SUPPLY CHAINATTACK THROUGH SPEAR-PHISHING - BEWARE OF WORKINGFROM HOME -” https://www.apcert.org/documents/pdf/
APCERT_Drill2021_Press%20Release.pdf〔2022/5/10 確認〕※ 177 APCERT：Documents https://www.apcert.org/documents/
index.html〔2022/5/10 確認〕※ 178 https://www.cybersecurity.my/en/index.html〔2022/5/10
確認〕※ 179 https://www.cert.org.cn/publish/english/index.html〔2022/
5/10 確認〕※ 180 (ISC)²：(ISC)² Cybersecurity Workforce Study Sheds New
Light on Global Talent Demand Amid a Lingering Pandemic
https://www.isc2.org/News-and-Events/Press-Room/Posts/
2021/10/26/ISC2-Cybersecurity-Workforce-Study-Sheds-NewLight-on-Global-Talent-Demand〔2022/5/12 確認〕※ 181 https://www.nri-secure.co.jp/download/insight2021-report〔2022/5/12 確認〕※ 182 Gartner, Inc.：The Rise of Business Technologists https://www.gartner.com/en/articles/the-rise-of-business-technologists〔2022/5/12 確認〕※ 183 https://www.meti.go.jp/press/2021/04/20210426002/2
0210426002-1.pdf〔2022/5/12 確認〕※ 184 業務によりセキュリティ関連のタスクの占める割合は様々と考えられる。
※ 185 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_
cyber/pdf/007_03_00.pdf〔2022/5/12 確認〕※ 186 NISC：プラス・セキュリティ知識 https://security-portal.nisc.
go.jp/dx/plussecurity.html〔2022/5/12 確認〕※ 187 https://www.meti.go.jp/shingikai/mono_info_service/
digital_jinzai/pdf/005_03_01.pdf〔2022/5/12 確認〕※ 188 経済産業省：デジタル人材育成プラットフォーム「マナビ DX」を開設しました！ https://www.meti.go.jp/press/2021/03/2022032900
2/20220329002.html〔2022/5/12 確認〕※ 189 https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_keiei/pdf/008_03_00.pdf〔2022/5/12 確認〕※ 190 重要インフラ：他に代替することが著しく困難なサービスを提供する事業が形成する国民生活及び社会経済活動の基盤であり、その機能が停止、低下又は利用不可能な状態に陥った場合に、我が国の国民生活又は社会経済活動に多大なる影響を及ぼすおそれが生じるもので、重要イ
ンフラ分野として指定する分野。具体的には、「情報通信」
「金融」
「航空」
「空港」
「鉄道」
「電力」
「ガス」
「政府・行政サービス（地方公共団体を含む）
」
「医療」
「水道」
「物流」
「化学」
「クレジット」及び「石油」の 14 分野。
NISC：重要インフラの情報セキュリティ対策に係る第４次行動計画
https://www.nisc.go.jp/pdf/policy/infra/infra_rt4.pdf〔2022/5/10
確認〕※ 191 IPA：
「インド太平洋地域向け日米 EU 産業制御システムサイバー
セキュリティウィーク」を実施しました https://www.ipa.go.jp/icscoe/
news_all/news20211101.html〔2022/5/10 確認〕※ 192 IPA：中核人材育成プログラム修了者コミュニティ「叶会（かなえかい）」 https://www.ipa.go.jp/icscoe/program/core_human_resource/
icscoe_alumni.html〔2022/5/10 確認〕※ 193 IPA：情報処理安全確保支援士（登録セキスペ）になるには
https://www.ipa.go.jp/siensi/toberiss/index.html〔2022/5/10 確認〕※ 194 IPA：責 任 者 向けプログラム サイバー危 機 対 応 机 上 演 習（CyberCREST） https://www.ipa.go.jp/icscoe/program/short/all_industries/2021.html〔2022/5/10 確認〕※ 195 IPA：責任者向けプログラム 業界別サイバーレジリエンス強化演習（CyberREX） https://www.ipa.go.jp/icscoe/program/short/specific_industries/2021.html〔2022/5/10 確認〕※ 196 IPA：戦 略マネジメント系セミナー https://www.ipa.go.jp/
icscoe/program/middle/strategic_management/2021.html〔2022/
5/10 確認〕※ 197 IPA：実務者向けプログラム 制御システム向けサイバーセキュリティ
演 習 https://www.ipa.go.jp/icscoe/program/short/icssec/2021.
html〔2022/5/10 確認〕※ 198 IPA：実務者向けプログラム ERAB サイバーセキュリティ
トレーニ
ング https://www.ipa.go.jp/icscoe/program/short/erab/2021.html〔2022/5/10 確認〕※ 199 https://www.meti.go.jp/press/2019/12/20191227004/2
0191227004-1.pdf〔2022/5/10 確認〕※ 200 CBT（Computer Based Testing）
方式：試験会場に設置されたコ
ンピュータを利用して実施する試験方式のこと。受験者はコンピュータに表示された試験問題に対して、マウスやキーボードを用いて解答する。
※ 201 IPA：情報処理技術者試験 情報処理安全確保支援士試験 統計
資料 令和 3 年度試験 全試験区分版 https://www.jitec.ipa.go.jp/
1_07toukei/toukei_r03.pdf〔2022/5/17 確認〕※ 202 IPA：国家資格「情報処理安全確保支援士」2022 年 4 月 1 日
付 登 録 者 1,016 名 の 内 訳を公 開しました https://www.ipa.go.jp/
siensi/data/20220401newriss.html〔2022/5/17 確認〕※ 203 IPA：情報処理安全確保支援士（登録セキスペ）の受講する講習について https://www.ipa.go.jp/siensi/lecture/index.html〔2022/
5/17 確認〕※ 204 経済産業省：情報処理安全確保支援士特定講習 https://www.
meti.go.jp/policy/it_policy/jinzai/tokutei.html〔2022/5/17 確認〕※ 205 IPA：セキュリティ・キャンプ全国大会 2022 オンライン 前回レポー
ト https://www.ipa.go.jp/jinzai/camp/2022/zenkoku2022_
report.html〔2022/5/12 確認〕※ 206 IPA：セキュリティ・ネクストキャンプ 2021 オンライン 応募要項
https://www.ipa.go.jp/jinzai/camp/2021/next2021_vote.html〔2022/5/12 確認〕※ 207 一般社団法人セキュリティ・キャンプ協議会事務局：セキュリティ・
ミニキャンプ オンライン 2021 https://www.security-camp.or.jp/160

情報セキュリティ白書

161

2

情報セキュリティを支える基盤の動向

る実態調査」について https://www.ipa.go.jp/security/fy2021/
reports/sme/index.html〔2022/5/17 確認〕※ 234 IPA：サイバーセキュリティお助け隊（令和 2 年度中小企業向けサイバーセキュリティ対策支援体制構築事業）の報告書について https://www.ipa.go.jp/security/fy2020/reports/sme/otasuketai_houkoku.
html〔2022/5/17 確認〕※ 235 https://www.ipa.go.jp/security/sc3/〔2022/5/17 確認〕※ 236 https://www.ipa.go.jp/security/sc3/about/〔2022/5/17 確認〕※ 237 https://www.ipa.go.jp/files/000092713.pdf〔2022/5/17
確認〕※ 238 https://www.ipa.go.jp/security/security-action/〔2022/5/17
確認〕※ 239 https://www.tokyo-cci.or.jp/hajimete-it/security/〔2022/
5/17 確認〕※ 240 https://www.tokyo-cci.or.jp/page.jsp?id=1025418〔2022/
5/17 確認〕〔2022/5/17 確認〕※ 241 https://school-security.jp/pdf/2020.pdf※ 242 1 件の事故で複数の経路・媒体から漏えいした場合は、それぞれの経路・媒体に含まれていた個人情報漏えい人数を合算している。
※ 243 https://www.mext.go.jp/content/20220303-mxt_shuukyo01100003157_005.pdf〔2022/5/17 確認〕※ 244 文 部 科 学 省：GIGA スクール構 想の実 現へ https://www.
mext.go.jp/content/20200625-mxt_syoto01-000003278_1.pdf〔2022/5/17 確認〕※ 245 内閣府：GIGA スクール構想の実現ロードマップ https://www5.
cao.go.jp/keizai-shimon/kaigi/special/reform/committee/
20200323/shiryou3_1_1.pdf〔2022/5/17 確認〕※ 246 文部科学省：GIGA スクール構想の実現 https://www.mext.
go.jp/content/20210118-mxt_jogai01-000011648_001.pdf〔2022/5/17 確認〕
文 部 科 学 省：令 和 2 年 度 第 3 次 補 正 予 算 案 への 対 応について
https://www.mext.go.jp/content/000091784.pdf〔2022/5/17 確認〕※ 247 文部科学省：「教育情報セキュリティポリシーガイドライン」の第 2
回 改 訂に関する説 明 資 料 令 和 3 年５月改 訂 https://www.mext.
go.jp/content/20210528-mxt_jogai02-000011648_001.pdf〔2022/5/17 確認〕※ 248 https://www.mext.go.jp/content/20210630-mxt_jogai02000011648_052.pdf〔2022/5/17 確認〕※ 249 ローカルブレイクアウト：WAN のトラフィック負荷軽減のために各拠点のルータなどが特定クラウドサービスについて拠点間の回線網を迂回して直接インターネットへアクセスさせる仕組み。
※ 250 デジタル庁：「デジタル社会の実現に向けた重点計画」
が閣議決定されました 公開日 : 2021 年 12 月 24 日 https://www.digital.go.jp/
posts/79b7ZMv1〔2022/5/17 確認〕※ 251 文部科学省：教育情報セキュリティポリシーに関するガイドライン（令和 4 年 3 月） https://www.mext.go.jp/content/20220304-mxt_
shuukyo01-100003157_1.pdf〔2022/5/17 確認〕※ 252 h t t p s : / / w w w . m e x t . g o . j p / c o n t e n t / 2 0 2 2 0 3 0 3 - m x t _shuukyo01-100003157_003.pdf〔2022/5/17 確認〕※ 253 リスクベース認証：システムへの接続において場所や時間等が通常と異なる場合等に ID・パスワードだけでなく追加の認証を行う方式。
※ 254 ふるまい検知：通信内容等の監視対象の「動き」を分析し、異常、あるいは不審な挙動を検知する仕組み。
※ 255 https://www.soumu.go.jp/main_content/000762715.pdf〔2022/5/17 確認〕※ 256 総務省：地方自治情報管理概要～電子自治体の推進状況（令和元年度）～ https://www.soumu.go.jp/main_content/000768078.
pdf〔2022/5/17 確認〕※ 257 IPA：
「2021 年度情報セキュリティに対する意識調査【倫理編】【脅
威 編 】」 報 告 書 https://www.ipa.go.jp/security/economics/
ishikichousa2021.html〔2022/5/17 確認〕※ 258 2020 年度調査まではスマートデバイス（タブレット及びスマートフォン）利用者を対象としていたが、2021 年度調査からスマートフォン利用者のみを対象にした。
※ 259 対策を「1 年以上前から実施している」「1 年以内に実施し始めた」の総和。
※ 260 IPA：2021 年度 情報セキュリティの倫理と脅威に対する意識調
査 ｰ【 脅威編 】ｰ https://www.ipa.go.jp/files/000096683.pdf〔2022/5/17 確認〕※ 261 事前調査において、プライベートにおけるパソコン、スマートフォンの利用状況を尋ね、インターネットでパソコンを使用していないと回答した者。
※ 262 事前調査において、プライベートにおいてパソコン、スマートフォンの両方を使用している場合、それぞれの機器の 1 日の利用時間を尋ね、利用時間が長い方の機器で回答者を分類した。
※ 263 「情報セキュリティに対する意識調査」では職業従事者の区分で第 章

minicamp/online2021.html〔2022/5/12 確認〕※ 208 一般社団法人セキュリティ・キャンプ協議会事務局：セキュリティ・
ミニキャンプ in 山 梨 2021 https://www.security-camp.or.jp/
minicamp/yamanashi2021.html〔2022/5/12 確認〕
一般社団法人セキュリティ・キャンプ協議会事務局：セキュリティ・ミニキャ
ンプ in 広島 2021 https://www.security-camp.or.jp/minicamp/
hiroshima2021.html〔2022/5/12 確認〕
一般社団法人セキュリティ・キャンプ協議会事務局：セキュリティ・ミニキャ
ンプ in 大阪 2022 https://www.security-camp.or.jp/minicamp/
osaka2022.html〔2022/5/12 確認〕※ 209 一般社団法人セキュリティ・キャンプ協議会事務局（Twitter アカ
ウント）：https://twitter.com/security_camp/status/148324300135
9265794?cxt=HHwWhMDTudbpxJUpAAAA〔2022/5/12 確認〕
一般社団法人セキュリティ・キャンプ協議会事務局：GCC 2022 Taiwan- Global Cybersecurity Camp 2022 Taiwan https://www.
security-camp.or.jp/event/gcc_online2022.html〔2022/5/12 確認〕※ 210 Asian Cyber Security Challenge 2021：https://acsc.asia〔2022/5/12 確認〕
一般社団法人セキュリティ・キャンプ協議会事務局：ACSC 2021 - Asian
Cyber Security Challenge 2021 https://www.security-camp.
or.jp/event/acsc2021.html〔2022/5/12 確認〕※ 211 International Cybersecurity Challenge：https://ecsc.eu/icc/〔2022/5/12 確認〕※ 212 大阪大学大学院情報科学研究科 enPiT 事務局：
［文部科学省］成長分野を支える情報技術人材の育成拠点の形成（enPiT） https://www.enpit.jp/〔2022/5/12 確認〕※ 213 SecCap 事務局：SecCap について https://www.seccap.jp/
gs/about/〔2022/5/12 確認〕※ 214 大阪大学大学院情報科学研究科 enPiT 事務局：セキュリティ分
野 https://www.enpit.jp/fields/security/index.html〔2022/5/12
確認〕※ 215 Basic SecCap コンソーシ ア ム：Basic SecCap コース
https://www.seccap.jp/basic/pdf/BasicSecCap_pamph.pdf〔2022/5/12 確認〕※ 216 enPiT Pro Security：https://www.seccap.pro〔2022/5/12
確認〕※ 217 大阪大学：安全なデータ利活用のためのプロフェッショナル人材育成コース https://cy2sec.comm.eng.osaka-u.ac.jp/miyaji-lab/prosec/index-jp.html〔2022/5/12 確認〕※ 218 SECCON：SECCON 実 行 委員会 ／ WG メンバー https://www.seccon.jp/2021/seccon/executivecommittee.html〔2022/
5/12 確認〕※ 219 SECCON：SECCON と は https://www.seccon.jp/2021/
seccon/about.html〔2022/5/12 確認〕※ 220 SECCON：SECCON 2021 開催スケジュール https://www.
seccon.jp/2021/seccon/schedule.html〔2022/5/12 確認〕※ 221 SECCON：SECCON 2021 電脳会議 https://www.seccon.
jp/2021/ep211218.html〔2022/5/12 確認〕※ 222 SECCON：第 4 回 SECCON Beginners CTF（5 月 22 日）開催終了しました https://www.seccon.jp/2021/seccon_beginners/_
seccon_beginners_ctf_2021.html〔2022/5/12 確認〕※ 223 CTF for GIRLS：第 16 回 CTF for GIRLS ワークショップ開催レ
ポート http://girls.seccon.jp/news24.html〔2022/5/12 確認〕※ 224 CTF for GIRLS：第 17 回 CTF for GIRLS ワークショップ開催レ
ポート http://girls.seccon.jp/news25.html〔2022/5/12 確認〕※ 225 CTF for GIRLS：第 18 回 CTF for GIRLS ( ワークショップ ) 開
催のご案内 http://girls.seccon.jp/news0.html〔2022/5/12 確認〕※ 226 特定非営利活動法人日本ネットワークセキュリティ協会：インターン
シップ募集 https://www.jnsa.org/internship/index.html#jnsaintern
ship〔2022/5/12 確認〕※ 227 東 京 工 業 大 学：カリキュラム 概 要 https://www.academy.
titech.ac.jp/cumot/cy/schedule.html〔2022/5/12 確認〕※ 228 独立行政法人国立高等専門学校機構：TOPICS & NEWShttps://k-sec.kochi-ct.ac.jp/topics-news/info-1.html〔2022/5/12
確認〕※ 229 経済産業省：サイバーセキュリティ経営ガイドラインと支援ツール
https://www.meti.go.jp/policy/netsecurity/mng_guide.html〔2022/5/12 確認〕※ 230 https://www.ipa.go.jp/security/vuln/10threats2022.html〔2022/5/19 確認〕※ 231 NRI セキュア社：NRI Secure Insight 2020 https://www.nri〔2022/5/19 確認〕
secure.co.jp/download/insight2020-report※ 232 https://www.meti.go.jp/policy/netsecurity/downloadfiles/
guide2.0.pdf〔2022/5/17 確認〕※ 233 IPA：
「2021 年度 中小企業における情報セキュリティ対策に関す

2022

ある
「会社員」｢公務員・団体職員｣｢教職員｣｢契約・派遣社員｣「自営業・自由業・フリーランス」について、同じ区分であっても職務の分野によって結果に差が出ると想定し、「情報システムや通信関係など IT 関連業務に従事、関与」
している人としていない人とを分類して集計している。
※ 264 総務省：オンライン消費の増加 https://www.soumu.go.jp/
johotsusintokei/whitepaper/ja/r03/html/nd121310.html〔2022/
5/17 確認〕※ 265 総務省統計局：新型コロナウイルス感染症で変わるネットショッピン
グ－家計消費状況調査の結果から－ https://www.stat.go.jp/info/
today/162.html〔2022/5/17 確認〕※ 266 独立行政法人国民生活センター：2020 年度にみる 60 歳以上の消費者トラブル－コロナ禍で、通信販売の相談件数は過去最高に－
https://www.kokusen.go.jp/news/data/n-20210902_1.html〔2022/5/17 確認〕※ 267 独立行政法人国民生活センター：「解約したはず！」「契約してない！」と思い込んでいませんか？予期せぬ“サブスク”の請求トラブルに注意！
https://www.kokusen.go.jp/pdf/n-20211007_1.pdf〔2022/5/17
確認〕※ 268 https://www.caa.go.jp/policies/policy/consumer_transaction/specified_commercial_transactions/assets/consumer_transaction_cms202_220209_07.pdf〔2022/5/17 確認〕※ 269 独立行政法人国民生活センター：【若者向け注意喚起シリーズ＜
No.3 ＞】健康食品等の「定期購入」のトラブル－「お試し」「1 回限り」のつもりが 定 期 購 入 に！
？－ https://www.kokusen.go.jp/news/data/n-20210617_1.html〔2022/5/17 確認〕※ 270 独立行政法人国民生活センター：【若者向け注意喚起シリーズ<No.3>】健康食品等の「定期購入」のトラブル 「- お試し」「１回限り」のつもりが定期購入に！
？- https://www.kokusen.go.jp/pdf/n-20210617_
1.pdf〔2022/5/17 確認〕※ 271 内閣府：ネット通販でトラブル急増！「お試し」のつもりが定期購入に！
？ https://www.gov-online.go.jp/useful/article/202012/2.html〔2022/5/17 確認〕※ 272 https://www.pref.kyoto.jp/net_tv/cm/219.html〔2022/5/
17 確認〕※ 273 内閣府：新たな手口のヤミ金融に注意！
「＃個人間融資」「給与ファ
クタリング」 https://www.gov-online.go.jp/useful/article/202103/
4.html〔2022/5/17 確認〕※ 274 金融庁：SNS 等を利用した「個人間融資」にご注意ください！
https://www.fsa.go.jp/ordinary/chuui/kinyu_chuui.html〔2022/5/
17 確認〕※ 275 神 奈 川 県：ヤミ金 融にご注 意を（ヤミ金 融 情 報のページ）
https://www.pref.kanagawa.jp/docs/m6c/cnt/f646/p7876.html〔2022/5/17 確認〕※ 276 h t t p s : / / w w w . m e x t . g o . j p / c o n t e n t / 2 0 2 1 1 1 2 5 - m x t _shuukyo01-000009827_001.pdf〔2022/5/17 確認〕※ 277 h t t p s : / / w w w . t r e n d m i c r o . c o m / j a _ j p / a b o u t / p r e s s release/2021/pr-20210729-01.html〔2022/5/17 確認〕※ 278 https://www.mext.go.jp/content/20210312-mxt_jogai01000011649_002.pdf〔2022/5/17 確認〕※ 279 https://www.mext.go.jp/studxstyle/〔2022/5/17 確認〕※ 280 https://www.ipa.go.jp/files/000088916.pdf〔2022/5/17
確認〕※ 281 https://twitter.com/moj_jinken/status/14659387183935
73378〔2022/5/17 確認〕※ 282 石川県：
「Stop! コロナ差別 !」～ネット上の誹謗中傷は許されません～ https://www.pref.ishikawa.lg.jp/soumu/jinken/corona_jinken_
monitor.html〔2022/5/17 確認〕※ 283 和 歌 山 県：新 型コロナ 誹 謗 中 傷 対 策 条 例を施 行しました
https://www.pref.wakayama.lg.jp/prefg/021400/d00206062_d/
fil/leaflet.pdf〔2022/5/17 確認〕※ 284 防 衛 省・自 衛 隊（Twitter アカウント）：https://twitter.com/
modjapan_jp/status/1402589334386008069〔2022/5/17 確認〕※ 285 独立行政法人国民生活センター：「新型コロナ関連詐欺 消費者
ホットライン」をご利用ください https://www.kokusen.go.jp/info/data/coronavirus_vshotline.html〔2022/5/17 確認〕※ 286 厚生労働省：新型コロナウイルス感染症に関して厚生労働省を装った 詐 欺 に ご 注 意 く だ さ い。 https://www.mhlw.go.jp/stf/
seisakunitsuite/newpage_00004.html〔2022/5/17 確認〕※ 287 時事ドットコムニュース：ＳＮＳ「１５００人のぞいた」 不正アクセス
容 疑で男 逮 捕 ― 愛 知 県 警 https://www.jiji.com/jc/article?k=2022010601107&g=soc〔2022/5/17 確認〕※ 288 https://blog.twitter.com/ja_jp/topics/company/2021/
playbook-for-safety〔2022/5/17 確認〕※ 289 Meta Platforms, Inc.：Instagram の安全とセキュリティを確保す
る https://about.instagram.com/ja-jp/blog/announcements/

keeping-instagram-safe-and-secure〔2022/5/17 確認〕※ 290 Meta Platforms, Inc.：Instagram コミュニティを不適切なコンテン
ツから守るための新たな方法 https://about.instagram.com/ja-jp/blog/
announcements/introducing-new-ways-to-protect-our-community〔2022/5/17 確認〕
from-abuse※ 291 Meta Platforms, Inc.：若い利用者のために、安全性とプライバシーを強 化したエクスペリエンスを提 供 https://about.instagram.com/
ja-jp/blog/announcements/giving-young-people-a-safer-moreprivate-experience〔2022/5/17 確認〕※ 292 Google LLC：日本版 YouTube 公式ブログ https://youtubejp.googleblog.com/2021/11/youtube.html〔2022/5/17 確認〕※ 293 ヤフー株式会社：Yahoo! ニュース、コメント欄をより健全化するためユーザーからの違反コメント報告を促進 https://about.yahoo.co.jp/
pr/release/2021/12/22b/〔2022/5/17 確認〕※ 294 独立行政法人国民生活センター：狙われる！
？18 歳・19 歳「金」と「美」の消費者トラブルに気をつけて！ https://www.kokusen.go.jp/pdf/
n-20210408_1.pdf〔2022/5/17 確認〕※ 295 https://www.caa.go.jp/policies/policy/consumer_
education/consumer_education/lower_the_age_of_adulthood/〔2022/5/17 確認〕※ 296 https://www.soumu.go.jp/use_the_internet_wisely/trouble/reference/reference02.html〔2022/5/17 確認〕※ 297 https://seinen.go.jp/〔2022/5/17 確認〕※ 298 https://smart18.info/files/smart18ebook.pdf〔2022/5/17
確認〕※ 299 MATAGI SNIPERS：https://matagi-snps.com/〔2022/5/17
確認〕※ 300 funglr Games：社会人 e スポーツリーグ「AFTER 6 LEAGUE」
を経済産業省が後援決定 https://funglr.games/ja/news/a6l-metisupport/〔2022/5/17 確認〕※ 301 京都新聞：チート行為で男女 5 人書類送検 京都府警、ゲーム
内のアイテム不正入手疑い https://www.kyoto-np.co.jp/articles/-/
713337〔2022/5/17 確認〕※ 302 福井県：
「チート行為」はやめましょう！～損害賠償請求や違法行為として処 罰される可 能 性も～ http://www.fukui-city.ed.jp/na-fuji-e/
moraru/R2%20mararu20.pdf〔2022/5/17 確認〕※ 303 株式会社ラック：東京ゲームショウ 2021 オンラインに出展！チート
対 策ホワイトペーパーも公 開 https://www.lac.co.jp/lacwatch/service/20210910_002704.html〔2022/5/17 確認〕※ 304 h t t p s : / / w w w . n i s c . g o . j p / p d f / p o l i c y / k i h o n - s / s e t _20220318_cswebinarboshu_r10.pdf〔2022/5/17 確認〕※ 305 NISC：国際サイバーセキュリティワークショップ・演習の開催
https://www.nisc.go.jp/eng/pdf/international_ws_ttx_2022_jp.pdf〔2022/5/17 確認〕※ 306 https://www.gov-online.go.jp/pr/media/tv/kasumigaseki/movie/20220218.html〔2022/5/17 確認〕※ 307 https://dawn2021.orylab.com〔2022/5/17 確認〕※ 308 知的財産戦略本部：知的財産推進計画 2021 https://www.
kantei.go.jp/jp/singi/titeki2/kettei/chizaikeikaku20210713.pdf〔2022/5/19 確認〕※ 309 ISO：ISO/IEC JTC 1 https://www.iso.org/committee/
45020.html〔2022/5/19 確認〕※ 310 JISC：JISC について http://www.jisc.go.jp/jisc/index.html〔2022/5/19 確認〕※ 311 ITU：SG17: Security https://www.itu.int/en/ITU-T/
studygroups/2017-2020/17/Pages/default.aspx〔2022/5/19 確認〕※ 312 IETF：The IETF Security Area https://trac.ietf.org/trac/
sec/wiki〔2022/5/19 確認〕※ 313 TCG：Welcome to Trusted Computing Group https://trustedcomputinggroup.org/work-groups/regional-forums/japan〔2022/5/19 確認〕※ 314 https://www.jisc.go.jp/international/iso-prcs.html〔2022/
5/19 確認〕※ 315 ガーブル回路：暗号学においてスクランブルされた回路を意味し、2 者間の秘密計算を可能とする暗号プロトコル。
※ 316 TS（Technical Specification：技術仕様書）：現時点では技術的に未成熟等の理由により、国際標準として発行するのは妥当ではない文書。
※ 317 EUCC（European Union Cybersecurity Certification）：欧州
で創立が進められている、ISO/IEC 15408 に基づくIT 製品のセキュリティ
評価・認証制度。
※ 318 ENISA：CYBERSECURITY CERTIFICATION https://www.enisa.europa.eu/publications/cybersecurity-certificationeucc-candidate-scheme-v1-1.1〔2022/5/25 確認〕※ 319 IoT 推進コンソーシアム・総務省・経済産業省：IoT セキュリティ

162情報セキュリティ白書

163

2

情報セキュリティを支える基盤の動向（官民を通じた個人情報保護制度の見直し） https://www.ppc.go.jp/
personalinfo/minaoshi/〔2022/5/17 確認〕※ 353 https://www.ipa.go.jp/files/000087025.pdf〔2022/5/17
確認〕※ 354 https://www.ppc.go.jp/files/pdf/seibihou_gaiyou.pdf〔2022/5/17 確認〕※ 355 内閣府：個人情報保護法制 2000 個問題について https://
www8.cao.go.jp/kisei-kaikaku/suishin/meeting/wg/toushi/
20161115/161115toushi01.pdf〔2022/5/17 確認〕「企業における営業秘密管理に関する実態調査 2020」報
※ 356 IPA：
告 書について https://www.ipa.go.jp/security/fy2020/reports/ts_
kanri/index.html〔2022/5/17 確認〕※ 357 IPA：組織における内部不正防止ガイドライン https://www.ipa.
go.jp/security/fy24/reports/insider/〔2022/5/17 確認〕※ 358 https://www.ipa.go.jp/files/000097371.pdf〔2022/5/17
確認〕※ 359 https://security-portal.nisc.go.jp/law_handbook/law_handbook.pdf〔2022/5/17 確認〕※ 360 AES（Advanced Encryption Standard）：米国で NIST により標準化された共通鍵暗号。
※ 361 ChaCha：Daniel J. Bernstein によって開発されたストリーム暗号。
Chacha20 は ChaCha を基にした暗号であり、これとメッセージ認証子である Poly1305とを組み合わせた ChaCha20-Poly1305 は、CRYPTRECの推奨候補暗号リストとなっている。
※ 362 RSA：素因数分解問題が困難であることを安全性の根拠とした公開鍵暗号。
※ 363 CRT-RSA 指数：RSA 暗号の復号時の計算量を下げる際に用いられる、秘密鍵に付随する付加情報。
※ 364 NIST：Third PQC Standardization Conference https://
csrc.nist.gov/Events/2021/third-pqc-standardization-conference〔2022/4/21 確認〕※ 365 Anirban Chakraborty, Sarani Bhattacharya, Manaar Alam,
SikharPatranabis and Debdeep Mukhopadhyay：RASSLE: Return
Address Stack based Side-channel LEakage https://tches.iacr.
org/index.php/TCHES/article/view/8795〔2022/4/21 確認〕※ 366 分岐予測：CPU において、条件分岐命令で分岐するかしないかを予測することによって、パイプライン処理の乱れを極力避けて処理速度の低下を抑えるための機構。
※ 367 投機的実行：CPU において命令を、必要な処理であることが確定する前にパイプラインに投入して実行を始める処理。パイプラインの乱れを極力避けることを目的とする。分岐予測が外れて必要でない処理であることが確定すると、その実行結果は破棄され、正しい分岐先の命令を改めて実行する。
※ 368 Spectre-v1 については、以下を参照。
CVE：CVE-2017-5753 Detail https://cve.org/CVERecord?id=CVE2017-5753〔2022/4/21 確認〕
Spectre-v2 については、以下を参照。
CVE：CVE-2017-5715 Detail https://cve.org/CVERecord?id=CVE2017-5715〔2022/4/21 確認〕※ 369 タイミング攻撃：サイドチャネル情報のうち、処理時間の差異を利用する攻撃。
※ 370 ECDSA（Elliptic Curve Digital Signature Algorithm）：楕円曲線暗号を用いたデジタル署名アルゴリズム。
※ 371 テンプレート攻撃：暗号実装に対し、異なる入力値に対するサイド
チャネル情報（消費電力、電磁場など ) をあらかじめ測定しておき、それをテンプレートとして利用して実際の暗号鍵復元のための攻撃を行う手法。
※ 372 Alejandro Cabrera Aldaya and Billy Bob Brumley：Online
Template Attacks: Revisited https://tches.iacr.org/index.php/
TCHES/article/view/8967〔2022/4/21 確認〕

第 章

ガ イド ラ イン Ver1.0 http://www.soumu.go.jp/main_content/
000428393.pdf〔2022/5/24 確認〕※ 320 https://www.iso.org/standard/80136.html〔2022/5/24 確認〕※ 321 https://www.iso.org/standard/78572.html〔2022/5/24 確認〕※ 322 経済産業省：サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）
を策定しました https://www.meti.go.jp/press/2019/04/20
190418002/20190418002.html〔2022/5/24 確認〕※ 323 https://www.meti.go.jp/policy/netsecurity/cclistmetisec
2018.pdf〔2022/5/17 確認〕※ 324 https://www.commoncriteriaportal.org/〔2022/5/17 確認〕※ 325 IPA：認証プロテクションプロファイルリスト https://www.ipa.
go.jp/security/jisec/certified_pps/pp_list.html〔2022/5/17 確認〕※ 326 プロテクションプロファイルに対しての認証：プロテクションプロファ
イルがコモンクライテリア形式を満たしていることの認証。
※ 327 https://csrc.nist.gov/projects/cryptographic-modulevalidation-program〔2022/5/30 確認〕※ 328 https://cio.go.jp/sites/default/files/uploads/documents/hyoujun_guideline_honninkakunin_20190225.pdf〔2022/5/17 確認〕※ 329 IPA・JISEC：「ハードコピーデバイスのプロテクションプロファイル」
適合の申請案件についてのガイドライン 第 1.8 版 https://www.ipa.
go.jp/security/jisec/mfp/guidelineforHCD-PP_1.8.pdf〔2022/
5/17 確認〕※ 330 https://www.ipa.go.jp/security/jisec/certified_pps/c0553/
c0553_pp.pdf〔2022/5/17 確認〕※ 331 IPA・JISEC：認証製品リスト https://www.ipa.go.jp/security/
jisec/certified_products/cert_listv31.html〔2022/5/17 確認〕※ 332 JCMVP の「トピックス」ページ（https://www.ipa.go.jp/security/jcmvp/topics.html〔2022/5/17 確認〕）の「本制度に関連する日本産業
規格 (JIS）」参照。
※ 333 JCMVP の「トピックス」ページ（https://www.ipa.go.jp/security/jcmvp/topics.html〔2022/5/17 確認〕）の「本制度に関連する ISO/IEC 規格」参照。
※ 334 JISC：意見受付公告（JIS） https://www.jisc.go.jp/app/jis/general/GnrOpinionReceptionNoticeList?show〔2022/5/17 確認〕※ 335 JISC：JIS の 制 定 等 のプロセスについて https://www.jisc.
go.jp/jis-act/cap_process.html〔2022/5/17 確認〕※ 336 「FIPS 140」は暗号モジュールに関するセキュリティ要件を規定す
る連邦情報処理規格。「-2」は第 2 版、「-3」は第 3 版であることを示す。
※ 337 Historical List：認証の有効期間が満了した製品であることを示す
リスト。
※ 338 経済産業省：「政府情報システムのためのセキュリティ評価制度（ISMAP）」の運用を開始しました https://www.meti.go.jp/press/202
0/06/20200603001/20200603001.html〔2022/5/17 確認〕※ 339 サイバーセキュリティ対策推進会議・各府省情報化統括責任者（CIO）連 絡 会 議：政 府 情 報システムのためのセキュリティ評 価 制 度（ISMAP）の暫定措置の見直しについて https://www.nisc.go.jp/pdf/
policy/general/ismap_minaoshi.pdf〔2022/5/17 確認〕※ 340 https://cio.go.jp/sites/default/files/uploads/documents/
cloud_policy_20210330.pdf〔2022/5/17 確認〕※ 341 総務省・経済産業省：クラウドサービスの安全性評価に関する検討 会 に つ い て https://www.meti.go.jp/shingikai/mono_info_
service/cloud_services/pdf/001_02_00.pdf〔2022/5/17 確認〕※ 342 https://www.meti.go.jp/press/2019/01/20200130002/2
0200130002-1.pdf〔2022/5/17 確認〕※ 343 https://www.nisc.go.jp/pdf/policy/general/wakugumi
2021.pdf〔2022/5/17 確認〕※ 344 NISC：「政府機関等のサイバーセキュリティ対策のための統一基準群」 https://www.nisc.go.jp/policy/group/general/kijun.html〔2022/5/17 確認〕※ 345 https://www.ismap.go.jp/csm?id=kb_article_view&
sysparm_article=KB0010005〔2022/5/17 確認〕※ 346 https://www.ismap.go.jp〔2022/5/17 確認〕※ 347 https://www.nisc.go.jp/pdf/policy/infra/shishin5.pdf〔2022/
5/17 確認〕※ 348 e-Gov 法令検索：個人情報の保護に関する法律 https://elaws.
e-gov.go.jp/document?lawid=415AC0000000057〔2022/5/17 確認〕※ 349 https://www.ppc.go.jp/files/pdf/151112_kaiseian.pdf〔2022/5/17 確認〕※ 350 個人情報保護委員会：令和２年 改正個人情報保護法について
https://www.ppc.go.jp/personalinfo/legal/kaiseihogohou/〔2022/5/17 確認〕※ 351 デジタル庁：デジタル社会の形成を図るための関係法律の整備に関する法律 https://cio.go.jp/sites/default/files/uploads/documents/
digital/20210901_laws_r3_37_article.pdf〔2022/5/17 確認〕※ 352 個人情報保護委員会：令和３年 改正個人情報保護法について

2022

第3章
個別テーマ
本章では個別テーマとして、制御システム、IoT、ク点を絞り、解説する。

ラウドのセキュリティについて、報告されたインシデントやまた、2021 年後半以降のウクライナ危機は、武力と情攻撃の実態、脆弱性や脅威の動向、国の施策や対策報が組み合わさった新たな脅威を生み出しており、米国

状況等を解説する。2 年ぶりに取り挙げるクラウドのセキュや欧州がこの状況にどう対応しているか、関連するセキュ

リティについては、近年利用が急増している SaaS に焦リティ政策や政府・民間組織の動向について紹介する。

3.1 制御システムの情報セキュリティ
制御システム（ICS：Industrial Control System）は、ている※ 2。英国の航空、化学、エネルギー、輸送、水電力、ガス、水道、輸送・物流、製造ライン等、我々

道分野等の重要国家インフラ（CNI：Critical National※1を管理し、制御するシス

Infrastructure）組織の IT 意思決定者 250 名を対象とテムである。従来、制御システムの多くは独立したネット

した調査結果では、86% が過去 12ヵ月間に OTと制御

ワーク、固有のプロトコル、事業者ごとに異なる仕様でシステムに対するサイバー攻撃を経験しており、そのうち構築・運用されており、外部からサイバー攻撃を行うこと

93% が少なくとも1 度は攻撃が成功していた、と回答しは困難と考えられていた。しかし、近年、外部ネットワーている※ 3。

の生活を支える重要インフラ

クとの接続、標準プロトコルや汎用製品の利用が進んだ

2021 年に公になったインシデントには、水道やパイプラ

こと、10 ～ 20 年に及ぶライフサイクルの長さ故に、外部イン等の重要インフラを標的とした攻撃、サイバー攻撃にとの接続やサイバー攻撃を想定していないシステムが今よる生産や重要サービスの停止、メディア企業への攻撃も多数稼働していること、また、攻撃者にとって価値のによる放送や新聞発行の停止、公共交通機関を標的と高い標的であることから、制御システムに対するサイバー

した攻撃、医療機関への攻撃、USB メモリやパソコン

脅威が高まっている。実際に、社会経済活動に大規模を接続することによるウイルス※ 4 感染、という六つの特な被害が出たインシデントも発生している。

徴が見られた。

本節では、制御システムのセキュリティの動向と主な取り組みについて述べる。

3.1.1（1）水道やパイプライン等の重要インフラが標的となった事例
米国の上下水道施設ではインシデントが相次いだ。

インシデントの発生状況と動向

2021 年 1 月 15 日、カリフォルニア州サンフランシスコの調査会社による制御システムユーザ等へのアンケート

浄 水 場 で 攻 撃 者 がリモ ートアクセスソフトウェア

調査において、2020 年同様、2021 年も制御システムへ

TeamViewer のアカウントでログインし、飲料水の処理の侵入や運用障害が発生したという回答が一定数以上に使用していたプログラムを削除した。浄水場は翌日ハッあった。

キングを発見し、パスワードの変更及びプログラムの再イ

例えば、米国、ドイツ、日本の製造業の IT 及び制御・

ンストールを実施した。飲料水への影響はなかった※ 5。

運用技術（OT：Operational Technology）の専門家

2021 年 2 月 5 日には、フロリダ州オールズマーの浄水場

500 名を対象とした調査結果では、61.2% がサイバーセ

が、同じくTeamViewerを介して SCADA（Supervisory

キュリティインシデントを経験した、と回答している。インControl And Data Acquisition：監視制御及びデータ

シデントの 74.5% でシステムの停止が発生しており、その収集）システムにアクセスされ、水酸化ナトリウムの投入

うち 43.4% が 4 日以上の停止の被害に至った、と回答し設定値を変更されたが、監視していたオペレータが気付

164情報セキュリティ白書

上 下 水 道 施 設 がランサムウェアによる攻 撃を受け、（2）サイバー攻撃によって生産や重要サービスが停止した事例SCADA システム及びバックアップシステムが影響を受け制御システムにおいて最も重要視される「可用性た。また同年 7 月には、メーン州の上下水道施設の廃（Availability）」に影響を与えたインシデントも世界中で水処理の SCADA コンピュータが、リモートアクセス経相次いだ。ITとOT の統合が進んでいることから、メー

由でランサムウェアによる攻撃を受けた。復旧するまで、

ルや Web サイト経由の IT システムのウイルス感染が制廃水処理システムは手動で実行された。更に 8 月には、

御システムまで拡大する例や、IT システムの感染から間カリフォルニア州にある上下水道施設がランサムウェア

接的に制御システムが影響を受け、生産ラインや重要「Ghost」の亜種による攻撃を受けた。このランサムウェア

サービスが停止する事例が増えている。

き、すぐに正常な値に戻した※ 6。翌 3 月、ネバダ州の※7。

表 3-1-1 に、2021 年に公にされた、サイバー攻撃によっColonial Pipeline Company がランサムウェアによるサイ

また、2022 年 2 月 26 日には、自動車大手トヨタ自動バー攻撃を受けた。IT システムのコンピュータのファイル

車株式会社の取引先部品メーカ小島プレス工業株式会が暗号化され、パイプラインの制御システムは直接の影社が、ランサムウェアによる攻撃を受けた。トヨタ自動車

響を受けなかったが、あらかじめ決められていた全社的への攻撃は確認されていないが、同社は 3 月 1 日に国なインシデント対応プロセスに則って、予防保全的に停止

内の 14 の工場で生産を停止した。約 1 万 3,000 台のした。同社のパイプラインは米国東海岸で消費される燃生産に打撃を与えたが、3 月 2 日に生産を再開した※ 9。

料の約 45% を扱っており、6 日間続いたパイプラインの「制御システムは IT システムの影響を受けない」という停止により、例えば首都ワシントンのガソリンスタンドのう

認識を持たず、「攻撃や感染が IT から OT へ広がるこち約 81% でガソリンが売り切れ状態となる等、市民生活とはないか」等、従来の認識による IT、OT 個別の縦に大きな影 響を与えた※8（「3.4.1（1）（b）Colonial

割りのリスク管理体制を越えた横断的なリスクの見直し

Pipeline 事案とその対応」参照）。

が推奨される。

事例名

発生国

発生年月
（報道年月）

大手クレーンメー
カの工場の稼働停止※ 10

オーストラリア2021 年1月

ヨーロッパ、北米、南米、アジアにある 30 ランサムウェアによる攻撃を受け、以上の工場と組立拠点の稼働停止
IT インフラが影響を受けた。

IoT 機器メーカのカナダ
生産停止※ 112021 年3月

工場での生産停止

IT システムがランサムウェアによる攻撃を受けた。

食品加工大手の 北米及びオーストラリア
生産停止※ 122021 年5月

複数の拠点で生産停止

ランサムウェアによる攻撃を受け、北米及びオーストラリアの IT システ
ムを支えるサーバが影響を受け、システムが停止した。

通信事業者のサービス停止及び障害※ 132021 年9月

インターネット接続サービスが断続的または完 通信事業者 2 社が、ランサムウェ
全に停止、音声通話、発着信、SMS サー ア 攻 撃グループによる大 規 模なビスに障害が発生
DDoS 攻撃を受けた。

大手インターネット
2021 年
サービスプロバイダ ニュージーランド
9月のサービス停止※ 14

サービスが 30 分間停止

DDoS 攻 撃を受け、DDoS 攻 撃
緩和ルールをアップデートして攻撃をブロックしたが、これが原因でサービスが停止した。

英国

影響・被害

内容（原因等）

菓子メーカの生産米国停止※ 152021 年
10 月

工場での生産停止

ランサムウェアによる攻撃を受け、システムが暗号化された。

食品大手の工場
及び配送センター 米国の稼働停止※ 162021 年
10 月

工場及び配送センターの稼働停止

ランサムウェアによる攻撃を受け、工場や配送センターの稼働に必要なシステムが使用できなくなった。

■表 3-1-1

2021 年に公にされた、サイバー攻撃によって生産や重要サービスが停止したインシデント事例

165

3

個別テーマ

て生産や重要サービスが停止したインシデント事例を示す。

章

2021 年 5 月 7 日、米国最大手のパイプライン企業

第は約 1ヵ月前からシステムに潜伏していた

2022

（3）
メディア企業への攻撃によって放送や新聞発行が停止した事例の障害が発生し、数百本の列車が遅延またはキャンセルとなり、前例のない混乱が生じた※ 22。

多くの人々に日々多様な情報を伝えるメディアを標的と2021 年 10 月 28 日、カナダ・オンタリオ州トロントのトロしたサイバー攻撃の事例も多く見られた。

ント交通局（TTC：Toronto Transit Commission）
がラ

2021 年 3 月 28 日、オーストラリアの放送局 9News がンサムウェアによる攻撃を受けた。駅のスクリーンに表示

サイバー攻撃を受け、多くの生放送の番組が中断した。

される車両情報システム、オンライン予約サイト、旅行計

同局のニュース制作システムは 24 時間以上にわたって

画アプリケーション、TTC 内部の電子メールサービス等ダウンした。同局はインシデントの封じ込め措置として、が停止した。また、車両運転者との通信に使用されるシ

特定のネットワークをインターネットから切り離したが、一ステムが停止し、無線によるバックアップでコミュニケーショ※ 17部のネットワークが使えない状況が続いたンを図った。交通サービスには影響はなかった※ 23。

。

2021 年 6 月 3日、米国のメディア複合企業 Cox Media（5）医療機関が標的となった事例

Group がランサムウェアによる攻撃を受け、テレビとラジ※ 18オのライブストリーム放送が停止した。

医療機関を標的としたサイバー攻撃も、世界中で相2021 年 10 月 16 日、 米 国 のメディア企 業 Sinclair

次いだ。米国の 597 の医療機関を対象に実施した調査

Broadcast Group, Inc. がランサムウェアによる攻撃を受レポートによると、過去 2 年間で回答者の 43% がランサ

け、全米の複数の TV 局が放送を停止した。同社は、ムウェアによる攻撃を経験しており、そのうち 67% が 1 回、セキュリティインシデントを検知した後、調査及び封じ込

33% が 2 回以上の攻撃を経験した、と回答している。ラ

めの措置を開始したが、翌 10 月 17 日に、一部のサーンサムウェアによる攻撃が患者の治療に大きな影響を与バ及びワークステーションがランサムウェアによって暗号化えており、入院期間の長期化（回答者の 71%）
、処置

され、一部の運用ネットワークが切断され放送が停止しや検査の遅延（70%）
、患者の転院や施設の転用の増加※ 19ていること、及びデータが窃取されたことを確認した

。

（65%）
、医療処置による合併症の増加（36%）や死亡率の増加（22%）等が報告されている※ 24。

2021 年 12 月、ノルウェーのメディア大 手 Amedia
AS がサイバー攻撃を受け、コンピュータシステムが停止

表 3-1-2（次ページ）に、2021 年に公にされた、医療し、新聞の印刷ができなくなった。また、広告システム

機関及び医療関連施設を標的としたインシデント事例をや購読システムも影響を受け、広告主の新規広告発注

示す。

※ 20

。

や購読者の登録・解約ができなくなった

医療機関のコンピュータがランサムウェアに感染すると、保有されている情報資産（データ等）が暗号化され、（4）公共交通機関が標的となった事例

電子カルテシステムが利用できなくなって診療に支障が生

日々の移動手段として多くの人々が利用している公共

じたり、患者の個人情報が窃取されたりする等の甚大な交通機関もサイバー攻撃の標的となった。

被害をもたらす可能性がある。国内では、厚生労働省

2021 年 4 月、米カリフォルニア州サンタクララ郡の公が、医療機関を標的としたランサムウェアによるサイバー

共交通局（VTA：Santa Clara Valley Transportation

攻撃について、2021 年 6 月 28 日に注意喚起を行ってAuthority）が、ランサムウェアによるものと思われる攻撃（国内病院のランサムウェア被害については「1.2.2
いる※ 33を受け、コンピュータシステムの多くが数日間オフラインと（2）（a）国内病院の被害事例」参照）。

なった。「Astro」と名乗るハッキンググループが、VTAから 150G バイトのデータを窃取し、身代金の支払い要（6）USB メモリやパソコンを接続することによるウイルス感染求に応じなければデータを公開する、と脅迫した後、4月 22 日に窃取したデータをダーク Web に投稿した。運業務用に持ち込んだ USB メモリやパソコンを接続す

行情報のリアルタイム提供や職員の電子メール機能等にることによるウイルス感染も、継続して発生している。

影響が出たが、VTA が運行しているバス、ライトレール

Honeywell International Inc. のレポート「Industrial※ 21

等の交通機関の運行には影響はなかった

Cybersecurity USB Threat Report 2021 ※ 34」による。

2021 年 7 月 9 日、イランの国有鉄道（イラン・イスラムと、USB メモリを悪用する脅威は、調査した制御システ

共和国鉄道）
においてサイバー攻撃によるものと思われる

ムへのすべての脅威の37%を占め、2020 年発表のレポー

コンピュータシステム及び列車の電子トラッキングシステム

トからほぼ倍増している。また、USB メモリやリムーバブ

166

情報セキュリティ白書

標的となったシステムに不正アクセスする手段を販売することを目論む
攻撃者による攻撃を受け、新型コロナウイルスの研究に使用されている装置が侵害された。

2021 年 3 月

ランサムウェアによる攻撃を受け、デジタルの患者記録や薬の在庫等を管理するシステムが利用できなくなり、スタッフは紙とペンで対応した。

医療、高齢者ケア、障害者支援等のサービスを提供して オーストラリア 2021 年 4 月
いる医療機関※ 27

ランサムウェアによる攻撃を受け、社内スタッフの電子メールや患者の予約等、すべての業務システムが停止。スタッフは紙とペンで対応した。

公的医療サービスを提供する保健サービス委員会（HSE：Health Service※ 28
Executive）

2021 年 5 月

ランサムウェア「Conti」による攻撃を受け、IT システムが停止。アイルランド国内の病院サービスや患者のケアに多大な支障をきたした。1990 年代の古いものを含む 8 万台の機器と 2,000 の患者用
IT システムを完全に復旧する必要があり、完全復旧までに 4ヵ月かかった。

2021 年 6 月

ランサムウェアによる攻撃を受け、電話システムに障害が発生したほか、オンラインの患者ポータルとアプリ、及びメールシステムが影響を受け、一部の診察予約がキャンセルされた。また、電子カルテが使用できなくなった。

フランス

病院※ 26

アイルランド病院、診療所、介護施設を米国運営している医療機関※ 29
三つの病院と外来サービス拠点等からなる小規模な総合医療機関※ 30

米国

2021 年 8 月

ランサムウェア攻撃グループ「Hive」による攻撃を受け、コンピュー
タのファイルが暗号化され、機密情報を含む患者 20 万人分の情報を窃取された。スタッフは紙のカルテで対応した。また、臨床及び財務業務に支障が生じ、緊急手術や放射線検査がキャンセルされた。

病院※ 31

イスラエル

2021 年 10 月

ランサムウェアによる攻撃を受け、システムに影響が出たため、代替システムを使用し、患者の情報は手書きで書き留めた。また、治療できない患者は、他の病院に移送された。ランサムウェアによってイスラエルの病院のシステムが麻痺した初めての事例となった。

米国

サイバー攻撃を受け、約 1 週間にわたりIT システムと患者の治療に支障をきたした。自宅で使用するための治療薬をオピオイド依存の治2021 年 12 月
療患者に提供している一部の診療所で、コンピュータが使用できず
処方箋ラベルが印字できなくなったため、治療薬が提供できなかった。

米国の 17 州で 80 以上の外来診療所を運営している
外来オピオイド（麻薬性鎮痛薬）治療企業※ 32■表 3-1-2

2021 年に公にされた、医療機関及び医療関連施設が標的となったインシデント事例

確認されている※ 35。

ルメディアを起点とするサイバー脅威の 79% が、OT 環
境における重要なビジネスの途絶につながる可能性があ

制御システム運用者は、外部から持ち込まれる情報端るとしている。生産施設における USB メモリの使用は末・機器や媒体の管理、及び接続前のウイルスチェック

30% 増加しており、リムーバブルメディアへの依存度はを今一度徹底することが重要である。また、内部関係者高まっている。

の不正やヒューマンエラーによるリスクを軽減するために、

2022 年 1 月には、米国連邦捜査局（FBI：Federal

セキュリティ教育や意識啓発を通じて、従業員の情報リ

Bureau of Investigation）
が、2021 年 8 月からサイバー

テラシーや情報モラルを向上させることも重要である。

犯罪グループが、システムをマルウェアに感染させた後に攻撃を実行する目的で、輸送、保険、及び防衛産業

3.1.2に関わる米国企業へ悪意のある USB メモリを送付して脆弱性及び脅威の動向

本項では、2021 年に見られた、制御システムの脆弱いる、と警告した。送付された USB メモリをパソコンに性及び脅威の動向について述べる。

差し込むと、USB メモリがキーボードとして登録され、あらかじめ設定された一連の自動キーストロークを送信するという「BadUSB 攻撃」を実行する。これらのキー操作（1）脆弱性の動向

で PowerShell コマンドを実行し、攻撃者のバックドアと2021 年も、制御システムの脆弱性が多く公開されして機能する様々なウイルスを標的とした企業のネット

た。制御システムの脆弱性情報を収集・公開している

ワーク内の端末にダウンロードし、インストールする。FBI

代 表 的な組 織である米 国 国 土 安 全 保 障 省（DHS：が調査したケースでは、このグループは管理者権限を取Department of Homeland Security）の NCCIC

得した後、他のローカルシステムに横展開していることが（National Cybersecurity and Communications

167

3

個別テーマ

2021 年 2 月

新型コロナウイルスの研究を英国行っている大学の研究室※ 25章

内容・影響・被害

発生国

第

発生年月
（報道年月）

被害組織2022

Integration Center）が、2021 年に公開したアドバイザ

Federal Trade Commission）は、Log4j の脆弱性を

リは 369 件で、図 3-1-1 に示すように、対前年比 64.7%

是正するための措置を講じない場合、法的な影響を受増と、これまでで最大となった。確認された脆弱性は1,255

ける可能性がある、と米国企業に警告した。「脆弱性件で、2010 年以降にアドバイザリで確認された共通脆が悪用された場合、個人情報の喪失や漏えい、金銭

弱 性 識 別 子 CVE（Common Vulnerabilities and的損失、その他取り返しのつかない損害を被る危険性

Exposures）の総数の 28.3% に相当する。アドバイザリがあるため、今すぐ行動することが重要」と警告し、「今で特定された 613 の CVE のうち、重要な製造環境に後、同様の既知の脆弱性が発生した場合、消費者を影響を及ぼす可能性のあるものを分析した結果、その保護するために法的権限を適用する予定」としている。

88.8% は攻撃者が悪用し、直接または間接的に制御シ

CISA は、2022 年 1 月 4 日に「すべての大規模機関か

ステム機器や環境に様々な混乱を引き起こす可能性がら状況報告を受け、パッチを適用したか、リスクに対処

※ 36

。

ある

するための代替緩和策を展開した」と公表したが、大規模ではない連邦政府機関が期限に間に合ったかどうか

2016年については明らかにしていない※ 43。

136

2017年

175

2018年

（b）
NAME:WRECK

192

2019年

米 国 の サ イ バ ー セ キ ュリティ企 業 Forescout

209

2020年

224

2021年

Technologies,Inc.（以下、Forescout 社）とイスラエル

369
0

100

200

300

のセキュリティ企業 JSOF Ltd. は、
およそ 1 億台ものサー

400
（件数）

バや IoT 機器に影響を与える可能性のある九つの脆弱■図 3-1-1

NCCIC が公開した脆弱性アドバイザリの件数・（2016 ～ 2021 年）（出典）
NCCIC の公開情報※ 37 を基に IPA が作成

性「NAME:WRECK」を発見した※ 44。脆弱性は、オー
プンソースの OS である FreeBSD、Nucleus NET、
IPnet、NetX の TCP/IP スタックで発見され、DNS の非常に影響の大きい脆弱性も複数発見されている。

実装に関連しており、DoS またはリモートコード実行を引

以下では、それらの脆弱性について解説する。

き起こす。攻撃者が悪用すると、標的とした機器をオフラインにしたり、
コントロールしたりできる。ビルオートメーショ（a）Log4Shell

ン、ファイアウォール、ネットワーク機器から、制御システ

Apache Software Foundation が開発したオープン

ムや超音波診断装置の機器まで、様々な機器が狙われソースの Java ベ ースのロギングライブラリ Apache

る可能性がある（「1.2.5（3）（a）多数の IoT 製品に影響

Log4j に、認証されていないリモートコードの実行（RCE：する脆弱性」「3.2.2（1）（b）NAME：WRECK」参照）。

Remote Code Execution）が可能となる脆弱性（CVE2021-44228：通 称「Log4Shell」※ 38）が発 見された。

（c）
BadAlloc

Log4j は様々なサービス、Web サイト、アプリケーション、

Microsoft Corporation（以下、Microsoft 社）は、

OT 製品で、セキュリティやパフォーマンスの情報の記録「BadAlloc」と名付けられたメモリ割り当ての脆弱性 25に広く使用されており、電力、水道、製造、輸送等複件を発見した。詳細は「3.2.2（1）（d）BadAlloc」を参照

数の業界が、この脆弱性を悪用した攻撃に晒される可

されたい。

※ 39

能性がある

。更に、サービス拒否（DoS：Denial ofServices）攻撃が行われる脆弱性（CVE-2021-45046 ※ 40）（d）
INFRA:HALT※ 41。DHS のサイバーセキュリティ・インフラ

Forescout 社 と JFrog Ltd. は、InterNiche

ストラクチャセキュリティ庁（CISA：Cybersecurity andTechnologies, Inc. 製の組み込みシステム用 TCP/IP

Infrastructure Security Agency）は、これら 2 件の脆

スタック「NicheStack」（現在は Tuxera Hungary Kft.

弱性の影響を受ける Web サービスを特定するツールをの一部門 HCC-Embedded が保守担当）に影響を与え公開した。また CISA は、連邦政府機関に対し、12 月

る 14 件の脆弱性「INFRA:HALT」を発見した※ 45。

23 日までに Log4Shell に対するパッチを適用するよう、「NicheStack」は、製造工場、発電・送電・配電システも発見された※ 42

12 月 17 日に命じた。米連邦取引委員会（FTC：

ム、水処理装置等の重要インフラ分野で採用されている。

168

情報セキュリティ白書

詳細は「3.2.2（1）（g）
INFRA:HALT」
を参照されたい。

2022

響及び対応の可否を確認し、速やかに必要な対策を実施することが推奨される。

（e）
NUCLEUS:13（2）脅威の動向

Siemens AG は、医療機器、産業用機器、自動車
機器、航空宇宙機器等に搭載されている Nucleusリア

2021 年の脅威の動向としては、2020 年に引き続き、

ルタイム OS の 13 件の脆弱性「NUCLEUS:13」を発表しランサムウェアによる攻撃の増加が挙げられる。産業界た。詳細は「3.2.2（1）（i）
NUCLEUS:13」を参照されたい。

へのランサムウェア攻撃は、2018 年から 2020 年の間に6 倍に増加しており、2021 年 1 月から 5 月の間では、更に 2.16 倍に増加している※ 51。米国、欧州、アジア太平（f）
スマートメーター製品の脆弱性対象とした調査では、回答者の約 80% が、過去 1 年

PowerLogic の二つの深刻な脆弱性を発見した。同製

以内に自分の組織がランサムウェア攻撃を受けたことを認

品は、電力会社、製造業、医療機関、電力ネットワー

め、そのうち約半数が制御システム／ OT 環境に影響クを監視するデータセンターで使用されている電子式電を与えたと回答している。また、7% が 1 週間以上続く力量計である。脆弱性にはそれぞれ異なる CVE が割り

完全なオペレーション停止に至ったと回答している※ 52。

当てられた。CVE-2021-22714 は、攻撃者が標的のメー

ランサムウェアの脅威への対策として、基本的なウイル

ターを再起動させ、場合により任意のコードを実行できる。

ス対策、通信制御による対策、重要なデータのバックアッ

また、もう一つの CVE-2021-22713 は、デバイスを強制

プが適切に実施されているかの確認等の感染や脅迫に的に再起動する目的でのみ悪用でき、高い深刻度が割備えたリスク管理対策を徹底することが推奨される（1.2.2※ 46

り当てられた。

（5）
ランサムウェア攻撃への対策」参照）。

（g）
ユニバーサルリレー機器の脆弱性

3.1.3

CISA は、General Electric Company のユニバー
サルリレー機器の深刻な脆弱性に関するセキュリティアド

本項では、海外における制御システムのセキュリティ※ 47

バイザリを発表した

海外の制御システムのセキュリティ
強化の取り組み。同社のユニバーサルリレー機器強化の取り組みについて述べる。

のファミリー製品は、エネルギー、製造、医療、輸送等の世界中の重要インフラで、電源管理に使用されている。

（1）米国 CISA の取り組み

悪用すると、機密情報へのアクセス、機器の再起動、

米国の CISA は、2021 年 2 月、国際的なパートナー

特権アクセスの取得、またはサービス拒否状態の発生をと協力してサイバーインシデントに対する防御及び重要イ※ 48引き起こす可能性がある。

ンフラのセキュリティとレジリエンスを強化し、国家の重要機能に対する重大なリスクを特定して対処し、シームレス

制御システム専用バックアップソリューションの脆弱性（h）でセキュアな緊急時の通信手段を提供するための国際

Claroty Ltd. は、Rockwell Automation, Inc. の制を開始した。この戦略で CISA
戦略「CISA Global ※ 53」

御システム専用バックアップソリューション FactoryTalk

は、よりオープンで、相互運用性、信頼性が高く、セキュ

AssetCentre の 9 件の脆弱性を発見した。同製品は、アな相互につながる世界を目指し、政府や業界のセキュ産業施設全体のオートメーション関連の資産情報を保リティ専門家やリスク管理者が、利害関係者と連携し、護、管理、バージョン管理、トラッキング、レポートする

能力強化を行いながら、重要インフラへの脅威を阻止・ための一元化ツールである。発見された脆弱性は、
リモー

緩和し、リスクに対処できるグローバルな運用・政策のトで任意のコードを実行できる脆弱性、SQL インジェクショ

環境を形成するとしている※ 54。

ンの脆弱性、及び OS コマンドインジェクションの脆弱性

また CISA は、2021 年 6 月、ランサムウェア攻撃ので、これらの脆弱性を悪用すると、OT ネットワークの増加を受け、重要インフラの所有者や運営者が OT 資

※ 49

PLC 等の自動化機器上でコマンドを実行できる

。

※ 50

CISA はアドバイザリを発表した。

産や制御システムを見直すためのガイダンス「Rising
Ransomware Threat to Operational Technology
Assets ※ 55」を発表した。本ガイダンスは、重要インフラ

脆弱性が公表された機器の所有者は、脆弱性の影

169

3

個別テーマ

Schneider Electric SE の ス マ ートメ ー タ ー 製 品

章

洋地域の IT 及び OT セキュリティの専門家 1,100 人を

第

産業用サイバーセキュリティ企業 Claroty Ltd. は、が国家安全保障及びその人材やプロセスにとって重要で

のである。
なお、
Biden 政権の政策全般については「3.4.1

あることを踏まえ、組織がランサムウェア攻撃に対して効（2）Biden 政権の政策」
を参照されたい。

果的なレジリエンスを構築できるよう支援することを目的と（3）エネルギー業界の取り組み

し、ランサムウェア攻撃を受けた場合に、ビジネスを大き※ 56。

米国エネルギー省（DOE：Department of Energy）

更に CISA は 2021 年 8 月 5 日、重要インフラへのサは、CISA 及び産業界と協力して、電力インフラのサイ

イバー脅威に対する米国の防衛を支援することを目的とバーセキュリティ向上のための 100 日間の取り組みを開した 取り組 み「Joint Cyber Defense Collaborative

始する、と2021 年 4 月に発表した※ 62。この取り組みは、※ 57」を開始した。JCDC は、ランサムウェアやク（JCDC）

DOE 配 下 の Office of Cybersecurity, Energy

ラウドサービスへの攻撃に対する取り組みを皮切りに、サSecurity, and Emergency Response（CESER）が制

イバー情報共有や防衛作戦計画の策定を主導すること

御システムを運用している電力会社のサイバーセキュリ

で、サイバー防衛を一元化することを計画している。大ティの可視性、検出及び対応能力を向上させる技術や

手クラウドサービスプロバイダを始め、連邦政府、州政府、システムの開発を継続すること、制御システムや OT ネッ

地方自治体のほか、情報共有・分析機関、重要インフ

トワークにおいて、ほぼリアルタイムの状況認識と対応を

ラの所有者・運営者、学術機関、その他の民間企業可能にするシステムを特定して展開すること、重要インフが参加する。

ラの IT ネットワークのサイバーセキュリティ体制を改善す

く悪化させるリスクを軽減する方法を解説しているること等を具体的な目標としている。

（2）米国 Biden 政権の取り組み

2021 年 3 月、北大西洋条約機構（NATO：North

2021 年 7 月、米国の Joe Biden 大統領は、重要イン

Atlantic Treaty Organization） のエネルギー安 全

フラ所有者及び運営者にサイバーセキュリティのパフォー

保 障 センター（NATO Energy Security Centre of

マンス目標のベースラインを設定することで、重要インフ

Excellence（ENSEC COE））と、産業オートメーションとラのセキュリティを強化することを目的とした国家安全保制御システムのセキュリティ標準規格化を行っている※ 58。この覚書は、重要イン

国 際 計 測 制 御 学 会（ISA：International Society of

フラのコミュニティと連邦政府が重要インフラの防御に自Automation）の ISA99 委員会が、エネルギー分野にお主的かつ協力的に取り組むために同年 4 月中旬に設立

けるサイバーセキュリティの標準とガイドラインの適用に関された「Industrial Control Systems Cybersecurity

連する情報交換と協力のための同意書に署名した※ 63。

Initiative（ICS initiative）」を促進し、CISAと商務省

2021 年 5 月、 世 界 経 済フォーラム（WEF：World（DOC：Department of Commerce）の米国国立標準

Economic Forum）
が、石油・ガス業界全体のサイバー技術研究所（NIST：National Institute of Standards

レジリエンスを強化するための計画をまとめたホワイト

and Technology）が、他の連邦政府機関と協力して、ペーパー※ 64 を発行した。このホワイトペーパーでは、重要インフラ組織に対するサイバーセキュリティのパフォー

組織がリスクを管理し、推奨される活動によって組織の障に関する覚書を発表した※ 59

マンス目標とガイダンスを策定するよう指示している。

サイバーセキュリティ体制を強化するための原則を概説している※ 65。

2021 年 5 月に Colonial Pipeline Company のインシデントが発生した直後、Biden 大統領は 5 月 12 日、サ（4）米国の非営利団体の取り組み

イバー攻撃に対する米国の防御力を近代化し、法執行2021 年 10 月、
米国の The MITRE Corporation が、機関の捜査に必要な情報をよりタイムリーに提供するた※ 60。また、米国

実際の観測記録に基づいたサイバー攻撃者の戦術と技

政府は、天然ガスパイプラインとサプライチェーンのサイ術に関する、グローバルにアクセス可能なナレッジベース

バーセキュリティを強化するための二つの取り組みを「ATT&CK ※ 66」の第 10 版を発表※ 67 した。モバイル

2021 年 8 月に発表した。一つは、NIST が産業界と協向け、制御システム向けの各フレームワークの技術、グ

力して、セキュアな技術を構築するためのガイドラインを

ループ、ソフトウェアを更新し、制御システムに特化した作成する。もう一つは、150 の電力会社が導入に合意「Stuxnet」や「Industroyer」等のウイルスが、エンター

した制御システムのサイバーセキュリティの取り組みを、

プライズ向けの「ATT&CK for Enterprise」及び制御めの大統領令 EO 14028 に署名した※ 61

天然ガスのパイプラインにも正式に拡大する、というもシステム向けの「ATT&CK for ICS」の両方のマトリクス170

情報セキュリティ白書（戦術と技術をまとめた一覧）で把握できるようにマッピン

つの施策を進めている。

※ 68

グされている

2022。

NISC はまた、ランサムウェアによるサイバー攻撃について、予防・検知・対応・復旧の観点から、具体的な（5）
オーストラリアの取り組み

対策を取れるよう、2021 年 4 月 30 日に、重要インフラ
また、
ランサムウェ
事業者等向けに注意喚起を行った※ 73。

（Security of Critical Infrastructure Act 2018）」を改

アによる攻撃が国内外の様々な組織で確認されているこ

正し、連邦政府が「重要インフラ」資産保護に対する義とから、2021 年 9 月 1 日に運用開始した「サイバーセキュ

務を執 行 する能 力を大 幅に向 上させる「Security

リティ・ポータルサイト※ 74」内に、「ランサムウェア特設ペー

Legislation Amendment（Critical Infrastructure）

ジ STOP! RANSOMWARE ※ 75」を同年 10 月 13 日にBill 2021 ※ 69」の第 1 部を可決し、12 月 2 日に発効した。

開設した。

「重要」とされた 11 分野（通信、データの保存または処（ICSCoE：Industrial Cyber Security Center of

理、金融サービス及び市場、上下水道、エネルギー、Excellence）
は、米国政府（CISA、DOE、国務省（DOS：

医療、高等教育・研究、食品・食料品、輸送、宇宙

United States Department of State）） と 連 携 し、技術、防衛産業分野）が追加されている。また、重要イ

2021 年 3 月 8 ～ 12 日まで、日米の専門家による制御シ

ンフラ資産に責任を持つ事業体に、インシデント報告のステムのサイバーセキュリティに関する演習をオンラインで※ 70

義務と罰則規定の詳細を定めている

実施した※ 76。2018 年に開始され、3 回目となるこの演。

習は、インド太平洋地域の重要インフラ事業者や国の国内の制御システムのセキュリティ
強化の取り組みCSIRT（Computer Security Incident Response

本項では、制御システムを含む、重要インフラサービ

や、関連する政府機関の政策担当者を対象として行わスのセキュリティ強化に関する国内の主な取り組みの概れた。更に、2021 年 10 月 25 ～ 29 日まで、EU 政府（通要を紹介する。

信ネットワーク・コンテンツ・技術総局）も加わった 4 回目

3.1.4

Team）における OT・IT のサイバーセキュリティ担当者の演習を実施した※ 77（第 4 回の演習については「2.3.2（1）
日本政府の取り組み（1）
中核人材育成プログラム」参照）。

包括的な重要インフラのセキュリティ政策については、（2）IPA の取り組み「2.1.1 政府全体の政策動向」及び「2.1.2 経済産業省の2021 年、IPA では制御システムのセキュリティに関し政策」で取り上げているので、そちらを参照されたい。こて、大きく二つの取り組みを行った。

こでは特に、制御システムのセキュリティ強化に関連する取り組みについて触れる。

制御システムのセキュリティリスクアセスメント普及（a）

内閣官房内閣サイバーセキュリティセンター（NISC：
National center of Incident readiness and Strategy

活動for Cybersecurity）が、2021 年度における我が国を取制御システムに対するセキュリティリスクアセスメントのり巻くサイバーセキュリティに関する情勢、及び 2018 年

普及を目的として、「制御システムのセキュリティリスク分

7 月に発表された「サイバーセキュリティ2018」に掲げら

析ガイド」（以下、リスク分析ガイド）を用いてリスク分析

れた具体的な施策の実施状況等をまとめた「サイバーセ

手法を解説するオンラインセミナーを、2021 年 5 ～ 9 月

キュリティ2021（2020 年度年次報告・2021 年度年次計と2021 年 11 月～ 2022 年 3 月の 2 回開催した。同セミ※ 71

を 2021 年 9 月に発表した。NISC の重要インフ画） 」

ナーでは、約 370 社・団体の受講者が、リスク分析ガイ

ラグループは、重要インフラの情報セキュリティ対策を推

ドを解説した合計約 3 時間の講義動画の視聴や、電子進するため、2018 年策定の「サイバーセキュリティ戦略」

メールによる質疑応答を行った。

及び 2017 年策定の「重要インフラの情報セキュリティ対
※ 72

また、
「制御システム関連のサイバーインシデント事例」」に基づき、安全基準等シリーズ（次ページ表 3-1-3）
を 2019 年 7 月以降、順次公の整備及び浸透、情報共有体制の強化、障害対応体開しており、2021 年は事例 8 及び事例 9 を公開した※ 78。

制の強化、リスクマネジメント、防護基盤の強化、の五本シリーズでは、過去のインシデント事例の概要と攻撃策に係る第 4 次行動計画

171

3

個別テーマ

経済産業省とIPA 産業サイバーセキュリティセンター

章

この法律では、「重要インフラ部門」の定義が拡大され、第オーストラリア連邦議会は、「重要インフラ安全保障法

No.

表題

内容

の流れ（攻撃ツリー）を紹介しており、制御システム保有

被害12015 年ウクライナ 制御端末の外部 大規模長時間からの遠隔操作
停電
大規模停電

2

2016 年ウクライナ
マルウェアによるマルウェアによる停大規模停電
遮断器の操作電2017 年安全計装 安全計装機器へ
制御システム3 システムを標的とす の攻 撃スクリプトの停止
るマルウェア
送信事業者は、リスク分析ガイドで提唱している「事業被害ベースのリスク分析」を実施する際に、攻撃ツリーの作成、対策の策定に事例を活用できる。
（b）
制御システムのサイバーセキュリティ人材の育成
2017 年 4 月に発足した ICSCoE では、模擬プラント

Stuxnet：制御シス USB メモリとゼロ
遠心分離機のテムを標的とする初 デイ脆弱性を利用
破壊
めてのマルウェア
した破壊工作を用いた演習や、攻撃防御の実践経験、最新のサイバー2019 年ランサム
情報系を中心とし
5 ウェアによる操 業
生産量の激減たシステム破壊停止

基盤のサイバーセキュリティリスクに対応する人材の育成

4

攻撃情報の調査・分析等を通じて、社会インフラ・産業を支援している（「2.3.2 産業サイバーセキュリティセン
ター」参照）。2021 年は、リスク分析ガイドの演習付き講2018 年半導体製 ランサムウェアに造企業のランサム 感 染した新 規 導 製造システム
6
ウェアによる操業停 入 機 器からの 感 の操業停止
止染拡大と暗号化
72020 年医療関連
電子カルテサーバ 患者の個人情
企業のランサムウェ
からのデータ窃取 報の漏えい
アによる業務停止

8

インターネット経由
2021 年水道局へ
での水処理システ 薬液投入量のの不正侵入と飲料
ムへの侵 入 及び 変更
水汚染未遂
遠隔操作

9

2021 年米国最大情報系のランサム 燃料パイプライ
手のパイプラインのウェア感染
ンの操業停止ランサムウェア被害

義を、中核人材育成プログラムの第 5 期生に対して実施した。

■表 3-1-3 「制御システム関連のサイバーインシデント事例」
シリーズ

172

情報セキュリティ白書

2022

3.2 IoTの情報セキュリティ
された※ 86 が、2021 年に入っても感染機器が残存してターネット接続機能を持つコンピュータ以外の機器（IoT

いることが報告された※ 87。VPNFilter は主にルータや機器）がサイバー攻撃の対象となる脅威が継続していNAS（Network-Attached Storage：ネットワーク接続ス

る。新型コロナウイルス感染拡大の継続から、新しい生トレージ）に感染するが、VPNFilter が悪用する脆弱性

活様式やテレワークに対するサイバー攻撃が注目を集めを有したままネットワークに接続される機器が残存する理ているが、IoT に対する脅威の認識とセキュリティ対策

由として、以下が指摘されている。

推進の必要性には変わりがない。

• インターネット接続事業者からレンタルされるルータで、
エンドユーザに管理者権限が付与されていないため、

本節では、IoT に対する脅威の動向、IoT セキュリティ

動更新機能を有しておらず、ベンダのサイトにアクセス

取り組みについて述べる。

して手動更新ができないユーザが存在した。

なお、本節中で記載されている脆弱性のうち、脆弱性データベースの登録 ID を記載しているものについて
は、表 3-2-1 に記載の各データベースで検索することに非営利のセキュリティ団体によって、2018 年半ばに約よって、概要、詳細情報、関連情報へのリンク等を確

1 万 4,000 台観測されていた感染機器は、2020 年後半

認できる。

には 5,447 台にまで減少したが、依然としてかなりの感染が残っていた。現存する感染機器の割合の国・地域

登録 ID の表記例
CVE-20xx-xxxxx

NVD

JVNDB-20xx-xxxxxx■表 3-2-1

別の上位 5 位は、ウクライナ（18.42%）、米国（14.48%）、

登録先データベース
※ 79

イタリア
（10.26%）、英国（8.05%）、フランス（7.26%）であっ

JVN iPedia ※ 80

た。日本は 14 位に位置し、1.8% であった。その後、セキュリティベンダと非営利団体の協力により、感染機器の脆弱性の登録 ID の表記例と登録先データベース

クリーンアップが行われたが、最終的に 363 台の感染機
3.2.1

器の残存が報告されている。

残存するIoTのセキュリティ脅威（2）Mirai とその亜種

IoT 機器に感染するウイルスは、「機器乗っ取り型ウ2016 年 9 月に出現し、同月末にソースコードが公開さイルス」「機器保護型ウイルス」「機器破壊型ウイルス」の※ 81

3 種類に分類できる。2021 年は、前年と同様に、れた「Mirai」は、現在に至っても新たな亜種が発生し、機器保護型ウイルスと機器破壊型ウイルスについて、目立った活動は見られなかった。一方、Mirai

※ 82

※ 83

Gafgyt に代表される機器乗っ取り型ウイルス

感染活動が継続している。

及び（a）
各社製ルータの脆弱性を狙うMirai の亜種に関し2017 年 12 月、Mirai の亜種「Satori ※ 88」によって、ては、感染機器の残存、新たな脆弱性と悪用する亜種の出現、新たな悪用方法の取り込み等が継続している。

以下に示す脆弱性が初めて感染拡大に悪用された。

本項では、2021 年に発生した機器乗っ取り型ウイル• Huawei Technologies Co., Ltd.（华为技术有限公司）製ルータ HG532 における任意のコード実行の脆スの脅威に関して、種別ごとに時系列（一部例外を除き

弱性（CVE-2017-17215（JVNDB-2017-013014））

情報公開順）に沿って紹介する。

• Realtek Semiconductor Corp.（瑞昱半導體股份有（1）VPNFilter の感染機器の残存「VPNFilter※ 84限公司。以下、Realtek 社）製 Realtek SDK を用」は、2016 年から感染活動が確認さいた IoT 機器における UPnP miniigd SOAP サービ

れていたウイルスで、2018 年に世界中で活動が拡大しスの任 意のコード実 行の脆 弱 性（CVE-2014-8361

た。2018 年 5 月には FBI によって C&C サーバ

※ 85

に

（JVNDB-2014-008039））

悪用されるドメインの一部を押収するテイクダウンが実施

173

個別テーマ

• ファームウェアの更新が提供されていたが、機器が自な機器とウイルス感染の実態、セキュリティ対策強化の3

章

ファームウェアが更新できなかった。

のサプライチェーンとEOL（End-of-Life）のリスク、脆弱

第IoT（Internet of Things）技術の普及とともに、インこれらの脆 弱 性を狙うMirai の亜 種のアクセスがが観測された※ 96。同年の 2 月 23 日、3 月 3 日、3 月 132020 年 11 月以降に再び増加し、2021 年 1 月末まで継日には、新たに公開された脆弱性や他の既存の脆弱性※ 89

続的に観測された。

を次々と取り込んだ Mirai の亜種が検出された。このウイルスが感染拡大において悪用を試みる脆弱性を以下（b）Android 機器を狙う「Matryosh」に示す。

2021 年 1 月 25 日、ADB（Android Debug Bridge）• SonicWALL, Inc. 製 SSL-VPN アプライアンスにおけるリモートコマンドインジェクションの脆弱性※ 97

インタフェースをとおして Android OS を搭載した IoT 機• D-Link Corporation（友讯科技股份有限公司。以器を狙い、DDoS 攻撃の踏み台に悪用しようと試みる攻※ 90

撃が観測された。多重化された暗号化方式とC&C

下、D-Link 社）製 NAS DNS-320 における OS コマ

サーバのアドレス取得方式がマトリョーシカ人形を彷彿さ

ンドインジェクションの 脆 弱 性（CVE-2020-25506

せるため、「Matryosh」と名付けられた。独自の暗号化（JVNDB-2020-015749））

方式や接続経路を匿名化するTor（The Onion Router）• Yealink Network Technology Co., Ltd.（厦门亿联

ネットワークの利用から、Mirai の亜種「Moobot
更なる亜種「LeetHozer

※ 91

」の

网 络 技 术 股份有限公司）製 Device Management※ 92」との強い類似性を備える。

Platform における非認証ルート権限コマンドインジェク

ションの脆弱性（CVE-2021-27561）（c）
道路状況監視機器の脆弱性を狙う攻撃• Micro Focus International plc 製 Operations

2021 年 2 月 20 日、Iteris, Inc. 製の道路状況監視機

Bridge Reporterにおけるリモートコード実行の脆弱性

器 Vantage Velocity（道路網に設置して通過車両中の（CVE-2021-22502（JVNDB-2021-003430））

Bluetooth 対応機器から平均移動時間と速度を計測する• Netis Systems Co., Ltd.（深圳市磊科实业有限公監視機器）のリモートコード実行脆弱性（CVE-2020-9020※ 93。

ド実行の脆弱性（CVE-2019-19356（JVNDB-2019-」014562））（JVNDB-2020-002044））を狙う攻撃が観測された
その挙動から Mirai の亜種「Satori」または「fbot司）製無線ルータNetis WF2419 におけるリモートコー※ 94• NETGEAR, Inc.（以下、NETGEAR）製スイッチングの更なる亜種と考えられており、攻撃対象機器が米国
内に 187 台設置されていることが報告された。

ハブ ProSafe Plus JGS516PE の非認証リモートコー
ド実行の脆弱性（CVE-2020-26919（JVNDB-2020-（d）
ハニーポット機能を感染拡大に悪用する「ZHtrap」

012278））• 未知の IoT 機器のコマンドインジェクション脆弱性（32021 年 2 月 28 日、Mirai の新たな亜種の攻撃が観
※ 95

測された

。このウイルスは以下に示す特徴を有してお種類）

り、「ZHtrap」と名付けられた。
• 4 種類の既知の脆弱性を感染拡大に悪用する。

このウイルスを構成するバイナリファイルの（亜種命名• 感染機器上でハニーポット機能を実行する。23 種類に用いられることが多い）
ファイル名の一つに「dark」
といのポートで待ち受けを行い、アクセスしてきた IoT 機

う文字列が含まれている。

器を他のウイルスに感染済みの脆弱な機器と見なして、次の攻撃対象に追加する。

（f）
KGUARD 社製 DVR の非公開の脆弱性を攻撃する
亜種「Mirai_ptea」「Mirai_aurora」• 感染機器のスナップショットを作成し、それに基づき新
たなコマンドの実行を禁止することで、他のウイルスの2021 年 6 月 22 日、KGUARD INFORMATION

感染を防止して機器を独占する。

Co., Ltd.（廣盈資訊股份有限公司。以下、KGUARD• C&C サーバとの通信に Tor ネットワークを利用してお社）製 DVR（Digital Video Recorder）の非公開の脆り、Matryosh（「3.2.1（2）（b）Android 機器を狙う

弱 性を攻 撃 する Mirai の亜 種が観 測され、「Mirai_『Matryosh』」参照）の実装流用が見られる。

ptea」と名付けられた※ 98。同月 25 日には、別の亜種「Mirai_aurora」が同じ脆弱性を感染拡大に悪用する（e）
複数のネットワーク機器の脆弱性を狙う亜種

活動が観測されている。2016 年以前にリリースされた

2021 年 2 月 16 日、複数のネットワーク機器におけるファームウェアを使用する KGUARD 社製 DVR には、既知の脆弱性、未知の IoT 機器の脆弱性を狙う攻撃

非認証のリモートコマンド実行の脆弱性があり、少なくと174

情報セキュリティ白書

も約 3,000 台が脆弱性を有したままインターネット上に接スワードを変更することで緩和可能なため、修正ファーム

続されていることが確認された。6 月 24 日の時点で最大ウェアは提供されなかった。この脆弱性は、6 月 10 日に

約 1 万 5,000 台の感染機器が観測されたボットネットの別の亜種「Mirai_aurora」（「3.2.1（2）（f）KGUARD 社

分布は、米国・韓国・ブラジルに集中している。感染機

製 DVR の非公開の脆弱性を攻撃する亜種『Mirai_

器の地理的分布を図 3-2-1 に示す。

ptea』
『Mirai_aurora』」参照）による悪用が初観測され2022ている。7 月下旬の時点で最大約 2 万台の感染が観測されたボットネットの分布は、米国・韓国・中国・ブラジル等に渡っている。感染機器の地理的分布を図 3-2-2
に示す。

第
章

3

個別テーマ

Unique count of ip4.sip
1 - 1,335.75
1,335.75 - 2,670.5
2,670.5 - 4,005.25
4,005.25 - 5,340■図 3-2-1 ウイルス感染が疑われる KGUARD 社製 DVR の地理的分布
（出典）
Qihoo 360 Technology Co., Ltd.「Mirai_ptea Botnet is
Exploiting Undisclosed KGUARD DVR Vulnerability ※ 98」

Unique count of ip4.sip
1 - 3,714.25
3,714.25 - 7,427.5
7,427.5 - 11,140.75
11,140.75 - 14,854■図 3-2-2 ウイルス感染が疑われる RUIJIE 社製ルータの地理的分布（出典）
Qihoo 360 Technology Co., Ltd.「Mirai_ptea_Rimasuta
variant is exploiting a new RUIJIE router 0 day to spread ※ 100」（g）
WebSVN のコマンドインジェクション脆弱性を狙う亜種
2021 年 6 月 26 日、オープンソースの Web アプリケー（3）Gafgyt とその亜種

ション WebSVN のコマンドインジェクションの脆 弱 性2014 年に活動を開始した Gafgyt（別名 Bashlite、（CVE-2021-32305（JVNDB-2021-006964）
）を狙う
※ 99

Mirai の亜種が観測された。この亜種は、12 種類

QBot 等）は、2015 年のソースコード公開後、様々な亜の異なるアーキテクチャ用のバイナリが用意されており、種が発生し、感染活動が継続している。

感染機器を DDoS 攻撃の踏み台として悪用する。実行（a）
Tor を利用する亜種「Gafgyt_tor」

ファイルは、オープンソースのパッカーである UPX を修正したもので圧縮されており、解析者によるリバースエンジ

2021 年 2 月 15 日以降、C&C サーバとの通信に Tor

ニアリングツールを用いた自動解凍を困難にしている。

ネットワークを初めて利用するGafgytの亜種が観測され、この亜種は「Necro」「Gafgyt_tor」と名付けられた※ 101。

（h）「Mirai_RUIJIE 社製ルータのゼロデイ脆弱性を狙う（「3.2.1（4）（a）
『Necro』の亜種」参照）と同一の集団に

ptea_Rimasuta」

よって運用されていると考えられ、脆弱な TELNET パ

2021 年 9 月 5 日、Ruijie Networks Co.,Ltd.（北京星スワード及び以下に示す脆弱性を感染拡大に悪用する。

网锐捷网络技术有限公司。以下 RUIJIE 社）製ルータ• D-Link 社製品におけるリモートコード実行の脆弱性

NBR700 シリーズのゼロデイ脆弱性を狙うMirai の亜種（CVE-2019-16920（JVNDB-2019-009977））が観測された。「Mirai_ptea」（「3.2.1（2）（f）KGUARD• Liferay, Inc. 製 Liferay Portal のリモートコード実行

社製 DVR の非公開の脆弱性を攻撃する亜種『Mirai_の脆弱性（CVE-2020-7961（JVNDB-2020-003135））

ptea』『Mirai_aurora』」参照）を基に作成されており、• Citrix Systems, Inc. 製品におけるパストラバーサル※ 100「Mirai_ptea_Rimasuta」と名付けられた。RUIJIEの脆弱性（CVE-2019-19781（JVNDB-2019-013490））

社製の当該ルータには、認証後のコマンドインジェクショ
ンの脆弱性が存在しており、脆弱な初期パスワードと組（b）
Gafgyt の亜種「Mozi」

み合わせることで感染可能となっていた。翌 9 月 6 日に2021 年 8 月 30 日、Gafgyt の亜種「Mozi ※ 102」の現脆弱性が RUIJIE 社に報告され、同月 9 日に同社がそ在の状況が報告された※ 103。2019 年 9 月から活動を開の存在を確認したが、サポート終了製品であり、初期パ

始した Mozi は、2020 年 4 月の時点で 1 万 5,000 台以

175

上の感染が確認されていた※ 104。2020 年 9 月には、16行ファイルとして配布することで、同言語がインストール

万台／日の勢いで感染拡大を続け、感染機器は 150

されていない機器への感染も試みる。

万台（内半数以上の約 83 万台は中国国内に存在）
に達
※ 105

した

• ウイルスのダウンロードサーバは、Mirai の亜種の配。2021 年 7 月、セキュリティベンダが提供した布も実施しており、他のウイルスを用いたボットネットも解析情報を基に、Mozi の作者は中国法執行当局によって逮捕された同時に運用していると考えられる。

※ 106。また 2021 年 8 月、Microsoft

社が Mozi の防御方法を公開した※ 107。Mozi の更新

2021 年 3 月 2 日、Necro の新たな亜種が観測され、は停止されたが、感染機器は残存しており、ボットネット

以下に示す点が強化されていることが確認された※ 109。

として長期間存続する可能性が指摘されている。

• Web アプリケーションフレームワーク Laravel における
リモ ートコ ード 実 行 の 脆 弱 性（CVE-2021-3129（4）
その他のウイルスとその亜種（JVNDB-2021-002557））、Oracle Corporation 製

Mirai や Gafgytとそれらの亜種以外にも、IoT 機器

WebLogic Server におけるリモートコード実行の脆弱を狙ったウイルスは存在しており、新たな脆弱性や悪用性（CVE-2020-14882（JVNDB-2020-009778））が感の方法を取り込んだ進化が続いている。

染拡大の悪用手段として追加された。
• 2 種類のバージョンがある。一方は、C&C サーバと（a）
「Necro」の亜種の通信に Tor ネットワークを利用する。他方は、DGA2015 年に発見された「Necro」は、プログラミング言を用いたサブドメイン生成と動的ドメイン名の組み合わ

語 Python で記 述されたボットネットである。 当 初はせによって C&C サーバ名を動的に生成する。

Windows を感染対象としていたが、2021 年 1 月 1 日• WebLogic Server が動作する Windows も攻撃対以降、Linux の動作する IoT 機器を攻撃対象とする感※ 108

染活動が観測された象とする。

。この亜種は、以下に示す特「Gafgyt_tor」（「3.2.1• 特定の Linux 機器に対しては、徴を備える。

（3）（a）Tor を利用する亜種『Gafgyt_tor』」参照）を• 3 種類の異なるバージョン、バージョン 1（necro.py（作ダウンロードする。
• 感染機器の Web サービスページを改ざんして、ブラ成者による命名。以下同様））、バージョン 2（out.

ウザマイニング（暗号資産（仮想通貨）の採掘処理）の

py）、バージョン 3（benchmark.py）がある。
• 脆弱な TELNET パスワードに加えて、TerraMaster

実行、ユーザデータの窃取、ユーザのブラウザのTechnology Co., Ltd.（深圳市 图 美 电 子技 术 有限

DDoSボット化、
ハッシュクラッキングへの悪用を試みる。

におけるOSコマンドインジェクションの脆弱性
System）

上記の挙動から、Necro と Gafgyt_tor は同一の集公司）製 NAS 用 TOS（TerraMaster Operating（CVE-2020-35665（JVNDB-2020-014767））
を感染拡団によって運用されていると考えられる。

大に悪用する。
• バージョン 2 以降では、Zend Technologies Ltd.
（現、（b）
QNAP 社製 NAS のマイニング悪用

Perforce Software, Inc. の一部門）製 Web アプリ

2021 年 3 月 2 日、QNAP Systems, Inc.（威聯通科

ケーションフレームワーク Zend Framework における

技股份有限公司。以下、QNAP 社）製 NAS を標的と信頼できないデータのデシリアライゼーションに関するして感染し、暗号資産のマイニングに悪用する攻撃が脆弱性（CVE-2021-3007（JVNDB-2021-002421））を観測された※ 110。この攻撃は、同社製 NAS 用ヘルプ

感染拡大に悪用する。

デスクアプリケーションの不適切な認証の脆弱性（CVE-• バージョン 3 では、解析を困難とするために、ドメイ

2020-2506）及び OS コマンドインジェクションの脆弱性

ン生 成 アルゴリズム（DGA：Domain Generation（CVE-2020-2507（JVNDB-2020-015853））
を悪用して感Algorithm）を用いて C&C サーバのアドレスを動的に染し、マイニングプログラム XMRig を不正実行する。

生成し、Python スクリプトを大幅に難読化している。

2020 年 8 月以前にインストールされたヘルプデスクアプリ• バージョン 2 及びバージョン 3 のダウンロードと実行でケーションが影響を受けるとされ、全世界で感染の恐れ

は、Python2 プログラムを PyInstaller で作成されたがある機器が429 万 7,426 台確認されている。
インターネッ

ELF（Executable and Linkable Format）形式の実

ト上から観測可能な QNAP 社製 NAS の国別分布を、

176

情報セキュリティ白書

表 3-2-2 に示す。同月 11 日、QNAP 社は公開済みアド

標準プロトコルに起因する脆弱性（IoT 機器のサプライ※ 111

バイザリを更新した

2022。

チェーンリスク）がある。また、脆弱性が発見された IoT
製品がサポート終了した EOL（End-of-life）ステータスに

国名

台数

米国

554,481中国

550,465

イタリア

371,327フランス

279,294

ドイツ

270,667

日本

229,005

英国

172,7822020 年に引き続いて、IoT 機器の開発においてサーオーストラリア

158,073

ドパーティ製ハードウェア部品及びソフトウェア部品としてある場合、更新ファームウェアが提供されないことが多く、脆弱性を残したままインターネットへの接続が継続される恐れが生じる。本項では、2021 年に発生したサプライチェーンとEOL のリスク事例を紹介する。

（1）共通コンポーネントの脆弱性（a）
NUMBER:JACK

ランサムウェア「eCh0raix」は、QNAP 社製 NAS 及

2021 年 2 月 10 日、9 種類の TCP/IP スタック（uIP、び Synology Inc.（群暉科技股份有限公司。以下、FNET、picoTCP、Nut/Net、CycloneTCP、uC/TCP-

Synology）製 NAS を標的としたランサムウェアである。

IP、NDKTCPIP、MPLAB Net、NucleusNET ※ 118）QNAP 社 は、2019 年 8 月 12 日※ 112、2020 年 6 月 8において発見された 9 種類の脆弱性（表 3-2-3）が報告

※ 113

※ 114

等のアドバイザリを公開され、「NUMBER:JACK」と名付けられた※ 119。該当してきた。2021 年 4 月 22 日、QNAP 社製 NAS 用バッ

する TCP/IP スタックは、TCP コネクションの初期シーケ

クアップソフトウェア HBS 3（Hybrid Backup Sync）におンス番号（ISN：Initial Sequence Number）
を適切に生ける不適切な認証の脆弱性（CVE-2021-28799（JVNDB-

成していないため、攻撃者が特定可能である※ 120。数

2021-007313））に関するアドバイザリ※ 115 が公開された

百万台の機器で使用されていると考えられ、医療機器、が、同年 6 月 21 日に eCh0raix による悪用が確認され

風力タービン監視システム、RTU（Remote Terminal、2021 年 5 月 14 日

日

※ 116

た

。

Unit）
、IT ストレージシステム等で利用が確認されている。同月 11 日、ICS-CERT はアドバイザリを公開し、随時更新している※ 121。

Edgewater Networks アプライアンスを狙う（d）「EwDoor」
2021 年 10 月 27 日、Edgewater Networks, Inc.（現、（b）NAME：WRECK
2021 年 4 月 12 日、4 種類の著名な TCP/IP スタック

Ribbon Communications US LLC の一部門）製ネット
ワーク機器を狙った新しいボットネットによる攻撃が観測され、「EwDoor」と命名された※ 117。EwDoor は、同社

脆弱性 ID製アプライアンスのコマンドインジェクションの脆弱性

CVE-2020-27213

Nut/Net（CVE-2017-6079（JVNDB-2017-004169））
を介して感染

CVE-2020-27630

uC/TCP-IP

を 拡 大 す る。 主 に EdgeMarc Enterprise Session

CVE-2020-27631

CycloneTCP

Border Controller を攻撃対象としており、観測時点でCVE-2020-27632

不十分なランダム値
CVE-2020-27633の使用
CVE-2020-27634

NDKTCPIP

は、米国の通信事業者 AT&T Inc. に属する約 5,700台の感染が確認されている。

3.2.2

サプライチェーンとEOLのリスク

IoT のセキュリティ対策を困難にしている理由の一つに、IoT 機器の開発に用いられる共通コンポーネントや脆弱性の概要対象スタックFNETuIP

CVE-2020-27635

picoTCPCVE-2020-27636

MPLAB Net

CVE-2020-28388

NucleusNET■表 3-2-3 NUMBER:JACK の脆弱性
（出典）
Forescout Technologies, Inc.「NUMBER:JACK – Forescout
Research Labs Finds Nine ISN Generation Vulnerabilities Affecting
TCP/IP Stacks ※ 119」を基に IPA が作成

177

個別テーマ

（c）
NAS を標的とするランサムウェア「eCh0raix」
の亜種

3

章

が発見された。

第採用される共通コンポーネントにおいて、数多くの脆弱性■表 3-2-2 QNAP 社製 NAS の国別台数（上位 8ヵ国）（出典）
Qihoo 360 Technology Co., Ltd.「QNAP NAS users, make※ 110
sure you check your system」

（FreeBSD、NucleusNET、IPnet、NetX）において事業者名・ブランド名／製造会社名

国・地域名

発見された 9 種類の脆弱性（表 3-2-4）が報告され、ADB（Advanced Digital Broadcast）SA スイス（a）「NAME:WRECK」と名付けられた※ 122（「1.2.5（3）Arcadyan Technology Corporation

台湾

多数の IoT 製品に影響する脆弱性」参照）
。該当する

ASMAX

ポーランド

TCP/IP スタックは、DNS プロトコルのメッセージ圧縮機

ASUSTeK Computer Inc.
（華碩電脳股份有限公司）

台湾

Beelineロシア

能が正しく実装されていないため、リモートコード実行・
DoS 攻撃・DNS キャッシュポイズニングの攻撃に晒されBT Group plc（旧 British Telecom）

英国る恐れが存在する。世界中に 100 億台を超える実装機

Deutsche Telekom AG

ドイツ器が存在しており、少なくともそのうち 1 億台が影響を受

Hughes Network Systems, LLC（HughesNet）

米国

けると推定されている。
脆弱性 IDCVE-2020-7461

脆弱性の概要対象スタック

境界外書き込みFreeBSD

Koninklijke KPN N.V.

オランダ

Telefónica, S.A.（O2）スペイン

Orange S.A.（旧 France Télécom S.A.） フランス

CVE-2016-20009 境界外書き込み

IPnet

Spark New Zealand Limited（Skinny/Spark NZ）

ニュージーランド

CVE-2020-15795 境界外書き込み

NucleusNET

Telecom Argentina S.A.

アルゼンチン

範囲外のポインタ
CVE-2020-27009
オフセットの使用

NucleusNET

Teléfonos de México, S.A.B. de C.V.
（TelMex）

メキシコ

不適切な NULL に
よる終了

NucleusNET

Telstra Corporation

オーストラリア

Telus Corporation

カナダ

Verizon Communications Inc.

米国

CVE-2020-27736

CVE-2020-27737 境界外読み取り

NucleusNET

CVE-2020-27738 バッファエラー

NucleusNET

CVE-2021-25677

不十分なランダム値の使用

NucleusNET

未割り当て

ポインタ値非確認に起因する境界外
アクセス

NetX

Vodafone Group Plc

英国株式会社バッファロー

日本■表 3-2-5 Arcadyan 社製ファームウェアの採用事業者（出典）Tenable, Inc.「Multiple Vulnerabilities in Buffalo and Arcadyan
manufactured routers ※ 124」を基に IPA が作成■表 3-2-4 NAME:WRECK の脆弱性
（出典）
Forescout Research Labs & JSOF「NAME:WRECK Breaking
and fixing DNS implementations ※ 123」を基に IPA が作成（d）
BadAlloc（c）
Arcadyan 社製ルータ用ファームウェアの脆弱性（RTOS：Real-Time Operating System）、ソフトウェ

2021 年 4 月 29 日、広く利用されているリアルタイム OS

2021 年 4 月 26 日、Arcadyan Technology

ア開発キット（SDK：Software Development Kit）
、C

Corporation（ 智 易 科 技 股 分 有 限 公 司。 以 下、

言語標準ライブラリ（libc）の実装におけるメモリ割り当て

Arcadyan 社）製ルータ及び同社製ファームウェアを用い機能の脆弱性が報告され、「BadAlloc」と名付けられたルータ等におけるディレクトリトラバーサルの脆弱性

た※ 127。これらのメモリ管理機能は、入力パラメータの（CVE-2021-20090（JVNDB-2021-002008））が報告され適切な検証を実施していないため、攻撃者は脆弱性を※ 124。Arcadyan 社製ファームウェアは、世界各国の悪用してヒープオーバーフローを実行し、悪意のあるリ

通信事業者やベンダのルータ／モデムで採用されている

モートコード実 行が可 能となる。2021 年 11 月 30 日、（表 3-2-5）。

ICS-CERT はアドバイザリ（次ページ表 3-2-6）を公開し、た

その後も随時情報を更新している※ 128。

株式会社バッファロー製ルータの一部機種には、同時に機種固有の脆弱性（CVE-2021-20091（JVNDB-2021005999）、CVE-2021-20092（JVNDB-2021-006000））も発見されており、同月 27 日、ファームウェア更新情報が公開された※ 125。影響を受ける機器が更に発見されたため、2021 年 7 月 20 日、米国の CERT Coordination
Center（以下、CERT/CC）はアドバイザリを公開し、その後も随時更新している※ 126。

178

情報セキュリティ白書

脆弱性 ID32934（JVNDB-2021-001889））が報告された※ 130。この影響を受けるRTOS／SDK／ライブラリ

CVE-2021-30636 Media Tek LinkIt SDK

脆弱性は、固定鍵を用いてパケットペイロードが暗号化

CVE-2021-27431 ARM CMSIS-RTOS2されているため、容易に解読可能というものであった。

CVE-2021-27433 ARM mbed-ualloc memory library

このソフトウェア開発キットは、ネットワークカメラの OEM

CVE-2021-27435 ARM mbed OS

ベンダ向けにインターネット経由のオーディオ／ビデオストCVE-2021-27427 RIOT OS

リームの Peer-to-Peer 通 信 機 能を提 供しており、 数

CVE-2021-22684 Samsung Tizen RT RTOS

百万台の機器に採用されている。

CVE-2021-27439 TencentOS-tiny

2021 年 8 月 17 日、Kalay P2P SDK の新たな脆弱性

CVE-2021-27425 Cesanta Software Mongoose OS（CVE-2021-28372（JVNDB-2021-002281））が報告されCVE-2020-35198

た※ 131。不適切なアクセス制御を悪用して、攻撃者のCVE-2021-31572

端末を Kalay ネットワークに不正接続することで、ネット
ワークカメラ内の情報へのアクセスや任意のコードの実

Amazon FreeRTOS

CVE-2021-3420

Redhat newlib（g）
INFRA:HALT

CVE-2021-27421 NXP MCUXpresso SDK
CVE-2021-22680 NXP MQX

2021 年 8 月 4 日、InterNiche Technologies, Inc. 製

CVE-2021-27419 uClibc-ngの組み込みシステム用 TCP/IP スタック NicheStack（現CVE-2021-27429

在は Tuxera Hungary Kft. の一部門 HCC-Embedded

CVE-2021-22636
CVE-2021-27504

Texas Instruments TI-RTOSが保守担当）の 14 種類の脆弱性（表 3-2-7）が報告され、

FREERTOS を用いた
Texas Instruments 製品「INFRA:HALT」と名付けられた※ 132。約 200 社の産業機器ベンダに採用されており、調査時点で約 6,400

CVE-2021-27502 Texas Instruments TI-RTOS
未割り当て

Google Cloud IoT Device SDK

CVE-2021-27411 Micrium OS

脆弱性 IDCVE-2021-26706 Micrium uC/OS: uC/LIB
CVE-2020-13603 Zephyr Project RTOS
CVE-2021-22156

BlackBerry QNX SDP

脆弱性の概要対象プロトコル

長さパラメータCVE-2020-25928 不整合時の不適切な取り扱い

DNSv4 Client

ヒープベースのバッ
ファオーバーフロー

HTTP Server

CVE-2021-31226

BlackBerry QNX OS■表 3-2-6

脆弱性 BadAlloc の影響を受ける RTOS／SDK／・
ライブラリ
※ 128
（出典）
」
を基に
ICS-CERT「ICS Advisory（ICSA-21-119-04）
IPA が作成

CVE-2020-25767 境界外読み取り

DNSv4 Client

長さパラメータCVE-2020-25927 不整合時の不適切な取り扱い

DNSv4 Client

ヒープベースのバッ
ファオーバーフロー

HTTP Server

CVE-2021-31227

CVE-2021-31400 例外処理の不備（e）Qualcomm 製チップセットの脆弱性

TCP

CVE-2021-31401 不適切な入力値検証

TCP

チップセットMSM（Mobile Station Modem）のファーム

CVE-2020-35683 不適切な入力値検証

ICMP

CVE-2020-35684 不適切な入力値検証

TCP

ウェアにおける、バッファオーバーフローの脆弱性（CVE-

CVE-2020-35685

不十分なランダム値の使用

TCP

CVE-2020-27565

不適切な例外条件の処理

HTTP

CVE-2021-36762

NULL 終端文字の
欠落

TFTP

CVE-2020-25926

不十分なランダム値の使用

DNSv4 Client

CVE-2021-31228

不十分なランダム値の使用

DNSv4 Client

2021 年 5 月 6 日、Qualcomm, Inc. 製携帯電話向け※ 129

2020-11292（JVNDB-2021-007821））が報告された。

全世界の携帯電話の約 3 割に採用されており、攻撃者が脆弱性を悪用することで、ユーザの通話履歴とSMS
へのアクセスや SIM ロックの解除が可能であった。
（f）ThroughTek P2P SDK の脆弱性
2021 年 6 月 15 日、ThroughTek Co., Ltd.（物聯智慧 股 份 有 限 公 司 ） 製 IoT 開 発 プラットフォーム
ThroughTek Kalay P2P SDK の脆弱性（CVE-2021-■表 3-2-7 INFRA:HALT の脆弱性
（出典）
JFrog Ltd「INFRA:HALT 14 New Security Vulnerabilities
を基に IPA が作成
Found in NicheStack ※ 132」

179

個別テーマ

行が試みられる恐れがある。

CVE-2021-27417 eCosCentric eCosPro RTOS3

章

CVE-2021-31571

Wind River VxWorks

第CVE-2021-26461 Apache Nuttx OS
CVE-2020-28895

2022

台の採用機器のインターネット接続が確認されている。

脆弱性 ID

脆弱性の概要CVE-2021-35392 スタックバッファオーバーフロー
CVE-2021-35393 ヒープバッファオーバーフロー（h）Realtek 社製の無線機器向け SDK の脆弱性

CVE-2021-35394 コマンドインジェクション

2021 年 8 月 16 日、Realtek 社 製の無 線 機 器 向け

CVE-2021-35395 コマンドインジェクション、境界外書き込み

SDK の 4 種類の脆弱性（表 3-2-8）が報告された※ 133。

■表 3-2-8 Realtek 社製 SDK の脆弱性
（出典）
IoT Inspector GmbH
（現、ONEKEY GmbH）「Advisory:
Multiple issues in Realtek SDK affect hundreds of thousands of※ 133
devices down the supply chain」
を基に IPA が作成

65 社以上のベンダにおける数十万台の IoT 製品で脆弱性が存在すると見られている。同 SDK を採用する事
事業者名・ブランド名／製造会社名

国・地域名

事業者名・ブランド名／製造会社名

国・地域名

A-Link Europe Ltd

フィンランドNETGEAR

ARRIS Group, Inc.

米国

米国

Nexxt Solutions

米国

AirLive Technology Corporation（鑫志股份有限公司）

台湾

Abocom Systems Inc.
（兆勁科技股份有限公司）

台湾

Shenzhen Zhuqiao Digital Technology Co.,（深圳市竹桥数码科技有限公司）
Ltd.（Algital）

中国

Amped Wireless

米国

Askey Computer Corporation（亞旭電腦股份有限公司）

台湾

PLANET Technology Corporation（普萊德科技股份有限公司）

台湾

ASUSTeK Computer Inc.
（華碩電脳股份有限公司）

台湾

Realtek Semiconductor Corp.
（瑞昱半導體股份有限公司）

台湾

Shenzhen Best One Technology Co., Ltd.
（深圳倍易通科技有限公司）

中国

Revogi Innovation Co., Ltd.
（易家智能
（深圳）
有限公司）

中国

Beelineロシア

Sitecom Europe BV

Belkin International, Inc.

米国

CFD 販売株式会社（Skystation）

日本

Calix Inc.

米国

Sercomm Corporation（中磊電子股份有限公司）

台湾

Shaghal Ltd.（Jetstream）

米国

Shenzhen Yichen（JCG）Technology
Development Co., Ltd.

中国

Observa Telecom, Ltd
Occtel Communication Co., Ltd.
（福億通訊股份有限公司）

スペイン
台湾

Omega Technology

ポーランド

PATECH（파테크）

韓国
（不確定）

オランダ

China Mobile Communications Group Co.,
Ltd.（中国移动通信集团有限公司）

中国

Compal Broadband Networks, Inc.
（鋐寶科技股份有限公司）

台湾

D-Link Corporation（友讯科技股份有限公司）

台湾

Shenzhen Skyworth Digital Technology Co.,
Ltd（创维数字股份有限公司）

中国

DASAN Networks, Inc.（다산네트웍스）韓国

Smartlink

不明

Davolink Inc.（다보링크）韓国

Edgecore Networks Corporation（鈺登科技股份有限公司）

中国

台湾

TCL Communication Technology Holdings
Limited（TCL 通讯科技控股有限公司）

Edimax Technology Co., Ltd.
（訊舟科技股份有限公司）

台湾

EnGenius Technologies, Inc.

米国

Esson Technology Inc.

中国

EZ-NET Ubiquitous Co., Ltd.

韓国

Fida International (S) Pte Ltd（Prolink）

シンガポールHama GmbH & Co KG

ドイツ

Hawking Technologies, Inc.

米国

LG International（現、LX International Corp.）
LINK-NET TECHNOLOGY CO., LTD.

韓国
ベネズエラ
（不確定）

MMC Technology, Inc.

韓国

MT-LINK Technologies Co. Ltd.

中国

NetComm Wireless Limited

オーストラリア

Netis Systems Co., Ltd.
（深圳市磊科实业有限公司）

中国

Technicolor, SA

フランス

Telewell Oy

フィンランドShenzhen Tenda Technology Co.,Ltd.
（深圳市吉祥腾达科技有限公司）

中国

Zioncom（Hong Kong）Technology Limited（Totolink）
（吉翁科技
（香港）
有限公司）

香港

TRENDnet, Inc.

米国

UPVEL LLC米国ZTE Corporation（中兴通讯股份有限公司）

中国

Zyxel Networks Corporation（合勤科技股份有限公司）

台湾

エレコム株式会社

日本

プラネックスコミュニケーションズ株式会社

日本

ロジテック株式会社日本

株式会社アイ・オー・データ機器

日本

株式会社バッファロー

日本■表 3-2-9 Realtek 社製 SDK の採用事業者（出典）
IoT Inspector GmbH
（現、ONEKEY GmbH）「Advisory: Multiple issues in Realtek SDK affect hundreds of thousands of devices downを基に IPA が作成
the supply chain」

180情報セキュリティ白書

業者の一部を表 3-2-9（前ページ）に示す。

脆弱性 ID（i）
NUCLEUS:13
2021 年 11月9日、Accelerated Technology, Inc.（現在は、Mentor Graphics Corporation を経て Siemens
AG の一部門）製の組み込み機器向け Nucleus RTOSの TCP/IP スタックに 13 種類の脆弱性（表 3-2-10）が報告され、「NUCLEUS:13」と命 名された※ 134。 同日、

2022

脆弱性の概要CVE-2021-0661

境界外書き込み

CVE-2021-0662

境界外書き込み

CVE-2021-0663

境界外書き込み

CVE-2021-0673

不適切な入力確認■表 3-2-11 M ediaTek SoC の脆弱性
（出典）Check Point Software Technologies LTD.「Check Point
Research discover vulnerabilities in smartphones chips embedded
in 37% of smartphones around the world ※ 136」を基に IPA が作成

ICS-CERT はアドバイザリを公開した※ 135。
脆弱性 ID

入力で指定された
CVE-2021-31345
数量の不適切な検証付けられた※ 137。1997 年に制定された IEEE 802.11 にUDP起因する 3 種類の設計上の欠陥とそれらに対する攻撃

入力で指定された数量の不適切な検証

CVE-2021-31881 境界外読み取り

DHCP Client

CVE-2021-31882 バッファエラー

DHCP Client

CVE-2021-31883 バッファエラー

DHCP Client

CVE-2021-31884 境界外読み取り

DHCP Client

CVE-2021-31885

設計①：アグリゲーション攻撃（aggregation attack）
Wi-Fi のフレームアグリゲーション機能（小さな複数のフレームを大きな集約フレームに結合することでネットワー
ク速度とスループットを向上する機能）において、集約されたか否かを示すフラグ「is aggregated」が認証さ

不適切な長さの値による
TFTP Server
バッファへのアクセス

CVE-2021-31886 不適切な NULL 終端

FTP Server

CVE-2021-31887 不適切な NULL 終端

FTP Server

CVE-2021-31888 不適切な NULL 終端

FTP Server

CVE-2021-31889 整数アンダーフロー

TCP Server

CVE-2021-31890

を、以下に示す。

IP / ICMP

一貫性のない構造要素の不適切な処理れていないため、攻撃者による改ざんの恐れが存在する。
設計②：混合キー攻撃（mixed key attack）
Wi-Fi のフレームフラグメンテーション機能（大きなフレームを小さなフラグメントに分割することで接続の信

TCP Server

頼性を向上する機能）において、受信者が複数のフラグメントからフレームを再構築する際、フラグメントが等■表 3-2-10 N
 UCLEUS:13 の脆弱性
（出典）
Forescout Technologies, Inc.「New Critical Vulnerabilities
Found on Nucleus TCP/IP Stack ※ 134」を基に IPA が作成

しければ同一であるべき暗号鍵の同一性を確認していないため、攻撃者によるデータ窃取の恐れが存在（j）MediaTek 製スマートフォン用 SoC の脆弱性する。

2021 年 11 月 24 日、MediaTek Inc.（聯發科技股份

設計③：フラグメントキャッシュ攻撃（fragment cache有限公司）製スマートフォン用 SoC（System-on-a-chip）

attack）

※ 136

。全世

Wi-Fi のフレームフラグメンテーション機能において、ク界の 37% のスマートフォンや IoT 機器で採用されておライアントのネットワークからの切断時、サーバ（アクセり、SoC 内のオーディオ処 理用 DSP（Digital Signal

スポイント）が再構築されていないフラグメントの残りを

Processor）のファームウェア及びオーディオのハードウェア

メモリ上から削除しないため、攻撃者によるデータ窃

抽象化レイヤに脆弱性（表 3-2-11）が存在し、DSP 上で取の恐れが存在する。

において、4 種類の脆弱性が発見された不正プログラムを実行して盗聴に悪用される恐れがある。
2021 年 5 月 11 日、Wi-Fi Alliance ※ 138 及び ICASI（2）標準プロトコルの脆弱性（Industry Consortium for Advancement of Security

IoT 機器が通信機能として採用・実装する標準プロト

on the Internet、現 FIRST PSIRT SIG の一部）
がそコルにおいて、脆弱性が発見されている。

れぞれ声明を発表した。Wi-Fi 機能を実装したほぼす
べての機器が影響を受け、各ベンダは対応に追われる（a）
Wi-Fi の脆弱性「FragAttacks」

こととなった。

2021 年 5 月、無線 LAN 規格 Wi-Fi 仕様の設計上

181

3

個別テーマ

（次ページ表 3-2-12）が公開され、「FragAttacks」と名ICMP

CVE-2021-31346

脆弱性の概要章

対象プロトコルCVE-2021-31344 型の取り違え

第の欠陥及び実装上の誤りに起因する 12 種類の脆弱性

脆弱性 ID

原因（3）EOL 機器の脆弱性

脆弱性の概要2021 年を通じて、各社の Wi-Fi ルータ製品等におけ

CVE-2020-24588 設計① アグリゲーション攻撃
CVE-2020-24587 設計② 混合キー攻撃

る脆弱性の発見が相次いだが、その中にはサポートがCVE-2020-24586 設計③ フラグメントキャッシュ攻撃終了した EOL（End-of-life）製品が多く含まれていた（表

CVE-2020-26145

不適切な入力確認

CVE-2020-26144

不適切な入力確認

CVE-2020-16140

インジェクション

CVE-2020-26143

不適切な入力確認

そうでない機器は使用を中止せざるを得ない状況が発生

不適切な認証した。

CVE-2020-26139
CVE-2020-26146

実装

3-2-14）。当該製品に対するファームウェアの更新は提供されないため、緩和策が存在する機器は対策を実施し、不適切な入力確認

CVE-2020-26147

その他の脆弱性

CVE-2020-26142

インジェクション

CVE-2020-26141

完全性チェック値（ICV：
Integrity Check Value）の
検証不備

報告日

ベンダ名及び EOL 機器

2021 年 1 月 22 日※ 141

NEC プラットフォームズ株式会社
・Aterm WF800HP

2021 年 1 月 26 日

※ 142

エレコム株式会社
・WRC-1467GHBK-A 他
ロジテック INA ソリューションズ株式会社
・LAN-WH450N/GR 他■表 3-2-12 W
 i-Fi の脆弱性「FragAttacks」（出典）
New York University Abu Dhabi「FragAttacks: Security
flaws in all Wi-Fi devices ※ 137」を基に IPA が作成

2021 年 4 月 9 日※ 143

NEC プラットフォームズ株式会社
・Aterm WG1200HS 他（b）Bluetooth 仕様の脆弱性

2021 年 4 月 27 日※ 144

株式会社バッファロー
・WBR-B11、WBR-G54 他

2021 年 7 月 6 日※ 145

エレコム株式会社
・WRC-1167FS-W/B 他
・WRC-300FEBK 他

2021 年 5 月 24 日、CERT/CC は、フランスの国防
安全保障事務局傘下の ANSSI（Agence Nationale
de la Sécurité des Systèmes d'Information） が 近■表 3-2-14 脆
 弱性が発見された EOL 機器（出典）
各社の公開情報及び報道を基に IPA が作成

距 離 無 線 通 信 規 格 Bluetooth の 仕 様 である Core
Specification の 一 部（Bluetooth BR/EDR（Basic
Rate/Enhanced Data Rate）、
Bluetooth Low Energy

3.2.3

（BLE）
）及び Mesh Profile の脆弱性情報（表 3-2-13）を開示した、と発表した※ 139。Bluetooth SIG は、各脆

脆弱なIoT機器とウイルス感染の実態

IoT 機器に対する脅威が残存し続けている中、脆弱

※ 140

。影響

な IoT 機器とウイルス感染の実態はどうなっているのか。

を受ける製品は広範囲に渡っており、各ベンダは対応に

本項では、セキュリティ対策強化の取り組みの公開情弱性に対する緩和策を含む声明を発表した
追われた。

報等から、脆弱なまま運用されている IoT 機器とウイル
ス感染の実態を考察する。

脆弱性 ID

対象

脆弱性の概要CVE-2020-26558

パスキーエントリープロトコルを利用したなりすましCVE-2020-26555

Core PINコードペアリングプロトコル
Spec. を利用したなりすまし

未割り当て

LE レガシーペアリングを利用したなりすましCVE-2020-26560

メッシュプロビジョニングを利用したなりすましCVE-2020-26557

不適切な値の利用による
AuthValue の特定（1）国内における実態
総務省及び NICT は、2019 年 2 月以降、インターネッ
ト接続事業者と連携し、サイバー攻撃に悪用される恐れのある IoT 機器の調査及び当該機器の利用者への注
意喚起を行う取り組み「NOTICE（National Operation※ 146」を継続してTowards IoT Clean Environment）

いる。2021 年 1 月以降の取り組み結果を、表 3-2-15（次
ページ）
に示す。

Mesh
Profile ブルートフォース攻撃によるCVE-2020-26556
AuthValue の特定
CVE-2020-26559• 「NOTICE 注意喚起」（ログイン可能機器利用者への注意喚起）は、1 年間をとおしてほぼ同一の値を示

取得可能な値を利用した
AuthValue の特定しており、実態として大きな変化はないと考えられる。
なお、
2021 年 1 月の値のみ一時的に減少した要因は、同時期に外部から攻撃・侵入が行われ、NOTICE■表 3-2-13 B luetooth 仕様の脆弱性を基に IPA（出典）
CERT/CC「Vulnerability Note VU#799380 ※ 139」が作成の調査が正常に実施できなかったことによると推測さ182

情報セキュリティ白書

れている。

2022

最も多くの 脆 弱 性 が 発 見され た の は、TP-Link• 「NICTER 注意喚起」（ウイルス感染機器利用者へTechnologies Co., Ltd.（普 联 技 术 有限公司。以下、の注意喚起）は、2021 年 2 月末～ 4 月と9 月下旬～

TP-Link 社）製 Archer AX6000 であり、同月 10 日、11 月にかけて一時的な増加が見られた。これは、海TP-Link 社はアドバイザリを公開して、ファームウェア更外での Mirai の亜種の活動活発化を受けて、国内

新を呼びかけた※ 149。

の脆弱な機器（脆弱性が存在するが対処方法が存在しない機器）が感染したものと考えられる。
なお、2022 年 3 月の時点で、NOTICE 参加 ISP は

1,948 件平均 94 件／日

2021 年 3 月

1,883 件平均 469 件／日

2021 年 4 月

1,857 件平均 554 件／日

2021 年 5 月

1,817 件平均 181 件／日

2021 年 6 月

1,823 件平均 209 件／日

2021 年 7 月

1,770 件平均 96 件／日

2021 年 8 月

1,790 件平均 107 件／日

25

FRITZ!Box 7530 AX

20

FRITZ!Box 7590 AX

18

D-LinkDIR-X5460

26

EdimaxBR-6473AX

25

MR9600

21

Nighthawk AX12

29

Linksys※ 150

NETGEAR
Synology

RT2600ac30

TP-Link

Archer AX6000

32■表 3-2-16 セキュリティテスト実施対象と発見された脆弱性（出典）IoT Inspector GmbH（現、ONEKEY GmbH）「WLAN-Routerim Sicherheits-Check ※ 151」
を基に IPA が作成

2021 年 9 月

1,774 件平均 246 件／日

2021 年 10 月

1,769 件平均 681 件／日

2021 年 11 月

1,739 件平均 373 件／日

これまで述べたように、脆弱性を有したままの IoT 機

2021 年 12 月

1,670 件平均 194 件／日

2022 年 1 月

1,665 件平均 198 件／日

器をインターネットに接続すると、サイバー攻撃を受けて2022 年 2 月

1,686 件平均 231 件／日

2022 年 3 月

1,664 件平均 193 件／日

3.2.4

セキュリティ対策強化の取り組み

ウイルス感染する脅威は残存しており、IoT 機器のセキュリティ対策強化の必要性に変わりはない。本項では、対策を検討・推進する上で参考となるセキュリティガイド等■表 3-2-15 国 内における注意喚起の取り組みの実施結果（出典）
NOTICE サポートセンター「実施状況※ 147」を基に IPA が作成の発行状況や国内外の取り組みについて紹介する。

（2）脆弱な IoT 機器の実態（1）IoT 関連セキュリティガイド等の改訂・
新規発行

2021 年 12 月 2 日、IoT Inspector GmbH（ 現、ONEKEY GmbH）
は、大手ベンダ 8 社の Wi-Fi ルータ

これまでに公開された IoT セキュリティに関するガイド

9 機種に対して、ドイツの IT 雑誌 CHIPと共同でセキュ

ラインや手引き等の改訂版、新たなガイドライン等が引きリティテストを実施した結果、合計 226 種類の脆弱性を続き公開されている。2021 年以降に国内及び海外で公※ 148発見したと報告した（表 3-2-16）。当該機種は、全開された資料を、表 3-2-17（次ページ）と表 3-2-18（次々

世界で数百万台流通しており、すべてのベンダが抱え

ページ）
に示す。

ている典型的な問題例として以下を挙げている。
• 古いバージョンのオペレーティングシステム（Linux カー（2）米国 IoT 製品のサイバー・セキュリティ・
ラベルの検討ネル）やソフトウェアコンポーネント（標準ツールとしての2021 年 5 月 12 日、米国政府は大統領令 EO 14028

BusyBox 等）を使用している。
• マルチメディア機能や VPNといったルーティング以外「Improving the Nation's Cybersecurity」を公表した※ 152（「3.4.1（2）Biden 政権の政策」参照）。本大統領の付加サービスの実装も旧式である。

令の Sec.4 でソフトウェアサプライチェーンの強化が挙げ• 初期パスワードとして、脆弱な「admin」等が使用されられ、項番（s）にて IoT 機器のセキュリティ機能とソフトている。

ウェアの開発方法について一般の人々を教育するための

183

3

個別テーマ

2021 年 2 月

ASUSTeK章

平均 79 件／日

脆弱性数

第NOTICE 注意喚起 NICTER 注意喚起
（ログイン可能機器）（ウイルス感染機器）
1,581 件機種名
ROG Rapture GTAX11000

AVM GmbH

69 社、調査対象 IP アドレスは約 1.12 億アドレスである。

2021 年 1 月

ベンダ名

プログラムを開始、項番（t）にて本命令の日付から 270• 適合性評価に関する考慮事項（4 章）

日以内に「消費者向けラベリングプログラムのための IoT（3）共通ガイドラインに基づく国際間の協調

サイバーセキュリティ基準」
を特定する、とされた。
これを受 けて、NIST は、 同 年 8 月 31 日に 草 案

シンガポール首相官邸傘下の CSA（Cyber Security「DRAFT Baseline Security Criteria for Consumer

Agency of Singapore）
では、IoT のセキュリティを向上※ 153」を、同年 12 月 3 日にディスカッション

する取り組みとして、消費者向けスマートデバイス機器

ペ ー パ ー「Consumer Cybersecurity Labeling for※ 156
向けの CLS（Cybersecurity Labelling Scheme）

IoT Products：Discussion Draft on the Path

を 2020 年 10 月 7 日から実施してきたが、2021 年 1 月

IoT Devices

※ 154

」
を公開した。その後、2022 年 2 月 4 日、

21 日、そのスコープをすべての消費者向け IoT 機器

NIST は「Recommended Criteria for Cybersecurityに 拡 大し た。 この スキ ー ムは、ETSI（European

Labeling for Consumer Internet of Things（IoT）

Telecommunications Standards Institute：欧州電気Forward※ 155」を公開した。消費者向けに提供される

通信標準化機構）が制定した欧州標準 ETSI EN 303

IoT 製品を対象にしたラベリング制度を確立しようとする

645（CYBER; Cyber Security for Consumer Internet

制度オーナが実際にプログラムを開発する際に考慮すべ

of Things: Baseline Requirements）に基づいている。

き、以下の検討事項と推奨事項を示している。

2021 年 10 月 6 日、異なる国家における重複した試験• 推奨ベースライン製品基準（2 章）

実施を削減するため、シンガポール政府とフィンランド政• ラベリングに関する考慮事項（3 章）

府は、両国が発行するセキュリティラベルを相互に承認

Products

公開機関・団体

公開資料名

対象読者

主な内容

公開年月

経済産業省

検 証サービス事 業 者の実 施 事
IoT 機器のセキュリティ
機器のサイバーセキュリ
項、 検 証 依 頼 者 の 準 備 情 報、
検証サービス事業者、
ティ確保のためのセキュリ
二者間コミュニケーションにおける 2021 年 4 月
検証依頼者（機器製
ティ検証の手引き※ 159
留意事項、信頼できる事業者の
造者）
判断基準

総務省

ICT インフラ・サービス（IoT・
5G を含む）に関するセキュリティ
ICT サイバーセキュリティ
IoT セキュリティ関係者
2021 年 7 月
対策の総合的な推進に向けて取総合対策 2021 ※ 160
り組むべき課題

IPA

IoT 開発におけるセキュリ
IoT 開発におけるセキュ 具体的な設計手法（脅威分析、
2022 年 3 月
ティ設計の手引き（2022
リティ設計担当者
対策検討、脆弱性対策）※ 161
年 3 月版）

IoT 機器セキュリティ要件 IoT 機器及びシステム
ガイドライン 2021 年版： のサーティフィケーショ IoT 機器及びシステムの最低限
CCDS-GR01-2021 Ver. ンプログラム※ 163 申請 のセキュリティ要件※ 162者
一般社団法人重要生活機器 2.0
連携セキュリティ協議会（CCDS：Connected
Consumer Device
Security Council）

IoT 機 器セキュリティ要件ガイドライン別 冊 12 IoT 機 器 の ユーザ 企 IoT 機器のセキュリティ要件の解説 2021 年 6 月
要件における解説編 − 業、ベンダ企業（脅威の背景と事例、対応策等）
2021 年版−※ 164

IoT 機器セキュリティ要件_2021 年版 _ 対策方針 同上
チェックリスト _v1.0 ※ 165

IoT 機器のセキュリティ要件の対策方針チェックリスト

フレームワークスプレッドシートを用
CSA IoT セキュリティコン
いた IoT システムの評価・実装 2021 年 1 月
一般社団法人日本クラウド トロールフレームワーク 利用ガイド バージョン 2 ※ 166 IoT システ ム の 設 計 方法
セキュリティアライアンス（英語版）（CSA-JC：Cloud Security CSA IoT セキュリティコ 者、開発者、評価者
2021 年 5 月
IoT システムの評価・実装に利 （日本語版）
Alliance Japan Chapter） ントロールフレームワーク
用可能なセキュリティコントロール
バージョン 2 ※ 167
一般社団法人セキュア
IoT プラットフォーム協議会（SIOTP：Secure IoT
Platform Consortium）

IoT 機器に求められるセキュリティ
IoT 機 器の製 造 事 業
IoT セキュリティ手 引 書対策について、製品ライフサイク者、IoT システムの提2022 年 1 月
Ver2.0 ※ 168
ルの各分類における業界基準の供に関わる事業者
解釈と検証結果■表 3-2-17 2
 021 年以降に国内で新規公開・改訂された IoT 関連のガイドライン等（出典）
各団体の公開情報を基に IPA が作成

184

情報セキュリティ白書

公開資料名ISO/IEC 30147:2021 Internetof Things (IoT) - Integration of
IoT trustworthiness activities in
ISO/IEC/IEEE 15288 systemengineering processes ※ 169

IoT 製 品やサービスにおけるトラストワージネ
IoT 製品・サービス ※ 170の実装・保守の 2021 年 5 月
スの開発者や保守者
ためのシステムライフサ
イクルプロセスNISTIR 8259B: IoT NonTechnical Supporting Capability
Core Baseline ※ 171

製 造 業 者が 製 造 する
IoT 機器をサポートする
IoT 機器の製造者 ために導入を検討すべ 2021 年 8 月
き四 つ の 非 技 術 的 サ
ポート機能

主な内容

公開年月

SP 800-213A: IoT Device
Cybersecurity Guidance for theFederal Government: IoT Device 同上
Cybersecurity Requirement
Catalog ※ 173

詳細化された IoT 機器のサイバーセキュリティ
2021 年 11 月
機能と非技術的サポー
ト機能のカタログ

ENISA
ICT 製品の製造者（European Union Agency Cybersecurity Certification –欧 州サイバーセキュリ
for Cybersecurity/
EUCC, a candidate cybersecurity や提供者、ICT サー
ティ認証フレームワーク
ビス提供者、規制
European Network and certification scheme to serve2021 年 5 月
における最初の候補ス
当局、ICT 製品のInformation Security
as a successor to the existing
キーム
エンドユーザ
Agency：欧州ネットワーク・ SOG-IS v1.1.1 ※ 174
情報セキュリティ機関）ETSI TS 103 645 及
ETSI
消費者向け IoT 機
び ETSI EN 303 645
ETSI TS 103 701 v1.1.1 (2021（European器の提供者及び実に対応した消費者向け 2021 年 10 月
Telecommunications08): Conformance Assessment
装者、ユーザ企業、※ 175
IoT 機器の適合性評価
Standards Institute：欧州 of Baseline Requirements
試験実施機関等
手法
電気通信標準化機構）■表 3-2-18 2
 021 年以降に海外で新規公開・改訂された IoT 関連のガイドライン等（出典）
各団体の公開情報を基に IPA が作成する覚書（MoU：Memorandum of Understanding）に署名した※ 157。フィンランドでは、2019 年 11 月 26 日から Finnish Transport and Communications Agency
Traficom が ETSI EN 303 645 に基づくラベリングを実施しており※ 158、両国の間で合意が成立した。

185

3

個別テーマ

SP 800-213: IoT Device
Cybersecurity Guidance for
IoT 機器を既存システム
the Federal Government:
米国政府機関職員 に統合する際に検討に 2021 年 11 月
Establishing IoT Device
資する推奨事項
Cybersecurity Requirements ※ 172

章

NIST（National Instituteof Standards andTechnology：米国国立
標準技術研究所）

対象読者

第公開機関・団体
ISO（International
Organization forStandardization：
国際標準化機構）／
IEC（International
ElectrotechnicalCommission：
国際電気標準会議）

2022

3.3 クラウドの情報セキュリティ
IT システムの利用は、組織の業務に応じたソフトウェ

2018年（n=2,119）アの開発を業務委託して個別に開発する形態から、サー

32.9

25.4

21.4

14.0

5.6
0.6

ビスを選定し、必要な機能を必要なだけ利用するという形

2019年（n=2,122）

態に変わりつつある。その形態の一つとしてクラウドサー

36.0

28.5

10.4

17.9

6.9
0.3

ビス
（SaaS/PaaS/IaaS 等）
があり、利用する組織が増加

2020年（n=2,223）している。一般社団法人日本情報システム・ユーザー協

39.3

29.2

10.1

16.0

5.1

0.3
0％

会（JUAS：Japan Users Association of Information

20％

40％

60％

80％

100％

全社的に利用している
一部の事業所または部門で利用している
利用していないが、今後利用する予定がある
利用していないし、今後利用する予定もない
クラウドについてよく分からない
無回答

Systems）の「企業 IT 動向調査報告書 2021 ※ 176」によれば、1,142 社を対象とする調査において、パブリックク
ラウド（SaaS）を「導入済み」あるいは「試験導入中・導入準備中」と回答した企業が 67.2%（前年 65.9%）、パブ■図 3-3-1 クラウドサービスの利用状況の推移（出典）
総務省「通信利用動向調査報告書（企業編）」を基に IPA が編集

リッククラウド（IaaS、PaaS）を「導入済み」あるいは「試験導入中・導入準備中」と回答した企業が 57.1%（前年⑥5.3％

57.5%）となり、多くの企業でクラウドサービスへ移行して⑤11.3％

いる傾向が鮮明になっているという。特に SaaS につい④0.4％①30.8％③0.5％ては 2016 年度調査以降 5 年連続で増加傾向が見られた。更に、政府のデジタル化・クラウド化等の政策により、
コミュニケーションの活性化や作業の効率化においてクラウドサービスの利用が必須となっている。しかし、クラウ②51.7％

ドサービスは利便性が高い反面、管理面で利用者・提供者の責任分担があり、提供者側の管理状況を利用①非常に効果があった③あまり効果がなかった⑤効果はよくわからない者が把握しにくい、クラウド環境に精通しない利用者による設定ミスがおこる等、課題も存在する。

②ある程度効果があった④マイナスの効果があった⑥無回答■図 3-3-2 クラウドサービスの効果（n=1,595）（出典）
総務省「通信利用動向調査報告書（企業編）」を基に IPA が編集「情報セキュリティ白書 2020 ※ 177」の「3.4 クラウドの情
報セキュリティ」では、クラウドサービス全般の情報セキュれる。

リティについて取り上げ、インシデントや対策について述
べた。本節では、近年利用が急増している SaaS に焦パロアルトネットワークス株式会社の「クラウドネイティブ

点を絞り、SaaS 利用の現状、インシデント被害、セキュ（以下、パ
セキュリティジャパンサーベイ 2021 年版※ 179」

リティの課題と対策、セキュリティの政策について述べる。

ロアルト調査）では、国内企業のワークロード（業務量）
全体の 43% がパブリッククラウド上で稼働しており、今後 2 年間で 60％に達すると予測している。この値は海3.3.1 クラウドサービスの利用状況
総務省の「令和 2 年通信利用動向調査報告書（企業外企業の回答と比べて数ポイント低いものの大きな差はな
く、国内企業でのクラウド活用は一層進むと考えられて

※ 178

編）

」（以下、総務省調査）によれば、従業員 100いる。

人以上の企業 2,223 社について、クラウドサービスを利Gartner, Inc. の調査では、パブリッククラウドサービス

用していると回答した割合は 68.5% で、2019 年（令和への全世界のエンドユーザの支出は、2021 年に 3,961

元年）の 64.5% より4 ポイント増加した（図 3-3-1）。サー

億ドルに達し、2022 年には更に 21.7％増加して 4,821 億

ビス利用の効果について「非常に効果があった」またはドルに達すると予測している。中でもSaaS サービスの支「ある程度効果があった」と回答した企業が 8 割を超えた

出は最も多く2021 年に 1,719 億ドルと予測している※ 180。

（図 3-3-2）。今後も企業・組織でのデジタル化の進展と株式会社 LegalForce の国内調査「SaaS の導入実

ともにクラウドサービスの利用は更に増加していくと考えら※ 181」では、自部署で SaaS
態調査（2021 年 12 月実施）

186

情報セキュリティ白書を導入して 3 年未満という回答者が 43.9%（図 3-3-3）で｢新型インフルエンザ等対策特別措置法に基づく緊急事あり、新型コロナウイルス感染拡大防止や DX 推進によ態宣言｣（以下、緊急事態宣言）が発出された 2020 年

り、SaaS の利用者が短期間に増えている様子がうかが4 月以前から組織が利用している SaaS サービスの割合える。

は、「電子メール」が最も高く（65.9%）、「スケジュール共2022

有」（55.1%）、「Web 会議」
（49.2%）と続く。また、緊急①10.7％⑨21.5％

事態宣言以降に利用を開始した SaaS サービスとしては「Web 会議」（38.4%）、「動画配信・ウェビナー」（22.7%）、②15.6％

⑧1.0％
⑦3.5％

「電子承認」（16.9%）の順であり、従来対面あるいは書面で実施されていた業務がデジタル化され、SaaS サー
ビスの導入が進んだことが分かる。

③17.6％④9.7％②1〜2年未満前⑤4〜5年未満前⑧20年以上前③2〜3年未満前⑥5〜10年未満前⑨知らない2021 年はクラウドサービスの利用者の設定ミスに起因するセキュリティインシデント（以下、インシデント）が多く見■図 3-3-3 SaaS の導入時期（n=1,000）（出典）株式会社 LegalForce「SaaS の導入実態調査 (2021 年 12 月
実施）」を基に IPA が編集られた。更に、不正アクセスやクラウドの開発環境のスク
リプトが改ざんされるといったインシデントも報告された。

IPA が 2022 年 2 ～ 3 月に実施した「企業・組織にお主な SaaS のインシデントの事例について以下に述べる。

※ 182」から、組織けるテレワークのセキュリティ実態調査

での SaaS の利用状況の調査結果を図 3-3-4 に示す。

2021 年 1 月 4 日、株式会社コナミデジタルエンタテイ

Web会議

49.2

電子メール

38.4

65.9

社内のファイル保管・
データ共有
スケジュール共有

9.4

55.1
48.8
10.6

33.1

セキュリティ

26.3

eラーニングプロジェクト管理
名刺管理・
顧客管理
受注販売
課金・決済システム

34.2

イン ID、メールアドレス、電話番号であり、ログイン ID

36.7に紐づけられた個人を識別できる複合情報（氏名・住所・

16.9

18.4

37.0

電話番号・メールアドレス・生年月日等）については別の

9.9 12.4

39.1

システムで管理していたため、流出の可能性はないとし研究・開発関係

22.0

22.7

31.8

10.4 13.1

43.4

7.2

42.0

26.1

7.4

21.1

44.3

27.8

7.5

17.2

46.5

15.8 3.2

27.8

4.7

15.2 2.0

17.8

23.9

56.6

セスが確認された顧客に対して順次個別に経緯・状況を説明した。更に、システムの設定変更、詳細な調査、

68.5
60

点で当該システムの設定変更を完了し、監督官庁へ報

57.6

7.4 0.7 22.2
40

株式会社コナミアミューズメントは 2021 年 3 月 1 日の時告を実施するとともに、個人情報データへの第三者アク

66.9

20

ている。株式会社コナミデジタルエンタテインメント及び

52.0

12.7 1.6 17.60

第三者のアクセスが確認された個人情報データはログ

21.1

26.9

19.9

調達

て第三者のアクセスがあったという。

20.9

24.4

37.9

動画配信・
ウェビナー
取引先との情報共有て調査を実施したところ、個人情報データの一部に対し

16.8

38.8

7.8

33.5

不備が発覚した※ 183。当該システムへのアクセスについ

4.2

34.6

システム開発・
webサイト構築
電子承認

部からの指摘によりクラウド型顧客管理システムの設定

14.6

23.2

32.1

5.7

10.3
14.5

18.9

10.3

35.2

15.9

26.6

10.6

ンメント及び株式会社コナミアミューズメントにおいて、外3.3 8.4

7.0

48.7

社内情報共有・ポータル
給与・財務会計・人事・勤務管理
データバックアップ

生産・物流・店舗管理（1）設定ミスに起因するインシデント

及び監督官庁への報告を実施し、システムの設定変更
80

2020年4月以前から利用している
2020年4月以降から利用している
SaaSは利用していない（社内システム利用）
利用していない

後は第三者からのアクセスは確認されていないという。

100
（％）

■図 3-3-4 S
 aaS の利用状況（n=809）（出典）
IPA「企業・組織におけるテレワークのセキュリティ実態調査」
を基に編集

現状の点検と再発防止に取り組み、管理体制の強化に努めるとしている。
2021 年 2 月 9 日、神戸市が運営する情報共有アプリ「KOBE ぽすと」が保管している情報に対する外部の第三者からのアクセスが発覚した。神戸市の調査によると、

187

3

個別テーマ

①1年以内
④3〜4年未満前⑦10〜20年未満前

3.3.2 クラウドサービスのインシデント被害

章

⑤9.5％

第

⑥10.9％

「KOBE ぽすと」が活用するクラウド型情報管理アプリ
ケーション「Salesforce

法が正規のデータリクエストを装ったものであったため、※ 184」の外部からの参照設定の正常なアクセスログから不正アクセスを特定する必要が不備と、その影響に対する認識誤りが原因であったといあり、調査に時間を要したという。

う。第三者によるアクセスは、ログの解析結果から、5ネットマーケティング社は、不正アクセス発見後、アク回のアクセスで延べ 103 件のユーザ情報にアクセスがあセスを遮断して保有するすべての年齢確認書類画像

り、そのうち 1 件に個人情報（メールアドレスと生年月日）

データの安全確保措置を実施した。その後は新たな不が含まれていた。神戸市は個人情報が参照された可能

正アクセスの痕跡は確認されていないとしている。更に性がある 1 名にお詫びの連絡を行うとともに、二次被害システムセキュリティ全般に対して、以下を含む再発防等が生じていないことを確認した。また同システムの設止対策を実施している。

定変更を 2021 年 2 月 1 日に完了し、同年 2 月 9 日の時• 外部ネットワークからのアクセスやリクエスト制限の厳格点で問題のある状態は解消したと報告している。更に、化

再発防止策として委託事業者における情報収集経路、• アプリケーションの認証設定の見直し

管理、共有体制の見直しの実施及びインシデント情報の• 保有する年齢確認書類画像データの保管場所の移収集に努める等、委託事業者と一体となってセキュリティ

動と暗号化

※ 185

。

対策の強化を図るとしている• アクセス制御と権限の厳格化及びパスワードポリシー

このほか、2020 年 12 月から 2021 年 1 月にかけては、の強化

Salesforce を利用する多くの企業、自治体等において、• ログイン認証の厳格化と監査証跡の強化

設定不備による意図しない情報の公開や、実際に情報• 社内エンドポイントへの定常的な動態調査基盤の導入

が外部から参照される等のインシデントが発生した（2020• 社内ネットワーク及びサービスやコーポレートサイト等外

年度に発生した事例については「情報セキュリティ白書
2021

部公開サービスに関する脆弱性診断の実施※ 186」の「1.2.8（3）過失やシステム不具合による情• 診断に基づくネットワーク構成及びアプリケーションの報漏えい・情報紛失」参照）。

実装の見直しとセキュリティ強化

このような状況を重く見て、NISC は、2021 年 1 月 29

• 年齢確認審査業務の厳格化及び安全性向上を目的

日に重要インフラ事業者等に向けて、Salesforce の設定とする、オンライン本人認証サービスの導入不備による情報流出の可能性について、サービスの利用状況や各種設定の見直し等のセキュリティ対策が必

なお、本インシデントをきっかけとして、特定非営利活※ 187

要である旨、注意喚起を行った。

動法人結婚相手紹介サービス業認証機構では 2022 年
3 月 17 日にインターネット型結婚相手紹介サービス業認証（2）不正アクセスに起因するインシデント制度の認証基準を一部改訂し、個人情報保護に関する※ 189

株式会社ネットマーケティング（以下、ネットマーケティ

認証基準の要求事項を強化したことを公開している。

ング社）は 2021 年 5 月 21 日、同社が運営するマッチン（3）
スクリプトの改ざんに起因するインシデント

グアプリサービス「Omiai」への第三者からの不正アクセスによって、会員情報の一部である年齢確認書類画像

2021 年 1 月31日、Codecov LLC（以下、Codecov 社）

データ（運転免許証、健康保険証、パスポート、マイナ

は、同社が提供するテストのコード網羅率（プログラムのンバーカード（表面）等）171 万 1,756 件分が流出したこと

ソースコードが自動テストされた割合）を計測するツール

※ 188

を公表した

。

「Codecov」が利用するコンテナ環境が不正アクセスさ

不正アクセスは、
2021 年 4 月 20 日から 4 月 26 日の間、れ、同ツールの利用時に実行される「Bash Uploader」

複数回にわたり行われ、ネットマーケティング社の API

スクリプトが改ざんされ、ツール利用者の情報が流出しサーバを介し、同社が契約するクラウドサーバより年齢た可能性があることを公開した※ 190。不正アクセスされ確認書類画像データが不正取得されていた。

た原因は、コンテナを用いたアプリケーション作成・配布・調査により、第三者が年齢確認書類画像データにア

実行のプラットフォームである「Docker」のイメージ作成

クセスするための情報を不正取得し、それを利用して当時のエラーにより、スクリプトを変更するための認証情報

該画像データへのリクエストを大量生成することで、不を攻撃者に窃取されたためとしている。
本ツールを利用していた株式会社メルカリ（以下、メル正アクセスに成功したものと判明した。不正アクセスの方

188

情報セキュリティ白書

カリ社）は、2021 年 5 月 21 日に、メルカリ社が運営する

本文中のリンクをクリックしたり、添付ファイルを開封したり

フリマアプリ「メルカリ」のソースコードの一部及び一部のせずにメールを削除するよう呼びかけた。

2022

顧客情報等、累計 2 万 7,972 件が外部に流出したことを公開した※ 191。改ざんされたスクリプトを実行した際に、

3.3.3

メルカリ社の認証情報が不正に取得、流用され、GitHub

クラウドサービスのセキュリティの課題と対策上に格納されていた同社の情報に不正アクセスされたとクラウドサービスの利用状況とインシデントの被害事例をいう。メルカリ社では不正アクセスされた全認証情報の基に、クラウドのセキュリティ課題と対策について述べる。

調査及び初期化、被害状況の特定とセキュリティ強化、（1）
クラウドサービスのセキュリティ課題

個人情報保護委員会等への報告を行い、流出した情クラウドサービスの利用範囲や利用者数は拡大し、企業

もと、本事案の影響範囲に関する調査を実施し、2021

活動におけるクラウドの重要性はますます高まることが予

年 8 月 6 日に、調査の完了及び流出した情報の悪用に想される。これに伴い脅威や脆弱性も増えており、セキュよる被害は確認されていないと報告している。

リティリスクの高まりが懸念される。

Codecov 社は、影 響を受けたスクリプトを改 修し、

総務省調査では、クラウドサービスを利用しない理由

Bash Uploader に関するキーを含むインシデントに関連として、最も多かったのは「必要がない」（42.0%）であっする既存の重要なアクセスキーを無効化し、その後も継たが、次いで多かったのは「情報漏えい等セキュリティに続的な監視を行うとした。また、Codecov のバージョン

不安がある」（37.0%）で、この値は、年々高くなっているの確認方法とバージョン更新方法を公開した。

（図 3-3-5）。導入が更に進むと考えられるクラウドサービ
スを安全・安心に利用するためにセキュリティ対策の実（4）複数の組織に波及したインシデント

施が求められる。

2022 年 3 月 21 日、SB テクノロジー株式会社は、同

企業・組織において、許可されていない端末やクラウ社が構築と管理を行う「自治体情報セキュリティクラウド」

ドサービス利用（シャドー IT）は大きなリスク要因となり得のメールシステムが踏み台とされ、91 万 2,299 件の迷惑る。キヤノンマーケティングジャパン株式会社が 2021 年※ 192

メールが発信されたと発表した。

同社のメール中継システムにおいて送信障害が発生

30.1
31.0

情報漏えいなど
セキュリティに不安がある

し、緊急メンテナンスを行った際に設定不備があり、本来は不可能な外部から外部へのメール送信が、不正中継（オープンリレー）
可能な状態になってしまった。悪意の第三者がこの不備を利用し、インターネット上で入手したクラウドの導入に伴う既存システムの改修コストが大きい

17.0
15.6

ネットワークの安定性に対する不安がある

16.1
14.2
15.2

と思われるメールアドレス宛に迷惑メールを送信した。大通信費用がかさむ

量のメールが送信されたことにより、送信元アドレスが送ニーズに応じたアプリケーションのカスタマイズができない
クラウドの導入によって自社コンプライアンスに支障をきたす信先の受信拒否リストに登録され、自治体の一部のメー
ルが送信できなくなった。
同社の運用規定では、設定を変更し有効化する際は、

6.7
7.4
8.4
4.2
4.0
7.6
2.8
2.3
1.5
41.6
44.6
42.0

必要がない

ルールだったが、送信障害の緊急メンテナンスにおいてはチェック体制が不十分な状態で、しかも、設定変更後

14.2
17.3
14.0

メリットが分からないの不正中継テストを実施せず、早期発見ができなかった

10.6
8.9
10.9

その他

という。不正メールの発信元に詐称されたのは、青森県
無回答

八戸市、秋田県秋田市、横手市、福島県郡山市、栃のメールの件名を公開し、不審なメールを受信した人は

2.3
0.2

0

木県宇都宮市、矢板市、新潟県糸魚川市、長岡市の5 県 8 市で、同社は不正中継により送信された 15 種類

29.2

8.8
9.3
12.7

法制度が整っていない

作業者とは別の者が問題ないことを二重チェックする

37.0

2018年
（n=407）

9.7
10

20

30

2019年
（n=325）

40

50

2020年
（n=303）60（％）■図 3-3-5 クラウドサービスを利用しない理由（複数回答）（出典）
総務省「通信利用動向調査報告書（企業編）」を基に IPA が編集

189

3

個別テーマ

口を設置したとしている。更に外部の専門企業の協力の章「3.3.1 クラウドサービスの利用状況」に述べたように、第報の対象者への個別案内を実施、問い合わせ専用窓

4 月に実施した「情報セキュリティ意識に関する実態調査

必要な対策が取られないことがある、という課題もある。

※ 193」によれば、勤務先で許可が得られていない

特に SaaS の場合は、施設やハードウェアからアプリケー

クラウドサービス・アプリを業務で利用することについてションに至る全般的なセキュリティ対策をサービス事業者「許可がないものは利用しない」とする回答が 47.7%に任せるため、サービス利用者にもデータやアカウント管（2019 年調査 47.0%）、「許可がなくても問題ない」が理、更には環境の設定に責任があるという意識が希薄

11.7%（2019 年調査 13.1%）、「勤務先が用意していなになりがちであり、サービス利用者側の体制も十分でないためやむを得ない」が 12.2%（2019 年調査 13.6%）でい可能性がある。

レポート

あった。また、個人的に登録あるいは契約（有償・無償

株 式 会 社 LegalForce の「SaaS の導 入 実 態 調 査

問わず）して業務で利用しているシャドー IT が「ある」が（2021 年 12 月実施）」では、最初に導入した SaaS の27.3%（2019 年調査 25.3%）、「ない」は 55.3%（2019 年

導入理由として回答者の約 4 割が「運用・保守体制を調査 61.0%）であった。

社内に持つ必要がないから」と回答した（図 3-3-6）。

2019 年調査と比較して、シャドー IT の利用は問題であるという認識は高まっているが、「シャドー IT を利用し運用・保守体制を社内に持つ必要がないからている」とする回答も2 ポイント増えている。2021 年調査

機器の場所を選ばずに利用できるから

295

はコロナ禍の最中に行われており、テレワークやオンライ

安定運用、可用性が高くなるから

287

災害時のバックアップとして利用できるからン会議等の急激な ICT 環境の変化にルール見直しや従223システムの容量変更などを柔軟で迅速に対応ができるから業員への研修等組織的な対策の準備が間に合わず、

170

サービスへの信頼性が高いからシャドー IT が利用されてしまっている可能性がある。

159

コストが安いから

また 2021 年調査では回答者の 41.7% はコロナ禍に

140

ニーズに合わせて、
新機能が追加されるから

よって情報セキュリティの意識が高まったとしている。一

運営設計がある程度できているため、０から設計を考えなくて済むから方で、過去 1 年間の情報セキュリティ研修や勉強会の他サービスとの連携が簡単にできるから「実施（参加）」は 22.7%（2019 年調査

399

29.4%）、「実施

知らないなし」は 54.7%（2019 年調査 45.3%）であった。セキュリ

特にない

125
100
72
132
81

その他 8

ティ知識やスキルを学ぶ機会が減り、適切な行動がとれ0

ないことによるリスクの高まりを示唆していると考えられる（シャドー IT の対策については「情報セキュリティ白書

100

200

300

400

500
（名）

■図 3-3-6 最初に導入した SaaS の導入理由（n=1,000、複数回答）（出典）
株式会社 LegalForce「SaaS の導入実態調査（2021 年 12 月
実施）」を基に IPA が編集2020」の「3.4 クラウドの情報セキュリティ」参照）。
（a）
サービス利用者の責任分担

しかし、システムやソフトウェアの運用・保守の必要が

パロアルト調査によれば、自社のクラウド環境におけるなくても、サービス利用者はデータやアカウント管理、環セキュリティの脅威・懸念で最も多いのは「情報流出」

境設定、シャドー IT 対策を含む利用ルール作り、教育（45%）
、次いで「マルウェア」（12%）
、「アプリケーション等を行う必要がある。シャドー IT は、組織的な管理対

の脆弱性」
（10%）
という結果であった。情報流出は社会象に含まれないため、監視やアカウント管理ができず、イ

的信用の失墜等、企業価値に大きく影響することから、ンシデントの発生に気が付くのが遅れたり、原因が追跡

特に、懸念が大きいと思われる。これらの懸念は、クラできなかったりする等により、影響が大きくなる可能性がウドサービスだけでなく、自社に設置し運用するオンプレミ

ある。

スシステム
（以下、
オンプレミス）でも懸念されることである。

「3.3.2（1） 設 定ミスに起 因 するインシデント」 のしかし、クラウドサービスの場合は、サービス利用者がSalesforce の事例では、サービス利用者が実施するべ

管理する範囲が限られ、どのようなセキュリティ対策がさ

き設定の変更がなされなかったことが情報流出の原因でれているのか詳細に把握することが難しい、
自社のセキュ

あった。サービス事業者はサービス利用者向けに設定

リティポリシーに従った対策（例えば、サービス事業者への変更方法について公開をしていたが、複数のサービの監査や検査報告のチェック等）がとりにくいといった課

ス利用者が対応の必要性を認識していなかった。この題がある。また、サービス利用者とサービス事業者の責事例により、サービス利用者とサービス事業者のセキュリ

任範囲（責任分界点）について双方の認識に差が生じ、ティに関する責任分担が SaaS においても重要であるこ190

情報セキュリティ白書とが再確認された。

クラウドサービス利用者

SaaS

管理する

データ

利用者レベルでの管理限定的な管理（b）
サービス事業者のサプライチェーンセキュリティ

クラウドサービス事業者

アプリケーション
ミドルウェア

サービス事業者は、セキュリティ対策についてアプリ

OSケーション種別ごとの多様なセキュリティ要件や攻撃を想管理できない定する必要があり、高度な対策が求められる。SaaS 市

仮想環境

管理する

ハードウェア

場は拡大しつつあり、短期間に多様なサービスを構築し、ネットワーク

提供するため、オープンソースソフトウェア（OSS：Open

施設・電源※ランタイムはミドルウェアの一部と位置付けています

Source Software）の利用や他社サービスとの連携、製事業者は、サービス利用者の側面を持ち合わせており、■図 3-3-7 SaaS における管理と責任共有（出典）
総務省「クラウドサービス提供における情報セキュリティ対策ガイド
ライン（第 3 版）」

章

3

SaaS の開発・運用におけるサプライチェーンが形成されビスが利用・連携されうることから、サプライチェーン全

これに対して、サービス利用者はアプリケーションを利体は複雑なものとなる。一般に、システム開発において用するためのデータやアプリケーション上で生成された

再委託先以降の状況把握は困難であるが、SaaS にお

データの管理（データに対する編集・削除等の行為）をいては OSS 利用やサービス連携も自社の管理下にはなする権限と責任を有する。

いため、更に状況把握が必要である。また、OSS や他

また、アプリケーションについてはサービス利用者がア社サービスは機能改修や脆弱性対応等で日々アップデー

カウント権限の設定をする場合がある。サービスの利用

トされることから、サプライチェーン上の関係する組織間にあたっては、誰が、どのサービスで、何をすることがででの情報共有、正確でタイムリーな情報管理等の活動

きるかといった利用者権限の決定とサービス上の設定、が重要となる。

そして、その内容が適切に維持されているかの見直しをすることが大切である。

このようなサプライチェーン上のインシデントは原因の把握、影響範囲の特定等が困難であり、大きな被害につSalesforce の事例では、サービス事業者からサービながる恐れがある。被害範囲の最小化、迅速な復旧のス利用者が実施するべき設定確認と変更方法についてための対策も課題である。

情報提供がされていた。しかし、サービス利用者には他社の情報も含めて日々多くの情報提供がされており、（2）
クラウドセキュリティの対策

情報流出等のインシデントを防ぐための対応についてのサービス利用者、サービス事業者が各々実践すべき、
あるいは協力して取り組むべきクラウドサービスのセキュリ情報であることを認識することは困難であった可能性がある。

ティ対策について述べる。

サービス利用者は SaaS 導入時にはサービス事業者と契約（約款）を取り交わすが、利用経験の浅い利用者に（a）
責任共有モデルの実践は内容が難解で十分理解できない、あるいは、契約時「3.3.3（1）（a）サービス利用者の責任分担」でも記載し点で情報システムや法務の担当者が確認しただけで、たようにクラウドサービスを利用することにより、サービス利用する従業員に周知されないといったこともありうる。

利用者の責任範囲は狭くなるが、サービス事業者との間サービス利用者は、クラウドサービス利用上の注意を周で責任を分担し、ともにその責任を果たすことが求めら知するとともに、サービス事業者もサービス利用者の責れている。

任分担について契約等で明確にする、脆弱性情報のリ

総務省の「クラウドサービス提供における情報セキュリ

スクを分かりやすく説明する、等の配慮が必要である。

※ 194」では、SaaS におけ

サービス利用者は、サービス事業者から提供される情る管理と責任共有について説明している（図 3-3-7）。

報に適切に対応するよう注意を払うことが必要である。

図 3-3-7 によれば、サービス事業者は、契約（約款）

例えば、SaaS サービスを基幹業務で利用し、顧客情報等に基づくサービスを提供するために、施や営業秘密等重要な情報を取り扱う等の場合には特に設・電源からアプリケーションまでの実装、設定、更新、注意を払い、望ましい設定やリスクの大きさが分からな

や SLA

191

個別テーマ

及び運用の管理責任を有する。

ている。一つのサービスにおいても複数の OSS やサー

※ 195

第

品の調達等が不可欠となっている。この点ではサービス

ティ対策ガイドライン（第 3 版）

2022

ければサービス事業者に確認する等、リスクに関する理

セキュリティ対策の内容についてサービス事業者に照解度を高めることも必要である。

会することも可能であるが、多くの利用者の問い合わせサービス事業者は、アプリケーションのバージョンアップ

にサービス事業者が迅速に対応することは困難である。

や機能追加の情報セキュリティへの影響や対策をサービ

このような場合、サービス事業者がセキュリティ認証を取ス利用者が理解できるように、サービス利用者に適切な得していればこれを参考にできる。

情報提供を行う必要がある。また見落としを防ぐために、サービス事業者はセキュリティ認証を取得することによ提供する情報の重要度の表示の仕方を工夫したり、適り、ある基準に適合していることを客観的に示すことがで切な設定がされない場合のリスクを説明したりといった情き、そのサービスの利用を検討する組織に求めるセキュ

報提供の工夫が求められる。

リティ基準を満たしているかの判断材料を提供できる。
サービス利用者はセキュリティ認証を参考にすること（b）
利用者のアカウント管理

で、顧客情報を預けるような SaaS サービスについて、

IBM Corporation が 2020 年 7 月から 2021 年 7 月

セキュリティ面で事業者は十分な準備をしているか等のにかけて複数のダーク Web 市場を調査した結果、約 3

判断が容易になる。

万件のクラウドサービスのアカウントが、1 件あたり数ドル

セキュリティ認証としてはISMS（Information Security

から、1 万 5,000ドル以上の売値で取り引きされていたとManagement System）が国内では知られているが、ク※ 196。株式会社東京商工リサーチの集計によると、

ラウドサービスに特化した認証制度もある。「情報セキュ

国内では、2012 年から 2021 年までに上場企業とそのリティ白書 2020」の「3.4 クラウドの情報セキュリティ」では子会社が公表した漏えい・紛失の可能性がある個人情

JASA - クラウドセキュリティ推 進 協 議 会（JCISPA：

いう

※ 197

。こ

JASA -Cloud Information Security Promotion

れらの個人情報にはメールアドレス、ログイン ID 等が含

Alliance）
が認証する CS マーク※ 199 とISO/IEC 27017

まれており、アカウントの悪用に使われた恐れがある。

のクラウドセキュリティ認証※ 200 を紹介している。「政府報は、累計 1 億 1,979 万人分に達したとされる

正規のアカウントが悪用された場合、システム側が攻

情報システムのためのセキュリティ評価制度（ISMAP）」

撃者と利用者を判別することは困難である。そのため、も新しい制度として今後参考となる（「2.7.3 政府情報シス

不正入手したアカウントを利用してクラウドに侵入しシステテムのためのセキュリティ評価制度（ISMAP）」参照）。

ム内の重要な情報を窃取し、更に大量の情報漏えいやまた、一般社団法人日本クラウド産業協会※ 201 では、ウイルス感染、踏み台による大量のメール送信等のインサービス事業者が安全・信頼性に係る情報を適切に開シデントを引き起こす可能性がある。SaaS サービスの場示していることを認定する制度を運用している。この制合、アカウント情報を窃取されるとインターネット上のどこ

度では総務省等が定めた各種ガイドライン、「クラウドサーからでもサービスにアクセスされる恐れがあり、注意が必

ビスの安全・信頼性に係る情報開示指針※ 202」（以下、要である。

情報開示指針）を基に認定を行っている。

アカウント情報は必要な人に必要な範囲で付与し、使なお、情報開示指針は、利用者によるクラウドサービ

いまわしをせず、十分に長いパスワードで利用する等のスの比較・評価・選択等を容易にすることを目的としてアカウント管理の基本的な対策を徹底することが必要で総務省が発行しており、2022 年 2 月に追加された「AIある。またアカウントの管理方法については社内ルールをを用いたクラウドサービスの安全・信頼性に係る情報開定め、守られていることを定期的に確認することが望まし

示指針（ASP・SaaS 編）」を合わせ、八つの分野の情い。特に、機密性の高い情報へのアクセスや操作が可

報開示指針からなる※ 203。サービス事業者は情報開示

能なアカウントについては、利用方法や利用手順等独自指針を基に開示項目を整理し、公表することにより、クラのルールを定め、不正な利用であるか否かを判別できる

ウドサービスの安全・信頼性を示すことができる。サービようにする工夫も考えられる。

ス利用者は、セキュリティ認証による確認ができなかった
サービスの対策について、サービス事業者に問い合わ
※ 198

（c）
クラウドサービスのセキュリティ認証せ等を行う際に同指針を参考にできる。

クラウドサービスの導入を検討する際、サービス事業者の Web サイトやカタログだけではどのようなセキュリティ（d）
クラウドサプライチェーン上の情報共有
2021 年の IBM Corporation の調査 ※ 196 によれば、対策が取られているのかが読み取れないことも多い。

192

情報セキュリティ白書

クラウドに展開されているアプリケーションの脆弱性は、

ドサービスにおける責任分界の在り方や国際規格等との直近の 5 年で 150% 増加し、2,500 を超えているという。

整合性の観点から見直され、2021 年 9 月に 3 版に改定

サービス事業者は、開発段階で既知の脆弱性についてされている※ 206。改定のポイントは以下の 3 点である。

対策を行うが、日々報告される新たな脆弱性に対応しな① SaaS/PaaS/IaaS の特性や、クラウドサービス提供にければならない。同様にサプライチェーン上で連携しておけるクラウドサービス同士の相関性を踏まえた責任いる他のサービスや利用している OSS・パッケージ等に分界の在り方を追記②ガイドラインの章構成を以下の三つのパターンに整理

も脆弱性が発見される可能性がある。クラウドサービス
された場合は限られた時間内での確実な対応が要求さ• 共 通編：SaaS/PaaS/IaaS を提供するクラウドサー

れる。SaaS サービスにおいては、システムがどのようなビス事業者で共通的に実施が求められる情報セキュ

ソフトウェアやサービスで構成されているか、調達したソ

リティ対策

フトウェアがどのような出自であるかを把握し、それらに• SaaS 編：SaaS を提供するクラウドサービス事業者

きる体制をサプライチェーン上の開発企業やコミュニティ• PaaS/IaaS 編：PaaS/IaaS を提供するクラウドサー等と協力して整えることが必要である。

ビス事業者に実施が求められる情報セキュリティ対策③国際規格（ISO/IEC 27017:2016）や NIST SP800-53

OSS の管理については、経済産業省が 2021 年 4 月

rev.5 のセキュリティ対策と整合に公開した「OSS の利活用及びそのセキュリティ確保に向※ 204」が参考になる。当事

例は自動車、製造、保険、情報サービス等 15 社のヒア

NISC は、クラウドサービス利用者のインシデント抑制

リングと 3 件の文献調査が詳細されており、Software

やインシデント対応等を取りまとめた「クラウドを利用したシ

※ 205

の

ステム運用に関するガイダンス※ 207」を 2021 年 11 月に利用等、今後利用が広がると思われる活動についても公開した。本ガイダンスは、「サイバーセキュリティ戦略」

触れられている。

（2021 年 9 月 28 日閣議決定）の方針を受けて、クラウド

Bill of Materials（SBOM：ソフトウェア部品表）

サービスの選定や利用、サービス環境の構築や運用等
にあたり、インシデントの抑制、インシデント対応及びステー

クラウドの情報セキュリティに対する政府の取り組み

クホルダーとの連携の重要性等、クラウドサービスの安全

クラウドサービスのセキュリティ対策を促進するために、な運用に重点を置いた利用者向けのガイダンスである。

政府機関は「3.3.3（2）（c）クラウドサービスのセキュリティ

今後も利用の増加が想定されるクラウドサービスを安認証」で挙げた「クラウドサービスの安全・信頼性に係る全に利用するためには、サービス利用者は契約や運用

情報開示指針」を始めとして、多くのガイドラインや基準にあたり、セキュリティ要求を満たしていることが確認できを発行している。ここでは、2021 年度に発行や改版がる制度やガイドライン等を活用し、組織がクラウドを利用実施されたガイドライン及びガイダンスについて述べる。

する目的に見合ったセキュリティ対策を実施していくこと

総務省では安全・安心なクラウドサービスの利活用推が重要である。また、サービス事業者は、サービス利用

進のため、クラウド事業者が実施すべき情報セキュリティ者に向けた適切な情報開示を行い責任範囲の理解と対対策やサプライチェーンにおける実施ポイントをまとめた

応を促すとともに、サプライチェーン全体でのセキュリティ「クラウドサービス提供における情報セキュリティ対策ガイ

レベルの向上を目指した連携や情報共有を進めていくこ

ドライン」
を 2014 年に策定した。本ガイドラインは、クラウとが期待される。

3.3.4

193

個別テーマ

に実施が求められる情報セキュリティ対策

関する脆弱性情報を速やかに入手し、対応の検討がで3章する形で見直し第は SLA に基づき可用性が重要視されることから、発見

けた管理手法に関する事例集

2022

C

O

L

U

M

N

DXとセキュリティの相性は悪いのかDX（デジタルトランスフォーメーション）のセキュリティとはなんでしょうか。何をしなければいけないのでしょうか。業務デジタル化のセキュリティ、つまりセキュアなデジタルプラッ
トフォームの構築が大事なのでしょうか。いやいや、トランスフォーメーション、すなわち変革による価値創造が DX のコアであり、そこで重要なのはデータ分析であるから、データセ
キュリティこそが大事なのでしょうか。
どちらも重要そうに見えます。IPA の発行した「DX 実践手引書 IT システム構築編 i」では、企業・組織が構築する DX システムのセキュリティに関して、以下の 4 点が強調されています。
①対策は多層的に行うことを認識し、クラウド等外部サービスとの責任分担を明確化する。
②守るべき資産（データとシステム）を明確化し、資産の重要度に基づいた対策・データ共有を実施する。
③開発では設計時からセキュリティ機能の作りこみを行い、開発環境もセキュアに保つ。
④データはセキュリティに加え、プライバシー・コンプライアンスルールに基づいた管理を行う。
この 4 点は DX システムの基盤構築、及びそこで扱うデータの管理についてセキュリティの大原則として挙げられていますが、DX だから特別に対応が必要というものではありません。むしろ、これまで言われてきた対策を DX 化において再確認する、ということかもしれません。
しかし、この原則に基づいて対策を実践するのは容易なことではないでしょう。もし DX が「新たな価値を創出するビジネス形態への変革」を目指すものであるなら、そこでは「現行ルールとの不整合」や「試行錯誤」が多く発生する可能性があります。例えば、事業部門を横断したデータの統合分析を行おうとしたが守秘義務規定でできない、あるいは秘密管理規定
が事業部で異なり共有できない等の問題は、いろいろな組織でありそうです。あるいは新たにデータを収集して分析を行う場合、どんなデータが付加価値を生むのか、何が重要で何が不要か、最初は分類できないかもしれません。このことは更に、組織外とのデータ授受や統合においてデータの信頼度が分からない、というサプライチェーン問題に発展し、DX で意図した外部連携ができない可能性も出てきます。
現行規則を杓子定規に適用すると DX 化をなかなか進めることができない、一方で、セキュアな DX プラットフォームを作らなければいけない、というジレンマは、今後（あるいは現在）
多くの組織が直面する問題かもしれません。しかし、DX で業務革新を狙うとすれば、セキュ
リティに限らずこうした摩擦はあるでしょう。まずセキュリティ上問題の少ないデータでトライアルを行い、どのような価値創造が見込めるかに加え、セキュリティやコンプライアンス上でどんなルールがあるべきかを具体化することが必要かもしれません。セキュリティ責任者は、求めるベネフィットに対してセキュリティリスクをどこまで統制するか、DX 化に関わる他部門の責任者とともに知恵を出し合うことが重要であると思われます。
i

https://www.ipa.go.jp/files/000094497.pdf〔2022/6/8 確認〕194

情報セキュリティ白書

2022

3.4 米国・欧州の情報セキュリティ政策
2021 年度は、新型コロナウイルス感染によるパンデミッ

れ、ロシア対ウクライナとそれを支援する北大西洋条約

クや情報の混乱（インフォデミック）が徐々に収束に向かう機構（NATO：North Atlantic Treaty Organization）

一方で、ロシアのウクライナ侵攻による新たな緊張が生ま諸国及び民間組織、という構図でサイバー空間上の情れ、国際社会は武力と情報が組み合わされたハイブリッ

報戦が一気に拡大するという未曽有の事態となった。

ドな紛争、冷戦時代を想起させる国家間の分断に直面

本項では、このような状況下で推進された米国政府した。分断や対立における虚偽情報拡散のリスクも顕在のサイバーセキュリティ政策について述べる。

（1）米国重要インフラに対する脅威の動向

このような状況下で、米国と欧州のサイバーセキュリ

いて述べる。この 2 事案いずれも、米国の敵対的勢力
3.4.1とみなされる中国・ロシアが支援したとされている。

米国の政策

（a）
Microsoft Exchange Server 事案とその対応

2020 年 後 半 から 2021 年 前 半 に か け、 米 国 はSolarWinds Worldwide, LLC のネットワーク管理システ

2021 年 3 月 2 日、Microsoft Corporation（ 以 下、ムの脆弱性を突いたサプライチェーン攻撃、Colonial

Microsoft 社）は、中国に支援された攻撃者グループ

Pipeline Company（以下、Colonial 社）のパイプライン

Hafnium がオンプレミス用メールサーバソフトウェア

システムを狙ったランサムウェア攻撃等が相次ぎ、Biden

Exchange Serverの脆弱性を突いた標的型攻撃を行っ

政権は 2021 年早々から政府機関・重要インフラへのサているとし、緊急セキュリティ更新プログラムをリリースしイバー攻 撃 対 策に取り組み、国 立 標 準 技 術 研 究 所

た。米国政府も3 月 3 日、CISA が政府機関に対して緊（NIST：National Institute of Standards and

急指令を発してパッチ適用を指示する※ 209 とともに、17 日

Technology）によるソフトウェア調達セキュリティガイドラ

に国家安全保障局（NSA：National Security Agency）

イン策定、サイバーセキュリティ・インフラセキュリティ庁

主導のサイバー統合調整グループ UCG（Cyber Unified（CISA：Cybersecurity and Infrastructure Security

Coordination Group）を招集、中小企業の対策・調査

Agency）を始めとする連邦政府機関のランサムウェア対にあたり、サイバー防御において民間との連携を強化す策強化等を指示した。

る、とした※ 210。この攻撃は「ProxyLogon」と呼ばれる脆弱性を突いたもので、米国のみで数万企業にメール

サプライチェーンリスクについては、2021 年度に引き続窃取等の影響が及ぶと懸念された。

き中国対策が懸案となり、環太平洋・インド洋を包括する安全保障の枠組みをインド・オーストラリア・日本・英2021 年 7 月 19 日、Antony Blinken 国 務 長 官は、国等と構築する等、中国への対抗姿勢を鮮明にした。

上記の攻撃は中華人民共和国国家安全部（MSS：The

また人権問題への抗議から北京 2022 オリンピック・パラ

Ministry of State Security）
によるものと断定、MSS は

リンピック冬季競技大会に対して外交的ボイコットを行っ「ハッカーのエコシステムを結集して攻撃を実施、知的

※ 208

た

。しかし、2021 年秋以降のウクライナ危機により、財産の窃取やランサムウェア身代金等による多大な金銭被害が出ている」と中国を非難した※ 211。また、同年 8

中国への対応は抑制的になっている。
対中国戦略重点化のために修復が望まれたロシアと月に Exchange server の他の脆弱性が Microsoft 社の関 係は、 上 記のウクライナ危 機で急 速に悪 化し、から公開された（「1.2.5（2）Microsoft 製品の脆弱性を対2022 年 2 月 24 日にウクライナ侵 攻 が 開 始されると、象とした攻撃」参照）が、大規模な攻撃被害は報告され1962 年のキューバ危機以来といえる状況にまで険悪化、ていない。

核兵器の使用さえ想定される事態となった。サイバーセ
キュリティの視点では、侵攻以前に米国が描いていた（b）
Colonial Pipeline 事案とその対応
2021 年 5 月 7 日、米国の石油パイプライン事業最大「安全でオープンなサイバー空間の構築」という構想が崩

195

個別テーマ

Exchange Server 事案、Colonial Pipeline 事案につものであったかについて紹介する。

3

章

以 下 で は 2021 年 に 入 って 発 覚し た Microsoft

ティ、データ保護や安全保障に関する政策がどのような

第

化した。

（a）
大統領令と覚書手である Colonial 社は、サイバー攻撃による操業の停※ 212、翌 8 日にはランサムウェア攻撃を受けたこ

2021 年 4 月 15 日、Biden 大統領は SolarWinds 事とを認めた。米国東部地域に深刻な石油不足の懸念が案の調査結果を受け、攻撃を支援したとされるロシアに生じ、Joseph Biden 大統領は 10 日、「影響を緩和す

対する制裁措置に関する大統領令に署名した※ 222。同る措置をとり、攻撃を阻止し、攻撃者を訴追する」と言大統領令では、SolarWinds 事案や米国に対する選挙

明した。また FBI（Federal Bureau of Investigation：

妨 害 活 動 が、ロシア 対 外 情 報 庁（SVR：Sluzhba

連邦捜査局）
は RaaS（Ransomware as a Service）
をビ

vneshney razvedki Rossiyskoy Federatsii）によるもジネスとする東欧系ハッカー集団 DarkSide による攻撃のとし、協力したロシア企業 6 社を特定、またロシア政

止を発表

※ 213

。更に Biden 大統領はロシア

府と米国金融機関の取り引きを一部停止するとした。

が一定の責任を負うとコメントしたが、名指しされたDonald Trump 前大統領はロシアの関与を認めていな

DarkSide は、攻撃の目的は金銭であり、政治的意図はかったが、明確な方針転換となった。一方ロシア政府はであることを確認した※ 214。11 日、FBIとCISA は更なるランサ

同事案への関与を否定、報復措置を取るとした※ 223。

ムウェア攻撃への対処について注意喚起を行った※ 215。

2021 年 5 月 12 日、Biden 政権は SolarWinds 事案

Colonial 社はパイプラインの再稼働を 12 日から始めるとに対応してサプライチェーンセキュリティ強化を目指した

ないと発表した※ 216、燃料不足の懸念は沈静化した。身代金につい大統領令（以下、EO 14028 ※ 224）を発表した。内容はては 500 万ドル相当の支払いがあったと報じられ※ 217、

「情報セキュリティ白書 2021」の「2.2.2（7）Biden 政権のColonial 社の CEOも「早期復旧のために支払った」こと政策」で詳述したが、重要な点を再掲する。

し

※ 218

を認めた

。

• 官民の脅威情報共有の障壁除去

身代金は暗号資産で支払われたため、FBI は送金

政府システムにおける民間プラットフォーム調達が拡大

記録の残るブロックチェーン上で追跡を試みた。6 月7日、する中で、調達契約においてセキュリティ情報を共有

司法省（Department of Justice）は「FBI が身代金をする方策を明確にする。既存の枠組みである業界単

受け取るビットコインウォレットのロックを解除する鍵を入手

位 の ISACs（Information Sharing and Analysis

※ 219

。どのよ

Centers）、コミュニティ単位の ISAOs（Information

うに鍵を入手したかは不明だが、ロシアが支援したとさSharing and Analysis Organizations）による情報

れるランサムウェア攻撃で、半額に近い身代金を短期に共有体制が十分でないとの認識があると思われる。

し、200 万ドル以上を回収した、と発表した

回収したことは、FBI の追跡能力を示すこととなった。

• 連邦政府セキュリティの現代化（Modernization）

またこの経験から暗号資産追跡の重要性が認識さTrump 政権時代からの懸案である政府システムのセ

れ、2021 年 10 月、州を越えてビジネスを行う事業者がキュリティ対策刷新のため、ゼロトラストアーキテクチャ

身代金を支払った場合、
48 時間以内に国土安全保障省の実装、政府共通のクラウドセキュリティ戦略等を新（DHS: Department of Homeland Security）に届け出たに求める。政府調達クラウド認証制度 FedRAMP

ることを義務化する法案（Ransom Disclosure Act）が（Federal Risk and Authorization Management※ 220

米国議会に提出された。セキュリティ関係者は同法

Program）の現代化も行う。

案について、政府のランサムウェア対策のために重要だ• ソフトウェアサプライチェーンセキュリティの強化とする一方、被害企業にとっては情報開示に対する抵

重要（Critical）なソフトウェアのセキュア開発・調達に※ 221

抗感が大きいとの懸念も示している。

関して、NIST を中心とした新たなガイドラインの 1 年以内の策定を求める。ガイドラインにはチェック自動化、（2）Biden 政権の政策

SBOM 等の項目も含まれる。このほか、消費者向け

前節のとおり、米国の重要インフラへのサプライチェー

IoT 機器のセキュリティ対策情報を利用者に提供する

ン攻撃・ランサムウェア攻撃は現行の対策の大幅な強化

消費者向けラベリングプログラムの実施を求める。

を迫っている。Biden 政権は 2021 年当初より矢継ぎ早にセキュリティ関連の大統領令を発し、対策の強化を図っ

ランサムウェア対策について、Biden 政権は 2021 年

た。以下では主要なセキュリティ施策について述べる。

5 月以降、犯罪者ネットワーク・資金源の遮断・国際連携に関する下記の四つの重点施策を打ち出し、関係政府機関に実践させた※ 225。また、監視等のセキュリティ

196情報セキュリティ白書

対策は CISA に委ねた。CISA の活動については「3.4.1

前掲の EO 14028 の要請を始め、政府のサイバーセキュ（2）（c）
CISA の施策」で述べる。

リティ対策の具現化に重要な役割を果たしている。主な• 攻撃者・支援者ネットワーク、資金源の分断活動を以下に示す。

2022

財務省と司法省は、違法な取り引きに関与した暗号
資産交換事業者（SUEX OTC, S.R.O.）を特定し、関（ア）
セキュアなソフトウェア調達のための施策※ 226

係する資産移動を遮断する措置を発動した。

EO 14028 により、NIST は①重要インフラ事業者等• 重要インフラ事業者等のセキュリティ強化が用いる重要ソフトウェア（Critical software）の評価、②ソフトウェアサプライチェーンのセキュリティ評価、③消

政府の連携を推進する「産業制御システムサイバーセ

費者向けラベリングプログラムのための IoT サイバーセ

キュリティイニシアティブ（ICS Initiative）」を正式に立キュリティ基準、等の方式策定を求められた。

※ 227①について、
NISTは2021 年 6月24日に重要ソフトウェ（2）米国 Biden 政権の取り組み」参照）。DHS の米国

7 月8日に重要ソフトウェアのセキュリティ
アの定義を※ 231、
※ 232

評価手法

Security Administration）
は、重要なパイプライン所

月 2 ～ 3 日にワークショップを開催、ソフトウェア開発ライ

有者・運用者にセキュリティ対策強化を指示した。まフサイクル全般にわたるセキュリティを検討し、2022 年 2

た NSA、国防総省（DoD：Department of Defense）

月4日に利用者向けの「ソフトウェアサプライチェーンセキュのサイバー軍（CYBERCOM：US Cyber Command）

リティガイダンス※ 233」、開発者向けの「セキュアソフトウェ

はランサムウェアのインテリジェンス情報を民間に提供

ア開発フレームワーク Ver.1.1（NIST SP800-218）※ 234」した。

を公開した。このフレームワークでは、ソフトウェア開発で必要性が論じられてきた SBOM の利用が例示されて• 資金洗浄・テロ支援への対応
財務省は前掲の暗号資産交換の監視とともに、同省のいる。連邦政府の重要ソフトウェア調達者、開発ベンダ

金融犯罪取締ネットワーク（FinCEN：Financial Crime

は上記フレームワークをツールとしてセキュリティを確保す

Enforcement Network）により、金融不正に関するることが求められる。

インジケータ・類型に関する情報共有を主導した。

また③について、NIST は 2021 年 12 月 3 日、セキュ• 国際連携による犯罪エコシステム分断とセーフハー

リティラベリングの討議ドラフトを公開した※ 235。消費者の知識不足、IoT 機器の多様性等の課題が論じられたが、バーの解消

2022 年 2 月 4 日にラベルの設計、消費者教育等に関す（Financial
Biden 政権は G7、NATO 諸国や FATF
※ 228と協調して政府の能力向る推奨事項を公開した※ 236。同年 5 月 10 日、NIST は上とセーフハーバー排除を進め、またロシア政府とラン

ラベリングプログラムの概要を国家安全保障担当大統領

サムウェア対策専門家討議を実施することで合意した

補 佐 官（APNSA: Assistant to the President for（2021 年 10 月時点）。

National Security Affairs）に提出した※ 237。

更に 2022 年 1 月 19 日、Biden 大統領は国家機密・（イ）
サプライチェーンセキュリティ関係活動の強化

Action Task Force）

軍事情報を扱うセキュリティシステム（NSS：National

他のサプライチェーンセキュリティ関連活動も強化

Security System）への EO 14028 実装に関する覚書されている。2021 年 8 月 25 日、NIST は「 サプライ

※ 229

。同覚書により、Paul Nakasone サイバー

チェーンセキュリティに関する官民を推進する国家イニシ

軍司令官がナショナルマネージャーとして NSS 所管組織

アティブ（NIICS：National Initiative for Improvingの統括権限を持つこととなり、政府機関の統制が強化さ

Cybersecurity in Supply Chains）」 を 設 置 し た。

に署名した

※ 230

れた

。

Biden 政権の官民連携強化の姿勢に応えたものといえる。続いて 10 月 28 日、サプライチェーンリスクマネジメン（b）
NIST の施策

トの標準ガイドである NIST SP800-161 の改訂ドラフトがNIST は DHS 配下で計測に関する技術研究、標準公開され※ 238、更に 2022 年 2 月 18 日、サプライチェー

規格策定を担う機関である（「情報セキュリティ白書

ンセキュリティ、及びサイバーセキュリティフレームワーク

2021」の「3.4 NIST のセキュリティ関連活動」参照）が、に関する意見募集が公表された※ 239。この意見募集は、

197

個別テーマ

を公開した。また②について、2021 年 6

連邦航空省運輸保安局（TSA：The Transportation

3

章（同年 4 月からの試行については「3.1.3

ち上げた

第

Biden 大統領は 2021 年 7 月、重要インフラ事業者とNIICS の官民連携の方策、及び NIST サイバーセキュ

し・修正を求めるものである。また、各機関は同指令のリティフレームワーク 1.1 版の強化や他のリスクマネジメン

実施状況について、政府システムの資産状況可視化基

トガイドとの整合に関する意見を求めるものである。サイ

※ 245
を介
盤（CDM Agency and Federal Dashboard）

バーセキュリティフレームワークへの意見募集では、特にして報告することが期待されている。上記ダッシュボード

サプライチェーンセキュリティ対応でどのような改訂がなさは、巨大な連邦政府システムの資産データを自動収集・れるか、注目される。

可視化する野心的な試みであり、効果が注目される。

（c）
CISA の施策（エ）Disinformation 対策
2020 年は新型コロナウイルス対策関連の詐欺情報に

CISA は EO 14028 を含む Biden 政権のサイバーセ

よるフィッシング、及び大統領選挙における投票操作不キュリティ政策の実装、普及を主導している。

正等の悪意の虚偽情報（Disinformation）による混乱が国家的な課題であった。2021 年は、SNS 事業者による（ア）
EO 14028 の実装

チェック強化等で混乱はいったん沈静化したように見えるEO 14028 の要請については、CISA は以下のような※ 240活動を行っている。

が、CISA は、選挙セキュリティ（election security）の• 連邦政府セキュリティの現代化に関するクラウドセキュ

一貫として Disinformation 対策を進め、2022 年 3 月

リティの強化支援

30 日に情報操作に関する注意、続いて 4 月 1 日に SNS• ソフトウェアサプライチェーンセキュリティガイド策定に

ボットによる意 見 誘 導 へ の 注 意、 更に同月 12 日に関する NIST の支援

Disinformation に対処する手順に関する注意喚起を行った※ 246。なお表面には現れないが、Disinformation• 政府機関を監督するサイバー安全レビューボードの拡散活動を封じるハッカー対策も関連組織と連携して取設置• 政府機関向け脆弱性・インシデント対応手順書の策定られていると思われる。

（イ）
ランサムウェア対策（オ）
ロシアが支援するサイバー攻撃への対応

CISA は FBI 等と連携し、国内組織へのサイバー攻

ロシアに支援されたサイバー活動組織（以下、ロシア

撃監視・犯罪者集団の動向追跡、及びアラート・注意

系ハッカー）に対し、CISA は FBI、NSA 等と連携して喚起・対策指示を行っている。2021 年 4 月以降のラン監視を続けている。2022 年 2 月 15 日の時点で、CISA

サムウェア関連のアラート・注意喚起には、同年 5 月のはすべての米国の組織に対してロシア系ハッカーの攻撃、同年 6に備えるよう要請していた※ 247。また 2 月 16 日、ロシア

月の OT システム資産防御のためのファクトシート※ 55、系ハッカーが少なくとも 2020 年から 2022 年 2 月まで、

同年 9 月と 2022 年 3 月のロシア系ハッカー集団 Conti

DoD の防衛契約事業者とそのサブコントラクターのコミュ

Colonial 社を攻撃した DarkSide の脅威

※ 215

※ 241

、2021 年 10 月の上下水道システムへの脅

ニティ（CDCs：Cleared Defense Contractors）を狙い、威 （「3.1.1（1）水道やパイプライン等の重要インフラが様々な手法で機密情報の窃取を行っているとし、CDCs

標的となった事例」 参照）、同月の BlackMatter の脅に対策を求めた※ 248。

の脅威
※7

威※ 242 等が含まれる。

ロシアのウクライナ侵攻開始直後の 2 月 26 日、CISA

なお、
制御システムのセキュリティ対策については「3.1.3

は FBIと共同で、ウクライナで使用された破壊的なウイ（1）
米国 CISA の取り組み」
を参照されたい。

ルス WhisperGate と HermeticWiper、及びその防止策に関するアドバイザリを公開した※ 249。更に 3 月 2 日、
CISA は想定されるサイバー攻撃対策に関する専用サイ（ウ）
政府システムの脆弱性可視化
2021 年 11 月 3 日、CISA は既知の脆弱性悪用に関を公開した。
SHIELDS UPでは、ト「SHIELDS UP ※ 250」する重 大リスクの削 減に関 する運 用 指 令（Binding

基本的なセキュリティ対策に関するガイドに加え、ランサ※ 243。同指令は、

ムウェア対策、
前述の CISA 脆弱性カタログ、
ロシア系ハッCISA が作成・更新する「悪用された既知の脆弱性カタカーによる個別攻撃の注意喚起等を掲載、逐次更新しOperational Directive）を発表した
※ 244

ログ

」に基づき、各政府機関が管理または運用委託ている。

しているシステムの脆弱性管理手順の 60 日以内の見直

3 月21日、Biden 大統領は国家のサイバーセキュリティ

198情報セキュリティ白書

に関する声明を発表し、すべての企業・組織がロシア

Act ※ 258 を 2019 年に成立させたのみで、情報配信ののサイバー攻撃に備えるよう呼びかけた※ 251。CISA は統制を重視する EUとは対照的である。

SHIELDS UP における逐次情報更新や、前記（ア）〜ところがこの状況の中で、Facebook の不適切な情報（エ）についての改めての注意喚起により、対策司令塔

配信を Meta Platforms, Inc.（以下、Meta 社）は放置の役割を果たしている。

している、との内部告発がなされた。Meta 社の元プロ
ダクトマネージャー（ 在 職 当 時 は Facebook, Inc.）

インフラシステムへの深刻な攻撃被害、あるいはロシア

Frances Haugen 氏は、同社の内部文書を報道機関に系ハッカーによる深刻な Disinformation の混乱はなく、リークし、Meta 社は人権抑圧・暴力・性等の有害情報

CISA・FBI・NSA 等の連携による対策が奏功している（Harmful information）配信に関して以下のような不適と思われる。

切な対応をした、と報道された※ 259。
• 著名人の言説に対する人権・暴力等のルール適用
免除• 10 代女性に対する有害情報配信の放置

バルプラットフォーム事業者（いわゆる GAFA）の巨大な影• アルゴリズム変更による有害情報のランク上昇放置

響力に対する懸念が増加し、規制の議論が欧州、米国、（類似の興味を持つ人の投稿、内容が過激な投稿が日本等で進んでいる。EU では、2018 年に発覚した大重視され、有害情報共有が増幅するエコーチェンバー※ 252

量の Facebook 個人情報の政治広告不正流用現象※ 260）や• 発展途上国における有害情報配信による人権抑圧・Brexit 関 連のフェイクニュースの混 乱を契 機として、GDPR（General Data Protection Regulation）施行を闘争誘発放置始め、GAFA の情報収集・配信活動を規制する法案の整備を進めている（「3.4.2（4）（a）
インフォデミックに関す

2021 年 10 月 5 日、Haugen 氏 は 上 院 公 聴 会 でるガバナンス」参照）。米国政府は、GAFA の規制につMeta 社幹部は「利用者の安全より利益を優先した」と証

いて不干渉方針を取ってきたが、2016 年の大統領選挙

言した※ 261。これに対し Meta 社の Mark Zuckerberg

におけるフェイクニュースや選挙干渉の混乱以降は規制

CEO は、アルゴリズム変更は善意に基づくもので、必要に舵を切り、2019 年、連邦取引委員会（FTC：Federal

な対応を取る等と釈明、悪意の「いいね」操作等につけTrade Commission）と司法省が反トラスト法違反の疑込まれやすいアルゴリズムを修正したという。しかし、※ 253。米国下院司法委

Disinformation や有害情報の蔓延抑制には、アルゴリ員 会も同 法に基 づく調 査を実 施し、2020 年 10 月、ズムの評価に加え、虚偽情報生成の低コスト化と真贋

GAFA は「独占企業で力を持ちすぎており、分割が必

判定の困難、表現に関する私権の制限、広告配信モ

いで GAFA の調査を開始した※ 254。Biden 政権発足後は上下両院でデルへの過度の依存等、根本的な解決が難しい課題

GAFA 規制に関する複数の反トラスト法改正案が議論があり、状況は簡単に改善しないと思われる。政府、要」と提言した※ 255されている。2021 年 6 月 11 日には下院にて、また事業者がどのように対応するか、注目される。

※ 256

同年 10 月 18 日には上院にて、GAFA の自社製品（4）米ロ関係の悪化とウクライナ侵攻

優遇を規制する法案が別個に提出され、2022 年 1 月

SolarWinds 事案で悪化した米ロ関係は、ウクライナ

20 日、上院司法委員会は上院への提出法案を承認し※ 257。一方 GAFA は、自社製品の採用は市場の選情勢を巡り更に混迷した。2022 年 2 月 24 日のウクライ択の結果であり、このような規制は技術革新を抑制し、ナ侵攻により、ロシア・ベラルーシと米国等 NATO 諸国

国家のセキュリティにとって有害である、と一斉に反論しとの対立は決定的となった。2022 年 4 月末時点までのている。法案成立の可能性は流動的だが、GAFA に経緯を述べる。

た

対する規制圧力は高まっている。
一方で、フェイクニュース等の Disinformation 配信（a）
米ロ首脳会談から侵攻までの経緯

規制に米国議会は慎重である。具体的には、AI による

米国がロシアに SolarWinds 事案の制裁を課した直映像生成技術 Deepfake の状況について、選挙干渉

後 の 2021 年 6 月 16 日、Biden 大 統 領 は Vladimirの懸念から DHS に定期報告を求めた Deepfake Report

Putin ロシア大統領とスイス・ジュネーブにて初の会談を

199

個別テーマ

クラウド、EC、SNS 等のサービス基盤を提供するグロー

3章（3）情報配信の規制と課題

第2022 年 5 月末の時点で、米国の政府システム、重要2022

行った※ 262。同会談について Biden、Putin 両大統領の精度であったことを示している。

はともに「冷戦以降最も冷えきった関係の中で対面した」

このような、インテリジェンス情報の開示や偽装に関すことを強調し、新たな軍備管理に関する協議開始等でる警告が先行して行われたことは過去に例がない。また

※ 263

。サイ

侵攻開始後、Volodymyr Zelenskyy ウクライナ大統

バーセキュリティについては、「破壊的なサイバー攻撃を領やウクライナ軍が SNS 等で積極的に情報や戦闘の映行わない重要セクター」に関する討議で合意したが、像を開示し、国際的な支持において優位に立ったこと、

Putin 大統領は、ロシアは選挙妨害に無関係、との態

更に IT ベンダやハッカー集団等の民間組織・個人が紛

度を変えなかった。Putin 政権を批判する政治活動家

争当事国のサイバー防御・攻撃に関わったことも過去にAlexey Navalny 氏等への人権問題、ウクライナ問題

例がない（後述）。現代の紛争が武力と情報の組み合についても意見は合わず平行線をたどった。

わせによるハイブリッドな戦い（ハイブリッド戦）
であることを合意する等、関係改善への模索が見られた

2021 年 6 月以降も、ウクライナの NATO 加盟を脅威示すものとなった。

とみなすロシアの軍備強化は続き、同年 12 月 3 日にはウ（b）
国防授権法と軍産連携によるサイバー防御

クライナ国境付近に 17 万 5,000 人が集結したと報道さ※ 264。12 月 6 日、Biden 大統領は NATO 諸国と対2021 年 12 月 27 日、2022 会計年度（2021 年 10 月

※ 265

応を協議、翌 7 日の Putin 大統領とのオンライン協議～ 2022 年 9 月）の米国国防関連予算と活動を定める国で、ロシアがウクライナに侵攻した場合「重大かつ深刻※ 270
防授権法（National Defense Authorization Act）

な経済的損害を与える」と警告した。Putin 大統領側はに Biden 大統領が署名した。同法は予算総額 7,700 億

軍備強化を否定し、東方へ拡大を続ける NATO こそドルを計上し、米軍の活動基金「太平洋抑止イニシアティ

れた

※ 266

、ウクライナの NATO 加盟を禁止せよ、

脅威でありブ（PDI：Pacific Deterrence Initiative）」を 2021 年度と反論したと見られる。

の 22 億ドルから 71 億ドルに増額し、中国の台湾に対す緊張が高まる中、2021 年 12 月 30 日、2022 年 2 月

る活動の既成事実化に対抗することを米国の政策とす

12 日と電話による首脳会談が行われた。2021 年 12 月

る等、アジア太平洋地域への継続的コミットメントを強化

30 日の会談では、Biden 大統領は「ウクライナ侵攻があしている※ 271。欧州については、NATO への支持、ウ

れば、経済制裁・NATO の強化・ウクライナ軍事支援

クライナ安 全 支 援イニシアティブ（Ukraine Securityを行う」とし、一方 Putin 大統領は「制裁発動はロシアとAssistance Initiative）への 5,000 万ドルの増額等が盛

米欧諸国の関係に壊滅的な打撃となる」として警告の応り込まれたが、ロシアのウクライナ侵攻で、NATO 諸国

※ 267

酬となった

。2022 年 2 月 12 日の会談では、Bidenとの連携は大幅に強化されることとなった。

大統領から欧州の安全保障に関する説明があったが、サイバーセキュリティに関しては、DoD 自身のセキュリ

ロシアが求める NATO の東方拡大阻止の明文化等はティ基盤強化にゼロトラストモデルやセキュリティ検証自動※ 268。Biden 政権化が、また CYBERCOM 強化に関し、民間 IT 事業者

は同 12 日、在ウクライナ米国大使館職員の国外退避をとの連携による防御が盛り込まれた。このような事業者と命じた。

の連携は過去数年の DoD の方針を踏襲したものである。

含まれず、状況打開はできなかった

2022 年 1 月以降、Biden 政権はロシア軍の動向等

2022 年 1 月 15 日、Microsoft 社はウクライナの政府に関するインテリジェンス情報を開示し、ロシアの動きを

機関・関連組織がランサムウェアに偽装した破壊的ウイけん制するアプローチを取った。2 月 18 日、Biden 大ルスにより攻撃されていると発表した※ 272。更に同社は 2

統領は「Putin 大統領はウクライナ侵攻を決定し、首都

月 24 日、ロシアの侵攻開始直前、ウクライナ政府・金キーウ（キエフ）を狙うことを確信できる情報を得た。これ

融機関への大規模サイバー攻撃を観測、FoxBlade とを発表するのは衝突を望むからでなく、ロシアの侵攻を呼ばれるウイルス群についてウクライナのサイバー防衛当正当化する事態を招かないためである」と述べ、ウクライ局に情報を提供した。Brad Smith 会長は 28 日、自身

ナの親ロシア派が攻撃されている、等を偽装する偽旗のブログで「 我々は国 家ではないが、 連 邦 政 府・

※ 269

。ロシア

NATO・EUとともにウクライナ政府と継続的に連携する」

政府は侵攻準備について、「米国のヒステリー」として終と述べ、「数年前なら数週間・数ヵ月かかっていた情報

始否定を続けたが、2 月 24 日に侵攻は始まった。その提供が数時間で見事にできた」とした。Microsoft 社は後の戦闘経緯は、米国のインテリジェンス情報がかなりウクライナへのサイバー防御支援を継続しており、ロシア作戦（False flag operation）にも言及した

200

情報セキュリティ白書

からのサイバー攻撃に対処できていると思われる。

2022

きなリスクをはらむ。

また CISA、FBI、NSA 等も前節（「3.4.1（2）（c）（オ）

このように、ウクライナ侵攻における「情報の戦い」は、ロシアが支援するサイバー攻撃への対応」）
で述べたとお配信される情報の信頼度の見極め、第三者である民間

り、ロシア系ハッカーの監視と対応、民間への情報発信

人のサイバー戦への参画、という難しい問題を世界に突で貢献している。一方、CYBERCOM の活動に関する

きつけることとなった。

情報は開示されないが、前述の高い精度のインテリジェ（d）
ロシアへの対抗策

ンス情報でウクライナや米国政府・民間組織のサイバー

Biden 政権は武力によるウクライナ介入は避け、ロシ支援していると思われ、軍産官の連携は機能しているとアへの経済制裁を発動している。2022 年 3 月 8 日、同推定される。

政権はロシアの石油・天然ガス・石炭の禁輸措置を発表※ 278、EU 諸国もドイツがロシアの天然ガスパイプライ
協調姿勢を転換した（「3.4.2（6）（b）ロシアへの対応」参積極的に活動した。Space Exploration Technologies照）。更に 4 月 6 日、Biden 政権は G7、EU 諸国と連Corp. の Elon Musk CEO は 2 月 26 日、Mykhailo

携してロシアへの新規投資凍結、主要銀行・政府系企Fedorov ウクライナ副首相兼デジタル転換相の求めに応

業・政権に近い個人との取引停止、海外資産凍結等をじて衛星インターネットサービス Starlink の機器を提供、ウ

銀行制裁対象の主要銀行が国際決済ネッ
発表した※ 280。

クライナのインターネットを支えた※ 273。Apple Inc.（以下、

トワーク SWIFT（Society for Worldwide Interbank

Apple 社）、IBM Corporation、Microsoft 社、Oracle

Financial Telecommunication）
からの排除対象に含ま

Corporation を含む多くのグローバル IT 企業がロシアれない、エネルギーをロシアに依存する欧州はエネルギー※ 274。Google LLC（以禁輸が難しい、中立を保つとする中国、インド等による下、Google 社）は侵攻に関するフェイクニュースを絶つ

支援の可能性がある等により、効果を疑問視する声もあとして、RT（Russia Today）、SPUTNIK 等の親ロシア

る※ 281。2022 年 3 月 18 日、Biden 大統領は中国の習メディアのコンテンツ配信を遮断、ロシア政府の支援を受近平主席とテレビ会議を行い、ロシアを支援しないように

政府・企業との取り引きを停止した※ 275

けるメディアの広告配信等も無期限に停止した

警告した※ 282。

。一方、Meta 社はウクライナ侵攻に関わる政治的・暴力的

一方で禁輸、欧米系企業との取引停止によりロシアの投稿について、同社のポリシーを臨時に緩和、許容し工業・IT 系サプライチェーンには大きな支障が出ると思※ 276が、ロシア政府の抗議を受けてこれを撤回した。

われる。同年 4 月 20 日、20ヵ国・地域（G20）財務大臣・

IT 企業とは別に、ハッカー集団の一員としての個人も中央銀行総裁会議がワシントン D.C. で開催され、ロシア

ロシアとのサイバー攻撃・防御に参画した。その代表格

代表がリモートで発言したが、米国・カナダ・英国等のである集団 Anonymous は 2 月 25 日、ロシア政府にサ

米欧の参加者が退席、ロシアの参加を認め、議論を行

イバー戦を宣言し、政府関係サイトへの DDoS 攻撃、うとする新興国との意見の対立が鮮明になった※ 283。ロ

同サイト乗っ取りによるウクライナ支援メッセージ表示、金シアとウクライナの戦いは4月に入り長期化の様相を呈し、融機関システムへの侵入によるデータ窃取、軍関係の制裁による経済の分断に加え、ロシア排除を是とするか

個人情報窃取・暴露等を継続的に行っている、としてい否かの意見の分断に世界は揺さぶられている。日本は、

た

※ 277

。こうした紛争当事国と紐づかない個人の参画は、米国・EU 諸国と歩調を合わせることが大前提となるが、これまでは専門の傭兵・義勇兵しか考えられなかったが、この分断にどう対応するか、難しい判断を迫られることとウクライナ侵攻は、通常の業務を行っている民間人が同なる。

る

時にサイバー戦に参加できる、という事態を招いた。
更に、ドローン等による戦闘映像がリアルタイムに近い

3.4.2

状況で世界に配信されることがウクライナ支援の大きな力

欧州の政策になっていることは疑いないが、配信する映像・情報によっ2021 年 5 月 1 日、「EU・英 国 の 通 商と協 力に 関て国際世論が形成される、ということは、仮にこれらのす る 協 定（TCA：EU-UK Trade and Cooperation

情報が偏っていた場合、あるいは偽装された場合に大Agreement）」が正式に発効、新たな枠組みのもとでの

201

個別テーマ

このほか、米国のグローバル企業はウクライナ支援に

3

章

ンの認可手続きを停止する※ 279 等で同調し、ロシアとの（c）
民間組織・個人のサイバー戦対応

第防御・攻撃、あるいは Disinformation の流通抑制をEU・英国の通商が本格化した※ 284。その一方で、2021

（a）
感染状況

年度も新型コロナウイルスの蔓延とその対策は欧州全域

欧州は 2020 年 3 ～ 4 月に新型コロナウイルス流行ので継続し、経済や流通の回復に影を落とし続けた。

第 1 波、10 ～ 12 月に第 2 波に襲われ、ロックダウン等

更に 2021 年 10 月以降、ウクライナに対するロシアのを余儀なくされたが、2021 年初頭からワクチン接種効果

侵攻準備に対し、NATO 加盟国を中心とする欧州でももあって感染者は急減した。英国では 2021 年 1 月初旬

危機感が高まった。2022 年 2 月 24 日、ウクライナ侵攻に 6 万人超であった 7 日間平均の感染者数が 4 月末時が開始されると欧州各国は一斉にロシアを非難、直ちに点で 2,000 人弱に減少※ 288、通常の生活が戻ることを米国と連携して経済制裁で対抗した。

期待させた。しかし、6 月に感染者が急増、その 9 割

以下ではこのような状況下における、英国及び EU

以上がデルタ株であり、インドからの渡航者の多さが主

諸国のセキュリティ・データ保護に関する政策動向につな原因と推定された※ 289。デルタ株は急速に欧州に広いて述べる。

まったものの、ドイツ・フランス・イタリア等では感染者爆発は免れ※ 290、2021 年夏以降、コロナ対策の制限緩（1）Brexit の英国における評価和を求める世論が各国で高まった。感染者数が急増し

2021 年 5 月 1 日に発効した TCA には、アイルランド

た英国・スペインも死者数は限定的であり、教育や一部（EU 加盟国）と北アイルランド（英国）の間の国境管理を職域等での制限、入国制限を除き、規制緩和が維持さ避けるため、実質的に北アイルランドをEU 圏内に留める、れた。

とした北アイルランド議定書が含まれ、発効直後からこれ

2021 年 12 月には感染力の強い新たな変異種（オミクが問題化した。英国本土と北アイルランドとの間に通関ロン株）が世界的に蔓延、2022 年 2 月 1 日には欧州全障壁が発生、議定書に対する英国の不満が高まったた

体の感染者数が 177 万人を越える大規模な流行（第 5めである。2021 年 10 月 13 日、欧州委員会（European波）となった※ 291。各国政府は 3 回目のワクチン接種を急Commission）が議定書の調停案を示したが、両者の意

ぐ一方、これだけの蔓延には隔離や渡航制限等は効果

※ 285

。

がなく、ワクチンと投薬で対応するとの方針をとった。例

2021 年 12 月の時点で、経済専門家は Brexit によりえば英国政府は 2022 年 1 月 5 日、入国者への検査体

見は平行線のままで、解決の糸口は見えていない※ 286。停滞の要因は制を緩和すると発表 ※ 292、同年 2 月 21 日には、Boris

通関手続きの煩雑化による取引減少、英国への人的移

Johnson 首相がイングランドにおける新型コロナウイルス動の減少等が考えられるが、パンデミックの影響もあり、感染者隔離の法的義務を撤廃し、4 月 1 日から無料の

Brexit 自体の影響はまだ不確定とされる。英国民にも、

PCR 検査を「最も影響を受けやすい人」に限定する、とBrexit は負の影響が大きい、との不満が強まり、「EUいうliving with Covid 計画を発表した※ 293。2022 年

再加盟」の声も上がり始めている※ 287。しかし、英国政4 月の時点で第 5 波は収束しつつある。

英国経済は停滞している、とした府は EU 復帰で再度国論を二分するような争いを避け
たいこと、2 国間の FTA（Free Trade Agreement：（b）
ワクチンパスポート

自由貿易協定）締結や日本が主導する TPP（Trans-「情報セキュリティ白書 2021」の「2.2.3 欧州の政策」で

Pacific Partnership：環太平洋パートナーシップ）協定

詳述したとおり、欧州は世界保健機関（WHO：World

加盟等の動きが始まっていること等から、当面現行の通Health Organization）の慎重姿勢とは裏腹に、公的な商の枠組みを維持するとみられる。

ワクチン接種証明を早期に導入し、欧州域内の人の移動制限を緩和しようという動きが急である。2021 年 3 月（2）新型コロナウイルスへの対応

17 日、欧州委員会は EU 域内の自由で安全な移動を保2021 年の欧州は、新型コロナウイルスの新しい株（デ証するワクチン接種証明書に関する法案を発表した※ 294。

ルタ株、オミクロン株）の流行に見舞われたが、3 回目の同年 4 月 14 日、欧州理事会（European Council）は、ワクチン接種の進展や厳しい対策への根強い反発等か

加盟国政府の接種証明導入における人権保護ガイダンら、徐々に対策が緩和された。

スを公開した※ 295。これらの法案・ガイドは、接種証明
をワクチン非接種者への差別要因とさせないこと、記録する個人情報は最小限にすること等を明示している。
2021 年 7 月 1 日、欧州委員会は接種証明書（Digital202

情報セキュリティ白書

COVID Certificate：通称グリーンパス）の発行・運用を社会同盟（CDU-CSU）
が敗北、中道左派の社会民主党

開始した。グリーンパスは、「ワクチン接種」「検査陰性」（SPD）が第一党となり※ 302、首相は Angela Merkel 氏「感染からの回復」のいずれかの証明を加盟国が発行

から Olaf Scholtz 氏に交代した。Scholtz 首相はワクチするもので、保持者は検疫等を受けることなくEU 域内

ン接種義務化と規制緩和の方針を継続、2022 年 3 月※ 296

15 日から発効予定の医療・高齢者介護従事者等への接署名も含む、個人情報はパスの署名チェック時には参照

種義務化法案を、一般市民に拡大することを目指した。

されない、等のセキュリティが担保されるという。越境時

2021 年 12 月 22 日にドイツ倫理委員会はこれを「一定のの運用については煩雑さが指摘されたが、2021 年の夏

条件のもとで推奨」するとし、経済界も同調した※ 303。しは、2 年ぶりに南欧等の観光地が賑わうこととなった。まかし、オミクロン株にワクチンが有効でないとの疑義が出た 2022 年 4 月時 点で、個 人 情 報 漏えい、あるいはたことから野党が反発、連立与党（SPD、緑の党、自GDPR 違反等の大きな事案は起きていない。

由民主党）も合意できず、審議は紛糾した。与党賛同

条件であれば EU 域内移動制限が緩和される。EU をしたが、2022 年 4 月 7 日、ドイツ連邦議会で否決され離脱した英国も、同国の発行する証明書があれば EU

た※ 304。Scholtz 首相のコロナ対策は冒頭でつまずいた

域内への移動に制限はなく、またグリーンパスにより英国形である。

への移動も自由である。アジアではタイ・マレーシア・シ

イタリアでは 2021 年 8 月 6 日以降、国内の飲食やイベ

ンガポール・台湾等も同様である。これに対し、米国やント施設へのアクセスで接種証明の提示を義務付け※ 305、日本が求める接種証明や規制緩和の要件はグリーンパス

国内向けの詳細な適用規格を整備した※ 306。一方英国と適合せず、普及の懸案事項となっている。例えばどのの対応は二転三転した。英国は当初イングランドにて、イ

ワクチンの接種を有効と認めるか、で証明書の互換性に

タリアと同様にイベント等で接種証明提示を求める計画で問題が生じる懸念は導入以前からあったが、米国とEUあったが、反対意見が強く、2021 年 9 月 12 日、Sajid※ 297のケースではそれが顕在化している

Javid 保健相が導入見送りを発表した※ 307。経済界はこ。

れに反発、同年 12 月 14 日、英国下院は、議員の賛否が割れる中で、接種証明提示義務化案を承認した※ 308。

（c）
ワクチン接種義務化
欧州各国はワクチン接種率向上の手段として義務化

ところが 2022 年 1 月 31 日、Javid 保健相はヘルスケア

政策を試みているが、接種の可否判断は個人の権利と従事者に対するワクチン接種義務化の決定を撤回する、

考える市民の反対は根強く、対応に苦慮している。

と発表した※ 309。ワクチン接種を忌避したいヘルスケア
従事者の雇用に配慮したと思われるが、政府の対応はフランス政府は 2021 年 7 月、ワクチン接種済み、また義務化をめぐる混乱を示すものとなった。

は PCR 検査陰性を証明する衛生パス（passe sanitaire）
を導入、公共空間にアクセスする 18 歳以上の人に提示を求めた。実際に衛生パスはワクチン接種率向上に効（3）サイバーセキュリティ政策※ 298。フランス政府は更に 2022 年 1

欧州のサイバーセキュリティ政策は、欧州ネットワーク・

月 24 日、ワクチン接種を実質的に義務化するワクチンパ

情報セキュリティ機関（ENISA：The European Union

果があったとされる※ 299、16 歳以上で飲食・文Agency for Cybersecurity）
が主導し、重要インフラに化・娯楽施設、地域間交通サービス等を利用する場合

関する NIS 指令（NIS Directive）の実装、あるいは域に提示必須とした。一方で、マスク着用、イベント・飲内の製品・サービスのセキュリティを担保するサイバーセ

食等に関する制限を順次緩和し、2 月 28 日にはワクチン

キュリティ認証スキームの構築等を中心として進められてス（passe vaccinal）
を導入

※ 300

パス適用施設内のマスク着用義務を解除した。まいる。以下では、これらの施策の最新動向について述た 2 月以降第 5 波が収束に向かったこと等から、Jean

べる。

Castex 首相は 3 月 3 日、ワクチンパスの適用を 3 月 14日から一時停止すると発表した※ 301。ワクチン義務化へ（a）
重要インフラのセキュリティの根強い不満に対して、大統選選挙直前に配慮がなさ

2016 年 8 月 8 日に発効した NIS 指令は、EU 域内れたという見方もある。

の重要インフラ・サービスのセキュリティについて、加盟

ドイツは、2021 年 9 月の総選挙で与党キリスト教民主・国の対策能力向上、加盟国間の連携と情報共有、重

203

3

個別テーマ

者が「60 歳以上への義務化」という妥協的な法案を提出

章

EU 以外の国のワクチン接種証明書も、EUと同等の第。接種・検査を行った医療機関等のを移動できる2022

要事業者の CSIRT のリスクマネジメントとインシデント報

出されていたが、ENISA は 2020 年 7 月 2 日、コモンク

告の監督、の 3 点について義務を規定し、加盟国の国

ライテリア認証をベースとする候補認証スキーム（EUCC

内準拠法・規格の状況を公開している。ENISA はまた、

scheme：Common Criteria based European candidate

加盟国による NIS 調整グループ（NIS Coordination

cybersecurity certification scheme）※ 317 を、2021 年

Group）を組織し、加盟国間の情報共有とEU CSIRT

5 月 25 日に同スキームの改版 V1.1.1 ※ 174 を公開した。

の方針調整、各種ガイドラインの策定を行っている※ 310。

V1.1.1 によれば、本スキームは、欧州がこれまでスマー

2021 年 11 月に公開された NIS Investments Report

トカード認証等で運用して実績のあるコモンクライテリアスによれば、調査対象の重要インフラ・サービス事業者のキームの後継で、ISO/IEC 15408、ISO/IEC 18045 に

48.9% が「NIS 指令により自社のセキュリティ対策に重要な準拠するとし、更に EU サイバーセキュリティ法のセキュインパクトがあった」とし、50% が「検知能力が向上した」、

リティ要件を満たし、より広い ICT 製品・サービスのセキュ※ 311

また 26% が「復旧能力が向上した」
と回答した

。

リティ向上に貢献する、としている。本スキームは法制

この間 ENISA は 2021 年 6 月 3 日にエネルギー業界、
ヘルスケア業界の PSIRT の実態調査報告

※ 312

を、ま

化が想定され、法制化された場合の ICT セキュリティベ
ンダへの影響は大きい。

た同年 11 月 11 日に医療・保健業界の CSIRT の実態

続いて ENISA は 2020 年 12 月 22 日、クラウドの認※ 313。コロナ対策という背景もあり、

証スキームドラフトを公開した※ 318。本スキームは、EU

ENISA の医療・保健業界の能力向上重視がうかがわサイバーセキュリティ法に基づいて CSPCERT（Cloudれる。

Service Provider Certification）Working Group が調査報告を公開した

一方、NIS 指令の実装が本格化するとともに、対象

2019 年に作成した推奨事項※ 319 を引き継ぎ、保証レベとする業種拡大の必要性が課題として表面化した。欧ル を basic、substantial、high の 3 段 階 とし、ISO

州委員会はこれを検討し、重大エンティティ（essential

27000 シリーズのクラウド認証標準と監査に関する規格

entity）と呼ぶカテゴリに、基幹サービス 7 分野に加えてのいずれにも配慮した、としている。本スキームの利用

行政、下水道、宇宙の 3 分野を追加、また重要エンティ

は任意であり、法制化はない、とされる。

ティ（important entity）と呼ぶカテゴリに、デジタルサー

更に 2021 年 2 月 3 日、ENISA は欧州委員会の要

ビス提供者に加えて郵便、廃棄物処理、化学、食品、請により、5G ネットワークの認証スキーム策定に着手する

製造等を追加すること、
またサプライチェーンセキュリティ、と発表※ 320、アドホックワーキンググループを 2021 年夏

効率的なインシデント報告、EU 内の統合的な罰則等のに設置した※ 321。ドラフト作成作業はやや遅れ、2023

セキュリティ強化が必要であるとする NIS 指令の改正案

年の公開が想定されている。

NIS2 directiveを作成した。次いで欧州議会（European

一方で、これらの認証スキームにも提案当時から「製Parliament）
内の産業研究エネルギー委員会（Industry,

品カテゴリで要件が違いすぎる」「民間に任せるべき」等

Research and Energy Committee）がこれを審 議、の異論があり、実施にスキームが利用され、市場に受※ 314

2021 年 10 月 28 日に承認した。今後改訂に向けたけ入れられるかは未知数である。ENISA はこれに対し、手続きが進むこととなる。

認証スキームの市場へのインパクト計測について検討を行い、2021 年 4 月 9 日、特定のセキュリティ市場（TOA：（b）
セキュリティ認証スキームとセキュリティ市場分析

Target of Analysis）における認証スキーム導入の有効性評価を行う手法を公開した※ 322。

EU のサイバーセキュリティ認証制度（Cybersecurity
Certification Framework）は、EU 域内で提供される

このほか ENISA は、「EU 域内市場活性化の要件」

ICT 製品・サービスのセキュリティ認証を各国任せにせ及び「欧州のサイバーセキュリティ産業・市場の育成」をず、EU の統一規格（スキーム）による認証で置きかえ、主眼とするサイバーセキュリティ市場ワーキンググループ

欧州デジタル単一市場（EU Digital Single Market）をを設置し、2022 年 4 月 8 日にサイバーセキュリティ市場※ 315

で、ENISA が提出、2019 年

分析の枠組み、及び IoT セキュリティ市場に関する分

6 月 27 日に 発 効した EU サイバ ー セキュリティ法

析報告を公開した※ 323。このような、EU 共通の規格策※ 316に準拠している。こ（Regulation（EU）2019/881）

定と並行して EU 統合セキュリティ市場の分析を行う活実現しようとするもののスキームには、法案提出当初から「製品カテゴリで要動は注目に値する。

件が違いすぎる」「民間に任せるべき」等の反対意見が204

情報セキュリティ白書（4）
セキュリティガバナンスに関する政策

2022によれば、例えば「超大規模オンラインプラットフォーム」

セキュリティガバナンスに関して、EU は IT サービス

（GAFA 等が想定される）に対して、違法コンテンツ配利用者である EU 域内市民の権利・プライバシー・資信・人権侵害等のリスク評価、リコメンデーションシステ

産保護の立場から施策を策定している。以下では、インムに関する情報開示とカスタム化機能、オンライン広告

フォデミック、AIに関するガバナンス施策について述べる。

の情報開示、EU 加盟国の調整担当官による監督、等

なお、GDPR の運用状況については「3.4.2（5）GDPRの義務が課される※ 327。2022 年 4 月 23 日、欧州委員の運用状況」で紹介する。

会は欧州議会とEU 加盟国が DSA について合意した、と発表した※ 328。

（a）インフォデミックに関するガバナンス

同年 3 月 25 日、欧州委員会は、デジタルプラットフォー

領選挙等に関するフェイクニュース等の Disinformation

透明性の確保を義務化する「デジタル市場法（DMA：による混乱（インフォデミック）に対し、欧州は厳しい態度

Digital Markets Act）※ 329」についても、欧州議会と※ 330。DMA は、2020 年 12 月 3 日、 欧 州 委 員 会は Disinformation

欧州委員会により「ゲートキーパー（デジタルサービスやによる政治活動過激化への対策として「欧州民主主義

顧客への玄関口）」と認定された事業者に対し、アプリの行動計画（European Democracy Action Plan）」（以

プリインストール等の禁止やメッセージサービスの相互互※ 324。行動計画は、「デジタ

換性等を求めており、違反には高額の制裁金が科されル空間において、虚偽や悪意を排した事実に基づき、る。欧州委員会の Margrethe Vestager 副執行委員

自由でオープンな意見表明と討議を可能にし、欧州の民

長は、DMA は 2022 年 10 月に発効する、とした※ 331。

主主義を強化する」として、以下の 3 点について施策をこれに対してゲートキーパーとされる Google 社、Apple

講ずるとしている。

社等は「利用者の不便」「知的財産権への配慮」「技術①自由で公正な選挙の推進

革新への影響」等の不満・懸念を表明している。

下、行動計画）を発表した

以上のように、欧州の公平・公正なデジタルマーケット②メディアの自由と多元主義の強化の統制は DMA、DSA が柱となっており、インフォデ③虚偽・有害情報対策

ミック対策も、その中で実装されていくと考えられる。
①については、選挙コンサルティング会社 Cambridge

Disinformation・有害情報の蔓延については、DSA のAnalytica Ltd が Facebook の大量個人情報を選挙活リスク評価に基づき、事業者が主導的に対処すると思わ動に悪用した等の苦い経験から、政治広告への規制をれるが、行動計画の施策①、②に含まれる政治広告の主眼としている。

規制・関連組織の監視については、EU 加盟国政府との連携も必要であり、今後の検討が待たれる。

②については、ジャーナリスト（特に女性）の安全を確保し、メディアの多元性の強化を加盟国と推進する、としている。ここでは言及されないが、中国・ロシアへの（b）
AI に関するガバナンス
AI は、IT 技術革新の重要な要素であり、欧州委員

警戒があり、中国・ロシア資本によるメディアの所有や政会もAI 利用は EU の国際競争力の源泉と考えている。

治広告等に対する監視を強めると考えられる。
③について欧州は、米国とは対照的に、一貫してプラッ

同時に欧州委員会は、AI が EU 市民の権利を保護し、トフォーム事業者規制の立場をとっている。行動計画で安心して利用できるという信頼（trustworthy AI）
も必須

は、欧州委員会が策定した SNS、ネット広告等におけるであるとしている※ 332。
欧州委員会において、信頼できる AI に関する検討「虚偽・有害情報に関する行動規範（Code of Practice※ 325」（以下、行動規範）の内容をは 2018 年に開始されたが、2021 年 4 月 21 日、同委

準規則化
（co-regulatory framework）
し、プラットフォー

員会は、AI 利用に伴うリスク及びその対処に関する法

ム事業者の監視を強めるとしている。また、2020 年 12

案「Artificial Intelligence Act」
（以下、AI 法）を提出

月に欧州委員会が提出した包括的なデジタルプラット

した※ 333。AI の利用リスクについては、特に人権・プラ

フォーム規制法案「デジタルサービス法（DSA：Digital

イバシー侵害や軍事利用に関する倫理面の議論が企on Disinformation）※ 326

Services Act）」と整合させる、としている。DSA

業・研究機関・国際標準化機関等で検討され、多くの

205

個別テーマ

EU 加 盟 国が合 意した、と発 表したをとり続けている。

3

章

ム事業者による不公正・独占的なビジネス慣行の是正、

第新型コロナウイルスの感染対策やワクチン接種、大統

ガイドランが提示されている。米国 DoD も、2020 年 2

AI 法案審議では、上記の懸念について検討が進め月に国防の AI 利用について倫理原則の受け入れを発られ、最終確定までにはまだ時間を要すると思われる。

表している（「情報セキュリティ白書 2020」の「2.2.2（5）（5）GDPR の運用状況（d）AI 倫理原則の採用」参照）。しかし、罰則を含む

GDPR の実際の運用は 2018 年 5 月の発効から 3 年

法制化は AI 法が初めてであり、世界各国から注目され半以上を経過し、厳格さを増している。

ている。
AI 法では、AI 利用時のリスクの大きさにより利用類（a）
EU・米国間の個人データ移転の新たな枠組み

型を分類し、段階的な規制を設けている。最も厳しいカ
テゴリは利用の「禁止」で、類型には「サブリミナル技術

2020 年 7 月 16 日、欧州司法裁判所は、米国の個の悪用」「子どもや精神障害等の脆弱性の悪用」「個人

人データ保護は GDPR と同等のレベルになく、米国と※ 334の信用評価等の悪用」「法執行におけるリアルタイム

EU の間の包括的データ移転の枠組みであった「プライバシーシールド」は無効である、との判断を示した※ 337。

生体識別」が含まれる。
禁止に次いで厳しいカテゴリが「ハイリスク AI」で、類

その後、EU・米国間の個人データ移転は個々の契約に

型には「個人の生体識別」「重要インフラ管理・安全確保」

基づいていたが、2022 年 3 月 25 日、個人データ移転の「学生の成績評価」「被雇用者の管理・業績評価」「受

新しい枠組みについて EUと米国が合意に達した※ 338。

給資格審査・与信評価」 等が含まれる。「ハイリスク

これは欧州司法裁判所にデータ移転停止を求められ、AI」の提供者・利用者には、それぞれ公平・公正な利抗議している Meta 社には朗報であり、Google 社も合用のための義務規定が記載されるが、提供者側の責任意を歓迎したが、あくまで政治合意であり、「内容はプラが大きい。

イバシーシールドと同じではないか」との懸念も残っている。今後の司法専門家の精査が待たれる。

次に、利用者の不利益を回避するために説明責任を求めるカテゴリ「透明性義務を伴うAI」がある。類型に（b）
GDPR 違反の状況

は、利用において AIと利用者のやり取りが必要だが自明でない場合にそれを開示する、ディープフェイク等によ国際法律事務所 DLA Piper の調査によれば、2021

る本人と類似した合成画像の利用において、合成であ

年 1 月 28 日から 2022 年 1 月 18 日までの GDPR 違反

ることを開示する、等がある。

の制裁金総額は約 11 億ユーロとなり、2020 年 1 月から

リスクカテゴリごとの規定に違反した場合、制裁金が科

2021 年 1 月の間の制裁金総額（1 億 5,850 万ユーロ）のされる。リスクカテゴリ、提供者と利用者の義務、制裁金

約 7 倍に上った※ 339。違反届け出件数ではドイツ、オラ等の設計においては、GDPR や司法捜査からの個人情ンダが突出した。制裁金額ではルクセンブルグが 7 億※ 335

4,600 万ユーロで突出し、アイルランドが 2 億 2,500 万ユー

を始めとする EU の既存法制との整合が重視されていロで続いた。ルクセンブルグの制裁金は Amazon.com,

る。EU としては、AI 法を GDPR にならい、世界標準

Inc.（以下、Amazon 社）に科されたもので、2019 年に規格にしたい意図があるともいわれる。

Google 社に科された 5,000 万ユーロを超え、過去最大報保護規定である Law Enforcement Directive

しかし提出法案に対しては、産業界やプラットフォーム

である。

※ 336

事業者から多くの懸念・異論が出ている。主要なもAmazon 社の欧州拠点はルクセンブルグにあるため、のとしては以下がある。

フランスのプライバシー保護団体は 2018 年、同社が「広• AI の定義が広すぎる。ハイリスク AI の定義もあいま

告と情報提供において、欧州市民の意図に反して個人いである。

情報を使っている」との申し立てをルクセンブルグの国家• 複雑な AI エコシステムが考慮されず、AI 提供者のデータ保 護 委 員 会（CNPD：Commission Nationale

義務が大きすぎる。

pour la Protection des Données）に提出していた。

• 義務規定で実施困難なものがある。

CNPD は 2021 年 7 月 16 日、同社の行為を GDPR 違反• ハイリスク AI の類型については既存法制と重なり、であるとし、
ビジネス慣行の改善を求め、制裁金を科した。
ただし、違反行為の詳細は明らかにしていない※ 340。

過剰規制の懸念がある。

Amazon 社は裁定に強く反発し、米国証券取引員会• AI 技術の進展による柔軟な改変が必要である。

（SEC：U.S. Securities and Exchange Commission）

206

情報セキュリティ白書

への四半期報告において「顧客情報は守られており、（6）中国・ロシアへの対応
欧州は、2000 年代以降中国、ロシアと緊密な連携を広告の選択は欧州のプライバシー保護法に基づいてい
※ 341

る」
と述べた

2022

。

構築してきたが、2021 年に入り、激変している。以下

なお制裁金の高額化について、DLA Piper は「欧州では中国、ロシアそれぞれとの関係、及び NATO とし司法裁判所のプライバシーシールド無効判決の影響が大ての対応について述べる。

きい。高額な制裁金はビジネスの活性化にはつながらな（a）
中国への対応い」としている。
Amazon 社の事案のほか、制裁金額の大きな事案に2020 年以降、中国と欧州の関係は新型コロナウイルの中国依存リスクや、香港・新疆ウイグル自治区におけCommission Nationale de l'Informatique et desる人権問題が加わり、英国・EU 諸国は中国と距離を置

Libertés）は、Google 社に、利用者のクッキー拒否をく政策に舵を切った。5G・重要インフラ関連調達につい阻害するようなユーザインタフェースが GDPR 違反でてもこの政策が引き継がれている。5G における中国ベン

※ 342

。また

ダ排除に積極的な英国では、2021 年 11 月 17 日、通Google Ireland Ltd. に対しても、同様な GDPR 違反

信事業者の機器調達におけるセキュリティ要件を厳格化あるとし、9,000 万ユーロの制裁金を科した

※ 343

。

し、「ハイリスクベンダ」依存等のサプライチェーンリスクを

制裁金の算定には、利用者数の多さ、2 回目の違反

削 減する通 信セキュリティ法「Telecommunications

裁定であること、等が考慮された。更に CNIL は、（Security）ACT 2021」が成立した※ 348。また 2022 年

上記 2 社に対し、3ヵ月以内にフランスの利用者にクッ

3 月 1 日、同法に基づく通信セキュリティ規則案が英国

キー拒否が容易にできる機能を提供するよう命じた。

政府から公開された※ 349。

があるとして 6,000 万ユーロの制裁金を科した• 同 じ く 2021 年 12 月 31 日、CNIL は、Facebook

5G における名指しの中国ベンダ排除が難しいドイツで

Ireland Ltd. に対しても、Google 社の場合と同様なは、重要インフラ事業者のセキュリティを強化する IT セ

GDPR 違反があるとし、6,000 万ユーロの制裁金を科

キュリティ法改正法「IT Security ACT 2.0」が 2021 年した。制裁金の算定には、利用者数の多さ、2 回目（a）重5 月 28 日に施行された※ 350。同法は、「3.4.2（3）の違反であること等が考慮された※ 344。

要インフラのセキュリティ」で述べた NIS2 directive に歩• 2021 年 12 月16日、
イタリアデータ保護機関（Garante）

調を合わせ、重要インフラ業種の追加と対策義務強化

は、エネルギー供給事業者 Enel Energia S.p.A. にを規定している。また重要部品の調達について、ベンダ

対し、同社が数百万に及ぶ顧客情報をテレマーケティ

からの信頼証明（guarantee declaration）取得、連邦

ングに不正に流用したこと、顧客がテレマーケティング

内務省（BMI：Bundesministerium des Innern undを断るための情報を提示しなかったこと、データ保護

für Heimat）への事前申告を義務付けている※ 351。申機関の査察に協力しなかったこと等が GDPR 違反で告や政府の監督により中国依存リスクに対処する、とい※ 345あるとし、2,650 万ユーロの制裁金を科した。

うアプローチだが、5G ネットワーク普及の妨げになる、と• 2022 年 2 月 10 日、
イタリアデータ保護機関（Garante）

いう民間の懸念の声もある。

は、米国系の顔認識ソフトウェアベンダ Clearview AI

以上のように、欧州の 5G・重要インフラ機器調達にに対し、同社のイタリア国内での監視サービスに用いおいて中国の参画は困難になりつつある。また「3.4.2（4）

る顔画像データが不正に処理されており、また利用者（a）インフォデミックに関するガバナンス」で述べた行動計

への情報開示の不備や利用目的の逸脱が GDPR 違

画や DSA 等により、EU は「自由な情報の発信」につい※ 346

反であるとし、2,000 万ユーロの制裁金を科した。

て、中国に毅然とした態度を取ろうとしている。

• 2022 年 3 月 15 日、アイルランドデータ保護機関（Data2022 年 4 月 1 日、EU 首脳と中国首脳は 2020 年 12

Protection Authority of Ireland）は Meta 社に対

月以来となるテレビ会議を行った※ 352。EU は中国に対し、し、2018 年 6 月、12 月時点の技術的・組織的な情制裁の抜け道を使ってロシアのウクライナ侵攻を支援しな

報セキュリティ対策が不十分であったとし、1,700 万

いよう警告し、中国は欧州のロシア制裁をけん制するとと※ 347

もに、「中国・欧州の情勢を安定化するべく、自主的なユーロの制裁金を科した。

政策をとる」ことを要請した。中国・EUともに関係を修

207

3

個別テーマ

• 2021 年 12 月 31 日、フランスデータ保護機関（CNIL：章

ス対策をめぐって急速に冷却した。更にサプライチェーン

第は以下がある。

復したいとする思惑はあるが、人権問題やロシア制裁に石油禁輸は実効的な制裁手段として EU が提案して対する意見の隔たりは大きく、関係修復は見通せないいるが、実施を求めるポーランド・エストニア・ラトビア・リ

状況である。

トアニアと原油の 65% をロシアに依存するハンガリー等との調整が難しくなっている。ドイツの決断は制裁の実現（b）
ロシアへの対応を一歩進めるものだが、急激なエネルギーのロシア依存

ロシアへの対応について、欧州は難しい選択を迫られ脱却は欧州全域のインフレ加速、景気後退を招く恐れがた。「3.4.1（4）米ロ関係の悪化とウクライナ侵攻」で述べあり、制裁を科す欧州も困難な時期を迎えると思われる。

たとおり、2021 年秋以降、ロシアのウクライナ侵攻準備（c）
NATO の対応が進み、ロシアとの関係は悪化の一途をたどった。2021
年 12 月 10 日、Ursula von der Leyen 欧州委員会委

ウクライナ侵攻においては、NATO の対応も注目され

員長は、ロシアに対して「ウクライナ軍事侵攻は代償を伴た。NATO はソ連崩壊後の 1997 年に NATO- ウクラ

※ 353

」
と警告し、2022 年 2 月 16 日の欧州議会では「クイナ委員会（NUC：NATO-Ukraine Commission）
を設

レムリンが侵攻を選択すれば、制裁は素早く広範なもの

置、2014 年のロシアのクリミア侵攻以降はウクライナのになる」と発言した。EU の制裁は侵攻直前の 2 月23日、防衛体制の再編強化を支援してきた。2020 年 9 月、ウクライナ東部の一部の国家承認に関わった個人や団

Zelenskyy 大統領は NATO とのパートナーシップを柱体に対して開始され、2 月 25 日以降、英国も含め、5とする国家セキュリティ戦略を承認した※ 359。この間、回にわたり制裁措置を発動した※ 354。主な措置としてはNATOとロシアの対話は膠着した。ソ連崩壊後、NATO

う

※ 355

以下がある

。

はロシアとも「平和のためのパートナーシップ」の枠組みの• ロシア・ベラルーシ政府関係者・資産家 1,091 人、もとで対話を行っていたが、前述のクリミア侵攻でこの取り組みは挫折した※ 360。

金融機関・政府系企業等 80 組織の資産凍結• ロシア中央銀行を含む金融機関、政府系企業の欧ウクライナ侵攻直後、NATO はロシアを「最も強い言葉

州市場取引停止。主要銀行の国際決済ネットワーク

で非難」したが、ウクライナへの直接介入はできず、加盟

SWIFT からの排除。ロシア企業の信用格付け停止

国の自発的な武器供与等に任せた。こうした NATO の• 石油精製技術の禁輸。エネルギー分野の新規投資限界がロシアに侵攻を決断させた、という見方がある※ 361
一方、クリミア侵攻の教訓を生かした NATO の支援が、制限

武力と情報のハイブリッド戦においてウクライナの善戦を• 航空・宇宙関係部品の禁輸。ロシア航空便の欧州引き出した、とする見方もある。

運航禁止。ロシア貨物船の欧州入港制限

ウクライナ民間人の被害と、中立国が侵攻されかねな• ドローン・暗号化ソフトウェア・半導体を含む軍事転いという懸念は、Trump 前政権の NATO 軽視戦略で用可能製品（dual-use goods）の禁輸• G7 諸国と連携した最恵国待遇の停止、鉄鋼・ハイテ

米国との関係に摩擦が生じていた NATO を再結束させ、ク製品等の禁輸（「3.4.1（4）（d）
ロシアへの対抗策」参更なる拡大を促す結果となった※ 362。地政学的な状況か照）

ら NATO 非加盟であったフィンランドとスウェーデンでは世• Disinformation 配信・情報操作の主体とされる政府論が劇的に変わり、両国は NATO 加盟を検討した※ 363。

系メディア
（RT, SPUTNIK）の免許・認可取り消し※ 356

一方 NATO は両国の判断としながらこれを歓迎し、加盟手続き中の両国の安全保障に言及した※ 364。2022 年

侵攻当初、エネルギー供給をロシアに依存する欧州が

5 月 17 日、フィンランド・スウェーデン両国首脳は同時に一枚岩で制裁を発動できるか、という懐疑が存在したが、NATO 加盟を申請する、と正式に発表した※ 365。

短期間に広範な措置が EU 全体で合意されたことは注

しかし、フィンランド・スウェーデンの NATO 加盟が目される。しかし、これには代償も伴う。例えばドイツは、実現すればロシアにとって大きな誤算であり、NATO 諸ロシアと推進してきた天然ガスパイプライン計画（Nord

国とロシアの更なる緊張は避けられない。5 月 14 日、

※ 357

。更

Putin 大統領はフィンランドの Sauli Niinistö 大統領とのに 2022 年 4 月 26 日、ロシアからの石油禁輸に対応でき

電話会談で「NATO 加盟は過ち」であると述べ※ 366、Stream 2）を凍結する、という重い決断をした
※ 358

る、とした

。これにより、ドイツのエネルギー政策は報復を示唆した。
欧州の状況は予断を許さないものとなっ見直しを迫られる。

ている。

208

情報セキュリティ白書

C

O

L

U

M

2022

N

Disinformationの脅威とは「3.4 米国・欧州の情報セキュリティ政策」には Disinformation という耳慣れない言葉が出 て きました。 定 まった 日 本 語 訳 は なく、しい て 言 え ば「 虚 偽 情 報 」 でしょうか。
Misinformation という言葉もありますが、これは「誤報・デマ」に近く、Disinformation
はもっとたちが悪い。米国、欧州では、人を騙す・誘導する等の悪意を持って虚偽の情報を作成・配信する場合、その情報を Disinformation と呼ぶことがあります。「フェイクニュー「3.4 米国・欧州の情報セキュリティ政策」には有害情報（Harmful information）という言的に許されない目的で用いられる情報をさしますが、一部 Disinformation にかぶると思われます。
Disinformation は、事実の隠蔽・ねつ造、特定意見への誘導、争議過熱による市民の分断等に加え、ネットニュースや SNS で配信される情報の信頼性の棄損、という IT 社会の根幹を揺るがす問題になる危険性をはらんでいます。その脅威は 2016 年の米国大統領選
挙にロシアが介入したとされる事案で顕在化し、それ以来、英国の EU 離脱における混乱、新型コロナウイルス感染拡大における非難合戦、対策における市民の混乱（インフォデミッ
ク）、2020 年の米国大統領選挙における「不正選挙」キャンペーンと世論の分断、そしてウクライナ危機における虚実を含む情報戦、と枚挙にいとまがない状態です。
もっとも、情報操作による誘導や混乱は古くからある手口で、IT 固有の問題ではありません。しかし現在の IT プラットフォームは、虚偽情報の生成・配信をかつてない程高精度・低コスト・ピンポイントで行える場となってしまいました。各国政府や IT プラットフォーム事業者、民間の監視機関等も、怪しい情報の検知やコントロールについて政策・技術等あの手この手で対策を取り始めています。しかしまだまだ十分ではなく、当面 Disinformation や有害情報の氾濫は続くのでしょう。
Disinformation に惑わされないためには、政府等の対策に頼るだけでなく、私達一人ひとりの意識も重要だと思います。「人は自分の見たいものしか見ない」は、ユリウス・カエサ
ルの名言ですが、自分の気に入ったソースのコンテンツしか見ない、気の合う人としか話さない環境が、今は実に簡単に作れます。そして、それを狙っているのはネットビジネスだけ
ではありません。人を騙そう、混乱を起こそうとしている勢力の狙う脆弱点でもあるのです。
同じ意見を何度も目にする、違う意見は見ない、が続けば、それが当たりだと思うようになっても不思議はありません。
何か大事なことを考えたり決定したりする場合には、いつものソースの情報を見るだけでなく、違うソースの情報を見る、違う人の意見を参考にする等で、少しでも広い視野を持つ
ことはとても大切だと思います。そして、これが Disinformation 対策の第一歩になるのではないかと思います。

209

個別テーマ

葉も出てきました。これは虚偽か否かを問わず、誹謗中傷、人権侵害、暴力扇動等の倫理3

章

脈でよく用いられるようです。

第ス」に近い語感ですが、国家や政治勢力等が自らの利益のために情報を操作する、という文※ 1 NISC が重要インフラの運営を担う事業者と、そこで行われるセキュ
リティ対策を支援する所管省庁が参照すべき指針として公表している「重要インフラの情報セキュリティ対策に係る行動計画」では、「重要インフラ」として 14 分野が定義されている。
NISC：重要インフラグループ https://www.nisc.go.jp/policy/group/
infra/index.html〔2022/4/21 確認〕※ 2 トレンドマイクロ株式会社：日米独 3 か国のスマートファクトリーにおけるセキュリティ実態調査を発表 https://www.trendmicro.com/ja_jp/
about/press-release/2021/pr-20210422-01.html〔2022/4/21 確認〕
トレ ンド マ イク ロ 株 式 会 社：Whitepaper:The State of Industrial
Cybersecurity https://resources.trendmicro.com/IndustrialCybersecurity-WP.html〔2022/4/21 確認〕※ 3 Bridewell Consulting Limited：CNI cyber risks: looking
forward to 2025 https://www.bridewellconsulting.com/cni-cyberrisks-looking-forward-to-2025〔2022/4/21 確認〕※ 4 「マルウェア」等の用語を混在して使用すると、読者を混乱させる可能性があるため、本白書では特に断りのない限り、または文献引用上の正確性を期す必要のない限り、総称して「ウイルス」と表現する。
※ 5 NBC News Digital：50,000 security disasters waiting tohappen: The problem of America's water supplies https://www.
nbcnews.com/tech/security/hacker-tried-poison-calif-watersupply-was-easy-entering-password-rcna1206〔2022/4/21 確認〕※ 6 IPA：制御システム関連のサイバーインシデント事例 8 ～ 2021 年
水道局への不正侵入と飲料水汚染未遂～ https://www.ipa.go.jp/
files/000093824.pdf〔2022/4/21 確認〕※ 7 CISA：Alert (AA21-287A) Ongoing Cyber Threats to U.S.
Water and Wastewater Systems https://www.cisa.gov/uscert/〔2022/4/21 確認〕
ncas/alerts/aa21-287a※ 8 IPA：制御システム関連のサイバーインシデント事例 9 ～ 2021 年
米国最大手のパイプラインのランサムウェア被害～ https://www.ipa.
go.jp/files/000093825.pdf〔2022/4/21 確認〕※ 9 トヨタ自動車株式会社：2022 年 3 月 国内工場の稼働について（2/28 時 点 ） https://global.toyota/jp/newsroom/corporate/
36960974.html〔2022/4/21 確認〕
トヨタ自動車株式会社：3/2（水）以降の国内工場における稼働再開について https://global.toyota/jp/newsroom/corporate/36964714.html〔2022/4/21 確認〕
トヨタ自動車株式会社：ウィルス感染被害によるシステム停止事案発生のお知らせ（第 2 報） https://www.kojima-tns.co.jp/news/news0003235/〔2022/4/21 確認〕※ 10 Bleeping Computer：Leading crane maker Palfinger hit inglobal cyberattack https://www.bleepingcomputer.com/news/
security/leading-crane-maker-palfinger-hit-in-global-cyberattack/〔2022/4/21 確認〕International Cranes and Specialized Transport：Palfinger attack
highlights escalation in cyber crimes https://www.internationalcranes.
media/news/palfinger-attack-highlights-escalation-in-cybercrimes/8013885.article〔2022/4/21 確認〕※ 11 ZDNet：Ransomware attack halts production at IoT maker
Sierra Wireless https://www.zdnet.com/article/ransomwareattack-halts-production-at-iot-maker-sierra-wireless/〔2022/4/21
確認〕※ 12 Bleeping Computer：Food giant JBS Foods shuts down
production after cyberattack https://www.bleepingcomputer.
com/news/security/food-giant-jbs-foods-shuts-down-production〔2022/4/21 確認〕
after-cyberattack/GlobeNewswire, Inc：Media Statement: JBS USA Cybersecurity
Attack https://www.globenewswire.com/news-release/2021/
05/31/2239049/0/en/Media-Statement-JBS-USA-CybersecurityAttack.html〔2022/4/21 確認〕※ 13 The Register：UK VoIP telco receives 'colossal ransom
demand', reveals REvil cybercrooks suspected of 'organised'
DDoS attacks on UK VoIP companies https://www.theregister.
com/2021/09/02/uk_voip_telcos_revil_ransom/〔2022/4/21 確認〕※ 14 The Register：New Zealand internet outage blamed on
DDoS attack on nation's third largest internet provider https://www.theregister.com/2021/09/03/nz_outage/〔2022/4/21 確認〕※ 15 THE HILL：Major US candymaker targeted in ransomware
attack https://thehill.com/business-a-lobbying/business-alobbying/577576-major-us-candymaker-targeted-in-ransomwareattack〔2022/4/21 確認〕※ 16 ZDNet：Schreiber Foods back to normal after ransomware
attack shuts down milk plants https://www.zdnet.com/article/
schreiber-foods-back-to-normal-after-ransomware-attack-shutdown-milk-plants/〔2022/4/21 確認〕※ 17 ABC 17：Cyberattack forces Australian TV channel off air
https://abc17news.com/money/2021/03/29/cyberattack-forcesaustralian-tv-channel-off-air/〔2022/4/21 確認〕※ 18 BleepingComputer：Cox Media Group confirms ransomware
attack that took down broadcasts https://www.bleepingcomputer.
com/news/security/cox-media-group-confirms-ransomware-attackthat-took-down-broadcasts/〔2022/4/21 確認〕※ 19 BleepingComputer：Sinclair TV stations crippled by
weekend ransomware attack https://www.bleepingcomputer.
com/news/security/sinclair-tv-stations-crippled-by-weekendransomware-attack/〔2022/4/21 確認〕※ 20 CPO MAGAZINE：Norwegian Media Company Amedia
Suffered a Serious Cyber Attack That Left Newspapers Unprinted
https://www.cpomagazine.com/cyber-security/norwegianmedia-company-amedia-suffered-a-serious-cyber-attack-that-left〔2022/4/21 確認〕
newspapers-unprinted/※ 21 The MediaNews：VTA targeted in apparent ransomware
attack, hackers threaten to release trove of data https://www.
mercurynews.com/2021/04/22/cyberattack-targets-vta-unclear〔2022/4/21 確認〕
if-personal-information-breached/※ 22 Jewish Press：Cyberattacks Cripple Iranian Transportation
Infrastructure Twice in Two Days https://www.jewishpress.com/
news/middle-east/iran-news/cyberattacks-cripple-iraniantransportation-infrastructure-twice-in-two-days/2021/07/11/〔2022/4/21 確認〕※ 23 MobileSyrup：Several TTC services are still down following
ransomware attack https://mobilesyrup.com/2021/11/01/
several-ttc-services-are-still-down-following-ransomware-attack/〔2022/4/21 確認〕※ 24 Industrial Cyber：Ransomware attacks on healthcare
networks lead to impact on patient care, delays in procedures
https://industrialcyber.co/article/ransomware-attacks-onhealthcare-networks-lead-to-impact-on-patient-care-delays-inprocedures/〔2022/4/21 確認〕※ 25 ZDNet：Oxford University lab with COVID-19 research links
targeted by hackers https://www.zdnet.com/article/oxforduniversity-biochemical-lab-involved-in-covid-19-research-targetedby-hackers/〔2022/4/21 確認〕
Forbes：Exclusive: Hackers Break Into‘Biochemical Systems’At
Oxford University Lab Studying Covid-19 https://www.forbes.
com/sites/thomasbrewster/2021/02/25/exclusive-hackersbreak-into-biochemical-systems-at-oxford-uni-lab-studying-covid19/?sh=1af4f092a391〔2022/4/21 確認〕※ 26 Security Affairs：Another French hospital hit by a ransomware
attack https://securityaffairs.co/wordpress/115434/cybercrime/french-hospital-ransomware-attack.html〔2022/4/21 確認〕※ 27 iTWire：Healthcare provider UnitingCare Queensland hit byransomware https://itwire.com/security/healthcare-provider〔2022/4/21 確認〕
unitingcare-queensland-hit-by-ransomware.html※ 28 ComputerWeekly.com：Reports of stolen Irish health service
data being leaked online https://www.computerweekly.com/
news/252501064/Reports-of-stolen-Irish-health-service-databeing-leaked-online〔2022/4/21 確認〕
HSE：HSE publishes independent report on Conti cyber attack
https://www.hse.ie/eng/services/news/media/pressrel/hsepublishes-independent-report-on-conti-cyber-attack.html〔2022/
4/21 確認〕
U.S. Department of Health & Human Services：Lessons Learned
from the HSE Cyber Attack https://www.hhs.gov/sites/default/〔2022/4/21 確認〕
files/lessons-learned-hse-attack.pdf※ 29 SC MEDIA：Health care ransomware attacks: Oklahoma
health system driven to EHR downtime https://www.scmagazine.
com/news/health-care/health-care-ransomware-attacks-oklahomahealth-system-driven-to-ehr-downtime〔2022/4/21 確認〕※ 30 BleepingComputer：Hive ransomware attacks Memorial
Health System, steals patient data https://www.bleepingcomputer.
com/news/security/hive-ransomware-attacks-memorial-healthsystem-steals-patient-data/〔2022/4/21 確認〕※ 31 Security Affairs：For the first time, an Israeli hospital was hit
by a major ransomware attack https://securityaffairs.co/
wordpress/123350/hacking/israeli-hospital-ransomware-attack.
html〔2022/4/21 確認〕※ 32 BleepingComputer：Cyberattack on BHG opioid treatment
network disrupts patient care https://www.bleepingcomputer.
com/news/security/cyberattack-on-bhg-opioid-treatment-network-210情報セキュリティ白書

個別テーマ

211

3

章

※ 47 CISA：ICS Advisory (ICSA-21-075-02) GE UR family
https://us-cert.cisa.gov/ics/advisories/icsa-21-075-02〔2022/
4/21 確認〕※ 48 The Daily Swig：GE patches serious vulnerabilities in UR
power management devices https://portswigger.net/daily-swig/
ge-patches-serious-vulnerabilities-in-ur-power-management-devices〔2022/4/21 確認〕※ 49 Help Net Security：Vulnerabilities in ICS-specific backup
solution open industrial facilities to attack https://www.
helpnetsecurity.com/2021/04/07/vulnerabilities-ics-specificbackup/〔2022/4/21 確認〕※ 50 CISA：ICS Advisory (ICSA-21-091-01) https://us-cert.
cisa.gov/ics/advisories/icsa-21-091-01〔2022/4/21 確認〕※ 51 Nozomi Networks, Inc.：OT/IT Security Report : What You
Need to Know to Fight Ransomware and IoT Vulnerabilities
https://www.nozominetworks.com/downloads/Nozomi-Networks〔2022/4/21 確認〕
OT-IoT-Security-Report-2021-07.pdf※ 52 SecurityWeek：Ransomware Often Hits Industrial Systems,
With Significant Impact: Survey https://www.securityweek.com/
ransomware-often-hits-industrial-systems-significant-impact-survey〔2022/4/21 確認〕
Claroty Ltd.：The Global State of Industrial Cybersecurity 2021:
Resilience Amid Disruption https://claroty.com/wp-content/
uploads/2022/02/Claroty_Report_State_of_Industrial_
Cybersecurity_2021.pdf〔2022/4/21 確認〕※ 53 https://www.cisa.gov/global〔2022/4/21 確認〕※ 54 Industrial Cyber：CISA Global aims at international allianceto combat cyber threats https://industrialcyber.co/news/cisa/
cisa-global-aims-at-international-alliance-to-combat-cyber-threats/〔2022/4/21 確認〕※ 55 CISA：Rising Ransomware Threat to Operational Technology
Assets https://www.cisa.gov/sites/default/files/publications/
CISA_Fact_Sheet-Rising_Ransomware_Threat_to_OT_Assets_
508C.pdf〔2022/4/21 確認〕※ 56 Industrial Cyber：CISA releases guidelines to criticalinfrastructure owners, operators in light of rising ransomware
attacks https://industrialcyber.co/article/cisa-releasesguidelines-to-critical-infrastructure-owners-operators-in-light-ofrising-ransomware-attacks/〔2022/4/21 確認〕※ 57 https://www.cisa.gov/jcdc〔2022/4/21 確認〕※ 58 The White House：National Security Memorandum on
Improving Cybersecurity for Critical Infrastructure Control Systems
https://www.whitehouse.gov/briefing-room/statementsreleases/2021/07/28/national-security-memorandum-on-improvingcybersecurity-for-critical-infrastructure-control-systems/〔2022/
4/21 確認〕※ 59 BleepingComputer：New US security memorandum bolsters
critical infrastructure cybersecurity https://www.bleepingcomputer.
com/news/security/new-us-security-memorandum-bolsterscritical-infrastructure-cybersecurity/〔2022/4/21 確認〕※ 60 BleepingComputer：Biden issues executive order to increase
U.S. cybersecurity defenses https://www.bleepingcomputer.
com/news/security/biden-issues-executive-order-to-increase-uscybersecurity-defenses/〔2022/4/21 確認〕
The White House：Executive Order on Improving the Nation’s
Cybersecurity https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improvingthe-nations-cybersecurity/〔2022/4/21 確認〕※ 61 CyberScoop：White House rolls out pipeline, supply chain
security initiatives as companies pledge billions in cyber spending
https://www.cyberscoop.com/biden-cybersecurity-summit-nistics/〔2022/4/21 確認〕※ 62 DOE：Biden Administration Takes Bold Action to Protect
Electricity Operations from Increasing Cyber Threats https://www.energy.gov/articles/biden-administration-takes-bold-actionprotect-electricity-operations-increasing-cyber-0〔2022/4/21 確認〕
The White House：Statement by NSC Spokesperson Emily Hornes Efforts to Protect U.S. Criticalon the Biden Administration’
Infrastructure https://www.whitehouse.gov/briefing-room/
statements-releases/2021/04/20/statement-by-nsc-spokespersonemily-horne-on-the-biden-administrations-efforts-to-protect-u-scritical-infrastructure/〔2022/4/21 確認〕
The Office of the Federal Register：Notice of Request for
Information (RFI) on Ensuring the Continued Security of the UnitedStates Critical Electric Infrastructure https://www.federalregister.

第disrupts-patient-care/〔2022/4/21 確認〕※ 33 厚生労働省：医療機関を標的としたランサムウェアによるサイバー
攻撃について（注意喚起） https://www.mhlw.go.jp/hourei/doc/
tsuchi/T210630U0010.pdf〔2022/4/21 確認〕※ 34 https://www.honeywell.com/us/en/honeywell-forge/cybersecurity/cybersecurity-threat-report-2021〔2022/4/21 確認〕※ 35 The Record BY RECORDED FUTURE：FBI: FIN7 hackers
target US companies with BadUSB devices to install ransomware
https://therecord.media/fbi-fin7-hackers-target-us-companies〔2022/4/21 確認〕
with-badusb-devices-to-install-ransomware/※ 36 Industrial Cyber：ICS-CERT advisories affecting ICS
environments show significant increase in 2021 https://
industrialcyber.co/threats-attacks/ics-cert-advisories-affecting-icsenvironments-show-significant-increase-in-2021/〔2022/4/21 確認〕※ 37 ICS-CERT の Web サイトで暦年（1/1 ～ 12/31）ごとに公開された ICSA Advisories の件数をカウントした。ただし、ICSMA（医療機器の脆弱性）は除く。カウントは公表日ベースとした（公表日が 2021 年なら、採番年度が 2020（ICSA-2020-xxx-x）
でも 2021 年でカウント）。
CISA：ICS-CERT Advisories https://www.cisa.gov/uscert/ics/
advisories〔2022/4/21 確認〕※ 38 NIST：CVE-2021-44228 Detail https://nvd.nist.gov/vuln/
detail/CVE-2021-44228〔2022/4/21 確認〕※ 39 Industrial Cyber：Log4j vulnerability now hits industrial
sector, as CISA calls upon users to identify, mitigate, patch
affected products https://industrialcyber.co/news/log4jvulnerability-now-hits-industrial-sector-as-cisa-calls-upon-users-to%e2%80%8b%e2%80%8bidentify-mitigate-patch-affectedproducts/〔2022/4/21 確認〕※ 40 NIST：CVE-2021-45046 Detail https://nvd.nist.gov/vuln/
detail/CVE-2021-45046〔2022/4/21 確認〕※ 41 The Apache Software Foundation：Apache Log4j Security
Vulnerabilities https://logging.apache.org/log4j/2.x/security.html〔2022/4/21 確認〕
CISA：Apache Log4j Vulnerability Guidance https://www.cisa.
gov/uscert/apache-log4j-vulnerability-guidance〔2022/4/21 確認〕JPCERT/CC：Apache Log4j の任 意のコード実 行の脆 弱 性（CVE2021-44228）に関する注 意 喚 起 https://www.jpcert.or.jp/at/
2021/at210050.html〔2022/4/21 確認〕
GIGAZINE：Java の Log4j ライブラリで「Log4Shell」に加えて新たな脆弱性「CVE-2021-45046」が発覚、アップデートで対応可能 https://gigazine.net/news/20211216-log4j-log4shell-cve-2021-45046/〔2022/4/21 確認〕※ 42 BleepingComputer：CISA releases Apache Log4j scanner tofind vulnerable apps https://www.bleepingcomputer.com/news/
security/cisa-releases-apache-log4j-scanner-to-find-vulnerable〔2022/4/21 確認〕apps/
CISA：Log4j Scanner https://github.com/cisagov/log4j-scanner〔2022/4/21 確認〕
CISA：EMERGENCY DIRECTIVE 22-02 MITIGATE APACHE
LOG4J VULNERABILITY https://www.cisa.gov/emergency〔2022/4/21 確認〕
directive-22-02※ 43 CyberScoop：FTC warns of potential penalties for firms thatfail to fix Log4j software flaws https://www.cyberscoop.com/ftcwarns-of-action-against-firms-that-fail-to-fix-log4j-software-flaws/〔2022/4/21 確認〕※ 44 iTnews：NAME:WRECK vulnerabilities could impact 100
million servers, IoT devices https://www.itnews.com.au/news/
namewreck-vulnerabilities-could-impact-100-million-servers-iotdevices-563286?
〔2022/4/21 確認〕
Forescout 社：Forescout and JSOF Disclose New DNS
Vulnerabilities, Impacting Millions of Enterprise and Consumer
Devices https://www.forescout.com/company/blog/forescoutand-jsof-disclose-new-dns-vulnerabilities-impacting-millions-ofenterprise-and-consumer-devices/〔2022/4/21 確認〕※ 45 Industrial Cyber：INFRA:HALT vulnerabilities target OT, IoT
devices, exploit weakness in NicheStack TCP/IP stack https://
industrialcyber.co/article/infrahalt-vulnerabilities-target-ot-iotdevices-exploit-weakness-in-nichestack-tcp-ip-stack-2/〔2022/
4/21 確認〕
Forescout 社：INFRA:HALT https://www.forescout.com/researchlabs/infra-halt/〔2022/4/21 確認〕※ 46 SecurityWeek：Serious Vulnerabilities Found in Schneider
Electric Power Meters https://www.securityweek.com/seriousvulnerabilities-found-schneider-electric-power-meters〔2022/4/21
確認〕

2022

gov/documents/2021/04/22/2021-08482/notice-of-request-forinformation-rfi-on-ensuring-the-continued-security-of-the-unitedstates〔2022/4/21 確認〕※ 63 CISON PRWeb：NATO Energy Security Center for Excellenceand ISA Establish Cooperative Agreement on Cybersecurity
Standards https://www.prweb.com/releases/nato_energy_
security_center_for_excellence_and_isa_establish_cooperative_
agreement_on_cybersecurity_standards/prweb17783764.htm〔2022/4/21 確認〕※ 64 World Economic Forum：Cyber Resilience in the Oil and
Gas Industry : Playbook for Boards and Corporate Officers
https://www.weforum.org/whitepapers/cyber-resilience-in-the-oiland-gas-industry-playbook-for-boards-and-corporate-officers〔2022/4/21 確認〕※ 65 Help Net Security：Enhancing cyber resilience in the oiland gas industry https://www.helpnetsecurity.com/2021/05/
26/cyber-resilience-oil-gas/〔2022/4/21 確認〕※ 66 https://attack.mitre.org/〔2022/4/21 確認〕※ 67 The MITRE Corporation：Updates - October 2021 https://attack.mitre.org/resources/updates/updates-october-2021/〔2022/4/21 確認〕※ 68 Industrial Cyber：MITRE ATT&CK v10 comes with newtechniques, groups, software for enterprises, ICS frameworks
https://industrialcyber.co/article/mitre-attck-v10-comes-with-newtechniques-groups-software-for-enterprises-ics-frameworks/〔2022/4/21 確認〕※ 69 Parliament of Australia：Security Legislation Amendment(Critical Infrastructure) Bill 2021 https://www.aph.gov.au/
Parliamentary_Business/Bills_Legislation/Bills_Search_Results/〔2022/4/21 確認〕
Result?bId=r6657※ 70 Clayton Utz：Significant reform to Australia's cyber security
laws with passage of critical infrastructure reforms https://www.
claytonutz.com/knowledge/2021/december/significant-reform-toaustralias-cyber-security-laws-with-passage-of-critical〔2022/4/21 確認〕
infrastructure-reforms※ 71 https://www.nisc.go.jp/pdf/policy/kihon-s/cs2021.pdf〔2022/4/21 確認〕※ 72 https://www.nisc.go.jp/pdf/policy/infra/infra_rt4_r2.pdf〔2022/4/21 確認〕※ 73 NISC：ランサムウェアによるサイバー攻撃に関する注意喚起について
https://www.nisc.go.jp/pdf/policy/infra/ransomware20210430.
pdf〔2022/4/21 確認〕※ 74 https://security-portal.nisc.go.jp/〔2022/4/21 確認〕※ 75 https://security-portal.nisc.go.jp/stopransomware/〔2022/
4/21 確認〕※ 76 経済産業省：「インド太平洋地域向け日米産業制御システムサイバー
セキュリティウィーク」を実施しました https://www.meti.go.jp/press/20
20/03/20210315001/20210315001.html〔2022/4/21 確認〕※ 77 経済産業省：「インド太平洋地域向け日米 EU 産業制御システムサ
イバーセキュリティウィーク」を実施しました https://www.meti.go.jp/pre
ss/2021/11/20211101001/20211101001.html〔2022/4/21 確認〕※ 78 IPA：制御システムのセキュリティリスク分析ガイド補足資料：「制御システム関連のサイバーインシデント事例」シリーズ https://www.ipa.
go.jp/security/controlsystem/incident.html〔2022/4/21 確認〕※ 79 NIST：National Vulnerability Database（NVD） https://nvd.
nist.gov/〔2022/4/26 確認〕※ 80 IPA：JVN iPedia 脆弱性対策情報データベース https://jvndb.
jvn.jp/〔2022/4/26 確認〕※ 81 「情報セキュリティ白書 2020」の「表 3-2-1 IoT 機器に感染する
ウイルスの分類」（p.166）を参照。
※ 82 Mirai の詳細に関しては、IPA の「情報セキュリティ10 大脅威
2017」（https://www.ipa.go.jp/security/vuln/10threats2017.html〔2022/4/26 確認〕）の「3.1.IoT におけるセキュリティ脅威の顕在化」（p.71-74）
を参照。
※ 83 感染した IoT 機器上で不正なプログラムを実行し、ボットネットを構成するとともに、DDoS 攻撃の踏み台等のサイバー攻撃への悪用を試みる
ウイルス。典型例である「Mirai」
や「Gafgyt（別名、Bashlite、QBot 等）」
は、それぞれソースコードが公開されており、様々な亜種が出現している。
※ 84 VPNFilter の詳細に関しては、「情報セキュリティ白書 2019」の「3.2.1（3）
VPNFilter」（p.168）を参照。
※ 85 C&C サーバ：Command and Control サーバの略。ウイルス等により乗っ取ったコンピュータ等（ここでは IoT 機器）に対し、遠隔から命令を送り制御するサーバ。
※ 86 The United States Department of Justice：JusticeDepartment Announces Actions to Disrupt Advanced PersistentThreat 28 Botnet of Infected Routers and Network Storage
Devices https://www.justice.gov/opa/pr/justice-departmentannounces-actions-disrupt-advanced-persistent-threat-28-botnet〔2022/4/26 確認〕
infected※ 87 Trend Micro Incorporated：VPNFilter Two Years Later:
Routers Still Compromised https://www.trendmicro.com/en_us/
research/21/a/vpnfilter-two-years-later-routers-still-compromised-.
html〔2022/4/26 確認〕
トレンドマイクロ株式会社：ルータや NAS に感染するIoT ボット「VPNFilter」の流 行から 2 年、その現 状と課 題を解 説 https://blog.trendmicro.
co.jp/archives/27775〔2022/4/26 確認〕※ 88 Satori の詳細に関しては、「情報セキュリティ白書 2018」の「3.1.1（3）（d）
Satori/Okiru」（p.164）を参照。
※ 89 警察庁：脆弱性が存在する複数の IoT 機器を標的としたアクセスの増加等について https://www.npa.go.jp/cyberpolice/detect/pdf/
20210305.pdf〔2022/4/26 確認〕※ 90 Qihoo 360 Technology Co., Ltd.：New Threat: Matryosh
Botnet Is Spreading https://blog.netlab.360.com/matryosh〔2022/4/26 確認〕
botnet-is-spreading-en/※ 91 Moobotの詳細に関しては、「情報セキュリティ白書 2020」の「3.2.1（1）（h）
Moobot」（p.172）を参照。
※ 92 LeetHozer の詳細に関しては、「情報セキュリティ白書 2021」の「3.2.1（9）
Moobot の亜種『LeetHozer』」（p.200）を参照。
※ 93 Qihoo 360 Technology Co., Ltd.：Fbot is now riding thetraffic and transportation smart devices https://blog.netlab.360.
com/fbot-is-now-riding-the-traffic-and-transportation-smartdevices-en/〔2022/4/26 確認〕
Palo Alto Networks, Inc.：Satori: Mirai Botnet Variant Targeting
Vantage Velocity Field Unit RCE Vulnerability https://unit42.
paloaltonetworks.com/satori-mirai-botnet-variant-targetingvantage-velocity-field-unit-rce-vulnerability/〔2022/4/26 確認〕
パロアルトネットワークス株 式 会 社：Mirai ボットネット亜 種 Satori がVantage Velocity フィールドユニットのリモートコード実行 (RCE) 脆弱性を
標 的 に https://unit42.paloaltonetworks.jp/satori-mirai-botnetvariant-targeting-vantage-velocity-field-unit-rce-vulnerability/〔2022/4/26 確認〕※ 94 fbot：Satori と同一の作成者 Nexus-Zeta による Mirai の亜種の一つ。fbot の詳細に関しては、「情報セキュリティ白書 2020」の「3.2.1
（1）
（b）
fbot」
（p.167）を参照。
※ 95 Qihoo 360 Technology Co., Ltd.:New Threat: ZHtrap botnet
implements honeypot to facilitate finding more victims https://blog.netlab.360.com/new_threat_zhtrap_botnet_en/〔2022/4/26
確認〕※ 96 Palo Alto Networks, Inc.：New Mirai Variant Targeting
Network Security Devices https://unit42.paloaltonetworks.com/
mirai-variant-iot-vulnerabilities/〔2022/4/26 確認〕
パロアルトネットワークス株式会社：ネットワークセキュリティ機器を標的にする新しいMirai 亜種 https://unit42.paloaltonetworks.jp/mirai-variantiot-vulnerabilities/〔2022/4/26 確認〕※ 97 Darren Martyn：VisualDoor: SonicWall SSL-VPN Exploit
https://darrenmartyn.ie/2021/01/24/visualdoor-sonicwall-sslvpn-exploit/〔2022/4/26 確認〕※ 98 Qihoo 360 Technology Co., Ltd.:Mirai_ptea Botnet is
Exploiting Undisclosed KGUARD DVR Vulnerability https://blog.
netlab.360.com/mirai_ptea-botnet-is-exploiting-undisclosedkguard-dvr-vulnerability-en/〔2022/4/26 確認〕※ 99 Palo Alto Networks, Inc.：New Mirai Variant Targets
WebSVN Command Injection Vulnerability (CVE-2021-32305)
https://unit42.paloaltonetworks.com/cve-2021-32305-websvn/〔2022/4/26 確認〕
パロアルトネットワークス株式会社：新たな Mirai 亜種 WebSVN のコマン
ドインジェクション脆弱性（CVE-2021-32305）を標的に https://unit42.
paloaltonetworks.jp/cve-2021-32305-websvn/〔2022/4/26 確認〕※ 100 Qihoo 360 Technology Co., Ltd.：Mirai_ptea_Rimasuta
variant is exploiting a new RUIJIE router 0 day to spread https://blog.netlab.360.com/rimasuta-spread-with-ruijie-0day-en/〔2022/4/26 確認〕※ 101 Qihoo 360 Technology Co., Ltd.：Gafgtyt_tor and Necro
are on the move again https://blog.netlab.360.com/gafgtyt_torand-necro-are-on-the-move-again/〔2022/4/26 確認〕※ 102 Mozi の詳細に関しては、「情報セキュリティ白書 2020」の「3.2.1
（1）
（n）
Mozi」
（p.175）を参照。
※ 103 Qihoo 360 Technology Co., Ltd.：The Mostly Dead Mozi
and Its’Lingering Bots https://blog.netlab.360.com/the-mostlydead-mozi-and-its-lingering-bots/〔2022/4/26 確認〕212

情報セキュリティ白書

3

章
個別テーマ

213

第

※ 104 Lumen Technologies, Inc.：New Mozi Malware Family
20220207-02.html〔2022/4/26 確認〕
Quietly Amasses IoT Bots https://blog.lumen.com/new-mozi※ 126 CERT/CC：Arcadyan-based routers and modems vulnerable〔2022/4/26 確認〕
malware-family-quietly-amasses-iot-bots/
to authentication bypass, Vulnerability Note VU#914124※ 105 Tencent Holdings Limited：深度追踪 Mozi 僵尸网络：360 安〔2022/4/26 確認〕
https://kb.cert.org/vuls/id/914124
全大脑精准溯源，揪出幕后黑手 https://mp.weixin.qq.com/s/Su0※ 127 Microsoft 社：“BadAlloc”– Memory allocation vulnerabilities
uU5JaUrAh8ptTzTCsA〔2022/4/26 確認〕
could affect wide range of IoT and OT devices in industrial,※ 106 Qihoo 360 Technology Co., Ltd.
（Twitter アカウント）：https://medical, and enterprise networks https://msrc-blog.microsoft.
twitter.com/360Netlab/status/1420390398825058313〔2022/
com/2021/04/29/badalloc-memory-allocation-vulnerabilities4/26 確認〕
could-affect-wide-range-of-iot-and-ot-devices-in-industrial-medical※ 107 Microsoft 社：How to proactively defend against Mozi IoT
and-enterprise-networks/〔2022/4/26 確認〕※ 128 ICS-CERT：ICS Advisory (ICSA-21-119-04) Multiple RTOS
botnet https://www.microsoft.com/security/blog/2021/08/19/how(Update E) https://www.cisa.gov/uscert/ics/advisories/icsa-21to-proactively-defend-against-mozi-iot-botnet/〔2022/4/26 確認〕〔2022/4/26 確認〕
119-04※ 108 Qihoo 360 Technology Co., Ltd.：Necro is going to version※ 129 Check Point Software Technologies LTD.：Security probe
3 and using PyInstaller and DGA https://blog.netlab.360.com/
of Qualcomm MSM data services https://research.checkpoint.
〔2022/4/26 確認〕
necro/
com/2021/security-probe-of-qualcomm-msm/〔2022/4/26 確認〕※ 109 Qihoo 360 Technology Co., Ltd.：Necro upgrades again,※ 130 Nozomi Networks Inc.：New IoT Security Risk: ThroughTek
using Tor + dynamic domain DGA and aiming at both Windows &P2P Supply Chain Vulnerability https://www.nozominetworks.
Linux https://blog.netlab.360.com/necro-upgrades-again-usingcom/blog/new-iot-security-risk-throughtek-p2p-supply-chaintor-dynamic-domain-dga-and-aiming-at-both-windows-linux/〔2022/4/26 確認〕
vulnerability/〔2022/4/26 確認〕※ 131 Mandiant, Inc.：Mandiant Discloses Critical Vulnerability※ 110 Qihoo 360 Technology Co., Ltd.：QNAP NAS users, make
Affecting Millions of IoT Devices https://www.mandiant.com/
sure you check your system https://blog.netlab.360.com/qnapresources/mandiant-discloses-critical-vulnerability-affecting-iot〔2022/4/26 確認〕
nas-users-make-sure-you-check-your-system/
devices〔2022/4/26 確認〕※ 111 QNAP Systems, Inc.：Multiple Vulnerabilities in Helpdesk※ 132 JFrog Ltd：INFRA:HALT 14 New Security Vulnerabilities
https://www.qnap.com/en/security-advisory/QSA-20-08
Found in NicheStack https://jfrog.com/blog/infrahalt-14-new〔2022/4/26 確認〕
security-vulnerabilities-found-in-nichestack/〔2022/4/26 確認〕※ 112 QNAP Systems, Inc.：Security Advisory for eCh0raix
JFrog Ltd：INFRA:HALT NicheStack に新たな 14 件のセキュリティ脆
Ransomware https://www.qnap.com/en/security-advisory/nas弱 性が発 見される https://jfrog.com/ja/blog/infrahalt-14-new〔2022/4/26 確認〕
201907-11
security-vulnerabilities-found-in-nichestack/〔2022/4/26 確認〕※ 113 QNAP Systems, Inc.：eCh0raix Ransomware https://www.
※ 133 IoT Inspector GmbH（現、ONEKEY GmbH）：Advisory:
qnap.com/en/security-advisory/QSA-20-02〔2022/4/26 確認〕
Multiple issues in Realtek SDK affect hundreds of thousands of※ 114 QNAP Systems, Inc.：eCh0raix Ransomware https://www.
devices down the supply chain https://onekey.com/blog/
qnap.com/en/security-advisory/QSA-21-18〔2022/4/26 確認〕
advisory-multiple-issues-realtek-sdk-iot-supply-chain/〔2022/6/6※ 115 QNAP Systems, Inc.：Improper Authorization Vulnerability
確認〕
in HBS 3 (Hybrid Backup Sync) https://www.qnap.com/en/※ 134 Forescout Technologies, Inc.：New Critical Vulnerabilities
security-advisory/QSA-21-13〔2022/4/26 確認〕
Found on Nucleus TCP/IP Stack https://www.forescout.com/
QNAP Systems, Inc.：Qlockerによるランサムウェア攻撃に対するご案内：
blog/new-critical-vulnerabilities-found-on-nucleus-tcp-ip-stack/
QNAP NAS を安全にお使いいただくために https://www.qnap.com/〔2022/4/26 確認〕
ja-jp/security-news/2021/qlocker- によるランサムウェア攻撃に対する※ 135 ICS-CERT：ICS Advisory (ICSA-21-313-03) Siemens
ご案内 qnap-nas- を安全にお使いいただくために〔2022/4/26 確認〕
Nucleus RTOS TCP/IP Stack https://www.cisa.gov/uscert/ics/※ 116 Palo Alto Networks, Inc.：New eCh0raix Ransomware Variant〔2022/4/26 確認〕
advisories/icsa-21-313-03
Targets QNAP and Synology Network-Attached Storage Devices※ 136 Check Point Software Technologies LTD.：Check Point
https://unit42.paloaltonetworks.com/ech0raix-ransomware-soho/
Research discover vulnerabilities in smartphones chips embedded〔2022/4/26 確認〕
in 37% of smartphones around the world https://blog.checkpoint.
パロアルトネットワークス株式会社：QNAP/Synology の両 NAS デバイス
com/2021/11/24/check-point-research-discover-vulnerabilitiesを標 的とする新たな eCh0raix ランサムウェア 亜 種 https://unit42.
in-smartphones-chips-embedded-in-37-of-smartphones-around-thepaloaltonetworks.jp/ech0raix-ransomware-soho/〔2022/4/26 確認〕
world/〔2022/4/26 確認〕※ 117 Qihoo 360 Technology Co., Ltd.：EwDoor Botnet Is Attacking※ 137 New York University Abu Dhabi：FragAttacks: Security
AT&T Customers https://blog.netlab.360.com/warning-ewdoorflaws in all Wi-Fi devices https://www.fragattacks.com/〔2022/〔2022/4/26 確認〕
botnet-is-attacking-att-customers/
4/26 確認〕※ 118 NucleusNET：Mentor Graphics Corporation 製組み込み用リ※ 138 W i - F i A l l i a n c e：W i - F i P r o t e c t e d A c c e s s S e c u r i t y
アルタイムオペレーティングシステム Nucleus RTOS の TCP/IP スタック
※ 119 Forescout Technologies, Inc.：NUMBER:JACK – Forescout
Considerations, May 2021 https://www.wi-fi.org/download.
Research Labs Finds Nine ISN Generation Vulnerabilities Affecting
php?file=/sites/default/files/private/Security_Considerations_
TCP/IP Stacks https://www.forescout.com/blog/numberjack20210511.pdf〔2022/4/26 確認〕
forescout-research-labs-finds-nine-isn-generation-vulnerabilities※ 139 CERT/CC：Devices supporting Bluetooth Core and Meshaffecting-tcpip-stacks/〔2022/4/26 確認〕
Specifications are vulnerable to impersonation attacks and※ 120 JVN：JVNVU#90767599 複数の TCP/IP スタック製品におけ
AuthValue disclosure, Vulnerability Note VU#799380 https://
る初期シーケンス番号の脆弱性 https://jvn.jp/vu/JVNVU90767599/
kb.cert.org/vuls/id/799380〔2022/4/26 確認〕〔2022/4/26 確認〕※ 140 Bluetooth SIG, Inc.：Reporting Security Vulnerabilities※ 121 ICS-CERT：ICS Advisory (ICSA-21-042-01) Multiple
https://www.bluetooth.com/learn-about-bluetooth/key-attributes/
Embedded TCP/IP Stacks (Update B) https://www.cisa.gov/
bluetooth-security/reporting-security/〔2022/4/26 確認〕
uscert/ics/advisories/icsa-21-042-01〔2022/4/26 確認〕
Bluetooth SIG, Inc.：Bluetooth SIG Statement Regarding the※ 122 Forescout Technologies, Inc.：Forescout and JSOF Disclose ‘Malleable Commitment’Vulnerability https://www.bluetooth.
New DNS Vulnerabilities, Impacting Millions of Enterprise andcom/learn-about-bluetooth/key-attributes/bluetooth-security/
Consumer Devices https://www.forescout.com/blog/forescoutmalleable/〔2022/4/26 確認〕
and-jsof-disclose-new-dns-vulnerabilities-impacting-millions-of※ 141 日本電気株式会社：Aterm シリーズにおける複数の脆弱性
enterprise-and-consumer-devices/〔2022/4/26 確認〕
https://jpn.nec.com/security-info/secinfo/nv21-005.html〔2022/※ 123 https://www.forescout.com/resources/namewreck-breaking4/26 確認〕
and-fixing-dns-implementations/〔2022/4/26 確認〕
株式会社インプレス：NEC 製無線 LAN ルーター 3 機種に脆弱性。2 機※ 124 Tenable, Inc.：Multiple Vulnerabilities in Buffalo and
種はファームウェアアップデートで対策可能 https://pc.watch.impress.
co.jp/docs/news/1302295.html〔2022/4/26 確認〕
Arcadyan manufactured routers https://www.tenable.com/※ 142 エレコム株式会社：無線 LAN ルーターなどネットワーク製品の一security/research/tra-2021-13〔2022/4/26 確認〕
部 に お け る 脆 弱 性 に 関し て https://www.elecom.co.jp/news/※ 125 株式会社バッファロー：【更新】一部ルーター商品における複数のsecurity/20210126-01/〔2022/4/26 確認〕
脆 弱 性とその 対 策 方 法 https://www.buffalo.jp/news/detail/2022

株式会社インプレス：エレコムのルーターなどで脆弱性。サポート終了のため使 用 中 止を勧 告 https://pc.watch.impress.co.jp/docs/news/
1302714.html〔2022/4/26 確認〕※ 143 日本 電 気 株 式 会 社：複 数 の Aterm 製 品 における脆 弱 性
https://jpn.nec.com/security-info/secinfo/nv21-008.html〔2022/
4/26 確認〕
株式会社インプレス：NEC 製 Wi-Fi ルーター「Aterm」シリーズに複数の脆弱性報告 https://k-tai.watch.impress.co.jp/docs/news/1317677.
html〔2022/4/26 確認〕※ 144 株式会社バッファロー：【更新】ルーター等の一部商品におけるデバッグオプションの脆 弱 性とその対 処 方 法 https://www.buffalo.jp/
news/detail/20210506-01.html〔2022/4/26 確認〕
株式会社インプレス：バッファローの一部 Wi-Fi ルーターなどに脆弱性、「製品 の 使 用 停 止 」を推 奨 https://k-tai.watch.impress.co.jp/docs/
news/1322908.html〔2022/4/26 確認〕※ 145 エレコム株式会社：無線 LAN ルーターなどネットワーク製品の一部 に おける 脆 弱 性 に 関して https://www.elecom.co.jp/news/
security/20210706-01/〔2022/4/26 確認〕
株式会社インプレス：エレコム製ルーターに脆弱性。修正はなく使用中止を勧告 https://pc.watch.impress.co.jp/docs/news/1336252.html〔2022/4/26 確認〕※ 146 https://notice.go.jp/〔2022/4/26 確認〕※ 147 https://notice.go.jp/status〔2022/4/26 確認〕※ 148 IoT Inspector GmbH（ 現、ONEKEY GmbH）：Hackers
welcome: Major security test uncovers vulnerabilities in all common
Wi-Fi routers https://onekey.com/blog/router-security-check2021/〔2022/6/6 確認〕※ 149 ティーピーリンクジャパン株式会社：IoT Inspector から報告された
ArcherAX6000 の 脆 弱 性 に 関して https://www.tp-link.com/jp/
support/faq/3252/〔2022/4/26 確認〕※ 150 Linksys：現在は、台湾 Foxconn Technology Group（鴻海科技集団／富士康科技集団）に買収され、同社ネットワーク製品のブランド名となっている。
※ 151 https://www.iot-inspector.com/wp-content/uploads/
2021/11/Chip-IoT-Inspector-Router-Sicherheit-Test.pdf〔2022/
4/26 確認〕※ 152 Federal Register：Improving the Nation's Cybersecurity
https://www.federalregister.gov/documents/2021/05/17/
2021-10460/improving-the-nations-cybersecurity〔2022/4/26 確認〕※ 153 https://www.nist.gov/system/files/documents/2021/
08/31/IoT%20White%20Paper%20-%20Final%202021-08-31.pdf〔2022/4/26 確認〕※ 154 https://www.nist.gov/system/files/documents/2021/
12/03/FINAL_Consumer_IoT_Label_Discussion_Paper_
20211202.pdf〔2022/4/26 確認〕※ 155 https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.
02042022-2.pdf〔2022/4/26 確認〕※ 156 Cyber Security Agency of Singapore：Cybersecurity
Labelling Scheme (CLS) https://www.csa.gov.sg/Programmes/
certification-and-labelling-schemes/cybersecurity-labellingscheme/about-cls〔2022/4/26 確認〕※ 157 Cyber Security Agency of Singapore：CSA Pushes Ahead
with Efforts to Improve IOT Security https://www.csa.gov.sg/
News/Press-Releases/csa-pushes-ahead-with-efforts-to-improve〔2022/4/26 確認〕
iot-security※ 158 Finnish Transport and Communications Agency（Traficom）：
Finland becomes the first European country to certify safe smart
devices – new Cybersecurity label helps consumers buy safer
products https://www.traficom.fi/en/news/finland-becomes-firsteuropean-country-certify-safe-smart-devices-new-cybersecurity-label〔2022/4/26 確認〕※ 159 経済産業省：機器のサイバーセキュリティ確保のためのセキュリティ
検証の手引きを取りまとめました https://www.meti.go.jp/press/2021/04/20210419003/20210419003.html〔2022/4/26 確認〕※ 160 総務省：
「ICT サイバーセキュリティ総合対策 2021」（案）に対する意見募集の結果及び「ICT サイバーセキュリティ総合対策 2021」の公表 https://www.soumu.go.jp/menu_news/s-news/02cyber01_
04000001_00192.html〔2022/4/26 確認〕※ 161 IPA：
「IoT 開発におけるセキュリティ設計の手引き」を公開
https://www.ipa.go.jp/security/iot/iotguide.html〔2022/4/26 確認〕※ 162 https://www.ccds.or.jp/public/document/other/CCDS_
SecGuide-IoTReq_2021_v2.0_jpn.pdf〔2022/4/26 確認〕※ 163 「情報セキュリティ白書 2021」の「3.2.4（4）民間における取り組
み」（p.209）を参照。
※ 164 https://www.ccds.or.jp/public/document/other/CCDS_

SecGuide-IoTReq_2021-extra_v2.0_jpn.pdf〔2022/4/26 確認〕※ 165 https://www.ccds.or.jp/public/document/other/CCDS_
IoTReq_2021-checklist_v1.0_jpn.xlsx〔2022/4/26 確認〕※ 166 https://cloudsecurityalliance.jp/site/WG_PUB/IoT_WG/
CSA-Guide-to-the-IoT-Security-Controls-Framework-Version-2_J.pdf〔2022/4/26 確認〕※ 167 https://cloudsecurityalliance.jp/site/WG_PUB/IoT_WG/
CSA%20IoT%20Security%20Controls%20Framework%20
Version%202_J.xlsx〔2022/4/26 確認〕※ 168 一般社団法人セキュア IoT プラットフォーム協議会：「IoT セキュリ
ティ手引書 Ver2.0」をリリース ～ IoT ビジネスに関わる事業者向けにセキュリティの 課 題と対 応 策 のガイドラインを提 示 ～ https://www.
〔2022/4/26 確認〕
secureiotplatform.org/release/2022-01-31※ 169 ISO：ISO/IEC 30147:2021 Information technology - Internetof things - Methodology for trustworthiness of IoT system/service
https://www.iso.org/standard/53267.html〔2022/4/26 確認〕
IEC：ISO/IEC 30147:2021 Internet of Things (IoT) - Integration of
IoT trustworthiness activities in ISO/IEC/IEEE 15288 systemengineering processes https://webstore.iec.ch/publication/62644〔2022/4/26 確認〕※ 170 トラストワージネス：セキュリティ、プライバシー、セーフティ、リライ
アビリティ、レジリエンス等によって、システムがその関係者の期待に応える能力。
※ 171 https://csrc.nist.gov/publications/detail/nistir/8259b/final〔2022/4/26 確認〕※ 172 https://csrc.nist.gov/publications/detail/sp/800-213/final〔2022/4/26 確認〕※ 173 https://csrc.nist.gov/publications/detail/sp/800-213a/final〔2022/4/26 確認〕※ 174 ENISA：Cybersecurity Certification: Candidate EUCC
Scheme V1.1.1 https://www.enisa.europa.eu/publications/cybersecurity-certification-eucc-candidate-scheme-v1-1.1〔2022/
4/26 確認〕※ 175 ETSI：ETSI releases test specification to comply withworld-leading Consumer IoT Security standard https://www.etsi.
org/newsroom/press-releases/1983-2021-10-etsi-releases-testspecification-to-comply-with-world-leading-consumer-iot-securitystandard〔2022/4/26 確認〕
ETSI：ETSI TS 103 701 V1.1.1 (2021-08) https://www.etsi.
org/deliver/etsi_ts/103700_103799/103701/01.01.01_60/ts_
103701v010101p.pdf〔2022/4/26 確認〕※ 176 https://juas.or.jp/cms/media/2021/04/JUAS_IT2021.pdf〔2022/5/23 確認〕※ 177 https://www.ipa.go.jp/files/000087025.pdf〔2022/5/23
確認〕※ 178 https://www.soumu.go.jp/johotsusintokei/statistics/pdf/
HR202000_002.pdf〔2022/5/23 確認〕※ 179 パロアルトネットワークス株式会社：クラウドネイティブセキュリティ
ジャパンサーベイ 2021 年版 https://start.paloaltonetworks.jp/2021state-of-cloud-native-security-japan-survey.html〔2022/5/23 確認〕※ 180 Gartner, Inc.：Gartner Says Four Trends Are Shaping the
Future of Public Cloud https://www.gartner.com/en/newsroom/press-releases/2021-08-02-gartner-says-four-trends-are-shaping〔2022/5/23 確認〕
the-future-of-public-cloud※ 181 株式会社 LegalForce：【LegalForce 調査レポート】SaaS 活用
者の約 7 割が「SaaS の活用により、DX が進んだ」と回答～ SaaS の活用に関する実態調査を公表～ https://legalforce-corp.com/3381/〔2022/5/23 確認〕※ 182 IPA：企業・組織におけるテレワークのセキュリティ実態調査
https://www.ipa.go.jp/security/fy2021/reports/scrm/indextelework.html〔2022/6/30 確認〕※ 183 株式会社コナミデジタルエンタテインメント、株式会社コナミアミュー
ズメント：第三者のアクセスによる情報流出について https://www.
konami.com/games/corporate/ja/news/topics/20210301a/〔2022/4/11 確認〕※ 184 Salesforce は株式会社セールスフォース・ドットコム（現在の社名
は株式会社セールスフォース・ジャパン）が提供するアプリケーションである。
※ 185 神戸市：情報共有アプリ「KOBE ぽすと」システムへの第三者によるアクセスについて https://www.city.kobe.lg.jp/a57337/shise/press/908644162304.html〔2022/5/23 確認〕※ 186 https://www.ipa.go.jp/files/000094186.pdf〔2022/5/23
確認〕※ 187 NISC：Salesforce の製品の設定不備による意図しない情報が外部から参 照される可 能 性について https://www.nisc.go.jp/pdf/
policy/infra/salesforce20210129.pdf〔2022/5/23 確認〕214

情報セキュリティ白書

個別テーマ

215

3

章

00121.html〔2022/5/23 確認〕※ 207 NISC：クラウドを利用したシステム運用に関するガイダンス（詳細版） https://www.nisc.go.jp/pdf/policy/infra/cloud_guidance.pdf〔2022/5/23 確認〕※ 208 The New York Times：U.S. Will Not Send Government
Officials to Beijing Olympics https://www.nytimes.com/2021/
12/06/us/politics/olympics-boycott-us.html〔2022/5/11 確認〕※ 209 CISA：CISA Issues Emergency Directive and Alert on
Microsoft Exchange Vulnerabilities https://us-cert.cisa.gov/
ncas/current-activity/2021/03/03/cisa-issues-emergency〔2022/5/11 確認〕
directive-and-alert-microsoft-exchange※ 210 The White House：Statements by Press Secretary Jen
Psaki & Deputy National Security Advisor for Cyber Anne
Neuberger on Microsoft Exchange Vulnerabilities UCG https://www.whitehouse.gov/briefing-room/statements-releases/
2021/03/17/statements-by-press-secretary-jen-psaki-deputynational-security-advisor-for-cyber-anne-neuberger-on-microsoftexchange-vulnerabilities-ucg/〔2022/5/11 確認〕※ 211 CNET：Biden administration blames China for Microsoft
Exchange email hack https://www.cnet.com/news/privacy/
biden-administration-blames-china-for-microsoft-server-hack/〔2022/5/11 確認〕※ 212 The New York Times：Cyberattack Forces a Shutdown of
a Top U.S. Pipeline https://www.nytimes.com/2021/05/08/us/
politics/cyberattack-colonial-pipeline.html〔2022/5/11 確認〕※ 213 The New York Times：The F.B.I. confirms that DarkSide, aransomware group, was behind the hack of a major U.S. pipeline.
https://www.nytimes.com/2021/05/10/us/politics/dark-side〔2022/5/11 確認〕
hack.html※ 214 WIRED：DarkSide Ransomware Hit Colonial Pipeline—andCreated an Unholy Mess https://www.wired.com/story/darksideransomware-colonial-pipeline-response/〔2022/5/11 確認〕※ 215 CISA：Alert (AA21-131A) DarkSide Ransomware: Best
Practices for Preventing Business Disruption from Ransomware
Attacks https://us-cert.cisa.gov/ncas/alerts/aa21-131a〔2022/5/11 確認〕※ 216 Forbes：Colonial Pipeline Restarts Operations As Biden
Seeks To Protect Government From Cyber Attacks https://www.
forbes.com/sites/edwardsegal/2021/05/12/colonial-pipelinerestarts-operations-as-biden-seeks-to-protect-government-from〔2022/5/11 確認〕
cyber-attacks/?sh=17093d217814※ 217 The New York Times：Colonial Pipeline Paid Roughly $5
Million in Ransom to Hackers https://www.nytimes.com/2021/
05/13/us/politics/biden-colonial-pipeline-ransomware.html〔2022/5/11 確認〕※ 218 The Wall Street Journal：Colonial Pipeline CEO Tells Why
He Paid Hackers a $4.4 Million Ransom https://www.wsj.com/
articles/colonial-pipeline-ceo-tells-why-he-paid-hackers-a-4-4million-ransom-11621435636〔2022/5/11 確認〕※ 219 The Washington Post：Feds recover more than $2 million
in ransomware payments from Colonial Pipeline hackers https://www.washingtonpost.com/business/2021/06/07/colonialpipeline-ransomware-payment-recovered/〔2022/5/11 確認〕※ 220 CONGRESS.GOV：H.R.550 - Immunization Infrastructure
Modernization Act of 2021 https://www.congress.gov/bill/117thcongress/house-bill/550〔2022/5/11 確認〕※ 221 SECURITY：Ransom Disclosure Act would require victims
to disclose ransom payments within 48 hours https://www.
securitymagazine.com/articles/96254-ransom-disclosure-actwould-require-victims-to-disclose-ransom-payments-within-48-hours〔2022/5/11 確認〕※ 222 The White House：FACT SHEET: Imposing Costs for
Harmful Foreign Activities by the Russian Government https://www.whitehouse.gov/briefing-room/statements-releases/2021/
04/15/fact-sheet-imposing-costs-for-harmful-foreign-activities-bythe-russian-government/〔2022/5/11 確認〕※ 223 FCW：White House sanctions Russia over SolarWinds
campaign, election interference https://fcw.com/articles/2021/
04/15/katz-russia-cyber-sanctions.aspx〔2022/5/11 確認〕※ 224 The White House：Executive Order on Improving thes Cybersecurity https://www.whitehouse.gov/briefingNation’room/presidential-actions/2021/05/12/executive-order-onimproving-the-nations-cybersecurity/〔2022/5/11 確認〕※ 225 The White House：FACT SHEET: Ongoing Public U.S.
Efforts to Counter Ransomware https://www.whitehouse.gov/

第※ 188 ネットマーケティング社：不正アクセスによる会員様情報流出に関するお詫びとお知らせ https://www.net-marketing.co.jp/news/5873/〔2022/5/23 確認〕
ネットマーケティング社：不正アクセスによる会員様情報流出の調査結果と今後の対応について https://www.net-marketing.co.jp/news/6001/〔2022/5/23 確認〕※ 189 特定非営利活動法人結婚相手紹介サービス業認証機構：インターネット型結婚相手紹介サービス業認証制度の認証基準を一部改訂しました。 https://www.ims-npo.org/pdf/220317_info.pdf〔2022/5/23
確認〕※ 190 Codecov 社：Bash Uploader Security Update https://about.codecov.io/security-update/〔2022/5/23 確認〕※ 191 メルカリ社：「Codecov」への第三者からの不正アクセスによる当社への影響および一部顧客情報等の流出について https://about.
mercari.com/press/news/articles/20210521_incident_report/〔2022/5/23 確認〕
メルカリ社：【調査結果のご報告】「Codecov」への第三者からの不正アクセスによる当 社への影 響および 一 部 顧 客 情 報 等の流 出について
https://about.mercari.com/security/news/articles/20210806_
incident_report/〔2022/5/23 確認〕※ 192 SB テクノロジー株式会社：当社が管理するメール中継システムによる外部メール不正中継について https://www.softbanktech.co.jp/
news/topics/info/2022/006/〔2022/5/23 確認〕
SB テクノロジー株式会社：当社が管理するメール中継システムによる外部メール不正中継について（第二報） https://www.softbanktech.co.jp/
news/topics/info/2022/007/〔2022/5/23 確認〕※ 193 キヤノンマーケティングジャパン株式会社：情報セキュリティ意識に関する実態調査レポート 2021 ～コロナ禍で高まる「シャドー IT」の情報セ
キュリティリスク～ https://eset-info.canon-its.jp/malware_info/
special/detail/210708.html〔2022/5/23 確認〕
キヤノンマーケティングジャパン株式会社：情報セキュリティ意識に関する実態調査レポート～把握しておくべき『シャドー IT』の実態について～
https://eset-info.canon-its.jp/malware_info/trend/detail/200313.
html〔2022/5/23 確認〕※ 194 https://www.soumu.go.jp/main_content/000771515.pdf〔2022/5/23 確認〕※ 195 SLA（Service Level Agreement）：サービス事業者と利用者の間で結ばれるサービスのレベル（定義、範囲、内容、達成目標等）に関する合意サービス水準、サービス品質保証のこと。
※ 196 IBM Corporation：2021 IBM Security X-Force Cloud Threat
Landscape Report https://www.ibm.com/downloads/cas/〔2022/5/23 確認〕
WMDZOWK6※ 197 株式会社東京商工リサーチ：上場企業の個人情報漏えい・紛失
事故は、調査開始以来最多の 137 件 574 万人分（2021 年） https://www.tsr-net.co.jp/news/analysis/20210117_01.html〔2022/5/23
確認〕※ 198 認証と認定は制度によってどちらも使われることがある。それらを総称してセキュリティ認証と表記している。
※ 199 JCISPA：JASA - クラウドセキュリティ推 進 協 議 会 https://
jcispa.jasa.jp/〔2022/5/23 確認〕※ 200 一般社団法人情報マネジメントシステム認定センター：ISMS 適合性評価制度 https://isms.jp/isms.html〔2022/5/23 確認〕※ 201 一般社団法人 ASP・SaaS・AI・IoT クラウド産業協会（ASPIC）
は 2022 年 4 月 1 日より一般社団法人日本クラウド産業協会に名称変更された。
※ 202 https://www.soumu.go.jp/main_content/000477838.pdf〔2022/5/23 確認〕※ 203 総務省：
「クラウドサービスの安全・信頼性に係る情報開示指針」
における「AI を用いたクラウドサービスの安全・信頼性に係る情報開示指針（ASP・SaaS 編）」の追加 https://www.soumu.go.jp/menu_news/
s-news/01ryutsu06_02000306.html〔2022/5/23 確認〕※ 204 経済産業省：オープンソースソフトウェアの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集を取りまとめました https://www.meti.go.jp/press/2021/04/20210421001/20210421001.
html〔2022/5/23 確認〕※ 205 Software Bill of Materials（SBOM：ソフトウェア部品表）：「ソフ
トウェア部品構成表」等とも呼ばれる、様々なソフトウェア部品の名称とそのライセンス等で構成される一覧表。米国商務省電気通信情報局（NTIA：
National Telecommunications and Information Administration）が設立した「Software Component Transparency」において 2018 年から議論されている。
※ 206 総務省：
「クラウドサービス提供における情報セキュリティ対策ガイド
ライン（第 3 版）」（案）
に対する意見募集の結果及び「クラウドサービス提供
における情報セキュリティ対策ガイドライン（第 3 版）」の公表 https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_

2022

briefing-room/statements-releases/2021/10/13/fact-sheetongoing-public-u-s-efforts-to-counter-ransomware/〔2022/5/11 確認〕※ 226 U.S. Department of the Treasury：Treasury Takes Robust
Actions to Counter Ransomware https://home.treasury.gov/
news/press-releases/jy0364〔2022/5/11 確認〕※ 227 The White House: FACT SHEET: Biden Administration
Announces Further Actions to Protect U.S. Critical Infrastructure
https://www.whitehouse.gov/briefing-room/statements-releases/
2021/07/28/fact-sheet-biden-administration-announces-furtheractions-to-protect-u-s-critical-infrastructure/※ 228 FATF（金融活動作業部会）：マネーロンダリング、テロ資金供与対策に関する国際協調を推進する政府間会合。 https://www.fatfgafi.org/〔2022/5/11 確認〕※ 229 The White House：Memorandum on Improving the
Cybersecurity of National Security, Department of Defense, andIntelligence Community Systems https://www.whitehouse.gov/
briefing-room/presidential-actions/2022/01/19/memorandum-onimproving-the-cybersecurity-of-national-security-department-of〔2022/5/11 確認〕
defense-and-intelligence-community-systems/※ 230 National Security Agency/Central Security Service：President
Biden Signs Cybersecurity National Security Memorandum
https://www.nsa.gov/Press-Room/News-Highlights/Article/
Article/2904637/president-biden-signs-cybersecurity-national〔2022/5/11 確認〕
security-memorandum/※ 231 NIST：Critical Software Definition https://www.nist.gov/
itl/executive-order-improving-nations-cybersecurity/critical-softwaredefinition〔2022/5/11 確認〕※ 232 NIST：Security Measures for“EO-Critical Software”Use
https://www.nist.gov/itl/executive-order-improving-nationscybersecurity/security-measures-eo-critical-software-use-2〔2022/
5/11 確認〕※ 233 NIST： Software Supply Chain Security Guidance Under
Executive Order (EO) 14028 Section 4e https://www.nist.gov/
system/files/documents/2022/02/04/software-supply-chain〔2022/5/11 確認〕
security-guidance-under-EO-14028-section-4e.pdf※ 234 NIST：SP 800-218 Secure Software Development Framework(SSDF) Version 1.1: Recommendations for Mitigating the Risk ofSoftware Vulnerabilities https://csrc.nist.gov/publications/〔2022/5/11 確認〕
detail/sp/800-218/final※ 235 NIST：Consumer Cybersecurity Labeling for IoT Products:
Discussion Draft on the Path Forward https://www.nist.gov/
system/files/documents/2021/12/03/FINAL_Consumer_IoT_Label_Discussion_Paper_20211202.pdf〔2022/5/11 確認〕※ 236 NIST：White Paper NIST CSWP 24 Recommended Criteria
for Cybersecurity Labeling for Consumer Internet of Things (IoT)
Products https://csrc.nist.gov/publications/detail/white-paper/2022/02/04/criteria-for-cybersecurity-labeling-for-consumer-iotproducts/final〔2022/5/11 確認〕※ 237 NIST：Report for the Assistant to the President for National
Security Affairs (APNSA) on Cybersecurity Labeling for Consumers:
Internet of Things (IoT) Devices and Software https://www.nist.
gov/system/files/documents/2022/05/24/Cybersecurity Labelingfor Consumers under Executive Order 14028 on Improving the〔2022/6/6 確認〕
Nation's Cybersecurity Report (FINAL).pdf※ 238 NIST：SP 800-161 Rev. 1 (Draft) PRE-DRAFT Call forComments: Supply Chain Risk Management Practices for Federal
Information Systems and Organizations https://csrc.nist.gov/〔2022/5/11 確認〕
publications/detail/sp/800-161/rev-1/draft※ 239 NIST：Request for Information about Evaluating and
Improving Cybersecurity Resources: The Cybersecurity Framework
and Cybersecurity Supply Chain Risk Management https://www.
nist.gov/cyberframework/request-information-about-evaluatingand-improving-cybersecurity-resources〔2022/5/11 確認〕※ 240 CISA：EXECUTIVE ORDER ON IMPROVING THE NATION’S
CYBERSECURITY https://www.cisa.gov/executive-orderimproving-nations-cybersecurity〔2022/5/11 確認〕※ 241 CISA：Alert (AA21-265A) Conti Ransomware https://www.cisa.gov/uscert/ncas/alerts/aa21-265a〔2022/5/11 確認〕※ 242 CISA：Alert (AA21-291A) BlackMatter Ransomware
https://www.cisa.gov/uscert/ncas/alerts/aa21-291a〔2022/5/11
確認〕※ 243 CISA：BINDING OPERATIONAL DIRECTIVE 22-01REDUCING THE SIGNIFICANT RISK OF KNOWN EXPLOITEDVULNERABILITIES https://www.cisa.gov/binding-operationaldirective-22-01〔2022/5/11 確認〕※ 244 CISA：KNOWN EXPLOITED VULNERABILITIES CATALOG
https://www.cisa.gov/known-exploited-vulnerabilities-catalog〔2022/5/11 確認〕※ 245 CISA：CONTINUOUS DIAGNOSTICS AND MITIGATION (CDM)
https://www.cisa.gov/cdm〔2022/5/11 確認〕※ 246 CISA：ELECTION INFRASTRUCTURE SECURITY https://www.cisa.gov/election-security〔2022/5/11 確認〕※ 247 HOMELAND SECURITY TODAY.US：Shields Up: CISA
Recommends All Organizations Adopt Heightened Cybersecurity
Posture https://www.hstoday.us/federal-pages/dhs/shields-upcisa-recommends-all-organizations-adopt-heightened-cybersecurityposture/〔2022/5/11 確認〕※ 248 CISA：Alert (AA22-047A) Russian State-Sponsored Cyber
Actors Target Cleared Defense Contractor Networks to Obtain
Sensitive U.S. Defense Information and Technology https://www.cisa.gov/uscert/ncas/alerts/aa22-047a〔2022/5/11 確認〕※ 249 CISA：CISA AND FBI PUBLISH ADVISORY TO PROTECTORGANIZATIONS FROM DESTRUCTIVE MALWARE USED IN
UKRAINE https://www.cisa.gov/news/2022/02/26/cisa-andfbi-publish-advisory-protect-organizations-destructive-malware-used〔2022/5/11 確認〕※ 250 CISA：SHIELDS UP https://www.cisa.gov/shields-up〔2022/5/11 確認〕※ 251 The White House：Statement by President Biden on our
Nation’s Cybersecurity https://www.whitehouse.gov/briefingroom/statements-releases/2022/03/21/statement-by-presidentbiden-on-our-nations-cybersecurity/〔2022/5/11 確認〕※ 252 The Guardian：The Cambridge Analytica Files https://www.theguardian.com/news/series/cambridge-analytica-files〔2022/5/11 確認〕※ 253 ITmedia：米司法省、IT 大手を独禁法違反の疑いで調査すると
発 表 https://www.itmedia.co.jp/news/articles/1907/24/news053.
html〔2022/5/11 確認〕※ 254 The New York Times：House Lawmakers Condemn Big
Tech’s‘Monopoly Power’and Urge Their Breakups https://www.
nytimes.com/2020/10/06/technology/congress-big-techmonopoly-power.html〔2022/5/11 確認〕※ 255 CONGRESS.GOV：H.R.3825 - Ending Platform Monopolies
Act https://www.congress.gov/bill/117th-congress/house-bill/
3825〔2022/5/11 確認〕「自社優※ 256 日本経済新聞：米議会、独禁法改正で IT 追及 上院も遇禁止」案 https://www.nikkei.com/article/DGXZQOGN14F5
Y0U1A011C2000000/〔2022/5/11 確認〕※ 257 POLITICO：Gaming out tech antitrust’s next obstacles
https://www.politico.com/newsletters/morning-tech/2022/01/
21/gaming-out-tech-antitrusts-next-obstacles-799994〔2022/
5/11 確認〕※ 258 CONGRESS.GOV：S.2065 - Deepfake Report Act of 2019https://www.congress.gov/bill/116th-congress/senate-bill/2065〔2022/5/11 確認〕※ 259 The Wall Street Journal：The Facebook Files A Wall Street
Journal investigation https://www.wsj.com/articles/the-facebookfiles-11631713039〔2022/5/11 確認〕※ 260 朝日新聞：フェイスブック、拡散されやすくなった有害投稿 アルゴリ
ズム変更で https://digital.asahi.com/articles/ASPDV4F5XPDNU
HBI008.html〔2022/5/11 確認〕※ 261 The Washington Post：Facebook whistleblower Frances
Haugen tells lawmakers that meaningful reform is necessary‘forour common good’ https://www.washingtonpost.com/technology/
2021/10/05/facebook-senate-hearing-frances-haugen/〔2022/
5/11 確認〕※ 262 The Washington Post：Biden, Putin aired differences at a highstakes summit but agree on little https://www.washingtonpost.
com/politics/biden-putin/2021/06/16/cdd677dc-ce0a-11eb8014-2f3926ca24d9_story.html〔2022/5/11 確認〕
The Washington Post：Biden, Putin hold 'positive’summit but
divisions remain over human rights, cyberattacks, Ukraine
https://www.washingtonpost.com/politics/2021/06/16/bidenputin-live-updates/〔2022/5/11 確認〕※ 263 朝日新聞：米ロ首脳、軍備管理へ新協議 融和ムード演出、人権
では平行線 https://digital.asahi.com/articles/DA3S14942861.
html?iref=pc_ss_date_article〔2022/5/11 確認〕※ 264 The Washington Post：Russia planning massive military
offensive against Ukraine involving 175,000 troops, U.S.
intelligence warns https://www.washingtonpost.com/

216

情報セキュリティ白書

個別テーマ

217

3

章

www.jetro.go.jp/biznews/2021/10/99615fe86d21a386.html〔2022/5/11 確認〕※ 286 Financial Times：Brexit one year on: the impact on the UK
economy https://www.ft.com/content/c6ee4ce2-95b3-4d92〔2022/5/11 確認〕
858f-c50566529b5e※ 287 日本経済新聞：EU 離脱 2 年の英 強まる不満背に「再加盟派」
そろり始 動 https://www.nikkei.com/article/DGXZQOGR17ETG0
X10C22A3000000/〔2022/5/11 確認〕※ 288 GOV.UK：Coronavirus（Covid-19）in the UK https://〔2022/5/11 確認〕
coronavirus.data.gov.uk/※ 289 BBC: Covid：Why has the Delta variant spread so quickly
in UK? https://www.bbc.com/news/health-57489740〔2022/
5/11 確認〕※ 290 WHO：WHO Coronavirus (COVID-19) Dashboard https://〔2022/5/11 確認〕
covid19.who.int/※ 291 REUTERS：COVID-19 Tracker 欧州 https://graphics.
reuters.com/world-coronavirus-tracker-and-maps/ja/regions/
europe/〔2022/5/11 確認〕※ 292 BBC：Covid: Pre-departure travel tests to be scrapped〔2022/5/11 確認〕
https://www.bbc.com/news/business-59876063※ 293 BBC：Covid: England ending isolation laws and mass freetesting https://www.bbc.com/news/uk-60467183〔2022/5/11
確認〕※ 294 European Commission：Coronavirus: Commission proposesa Digital Green Certificate https://ec.europa.eu/commission/〔2022/5/11 確認〕presscorner/detail/en/ip_21_1181※ 295 Council of Europe：Vaccine passports: Council of Europe
issues guidance to governments to safeguard human rights
https://www.coe.int/en/web/portal/-/vaccine-passports-councilof-europe-issues-guidance-to-governments-to-safeguard-humanrights〔2022/5/11 確認〕※ 296 European Commission：EU Digital COVID Certificate
https://ec.europa.eu/info/live-work-travel-eu/coronavirus-response/
safe-covid-19-vaccines-europeans/eu-digital-covid-certificate_
en#what-is-the-eu-digital-covid-certificate〔2022/5/11 確認〕※ 297 在ボストン日本国総領事館：米国の新たな水際措置（ワクチン接種証明提示義務化ほか）について https://www.boston.us.emb-japan.
go.jp/itpr_ja/11_000001_00269.html〔2022/5/11 確認〕※ 298 Naturemedicine：The French health pass holds lessons for
mandatory COVID-19 vaccination https://www.nature.com/〔2022/5/11 確認〕
articles/s41591-021-01661-7※ 299 JETRO：新型コロナワクチンパスを 1 月 24 日から施行、2 月から
規 制 緩 和へ https://www.jetro.go.jp/biznews/2022/01/df11a188
e5336fd4.html〔2022/5/11 確認〕※ 300 JETRO：フランス、新型コロナ規制緩和の第 2 段階へ、入国規制も 2 月 12 日に緩和 https://www.jetro.go.jp/biznews/2022/02/
62f2642befab0ac8.html〔2022/5/11 確認〕※ 301 GOVERNMENT：Pass vaccinal https://www.gouvernement.
fr/info-coronavirus/pass-vaccinal〔2022/5/11 確認〕※ 302 BBC：Germany elections: Centre-left claim narrow win overMerkel's party https://www.bbc.com/news/world-europe58698806〔2022/5/11 確認〕※ 303 JETRO：オミクロン株対策で追加接種加速、接種義務も拡大へ
https://www.jetro.go.jp/biznews/2021/12/e6fa3459d9db02ab.
html〔2022/5/11 確認〕※ 304 POLITICO：German parliament rejects mandatory coronavirus
vaccination https://www.politico.eu/article/german-parliamentrejects-mandatory-coronavirus-vaccination/〔2022/5/11 確認〕※ 305 France 24：Italy makes Covid-19 'Green Pass' mandatory
for restaurants, public transport https://www.france24.com/en/
europe/20210805-italy-makes-covid-19-health-pass-mandatoryfor-teachers〔2022/5/11 確認〕※ 306 I t a l i a P a s s , L L C：I T A L Y G R E E N P A S S h t t p s : / /italygreenpass.com/guide-to-green-pass-restrictions-starting-april-1/〔2022/5/11 確認〕※ 307 BBC：England vaccine passport plans ditched, Sajid Javid
says https://www.bbc.com/news/uk-58535258〔2022/5/11 確認〕※ 308 読売新聞：ワクチン接種証明提示、イングランド全域で義務化…
ナイトクラブや劇場など https://www.yomiuri.co.jp/world/20211215OYT1T50134/〔2022/5/11 確認〕※ 309 Nursing Notes：Government makes spectacular U-turn on
mandatory vaccinations for health and social care workers
https://nursingnotes.co.uk/news/workforce/government-makesspectacular-u-turn-on-mandatory-vaccinations-for-health-andsocial-care-workers/〔2022/5/11 確認〕

第national-security/russia-ukraine-invasion/2021/
12/03/98a3760e-546b-11ec-8769-2f4ecdf7a2ad_story.html〔2022/5/11 確認〕※ 265 The New York Times：‘Greetings, Mr. President’: Biden and
Putin Hold 2-Hour Virtual Summit https://www.nytimes.com/
2021/12/07/us/politics/biden-putin-ukraine-summit.html〔2022/
5/11 確認〕※ 266 JIJI.COM：米ロ首脳がオンライン会談 バイデン氏、制裁警告―
ウクライナ情勢で対立 https://www.jiji.com/jc/article?k=20211208
00014&g=int〔2022/5/11 確認〕※ 267 The Guardian：Biden and Putin exchange warnings duringphone call amid rising Ukraine tensions https://www.theguardian.
com/us-news/2021/dec/30/biden-putin-call-russia-us-ukrainetensions〔2022/5/11 確認〕※ 268 NHK：米ロ首脳 電話会談 バイデン大統領“侵攻の場合 厳しい
制 裁 ” https://www3.nhk.or.jp/news/html/20220213/k1001348
1281000.html〔2022/5/11 確認〕※ 269 The Washington Post：Biden says U.S. believes Putin has
decided to invade Ukraine https://www.washingtonpost.com/〔2022/5/11 確認〕
world/2022/02/18/russia-ukraine-updates/※ 270 CONGRESS.GOV：S.1605 - National Defense Authorization
Act for Fiscal Year 2022 https://www.congress.gov/bill/117th〔2022/5/11 確認〕
congress/senate-bill/1605/text※ 271 Summary of the Fiscal Year 2022 National Defense
Authorization Act https://www.armed-services.senate.gov/imo/
media/doc/FY22%20NDAA%20Agreement%20Summary.pdf〔2022/5/11 確認〕※ 272 ZDNet Japan：ウクライナ政府狙った破壊的なマルウェア攻撃、
マイクロソフトが報告 https://japan.zdnet.com/article/35182150/〔2022/5/11 確認〕※ 273 CNET：Elon Musk Warns of Russian Attacks on DonatedStarlink Internet Hubs in Ukraine https://www.cnet.com/
science/space/elon-musk-activates-starlink-in-ukraine-amid〔2022/5/11 確認〕
internet-disruption/※ 274 ZDNET Japan：ウクライナ侵攻で IT 企業がロシア事業から撤退、
戦 争と IT の関 係 https://japan.zdnet.com/article/35185629/〔2022/5/11 確認〕※ 275 Google: GLOBAL Ukraine：How Google is helping https://www.thinkwithgoogle.com/collections/how-google-is-supporting〔2022/5/11 確認〕
ukraine/※ 276 REUTERS：Facebook allows war posts urging violenceagainst Russian invaders https://www.reuters.com/world/
europe/exclusive-facebook-instagram-temporarily-allow-callsviolence-against-russians-2022-03-10/〔2022/5/11 確認〕※ 277 The Guardian：Anonymous: the hacker collective that has
declared cyberwar on Russia https://www.theguardian.com/
world/2022/feb/27/anonymous-the-hacker-collective-that-hasdeclared-cyberwar-on-russia〔2022/5/11 確認〕※ 278 The White House：FACT SHEET: United States Bans
Imports of Russian Oil, Liquefied Natural Gas, and Coal https://www.whitehouse.gov/briefing-room/statements-releases/2022/
03/08/fact-sheet-united-states-bans-imports-of-russian-oilliquefied-natural-gas-and-coal/〔2022/5/11 確認〕※ 279 日本経済新聞：ドイツ、ロシアとのガス管計画を凍結 「弱腰」から転 換 https://www.nikkei.com/article/DGXZQOGR22E700S2A
220C2000000/〔2022/5/11 確認〕※ 280 The White House：FACT SHEET: United States, G7 andEU Impose Severe and Immediate Costs on Russia https://www.
whitehouse.gov/briefing-room/statements-releases/2022/04/06/
fact-sheet-united-states-g7-and-eu-impose-severe-and-immediate〔2022/5/11 確認〕
costs-on-russia/※ 281 JIJI.COM：対ロ制裁、効果に限界 ウクライナ大統領、強化訴
え―エネルギー禁 輸が 焦 点 https://www.jiji.com/jc/article?k=2022040700980&g=int〔2022/5/11 確認〕※ 282 The Washington Post：Biden warns China’s Xi not to help
Russia on Ukraine https://www.washingtonpost.com/world/
2022/03/18/biden-xi-china-call-ukraine-russia-war/〔2022/5/11
確認〕※ 283 JIJI.COM：ロシア排除で分断露呈 米など途中退席、共同声明
見 送り―Ｇ２０財 務 相・ 中 銀 総 裁 会 議 https://www.jiji.com/jc/
article?k=2022042100152&g=pol〔2022/5/11 確認〕※ 284 POLITICO：European Parliament ratifies post-Brexit tradedeal https://www.politico.eu/article/european-parliament-post〔2022/5/11 確認〕
brexit-trade-deal-ratification/※ 285 JETRO：欧州委、北アイルランド議定書の調整を提案 https://2022

※ 310 ENISA：NIS Directive https://www.enisa.europa.eu/
topics/nis-directive〔2022/5/11 確認〕※ 311 ENISA：NIS Investments Report 2021 https://www.enisa.
europa.eu/publications/nis-investments-2021〔2022/5/11 確認〕※ 312 ENISA：PSIRT Expertise and Capabilities Development
https://www.enisa.europa.eu/publications/csirt-expertise-andcapabilities-development〔2022/5/11 確認〕※ 313 ENISA：On the Watch for Incident Response Capabilities
in the Health Sector https://www.enisa.europa.eu/news/enisanews/on-the-watch-for-incident-response-capabilities-in-thehealth-sector〔2022/5/11 確認〕※ 314 European Parliament：The NIS2 Directive A high common
level of cybersecurity in the EU https://www.europarl.europa.eu/
RegData/etudes/BRIE/2021/689333/EPRS_BRI(2021)
689333_EN.pdf〔2022/5/11 確認〕※ 315 European Commission：The EU cybersecurity certification
framework https://digital-strategy.ec.europa.eu/en/policies/〔2022/5/11 確認〕
cybersecurity-certification-framework※ 316 EUR-Lex：Regulation (EU) 2019/881 of the European
Parliament and of the Council of 17 April 2019 on ENISA (theEuropean Union Agency for Cybersecurity) and on information andcommunications technology cybersecurity certification andrepealing Regulation (EU) No 526/2013 (Cybersecurity Act) (Textwith EEA relevance) https://eur-lex.europa.eu/eli/reg/2019/881/oj〔2022/5/11 確認〕※ 317 ENISA：Cybersecurity Certification: Candidate EUCC
Scheme https://www.enisa.europa.eu/publications/cybersecurity〔2022/5/11 確認〕
certification-eucc-candidate-scheme※ 318 ENISA：EUCS – Cloud Services Scheme https://www.
enisa.europa.eu/publications/eucs-cloud-service-scheme〔2022/
5/11 確認〕※ 319 CSPCERT WG：Recommendations for the implementationof the CSP Certification scheme https://ecp.nl/wp-content/
uploads/2020/01/PT-2019-CSP-CERT-WG-Recommendationsfor-the-implementation-of-the-CSP-Certification-scheme〔2022/5/11 確認〕
20190607-Final-version.pdf※ 320 ENISA：Securing EU’s Vision on 5G: Cybersecurity
Certification https://www.enisa.europa.eu/news/enisa-news/
securing_eu_vision_on_5g_cybersecurity_certification〔2022/5/11
確認〕※ 321 ENISA：Ad-Hoc Working Group 03 - on 5G Cybersecurity
Certification https://www.enisa.europa.eu/topics/standards/
adhoc_wg_calls/ad-hoc-working-group-on-5g-cybersecurity〔2022/5/11 確認〕
certification※ 322 ENISA：Cybersecurity Certification Market Study https://www.enisa.europa.eu/publications/cybersecurity-certificationmarket-study〔2022/5/11 確認〕※ 323 ENISA：ENISA Cybersecurity Market Analysis Framework(ECSMAF) https://www.enisa.europa.eu/publications/enisacybersecurity-market-analysis-framework-ecsmaf〔2022/5/11 確認〕
ENISA：EU Cybersecurity Market Analysis - IoT in Distribution
Grid https://www.enisa.europa.eu/publications/eu-cybersecurity〔2022/5/11 確認〕
market-analysis-iot-in-distribution-grid※ 324 European Commission：European Democracy Action Plan:
making EU democracies stronger https://ec.europa.eu/
commission/presscorner/detail/en/ip_20_2250〔2022/5/11 確認〕※ 325 European Commission：Code of Practice on Disinformation
https://digital-strategy.ec.europa.eu/en/policies/code-practicedisinformation〔2022/5/11 確認〕※ 326 EUR-Lex：Proposal for a REGULATION OF THE EUROPEANPARLIAMENT AND OF THE COUNCIL on a Single Market For
Digital Services (Digital Services Act) and amending Directive
2000/31/EC https://eur-lex.europa.eu/legal-content/en/
TXT/?uri=COM%3A2020%3A825%3AFIN〔2022/5/11 確認〕※ 327 総務省：インターネット上の違法・有害情報を巡る EU の動向 －Digital Services Act について－ https://www.soumu.go.jp/main_content/000738571.pdf〔2022/5/11 確認〕※ 328 European Commission：Digital Services Act: Commission
welcomes political agreement on rules ensuring a safe andaccountable online environment https://ec.europa.eu/commission/presscorner/detail/en/ip_22_2545〔2022/5/11 確認〕※ 329 European Commission：The Digital Markets Act: ensuring
fair and open digital markets https://ec.europa.eu/info/strategy/
priorities-2019-2024/europe-fit-digital-age/digital-markets-actensuring-fair-and-open-digital-markets_en〔2022/5/11 確認〕※ 330 European Commission：Digital Markets Act: Commission
welcomes political agreement on rules to ensure fair and open
digital markets https://ec.europa.eu/commission/presscorner/
detail/en/ip_22_1978〔2022/5/11 確認〕※ 331 Reuter：New rules for U.S tech giants to come into force in
October, EU's Vestager says https://www.reuters.com/technology/
rules-against-us-tech-giants-come-into-force-october-eus-vestagersays-2022-03-25/〔2022/5/11 確認〕※ 332 European Commission：A European approach to artificial
intelligence https://digital-strategy.ec.europa.eu/en/policies/
european-approach-artificial-intelligence〔2022/5/11 確認〕※ 333 European Commission：Proposal for a Regulation laying
down harmonised rules on artificial intelligence https://digitalstrategy.ec.europa.eu/en/library/proposal-regulation-laying-downharmonised-rules-artificial-intelligence〔2022/5/11 確認〕※ 334 中国が試行している行動履歴情報等による個人格付けは民主主
義にとって脅威である、との判断によると思われる。
※ 335 EUR-Lex：DIRECTIVE (EU) 2016/680 OF THE EUROPEANPARLIAMENT AND OF THE COUNCIL of 27 April 2016 https://
eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A32016L
0680〔2022/5/11 確認〕s initial findings on※ 336 DIGITALEUROPE：DIGITALEUROPE’
the proposed AI Act https://www.digitaleurope.org/resources/
digitaleuropes-initial-findings-on-the-proposed-ai-act/〔2022/5/11
確認〕European Commission：Feedback from: Google https://ec.europa.
eu/info/law/better-regulation/have-your-say/initiatives/12527Artificial-intelligence-ethical-and-legal-requirements/F2662492_en〔2022/5/11 確認〕
European Tech Alliance：EUTA Reaction to Commission’s Artificial
Intelligence Act proposal https://eutechalliance.eu/ai-eutareaction-to-commissions-artificial-intelligence-act-proposal/〔2022/5/11 確認〕
日本経済団体連合会：欧州 AI 規制法案に対する意見 https://www.
keidanren.or.jp/policy/2021/069.html?v=p〔2022/5/11 確認〕※ 337 The New York Times：E.U. Court Strikes Down Trans-Atlantic
Data Transfer Pact https://www.nytimes.com/2020/07/16/〔2022/5/11 確認〕
business/eu-data-transfer-pact-rejected.html※ 338 TechCrunch：EU, US agree on data transfer deal to replacedefunct Privacy Shield https://techcrunch.com/2022/03/25/
eu-and-us-agree-data-transfer-deal-to-replace-defunct-privacyshield/〔2022/5/11 確認〕※ 339 DLA Piper：DLA Piper GDPR fines and data breach survey:
January 2022 https://www.dlapiper.com/ja/japan/insights/
publications/2022/1/dla-piper-gdpr-fines-and-data-breachsurvey-2022/〔2022/5/11 確認〕※ 340 TechCrunch：EU hits Amazon with record-breaking $887M
GDPR fine over data misuse https://techcrunch.com/2021/07/
30/eu-hits-amazon-with-record-breaking-887m-gdpr-fine-over-datamisuse/〔2022/5/11 確認〕※ 341 U.S. Securities and Exchange Commission：AMAZON.
COM, INC. FORM 10-Q For the Quarterly Period Ended June 30,
2021 PART II. OTHER INFORMATION https://www.sec.gov/
ix?doc=/Archives/edgar/data/0001018724/000101872421000
020/amzn-20210630.htm#i5986f88ea1e04d5c91ff09fed8d7
16f0_103〔2022/5/11 確認〕※ 342 C M S：G D PR En f o r c e m e n t T r a c k e r h t t p s : / / w w w .
enforcementtracker.com/ETid-978〔2022/5/11 確認〕※ 343 C M S：G D PR En f o r c e m e n t T r a c k e r h t t p s : / / w w w .
enforcementtracker.com/ETid-979〔2022/5/11 確認〕※ 344 C M S：G D PR En f o r c e m e n t T r a c k e r h t t p s : / / w w w .
〔2022/5/11 確認〕
enforcementtracker.com/ETid-980※ 345 C M S：G D PR En f o r c e m e n t T r a c k e r h t t p s : / / w w w .
enforcementtracker.com/ETid-1005〔2022/5/11 確認〕※ 346 C M S：G D PR En f o r c e m e n t T r a c k e r h t t p s : / / w w w .
〔2022/5/11 確認〕
enforcementtracker.com/ETid-1098※ 347 TechCrunch：Facebook fined $18.6M over string of 2018breaches of EU’s GDPR https://techcrunch.com/2022/03/15/
facebook-2018-breaches-dpc-decision/〔2022/5/11 確認〕※ 348 legislation.gov.uk：Telecommunications (Security) Act
2021 https://www.legislation.gov.uk/ukpga/2021/31/contents/〔2022/5/11 確認〕
enacted※ 349 GOV.UK：Closed consultation Proposal for new telecoms
security regulations and code of practice https://www.gov.uk/
government/consultations/proposal-for-new-telecoms-security-218情報セキュリティ白書

3

章
個別テーマ

219

第

regulations-and-code-of-practice〔2022/5/11 確認〕※ 358 Politico：Germany says Russia oil embargo would be※ 350 JETRO：IT セキュリティー法 2.0 施行、5G 機器など重要部品の ‘manageable’ https://www.politico.eu/article/germany-says審査厳格化 https://www.jetro.go.jp/biznews/2021/06/2b71160a
russia-oil-embargo-would-be-manageable/〔2022/5/11 確認〕
630f99aa.html〔2022/5/11 確認〕※ 359 NATO：Relations with Ukraine https://www.nato.int/cps/※ 351 SCC Online：Germany | IT Security Act 2.0 passed by〔2022/5/11 確認〕
en/natohq/topics_37750.htm
Government https://www.scconline.com/blog/post/2021/※ 360 NATO：Relations with Russia https://www.nato.int/cps/
06/03/germany-it-security-act-2-0-passed-by-government/
en/natohq/topics_50090.htm〔2022/5/11 確認〕〔2022/5/11 確認〕※ 361 朝日新聞：プーチン氏がよく知る、NATO の「弱点」 ウクライナ※ 352 日本経済新聞：EU・中国が首脳協議、習氏「自主的な対中政策」
危機の深層 https://digital.asahi.com/articles/ASQ2T72SLQ2
要求 https://www.nikkei.com/article/DGXZQOGR30CQO0Q2A3TUHBI02K.html?_requesturl=articles%2FASQ2T72SLQ2TUHBI
30C2000000/?unlock=1〔2022/5/11 確認〕
02K.html&pn=13〔2022/5/11 確認〕※ 353 Reuters：EU warns Russia: 'Aggression comes with a price※ 362 Reuters：焦点：ウクライナ侵攻受けＮＡＴＯ拡大機運、「露の脅威」
tag' https://www.reuters.com/world/europe/eu-warns-russia現実に https://jp.reuters.com/article/nato-putin-idJPKCN2LX0DJ
aggression-comes-with-price-tag-2021-12-10/〔2022/5/11 確認〕〔2022/5/11 確認〕※ 354 European Commission：EU Solidarity with Ukraine※ 363 BBC：Nato expansion: No set date for Finland application
https://ec.europa.eu/info/strategy/priorities-2019-2024/stronger– minister https://www.bbc.com/news/world-us-canadaeurope-world/eu-solidarity-ukraine_en〔2022/5/11 確認〕
61226640〔2022/5/11 確認〕※ 355 European Commission：EU sanctions against Russia※ 364 AFP：NATO、フィンランドの加盟手続き中に防衛支援表明
following the invasion of Ukraine https://ec.europa.eu/info/
https://www.afpbb.com/articles/-/3402755〔2022/5/11 確認〕
strategy/priorities-2019-2024/stronger-europe-world/eu-solidarity※ 365 The New York Times: The leaders of Finland and Sweden
ukraine/eu-sanctions-against-russia-following-invasion-ukraine_en
say they will jointly submit their NATO applications. https://www.
〔2022/5/11 確認〕
nytimes.com/2022/05/17/world/europe/sweden-finland-nato.html※ 356 European Commission：Ukraine: Sanctions on Kremlin〔2022/5/11 確認〕backed outlets Russia Today and Sputnik https://ec.europa.eu/※ 366 BBC：Ukraine war: Putin warns Finland joining Nato would〔2022/5/11 確認〕
commission/presscorner/detail/en/ip_22_1490
be 'mistake' https://www.bbc.com/news/world-europe-61450694※ 357 The New York Times：Germany puts a stop to Nord Stream〔2022/5/11 確認〕
2, a key Russian natural gas pipeline. https://www.nytimes.
com/2022/02/22/business/nord-stream-pipeline-germany-russia.
html〔2022/5/11 確認〕

2022

付録
資料・ツール資料A 2021年のコンピュータウイルス届出状況
IPA が 2021 年 1 月から 12 月の期間に受け付けたコ

A.3

ンピュータウイルス（以下、ウイルス）届出の集計結果に届出者の主体別届出件数

2021 年は前年と比較すると、全体の届出件数は増加

ついて述べる。

した一方で、「教育・研究・行政機関」からの届出は減
A.1

少した。届出者の主体別の比率では「個人」からの届出

届出件数が 65.8％（578 件）と最も多かった（表 A-1、図 A-3）。

2021 年の年間届出件数は、前年の 449 件より429 件

届出者の主体（95.5%）多い 878 件であった（図 A-1）
。そのうち、ウイ
ルス感染の実被害があった届出は 62 件であった。
（届出件数）
1,000
878

2019 年

2020 年

個人

28

188

2021 年
578

法人

195

232

284

教育・研究・行政機関

36

29

16

合計（件）

259

449

878

■表 A-1 ウイルス届出者の主体別届出件数（2019～2021 年）

800
600

個人

教育・研究・
行政機関

449
400

65.8

1.8

259
200
0

18
2019年

被害あり

法人

62
2021年

62
2020年

32.3

被害なし

■図 A-1 ウイルス届出件数推移（2019～2021 年）■図 A-3 ウイルス届出者の主体別届出件数の比率（2021 年）

A.2

届出のあったウイルス等検出数

A.4

傾向

2021 年に寄せられたウイルス等の検出数は、前年の2021 年でウイルス感染の実被害に遭った届出 62 件

97 万 9,439 個より34 万 3,286 個（35.0%）多い 132 万のうち、39 件がランサムウェアに感染した被害であり、

2,725 個であった（図 A-2）。

半数以上を占めた。本白書では「1.2.2 ランサムウェア攻撃」にて攻撃手口や対策について詳しく述べているので、ぜひ一読していただきたい。

（検出数）
3,000,000

2,713,625

2,000,000
1,435,554
1,000,000

0779,5082011

1,322,725
979,439

673,166

2012

428,891

463,653

2013

2014

632,375

746,206

365,307
2015

2016

2017

2018

■図 A-2 ウイルス等検出数推移（2011～2021 年）

参照■コンピュータウイルス・不正アクセスの届出状況［2021年（1月～12月）］
https://www.ipa.go.jp/security/outline/todokede-j.html

222

2019

2020

2021
（年）

付録

資料B 2021年のコンピュータ不正アクセス届出状況
IPA が 2021 年 1 月から 12 月の期間に受け付けたコ

B.3

ンピュータ不正アクセス（以下、不正アクセス）届出の集

手口別件数

届出を攻撃行為（手口）により分類した件数を図 B-3

計結果について述べる。

に示す。なお、以降の分類も含め、届出 1 件につき、B.1

複数の分類項目が該当する場合がある。その場合は該届出件数当する項目のそれぞれにカウントした。

2021 年の年間届出件数は、前年の 187 件より56 件

2021 年の届出において最も多く見られた手口は、前（29.9%）多い 243 件であった（図 B-1）。そのうち、実被年と同様に「ファイル／データ窃取、改ざん等」の 198 件

害があった届出は 197 件であった。

であり、次いで「なりすまし」が 105 件、「脆弱性を悪用した攻撃」が 62 件であった。

243

200

28

ファイル／データ奪取、
改ざん等

187
168

150

21

なりすまし
121

120

103

100

110
83

158
50

75

105

102

61

54

43

56

2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021
（年）
被害あり
被害なし

■図 B-1

不正アクセス届出件数推移（2011〜2021 年）

B.2

届出者の主体別届出件数

パスワード推測（パスワードリスト攻撃等）の比率では「法人」からの届出が 64.2％（156 件）と最も0

2019 年

2020 年

2021 年

法人

49

114

156

個人

30

57

46

教育・研究・行政機関

10

16

41

合計（件）

89

187

243

50

100

2019年

■図 B-3

B.4

150
2020年

200
2021年

250
（件数）

不正アクセス手口別件数の推移（2019〜2021 年）

被害内容別件数

届出のうち、実際に被害に遭った届出について、被不正アクセス届出者の主体別届出件数（2019〜2021 年）

害内容により分類した件数を図 B-4（次ページ）に示す。
2021 年の届出において最も多く見られた被害は、前年

法人と同様に ｢データの窃取、盗み見｣（151 件）であった。

64.2

次いで「ファイルの書き換え」が 84 件、「踏み台として悪16.9用」が 51 件であり、ともに前年から倍以上に増加した。
なお、具体的な被害事例については、「コンピュータ

個人

ウイルス・不正アクセスの届出事例［2021 年上半期（1 月

18.9■図 B-2

11
40
38
25

その他

多かった
（表 B-1、図 B-2）。

教育・研究・
行政機関

32
38

裏口の作成 1
11
（バックドアの設置）
172ソーシャルエンジニアリング 3

からの届出件数が倍以上に増加した。届出者の主体別■表 B-145

不審メール（スパムメール、 7
27
フィッシングメール等）
20

2021 年は前年と比較すると、「教育・研究・行政機関」

届出者の主体53

31

システムの設定不備を 3悪用した攻撃

105

56

28

10

198

62

20
9

不正プログラムの埋込

73
37

資源利用
（CPU等の 2
リソース不正使用）

143

54
88

3

脆弱性を悪用した攻撃

197

89

79

125

付録

（件数）
250

～ 6 月）］」及び「コンピュータウイルス・不正アクセスの届
不正アクセス届出者の主体別届出件数の比率（2021 年）

223

出事例［2021 年下半期（7 月～ 12 月）］」（https://www.

古いバージョンの利用や修正プログラム・必要なプラグイン等の未導入によるもの

ipa.go.jp/security/outline/todokede-j.html）においてデータの窃取、盗み見
8

ファイルの書き換え

7

踏み台として悪用

39
22
19

オンラインサービスの不正利用
6

ウェブサイトの書き換え

104

151

15

設定の不備
（セキュリティ上問題のある
デフォルト設定を含む）

15

不正なログインの試行（パスワードリスト型攻撃等）

51
39
34

24
34

■図 B-4

B.5

39

34

20

40
2020年

60
2021年

（件数）

不正アクセス原因別件数の推移（2019〜2021 年）（1）VPN 製品の脆弱性を対象とした攻撃」参照）。

0
不正アカウントの作成 2
0
0

32

37
35

2019年

■図 B-5

41

5

0

2
3
1

27

17
17

8

その他

14
10

14

51

1
2
3

なし 0
0

6
サーバダウン
92
メール不正中継

0

DoS

6

サービス低下9

ID、
パスワード管理の不備

84

27

原因不明

紹介している。そちらも、ぜひ参考にしていただきたい。
28

7

50

100

150

2019年

2020年

2021年

また、EC サイトの脆弱性を悪用した改ざん等によるク

200
（件数）

レジットカード情報や個人情報の窃取の被害も依然として多く見られた（「1.3.2（1）（b）2021 年のJVN 公表の動向」

不正アクセス被害内容別件数の推移（2019〜2021 年）

参照）。
システム管 理 者が行うべき重 要な対 策の一つは、

原因別件数

VPN 装置や EC サイト等に限らず、脆弱性の解消であ

実際に被害に遭った届出について、不正アクセスのる。ネットワーク機器やサーバ、各種ソフトウェアに関す原因となった問題点／弱点で分類した件数を図 B-5 にる脆弱性情報の収集と修正プログラムの適用、Web ア示す。2021 年の届出において最も多く見られた原因は、プリケーションの脆弱性診断の実施等により、着実に脆「古いバージョンの利用や修正プログラム・必要なプラグ

弱性を解消していく必要がある。

イン等の未導入によるもの」であり51 件であった。次いで｢設定不備（セキュリティ上問題のあるデフォルト設定を（2）
システム利用者の被害の傾向と対策
2021 年はメールアカウントへの不正なログインにより、含む）｣が 39 件であり、「ID、パスワード管理の不備」に

迷惑メールやフィッシングメール等を不正に送信されたとついては 34 件と前年から倍以上に増加した。

いう被害が多く見られた。
B.6

不正なログインの主な原因として、パスワードリスト攻傾向と対策撃や総当たり攻撃により認証が突破されたことが挙げられている。システム利用者が行うべき対策としては、他

不正アクセス被害の傾向と対策について述べる。

者に推測されにくい複雑なパスワードを設定する、パス（1）企業・組織の被害の傾向と対策ワードの使いまわしをしない、多要素認証等のセキュリティ

2021 年は VPN 装置の脆弱性を悪用して窃取した認オプションを積極的に採用する等がある。各利用者にお証情報を使用した不正侵入の被害が多く見られた（「1.2.5

いて、適切なアカウント管理を実施していただきたい。

参照■コンピュータウイルス・不正アクセスの届出状況［2021年（1月～12月）］
https://www.ipa.go.jp/security/outline/todokede-j.html

224

付録

資料C ソフトウェア等の脆弱性関連情報に関する届出状況
IPA が受け付けた脆弱性関連情報に関する届け出件で、Web サイトに関する届出が全体の 70.8% を占めは、2021 年末までに 1 万 7,139 件に達した。

ている（図 C-1）。
表 C-1 に示すように、届出受付開始から各四半期末時点までの就業日 1 日あたりの届出件数は、2021 年第脆弱性の届出概況

C.1

4 四半期末時点で 4.03 件となっている。届けられた脆

2021 年末時点で、届出受付開始（2004 年 7 月 8 日）

弱性の種類はソフトウェア製品、Web サイトともにクロスからの累計は、ソフトウェア製品に関するもの 5,009 件、サイト・スクリプティングの脆弱性が一番多くなっている。

Web サイトに関するもの 1 万 2,130 件、合計 1 万 7,139
800

15,000

600
500

9,940

10,382

10,666

10,771

10,971

11,107

11,295

11,525

11,928

11,705

12,041

12,13012,000

9,000

400
300

4,273

4,328

4,389

4,456

4,517

4,569

4,627

4,700

4,851

4,771

4,945

200

5,009

6,000

3,000

100

0

■図 C-171 18080 223
94 11364 89
74
55 44261 28467 10561 20052 13658 18873 230
1Q
2Q
3Q
4Q
1Q
2Q
3Q
4Q
1Q
2Q
3Q
4Q
（1〜3月） （4〜6月） （7〜9月）（10〜12月）（1〜3月） （4〜6月） （7〜9月）（10〜12月）（1〜3月） （4〜6月） （7〜9月）（10〜12月）
2020年
2021年
2019年
49

脆弱性関連情報の届出件数の四半期別推移

2020 年1Q 2020 年２Q 2020 年３Q 2020 年４Q 2021年1Q 2021年２Q 2021年３Q 2021年4Q（1〜3 月） （4〜6 月） （7〜9 月）（10〜12 月） （1〜3 月） （4〜6 月） （7〜9 月） （10〜12 月）
4.04■表 C-1

C.2

4.03

4.03

4.04

4.05

4.06

4.05

4.03

就業日 1 日あたりの届出件数（届出受付開始から各四半期末時点）

ソフトウェア製品の脆弱性の処理状況届出種別

このほか、海外の CSIRT から JPCERT/CC が連絡を受けた 2,313 件を JVN で公表した。これらの公表済

2021 年末時点のソフトウェア製品に関する脆弱性のみ件数の期別推移を図 C-2（次ページ）に示す。

処理状況は、JPCERT/CC が調整を行い、製品開発者が脆弱性の修正を完了し、JVN で対策情報を公表し

分類

累計件数

たものは 2,352 件、製品開発者からの届出のうち JVN

2,352件で公表せず製品開発者が個別対応を行ったものは 40

40件

件、製品開発者が脆弱性ではないと判断したものは

104件
499件

104 件、告示で定める届出の対象に該当せず不受理と2,995件したものは 499 件で、これらの取り扱いを終了したものの合計は 2,995 件に達した（表 C-2）。

■表 C-2 ソフトウェア製品の脆弱性の終了件数

225

付録

700

100
90
80
70
60

1,693

1,716

1,732

1,749

1,779

1,667

1,689

1,711

1,741

1,771

1,988

1,919

1,844

1,840

1,820

1,798

2,063

2,148

2,221

2,500

2,313

2,000
1,875

1,907

1,934

1,956
1,500

50
40

1,000

30
20
10

500
19

18

23 22

16

22

17

30

30 30

19

73

22 75

20

69

35 75

32 85

27 73

22

92
0

0

2020年

2019年

2021年

■図 C-2 ソフトウェア製品の脆弱性対策情報の公表件数

C.3

これらのうち、修正完了件数の期別推移を図 C-3 に

Webサイトの脆弱性の処理状況示す。

2021 年末時点の Web サイトに関する脆弱性の処理
状況は、IPA が通知を行い Web サイト運営者が修正

分類

累計件数

を完了したものは 8,202 件、IPA が注意喚起等を行っ

8,202件た後に処 理を終了させたものは 1,130 件、IPA 及び

1,130件
704件

Web サイト運営者が脆弱性ではないと判断したものは230件

704 件、Web サイト運営者と連絡が不可能なもの、また285件

は Web サイト運営者の対応により取り扱いが不能なもの

10,551件

が 230 件、告示で定める届出の対象に該当せず不受■表 C-3理としたものは 285 件で、これらの取り扱いを終了したもWeb サイトの脆弱性の終了件数のの合計は 1 万 551 件に達した（表 C-3）。
400

10,000

300

7,373

7,547

7,632

7,726

7,788

7,849

7,921

7,994

8,069

8,117

8,161

8,202

8,000

6,000
200

4,000
100

2,000
27

174

85

94

2019年

■図 C-3

62

61

72

2020年

73

75

2021年

Web サイトの脆弱性の修正完了件数

226

48

44

41

0

付録

C.4

ソフトウェア製品の脆弱性の届出の処理状況

ソフトウェア製品の脆弱性関連情報の届出について処
理状況を図 C-4 に示す。

40

脆弱性ではない 104

2,352
0

1,000

5,009
取扱い中

499
2,000

2,014

3,000

4,000

5,000

6,000
（件）

■図 C-4 ソフトウェア製品の脆弱性関連情報の届出の処理状況

Webサイトの脆弱性の届出の処理状況付録

C.5

Web サイトの脆弱性関連情報の届出について処理状
況を図 C-5 に示す。

12,130

285
8,202

1,130
脆弱性ではない 704

0■図 C-5

3,000

6,000

取扱い中

1,579

取扱不能 230

9,000

12,000Web サイトの脆弱性関連情報の届出の処理状況参照■ソフトウェア等の脆弱性関連情報に関する届出状況［2021年第4四半期（10月～12月）］
https://www.ipa.go.jp/security/vuln/report/vuln2021q4.html

227

15,000（件）

資料D 2021年の情報セキュリティ安心相談窓口の相談状況
2021 年 1 月から 12 月の期間に IPA が対応した、相相談者の主体談対応状況の集計結果について述べる。
なお、IPA 情報セキュリティ安心相談窓口では、新2019 年

2020 年

2021 年

法人

422

782

530

個人

7,046

8,110

4,984

型コロナウイルス感染症の拡大防止と職員の安全確保

教育・研究・公的機関

394

359

170

を図るために、下記の期間において相談電話対応業務

不明

169

447

719

を停 止した。 そのため 当 該 期 間 中は 電 子メール、

合計（件）

8,031

9,698

6,403

FAX、郵送のみで相談を受け付けていた。

■表 D-1

相談電話対応業務停止期間：

情報セキュリティ安心相談窓口の主体別相談対応件数（2019～2021 年）

2021 年 1 月 12 日～ 2021 年 3 月 22 日
2021 年 4 月 27 日～ 2021 年 6 月 20 日
不明

2021 年 7 月 12 日～ 2021 年 9 月 30 日

8.3

教育・研究・
公的機関

相談員対応件数

D.1

法人

11.2

2.7

個人

2021 年の年 間 相 談 員 対 応 件 数は 6,403 件となり、77.8

2020 年の相談員対応件数 9,698 件より3,295 件（34.0％）の減少となった（図 D-1）。
■図 D-2 情 報セキュリティ安心相談窓口の主体別相談件数の比率（2021 年）

（対応件数）
12,00010,000

9,698

8,961

8,000 7,547
6,000

6,926 6,818 6,904

7,600

D.3

8,000 8,031

2021 年は「スマートフォン・タブレット」に関する相談が

6,403

5,525

2,666 件（41.6％）と最も多かった。

4,000「スマートフォン・タブレット」に関する相談は 2020 年より2 年連続で、「パソコン・サーバー」に関する相談件数

2,000
0

相談者の機種別相談件数を上回った（表 D-2、次ページ図 D-3）。
2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021

■図 D-1

D.2

相談者の主体2019 年

2020 年

2021 年

パソコン・サーバー

4,007

4,163

2,304

スマートフォン・タブレット

3,272

4,411

2,666

その他

752

1,124

1,433

合計（件）

8,031

9,698

6,403

相談員対応件数推移（2011～2021 年）

相談者の主体別相談対応件数

2021 年は個人からの相談が 4,984 件（77.8％）と最も多かった。

■表 D-22020 年と比較すると、「法人」「個人」「教育・研究・行政機関」いずれにおいても、前年より減少した（表D-1、図 D-2）。

228

情報セキュリティ安心相談窓口の機種別相談件数・（2021 年）

付録

ウイルス検出の偽警告

その他

22.4

宅配便業者・通信事業者をかたる偽SMS

パソコン・
サーバー

36.0

814

偽のセキュリティ警告から
アプリインストール■図 D-3 情 報セキュリティ安心相談窓口の機種別相談件数の比率（2021 年）

iPhoneに突然表示される不審なカレンダー通知
ワンクリック請求

相談種別件数

Emotet関連

主な相談種別ごとの件数を（図 D-4）に示す。2021 年

ランサムウェア

警告」
に関する相談で1,090 件（17.0％）
であった。
次いで、

85
0

285
273

227
232
297
220
139

75
24
46
39
46

0
Facebookの151
メッセンジャーに届く動画 110「宅配便業者・通信事業者をかたる偽 SMS」に関して

437

1,000
2019年

814 件（12.7％）、「仮想通貨で金銭を要求する迷惑メー■図 D-4ル」に関して 513 件（8.0％）であった。上位三つの種別による相談件数は 2,417 件で、全相談件数（6,403 件）の 37.7% であった。
問い合わせの多い相談種別については、情報セキュ
リティ安心相談窓口の発行する「安心相談窓口だより」や、「手口検証動画」で注意喚起を行っている。ぜひ参考にしてほしい。

参照■安心相談窓口だより
https://www.ipa.go.jp/security/anshin/mgdayoriindex.html■手口検証動画シリーズ
https://www.ipa.go.jp/security/anshin/verificationmov.html

229

2,000
2020年

2021年

主な相談種別件数の推移（2019～2021 年）

3,000

付録

の相談で最も多く寄せられたのは、「ウイルス検出の偽

1,440
1,753

290
349
174

不正ログイン

41.6

1,625
1,959

471
244
513

仮想通貨で金銭を要求する迷惑メール

スマートフォン・
タブレット

D.4

1,090

IPAの便利なセキュリティツール
情報セキュリティ対策ベンチマーク

診断

https://security-shien.ipa.go.jp/diagnosis/
用途・目的

自組織のセキュリティレベルを診断

利用対象者

情報セキュリティ担当者

特長

・他組織と比較した自組織のセキュリティレベルが判る
・自組織に不足しているセキュリティ対策が判る

概要「セキュリティ対策の取り組み状況に関する評価項目」27 問と「企業プロフィールに関する評価項目」19 問、計 46
問に回答すると以下の診断結果を表示します。
■提供される診断結果
・セキュリティレベルを示したスコア（最高点 135 点、最低点 27 点）と度数分布状況と偏差値
・情報セキュリティリスクの指標の分布と企業規模、業種、情報資産数等が自組織と近い他組織と比較し、自組織の位置が示された散布図
・自組織の過去診断結果との比較や従業員数別での比較を含む 4 種類のレーダーチャート
・結果に応じた推奨される取り組み○ベンチマークに使用する診断データは 2022 年 3 月に Ver.5.1 にアップデート

脆弱性体験学習ツール「AppGoat」

https://www.ipa.go.jp/security/vuln/appgoat/
用途・目的

脆弱性の基礎的な知識の学習

利用対象者◦アプリケーション開発者◦Web サイト管理者

特長

学習

脆弱性の概要や対策方法等、脆弱性に関する基礎的な知識を実習形式で体系的に学べる 3 種のツール

概要■ AppGoat の種類◦Web アプリケーション用学習ツール（個人学習モード）、（集合学習モード）
SQL インジェクション、クロスサイト・スクリプティング等 12 種の脆弱性を学習◦サーバ・デスクトップアプリケーション用学習ツール
バッファオーバーフロー、ディレクトリ・トラバーサル等 7 種の脆弱性を学習■活用方法例○ Web アプリケーション用学習ツール（個人学習モード）
やサーバ・デスクトップ
アプリケーション用学習ツールを利用した、自宅等での個人学習○ Web アプリケーション用学習ツール（集合学習モード）を利用した、学校の講義や組織内のセミナー等における複数人での学習脆弱性対策情報データベース「JVN iPedia」
https://jvndb.jvn.jp/
用途・目的

自組織で使用しているソフトウェア製品の脆弱性の確認と対策

利用対象者◦システム管理者◦製品・サービスの保守を担う担当者

特長

対策

14 万件超の国内外のソフトウェア製品の公開された脆弱性の対策情報が掲載されたキーワードで検索が可能なデータベース

概要■掲載情報例◦脆弱性の概要◦脆弱性がある製品名とそのベンダ名◦共通脆弱性識別子 CVE◦脆弱性の深刻度 CVSS 基本値◦本脆弱性に関わる製品ベンダ等のリンク■活用方法例○ネット記事等に記載された CVE 番号を JVN iPediaで検索し、脆弱性の詳細を確認○自組織で使用している製品名で検索し、脆弱性の詳細を確認

230

付録

MyJVN バージョンチェッカ for .NET

対策

https://jvndb.jvn.jp/apis/myjvn/vccheckdotnet.html
用途・目的

PC にインストールされたソフトウェア製品が最新バージョンかどうかを確認

利用対象者

PC 利用者全般

特長

対象製品を使用している場合、最新バージョンかを一括確認でき、判定結果とインストールされているソフトウェアのバージョン等を表示

概要■判定対象ソフトウェア製品◦Adobe Reader◦JRE◦Mozilla Thunderbird◦Mozilla Firefox◦Becky! Internet Mail
◦Lunascape◦Google Chrome◦VMware Player◦Lhaplus◦iTunes◦OpenOffice.org◦LibreOffice■動作環境・必須ソフトウェア◦Windows 8、10◦.NET Framework

サイバーセキュリティ注意喚起サービス「icat for JSON」
https://www.ipa.go.jp/security/vuln/icat.html
用途・目的

IPA が発信する「重要なセキュリティ情報」のリアルタイム取得

利用対象者◦システム管理者◦サービスの保守を担う担当者◦個人利用者

特長

対策

Web ページに HTML タグを埋め込むと、IPA が発信する「重要なセキュリティ情報」とリアルタイムに同期した情報を表示させる

概要■「重要なセキュリティ情報」発信例◦利用者への影響が大きい製品の脆弱性情報◦広く使われる製品のサポート終了情報◦サイバー攻撃への注意喚起■活用方法例
icat を自組織の従業員がよくアクセスする Web ページ（イントラページ等）に表示させ、ソフトウェアの更新等の対策の啓発を促す

注意警戒情報サービス

対策

https://jvndb.jvn.jp/alert/
用途・目的

脆弱性対策に必要な最新情報の収集

利用対象者◦システム管理者◦製品・サービスの保守を担う担当者

特長

日本で広く利用され、脆弱性が悪用されると影響の大きいサーバ用オープンソースソフトウェアのリ
リース情報と IPA が発信する「重要なセキュリティ情報」
を提供

概要■掲載情報例◦Apache HTTP Server◦Bind◦WordPress◦Apache Struts◦Joomla!
◦重要なセキュリティ情報◦Apache Tomcat◦OpenSSL■活用方法例
定期的に自組織で使用しているオープンソースソフトウェアのリリース情報や IPA が発信する「重要なセキュリ
ティ」が公表されているかどうかを確認し、公表されていれば内容の確認、必要に応じ対応を行う

231

付録

■活用方法例
毎朝 MyJVN バージョンチェッカを実行して、使用しているソフトウェアが最新かどうかをチェックし、最新でなければそのソフトウェアを更新

Web サイトの攻撃兆候検出ツール「iLogScanner」

https://www.ipa.go.jp/security/vuln/iLogScanner/index.html
用途・目的

Web サイトに対する攻撃の痕跡、攻撃の可能性を検出

利用対象者

Web サイト運営者

特長

診断

Web サイトのアクセスログ、エラーログ、認証ログを解析し、攻撃の痕跡や攻撃に成功した可能性があるログを解析結果レポートに表示

概要■アクセスログ、エラーログから検出可能な項目例◦SQL インジェクション
  ◦OS コマンド・インジェクション
◦ディレクトリ・トラバーサル◦クロスサイト・スクリプティング■認証ログ（Secure Shell、FTP）から検出可能な項目例◦大量のログイン失敗◦短時間の集中ログイン◦同一ファイルへの大量アクセス◦認証試行回数■活用方法例
定期的に iLogScanner を実行し、自組織の Web サイトを狙った攻撃が行われているか確認

知っていますか？脆弱性

https://www.ipa.go.jp/security/vuln/vuln_contents/
用途・目的

Web サイトの脆弱性の理解

利用対象者◦Web サイト制作者・運営者◦一般利用者

特長

学習

Web サイトにおける、よくありがちな運営上の不備と脆弱性の特徴、攻撃例、及び対策を説明

概要
ありがちなシチュエーションで発生した問題を「博士」
役が対話形式で、分かりやすく解説します。
■対象の脆弱性◦SQL インジェクション
◦クロスサイト・スクリプティング◦クロスサイト・リクエスト・フォージェリ
◦パス名パラメータの未チェック／ディレクトリ・トラバーサル◦OS コマンド・インジェクション
◦セッション管理の不備◦HTTP ヘッダ・インジェクション
◦HTTPS の不適切な利用◦サービス運用妨害（DoS）◦メール不正中継

情報セキュリティ対策支援サイト

対策

https://security-shien.ipa.go.jp/
用途・目的

立場、役割に応じた情報セキュリティ対策に関する情報の収集

利用対象者

経営者、対策実践者、従業員、啓発者、教職員、学生等

特長

情報セキュリティ対策について「知りたい」「学びたい」「続けたい」当事者に対して、IPA が提供するサービスを一元的にまとめたポータルサイト

概要
「経営者」
「対策実践者」「啓発者／教職員」「一般／学生」といった立場、役割別に、情報セキュリティ対策に必要な情報（実践すべきこと、資料、ツール、動画等）を分類し、一元化しています。
特に経営者に対しては情報セキュリティ対策の重要性を理解できるよう「対策を怠ることで組織が被る不利益」「経営者が追う法的・社会的責任」といった問題を具体的に提示し、対策の実践に必要な材料を提供しています。
また、セキュリティ対策を普及啓発するセキュリティプレゼンターの登録、利用方法についても紹介しています。

232

付録

情報セキュリティ・ポータルサイト「ここからセキュリティ！」
https://www.ipa.go.jp/security/kokokara/

学習

用途・目的

◦情報セキュリティや情報リテラシーに関する情報収集◦国内の主なレポート、ガイドライン、学習・診断等のツール等の利用

利用対象者◦インターネットの一般利用者（小学生～大人）◦企業の管理者／一般利用者

特長

診断

対策

情報セキュリティ関連の民間及び公的な団体が公開する無償の資料、情報、ツールを網羅的に掲載。
目的別、用途別、役割別に情報を選択し利用が可能

概要

サイバーセキュリティ経営ガイドライン実施状況の可視化ツール

診断

https://www.ipa.go.jp/security/economics/checktool/index.html
用途・目的

セキュリティ対策の実施状況のセルフチェック

利用対象者

主に従業員 300 名以上の企業の CISO 等、サイバーセキュリティ対策の責任者

特長

サイバーセキュリティ経営ガイドラインに準拠したセキュリティ対策の実施状況を成熟度モデルで自己診断し、レーダーチャートで可視化

概要
経営者がサイバーセキュリティ対策を実施する上で責任者となる担当幹部（CISO 等）に指示すべき“重要 10 項目”
が、適切に実施されているかどうかを 5 段階の成熟度モデルで自己診断し、その結果をレーダーチャートで可視化するツール。
診断結果は、経営者への自社のセキュリティ対策の実施状況の説明資料として利用でき、経営者が対策状況を定量的に把握することで、サイバーセキュリティに関する方針の策定や適切なセキュリティ投資の検討、投資家等ス
テークホルダとのコミュニケーション等に役立てることができます。
■提供される主な機能
・重要 10 項目の実施状況の可視化
・同業種及び全業種平均との診断結果の比較
・低い点数の項目に対する参考事例
・グループ企業同士の診断結果を比較できる比較シート

手口検証動画シリーズ

https://www.ipa.go.jp/security/anshin/verificationmov.html
用途・目的

動画で「だましの手口」を知り被害防止につなげる

利用対象者

スマートフォン、パソコンの一般利用者

特長

学習

対策

ネット上に実際にある「だましの手口」に引っかかる様子を動画で見て知り、被害にあった場合の対処や、被害にあわないための対策を学べる

概要
IPA 情報セキュリティ安心相談窓口に寄せられる相談の手口を実際に検証した際の様子を「手口検証動画シリーズ」として 8 本公開しています。最近の「だましの手口」は巧妙で、スマートフォンの機能や様々なネット上のサービスを悪用した手口が増加。動画は 1 本あたり 3 分前後で、手口を知り、被害にあった場合の対処や、被害にあわないための対策を判りやすく学ぶことができます。

233

付録

◦セキュリティベンダ、公的機関、政府等から発信される注意喚起や、資料・動画・ツール等のコンテンツを網羅的に掲載したポータルサイト◦コンテンツを「被害に遭ったら」「対策する」「教育・学習」「セキュリティチェック」「データ & レポート」に分類。必要な情報が見つけやすい◦セキュリティレベルを診断するクイズを「小学生」「中高生・ホームユーザ」「社会人」というカテ
ゴリー別に紹介。楽しみながら学べる第17 回 IPA「ひろげよう情報モラル・セキュリティ
コンクール」2021
受賞作品
I PAコンクール応援隊長「まもるくん」

IPA は、 子どもたちがインターネットにまつわる課題に自ら向き合い、 解決策を見出すきっかけとして、 全国の小学生・中学生・高校生・高専生を対象とするコンクールを開催しています。
ここでは、 全 64,959 点の応募作品の中から、 受賞した作品の一部をご紹介いたします。なお、 すべての受賞作品は下記の Web サイトで公開しています。
［https://www.ipa.go.jp/security/event/hyogo/］

最優秀賞〈独立行政法人情報処理推進機構〉〈標語部門〉〈4コマ漫画部門〉
位置情報

ぼくだけの
ひみつができたよ

パスワード
松田 貫義さん

鹿児島県 鹿児島大学教育学部附属小学校 1年  〈ポスター部門〉

前田 綾音さん愛知県 椙山女学園高等学校 1年  234

東京都 福生市立福生第一中学校 3年

髙橋 音羽さん優秀賞〈独立行政法人情報処理推進機構〉〈標語部門〉
北海道

使いすぎ スマホと取ろう ディスタンス

京都府

公開が あなたにとっては 後悔へ

函館市立北昭和小学校

6年

洛南高等学校附属中学校

1年

土谷 萌々子さん
塩田 陽稀さん

広島県

映えてるね その一方で バレてるね

尾道高等学校3年

栗巣 吉平さん〈ポスター部門〉

岐阜県 岐阜県立岐阜各務野高等学校 1年

田川 琴絵さん兵庫県 雲雀丘学園小学校 4年

愛知県 刈谷市立依佐美中学校 1年

森下 陽也さん横川 成介さん〈4コマ漫画部門〉
近くて遠い

アップしたら…

佐 賀 県 佐 賀 県 立白石高 等 学 校（普 通 科キャンパス）1 年

菅 田 拓 海 さん

小 池 颯 人 さん

村 上 咲 希 さん

鹿児島県 志布志市立有明中学校 1年

東京都 世田谷区立希望丘小学校 6年

235

悪質メールは無視！

標語部門 優秀賞
〈警察庁〉

消しゴムで 消せない言葉

SNS〈特定非営利活動法人ITコーディネータ協会〉

指一本 ネットで他人に とげ一本

京都府立乙訓高等学校

1年

北海道

北斗市立久根別小学校

6年

千葉県立八千代東高等学校

2年

千葉県

〈一般社団法人情報サービス産業協会〉

今の時代 ピースの写真で 指紋ばれ
後後悔

匿名の 安心感が 闇となる

神奈川県

1年

川崎市立川崎高等学校附属中学校

3年

大阪府

タンチョウ
（単調）
に クリックしたら サギ
（詐欺）
だった
鹿児島県

送信前

思いやりボタン 押したかな

1年

鹿児島大学教育学部附属小学校

6年

書き込み一言

北海道

炎上
（かじ）
の元

どこだろう 瞳に映る 君の場所
スマホにも マスク着用 フィルタリング〈茨城県教育庁学校教育部義務教育課〉

絶対載せるな パスワード〈茨城県メディア教育指導員連絡会〉

見ざる 聞かざる 言わざる 個人情報・パスワード〈茨城県情報通信ネットワークセキュリティ協議会〉

相手の心〈公益社団法人埼玉県情報サービス産業協会〉

パスワード 手間が自分を 守り抜く

〈千葉県警察本部〉

SNS

2年

北海道帯広柏葉高等学校

2年

小林 慶人さん菅原 悠大さん1年

福島県 いわき市立小名浜第二中学校

1年

茨城県

2年

馬籠 優人さん
若松 亜湖さん〈茨城県教育庁学校教育部高校教育課〉

向き合おう 自分の心

立教新座高等学校

宮城県涌谷高等学校

見られてる その一枚が 命撮り〈福島県警察本部〉

6年

本藏 雅也さん宮城県〈一般社団法人宮城県情報サービス産業協会〉

SNS

鹿児島市立広木小学校

埼玉県

パスワード 見せず・言わずが キーワード
手の用心

吉田 咲惠さん
叢 睿初さん〈株式会社ラック〉〈北海道警察〉安倍 晴陽さん

大阪府立狭山高等学校

鹿児島県〈株式会社ディー・エヌ・エー〉

伊東 ねいろさん

松本 彩那さん〈株式会社カスペルスキー〉

守り抜く

1年

濱田 凪斗さん宮城県松島高等学校

宮城県

セキュリティ 守るあなたが 守られる

パスワード 絶対言わず

舞鶴市立若浦中学校

5年〈一般社団法人JPCERTコーディネーションセンター〉

みんなが持ってる 肖像権

3年

近 歩久登さん

山梨学院小学校

やってみよう 私を守る 二段階認証〈一般社団法人全国地域情報産業団体連合会〉

樂さん

長岡工業高等専門学校

山梨県〈一般社団法人ソフトウェア協会〉〈ソースネクスト株式会社〉

松田 晴さん

京都府〈一般社団法人日本情報システム・ユーザー協会〉

許可取った？

松井 七星さん伊藤新潟県〈一般社団法人組込みシステム技術協会〉

考えず 情報公開

京都府

全ての言葉に 責任を茨城県立下妻第二高等学校

寺﨑  旭さん茨城県

北茨城市立中郷中学校

3年

茨城県

北茨城市立中郷中学校

3年

茨城県

北茨城市立中郷中学校

3年

埼玉県

埼玉県立志木高等学校

1年

千葉県 日出学園小学校

5年

豊田 怜大さん

鳥居塚 日稀さん

上遠野 ひなさん
飯島 優真さん
一條 裕仁さん236

東京都

東京都立清瀬高等学校

3年

長野県

南木曽町立南木曽中学校

1年

長野県

南木曽町立南木曽中学校

1年〈警視庁生活安全部サイバー犯罪対策課〉

盛れたけど 漏れてもいるよ その写真

〈長野県青少年インターネット適正利用推進協議会〉

スマホ一つで 簡単に 人の心を 変えられる〈長野県インターネットプロバイダ防犯連絡協議会〉

善と悪

表裏一体 ネット社会

松原 陽さん樋口 煌さん岐阜県

城南高等学校2年

静岡県 日本大学三島高等学校

2年〈ネット安全・安心ぎふコンソーシアム〉

その言葉

匿名じゃなきゃ 言えないの？

〈静岡県警察本部〉（S）知らぬ間に （N）覗く人あり （S）
慎重に

京都府

やめようよ 歩きスマホと 言い訳は
京都府

〈一般社団法人京都府情報産業協会〉

便利と危険が 同居する

京都精華学園中学校

2年

京都産業大学附属高等学校

1年

顔見えない 仲は良くても 要注意

パスワード 文字と数字の 二刀流〈島根県警察本部〉

セキュリティ ネット社会の 命綱〈島根県教育委員会〉

向き合おう スマホじゃなくて 人と人S 知らぬ間にN 泣かせているかも S その投稿

〈岡山県情報セキュリティ協議会〉

言の葉が 知らぬ間に 言の刃に

鳥取県立鳥取西高等学校

1年

島根県

島根県立松江商業高等学校

1年

島根県

島根県立松江商業高等学校

1年

岡山県

岡山大学教育学部附属中学校

3年

岡山県

岡山大学教育学部附属中学校

3年

SNS

後悔のない 公開を

勝部

ネットこそ 人の気持ちを 第一に。

山﨑 巨泉さん宮原 健太郎さん

廿日市市立七尾中学校

1年

広島県立三原東高等学校

2年

大野 楓さん門松 桃花さん徳島県〈徳島県警察本部〉

会いたいな ネットの友だち それ安心？
送る前に その言葉で 本当にいいの？ 再確認
徳島県

消せたらな あの日送った メッセージ〈香川県教育委員会〉

とく名だ だからいいの？ その言葉

237

徳島市八万中学校

3年

阿波市立阿波中学校

1年

徳島県立城ノ内中等教育学校

4年

香川県

1年

徳島県

〈徳島県教育委員会〉〈公益財団法人ｅ-とくしま推進財団〉

悠香さん

江藤 莉吏花さん

広島県〈一般社団法人広島県情報産業協会〉

谷川 綾音さん向山 健さん広島県〈広島県警察本部〉

2年

瀬 功太郎さん1年

鳥取県

面と向かって 言えますか？

〈岡山県警察本部〉

大阪市立東高等学校

奈良文化高等学校

まわりの人に 目配り 気配り 心配り〈鳥取県警察本部〉

2年

杉原 旬生さん

奈良県〈特定非営利活動法人奈良地域の学び推進機構〉

その一言

洛南高等学校附属中学校

大阪府〈大阪私学教育情報化研究会〉

垣内 陽翔さん
植松 小遥さん京都府〈京都情報大学院大学〉

熊崎 志惠利さん

水谷 日菜乃さん〈京都府教育委員会〉

SNS

山口 花央さん山上 瑠偉さん尾﨑 由梨さん西出 璃子さん

高松市立香東中学校

寺沢 凰雅さん〈情報通信交流館（e-とぴあ・かがわ）〉

死ぬまで一緒 ささった傷は 言葉のトゲ〈香川県プロバイダ等防犯連絡協議会〉

守ろうよ 心も 体も 情報も本名出して 言えるかな〈高知県教育委員会〉

寝るまえに スマホいじらず

高松市立香東中学校

2年

香川県

高松市立香東中学校

2年

愛媛県立松山南高等学校

1年

高知県

明徳義塾中学校1年

明徳義塾高等学校

1年

福岡市立那珂中学校

1年

佐賀県立唐津東高等学校

1年

長崎県立長崎北陽台高等学校

1年

愛媛県

〈愛媛県情報サービス産業協議会〉

その投稿

香川県

高知県

ネットには たくさん気持ち こもってる

福岡県〈福岡県教育委員会〉

パスワード やってはいけない リサイクル

佐賀県〈特定非営利活動法人ITサポートさが〉消えない投稿〈長崎県警察本部〉

スマホ時間

消える友

長崎県

増えれば減る 家族の時間

長崎精道小学校

5年

臼杵市立北中学校

2年

宮崎県立佐土原高等学校

3年

鹿児島県 日置市立吹上中学校

3年

鹿児島市立鹿児島玉龍中学校

3年

大分県

消えないよ キオクとキロクに 残る書き込み
宮崎県

陽性反応

〈鹿児島県警察本部〉「よし盛れた!」 載せれば情報 「あ、
漏れた」
鹿児島県

匿名は 批判のための 仮面じゃない

じょうほうも かぞくと同じで たいせつに〈特定非営利活動法人鹿児島インファーメーション〉

親も子も ゆだんをするな ネットさぎ

WiFiゲット あなたの情報

青木 そらさん

清田 舜斗さん

大脇 美桜さん鹿児島県〈一般社団法人鹿児島県情報サービス産業協会〉〈沖縄県情報通信関連産業団体連合会〉

鴨田 和奏さん

栗島 愛華さん〈鹿児島市教育委員会〉

その言葉 ほんとに言える？

福嶋 悠人さん

長崎県〈大分県情報サービス産業協会〉〈沖縄県警察本部〉

山中 孝太さん

本村 成陽さん

その言葉 自分の心を 見直して

その油断 スマホも感染

小坂 遼さん

徳田 葵さん

〈一般社団法人長崎県情報産業協会〉〈一般社団法人宮崎県情報産業協会〉

東藤 拓也さん
二宮 駿介さん

夢みよう〈一般社団法人高知県情報産業協会〉

SNS

和田 響太さん

目の前で

238

2年

井口 翔理さん

鹿児島県

鹿児島市立広木小学校

6年

沖縄県

沖縄県立糸満高等学校

1年

沖縄県立那覇西高等学校

1年

沖縄県

誰かがGET

鹿児島市立草牟田小学校

宮副 響太郎さん
新垣 龍季さん
山内 はなさんポスター部門 優秀賞〈公益社団法人著作権情報センター〉〈一般社団法人日本教育情報化振興会〉〈フィッシング対策協議会「STOP. THINK. CONNECT.」〉

東京都 工学院大学附属高等学校 2年

広島県 安田女子高等学校 1年

大阪府 大阪府立寝屋川高等学校（全日制課程）2年

立本 千乃さん

佐伯 文音さん

橋口 太一さん〈実教出版株式会社〉〈株式会社ノートンライフロック〉〈株式会社ネットワールド〉

兵庫県 兵庫県立東播磨高等学校 1年

鹿児島県 鹿児島県立川内商工高等学校 3年

神奈川県 川崎市立川崎総合科学高等学校 3年

佐伯 和香さん石井 玲奈さん松﨑 蒼生さん〈札幌市教育委員会〉〈岩手県警察本部〉〈秋田県警察本部〉

北海道 市立札幌開成中等教育学校 1年

岩手県 北上市立上野中学校 2年

秋田県 秋田県立矢島高等学校 1年

鈴木 可脩さん

久松 実玖さん佐藤 真緒さん239

〈茨城県〉〈栃木県警察本部〉〈群馬県警察本部〉

茨城県 牛久市立ひたち野うしく小学校 4年

栃木県 宇都宮文星女子高等学校 2年

群馬県 伊勢崎市立境北中学校 2年

井上 羽南さん

黒子 彩音さん

松本 妃花子さん〈神奈川県警察
サイバーセキュリティ対策本部〉〈新潟県警察本部〉〈富山県警察本部〉

神奈川県 神奈川県立神奈川工業高等学校 3年

新潟県 新潟県立五泉高等学校 1年

富山県 富山県立砺波高等学校 2年

内海 菜乃香さん

木了 ひかるさん

中橋 和奏さん〈山梨県警察本部〉〈長野県警察本部〉〈愛知県警察本部〉

山梨県 山梨学院高等学校 2年

長野県 長野県駒ケ根工業高等学校 3年

愛知県 桜花学園高等学校 1年

山田 彩愛さん中村 岳寛さん

渥美 日香梨さん

240

〈三重県警察本部〉〈京都府警察本部〉〈公益社団法人京都府防犯協会連合会〉

三重県 いなべ市立大安中学校 3年

京都府 京都産業大学附属高等学校 1年

京都府 京都翔英高等学校 1年

原田 百絵さん子池 橙香さん

山中 美空さん〈鳥取県サイバーセキュリティ対策
ネットワーク〉〈奈良県警察本部〉〈和歌山県警察本部〉

奈良県 奈良県立香芝高等学校 1年

和歌山県 有田川町立吉備中学校 3年

鳥取県 鳥取県立鳥取湖陵高等学校 3年

吉岡 穂の香さん

今井 寧々さん太田 弓葉さん〈一般社団法人島根県情報産業協会〉〈山口県警察本部〉〈一般社団法人徳島県情報産業協会〉

島根県 島根県立松江北高等学校 1年

山口県 宇部フロンティア大学付属香川高等学校 1年

徳島県 阿波市立市場中学校 2年

原田 莉子さん

成松 さくらさん

武田 未羽さん241

〈かがわ情報化推進協議会〉〈愛媛県警察本部〉〈高知県警察本部〉

愛媛県 愛光中学校 2年

高知県 高知市立高知商業高等学校 2年

川村 美葵さん刈谷 彩花さん香川県 香川県立高松工芸高等学校 3年

中平 琴葉さん〈佐賀県警察本部〉〈大分県警察本部〉〈熊本県警察本部〉

佐賀県 佐賀県立白石高等学校（商業科キャンパス）2年

熊本県 熊本学園大学付属高等学校 1年

大分県 豊後大野市立三重中学校 2年

土井 誠也さん竹原 瑚陽さん

波津久 想さん〈宮崎県警察本部〉〈鹿児島県教育委員会〉〈沖縄県〉

宮崎県 宮崎県立五ヶ瀬中等教育学校 6年

鹿児島県 鹿児島県立鹿児島工業高等学校 3年

沖縄県 南城市立佐敷中学校 3年

黒木 未麗さん新井 智之さん

棚原 美南海さん242

4 コマ漫画部門 優秀賞
目は口ほどに…

〈宮 城 県 警 察 本 部〉

みんなどうして？

〈青 森 県 警 察 本 部〉

〈一般 社 団 法 人 北 海 道 情 報システム産 業 協 会〉

〈特 定 非 営 利 活 動 法 人 日 本ネットワークセキュリティ協 会〉

隠れた個人情報

なりすましに注意！！

熊本県 熊本県立御船高等学校 1年

北海道 札幌市立西野中学校 3年

青森県 三沢市立第一中学校 3年

宮城県 聖ウルスラ学院英智高等学校 1年

伊藤 萌衣さん

秋場 美南さん砂倉 彩花さん奥西 南凪さん

直接話そう〈東 京 情 報 大 学〉

一瞬の過ちは一生の後悔〈埼 玉 県 警 察 本 部〉

〈茨 城 県 警 察 本 部〉

〈山 形 県 警 察 本 部〉

気軽に会って大丈夫…？

甘い罠

埼玉県 埼玉県立新座総合技術高等学校 1年

犬竹 夢花さん

山形県 山形県立酒田光陵高等学校 3年

茨城県 水戸女子高等学校 3年

千葉県 市川高等学校 1年

髙橋 亜捺惟さん

岡﨑 紘佳さん

植田 夏帆さん243スマホで友達ができました

相手は誰…

〈福 井 県 警 察 本 部〉

〈一般 社 団 法 人 石 川 県 情 報システム工 業 会〉

〈石 川 県 警 察 本 部〉

〈一般 社 団 法 人 東 京 都 情 報 産 業 協 会〉

もし言葉の暴力が具現化されたら？

アカウントを乗っ取られたら…？

東京都 東京都立葛飾総合高等学校 3年

石川県 野々市市立野々市中学校 2年

石川県 石川県立小松明峰高等学校 1年

福井県 福井県立美方高等学校 1年

伊藤 柚衣さん

酒谷 奏海さん井上 聖徠さん岩本 結愛さん

フリー WiFi〈滋 賀 県 警 察 本 部〉

その人本当に信頼できますか？

〈特 定 非 営 利 活 動 法 人ふ じのくに情 報ネットワーク 機 構〉

〈岐 阜 県 警 察 本 部〉

〈一般 社 団 法 人 長 野 県 情 報サービス振 興 協 会〉

無題

脅威はすぐそばに長野県 上田市立第五中学校 2年

岐阜県 岐阜県立岐阜総合学園高等学校 1年

静岡県 静岡県立浜名高等学校 1年

滋賀県 愛荘町立秦荘中学校 2年

小澤 奈都美さん

田中 清羽さん

大石 好美さん青木 杏佳さん244

ウイルス対策

デマ情報に気をつけろ！

〈兵 庫 県 警 察 本 部〉

〈大 阪 府 警 察 本 部〉

〈京 都コンピュータ学 院〉〈京 都 府 私 立 中 学 高 等 学 校 情 報 科 研 究 会〉

ちょっと待って！

電車の風景

京都府 京都聖母学院高等学校 1年

京都府 京都府立綾部高等学校東分校 1年

大阪府 帝塚山学院高等学校 1年

兵庫県 兵庫県立大学附属高等学校 1年

長谷 唯杏さん沖 泉希さん山田 小夕姫さん

中村 有希さん

そのパスワードで大丈夫？

恐怖の連鎖〈長 崎 県 ネットワーク・セキュリティ連 絡 協 議 会〉

〈福 岡 県 警 察 本 部〉

〈広 島 県 インターネット・セキュリティ対 策 推 進 協 議 会〉

〈一般 社 団 法 人 システムエンジニアリング岡 山〉

自ら考える

その一言が・・・

岡山県 岡山県立倉敷南高等学校 1年

広島県 広島県立福山葦陽高等学校 1年

福岡県 福岡県立小倉東高等学校 2年

長崎県 諫早市立西諫早中学校 2年

髙倉 優依さん谷葊 陽子さん東 奈月さん赤石 心奈さん

245

索引
CYROP
（CYDERANGE as an Open Platform）...................................................................85, 111A
Active Directory サーバ...................................... 24.................85, 111
CYNEX（Cybersecurity Nexus）

AI を用いたクラウドサービスの安全・信頼性に係る.................... 192
情報開示指針（ASP・SaaS 編）

D

Apache HTTP Server の脆弱性........................ 58
Apache Log4j の脆弱性................................10, 59

DDoS 攻撃............................................ 31, 174, 201
Disinformation............................................ 198, 205

APCERT（Asia Pacific Computer Emergency

DX（デジタルトランスフォーメーション）.......................................... 58, 70, 77, 83, 101, 112

Response Team：アジア太平洋コンピュータ緊..............................................98, 99
急対応チーム）DX with Cybersecurity................................70, 101

APT40.................................................................. 88..................... 205
Artificial Intelligence Act（AI 法）DX 時代における企業のプライバシーガバナンスガイ
ドブック............................................................... 77

DXリテラシー標準.............................................. 105

ASEAN 地域フォーラム（ARF：ASEAN Regional.
............................................................
97
Forum）

E

ATT&CK............................................................ 170

ECDSA................................................. 91, 147, 156
EdDSA................................................................. 91

B
BadAlloc..................................................... 168, 178
BadUSB 攻撃.................................................... 167

Emotet................................................. 36, 79, 89, 98
enPiT（Education Network for Practical.......................... 109
Information Technologies）.................21, 85
BYOD（Bring Your Own Device）

EO 14028.......................................... 170, 183, 196
ERAB サイバーセキュリティ
トレーニング............... 107

C
C&C（Command and Control）
サーバ.................................................. 16, 32, 82, 89, 173

EUCC scheme（Common Criteria based
European candidate cybersecurity.................... 137, 185, 204
certification scheme）

CCRA（Common Criteria Recognition................................................ 144
Arrangement）

EwDoor.............................................................. 177
e シール................................................................. 83

CEO 詐欺............................................................. 30
CISA Global...................................................... 169

e-ネットキャラバン..............................................71, 85

CISO（Chief Information Security Officer：F

最高情報セキュリティ責任者）............................................. 98, 102, 106, 113,115

FedRAMP（Federal Risk and Authorization................................ 196
Management Program）........... 60
CMS（Contents Management System）

FragAttacks....................................................... 181

CMVP（Cryptographic Module Validation................................................. 146, 147
Program）

G.................... 55
CNA（CVE Numbering Authority）
Colonial Pipeline Company..........8, 165, 170, 195

G7 首脳会合・外相会合...................................... 94
GAFA................................................................. 199

CRYPTREC......................................................... 91

Gafgyt.......................................................... 173, 175

CSIRT（Computer Security Incident Response................................. 19, 30, 96, 98, 99, 171
Team）

GDPR
（General Data Protection Regulation：............... 115, 151, 199, 206
一般データ保護規則）

CVE（Common Vulnerabilities and Exposures：...................................55, 168
共通脆弱性識別子）

GIGA スクール構想................................ 71, 121, 128

CYDER...........................................................84, 85

GIGA スクールにおけるセキュリティ実態調査 2021........................................................................ 128

246

GitHub...........................................................52, 189

Log4Shell.......................................................... 168

I

M

ICT サイバーセキュリティ総合対策 2021......81, 184

Matryosh............................................................ 174
Mēris.................................................................... 32

IEEE（The Institute of Electrical and....................... 134
Electronics Engineers, Inc.）

Microsoft Exchange Server................... 8, 34, 195
Microsoft Windows 11 の脆弱性...................... 57....... 134
IETF（Internet Engineering Task Force）
INFRA:HALT.............................................. 168, 179

Mirai..............................................................32, 173
Mirai の亜種................................................ 174, 175

IoT....................................... 32, 35, 81, 124, 137, 173
IoT・5G セキュリティ総合対策 2020.................. 81

Moobot............................................................... 174
Mozi.................................................................... 176

IoT-domotics..................................................... 139
IoT セキュリティガイドライン................................. 137

N

IoT セキュリティ・セーフティ・フレームワーク........................................................ 75（IoT-SSF）

NAME:WRECK.................................... 35, 168, 178
Necro........................................................... 175, 176

ISMAP 管理基準............................................... 148
ISMAP クラウドサービスリスト.........................72, 148

NICTER（Network Incident analysis Center for...... 84, 85, 183
Tactical Emergency Response）

ISO/IEC 27000 ファミリー......................... 135, 136
ISO/IEC JTC 1/SC 27..............................74, 134.................................. 203
NIS 指令（NIS Directive）............ 33, 84, 89
ISP（Internet Services Provider）.................................................................
102
ITSS+

NOTICE（National Operation Towards IoT................................84, 182
Clean Environment）
NUCLEUS:13............................................ 169, 181
NUMBER:JACK................................................ 177

ITU-T（International Telecommunication Union
Telecommunication Standardization Sector：.... 134
国際電気通信連合 電気通信標準化部門）.......... 55
NVD（National Vulnerability Database）

IT 製品の調達におけるセキュリティ要件リスト..... 143

OIT セキュリティ評価及び認証制度（JISEC：Japan Information Technology

OSS の利活用及びそのセキュリティ確保に向けた管理手法に関する事例集..........................75, 193

Security Evaluation and Certification................................................. 143, 146
Scheme）

P

J

PIMS（Privacy Information Management
System：プライバシー情報マネジメントシステム）........................................................................ 141

J-CRAT（Cyber Rescue and Advice Teamagainst targeted attack of Japan：....................................... 80
サイバーレスキュー隊）

PowerShell...................................................21, 167
ProxyLogon............................................... 8, 34, 195

Joint Cyber Defense Collaborative（JCDC）........................................................................ 170

ProxyShell....................................................... 8, 34
Pulse Secure, LLC............................................. 34

JVN iPedia.....................................................35, 55

KR................. 196
RaaS（Ransomware as a Service）
Ransom Disclosure Act................................... 196

KOSEN Security Educational Community......................................................... 111（K-SEC）

Rising Ransomware Threat to Operational
Technology Assets....................................... 169

L
LeetHozer.......................................................... 174247

..........91, 92
暗号鍵管理システム設計指針（基本編）
暗号資産...........................................16, 42, 176, 196

S
SaaS................................................................9, 186

暗号モジュール試験及び認証制度（JCMVP：
Japan Cryptographic Module Validation........................................................ 146
Program）

SCADA（Supervisory Control And Dataシステム
Acquisition：監視制御及びデータ収集）........................................................................ 164

安心相談窓口..................................................39, 45

SECCON........................................................... 110
SECURITY ACTION........................................ 119

一般財団法人日本サイバー犯罪対策センター（JC3：Japan Cybercrime Control Center）.....................................................................13, 89

SHIELDS UP.................................................... 198.............. 39, 41, 89
SMS（Short Message Service）........ 71
インターネットトラブル事例集（2021 年度版）

SMS 認証代行..................................................... 90
Society 5.0.......................................................... 71

インド太平洋地域向け日米 EU 産業制御システムサ
イバーセキュリティウィーク...........................97, 105

Software Bill of Materials

インド太平洋に関する ASEAN アウトルック（AOIP：.....95, 97
ASEAN Outlook on the Indo-Pacific）....................75, 193（SBOM：ソフトウェア部品表）
SolarWinds Worldwide, LLC........................9, 195

インフォデミック.................................................... 205
ウクライナ侵攻........................................ 94, 195, 199

SQL インジェクション.......................... 34, 50, 62, 169

営業秘密........................................................52, 152
エクスプロイトキット................................................. 24

T................... 133
TCG（Trusted Computing Group）............................ 174, 175
Tor（The Onion Router）

エネルギー・リソース・アグリゲーション・ビジネスに関するサイバーセキュリティガイドライン............ 107
遠隔操作ウイルス（RAT：Remote Access.
............................................................
16
Trojan）

U
Ursnif.................................................................... 79

欧州民主主義行動計画（European Democracy..................................................
205
Action Plan）

V

オープンソースソフトウェア........................ 58, 75, 191
オンラインゲーム.................................................. 130

VPN........................................ 14, 16, 22, 33, 73, 116
VPNFilter........................................................... 173

オンライン授業.............................................. 128, 136Wか

WannaCry............................................................ 21
Web 会議.............................................. 85, 108, 187

各府省情報化統括責任者（CIO）
連絡会議........ 146
叶会.................................................................... 106

Web サイト改ざん.............................................11, 59
Wi-Fi 提供者向けセキュリティ対策の手引き......... 86

ガバメントクラウド..............................................72, 86
機器乗っ取り型ウイルス...................................... 173

Wi-Fi 利用者向け簡易マニュアル........................ 86
Windows...................................... 22, 24, 45, 57, 176

機器破壊型ウイルス............................................ 173
機器保護型ウイルス............................................ 173
技術等情報管理認証制度.................................... 77

Z

教育情報セキュリティポリシーに関するガイドライン........................................................................ 121

ZHtrap................................................................ 174

教育ネットワーク情報セキュリティ推進委員会

あ（ISEN：Information Security for Education........................................................ 120
Network）

アイデンティティ管理........................................... 141....... 181
アグリゲーション攻撃（aggregation attack）

業界別サイバーレジリエンス強化演習（CyberREX）........................................................................ 106

アプリ誘導............................................................. 46248

共通鍵暗号......................................................... 155

サイバー情報共有イニシアティブ

共通脆弱性タイプ一覧（CWE：Common............................... 55
Weakness Enumeration）（J-CSIP：Initiative for Cyber Security
Information Sharing Partnership of Japan）.....................................................................27, 78

共通脆弱性評価システム（CVSS：Common.................. 8, 56
Vulnerability Scoring System）

サイバーセキュリティ2021..................... 70, 152, 171
サイバーセキュリティお助け隊サービス............71, 118

緊急事態宣言................................................37, 187
組み込み機器.................................................35, 181

サイバーセキュリティお助け隊サービス基準....76, 118

クラウドサービス................. 17, 39, 121, 143, 148, 186

サイバーセキュリティ関係法令 Q＆A ハンドブック........................................................................ 154

クラウドサービス提供における情報セキュリティ対策
ガイドライン......................................... 84, 191, 193

サイバーセキュリティ経営ガイドライン........ 70, 75, 114

クラウドサービスの安全・信頼性に係る情報開示指針............................................................. 192, 193

サイバーセキュリティ経営ガイドライン Ver2.0 実践のためのプラクティス集....................................70, 75

クラウドサービスの安全性評価に関する検討会... 148

サイバーセキュリティ経営可視化ツール.... 70, 76, 114
サイバーセキュリティ経営戦略コース................... 110

クラウドサービスの安全性評価に関する検討会とりまとめ........................................................... 148, 149

サイバーセキュリティ国際シンポジウム................... 97
サイバーセキュリティ重点施策............................... 87

クラウド・バイ・デフォルト原則............................ 148

サイバーセキュリティ戦略........... 70, 73, 101, 171, 193

クラウドを利用したシステム運用に関するガイダンス...................................................................71, 193

サイバーセキュリティ体制構築・人材確保の手引き............................................................. 76, 77, 102

グループ・ガバナンス・システムに関する実務指針.......................................................................... 70

サイバーフィジカルシステム

クレジットカード......................... 13, 40, 50, 60, 89, 129
クロスサイト・スクリプティング..................... 51, 55, 60............71, 140（CPS：Cyber Physical System）
サイバー・フィジカル・セキュリティ対策基盤......... 71

警察におけるサイバーセキュリティ戦略.................. 87
公開鍵暗号....................................................92, 155

サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF：The Cyber/Physical Security..............................................74, 140
Framework）

攻撃対象領域....................................................... 25
公表判定委員会..............................................59, 61

サブスクリプション詐欺.......................................... 47

小売電気事業者のためのサイバーセキュリティ対策
ガイドライン Ver.1.0........................................... 75

サプライチェーン・サイバーセキュリティ・コンソーシ

国立研究開発法人情報通信研究機構（NICT：

サプライチェーンセキュリティに関する官民を推進する

アム（SC3：Supply Chain Cybersecurity.............................................76, 118
Consortium）

国際標準化活動................................................. 133
National Institute of Information and

国家イニシアティブCommunications Technology）................................................ 73, 84, 91, 111, 182（NIICS：National Initiative for Improving............... 197
Cybersecurity in Supply Chains）

個人情報保護法............................................82, 150
個人情報保護法制 2000 個問題...................... 151

サプライチェーンリスク.....................73, 153, 177, 195
サポート詐欺.......................................................... 45..................... 181
混合キー攻撃（mixed key attack）

産業サイバーセキュリティ研究会........................... 74
産業サイバーセキュリティセンター................. 105, 171...................... 143, 204
コモンクライテリア（共通基準）
コラボレーション・プラットフォーム.......................... 77

産学情報セキュリティ人材育成交流会............... 110
産業競争力強化法等の一部を改正する法律....... 77

さ

三層の対策........................................................... 86

サイドチャネル攻撃.............................................. 155
サイバー・イニシアチブ東京 2021....................... 97

自工会／部工会・サイバーセキュリティガイドライン
2.0 版................................................................ 75..... 106
サイバー危機対応机上演習（CyberCREST）

自治体情報セキュリティクラウド......................86, 189249

シャドー IT.......................................................85, 189
重要 10 項目.................................................75, 114

セキュリティ・キャンプ.......................................... 108
セキュリティガバナンス......................................... 205

重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針..................................... 149

セキュリティ・バイ・デザイン................................. 83
ゼロデイ脆弱性..............................................35, 175

情報セキュリティサービス基準適合サービスリスト.. 78
情報セキュリティサービス審査登録制度...........71, 77

ソーシャルエンジニアリング..................................... 18
組織における内部不正防止ガイドライン.........53, 152......... 107
情報処理安全確保支援士（登録セキスペ）情報セキュリティサービス基準............................... 77

ゼロトラストアーキテクチャ...............................72, 196
戦略マネジメント系セミナー.................................. 106

情報セキュリティサービスに関する審査登録機関基準...................................................................... 77

た

情報セキュリティサービス普及促進に関する検討会.......................................................................... 71

ダーク Web........................................24, 87, 166, 192

情報セキュリティ早期警戒パートナーシップ............ 59
情報セキュリティマネジメント試験......................... 107...91, 155（PQC：Post-Quantum Cryptography）
地域 SECUNITY..........................................76, 118

耐量子計算機暗号

チート行為........................................................... 130

情報セキュリティマネジメントシステム（ISMS：
Information Security Management System）................................................................. 135, 192

地方公共団体における情報セキュリティポリシーに関するガイドライン.............................................. 85

情報漏えい.............................. 9, 20, 49, 52, 120, 153
新型コロナウイルス..... 14, 21, 27, 37, 44, 83, 129, 202

中核人材育成プログラム.............................. 105, 172
中小企業等担当者向けテレワークセキュリティの手............................................ 83
引き（チェックリスト）

侵入型ランサムウェア攻撃................... 21, 23, 25, 26
スマートカード................................................ 143, 204

テイクダウン.............................................. 36, 89, 173
データ利活用..................................................77, 150

スマートシティセキュリティガイドライン（第 2.0 版）.......................................................................... 84
スマートホームの安心・安全に向けたサイバー・フィ

デジタルサービス法（DSA：Digital Services Act）........................................................................ 205

ジカル・セキュリティ対策ガイドライン Ver1.0.......................................................................... 75

デジタル市場法（DMA：Digital Markets Act）........................................................................ 205

制御・運用技術（OT：Operational Technology）........................................................................ 164

デジタル社会の実現に向けた重点計画.........86, 121
デジタル人材育成プラットフォーム..................76, 104

デジタル庁................................... 72, 82, 91, 121, 149.................... 133
デジュール標準（de jure standard）

制御システム（ICS：Industrial Control System）........................................................................ 164
制御システムのセキュリティリスク分析ガイド........ 171
制御システム向けサイバーセキュリティ演習......... 107................... 133
デファクト標準（de facto standard）...........................
14, 18, 21, 33, 52, 58, 153
テレワーク

政府機関等のサイバーセキュリティ対策のための統一基準....................................................72, 143

電気通信事業における個人情報保護に関するガイドライン........................................................ 87

政府機関等のサイバーセキュリティ対策のための統一基準群....................................................... 85

電気通信事業法に基づく端末機器の基準認証に関するガイドライン.............................................. 84

脆弱性................................8, 16, 24, 33, 55, 126, 136

テレワークセキュリティガイドライン.......................... 83

電子署名...........................................31, 83, 146, 155

政府機関等の対策基準策定のためのガイドライン............................................................. 72, 78, 146

東京 2020 オリンピック・パラリンピック競技大会............................................................... 32, 88, 95

政府情報システムのためのセキュリティ評価制度（Information system Security Management

東商サイバーセキュリティコンソーシアム.............. 119

and Assessment Program：通称、ISMAP......................... 72, 78, 143, 148, 192（イスマップ））

特定非営利活動法人日本ネットワークセキュリティ協会（JNSA：Japan Network Security250

.................................................. 110
Association）
ドメインコントローラ............................................23, 24

不正アクセス....................11, 17, 23, 31, 49, 107, 188
不正アプリ................................................ 24, 25, 128

ドライブ・バイ・ダウンロード攻撃........................... 16
トラストサービス...................................................... 83

不正送金.................................................... 12, 73, 89
プラクティス・ナビ................................................. 76

トラストサービス検討ワーキンググループ................. 83

フラグメントキャッシュ攻撃............................. 181（fragment cache attack）
プラス・セキュリティ.................................. 70, 76, 101

なcenter of Incident readiness and Strategy for

プラットフォームサービスに関する研究会................ 83
ふるまい検知................................................ 122, 154

Cybersecurity）......................... 22, 51, 70, 131, 149, 171, 188, 193

プロテクションプロファイル.................... 144, 146, 147

内部不正........................................................52, 152

米国国立標準技術研究所（NIST：National
Institute of Standards and Technology）.....................................55, 133, 146, 155, 170, 195

内閣サイバーセキュリティセンター
（NISC：National

なりすまし.................................................... 27, 31, 83
二重恐喝............................................................... 13

ベストレポーター賞................................................. 61
ボットネット................................................. 32, 36, 175

二重の脅迫......................................................13, 22
偽警告................................................................... 45

ま偽セキュリティソフト................................................ 45
偽のセキュリティ警告............................................. 45

マクロ機能............................................................. 38........................................ 105
マナビ DX（デラックス）

日・ASEAN サイバーセキュリティ政策会議.......... 97
日 ASEAN 首脳会議............................................ 96

みんなで使おうサイバーセキュリティ・ポータルサイト.......................................................................... 71

日 EU 定期首脳協議............................................ 96
日英サイバー協議.................................................. 96ら

日エストニア・サイバー協議................................... 96
日米安全保障協議委員会..................................... 96

ランサムウェア............ 8, 9, 13, 21, 123, 165, 171, 177
リフレクション攻撃.................................................. 32

日米豪印首脳会合................................................ 95
日米首脳会談........................................................ 96

リモートデスクトップサービス........................ 22, 23, 25
ローカル 5G........................................................... 82

ニューノーマル..................................................... 153

ロックダウン............................................... 31, 94, 202

はバイオメ
トリクス.................................................... 142
パスワード設定..................................................... 124

ハニーポット......................................................... 174
ばらまき型メール............................... 21, 24, 36, 38, 79
ビジネスメール詐欺（BEC：Business Email.
Compromise）.............................. 26, 30, 79, 125
ビッグデータ......................................................... 139
人手によるランサムウェア攻撃.............................. 21

標的型攻撃................................. 16, 34, 78, 125, 195
標的型サイバー攻撃特別相談窓口...................... 80

ファイルの誤った公開............................................ 62
ファイルレスマルウェア......................................16, 21

フィッシング....................................... 9, 11, 26, 31, 125
フェイクニュース............................................ 199, 205....................... 133
フォーラム標準（forum standard）

251

MEMO

252

MEMO

253

おわりに
2021年度もコロナ禍が継続し、厳しい制限はありましたが、東京と北京のオリンピック・パラリンピック競技大会
は無事開催され、大規模なサイバー攻撃被害もありませんでした。その一方で、ランサムウェア、
フィッシング等の攻撃はより巧妙になりました。 テレワークや生活のデジタル化の進展により、攻撃被害はより深刻になることが懸念されます。
更に2022年にはいり、ウクライナ危機という新しい脅威が出現し、武力だけでなく情報の戦いが前面に出て、紛争当事者ではない組織や個人がサイバー攻撃や情報の混乱に巻き込まれる、というリスクが顕在化しました。このリスクには虚偽の情報による混乱が含まれますが、3章の個別テーマ「3.4 米国・欧州の情報セキュリ
ティ政策」で丁寧に解説しました。
本白書のサブタイトルは「ゆらぐ常識、強まる脅威：想定外にたちむかえ」としました。これまで想定できなかった大きな環境変化においてもリスク管理の基本を見失わず、連携して対処していこうという思いを込めています。
本白書は多岐にわたるサイバーセキュリティに関する国内外の事象や動向を調査・分析し、分かりやすい解説を心掛け、IPA職員だけでなく外部有識者の協力を得て作成しています。また、IPAのWebサイトからPDF
版が無料でダウンロードいただけます。 冊子、PDF版ともに、皆さまのサイバーセキュリティ対策の検討・実践の一助となれば幸いです。
編集子

254

著作・製作独立行政法人情報処理推進機構（IPA）

編集責任

瓜生 和久

小川 隆一

小山 明美

白石 歩

佐川 陽一

伊藤 吉史

小川 隆一

神田 雅透

小山 明美

島田 毅

白石 歩

西尾 秀一

松坂 志

山里 拓己

赤木 伸悟

荒牧 慧

板垣 寛二

伊藤 彰朗

江島 将和

大島 尚

大友 更紗

奥田 美幸

小幡 宗宏

甲斐 成樹

亀田 恭史

亀山 友彦

河合 真吾

木村 泰介

栗原 史泰

黒岩 俊二

佐伯 稔

佐川 陽一

佐藤 栄城

柴本 憲一

竹内 俊輝

武智 洋

田島 威史

田村 智和

丹野 菜美

近澤 武

辻 宏郷

中島 尚樹

野村 春佳

橋本 徹

長谷川 智香

平尾 謙次

福岡 尊

福原 聡

冨士 愛恵里

松島 伸彰

松田 琳花

宮本 一弘

宮本 冬美

森 淳子

安田 進

横山 美晴

吉野 和博

與那嶺 崇

渡邉 祥樹

藁科 綾子

涌田 明夫

執筆者

IPA

株式会社日立製作所

相羽 律子

国立研究開発法人情報通信研究機構 中尾 康二
一般社団法人 JPCERT コーディネーションセンター 米澤 詩歩乃
情報規格調査会 JTC 1 ／ SC 27 ／ WG 5 小委員会
協力者

IPA
加賀谷 伸一郎

桑名 利幸

田口 聡

日向 英俊

前田 祐子

松井 洋二

松田 修平

渡辺 貴仁

石田 淳一

板橋 博之

伊藤 博康

内海 百葉

川﨑 宏

塩田 英二

土屋 正

遠山 真

西原 栄太郎

一般社団法人 JPCERT コーディネーションセンター 江田 佳領子
長崎県立大学島 成佳

三井物産セキュアディレクション株式会社

増田 聖一

経済産業省商務情報政策局サイバーセキュリティ課
経済産業省貿易経済協力局安全保障貿易管理課

255

・本白書は著作権法上の保護を受けています。
・本白書よりの引用、転載については、IPA Web サイトの「よくある質問と回答」（https://www.ipa.go.jp/
sec/qa/index.html）に掲載されている「著作権および出版権等について」をご参照ください。なお、出典
元が IPA 以外の場合、当該出典元の許諾が必要となる場合があります。
・本白書は 2021 年度の出来事を主な対象とし、執筆時点の情報に基づいて記載しています。
・電話によるご質問、及び本白書に記載されている内容以外のご質問には一切お答えできません。
あらかじめご了承ください。
・本白書に記載されている会社名、製品名、及びサービス名は、それぞれ各社の商標または登録商標です。
本文中では、TM またはR マークは明記しておりません。
・本白書に掲載しているグラフ内の数値の合計は、小数点以下の端数処理により、100% にならない場合があります。

情報セキュリティ白書 2022
ゆらぐ常識、強まる脅威：想定外にたちむかえ
2022 年 7 月 15 日 第 1 版発行

企画・著作・制作・発行

独立行政法人情報処理推進機構（IPA）〒 113-6591
東京都文京区本駒込２丁目 28 番８号
文京グリーンコートセンターオフィス 16 階
URL

https://www.ipa.go.jp/

電話03-5978-7503

E-Mail spd-book@ipa.go.jp

表紙デザイン／
本文 DTP・編集

伊藤 千絵、久磨 公治、涌田 明夫、北林 俊平

Copyright © 2022 Information-technology Promotion Agency, Japan.