2019-2020年度「情報セキュリティ合同研究プロジェクト」成果報告

JSSA研究大会2020.11.6.

情報セキュリティ合同研究会メンバー募集と研究テーマ事例「Information Security joint Study Group Members Wanted＆ Research theme sample

2020年11月6日
情報セキュリティ合同研究会©2020JSSAシステム監査学会「情報セキュリティ合同研究プロジェクト」All right reserved.

2019-2020年度「情報セキュリティ合同研究プロジェクト」成果報告

2019‐2020年情報セキュリティ合同研究会
メンバー募集と研究テーマ事例【近年のテーマ事例】
2018年 システム監査における情報セキュリティ監査の位置づけ
2019年 1人情報シスとガバナンス（新メンバー２名加入）
・・
現在のテーマ候補（新メンバー２名加入） 、新テーマも歓迎
・ＡＩとシステム監査・サイバーフィジカルセキュリティフレームワーク
・バイタルＢＣＰ：安否確認システムと事業継続システムの連携
JSSA研究大会 情報セキュリティ合同研究会メンバー募集と研究テーマ事例 情報セキュリティ合同研究会©2020JSSAシステム監査学会「情報セキュリティ合同研究プロジェクト」All right reserved.

2

2019-2020年度「情報セキュリティ合同研究プロジェクト」成果報告

１．バイタルＢＣＰの問題意識（１）■近年の自然災害の多発
・２０１９年台風１５号千葉県を中心に甚大な被害（電柱2000本超の倒壊、十分でなかった状況把握）
・２０１９年台風１９号千曲川氾濫（翌日・翌々日になっての被害と確認）（事例１）・社員が避難勧告に従い避難2019年10月１２～１３日
・10月14日（月）出社できない旨連絡、会社は１４日に状況把握（事業継続上、重大なインシデントにはならなかった）（事例２）・埼玉県付近に荒川のＡ工場 都内在住工場グループ長７名
・大雨特別警報発動、警戒水域を超えた荒川・グループ長→部下社員へ連絡（社宅床上浸水の状況）（突然緊急事態が発生、判断を迫られる状況：生命の安全とＢＣＰ）（事例３）・難しい社員からの情報収集：個人携帯電話番号提供拒否２名
JSSA研究大会 情報セキュリティ合同研究会メンバー募集と研究テーマ事例 情報セキュリティ合同研究会©2020JSSAシステム監査学会「情報セキュリティ合同研究プロジェクト」All right reserved.

3

2019-2020年度「情報セキュリティ合同研究プロジェクト」成果報告

１．バイタルＢＣＰの問題意識（２）■近年の自然災害の多発（事例４）・東日本大震災で社員２名が犠牲のメーカＢ社
・社員と社員の家族の命を守る全社ポリシー
・海外を含めた全社展開へ
・事務局１５分で立上げ：情報管理＆緊急対応センター（訓練）・双方向安否確認システム、社員からの複数手段の連絡と最新情報把握（事例５）その他ヒアリングから
・非正規社員が安否確認システムの対象でない（自治体）：機能しない事務局
・派遣社員、常駐請負者が安否確認システム対象外（企業）・自然災害等緊急事態発生： 24時間365日勤務体制業務下では継続勤務へ（家族の安否？の状況で事業継続のための業務遂行は難しい）
・多い局所的災害：求められる事業継続ＢＣＰ
・複合災害のリスク（地震と台風・ゲリラ豪雨等）
JSSA研究大会 情報セキュリティ合同研究会メンバー募集と研究テーマ事例 情報セキュリティ合同研究会©2020JSSAシステム監査学会「情報セキュリティ合同研究プロジェクト」All right reserved.

4

2019-2020年度「情報セキュリティ合同研究プロジェクト」成果報告

２．安否確認システムの問題意識（１）■自然災害対応の安否確認システム＜多い安否確認システム＞・・・・・・ビット列初期値０００１・あなた大丈夫ですか。
・家族大丈夫ですか。
・家は大丈夫ですか。
・会社に来れますか。
■問題意識・24時間365日：8760時間、勤務時間2000時間（時間外発生が一般的）
・対象範囲：社員・派遣社員・パート・アルバイト、家族・現状と実態把握の遅れ：自宅、通勤中、会社、出張中、外出中～（機能はあっても運用されていない状況は多い）
・自治体等との連携：避難勧告、特別警戒警報～
・連携不十分な事業継続との関係：代替要員
JSSA研究大会 情報セキュリティ合同研究会メンバー募集と研究テーマ事例 情報セキュリティ合同研究会©2020JSSAシステム監査学会「情報セキュリティ合同研究プロジェクト」All right reserved.

5

2019-2020年度「情報セキュリティ合同研究プロジェクト」成果報告

２．安否確認システムの問題意識（２）■コロナ感染対応の安否確認システム＜安否確認システム＞
・濃厚接触者の概念、同居家族（幼稚園学級閉鎖）
・糖尿病等慢性疾患、高齢者、妊娠者等情報（感染時重篤症状リスク）・継続的情報としての経過観察（事例：事業継続を想定した対応）
・体温・健康状態を家族も含め報告させるケース。
・家族も含めPCR検査受診を報告させるケース：緊急事態として位置付け対応（２４時間３６５日サービス提供が必要なケース等）■問題意識
・災害型安否確認システムと連携していない：個々に存在するケースも多い
・感染者が出た場合：保健所の指示に従うとするケース（受動的対応）

JSSA研究大会 情報セキュリティ合同研究会メンバー募集と研究テーマ事例 情報セキュリティ合同研究会©2020JSSAシステム監査学会「情報セキュリティ合同研究プロジェクト」All right reserved.

6

2019-2020年度「情報セキュリティ合同研究プロジェクト」成果報告

３．安否確認システムと事業継続■コロナ感染対応の安否確認システム■安否確認システムモデル
No 氏名 年齢 疾患 体温 検査 病名 渡航 入院 住所 形態 経路 家族
66 糖尿 37.5 陰性 肺炎 有
＜濃厚接触者テーブル：家族/職場/経路、クラスター情報等＞＜在宅勤務テーブル：ＩＴ関連機器、利用形態、通信状況、業務利用、システム・記録＞＜事業連携テーブル：所属、事業所、バイタル人材、バイタル業務、代替可能等＞＜個人管理テーブル：社員、所属、業務、職位、経歴、資格、住所・家族、在宅勤務等＞＜医療情報テーブル：属性、地域、医療機関、検査状況等＞＜レポートテーブル：分類、集計、管理、状況、社内・社外リポート等＞■問題意識・複合災害の想定要：自然災害と感染症等リスク（避難所定員オーバ・不足）
・事業継続以前に生命の安全と２次災害の防止
JSSA研究大会 情報セキュリティ合同研究会メンバー募集と研究テーマ事例 情報セキュリティ合同研究会©2020JSSAシステム監査学会「情報セキュリティ合同研究プロジェクト」All right reserved.

7

2019-2020年度「情報セキュリティ合同研究プロジェクト」成果報告

４．バイタルＢＣＰ構築に向けて■基本的な考え方
情報収集 → 対策策定 → 意思決定 → 現場指示 → 説明責任
（所管部署？） （企画・管理） （経営トップ）
（現場）
（広報）

■ポイント
・現状把握と意思決定のための情報収集・提供・・・・正確な情報の共有化
・安否確認と事業継続を連携した情報システム（バイタルＢＣＰ）
・生命の安全と２次災害の防止が最優先・・・・社員と社員の家族の生命を守る・バイタルＢＣＰは組織ごとの固有システム・・・オーダメイド＜事業継続計画＞・対象範囲：パート・アルバイト・契約社員・請負常駐者まで
・バイタル人材とミニマムオペレーション、責任・承認体制の確立（業務分析・分類、バイタル人材に必要な力量、担当者マッチング、合意・育成）
・安否確認システムとの連携＜実施にあたっての問題点＞以下略
JSSA研究大会 情報セキュリティ合同研究会メンバー募集と研究テーマ事例 情報セキュリティ合同研究会©2020JSSAシステム監査学会「情報セキュリティ合同研究プロジェクト」All right reserved.

8

2019-2020年度「情報セキュリティ合同研究プロジェクト」成果報告

ご清聴ありがとうございました。
・バイタルＢＣＰの意義・問題意識をお話しました。
・情報セキュリティ合同研究会メンバー募集（皆さまの参画をお待ちしております）
情報セキュリティ合同研究会＜２０２０年度 研 究 会 参 加 メ ン バ ー （敬称略）＞
川辺 良和【㈲インターギデオン代表】 ：主査、発表者

芳仲 宏【システム監査技術者・ＩＴＣインストラクター】

成田 和弘 【システム監査技術者・ＣＩＡ・ＣＩＳＡ】
戸室佳代子 【公認システム監査人、SAAJ理事】
荒木 哲郎 【弁護士・システム監査技術者】

JSSA研究大会 情報セキュリティ合同研究会メンバー募集と研究テーマ事例 情報セキュリティ合同研究会©2020JSSAシステム監査学会「情報セキュリティ合同研究プロジェクト」All right reserved.

9