第３回

セミナー・ワークショップ
開催レポート
令和６年度 中小企業サイバーセキュリティ社内体制整備事業
開催概要
令和６年８月２０日(火)、東京都主催「中小企業サイバーセキュリティ社内体制整備事業」第３回セミナー・ワークショップが開催されました。
第３回セミナーでは、「ISMS などのフレームワークの種類と活用方法の紹介」と題し、ISMS をはじめとしたサイバーセキュリティ対策における代表的なフレームワークの理解を主眼におき、各フレームワークの特徴について取り上げました。さらに、リスクマネジメントの概要と、リスクマネジメントプロセスにおけるリスクアセスメントの手法やリスク対応の考え方について解説しました。セミナー後のワークショップではセミナーで得た学びを活かし、仮想企業の情報資産の洗い出しを行い、各資産についてリスクアセスメントを実施しました。活発な意見交換を経て各グループ独自の対策を立案し、最後に全体発表を行いました。この取組により参加企業は自社のアクションプラン構築に資する多様なアイデアやノウハウを獲得しました。

開催日時と場所【日時】：令和６年８月２０日（火） 13 時 00 分～17 時 30 分
【会場】：東京都新宿区西新宿 1-22-2 新宿サンエービル 7F【アクセス】：JR・私鉄各線 「新宿駅」 西口・南口より 徒歩 5～8 分

当日のタイムスケジュール
13:00 ～ 14:55 セミナー（※途中 5 分休憩あり）
14:55 ～ 15:00 質疑応答
15:00 ～ 15:15 休憩
15:15 ～ 16:30 ワークショップ（グループワーク）
16:30 ～ 17:20 全体発表・講師からのフィードバック
17:20 ～ 17:30 事務局からの案内＜お問い合わせ先＞中小企業サイバーセキュリティ社内体制整備事業運営事務局 ※当事業は東京都より委託を受け、アデコ株式会社が運営しています。
TEL：0120-138-166 MAIL：ade.jp.shanaitaisei@jp.adecco.com

セミナー内容

講師：星野 樹昭氏

全 10 回開催される本セミナーでは、サイバーセキュリティの最新の情報や網羅的な対策内容を盛り込んだオリジナルテキストを使用して講義を進めていきます。３回目となる今回のセミナーでは、サイバーセキュリティ対策においてフレームワークを活用することの意義や重要性について理解することを目的とし、各フレームワークの特徴とリスクマネジメントについて詳しく説明を行いました。

第 6 編 ISMS などのフレームワークの種類と活用法の紹介
第１１章. セキュリティフレームワーク
第１１章では、セキュリティフレームワークの概要説明から講義が始まりました。まずセキュリティフレームワークを使用するメリットを概説し、その後 ISMS、CSF、CPSF、サイバーセキュリティ経営ガイドラインについて詳細な説明が行われました。また、企業がフレームワークを選択するポイントを解説しました。網羅的な対策項目を提示している ISMS をベースとし、必要に応じ業種業態、重点領域によって、その他のフレームワークの内容を補完する活用法を紹介しました。
第１２章. リスクマネジメント
第１２章では、リスクマネジメントの概要と、リスクマネジメントプロセスにおけるリスクアセスメントの手法やリスク対応の全体像を説明しました。はじめに ISO/IEC 27001 におけるリスクマネジメント手順に触れ、状況の確定、リスクアセスメント、リスク対応、監視及びレビューといった手順を踏んだ運用プロセスについて解説しました。さらに各プロセスにおける具体的なアプローチや対応策を検討するうえでの留意点を紹介し、第３回セミナーは終了しました。

※セミナーで使用したテキスト等資料は、以下の本事業 Web
サイトで公開しています。

https://shanaitaisei.metro.tokyo.lg.jp/

第 3 回セミナー・ワークショップで使用した資料

セミナー参加者の声 ※参加者アンケートより一部抜粋✓

多様なフレームワークを学ぶことができ、自社においても活用できそうな情報が充実したセミナーでした。

✓

代表的なフレームワーク、情報セキュリティの三要素（機密性、完全性、可用性）など、これまで知らなかった考え方や知識を学べました。

✓

テキストを見て今回のテーマは難しいと感じていましたが、講師にわかりやすく説明いただき理解が進みました。

✓

セキュリティ担当者だけでなく、経営層を巻き込んでセキュリティ対策に取り組むことが重要だと理解しました。

✓

講義で紹介されたサイバーセキュリティ経営ガイドラインは、社内に展開し活用したいと考えています。

✓

リスクマネジメントの考え方について理解でき、非常に有意義な講義でした。

✓

情報資産に対するリスク分析や評価が自社で実施できていないことに気づきました。

✓

ゼロから規程類を作成するのではなく、フレームワークを活用する有効性を知りました。

✓

テキストを参考に社内の資産台帳を確認し、リスク評価を考えてみたいと思います。

＜お問い合わせ先＞中小企業サイバーセキュリティ社内体制整備事業運営事務局 ※当事業は東京都より委託を受け、アデコ株式会社が運営しています。
TEL：0120-138-166 MAIL：ade.jp.shanaitaisei@jp.adecco.com

ワークショップ内容
情報資産の洗い出しとリスクアセスメントは、セキュリティ対策の基盤となります。そこで今回のワークショップでは、架空の食品会社のシナリオを用いて資産台帳を作成し、リスクアセスメントを実施しました。１チーム４～５名で構成されたグループ内で各自が自己紹介を行った後、グループワークに取り組みました。IPA が公表している「リスク分析シート」1 をアレンジした情報資産管理台帳シートを拡大印刷した用紙に、書記担当が議論の過程を記載していきます。一方、発表資料作成担当が議論の結果をエクセルのテンプレートにまとめていきます。各グループで検討した内容は発表担当がプレゼンテーションを行い、その後各グループの発表に対し講師がフィードバックを行いました。

テーマ紹介と検討内容

グループ

グループ

講師のゴール設定

説明

ワーク

発表

フィードバックテーマ
資産台帳作成およびリスクアセスメント

３つのゴール①

リスクアセスメントの実施に必要となる情報資産の洗い出し②

リスクアセスメントを実施し、リスクレベルを算出③

仮想会社を基にグループでの意見交換、協議、発表【食品会社のシナリオ】
会社概要
業種: 食品
社員数: 50 名
部署は、管理部、生産部、営業部の 3 部門✓

営業部の従業員にはノート PC が貸与されており、VPN を活用したリモート接続によって、社内環境へアクセス可能です。

✓

ノート PC の運用については、ノート PC 内にデータを保存しない運用を実施しています。

✓

情報システム部門はなく、管理部門が兼任しています。

取り扱うシステムと情報
シ ス テム ・ 情

製品管理システム

販売管理システム

経理管理システム

電子メールシステム

物理的文書

報の分類

(オンプレミス)(クラウドベース)(オンプレミス)(クラウドベース)

情 報資 産の製品の在庫、出荷、顧客情報、販売デ売上データ、支出

内部および外部の印刷された契約

内容

品質ータ、契約書データ、財務報告

コミュニケーション、書、社内マニュ

文書共有

アル、製品カタロ
グやラベルなどの宣伝資料取り扱い

生産部門と営業部

暗号化され、営業

経理 部門と管理

全従業員がアクセ

鍵 付 きの キ ャ ビ

方法門のみがアクセスでき部門と管理部門の部門のみがアクセス可能で、重要なネットに保管し、るみがアクセスできる

スできる

文書は暗号化され必要な時のみる関係者がアクセスできる

1

リスク分析シート https://www.ipa.go.jp/security/guide/sme/about.html（付録７参照）＜お問い合わせ先＞中小企業サイバーセキュリティ社内体制整備事業運営事務局 ※当事業は東京都より委託を受け、アデコ株式会社が運営しています。
TEL：0120-138-166 MAIL：ade.jp.shanaitaisei@jp.adecco.com

【検討内容】
架空の食品会社では、複数のシステムを活用し業務を遂行しています。これらの情報資産についての重要度、対応種別、優先順位を検討します。
【検討手順】
１．前ページに掲げた取り扱うシステムと情報の内容から、どのような情報が扱われているかを情報資産管理台帳（表２）に書き出します。経理管理システム、電子メールシステム、物理的文書 の３つについて検討しましょう。
２．書き出した情報に対し、機密性、完全性、可用性の観点からそれぞれ評価値と重要度を記載します。
評価値の記載は、「重要度の定義」（表１）を参照します。
３．リスク値の結果を基に、対応種別を選択します。この時の選定理由もシートに記載してください。
対応種別の選定は、「対応種別の定義」（図１）を参考にしてください。
表１ 重要度の定義＜お問い合わせ先＞中小企業サイバーセキュリティ社内体制整備事業運営事務局 ※当事業は東京都より委託を受け、アデコ株式会社が運営しています。
TEL：0120-138-166 MAIL：ade.jp.shanaitaisei@jp.adecco.com

図１ 対応種別の定義

表２ 発表内容（抜粋）が記載された情報資産管理台帳＜お問い合わせ先＞中小企業サイバーセキュリティ社内体制整備事業運営事務局 ※当事業は東京都より委託を受け、アデコ株式会社が運営しています。
TEL：0120-138-166 MAIL：ade.jp.shanaitaisei@jp.adecco.com

発表者のコメント

私たちのグループでは情報資産の社外メールと契約書に焦点を当て検討しました。どちらも個人情報が含まれており、リスク大と評価しました。社外メールについてはメールがなくなった場合の対策としてバックアップを実施すること、契約書については電子契約書への移行についても議論しましたが、先方都合もあることから断念し保管場所に監視カメラを導入することで、どちらの資産についても対策方針（対応種別）を低減としました。

講師のフィードバック
発表内容のポイント

社外サーバー（メールサーバー）の障害を想定したときに、IT-BCP の観点から、メールが全損した場合に備えバックアップを取得するというのは正しい考え方です。なお、バックアップは取得だけでなく、復元する手順を整えておくことがポイントとなります。また契約書の管理ついて、電子契約書は便利な機能ですが全面導入は難しいと思うので、回避策でなく低減策を選択したのは、現実的な対応策といえるでしょう。

ワークショップ風景
ホワイトボードに書かれた検討結果を確認しています

発表内容を投影したスクリーン前
でフィードバックを行う星野講師

パソコンに入力した内容を確認するチームメンバー

次回のご案内

日時：令和６年９月１０日（火） 13 時 00 分～17 時 30 分
会場：東京都新宿区西新宿 1-22-2 新宿サンエービル 7F

本件に関するお問い合わせ
中小企業サイバーセキュリティ社内体制整備事業運営事務局
TEL：0120-138-166
受付時間：平日 9:00～17:00（祝日を除く）
メール：ade.jp.shanaitaisei@jp.adecco.com
URL： https://shanaitaisei.metro.tokyo.lg.jp/
Facebook: https://www.facebook.com/cys.shanaitaisei/＜お問い合わせ先＞中小企業サイバーセキュリティ社内体制整備事業運営事務局 ※当事業は東京都より委託を受け、アデコ株式会社が運営しています。
TEL：0120-138-166 MAIL：ade.jp.shanaitaisei@jp.adecco.com