サイバー安全保障分野での対応能力の向上に向けた有識者会議官民連携に関するテーマ別会合第１回(事務局資料)令和６年７月３日内閣官房サイバー安全保障体制整備準備室
武力攻撃に至らないものの、国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃のおそれがある場合、これを未然に排除し、また、このようなサイバー攻撃が発生した場合の被害の拡大を防止するために能動的サイバー防御を導入する。そのために、サイバー安全保障分野における情報収集・分析能力を強化するとともに、能動的サイバー防御の実施のための体制を整備することとし、以下の(ア)から(ウ)までを含む必要な措置の実現に向け検討を進める。 (ｱ)重要インフラ分野を含め、民間事業者等がサイバー攻撃を受けた場合等の政府への情報共有や、政府から民間事業者等への対処調整、支援等の取組を強化するなどの取組を進める。 (1)国内の通信事業者が役務提供する通信に係る情報を活用し、攻撃者による悪用が疑われるサーバ等を検知するために、所要の取組を進める。 (ｳ）国、重要インフラ等に対する安全保障上の懸念を生じさせる重大なサイバー攻撃について、可能な限り未然に攻撃者のサーバ等への侵入・無害化ができるよう、政府に対し必要な権限が付与されるようにする。 1
(ア)重要インフラ分野を含め、民間事業者等がサイバー攻撃を受けた場合等の政府への情報共有や、政府から民間事業者等への対処調整、支援等の取組を強化するなどの取組を進める。社会はサプライチェーンで価値を創出。中小企業の強靱性を高めないと、社会全体の強靱性は高まらない。サイバー攻撃による被害は日々発生し、影響も大きい。自然災害と同様、個社レベルでの対応には限界。そもそもの問題として、各組織におけるサイバーセキュリティ水準を強固にすることが必要。被害組織による情報提供を促すためには、情報提供にメリットを感じられる仕組みが必要。重要インフラのサービス提供維持が重要であり、政府は、サービス維持のバックアップなども含め支援すべき。重要インフラの中でも、電力やデジタルインフラが侵害された場合の影響は大きく、優先順位を高める必要。経済安保など、新たに事業者の対応が求められる局面が増加。政府側の組織をなるべく一元化して欲しい。国家間連携が不可欠であり、そのためにもセキュリティクリアランス制度を有効に活用すべき。
人材育成は、NPOを含めて色々なところで様々な取組が行われているが、バラバラに行われているため、中央で一本化して見ていってほしい。 ●　人材育成の取組は、効果検証もしていく必要があるのではないか。 ●　大学にもサイバーセキュリティ分野の研究を行う優秀な学生がいるが、この分野のニーズやキャリアの将来像、社会に求められる重要な人材であることが、十分に伝わっておらず、企業の経営層にも人材の重要性が十分に理解されていないと考えられ、必ずしもキャリアパスとして選ばれていない。サイバーセキュリティ人材の待遇の改善、長期的なキャリアパスの提示、人材の重要性の周知、企業等の組織への当該分野人材採用のための支援策が必要ではないか。

> 【取組②】ソフトウェア等の脆弱性対応

4
※有識者会議（第1回）事務局資料（再掲） [国民生活の基盤をなす経済活動]や[社会の安定性]をサイバー攻撃から守るため、能動的なサイバー防御を実施する体制を整備する。
※有識者会議（第1回）事務局資料を改変ソフトウエアベンタ等【取組①】高度な攻撃に対する支援・情報提供【取組②】ソフトウェア等の脆弱性への早期対処サイバー対応組織【取組③】政府のサイバー対応組織の一元化6
✓各国とも、これまで、各業界の自主的情報共有の促進や、攻撃検知に必要な指標の提供※1を実施一方、海外では、情報提供を政府の役割として明確化。高度な侵入・潜伏能力を備えた攻撃に対し、事業者等が具体的行動を取りやすいよう、セキュリティクリアランスも活用し、インテリジェンス情報等に基づく脅威ハンティングの支援※ ²や、攻撃背景など経営層の意思決定に有用な情報提供も実施※1攻撃検知に必要な指標：攻撃者のIPアドレスやマルウェアのハッシュ値などのインディケータ情報
【国内外におけるこれまでの取組】
■ ■業界ごとの情報共有促進

多様な主体の情報共有促進
官民の情報共有を促進するため、2019年にサイルﾞｰｾｷｭﾘﾃｨ協議会を設置。必要に応じ、国家公務員法相当の守秘義務も適用。
目自動インディケータ共有(AIS※4, 2016年)

【海外における更なる取組】
. 

脅威ハンティング部門設置(2021年)
センサ検知情報やインテリジェンス情報等を元に、民間企業等にアウトリーチし、脅威発見・対処・分析等の支援を行う技術者に限らず経営層用の情報も発信官民ｻｲﾙﾞｰｾｷｭﾘﾃｨ協力枠組み(JCDC, 2021年)政府機関とセキュリティベンダ、ビッグ・テック等が連携し、情報共有
 

ぽ。サイバー脅威情報共有枠組み(CTIS, 2021年)ｲﾝﾃﾞｨｹｰﾀの自動共有に加え、参加者が専門家に相談し、助言を得ることも可能*³ISAC: Information Sharing and Analysis Center  *³AIS: Automated Indicator Sharing  *⁵ NCSC: National Cyber Security Centre
✓各国では、これまで、安全な製品開発を促すため、国際標準や認証制度の整備を促進一方、海外では、安全な製品開発に関する製品ベンダの責務の明確化や法的義務の導入も頭在化
【ソフトウェア等の脆弱性対応の流れ】
【国内外におけるこれまでの取組】
159国際標準や認証制度の整備
情報技術に関連した製品及びシステムの評価に関するコモンクライテリア(ISO/IEC 15408, 1999年)を皮切りに国際標準の整備が進捗制御システムに係る同様の国際標準として、 IEC62443において、製品開発ライフサイクルや、技術的セキュリティの要件が定められている
国際標準等に即した国内の動き
上記国際標準に基づき、例えば、情報処理推進機構がISO/IEC15408の認証制度を運営最近では、各国でIoT機器の枠組み整備が進められており、国内でも「IoT製品に対するセキュリティ適合性評価制度」が2025年3月から一部開始予定【海外における更なる取組】
看サイバー空間を守る責任のリバランス(2023年)
「国家サイバーセキュリティ戦略」(2023年3月)において米国政府が提唱。現在、サイバーリスクを低減する責任が利用者に過度に偏っているとの現状認識の下、システムの提供者や政府の役割拡大を謳うセキュアバイデザイン・セキュアバイデフォルト原則(2023年日米欧等の18組織が共同署名)ソフトウェア提供者に係る三原則として、①顧客のセキュリティの結果に責任を持つ、 ②徹底した透明性と説明責任を負う、③トップ主導での実施、を具体的に説明。 4分丝製品ｾｷｭﾘﾃｨ及び通信ｲﾝﾌﾗ法(2024年施行) ✓ネットワーク製品提供者に対し、脆弱な初期パスワード設定の禁止、セキュリティ対応体制の構築を求める
サイバーレジリエンス法草案
(2022年提出)デジタル製品のメーカに対し、上市前の適合性評価、脆弱性悪用が発見された場合の当局(ENISA*)への報告等を規定※ENISA（欧州連合サイバーセキュリティ機関）：The European Union Agency for Cybersecurity
開発段階でいかに注意しても、システムへの不正侵入等に悪用し得るバグ（＝脆弱性）は発生製品開発者による解消手段の開発と、利用者による適用を促すため、米国MITRE社等が脆弱性管理に係る国際枠組みを運営。同国際枠組みと連携しながら、日本国内でも同様の制度を整備
解消手段適用(利用者) 【国内外におけるこれまでの取組】
脆弱性管理に係る国際枠組み(1999年)

>米国国立標準技術研究所(NIST)が技術的な悪用可能性を「CVSS値」として算出・公表※」早期警戒パートナーシップ制度（2004年）
>
【海外における更なる取組】
悪用された脆弱性のデータベース化(2021年)

気空.重要インフラ保安法(SOCI法、2022年改正)

o *CVE（共通脆弱性識別子）: Common Vulnerabilities and Exposures *CVSS（共通脆弱性評価システム）:Common Vulnerability Scoring System
✓日本では、重要インフラ行動計画のもと、個別業法に基づき所管省庁に報告されたインシデントにていて、各所管省庁を経由する形で内閣サイバーセキュリティセンター(NISC)に集約主要国では、業界・業種を超えた、政府の対処・情報収集能力を支えるためのサイバー対応組織の一元化や、重要インフラ事業者に対するインシデント報告の義務化が進められているその際、報告先集約化による負担軽減や、情報の取扱いについて報告者の意向を反映する仕組みを整備する例もあり【国内におけるこれまでの取組】
|内閣サイバーセキュリティセンター(NISC)
内閣官房情報セキュリティセンター(2005年設置)を起源とし、サイバーセキュリティ基本法の制定を契機に改組(2015年)内閣補助事務として、サイバーセキュリティ関係省庁間の総合調整を担当重要インフラのサイバーセキュリティに係る行動計画(サイバーセキュリティ戦略本部決定)※インシデント発生時の情報集約等をルール化。重要インフラ事業者は、所管省庁を経由してNISCに報告する旨を規定>ただし、情報流通経路が多層的となり、業界を跨いだ攻撃発生時の迅速な情報共有は困難>また、報告の法的根拠は各業法であり、業法がない業種については、本行動計画のみが根拠【海外における更なる取組】豪州サイバーセキュリティセンター (ACSC, 2014年)国区国家サイバーセキュリティセンター (NCSC, 2016年) ✓政府内の関係部門を政府通信本部(GCHQ)下に統合し設置重要インフラ事業者に対し、重大インシデント発生から12時間以内のACSCへの報告を求める✓ CISAが報告を関係省庁と共有。事業者の負担に配慮✓細則はCISAが作成中基幹サービス事業者等に対し、サービス継続に重大な影響を及ぼすインシデントの報告義務を課す車要システム保有者には、システム状態の定期報告等を求めることが可能10 ※インシデント情報について、所管省庁を通じて内閣官房に集約する旨は、行動計画の前身となる「重要インフラのサイバーテロ対策に係る特別行動計画(2000年) Jから記載
政府機関や重要インフラ事業者等のサイバーセキュリティ確保に当たっては、内閣官房長官を本部長、6省庁の大臣等を本部員とするサイバーセキュリティ戦略本部において横断的な計画等を策定し、重要インフラ所管省庁等と協力しつつ施策を推進戦略本部が策定する計画等に基づき、内閣官房内閣サイバーセキュリティセンター（NISC)が政府機関等に対して、重要インフラ所管省庁が重要インフラ事業者等に対して各種施策等を実施内部内閣総理大臣サイバーゼカリティ戦略を受到本部長
副本部長本部員
く重要インフラ所管省庁＞
金融庁（金融機関）総務省（地方公共団体、情報通信）厚生労働省（医療）経済産業省（電力、ガス、化学、クレジット、石油）国土交通省（鉄道、航空、物流、空港、港湾、水道） •府省横断的な計画に基づく各種取組•所管業法に基づく監督新日曜インフラの閣僚本部員６省庁警察庁（サバー犯罪・攻撃の取締り）デジタル庁（デジタル社会形成）総務省（通信・ネットワーク政策）外務省(外交・安全保障)経済産業省(情報政策)防衛省（国の防衛） •政府機関等に対する統一的な対策基準の策定•監査•政府情報システムに対する不正な活動の監視•分析等対策強化のための取組政府機関等の政府機関（各府省庁）等対策強化のための取組11
サイバーセキュリティ戦略本部において、「重要インフラのサイバーセキュリティに係る行動計画」を策定し、同計画に基づき、 NISC、重要インフラ所管省庁、重要インフラ事業者等、関係機関等において各種取組を推進同計画に基づき、重要インフラ事業者等における自主的な取組を推進するとともに、戦略本部では、各分野に共通して求められる取組を「安全基準等策定指針」として策定し、重要インフラ事業者等による「安全基準等」の策定等を支援NISCによる総合調整
重要インフラ所管省庁
●金融庁[金融]
●厚生労働省[矢療] ●経済産業省[電力、ガス、化学、クレジット、石油]
[航空、空港、鉄道、物流、港湾、水道
関係機関等
●サイバーセキュリティ関係省庁[総務省、経済産業省等]
[警察庁、防衛省等] ●防災関係府省庁[内閣府、各省庁等] ●サイバーセキュリティ関係機関[NICT、IPA、JPCERT/CC等] ●サイバー空間関連事業者[サプライチェーン等に関わるベンダー等
|日理(275)サイバー年古リテイビ総行動局画|長沢ケキ&取得
経営層、CISO、戦略マネジメント層、システム担当等、組織全体での取組となるよう、組織統治の一部としての障害対応体制の強化を推進安全基準等の整備及び浸透重要インフラ防護において分野横断的に必要な対策の指針及び各分野の安全基準等の継続的改善の推進情報共有体制の強化官民間や分野内外間における情報共有体制の更なる強化リスクマネジメントの活自組織の特性を明確化し、適した防護対策が継続的に実施されるようリスクマネジメントを活用防護基盤の強化分野横断的演習の推進、国際連携の推進、広報広聴活動の推進等の取組によるサイバーセキュリティ全体の底上げ
✓諸外国では、レジリエンスの強化の観点から、中小規模の重要インフラ事業者を含め、基本的なサイバーセキュリティ対策の重要性が認識される一方、対策強化の優先順位等の判断の困難性や、それによる成熟度のばらつきに課題があるとの認識✓そのため、近年、各国では、特に重要な事項として、優先順位をつけて分野横断的な対策のベースラインを明示
上記と連動し、総務省において、「政府情報システムの防護のための一元的な取組」として、安全性や透明性の検証が可能なセンサーの政府端末への導入を検討中。 14
政府におけるサイバーセキュリティ人材の育成・確保に係る施策は、「サイバーセキュリティ戦略」に基づき、経営から実務（技術者・利用者）、高い専門性からリテラシー重視まで、各省が協力して幅広く実施。デジタル人材は約230万人*¹、サイバーセキュリティ人材は約11万人*²不足と言われている※1出典：デジタル田園都市国家構想（令和4年6月7日閣議決定）、※2出典：(ISC)² Cybersecurity Workforce Study 2023
戦略・ガイドライン
サイバーセキュリティ戦略【NISC】我が国のサイバーセキュリティ政策の羅針盤となるべく、サイバーセキュリティ基本法に基づき「サイバーセキュリティ戦略」を策定。 :人材育成については、「質」-「量」両面での官民の取組を一層継続・深化させつつ、環境変化に対応した取組の重点化や官民を行き来しキャリアを積める環境整備をすることとしている。
–サイバーセキュリティ人材
セキュリティ専門家専門人材向け教育プログラム産業サイバーセキュリティセンター (ICSCoE)【経】資格・フレームワーク
次世代セキュリティ人材
SecHack365【総】セキュリティ・キャンプ【経】国立高等専門学校におけるセキュリティ教育の強化【文】国立高専機構と産官との連携強化【経】セキュリティ共通基盤CYNEXを通じた演習基盤【総】情報モラル教育の実施【文】経営層・戦略マネジメント層サイバーセキュリティ経営ガイドライン【経】 -ブラクティス集、体制構築・人材確保の手引き、可視化プラス・セキュリティ知識補充講座カリキュラム例【NISC】戦略マネジメント層向けセミナー【NISC】 -般層サイバーセキュリティ月間等での普及啓発【NISC】 -サイバーセキュリティポータルサイト- インターネットの安全・安心/ンドブックその他 ※デジタル人材全般に係る取組デジタル人材育成プラットフォーム【経】 -デジタルスキル標準の設定、教育コンテンツ整---未踏IT人材発掘・育成事業【経】公共職業訓練のデジタル分野の重点化【厚】高等教育機関におけるデジタル人材の育成【文】 -数理・データサイエンス・AI教育の推進-リカレント教育の推進リテラシー各府省庁の提出資料・HPからNISC作成15
諸外国においては、近年、サイバーセキュリティ人材の労働力・スキル不足の解消等のため、産官学における必要な人材像やタスク・知識・スキルについて整理した共通の枠組みを設けて、人材育成・確保等に係る取組が進められている。
NICEサイバーセキュリティ人材フレームワーク
国立標準技術研究所(NIST)発行: 2017年標準化、2020年改訂✓セキュリティに必要な職種を52に分類し、その職務内容、必要な知識、技能※を整理※防御側だけでなく、サイバー作戦の計画や実行に関する技能を含む。 ✓採用・人事（キャリアパスモデルを含む）での活用の他、教育プログラムや資格等の対応関係を整理✓各種データ（人材需給、資格保有等）の作成・分析に活用
カナダ・サイバーセキュリティ・スキル・フレームワーク
カナダサイバーセキュリティセンター（CCCS）発行：2023年公開✓ NICEフレームワークを国内状況（企業・公的機関の規模等）を踏まえて簡素化、セキュリティに必要な職種（専門領域を除く）を22に分類し、その職務内容、必要な知識、技能を整理✓採用・人事での活用や教育プログラム等の整理を想定
欧州サイバーセキュリティ・スキル・フレームワーク
欧州連合サイバーセキュリティ機関（ENISA）発行:  2022年公開✓セキュリティに必要な職種を12に分類し、その職務内容、必要な知識、技能を整理✓採用・人事での活用を想定する他、教育プログラムや資格
✓各種データ（人材需給、スキル保有等）の作成・分析に活用
ASDサイバー・スキル・フレームワーク
豪州通信情報局（ASD）発行：2019年初版、2020年改訂✓英国のフレームワーク等を参考に、ASD及び関係政府機関、産業、学術機関向けに、特に専門性の高い9職種を定義し、必要な能力と技能、習熟レベルを整理✓採用・人事（キャリアパスモデル含む）での活用の他、教育プログラムや資格等の対応関係を整理※日本では、デジタル人材を対象とした「ITスキル標準(ITSS)」(情報処理推進機構(IPA)）や、セキュリティ人材を対象としたNP0作成の「セキュリティ知識分野(SecBoK)」 (日本ネットワークセキュリティ協会(JNSA))がある。
✓中小企業においてもセキュリティ対策を強化するため、対策実施に役立つカイドラインの提供、セキュリティ対策のワンパッケージサービス（「サイバーセキュリティお助け隊」）の導入促進などを実施。中小企業の情報セキュリティ対策ガイドライン（第3.1版2023年4月）中小企業が情報セキュリティ対策に取り組む際の経営者が認識し実施すべき指針、を実践する際の手順や手法をまとめたもの。付録としてクラウドサービスの安全利用やセキュリティインシデント対応に関する手引きなどがある。中小企業の情報セキュリティ対策ガイドライン経営者が認識すべき３原則と実施すべき車要7項目を解説企業のレベルに合わせて段階的にステップアップできるような構成で解説付録6、8:クラウドサービス安全利用の手引き、セキュリティインシデント対応手引き
[SECURITY ACTION]
中小企業自らが、セキュリティ対策に取り組むことを自己宣言するる制度。30万者を超える中小企業が宣言。情報セキュリティ５か条に取り組む情報セキュリティ自社診断を実施し、基本方針を策定
サイバーセキュリティお助け隊サービス
相談窓口、システムの異常の監視、緊急時の対応支援、簡易サイバー保険など各種サービス内容を要件としてまとめた基準を満たすワンパッケージサービス。（2024年４月時点で40事業者) IT導入補助金「セキュリティ推進枠」で導入を支援17