「出社してから退社するまで中小企業の情報セキュリティ対策実践手引き」活用方法
元持哲郎
アイネット・システムズ株式会社
JNSA西日本支部
2014年 2月21日

最初に• 情報セキュリティは中小企業にこそ必要!!
– 機密性は、情報資産へのアクセスを最小限度に留めることで、購入する情報資産の金額を最小にします。
– 完全性は、情報資産が正確、正しく動くことを保証し、業務を効率化します。
– 可用性は、欲しい情報を欲しい時に入手できることで、業務時間を短縮します。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 2

各ツールの位置付け• Why: 9to5 (出社してから退社するまで中小企業の情報セキュリティ対策実践手引き 略称)– リスクの認識– セキュリティ対策
共通• How:情報セキュリティチェックシート ISO27001/27002:2005– 現状の把握– セキュリティ対策– PDCAを回す• What:JNSAソリューションガイド
– 具体的な製品、サービスの選定

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 3

9to5の対象企業
ソリューションガイド

従業員300人以下
チェックシート

9to5

西日本支部 2008年度活動成果物「中小企業の情報セキュリティ対策支援 WG活動報告書」より
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 4

9to5の目的• 中小企業の業務に伴うリスクが認識できる• 中小企業が具体的なリスク対策が行える• 情報の洗い出し無でセキュリティ対策が可能

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 5

9to5の対象者• 企業のシステム管理者• システム管理を外注している管理者• 中小企業を指導するITコーディネータ、IT企業

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 6

9to5の管理策から省いた項目• 対象が紙・物に関するもの• 電源、空調等の設備管理に関するもの• 対策できないもの、対策が中小企業レベルでは難しいもの– 経営者、システム管理者等の権限者の不正– DoS攻撃• 個人情報保護に関するもの• 委託管理に関するもの• 対策が教育・啓蒙になるもの
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 7

9to5の対応範囲※JIPDEC ISMSユーザーズガイドより情報セキュリティチェックシートの範囲

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 8

9to5の構成• 導入部– 1.概要– 2.本ガイドライの対象企業– 3.本ガイドラインの対象読者– 4.本ガイドラインの使用方法• 第1部– 21の情報セキュリティ管理項目(2011年版：18)• 第2部– 69業務に基づく情報セキュリティ対策例(2011年版：62)• 付録• 参考資料
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 99to5の第１部
本手引き管理項目
1.セキュリティ境界と入退室管理
2.クラウドサービスの利用
3.障害・事故管理
4.IT継続性
5.認証と権限
6.ネットワークのアクセス制御
7.パッチの適用
8.ウイルス及び悪意のあるプログラムに対する対策
9.記憶媒体の管理
10.スマートデバイスの利用
11.電子メールの利用
12.Webの開発・管理
13.ログの取得
14.バックアップ
15.容量・能力の管理
16.変更管理17.構成管理18.SNSの利用
19.暗号化
20.アプリケーションの利用
21.クリアデスク・クリアスクリーン

ISMS- ISO/ IEC2 7 0 0 1 :2 0 0 5 - 付属書A 対応管理策
A.9.1.1,A.9.1.2
A.10.2.1
A.13.1.1,A.13.1.2,A.13.2.2
A.14.1.1,A.14.1.2,A.14.1.3,A.14.1.4,A.14.1.5
A.11.2.1,A11.2.2,A.11.2.4,A.11.5.1,A.11.5.2,A.11.5.3,A.11.6.1
A.11.4.2,A.11.4.3,A.11.4.5,A.11.4.6,A.11.4.7
A.12.6.1
A.10.4.1,A10.4.2
A.10.7.1,A10.7.2
A.9.2.5,A11.7.1,A.11.7.2
A.10.8.4
A.10.9.1,A.10.9.2,A10.9.3
A.10.10.1,A.10.10.2,A.10.10.3,A.10.10.4,A.10.10.5,A.10.10.6
A.10.5.1
A.10.3.1
A.10.1.2,A12.5.1
A.7.1.1,A.12.4.1
A.10.8.4
A.12.3.1,A.12.3.2
A.11.3.3

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 10

9to5の第2部• 出社
1業務(2011年版：1業務)• 社内業務33業務(2011年版：31業務)• 社外業務15業務(2011年版：12業務)• 退社
1業務(2011年版：1業務)• 帰宅
4業務(2011年版：2業務)• システム管理業務 15業務(2011年版：15業務)

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 11

9to5の活用方法
参考資料
暗号アルゴリズム等具体的な対策を提示

第2部
業務に基づく情報セキュリティ
対策例

第1部
情報セキュリティ管理策

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 12

活用事例①

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 13

活用例①

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 14

活用例①
5.認証と権限(1)管理目的
情報と情報機器への許可されていないアクセスを防止するため(2)管理策
①入館・入室設備、PC(BIOS、OS)、サーバー、ネットワーク、アプリケーション、スマートデバイス（スマートフォン、タブレット）、携帯電話等にアクセスするための個人及びプログラムを認証する仕組みを構築・設定する②認証には、ワンタイムパスワード、二段階、IDカード、デバイス(ハードウェアトークン、ICカード、USBキー等)、パスワード、バイオメトリックス(指紋認証、静脈認証等)等及びこれらの組み合わせ(複数要素認証)の第三者が簡単に悪用できない仕組みを用いる③認証のためのユーザIDは個人を特定できるように付与する④ユーザIDは職務権限に応じた、情報と情報機器へのアクセス権限を付与する⑤特権は、システム管理者、業務の管理者等特別の職務権限を持った者だけに付与する⑥パスワード(9)は例えば「12文字以上に設定し、大文字、小文字、数字、特殊文字の4つを組み合わせ、3カ月に1度変更する」(以降「」をパスワードポリシーとする)とする。
(3)運用で心がけるポイント①退職、人事異動に伴う、ユーザID、アクセス権限の見直しを行う②アクセスする情報の重要度、情報機器のある場所及び情報にアクセスする場所により認証の強度を検討する(4)関連する管理項目
セキュリティ境界と入退室管理、アプリケーションの利用、電子メールの利用、ネットワークのアクセス制御、Webの開発・管理、クラウドの利用、SNS、スマートデバイスの利用

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 15活用例①(9)Japan Vulnerability Notes「共通セキュリティ設定一覧CCE概説 (パスワード編)」

http://jvndb.jvn.jp/apis/myjvn/cccheck/cce_password.html

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 16

活用例①第１部
本手引き管理項目
1.セキュリティ境界と入退室管理

2.クラウドサービスの利用

3.障害・事故管理

4.IT継続性

5.認証と権限管理策①②③①②③①②③①②③①②③④⑤
⑥

第２部
業務No.
1,.2,22,30,65
1,.2,22,30
3
25,26,28
24,25,26,28
60
59
59
57

1,4,12,21,30,37,44,45,51
4,21,24,45
1,2,3,5,21,45
1,2,2121
6

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 17

活用例②

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 18

活用例②

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 19

活用例②
10.スマートデバイスの利用(1)管理目的
スマートデバイス(スマートフォン、タブレット)の利用に伴う、情報の漏えい、改ざん、破壊を防止するため(2)管理策①スマートデバイスの資産管理を行う②ジェイルブレイク、ルート化を禁止する③製造者及びキャリアの提供するパスコードロック、自動ロック、パスコード入力に失敗した場合のデータ消去、リモートワイプ、暗号化、ウイルス及び悪意のあるプログラムに対する対策機能は有効にしておく④有償、無償を問わず組織が許可したアプリケーション(ソフトウェア)のみ使用を許可する⑤有償、無償を問わず組織が許可したクラウドサービスのみ使用を許可する⑥スマートデバイス、アプリケーションの脆弱性情報を入手し、リリースされたセキュリティパッチは必ず適用する⑦社外でWi-Fi、赤外線、Bluetoothネットワークに接続する場合は、信頼できるネットワークのみ利用する⑧重要な情報をスマートデバイス以外にバックアップする手順を備える⑨スマートデバイスの使用ガイドライン(21)(22)(23)を定める。
(3)運用で心がけるポイント①位置情報とアプリケーション、スマートデバイスとクラウドサービス及びSNSとの自動連携機能の設定を確認し、意図しない連携を防止する②定期的にスマートデバイスの棚卸しを実施すると共に設定状況を確認し、セキュリティパッチの適応状況、許可アプリケーション以外使用されていないことを確認する(4)関連する管理項目
認証と権限、パッチの適用、記憶媒体の管理、暗号化、バックアップ、クラウドサービスの利用、SNSの利用

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 20

活用例②18.SNSの利用(1)管理目的
従業員が SNSを私的利用するに際し、企業情報の漏えいを防止すると共に、企業の信用失墜を防止するため。
(2)管理策①従業員がSNSを利用する場合の、勤務先名の記載可否、企業が持つ公開情報についての記載可否または記載範囲・記載条件、SNS上での顧客、取引先社員との交友方法、私的情報の記載内容、利用方法について、SNS使用ガイドライン(24)を定める(3)運用で心がけるポイント①使用デバイス(PC、スマートフォン、タブレット)とSNSの設定により、使用デバイス上のデータ、写真、位置情報とSNSが自動連携されることに注意する②SNSの設定変更、機能追加による情報漏えいに注意する③従業員の法律、公序良俗に違反するSNSの記載により、企業の信用失墜の可能性があることに注意する④SNSセキュリティ設定の問題により、SNSのアカウントが乗っ取られ、悪用される可能性のあることに注意する(4)関連する管理項目
認証、クラウドサービスの利用

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会Page 21

活用例②
NPO 日本ネットワークセキュリティ協会(JNSA)「スマートフォンの安全な利活用のすすめ～ スマートフォン利用ガイドライン ～」http://www.jnsa.org/result/2012/smap_guideline_v1.0.pdf
一般社団法人 日本スマートフォンセキュリティ協会(JSSEC)「スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン」
http://www.jssec.org/dl/guidelines2011_v1.1.pdf
一般社団法人 日本スマートフォンセキュリティ協会(JSSEC)「スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン 補足
資料」
http://www.jssec.org/dl/BYOD_BasicData2012_v1.0.pdf
NPO 日本ネットワークセキュリティ協会(JNSA)「SNSの安全な歩き方～セキュリティとプライバシーの課題と対策～」
http://www.jnsa.org/result/2012/SNS-WG_ver0.7.pdf
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 22

活用例②

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 23

9to5の公開出社してから退社するまで中小企業の情報セキュリティ対策実践手引き 2011年版
http://www.jnsa.org/result/2010/chusho_security_tebiki.html

2014年版もJNSA Webサイトで公開致します

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 24

対策課題• 従来の高リスクの課題– 企業外の情報資産、業務活動• 今後の高リスクの課題– 企業の資産外の情報機器– 業務外の従業員の活動

業務(会社)境界
管理境界
物理境界

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 25

最後に• 対策をおこなうための優先順位が必要!!
– リスクの起こる頻度– 業務の重要度– 業務で関連する情報の重要度 付録– 現状の対策レベル

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 26

ご清聴ありがとうございました。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 27

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 28