自動車産業 セキュリティチェックシート(V2.０)●●株式会社▽プルダウンから選択ください

会社名
会社分類

評価範囲
会社従業員数▽プルダウンから選択ください▽プルダウンから選択ください

達成条件評価欄に達成条件毎の実施レベルをご記入ください。また、評価の根拠記入欄に対策状況をご記入ください。
池田事務器＆Ricoh
分類

ラベル

共通

1方針

No.

1

共通

達成条件

達成基準

Lv2

基本方針および推進
情報セキュリティ
体制の確立

Secポリシー策定サービス－

基本方針および推進
情報セキュリティ
体制の確立

Secポリシー策定サービス

－

守秘義務

法務／人事

Secポリシー策定サービス－【規則】【実施事例】
自社の守秘義務のルール
・守秘義務の誓約書を提出させること（社外要 ・全社員入社時及び退職時に誓約書提出、研究開発部門への配属社 守秘義務を規定し、守らせている員除く）
員は毎年誓約書を提出させている

法務／人事

Secポリシー策定サービス－

法務

Secポリシー策定サービス－

情報セキュリティ対応方針【対象】
Lv1 (ポリシー)を社内に周知し・役員、従業員、社外要員（派遣社員等）
ている

共通

共通

共通

2機密
情報を
扱う
ルール

2機密
情報を
扱う
ルール

Lv2

6

【規則】
派遣社員、受入出向社員 ・守秘義務には、業務で知り得た情報を外部にについて、派遣元、出向元 漏えいさせない旨の記述があること
Lv2の会社と守秘義務を締結
している【時期】 ※守秘義務の締結時期
・業務開始前

2機密
情報を
扱う
ルール

7

共通

2機密
情報を
扱う
ルール

8

共通

3法令
順守

9

共通

3法令
順守

10

共通

共通

共通

共通

共通

3法令
順守

【周知の例】
・全社員向け一斉メールで周知している・朝会等で口頭で周知をしている
・役員、従業員の新規受け入れ時に周知している【対象】
情報セキュリティに関する・役員、従業員、社外要員（派遣社員等）
Lv1 法令を考慮し、ルールを策定、教育・周知している
【頻度】
（教育）
・新規受け入れ時、かつ、１回／年（周知）
・定常的に、かつ、ルールの改正時に周知するこ
と
【規則】

0:
1:
2:
未実 対応 対応
施中完了

経産省CPSF
要求事項に関する対策要件ID

CPS.BE-2
CPS.GV-1【周知の責任者の例】
・経営者
・取締役会
【守秘義務の記載例】
・在籍中は、業務上の必要がない限り、会社の情報を他者に伝えない
・社外に機密情報を取り扱う業務を委託する場合、必ず機密保持契約をする
・退職もしくは期間満了時に会社PCや会社の資料を返却させる【実施事例】
・全社契約書ひな形に守秘義務に関する事項を盛り込んでいる・守秘義務契約を締結するため、基本契約書以外に機密保持契約（NDA）を締結している

守秘義務

CPS.GV-2
CPS.SC-5【基準】
・回収物一覧のチェックシートまたは帳票を作成すること
・回収漏れが起こらない手順を整備、運用する
こと・手順に従い回収しているかを確認し、必要に退職や期間満了時には必【実施事例】
応じて手順の是正を行うこと
Lv2 要な機密情報、情報機器
・退職、期間満了時、回収物一覧のチェックシートまたは帳票を作成し、 守秘義務
[回収物]などを回収している
回収漏れ発生を防止している-情報(印刷物、記憶媒体)-情報機器(PC、スマートデバイス)-アクセス権（ID、鍵)※上記の他に必要な回収物を各社で判断すること[回収状況の確認、手順の是正頻度]【規則】【情報機器の利用ルールの記載事項例】
・情報機器（PC、サーバー、通信機器、記憶 ・BYODの許可もしくは禁止に関するルール
媒体、スマートデバイス等）の利用ルールを策 ・社給スマートデバイスではApple Store等は使用禁止とし、定し、このルールには利用開始時、利用終了時 業務アプリのみの利用としているの手続き、利用中の遵守・禁止事項、紛失時業務で利用する情報機器の手続きを含むこと【周知の例】の利用ルールを規定し、周・情報機器の利用ルールを容易に確認できる状 ・情報機器の利用開始時に利用者に説明している
Lv1 知している
守秘義務態にすること・役員、従業員、派遣社員等の新規受け入れ時に周知している(個人所有機器(BYOD)
・情報機器の利用ルールについて、従業員に年1回eラーニングを受講させ
含む)
【対象】
ている
・役員、従業員、社外要員（派遣社員等） ・社内規則に情報機器を利用する際のルールを明記しており、常時閲覧可能な状態で社内イントラサイトに掲載している【頻度】
・社内の共通電子申請システムで、情報機器の利用申請を行えるように・定常的に、かつ、ルールの改正時に周知するこ
している
【規則】
・情報セキュリティに関連する法令を守るための
社内ルールを策定すること・策定した社内ルールを教育・周知すること

M1
Cloud Edition
対応可否【容易に確認できることの例】
・壁にポスター等で掲示している
・社内イントラに掲示している【規則】
・自社の守秘義務を策定し、文書化すること・入社時あるいは社外要員の受け入れ時に守秘義務を説明すること
自社の守秘義務のルール ・退職もしくは期間満了時に会社の機密情報を 【理解させ、守らせることの例】
Lv1を規定し、守らせている
持ち出さないこと・退職もしくは期間満了時の機密情報の回収、退職後の義務の書面または対面での説明をしている【対象】
・守秘義務の誓約書の雛型を作成し、入社時に署名している・役員、従業員、社外要員（派遣社員等） ・従業員の就業規則により、機密情報の守秘義務が明記されている・守秘義務違反時の罰則を規則に記載している・退職時マニュアルに守秘義務事項を確認する手順を記載している・機密管理月間を設けて、守秘義務に関する職場自主点検を実施して

5

対応状況
S1 / S3
Cloud Edition
対応可否【見直しの例】
・会社規則に見直しについて規定している
・定期的にセキュリティ委員会で規定見直し状況を報告施している

自社の情報セキュリティ対【頻度】
応方針(ポリシー)の内容
・情報セキュリティ対応方針(ポリシー)の内容を 【社内外の環境変化の例】
を確認し、必要に応じて見・自社体制の変更確認、改善直ししている・対象となる情報資産の変更-1回以上/年※別途、重大な変化が発生した場合には迅・情報セキュリティ事件・事故発生後速に対応すること【規則】
・情報セキュリティ対応方針(ポリシー)を容易に確認できる状態にすること

4

Ｓｋｙ株式会社にて追記
SKYSEA Client View
Light Edition
対応可否

対応内容
※左記に対し、支援可能な項目のみ記載

提供サービス

－

1方針

2機密
情報を
扱う
ルール

担当領域
(回答者検討時の参考情報)Secポリシー策定サービス【頻度】
・定常的に、かつ、情報セキュリティ対応方針の改正時に周知すること
共通

対象

基本方針および推進
情報セキュリティ
体制の確立

【規則】
・社内外の環境変化を踏まえて、内容を確認し、適宜見直ししていること

3

他社事例(参考事例を列記しており、すべての遵守を求めているものではありません)【情報セキュリティ対応方針の記載事項の例】
・経営者の責任：当社は、情報セキュリティを確保・維持、改善するための活動を、経営者主導で推進します
自社の情報セキュリティ対・自社の情報セキュリティ対応方針を策定し、文 ・法令遵守： 当社は、情報セキュリティに関連する法令を遵守します
Lv1 応方針(ポリシー)を策定し書化することている【策定・文書化の責任者の例】
・経営者
・取締役会

1方針

2

共通

レベル

【規則改定の例】
・個人情報保護法、GDPR、不正競争防止法等の情報セキュリティに関する法令・規則の情報収集をを行い必要に応じ規則改定を行っている
・法令の変更内容がルールに則っているか関係部署で確認している（１
回／年）
情報セキュリティ対策・策定したルールに、見直す頻度を記載している
フレームワークの構築

人事

Secポリシー策定サービス

IT・Ricoh ITクラウドIT管理サービス2/
LanScope EndPointManager/
SKYSEA Client View
モバイル機器管理機能（MDM）

情報セキュリティ／
法務【教育・周知の例】
・策定したルールに、教育・周知頻度を織り込んでいる・eラーニングで教育を実施している（年1回）【規則制定の例】
・お客様個人情報の取り扱いにおける社内ルー ・個人情報取り扱いに関する会社規則を制定しているルを策定すること・部署ごとに個人情報管理台帳を作成し１回／年の棚卸を実施してい[明確にする内容]
る-個人情報の管理体制を確立
個人情報をお持ちの会社-取得時に利用目的を通知、明示【教育・周知の例】
については、個人情報に特-本人の同意の範囲内で利用
・自社ホームページに個人情報保護に関するポリシーを掲載(GDPR含
Lv2
化した社内ルールの規定-本人の同意なしに第三者提供しないことむ)しているがあること-本人による開示・訂正・利用停止・消去など ・コンプライアンス教育の一環として、個人情報保護についても教育していの要望に対応することる-個人情報の取扱いルールを定めること-個人情報保護法、GDPR、不正競争防止
法等の情報セキュリティに関する法令・規則の知・徹底している
情報収集を行うこと

情報セキュリティ対策
フレームワークの構築【SKYSEA Client View Light Edition】
・稼働している端末の一覧を収集可能
・利用されているUSBデバイス（記憶媒体）を可能
・USBデバイス(記憶媒体)の棚卸が可能○〇 ※棚卸は不可【SKYSEA Client View Light Edition】
・Windows端末に対して各種制限を実施することが可能○
・外部記憶媒体(USBデバイス)の使用条件を設定 OP：MDM Services
可能・OP：iOS端末のアプリケーションを制御可能○
OP：MDM Services○
OP：MDM Services

・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施
・学び維新、Formsなど(eラーニング)
・セキュリティ研修サービス・グループウェア/kintone/365など (情報共有)【有償サービス】
有償サービス：セキュリティ研・Ｓｋｙ株式会社で作成した研修資料を用いてセミ修ナーを実施可能(要望により内容のカスタマイズ可能)

有償サービス：セキュリティ研修

有償サービス：セキュリティ研
修

Secポリシー策定サービス【有償サービス】
有償サービス：セキュリティ研・Ｓｋｙ株式会社で作成した研修資料を用いてセミ修ナーを実施可能(要望により内容のカスタマイズ可能)

有償サービス：セキュリティ研修

有償サービス：セキュリティ研
修

法務

○

CPS.GV-2

11

Lv1

法令の変更に伴い、ルールを適宜見直ししている【規則改定の例】
・個人情報保護法、GDPR(欧州一般データ保護規則)、不正競争防止【頻度】
法等の情報セキュリティに関する法令・規則の情報収集をを行い必要に情報セキュリティ対策
・1回／年、もしくは、法令の改正が公布・施行 応じ規則改定を行っている
フレームワークの構築
された時
・法令の変更内容がルールに則っているか関係部署で確認している（１回／年）・策定したルールに、見直す頻度を記載している

12

Lv2

法令の変更に伴い、ルールを適宜見直ししている【実施事例】【頻度】
・eラーニングでの受講状況をもとに、是正要否を検討している
情報セキュリティ対策
・社内ルールの遵守状況を確認し、必要に応じ ・コンプライアンス委員会で、社員および顧客から寄せられた通報内容をモ
フレームワークの構築て是正すること
ニタリングしている
・１回／年、個人情報管理台帳の棚卸を実施している

13

【規則】
情報セキュリティ責任者を ・情報セキュリティを統括する役員（CISO等)
Lv1 含む、平時の体制と責任 や情報セキュリティと役割を明確化している担当部署の役割・責任を明確化すること・連絡先リストを整備すること

14

情報セキュリティ／
法務

法務

Secポリシー策定サービス－

・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施
・学び維新(eラーニング)
・Forms(eラーニング)
・セキュリティ研修サービス－

基本方針および推進
情報セキュリティ
体制の確立

Secポリシー策定サービス－【規則】【実施事例】
情報セキュリティ責任者を ・情報セキュリティリスクは、経営に重大な影響を ・役員レベルの方がCISOに任命されている、または、セキュリティ推進の委
基本方針および推進
Lv2 含む、平時の体制と責任 及ぼすことを理解し、員会に役員が入った形で情報セキュリティ体制を整備している
情報セキュリティ
体制の確立と役割を明確化している
組織的に経営判断できる体制を設置している ・情報セキュリティを統括するCISOとITを統括するCIOは兼務ではなく、こと別の方を任命している

Secポリシー策定サービス－【頻度】
・１回／年、もしくは、重大な情報セキュリティ事
定期的、または必要に応じ【実施事例】
件・事故が発生した場合
基本方針および推進
Lv1 て、平時の体制を見直しし・重大な情報セキュリティ事件・事故が発生した場合や年2回の組織改正
情報セキュリティ
・または、社内組織改正等にて、お客様情報を
体制の確立
ている
に合わせて、平時の体制を見直ししている
はじめとした各種情報の保護・管理部署や責任者に変更が生じた時

Secポリシー策定サービス

3法令
順守

4体制
(平時)

【実施事例】
・情報セキュリティ対策基準「管理体制」を制定している・機密保持委員会を設置・運用している・体制図、必要な連絡先リストを明文化している

4体制
(平時)

CPS.AE-2
CPS.RA-2
CPS.DP-2
CPS.IM-1
CPS.IM-2
CPS.GV-4
CPS.AE-2

4体制
(平時)

15

1 / 9 ページ－

CPS.GV-4
CPS.AE-2

池田事務器＆Ricoh
分類

ラベル

共通

4体制
(平時)

No.

レベル

達成条件

【規則】
・平時の体制に則り、情報セキュリティ事件・事故事例やその対応策を社内部署へ共有していること

16

サイバー攻撃や情報漏えいの新たな手口を知り、対
Lv1【対象】
策を社内部署へ共有して・役員、従業員、社外要員（派遣社員等）
いる【頻度】
・１回／年、もしくは、社内外で重大な情報セ
キュリティ事件・事故が発生した時
共通

共通

共通

共通

共通

共通

共通

共通

18

情報セキュリティ・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施・情報セキュリティ対策セミナー
学び維新(eラーニング)
Forms(eラーニング)
・セキュリティ研修サービス
グループウェア/kintone/365など (情報共有)

・Secポリシー策定サービス
・SKYSEA Client View (EDR)
・Sophos MDR (EDR)

情報セキュリティ【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)－

対応状況
S1 / S3
Cloud Edition
対応可否

M1
Cloud Edition
対応可否

有償サービス：セキュリティ研修

有償サービス：セキュリティ研修

有償サービス：セキュリティ研
修【SKYSEA Client View Light Edition】
・ログ収集機能にて、ユーザーによるPC操作をログとして収集可能
OP1：ITセキュリティ対策強・OP1：UTM及びAVの異常検知と連動し端末の化
ネットワーク遮断が可能
OP2：EDRプラスパック
・OP2：他社製品：FFRIセキュリティ社製 FFRI
yarai（NGAV）と連携しマルウェアの収集・隔離・他端末への感染有無の確認が可能

Secポリシー策定サービス【規則】
・情報セキュリティ事件・事故発生後の初動対応フローが整備されていること
・情報セキュリティ事件・事故の報告フォーマット
が整備されていること【事件・事故発生時の報告フローの例】
・№.18 記載の例を参照すること

19

20

【頻度】
定期的、または必要に応じ【見直しの実施例】
・１回／年、もしくは、重大な情報セキュリティ事
Lv1 て、事故時の体制を見直・プロジェクト発足時や人事異動発生時の他、年度初めに体制を見直し
件・事故が
ししている
・情報セキュリティ事件・事故発生時に見直し発生した場合等

23【規則】
・下記対象範囲が明確になっていること[明確にする内容]
情報セキュリティ事件・事-事件・事故として扱う事象
Lv2 故として扱う対象範囲を明 -事件・事故のレベル
確にし、周知していること【対象】
・役員、従業員、派遣社員、受入出向者への
周知

5体制
(事故
時)

6事故
時の手
順

6事故
時の手
順
情報セキュリティ事件・事故時の対応手順(初動、
Lv1
システム復旧等)を定めている【規則】
・対応手順には組織の必要に応じて下記の手順を含んでいること①発見報告、 ②初動、③調査・対応、④復
旧、⑤最終報告【報告フォーマットの項目例】
・発生日時
・現象
・業務影響
・原因
・暫定対応（抑制措置と復旧）
・恒久対策（再発防止）
・完了日時（恒久対策）【対象範囲の例】
・会社貸与PCやUSBメモリ、図面・報告書等情報記録媒体の紛
失・盗難
・外部からの攻撃（マルウェア感染・不正アクセス・会社ホームページの改ざん・会社貸与PC操作の乗っ取り等）
・機密情報の電子メール・ファクシミリ・郵便（EMS等も含む）等による誤送信
・業務委託先による機密情報の漏洩
・社員証、機密エリアへの入場用IDカードの紛失・盗難
・その他情報漏洩等につながる、もしくは恐れがある事象で、情報セキュリティ管理の統括責任者が重要であると判断したもの ex.内部犯行【周知の事例】
・教育内容に、「事件・事故として扱う対象範囲」について含めている【対応手順書の記載項目の例】
・具体的な対処内容
例：マルウェア感染や不正アクセスの疑いがある場合、発見後ただちにネットワークから切り離す・対処体制、連絡先
・情報セキュリティ事件・事故状況の調査方法（対象ログ、操作方法）
・技術的な対策方法の検討業務フロー（原因の一次切り分け）・社内への報告（書式、業務フロー）・報告項目の例：発見日時、影響範囲、内容、原因・広報部を通じて顧客などへのアナウンス方法（書式、業務フロー）

事件・事故対応

情報セキュリティ

Secポリシー策定サービス【SKYSEA Client View Light Edition】
・OP1：UTM及びAVの異常検知と連動し端末のOP1：ITセキュリティ対策強ネットワーク遮断が可能
化・OP2：他社製品：FFRIセキュリティ社製 FFRI
OP2：EDRプラスパック
yarai（NGAV）と連携しマルウェアの収集・隔離・他端末への感染有無の確認が可能

事件・事故対応

情報セキュリティ

Secポリシー策定サービス－

事件・事故対応

情報セキュリティ・Secポリシー策定サービス
・情報セキュリティ対策セミナー
学び維新(eラーニング)
Forms(eラーニング)
・セキュリティ研修サービス・グループウェア/kintone/365など (情報共有)

0:
1:
2:
未実 対応 対応
施中完了

経産省CPSF
要求事項に関する対策要件ID○〇
OP1：S1× ※S3のみ搭載 OP1：×
OP2：S1・S3ともにOP
OP2：×

CPS.RA-2
CPS.PT-1
CPS.CM-3○
OP1：S1× ※S3のみ搭載 ×
OP2：S1・S3ともにOP

CPS.AE-2
CPS.RA-2
CPS.RA-3
CPS.DP-2
CPS.IM-1
CPS.IM-2
CPS.AN-3

マルウェア感染時の対応
手順を定めている

26

Lv1

27

マルウェア感染時の対応
手順は、定期的に確認さLv2
れ、必要に応じて、改定し
ていること

6事故
時の手
順

7日常
の教育

7日常
の教育

7日常
の教育

7日常
の教育

33

【規則】
・世間動向や攻撃のトレンドなどをふまえ、教育・訓練内容の見直しをすること

インターネットへの接続に
Lv1 関する社内への教育を行っている【対応手順の例】
・クライアントPCにおいて、マルウェア感染や不正アクセスの疑いがある場
合、発見後ただちにネットワークから切り離した後に、情報セキュリティ事
件・事故時の報告窓口へ連絡する手順書を定義【頻度】
・新規受け入れ時、かつ、１回／年以上【規則】
・Web閲覧によるマルウェア感染の予防について、教育資料配布・掲示、eラーニング、集合教
育等による教育を実施すること
・教育内容を振返り、次回の教育内容を改善すること【教育の例】
・新入社員教育・中途入社教育・社外要員受け入れ集合教育等
・eラーニングによる教育
・自社、IPAやセキュリティベンダー等の提供する映像教育コンテンツの視聴・自社、IPAやセキュリティベンダー等の提供する教育資料の配布・掲示
・利用マニュアル等による電子メール利用のリスクと対処法等の解説
・標的型メール訓練の実施とその解説

有償サービス：セキュリティ研修

有償サービス：セキュリティ研
修事件・事故対応

OP1：S1× ※S3のみ搭載
×OP2：S1・S3ともにOP

事件・事故対応

IT・Fortigate個別構築＋
SKYSEA Client View(ネットワーク遮断)・MVB (24時間365日の通知サービス)【SKYSEA Client View Light Edition】
・ログ収集機能にて、ユーザーによるPC操作をログ収集可能。
○
・OP1：UTM及びAVの異常検知と連動し端末のOP1：ITセキュリティ対策強ネットワーク遮断が可能
化・OP2：他社製品：FFRIセキュリティ社製 FFRI
OP2：EDRプラスパック
yarai（NGAV）と連携しマルウェアの収集・隔離・他端末への感染有無の確認が可能○〇
OP1：S1× ※S3のみ搭載 OP1：×
OP2：S1・S3ともにOP
OP2：×

事件・事故対応IT・Secポリシー策定サービス
・セキュリティ対策セミナー

教育・啓発

情報セキュリティ／
IT・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施・情報セキュリティ対策セミナー
学び維新(eラーニング)
Forms(eラーニング)
・セキュリティ研修サービス
・標的型メール訓練サービス

情報セキュリティ／IT

情報セキュリティ【SKYSEA Client View Light Edition】
・メッセージ配信機能にて各端末へ情報周知が可能【実施事例】
・毎年見直しを行い、必要に応じ関係者へ周知している

有償サービス：セキュリティ研
修【SKYSEA Client View Light Edition】
・OP1：UTM及びAVの異常検知と連動し端末のOP1：ITセキュリティ対策強ネットワーク遮断が可能
化・OP2：他社製品：FFRIセキュリティ社製 FFRI
OP2：EDRプラスパック
yarai（NGAV）と連携しマルウェアの収集・隔離・他端末への感染有無の確認が可能○
有償サービス：セキュリティ研修○
有償サービス：セキュリティ研修×
有償サービス：セキュリティ研修【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)

有償サービス：セキュリティ研修

有償サービス：セキュリティ研修

有償サービス：セキュリティ研
修・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施・情報セキュリティ対策セミナー
学び維新(eラーニング)
Forms(eラーニング)
・セキュリティ研修サービス【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)

有償サービス：セキュリティ研修

有償サービス：セキュリティ研修

有償サービス：セキュリティ研
修・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施・情報セキュリティ対策セミナー
学び維新(eラーニング)
Forms(eラーニング)
・セキュリティ研修サービス【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)

有償サービス：セキュリティ研修

有償サービス：セキュリティ研修

有償サービス：セキュリティ研
修

ー

ー

【頻度】
・1回/年以上【規則】
・電子メールによるマルウェア感染の予防について、教育資料配布・掲示、eラーニング、集合教
育等による教育を実施すること
・教育内容を振返り、次回の教育内容を改善
電子メールのマルウェア感 すること
Lv1 染に関する社内への教育を行っている【対象】
・役員、従業員、社外要員（派遣社員等）における メール利用者

7日常
の教育

7日常
の教育

【規則】
・マルウェア感染時用の対応手順には組織の必要に応じて下記の手順を含んでいること①発見報告、 ②初動、③調査・対応、④復
旧、⑤最終報告【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)・Secポリシー策定サービス
・Fortigate個別構築＋
SKYSEA Client View(ネットワーク遮断)【対応手順書の取り扱い例】
・常時閲覧可能な状態で電子媒体に掲示し、紙媒体でも保管している

6事故
時の手
順

32

共通

事件・事故対応

情報セキュリティ

Ｓｋｙ株式会社にて追記
SKYSEA Client View
Light Edition
対応可否

対応内容
※左記に対し、支援可能な項目のみ記載

提供サービス【責任者の例】
・社長
・CISO

発生した情報セキュリティ
事件・事故対応が実施さ
Lv1 れ、事故の概要や影響および対応内容の記録があ
る

31

共通

【対応体制の例】
・機密保持委員会を設置している
・情報セキュリティ事件・事故発生時の対応体制をCSIRTとして設置している

担当領域(回答者検討時の参考情報)【初動対応フローの記載例】
・№.24 記載の例を参照すること

5体制
(事故
時)

30

共通

情報セキュリティ対策
フレームワークの構築【規則】
・情報セキュリティを統括する役員（CISO等)
情報セキュリティ事件・事や情報セキュリティ担当部署の役割・責任が明
Lv1 故発生時の対応体制と責確化されていること任と役割を明確化している
・情報セキュリティ事件・事故の基準や社内外組織との連絡先、ルートが明確化されていること

5体制
(事故
時)

29

共通

＜情報収集元＞・新聞/ニュース
・IPA、JPCERT/CC（日本の代表的セキュリティ機関）

17

28

共通

【実施事例】
・定期的に情報セキュリティ会議を開催し、事件・事故を共有している・下記収集元の情報を用いて、大型連休前に社内へ注意喚起している

対象【体制構築の例】
・サイバーセキュリティに対応する体制を構築し、多角的なログ収集、ふる【規則】
まい検知による異常検知、外部委託SOCからの検知情報の確認等を
・サイバー攻撃や脆弱性に関する公開情報、非 24h/365日で実施する体制を構築している
公開情報を活用する体制を構築している【インテリジェンス収集】
サイバー攻撃や予兆を監 ・相関分析によりサイバー攻撃や予兆の検知を ・社内にサイバーインテリジェンス専門要員を配置している
視・分析をする体制を整備 可能とし、その分析結果から適切な対応が導き ・以下のリスク増加の兆候が検知された場合、各情報の相関分析により、 情報セキュリティ対策
Lv2
している
だせる体制を構築している
次善策の対応が検討できるスキルレベルを有している体制を構築している フレームワークの構築
1.攻撃形態、関連する通信の内容※相関分析：
2. 核心となる攻撃コード
複合的なログなどで分析して情報セキュリティ事
3. 被害を受けた後の通信内容
件・事故の予兆や痕跡を見つけ出す手法
4. サーバーやクライアントに残るその他特徴【ログ分析事例】
・各種ルールによる分析結果等を毎月報告会にて報告している

4体制
(平時)

24

共通

他社事例
(参考事例を列記しており、すべての遵守を求めているものではありません)

達成基準【教育頻度の例】
・新入社員・中途社員・社外要員受け入れ時
・1回／年 eラーニング による教育を実施
・1回／年 更新内容を中心とした教育資料・マニュアル等の再確認の通知【教育の例】
・新入社員教育・中途入社教育・社外要員受け入れ集合教育等
・eラーニングによる教育
・自社、IPAやセキュリティベンダー等の提供する映像教育コンテンツの視聴・自社、IPAやセキュリティベンダー等の提供する教育資料の配布・掲示

教育・啓発
【対象】
【教育頻度の例】
・役員、従業員、社外要員（派遣社員等）に ・新入社員・中途社員・社外要員受け入れ時
おける インターネット利用者
・1回／年 eラーニング による教育を実施
・1回／年 更新内容を中心とした教育資料・マニュアル等の再確認の通【頻度】
知・新規受け入れ時、かつ、１回／年以上【規則】【教育の例】
・機密区分の定義と取り扱いについて、教育資 ・新入社員教育・中途入社教育・社外要員受け入れ集合教育等
料配布・掲示、・eラーニングによる教育
eラーニング、集合教育等による教育を実施する ・自社、IPAやセキュリティベンダー等の提供する映像教育コンテンツの視こと
聴
機密区分に応じた情報の ・教育内容を振返り、次回の教育内容を改善 ・自社、IPAやセキュリティベンダー等の提供する教育資料の配布・掲示
Lv1 取り扱いに関する教育を すること
教育・啓発
行っている
【教育頻度の例】【対象】
・新入社員・中途社員・社外要員受け入れ時・役員、従業員、社外要員（派遣社員等） ・1回／年 eラーニング による教育を実施
・1回／年 更新内容を中心とした教育資料・マニュアル等の再確認の通【頻度】
知・新規受け入れ時、かつ、１回／年以上【訓練の内容]・標的型メールやビジネスメール詐欺(BEC)想定のメールを訓練対象に送【規則】
る・標的型メール訓練を実施すること・経営者向け不審メール訓練を実施している
・万が一開封した時の対応も訓練内容に含める 【訓練項目】
こと
標的型メール訓練を実施 ・訓練内容や方法を振返り、次回の訓練を改 ・メール内リンクへのクリック
Lv2
教育・啓発
している
善すること
・リンク先サイトへの情報入力【対象】
・添付ファイルの開封有無
・電子メールの利用者
・社内ヘルプデスクオペレーターのエスカレーション【頻度】【訓練後のフォロー】
・1回以上／年
・結果および振返りはトップ報告し、次年度の訓練に改善点を反映している
・実施結果の考察を行い、結果を社内掲示板へ掲載している【規則】【規則制定の例】
・組織内での対策とマネジメント手法に関する教・規則に定期的な教育の実施について規定している育を実施すること【教育内容】
各部署の情報セキュリティ ・教育内容を振返り、次回の教育内容を改善・責任者または推進者の役割と権限管理者に対して、組織内 すること
例：日常指導・啓発におけるポイント、での対策とマネジメント手 【対象】
Lv2
各種申請の許可・承認時の注意点
教育・啓発
法に関する教育を実施し ・各部署の情報セキュリティ管理者または推進【実施方法の例】ている者
・実地点検に併せ、部署機密管理担当者(管理者)向け教育を実施して※情報セキュリティ管理者が任命されてない場
いる
合は部門長
・管理者研修(新任時、年次)の一環として実施している【頻度】
・各部署の情報セキュリティ推進者に対する連絡会を開催している
・1回以上／年【規則】
・規則に経営層の役割・責任及び経営層への報告について規定している【規則】【教育内容】
・経営層が役割と責任を理解するための説明の ・役割と責任場を設けている
例：方針決定や管理者への実行指示、事故発生時の対外説明の経営層が情報セキュリティ
・説明内容を振返り、次回の説明内容を改善 方法に関する役割と責任を理
Lv2
すること
教育・啓発
・世間動向
解するための機会を設けて【対象】
例：最新の攻撃手法、他社の重大なセキュリティ事故事例
いる・経営層や役員【実施方法】【頻度】
・情報セキュリティ委員会での報告内容を、上部の内部統制委員会にて・1回以上／年
経営層へ報告している
・役員研修会にて、社外講師等による情報セキュリティの講演を実施し理解を深める機会を設けている

IT

標的型メール訓練サービス【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)【他社製品】
・アクモス社製 SYMPROBUS Targeted Mail
Training/SYMPROBUS CoTra Enterprise(標 ー
的型攻撃メール対応 訓練ソリューション)の販売が可能

CPS.RP-1
CPS.RP-3

CPS.AT-1
CPS.AT-1
CPS.GV-4
情報セキュリティ／
IT

Secポリシー策定サービス－

情報セキュリティ《管理者向け》
・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施・情報セキュリティ対策セミナー
学び維新(eラーニング)
Forms(eラーニング)
・セキュリティ研修サービス－

2 / 9 ページ

池田事務器＆Ricoh
分類

ラベル

共通

7日常
の教育

No.

34

共通

共通

共通

レベル

達成条件

達成基準

【実施事例】
・年1回 強化月間を設け以下を実施している-各部の機密管理帳票の更新や自主点検-ポスター、標識の掲示【規則】-eラーニングによる教育・全社で情報セキュリティの重要性を再認識する-ログインメッセージによる注意喚起
機会を設けること
全社で啓発活動を実施し・朝礼で情報セキュリティの社内ルールをリマインドしている
Lv2
【対象】
ている
・教育後、理解度テストを実施し、合格点に達するまでフォローしている・役員、従業員、社外要員（派遣社員等）
・全社員向けにサイバーセキュリティニュースレターを発行している【頻度】
・専門委員会におけるセキュリティ最新動向などを社内周知している
・1回以上／年
・過去事例の情報共有している・機密管理ニュース配信やポータルサイトに教育コンテンツを掲示～受講促進し啓蒙活動を実施している

7日常
の教育

8他社と
の
情報セ
キュリ
ティ要
件

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

8他社と
の
情報セ
キュリ
ティ要
件

守る対 9アクセ
象を明 ス権
確にし、
リスクを
特定す
る（特
定）

守る対 9アクセ
象を明 ス権
確にし、
リスクを
特定す
る（特
定）

守る対 9アクセ
象を明 ス権
確にし、
リスクを
特定す
る（特
定）

守る対 9アクセ
象を明 ス権
確にし、
リスクを
特定す
る（特
定）

守る対 9アクセ
象を明 ス権
確にし、
リスクを
特定す
る（特
定）

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

10情報
資産の
管理
(情報)

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

10情報
資産の
管理
(情報)

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

10情報
資産の
管理
(情報)

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

10情報
資産の
管理
(情報)

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

10情報
資産の
管理
(情報)

×

情報セキュリティ・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施・情報セキュリティ対策セミナー
・学び維新、Formsなど(eラーニング)
・セキュリティ研修サービス・グループウェア/kintone/365など (情報共有)【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)

有償サービス：セキュリティ研修

有償サービス：セキュリティ研修

有償サービス：セキュリティ研
修

教育・啓発

法務／
情報セキュリティ・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施・情報セキュリティ対策セミナー
学び維新(eラーニング)
Forms(eラーニング)
・セキュリティ研修サービス
・標的型メール訓練サービス【有償サービス】
・セキュリティ研修 eラーニングメニューで理解度チェック 有償サービス：セキュリティ研が可能
修(内容別途相談)

有償サービス：セキュリティ研修

有償サービス：セキュリティ研
修事件・事故対応

情報セキュリティ・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施・情報セキュリティ対策セミナー
・学び維新、Formsなど(eラーニング)
・セキュリティ研修サービス・グループウェア/kintone/365など (情報共有)【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)

有償サービス：セキュリティ研修

有償サービス：セキュリティ研
修

36

【頻度】
・新規受け入れ時、かつ、１回／年以上【頻度の例】
・新入社員・中途社員・社外要員受け入れ時
・1回／年 eラーニング による教育を実施
・1回／年 更新内容を中心とした教育資料・マニュアル等の再確認の通知情報セキュリティ

Secポリシー策定サービス－

44

他社との間で、機密情報
Lv1 の取り扱い方法が明確に
なっている

【規則】
【取り交わしの例】
・業務開始前に機密情報の取り扱いについての・機密情報を取り扱う場合は、機密保持契約を締結している取り交わしを行うこと
パートナー企業のリス・責任者の明確化、人的管理（守秘義務）、物理的管理措置、技術
ク管理
的対策、再委託の取り扱い、取引終了時の取り扱い等を含む取り交わし【対象】
を行っている・機密情報を共有する会社

法務

Secポリシー策定サービス－

46

情報セキュリティ事件・事
Lv1 故時の他社との役割と責任が明確になっている【規則】
機密情報を共有する際、取り扱いとともに、情報セキュリティ事件・事故発生時の、会社ごとの役割と責任を文書化しておくこと

購買・調達

Secポリシー策定サービス

－

Lv1

49

50

51

52

53

54

55

教育・訓練の内容を必要に応じて見直ししている【会社ごとの役割と責任の例】
・取引契約の中に、事故発生時の委託元への報告、事故対応への協力 パートナー企業のリス責任等に関する内容を含めている
ク管理・事故発生時の連絡窓口を取り交わしている【規則】
・以下の内容等を含む管理ルールを定めること・アクセス権の発行・変更・削除は申請・承認制
であること
・与える入室許可・アクセス権の範囲は必要な 【管理ルールの例】
人の異動に伴うアクセス権 範囲に限定すること・人事異動の際の事務手続きに、アクセス権の付与・変更・削除の手続(入室権限やシステムのア ・入室権限やアクセス権の棚卸について定めてい きを記載している
Lv1
クセス権)の管理ルールを ること・管理ルールに紙面の機密文書の保管場所を定め、施錠することを定め定めている
・与えた入室許可・アクセス権の申請書または台 ている
・1回／年の棚卸の実施及びその手順を定めている帳を管理していること

有償サービス：セキュリティ研
修・Secポリシー策定サービス
・承認フロー(グループウェア/kintone/コラボフロー/
X-point)【SKYSEA Client View Light Edition】
・監査機能はありませんが、利用されているアカウントを ○記録することが可能

○

×

IT

Secポリシー策定サービス【SKYSEA Client View Light Edition】
・監査機能はありませんが、利用されているアカウントを ○記録することが可能○

×

認証とアクセス権IT

Secポリシー策定サービス－【規則】
アクセス権の棚卸を定期【棚卸の例】
Lv1 的、または必要に応じて実・1回／年 入室権限やシステム上のアクセス権設定を点検し、権限設定 認証とアクセス権
棚卸を定期的、または必要に応じて実施してい施しているの不備を修正しているることITSecポリシー策定サービス【SKYSEA Client View Light Edition】
・棚卸機能はありませんが、利用されているアカウントを ○記録することが可能

○

×

IT

・SKYSEA Client View (アクセスログ等)
・FortiGateなどUTM (ログ管理)
承認フロー（グループウェア/kintone/コラボフロー/
X-point）【SKYSEA Client View Light Edition】
・操作ログは最大10年間保存可能
・操作ログを別途バックアップすることで、自社以外の環境へ配置することが可能○○ ※保存期間は3か月〇 ※保存期間は1年

ー

×

×

【対象】
・業務で利用するシステムおよびPCログオン時のユーザーID【規則】
・重要情報を扱うシステムは、アクセス権を付与 【管理ルールの例】
・重要情報を扱うシステムへのアクセス権は、一定の基準を満たす社員にするための条件をのみ付与している
明確にする
・アクセス権の設定は、システム管理者の要件お ・重要な権限変更は、単一の行為者では実施できない仕組みとなってい人の異動に伴うアクセス権る
よび設定手順を(入室権限やシステムのア
Lv2（申請者・承認者・作業者を分掌）認証とアクセス権明確にし、厳格な管理下で実施する。
クセス権)の管理ルールを
・重要情報を扱うシステムは、情報利用者とシ ・開発部門による重要な情報へのアクセスログは運用部門が監視している
定めている・運用部門による重要な情報へのアクセスは、セキュリティ専任者が監視しステム管理者の権限を分離するなど、個人に権限が集中しない環境 ている・セキュリティ専任者は、重要な情報へ直接アクセスができない仕組み(開とする。
・重要情報を扱うシステムは、その運用／利用 発部門権限)としている
状況を監視する。

管理ルールに沿ってアクセ
Lv1 ス権の発行、変更、無効化、削除を実施している【規則】
点検を行っていること【点検の例】
・管理ルールの遵守状況を確認するチェックリストを作成し、1回／年チェックリストにより点検し、不備・違反があれば是正を行っている・申請、承認、設定の記録を確認し、管理ルールに従い行われていることを点検している・定期人事異動の際、権限設定を確認・修正している

CPS.IP-9【取得対象の例】
・ログ保管対象は情報入手・加工・発信の各システムとしている【安全な保管の例】
・アクセスログは自社内には保管せず、機密保持契約、外部サービスセ【規則】
キュリティ要件に合致したサービスを利用している
アクセスログは、安全に保 ・法規制等により要求される事項を満たす事が 【アクセス制御の例】
Lv2 管しアクセス制御された状 できるよう、適切な期間のログを保持する。
・重要なログはサイバー攻撃の脅威から保護するため、ログの消去や改ざ 認証とアクセス権
態で管理されている・ログを脅威から保護するため、ログを保存するモ んが出来ないように制御している
ノ、システムにアクセス制御等を適用すること【法規制等への対応の例】
・重要なログはサイバー攻撃の脅威から保護するため、ログの消去や改ざんが出来ないように制御している・監査機関や法執行機関等からの要求に応じてログを提供可能な状態で保管している【管理ルールの例】【規則】
・管理対象は、電子と紙の両方とする
・以下の内容等を含む管理ルールを定めること ・機密文書に機密であることを明示するスタンプを押す
・機密の特定・文書のリスクアセスメントの実施
・機密区分のレベル判定と表示
・文書台帳の整備
機密区分に応じた情報のLv1
・区分に応じた取り扱い方法
機密管理・規程で、次の項目につき明文化している
管理ルールを定めている・取り扱いエリアの区分及び制限・管理すべき守秘情報、機密情報、情報区分、守秘情報の種類、守秘情報の取扱い、機密情報を取り扱う部署の管理責任【対象】
・機密管理区分を定め、様式にて一覧化するルールを定めている
・情報資産（情報）・規程に機密区分に応じた情報の管理ルールを明記【規則】
機密区分に応じた情報の ・管理ルールの内容を確認し、必要に応じて改管理ルールを善すること
Lv2
定期的、または必要に応じて見直ししている【頻度】
・1回以上 ／年

【見直しの例】
・年一回規則の内容を確認し、必要に応じて改訂している。

経産省CPSF
要求事項に関する対策要件ID

CPS.AM-7
CPS.BE-1
CPS.BE-2
CPS.GV-1
CPS.SC-1
CPS.SC-2
CPS.SC-3
CPS.SC-8
CPS.SC-10
CPS.SC-11
CPS.AC-1
CPS.AE-1

IT

認証とアクセス権0:
1:
2:
未実 対応 対応
施中
完了

CPS.AT-1
CPS.AT-2
CPS.AT-3
CPS.SC-9
CPS.IP-7
CPS.CO-1【頻度の例】【頻度】
・1回/年、社内規程や情報セキュリティのガイドラインのレビューを行い、必事件・事故対応・教育・訓練実施前後、もしくは１回／年以上 要に応じて教育・訓練内容の見直しをしている
・毎年、教育・啓発を実施する前後に、内容の見直しを実施している

40

M1
Cloud Edition
対応可否○【把握する内容】
・教育、啓発の受講率を確認している・年１回のeラーニングを実施した際の部署ごとの受講率、正解率
・理解度テストを実施し、合格点に達するまでフォローする・メール訓練結果、セミナー、各種情報セキュリティ施策実施状況を情報
セキュリティ委員会で報告し、経営レベルで把握している

情報セキュリティ事件・事
Lv1 故発生時の対応について
教育・訓練を実施している

対応状況
S1 / S3
Cloud Edition
対応可否【SKYSEA Client View Light Edition】
・メッセージ配信機能にて、注意喚起メッセージ配信を ○各端末に配信可能【規則】
・教育・啓発の受講状況、理解度を数値等で教育、啓発の実施状況を 具体的に把握すること
Lv2 数値等で具体的に把握し 【対象の教育、啓発】ている・各社で判断した重要な教育、啓発【頻度】
・1回以上/年【教育・訓練の例】【規則】
・新入社員教育・中途入社教育・社外要員受け入れ教育等で下記教・情報セキュリティ事件・事故発生時の対応につ 育を実施している
いて、教育資料配布・掲示、eラーニング、集合・eラーニングによる教育
教育等による教育や訓練を実施すること
・映像教育コンテンツの視聴・教育資料の配布・掲示【対象】
・マニュアル等による機密区分の定義と取り扱いについて解説
・役員、従業員、社外要員（派遣社員等） ・想定される事故シナリオに沿った対応訓練（机上含む）を実施

Ｓｋｙ株式会社にて追記
SKYSEA Client View
Light Edition
対応可否

対応内容
※左記に対し、支援可能な項目のみ記載

提供サービス

情報セキュリティ

教育・啓発

35

7日常
の教育

担当領域
(回答者検討時の参考情報)・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施・情報セキュリティ対策セミナー
学び維新(eラーニング)
Forms(eラーニング)
・セキュリティ研修サービス・グループウェア/kintone/365など (情報共有)【啓発内容】・ヒヤリ、事故事例
・各職場独自の情報セキュリティリスクの注意喚起
・職場で特に重要な規定・ルールのリマインド【啓発手段】
教育・啓発
・グループ会社を含めたIT部門社員向けに、年2回のサイバーセキュリティ
セミナーを開催している・グループ会社を含めたCSIRT担当者で情報交換会を年に2回実施して
いる

7日常
の教育

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

対象

【規則】
・各社が定める活動単位（部・室など）で特に重要なルールやリスクについて
リマインドすること
各職場で特に重要なリス ・啓発内容を振返り、次回の啓発内容を改善
Lv2 クやルールについて啓発活 すること動を実施している【対象】
・職場特有のリスクの理解、ルールの遵守が重要な従業員、社外要員（派遣社員等）【頻度】
・1回以上／1年

7日常
の教育

38

共通

他社事例
(参考事例を列記しており、すべての遵守を求めているものではありません)

情報セキュリティ・Secポリシー策定サービス
・文書管理システム－

情報セキュリティ

Secポリシー策定サービス－

情報セキュリティ

Secポリシー策定サービス【他社製品】
・三菱電機ソフトウェア社製 すみずみ君で端末上に保存されている個人情報ファイルを発見することが可能

情報セキュリティ対策
フレームワークの構築

情報セキュリティ

Secポリシー策定サービス

－

機密管理

情報セキュリティ

Secポリシー策定サービス

－

機密管理

【規則】

56

高い機密区分の情報資
Lv1 産(情報)を一覧化している保管場所、保管期限、開示先、連絡先などを含むこと【対象情報】【一覧化の実施例】
・情報の主管部門毎に高い機密区分の情報資産の一覧表を作成してい情報セキュリティ対策
る
フレームワークの構築
・情報資産の一覧を部署毎に作成させて、1回/年 見直している・専用様式にて一覧化している機密に該当する情報資産

57

Lv2

【規則】
高い機密区分の情報資 ・一覧表の内容を確認し、必要に応じて是正す
産(情報)の一覧化をること【見直しの例】
定期的、または必要に応じ・年一回一覧の内容を確認し、必要に応じて改訂している。
て見直ししている【頻度】
・1回以上 ／年

【規則】

58

情報資産(情報)は機密 点検を行い、不備・違反があれば是正を行うこ
Lv1 区分に応じた管理ルールに と沿って管理している【頻度】【点検の例】
・管理ルールの遵守状況を確認するチェックリストを作成し行う

3 / 9 ページ

CPS.GV-3

池田事務器＆Ricoh
分類

ラベル

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

11情報
資産の
管理
(機器)

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

11情報
資産の
管理
(機器)

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

11情報
資産の
管理
(機器)

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

11情報
資産の
管理
(機器)

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

11情報
資産の
管理
(機器)

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

11情報
資産の
管理
(機器)

59

61

重要度に応じた情報機
Lv1 器、OS、ソフトウェアの管理ルールを定めている

65

情報機器、OS、ソフトウェ
アの情報(バージョン情Lv1 報、管理者、管理部門、設置場所等)について、一覧を作成している【規則】
・バージョン情報、管理者、管理部門、設置場
所等の管理項目を含む情報機器、OS、ソフト
ウェアの一覧を作成すること

情報機器、OS、ソフトウェ
アの情報(バージョン情報、管理者、管理部門、設置場所等) 【頻度】
Lv2の一覧を
・1回/年 以上
定期的、または必要に応じて、見直ししている情報資産(機器)は重要
Lv1 度に応じた管理ルールに沿って管理している

14外部
への
接続状
況の把
握

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

14外部
への
接続状
況の把
握

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

14外部
への
接続状
況の把
握

Ｓｋｙ株式会社にて追記
SKYSEA Client View
Light Edition
対応可否

対応状況
S1 / S3
Cloud Edition
対応可否

M1
Cloud Edition
対応可否

対応内容
※左記に対し、支援可能な項目のみ記載

IT・Secポリシー策定サービス
・SKYSEA Client View(端末管理)【SKYSEA Client View Light Edition】
・インストールされてるアプリケーションの一覧取得
・脆弱性対応パッチの配信可能
・ホワイトリスト/ブラックリストでのアプリケーション利用
制限可能

○

○

〇 ※ブラックリストのみ可能

・機器管理番号、機器名、IPアドレス、設置場所、使用者、連絡先、ソフトウェアバージョン情報-サーバー、NW機器、プリンタ、TV会議システム
管理番号、ハードウェア名、IPアドレス、ホスト名、設置場所、管理者(部署名、氏名等)-会社支給のクライアントPCおよびスマートデバイス
管理番号、ハードウェア名、IPアドレス、ホスト名、利用開始日、利用者(部署名、氏名等)-ソフトウェア
管理番号、ソフトウェア名、バーション、導入ホスト名、連絡先(部署名、氏名等)

機器全般

IT

・SKYSEA Client View(IT資産管理)【SKYSEA Client View Light Edition】
・「管理項目の例」に列挙されている情報を組織単位 ○
で閲覧可能

○

〇 ※ネットワーク機器情報は不可【見直しの例】
・年一回一覧の内容を確認し、必要に応じて改訂している

機器全般

IT

・SKYSEA Client View(IT資産管理)【SKYSEA Client View Light Edition】
・資産管理機能にて詳細な利用バージョン等の情報を収集・閲覧可能○〇【管理の例】
・管理ルールに沿った管理状況の確認を1回／年で実施し、発見された
実施すること。不備・違反があれば是正を行うこ 不備の是正などを実施すると・毎週自動収集した情報を元にOSのパッチ適用状況、不適切ソフトの調 機器全般査を行い是正を指導している。
【頻度】
・毎週パッチの適用状況を確認し、漏れがあった場合には対応している。

【規則】
・インストール可能なアプリケーションを定義し、スマートデバイスへのアプリ
定期的にインストール状況を確認している。
ケーションの無断インス【対象】
Lv2 トールを制限し、定期的に・会社支給のスマートデバイス
インストール状況を確認し【確認頻度】
ている
・1回/年

○

IT

・Ricoh ITクラウドIT管理サービス2/
LanScope EndPointManager/
SKYSEA Client View
モバイル機器管理機能（MDM）【SKYSEA Client View Light Edition】
・Windows更新プログラムの適用状況把握が可能 ○・不適切なソフトウェアのインストール状況を把握可能

○

〇

0:
1:
2:
未実 対応 対応
施中完了

経産省CPSF
要求事項に関する対策要件ID

IT・Ricoh ITクラウドIT管理サービス2/
LanScope EndPointManager/
SKYSEA Client View
モバイル機器管理機能（MDM）【SKYSEA Client View Light Edition】
・OP：iOS端末に対して定義したアプリケーションの配布が可能。iOS端末にインストールされたアプリケーショ OP：MDM Services
ンの情報収集、ハードウェア情報を収集可能※Android OSも実装予定

OP：MDM Services

OP：MDM Services

機器全般

IT

・PCデータイレースサービス
・廃棄業者への委託
リーテックなど ※ご販売店様で可能か確認要？

－情報セキュリティ対策
フレームワークの構築

情報セキュリティ／
IT

Secポリシー策定サービス－【対策方法の例】
・個人情報を漏えいした場合は、当局（個人情報保護委員会）への届
情報セキュリティ対策
け出が必要になることを経営陣や、個人情報を扱う人・部門へ共有する
フレームワークの構築
・経営陣を含めたセキュリティ会議体を設け、計画報告・対応承認を得ている

情報セキュリティ／
IT

Secポリシー策定サービス【他社製品】
・三菱電機ソフトウェア社製 すみずみ君で端末上に保存されている個人情報ファイルを発見することが可能

情報セキュリティ／
IT

Secポリシー策定サービス－【制限すべきアプリの例】-情報漏えいにつながるアプリ-深刻な脆弱性があるアプリ-マルウェア・スパイウェアの疑惑のあるアプリ【無断インストールの制限】
・端末管理ソフトにより、インストール可能アプリケーションを制御し、定期 スマートデバイス
的に定義リストを確認している・一般ユーザーには管理者権限を付与せず、インストールを制限している
・アプリケーションのインストールは申請制にしている・ルールによりアプリケーションを管理部署に無断でインストールすることを禁
止している

【規則】
・情報資産(機器)の廃棄時(リース終了時含む)はデータを復元できないよう消去すること
・情報資産(機器)の記憶領域の消去を実施し 【消去の例】
廃棄時(リース終了時含 た記録または業者の廃棄証明書を保管すること ・物理的に破壊している
Lv2 む)は、記憶媒体のデータ※ディスクのフォーマットは、データを復旧される ・専用消去ツールを利用しているを消去している可能性があるため不可
・データ消去外部サービスを利用し、廃棄証明等による確認、あるいは、[対象]運用状況を監査している-サーバー、会社支給のクライアントPC、スマー
トデバイス、外部記憶媒体

66

68

69

情報資産において【対象】「機密性」「完全性」「可用№56で特定した情報資産
Lv1 性」の3要素が確保できなくなった場合のリスクを特【観点】
定できている-外部の脅威-自社の脆弱性※必要に応じて、パートナー企業起因の脅
威、脆弱性を考慮すること-情報資産の価値【規則】№66で把握した業務影響に対する対策方
法及び計画を策定し、報告・共有すること
必要に応じて経営層へ業務影響及び対策を報告
れを関係部門へ共有すること
Lv1 し、セキュリティ業務に関与している社内部署と共有し 【対象】ている

【業務影響を把握する手法の例】
・リスクアセスメントを行う【頻度の例】
・取り扱うシステム更新時
・業務プロセスの変更時
・体制の変更時【頻度】-1回以上／年【規則】№68で作成された対策及び計画が適切に実施され、業務影響の低減がされていることを確認し、発見された不備の是正などを【確認の例】
実施すること・個人情報の漏えい発生の際の対応履歴を調査し、当局への業務影響への対策は策定
届出、関連役員への報告が事前に定めた対策方法に沿って行われてい
Lv1 された計画に沿って管理し【対象】
たかを検証するている・情報セキュリティ事件・事故の管理表を作成し、計画実施状況や結果を定期的にチェックしている【頻度】

情報セキュリティ対策
フレームワークの構築

ー

×

×

CPS.RA-1
CPS.RA-4
CPS.RA-5
CPS.RA-6
CPS.RM-1【規則】【一覧化の例】
情報資産とその取り扱いを記載し、取引先と相・取引先毎に、取り交わす情報と利用する手段を記載する
互に把握すること
会社毎に取り交わす情報・手段(受発注の手段等、 【対象】
Lv1
情報のやり取り)を一覧化
している
ベルが高い情報資産など）を共有する取引先
【頻度】

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

担当領域
(回答者検討時の参考情報)

提供サービス【セキュリティパッチ適用ルールの例】
・端末管理ツールを利用して、脆弱性対応パッチを自動で適用している・資産管理システムを活用し、脆弱性のある情報機器を定期的に特定している【規則】
・サーバーはパッチ公開後１月以内に適用する・導入、設置、ネットワーク接続、セキュリティパッ ・MS月例パッチは、テストで不具合がなければ、約1週間後に適用してい機器全般
チ適用等のルールを含む管理ルールを定めてい る
ること【ソフトウエアについてのルール例】
・標準ソフトを決め、それ以外のソフトは許可制としている

故が発生した時の業務影響を影響範囲や発生頻度を踏まえ把握すること

70

14外部
への
接続状
況の把
握

対象

【規則】

13取引
内容・
手段の
把握

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

他社事例
(参考事例を列記しており、すべての遵守を求めているものではありません)

達成基準

【規則】

64

守る対 12リス
象を明 ク対応
確にし、
リスクを
特定す
る（特
定）

達成条件

CPS.AM-1
CPS.DS-13
CPS.CM-6

62

守る対 12リス
象を明 ク対応
確にし、
リスクを
特定す
る（特
定）

レベル

【管理項目の例】

60

守る対 12リス
象を明 ク対応
確にし、
リスクを
特定す
る（特
定）

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

No.

時
【基準】
・ネットワーク図を作成すること[対象範囲]-自社の情報機器が存在するネットワーク[見直し頻度]-1回/年以上

74

75

76

【取り扱いの例】
・重要な情報を取り交わす取引先とは、契約に機密情報の取り扱いのルールを定める・取引先へ機密情報を渡す際、それがパワーポイントやエクセル等であれ
ば、ファイルにパスワードを設定する

ネットワーク図・データフ
ロー図は、定期的、【頻度】
または必要に応じて、見直 ・1回/年以上
ししている

IT

社内ネットワークIT

ネットワーク図作成サービス－

社内ネットワークIT

ネットワーク図作成サービス－

・Secポリシー策定サービス
・承認フロー(グループウェア/kintone/コラボフロー/
X-point)－

・Secポリシー策定サービス
・SKYSEA Client View (情報資産管理)－－【見直しの例】
・年一回内容を確認し、必要に応じて改訂している【利用ルールの例】
・会計情報などの自社の機密情報を扱う外部サービスを利用する際は、【規則】
利用前にそのサービスの情報セキュリティ仕様を確認する
・以下の内容を含む利用ルールを定めること
・パートナー企業とは取引開始前の段階で、必ず守秘義務項目を含む取・外部情報システムの接続先と守秘義務契約 引基本契約書を締結する社内ルールで運用している
自組織の資産が接続して を締結する
・全社標準「情報システム管理規定」に基づき、委託先の選定・契約を
Lv1 いる外部情報システムの ・外部の情報サービスを利用する際のセキュリ管理している(規定項目:守秘義務契約、情報セキュリティ要件、SLA、 サーバー
利用ルールを定めている
ティ要件を定めている
BCP対応)
・外部の情報サービスの利用時にセキュリティ要 ・クラウドサービス利用に関する社内ルールの中で制約事項や利用開始ま件を満たしているかサービス内容を確認し、承認 での一連の手続きを明文化している
した証跡を保管している・クライドサービスを利用する場合は、申請制にしている

情報セキュリティ／
IT【一覧の項目の例】
・契約署名、契約相手先、契約日、契約満了日、管理部署を管理項目として一覧化している
77

Lv1

利用している外部情報シ
ステムを一覧化している【規則】
・外部情報システムの一覧を作成していること

CPS.BE-3【ネットワーク図の例】
・グループ間ネットワーク図・拠点間ネットワーク図・事務所内ネットワーク構成図

ネットワーク図・データフ【データフロー図の記載内容例】
ロー図を作成し、・関係組織間ネットワークを使用するシステム
Lv2 関係組織（サプライヤー＜追記＞・送受するデータの種類、方向等
等含む）との通信を監視
【基準】
している
・データフロー図を作成すること【通信の監視の例】[対象範囲]
・関係組織間の不審なアクセスを統合脅威管理（UTM）等で監視-関係組織間のネットワークでやり取りされる自 ・通信量状況の監視（稼働監視、性能監視）
社内のデータ・インターネットを通じた関係組織間の通信はIDS等で監視

Lv2

・Secポリシー策定サービス
・Ricoh Drive
・m-FILTER、HENNGE Oneなど(添付ファイル自動暗号化、URL化)
・BOX、365OneDrive (クラウド活用)

パートナー企業のリスク管理【作成の例】
・表計算シートで台帳化してデータで保管している
・外部システムの利用申請システムで利用システムの一覧を保管している・利用しているクラウドサービス・EDIを一覧化している

サーバー

IT

4 / 9 ページ

CPS.AM-4
CPS.AM-5
CPS.CM-5

池田事務器＆Ricoh
分類

ラベル

守る対
象を明
確にし、
リスクを
特定す
る（特
定）

14外部
への
接続状
況の把
握

守る対 15社内
象を明 接続確にし、 ルール
リスクを
特定す
る（特
定）

守る対 15社内
象を明 接続確にし、 ルール
リスクを
特定す
る（特
定）

守る対 15社内
象を明 接続確にし、 ルール
リスクを
特定す
る（特
定）

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

No.

78

レベル

達成条件

【規則】
・定期的に棚卸を実施するとともに、新規あるい
外部情報システムの一覧 は利用中止するものを一覧に反映すること
Lv1 を定期的、または必要に応じて見直ししている【頻度】
・1回／年以上、かつ、新規開始あるいは利用
中止時

79

82

83

【棚卸実施の方法例】
・社内ルールで利用開始時の報告を義務付けている・一覧に記載されている外部システムの管理者に、利用状況を1年に1度確認しているサーバー
・インターネット通信ログを確認して、申請されていない外部情報システムが利用されていないか確認している・外部システムの利用申請システムに登録された情報に基づきく棚卸をしている【PCやサーバーなどの機器の接続ルールの例】
・社内ネットワークへの接続は申請・承認制にすることとしている
・接続するPC、サーバーにマルウェア感染防止対策を実施することしている
・申請内容に変更があった場合は、許可を得ること再申請が必要としている【対象】
・社内ネットワークに接続できるのは、社有機器かつ定められたセキュリティ
業務で利用する情報機器
・社内でネットワークに直接接続するすべての機 対策を満たす情報機器とするしている
Lv1 の自社ネットワークへの接社内ネットワーク器
・私有デバイスの接続は禁止している許可していない
続ルールを定めている
・会社標準機器、社外からの持ち込み機器含 ・接続機器のを台帳管理している
む・通信手段は会社提供のみとしている（Wi-Fiルータ持ち込み、デザリング不可）
・外来者が持込みした機器はを自社社内ネットワークに接続することは禁
社外から社内ネットワークへ接続するための追加 止。とするが、保全業務等でやむを得ず社内ネットワークに接続する場合
ルール
は、セキュリティ条件を全て実施することにより認めることとするている
【規則】

担当領域
(回答者検討時の参考情報)

ITＳｋｙ株式会社にて追記

・Secポリシー策定サービス
・SKYSEA Client View (情報資産管理)

SKYSEA Client View
Light Edition
対応可否

対応内容
※左記に対し、支援可能な項目のみ記載

提供サービス

対応状況
S1 / S3
Cloud Edition
対応可否

M1
Cloud Edition
対応可否

0:
1:
2:
未実 対応 対応
施中完了

経産省CPSF
要求事項に関する対策要件ID－・リモートワークで使用する情報機器や機密情報の条件についてのルールを定め、周知すること・ルールの遵守状況を確認し、必要に応じて是正すること
リモートワークで使用する[周知対象]
情報機器や機密情報の条-リモートワークを行う全ての従業員、派遣社
Lv2 件についてのルールを定員、受入出向者
め、運用している[周知のタイミング]-リモートワークの開始前[ルールの内容]-リモートワークで使用許可する情報機器※必要に応じて申請、承認の方法を含む-個人所有端末にダウンロード可能なファイル【規則】
・リモートワーク遂行上のルールを定め、周知すること・ルールの内容や遵守状況を確認し、必要に応じて是正すること
リモートワーク遂行上の[周知対象]
ルールを定め、運用していLv2-リモートワークを行う全ての従業員、派遣社
る
員、受入出向者[周知のタイミング]-リモートワークの開始前[ルールの内容や遵守状況の確認、是正頻度]-1回以上/年【ルールの例】
・リモートワークで使用する情報機器（私有デバイス）について、セキュリ
ティ対策状況や機密保持の誓約の確認を含めて、申請・承認制とし、必要に応じて是正している・機密情報のダウンロード、印刷等は禁止としている（周知徹底もしくは仕組みで禁止）リモートワーク時の注
・リモートワーク時の注意点について周知徹底、eラーニング等での啓発を 意喚起実施している・リモートワークは社有機器のみとしている（私有デバイスは禁止）

IT【SKYSEA Client View Light Edition】
・必須アプリケーションの未インストールを検知可能
・Secポリシー策定サービス○
・不正・無許可機器のネットワークへの接続を検知す ○・SKYSEA Client View(禁止アプリ、無許可機器
OP：S1× ※S3のみ搭載
ることが可能
OP：ITセキュリティ対策強化
接続監視)（遮断機能が不可）
・OP：指定したネットワーク以外には接続させないことが可能

情報セキュリティ／
IT・Secポリシー策定サービス
・承認フロー(グループウェア/kintone/コラボフロー/
X-point)【SKYSEA Client View Light Edition】
・ユーザ操作によるファイル操作(外部記憶媒体への操作含む)ログ、アプリケーションログ、印刷ログ、Web
アクセスログの収集が可能○○
・リモートワーク時に印刷、記憶媒体利用を禁止させ OP：ITセキュリティ対策強化 OP：S1× ※S3のみ搭載
ることが可能・OP：指定したネットワーク以外には接続させないこと
が可能

〇
OP：×

・Secポリシー策定サービス
・文書管理システム【SKYSEA Client View Light Edition】
・ユーザ操作によるファイル操作(外部記憶媒体への操作含む)ログ、アプリケーション実行ログ、印刷ログ、WEBアクセスログの収集が可能○○
・リモートワーク時に印刷、記憶媒体利用を禁止させ OP：ITセキュリティ対策強化 OP：S1× ※S3のみ搭載
ることが可能・OP：指定したネットワーク以外には接続させないこと
が可能

〇
OP：×

【ルールの例】
・関係者以外に 業務情報を話したりパソコン画面や資料を見せたりしないこと・のぞき見や音漏れが起こらない環境を確保すること
・会社ルールに従い撮影、録音を行うこと
・ID/ パスワードを人目に付かないように管理すること
リモートワーク時の注
・重要な会議では主催者が参加者を確認すること・リモートワークで使用する情報機器を安全な場所に保管することとしてい 意喚起る
・離席時には、スクリーンロックまたはシャットダウンを行うこととしている
・移動時には常に携帯することとしている
・リモートワーク遂行上のルールを周知し、必要に応じて是正している

情報セキュリティ／
IT【入場可能な人の例】
・事前に管理者の承認を得た従業員を入場可能としている【規則】
・社内のシステム運用・保守責任者・担当者、メンテナンス業者を入場可
・サーバー等の設置するエリアに入場可能な人をサーバー
能としている
定めること
・入退場時に台帳で立ち入り記録をつけ、都度社内責任者の承認を取得するとともに、入場可能な社内担当者の立ち合いを必須としている

IT

入退室管理システム－

85

サーバー等の設置エリア
Lv1 は、施錠等で入場を制限
している

【規則】
・サーバー等の設置エリアを施錠すること・施錠が出来ないエリアにサーバーが設置されている場合、サーバーを専用ラックに入れて施錠すること
・管理者を定めて、施錠管理を行うこと【施錠の実施例】
・物理鍵で施錠し、管理者が都度開錠を行っている・セキュリティカードで施錠し、管理者が権限管理を行っている
・パスワードで施錠し、管理者が都度開錠を行っている
サーバー
・生体情報で施錠し、入場者の生体情報で開錠を行っている・施錠が出来ないエリアにサーバーが設置されている場合、サーバーを専用ラックに入れて施錠している

IT

入退室管理システム

－

86

【規則】
・サーバー等の設置エリアの入退場記録を取得し、保管すること【記録する項目】
サーバー等の設置エリアに【入退場記録の例】-入退場日時Lv2 入場した記録を保管し、定・台帳に入退場の都度記載し、保管している-入場者(氏名、所属、連絡先など)
期的にチェックしている・システムで入退場記録を自動取得している
-入場目的
-承認者
【保管期間】
・6ヶ月

サーバー

IT

入退室管理システム－

87【監視の例】【規則】
・持ち込み物、持ち出し物を台帳に記載しているサーバー等の設置エリアに ・入場時、退場時に持込み・持ち出し物を確認
・入場時、自身の荷物はロッカーに入れ、透明のバックを利用している
Lv2 不正侵入や不審行動を監 すること
・入場認証エラーが続いた際に管理者へ通知される様にしている
視している
・入場者の行動を監視すること
・事前入場許可者の立ち合いを必須としている
・監視カメラを設置している

サーバー

IT

・監視カメラ・セキュリティロッカーなど什器

－

情報セキュリティ／
総務・入退室管理システム
・サーバールームやパーティション設置など什器案件
・サーバーラック導入－

情報セキュリティ／
総務

入退室管理システム－

89

CPS.AC-1
CPS.AC-4
CPS.AC-3【見直しの例】

サーバー等の設置エリア
Lv1 は、入場可能な人を定めている

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

×

【見直しの例】
・年一回ルールの内容を確認し、必要に応じて改訂している。

84

88

【規則】
・自社の入退場ルールを定めること
・入退場ルールを周知すること・入退場ルールの内容や遵守状況を確認し、必【ルールの例】
要に応じて改定や再周知を行うこと
・執務室、会議室、機密情報設置場所を入場制限エリアとしている【周知対象】
・許可されたエリア以外への立ち入り時は申請を行うこととしている
入退場に関するルールを ・自社に出入りする全ての人員
Lv2
・社員証、入場許可証を見える場所に着用することとしている
入退場管理
定め、周知、運用している 【入退場ルールの内容】
・外来者の入場時には受付で記名の上、入場許可証を貸与することとし・入場制限エリアの定義ている・入退場時の申請、承認
・入退場ルールを社内に周知し、必要に応じて改訂や再周知している・入退場時の身分証明方法(社員証、入場許可証の着用など)
・入場許可証,通門証の発行規則【入退場ルールの内容や遵守状況の確認、是【規則】
・重要なエリア、部屋の入退場を制限すること・重要なエリア、部屋への入退場記録を取得【入場制限の例】
し、保管すること
・研究、設計エリア、経営陣エリアには、許可された従業員のみ入場可能
重要なエリア、部屋への入【記録する項目】としている場を制限し、
Lv2
・入退場日時
入退場管理
入退場記録を保管してい・入場者(氏名、所属、連絡先など)【入退場記録の例】
る
・入場目的
・台帳に入退場の都度記載している・承認者・システムで入退場記録を自動取得している【記録の保管期間】
・6ケ月以上CPS.AC-2
CPS.IP-5

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)
90

【規則】
・自社の重要な場所において、不正侵入や不 【監視の例】
審行動を監視すること
・持ち込み物、持ち出し物を台帳に記載している
不正侵入や不審行動を監
Lv2
・監視が正常に機能していることを確認し、必要 ・入場認証エラーが続いた際に管理者へ通知される様にしている視しているに応じて是正すること
・事前入場許可者の立ち合いを必須としている【監視状況の確認、是正頻度】
・監視カメラを設置し、定期的に機能を確認している・1回以上/6か月

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)
91

Lv2

社内への持込みルールを明確にし、運用している攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

入退場管理

【規則】
・社内への持込みルールを定めること
・持込みルールの内容や遵守状況を確認し、必要に応じて是正すること【ルールの例】【対象者】
・研究、設計エリアには、カメラ・外部記憶媒体・録音機器の持ち込みを・従業員、派遣社員、受入出向者および社外禁止している者
・禁止されている物品を持ち込む際には、申請書でエリア管理者の承認を 持込み・持出し制限【対象の物品】
得ている・パソコン、タブレット、スマートフォン、カメラ、外・持ち込み物を管理台帳に記録し、6ヶ月保管している部記憶媒体
・社内への持ち込みルールを周知し、定期的に見直しをしている※上記の他に記録可能な物品があれば各社で判断すること【持込みルールの内容】
・持込み制限の対象とするエリア、物品【規則】
・社外への持出しルールを定めること
・持出しルールの内容や遵守状況を確認し、必要に応じて是正すること【対象】
・従業員、派遣社員、受入出向者および社外者【対象の物品】
・パソコン、タブレット、スマートフォン、カメラ、外部記憶媒体、印刷物(図面などの機密書類)※上記の他に必要な物品を各社で判断すること【持出しルールの内容】

情報セキュリティ／
総務

監視カメラ

－

情報セキュリティ／
総務・Secポリシー策定サービス
・承認フロー(グループウェア/kintone/コラボフロー/
X-point－－【ルールの例】
・社外持ち出し時には、所属長の承認を得ることとしている・持ち出し物を管理台帳に記録し、6ヶ月保管している・社内への持ち出しルールを周知し、定期的に見直しをしている

持込み・持出し制限

情報セキュリティ／
総務・Secポリシー策定サービス
・承認フロー(グループウェア/kintone/コラボフロー/
X-point【対策の例】
・半年ごとにルールの教育を実施している
・半年ごとに持ち出し点検を実施している

持込み・持出し制限

情報セキュリティ／
総務・情報セキュリティ対策セミナー
・学び維新、Formsなど(eラーニング)・グループウェア/kintone/365など (情報共有)

94

【規則】
・社内における撮影ルールを定めること
・撮影ルールの内容や遵守状況を確認し、必要に応じて是正すること【ルールの例】【撮影ルールの内容】
・研究、設計エリアを撮影制限エリアとしている
・撮影を制限する対象またはエリア
社内における撮影ルールを・撮影の際は、1週間前までに申請書でエリア管理者に申請し、承認を得
・撮影の申請、承認手順
Lv2
社内撮影制限定め、運用しているることとしている
・撮影申請、行為の記録の保管(保管期・撮影の際は、エリア管理者立ち合いを必須としている
間:6か月)※撮影を制限しないエリアを設けることも可 ・撮影申請書は6ヶ月保管している
能(例：社外者との打合せエリア)【撮影ルールの内容や遵守状況の確認、是正
頻度]

情報セキュリティ／
総務

Secポリシー策定サービス

97

【規則】
・PCの標準構成(ソフトウェアとバージョン)と設定
PCの標準構成・設定ルーを定めること【ルールの例】
ルを定め、標準構成・設定
Lv2
・構成、設定の変更は承認制にすること
・標準ソフトウエアを定め、運用しているルールに変更がある場合[対象]
・標準ソフトウェアの構成、設定変更を承認制としている
は承認を経て変更している-会社支給のPCのOS、オフィスソフト、ブラウ
ザ、ウイルス対策ソフト

IT

社外への持出しルールを明確にし、運用している

92

Lv2

93

【規則】
持込み・持出しルールに関 ・持込み・持出しルールに関する意識を高める
Lv2 する意識を高める対策を 対策を講じること
講じている【実施頻度】
・1回以上/6か月

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

対象

PCやサーバーなどの機器の接続ルール【規則】
・社内ネットワークへの接続に関するルールを定めること攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

他社事例
(参考事例を列記しており、すべての遵守を求めているものではありません)

達成基準

クライアントPC

・情報セキュリティ対策セミナー
・グループウェア/kintone/365など (情報共有)
・SKYSEA Client View (情報資産管理)

5 / 9 ページ

【SKYSEA Client View Light Edition】
・メッセージ配信機能にて各端末へ情報周知が可能【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)○
有償サービス：セキュリティ研
修○
セキュリティ研修×
有償サービス：セキュリティ研修○○〇 ※ブラックリストのみ可能－【SKYSEA Client View Light Edition】
・ホワイトリスト/ブラックリストでのアプリケーション利用制限可能

池田事務器＆Ricoh
分類

ラベル

No.

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

達成条件

他社事例
(参考事例を列記しており、すべての遵守を求めているものではありません)

達成基準

対象

担当領域
(回答者検討時の参考情報)

Ｓｋｙ株式会社にて追記

提供サービス

対応内容※左記に対し、支援可能な項目のみ記載

SKYSEA Client View
Light Edition
対応可否

対応状況
S1 / S3
Cloud Edition
対応可否

M1
Cloud Edition
対応可否

98

【規則】
・社内で利用許可または禁止するソフトウェアの一覧を作成し周知すること・ソフトウェアの無断インストールを制限すること
PCで利用を許可または禁 ・定期的にソフトウェアのインストール状況を確認
止するソフトウェアを定め、 すること【ルールの例】
ソフトウェアの無断インス ※システムでインストール制限している場合は確 ・禁止ソフトウエアの一覧を作成し、関係者で共有している
Lv2
トールを禁止し、違反がな 認不要・禁止ソフトウエアは自動でソフトウエアの稼働抑止を実施している
いか定期的に確認してい・毎週インストール状況を調査している[対象]
る-会社支給のクライアントPC[制限すべきソフトウェアの例]-情報漏えいにつながるソフトウェア-深刻な脆弱性があるソフトウェア-マルウェア・スパイウェアの疑惑のあるアプリ

クライアントPC

IT・Secポリシー策定サービス
・SKYSEA Client View (情報資産管理)【SKYSEA Client View Light Edition】
・ホワイトリスト/ブラックリストでのアプリケーション利用
制限可能
・利用禁止アプリケーションのインストールを検知可能○○○ ※ブラックリストのみ可能
×

99

【規則】
【ルールの例】
・データ書き出しを制限する仕組みを導入するこ・システム対策（Directoryサービス）により、USBの利用制限を実施しPCからのデータ書き出しを と
Lv2ている
クライアントPC
仕組みで制限している[対象]
・書き出し制限機能があるソフトを導入している-会社支給のクライアントPC
・物理的なポート閉鎖をしている

IT

・SKYSEA Client View (デバイス制御)【SKYSEA Client View Light Edition】
・外部記憶媒体(USBデバイス)の使用条件を設定
可能

○

○

〇

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

攻撃を 16物理
防ぐ対 セキュリ
策
ティ
実施
(防御)

レベル

マルウェアによる被害(デー【規則】
タ暗号化等)を受けた場合
・重要データはクライアントPC以外に保管するこに業務に支障をきたす重と要データについては、PC以[周知対象]
外へ保管するようルールを-役員、従業員、派遣社員、受入出向者
定め、周知しているIT・オンプレサーバーおよびバックアップシステム
・BOXなど クラウドストレージ活用－【不要な機能停止運用の例】
・初期導入時に不要なサービスを無効化している・デフォルトパスワードは必ず変更している
サーバー
・定期的(1回/年)にサービス・デーモンの仕様と設定が同一であるか確認
している
・機能の追加・変更がある場合、サービス設定を確認しているIT・Secポリシー策定サービス
・サーバー構築委託－【実施例】
・モバイルデバイス管理ツール（MDM）により遠隔削除機能を設定している・システム対策として、パスワードルールを設定している・スマートデバイスのパスワード・生体認証を必須としている

IT・Ricoh ITクラウドIT管理サービス2/
LanScope EndPointManager/
SKYSEA Client View
モバイル機器管理機能（MDM）【SKYSEA Client View Light Edition】
・OP：iOS端末に対して、遠隔削除、リモートロックが OP：MDM Services
可能。パスワードルールの設定が可能

IT

・GSP（サイバーセキュリティパック）・BBパックNext、Merakiスマートサービス

－

【実践例】
・ファイアウォールに重要な変更を行う際には、設定のスナップショットを撮っておき、保存している
外部ネットワーク・ファイアウォールの設定を台帳で管理し、年1回申請者へ必要性の確認を行っているIT・GSP (コンフィグ世代管理)

－

105

【規則】
・リモートアクセスのIDの発行・変更・削除は申リモートアクセスのIDを管 請・承認制にすること
Lv2 理し、不要なIDがないか ・定期的に不要なIDがないか確認すること
定期的に確認している・不要なIDを削除すること【確認頻度】
・1回/年【実践例】
・利用者IDの発行・変更・削除は申請・承認制としている
・利用実績を通知し、不正利用が無いか確認している・デジタル申請/承認が実施可能なワークフローシステムを導入している
外部ネットワーク・リモートログインを許可するアクセス元をアクセス制御機器により最小限に設定している・1回/年 IDの棚卸管理を実施し、不要なIDを削除している

IT

・VPN保守サービス
・承認フロー(グループウェア/kintone/コラボフロー/
X-point)－

106

業務およびデータの重要
Lv2 性に応じてネットワークを分離している。

【規則】
・業務内容やデータ重要性でシステムを分類し、専用のネットワークセグメントに設置すること【対象】
・社外公開サーバー【実践例】
・インターネット公開サーバーはDMZに設置している・PCとサーバーは、ネットワークセグメントを分離している
外部ネットワーク・重要情報を取り扱うシステムは専用のネットワークセグメントに設置している
・工場ネットワークは専用のネットワークセグメントとしている

IT

・SE個別構築による社外公開サーバーセキュリティ対策※対象が無ければ対策不要

－

107

【規則】
・開発環境やテスト環境が本番環境と分離され【分離の例】
開発やテストを行う際は、 ていること・システムの重要度・変更/リリース頻度に応じた開発・テスト・本番環境
Lv2 本番環境に影響を与えな[対象]構成を決め運用している
い構成になっている-重要な社内サーバー、重要な社外公開サー・重要システムは検証環境を用意し、権限等も分離している
バー※対象はリスクに応じて各社で判断

Lv2

101

サーバーの不要な機能を無効化している
デフォルトユーザーIDの利
Lv2
用の停止をしている
デフォルトパスワードの変更をしている

102【規則】
管理部署がスマートデバイ
・パスワードを設定すること
Lv2 スに対して、機密管理上・紛失時のデータ削除機能を設定すること必要な設定を行っている

103

インターネットと社内ネット
ワークとの境界にファイア
Lv2
ウォールを設置し、通信を制限している

104【規則】
・社内外ネットワーク通信のフィルタリング設定を記録すること・定期的に不要なフィルタリング設定がないか確
ファイアウォールのフィルタ
認することリング設定(通信の許可・・不要なフィルタリング設定を削除すること
Lv2 遮断設定)を記録し、不要【記録する項目】
な設定がないか定期的に・申請者、接続元および接続先のIPアドレス、
確認している通信方向、プロトコル、
ポート番号、利用用途、登録日、有効期限【確認頻度】
・1回/年

攻撃を 17通信防ぐ対 制御策
実施(防御)

攻撃を 17通信防ぐ対 制御策
実施(防御)

攻撃を 17通信防ぐ対 制御策
実施(防御)

攻撃を 17通信防ぐ対 制御策
実施(防御)

攻撃を 17通信防ぐ対 制御策
実施(防御)

攻撃を 17通信防ぐ対 制御
策
実施
(防御)

【規則】
・不要サービス、デーモンを無効化すること・デフォルトユーザーIDの利用を停止すること・デフォルトパスワードの変更すること

スマートデバイス【規則】
・社内と社外のネットワーク通信を制限する仕組みを導入すること【実践例】[導入場所]・IPアドレス、またはMACアドレスで通信制限を設定している-社内外ネットワークの境界
・パケットフィルタリングを設定して、特定のアプリケーションだけに制限してい 外部ネットワーク[制限する項目]る-接続元および接続先のIPアドレス
・ファイアウォールを設置し接続できるポートを制限している-通信ポート【規則】
・不正なWebサイトへのアクセスを制限すること【対象】
・クライアントPC/Webゲートウェイ

IT

・GSP
・ISM CloudOne
・i-FILTER【実践例】
・アプライアンス型のWAFを導入している
・Webサーバーにソフトウェアをインストールするホスト型のWAFを導入している
サーバー
・インターネット経由サービスとしてクラウド型(DNS切替型)のWAFを導入している・クラウド連動エージェント型のWAFを導入しているIT・攻撃遮断くん FortiWeb (WAF)※対象が無ければ対策不要－

インターネットに公開してい 【規則】
るWebサイト、システムに ・DDoS攻撃を受けた際にサービスを継続する
Lv2 ついて、DDoS攻撃を受け 仕組みを導入することてもサービスを継続するた 【対象】
めの対策を実施している ・重要な社外公開Webサイト、DNSサーバー【実践例】
・不正侵入検知・防御システム(IDS/IPS)を導入している・通信事業者によるDDOS対策サービスを利用している

サーバー

IT

・おりこうブログAI (DSブランドサーバー利用)
・攻撃遮断くん (クラウド型WAF)
・ FortiWeb (アプライアンス型WAF)※対象が無ければ対策不要

－

111

【規則】
・社内外ネットワーク通信を暗号化することインターネット経由の通信【対象】
Lv2 が盗聴、改ざんされないよ・社外から社内へのリモートアクセス通信
う、通信を暗号化している・ユーザーと社外公開サーバーとの間で認証を
伴う通信

【実践例】
・リモートアクセスはVPNを利用し、暗号化している・WebサービスはHTTPSを利用し、暗号化している

外部ネットワーク

IT

112

【規則】
・端末とアクセスポイントの間の通信を暗号化す
【実践例】
ること
端末と無線LANアクセス
・社内無線LANを利用するPCに電子証明書をインストールし、アクセスポ
・政府推奨暗号において危殆化している暗号技
Lv2 ポイントの間の通信を暗号
イントの間の通信を暗号化している
社内ネットワーク術は利用しないこと化している
・年1回、 電子政府推奨暗号リストを確認し、利用している暗号技術が危殆化していないことを確認している【対象】
・社内無線LAN

IT

・無線LANパック
・法人向けAP個別構築 (電子証明書使用)

－

113

【規則】
・ユーザーIDを共有しないこと
・やむを得ず共有IDが必要な場合は、共有ID
ユーザーIDを個人毎に割 を利用したユーザーを特定できるようにすること
Lv1
り当てている【対象】
・業務で利用するシステムおよびパソコンログオン
時のユーザーIDIT・Secポリシー策定サービス
・SmartOnシリーズ

－

Lv2

109

インターネットに公開してい 【規則】
るWebアプリケーションに ・WAF(Web Application Firewall)を導入
Lv2 ついてWAF(Webすること
Application【対象】
Firewall)を導入している ・重要な社外公開Webアプリケーション

110

攻撃を 17通信防ぐ対 制御策
実施(防御)

攻撃を 17通信防ぐ対 制御策
実施(防御)

攻撃を 17通信防ぐ対 制御策
実施(防御)

攻撃を 17通信防ぐ対 制御策
実施(防御)

攻撃を 18認
防ぐ対 証・認
策
可
実施
(防御)

オフィスツール【SKYSEA Client View Light Edition】
・URL単位で閲覧不可なWEBサイトの制御が可能

・FortiClient、BBパックNext、Merakiスマートサービ
スなど （リモートアクセス）－・おりこうブログAI (WEB、HTTPS対応)【ルール設定の例】
は、利用記録を残す【共有ID利用の例】

認証とアクセス権

OP：MDM Services

OP：MDM Services

・社内サーバー：FortiGate個別構築、法人向けNW構築 (NW分
割)－・社外公開サーバー：SE個別構築による社外公開サーバーセキュリティ対策※対象が無ければ対策不要

IT

不正なWebサイトへのア
クセスを制限している

108

【実践例】
・URLフィルタリングを導入し、不正なサイトへのアクセスをブロックしている・統合脅威管理（UTM）にてWebフィルタリング機能を有効にしている

サーバー用にしている6 / 9 ページ

経産省CPSF
要求事項に関する対策要件ID

CPS.RA-1
CPS.IP-1
CPS.IP-2
CPS.PT-2【ルールの例】
・ソフトウエアによってはローカル保存が前提の場合も想定されるため、規則
ではなく運用ルールとして周知している。
クライアントPC
・定期バックアップを実施しているサーバーに保存している
・外部記憶媒体に保存している

100

0:
1:
2:
未実 対応 対応
施中
完了

CPS.AC-3
CPS.AC-7
CPS.AC-8
CPS.AC-9
CPS.DS-3
CPS.DS-9
CPS.CM-1○○〇

池田事務器＆Ricoh
分類

ラベル

No.

攻撃を 18認
防ぐ対 証・認
策
可
実施
(防御)
114

レベル

達成条件

【規則】
・システム管理者と責任者を定めること【実践例】
・管理者権限を付与する従業員を限定すること・役割に応じた必要最低限の権限のみ付与す
ユーザーIDとシステム管理
ザーIDとは分けて発行している
ること
Lv1 者IDの権限を分離してい・システム開発者が本番環境において、管理者
る
権限で操作できないようにすることクしている
・管理者パスワードを適切に設定すること【対象】
・すべてのサーバー、ネットワーク機器攻撃を 18認
防ぐ対 証・認
策
可
実施
(防御)
115

攻撃を 18認
防ぐ対 証・認
策
可
実施
(防御)
116

攻撃を 18認
防ぐ対 証・認
策
可
実施
(防御)
117

攻撃を 18認
防ぐ対 証・認
策
可
実施
(防御)

攻撃を
防ぐ対
策
実施
(防御)

21オ
フィス
ツール
関連

攻撃を
防ぐ対
策
実施
(防御)

－

認証とアクセス権

認証とアクセス権IT・Secポリシー策定サービス
・SmartOnシリーズ
・SKYSEA Client View (台帳管理)－

認証とアクセス権IT・Secポリシー策定サービス
・承認フロー(グループウェア/kintone/コラボフロー/
X-point)－【規則】
重要システムではセッション ・重要システムではセッションタイムアウトを実装
Lv2 タイムアウトを実装してい することる【対象】
・社外公開システム、重要な社内システム

サーバー

IT

・Secポリシー策定サービス－

IT・SKYSEA Client View (IT資産管理)

125

130

132

21オ
フィス
ツール
関連
134

21オ
フィス
ツール
関連

135

サポート期限が切れた
Lv2 OS、ソフトウェアを利用しないようにしている【実践例】
・申請・承認については、ユーザーID申請用のシステムを利用している・申請・承認については、申請書を利用している・システム主管部署の承認に基づき、作業を実施している【実装例】
・個人情報を扱うシステムでは、セッションタイムアウトを5分としている
・ネットワーク機器では、セッションタイムアウトを5分としている【規則】
・サポートのあるOS、ソフトウェアを利用すること・やむを得ずサポート切れのOS、ソフトウェアを利用する場合は、できる限り脆弱性悪用のリスクを 【実践例】
・資産管理ソフトでソフトウエアの棚卸を行っている低減すること・ソフトウェア別／バージョン別のサポート情報を定期的に確認し、サポート【対象】
・会社支給のパソコンのOS、ブラウザ、Officeソ 終了の１年前からバージョンアップあるいは機器の入替計画を検討してい 機器全般
る
フト・更新できない場合は、指定のアプリケーションしか動作させないように制・サーバーのOS、ミドルウェア
御ソフトを導入している（ホワイトリスト制御）
・会社支給のスマートデバイスのOS、アプリ
・インターネットとの境界に設置されているネット
ワーク機器のOS、ファームウェア【規則】
・セキュリティパッチやアップデート適用を、規則と【適用基準の例】
期限を定め実施すること・やむを得ず適用できない場合は、適用対象外の理由を記録すること

情報システム・情報機器、
ソフトウェアへセキュリティ 【対象】
パッチやアップデート適用を ・パソコン、スマホ、タブレット、サーバー、ネット
適切に行っている
ワーク機器、ソフトウェア等-会社支給のクライアントPCのOS、ブラウザ、
Officeソフト-サーバーのOS、ミドルウェア-会社支給のスマートデバイスのOS、アプリ-インターネットとの境界に設置されているネット【規則】
・脆弱性情報の収集から対応まで担当部署の役割・責任を明確化すること脆弱性の管理体制、管理 ・脆弱性情報/脅威情報を収集する情報源、
Lv2
プロセスを定めている
ツール、頻度を定めること・収集した情報の対応要否判断基準・対応手
順を定めること・対応履歴を記録し、月次でチェックすること
Lv1【適用期限の例】

機器全般

内部不正対策として社外送付メールの監査を実施
し、監査している事をメー
ル利用者に周知している【対策の例】
・システムにより社外宛に送信したメールの一覧及び内容を上司が確認で【規則】
きるようにしている・メール監査を実施し、監査している事を周知す ・全メールをアーカイブし、必要に応じ監査を実施しているること【周知の例】
オフィスツール【対象】
・下記を定期的に、またはインシデント発生時に実施することを社内電子・社外宛ての送信メール
掲示板（ポータルWebサイト）で周知している-全件調査【周知対象】-対象絞り込み(キーワード、フリーメール宛先など)
・役員、従業員、派遣社員、受入出向者-条件抽出による調査-無作為のサンプリング調査【規則】
・下記を明文化し周知すること
WebサイトやWebアプリ-許可なく会社情報をSNSへ掲載しないこと
ケーションの利用における-許可なく業務データをWebサービスにアップ
Lv2
禁止事項および制限事項 ロードしないことを明確にし、周知している【周知対象】
・役員、従業員、派遣社員、受入出向者

M1
Cloud Edition
対応可否

0:
1:
2:
未実 対応 対応
施中完了

経産省CPSF
要求事項に関する対策要件ID【SKYSEA Client View Light Edition】
・インストールされてるアプリケーションの一覧取得が可 ○
能

○

〇

IT

・SKYSEA Client View
(IT資産管理、更新プログラム配布)【SKYSEA Client View Light Edition】
・ソフトウェア配布にて、Windows更新プログラムを配 ○
布可能

○

〇

IT

・Secポリシー策定サービス
・Sophos MDR (EDR)【SKYSEA Client View Light Edition】
・JVNの脆弱性対策情報ポータルサイトと連携し、脆 ○弱性があるアプリケーションの把握が可能

○

×

IT

・クラウドサービス for MVB
・クラウドサービス for サーバーセキュリティ
・ISM CloudOneなど (ふるまい検知)
・SKYSEA Client View (EDR)
・Sophos MDR (EDR)－

IT

・M-Filter@Cloud・FinalCode
・HENGE・Ricoh Drive
・クラウドサービス for MVB データセキュア【SKYSEA Client View Light Edition】
OP：送信メールログ+外付け
・OP：Outlookから送信されたメールログを収集可能 デバイス&ファイル暗号化
×・OP：Outlookから送信された添付ファイル付きメー OP：外付けデバイス&ファイ
ルの添付ファイルを暗号化することが可能
ル暗号化

IT

・M-Filter MailAdviser
・FinalCode
・HENGE E-Mail Security Edition
・Ricoh Drive、BOX等 (ストレージ活用)－IT・ExchangeOnline構築
・m-FILTER Archive

CPS.RA-1
CPS.RA-2
CPS.MA-1
CPS.DS-10
CPS.AE-3

録している

【実践例】
・情報システム部門にて、IPAやJPCERT等から随時情報収集している
・脆弱性対応のSOCサービスからの定期レポートを確認し、社内システムに該当する脆弱性がないか確認している
サーバー
・該当する脆弱性がある場合、対策を決定する会議を開催している・該当した脆弱性は、緊急度およびシステム・業務への影響を確認し、最大2か月以内に対策を実施している
・緊急度に応じた対策実施体制が整っている
・対応状況を記録し、月1回状況を確認している【規則】【安全性確認の例】
・ウイルス対策ソフトのリアルタイムスキャンを実行 ・ウイルス対策ソフトのリアルタイムスキャンを実施している
外部から受け取ったデータすること・サンドボックスと呼ばれる仮想環境で実行してみて怪しい振る舞いを行わ
Lv2 が安全であることを確認し
機器全般
・外部から受け取ったファイルを安全な仮想環境 ないか確認しているている
上で安全性を確認するシステムを導入すること ・EDR（Endpoint Detection and Response）で不審な振舞いを
リアルタイム検知・対処をしている【対策の例】
・転送禁止などの注記の記載している・メールCCに上司等のアドレスを含める
・上司の承認を得てメール送信を行っている
・添付ファイルへのパスワード付与またはを暗号化している
メール送信による情報漏【規則】
・極秘情報については社内であっても、添付ファイルをパスワード付与またLv2 えいを防止するための対
オフィスツール
・機密情報をメール送信する場合は、情報漏え は暗号化する策を実施しているい対策を実施すること
・社外メーリングリストへの送信禁止
・メール文面に禁止語句があった場合、システムで送信遮断しているら送信不可・TLSによる暗号通信を可能な限り使用している
・メール本文への機密情報の記載を禁止している【規則】【対策の例】
・メールの誤送信を防止する対策を実施すること・事故事例の展開や注意喚起などの啓発活動(年1回以上)を行っているメールの誤送信を防止す
・上司の承認を得てメール送信を行っている
Lv2【対象】
オフィスツール
る対策を実施している・メールソフトの設定による宛先間違い防止対策を行っている・社外宛ての送信メール
・送信前に確認を促す仕組みを導入している・一定時間メール送信を保留し、送信を取り消せる仕組みを導入している

Lv2

対応状況
S1 / S3
Cloud Edition
対応可否

CPS.AC-1
CPS.AC-9
CPS.GV-3
CPS.AC-4
CPS.AC-5
CPS.AC-6
CPS.AC-1

121

133

攻撃を
防ぐ対
策
実施
(防御)

・Secポリシー策定サービス
セキュリティハンドブックを使用した教育実施・情報セキュリティ対策セミナー
・学び維新、Formsなど(eラーニング)
・セキュリティ研修サービス・グループウェア/kintone/365など (情報共有)

－

131

21オ
フィス
ツール
関連

情報セキュリティ／
IT・Secポリシー策定サービス
・承認フロー(グループウェア/kintone/コラボフロー/
X-point)

21オ
フィス
ツール
関連

攻撃を
防ぐ対
策
実施
(防御)

－

IT

124

攻撃を
防ぐ対
策
実施
(防御)

・SmartOnシリーズ
・ActiveDirectory構築

認証とアクセス権

19パッ
チや
アップ
デート
適用

攻撃を 20デー
防ぐ対 タ保護策
実施(防御)情報セキュリティ／
IT

認証とアクセス権

119

19パッ
チや
アップ
デート
適用

19パッ
チや
アップ
デート
適用

－

IT

【規則】
・管理者権限の付与・変更・削除は申請・承認【実践例】
管理者権限の付与・変制にすること・申請・承認については、ユーザーID申請用のシステムを利用している
更・削除およびサーバーと ・サーバーおよびネットワーク機器の設定変更は・申請・承認については、申請書を利用している
Lv2 ネットワーク機器の設定内 申請・承認制にすること
・設定変更時は、作業申請書を提出し、管理者の承認を受けてから作容の変更については、責任 ・サーバーの管理者権限を管理すること（追業を実施している者の承認を得ている
加、変更、修正）・管理者権限を利用できる人は、事前登録制としている
・ネットワーク機器で管理者権限を利用できる人を管理すること

123

攻撃を
防ぐ対
策
実施
(防御)

【規則】
【棚卸の実践例】
・実施タイミングを明記した棚卸実施ルールを定ユーザーID及びシステム
め、不要なIDを削除すること
管理者IDは定期的、またLv1 は必要に応じて棚卸しを行【対象】
い、不要なIDを削除して・業務で利用するシステムおよびパソコンログオン
いるている
時のユーザーID、及び、システム管理者のID

Ｓｋｙ株式会社にて追記
SKYSEA Client View
Light Edition
対応可否

対応内容
※左記に対し、支援可能な項目のみ記載

提供サービス・Secポリシー策定サービス
・承認フロー(グループウェア/kintone/コラボフロー/
X-point)

認証とアクセス権

制約を設ける【対象】
・業務で利用するシステムおよびパソコンログオン
・パスワード漏えいの疑いが判明した場合は、強制的に変更を行う
時のパスワード【周知対象】-役員、従業員、派遣社員、受入出向者【パスワード設定ルールの例】【規則】
・社外WEBサービスでパスワードの使いまわしをしない
・対象のパスワードを社外Webサービスで設定しないこと【周知の例】※同一の認証基盤(SSO等)の場合は使いま ・社内社内電子掲示板（ポータルWebサイト）に1回/年掲載している
外部情報システムのパス わしに該当しない
・1回/年のユーザー教育を実施している
Lv2 ワード設定ルールを定め、 【対象のパスワード】
周知している・PCログオン時のパスワード【Webサービスの例】
・メールシステムのパスワード(Microsoft 365な ・メールマガジン
ど)・SNS【周知対象】
・会員登録サイト
・役員、従業員、派遣社員、受入出向者
・クラウドサービス※業務用/私用双方を含む

担当領域(回答者検討時の参考情
報)【規則】
・ユーザーIDの発行・変更・削除は申請・承認
ユーザーIDの発行・変更・制にすることLv2 削除の手続きを定めてい【対象】
る
・業務で利用するシステムおよびパソコンログオン
時のユーザーID

攻撃を 18認
防ぐ対 証・認
策
可
実施
(防御)

攻撃を
防ぐ対
策
実施
(防御)

パスワード設定に関する
Lv1 ルールを定め、周知している【規則】
・桁数・組み合わせ文字・有効期限を定めること
・英字や数字の連続など容易に推測されるもの【パスワード設定ルールの例】
を避けること・パスワードの漏えいが判明した場合は、パス
わせる
ワードを変更すること

対象

118

攻撃を 18認
防ぐ対 証・認
策
可
実施
(防御)

攻撃を
防ぐ対
策
実施
(防御)

他社事例
(参考事例を列記しており、すべての遵守を求めているものではありません)

達成基準【対策の例】
・無許可でのSNSやWebサービスへの投稿・データ保存禁止について規則を作っている・SNSやWebサービスを利用する場合は上長許可・管理部門への申請制としているオフィスツール×××
CPS.RA-2
CPS.MA-1

情報セキュリティ／
IT・Secポリシー策定サービス
・グループウェア/kintone/365など (情報共有)【周知の例】
・社内電子掲示板（ポータルWebサイト）への掲示・教育等を通じ規則を周知している【規則】
・下記を明文化し周知すること-社外とファイル共有する場合は、信頼できる 【対策の例】
・ファイル共有する組織と守秘義務契約を締結している相手とのみ共有すること関係会社やパートナー企-送信履歴が残らない方法で、社外へファイル ・コラボレーションするチームのメンバ情報を管理し、適切なメンバであるか
業とファイル共有する場合
定期的に確認している転送することを禁止すること
Lv2 の利用ルールを定め、周知※ファイル共有：特定の場所にファイルをアップ ・ファイル共有ツールの規則を定め利用履歴を取得しているしている（クラウドサービス
・Web会議でのファイル転送・共有を禁止している
ロードし、特定の相手に利用も含む）
ファイルのアクセスを許可すること ・チャットツールは会社で許可したものを使用し、必要な機能制限を実施※ファイル転送：特定の相手にファイルを直接 している
送信すること【SKYSEA Client View Light Edition】
OP：送信メールログ
・OP：Outlookから送信されたメールログを収集可能【SKYSEA Client View Light Edition】
・メッセージ配信機能にて各端末へ情報周知が可能
オフィスツール

CPS.RA-2
CPS.MA-1
CPS.DS-1
CPS.DS-2

IT・Secポリシー策定サービス
・365Teams
・Ricoh Drive、BOX等 (ストレージ活用)【周知対象】

7 / 9 ページ

【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)【SKYSEA Client View Light Edition】
・ユーザ操作によるファイル操作(外部記憶媒体への操作含む)ログ、アプリケーション実行ログの収集が可能【有償サービス】
・社内部署へ周知のためセミナーを実施可能(要望により内容のカスタマイズ可能)○
有償サービス：セキュリティ研修○
有償サービス：セキュリティ研
修○
セキュリティ研修○
セキュリティ研修×
有償サービス：セキュリティ研修×
有償サービス：セキュリティ研修

池田事務器＆Ricoh
分類

ラベル

No.

攻撃さ 22マル
れたこと ウェア対
を
策
迅速に
知るた
めに
(検知)
136

攻撃さ 22マル
れたこと ウェア対
を
策
迅速に
知るた
137
めに
(検知)

攻撃さ 22マル
れたこと ウェア対
を
策
迅速に
139
知るた
めに
(検知)

攻撃さ
れたこと
を
迅速に
知るた
めに
(検知)
攻撃さ
れたこと
を
迅速に
知るた
めに
(検知)
攻撃さ
れたこと
を
迅速に
知るた
めに
(検知)

達成条件

パソコン、サーバーには、マルウェア感染を検知・通報
Lv1 するソフトウエア(ウイルス対策ソフト)を導入している

ウイルス対策ソフトのパ
Lv1 ターンファイルは常に最新
化している

140

Lv2

メールの添付ファイルによるマルウェア侵入を防止す
るため、システムで拡張子制限を実施している

141

不正なWebサイト閲覧に【規則】
よるマルウェア感染を防止
・Webゲートウェイにマルウェアチェック機能を導Lv2 するため、Webゲートウェ
入すること
イでのマルウェアチェックを実施している

22マル
ウェア対
策

23不正
アクセス
の検知
142

攻撃さ 23不正れたこと アクセス
を
の検知
迅速に
知るた
めに
145
(検知)

攻撃さ 23不正れたこと アクセス
を
の検知
迅速に
知るた
めに
146
(検知)

通信内容を常時監視し、
不正アクセスや不正侵入
Lv2 をリアルタイムで検知/遮断および通知する仕組みを導入している対象【実践例】
・ネットワーク接続するパソコン、サーバーにはウイルス対策ソフトのインス【規則】
トールを必須としている
・パソコン、サーバーごとにウイルス対策ソフトを導 ・既知のパターンをベースに分析し、未知のパターンや亜種などを事前に予入すること測し、検知の精度を高めるビッグデータ活用ディープラーニング型のツールを・機器に応じた適切なスキャン範囲と頻度を規 導入している。
定し、スキャンを実行すること
・ブラウザのセキュリティ設定を高い状態に義務付けている。
機器全般
・PC起動時にウイルス対策ソフトの稼働状況を監視している。
【対象】
・ネットワークに接続している全てのパソコン、サー 【スキャンの実践例】
バー・パソコンは1回/日、サーバーは1回/週の定期スキャンをスケジュールしている・リアルタイムスキャンを有効にしている・スキャンの範囲は感染リスクの高い特定フォルダに限定している【実践例】
・ウイルス対策ソフトのパターンファイルの更新は1回/日以上行っている・ユーザーには、長期休み後の業務開始時には、パターンファイルが最新に【対象】
なっていることを促す教育をしている№136の対象のとおり
・仮想デスクトップ基盤上で、統合的に最新化管理をしている
機器全般【パターンファイルの更新頻度】【パターンファイルが最新化できない場合の例】
・1週間に一度、パターンファイル更新のためのネットワーク接続を実施する
・USB形マルウェアスキャンツールにて、週1回、スキャンを実施する
・パソコンやサーバーをファイアウォールで通信を制限する【対策例】
・外部メールサービスの経路上にマルウェアチェック機能を導入している・社内にメールセキュリティシステムを導入している【規則】
・マルウェア付きメールを削除している・メールゲートウェイにマルウェアチェック機能を導オフィスツール・迷惑メールを削除している
入すること
・不審メールへ特殊なメールヘッダを付加している
・送信ドメイン認証レコード（SPFレコード）を発行している（送信元詐称迷惑メールの対策）
・送信元詐称メールを隔離している【実践例】
・特定のファイル拡張子の添付ファイルの受信をメールシステムで遮断して【規則】
いる・メールゲートウェイに特定の拡張子を制限する
オフィスツール
機能を導入すること
ファイル拡張子の例】.exe, .pif, .scr, .bat, .com, .lnk, .cmd, .vbs, .cpl, .hta, .shs,.url, .desklink, .mapimail

メールによるマルウェア感染を防止するため、メール
ゲートウェイでのマルウェア
チェックを実施している

22マル
ウェア対
策

他社事例
(参考事例を列記しており、すべての遵守を求めているものではありません)

達成基準

Lv2

攻撃さ 23不正れたこと アクセス
を
の検知
迅速に
知るた
めに
(検知)
143

検知被
害の対
応と
修復
(対応・
復旧)

レベル

【規則】
・不正アクセスをリアルタイム検知・遮断する仕組みを導入すること【対象】
・インターネットから社内への通信
・社内から不正なサーバーへの通信【導入場所】
・社内外ネットワークの境界

オフィスツール

社内に侵入したマルウェア【規則】と不正なサーバーとの通信・社内から不正なサーバーへの通信を遮断する
を遮断する対策を実施し仕組みを導入することている

Ｓｋｙ株式会社にて追記
SKYSEA Client View
Light Edition
対応可否

対応内容
※左記に対し、支援可能な項目のみ記載

提供サービス

対応状況
S1 / S3
Cloud Edition
対応可否

M1
Cloud Edition
対応可否

IT

・クラウドサービス for MVB データセキュア・クラウドサービス for MVB
・ISM Cloud One ふるまい検知OP【SKYSEA Client View Light Edition】
・ウイルス対策ソフトウェアのインストールを必須とすることが可能○
・ウイルス対策ソフトウェアのパターンファイル更新日時
OP：PC環境診断
等を確認することが可能
・OP：パターンファイル未更新、ウイルス対策ソフトウェ
ア未インストールの検知および本人への通知が可能

○
OP：×

×

IT

・Secポリシー策定サービス
・SKYSEA Client View (更新管理)・クラウドサービス for MVB データセキュア・クラウドサービス for MVB
・ISM Cloud One ふるまい検知OP【SKYSEA Client View Light Edition】
・ウイルス対策ソフトウェアのパターンファイル更新日時○
等を確認することが可能
OP：PC環境診断
・OP：パターンファイル未更新、ウイルス対策ソフトウェ
ア未インストールの検知および本人への通知が可能

○
OP：×

×

IT

・クラウドサービス for MVB データセキュア
・ExchangeOnline構築
・M-Filter@Cloud・HENNGE One E-Mail Security Edition－

IT・ExchangeOnline構築
・M-Filter@Cloud
・GSP

－

IT

・Cisco Umbrella
・Trend Micro Web Security as a Service（Webゲートウェイ対策）

－

【実践例】
・Webゲートウェイサービスにマルウェアチェック機能を付加している

0:
1:
2:
未実 対応 対応
施中完了

経産省CPSF
要求事項に関する対策要件ID

CPS.RP-1
CPS.DP-4【実践例】
・SOCサービスを利用し、外部から内部、内部から外部の通信を24時間
外部ネットワーク
365日監視している・不正侵入検知・防御システム(IDS/IPS)を導入している【規則】
・下記ログを取得、保管している[取得するログ(保管期間)]-メールの送受信ログ(6カ月)【実践例】
取得項目：日時、宛先メールアドレス、送・保管が必要なログと保管期間を定義し、統合ログ管理システムで保管し信元メールアドレス
インシデント発生時の調査ている-ファイアウォールのログ(6カ月)
Lv2 のために必要なログを取得・保管が必要なログと保管期間を定義し、ハードディスクなどオンラインの記 事件・事故対応
取得項目；日時、送信元IPアドレス、送信している
憶媒体にログを保管している
先IPアドレス・保管が必要なログと保管期間を定義し、バックアップ用テープ、光学ディス-プロキシサーバーのログ(6カ月)
ク、メモリなどの外部記憶媒体に保管している
取得項目：日時、リクエスト元IPアドレス、
URL-リモートアクセスのログ(6カ月)取得項目：日時、接続元IPアドレス、ユー【規則】
・ログを常時分析し、異常発見時に通知する仕組みを導入すること[分析対象]-プロキシサーバー、IPS/IDS、ファイアウォー【実践例】
ログを分析し、サイバー攻ル、エンドポイントのいずれか、または組み合わせ ・SOCサービスを利用し、異常発見時は重大性に基づいて適切なタイミン
Lv2 撃を検知する仕組みを導外部ネットワーク[監視時間]
グで通知を受けている
入している-24時間/365日
・ログ分析ツールを導入し、検知ポリシーを作成して検知を行っている[機能要件]-インシデントアラートが即時発報されること-インシデントの速報レポートが作成され、通知
されること

Lv2

担当領域
(回答者検討時の参考情
報)

【対策例】
・不正通信先のアドレス情報（URLやIPアドレス等）をブラックリストに登録しておき、通信遮断をしている
外部ネットワーク・プロキシサーバーにユーザー認証を設定している・SOCサービスで通信内容を監視し、検知/遮断および通知している

IT

・GSP（サイバーセキュリティプラン）・Fortigate個別構築＋
SKYSEA Client View(ネットワーク遮断)・Sophos MDR (EDR)IT・SKYSEA Client View (ログ管理)
・BOXなど (ストレージ活用)

IT

IT

・GSP（サイバーセキュリティプラン）・Sophos MDR (EDR)・クラウドサービス for MVB

・GSP（サイバーセキュリティプラン）・Sophos MDR (EDR)－【SKYSEA Client View Light Edition】
・クライアントの操作ログを最大10年間保存可能○○ ※保存期間は3か月〇 ※保存期間は1年

○

〇

－

－

【取得方法の例】
・バックアップは外部記録メディアに保管し、ランサムウエア等に暗号化されないようにしている。

24バッ
クアッ
プ・
復元(リ
ストア)

【取得対象の例】
148

Lv1

適切なタイミングでバックアップを取得している【規則】
・取得対象、取得頻度を定めてバックアップを取
得すること

サーバー

IT

・オンプレサーバー＋バックアップシステム構築
・BOX等 (ストレージ活用)【SKYSEA Client View Light Edition】
・サーバ上の資産情報、ログ情報はネットワーク経由や ○外部記憶媒体に保存可能

サーバー

IT

・Secポリシー策定サービス
・iTutor、Dojoなど（マニュアル作成ソフト）
・ファイルサーバー構築
・BOX等 (ストレージ活用)

－

サーバー

IT

・Secポリシー策定サービス－

事件・事故対応IT・Secポリシー策定サービス
・iTutor、Dojoなど（マニュアル作成ソフト）
・ファイルサーバー構築
・BOX等 (ストレージ活用)

－

サーバー

IT

・耐震、免震ラック導入
・サーバールーム構築など－

IT

・オンプレサーバー＋バックアップシステム構築
・BOXなど (ストレージ活用)－【取得頻度の例】
バックアップ）バックアップを取得している

検知被
害の対
応と
修復
(対応・
復旧)

1回/日、過去3世代以上、もしくは法令の定める期間分を保持している【リストア手順書の記載例】

24バッ
クアッ
プ・
復元(リ
ストア)
149

Lv1

復元(リストア)手順を整
備している

【規則】

【リストア手順書の保管方法の例】

ること【リストア手順書の見直し例】
・年一回リストア手順書を机上・実地でテストを行い、見直しを実施する。
・内部監査により適切な方式によるバックアップの取得・リストア手順書の整備を確認している

検知被
害の対
応と
修復
(対応・
復旧)

24バッ
クアッ
プ・
復元(リ
ストア)

検知被
害の対
応と
修復
(対応・
復旧)

24バッ
クアッ
プ・
復元(リ
ストア)

検知被
害の対
応と
修復
(対応・
復旧)

【規則】
・システム利用不可能時を想定した、実施可能な代替手法を整備すること

150

24バッ
クアッ
プ・
復元(リ
ストア)

【規則】
・定めた復元手順により、復元ができることを確
認すること

151

Lv2

重要なデータやシステムについてバックアップの復元【対象】(リストア)テストを実施して・重要なデータ・システム
いる【頻度】
・システム構築時、変更時、定期的（リスク応じ
て判断）

152

【代替手法の例】[対象]
システムが停止した際も業連絡先を整備している-高い可用性が求められる(稼働停止許容時
Lv1 務が遂行できる代替手段
間が短い)システムを用意している情報を共有し供給を継続する手順を整備している※対象はリスクに応じて各社判断[対策例]
業所は、マニュアルで生産できる手順・体制を構築している-アナログツールの利用(FAXなど)-クラウドサービスなどの外部情報システムの利
用

サーバー等の設置エリアに 【規則】
Lv2 は、設備に災害対策、環 ・火災、水害、停電に対する対策を行うこと
境対策を実施している・温湿度管理を行うこと【リストアテストの例】
・リストア手順に従いリストアができることを、システム稼働や更新のタイミン
グで確認している・バックアップの方式毎にバックアックから復元ができることを年1回確認している
・通常時の担当者以外が、リストア手順に従い復元できることを確認している
・新システム稼働時にリカバリ訓練を必ず実施している【災害対策の例】
・免震構造のラックを使用している・建屋の上層階を利用している
・高感度煙センサーを設置している
・外部データセンターを利用している【環境対策の例】
・温湿度計を設置している

検知被
害の対
応と
修復
(対応・
復旧)

24バッ
クアッ
プ・
復元(リ
ストア)

合計

153

【規則】
事業継続上重要なシステ ・求められる復旧ポイントへ復帰可能なバックアッ【バックアップ設計の例】
ムについては、要度に応じ プ及びトランザクションデータログを保管すること・事業継続上重要なシステムは、求められる復旧ポイント、復旧時間、保Lv2 て決められた各システムの ・求められる復旧時間でリストアできる手順書を事件・事故対応
管世代・場所を考慮して設計しリストア手順書も整備している
復旧ポイント、復旧時間を 整備すること満足するデータと手順が整備されている【対象】
・事業継続上重要なシステム
153

8 / 9 ページ

CPS.DS-6
CPS.DS-7
CPS.IP-4
CPS.IP-5
CPS.RP-1

池田事務器＆Ricoh
分類

ラベル

No.

レベル

達成条件

達成基準

他社事例
(参考事例を列記しており、すべての遵守を求めているものではありません)

対象

担当領域
(回答者検討時の参考情報)

提供サービス9 / 9 ページ

Ｓｋｙ株式会社にて追記
対応内容※左記に対し、支援可能な項目のみ記載

SKYSEA Client View
Light Edition
対応可否

対応状況
S1 / S3
Cloud Edition
対応可否

M1
Cloud Edition
対応可否

0:
1:
2:
未実 対応 対応
施中完了

経産省CPSF
要求事項に関する対策要件ID