お客さま情報の不正持ち出しを踏まえた
NTT西日本グループの情報セキュリティ
強化に向けた取組みについて

2

0

2

4

年

2

月

2

9

日

西 日 本 電 信 電 話 株 式 会 社
株式会社ＮＴＴマーケティングアクトＰｒｏＣＸ
ＮＴＴビジネスソリューションズ株式会社

NTTビジネスソリューションズに派遣された元派遣社員が、お客さま情報を不正に持ち出し、第三者に流出させていたことについて、NTTマーケティングアクトProCXのクライアントさま
及びそのお客さま、ならびにNTT西日本グループに関係する全ての皆さまに多大なご迷惑とご心配をおかけいたしましたことを、改めて深くお詫び申し上げます。
NTT西日本グループでは、このような事案を発生させてしまったことを重く受け止め、この間、外部専門家も交えて、各種の調査、原因分析、再発防止策の立案・実行に取組んで参りました。

なお、この過程で明らかになった不備への暫定的な対処措置は既に完了しております。
NTT西日本グループとして、同様の事案を再び発生させることがないよう、情報セキュリティ
強化に向けた再発防止策を着実に実行していくとともに、会社経営層の強い意志の下、グループ全体で組織文化の変革に取組むことを通じて、社会の皆さまからの信頼回復に努めて参ります。
2

内容
１．事案の概要
２．「過去調査」の検証および評価

３．NTT西日本グループ全体のシステム緊急総点検とアンケート調査
４．抽出された課題
５．NTT西日本グループ全体の再発防止の取組み

3１．事案の概要
２．「過去調査」の検証および評価

３．NTT西日本グループ全体のシステム緊急総点検とアンケート調査
４．抽出された課題
５．NTT西日本グループ全体の再発防止の取組み

4

（１）事案の概要➢ NTTビジネスソリューションズ（以降、「BS」と記載）に派遣されていた運用保守業務従事者（元派遣社員）がシステム管理者アカウントを悪用し、業務端末等からサーバにアクセスし、NTTマーケティングアクトProCX（以降、「ProCX」と記載）の複数のクライアントさまのお客さま情報（お客さま数：928万件 クライアント数：69）を約10年にわたり、不正に持ち出し、第三者に流出させていた
データセンタ（コールセンタシステム）

音声系サーバ

顧客データの保管サーバ

中継網
コンタクトセンタ拠点

BS
コールセンタ
システムの
保守・運用

保守NW
保守拠点

SW

不正に持ち出しProCX
コールセンタ業務の運営・
クライアントさまとの契約窓口

オペレータ

保守端末
システム管理者 運用保守
業務従事者
アカウント

BS

※ProCX、BSはNTT西日本の子会社

5（２）時系列
2013年
７月～
2022年
4月

2023年
７月13日
10月17日

BSに派遣されていた元派遣社員によるお客さま情報の不正持ち出し（2023年2月頃まで）

クライアントさま一社からProCXに対し、「自社のお客さま情報が流出している可能性があるので、社内調査を実施いただきたい」旨の依頼を受け、ProCX及びBSにおいて調査を実施
当時の不適切な調査により、漏えいに関する事実を把握することができず、流出の問題がない
旨、当該クライアントさまへご報告 （以降、当時の不適切な調査を「過去調査」と記載）
元派遣社員の勤務先（BS拠点）に対し、警察が捜査を実施
ProCX、BS「クライアントさまのお客さま情報の流出について」公表
NTT西日本 「当社のお客さま情報の流出について」公表

12月19日ProCX、BS「クライアントさまのお客さま情報の流出について」続報公表（クライアントさまへの紐づけ作業の結果）

2024年
1月24日

（個人情報保護委員会）ProCX、BSに対する勧告および指導

1月31日

BSに派遣されていた元派遣社員の逮捕 （2024年2月21日起訴）

2月 9日（総務省）NTT西日本に対する行政指導

2月29日

ProCX、BS 個人情報保護委員会の勧告に対する報告

6

１．事案の概要
２．「過去調査」の検証および評価

３．NTT西日本グループ全体のシステム緊急総点検とアンケート調査
４．抽出された課題
５．NTT西日本グループ全体の再発防止の取組み

7

（１）「過去調査」検証の経緯・体制等➢ 当初の社内調査において確認された不適切な事実について、先入観を排除した客観的かつ専門的な検証を実施するため、外部弁護士のみで構成した調査チーム（以降、「過去調査
ＴＦ」と記載）を立ち上げ
社内調査で確認された不適切な事実

過去調査ＴＦによる検証期間✓ エクスポートログを改変し、問題ないと回答✓ 虚偽の回答を実施
・端末にはUSBポートが「ない」
・暗号化ソフト導入「済」
・保守者の体制変更「済」

2023年11月16日～2024年2月19日
体制

外部弁護士のみで実施※客観的かつ専門的な観点から、事実解明、原因分析等を実施
方法

関係者ヒアリングやデジタルフォレン
ジックによるメール等の分析

8

（２）「過去調査」検証結果の詳細内容➢ 当時の調査は、ProCXとBSの社員4名のみで実施➢ エクスポートログの改変や虚偽回答をしたことについての問題点が判明
ProCX
社内調査依頼

当時の
調査体制

クライ
アント
さま

報告

社長

BS

調査依頼受付者①担当部長

調査の実施関係者
対応指示

結果報告

②営業担当者（BSも兼任）③フロントSE連携④バックSE注）調査報告書では、①担当部長＝C、②営業担当者＝D、③フロントSE＝E、④バックSE＝Fと表記

社内調査で確認された不適切な事実✓ エクスポートログを改変し、問題ないと回答✓ 虚偽の回答

今回の検証により判明した問題点
・限定メンバによる調査を依頼されたと誤認し、調査者を限定
・司令塔的役割の不在
・エクスポートログの誤読
・BS社内幹部、NTT西日本へのエスカレーションは未実施
・情報漏えいが内部で発生しているとの認識なし
・クライアントさまからの追加質問を回避したいとの考え、契約継続のために不都合な事実を取り繕う意図が存在

共元
犯派
関遣
係社
は員
認と
めの
ら
れ
ず

9

（３）過去調査の問題点に関する分析✓ BSの情報セキュリティ管理体制の欠如およびこれを取り繕おうとする動機✓ 過去調査において、ProCX幹部が司令塔的役割を果たさず✓ 過去調査担当者4名の内部における情報共有不足✓ エクスポートログの検証を行うに足りる前提情報を欠く調査担当者による
拙速なログの分析、これに基づくログの誤読✓ 適切なエスカレーションの欠如（BS社内／ProCX・BSからNTT西日本へのエスカレ）✓ クライアントさまと対話する姿勢の不足✓ ProCX・BS双方に、委託元・委託先という明確な立場の切り分けがなく、委託先であるBSに対するProCXの管理不足
10

（４）「過去調査」検証の評価（総括）✓ 「過去調査」では、「調査」には似ても似つかない「作業」しか実施しておらず、事なかれ主義的な対応が繰り返され、一部は虚偽回答がなされるなど、極めて杜撰なものであった
・派遣社員による情報の持ち出しと同様、BSによる情報セキュリティ管理体制の不足が背景にある・顧客データの保管サーバのログ検証において、検証を行うだけの十分な前提情報を持たないものが、ごく短時間のうちに都合のよい解釈を行ったことにより、「内部からの情報流出はない」と一方的に結論づけていた
・自社の情報セキュリティ管理体制の不備を取り繕うため、USBポートの設置状況等に関する虚偽報告を繰り返していた✓ 「過去調査」に携わった者は、当時、当該元派遣社員、またはNTT西関連会
社に勤務する者が不正流出を行っていることを認識しておらず、情報漏えいを隠す意図があったわけではない
しかし、情報漏えいに対する危機意識や対処能力という意味では、さらに低い
次元、すなわち、内部からの不正流出を発見するにすら至っていなかったという点で、極めて重大な問題があった
11

１．事案の概要
２．「過去調査」の検証および評価

３．NTT西日本グループ全体のシステム緊急総点検とアンケート調査
４．抽出された課題
５．NTT西日本グループ全体の再発防止の取組み

12

（１）システム緊急総点検とアンケート調査➢ 事案発覚以降、当該システム含め顧客情報等を保有する全システムの緊急総点検を開始➢ その後、外部の有識者を含むチーム（以降、「情報セキュリティTF」と記載）に引き継ぎ、点検結果を踏まえた課題整理、暫定対処の実施、本格対処に向けた検討を開始➢ あわせて、システム運用責任者等（以降、運用責任者）および運用責任者が所属する組織の社員約２，９００名へのアンケート調査を実施
システム緊急総点検

アンケート調査✓ NTT西日本グループの顧客情報及び機密性が高い情報を保有する４４３システムの緊急調査を実施✓ NTT西日本グループの１万件以上の顧客情報を保有する２０４システムの運用責任者等
約２，９００名（運用責任者２８８名、運用責任者が所属する組織の社員２，６０９名)を対象に実施✓ 不正持ち出しや類似の情報漏えい事案の原因と関連性の高い事項等を踏まえ４４項目を設定
システム保守者・利用者の役割別に調査

情報持ち出し制御

端末制限

監視体制

【実施期間】
2023年 8月3日～2024年2月19日（情報セキュリティ推進組織で点検を開始し11月16日以後に情報
セキュリティTFへ引き継ぎ）✓ 社員のリスク認識や顧客情報の日常管理・点検の在り方、運用責任者を取り巻く状況、組織風土等９項目を設定

Webアンケート（※）※調査委員会委員の弁護士が所属する法律事務所においてアンケートを実施【実施期間】
2023年12月19日～2024年1月19日

13

（２）システム緊急総点検の結果➢ システム緊急総点検の結果、会社許可以外の記録媒体・端末の接続が可能になっていた、個人の特定・ログ点検が出来ていなかったなど、複数のシステムで不備が発覚➢ 不備が見られた項目に対し、約６割のシステムは１２月末、残る４割のシステムは２月中旬に暫定対処を完了（運用対処を含む）
点検項目と結果
観点

情報持出し
防止

暫定対処
（運用対処を含む）

項目

不備率※
不備率※

会社許可以外の記録媒体・端末の接続禁止

１６％・システム設定による接続禁止
・USBメモリの代替ソリューション導入

メール・クラウド等の漏えい防止

５％・必要なサイト以外へのアクセス制限

・不必要なインターネット接続の制限

アカウント管理

重要作業の
ログ収集と
ログ点検の実施

2月中旬までに対処完了

・個人の特定が出来ているか（アカウント共用がないか）

作業管理
・ログ点検が出来ているか

その他
・リモート接続時のセキュリティ対策

１９%・アカウント共用を廃止
・個人を特定する仕組みを導入

２９％・ログ点検方法を整備

３％※保守者の立場（チェック箇所・頻度等）
・リモート接続は画面転送方式に限定

14

（３）運用責任者へのアンケート調査結果（一部抜粋）➢ 運用責任者の内、お客さま情報の日常管理では約３割、情報セキュリティに関する自主点検
では約４割が「管理や点検を不十分な方法で実施しているものがあると思う」と回答（①、②）➢ また、約２割が「内部者による不正情報流出を起こり得ないと考えていた」と回答（③）①お客さま情報の日常管理②情報セキュリティに関する
自主点検の実施状況③内部者による不正情報流出のリスク認識

適切か判断がつかない
適切に実施されていないと思う2%

適切か判断がつかない 16%7%31%
不十分な方法で実施されているものがあると思う60%
適切に実施していると思う

41%
不十分な方法で実施されているものがあると思う

19%

起こり得ないと
考えていた

43%
適切に
実施
している

81%
認識していた

N=運用責任者288名
15

１．事案の概要
２．「過去調査」の検証および評価

３．NTT西日本グループ全体のシステム緊急総点検とアンケート調査
４．抽出された課題
５．NTT西日本グループ全体の再発防止の取組み

16抽出された課題➢ システム緊急総点検や運用責任者へのアンケート調査により、以下４点の課題を抽出
現状（問題点）課題✓ 現場が資産（構成・情報）やリスクを把握出来ていない✓ 情報セキュリティ推進組織が現場への専門的な助言や支援の役割を果たせてない✓ 運用責任者の約３割が、日常管理が不十分と回答（１） リスクマネジメント
プロセスの拡大・定着✓ 外部記録媒体（USBメモリ等）接続制限の不備✓ 保守アカウント共用による個人未特定システムの点在✓ 多くの社員が、ルール順守に関する運用負担が多いと回答（２） 内部不正リスクを考慮したシステム対処✓ 不正を検知するためのログ点検の不備✓ 自主点検項目が多く複雑で現場での運用が形骸化✓ 運用責任者の約４割が、点検が不十分と回答（３） 内部不正リスクを考慮した業務運営
ルールの形骸化防止✓ 人員リソース及び予算割り当て配分、各社ごとの役割分担など経営レベルで解決を要する事項に対処出来ていなかった✓ 運用責任者の約２割が内部不正は起こり得ないと考えていたと回答（４）経営層の問題解決へのコミットメント17

１．事案の概要
２．「過去調査」の検証および評価

３．NTT西日本グループ全体のシステム緊急総点検とアンケート調査
４．抽出された課題
５．NTT西日本グループ全体の再発防止の取組み

18

NTT西日本グループ全体の再発防止の取組み➢ 抽出された課題への対処に向けて、セキュリティのフレームワーク(NIST CSF※1、3ラインモデ
ル※2)に基づき、NTT西日本グループ全体で以下４点を再発防止の柱として取組む➢ これらの実施にあたって、約１００億円規模の予算を割り付けるとともに、約１００名規模の新たな推進組織を設立し、情報セキュリティ強化に取組む
課題

再発防止策

（１） リスクマネジメント
プロセスの拡大・定着（１） リスクの（２） 内部不正リスクを考慮したシステム対処（２）リスク箇所の（３） 内部不正リスクを考慮した業務運営
ルールの形骸化防止（３）監視の高度化・（４）経営層の問題解決へのコミットメント（４）情報セキュリティ

経営リソース

視える化
最小化

約100億円
規模点検の徹底推進体制の強化

約100名
体制に拡充

※1：米国国立標準研究所（National Institute of Standards and Technology, NIST）が策定したサイバーセキュリティに関する世界標準的なフレームワーク※2：内部監査人協会(The Institute of Internal Auditors, IIA)が提唱している監査モデル

19

（１）リスクの視える化➢ NTT西日本グループ全システムのIT資産リスク管理シートに、内部不正に関する項目を追加し、保有リスクの視える化を充実➢ 現場だけに任せず情報セキュリティ推進組織も入り込み、システム構築時からコンサル/支援を実施し、リスクマネジメントプロセスに基づいたセキュリティリスクをチェック
IT資産リスク管理シート
IT資産リスク管理シート

リスクマネジメントプロセス✓ 内部不正に関する項目を追加し、保有リスクの✓ 内部不正防止の観点から、システム構築前等の視える化を充実

節目で、情報セキュリティ推進組織が点検

管理項目

IT資産リスク管理シート作成▼

当該システムの所有組織、 〇部 〇〇担当部長
責任者氏名

基本
情報

保有
リスク
と対策

システム/NW構成（機密性高情報のありかの特定、流出経路の検討）（イメージ）

保有情報の内容と保有量

お客さま情報・10万以上

お客さま情報ダウンロー
ド/持出権限の有無、権限保有者数、氏名、保有
期間

システム
ごとの
責任者を
明確化

【強化②】
権限保有者数：〇
保有者：A氏〇年、B氏〇年

・・・

・・・

漏洩出口（USB/メール/クラウド等）の対策

×：〇月までに〇〇する。
それまで暫定対処で〇〇検知・点検の対策〇：作業記録とログと突合

・・・

【強化①】

内部不正
に関する
項目を追加

現場
(第一線)

システム構築前

システム構築▲システム構築意思決定
前にチェックシステム
開発
ライフサイクル
プロセス

▲

運用

▲
情報セキュリティ推進組織(第二線)

▲
実査等に
よる
定期的
チェック

20

（２）リスク箇所の最小化➢ 情報漏洩リスク低減を図るため、“アカウント”や“権限”を集中的に管理し、”データ抽出・持ち出
し”・”クラウドやシステム（サーバ）へのアクセス”等を一括制御可能な環境に順次統合➢ 当環境下においてデータの受け渡し経路を限定化・視える化することでリスクを最小化
NTT西日本グループ
ゼロトラスト環境

権限

アカウント

集中
管理・制御

データ
システム
クラウド
抽出・持出し
・サーバ

業務用
サーバ

シス
テム
B

業務用
サーバ

…

…

システム群（グループ会社）

…

…

…

システム群（NTT西日本）

システムA

シス
テム
A

データ

データ
受け渡し

システム
を跨ぐ
データの
受け渡し

（中継GW・
クラウド）
作業
ﾛｸﾞ

責任者
承認

データ

システムB

21

（３）監視の高度化・点検の徹底➢ 内部不正が起こりうることを前提に、システムによる監視の高度化や、現場での点検の形骸化防止のための点検項目・ログ確認方法の見直しを実施
監視の高度化

点検とログ確認の徹底✓ 監視センタにおいて、各種ログを収集し、ふるまい検知を用いて、システム利用者・保守者の行動を分析し、イレギュラーなふるまい操作者を特定/
対処
SaaS

ｱｸｾｽ
ﾛｸﾞ

インターネット

統合
認証
管理・制御 ﾛｸﾞ

業務用 ｱｸｾｽ
サーバ ﾛｸﾞ

端末
ﾛｸﾞ

特権ID 作業
管理サーバ ﾛｸﾞ

データ

保守者

監視センタが各種ログを収集
監視
センタ

ログ

✓ リスクに応じて、システムごとに点検項目を見直すことにより、形骸化を防止✓ 現場でのログ監視/分析- リスクに応じたログ確認方法の策定と確実なログ確認の実施（チェック方法・時間帯や頻度等）- 特権を持つ利用者・保守者による
顧客情報抽出や持ち出し等の監視強化（入退室ゲート・セキュリティカメラの追加設置やアラーム送信等）

AI

相関分析

イレギュラーなふるまい操作者を特定

22

（４）情報セキュリティ推進体制の強化➢ 情報セキュリティ・サイバーセキュリティ対策のトータルマネジメント機能を有する新組織を設立し、情報セキュリティ推進体制を強化➢ 新組織にてNTT西日本グループ全体のセキュリティ人材を育成し、育成した人材をNTT西日本
グループの各組織に配置することで、グループ全体のセキュリティガバナンス能力を向上➢ NTT西日本グループのセキュリティガバナンスの方向性や対処策について、社外の有識者と議論するアドバイザリーボードを新たに設置
アドバイザリーボード（外部有識者との議論の場）

社長

CISO
新
組
織

新たなセキュリティ推進組織
情報セキュリティ・サイバーセキュリ
ティ対策をトータルマネジメント

新設

還流

105名

NTT西日本・グループ会社
現場組織
（第一線）

セキュリティ
人材育成

セキュリティ
推進担当
（第二線）

内部監査
（第三線）

増員20名
組織統合

現
組
織

約20名

約65名

情報セキュリティ推進組織

サイバーセキュリティ推進組織

内部からの情報漏洩を防止

外部攻撃から情報漏洩を防止

育成

23

ProCX 再発防止の取組み➢ NTT西日本グループ全体の再発防止内容を踏まえてProCXの再発防止策を講じることで、クライアントさまに安心・信頼をおいていただけるコールセンタ業務の適切な運営の実現に
向け取組む

ProCX
NTT西日本グループの取組みに即した本格対処を実施

リスクマネジメント

ク
ラ
イ
ア
ン
ト
さ
ま

業
務
委
託

業務毎のリスクの洗い出しによる頻度／影響度を加味した業務フローの（１）リスクの視える化
策定と定期的なアップデート（２）リスク箇所の最小化（３）点検の徹底
業務実態に合わせた点検内容の具体化と点検基準の明確化
監視の高度化 セキュリティ管理システムの導入による全社員・全端末の不審なふるまいの検知

体制強化
・
意識改革

✓ 「顧客起点」と「情報セキュリティ」が経営の最重要課題であることをトップ自らコミット✓ コールセンタ運営の各役割（ スーパーバイザー／オペレーター等）を踏まえた研修の実施✓ NTT西日本と連携した情報セキュリティ推進体制の強化

委託先管理✓ 個人情報の取扱いを再委託する場合における委託先の管理監督の徹底 ※
委託先の管理監督に関わる実務フローの確立（安全管理措置内容等についての契約内容の明確化、定期点検の実施徹底）

管
理
監
督

再個
委人
託情
先報
の

※ 個人データの取扱いを再委託する場合

24

BS 再発防止の取組み➢ サービスを提供する事業者として、NTT西日本と連携して、情報セキュリティの取組みを強化
するとともに、改めて、事業を支える社員一人一人に顧客起点のマインドを浸透させ、顧客の立場に立った組織となるため、経営トップ自ら率先して以下の取組みを進める
これまで実施してきたこと

本
格
対
処
と
し
て
実
施
す
る
こ
と

①当該システムについて、暫定対処を完了②お客さま情報を保有する全システムの総点検を実施。発見された不備箇所について、暫定対処を完了（運用対処を含む）

技術的な対処（１）リスクの視える化（２）リスク箇所の最小化（３）監視の高度化・点検の徹底

体制強化・教育✓ 西日本と連携した情報セキュリティ推進体制の強化✓ 顧客情報を扱う全社員に対し、実運用を踏まえたセキュリティリスクに関する集中教育実施✓ 顧客情報を扱うシステム従事者の長期配置見直し

意識改革

NTT西日本グループの取組みに即した本格対処を実施✓ 「顧客起点」と「情報セキュリティ」が経営の最重要課題であることをトップ自らコミット
・日常のマネジメントにおける社員とのコミュニケーションの中で浸透・定着化✓ 心理的安全性が高く、なんでも言い合える組織風土への変革推進
・タウンホールミーティングでの対話を通じた課題把握と改革策の展開
・社員が問題であると思うことを吸い上げる仕組み 等

25これまでご説明してきたとおり、NTT西日本グループは、外部専門家も交え、各種調査、原因分析、再発防止策の検討に取組んで参りました。
明らかになった不備への暫定的な対処策については、全てのシステムにおいて、既に完了しております。さらに、本格的な再発防止策として、「リスクの視える化」、「リスク箇所の最小化」、「監視の高度化・点検の徹底」、「情報セキュリティ推進体制の強化」を柱とし、それら取組みを既に開始しております。
NTT西日本グループは、同様の事案を再び発生させることがないよう、会社経営層の強い意志の下、組織文化に根ざした行動様式を、社員ひとり一人とともに見つめ直すとともに、
情報セキュリティ強化に向けた取組みを着実に実行していくことで、お客さまや社会の皆さまからの信頼回復に努めて参ります。

26

参考資料

27

(参考)

NIST CSF と IIA 3ラインモデルについて➢ 見えてきた課題に対して、セキュリティの世界共通的なフレームワークであるNISTのCSF(Cyber Security Framework)と、リスク管理指標であるIIAの3ラインモデル(Three Lines Model)を活用し、取り組むべき内容を深化■ NIST CSF(Cyber Security Framework)2.0
復旧
復旧と改善
コミュニケーション■ IIAの3ラインモデル
ガバナンス機関(取締役会等)

ガバナンス

ステークスホルダへの説明責任

経営者によるリスク管理
サプライチェーンリスク

ガバナンス機関の役割
誠実性、リーダーシップ、透明性

対応
対応と分析

識別
資産管理
リスクアセスメント

マネジメント
組織の目標達成のためのリスク管理活動

第1線の役割検知
異常とイベント
モニタリング防御
アクセス制御、情報保護、トレーニング※NIST：米国立標準技術研究所(National Institute of Standards and Technology)

顧客に対するサービスの提供とリスクの管理第2線の役割リスクに関連する専門知識、支援、
モニタリングの提供

内部監査
独立したアシュアランス

第3線の役割独立した客観的なアシュアランス※IIA：内部監査人協会(The Institute of Internal Auditors)

外
部
の
ア
シ
ュ
ア
ラ
ン
ス
提
供
者

28

(参考)

点検４４項目

基本情報：保有する情報の内容・規模、権限、構成図等情報を持ち出せない・持ち出せるなら限定する（情報持出し防止）

トレース検知する・検知した情報をチェックする（重要作業のログ収集とログ点検の実施
17 アカウントの共用が無いか（作業者を特定できるか）

1 会社許可USBメモリ等以外を利用させない対策をしているか（USB等の利用業務がない場合）

2

持ち出し制御端末管理

USBメモリ等を利用する場合は、会社支給の生体認証/暗号化等の対策をしているか（USB等の利用業務がある場合。
No2-6も同様）

18 アカウントの管理手順を定め、作成・変更・削除時は管理手順に従っているかアカウント管理 19 アカウントへ付与する権限レベルを定め、必要最小限の権限付与としているか
20 異動／退職者等不要アカウントが無いか定期点検しているか

３ 会社許可USBメモリ等以外を利用させない対策をしているか
4

会社が許USBメモリ等を利用時、事前の承認を得て記録しているか

5

端末へのUSBメモリ等の接続についてログ取得・定期的確認（リアルタイムに検知する仕組み有無）。 または第三者立会による操作内容の目視確認

6

USBメモリ等を別用途で再利用もしくは廃棄する場合は情報の復元が不可能な方法でデータ消去

7

端末のアカウント共用がないか

8

マルウェア対策ソフトを導入しているか

9

端末およびUSBメモリ等を施錠保管しているか

21 重要な情報を保有する場合、多要素認証としているか
22 特権アカウントによる作業について、事前に承認・記録しているか

23 特権アカウントによる作業ログ（お客さま情報出力を含む）を取得しているか

作業管理

25 特権を持つシステム利用者による作業について、ログの削除・改ざんをできない仕組みとなっているか
26 ログの定期点検を実施しているか
27 業務委託先に対する要求事項としてセキュリティ対策を要求しているか

委託先管理

12 端末の不要なポートの閉塞・FW設定の有効化しているか、端末内フォルダの不要な共有設定をしていないか

端末制限

システム構築・運用に関する業務委託範囲や内容に応じ自社セキュリティ管理策の実装もしくは運用実施を委託先に要求し、対応可否を確認しているか

30 委託先の保守作業について作業ログの取得、または第三者の立会による作業内容の確認が行われているか
31 共有フォルダに重要な情報を保管している場合、アクセス制限およびパスワード設定をしているか

共有サーバ利 32 アクセス制限について、異動／退職者等不要アカウントが無いか定期点検しているか
用
33 共有フォルダへの保存期間を定め、期間を過ぎたものは削除しているか
34 重要情報を保存しているフォルダについてアクセスログを取得しているか また不要なアクセスが無いか確認しているか

13 重要な情報を扱う場合、アクセス可能な端末を制限し、私有端末等からのアクセスを禁止しているか

35

14 私有端末からシステムを利用させる場合、私有端末に会社情報を保存させない対策をしているか

メール・クラウ 15 メール送信時の検閲機能、もしくは定期的にメール送信履歴が確認できる機能を実装しているかド等による漏洩防止
16 重要情報等を取り扱う場合、情報漏えいのリスクが高いサイト（クラウドストレージ等）へ接続制限しているか

28

29 委託先のセキュリティ対策の遵守状況を定期的に点検しているか

10 端末およびUSBメモリ等を社外に持ち出す場合、承認を含めた持出管理をしているか

11 重要情報等を取り扱う場合、インターネットへの接続が無い個別NW用意し、業務を実施しているか

24 保守作業者の作業ログの取得、または第三者の立会による作業内容の確認が行われているか

重要情報を保管しているシステムの設置場所について、アクセス制限がされ、入退室化に並びに監視および、盗難対策等がされているか36 システムの設置場所への入退室は、管理者によって管理され、特定の人員にのみ入室権限の付与がされているか

システム
保管場所

37

アクセスが制限されていない場所に設置せざるを得ない場合は部外者によるシステムの利用・接続や盗難を防止する措置を実施しているか

38 設置場所への機器の持込み／持出し時は、承認権限者の許可を得て、監視や作業記録を保存しているか
39 設置場所への入室権限にるいて、定期的に見直しをし、不要な権限の削除を実施しているか40入室に必要となる鍵については員数管理し、紛失時の対応をしているか。 パスワード認証の場合は定期的に変更を行っているか

41 リモートで接続させる場合、ID/PW認証より強固な認証方式かリモート接続 42 VPN接続アカウントの共用が無いか（接続者を特定できるか）
43 リモート接続時の利用端末・利用環境はオフィス端末と同様の各種対策が取られているか

暗号化

44 顧客情報は参照権限を持たない人が参照できないよう、システム的に暗号化されているか

29