経済産業省産業サイバーセキュリティ研究会 WG3 サイバーセキュリティ・サービス事業者の信頼性強化に向けた検討会中間とりまとめ (2026.06.05): まるちゃんの情報セキュリティ気まぐれ日記

2026.06.07

こんにちは、丸山満彦です。

地味に発表していますが、サイバーセキュリティ関連事業を（特に、「情報セキュリティサービス審査登録制度」を利用）している企業にとっては、影響のある話です...

サイバーセキュリティ・サービス提供事業者に起因する機微情報流出等のリスクに対応するため、政府機関・重要インフラ、安全保障に関係する事業者等が「適切な運営体制」を有しているサービス提供事業者を選定、活用できる制度を経済産業省が検討しています。

その検討状況を中間とりまとめとして公表していますね...

私もこの制度を検討する委員です...

まず、この検討している制度を理解する前提として「情報セキュリティサービス審査登録制度」について説明しますね...

この制度は、経済産業省の施策で、IPAが運営を行っています。審査と登録企業の台帳については、JASAが運営しています。

情報セキュリティサービスについては、

（１）情報セキュリティ監査サービス
（２）脆弱性診断サービス及びペネトレーションテスト（侵入試験）サービス
（３）デジタルフォレンジックサービス
（４）セキュリティ監視・運用サービス
（５）機器検証サービス

の５種類があり、それぞれの登録サービス数は、以下のようになっています。

サービス分野	件数
情報セキュリティ監査サービス	84
脆弱性診断サービス	188
( )内は、ペネトレーションテスト(侵入試験)サービスオプションありの件数	(51)
デジタルフォレンジックサービス	43
セキュリティ監視・運用サービス	51
機器検証サービス	32
合計	398

どのようなサービスが登録されているかは、JASAの情報セキュリティサービス台帳のウェブページから検索できます。

今回は、これらの登録サービスを運営している会社について、さらに「適切な運用体制」をとっているか？ということを確認できる制度を検討しているということになります。

経済安保情報についての取り扱いは、いわゆるセキュリティクリアランス制度で対応をすることになりますが、CUI（Controlled Unclassified Information）的な情報を取り扱いをする対象に対する情報セキュリティサービスをする組織が適切であるかを確認できる制度となります。

ただ、その情報の重要性については、グラデーションがあることから、一律にレベルを定めるのではなく、一定レベルの基準を満たした上でさらにどのような運用体制をとっているのか、確認ができるようにする制度を考えています。

例えば、サプライチェーンセキュリティ評価制度（SCS評価制度）の★4とISMSの両方を取得していること...ということも考えています...

予定を超える？議論を重ねてこの中間報告を公表しています...

ということを頭に入れながら...

関係すると思われる事業者の方はよく読んでおいた方が良いと思います。また、考え方に対する意見があれば、それも伝えた方が良いと思います。

参考

◼️ 今回の制度を検討している委員会

2026.06.05	中間とりまとめ	発表資料	中間とりまとめ（概要）
			中間とりまとめ
2026.06.01	第5回	開催資料	資料1　議事次第・配布資料一覧
			資料2　委員等名簿
			資料3　事務局説明資料
		議事要旨
2026.02.17	第4回	開催資料	資料1　議事次第・配布資料一覧
			資料2　委員等名簿
			資料3　事務局説明資料（非公表）
		議事要旨
2025.12.19	第3回	開催資料	資料1　議事次第・配布資料一覧
			資料2　委員等名簿
			資料3　事務局説明資料（非公表）
		議事要旨
2025.10.08	第2回	開催資料	資料1　議事次第・配布資料一覧
			資料2　委員等名簿
			資料3　株式会社ラック発表資料（非公表）
			資料4　日本電気株式会社発表資料（非公表）
			資料5　独立行政法人情報処理推進機構（IPA）発表資料
			資料6　事務局説明資料（一部非公表）
		議事要旨
2025.08.18	第1回	開催資料	資料1　議事次第・配布資料一覧
			資料2　委員等名簿
			資料3　本検討会の運営について
			資料4　サイバーセキュリティ・サービス事業者の信頼性強化に向けた検討について（一部非公開）
			資料5　情報セキュリティサービス審査登録制度における審査の課題（特定非営利活動法人日本セキュリティ監査協会永宮様からの情報提供）（非公開）
		議事要旨