資料３

IoT機器への対策を含む
サプライチェーンサイバーセキュリティの強化
平成30年6⽉
経済産業省 商務情報政策局
サイバーセキュリティ課

１．IoTの進展等によるSociety5.0の実現に伴うサイバー攻撃の脅威レベルの向上と海外の動向
２．サプライチェーンサイバーセキュリティ強化へ向けた検討体制の構築
３．サイバー・フィジカル・セキュリティ対策フレームワークの策定
４．フレームワークを活⽤したサプライチェーンサイバーセキュリ
ティ強化~産業分野別のガイドライン策定と必要な技術開発の促進
1

Society5.0、Connected Industries が実現する社会 Society5.0は、サイバー空間とフィジカル空間を⾼度に融合させることにより、多様なニーズにきめ細かに対応したモノやサービスを提供し、経済的発展と社会的課題の解決を両⽴する社会。
 Society5.0へ向けて、様々なつながりによる新たな付加価値を創出するConnected
Industriesの実現に向けた新たな産業構造の構築が必要。

出典︓経済産業省「平成27年度我が国経済社会の情報化・サービス化に係る基盤整備(⽔道事業におけるCPS(サイバーフィジカルシステム)実装のための調査研究)」報告書を基に作成

2

サイバー攻撃の脅威の増⼤ IoTとAIによって実現されるSociety5.0の社会(⼈間中⼼の社会)では、サイバー攻撃の起点が増⼤するとともに、複雑につながるサプライチェーンを通じてサイバーリスクの範囲が拡⼤。
 サイバー空間とフィジカル空間が⾼度に融合するため、サイバー攻撃がフィジカル空間まで到達。
 IoTから得られる⼤量のデータの流通・連携を⽀えるセキュリティも課題。
 海外においても、IoTやICS防衛のためにはサプライチェーンマネジメントでアプローチする必要が広く認識されるようになっている。
⼤量のデータの流通・連携⇒データ管理の重要性が増⼤「Society5.0」社会におけるモノ・データ等のつながりのイメージ

フィジカルとサイバーの融合⇒フィジカル空間まで
サイバー攻撃が到達複雑につながる
サプライチェーン
⇒影響範囲が拡⼤
3

⽶国における最近の動き①︓
サイバーセキュリティフレームワークの改訂
 2度の意⾒募集を踏まえた修正を⾏った上で、2018年4⽉、NIST（⽶国国⽴標準技術研究所）が「Cybersecurity Framework Version1.1」を決定。
 国際標準化に向けた活動も開始している状況。
NIST 「Cybersecurity Framework」の経緯••••

2014年2⽉、サイバーセキュリティ対策の全体像を⽰し、「特定」、「防御」、「検知」、「対応」、「復旧」に分類して対策を記載した「Cybersecurity Framework Vesion1.0」を策定。
2017年1⽉、「Cybersecurity Framework Version1.1 draft1」を公表。
2017年12⽉、「Cybersecurity Framework Version1.1 draft2」を公表。
2018年4⽉、 「Cybersecurity Framework Version1.1」を決定。

NIST 「Cybersecurity Framework Version1.1」の特徴•

Version1.1は、Version1.0より特に以下の点が追記され、その重要性が説かれている。
 サプライチェーンのリスク管理（Supply Chain Risk Management）
 サイバーセキュリティリスクの⾃⼰評価（Self-Assessing Cybersecurity Risk)
Cybersecurity Frameworkにおける5つの分類

特定
防御
検知
対応
復旧

ID.AM
ID.BE
ID.GV
ID.RA
ID.RM
ID.SC

資産管理
ビジネス環境
ガバナンス
リスクアセスメント
リスク管理戦略
サプライチェーン管理

Version1.1でID.SCが新規に追加され、サプライチェーン全体で対策を実施する
ことや、必要に応じて監査を⾏うことを要求

4⽶国における最近の動き②︓
2017年5⽉⼤統領令に基づく各種報告書の公表
 2017年5⽉、トランプ⼤統領が「サイバーセキュリティ強化のための⼤統領令」に署名。関係省庁に対して複数の報告書の策定を命令。
 2018年５⽉29-31⽇、関係省庁は国内での議論を喚起するため、可能な範囲
で各種報告書を公表。
１．連邦政府のサイバーセキュリティリスクに関する報告書 (5/29 DHS・⾏政管理予算局):• 96の政府機関のサイバーセキュリティ管理能⼒のアセスメント結果と改善策を報告。
２．ボットネット対策等に関する報告書 (5/30 DHS・商務省):• ボットネット対策等のために官⺠が取るべき対策を報告。120⽇以内にロードマップを策定予定。
３．電⼒網への攻撃に対するインシデント・レスポンスに関する報告書 (5/31 エネルギー省):• 電⼒事業者がインシデントに対応するための７つの能⼒ギャップと提⾔について報告。
４．⼈材育成に関する報告書 (5/31 DHS・商務省):• 299,000⼈分のオンライン上のセキュリティ関連空きポストに対応するための取組について報告。
５．⽶国のサイバー利益保護のための国際活動に関する報告書（5/31 国務省）:• 開放的で相互運⽤可能で安全で信頼の⾼いサイバー空間のために必要な外交活動等について報告。
６．敵対勢⼒に対する抑⽌等に関する報告書 (5/31 国務省):• 武⼒等により抑⽌を⾏うべき悪意あるサイバー活動の基準・閾値等について報告。
７．重要インフラ防御に関する報告書 (5/31 DHS):• 各政府機関が各重要インフラ事業者に対して有する権限や能⼒について特定し、改善策を報告。
８．市場の透明性に関する報告書 (5/31 DHS):• 事業者のセキュリティリスクの透明化のために必要な調査・政策検討について報告。

5

欧州における最近の動き
 欧州では、「Cybersecurity Certification Framework」の導⼊に向けた議論を継続。
 なお、EU⼀般データ保護規則（GDPR）が2018年5⽉25⽇から施⾏。
「Cybersecurity Certification Framework」の経緯•

2017年9⽉、ユンカー欧州委員会委員⻑の施政⽅針演説で、EUにおけるサイバーセキュリティ政策（CybersecurityAct）が発表され、そこには新たにサイバーセキュリティ認証フレームワーク（Cybersecurity Certification
Framework）の導⼊について⾔及。

•

2018年2⽉、EU標準化団体とENISAにより、「Cybersecurity Act」に関する会議開催。

•

2018年3⽉、欧州委員会とENISAにより、「Cybersecurity Certification Framework」に関する会議開催。

•

2019年5⽉、Cybersecurity Actの施⾏予定。

「Cybersecurity Certification Framework」の特徴•

既に多数のスキームが存在していることから、⼀からFrameworkを作成するわけではなく、「Meta-Scheme Approach」を⽤いたスキームを指向。Voluntaryなものとして、枠組み作りを優先する⽅向で議論。
垂直的全ての要求を満たすスキームは存在せず、現時点で多くのスキームが存在。

⽔平的Meta-Scheme
Approach

メタ⾔語を介し異なるスキームを横断して組み⽴て。

6

１．IoTの進展等によるSociety5.0の実現に伴うサイバー攻撃の脅威レベルの向上と海外の動向
２．サプライチェーンサイバーセキュリティ強化へ向けた検討体制の構築
３．サイバー・フィジカル・セキュリティ対策フレームワークの策定
４．フレームワークを活⽤したサプライチェーンサイバーセキュリ
ティ強化~産業分野別のガイドライン策定と必要な技術開発の促進
7

サイバーセキュリティ政策の⽅向性① 重要インフラの対策強化－情報共有体制強化 等

１．産業政策と連動した ② IoTの進展を踏まえたサプライチェーン毎の対策強化(Industry by industry)
政策展開－防衛関係、⾃動⾞、電⼒、スマートホーム等の分野別検討と技術開発・実証の推進③ 中⼩企業のサイバーセキュリティ対策強化① ⽇⽶欧間での相互承認の仕組みの構築
2．国際
ハーモナイゼーション ② ⺠間主体の産業活動をゆがめる独⾃ルールの広がり阻⽌

3．サイバーセキュリティ ① 産業サイバーセキュリティシステムを海外に展開ビジネスの創出⽀援② サービス認定創設、政府調達などの活⽤

４．基盤の整備

① 経営者の意識喚起② 多様なサイバーセキュリティ⼈材の育成（ICSCoE等）③ サイバーセキュリティへの過少投資解決策の検討
8

(参考)産業サイバーセキュリティ研究会
 サイバーセキュリティに関し、⼤所⾼所の観点から議論し、メッセージを強く発信。
 政府の政策や、研究会の下に設置するWGの具体的アクションについて⽅向を提⽰。
＜構成員＞※肩書等は平成30年5⽉30⽇時点

⽯原 邦夫 ⽇本情報ｼｽﾃﾑ･ﾕｰｻﾞｰ協会会⻑、東京海上⽇動⽕災保険株式会社相談役
鵜浦 博夫 ⽇本電信電話株式会社代表取締役社⻑
遠藤 信博 ⽇本経済団体連合会情報通信委員⻑、⽇本電気株式会社会⻑、サイバーセキュリティ戦略本部員
⼩林 喜光 経済同友会代表幹事、株式会社三菱ケミカルホールディングス取締役会⻑
中⻄ 宏明 ⽇本経済団体連合会副会⻑・情報通信委員⻑、株式会社⽇⽴製作所会⻑
船橋 洋⼀ アジア・パシフィック・イニシアティブ理事⻑
宮永 俊⼀ 三菱重⼯業株式会社社⻑
座⻑ 村井 純慶應義塾⼤学教授、サイバーセキュリティ戦略本部員

渡辺 佳英 ⽇本商⼯会議所特別顧問、⼤崎電気⼯業株式会社取締役会⻑
（オブザーバー）
NISC、警察庁、⾦融庁、総務省、外務省、⽂部科学省、厚⽣労働省、農林⽔産省、国⼟交通省、防衛省

9サイバーセキュリティ政策の課題とWG等における対応状況
産業サイバーセキュリティ研究会

第１回︓平成29年12⽉27⽇ 開催
第２回︓平成30年 5⽉30⽇ 開催

3/9
閣議決定

 重要インフラ分野における情報共有体制の構築

サイバーセキュリティ基本法
改正（NISC）にて対応

 「Society5.0」におけるサプライチェーン全体のセキュリティ確保

ＷＧ１（制度・技術・標準化）

第１回 2/7
第２回 3/29

ＷＧ２（経営・⼈材・国際）

第１回 3/16
第２回 5/22

 経営者のサイバーセキュリティに関する意識喚起
 セキュリティ⼈材の育成
 ⽇⽶欧三極の連携強化
 サイバーセキュリティのビジネス化

ＷＧ３(サイバーセキュリティビジネス化)

第１回 4/4
10

WG1の検討体制
 サイバー・フィジカル・セキュリティ対策フレームワーク（後述）の標準モデルを検討し、業界毎に順次展開して、具体的適⽤のためのセキュリティポリシーを検討。

ＷＧ１ 制度・技術・標準化
標準モデル

Industry by Industryで検討(分野ごとに検討するSWGを設置)

ビル （エレベーター、
エネルギー管理等）
電⼒
標準化・技術開発等の連携

防衛産業
⾃動⾞産業

標準化・規格・認証関連機関

IPA
ECSEC
JIPDECCSSC
CRYPTREC
セキュリティ技術開発に関する産学官の各種プロジェクト

スマートホーム

企業

⼤学

国研

その他コネイン関係分野
国際標準提案 / 相互承認提案

11

１．IoTの進展等によるSociety5.0の実現に伴うサイバー攻撃の脅威レベルの向上と海外の動向
２．サプライチェーンサイバーセキュリティ強化へ向けた検討体制の構築
３．サイバー・フィジカル・セキュリティ対策フレームワークの策定
４．フレームワークを活⽤したサプライチェーンサイバーセキュリ
ティ強化~産業分野別のガイドライン策定と必要な技術開発の促進
12サイバー・フィジカル・セキュリティ対策フレームワークを策定する⽬的
 「Society5.0」、「Connected Industries」 の実現へ向けて、産業構造、社会の変化に伴うサイバー攻撃の脅威の増⼤に対応することが必要。
 このため、産業に求められるセキュリティ対策の全体像を整理し、産業界が活⽤できる『サイバー・フィジカル・セキュリティ対策フレームワーク』の策定を進めている。
１．各事業者がフレームワークを活⽤することで期待される効果• 「Society5.0」、「Connected Industries」の実現に求められるセキュリティの確保• 製品・サービスのセキュリティ品質を差別化要因（価値）にまで⾼めることによる競争⼒の強化
２．フレームワークの特徴① 各事業者が実施するセキュリティ対策のオペレーションレベルで活⽤できる•社会として⽬指すべき概念だけではなく、各事業者が実際にセキュリティ対策を実施するうえで活⽤できる内容にする。

② セキュリティ対策の必要性とコストの関係を把握できる•••

サプライチェーン全体を構成する中⼩企業を含めた事業者が、実際に対策を⾏えるよう、想定されるリスクと必要な対策のコストのバランスをイメージできるような内容にする。
セキュリティレベルを保ったままでコストを圧縮できるような内容にする。
リスクシナリオベースの考え⽅も考慮した内容にする。

③ グローバルハーモナイゼーションを実現する。
•

グローバルサプライチェーンの中で、⽇本における製品・サービスのセキュリティ対策が海外からも認められるよう、諸外国の動きをよく取り⼊れ、ISMSやNIST Cybersecurity Frameworkなど⽶欧などの主要な認証制度との整合性を確保し、相互承認を進めていくことができる内容にする。
13

フレームワークの構造〜「Society5.0」型サプライチェーン“価値創造過程”への対応 あらゆるものがつながるIoT、データがインテリジェンスを⽣み出すAIなどによって実現される「Society5.0」（⼈間中⼼の社会）、「Connected Industries」では、製品/サービスを
⽣み出す⼯程（サプライチェーン） も従来の定型的・直線的なものとは異なる、多様なつながりによる⾮定型の形態を取ることになる。
 本フレームワークでは、このような「Society5.0」型サプライチェーンをこれまでのサプライチェーンとは区別して認識するため、価値創造過程（バリュークリエイションプロセス）と定義し、「Society5.0」、「Connected Industries」によって拡張したサプライチェーンの概念に求められるセキュリティへの対応指針を⽰す。
• 本フレームワークは、価値創造のための活動が営まれる産業
社会を、下記の三層構造と6つの構成要素で捉え、包括的にセキュリティポイントを整理し、それらに対応するための指針となるものである。 ⇒ 詳細は次⾴以降参照◆三層構造
第3層－ サイバー空間におけるつながり
第2層－ フィジカル空間とサイバー空間のつながり
第1層－ 企業間のつながり（従来型サプライチェーン）◆６つの構成要素－組織、ヒト、モノ、データ、プロシージャ、システム

14三層構造アプローチの意義 3つの層には、価値創造過程において確保されなければならない機能・役割が存在する。
 例えば、各層において以下で⽰すようなことが確保されていなければ、価値創造過程は成⽴をしな
いことになる。
–

第１層では⽣産された製品等－信頼できる企業が信頼できる⽣産活動によって仕様どおりの製品やサービスを供給して
いるか否か

–

第２層ではセンサーで読み込まれたデータ等－フィジカル空間における情報を、センサーなどのIoT機器が正確にデジタル化し、サイバー空間に“転写”しているか否か–

第３層ではデータ分析で得られたデータ等－収集する過程で改ざんされていないデータを適切な⽅法で加⼯した、信頼できるデータを活⽤できるか否か

 本フレームワークでは、各層で創造される価値の持つ特徴を踏まえた対応の⽅針を⽰す。

15

価値創造過程に関わる６つの要素と構成要素の関係
構成要素

定義

組織

• 価値創造過程（特に、従来型サプライチェーン）に参加する企業・団体

ヒト• 組織に属する⼈、及び価値創造過程に直接参加する⼈モノ• ハードウェア、ソフトウェア、及びそれらの部品

データ• フィジカル空間にて収集された情報、及び共有・分析・シミュレーショ
ンを通じて加⼯された情報

プロシージャ

• 定義された⽬的を達成するために要求される定型化された⼀連の
活動

システム

• サービスを実現するためにモノで構成される仕組み・インフラ16

各層におけるセキュリティ対策の概要

17

フレームワークにおける信頼の確保の考え⽅
 サイバーフィジカルシステムのセキュリティを確保するため、それぞれの構成要素についてのセキュリティの確保(信頼の創出)とその確認(信頼の証明)を繰り返し⾏い、信頼のチェーンを構築、維持することで、価値創造過程全体のセキュリティを実現。
１．信頼の創出・セキュリティ要件を満たすモノ・データ等の⽣成
・対象のモノ・データ等が要件を満たした形で⽣成されたことの確認
２．信頼の証明
・対象のモノ・データ等が正常に⽣成されたものであることを確認できるリスト(トラストリスト)の作成と管理・トラストリストを参照することで対象のモノ・データ等が信頼できるものであることの確認
３．信頼のチェーンの構築と維持
・信頼の創出と証明を繰り返すことで信頼のチェーンの構築(トレーサビリティの確保)
・信頼のチェーンに対する外部からの攻撃等の検知・防御
・攻撃に対するレジリエンスの強化18

サイバー・フィジカル・セキュリティ対策フレームワークへのパブコメ 実施期間・状況
 平成30年4⽉27⽇〜5⽉28⽇でパブリックコメントを実施。
 海外からの関⼼が⾼く、英語版パブコメも実施。
 国内23、海外10の組織・個⼈より、300以上の意⾒提出あり。肯定的な意⾒が9割弱。

 国内からの主な意⾒ Society5.0における信頼の確保へ向けた取組として、フレームワークの趣旨に賛同。
 既存の国際規格等があるので、対応関係を明確化してほしい。
 NIST SP800-171と⽐較して、対策の強度は低いが準拠するためのコストが掛かることを懸念。

 海外からの主な意⾒ フレームワーク案を広く⽀持。サイバーセキュリティと経済活動を両⽴する上で効率的な、マルチステークホルダーア
プローチやリスクベースアプローチに合致する多数の概念や対策が含まれている。
 国際規格であるIEC 62443 への⾔及が少ないように⾒える。
 中⼩企業にとっても活⽤しやすいガイドラインを期待。
19

(参考)国際標準等との整合性について
 国際標準等との整合性を取るため、国内外の30以上の規格等を参照して作成。
 特に、3つの重要な規格等(下記⾚字のもの)については、対応表を作成し、整合性を確認した上で、公表済み。
（参照した主な規格等）
 国際標準① IEC 62443 (IEC)② ISO/IEC 27001:2013 (ISO/IEC)③ ISO/IEC 27002:2013 (ISO/IEC)

 ⽶国NIST関連⽂書① Framework for Cyber-Physical
Systems② Framework for Improving Crititcal
Infrastructure Cybersecurity

 欧州 Industrie 4.0 関連⽂書
① インダストリー4.0実現戦略(Umsetzungsstrategie Industrie 4.0)

(NIST サイバーセキュリティフレームワーク）③ Draft NISTIR 8200
④ NIST SP800-53② Security in RAM4.0⑤ NIST SP800-161③ Secure cross-company communication⑥ NIST SP800-171
20

１．IoTの進展等によるSociety5.0の実現に伴うサイバー攻撃の脅威レベルの向上と海外の動向
２．サプライチェーンサイバーセキュリティ強化へ向けた検討体制の構築
３．サイバー・フィジカル・セキュリティ対策フレームワークの策定
４．フレームワークを活⽤したサプライチェーンサイバーセキュリ
ティ強化~産業分野別のガイドライン策定と必要な技術開発の促進
21サイバー・フィジカル・セキュリティ対策フレームワークの実装の⽅向性
 『サイバー・フィジカル・セキュリティ対策フレームワーク』は、対策の枠組み(チェックポイント)を⽰したものであり、セキュリティ⽔準(対策の強度)を⽰すものではない。
 産業分野ごとに守るべきものやリスクに違いも存在するため、産業分野ごとにセキュリティ⽔準の検討を進めていく。
 必要に応じて、求められるセキュリティ⽔準を満たしていることについて、認証を含めた確認⽅法
についても検討を進める。
『サイバー・フィジカル・セキュリティ対策フレームワーク』と分野別におけるセキュリティ対策のイメージ
分野別セキュリティガイドライン
サイバー・フィジカル・セキュリティ対策フレームワーク
三層別アプローチ

必要な対策のポイント

必要なセキュリティ⽔準

セキュリティポリシーの策定、体制の整備
1. 企業間のつながり(主体の信頼)事業継続計画⼜はコンティンジェンシープラ 対策のポイントンへの反映を踏まえて産業・・

2. フィジカル空間とサイバー空間のつながり(機能の信頼)3. サイバー空間におけるつながり(データの信頼)セキュリティ対策が施されたIoT機器の導⼊セキュリティバイデザインの実践
・・
信頼できるサービスサプライヤーの選定
サイバー空間における接続相⼿の認証
・・

分野ごとに検討

確認⼿段として、認証やトラストリスト等の仕組みの検討
組織の認証(例︓ISMS 等)
機器の認証(例︓CC、IEC62443
等)

クラウドの認証(例︓ISO27017 等)

22産業分野ごとの検討の促進︓分野別のSWGの設置
 WG1で検討する『サイバー・フィジカル・セキュリティ対策フレームワーク』を、分野別に順次展開し、具体的適⽤のためのセキュリティポリシーを検討。

ＷＧ１ 制度・技術・標準化
標準モデル

Industry by Industryで検討 (分野ごとに検討するためのSWGを設置)（エレベーター、
エネルギー管理等）

2/28 第1回会合, 4/16 第2回会合,
6/11 第3回会合開催

電⼒

6/12 第1回会合開催

防衛産業

3/29 第1回会合開催

⾃動⾞産業

設置に向けた検討中

スマートホーム

3/13 第1回会合, 4/5 第2回会合,
6/13 第3回会合開催

ビル

その他コネイン関係分野(防衛装備庁 第6回情報セキュリティ官⺠検討会）(JEITA スマートホーム部会 スマートホームサイバーセキュリティWG）

23

ビルSWG（座⻑︓江崎 浩 東京⼤学 教授）
 ビルの情報系・制御系システムに係るサイバー攻撃のリスクと、それに対するサイバーセキュリティ対策について、海外における取組状況を含めて知⾒を共有
 共有した知⾒を踏まえ、ビルに求められるサイバーセキュリティ対策を整理し、ビルに関わるステークホ
ルダーが活⽤できるガイドライン等をとりまとめる
 オリパラに向けて、各事業者において実施できる分野から実装を⽬指す＜構成員＞
有識者、ビルオーナー、ゼネコン、サブコン、設計事務所
個別システム事業者（ビル管理、空調、エレベーター、ビデオ監視、電⼒・熱供給 等）
⾃治体、関係省庁 等＜ガイドラインのとりまとめイメージ＞ ビルシステム全体に共通する最低限の要求をまとめたもの＋より詳細な⽅策を⽰したものの⼆階建て構成
 ガイドラインでは、多くの事業者の取組の参考となるよう優先順位を⽰した選択肢を提供
内容項⽬例
・ ビルに係わるサイバーセキュリティ上の脅威の現状
・ ビルシステムに対して起こりえる攻撃とその影響の予測
・ サイバーセキュリティ確保のための対策の概要
・ 対策の具体的内容
・ 対策実施に向けたチェックリスト

フェーズ

主な要求概要関係する
ステークホルダー

設計

機器、ネットワーク、物理
セキュリティへの要求

設計事務所、オーナー、
ゼネコン、サブコン、
ベンダー

施⼯／建築

機器単位、システム単位の施⼯プロセスへの要求

ゼネコン、サブコン、
ベンダー

竣⼯検査

全体管理体制、管理結果、受⼊検査への要求

ベンダー、ゼネコン、
サブコン、オーナー、
設計事務所

運⽤・保守

管理体制への要求

オーナー、サブコン、
ベンダー

24

スマートホームSWG（座⻑︓⼩松崎 常夫 セコム株式会社 顧問）
 JEITA スマートホーム部会内にスマートホームサイバーセキュリティWGを新たに設置
 ハウスメーカ、システム・インテグレータ、機器メーカ等の住まいに関わる企業、業界団体が参加＜構成員＞
企業）家電・AV関連、IT・通信関連、⾞載関連、住宅設備・サービス関連
団体・機関）住宅・住宅設備分野、電機・通信分野、医療分野、研究機関
スマートホーム部会⻑の丹 康雄教授（北陸先端⼤）も委員として参画＜検討項⽬＞

マンション
⼾建て

⾏政

住宅設備

家電

ヒト
（⽣命・財産）⾃動⾞・流通サービス

スマートホーム
サプライチェーン

消費者視点に⽴った信頼のサービスチェーン

Step1 “スマートホーム産業”に求められるセキュリティ対策像を整理し、住宅・住設・家電・サービス等のスマートホームサプライチェーンで活⽤できる「サイバー・フィジカル・セキュリティ対策フレームワーク」を策定する。
Step2 「サイバー・フィジカル・セキュリティ対策フレームワーク」を概念としてだけではなく、各事業者が実際のセキュリティ対策オペレーションレベルで活⽤できるよう、実効的な施策について検討を⾏い、必要に応じて、政府への政策提⾔を⾏う。
Step3 実運⽤に向けて、消費者へのリスク周知や免責事項、モニタリングの在り⽅、事業者間の信頼の創出⽅法等について検討。さらには、ス
マートホームからスマートライフ分野（街・社会インフラ）に対応したセ
キュリティ対策についても検討を進めていく。
25

サプライチェーンサイバーセキュリティに係る研究開発の推進
 総合科学技術・イノベーション会議の研究開発プログラム（SIP）に「IoT社会に対応したサイバー・フィジカル・セキュリティ」プログラムを設置など(※）研究開発事業を拡充。
 更に、拠点化による中核的な研究開発体制の整備や、研究成果の実装のための認定・認証体制の強化を推進。
SIP第2期 「IoT社会に対応したサイバー・フィジカル・セキュリティ」
平成30年3⽉30⽇︓

研究開発の内容

総合科学技術・イノベーション会議にて課題決定■サプライチェーンのセキュリティ確保
平成30年4⽉12⽇︓
プログラムディレクター(PD)決定後藤 厚宏 情報セキュリティ⼤学院⼤学 学⻑
平成30年度下半期︓
研究開発開始を予定（例）• IoT等のエッジデバイスのセキュリティ確保
技術•

取引先のセキュリティの確保状況を確認するための基盤技術•

AIを活⽤したサイバー攻撃の検知・解析
技術※ AIチップ・次世代コンピューティングの技術開発においてもセキュリティ技術の研究開発を推進

26

(参考)
サイバーセキュリティの枠組みを巡る各国との議論の状況

27

マルチ・バイを通じた国際協調への取り組み① 「サイバー・フィジカル・セキュリティ対策フレームワーク」を軸に、各国のステークホルダーと議論、マルチの会議で紹介し、サイバー・フィジカル・セキュリティに関する共通の認識を醸成。
 安全なサプライチェーンの実現には関係する者の信頼性の確保について、各国と意⾒交換。

【ドイツ】 Securing Global Industrial Value Networks （2018年5⽉＠ベルリン）
 ドイツを中⼼とした各国の官⺠の関係者にむけて、Society5.0時代のサイバーセキュリティについて
フレームワークや標準化活動等、⽇本の取組を説明。
 ⽇独連携の取組の成果として、2017年に引き続き
2018年5⽉に産業サイバーセキュリティに関する共同
ポジションペーパーを発出。
カンファレンスの講演内で
⽇独双⽅から披露・解説。
28マルチ・バイを通じた国際協調への取り組み②【EU・OECD】
 ⽇EUデータエコノミー対話 政府間会合（2018年4⽉＠東京）
 EUでサイバーセキュリティを所掌する通信総局（DG CONNECT）へフレームワークを紹介。
⽇欧は協調してセキュリティに関する国際的なルール構築に当たっていくとの認識を共有。
 OECD／CDEP（デジタル経済政策委員会）会合（2018年5⽉＠パリ）
 セキュリティ・プライバシーに関する作業部会（SPDE）にてフレームワークを紹介。

29

マルチ・バイを通じた国際協調への取り組み③【アメリカ】
 TecGlobal （⽶国商⼯会議所主催）（2018年４⽉＠ワシントン）
 国⼟安全保障省、アメリカ⺠間企業等に、現在⽇本で検討を進めているフレームワークについて、基本的な考え⽅や検討状況を共有し、お互いのサイバーセキュリティの取組を協調しながら進めていく環境を整備。

⽶国商⼯会議所のHPより引⽤

 Industrial Control Systems Joint Working Group (ICSJWG)（2018年４⽉＠アルバカーキ）
 ⽶国国⼟安全保障省(DHS）傘下の国家サイバーセキュリティ通信総合センター（NCCIC）が、重要インフラ防護に向けて官⺠関係者の連携を深めるべく、関係者で情報共有を図る会議において「サイバー・フィジカル・セキュリティ対策フレームワーク」を初めとする経産省のサイバーセキュリティ政策について紹介。

30

マルチ・バイを通じた国際協調への取り組み④【ASEAN】
 第2回⽇・ASEANサイバーセキュリティWG（2018年５⽉＠インドネシア・バリ）
 情報セキュリティ分野において、我が国とASEAN諸国との国際的な連携・取組を強化することを⽬指
す会議において、⽇本のサプライチェーンセキュリティの取組、フレームワークについて紹介。域内の情報
セキュリティ⽔準向上のための意識啓発を実施。
 ⽇⽶共同演習への参加を呼びかけ。

31マルチ・バイを通じた国際協調への取り組み⑤【APEC】
 APEC TEL57（第57回電気通信・情報作業部会）（2018年6⽉＠パプアニューギニア・ポー
トモレスビー） Security and Prosperity Steering Group (SPSG)において中国のサイバーセキュリティ関連組織であるCNCERT/CCが主催した「IoT Security Workshop」で、「サイバー・フィジカル・セキュリ
ティ対策フレームワーク」について紹介。
 華為技術（Huawei）、カスペルスキー研究所、UL等の⺠間企業やIntermet Society(ISOC)、
Asia-Pacific Network Information Centre （APNIC ）等の国際団体も参加。

32

(参考)
海外の動向の詳細等

33

連邦政府のサイバーセキュリティリスクに関する報告書
 OMBとDHSが政府機関のサイバーセキュリティ管理能⼒のアセスメントを⾏い、96機関中71機関（74%）の機関が⾼リスク⼜はリスクがあると報告。
改善に必要とされる４つのコア活動（１）サイバー脅威フレームワークの活⽤により、リスクの優先順位をつけて対策に取組む。
（２）ＩＴとサイバーセキュリティに係るコスト管理と資産マネジメント能⼒の標準化。
（３）ＳＯＣの統合により検知・対応能⼒を向上。
（４）プロセス改善や繰り返しのリスクアセスメントにより、説明責任能⼒を向上。
 サイバー脅威フレームワーク （右図）
• 国家情報⻑官官房(ODNI)が開発。
• サイバー攻撃における⼀連の活動を、４つの段階（Preparation  Engagement  Presence  Effect/Consequence）に分けて整理。
• サイバー攻撃に関する共通的な語彙と枠組みを提供し、脅威の傾向や必要な対策等を検討する際に使⽤されることを⽬指している。
出典︓⽶国国家情報⻑官官房(ODNI)

34

ボットネット対策等に関する報告書
 2017年5⽉、トランプ⼤統領が「サイバーセキュリティ強化のための⼤統領令」に署名。
 2018年１⽉、⼤統領令を踏まえた報告書案を公表（セキュリティ確保のためのエコシステムの形成を強調）。
 2018年2⽉28⽇~3⽉1⽇、NIST、NTIA、DHSによるワークショップ開催。
 2018年５⽉、本報告書を⼤統領に報告。
同⽉22⽇、NTIAが最終報告書を公表。
2017年5⽉⼤統領令
Presidential Executive Order on Strengthening the Cybersecurity of Federal Networks
and Critical Infrastructure（連邦ネットワーク及び重要なインフラストラクチャに対するサイバー
セキュリティの強化に関する⼤統領令） 2017年5⽉11⽇①連邦政府のネットワーク ②重要インフラ ③国家／国⺠のためのサイバーセキュリティ(ボット
ネット対策含む)に関して各連邦政府機関の⻑に対し、期限以内に⼤統領に報告書を提出するよう指⽰

2018年5⽉最終報告書
A Report to the President on Enhancing the Resilience of the Internet andCommunications Ecosystem Against Botnets and Other Automated, Distributed
Threats（ボットネットおよびその他の⾃動化・分散化した脅威に対するインターネット・通信のエコシステムの強靭性の強化に関する報告書） 2018年5⽉22⽇
本報告書の公表をもって取組が終わる訳ではないとした上で、連邦政府が取り組むべき事項に⼒点を置き、関係者による様々な取組の調整・協働をサポートするための道筋を提⽰

35

NIST SP800-171
 NIST SP800-171は、CUIの保護を⽬的に14個のカテゴリと109の項⽬から構成。
 SP800-171の遵守状況に関する政府機関による第三者認証制度はなく、⾃⼰宣⾔という形で準拠したか否かについて判断する⾃⼰認証を採⽤。
2015.06

NIST SP800-171策定

⾮政府機関の情報システム等におけるCUI(*1)の保護を⽬的としたサイバーセキュリティ対策の要件を規定

2016.10DFARS Clause252.204-7012
発⾏

CDI(*2)を保護対象とし、⽶国防衛省と契約する者に対し、2017年12⽉31⽇までにSP800-171相当のサイバーセキュリティの対応を要求。

NIST SP800-171における14個のカテゴリ(*1) Controlled Unclassified Information︔管理対象となるが秘密指定されていない情報(*2) Covered Defense Information

1. アクセス制御︓システムへのアクセスが出来る⼈／機能を制限す9. ⼈的セキュリティ︓システムへのアクセスを⾏う個⼈を審査することること
10. 物理的保護︓組織のシステム、装置等への物理的アクセスを
2. 意識向上と訓練︓セキュリティポリシーを遵守すること制限すること
3. 監査と責任追跡性︓システムの監査を⾏うとともに責任の追及
11. リスクアセスメント︓情報資産のリスクを適切に評価することが出来ること4. 構成管理︓システムを構成する機器に求められるセキュリティ構 12. セキュリティアセスメント︓セキュリティ管理策を定期的に評価すること
成設定を確⽴すること
5. 識別と認証︓システム利⽤者、デバイスを識別すること(例えば、13. システムと通信の保護︓システムの鍵となる通信を監視し、制御し、保護すること
⽣体認証を必須化)
14. システムと情報の完全性︓タイムリーに情報及びシステムフローを
6. インシデント対応︓インシデントの追跡、報告が出来ること
識別すること
7. メンテナンス︓組織のシステムのメンテナンスを⾏うこと
8. 記録媒体保護︓CUIをセキュアに格納するとともにアクセスできる者を制限すること
36

NIST SP800-171
 NISTは、SP800-171の定期的なメンテナンスを実施。
 2018/06/07にも、アップデート版を公表。
2018/06/07アップデート版では、「APPENDIX F︓DISCUSSION」が追加。
これは、CUIセキュリティ要件の実装と評価を容易にするための「DISCUSSION」を提供するものである。

例
3.1.13

SECURITY REQUIREMENT
リモートアクセスセッションの機密性を保護するために暗号メカニズムを採⽤する。
DISCUSSION
⼀般に適⽤される暗号標準には、FIPSで検証された暗号とNSAで承認された暗号が含まれる。
37