情報セキュリティ活動の見える化に関する検討
2013年3月

情報セキュリティガバナンス協議会

目次
1. 調査方針
1.1. 背景と目的
1.2. 調査方法
1.3. 調査体制
1.4. 調査経緯
2. 情報セキュリティレベルの測定項目の提案
2.1. 参考事例の分析
2.2. 測定項目の構成
2.3. 課題
3. モニタリング手法の調査
3.1. 調査方針
3.2. 事例
3.3. 要点・類型化、課題
4. 総括

1

1. 調査方針21.1. 背景と目的
一般に情報セキュリティ活動に関する明確な尺度がないため、組織の情報セキュリティ担当部門では、以下の点で悩むケースが多いと考えられる。
・情報セキュリティ活動の状況や課題等をどのように把握するか
・情報セキュリティ活動の状況や課題等を経営陣にどのように報告するか
前者については、現在、各社が状況把握のために行っている情報収集・分析の方法を比較・整理する方向と、情報セキュリティ上の様々な脅威に対し、どのような対策をどこまでとるのが妥当か、各社の取組みやリスクの許容範囲等を比較し、妥当な水準の考え方を明らかにする方向がある。
後者については、必ずしもITや情報セキュリティの詳細に関して知見が十分でない経営陣が適切に理解し正しい評価を行えるように、情報セキュリティ活動の状況や課題等の報告において各社が行っている工夫（評価項目の設定、可視化等）を整理し、効果的な方法を明らかにする方向がある。
そこで、事例分析等を通じて、上記の方向で情報セキュリティ活動の見える化（情報セキュリティガバナンス活動における「モニタリング」）に関する問題の改善案を提示した。
■問題認識• 一般に情報セキュリティ活動に関する明確な尺度がない• 情報セキュリティ活動の状況や課題等をどのように把握するか• 情報セキュリティ活動の状況や課題等を経営陣にどのように報告するか■目的• 企業が自社の情報セキュリティの取り組み状況を客観的に評価するための尺度となる測定項目を定める• 他社（業界等）の状況と自社の状況を比較できるようにする• 役員への説明（取り組みの必要性の根拠として）に活用できるようにする

3

1.2. 調査方法
【本年度の検討】
情報セキュリティレベルの測定項目の提案
参考事例の分析

測定項目の構成検討

測定項目の評価方法検討

モニタリング手法の調査

事例の収集
要点の整理、類型化【次年度以降】アンケート調査

41.3. 検討メンバー
メンバー
EMCジャパン株式会社
株式会社 インフォセック
新日本監査法人
積水化学工業株式会社
富士通株式会社
三菱電機インフォメーションテクノロジー株式会社
株式会社三菱総合研究所
持田製薬株式会社（事務局）
株式会社三菱総合研究所
株式会社三菱総合研究所
株式会社neoAge

宮園 充 / 矢野 薫
田中 洋
佐々木 秀仁
竹内 守
西見 俊彦
高原 照明
川口 修司
簗取 興史

江連 三香
井上 信吾
松岡 照夫

5

1.4. 検討経緯
第1回WG

6/13(木) 三菱総合研究所

自己紹介、目的・アウトプット等の検討、スケジュール

第2回WG

7/27(金) インフォセック

事例紹介、文献調査、調査方針検討

第3回WG

9/12(火) 新日本監査法人

事例紹介、調査方針検討、報告書目次イメージ

第4回WG

10/23(火) 積水化学

事例紹介、測定項目・評価方法の検討

臨時WG

10/30(火) 三菱総合研究所

測定項目・評価方法の検討

臨時WG

1１/2０(火)第5回WG

１2/13(木) 三菱総合研究所

第6回WG

1/15(火) 三菱電機インフォメーションテクノロジー
測定項目・評価方法の検討、とりまとめ方針の検討

第7回WG

2/26(火) 三菱総合研究所

測定項目・評価方法の検討、最終報告準備

第8回WG

3/06(水) 三菱総合研究所

事例紹介、最終報告準備

第9回WG

3/19(火) 三菱総合研究所

最終報告準備三菱総合研究所 測定項目・評価方法の検討
測定項目・評価方法の検討

6

2. 情報セキュリティレベルの測定項目の提案
7

2.1. 参考事例の分析
 対象• 情報セキュリティ対策ベンチマーク（IPA）• ISO/IEC 27001:2005, ISO/IEC 27004:2009• SP800-55（NIST）• 情報処理実態調査（経済産業省）
 結果①現在の測定方法に足りない要素• 情報セキュリティ対策の有効性の測定・評価に関する研究は数多く行なわれてきた。ただし、今のところ、ユーザのニーズを満たす情報セキュリティ対策の評価に関する測定方法は確立されていない。
• 成熟度評価とは別に、対策の強度という観点で、自社の取組が適切なのかを測る方法も必要。
• 必要とされる対策の強度 ＝ リスクに対する対策の必要十分性• 対策の過不足の判定には、対象とすべきリスクの把握が必要。
• リスクの捉え方は、業界属性（どの情報資産が重要で、何をリスクと考えるか）によっても異なる。
参考事例の中には、それに応えた取組みは見られなかった。
②測定方法のイメージ• 測定は、ツールによる自動計測やログの解析の他、回答者の自己評価によって実施されている。
対策の成熟度やルール・制度の状況、技術的対策の状況等• したがって、測定方法を検討する上で、自己評価の選択肢を工夫することが重要。

8

2.2. 測定項目の構成（1）全体構造①「見える化」したいもの：リスクの状況、対策の実施状況、コストの状況①リスクの状況
企業として最優先で対処すべきリスクはなにか
最も深刻な事態、回避したい事態（最も守りたいものはなにか）

被害額、対策費用の算定は困難③コストの状況
費用は妥当か
②の対策費用①の想定被害額

そうした事態をもたらす脅威の顕在化（リアルに感じているか）
業種特性、環境的要因（業種、規模、国内外拠点数、離職率 等）②対策の実施状況
対策は適切か
応用

対策の充足性
個別リスクへの対応

共通対策（リスクに依らず必要なもの）
基盤
ガバナンスの確立

リスクに対し充分か？
他社に比べ妥当か？
相対評価
横並びにして比較し得る最低限の量と内容

絶対評価
リスク対策の有効性把握に適した評
価項目を調整する
必要

9

2.2. 測定項目の構成（1）全体構造②①リスクの状況③コストの状況

最も深刻な事態、回避したい事態（最も守りたいものはなにか）②の対策費用①の想定被害額

そうした事態をもたらす脅威の顕在化（リアルに感じているか）

今回は見送り業種特性、環境的要因（業種、規模、国内外拠点数、離職率 等）②対策の実施状況
応用

対策の充足性
個別リスクへの対応

共通対策（リスクに依らず必要なもの）
基盤
ガバナンスの確立

リスクに対し充分か？
他社に比べ妥当か？

現段階では材料が乏しく、妥当性のある評価が難しい
今回は暫定案10

2.2. 測定項目の構成（2）リスクの状況①考え方

 リスクの考え方• 情報資産に関するリスク ＝ 情報管理に関するリスク ＋ サービス維持に関するリスク• 情報管理に関するリスクは、情報に問題が生じた場合の影響と、そうした事態が生じる可能性（頻度）によって算定される。
• 情報に問題が生じた場合の影響は、情報の種類と発生する深刻な事態に依存する。
• 情報に問題が生じる可能性（頻度）は、その事態を引き起こす脅威に依存する。
情報管理に関するリスク＝

情報に問題が生じた場合の影響「情報の種類」と発生する「深刻な事態」に依存

×

情報に問題が生じる可能性（頻度）

事態を引き起こす「脅威」と対応する対策の有無に依存• サービス維持に関するリスク
情報システムやネットワークによるサービスの中断 → 事業が中断する事態が発生

11

2.2. 測定項目の構成（2）リスクの状況①考え方

 類型化の考え方•想定しうる深刻な事態を検討するため、流出や喪失によって大きな影響を及ぼす重要情報を抽出する。
•ここで重要情報とは、企業のコアビジネス（主活動）を支える、価値ある情報をさす。具体的には、コアビジネスの事業における業務プロセス（営業、顧客管理、調達、事業企画、設計開発、製造、保守、品質管理）別に重要情報の有無について検討する。
※経営や総務、人事等、業種に依らず共通に存在する業務については、コアビジネスに直結しないため、ここでは検討対象から除く。
コアビジネスの分類

概要

対象事業の例

規制分野

・ 所管省庁の許認可や規制が厳しい分野
・ 申請や記録等に係る完全性が重視される金融、医薬品、防衛、エネルギー、通信

企画競争分野・ 設計や製造方法、デザイン等秘密が多い分野 ゲーム、広告、・ 委託先も含めた機密性が重視されるデザイン家電、量産・汎用分野

・ 製品やサービスの差別化が難しい分野
・ 継続・安定的な製造・サービス供給が重要

日用品、定型サービス

12

2.2. 測定項目の構成（2）リスクの状況②重要情報・重要サービスの種類

 コアビジネスにおける重要情報や重要サービスの例
業務プロセス
コアビジネス

営業

流通△顧客のセン
シティブ情報規制型
・法令遵守・申請・報告

企画競争型
・競争優位

価格競争型 △ 営 業 先 リ ス・低価格化
・事業継続

顧客管理

ト△販売価格企画設計○実験・試験
データ

製造

運用保守

品質管理

○トラブル対応情報□制御システム△アイディア △設計図面
△苦情情報
△デザイン
△製造工法
△ 実 験 ・ 試 験 △レシピ
データ
△ノウハウ
△技術情報
□仕入先リス□ 生 産 シ ス テ □ サ ー ビ ス イ △苦情情報
トム
ンフラ
△仕入価格
△製造工法
△生産ライン△レシピ△ノウハウ

完全性重視◯、 機密性重視△、 可用性重視□

重要情報の管理場所
1: サーバ
2: 端末

3: ネットワーク
4: メディア

5: モバイル機器
6: 書類

対策の選択に必要

13

2.2. 測定項目の構成（2）リスクの状況③「深刻な事態」のイメージ

 深刻な事態のイメージ例
事業生じうる問題分類
規制 情報漏えい
分野 情報改ざん
情報喪失
サービス中断企画 情報漏えい
競争
分野 情報改ざん
情報喪失
量産・ 情報漏えい
汎用分野
情報改ざん
情報喪失
サービス中断 評価「深刻な事態」のイメージ例
・顧客のセンシティブ情報が漏えいし、謝罪、賠償等の対応が必要となる●申請・報告したデータに誤謬が生じ、事業の許認可が取り消しになる
・保存が義務付けられているデータを喪失し、管理義務違反とされる●常時運用が義務付けられている社会サービスを中断し、社会問題となる●重要なアイディアやデザイン、試験データ、レシピ、ノウハウ等が漏えい、競合他社に知られてしまい、競争優位を失う
・試験データの改ざん、喪失が発生した場合、試験のやり直しが必要となり、時間とコストが無駄になる・仕入価格や販売価格が漏えいすると、仕入先や販売先に迷惑をかけることがある・生産ラインや製造ノウハウの情報が漏えい、競合他社に知られてしまい、低コスト・高歩留まりの優位性を失う
・仕入額や販売額に誤謬が発生すると、結果的に取引先に迷惑をかける●制御システムにマルウェアが混入し、生産システムやサービスインフラに障害が発生する
・仕入先や仕入額のデータを喪失し、支払が遅れると、仕入先が倒産することもある●：特に深刻な影響を及ぼすと考えられる事態

1: ほとんど影響なし
2: 一部に影響がある
3: 大きな影響がある
4: 深刻な影響がある

ホームページ上で評価対象者がコアビジネスを選択すると、想定される「深刻な事態」が提示され、それらが自社のコアビジネスに及ぼす影響を評価する
14

2.2. 測定項目の構成（2）リスクの状況
主な脅威の項目
ISO/IEC 27005:2011「情報セキュリティリスクマネジメント」附属書C（典型的な脅威の例）を参考に、現在の企業において一般的に採り上げられることの多い脅威をリストアップ

評価
1：ほとんどない
2：可能性はある
3：他社では発生した
4：自社で発生した④脅威と発生可能性

脅威の分類
主な脅威
物 偶発
災害等（地震、洪水、落雷、火災、テロなど）
理
設備の事故（停電、断水、空調故障、ケーブル損傷など）
的 人 アクセス権限な 不正な立ち入りによる持ち出し・盗難
脅 為 し
盗み見
威
（立ち入れる場所での）端末、媒体の盗難
ア ク セ 故意・ 端末、媒体の不正な持ち出しス 権 限 過失 端末、媒体の移送時の漏えい、紛失、盗難、破損あり
端末、媒体の持出し時の漏えい、紛失、盗難、破損端末、媒体の廃棄時の漏えい
情 偶発
トラフィック／処理の過負荷、容量オーバー
報
HW障害、SW障害、NW障害
シ 人 アクセス権限な コンピュータウィルス等の悪意あるソフトウェア
ス 為 しDDoS攻撃
テ
不正アクセスによる改ざん・破壊ム
不正アクセスによる漏えい
的ユーザIDのなりすまし
脅
通信の盗聴・改ざん
威
通信経路の不正変更（フィッシング等）
ア ク セ 故意・ 情報の改ざん・破壊ス 権 限 過失 無許可の利用者・不正な方法でのリソース使用あり
ソフトウェアや外部サービスの違法な使用
電子メール等通信経由の情報漏えい
システム利用時のミス
システム運用時のミス
システム変更時のミス

15

2.2. 測定項目の構成（3）対策の実施状況①対策項目と評価方法

評価シートのイメージ（オフィスの入退管理）
大問１０．オフィス（建物・フロア・部屋）への防犯対策を実施していますか。
※対応するリスク大問を30～50項目程度と【サーバ、ネットワーク】する。情報セキュリティ対・なし
策として大まかな分類をし、【PC、モバイル機器、電子媒体、紙媒体】
自社での実施の程度を評価してもらう。
・第三者の不正な立ち入りによる持ち出し・盗難・第三者の盗み見
大問１つにつき小問を5～・第三者が立ち入れる場所での端末、媒体の盗難10項目程度とする。全体・端末、媒体の不正な持ち出しで150～200項目程度とする。具体的かつ細かい対策項目に対して、自社での実施有無を「はい」「いいえ」の二択で評価してもらう。
回答者は、自社における対策の実施有無を回答する。
主観を交えず客観的に回答できるよう、項目内容は具体的なものとする。
小問への回答は、大問に回答する際の参考にする目的でのみ必要である（総合評価自体は大問への回答から算出され、小問の回答は影響しない）。

選択肢）
ほぼ実施済み大部分は実施済み
大部分は未実施
ほぼ未実施（８０～１００点のイメージ）（５０～７９点のイメージ）（３０～４９点のイメージ）（ ０～２９点のイメージ）

他社実施率
小問１－１．扉や窓は、開放時以外は施錠している
小問１－２．入退出の記録をとっている
小問１－３．部外者が入る際はバッジ等を着用させる
小問１－４．接客等の区画ははっきり区別している

回答者は、自社における対策の実施程度を自己判断して回答する。大問への回答を集計したものが、総合評価となる。
回答の判断には回答者の主観が含まれるが、以下の情報を参考にすることで、根拠ある判断ができるようにする。
・この対策が対象とするリスク項目、および自社にとってのリスク状況⇒自社の事業特性を鑑みて、高度な対策まで行って初めて満点であるのか、それとも世間並みの対策を行っていれば満点とみなせるかの判断根拠
・この対策に含まれる小問対策の他社実施率、および自社の実施有無⇒自社での対策の実施状況が、世間並みなのか、世間並みより高度な対策をしているのか、世間並みより対策不足なのか、の判断根拠（はい／いいえ） XX%（はい／いいえ） XX%（はい／いいえ） XX%（はい／いいえ） XX%
162.2. 測定項目の構成（3）対策の実施状況①対策項目と評価方法

評価結果の算出方法【全体的な評価結果】【大問ごとの評価結果】【小問ごとの評価結果】

評価シートに回答した結果、大問１問につき１～４点のスコアがつく。
これを対策分野別に集計した平均得点（※１）を、レーダーチャート形式で図示する。この図は「自社の対策状況において、対策がすでに整備されている分野／対策漏れの多い分野を把握すること」を目的とする。
また、他社での平均得点を同様のレーダーチャートで図示し、これと自社の図とを比較すれば「世間一般の対策状況とくらべて、対策が十分なのか／対策が不足しているのか／対策を実施しすぎなのかを評価すること」ができる（※２）。
また今後、評価事例が多数集まれば、業種別・企業規模別などにより、自社のリスクと似通った他社の対策状況と比較を行うことも可能である。

全体評価を把握した上、さらに個々の分野についての詳細を見たい場合のために、大問単位での回答（１～４点）を表またはグラフで図示する。また大問ごとに他社の平均得点を掲載し、自社の回答と比較できるようにする。
自社のリスクの状況から見て、重点的に行うべき対策は強調して記載される（【別紙３】脅威・対策の対応付けによる）。これを参照すれば「自社にとってとくに重要な対策において他社平均に比べて対策が不足していないか？」、また逆に「自社にとって重要でない対策において他社平均よりも対策し過ぎていることはないか？」といった評価を行うことができる。
また今後、評価事例が多数集まれば、業種別・企業規模別などにより、自社のリスクと似通った他社の対策状況と比較を行うことも可能である。

大問ごとの評価から、さらに具体的に対策単位での実施状況を見たい場合のために、小問単位での対策実施有無の回答（はい／いいえ）も掲載する。
小問ごとに他社での実施率（パーセント表示）を併記し、他社の多くで実施している対策と自社で実施済み対策とを比較できるようにする。

17

2.2. 測定項目の構成（3）対策の実施状況②ガバナンス項目と評価方法

 情報セキュリティガバナンスのプロセスに関する評価項目案
ISO/IEC 27014の検討を踏まえ作成大項目

対象

中項目
事業の推進役が情報セキュリティ問題を考慮することを保証する。

情報セキュリティの実績結果に対応し、必要な措置の優先順位を決経営陣 めて開始する。

評価

情報セキュリティが事業目的を十分にサポートして支えることを保証する。
CISO

有意な影響力を持つ新しい情報セキュリティプロジェクトを経営陣に提言する。

小項目
評価尺度
経営陣は、事業責任者に対し、情報セキュリティの問題が1.大半の事業に対して実施している各々の事業に与える影響につ 2.一部の事業に対してのみ実施しているいて検討するように、指示し 3.ほろんど実施していないていますか。
1.定期的に評価可能な報告（達成率等）がなされている経営陣は、自社の情報セキュ
2.不定期だが評価可能な報告（達成率）がなされリティの取組状況について定ている期的に報告を受けていますか。
3.報告はあるが、評価可能な形ではない
4.経営陣への報告は実施していない
経営陣は、情報セキュリティの取組状況から、優先順位を 1.経営陣が報告を踏まえて指示を出している踏まえて、次の行動（例：戦 2.経営陣が指示を出すが、報告を踏まえていない略の見直し）を指示していま 3.経営陣からは指示を出していない
すか。
.CISOがコアビジネスの実施
1.CISOが定期的に確認しているに必要な情報セキュリティの2.CISOが確認することがある取組を実施していることを確
3.CISOは確認していない
認していますか。
1.CISOが経営陣に提案し、その必要性を説明してCISOは、経営陣に対し、新規いるの情報セキュリティプロジェ
2.CISOは経営陣に提案するが、その必要性を十分クトを提案し、その必要性にに説明できていないついて説明していますか。
3.CISOからは経営陣への提案を行っていない「指導（方向付け）」、「監視（モニタリング）」、「説明」、「保証」についても別途作成

18

2.3. 課題
 リスクに対する対策の必要十分性の評価については、現段階では材料が乏しく、妥当性のある評価項目の構成になっていない。しかし、この評価は、本来、本検討の動機にも当たる要素であり、改善が望まれる。そのためには、企業における対策の取組状況等について把握し、それに応じて評価項目を調整する必要がある。
 想定している設問構成が、情報セキュリティ対策の実施状況に加え、トラブルがもたらす事業への影響、ガバナンスなど、多岐に渡っているため、すべての項目に回答できる人材があまりいない可能性がある。回答企業において、セキュリティ担当者が現場とどうやって情報共有するか検討すべきである。
 対象者が的確にリスクを把握するためには、対象者にとってできるだけリアリティのある「深刻な事態」を提示することが有効である。したがって、「深刻な事態」のバリエーションを充実させることが望ましい。
 対策項目については、全体で大問41件、小問236件とした。対策項目の項目数は多過ぎると回答者に負担となり、少な過ぎると適切な把握が難しくなるため、バランスが重要となる。その意味で、内容やバランスについてさらなるブラッシュアップを図ることが望まれる。

19

3.モニタリング手法の調査

20

3.1. 調査方針
めざす方向
経営陣、CISOに報告する情報の集約・可視化について、具体的な事例を集める
検討課題
・分析すべき評価項目・収集すべきデータ・提示方法
検討方法(1)事例の収集(2)要点の整理(3)課題の抽出
モニタリング手法の参考•参考5 情報セキュリティガバナンス導入ガイダンス（経済産業省）

21

参考

情報セキュリティガバナンス導入ガイダンス（経済産業省）①

情報セキュリティガバナンスのフレームワークを提供し、企業内に導入する手順を解説。
情報リスクの管理状況について、経営陣が利害関係者に説明する
目標･目的が達成されているか、それが適切であったかを経営陣が評価する

利害関係者

情報セキュリティガバナンスのフレームワーク

報告
Report

経営陣
CISO

監査役
評価
Evaluate

経営陣が情報リス
クの管理方針や目標・目的を示す

方向付け
Direct監督
Oversee

モニタリング
Monitor

経営陣のコミットメント

管理者層

情報セキュリティ管理
Information Security Management

そうした仕組みが機能していることを監査役等が確認する

PDCAの進捗・達成状況

企 業

情報セキュリティガバナンスのフレームワーク（出典：経済産業省「情報セキュリティガバナンス導入ガイダンス」, 2009/06を基に作成）

22

参考

情報セキュリティガバナンス導入ガイダンス（経済産業省）②

モニタリング
経営陣、CISO、管理者それぞれの「方向付け」した内容が適切であるか、達成状況、適用状況の実情を適時に把握すること
経営陣が行うモニタリング項目の例
・ 経営環境の変化･ リスクの変動や新規リスクの発生が起きているか･ 情報セキュリティ投資効果･ リスク分析の結果に照らして期待されるリスク低減の効果が発揮できているか･ 情報セキュリティ目的・目標の達成度評価･ リスク管理方針が実装できたか

情報セキュリティ管理策に基づくモニタリング指標の例

CISOが行うモニタリング項目の例
・情報セキュリティ投資効果･ リスク管理方針に照らして有効かつ効率的な投資であったか･ 情報セキュリティ目標の達成状況･ 情報セキュリティ目的が達成できたか･ PDCA の進捗・達成状況･ 情報セキュリティマネジメントが機能しているか

23

3.2. 事例A：①実施概要
実施概要（イメージ）

SBG各部門

ＳＭＦ活動状況
Plan体制整備、推進計画、文書整備、監査計画、教育計画

Do

施策推進、周知徹底、教育、推進会議

Check

PCセキュリティ診断

監査準備、監査実施/報告、マネジメントレビュー

Act

セキュリティ
事件・事故対応

是正、改善

発生部門のみ情報セキュリティ活動評価
調査依頼（評価指標）

回答（Web入力）事件事故評価本部のみ実施DOEXPRESS
診断結果
自動取得

SBGセキュリティ委員会HP

セキュリティ
事件事故
報告

是正

体制整備/見直
5
改善推進計画
4
文書整備/見直3

マネメントレビュー2
1
0

監査実施/報告

監査計画
教育計画

監査準備

施策推進

推進会議

周知徹底
教育

24

35
30
25
20
15
10

事故発生件数
危険度
累計事故発生件数
累計危険度

5

20
10
年
1月
20
09
年
2月
20
10
年
3月

0

20
09
年
4月
20
09
年
5月
20
09
年
6月
20
09
年
7月
20
09
年
8月
20
09
年
9月
20
09
年
10
月
20
09
年
11
月
2009年12月

ＳBGセキュリティ委員会（情報セキュリティセンタ)集計・分析・可視化

109876543210

Copyright 2011 FUJITSU LIMITED3.2. 事例A：②活動の評価・可視化
情報セキュリティ活動の評価指標を策定
実施度・達成度を評価・可視化
ＩＣ項目別スコアIM項目別スコア
目標スコア(70点以上)

IM-18

全体平均【本部】

IM-1
100

貴部門のスコア

80

IM-3
IC-7

IC-2

60

IM-4

40

40

20

IM-15

全体平均【本部】
100

IM-2

60

IM-16

目標スコア(70点以上)

IC-1

80

IM-17

貴部門のスコア

IM-5

20

00

IM-14

IM-6

IM-13

IC-6

IC-3

IM-7

IM-12

IM-8
IM-11

IM-9

IC-5

IC-4

IM-10

推進体制、教育計画、監査等の整備状況やＰＣや携帯電話等セキュリティ対策状況を見える化し、各部門が活動実態を認識
25

Copyright 2011 FUJITSU LIMITED26
ＩＪＦ事業本部

ＲＥＲ事業本部

ＱＪＫ室

ＰＬＫ事業本部

ＮＦＳ事業本部

ＭＢＣ支社

ＬＣＹ支社

ＩＪＦ事業本部

ＨＴＡ本部

ＧＡＤ支社

FDE事業本部EDSビジネス統括部

CDS事業本部

BCF事業本部

5

情報漏えいリスク度

ＲＥＲ事業本部

発生件数

ＱＪＫ推進室6

ＮＦＳ事業本部

ＭＢＣ支社

ＬＣＹ支社

ＫＥＤ本部

ＪＳＢ支社

0
AAB事業本部

情報漏えいリスク度

発生件数

3.2. 事例A：③事件・事故の情報漏えいリスク度評価

情報漏えいリスク度を４段階にレベル付けし評価発生件数では見えないリスクを可視化
7

4

32

1

Copyright 2011 FUJITSU LIMITED3.2. 事例B：①大規模グループにおける評価の取り組み

27

3.2. 事例B：②中小企業における可視化の取組み：全体の構造

28

3.2. 事例 B：②中小企業における可視化の取組み：確認方法

29

3.2. 事例C：①可視化の取り組み
機械による情報収集・管理•ネットワーク管理•モニタリングシステム

セキュリティ監査

国内・海外とも2005年度から実施•国内事業所•海外事業所

概ね2週間に一度発信
 啓蒙活動•メールニュース
•インターネット閲覧試験

試験に合格しておかないとWEBサイトの閲覧ができない

30

3.2. 事例C：②モニタリングシステム
異常利用のリスト

ウイルス
対策
検出情報

¾利用状況確認後注
意

データベース

資産管理
ソフト
検出情報
Proxy
通過情報

利用状況の分析

異常利用
アラームを設定¾誰がどんなサイトを見ているのか？
¾会社からのメッセー
ジは読まれているのか？
¾社員行動に変化はあるのか？

イントラネット
アクセス情報社員証
登録情報

 イントラネットの課題と見える化¾ セキュリティ– PCやネットワークの利用状況を適正化する¾ 活用モニタリング– イントラ視聴率のモニタリングでIT利活用をタイムリーに促進31

3.2. 事例D：①情報セキュリティ管理のポイント■総合リスク管理の一部としての情報セキュリティリスク管理の実施
リスクマネジメントシステムを構築し、情報セキュリティリスクに関してもその下で一元管理とし、次のような効果を得る。
・俯瞰的、網羅的な情報セキュリティリスクの把握。
・総合的、計画的な対応を図り、効果的、効率的な管理の促進
各種リスクについてのモニタリングやレビューについては当社のリスクマネジメントシステムにおいて推進して効率化を図るとともにレビューについては内部監査結果をも踏まえPDCAサイクルを構築運用している。また、情報セキュリティインシデントが発生したときの危機対応についてはリスク管理規則に従って実施している。
■情報セキュリティリスクマトリクスの作成とリスク評価
リスクマネジメントシステムのリスク台帳の一部として、情報セキュリティ部分に特化したリスクマトリクスを作成しリスクの洗い出しを実施。
各種情報セキュリティリスクに対して、すでに実施済みの対策を踏まえた残余リスクについて、事例を踏まえて発生頻度・影響度について評価を行っている。
＜残余リスク＞＝＜固有リスク＞－＜コントロール＞
コントロールすなわち対策としては当社で既に対策を講じている対策とともに実施可能な対策についても想定される範囲で検討を行っている。

3.2. 事例D：②セキュリティリスクの可視化に向けた取り組み
１．経済産業省/IPAの情報セキュリティベンチマークの活用

２．情報セキュリティリスクマトリクスの作成とリスク評価（再掲）3.2. 事例E：①セキュリティリスクの可視化に向けた取り組み【事業と活動の概要】• 情報システムの分析、開発から構築、展開、運用、保守、リサイクルまでをワンストップ化して、幅広く提供。
• 顧客や取引先から預かる情報は多岐にわたる。個人情報を含む情報に対して厳重な安全管理に努めている。
- ISMS認証（全事業部門）- プライバシーマーク（全社）取得【情報セキュリティへの取組】• 安全管理は、リスクを評価して問題があればそれを除去することで実現。
• リスク評価は、全社共通のアプローチと各事業部門におけるアプローチの2種を実施。
全社共通部分 ベースライン・アプローチによって、標準に対し不足する部分を補う
各事業部門
詳細リスク分析により、追加対策の要否を評価しリスク対応を実施【経営陣への報告】• 経営陣に対しては、定常活動の実施状況よりも見直し・改善とその実効果の報告に力点をおくように努める- インシデント発生状況（対策、社内展開含む）- リスク対応の実施状況- 実施済み対策の有効性状況- 是正措置の実施状況（内部監査やパトロール結果） 等

3.2. 事例E：②課題【課題】
活動の基盤は整備できたものの、十分な結果が伴わないことの改善が最大の課題である。
■実効率の向上（認証取得の目的から身を取る活動へのシフト）■運用負荷の削減（活動の負荷に比べ十分な結果がなかなか得られない）－ インシデントが減らない－ 対策は適切であるか、的はずれでないか、過剰ではないか
・目的を理解し定着しているか（やらされ感はないか）
・管理部門と現場のギャップはないか（現場は冷めていないか）
・費用の妥当性（認証維持による効果と活動の実効果に対してランニングコストは妥当か）3.3.

要点・類型化、課題

 モニタリングの基準• 独自にセキュリティのマネジメント基準や指標を定めている企業とISMS管理策を活用している企業に分かれる。
• 独自基準とISMS管理策のギャップ分析を実施しているケースもある。
 モニタリングの手法• 各部門でのセキュリティ担当者によるアセスメントの実行、もしくは本社管轄部門によるヒアリングの実行が中心。
• ログによるアラート発報システムの活用によるインシデントの早期検知の実施に取り組むケースもある。
 セキュリティ可視化• IPAベンチマークを基準とし数値化を実施する企業、もしくは自社独自基準に対する達成度を表記する企業などがある。
• より洗練された可視化のための基準ならびに可視化の手法の確立が急務。
 情報セキュリティマネジメント• リスク分析に主眼がおかれるようになってきたことが明らかとなった。
• グローバル・ガバナンスの実行、情報セキュリティマネジメントにおける網羅性の確保、複雑化する脅威への柔軟な対応に対し課題認識が高まっている。
 その他• セキュリティ施策を「経営課題」として捉え、優先度をもった取り組みを実施できる環境の構築が急務。

4. 総括37

 本WGでは、以下の活動を実施した。
• 企業が自社の情報セキュリティの取り組み状況を客観的に評価するための尺度となる測定項目の提案• 情報セキュリティ活動の見える化（情報セキュリティガバナンス活動における「モニタリング」）の事例分析
 この成果として、情報セキュリティレベルの測定項目の雛形を策定するとともに、経営者への情報セキュリティ活動の報告に係る現状と課題を整理することができた。
 今後は、策定した測定項目や情報セキュリティ活動の見える化の状況に基づき、調査票を策定し、情報セキュリティレベルの実態調査を行う。

38