2011 年度の情報セキュリティ政策の評価等

(1)

2011 年度の情報セキュリティ政策の評価等

2012 年 7 月 4 日

内閣官房情報セキュリティセンター（NISC）

(2)

１

Ⅰ はじめに... ２

（１）本文書の位置付け等 ... ２

Ⅱ 情報セキュリティを取り巻く環境の変化 ... ３

Ⅲ 全体の評価等 ... ５

（１）総評 ... ５

（２）次年度に向けた課題 ... ６

Ⅳ 各領域における評価等 ... ７１大規模サイバー攻撃事態への対処態勢の整備等 ... ７２新たな環境変化に対応した情報セキュリティ政策の強化 ... ８

（１）国民生活を守る情報セキュリティ基盤の強化 ... ８

（２）国民・利用者保護の強化 ... １１

（３）国際連携の強化 ... １４

（４）技術戦略の推進等 ... １５

（５）情報セキュリティに関する制度整備 ... １７３東日本大震災を踏まえた情報セキュリティ政策 ... １８

（１）災害時に強靭な情報通信システムの構築 ... １８

（２）「リスク・マネジメント」、「リスク・コミュニケーション」の確立 ... １８

（３）情報システム全体の「ニュー・ディペンダビリティ」の確保 ... １９

別添１「情報セキュリティ 2011」に盛り込まれた施策の実施状況

別添２各情報セキュリティ政策領域における評価に当たり考慮すべき現状別添３独立行政法人等の情報セキュリティ対策の現状について

(3)

Ⅰ はじめに

（１）本文書の位置付け等

本文書は、「国民を守る情報セキュリティ戦略」（以下「戦略」という。）及び 2011 年度の年度計画である「情報セキュリティ 2011」（以下「年度計画」という。）に基づき推進された情報セキュリティ政策の評価等について取りまとめたものである。

評価等は、「情報セキュリティ政策の評価等の実施方針」（内閣官房情報セキュリティセンター）に基づき、2011 年度に生じ、又は顕在化した環境の変化を整理した上で、年度計画において示される取組の推進状況を把握しつつ、情報セキュリティ政策が環境の変化に適合しているかどうか、また、種々の脅威に適切に対処することが可能となっているかどうかなどについて検証する形で実施した。

(4)

３

Ⅱ 情報セキュリティを取り巻く環境の変化

¹

2011 年７月に策定した「情報セキュリティ 2011」では、その背景となる環境変化を５つに分類し記述した。具体的には、①大規模なサイバー攻撃事案等の脅威の増大、②社会経済活動の情報通信技術への依存度の増大、③新たな技術革新への対応、④グローバル化等、

⑤東日本大震災の発生である。

ここでは、これらの分類をベースに、昨今の情報セキュリティを取り巻く著しい環境変化の特徴を取りまとめる。

① 本格的なサイバー攻撃の発生と深刻化

・我が国の政府機関における、かねてから海外で発生事例が報告されていた標的型攻撃²の脅威の顕在化

・更なる進化が見込まれる標的型攻撃

② 社会経済活動の情報通信技術への依存度の更なる高まりとリスクの表面化

・モバイルブロードバンド、スマートフォン、ソーシャル・ネットワークサービス

（SNS）等の普及による、社会経済活動における情報通信技術に対する依存度の加速度的な高まり

・スマートフォンを対象として、個人情報を利用者に無断で外部に送信する等のマルウェア等の拡大

・個人情報が掲載される傾向にあるブログ、SNS、動画共有サイト等や、データセンターやクラウドサービス³等の利用の本格化

・行政サービスの情報通信技術への依存度の更なる高まり

・情報系システムと同様の技術の採用および、情報系システムとの相互接続が増加している制御システムにおける情報セキュリティ上のリスクの高まり

③ 新たな技術革新に伴う新たなリスクの出現

1 本文書を踏まえた「情報セキュリティ 2012」に詳細を記載しているため、本書では項目の列挙にとどめた。

2 複数の攻撃手法を組み合わせ、ソーシャルエンジニアリングにより特定の組織や個人を狙い執拗に行われる攻撃。

3 データサービスやインターネット技術等がネットワーク上にあるサーバ群（クラウド（雲））にあり、ユーザーは今までのように自分のコンピュータで加工・保存することなく、「どこからでも、必要なときに、必要な機能だけ」を利用することができる新しいコンピュータネットワークの利用形態。

(5)

・ M2M⁴の利用拡大・利用形態の変化と、変化に応じた情報セキュリティ対策を念頭に置いた環境整備の必要性の高まり

④ 重大な情報システム障害のリスク回避に向けた取組の必要性の高まり

・東日本大震災の複合的被害の教訓を受け、災害に対しても強靭な情報通信システム構築に向けた取組の必要性の高まり

・携帯電話事業者や銀行の情報通信システム等における大規模なシステム障害の発生を踏まえた、リスク回避に向けた取組の必要性の高まり

⑤ 諸外国における取組の強化

・米英がサイバーセキュリティ戦略を公表するなど諸外国の情報セキュリティに対する戦略的な取組の強化

・サイバー空間のメリットを享受しつつ国境を越えたサイバー空間における各種脅威に対処するための国際的な規範作りに向けた議論の進展

・国連や、G8、サイバー空間に関するロンドン会議等、世界的な国際連携の必要性の高まり

4 M2M（エムツーエム）Machine-to-Machine：ネットワークに繋がれた機械同士が人間を介在せずに相互に情報交換し、自動的に最適な制御が行われるシステムのこと。例としては、各種センサー・デバイス（情報家電、自動車、自動販売機、建築物、スマートフォン等）を、

ネットワークを通じて協調させ、エネルギー管理、施設管理、経年劣化監視、防災、福祉等、

多様な分野のサービスを実現するなど。

(6)

５

Ⅲ 全体の評価等

（１）総評

「情報セキュリティ 2011」は、「国民を守る情報セキュリティ戦略」に示された考え方に加え、昨今の環境変化を踏まえた３つの視点を重視して施策を取りまとめることにより策定された。３つの視点とは、①サイバー空間についての基本的考え方、②情報セキュリティの脅威の高度化・多様化に応じた能動的な対応、③東日本大震災を踏まえた情報セキュリティ分野における対応である。

以下に示すように、重点化された視点に属する主要課題についての取組は、概ね着実に進ちょくした。

①サイバー空間についての基本的考え方

・オープンで相互運用可能で、セキュアで、信頼性の高いサイバー空間を構築するという基本的考え方の下、米国、ASEAN、欧州諸国等との協議の実施等により、国境を越えた情報セキュリティ上の脅威に対する国際連携の強化が促進された。

・サイバー空間に関する国際的なコンセンサスの醸成や行動規範の作成に向けた活動が開始される中、国際的な議論の場で我が国の基本的考えを提示するなどし、その実現に向けた対応が進められた。

②情報セキュリティの脅威の高度化・多様化に対応した能動的な対応

・政府横断的な情報収集・分析システムの強化については、政府機関内の連携強化が図られるとともに、官民における CSIRT 等の整備や CSIRT 間の連携・情報共有の取組が推進されるなど、情報収集・分析システムの充実・強化が図られた。

・スマートフォンのセキュリティ対策については、問題点等について利用周知を行ったほか、技術的課題への検討が行われるなど対応が進んだ。

・制御システムの情報セキュリティ上の課題等について堅牢性向上に資する対策が進んだ。

・クラウドコンピューティングに対応したセキュリティ技術やグリーンクラウドの研究等要素技術が進歩し、IPv6 セキュリティ検証環境における実証実験と防御技術のプロトタイプ開発やガイドラインの提供により IPv6 の情報セキュリティ対応技術等が進展した。

③東日本大震災を踏まえた情報セキュリティ分野における対応

・政府機関及び重要インフラ分野において、震災時に取り組むべき対策やリスク・マネジメントの在り方等について、優先的に取り組むべき対策、中長期的対策等の課題が示された。また、重要インフラ事業者等の間のリスク・コミュニケーションの向上が図られた。

・情報システム全体の「ニュー・ディペンダビリティ」の確保については、対災害性の高い情報システムの実現に向けた研究開発が着実に推進されるなど課題に対する検討が進んだ。

(7)

その他の分野の施策についても、詳細は「Ⅳ各領域における評価等」の記載に譲るが、

大多数が着実に推進されている。この結果、「情報セキュリティ 2011」において解決しようとしている課題への対応は概ね予定通り進ちょくしたと評価できる。

他方、昨年度は、本書「Ⅱ情報セキュリティを取り巻く環境の変化」に記載の通り情報セキュリティをめぐる情勢の大きな変化がみられた。これらの中には、今後大きな情報セキュリティリスクとなり得る可能性を含むものもあり、今後、これらの社会・環境の変化への的確な対応が求められる。

（２）次年度に向けた課題

「情報セキュリティ 2011」については着実に推進しているものの、環境の変化を考慮すると、その変化に的確に対応することができるよう既存の取組を一部見直し、項目の再編成や新規に必要となった取組の追加を実施する必要がある。

したがって次年度に向けては、基本的には「国民を守る情報セキュリティ戦略」に示された「基本的な考え方」を踏まえて対応することが適当であるが、新たに以下の点を考慮した上で 2012 年度の施策を策定することが求められる。

・サイバー攻撃の高度化・多様化に伴いサイバー空間の脅威が深刻化しており国や国の安全に関する重要な情報を扱う企業等に対する対応が急務である点

・スマートフォン利用者の急速な拡大に対しマルウェアが急増しているとともに、個人情報や企業情報等が大規模に集積されているクラウドコンピューティングや SNS、

システム技術の変化が著しい制御システムについても、一層の情報セキュリティの確保に向けた取組が不可欠である点

・サイバー空間における脅威が高まる中、諸外国において情報セキュリティに対する戦略的な取組が強化され、国連における議論やサイバー空間に関するロンドン会議等を契機に、国際的な枠組み作りへの取組が急速に進展しており、我が国の情報セキュリティに対するポジションを踏まえた枠組み作りがなされるためには、ハイレベルによる戦略的な情報発信を含め国際的な枠組み作りへの積極的な参画が極めて重要である点

すなわち、2012 年度の施策においては、以下について特に重点的対応が必要と考えられる。

①国の安全に関する重要な情報を扱う企業等に対する高度な脅威への対応強化

②スマートフォンの本格的な普及等新たな情報通信技術の広まりに伴うリスクの表面化に対応した安全・安心な利用環境の整備

③国際連携の強化

(8)

７

Ⅳ 各領域における評価等

１大規模サイバー攻撃事態への対処態勢の整備等

【総評】

重要インフラ事業者がサイバー攻撃を受けたとの想定に基づく大規模サイバー攻撃事態等対処訓練の実施や、標的型メール攻撃に関する不正プログラムの解析等によるサイバー攻撃に係る脅威・手法分析の推進等、大規模サイバー攻撃事態への対処態勢の整備が進んでいる。

2010 年 12 月の情報セキュリティ対策推進会議・危機管理関係省庁連絡会議合同会議における申合せに基づき、情報の集約・共有を実施し、また、GSOC⁵において政府機関に対するサイバー攻撃等に関する全般的な傾向や情勢について分析を行い、関係政府機関に当該分析結果を提供しているほか、諸外国の関係機関等ともサイバー攻撃の主体・方法等に係る情報の共有を進めるなど、対処に資する平素からの情報収集・共有体制の構築強化が図られつつある。

【課題】

2011 年秋に、立法府、政府機関、防衛関連企業等に対する標的型攻撃が顕在化した。

引き続き、脅威・手法の分析、対処訓練の実施や、関係機関間における情報の集約・共有及び民間や諸外国等との連携を含めた対処態勢等の更なる強化を図る必要がある。

5 Government Security Operation Coordination team：政府横断的な情報収集機能、攻撃等の分析・解析機能等の事案対策促進機能。

(9)

２新たな環境変化に対応した情報セキュリティ政策の強化

（１）国民生活を守る情報セキュリティ基盤の強化

① 政府機関等の基盤強化⁶

【総評】

最高情報セキュリティ責任者（CISO）の機能強化及び情報セキュリティガバナンスの高度化を目的として、2011 年度から公表を行った各府省庁の「情報セキュリティに係る年次報告書」（以下「情報セキュリティ報告書」という。）等の一連の PDCA サイクルの取組によって、全体として、各府省庁の情報セキュリティ対策は一定以上の水準が維持されていると評価できる。

また、増加する標的型攻撃等の新たな脅威や情報技術・利用環境の変化への対応、

運用の実効性向上等を目的とした「政府機関の情報セキュリティ対策のための統一基準群」（以下「政府機関統一基準群」という。）の改定や、東日本大震災を踏まえた情報システム運用継続計画の策定及びガイドラインの改定、標的型メールに係る教育訓練や政府機関から発信する電子メールに係るなりすましの防止等の取組により、政府機関等を取り巻く環境変化に迅速に対応し、情報セキュリティ水準の継続的な向上が図られている。

さらに、政府機関や国の安全に関する重要な情報を扱う企業等に対する標的型攻撃等の脅威が顕在化してきたことを踏まえ、契約締結時の情報セキュリティ要件の策定及び遵守や、官民における CSIRT 等の整備、CSIRT 間の連携・情報共有の推進等、対策の強化に向けた検討が引き続き行われている。

【課題】

改定した政府機関統一基準群の周知徹底や情報セキュリティ報告書の作成・公表等の一連の PDCA サイクルの実施、標的型メール攻撃に関する教育訓練や電子メールのなりすまし防止の取組等により、引き続き、政府機関を取り巻く環境変化に迅速に対応し、政府機関等における情報セキュリティ対策の継続的な向上を図る必要がある。

さらに、CSIRT 等の機能を有する体制整備や CSIRT 間の連携の強化、協力体制の構築等の取組により、大規模な情報セキュリティインシデント等の発生に備えた政府機関全体の対処能力の向上を図る必要がある。

② 重要インフラの基盤強化

【総評】

6 政府機関の評価等については、「政府機関における情報セキュリティに係る年次報告（平成 23 年度）」も参照のこと。

(10)

９

重要インフラサービスの維持、IT 障害発生時の迅速な復旧等の確保に向け、「重要インフラの情報セキュリティ対策に係る第２次行動計画」（以下「第２次行動計画」

という。）に基づき諸施策を着実に推進している。

共通脅威分析においては、制御システムを標的とした「Stuxnet」等最近の攻撃事例の障害要因等を整理・分析し、重要システムの堅牢性向上に資する対策を取りまとめたほか、分野横断的演習においては重要インフラの複合障害をテーマに実践的な演習を行った。また、セプターカウンシルについては事務局としてベストプラクティスの共有等、セプター間の相互理解、情報共有を推進した。

事業継続計画の在り方等については、東日本大震災が重要インフラの情報システムの安定運用に及ぼした影響等について調査を実施したところであり、今後、大規模な被害の発生に対応可能な重要インフラの基盤強化に向けた取組を進める必要がある。

国際連携については、重要インフラ分野についての情報伝達、共有体制についての意見交換を欧米各国等の政府機関等との間で行うなど、連携の促進が図られている。

また、東日本大震災発生時におけるＩＴシステムの同時障害、政府関係機関や重要インフラ事業者を含む我が国主要企業のＩＴシステムに対するサイバー攻撃等の環境変化に対応するため、第２次行動計画の中で早急に強化・補強すべき点について検討を行い、重要インフラ専門委員会において第２次行動計画の改定について決定が行われるなど、迅速な対応が行われた。

【課題】

昨今の環境変化を踏まえて 2012 年４月に改定された第２次行動計画に基づいた諸施策を着実に実施する。

東日本大震災において重要インフラ分野に生じた複合的な障害における教訓を踏まえ、事業継続計画に関する国際規格化の進展状況等も踏まえつつ、『重要インフラの情報セキュリティ確保に係る「安全基準等」策定にあたっての指針』やその「対策編」の改定を検討する。

標的型攻撃や、制御システムへの攻撃等、攻撃手法・対象等に変化が見られており、重要インフラ各分野の安全基準等が、それらの環境変化へ対応しているかについて分析・検証を行う。

また、平素から事業者間においても相互に役立つ情報の共有等の取組を進めることが重要である。

③ 情報セキュリティ産業の振興

【総評】

(11)

クラウドコンピューティング、IPv6、スマートフォン等に対応した情報セキュリティ技術の確立に向けた検討が進んでいる。また、「情報セキュリティ研究開発戦略」

に基づく研究開発、「情報セキュリティ人材育成プログラム」に基づく高度人材育成の取組が進められている。

技術戦略専門委員会の下に設置された、情報セキュリティ技術開発を活用した産業活性化検討ワーキンググループにおいて検討が進められている。

【課題】

個々の対策は着実に進んでいるが、これら施策の有機的連携を図るべく設置された情報セキュリティ技術開発を活用した産業活性化検討ワーキンググループは検討を開始したところであり、更に検討を進める必要がある。

スマートフォンや SNS 等、急激に普及・拡大している分野におけるセキュリティ対策の強化は、産業振興にもつながる可能性が高く、一層強化する必要がある。

④ その他の基盤強化

【総評】

スマートフォンについては、「スマートフォン・クラウドセキュリティ研究会」（総務省）において中間取りまとめを公表し、その内容を踏まえスマートフォンの普及に伴って発生する問題点等について利用者周知を行ったほか、技術的課題について検討が行われ、最終報告が取りまとめられるなど、課題への対応が進んでいる。

クラウドコンピューティングについては、経済産業省において「クラウドサービス利用のための情報セキュリティマネジメントガイドライン」を策定するとともに、

国際標準化案として ISO/IEC JTC 1/SC27 の会議へ提出し議論を実施したほか、目標とされた技術開発や研究開発が進展するなど、対応が進んでいる。

IPv6 については、IPv6 普及・高度化推進協議会において官民共同でセキュリティ上の技術的課題の検証が行われ、「IPv6 対応セキュリティガイドライン」として取りまとめられた。また、IPv6 接続サービス提供状況に関するホームページ上の情報提供も開始されており対応が進んでいる。SNS については、なりすまし防止を含む情報セキュリティ確保策の検討が行われており、目標とされた課題への対応が進んでいる。今後、その結果が早期に利用者周知されることが期待される。

マルウェア対策については、サイバー攻撃停止のための枠組みの構築に向けた取組が進展するとともに、脆弱性情報やインシデント事例情報、マルウェア検体解析情報等の共有が進んでいる。また、検体解析、ソフトウェアの脆弱性対策も進展した。ただし、リバースエンジニアリングの適法性明確化措置については、検討が進められたものの法改正には至っていない。また、2011 年度には標的型サイバー攻撃事例が多数表面化しており、2012 年度にはマルウェア対策等の取組を更に加速度的

(12)

１１に進める必要性が生じている。

【課題】

目標とされた課題の多くについて着実に対応が進展しているが、スマートフォンの極めて急速な普及、標的型サイバー攻撃の深刻化等を踏まえ、対策のより一層の強化が必要となっている。

スマートフォンについては、更なる普及啓発とともに、技術的課題の検討を踏まえた具体的対策の展開が急務である。

クラウドコンピューティングについては、これまで取り組まれてきた利用者側の情報セキュリティ対策に加え、データ保護・サービス品質等に関する責任主体の明確化や、セキュリティ要件に係る管理基準等、クラウド事業者側の情報セキュリティ管理指針についても検討が求められる。また、今後作成される国際規格と、我が国の基準やガイドライン等の整合性がとられることが望まれる。

マルウェア対策については、技術的な対応策の検討を更に推進するほか、標的型サイバー攻撃事例が多数表面化していることを踏まえ、官民連係による情報共有を強化する必要がある。

⑤ 内閣官房情報セキュリティセンターの機能強化

【総評】

情報セキュリティに関する技術的知見やノウハウ等を有する者を民間企業等から積極的に登用し情報の収集、共有、分析等の能力を充実させ、各府省庁に対する情報セキュリティ・コンサルティング機能の充実を図ったほか、情報セキュリティ政策の推進において関係機関等と連携しており、NISC の専門性の向上と連携の強化が進んでいる。

【課題】

昨秋の政府機関等に対する標的型攻撃を受けて、情報セキュリティの確保に関する官民連携を強化することとし、NISC がその結節点となることとされたことなどを踏まえ、引き続き上記の能力及び情報セキュリティ・コンサルティング機能の充実並びに関係機関等との連携強化を着実に進める必要がある。

（２）国民・利用者保護の強化

① 普及・啓発活動の充実・強化

(13)

【総評】

「情報セキュリティ普及・啓発プログラム」に基づく普及啓発については、「情報セキュリティ月間」においてブロック別イベントの開催、情報セキュリティ啓発番組の作成等を行ったほか、個人を対象とした情報セキュリティに関する自己診断チェックリストの作成に向けた検討、企業経営層の情報セキュリティに対する理解の促進に向けた当面の課題等の検討が行われるなど、充実・強化が進んでいる。

「普及啓発・人材育成専門委員会」及び「普及啓発・人材育成推進方策検討ワーキンググループ」が 2011 年に設置され、情報セキュリティ月間等官民連携プロジェクトの推進方策の検討等が行われており、普及啓発に係る司令塔機能が明確にされている。

普及啓発に関する国際連携については、2011 年 11 月に開催された第４回日・ASEAN 情報セキュリティ政策会議において、日・ASEAN 共同の意識啓発週間のスローガン等が決定されるなど、取組が進んでいる。

一方、情報セキュリティの脅威に対する意識調査においては、個々の脅威に対する認知度が上がっているにもかかわらず、未だに被害やトラブルの発生時に何をしてよいか分からないなどの理由から対処しない者がいることが明らかとなっており、

情報セキュリティの具体的な周知の方法には課題が残っているといえる。

【課題】

目標とされた取組は着実に進ちょくしているが、被害やトラブル発生時に何をしたらよいか分からないとする者が未だに存在している状況にあることなどを踏まえ、

情報セキュリティ対策の必要性や具体的な方法等に関して周知の対象者が直面する可能性のある事例を挙げて説明するなど、情報通信技術の利用主体の属性に応じたきめの細かい普及啓発を推進する必要がある。

② 情報セキュリティ安心窓口（仮称）の検討

【総評】

情報セキュリティに係る相談窓口については、「情報セキュリティ安心相談窓口」

の運用や情報セキュリティ・サポーターの育成が行われ、また、ウェブサイトにおける窓口の紹介等の連携強化が進んでおり、充実に向けた取組が継続的に行われているが、消費者に対する窓口相談対応力の強化の観点では一層の連携が望まれる状況にある。

【課題】

既存の窓口の運用及び情報セキュリティ・サポーターの育成・活用を引き続き行

(14)

１３

うとともに、関係省庁の連携をさらに強化していく必要がある。

③ 個人情報保護の推進

【総評】

個人情報保護法の見直しについては、消費者委員会個人情報保護専門調査会において「個人情報保護専門調査会報告書」が取りまとめられて消費者委員会へ報告され、今後の主な検討課題が抽出されるなど検討が進められた。国際的なフレームワークの対応については、個人情報の国際的な流通が適切かつ安全な形で行われることを促進するために、APEC⁷等の国際的な取組を把握・分析し、APEC 越境プライバシー執行のための協力取決めに加入したほか、国際的な会合への出席等を通じ、我が国の個人情報保護関連法制について国際的な理解を求めた。

今後も引き続き、消費者委員会において個人情報保護法の問題点について検討を行うとともに、活発に行われる国際的な取組に関して、積極的な参画及び我が国制度の理解の醸成が必要である。

【課題】

現在、議論が行われている APEC や OECD⁸等を通じた個人情報等の保護に関する国際的な取組に対する継続的な関与が必要である。

④ サイバー犯罪に対する態勢の強化

【総評】

サイバー犯罪の取締りについては、地方警察官の増員、資機材の更新・増強、警察職員に対する教育訓練等の実施、国際会議等を通じた海外の捜査機関との連携強化、官民連携の強化等が行われており、基盤整備に向けた取組が着実に進んでいる。

サイバー犯罪の抑止については、教育機関、行政機関、企業、国民等を対象にした講習を情報セキュリティ月間に重点的に実施するなど、サイバー空間における規範意識の醸成に向けて広報啓発を推進するとともに、事業者等と連携してサイバー犯罪防止対策を推進するなど、取組が着実に進んでいる。

【課題】

7 Asia-Pacific Economic Cooperation：アジア太平洋経済協力。

8 Organisation for Economic Co-operation and Development：経済協力開発機構。

(15)

目標とされた課題の多くについて着実に対応が進展しているが、スマートフォンやタブレット端末等の進展の目覚ましい情報通信技術・サービスや、一層複雑・巧妙化するサイバー犯罪に的確に対応できるように、対策のより一層の強化が必要となっている。

サイバー犯罪の取締りのための基盤整備を推進するため、引き続き、取締りのための態勢を強化するほか、サイバー犯罪捜査における事後追跡可能性の確保等について、官民連携した取組を強化する必要がある。

サイバー犯罪の抑止のため、引き続き、効果的手法による広報・講習を継続実施するとともに、サイバー防犯ボランティアの活動に資する取組の推進や、サイバー犯罪防止対策の官民連携した取組を強化する必要がある。

（３）国際連携の強化

【総評】

二国間関係の強化については、米国、ASEAN、欧州諸国等との協議の実施、アジア太平洋地域における研修の実施、同地域の CSIRT⁹の構築・運用、体制強化の支援等により、サイバー攻撃等国境を越えた情報セキュリティ上の脅威に対する国際連携の強化が進んでいる。特に ASEAN 諸国とは、日・ASEAN 情報セキュリティ政策会議において、意識啓発教材の提供や人材育成を含む、共同の意識啓発取組を行うことで合意に達するなど、協力関係の強化が進んだ。

重要インフラに関する会合である MERIDIAN¹⁰、環太平洋地域における協力に関するフォーラムである APEC 等の国際会合への参画、ITU¹¹・ISO¹²/IEC¹³等への出席を通じた情報セキュリティ分野での国際標準化への参画を通じて、情報共有体制等の強化が図られた。

2011 年度は新たにサイバー空間に関する国際的な議論が活発化した。「サイバー空間に関するロンドン会議」（2011 年 11 月）では、インターネットの経済的・社会的恩恵を維持し、サイバー空間における犯罪や、安全保障上の脅威からいかに身を護るべきかという問題等について議論が行われるなど、将来のサイバー空間に関する国際的なコンセンサス獲得や、行動規範の作成に関する国際的な対話が行われた。

本会議は、2012 年度以降フォローアップ会合が開催されることが発表されており、

9 Computer Security Incident Response Team：コンピュータセキュリティに係るインシデントに対処するための組織の総称。

10 重要情報インフラ政策に携わる政府機関同士が、どのようにして協働することができるかについて議論をするための枠組み。

11 International Telecommunication Union：国際電気通信連合。

12 International Organization for Standardization：国際標準化機構。

13 International Electrotechnical Commission：国際電気標準会議。

(16)

１５今後国際的な対話の活発化が予想される。

【課題】

継続的に連携の強化が推進されている米国、ASEAN に加え欧州諸国等との二国間連携や多国間連携の強化を図るとともに、サイバー空間に関する議論に対して、上記フォローアップ会合やその他会合への参画を通じた国際的な対話の促進が必要である。

（４）技術戦略の推進等

① 情報セキュリティ関連の研究開発の戦略的推進等

【総評】

「情報セキュリティ研究開発戦略」を策定し、戦略に基づく重要分野における取組を推進するために、2012 年３月、「平成 23 年度情報セキュリティ産業の活性化方策に係る調査報告書」として、各重要分野における研究開発ロードマップの詳細化を取りまとめており、研究開発を体系的に進めるための取組が行われている。

データを暗号化したままで検索処理等を可能とする技術等、クラウドの安心・安全な利用を実現する情報セキュリティ技術の研究開発が推進され、社会を支える基盤等につながる研究開発が進んでいる。

ネットワーク等の安全性・信頼性確保、情報通信構成要素の安全性、サイバーセキュリティ研究テストベッド等の研究が進められ、安全・安心で、新しい価値を創造できる情報通信システムの実現のための「ゲーム・チェンジ」等につながる研究開発が進んでいる。また、新世代ネットワーク基盤技術や量子情報通信ネットワーク技術の研究開発が進められるなど、能動的で信頼性の高い（ディペンダブルな）

情報セキュリティに関する長期的な取組が進んでいる。

【課題】

「情報セキュリティ研究開発戦略」に基づく重要分野について、「平成 23 年度情報セキュリティ産業の活性化方策に係る調査報告書」で取りまとめた研究開発ロードマップの実用化に向けて、産学官の知見及びノウハウの共有と活用等、具体的対策の展開が必要である。

② 情報セキュリティ人材の育成

【総評】

(17)

情報セキュリティ政策会議の下に、普及・啓発人材育成専門委員会を 2011 年７月に設置し、同委員会において、「情報セキュリティ人材育成プログラム」の進ちょく状況をフォローアップするとともに、同プログラムを踏まえた当面の課題等を「情報セキュリティ人材育成プログラムを踏まえた 2012 年度以降の当面の課題等について」として取りまとめた。また、情報セキュリティ専門家等の育成の促進、情報セキュリティ人材育成に係る枠組みの検討、及び情報セキュリティ資格の周知等の取組が着実に進められており、情報セキュリティ人材の育成は着実に推進されている。

一方、近年の情報セキュリティを取り巻く環境の変化に伴う情報セキュリティリスクは極めて広範かつ多岐にわたっており、2012 年度は、本年度取りまとめた当面の課題等に対する対応を確実に実施することが求められる。

【課題】

「情報セキュリティ人材育成プログラムを踏まえた 2012 年度以降の当面の課題等について」において提言された施策を着実に推進していくとともに、情報セキュリティ専門家等の育成の促進、情報セキュリティ人材育成に係る枠組みの検討及び情報セキュリティ資格の周知等の取組を引き続き実施する必要がある。

③ 情報セキュリティガバナンスの確立

【総評】

企業間で情報セキュリティに関する情報共有を可能にするスキームとして「情報セキュリティガバナンス協議会」が発足したほか、東日本大震災の影響や

ISO/IEC27031¹⁴の内容を踏まえた IT サービス継続マネージメントガイドラインの改定が行われるなど、企業における情報セキュリティ対策を向上させるための支援が行われており、情報セキュリティガバナンスを確立するための支援活動が促進されているところである。対処療法的な対応ではなく、リスク管理の観点から情報リスクを適切に管理するためには、情報セキュリティガバナンスの実践は重要なアクションの一つであり、引き続き情報セキュリティガバナンスの普及啓発や導入支援を進めることが求められる。

【課題】

企業間で情報セキュリティに関する情報共有を可能にするスキームとして「情報セキュリティガバナンス協議会」が発足したところである。今後は、効果的な情報

14 事業連続性のための情報通信技術準備。

(18)

１７

共有を行えるよう、情報リスクの管理に関する知見の共有等を進める必要がある。

また、普及啓発活動の推進等、企業の情報セキュリティガバナンス確立に要する負担の軽減に資するための導入支援が引き続き求められる。

（５）情報セキュリティに関する制度整備

【総評】

情報処理の高度化等に対処するための刑法等の一部を改正する法律（平成 23 年法律第 74 号）が 2011 年６月に成立した。同法により刑法（明治 40 年法律第 45 号）、刑事訴訟法（昭和 23 年法律第 131 号）等が改正され、不正指令電磁的記録に関する罪や接続サーバ保管の自己作成データ等の差押え等の規定が新設されたほか、2012 年３月には、不正アクセス行為の禁止等に関する法律の一部を改正する法律（平成 24 年法律第 12 号）が公布されフィッシング行為等が禁止及び処罰の対象とされるなど、サイバー犯罪に対処するための法整備が進んでいるところである。加えて、サイバー犯罪に有効に対処するためには国際連携が重要であるところ、これらの法改正を受け、サイバー犯罪に関する条約の締結に向けた作業が進められているなど、サイバー空間の安全性・信頼性を向上させるための制度構築が着実に進んでいる。今後は、改正法令の適切かつ効果的な運用を行うほか、情報セキュリティをめぐる環境変化に対応したサイバー空間の安全性・信頼性を向上させるための制度の調査・研究や国際連携に引き続き取り組んでいく必要がある。

【課題】

改正された刑法、刑事訴訟法、不正アクセス行為の禁止等に関する法律（平成 11 年法律第 128 号）等の適切かつ効果的な運用やサイバー犯罪に関する条約の締結に向けた作業の確実な実施を行うほか、情報セキュリティをめぐる環境変化に対応したサイバー空間の安全性・信頼性を向上させるための制度の調査・研究や国際連携に引き続き取り組んでいくことが必要である。

(19)

３東日本大震災を踏まえた情報セキュリティ政策

（１）災害時に強靭な情報通信システムの構築

【総評】

政府機関における対策としては、NISC において実施した「東日本大震災における政府機関等の情報システムに対する被災状況の調査及び分析」により、政府機関において情報システム運用継続のために行うべき緊急対策、優先的に取り組むべき対策、中長期的対策等の課題が示された。これらの東日本大震災で明らかとなった課題については、「政府機関の情報セキュリティ対策のための統一基準群」（平成 24 年度版）に反映されるとともに、これらの課題を踏まえて「中央省庁における情報システム運用継続計画ガイドライン」の改定が行われた。また、2011 年度には各府省庁において情報システム運用継続計画の策定が行われており、災害時に強靭な情報通信システムの構築に向けた取組は着実に進んでいると評価される。今後は、「東日本大震災における政府機関等の情報システムに対する被災状況の調査及び分析」で示された対策を着実に実施していくとともに、

各府省庁において情報システム運用継続計画を着実に見直していくことが求められる。

重要インフラ分野においては、共通脅威分析において、既往調査で検証した重要インフラ間の相互依存性について、東日本大震災における各インフラ間の被害の連鎖状況を踏まえて再検証を実施した結果、新たな相互依存性が確認されており、環境変化に伴い重要インフラ間の相互依存性に変化が生じているものと考えられる。

大災害発生直後の情報通信システムの在り方及び耐災害性の向上については、NISC において実施した「耐災害性を強化した情報システムの在り方等に関する調査」により、

情報システムの耐災害性を強化するために必要な要件を検討し、取りまとめられている。

【課題】

政府機関における情報システム運用継続のために行うべき対策の実施や情報システム運用継続計画の見直し、重要インフラ分野の環境変化に応じた相互依存性の再検証、「情報セキュリティ研究開発戦略」の推進、及び耐災害性を強化するために必要な要件に対するセキュリティ機能の調査検討を引き続き実施していく必要がある。

（２）「リスク・マネジメント」、「リスク・コミュニケーション」の確立

【総評】

政府機関及び重要インフラ事業者における震災時の情報システムにおける影響や、震災時に取り組むべき対策、リスク・マネジメントの在り方等について調査・分析等が行われるなど、東日本大震災を踏まえた今後の大規模災害時における安全性・信頼性向上に向けた取組が進められている。また、重要インフラ事業者や関係機関において震災から得られた知見等について意見交換が行われるなど、ＩＴシステムの障害に関するリス

(20)

１９ク・コミュニケーションが図られている。

【課題】

震災関連の調査・分析等によって得られた知見・教訓を「安全基準等」対策指針等へ速やかに反映することが必要である。

（３）情報システム全体の「ニュー・ディペンダビリティ」の確保

【総評】

情報システム全体の「ニュー・ディペンダビリティ」の確保に向けては、「情報セキュリティ研究開発戦略」に記載されている耐災害性の高い情報システムの実現に向けた研究開発が着実に推進された。

個別に取り組むこととされたテーマについても、システムのセキュリティ設定を上位から下位まで自動保証する技術においてリスクを可視化するフレームワークの確立、多彩なネットワークサービスを収容するプラットフォーム構成技術の開発等において、

各々の課題に対する検討が進んでいる。

【課題】

「情報セキュリティ研究開発戦略」に基づき、個別の研究テーマを推進するとともに、

情報通信システムの耐災害性を強化するために必要な要件に対して、「耐災害性を強化した情報システムの在り方等に関する調査」で整理したセキュリティ機能の検討を進める必要がある。

(21)

　　　　「情報セキュリティ2011」に盛り込まれた施策の実施　　　　状況

Ⅳ　具体的な取組み

１　大規模サイバー攻撃事態への対処態勢の整備等

（１）対処態勢の整備

ア　大規模サイバー攻撃事態における政府の初動対処態勢の整備

該当項目施策名担当省庁進捗状況

（ア）大規模サイバー攻撃事態等発生時の初動対処に係る訓練の実施等

内閣官房及び関係府省庁

・2012年３月、大規模サイバー攻撃事態等が発生した際に政府及び関係機関が迅速かつ適切な初動対処を行うための態勢を整備するため、重要インフラ事業者がサイバー攻撃を受けたとの想定に基づく大規模サイバー攻撃事態等対処訓練を実施した。

（イ）情報分析態勢の整備等内閣官房・2012年３月、大規模サイバー攻撃事態等対処訓練を実施し、大規模サイバー攻撃事態等の発生時における情報分析態勢を確認した。

（ウ）サイバー攻撃に係る脅威・手法分析の推進

・サイバー攻撃事態発生時における適切な対処態勢の構築を図るため、標的型メール攻撃に関する不正プログラムの解析を行うなど、

サイバー攻撃に係る脅威・手法の分析を推進した。

（エ）サイバーテロ対策に係る体制等の強化

警察庁・サイバーテロ対策に従事する警察職員を対象に、サイバー攻撃に関する知識・技能等の修得を行うための部内外における各種研修を実施した。

イ　官民連携の推進

（ア）重要インフラに対するサイバーテロ対策に係る官民の連携強化

警察庁・都道府県警察において、重要インフラ事業者等への個別訪問、サイバーテロ対策セミナー、サイバーテロ対策協議会、重要インフラ事業者等との共同訓練等を通じ、官民の連携強化を推進した。

（イ）サイバーインテリジェンス対策に係る官民の連携強化

警察庁・2011年８月、情報窃取の標的となるおそれのある全国約4,000の事業者等と「サイバーインテリジェンス情報共有ネットワーク」を構築するとともに、同月、ウイルス対策ソフト提供事業者等と「サイバーインテリジェンス対策のための不正プログラム対策協議会」を設置し、官民の連携強化を推進した。

（ウ）サイバー攻撃（インシデント）対応調整支援

経済産業省・被害の発生及び拡大抑止のための関係者間調整を実施した（インシデント件数2,490件：

2012年２月末現在）。そのうち、重要インフラ事業者を主な対象としたインシデントに関する対応支援は43件であった。

（エ）新しい脅威・攻撃の分析経済産業省・IPA主催の研究会「脅威と対策研究会」において、「『新しいタイプの攻撃』の対策に向けた設計・運用ガイド」及び同改訂２版を発行した。同ガイドでは新しいタイプの攻撃に対する設計・対策、攻撃手法の分類、適切な対応方針等を記載している。

ウ　サイバー攻撃に対する防衛分野での体制の強化

別添１

(22)

（ア）サイバー防護専門部隊の新編に向けた準備体制の整備

防衛省・サイバー防護専門部隊の新編に向けた所要の要員を配置するため、2011年度末に新編準備要員を確保した。

（イ）サイバー防護分析装置の運用開始

防衛省・分析機能の強化、情報共有能力の強化、対処演習機能の追加等を行った新たなサイバー防護分析装置を導入し、2012年３月から運用を開始した。

（ウ）サイバー攻撃等に係る分析・

対処及び研究の推進

防衛省・防衛省の保有する情報システムに対するサイバー攻撃等に関する脅威／影響度の分析・

対処能力を更に向上させるために研究試作を行ったネットワークセキュリティ分析装置について、2010年度に引き続き性能確認試験を実施した。

また、サイバー攻撃を検知するための研究及びマルウェアの挙動解析研究を2010年度に引き続き実施した。

（エ）情報保証に係る最新技術動向等の調査研究

防衛省・2010年度に引き続き、情報システムの情報保証を確保するため、サイバー攻撃及びサイバー攻撃対処等に係る最新技術動向及び防衛省へのデジタル・フォレンジックの導入要領等について調査を実施し、調査結果を踏まえ、防衛省でのサイバー攻撃等対処訓練、対処器材の機能拡充及び態勢強化の資とする内容を含む報告書を取りまとめた。

（オ）サイバー攻撃等対処に向けた人材育成の取組

防衛省・防衛大学校においてネットワークセキュリティ分野の教育・研究体制を強化するために必要な規則等の整備を行い、2011年度に教授１名を増員した(2012年１月採用)。

エ　サイバー犯罪の取締り

（ア）デジタルフォレンジックに係る取組の推進

警察庁・サイバー犯罪捜査に従事する警察職員に対し、電磁的記録の解析等に係る研修を実施した。

・デジタルフォレンジック用資機材を増強した。

・2011年12月、関係機関が参加するデジタルフォレンジック連絡会を開催した。

・電子機器等の製造業者を始めとする企業との技術協力を推進した。

(23)

（イ）サイバー犯罪の取締りのための国際連携の推進

警察庁・2011年10月及び2012年２月、G8ローマ／リヨン・グループに置かれたハイテク犯罪サブグループ会合に出席。国際的なサイバー犯罪対策プロジェクトを実施するとともに、外国捜査機関職員との情報交換、協力関係の確立等を積極的に推進した。

・2011年11月、緊急時における国際捜査協力の効率性向上等を目的として開催されたG8 ローマ／リヨン・グループ・ハイテク犯罪サブグループ24時間コンタクトポイント訓練会合に出席した。

・2011年11月、サイバー空間に関するロンドン会議に出席した。

・2011年12月、ICPOアジア南太平洋IT犯罪作業部会会合に出席した。

・外国が関係するサイバー犯罪捜査に関し、

ICPO、刑事共助条約等の枠組みに加え、G8 ローマ／リヨン・グループ・ハイテク犯罪サブグループが設置している24時間コンタクトポイント（2012年２月現在、60の国及び地域が参加）を活用し、外国捜査機関等への捜査共助要請等を実施した。

・サイバー犯罪の取締りに関する技術情報を共有し、アジア大洋州地域の治安機関の相互の技術水準の向上を図ることを目的として、

CTINSを運用した（2012年３月現在、14の国・

地域が参加）。

(24)

オ　サイバー攻撃への対処に係る国際連携の強化

（ア）サイバー攻撃等に関する諸外国等との情報共有体制の構築・強化

・NATOサイバー防衛センター（CCDCOE）主催国際会議（2011年６月エストニア）等における情報交換を通じ、サイバー攻撃の攻撃主体・方法等の対処に資する情報収集・分析を実施した。

（イ）国際会議等への参加を通じた連携の強化

・FIRST年次会合(2011年６月オーストリア)に参加する等国際連携枠組みを通じて、諸外国との連携強化を推進した。

（ウ）サイバーテロに関する諸外国関係機関との連携の強化

警察庁及び法務省

・警察庁において、諸外国関係機関との情報交換を行うなど、サイバー攻撃の主体・方法等に関する情報収集・分析を継続的に実施した。

・公安調査庁において、諸外国関係機関との情報交換を行うなどして、サイバー攻撃の主体・方法等に関する情報収集・分析を継続的に実施している。

(25)

　　Ⅳ　具体的な取組み

１　大規模サイバー攻撃事態への対処態勢の整備等

（２）平素からの情報収集・共有体制の構築強化

ア　対処に資する情報の収集・分析・共有体制の強化

（ア）サイバー攻撃事態への対処に資する情報の集約・共有の充実

内閣官房及び全府省庁

・2010年12月の情報セキュリティ対策推進会議・危機管理関係省庁連絡会議合同会議における申合せに基づき、情報の集約・共有を実施しているほか、警察庁の「サイバーインテリジェンス情報共有ネットワーク」との間における情報共有を行っている。

（イ）各政府機関における緊急対応体制の強化支援

内閣官房・内閣官房において、政府機関に対するサイバー攻撃等に関する全般的な傾向や情勢について分析を行い、各政府機関に対して当該分析結果を提供するとともに、個々の対策に必要となる攻撃手法の分析結果等の情報提供を実施した。

（ウ）「重要インフラの情報セキュリティに係る第２次行動計画」に基づく情報共有体制による情報収集、情報共有の実施

内閣官房・重要インフラ事業者に対するサイバー攻撃に係る情報について、「重要インフラの情報セキュリティ対策に係る第２次行動計画」に基づく情報共有体制により、重要インフラ所管省庁、関係機関等との情報連絡、情報提供を着実に推進した。

（エ）サイバーテロの予兆の早期把握と情報収集・分析の強化

・警察庁において、サイバー攻撃手法に関する知識・技能の修得を目的とした民間委託研修を実施するなど、サイバー空間におけるテロの予兆等の早期把握を可能とする態勢の整備を進めた。

・公安調査庁において、公安調査官を対象に各種研修を実施する等、サイバー空間におけるテロの予兆等の早期把握を可能とする態勢の整備を進めた。

（オ）サイバーテロ対策に係る態勢等の強化

【再掲：１（１）ア】

警察庁

イ　サイバー攻撃等に関する諸外国等との情報共有体制の構築・強化

（ア）諸外国の関係機関等とのサイバー攻撃に係る情報の共有を通じた対処能力の向上

・諸外国の関係機関等との意見交換を行うなどして、サイバー攻撃の主体・方法等に資する情報の共有を進めて対処能力の向上を図った。

（イ）サイバーテロに関する諸外国関係機関との連携の強化

【再掲：１（１）オ】

(26)

　　Ⅳ　具体的な取組み

２新たな環境変化に対応した情報セキュリティ政策の強化

（１）国民生活を守る情報セキュリティ基盤の強化

① 政府機関等の基盤強化

ア　政府横断的な情報収集・分析システム（GSOC）の充実・強化

（ア）ａ）政府横断的な情報収集・分析システム（GSOC）の充実・強化

・内閣官房において、政府機関に対するサイバー攻撃等に関する情報収集の強化のため、

引き続き、関係機関との連携強化を進めるとともに、分析・解析能力の強化や分析結果等の情報共有を進める取組を実施した。

（ア）ｂ）政府横断的な情報収集・分析システム（GSOC）の充実・強化

・内閣官房は全府省庁等の協力を得て、2012 年１月に緊急時の連絡体制の確認訓練を実施した。

イ　最高情報セキュリティ責任者（CISO）の機能強化

（ア）ａ）情報セキュリティガバナンスの高度化に向けた取組

・内閣官房において、2011年度に情報セキュリティ対策推進会議を計３回開催した。

・各府省庁において、上記会議に参画し、

2010年度の政府機関における情報セキュリティに係る年次報告や官民連携の強化のための分科会における検討結果の審議等を行った。

（ア）ｂ）情報セキュリティガバナンスの高度化に向けた取組

・内閣官房において、2011年度に最高情報セキュリティアドバイザー会議を計５回開催し、専門的知見に基づき、各府省庁の取組の高度化のための議論や助言等を行った。

・各府省庁において、上記会議に参画し、議論・審議等を行った。

（イ）ａ）「情報セキュリティに係る年次報告書」（情報セキュリティ報告書）に係る取組の推進

・各府省庁において、2011年度の情報セキュリティ報告書を作成し、公表を行った。

・外部監査については、各府省庁のCISOの判断に基づき、積極的に活用する。

（イ）ｂ）「情報セキュリティに係る年次報告書」（情報セキュリティ報告書）に係る取組の推進

・内閣官房において、2012年5月に開催された最高情報セキュリティアドバイザー等連絡会議において、全ての府省庁の情報セキュリティ報告書について、比較・評価等を実施するとともに、優れた取組については、推奨事例候補として選出することにより、知見の共有やフィードバックを行った。

・各府省庁において、情報セキュリティ対策推進会議の場において報告した後、全ての府省庁で公表を行った。

（イ）ｃ）「情報セキュリティに係る年次報告書」（情報セキュリティ報告書）に係る取組の推進

・内閣官房において、これまでの対策状況や検査の結果を踏まえ、効果的かつ効率的な対策実施状況報告及び重点検査を行う観点から、対策実施状況報告の点検項目の重点化や重点検査における調査項目の集約化等を行い、各府省庁へ提示した。

（イ）ｄ）「情報セキュリティに係る年次報告書」（情報セキュリティ報告書）に係る取組の推進

・内閣官房において、「政府機関における情報セキュリティに係る年次報告（2011年度）」を作成。情報セキュリティ対策推進会議で決定後、公表を行うとともに、情報セキュリティ政策会議に報告を行った。

内閣官房及び全府省庁内閣官房及び全府省庁

内閣官房及び全府省庁

2011 年度の情報セキュリティ政策の評価等