資料4

2007年度における分野横断的演習及び相互依存性解析の枠組み及び進め方について（案）2007年6月19日
内閣官房情報セキュリティセンター（NISC）

0

目

次

1. 「分野横断的演習」及び「相互依存性解析」の概要
・ 「分野横断的演習」及び「相互依存性解析」の概要について
・ 分野横断的演習及び相互依存解析の背景と期待される成果

2. 2007年度の取組み

・ 2007年度の取組みに向けた基本的視点
・ 2007年度における分野横断的演習と相互依存性解析の進め方
・ 2007年度における分野横断的演習及び相互依存性解析の検討体制
・ 2007年度における分野横断的演習、相互依存性解析の進め方（参考） 2006年度における分野横断的演習及び相互依存性解析の取組み
・ 「分野横断的演習」と「相互依存性解析」のアプローチの基本構造
・ 2006年度の取組み ～方法論（Methodology）の特徴～
・ 2006年度における分野横断的演習と相互依存性解析を踏まえた今後の取組みのポイント等
・ 分野横断的演習と相互依存性解析を踏まえた今後の取組みの方向性（1）・ 分野横断的演習と相互依存性解析を踏まえた今後の取組みの方向性（2）11. 「分野横断的演習」及び「相互依存性解析」の概要

2

「分野横断的演習」及び「相互依存性解析」の概要について○○ IT障害から重要インフラを防護するための全体計画として「重要インフラの情報セキュリティ対策に係る行動計画」を策定
IT障害から重要インフラを防護するための全体計画として「重要インフラの情報セキュリティ対策に係る行動計画」を策定（2005年12月13日情報セキュリティ政策会議決定）。
（2005年12月13日情報セキュリティ政策会議決定）。
○
及び「相互依存性解析」については、2007年度は、共通/分野ごとの演習シナリオに基づ○ このうち、このうち、「分野横断的演習」「分野横断的演習」
及び「相互依存性解析」については、2007年度は、共通/分野ごとの演習シナリオに基づ
（※1）
（※1）
を実施し、技術及び組織運営上の課題事項を検証するとともに、相互依存性解析を実施して、脅威の類く「機能演習」を実施し、技術及び組織運営上の課題事項を検証するとともに、相互依存性解析を実施して、脅威の類く「機能演習」
型や脅威と障害の因果関係、障害と事業継続の関係などについての検討の深化等を図り、動的解析を実施方法から検討型や脅威と障害の因果関係、障害と事業継続の関係などについての検討の深化等を図り、動的解析を実施方法から検討し実施する。
し実施する。
○○ 2007年度においては、行動計画を踏まえた具体的な検討のため、内閣官房情報セキュリティセンターに検討会を設置し、2007年度においては、行動計画を踏まえた具体的な検討のため、内閣官房情報セキュリティセンターに検討会を設置し、（※2）
重要インフラ所管省庁、重要インフラ事業者、CEPTOAR等の協力を得つつ実施。検討会は、それぞれ専門的識見
重要インフラ所管省庁、重要インフラ事業者、CEPTOAR等の協力を得つつ実施。検討会は、それぞれ専門的識見（※2）をを有する有識者（6～7名）、重要インフラ所管省庁、重要インフラ事業者、CEPTOAR等により構成。
有する有識者（6～7名）、重要インフラ所管省庁、重要インフラ事業者、CEPTOAR等により構成。

重要インフラの情報セキュリティ対策に係る行動計画（2005年
2005年12月
12月13日情報セキュリティ政策会議決定）
13日情報セキュリティ政策会議決定）【４つの柱】
1. 「安全基準等」の整備
2. 情報共有体制の構築(1) 官民の情報提供・連絡(2) CEPTOAR(3) CEPTOAR-Council
3. 相互依存性解析の実施
4. 分野横断的演習の実施（※1） 実際の組織の指示判断系統機能を用いて模擬的に検証するための演習。
（※2） 分野横断的演習検討会については、演習コーディネーター、防災、危機管理、リスクマネジメン
ト、BCP、複数の分野におけるシステムや機能に知見を有する研究者・専門家等。相互依存性解析
検討会については、相互依存性解析、複数の分野におけるシステムや機能に知見を有する研究者・専門家等、BCP等の研究者・専門家等。

相互依存性解析の実施
国内外の脅威の類型や脅威と障害の因果関係、障害と事業継続との関係などについての検国内外の脅威の類型や脅威と障害の因果関係、障害と事業継続との関係などについての検討の深化や演習シナリオへの反映を行うとともに、重要インフラにおける障害発生から波及・拡討の深化や演習シナリオへの反映を行うとともに、重要インフラにおける障害発生から波及・拡大という連鎖的な伝播プロセスを動的に把握する動的依存性解析を推進する。なお、実施にあ大という連鎖的な伝播プロセスを動的に把握する動的依存性解析を推進する。なお、実施にあたっては、実施方法について十分に検討を行う。(SJ2007）
たっては、実施方法について十分に検討を行う。(SJ2007）

分野横断的演習の実施
重要インフラ所管省庁、各重要インフラ事業者等及び各重要インフラ分野のCEPTOAR等の重要インフラ所管省庁、各重要インフラ事業者等及び各重要インフラ分野のCEPTOAR等の協力を得て、相互依存性解析の知見を踏まえつつ、想定される具体的な脅威シナリオの類型を協力を得て、相互依存性解析の知見を踏まえつつ、想定される具体的な脅威シナリオの類型をもとにテーマを設定し、分野横断的な機能演習を実施する。（SJ2007）
もとにテーマを設定し、分野横断的な機能演習を実施する。（SJ2007）3

分野横断的演習及び相互依存解析の背景と期待される成果
IT化の一層の進展

ITに関連する国民ニーズの増大

ネットワーク型社会の脆弱性の顕在化

・ユビキタスネットワーク型社会の実現
・世界最先端のIT国家としての取組みの推進
・21世紀に克服すべき社会的課題解決への貢献

・「安全」「安心」「信頼」できる社会の実現へのニーズの増大
・企業における社会的責任への関心の高まり・社会的影響の大きい事業への的確な対処への要請

・サプライチェーンマネージメント、企業間EDIやアウトソーシングなどの進展
・事業継続（BCP）への意識の高まり、企業のリスクマネジメントの取組みの進展
・関係主体のパートナーシップによる対処の必要性

ＩＴ障害の特徴等

ＩＴを巡る状況の変化① ITの利活用の進展や依存関係の増大の中で、自分野のみならず他分野への障害波及の可能性が増大。一方、障害発生のメカニズムや分野間での接続関係が未解明であり、相互依存関係の解析が必要。また、他分野の対応状況が不明の面あり。

① 重要インフラの業務・オペレーションの多様化とIT依存の増加② 重要インフラ分野における社会的に影響が大きいIT障害の発生③ アウトソーシングや外部委託等の連携の多様化の進展、自動化・リモートコントロール化、ブラックボックス化などのシステムの多様化・複雑化、障害発生時の復旧の長時間化④ 重要インフラによるサービス提供構造において、多様なＩＴ技術や運用方法の活用の進展やビジネス環境の変化等により、基本設計時の想定と、現在の実際の運用上の潜在リスクとの乖離の可能性（技術構成、パッケージ化、自動化等）⑤ ネットワーク型オペレーション（電子ネットワークや重要インフラ間サプライ・チェーン）の進行により他重要インフラにおける脆弱性の連鎖の可能性② IT障害は、データの高速・リアルタイム処理の進展により、被害の波及スピードが高速化するとともに、分野や地域を越えて広範囲に波及し、被害規模が短時間に拡大する可能性。
③ 事案発生の初動段階で原因究明が困難であり、また原因究明に時間を要することが多く、その中でも、状況に応じた情報交換や初動対応が重要。
④ コンピュータウイルスやＤｏＳ攻撃など、攻撃が低コストかつ容易化。また、共通製品の不具合の広範囲に渡る影響波及など、これまでには考えられなかった障害の発生や波及が想定。

⑤ これまで分野横断的な演習や相互依存性解析の経験が乏しい一方、IT技術の発展やIT利活用の進展など状況は常に変化しており、想定外の事態の発生等も想定されるので、的確な対応が必要。

⑥ IT技術そのものの発展や、運用方法の多様化に伴う複合的なリスク増加の可能性

IT化の今後の動向
・IT技術自体の進展

・運用方法の多様化

・複合的なリスクの増加

国民生活や社会経済活動を支える重要インフラ基盤の確立
・IT障害の波及メカニズムの解明（相互依存性解析）や具体的脅威シナリオをもとにした演習（分野横断的演習）の実施による情報セキュリティレベルの一層の向上
・分野横断的演習、相互依存性解析を2006年度から段階的に実施し、2007年度からは本格稼働レベルで情報セキュリティ対策を推進
依存関係、想定課題の検証

分野横断的演習

相互依存性解析
IT障害に焦点をあて、想定される脅威や障害の波及、伝搬メカニズムを把握・分析
2006年度:静的解析 ⇒ 2007年度以降:動的解析

想定される具体的脅威シナリオの類型をもとに、毎年度テーマを設定し、演習を実施
2006年度:研究的演習・机上演習（会議形式） ⇒ 2007年度以降:機能演習

想定脅威、シナリオ設定のための知見提供期待される成果

1. IT障害対応の課題発見、想定脅
威や波及メカニズム解明等による「求められる対策」に関する共通認識の醸成
・分野間での協調・連携対応の必要性や有効性等についての相互認識による基礎的環境の整備
・他分野の対応把握を通じた自分野対策の強化

2. 「官民連携の仕組みづくりや実効性向上への寄与」

3. 「安全基準」「事業継続計画」等の対策の策定・見直しへの寄与

・官民の連絡・連携や情報共有体制づくりの推進
・今後のITの発展・運用方法の多様化を見据えたリスクや課題の発見
・各重要インフラを中心とする関係業界も含めた自発的な取組みの推進

・各分野における依存関係の相互認識、他分野から期待される事項の認識等を通じた意識啓発
・基準・計画等のレベル向上と「想定外」領域の縮小
・各分野におけるレベルアップ、他分野の対応状況把握による自分野の相応の対応力強化

4. 行動計画の検証などを通じた総合的な対策推進への寄与
・行動計画の実効性の検証などを通じた情報セキュリティ
基盤の強化
・関係主体間で協調・連携した自律的かつ継続的取り組
みの推進・関係主体での危機管理のマネジメント・レベルの向上

4

2. 2007年度の取組み

52007年度の取組みに向けた基本的視点

1.
1. 2006年度は、「官民や分野横断的な連絡・連携、情報共有の2006年度は、「官民や分野横断的な連絡・連携、情報共有の仕組みづくりとその実効性の向上に資する」観点から、演習と解仕組みづくりとその実効性の向上に資する」観点から、演習と解析を実施。
析を実施。
2.
2. 2007年度は、2007年度は、 「官民や分野横断的な連絡・連携、情報共有の「官民や分野横断的な連絡・連携、情報共有の機能向上に資する」ため、機能演習と相互依存性解析の目標や機能向上に資する」ため、機能演習と相互依存性解析の目標や意義を設定。
意義を設定。
（例）・ 重要インフラサービスの安定的供給や事業継続に資する分野横断的視点からの知見提供
・ IT障害の特徴を踏まえた組織運営上・技術上具体的課題事項への知見提供
・ 情報セキュリティ対策に関する継続的、戦略的対応への知見提供 等

62007年度における分野横断的演習と相互依存性解析の進め方＜2006年度＞

分野横断的演習＜Collaborationづくり＞～官民連携の仕組みづくりに資する取組み～＜Communicationの検証・向上＞～官民連携の枠組みの実効性向上のための取組み～＜Functionの検証・向上＞～官民連携体制の機能向上のための取組み～

研究的演習
演習実施の概念、演習課題の設定及び演習手法の理解等を主眼とした演習の実施により、机上演習に向けたシナリオづくり等を行うとともに、官民連携の体制づくりへ寄与

机上演習
演習参加者が、１つのシナリオを基に会議形式で課題討議を行いながら実施し、官民の情報共有等の検証や課題の抽出などを通じて、官民連携の枠組みの実効性向上に寄与機能的演習
各CEPTOARの整備後、共通／分野ごとの演習シナリオに基づき実施し、組織運営上及び技術上の課題事項を検証し、官民連携体制の機能的向上に寄与

想定脅威、シナリオ想定のための知見提供

相互依存性解析期待される成果＜2007年度以降＞

課題の検証等を通じた次のス
テップでの解析の視点等提供

静的解析
重要インフラに発生しうる脅威、重要インフラにおける障害発生や復旧に係る分野間の関係を定性的に把握

1. IT障害対応の課題発見、想定脅
威や波及メカニズム解明等による「求められる対策」に関する共通認識の醸成
・分野間での協調・連携対応の必要性や有効性等についての相互認識による基礎的環境の整備
・他分野の対応把握を通じた自分野対策の強化

動的解析
重要インフラにおける動的・障害要因の連鎖的伝搬を時系列的・定量的に把握

2. 「官民連携の仕組みづくりや実効性向上への寄与」

3. 「安全基準」「事業継続計画」等の対策の策定・見直しへの寄与

・官民の連絡・連携や情報共有体制づくりの推進
・今後のITの発展・運用方法の多様化を見据えたリスクや課題の発見
・各重要インフラを中心とする関係業界も含めた自発的な取組みの推進

・各分野における依存関係の相互認識、他分野から期待される事項の認識等を通じた意識啓発
・基準・計画等のレベル向上と「想定外」領域の縮小
・各分野におけるレベルアップ、他分野の対応状況把握による自分野の相応の対応力強化

4. 行動計画の検証などを通じた総合的な対策推進への寄与
・行動計画の実効性の検証などを通じた情報セキュリティ
基盤の強化
・関係主体間で協調・連携した自律的かつ継続的取り組
みの推進・関係主体での危機管理のマネジメント・レベルの向上

7

2007年度における分野横断的演習及び相互依存性解析の検討体制
情報セキュリティ政策会議
報告

重要インフラ専門委員会
報告

内閣官房情報セキュリティセンターに検討会を設置し、重要インフラ所管省庁、重要インフラ事業者、（※）
CEPTOAR等の協力を得つつ実施。検討会は、それぞれ専門的識見 を有する有識者（6～7名）、重要インフラ所管省庁、重要インフラ事業者、CEPTOAR等により構成。
分野横断的演習検討会

相互依存性解析検討会○ 重要インフラ所管省庁、重要インフラ事業者等、各CEPTOAR等、有識者により構成○ 分野横断的演習の企画・実施・とりまとめ等の総括○ 重要インフラ所管省庁、重要インフラ事業者等、各CEPTOAR等、有識者により構成○ 相互依存性解析の企画・実施・とりまとめ等の総括機能演習実施WG

相互依存性解析・検討WG○ 機能演習の企画・シナリオ策定○ 機能演習の実施と、とりまとめ 等○ 相互依存関係に関する関係者からのヒアリン
グ等の実施・とりまとめ○ 動的解析の実施方法の検討・実施（注１） 分野横断的演習検討会については、演習コーディネーター、防災、危機管理、リスクマネジメント、BCP、複数の分野におけるシステムや機能に知見を有する研究者・専門家等。相互依存性解析検討会については、相互依存性解析、複数の分野におけるシステムや機能に知見を有する研究者・専門家等、BCP等の研究者・専門家等。（p3再掲）（注２）ＷＧにおいては、枠内の項目について実務的な検討や作業を行い、検討会において、そのとりまとめ作業を踏まえて審議を行いつつ、進めていく。

82007年度における分野横断的演習、相互依存性解析の進め方
2007年度
1Q
4月

6月

7月

3Q

8月

9月

10月

11月

4Q
12月

「機能演習」の企画・検討

1月

2月
演習実施

分野横断的演習の実施

5月

2Q

3月

とりまとめ

分野横断的演習検討会

シナリオへの反映 / 解析への課題提供等（随時）

相互依存性解析の実施

それぞれの総括への反映

相互依存性解析の実施
相互依存性解析検討会

重要インフラ専
門委員会における検討

重要インフラ専門委員会（6月）・ 重要インフラ対策の今後の進め方
・ 分野横断的演習及び相互依存性解析の取組み方針等

重要インフラ専門委員会（秋）・ 分野横断的演習及び相互依存性解析の取組み状況

重要インフラ専門委員会（冬～春）・ 分野横断的演習、相互依存性解析の2007年度の取組みのまとめ
・ その他

9（参考）
2006年度における分野横断的演習及び相互依存性解析の取組み10「分野横断的演習」と「相互依存性解析」のアプローチの基本構造(1)「社会環境・ニーズの変化の理解」と「対応に関する共通意識の醸成」［環境整備］① ITを巡る環境の変化、情報システムやIT障害、同対策の特徴をどのように理解するか。
② 「演習」「解析」の意義や重要性をどう考えるか。手法やフレームワークの理解をどう深めていくか。

(2)「期待する成果」「目指す目標」と手段との関係［PLAN］① 2006年度における「Collaborationづくり」「Communicationの向上」のため、どう取り組んでいくか。
② 机上演習における検証課題やシナリオ設定、静的解析の進め方などの基本設計をどのように行うか。

(3)対応の方向性とアプローチ［DO］① 検証課題・設定シナリオの下に、机上演習をどのように企画・実施していくか。
② 静的解析における定性的把握、可視化・構造化等をどのように進めていくか。

(4)本年度の総括と次のステップに向けた課題等の整理［SEE］① 「演習」と「解析」をどのように総括し、課題を抽出していくか。
② 次のステップや今後のスパイラルアップに向けて、「演習」と「解析」にどのように反映させていくか。

11

2006年度の取組み ～方法論（Methodology）の特徴～
・ 本年度の目的に沿った検証課題を設定し、また、ヒアリング調査や事例分析を通じた相互依存性解析の結果を、演習で実証するという手法により、本年度のアウトプットを導出するというアプローチを実施。このアプローチにより、解析と演習をリンクさせつつ、アウトプットを導出。
・ セミナー形式からはじめ、共通認識を形成するステップから検討を重ね、年度内でも「Plan-Do-See」のサイクルにより、関係者の理解の増進に寄与しつつ、実施。
・ 目的と成果との関係を見据えつつ、アプローチの全体像と個々の取り組みを意識しつつ進めることにより、目的意識を明確にしながら、実施。
・ 各分野の状況把握、他分野に期待することについてのヒアリングなどを通じ、個別の分野でのアプローチでは見出しえない「分野横断的に必要な取組み」を発見・整理。
・ 段階的に進めていくアプローチをとり、演習・解析とも、研究的な段階からスタートしたが、課題の発見を通じ、次のステップへの道筋を導出。

12

2006年度における分野横断的演習と相互依存性解析を踏まえた今後の取組みのポイント等＜今後の取組みのポイント＞（コミュニケーションの強化による緊急時対応能力の向上）

1. 分野を超えたＩＴ障害に関する情報連絡・共有プラットフォーム機能の基盤づくりの検討・取組み
・ 「IT障害発生や復旧に関する状況」等につき、情報連絡・共有が有効に機能する基盤づくりの検討・取組みと、防災などの既存の仕組みとの整合のとれた対応
・ タイムリーな情報共有の観点から、オープンな情報共有のあり方の検討・工夫（ＩＴ障害に対する総合力の強化）

2. 「安全基準等の指針」の見直し、安全基準等や事業継続計画などへの知見の提供
・ 安全基準等の指針、安全基準等、事業継続計画、関連規定のより効果的な運用や見直し等への知見の提供
・ ＩＴシステムの運用に電力、通信、水が重要なリソースであることを踏まえ、より効果的な対応への知見の提供（ＩＴ障害対応に関する平時からの対応強化）

3. 情報共有の重要性等に関する共通認識醸成、効果的事例など知見の共有や演習の継続的実施
・ 情報共有の重要性に関する共通認識醸成、平時からのコミュニケーションづくりや効果的事例などの知見の共有
・ 多様な脅威や状況を想定した分野横断的演習の実施や防災訓練等との連携＜目指す方向性＞
国民生活や社会経済活動を支える重要インフラ基盤確立に向けたスパイラルアップ
・サプライチェーンの進展などの中、関係者間でのリスクに関するコミュニケーションの向上
・「自助」のみならず「共助」の考え方を進めることによる、社会のリジリエンシーの向上
13分野横断的演習と相互依存性解析を踏まえた今後の取組みの方向性（1）重要インフラを巡る状況
・IT技術の進展、ネットワーク型オペレーションの進行、運用方法の多様化などの中、国民生活・社会経済活動の基盤となる重要インフラへの想定脅威が拡大。また想定外の脅威、複合的リスクの出現の可能性
・重要インフラ間の相互依存性の増大により、連携・協力すべき主体の範囲は飛躍的に拡大。

（取組み）
連絡・協力すべき主体拡大の中、分野を超えた情報共有や連絡・連携体制構築の必要性

ＩＴ障害の未然防止、発生時の拡大防止・迅速な復旧、再発防止という各側面における等の対応の必要性

情報システムの高度化・複雑化の中、波及のメカニズム等を解析しつつ、重要インフラのサービス提供の安定供給に資することの必要性（今後の取組みのポイント）（目指す方向性）（緊急対応能力の向上）（緊急対応能力の向上）

・IT障害の波及メカニズムの解明（相互依存性解析）や具体的脅威シナリ
オをもとにした演習（分野横断的演習）の実施
・2006年度から段階的に実施し、2007年度からは本格稼
働レベルで情報セ
キュリティ対策を推進「分野を超えたIT障害に「分野を超えたIT障害に関する情報連絡・共有プ
関する情報連絡・共有プ
ラットフォーム機能の基盤ラットフォーム機能の基盤づくり」の検討・取組みづくり」の検討・取組み（障害対応への総合力の向上）（障害対応への総合力の向上）「安全基準等の指針」の「安全基準等の指針」の見直し、安全基準等や事見直し、安全基準等や事業継続計画などへの知見
業継続計画などへの知見の提供の提供（平時からの対応力の向上）（平時からの対応力の向上）

情報共有の重要性等に情報共有の重要性等に関する共通認識醸成、効関する共通認識醸成、効果的事例など知見の共有
果的事例など知見の共有や演習の継続的実施や演習の継続的実施

国民生活や社会経済活
国民生活や社会経済活動を支える重要インフラ
動を支える重要インフラ
基盤確立に向けたスパ基盤確立に向けたスパ
イラルアップイラルアップ・サプライチェーンの進展な・サプライチェーンの進展などの中、関係者間でのリスクどの中、関係者間でのリスクに関するコミュニケーションのに関するコミュニケーションの向上
向上
・「自助」のみならず「共助」の・「自助」のみならず「共助」の考え方を進めることによる、考え方を進めることによる、社会のリジリエンシーの向上
社会のリジリエンシーの向上

IT障害の特徴等
・IT障害の被害波及の高速化、空間や分野を超えた波及の可能性などの特徴を踏まえた分野横断的な対応が重要
・初動段階では原因究明が困難で、原因究明に時間を要することが多い。他方、他分野の対応状況を把握する機会が乏しい状況にあり、情報共有が重要な要素
14分野横断的演習と相互依存性解析を踏まえた今後の取組みの方向性（2）IT障害発生時の対処能力強化

平時からの対策強化

PDCAサイクルによる毎年度のスパイラルアップ

重要インフラ分野10分野分野 A

分野 B

分野 C

情報共有・分析機能（CEPTOAR）

情報共有・分析機能（CEPTOAR）

情報共有・分析機能（CEPTOAR）

重要インフラ連絡協議会（CEPTOARCouncil）

政府

2006年度の分野横断的演習と相互依存性解析から得られた今後の取組みのポイント
1 「分野を超えたIT障害に関する情報
1 「分野を超えたIT障害に関する情報連絡・共有プラットフォーム機能の基盤
連絡・共有プラットフォーム機能の基盤づくり」の検討・取組みづくり」の検討・取組み

22 「安全基準等の指針」の見直し、安「安全基準等の指針」の見直し、安全基準等や事業継続計画などへの知全基準等や事業継続計画などへの知見の提供
見の提供

3 情報共有の重要性等に関する共通
3 情報共有の重要性等に関する共通認識醸成、効果的事例など知見の共認識醸成、効果的事例など知見の共有や演習の継続的実施
有や演習の継続的実施

2006年度における行動計画の総合的検証と改善
依存関係、想定課題の検証

分野横断的演習

相互依存性解析

官民連携しての初めての取組みとなる机上演習の実施

分野間の定性的な依存関係の把握
想定脅威、シナリオ設定のための知見提供

15