情報セキュリティ基本問題委員会 情報セキュリティ基本問題委員会
第２次提言の概要 第２次提言の概要
我が国の重要インフラにおける情報セキュリティ対策の強化に向けて 我が国の重要インフラにおける情報セキュリティ対策の強化に向けて
参考資料２
１．第２次提言の射程
１．第２次提言の射程
（情報セキュリティ問題全般における位置付け）（情報セキュリティ問題全般における位置付け）１
●情報セキュリティ基本問題委員会では、平成１６年１１月に「第１次提言」を策定「第１次提言」を策定し、まず、（１）情報セキュリ ティ政策全般の実行体制の見直し、（２）政府自身の情報セキュリティ対策の強化の２つの課題についての 対応策（「情報セキュリティ政策会議（仮称）」及び「国家情報セキュリティセンター（仮称）」「情報セキュリティ政策会議（仮称）」及び「国家情報セキュリティセンター（仮称）」（（※※１）１）の設置がその柱）の設置 をIT戦略 本部に提言。
●これに引き続き、我が国の社会経済活動と国民生活を支える「重要インフラ」我が国の社会経済活動と国民生活を支える「重要インフラ」（※（※２）２）における情報セキュリティにおける情報セキュリティ 対策のあり方を検討し、「第２次提言」
対策のあり方を検討し、「第２次提言」として取りまとめ（平成１６年１０月末より検討）。
情報セキュリティのグランドデザインの確立 官民連携した基盤の構築
高水準の情報セキュリティ対策への適 応と高い事業継続性確保
国民から預託された情報に対する信頼 感の高い取り扱い
国際的な信頼醸成
バランスある技術投資の実施
透明性の確保
「セキュリティ文化」の参加者としての 積極的な取り組み
個人情報保護問題やプライバシー問 題に対するコンセンサスの形成
政府組織
政府組織 重要インフラ重要インフラ 企業企業 個人個人
第２次提言 第２次提言
重要インフラにおける 重要インフラにおける 情報セキュリティ対策のあり方 情報セキュリティ対策のあり方
依存可能な基盤としての機能提供
検証可能な機能設計と事業継続性確保
重要インフラ相互間の連携と協力
第１次提言
（平成16年11月16日）
（※１）「国家情報セキュリティセンター（仮称）」は、平成１７年４月２５日に「内閣官房情報セキュリティセンター（NISC)」として設置されることが正式に決定。
（※２）「重要インフラ」とは、「重要インフラのサイバーテロ対策に係る特別行動計画」（平成１２年１２月情報セキュリティ対策推進会議決定）において、情報 通信、金融、航空、鉄道、電力、ガス、政府・行政サービス（地方公共団体を含む）の７分野が定められているが、本提言では、機能的定義から出発 し、「他に代替することが著しく困難なサービスを提供する事業が形成する国民生活及び社会経済活動の基盤であり、その機能が停止、低下、また は利用不可能な状況に陥った場合に、我が国の国民生活又は社会経済活動に多大なる影響を及ぼすおそれが生じるもの」と定義。
２．重要インフラにおける情報セキュリティ対策の重要性 ２．重要インフラにおける情報セキュリティ対策の重要性
●重要インフラのサービス継続に対する情報セキュリティ上の脅威は、サイバー攻撃に加えて、人為的ミスなどサイバー攻撃に加えて、人為的ミスなど の非意図的要因や自然災害まで拡大
の非意図的要因や自然災害まで拡大（下記表参照）。
●重要インフラでは、サービス提供そのものに直接関係するシステム（制御系システム制御系システム）及びサービス提供を側 面的に支えるシステム（情報系システム情報系システム）の両者において、ＩＴが年々多用の両者において、ＩＴが年々多用されるとともに、大規模化・複雑化。
●こうした中、「「IT障害」IT障害」（（※※））が重要インフラのサービス停止に直結するリスクはもはや放置できない状況であり、が重要インフラのサービス停止に直結するリスクはもはや放置できない状況 情報セキュリティ対策の充実が必須
情報セキュリティ対策の充実が必須の課題。
（※）「IT障害」とは、重要インフラの各事業において発生する障害（サービスの停止や機能の低 下等）のうち、ITの機能不全が引き起こす障害を指す用語として新たに定義。
重要インフラを巡る最近のＩＴ障害の事例（報道ベース）
重要インフラを巡る最近のＩＴ障害の事例（報道ベース）
サイバー攻撃 非意図的要因（人為的ミス）等
・豪クイーンズランド州で、市の水道施設の制御システムに侵 入した犯人が、未処理の汚水100万リットルを河川および沿 岸部に流し込んだ(平成12年3月)
・米カリフォルニア州の電力会社の送電網システムに外部者 が不正侵入(平成13年6月)
・SQL slammerワームが猛威を振るい、韓国では一時イン
ターネットに障害が発生(平成15年1月)
・米鉄道の信号システムがコンピュータウイルスに感染、ワシ ントン周辺3路線で列車が停止したりダイヤが乱れるなどし た(平成15年8月)
・大手銀行の合併に伴うシステム統合において、口座振替の 未処理など大規模なシステム障害が発生、復旧に時間を要 した(平成14年4月)
・インターネットバンキングのサービスがデータベースサーバ の障害により全面的にダウン(平成15年5月)
・飛行計画情報処理システムがプログラムミスによりダウンし、
200便近くが遅れるなど、航空ダイヤが全国的に混乱(平成
15年3月)
・注文件数の増加により証券取引所の売買システムや株価情 報システムの処理が遅延(平成15年7月)
・通信制御プログラムの不具合が原因で、金融機関同士の ATMをネットワークで結ぶ「統合ATMスイッチングサービス」
に障害発生。全国約20の金融機関のATMで他行カードを利 用した取引が不可に(平成16年1月)
・航空路レーダー処理システムのトラブルでメインシステムを 停止、国内便約130便に影響(平成16年4月)
２
３．第２次提言の主な結論 ３．第２次提言の主な結論
３
●重要インフラの情報セキュリティ対策（IT障害対策全般）に対し、内閣官房の「国家情報セキュリティセンター
（仮称）」を中心とし、重要インフラ所管省庁、重要インフラ事業者、関係機関、事案対処省庁等との官民の連 携を深めながら、新しい重要インフラ防護体制を構築新しい重要インフラ防護体制を構築。
●平成１８年度より平成１８年度より新たな機能を有する重要インフラにおける情報セキュリティ対策の新体制を稼働新体制を稼働（平成１７年 度中に各関係者間で必要な検討・準備）。
対象分野・脅威の見直し 対象分野・脅威の見直し 対象分野・脅威の見直し
新たな体制の構築 新たな体制の構築 新たな体制の構築
¾従来の７分野に加えて、医療・水道・物流等を新たに重要インフラ分野として設定
¾想定する脅威を、サイバー攻撃に加えて、人為的ミス等の非意図的要因、自然災害に拡大
１．重要インフラ横断的機能の強化 １．重要インフラ横断的機能の強化 １．重要インフラ横断的機能の強化
¾内閣官房のセンターを中心に重要インフラ横断的な状況把握（相互依存性解析等）を実施 ２．情報共有・提供体制の強化
２．情報共有・提供体制の強化 ２．情報共有・提供体制の強化
¾「情報共有・分析センター」（ISAC; Information Sharing & Analysis Center)等の各重要インフラ内情報共有機構の創設
¾重要インフラ横断的な情報共有の推進（「重要インフラ連絡協議会」（仮称）の設立等）
¾情報提供体制の整理・強化、情報の充実・質の向上 ３．総合的演習の実施
３．総合的演習の実施 ３．総合的演習の実施
¾想定脅威に対応した具体的脅威シナリオの類型を元に、毎年度、重要インフラ横断的な総合演習を実施
自然災害に起因するIT障害 水道 医療
物流
サイバー攻撃 システム障害等非意図的要因による IT障害
『重要インフラのサイバーテロ 対策に係る特別行動計画』
情報
通信 金融
電力
航空 ガス 鉄道
行政サービス
（地方公共団体）
内部 攻撃
水道 医療
物流 情報
通信 金融
電力
航空 ガス 鉄道
行政サービス
（地方公共団体）
サイバー攻撃
内部 攻撃
システム障害等非意図的要因による
IT障害
自然災害に起因するIT障害
サイバー攻撃
『重要インフラのサイバーテロ 対策に係る特別行動計画』
情報
通信 金融
電力
航空 ガス 鉄道
行政サービス
（地方公共団体）
現状 今般の見直し 新たな体制
４．新たな体制の構築（３つの柱）
４．新たな体制の構築（３つの柱）
現状 対策 実現目標
重要インフラ横断的機能の強化
•各重要インフラへの脅威の想脅威の想
定範囲、及び対策の拡大 定範囲、及び対策の拡大
•IT障害が重要インフラ相互に 与える影響を事前に把握する ため、重要インフラ横断的な状重要インフラ横断的な状 況把握（相互依存性解析等）
況把握（相互依存性解析等）を 実施。
情報共有・提供体制の強化
•「情報共有・分析センター」等 の各重要インフラ内情報共有各重要インフラ内情報共有 機構の創設機構
•重要インフラ横断的な情報共 有の推進（「重要インフラ連絡「重要インフラ連絡 協議会」（仮称）の設立等）協議会」
•情報提供体制の整理・強化、体制の整理・強化、
情報の充実・質の向上 情報の充実・質の向上。
総合的演習の実施
•想定脅威に対応した具体的具体的
脅威シナリオの類型
脅威シナリオの類型を元に毎 年度ごとにテーマを設定
•各重要インフラ事業者、各重 要インフラ分野内情報共有機 構等の協力を得ながら、重要重要 インフラ横断的な総合的演習 インフラ横断的な総合的演習 を企画・実施。
分野Ａのサイバーテロ対策 分野Ｂのサイバーテロ対策 分野Ｃのサイバーテロ対策
重要インフラ横断的な状況把握
（相互依存性解析等）
サイバーテロに起因するIT障害 非意図的要因に起因するIT障害
自然災害に起因するIT障害 への我が国全体としての対策実施
サイバーテロによる 重大障害の情報連絡
重要インフラ 所管省庁
重要インフラ 事業者 重要インフラ内
情報共有機構
国家情報セキュリティセンター（仮称）
内閣官房
IT障害全般の情報 収集・分析・共有・
流通による対策レ ベルの向上
重要インフラ 所管省庁
重要インフラ 事業者
内閣官房
重要インフラ連絡協議会
↑
分野毎に個別検証 分野Ａのサイバーテロ対策
具体的脅威シナリオ 重要インフラ横断的な
総合的演習
上記対策の有効性検証
４
（参考１）重要インフラ横断的機能の強化
（参考１）重要インフラ横断的機能の強化
重要インフラ横断的な状況把握（相互依存性解析等）の実施
● 重要インフラの相互依存の実状を把握し、官民双方で同じ認識を共有
● 適切かつ効果的なアクションプランの立案・実施
◇ ＩＴ障害の他重要インフラ分野への波及効果を考慮した対策作り
◇ 複数分野にまたがる対策立案・実行
脅威１ サイバー攻撃
(同時多発サービス妨害、
制御系への侵入・破壊など)
脅威３ 自然災害
（地震、水害など）
脅威２ 非意図的障害
（操作ミス、プログラム 不良など）
相互依存性を考慮した 連携・協力体制作り
復旧作業の適切な プライオリティ付け
高い事業継続性の確保
５
（参考２）情報共有・提供体制の強化
（参考２）情報共有・提供体制の強化
相互依存性解析
Ａ社 Ｂ社 Ｃ社 Ｄ社 Ｅ社 重要インフラ分野 重要インフラ所管省庁
内閣官房
国家情報セキュリティセンター（仮称）
関係機関
各種関連情報 復旧手法情報 等
情報共有・分析センター
（ＩＳＡＣ）
情報共有・分析センター
（ＩＳＡＣ）
事案対処省庁 情報セキュリティ関係省庁
障害発生情報 障害発生情報
攻撃手法情報 等
犯罪被害等の通報
攻撃がテロによるも のだと思われる場合
の被災情報 等 連携要請 等
重要インフラ連絡協議会（仮称）
情報共有・分析センター
（ＩＳＡＣ）
テロ関連情報 等
各種関連情報 復旧手法情報 等
各種関連情報 復旧手法情報 等
各種関連情報
復旧手法情報 等 早期警戒情報
※重要インフラ事業者の自主 等 的判断に基づくもの
※重要インフラ事業者及びISAC と関係機関との合意に基づく 補完的な情報共有
６
（参考３）総合的演習の実施
（参考３）総合的演習の実施
総合的演習を通じた体制・機能の検証と見直し
● 官民の情報共有、連絡・連携体制がＩＴ障害発生時に、有効に機能することの検証・改善
● 毎年度テーマ設定を行った上で複数重要インフラ分野にまたがる総合的演習を実施
◇ 情報の提供または共有範囲の妥当性と情報到達度の確認
◇ 政府、各重要インフラ事業者、情報共有機構ごとの処理能力、判断能力の確認
◇ 的確な相互依存性の反映を確認
情報伝達
情報伝達
情報伝達 防護対策
防護対策 防護対策
総合的演習シナリオ 総合的演習シナリオ
IT障害
（１）演習の設計
● 重要インフラ分野の実状把握
● 専門家による「仮説」設定
● 想定外脅威の探索
（２）演習の実施
● 全ての関係者での認知共有
● 機能性確認と意識の摺り合わせ
（３）演習後の評価
● 問題点の抽出と改善
● 対策・体制へのフィードバック
•対策の有効性検証
•対策改善への フィードバック
•想定外脅威の探索
•連絡体制の検証
•情報流通の安全 性検証
•関連情報の流通 方法検証
７
