2022年3月24日

JSSEC 一般社団法人 日本スマートフォンセキュリティ協会
利用部会 副部会長 兼 利用ガイドラインWGリーダー 松下綾子
（アルプスシステムインテグレーション株式会社）1

部会紹介：目的とめざす成果
https://www.jssec.org/activities

利用部会

技術部会

啓発事業部会

ＰＲ部会

利用者視点の活動

安心・安全なスマートフォン利用のために情報収集と課題を整理し、情報発信を行う。 又、近年のスマートフォン利用形態の変化に合わせ、たとえば、IoTの導入など利用企業の共通的 な経営課題を中心にテーマを選定し、利用事例の調査や新しい技術の調査・研究の成果 を発信する。

提供者視点の活動

スマートフォンを安全に利用するための技術的な調査・研究・議論を行う。
具体的には4ワークグループで構成し成果物を公開する事で、日本におけるスマートフォン利用の安全性向上に寄与する。

学生への啓発活動

JSSECがスマートフォンの安全利用を推進し広く社会に貢献するため、積極的に啓発活動展開を行うことを目的とする。
特に、中高生など学生向けの啓発活動に注力する。

JSSECのPR活動

JSSECが行うすべての活動について普及啓発するための情報配信を行う。
例）・メディア対応/各種成果物、JSSEC活動に関する情報配信
・イベント・セミナーの企画・運営
・他団体との連携

2

もくじ
スマートフォン利用ガイドライン 「対策チェックシートⅡ」
１．リリースの背景、概要、特長
２．解説編について
３．活用の効果
４．まとめ

3

対策チェックシートとは
2014年に発行したスマートフォン（タブレット含む）利活用のためのセキュリティガイドライン冊子に付属している「特性別／利用シーン別 対策チェックシート」

付録：対策チェックシート【ご参考】 『スマートフォン＆タブレットの業務利用に関する セキュリティガイドライン～その特性を活かしたワークスタイル変革のために～ 【第ニ版】』＜2014年3月25日発行＞
https://www.jssec.org/report/20140417.html■2019年度のDL数：3538件（294件/月）■2020年度のDL数： 985件 ( 82件/月）
4対策チェックシートⅡ リリースの背景
１．Web系サービスやクラウドストレージ（Webアプリ）の活用に向けた、社内インフラ再構築の増加
２．テレワークの推進など働く環境の激変に伴う、セキュリティポリシーの再検討
３．スマートフォン活用シーンの広がりとタブレット導入の増加

スマートフォン（タブレット含む）を取り巻く環境と、国際的なセキュリティ対策の流れ、用途レベルの変化や最近の社会情勢などを考慮し、セキュリティ要件を見直して、2021年6月、別資料「チェックシートⅡ」としてリリースしました。

5

「対策チェックシートⅡ」概要①■2014年発行の「特性別／利用シーン別 対策チェックシート」をアップデートした資料■2021年6月3日発行

6

「対策チェックシートⅡ」概要②
このようなA3資料（両面1枚）がダウンロードできます。
• Excel版 ：https://www.jssec.org/dl/guidelines_checkSheet2_v1.0.xlsx• PDF版：https://www.jssec.org/dl/guidelines_checkSheet2_v1.0.pdf

7

特長：社会情勢の反映①■働き方改革＋オープンイノベーション対応の考慮- 利用者や利用シーンの変化（社内事務系での利活用に加え、社外とのコミュニケーションや、本業を支える利用への変化）を考慮し、過不足を追加修正

1)サテライトオフィス/工場/仕事の現場/在宅勤務/BYOD/介護/育児/定年再雇●仕事をするための敷居を下げ、より快適な環境で創造性の高い付加価値のある仕事を行うツールとしての活用● BCP対策のための整備の一環としての活用

2)社内外のコミュニケーション/音声・静止画・動画・作業の共有●より付加価値の高い成果を目指して、多くの関係者の知見を集める活動を支援するためのツールとしての活用●社内外を問わず、コミュニケーションの機会と対象を拡大するための活用※JSSECで2020年7月に行ったアンケートでは、緊急在宅勤務において重要書類の持ち出しが一時的に認められたこと、在宅勤務は製造・研究職の現場でも取り入れられたことなどが分かり、それらも念頭におきました。
https://www.jssec.org/dl/telework_research_20200722.pdf■個人情報の取り扱いに対する注意喚起- 個人情報保護の意識についての記載※個人情報保護委員会- https://www.ppc.go.jp/
8特長：社会情勢の反映②■NIST-CSF* の活用- セキュリティフレームワーク 5機能（識別/防御/検知/対応/復旧） と、既存の対策チェックシートを照合し、過不足を追加修正
・National Institute of Standards and Technology（NIST） ：米国国立標準技術研究所
・Cybersecurity Framework（CSF）：サイバー攻撃を防止、検出および対応する能力を、評価および改善する方法に関するコンピューターセキュリティガイダンスのポリシーフレームワーク https://www.nist.gov/cyberframework

・IPAの情報サイトはこちら：https://www.ipa.go.jp/security/publications/nist/- 手順 ①既設のセキュリティ要件の洗い出し➡ガイドライン本体とチェックシートの再照合②利用シーン毎に整理された各対策内容 ➡セキュリティ要件毎に再整理

A-1 特性別 対策チェックシート
A-2 利用シーン別 対策チェックシート
手順書の例
誓約書の例
BYODの留意点
ライフサイクルにおける留意点（管理面）

NIST-CSFの５機能に 合わせて、統合・分離・追加

9アップデートの際の気付き■旧チェックシート(’14年版）と新チェックシート(‘21年版)の項目数比較
既存チェックシートを新チェックシートの項目に照合した結果‘14年版項目数：

識別８ ／防御48／検知１／対応３ ／復旧０追記・新設数：

識別29／防御12／検知６／対応15／復旧８‘21年版の項目数 ：識別37／防御60／検知７／対応18／復旧８10

特長：網羅的＆コンパクト■５つのポイント※下記①～⑤の色は次ページの表の説明と連動しています。

①すぐに読める＝50項目（A3両面、1枚）で簡潔② セキュリティの対策項目をNIST-CSF 5機能分類で、網羅的にチェック可能③ 従来チェックシートの過不足項目を追加／補充・項目見直し時のキーワード：テレワーク、Webアプリ、クラウドサービス活用の増加、経営層の視点、サプライチェーンへの配慮、法整備、社内外のステークホルダー（例：CSIRT）との関係性 等④ 3種の用途レベル毎に、セキュリティ対策の推奨項目を設定
・用途レベル ①簡易的な利用：ビジネスへ大きな影響を与えない例）情報収集や電話、短いコミュニケーションなど補助的な利用・用途レベル ②一般的な社内業務 ：影響は社内にとどまる

例）日常のコミュニケーションツール、業務用資料の作成など、業務での継続的な利用・用途レベル ③重要な本業ビジネス：社外のステークホルダーに影響を与える

例）IoT関連の調査分析ツール、工場での活用など、本業を支える利用⑤ すぐ使える＝自社の状況も記入可能
・特に、この項目を「なぜ採用したのか/しなかったのか」(理由)の記載が重要
11

特長：網羅的＆コンパクト②■チェックシート表の構成
・対策チェックシートⅡは、前ページ①～⑤の説明に合わせ、以下のような構成になっています。

• Excel版 ：https://www.jssec.org/dl/guidelines_checkSheet2_v1.0.xlsx• PDF版 ：https://www.jssec.org/dl/guidelines_checkSheet2_v1.0.pdf

12

解説編について①■チェックシートⅡを読み解くための資料■2022年初夏リリース予定■特長：4つの視点でコンパクトに要点を掲載①なぜ検討するのか（検討の理由、背景、目的）②なにを検討するか（検討の対象）③注意点や考慮点④事例や補足説明（理解が難しい部分のワンポイント解説）■参考
チェックシートⅡの表内に掲載している参考例や補足と合わせて確認すると効果的

13

解説編について②■A4、30ページ程度（予定）チェックシートⅡの大項目毎に解説

14

解説編について③■ワーキンググループでの議論の例✓「スマートフォンの利活用で特に心配な点は、『紛失すること』」※右図参照➡パソコンとは違う紛失対策の重要性✓「意識せずに、いつのまにか、多様なアプリを業務で使っているのではないか？」➡ビジネスパートナーのリスク分析の必要性✓「インシデントの事前・事後対策や、万が一の場合のリスク低減対策に課題はないのか？」➡テレワーク中の関係者との連絡方法や、リスク低減のための初動対応の準備[出典] JSSECテレワーク状況とセキュリティに関するアンケート調査レポート(2020年7月）
15活用の効果■スマートフォンの新規活用開始において
1. セキュリティ要件として検討すべきことが網羅できます。
2. 検討が必要な要件について、見落としやミスを防げます。

■情報セキュリティポリシー全体の見直しにおいて
1. 自社の状況を照らし合わせてみることで、現行のセキュリティポリシーの課題や、時代に合わせて新しく対応すべき点に気づくことができます。
2．各項目に対する「採用/一部採用/不採用」を考え、その理由を明確にしておくことで、将来の点検時に役立てられます。
3．ベンダーやSI業者との打ち合わせ時や、経営層への報告時、必要な要件の整理に役立ちます。

16

まとめ
■対策チェックシートⅡは、NIST-CSFに沿ってまとめたコンパクトな資料であり、セキュリティ対策の網羅性が高くなっています。

■解説編は、チェックシートⅡの読み解きや知識を深めるために役立ちます。
■セキュリティ対策は、守る対象となる情報や、対応業務、デバイス、人、利用シーンなどについて、システム全体を通して総合的に検討する必要があります。
対策チェックシートⅡ＆解説編は、スマートフォンに係るセキュリティ項目ですが、全体を見直す際の項目としても参考になると思いますので、ぜひご活用ください。
利用部会ガイドラインワーキンググループタスクフォース
リーダーメンバー

松下 綾子 （アルプスシステムインテグレーション株式会社）
北村 裕司 （サイバートラスト株式会社）
後藤 悦夫 （株式会社ラック）
本間 輝彰 （KDDI 株式会社）
三池 聖史 （ユニアデックス株式会社）※氏名五十音順
17

ご参考： IoTセキュリティチェックシートと説明動画(You Tube)
利用部会では、IoTを導入する場合の検討事項をまとめ、「IoTセキュリティチェックシート」と「説明動画」(You Tube) を公開しています。
このあと15:30から説明させていただきますので、ぜひご覧ください。
JSSEC IoTセキュリ
ティチェックシート□NIST-CSFの分類：5機能23カテゴリ(識別/防御/検知/対応/復旧)□企業のIoT推進者や管理者の視点で検討すべき点：60項目□IoT用途レベル毎の推奨項目：3つの重要度に分類□各社の検討内容 採用理由／追加項目：検討結果の見える化□検討主体（IT又はOT）及び、連携（ITとOT）が重要な項目を明記

動画セミナー公開中
第1回 セミナーの構成と受講の進め方
第2回 チェックシートの特徴とセキュリティの重要性
第3回 「識別」の解説
第4回 「防御」の解説
第5回 「検知・対応・復旧」の解説
第6回 チェックシートの活用例

https://www.jssec.org/iot-youtube

18

ありがとうございました。
ぜひ、ワーキンググループの活動に参加してみませんか。
メールお待ちしております。

https://www.jssec.org/

Mail：sec@jssec.org
matsushita@alsi.co.jp