産業横断 セキュリティオペレーション アウトソーシングガイド
管理監督業務（インソース）
サイバーセキュリティに関する機能定義
主な機能概要全体統括管理セキュリティ機能定義

サイバーセキュリティ対策

最終報告

機能を実現する業務（例）サイバーセキュリティ
統括

共通項目

サイバーセキュリティ対策に関する全社的統括

月例

定常（日次）業務

NISC、IPA、JPCERT/CC等の情報収集

セキュリティ計画策定（中期計画）

リスク評価・リスク分析

経営会議

NISC、IPA、JPCERT/CC等の情報収集

規程・ルールの策定
各事業に対するIT導入・構築運用改善計画の企画立案
ガイドライン・マニュアルの策定
ライセンス管理を踏まえた、リプレース計画の企画立案

セキュリティ
実装計画

IT-BCP

経営会議

IT戦略会議CIO/CISO支援
規程・ルール策定・改定
CIO/CISO支援
ガイドライン・マニュアル改定

セキュリティ対応進捗会議

セキュリティ対応進捗評価

ユーザビリティの観点に基づく機能改善・実装計画の企画立案

システム運用に対するセキュ

エンドポイント及びUIに関するセキュリティ機能改善計画の策定

リティ対策評価

システムセキュリティの観点に基づく機能改善・実装計画の企画立案

システム・機器等に対するセシステム構成に関するセキュリティ機能改善計画の策定

キュリティ対策評価

マネジメント情報資産の保護基準・保護方法の改善、情報漏洩保険の導入検討

ジェクトマネジメント及びプロジェクト運用支援（緊急対応含む）（緊急対応含む）（緊急対応含む）

セキュリティサービス評価
OS/アプリ/ファームウェアVer
管理・パッチ適用、脆弱性診

全システムに対するパッチ管理及び脆弱性診断に関する計画の企画立

IT資産管理断パッチ情報収集案

パッチ適用情報管理

脆弱性診断

セキュリティ対策関連の製品・サービスの選定及び実装支援

セキュリティ製品評価

セキュリティ対策におけるシステム的機能の継続的改善活動
ActiveDirectry管理
シングルサインオン管理
システム、フォルダ等アクセス権管理
社内のICTリテラシー向上のためのユーザー支援
リスク対応教育の企画・計画・実施
コマンダー
インシデント発生時の全社対応及びCISO等補佐

ID棚卸

アクセス権棚卸

データセンター提供

インシデント対応判断（災害）

インシデント対応（災害）ISMS委員会

ISMS委員会事務局

ISMS委員会事務局（支援）

情報資産保護管理体制

インシデント対応（情報資産）

情報資産管理情報資産の保護方法の確立

脅威情報収集、対策情報収集
日常のインシデント情報収集及び社内共有活動

トレーニングインシデント対応能力向上に向けた教育の企画・計画・実施

セキュリティオペレーション業務における運用管理要件定義、基本設計、詳細設計
運用PJ セキュリティ対応
要件定義、基本設計、詳細設計及びレビュー
OSI7レイヤー対応

整合性評価

インシデント情報収集

多層防御に基づく基本設計

インシデント対応PJ運営（緊急対応含む）

インシデント対応PJ運営（緊急対応含む）

セキュリティ製品評価

既存システムに対する機械的適合性

セキュリティサービス評価

既存ポリシーに対する運用適合性

IT資産（有形・無形資産）管理

パッチ適用（実装）

管理・パッチ適用

OS/ミドルウェア/アプリ/ファームウェア等

パッチ適用評価支援

セキュリティ製品評価支援

設計補助

NISC、IPA、JPCERT/CC等の情報収集

外注先アカウント付与
人事異動等対応
外注先アクセス権付与

インシデント対応PJ管理

インシデント対応改善

設定変更

設定変更

レポート作成等

設計補助

評価
評価

製品・サービス評価補助

構築・運用システム

基幹・業務システムごとのシステム脆弱性情報収集

設定変更

設定変更実務

設定変更実務ユーザーサポート

社内連絡窓口・レポート作成等

研修企画・実施・報告

インシデント対応判断（サイバーリスク）

レポート作成等

情報収集・分析業務

インシデント初動対応
情報収集・分析業務・レポート作成等

情報収集・分析業務・レポート作成等

セキュリティ製品

脆弱性情報提供セキュリティサービス

インシデント情報提供
製品・サービス情報提供

多要素認証関連

製品・サービス情報提供

アクセス権管理

製品・サービス情報提供

フォレンジクス

インベスティゲーター

インシデント対応トレーニング企画実施

インシデント対応トレーニング企画実施

インシデント注意喚起

グ企画実施

インシデント注意喚起

インシデント注意喚起

インシデント注意喚起

設計・設置・導入設定

設計・設置・導入設定監視業務・稼働状況レポート作成等監視業務・稼働状況レポート作成等監視業務・稼働状況レポート作成等

設定変更

設定変更

設定変更

インシデント 初動対応

インシデント初動対応

インシデント初動対応

基幹システム運用

アプリケーション管理
クラウドサービス管理
DB機器管理データベース管理DB構成管理DBデータ
セキュリティ

通信環境管理セキュリティ監査購買

セキュリティ

調達

調達管理

認証におけるセキュリティ対策支援

アージ※ 日本シーサート協議会 「CSIRT人材の定義と確※
日本シーサート協議会 「CSIRT人材の定義と確
セルフアセスメント・リサーチャー・キュレーター
脅威情報提供サービス※ 日本シーサート協議会 「CSIRT人材の定義と確保」参照
インベスティゲーター・フォレンジックス※ 日本シーサート協議会 「CSIRT人材の定義と確※ 日本シーサート協議会 「CSIRT人材の定義と確

保」参照
教育・啓発

保」参照
教育・啓発

※ 日本シーサート協議会 「CSIRT人材の定義と確

インシデント対応 e-learning プログラム提供保」参照
導入設計・運用設計・機器設置・ログ設定※ 日本セキュリティオペレーション事業者協議会

保」参照
導入設計・運用設計・機器設置・ログ設定
マネージド SOC サービス※ 日本セキュリティオペレーション事業者協議会（ISOG-J）
ツールサポート、診断と評価、脅威情報収集分析※ 日本セキュリティオペレーション事業者協議会（ISOG-J）
ツールサポート、診断と評価、脅威情報収集分析
マネージド SOC サービス※ 日本セキュリティオペレーション事業者協議会（ISOG-J）
インシデント＆証拠に対する調査分析※ 日本セキュリティオペレーション事業者協議会※ 日本シーサート協議会 「CSIRT人材の定義と確（ISOG-J）
インシデント＆証拠に対する調査分析
マネージド SOC サービス※ 日本セキュリティオペレーション事業者協議会（ISOG-J）

OS等Ver管理

ライセンス管理OS Ver管理OS Ver管理

OS/ミドルウェア

パッチ対応

OS／ミドルウェア

脆弱性情報配信

ゼロデイ対応基幹システム等のアプリケーションに関するバージョン管理

ライセンス管理

アプリケーションVer管理

アプリケーションVer管理

ライセンス管理

アプリケーションVer管理

アプリケーションVer管理

アプリケーション

パッチ対応

アプリケーション

脆弱性情報

配信

ゼロデイ対応クラウドサービス・サポート

サービス見直し、データ移管

情報管理

対応等

稼働状況・セキュリティレポート確認

稼働状況・セキュリティレポート確認

稼働状況・セキュリティレポート確認

セキュリティインシデント情報

配信

アプリケーションVer管理

アプリケーションVer管理

アプリケーションVer管理

アプリケーションVer管理

ファームウェアVer管理

ファームウェアVer管理

ファームウェアVer管理

ファームウェアVer管理

DB構成管理設定変更

DB構成管理DB構成管理

設定変更

設定変更

DBセキュリティ改善

DBセキュリティ改善

設定変更

設定変更

監視業務・稼働状況レポート作成等監視業務・稼働状況レポート作成等

設定変更

設定変更

監視業務・稼働状況レポート作成等監視業務・稼働状況レポート作成等

設定変更

設定変更

監視業務・稼働状況レポート作成等監視業務・稼働状況レポート作成等

設定変更

設定変更

監視業務・稼働状況レポート作成等監視業務・稼働状況レポート作成等

IDS/IPSに対するチューニング

設定変更

設定変更

SOCデータに基づく危機への反映

社内通報窓口・レポート作成等

社内通報窓口・レポート作成等

クラウドサービス選定及び利用管理、セキュリティ対策

クラウドサービス管理

DB機器等に関するバージョン管理

ライセンス管理

データマネジメントに必要なDB管理（データ特性に合わせたDB構成管理）

DB構成管理DB設定及び格納されるデータに対するセキュリティ対策

ログ管理

DBセキュリティ改善

ファイアウォール設定

セキュリティ製品管理

監視業務

プロキシ設定ログ管理

稼働状況レポート作成等（WEBサービスセキュリティ対策）

ログ管理

通信遮断管理（IPS/IDS機能管理）
スレット・インテリジェンス（脅威情報）の対策活用
インシデント発生時の問合せ窓口

稼働状況レポート作成等

セキュリティ製品管理

監視業務

ログ管理

稼働状況レポート作成等

ログ管理

監視業務
稼働状況レポート作成等
社内通報窓口端末・機器異常（インシデント発生以前）の相談窓口
情報セキュリティ監査、物理的セキュリティ監査

監視業務

監査役会支援監査役会支援システム監査システム監査認証におけるセキュリティ対策支援

OS等Ver管理

通信監視（死活監視・パケット監視等）

ヘルプデスク

インシデント対応 実務支援

ライセンス管理

WAF設定

ヘルプデスク

インシデント対応 情報提供

OS・プラットフォーム・ミドルウェア等に対するバージョン管理

ネットワーク管理

通信監視

セキュリティサービス評価

インシデントハンドラー・インシデント管理・トリ

アージ（ISOG-J）

OS管理

セキュリティ製品評価

コールセンターサービス

保」参照
インベスティゲーター・フォレンジックス

教育計画策定インシデント 初動対応

セキュリティパッチ評価支援
セキュリティ対応※
日本シーサート協議会 「CSIRT人材の定義と確
セルフアセスメント・リサーチャー・キュレーター

インシデント対応トレーニン

セキュリティオペレーション業務におけるインシデント対応

セキュリティパッチ情報提供
他社との適合性情報提供

インシデントハンドラー・インシデント管理・トリ
インシデント初動対応

教育計画策定設定変更

サイバー攻撃情報提供、パッチ情報提供

シングルサインオン関連

設定変更実務インシデント対応判断（サイバーリスク）

脆弱性診断サービス、テスト計画策定支援

パッチ管理サービス提供

セキュリティサービス

インシデント注意喚起

レポート作成等

稼働状況レポート作成等

パッチ適用

インシデント情報管理（サイバーリスク）レビュー

既存セキュリティポリシーとの適合性調査

査各種委員会報告・インシデント対応PJ管理

セキュア運用設計

インシデント対応 実務支援

セキュリティ製品評価

社内連絡窓口・レポート作成等

レビュー

既存システムとの適合性調査

基幹・業務システムごとのセキュリティ製品適合性調 セキュリティ製品

各種委員会報告・インシデント対応PJ管理

セキュア構築設計

多層防御の観点に基づく構成図レビュー

構築・運用各プロジェクトへの管理・指導

設定変更実務フォレンジクス

月例レポート作成

多層防御に基づく詳細設計

セキュリティ製品情報収集セキュリティ教育の実施

情報資産保護施策・保護手段の提案

要件定義・（基本設計）・詳細設計

インシデント注意喚起

月例レポート作成

ISMS構築策定
情報保管サービス提供

セキュリティ対応

設定変更

情報収集・分析業務

監視業務

システム運用

インシデント注意喚起

情報収集・分析業務

リスク評価・リスク分析

要件定義・基本設計・詳細設計

パッチ対応計画の策定、進捗管理

インシデント初動対応

災害対策計画策定

セキュリティ対応（有形資産・無形資産・ライセンス情報等）

インシデント対応改善

リスク評価・リスク分析

インシデント対応

Ver管理 テスト環境構築、テスト実施、評価結果報告

インシデント対応判断

インシデント初動対応

設計補助システム構築

パッチ適用情報管理

人事異動等対応・外注先アクセス権付与

BCP／BCM 策定

データバックアップ計画策定

パッチ管理

アクセス権棚卸

リスク評価・リスク分析構築

基幹・業務システムごとのシステム機器情報提出

人事異動等対応・外注先アカウント付与

案・情報提供ディザスタリカバリー体制構築支援

IT資産管理補助

ID棚卸

時事的なセキュリティインシデント対策プランの提運用

パッチ情報収集（JVN／各ベンダー）

セキュリティ製品評価の提案・情報提供

データセンター提供

IT資産管理セキュリティオペレーション業務における導入・構築
SOC

構築PJ セキュリティ対応

OS/アプリ/ファームウェアVer

人的に起因するセキュリティインシデント対応プラン

データセンター運用

セキュリティ製品情報収集

社内連絡窓口

月例レポート作成

セキュリティ対策 運用状況監視

補助

システム冗長化

セキュリティ製品情報収集

機器の保全、被害拡大抑止、証跡保全活動

応）

災害対策ツール情報収集

セキュリティ製品情報収集

フォレンジックス（サイバーセキュリティ対

CIO/CISO支援

インシデント情報収集（ニュース情報等）

各種委員会報告

インシデント発生時の初動対応及び収束対応

セキュリティ対策構築

インシデント情報収集

インシデント注意喚起

インシデントハンドリング・トリアージ

導入システム 評価支援

資料作成・調査分析

システム冗長化

インシデント情報収集

人事異動等対応

機密性・完全性に基づくシステム改修提案

要件定義

災害関連情報収集

構築PJ セキュリティ対応

インシデント対応PJ運営

セキュリティ対応計画策定

補助

セキュリティ対策

企画立案

インシデント対応判断(情報資産)

インシデント対応PJ運営

リスク評価・リスク分析

ライセンスの切り替えに基づく次期システム提案

システム冗長化

構築PJ セキュリティ対応

インシデント対応PJ運営

セキュリティ対応計画策定

リスク評価・リスク分析

可用性に基づくシステム改修提案

事業継続計画策定システム構築及びシステム運用のセキュリティ対策分野に関するプロ

リスク評価・リスク分析

事業・システム構成に基づく次期システム提案

補助（総務部門・経営企画部門との連携に基づく）

OSI7レイヤー整合性評価

セキュリティ対策計画策定

要件定義 資料作成・調査分析

システム更新対応

運用PJ セキュリティ対応

リスク評価・リスク分析
リスク評価・リスク分析

補助

バックアップ体制維持

インシデント情報収集

セキュリティ対策計画策定

資料作成・調査分析

セキュリティ対策状況の情報収集

CIO/CISO支援

情報資産の棚卸パッチ適用時の評価テスト

セキュリティ専門事業者

リスク評価・リスク分析

補助

リスクマネジメント委員会

システム更新評価

教育計画策定・注意喚起

パッチ管理

ベンダー

資料作成・調査分析

システム・機器等セキュリティ対策（情報資産）

セキュリティ対策関連の製品・サービスに対する評価検証

補助システム・機器等に対するセキュリティ対策計画

インシデント対応判断

セキュリティ製品評価

資料作成・調査分析

インシデント対応状況評価

インシデント注意喚起
構築PJ セキュリティ対応

補助システム運用プロセスに対するセキュリティ対策計画 システム運用プロセス

ISMS委員会

構築PJ セキュリティ対応

資料作成・調査分析

インシデント対応状況評価

教育計画策定脆弱性診断（導入時・運用時）

CSIRT

リスク評価・リスク分析情報資産保護活動におけるICT運用改善活動の策定

運用テスト

教育

インシデント対応計画策定（災害）

ネットワーク及びシステム構成に対するセキュアデザイン

ユーザーサポート

グループ企業内

インシデント対応判断

視サポート

セキュリティ対応進捗会議

インシデント対応状況評価

災害対策ツール情報収集

多層防御に基づくセキュア設計管理

アクセス権管理リスク評価・リスク分析

CIO/CISO支援

詳細設計及び運用改善におけるセキュアデザイン

ID管理

システム単位 セキュリティ計画策定（年次計画）

リスクマネジメント委員会

導入・開発計画

機能評価/改善（全体）

CIO/CISO支援

災害関連情報収集

セキュリティ対策 運用状況監

セキュリティ

NISC、IPA、JPCERT/CC等の情報収集／

リスクマネジメント委員会

セキュア運用設計の企画立案

品質管理

IT戦略会議システム更新対応

要件定義及基本設計におけるセキュアデザイン

セキュリティ製品

インシデント対応判断

バックアップ体制維持

セキュリティ対策

リティ対応

リスク評価・リスク分析

CIO/CISO支援

セキュア構築設計の企画立案

システムセキュCIO/CISO支援

リスクマネジメント委員会

情報資産保護活動におけるICT環境改善計画の策定
情報セキュリティ／

セキュリティ計画策定（年次計画）

サイバーセキュリティ保険の導入検討

災害対策及び災害発生時に関する稼働計画の策定
セキュリティ対策

CIO/CISO支援

ICT環境における事業継続計画の策定

ディザスタリカバリ

製品・サービス

インテグレーター

経営会議

リスクマネジメント委員会／経営会議

セキュリティ対策に係る実施計画の企画立案

構築・運用委託先

リスクマネジメント委員会

経営会議

災害対策（DR）に関するICT環境改善計画の策定

権限管理

技術者派遣 / コンサルタント

リスクマネジメント委員会

固定資産管理・ソフトウェア会計管理

構築・実装

担当者

くセキュリティ対策（個別IT企画）

インフラ管理者

中期計画

ICT企画

基幹システムインシデント発生時

常駐者

コンプライアンス、ガバナンス及びリスクマネジメントの観点に基づ

IT戦略

事業継続

スキルセットアウトソーシング

情報システム部門（情報システム子会社を含む）

事業戦略

年次計画

システム企画

AtoZ 共通項目

システム監査監査役会支援監査役会支援ライセンス管理
DB構成管理設定変更

運用改善・ログ管理

設定変更

運用改善・ログ管理

設定変更

運用改善・ログ管理

設定変更

運用改善・ログ管理

設定変更

運用改善・ログ管理

レポート作成等
リスクマネジメント委員会支援
リスクマネジメント委員会支援

監査役会支援リスクマネジメント委員会支援

監査役会支援リスクマネジメント委員会支援DB機器

パッチ対応

製品

脆弱性情報

配信

ゼロデイ対応DB 構成管理DB選定・構築プラン

DBセキュリティ対策

計画・実施

フアイアウォール設置

機器監視

WAF

設置、機器監視

通信機器・通信状態の監視

DBセキュリティ対策プラン
製品

脆弱性情報

配信

アプリケーション

脆弱性情報

製品

配信

脆弱性情報

UTM（IDS/IPS）構成プラン
配信

UTM（IDS/IPS）設定変更・最適化プラン

インシデント対応 実務支援
セキュリティ監査
システム監査

取引先選定

新規取引先審査

新規取引先審査

事務アシスタント

製品・サービス調達

購買申請受付対応

購買申請受付対応

事務アシスタント実施

実施

信用調査 情報提供
セキュリティ対策機器・サービス 情報提供

産業横断 サイバーセキュリティ人材育成検討会 事務局 作成