1.多層防御体系（MLS）と国家ネットワークセキュリティ体系（N2SF）は何が違うのですか？

-国家情報院は2024年9月、ネット分離改善案をMLSとして発表した。しかし、MLSが過去のアメリカ国防省のセキュリティ用語と混同される上に概念が難しいため、国民がより簡単に理解できるよう「国家ネットワークセキュリティ体系（N2SF：National Network Security Framework）」と再改名した。

2. 政策発表に伴い、すべての国家・公共機関のシステムを直ちにN2SFへ移行しなければなりませんか？

-そうではない。各機関のシステム規模や予算などの状況を考慮し、段階的な移行を推奨する。各機関は、新規構築予定のものや、耐用年数が到来したシステムから段階的に新しいN2SFに合わせて移行すればよい。大規模システムは短期間でのデータや情報等級の分類が難しい。まずはISPを実施して綿密な計画を樹立し、段階的に移行を推進することを基本とする。

3. データの重要度に応じてC/S/Oに分類する主体は誰ですか？C/S/Oの等級分類基準が曖昧なのではありませんか？

-各級機関の長がデータの重要度を分類する。現在も、一般住民からの情報公開請求の際に、該当情報の公開の是非は各級機関の長が判断して決定している。

各級機関はすでに、関係法令（情報公開・公共データ法）に基づいて保有データを公開・非公開に分類している。N2SFの等級分類基準もこれを参考にして策定された。従来通り自律的な検討と分類が可能であり、基準は曖昧ではない。

4. N2SFが施行されたら、ネット分離は直ちに廃止しなければなりませんか？

-そうではない。N2SFは既存のネット分離を廃止するのではなく、現実を反映して一部改善するものである。各級機関で等級別のセキュリティ対策を考慮し、既存のネット分離を維持するか改善するかを決定できる。セキュリティ強化のためにネット分離を維持する部署はそのままにし、生成AIやクラウドなどの新技術の導入によって生産性向上や革新が必要な分野はN2SFに従って実施すればよい。

各級機関がC/S/O等級を分類すれば、各等級に合わせて、ネット分離を含むセキュリティ対策をN2SFが要求する等級別セキュリティ統制項目に従って段階的に適用すればよい。

5. N2SFが施行されたら、既存の検証済み製品の効力は無効化されますか？

-いいえ。既存の検証済み製品は、その有効期限まで効力が認められる。

6. 2025年の各級機関を対象とするN2SF政策の施行方針は？

-国家情報院は関係機関と共に先行事業を通じて安全性などを検証する計画である。各級機関が情報サービス活用モデルを参考に、短期的履行が可能な事項から優先的に推進するように政策を施行する。

新規の情報化事業はN2SF体系を反映して推進する。機関が保有するシステムの規模や予算など、機関ごとの状況に合わせてISP・予算樹立など適切な移行計画を策定し推進する。

7. 情報サービス活用モデルは8つを例示しましたが、今後の計画は？

-情報サービスの例示モデルは、各級機関がN2SFへの移行を円滑に行えるように案内することが目的である。国家情報院は、多様な情報サービスを反映した追加モデルを継続して開発・アップデートする計画である。政策の初期に各級機関が方向性を定められるよう、活用モデルを提示したのである。

8. N2SF政策が施行されたら、科学技術情報通信部のクラウドセキュリティ認証（CSAP）は廃止されますか？

-いいえ。科学技術情報通信部のCSAPは、民間クラウドサービスのセキュリティレベル認証制度である。国家情報院は、国家・公共機関のクラウドなど情報化サービス導入時にセキュリティ要件への適合性を検証する。科学技術情報通信部は民間、国家情報院は国家・公共機関を対象としており、すでにその対象と目的が異なる。

しかし、科学技術情報通信部は各級機関や業界の混乱を最小限に抑えるため、今後は国家情報院のセキュリティ基準などを参考にしてCSAPの認証項目を改定する予定である。

9. N2SF、CSAPなどそれぞれの制度・認証によって、二重審査になるのではありませんか？

-国家情報院は関連法令に基づき、国家・公共機関の情報化事業におけるセキュリティ性の検討および検証を実施する。国家情報院は情報化事業のセキュリティ検討プロセスにおいてCSAP認証項目を認めている。CSAP認証を取得したクラウドサービスについては、重複した審査・検討を行わず、公共分野のセキュリティ基準を中心に検証している。二重審査ではない。

10. 今回配布されたセキュリティガイドラインが、なぜDraft（下書き）版なのですか？

-国家情報院は、各級機関のN2SF適用に必要な準備期間を考慮している。先行事業を通じて確認された不備や補完事項などを反映し、2025年7月にN2SFセキュリティガイドを正式に配布し施行する計画である。