中小企業におけるサイバーセキュリティ対策と普及に向けた国等の支援事業について

独立行政法人情報処理推進機構（IPA）
セキュリティセンター
企画部 中小企業支援グループ
横山 尚人

独立行政法人 情報処理推進機構（IPA）とは⬧ 経済産業省の政策実施機関として：
情報セキュリティ対策を実現• ウイルス・不正アクセス等の情報受付• 情報セキュリティ対策の普及啓発• 標的型サイバー攻撃情報の共有・初動対応

IT人材を育成• 国家試験「情報処理技術者試験」実施・国家資格「情報処理安全確保支援士」認定• イノベーション人材の育成・発掘の取組• 産業サイバーセキュリティ対策を担う中核人材育成

IT社会の動向を調査・分析し基盤構築• 先端技術情報の収集・調査分析• 各種指針の策定・ガイドラインの公開• IT利活用のための基盤構築
2021/2/8

1

IPAの役割：日本企業のDXを支援するために• 社会を守る• 対策を促す• 安全を担保する• IoT製品・システムの安全性・信頼性を確保する• データ利活用を促進• 地域のIoTビジネス創出を支援する• サイバーセキュリ
ティ人材を育てる• ITイノベーション
人材を磨き上げる• IT人材の知識・スキルを認定する• IT社会の動向を調査・分析し情報発信する• IT社会に求められる
人材・スキルの指針を提示する

2021/2/8

2

１．はじめに~情報セキュリティ10大脅威などから

２．産学官の検討体制の構築~産業サイバーセキュリティ研究会

３．サイバーセキュリティ支援施策~地域、経営、人材
4．はじめましょう、サイバーセキュリティ~「SECURITY ACTION」 と「中小企業の情報セキュリティ対策ガイドライン」
5．参考情報（IPAのツール・制度のご紹介）
2021/2/8

3

情報セキュリティ10大脅威 2021
個 人

昨年順位

順 位

組 織

昨年順位

1位 スマホ決済の不正利用

1位 ランサムウェアによる被害

5位

2位 フィッシングによる個人情報の詐取

2位 標的型攻撃による情報流出

1位

7位 ネット上の誹謗・中傷・デマ

3位

メールやSMS等を使った脅迫・詐欺のテレワーク等のニューノーマルな働き方を
狙った攻撃

NEW ―

7位 手口による金銭要求

4位 サプライチェーンの弱点を悪用した攻撃

4位

3位 クレジットカード情報の不正利用

5位 ビジネスメール詐欺による金銭被害

3位

3位 インターネットバンキングの不正利用

6位 内部不正による情報漏えい

2位

10位 個人情報の窃取

7位 予期せぬIT基盤の障害に伴う業務停止

6位

9位 偽警告によるインターネット詐欺

8位 インターネット上のサービスへの不正ログイン 16位

インターネット上のサービスからの不正アプリによるスマートフォン利用者

6位 への被害

インターネット上のサービスへの8位 不正ログイン<出典：(独)情報処理推進機構(IPA)、202011.27.>

9位 不注意による情報漏えい等の被害

7位

10位 脆弱性情報等の公開に伴う悪用増加

14位
4

【１位】ランサムウェアによる被害～ランサムウェアに感染しないための対策と感染時の対処を知る～⚫ ランサムウェアとは– 「Ransom（身代金）」と「Software（ソフトウェア）」を組み合わせた造語。

– 感染したパソコンのデータを暗号化するなど使用不可能にし、その解除と引き換えに金銭を要求する。

⚫ 攻撃の手口
メールを利用した手口
・不正な添付ファイルを開かせる

ウェブサイトを利用した手口
・ランサムウェアをダウンロードさせるように ウェブサイトを改ざん

脆弱性を悪用した手口
・OSの脆弱性を悪用しウイルスを実行（感染させる）

不正アクセスによる手口
・サーバーに不正アクセスした攻撃者がウイルスを実行（感染させる）
2021/2/8

5

ランサムウェアの手口の変化（二重の脅迫）

2020年12月18日経済産業省公開資料⚫ 新たな（標的型）ランサムウェア攻撃（二重の脅迫）とは– ターゲットとなる企業・組織内のネットワークへ侵入し、パソコン等の端末やサーバ上のデータを窃取した後に一斉に暗号化してシステムを使用不可能にし、脅迫をするサイバー攻撃。
– システムの復旧に対する金銭要求に加えて、窃取したデータを公開しない見返りの金銭要求も行うので、二重の脅迫と恐れられる。窃取された情報に顧客の情報や機微情報を含む可能性がある場合には、被害組織はより困難な判断を迫られることになる。

不特定多数に攻撃

データを暗号化して使用不可能にデータの復旧と引き換えに身代金を要求

企業・組織を標的に攻撃

データの窃取、暗号化
データ・システムの復旧と引き換えに身代金を要求＋窃取したデータを公開しないことと引き換えに身代金を要求

6

【2位】標的型攻撃による機密情報の窃取～引き続き行われる標的型攻撃、様々な仕掛けで発見を遅らせる～◼ メール等によりPCをウイルスに感染させ組織内部へ潜入◼ 長期にわたって侵害範囲を徐々に広げる◼ 組織の機密情報を窃取⚫ 攻撃手口

10大脅威2020より

メールやウェブサイトからウイルスに感染させる
メールを利用した手口（標的型攻撃メール）• 不正な添付ファイルを開かせる• 不正なウェブサイトへのリンクをクリックさせる

ウェブサイトを利用した手口• 標的組織がよく利用するウェブサイトを調査し、このサイトを閲覧するとウイルスに感染するように改ざん（水飲み場型攻撃）

不正アクセスによる手口• 組織が利用するクラウドサービスへ不正にログイン• 社内システムへ正規の経路を悪用し不正にアクセス• 社内システムへウイルスを感染させる
2021/2/8

7

【3位】テレワーク等のニューノーマルな働き方を狙った攻撃⚫ 急速に進むテレワーク
新型コロナウイルス感染症(COVID-19)の影響により、ICTを用いて自宅でも業務が行えるような環境を整えて、従業員等を出社させずに事業継続を図る動きが急速に進んでいる

2021/2/8【出典】東京商工会議所 「テレワークの実施状況に関する緊急アンケート」調査結果（2020年6月17日）

8

【3位】テレワーク等のニューノーマルな働き方を狙った攻撃⚫ テレワークとはICT（情報通信技術）を活用した、場所や時間にとらわれない柔軟な働き方のこと• 「tele = 離れた所」と「work = 働く」をあわせた造語

テレワークの形態
形態

特徴

在宅勤務

自宅を就業場所とする働き方

モバイルワーク

移動中（交通機関の車内など）や顧客先、カフェなどを就業場所とする働き方

サテライトオフィス勤務

所属するオフィス以外の他のオフィスや遠隔勤務用の施設を就業場所とする働き方⚫ テレワーク環境を構築するシステムの方式
会社PCの持ち帰り：会社で使用しているPCを社外に持ち出して業務を実施
クラウド型アプリ方式：オフィス内外からクラウド型アプリにアクセス
リモートデスクトップ方式：遠隔でデスクトップを操作
仮想デスクトップ方式：個人に割り当てた仮想デスクトップを操作

2021/2/89

【3位】テレワーク等のニューノーマルな働き方を狙った攻撃⚫ テレワークの導入後の課題
テレワーク導入後の継続課題は、「セキュリティ強化」（47％）、「IT環境の整備」（42％）
、「運用規程・ 労務管理規程の整備」（40％）など

2021/2/8【出典】大阪商工会議所「中小企業のテレワークについての緊急アンケート調査」
結果について（2020年6月19日）

10

ネットワーク貫通型：VPN機器の脆弱性を悪用したネットワークへの侵入

2020年12月18日経済産業省公開資料より⚫ VPN（バーチャル プライベート ネットワーク）機器の脆弱性が相次いで報告され、そうした脆弱性を悪用する
コードが公開されるなど深刻な状況が発生。攻撃者はこうした脆弱性を通じて直接的に社内ネットワークへ侵入し、攻撃を展開。
⚫ 2020年8月、Pulse Secure製VPN機器の脆弱性が悪用され、国内外900以上の事業者からVPNの認証情報が流出。2020年11月、Fortinet製品のVPN機能の脆弱性の影響を受ける約5万台の機器に関する情報が公開。 認証情報等が悪用されることで容易に侵入されるおそれ。
⚫ どちらのケースも既に悪用されている可能性があるため、機器のアップデートや多要素認証の導入といった事前対策に加え、事後的措置として侵害有無の確認や、パスワード変更等の対応が必要。
VPN機器に対する不正アクセス

攻撃者① VPN機器の脆弱性を悪用し認証情報を窃取

Pulse Secure製VPN機器の脆弱性
2019年4月
2019年8月
2019年9月

脆弱性情報公開
脆弱性の悪用を狙ったとみられるスキャンを確認
脆弱性を悪用したとみられる攻撃を確認

2020年8月

国内外900社（国内は38社）の認証情報が公開②窃取した認証情報を悪用し、社内システムに不正アクセス
VPN
脆弱性のある
テレワーク環境等
VPN機器

2019年5月
脆弱性情報公開
2019年8月頃 脆弱性の詳細情報公開、悪用やスキャン開始
社内NW

https://www.jpcert.or.jp/newsflash/2020112701.html
https://www.jpcert.or.jp/at/2019/at190033.html

2021/2/8

Fortinet製FortiOSの脆弱性

2020年11月

脆弱性の影響を受ける約5万台の機器情報が公開
IPアドレス、ユーザーアカウント名、平文パスワード等

11【4位】サプライチェーンの弱点を悪用した攻撃～業務委託先にも適切なセキュリティ管理を要求～⚫ 原材料や部品の調達、製造、在庫管理、物流、販売、業務委託先などの一連の商流（サプライチェーン）において、セキュリティ対策が甘い組織が攻撃の足がかりとして狙われる⚫ 一部業務を委託している外部委託先組織から情報が漏えい⚫ 要因：サプライチェーンのセキュリティ対策不足
サプライチェーンを適切に選定、管理していない
再委託先や再々委託先の管理は困難
委託先組織の先に再委託先組織や再々委託先組織がある
場合、その管理は委託先組織が行うため、委託元からのセキュリティ対策管理はさらに難しくなる

2021/2/8

12中小企業に対するサイバー攻撃の調査・分析結果（大阪商工会議所）⚫ 地域の中小企業も、例外なくサイバー攻撃の脅威にさらされている。

中小企業被害実態に関する調査■調査内容
実証期間：平成30年9月～平成31年1月
実証内容：中小企業30社を対象に、ネットワーク
上の通信データ等を一定期間収集。

取引先経由の被害に関する調査■調査内容
調査期間：平成31年2月～3月
調査内容：全国の従業員100人以上の企業を対象に、郵送、FAX、メール、Web、対面による依頼・回答■調査結果（中間報告）⚫ 大企業・中堅企業118社に調査したところ、取引先がサイバー攻撃被害を受け、影響が自社に及んだ経験がある企業が30社あった（25％）

２５％■ 調査結果（中間報告）⚫ 調査した30社全てでサイバー攻撃を受けていたことを示す不審な通信が記録されていた。
⚫ 少なくとも5社ではコンピューターウイルスに感染するなどして、情報が外部に流出したおそれがあることが分かった。

７５％「取引先がサイバー攻撃被害を受け、それが自社に及んだ経験」がある企業「中小企業自身が自衛すべきだ」という答えは６割

出典：大阪商工会議所「サプライチェーンにおける取引先のサイバーセ
キュリティ対策等に関する調査」（2019年5月）＜出典：大阪商工会議所「平成30年度中小企業に対するサイバー攻撃実情調査（報告）」共同研究実施者：神戸大学、東京海上日動火災保険（株）(2019年7月）＞

13令和元年度の取組：サイバーセキュリティお助け隊 実証事業の結果⚫ 1,064社が参加した実証期間中に、全国８地域で計910件のアラートが発生。重大なインシデントの可能性ありと判断し、対処を行った件数は128件。対処を怠った場合の被害想定額が5,000万円近くなる事案も。
＜駆け付け支援件数＞
対応種別

インシデント対応

総数

内容

128件

発生件数

電話及びリモートによるインシデント対応※

110件

訪問によるインシデント対応

18件※電話及びリモートによるインシデント対応には、訪問によるインシデント対応の一次対応を含む。

＜駆け付け支援の対象となった特徴的な対応事例＞
古いOSの使用・Windows XPとしか接続できないプリンタを使用する
ために、マルウェア対策ソフ
ト未導入のWindows
XP端末を使用し感染。
・検知・駆除できていなかった場合の想定被害額は5,500万円。

2021/2/8

私物端末の利用・社員の私物iPhoneが会社のWi-Fiに無断で接続される。

ホテルWi-Fiの利用

サプライチェーン攻撃

・社員が出張先ホテルのWi-Fi環境でなりすまし
メールを受信し、添付されたマルウェアを実行したことでEmotetに感染。

・取引先のメールサーバーがハックされてメールアドレ
スが漏えいし、それらのアドレスからマルウェア添付メー
ルが送付されていた。

・私物iPhoneにインストー
ルされたアプリが、攻撃者のサーバーと通信していた。 ・感染により連絡先情報が抜き取られた後、当該企・検知・駆除できていな業になりすまして、取引かった場合の想定被害先等のアドレス宛に悪性
額は4,925万円。
メールが送信された。

・メールは賞与支払い、請求書支払い等を装うなりすましメールであり、サプラ
イチェーンを通じた標的型攻撃であった。

14＜https://www.meti.go.jp/press/2020/06/20200612004/20200612004.html＞

「最近のサイバー攻撃の状況を踏まえた経営者への注意喚起」

2020年12月18日
経済産業省公開資料⚫サイバー攻撃は規模や烈度の増大とともに多様化する傾向にあり、実務者がこれまでの取組を継続するだけでは対応困難になっている。
⚫アップデート等の基本的な対策の徹底とともに、改めて経営者のリーダーシップが必要に。
① 攻撃は格段に高度化し、被害の形態も様々な関係者を巻き込む複雑なものになり、技術的な対策
だけではなく関係者との調整や事業継続等の判断が必要に。改めて経営者がリーダーシップを。
② ランサムウェア攻撃による被害への対応は企業の信頼に直結。経営者でなければ判断できない問題。
●「二重の脅迫※」によって、顧客等の情報を露出させることになるリスクに直面。日常的業務の見直しを含む事前対策か
ら情報露出に対応する事後対応まで、経営者でなければ対応の判断が困難。
●金銭支払いは犯罪組織への資金提供とみなされ、制裁を受ける可能性のあるコンプライアンスの問題。

③ 海外拠点とのシステム統合を進める際、サイバーセキュリティを踏まえたグローバルガバナンスの確立を。
●国・地域によってインターネット環境やIT産業の状況、データ管理に係るルール等が異なっており、海外拠点とのシステム
統合を通じてセキュリティ上の脆弱性を持ち込んでしまう可能性も。
●拠点のある国・地域の環境をしっかりと評価し、リスクに対応したセグメンテーション等を施したシステム・アーキテクチャの導入や拠点間の情報共有ルールの整備等、グローバルガバナンスの確立が必要。

④ 基本行動指針（高密度な情報共有、機微技術情報の流出懸念時の報告、適切な場合の公表）の徹底を。
※攻撃者が、被攻撃企業が保有するデータ等を暗号化して事業妨害をするだけではなく、暗号化する前にあらかじめデータを窃取しておいて支払いに応じない
場合には当該データを公開することで、被攻撃企業を金銭の支払いに応じざるをえない状況に追い込む攻撃形態。
経済産業省「最近のサイバー攻撃の状況を踏まえた経営者への注意喚起（2020年12月18日）」https://www.meti.go.jp/press/2020/12/20201218008/20201218008.html
2021/2/8

15

取引先等のサイバー攻撃による自社への影響⚫ 委託先がサイバー攻撃をうけることにより、懸念される自社への影響は？
１

２

委託先に預けた機密情報が漏えいする。

委託先システム、生産設備停止に伴い、納期が遅れる。

３

４

委託先から納入されたプログ
ラムに、不正コードが混入している。

機器等のメンテナンスのために委託先が持ち込んだPC等からマルウェア感染する。

2021/2/8

16

中小企業における対策の状況~具体的な取組み状況⚫ 「重要情報のバックアップを定期的に行う」が 84.6％と最も高く、次いで「不審な電子メールを受
信時のルール、対策製品活用」が74.5%⚫ 一方、「情報セキュリティに関する規定、手順書策定」は30.9%止まり

2021/2/8
17 出典：IPA「2018年度SECURITY ACTION宣言事業者における情報セキュリティ対策の実態調査」 https://www.ipa.go.jp/files/000072383.pdf

17

中小企業における対策の状況
情報セキュリティ対策を進める上での課題点⚫ 「従業員の意識がまだ低い」が最も高く56.6%⚫ 「情報セキュリティ対策の知識をもった従業員がいない」が42.7% 、「業務を行うための人手が足りない状態である」が41.8%
0%50%

従業員の意識がまだ低い

56.6%

情報セキュリティ対策の知識をもった従業員がいない

42.7%

業務を行うための人手が足りない状態である

41.8%

経営層の意識がまだ低い

32.4%

セキュリティ対策を行うための予算の確保が難しい

30.8%

情報セキュリティ対策を相談する専門家が回りにいない
これまで情報セキュリティに関する事故も起きておらず、必要性を感じない

9.7%
6.9%

情報セキュリティ対策製品を扱う
サービスベンダや販売店が回りにない

4.6%

その他

2021/2/818

25.6%

情報セキュリティサービスに関する
外部の適切な委託先がみつからない

あてはまるものはない

100%

7.7%
1.1%

出典：IPA「2018年度SECURITY ACTION宣言事業者における情報セキュリティ対策の実態調査」 https://www.ipa.go.jp/files/000072383.pdf

18

１．はじめに~情報セキュリティ10大脅威などから
２．産学官の検討体制の構築~産業サイバーセキュリティ研究会

３．サイバーセキュリティ支援施策~地域、経営、人材
4．はじめましょう、サイバーセキュリティ~「SECURITY ACTION」 と「中小企業の情報セキュリティ対策ガイドライン」
5．参考情報（IPAのツール・制度のご紹介）
2021/2/8

19

産業サイバーセキュリティ研究会とWGの設置による検討体制
産業サイバーセキュリティ研究会
第１回：平成29年12月27日 開催
第２回：平成30年 5月30日 開催
アクションプラン（４つの柱）を提示

ＷＧ１（制度・技術・標準化）

第３回：平成31年 4月19日 開催
アクションプランを加速化する３つの指針を提示

第４回：令和2年

１．サプライチェーン強化パッケージ

4月17日 開催（電話開催）

産業界へのメッセージを発信

第５回：令和2年

第１回 平成30年2月7日
第２回 平成30年3月29日
第３回 平成30年8月3日
第４回 平成30年12月25日
第５回 平成31年4月4日
第６回 令和２年3月（書面開催）

6月30日 開催

サイバーセキュリティ強化運動の展開

ＷＧ２（経営・人材・国際）※2020年4月開催時点

構成員

泉澤 清次 三菱重工業株式会社取締役社長
遠藤 信博 日本経済団体連合会サイバーセキュリティ委員長、
日本電気株式会社取締役会長等

２．経営強化パッケージ
３．人材育成・活躍促進パッケージ

大林 剛郎 日本情報ｼｽﾃﾑ･ﾕｰｻﾞｰ協会会長、
株式会社大林組代表取締役会長
櫻田 謙悟 経済同友会代表幹事、ＳＯＭＰＯホールディングス
グループＣＥＯ取締役 代表執行役社長
篠原 弘道 日本電信電話株式会社取締役会長
中西 宏明 株式会社日立製作所取締役会長

第１回 平成30年3月16日
第２回 平成30年5月22日
第３回 平成30年11月9日
第４回 平成31年3月29日
第５回 令和 2年1月15日
第６回 令和 2年8月25日

ＷＧ３(サイバーセキュリティビジネス化)

第１回 平成30年4月4日
第２回 平成30年8月9日
第３回 平成31年1月28日
第４回 令和元年8月2日
第５回 令和2年3月(書面開催)

４．ビジネスエコシステム創造パッケージ船橋 洋一 アジア・パシフィック・イニシアティブ理事長
村井 純(座長)慶應義塾大学教授
渡辺 佳英 日本商工会議所特別顧問、大崎電気工業株式会社
取締役会長
オブザーバー
NISC、警察庁、金融庁、総務省、外務省、文部科学省、厚生労働省、農林水産省、国土交通省、防衛省

産業サイバーセキュリティの加速化指針
１．『グローバル』をリードする
２．『信頼の価値』を創出する~Proven in Japan~
３．『中小企業・地域』まで展開する

20

産業サイバーセキュリティ研究会関連会議の活動状況
時期

2017年度

2018年度

2019年度

2020年度

12 1 2 3 4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 9 10月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月 月（NISC）サイバーセキュリティ戦略本部

政府の動き

政府機関等の情報セキュリティ対策のための統一基準群（平成30年度版）改訂（NISC）重要インフラ専門調査会

サイバーセキュリティ2018

産業サイバー 第1回
セキュリティ 12/27
研究会

サイバーセキュリティ戦略(閣議決定)

第2回
5/30

第1回
2/7

第5回
4/4

第5回
6/30
サイバーセキュリティ
強化運動

IoTセキュリティ・セーフティ・フレームワーク（案）パブリックコメント（3/31～6/24）

CPSF策定（4/18）

第4回
12/25

第3回
8/3

第2回
3/29

産業界へのメッセージ『グローバル』をリード

1.サプライチェーン強化パッケージ

第4回
4/17

第3回
4/19

加速化指針

アクションプラン提示

サイバーセキュリティ2020

サイバーセキュリティ2019

第6回
3月

ビルガイドライン策定（6/17）

第7回
10月

分野横断SWG

WG1
ビルSWG（制度・技術・ スマートホームSWG
防衛産業SWG
標準化）
電力SWG

自動車産業SWG
第3層TF
ソフトウェアTF
第2層TF

WG2
（経営・人
材・
国際）
WG3

（サイバー
セキュリティ
ビジネス化）
コラボレーション
プラットフォー
ム
2021/2/8

2.経営強化パッケージ
3.人材育成・活躍促進パッケージ
第1回
3/16

『中小企業・地域』への展開

第２回
5/22

第3回
11/9

４.ビジネスエコシステム
創造パッケージ
第1回
4/4

令和２年度
サイバーセキュリティお助け隊

令和元年度サイバーセキュリティお助け隊
第5回
1/15

第４回
3/29

第6回
8/25

『信頼の価値』を創出
第２回
8/9

第１回 第２回
6/13 7/23

第３回 第4回 第5回
9/3 10/1611/30

第４回
8/2

第３回
1/28

第6回
1/25

第7回
3/4

第８回
4/23

第９回 第10回
6/12 7/29

第５回
3月

第11回
9/12

第12回
11/25

第13回 第14回
9/28 10/30

21

１．はじめに~情報セキュリティ10大脅威などから
２．産学官の検討体制の構築~産業サイバーセキュリティ研究会

３．サイバーセキュリティ支援施策~地域、経営、人材
4．はじめましょう、サイバーセキュリティ~「SECURITY ACTION」 と「中小企業の情報セキュリティ対策ガイドライン」
5．参考情報（IPAのツール・制度のご紹介）
2021/2/8

22

中小企業における現場対応の徹底支援~事前の備えから、インシデントが発生してしまった後の対応・復旧支援まで⚫ セキュリティ対策を始めるに当たって何をやればいいのかわからない、そういった悩みをもつ中小企業に対し、まずは意識を持つ為、セキュリティ対策自己宣言「SECURITY ACTION」の取り組み。

⚫ インシデントが発生してしまったが対処方法がわからない、この様な中小企業の事後対応を支援し、また簡易保険の実現を目指し、「サイバーセキュリティお助け隊」による支援体制等を実証
主に事前支援（防御等）
SECURITY ACTION• セキュリティ対策に取り組む
ことを事業者が自己宣言する制度

主に事後支援（検知、対応、復旧等）

中小企業の情報セキュリティ対策ガイドライン• (1)経営者が認識し実施すべ
き指針、(2)社内において対策を実践する際の手順や手法をまとめたガイドライン• 情報セキュリティ規程の作成に活用

サイバーセキュリティお助け隊•

中小企業がサイバー攻撃等で困った時の相談窓口、駆けつけ支援体制構築等を実証
お助け隊チーム
ITベンダー等
・セキュリティ機器の設置及び監視・相談窓口設置
・一次対応、リモートサポート

地域のIT事業者等
・駆けつけ支援

損保会社
・普及啓発説明会の開催
・簡易保険の在り方の検討

2021/2/8

中小企業

相談
駆けつけ等の対応支援
23

中小企業の情報セキュリティ対策ガイドライン⚫ これからセキュリティ対策に取り組む企業向けの対策や、ある程度対策の進んでいる企業向けの対策の提示など、企業のレベルに合わせてステップアップできるように構成。
経営者向けの解説

サイバーセキュリティ経営ガイドラインの内容を中小企業向けに整理し、経営者が認識すべき３原則と実施すべき重要７項目を解説

実践者向けの解説

実践者が具体的にセキュリティ対策を実施していくための方法を、企業のレベルに合わせて段階的にステップアップできるような構成で解説

ガイドライン本体

Step1
まず始める

最低限実施すべき
セキュリティ対策の5か条

2021/2/8

Step2
現状を知り改善する

Step3
本格的に取り組む

簡易的な
セキュリティ対策の25項目

セキュリティポリシーを策定し、組織的な対策の取り組み

こちらより無料ダウンロード可能です
https://www.ipa.go.jp/security/keihatsu/sme/guideline/index.html

Step4
改善を続ける

第三者認証(ISMS)の取得を目指した取り組み24セキュリティ対策自己宣言「SECURITY ACTION」⚫ 中小企業自らが、セキュリティ対策に取り組むことを自己宣言する制度（IPA）。
⚫ IT導入補助金の申請において、「SECURITY ACTION」の宣言を必須要件化。
⚫ 11万社を超える中小企業が宣言（2021年1月末時点）。
情報セキュリティ5か条に取り組む企業① OS・ソフトウェアの最新化（パッチ適用、バージョンアップ）② ウイルス対策ソフトの導入③ 強固なパスワード設定④ データ等は必要最低限の人のみに共有⑤ 攻撃の手口の把握

情報セキュリティ自社診断により自社の状況を把握し、セキュリティポリシーを策定する企業
25の診断項目により自社の対策状況を把握
セキュリティポリシー
策定のためのひな形も提供

2021/2/825

サイバーセキュリティお助け隊実証事業(2020年度)⚫ 地域の団体、セキュリティ企業、保険会社がコンソーシアムを組み、中小企業向けのセキュリティ対策支援の仕組みの構築を目的とした実証事業を実施（全国で15件実施）。
⚫ 本事業により、中小企業の事前対策の促進や意識喚起、攻撃実態や対策ニーズの把握を行い、民間による中小企業向けのセキュリティ簡易保険サービスの実現を目指す。

＜実証のイメージ＞＜2020年度の実証地域＞②宮城、山形、秋田、青森⑦岐阜を中心中部エリア⑧愛知、岐阜、三重⑫熊本⑬沖縄

サイバーセキュリティお助け隊

①北海道

⑩香川
⑪福岡、佐賀、長崎、
熊本、大分、宮崎

実証地域の
中小企業

①相談
＜電話orメール＞②対応、
リモートサポート③岩手④岩手、宮城、福島⑤千葉、埼玉

機器設置
④対応、
復旧支援
＜駆けつけ＞⑨滋賀、奈良、
和歌山⑭防衛・航空宇宙産業※2019年度実証地域（全8地域、1064社の中小企業が参加）：

⑮自動車
産業

等）

• 事前対策
③対応依頼• 意識喚起• 実態把握 等

UTM⑥千葉

相談窓口機能（セキュリティベンダー、IT専門コールセンター＜駆けつけが必要な場合＞

対応機能（地域のIT事業者等）
中小企業向け簡易保険・サービスの開発（損害保険会社）

実証結果
中小企業 側

保険会社、セキュリティベンダー 側⚫ 自社の攻撃実態等への気付き⚫ セキュリティ事前対策の促進⚫ 事後対応への意識向上
等⚫ 中小企業のセキュリティ対策状況の把握⚫ 中小企業の被害実態の把握⚫ 中小企業が求めるサービスの把握等

2021/2/8①宮城、岩手、福島②新潟③長野、群馬、栃木、茨城、埼玉④神奈川⑤石川、富山、福井⑥愛知⑦大阪、京都、兵庫⑧広島、山口

26

（参考）サイバーセキュリティお助け隊チームリスト（2020年度）
対象

実施体制

対象

実施体制

（地域／産業分野）●：実施主体）（地域／産業分野）●：実施主体

① 北海道●東日本電信電話株式会社⑩ 香川県

・東京海上日動火災保険株式会社② 宮城県、山形県、秋田県、青森県●東北インフォメーション・システムズ株式会社③ 岩手県●富士ソフト株式会社

・ハイテックシステム株式会社
・秋田システムマネージメント株式会社
・あいおいニッセイ同和損害保険株式会社
・東京海上日動火災保険株式会社④ 岩手県、宮城県、福島県●株式会社デジタルハーツ⑤ 千葉県、埼玉県●富士ゼロックス株式会社

・損害保険ジャパン株式会社

・株式会社STNet
・西日本電信電話株式会社・キャノンマーケティングジャパン株式会社
・損害保険ジャパン株式会社
・東京海上日動火災保険株式会社⑪ 福岡県を中心とした
九州６県●株式会社BCC⑫ 熊本県●西日本電信電話株式会社 熊本支店

●SOMPOリスクマネジメント株式会社
・ちばぎんコンピューターサービス株式会社
・株式会社千葉銀行 ・株式会社ラック
・損害保険ジャパン株式会社⑦ 岐阜県を中心とする
中部エリア⑧ 愛知県、岐阜県、三重県⑨ 滋賀県、奈良県、
和歌山県
2021/2/8⑬ 沖縄県⑭ 防衛・航空宇宙
産業●株式会社PFU⑮ 自動車産業●東京海上日動リスクコンサルティング株式会社●名古屋商工会議所
・株式会社日立システムズ
・西日本電信電話株式会社
・東京海上日動火災保険株式会社
・損害保険ジャパン株式会社●大阪商工会議所
・日本電気株式会社・東京海上日動火災保険株式会社・キューアンドエー株式会社●沖電グローバルシステムズ株式会社
・株式会社セキュアイノベーション・ファーストライディングテクノロジー株式会社
・那覇商工会議所
・沖縄電力株式会社
・損害保険ジャパン株式会社●MS&ADインターリスク総研株式会社
・中部電力株式会社 ・中部電力ミライズ株式会社
・株式会社中電シーティーアイ
・三井住友海上火災保険株式会社
・あいおいニッセイ同和損害保険株式会社

・日本電気株式会社・東京海上日動火災保険株式会社
・NECフィールディング株式会社
・株式会社くまなんピーシーネット
・東京海上日動火災保険株式会社
・一般社団法人熊本県サイバーセキュリティ推進協議会

・東京海上日動火災保険株式会社⑥ 千葉県●高松商工会議所

・株式会社エヴァアビエーション
・富士通株式会社
・ウェブルート株式会社
・損害保険ジャパン株式会社

・東京海上日動火災保険株式会社
・エヌ・ティ・ティ・コミュニケーションズ株式会社
・NTTコム ソリューションズ株式会社
・NTTセキュリティ・ジャパン株式会社
・ジェイズ・コミュニケーション株式会社

27

実証事業から民間サービスへの移行状況と普及促進のための支援策⚫ 2019年度実証事業後に、民間サービスが開発されたり、実証終了後も継続的なサービス展開が図られたりと、お助け隊サービスの民間への移行が進みつつある。
⚫ お助け隊サービスをブランド化し、審査体制を構築すること等により、民間でのサービス展開を支援していく。
実証事業から民間サービスへの移行状況•

実証事業後の2020年4月、「サイバーセキュリティお助け隊
サービス」を商用化。
（大阪商工会議所）•

実証事業での経験やノウハウを元に、2019年12月に新サービスを提供開始。
（SOMPOリスクマネジメント）

実証を通じて中小企業にとって必要な機能・サービスを精査することで、安価なサービスを実現。
商工会議所会員月6,600円（年79,200円）
非会員月8,250円（年99,000円）

参加中小企業148社の内、約4割の61社が有償サービスへ移行。※2020年2月17日時点（NTT東日本）(参考)同社の提供する「おまかせサイバーみまもり」＜サービスのイメージ＞
ソフトウェア•パソコンのログ・緊急アラートメール
・マルウェア駆除

SOMPOリスク社の監視センター

実証事業の取組（説明会や標的型メール
攻撃の訓練、機器設置による脅威の可視化等）により、約4割の中小企業が民間サービスへの移行を希望。

お助け隊サービスのブランド化・審査体制構築へ
お助け隊サービス基準を策定し、一定の基準を満たすサービスに「サイバーセキュリティお助け隊」の商標を付与するスキームを構築することで、民間でのサービス展開を支援。
2021/2/828

サイバーセキュリティ強化運動の全体像（コンソーシアムのイメージ）⚫ 趣旨：大企業と中小企業がともにサイバーセキュリティ対策を推進するためのコンソーシアムを立ち上げ、「基本行動指針※」の実践と中小企業・地域を含めたサプライチェーンのサイバーセキュリティ対策を産業界全体の活動として展開していく。
※サイバー攻撃事案発生時における、「共有、報告、公表」によるリスクマネジメントの徹底。

⚫ 参加者: 経済団体（経団連、日本商工会議所、経済同友会）、業種別業界団体 等⚫ 設立日: 2020年11月1日（設立総会：2020年11月19日）⚫ 活動: 特定の課題についてWGを設置し、具体的アクションを展開。

Supply-Chain Cybersecurity Consortium (SC3)
総会
基本行動指針年１回程度開催（WG報告、重要事項の決定等）（共有・報告・公表）
運営委員会
へのコミットメント

中小企業対策強化ＷＧ

サイバーセキュリティお助け隊の利用拡大等
による中小企業の取組促進策の検討
2021/2/8

地域SECUNITY
形成促進ＷＧ（Ｐ）

事務局：ＩＰＡ

産学官連携
人材育成ＷＧ（Ｐ）

・・・・・• 地域のセキュリティ・コミュニティ形成• 産学官で連携したセキュリティ人材の育成 など
メンバーの意向を踏まえて特定課題を扱うWGを設置

29

地域に根付いたセキュリティ・コミュニティ（地域SECUNITY）の形成促進⚫ 地域の民間企業、行政機関、教育機関、関係団体等が、セキュリティについて語り合い、「共助」の関係を築くコミュニティ活動を、「地域SECUNITY」と命名。

⚫ まずは各地域で地域SECUNITYの形成を促進し、将来的には、地域のニーズとシーズのマッチング
による課題解決・付加価値創出の場（コラボレーション・プラットフォーム）へと発展することを目指す。

＜地域SECUNITYのコンセプト＞
地域にセキュリティについて相談できる相手がいない

地域にセキュリティを学ぶ
機会が少ない？

• 地域の関係者間でのセキュリティに関する「共助」の関係を形成• イベント等の継続開催による地域のセキュリティ意識向上・人材育成• 国や専門家からの情報提供の場

地元企業

地域SECUNITY
がない状態

地元
ベンダー
民間団体

地域の
セキュリティ
関係者のつながり• ニーズとシーズのビジネスマッチングや共同研究による地域発のセキュリティ
ソリューションの開発• 地域一体となった課題解決• 地域を越えた連携

!!

大学・高専
地域の
ベンダーを
知らない

2021/2/8

将来目指す姿県警

地域のニーズとシーズのマッチング• 地域の課題解決• 価値創出自治体

地域SECUNITY
形成

国

コラボレーション・プラットフォーム
を全国に展開30令和２年度の取組状況⚫ 業界団体や専門家、各地方経産局等と連携し、各地域におけるセキュリティ関係者間での意見交換・情報共有等を実施。コミュニティ形成に向けた取組を全国で推進する。
＜各地域のコミュニティ形成の促進に向けた支援例＞
➢
➢
➢
➢
➢
➢

地域のキーパーソン発掘支援
地域のセキュリティに関する活動調査
地域のセキュリティに関する意識調査
セキュリティ関連のイベント・演習開催支援
講師・専門家派遣
他地域のプラクティス集の共有 等＜目指す姿＞
継続的に活動できるセキュリティ
コミュニティの形成を促進
大学・高専
地元企業
地元
ベンダー
民間団体

地域の
セキュリティ
関係者の
つながり

県警
自治体
国

先行事例：
＜福井県：サイバーセキュリティフォーラム in 福井（8/3）＞⚫ 福井県において、テレワーク時代にあった、サイバーセキュリティの取組機運向上及び域内関係者間のつながりを深めることを目的に実施。
⚫ YouTubeLiveによるオンラインセミナーで148名(※)が参加し、地域の有識者による講演や、メディアが中心となった民間主体のセキュリティコミュニティ「メディアコンソーシアム」の立ち上げ等、県内の取組ピッチを実施。
(※)YouTubeのユニーク視聴者数。

2021/2/8

31

コミュニティ形成に必要な取組⚫ 全国各地で地域に根差したセキュリティコミュニティの形成を推進するために、以下の取組を実施中。
①セキュリティコミュニティを形成するためのモデル及びプラクティスの共有• 新たにコミュニティを形成する際にアプローチ先として想定される関係機関（自治体、商工団体、県警、大学 等）をリスト化。

＜イメージ＞• 他地域でのコミュニティの取組を参考にできるよう、各コミュニティのプラク
ティスを共通のフォーマットでとりまとめ、横展開。

• 課題なども共有することで、ソリューションを有するプレイヤーとの更なる連携を促進。

②各地域に駆けつけ可能な専門家や、専門家派遣制度等の情報・問合せ先リストの作成・共有• 連携できる可能性のある専門家やイベント（例．JNSA全
国横断セミナー）、活用可能な制度（例．IPAセキュリティ
プレゼンター制度）等の情報・問合せ先リストを作成・共有。

2021/2/8＜イメージ＞

32

国立高専機構と産・官との連携促進・具体化⚫ METI、IPA、JPCERT及び業界団体が国立高専機構と連携し、高専生の専攻（セキュリティ、IT、その他（機械、電気等））に応じた教育コンテンツの提供や講師の派遣等、産学官連携の具体化を推進中。
使用できるインフラ⚫ 演習設備⚫ 同時中継(全国高専間で配信可)⚫ 仮想空間国立高専卒業生
約1万人/年の内訳

約１％

セキュリティスキルレベル

トップガンの学生→ 主にセキュリティ企業に就職（赤字＝前回WGからのアップデート）

コンテンツ開発・授業の提供(パワーポイント、ビデオ等)

パターン①：90分程度
・高専教員がコンテンツを使って講義 又は 企業等の方が講義(拠点校から全国各校に同時配信も可)
パターン②：15分程度
授業冒頭や隙間時間でビデオ放映※トップガンの学生は、全国各校、各学科に散らばっているため、通常の授業時間で集合する機会がない。

情報系学科の学生→ 主にIT企業に就職

約80％
非情報系学科の学生→ 主にユーザー企業に就職

国立高専教員2021/2/8

高度セキュリティ合宿 (1泊2日)
年2回程度開催（インシデント対応演習等）参加者：35名程度
KOSENセキュリティコンテスト (１泊2日)
年1回程度開催（CTF）参加者：130名程度※開催期間中の一部の時間を利用して、一線で活躍するホワイト
ハッカーから講義を実施可能。
• 高専機構がJNSAに講師派遣を依頼できる体制を構築。

ゲーム形式教材のｲﾒｰｼﾞ• JNSAのゲーム形式教材を石川高専と連携してアプリ化。

約20％

セキュリティ合宿に関する協力※ＪＮＳＡ：ＮＰＯ日本ネットワークセキュリティ協会• JNSAがオンライン授業環境を利用した現場第一線講師による最新事例授業の開催検討中 ※一度に数十校を対象に同時開催可能。JNSA
で実施中の岡山理科大学遠隔授業内容を最新事例中心に発展・展開。

• 高専機構が四国地域企業のIPA ICSCoE修了生に講師派遣を依頼できる体制を構築。

• METIがセキュリティ専門官を高度セキュリ
ティ合宿に講師として派遣。

開催の様子＠石川高専• JNSAとSECCONビギナーズを石川高専と苫小牧高専で開催。
• JNSAがCTFビギナーズfor高専生＠木更津高専に講師を派遣。
• IPAが高度セキュリティ合宿に講師を派遣し、App Goat（脆弱性体験学習ツール）の講習会を開催。
• METIがセキュリティ専門官を高知高専に派遣し、出前授業を実施。

• 日立製作所が一関高専生向けに出前授業、インターンシップを実施し、出前授業は全国各校に配信。
• CRICが高専機構と連携し、業界別（例．機械、電気、建築等）ビデオ教材（20分程度）を作成。
※ＣＲＩＣ：一般社団法人サイバーリスク情報センター

・JNSAが教員向けのセキュリティ基礎講座の実施を検討中。
※神奈川県での高校教員向けセキュリティ基礎講座の実績を展開。

※合宿のような機会は現状存在しない。
※セキュリティ合宿のような機会は特段なし。

AppGoat講習の様子• IPAが教員向けにAppGoat講習会を開催。
• JPCERT/CCが情報担当教員向け研修に講師を派遣。
• 教員がIPAのセキュリティキャンプ全国大会を見学。
• 高専機構が、教師向け合宿の機会に、METIにセキュリティ専門官の講師派遣を依頼できる体制を構築。

33

１．はじめに~情報セキュリティ10大脅威などから
２．産学官の検討体制の構築~産業サイバーセキュリティ研究会

３．サイバーセキュリティ支援施策~地域、経営、人材
4．はじめましょう、サイバーセキュリティ~「SECURITY ACTION」 と「中小企業の情報セキュリティ対策ガイドライン」
5．参考情報（IPAのツール・制度のご紹介）
2021/2/8

34

情報セキュリティ対策 よくある質問⚫ どこからどう始めたら良いか？
– まずは、 基本的なセキュリティ対策から実施– 組織の実態に合わせ段階的に強化⚫ どこまで実施すれば良いか？
– 組織における改善点を把握し、対策の周知・実践– リスクを受容できるレベルまで実施

SECURITY ACTION の取組みから始める
2021/2/835

35

中小企業のセキュリティ対策自己宣言 「SECURITY ACTION」⚫ 中小企業自らが、セキュリティ対策に取り組むことを自己宣言する制度（IPA）。
⚫ IT導入補助金の申請において、「SECURITY ACTION」の宣言を必須要件化。
⚫ １1万者を超える中小企業が宣言（2020年12月末時点）。
★一つ星

１段階目（一つ星）

SECURITY ACTION 制度のメリット⚫ 情報セキュリティ５か条に取り組む⚫ リモートワーク環境の整備やサイバーセキュリティ対策などを支援するIT導入の補助金申請の要件【情報セキュリテイ５か条】
 OSやソフトウェアは常に最新の状態にしよう！
 ウイルス対策ソフトを導入しよう！
 パスワードを強化しよう！
 共有設定を見直そう！
 脅威や攻撃の手口を知ろう！
★★二つ星

2段階目（二つ星）⚫ 情報セキュリティ自社診断を実施⚫ 基本方針を策定⚫
⚫
⚫
⚫

IT導入補助金
東京都サイバーセキュリティ対策促進助成金
堺市テレワーク導入支援補助金
秋田県リモートワーク環境整備支援事業費補助金⚫ 普及賛同企業によるサイバー保険の保険料割引が適用⚫ 情報セキュリティ対策への取組の見える化

3大都市圏

63,99036道県

48,389Total

112,379(2020年12月末時点)
2021/2/8

36

SECUITY ACTION 公式サイト
https://www.ipa.go.jp/security/security-action/⚫ SECURITY ACTIONの制度紹介や申込（宣言）、
セキュリティ対策推進に役立つ情報・ツールを提供

ロゴマークの使用申込（宣言）

SECURITY ACTION 公式
2021/2/8

検索37

SECURITY ACTION 申込手順

2021/2/8

38

中小企業の情報セキュリティ対策ガイドライン
入門から本格的対策までこれ一冊！
・情報を安全に管理するための具体的な手順・企業が認識すべき「3原則」
・企業がやらなければならない「重要7項目の取組」
・ウェブサイトの運用・クラウド
サービス安全利用の手引き

https://www.ipa.go.jp/security/keihatsu/sme/guideline/
2021/2/8

39

企業＝経営者は何をやらなければならないのか認識すべき「３原則」
経営者は、以下の３原則を認識し、対策を進める
原則１

情報セキュリティ対策は経営者のリーダーシップで進める・経営者は情報セキュリティ対策の重要性を認識する

・自らリーダーシップを発揮して対策の実施を主導する⇒ 要するに、社長自ら、「我が社は情報セキュリティ対策を実施します！」と社内外に表明すること。

原則２

委託先の情報セキュリティ対策まで考慮する

・必要に応じて委託先が実施している情報セキュリティ対策も確認し、不十分な場合は対処する⇒ 要するに、情報セキュリティ対策について、自社だけでなく、仕事をお願いしている
相手先もよく確認しましょう！ということ。

原則３

関係者とは常に情報セキュリティに関するコミュニケーションをとる

・情報セキュリティに関する取組方針を常日頃より関係者に伝えておく⇒ サイバー攻撃によるウイルス感染や情報漏えいなどが発生した際、説明責任を果たすことができ、信頼関係を維持することが可能⇒ 要するに、なにか事件が起きた時、慌てずしっかり「社長としての説明責任」が果たせるように、日頃から状況把握しておきましょう！ということ。
2021/2/8
40

40

企業＝経営者は何をやらなければならないのか

実行すべき「重要7項目の取組」
経営者は以下の７項目を自ら実践する、あるいは、情報セキュリティ対策の責任者・担当者に 指示し、確実に実行する取組１ 情報セキュリティに関する組織全体の対応方針を定める
取組２ 情報セキュリティ対策のための予算や人材などを確保する
取組３ 必要と考えられる対策を検討させて実行を指示する
取組４ 情報セキュリティ対策に関する適宜の見直しを指示する

取組５ 緊急時の対応や復旧のための体制を整備する
取組６ 委託や外部サービス利用の際にはセキュリティに関する責任を明確にする
取組７ 情報セキュリティに関する最新動向を収集する
2021/2/8
41

41

中小企業の情報セキュリティ対策ガイドライン

・できるところから始めて段階的にステップアップ
Step1

Step2

Step3

Step4

できるところから始める

組織的な取り組みを開始

本格的に取り組む

より強固にするための方策

情報収集と共有
ウェブサイトの情報セキュリティ
クラウドサービスの情報セキュリティ
情報セキュリティ
サービスの活用
技術的対作例と活用
詳細リスク分析の実施方法

情報セキュリティ５か条
SECURITY ACTION★一つ星を宣言

５分でできる！

情報セキュリティ自社診断

より強固にするため方策

SECURITY ACTION★★二つ星を宣言

自社の取り組み目標に応じた
SECURITY ACTION を宣言！
2021/2/842

情報セキュリティ関連規程

情報セキュリティ対策の更なる強化に活用
42

５分でできる！情報セキュリティ自社診断

自社診断のための25項目• 25項目の設問に答え、自社の情報セキュリティ対策の実施状況を把握

基本的対策

5項目

脆弱性対策、ウイルス対策、
パスワード強化など従業員としての対策 13項目
標的型攻撃メール、電子メール、持ち出し、廃棄、ウェブ利用など組織としての対策 7項目
守秘義務、インターネット利用、ルール化など

2021/2/843組織的に取り組む

Step1

Step2

Step3

Step4

できるところから始める

組織的な取り組みを開始

本格的に取り組む

より強固にするための方策

対策の決定と周知• 自社診断で問題があった項目は、「解説編」を参考に対策を決定• 付録「情報セキュリティハンドブック（ひな形）」を編集して社内周知
解説編

2021/2/84444本格的に取り組む

Step1

Step2

Step3

Step4

できるところから始める

組織的な取り組みを開始

本格的に取り組む

より強固にするための方策

管理体制構築・情報セキュリティ予算化
・情報セキュリティ対策推進の管理体制を決定• 利用、検討している情報システムを把握• 情報セキュリティ対策の予算も確保
2021/2/84545本格的に取り組む

Step1

Step2

Step3

Step4

できるところから始める

組織的な取り組みを開始

本格的に取り組む

より強固にするための方策

情報セキュリティ規程の作成①
・対応すべきリスクの特定経営者が避けたい重大事故から、対応すべきリスクを特定
外部状況：法律や規制、情報セキュリティ事故の傾向、取引先からの情報セキュリティに関する要求事項など
内部状況：経営・情報セキュリティ方針、管理体制、情報システムの利用状況など

・対策の決定リスクが大きなものを優先して対策を実施
いつ事故が起きてもおかしくない
事故が起きると大きな被害になるリスクが小さなものは許容する事故が起きる可能性が小さい
発生しても被害が軽微である
2021/2/8
46

事故が起きると大きな被害

46本格的に取り組む

Step1

Step2

Step3

Step4

できるところから始める

組織的な取り組みを開始

本格的に取り組む

より強固にするための方策

情報セキュリティ規程の作成②
・規程の作成：付録「情報セキュリティ関連規程（サンプル）」を活用
名称
1

組織的対策

2

人的対策

3

情報資産管理45678

アクセス制御及び認証
物理的対策
IT 機器利用
IT 基盤運用管理
システムの開発及び保守

9

委託管理

10 情報セキュリティインシデント
対応ならびに事業継続管理
11 個人番号及び特定個人情報の取り扱い
2021/2/847

概要
情報セキュリティ管理体制の構築や点検、情報共有などのルールを定めます。
取締役及び従業員の責務や教育、人材育成などのルールを定めます。
情報資産の管理や持ち出し方法、バックアップ、破棄などのルールを定めます。
情報資産に対するアクセス制御方針や認証のルールを定めます。
セキュリティ領域の設定や領域内での注意事項などのルールを定めます。
IT 機器やソフトウェアの利用などのルールを定めます。
サーバーやネットワーク等のIT インフラに関するルールを定めます。
独自に開発及び保守を行う情報システムに関するルールを定めます。
業務委託にあたっての選定や契約、評価のルールを定めます。業務委託
契約書の機密保持に関する条項例と委託先チェックリストのサンプルが付属します。
情報セキュリティに関する事故対応や事業継続管理などのルールを定めます。

マイナンバーの取り扱いに関するルールを定めます。
47

Step1

Step2

Step3

Step4

できるところから始める

組織的な取り組みを開始

本格的に取り組む

より強固にするための方策

より強固にするための方策
・情報収集と共有
情報セキュリティに関する情報収集の方法と情報共有の枠組み

・ウェブサイトの情報セキュリティ
ウェブサイトを安全に構築し、運用するためのポイント

・クラウドサービスの情報セキュリティ
クラウドサービスを安全に利用するためのポイント

・セキュリティサービス例と活用
情報セキュリティに関する外部サービス

・技術的対策例と活用
ITを活用する際の技術的対策

・詳細リスク分析の実施方法
付録「リスク分析シート」を活用した詳細リスク分析の実施方法
2021/2/8
48

48

１．はじめに~情報セキュリティ10大脅威などから
２．産学官の検討体制の構築~産業サイバーセキュリティ研究会

３．サイバーセキュリティ支援施策~地域、経営、人材
4．はじめましょう、サイバーセキュリティ~「SECURITY ACTION」 と「中小企業の情報セキュリティ対策ガイドライン」
5．参考情報（IPAのツール・制度のご紹介）
2021/2/8

49

情報セキュリティ対策支援サイト
https://security-shien.ipa.go.jp/

情報セキュリティ対策を「始めたい」「強化したい」「学びたい」中小企業の方々をサポートするポータルサイト
・5分でできる！自社診断＆ポイント学習・セキュリティプレゼンター支援
・SECURITY ACTION
自己宣言者サイト

情報セキュリティ対策支援サイト

検索情報セキュリティ対策支援サイト

5分でできる！自社診断＆ポイント学習
・職場での日常を取り入れた親しみやすいシナリオで、セキュリティに関する様々な事例を疑似体験しながら正しい対処法を1テーマ5分で学べる
・学習テーマは自社診断の25の質問と連動

修了証も発行できます
2021/2/8

51

情報セキュリティ対策支援サイト

セキュリティプレゼンターの検索
セキュリティプレゼンター制度
・IPAのセキュリティ対策資料を活用して、中小企業等に対して普及啓発を行う人材を「セキュリティプレゼンター」として登録する制度
・活動地域などを条件にセキュリティ
プレゼンターを検索可能

2021/2/8

52

映像で知る情報セキュリティ
https://www.ipa.go.jp/security/keihatsu/videos/⚫ 情報セキュリティに関する様々な脅威と対策を
10分程度のドラマなどで分かりやすく解説した
映像コンテンツ27タイトル。
⚫ YouTube「IPAチャンネル」では27タイトルをいつでも視聴可能。
主な映像はDVD-ROMでも提供中。

2021/2/8

IPA 映像検索情報セキュリティ安心相談窓口
・ウイルスや不正アクセスに関する相談にアドバイスを提供
・相談内容から判明したトラブルの傾向、手口、対策に関する情報を公開
anshin@ipa.go.jp

03-5978-7509
電話

メール

IPA安心相談

平日 10：00-12：00､13：30-17：00
ポータル

情報セキュリティ安心相談窓口

ウイルスに感染していると突然表示されたけど本当？

メール、電話で相談対応を行います

アダルトサイトの請求画面が消えない…
寄せられた情報をもとに被ファイルが暗号化されてしまって開けない…

2021/2/8

害拡大防止のための情

注意
喚起
安心相談窓
口だより

統計
情報

報発信を行いますFAQ

テレワークを行う際のセキュリティ上の注意事項
テレワーク勤務者に向けたセキュリティ上の注意事項を公開
https://www.ipa.go.jp/security/announce/telework.html• テレワークを行う際のセキュリティ
上の注意事項• テレワークから職場に戻る際のセキュリティ上の注意事項

2021/2/8

（参考）シン・テレワークシステム⚫ 2020年4月21日、IPA産業サイバーセキュリティセンター サイバー技術研究室は、NTT東日本と連携し、緊急事態下においてテレワークを直ちに必要とされる方々のため、多くの方々が迅速かつ簡単に利用できるシンクライアント型SSL-VPNリモートデスクトップシステムを緊急構築し無償提供。
⚫ 公開３か月で5.5万ユーザーが利用（2020/7/21時点）。現在は約12.8万ユーザーに増加。

⚫ 現在もユーザーからの様々な要望を受けて機能強化を継続中。

2021/2/8

出典：https://www.ipa.go.jp/about/press/20200421.html
https://telework.cyber.ipa.go.jp/stat/56

IT利用者に求められるIT知識を習得できる国家試験
ITパスポート試験

情報セキュリティマネジメント試験

試験の特徴

試験の特徴

・ITパスポートは、ITを利活用するすべての社会人・学生が備えておくべきITに関する基礎的な知識が証明できる国家試験です。

メリット

受験を特にお勧めする方

試験勉強を通じ、幅広い分野の基礎知識が取得可能！
・情報セキュリティや情報モラルに関する知識が身に付きます
・企業コンプライアンス・法令遵守に貢献する正しい知識が身に付きます
・経営戦略、財務など、経営全般に関する基礎知識が身に付きます
・業務に必要なITの基礎知識が身に付きます・システム開発などIT管理に関する基礎知識が身に付きます

試験時間・出題形式
試験
時間

出題形式

120分

四肢択一

出題数
解答数
100問
100問

基準点
総合評価

600点

300点

(1,000点満点)(1,000点満点)

・試験実施日CBT方式で随時実施中
CBTとは、コンピュータを利用して実施する試験方式のことです。

・インターネットにて受付・業務で個人情報を取り扱う方・業務部門・管理部門で情報管理を担当する方

試験時間・出題形式
区分

試験
時間

出題形式

午前試験

90分

多肢選択式

午後試験

90分

多肢選択式

(四肢択一)

分野別評価

試験実施概要2021/2/8

・IT利用者の情報セキュリティ対策に特化した国家試験です。
社会人として必要な情報セキュリティの知識を体系的に習得できます。
・身近な事例をベースにした実践的な出題。

出題数
解答数
50問
50問
3問
3問

基準点
60点
(100点満点)

60点(100点満点)

試験実施概要・試験実施日CBT方式で上期、下期に実施
CBTとは、コンピュータを利用して実施する試験方式のことです。

・インターネットにて受付

57

新国家資格「情報処理安全確保支援士」
通称：登録セキスペ（登録情報セキュリティスペシャリスト）情報処理安全確保支援士

試験受験

サイバーセキュリティに関する実践的な知識・技能を有する専門人材を育成・確保①人材の質の担保
・「情報セキュリティスペシャリスト試験」をベースとした
新たな試験の合格者を登録
・継続的な講習受講義務により、最新の知識・技能を維持

登録簿へ登録（申請が必要）②人材の見える化・資格保持者のみ資格名称を使用
・登録簿の整備・登録情報の公開（希望しない者を除く）③人材活用の安心感

・国家資格として厳格な秘密保持義務、信用失墜行為の禁止義務

企業における安全な情報システムの企画・設計・開発・運用を支援、
サイバーセキュリティ対策の指導・助言を実施
2021/2/8

登
録
公情
開報
の

資
格
使名
用称
の

講
習
受
講

58

ご清聴ありがとうございました

2021/2/8

59