資料２

サイバーセキュリティ対策を強化するための監査に係る基本方針について

資料２－１ サイバーセキュリティ対策を強化するための監査に係る基本方針について※資料２－２ サイバーセキュリティ対策を強化するための監査に係る基本方針（案）※は、サイバーセキュリティ戦略本部決定案。

資料２－１

サイバーセキュリティ対策を強化するための監査に係る基本方針についてサイバーセキュリティ対策を強化するための監査に係る基本方針（案）
１ 監査の目的
サイバーセキュリティに関する施策を総合的かつ効果的に推進するため、対策強化のための自律的かつ継続的な改善機構であるＰＤＣＡサイクルが継続的かつ有効に機能するよう助言し、対策の効果的な強化を図る。
２ 監査の対象
国の行政機関 ※独立行政法人については、当面、特に必要があると認める場合に監査の対象とする。
３ 監査の基本的な方向性

４ 監査の実施内容
マネジメント監査 質問、閲覧、点検等(1) 助言型監査 有益な助言を行う。
 グッドプラクティスを共有。
(2) 第三者的視点からの監査 内部監査とは独立した監査を実施。
(3) 各機関の状況を踏まえた監査 実施状況、体制の整備状況等を踏まえ、監査を実施。
 発展段階に応じて、監査の内容も段階的に発展。
(4) サイバーセキュリティに関する情勢を踏まえた監査テーマの選定
 重要性・緊急性・リスクの高いものから監査テーマを適切に選定。

(1) マネジメント監査 国際規格において基本的な考え方である組織全体としてのＰＤＣＡサイクルが有効に機能しているかとの観点から検証する。
 対策を強化するための体制等の整備状況を検証し、改善のために必要な助言等を行う。
(2) ペネトレーションテスト
 疑似的な攻撃を実施することによって、サイバーセキュリティ対策の状況を検証し、改善のために必要な助言等を行う。

Plan
ポリシー、計画等の策定
Ac t
ポリシー、計画等の見直し

ＮＩＳＣ

Do
ポリシー、計画等
対策の実施

Check

自己点検、自らの機関による監査

ペネトレー
ションテスト

実際の攻撃手法を研究し、実施
ＮＩＳＣ

イ ンターネット
ファ イアウォール

DMZ

内部ネットワーク

５ 監査の進め方 ※監査事務については、内閣サイバーセキュリティセンターが実施する。
(1) 監査方針の策定
 年度ごとの監査の基本的な考え方を含む年度監査方針を、年次計画の一部として策定。

(2) 監査の実施
 必要に応じて外部専門家が協力。
 過年度の監査実施結果のう
ち重要な事項については、改善状況を継続的にフォローアップ。

(3) 個別の監査実施結果の通知
 監査実施結果を、各機関の最高情報セキュリティ責任者（ＣＩＳＯ）へ通知。
 各機関は、速やかに必要な改善を実施又は改善計画を策定し、改善結果又は計画を報告。

(4) 監査実施結果の取りまとめ・報告 サイバーセキュリティの特性を踏まえ、攻撃者を利することのないよう配慮しつつ、当該年度に実施した監査の結果を取りまとめ。
 サイバーセキュリティ戦略本部に報告。
１

監査の進め方内閣サイバーセキュリティセンター（NISC）

各機関
監査・フォローアップの実施(2) 監査の実施

監査方針の指示(1) 監査方針の策定
年次計画

個別の監査実施結果（助言を含む。）の通知

監査実施結果サイバーセキュリティ戦略本部(3) 個別の監査実施結果の通知

改善結果又は改善計画の報告(4) 監査実施結果のとりまとめ・報告

監査実施
結果

監査実施結果の報告

今後のスケジュール2016年度以降制度の確立（試行実施を含む。）

本格実施に順次移行

実施

見した場合、速やかに通知して改善・ 対処すべき脆弱性を発見した場合、速やかに通知
して改善報告・ 対処すべき脆弱性を発実施
報告(2) ペネトレーション
テスト

・ 本格実施・ 改善のための助言

報告

・ 試行実施・ 改善のための助言

実施要領
決定

基本方針決定(1) マネジメント監査2015年度２

資料２－２
サイバーセキュリティ対策を強化するための監査に係る基本方針
平 成 2 7 年 ○ 月 ○ ○ 日
サイバーセキュリティ戦略本部決定案
サイバーセキュリティ基本法（平成 26 年法律第 104 号）第 25 条第１項第２号の規定に基づきサイバーセキュリティ戦略本部（以下「戦略本部」という。）がつかさどる事務のうち、監査について、その実施のための基本方針を以下のとおり定める。
１

監査の目的本監査は、戦略本部がサイバーセキュリティに関する施策を総合的かつ効果的に推進するため、国の行政機関及び独立行政法人（以下「行政機関等」という。）のサイバーセキュリティ対策に関する現状を適切に把握した上で、行政機関等において対策強化のための自律的かつ継続的な改善機構であるＰＤＣＡサイクルの構築、及び必要なサイバーセキュリティ対策の実施を支援するとともに、当該ＰＤＣＡサイクルが継続的かつ有効に機能するよう助言することによって、行政機関等におけるサイバーセキュリティ対策の効果的な強化を図ることを目的とする。

２

監査の対象
国の行政機関、すなわち、法律の規定に基づき内閣に置かれる機関、内閣の所轄の下に置かれる機関、宮内庁、内閣府設置法（平成 11 年法律第 89 号）第49 条第１項及び第２項に規定する機関、国家行政組織法（昭和 23 年法律第 120号）第３条第２項に規定する機関並びにこれらに置かれる機関を監査の対象とする。
なお、独立行政法人については、当面、特に必要があると認める場合に監査の対象とする。

３

監査の基本的な方向性(1) 助言型監査
サイバーセキュリティ対策は、技術や環境の変化に応じて、段階的に実施内容の向上を図ることが重要であるため、監査をそのためのモニタリング機能として位置づけることが有効である。このことを踏まえて、本監査
は、被監査主体である行政機関等がサイバーセキュリティ対策を強化する上で有益な助言を行うことを目的とする「助言型監査」を志向する。

1

また、行政機関等のサイバーセキュリティ対策を全体的に強化するため、それぞれの行政機関等（以下「各機関」という。）が実施している優れた取組（グッドプラクティス）については、他の各機関におけるサイバーセキ
ュリティ対策の強化に資するよう、それらの取組を適切に共有するとともに、サイバーセキュリティ対策を強化する観点からの監査の必要性、有効性について、各機関がより深い理解を得られるよう、丁寧な説明を行う。
(2) 第三者的視点からの監査監査の客観性、専門性等を確保することを目的として、各機関で実施している内部監査とは独立した、第三者的視点から監査を実施する。
(3) 各機関の状況を踏まえた監査
各機関のサイバーセキュリティ対策の実施状況、体制の整備状況等を踏
まえ、各機関におけるサイバーセキュリティ対策に係る課題等について対話し、相互認識と信頼関係を深めるよう努めるとともに、各機関における監査の実施方法を双方協議の上、決定する。
また、各機関におけるサイバーセキュリティ対策の推進体制の発展段階に応じて、監査の内容も段階的に発展させていくよう配慮する。
(4) サイバーセキュリティに関する情勢を踏まえた監査テーマの選定
我が国を取り巻くサイバーセキュリティに関する情勢を踏まえて、行政機関等のサイバーセキュリティ対策において、より重要性・緊急性・リスクの高いものから監査テーマを適切に選定する。
４

監査の実施内容(1) マネジメント監査「政府機関の情報セキュリティ対策のための統一基準群」等に基づく施策の取組状況について、国際規格において基本的な考え方である組織全体としてのＰＤＣＡサイクルが有効に機能しているかとの観点から、関係者への質問、資料の閲覧、情報システムの点検等により検証し、改善のために必要な助言等を行う。
また、サイバーセキュリティ対策を強化するための体制等の整備状況についても検証し、改善のために必要な助言等を行う。
なお、上記の検証の一環として、各機関がサイバーセキュリティに係るポリシー等において定めたサイバーセキュリティ対策を適切に実施しているか検証する。
(2) ペネトレーションテスト
インターネットに接続されている情報システムについて、疑似的な攻撃を実施することによって、実際に情報システムに侵入できるかどうかの観2

点から、サイバーセキュリティ対策の状況を検証し、改善のために必要な助言等を行う。
なお、インターネットとの境界を突破できた場合を仮定して、内部ネットワークについても、サイバーセキュリティ対策上の問題を検証し、改善のために必要な助言等を行う。
５

監査の進め方(1) 監査方針の策定
本基本方針を踏まえ、年度ごとの監査の基本的な考え方、前述の監査テーマを含む年度監査方針を、サイバーセキュリティ戦略を実施するために戦略本部が決定する年次計画の一部として策定する。
(2) 監査の実施(1)の年度ごとに策定する監査方針に基づいて、監査を実施する。監査の実施に当たっては、必要に応じて外部の専門家の協力を得る。
また、過年度の監査実施結果のうち重要な事項については、その改善状況を継続的にフォローアップする。
(3) 個別の監査実施結果の通知
個別の監査実施結果については、改善のために必要な助言等を含めて、各機関の最高情報セキュリティ責任者（ＣＩＳＯ）へ通知する。
なお、重要な事項については、改善策の提案を含めて通知する。
通知を受けた各機関は、速やかに必要な改善を実施又は改善計画を策定し、改善結果又は改善計画を報告するものとする。
(4) 監査実施結果の取りまとめ・報告
サイバーセキュリティの特性を踏まえ、攻撃者を利することにならないよう配慮した形で、当該年度に実施した監査の結果を取りまとめる。戦略本部は、当該結果について、報告を受ける。
(5) 監査事務の処理
以上の監査事務については、内閣サイバーセキュリティセンターに実施させる。

3