情報セキュリティガバナンス協議会
2013 年度 ワーキンググループ１
最終報告
情報セキュリティ活動の見える化に関する検討
コンテンツ
１．背景・目的
２．検討メンバー
３．検討経緯４．全体構成５．モデル企業の設定
６．経営課題と対応方針
７．情報セキュリティ目的
８．情報セキュリティ目標
９．情報セキュリティ対策項目
10．今後の課題

2014年6月30日

１. 背景・目的
一般に情報セキュリティ活動に関する明確な尺度がないため、組織の情報セキュリティ担当部門では、以下の点で悩むケースが多いと考えられる。
・情報セキュリティ活動の状況や課題等をどのように把握するか
・情報セキュリティ活動の状況や課題等を経営陣にどのように報告するか
前者については、現在、各社が状況把握のために行っている情報収集・分析の方法を比較・整理する方向と、情報セキュリティ上の様々な脅威に対し、どのような対策をどこまでとるのが妥当か、各社の取組やリスクの許容範囲等を比較し、妥当な水準の考え方を明らかにする方向がある。
昨年度のワーキンググループ（WG）では，事例分析等を通じて，測定項目や評価方法等の暫定案を策定するとともに，情報セキュリティ活動の見える化に関する事例を整理し，問題とその改善案をとりまとめた。その一方，情報セキュリティ活動が経営陣に適正に評価される構造が十分に形成できておらず，理解を得ることに苦労している状況が明らかになった。その背景には，以下の問題が挙げられる。
・情報セキュリティの取組みがどれだけビジネスに貢献しているかわかりにくく，情報セキュリティ活動やその向上が経営陣に訴求しにくい・日常的な業務を支える基本的な情報セキュリティ対策は，経営陣にとって「適正に管理運用されて当たり前」のものであり，その取組みに対する関心が薄い
そこで，本年度のWGの活動では，経営陣が情報セキュリティ活動に関心を持ち，その評価を適正に行うことを目指し，以下の目的を設定する。
・経営陣に効果的に訴求する情報セキュリティ活動の提示方法を提案する・経営陣が情報セキュリティ活動の妥当性について容易に評価できる仕組みを提案する

1

２. 検討 メンバー
 検討メンバー （社名：五十音順 氏名：敬称略）
EMCジャパン株式会社
株式会社 インフォセック
京王電鉄株式会社
株式会社ジェイティービー
新日本有限責任監査法人
積水化学工業株式会社
石油資源開発株式会社
株式会社高島屋
デロイトトーマツリスクサービス株式会社
日本電気株式会社
富士ゼロックス株式会社
富士通株式会社
株式会社三菱総合研究所
三菱電機インフォメーションテクノロジー株式会社持田製薬株式会社

矢野 薫(2014年2月まで)
田中 洋
細田 正実
戸田 磨
勝村 学
竹内 守
藤井 雅久
井上 哲三
渡部 豊
甲田 輝彦
杉森 裕司
西見 俊彦
川口 修司
橋詰 雅樹
山野邊 渉

（事務局）
株式会社三菱総合研究所

江連 三香

2３. 検討経緯
第１回

7／31（水）キックオフ、論点整理

第２回

8／29（木）見える化の目的について（日本電気）

第３回

9／25（水）検討方針について事例紹介（積水化学様）（積水化学）

検討方針について事例紹介（日本電気様）（持田製薬）

第５回 11／25（月）

検討方針及び検討体制について（京王電鉄）

第６回 12／16（月）分科会作業（トーマツ）

第７回

1／17（金）分科会作業（インフォセック）

合宿

2／14（金）～15（土） 【宿泊集中討議】

第８回

2／20（木）

分科会作業

第９回

3／07（金）報告書の作成方針

第10回

3／28（金）報告書について第４回 10／22（火）（三菱総合研究所）（WG1、WG2合同：京王電鉄様の会議施設等）（富士通）（インフォセック）（三菱電機インフォメーションテクノロジー）

3４. 全体構成(1) 問題意識

 情報セキュリティ活動やその向上に対する経営陣の関心が乏しい
・情報セキュリティの取組みがどれだけビジネスに貢献しているかわかりにくい・経営陣にとって、セキュリティ対策が適正に管理運用されることは「当たり前」
・事件・事故が起きない限り、情報リスクについてあまり考えない
どうしたらリスクや、情報セキュリティの取組みのビジネスへの貢献を経営陣に評価してもらえるか経営陣が最も関心のある領域でリスクや必要な取組みを説明する

 情報セキュリティ活動の現状が適切か否か、判断が難しい・リスクに対し対策が適切であるかを絶対的に評価することは困難
・他組織の取組みと比較して妥当性を評価することは可能だが、比較可能なデータを集積する必要がある
どうしたら取組みが十分かどうかを客観的に評価してもらえるか

目的・目標を明確化し、評価可能な指標を設定する

 合理的なコストの範囲でリスクを「ゼロ」にするのは困難であることが理解されない
・「リスクを許容する」ということが理解されず，情報セキュリティ担当者の取組みを正しく評価できない可能性もどうしたら残留リスクが許容できることを理解してもらえるか

直感的にイメージできる
参考値を活用する

4

４. 全体構成(2) 基本的な考え方

 検討目標・経営陣の打ち出す中期計画、経営目標、事業方針等に必要な情報セキュリティの取組みに焦点を当て、情報セキュリティ活動がビジネスに直結する構造を提示
・情報セキュリティ活動について評価可能な仕組みを提示
 検討の視点
・「情報セキュリティガバナンス導入ガイダンス」で提示されたフレームワークを参考に、経営目標・経営課題から情報セキュリティ対策項目を導くプロセスを想定
・モデル企業を想定し、上記のプロセス（仮説）を適用して、その実用性を評価
情報セキュリティ目的
リスク管理方針の実現に向けて、情報セキュリティ分野で達成すべき最終の状態（ゴール）情報セキュリティ目標
情報セキュリティ目的を実現するために一定の時間内に達成すべき状態（マイルストーン）。達成度を計測する指標値として明確化

リスク管理方針と目的・目標の関係（出典：経済産業省「情報セキュリティガバナンス導入ガイダンス」, 2009/06）

5

４. 全体構成(3) 検討方針 検討方針・体制• 基本的な考え方に基づき、経営目標・経営課題から情報セキュリティ対策項目に連なるフローを設定、各工程を具体化することで、各社が参考にできる考え方を示す• フローを上流・下流の2つに分け、それぞれ検討グループを設置する

ビジネスニーズ

経営目標
経営課題
As Is 分析

事業内容
情報資産

To Be 分析

事業方針
システム化方針
情報セキュリティ
リスク

めざすべき状態の設定

達成度を評価する指標の設定

目標に応じた対策の選択

情報
セキュリティ目的

情報
セキュリティ
目標

情報セキュリティ
対策項目

確率的に発生しうる事象のデータ（基準参考値）

Aグループ
モデル企業を想定し、経営目標・経営課題から情報セキュリティ目的の導出を試行

Bグループ
情報セキュリティ活動の評価方法の確立及び確率的に発生しうる事象のデータの整理6

試しに検討してみると・・・• 簡単に一般化・定式化できるものではない
・抽象的で次の一手が見えない・事業展開は企業毎に異なる・既存策に引っ張られる・表現が抽象的になる

ビジネスニーズ経営目標
経営課題
As Is 分析

事業内容
情報資産

To Be 分析

事業方針
システム化方針
情報セキュリティ
リスク・妥当な水準が伝わりにくい・既存策に引っ張られるめざすべき状態の設定

達成度を評価する指標の設定

目標に応じた対策の選択

情報
セキュリティ目的

情報
セキュリティ
目標

情報セキュリティ
対策項目

・経営の立場で事業を理解していない・分析者の知見・経験に偏る・ある程度具体的なイメージがないと議論が難しい

確率的に発生しうる事象のデータ（基準参考値）「モデル」を設定して論点を具体化する

7

5. モデル企業の設定• 各工程の具体化を図るため、モデル企業（百貨店A社）を設定し、その経営課題や事業方針を策定した。

■モデル企業A社の設定
・大手小売業
・老舗、ブランド力あり・アジアを中心に海外店舗を展開■業界を取り巻く環境•

若者による百貨店離れの進行、郊外型のショッピングモール・アウトレットの台頭など厳しい市場環境•

各社は生き残りをかけ、再編や改革に向けた取組みに着手■経営課題①店舗の補完機能の整備
・来店顧客の高齢化への対応・遠距離顧客のロイヤリティ維持②アジア富裕層の獲得・ブランドイメージの浸透
・「安心・安全」のセールスポイント化

・顧客情報の保護を重要視
・顧客情報を活用した新たな展開にも関心あり■事業方針(a) オムニチャネルの展開
・販売機会の多面的拡大
・ターゲティング×チャネル×商圏(b) 顧客行動分析
・購入商品や行動の把握→潜在ニーズの掘り起し・来店頻度に応じた販売促進策の実施
・多様なデータを組み合わせて利用できる統合環境(c) 海外商圏の本格展開
・国内店舗の営業ノウハウの現地展開
・海外拠点における情報活用の自由度向上

8（参考）オムニチャネルとIT• オムニチャネルとは、実店舗やネットショップ等の販売チャネルや流通チャネルを統合し、どのような販売チャネルからも同じような利便性で商品を購入できる環境を実現すること。

• オムニチャネルにおけるITの役割として、あらゆる顧客接点から同質の利便性を有する注文・購入環
境、顧客情報の統合管理、在庫や決済、流通の一元管理などの方向が挙げられる。

CRM

会員

顧客行動履歴外商顧客

通販

販売チャネル
クレジット会員

電子マネー
ポイントカード
サプライチェーン在庫管理
しｋ店舗
Web

SNS

委託販売 -> 買取

ロジスティクス

在庫一元管理、決済
9

６. 経営課題と対応方針• 経営目標に基づき経営課題を抽出、対応方針を明らかにする。
オムニチャネル展開に関する課題と対応方針
課題

対応方針

店舗・チャネル単位の販売実績で評価するため、オムニチャネル展開に協力が得られない・評価体系の見直し
・顧客情報の一元化
・データウェアハウス
による横断的分析

アジア圏富裕層に向けた外商モデルの展開に関する課題と対応方針
課題

対応方針

・外商要員の現地採用、アウトソーシング
従来、海外店舗には外商部門がなく、進出国での ・顧客管理システム、設立が急務
外商管理システムの機能強化

商品別に在庫引当や受発 ・委託販売商品の自社注の仕組みが異なるため、 在庫管理への切替え
横断的な適性在庫の確保 ・在庫管理システムのが困難
統合、DWHとの連動

顧客ニーズに合わせた商品の紹介など適切な広告宣伝活動ができていない

・顧客ニーズに応じた広告宣伝活動
・顧客ニーズを把握する情報インフラ整備
10

７. 情報セキュリティ目的• システム化方針とITリスクから情報セキュリティ目的を設定する。
システム化方針

想定される
情報セキュリティリスク

情報セキュリティ目的

オムニチャネル展開を見据えたデータ統合の実現

データガバナンスの欠如による不適切なデー
タ更新及び参照

各情報の管理区分、管理者、利用者の明確化し、不適切な扱いがなされないよう管理を徹底する

販売チャネルとしてのインターネットの積極活用

インターネットを経由した個人情報、クレジットカード情報等の漏洩及び盗難

インターネット経由で授受および発信する情報について、厳格に情報管理レベルを定め、それにあわせた適切なセキュリティレベルを定義する

海外拠点での重要情報の活用の促進

海外拠点の現地職員、業務委託先での不適切な機密データの取扱

海外拠点の現地職員や外部委託先に対してA社の情報セキュリティ関連規程の遵守を徹底する※通常は、事業方針に対して現行のシステムを評価し、必要なシステムイメージを明確化
11

8. 情報セキュリティ目標 (1) フレーム
• 情報セキュリティ目的が達成すべき目標を次のように定める。
情報セキュリティ
リスク

情報セキュリティ目的

データガバナンスの欠如による不適切なデータ更新及び参照

各情報の管理区分、管理者、利用者の明確化し、不適切な扱いがなされないよう管理を徹底する

情報セキュリティ目標（当年度）現行の職務分掌にあわせたデータ管理ルールを ＋ 達成
ユーザに浸透させる
指標
データ管理者（データオーナー）が各所管デー
達成
タの利用状況、取扱状況を適宜モニタリングし、＋指標報告する

インターネット経由で情報を授受するシステム
インターネット経由で授受おの管理レベルを定めて実施することにより、不 ＋ 達成
インターネットをよび発信する情報について、
指標
正アクセス等による情報漏えい及び盗難を防止経由した個人情報、厳格に情報管理レベルを定め、 する
クレジットカード
それにあわせた適切なセキュ情報等の漏洩及び自社SNSでの情報発信について、発信プロセスリティレベルを定義して管理達成
盗難の整備及びモニタリングを行い、不適切な情報 ＋する
指標の流出を防止する

海外拠点の現地職
員、業務委託先での不適切な機密データの取扱現地職員、外部委託先へのセキュリティ関連規達成
海外拠点の現地職員や外部委程の遵守徹底により機密情報の漏えいを防止す ＋
指標
託先に対してA社の情報セキュ る
リティ関連規程の遵守を徹底
各事業部門の責任者と拠点責任者が遵守状況を達成する＋
適宜モニタリングし、適宜経営陣に報告する
指標
12

８. 情報セキュリティ目標 (2) 達成指標①• 情報セキュリティ目標の達成指標を、サンプル一覧を参考にして選び、自社に合うよう手を加える（インシデント抑制目標）
想定される
情報セキュリティ
リスク

情報セキュリティ
目的

インターネットを経由した個人情報、クレジットカード情報等の漏洩及び盗難

インターネット経由で授受および発信する情報について、厳格に情報管理レベルを定め、それにあわせた適切なセキュリティレベルを定義して管理する

情報セキュリティ目標
サンプル一覧
（インシデント抑制目標）
分類
情報シ 偶発ステム的脅威インシデントトラフィック／処理の過負荷、容量オーバー

目標（指標）

算出方法

サービス停止率（自社で提供している特定サービスについて稼動率等のSLAが存在する場合。免責の事由による停止を除く）
・年間のサービス停止時間／1年間 （※免責の事由による停止時間は除外）

HW障害、SW障害、NW障害
人為 アクセス
権限なし

コンピュータウィルス等の悪意ある PCのウイルス感染
感染報告件数/全PC数ソフトウェアの報告回数
DDoS攻撃不正アクセスによる改ざん・破壊
不正アクセスによる漏洩

アクセス 故意
権限あり情報の改ざん・破壊（目標例なし）（目標例なし）サーバへの不正ア 不正アクセスにより実際の被害(データ漏えい・改ざん・消失等）の発生数を0件にすクセス被害件数る（目標例なし）情報セキュリティ目標（当年度）（達成指標）
インターネット経由でPCのウイルス＝情報を授受するシステ
感染発生率
ムの管理レベルを定めて実施することにより、不正アクセス等による サーバの不正情報漏えい及び盗難を アクセス被害 ＝発生率防止する
自社SNSでの情報発信について、発信プロセスの整備及びモニタリングを行い、不適切な情報の流出を防止する

自社SNSでの不適切な書き ＝込み実施率（算出方法）（PCウイルス感染の年間報告件数）（全PC台数）（不正アクセスによるデータ漏洩・改ざん・消失等の実際の被害が発生したサーバ数）（全サーバ台数）（管理部門に報告された不適切な書き込み発生件数）

（基準値）
○％
以下

○％
以下

○％
以下

（全従業員数）（目標例なし）（ゲーム等私的目的のソフトウェアのインストール、私的目的のウェブアクセス、等を検知できる場合）
・私的目的でのIT利用に関する警告or処分件数/全従業員数
ソフトウェアライセン ・Adobe Acrobatについて、PC棚卸しの結果、発見されたライセンス違反の導入数
ス違反率/Adpbe AcrobatがインストールされているPC数
ソフトウェアや外部サービスの違法（会社でインストール禁止ソフトウェアを定めている場合。例：P2Pファイル共有ソフト、な使用
不正ソフトウェア導 信頼できないフリーソフト、等）
入率
・PC棚卸しorIT資産管理ソフトでのチェックの結果、会社で禁止しているソフトウェアをインストールしていたPC数/全PC数
無許可の利用者・不正な方法での 社用PCの私的利リソース使用
用件数

情報の不正送信数 ・内部者が外部に情報を持ち出したと思われる事故件数/全従業員数（メール誤送信をしたら報告が管理部門にあがる仕組みになっている場合）
メールの誤送信数
・年間のメール誤送信報告数/全社員数
電子メール等通信経由の情報漏え（FAX誤送信をしたら報告が管理部門にあがる仕組みになっている場合）
いFAXの誤送信数
・年間のFAX誤送信報告数/全社員数
掲示板・ブログ・（業務時間中・業務外を問わず、SNS等で不適切な書き込みをした/書き込みを発見
SNS・ツイッター等 したら報告が管理部門にあがる仕組みになっている場合）
での情報漏えい数 ・年間のSNS等での情報漏えい事故報告数/全社員数
過失システム利用時のミス（目標例なし）システム運用時のミス（運用・変更のミス
自社で提供している特定サービスについて、運用・変更作業のミスによる年間のシスに関する）サービス
テム停止時間／1年間 （※運用・変更ミス以外での停止時間は除外）
停止率

システム変更時のミス

サンプル一覧から当てはまる指標を選択（必要に応じ自社に合うようカスタマイズ）OR
サンプル一覧を参考にしてオリジナルの達成指標を作出（目標例なし）13

8. 情報セキュリティ目標 (2) 達成指標②• 情報セキュリティ目標の達成指標を、サンプル一覧を参考にして選び、自社に合うよう手を加える（対策実施目標）
想定される
情報セキュリティリスク

情報セキュリティ
目的

海外拠点の現地職員、業務委託先での不適切な機密データの取扱

海外拠点の現地職員や外部委託先に対してA社の情報セキュリティ関連規程の遵守を徹底する

情報セキュリティ目標
サンプル一覧
（対策実施目標）
対策分野

目標（指標）

算出方法（例）

各部署or全社でのセキュ ・年間の情報セキュリティ委員会orマネジメントレビューの開催実績回数/計画回数
リティ関連会議の開催回 ・年間の情報セキュリティ委員会orマネジメントレビューに年間X回以上参加した委員数/全委員数・参加率
・各部署でのセキュリティミーティングに年間X回以上参加した従業員数/全従業員

マネジメント体制
各部門での自己点検実
施率
例：
組織、体制、規程、PDCAサイクル、など（各部署に年１回以上の自己点検or監査を実施する、というポリシーがある場合）・年１回以上の自己点検or監査を実施した部署数/全部署数

国内外のグループ会社に・セキュリティ規定を策定済みのグループ会社数/全グループ会社数
おけるセキュリティ管理体
・セキュリティ担当部署or担当者を設置済みのグループ会社数/全グループ会社数
制の整備率

物理的対策
例：
ICカード入退システム、社員証着用、施錠訪韓、監視警備、など

保管場所の施錠率（重要情報の保管されている袖机・キャビネット・ロッカー等は常時施錠するポリシーの場合）
重要情報の保管されている袖机・キャビネット・ロッカー等を定期点検で確認した結果、施錠されていた数/確認した
袖机・キャビネット・ロッカー等の数

監視・警備導入率（各地に多数の拠点があり、警備会社を導入するポリシーの場合）
・セコム等を導入している拠点数/全拠点数

不審メール訓練成績(開封率)

添付ファイル開封者数/訓練対象者数

情報セキュリティ教育実
施率

・受講者数/全従業員（役員・正社員・契約社員・派遣社員等の短期含む）
・部署別研修の実施部署数/全部署数※Eラーニング、集合研修、等

人的対策
例：
教育、訓練、誓約書、など

情報セキュリティ標語の・標語１つ以上出した部署数/全部署数
社内募集に対する応募率（会社からの貸与PCの情報漏えいリスク軽減のため、不要となった重要情報はPCに残さず、サーバに保管するポ
データ保管場所ルールのリシーである場合）
遵守率
・定期自己点検での管理者による目視チェックの結果、PC内に重要情報が長期保管されていたPC数/全PC数

情報機器・媒体管理例：
PC・媒体の持ち出し管理、媒体の施錠管理、など

紙文書のラベリングルー （重要情報には「重要」とラベル貼付するポリシーの場合）
ル遵守率
監査でラベル貼付の有無を確認した結果、遵守されていたキングファイル数/監査で確認したキングファイル総数

PC持ち込みルール遵守率（私物PCの無断持ち込みを禁止するポリシーの場合）
・年間で発見された私物PCの無断持ち込み者数（＝違反者数）/全従業員数

情報セキュリティ目標（当年度）（達成指標）

現地職員、外部委託先へのセキュリティ関連規程の遵守徹底により機密情報の漏えいを防止する（算出方法）（基準値）

海外拠点におけるセキュリティ規程 ＝整備率

（情報セキュリティ規定を策定済みの海外拠点数）（全海外拠点数）○％
以下

海外拠点における情報セキュリティ ＝研修実施率（全海外拠点における情報セキュリティ研修受講者数）（全海外拠点の従業員数）○％
以下（内部監査時に重要情報書類のうち海外拠点における「重要」ラベルが貼付されていた数）
文書分類ルール ＝（内部監査時にラベル有無を確認した遵守率
書類の総数）○％
以下（定期点検時に重要情報保管キャビ
海外拠点におけるネットのうち施錠されていた数）
情報保管場所の施 ＝（定期点検時に確認した重要情報保管錠ルール遵守率キャビネットの総数）○％
以下（当該年度中に自己点検の実施報告を上げた海外拠点数）（全海外拠点数）○％
以下

海外拠点での定期＝点検実施率

各事業部門の責任者と（海外拠点向けアンケートで「インシデント発海外拠点でのイン拠点責任者が遵守状況シデント報告ルー ＝ 生時の報告先は？」に正解した回答者数）（全海外拠点の従業員数）を適宜モニタリングし、ル浸透率適宜経営陣に報告する（対策状況・インシデント件数などを報告する
海外拠点におけるモニタリング報告 ＝の提出率

モニタリング報告書を締切日までに上げた海外拠点数）（全海外拠点数）

○％
以下
○％
以下

14

8. 情報セキュリティ目標 (2) 達成指標③• 情報セキュリティ目標の達成指標に対して、達成判断の基準値を決める（基準参考値が参考になる）
情報セキュリティ目標（当年度）（達成指標）
インターネット経由で情報を授受するシステ
ムの管理レベルを定めて実施することより、不正アクセス等による情報漏えい及び盗難を防止する
自社SNSでの情報発信について、発信プロセスの整備及びモニタリングを行い、不適切な情報の流出を防止する

PCのウイルス＝感染発生率
サーバの不正アクセス被害 ＝発生率

自社SNSでの不適切な書き ＝込み実施率

比較対象として参考になりそうな統計値を選択して、自社としての基準値を決める（算出方法）（PCウイルス感染の年間報告件数）（全PC台数）（不正アクセスによるデータ漏洩・改ざん・消失等の実際の被害が発生したサーバ数）（全サーバ台数）（管理部門に報告された不適切な書き込み発生件数）（全従業員数）

（基準値）
０．５％
以下

０．０％
以下

１．０％
以下

自動車を運転し1.1%て交通事故を起（発生しうる事故）
こす
1.6%
搭乗予定の航空機が欠航する （発生しうる事故）

0.001%
住宅火災で死亡する （許容できない事故）
0.003%交通事故で死亡する （許容できない事故）
0.001%
殺人に遭う（許容できない事故）
SNSに不適切3.3%な書き込みをし（よくおきる事故）てしまう

15確率的に発生しうる事象のデータ（基準参考値）
事件事故

災害

事故

年間の発生率許したくないがありうる

年間の発生率

事件事故
窃盗に遭う

0.8%

詐欺に遭う

0.03%

許し難い

0.001%

絶対許せない家が火事に遭う

0.02%

許し難い

住宅火災で死亡する

0.001%

絶対許せない

落雷で死亡する

0.000002%

絶対許せない殺人に遭う

自動車を運転して交通1.1%
事故を起こす許したくないがありうる

インフルエンザにかか
11.0%
る

よくある

交通事故で負傷する

0.6%

許し難い

がんで死亡する

0.3%

許し難い

交通事故で死亡する

0.003%

絶対許せない失業する

4.0%

許したくないがありうる

離婚する

0.8%

許したくないがありうる

労働災害に遭う（死亡または休業４日以上の死傷）0.2%

許し難い

労働災害に遭い死亡する

0.002%

絶対許せない7.25%

たまにはある1.62%

許したくないがありうる

搭乗予定の航空機がサービス 遅延する
事故
搭乗予定の航空機が欠航する

犯罪

病気

ライフイ
ベント

16

9. 情報セキュリティ対策項目• 達成指標の基準値をクリアして情報セキュリティ目標を達成するために、セキュリティ対策項目一覧より、達成指標に対応づく対策を実施する。
情報セキュリティ目標（当年度）（達成指標）
インターネット経由で情報を授受するシステムの管理レベルを定めて実施することより、不正アクセス等による情報漏えい及び盗難を防止する

サーバの不正アクセス被害 ＝発生率

達成指標に対応づけられた対策を確認して、自社で未実施／不十分な対策について実施計画をたてる（算出方法）（不正アクセスによるデータ漏洩・改ざん・消失等の実際の被害が発生したサーバ数）

（基準値）

０．０％

一般的なセキュリティ
以下（全サーバ台数）対策項目一覧（脅威×対策マトリクス）

対策項目No.23の詳細項目①利用者1人に対して１つのID割当て②利用者ID・アクセス権付与・変更・削除の承認手続き整備③利用者のID・アクセス権を社員が一人で付与・変更・削除が行えない仕組み④利用者の職務内容に応じた必要最低限のアクセス権付与⑤異動・退職など不要になった利用者アクセス権の即時変
更・削除⑥利用者ID・アクセス権の定期見直し⑦システム利用時のパスワード等による認証⑧利用者パスワードの定期変更ルール⑨利用者パスワードの強制的変更⑩利用者パスワードの文字種制限⑪利用者パスワードの文字数制限⑫利用者パスワードの過去履歴に対する再使用制限⑬無操作状態が一定時間続いた場合のパスワード入力要求⑭ID・パスワードの入力試行回数制限

自社サーバで未実施 or 不十分な対策を選び、今年度の実施計画として策定する。
■サーバへの不正アクセスに関する対策項目（大問）No.23：システムのユーザID・アクセス権管理
No.24：システムが稼働するサーバOSのログインユーザー制限
No.26：コンピュータウイルス対策
No.27：サーバ構築時の要塞化
No.28：脆弱性把握・対応の仕組み整備
No.29：システムの脆弱性診断
No.30：システムの開発・導入及び運用ルール制定
No.34：データのバックアップ取得
No.36：社内ネットワークのセグメント分割No.39：サーバやシステム、ネットワークのログ取得

1710. 今後の課題
 現行システムに関する情報セキュリティ目標の達成指標の設定
・価値創造に向けた新たな業務プロセスや将来のシステムではなく、現行のシステムに関する情報セキュリティ目標やその達成指標のあり方について検討する。
 モデルパターンの多様化
・対象業種を多様化して，今回と同様に経営目標・経営課題，事業方針・計画等から情報セキュリティ目的・目標を導出できるか検証することにより，様々な企業が参考にできるようにバリエーションを確保する。
・既存のシステムの運用や改善を対象とした場合の情報セキュリティ目的・目標はどのように設定すべきか，経営陣がリスク管理の方針を明確にしている場合にはどうすべきかなど，フォーカスのポイントやプロセスに関する多様化も検討が必要。
 情報セキュリティ目的の導出プロセスの確立
・ステークホルダーや経営陣が最も関心を寄せる事項である経営目標・経営課題から「情報セキュリティ目的」を導くためのプロセスを多くの企業で実践できるようにするための手法を確立する。
 経営方針・経営課題に直結しない情報セキュリティ活動の貢献度評価
・経営方針・経営課題には直結しないが，疎かにしてはならない情報セキュリティ活動も存在する。これらの情報セキュリティ対策にも，必要な予算を割り当て，経営層の指示を得て実施し，その成果を企業への貢献度として評価する枠組みが必要となる。
18