Sec01-11-02_ITおよびサイバーセキュリティに関する組織の視点6分類別に実施すべき対策.mmap - 2022/01/27

Sec01-11-02_ITおよびサイバーセキュリティに関する組織の視点6分類別に実施すべき対策
この要約資料の概要

ガイドブック内「MISSION 3-5

⾃社のIT活⽤・セキュリティ対策状況を⾃⼰診断するITの活⽤診断」の「ITおよびサイバーセキュリティに関する組織の視点6分類」毎に具体的に実施すべき事項を整理したもの

概要

企業経営のためのサイバーセキュリテ
ィの考え⽅の策定について【NISC】

原本

改版履歴

ファイル

https://www.nisc.go.jp/active/kihon/pdf/keiei.pdf

2022年1⽉26⽇ 改版
2018年1⽉19⽇ 初版
https://cybersecurity-tokyo.jp/security/docs/Sec01-11-02.pdf

サイバーセキュリティ対策状況の⾃⼰診断IPAの「5分でできる︕⾃社診断＆ポイント学習」の実施

https://security-shien.ipa.go.jp/learning/index.html【ガイドブック INFORMATION
6-4 中⼩企業の情報セキュリティ対策の段階的レベルアップ】「中⼩企業の情報セキュリティ対策ガイドライン第3版」内の「5分でできる情報セキュリティ⾃社診断」

https://www.ipa.go.jp/files/000055848.pdf
診断結果で提⽰された参考資料をベースに対策を実施する組織のIT活⽤状況及びサイバーセキュリティ対策の意識及び実施レベルの確認【6分類】（積極的にITによる⾰新と⾼いレベルのセキュリティに挑戦するあらゆる企業）【理想的に】ITの利活⽤を事業戦略上に位置づけ、サイバーセキュリティを強く意識し、積極的に競争⼒強化に活⽤しようとしている企業

ITの利活⽤と情報セキュリティ対策のバランスが取れている企業
情報のオープン化、外部情報の活⽤、機密情報の保護をきちんと⾏い、ITの利活⽤により新しいサービスを展開【もっと積極的に】IT・セキュリティをビジネスの基盤として捉えている企業（IT・サイバーセキュリティの重要性は理解しているものの、積極的な事業戦略に組み込むところまでは位置づけていない企業）
ITの利活⽤と情報セキュリティ対策のバランスが取れていなく、費⽤対効果の悪い企業
基本姿勢として、情報は全て機密、IT環境は必要最低限に利⽤を制限
必要以上のセキュリティ対策により、無駄に費⽤をかけ、業務効率、サービスの向上を阻害している企業【無駄な投資】過剰なセキュリティ意識により、ITの利活⽤を著しく制限し、ITの利活⽤を競争⼒強化に活⽤させていない企業

過剰なセキュリティ意識により、ITの利活⽤を著しく制限し、競争⼒強化に活⽤させない
企業
過剰なリスク意識により、インターネットでの情報発信、情報収集や、IT活⽤による業務効率を向上させる意識のない企業
セキュリティ偏重の判断は、業務の現場の不便をもたらし、柔軟な発想や市場変化に対する機敏性を損なわせる。最悪の場合、ビジネスイノベ ションの機会を潰している

ページ 1 / 6

ネスイノベーションの機会を潰している。
組織内のITリテラシーの向上が⼗分でないた
めに、低いレベルの⼈に合わせたセキュリティ対策のために、意識の⾼い⼈の業務の効率化をも阻害しているITの利活⽤と情報セキュリティ対策のバランスが取れていない企業（IT・サイバーセキュリティの重要性は理解しているものの、積極的な事業戦略に組み込むところまでは位置づけていない企業）【危険】情報セキュリティ対策の必要性は理解しているが、必要⼗分なセキュリティ対策が出来ていないにも関わらず、ITの利活⽤を進めている企業

業務効率とのバランスが取れているセキュリテ
ィ対策を実施しようとしている企業（主に⼩企業・零細企業でセキュリティの専⾨組織を保持することが困難な企業）【危険】情報セキュリティの必要性を理解していない企業
⾃らセキュリティ対策を⾏う上で、事業上のリソースの制約が⼤きい企業

まずは、最低限の情報セキュリティ対策を理解し、コストを掛けずに効果の⼤きいことから実施することが必要

サイバーセキュリティ侵害が起こりえず、対象外だが、業務効率化のためにITの活⽤を促すか︖︖【対象外】ITを利⽤していない企業

情報セキュリティ対策は必要【理想的に】ITの利活⽤を事業戦略上に位置づけ、サイバーセキュリティを強く意識し、積極的に競争⼒強化に活⽤しようとしている企業対策の基本的な考え⽅

情報のオープン化、外部情報の活⽤、機密情報の保護をきちんと⾏い、ITの利活⽤により新しいサービスを展開
⾃社セキュリティポリシーに従った定期的な監査と監査に基づいた対策の⾒直し【ガイドブック MISSION

最低限実施すべき対策

3-11 ビジネスを発展させるために（攻めのIT投資とサイバーセキュリティ対策） 次世代技術を活⽤したビジネ
ス展開】【もっと積極的に】IT・セキュリティをビジネスの基盤として捉えている企業対策の基本的な考え⽅

ITを積極的に活⽤してビジネスの発展を⽬指すことが必要【ガイドブック MISSION
3-11 ビジネスを発展させるために（攻めのIT投資とサイバーセキュリティ対策） 次世代技術を活⽤したビジネ最低限実施すべき対策

ス展開】【無駄な投資】過剰なセキュリティ意識により、ITの利活⽤を著しく制限し、ITの利活⽤を競争⼒強化に活⽤させていない企業対策の基本的な考え⽅

リスクを再評価して過度にならない適切なセキュリティ対策の再構築が必要【ガイドブック MISSION
3-4 サイバーセキュリティ対策は、事業継続を脅かすリスクの１つ 投資効果（費⽤対効果）を認識する】

最低限実施すべき対策【ガイドブック MISSION
3-5 ⾃社のIT活⽤・セキュリティ対策状
況を⾃⼰診断する ITの活⽤診断】【ガイドブック MISSION
3-6 ⾃社のIT活⽤・セキュリティ対策状況を⾃⼰診断する
ュリティ投資診断】

サイバーセキ【危険】情報セキュリティ対策の必要性は理解しているが、必要⼗分なセキュリティ対策が出来ていないにも関わらず、ITの利活⽤を進めている企
業

情報セキュリティポリシーの策定と実践、定期的な監査が必要

ページ 2 / 6

対策の基本的な考え⽅

創造⼒、発想⼒のある⼈材の育成が必要
ITスキルと知識を持った⼈材の育成が必要「企業経営のためのサイバーセキュリティの考え⽅の策定について」の理解【ガイドブック MISSION 3-8「中⼩企業の情報セキュリティ対策ガイビジネスを継続するために（守りのITドライン（第3版）」を参考に順次対策投資とサイバーセキュリティ対策）】
最低限実施すべき対策

https://www.ipa.go.jp/security/keihatsu/sme/guideline/【ガイドブック MISSION4-1 緊急時対応⽤マニュアルの作成】【危険】情報セキュリティの必要性を理解していない企業
⾃らセキュリティ対策を⾏う上で、事業上のリソースの制約が⼤きい企業対策の基本的な考え⽅

まずは、最低限の情報セキュリティ対策を理解し、コストを掛けずに効果の⼤きいことから実施することが必要【ガイドブック MISSION1
知っておきたいサイバー攻撃の知識】【ガイドブック MISSION
2 すぐやろう︕
対サイバー攻撃アクション】

最低限実施すべき対策

https://www.ipa.go.jp/files/000055516.pdf【ガイドブック MISSION
3-1 サイバーセキュリティ対策は、事業継続を脅かすリスクの１つ サイ
バーセキュリティ対策が経営に与える重⼤な影響】【対象外】ITを利⽤していない企業対策の基本的な考え⽅

サイバーセキュリティ侵害が起こりえず、対象外だが、業務効率化のためにITの活⽤しな
くて、組織が存続できるのか再確認が必要
情報セキュリティ対策は必要
インターネットを安全に利⽤するための情報セキュリティ対策９か条【NISC・IPA】

http://www.nisc.go.jp/security-site/files/leaflet_20150201.pdf
新たに広まるコンピュータウイルスに対抗するため製造元から無料で配布さOSやソフトウェアは常に最新の状態にしておこう

れる最新の改良プログラムにアップデートしましょう。
パスワードは⾃宅の鍵と同じく⼤切です。パスワードは他⼈に知られないよ
うに、メモをするなら⼈⽬に触れない場所に保管しましょう。

パスワードは貴重品のように管理しよう

⾦融機関を名乗り、銀⾏⼝座番号や暗証番号、ログインIDやパスワード、ク

ログインID・パスワード絶対教えない⽤⼼深さ

レジットカード情報の⼊⼒を促すような⾝に覚えのないメールが届いた場合、⼊⼒せず無視しましょう。
⾝に覚えのない電⼦メールにはコンピュータウイルスが潜んでいる可能性があります。添付されたファイルを開いたり、URL（リンク先）をクリックし⾝に覚えのない添付ファイルは開かない

最低限実施すべき対策
ウイルス対策ソフトを導⼊しようないようにしましょう。
ウイルスに感染しないように、コンピュータにウイルス対策ソフトを導⼊しましょう。（家電量販店などで購⼊できます）

ページ 3 / 6品物や映画や⾳楽も購⼊できるネットショッピング。詐欺などの被害に遭わないように信頼できるお店を選びましょう。⾝近な⼈からお勧めのお店を教
ネットショッピングでは信頼できるお店を選ぼう

わるのも安⼼です。

家族や友⼈との思い出の写真など、⼤切な情報がパソコンの故障によって失われることのないよう、別のハードディスクなどに複製して保管しておきま
⼤切な情報は失う前に複製しよう

しょう。
⼤切な情報を保存したパソコン、スマートフォンなどを⾃宅から持ち出すときは機器やファイルにパスワードを設定し、なくしたり盗まれないように注意て持外出先では紛失・盗難に注意しよう

ち歩きましょう。
詐欺や架空請求の電⼦メールが届く、ウイルスにより開いているウェブページが閉じないなどの被害に遭遇したら、⼀⼈で悩まず各種相談窓⼝に相談し困ったときはひとりで悩まず まず相談ましょう。

【付録】

⼀般論

⾃⼰診断

オンライン

5分でできる︕⾃社診断＆ポイント学習」
5分でできる︕情報セキュリティ⾃社診

パンフレット

断シート・パンフレット

http://www.nisc.go.jp/security-sit
e/files/leaflet_20150201.pdf
http://www.nisc.go.jp/security-sit
e/files/leaflet_20150201.pdf

体系的な対策の検討を待たずとも、今すぐに最低限の事項を実施する
緊急的な対策を実施するに当たっては、診断結果に基づいて提⽰された資料を参考にする
経営者は、「企業経営のためのサイバーセキュリテ
ィの考え⽅の策定について」の考え⽅を認識する

経営者がIT活⽤の必要性と、ITを活⽤するためにはセキュリティ対策が必要であることの認識

経営者は、「サイバーセキュリティ経営ガイドライン」に記載された事項を認識する

I．サイバーセキュリティは経営問題

セキュリティ対策の実施を「コスト」と捉えるのではなく、将来の事業活動・成⻑に必須なものと位置づけて「投資」と捉えることが重要
セキュリティ投資は必要不可⽋かつ経営者としての責務である。
(1)経営者は、サイバーセキュリティリスクを認識し、リーダーシップによって対策を進めることが必要

II．経営者が認識すべき３原則(2)⾃社は勿論のこと、ビジネスパートナーや委託先も含めたサプライチェーンに対するセキュリティ対策が必要(3)平時及び緊急時のいずれにおいても、サイバーセキュリティリスクや対策に係る情報開⽰など、関係者との適切なコミュニケーションが必要
指⽰１︓サイバーセキュリティリスクの認識、組織全体での対応⽅針の策定
指⽰２︓サイバーセキュリティリスク管理体制の構築
指⽰３︓サイバーセキュリティ対策のための資源（予算、⼈材等）確保
指⽰４︓サイバーセキュリティリスクの把握とリスク対応に関する計画の策定

III．サイバーセキュリティ経営の重要１０項⽬

指⽰５︓サイバーセキュリティリスクに対応するための仕組みの構築
指⽰６︓サイバーセキュリティ対策におけるPDCAサイクルの実施
指⽰７︓インシデント発⽣時の緊急対応体制の整備

ページ 4 / 6

指⽰７︓インシデント発⽣時の緊急対応体制の整備
指⽰８︓インシデントによる被害に備えた復旧体制の整備
指⽰９︓ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握
指⽰１０︓情報共有活動への参加を通じた攻撃情報の⼊⼿とその有効活⽤及び提供

https://www.ipa.go.jp/files/000055516.pdf

情報セキュリティ5か条（全2ページ）

5分でできる︕情報セキュリティ⾃社診断パ

https://www.ipa.go.jp/files/000055848.pdf

ンフレット（全8ページ）
5分でできる︕情報セキュリティ⾃社診

https://www.ipa.go.jp/files/000055848.pdf

断（全8ページ）

システム管理者は、「中⼩企業の情報セキュリティ対策ガイドライン」に記載された事項を具体的に実施する情報セキュリティハンドブック（ひなhttps://www.ipa.go.jp/files/000055529.pptx

形）（全11ページ）

情報セキュリティ基本⽅針（サンプル

https://www.ipa.go.jp/files/000072146.docx）（全1ページ、35KB）
情報セキュリティ関連規程（サンプル

https://www.ipa.go.jp/files/000055794.docx）（全51ページ）
クラウドサービス安全利⽤の⼿引き（全8ページ）
リスク分析シート（全7シート）

https://www.ipa.go.jp/files/000072150.pdf

https://www.ipa.go.jp/files/000055518.xlsx

⼀般従業員は、「中⼩企業の情報セキュリティ対策ガイドライン」内の「情報セキュリティハンドブックひな形」に記載された事項を順守する
参考資料

ガイドブック「中⼩企業向けサイバーセキュリティ対策の極意」

https://cybersecurity-tokyo.jp/security/guidebook/
企業経営のためのサイバーセキュリティの考え⽅の策定について【2016年8⽉2⽇NISC】

http://www.nisc.go.jp/conference/cs/dai09/pdf/09shiryou07.pdf
サイバーセキュリティ戦略本部

http://www.nisc.go.jp/conference/cs/index.html
経営層に期待される“認識”や経営戦略を企画する⼈材層に向けた実装のためのツールを⽰す
基本⽅針

ーサイバーセキュリティは、より積極的な経営への「投資」へー
サイバーセキュリティをやむを得ない「費⽤」でなく、積極的な経営への「投資」と位置づけ、企業としての「挑戦」と、それに付随する「責任」として取り組むことが期待される
I.基本的考え⽅

⼆つの基本的認識＜①挑戦＞

新しい製品やサービスを創造するための戦略の⼀環として考えていく＜②責任＞

サイバーセキュリティに取り組むことは社会的な要求・要請であり、⾃社のみならず社会全体の発展にも寄与する

三つの留意事項

ページ 5 / 6

•「セキュリティ品質」を⾼め、品質向上に有効な経営基盤の⼀つとし＜①情報発信による社会的評価の向上＞てセキュリティ対策を位置付けることで企業価値を⾼めることが必要。
•そのような取組に係る姿勢や⽅針を情報発信することが重要。
•提供する機能やサービスを全うする（機能保証）という観点から、リスクの⼀項⽬としてのサイバーセキュリティの視点も踏まえ、リスクを分析し、総合的に判断。

＜②リスクの⼀項⽬としてのサイバーセキュリティ＞• 経営層のリーダーシップが必要。
•サプライチェーンの⼀部の対策が不⼗分な場合でも、⾃社の重要情報が流出するおそれあり。

＜③サプライチェーン全体でのサイバーセキュリティの確保＞•⼀企業のみでの対策には限界があるため、関係者間での情報共有活動への参加等が必要。

II.企業の視点別の取組ITの利活⽤やサイバーセキュリティへの取組において、各企業の事業規模のみならず、その認識の違いなどを踏まえて取り組んでいく必要がある
ITの利活⽤を事業戦略上に位置づけ、サイバーセキュリティを強く意識し、積極的に競争⼒強化に活⽤しようとしている企業（積極的にITによる⾰新と⾼いレベルのセキュリティに挑戦するあらゆる企業）•積極的なITの利活⽤を推進する中で、製品やサービスの「セキュリティ品質」を⼀層⾼め、⾃社のブランド価値の向上につなげるべく、システムの基盤におけるセキュリティの向上、情報・データの保護、製品等の安全品質向上に取り組む。
•様々な関係者との協働が重要であるため、情報提供に主体的に取り組む。
【経営者に期待される認識】•決して現存する標準や取り組みなどに満⾜することなく、実空間とサイバー空間の融合が⾼度に深化した明⽇の世界をリードし、変⾰していく存在となることが期待される。

【実装に向けたツール】•IoTセキュリティに関するガイドライン（「IoTセキュリティのための⼀般的枠組」等）•⾃社のブランド価値としてのサイバーセキュリティに係る積極的な情報発信

IT・セキュリティをビジネスの基盤として捉えている企業（IT・サイバーセキュリティの重要性は理解しているものの、積極的な事業戦略に組み込むところまでは位置づけていない企業）•経営者のリーダーシップによって、社会的責任としてのサイバーセキュリティ対策に取り組む。
•サプライチェーンやビジネスパートナー、委託先を含めた対策を⾏う。

【経営者に期待される認識】•平時・緊急時のいずれにおいても、情報開⽰などの適切なコミュニケーションを⾏う。
•サイバーセキュリティ経営ガイドライン【実装に向けたツール】•企業等がセキュリティ対策に取り組む上での保険等のリスク管理⼿法の活⽤•サイバーセキュリティを経営上の重要課題として取り組んでいることの情報発信

⾃らセキュリティ対策を⾏う上で、事業上のリソースの制約が⼤きい企業（主に中⼩企業等でセキュリティの専⾨組織を保持することが困難な企業）•サプライチェーンを通じて中⼩企業等の役割はますます重要となる中、消費者や取引先との信頼関係醸成の観点から経営者⾃らサイバーセキュリティ対策に関⼼を持ち、取り組む。

【経営者に期待される認識】【実装に向けたツール】•外部の能⼒や知⾒を活⽤しつつ、効率的に進める⽅策を検討する。
•効率的なセキュリティ対策のためのサービスの利⽤（中⼩企業向けクラウドサービス等）•サイバーセキュリティに関する相談窓⼝やセミナー、地域の相談員等の活⽤

サイバーセキュリティ経営ガイドラインVer2.0【2021年4⽉26⽇最新版 METI】
中⼩企業の情報セキュリティ対策ガイドライン（第3版）【2021年3⽉10⽇最新版 IPA】

https://www.meti.go.jp/policy/netsecurity/mng_guide.html

http://www.ipa.go.jp/files/000055520.pdf

ページ 6 / 6