2026年3月13日

わが国の政府機関等のサイバーセキュリティ対策基準として長い歴史を持つ政府統一基準群ですが、NIST文書に比較すると流通する情報量が少なく、理解のためのハードルが存在します。
本稿では、現場における試行錯誤の結果たどり着いた、政府統一基準群を理解するための最短コースを提案します。
なお、本稿は2026年2月23日時点の情報をもとに作成されています。参照した政府統一基準は、令和7年改訂版となります。

目次

1. はじめに

「政府統一基準とは何か」についての解説はすでに他Webサイトに存在するため、本稿では割愛します。
本稿は業務の遂行に際して政府統一基準群を理解・実践しなければならない方向けのガイダンス文書として、以下の章で「政府統一基準の理解の仕方」を解説します。
2章では、閲覧すべき文書を特定し、読む順序を解説します。
3章では、読み進める前に理解しておいた方がよい情報について解説します。
4章では、文書を読み進めるうえで重要な「遵守事項」と「基本対策事項」の関係性について解説します。

2. 政府統一基準群理解のためのステップ

2.1 政府統一基準群を構成する文書

政府統一基準群は以下の3つの文書から構成されています。

また、学習資料として以下の文書も公開されています。

2.2 読むべき文書

文書体系としては「統一規範」を最上位として、「統一基準」「ガイドライン」が続く構成となります。本稿では、以下の理由により、「ガイドライン」を中心に読むことをお勧めします。理由は以下のとおりです。

2.3 お勧めの順序

以下のように読み進めることをお勧めします。

3. 事前準備

3.1 資料のダウンロード

3.1.1 政府統一基準群のダウンロード

まずは政府機関対策関連 - 国家サイバー統括室から、「統合版」と記載のあるzipファイルをダウンロードします。本稿では、全体像を理解するために、このzipファイルに含まれる「refernce-guider〇〇.xlsx」(以下「ガイドラインExcel版」といいます)を主に使用します。

3.1.2 学習資料のダウンロード

同じWebページに「統一基準学習資料」というPDFが公開されているので、こちらもダウンロードします。

3.2 全体像の把握

「学習資料」の「3.まとめ」の以下の記載が、統一基準群の全体像を把握するための最高のまとめになっています。以下、そのまま引用します。

このわずか1ページの記載から、以下の政府統一基準群の構造が読み取れます。

3.3 ガイドラインにおける重要概念の確認

ガイドラインにおける以下の記述は事前に目を通しておいた方がよいでしょう。以下に概要を記載しますが、原文も参照してください。

4. ガイドラインの読み方

準備が整ったので、「ガイドライン」に記載されているセキュリティ対策を見ていきましょう。

4.1 対象の遵守事項確認

どの遵守事項を確認するかは、組織ごとに異なります。3.1.1でダウンロードした「ガイドラインExcel版」で、部・節をフィルタ表示すると、以下のように政府統一基準の概要を掴むことができます。

この表題をもとに、どの部分を優先的に読むべきかを検討することをお勧めします。

2部～8部までを上から順に読んでいたのでは、焦点がぼやけてしまい、理解するには遠回りになります。自組織の特性と、理解する目的を勘案して優先順位を最初に定めることをお勧めします。以下は、想定される組織ごとの考え方の一例です。

4.2 政府統一基準群の特徴

管理策ベースでみたとき、政府統一基準群とNIST等のフレームワークは類似性があります。いずれもセキュリティの専門家の集合知による成果ですから、当然のことといえますが、政府統一基準群の以下の特徴は押さえておいてください。

4.3 基本対策事項と遵守事項の関係性

基本対策事項と遵守事項の関係性は、政府統一基準群を読み解くうえで重要なポイントになります。定義は以下のとおりです。

基本対策事項の定義において、「基本対策事項に例示される対策又はこれと同等以上の対策を講じることにより、対応する遵守事項を満たす必要がある」とあることに注目してください。上述のとおり、政府対策基準群はベースラインですが、遵守事項だけを見たときにベースラインとして機能し得るものはそこまで多くありません。

一例として、「遵守事項 7.2.4(1)(a) 情報システムセキュリティ責任者は、情報システムにおいて、標的型攻撃による組織内部への侵入を低減する対策（入口対策）を講ずること」を見たときに、何をもって入口対策を実施していると言えるかを即答できる人はそこまで多くないでしょうし、人によって優先する対策は異なることでしょう。これでは、ベースラインとして機能しているとはいえません。そこで、「基本対策事項」が必要となるのです。遵守事項 7.2.4(1)(a)に関連する基本対策事項は以下の構造を持ちます。

基本対策事項7.2.4(1)-1で、「以下を例とする」という文言が含まれていることに注意してください。この文言により「7.2.4(1)-1 a)～d)の全てを実施する必要はない」のです。a)～d)のどこまでを満たせばよいのかは、遵守事項とシステムの性質に依存しますが、しかるべき理由がある場合にいずれかの基本対策事項(個別対策事項)を欠くとしても、遵守事項を満たしうることが重要です。また、仮にすべての「基本対策事項(個別対策事項)」を満たさない場合であっても、「同等以上の対策」が講じられていれば問題ないことになります。

一方、全ての基本対策事項(個別対策事項)を満たすよう指定するケースも存在します。以下、遵守事項7.2.4(1)(b)と関連する基本対策事項を見てみましょう。

基本対策事項7.2.4(1)-3で、「以下を全て含む」という文言が含まれていることに注意してください。この文言がある場合、「基本対策事項(個別対策事項)」は全て実施するか、全て実施する場合と「同等以上の対策」を行う必要があると考えられます。

このように、政府統一基準が定めるベースラインは事実上基本対策事項で構成されていると私は考えています。「政府統一基準群に即したシステム」を構成する場合は、まず該当する基本対策事項の実装を目標とするのが明快です。基本対策事項が実装できない場合や、意味の取り方に迷うときは、解説や遵守事項を確認し、趣旨を把握することで「同等以上の対策」を検討することができます。

4.4 政府統一基準群の評価手順

ここまで述べてきたように、政府統一基準に準拠しようとした場合に主に確認すべきは基本対策事項です。これを理解していれば、「ガイドラインExcel版」をそのままチェックリストとして活用できます。遵守事項7.2.4(1)(b)は、下記のように基本対策事項(個別対策事項)からさかのぼる形で評価できます。

4.5 「統一規範」について

ある程度「ガイドライン」を読み込んだ後に、「統一規範」は必ず読むべきです。おそらく、本稿で勧めてきた「最短コース」を完了した直後の状態にあっては、理解できない統一規範内の記述があるはずで、それらは「理解の抜け漏れ」です。例えば、本稿では「情報の格付け」に関して省略しましたが、「統一規範」の第16条に記載がありますので、改めて「ガイドライン」を読み直すことで「抜け漏れ」を補完できます。

5. まとめ

最後までお読みいただきありがとうございました。本稿のまとめは以下のとおりです。

政府統一基準は、わが国のサイバーセキュリティ対策を高めるための重要なフレームワークであることは疑いがありません。本稿によって関係各位が政府統一基準の理解を深める一助になれば幸いです。

以上

参考文献

執筆者の他の記事を読む