5. 高度情報通信ネットワークの安全性及び信頼性の確保

   ＜目標＞

   我が国の高度情報通信ネットワークの安全性及び信頼性を世界最先端のIT国家にふさわしいものにするため、特に電子政府、電子商取引、重要インフラについては、情報セキュリティの不備による不正アクセス、コンピュータ・ウイルス、DoS攻撃1等がなされた場合に、国民生活や社会経済活動に大きな影響を及ぼすものであることから、そうした脅威に起因するサービス提供機能の停止をゼロとすることを目標とする。

   （１）現状と課題

   　情報通信ネットワークにおいては、常に不正アクセス、コンピュータ・ウイルス、DoS攻撃などの脅威にさらされており、超高速インターネット網の整備やインターネット常時接続の実現、電子商取引の発展や電子政府の実現等によって、これらの脅威は、政府機関や企業などに限らず、すべての国民にとっても詐欺等の犯罪行為等のかたちで、一層重大な脅威として現れてくることが懸念される。同時に、情報通信技術を活用した個人情報の流通・利用が拡大する中、その不適正な取扱いによって、プライバシーを始めとする個人の権利利益が侵害されるおそれも高まっている。
   　また、エネルギー供給、交通、政府・行政サービス等の国民生活や経済・社会活動に大きな影響を与えるいわゆる重要インフラ関連サービス活動の多くが、情報システムにますます依存するようになってきており、これらに対するいわゆるサイバーテロの脅威が現実のものとなってきている。
   　このような脅威は、今後、更に情報化・ネットワーク化の進展が見込まれるなかで、一層深刻なものとなっていくことが見込まれる。こうした状況は、自然災害等の緊急事態発生時の危機管理や国家安全保障に関わる事案についても同様であり、安全で信頼できる情報通信ネットワークの構築は国家・社会全体の安全を確保する上で必須の課題である。
   　さらに、最近のネットワークを取り巻く内外の情勢の変化、例えば、昨年9月の米国同時多発テロに見られるような国外からの脅威の増大や、サイバー犯罪に関する条約²の署名などの国際的な取組の進展等の状況の変化も踏まえれば、従来以上に国際調和のとれた情報セキュリティ対策を推進していくとともに、いわゆるサイバーテロ対策など緊急事態への対処能力の向上を進め、情報セキュリティに係る人的・技術的基盤の層を厚くするほか、セキュリティに関する知識の普及啓発を推進していくことが必要である。
   　我が国の情報セキュリティ対策は、昨年の重点計画策定以来着実な進展を見せているものの、こうした新たな課題を受け、更に取組を強化していくことが求められている。
   　このため、情報の自由な流通と民間の自由な活動の確保を大前提としつつ、情報通信に関する安全性及び信頼性の確保並びに個人情報の保護に一層の努力を行う。こうした取組は、治安、防災、安全保障等においてとりわけ強力に推進される必要があり、国際的な連携の下で行われることが重要である。具体的には、災害時等における情報システムのバックアップ体制や、高度なセキュリティが求められる施設における光ファイバ等の活用などの十分な配慮が必要である。

   ＜主要指標＞

   	1999年	2001年
   政府・企業等における情報セキュリティポリシー策定率（注１）	18.9%	24.0%
   政府・企業等におけるファイアウォール設置率（注１）	50.7%	69.1%
   政府・企業等におけるバックアップ実施率（注１，２）	24.3%	43.8%
   情報セキュリティ関連有資格者数（注３）	-	2,340人

   （注１） （財）日本情報処理開発協会（調査回答件数　1999年：867件　2001年：718件）
   （注２） 調査項目の相違のため、1999年はバックアップ用のコンピュータ設置率、2001年はサーバのバックアップ用ファイルの保管率となっている。
   （注３） 情報セキュリティアドミニストレータ試験³及びネットワーク情報セキュリティマネージャ⁴の合格・取得者数

   （２）施策の意義

   　高度情報通信ネットワークの安全性及び信頼性の確保、個人情報の保護は、世界最先端のIT国家構築の基盤となるものであり、国民一人一人が安心してネットワークを利用するための前提となるものである。
   　ITに係る技術革新が急速に進むに伴い、ネットワークに対する攻撃手法等が進化を遂げていることや、サイバー空間においては国内のみならず世界のどこからでも瞬時かつ隠密にサイバー攻撃を受ける可能性があることなどから、ネットワークの安全性及び信頼性を確保することは困難さを増している。このため、これらの問題に対処するための対策についても不断の見直しを行うことにより、ネットワークの安全性及び信頼性が一層高められることとなる。

   （３）これまでの主な成果

   　2001年度において予定していた施策については、着実に実施された。特に、重要インフラのサイバーテロ対策に係る官民の連絡・連携体制の構築、政府の緊急対応支援チームの創設など、情報セキュリティに関する事案に備えた基本的な体制を整備した。主な施策は以下のとおりである。

   �@	政府部内における情報セキュリティ対策 ・ 電子政府の実現に対応した政府のとるべき措置について、「電子政府の情報セキュリティ確保のためのアクションプラン」としてとりまとめ（内閣官房及び全府省）（2001年10月10日、情報セキュリティ対策推進会議決定） ・ 緊急対応支援チーム（NIRT）を創設し、同チームの運営マニュアル等を整備（内閣官房）（2002年4月1日） ・ 情報機器等の情報セキュリティ国際規格(ISO/IEC15408)に基づいた評価・認証事業を開始（経済産業省）（2002年2月より独立行政法人製品評価技術基盤機構において民間評価機関の認定事業を開始）
   �A	重要インフラのサイバーテロ対策 ・ 重要インフラ（情報通信、金融、航空、鉄道、電力、ガス）における連絡・連携体制を構築（内閣官房及び関係府省）（「サイバーテロ対策に係る官民の連携・連絡体制について」、2001年10月2日、情報セキュリティ専門調査会決定） ・ 機動的技術部隊（サイバーフォース）を整備（警察庁）（2001年4月1日「サイバーテロ対策技術室」設置）
   �B	民間部門における情報セキュリティ対策及び普及啓発 ・ 「コンピュータ・ウイルス監視装置」の導入を行う民間事業者に対する税制上の優遇措置を実施（総務省）（2001年8月13日告示改正） ・ 小学校及び中学校において情報モラルなどの学習を実施（文部科学省）（2002年度の新学習指導要領から実施）
   �C	情報セキュリティに係る制度・基盤の整備 ・ 支払用カードの偽造等の犯罪に関する罰則を整備（法務省）（2001年6月26日「刑法の一部を改正する法律」成立、同年7月24日施行） ・ 携帯電話等を用いたインターネット利用の急増に対処するための安全性・信頼向上策、迷惑メールへの技術的対策等について基準を策定（総務省）（2002年3月7日「情報通信ネットワークの安全性・信頼性基準」改正） ・ 情報セキュリティマネジメントに関する国際規格（ISO/IEC17799）を国内規格化（経済産業省）（JIS X 5080を2002年2月20日公示）
   �D	個人情報の保護 ・ 個人情報の保護に関する法律案提出（内閣官房）（2001年3月27日） ・ 行政機関の保有する個人情報の保護に関する法律案、独立行政法人等の保有する個人情報の保護に関する法律案、情報公開・個人情報保護審査会設置法案、行政機関の保有する個人情報の保護に関する法律等の施行に伴う関係法律の整備等に関する法律案提出（総務省）（2002年3月15日）
   �F	情報セキュリティに係る人材育成 ・ 電気通信主任技術者試験に情報セキュリティに関する試験科目を追加（総務省）（2001年4月） ・ 情報処理技術者試験に情報セキュリティアドミニストレータ試験を導入（経済産業省）（2001年10月） ・ 米CERT/CCへ専門技術要員の派遣（防衛庁）（2001年3月〜9月）
   �G	情報セキュリティに係る国際連携 ・ 第2回G8ハイテク犯罪対策官民合同ハイレベル会合を開催（警察庁、総務省、外務省、法務省及び経済産業省）（2001年5月22日〜24日、東京） ・ アジア・太平洋ハイテク犯罪対策担当実務者会議を開催（警察庁）（2002年2月26日〜28日、東京） ・ アジア太平洋地域のCSIRT (Computer Security Incident Response Team)による国際会議を開催（経済産業省及び防衛庁）（2002年3月24日〜26日、東京） ・ 米国防総省との間においてＩＴフォーラムを開催（防衛庁）（2002年2月14日、東京）

   （４）具体的施策

   �@	政府の情報セキュリティ確保 　各府省において情報セキュリティポリシー5の継続的な評価・見直しを実施し、その水準を一層向上させるとともに、政府の情報セキュリティ確保のための体制を整備する。また、情報セキュリティ水準の高い製品等の利用、重要システムのバックアップ、擬似アタックを含めた情報セキュリティ評価の実施等、国民に信頼される電子政府及び電子自治体の構築を推進する。 ア） 情報セキュリティポリシーの実効性の確保（内閣官房及び全府省） i） 2002年度中に、内閣官房において各府省の情報セキュリティポリシーに関する再評価、「情報セキュリティポリシーに関するガイドライン」（2000年7月、情報セキュリティ対策推進会議）の改定及び実施手法の模範例の提示を行うとともに、これを受けて各府省において情報セキュリティポリシーの見直しを行う。 ii） 2002年度中に、各府省は、各府省の情報セキュリティポリシーの実効性を確保するため、ポリシー運用の徹底を図るとともに、ポリシーに基づき、安全なネットワーク設計、監視・防護対策の強化、バックアップ、外部監査、訓練の実施等の情報セキュリティ確保のために必要な措置を行い、電子政府にふさわしいセキュリティ水準を確保する。 イ） 電子政府の情報セキュリティ確保のための体制の整備（内閣官房） i） 2003年度までに、訓練の実施等による政府の緊急対応支援チーム（NIRT）の緊急時対応能力の向上、平時における情報収集・分析能力の強化、海外関係機関との連携の推進等体制の強化を行う。 ii） 2002年度中に、内閣官房を中心として実効性のある重層的な24時間監視体制の在り方について検討及び実証実験を行う。 ウ） 地方公共団体の情報セキュリティ確保の支援（総務省） 　2002年度中に、緊急対応体制の整備への支援や地方財政措置の実施等、地方公共団体の情報セキュリティに関する支援を推進する。
   �A	重要インフラのサイバーテロ対策 　「重要インフラのサイバーテロ対策に係る特別行動計画」（2000年12月、情報セキュリティ対策推進会議決定）を踏まえ、重要インフラの基幹をなす情報システムについて、リスク評価、情報セキュリティポリシーの策定及びこれらに基づく情報セキュリティ対策を推進するとともに、政府の緊急対処能力の向上を図る。 ア） 特別行動計画における取組の強化（内閣官房及び関係府省） 　2002年度中に、民間重要インフラ事業者等のサイバーテロ対策に関する取組を一層促進するため、各事業者等における情報セキュリティ対策状況の把握や実効性確保等について、重要インフラ分野ごとに具体的方策の確立を図る。 イ） 内閣官房における緊急対処体制の整備（内閣官房） 　2002年度中に、サイバーテロ対応データベースの運用の開始、緊急対応支援チーム（NIRT）のサイバーテロ等への対応能力向上のための研修の実施など、内閣官房における緊急対処体制の強化を行う。 ウ） 警察における緊急対処体制の整備（警察庁） i） 2003年度までに、サイバーテロ発生時の被害を最小限に抑えるための機動的技術部隊（サイバーフォース）において、対応能力の強化、サイバーテロに係る電磁的攻撃の手法の収集・分析能力の強化等サイバーテロに対する緊急対処体制の強化を行うとともに、2002年度中に、重要インフラ事業者等に対し、技術情報の提供、講習会の開催のほか、要請に基づき脆弱性試験の実施の協力や緊急連絡手段の提供など、サイバーテロ対策に係る支援を行う。 ii） 2003年度までに、テロ組織等に関する情報収集体制の整備、警察と重要インフラ管理者との連携強化、要員の技術の向上を図る。 エ） 防衛庁における緊急対処体制等の整備（防衛庁） 　2003年度までに、防衛庁・自衛隊の保有する情報システムについて、情報セキュリティを確保しつつ運用を行うための運用ガイドラインの策定等を行うほか、情報の重要度に基づいた強固なネットワークを設け、それらの一元的な監視・統制等を行う組織を新設するとともに、情報システムに対する常時監視、システム監査、緊急事態対処等の各種機能を有した組織（部隊）の構築を行う。
   �B	民間部門における情報セキュリティ対策及び普及啓発 　情報セキュリティ対策を推進するための税制、融資等の支援を実施し、民間部門の情報セキュリティ水準の一層の向上を図るとともに、情報セキュリティ対策に係る相談業務や情報交換・発信について機能の充実を行う。 ア） 情報セキュリティ意識の向上（警察庁） 　2004年度までに、ハイテク犯罪6に関する相談、広報啓発活動等に従事する情報セキュリティアドバイザーを都道府県警察に配置し、その能力向上のための研修を行う。また、セキュリティポータルサイト及び情報セキュリティコミュニティセンターを活用し、消費者団体、学校関係者等と連携した広報啓発活動を推進するとともに、ハイテク犯罪等に関する相談に迅速かつ的確に対応するためのネットワーク相談対応システムを構築する。さらに、ハイテク犯罪等に関する相談や事件に関する情報、ベンダーや関係機関からの情報等を集約・分析し、一元的に都道府県警察に提供するとともに、これらの情報を都道府県警察を通じて民間等へも提供する体制を確立する。 イ） 産業界との連携の強化（警察庁、総務省及び経済産業省） 　2002年度中に、民間部門におけるセキュリティ水準の向上、ハイテク犯罪対策等の情報セキュリティ対策を効果的に推進するため、情報通信関連事業者、情報セキュリティ専門事業者、情報セキュリティ関連団体、コンピュータに関する有識者等と連携して、情報セキュリティに関する情報を収集・分析するための枠組みを構築する。 ウ） 信頼性向上施設等の導入支援（総務省） i） 2002年度中に、自然災害等の非常時における通信手段の確保及び情報セキュリティの向上を図るため、電気通信基盤充実臨時措置法による支援対象となる「信頼性向上施設」によって、これらの施設の導入を行う民間事業者に対する税制優遇措置等の支援を行う。 ii） 2003年度まで、法人又は個人事業者が「ファイアウォール装置」を購入した場合の税制優遇措置を行う。 エ） 情報通信ネットワークにおける情報セキュリティ評価手法の確立（総務省） 　2003年度までに、情報通信ネットワークに関して事業者の規模にあったセキュリティ評価項目等の検討を行い、ITUに対し国際標準提案を行うとともに、事業者における情報セキュリティ対策のレベルを的確に判断するための評価手法を確立する。 オ） 電気通信事業における情報セキュリティ対策の認定（総務省） 　2002年度中に、セキュリティの高いプロバイダに関する民間認定事業の開始に係る支援を通じ、プロバイダの情報セキュリティ対策の向上及び利用者によるプロバイダの選択に資する。 カ） 不正アクセス対策・ウイルス対策等に関する情報提供体制の強化（経済産業省） 　2003年度までに、不正アクセス、ウイルス等に関する情報収集・分析を行っている情報処理振興事業協会（IPA）及びコンピュータ緊急対応センター（JPCERT/CC）について、その充実強化・相互の連携及び海外の関係機関との連携への支援を行い、情報セキュリティ情報提供機能の向上を行うことにより、広く一般利用者がこれらの情報提供を享受できる環境を整備する。 キ） 情報セキュリティマネジメント規格の普及啓発（経済産業省） 　2002年度中に、情報セキュリティマネジメント規格（ISO/IEC17799、JISX 5080）に基づいたマネジメント実施のためのガイドラインを整備し、普及啓発を行う。
   �C	情報セキュリティに係る制度・基盤の整備 　刑事基本法制、情報セキュリティに関する客観的な判断基準等、情報セキュリティ対策における制度・基盤の整備を推進する。 ア） 刑事基本法制等の整備（警察庁、総務省、法務省、外務省及び経済産業省） 　高度情報通信ネットワーク社会の安全性及び信頼性の確保に資するため、2005年までのできるだけ早い時期に、各種のハイテク犯罪に対する罰則、情報通信ネットワークに関する捜査手続について、適切な処罰を確保するため必要に応じた法整備を行う。 イ） 電気通信事業における安全・信頼性対策（総務省） i） 2003年度までに、電気通信事業における情報セキュリティに関して進められている国際規格の策定に対応した国内における電気通信事業用ネットワークの安全・信頼性対策基準について、所要の制度整備を行う。 ii） 2002年度中に、関係府省とも協力し、非常時における多数の事業者間の連携の強化や重要通信を効果的に確保するためのシステムの在り方について検討し、具体的方向性の確立を図る。 ウ） 暗号技術の標準化の推進（総務省及び経済産業省） 　客観的にその安全性が評価され、実装性に優れた暗号技術を採用するため、2002年度中に、ISO、ITU等における暗号技術の国際標準化の状況を踏まえ、専門家による検討会の開催等を通じて電子政府利用等に資する暗号技術の評価及び標準化を行う。 エ） 情報セキュリティ評価・認証事業の国際相互承認（経済産業省） 　2003年度までに、我が国の情報機器等の情報セキュリティ関連国際規格（ISO/IEC15408）に基づいた評価・認証事業について、政府レベルでの認証結果に関する国際相互承認スキームへの参加を目指す。
   �D	個人情報の保護 　高度情報通信ネットワーク社会の進展に伴い個人情報の利用が著しく拡大していることにかんがみ、官民を通じた個人情報の適正な取扱いを確保することにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護する。 ア） 個人情報の適正な取扱いに関する基本法制の整備（内閣官房、内閣府及び全府省） 　個人情報の適正な取扱いに関し、基本原則及び政府による基本方針の作成その他施策の基本となる事項を定め、国及び地方公共団体の責務等を明らかにするとともに、個人情報を取り扱う事業者の遵守すべき義務等を定める「個人情報の保護に関する法律案」の成立後公布の日から2年以内の施行に向けて、上記基本方針を作成するなどにより、個人情報の有用性に配慮しつつ、個人の権利利益を保護する。 　また、全ての分野を包括的に対象とする「個人情報の保護に関する法律案」の動向を勘案し、法案成立後公布の日から2年以内に、個別分野での個人情報の適正な取扱いが担保されるよう必要な措置を講じ、法の適切かつ有効な施行を図る。 イ） 行政機関及び独立行政法人等の保有する個人情報の適正な取扱いに関する法制の整備（総務省及び全府省） 　国の行政機関、独立行政法人等に関し、個人情報の保護に関する法律案に則って公的部門にふさわしい個人情報の適正な取扱いを定める「行政機関の保有する個人情報の保護に関する法律案」及び「独立行政法人等の保有する個人情報の保護に関する法律案」その他関連法案の成立後公布の日から2年以内の施行に向けて、行政機関の保有する個人情報のあらましを記載した個人情報ファイル簿を調製することなどにより、行政の適正かつ円滑な運営を図りつつ、個人の権利利益を保護する。
   �E	情報セキュリティに係る研究開発 ア） 国防・治安に係る情報セキュリティ技術の研究開発の推進 i） 2002年度中に、強力なファイアウォールの研究開発を行い、警察が保有するネットワークの情報セキュリティを強化する。また、2004年度までに、司法手続きのための電子的記録の解析技術に関する系統的な調査研究等を行い、「コンピュータ法科学」分野の確立を目指す。（警察庁） ii） 2003年度までに、サイバー攻撃に対する対処手法の実証的研究等を行い、防衛庁が保有するネットワークの情報セキュリティを強化する。（防衛庁） イ） 情報セキュリティに関する基盤技術の研究開発の推進（警察庁、総務省及び経済産業省） 　2005年度までに世界最先端のIT国家にふさわしい技術水準を確保するため、現在想定されているあらゆる脅威等に対する情報セキュリティ技術の研究開発を推進し、次の研究開発について2005年度までに実用化を目指す。 i） 不正アクセスやいわゆるサイバーテロの予防、検知等に関する研究開発 　不正アクセスやいわゆるサイバーテロ等の脅威から情報通信ネットワークを守るため、これらの脅威を検知し、迅速かつ適切な対処を可能とするために必要な技術開発を行う。 ii） 情報通信ネットワークの安全性及び信頼性の確保に関する研究開発 　情報の自由な流通を確保するため、暗号技術、電子署名等の認証技術、セキュリティ評価・認証技術、自然災害等の非常時通信機構等の情報通信ネットワークの安全性及び信頼性の確保に必要な技術開発を行う。
   �F	情報セキュリティに係る人材育成 　研究開発、研修事業、資格制度の導入等を通じ、高い水準の情報セキュリティ技術を有する人材を十分に確保するための多面的な育成を行う。 ア） ハイテク犯罪対策に係る人的基盤の整備（警察庁） 　2004年度までに、ハイテク犯罪捜査官の配置、サイバーパトロールモニターの委嘱、ハイテク犯罪捜査に従事する全国の警察職員への部内外の研修の実施等、ハイテク犯罪対策に必要な人材の確保や民間との協力体制の整備を行う。 イ） 防衛庁における情報セキュリティ等に係る人材教育（防衛庁） 　2003年度までに、防衛庁職員を米国等へ派遣し、緊急事態対処等の高度な情報セキュリティ技術等を習得した中核的な技術専門要員を確保し、部内における技術要員の教育及び作戦情報などの秘匿性の高い情報を扱う防衛庁のネットワークの情報セキュリティの確保を行う。 ウ） ITセキュリティ技能標準の策定・普及（経済産業省） 　2004年度までに、高度なITセキュリティ技術者の育成・活用を推進するため、ITセキュリティ関連業務に必要とされる技能に関する標準を策定するとともに、当該標準に基づく人材育成プログラム作りを支援する。 エ） 情報セキュリティ評価技術者の育成（経済産業省） 　2004年度までに、情報セキュリティ評価基準（ISO/IEC15408,JIS X 5070）に基づく評価等を行う情報セキュリティ評価技術者及び情報セキュリティ設計技術者を育成するため、研修事業に対する助成を実施する。
   �G	情報セキュリティに係る国際連携 　情報セキュリティに関する国際的な取組の推進に加え、開発途上地域への支援等国際的な取組に積極的な貢献を行う。 ア） ハイテク犯罪対策に係る国際連携の強化（警察庁、総務省、外務省、法務省及び経済産業省） 　2002年度中に、G8の枠組みにおいてハイテク犯罪に関する迅速な捜査協力のためのルール作り等について協議する。 イ） 各国警察関係機関との連携強化（警察庁） 　2002年度中に、アジア・太平洋ハイテク犯罪対策担当実務者会議の開催、アジア諸国警察機関との連絡のための24時間コンタクトポイントシステムの拡張等を通じ、各国警察機関との連携を強化するとともに、ハイテク犯罪対策に係る技術的指導等を行う。 ウ） 米国国防総省等との連携強化（防衛庁） 　2003年度までに、米国防総省との間における政策協議等の意見交換(ITフォーラム等)等を通じて、防衛庁としての情報保証7を確立するとともに、これらのノウハウ・技術等について、国防上支障のない限り部外に公表する。 エ） 情報セキュリティに関するグローバル情報交換ネットワークの構築（経済産業省） 　2003年度までに、不正アクセス・ウイルス等の発生状況・分析等情報セキュリティに関する情報集積を行っているCERT/CC等諸外国の官民関係機関との情報交換のため、JPCERT/CCにおける関係諸機関との連携強化、民間各層におけるネットワーク構築の支援等を行い、情報セキュリティに関する迅速かつ正確な情報提供、対応及び施策への反映ができる環境を整備する。

2 サイバー犯罪に関する条約：サイバー犯罪に関する刑事実体法、同手続法及び国際捜査協力に関する規定を含んだ世界初の包括的な国際条約。欧州評議会において作成作業が進められ、2001年11月8日に正式採択、同月23日に我が国を含む30か国が署名した。

3 情報セキュリティアドミニストレータ試験：(財)日本情報処理開発協会が実施している情報処理技術者試験の試験区分の一つ。

4 ネットワーク情報セキュリティマネージャ：ネットワーク情報セキュリティマネージャー推進協議会（略称はNISM推進協議会：(社)電気通信事業者協会など７団体において設立）が実施している資格認定講習。

5 情報セキュリティポリシー：どのような情報資産をどのような脅威からどのようにして守るのかについての基本的な考え方並びに情報セキュリティを確保するための体制、組織及び運用を含めた規定。

6 ハイテク犯罪: コンピュータ技術及び電気通信技術を悪用した犯罪で、電子計算機使用詐欺、ネットワークを利用したわいせつ物頒布、不正アクセス禁止法違反等が挙げられる。

7 情報保証:ここでは、現在、米国防総省が実施しているコンピュータ・システム等の安全に関する各種施策の総称（Information Assurance）。