令和6年度
中小企業サイバーセキュリティ
社内体制整備事業
第2回
第３編：これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】
第４編：セキュリティ事象に対応して組織として策定すべき対策基準と具体的な実施【レベル 1】
第５編：各種ガイドラインを参考にした対策の実施【レベル 2】

中小企業サイバーセキュリティ 社内体制整備事業

セミナー内容
編
第1編
第2編

第3編

テーマ
サイバーセキュリティを取り巻く背景
中小企業に求められるデジタル化の推進とサイバーセキュリ
ティ対策
これからの企業経営で必要なIT活用とサイバーセキュリティ
対策
セキュリティ事象に対応して組織として策定すべき対策基準と具体的な実施
各種ガイドラインを参考にした対策の実施
図❷

第4編
第5編

図❸

2中小企業サイバーセキュリティ 社内体制整備事業

セミナー内容
編
第6編
第7編

第8編

テーマ
ISMS等のフレームワークの種類と活用法の紹介
ISMSの構築と対策基準の策定と実施手順

具体的な構築・運用の実践
中小企業が組織として実践するためのスキル・知識と人材育
成
全体総括
図❷

第9編
第10編

図❸

3

中小企業サイバーセキュリティ 社内体制整備事業

セミナー内容第7章. セキュリティ対策の概要（全容）第8章. 用語定義および関係性と識別方法

第9章. 具体的手順の作成（Lv.1 クイックアプローチ）
第10章. 具体的手順の作成（Lv.2 ベースラインアプローチ）
図❷

図❸

4

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】

第7章. セキュリティ対策の概要（全容）対策基準の策定

図❷

図❸5

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】対策基準の策定

セキュリティ対策基準の概要【参照：テキスト7-1-1.】
P3

情報セキュリティポリシーの構成

図❷

図❸

セキュリティ対策の関係図（出典）総務省.”情報セキュリティポリシーの順守”

6

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】対策基準の策定

対策基準のアプローチ方法【参照：テキスト7-1-1.】
P3, P4• 企業の現状を鑑み、次の段階的なアプローチ方法がある• クイックアプローチ• ベースラインアプローチ• 網羅的アプローチ【推奨】

図❷

図❸7

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】対策基準の策定

対策基準のアプローチ概要【参照：テキスト7-1-2.】
P4, P5アプローチ手法
Lv.1 クイックアプローチ

特徴
想定される適用ケース• 即時の対応や緊急事態への対処に適 • 自社で発生する可能性が高い、ましたアプローチ手法。
たは、発生したときの被害が大き• さまざまなインシデント事例内容をいと考えられるインシデントに対参考にし、対策基準を策定。
処する場合。

Lv.2 ベースラインアプローチ• 組織全体での一貫性を確保し、セ• 組織的に一定以上の対策基準を策キュリティの最低基準を満たすこと定する場合。
を目指すアプローチ手法。
図❷• ガイドラインやひな型を参考とし、対策基準を策定。

Lv.3 網羅的アプローチ• 脅威や攻撃手法に対して、網羅的な • ISMSのフレームワークに沿った対対策を講じることを目指すアプロー
策基準を策定する場合。
チ手法。
図❸• ISMSなどの認証が可能なレベルを目指して、対策基準を策定。

8

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】対策基準の策定

メリット・デメリット【参照：テキスト7-1-2.】
P4, P5アプローチ手法
Lv.1 クイックアプローチ

メリットデメリット• 小規模な対策や修正を迅速に実施可 • 詳細な分析や検討が不十分な場合が能。
ある。
• 低コストでリスクを軽減。
• 短期的な解決策に偏りがちになる。
• 流行中の攻撃の拡大や影響を最小限に抑えられる。

Lv.2 ベースラインアプローチ• 組織全体で一貫性を確保できる。
• 追加のセキュリティ対策やリスク• 最低基準となるセキュリティ対策をに対する適切な対応策を検討する
図❷
講じることができる。
ことが必要になる。

Lv.3 網羅的アプローチ• 可能な限り多くの脅威や攻撃手法に • 全体的な実施には時間がかかる。
対して対策を講じる。
• 予測できない脅威や新たな攻撃手法に対しても準備ができる状態を維持
図❸
できる。

9

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】対策基準の策定

Lv.1 クイックアプローチ【参照：テキスト7-1-2.】
P5, P6【例】ランサムウェアに対する対策基準を作る
記載項目
内容
１．対象とする脅威 ランサムウェアによる情報資産の漏えい・破壊・改ざん・消去、重要情報の詐取など
２．組織的対策• 組織としてのランサムウェア対応体制の確立• インシデント対応体制を整備し対応する
３．人的対策• メールの添付ファイル開封や、メールやSMSのリンク、URLのクリックを容易にしない図❷• 提供元が不明なソフトウェアを実行しない• 適切な報告/連絡/相談を行う
４．物理的対策• 適切なバックアップ運用を行う
５．技術的対策• 公開サーバへの不正アクセス対策• 共有サーバなどへのアクセス権の最小化と管理の強化
図❸• 多要素認証の設定を有効にする• サーバやクライアント、ネットワークに適切なセキュリティ対策を行う(出典) IPA「情報セキュリティ10大脅威 2024」をもとに作成

10

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】対策基準の策定

Lv.2 ベースラインアプローチ【参照：テキスト7-1-2.】
P7, P8【例】 IPA「情報セキュリティ関連規程」を活用した対策基準
1.情報セキュリティのための組織
情報セキュリティ対策を推進するための組織として、情報セキュリティ委員会を設置する。情報セキュリティ委員会は以下の構成とし、情報セキュリティ対策状況の把握、情報セキュリティ対策に関する指針の策定・見直し、情報セキュリティ対策に関する情報の共有を実施する。

役職名
情報セキュリティ責任者
情報セキュリティ部門責任者
システム管理者
教育責任者

図❷
役割と責任
情報セキュリティに関する責任者。情報セキュリティ対策などの決定権限を有するとともに、全責任を負う。
各部門における情報セキュリティの運用管理責任者。各部門における情報セキュリティ対策の実施などの責任を負う。

社内の情報システムに必要な情報セキュリティ対策の検討・導入を行う。
情報セキュリティ対策を推進するために従業員への教育を企画・実施する。
図❸(出典) IPA「情報セキュリティ関連規程（サンプル）」をもとに作成

11

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】対策基準の策定

Lv.3 網羅的アプローチ【参照：テキスト7-1-2.】
P8【例】 ISMSフレームワークを活用した対策基準
93種の管理策ごとに対策基準を策定する。

図❷

図❸

12

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】

第8章. 用語定義および関係性と識別方法
用語の定義、脅威・脆弱性の識別

図❷

図❸

13

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】

用語の定義、脅威・脆弱性の識別

用語の定義と関係性
主な用語の定義• 脅威• 脆弱性• インシデント• 資産• 資産情報の重要度• セーフガード（管理策）• リスク• 残留リスク• リスク値【参照：テキスト8-1-1.】
P10, P11

図❷

図❸

14

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】

用語の定義、脅威・脆弱性の識別

関係図【参照：テキスト8-1-1.】
P11, P12

図❷

図❸

15

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】

用語の定義、脅威・脆弱性の識別【例】業務用ノートPCのリスクマネジメント【参照：テキスト8-1-1.】
P12, P13• ノートPCに対して、各要素について検討する
要素

資産価値
脅威
リスク
脆弱性
保護要求事項
管理策

内容

ノートPC内の情報（データ）
営業の業務で必須の情報
社外への持ち出し
盗難による情報漏えい
不適切なパスワードの設定（わかりやすい設定など）
図❷• 権限のないものがログインできないようにする• 不要な持ち出しを防ぐ• 複雑なパスワードの設定（8.5 セキュリティを保った認証）• 社外の持ち出し管理（7.9 構外にある装置及び資産のセキュリティ（構図❸
外にある資産）16

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】

用語の定義、脅威・脆弱性の識別【例】業務用ノートPCのリスクマネジメント【参照：テキスト8-1-1.】
P13

図❷

図❸

17

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】

用語の定義、脅威・脆弱性の識別

脅威の識別【参照：テキスト8-1-2.】
P14, P15

図❷図❸18

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】

用語の定義、脅威・脆弱性の識別

脅威の種類【参照：テキスト8-1-2.】
P15• 脅威を区別することで、セキュリティ対策を整理しやすくなる
脅威の種類

環境的脅威
(Environmental ➡ E）

人為的脅
威

意図的脅威
（Deliberate ➡ D）

偶発的脅威
（Accidental ➡ A）

想定される被害とセキュリティ対策
被害：建物倒壊や火災による業務停止
対策：地震発生の可能性が低い場所を選択する、災害からの回復対策を重視する
被害：内部者による企業秘密の漏えい
対策：漏えい者を罰し、場合により損害賠償請求を行う
規程の明示と教育は抑止的対策の実施図 ❷漏えいの早期検知
被害：入力ミスなどが原因の損害対策：入力ミス防止の技術対策
2回入力
図❸
値の範囲制限チェックデジットやチェックサムの設定
19

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】

用語の定義、脅威・脆弱性の識別

脆弱性の識別例
類型脅威の例
システムの保守に関する違反
機器や媒体の破壊

粉塵（ダスト）、腐食、凍結
ハードウェア

使用時のミス
電力供給の停止
気象現象
媒体や文書の盗難媒体や文書の盗難媒体や文書の盗難【参照：テキスト8-1-3.】
P16

脆弱性
記憶媒体の不十分な保守/不適当な設置
定期的な交換計画の欠如
湿気、ホコリ、汚れに対する影響の受けやすさ
有効な構成変更管理の欠如
電圧の変化に対する影響の受けやすさ
図❷
温度変化に対する影響の受けやすさ
保護されない保管
廃棄時の注意の欠如
管理されないコピー作成
図❸20

第3編 これからの企業経営で必要なIT活用とサイバーセキュリティ対策【レベル共通】

用語の定義、脅威・脆弱性の識別【参照：テキスト8-1-3.】
P16

脆弱性の識別例
類型

ソフトウェア

脅威の例
不正アクセス
不正アクセス
使用時のミス
使用時のミス
不正アクセス
不正アクセス
データの違法な処理
データの違法な処理
ソフトウェアの誤作動

脆弱性

監査証跡の欠如
アクセス権の誤った割り当て
複雑なユーザーインタフェース
文書化の欠如ユーザーの識別および認証メカニズムの欠如
不十分なパスワード管理
図❷
不要なサービスが実行可能
不要なサービスが実行可能
効果的な変更管理の欠如
管理されていないソフトウェアのダウンロードおよび
図❸
恐怖、攻撃、妨害行為
使用装置又はシステムの故障 バックアップコピーの欠如
21

第4編 セキュリティ事象に対応して組織として策定すべき対策基準と具体的な実施【レベル1】

第9章. 具体的手順の作成（Lv.1 クイックアプローチ）【Lv.1 クイックアプローチ】の概要【Lv.1 クイックアプローチ】セキュリティインシデント事例を参考とした実施手順

図❷

図❸

22

第4編 セキュリティ事象に対応して組織として策定すべき対策基準と具体的な実施【レベル1】【Lv.1 クイックアプローチ】の概要【参照：テキスト9-1.】
P21

クイックアプローチ

概要• 報道される事例や情報セキュリティ10大脅威を参考にする• 発生する可能性が高いセキュリティインシデント事例を考慮する• セキュリティインシデント発生時に被害が大きい事例を考慮する
メリット• 低コストで効果的な対策が可能で、リソースが限られていても実施可能• 流行中の攻撃に迅速に対応し、影響を最小限に抑えられる
図❷

デメリット
• 包括的でないため抜けが発生しやすく、一時的な対策になりがち• 長期的には費用が増加する可能性がある
図❸23

第4編 セキュリティ事象に対応して組織として策定すべき対策基準と具体的な実施【レベル1】

セキュリティインシデント事例を参考とした実施手順【参照：テキスト9-2.】P22

対策基準・実施手順の作成手順
インシデント事例

図❷

図❸

24

第4編 セキュリティ事象に対応して組織として策定すべき対策基準と具体的な実施【レベル1】

セキュリティインシデント事例を参考とした実施手順【参照：テキスト9-2.】
P22, P23

リスクアセスメントの実施
リスク特定• 対象となる資産情報の洗い出し• 機密性、完全性、可用性の評価• 重要度の算出

図❷

図❸

25

第4編 セキュリティ事象に対応して組織として策定すべき対策基準と具体的な実施【レベル1】

セキュリティインシデント事例を参考とした実施手順【参照：テキスト9-2.】
P23

リスクアセスメントの実施
リスク分析• 重要度と被害発生可能性から、リスクレベルを算出「リスクレベル」＝「重要度」×「被害発生可能性」

図❷

図❸26

第4編 セキュリティ事象に対応して組織として策定すべき対策基準と具体的な実施【レベル1】

セキュリティインシデント事例を参考とした実施手順【参照：テキスト9-2.】
P24

リスクアセスメントの実施
リスク評価• リスク対応を検討する
要素

内容
セキュリティ対策（管理策）を採用することによって、リスク低減
リスクの発生確率を低くする
リスク移転
リスクを他社に移す
リスク回避
リスクが発生する可能性のある環境を排除する
リスク受容（保有） セキュリティ対策を行わず、リスクを受け入れる
図❷

図❸

27

第4編 セキュリティ事象に対応して組織として策定すべき対策基準と具体的な実施【レベル1】

セキュリティインシデント事例を参考とした実施手順【参照：テキスト9-2.】
P24

対策基準の策定
対策基準（例）• 社内の機密情報に関する社内規程の策定• 重要情報の管理、保護• 物理的管理の実施• 従業員向け研修の実施
図❷

図❸

28

第4編 セキュリティ事象に対応して組織として策定すべき対策基準と具体的な実施【レベル1】

セキュリティインシデント事例を参考とした実施手順【参照：テキスト9-2.】
P24, P25実施手順の作成

実施手順（例）
機密情報に関する社内規程の策定• 従業員は、当社が営業秘密として管理する情報およびその複製物の一切を許可されていない組織、人に提供してはならない。
• 従業員は、当社の情報セキュリティ方針および関連規程を遵守する。違反時の懲戒については、就業規則に準じる。
• 従業員は、在職中に交付された業務に関連する資料、個人情報、顧客・取引先から当社が交付を受けた資料またはそれらの複製物の一切を退職時に返還する。
●●●＜詳細はテキストP25、P26を参照＞
図❷

図❸

29

第5編 各種ガイドラインを参考にした対策の実施【レベル2】

第10章. 具体的手順の作成（Lv.2 ベースラインアプローチ）【Lv.2 ベースラインアプローチ】の概要【Lv.2 ベースラインアプローチ】ガイドラインを参考とした実施手順

図❷

図❸

30

第5編 各種ガイドラインを参考にした対策の実施【レベル2】【Lv.2 ベースラインアプローチ】の概要【参照：テキスト10-1.】
P28

ベースラインアプローチ

概要• IPAや総務省などが発行しているガイドラインやひな型を参考に、対策基準や実施手順を策定する• セキュリティの最低基準を満たす対策基準や実施手順を策定する
メリット• 組織全体で一貫性を確保できる• コストパフォーマンスよく、最低限実施すべきセキュリティ対策を講じることができる
図❷

デメリット
• 十分なセキュリティ水準を確保できない可能性がある• ひな型は一般的なものであるため、自社に合わせて検討が必要
図❸31

第5編 各種ガイドラインを参考にした対策の実施【レベル2】

ガイドラインを参考とした実施手順

情報セキュリティ対策ガイドラインの活用【参照：テキスト10-2-1.】
P29, P30

参考にするガイドラインの例• IPA「中小企業の情報セキュリティ対策ガイドライン第3.1版」• NISC「インターネットの安全・安心ハンドブックVer.5.0」• 総務省「テレワークセキュリティガイドライン第5版」• IPA「中小企業のためのクラウドサービス安全利用の手引き」• IPA「情報セキュリティ関連規程」
図❷

図❸

32

第5編 各種ガイドラインを参考にした対策の実施【レベル2】

ガイドラインを参考とした実施手順【参照：テキスト10-2-2.】
P30, P31, P32

中小企業の情報セキュリティ対策ガイドラインの活用

対象者• 中小企業および小規模事業者の経営者と情報管理を統括する方• セキュリティ対策を部分的に実施してきた企業• 情報セキュリティに関する知識を十分に有した人材が不足している企業など

目的• 情報セキュリティに関する組織的な取組を開始するため
図❷使い方
1. 実施状況の把握
2. 対策の決定と周知

図❸33

第5編 各種ガイドラインを参考にした対策の実施【レベル2】

ガイドラインを参考とした実施手順

インターネットの安全・安心ハンドブックの活用【参照：テキスト10-2-3.】
P33, P34

対象者• 全従業員目的• 一人一人が能動的にサイバー空間における脅威を知る• サイバーセキュリティ対する素養・基本的な知識を身につける
使い方
1. ハンドブック記載内容を確認する
2. 自社の状況を把握する
3. 新たな実施手順を策定する

図❷

図❸

34

第5編 各種ガイドラインを参考にした対策の実施【レベル2】

ガイドラインを参考とした実施手順

テレワークセキュリティガイドラインの活用【参照：テキスト10-2-4.】
P34, P35

対象者• 経営者• システム・セキュリティ管理者• テレワーク勤務者
目的• テレワークを業務に活用する際のセキュリティ上の不安を払拭する• 安心してテレワークを導入・活用する図❷

使い方
1. 立場ごとに分類された具体的に実施すべき項目を確認する
2. 自社の状況を把握する
3. 規程や手順に反映させる
図❸35

第5編 各種ガイドラインを参考にした対策の実施【レベル2】

ガイドラインを参考とした実施手順【参照：テキスト10-2-5.】
P35, P36

中小企業のためのクラウドサービス安全利用の手引きの活用
対象者• クラウドサービスを利用する企業
目的• クラウドサービスを安全に利用するため

使い方
1. クラウドサービス安全利用チェックシートを活用する
2. 解説編を参考に、利用者としての役割や責任を認識する
3. 実施手順を策定する
図❷

図❸

36

第5編 各種ガイドラインを参考にした対策の実施【レベル2】

ガイドラインを参考とした実施手順【参照：テキスト10-2-6.】
P36, P37, P38, P39

情報セキュリティ関連規程の活用
対象者• 中小企業目的• 自社のリスクに応じたセキュリティ対策の規程を作成するため

使い方
1. 対応すべきリスクを特定する
2. セキュリティ対策の決定
3. 規程の作成

図❷

図❸

37

令和６年度
中小企業サイバーセキュリティ社内体制整備事業