資料６

2014年度 重要インフラにおける「安全基準等の浸透状況等に関する調査」について
２０１５年３⽉２６⽇
内閣官房 内閣サイバーセキュリティセンター(NISC)

１．本調査の⽬的・経緯【⽬的】○重要インフラにおける情報セキュリティ対策の実施状況を通じて安全基準等の浸透状況を把握するとともに、⾏動計画の各施策の改善に資することを⽬的として実施し、重要インフラ専⾨調査会に報告。実施根拠は以下のとおり。
◆重要インフラの情報セキュリティ対策に係る第３次⾏動計画（2014年５⽉19⽇）

・重要インフラ事業者等における安全基準等の浸透状況の把握を⽬的に、内閣官房は、重要インフラ事業者等の対策状況を調査する。

◆サイバーセキュリティ2014（2014年7⽉10⽇）

・重要インフラ所管省庁の協⼒を得つつ、安全基準等の浸透状況等の調査を実施し、結果を公表する。

【経緯】○2007年度より開始し、以降継続的に実施。
○第３次⾏動計画の趣旨に基づき、2014年度調査より調査対象の拡⼤、調査項⽬及び報告内容の⾒直しを実施。
第１次⾏動計画における取組

第２次⾏動計画における取組

安全基準等の策定・⾒直し（SJ2006-SJ2008）

安全基準等の継続的改善（SJ2009）（JS2010-JS2012）（SS2013）

浸透状況等調査（SJ2007-SJ2008）

浸透状況等調査（SJ2009-SJ2012）（SS2013）

第３次⾏動計画における取組
安全基準等の継続的改善（SS2014-）
調査項⽬の⾒直し調査対象の拡⼤浸透状況等調査（SS2014-）

各年度末を基準⽇として調査（SJ：セキュアジャパン

JS：情報セキュリティ

SS：サイバーセキュリティ）1

２．本調査運営の概要◆調査概要
調査対象範囲： 事業者等の範囲を重要インフラ所管省庁が決定

調査⽅法： 以下のいずれかを重要インフラ所管省庁が選択①NISCが提供する調査項⽬の活⽤②重要インフラ分野による独⾃調査結果をNISCが提供する調査項⽬に読替（回答負荷の軽減）

調査基準⽇： 2014年3⽉末⽇（調査⽅法②の場合はその調査基準⽇）調査資料の発出・回収 ： 重要インフラ所管省庁が送付・回収⽅法を決定し、実施
分野毎の集計： 送付・回収した重要インフラ所管省庁が集計（所管する各分野の状況把握の観点）

全体集計・とりまとめ： NISCが集計・とりまとめ◆実施時期 （NISC提供の調査項⽬を活⽤する場合）
調査期間： 2014年 7⽉〜2014年11⽉

とりまとめ： 2014年12⽉〜2015年 2⽉◆主な調査内容（NISC提供の調査項⽬）①指針(*)の認知状況に係る事項： 指針の認知に係る状況及び周知⼿段*重要インフラにおける情報セキュリティ確保に係る「安全基準等」策定にあたっての指針（第３版）および対策編②情報セキュリティ対策の実施状況に係る事項： Plan（⽅針、規定、計画、体制及び構築）、Do（平時、障害発⽣時の運⽤）、Check・Act（確認・課題抽出）の各状況③情報セキュリティ対策に係る意⾒、要望等※調査項⽬の詳細については、巻末の「７．＜参考＞アンケート項⽬」を参照

2３．回答状況
アンケートを配布は３，３９１事業者等に、その回答は３，２２８事業者等から（回収率：95.2% 前年度⽐：+1.1%）
重要インフラ
分野
電気通信
情
報
通
信

ケーブル
テレビ

活⽤する独⾃調査

浸透状況等調査

活
⽤

名称

調査
基準⽇

調査
周期

無

－－－

－－－

－

無

－－－

－－－

調査対象範囲ｱﾝｹｰﾄ配布数

ｱﾝｹｰﾄ回収数(括弧内は昨年度)(括弧内は昨年度)

電気通信事業者（⼀部抽出）

97 (76)73 (20)－

⼀般社団法⼈⽇本ケーブルテレビ連盟加盟
事業者のうち⼀定要件を満たすケーブルテレ
ビ事業者

237 (241)

237 (221)

194 (194)

194 (194)855 (892)

737 (796)

無

－－－

－－－

－

⽇本放送協会（ＮＨＫ）、地上系⺠間基
幹放送事業者（多重単営社及びコミュニ
ティ放送事業者を除く）、⼀般社団法⼈⽇本⺠間放送連盟

有⾦融機関等のシステムに関する動向及び安全対策実施状況調査

3⽉31⽇

1年毎

銀⾏等、証券会社、⽣命保険会社、損害
保険会社

航空運送

無

－－－

－－－

－

航空運送事業者

2 (2)

2 (2)

航空管制

無

－－－

－－－

－

官庁

2 (1)

2 (1)

鉄道

無

－－－

－－－

－

ＪＲ、⼤⼿⺠鉄

22 (22)22 (22)

電⼒

無

－－－

－－－

－

⼀般電気事業者、⽇本原電(株)、電源開発(株)12 (12)

12 (12)

ガス

無

－－－

－－－

－

⼤⼿ガス事業者

12 (10)12 (10)

政府・⾏政
サービス

有

4⽉1⽇

1年毎

地⽅公共団体1,789(1,789)1,789(1,789)

医療

無

－－－

－－－

－

病院情報システムを導⼊する病院

60 (50)53 (38)

⽔道

無

－－－

－－－

－

給⽔⼈⼝30万⼈以上の⽔道事業者、⽔道⽤⽔供給事業者

88 (45)88 (45)

物流

無

－－－

－－－

－

物流事業者、業界団体（⼀部抽出）

21 (22)7 (10)

全分野合計

－

－－－

－－－

－

３，３９１
（3,356）

３，２２８(3,160) 3

放送

⾦融
航
空

地⽅⾃治情報管理概要－電⼦⾃治体の推進状況－－－－

４．調査結果の総括 (1/2)(1) 総括に当たっての前提
今回の調査実施期間（2014年７⽉〜11⽉）は、第３次⾏動計画策定（2014.5.19）の直後であり、また適⽤する指針は第２次⾏動計画に基づく第３版である。
このことから今回の調査結果は、第３次⾏動計画策定時に認識した課題の妥当性に関する検証と位置付けられるとともに、今後の改善状況を測るための基準となるものである。
(2) 調査結果の概要①PDCAサイクルに沿った継続的な対策
 「初期対応」（PDCAのうちP（規定、体制、構築）の⼀部が該当）は概ね実施されている（ほぼ８割超）。
 「継続的改善の起点となる課題抽出に基づく改善」（PDCAのうちCA（課題抽出・改善））の実施率はほぼ３割以下に留まる。
②経営層の在り⽅ 「重点化対策の合意」は約８割で経営層が関与している⼀⽅、「運⽤状況の把握」では約５割に留まる。
 経営資源の継続的な確保に関連して、「⼈員不⾜による対策の遅れ」（往訪調査でも同様の意⾒あり。）、「IT⼈材育成のための⽀援」や「対策費⽤補助の制度化」等の国に対する要望等の意⾒があった。
③事業者等による⾃らの責任における実施状況
 「企業体⼒に応じた評価指標や⽔準別の対策の提⽰」、「対策費⽤が利益、資産へ与える影響に関する指標の提⽰」等を国の⽀援として求める意⾒があった。
④情報共有体制
 「重要インフラ事業者間でのリスク情報の共有」（往訪調査でも同様の意⾒あり。）、「迅速な情報提供」を求める意⾒があった。
⑤広報公聴活動
 指針等に関して周知・啓発に役⽴つ資料の作成やセミナーの開催を求める意⾒があった。

4

４．調査結果の総括 (2/2)(3) 課題 第３次⾏動計画の策定に際して第２次⾏動計画における改善点として抽出した項⽬が、今回の調査結果においても今後改善すべき課題であることを改めて確認することができた。具体的には以下のとおり。
①PDCAサイクルに沿った継続的な対策の改善
 PDCAサイクルに沿った継続的な対策の改善に関しては、「初期対応」の実施状況には向上の余地があり、「継続的改善」については実施の定着が課題と認められる。

②経営層の関与の強化
 経営層においては、対策の必要性への認知はあるものの、予算・体制・⼈材等の経営資源の継続的な確保や運⽤状況の理解・把握には認知度の向上が課題と認められる。
また、予算・⼈材等において国の⽀援を求める声があるが、⾃らの責任における実施は第３次⾏動計画が期待するところであり、⾃助・共助・公助の精神も踏まえつつ、国がどの程度まで⽀援を⾏うべきかについては今後の課題として慎重な検討が必要と考えられる。

③事業者等による⾃らの責任における情報セキュリティ対策の推進
 事業者等による⾃らの責任における実施状況に関しては、新設する指針_⼿引書が例⽰する優先順位付けに基づき、情報セキュリティ
対策がどの程度進展するかについて今後の調査が必要と考えられる。

④情報共有体制の推進 情報共有体制の推進に関しては、適切に運営できているかについて調査の必要性が認められる。

⑤広報公聴活動の強化
 防護基盤の強化（広報公聴活動）に関しては、第３次⾏動計画や改訂後の指針に関し、周知・啓発を進める必要が認められる。

(4) 今後の対応
 第３次⾏動計画が⽬指す「重要インフラにおけるサービスの持続的な提供」に向け、「情報セキュリティ対策は、⼀義的には重要イ
ンフラ事業者等が⾃らの責任において実施するもの」との考えに基づき、「経営層の在り⽅」の浸透を中⼼に情報セキュリティ対策の継続的改善が⾏われるよう、取り組んでいく必要がある。
 具体的には、本調査及びこれを補う往訪調査、分野横断的演習、NISCが活動を⽀援するセプターカウンシル等、重要インフラ事
業者等との意⾒交換の場等を通じて、⾏動計画や指針の⽬的や考え⽅、各施策の成果を説明し浸透を図るとともに、国の⽀援に対する各事業者等からの要望等を把握する取組を、より充実させることとしたい。

5

５．調査結果 － 主要な基礎データ(1/5) －(1) PDCAに沿った情報セキュリティ対策の取組（その１：対策毎の実施状況）

対策の取組状況（第３次行動計画が示すPDCAにて分類）【P-方針】経営層による合意
100%【CA】課題抽出･改善(定期的な演習･訓練等)【P-規定】内規の策定･見直し
83%【CA】課題抽出･改善(定期的な外部監査)【P-規定】規定による対策項目の明示

75%
92%

【CA】課題抽出･改善(定期的な内部監査)

25%【CA】課題抽出･改善(定期的な自己点検)

27%
30%

45%

【P-計画】計画､ロードマップの策定･見直し

15%

0%

13%
31%

44%

【CA】課題抽出(ITの環境変化)【P-規定】IT-BCPの策定･見直し

62%

50%

23%

85%

53%

93%

【P-体制】内規策定･改訂の体制整備

57%【D-障害発生時】発生した障害の情報提供

73%【D-平時/障害発生時】対策の対外説明【D-平時/障害発生時】経営層による状況把握

98%【P-体制】対応に向けた組織･体制･資源の確保

96%【P-体制】委託先管理に向けた契約条項の整備【P-構築】要件の明確化【P-構築】対策の実装

2014年度

2015年度

2016年度6５．調査結果 － 主要な基礎データ(2/5) －(1) PDCAに沿った情報セキュリティ対策の取組（その２：PDCA別の取組状況（実施率順に再配置））対策の取組状況（第３次行動計画が示すPDCAにて分類）
0%

25%

50%

75%

100%
98%

【P-構築】対策の実装
96%【P-体制】委託先管理に向けた契約条項の整備
93%【P-体制】対応に向けた組織･体制･資源の確保

92%【P-規定】規定による対策項目の明示
85%【P-体制】内規策定･改訂の体制整備

83%【P-方針】経営層による合意
73%【P-構築】要件の明確化
62%【P-規定】内規の策定･見直し「初期対応」に該当する施策

45%【P-規定】IT-BCPの策定･見直し
31%【P-計画】計画､ロードマップの策定･見直し

57%【D-障害発生時】発生した障害の情報提供
53%【D-平時/障害発生時】経営層による状況把握
23%【D-平時/障害発生時】対策の対外説明

44%【CA】課題抽出(ITの環境変化)
30%【CA】課題抽出･改善(定期的な自己点検)
27%【CA】課題抽出･改善(定期的な内部監査)【CA】課題抽出･改善(定期的な演習･訓練等)【CA】課題抽出･改善(定期的な外部監査)「課題抽出に基づく改善」に該当する施策

15%
13%

2014年度

2015年度

2016年度7５．調査結果 － 主要な基礎データ(3/5) －(2) 経営層の関与状況①重点化対策への経営層の関与状況（P-⽅針）②経営層による運⽤状況の把握状況（D-平時／障害発⽣時）

経営層の関与状況（運用状況の把握）

経営層の関与状況（重点化対策の合意）
0%

25%

50%

2014年度

75%

83%

0%

100%
2014年度

17%

2015年度

2015年度

2016年度

2016年度

関与

25%

50%

53%

関与

未関与の懸念あり※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

75%

100%

47%

未関与の懸念あり※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）(3) 対策の継続状況①IT-BCP策定、⾒直しの継続状況（P-規定）②ファイアウォールの保守継続状況（P-構築）対策の継続状況（IT-BCPの見直し）

対策の継続状況（ＦＷの保守）

0%

25%

2014年度

50%
94%

75%

0%

100%
6%

2014年度

2015年度

2015年度

2016年度

2016年度

継続中

継続停止の懸念あり※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

25%

50%
90%

継続中

75%

100%
10%

継続停止の懸念あり※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

8

５．調査結果 － 主要な基礎データ(4/5) －(3) 対策の継続状況（続き）③侵⼊検知システムの保守継続状況（P-構築）④情報セキュリティ対策の対外説明継続状況（D-平時/障害発⽣時）対策の継続状況（IDSの保守）
0%25%

2014年度

50%

対策の継続状況（対外説明）

75%

100%

93%

0%
2014年度

7%

2015年度

2015年度

2016年度

2016年度

継続中

25%

50%
68%

継続停止の懸念あり

継続中※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

75%

100%
32%

継続停止の懸念あり※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）⑤新たなリスク源に係る課題抽出の継続状況（CA）

対策の継続状況（課題抽出・ＩＴの環境変化）
0%25%

2014年度

50%
84%

75%

100%
16%

2015年度

2016年度

継続中

継続停止の懸念あり※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

9

５．調査結果 － 主要な基礎データ(5/5) －(3) 対策の継続状況（続き）⑦内部監査による課題抽出・改善の継続状況（CA）⑥⾃⼰点検による課題抽出・改善の継続状況（CA）

対策の継続状況（自己点検）
0%

25%

50%

2014年度対策の継続状況（内部監査）

75%

100%

84%

0%
2014年度

16%

2015年度

2015年度

2016年度

2016年度

継続中

25%

50%

75%

92%

継続停止の懸念あり

継続中

100%
8%

継続停止の懸念あり※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）⑧外部監査による課題抽出・改善の継続状況（CA）⑨演習・訓練等による課題抽出・改善の継続状況（CA）

対策の継続状況（外部監査）0%2014年度

25%

50%
65%

対策の継続状況（演習・訓練等）

75%

100%
35%

0%
2014年度

2015年度

2015年度

2016年度

2016年度

継続中

継続停止の懸念あり※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

25%

50%
86%

継続中

75%

100%
14%

継続停止の懸念あり※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

10

６．調査結果詳細 － 各個別設問のグラフ及び分析(1/19) －(1) 安全基準等の整備状況① 指針の認知(a) 指針（本編及び対策編）の認知状況(b) 指針（本編及び対策編）認知の契機

・指針の本編及び対策編の双⽅を認知している事業者は6割強。
2割強は双⽅とも認知していない状況。

・指針を認知した契機は、NISC、所管省庁、業界団体が同程度。
この他、web検索が契機との回答も多い。

指針（本編及び対策編）の認知状況（単一回答）

指針（本編及び対策編）認知の契機（複数回答）

0%

25%

50%

75%

100%

0%

25%

50%

75%

100%

43%
63%

NISCからの紹介
NISCからの紹介

両方とも知っている
39%

所管省庁からの紹介
13%38%

業界団体からの紹介
業界団体からの紹介

本編のみ知っている

8%

セミナー･シンポジウ
セミナー･シンポジウ
ム等
1%

8%

対策編のみ知っている

ニュースサイト等
ニュースサイト等
34%

web検索
web検索
23%

両方とも知らない2%その他

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

11

６．調査結果詳細 － 各個別設問のグラフ及び分析(2/19) －(1) 安全基準等の整備状況（続き）② 内規の策定・⾒直し(a) 内規策定・⾒直しの契機
・内規の策定・⾒直しの契機は、⾃分野の安全基準等の策定・改訂、本編・対策編の改訂、⾃社対策状況の課題抽出、他社等から得た情報が同程度。
・内規策定後に⾒直しを⾏っていない事業者も35%存在。

内規策定・見直しの契機（複数回答）
0%

25%

50%

75%

100%

52%

自分野の安全基準等の自分野の安全基準等の
策定･改訂

46%

本編や対策編の改訂

53%

自社対策状況の課題抽
自社対策状況の課題抽
出49%

他社等から得た情報
11%

その他
その他

35%

見直しを行っていない

内規が未策定内規が未策定4%2014年度

2015年度

2016年度※⾦融は読替え可能項⽬なし（集計対象に含めず）

12

６．調査結果詳細 － 各個別設問のグラフ及び分析(3/19) －(1) 安全基準等の整備状況（続き）③ 内規改定のプロセス(a) 内規策定・改訂の体制(b) 内規における対策の規定状況

・経営層が関わる割合は15%程度、情報セキュリティ委員会が関わる割合は3割強、それ以外の体制が関わる割合は４割弱。
・内規が未策定の事業者も15%存在。

・情報の取扱い制限、可搬媒体の利⽤制限、不審メールへの対処など情報漏えい防⽌につながる対策を規定している割合が相対的に⾼い。

内規策定・改訂の体制（単一回答）

内規における対策の規定状況（複数回答）

0%

25%

50%

75%

0%

100%

25%

50%

事業継続に必要な情報シ
事業継続に必要な情報
ステムの指定

16%

経営層
経営層

39%
49%

情報の格付け
情報の格付け89%

情報の取扱い制限
情報の取扱い制限32%

74%

ソフトウェアの導入制限
ソフトウェアの導入制
65%

不審メールへの対処
不審メールへの対処

77%

可搬媒体の利用制限
可搬媒体の利用制限

38%

リモートアクセスの利用
リモートアクセスの利制限

上記以外の体制
上記以外の体制55%

スマートデバイスの利用
スマートデバイスの利
ルール
外部委託先に求めるセ外部委託先に求めるセキュリティ対応
内規違反に対する罰則規内規違反に対する罰則
定15%

内規が未策定内規が未策定

上記はいずれも未策定
上記はいずれも未策定
2014年度100%

44%

情報システムの格付け
情報システムの格付け

情報セキュリティ委員会
情報セキュリティ委員

75%

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

40%
49%
44%
2%

2014年度

2015年度

2016年度13

６．調査結果詳細 － 各個別設問のグラフ及び分析(4/19) －(2) 情報セキュリティ対策の実施状況① 体制・資源の確保(a) 組織・体制・資源確保の状況(b) 情報セキュリティに係る教育テーマ

・組織・体制・資源確保については、9割強の事業者が担当者（兼任を含む）を割当。
・⼀⽅、専⾨部署を設置している事業者は3割強。

・(1)③(b)で内規の規定割合が相対的に低い、リモートアクセスの利⽤制限、スマートデバイスの利⽤ルールについては、教育について
も他テーマより実施割合が低い。

組織・体制・資源確保の状況（複数回答）

情報セキュリティに係る教育テーマ（複数回答）

0%

25%

50%

75%

0%

100%

25%

50%

75%

100%
88%

情報の取扱い制限
情報の取扱い制限

63%

CISO(兼任を含む)の割
CISO(兼任を含む)の割
当て

77%

ソフトウェアの導入制
ソフトウェアの導入制
限31%

専門部署の設置専門部署の設置84%

不審メールへの対処
不審メールへの対処

91%

担当者(兼任を含む)の担当者(兼任を含む)の
割当て

83%

可搬媒体の利用制限
可搬媒体の利用制限
54%

リモートアクセスの利
リモートアクセスの利
用制限
65%

人材育成､教育
人材育成､教育53%

スマートデバイスの利
スマートデバイスの利
用ルール
26%

その他
その他
4%

上記はいずれも未対応
上記はいずれも未対応
上記はいずれも未対象
上記はいずれも未対象

2014年度

2015年度

2016年度※⾦融は読替え可能項⽬なし（集計対象に含めず）

1%

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

14

６．調査結果詳細 － 各個別設問のグラフ及び分析(5/19) －(2) 情報セキュリティ対策の実施状況（続き）② 情報に係る対策(a) 対策の計画／ロードマップの策定・⾒直し状況(b) 情報セキュリティ対策の実装状況

・65%程度の事業者が対策の計画／ロードマップの策定を⾏っていない。また、4割弱の事業者は、現時点で策定の予定もない。

・多くの対策が7割以上の実施割合なのに対し、重要データの暗号化、証跡管理、新たなリスク源への対策の実施割合は3〜5割程
度と、相対的に低い。

対策の計画／ロードマップの策定・見直し状況（単一回答）

情報セキュリティ対策の実装状況(複数回答）

0%

25%

50%

75%

100%

0%

25%

50%

75%

100%
92%

サーバー室等の入退室管理
サーバー室等の入退室

31%

両方とも行っている98%

サーバー室等の停電対サーバー室等の停電対策策定のみ行っている
策定のみ行っている

79%

可搬媒体の持込み/持出し
可搬媒体の持込み/持制限
リモートアクセス制限/利リモートアクセス制限
用可能端末の管理

5%

75%
84%

ネットワークへの侵入防止
ネットワークへの侵入

現時点では行っていな
現時点では行っていない2%

重要データへのアクセス制
重要データへのアクセ
限87%

重要データのバックア
重要データのバックアップ
策定中

策定予定がある
策定予定がある36%

重要データの暗号化
重要データの暗号化

13%

11%

無許可ソフトウェアの導入
無許可ソフトウェアの禁止

86%

機器廃棄時のデータ消機器廃棄時のデータ消去

85%

2014年度

2015年度

6%

その他
その他
上記対策はいずれも未
上記対策はいずれも未実施
2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

②(g)

29%

新たなリスク源への対策
新たなリスク源への対
38%

②(f)

51%

証跡管理
証跡管理

現時点では予定なし
現時点では予定なし

②(c)
91%

2%

2014年度

2015年度

2016年度15

６．調査結果詳細 － 各個別設問のグラフ及び分析(6/19) －(2) 情報セキュリティ対策の実施状況（続き）② 情報に係る対策(c) 具体的なネットワークへの侵⼊防⽌対策の実装状況
・具体的なネットワークへの侵⼊防⽌対策としては、ネットワークの分離、ファイアウォールの設置（適⽤範囲の⾒直しを含む）の実施率
が7〜8割程度と、他の対策より相対的に⾼い。
具体的なネットワークへの侵入防止対策の実装状況（複数回答）
0%

25%

50%

75%

100%
84%

ネットワークの分離
ネットワークの分離

76%

FWの設置(適用範囲のFWの設置(適用範囲の見直しを含む)16%

FWの設置(適用範囲のFWの設置(適用範囲の見直しは除く)IDSの導入(検知条件のIDSの導入(検知条件のチューニングを含む)

IDSの導入(検知条件のIDSの導入(検知条件のチューニングは除く)

その他
その他

②(d)
33%

5%

②(e)

5%

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

16

６．調査結果詳細 － 各個別設問のグラフ及び分析(7/19) －(2) 情報セキュリティ対策の実施状況（続き）② 情報に係る対策(d) FWの適⽤範囲を⾒直していない理由(e) IDSの検知条件をチューニングしていない理由

・ファイアウォールの適⽤範囲を⾒直していない理由としては、導⼊前と前提・要件が同じとの回答が最多。これに、対応優先順位が低
いとの回答が続く。

・侵⼊検知システムの検知条件をチューニングしていない理由としては、導⼊時から不都合がないとの回答が最多。これに、対応の優先順位が低
いとの回答が続く。
IDSの検知条件をチューニングしていない理由（単一回答）

ＦＷの適用範囲を見直していない理由（単一回答）
0%

25%

50%

75%

0%

100%

25%

50%

75%

100%

44%

46%

IDS導入時から不都合
IDS導入時から不都合がない

FW導入時と前提･要件
FW導入時と前提･要件
が同一

15%

20%

FW導入にて対策完了とFW導入にて対策完了と認識

IDS導入にて対策完了
IDS導入にて対策完了
と認識

26%

29%

対応の優先順位が低い
対応の優先順位が低い

対応優先順位が低い
対応優先順位が低い

15%

5%

その他
その他

その他
その他

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

17

６．調査結果詳細 － 各個別設問のグラフ及び分析(8/19) －(2) 情報セキュリティ対策の実施状況（続き）② 情報に係る対策(f) 具体的な無許可ソフトウェア導⼊禁⽌対策の実施状況(g) 具体的な新たなリスク源への対策

・具体的な無許可ソフトウェア導⼊禁⽌対策の実装状況としては、
マルウェア対策ソフトの使⽤が最多。これに、可搬媒体の利⽤制限、
パターンファイル更新（1週間以内）、リモートアクセスの利⽤制限が続く。

・具体的な新たなリスク源への対応としては、標的型攻撃が最多。これに、スマートデバイスのセキュリティ、制御システムを狙ったマルウェ
ア、クラウドサービスのセキュリティ管理が続く。

具体的な無許可ソフトウェア導入禁止対策の実装状況（複数回答）

具体的な新たなリスク源への対策（複数回答）

0%

25%

50%

75%

セキュリティパッチの適用
セキュリティパッチの(1ヵ月以内)100%

パターンファイル更新(1週間パターンファイル更新
以内)

78%
5%

75%

100%
82%

57%

制御システムを狙った
マルウェア
34%

暗号の危殆化
暗号の危殆化73%

管理者権限IDの限定貸与
管理者権限IDの限定貸43%

管理者権限ID貸与先の定期点
管理者権限ID貸与先の
検webサイトの閲覧制限
webサイトの閲覧制限

26%

webサイトの閲覧制限対象の
webサイトの閲覧制限
定期点検

24%

40%

プロトコルの脆弱性
プロトコルの脆弱性
82%52%

利用を許可した可搬媒体の管利用を許可した可搬媒
理75%

リモートアクセスの利
リモートアクセスの利用制限
38%

2015年度

2016年度

51%

クラウドサービスのセクラウドサービスのセキュリティ管理61%

スマートデバイスのセ
スマートデバイスのセ
キュリティ
その他

8%

2014年度

27%

IPv6への移行

可搬媒体の利用制限
可搬媒体の利用制限

その他
その他

50%

96%

マルウェア対策ソフト
マルウェア対策ソフトの使用

リモートアクセスの利用状況
リモートアクセスの利管理

25%

標的型攻撃(内部情報
窃取等)

10%

セキュリティパッチの適用
セキュリティパッチの(1ヵ月以超)パターンファイル更新(1週間パターンファイル更新
超)

0%

64%

14%

2014年度

2015年度

2016年度※政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

18

６．調査結果詳細 － 各個別設問のグラフ及び分析(9/19) －(2) 情報セキュリティ対策の実施状況（続き）② 情報に係る対策(h) 経営層への報告対象
・各状況とも、報告対象としている割合は概ね1〜2割の範囲。また、報告未実施の事業者が半数近くを占める。

経営層への報告対象（複数回答）
0%

25%

75%

100%

14%

セキュリティパッチのセキュリティパッチの適用状況
パターンファイル更新
パターンファイル更新
状況

50%

11%

21%

不審メールへの対処状況16%

可搬媒体の利用状況
可搬媒体の利用状況
リモートアクセスの利
リモートアクセスの利
用状況

8%

スマートデバイスの利
スマートデバイスの利
用状況

10%

20%

外部委託先のセキュリ
外部委託先のセキュリ
ティ対応状況

21%

その他
その他

47%

報告未実施
報告未実施

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

19

６．調査結果詳細 － 各個別設問のグラフ及び分析(10/19) －(2) 情報セキュリティ対策の実施状況（続き）③ 要件の明確化(a) 委託先との契約条項(b) 明確化済の情報セキュリティ対策要件

・ほとんどの契約で機密保持・情報の⽬的外利⽤禁⽌の条項が設けられている。
・⼀⽅、委託元と同レベルの対策実施、監査/訓練/演習への協⼒の項⽬を設けている割合は4割強。

・明確化済の情報セキュリティ対策要件としては、事業者の7割が情報セキュリティ確保に必要な機能要件、5割強がリスク源への対応
要件を挙げている。

委託先との契約条項（複数回答）

明確化済の情報セキュリティ対策要件（複数回答）

0%

25%

50%

75%

100%

0%

25%

50%

75%

100%

76%

責任分界点･サービスレベ
責任分界点･サービス
ルの明確化

70%
96%

機密保持･情報の目的外利
機密保持･情報の目的
用禁止

③(c)

情報セキュリティ確保
情報セキュリティ確保に必要な機能要件

55%

委託管理責任者の設置
委託管理責任者の設置
41%

委託元と同レベルの対策
委託元と同レベルの対
実施

51%
75%

再委託の制限再委託の制限③(d)リスク源への対応要件
リスク源への対応要件

64%

障害発生時の対応
障害発生時の対応
43%

監査/訓練/演習への協力
監査/訓練/演習への協

28%
75%

違約時の対処(損害賠償請
違約時の対処(損害賠求等)

上記はいずれも未締結
上記はいずれも未締結

上記はいずれも要件の上記はいずれも要件の
未明確化

2%

2014年度

2015年度

2016年度

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

20

６．調査結果詳細 － 各個別設問のグラフ及び分析(11/19) －(2) 情報セキュリティ対策の実施状況（続き）③ 要件の明確化(c) 具体的な情報セキュリティ確保に必要な機能要件(d) 対応を要する具体的なリスク源

・情報セキュリティ確保に必要な機能要件としては、認証機能、アクセス制限機能、権限管理機能のいずれも同程度の割合。

・対応を要する具体的なリスク源としては、セキュリティホール、マルウェ
ア等の不正プログラムがいずれも同程度の割合。

具体的な情報セキュリティ確保に必要な機能要件（複数回答）

対応を要する具体的なリスク源（複数回答）

0%

25%

50%

75%

100%

0%

25%

50%

75%

100%

91%
92%

認証機能
セキュリティホール
セキュリティホール

91%

アクセス制御機能94%

マルウェア等の不正プ
ログラム
マルウェア等の不正プ
91%

権限管理機能

13%
8%

その他

その他

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

21

６．調査結果詳細 － 各個別設問のグラフ及び分析(12/19) －(2) 情報セキュリティ対策の実施状況（続き）④ 重点化対策と対象とする脅威(a) 重点化している情報セキュリティ対策
・重点化している情報セキュリティ対策としては、情報漏えい防⽌が8割以上と最も多く、これに事業継続性確保が続く。

重点化している情報セキュリティ対策（複数回答）
0%

25%

50%

75%

100%

65%

事業継続性確保
事業継続性確保④(b)84%

情報漏えい防止
情報漏えい防止57%

外部委託の情報セキュ
外部委託の情報セキュ
リティ確保
33%

新たなリスク源
新たなリスク源

④(c)
12%

その他
その他

7%

特になし
特になし

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

22

６．調査結果詳細 － 各個別設問のグラフ及び分析(13/19) －(2) 情報セキュリティ対策の実施状況（続き）④ 重点化対策と対象とする脅威(b) 想定する事業継続性を阻害するIT障害の原因(c) ITの環境変化に伴う新たなリスク源・想定する事業継続性を阻害するIT障害の原因としては、8割強の事業者が⾃然災害を挙げ、これにサイバー攻撃、構築・保守のミス、物理的破壊が続く。

・ITの環境変化に伴う新たなリスク源としては8割の事業者が標的型攻撃を挙げ、これにスマートデバイスのセキュリティ、制御システムを狙ったマルウェア、クラウドサービスのセキュリティ管理が続く。

想定する事業継続性を阻害するIT障害の原因（複数回答）

ITの環境変化に伴う新たなリスク源（複数回答）

0%

25%

50%

75%

100%

68%

0%

25%

50%

75%
80%

標的型攻撃(内部情報
標的型攻撃(内部情報窃取等)

サイバー攻撃サイバー攻撃61%

制御システムを狙った
制御システムを狙った
マルウェア

68%

構築･保守のミス
構築･保守のミス

100%

33%

暗号の危殆化
暗号の危殆化
64%

物理的破壊
物理的破壊

23%

IPv6への移行
IPv6への移行
83%

自然災害
自然災害

58%

クラウドサービスのセクラウドサービスのセキュリティ管理29%

疾病の流行によるオペ
疾病の流行によるオペ
レータ不足

32%

プロトコルの脆弱性
プロトコルの脆弱性

69%

スマートデバイスのセ
スマートデバイスのセ
キュリティ
3%

その他
その他

その他
その他

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

7%

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

23

６．調査結果詳細 － 各個別設問のグラフ及び分析(14/19) －(2) 情報セキュリティ対策の実施状況（続き）⑤ 事業継続計画の策定・改定(a) 事業継続計画の策定・⾒直し状況(b) 事業継続計画の⾒直しをしていない理由
・事業継続計画を策定したものの現在は⾒直しを⾏っていない理由としては、対応の優先順位が低いためとの回答が6割強で最多。

・事業継続計画は、55%程度の事業者が現在未策定の状況。

事業継続計画の見直しをしていない理由（単一回答）

事業継続計画の策定・見直し状況（単一回答）
0%

25%

0%

100%

25%

50%

75%

100%

0%

評価･検証に基づき､見評価･検証に基づき､見直し不要と判断
26%

策定済･不定期に見直策定済･不定期に見直
し中

策定中
策定中

75%

19%

策定済･定期的に見直
策定済･定期的に見直し中策定済･現在は見直し
策定済･現在は見直しをしていない50%

19%

評価･検証は未実施も､評価･検証は未実施も､見直し不要と判断

3%

11%

62%

対応の優先順位が低い
対応の優先順位が低い
15%

策定予定がある
策定予定がある
19%

その他
その他

26%

策定を予定していない策定を予定していない

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

24

６．調査結果詳細 － 各個別設問のグラフ及び分析(15/19) －(2) 情報セキュリティ対策の実施状況（続き）⑥ 対策の対外説明(a) 情報セキュリティ対策の対外説明状況(b) 情報セキュリティ対策の対外説明⼿段

・情報セキュリティ対策の対外説明を現状実施している事業者は2割強である⼀⽅、予定していない事業者は6割弱で最多。

・情報セキュリティ対策の対外説明を実施している事業者が⽤いる⼿段としては、webサイトが65%程度と最多。これに、その他の⼿段、有価証券報告書が続く。

情報セキュリティ対策の対外説明状況（単一回答）

情報セキュリティ対策の対外説明手段（複数回答）

0%

25%

50%

75%

0%

100%

8%

25%

75%

100%

17%

情報セキュリティ報告
情報セキュリティ報告書

定期的に説明50%

13%

CSR報告書
CSR報告書15%

不定期に説明42%

有価証券報告書
有価証券報告書
11%

現在は説明を未実施
ディスクロージャー資ディスクロージャー資
料

2%

7%

説明予定

64%

webサイトwebサイト58%

説明予定なし

54%

その他
その他

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

25

６．調査結果詳細 － 各個別設問のグラフ及び分析(16/19) －(2) 情報セキュリティ対策の実施状況（続き）⑦ IT障害発⽣時の情報提供(a) 障害発⽣時の情報提供⽅策の明⽰状況(b) 具体的な障害発⽣時の情報提供体制の有無
・障害発⽣時の情報提供体制としては、サービスの利⽤者向けが8割強と最多。これに、所管省庁向け、業界窓⼝向けが続く。

・約6割の事業者が、障害発⽣時の情報提供⽅策を明⽰済。

具体的な障害発生時の情報提供体制の有無（複数回答）

障害発生時の情報提供方策の明示状況（単一回答）
0%

25%

50%

75%

0%

100%

25%

50%

75%

100%
86%

57%

サービスの利用者向けサービスの利用者向け

明示済
79%

所管省庁向け所管省庁向け58%
43%

業界窓口向け業界窓口向け明示未済
4%

上記はいずれも体制な
上記はいずれも体制なし2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

26

６．調査結果詳細 － 各個別設問のグラフ及び分析(17/19) －(2) 情報セキュリティ対策の実施状況（続き）⑧ ITの環境変化に伴い想定する脅威(a) 新たなリスク源に係る課題抽出状況(b) 具体的な課題抽出対象のリスク源

・新たなリスク源に係る課題抽出を現状実施している事業者は5割弱、実施予定なしの事業者は3割弱。

・課題抽出を実施している事業者の具体的な課題抽出対象のリス
ク源は標的型攻撃が8割強で最多。これに、スマートデバイスのセ
キュリティ、クラウドサービスのセキュリティ管理が続く。

新たなリスク源に係る課題抽出状況（単一回答）

具体的な課題抽出対象のリスク源（複数回答）

0%

25%

50%

75%

0%

100%

25%

50%

定期的に実施43%

制御システムを狙った
制御システムを狙った
マルウェア
33%

不定期に実施26%

暗号の危殆化
暗号の危殆化17%

IPv6への移行
IPv6への移行

9%

現在は未実施25%

プロトコルの脆弱性
プロトコルの脆弱性
20%66%

スマートデバイスのセ
スマートデバイスのセ
キュリティ

27%

実施予定なしその他
その他

2015年度

60%

クラウドサービスのセクラウドサービスのセキュリティ管理

実施予定あり2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

100%
82%

標的型攻撃(内部情報
標的型攻撃(内部情報
窃取等)

12%

2014年度75%

14%

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

27

６．調査結果詳細 － 各個別設問のグラフ及び分析(18/19) －(3) 安全基準等の準拠状況① 内規に基づく⾃⼰点検の実施(a) ⾃⼰点検による課題抽出・改善状況② 演習・訓練等の実施(a) 演習・訓練等による課題抽出・改善状況

・定期的な点検の実施状況は5割弱。定期的な点検に基づく課題
抽出・改善の実施状況は3割強。

・定期的な演習・訓練等の実施状況は2割弱。定期的な実施に基づく課題抽出・改善の実施状況も同程度。
・⼀⽅、5割の事業者は実施予定なしと回答。

自己点検による課題抽出・改善状況（単一回答）

演習・訓練等による課題抽出・改善状況（単一回答）

0%

25%

1度以上/1年以内の点検に1度以上/1年以内の点て課題抽出･改善を実施
1度以上/2年以内の点検に1度以上/2年以内の点て課題抽出･改善を実施

10%

19%

17%

定期的な点検のみ実施
定期的な点検のみ実施

点検実施予定あり
点検実施予定あり

点検実施予定なし
点検実施予定なし

12%

1度以上/2年超の演習･訓練等
1度以上/2年超の演習にて課題抽出･改善を実施

1%

現在演習･訓練等未実
現在演習･訓練等未実施

6%

2016年度※⾦融は読替え可能項⽬なし（集計対象に含めず）

100%

7%

4%

5%

18%

50%

演習･訓練等実施予定なし
演習･訓練等実施予定

2015年度75%

1%

演習･訓練等実施予定
演習･訓練等実施予定あり

5%

50%

13%

2%

不定期な演習･訓練等のみ実
不定期な演習･訓練等
施

2014年度25%

1度以上/2年以内の演習･訓練
1度以上/2年以内の演等にて課題抽出･改善を実施

不定期に実施の演習･訓練等
不定期に実施の演習･にて課題抽出･改善を実施

8%

点検未実施
点検未実施

0%

100%

定期的な演習･訓練等のみ実
定期的な演習･訓練等
施

18%

不定期に実施の点検にて
不定期に実施の点検に
課題抽出･改善を実施

75%

1度以上/1年以内の演習･訓練
1度以上/1年以内の演等にて課題抽出･改善を実施

2%

1度以上/2年超の点検にて1度以上/2年超の点検
課題抽出･改善を実施

不定期な点検のみ実施
不定期な点検のみ実施

50%

2014年度

2015年度

2016年度※⾦融、政府・⾏政サービスは読替え可能項⽬なし（集計対象に含めず）

28

６．調査結果詳細 － 各個別設問のグラフ及び分析(19/19) －(3) 安全基準等の準拠状況（続き）③ 内部監査の実施(a) 内部監査による課題抽出・改善状況④ 外部監査の実施(a) 外部監査による課題抽出・改善状況

・定期的な内部監査の実施状況は5割弱。定期的な内部監査に基づく課題抽出・改善の実施状況は35%程度。

・定期的な外部監査の実施状況は2割強。定期的な外部監査に基づく課題抽出・改善の実施状況は15%。

内部監査による課題抽出・改善状況（単一回答）

外部監査による課題抽出・改善状況（単一回答）

0%

25%
8%

1度以上/1年以内の内部監査
1度以上/1年以内の内にて課題抽出･改善を実施
1度以上/2年以内の内部監査
1度以上/2年以内の内にて課題抽出･改善を実施

11%

16%

1度以上/2年超の内部監査に1度以上/2年超の内部て課題抽出･改善を実施

不定期な内部監査のみ実施
不定期な内部監査のみ

現在内部監査未実施
現在内部監査未実施

内部監査実施予定あり
内部監査実施予定あり

内部監査実施予定なし
内部監査実施予定なし

75%

100%

0%

25%

1度以上/1年以内の外部監査
1度以上/1年以内の外にて課題抽出･改善を実施

5%

1度以上/2年以内の外部監査
1度以上/2年以内の外にて課題抽出･改善を実施

3%

不定期に実施の外部監査に
不定期に実施の外部監て課題抽出･改善を実施

4%

不定期な外部監査のみ
不定期な外部監査のみ実施

4%

外部監査実施予定あり
外部監査実施予定あり
11%

2014年度

外部監査実施予定なし
外部監査実施予定なし

2015年度

2016年度※⾦融は読替え可能項⽬なし（集計対象に含めず）

100%

4%

1%

14%

現在外部監査未実施
現在外部監査未実施

5%

75%

6%

定期的な外部監査のみ実施
定期的な外部監査のみ

6%

50%

7%

1度以上/2年超の外部監査に1度以上/2年超の外部て課題抽出･改善を実施

13%

定期的な内部監査のみ実施
定期的な内部監査のみ
不定期に実施の内部監査にて不定期に実施の内部監
課題抽出･改善を実施

50%

3%

16%

2014年度

2015年度

2016年度※⾦融は読替え可能項⽬なし（集計対象に含めず）

29

６．調査結果詳細 － ⾃由意⾒(1/2) －【経営層の在り⽅に関する意⾒】• ⼈員が少なく、なかなか対策に⼿が回らない。（往訪調査でも同様の意⾒あり。）• ⼩規模の事業体では、セキュリティ対策の必要性を理解していても、対策の策定や⾒直しには⼈的時間的に制約があり、実施できない状況がある。
• ＩＴ⼈材育成のための⽀援を重視して頂きたい。
• ⼀企業の⽴場で情報セキュリティ対策を講じようとすると、それなりの費⽤がかかる。これに対して⼀定額の補助を国として制度化していただけるなら、もっと良い対策を講じることができると考える。

【事業者等による⾃らの責任における実施状況に関する意⾒】• 企業の体⼒に応じた評価指標などがより充実すると、効果的なセキュリティ対策ができると考える。
• それぞれの企業の⽔準に合わせた、⽔準別対策などがあると⽬標としやすいのではないか。
• セキュリティ対策（現状では主にサイバー攻撃対策）はどれだけ強化しても利益を⽣み出すわけではなく、⼀般的にその重要性は理解されても、必要性は軽視されがちであり、特に費⽤⾯ではある意味軽減を図りやすい⼀⾯がある。こういった問題点を広くかつ分かりやすく知らしめる観点からも、対策を怠ることによる影響額（被害額＋投資コスト）がどれだけの利益、資産等の損失に⾄るかの指標的なものを⽰してほしい。

【情報共有体制の推進に関する意⾒】••••

現実のリスクの公開と情報共有が必要。セキュリティベンダー間では実現しているが、ユーザー間ではリスクの共有がなされていない。
⼤規模なサイバー攻撃、セキュリティインシデント発⽣時の迅速な対応をお願いしたい。
引き続きNISCメール等による情報提供をお願いする。
国からの脆弱性情報等が届いていない。（往訪調査時の意⾒）※分野個別の意⾒は別途所管省庁へ提⽰30

６．調査結果詳細 － ⾃由意⾒(2/2) －【防護基盤の強化（広報公聴活動）に関する意⾒】• 指針の重要部分を抜粋した概要資料があれば、周知・理解に役⽴つと考える。
• セミナー等を開いていただければ内容がより理解できると思う。
• 公的機関での広報活動をもっと積極的に⾏ってほしい。

【その他の意⾒】
本編、対策編の策定は⼤変ありがたい。欲を⾔えばチェックシートなどがあるとさらに有意義なものになると思う。
ＩＴ関連の危険性を学校教育の場で教えておいた⽅がよいのではないか。
今回の質問について、社内セキュリティの観点から答えにくい点があった。
本アンケートについて、⽤語の意味合いや問いの位置付けが難解であった。
情報セキュリティの相談窓⼝の設置をお願いしたい。
現在、コンピュータウィルスの対策はソフトウェア業界任せであり、真の脅威に積極的に取り組んでいるとは⾔い難いと思う。真の脅威を未然に防ぐために国の研究機関が重要なコンピュータウィルス対策を⾏うべきではないか。
• ISMS認証やプライバシーマークの取得が、継続的なセキュリティ対策の改善につながっている。（往訪調査時の意⾒）• ⾃社のセキュリティ対策の⽔準が、どの程度なのかを知りたい。（往訪調査時の意⾒）• 同業他社との意⾒交換の場を設け、⾃社のセキュリティ対策の⽔準や最新動向等を把握するように努めている。（往訪調査時の
意⾒）
•
•
•
•
•
•

31

７．＜参考＞ － アンケート項⽬(1/2) －調査に⽤いたアンケート項⽬は以下の通り。
【Ⅰ．基礎的事項】

貴社（⼜は貴団体）の従業員数を選んでください。

【Ⅱ．指針の認知状況に係る事項】(1) 本編及び対策編をご存知ですか。
(2) 本編及び対策編を何で知りましたか。
(3) 今後の周知⽅法の検討に活かしたいと思いますので、効果的に周知する⼿段について良いと思われるものがありましたらご紹介ください。

【Ⅲ．情報セキュリティ対策の実施状況に係る事項】(1) 情報セキュリティ対策にあたって、経営層と合意の上、重点化しているものをお知らせください。
(2) （ＩＴ障害防⽌等の観点から⾒た事業継続性確保のための対策を重点化している場合）
事業継続性を阻害する具体的な想定原因をお知らせ下さい。
(3) （ＩＴの環境変化に伴う新たなリスク源への対策を重点化している場合）対象とするリスク源等をお知らせください。
(4) 内規の策定・⾒直しの契機をお知らせ下さい。
(5) 内規策定・改訂を⾏う際の体制をお知らせ下さい。
(6) 内規改訂に要するおおよその期間をお知らせ下さい。
(7) 内規において規定済のものをお知らせ下さい。
(8) 対策に係る計画またはロードマップの策定・⾒直し状況をお知らせ下さい。
(9) 事業継続計画の策定・⾒直し状況をお知らせ下さい。
(10) 事業継続計画の策定・⾒直しを⾏ったことはあるが、現在は⾒直しを⾏っていない場合）現在は⾒直しをしていない理由をお知らせ下さい。
(11) 組織・体制及び資源の確保として⾏っているものをお知らせ下さい。
(12) （情報セキュリティに係る⼈材育成、教育を⾏っている場合）教育テーマの対象としているものをお知らせ下さい。
(13) 委託先との契約において締結されているものをお知らせ下さい。
(14) 情報セキュリティ要件を明確にしているものをお知らせ下さい。
(15) （情報セキュリティ確保のために求められる機能の観点から、情報システムに導⼊すべきセキュリティ要件を明確化している場合）明確化した情報セキュリティ要件をお知らせ下さい。
(16) （情報セキュリティについてのリスク源に対して、情報システムに導⼊すべきセキュリティ要件を明確化している場合）明確化した情報セキュリティ要件にて対象とするリスク源をお知らせ下さい。

32

７．＜参考＞ － アンケート項⽬(2/2) －【Ⅲ．情報セキュリティ対策の実施状況に係る事項】（続き）(17) 明確化した情報セキュリティ要件への対応として、対策を⾏っているものをお知らせ下さい。
(18) （明確化した情報セキュリティ要件への対策として「ネットワークへの侵⼊防⽌」を⾏っている場合）
具体的に対応しているものをお知らせ下さい。
(19) （明確化した情報セキュリティ要件への対策として「ファイアウォールの導⼊」を⾏っているが、適⽤範囲の妥当性評価・必要に応じた⾒直しは⾏っていない場合）適⽤範囲の妥当性評価・必要に応じた⾒直しを⾏っていない理由をお知らせ下さい。
(20) （明確化した情報セキュリティ要件への対策として「侵⼊検知システムの導⼊」を⾏っているが、検知条件の妥当性評価・必要に応じた
チューニングは⾏っていない場合）検知条件の妥当性評価・必要に応じたチューニングを⾏っていない理由をお知らせ下さい。
(21) （情報セキュリティ要件への対策として無許可ソフトウェアの導⼊禁⽌を⾏っている場合）具体的に対応しているものをお知らせ下さい。
(22) （ＩＴの環境変化に伴う新たなリスク源への対策を⾏っている場合）対象としているリスク源をお知らせ下さい。
(23) 経営層への報告対象としているものをお知らせ下さい。
(24) 情報セキュリティ対策についての対外的な説明状況をお知らせ下さい。
(25) （情報セキュリティ対策についての対外的な説明を⾏っている場合）その説明⽅法をお知らせ下さい。
(26) 重要インフラサービスに障害が発⽣した場合に、障害の状況や復旧等の情報提供の⽅策が明⽰されていますか。
(27) （重要インフラサービスに障害が発⽣した場合における情報提供の⽅策が明⽰されている場合）
提供先において情報提供に向けた体制がありますか。
(28) ＩＴの環境変化に伴う新たなリスク源について、リスクの特定・分析等を通じた確認・課題抽出を⾏っていますか。
(29) （ＩＴの環境変化に伴う新たなリスク源について確認・課題抽出を⾏っている場合）
現時点で対象とする新たなリスク源等をお知らせ下さい。
(30) 安全基準等や内規等に基づく情報セキュリティ対策の実施状況の⾃⼰点検を⾏い、同対策の改善につなげていますか。
(31) 情報セキュリティ対策の実施状況に係る内部監査を⾏い、同対策の改善につなげていますか。
(32) 情報セキュリティ対策の実施状況に係る外部監査を⾏い、同対策の改善につなげていますか。
(33) ＩＴ障害発⽣を想定した演習・訓練等を実施し、情報セキュリティ対策の改善につなげていますか。

【Ⅳ． その他⼀般的事項】(1) 本編、対策編に対してのご意⾒がありますか。（⾃由意⾒を記載）(2) 安全基準等に対してのご意⾒がありますか。（⾃由意⾒を記載）(3) その他、ご意⾒がありますか。（⾃由意⾒を記載）

33