令和 6 年度
中小企業サイバーセキュリティ
社内体制整備事業

第6編

ISMS などのフレームワークの種類と活用法の紹介 【レベル 3】

第 6 編. ISMS などのフレームワークの種類と活用法の紹介 【レベル 3】 ............................................. 2
第 11 章. セキュリティフレームワーク ..................................................................................... 2
11-1. セキュリティフレームワークの概要 ............................................................................. 3
11-1-1. セキュリティフレームワークの役割と重要性 ............................................................ 3
11-1-2. フレームワーク選択の重要性................................................................................ 4
11-2. 情報セキュリティマネジメントシステム（ISMS）［ISO/IEC27001:2022, 27002:2022］ ........ 7
11-3. NIST サイバーセキュリティフレームワーク（CSF） ........................................................ 9
11-3-1. NIST サイバーセキュリティフレームワーク（CSF）の概要 ......................................... 9
11-3-2. NIST SP 800 ................................................................................................. 16
11-3-3. ISMS との関連性 ............................................................................................. 17
11-4. サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF） .................................. 19
11-5. サイバーセキュリティ経営ガイドライン ...................................................................... 21
11-5-1. サイバーセキュリティ経営ガイドライン ............................................................... 21
11-5-2. サイバーセキュリティ経営ガイドラインの読み方 .................................................... 26
11-5-3. サイバーセキュリティ経営ガイドラインの実践の流れ............................................... 28
第 12 章. リスクマネジメント .............................................................................................. 30
12-1. リスクマネジメント：概要....................................................................................... 31
12-1-1. リスクマネジメントプロセス（ISO31000） .......................................................... 31
12-1-2. 情報セキュリティリスクマネジメント（ISO/IEC27005） ......................................... 32
12-1-3. ISO/IEC 27001 におけるリスクマネジメント手順 ................................................... 34
12-2. リスクマネジメント：リスクアセスメント ................................................................... 35
12-2-1. リスク基準の確立 ............................................................................................ 35
12-2-2. リスクの特定 ................................................................................................. 36
12-2-3. リスクの分析 ................................................................................................. 43
12-2-4. リスクの評価 ................................................................................................. 44
12-3. リスクマネジメント：リスク対応 .............................................................................. 46
編集後記 ......................................................................................................................... 49
引用文献............................................................................................................................. 50
参考文献............................................................................................................................. 52
用語集 ............................................................................................................................... 53

第6編. ISMS などのフレームワークの種類と活用法の紹介 【レベル 3】

第11章. セキュリティフレームワーク
章の目的
第 11 章では、ISMS をはじめとしたサイバーセキュリティ対策における代表的なフレームワー
クを理解し、それぞれの内容について知識を身につけることを目的とします。
主な達成目標 サイバーセキュリティ対策においてフレームワークを活用することの重要性について理解すること
 各フレームワークの目的や必要性などの特徴について理解すること2

11-1. セキュリティフレームワークの概要
11-1-1. セキュリティフレームワークの役割と重要性
セキュリティフレームワークの概要およびその利用メリットについて説明します。
セキュリティフレームワークとは
セキュリティ対策を行うために定義された指針やセキュリティ対策基準、ガイドライン、ベス
トプラクティス集のことを指します。自社におけるセキュリティリスクを評価・管理し、適切なセキュリティ対策を計画、実装、管理するための基盤となります。
セキュリティフレームワークを使用するメリット
効果的なセキュリティ対策

信頼性の確保フレームワークを使用することにより、セキ認証制度が存在するフレームワークの場合、そュリティ対策の抜け漏れを防ぎ、効果的かつのフレームワークにしたがってセキュリティ対

適切なセキュリティ対策を行うことが可能と策を実装し、第三者機関から認証を受けることなります。

により、取引先や顧客からの信頼獲得につながります。

代表的なセキュリティフレームワーク
ISMS（情報セキュリティマネジメントシステム）
ISO/IEC27001:2022、ISO/IEC 27002:2022➢

網羅的なセキュリティフレームワーク

ISO/IEC 27017:2015➢

クラウドサービス

サイバーセキュリティフレームワーク（CSF）2.0
幅広い組織向け

サイバー・フィジカル・セキュリティ対策フ

サイバーセキュリティ経営ガイドライン

レームワーク（CPSF）Ver.1.0

Ver3.0➢Society 5.0 における産業社会➢

経営者を中心としたセキュリティ対策

PCI DSS（国際的なクレジット産業向けのデ個人情報保護マネジメントシステム（PMS）

ータセキュリティ基準）v4.0.1

JIS Q 15001:2023 準拠 ver1.0➢

クレジットカード産業

CIS Controls version 8.1➢

具体的なサイバー攻撃アプローチ➢

個人情報保護ISA/IEC 62443➢

3

産業オートメーションおよび制御システム

フレームワーク使用上のポイント
上記のようにフレームワークは数多くの種類がありますが、まずは業種業態を問わず、セキュ
リティ対策の全体の枠組みと網羅的な対策項目を提示している ISMS をベースとするとよいでしょう。そして必要に応じて、業種業態や重点領域ごとに特に注力すべき内容が詳細化されている各種フレームワークの内容で補完することが大切です。

11-1-2. フレームワーク選択の重要性
ISMS（情報セキュリティマネジメントシステム）
ISO/IEC27001:2022、ISO/IEC 27002:2022➢

網羅的なセキュリティフレームワーク

発行元：ISO/IEC
情報の機密性、完全性、可用性を保護するための体系的な仕組みであり、技術的対策に加えて、従業員の教育や訓練、組織体制の整備などが含まれています。必ずしも、組織全体で適用する必要はなく、組織の必要に応じて、適用範囲を決定できるという特徴があります。1
ISO/IEC 27017:2015

サイバーセキュリティフレームワーク（CSF）2.0➢

クラウドサービス➢

幅広い組織向け

発行元：ISO/IEC

発行元：NIST

クラウドサービスに関する情報セキュリティ

CSF は、組織がサイバーセキュリティリスク対策を実施するためのガイドライン規格で、を管理する際の指針を提供するものです。CSF

ISO/IEC27002 をベースに作成されていまは、組織の規模や業界を問わず（産業界、学す。この規格は、クラウドサービスの提供者

術界、政府および非営利組織を含む）組織にとクラウドサービスの利用者の両方を対象とおけるサイバーセキュリティリスクの管理としています。クラウドサービスに関するリス低減に役立つよう設計されています。

クの低減や、クラウドサービスを適切に利用

CSF の下位概念に位置づけられているのがする組織体制を確立できます。

SP800 シリーズ（SP 800-53/SP 800-

また、情報セキュリティ全般に関するマネジ

171/SP 800-161 など）となります。

メントシステム規格である ISO/IEC 27001

CSF2.0、SP800 シリーズの内容については後の取組を ISO/IEC 27017 で強化することに述します。

よって、クラウドサービスにも対応した情報
セキュリティ管理体制を構築することができ

1 ISMS-AC.”ISMS 適合性評価制度”. https://isms.jp/doc /JIP-ISMS120-62.pdf

4

ます。
サイバー・フィジカル・セキュリティ対策フ

サイバーセキュリティ経営ガイドライン

レームワーク（CPSF）Ver.1.0

Ver3.0➢Society 5.0 における産業社会➢

経営者を中心としたセキュリティ対策

発行元：経済産業省

発行元：経済産業省/独立行政法人情報処理推

ISMS、CSF の概念を包含したフレームワーク

進機構（IPA）

であり、サイバー空間におけるセキュリティ

サイバー攻撃の多様化・巧妙化に伴い、サイ対策から、サイバー空間とフィジカル空間のバー攻撃から企業を守るために必要なことをそれぞれにおけるリスクを洗い出し、そのセまとめたガイドラインです。 ISMS のフレー

キュリティ対策を整理しています。

ムワークがベースとなっており、サイバー攻Society5.0 を意識したセキュリティリスクと撃から企業を守る観点で、経営者が認識する

その対策方法について記述されている特徴が必要のある 3 原則と、経営者が情報セキュリあります。

ティ対策を実施する上での責任者となる担当

リスク源を適切に捉えるために産業社会を 3

幹部（CISO など）に指示すべき重要 10 項目

層構造と 6 つの構成要素で捉えており、産業をまとめているという特徴があります。2

界が自らのセキュリティ対策に活用できるよサイバー攻撃から企業を守る観点で、“サイバう、対策例がまとめられています。

ーセキュリティは経営問題”と定義し、経営者を中心とした組織的な対策の見直し・強化を求めています。

PCI DSS（国際的なクレジット産業向けのデ個人情報保護マネジメントシステム（PMS）

ータセキュリティ基準）v4.0.1

JIS Q 15001:2023 準拠 ver1.0➢

クレジットカード産業➢

個人情報保護発行元：PCI SSC

発行元：JIPDEC

クレジットカード情報を取扱うすべての事業組織が業務上取扱う個人情報を安全で適切に者に対して国際カードブランド 5 社が共同で管理するための仕組みです。JIS Q 15001 に策定した、クレジットカードの取扱いにおけ

よって要求事項が定められています。この規るセキュリティの国際基準です（Payment

格は、事業者が個人情報を適切に取扱う方法

Card Industry Data Security Standard のを規定したもので、プライバシーの保護を直略）。

3

接の目的とはしていません。しかし、意図しカード会員情報を適切に管理するため、ネッない個人情報の取扱いが抑制されることによ

トワークアーキテクチャ、ソフトウェアデザ

り、結果的にプライバシーも保護されます。4

イン、セキュリティマネジメント、ポリシ

個人情報保護マネジメントシステム（PMS）

2 経済産業省.”サイバーセキュリティ経営ガイドラインと支援ツール”. https://www.meti.go.jp/policy/netsecurity/mng_guide.html
3 経済産業省.”クレジットカードシステムのセキュリティ対策の更なる強化に向けた方向性”. https://www.meti.go.jp/policy/economy/consumer/credit/2022060221001.pdf
4 JIPDEC.”「個人情報」と「プライバシー」の違い”. https://privacymark.jp/system/course/theme1/03.html

5

ー、プロシジャなどに関する基準が 12 の要件の基本的な仕組みは、個人情報保護方針を定として規定されています。

め、この方針に基づき「PDCA サイクル」を実行することになります。

CIS Controls version 8.1➢

具体的なサイバー攻撃アプローチ

ISA/IEC 62443➢

産業オートメーションおよび制御システム

発行元：CIS

発行元：ISA/IEC

サイバー攻撃の現状と傾向を踏まえて、組織

産業用自動制御システム（Industrialが実施すべきサイバーセキュリティ対策とそ

Automation and Control Systems）に対すの優先順位を決めるためのフレームワーク

るセキュリティ対策とプロセス要件を定めたで、あらゆる企業が取るべき最も基本的で重一連の国際標準規格です。ISO/IEC 27001 な

要な対応に重点を置いています。ネットワー

どではカバーしきれない、工場やプラントにクの詳細設定や、ログの管理など、具体的でおける制御システムのセキュリティを網羅的

技術的な対策が中心となっている特徴がありに対象としています。また、セキュリティ確ます。

保の対象は、ソフトウェア・ハードウェアを多岐にわたる対策の中から、自社（組織）含む制御関連のデータ処理基盤であるシステが実施すべき対策と、その優先順位を導くた

ムに加えて、システムの運用に関わる「人」

めのアプローチを提示したフレームワークとと「業務」も対象となっている特徴がありま

なります。

す。

6

11-2. 情報セキュリティマネジメントシステム（ISMS）［ISO/IEC27
001:2022, 27002:2022］
ISMS とは、情報セキュリティマネジメントシステム（Information Security Management
System）の略称で、組織の情報セキュリティリスクを適切に管理するための仕組みのことです。
ISMS に関する国際規格がフレームワークとして存在していることから、ISMS はセキュリティフ
レームワークの中でも代表的なものとなっています。ISMS が達成すべきことは、リスクマネジメ
ントプロセスを適用することによって情報の機密性、完全性および可用性をバランスよく維持・改善し、リスクを適切に管理しているという信頼を利害関係者に与えることにあります。5また、ISMSには技術的対策に加えて、従業員の教育・訓練、組織体制の整備なども含まれます。
情報セキュリティの 3 要素
機密性（Confidentiality）
権限のない個人、エンティティまたはプロセスに対して、情報を使用させず、また、開示しないこと（情報に対するアクセスを適切に管理すること）完全性（Integrity）
情報が正確であり、完全である状態を保持すること図 36. 情報セキュリティの 3 要素

可用性（Availability）（出典）ISMS-AC「ISMS 適合性評価制度」をもとに作成情報を必要なときに使えるようにしておくこと

情報セキュリティの 7 要素
情報セキュリティには、上記で紹介した 3 要素に加えて、「真正性（Authenticity）」「信頼性（Reliability）」「責任追跡性（Accountability）」「否認防止（non-repudiation）」という 4 つの拡張要素があります。これらは、情報にアクセスする人が本当にアクセスするべき人であるかを担保することや、システムが確実に目的の動作をすること、誰がどのような手順で情報にアクセスしたかを追跡できるようにすること、また、情報が後から否定されない状況を作ることにより情報セキュリティを確保するものです。
ISMS のための要求事項をまとめた国際規格が、 ISO/IEC 27001 です。組織が ISMS を確立

5 ISMS-AC.”ISMS とは”.https://isms.jp/isms/

7

し、実施し、維持し、継続的に改善するための要求事項の提供を目的として作成されています。
ISMS の確立および実施について、組織の行うべき事項が項目ごとに記述されたものとなっており、この規格は以下のために用いることができます。6
組織のマネジメントおよび業務プロセスを取り巻くリスクの変化への対応
JIS Q 27001（ISO/IEC 27001）では、組織は、自らのニーズおよび目的、情報セキュリティ
要求事項、組織が用いているプロセス、並びに組織の規模および構造を考慮して、ISMS の確
立および実施を行います。これは、多くの情報を取扱うようになっている、現代の組織のマネ
ジメントおよび業務プロセスを取り巻くリスクの変化に対応できるように、組織基盤を構築す
る抜本的な業務改革をする目的に適しています。
情報セキュリティ要求事項を満たす組織の能力を内外で評価するための基準
JIS Q 27001（ISO/IEC 27001）は、情報セキュリティ要求事項を満たす組織の能力を、パフォーマンス評価および内部監査などにより、組織の内部で評価する基準としても、取引先の顧客などから受ける第二者監査、あるいは、審査登録機関による認証のための第三者監査の基準としても用いることができます。
（出典）ISMS-AC.”ISMS とは”.https://isms.jp/isms

ISO/IEC 27001 と JIS Q 27001
ISMS に関する規格には、ISO/IEC 27001 とは別に JIS Q 27001 があります。国際規格である ISO/IEC に対して、JIS は日本産業規格となり、日本における任意の国家規格です。JIS Q
27001 は、ISO/IEC 27001 を日本語に訳したものとなり ISO と JIS による規格内容の違いはありません。

6 ISMS-AC.”ISMS とは”.https://isms.jp/isms/

8

11-3. NIST サイバーセキュリティフレームワーク（CSF）
11-3-1. NIST サイバーセキュリティフレームワーク（CSF）の概要
CSF の概要および ISMS との関係性について説明します。CSF の最新版は、2.0 です。CSF2.0
は、中小企業を含むあらゆる組織で利用されるよう設計されています。
CSF2.0 は ISMS を補完し、組織のセキュリティ対策を強化するための有用なツールとなります。
ISMS を補完する形で、ISMS をベースに必要に応じて CSF を取り込むことが重要です。
CSF2.0 とは
CSF2.0 は、あらゆる組織がサイバーセキュリティリスクを管理する際の指針を提供するものです。CSF2.0 は、どのような組織でもサイバーセキュリティへの取組をより深く理解し、評価し、優先順位をつけ、各方面に周知するために利用できます。CSF2.0 の実施方法は画一的ではなく、組織ごとに異なります。各組織には共通のリスクと固有のリスクの両方があり、また、組織によってリスク選好度やリスク許容度、具体的なミッション、ミッションを達成するための目的もさまざまであるためです。CSF2.0 をしっかりと理解し、自組織に適した形で実施することが重要です。

CSF2.0 の 3 つの構成要素（コア、ティア、プロファイル）
CSF は、組織がセキュリティ対策を継続的に改善するため、 ①コア（サイバーセキュリティ対策の一覧）、②ティア（対策状況を数値化するための成熟度評価基準）、③プロファイル（サイバー
セキュリティ対策の現状とあるべき姿を記述するためのフレームワーク）の 3 つの要素で構成されています。
「コア」の概要
コアとは、一定の分類で定められたセキュリティ管理策の一覧のことです。
コアは、「識別」「防御」「検知」「対応」「復旧」「ガバナンス」の 6 つの機能に分類されます。
各機能の下には複数のカテゴリが存在し、各カテゴリはそれぞれ複数のサブカテゴリを有します。
「ティア」の概要
組織におけるサイバーセキュリティガバナンスと管理の成熟度を評価するための階層（tier）です。
指標階層は 4 段階あり、次の通りです。
•

ティア 1：実施しているが、まだ部分的／基本的なレベル•

ティア 2：ある程度定型化されているがポリシーにはなっていない•

ティア 3：ポリシーとして確立しており、繰り返し適用可能なレベル9•

ティア 4：サイバーセキュリティリスク管理が組織文化の一部となっている「プロファイル」の概要
フレームワークのカテゴリおよびサブカテゴリに基づき、サイバーセキュリティリスクに対する期待される効果を現すものです。
サイバーセキュリティリスクへの対応状況として、「あるべき姿」と「現在の姿」をまとめたものです。「あるべき姿」の策定については、組織のビジネス上の要求、リスク許容度、割当可能なリソースに基づき、コアの機能、カテゴリ、サブカテゴリの到達地点を調整します。
詳細理解のため参考となる文献（参考文献）
The NIST Cybersecurity Framework (CSF) 2.0

https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf「コア」
コアとは、業種・業態や企業規模に依存しない共通のサイバーセキュリティ対策の一覧を定義したものです。
「ガバナンス」
「識別」
「防御」
「検知」
「対応」
「復旧」の 6 つの機能に分類されます。
ガバナンス機能は、他の 5 つの機能（識別、防御、検知、対応、復旧）の目標達成や組織内の優先順位づけをするためのものと定義され、CSF2.0 の中心的機能と位置づけられています。
各機能の下には複数のカテゴリが存在し、合計 22 個あります。また、各カテゴリにはそれぞれ複数のサブカテゴリが存在しており、サブカテゴリは合計で 106 個あります。

図 37. CSF2.0 のコア（出典）「The NIST Cybersecurity Framework（CSF）2.0」をもとに作成

10

機能

説明

カテゴリ

ガバナンス

組織におけるサイバーセキュリティリス

•

組織的文脈

クマネジメントの戦略、期待事項、およ•リスクマネジメント戦略

びポリシーを確立し、周知し、モニタリ•

役割/責任/権限

ングする。

•

ポリシー

•

監督

•

サイバーセキュリティサプライ
チェーンリスクマネジメント

識別組織の資産（情報システム、人、デー

•

資産管理

タ・情報など）、組織を取り巻く環境、重 •

リスクアセスメント

要な機能を支えるリソース、関連するサ

•

改善

•

アイデンティティ管理とアクセ

イバーセキュリティリスクを特定し理解
を深める。
防御

重要サービスの提供が確実に行われるよう適切な保護対策を検討し実施する。

検知

ス制御
•

意識向上およびトレーニング•

データセキュリティ

•プラットフォームセキュリティ•

技術インフラのレジリエンス

サイバーセキュリティイベントの発生を•継続的モニタリング

検知するための適切な対策を検討し実施•

有害イベントの分析

サイバーセキュリティインシデントに対•インシデントマネジメント

処するための適切な対策を検討し実施す•

インシデント分析

る。

•

インシデント対応の報告とコミする。
対応ュニケーション
復旧•

インシデント軽減

サイバーセキュリティインシデントによ•

インシデント復旧計画の実行

り影響を受けた機能やサービスをインシ•

インシデント復旧のコミュニケ

デント発生前の状態に戻すための適切な対策を検討し実施する。これには、レジリエンスを実現するための計画の策定・維持も含む。

11ーション「ガバナンス」機能のサブカテゴリ（例）カテゴリ

サブカテゴリ

組織的文脈

GV.OC-01：組織のミッションが理解され、サイバーセキュリティリ
スクマネジメントについて伝えている。
GV.OC-02：内部と外部の利害関係者が理解され、サイバーセキュリ
ティリスクマネジメントに関するそれら利害関係者のニーズと期待事項が理解および考慮されている。
GV.OC-03：サイバーセキュリティに関する法的要求事項、規制上の要求事項、および契約上の要求事項（プライバシーと市民的自由の義務を含む）が理解され管理されている。
GV.OC-04：外部の利害関係者が組織に依存または期待する重要な目
的、能力およびサービスが理解され周知されている。
GV.OC-05：組織が依存する成果、能力、およびサービスが理解され周知されている。

「ティア」
ティアとは、組織におけるサイバーセキュリティリスクへの対応状況を評価する際の指標を定義したものです。指標は以下の 4 段階があります。各ティアの定義は、組織に応じて柔軟にアレンジすることが可能です（以下の表は一例です）。また、必ずしもすべてのカテゴリにおいて最高レベ
ル（ティア 4）を目指す必要はありません。ビジネス特性や情報資産の実態などに応じて、カテゴ
リごとに目指すべきティアを設定しましょう。
ティア 1：実施しているが、まだ部分的／基本的なレベル
セキュリティ対策は経験に基づいて実施される。セキュリティ対策は組織として整備されていなく場当たり的に実施されている。
ティア 2：ある程度定型化されているがポリシーにはなっていない
セキュリティ対策はセキュリティリスクを考慮して実施されているが、組織として方針や標準が定められてはいない、あるいは非公式に存在する。
ティア 3：ポリシーとして確立しており、繰り返し適用可能なレベル
セキュリティ対策は組織の方針・標準として定義、周知されており、脅威や技術の変化に伴い
方針・標準は定期的に更新される。
ティア 4：サイバーセキュリティリスク管理が組織文化の一部となっている
組織で標準化されたセキュリティ対策は、脅威や技術の変化、組織における過去の教訓やセキ
ュリティ対策に関するメトリックスなどを参考に、継続的かつタイムリーに調整される。
12

サイバーセキュリティリスクへの対応状況を評価する例
識別：セキュリティ対策が必要なリソースを明確にする
ティア 1

ティア 2

ティア 3

ティア 4

ティア 3

ティア 4

資産管理
事業目的を達成することを可能にするデー
タ、人員、デバイス、システム、施設が特定され管理されていますか？
防御：ルールを策定し、セキュリティリスクをコントロールする
ティア 1

ティア 2

意識向上およびトレーニング
サイバーセキュリティ意識向上教育とトレーニングが実施されていますか？
検知：事故の発生を即時に把握するための仕組みをつくる
ティア 1

ティア 2

ティア 3

ティア 4

ティア 1

ティア 2

ティア 3

ティア 4

異常とイベント
異常な活動は検知されており、異常がもた
らす潜在的な影響を把握していますか？
対応：事故に対する対策を用意する
対応計画の策定
検知したセキュリティ事故に対応できるように対応プロセスおよび手順が準備されていますか？
復旧 ：システムを正常な状態に戻すための必要なタスクを明確にする
ティア 1
復旧計画の作成
セキュリティ事故による影響を受けたシス
テムや資産を復旧できる復旧プロセスおよび手順となっていますか？
13

ティア 2

ティア 3

ティア 4

「プロファイル」
プロファイルとは、機能・カテゴリ・サブカテゴリについて、組織ごとに考慮すべき点を踏まえて調整し、整理したものです。組織はプロファイルを用いることにより、サイバーセキュリティ対策の現在の状態（現在の姿）と、目標の状態（あるべき姿）を明らかにすることができます。そして「現在の姿」と「あるべき姿」を比較することによって、サイバーセキュリティマネジメント上の目標を達成する上で、解消が必要なギャップを知ることができます。
「あるべき姿」の策定については、組織のビジネス上の要求、リスク許容度、割当可能なリソースに基づき、コアの機能、カテゴリ、サブカテゴリの到達地点を調整します。

図 38. プロファイルの活用イメージ（出典）デジタル庁 「政府情報システムにおける サイバーセキュリティフレームワーク導入に関する 技術レポート 」をもとに作成

NIST サイバーセキュリティフレームワーク（CSF）2.0 の特徴
令和 6 年 2 月 26 日、NIST サイバーセキュリティフレームワークが 1.1 から 2.0 に改訂されました。CSF2.0 の主な特徴は、以下の通りです。
フレームワークの適用範囲の拡大
CSF 2.0 は、組織の規模や業種に関係なく、中小企業を含むあらゆる組織で利用されるよう再設計されました。以前の CSF 1.0,1.1 は、重要インフラ（病院、発電所など）の安全保障を目的に策定されたものでした。
新たな機能「ガバナンス」の追加
CSF2.0 では、コアの 5 つの機能（特定・防御・検知・対応・普及）に、「ガバナンス」が新たに追加されました。
ガバナンスは、5 つの機能の中心に位置づけられています。ガバナンスは、組織のミッションと利害関係者の期待に沿って、他の 5 つの機能の成果の達成と優先順位をつけるための方法を示し
14

ます。
フレームワーク活用のためのコンテンツ強化
CSF の実装を支援するためのさまざまな参考情報が、NIST の Web サイトに公開されました。
・ クイック・スタート・ガイド（Quick-Start Guide）
中小企業などの特定のニーズに対応した専用のガイダンスを提供しています。
文書名

利用方法

Small Business Quick-Start

中小企業、特にサイバーセキュリティ計画があまり整っGuideていないまたは全くない企業が、CSF2.0 を使用してサ
イバーセキュリティリスク管理戦略を開始するためのポ
イントを理解するために利用できます。

A Guide to Creating

フレームワークを実装するために、コミュニティプロフCommunity Profiles

ァイルの作成と使用に関する考慮事項を理解するために利用できます。コミュニティプロファイルとは、多数の組織間で共有される、サイバーセキュリティリスクを低減するための関心、目標、成果を記述したものです。

Quick-Start Guide for

CSF 2.0 を実装するための現状および目標プロファイル

Creating and Usingの作成と使用に関する考慮事項を理解するために利用でOrganizational Profiles

きます。

Quick-Start Guide for Using

CSF 2.0 のティアをプロファイルに適用し、自身のサイthe CSF Tiers

バーセキュリティリスクのガバナンスおよび管理成果の厳密さを特徴付けるために利用できます。

Quick-Start Guide for

サイバーセキュリティサプライチェーンリスク管理

Cybersecurity Supply Chain（C-SCRM）の概要と、C-SCRM が CSF とどのように

Risk Management (C-SCRM)

関連しているのか理解するために利用できます。
C-SCRM の機能を実装する組織は、このガイドに加えて、参照されている追加文書も併せて確認することが推奨されます。

Enterprise Risk Management

エンタープライズリスクマネジメントの実務者が、組織

Quick-Start Guideのサイバーセキュリティリスクマネジメントを改善する
ために、CSF2.0 で提供される成果の活用方法を理解するために利用できます。

15

・ 参考情報（Informative References）
参考情報を利用することにより、目標達成に役立つ他のガイドラインやリソースを知ることができます。
・ 実装例（Implementation Examples）
実装例を利用することにより、特定のサブカテゴリをどのように実装するかのベストプラク
ティス（最良の方法）を知ることができます。
・ NIST Cybersecurity Framework (CSF) 2.0 Reference Tool
NIST CSF 2.0 リファレンス ツールを利用すると、ユーザーは CSF 2.0 コア（機能、カテ
ゴリ、サブカテゴリ、実装例）を探索できます。このツールは、人間と機械が読み取り可能な形式（JSON および Excel）でコアを提供します。さらに、ユーザーは主要な検索用語を使用してコアの一部を表示し、エクスポートすることが可能です。これにより、ユーザーは自分のニーズに合わせて情報を探しやすくなります。
サプライチェーンリスクマネジメントの強化
CSF2.0 では、新機能「ガバナンス」の下に新しいカテゴリ（GV.SC：サイバーセキュリティサ
プライチェーンリスクマネジメント）が設けられました。GV.SC カテゴリの下には 10 個のサブカ
テゴリが定義され、CSF1.1 に比べてサプライチェーンのリスク管理に必要な対策が増加しました。
詳細理解のため参考となる文献（参考文献）
Small Business Quick-Start Guide

https://doi.org/10.6028/NIST.SP.1300

A Guide to Creating Community Profiles

https://doi.org/10.6028/NIST.CSWP.32.ipd

Quick-Start Guide for Creating and Using Organizational Profiles

https://doi.org/10.6028/NIST.SP.1301

Quick-Start Guide for Using the CSF Tiers

https://doi.org/10.6028/NIST.SP.1302.ipd

Quick-Start Guide for Cybersecurity Supply Chain Risk Management (C-SCRM)

https://doi.org/10.6028/NIST.SP.1305.ipd

Enterprise Risk Management Quick-Start Guide

https://doi.org/10.6028/NIST.SP.1303.ipd

CSF 2.0 Informative References

https://www.nist.gov/informative-references

CSF 2.0 Implementation Examples

https://www.nist.gov/document/csf-20-implementations-pdf

NIST Cybersecurity Framework (CSF) 2.0 Reference Tool

https://csrc.nist.gov/Projects/Cybersecurity-Framework/Filters#/csf/filters

11-3-2. NIST SP 800
NIST SP 800 シリーズと CSF の関連性
CSF は、NIST が定義するサイバーセキュリティ対策アプローチの中で最も上位に位置づけられており、セキュリティ管理手法の概念や管理方針・体制の整備など包括的な内容が記載されています。CSF の下位概念に位置づけられているのが、NIST SP 800 シリーズです。実施すべきタスクと手順、推奨技術の特定など、セキュリティ管理の手法について具体的に明記されています。

16

図 39. CSF と SP800 シリーズの関係

NIST SP 800-53、NIST SP 800-171、NIST SP 800-161
NIST SP 800 シリーズの中から、ガイドラインの一部を紹介します。
NIST SP 800-53
米国政府内の情報システムをより安全なものにし、効果的にリスク管理するためのガイドラインのことです。対象は連邦政府機関で、政府の機密情報（CI:Classified information）の保護を目的としています。
NIST SP 800-171
NIST SP 800-53 から民間企業・組織向けに要件を抽出したものです。サプライチェーンに存在する、業務委託先や関連企業のすべてが準拠すべきセキュリティ基準を示しています。対象は、多くの民間企業・組織で、政府の機密情報以外の重要情報（CUI:Controlled Unclassified
Information）の保護を目的としています。
NIST SP 800-161
調達から販売・供給までの一連のサプライチェーンに起因するさまざまなリスクに対して、組織として対応するためのガイドラインです。業務委託先や関連企業におけるセキュリティ対策を目的としています。
NIST SP 800-53 と NIST SP 800-171 は、以下のように保護する情報と対策を行う組織が異なりますが、どちらも密接に関連しているため 2 つ同時に参照する必要があります。

図 40. NIST SP 800-53 と NIST SP 800-171 の関係

11-3-3. ISMS との関連性
CSF と ISMS の主な関係性を説明します。

17

CSF と ISMS の主な共通点
汎用性が高いISMS と CSF は、汎用性が高く、あらゆる組織で使用することができます。まずは ISMS をベースにして情報セキュリティ対策を行い、必要に応じて CSF の内容を取り入れるとよいでしょう。
サイバーセキュリティ対策方法
ISMS と CSF はどちらも「識別」「防御」「検知」「対応」「復旧」といったサイバーセキュリテ
ィ対策を挙げています。
任意性があるISMS と CSF はどちらも、提示しているすべてのセキュリティ対策を取り入れることは求めていないため、何を取り入れるかはそれぞれの組織で決定可能です。
CSF と ISMS の主な相違点
第三者認証制度の有無
ISMS には、第三者機関による認証制度（適合性評価制度）が存在します。これに対して、CSFにはそのような認証制度はありません。そのため、情報セキュリティ対策を行っていることを顧客や取引先に対して客観的に示すためには、ISMS を構築して認証を受けることが有効です。
目標への到達手段
ISMS は、PDCA サイクルをまわすことにより、情報セキュリティマネジメント体制を構築す
る一方、CSF では特に PDCA サイクルをまわすといった記載はありません。CSF の「プロファイル」では、現在の状況と理想の状況とのギャップを明確にすることにより、取るべき対応策の優先順位を決めて、それにしたがって実施していくことになります。

18

11-4. サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）
概要
Society5.0 の到来で、サイバー空間とフィジカル空間が融合することによって、これまでにはなかったさまざまな新たな価値（モノやサービス）が提供されることになります。
サプライチェーンは、従来の形（例：調達→生産→物流→販売）から、サイバー空間とフィジカ
ル空間のつながりや、サイバー空間のデータのつながりを考える必要がある形へと変化していくことになります。このような新たな形のサプライチェーンは、『価値創造過程（バリュークリエイションプロセス）』と定義されています。
製品を製造して消費者に販売するまでが従来のサプライチェーンだとした場合、バリュークリエ
イションプロセスでは、消費者の使用データの収集やシステムのアップデートなどを通じて消費者との関係が継続します。サイバー空間とフィジカル空間の接点のすべてがサイバー攻撃の対象となると考えられ、工場のシステムに加えて、製品そのものに対する攻撃、個人情報などのデータを蓄積した本社に対する攻撃が行われる危険性があります。
このような新たなサプライチェーンの概念に求められるセキュリティへの対応指針として、政府は『サイバー・フィジカル・セキュリティ対策フレームワーク』（CPSF）を策定しました。
CPSF は、ISMS や CSF のフレームワークの内容を包含しつつ、サイバー空間とフィジカル空間
双方のセキュリティ対策に対応したフレームワークとなっています。

目的と適用範囲
CPSF の主な目的は、新たな産業社会におけるバリュークリエイションプロセス全体の理解、リ
スク源の明確化、必要なセキュリティ対策全体像の整理を行うことです。従来のサプライチェーンに適用可能なセキュリティ対策に加えて、新たな産業社会の変化から生じる特有の対策も含まれています。
本フレームワークの適用範囲としては、新たな産業社会におけるバリュークリエイションプロセ
ス全体となります。企業が本フレームワークを参考にし、自社の実態に合わせて、適切なセキュリ
ティ対策を実施することが重要です。
CPSF に含まれる対策•

従来型サプライチェーンにおいても適用可能な対策•

新たな産業社会に変化したからこそ新たに対応が必要な対策•

新たな産業社会におけるバリュークリエイションプロセス全体が適用範囲•

それぞれの組織に応じてセキュリティ対策を選定することが可能
従来のサプライチェーンに対するセキュリティの考え方では、セキュリティ対応を行っている組
19

織間の取引であれば、サプライチェーン全体の信頼性が確保される「組織マネジメントの信頼性」に基点が置かれていました。
しかしながら、 Society5.0 では、従来のサプライチェーンのように、組織のマネジメントの信頼性に基点を置くことだけでは、バリュークリエイションプロセスの信頼性を確保することが困難となります。IoT 機器を使用した場合、フィジカル空間のさまざまな情報はデジタル化され・サイバー空間へ取り込まれ、新たな価値が生み出されます。その一方で、マネジメントルールを徹底しただけでは、サイバー空間に取り込んだデータの適切な保護といった信頼性を確保することはでき
なくなります。
バリュークリエイションプロセスの信頼性を確保するためには、セキュリティ上のリスク源を的確に洗い出し、対処方針を示すためのモデルが必要になります。そのため、CPSF では、バリュー
クリエイションプロセスが発生する産業社会を 3 つの層、バリュークリエイションプロセスに関与する構成要素を 6 つに整理し、CPSF の基本構成としました。3 つの層でリスク源を洗い出し、
6 つの構成要素で各リスク源に対する対策要件および具体的な対策例を示します。

3 層構造モデル
各層における信頼性の基点は以下の通りです。
第1層

企業（組織）のマネジメントの信頼性

第2層

サイバー空間とフィジカル空間のつながりにおける、要求される情報の正確性に応じて適切な正確さで情報が変換される “転写”機能の信頼性

第3層

サイバー空間のつながりにおける、データの信頼性[第 3 層]サイバー空間におけるつながり
自由に流通し、加工・創造されるサービスを創造するためのデータの信頼性を確保[第 2 層]フィジカル空間とサイバー空間のつながり
フィジカル空間・サイバー空間を正確に”転写”する機能の信頼性を確保（現実をデータに転換するセンサーや電子信号を物理運動に転換するコントローラなどの信頼）[第 1 層]企業間のつながり
適切なマネジメントを基盤に各主体の信頼性を確保

図 41. 層構造モデルと各層における信頼性（出典） 経済産業省「サイバー・フィジカル・セキュリティ対策フレームワークの概要」をもとに作成

20

11-5. サイバーセキュリティ経営ガイドライン
11-5-1. サイバーセキュリティ経営ガイドライン
経営者が主体となってサイバーセキュリティ対策を実施する際に、経済産業省と独立行政法人情報処理推進機構（IPA）が共同で発行している「サイバーセキュリティ経営ガイドライン」が参考になります。本ガイドラインでは、経営者がサイバーセキュリティ対策を実行する際に認識するべき事項と、サイバーセキュリティ対策の責任者（CISO など）に指示するべき事項を包括的にまとめています。
平成 29 年の Ver2.0 の公開以降、企業のサイバーセキュリティ対策を取り巻く環境が変化しました。そのため、最新の状況への認識と対策の実践が可能となるように内容が見直され、令和 5 年に Ver3.0 が最新版として公開されました。
企業のサイバーセキュリティ対策を取り巻く環境の変化
テレワークの活用

テレワークなどのデジタル環境の活用を前提とする働
き方の多様化サイバー空間とフィジカル空間のつインターネットなどのサイバー空間と現物の取引を行ながりうフィジカル空間のつながりの緊密化と、それに伴うリスクの顕在化

セキュリティ対象の変化・拡大

情報資産だけでなく、制御系を含むデジタル基盤の保護がサイバーセキュリティの対象となる変化と拡大

ランサムウェアの被害

ランサムウェアによる被害の顕在化により、企業におけるサイバーセキュリティに関する被害は情報漏えいに留まらず、企業の事業活動の停止へと影響が拡大

サプライチェーンを介した被害拡大

国内外のサプライチェーンを介したサイバーセキュリ
ティ関連被害の拡大を踏まえた、サプライチェーン全体を通じた対策の必要性の高まり

ESG 投資の拡大

ESG（Environment, Society, Governance）投資の拡大により、コーポレートガバナンスおよび ERM（エンタープライズリスクマネジメント）の改善に向けた取組に対する関心の高まり（出典） 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」をもとに作成

次のページからは、サイバーセキュリティ対策に取り組む上で、経営者が認識するべき事項と実行するべき事項を紹介し、経営目線でのサイバーセキュリティ対策について全体像を説明します。
また、経営者とセキュリティ担当者それぞれの立場に応じて、具体的に行うべきことについて説明
21

した後、サイバーセキュリティ対策を実践するための手順を説明します。
サイバーセキュリティ対策は企業の価値増大への投資
サイバーセキュリティ対策はやむを得ない「費用」と考えるのではなく、「投資」と位置づけることが重要です。なぜなら、サイバーセキュリティ対策は、企業活動における損失やコストを減らし、企業の価値を維持・増大させるために必要だからです。サイバーセキュリティに関するリスクを経営リスクの一環として取り入れ、適切な対策に投資することによって、リスクを許容可能な範囲まで低減させることができます。企業としては、この取組を通じて社会的責任を果たし、経営者はこの責務を認識する必要があります。

経営者が認識するべき 3 原則
経営者は、以下の 3 原則を認識し、対策を進める必要があります。
原則 1

経営者は、サイバーセキュリティリスクが自社のリスクマネジメントにおける重要課題であることを認識し、自らのリーダーシップのもとで対策を進めることが必要

原則 2

サイバーセキュリティ確保に関する責務を全うするには、自社のみならず、国内外の拠点、ビジネスパートナーや委託先など、サプライチェーン全体にわたるサイバ
ーセキュリティ対策への目配りが必要

原則 3

平時および緊急時のいずれにおいても、効果的なサイバーセキュリティ対策を実施するためには、関係者との積極的なコミュニケーションが必要

サイバーセキュリティ経営の重要 10 項目
経営者は、以下の重要 10 項目について、サイバーセキュリティ対策を実施する上での責任者や担当部署（CISO、サイバーセキュリティ担当者など）への指示を通じて組織に適した形で確実に実施させる必要があります。これらは、組織のリスクマネジメントの責任を担う経営者が、単なる指示ではなく、自らの役割として発信する必要があります。リスク対策に関する実施方針の検討、
予算や人材の割当、実施状況の確認や問題の把握と対応など、多くのことを通じてリーダーシップを発揮することが求められます。
経営者がリーダーシップをとったセキュリティ対策の推進
サイバーセキュリティリスクの管理体制構築
指示 1 サイバーセキュリティリスクの認識、組織全体での対応方針の策定
指示 2 サイバーセキュリティリスク管理体制の構築
指示 3 サイバーセキュリティ対策のための資源（予算、人材など）確保
サイバーセキュリティリスクの特定と対策の実装
指示 4 サイバーセキュリティリスクの把握とリスク対応に関する計画の策定
22

指示 5 サイバーセキュリティリスクに効果的に対応する仕組みの構築
指示 6 PDCA サイクルによるサイバーセキュリティ対策の継続的改善
インシデント発生に備えた体制構築
指示 7 インシデント発生時の緊急対応体制の整備
指示 8 インシデントによる被害に備えた事業継続・復旧体制の整備
サプライチェーンセキュリティ対策の推進
指示 9 ビジネスパートナーや委託先などを含めたサプライチェーン全体の状況把握および対策
ステークホルダーを含めた関係者とのコミュニケーションの推進
指示 10 サイバーセキュリティに関する情報の収集、共有および開示の促進（出典） 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」をもとに作成

サイバーセキュリティ経営の重要 10 項目の概要
経営者が情報セキュリティ対策を実施する上での責任者となる担当幹部（CISO など）に指示すべき「重要 10 項目」のポイントと、対策例の一部を紹介します。
指示 1 サイバーセキュリティリスクの認識、組織全体での対応方針の策定✓

サイバーセキュリティリスクを経営者が責任を負うべき経営リスクとして認識し、組織全体としての対応方針（セキュリティポリシー）を策定させる。

✓

策定した対応方針を対外的な宣言として公表させる。

対策例•

経営者が組織全体の対応方針を組織の内外に宣言できるよう、企業の経営方針と整合を取ったセキュリティポリシーを策定する。その際、製造、販売、サービス等、事業が立脚している全ての基盤（設備、システム、情報等の資産、流通プロセス等）に影響を及ぼすと考えられるサイバーセキュリティリスクに応じた対応方針を検討する。

指示 2 サイバーセキュリティリスク管理体制の構築✓

サイバーセキュリティリスクの管理に関する各関係者の役割と責任を明確にした上で、リスク管理体制を構成させる。

✓

サイバーセキュリティリスクの管理体制の構築にあたっては、組織内のガバナンスや内部統制、その他のリスク管理のための体制との整合を取らせる。

対策例•

役割遂行に求められる責任や専門性、人的資源の状況に応じて、組織内要員で対応すべき
ものと外部の専門サービスに委託すべきものとの切り分けを行う。

•

取締役、監査役はサイバーセキュリティリスク管理体制が適切に構築、運用されているかを監査する。

指示 3 サイバーセキュリティ対策のための資源（予算、人材等）確保✓

サイバーセキュリティに関する残存リスクを許容範囲以下に抑制するための方策を検討さ23

せ、その実施に必要となる資源（予算、人材等）を確保した上で、具体的な対策に取り組ませる。
✓

全ての役職員に自らの業務遂行にあたってセキュリティを意識させ、それぞれのサイバー
セキュリティ対策に関するスキル向上のための人材育成施策を実施させる。

対策例•

事業が立脚している全ての基盤の安全性の担保のために必要なサイバーセキュリティ対策を明確にし、それに要する費用を確保する。

•

従業員向けやセキュリティ担当者向けなどの研修等のための予算を確保し、継続的に役割に応じたセキュリティ教育を実施する。

•

セキュリティ対策業務に従事する人材のみならず、デジタル部門、事業部門、管理部門等のあらゆる業務に従事する人材に、「プラス・セキュリティ」知識・スキルの習得を促す。

指示 4 サイバーセキュリティリスクの把握とリスク対応に関する計画の策定✓

事業に用いるデジタル環境、サービス及び情報を特定させ、それらに対するサイバー攻撃（過失や内部不正を含む）の脅威や影響度から、自組織や自ら提供する製品・サービスにおけるサイバーセキュリティリスクを識別させる。

✓

サイバー保険の活用や守るべき情報やデジタル基盤の保護に関する専門ベンダーへの委託を含めたリスク対応計画を策定させ、対応後の残留リスクを識別させる。

対策例•

組織における情報のうち、経営戦略の観点から守るべき情報を特定し、それらがどこに保存され、どこで扱われているかを把握する。その際、自社の営業秘密を外部のクラウドサービスで管理したり、テレワーク等の新しい働き方を導入したりしていることの影響を適切に反映させる。

指示 5 サイバーセキュリティリスクに効果的に対応する仕組みの構築✓

サイバーセキュリティリスクに対応するための保護対策として、防御・検知・分析の各機能を実現する仕組みを構築させる。

✓

構築した仕組みについて、事業環境やリスクの変化に対応するための見直しを実施させ
る。

対策例
•

重要業務を行う端末、ネットワーク、システム又はサービス（クラウドサービスを含む）には、多層防御を実施する。

•

従業員に対する教育を定期的に行い、適切な対応が行えるよう日頃から備える。

指示 6 PDCA サイクルによるサイバーセキュリティ対策の継続的改善24

✓

リスクの変化に対応し、組織や事業におけるリスク対応を継続的に改善させるため、サイバーセキュリティリスクの特徴を踏まえた PDCA サイクルを運用させる。

✓

経営者は対策の状況を定期的に報告させること等を通じて問題の早期発見に努め、問題の兆候を認識した場合は改善させる。

✓

株主やステークホルダーからの信頼を高めるため、改善状況を適切に開示させる。

対策例•

必要に応じて、ISO/IEC 27001 規格に基づく ISMS など、国際標準となっている PDCA
マネジメントシステムの認証を活用する。

指示 7 インシデント発生時の緊急対応体制の整備✓

影響範囲や損害の特定、被害拡大防止を図るための初動対応、再発防止策の検討を適時に実施するため、制御系を含むサプライチェーン全体のインシデントに対応可能な体制（CSIRT 等）を整備させる。

✓

被害発覚後の通知先や開示が必要な情報を把握させるとともに、情報開示の際に経営者が組織の内外へ説明ができる体制を整備させる。

✓

インシデント発生時の対応について、適宜実践的な演習を実施させる。

対策例•

インシデント発生時の体制整備、ルール整備にあたって、「サイバー攻撃被害に係る情報の共有・公表ガイダンス」を参照しながら、社内理解を深める。

•

インシデントの発生を想定した緊急対応に関する演習を役員に対して定期的に実施し、緊
急時にどのような手順で初動対応を行うべきかについて、全ての関係者が体験を通じて理解する。

指示 8 インシデントによる被害に備えた事業継続・復旧体制の整備✓

インシデントにより業務停止等に至った場合、企業経営への影響を考慮していつまでに復旧すべきかを特定し、復旧に向けた手順書策定や、復旧対応体制の整備をさせる。

✓

制御系も含めた BCP との連携等、組織全体として有効かつ整合のとれた復旧目標計画を定
めさせる。

✓

業務停止等からの復旧対応について、対象を IT 系・社内・インシデントに限定せず、サプ
ライチェーンも含めた実践的な演習を実施させる。

対策例•

設備投資計画を立案する際に、事業継続に影響をもたらす要因として、自然災害やパンデミック等にサイバーセキュリティリスクを加え、その対策を要求仕様等に反映させる。

•

定期的な復旧演習の実施により、復旧対応に関わる関係者がその手順について、体験を通じて理解する。

指示 9 ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策25

✓

サプライチェーン全体にわたって適切なサイバーセキュリティ対策が講じられるよう、国内外の拠点、ビジネスパートナーやシステム管理の運用委託先等を含めた対策状況の把握を行わせる。

✓

ビジネスパートナー等との契約において、サイバーセキュリティリスクへの対応に関して担うべき役割と責任範囲を明確化するとともに、対策の導入支援や共同実施等、サプライチェーン全体での方策の実効性を高めるための適切な方策を検討させる。

対策例
系列企業、サプライチェーンのビジネスパートナーやシステム管理の委託先等が•SECURITY ACTION を実施していることを確認する。なお、ISMS 等のセキュリティマネ
ジメント認証を取得していることがより効果的である。
指示 10 サイバーセキュリティに関する情報の収集、共有及び開示の促進✓

有益な情報を得るには自ら適切な情報提供を行う必要があるとの自覚のもと、サイバー攻撃や対策に関する情報共有を行う関係の構築及び被害の報告・公表への備えをさせる。

✓

入手した情報を有効活用するための環境整備をさせる。

対策例•

株主やステークホルダーとの対話、広報による一般向け情報開示等の機会において、サイバーセキュリティインシデントに備えた日頃の取組等の情報開示に積極的に取り組む。

•

中小企業の場合は、商工会議所、商工会等を通じて地元で情報共有を行うことのできる相手を確保する。

•「サイバー攻撃被害に係る情報の共有・公表ガイダンス」を参考に、インシデントに備え、サイバーセキュリティ専門組織との情報共有や被害に係る情報の公表を行うにあたっての観点について、あらかじめ理解しておく。
（出典） 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」をもとに作成

詳細理解のため参考となる文献（参考文献）
サイバー攻撃被害に係る情報の共有・公表ガイダンス

https://www.nisc.go.jp/pdf/council/cs/kyogikai/guidance2022_honbun.pdf

11-5-2. サイバーセキュリティ経営ガイドラインの読み方
ここでは「経営者」、「情報セキュリティ対策の責任者（CISO など）」それぞれの立場から、本ガイドラインの内容を実践する際の役割、認識するべきことについて記載します。
対象者

経営者

役割

•

「3 原則」の理解•

重要 10 項目について、情報セキュリティ対策の責任者（CISO など）に
26

指示を出す•認識すべきこと

リーダーシップの発揮

ERM（エンタープライズリスクマネジメント）にサイバー攻撃のリスクを含めること
現在、企業活動の多くは IT に依存しています。そのため、内部統制システ
ムの構築や、コーポレートガバナンス・コードに基づく開示と対話などにおいて、サイバー攻撃のリスクを考慮する必要があります。
サプライチェーン上のリスクを認識すること
現在、サプライチェーンの多様化が進み、サイバー攻撃の起点は広く拡散しています。したがって、サプライチェーン全体を考慮したリスクマネジメン
トが必要です。
サイバーセキュリティ対策は担当者に丸投げしてはいけない
経営者は、インシデント発生時に法的・社会的責任を負い、事業停止や新たな脅威に対処するための経営判断を迫られることがあります。そのため、経営者は、サイバーセキュリティ対策を担当者に丸投げせずに、自ら主体的に取り組む必要があります。
サイバーセキュリティ対策は投資と位置づけること
サイバーセキュリティ対策への投資では、直接的な収益を算出することは困難です。しかし、サイバーセキュリティ対策への投資は、企業活動におけるコストや損失を減らすために必要不可欠な投資であるとともに、将来の事業
活動・成長に必須な投資でもあります。
（出典） 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」をもとに作成

ERM（エンタープライズリスクマネジメント）とは企業が直面するリスクに対して、企業全体で管理することです。国際競争や情報技術の急速な進化により、企業が直面するリスクも多様化しています。このような状況下で、従来の部門ごとにリスクに対して管理するのではなく、企業全体で管理することが重要です。
対象者

情報セキュリティ対策を実施する上で責任者となる担当幹部（CISO など）

役割•

重要 10 項目を理解すること•

経営者に対して適宜状況報告を行い、経営者が適切な判断を行うために
27

必要な情報を提供すること認識すべきこと

経営者から指示される以下の事項に関して、より具体的な取組を検討し、セキュリティ担当者に対して指示する必要があること•

サイバーセキュリティリスクの管理体制構築•

サイバーセキュリティリスクの特定と対策の実装•

インシデント発生に備えた体制を構築•

サプライチェーンセキュリティ対策の推進•

ステークホルダーを含めた関係者とのコミュニケーションの推進（出典） 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」をもとに作成

11-5-3. サイバーセキュリティ経営ガイドラインの実践の流れ
サイバーセキュリティ経営ガイドラインの活用手順

図 42. サイバーセキュリティ経営ガイドラインの全体の流れ（出典） 経済産業省「サイバーセキュリティ経営ガイドライン Ver3.0」をもとに作成

PLAN
はじめに、サイバーセキュリティ対応方針・方策を策定します。
•

経営者は、3 原則を認識した上でサイバーセキュリティ対応方針を策定します。

•

セキュリティ対策の責任者（CISO など）は、経営者の指示に基づき、リスクを許容範囲内に抑制するための方策を検討し、必要となる資源（予算や人材など）を確保します。

DO
セキュリティ担当者（CSIRT など）は、セキュリティ対策の責任者（CISO など）の指示に基づき、実際にセキュリティ対策を行っていきます。具体的には以下の作業を行います。
•

リスクの把握や対応計画の策定
28

•

サイバー攻撃の防御や検知•分析などの保護対策の実施•

緊急時の対応体制を整備、事業継続、復旧体制の整備

CHECK
実施しているセキュリティ対策がリスクに対して有効であるか評価・分析をします。
•

セキュリティ担当者（CSIRT など）は、サイバーセキュリティ経営ガイドライン付録の「サイバーセキュリティ経営チェックシート」や「サイバーセキュリティ経営可視化ツー
ル」を活用し、経営者が指示した事項の実践状況をチェックします。

ACTION
セキュリティ担当者（CSIRT など）は、経営者に指示された事項の実践状況について、CISO
を通じて経営者に報告し、経営者は報告をもとに改善策を検討します。
•

新たなサイバーセキュリティリスクの発見などにより、追加の対応が必要な場合には、対処方針を修正します。

29

第12章. リスクマネジメント
章の目的
第 12 章では、リスクマネジメントの概要と、リスクマネジメントプロセスにおけるリスクア
セスメントの手法やリスク対応の考え方について学ぶことを目的とします。
主な達成目標 リスクマネジメントの意義について理解すること
 リスクマネジメントプロセスの全体像を理解すること
 リスクアセスメント、リスク対応のプロセスを理解すること30

12-1. リスクマネジメント：概要
12-1-1. リスクマネジメントプロセス（ISO31000）
企業や組織にはさまざまなリスクが存在しています。これらのリスクを効率的に管理し、発生する可能性がある損失を回避したり低減したりするプロセス全体のことを「リスクマネジメント」と言います。
リスクマネジメントの国際規格として ISO 31000 があります。ISO 31000 では、リスクマネ
ジメントを「原則」「枠組み」「プロセス」の 3 つの要素から構成されるものとして捉えています。

図 43. リスクマネジメントの 3 要素

リスクマネジメントを実施する際に、組織が取り組むべき事項です。
原則「統合」「体系化及び包括」「組織への適合」「包含」「動的」「利用可能な最善の情報」「人的及び文化的要員」「継続的改善」で構成されています。

枠組み

リスクマネジメントを組織全体に定着させるための仕組みです。
「統合」「設計」「実施」「評価」「改善」で構成されています。
リスクマネジメントに取り組む上で実施すべき、一連の活動です。

プロセス「コミュニケーション及び協議」「適用範囲、組織の状況及び基準」「リスクアセ
スメント」「リスク対応」「モニタリング及びレビュー」「記録作成及び報告」で構成されています。

実際にリスクに対応していくにあたっては、リスクマネジメントプロセスにおける「リスクアセ
スメント」が必須事項となります。リスクアセスメントとは、組織や企業が抱える資産に対するリ
スクの洗い出しや分析、評価を行い、リスク対応の優先順位づけをしていくプロセスのことを表します。リスクアセスメントの実施により、個々の資産が持つリスクと、リスクに対する管理策、および管理策に投じるべき費用の識別が期待できます。また、リスクを評価するということは情報資産の持つ固有の弱点や脅威を明確にする過程を含みます。そのため、事前にリスクを把握すること
により必要な投資額を含め、適切な対策を検討することが可能になります。
31

12-1-2. 情報セキュリティリスクマネジメント（ISO/IEC27005）
ISO/IEC 27005 は、情報セキュリティにおけるリスクマネジメントに関する国際規格です。先に説明した ISO31000 と整合性がありますが、情報セキュリティに特化した内容になっています。
この規格は、組織の情報資産を安全に保つことに焦点が当てられており、情報セキュリティリスクの特定、分析、評価、対応、管理、レビューなどを実施するための手引きになっています。中小企業を含むすべての組織における情報セキュリティリスクのマネジメントに有用です。
ISO/IEC 27005 の情報セキュリティリスクマネジメントプロセスは、ISO 31000 の一般的なリスクマネジメントプロセスに基づいており、リスクの特定、リスクの評価、リスクの対処およびリスクの監視とコントロールに関するステップから構成されます。以下の図で示すように情報セキュリティリスクマネジメントプロセスは循環しており、反復的に実施されるものです。組織を取り巻く環境の変化や組織内の変化に応じて、新しいリスクが発生したり、既存のリスクが変化したりする上に、リスクへの対処法も進化するからです。特に、リスクマネジメントプロセスに含まれているリスクアセスメントは、リスク対応の方策や、対応の優先順位づけの前提になる重要な工程です。

図 44. 情報セキュリティマネジメントプロセスの概要（出典）ISO/IEC「ISO/IEC 27005:2022」をもとに作成

32

リスクアセスメントからリスク対応までの流れを表す図を記載します。リスク対応を実施する過程
では、「低減」「移転」「回避」「受容（保有）」の 4 つ選択があり、それらの選択は以下の図で示す
プロセスで行われます。

図 45. リスクマネジメント全体の流れと、リスク対応の選択プロセス

リスクを低減する
自社で実行できる情報セキュリティ対策を導入ないし強化することによって、脆弱性を改善
し、事故が起きる可能性を下げます。
リスクを受容（保有）する
事故が発生しても受容できる、あるいは対策にかかる費用が損害額を上回る場合などは対策を講じず、現状を維持します。
リスクを回避する
仕事のやりかたを変える、情報システムの利用方法を変えるなどして、想定されるリスクそのものをなくします。
（例）•

従来は商品の発送先である住所や氏名などの個人情報を発送完了後もパソコンに保存し続けていたが、保存中の漏えいを避けるために、利用後はすぐに消去する。

•

インターネットバンキングに使用するパソコンでメールや Web サイトの閲覧をしていたが、ウイルスに感染しないようにインターネットバンキング専用のパソコンを設置し、ウ
イルス感染の原因となるメールや Web サイトの閲覧に利用せず、USB メモリ、外付け
HDD も接続を禁止する。

リスクレベルが大きく自社の対策だけでは不十分であったり、多額の費用がかかり、実施できなかったりする場合は「リスクの移転」を検討します。
リスクを移転する33自社よりも有効な対策を行っている、あるいは補償能力がある他社のサービスを利用することにより自社の負担を下げます。
（例）•

商品を販売する Web サイトではクレジットカード番号を非保持化し、代金の決済はセキュ
リティ対策を十分行っている外部の決済代行サービスに変更する。

•

社内のサーバで運用していた業務システムをセキュリティ対策の充実した外部クラウドサービスに移行する。

•

情報漏えい、システム障害などの事故発生に伴う損失に対して保険金が支払われる情報セ
キュリティに関連した保険商品に加入する。
（出典）IPA「中小企業の情報セキュリティ対策ガイドライン第 3.1 版」をもとに作成

12-1-3. ISO/IEC 27001 におけるリスクマネジメント手順
ISO/IEC 27005 は、情報セキュリティリスクマネジメントの手法を提供する規格であり、ISO/IEC 27001（ISMS）は情報セキュリティマネジメントシステムの設計と実装に関する規格です。つまり、ISO/IEC 27001 は情報セキュリティマネジメントシステムの枠組みを提供し、その中で必要となるリスクマネジメントの具体的な手法やプロセスの詳細を提供しているのが、
ISO/IEC 27005 になります。ISO/IEC 27001（ISMS）の活動は、ISO/IEC 27005 におけるリス
クマネジメントプロセスと関連付けて整理することが可能です。

図 46. ISMS におけるリスクアセスメントおよびリスク対応に関する作業の概要

34

12-2. リスクマネジメント：リスクアセスメント
12-2-1. リスク基準の確立
必要なリスク基準
リスクアセスメントを実施するにあたって、リスクの重大性を評価するための目安となる条件を決める必要があります。その条件のことをリスク基準と言います。ISMS では、リスク基準に「リスク受容基準」と「情報セキュリティリスクアセスメントを実施するための基準」を含むよう明示
されています。
リスク受容基準
どの程度のリスクであれば受け入れることが可能かの判断基準です。
あるリスクに対して、どの程度のレベル感や優先順位でリスク対応を実施するのか、リスクが顕在化した際にどの程度の大きさまでなら許容するのかを明確にする必要があります。
情報セキュリティリスクアセスメントを実施するための基準
いつ、どのようなときにリスクアセスメントを実施するのかを決める要件です。
リスクアセスメントの実施条件や実施時期、タイミングや頻度などを明確にする必要があります。

35

12-2-2. リスクの特定
リスク特定
リスクアセスメントの 1 つ目のプロセスである「リスク特定」について説明します。リスク特定とは、「リスクを発見、認識及び記述するプロセス」7のことです。リスク特定を実施するために一般的に使用されるアプローチは「資産ベースのアプローチ」および「事象ベースのアプローチ」の2 つがあります。
【情報セキュリティリスクの特定および記述】
アプローチ手法

概要

資産ベースのアプロ

•

ーチ

•

資産、脅威及び脆メリット•

資産、脅威及び脆デメリット•

情報資産が増えた

弱性の検査を通じ

弱性のすべての有ときに、資産のリてリスクを特定し効な組み合わせを

ストの行数が多く

アセスメントを行

ISMS の適用範囲

なる。

う。

で列挙することが資産は、その種類

できれば、理論上り返し記載したり

及び優先度にしたはすべてのリスク

しなければならながって主要資産及が特定される。

い場合がある。

•

同様のリスクを繰び支援資産として特定できる。
•

脅威は、資産の脆弱性につけ込み、対応する情報の機
密性、完全性または可用性を侵害する。

•

資産のリストを作成することが望ましい。

事象ベースのアプロ

•

ーチ

•

事象及び結果の評•

詳細なレベルで資•網羅性において、価を通じてリスク

産を特定すること

資産ベースのアプを特定し、アセスに多大な時間を費

ローチに劣る。

メントを行う。

やすことなく、高事象及び結果は、

いレベルまたは戦

7 JISC 日本産業標準調査会.”JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語”.
https://www.jisc.go.jp/app/jis/general/GnrJISNumberNameSearchList?show&jisStdNo=Q27000

36

トップマネジメン

略的なシナリオをトから見た懸念、

確立することがでリスク所有者及びきる。

組織の状況を決定する際に特定された要求事項によって発見できる。
（出典）ISO/IEC「ISO/IEC 27005:2022」をもとに作成• 特定されたリスクに対し、リスク所有者を関連付ける。
リスク所有
者の特定

• リスク所有者は、トップマネジメント、セキュリティ委員会、プロセス所有者、機能所有者、部門マネージャーおよび資産所有者など、リスクマネジメン
トに権限を持つ人とする（通常、組織内で一定の権限を持つ人が選ばれる）。

リスク特定（資産ベースのアプローチ）
資産ベースのアプローチでは、はじめに情報資産を洗い出し（資産目録の作成）、その過程でリスク所有者を特定します。リスク所有者とは、リスクが顕在化した際に責任を取る人のことを指します。その後、情報資産ごとに「機密性」「完全性」「可用性」が損なわれた場合、事業にどれほど影響があるか評価を行い、重要度を判断します。

情報資産の洗い出し（例）
情報資産の洗い出しでは、業務で利用する電子データや書類などを特定し、資産目録を作成します。洗い出した情報資産は、「営業」「人事」「経理」など管理部門ごとに分類します。企業活動に大きな影響を与えかねない重要な情報を、できる限り漏れないように洗い出すことが重要です。影
響がほとんどない情報であれば、漏れても大きな問題はありません。情報資産の洗い出しの粒度は、細かすぎると管理が大変ですが、逆に粗いと次のリスク分析が難しくなります。そのため、適度な粒度にすることが重要です。以下は、情報資産のリストアップ例です。
37

No
1
2

情報分類
人事
人事

3

情報資産
名称
従業員名
簿
健康診断
の結果
給与シス

経理

テムデー
タ

4

経理

5

6
7
8

営業
営業
営業

媒体・保

囲

所有者

部署

存先

人事部

人事

事務所

長

部

PC

人事部

人事

長

部

人事部

税務署提出用源泉徴収

給与計算

経理部

人事

事務所

票

担当

長

部

PC

経理部

総務

長

部

経理部

総務

長

部

営業部

営業

可搬電子

長

部

媒体

営業部

営業

社内サー

長

部

バ

営業部

営業

長

部

（過去 3 年分）
当社発行の請求書の控え（過去 3 年分）

顧客リス

得意先（直近 5 年間にト実績があるもの）

受注伝票

管理

雇入時・定期健康診断

求書

控え

リスク

人事部

当社宛請求書の原本

求書

利用者範

従業員基本情報

当社宛請
発行済請

経理

備考

受注伝票（過去 10 年
分）

受注契約

受注契約書原本（過去書10 年分）

総務部

総務部

営業部
営業部
営業部

書類

書類

書類

書類

資産目録の例（出典）IPA「リスク分析シート」をもとに作成

電子化された情報を洗い出す際は、「普段パソコンで見ているこのデータは、どこに保存されているのだろう」というように、社内の IT 機器や利用しているクラウドサービスを思い浮かべて記入します。また、複数の組織を持つ企業の場合、管理部署ごとにシートを分けて作成すると、内容の見直しの際に便利です。
資産目録を作成する際、情報資産を情報、情報を支援する資産として「主要/事業資産」と「支援資産」2 つのカテゴリに分類して整理する方法も有効です。
｢主要/事業資産｣｢主要/事業資産｣とは、「組織にとって価値のある情報又はプロセス」8のことです。主要資産
は、「事業プロセス及び事業活動」と「情報」の 2 つに分けられます。

8 ISO.” ISO/IEC 27005:2022”. https://www.iso.org/standard/80585.html

38

「事業プロセス及び事業活動」の例
・ その損失又は低下によって、組織の使命達成が不可能となるプロセス
・ 機密プロセス又は専有技術を伴っているプロセス
・ 修正された場合、組織の使命の達成に大きく影響するプロセス
・ 組織が契約、法令又は規則の要求事項を遵守するために必要となるプロセス「情報」の例・ 組織の使命又は事業の遂行に不可欠の情報
・ プライバシーに関する国内法に言う意味で、特別に定義することができる個人情報・ 戦略的方向性によって決定される目的の達成に必要となる戦略情報・ 収集、保管、処理、送信に長時間を要する高コスト情報および高い取得費用を伴う情報｢支援資産｣｢支援資産｣とは、「1 つ以上の事業資産の基礎となる情報システムの構成要素」9のことです。
「支援資産」の例
・ ハードウェア、ソフトウェア、ネットワーク、要員、サイト、組織（出典）MSQA「ISMS 推進マニュアル活用ガイドブック 2022 年 1.0 版」をもとに作成

情報資産のグループ化
ISMS 適用範囲に存在する情報資産を洗い出す作業は、負荷が非常に大きくなりやすいです。
そこで、資産価値や保管形態、保管期間や用途などが同じものを 1 つのグループとしてまとめて管理することにより、作業負荷を軽減したり、作業を効率化したりすることができます。
（例）事務所内のパソコンで会計ソフトウェアや表計算ソフトウェアを使って帳簿を作成している場合

機密性・完全性・可用性が損なわれた場合の影響度を評価
情報資産ごとに「機密性」「完全性」「可用性」が損なわれた場合の事業への影響度を評価します。

9 ISO.” ISO/IEC 27005:2022”. https://www.iso.org/standard/80585.html

39具体例として、以下の評価基準を参考に「機密性」「完全性」「可用性」それぞれの評価値（3～1）を決定します。
評価値

評価基準

該当する情報の例

法律で安全管理（漏えい、滅失又はき 個人情報（個人情報保護法で定義）
損防止）が義務付けられている

特定個人情報（マイナンバーを含む
個人情報）守秘義務の対象や限定提供データとし 取引先から秘密として提供された情て指定されている
3

報

漏えいすると取引先や顧客に大きな影 取引先の製品・サービスに関わる非
響がある

機密性

公開情報

自社の営業秘密として管理すべき（不 自社の独自技術・知識
正競争防止法による保護を受けるた

取引先リストめ）

特許出願前の発明情報漏えいすると自社に深刻な影響がある
2
1

漏えいすると事業に大きな影響がある 見積書、仕入価格など顧客（取引先）との商取引に関する情報漏えいしても事業にほとんど影響はな 自社製品カタログ
いホームページ掲載情報

法律で安全管理（漏えい、滅失又はき 個人情報（個人情報保護法で定義）
損防止）が義務付けられている

特定個人情報（マイナンバーを含む
個人情報）

3

改ざんされると自社に深刻な影響また 取引先から処理を委託された会計情は取引先や顧客に大きな影響がある

報
取引先の口座情報

完全性

顧客から製造を委託された設計図
改ざんされると事業に大きな影響があ 自社の会計情報
2

る

受発注・決済・契約情報
ホームページ掲載情報1

改ざんされても事業にほとんど影響は 廃版製品カタログデータ
ない
利用できなくなると自社に深刻な影響 顧客に提供している EC サイト

可用性3

または取引先や顧客に大きな影響があ 顧客に提供しているクラウドサービ
る2ス

利用できなくなると事業に大きな影響 製品の設計図
40

がある

商品・サービスに関するコンテンツ（インターネット向け事業の場合）

1

利用できなくなっても事業にほとんど 廃版製品カタログ
影響はない
情報資産の機密性・完全性・可用性に基づく重要度の定義（出典）IPA「中小企業の情報セキュリティ対策ガイドライン第 3.1 版」をもとに作成

影響度の評価をもとに重要度を算定
重要度の算出例を説明します。重要度は「機密性」「完全性」「可用性」いずれかの評価値の最大値で判断します。なお、事故が起きると法的責任を問われたり、取引先、顧客、個人に大きな影響があったり、事業に深刻な影響を及ぼすなど、企業の存続を左右しかねない場合や、個人情報を含む場合は、前項の算定結果に関わらず、重要度は 3 とします。
情報資産の価値・事故の影響の大きさ
重
要
度

3

事故が起きると、「法的責任を問われる」「取引先、顧客、個人に大きな影響がある」「事業に深刻な影響を及ぼす」など、企業の存続を左右しかねない

2

事故が企業の事業に重大な影響を及ぼす

1

事故が発生しても事業にほとんど影響はない

重要度の判断例：自社のホームページ（電子データ）「機密性」

公開しているホームページであり、クレジットカード情報など機密情報の保存はしていない「完全性」

不正アクセスで価格が改ざんされたり、ウイルスが仕掛けられたりすると顧客や閲覧者に被害が発生し、信用を失う「可用性」

サーバの障害などでアクセスできなくなると、来店客が減少し、売上も減少する

評価値
⇒ 1
⇒ 3
⇒ 3

➡完全性と可用性の評価値 3 が最大値なので、重要度は評価値：3
重要度の判断例（出典）IPA 「中小企業の情報セキュリティ対策ガイドライン第 3.1 版」をもとに作成

重要度を判断する際のポイント•

重要度の判断は、立場や見識によっても異なることがあるので、情報資産管理台帳に記入する前に「重要ではない」と判断するのではなく、記入した後に組織的に重要度を判断します。

•

情報資産の「重要度」は、時間経過とともに変化することがありますが、現時点の評価値
41

を記入します。また時間経過に伴う重要度の変化を台帳上で更新することが難しい場合
は、最大値で評価します。

リスク特定（事象ベースのアプローチ）
事象ベースのアプローチでは、従業者の業務プロセスを起点にリスクを特定します。それにより、
詳細なレベルで資産を特定することに多大な時間を費やすことなく、戦略的なシナリオを確立することができます。その結果、組織は自らのリスク対応の取組を、重大なリスクに集中させることができます。
前述の資産ベースのアプローチに比べると網羅性に劣るというデメリットはありますが、その分、日々の業務をもとにして洗い出すため、現実的なリスクを洗い出すことができるというメリットがあります。また、資産ベースのアプローチの際、情報資産の洗い出しにより出てきた主要資産（事業プロセスおよび事業活動）に対しても、事象ベースのアプローチでリスク特定が可能です。
業務プロセスや取扱っている重要な資産に対して、業務上起きたら困ること（リスク）もしくは、過去に発生して業務に影響を及ぼしたことを記載します。

1.リスクの特定（例）「ネットワーク障害により、リモートによる会議が中断もしくは実施できなくなり、取引先や顧客に影響を及ぼす恐れ」

2.リスク所有者の特定
リスク

評価値

ネットワーク

機密性障害により、
リモートによ1.で特定されたリスクの所有者を記載します。

情報が漏えいする類の事象ではない

完全性

ー攻撃やマルウェアの場合、情報

もしくは実施が被害を受ける可能性がある事象

できなくな

である
可用性

リスク所有者

3〇〇〇〇

1

ネットワーク障害の原因がサイバる会議が中断り、取引先や

重要度

3

ネットワークが利用できなくな

顧客に影響をり、自社や取引先、顧客に大きな 3

及ぼす恐れ

影響を及ぼす事象である
事象ベースのアプローチによるリスク特定の例（出典）MSQA「ISMS 推進マニュアル活用ガイドブック 2022 年 1.0 版」をもとに作成

上記内容でリスク特定を実施した後、特定されたリスクおよび「重要度」に対して後述のリスク42

分析を実施します。

12-2-3. リスクの分析
リスク分析（例）
特定されたリスクに対して「リスク分析」を行います。リスク分析とは、「リスクの性質を理解し、リスクレベルを決定するプロセス」10のことです。リスクレベル（リスクの大きさ）は、優先
的・重点的に対策が必要な情報資産を把握するために使用されます。リスクレベル（リスクの大きさ）を算定するにはさまざまな方法があります。算定方法の一例を以下に示します。

被害発生可能性の算出方法「被害発生可能性」とは、脅威が脆弱性を利用して、どの程度被害をもたらす可能性があるかを示す指標です。「脅威の起こりやすさ」と「脆弱性のつけ込みやすさ」の 2 つの数値を「被害発生可能性の換算表」に当てはめて算出します。
起こりやすさ（脅威）

つけ込みやすさ（脆弱性）

3

3

通常の状況で脅威が発生する（いつ発生してもおかしくない）2

特定の状況で脅威が発生する（ほぼ無防備）2（年に数回程度）
1

1ない（通常発生しない）

起こりやすさ（脅威）

部分的に対策を実施している（一部対策を実施）

通常の状況で脅威が発生することは被害発生可能性の換算表対策を実施していない

必要な対策をすべて実施している（対策を実施）つけ込みやすさ（脆弱性）
3

2

1

3

3

2

1

2

2

1

1

1

1

1

1

被害発生可能性の算出例
脅威の起こりやすさ：「2」、 脆弱性のつけ込みやすさ：「2」10 JISC 日本産業標準調査会.”JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語”.
https://www.jisc.go.jp/app/jis/general/GnrJISNumberNameSearchList?show&jisStdNo=Q27000

43➡ 被害発生可能性は「1」：通常の状況で被害が発生することはない
脅威の起こりやすさ：「3」、脆弱性のつけ込みやすさ：「2」➡ 被害発生可能性は「2」：特定の状況で被害が発生する（年に数回程度）
脅威の起こりやすさ：「3」、脆弱性のつけ込みやすさ：「3」➡ 被害発生可能性は「3」通常の状況で被害が発生する（いつ発生してもおかしくない）

12-2-4. リスクの評価
リスク評価
リスク評価とは、「特定・評価したそれぞれのリスクが、受容可能か否かを評価するプロセス」のことです。リスク分析で算出したリスクレベルを、リスク基準（リスク受容基準）と比較し、リスク対策が必要か否か判断します。また、リスクレベルをもとに対策の優先順位をつけます。

図 47. リスク評価の概要図（出典）MSQA「ISMS 推進マニュアル活用ガイドブック 2022 年 1.0 版」をもとに作成

リスク評価（例）「重要度」 × 「被害発生可能性」でリスクレベルを算出し、リスク評価を行います。例として、算出したリスクレベルを以下の表に当てはめて行います。
リスクレベルの評価値
重要度

被害発生可能性
3

2

1

3

9

6

3

2

6

4

2

1

3

2

1

※リスクレベル＝「重要度」×「被害発生可能性」※赤色、黄色、青色の網掛けは以下のリスク受容基準を示す

44

リスク受容基準（例）
リスクレベル

リスク評価

記述

低（青）

そのままで受容可能

それ以上の活動なしにリスクを受容可能

中（黄）管理下で受容可能

リスクマネジメントの観点からフォローアップを実施し、中長期にわたる継続的改善の枠組みにおいて活動を設定することが望ましい

高（赤）受容できないリスクを低減するための対策を短期間で行うことが絶対に望ましい。そうでない場合、活動の全部又は一部を拒否することが望ましい（出典）ISO/IEC「ISO/IEC 27005:2022」をもとに作成

また、情報セキュリティリスクの場合、以下の図で示す考え方をすることが多いです。以下の図では、発生頻度が高く被害が非常に大きいものについては「回避」、発生頻度は低いが被害が大き
いものについては「移転」、発生頻度は高いが被害が大きくないものについては「低減」を検討するという考え方を示しています。

図 48. 情報セキュリティリスクの考え方（出典）JNSA.”2-4 リスクアセスメントとリスク対応”. https://www.jnsa.org/ikusei/01/02-04.html

45

12-3. リスクマネジメント：リスク対応
リスク対応プロセス
リスク対応とは、「リスクを修正するプロセス」11のことです。リスクアセスメントプロセスの結果に基づいており、リスク基準に基づき対応すべき優先順位づけされたリスクに対応する内容となります。
1．適切な情報セキュリティリスク対応の選択肢の選定
リスク対応の選択肢は以下の通りです。
リスク回避

リスクが発生する可能性のある環境を排除するなど、リスクそのものをなくそうとすることです。例えば、個人情報を受け取らないようにしたり、その業務自体をやめたりするといった方
法です。

リスク低減

セキュリティ対策（管理策）を採用することによって、リスクの発生確率を低くしたり、リスクが顕在化したときの影響の大きさを小さくしたりすることです。「軽減」「修正」と呼ばれることもあります。

リスク移転

リスクを他者に移して自分たちの責任範囲外にし、リスクが顕在化したときの損失を他者に引き受けさせることです。例えば
クラウドサービスのサーバを利用することによって、サーバが破壊されたり盗難されたりするリスクを移転することができます。「共有」と呼ばれることもあります。

リスク受容（保有）対策を行わずにリスクを受け入れるということです。被害は大きいが発生可能性がほとんどない場合や、発生しても被害がほぼない場合が該当します。

2．情報セキュリティリスク対応の選択肢の実施に必要な全ての管理策の決定
ISO/IEC 27001:2022 の附属書 A、ISO/IEC 27017 などの管理策集から、リスクの回避、低減、移転、受容（保有）の中から選択したリスク対応に必要な全ての管理策を決定します。
3．決定した管理策と ISO/IEC 27001:2022 附属書 A の管理策との比較
必要な全ての管理策を、ISO/IEC 27001:2022 附属書 A に挙げられている管理策と比較します。
4．適用宣言書の作成必要な全ての管理策と、その理由及び実施状況を文書化します。適用宣言書に含まれる全ての管11 JISC 日本産業標準調査会.”JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語”.
https://www.jisc.go.jp/app/jis/general/GnrJISNumberNameSearchList?show&jisStdNo=Q27000

46理策の実施状況は、“実施された”、“一部実施された”または“実施されていない”として記述できます。
5．情報セキュリティリスク対応計画
組織がリスクに対応する必要性を含んだリスク対応計画を作成します。リスク対応計画とは、組織のリスク受容基準を満たすようにリスクを修正するための計画のことです。
組織の必要な管理策を実施するためのプロジェクト計画とは、リスクを修正するために管理策
が環境と相互にどのように作用するかを記述した設計計画のことです。
6．リスク所有者による承認
リスク所有者は、リスク対応計画を承認します。
7．残留している情報セキュリティリスクの受容
リスク所有者は、残留リスクが受容可能か否かを判断し、決定します。
（出典）ISO/IEC「ISO/IEC 27005:2022」をもとに作成

リスク対応プロセス（例）例：自社のホームページ（電子データ）
リスクの内容
不正アクセスで価格が改ざんされたり、ウイルスが仕掛けられると顧客や閲覧者に被害が発生
し、信用を失ったりする
リスク対応
リスク評価の結果をもとにリスク対応を決定する（今回は例として「リスクを低減する」方法
を選択）
対策例：不正アクセスが発生する可能性を低減させるために、アクセス権限を最小化したり、
パスワードを複雑にしたり、多要素認証を実施したりするなど、認証の強化を行い、不正アクセスが発生する可能性を低減する
対応する管理策：5.15 アクセス制御
対策基準の策定（対策基準の例）
技術的対策
・ 公開サーバへの不正アクセス対策
・ 公開サーバへのアクセス権の最小化と管理の強化
・ 多要素認証の設定の有効化

47残留リスク
残留リスクとは、「リスク対応後に残っているリスク」12のことです。残留リスクを受容するためには、リスク所有者の承認が必要になります。受容可能だと判断された残留リスクであっても、資産の価値や脅威、脆弱性など環境の変化に合わせて、リスクレベル（リスクの大きさ）を見直し、必要に応じて追加のリスク対応を行う必要があります。

図 49. 残留リスクの概要（出典）MSQA「ISMS 推進マニュアル活用ガイドブック 2022 年 1.0 版」をもとに作成

12 JISC 日本産業標準調査会.”JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語”.
https://www.jisc.go.jp/app/jis/general/GnrJISNumberNameSearchList?show&jisStdNo=Q27000

48

編集後記
第 6 編では、①ISMS をはじめとしたサイバーセキュリティ対策における代表的なフレームワー
ク、②リスクマネジメントやリスクアセスメントの手法、リスク対応の考え方について説明しました。
セキュリティ対策はやみくもに進めると、対策が複雑になり、余計に手間がかかり、内容に抜け漏れが発生する可能性があります。漏れなく効果的に対策を実施するために、セキュリティフレー
ムワークを使用し、自社の課題・目的に即した対応方針を選択する必要があることを、11 章を通じて理解していただければと思います。
組織を取り巻く環境や組織が持つ情報資産の変化に応じてリスクもまた流動的に変化するため、
リスクマネジメントプロセスを繰り返し実施していくことが重要です。リスクマネジメントはセキ
ュリティ対策にとって欠かせないものですが、顕在化していないリスクについて考えることは、容易ではありません。リスクマネジメントプロセスにおける各段階での考え方や手法、フレームワー
クを用いることにより、円滑なリスク特定、分析と対応策の検討を実施できることを、12 章を通じて理解していただければと思います。
次回は、LV3 網羅的アプローチで使用する ISMS の要求事項や構築などについて説明します。

49

引用文献
ISMS-AC ISMS 適合性評価制度
https://isms.jp/doc/JIP-ISMS120-62.pdf
経済産業省 サイバーセキュリティ経営ガイドラインと支援ツール
https://www.meti.go.jp/policy/netsecurity/mng_guide.html
経済産業省 クレジットカードシステムのセキュリティ対策の更なる強化に向けた方向性
https://www.meti.go.jp/policy/economy/consumer/credit/2022060221001.pdf
JIPDEC「個人情報」と「プライバシー」の違い
https://privacymark.jp/system/course/theme1/03.html
ISMS-AC ISMS とは
https://isms.jp/isms/
デジタル庁 政府情報システムにおける サイバーセキュリティフレームワーク導入に関する 技術レポート
https://www.digital.go.jp/assets/contents/node/basic_page/field_ref_resources/e2a0
6143-ed29-4f1d-9c310f06fca67afc/a84dbb17/20230411_resources_standard_guidelines_guideline_05.pdf
経済産業省 サイバー・フィジカル・セキュリティ対策フレームワークの概要
https://www.meti.go.jp/policy/netsecurity/wg1/cpsf_ver1.o_gaiyou.pdf
経済産業省 サイバーセキュリティ経営ガイドライン Ver3.0
https://www.meti.go.jp/press/2022/03/20230324002/20230324002-1.pdf
ISO/IEC「ISO/IEC 27005:2022」
https://www.iso.org/standard/80585.html
IPA 中小企業の情報セキュリティ対策ガイドライン第 3.1 版
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000055520.pdf
JISC 日本産業標準調査会 JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語
https://www.jisc.go.jp/app/jis/general/GnrJISNumberNameSearchList?show&jisStdNo=Q27000
中小企業の情報セキュリティ対策ガイドライン第 3.1 版 付録 7 リスク分析シート（全 7 シート）https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000055518.xlsx
MSQA ISMS 推進マニュアル活用ガイドブック 2022 年 1.0 版
https://isms-society.stores.jp/items/6427f4b51d175c002b8ee1cd
JNSA. 2-4 リスクアセスメントとリスク対応
50

https://www.jnsa.org/ikusei/01/02-04.html

51

参考文献
The NIST Cybersecurity Framework (CSF) 2.0
https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf
Small Business Quick-Start Guide
https://doi.org/10.6028/NIST.SP.1300
A Guide to Creating Community Profiles
https://doi.org/10.6028/NIST.CSWP.32.ipd
Quick-Start Guide for Creating and Using Organizational Profiles
https://doi.org/10.6028/NIST.SP.1301
Quick-Start Guide for Using the CSF Tiers
https://doi.org/10.6028/NIST.SP.1302.ipd
Quick-Start Guide for Cybersecurity Supply Chain Risk Management (C-SCRM)
https://doi.org/10.6028/NIST.SP.1305.ipd
Enterprise Risk Management Quick-Start Guide
https://doi.org/10.6028/NIST.SP.1303.ipd
CSF 2.0 Informative References
https://www.nist.gov/informative-references
CSF 2.0 Implementation Examples
https://www.nist.gov/document/csf-20-implementations-pdf
NIST Cybersecurity Framework (CSF) 2.0 Reference Tool
https://csrc.nist.gov/Projects/Cybersecurity-Framework/Filters#/csf/filters
サイバー攻撃被害に係る情報の共有・公表ガイダンス
https://www.nisc.go.jp/pdf/council/cs/kyogikai/guidance2022_honbun.pdf

52

用語集
■AI

dent Response Team の略。

Response の略。パソコンやス

Artificial Intelligence の略。 コンピュータセキュリティにマートフォン、サーバなどの「AI（人工知能）」という言かかるインシデントに対処す

エンドポイントにおける不審葉は、昭和 31 年に米国の計算るための組織の総称。インシな動作を検知し、迅速な対応

機科学研究者ジョン・マッカ

デント関連情報、脆弱性情報、を支援するソリューション。

ーシーが初めて使った言葉。

攻撃予兆情報を常に収集、分

従来のツールやソリューショ

昭和 25 年代後半から昭和 35

析し、対応方針や手順の策定

ンでは防げなかった未知のマ

年代が第一次 AI ブーム、昭和などの活動を行う

ルウェアや不正アクセスを検55 年代が第二次 AI ブーム、知し被害の拡大を防止する

現在は平成 20 年代から始ま■DDoS 攻撃（ディードスこる第三次 AI ブームである（近

うげき）

■eKYC

年の大規模言語モデルなどのDistributed Denial of Se

electronic Know Your C

登場を契機に、第 4 次 AI ブー

rvice Attack の略。攻撃者がustomer の略称。オンライン

ムに入ったとの見方もある）。

複数のコンピュータを操作し、 で完結可能な本人確認方法の「AI」に関する確立した定義

標的となるコンピュータに対はないが、人間の思考プロセ

して同時に大量の問い合わせ

スと同じような形で動作するを送ることにより、過剰な負プログラム、あるいは人間が荷をかけてサービスを利用で知的と感じる情報処理・技術

きなくする攻撃手法

といった広い概念で理解されていること■G ビズ ID
行政手続きなどにおいて手続きを行う法人を認証するための仕組み。1 つの ID・パス■DFFT

ワードで本人確認書類なしにData Free Flow with Tru

さまざまな政府・自治体の法st の略。日本が提案したコン

人向けオンライン申請が可能

Business Continuity Plan

セプトであり、ビジネスや社になる（事業継続計画）の略。企業が会的な課題を解決するために、災害やテロ攻撃などの緊急事

データの国際的な自由な流れ■ICSCoE 中核人材育成プロ態に直面した際に、被害を最を促進すると同時に、プライグラム

小限に抑え、企業の存続に関バシー、セキュリティ、知的財

平成 29 年 4 月に独立行政

わる最も重要な事業を継続ま

産権に対する信頼を確保する

法人情報処理推進機構（IPA）

たは早期復旧するための計画

ことを目指している内に設置された産業サイバー■BCP

セキュリティセンター（Indu■CSIRT（シーサート）
Computer

Security Inci

■EDR

strial Cyber Security Cent

Endpoint Detection and53

er of Excellence, ICSCoE）

が実施している人材育成プロ

IPS は、異常を検知した場合、 ュリティ対策を含む、経営者

グラム。制御技術（OT：Ope

管理者に通知するに加えて、を頂点とした総合的で組織的

rational Technology）と情報その通信を遮断するな取組。組織が ISMS を構築

技術（IT）の両方の知識・スキルを有し、社会インフラ・産業

するための要求事項をまとめ■IP アドレス

た国際規格が ISO/IEC 2700

基盤へのサイバーセキュリテ

コンピュータをネットワー

1（国内規格は JIS Q 27001）

ィリスクに対応できる人材のクで接続するために、それぞであり、審査機関の審査に合育成を目的としている

れのコンピュータに割り振ら格すると「ISMS 認証」を取得れた一意になる数字の組み合

できる

■ICT

わせ。 IP アドレスは、127.0.

Information and Comm
unication

0.1 のように 0～255 までのTechnology の略。 数字を 4 つ組み合わせたもの■IT リテラシー
コンピュータやインターネ

IT（情報技術）に加えて、コン

で、単にアドレスと略されるットをはじめとする情報技術

ピュータやスマートフォンなことがある。 現在主に使用さ（IT）を適切に活用する基礎

どを用いて行うコミュニケー

れているこれら 4 つになる数的な知識や技能ションを実現する技術（通信

字の組み合わせによるアドレ

技術）を含んでいる

ス体系は、IPv4（アイ・ピー・■LockBit2.0

ブイフォー）と呼ばれている。

「Your files are encrypt■IoT（アイ・オー・ティ

また、今後情報家電などで大ed by LockBit」というメッー）

量に IP アドレスが消費されるセージを表示させ、身代金をInternet of Things の略。

時代に備えて、次期規格とし要求するマルウェア（ランサ

日本語では「モノのインターて、IPv6（アイ・ピー・ブイシ

ムウェア）。感染するとファイネット」。インターネットにコックス）と呼ばれるアドレス

ルが暗号化され、拡張子が「.

ンピュータやセンサー、カメ

体系への移行が進みつつある。 LockBit」に変更される

ラ、産業機械、家電などさまざ

なお、IPv6 では、アドレス空

まな「モノ」が接続され、デー間の増加に加えて、情報セキ

タを収集したり、相互に情報

ュリティ機能の追加などの改をやり取りしたりする概念や良も加えられている

仕組み、技術のこと

National center of Incid
ent readiness and Strateg
y for Cybersecurity の略。内

■ISMS
■IPS

■NISC

閣サイバーセキュリティセン

Information Security Ma

ターの略称。サイバーセキュ

Intrusion Prevention Sys

nagement System の略称。

リティに関する施策の立案やtem の略。不正侵入防止シス

情報セキュリティを確保する

実施、行政各部の情報システ

テムとも呼ばれるセキュリテ

ための、組織的、人的、運用的、ムに対するセキュリティ対策

ィ確保の仕組み。

物理的、技術的、法令的なセキの強化を担当54

どの情報を含む。SBOM は、る社会として位置づけられて■NIST サイバーセキュリテ

ソフトウェアのリスクを把いる。

ィフレームワーク（CSF）

握・管理するのに役立つ

米国政府機関の重要インフラの運用者を対象として誕生

■SWG
■SDP

Secure Web Gateway のし、防御に留まらず、検知・対Software-Defined Perim

略。社内と社外のネットワー

応・復旧といった、インシデン

eter の略。ゼロトラストを実ク境界で通信を中継する役割

ト対応が含まれている。日本

現するための仕組みで、すべを持っている。また、やり取りにおいても、今後普及が見込ての通信をチェックおよび認しているデータを分析し、悪まれる証する。VPN は、ネットワー

意のあるデータを遮断するこク接続前に一度だけ認証を行とによりセキュアな通信環境

うのに対し、SDP は、ユーザ

を実現

■RPA
Robotic Process Automaーの情報（デバイス、場所、O

tion の略。定型的な業務をソS など）など複数の要素からネ■VPN（Virtual Private N

フトウェアのロボットによりットワーク接続前、接続中、接etwork）

自動化すること

続後で検証と認証を行う

Virtual Private Networkの略。インターネット上で安■SASE（サシー）■SECURITY ACTION

全性の高い通信を実現するた

Secure Access Service E

中小企業自らが、情報セキめの手法。通信データを暗号

dge の略。令和元年に提唱さュリティ対策に取り組むこと化し、送信元から送信先までれたゼロトラストセキュリテを自己宣言する制度の通信を保護することによィを実現する方法の 1 つで、I
T 環境のネットワークの機能

り、盗聴やデータの改ざんを■Society5.0

防ぐ。VPN

Virtual Privとセキュリティの機能をクラ日本が目指すべき未来社会

ウドサービス上で統合して提の姿として、平成 28 年に閣議とによって、ユーザーは物理供するサービス、また、その考決定された「第 5 期科学技術的に独立した専用線で通信しえ方・概念

基本計画」において内閣府がているかのような安全な通信提唱した概念。サイバー空間を行うことができる■SBOM（エスボム）

ate(

Network)を使用するこ（仮想空間）とフィジカル空

Software Bill of Material

間（現実空間）を高度に融合さs の略。ソフトウェアを構成すせたシステムにより、経済発

Web Application Firewall

る要素を一覧できるリストの展と社会的課題の解決を両立の略。 従来のファイアウォー

こと。SBOM は、ソフトウェ

する、人間中心の社会（Socie

ルが、IP アドレスとポート番

アの構成要素の名称やバージty）で、狩猟社会、農業社会、

号で通信を制御していたこと

ョン情報、開発者、依存関係な工業社会、情報社会の次にくに対して、Web アプリケーシ

55■WAF（ワフ）ョンの脆弱性を狙うサイバーのこと。銀行の窓口や ATM に為攻撃を防ぐことを目的として、 出向かなくても、スマートフ
アプリケーションレベルで通ォンやパソコンなどを使って、 ■可用性

信を制御（分析・検知・遮断）

いつでも利用可能な時間帯に許可された者だけが必要なするファイアウォールのこと

振り込みや残高照会などの取ときにいつでも情報や情報資引を行うことができる

産にアクセスできる特性■ウイルス定義ファイル（パ■完全性■アクセス制御
特定のデータやファイル、コンピュータ、ネットワークにアクセスできるユーザーを制限する機能のこと

ターンファイル）
セキュリティソフトウェア

参照する情報が改ざんされていなく、正確である特性

がマルウェアを検出するための定義情報が入ったファイル。 ■機密性

■アセスメントシステムや運用環境などを実世界で言えば顔写真つきの手配書のようなもの

客観的に調査・評価すること。
現在の利用状況を把握するこ■エンティティ
個人、組織、団体、コンピュや運用改善の参考情報となるータシステム、通信機器など、多様な実体のこと■暗号化
三者には、内容を見ても解読できないようにすること■クラッキング
悪意を持って情報システムに侵入し、データの改ざん・機密情報の盗み出し・サーバ攻■エンドポイントデバイス
ネットワークに接続して、撃・情報システムの破壊などの行為

ネットワークを介して情報を交換するデバイス（デスクト■アンダーグラウンドサービ

ップコンピュータ、仮想マシ

ス

ン、サーバなど）
合法ではない非公式な活動が行われるオンラインの闇市

情報資産にアクセスできる特性とにより、システムの再構築

データの内容を変換し、第許可された者だけが情報や■限定提供データ不正競争防止法で次のように定義されている。
「業として特定の者に提供する情報とし■改ざんて電磁的方法（電子的方法、磁場やコミュニティでサイバー

文書や記録などのすべてま気的方法その他人の知覚によ攻撃を目的としたツールなど

たは一部に対して、無断で修っては認識することができなを販売しているサービス

正・変更を加えること。IT 分

い方法を言う。次項において野では、権限を持たない者が同じ。）により相当量蓄積され、■インターネットバンキング

管理者に無断でコンピュータ

及び管理されている技術上まインターネットを利用してにアクセスし、データの書き

たは営業上の情報（秘密とし銀行との取引を行うサービス

換え・作成・削除などをする行て管理されているものを除56く。）を言う。」■サイバーセキュリティお助
け隊サービス制度■個人情報保護委員会

製品やサービスの供給に関わる一連のプロセスのこと。

「サイバーセキュリティお

具体的には、原材料や部品の個人情報の有用性を考慮し助け隊サービス」は、中小企業

調達、生産、物流、販売など、ながらも、個人の権利や利益のセキュリティ対策に不可欠製品やサービスが最終的に消を保護するために、個人情報

な各種サービスをワンパッケ

費者に届くまでの流れを指す。

の適切な取扱いを確保するこージにまとめた、民間事業者

サプライチェーンは、製造業とを任務とする、独立性の高による安価なサービス。独立者、卸売業者、小売業者などがい行政機関（組織的には内閣

行政法人情報処理推進機構（I

協力して構築される

府の外局）。個人情報保護法おPA）は中小企業向けセキュリ

よびマイナンバー法に基づき、 ティサービスが満たすべき基■情報資産

個人情報の保護に関する基本

準を設定しており、同基準を営業秘密など事業に必要で方針の策定・推進や個人情報充足するサービスに「お助け組織にとって価値のある情報などの取扱いに関する監視・隊マーク」を付与し、同サービ

や、顧客や従業員の個人情報監督、認定個人情報保護団体

スの普及促進活動を行っていなど管理責任を伴う情報に関する事務などの業務を行

る

っている

■情報セキュリティの 3 要素
■サイバーセキュリティ戦略■サイバー攻撃インターネットを通じて、別の企業や組織、ときに国家「CIA」

組織や企業がセキュリティ

情報セキュリティの 3 つのに関する目標を達成するため要素、機密性（Confidentialitの計画やアプローチy）、完全性（Integrity） 、可を攻撃する行為の総称。対象

用性（Availability）の頭文字

は、個人が所有するパソコン■サイバー・フィジカル・セ

やスマートフォンから、企業

キュリティ対策フレームワーのサーバやデータベース、国ク（CPSF）

をとって「CIA」と呼ぶ■真正性の重要インフラまでさまざま

単純なサイバー空間（仮想情報セキュリティマネジメ

である。デジタル社会となっ空間）におけるセキュリティ

ントの付加的な要素で、利用た現代では、インターネット

対策から、サイバー空間とフ者、プロセス、システム、情報空間をサイバー空間と呼ぶ。

ィジカル空間（現実空間）のそなどが、主張どおりであるこ

サイバー空間において、敵対れぞれにおけるリスクを洗いとを確実にする特性のこと。

する国家、企業、集団、個人な出し、そのセキュリティ対策

真正性を低下させる例としてどを攻撃する行為やその防御を整理するためのフレームワ

は、なりすまし行為などがあをサイバー戦争と呼ぶこともーク

る■サプライチェーン

■信頼性

ある。
57

システムが実行する処理に漏えいや改ざん、破壊・消失、に守るのかといった基本的な欠陥や不具合がなく、想定し情報システムの機能停止また

考え方、情報セキュリティをた通りの処理が実行される特はこれらにつながる可能性の確保するための体制、運用規性ある事象などがインシデント

定、基本方針、対策基準などをに該当具体的に記載することが一般■スクリーンロック
デバイスの誤動作や勝手に的■セキュリティ・キャンプ

操作されることを防ぐための情報セキュリティに関する機能。スクリーンロック画面

高度な技術と倫理に関する講

OS やソフトウェアに存在になっているときはパスワー

習・演習を行う合宿。審査に通する脆弱性が公開された後、ドやロックパターンの入力、過した 22 歳以下の学生・生徒

修正プログラムや回避策がベ

指紋や顔の認証をしなければが対象。次代を担う情報セキンダーから提供されるまでの解除することができないュリティ人材を発掘・育成す

間に、その脆弱性を悪用してるために、独立行政法人情報行われるサイバー攻撃のこと■脆弱性
情報システム（ハードウェ
ア、ソフトウェア、ネットワー

処理推進機構（IPA）と（一財）セキュリティ・キャンプ協議会が実施している

クなどを含む）におけるセキ
ュリティ上の欠陥のこと■ゼロデイ攻撃■ゼロトラスト
従来の「社内を信用できる
領域、社外を信用できない領■セキュリティホール

域」という考え方とは異なり、

情報システムにおけるセキ

社内外を問わず、すべてのネ

ュリティ上の欠陥のこと。
「脆ットワーク通信を信用できなシステムや機器などにおい弱性」とほぼ同義であるが、セい領域として扱い、すべてのて、セキュリティ上の欠陥がキュリティホールは、ソフト

通信を検知し認証するというないか診断すること

ウェアの設計上のミスやプロ

新しいセキュリティの考え方■脆弱性診断グラムの不具合によって発生■責任追跡性
情報資産に対する参照や変するセキュリティ上の脆弱性のみを指す場合がある

更などの操作を、どのユーザーが行ったものかを確認する
ことができる特性■ソリューション
問題や課題を解決するための具体的な解決策や手段を指■セキュリティポリシー

す。ある特定の課題やニーズ

企業や組織において実施すに対して提供される解決方法

る情報セキュリティ対策の方

やアプローチのことを指すこ■セキュリティインシデント

針や行動指針のこと。社内規とが一般的で、ビジネスシー

セキュリティの事故・出来定といった組織全体のルール

ンにおけるソリューションの事のこと。単に「インシデント」 から、どのような情報資産を意味とは「顧客が抱える問題とも呼ばれる。例えば、情報のや課題を解決すること」

どのような脅威からどのよう58

知見を抽出すること■ダークウェブ
特別な手法でないとアクセ（サーバを収容する鍵のついた棚）とサーバに接続する回■デジタル化

線や電源を貸し出すサービス

スできない、匿名性の高い非紙などで管理されてきた情のこと。自社が所有している

公開の Web サイトのこと。漏報（非デジタル情報）をデジタ

サーバを、物理的にセキュリ

えいした個人情報や機密情報、 ル化するデジタイゼーション

ティが強固なデータセンター

危険な商品、クラッキングツ（digitization）と、デジタルに設置し、運用できるため、セールなど、違法なものが取引技術を用いてビジネス・プロ

キュリティを強化できるメリ

されている

セスを自動化・合理化するデットがある。

ジタライゼーション（digitali■多要素認証zation）がある。音楽ビジネス■ビジネスメール詐欺

多要素認証は、サービス利で言えば、アナログ記録のレ

攻撃者がビジネス用のメー

用時において利用者の認証を

コードを CD（コンパクトディ

ルを装い、企業の担当者をだ行うために、3 つの要素（①利スク）にすることがデジタイ

まして、不正送金や機密情報用者だけが知っている情報②

ゼーション、音楽をダウンロの流出などの原因となる攻撃。

利用者の所有物③利用者の生ード販売することがデジタラ

BEC（ベック）Business Em体情報）のうち、少なくとも 2

イゼーションである

ail Compromise とも略されつ以上の要素を組み合わせて認証する安全性が高い認証方法。例えば、利用者が知っている情報としてはパスワード、る■デジタル情報
0、1、2 のような離散的に（数値として）変化する量

利用者の所有物としては、ス
マートフォンの電話番号を用■ビッグデータ
全体を把握することが困難
な程、膨大な規模のデータ群■内部監査いたメッセージ認証、利用者

内部の独立した監査組織がの生体情報としては指紋認証業務やシステムの評価、監査、や顔認識などがある。また、近アドバイスを行う活動である。 信のログを取得や本人に認証

年では FIDO2 と呼ばれる、デ情報セキュリティマネジメン

させることにより行動を否認

バイスを使用したパスキーにトシステム（ISMS）に関するさせないようにする特性

よる認証により、パスワード

国際規格である ISO27001 の

レスでの認証が広まっている

監査では、ポリシーや規定、手■データサイエンスを解析し、ビジネスに有益なシステムに対する操作・通■標的型攻撃順に適合し、各情報資産が確機密情報を盗み取ることな

実に守られているか確認するどを目的として、特定の個人

数学、統計、人工知能などの技術を用いて、大量のデータ■否認防止性や組織を狙った攻撃。業務関■ハウジングサービス
データセンターのラック59

連のメールを装ったウイルス
つきメール（標的型攻撃メール）を、組織の担当者に送付すあるユーザーが、企業や組織

セキュリティの分野で使われる手口が知られている。従来で管理されている情報システ

る「フォレンジック」とは、セは府省庁や大手企業が中心に

ムやサービスに不正にアクセ

キュリティ事故が起きた際に、狙われてきたが、最近では地スすること。不正アクセスに端末やネットワーク内の情報

方公共団体や中小企業もそのより、正規の個人情報の窃取を収集し、被害状況の解明やターゲットとなっているやデータの改ざんや破壊など犯罪捜査に必要な法的証拠をの危険がある。日本では、平成明らかにする取組を指す。
「デ

12 年 2 月に施行された不正ア

ジタル・フォレンジック」やクセス行為の禁止などに関す「コンピュータ・フォレンジ■標的型メール攻撃
特定の個人や組織を標的にしたフィッシング攻撃の一種。 る法律（不正アクセス禁止法）
一般のフィッシング攻撃とはにより、法律で固く禁じられ異なり、業界ニュースや社内ているック」などと呼ばれる■ブラックマーケット

情報といった情報を利用する
ため、業務上のメールと見分

広義には、不法な取引が行■踏み台

われる市場を指す。不正に入けがつかない内容や、業務で不正侵入の中継地点として手した個人情報などを売買す付き合いがある人物の名前で利用されるコンピュータのこるインターネット上の市場

送られることもあると。他人のコンピュータに侵（闇市）

入するときに、直接自分のコ■ファイアウォール

ンピュータから接続すると、■フレームワーク

本来は「防火壁」のことだが、 接続元の IP アドレスによって、フレームワーク（サイバー

情報セキュリティの世界では、 犯人が特定されてしまう可能

セキュリティフレームワーク）

外部のネットワークからの攻性がある。そこで、いくつかのとは、マルウェアやサイバー撃や不正なアクセスから企業

コンピュータを経由してから、 攻撃などさまざまなセキュリ

や組織のネットワークやコン

目的のコンピュータに接続す

ティ上の脅威から、情報シス

ピュータ、データなどを守るることにより、犯人が自分のテムやデータを守るために、ためのソフトウェアやハード

コンピュータを探しにくくす

システム上の仕組みや人的なウェアを指す。パソコンの OSる。このように、現実的な被害体制の整備を整える方法をに付随しているもの、セキュはないけれども、不正侵入の「ひな型」としてまとめたもリティソフトウェアについて中継地点としてのみ利用されのいるもの、専用のハードウェ

るコンピュータのことを踏みアになっているものなど形態

台と呼ぶ■ブロックチェーンはさまざまである

複数のコンピュータを使用■フォレンジック■不正アクセス
利用権限を持たない悪意のし、分散的にデータをブロッ

犯罪捜査における分析や鑑

ク単位にまとめて鎖（チェー

識を意味する言葉。サイバーン）のように記録する、オープ

60

ンな分散型台帳。ビットコイ
ンなどの暗号資産に使われている仕組み■ベストプラクティス■無線 LAN■リモートデスクトップ接続

LAN は Local Area Netwo

パソコン、タブレット、スマ

rk の略。物理的なケーブルをートフォンなどのデバイスを使わず、電波を利用してネッ使用して、遠隔地から特定のトワークに接続する仕組み。

パソコンに接続する方法

何かを行う方法や工程、そこの無線 LAN を通じて、コンの実践例の中で、ある基準にピュータはインターネットな

したがって最も優れているとどのネットワークにアクセス評価されたもののこと。実績することができるや経験に基づいて確立された成功例やよい成果をもたらす
方法論■ランサムウェア
悪意のあるマルウェアの一種。パソコンなどのファイル■マルウェアを暗号化し利用不可能な状態

パソコンやスマートフォンとし、解除と引き換えに被害などのデバイスやサービス、者から身代金（ransom）を要

ネットワークに害を与えたり、 求する
悪用したりすることを目的として作成された悪意のあるソ■リスクアセスメント

フトウェアの総称。コンピュ

企業や組織が持つ情報資産

ータウイルスやワームなどがに対するリスクの分析・評価

含まれるを行うプロセスのこと。具体的には情報資産の特定、脅威■ミラサポコネクトと脆弱性の特定と評価、リス

ビッグデータを活用して事クの分析と評価を行う。リス

業を伸ばしたい中小企業を応ク評価の結果、許容できるも援するための「ミラサポコネの以外は何らかのセキュリテクト構想」をもとにした、行政、 ィ対策を講じる必要がある
支援者、民間事業者に分散して保有されているデータ（法■リスク評価人情報、決算情報、経営カルテ

組織やプロジェクトにおけなど）を連携し、経営課題解決

る特定されたリスクに対して、に資する支援を提供するため

重要度や影響度を評価するプの、官民データ連携基盤

ロセス61