科学技術情報通信部は9月15日、同部と所管機関に適用するサイバー防衛指針の改正案を行政予告した。国家ネットワーク防衛体系（N2SF）に基づいて業務情報を3分類し、AI、クラウド、宇宙システムなど新たな技術環境に対応する基準を盛り込む。サイバー侵害発生時に外部委託先が保有する証拠の保全手順や、民間クラウド利用時の契約要件も明文化する。

政府・業界関係者によると、今回の改正は、国家情報院が5月に改定した「国家サイバー防衛基本指針」を受けた後続措置だ。指針名も「科学技術情報通信部 情報保安基本指針」から「科学技術情報通信部 サイバー防衛基本指針」に改める。

改正案の柱の一つが、N2SFの導入だ。各機関は業務機能ごとに取り扱う情報を「機密（Classified）」「センシティブ（Sensitive）」「公開（Open）」の3等級に分類し、それぞれに応じた管理を行う必要がある。従来は内部ネットワークとインターネット網の分離運用が中心だったが、今後は情報の重要度に応じた防衛体制へと軸足を移す。

公開等級のドメインや情報システムについては、防衛統制基準に反しない範囲で外部インターネットとの通信や、外部インターネット上での運用を認める。一方で、内部ネットワークとインターネット網を分離して運用する既存原則は維持する。

改正案では、N2SF関連規定を新設したうえで、非許可者の侵入遮断、内部ネットワーク上の情報システムのインターネット接続遮断、ネットワーク間の安全な資料転送などの対策も引き続き求める。

実際の情報等級の判定は各機関が担う。業務内容や保有データが機関ごとに異なるため、各機関が業務機能を特定し、それに基づいて機密、センシティブ、公開の各等級を分類する。異なる情報を組み合わせることで重要度や侵害時の影響が高まる場合には、情報の防衛等級を引き上げられる規定も盛り込んだ。

◆N2SF導入で等級別管理へ　AI・クラウド基準を具体化

AIの活用拡大を踏まえ、防衛規定も見直す。改正案では、各機関がAIシステムを構築・運用する場合、別途のサイバー防衛対策を策定・実施するよう義務付けた。対策の策定に当たっては、国家情報院が配布した「人工知能防衛ガイドブック」など関連ガイドラインの活用を求める。

AIを活用する情報通信網や情報システムの構築事業も、新たに防衛性検討の対象に加える。N2SF適用事業に加え、他機関の情報通信網・情報システムと連動する事業、大規模バックアップ・災害復旧センターの構築、国家的な災害・危機時のオンライン保守、宇宙システムの構築・導入も対象とする。

公的機関による民間クラウド利用の基準も具体化する。各機関は、国家サイバー防衛基本指針に基づく導入可能リストに含まれる民間クラウドを利用しなければならない。あわせて、データを国内所在の情報システムに保存・管理しているか、国内の人員が管理しているかなどを防衛基準に盛り込む。

クラウド事業者の責任も強化する。機関が民間クラウド事業者と契約する際には、ハッキング事故や障害への対応、再発防止に向け、国家情報院および利用機関によるセキュリティ監視、事故調査、サイバー攻撃の予防・対応に積極的に協力する内容を契約に盛り込むよう求めた。民間クラウド事業者には、当該機関が利用するクラウド領域について、政府機関に準じる防衛管理責任を負わせる。

このほか、同部と所管機関の情報化事業を担う受託事業者に加え、情報システム・情報保護システムの開発、製造、供給企業、クラウド事業者、電気通信事業者、情報通信サービス提供者なども協力対象に含めた。これらの事業者は、国家情報院長からサイバー防衛業務に関する事実確認や資料提出などの協力要請を受けた場合、正当な理由がない限り応じる必要がある。

市販ソフトウェアの供給企業に関する責任も明確にした。機関が市販ソフトウェアを導入する際、製品に脆弱性が見つかった場合に製造元や販売元へ是正措置を求められるよう、契約書に明記する。製造元は、最終利用者が使う製品の脆弱性を把握した場合、是正する義務を負う。

発注機関、供給事業者、製造元の間で技術支援確約書や協約書を交わし、脆弱性発見時に製造元や供給事業者へ技術支援を要請できるようにする規定も盛り込んだ。脆弱性が確認された市販ソフトウェアについては、こうした契約内容に基づいて是正措置を実施する別規定も新設する。

認証・アクセス履歴の常時監視も求める。異常行為を検知した場合は、警告、追加認証、アクセス制限、遮断などの措置を講じる。ログインの成功・失敗、接続IP、接続時間を含む認証・アクセスログは1年以上保存する。管理者権限の認証には、やむを得ない場合を除き、多要素認証を適用する。

情報システム管理者には、保存中のログ記録が漏えいしないよう、バックアップ体制などの対策も求めた。端末やサーバーでハードディスクやSSDなどの記憶装置を取り外し、再装着した場合は履歴を管理し、取り外した装置は指定場所に保管しなければならない。

◆侵害時の証拠保全を強化　宇宙システムも管理対象に

サイバー侵害発生後の証拠保全手順も強化する。現行指針では、被害機関が原因究明を終えるまで被害システムの証拠を保全し、関連資料を任意に削除・フォーマットしないよう定めている。

改正案では、事故証拠の一部または全部を外部委託先が保有している場合、当該事業者に対し、資料の削除やフォーマットの禁止を直ちに通知するよう規定した。事故調査の過程で外部事業者が任意にシステムを初期化したり、関連資料を削除したりして証拠が失われる事態を防ぐ狙いがある。

クラウド環境で事故が発生した場合の調査根拠も強化する。クラウドを利用する機関は、調査機関と合同で調査班を編成し、サービス提供者に資料の保全・提出を求めたり、現地調査を行ったりするなど、必要な措置を取ることができる。調査機関が国家情報院である場合には、クラウド事業者に対する事実照会・確認、資料提出、現地調査を可能にする規定も新設する。

防衛管理の範囲は宇宙分野にも広げる。改正案では、衛星本体、地上局、衛星ネットワーク、通信設備、関連ソフトウェアなど、宇宙システムの構成要素について資産の特定と防衛管理を規定した。地上局、衛星ネットワーク、衛星本体の連動区間に対する防衛対策を策定し、低軌道衛星通信など宇宙システムの導入・運用時に想定されるサイバー上の脅威も事前に検討する。

もっとも、指針改正が直ちに各機関の防衛体制の転換完了を意味するわけではない。N2SFを実際に適用するには、機関ごとの業務とデータの再分類に加え、情報システムやネットワーク構成、アクセス統制体系の見直しが必要になる。

業務情報を機密、センシティブ、公開に細分化したうえで、システムやドメインもそれに合わせて再構成する必要があるため、現場への適用には一定の時間を要する見通しだ。AIやクラウドの導入拡大に伴う防衛性検討や契約体系の整備も並行して進める必要がある。

関係者は「今回の改正は、国家サイバー防衛基本指針の改定に合わせ、N2SF導入とAIなど新たな環境を反映した見直しだ」としたうえで、「今後はAIシステム導入やデータ分類体系の整備に合わせ、必要な防衛体制への移行を段階的に進める計画だ」と述べた。