Ｗｅｂ教材一覧＞ 法規・基準

サイバーセキュリティ基本法と関連ガイドライン等

サイバー攻撃、サイバーセキュリティ

インターネットが形成する情報空間をサイバースペース（cyberspace）といいます。
　サイバー攻撃とは、サイバースペースにおける攻撃の総称です。ネットワークを通じてサーバやコンピュータシステムの破壊活動やデータの窃取、改ざんなどを行う不正アクセス攻撃のことです。
　特に、政治的、社会的理由に基づいて、特定の国家、企業、団体に対して大規模攻撃を行うことをサイバーテロといいます。
　一方、情報化社会の発展により、電力・ガス・水道、鉄道・道路、金融など大規模な重要インフラがネットワークで管理されています。これらのインフラ中枢がサイバー攻撃を受けると、社会・経済に深刻な影響を与えます。そのため、サイバー攻撃へのセキュリティ対策が国家的な問題になっています。

サイバーセキュリティ基本法

サイバーセキュリティ基本法の条文（ https://elaws.e-gov.go.jp/search/elawsSearch/elaws_search/lsg0500/detail?lawId=426AC1000000104&openerCode=1）

サイバーセキュリティ基本法は、国のサイバーセキュリティに関する施策についての基本理念や国の責任範囲を明らかにし、施策の基本的事項の取り組みや体制の設置などを求める法律です。２０１４年成立・施行、２０１６年改訂

（目的）第一条

この法律は、
（背景）
インターネットその他の高度情報通信ネットワークの整備及び情報通信技術の活用の進展に伴って世界的規模で生じているサイバーセキュリティに対する脅威の深刻化その他の内外の諸情勢の変化に伴い、
情報の自由な流通を確保しつつ、サイバーセキュリティの確保を図ることが喫緊の課題となっている状況に鑑み、
（施策）
我が国のサイバーセキュリティに関する施策に関し、
基本理念を定め、
国及び地方公共団体の責務等を明らかにし、
並びにサイバーセキュリティ戦略の策定その他サイバーセキュリティに関する施策の基本となる事項を定めるとともに、
サイバーセキュリティ戦略本部を設置すること
等により、
（関連）
高度情報通信ネットワーク社会形成基本法 （ＩＴ基本法）と相まって、
サイバーセキュリティに関する施策を総合的かつ効果的に推進し、
（目的）
もって経済社会の活力の向上及び持続的発展並びに国民が安全で安心して暮らせる社会の実現を図るとともに、
国際社会の平和及び安全の確保並びに我が国の安全保障に寄与すること
を目的とする。

各組織での責務

基本的施策（第３章）

行政での推進組織

サイバーセキュリティ戦略本部
サイバーセキュリティに関する施策を総合的かつ効果的に推進するため、に、サイバーセキュリティ戦略本部が設置されました（従来の「情報セキュリティ政策会議」を改組）。
主な役割
・サイバーセキュリティ戦略の立案と実施の推進
・政府機関などにおける対策基準の作成や評価の実施
・政府機関などで発生する重大なセキュリティ事案などの評価
ＮＩＳＣ（内閣サイバーセキュリティセンター）
サイバーセキュリティ戦略本部とともに、内閣官房に内閣サイバーセキュリティセンター（ＮＩＳＣ：National center of Incident readiness and Strategy for Cybersecurity）が設置されました（「情報セキュリティ対策推進室」→「情報セキュリティセンター」を改組）。
主な役割
・「政府機関情報セキュリティ横断監視・即応調整チーム」（GSOC）の運用
・サイバー攻撃などの分析
・国内外のセキュリティ関連情報の収集
・国際連携
・人材育成

サイバーセキュリティ基本法の２０１６年改正に合わせて「情報処理の促進に関する法律」（情促法）も一部改正されました。

２０１９年、ＮＩＳＣは「サイバーセキュリティ協議会」を発足しました。脅威の一層の深刻化に鑑み、サイバーセキュリティに関する施策の推進に関し必要な協議を行うための組織です。

サイバーセキュリティ戦略

サイバーセキュリティ基本法の規定に基づき、２０１５年に閣議決定されました。
「サイバーセキュリティ戦略」本文
（ https://www.nisc.go.jp/active/kihon/pdf/cs-senryaku-kakugikettei.pdf）


出典：内閣サイバーセキュリティセンター「我が国のサイバーセキュリティ政策の概要」
( http://www.soumu.go.jp/main_content/000463592.pdf）

基本原則

これらの諸点は、テロリズムその他の平和を脅かすような行為やそれらを支援する活動までを自由として許容するものではなく、国民の安全・安心、我が国の安全保障上の観点との調和の中で施策に反映されるべきものである。

行政と民間の相互連携

「多様な主体の連携」で示しているように、サイバーセキュリティ対策には、行政と民間の相互連携が必要になります。


出典：内閣サイバーセキュリティセンター「我が国のサイバーセキュリティ政策の概要」
( http://www.soumu.go.jp/main_content/000463592.pdf）

ＣＳＩＲＴ（Computer Security Incident Response Team）

ウイルスや不正アクセスなどの関連情報の収集・告知、再発防止策の策定、情報セキュリティに関する教育や啓発、広報などの活動を行う組織の総称です。アンチウイルスソフトの開発などはしていません。
　企業内ＣＳＩＲＴとしては、情報セキュリティ委員会などが相当します。
　広義には国のＮＩＳＣもＣＳＩＲＴだといえます。

情報セキュリティ運営委員会

情報セキュリティ対策を組織的かつ効果的に管理することを目的とした企業内組織です。「情報セキュリティ管理基準」において設置するよう求められています。ＣＩＯあるいはＣＩＳＯを中心とした、組織横断型の委員会です。その実行組織に、「情報セキュリティ委員会」を設置し、ＣＩＯあるいはＣＩＳＯを委員長とし、情報システムの管理者及び情報セキュリティに関する専門知識を有する者などで構成します。

ＪＰＣＥＲＴ／ＣＣ

Japan Computer Emergency Response Team/Coordination Center
（http://www.jpcert.or.jp/）
　ＣＳＩＲＴの国際的な連合体としてはＦＩＲＳＴ（Forum of Incident Response and Security Teams）があり、国や地域を代表する形で、国際連携ＣＳＩＲＴが参加しています。ＪＰＣＥＲＴ／ＣＣは、技術的な立場における日本を代表する国際連携ＣＳＩＲＴです。一般社団法人で、特定の政府機関や企業からは独立した中立の組織ですが、行政のセキュリティサンターやアンチウイルスソフトベンダなどと密接な連携をしています。
　その例として、多数のセキュリティ関連組織が、脆弱性関連情報の受付と安全な流通を目的とした「情報セキュリティ早期警戒パートナーシップ」を組織化し、それに基づき、ＪＰＣＥＲＴとＩＰＡは２００４年にＪＶＮ（Japan Vulnerability Notes）を立ち上げました。日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供し、情報セキュリティ対策に資することを目的とする脆弱性対策情報ポータルサイトです。

ＩＳＯＧ－J（日本セキュリティオペレーション事業者協議会）

Information Security Operation providers Group Japan
（https://isog-j.org/）
　セキュリティオペレーションサービスを提供している事業者が結集して、セキュリティオペレーションの必要性を社会にアピールし、かつ、諸問題を解決していく場とし設立されました。ＪＮＳＡ（日本ネットワークセキュリティ協会）の傘下で、セキュリティオペレーションの技術向上、人材育成、関係組織との連携などの各種活動を行っています。

ＩＰＡセキュリティセンター

https://www.ipa.go.jp/security/outline/isecabst.html）
　ＩＰＡを」核とするセキュリティセンターです。サイバー攻撃に関する情報の収集・分析・提供、情報セキュリティ対策の調査・分析と普及啓発、セキュアな情報インフラの促進（評価認証制度(JISEC)を運営）などを行っています。

Ｊ－ＣＳＩＰ（サイバー情報共有イニシアティブ）

Initiative for Cyber Security Information sharing Partnership of Japan
（https://www.ipa.go.jp/security/J-CSIP/index.html）
　サイバー攻撃による被害拡大防止のため、経済産業省の協力のもとＩＰＡを情報ハブとして、重要インフラで利用される機器の製造業者を中心に、標的型サイバー攻撃の情報を分析及び加工をして参加組織間で情報共有する実運用を行っています。

Ｊ－ＣＲＡＴ（サイバーレスキュー隊）

Cyber Rescue and Advice Team against targeted attack of Japan
（https://www.ipa.go.jp/security/J-CRAT/index.html）
　経済産業省の協力のもとＩＰＡが活動しています。標的型サイバー攻撃の被害拡大防止のため「標的型サイバー攻撃特別相談窓口」にて、広く一般から相談や情報提供を受付けています。提供された情報を分析して調査結果による助言を実施しますが、その中で、標的型サイバー攻撃の被害の発生が予見され、その対策の対応遅延が社会や産業に重大な影響を及ぼすと判断される組織や、標的型サイバー攻撃の連鎖の元（ルート）となっていると推測される組織などに対しては、レスキュー活動にエスカレーションして支援を行います。

ＳＯＣ（Security Operation Center）

ネットワークやデバイスを常時監視し、サイバー攻撃の検出や分析、対応策のアドバイスを行う組織の総称です。ＣＳＩＲＴがインシデント発生後の対応が重点なのに対し、ＳＯＣはインシデント検知に重点を置いています。自社内でのＳＯＣをプライベートＳＯＣ、ＳＯＣサービスを提供するものをパブリックＳＯＣといいます。

サイバーセキュリティ経営ガイドライン

企業にとってＩＴ利活用は不可欠になっている一方で、機密情報を狙うサイバー攻撃は増加傾向にあり、その手口は巧妙化しています。経済産業省は、経営者のリーダーシップの下で、サイバーセキュリティ対策を推進するため、２０１５年に経済産業省は「サイバーセキュリティ経営ガイドライン」を策定しました（現在はVer 2.0になっています。
　経済産業省「サイバーセキュリティ経営ガイドライン Ver 2.0」
　 http://www.meti.go.jp/press/2017/11/20171116003/20171116003-1.pdf

大企業及び中小企業（小規模事業者を除く）のうち、ＩＴに関 する製品やシステム、サービス等を供給する企業及び経営戦略上ＩＴの利活用が 不可欠である企業の経営者を対象として、
サイバー攻撃から企業を守る観点で、
　経営者が認識すべき「３原則」
　サイバーセキュリティ経営の 「重要１０項目」
をまとめたものです。

経営者が認識すべき３原則

サイバーセキュリティ経営の重要１０項目

これらに関して、「対策を怠った場合のシナリオ」と「対策例」を掲げています。また、「付録Ａ サイバーセキュリティ経営チェックシート」には、「重要１０項目」の各項目についてチェックシートあります。

関連： 情報処理推進機構（ＩＰＡ）「サイバーセキュリティ経営ガイドライン解説書」

ＣＰＳＦ（サイバー・フィジカル・セキュリティ対策フレームワーク）

近年、バリュークリエイション（価値創造）を重視したビジネスの必要性がいわれています。それには、企業を超えた連携によるサプライチェーンを構成する必要があります。さらにインターネットなどサイバー空間でのサプライチェーンが注目されています。
　経済産業省は、このような社会を「Society5.0」、Society5.0における新たな形のサプライチェーンを価値創造過程（バリュークリエイションプロセス）と定義しました。
　 　２０１９年、価値創造過程におけるセキュリティの対応指針として、「サイバー・フィジカル・セキュリティ対策フレームワーク（ＣＰＳＦ）」を策定しました。
https://www.meti.go.jp/press/2019/04/20190418002/20190418002-2.pdf

ＣＰＳＦのフレーム

三層構造モデル
バリュークリエイションプロセスが発生する産業社会を、３つの「層」で整理しています。
  • 第１層：企業間のつながり
    適切なマネジメントを基盤に各主体の信頼性を確保
  • 第２層：フィジカル空間とサイバー空間のつながり
    フィジカル・サイバー間を正確に“転写“する機能の信頼性を確保
    （現実をデータに転換するセンサーや電子信号を物理運動に転換するコントローラ等の信頼）
  • 第３層：サイバー空間におけるつながり
    自由に流通し、加工・創造されるサービスを創造するためのデータの信頼性を確保
６つの構成要素
バリュークリエイションプロセスに関与する構成要素を６つに整理しています。
  • ソシキ：バリュークリエイションプロセスに参加する企業・団体・組織
  • ヒト：ソシキに属する人、及びバリュークリエイションプロセスに直接参加する人
  • モノ：ハードウェア、ソフトウェア及びそれらの部品（操作する機器を含む）
  • データ：フィジカル空間にて収集された情報及び共有・分析・シミュレーションを通じて加工された情報
  • プロシージャ：定義された目的を達成するための一連の活動の手続き
  • システム：目的を実現するためにモノで構成される仕組み・インフラ
三部構成
ＣＰＳＦは、産業社会の全体像を捉えたものであり、バリュークリエイションプロセスに取り組むすべての主体を適用対象としています。また、技術等の変化に伴う見直し等も考慮し、本編をコンセプト、ポリシー、メソッドの三部で構成しています。
  • 第I部【コンセプト】
    サイバーセキュリティの観点から、バリュークリエイションプロセスにおけるリスク源を整理するためのモデル（三層構造と6つの構成要素）を整理。
  • 第II部【ポリシー】
    第I部で示したモデルを活用したリスク源の整理と、リスク源に対応する対策要件を提示。
  • 第III部【メソッド】
    第II部で示した対策要件に対応するセキュリティ対策例を提示。
  • 添付
    三層構造モデルを代表的な産業に適用した場合のユースケース、リスク源と対策要件の対応関係、対策要件に応じたセキュリティ対策例、海外の主要規格との対応関係、用語集

リスク源・対応方針

上記のフレームに基づき、サプライチェーンの信頼性を確保する観点から、３つの層のそれぞれにおいて守るべきもの、直面するリスク源、対応方針等を整理しています。

（拡大図）

中小企業の情報セキュリティ対策ガイドライン

ＩＰＡは中小企業の情報セキュリティ対策に関して具体的な対策を示したものです。２０１９年に第３版を公開しました。「サイバーセキュリティ経営ガイドライン」の改訂や、中小企業等を対象としたクラウドサービスの充実化などの環境変化に対応したものです。
https://www.ipa.go.jp/files/000055520.pdf

個人事業主、小規模事業者をも含む中小企業が情報セキュリティ対策に取り組む際の、
　　・経営者が認識し実施すべき指針、
　　・社内において対策を実践する際の手順や手法
をまとめたもので、
　　・経営者編
　　・実践編
から構成されています。

経営者の情報セキュリティ対策

経営者が情報セキュリティ対策を怠ることで企業が被る不利益を示して、経営者の責任を認識させています。そして、次の３原則と重要７項目で経営者がやらなければならないことを示しています。

経営者が認識すべき３原則
・原則１：情報セキュリティは経営者のリーダーシップで進める
・原則２：委託先の情報セキュリティ対策まで考慮する
・原則３：関係者とは常に情報セキュリティに関するコミュニケーションをとる
実行すべき「重要７項目」の取組み
・取組１：情報セキュリティに関する組織全体の対応方針を定める
・取組２：情報セキュリティ対策のための予算や人材などを確保する
・取組３：必要と考えられる対策を検討させて実行を指示する
・取組４：情報セキュリティ対策に関する適宜の見直しを指示する
・取組５：緊急時の対応や復旧のための体制を整備する
・取組６：委託や外部サービス利用の際にはセキュリティに関する責任を明確にする
・取組７：情報セキュリティに関する最新情報を収集する

ガイドラインの付録

情報セキュリティ５か条
できるところから始めるのが適切だとして、最初に取り組むべき５項目を挙げています。
　　・１　ＯＳやソフトウェアは常に最新の状態にしよう！
　　・２　ウイルス対策ソフトを導入しよう！
　　・３　パスワードを強化しよう！
　　・４　共有設定を見直そう！
　　・５　脅威や攻撃の手口を知ろう！
５分でできる！情報セキュリティ自社診断
上記の原則や取組などの内容を、
　　　パスワードは破られにくい「長く」「複雑な」パスワードを設定していまか？
　　　離席時にパソコン画面の覗き見や勝手な操作ができないようにしていますか？
　　　重要情報の授受を伴う取引先との契約書には、秘密保持条項を規定していますか？
など２５項目をあげ、その実施レベルに応じた点数を示し、自社の現状把握や目標設定に役立つようにしています。

SECURITY ACTION

中小企業自らが、情報セキュリティ対策に取組むことを自己宣言する制度です。
　　１つ星：情報セキュリティ５か条を実践する。
　　２つ星：情報セキュリティ自社診断で向上を目指す。
ことを宣言して、そのロゴマークをパンフレットや名刺等に表示して、自らの取組みをアピールすることができます。

あくまでも自主取組みであり、認定制度ではありません。しかし、「ＩＴ導入補助金制度」（中小企業がソフトウエア、サービス等の導入経費の一部を補助）を申請するにあたってはSECURITY ACTIONを宣言することが必須要件となっています。

インターネットの安全・安心ハンドブック

https://www.nisc.go.jp/security-site/files/handbook-all.pdf

ＮＩＳＣ（内閣サイバーセキュリティセンター）が、学校の授業や家庭などで、サイバー攻撃や災害に関して基本的な対処法を、図版を多く平易な表現で具体的に示したものです。２０２０年に「～サイバーセキュリティは「公衆衛生」の時代に～」の副題で var4.10 が公表されています。