資料８

関係省庁の取組状況について

【総

務 省】

資料８－１

総務省におけるサイバーセキュリティ施策の取組状況について【経済産業省】資料８－２ 経済産業省におけるサイバーセキュリティ施策の取組状況について資料８－１

総務省におけるサイバーセキュリティ施策の取組状況について2021年５月
総務省サイバーセキュリティ統括官室

LINE株式会社おける情報管理の状況

2

 LINE株式会社が提供するLINEサービスに関するシステム開発や運用の一部が中国企業や日本企業の中国拠点に委託されていた。また、トークのテキストデータは国内のデータセンターに保管されている一方、画像や動画等のデー
タは韓国のデータセンターに保管されていた。
 LINEは国内で8,600万ユーザが利用するとともに、一部公共サービスにも利用されており、データの適正な取扱い、
サイバーセキュリティ上のリスクに懸念がある。
※LINE株式会社の公表資料及び同社から聴取した内容に基づき作成

データの保管場所サービス
LINEメッセンジャー（トーク）LINE公式アカウント（トーク）

データ

保管場所

テキスト

日本

画像・動画・ファイル

日本・韓国

テキスト

日本

画像・動画・ファイル

韓国

国外での情報の取扱い
実施拠点

主な業務

主な取扱い情報

NAVER China

・公開タイムラインと通報コンテンツのモニタリング（日本・台湾・タイ・インドネシア以外）
・LINEゲームサービスのモニタリング、テスト

通報されたテキスト・画像・動画・ファイル

日系企業A社の中国拠点

・公開タイムラインとオープンチャットのコンテンツモニタリング
・タイムラインとオープンチャットで通報されたコンテンツのモニタリング

通報されたテキスト・画像・動画・
ファイル

LINE Digital Technology（通称LINE China）

・通報モニタリングツールの開発保守
・画像処理、モニタリングフィルター開発

通報されたトーク・タイムライン・公式アカウントのテキスト/画像/動画

LINE株式会社に対する行政指導 LINE株式会社の報告に基づく限りにおいては、通信の秘密の侵害等があった旨は確認できなかった一方で、社内システムの安全管理措置等や利用者に対する説明等に関して一部不十分な点が認められた。
 このため、令和３年４月26日、同社に対し文書による行政指導を実施。指導を踏まえて講じた措置の状況について、
同年５月末までの報告を求めている。
１ 社内システムに関する安全管理措置等に関する事項ととするとともに、開発プロセス全般について再点検を行うこと。
（１）社内システムへのアクセス管理の徹底② 適切な開発プロセスによる開発の実施や開発者に対するアクセス権限の適切な社内システムへのアクセスを通じた利用者の個人情報や通信の秘密に該当する情付与、また、不適切なケースがあった場合の迅速な対応を図るため、開発組織のガ報の漏えいが生じることのないよう、その万全を図るため、次のとおり、社内システムへのバナンスの在り方の見直しを含めた検討を行い、その着実な確保を図ること。
アクセス管理の強化徹底を図ること。
① 今回の報告において、LMP（社内システムの１つであるモニタリング支援システ （３）社内システムに関するリスク評価等を通じた透明性・アカウンタビリティの向上
ム：LINE Monitoring Platform）へのアクセス権限に関して、一部に適切なプ
社内システムからの利用者の個人情報及び通信の秘密に該当する情報の漏えいのロセスを経て付与されたものか否かが確認できないケースがあったと認められることを防止に万全を期す上でリスク評価が十分ではなかったと認められることを踏まえ、次のと踏まえ、社内システムへのアクセス（外部向けサービスのためのシステムへの内部から おり、社内システムに関するリスク評価等を行い、これらの情報の適切な取扱いに係るのアクセスを含む。以下同じ。）の権限が、真に適切な者に対して、適切な範囲で 透明性・アカウンタビリティの向上を図ることにより、利用者からの信頼の確保に努める
付与されるプロセスになっているかについて、全般的に点検を行うとともに、その結果 こと。
を踏まえて、必要に応じ、適切なプロセスを通じたアクセス権限の付与を確保するた ① 上記（１）及び（２）を含め、外国の法的環境による影響等にも留意しつつ、めの措置を講じること。
委託先を含めた社内システムの開発・運用に当たっての情報の取扱いに係るリスク② 今回の報告において、LMPへのアクセスのための通信について、不正の検知やログ評価を実施し、必要に応じ所要の措置を講じること。また、これらの措置を講じた場
インしようとする者の認証の仕組みが、不正行為の防止や本人性の確認のための対合には、当該措置を適切に反映した内容になるようポリシーを見直すこと。なお、例策として必ずしも十分に厳格であるとはいえない部分があると認められることから、こ
外的なプロセスを適用する場合には、適用の範囲及びその判断の手続についても当
れらの対策について点検を行うとともに、その結果を踏まえて、必要に応じ、例えば、
該ポリシーにおいて明確にすること。
社内システムに対する不正・不審なアクセスの監視や監査、社内システムにアクセス ② 貴社においては、データセキュリティのガバナンス強化と情報保護の強化の観点かする者の認証の強化等、内部からの不正・不審なアクセスやなりすましの防止に万ら「米国NISTが定めた世界トップレベルのセキュリティ基準への準拠」を図ることとし全を図るための方策を検討し、具体的な措置を講じること。
ていると承知しているところ、今後貴社において必要な体制の構築等を図ることにより、同基準への準拠に向けた取組の強化を図るなど、透明性・アカウンタビリティの向（２）開発プロセス及び開発組織のガバナンスの強化上に努めること。
今回の報告において、内部向けシステムであるLMPの開発プロセスにおいて、権限管理やセキュリティチェックが適切に実施されていないケースがあったと認められることを ２ 利用者への適切な説明に関する事項
踏まえ、LMPに限らずシステム開発全般について、適切な開発プロセスの下で実施さトーク履歴等の通報機能使用に際して、利用者に示される文言が想定していたもの
れるよう確保することにより、利用者の個人情報及び通信の秘密に該当する情報のと異なっていたケースがあったことを踏まえ、通信の秘密に関する情報の適切な取扱い
漏えいが生じることのないよう、その万全を図る観点から、次のとおり、開発プロセス及 を確保する観点から、トーク履歴の通報を行った際に、貴社に提供される情報の範囲、び開発組織のガバナンスの在り方を見直し、その強化を図ること。
提供された情報の利用目的について利用者が分かりやすく理解できるようにするため① 内部向けシステムの開発プロセスについて、原則として電気通信役務の提供等の の措置を講じること。また、貴社に提供された情報が当該利用目的の範囲内で適切
外部向けサービスのためのシステムに係る開発プロセスと同様の開発プロセスによるこ に取り扱われることを確保するための措置を講じること。

3

電気通信事業ガバナンス検討会
 デジタル変革時代における安心・安全で信頼できる通信サービス・ネットワークの確保を図るため、電気通信事業者におけるサイバーセキュリティ対策及びデータの取扱いに係るガバナンス確保の今後の在り方について検討を行うことを目的として、令和３年５月より、「電気通信事業ガバナンス検討会」を開催。
検討事項（１）電気通信事業者におけるサイバーセキュリティ対策及びデータの取扱いに係るガバナンス確保の今後の在り方（２）上記（１）を踏まえた、政策的な対応の在り方（３）その他

構成員

相田 仁

東京大学大学院工学系研究科教授

石井 夏生利 中央大学国際情報学部教授
上沼 紫野（座長） 大橋 弘（座長代理） 後藤 厚宏

虎ノ門南法律事務所弁護士
東京大学公共政策大学院院長／大学院経済学研究科教授
情報セキュリティ大学院大学学長

中尾 康二

一般社団法人ICT-ISAC顧問
国立研究開発法人情報通信研究機構サイバーセキュリティ研究所主管研究員

中村 修

慶應義塾大学環境情報学部教授

古谷 由紀子 公益社団法人日本消費生活アドバイザー・コンサルタント・相談員協会監事
森 亮二

英知法律事務所弁護士

山本 龍彦

慶應義塾大学大学院法務研究科教授

オブザーバ 内閣官房内閣サイバーセキュリティセンター、 内閣官房IT総合戦略室、個人情報保護委員会

4

実践的サイバー防御演習（

5）

 総務省は、情報通信研究機構(NICT)を通じ、国の機関、指定法人、独立行政法人、地方公共団体及び重要インフラ事業者等の情報システム担当者等を対象とした体験型の実践的サイバー防御演習(CYDER)を実施。
 受講者は、チーム単位で演習に参加。組織のネットワーク環境を模した大規模仮想LAN環境下で、実機の操作を伴ってサイバー攻撃によるインシデントの検知から対応、報告、回復までの一連の対処方法を体験。
 全都道府県において、年間100回・計3,000名規模で実施。 参加申込 → https://cyder.nict.go.jp※2017年度：100回・3,009名／2018年度：107回・2,666名／2019年度：105回・3,090名／2020年度：106回・2,648名
閉域ネットワーク

我が国唯一の情報通信に関する公的研究機関であるNICTが有する最新のサイバー攻撃
情報を活用し、実際に起こりうるサイバー攻撃事例を再現した最新の演習シナリオを用意。
北陸StarBED技術センターの大規模高性能サーバ群を活用

閉域ネットワーク

FW

FW

研究データ
サーバ

受発注管
理サーバ

研究開発環境

端末

端末

端末

端末

端末

FW

DHCP
サーバ
※業務用ネットワーク
内の端末はDHCPによって動的にIPアドレスが割り当てられる

FW

AD
サーバ

Web
サーバ

ファイル
サーバ

メール
サーバ

端末

DNS
サーバ

端末

端末

※遮断通信のみ
ログ出力

各課のセグメント

基幹系ネットワーク

SOC
監視対象

プロキシ
サーバ

端末

※業務用ネットワーク内からイ
ンターネットへのHTTP通信は
本プロキシサーバを経由する

Aソリューション(株)の運用支援範囲
研究開発用ネットワーク

擬似
攻撃者

インターネット

無害化
サーバ

業務用ネットワーク

DMZ

演習模様
専門指導員
による補助

企業・自治体の社内LANや端末を再現した環境で演習を実施チーム内での議論を通じた相互理解

受講チームごとに独立した演習
環境を構築

本番同様の
データを
使用した演習

コース名

演習方法

A
B-1
B-2

レベル
初級

集合演習

C
オンラインA ｵﾝﾗｲﾝ演習

中級

受講想定者（習得内容）
システムに携わり始めた者(事案発生時の対応の流れ)

システム管理者・運用者(主体的な事案対応・ｾｷｭﾘﾃｨ管理)

準上級

セキュリティ専門担当者

初級

システムに携わり始めた者(高度なセキュリティ技術)(事案発生時の対応の流れ)

受講想定組織

開催地

開催回数

実施時期

全組織共通

４７都道府県

６５回

７月～翌年２月

地方公共団体
全国１１地域
２１回
地方公共団体以外 東京・大阪・名古屋・福岡 １３回

10月～翌年２月
翌年１月～２月

全組織共通

東京

２回

全組織共通

（受講者職場等）

随時

翌年１月～２月
秋以降開始(6~8月に試験提供予定)

令和３年度から新規開設

令和３年度の実施計画

インシデント（事案）対処能力の向上

演習のイメージ

資料８－２

第６回
産業サイバーセキュリティ研究会
事務局説明資料（抜粋）

令和３年４月２日
経済産業省
商務情報政策局

アクションプランの持続的発展と、新たな課題へのチャレンジへ
2020年12月18日発出「注意喚起」のUpdate サプライチェーン、クラウド、ファイル共有、制御系を狙った高度なサイバー攻撃事例
 最新の攻撃事例を踏まえた対策のアップデート

Cyber New Normalにおける５つの処方箋 ＜１～3年 ＞(継続) デジタル化が急加速する中でのサイバー脅威の常態化 “Cyber New Normal”

① 「開発のための投資」から「検証のための投資」へのシフト② サイバー空間における価値創造を支えるデータマネジメントの枠組みの策定③ セキュリティとセーフティの融合への対応④ サプライチェーンセキュリティ確保のための産業界一丸となった対応⑤ Like-mindedの関係強化

国としての対処能力の強化 ＜ 1～5年 ＞

New！

For the future infrastructure ＜３～５年 ＞(継続)

 国としての対処能力の構築 重要インフラ産業の“基盤インフラ”も仮想化時代へ突入 インフラの機能を支える“高信頼な基盤インフラ”の構築・保守能力の確保
1

アクションプランの持続的発展と、新たな課題へのチャレンジへ
2020年12月18日発出「注意喚起」のUpdate サプライチェーン、クラウド、ファイル共有、制御系を狙った高度なサイバー攻撃事例
 最新の攻撃事例を踏まえた対策のアップデート

Cyber New Normalにおける５つの処方箋 ＜１～3年 ＞(継続) デジタル化が急加速する中でのサイバー脅威の常態化 “Cyber New Normal”

① 「開発のための投資」から「検証のための投資」へのシフト② サイバー空間における価値創造を支えるデータマネジメントの枠組みの策定③ セキュリティとセーフティの融合への対応④ サプライチェーンセキュリティ確保のための産業界一丸となった対応⑤ Like-mindedの関係強化

国としての対処能力の強化 ＜ 1～5年 ＞

New！

For the future infrastructure ＜３～５年 ＞(継続)

 国としての対処能力の構築 重要インフラ産業の“基盤インフラ”も仮想化時代へ突入 インフラの機能を支える“高信頼な基盤インフラ”の構築・保守能力の確保
2

SolarWinds Orion Platformのアップデートを悪用した攻撃 2020年12月13日、SolarWinds社は同社のネットワーク監視ソフトウェア「Orion Platform」に、正規のアップデートを通じてマルウェアが仕込まれたことを公表。
 攻撃は2019年9月には始まっていたとみられ、2020年3月～6月のアップデートファイルが侵害されたことで、米政府機関等を含む最大約18,000組織が影響を受けたとされる。
 初期段階のマルウェアは、セキュリティサービスの検知を回避しつつ被害組織の情報をC2サーバーへ送信。攻撃者が関心のある標的に対しては第２段階のマルウェアが投入され、資格情報を窃取した上で、米国政府内、政府間のやり取りを傍受していた可能性が指摘されている。
◆攻撃イメージ
SolarWinds社

攻撃者①アップデート
ファイルの改ざん

C2サーバー②感染ファイルの
配布

③組織情報
の送付

④関心のある標的に
新たなマルウェアを投入⑤資格情報の
窃取 等

開発環境（出典）各種公開情報に基づき経済産業省作成

アップデートサーバ

第一段階

第二段階

3

クラウドサービスの設定不備を原因とする不正アクセス
 2020年12月25日、セールスフォース・ドットコムは、同社が提供するサービスにおけるゲストユー
ザーに対する情報共有に関する設定が適切に行われていない場合、 一部情報が第三者より閲覧できる事象の発生を公表。また、複数の国内事業者が本事象による不正アクセス及び個人
情報漏えいの発生を公表。
 本サービスを組み込んだシステムがパッケージとして複数の顧客に提供され、同時に被害が発生したケースも。
 クラウドサービスを活用する際には、サービスの利用状況や各種設定の確認・見直しを行うなど、適切なセキュリティ対策を講ずることが重要。
◆不正アクセスがあったと公表した事業者等
•
•
•
•
•
•
•
•

キャッシュレス決済サービス事業者
サービス事業者
クレジットカード事業者
小売事業者
玩具メーカー
ガス事業者
地方自治体
独立行政法人他（出典）各種公開情報に基づき経済産業省作成◆攻撃イメージ

攻撃者

Salesforceを利用するサービス

設定に不備のある
ゲストユーザー㊙
個人情報などの
本来閲覧を想定していない情報4

ファイル共有サービスを狙ったサイバー攻撃
 2020年12月、ファイル共有サービスであるSoliton社のFileZenサービス及びAccellion社のFTA（File Transfer Appliance）における脆弱性の存在が公表された。
 本脆弱性を悪用することで、ファイル共有サービス内のデータが窃取されるほか、サービスへのログインを迂回したファイルの不正アップロードや、サービスを運用するサーバーで任意のコマンドが実行されるおそれがある。
 複数の海外企業がFTAの脆弱性を悪用した情報漏えいについて公表したほか、データを窃取したサイバー攻撃集団による被害企業に対する恐喝が発生している。また、FileZenは日本企業が提供しており、国内に多くのユーザーがいるため注意が必要である。
 こうしたサービスは機微情報の授受にも利用されており、海外では住民の個人情報や社会保障番号、銀行の取引先の営業秘密、弁護士事務所の機密情報など、社会的影響の大きい情報も流出している。
◆攻撃イメージ

ファイル共有サービス

攻撃者• データの窃取• ファイルの不正アップロード• コマンドの不正送信

悪意あるコマンドの実行
公開用Webサーバ

5

Microsoft Exchange Serverを狙った国家支援型サイバー攻撃
 2021年3月2日、Microsoft社はMicrosoft Exchange Serverのゼロデイ脆弱性を悪用した不正アクセス事案の発生及び当該脆弱性のセキュリティパッチを公表した。
 本脆弱性を悪用することで、Eメールアカウントの乗っ取りの他、攻撃者がさらなるシステム侵害を行うためのバックドアが設置されるおそれがある。そのため、パッチの適用のみならず、侵害の有無の確認及び影響の排除を行う必要がある。
 本事案が判明した時点で、全世界で数十万にのぼる組織が攻撃を受けたとされている。
 Microsoft社は、中国の支援を受けた攻撃グループによる犯行の可能性が高いとしている。
◆攻撃イメージ• メールアカウント乗っ取り• 任意のコードの不正実行

攻撃者

Microsoft
Exchange Server
任意のファイルの書込

組織内システムへの不正アクセス
組織内システム6水道システムへの不正アクセス事例
 2021年2月、アメリカフロリダ州オールズマー市水道局は、水道における産業用制御系システムを対象とした不正アクセスによって、飲用水に含まれる水酸化ナトリウムの量が一時的に通常の約100倍に上昇したと発表した。なお、オペレーターが異常に気付き、即座に設定を戻したため、実際の被害はなかったとされる。
 報道によると、職員用PCよりリモートデスクトップアプリケーションを利用して、産業用制御系システ
ムへの不正アクセスが行われたとされている。

【攻撃者】

【水道局】

不正に入手した認証情報を悪用※攻撃者は明らかになっていない 職員用PCがファイアウォール
を通さずにインターネットに直接接続されていた

リモートデスクトップ
アプリケーションを利用した
不正アクセス×
職員用PC サポートが終了したOSを利用 全ての職員用PCより産業制御系システムに接続可能 全ての職員用PCにおいて、リモート接続用に共有されたパスワードを利用（出典）各種公開情報に基づき経済産業省作成【浄水場】
産業用制御系システム
3分～5分間、マウスにて操作浄水施設

水酸化ナトリウムの濃度上昇
72020年12月18日発出「注意喚起」のUpdate ～最新事例から得られる教訓 2020年12月18日発出の「注意喚起」以降に発生したサイバー攻撃の動向等を踏まえ、ソフトウェ
ア・システム開発ベンダ、ユーザー企業が留意すべき点をまとめる。

ソフトウェア・システム開発ベンダが留意するべき事項

 ソフトウェア開発工程のセキュア化➡ 開発環境への侵入を前提に、ゼロトラスト等の仕組みを導入し、ソフトウェア開発工程全体をセキュア化する。

 ソフトウェア構成情報(SBOM）や、緊急的な攻撃回避策等の迅速・確実な提供➡ 提供するソフトウェア・サービスに関して、顧客自らが正確にリスクを把握できるように、SBOM等を提供する。
➡ 情報漏えいにつながりうる機能追加を実施したり、新たな脆弱性等が発見された場合には、被害を最小限に留めるための攻撃回避策や対応策について、迅速かつ確実に提供し、顧客を丁寧にサポートする。
➡ 上記の問題が発生し、全ての顧客と相対で速やかに対応することが難しい場合、問題と対処法を速やかに公表する。

ユーザ企業が留意するべき事項

 海外拠点（海外に業務委託している場合を含む）のセキュリティ対策の一層の強化➡ 海外拠点経由のサイバー攻撃が急増していることや、海外の事業者に業務委託する中で情報流出が発生する懸念が明らかになってきていることを踏まえ、攻撃の起点となる脆弱なサーバ（野良サーバ等）が放置されていないか、サーバ上でWebshell等の危険度の高いツールが悪用される可能性がないか、業務委託している場
合のアクセス範囲の設定などが適切になっているかなど、改めて総点検する。

 利用中のシステム/クラウドサービスに関するリスクの永続的な見直しの実施➡ システムを構築したまま放置したり、管理を委託先任せにしたりせずに、SBOM等を活用して関連する脆弱性情報を自ら積極的に把握し、迅速に対応できるようにする。
8➡ クラウドサービス利用時には、不都合な仕様変更がありうることを前提に、定期的な検証を実施する。

アクションプランの持続的発展と、新たな課題へのチャレンジへ
2020年12月18日発出「注意喚起」のUpdate サプライチェーン、クラウド、ファイル共有、制御系を狙った高度なサイバー攻撃事例
 最新の攻撃事例を踏まえた対策のアップデート

Cyber New Normalにおける５つの処方箋 ＜１～3年 ＞(継続) デジタル化が急加速する中でのサイバー脅威の常態化 “Cyber New Normal”
① 「開発のための投資」から「検証のための投資」へのシフト② サイバー空間における価値創造を支えるデータマネジメントの枠組みの策定③ セキュリティとセーフティの融合への対応④ サプライチェーンセキュリティ確保のための産業界一丸となった対応⑤ Like-mindedの関係強化

国としての対処能力の強化 ＜ 1～5年 ＞

New！

For the future infrastructure ＜３～５年 ＞(継続)

 国としての対処能力の構築 重要インフラ産業の“基盤インフラ”も仮想化時代へ突入 インフラの機能を支える“高信頼な基盤インフラ”の構築・保守能力の確保
9

１ 「開発のための投資」から「検証のための投資」へのシフト 近年ではクラウドやIoTなどの新しい技術の活用が進み、またオープンAPIやOSSが充実したこと
で、必要な“機能”を容易に調達してシステム構築できる環境になっており、開発者自身がシステム全体を把握・検証することが困難になりつつある。
 こうした環境の変化で、官民において第三者によるセキュリティ検証の必要性が増大し、検証ビジネスの需要が拡大し、産業として重要になっていくと考えられる。
従来の開発環境

昨今の開発環境

自ら設計・開発した製品・システム

他社クラウドソフトウェアハードウェア

開発者

利用

検証困難
検証可能

●● 等

OSS
利用

安価なハードウェア
API
利用

自らの開発部分

検証事業者

利用機器・システム全体を対象としたサービス検証

ソフトウェア（一部）
検証を依頼
機器・サービスのオーナー
10

１ 「開発のための投資」から「検証のための投資」へのシフト サイバー・フィジカル一体社会が到来する今、従来の「開発」中心の投資から、「検証」中心の投資
行動へのシフトが求められるのではないか。
 「検証」中心の投資行動を促す政策はどうあるべきか。

「検証のための投資」活性化に向けた施策の体系（イメージ）
検証依頼者（機器メーカ・サービス事業者・
公的機関）

検証事業者の信頼性可視化

⇒(参考資料4-④参照)⇒(P.3０参照)

認証制度(例)国際的な認証制度⇒次ページ参照

中立的組織（CSSC、CPSEC等）

検証事業者

検証サービスの高度化

SBOM等の管理ツールの活用

検証技術/規格の提供

高度な検証技術の開発
規格・認証の整備
11

１「開発のための投資」から「検証のための投資」へのシフト～電力関連機器等のセキュリティ評価手法の確立（CPIC）

 攻撃起点がサプライチェーンを通じて広がり、重要機器のサプライチェーンリスクを管理するためのセキュリティ評
価・可視化手法が必要に。
 CPIC（Cyber Product International Certification：重要インフラに対するサイバー攻撃等の脅威に対処するための国際組織EIS
Council が立ち上げた、米・英・イスラエルの官民を中心としたプロジェクト）においてその手法が議論されている。
 国際的なステークホルダ間で、サプライチェーンまで含めた機器の高いレベルの安全性を確保できるように、日本
主導で、国内電力事業者及びベンダーの協力による任意の認証制度の確立を目指す。
日本国内で検討中の素案①ECM/SCM全体を考慮した評価カテゴリ分類②スコアカード方式を活用した動的評価手法

図はクラウドサービスを事例としたイメージ

12

２ サイバー空間における価値創造を支えるデータマネジメントの枠組みの策定
 データマネジメントに関する定義を明確化し、フレームを設定することで、主体間を転々流通するデータに関するリス
クポイントの洗い出しを可能にする。
 また、本枠組みを共通の定規として利用することで、各国・地域などの主体間のデータに関するルールのギャップ/
データの流通プロトコルの問題を可視化、データの囲い込みを回避する取組につなげる。
データマネジメントの新たな捉え方▶データの ”属性” が ”場” における ”イベント” により変化する過程をライフサイクル全体にわたって管理すること
属性
データが有する性質

場
特定の規範を共有する範囲

イベント
データの属性を生成・変化させる処理

新たな捉え方への当てはめステップ（小売業におけるPOSデータの活用事例）
STEP 1
データ処理フロー(イベント)の可視化
STEP ２
必要な制度的な保護措置(場)の整理
STEP ３「属性」の具体化

STEP ４
イベントごとのリスクの洗い出し

販売データA(物理店舗)
属性

カ テ ゴ リ 営業秘密
イベント
ﾌﾟﾗｲﾊﾞｼｰ性 高い
生成・取得
価
値 高い
開 示 範 囲 A社内
データ権利者 A社 個人
保 有 主 体 A社

販売データB(ECサイト)属性

カ テ ゴ リ 営業秘密
イベント
ﾌﾟﾗｲﾊﾞｼｰ性 高い
生成・取得
価
値 高い
開 示 範 囲 A社内
データ権利者 A社 個人
保 有 主 体 A社

販売集計データA(物理店舗)
属性

カ テ ゴ リ 営業秘密
ﾌﾟﾗｲﾊﾞｼｰ性 高い
価
値 高い
開 示 範 囲 A社内
データ権利者 A社 個人
保 有 主 体 A社

販売集計データB(ECサイト)属性

場（小売事業者X ）ネットワーク上の通信の盗聴
イベント
統合販売データ
加工（統合）
属性

イベント

カ テ ゴ リ 営業秘密
ﾌﾟﾗｲﾊﾞｼｰ性 非常に高い
価
値 非常に高い開 示 範 囲 A社内
データ権利者 A社 個人
保 有 主 体 A社

イベント
加工

エリア別売上/
会員数データ属性

カ テ ゴ リ 営業秘密
加工（統合）
ﾌﾟﾗｲﾊﾞｼｰ性 高い
価
値 高い
開 示 範 囲 A社内
データ統合の際に名寄せ誤りが生じる
データ権利者 A社 個人
保 有 主 体 A社場（個人情報保護法）

場（割賦販売法/PCI-DSS）

カ テ ゴ リ 営業秘密
ﾌﾟﾗｲﾊﾞｼｰ性 低い
価
値 高い
開 示 範 囲 A社内
データ権利者 A社
保 有 主 体 A社

13

３

セキュリティとセーフティの融合への対応～IoTセキュリティ・セーフティ・フレームワーク（IoT-SSF）の策定

 用途や使用環境によって課題が異なるIoT機器・システムに対するセキュリティ対策を、複数のス
テークホルダ間で合意する際に活用できる「IoTセキュリティ・セーフティ・フレームワーク（IoTSSF）」を2020年11月5日に公開。
 本フレームワークで、IoT機器・システムをカテゴライズし、カテゴリごとに求められるセキュリティ・セーフティ
要求の観点を把握・比較することにより、それぞれに求める対策の観点・内容の整合性を確保できる。
フィジカル・サイバー間をつなげる
機器・システムのカテゴライズのイメージ※ 同じ機器・システムでも使用形態などによってマッピング先が異なり得る。
例えば、機器ｇと機器ｈが同じ機器で異なる使用形態である場合などがあり得る。）

カテゴリに応じて求められる
セキュリティ・セーフティ要求の観点のイメージ

14

３

セキュリティとセーフティの融合への対応～欧州NLF関連指令、IECのサイバーセキュリティ関連、製品安全分野における検討 欧州では、各NLF関連指令・規則にサイバーセキュリティの要素を盛り込む検討が進行。国際電気標準会議(IEC)においても、遠隔通信を行うIoT機器にサイバーセキュリティの要素を要求する動き。

 日本では、平成30年度よりIoT化が進む製品を中心に製品安全確保の在り方に関する検討会及び業界団体
等によるワーキンググループを設置。令和２年度末以降、ガイドラインを取りまとめる予定。

欧州：各NLF関連指令の検討状況（例）
NLF関連指令

検討状況

無線指令(RED)• 2021年Q2に改正予定• EN 303 645(消費者IoTに係る欧州標準)の参照を検討中。

機械指令（MD） • 2021年Q1に改正予定。
• IEC 62443の参照を検討中。
一般製品安全指令(GPSD)• 2021年Q2に改正予定• サイバーセキュリティ要素の導入を検討中

製品安全分野におけるサイバーセキュリティ関係の動き
規格

主な要求事項IEC60335-1• 2020年9月発行(家庭用及びこれに類 • 公衆ネットワークを介した遠隔通信にする電気機器の安全関する権限承認、暗号技術の適用性 第1部：通則)等の製品安全に係るセキュリティ要求等を整理。

日本：製品安全分野における検討
IoT化を念頭にした製品安全対策を検討する
有識者会議を設置。ガイドラインをとりまとめる予定。
●検討の背景従来の製品安全対策では想定されていなかったインターネットを介した遠隔操作を念頭に、生命・身体に危害等が及ばぬよう追加すべき対策などを整理する。
●委員構成
セーフティ及びセキュリティ分野の専門委員、業界団体 等●検討内容
IoT化が進展している製品を中心に、インターネットを介し遠隔操作された場合のリスクシナリオ及びユースケースの検討を実施。
●令和2年度の取組
製品設計上の対応、安全機能のあり方などを整理。IoT化等製品の安全確保の在り方に関するガイドラインを策定検討。今後公表する予定。
15

４

サプライチェーンセキュリティ確保のための産業界一丸となった対応～サプライチェーン・サイバーセキュリティ・コンソーシアム（SC3）～

 趣旨: 大企業と中小企業がともにサイバーセキュリティ対策を推進するためのコンソーシアムを立ち上げ、「基本行動指針※」の実践と中小企業・地域を含めたサプライチェーンのサイバーセキュリティ対策を産業界全体の活動として展開していく。
※サイバー攻撃事案発⽣時における、「共有、報告、公表」によるリスクマネジメントの徹底。

 参加者: 経済団体、業種別業界団体 等（2020年2月末時点で169会員）
 設立日: 2020年11月1日（設立総会：2020年11月19日）
 活 動: 特定の課題についてWGを設置し、具体的アクションを展開。
Supply-Chain Cybersecurity Consortium (SC3)
総会

事務局：ＩＰＡ

年１回程度開催（WG報告、重要事項の決定等）

基本行動指針（共有・報告・公表）
へのコミットメント

中小企業対策強化ＷＧ

運営委員会

会 長 ：経団連 サイバーセキュリティ委員長 遠藤信博氏
副会長：日本商工会議所 特別顧問 金子眞吾氏
経済同友会 副代表幹事 間下直晃氏

地域SECUNITY
形成促進ＷＧ（案）

参加団体例：日本自動車工業会、電気事業連合会
全国地方銀行協会、日本損害保険協会ほか

産学官連携
人材育成ＷＧ（案）・・・・・

メンバーの意向を踏まえて特定課題を扱うWGを設置
16

４

サプライチェーンセキュリティ確保のための産業界一丸となった対応～Supply-Chain Cybersecurity Consortium（SC3）の今後の活動方針

 産業界全体で取り組むべきサプライチェーンセキュリティ対策の浸透のため、産学官連携や経営層の啓発、地域・業界別の取組等を加速するプラットフォームとしての機能に期待。
最新攻撃
動向・対策

• 新たな脅威への対抗、サイバー攻撃動向の共有、対策検討• 経営層向け注意喚起、WGやウェビナーでのプラクティス共有
政府
機関等

産学官連携
• 産学官連携促進• 人材育成• 共同研究

大学・
高専等

政府
機関等

企業

企業

地域SECUNITY
形成促進• 地域SECUNITY形成促進• 悩み・課題共有• 解決策・プラクティス共有

取引先
中小企業

取引先
中小企業

中小企業

対策強化WG

取引先
中堅企業

取引先
中小企業

取引先
中小企業

大学・
高専等

取引先
中小企業

取引先
中小企業

取引先
中堅企業

取引先
中小企業

取引先
中小企業

業界ごとのサプライ
チェーン対策• 中小企業対策促進• サイバーセキュリティお助け隊の普及• 悩み・課題・解決策・プラクティス共有• ビル、自動車、電力、防衛、スマートホー
ム、宇宙などの業界別の取組の共有• 他分野への横展開
17

５ Like-mindedの関係強化
 日本の取組を国際的なものとするため、CPSFや産業分野別/分野横断課題への検討成果を海外へ発信し国際的な議論に貢献。

ビル
SWG
第3層 ｽﾏｰﾄﾎｰﾑ 自動車
TF
SWG SWG

自工会/部工会・サイバーセキュリティガイドライン
スマートホームガイドライン

ｿﾌﾄｳｪｱTF

データマネジメントの新たな捉え方（案）

成果を海外へも発信。
米国・欧州との対話を継続し、共通認識のレベルを深め、議論の仲介を図る。

OSSの利活用に関する事例集
IoTセキュリティ・セーフティ・フレームワーク（IoT-SSF）

第2層
TF

分野横断的な課題の検討

ビルシステムガイドライン

国際標準化団体へ提案
英語版公開／公開予定

産業分野別の検討

WG1

サイバー・フィジカル・セキュリティ対策
フレームワーク（CPSF）

18

Like-mindedの関係強化
５ ～サイバー・フィジカル・セキュリティ対策フレームワークをインプットとした国際規格の策定
 国内エキスパートへ協力を仰ぎ、 ISO/IECにおいてCPSFのモデル等をインプットとした国際規格の策定を推進。
 他国の関連文書も考慮しながら、 CPSFのモデルをサイバー・フィジカル・システム（CPS）をとらえるモデルの一つとして位置づけ、SC27/WG4 にTechnical Report（TR）を提案している。
 他SCの国内外エキスパートとも連携しながら、PWI（予備業務項目）としての議論を継続中。
CPSFのモデル＜3層構造＞

国際標準化団体へ提案

・「3層構造」
・「6つの構成要素」【第３層】
サイバー空間におけるつながりというCPSFのモデル等をインプットとしたTRを提案【第２層】
フィジカル空間とサイバー空間のつながり【第１層】
企業間のつながり

ISO

IEC
JTC1
SC27

WG4

SC27/WG4において、これまでにPWIとして3度の意見募集を実施。
さらに議論を深め、国際規格（TR）の策定を目指す。

＜6つの構成要素＞
ソシキ

ヒト

モノ

データ

プロシージャ

システム

2020.4
1st PWI

2020.9
2nd PWI

2020.12
3rd PWIWD※今後のスケジュールは経済産業省および対応中のエキスパートによる想定

TR発行

19

Like-mindedの関係強化
５ ～データマネジメント（第3層の取組）
 データの取扱いに関する各国・地域のルールに対し、データマネジメントのフレームを当てはめることで、各国・地域のルール間のギャップ（凸凹）を把握しリスクポイントを可視化することが可能に。
 GDPRに関するSchremsⅡ判決の事例では、欧州からの個人データの移転に関し、プライバシー
シールドが無効と判断された米国と、十分性認定を受けている我が国の制度の違いを可視化可能。
[場]

個人データ a[属性]

個人データ a’’[属性]

欧州GDPRカ テ ゴ リ 個人データ
プライバシー性 高い
開 示 範 囲 A社内
デ ー タ 権利 者 EU市民
保 有 主 体 A社欧州拠点[イベント]
移転

個人データ a’[属性]

米国FTC法等

カ テ ゴ リ 個人データ
プライバシー性 高い
開 示 範 囲 A社内
米国政府機関デ ー タ 権利 者 EU市民
保 有 主 体 A社欧州拠点 A社米国拠点[場][イベント]
移転[場]

プライバシーシールド[場]

日本個人情報保護法等

カ テ ゴ リ 個人データ
プライバシー性 高い
開 示 範 囲 A社内
デ ー タ 権利 者 EU市民
保 有 主 体 A社欧州拠点 A社日本拠点

[場]

十分性認定

GDPRでは欧州からの第三国へのデータ移転を原則禁止しているが、我が国が十分性認定を受けているように、保有主体が異なることが問題ではない。

米国の場合、開示範囲に「米国政府機関」が追加され、プライバシー
シールド無効の判断においてもポイン
トとなった。

我が国においては、2019年1月に欧州委員会より
GDPR第45条に基づく十分性認定を受けている。
https://www.ppc.go.jp/enforcement/cooperation/cooperation/sougoninshou/

20

Like-mindedの関係強化
５ ～ソフトウェアTFの取組（OSS事例集)
 OSSの利用が広がる一方、自社だけでOSSを検証するための体制等を整えることの負担は大きく、日本だけはなく米国でもベストプラクティスを共有することに対するニーズが存在。
 「OSSの利活用及びセキュリティ確保に向けた管理手法」をまとめた事例集を作成し、参考となる事例を共有して企業における適切なOSS利用を促進。日本から働きかけることで日米でOSSの活用・管理に関するベストプラクティスを共有する機会の確保を目指す。
OSSに関する課題の観点（例）

OSS事例集で紹介する取組（抜粋）ライセンス管理 スキャンツールを用いてソフトウェア部品構成表（SBOM）を作成
 脆弱性やライセンス等について、抜け漏れのないリスク管理を実施。

脆弱性管理 サプライヤからの部品・ソフトウェア納入の際に、確認書の提出を求める。
 サプライヤの理解を得るため、OpenChain Japan WGを活用し啓発・情報発信を実施。

サプライチェーン管理
組織体制
コミュニティ活動

 OSS利活用プロセスを全社ルール化して、トップダウンで適用を指示することで、適用プロジェクトを増やし、高い効果をあげた。
 社員に対して、就業時間内でのOSS開発等を認める。
 コミッタとして貢献している社員を認定し、活動予算枠を付与。
21

Like-mindedの関係強化
５ ～ソフトウェアTFの取組（SBOM)
 ソフトウェアの成分構成を表すSBOM（Software Bill of Materials）を活用することにより、ソフトウェアに何が含まれ、誰が作り、どのような構成となっているか等の把握が容易になる。
 米国NTIAが2018年から主導するSoftware Component Transparencyでは、ヘルスケア
分野における実証事業（PoC）に続いて、自動車産業・電力分野にも取組が拡大。
 日本においても業界構造や商習慣を考慮しつつ、SBOM活用に向けた実証事業の実施を検討。
SBOMの導入効果：脆弱性発覚から復旧までの時間を短縮
SBOMなし脆弱性発覚

パーツの修正により、当該パーツを利用していたコンポー
ネントでも修正が必要なことが発覚。対応が後手に。

パーツ ！
コンポーネント！

軽減措置

SBOMありオペレータ

自動車産業分野

！
時間経過

パーツ ！
！
コンポーネント！

対応完了までの時間短縮

最終製品 ！
オペレータ ！
軽減措置

脆弱性の存在をSBOMにより即座に認識、対応開始。

修正・対応

ヘルスケア分野 (病院、医療機器)
病院、医療機器メーカー、ベンダーが参加。
2回のPoCを経てSBOM活用の手法、課題等
を公開。

修正・対応

！

最終製品

米国NTIAにおけるSBOMのPoC

Auto-ISACを中心としたサプライヤ中心のプロジェクト。12ヶ月ほどかけてサプライヤの推奨事
項をとりまとめる予定。

電力分野
1/26キックオフ。米国エネルギー省からもプレゼンターとして参加。
22

アクションプランの持続的発展と、新たな課題へのチャレンジへ
2020年12月18日発出「注意喚起」のUpdate サプライチェーン、クラウド、ファイル共有、制御系を狙った高度なサイバー攻撃事例
 最新の攻撃事例を踏まえた対策のアップデート

Cyber New Normalにおける５つの処方箋 ＜１～3年 ＞(継続) デジタル化が急加速する中でのサイバー脅威の常態化 “Cyber New Normal”

① 「開発のための投資」から「検証のための投資」へのシフト② サイバー空間における価値創造を支えるデータマネジメントの枠組みの策定③ セキュリティとセーフティの融合への対応④ サプライチェーンセキュリティ確保のための産業界一丸となった対応⑤ Like-mindedの関係強化

国としての対処能力の強化 ＜ 1～5年 ＞

New！

For the future infrastructure ＜３～５年 ＞(継続)

 国としての対処能力の構築 重要インフラ産業の“基盤インフラ”も仮想化時代へ突入 インフラの機能を支える“高信頼な基盤インフラ”の構築・保守能力の確保
23

国としての対処能力の強化
 サイバー攻撃の高度化・激化が進んでいる中、サイバー攻撃に対して対処する能力を強化すべきという議論がある。産業界のサイバーセキュリティ対策を推進する経済産業省として、どのように貢献すべきか。
※太字・下線は事務局にて追記

第26回サイバーセキュリティ戦略本部（令和３年２月９日）における議論「次期サイバーセキュリティ戦略の検討に当たっての基本的な考え方」（令和３年２月９日サイバーセキュリティ戦略本部決定）より
第二 政府の役割を意識した政策立案の基礎となるものにすること （抄）サイバー空間においては、関連技術の進展が早く、攻撃者優位ともされる中で、それぞれの主体が自らの役割を認識し対応するとともに、互いに連携・協働して取り組むことができる環境が重要。政府としては、社会全体を俯瞰した上で、攻撃者との非対称な状況の改善も含め、自律的な取組や多様な主体の緊密連携、組織化・洗練化されたサイバー攻撃に対する公的機関の取組が効率的かつ戦略的に実現できるよう適切な対策を進めるなど政府の役割を意識した政策立案の基礎となるものにすること。（以下略）

経産省としての取組例：J-CRAT
IPAのサイバーレスキュー隊（J-CRAT）は事案対処（レスキュー）で得られた知見をもとに、情報収集・分析機能を強化している。
被害組織
被害組織

IPA

連鎖組織

レスキュー要請

連鎖解明① レスキュー業務③ マルウェア解析業務
サイバーレスキュー隊

ＮＩＳＣ

サイバーセキュリティ
協議会等

原因究明調査※１
攻撃者属性・
攻撃手法等

マルウェア情報（インディケータ）② 脅威情報収集・
注意喚起業務

注意喚起・
情報発信

④分析機能
※１ サイバーセキュリティ基本法（H28/4施行）第30条に定める原因究明のための調査

24

国としての対処能力の強化～サイバーインシデントに係る事故調査の体制整備に向けた検討の開始

 サイバー攻撃がフィジカル領域に大きな影響を及ぼすようになり、経済活動の基盤を守るためには、プラント等の事故が発生した場合に、サイバーインシデントの観点からの原因究明可能な機能を有することが必要に（いわゆる「サイバー事故調」）。

 産業サイバーセキュリティセンター（ICSCoE）は、2025年を目途にサイバーインシデントに係る「事故調」機能を整備するため、事故調査に必要な能力、体制、人材等に係る議論を開始。
サイバーインシデントに係る事故調査のイメージ

事故がサイバー攻撃に起因するものかどうかの調査を依頼○○事故調査委員会
調査開始

事故発生

①

②

④
③

産業界
修了生

結果報告
セキュリティに関する調査の実施（攻撃有無、侵入経路、対応策等）
25

アクションプランの持続的発展と、新たな課題へのチャレンジへ
2020年12月18日発出「注意喚起」のUpdate サプライチェーン、クラウド、ファイル共有、制御系を狙った高度なサイバー攻撃事例
 最新の攻撃事例を踏まえた対策のアップデート

Cyber New Normalにおける５つの処方箋 ＜１～3年 ＞(継続) デジタル化が急加速する中でのサイバー脅威の常態化 “Cyber New Normal”

① 「開発のための投資」から「検証のための投資」へのシフト② サイバー空間における価値創造を支えるデータマネジメントの枠組みの策定③ セキュリティとセーフティの融合への対応④ サプライチェーンセキュリティ確保のための産業界一丸となった対応⑤ Like-mindedの関係強化

国としての対処能力の強化 ＜ 1～5年 ＞

New！

For the future infrastructure ＜３～５年 ＞(継続)

 国としての対処能力の構築 重要インフラ産業の“基盤インフラ”も仮想化時代へ突入 インフラの機能を支える“高信頼な基盤インフラ”の構築・保守能力の確保
26

社会インフラの将来像（基盤インフラ） 今後の社会インフラ（電力、工場、スーパーシティ等）はソフトウェア/仮想化基盤の上のアプリケー
ションとして実現される流れ。
 将来像を見据えながら、「要素技術の研究開発」、「次世代データセンター戦略」、「アーキテクチャ設計」「実証実験」の4つの軸で推進していく。

次世代データセンター戦略（経産省、総務省）

要素技術の研究開発••

グリーン by デジタル・データセンター国内立地推進
・再エネ導入支援グリーン of デジタル・データセンターの省エネ・高度化（ソフトウェア処理効率化による省エネ化）

ポスト5G情報通信システム基
盤強化研究開発事業
2050年カーボンニュートラルに伴うグリーン成長戦略 等

社会システムや産業構造の全体最適な設計を通じ、総合的な信頼性等の確保と日本の産業競争力の強化を図る。

アーキテクチャ設計

社会インフラ向け
基盤の検討（IPAデジタルアーキテクチャ・デザインセンター）・スマートシティ/スーパーシティ
・スマートファクトリー 等

実証実験（イメージ）27

社会インフラの将来像（基盤インフラ）
 ソフトウェア/仮想化基盤の共通的な体系である基盤インフラのアーキテクチャを設計・整理。
 様々な要素技術の中から、将来の社会インフラの基盤に資するものを選択し研究開発を進める。
キーアイテム

社会
インフラ

≒アプリ
ケーション

仮想化
システム

• ソフトウェアとして実現した各種社会インフラ
システム
等

電力
システム

自動車
システム

工場
システム

分野標準API

分野標準API

分野標準API等

サービス管理

認
証
・
I
D
基
盤

（ネットワーク）（コンピューティング・ストレージ）（ミドルウェア）物理
リソース

データ管理基盤・処理エンジン

キュー管理

非構造化データ処理

データベース管理
リソース管理言語処理・・・

ロードバランサ

信頼性・セキュリティ技術基盤（ゼロトラストネットワーク含む）
エッジコンピューティング基盤技術

無線アナログ制御• 5G・MEC• 次世代データセンター• 光エレクトロニクス技術• 次世代パワー半導体• HPC等
等

分野標準API

分野共通API
仮想化基盤管理技術• 統合認証基盤• データ管理基盤• 自動化技術• 仮想化基盤管理

・・・

その他
インフラ

大量の分散ノード
セキュリティチップ
・・・

制御システム（高速・高品質）・・・

大規模・高度なコンピューティングリソース

・・・

28