改正対象の関係規則等の一覧

(1)

サイバーセキュリティ基本法の一部改正に伴う関係規則等の改正について

資料５－１サイバーセキュリティ基本法の一部改正に伴う関係規則等の改正について

資料５－２サイバーセキュリティ基本法の一部改正に伴う関係規則等の改正（新旧対照表）

資料５－３サイバーセキュリティ基本法の一部改正に伴う関係規則等の改正後の規則等

資料５

(2)

サイバーセキュリティ基本法の一部改正に伴う関係規則等（別紙のとおり）の改正について所要の手続（サイバーセキュリティ戦略本部長の了解等）を経て、平成31年（2019年）4月1日に行ったので、報告するもの。

サイバーセキュリティ基本法の一部改正に伴う関係規則等の改正について

（参考）対象となった関係規則の例

サイバーセキュリティ戦略本部重大事象施策評価規則新旧対照案（※条番号の繰り下がり関係部分のみ抜粋）

改正旧

サイバーセキュリティ基本法（平成26年法律第104号。以下「法」という。）第26条第１項第３号に規定する事務を適切に遂行するため、当該事務について、次のとおり定める。（以下、略）

サイバーセキュリティ基本法（平成26年法律第104号。以下「法」という。）第25条第１項第３号に規定する事務を適切に遂行するため、当該事務について、次のとおり定める。（以下、略）

改正旧

１．サイバーセキュリティ基本法施行令（平成26年政令第400号）第２条の規定に基づき、我が国全体の重要インフラ防護に資するサイバーセキュリティに係る事項について、調査検討を行うため、重要インフラ専門調査会（以下「専門調査会」という。）を置く。

１．サイバーセキュリティ戦略本部令（平成26年政令第400号）第２条の規定に基づき、我が国全体の重要インフラ防護に資するサイバーセキュリティに係る事項について、調査検討を行うため、重要インフラ専門調査会（以下「専門調査会」という。）を置く。

重要インフラ専門調査会の設置について（※引用する施行令の名称が変更された部分のみ抜粋）

「サイバーセキュリティ基本法」（平成26年法律第104号。以下「法」という。）に第17条（サイバーセキュリティ協議会）を新設。

改正法の施行後、現行の法第17条が第18条になる等の法第17条以降の条番号が繰り下がる。

(参考)サイバーセキュリティ基本法の一部を改正する法律（平成30年法律第91号。以下「改正法」という。）（※本件関係部分）

(参考)サイバーセキュリティ基本法の一部改正に伴う関係規則等の改正について

(平成31年（2019年）１月24日サイバーセキュリティ戦略本部決定)

サイバーセキュリティ戦略本部が決定した規則等のうち、改正対象の法令を引用する規則等については、改正法の施行等に伴い、当該規則等が引用する法の条項の変更などの技術的な改正が必要。

改正法等が施行された日（平成31年４月１日）において、サイバーセキュリティ戦略本部が決定した規則等の技術的な改正を、サイバーセキュリティ戦略本部として行うものとする。

なお、本改正については、サイバーセキュリティ戦略本部長の了解を得て行うものとし、その内容を事後に、サイバーセキュリティ戦略本部に報告するものとする。

資料５－１

(3)

＜平成31年（2019年）１月24日サイバーセキュリティ戦略本部決定の対象一覧＞

［サイバーセキュリティ戦略本部決定］

•

サイバーセキュリティ戦略本部重大事象施策評価規則［引用する条項：基本法第25条第１項第３号］

•

サイバーセキュリティ戦略本部資料提供等規則［引用する条項：基本法第31条及び法第32条］

•

サイバーセキュリティ戦略本部の後援等名義の使用について［引用する条項：基本法第22条］

•

政府機関等の情報セキュリティ対策のための統一規範［引用する条項：基本法第25条第１項第２号］

•

政府機関等の情報セキュリティ対策の運用等に関する指針［引用する条項：基本法第25条第１項第２号］

•

サイバーセキュリティ対策を強化するための監査に係る基本方針［引用する条項：基本法第25条第１項第２号］

•

重要インフラ専門調査会の設置について［引用する条項：サイバーセキュリティ戦略本部令第２条］

•

研究開発戦略専門調査会の設置について［引用する条項：サイバーセキュリティ戦略本部令第２条］

•

普及啓発・人材育成専門調査会の設置について［引用する条項：サイバーセキュリティ戦略本部令第２条］

＜参考＞

［サイバーセキュリティ戦略本部長決定］

•

サイバーセキュリティ対策推進会議等について［引用する条項：サイバーセキュリティ戦略本部令（平成26年政令第400号）第４条］

サイバーセキュリティ基本法及び関係政令を引用する規則等（※サイバーセキュリティ戦略本部長の了解を得た）

改正対象の関係規則等の一覧

サイバーセキュリティ基本法及び関係政令を引用する決定等（※必要な決裁手続を行った）

(4)

○サイバーセキュリティ戦略本部重大事象施策評価規則新旧対照表

一部改定案現行

サイバーセキュリティ戦略本部重大事象施策評価規則

平成 27 年２月 10 日サイバーセキュリティ戦略本部決定平成 28 年 10 月 12 日一部改定平成 31 年４月１日一部改定

平成 27 年２月 10 日サイバーセキュリティ戦略本部決定平成 28 年 10 月 12 日一部改定

サイバーセキュリティ基本法（平成 26 年法律第 104 号。以下「法」という。）第 26 条第１項第３号に規定する事務を適切に遂行するため、当該事務について、次のとおり定める。

サイバーセキュリティ基本法（平成 26 年法律第 104 号。以下「法」という。）第 25 条第１項第３号に規定する事務を適切に遂行するため、当該事務について、次のとおり定める。

（対象とする事象）

第１条法第 26 条第１項第３号に規定する

「国の行政機関、独立行政法人又は指定法人で発生したサイバーセキュリティに関する重大な事象」（以下「特定重大事象」

という。）とは、国の行政機関、独立行政法人又は法第 13 条に規定する指定法人

（以下「行政機関等」という。）で発生したサイバーセキュリティに関する事象のうち、次に掲げるものとする。

第１条法第 25 条第１項第３号に規定する

「国の行政機関、独立行政法人又は指定法人で発生したサイバーセキュリティに関する重大な事象」（以下「特定重大事象」という。）とは、国の行政機関、独立行政法人又は法第 13 条に規定する指定法人（以下

「行政機関等」という。）で発生したサイバーセキュリティに関する事象のうち、次に掲げるものとする。

一行政機関等が運用する情報システムにおける障害を伴う事象であって、当該行政機関等が実施する事務の遂行に著しい支障を及ぼし、又は及ぼすおそれがあるもの

二情報の漏えいを伴う事象であって、国民生活又は社会経済に重大な影響を与え、又は与えるおそれがあるもの

二情報の漏えいを伴う事象であって、国民生活又は社会経済に重大な影響を与え、又は与えるおそれがあるもの三前各号に掲げるもののほか、我が国の

サイバーセキュリティに対する国内外の信用を著しく失墜させ、又は失墜させるおそれがある事象

三前各号に掲げるもののほか、我が国のサイバーセキュリティに対する国内外の信用を著しく失墜させ、又は失墜させるおそれがある事象

（関係行政機関との連携等）（関係行政機関との連携等）

資料５－２

(5)

第２条サイバーセキュリティ戦略本部（以下「本部」という。）による特定重大事象に対する施策の評価（以下単に「施策の評価」という。）に当たっては、特定重大事象が発生した行政機関等（以下「当該行政機関等」という。）その他の関係行政機関との緊密な連携を図るとともに、秘密の保持に十分留意するものとする。

第２条サイバーセキュリティ戦略本部（以下「本部」という。）による特定重大事象に対する施策の評価（以下単に「施策の評価」

という。）に当たっては、特定重大事象が発生した行政機関等（以下「当該行政機関等」という。）その他の関係行政機関との緊密な連携を図るとともに、秘密の保持に十分留意するものとする。

（施策の評価の手順等）

第３条施策の評価は、次に掲げる段階を踏まえて行うものとする。

一事象発生の把握一事象発生の把握二被害の特定及び原因究明（以下「原因

究明等」という。）

二被害の特定及び原因究明（以下「原因究明等」という。）

三被害の復旧及び再発防止に向けた施策（以下「復旧・再発防止策」という。）の把握

三被害の復旧及び再発防止に向けた施策（以下「復旧・再発防止策」という。）

の把握

四復旧・再発防止策の評価四復旧・再発防止策の評価２施策の評価は、法第 32 条の規定により

当該行政機関等（当該行政機関等が独立行政法人又は法第 13 条に規定する指定法人

（以下「独立行政法人等」という。）の場合は、当該独立行政法人等を所管する行政機関）の長から提供される報告資料を基に行うものとする。

２施策の評価は、法第 31 条の規定により当該行政機関等（当該行政機関等が独立行政法人又は法第 13 条に規定する指定法人

（以下「独立行政法人等」という。）の場合は、当該独立行政法人等を所管する行政機関）の長から提供される報告資料を基に行うものとする。

（特定重大事象に係る通知）

第４条サイバーセキュリティ戦略本部長

（以下「本部長」という。）は、特定重大事象に該当する事象の発生を確認したときは、その旨を当該行政機関等の長（当該特定重大事象が独立行政法人等で発生したものであるときは、当該独立行政法人等を所管する行政機関の長及び当該独立行政法人等の長とする。第８条を除き、以下同じ。）に通知するものとする。

第４条サイバーセキュリティ戦略本部長

（以下「本部長」という。）は、特定重大事象に該当する事象の発生を確認したときは、その旨を当該行政機関等の長（当該特定重大事象が独立行政法人等で発生したものであるときは、当該独立行政法人等を所管する行政機関の長及び当該独立行政法人等の長とする。第８条を除き、以下同じ。）に通知するものとする。

（原因究明等）

第５条特定重大事象に係る原因究明等は、

当該行政機関等による調査により行われ

第５条特定重大事象に係る原因究明等は、

当該行政機関等による調査により行われ

(6)

ることを基本としつつ、必要に応じ、本部による技術的調査その他の補充調査（民間事業者に委託して行うものを含む。）を行うものとする。

２本部長は、前項の規定による補充調査を行おうとするときは、その旨を当該行政機関等の長に通知するとともに、必要に応じ、関係物件の提出その他の協力を求めるものとする。

３本部長は、原因究明等の結果を取りまとめ、本部会合の審議に付した上で、当該行政機関等の長に通知するものとする。

４本部長は、原因究明等の結果に基づき、

法第 28 条第３項の規定による勧告、当該行政機関等における復旧・再発防止策の立案の促進その他所要の措置を講じるものとする。

４本部長は、原因究明等の結果に基づき、

法第 27 条第３項の規定による勧告、当該行政機関等における復旧・再発防止策の立案の促進その他所要の措置を講じるものとする。

５本部長は、原因究明等の事務の一部を法第 31 条第１項第１号の規定に基づき、独立行政法人情報処理推進機構その他サイバーセキュリティに関する対策について十分な技術的能力及び専門的な知識経験を有するとともに、当該事務を確実に実施することができるものとして政令で定める法人に委託した場合においては、別に定めるところにより、同法人に第１項に定める補充調査を行わせるものとする。

５本部長は、原因究明等の事務の一部を法第 30 条第１項の規定に基づき、独立行政法人情報処理推進機構その他サイバーセキュリティに関する対策について十分な技術的能力及び専門的な知識経験を有するとともに、当該事務を確実に実施することができるものとして政令で定める法人に委託した場合においては、別に定めるところにより、同法人に第１項に定める補充調査を行わせるものとする。

（指導及び助言）

第６条本部長は、当該行政機関等の長に対し、特定重大事象に係る原因究明等及び復旧・再発防止策に関し必要な指導及び助言を行うものとする。

（復旧・再発防止策の評価に係る措置）

第７条本部長は、当該行政機関等が立案した復旧・再発防止策に対する評価が終了したときは、その結果を当該行政機関等の長に通知するとともに、必要に応じ、その他所要の措置を講じるものとする。

（復旧・再発防止策の評価に係る措置）

第７条本部長は、当該行政機関等が立案した復旧・再発防止策に対する評価が終了したときは、その結果を当該行政機関等の長に通知するとともに、必要に応じ、その他所要の措置を講じるものとする。

(7)

（法第 32 条第２項の運用）

第８条本部長は、次に掲げる場合には、当該行政機関等（当該行政機関等が独立行政法人等の場合は、当該独立行政法人等を所管する行政機関）の長に対し、法第 32 条第２項の規定により必要な協力を求めるものとする。

（法第 31 条第２項の運用）

第８条本部長は、次に掲げる場合には、当該行政機関等（当該行政機関等が独立行政法人等の場合は、当該独立行政法人等を所管する行政機関）の長に対し、法第 31 条第２項の規定により必要な協力を求めるものとする。

一施策の評価に必要な資料又は情報が正当な理由なく当該行政機関等の長から提供されないとき。

二第５条第２項の規定により協力を求めた場合において、正当な理由なく協力が得られないとき。

三本部会合の場において当該行政機関等の関係職員から説明を受けることが施策の評価を行う上で特に必要であると認めるとき。

（関係事務の処理等）

第９条施策の評価に関する事務（特定重大事象に係る原因究明等の結果の審議及び復旧・再発防止策の評価を除く。）は、内閣サイバーセキュリティセンターに行わせるものとする。ただし、法第 32 条の規定に基づく事務については、別に定めるところによる。

第９条施策の評価に関する事務（特定重大事象に係る原因究明等の結果の審議及び復旧・再発防止策の評価を除く。）は、内閣サイバーセキュリティセンターに行わせるものとする。ただし、法第 31 条の規定に基づく事務については、別に定めるところによる。

２緊急を要する場合における特定重大事象に係る原因究明等の結果及び復旧・再発防止策の評価は、前項の規定にかかわらず、内閣サイバーセキュリティセンターが行うものとする。

３施策の評価に基づき法第 28 条第３項の規定による勧告を行う場合において、次に掲げる事務は、内閣サイバーセキュリティセンターに行わせるものとする。

一法第28条第３項の規定による勧告（前項の規定の適用がある場合に限る。）

二法第 28 条第４項の規定による報告の求め

３施策の評価に基づき法第 27 条第３項の規定による勧告を行う場合において、次に掲げる事務は、内閣サイバーセキュリティセンターに行わせるものとする。

一法第27条第３項の規定による勧告（前項の規定の適用がある場合に限る。）

二法第 27 条第４項の規定による報告の求め

(8)

○サイバーセキュリティ戦略本部資料提供等規則新旧対照表

サイバーセキュリティ戦略本部資料提供等規則

平成27年２月10日サイバーセキュリティ戦略本部決定平成28年10月12日一部改定平成31年４月１日一部改定

平成27年２月10日サイバーセキュリティ戦略本部決定平成28年10月12日一部改定

サイバーセキュリティ基本法（平成 26 年法律第 104 号。以下「法」という。）第 32 条及び第 33 条の規定に基づき、並びに当該規定による事務を適切に遂行するため、当該事務等について、次のとおり定める。

サイバーセキュリティ基本法（平成 26 年法律第 104 号。以下「法」という。）第 31 条及び第 32 条の規定に基づき、並びに当該規定による事務を適切に遂行するため、当該事務等について、次のとおり定める。

（提供しなければならない資料等）

第１条法第 32 条第１項の規定に基づき関係行政機関の長がサイバーセキュリティ戦略本部（以下「本部」という。）に対して提供しなければならない資料又は情報は、次に掲げる事項に関するものとする。

（提供しなければならない資料等）

第１条法第 31 条第１項の規定に基づき関係行政機関の長がサイバーセキュリティ戦略本部（以下「本部」という。）に対して提供しなければならない資料又は情報は、次に掲げる事項に関するものとする。

一～三

（略）

一～三

（略）

２前項各号に掲げる事項の詳細その他法第 32 条第１項の規定の実施に必要な細目的事項については、内閣サイバーセキュリティセンターが関係行政機関に通知するものとする。

２前項各号に掲げる事項の詳細その他法第 31 条第１項の規定の実施に必要な細目的事項については、内閣サイバーセキュリティセンターが関係行政機関に通知するものとする。

（特殊法人等の指定）

第２条法第 33 条第１項の本部が指定する特殊法人及び認可法人は、別表のとおりとする。

（特殊法人等の指定）

第２条法第 32 条第１項の本部が指定する特殊法人及び認可法人は、別表のとおりとする。

第３条法第 32 条及び第 33 条の規定による事務は、内閣サイバーセキュリティセンターに行わせるものとする。

第３条法第 31 条及び第 32 条の規定による事務は、内閣サイバーセキュリティセンターに行わせるものとする。

(9)

２法第 32 条又は第 33 条の規定により提供された資料、情報等に基づき法第 28 条第３項の規定による勧告を行う場合において、当該勧告及び同条第４項の規定による報告の求めに関する事務は、内閣サイバーセキュリティセンターに行わせるものとする。

２法第 31 条又は第 32 条の規定により提供された資料、情報等に基づき法第 27 条第３項の規定による勧告を行う場合において、当該勧告及び同条第４項の規定による報告の求めに関する事務は、内閣サイバーセキュリティセンターに行わせるものとする。

(10)

○サイバーセキュリティ戦略本部の後援等名義の使用について新旧対照表

サイバーセキュリティ戦略本部の後援等名義の使用について

平成27年２月10日サイバーセキュリティ戦略本部決定平成31年４月１日一部改定

平成27年２月10日サイバーセキュリティ戦略本部決定

サイバーセキュリティ基本法（平成 26 年法律第 104 号）第 23 条の趣旨を踏まえ、国民が広くサイバーセキュリティに関する関心と理解を深めるよう、サイバーセキュリティに関する教育及び学習の振興、啓発及び知識の普及等の施策の推進を図るため、サイバーセキュリティ戦略本部は、求めに応じてサイバーセキュリティ戦略本部の後援等名義の使用を承認することとする。

サイバーセキュリティ基本法（平成 26 年法律第 104 号）第 22 条の趣旨を踏まえ、国民が広くサイバーセキュリティに関する関心と理解を深めるよう、サイバーセキュリティに関する教育及び学習の振興、啓発及び知識の普及等の施策の推進を図るため、サイバーセキュリティ戦略本部は、求めに応じてサイバーセキュリティ戦略本部の後援等名義の使用を承認することとする。

サイバーセキュリティ戦略本部の後援等名義の使用に関し必要な事項は、サイバーセキュリティ戦略本部長が定める。

なお、従前、情報セキュリティ政策会議が情報セキュリティ政策会議の後援等名義の使用を承認した行事等については、サイバーセキュリティ戦略本部の後援等名義の使用を承認するものとする。

(11)

○政府機関等の情報セキュリティ対策のための統一規範新旧対照表

政府機関等の情報セキュリティ対策のための統一規範

平成 28 年８月 31 日平成 30 年７月 25 日改定平成 31 年４月１日改定サイバーセキュリティ戦略本部決定

平成 28 年８月 31 日平成 30 年７月 25 日改定サイバーセキュリティ戦略本部決定

第一章目的及び適用対象（第一条―第二条）

第二章政府機関等の情報セキュリティ対策のための基本方針（第三条―第四条）

第三章政府機関等の情報セキュリティ対策のための基本対策（第五条―第二十三条）

附則

第一章目的及び適用対象（第一条―第二条）

第二章政府機関等の情報セキュリティ対策のための基本方針（第三条―第四条）

第三章政府機関等の情報セキュリティ対策のための基本対策（第五条―第二十三条）

附則

第一章目的及び適用対象第一章目的及び適用対象

（目的）

第一条本規範は、サイバーセキュリティ基本法（平成二十六年法律第百四号。以下

「法」という。）第二十六条第一項第二号に定める国の行政機関、独立行政法人及び指定法人（以下「機関等」という。）におけるサイバーセキュリティに関する対策の基準として、機関等がとるべき対策の統一的な枠組みを定め、機関等に自らの責任において対策を図らしめることにより、もって機関等全体のサイバーセキュリティ対策を含む情報セキュリティ対策の強化・

拡充を図ることを目的とする。

（目的）

第一条本規範は、サイバーセキュリティ基本法（平成二十六年法律第百四号。以下

「法」という。）第二十五条第一項第二号に定める国の行政機関、独立行政法人及び指定法人（以下「機関等」という。）におけるサイバーセキュリティに関する対策の基準として、機関等がとるべき対策の統一的な枠組みを定め、機関等に自らの責任において対策を図らしめることにより、もって機関等全体のサイバーセキュリティ対策を含む情報セキュリティ対策の強化・

拡充を図ることを目的とする。

（適用対象）

第二条本規範の適用対象とする組織は、次の各号に掲げるとおりとする。

（適用対象）

第二条本規範の適用対象とする組織は、次の各号に掲げるとおりとする。

一国の行政機関法律の規定に基づき内閣に置かれる機関若しくは内閣の所轄の下に置かれる機関、宮内庁、内閣府設置法（平成十一年法律第八十九号）第四十九条第一項若しくは第二項に規定

(12)

する機関、国家行政組織法（昭和二十三年法律第百二十号）第三条第二項に規定する機関又はこれらに置かれる機関

する機関、国家行政組織法（昭和二十三年法律第百二十号）第三条第二項に規定する機関又はこれらに置かれる機関二独立行政法人独立行政法人通則法

（平成十一年法律第百三号）第二条第一項に規定する法人

二独立行政法人独立行政法人通則法

（平成十一年法律第百三号）第二条第一項に規定する法人

三指定法人法第十三条に規定する指定法人

２本規範の適用対象とする者は、国の行政機関において行政事務に従事している国家公務員、独立行政法人及び指定法人において当該法人の業務に従事している役職員その他機関等の指揮命令に服している者であって、次項に規定する情報を取り扱う者（以下「職員等」という。）とする。

３本規範の適用対象とする情報は、職員等が職務上取り扱う情報であって、情報処理若しくは通信の用に供するシステム（以下

「情報システム」という。）又は外部電磁的記録媒体に記録された情報及び情報システムの設計又は運用管理に関する情報とする。

３本規範の適用対象とする情報は、職員等が職務上取り扱う情報であって、情報処理若しくは通信の用に供するシステム（以下

「情報システム」という。）又は外部電磁的記録媒体に記録された情報及び情報システムの設計又は運用管理に関する情報とする。

第二章・第三章

（略）

第二章・第三章

（略）

附則

（略）

附則

（略）

(13)

○政府機関等の情報セキュリティ対策の運用等に関する指針新旧対照表

政府機関等の情報セキュリティ対策の運用等に関する指針

平成 28 年８月 31 日平成 30 年７月 25 日改定平成 31 年４月１日改定サイバーセキュリティ戦略本部決定

平成 28 年８月 31 日平成 30 年７月 25 日改定サイバーセキュリティ戦略本部決定

１本指針の目的

本指針は、サイバーセキュリティ基本法

（平成 26 年法律第 104 号。以下「法」という。）第 26 条第１項第２号に定める国の行政機関、独立行政法人（独立行政法人通則法（平成 11 年法律第 103 号）第２条第１項に規定する法人をいう。以下同じ。）

及び指定法人（法第 13 条に規定する指定法人をいう。以下同じ。）（以下「機関等」

という。）におけるサイバーセキュリティに関する対策の基準の運用に関して、内閣官房内閣サイバーセキュリティセンター（以下「NISC」という。）における政府機関等の情報セキュリティ対策のための統一規範

（サイバーセキュリティ戦略本部決定。以下「統一規範」という。）及び政府機関等の情報セキュリティ対策のための統一基準

（サイバーセキュリティ戦略本部決定。以下「統一基準」という。）の案の策定、政府機関等の対策基準策定のためのガイドライン（NISC 決定。以下「対策基準策定ガイドライン」という。）の策定、独立行政法人及び指定法人における情報セキュリティ対策の運用並びに複数の機関等で共通的に使用する情報システム（一つの機関等でハードウェアからアプリケーションまで管理・運用している情報システムを除く。以下「基盤となる情報システム」という。）に関する情報セキュリティ対策の運用のために必要な事項を定めるものである。

１本指針の目的

本指針は、サイバーセキュリティ基本法

（平成 26 年法律第 104 号。以下「法」という。）第 25 条第１項第２号に定める国の行政機関、独立行政法人（独立行政法人通則法（平成 11 年法律第 103 号）第２条第１項に規定する法人をいう。以下同じ。）

及び指定法人（法第 13 条に規定する指定法人をいう。以下同じ。）（以下「機関等」

という。）におけるサイバーセキュリティに関する対策の基準の運用に関して、内閣官房内閣サイバーセキュリティセンター（以下「NISC」という。）における政府機関等の情報セキュリティ対策のための統一規範

（サイバーセキュリティ戦略本部決定。以下「統一規範」という。）及び政府機関等の情報セキュリティ対策のための統一基準

（サイバーセキュリティ戦略本部決定。以下「統一基準」という。）の案の策定、政府機関等の対策基準策定のためのガイドライン（NISC 決定。以下「対策基準策定ガイドライン」という。）の策定、独立行政法人及び指定法人における情報セキュリティ対策の運用並びに複数の機関等で共通的に使用する情報システム（一つの機関等でハードウェアからアプリケーションまで管理・運用している情報システムを除く。以下「基盤となる情報システム」という。）に関する情報セキュリティ対策の運用のために必要な事項を定めるものである。

(14)

２～４

（略）

２～４

（略）

附則

（略）

附則

（略）

(15)

○サイバーセキュリティ対策を強化するための監査に係る基本方針新旧対照表

サイバーセキュリティ対策を強化するための監査に係る基本方針

平成 27 年５月 25 日サイバーセキュリティ戦略本部決定平成 28 年 10 月 12 日一部改定平成 31 年４月１日一部改定

平成 27 年５月 25 日サイバーセキュリティ戦略本部決定平成 28 年 10 月 12 日一部改定

サイバーセキュリティ基本法（平成 26 年法律第 104 号。以下「法」という。）第 26 条第１項第２号の規定に基づきサイバーセキュリティ戦略本部（以下「戦略本部」という。）がつかさどる事務のうち、監査について、その実施のための基本方針を以下のとおり定める。

サイバーセキュリティ基本法（平成 26 年法律第 104 号。以下「法」という。）第 25 条第１項第２号の規定に基づきサイバーセキュリティ戦略本部（以下「戦略本部」という。）

がつかさどる事務のうち、監査について、その実施のための基本方針を以下のとおり定める。

１監査の目的１監査の目的本監査は、戦略本部がサイバーセキュリテ

ィに関する施策を総合的かつ効果的に推進するため、国の行政機関、独立行政法人及び指定法人のサイバーセキュリティ対策に関する現状を適切に把握した上で、これらの組織において対策強化のための自律的かつ継続的な改善機構であるＰＤＣＡサイクルの構築、及び必要なサイバーセキュリティ対策の実施を支援するとともに、当該ＰＤＣＡサイクルが継続的かつ有効に機能するよう助言することによって、これらの組織におけるサイバーセキュリティ対策の効果的な強化を図ることを目的とする。

本監査は、戦略本部がサイバーセキュリティに関する施策を総合的かつ効果的に推進するため、国の行政機関、独立行政法人及び指定法人のサイバーセキュリティ対策に関する現状を適切に把握した上で、これらの組織において対策強化のための自律的かつ継続的な改善機構であるＰＤＣＡサイクルの構築、及び必要なサイバーセキュリティ対策の実施を支援するとともに、当該ＰＤＣＡサイクルが継続的かつ有効に機能するよう助言することによって、これらの組織におけるサイバーセキュリティ対策の効果的な強化を図ることを目的とする。

２～４

（略）

２～４

（略）

５監査の進め方５監査の進め方 (1) 監査方針の策定

本基本方針を踏まえ、年度ごとの監査の基

(1) 監査方針の策定

本基本方針を踏まえ、年度ごとの監査の基

(16)

本的な考え方、前述の監査テーマを含む年度監査方針を、サイバーセキュリティ戦略を実施するために戦略本部が決定する年次計画の一部として策定する。

(2) 監査の実施

(1)の年度ごとに策定する監査方針に基づいて、監査を実施する。監査の実施に当たっては、必要に応じて外部の専門家の協力を得る。

また、過年度の監査実施結果のうち重要な事項については、その改善状況を継続的にフォローアップする。

(2) 監査の実施

(1)の年度ごとに策定する監査方針に基づいて、監査を実施する。監査の実施に当たっては、必要に応じて外部の専門家の協力を得る。

また、過年度の監査実施結果のうち重要な事項については、その改善状況を継続的にフォローアップする。

(3) 個別の監査実施結果の通知

個別の監査実施結果については、改善のために必要な助言等を含めて、各機関の最高情報セキュリティ責任者（ＣＩＳＯ）へ通知する。

なお、重要な事項については、改善策の提案を含めて通知する。また、独立行政法人及び指定法人における監査実施結果については、所管府省庁を通じて通知する。

通知を受けた各機関は、速やかに必要な改善を実施又は改善計画を策定し、改善結果又は改善計画を戦略本部に報告するものとする。なお、独立行政法人及び指定法人は所管府省庁を通じて報告を行うものとする。

(3) 個別の監査実施結果の通知

個別の監査実施結果については、改善のために必要な助言等を含めて、各機関の最高情報セキュリティ責任者（ＣＩＳＯ）へ通知する。

なお、重要な事項については、改善策の提案を含めて通知する。また、独立行政法人及び指定法人における監査実施結果については、所管府省庁を通じて通知する。

通知を受けた各機関は、速やかに必要な改善を実施又は改善計画を策定し、改善結果又は改善計画を戦略本部に報告するものとする。なお、独立行政法人及び指定法人は所管府省庁を通じて報告を行うものとする。

(4) 監査実施結果の取りまとめ・報告サイバーセキュリティの特性を踏まえ、攻撃

者を利することにならないよう配慮した形で、当該年度に実施した監査の結果を取りまとめる。戦略本部は、当該結果について、報告を受ける。

(4) 監査実施結果の取りまとめ・報告サイバーセキュリティの特性を踏まえ、攻撃

者を利することにならないよう配慮した形で、当該年度に実施した監査の結果を取りまとめる。戦略本部は、当該結果について、報告を受ける。

(5) 監査事務の処理

以上の監査事務については、内閣サイバーセキュリティセンターに実施させる。独立行政法人及び指定法人における監査事務の一部については、法第 31 条第１項第１号

(5) 監査事務の処理

以上の監査事務については、内閣サイバーセキュリティセンターに実施させる。独立行政法人及び指定法人における監査事務の一部については、法第30条第１項の規定に

(17)

の規定に基づき独立行政法人情報処理推進機構に委託し、同機構に実施させる。

基づき独立行政法人情報処理推進機構に委託し、同機構に実施させる。

(18)

○重要インフラ専門調査会の設置について新旧対照表

重要インフラ専門調査会の設置について重要インフラ専門調査会の設置について平成 27 年２月 10 日

サイバーセキュリティ戦略本部決定平成 31 年４月１日一部改定

平成 27 年２月 10 日サイバーセキュリティ戦略本部決定

１．サイバーセキュリティ基本法施行令（平成 26 年政令第 400 号）第２条の規定に基づき、我が国全体の重要インフラ防護に資するサイバーセキュリティに係る事項について、調査検討を行うため、重要インフラ専門調査会（以下「専門調査会」という。）を置く。

１．サイバーセキュリティ戦略本部令（平成 26 年政令第 400 号）第２条の規定に基づき、我が国全体の重要インフラ防護に資するサイバーセキュリティに係る事項について、調査検討を行うため、重要インフラ専門調査会（以下「専門調査会」という。）

を置く。

２～９

（略）

２～９

（略）

(19)

○研究開発戦略専門調査会の設置について新旧対照表

研究開発戦略専門調査会の設置について

平成 27 年２月 10 日サイバーセキュリティ戦略本部決定平成 31 年４月１日一部改定

１．サイバーセキュリティ基本法施行令（平成 26 年政令第 400 号）第２条の規定に基づき、サイバーセキュリティに係る研究開発及び技術開発並びにそれらの成果利用の戦略に係る事項について、調査検討を行うため、研究開発戦略専門調査会（以下「専門調査会」という。）を置く。

１．サイバーセキュリティ戦略本部令（平成 26 年政令第 400 号）第２条の規定に基づき、サイバーセキュリティに係る研究開発及び技術開発並びにそれらの成果利用の戦略に係る事項について、調査検討を行うため、研究開発戦略専門調査会（以下「専門調査会」という。）を置く。

２～９

（略）

２～９

（略）

(20)

○普及啓発・人材育成専門調査会の設置について新旧対照表

普及啓発・人材育成専門調査会の設置について

平成 27 年２月 10 日サイバーセキュリティ戦略本部決定平成 31 年４月１日一部改定

１．サイバーセキュリティ基本法施行令（平成 26 年政令第 400 号）第２条の規定に基づき、サイバーセキュリティに関する普及啓発及び人材育成に係る事項について、調査検討を行うため、普及啓発・人材育成専門調査会（以下「専門調査会」という。）

を置く。

１．サイバーセキュリティ戦略本部令（平成 26 年政令第 400 号）第２条の規定に基づき、サイバーセキュリティに関する普及啓発及び人材育成に係る事項について、調査検討を行うため、普及啓発・人材育成専門調査会（以下「専門調査会」という。）を置く。

２～９

（略）

２～９

（略）

(21)

「サイバーセキュリティ対策推進会議等について」の一部改正について新旧対照表

○ サイバーセキュリティ対策推進会議等について（平成 27 年２月 10 日サイバーセキュリティ戦略本部長決定）（下線部分は改正部分）

改正案現行

１サイバーセキュリティ基本法施行令（平成 26 年政令第 400 号）

第４条の規定に基づき、関係行政機関の最高情報セキュリティ責任者（CISO）等相互の緊密な連携の下、政府機関におけるサイバーセキュリティ対策の推進を図るため、サイバーセキュリティ戦略本部（以下「本部」という。）に、サイバーセキュリティ対策推進会議（以下「推進会議」という。）を置く。

２～７（略）

１サイバーセキュリティ戦略本部令（平成 26 年政令第 400 号）第４条の規定に基づき、関係行政機関の最高情報セキュリティ責任者（CISO）等相互の緊密な連携の下、政府機関におけるサイバーセキュリティ対策の推進を図るため、サイバーセキュリティ戦略本部（以下「本部」という。）に、サイバーセキュリティ対策推進会議（以下「推進会議」という。）を置く。

２～７（略）

(22)

「サイバーセキュリティ戦略本部の本部員の指定について」の一部改正について新旧対照表

○サイバーセキュリティ戦略本部の本部員の指定について（下線部分は改正部分）

サイバーセキュリティ戦略本部の本部員の指定について

平成 27 年 7 月 22 日内閣総理大臣決定平成 27 年 10 月 23 日

一部改正

平成 31 年４月１日

一部改正

平成 27 年 7 月 22 日内閣総理大臣決定平成 27 年 10 月 23 日

一部改正

サイバーセキュリティ基本法（平成 26 年法律第 104 号）第 30 条第２項第６号のサイバーセキュリティ戦略本部員として、情報通信技術

（IT）政策担当大臣及び東京オリンピック競技大会・東京パラリンピック競技大会担当大臣を指定する。

サイバーセキュリティ基本法（平成 26 年法律第 104 号）第 29 条第２項第６号のサイバーセキュリティ戦略本部員として、情報通信技術

（IT）政策担当大臣及び東京オリンピック競技大会・東京パラリンピック競技大会担当大臣を指定する。

(23)

サイバーセキュリティ戦略本部重大事象施策評価規則

平成 2 7 年２月 1 0 日サイバーセキュリティ戦略本部決定

平成 2 8 年 1 0 月 1 2 日

一部改定

平成 3 1 年４月１日

一部改定

サイバーセキュリティ基本法（平成26年法律第104号。以下「法」という。）第26 条第１項第３号に規定する事務を適切に遂行するため、当該事務について、次のとおり定める。

第１条法第26条第１項第３号に規定する「国の行政機関、独立行政法人又は指定法人で発生したサイバーセキュリティに関する重大な事象」（以下「特定重大事象」という。）とは、国の行政機関、独立行政法人又は法第13条に規定する指定法人（以下「行政機関等」という。）で発生したサイバーセキュリティに関する事象のうち、次に掲げるものとする。

一行政機関等が運用する情報システムにおける障害を伴う事象であって、当該行政機関等が実施する事務の遂行に著しい支障を及ぼし、又は及ぼすおそれがあるもの

二情報の漏えいを伴う事象であって、国民生活又は社会経済に重大な影響を与え、又は与えるおそれがあるもの

三前各号に掲げるもののほか、我が国のサイバーセキュリティに対する国内外の信用を著しく失墜させ、又は失墜させるおそれがある事象

（関係行政機関との連携等）

第２条サイバーセキュリティ戦略本部（以下「本部」という。）による特定重大事象に対する施策の評価（以下単に「施策の評価」という。）に当たっては、特定重大事象が発生した行政機関等（以下「当該行政機関等」という。）その他の関係行政機関との緊密な連携を図るとともに、秘密の保持に十分留意するものとする。

一事象発生の把握

二被害の特定及び原因究明（以下「原因究明等」という。）

資料５－３

(24)

三被害の復旧及び再発防止に向けた施策（以下「復旧・再発防止策」という。

）の把握

四復旧・再発防止策の評価

２施策の評価は、法第32条の規定により当該行政機関等（当該行政機関等が独立行政法人又は法第13条に規定する指定法人（以下「独立行政法人等」という。）

の場合は、当該独立行政法人等を所管する行政機関）の長から提供される報告資料を基に行うものとする。

第４条サイバーセキュリティ戦略本部長（以下「本部長」という。）は、特定重大事象に該当する事象の発生を確認したときは、その旨を当該行政機関等の長

（当該特定重大事象が独立行政法人等で発生したものであるときは、当該独立行政法人等を所管する行政機関の長及び当該独立行政法人等の長とする。第８条を除き、以下同じ。）に通知するものとする。

第５条特定重大事象に係る原因究明等は、当該行政機関等による調査により行われることを基本としつつ、必要に応じ、本部による技術的調査その他の補充調査

（民間事業者に委託して行うものを含む。）を行うものとする。

２本部長は、前項の規定による補充調査を行おうとするときは、その旨を当該行政機関等の長に通知するとともに、必要に応じ、関係物件の提出その他の協力を求めるものとする。

３本部長は、原因究明等の結果を取りまとめ、本部会合の審議に付した上で、当該行政機関等の長に通知するものとする。

４本部長は、原因究明等の結果に基づき、法第28条第３項の規定による勧告、当該行政機関等における復旧・再発防止策の立案の促進その他所要の措置を講じるものとする。

５本部長は、原因究明等の事務の一部を法第31条第１項第１号の規定に基づき、

独立行政法人情報処理推進機構その他サイバーセキュリティに関する対策について十分な技術的能力及び専門的な知識経験を有するとともに、当該事務を確実に実施することができるものとして政令で定める法人に委託した場合においては、

別に定めるところにより、同法人に第１項に定める補充調査を行わせるものとする。