我が国政府の情報セキュリティ政策
のこれまでとこれから
平成２５年１０月４日
元内閣官房副長官補(安保担当) 損保ｼﾞｬﾊﾟﾝ顧問 西 川 徹 矢 国民の約８割がインターネットを利用。世界13位。 第1位はノルウェー(93.4%)。韓国は8位（H23末）。 出典:平成２４年通信利用動向調査（総務省） 万人 ％ 1694 2706 4708 5593 6942 7730 7948 8529 8754 8811 9091 9408 9462 9610 9652 13.4 21.4 37.1 46.3 57.8 64.3 66 70.8 72.6 73 75.3 78 78.2 79.1 79.5 0 10 20 30 40 50 60 70 80 90 100 0 1000 2000 3000 4000 5000 6000 7000 8000 9000 10000 10末 11末 12末 13末 14末 15末 16末 17末 18末 19末 20末 21末 22末 23末 24末 利用者数 人口普及率
インターネットの普及状況（利用者数）
2我が国におけるFacebook、twitter、mixiの利用者数は、それぞれ1,751万人、1,315万人、 446万人 (H25.3現在、ニールセン社調査）。ＳＮＳ利用率は約15%（総務省）。 １ ソーシャルディア H23年中のネットショッピングの市場規模(BtoC)は8．5兆円。5年で約2倍(H18約4.4兆円)。 (H23電子商取引実態調査、経済産業省)。 50％の人がネットショッピングの経験者。 (平成24年通信利用動向調査、総務省) ネットバンキング利用者は約11％。 １千万口座、預金残高6兆円超(H23.11末)。全預金 残高の1.1%。 （NTTﾃﾞｰﾀ経営研究所） インターネット取引口座数は、1,816万口座(H25.3末)。H24.10～H25.3の株式取引（含信用 取引）の売買代金は131兆186億円(全体の31.7%)。 （日本証券業協会調べ） H24年度中のe-Tax利用件数は2,279万件で。5年間で約2.3倍(H19年度)約1,011万件）。 ﾏｲﾅﾝﾊﾞｰ法(H27.1～)で個人番号カードを利用した年金（本人確認や保険証機能）、納税。 ２ ショッピング ３ バンキング等 ４ 行政手続き
インターネットの普及状況（利用状況）
34
マルウエア検体の増加状況
(出典) McAfee社脅威レポート 2012年第4四半期 (出典)Verizon社2013Data Breach Investigations Report脅威種類別のデータ
漏洩/侵害事例
脅威が増加
※合計値が100％を超えるの は、原因が複数にまたがる事 例が多く存在するため。 ※2010年の｢過失｣は、厳密に は｢1%未満｣である。5 近年の情報セキュリティに係る脅威の動向 最近の事例(報道) 最近の情報セキュリティに係る脅威は、リスクの深刻化（甚大化、拡大、グローバル化） ※ 本資料は報道ベースで作成 20000124 政府科学技術庁等ホームページ改ざん事件発生 20000200 DDoDがYahoo,Amzon.comを襲う事件発生. 20000400 郵政省東海電気通信監理局ｻｰﾊﾞｰ、大量ｽﾊﾟﾑﾒｰﾙの中継に利用される。 20001200 厚生省国立社会保障･人口問題研究所ｻｰﾊﾞｰが12万通のｽﾊﾟﾑﾒｰﾙの中継に使われる。 20010000 ﾊｯｶｰ集団｢紅客連盟｣が日本の官公庁ｻｲﾄへDOS攻撃をかける。 20010713 ﾜｰﾑ(CODE RED)発見。同19日359000台のﾎｽﾄｺﾝﾋﾟｭｰﾀが感染。世界的にｲﾝﾀｰﾈｯﾄが麻痺。 20020000 ｳｲﾙｽ｢ﾊﾞｸﾞﾍﾞｱｰ｣発見(ﾊﾞｯｸﾄﾞｱ等のﾄﾛｲの木馬機能あり。) 20030125 ﾜｰﾑ｢Slammer｣(10分で75000台に感染の猛威)で韓国内通信が一時途絶。 20030300 ｲﾗｸ戦争関連のweb改ざん等のｻｲﾊﾞｰﾃﾛ多発、国内業者も巻き添えで被害あり。 20040300 ﾌｧｲﾙ交換ｿﾌﾄ｢Winny｣による情報漏洩事件が多発。 20040328 ﾒｰﾙの添付ﾌｧｲﾙを介して感染を拡大するﾜｰﾑ｢W32/Netsky｣大流行。 20070100 鉄道業A社自動改札ｼｽﾃﾑ障害で首都圏約660駅改札機(4400台)が使用不能260万人に影響 20070400 エストニア政府機関等への大規模サイバー攻撃(DDoS攻撃) 20080500 金融業B社でシステム障害 約２万件が取引不能 20080800 グルジア政府機関への大規模なサイバー攻撃(DDoS攻撃) 20080900 航空業C社でシステム障害 53便欠航、276便に遅れ 20090700 韓国、米国政府機関等への大規模なサイバー攻撃(DDoS攻撃) 20091200 ｢ｶﾞﾝﾌﾞﾗｰ攻撃｣によるWEBサイト改ざん被害増加 20100700 スタックスによる攻撃によりイラン原子力発電所の全遠心分離機停止 20100900 尖閣領海中国魚船長逮捕事案で中国ﾊｯｶｰ我が国政府機関等へ大規模サイバー攻撃(DDOS攻撃) 20110300 金融業F社でシステム障害。送金処理の遅延等が発生 20110300 韓国政府機関等への大規模なサイバー攻撃(DDoS攻撃) 20110400 ｿﾆｰ米国子会社のネットワークへ不正侵入 最大7700万人分の顧客情報流出 20110911 三菱重工業,IHI、衆議院等への標的型攻撃によるウイルス感染。発覚 20120400 スマフォのアプリから100万件超の個人情報の流出 20120600 我が国政府機関等に対するWEBサイト改ざん及びDDOS攻撃 20120918 尖閣諸島国有化反日活動として中国ﾊｯｶｰ我が国政府機関にDDOS攻撃 20121100 宇宙航空研究開発機構(JAXA)におけるウイルス感染事案発生 20121200 日本原子力研究開発機構(IAEA)におけるウイルス感染事案発生 ★
フィッシング等によるインターネットバンキング対象不正ア クセス・不正送金事案(23年３月末～) スマートフォンウイルスによる個人情報流出事案(24年３月 ～) インターネット上での ○ 児童ポルノの売買 ○ 覚せい剤・麻薬等の販売
サイバー犯罪情勢
情勢 悪質・巧妙化する事案 サイバー犯罪検挙件数 例 1849 2081 3161 4425 5473 6321 6690 6933 5741 7334 0 1000 2000 3000 4000 5000 6000 7000 8000 H15 H16 H17 H18 H19 H20 H21 H22 H23 H24 認知都道府県 （35都道府県） ・被害金融機関 56行 ・不正送金総額 約３億800万円 ネットバンキングに係る不正アクセス平成23年中
・ 家庭におけるインターネット利用で感じる不 安：「電子的決済の手段の信頼性に不安がある」 42%（総務省「平成23年通信利用動向調査」） ・ 「インターネットバンキングのセキュリティー に不安を感じる」約６割（ジャパンネット銀行調 査、平成24年） ・ 本年は既に2億200万円の被害が発生（６月末現 在） ・ スマホユーザーの８割以上がセキュリティ上 の不安を感じており、約6人に1人が実際にセ キュリティ上の問題に遭遇（マカフィー「ス マートフォン利用におけるセキュリティ意識」 調査、平成23年） サイバー犯罪等によりインターネッ トの安全性・信頼性が損なわれると 経済活動を含めた国民生活の基盤が 揺らぐことに我が国における最近のサイバー犯罪情勢
サイバー犯罪 インターネット等の普及に伴い、インターネットバンキングへの不正アクセス・不正送金事 案等のサイバー犯罪が多発。 また、情報通信技術を用いて政府機関や先端技術を有する企業から機密情報を窃取する サイバーインテリジェンスや、政府機関を含む重要インフラ事業者等の基幹システムを機能 不全に陥れ、社会の機能を麻痺させてしまうサイバーテロが世界的規模で頻発。 サイバーインテリジェンス サイバーテロ ＤＤｏＳ攻撃 不正アクセス 認知都道府県 （35都道府県） ・被害金融機関 56行 ・不正送金総額 約３億800万円 ネットバンキングに係る不正アクセス （平成23年中） 標的型メール攻撃 サイバー攻撃事案
サイバー空間における脅威
7標的型ﾒｰﾙ攻撃による情報窃取の例
情報通信技術を用いた諜報活動（「最も安全で安価なスパイ」）
•
機密情報が窃取されれば、我が国の治安、外交、安全保障、社会経済活動等に重大な影響 が生じるおそれ • 中でも、市販のウイルス対策ソフトでは検知できない不正プログラムを添付した電子メールを 送信し、これを受信したコンピュータを不正プログラムに感染させることにより、情報の窃取を図 る「標的型メール攻撃」による被害が懸念されている。 指令（C&C）サーバ 攻撃者 不正プログラムを添付し たメールを送付 メールを開封し 不正プログラムに感染 ウェブサイトの閲覧を 装って情報を送出 窃取した情報を転送サイバーインテリジェンスの脅威
Copyright (c) 2012 National Information Security Center (NISC). All Rights Reserved. 省庁ＨＰ 連続改ざん 米国 同時多発 テロ 情報セキュリティポリシー に関するガイドライン （2000.7 情報セキュリティ対策推進会議決定） 重要インフラのサイバーテロ 対策に係る特別行動計画 （2000.12 情報セキュリティ対策推進会議決定） 政府機関の情報セキュリティ対策の統一基準（第１～４版）（2005.12.13決定） 重要インフラの情報セキュリティ対策 に係る行動計画 （2005.12.13決定） 第１次情報セキュリティ基本計画 （2006.2.2情報ｾｷｭﾘﾃｨ政策会議決定） 対 策 推 進 の 枠 組 み 組 織 体 制 2001.9 第２次情報セキュリティ 基本計画（2009.2.3 決定） 政府機関の情報セキュリティ対策 のための統一基準群 （2011.4.21決定、2012.4.26改定） 重要インフラの情報セキュリティ対 策に係る第２次行動計画 （2009.2.3、2012.4.26情報セキュリティ政策会議決定） ① 内閣官房情報セキュリティセンター（2005.4 設置） ② 情報セキュリティ政策会議 （2005.5 設置） ③ GSOC （2008.4 運用開始） 約 １ 箇 月 で 組 織 を 立 ち 上 げ 2000.1 年度 2000 2004 2005 2006 2009 2013 ＳＪ２００６ ＳＪ２００７ ＳＪ２００８ ＳＪ２００９ 情報セキュリティ２０１０ 政府機関対策 重要ｲﾝﾌﾗ対策 基本戦略 ※ 基本戦略に基づき策定する年度計画 【基本戦略】 【年度計画：セキュア・ジャパン】 各省における 試行錯誤 サイバー攻撃への対応を 中心とした対策実施時期 IT障害への対応も含めた 総合的対策基盤づくりの推進 内閣官房情報セキュリティ 対策推進室（2000.2設置） 国民を守る 情報セキュリティ戦略 （2010.5.11 決定） 2010 ２０１１ ｻｲﾊﾞｰｾｷｭﾘﾃｨ２０１３ (2013.6.27決定) サイバー攻撃事態発生を念頭、新たな環境 変化対応、能動的情報セキュリティ対策 米韓 ＤＤｏｓ 攻撃 DNSキャッシュ ポイズニング Gumblar 猛威 ボットネット による攻撃 Winny フィッシング詐欺 スパイウェア 誘導型攻撃 の出現 Webサーバの 脆弱性への攻撃 国民を守る情報セ 戦略 第二次情報セ 基本計画 9.18 攻撃 基 本 戦 略 政 府 制御ｼｽﾃﾑ Sｔuxnet攻撃 標的型攻撃 組織的高度化
ネットワーク情報セキュリティ政策の推移
２０１２ 9 ｻｲﾊﾞｰｾｷｭﾘﾃｨ 戦略 (2013.6.10決定) ｻｲﾊﾞｰｾｷｭﾘﾃｨｾﾝﾀｰ 2015目処 NIRT（2002.4）10 内閣官房を中心に関係省庁も含め横断的な体制を整備 議長 内閣官房長官 議長代理 内閣府特命担当大臣（科学技術政策） 構成員 国家公安委員会委員長 総務大臣 外務大臣(平25追加) 経済産業大臣 防衛大臣 民間有識者（６人）
我が国の情報セキュリティ政策の枠組みと推進体制
政府機関（各府省庁） 内閣官房情報セキュリティセンター (NISC) センター長（官房副長官補（安危）） 副センター長（内閣審議官）２名 内閣参事官６名 情報セキュリティ補佐官（アドバイザー）３名 本部長 内閣総理大臣 副本部長 内閣特命担当大臣（科学技術政策） 内閣官房長官 総務大臣 経済産業大臣 本部員 本部長及び副本部長以外のすべての国務大臣 民間有識者（８人） 高度情報通信ネットワーク社会推進戦略本部（IT戦略本部） 情報セキュリティ政策会議 （2005年５月30日 ＩＴ戦略本部長決定により設置） 内閣官房ＩＴ担当室 室長（官房副長官補（内政）） 警察庁 協力 ５省庁 防衛省 総務省 経済産業省 （サイバー犯罪の取締り） （国の安全保障） （通信・ネットワーク政策） （情報政策） 個人 企業 協 力 重要インフラ事業者 等 重要インフラ所管省庁 その他の 関係省庁 金融庁（金融機関） 総務省（地方公共団体、情報通信） 厚生労働省（医療、水道） 経済産業省（電力、ガス） 国土交通省（鉄道、航空、物流） その他 文部科学省（セキュリティ教育） 等 （事務局） 閣僚が参画 （事務局） 重要インフラ 専門委員会 技術戦略 専門委員会 情報セキュリ ティ対策推進 会議(CISO等 連絡会議) 普及啓発・人材育成 専門委員会 外務省 (国際分野にｓｃ) 内閣情報通信政策監現
状
認
識
○平素からの情報収集・集約体制 ○事案発生時の情報収集・集約体制 ・ 「緊急事態に対する政府の初動対処体制について （H15.11.21閣議決定）」、「大規模サイバー攻撃事態等へ の初動対処について」等に基づき、各省庁から提供される 情報を収集・集約・共有 対 策 事案発生時の対処態勢の構築 情報収集・集約体制の強化 政府におけるサイバー攻撃等への対処態勢の強化について （H22.12.27 情報セキュリティ対策推進会議・危機管理関係省庁連絡会議合同会議申し合わせ）大規模サイバー攻撃事態等への対処について
平成22年3月19日 ○現代社会は、サイバー攻撃の脅威にさらされており、政府として対処態勢を強化していくことが必要。 ○各省庁は、大規模なサイバー攻撃が、我が国の安全保障・危機管理に影響を及ぼしうる重大な脅威であることを十 分認識し、これに適切に対処するための取組を強化する必要がある。 【官房長官指示 （情報セキュリティ対策推進会議・危機管理関係省庁連絡会議合同会議（H22.12.27）） 】 ○ 政府一体となった対処態勢の構築 ・ 「大規模サイバー攻撃事態等への初動対処について （H22.3.19内閣危機管理監決裁）」に基づく具体的な対処 体制の構築 ○訓練の実施等 ・ H23.3、各省庁が連携した訓練を実施。今後も継続して実 施予定。 ・当該訓練の結果を踏まえ、別途、対処要領等の作成を検討。 ○米国・韓国における大規模サイバー攻撃事案（H21.7） ○我が国政府機関HPに対するサイバー攻撃事案（H22.9） 過去の事例 ・ 「我が国におけるサイバー攻撃に係る情報収集・集約体 制等の整備について（H22.12.27情報セキュリティ対策推進 会議申し合わせ）」に基づき、各省庁から提供される情報を 収集・集約・共有情報セキュリティ政策会議議長（官房長官）からのメッセージ
国の重要な情報を扱い 国の安全に深くかかわる企業 ○ 企業の情報セキュリティの一層の強 化 ○ 政府・民間双方向の情報共有等の官 民連携への協力 一般企業等 ○ 職員の情報セキュリティ意識の向上 ○ 感染時に被害を最小限にとどめる対 策の実施 国民全般 ○ パソコンやスマートフォン等のセキュ リティ関連ソフトウエアを常に最新の 状態に15
サイバー空間と実空間の「融合・一体化」 サイバー空間を取り巻く「リスクの深刻化」
２．基本的な方針
国家の安全保障・危機管理、社会経済の発展、国民の安全・安心確保のため (１)目指すべき社会像： 「サイバーセキュリティ立国」の実現 ① 情報の自由な流通の確保 ② 深刻化するリスクへの新たな対応 ③ リスクベースによる対応の強化 ④ 社会的責務を踏まえた行動と共助 ① 国 ② 重要インフラ事業者等 ③ 企業や教育・研究機関 ④ 一般利用者や中小企業 ⑤ サイバー空間関連事業者１．環境の変化
(２)基本的な考え方 (３)各主体の役割 ① 政府機関等における対策：情報システム等に関する対策及びサイバー攻撃への対処態勢を一層強化 (１)「強靱な」サイバー空間の構築 ② 重要インフラ事業者等における対策：政府機関等における対策に準じた取組 ③ 企業・研究機関等における対策：インシデントの認知・情報共有の強化、ＣＳＩＲＴ構築促進や演習等 ④ サイバー空間の衛生：個々の主体による対策に加え、社会全体が参加した予防的対策実施 ⑤ サイバー空間の犯罪対策： 対処能力強化や民間事業者等の知見の活用等による対処態勢強化 → ⑥ サイバー空間の防衛：国家ﾚﾍﾞﾙのｻｲﾊﾞｰ攻撃から我が国に係るｻｲﾊﾞｰ空間を守るための対応強化 平成２５年６月１０日会議決定サイバーセキュリティ戦略(1)
① 産業活性化：海外製品等への依存度が高い我が国のサイバーセキュリティ産業の国際競争力強化 ② 研究開発：リスクの変化に適切に対応できる、創意と工夫に満ちたセキュリティ技術の創出 ③ 人材育成：高度かつ国際的なセキュリティ人材の育成 ④ リテラシー向上：一般国民のリテラシーの向上 (２)「活力ある」サイバー空間の構築 (３)「世界を率先する」サイバー空間の構築 ① 外交 基本的な価値観を共有する国等とのパートナーシップ関係の多角的構築・強化 ② 国際展開 ＡＳＥＡＮ等とともに成長できる関係を構築し、サイバー攻撃への対応能力構築の支援 ③ 国際連携 国境を越えるサイバー攻撃に関するインシデントへの対応・連携の強化 ４ 推進体制等 ● ＮＩＳＣについて権限等の必要な組織体制を整備し、２０１５年度を目途として「サイバーセキュリティ センター」（仮称）に改組・機能強化 ● 政府機関や重要インフラ事業者等におけるサイバー攻撃関連情報の共有促進のための枠組み整備 ● 取組を進めるにあたっての具体的な中長期（２０１５年度・２０２０年）の目標の管理 ● ２０１５年度までの３年間を戦略の対象とし、年次計画の策定・評価等を実施 ● サイバーセキュリティに関する国際戦略を策定
サイバーセキュリティ戦略(2)
位置付け
○サイバーセキュリティ2013の位置付け
○サイバーセキュリティ2013の構成
サイバー攻撃対策推進上の課題
(1) NISCのGov-cert機能強化によるサイバー攻撃への迅速な対応と連携 (2) 的確な事案対処のための必要な関係機関の調整 ２ サイバー攻撃への迅速な対応と的確な対処 (1) リスクの深刻化に伴う官民連携の質的変革へ (2) ウィルス対策ソフト制作会社、情報セキュリティ会社等との共同対処環境の整備 (1) 外国の治安機関等と連携した迅速な被害拡大防止措置 (2) サイバー攻撃分析に関するノウハウの交換（北朝鮮等による活動に関する情報交換） (3) サイバー攻撃対処力の脆弱な国のキャパシティビルディング ５ 国際的な取り組みの強化 １ 官民連携のさらなる強化 21 ３ 重要インフラ防護活動とその情報セキュリティ運営との関連整理 (1) 危機管理･安全保障部門による大規模サイバー攻撃事案の迅速な対処 (2) ＮＩＳＣのＧｏｖ－ｃｅｒｔ機能強化によるサイバー攻撃事案の迅速な情報収集と的確な処理 ４ 自衛隊、サイバーインテリジェンス部門との連携の緊密強化 (1) 自衛隊、サイバーインテリジェンス部門の連携システムの再構築を含む連携の強化政府が講ずるべき情報共有等に関する対策（府省庁間の支援体制）
○政府として一元的に対処するため、政府ＣＩＳＯ（ＮＩＳＣセンター長）を設置 ○要員の確保が困難な府省庁や大規模なインシデント等の発生により政府として迅速・ 的確に対応すべき事態が発生した際には、他の府省庁の要員による支援が行えるよう、 府省庁間の協力体制に関するルール作りやＮＩＳＣの調整機能の整備を図る。 インシデント 発生省庁 C省 CSIRT インシデント 発生省庁 D省 CSIRT B省 CSIRT 政府ＣＳＩＲＴ 内閣官房 情報セキュリティセンター （NISC） 政府CISOが迅速に判断 要員の確保が困難 インシデント 発生省庁 大規模なインシデントの発生 インシデント対応 支援の協力依頼 政府ＣＩＳＯ 他の府省庁からの協力支援重要インフラの情報セキュリティ対
策
国民を守る情報セキュリティ戦略
（第２次行動計画）
官民連携による重要インフラ防護の推進
ＮＩＳＣによる 調整・連携 重要インフラ所管省庁（５省庁） ●金融庁 [金融分野] ●総務省 [情報通信分野、行政分野] ●厚生労働省 [医療分野、水道分野] ●国土交通省 [航空分野、鉄道分野、物流分野] ●経済産業省 [電力分野、ガス分野] 関係機関等 ●情報セキュリティ関係省庁 ●事案対処省庁 ●その他関係機関 ●情報通信 ●金融 ●航空 ●鉄道 ●電力 ●ガス ●政府・行政サービス（含・地方公共団体） ●医療 ●水道 ●物流 重要インフラ（１０分野） （１）安全基準等の整備・浸透 （２）情報共有体制の強化 ①共通脅威分析 重要インフラ各分野に横断的な「指針」に基 づいて、「安全基準」等の浸透を図る ②分野横断的演習 情報の共有により、個々の主体による孤立 した対応から、社会全体としての対応を促進 複数分野に共通する潜在的 な脅威の分析 防護対策向上のための課題 抽出 重要インフラにおけるＩＴ障害が国民生活、社会活動に重大な影響を及ぼさないことを目指す ①予防的な対策と再発防止対策の両側から対処（具体的には、安全基準の整備、情報共有体制の強化など。） ②重要インフラ事業者等における情報セキュリティ対策の浸透状況や急速な技術進展等を踏まえたＰＤＣＡの促進 （３）重要インフラ防護対策の向上重要インフラの情報セキュリティ対策
他の事業者等に対し 注意喚起を実施 同種の攻撃を確認 （770件） サイバーインテリジェンス情報共有ネットワーク 重要インフラ 事業者等 各都道府県警察に設置 管内の10分野（※）の事業 者が参画 先端技術を有する事 業者等 不正プログラム対策協議会 不正通信防止協議会 セキュリティ 関連事業者 ｳｲﾙｽ対策ｿﾌﾄ提 供事業者等 全国約4,900の事業者 等が参画 （H23.8～） サイバーテロ対策協議会 サイバーフォースセ ンター等における 関連ウェブサイト等 の観測態勢の強化 H24.3以降、NISC（政府 機関に対する攻撃を集 約）と相互に情報共有 ※情報通信、金融、航空、鉄道、電力、ガス、政 府・行政サービス、医療、水道、物流 ４社と設置（H23.8 ～） ウイルス対策ソフ トの更新等によ り、ITユーザ全体 のセキュリティ対 策を向上 10社と設置 （H24.8～） 我が国事業者等 による不正な接 続先への通信を 防止 標的型メール攻撃等 の情報を提供 プログラム等新たな不正 の情報を提 供 最新の手口 等の提供 サイバー攻撃に関す る情報の共有 不正プログラ ム等による 通信の接続 先等の情報 を共有 国際ハッカー集団等 による サイバー攻撃を 把握・注意喚起 警察 平成24年中に 1,009件の 標的型メールを 把握・注意喚起 民間事業者等からの情 報を集約・分析
サイバー攻撃に対処するための官民連携
26平成24年9月7日制定
