サイバーセキュリティ戦略本部
第 13 回会合

１

重要インフラ専門調査会
議事概要

日時
平成 29 年 12 月 20 日（水）14 時～15 時 30 分

２場所
金融庁 13 階

３

共用第一特別会議室

出席者（五十音順・敬称略）
阿部克之

委員

（電気事業連合会）

有村浩一

委員

（一般社団法人ＪＰＣＥＲＴコーディネーションセンター）

安藤伊佐武

委員

（第一生命保険株式会社）

稲垣隆一

委員

（稲垣隆一法律事務所）

大高利夫

委員

（神奈川県藤沢市）

荻島敦

委員（日本通運株式会社）

金子

功

委員

（一般社団法人日本ガス協会）

佐藤

勲

委員

（東日本旅客鉄道株式会社）

鈴木栄一

委員

（一般社団法人日本損害保険協会）

鈴木悟

委員

（株式会社三井住友銀行）

手塚悟

委員

（慶応義塾大学

橋本伊知郎

委員（野村ホールディングス株式会社）

原田充

委員

（日本航空株式会社）

平田真一

委員

（日本電信電話株式会社）

細川猛委員（石油化学工業協会）

増子明洋委員

（日本放送協会）

松田栄之

委員（ＮＴＴデータ先端技術株式会社）

盛合

志帆

委員

（国立研究開発法人情報通信研究機構 サイバーセキュリティ研究所）

若林

武夫

委員

（公益社団法人日本水道協会）

和田

昌明

委員

（公益財団法人金融情報システムセンター）

渡辺

研司

会長

（名古屋工業大学大学院政策・メディア研究科）

大学院工学研究科）

（事務局）
中島明彦

桑原振一郎

内閣サイバーセキュリティセンター長
内閣審議官
1

三角

育生

内閣審議官

中尾

康二

サイバーセキュリティ補佐官

越後

和徳

内閣参事官

林泰三

内閣参事官

瓜生

和久

内閣参事官

（オブザーバー）
独立行政法人情報処理推進機構

技術本部

セキュリティセンター

金融庁総務企画局政策課
総務省情報流通行政局情報流通振興課情報セキュリティ対策室
総務省地域力創造グループ地域情報政策室
厚生労働省政策統括官付サイバーセキュリティ担当参事官室
厚生労働省医政局研究開発振興課医療技術情報推進室
厚生労働省医薬・生活衛生局生活衛生・食品安全部水道課水道計画指導 室
経済産業省商務情報政策局サイバーセキュリティ課
国土交通省総合政策局情報政策課情報セキュリティ対策室
原子力規制庁長官官房総務課情報システム室
警察庁警備局警備企画課サイバー攻撃対策官
警察庁長官官房総務課
警察庁情報通信局情報技術解析課
外務省大臣官房情報通信課

４

議事概要

(1) 開会（挨拶）中島センター長から挨拶。
○中島センター長

本日は、年末のお忙しいところお集まりいただきまして、まことにありがとうございます。
重要インフラのサイバーセキュリティに係る取組に関しまして、先週 12月13日でございますけれども、第12回目の演習を開催いたしました。重要インフラ13分野の事業者の方々に御参加いただきまして、昨年が過去最多でございましたけれども、さらに上回りまして、約2,600名の方々に御参加いただきました。御協力いただきました皆様方にあらためて御礼を申し上げさせていただきます。
この演習は、サービス障害の発生時における情報共有、連携をはじめといたしまして、各事業者における対応策、体制の構築、構成を確認することを通じ まして、サービス障害の対応能力の向上等などを図ったものでございます。サービス精神も含めました経営判断を問う内容、また、オリンピックを念頭に置いてつくったもの
2

でございます。
私どもを取り巻く現状をあらためて鑑みると、技術と言っていいかどうかわかりませんけれども、技術をうまく組み合わせた各種サービスが出てきて経済社会も大きく変わっていく、IoTもその中に含まれるかもしれません。そういうことで、まさにここにお集まりの各インフラ事業の皆様におきましても、今まで あまり考えられなかった分野における連携とか、あるいは サービスを出していくということに、まさにビジネスチャンスがいろいろあることなのだと思います。ただ、そうなりますと、ネットに接触する文化というのはどうしても増えていくわけで、当然リスクもそこに出てきます。その中で、脅威の状況もかなり巧妙化しています。我々はこういう環境の中にいるのだと思います。
そうした環境の中で、重要インフラサービスを安全かつ持続的に提供されることが社会から要請されており、皆様方の御議論を経て、第４次行動計画の中で機能保証の考え方、それに基づく取組を行っていこうと定められていると考えてお ります。
本日の専門調査会におきまして、重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針について御議論いただきたく存じます。この指針の改定に当たりまして、先ほども申し上げました、機能保証の考え方の取組、これを推進していただけるよう、各項目をできるだけわかりやすい形で入れながらやったらどうかということで整備したものでございます。
委員の皆様方には、活発な御議論をお願いいたしまして、私からの挨拶とさせていただきます。

渡辺会長から挨拶。
○渡辺会長

本日もお忙しい中ご参集いただき、感謝申し上げたい。

前回10月になりますが、本専門調査会におきまして、重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針の改定案につきまして御議論いただいたところでございます。
先ほどセンター長からもございましたように、本日は、その結果を踏まえた形の改定案について確認いただきますとともに、追加がございましたら、本日御議論いただくということです。本日の御意見を踏まえ、年明け早々にパブリックコメントにかける予定ですので、その案を決定したいというのが、今回の専門調査会の目的の１つでございます。
本日の専門調査会の議題ではございませんけれども、専門調査会に設置されております、重要インフラサービス障害に係る対処態勢検討ワーキンググループがございます。こちらが第４次行動計画における取組になります、深刻度判断基準の具体化に向けて検討を開始しております。一部の新聞にも、報道されていると思います
けれども、10月19日に第４回の会合、12月12日に第５回の会合を開催しておりまし3て、２月頃には、第６回の会合の開催を予定しております。ワーキンググループの取りまとめ結果につきましては、次回の専門調査会で御報告 いただく予定でございます。
それでは、限られた時間ではございますが、委員の皆様におかれましては、ぜひとも闊達な御議論をお願いいたします。
それでは、早速、１に入らせていただきます。
本日の配付資料及び出席の確認につきまして、事務局よりお願いいたします。

(2) 報告事項
金融庁、総務省、厚生労働省、経済産業省、国土交通省及び 警察庁より資料２から資料６について報告。質疑応答は次のとおり。
○稲垣委員

報告から外れるかもしれませんけれども、経済産業省に、今ここでお話しいただきたいのですが、国全体の重要インフラのサイバーセキュリティ対策というのは、成長戦略の意味でもこの問題が位置づけられていると思います。
経済産業省では、サイバーセキュリティ分野の重要インフラ、あるいは事業者、それを取り巻くセキュリティベンターの育成、国際競争力の強化についても取り組んでおられると主張されているのですが、御紹介いただければと思います。
○経済産業省ありがとうございます。サイバー脅威につきましては、端的に言うと、水平方向で予算、IT化が進んでおり、攻撃の起点が拡大しています。
一方で、垂直方向で突き抜く能力自体は、例えば制御系だから大丈夫とは言えません。それこそ１年ぐらいかけて、国家を背負った攻撃自体は、システムを丸裸にしていくのです。打ち抜いてくる事態になってくる中で、サプライチェーン全体、ライフサイクル全体で、リスクポイントを洗い出した取組をしていかないといけないと思っています。
そういった意味で、全体のサプライチェーン、さらにサービス、ライフサイクル全体をマッピングした上で、リスクポイントを洗い出します。一方 で、それぞれのサービスによって、社会に対してどういうインパクトがあるのかというのは、企業 ごとに、もしくはプロダクトごとに変わってきます。そういった形で、リスクポイントの洗い出しを適切に対応していくということになると、色々リスク評価をするとか、研究開発課題が出てくると思っているのですけれども、今そういったことの考えを整理していきたい。それを政策に落とし込むことを考えていきたいと思っています。
○稲垣委員

各省庁から御報告があったわけですけれども、脅威に対応する対応力を強める、そのために鍛えるという訓練について 、あるいは整備することが多くあったわけですが、さらにそれを広めて、それぞれの主体を支えるベンダーとかセキュリティサービスとかメーカーなど、それを支える産業政策というのは認証だけに止まらず 、日本のセキュリティの高さを国際的に売っていく、日本の体力をつけていくという観4

点からも、ぜひ政策を展開していただけたらと思うわけです。
それぞれの産業分野も、ユーザー側があって供給側もあるわけで、そこの供給側がどういうふうにセキュリティに寄与していけるのかということを考えた政策を、ぜひ展開していただきたいと思います。
○経済産業省

セキュリティビジネスは、まさにセキュリティでの対応のニーズがこれから拡大していくときに、日本の中でそこをしっかり支えていけるという形になっていることだと思っています。
どこに強みがあるのかということは、そういったところをきちっと見定めていくことになっていくと思うのですが、例えば本日、ここにいらっしゃる重要インフラの方々が持っているシステムの中には、相当高度なセキュリティ確保のための仕掛けが入っているケースは多いと思っています。一方で、その周りのところは、システムの中で外出しのツールの形になっておらず、アピールできていないものも結構あると見えているものもあるかと思います。
そういった意味では、システムの中に組み込まれているもので外出しできるもの、そういったものをもっとアピールできる形にできないか 、もしくは違った形で、いわゆる成長戦略の話になってきますけれども、そういったものを展開させることで、セキュリティがビジネスとして成り立ちやすい環境をつくっていかなければいけないと思っています。
一方で、これを支える人材の育成はそもそもIT人材の問題だと思っており、その上にセキュリティという専門性が載ってきます。こういったところについては、以前より文科省さんと連携をさせていただいたりしながら、また、厚労省さんとは労働特化の中で、いわゆる研修でサポートする部分にセキュリティ対応の講座のところを加えていただくとか、そういった各省連携が進んでいますので、こういったところを引き続き私たちもやっていきたいと思っております。

独立行政法人情報処理推進機構より資料７について報告。質疑応答は次のとおり。
○中尾補佐官制御システムのセキュリティリスク分析ガイドの中で、伺っている手法は、おっしゃいましたように、普通のITシステムでも活用できる一般的なものになっているのですが、この場合、例えばどこの制御系に特化したような、具現化したガイドが含まれていて、制御システムを対象とするモデルというのは何を使われたのでしょうか。
○金野情報セキュリティ技術ラボラトリー長

実際 に 手 法 を説 明 す る とき の 対 象 のモ デルとしては、制御システムの構造モデルを使っております。特に 、制御システムとして特化しておりますのは、例えば、制御のコマンドが出るとか、ある特定のデータフローをするとか、もう一つは、私どもがリスク分析を実際の事業者さんとさせていた だく中で、運用のノウハウみたいなものもかなりお伺いしていましたので、典型的なモデルのリスク分析の中にそれを取り込んで、御説明しているものになっております。
5

(3) 討議事項
瓜生参事官より資料８、資料８－１、資料８－２について説明。質疑応答は次のとおり。
○稲垣委員

２つあります。その前に、前回までの検討結果を踏まえられた、非常に力の入った修正が行われたと思います。これから申し上げることは、非常に小さなところと、本日の各省庁の御発表を踏まえた点です。
１つは「はじめに」のところです。中ほどの「経営層に求められる行動」のところで、１行目から２行目にかけてのところなのですが、「『事業等のリスク』のひとつになり得ることを認識し」という表現があります。p.７の4.1.2（１）の２行目の記載は、齟齬があるように見えるのですが、何か理由があってのことであれば いいのですが、なければ、4.1.2（１）のように「『事業等のリスク』のひとつである」という形で修正するほうが、読む方はわかるのではないかと思います。
もう一点は、先ほどの経済産業省の経営層におけるサイバーセキュリティ問題の取組状況の報告は大変ショッキングな状況で、しかも、ストーリーというよりも事実として報告を受けたので、非常に大事なことだと思いました。今後、経産省の取組が始まるわけですので、それを支える意味でも修正を加えたらどうかというところがあります。 p.
８です。
「【重要インフラ事業者等の経営層の在り方】」の● ５番目です。せっかく修正をいただいたところなのですが、これはこれで十分だと思うのですが、この冒頭に次のような修正を加えたらどうかと思いますので、申し上げます。本文が始まる前に「取締役会、監査役会、その他、法令・経営上の重要会議、」を挿入してはどうかと思います。それとの対応で、２行目は「セキュリティリスクへの対応とその結果」として、監査役会等の対応についても、ここで取り込むことを検討してはいかがかと思います。
実務への影響も非常に大きいので、具体的な形についてはお任せしますけれども、事実上の経産省の報告もそのとおりだと思いますが、私自身が感じるところで、経営層のコミットといっても、セキュリティ問題が取締役会の議題に挙がるのは年に何回あるのか。先ほどお金のことが出ましたけれども、事業リスクとか機能保証ということを言っている以上、リスクを知るという程度ではなくて、経営戦略の中にきちっと位置づけることも入っているわけですが、具体的に議題とするということをきちっと入れたらどうかと思います。そういう意味で、申し上げました。
○渡辺会長

ありがとうございます。２点ございました。

１点目は、「 はじめに」と本文のところのコミットメントの表現、表記につきましては、本文に合わせるべきではないかということです。２点目は、具体的なコミットメントの形として、取締役会等の正式な会議で議題として取り上げるということです。 この２点につきまして事務局からございますか。
○瓜生参事官

１点目につきましては、修正をさせていただきます。２点目につきまして6

も、皆様からの御議論がなければ、定期的に対話を行う場として、経営層の中でもちゃんとやるということがございますので、もしよろしければ修正したいと思います。
○佐藤委員

JR東日本の佐藤でございます。前任の西村の後任でございまして、非常に重責でございますがしっかり務めさせていただきます。よろしくお願いいたします。
的外れな質問だったら大変お恥ずかしいのですけれども、リスクアセスメントの手引書でございますが、最後から６枚目辺りから、A4横の表が出てまいりまして、ここに旅客鉄道事業とか貨物鉄道事業とか鉄道事業に関する記述がありますが、ここで、なぜ鉄道事業のくだりが書いてあるのかよくわかりませんでした。
○瓜生参事官

これはイメージしやすいということで、例示として挙げさせていただいているところでございます。
○佐藤委員

わかりました。そこら辺を明示していただくと、私どもとしては、ありがたいと思いますので、よろしくお願いいたします。
○渡辺会長

誤解のないように、明示をお願いいたします。

そのほか、いかがでしょうか。よろしいですか。ありがとうございました。それでは、12月26日まででしたら、事務局で追加のコメントをお受けするということですので、よろしくお願いいたします。
それでは、本日の議論と、追加でいただくかもしれない議論を踏まえまして、取りまとめにつきましては私に御一任いただきたいと思いますが、よろしゅうございますでしょうか。
○一同

異議なし。

○渡辺会長

ありがとうございます。それでは、取りまとめました、重要インフラにおける情報セキュリティ確保に係る安全基準等策定指針 につきましては、冒頭、御案内がありましたとおり、１月頃にパブリックコメントを行いたいと考えます。委員の皆様方におかれましては、可能な限り、関係者の方々に御周知をいただきたいと思います。
それでは、今後の予定につきまして、事務局から御説明をお願いいたします。
○越後参事官

今後の予定でございます。本日の議事概要につきましては、事務局にて案文を作成後、各委員の皆様方に御確認いただいた上で、公表する予定にしておりますので、御了承いただければと思います。
次回の専門調査会では、パブリックコメントの結果を踏まえた修正案について了解をいただきたいと考えております。開催時期につきましては、３月 頃を予定しておりますが、別途案内をさせていただきますので、よろしくお願いいたします。

(4) 閉会○渡辺会長

これにて、第13回「重要インフラ専門調査会」を閉会します。

以7上