「中小企業向け情報セキュリティチェックシート」で現状把握の解説
嶋倉 文裕
富士通関西中部ネットテック株
JNSA西日本支部
２０１４年２月２１日

情報セキュリティチェックシートの利用目的

・現状における対策レベルを確認
・リスク度に応じた適切な対策を導く
認識した業務における起こりうるリスクを念頭に、現状の対策状況を確認
情報セキュリティチェックシート 2008年に第１版を公開（※）
9to5、ソリューションガイドとの関連付け、内容の見直し、構成の見直し※ http://www.jnsa.org/seminar/2008/1217nsf2008/data/1217-C2-01checksheetA3.xls

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 1

情報セキュリティチェックシートの構成①
２つの階層 上位層（９項目）と下位層（１８項目）-上位層
９項目
リスクとは関係なく、情報セキュリティ対策を持続的に行うためのフレームワーク
9to5では前提条件
サッカーだって・体制（役割、責任）・日本サッカー協会
各チーム、FIFA・ルール
・協会のﾙｰﾙ、FIFAﾙｰﾙ
・文書化
・実施状況の確認 など ・ﾙｰﾙの文書、通達
情報セキュリティ特有なことではない！

・各ﾁｰﾑのﾙｰﾙ遵守確認
ｸﾗﾌﾞﾗｲｾﾝｽ制 債務確認

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 2

情報セキュリティチェックシートの構成②
-上位層

９項目

1.情報セキュリティ基本方針
2.責任の明確化
3.職務の分離
4.委託先の管理
5.情報資産管理台帳
6.規程の文書化とレビュー
7.法令順守8.秘密保持9.情報セキュリティの確認

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 3

情報セキュリティチェックシートの構成③
-下位層
１８項目
情報セキュリティ対策とシステム管理
ISO27001管理策、システム管理基準（一部）ベース
1.セキュリティ境界と入退出管理

10.スマートデバイス New!

2.クラウドサービスの利用 New!

11.電子メールの利用

3.障害・事故管理

12.Webの開発管理

4.IT継続性

13.ログの取得

5.認証と権限

14.バックアップ

6.ネットワークのアクセス制限

15.容量・能力の管理

7.パッチの適用

16.変更管理

8.ウイルス及び悪意のあるプログラムに対する対策

17.構成管理

9.記憶媒体の管理

18.SNSの利用 New!

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 4

上位層の利用ポイント①No.

キーワード

管理目的

1 情報セキュリティ基本 経営陣の情報セキュ方針
リティへの取り組み、方向性を明確化し全組織がそれを共有し同じレベルで情報セキュリティに取り組む
ため

持続可能な計画に必要なフレームワークが確立
されていないことのリスク

判断基準

確認内容

対策の参考となる
サービス/製品
JNSAソリューションガイド

・組織としての情報セキュリティの取り組みがない ・経営陣の情報セキュリティの取り組み方針を含む情報セキュリ ①経営方針の中に情報セキュリティに関する記載が無い
・セキュリティ基本方針のため、取引先からの信頼を失う
ティ対策指針、基準の有無②経営方針の中に記載しており、社内にしか明示していない立案・維持(管理項目)
・個人毎に情報セキュリティ対策の遵守が異な・情報セキュリティ対策指針、基準の組織内、組織外への明示 ③経営方針の中に記載しており、社外にも明示している
り、対策が不十分なところで事故を起こしてしまう の有無④経営方針の中に記載し、社内外に明示しており、環境の変化・組織を取り巻く環境に合わせた情報セキュリティ基本方針の見 に合わせて方針を見直している
直し有無

キーワード
対策項目を一言で…
管理目的
対策の目的を明記
No.

キーワード

管理目的

1 情報セキュリティ基本 経営陣の情報セキュ方針
リティへの取り組み、方向性を明確化し全組織がそれを共有し同じレベルで情報セキュリティに取り組む
ため

持続可能な計画に必要なフレームワークが確立されていないことのリスク・組織としての情報セキュリティの取り組みがない
ため、取引先からの信頼を失う・個人毎に情報セキュリティ対策の遵守が異なり、対策が不十分なところで事故を起こしてしまうフレームワークがないことによる情報セキュリティ対策推進への弊害を解説

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 5上位層の利用ポイント②
No.

キーワード

管理目的

1 情報セキュリティ基本 経営陣の情報セキュ方針
リティへの取り組み、方向性を明確化し全組織がそれを共有し同じレベルで情報セキュリティに取り組む
ため

持続可能な計画に必要なフレームワークが確立されていないことのリスク

判断基準

確認内容

対策の参考となる
サービス/製品
JNSAソリューションガイド・組織としての情報セキュリティの取り組みがない ・経営陣の情報セキュリティの取り組み方針を含む情報セキュリ ①経営方針の中に情報セキュリティに関する記載が無い
・セキュリティ基本方針のため、取引先からの信頼を失うティ対策指針、基準の有無②経営方針の中に記載しており、社内にしか明示していない
立案・維持(管理項目)
・個人毎に情報セキュリティ対策の遵守が異な・情報セキュリティ対策指針、基準の組織内、組織外への明示 ③経営方針の中に記載しており、社外にも明示している
り、対策が不十分なところで事故を起こしてしまう の有無④経営方針の中に記載し、社内外に明示しており、環境の変化
・組織を取り巻く環境に合わせた情報セキュリティ基本方針の見 に合わせて方針を見直している
直し有無

判断基準

確認内容

対策の参考となる
サービス/製品
JNSAソリューションガイド

・経営陣の情報セキュリティの取り組み方針を含む情報セキュリ ①経営方針の中に情報セキュリティに関する記載が無い
・セキュリティ基本方針の
ティ対策指針、基準の有無②経営方針の中に記載しており、社内にしか明示していない
立案・維持(管理項目)
・情報セキュリティ対策指針、基準の組織内、組織外への明示 ③経営方針の中に記載しており、社外にも明示しているの有無④経営方針の中に記載し、社内外に明示しており、環境の変化
・組織を取り巻く環境に合わせた情報セキュリティ基本方針の見 に合わせて方針を見直している
直し有無

4段階での成熟度モデルで現状確認内容を明記

具体的に対策を検討するさいの参照先

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 6

現状評価の基準を明記

下位層の利用ポイント①
No.

キーワード

管理目的

対策をしていないことによるトラブル事象例

判断基準

確認内容

9-5紐付け・社内におけるセキュリティ境界の識別、アクセスコントロールポ ①セキュリティ設計・ゾーン管理をしていない
2 セキュリティエリアへのアクセス1【エリア分け】
1 セキュリティ境界と入退室 情報と情報機器への許可され ・従業員以外が従業員になりすまし入館する②セキュリティ設計・ゾーン管理はしているが、アクセスコントロールポリシーに基づ 3 セキュリティエリアへのアクセス2【入退出記録】ていないアクセスを防止する ・重要な情報を扱うエリア(室)への入退室記録が無 リシーの有無管理いたセキュリティ設計・ゾーン管理ではない22 共有サーバーの利用2【物理的アクセス】ため
く、情報漏えい発生時、誰がいつエリア(室)に入退し ・セキュリティ領域の設定有無例）執務エリアと一般人立ち入り可能な場所の分離③アクセスコントロールポリシーに基づいたセキュリティ設計・ゾーン管理をしている 30 訪問者との打ち合わせ1【訪問者の識別】
たのかわからない
サーバールームと執務エリアの分離④アクセスコントロールポリシーに基づいたセキュリティ設計・ゾーン管理をしてお 31 訪問者との打ち合わせ2【会議室の使用】・許可されていない者がセキュリティエリアに入り権・定期的なポリシー、セキュリティ境界の見直しの有無
り、定期的にポリシー、設計・ゾーン管理を見直している
限のない情報を閲覧する
・共有サーバーにアクセス権限を持たない者が直接サーバーにログインし、情報を閲覧する
・訪問者が重要な情報を閲覧する
・人の入退館、入退室の確認の有無①個人を識別した入退管理をしていない
1 入館
・ホワイトボードの消し忘れにより、重要な情報を訪・入退館、入退室のログ・記録の有無②個人を識別した入退管理をしているが、入退に関するログ・記録は残していない 22 共有サーバーの利用2【物理的アクセス】
問者が閲覧する・定期的な入退館、入退室対策の見直しの有無③個人を識別した入退管理をしており、入退に関するログ・記録も残している
30 訪問者との打ち合わせ1【訪問者の識別】・会議室に置き忘れた書類を訪問者が社外に持ち④個人を識別した入退管理をしており、入退に関するログ・記録も残している。さら出すに定期的に入退管理方法を見直している

No.

キーワード

管理目的

対策の参考となる
サービス/製品
JNSAソリューションガイド
情報セキュリティポリシーおよび情報セキュリ
ティ管理全般のコンサルテーション(サービス）

入退出管理を行いたい（利用シーン）対策をしていないことによるトラブル事象例

1 セキュリティ境界と入退室 情報と情報機器への許可され ・従業員以外が従業員になりすまし入館するていないアクセスを防止する ・重要な情報を扱うエリア(室)への入退室記録が無管理ためく、情報漏えい発生時、誰がいつエリア(室)に入退したのかわからない
・許可されていない者がセキュリティエリアに入り権限のない情報を閲覧する
・共有サーバーにアクセス権限を持たない者が直接サーバーにログインし、情報を閲覧する
・訪問者が重要な情報を閲覧する
・ホワイトボードの消し忘れにより、重要な情報を訪問者が閲覧する
・会議室に置き忘れた書類を訪問者が社外に持ち出す

キーワード
対策項目を一言で…
管理目的
対策の目的を明記
9to5の第1部の各管理項目と同じ対策をしていないことにより、おこりうる情報セキュリティ上のトラブル、インシデントを解説

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 7

下位層の利用ポイント②
No.

キーワード

管理目的

対策をしていないことによるトラブル事象例

判断基準

確認内容

9-5紐付け・社内におけるセキュリティ境界の識別、アクセスコントロールポ ①セキュリティ設計・ゾーン管理をしていない
2 セキュリティエリアへのアクセス1【エリア分け】
1 セキュリティ境界と入退室 情報と情報機器への許可され ・従業員以外が従業員になりすまし入館する②セキュリティ設計・ゾーン管理はしているが、アクセスコントロールポリシーに基づ 3 セキュリティエリアへのアクセス2【入退出記録】ていないアクセスを防止する ・重要な情報を扱うエリア(室)への入退室記録が無 リシーの有無管理いたセキュリティ設計・ゾーン管理ではない
22 共有サーバーの利用2【物理的アクセス】ため
く、情報漏えい発生時、誰がいつエリア(室)に入退し ・セキュリティ領域の設定有無例）執務エリアと一般人立ち入り可能な場所の分離③アクセスコントロールポリシーに基づいたセキュリティ設計・ゾーン管理をしている 30 訪問者との打ち合わせ1【訪問者の識別】
たのかわからない
サーバールームと執務エリアの分離④アクセスコントロールポリシーに基づいたセキュリティ設計・ゾーン管理をしてお 31 訪問者との打ち合わせ2【会議室の使用】・許可されていない者がセキュリティエリアに入り権・定期的なポリシー、セキュリティ境界の見直しの有無
り、定期的にポリシー、設計・ゾーン管理を見直している
限のない情報を閲覧する
・共有サーバーにアクセス権限を持たない者が直接サーバーにログインし、情報を閲覧する
・訪問者が重要な情報を閲覧する
・人の入退館、入退室の確認の有無①個人を識別した入退管理をしていない
1 入館
・ホワイトボードの消し忘れにより、重要な情報を訪・入退館、入退室のログ・記録の有無②個人を識別した入退管理をしているが、入退に関するログ・記録は残していない 22 共有サーバーの利用2【物理的アクセス】
問者が閲覧する・定期的な入退館、入退室対策の見直しの有無③個人を識別した入退管理をしており、入退に関するログ・記録も残している
30 訪問者との打ち合わせ1【訪問者の識別】・会議室に置き忘れた書類を訪問者が社外に持ち④個人を識別した入退管理をしており、入退に関するログ・記録も残している。さら出すに定期的に入退管理方法を見直している対策の参考となる
サービス/製品
JNSAソリューションガイド
情報セキュリティポリシーおよび情報セキュリ
ティ管理全般のコンサルテーション(サービス）

入退出管理を行いたい（利用シーン）

確認内容

判断基準

・社内におけるセキュリティ境界の識別、アクセスコントロールポ ①セキュリティ設計・ゾーン管理をしていない
リシーの有無②セキュリティ設計・ゾーン管理はしているが、アクセスコントロールポリシーに基づ・セキュリティ領域の設定有無いたセキュリティ設計・ゾーン管理ではない例）執務エリアと一般人立ち入り可能な場所の分離③アクセスコントロールポリシーに基づいたセキュリティ設計・ゾーン管理をしている
サーバールームと執務エリアの分離④アクセスコントロールポリシーに基づいたセキュリティ設計・ゾーン管理をしてお・定期的なポリシー、セキュリティ境界の見直しの有無
り、定期的にポリシー、設計・ゾーン管理を見直している

・人の入退館、入退室の確認の有無
・入退館、入退室のログ・記録の有無
・定期的な入退館、入退室対策の見直しの有無

現状評価の基準を明記①個人を識別した入退管理をしていない②個人を識別した入退管理をしているが、入退に関するログ・記録は残していない③個人を識別した入退管理をしており、入退に関するログ・記録も残している④個人を識別した入退管理をしており、入退に関するログ・記録も残している。さらに定期的に入退管理方法を見直している

４段階での成熟度モデルで現状確認内容を明記

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 8下位層の利用ポイント③
No.

キーワード

管理目的

対策をしていないことによるトラブル事象例

確認内容

判断基準

9-5紐付け・社内におけるセキュリティ境界の識別、アクセスコントロールポ ①セキュリティ設計・ゾーン管理をしていない
2 セキュリティエリアへのアクセス1【エリア分け】
1 セキュリティ境界と入退室 情報と情報機器への許可され ・従業員以外が従業員になりすまし入館する②セキュリティ設計・ゾーン管理はしているが、アクセスコントロールポリシーに基づ 3 セキュリティエリアへのアクセス2【入退出記録】ていないアクセスを防止する ・重要な情報を扱うエリア(室)への入退室記録が無 リシーの有無管理いたセキュリティ設計・ゾーン管理ではない
22 共有サーバーの利用2【物理的アクセス】ため
く、情報漏えい発生時、誰がいつエリア(室)に入退し ・セキュリティ領域の設定有無例）執務エリアと一般人立ち入り可能な場所の分離③アクセスコントロールポリシーに基づいたセキュリティ設計・ゾーン管理をしている 30 訪問者との打ち合わせ1【訪問者の識別】
たのかわからない
サーバールームと執務エリアの分離④アクセスコントロールポリシーに基づいたセキュリティ設計・ゾーン管理をしてお 31 訪問者との打ち合わせ2【会議室の使用】・許可されていない者がセキュリティエリアに入り権・定期的なポリシー、セキュリティ境界の見直しの有無
り、定期的にポリシー、設計・ゾーン管理を見直している
限のない情報を閲覧する
・共有サーバーにアクセス権限を持たない者が直接サーバーにログインし、情報を閲覧する
・訪問者が重要な情報を閲覧する
・人の入退館、入退室の確認の有無①個人を識別した入退管理をしていない
1 入館
・ホワイトボードの消し忘れにより、重要な情報を訪・入退館、入退室のログ・記録の有無②個人を識別した入退管理をしているが、入退に関するログ・記録は残していない 22 共有サーバーの利用2【物理的アクセス】
問者が閲覧する・定期的な入退館、入退室対策の見直しの有無③個人を識別した入退管理をしており、入退に関するログ・記録も残している
30 訪問者との打ち合わせ1【訪問者の識別】・会議室に置き忘れた書類を訪問者が社外に持ち④個人を識別した入退管理をしており、入退に関するログ・記録も残している。さら出すに定期的に入退管理方法を見直している

情報セキュリティポリシーおよび情報セキュリ
ティ管理全般のコンサルテーション(サービス）

入退出管理を行いたい（利用シーン）対策の参考となるサービス/製品
JNSAソリューションガイド

9-5紐付け2 セキュリティエリアへのアクセス1【エリア分け】
3 セキュリティエリアへのアクセス2【入退出記録】
22 共有サーバーの利用2【物理的アクセス】
30 訪問者との打ち合わせ1【訪問者の識別】
31 訪問者との打ち合わせ2【会議室の使用】

9to5の第2部と関連を明記
本対策が不十分なとき、具体的な業務に潜むリスクの確認先対策の参考となる
サービス/製品
JNSAソリューションガイド

情報セキュリティポリシーおよび情報セキュリ
ティ管理全般のコンサルテーション(サービス）

具体的に対策を検討するさいの参照先

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 9

判断基準、成熟度モデル

レベル４ 対策が有効か、確認を行う
レベル３ リスクを鑑み、ルールに基づき対策に取り組む、より確実に対策に取り組む
レベル２ とりあえず手をうった
レベル１ なにもしていない

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 10

対策立案時の参照先
成熟度モデルで現状把握、対策はどうすれば？
今回の変更で、参照先を明記
・ＪＮＳＡソリューションガイド
http://www.jnsa.org/JNSASolutionGuide/IndexAction.do

・JNSAすぐに使える情報セキュリティ お役立ちツール
http://www.jnsa.org/ikusei/form/05_00.html

中小企業情報セキュリティ対策促進事業にあわせて開設したサイト、基本的な解説もあり
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 11

情報セキュリティチェックシートから始める
PDCAサイクルのCで利用する
チェックシート
チェックシート

これまでの話
9to5から、自分たちの仕事のやり方に潜むリスクを認識、チェックシートで現状把握、対策検討
体系的にセキュリティ対策を行いたい方
チェックシートからリスクを認識、対策検討
9to5を参考に、業務のリスクをイメージする
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 12