資料２

第３次行動計画下における「重要インフラにおける情報セキュリティ確保に係る『安全基準等』策定指針」の改訂について

201４年1２月1８日
内閣官房 情報セキュリティセンター（NISC）

指針改訂までの流れ
改訂後の指針については2015年度からの施行を目指し、対応中
指針の位置付け見直しの背景○重要インフラ分野を横断的に俯瞰して、必要度の高い情報セキュリティ対策を記載したガイドライン(*)○第２次行動計画を改善・補強した第３次行動計画の策定・施行(2014年度)＊各分野の基準やガイドライン、各事業者の内規等を策定するためのガイドライン−「重要インフラの情報セキュリティ対策に係る行動計画」（以下、行動計画）の理念に基づき、策定【基本的な考え方】
重要インフラ事業者等による実効的かつ自主的な取組【指針改訂を通じて目指すこと】
重要インフラ防護能力の維持・向上

重要インフラ専門委員会における検討○専門委員会にて、改訂後の指針が対策途上や中小規模の重要インフラ事業者等による実効的かつ自主的な取組に資することの適否を検証【検証の観点：行動計画の記載事項】−ＰＤＣＡサイクルに沿った対策手法の習得・実現の実効性−習得・実現に向けた段階的な取組の妥当性−経営層の在り方の訴求の実効性

指針本編（概念論を記載）：パブリックコメントを経て情報セキュリティ政策会議決定
対策編・手引書（新設）：本編の政策会議決定を受け、専門委員会決定

重要インフラにおける情報セキュリティ確保に係る「安全基準等」策定指針（第４版）
Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

1指針改訂の概要
従来の指針の内容を踏まえつつ、第３次行動計画の記載内容に照らして指針を再構成
第３次行動計画の記載事項

指針改訂のポイント【基本的な考え方】○目的及び位置付けに、自主的な取組・持続的な改善についての記載を明記

重要インフラ事業者等による実効的かつ自主的な取組「重要インフラ事業者等は事業主体として、また社会的責任を負う立場としてそれぞれに対策を講じ、また継続的な改善に取り組む」【指針改訂を通じて目指すこと】

重要インフラ防護能力の維持・向上「重要インフラ防護能力の維持・向上、とりわけ対策途上や中小規模の重要インフラ事業者等による実効的かつ自主的な取組に資することを目的に、内閣官房は、指針本編・対策編の見直しを2014年度に行う」○既存対策項目を第３次行動計画が示すＰＤＣＡサイクルに沿って再配置○各事業者が定める対応優先順位に基づき、対策編の項目の段階的な実現に資するため、指針̲手引書を新設○経営層の在り方も含め、第３次行動計画の記載内容・図表を引用【具体的な対応】①ＰＤＣＡサイクルに沿った対策手法の習得・実現「重要インフラ事業者等のPDCAサイクルに沿った情報セキュリティ対策の項目を整理する」○本編には概念論、対策編には具体論を記載するよう再整
理（併せて、「要検討事項」と「参考事項」の区別を廃止）②習得・実現に向けた段階的な取組「重要インフラ事業者等が情報セキュリティ対策を実施する際の優先順位付け、対策の段階的な追加及び予防的対策と事後的対策のバランスに係る考え方を成長モデルとして例示する」③経営層の在り方の訴求「重要インフラ事業者等における段階的・継続的な対策の強化に不可欠な方針化、規定化、計画化、体制化・人材育成及びシステム構築に係る重要インフラ事業者等の経営層の在り方の重要性を訴求する」

指針̲本編（概念）具体的に何をすればよいか
指針̲対策編（具現化例）
どの対策から行うか指針̲手引書（優先順位付け等の考え方）

指針̲本編(第３版)

整理・再構成指針̲対策編(第３版)

新設

指針̲本編(第４版)
指針̲対策編(第４版)
指針̲手引書(第１版)

改訂版の提示に基づく安全基準等のカスタマイズ等

提示

所管省庁
業界団体

準拠、カスタマイズ等
各事業者

Ｂ分野の業法、ガイドライン等

Ａ分野の業法、ガイドライン等

各事業者の内規等

準拠、カスタマイズ等

安全基準等

最適な対策の実現

指針の利活用の例

指針改訂のイメージ

各事業者の内規等

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

2

指針_本編の改訂内容（目次ベースでの新旧比較）
構成（見直し後）構成（現行）

Ⅰ．目的及び位置付け

Ⅰ．目的及び位置付け

１．重要インフラにおける情報セキュリティ対策の重要性
目的を重要インフラサービスの２．「安全基準等」の必要性
持続的な提供に置き、PDCAサ３．「安全基準等」とは何か
イクルの必要性を追記
４．指針の位置付け
５．指針の構成
６．指針を踏まえた「安全基準等」の継続的改善及び浸透への期待
Ⅱ．「安全基準等」で規定が望まれる項目

１．重要インフラにおける情報セキュリティ確保のために
２．「安全基準等」の必要性
３．「安全基準等」とは何か
４．本指針の位置付け
５．本指針の構成
６．本指針を踏まえた「安全基準等」の継続的改善及び浸透への期待

Ⅱ．「安全基準等」で規定が望まれる項目

１．「安全基準等」策定の目的
２．「安全基準等」の対象範囲
３．「安全基準等」において対象とする原因
４．役割
５．「安全基準等」の公開

１．「安全基準等」策定の目的
２．「安全基準等」の対象範囲
３．「安全基準等」の対象とする脅威
４．重要インフラ事業者等の担う役割
５．「安全基準等」の公開

６．対策項目
６．１．「Ｐｌａｎ（準備）」の観点
６．２．「Ｄｏ（実働）」の観点
６．３．「Ｃｈｅｃｋ（確認）・Ａｃｔ（是正）」の観点

６．対策項目（１）４つの柱ア 組織・体制及び資源の確保
イ 情報についての対策
ウ 情報セキュリティ要件の明確化に基づく対策
エ 情報システムについての対策（２）５つの重点項目
ア ＩＴ障害の観点から見た事業継続性確保のための対策
イ 情報漏えい防止のための対策
ウ 外部委託における情報セキュリティ確保のための対策
エ ＩＴ障害発生時の利用者のための情報の提供等の対策
オ ＩＴに係る環境変化に伴う脅威のための対策−−−

目的に応じた項目の整理から対策プロセス(PDCA)に応じた整理への変更

第３次行動計画と記載内容が重複するため、削除

Ⅲ．フォローアップ
１．フォローアップの考え方
２．本指針の継続的改善
３．「安全基準等」の継続的改善
４．「安全基準等」の浸透

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

3

指針_対策編の改訂内容（目次ベースでの新旧比較）
構成（見直し後）構成（現行）

Ⅰ．対策編の位置付け

Ⅰ 本対策編の位置づけ

Ⅱ．具体的な情報セキュリティ対策項目の例示

Ⅱ 対策項目の具体化の例示１．「Ｐｌａｎ（準備）」の観点（１）４つの柱

１．１．「方針」の観点
１．２．「規定」の観点
１．３．「計画」の観点
１．４．「体制」の観点
１．５．「構築」の観点
２．Ｄｏ（実働）の観点

ア 組織・体制及び資源の対策
イ 情報についての対策
ウ 情報セキュリティ要件の明確化に基づく対策
エ 情報システムについての対策

２．１．「平時・障害発生時共通」の観点
２．２．「平時」の観点
２．３．「障害発生時」の観点
３．「Ｃｈｅｃｋ(確認）・Ａｃｔ（是正）」の観点
３．１．「平時」の観点
３．２．「障害発生時」の観点

対策プロセス(PDCA)に応じた整理に基づき、具体的な対策項目を再配置（２）５つの重点項目
ア ＩＴ障害の観点から見た事業継続性確保のための対策
イ 情報漏えい防止のための対策
ウ 外部委託における情報セキュリティ確保のための対策
エ ＩＴ障害発生時の利用者の対応のための情報の提供等の対策
オ ＩＴに係る環境変化に伴う脅威のための対策

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

4

指針̲手引書新設の概要①
指針̲手引書の新設○優先順位付けされた指針の提示要望 （重要インフラにおける「安全基準等の浸透状況等に関する調査」より）
課 題○重要インフラ事業者等の実効的かつ自主的な取組の促進 （第３次行動計画より）
指針_手引書の新設による解決○対象 ： 主に対策途上や中小規模の事業者等○目的 ： 以下対策項目の解説や取組例を記載し、事業者等毎に最適な情報セキュリティ対策の構築・維持・改善を支援

ねらい− 指針̲対策編Ⅱ.3『「Check(確認)・Act(是正)」の観点』における課題抽出及びⅡ.1.1.(1)「抽出した課題に基づくリスク評価」の対策項目＊ 優先順位付け等に焦点を当て、防護対策の有効性向上を訴求
具体的には新設の方向性

考え方○位置付け ： 行動計画が示す対策例に基づく事例紹介（拘束力はもたせない）○各事業者の既採の手法や個別事情等の尊重○記載内容 ： 各事業者等共通の対策の優先順位付けに係る考え方までを記載○各事業者の事業規模、予算、体制等は区々であり、リスクレベルとその対応方法も区々○記載範囲 ： リスクアセスメント、リスク対応、モニタリング○「どのような対策をどの程度で行うか」を組織として定めることの推奨○読み方： 各事業者等が読みたい箇所からの参照を可能とする○初めて取り組む場合は、「状況の設定」、「リスク評価」、「リスク対応」からの着手を推奨○用語： できるだけ専門用語は使わない○読者は「専門家」ではない可能性への考慮

Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

5

指針̲手引書新設の概要②
指針̲手引書の構成（概要）○Ⅰ章「目的及び位置付け」において、以下を記載−情報セキュリティ対策の実施及び改善にあたり⇒ 自身にとって、取り組みやすく効果的な対応を自律的に行うことの訴求−指針手引書の位置付け⇒ 事業者等毎に最適な情報セキュリティ対策の構築・維持・改善の支援（ 優先順位付け等に焦点を当て、防護対策の有効性向上を訴求）−指針手引書を活用した各重要インフラ事業者等の取組⇒ 初めて取り組む場合の推奨対応、各事業者等が読みたい箇所からの参照○Ⅱ章にて以下に示す各プロセスを解説、例示
プロセス

対応内容

①状況の設定・リスク判定基準の策定及び見直し
・脅威や脆弱性等（リスク源）の状況及び動向の把握を通じた課題抽出②リスクの特定③リスクの分析

・損害をもたらす可能性がある事象の特定・事象を起因として発生する可能性がある損害（リスク）の想定と特定・特定した発生する可能性がある損害（リスク）のレベルの決定・特定した発生する可能性がある損害（リスク）の具体的な影響の決定④リスクの評価

・リスク対応の要否及び対応の優先順位に係る意思決定⑤リスク対応・対応策の決定⑥モニタリング

・脅威や脆弱性等（リスク源）のリスクに係る変化の発見
・リスク対応の状況確認及び対応結果の有効性評価
Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

先行して対応することが効果的と考えられるプロセス

・防護すべき対象（情報資産や情報システム等）の特定6【参考】行動計画と指針（本編・対策編・手引書）の位置付け
位置付け
・政府と重要インフラ事業者等の共通の行動計画

重要インフラ行動計画−情報セキュリティ対策の基本的概念（重要インフラの情報セキュリティ対策に係る行動計画）−政府、重要インフラ事業者等の取組

前版

新版

第２次行動計画（平成21年２月３日決定）（平成24年４月26日決定）

第３次行動計画(2014年５月19日決定）

・情報セキュリティ政策会議にて決定
重要インフラ事業者等の対策の方向性を提示

指針̲本編（重要インフラにおける情報セキュリ
ティ確保に係る「安全基準等」策定指針）

・安全基準等に関する基本的な考え方を重要インフラ事業者等に訴求・重要インフラ分野に共通する安全基準等で規定が望まれる項目の記載

本改訂の検討対象
指針̲本編（第３版）（平成22年５月11日決定）（平成25年２月22日改定）

指針̲本編（第４版）

指針̲対策編（第３版）（平成22年７月30日決定）（平成25年３月26日改定）

指針̲対策編（第４版）

・情報セキュリティ政策会議にて決定
具体的に何をすればよいか

指針̲対策編（重要インフラにおける情報セキュリ
ティ確保に係る「安全基準等」策定指針 対策編）

・指針̲本編に記載した各対策項目の具体例を記載−具体的な対策項目のチェックリストの位置付け
・重要インフラ専門委員会にて決定−技術の進展、社会情勢等の柔軟な反映を目指すためどの対策から行うか指針̲手引書（第１版）

・中小規模の事業者等が主な対象

指針̲手引書（指針対策編の実現に向けた手引書）

・対策の優先順位付けに係る考え方等、情報セキュリティ対策を実施する際の手順を例示−−−

・重要インフラ専門委員会にて決定
Copyright (c) 2014 National Information Security Center (NISC). All Rights Reserved.

7