NISD-K303-091C

政府機関の情報セキュリティ対策のための統一基準(第 4 版) (平成 21 年度修正)
解説書

内閣官房情報セキュリティセンター

NISD-K303-091C

NISD-K303-091C

目次
第 1 編 基本編 ...................................................................................................................... 1
第 1.1 部 総則 ....................................................................................................................... 1
1.1.1.1 本統一基準の位置付け ....................................................................................... 1(1)

政府機関の情報セキュリティ対策の強化における本統一基準の位置付け .. 1

(2)

本統一基準の改訂 ......................................................................................... 1(3)

法令等の遵守................................................................................................. 1

1.1.1.2 本統一基準の使い方 ........................................................................................... 2(1)

本統一基準と省庁対策基準との関係 ............................................................ 2(2)

適用対象範囲................................................................................................. 2(3)

全体構成 ........................................................................................................ 2(4)

対策項目の記載事項...................................................................................... 3(5)

対策レベルの設定 ......................................................................................... 3(6)

評価の方法 .................................................................................................... 4

1.1.1.3 情報の格付けの区分及び取扱制限の種類 .......................................................... 4(1)

格付け及び取扱制限...................................................................................... 4(2)

格付けの区分................................................................................................. 5(3)

取扱制限の種類 ............................................................................................. 7

1.1.1.4 用語定義 ............................................................................................................. 7
第 1.2 部 組織と体制の整備 ............................................................................................... 12
1.2.1 導入 ....................................................................................................................... 12
1.2.1.1 組織・体制の整備............................................................................................. 12
趣旨（必要性） ......................................................................................................... 12
遵守事項 .................................................................................................................... 12(1)

最高情報セキュリティ責任者の設置 .......................................................... 12(2)

情報セキュリティ委員会の設置 ................................................................. 12(3)

情報セキュリティ監査責任者の設置 .......................................................... 13(4)

情報セキュリティ責任者の設置 ................................................................. 13(5)

情報システムセキュリティ責任者の設置 ................................................... 14(6)

情報システムセキュリティ管理者の設置 ................................................... 15(7)課室情報セキュリティ責任者の設置 .......................................................... 15(8)

最高情報セキュリティアドバイザーの設置 ............................................... 16

1.2.1.2 役割の割当て .................................................................................................... 17
趣旨（必要性） ......................................................................................................... 17
遵守事項 .................................................................................................................... 17(1)

兼務を禁止する役割の規定 ......................................................................... 17(2)

上司による承認・許可 ................................................................................ 17

1.2.1.3 違反と例外措置 ................................................................................................ 18
趣旨（必要性） ......................................................................................................... 18
目次-1

NISD-K303-091C

遵守事項 .................................................................................................................... 18(1)

違反への対処............................................................................................... 18(2)

例外措置 ...................................................................................................... 19

1.2.2 運用 ....................................................................................................................... 22
1.2.2.1 情報セキュリティ対策の教育 .......................................................................... 22
趣旨（必要性） ......................................................................................................... 22
遵守事項 .................................................................................................................... 22(1)

情報セキュリティ対策の教育の実施 .......................................................... 22(2)

情報セキュリティ対策の教育の受講 .......................................................... 24

1.2.2.2 障害・事故等の対処 ......................................................................................... 24
趣旨（必要性） ......................................................................................................... 24
遵守事項 .................................................................................................................... 25(1)

障害・事故等の発生に備えた事前準備 ...................................................... 25(2)

障害・事故等の発生時における報告と応急措置 ........................................ 26(3)

障害・事故等の原因調査と再発防止策 ...................................................... 26

1.2.3 評価 ....................................................................................................................... 28
1.2.3.1 情報セキュリティ対策の自己点検 ................................................................... 28
趣旨（必要性） ......................................................................................................... 28
遵守事項 .................................................................................................................... 28(1)

自己点検に関する年度計画の策定 .............................................................. 28(2)

自己点検の実施に関する準備 ..................................................................... 29(3)

自己点検の実施 ........................................................................................... 29(4)

自己点検結果の評価.................................................................................... 29(5)

自己点検に基づく改善 ................................................................................ 30

1.2.3.2 情報セキュリティ対策の監査 .......................................................................... 30
趣旨（必要性） ......................................................................................................... 30
遵守事項 .................................................................................................................... 30(1)

監査計画の策定 ........................................................................................... 30(2)

監査の実施に関する指示 ............................................................................ 31(3)

個別の監査業務における監査実施計画の策定 ........................................... 31(4)

監査の実施に係る準備 ................................................................................ 32(5)

監査の実施 .................................................................................................. 33(6)

監査結果に対する対処 ................................................................................ 34

1.2.4 見直し.................................................................................................................... 36
1.2.4.1 情報セキュリティ対策の見直し ....................................................................... 36
趣旨（必要性） ......................................................................................................... 36
遵守事項 .................................................................................................................... 36(1)

情報セキュリティ対策の見直し ................................................................. 36

1.2.5 その他.................................................................................................................... 38
1.2.5.1 外部委託 ........................................................................................................... 38
目次-2

NISD-K303-091C

趣旨（必要性） ......................................................................................................... 38
適用範囲 .................................................................................................................... 38
遵守事項 .................................................................................................................... 38(1)

情報セキュリティ確保のための府省庁内共通の仕組みの整備 .................. 38(2)

委託先に実施させる情報セキュリティ対策の明確化................................. 39(3)

委託先の選定............................................................................................... 40(4)

外部委託に係る契約.................................................................................... 40(5)

外部委託の実施における手続 ..................................................................... 42(6)

外部委託終了時の手続 ................................................................................ 43

1.2.5.2 業務継続計画との整合的運用の確保 ............................................................... 44
趣旨（必要性） ......................................................................................................... 44
適用範囲 .................................................................................................................... 44
遵守事項 .................................................................................................................... 44(1)

業務継続計画と情報セキュリティ対策の整合性の確保 ............................. 44(2)

業務継続計画と情報セキュリティ関係規程の不整合の報告...................... 46

第 1.3 部 情報についての対策 ........................................................................................... 48
1.3.1 情報の取扱い ......................................................................................................... 48
1.3.1.1 情報の作成と入手............................................................................................. 48
趣旨（必要性） ......................................................................................................... 48
遵守事項 .................................................................................................................... 48(1)

業務以外の情報の作成又は入手の禁止 ...................................................... 48(2)

情報の作成又は入手時における格付けと取扱制限の決定 ......................... 48(3)

格付けと取扱制限の明示等 ......................................................................... 49(4)

格付けと取扱制限の加工時における継承 ................................................... 51

1.3.1.2 情報の利用 ....................................................................................................... 51
趣旨（必要性） ......................................................................................................... 51
遵守事項 .................................................................................................................... 51(1)

業務以外の利用の禁止 ................................................................................ 51(2)

格付け及び取扱制限に従った情報の取扱い ............................................... 52(3)

格付け及び取扱制限の複製時における継承 ............................................... 52(4)

格付け及び取扱制限の見直し ..................................................................... 52(5)

要保護情報の取扱い.................................................................................... 53

1.3.1.3 情報の保存 ....................................................................................................... 54
趣旨（必要性） ......................................................................................................... 54
遵守事項 .................................................................................................................... 55(1)

格付けに応じた情報の保存 ......................................................................... 55(2)

情報の保存期間 ........................................................................................... 57

1.3.1.4 情報の移送 ....................................................................................................... 57
趣旨（必要性） ......................................................................................................... 57
遵守事項 .................................................................................................................... 57
目次-3

NISD-K303-091C(1)

情報の移送に関する許可及び届出 .............................................................. 57(2)

情報の送信と運搬の選択 ............................................................................ 58(3)

移送手段の決定 ........................................................................................... 58(4)

書面の保護対策 ........................................................................................... 58(5)

電磁的記録の保護対策 ................................................................................ 59

1.3.1.5 情報の提供 ....................................................................................................... 60
趣旨（必要性） ......................................................................................................... 60
遵守事項 .................................................................................................................... 60(1)

情報の公表 .................................................................................................. 60(2)

他者への情報の提供.................................................................................... 61

1.3.1.6 情報の消去 ....................................................................................................... 62
趣旨（必要性） ......................................................................................................... 62
遵守事項 .................................................................................................................... 62(1)

電磁的記録の消去方法 ................................................................................ 62(2)

書面の廃棄方法 ........................................................................................... 63

第 1.4 部 情報処理についての対策 .................................................................................... 65
1.4.1 情報処理の制限 ..................................................................................................... 65
1.4.1.1 府省庁外での情報処理の制限 .......................................................................... 65
趣旨（必要性） ......................................................................................................... 65
遵守事項 .................................................................................................................... 65(1)

安全管理措置についての規定の整備 .......................................................... 65(2)

許可及び届出の取得及び管理 ..................................................................... 65(3)

安全管理措置の遵守.................................................................................... 68

1.4.1.2 府省庁支給以外の情報システムによる情報処理の制限 .................................. 69
趣旨（必要性） ......................................................................................................... 69
遵守事項 .................................................................................................................... 69(1)

安全管理措置についての規定の整備 .......................................................... 69(2)

許可及び届出の取得及び管理 ..................................................................... 69(3)

安全管理措置の遵守.................................................................................... 71

第 1.5 部 情報システムについての基本的な対策 .............................................................. 72
1.5.1 情報システムのセキュリティ要件 ........................................................................ 72
1.5.1.1 情報システムのセキュリティ要件 ................................................................... 72
趣旨（必要性） ......................................................................................................... 72
遵守事項 .................................................................................................................... 72(1)

情報システムの計画.................................................................................... 72(2)

情報システムの構築・運用 ......................................................................... 75(3)

情報システムの移行・廃棄 ......................................................................... 75(4)

情報システムの見直し ................................................................................ 75

1.5.2 情報システムに係る規定の整備と遵守................................................................. 76
1.5.2.1 情報システムに係る文書及び台帳整備 ............................................................ 76
目次-4

NISD-K303-091C

趣旨（必要性） ......................................................................................................... 76
遵守事項 .................................................................................................................... 76(1)

情報システムの文書整備 ............................................................................ 76(2)

情報システムの台帳整備 ............................................................................ 78

1.5.2.2 機器等の購入 .................................................................................................... 79
趣旨（必要性） ......................................................................................................... 79
適用範囲 .................................................................................................................... 79
遵守事項 .................................................................................................................... 79(1)

機器等の購入に係る規定の整備 ................................................................. 79(2)

機器等の購入に係る規定の遵守 ................................................................. 80

1.5.2.3 ソフトウェア開発............................................................................................. 81
趣旨（必要性） ......................................................................................................... 81
遵守事項 .................................................................................................................... 81(1)

ソフトウェア開発に係る規定の整備 .......................................................... 81(2)

ソフトウェア開発に係る規定の遵守 .......................................................... 85

1.5.2.4 暗号と電子署名の標準手順 .............................................................................. 85
趣旨（必要性） ......................................................................................................... 85
遵守事項 .................................................................................................................... 86(1)

暗号と電子署名に係る規定の整備 .............................................................. 86(2)

暗号と電子署名に係る規定の遵守 .............................................................. 88

1.5.2.5 府省庁外の情報セキュリティ水準の低下を招く行為の防止 ........................... 88
趣旨（必要性） ......................................................................................................... 88
遵守事項 .................................................................................................................... 89(1)

措置についての規定の整備 ......................................................................... 89(2)

規定の遵守 .................................................................................................. 90

1.5.2.6 ドメイン名の使用についての対策 ................................................................... 91
趣旨（必要性） ......................................................................................................... 91
遵守事項 .................................................................................................................... 91(1)

ドメイン名の使用についての規定の整備 ................................................... 91(2)

ドメイン名の使用についての規定の遵守 ................................................... 94

1.5.2.7 不正プログラム感染防止のための日常的実施事項 ......................................... 94
趣旨（必要性） ......................................................................................................... 94
遵守事項 .................................................................................................................... 94(1)

不正プログラム対策に係る規定の整備 ...................................................... 94(2)

不正プログラム対策に係る規定の遵守 ...................................................... 96

第 2 編 情報システム編 ...................................................................................................... 97
第 2.1 部 情報セキュリティ要件の明確化に基づく対策 ................................................... 97
2.1.1 情報セキュリティについての機能 ........................................................................ 97
2.1.1.1 主体認証機能 .................................................................................................... 97
趣旨（必要性） ......................................................................................................... 97
目次-5

NISD-K303-091C

遵守事項 .................................................................................................................... 97(1)

主体認証機能の導入.................................................................................... 97(2)

識別コードの管理 ..................................................................................... 102(3)

主体認証情報の管理.................................................................................. 104

2.1.1.2 アクセス制御機能........................................................................................... 106
趣旨（必要性） ....................................................................................................... 106
遵守事項 .................................................................................................................. 106(1)

アクセス制御機能の導入 .......................................................................... 106(2)

適正なアクセス制御.................................................................................. 107

2.1.1.3 権限管理機能 .................................................................................................. 108
趣旨（必要性） ....................................................................................................... 108
遵守事項 .................................................................................................................. 108(1)

権限管理機能の導入.................................................................................. 108(2)

識別コードと主体認証情報の付与管理 .................................................... 109(3)

識別コードと主体認証情報における代替手段等の適用 ............................ 111

2.1.1.4 証跡管理機能 ...................................................................................................112
趣旨（必要性） ........................................................................................................112
遵守事項 ...................................................................................................................112(1)

証跡管理機能の導入...................................................................................112(2)

証跡の取得と保存 ......................................................................................115(3)

取得した証跡の点検、分析及び報告 .........................................................116(4)

証跡管理に関する利用者への周知 .............................................................117

2.1.1.5 保証のための機能............................................................................................117
趣旨（必要性） ........................................................................................................117
遵守事項 ...................................................................................................................117(1)

保証のための機能の導入 ...........................................................................117

2.1.1.6 暗号と電子署名（鍵管理を含む） ..................................................................118
趣旨（必要性） ........................................................................................................118
遵守事項 ...................................................................................................................119(1)

暗号化機能及び電子署名機能の導入 .........................................................119(2)

暗号化及び電子署名に係る管理 ............................................................... 120

2.1.2 情報セキュリティについての脅威 ...................................................................... 122
2.1.2.1 セキュリティホール対策................................................................................ 122
趣旨（必要性） ....................................................................................................... 122
遵守事項 .................................................................................................................. 122(1)

情報システムの構築時 .............................................................................. 122(2)

情報システムの運用時 .............................................................................. 123

2.1.2.2 不正プログラム対策 ....................................................................................... 124
趣旨（必要性） ....................................................................................................... 124
遵守事項 .................................................................................................................. 125
目次-6

NISD-K303-091C(1)

情報システムの構築時 .............................................................................. 125(2)

情報システムの運用時 .............................................................................. 126

2.1.2.3 サービス不能攻撃対策 ................................................................................... 126
趣旨（必要性） ....................................................................................................... 126
遵守事項 .................................................................................................................. 127(1)

情報システムの構築時 .............................................................................. 127(2)

情報システムの運用時 .............................................................................. 129

2.1.2.4 踏み台対策 ..................................................................................................... 129
趣旨（必要性） ....................................................................................................... 129
遵守事項 .................................................................................................................. 129(1)

情報システムの構築時 .............................................................................. 129(2)

情報システムの運用時 .............................................................................. 130

第 2.2 部 情報システムの構成要素についての対策 ........................................................ 131
2.2.1 施設と環境 .......................................................................................................... 131
2.2.1.1 電子計算機及び通信回線装置を設置する安全区域 ....................................... 131
趣旨（必要性） ....................................................................................................... 131
遵守事項 .................................................................................................................. 131(1)

立入り及び退出の管理 .............................................................................. 131(2)

訪問者及び受渡業者の管理 ....................................................................... 132(3)電子計算機及び通信回線装置のセキュリティ確保 .................................. 134(4)

安全区域内のセキュリティ管理 ............................................................... 135(5)

災害及び障害への対策 .............................................................................. 136

2.2.2 電子計算機 .......................................................................................................... 137
2.2.2.1 電子計算機共通対策 ....................................................................................... 137
趣旨（必要性） ....................................................................................................... 137
遵守事項 .................................................................................................................. 137(1)

電子計算機の設置時.................................................................................. 137(2)電子計算機の運用時.................................................................................. 138(3)電子計算機の運用終了時 .......................................................................... 138

2.2.2.2 端末 ................................................................................................................ 138
趣旨（必要性） ....................................................................................................... 138
遵守事項 .................................................................................................................. 139(1)

端末の設置時............................................................................................. 139(2)

端末の運用時............................................................................................. 140

2.2.2.3 サーバ装置 ..................................................................................................... 141
趣旨（必要性） ....................................................................................................... 141
遵守事項 .................................................................................................................. 141(1)

サーバ装置の設置時.................................................................................. 141(2)

サーバ装置の運用時.................................................................................. 142

2.2.3 アプリケーションソフトウェア.......................................................................... 144
目次-7

NISD-K303-091C

2.2.3.1 電子メール ..................................................................................................... 144
趣旨（必要性） ....................................................................................................... 144
遵守事項 .................................................................................................................. 144(1)

電子メールの導入時.................................................................................. 144(2)

電子メールの運用時.................................................................................. 144

2.2.3.2 ウェブ ............................................................................................................. 145
趣旨（必要性） ....................................................................................................... 145
遵守事項 .................................................................................................................. 145(1)

ウェブの導入時 ......................................................................................... 145(2)

ウェブの運用時 ......................................................................................... 146

2.2.3.3 ドメインネームシステム（DNS） ................................................................ 148
趣旨（必要性） ....................................................................................................... 148
遵守事項 .................................................................................................................. 148(1)

DNSの導入時 ............................................................................................ 148(2)

DNSの運用時 ............................................................................................ 149

2.2.4 通信回線 .............................................................................................................. 151
2.2.4.1 通信回線共通対策........................................................................................... 151
趣旨（必要性） ....................................................................................................... 151
遵守事項 .................................................................................................................. 151(1)通信回線の構築時 ..................................................................................... 151(2)通信回線の運用時 ..................................................................................... 153(3)通信回線の運用終了時 .............................................................................. 154

2.2.4.2 府省庁内通信回線の管理................................................................................ 155
趣旨（必要性） ....................................................................................................... 155
遵守事項 .................................................................................................................. 155(1)

府省庁内通信回線の構築時 ....................................................................... 155(2)

府省庁内通信回線の運用時 ....................................................................... 155(3)回線の対策 ................................................................................................ 156

2.2.4.3 府省庁外通信回線との接続 ............................................................................ 157
趣旨（必要性） ....................................................................................................... 157
遵守事項 .................................................................................................................. 157(1)

府省庁内通信回線と府省庁外通信回線との接続時 .................................. 157(2)

府省庁外通信回線と接続している府省庁内通信回線の運用時 ................ 158

第 2.3 部 個別事項についての対策 .................................................................................. 159
2.3.1 その他.................................................................................................................. 159
2.3.1.1 情報システムへのIPv6 技術の導入における対策.......................................... 159
趣旨（必要性） ....................................................................................................... 159
遵守事項 .................................................................................................................. 159(1)

IPv6 移行機構がもたらす脆弱性対策....................................................... 159(2)

意図しないIPv6 通信の抑止と監視 .......................................................... 160
目次-8

NISD-K303-091C

A.1 解説書別添資料
A.1.1 組織・体制イメージ図
A.1.2 取扱制限の種類に係る付表例
A.1.3 情報セキュリティ対策に関する政府決定等
A.1.4 用語解説

目次-9

NISD-K303-091C

第1編

基本編

第 1.1 部

総則

1.1.1.1 本統一基準の位置付け(1)

政府機関の情報セキュリティ対策の強化における本統一基準の位置付け
各府省庁の情報セキュリティの確保については、各府省庁が自らの責任において対策を講じていくことが原則である。しかし、政府機関全体の情報セキュリティ対策を強化・拡充するためには、「政府機関の情報セキュリティ対策の強化に関する基本方針（平成１７年９月１５日付情報セキュリティ政策会議決定）」に基づき、政府機関が行うべき情報セキュリティ対策の統一的な枠組みを構築し、各府省庁の情報セキュリティ水準の斉一的な引上げを図ることが必要である。そこで本統一基準は、この政府機関統一的な枠組みの中で、各府省庁が情報セキュリティの確保のために採るべき対策、及びその水準を更に高めるための対策の基準を定めたものである。

(2)

本統一基準の改訂
情報セキュリティの水準を適切に維持していくためには、状況の変化を的確にとらえ、それに応じて情報セキュリティ対策の見直しを図ることが重要である。本統一基準については、これを各府省庁においてそれぞれの府省庁の特性を踏まえた上で省庁対策基準
及び実施手順の整備に活用し、また情報セキュリティ対策の評価に使用することにより、
本統一基準の内容を追加・修正等すべきことが明らかになることが考えられる。また、情報技術の進歩に応じて、本統一基準に記載する情報セキュリティ対策を変更することも必要となり得る。
このため、本統一基準の見直しを定期的に行い、必要に応じて項目の追加やその内容の充実等を図ることによって、その適用性を将来にわたり維持するものとする。また、各府省庁においては、本統一基準が更新された場合、その内容を省庁対策基準に適切に反映させる必要がある。

(3)

法令等の遵守
情報及び情報システムの取扱いに関しては、法令及び規則等（以下「関連法令等」という。
）においても規定されているため、情報セキュリティ対策を実施する際には、本統一基準のほか関連法令等を遵守しなければならない。なお、これらの関連法令等は情報セキュリティ対策にかかわらず当然に遵守すべきものであるため、本統一基準では、
あえて関連法令等の遵守について明記していない。また、情報セキュリティ対策に係る内容について定めた既存の政府決定等についても同様に遵守すること。
解説：既存の政府決定等については本書別添資料 A.1.3 を参照。

1

NISD-K303-091C

1.1.1.2 本統一基準の使い方(1)

本統一基準と省庁対策基準との関係
本統一基準は、すべての府省庁が情報セキュリティの確保のために採るべき対策、及びその水準を更に高めるための対策の基準を定めたものである。
各府省庁においては、本統一基準で定められた以上の情報セキュリティ確保を目標として、現行の情報セキュリティ関係規程について必要な見直しを行うものとする。したがって、各府省庁において、本統一基準で定められている内容を合理的な理由なく省庁対策基準に反映させないということはあってはならない。各府省庁は、各府省庁の特性を踏まえつつ、省庁対策基準に盛り込むべき内容を決定し、本統一基準を直接参照する、
本統一基準をそのまま取り込む、又は構成や表現を変えて盛り込む等の方法により適切に反映させるものとする。

(2)

適用対象範囲本統一基準が適用される対象範囲を以下のように定める。
(a) 本統一基準は、「情報」を守ることを目的に作成されている。本統一基準において「情報」とは、情報システム内部に記録された情報、情報システム外部の電磁的記録媒体に記録された情報及び情報システムに関係がある書面に記載された情報をいう。したがって、作業途上の文書も適用対象であり、書面に記載された情報には、電磁的に記録されている情報を記載した書面（情報システムに入力された情報を記載した書面、情報システムから出力した情報を記載した書面）及び情報システムに関する設計書が含まれる。
(b) 本統一基準は、行政事務従事者に適用される。本統一基準において「行政事務従事者」とは、政府職員及びそれぞれの府省庁の指揮命令に服している者のうち、それぞれの府省庁の管理対象である情報及び情報システムを取り扱う者をいう。
(c) 本統一基準において「府省庁」とは、内閣官房、内閣法制局、人事院、内閣府、
宮内庁、公正取引委員会、国家公安委員会（警察庁）、金融庁、消費者庁、総務省、法務省、外務省、財務省、文部科学省、厚生労働省、農林水産省、経済産業省、国土交通省、環境省及び防衛省をいう。

(3)

全体構成
本統一基準は、編、部、節及び項の４つの階層によって構成される。
本統一基準は、情報セキュリティ対策を「基本編」、「情報システム編」に編として分類しており、基本編では組織全体で情報セキュリティ対策を推進する組織・体制の整備、
情報のライフサイクルの各段階における情報セキュリティ対策、情報システムに関連のある規程類の整備等について遵守すべき事項を定めており、情報システム編は技術的な内容であり改訂頻度が高いものとして情報システムに求められるセキュリティ要件等について遵守すべき事項を定めている。
基本編では、「総則」、「組織と体制の整備」、「情報についての対策」、「情報処理についての対策」、「情報システムについての基本的な対策」を、情報システム編では、「情2

NISD-K303-091C

報セキュリティ要件の明確化に基づく対策」、「情報システムの構成要素についての対策」、「個別事項についての対策」を部としてそれぞれ分類している。
さらにそれぞれの部において、内容に応じて節として対策項目に分け、その下に項として対策基準を定めている。具体的には以下のとおり。
(a) 「組織と体制の整備」では、組織全体として情報セキュリティ対策を実施するに当たり、実施体制や評価手順、違反や例外措置など、組織としての運用に関係する各職員の権限と責務を明確にするために整備すべき事項を定めている。
(b) 「情報についての対策」では、情報の作成、利用、保存、移送、提供及び消去等といった情報のライフサイクルに着目し、各段階において各職員が情報を保護するために業務の中で常に実施すべき事項を定めている。
(c) 「情報処理についての対策」では、府省庁外での情報処理及び府省庁支給以外の情報システムによる情報処理において制限すべき事項を定めている。
(d) 「情報システムについての基本的な対策」では、情報システム編で定められる遵守事項が適切に実施されるように、情報システムの計画、構築、運用、移行、廃止及び見直しといった情報システムのライフサイクルの各段階において実施すべ
き事項と、情報システムに係る情報セキュリティを確保するために規定として整備すべき事項を定めている。
(e) 「情報セキュリティ要件の明確化に基づく対策」では、情報システムにおいて、アクセス制御の観点など導入すべきセキュリティ機能を示すとともに、セキュリ
ティホール、不正プログラム及びサービス不能攻撃等の脅威を防ぐために、情報システムにおいて実施すべき事項を定めている。
(f)「情報システムの構成要素についての対策」では、電子計算機及び通信回線等の個別の情報システムの特性及びライフサイクルの観点から、情報システムにおいて実施すべき事項を定めている。

(g) 「個別事項についての対策」では、新たな技術の導入等に際し特に情報セキュリ
ティ上の配慮が求められる個別事象に着目し、遵守すべき事項を定めている。
(4)

対策項目の記載事項
本統一基準では、各府省庁が行うべき対策基準について、対策項目ごとに遵守事項を
示す。

(5)

対策レベルの設定
情報セキュリティ対策においては、対象となる情報資産の重要性や取り巻く脅威の大きさによって、必要とされる対策は一様ではない。また、該当する情報システム及び業務の特性に応じて、各対策項目で適切な強度の対策を実施すべきである。したがって、
本統一基準においては、各対策項目で対策の強度に段階を設け、採るべき遵守事項を定めている。この段階を「対策レベル」と呼び、以下のように定義する。
(a) 「基本遵守事項」は、保護すべき情報とこれを取り扱う情報システムにおいて、必須として実施すべき対策事項(b) 「強化遵守事項」は、特に重要な情報とこれを取り扱う情報システムにおいて、
3

NISD-K303-091C

各府省庁において、その事項の必要性の有無を検討し、必要と認められるときに選択して実施すべき対策事項
以上より、各府省庁は、基本遵守事項以上の対策を実施することとなるが、当該情報システム及び業務の特性を踏まえ、リスクを十分に勘案した上で、対策項目ごとに適切な対策レベルを選択しなければならない。
(6)

評価の方法
情報セキュリティ対策は、一過性のものとはせず、遅滞なく継続的に取組みを実施できるものであることが重要である。したがって、各府省庁においては本統一基準に基づ
き、定期的又は事案等の発生の状況に応じて情報セキュリティ監査を行い、以下のことを確認する必要がある。
(a) 省庁対策基準が統一基準に準拠した内容となっていること。
（設計の準拠性確認）(b) 実際の運用が省庁対策基準に準拠していること。
（運用の準拠性確認）(c) 省庁対策基準の内容がリスクに応じて適切であること、効率的な内容であること、あるいは実現困難な内容となっていないこと。(設計の妥当性確認)(d) 実際の運用がリスクに応じて有効で効率的であること。
（運用の妥当性確認）
特に、各府省庁の情報セキュリティ監査においては、設計及び運用の準拠性確認をその第一の目的とする。ただし、監査の過程において、設計及び運用の妥当性に関連して改善すべきと思われる点が発見された場合には、それを要検討事項にすることが望ましい。なお、本統一基準においては、実施すべき者を具体的に示して遵守事項を定めているため、対策の実施状況については各自の役割に応じた自己点検を実施することとする。
情報セキュリティ対策においては、各自がそれぞれの役割を十分に実行することが不可欠であり、各自における対策の実効性を確保するために、自己点検を活用するものである。したがって、各府省庁が監査を行う際には、その自己点検の適正さを確認し、運用の準拠性確認に用いるものとする。
また、情報セキュリティ対策の実施については、原則として、各府省庁の責任において運用することが大前提であるが、政府機関全体としての情報セキュリティ対策推進の観点から、各府省庁は対策の実施状況及び監査結果について内閣官房情報セキュリティ
センターに報告を行うこととする。さらに、内閣官房情報セキュリティセンターは、本統一基準に関する評価指標に基づき、各府省庁の情報セキュリティ関係規程の整備状況
及び対策実施状況について定期的又は必要に応じて検査し、評価することとする。なお、対象となる情報システムの範囲については内閣官房情報セキュリティセンターが各府省庁と協議して定めるものとする。

1.1.1.3 情報の格付けの区分及び取扱制限の種類(1)

格付け及び取扱制限
行政事務で取り扱う情報については、その目的や用途により、取扱いに慎重を要する
度合いは様々であり、その重要性に応じた適切な措置を講じ、確実に情報セキュリティ
4

NISD-K303-091Cを確保するために、情報の格付けの区分及び取扱制限の種類を定めるものとする。
情報の格付け及び取扱制限は、その作成者又は入手者が、当該情報をどのように取り扱うべきと考えているのかを他の者に認知させ、当該情報の重要性や講ずべき情報セキ
ュリティ対策を明確にするための手段であることから、適切に実施される必要がある。
また、情報の格付け及び取扱制限を実施することで、情報の利用者に対し、日々の情報セキュリティ対策の意識を向上させることができる。具体的には、情報を作成又は入手するたびに格付け及び取扱制限の判断を行い、情報を取り扱うたびに格付け及び取扱制限に従った対策を講ずることで、情報と情報セキュリティ対策が不可分であることについての認識を継続的に維持する効果も生ずるため、行政事務従事者にその内容を理解し遵守するように周知すること。
解説：情報の格付け及び取扱制限の実施方法については、「行政機関の保有する情報の公開に関する法律」（以下「情報公開法」という。
）に基づく各府
省庁における「処分に係る審査基準」や文書管理規程などを参考に決めるとよい。
なお、情報の格付け及び取扱制限については、各府省庁における情報セ
キュリティ対策基準の施行日以後に作成又は入手したすべての情報について適用するものであり、施行日前に作成又は入手した情報について一括して処理することを求めていない。しかし、施行日前に作成又は入手した情報についても、適宜その指定を行うことが望ましいことから、当該情報を施行日以後取り扱う際に、格付け及び取扱制限を行う必要がある。
(2)

格付けの区分
情報について、機密性、完全性、可用性の３つの観点を区別し、それぞれにつき格付けの区分の定義を示す。
格付けとしては、以下に記載のものを本統一基準の遵守事項で用いるが、各府省庁において、適宜変更又は追加して構わない。しかし、変更又は追加する場合には、各府省庁の対策基準における格付け区分と遵守事項との関係が本統一基準での関係と同等以上となるように準拠しなければならない。また、変更又は追加した場合には、他の府省庁との情報のやりとりをする際に、自身の格付け区分が本統一基準で用いた格付け区分とどのように対応するかを伝達する方法について定めなければならない。例えば、他の府省庁に情報を提供する際に、本統一基準で用いた格付け区分を記載する方法が考えられる。
(a) 情報の格付けの区分は、機密性、完全性、可用性について、それぞれ以下のとお
りとする。

5

NISD-K303-091C

機密性についての格付けの定義
格付けの区分分類の基準

機密性３情報行政事務で取り扱う情報のうち、秘密文書に相当する機密性を要する情報

機密性２情報行政事務で取り扱う情報のうち、秘密文書に相当する機密性は要しないが、漏えいにより、国民の権利が侵害され又は行政事務の遂行に支障を及ぼすおそれがある情報

機密性１情報機密性２情報又は機密性３情報以外の情報

なお、機密性２情報及び機密性３情報を「要機密情報」という。
解説：機密性の格付けについては、文書管理規程上の秘密文書に相当する機密性を要する情報であり、行政事務従事者のうち、特定の者だけがアクセスできる状態を厳密に確保されるべき情報は機密性３情報に、秘密文書には相当しないが、情報公開法に基づく処分に係る審査基準で不開示情報に該当すると考えられる情報であり、行政事務従事者以外がアクセスできない状態を最低限確保されるべき情報は機密性２情報に、それ以外の情報には、機密性１情報に決定することを基本とする。
例えば、従来「取扱注意」などと表示されてきたような資料は、機密性２情報に決定することが考えられるが、その内容によっては、機密性１
情報に決定した上で取扱制限を決定するので十分な場合も考えられる。
完全性についての格付けの定義
格付けの区分

分類の基準

完全性２情報行政事務で取り扱う情報（書面を除く。）のうち、改ざん、
誤びゅう又は破損により、国民の権利が侵害され又は行政事務の適確な遂行に支障（軽微なものを除く。）を及ぼ
すおそれがある情報

完全性１情報完全性２情報以外の情報（書面を除く。
）

なお、完全性２情報を「要保全情報」という。
解説：完全性の格付けについては、情報が改ざん、誤びゅう又は破損されていない状態を確保されるべき情報は完全性２情報に、それ以外の情報は、完全性１情報に決定することを基本とする。
例えば、原本に相当する情報を完全性２情報に、複製に相当する情報（例
えば、電子メールに添付されるファイルなど）を完全性１情報に決定することなどが考えられる。

6

NISD-K303-091C

可用性についての格付けの定義
格付けの区分

分類の基準

可用性２情報行政事務で取り扱う情報（書面を除く。
）のうち、その滅失、紛失又は当該情報が利用不可能であることにより、国民の権利が侵害され又は行政事務の安定的な遂行に支障（軽微なものを除く。）を及ぼすおそれがある情報をいう。

可用性１情報可用性２情報以外の情報（書面を除く。
）

なお、可用性２情報を「要安定情報」という。
また、要機密情報、要保全情報及び要安定情報を「要保護情報」という。
解説：可用性の格付けについては、情報が滅失又は紛失されていない状態及び情報へのアクセスを認められた者が、必要時に中断することなく、情報及び関連資産にアクセスできる状態を確保されるべき情報は可用性２情報に、それ以外の情報は可用性１情報に決定することを基本とする。
なお、可用性２情報に決定した場合には、取扱制限を併用して、どの程度の可用性が必要かを決定することが望ましい。
(3)

取扱制限の種類
情報について、機密性、完全性、可用性の３つの観点を区別し、それぞれにつき取扱制限の種類の基本的な定義を行う。「取扱制限」とは、情報の取扱いに関する制限であって、複製禁止、持出禁止、配付禁止、暗号化必須、読後廃棄その他情報の適正な取扱いを確実にするための手段をいう。
(a) 情報の取扱制限の種類は、機密性、完全性、可用性について、それぞれ定めるものとする。ただし、これら以外の取扱制限の種類を適宜用いることができる。
解説：付表を用いて定める場合の例については本書別添資料 A.1.2 取扱制限の種類に係る付表例を参照。

1.1.1.4 用語定義
【あ】

「アクセス制御」とは、主体によるアクセスを許可する客体を制限することをいう。

「安全区域」とは、電子計算機及び通信回線装置を設置した事務室又はサーバルーム
等の内部であって、部外者の侵入や自然災害の発生等を原因とする情報セキュリティの侵害に対して、施設及び環境面から対策が講じられている区域をいう。

「委託先」とは、情報システムに関する計画、構築、運用等の情報処理業務の一部又は全部を請け負った者をいう。

「受渡業者」とは、安全区域内で職務に従事する行政事務従事者との物品の受渡しを
7

NISD-K303-091C目的とした者をいう。物品の受渡しとしては、宅配便の集配、事務用品の納入等が考
えられる。
【か】


「外部委託」とは、情報システムに関する計画、構築、運用等の情報処理業務の一部又は全部を府省庁外の者に請け負わせることをいう。

「可用性」とは、情報へのアクセスを認められた者が、必要時に中断することなく、
情報及び関連資産にアクセスできる状態を確保することをいう。

「完全性」とは、情報が破壊、改ざん又は消去されていない状態を確保することをいう。

「機器等」とは、情報機器等及びソフトウェアをいう。

「機密性」とは、情報に関して、アクセスを認められた者だけがこれにアクセスできる状態を確保することをいう。

「共用識別コード」とは、複数の主体が共用することを想定した識別コードをいう。
原則として、１つの識別コードは１つの主体のみに対して付与されるものであるが、情報システム上の制約や、利用状況などを考慮して、１つの識別コードを複数の主体で共用する場合もある。このように共用される識別コードを共用識別コードという。

「記録媒体」とは、情報が記録され、又は記載されるものをいう。なお、記録媒体には、書面、書類その他文字、図形等人の知覚によって認識することができる情報が記載された紙その他の有体物（以下「書面」という。
）と、電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録であって、電子計
算機による情報処理の用に供されるもの（以下「電磁的記録」という。）に係る記録媒体（以下「電磁的記録媒体」という。）がある。また、電磁的記録媒体には、電子計算機や通信回線装置に内蔵される内蔵電磁的記録媒体と外付けハードディスク、ＣＤ－
Ｒ、ＤＶＤ、MO、USB メモリ、フラッシュメモリ等の外部電磁的記録媒体がある。

「権限管理」とは、主体認証に係る情報（識別コード及び主体認証情報を含む。
）及びアクセス制御における許可情報を管理することをいう。

「公開されたセキュリティホール」とは、誰もが知り得る状態に置かれているセキュ
リティホールのことであり、ソフトウェアやハードウェアの製造・提供元等から公表されたセキュリティホール、又は JPCERT コーディネーションセンター等のセキュリ
ティ関連機関から公表されたセキュリティホールが該当する。

【さ】
「サービス」とは、サーバ装置上で動作しているアプリケーションにより、接続してきた電子計算機に対して提供される単独又は複数の機能で構成される機能群をいう。

「最少特権機能」とは、管理者権限を実行できる範囲を管理作業に必要な最少の範囲に制限する機能をいう。

「識別」とは、情報システムにアクセスする主体を特定することをいう。

「識別コード」とは、主体を識別するために、情報システムが認識するコード（符号）をいう。代表的な識別コードとして、ユーザ ID が挙げられる。
8

NISD-K303-091C

「重要な設計書」とは、情報システムに関する設計書のうち、当該情報システムの適切な管理に必要なものであり、その紛失、漏えい等により、行政事務の遂行に支障を及ぼすものをいう。

「主体」とは、情報システムにアクセスする者や、他の情報システム及び装置等をいう。主体は、主として、人である場合を想定しているが、複数の情報システムや装置が連動して動作する場合には、情報システムにアクセスする主体として、他の情報シ
ステムや装置も含めるものとする。

「主体認証」とは、識別コードを提示した主体が、その識別コードを付与された主体、
すなわち正当な主体であるか否かを検証することをいう。識別コードとともに正しい方法で主体認証情報が提示された場合に主体認証ができたものとして、情報システム
はそれらを提示した主体を正当な主体として認識する。なお、「認証」という用語は、
公的又は第三者が証明するという意味を持つが、本統一基準における「主体認証」については、公的又は第三者による証明に限るものではない。

「主体認証情報」とは、主体認証をするために、主体が情報システムに提示する情報をいう。代表的な主体認証情報として、パスワード等がある。

「主体認証情報格納装置」とは、主体認証情報を格納した装置であり、正当な主体に所有又は保持させる装置をいう。所有による主体認証では、これを所有していることで、情報システムはその主体を正当な主体として認識する。
代表的な主体認証情報格納装置として、磁気ストライプカードやＩＣカード等がある。

「省庁対策基準」とは、各府省庁のすべての情報資産に適用する情報セキュリティ対策の基準をいう。

「情報システム」とは、情報処理及び通信に係るシステムをいう。

「情報セキュリティ関係規程」とは、省庁対策基準及び省庁対策基準に定められた対策内容を具体的な情報システムや業務においてどのような手順に従って実行していくかについて定めた実施手順をいう。

「情報の移送」とは、府省庁外に、電磁的に記録された情報を送信すること並びに情報を記録した電磁的記録媒体及び書面を運搬することをいう。

「政府職員」とは、人事発令を受けて行政事務に従事する者をいう。

「ソフトウェア」とは、電子計算機を動作させる手順及び命令を電子計算機が理解できる形式で記述したものをいう。オペレーティングシステム、オペレーティングシス
テム上で動作するアプリケーションを含む広義の意味である。

【た】「端末」とは、端末を利用する行政事務従事者が直接操作を行う電子計算機（オペレーティングシステム及び接続される周辺機器を含む。）であり、いわゆる PC のほか、
PDA 等も該当する。

「通信回線」とは、これを利用して複数の電子計算機を接続し、所定の通信様式に従って情報を送受信するための仕組みをいう。回線及び通信回線装置の接続により構成された通信回線のことを物理的な通信回線といい、物理的な通信回線上に構成され、電子計算機間で所定の通信様式に従って情報を送受信可能な通信回線のことを論理的
9

NISD-K303-091C

な通信回線という。
「通信回線装置」とは、回線の接続のために設置され、電子計算機により回線上を送受信される情報の制御を行うための装置をいう。いわゆるリピータハブ、スイッチン
グハブ及びルータのほか、ファイアウォール等も該当する。

「電子計算機」とは、コンピュータ全般のことを指し、オペレーティングシステム及び接続される周辺機器を含むサーバ装置及び端末をいう。

「取扱制限」とは、情報の取扱いに関する制限であって、複製禁止、持出禁止、再配付禁止、暗号化必須、読後廃棄その他情報の適正な取扱いを確実にするための手段を
いう。

【は】


「 複 数 要 素 （ 複 合 ） 主 体 認 証 （ multiple factors authentication / composite
authentication）方式」とは、知識、所有、生体情報などのうち、複数の方法の組合せにより主体認証を行う方法である。

「府省庁外」とは、政府職員の各々が所属する府省庁が管理する組織又は庁舎の外をいう。

「府省庁外通信回線」とは、物理的な通信回線を構成する回線（有線又は無線、現実
又は仮想及び府省庁管理又は他組織管理）及び通信回線装置を問わず、府省庁が管理していない電子計算機が接続され、当該電子計算機間の通信に利用する論理的な通信回線をいう。

「府省庁外での情報処理」とは、府省庁の管理部外で行政事務の遂行のための情報処理を行うことをいう。なお、オンラインで府省庁外から政府職員の各々が所属する府
省庁の情報システムに接続して、情報処置を行う場合だけではなく、オフラインで行う場合も含むものとする。

「府省庁支給以外の情報システム」とは、政府職員の各々が所属する府省庁が支給する情報システム以外の情報システムをいう。いわゆる私物の PC のほか、当該府省庁への出向者に対して出向元組織が提供する情報システムも含むものとする。

「府省庁支給以外の情報システムによる情報処理」とは、府省庁支給以外の情報シス
テムを用いて行政事務の遂行のための情報処理を行うことをいう。なお、直接装置等を用いる場合だけではなく、それら装置等によって提供されているサービスを利用する場合も含むものとする。ここでいうサービスとは、個人が契約している電子メールサービス等のことであり、例えば、府省庁の業務に要する電子メールを、個人で契約している電子メールサービスに転送して業務を行ったり、個人のメールから業務のメールを発信したりすることである。

「府省庁内」とは、政府職員の各々が所属する府省庁が管理する組織又は庁舎の内をいう。

「府省庁内通信回線」とは、物理的な通信回線を構成する回線（有線又は無線、現実
又は仮想及び府省庁管理又は他組織管理）及び通信回線装置を問わず、府省庁が管理する電子計算機を接続し、当該電子計算機間の通信に利用する論理的な通信回線をいう。
10

NISD-K303-091C

「不正プログラム」とは、コンピュータウイルス、スパイウェア等の電子計算機を利用する者が意図しない結果を電子計算機にもたらすソフトウェアの総称をいう。

「不正プログラム定義ファイル」とは、アンチウイルスソフトウェア等が不正プログ
ラムを判別するために利用するデータをいう。

【ま】「明示等」とは、情報を取り扱うすべての者が当該情報の格付けについて共通の認識となるように措置することをいう。なお、情報ごとに格付けを記載することにより明示することを原則とするが、その他にも、当該情報の格付けに係る認識が共通となる措置については、明示等に含むものとする。例えば、特定の情報システムについて、
当該情報システムに記録される情報の格付けを規定等に明記し、当該情報システムを利用するすべての者に当該規定を周知することができていれば明示等に含むものとする。

「モバイル PC」とは、端末の形態に関係なく、業務で利用する目的により必要に応じて移動する端末をいう。特定の設置場所だけで利用するノート型 PC は、モバイル PCに含まれない。

【や】「要安定情報」とは、可用性２情報をいう。

「要機密情報」とは、機密性２情報及び機密性３情報をいう。

「要保護情報」とは、要機密情報、要保全情報及び要安定情報をいう。

「要保全情報」とは、完全性２情報をいう。

【ら】
「例外措置」とは、行政事務従事者がその実施に責任を持つ情報セキュリティ関係規程を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる代替の方法を採用し、又は遵守事項を実施しないことについて合理的理由がある場合に、そのことについて申請し許可を得た上で適用する行為をいう。

「ログイン」とは、何らかの主体が主体認証を要求する行為をいう。ログインの後に主体認証が行われるため、ログインの段階ではその主体が正当であるとは限らない。

「ログオン」とは、ログインの結果により、主体認証を要求した主体が正当であることが情報システムに確認された状態をいう。

11

NISD-K303-091C

第 1.2 部
1.2.1

組織と体制の整備

導入

1.2.1.1 組織・体制の整備
趣旨（必要性）
情報セキュリティ対策は、それに係るすべての行政事務従事者が、職制及び職務に応じて与えられている権限と責務を理解した上で、負うべき責務を全うすることで実現される。
そのため、それらの権限と責務を明確にし、必要となる組織・体制を整備する必要がある。
これらのことを勘案し、本項では、情報セキュリティ対策に係る組織・体制に関する対策基準を定める。
遵守事項(1)

最高情報セキュリティ責任者の設置【基本遵守事項】(a) 最高情報セキュリティ責任者を１人置くこと。
解説：各府省庁における情報セキュリティ対策の最高責任者を置くことを定めた事項である。
情報セキュリティ対策の実現には、行政事務従事者一人一人の意識の向上や責務の遂行はもちろんのこと、組織的な取組みの推進や幹部の責任を持った関与が必須であり、各府省庁における最高責任者の設置とその役割の明確化が重要である。なお、本統一基準で規定する各役割についてはイメージ図（本書別添資料 A.1.1）を参考にされたい。
(b) 最高情報セキュリティ責任者は、府省庁における情報セキュリティ対策に関する事務を統括すること。
解説：最高情報セキュリティ責任者は、各府省庁内における情報セキュリティ対策の推進体制が十分機能するように管理するとともに、省庁対策基準の決定や評価結果による見直しに関する承認等を行う。
(2)

情報セキュリティ委員会の設置【基本遵守事項】(a) 最高情報セキュリティ責任者は、情報セキュリティ委員会を設置し、委員長及び委員を置くこと。
解説：各府省庁の省庁対策基準の策定等を行う機能を持つ組織の設置について定めた事項である。
情報セキュリティ対策の運用を円滑に進めるには、委員会を設置し組織全体で取り組むことが重要である。最高情報セキュリティ責任者は、委員長を兼務することが可能である。
12

NISD-K303-091C

なお、実務を担当する下位委員会を設置し、又は既存の情報システム管理部門に情報セキュリティ対策の各府省庁内での運用を統括する機能を持たせる等して、部門横断的な連携の仕組みを確立することが望まれる。
(b) 情報セキュリティ委員会は、情報セキュリティに関する省庁対策基準を策定し、最高情報セキュリティ責任者の承認を得ること。ただし、あらかじめ最高情報セキュリティ責任者が認めた場合は、一部の技術的な事項について、指定した者に委任することができる。
解説：全省的に定めるべき省庁対策基準策定に関する情報セキュリティ委員会の役割を定めた事項である。ただし、あらかじめ最高情報セキュリティ
責任者が認めた場合は、一部の技術的な事項（本統一基準の第 2 編に相当する事項）について、統括情報セキュリティ責任者等に委任することができる。なお、統括情報セキュリティ責任者等が委任に基づき基準を策定する場合は、情報セキュリティ委員会及び最高情報セキュリティ責
任者に報告することが望ましい。
(3)

情報セキュリティ監査責任者の設置【基本遵守事項】(a) 最高情報セキュリティ責任者は、情報セキュリティ監査責任者を１人置くこと。
解説：各府省庁において策定した省庁対策基準に基づき監査を行う責任者を置くことを定めた事項である。
情報セキュリティ監査責任者は、情報セキュリティ責任者が所管する組織における情報セキュリティ監査を実施するため、情報セキュリティ責任者と兼務することはできない。
監査の実効性を確保するために、情報セキュリティ責任者より職務上の上席者を情報セキュリティ監査責任者として置くことが望ましい。
情報セキュリティ監査責任者は、各府省庁内の情報セキュリティに関する情報を共有するために、情報セキュリティ委員会にオブザーバとして参加することが望まれる。
情報セキュリティ監査責任者の業務を補佐するために、府省庁の内部及び外部の担当者を置く必要性を検討することが望まれる。また、業務の実効性を担保するために外部組織の活用も考えられる。
(b) 情報セキュリティ監査責任者は、最高情報セキュリティ責任者の指示に基づき、監査に関する事務を統括すること。
(4)

情報セキュリティ責任者の設置【基本遵守事項】(a) 最高情報セキュリティ責任者は、情報セキュリティ対策の運用に係る管理を行う
単位を定め、その単位ごとに情報セキュリティ責任者を置くこと。そのうち、情報セキュリティ責任者を統括する者として統括情報セキュリティ責任者を１人置くこと。
13

NISD-K303-091C

解説：組織内での役割の明確化のため、情報セキュリティ対策の運用について管理を行う単位を決めることを定めた事項である。
「管理を行う単位」は、部、局（外局、地方支分局等含む。
）ごとや情報システムごと等が挙げられる。情報セキュリティ責任者は、府省庁の実
施手順を策定するとともに、組織内での情報セキュリティ対策の運用実態を十分踏まえ、実務レベルでの管理の仕組みを確立し、すべての行政事務従事者への責務の周知や教育を行う等、個別対策を機能させる環境を整備することが重要である。
(b) 情報セキュリティ責任者は、所管する単位における情報セキュリティ対策に関する事務を統括すること。
(c) 統括情報セキュリティ責任者は、情報セキュリティ対策における雇用の開始、終了及び人事異動等に関する管理の規定を整備すること。
解説：「雇用の開始、終了及び人事異動等に関する管理の規定」とは、現実の人事配置状況と情報システム上のアクセス権の付与状況等の不整合や、採用及び異動時等における適切な教育の不十分さを原因とする情報セキュ
リティの侵害を回避することを目的とする規定のことである。
具体的には、・人事担当課又は各課室から、情報システム所管課に人事異動に関する情報が提供される連絡体制
・人事異動の情報に基づき、アクセス権の変更、職員の教育等の情報セ
キュリティ関係業務を適切に実施するための手順等を整備することが求められる。
これには、転出に伴うアカウントの失効、情報システムへのアクセス権の変更の管理等も含まれる。
(d) 情報セキュリティ責任者は、情報セキュリティ対策における雇用の開始、終了及び人事異動等に関する管理の規定に従った運用がなされていることを定期的に確認すること。
(e) 最高情報セキュリティ責任者は、情報セキュリティ責任者を置いた時及び変更した時は、統括情報セキュリティ責任者にその旨を連絡すること。
(f)

統括情報セキュリティ責任者は、すべての情報セキュリティ責任者に対する連絡網を整備すること。

(5)

情報システムセキュリティ責任者の設置【基本遵守事項】(a) 情報セキュリティ責任者は、所管する単位における情報システムごとに情報シス
テムセキュリティ責任者を、当該情報システムの計画段階までに置くこと。
解説：各情報システムにおいて、計画、構築、運用等のライフサイクル全般を通じて必要となる情報セキュリティ対策の責任者を置くことを定めた事項である。
情報システムの情報セキュリティ要件は計画段階において決定されるこ14

NISD-K303-091Cとから、情報システムセキュリティ責任者は新規の情報システムについては計画段階までに置かなければならない。
府省庁内 LAN システムのような全省的なシステム、特定部門における個別業務システム、その他府省庁のすべての情報システムを、情報システ
ム単位に情報セキュリティ対策の運用の責任の所在を明確にすることが重要である。
(b) 情報システムセキュリティ責任者は、所管する情報システムに対する情報セキュ
リティ対策に関する事務を統括すること。
(c) 情報セキュリティ責任者は、情報システムセキュリティ責任者を置いた時及び変更した時は、統括情報セキュリティ責任者にその旨を報告すること。
(d) 統括情報セキュリティ責任者は、すべての情報システムセキュリティ責任者に対する連絡網を整備すること。
(6)

情報システムセキュリティ管理者の設置【基本遵守事項】(a) 情報システムセキュリティ責任者は、所管する情報システムの管理業務において必要な単位ごとに情報システムセキュリティ管理者を置くこと。
解説：各情報システムにおいて、その管理業務ごとの情報セキュリティ対策の実施を管理する者を置くことを定めた事項である。
計画、構築、運用等の情報システムのライフサイクルやサーバ、データ
ベース、アプリケーション等の装置・機能ごとに必要に応じて設置する必要がある。
情報システムセキュリティ管理者は、情報セキュリティ責任者によって定められた手順や判断された事項に従い、対策を実施する。
(b) 情報システムセキュリティ管理者は、所管する管理業務における情報セキュリテ
ィ対策を実施すること。
(c) 情報システムセキュリティ責任者は、情報システムセキュリティ管理者を置いた時及び変更した時は、統括情報セキュリティ責任者にその旨を報告すること。
(d) 統括情報セキュリティ責任者は、すべての情報システムセキュリティ管理者に対する連絡網を整備すること。
(7)課室情報セキュリティ責任者の設置【基本遵守事項】(a) 情報セキュリティ責任者は、各課室に課室情報セキュリティ責任者を 1 人置くこと。
解説：課室単位での情報セキュリティ対策の事務を統括する者を置くことを定めた事項である。
課室情報セキュリティ責任者は、所管する事務や職員における情報の取扱い等に関して、その是非を判断し、情報の持ち出しや公開等についての責任を有する者であり、課室長若しくはそれに相当する者であること
15

NISD-K303-091Cが望ましい。情報セキュリティ責任者が各課室で 1 人任命し、統括情報
セキュリティ責任者に報告するものである。
(b) 課室情報セキュリティ責任者は、課室における情報セキュリティ対策に関する事
務を統括すること。
(c) 情報セキュリティ責任者は、課室情報セキュリティ責任者を置いた時及び変更した時は、統括情報セキュリティ責任者にその旨を報告すること。
(d) 統括情報セキュリティ責任者は、すべての課室情報セキュリティ責任者に対する連絡網を整備すること。
(8)

最高情報セキュリティアドバイザーの設置【基本遵守事項】(a) 最高情報セキュリティ責任者は、情報セキュリティに関する専門的な知識及び経験を有した専門家を最高情報セキュリティアドバイザーとして置くこと。
解説：情報セキュリティに関する専門家を最高情報セキュリティアドバイザーとして置くことを定めた事項である。
各府省庁における情報セキュリティ対策については、情報システムに関する技術や事案に対する対処等の専門的な知識及び経験が必要となるため、省庁対策基準の策定・導入から運用、評価、見直しまで専門的な助言を行う専門家を活用することが重要である。
最高情報セキュリティアドバイザーについては、高度な国家安全保障、治安に係る分野においては、内部人材を充てることもできる。またこの場合、最高情報セキュリティアドバイザーは情報セキュリティ責任者等の各責任者を兼務することができる。
なお、CIO（情報化統括責任者）補佐官は最高情報セキュリティアドバ
イザーを兼務することができる。この場合、CIO 補佐官に情報セキュリ
ティ担当を設けることが望ましい。
(b) 最高情報セキュリティ責任者は、情報セキュリティ対策等の実施において最高情報セキュリティアドバイザーが行う業務の内容について定めること。
解説：最高情報セキュリティアドバイザーの業務を明確化するため、最高情報
セキュリティ責任者に、最高情報セキュリティアドバイザーの業務の内容について定めることを求める事項である。
最高情報セキュリティアドバイザーの業務として、情報セキュリティ対策に係る様々な事務への助言等が想定されるが、その事務として例えば、
・情報セキュリティ施策の全般的な計画策定
・情報セキュリティ教育の計画立案、教材開発及び実施・各種規定の整備
・情報システムに係る技術的事項
・情報システムの設計・開発を外部委託により行う場合に調達仕様に含めて提示する情報セキュリティに係る要求仕様の策定
・行政事務従事者に対する日常的な相談対応
16

NISD-K303-091C

・緊急時対応・自己点検の計画立案と実施
・情報セキュリティの監査の計画立案と実施等が想定される。
これらの事務を行う最高情報セキュリティ責任者、情報セキュリティ監
査責任者、情報セキュリティ責任者、情報システムセキュリティ責任者、
課室情報セキュリティ責任者等が定められた事項を遂行するために、最高情報セキュリティアドバイザーが専門的な知識及び経験に基づき行う
助言等の内容を定める。

1.2.1.2 役割の割当て
趣旨（必要性）
情報セキュリティ対策に係る組織において、承認する者と承認される者が同一である場
合や、監査する者と監査される者が同一である場合は、情報セキュリティが確保されていることが確認、証明されたことにはならない。情報セキュリティを確立するためには、兼務してはいけない役割が存在する。また、承認や許可事案においては、情報セキュリティ対策に係る組織体制に加えて、職務上の権限等から、当該組織体制上の承認等を行う者の上司が承認等をすべき場合がある。
これらのことを勘案し、本項では、情報セキュリティ対策に係る役割の割当てに関する対策基準を定める。
遵守事項(1)

兼務を禁止する役割の規定【基本遵守事項】(a) 行政事務従事者は、情報セキュリティ対策の運用において、以下の役割を兼務しないこと。
(ア) 承認又は許可事案の申請者とその承認又は許可を行う者（以下、本項において「承認権限者等」という。）(イ) 監査を受ける者とその監査を実施する者
解説：承認又は許可する役割の者自らが、申請をする場合には、その申請について自らが承認又は許可することはできない。このため、組織・体制及び申請手続を整備するに当たっては、このことに十分留意する必要がある。
(2)

上司による承認・許可【基本遵守事項】(a) 行政事務従事者は、承認権限者等が有する職務上の権限等から、当該承認権限者
等が承認又は許可（以下「承認等」という。
）の可否の判断を行うことが不適切と
17

NISD-K303-091C認められる場合には、当該承認権限者等の上司に承認等の申請をすること。この場合において、当該承認権限者等の上司の承認等を得たときは、当該承認権限者
等の承認等を得ることを要しない。
解説：承認や許可事案の内容によっては、承認権限者等が承認等の可否の判断を行うことが適切でない場合も想定される。このような場合は、その上司に申請し承認等を得ることになる。
なお、「兼務を禁止する役割の規定」を遵守する必要がある。したがって、自らが承認権限者の上司であったとしても、当該上司は自らに係る承認等の事案について自らが承認等してはならない。
(b) 行政事務従事者は、前事項の場合において承認等を与えたときは、承認権限者等に係る遵守事項に準じて、措置を講ずること。
解説：承認権限者等の上司が承認等を行った場合に、当該上司に当該承認権限者等が遵守すべき事項に準じて、措置を講ずることを求める事項である。
例えば、機密性３情報、完全性２情報又は可用性２情報について、府省庁外での情報処理や府省庁支給以外の情報システムによる情報処理を課室情報セキュリティ責任者に代わって、その上司が許可する場合は、その上司に対して、許可の記録を取得することなどが求められる。

1.2.1.3 違反と例外措置
趣旨（必要性）
各府省庁において情報セキュリティを継続的に維持するためには、万一違反があった場
合に、定められた手続に従って、適切に対処する必要がある。
また、情報セキュリティ関係規程の適用が行政事務の適正な遂行を著しく妨げる等の理由により、情報セキュリティ関係規程の規定とは異なる代替の方法を採用すること又は規定を実施しないことを認めざるを得ない場合についても、定められた例外措置のための手続により、情報セキュリティを維持しつつ柔軟に対応できるものでなければ、当該規程の実効性を確保することが困難となる。
これらのことを勘案し、本項では、違反と例外措置に関する対策基準を定める。
遵守事項
(1)

違反への対処【基本遵守事項】(a) 行政事務従事者は、情報セキュリティ関係規程への重大な違反を知った場合には、各規定の実施に責任を持つ情報セキュリティ責任者にその旨を報告すること。
解説：府省庁において情報セキュリティを継続的に維持するために、重大な違反を確実に捕捉するための事項である。府省庁においては、例規への違反を知った者にはこれを報告する義務が課されており、情報セキュリテ
ィ関係規程への違反においては、各規定の実施に責任を持つ情報セキュ
18

NISD-K303-091C

リティ責任者に報告することとなる。
情報セキュリティ関係規程への重大な違反とは、当該違反により府省庁の業務に重大な支障を来すもの又はその可能性のあるものをいう。
(b) 情報セキュリティ責任者は、情報セキュリティ関係規程への重大な違反の報告を受けた場合及び自らが重大な違反を知った場合には、違反者及び必要な者に情報
セキュリティの維持に必要な措置を講じさせること。
解説：情報セキュリティ関係規程への違反があった場合に、違反者及び当該規程の実施に責任を持つ者を含む必要な者に対して、情報セキュリティを維持するために必要な措置を講ずることを求める事項である。重大な違反により、情報が漏えい、滅失、き損し又は情報システムの利用に支障を来した場合、問題の早期解決、拡大防止の必要がある。例えば、情報
セキュリティ関係規程について再度周知する方法が考えられる。
(c) 情報セキュリティ責任者は、情報セキュリティ関係規程への重大な違反の報告を受けた場合及び自らが重大な違反を知った場合には、最高情報セキュリティ責任者にその旨を報告すること。
解説：情報セキュリティ関係規程への違反があった場合に、違反の事実を、その内容、結果、業務への影響、社会的評価等を含めて、最高情報セキュ
リティ責任者に報告することを求める事項である。
(2)

例外措置

【基本遵守事項】(a) 情報セキュリティ委員会は、例外措置の適用の申請を審査する者（以下、本項において「許可権限者」という。
）を定め、審査手続を整備すること。
解説：例外措置の適用の申請を受けた際に審査を遅滞なく実施できるように、許可権限者を定め、審査手続を整備しておくための事項である。緊急を要して申請される場合は、遂行に不要の遅滞を生じさせずに審査を速やかに実施する必要がある。そのため、申請の内容に応じ、最高情報セキ
ュリティ責任者、統括情報セキュリティ責任者、情報セキュリティ責任者、情報システムセキュリティ責任者、情報システムセキュリティ管理者又は課室情報セキュリティ責任者の中から許可権限者を定めておくことが重要である。
(b) 行政事務従事者は、例外措置の適用を希望する場合には、定められた審査手続に従い、許可権限者に例外措置の適用を申請すること。ただし、行政事務の遂行に緊急を要する等の場合であって、情報セキュリティ関係規程の規定とは異なる代替の方法を直ちに採用すること又は規定を実施しないことが不可避のときは、事後速やかに申請し許可を得ること。行政事務従事者は、申請の際に以下の事項を含む項目を明確にすること。
(ア) 申請者の情報（氏名、所属、連絡先）(イ) 例外措置の適用を申請する情報セキュリティ関係規程の適用箇所（規程名と条項等）
19

NISD-K303-091C(ウ) 例外措置の適用を申請する期間(エ) 例外措置の適用を申請する措置内容（講ずる代替手段等）(オ) 例外措置の適用を終了したときの報告方法(カ) 例外措置の適用を申請する理由
解説：例外措置を行政事務従事者の独断で行わせないための事項である。
行政事務従事者は、定められた審査手続に従い例外措置の適用を申請し、許可を得てから、例外措置を講ずる。ただし、行政事務の遂行に緊急を要する等の場合であって、情報セキュリティ関係規程の規定とは異なる
代替の方法を直ちに採用すること又は規定を実施しないことが不可避のときは、事後速やかに申請して許可を得ること。
行政事務従事者は、例外措置の適用を希望する場合には、当該例外措置を適用した場合の被害の大きさと影響を検討、分析する必要がある。その上で、例外措置の適用が必要であると判断した場合は、リスクを低減させるための補完措置を提案し、適用の申請を行う必要がある。
(c) 許可権限者は、行政事務従事者による例外措置の適用の申請を、定められた審査手続に従って審査し、許可の可否を決定すること。また、決定の際に、以下の項目を含む例外措置の適用審査記録を作成し、最高情報セキュリティ責任者に報告すること。
(ア) 決定を審査した者の情報（氏名、役割名、所属、連絡先）(イ) 申請内容•

申請者の情報（氏名、所属、連絡先）•

例外措置の適用を申請する情報セキュリティ関係規程の該当箇所（規程
名と条項等）•

例外措置の適用を申請する期間•

例外措置の適用を申請する措置内容（講ずる代替手段等）•

例外措置の適用を終了した旨の報告方法•

例外措置の適用を申請する理由(ウ) 審査結果の内容•

許可又は不許可の別•

許可又は不許可の理由•

例外措置の適用を許可した情報セキュリティ関係規程の適用箇所（規程
名と条項等）•

例外措置の適用を許可した期間•許可した措置内容（講ずるべき代替手段等）•

例外措置を終了した旨の報告方法

解説：許可権限者に、例外措置の適用の申請を適切に審査させるための事項である。
審査に当たっては、例外措置の適用を許可した場合のリスクと不許可とした場合の行政事務遂行等への影響を評価した上で、その判断を行う必要がある。例外措置の適用審査記録は、将来、許可をさかのぼって取り
20

NISD-K303-091C

消す場合に、該当する申請をすべて把握し、一貫性をもって取り消すた
めに必要となる。
（ア）の「役割名」には、最高情報セキュリティ責任者、統括情報セキ
ュリティ責任者、情報セキュリティ責任者、情報システムセキュリティ
責任者、情報システムセキュリティ管理者又は課室情報セキュリティ責
任者のいずれかを記載する。
(d) 行政事務従事者は、例外措置の適用について許可を受け、例外措置を適用した場
合には、それを終了したときに、当該例外措置の許可権限者にその旨を報告すること。ただし、許可権限者が報告を要しないとした場合は、この限りでない。
解説：例外措置の適用の終了を確認するための事項である。
例外措置の適用期間が終了した場合及び期間終了前に適用を終了する場
合には、許可を受けた行政事務従事者が、許可権限者に終了を報告しなければならない。
(e) 許可権限者は、例外措置の適用を許可した期間の終了期日に、許可を受けた者からの報告の有無を確認し、報告がない場合には、許可を受けた者に状況を報告させ、必要な措置を講ずること。ただし、許可権限者が報告を要しないとした場合
は、この限りでない。
解説：例外措置の適用期間を、許可を受けた者に遵守させるための事項である。
必要な措置としては、許可を受けた者が報告を怠っているのであればそれを督促すること、許可を受けた者が例外措置の適用を継続している場
合にはその延長について申請させそれについて審査すること、が挙げられる。
(f)

最高情報セキュリティ責任者は、例外措置の適用審査記録の台帳を整備し、例外措置の適用審査記録の参照について、情報セキュリティ監査責任者からの求めに応ずること。
解説：最高情報セキュリティ責任者に、例外措置の適用審査記録の台帳を維持・整備することを求める事項である。例外措置の適用を許可したとしても、それが情報セキュリティ関係規程の規定とは異なる代替の方法を採用すること又は遵守事項を実施していないことに変わりはない。もしも、例
外措置を適用していることにより重大な情報セキュリティの侵害が発生した場合には、同様の例外措置を適用している者に対して、情報セキュ
リティの侵害発生の予防について注意を喚起したり、例外措置適用の許可について見直しをしたりするなどの対処を検討する必要がある。そのためには、例外措置を適用している者や情報システムの現状について、最新の状態のものを集中して把握する必要がある。

21

NISD-K303-091C

運用

1.2.2

1.2.2.1 情報セキュリティ対策の教育
趣旨（必要性）
情報セキュリティ関係規程が適正に策定されたとしても、行政事務従事者にその内容が周知されず、行政事務従事者がこれを遵守しない場合には、情報セキュリティ対策の水準の向上を望むことはできない。このため、すべての行政事務従事者が、情報セキュリティ対策の教育を通じて、情報セキュリティ関係規程に関する理解を深め、情報セキュリティ対策を適切に実践できるようにすることが必要である。
これらのことを勘案し、本項では、情報セキュリティ対策の教育に関する対策基準を定
める。
遵守事項
(1)

情報セキュリティ対策の教育の実施【基本遵守事項】(a) 統括情報セキュリティ責任者は、情報セキュリティ関係規程について、行政事務従事者に対し、その啓発をすること。
解説：統括情報セキュリティ責任者に情報セキュリティ対策の啓発の実施を求める事項である。
(b) 統括情報セキュリティ責任者は、情報セキュリティ関係規程について、行政事務従事者に教育すべき内容を検討し、教育のための資料を整備すること。
解説：統括情報セキュリティ責任者に情報セキュリティ対策の教育のための資料を整備することを求める事項である。
教育の内容については、府省庁の実情に合わせて幅広い角度から検討し、行政事務従事者が対策内容を十分に理解できるものとする必要がある。
そのためには、府省庁の情報セキュリティに係る網羅的な資料ではなく、受講する者が理解しておくべき事項に制限した資料を教育に用いるべきである。すなわち、資料の作成においては、遵守事項を遵守すべき者ごとに整理し、受講する者が遵守する必要がない事項は極力含まないように配慮する必要がある。
なお、遵守すべき事項以外であっても、教育内容に含めることが望ましい情報セキュリティ対策の例として、違反の監視機能に係る説明が挙げられる。これは、当該機能の存在を周知することで、その違反についての抑止効果を期待できる場合があるためである。
(c) 統括情報セキュリティ責任者は、行政事務従事者が毎年度最低１回、受講できる
ように、情報セキュリティ対策の教育に係る計画を企画、立案するとともに、その実施体制を整備すること。
解説：情報セキュリティ対策の教育の最低限の受講回数等について定めた事項である。
22

NISD-K303-091C

なお、情報セキュリティ事案の発生など情報セキュリティ環境の変化に応じて、適宜、教育を行うことが重要である。計画の作成に際しては、関係する教育計画を参照し、効率性に注意するとともに人材育成にも留意すること。
(d) 統括情報セキュリティ責任者は、行政事務従事者の着任時、異動時に新しい職場等で３か月以内に受講できるように、情報セキュリティ対策の教育を企画、立案
するとともに、その実施体制を整備すること。
解説：着任、異動した行政事務従事者に対して、早期に情報セキュリティ対策の教育を受講させることによって、当該行政事務従事者の情報セキュリ
ティ対策の適正な実施を求める事項である。
なお、異動した後に使用する情報システムが、異動前と変わらないなど、教育をしないことについて合理的な理由がある場合は、対象から除外され得る。
(e) 統括情報セキュリティ責任者は、行政事務従事者の情報セキュリティ対策の教育の受講状況を管理できる仕組みを整備すること。
解説：情報セキュリティ対策の教育の受講状況について把握できる仕組みを整備することを求める事項である。
(f)

統括情報セキュリティ責任者は、行政事務従事者の情報セキュリティ対策の教育の受講状況について、課室情報セキュリティ責任者に通知すること。
解説：計画された教育の実施に向けて、情報セキュリティ対策の教育を受講していない行政事務従事者を課室情報セキュリティ責任者に通知することを定めた事項である。

(g) 課室情報セキュリティ責任者は、行政事務従事者の情報セキュリティ対策の教育の受講が達成されていない場合には、未受講の者に対して、その受講を勧告すること。行政事務従事者が当該勧告に従わない場合には、統括情報セキュリティ責
任者にその旨を報告すること。
解説：情報セキュリティ対策の教育を受講しない者への対策を定めた事項である。
なお、計画された教育を受講しない行政事務従事者は、その遵守違反について責任を問われることになる。
(h) 統括情報セキュリティ責任者は、毎年度１回、最高情報セキュリティ責任者及び情報セキュリティ委員会に対して、行政事務従事者の情報セキュリティ対策の教育の受講状況について報告すること。
解説：最高情報セキュリティ責任者及び情報セキュリティ委員会に情報セキュ
リティ対策の教育の受講状況を報告することを求める事項である。
【強化遵守事項】(i)

統括情報セキュリティ責任者は、情報セキュリティ関係規程について、行政事務従事者に対する情報セキュリティ対策の訓練の内容及び体制を整備すること。
解説：模擬的な状況において実際に情報セキュリティ対策のための事務を行う
ことにより、その知識・技能等の習得するために実施する訓練の内容及23

NISD-K303-091C

び体制を整備することを求める事項である。
訓練の内容については、府省庁の実情に合わせて幅広い角度から検討し、行政事務従事者が対策内容を十分に理解できるものとする必要がある。
(2)

情報セキュリティ対策の教育の受講【基本遵守事項】(a) 行政事務従事者は、毎年度最低１回、情報セキュリティ対策の教育に関する計画に従って、情報セキュリティ対策の教育を受講すること。
解説：行政事務従事者が、情報セキュリティ対策の教育に関する計画に従って、これを受講することを求める事項である。
(b) 行政事務従事者は、着任時、異動時に新しい職場等で、情報セキュリティ対策の教育の受講方法について課室情報セキュリティ責任者に確認すること。
解説：着任、異動した行政事務従事者が、確実に情報セキュリティ対策の教育を受講するための事項である。
課室情報セキュリティ責任者への確認がなされない場合は、課室情報セ
キュリティ責任者において、受講日程を連絡することが望ましい。
(c) 行政事務従事者は、情報セキュリティ対策の教育を受講できず、その理由が本人の責任ではないと思われる場合には、その理由について、課室情報セキュリティ
責任者を通じて、統括情報セキュリティ責任者に報告すること。
解説：情報セキュリティ対策の教育を受講できない理由についての報告をしな
いままで、計画された教育を受講しない場合には、行政事務従事者は、その遵守違反について責任を問われることになる。
【強化遵守事項】(d) 行政事務従事者は、情報セキュリティ対策の訓練に関する規定が定められている
場合には、当該規定に従って、情報セキュリティ対策の訓練に参加すること。
解説：行政事務従事者が、情報セキュリティ対策の訓練に関する規定に従って、これを受講することを求める事項である。

1.2.2.2 障害・事故等の対処
趣旨（必要性）
情報セキュリティに関する障害・事故等が発生した場合には、早急にその状況を検出し、被害の拡大を防ぎ、回復のための対策を講ずる必要がある。また、その際には、障害・事故等の影響や範囲を定められた責任者へ報告し、障害・事故等の発生現場の混乱や誤った指示の発生等を最小限に抑えることが重要である。
これらのことを勘案し、本項では、障害・事故等の発生時に関する対策基準を定める。

24

NISD-K303-091C

遵守事項
(1)

障害・事故等の発生に備えた事前準備【基本遵守事項】(a) 最高情報セキュリティ責任者は、情報セキュリティに関する障害・事故等（インシデント及び故障を含む。以下「障害・事故等」という。）が発生した場合、被害の拡大を防ぐとともに、障害・事故等から復旧するための体制を整備すること。
解説：最高情報セキュリティ責任者に障害・事故等に対する体制の整備を求める事項である。本事項が効果的に機能するように他の規程との整合性に配意することが求められる。
なお、情報セキュリティに関する障害・事故等とは、機密性、完全性、可用性が侵害されるものを対象としており、可用性等に影響を及ぼさない程度の故障等は対象としていない。
また、「インシデント」とは、JIS Q 27002:2006（ISO/IEC 17799:2005）
におけるインシデントと同意である。
(b) 統括情報セキュリティ責任者は、障害・事故等について行政事務従事者から情報
セキュリティ責任者への報告手順を整備し、当該報告手段をすべての行政事務従事者に周知すること。
解説：窓口についての周知は、情報セキュリティ対策の教育の中で行うとともに、窓口の連絡先を執務室内に掲示するなどして、緊急時に行政事務従事者がすぐに参照できるようにすることが必要である。情報システムが利用不能となる状況も想定して、複数の連絡手段の導入を検討すること。
(c) 統括情報セキュリティ責任者は、障害・事故等が発生した際の対処手順を整備すること。
解説：対処手順として障害・事故等の発生時における緊急を要する対処等の必要性に備えて、通常とは異なる例外措置の承認手続を設けることもあわせて検討する必要がある。対処する者に、ある程度の権限の委任がされないと、適切な措置に遅延等が発生することが予想される。そのようなことがないよう検討すること。
対処手順は、より具体的に整備することが重要である。例えば、対処手
順において、障害・事故等の発生日及び内容、障害・事故等への対処の内容及び対処者等を行政事務従事者が記録すべきことを定めることも考えられる。
(d) 統括情報セキュリティ責任者は、障害・事故等に備え、行政事務の遂行のため特に重要と認めた情報システムについて、その情報システムセキュリティ責任者及び情報システムセキュリティ管理者の緊急連絡先、連絡手段、連絡内容を含む緊急連絡網を整備すること。
解説：統括情報セキュリティ責任者は、すべての情報システムセキュリティ責
任者及び情報システムセキュリティ管理者の連絡網を整備しているものである（統一基準 1.2.1.1）が、これは「緊急」連絡網を加えて整備することを定める事項である。
25

NISD-K303-091C【強化遵守事項】(e) 統括情報セキュリティ責任者は、障害・事故等について府省庁の外部から報告を受けるための窓口を設置し、その窓口への連絡手段を府省庁外に公表すること。
解説：府省庁における情報セキュリティ対策の不備について外部の者が発見したり、府省庁において管理する電子計算機がサービス不能攻撃を外部に行った場合等、各府省庁を取り巻く外部に対して、関連業務に支障を生じさせたり、情報セキュリティ上の脅威を与えたりした際に、その連絡を外部から受ける体制についても整備し、連絡先を各府省庁の外部に公表することを求める事項である。
(2)

障害・事故等の発生時における報告と応急措置【基本遵守事項】(a) 行政事務従事者は、障害・事故等の発生を知った場合には、それに関係する者に連絡するとともに、統括情報セキュリティ責任者が定めた報告手順により、情報
セキュリティ責任者にその旨を報告すること。
解説：障害・事故等が発生した場合に、行政事務従事者から速やかに関係者に連絡し、連絡を受けた者が当該障害・事故等への対処を開始することができるようにすることを求める事項である。
(b) 行政事務従事者は、障害・事故等が発生した際の対処手順の有無を確認し、それを実施できる場合には、その手順に従うこと。
解説：行政事務従事者の判断による被害拡大防止策が常に適切なものであるとは限らないため、障害・事故等への対処手順に従うことを求める事項である。
(c) 行政事務従事者は、障害・事故等が発生した場合であって、当該障害・事故等について対処手順がないとき及びその有無を確認できないときは、その対処についての指示を受けるまで、障害・事故等による被害の拡大防止に努めること。指示があった場合には、その指示に従うこと。
解説：対処手順が想定していない障害・事故等が発生した場合、行政事務従事者は対処の指示を受けるまでの間も障害・事故等の拡大防止に努めることを求める事項である。
(3)

障害・事故等の原因調査と再発防止策【基本遵守事項】(a) 情報セキュリティ責任者は、障害・事故等が発生した場合には、障害・事故等の原因を調査し再発防止策を策定し、その結果を報告書として最高情報セキュリテ
ィ責任者に報告すること。
解説：情報セキュリティ責任者に対して、障害・事故等の原因を究明し、それに基づき障害・事故等の再発防止策を策定することを求める事項である。
(b) 最高情報セキュリティ責任者は、情報セキュリティ責任者から障害・事故等についての報告を受けた場合には、その内容を検討し、再発防止策を実施するために
26

NISD-K303-091C

必要な措置を講ずること。
解説：障害・事故等の再発防止策を講ずることを、最高情報セキュリティ責任者に求める事項である。

27

NISD-K303-091C

1.2.3

評価

1.2.3.1 情報セキュリティ対策の自己点検
趣旨（必要性）
情報セキュリティ対策は、それに係るすべての行政事務従事者が、各自の役割を確実に行うことで実効性が担保されるものであることから、すべての行政事務従事者自らが情報
セキュリティ関係規程に準拠した運用を行っているか否かについて点検することが重要である。また、自己点検の結果に基づき、それぞれの当事者又はその管理者がその責任において、必要となる改善策を実施する必要がある。
これらのことを勘案し、本項では、自己点検に関する対策基準を定める。
遵守事項
(1)

自己点検に関する年度計画の策定【基本遵守事項】(a) 統括情報セキュリティ責任者は、年度自己点検計画を策定し、最高情報セキュリ
ティ責任者の承認を得ること。
解説：自己点検を実施するに当たり、その実施頻度、実施時期、確認及び評価の方法、実施項目の選択等に関する年度自己点検計画を策定することを求める事項である。
実施頻度については、自己点検は年に２度以上実施することが望ましい
が、例えば、情報システム部門に対しては、毎月実施し、それ以外の部門に対しては半年に一度の頻度で実施する等、様々な選択肢が考えられる。
実施時期については、例えば、当初は毎月１０項目ずつ自己点検し、行政事務従事者の意識が高まった後、半年に一度、全項目を実施するように変更する等、様々な選択肢が考えられる。
確認及び評価の方法については、例えば、単純に実施したことを確認す
るほか、遵守率を確認する等、数値評価により客観性を持った評価とすることが望ましく、様々な選択肢が考えられる。
実施項目の選択については、例えば、当初はすべての行政事務従事者が容易に遵守できる項目のみを自己点検し、行政事務従事者の意識が高まった後、遵守率が低いと想定される項目を実施するように変更する等、様々な選択肢が考えられる。
なお、行政事務従事者自らが行う自己点検を原則とするが、システム的な仕組みを用いてパッチやパターンファイルの更新状況を把握したり、実際の文書を確認することによりその整備状況を把握する等、自己点検と同等以上の信頼性を有する方法が存在する場合には、代替方法としてそれを採用しても良い。

28

NISD-K303-091C(2)

自己点検の実施に関する準備【基本遵守事項】(a) 情報セキュリティ責任者は、行政事務従事者ごとの自己点検票及び自己点検の実
施手順を整備すること。
解説：各行政事務従事者が自己点検を実施するに当たっては、各自の業務における情報の取扱方法や、実施すべき情報セキュリティ対策上の役割が異なるため、それぞれの職務内容に即した自己点検票が必要となる。そのため、情報セキュリティ責任者は、行政事務従事者ごとの自己点検票を作成するとともに、自己点検の正確性を高めるために詳細な実施手順を準備することを求める事項である。
(3)

自己点検の実施【基本遵守事項】(a) 情報セキュリティ責任者は、統括情報セキュリティ責任者が定める年度自己点検
計画に基づき、行政事務従事者に対して、自己点検の実施を指示すること。
解説：年度自己点検計画に基づき、情報セキュリティ責任者自らも含めた行政事務従事者に対して、自己点検の実施に関し指示することを求める事項
である。
(b) 行政事務従事者は、情報セキュリティ責任者から指示された自己点検票及び自己点検の実施手順を用いて自己点検を実施すること。
解説：情報セキュリティに関わる行政事務従事者に対して、自己点検を実施し、自らが実施すべき対策事項について、実施の有無を確認することを求める事項である。
(4)

自己点検結果の評価【基本遵守事項】(a) 情報セキュリティ責任者は、行政事務従事者による自己点検が行われていることを確認し、その結果を評価すること。
解説：行政事務従事者による自己点検の結果について、情報セキュリティ責任者が評価することを求める事項である。
なお、評価においては、自己点検が正しく行われていること、省庁対策基準に準拠していること、改善すべき事項が改善されていること、対策が有効であること等を評価する。この自己点検の評価においても、数値評価を中心とし、客観性を持った評価とすることが望ましい。例えば、自己点検実施率や、省庁対策基準遵守率、要改善対策数/対策実施数などの準拠率の把握が挙げられる。
(b) 統括情報セキュリティ責任者は、情報セキュリティ責任者による自己点検が行われていることを確認し、その結果を評価すること。
解説：情報セキュリティ責任者による自己点検が適切に行われていることを、
統括情報セキュリティ責任者が評価することを求める事項である。
29

NISD-K303-091C(c) 統括情報セキュリティ責任者は、自己点検の結果を最高情報セキュリティ責任者へ報告すること。
解説：統括情報セキュリティ責任者は、自己点検の結果を報告書として文書化した上で、最高情報セキュリティ責任者へ提出することを求める事項である。
(5)

自己点検に基づく改善【基本遵守事項】(a) 行政事務従事者は、自らが実施した自己点検の結果に基づき、自己の権限の範囲で改善できると判断したことは改善し、情報セキュリティ責任者にその旨を報告すること。
解説：自己の権限の範囲で改善可能である問題点については、情報セキュリテ
ィに関わるすべての行政事務従事者自らが自己改善することを求める事項である。
(b) 最高情報セキュリティ責任者は、自己点検の結果を全体として評価し、必要があると判断した場合には情報セキュリティ責任者に改善を指示すること。
解説：自己点検の結果により明らかとなった問題点について、最高情報セキュ
リティ責任者が情報セキュリティ責任者に対して改善することを求める事項である。

1.2.3.2 情報セキュリティ対策の監査
趣旨（必要性）
情報セキュリティの確保のためには、本統一基準に準拠して省庁対策基準が適切に策定され、かつ、情報セキュリティ関係規程が適切に運用されることによりその実効性を確保することが重要であって、その準拠性と妥当性の有無が確認されなければならない。そのためには、情報セキュリティ対策を実施する者による自己点検だけでなく、独立性を有する者による情報セキュリティ対策の監査を実施することが必要である。
これらのことを勘案し、本項では、情報セキュリティ対策の監査に関する対策基準を定
める。
遵守事項
(1)

監査計画の策定【基本遵守事項】(a) 情報セキュリティ監査責任者は、年度監査計画を策定し、最高情報セキュリティ
責任者の承認を得ること。
解説：監査の基本的な方針として、年度監査計画を策定し、承認を受けることを求める事項である。年度監査計画には、次の事項が含まれる。
・重点とする監査対象及び監査目標（情報漏えい防止、不正アクセス防30

NISD-K303-091C

止など）
・監査実施期間
・監査業務の管理体制
・外部委託による監査の必要性及び範囲
・監査予算
なお、以前実施した監査結果で明らかになった課題及び問題点の改善状況について、監査を実施する場合には、年度監査計画に盛り込むこと。
(2)

監査の実施に関する指示【基本遵守事項】(a) 最高情報セキュリティ責任者は、年度監査計画に従って、情報セキュリティ監査
責任者に対して、監査の実施を指示すること。
解説：年度監査計画に従って監査を実施することを求める事項である。
(b) 最高情報セキュリティ責任者は、情報セキュリティの状況の変化に応じて必要と判断した場合、情報セキュリティ監査責任者に対して、年度監査計画で計画されたこと以外の監査の実施を指示すること。
解説：年度監査計画において実施する監査以外に、府省庁内、府省庁外における事案の発生の状況又は情報セキュリティ対策の実施についての重大な変化が生じた場合に、必要に応じて臨機応変に監査を実施することを求める事項である。
なお、府省庁内において甚大な情報セキュリティの侵害が発生した場合であって、その侵害の規模や影響度をかんがみ、より客観性・独立性が求められるときは、内閣官房情報セキュリティセンターと協力の上、外部組織による監査を検討することが求められる。
(3)

個別の監査業務における監査実施計画の策定【基本遵守事項】(a) 情報セキュリティ監査責任者は、年度監査計画及び情報セキュリティの状況の変化に応じた監査の実施指示に基づき、個別の監査業務ごとの監査実施計画を策定すること。
解説：監査の基本的な方針に基づいて、実施すべき監査についての詳細な計画を策定することを求める事項である。監査実施計画には、次の事項が含まれる。(経済産業省 情報セキュリティ監査基準 実施基準ガイドライン
Ver1.0 等を参考)
・監査の実施時期
・監査の実施場所・監査実施者及び担当職務の割当て
・準拠性監査（情報セキュリティ関係規程に準拠した手続が実施されていることを確認する監査）のほか、必要に応じて妥当性監査（実施している手続が有効なセキュリティ対策であることを確認する監査）を行う
31

NISD-K303-091C

かについての方針
・実施すべき監査の概要（監査要点、実施すべき監査の種類及び試査の範囲を含む。
）
・監査の進捗管理手段又は体制
なお、被監査部門に対し監査の内容や範囲を明確化するために、監査実
施期間、監査実施者の氏名、監査対象等を含む事項に関して、情報セキ
ュリティ監査責任者より事前通知することが望ましい。
また、本統一基準においては、監査業務に対して監査を別途実施することを必須とはしてない。しかし、監査実施者が監査過程で被監査者を監査すること以外のことを実施した場合には、その実施に対する別途の監査が必要となる可能性がある。したがって、情報セキュリティ監査責任
者は、監査実施計画を策定する際は、監査実施者が実施することが情報
セキュリティ対策の向上になり得ることや、何らかの作業を効率的に行えるとしても、それを安易に監査実施計画の中に取り込むべきではない。
(4)

監査の実施に係る準備【基本遵守事項】(a) 情報セキュリティ監査責任者は、監査業務の実施において必要となる者を、被監査部門から独立した者から選定し、情報セキュリティ監査実施者に指名すること。
解説：情報セキュリティ監査責任者に、各府省庁において監査業務を実施するに当たり、必要となる者を情報セキュリティ監査実施者に指名することを求める事項である。
情報セキュリティ監査実施者には、監査人としての独立性及び客観性を有することが求められる。
例えば、情報システムを監査する場合には、当該情報システムの構築をした者は、その監査をしないこととする。また、情報資産の運用状況に関する監査を行う場合には、当該情報資産を運用している者はその監査をしないこととする。
(b) 情報セキュリティ監査責任者は、必要に応じて、府省庁外の者に監査の一部を請け負わせること。
解説： 情報セキュリティ監査責任者に、監査を実施するに当たり、必要に応じて監査対象システムの詳細情報を有する組織、府省庁内の情報システム部門に加えて外部専門家の支援を受けることを求める事項である。
組織内に情報セキュリティ監査実施者が不足している場合又は監査遂行能力が不足している場合には、監査業務（内部監査）を外部事業者に請け負わせることを検討すべきである。その委託先の選定に当たっては、
被監査部門との独立性を有し、かつ監査遂行能力がある者を選択できるよう配慮し、外部委託に関する対策基準に従うこと。また、情報セキュ
リティ監査企業台帳に登録されている企業や情報セキュリティ監査人資格者の業務への関与などを考慮することが望ましい。
32

NISD-K303-091C

(5)

監査の実施

【基本遵守事項】(a) 情報セキュリティ監査実施者は、情報セキュリティ監査責任者の指示に基づき、監査実施計画に従って監査を実施すること。
解説：情報セキュリティ監査実施者が適切に監査を実施することを求める事項
である。
(b) 情報セキュリティ監査実施者は、省庁対策基準が統一基準に準拠していることを確認すること。
解説：省庁対策基準が統一基準に準拠して設計されていることの確認を求める事項である。
(c) 情報セキュリティ監査実施者は、実施手順が省庁対策基準に準拠していることを確認すること。
解説：各府省庁の実施手順が省庁対策基準に準拠して設計されていることの確認を求める事項である。
(d) 情報セキュリティ監査実施者は、自己点検の適正性の確認を行う等により、被監査部門における実際の運用が情報セキュリティ関係規程に準拠していることを確認すること。
解説：被監査部門における実際の運用が、各府省庁の情報セキュリティ関係規程に準拠して実施されていること（運用の準拠性）の確認を求める事項
である。
運用の準拠性の確認は、自己点検の適正性の確認によることが実効性の高い方法であると考えられるが、監査対象によってはシステム監査、脆弱性検査などのその他の方法によっても確認することができる。
監査に当たっては、自己点検結果に基づく担当者への質問、記録文書の査閲、機器の設定状況の点検等の方法により、運用の準拠性を確認する。
また、必要に応じて、被監査部門において実施されている情報セキュリ
ティ対策が有効に機能しているか否かの妥当性を確認することも求められる。
(e) 情報セキュリティ監査実施者は、監査調書を作成すること。
解説：監査意見表明の根拠となる監査調書を適切に作成することを求める事項である。
監査調書とは、情報セキュリティ監査実施者が行った監査業務の実施記録であって、監査意見表明の根拠となるべき監査証拠、その他関連資料
等を綴り込んだものをいう。情報セキュリティ監査実施者自らが直接に入手した資料や試験の結果だけでなく、被監査部門側から提出された資料等を含み、場合によっては組織の外部の第三者から入手した資料等を含むことがある。
(f)

情報セキュリティ監査責任者は、監査調書に基づき監査報告書を作成し、最高情報セキュリティ責任者へ提出すること。
解説：監査結果を報告書として文書化した上で、最高情報セキュリティ責任者
33

NISD-K303-091C

へ確実に提出をすること求める事項である。
なお、本監査は、省庁対策基準が統一基準に準拠しているか、実際の運用状況が情報セキュリティ関係規程に準拠して行われているか等、準拠性の監査を意図したものであるが、監査の過程において、遵守内容の妥
当性に関連して改善すべき課題及び問題点が検出された場合には、この検出事項や助言提案を監査報告書に含めることが望ましい。
(6)

監査結果に対する対処【基本遵守事項】(a) 最高情報セキュリティ責任者は、監査報告書の内容を踏まえ、被監査部門の情報
セキュリティ責任者に対して、指摘されたことに対する対処の実施を指示すること。
解説：監査報告書において指摘された課題及び問題点に対する改善を図るため、
最高情報セキュリティ責任者へ被監査部門の情報セキュリティ責任者に対する対処実施の指示を求める事項である。
(b) 最高情報セキュリティ責任者は、監査報告書の内容を踏まえ、監査を受けた部門
以外の部門においても同種の課題及び問題点がある可能性が高く、かつ緊急に同種の課題及び問題点があることを確認する必要があると判断した場合には、他の部門の情報セキュリティ責任者に対しても、同種の課題及び問題点の有無を確認するように指示すること。
解説：監査報告書において指摘された課題及び問題点が、他の監査対象にも同種の課題及び問題点として存在する可能性が高い場合又は同種の課題及び問題点の存在を緊急に確認する必要性が高い場合には、想定される他の監査対象についても同様に調査を実施する必要がある。そのため、最高情報セキュリティ責任者から情報セキュリティ責任者に対する確認の指示を求める事項である。
(c) 情報セキュリティ責任者は、監査報告書等に基づいて最高情報セキュリティ責任者から改善を指示されたことについて、対処計画を策定し、報告すること。
解説：監査報告書や監査調書に基づいて最高情報セキュリティ責任者から改善を指示されたことについて、対処計画の策定及び報告を求める事項である。監査報告書において指摘された課題及び問題点の改善が困難である
ことについて正当な理由がある場合には、リスク軽減策を示した上で、達成することが可能な対処目標を提示することが重要である。また、その課題及び問題点が人為によるものである場合には、情報セキュリティ
責任者は、提示された対処目標を情報セキュリティ対策の教育方法や教育施策に反映することが必要である。
(d) 最高情報セキュリティ責任者は、監査の結果を踏まえ、既存の情報セキュリティ
関係規程の妥当性を評価し、必要に応じてその見直しを指示すること。
解説：情報セキュリティ監査責任者から報告された監査報告書において、課題とその改善に対する助言意見などを受けた場合には、既存の情報セキュ
34

NISD-K303-091C

リティ関係規程の見直しを検討することを求める事項である。
検討の結果、情報セキュリティ関係規程の見直しを行わない場合には、その理由について明確化すること。

35

NISD-K303-091C

1.2.4

見直し

1.2.4.1 情報セキュリティ対策の見直し
趣旨（必要性）
情報セキュリティを取り巻く環境は常時変化しており、こうした変化に的確に対応しな
いと、情報セキュリティレベルは維持できなくなる。このため、情報セキュリティ対策の根幹をなす情報セキュリティ関係規程は、作成、導入、運用、評価の各段階において、適時見直しを行う必要がある。
これらのことを勘案し、本項では、情報セキュリティ対策の見直しに関する対策基準について定める。
遵守事項(1)

情報セキュリティ対策の見直し【基本遵守事項】(a) 情報セキュリティ関係規程を整備した者は、各規定の見直しを行う必要性の有無を適時検討し、必要があると認めた場合にはその見直しを行うこと。
解説：情報セキュリティ関係規程の内容を、必要に応じて見直すことを求める事項である。見直しを行う時期は、新たなセキュリティ脅威の出現、自己点検及び監査の評価結果等を踏まえつつ、セキュリティ対策に支障が発生しないように情報セキュリティ関係規程を整備した者が判断する必要がある。
情報セキュリティ対策の課題及び問題点に対処するため情報セキュリテ
ィ関係規程を見直した者は、当該規定を見直した者が所属する部門以外の部門においても同種の課題及び問題点がある可能性が高く、かつ緊急に同種の課題及び問題点の有無を確認する必要があると判断した場合には、その課題及び問題点に関連する部門の情報セキュリティ関係規程を整備した者に対しても、同種の課題及び問題点の有無を確認するように連絡することを推奨する。
(b) 行政事務従事者は、情報セキュリティ関係規程に課題及び問題点が認められる場
合には、情報セキュリティ関係規程を整備した者に相談すること。
解説：行政事務従事者自らが整備したものではない情報セキュリティ関係規程
について、課題及び問題点が認められる場合には、情報セキュリティ関係規程を整備した者に相談することを求める事項である。
(c) 情報セキュリティ関係規程を整備した者は、情報セキュリティ関係規程に課題及び問題点が認められる旨の相談を受けた場合は、必要な措置を講ずること。
解説：情報セキュリティ関係規程に課題及び問題点が認められる旨の相談を受けた場合に、その是非を検討し、必要な措置を講ずることを求める事項である。例えば、行政事務従事者からの相談が妥当であると思料する場
合に情報セキュリティ関係規程の見直しを行ったり、逆に行政事務従事
36

NISD-K303-091C

者の理解不足が原因であると思料する場合は、再教育の措置を講ずること等が考えられる。

37

NISD-K303-091C

その他

1.2.5

1.2.5.1 外部委託
趣旨（必要性）
府省庁外の者に情報処理業務を委託する場合には、府省庁が委託先を直接管理することができないため、府省庁内で行う場合と比べ、情報の機密性、完全性及び可用性が損なわれるリスクが増大する。
このリスクに対応するため、情報処理業務を外部委託する際は、委託先においても各府省庁の省庁対策基準と同等の対策を実施させるべく、委託先への要求事項を定める必要がある。
これらのことを勘案し、本項では、外部委託に関する対策基準を定める。
適用範囲
本項は、府省庁による貸借、請負その他の契約に基づき提供される役務のうち、情報処理に係る業務であって、例えば次に掲げる営業品目に該当するものに適用する。


ソフトウェア開発（プログラム作成、システム開発等）



情報処理（統計、集計、データエントリー、媒体変換等）



賃貸借



調査・研究（調査、研究、検査等）

遵守事項
(1)

情報セキュリティ確保のための府省庁内共通の仕組みの整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、外部委託の対象としてよい情報システムの範囲
及び委託先によるアクセスを認める情報資産の範囲を判断する基準を整備すること。
解説：外部委託の対象としてよい範囲としてはいけない範囲を判断する基準を府省庁として整備することを定めた事項である。府省庁内の情報システ
ム及び関連する業務に関し、網羅性を確保しつつ統一的な基準で当該範囲を設定することが重要である。
(b) 統括情報セキュリティ責任者は、委託先の選定基準及び選定手続を整備すること。
解説：委託先の選定において整備すべき手続や基準に関して定めた事項である。
統括情報セキュリティ責任者は、委託先の選定基準の整備に当たっては、
当該委託先が、事業の継続性を有し存続可能であり、省庁対策基準の要件を満たしていると判断できる場合に限ること等を前提とすることが重要である。
選定基準としては、委託先が省庁対策基準の該当項目を遵守し得る者であること、各府省庁の省庁対策基準と同等の情報セキュリティ管理体制を整備すること、各府省庁の省庁対策基準と同等の情報セキュリティ対38

NISD-K303-091C

策の教育を実施すること等が挙げられる。
また、府省庁の情報セキュリティ水準を一定以上に保つために、委託先職員に対して要求すべき情報セキュリティ要件を府省庁内で統一的に整備することが重要である。
なお、本基準は、法令等の制定や改正等の外的要因の変化に対応して適時見直し、外部委託の実施に反映することが必要である。
【強化遵守事項】(c) 統括情報セキュリティ責任者は、委託先の選定基準策定に当たって、その厳格性向上のために、国際規格を踏まえた委託先の情報セキュリティ水準の評価方法を整備すること。
解説：委託先の候補者の情報セキュリティ水準を確認するための評価方法を整備することを求める事項である。
評価方法の整備には、ISO/IEC 27001 等に基づく認証制度の活用や、国際規格を踏まえ、情報セキュリティガバナンスの確立促進のために開発された自己評価によるツール等の応用が考えられる。
(2)

委託先に実施させる情報セキュリティ対策の明確化【基本遵守事項】(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、外部委託に係る業務遂行に際して委託先に実施させる情報セキュリティ対策の内容を定め、委託先候補に事前に周知すること。
解説：委託先に実施させる情報セキュリティ対策の内容を具体的に定めることを求める事項である。
外部委託に係る業務において納入される成果物（特に情報システム）に関しては、委託先における情報セキュリティ対策が適切に実施されていることがその後の情報システム等の運用におけるセキュリティレベルの維持及び向上の前提となることから、外部委託に係る業務遂行に際して委託先に実施させる情報セキュリティ対策の内容を定め、周知しておくことが重要である。
なお、課室情報セキュリティ責任者が外部委託に係る業務について責任を負う場合には、例えば、課室において保有する情報の加工・処理を外部委託により行う場合がある。
(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託先に請け負わせる業務において情報セキュリティが侵害された場合の対処方法を整備し、委託先候補に事前に周知すること。
解説：委託先に請け負わせる業務における情報セキュリティの侵害発生時の対処方法を府省庁として整備することを定めた事項である。情報セキュリ
ティの侵害の業務に対する影響度の大きさや機密性、完全性、可用性の要求度に応じて、対処の緊急性等を考慮することが重要である。
(c) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託先に
39

NISD-K303-091C

おける情報セキュリティ対策の履行状況を確認するための方法及び情報セキュリ
ティ対策の履行が不十分である場合の対処方法を整備し、委託先候補に事前に周知すること。
解説：委託先における情報セキュリティ対策の水準を維持するためには、その履行状況を委託元が継続的に確認すべきであること、及び履行が不十分である場合に速やかに適切な対処をすべきであることにかんがみ、これらのための方法の整備を求める事項である。
情報セキュリティ対策の履行状況を確認するための方法としては、例えば、委託先における情報セキュリティ対策の実施状況について定期的に報告させることや情報セキュリティ監査等が考えられる。
周知する情報セキュリティ監査の内容には、請け負わせる業務のうちで監査の対象とする範囲、実施者（府省庁が指定する第三者、委託先が選定する第三者、府省庁又は委託先において当該業務を行う部門とは独立した部門）、実施方法（情報セキュリティ監査基準の概要、実施場所等）
等、当該情報セキュリティ監査を受け入れる場合の委託先の負担及び委託先候補の情報セキュリティポリシーとの整合性等を委託先候補が判断するために必要と考えられる事項を含める。
情報セキュリティ対策の履行が不十分である場合の対処方法としては、
府省庁及び委託先が改善について協議を行い、合意した改善策を実施させること等が考えられる。
また、情報システムセキュリティ責任者又は課室情報セキュリティ責任
者自身が契約を行わない場合には、本遵守事項に係る取決めについて、契約する者に対して依頼すること。
(3)

委託先の選定【基本遵守事項】(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、選定基準
及び選定手続に基づき、委託先を選定すること。
解説：委託先の選定時における手続等の遵守に関して定めた事項である。
【強化遵守事項】(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、国際規格を踏まえた委託先の情報セキュリティ水準の評価方法に従って、委託先の候補者の情報セキュリティ水準を確認し、委託先の選定における評価の一要素として利用すること。
解説：国際規格を踏まえた委託先の情報セキュリティ水準の評価方法に基づく評価結果を、委託先の選定における評価の一要素として利用することを求める事項である。
(4)

外部委託に係る契約【基本遵守事項】
40

NISD-K303-091C(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、外部委託を実施する際に、委託先に請け負わせる業務における情報セキュリティ対策、機密保持（情報の目的外利用の禁止を含む。）、情報セキュリティの侵害発生時の対処方法、情報セキュリティ対策の履行状況の確認方法及び情報セキュリティ対策の履行が不十分である場合の対処方法を含む外部委託に伴う契約を取り交わすこと。また、必要に応じて、以下の事項を当該契約に含めること。
(ア) 情報セキュリティ監査の受入れ(イ) サービスレベルの保証
解説：情報セキュリティの観点から、外部委託に係る契約に含めるべき事項を定めた事項である。
機密保持に関する条項は、要機密情報が委託範囲に含まれるか否かにかかわらず、請け負った業務及びその業務の遂行により知り得る情報を守るべきであることから、これを記載する必要がある。
情報セキュリティ監査を実施する場合には、監査の対象とする範囲、実
施者及び実施方法等を含む、委託先と合意した事項を契約に含める。
サービスレベルに関しては、セキュリティ確保の観点からも、可用性、通信の速度及び安定性、データの保存期間及び方法、データ交換の安全性及び信頼性確保のための方法、事故発生時の対処方法等を決定し、委託先に保証させることが重要である。
情報システムセキュリティ責任者又は課室情報セキュリティ責任者自身が契約を行わない場合には、本遵守事項に係る取決めについて、契約する者に対して依頼すること。
(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、外部委託に係る契約者双方の責任の明確化と合意の形成を行い、委託先における情報セキ
ュリティ対策の遵守方法及び管理体制に関する確認書等を提出させること。また、必要に応じて、以下の事項を当該確認書等に含めさせること。
(ア) 当該委託業務に携わる者の特定(イ) 遵守すべき情報セキュリティ対策を実現するために、当該者が実施する具体的な取組内容解説：外部委託に係る契約者双方の責任の明確化と合意形成に基づく委託先からの確認書等の入手に関し定めた事項である。
必要に応じて、当該委託業務に携わる委託先の者の特定や、当該者が実施する取組内容を、委託先に確認することが重要になる。
特に、情報システムの構築及びソフトウェア開発等の外部委託の場合には、成果物における情報セキュリティ対策の実施が、その作成プロセスと不可分であることが想定されるため、遂行される業務全体の責任者を報告させることが重要である。
(c) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、外部委託契約の継続に関しては、選定基準及び選定手続に基づきその都度審査するものとし、安易な随意契約の継続をしないこと。
41

NISD-K303-091C

解説：外部委託契約の継続、特に随意契約に関し、都度審査することを定めた事項である。
また、情報システムセキュリティ責任者又は課室情報セキュリティ責任
者自身が契約を行わない場合には、本遵守事項に係る取決めについて、契約する者に対して依頼すること。
(d) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託先の提供するサービス（情報セキュリティ基本方針、実施手順、管理策の維持及び改善を含む。
）の変更に関しては、選定基準及び選定手続に基づき、その是非を審査すること。
解説：委託契約の実施中の契約変更に関して定めた事項である。変更がある場
合にはその是非を審査し、必要に応じて、契約変更をする等の対応が必要である。
また、情報システムセキュリティ責任者又は課室情報セキュリティ責任
者自身が契約を行わない場合には、本遵守事項に係る取決めについて、契約する者に対して依頼すること。
(e) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託先がその請負内容の全部又は一部を第三者に再請負させることを禁止すること。ただし、委託先からの申請を受け、再請負させることにより生ずる脅威に対して情報
セキュリティが十分に確保される措置が担保されると判断する場合は、その限りでない。
解説：請負内容に関する第三者への再請負の原則禁止を定めた事項である。
一般的に、委託先が多階層化されるとセキュリティレベルが下がることが懸念されるため、再請負をするべきではない。ただし、委託先から申請を受け、再請負を行うことが合理的であると認められる場合には、再請負させることにより生ずる脅威に対して情報セキュリティが十分に確保される措置が担保されることを条件に再請負を認めるものとする。情報セキュリティを十分に確保するためには、委託先を選定する場合と同一観点から再請負先が委託契約の内容を遵守できる者であることを情報システムセキュリティ責任者又は課室情報セキュリティ責任者が確認し、再請負先に行わせる内容に応じて、委託先自体が実施する場合に求めるべき水準と同一水準の情報セキュリティ対策を実施させることを契約等に盛り込むよう委託先に求めることが必要である。
また、情報システムセキュリティ責任者又は課室情報セキュリティ責任
者自身が契約を行わない場合には、本遵守事項に係る取決めについて、契約する者に対して依頼すること。
(5)

外部委託の実施における手続【基本遵守事項】(a) 行政事務従事者は、委託先に要保護情報又は重要な設計書を提供する場合、提供する情報を必要最小限とし、以下の措置を講ずること。
42

NISD-K303-091C(ア) 委託先に情報を提供する場合は、安全な受渡方法によりこれを実施し、提供した記録を取得すること。
(イ) 外部委託の業務終了等により提供した情報が委託先において不要になった場
合には、これを確実に返却させ、又は廃棄させ、若しくは抹消させること。
解説：委託契約開始から終了に至るまでに行う委託先への情報の提供を必要最小限に止め、また、提供に伴う要保護情報の漏えいや滅失等を防止するための措置の実施を求める事項である。
委託先への情報の提供における遵守事項は、本統一基準の「1.3.1.4 情報の移送」及び「1.3.1.5 情報の提供」の定めに準ずるが、例えば機密性３
情報を提供する場合には、当該外部委託について責任を負う情報システ
ムセキュリティ責任者又は課室情報セキュリティ責任者の許可を得ること、また、機密性２情報を提供する場合には、これらの者のいずれかに届け出ることが必要となる。委託先の選定基準や情報セキュリティの侵害時の対処方法を整備した上で、当事者間の情報の授受において上記の措置に従うことにより情報セキュリティを確保することが重要である。
(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、請け負わせた業務の実施において情報セキュリティの侵害が発生した場合に、定められた対処方法に従い、委託先に必要な措置を講じさせること。
解説：請け負わせた業務の実施中に情報セキュリティの侵害が発生した場合に、契約に記載した対処方法に従い、委託先に必要な措置を講じさせることを情報システムセキュリティ責任者又は課室情報セキュリティ責任者に求める事項である。
(c) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、定められた方法に従い、委託先における情報セキュリティ対策の履行状況を確認すること。
解説：委託先に請け負わせた業務の実施中に、契約に記載した方法に従い、委託先における情報セキュリティ対策の履行状況を確認することを情報シ
ステムセキュリティ責任者又は課室情報セキュリティ責任者に求める事項である。
委託先における情報セキュリティ対策の履行状況の確認に際し、情報セキュリティ監査を利用することとした場合には、契約に記載した監査の範囲及び実施方法に従い、府省庁自らが情報セキュリティ監査を行う以外に、第三者又は委託先に情報セキュリティ監査を行わせることが考え
られる。
(6)

外部委託終了時の手続【基本遵守事項】(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、外部委託の終了時に、委託先に請け負わせた業務において行われた情報セキュリティ対策を確認し、その結果を納品検査における確認の判断に加えること。
解説：外部委託に係る業務の終了時における情報セキュリティ対策の確認に関43

NISD-K303-091Cして定めた事項である。
委託先に請け負わせた業務において情報セキュリティ対策が契約に従い適切に実施されていることが、その後の運用におけるセキュリティレベ
ルの維持及び向上の前提となる。このため、情報システムセキュリティ
責任者又は課室情報セキュリティ責任者は、委託先において実施された情報セキュリティ対策を確認し、その結果を納品検査の判断に加えることが重要である。

1.2.5.2 業務継続計画との整合的運用の確保
趣旨（必要性）
各府省庁においては、「中央省庁業務継続ガイドライン 第１版」
（平成 19 年 6 月、内閣
府）に基づき、業務の継続に重大な支障を来し、あるいは国民の安全と利益に重大な脅威となる可能性が想定される事態を特定し、当該事態に対応する計画を業務継続計画として策定することが想定されている。他方では、業務継続計画の対象とする事態は、多くの場
合に情報セキュリティを損なうものともなり、各府省庁の情報セキュリティ関係規程に基づく対策も講じられることとなる。この場合、業務継続計画の適正な運用と情報セキュリ
ティの確保の双方の目的を適切に達成するためには、両者の整合的運用の確保が必要である。
これらのことを勘案し、本項では、業務継続計画と情報セキュリティ対策の整合的運用の確保に関する対策基準を定める。
適用範囲「中央省庁業務継続ガイドライン 第１版」（平成 19 年 6 月、内閣府）に基づき、業務継続計画を整備し、又は整備を予定している府省庁に適用する。
遵守事項
(1)

業務継続計画と情報セキュリティ対策の整合性の確保【基本遵守事項】(a) 情報セキュリティ委員会は、府省庁において業務継続計画又は省庁対策基準を整備する場合には、業務継続計画と省庁対策基準との整合性の確保のための検討を行うこと。
解説：業務継続計画と省庁対策基準は、特定の事態に対して、それぞれの体系において定められることがあり得る。当該事態の例として、情報システ
ムの稼動を損なう地震及び風水害等の自然災害、火災等の人的災害・事
故、停電等の社会インフラの不全、並びに情報機器の故障等が想定される。これらの事態に対して業務継続計画及び省庁対策基準のそれぞれで定める対策に矛盾があると、双方の遵守を求められる府省庁組織及び職
員は、日常及び事態発生時に一貫性のある適切な行動をとることができ
44

NISD-K303-091Cない。このため、業務継続計画と省庁対策基準の間で整合性を確保するよう検討を行うことが必要である。
本統一基準の 1.2.1.1 項で情報セキュリティ委員会は省庁対策基準の策定を求められているが、その策定及び見直しの際に、府省庁が業務継続計
画で定め、又は定めることが予定されている要求事項を情報セキュリテ
ィ委員会が把握した上で、業務継続計画の整備計画を担当する者と協議し双方の定めを調整する必要がある。また、業務継続計画に変更が生じ、又は生ずることが予定されている場合には、その変更が省庁対策基準に影響するかどうかを確認し、必要があれば、省庁対策基準の改訂を行うなどして、業務継続計画との整合の確保に努めなければならない。
(b) 統括情報セキュリティ責任者、情報セキュリティ責任者、情報システムセキュリ
ティ責任者及び課室情報セキュリティ責任者は、府省庁において業務継続計画の整備計画がある場合には、すべての情報システムについて、当該業務継続計画との関係の有無を検討すること。
解説：業務継続計画と情報セキュリティ関係規程との整合性を確保する前提として、府省庁の情報システムのうち、業務継続計画と関係のある情報シ
ステムを特定することを求める事項である。
(c) 統括情報セキュリティ責任者、情報セキュリティ責任者、情報システムセキュリ
ティ責任者及び課室情報セキュリティ責任者は、府省庁において業務継続計画の整備計画がある場合には、当該業務継続計画と関係があると認めた情報システム
について、以下に従って、業務継続計画と省庁対策基準に基づく共通の実施手順を整備すること。
(ア) 通常時において業務継続計画と省庁対策基準の共通要素を整合的に運用する
ため、情報セキュリティの枠内で必要な見直しを行うこと。
解説：例えば、事態発生時には、業務の継続以外の対応として、府省庁の施設の一部を帰宅困難者や救命等が必要な外来者の退避場所として使用する場合等も考えられる。このような場合を想定した対策を講じていないと、不特定者の出入りによって通常時と比べてセキュリティレベルの確保に支障をきたすおそれがある。このため、セキュリティ確保の面で配慮を要する施設や業務への影響を分析し、必要な対策を十分検討した上で、施設全体の入館管理だけでなく、各執務室や各職員の卓上のセキュリテ
ィ対策を含め、通常時から不特定者の出入りを想定した対策を講ずる必要がある。
また、事態発生時にも利用することを想定している情報システムについては、事態発生時に確実に利用できるように、通常時において耐震対策
等の物理的な対策を講ずる必要がある。
(イ) 事態発生時において業務継続計画と省庁対策基準の実施に障害となる可能性のある情報セキュリティ対策の遵守事項の有無を把握し、整合的運用が可能となるよう事態発生時の規定を整備すること。
解説：統括情報セキュリティ責任者、情報セキュリティ責任者、情報システム
45

NISD-K303-091C

セキュリティ責任者及び課室情報セキュリティ責任者に、業務継続計画と自らが担当する実施手順の整合性の確保を求める事項である。整合性を確保するための対応には、通常時の運用において実施するものと、事態発生時に実施するものがある。事態発生への対応として、業務継続計
画及び省庁対策基準のそれぞれにおいて事態発生時における情報システ
ムの稼動水準及び復旧までの所要時間の目標を定め、その達成を図る
様々な対策を実施手順において具体的に定める等が想定される。この場
合、対策として、例えば、施設の耐災害性確保、施設・情報システムの地理的分散及び冗長化、非常用電源の確保、人手による業務処理や郵送・電話の利用を含む情報システム以外の通信手段の利用等がある。また、事態発生時の対応体制及び担当者の指名も整備対象となり得る。
これらの目標及び対策を業務継続計画及び情報セキュリティ関係規程の双方で定めることとなるため、相互の整合性を確保するための規定の整備が必要となる。
また、事態発生時には、情報システムの主体認証情報（パスワード）を設定した者以外の者が当該情報システムを使用しなければならない場合が想定される。しかしながら、個人が管理しているパスワードの共用（共用識別コードに係るものを除く。）は、そもそも情報セキュリティ対策の観点では厳に禁止されるべきものである上、事態発生時には、パスワー
ドを聞き出す者についての本人確認などが不十分となることも想定される。このため、個人が管理しているパスワードを聞き出したり、共用するために管理者において控えを管理する手順を業務継続計画で安易に認めるべきではなく、これに代わる手順を十分検討する必要がある。
手順の一例としては、起動のためのパスワードを通常時には使用者だけが主として管理するような端末の管理者権限アカウントについては、本人が設定するアカウントのほかに、事態発生時用のアカウントをあらかじめ設定しておく方法が考えられる。この方法を用いる場合は、まず、その事態発生時用のアカウントのパスワードを人が記憶困難な文字列で設定し、ついで、設定内容を記載した紙面を施錠された安全な保管場所で保管しておく。そして、事態発生時には、その紙面を参照し事態発生
時用のアカウントで起動する。このような手順を採用することで、パスワードの聞き出しや事態発生時以外の共用を回避することができる。また、設定内容を記載した紙面を保管する際に、開封すると開封事実が明らかとなる特殊な封書（tamper evidence envelope）を併用すれば、通常時における不正使用の有無の確認が可能となる。なお、このような手順の方が、事態発生時に本人に連絡して聞き出すよりも、迅速に対応ができるものと思われる。
(2)

業務継続計画と情報セキュリティ関係規程の不整合の報告【基本遵守事項】
46

NISD-K303-091C(a) 行政事務従事者は、府省庁において業務継続計画の整備計画がある場合であって、業務継続計画と情報セキュリティ関係規程が定める要求事項との違いなどにより、実施の是非の判断が困難なときは、関係者に連絡するとともに、統括情報セキュ
リティ責任者が整備した障害・事故等が発生した際の報告手順により、情報セキ
ュリティ責任者にその旨を報告して、指示を得ること。
解説：本来、業務継続計画と情報セキュリティ関係規程が定める要求事項との整合性については、上記(1)及び(2)の遵守事項を適正に実施することで担保されるものである。しかしながら、業務継続計画の対象となる状況においては、事前に想定していなかった様々な不整合が発生すると考えられる。業務継続計画の重要性を考慮すると、万が一、不整合について、
情報セキュリティ委員会等が事前に想定できなかった場合にも、それを迅速に改善できるようにしておくべきである。

47

NISD-K303-091C

第 1.3 部
1.3.1

情報についての対策

情報の取扱い1.3.1.1 情報の作成と入手趣旨（必要性）
行政事務においては、その事務の遂行のために複数の者が共通の情報を利用する場合がある。この際、利用者により当該情報の取扱いに関する認識が異なると、当該情報に応じた適切な情報セキュリティ対策が採られないおそれがあるため、情報を作成し、又は入手した段階で、すべての利用者において認識を合わせるための措置が必要となる。
これらのことを勘案し、本項では、情報の作成及び入手に関する対策基準を定める。
遵守事項
(1)

業務以外の情報の作成又は入手の禁止【基本遵守事項】(a) 行政事務従事者は、行政事務の遂行以外の目的で、情報を作成し、又は入手しな
いこと。
解説：行政事務の遂行以外の目的で、情報を作成し、又は入手しないことを求める事項である。
(2)

情報の作成又は入手時における格付けと取扱制限の決定【基本遵守事項】(a) 行政事務従事者は、情報の作成時及び府省庁外の者が作成した情報を入手したことに伴う管理の開始時に格付け及び取扱制限の定義に基づき、格付け及び取扱制限を決定すること。
解説：作成又は入手した情報について、以降、適切なセキュリティ管理が施されるように、機密性、完全性、可用性の格付け及び取扱制限を行うことを求める事項である。
情報の格付けが適切に決定されていなかった、また、明示等されていなかったことを一因として障害・事故等が発生した場合には、障害・事故等の直接の原因となった人物のほか、情報の格付け及び明示等を適切に行わなかった情報の作成者にも責任が及ぶことがある。その観点からも、行政事務従事者が、情報の格付け及び取扱制限とその明示等を確実に行うことは重要である。
なお、格付け及び取扱制限の決定をする際は、要件に過不足が生じない
ように十分注意しなければならない。格付け及び取扱制限として決定する要件が不十分であると、そのための情報セキュリティ対策が不十分となり、情報が適切に保護されなくなる。逆に、過度の要件を求めると、
48

NISD-K303-091C

情報の保護が必要以上に厳しくなって事務が繁雑になり、情報の利便性や有用性が損なわれたり、事務の繁雑さを行政事務従事者が煩わしく思うことで適切な管理が行われなくなったりするおそれがある。
特に、格付け及び取扱制限を必要以上に高くしないように配慮すること
も、情報の利用を円滑に行うために注意が必要である。
例えば、本来要機密情報とする情報を要機密情報に格付けないことは不適切であるが、逆に、本来要機密情報ではない情報（例えば、公開しても差し支えない情報）をむやみに要機密情報に格付けることも不適切であることに注意すること。
また、取扱制限については必要性の有無を検討し、その結果指定しないという決定でも差し支えない。
電磁的記録については機密性、完全性、可用性の観点から、書面については機密性の観点から、格付け及び取扱制限の定義に基づき、要件に過不足が生じないように注意した上でその決定（取扱制限については必要性の有無を含む。
）をし、決定した格付け及び取扱制限に基づき、その指定を行うこと。
(b) 行政事務従事者は、元の情報の修正、追加、削除のいずれかにより、他者が決定した情報の格付け及び取扱制限を変更する必要があると思料する場合には、前項に従って再決定すること。
解説：元の情報の修正、追加、削除のいずれかにより、格付け又は取扱制限を変更する必要が生じた場合には、格付け及び取扱制限の再決定を行う必要がある。
例えば、以下のような場合が考えられる。
・機密性の低い情報に機密性の高い情報を追加したことによって、情報の機密性が上がる場合
・機密性の高い情報から機密に該当する部分を削除したことによって、情報の機密性が下がる場合
なお、情報の格付け及び取扱制限は、省庁対策基準に沿った対策を適正に実施するための基礎となる重要な事項であることについては、前記のとおりである。このため、これらを変更するに当たっても適正な手続により実施する必要がある。情報の格付け及び取扱制限の変更には、大別して再決定と見直しがある。
再決定した場合には、再決定後の新たな格付け等の決定者は再決定した者となる。見直しについては、1.3.1.2 情報の利用 (4) を参照のこと。
(3)

格付けと取扱制限の明示等【基本遵守事項】(a) 行政事務従事者は、情報の格付け及び取扱制限を決定（再決定を含む。以下同じ。）
した際に、当該情報の参照が許されている者が認識できる方法を用いて明示等すること。
49

NISD-K303-091C

解説：作成者又は入手者によって格付け及び取扱制限が決定された情報に対して、以降、他者が当該情報を利用する際に必要とされるセキュリティ対策の内容を示すため、情報の格付け及び取扱制限の明示等を行うことを求める事項である。
「明示等」とは、情報を取り扱うすべての者が当該情報の格付け及び取扱制限について共通の認識となるように措置することをいい、情報ごとの格付けの区分及び取扱制限の種類を当該情報に記載することによる明示を原則とする。なお、格付けの区分及び取扱制限の種類を記載していたとしても、当該ファイルを参照する者が、その内容を参照する際に格付けの区分及び取扱制限の種類を特段の手順なく視認することができない状態（例えば、文書ファイルのプロパティ設定に格付けの区分を記載することや、文章閲覧時に画面表示はされず印刷しかされないヘッダ部分に記載することなど）については、記載しても明示に当たらない。
格付け及び取扱制限の明示等は、当該情報が、電磁的ファイルとして取り扱われることが想定される場合にはファイル名自体又は情報内容の中に、外部電磁的記録媒体に保存して取り扱うことが想定される場合には
外部電磁的記録媒体に、書面に印刷されることが想定される場合には書面のヘッダ部分等に、それぞれ記載する必要がある。
既に書面として存在している情報に対して格付けや取扱制限を明示等する場合には、手書きによる記入又はスタンプ等による押印が必要である。
なお、原則として各書面それぞれに明示等すべきであるが、取り扱う単位がフォルダ単位や冊子単位の時には、その単位ごとに明示等することも可能である。
なお、格付け及び取扱制限の明示等とあわせて、情報の作成者又は入手者の氏名、所属、連絡先等を記載することも有益である。
明示等を行なうには、格付けの区分及び取扱制限の種類を記載することによる明示が原則であるが、当該情報システムに保存されているすべての情報が同じ格付け、取扱制限であり、利用するすべての行政事務従事者にその認識が周知徹底されている場合は、以下のように記載以外の方法で簡便化してもよい。
① 格付け及び取扱制限の明示等の簡便化
特定の情報（例えば、特定の情報システムについて、当該情報システムに記録される情報）の格付け及び取扱制限を規定等により明記し、当該情報にアクセスするすべての者に当該規定を周知することによって、格付けの区分及び取扱制限の種類を記載することを省略することができる。
②

格付け及び取扱制限の決定を認識できない者への提供

格付けの区分及び取扱制限の種類が記載されていない情報に対する格付
け及び取扱制限の決定内容を認識していない行政事務従事者に当該情報を提供する必要が生じた場合（例えば、他府省庁に情報を提供等する場
50

NISD-K303-091C合）は、当該情報に格付けの区分及び取扱制限の種類を記載した上で提供しなければならない。
③

取扱制限の明示等を簡便化した場合における取扱制限の追加・変更

例えば、簡便化に係る規定等により、特定の文書ファイルについて、取扱制限の種類を記載することを省略している場合、当該ファイルのうち一部のファイルについて取扱制限を追加するときは、追加する取扱制限の種類のみを記載し、逆に取扱制限を解除するときは、当該解除する取扱制限を「送信可」「印刷可」などのように記載することが想定される。
ただし、電磁的記録の参照、編集等に利用するソフトウェアの制限等により、各ページに明記できない場合には、文章の先頭ページに明記すること。
(4)

格付けと取扱制限の加工時における継承【基本遵守事項】(a) 行政事務従事者は、情報を作成する際に、参照した情報又は入手した情報が既に格付け又は取扱制限の決定がなされている場合には、元となる情報の機密性に係る格付け及び取扱制限を継承すること。
解説：作成の際に参照した情報又は入手した情報が既に機密性に係る格付け又は取扱制限の指定がされている場合には、元となる格付け及び取扱制限を継承し、同一情報について一貫した対策を維持することを求める事項である。なお、完全性及び可用性については、引用した新たな情報において適切な格付け及び取扱制限を決定すること。

1.3.1.2 情報の利用
趣旨（必要性）
行政事務においては、その遂行のために多くの情報を利用するが、利用者の認識不足等
により情報を不適切に取り扱うと、当該情報の漏えい、滅失、き損及び改ざん等が発生するおそれがある。このリスクに対応するため、行政事務の遂行において、情報は、格付け等に応じて定められた手続に従い、適切に利用しなければならない。
これらのことを勘案し、本項では、情報の利用に関する対策基準を定める。
遵守事項
(1)

業務以外の利用の禁止【基本遵守事項】(a) 行政事務従事者は、行政事務の遂行以外の目的で、情報を利用しないこと。
解説：行政事務の遂行以外の目的で、情報を利用しないことを求める事項である。

51

NISD-K303-091C(2)

格付け及び取扱制限に従った情報の取扱い【基本遵守事項】(a) 行政事務従事者は、利用する情報に明示等された格付けに従って、当該情報を適切に取り扱うこと。格付けに加えて取扱制限の明示等がなされている場合には、当該取扱制限の指示内容に従って取り扱うこと。
解説：情報に明示等された格付け及び取扱制限に従って、適切に取り扱うことを求める事項である。
(3)

格付け及び取扱制限の複製時における継承【基本遵守事項】(a) 行政事務従事者は、情報を複製する場合には、元となる情報の機密性に係る格付け及び取扱制限を継承すること。
解説：複製の際に元となる情報が既に機密性に係る格付け又は取扱制限の明示等がされている場合には、元となる格付け及び取扱制限を継承し、同一情報について一貫した対策を維持することを求める事項である。なお、
完全性及び可用性については、複製した新たな情報において適切な格付け及び取扱制限を決定すること。
(4)

格付け及び取扱制限の見直し【基本遵守事項】(a) 行政事務従事者は、情報を利用する場合に、元の格付け又は取扱制限がその時点で不適切と考えるため、他者が決定した情報の格付け又は取扱制限そのものを見直す必要があると思料する場合には、その決定者（決定について引き継いだ者を含む。）又はその上司（以下、この項において「決定者等」という。）に相談すること。
解説：利用する元の情報への修正、追加、削除のいずれでもないが、元の格付け又は取扱制限そのものがその時点で不適当と考える場合には、格付け
又は取扱制限の見直しについてその決定者に確認を求める必要がある。
また、異動等の事由により、当該決定者と相談することが困難である場
合等においては、決定について引き継いだ者又は同人の上司に相談し、その是非を検討することになる。
ただし、元の決定者等のいずれかによる再決定がない限り、当該情報の利用者がそれらの者に無断で、格付け又は取扱制限を変更することは許されない。
見直しにより元の決定者等に相談することが必要となる例として以下のような場合が考えられる。
・作成時には非公開だった情報が正規の手続によって公開されることで機密性が失われた場合（時間の経過により変化した場合）
・取扱制限で参照先を限定していた情報について、その後参照先を変更する必要が生じた場合
52

NISD-K303-091C

・取扱制限で保存期間を指定していた情報について、その後期間の延長をする場合
・格付け及び取扱制限を決定したときの判断が不適切であったと考えられる場合相談を受けた決定者等は、次項(b)に基づいて所要の措置を講ずることになる。
(b) 行政事務従事者は、自らが格付け及び取扱制限の決定者等である情報に対して、見直しの必要があると認めた場合には、当該情報の格付け又は取扱制限を再決定し、それを明示等すること。また、それ以前に当該情報を参照した者に対して、その旨を可能な限り周知すること。
解説：いずれの理由であっても、適切な格付け又は取扱制限がなされていない
場合は、情報セキュリティ対策が適正に実施されないおそれが生ずるた
め、適切な格付け又は取扱制限に変更することを求める事項である。
また、同一の情報が異なる格付け又は取扱制限とならないように、変更以前に当該情報を参照した者に対しても、格付け又は取扱制限が変更された旨を周知させることに努める必要がある。
当該情報を直接提供した相手やそれを参照したと思われる者を特定する
ことが困難な場合には、わかる範囲で構わない。
(5)

要保護情報の取扱い【基本遵守事項】(a) 行政事務従事者は、行政事務の遂行以外の目的で、要保護情報を府省庁外に持ち出さないこと。
解説：情報の漏えい、改ざん、破損、紛失等を未然に防ぐため、行政事務従事者が行政事務の遂行以外の目的で要保護情報を府省庁外へ持ち出すことを禁止する事項である。
なお、これを徹底させる手段として、「持出禁止」の取扱制限の明示等が挙げられる。
(b) 行政事務従事者は、要保護情報を放置しないこと。
解説：第三者による不正な操作や盗み見等を防止することを求める事項である。
離席する際には、ロック付きスクリーンセーバーを起動するあるいはロ
グオフして、画面に情報を表示しないこと、また、机の上に書類を放置して長時間離席しない、印刷した書面を速やかに回収し出力トレイに放置しないことなどを徹底する必要がある。
(c) 行政事務従事者は、機密性３情報を必要以上に複製しないこと。
解説：不必要な複製によって情報漏えいの危険性が高くなることを考慮し、必要以上に機密性３情報を複製しないことを求める事項である。
なお、「秘密文書等の取扱いについて」（昭和 40.4.15 事務次官等会議申合せ） 第 6 項 では、「 「極秘」の文書の複製は、絶対に行なわないこと。
「秘」の文書は、指定者の承認をうけて複製することができること。
」と53

NISD-K303-091C定めている。
なお、これを徹底させる手段として、「複製禁止」の取扱制限の明示等が挙げられる。
(d) 行政事務従事者は、要機密情報を必要以上に配付しないこと。
解説：情報漏えいを未然に防ぐため、要機密情報の配付は最小限にとどめることを求める事項である。
なお、これを徹底させる手段として、「配付禁止」の取扱制限の明示等が挙げられる。
【強化遵守事項】(e) 行政事務従事者は、機密性３情報には、機密性３情報として取り扱う期間を明記すること。また、その期間中であっても、情報の格付けを下げる又は取扱制限を緩和する必要性があると思料される場合には、格付け及び取扱制限の見直しに必要な処理を行うこと。
解説：秘密としての管理を求められる期間を明記することにより、必要以上の秘密管理を防止するための事項である。
なお、「秘密文書等の取扱いについて」（昭和 40.4.15 事務次官等会議申合せ） 第 5 項 では、「秘密文書には、秘密にしておく期間を明記し、その期間が経過したときは、秘密の取扱いは、解除されたものとする。ただし、その期間中秘密にする必要がなくなったときは、その旨を通知して秘密の解除を行うものとすること。
」と定めている。
(f)

行政事務従事者は、機密性３情報である書面には、一連番号を付し、その所在を明らかにしておくこと。
解説：機密性３情報である書面に一連番号を付与し、個別に所在管理を行うことを求める事項である。
配付時に一連番号を付与することによって、当該機密性３情報を受領した者に、一定の管理義務を要請する効果も期待できる。
なお、「秘密文書等の取扱いについて」（昭和 40.4.15 事務次官等会議申合せ） 第 4 項 では、「 「極秘」の文書には、必ず一連番号を付し、その所在を明らかにしておくこと。
」と定めている。

1.3.1.3 情報の保存
趣旨（必要性）
行政事務においては、その事務の継続性を確保するなどの必要性から情報を保存する場
合があるが、情報の保存を続ける限り、当該情報の漏えい、滅失、き損及び改ざん等が発生するおそれも継続する。
これらのことを勘案し、本項では、情報の保存に関する対策基準を定める。

54

NISD-K303-091C

遵守事項
(1)

格付けに応じた情報の保存【基本遵守事項】(a) 行政事務従事者は、電磁的記録媒体に保存された要保護情報について、適切なアクセス制御を行うこと。
解説：電磁的記録媒体に保存された情報に関して、機密性、完全性及び可用性の格付け及び取扱制限に応じ、必要のない者に情報へアクセスさせないためのアクセス制御を可能な範囲で実施することを求める事項である。
電磁的記録媒体に保存された情報には電子計算機等を利用してアクセスすることになるため、アクセス制御は、電子計算機、オペレーティング
システム、アプリケーション及びファイル等を単位として行うことができ、これらを選択し組み合わせて、適切なアクセス制御を実現する。
情報システムに行政事務従事者自らがアクセス制御設定を行う機能が装備されている場合には、行政事務従事者は、当該情報の格付け及び取扱制限の指示内容に従って、必要なアクセス制御の設定を行うこと。例えば、要機密情報であれば、不適当な者から参照されないよう、読取制限の属性を付与し、完全性２情報であれば、不適当な者から変更されない
よう、上書き禁止の属性を付与することがこれに当たる。
ただし、複製禁止の取扱制限がされていたとしても、情報システムに複製禁止とする機能がなければ、そのアクセス制御の設定をすることはできない。その場合には、情報システムが備えていない機能については、
行政事務従事者が取扱上注意することで、その指示を遵守することにな
る。
(b) 行政事務従事者は、情報の格付け及び取扱制限に応じて、情報が保存された電磁的記録媒体を適切に管理すること。
解説：電磁的記録媒体に関して、機密性、完全性及び可用性の格付け及び取扱制限に応じて、適切に管理することを求める事項である。
例えば、機密性の格付け及び取扱制限に応じて、外部電磁的記録媒体及び内蔵電磁的記録媒体を含む機器を施錠のできる書庫・保管庫に保存し、不正な持出しや盗難を防ぐことが考えられる。
外部電磁的記録媒体については、主体認証情報（パスワード）によるロック機能を持つ場合には、当該媒体の利用を防止することが可能であるが、ロック機能を持たない外部電磁的記録媒体も多く、保存する情報に応じた外部電磁的記録媒体を選択する必要がある。
(c) 行政事務従事者は、情報システムに入力された情報若しくは情報システムから出力した情報を記載した書面のうち要機密情報である書面、又は重要な設計書を適切に管理すること。
解説：書面の適切な管理を求める事項である。
例えば、必要なく情報の参照等をさせないために、書面を施錠のできる書庫に保存するなどの措置が考えられる。
55

NISD-K303-091C(d) 行政事務従事者は、要機密情報を電磁的記録媒体に保存する場合には、パスワードを用いて保護する必要性の有無を検討し、必要があると認めたときは、情報にパスワードを設定すること。
解説：電磁的記録媒体に保存された情報の機密性を確保するために、要機密情報を容易に参照できないようにするため、パスワードによって保護することを求める事項である。
方法としては、文書作成アプリケーションによるパスワード保護オプシ
ョン、圧縮・解凍ソフトによるパスワード保護オプションの利用等が挙げられる。
(e) 行政事務従事者は、要機密情報を電磁的記録媒体に保存する場合には、暗号化を行う必要性の有無を検討し、必要があると認めたときは、情報を暗号化すること。
解説：電磁的記録媒体に保存された情報の機密性を確保するために、その暗号化を行うことを求める事項である。
暗号化を行うと情報の復号ができる者を限定することとなり、府省庁内において情報の機密性を高めるために有効である。また、万一 PC、光ディスク、USB メモリ等の紛失・盗難が発生しても、暗号が解読されない
限り、情報の漏えいは防ぐことができる。
情報を暗号化する際は、1.5.2.4 暗号と電子署名の標準手順の定めに従うこと。
(f)

行政事務従事者は、要保全情報を電磁的記録媒体に保存する場合には、電子署名の付与を行う必要性の有無を検討し、必要があると認めたときは、情報に電子署名を付与すること。
解説：要保全情報を電磁的記録媒体に保存する場合、その改ざんのおそれを勘案し、必要に応じて電子署名を付与することを求める事項である。
情報に電子署名を付与する際は、1.5.2.4 暗号と電子署名の標準手順の定めに従うこと。

(g) 行政事務従事者は、要保全情報若しくは要安定情報である電磁的記録又は重要な設計書について、バックアップ又は複写の必要性の有無を検討し、必要があると認めたときは、そのバックアップ又は複写を取得すること。
解説：情報のバックアップ又は複写の取得を求める事項である。
バックアップは、その取得頻度が復元の手順及び所要時間に関係することも考慮して、頻度を定める。障害・事故等に備えて適切な頻度で復元の演習も行い、行政事務従事者に習熟させる。
なお、バックアップした記録媒体の紛失・盗難により情報が漏えいする
おそれがあるため、必要に応じて、その情報を暗号化することが望ましい。
(h) 行政事務従事者は、要保全情報若しくは要安定情報である電磁的記録のバックア
ップ又は重要な設計書の複写の保管について、災害等により生ずる支障の有無を検討し、支障があると認めたときは、適切な措置を講ずること。
解説：バックアップ又は複写の適切な保管を求める事項である。
56

NISD-K303-091C

例えば、バックアップ又は複写を防火金庫に保管することや、同時被災に備えて遠隔地に保管することなどが考えられる。
(2)

情報の保存期間【基本遵守事項】(a) 行政事務従事者は、電磁的記録媒体に保存された情報の保存期間が定められている場合には、当該情報を保存期間が満了する日まで保存し、保存期間を延長する
必要性がない場合は、速やかに消去すること。
解説：情報の保存期間に従って管理することを求める事項である。
行政事務従事者は、必要な期間は確実に情報を保存するとともに、その期間を経過した場合には当該情報を速やかに消去してリスクの増大を回避する必要がある。

1.3.1.4 情報の移送
趣旨（必要性）
行政事務においては、その事務の遂行のために他者又は自身に情報を移送する場合がある。移送の方法としては、インターネット上での電子メールや回線接続を通じての送信、情報を格納した外部電磁的記録媒体及び PC の運搬、書面の運搬等の方法が挙げられるが、いずれの方法を用いるにせよ、情報の移送により、当該情報の漏えい、滅失、き損及び改ざん等が発生するおそれが増大することになる。
これらのことを勘案し、本項では、情報の移送に関する対策基準を定める。
遵守事項
(1)

情報の移送に関する許可及び届出【基本遵守事項】(a) 行政事務従事者は、機密性３情報、完全性２情報若しくは可用性２情報又は重要な設計書を移送する場合には、課室情報セキュリティ責任者の許可を得ること。
解説：機密性３情報、完全性２情報若しくは可用性２情報又は重要な設計書を移送する際に課室情報セキュリティ責任者の許可を求める事項である。
なお、機密性３情報、完全性２情報若しくは可用性２情報又は重要な設
計書を定常的に移送する必要がある場合には、送信又は運搬の別、移送手段、情報の保護対策に関して、手続を定めておくことが望ましい。
(b) 行政事務従事者は、機密性２情報であって完全性１情報かつ可用性１情報である
電磁的記録又は機密性２情報である書面を移送する場合には、課室情報セキュリ
ティ責任者に届け出ること。ただし、課室情報セキュリティ責任者が届出を要しないと定めた移送については、この限りでない。
解説：機密性２情報であって完全性１情報かつ可用性１情報である電磁的記録
又は機密性２情報である書面を移送する際に課室情報セキュリティ責任57

NISD-K303-091C

者に届け出ることを求める事項である。
なお、機密性２情報であって完全性１情報かつ可用性１情報である電磁的記録又は機密性２情報である書面を定常的に移送する必要がある場合には、送信又は運搬の別、移送手段、情報の保護対策に関して、手続を定めておくことが望ましい。また、届出を必要としない移送を定める際には、届出をしないことにより発生するリスクを充分に検討する必要がある。
(2)

情報の送信と運搬の選択【基本遵守事項】(a) 行政事務従事者は、要保護情報である電磁的記録を移送する場合には、安全確保に留意して、送信又は運搬のいずれによるかを選択し、課室情報セキュリティ責
任者に届け出ること。ただし、機密性２情報であって完全性１情報かつ可用性１
情報である電磁的記録の移送であり、課室情報セキュリティ責任者が届出を要しないと定めた移送については、この限りでない。
解説：要保護情報の安全確保に留意した移送を求める事項である。
届出を必要としない移送を定める際には、届出をしないことにより発生するリスクを充分に検討する必要がある。
(3)

移送手段の決定【基本遵守事項】(a) 行政事務従事者は、要保護情報又は重要な設計書を移送する場合には、安全確保に留意して、当該情報の移送手段を決定し、課室情報セキュリティ責任者に届け出ること。ただし、機密性２情報であって完全性１情報かつ可用性１情報である
電磁的記録又は機密性２情報である書面の移送であり、課室情報セキュリティ責任者が届出を要しないと定めた移送については、この限りでない。
解説：多種多様な移送手段の中から要保護情報又は重要な設計書を安全に移送するための手段の選択を求める事項である。
「移送手段」とは、送信については府省庁内通信回線、信頼できるプロ
バイダ、ＶＰＮ及び暗号メール(S/MIME)等、運搬については信頼できる運送業者や、情報セキュリティ責任者が指定する運送サービス及び職員自らによる携行等が挙げられる。なお、「S/MIME（Secure Multipurpose
Internet Mail Extensions）」とは、電子メールの暗号化の方式の１つである。
また、届出を必要としない移送を定める際には、届出をしないことにより発生するリスクを充分に検討する必要がある。
(4)

書面の保護対策【基本遵守事項】(a) 行政事務従事者は、要機密情報である書面又は重要な設計書を運搬する場合には、
58

NISD-K303-091C

情報の格付け及び取扱制限に応じて、安全確保のための適切な措置を講ずること。
解説：要機密情報である書面又は重要な設計書を運搬する場合におけるセキュ
リティ対策を求める事項である。
行政事務従事者は、書面を運搬する場合には、外見ではその内容が要機密情報であると知られないこと、送付先において適切な取扱いがなされるように二重封筒とすること、「親展」の指定を行うこと、専用ケースに保存して施錠すること等、安全確保のための適切な措置を講ずる必要がある。
(5)

電磁的記録の保護対策【基本遵守事項】(a) 行政事務従事者は、要機密情報である電磁的記録を移送する場合には、パスワードを用いて保護する必要性の有無を検討し、必要があると認めたときは、情報にパスワードを設定すること。
解説：移送手段の種別を問わず、受取手以外の者が要機密情報を容易に参照できないようにするため、パスワードによって保護することを求める事項である。
方法としては、文書作成アプリケーションによるパスワード保護オプシ
ョン及び圧縮・解凍ソフトによるパスワード保護オプションの利用等が挙げられる。
(b) 行政事務従事者は、要機密情報である電磁的記録を移送する場合には、暗号化を行う必要性の有無を検討し、必要があると認めたときは、情報を暗号化すること。
解説：要機密情報を移送する場合、その漏えいに係るリスクを勘案し、必要に応じて暗号化することを求める事項である。情報を暗号化する際は、
1.5.2.4 暗号と電子署名の標準手順の定めに従うこと。
(c) 行政事務従事者は、要保全情報である電磁的記録を移送する場合には、電子署名の付与を行う必要性の有無を検討し、必要があると認めたときは、情報に電子署名を付与すること。
解説：要保全情報を移送する場合、必要に応じて電子署名の付与を行うことを求める事項である。情報に電子署名を付与する際は、1.5.2.4 暗号と電子署名の標準手順の定めに従うこと。
(d) 行政事務従事者は、要保全情報である電磁的記録を移送する場合には、バックアップを行う必要性の有無を検討し、必要があると認めたときは、情報のバックアップを取得すること。
解説：要保全情報を移送する場合、必要に応じてバックアップを取得することを求める事項である。
(e) 行政事務従事者は、要安定情報である電磁的記録を移送する場合には、移送中の滅失、紛失、移送先への到着時間の遅延等により支障が起こるおそれに対し、同一の電磁的記録を異なる移送経路で移送するなどの措置を講ずる必要性の有無を検討し、必要があると認めたときは、所要の措置を講ずること。
59

NISD-K303-091C

解説：要安定情報を移送する場合、必要に応じて所要の措置を講ずることを求める事項である。
【強化遵守事項】(f)

行政事務従事者は、要機密情報である電磁的記録を移送する場合には、必要な強度の暗号化に加えて、複数の情報に分割してそれぞれ異なる移送経路を用いること。
解説：情報を分割し、これを異なる経路で移送することを求める事項である。
要機密情報を移送する場合には、当該要機密情報が情報量的に解読不能となるように、分割して移送を行うこと。
この考え方は、専門用語で秘密分散技術といわれ、例えば、１個の電子情報についてファイルを２個に分割し、それぞれ暗号化を施した上で一方を電子メール、他方を CD-ROM 等の外部電磁的記録媒体で郵送する方法が挙げられる。

1.3.1.5 情報の提供
趣旨（必要性）
行政事務においては、その事務の遂行のために府省庁外の者に情報を提供する場合があるが、提供先における情報の不適切な取扱いにより、当該情報の漏えい又は不適切な利用等が発生するおそれがある。
これらのことを勘案し、本項では、情報の提供に関する対策基準を定める。
遵守事項
(1)

情報の公表

【基本遵守事項】(a) 行政事務従事者は、情報を公表する場合には、当該情報が機密性１情報に格付けされるものであることを確認すること。
解説：公表すべきでない情報の公表を防止することを求める事項である。
府省庁の業務においては、保有する情報をホームページ等により広く国民に提供する場合がある。この場合には、公表しようとする情報に対する格付けの適正さを再度検討し、必要に応じて格付けの変更等を行った上で、当該情報が機密性１情報に格付けされるものであることを確認する必要がある。
なお、情報セキュリティ関係規程の定めによらず、当該情報が法律の規定等で公表が禁じられたものでないことは別途確認する必要がある。
(b) 行政事務従事者は、電磁的記録を公表する場合には、当該情報の付加情報等からの不用意な情報漏えいを防止するための措置を講ずること。
解説：行政事務従事者が意図せず情報を漏えいすることを防止するための事項である。
60

NISD-K303-091C

例えば、公開する文書ファイルの作成者名、組織名その他の記録に使用できる「プロパティ」と呼ぶ部分に個人情報が残っている又は文書に作成履歴が残っていることがないように除去することが考えられる。また、
電子ファイル上でアプリケーションの機能を用いて特定の部分の情報を黒塗りしたとしても、当該部分の情報の閲覧が可能となる場合があることに留意し、黒塗りされた部分の情報そのものの削除や置換えを行うことも検討する必要がある。
(2)

他者への情報の提供【基本遵守事項】(a) 行政事務従事者は、機密性３情報、完全性２情報若しくは可用性２情報又は重要な設計書を府省庁外の者に提供する場合には、課室情報セキュリティ責任者の許可を得ること。
解説：機密性３情報、完全性２情報若しくは可用性２情報又は重要な設計書を
府省庁外の者に提供する際に課室情報セキュリティ責任者の許可を得る
ことを求める事項である。
(b) 行政事務従事者は、機密性２情報であって完全性１情報かつ可用性１情報である
電磁的記録又は機密性２情報である書面を府省庁外の者に提供する場合には、課室情報セキュリティ責任者に届け出ること。ただし、課室情報セキュリティ責任者が届出を要しないと定めた提供については、この限りでない。
解説：機密性２情報であって完全性１情報かつ可用性１情報である電磁的記録
又は機密性２情報である書面を府省庁外の者に提供する際に課室情報セ
キュリティ責任者に届け出ることを求める事項である。
届出を必要としない提供を定める際には、届出をしないことにより発生するリスクを充分に検討する必要がある。
(c) 行政事務従事者は、要保護情報又は重要な設計書を府省庁外の者に提供する場合には、提供先において、当該情報に付された情報の格付け及び取扱制限に応じて適切に取り扱われるための措置を講ずること。
解説：要保護情報又は重要な設計書を府省庁外の者に提供する場合において遵守すべきことを定める事項である。
要保護情報又は重要な設計書を府省庁外の者に提供する場合には、提供先において当該情報が適切に取り扱われるように、情報の格付け及び取
扱制限の取扱上の留意事項を提供先へ確実に伝達し、必要に応じ、提供先における当該情報の適切な管理のために必要な措置及び情報の利用目的を協議の上、決定する必要がある。
確実に伝達する方法として、提供先が統一基準に準じた組織の場合には、統一基準による情報の格付け及び取扱制限を用いて示す方法が考えられる。それ以外の場合には、格付けの区分だけを示すのでは不十分である。
なぜなら、提供先においては当該格付け区分がどのように取り扱われるべきものであるかが認識できないからである。格付けの区分（例えば、「機
61

NISD-K303-091C

密性２」と記載する）で示すのであれば、当該格付けの区分の定義について提供先に予め周知しておくか、格付けの区分で示す以外の方法としては、提供する情報にそれを適切に管理するために必要な措置が具体的にわかるように示す（例えば、「委員以外への再配布を禁止する」と記載する）等をする必要がある。また、提供した情報が提供先の別の者によって取り扱われる際にも、それが適切に取り扱われることを確実にする
ため、必要な措置について口頭による伝達ではなく記載する等の方法によって伝達する必要がある。
行政事務従事者は、格付け及び取扱制限の明記が不要とされている情報を含む書面又は電磁的記録の提供については、提供先においても格付け
及び取扱制限に従った取扱いを確保するため、提供する前に、明記が不要とされている情報の格付け及び取扱制限を当該書面又は電磁的記録に明記すること。
(d) 行政事務従事者は、電磁的記録を提供する場合には、当該記録の付加情報等からの不用意な情報漏えいを防止するための措置を講ずること。
解説：行政事務従事者が意図せず情報を漏えいすることを防止するための事項である。
例えば、提供する文書ファイルの作成者名、組織名その他の記録に使用できる「プロパティ」と呼ぶ部分に個人情報が残っている又は文書に作成履歴が残っていることがないように除去することが考えられる。

1.3.1.6 情報の消去
趣旨（必要性）
行政事務において利用した電子計算機、通信回線装置及び外部電磁的記録媒体については、不要となった後、適切に処分されずに放置された場合には、盗難や紛失により、記録されている情報が漏えいするおそれがある。また、情報を消去する際に、適切な措置が講じられていなければ、復元ツールや復元サービス等を用いて当該情報を復元することが可能であり、情報漏えいのおそれは払拭されない。
これらのことを勘案し、本項では、情報の消去に関する対策基準を定める。
遵守事項
(1)

電磁的記録の消去方法【基本遵守事項】(a) 行政事務従事者は、電磁的記録媒体を廃棄する場合には、すべての情報を復元が困難な状態にする（以下「抹消する」という。）こと。
解説：電磁的記録媒体を廃棄する場合に、すべての情報を復元が困難な状態にすることを求める事項である。
「ファイル削除」の操作ではファイル管理のリンクが切断されるだけで
62

NISD-K303-091Cあり、ファイルの情報自体は抹消されずに電磁的記録媒体に残留した状態となっているおそれがある。また、ファイルの情報自体へ別の情報を上書きした場合であっても残留磁気により復元される可能性があることが指摘されている。したがって、内蔵電磁的記録媒体及び外部電磁的記
録媒体に記録されているすべての情報を適切な方法で復元が困難な状態にする必要がある。
抹消するための方法としては、次の方法が挙げられる。
・データ抹消ソフトウェア（もとのデータに異なるランダムなデータを複数回上書きすることでデータを抹消するソフトウェア）によりファイルを個々に抹消する方法
・ハードディスクを消磁装置に入れてディスク内のすべてのデータを抹消する方法
・媒体を物理的に破壊する方法
なお、媒体を物理的に破壊する方法としては、次の方法が挙げられる。
・FD 等の磁気媒体の場合には、当該媒体を折り曲げる、切断する等して情報を記録している内部の円盤を破壊する方法
・CD-R/RW、DVD-R/RW 等の光学媒体の場合には、カッター等を利用してラベル面側から同心円状に多数の傷を付け、情報を記録している記録層を破壊する方法(b) 行政事務従事者は、電磁的記録媒体を他の者へ提供する場合には、当該電磁的記録媒体に保存された不要な要機密情報を抹消すること。
解説：電磁的記録媒体に保存された不要な情報を抹消することを求める事項である。
長期にわたり利用された内蔵電磁的記録媒体及び外部電磁的記録媒体には、要機密情報が断片的に残留した状態となっているおそれがある。そのため、電磁的記録媒体を用いて府省庁外の者に情報を提供する場合や、担当者間による業務の引継ぎを伴わず、別の業務に機器等を引き継ぐことが想定される場合には、データを抹消する必要がある。
【強化遵守事項】(c) 行政事務従事者は、電磁的記録媒体について、設置環境等から必要があると認められる場合は、当該電磁的記録媒体の要機密情報を抹消すること。
解説：無人の執務室に設置されていたり、設置場所及び利用場所が確定していない電子計算機、通信回線装置及び外部電磁的記録媒体など、安全といえない環境で利用される電子計算機等に要機密情報を残留させないことを求める事項である。行政事務従事者は、要機密情報が保存された電子ファイル又は空き領域に残留する情報を抹消すること。
(2)

書面の廃棄方法【基本遵守事項】(a) 行政事務従事者は、要機密情報である書面を廃棄する場合には、復元が困難な状
63

NISD-K303-091C

態にすること。
解説：電磁的記録の抹消と同様に、書面が不要となった場合には、シュレッダ
ーによる細断処理、焼却又は溶解などにより、復元が困難な状態にする
ことを求める事項である。なお、廃棄すべき書類が大量であるなどの理由により、外部の廃棄処理業者へ業務委託する場合には、廃棄現場への立会いや廃棄処理証明書の取得などにより、書面が確実に廃棄されていることを確認するとよい。

64

NISD-K303-091C

第 1.4 部

情報処理についての対策

情報処理の制限

1.4.1

1.4.1.1 府省庁外での情報処理の制限
趣旨（必要性）
行政事務においては、その事務の遂行のため、府省庁外において情報処理を実施する必要が生ずる場合がある。この際、府省庁外での実施では物理的な安全対策を講ずることが比較的困難になることから、行政事務従事者は、庁舎内における安全対策に加え、追加の措置が必要であることを認識し、適切な対策に努める必要がある。
これらのことを勘案し、本項では、府省庁外での情報処理の制限に関する対策基準を定
める。
遵守事項
(1)

安全管理措置についての規定の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、要保護情報について府省庁外での情報処理を行う場合の安全管理措置についての規定を整備すること。
解説：統括情報セキュリティ責任者が、府省庁外において情報処理を行う場合の安全管理措置についての規定を整備することを求める事項である。府
省庁外において情報処理を行う場合を具体的に想定し、情報処理の内容と取り扱う情報、実施場所、回線を通した通信の形態、関与する府省庁内外の者等に応じた措置を示した規定を整備する必要がある。
(b) 統括情報セキュリティ責任者は、要保護情報を取り扱う情報システムを府省庁外に持ち出す場合の安全管理措置についての規定を整備すること。
解説：統括情報セキュリティ責任者が、府省庁外に要保護情報を取り扱う情報システムを持ち出す場合の安全管理措置についての規定を整備することを求める事項である。持ち出す情報システム及び持ち出し先等を具体的に想定して規定を整備する必要がある。
(2)

許可及び届出の取得及び管理【基本遵守事項】(a) 行政事務従事者は、機密性３情報、完全性２情報又は可用性２情報について府省
庁外で情報処理を行う場合には、情報システムセキュリティ責任者及び課室情報セキュリティ責任者の許可を得ること。
解説：機密性３情報、完全性２情報又は可用性２情報に係る情報処理を府省庁外で行う場合に、情報システムセキュリティ責任者と課室情報セキュリ
ティ責任者の両方の許可を得ることを求める事項である。当該情報処理
65

NISD-K303-091Cの業務上の必要性については課室情報セキュリティ責任者の、当該情報処理の安全性については情報システムセキュリティ責任者の許可を得ることとなる。
(b) 行政事務従事者は、機密性２情報であって完全性１情報かつ可用性１情報である
情報について府省庁外で情報処理を行う場合には、情報システムセキュリティ責
任者及び課室情報セキュリティ責任者に届け出ること。ただし、情報システムセ
キュリティ責任者又は課室情報セキュリティ責任者が届出を要しないとした場合
は、この限りでない。
解説：府省庁外で機密性２情報であって完全性１情報かつ可用性１情報である
情報の情報処理を行う場合に、情報システムセキュリティ責任者と課室
情報セキュリティ責任者の両方に届け出ることを求める事項である。また、情報システムセキュリティ責任者又は課室情報セキュリティ責任者
が、各々の責任の範囲において届出を必要としない府省庁外での情報処理を定める際には、届出をしないことにより発生するリスクを充分に検討する必要がある。
(c) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、府省庁外での要保護情報の情報処理に係る記録を取得すること。
解説：府省庁外での要保護情報の情報処理に係る記録を取得することを求める事項である。
「情報処理に係る記録」には、情報処理の実施者、内容、期間及び理由
並びに許可事案の場合の終了時の報告の有無等を含めることが考えられる。
(d) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、機密性３
情報、完全性２情報又は可用性２情報について府省庁外での情報処理を行うことを許可した期間が終了した時に、許可を受けた者から終了した旨の報告がない場
合には、その状況を確認し、措置を講ずること。ただし、許可を与えた者が報告を要しないとした場合は、この限りでない。
解説：府省庁外での情報処理を行うことを許可した期間が終了した時に報告の有無を確認し、措置を講ずること等を求める事項である。
状況を確認した際に、終了の報告をしていない理由が報告漏れである場
合には、報告をさせる。期間の延長が必要な状況であれば、行政事務従事者に改めて許可を得るようにさせること。
(e) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、機密性２情報であって完全性１情報かつ可用性１情報である情報について府省庁外での情報処理を行うことを届け出た期間が終了した時に、必要に応じて、その状況を確認し、措置を講ずること。
解説：機密性２情報であって完全性１情報かつ可用性１情報である情報について府省庁外での情報処理を行うことを届け出た期間が終了した時に、必要に応じて、その状況を確認し、期間の延長が必要な状況であれば行政事務従事者に改めて届出をさせる等の措置を講ずることを求める事項で66

NISD-K303-091C

ある。
(f)

行政事務従事者は、要保護情報について府省庁外で情報処理を行う場合には、業務の遂行に必要最小限の情報処理にとどめること。
解説：情報セキュリティの侵害のおそれを低減するために、要保護情報を府省
庁外で情報処理することを最小限にとどめることを求める事項である。

(g) 行政事務従事者は、機密性３情報、完全性２情報又は可用性２情報を取り扱う情報システムを府省庁外に持ち出す場合には、情報システムセキュリティ責任者及び課室情報セキュリティ責任者の許可を得ること。
解説：機密性３情報、完全性２情報又は可用性２情報を取り扱う情報システム
を府省庁外に持ち出す行政事務従事者に、情報システムセキュリティ責
任者と課室情報セキュリティ責任者の両方の許可を得ることを求める事項である。当該持出しの業務上の必要性については課室情報セキュリテ
ィ責任者の、当該持出しの安全性については情報システムセキュリティ
責任者の許可を得ることとなる。
(h) 行政事務従事者は、機密性２情報であって完全性１情報かつ可用性１情報である
情報を取り扱う情報システムを府省庁外に持ち出す場合には、情報システムセキ
ュリティ責任者及び課室情報セキュリティ責任者に届け出ること。ただし、情報
システムセキュリティ責任者又は課室情報セキュリティ責任者が届出を要しないとした場合は、この限りでない。
解説：機密性２情報であって完全性１情報かつ可用性１情報である情報を取り扱う情報システムを府省庁外に持ち出す行政事務従事者に、情報システ
ムセキュリティ責任者と課室情報セキュリティ責任者の両方に届け出ることを求める事項である。また、情報システムセキュリティ責任者又は課室情報セキュリティ責任者が、各々の責任の範囲において届出を必要としない府省庁外への持出しを定める際には、届出をしないことにより発生するリスクを充分に検討する必要がある。
(i)

情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、要保護情報を取り扱う情報システムの府省庁外への持出しに係る記録を取得すること。
解説：要保護情報を取り扱う情報システムの府省庁外への持出しに係る記録を取得することを求める事項である。
「持出しに係る記録」には、持出しの実施者、端末、期間及び理由並びに許可事案の場合の終了時の報告の有無等を含めることが考えられる。

(j)

情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、機密性３
情報、完全性２情報又は可用性２情報を取り扱う情報システムを府省庁外に持ち出すことを許可した期間が終了した時に、許可を受けた者から終了した旨の報告がない場合には、その状況を確認し、措置を講ずること。ただし、許可を与えた者が報告を要しないとした場合は、この限りでない。
解説：情報システムを府省庁外に持ち出すことを許可した期間が終了した時に報告の有無を確認すること等を求める事項である。
状況を確認した際に、終了の報告をしていない理由が報告漏れである場
67

NISD-K303-091C

合には、報告をさせる。期間の延長が必要な状況であれば、行政事務従事者に改めて許可を得るようにさせること。
(k) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、機密性２情報であって完全性１情報かつ可用性１情報である情報を取り扱う情報システム
を府省庁外に持ち出すことを届け出た期間が終了した時に、必要に応じて、その状況を確認し、措置を講ずること。
解説：届出期間が長期にわたるなど、必要に応じて、府省庁外への持出しの状
況を確認することを求める事項である。
状況を確認した際に、期間の延長が必要な状況であれば、行政事務従事者に改めて届出をさせること。
(l)

行政事務従事者は、要保護情報を取り扱う情報システムを府省庁外に持ち出す場
合には、業務の遂行に必要最小限の情報システムの持出しにとどめること。
解説：情報セキュリティの侵害のおそれを低減するために、要保護情報を取り扱うシステムを府省庁外に持ち出すことを最小限にとどめることを求める事項である。

(3)

安全管理措置の遵守【基本遵守事項】(a) 行政事務従事者は、要保護情報について府省庁外での情報処理について定められた安全管理措置を講ずること。
解説：行政事務従事者に対して、府省庁外での情報処理について定められた安全管理措置を講ずることを求める事項である。
(b) 行政事務従事者は、機密性３情報、完全性２情報又は可用性２情報について府省
庁外での情報処理を行うことを終了した時に、その許可を与えた者に対して、その旨を報告すること。ただし、許可を与えた者から報告を要しないとされた場合
は、この限りでない。
解説：行政事務従事者に対して、府省庁外での情報処理が終了したことを、その許可を与えた者に報告することを求める事項である。
(c) 行政事務従事者は、要保護情報を取り扱う情報システムの府省庁外への持出しについて定められた安全管理措置を講ずること。
解説：行政事務従事者に対して、情報システムの府省庁外への持出しについて定められた安全管理措置を講ずることを求める事項である。
定められた安全管理措置の内容としては、例えば、盗難及び亡失の防止に十分に注意すること、操作や画面の盗み見を防止するために、スクリーンに覗き見防止ファイルターを貼ることや、スクリーンセーバーの機能を利用し、操作を実施できなくすること等が考えられる。
(d) 行政事務従事者は、機密性３情報、完全性２情報又は可用性２情報を取り扱う情報システムを府省庁外に持ち出すことを終了した時に、その許可を与えた者に対して、その旨を報告すること。ただし、許可を与えた者から報告を要しないとされた場合は、この限りでない。
68

NISD-K303-091C

解説：行政事務従事者に対して、府省庁外へ情報システムの持出しが終了した
ことを、その許可を与えた者に報告することを求める事項である。

1.4.1.2 府省庁支給以外の情報システムによる情報処理の制限
趣旨（必要性）
行政事務においては、その遂行のため、府省庁支給以外の情報システムを利用する必要が生じる場合がある。この際、当該情報システムが、府省庁が支給したものでないという理由で対策を講じなかった場合、当該情報システムで取り扱われる情報のセキュリティは確保できない。
これらのことを勘案し、本項では、府省庁支給以外の情報システムによる情報処理の制限に関する対策基準を定める。
遵守事項
(1)

安全管理措置についての規定の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、要保護情報について府省庁支給以外の情報シス
テムにより情報処理を行う場合に講ずる安全管理措置についての規定を整備すること。
解説：行政事務従事者が所有する個人の PC など、府省庁支給以外の情報シス
テムを用いて要保護情報に関する情報処理を行う場合であっても、府省庁支給の情報システムと同程度の情報セキュリティ対策を施す必要があるため、その安全管理措置についての規定を整備することを求める事項
である。
(2)

許可及び届出の取得及び管理【基本遵守事項】(a) 行政事務従事者は、機密性３情報、完全性２情報又は可用性２情報について府省
庁支給以外の情報システムにより情報処理を行う必要がある場合には、情報シス
テムセキュリティ責任者及び課室情報セキュリティ責任者の許可を得ること。
解説：機密性３情報、完全性２情報又は可用性２情報について府省庁支給以外の情報システムにより情報処理を行う必要がある場合に、情報システム
セキュリティ責任者と課室情報セキュリティ責任者の両方の許可を得る
ことを求める事項である。当該情報処理の業務上の必要性については課室情報セキュリティ責任者の、当該情報処理の安全性については情報シ
ステムセキュリティ責任者の許可を得ることとなる。
府省庁支給以外の情報システムによる機密性３情報、完全性２情報又は可用性２情報の情報処理を許可する場合は、その期間については、最長で１年間にすることが望ましい。ただし、期間の延長が必要な状況であ69

NISD-K303-091C

れば、行政事務従事者に改めて許可を得るようにさせること。
(b) 行政事務従事者は、機密性２情報であって完全性１情報かつ可用性１情報である
情報について府省庁支給以外の情報システムにより情報処理を行う必要がある場
合には、情報システムセキュリティ責任者及び課室情報セキュリティ責任者に届け出ること。ただし、情報システムセキュリティ責任者又は課室情報セキュリティ責任者が届出を要しないとした場合は、この限りでない。
解説：府省庁支給以外の情報システムによる機密性２情報であって完全性１情報かつ可用性１情報である情報の情報処理を行う場合に、情報システム
セキュリティ責任者と課室情報セキュリティ責任者の両方に届け出ることを求める事項である。また、情報システムセキュリティ責任者又は課室情報セキュリティ責任者が、各々の責任の範囲において届出を必要としない府省庁支給以外の情報システムによる情報処理を定める際には、届出をしないことにより発生するリスクを充分に検討する必要がある。
(c) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、府省庁支給以外の情報システムによる要保護情報の情報処理に係る記録を取得すること。
解説：府省庁支給以外の情報システムによる要保護情報の情報処理に係る記録を取得することを求める事項である。
「府省庁支給以外の情報システムによる情報処理に係る記録」には、情報処理の実施者、内容、期間及び理由並びに許可事案の場合の終了時の報告の有無等を含めることが考えられる。
(d) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、機密性３
情報、完全性２情報又は可用性２情報について府省庁支給以外の情報システムによる情報処理を行うことを許可した期間が終了した時に、許可を受けた者から終了した旨の報告がない場合には、その状況を確認し、措置を講ずること。ただし、許可を与えた者が報告を要しないとした場合は、この限りでない。
解説：府省庁支給外の情報システムによる情報処理を行うことを許可した期間が終了した時に、報告の有無を確認すること等を求める事項である。
状況を確認した際に、終了の報告をしていない理由が報告漏れである場
合には、報告させる。期間の延長が必要な状況であれば、行政事務従事者に改めて許可を得るようにさせること。
(e) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、機密性２情報であって完全性１情報かつ可用性１情報である情報について府省庁支給以外の情報システムによる情報処理を行うことを届け出た期間が終了した時に、必要に応じて、その状況を確認し、措置を講ずること。
解説：届出期間が長期にわたる場合など、必要に応じて、府省庁支給以外の情報システムによる情報処理の状況を確認することを求める事項である。
状況を確認した際に、期間の延長が必要な状況であれば、行政事務従事者に改めて届出をさせること。

70

NISD-K303-091C(3)

安全管理措置の遵守【基本遵守事項】(a) 行政事務従事者は、要保護情報について府省庁支給以外の情報システムによる情報処理を行う場合には、当該情報システムについて定められた安全管理措置を講ずること。
解説：行政事務従事者が所有する個人の PC など、府省庁支給以外の情報シス
テムを用いて要保護情報に関する情報処理を行う場合であっても、府省庁支給の情報システムと同程度の情報セキュリティ対策を施す必要があるため、行政事務従事者に安全管理措置を講ずることを求める事項である。
(b) 行政事務従事者は、機密性３情報、完全性２情報又は可用性２情報について府省
庁支給以外の情報システムによる情報処理を終了した時に、その許可を与えた者に対して、その旨を報告すること。ただし、許可を与えた者から報告を要しないとされた場合は、この限りでない。
解説：行政事務従事者が機密性３情報、完全性２情報又は可用性２情報について府省庁支給以外の情報システムによる情報処理を終了した時に、その報告を求める事項である。
府省庁支給以外の情報システムの利用許可を与えた者は、その終了報告を受け、府省庁支給以外の情報システムによる情報処理の状況を把握することが可能となる。その結果、府省庁支給以外の情報システムを、本来必要とされる期間を超えて利用している場合には、これを検知し、利用実態を是正することが可能となる。

71

NISD-K303-091C

第 1.5 部
1.5.1

情報システムについての基本的な対策

情報システムのセキュリティ要件

1.5.1.1 情報システムのセキュリティ要件
趣旨（必要性）情報システムは、目的業務を円滑に遂行するため、その計画、構築、運用、移行、廃棄及び見直しのライフサイクルを通じて様々な要件を満たすことが必要である。その要件の中にはセキュリティの観点からの要件も含まれ、情報システムのライフサイクルにあわせて情報セキュリティ対策を実施する必要がある。
これらのことを勘案し、本項では、情報システムのライフサイクルの視点に立ち、各段階において考慮すべき情報セキュリティの対策基準を定める。
遵守事項
(1)

情報システムの計画【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムについて、ライフサイクル全般にわたってセキュリティ維持が可能な体制の確保を、情報システムを統括する責任者に求めること。
解説：情報システムを統括する責任者（情報化統括責任者（ＣＩＯ））が確立した体制が、セキュリティ維持の側面からも実施可能な体制（人員、機器、予算等）となるように求める事項である。
なお、「情報システムを統括する責任者」とは、情報システムのライフサ
イクルの全般にわたって情報システムの構築・運用等に責任を持ち、その責務を全うするために人員、機器、予算等の資源を確保する者を想定している。
(b) 情報システムセキュリティ責任者は、情報システムのセキュリティ要件を決定すること。
解説：情報システムに求められる要求事項のうち、セキュリティに関わる要求事項について検討し、その中で必要と判断する要求事項を当該情報シス
テムのセキュリティ要件として決定することを求める事項である。
「情報システムのセキュリティ要件」には、情報システムを構成するハードウェア、ソフトウェア及び通信回線を含む情報システムの構成要素のセキュリティ要件並びに構築された情報システムの運用のセキュリティ要件がある。なお、前者のセキュリティ要件については、構築環境や構築手法などのセキュリティに関する手順も含まれる。
具体的なセキュリティ要件については、省庁対策基準において本統一基準の「第 2 編 情報システム編」に対応して定められた事項、本統一基準
72

NISD-K303-091Cの「1.5.2

情報システムに係る規定の整備と遵守」に対応するものも含

めた府省庁の情報セキュリティ関係規程内の事項及び当該情報システムの業務、取り扱う情報又は利用・運用の環境等の要因による当該情報システム固有の要件を考慮して決める必要がある。
決定されたセキュリティ要件は、システム要件定義書や仕様書などの形式で明確化した上で、実装していくことが望ましい。
(c) 情報システムセキュリティ責任者は、情報システムのセキュリティ要件を満たすために機器等の購入（購入に準ずるリースを含む。
）及びソフトウェア開発において必要な対策、情報セキュリティについての機能の設定、情報セキュリティについての脅威への対策、並びに情報システムの構成要素についての対策について定めること。
解説：本項は、情報システムのセキュリティ要件を満たすために必要な対策を定めることを求める事項である。
情報システムにおいて必要な対策としては、省庁対策基準において本統一基準の「第 2 編 情報システム編」に対応して定められた事項、本統一基準の「1.5.2

情報システムに係る規定の整備と遵守」に対応するものも含めた府省庁の情報セキュリティ関係規程内の事項及び当該情報システムの業務、取り扱う情報又は利用・運用の環境等の要因による当該情報システム固有の要件に基づく対策がある。
(d) 情報システムセキュリティ責任者は、構築する情報システムに重要なセキュリティ要件があると認めた場合には、当該情報システムのセキュリティ機能の設計について第三者機関によるセキュリティ設計仕様書（ST：Security Target）のST評
価・ST確認を受けること。ただし、情報システムを更改し、又は構築中に仕様変更が発生した場合であって、見直し後のセキュリティ設計仕様書において重要な
セキュリティ要件の変更が軽微であると認めたときは、この限りでない。
解説：重要なセキュリティ要件がある情報システムについては、セキュリティ
機能が確実に実装されることを目的として、ISO/IEC 15408 に基づきセキュリティ設計仕様書の ST 評価・ST 確認を受けることを求める事項である。
「ST 評価・ST 確認を受けること」とは、ST 評価・ST 確認がなされた状態になることを意味し、具体的な手続としては、申請と確認書入手がなされることである。情報システムの構築が終了するまでにセキュリテ
ィ設計仕様書について、ST 評価・ST 確認済みとなっている必要があるが、セキュリティ設計仕様が適切であると判断できた上で設計段階から作成段階に移るべきであることから、申請行為は設計段階のうちに行われていることが通常の手順である。
なお、情報システムの構築を外部委託する場合には、契約時に条件として含め納品までに ST 評価・ST 確認を受けさせることになる。
(e) 情報システムセキュリティ責任者は、情報システムについて、情報セキュリティの侵害又はそのおそれのある事象の発生を監視する必要性の有無を検討し、必要73

NISD-K303-091C

があると認めた場合には、監視のために必要な措置を定めること。
解説：情報システムの計画において、情報セキュリティの侵害又はそのおそれのある事象の監視のために必要な措置を定めることを求める事項である。
情報セキュリティの侵害とは、要保護情報について機密性、完全性又は可用性が損なわれること及び情報セキュリティ関係規程への違反をいう。
監視する必要性の有無を検討するとは、情報システム及び取り扱う情報等を考慮して、情報システムの各所において監視する必要性の有無を検討することをいう。なお、監視の対象には、府省庁の外部から通信回線
を通してなされる不正アクセス、不正侵入、情報システムの管理者・運用者又は利用者の誤操作又は不正操作、サーバ装置等機器の動作、及び、許可されていない者の安全区域への立ち入り等があり得る。
また、監視のために必要な措置を定めるとは、例えば以下の事項が考えられる。
（１）設ける監視機能を定める。監視機能には、以下の例がある。
・府省庁外と通信回線で接続している箇所における外部からの不正アク
セスを監視する機能（侵入検知システム等による）・ウイルス感染や踏み台に利用されること等による府省庁外への不正な通信を監視する機能
・府省庁内通信回線への PC の接続を監視する機能
・PC への外部記録媒体の挿入を監視する機能
・サーバ装置等の機器の正常な動作を監視する機能・安全区域への人の出入を監視する機能（２）監視を行う運用時の体制を定める。情報システムの運用を行う体制において監視も行うことも考えられる。
（３）監視により職員等のプライバシーを侵害する可能性がある場合は、
当該職員等への説明について定める。
(f)

情報システムセキュリティ責任者は、構築した情報システムを運用段階へ導入するに当たって、情報セキュリティの観点から実施する導入のための手順及び環境を定めること。
解説：情報システムセキュリティ責任者に、セキュリティの観点での試験等の実施により当該情報システムがセキュリティ要件を満たすことを確認し、運用段階への導入の方法、体制、作業手順、スケジュール、期間、教育やトラブル対処について手順を整備することを求める事項である。

【強化遵守事項】(g) 情報システムセキュリティ責任者は、構築する情報システムの構成要素については、重要なセキュリティ要件があると認めた場合には、当該要件に係るセキュリ
ティ機能の設計に基づいて、製品として調達する機器及びソフトウェアに対して要求するセキュリティ機能を定め、当該機能及びその他の要求条件を満たす採用候補製品が複数ある場合であって、その中に当該セキュリティ機能に関してITセキュリティ評価及び認証制度に基づく認証を取得している製品がある場合には、
74

NISD-K303-091C

当該製品を情報システムの構成要素として選択すること。
解説：情報セキュリティ機能が重要である機器等の購入において、要求する機能を有する製品に選択肢がある場合、ISO/IEC 15408 に基づく IT セキュ
リティ評価及び認証制度による認証を取得しているものを選択することを求める事項である。
第三者による情報セキュリティ機能の客観的な評価によって、より信頼度の高い情報システムの構築が期待できる。
(2)

情報システムの構築・運用【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムの構築、運用に際しては、セキュリティ要件に基づき定めた情報セキュリティ対策を行うこと。
解説：情報システムのセキュリティ要件に基づき機器等の購入及びソフトウェ
ア開発において必要な対策、情報セキュリティについての機能の設定、情報セキュリティについての脅威への対策、並びに情報システムについての対策及び監視を実施し、情報システムを構築、運用することを求める事項である。
(3)

情報システムの移行・廃棄【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムの移行及び廃棄を行う場合は、情報の消去及び保存、並びに情報システムの廃棄及び再利用について必要性を検討し、それぞれについて適切な措置を講ずること。
解説：情報システムの移行及び廃棄を行う場合に、情報システムを構成する機器の扱い、情報の格付け等を考慮して、機器及び情報に関して廃棄、保存、消去等の適切な措置を講ずることを求める事項である。
(4)

情報システムの見直し【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムの情報セキュリティ対策について見直しを行う必要性の有無を適時検討し、必要があると認めた場合にはその見直しを行い、必要な措置を講ずること。
解説：情報システムの情報セキュリティ対策について、必要に応じて見直しとそれに必要な措置を求める事項である。見直しを行う時期は、新たなセキュリティ脅威の出現、運用、監視等の状況により判断する必要がある。

75

NISD-K303-091C

1.5.2

情報システムに係る規定の整備と遵守

1.5.2.1 情報システムに係る文書及び台帳整備趣旨（必要性）
府省庁の情報システムにおいて、適切な情報セキュリティ対策を行い、また、障害・事故等が発生した際に適切な対処を行うためには、情報システムの管理のために必要な情報を文書として整備する必要がある。また、府省庁全体としてセキュリティレベルを維持するとともに、より大規模な障害・事故等に対処するためには、府省庁が所管する情報シス
テムに係る情報のうち重要なものを一元的に把握し管理するための台帳を整備し、維持管理していく必要がある。
これらのことを勘案し、本項では、府省庁における情報システムに係る文書整備及び台帳整備に関する情報セキュリティの対策基準を定める。
遵守事項
(1)

情報システムの文書整備【基本遵守事項】(a) 情報システムセキュリティ責任者は、所管する情報システムについて以下の事項を記載した文書を整備すること。
(ア) 当該情報システムを構成する電子計算機関連事項•

電子計算機を管理する行政事務従事者及び利用者を特定する情報•

電子計算機の機種並びに利用しているソフトウェアの種類及びバージョン•

電子計算機の仕様書又は設計書(イ) 当該情報システムを構成する通信回線及び通信回線装置関連事項•

通信回線及び通信回線装置を管理する行政事務従事者を特定する情報•

通信回線装置の機種並びに利用しているソフトウェアの種類及びバージ
ョン•

通信回線及び通信回線装置の仕様書又は設計書•

通信回線の構成•

通信回線装置におけるアクセス制御の設定•

通信回線を利用する電子計算機の識別コード、電子計算機の利用者と当該利用者の識別コードとの対応•

通信回線の利用部署(ウ) 情報システムの構成要素のセキュリティ維持に関する手順•

電子計算機のセキュリティ維持に関する手順•

通信回線を介して提供するサービスのセキュリティ維持に関する手順•

通信回線及び通信回線装置のセキュリティ維持に関する手順(エ) 障害・事故等が発生した際の対処手順
解説：所管する情報システムにおいて、適切な情報セキュリティ対策を行い、
76

NISD-K303-091C

また、障害・事故等が発生した際に適切な対処を行うために、情報シス
テムの管理のために必要な情報を把握し、文書として整備することを定めた遵守事項である。文書の整備にあたっては、維持管理が容易となる
ように適切な単位で整備することが望ましい。また、文書は書面ではなく電磁的記録媒体として整備しても差し支えない。
所管する情報システムに変更があった場合、また想定しているリスクが時間の経過により変化した場合等、整備した文書の見直しが必要になる。
電子計算機、通信回線装置の機種並びに利用ソフトウェアの種類及びバージョンの記載は、当該機種又は当該ソフトウェアにセキュリティホー
ルが存在することにより使用上のリスクが高まった場合に、速やかにセキュリティホール対策を行う等、適切に対処するために必要な事項である。
電子計算機の管理者及び利用者、通信回線及び通信回線装置の管理者の記載は、情報システム構成要素の管理状況を確実に把握できるようにするとともに、障害・事故等を防止する責任の所在を明確化するために必要な事項である。
通信回線の構成、通信回線装置におけるアクセス制御の設定、通信回線を利用する電子計算機の識別コード、電子計算機の利用者と当該利用者の識別コードとの対応、及び通信回線の利用部署の記載は、通信回線の管理状況を把握するために必要な事項である。
情報システムに係る仕様書又は設計書は、情報セキュリティ対策実施状
況の確認や見直しにおいて、当該情報システムの仕様や機能の確認を行うために必要な事項である。
情報システムの構成要素のセキュリティ維持に関する手順は、当該構成要素のセキュリティを維持する目的で管理者が実施するべき手順であり、例えば、当該構成要素が具備する情報セキュリティ機能である主体認証、アクセス制御、権限管理並びに証跡管理の設定・変更等の手順が挙げられる。
障害・事故等が発生した際の対処手順は、当該情報システムの個別の事
情に合わせて整備される対処手順である。本対処手順は、以下に示すような情報システムの事情に応じて整備されることが望ましい。
・業務継続計画で定める当該情報システムを利用する業務の重要性
・情報システムの運用等の外部委託の内容
また手順に記載される内容として、例えば以下が想定される。
・障害・事故等の内容・影響度の大きさに応じた情報連絡先のリスト
・情報システムを障害・事故等から復旧させるために当該情報システムの停止が必要な場合の、停止の可否の判断基準
・障害・事故等から復旧等を行うための情報システムの構成要素ごとの対処に関する事項
・アンチウイルスソフトウェア等では検知されない新種の不正プログラ
77

NISD-K303-091C

ムに感染した場合等に支援を受けるための外部の専門家の連絡先
なお、統括情報セキュリティ責任者が整備する対処手順（1.2.2.2(1)(c)を参照）により、上記のとおり整備されているならば、情報システム個別に整備しなくても構わない。
(b) 情報システムセキュリティ管理者は、所管する情報システムについて整備した文書に基づいて、情報システムの運用管理において情報セキュリティ対策を行うこと。
解説：所管する情報システムの運用管理において、適切な情報セキュリティ対策を行うことを求める遵守事項である。
(2)

情報システムの台帳整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、すべての情報システムに対して、当該情報シス
テムに係る以下の事項を記載した台帳を整備すること。
(ア) 情報システム名、管理課室及び管理責任者の氏名・連絡先(イ) システム構成(ウ) 接続する府省庁外通信回線の種別(エ) 取り扱う情報の格付け及び取扱制限に関する事項(オ) 当該情報システムの設計・開発、運用、保守に関する事項
解説：府省庁全体としてセキュリティレベルを維持するとともに、より大規模な障害・事故等に対処するため、自府省庁が所管する情報システムに係る情報のうち重要なものを一元的に把握し管理するための台帳を整備することを求める事項である。
情報システム名、管理課室及び管理責任者の氏名・連絡先の記載は、府省庁が所管する全ての情報システムを把握し、当該情報システムに係る管理責任を把握するために必要な事項である。
システム構成の記載は、情報システムを構成する電子計算機、通信回線
及び通信回線装置に関する事項である。当該事項については、各情報シ
ステムの運用管理に際して整備した文書に記載する事項のうち、府省庁としての情報セキュリティ対策を行うために一元的に把握する必要があると判断する事項を含める必要がある。
接続する府省庁外通信回線の種別、取り扱う情報の格付け及び取扱制限に関する事項の記載は、当該情報システムを設置し、また運用管理することによるセキュリティ上のリスクを府省庁として把握するために必要な事項である。なお、取り扱う情報の格付け及び取扱制限に関する事項
については、情報システムを構成する電子計算機等について機器別又は機器の形態・目的別に記載することが望ましい。
当該情報システムの設計・開発、運用、保守に関する事項の記載は、実施責任者若しくは実施担当組織、外部委託した場合には委託先及び委託契約形態に関する情報が考えられるが、当該情報システムのライフサイ
78

NISD-K303-091C

クルに関する経緯や現状を把握し、情報セキュリティ上の問題等が発生した場合に適切な対策を指示するために必要な事項である。
(b) 情報システムセキュリティ責任者は、情報システムを新規に構築し、又は更改する際には、当該情報システムの台帳の記載事項について統括情報セキュリティ責
任者に報告すること。
解説：府省庁の各情報システムを所管する情報システムセキュリティ責任者が、情報システムに係る台帳に記載の事項について統括情報セキュリティ責
任者に報告することを求める事項である。
台帳における網羅性の維持のため、情報システムセキュリティ責任者は、
情報システムを新規に構築した際、又は更改した際には、速やかに台帳に記載の事項を報告する必要がある。なお、台帳の最新性の維持のため、台帳に記載の事項に変更が生じた場合には、当該変更事項を報告し、台帳を更新する必要があるが、その報告の方法やタイミングについては、
府省庁ごとに定めることが望ましい。

1.5.2.2 機器等の購入趣旨（必要性）機器等を購入（購入に準ずるリース等を含む。）する際に、当該機器等に必要な情報セ
キュリティ機能が装備されていない場合及び購入後に情報セキュリティ対策が継続的に行えない場合には、既存の情報システム又は購入する機器等で取り扱う情報の機密性、完全性及び可用性が損なわれるおそれがある。
この課題に対応するため、機器等を購入する際は、各府省庁の省庁対策基準に準拠した機器等の購入を行うべく、購入先への要求事項を定める必要がある。
これらのことを勘案し、本項では、機器等の購入に関する対策基準を定める。
適用範囲
本項は、機器等の購入（購入に準ずるリース等を含む。以下同じ。）に適用する。
遵守事項
(1)

機器等の購入に係る規定の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、機器等の選定基準を整備すること。
解説：機器等の選定に先立って、機器等の選定基準を整備することを求める事項である。
統括情報セキュリティ責任者は、機器等の選定基準の整備に当たっては、機器等が省庁対策基準の要件を満たしていると判断できる場合に限ること等を前提とすることが重要である。
選定基準としては、機器等が省庁対策基準の該当項目を満たし、府省庁
79

NISD-K303-091Cのセキュリティ水準を一定以上に保つために、機器等に対して要求すべ
きセキュリティ要件を府省庁内で統一的に整備することが重要である。
なお、選定基準は、法令の制定や改正等の外的要因の変化に対応して適時見直し、機器等の購入に反映することが必要である。
(b) 統括情報セキュリティ責任者は、機器等の購入において、セキュリティ機能の要
求仕様があり、総合評価落札方式により購入を行う際には、ITセキュリティ評価
及び認証制度による認証を取得しているかどうかを評価項目として活用することを選定基準として定めること。
解説：情報セキュリティ機能が重要である機器等の購入において、総合評価落
札方式により購入を行う際に、当該機能を有する製品の中でも ISO/IEC
15408 に基づく IT セキュリティ評価及び認証制度による認証を取得している製品の優遇を選定基準の一つとすることを求める事項である。
第三者による情報セキュリティ機能の客観的な評価のある製品を選定することによって、より信頼度の高い情報システムが構築できる。
(c) 統括情報セキュリティ責任者は、情報セキュリティ対策の視点を加味して、機器等の納入時の確認・検査手続を整備すること。
解説：機器等の納入時の確認・検査に関する手続を定めるものである。
特に、確認・検査手続では、納入された機器等が定められた選定基準を満たすことを確認し、その結果を納品検査における確認の判断に加える手続を組み込む必要がある。
具体的な確認・検査の方法として、必要なセキュリティ機能の実装状況（機器等に最新のパッチが適用されているかどうか、アンチウイルスソフトウェア等が最新の脆弱性に対応しているかどうか等にも留意）及び機器等に不正プログラムが混入していないことを、購入先からの報告で確認すること等が挙げられる。
(2)

機器等の購入に係る規定の遵守【基本遵守事項】(a) 情報システムセキュリティ責任者は、機器等の選定時において、選定基準に対する機器等の適合性を確認し、その結果を機器等の候補の選定における判断の一要
素として活用すること。
解説：整備された選定基準に従って、機器等に必要なセキュリティ機能が実装されていること等を確認し、これを機器等の選定における判断の一要素として利用することを求める事項である。
(b) 情報システムセキュリティ責任者は、機器等の納入時において、定められた確認・検査手続に従って、納品検査を実施すること。
解説：情報セキュリティ対策の視点を加味して定められた納入時の確認・検査手続に準拠して、納入された機器等の納品検査を行うことを求める事項
である。

80

NISD-K303-091C

1.5.2.3 ソフトウェア開発
趣旨（必要性）
ソフトウェアを開発する際には、効果的なセキュリティ対策を実現するため、当該ソフ
トウェアが運用される際に関連する情報資産に対して想定される脅威を分析し、その分析に基づいて脅威から情報資産を保護するためのセキュリティ機能（真正確認、アクセス制
御、権限管理、証跡管理等）及びその管理機能を適切にソフトウェアに組み込む必要がある。
加えて、開発するソフトウェアの処理に対するセキュリティホールの混入（設計及び作成時のミス等によりセキュリティホールが埋め込まれてしまうこと、不正なコードが開発者により意図的に埋め込まれること等）についての防止対策も必要となる。
これらのことを勘案し、本項では、ソフトウェアを開発する際の対策基準を定める。
遵守事項
(1)

ソフトウェア開発に係る規定の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、ソフトウェア開発について、セキュリティに係る以下の対策事項を情報システムセキュリティ責任者に求めるための規定を整備すること。
解説：本事項では、統括情報セキュリティ責任者が情報システムセキュリティ
責任者に求める規定を整備することとしているが、別途規定を整備することとせずに、省庁対策基準内において直接に情報システムセキュリテ
ィ責任者に対する遵守事項として（ア）～（セ）の事項を定める方法も可能である。ただし、後者の方法では、自己点検の対象が統括情報セキ
ュリティ責任者ではなく情報システムセキュリティ責任者となることに留意すること。
(ア) 情報システムセキュリティ責任者は、セキュリティに係る対策事項（本項(ウ)から(セ)の遵守事項）を満たすことが可能な開発体制を確保すること。
解説：ソフトウェア開発を実施する体制が、セキュリティ維持の側面からも実施可能な開発体制（人員、機器、予算等）を確保することを求める事項である。
なお、開発体制の確保にあたっては、情報システムを統括する責任者に要求することとなる。ここで、情報システムを統括する責任者とは、情報システムのライフサイクルの全般にわたって情報システムの構築・運用等に責任を持ち、その責務を全うするために人員、機器、予算等の資源を確保する者を指す。
(イ) 情報システムセキュリティ責任者は、ソフトウェア開発を外部委託する場合には、セキュリティに係る対策事項（本項(ウ)から(セ)の遵守事項）の中から必要な事項を選択し、当該対策事項が実質的に担保されるよう、委託先に実施について保証させること。
81

NISD-K303-091C

解説：ソフトウェア開発を委託先に行わせる場合には、ソフトウェア開発を実施する者に実施の責任を負わせるセキュリティに係る要件を選択し、それを委託先に保証させることを求める事項である。
「委託先に実施について保証させる」手段は、契約（付随する確認書等を含む。）によることとなる。
(ウ) 情報システムセキュリティ責任者は、ソフトウェアの開発工程における情報
セキュリティに関連する開発手順及び環境について定めること。
解説：ソフトウェア開発に係る情報資産を保護するための手順及び環境を定めることを求める事項である。
「手順」とは、例えば、仕様書、ソースコー
ド等の成果物に対してソフトウェアのライフサイクル全般にわたって一貫性を確保及び維持するための構成管理の手順及び利用するツールを指し、「環境」とは、例えば、ドキュメント、ソースコードに対するアクセス権、開発に利用する電子計算機の設置場所、アクセス制御の方法等を指す。
なお、ソフトウェア開発を外部委託する場合は、委託先に対するセキュ
リティ要件定義の策定手順や導入時のセキュリティ評価試験手順等を整備しておく必要がある。
(エ) 情報システムセキュリティ責任者は、ソフトウェアの作成及び試験を行う情報システムについては、情報セキュリティの観点から運用中の情報システムと分離する必要性の有無を検討し、必要と認めたときは分離すること。
解説：運用中の情報システムを利用してソフトウェアの作成及び試験を行うことにより、運用中の情報システムに悪影響が及ぶことを回避することを求める事項である。これは運用中の情報システム全体ではなく一部だけの場合も同様である。例えば、開発中のソフトウェアの動作確認のために、運用中の情報システムの要機密情報をテストデータとして、試験を行う情報システムにおいて使用しないようにすること等も含まれる。
(オ) 情報システムセキュリティ責任者は、開発するソフトウェアが運用される際に関連する情報資産に対して想定されるセキュリティ脅威の分析結果並びに当該ソフトウェアにおいて取り扱う情報の格付け及び取扱制限に応じて、セキュリティ機能の必要性の有無を検討し、必要と認めたときは、セキュリテ
ィ機能を適切に設計し、設計書に明確に記述すること。
解説：開発するソフトウェアに必要となるセキュリティ機能について、その設計を適切に行うとともに、設計書に明確に記録することを求める事項である。
なお、汎用ソフトウェアをコンポーネントとして情報システムを構築する場合はもとより、すべてを独自開発する場合であっても、外部から察知される脅威（例えば、ＳＱＬインジェクション、バッファオーバーフ
ロー等）は存在するため、開発するソフトウェアの機能、ネットワークの接続状況等から、想定される脅威を分析する必要がある。
(カ) 情報システムセキュリティ責任者は、開発するソフトウェアが運用される際
82

NISD-K303-091Cに利用されるセキュリティ機能についての管理機能の必要性の有無を検討し、必要と認めたときは、管理機能を適切に設計し、設計書に明確に記述すること。
解説：「管理機能」とは、真正確認及び権限管理等のセキュリティ機能を管理するための機能のほか、故障、事故及び障害等の発生時に行う対処及び復旧に係る機能、事故発生時の証跡保全の機能等を指し、これらの必要性をソフトウェアの設計時から検討することにより、必要がある場合にはソフトウェアに組み込むことを求める事項である。
(キ) 情報システムセキュリティ責任者は、ソフトウェアの設計について、その情報セキュリティに関する妥当性を確認するための設計レビューの範囲及び方法を定め、これに基づいて設計レビューを実施すること。
解説：ソフトウェアの設計について、脆弱性の原因となる設計の不具合をなくすために、設計レビューの実施を求める事項である。
一般にソフトウェア開発における設計レビューには、①レビュー対象内にあるエラーの発見を第一目的とし、開発責任者等が実施する確認手法（インスペクション）、②開発担当者自身が開発関係者を集め、レビュー
対象プログラムを実行の流れに従って追跡し確認する手法（ウォークスルー）等があり、これらを、いつ、誰が、何に対して実施するのか、といったことを定める必要がある。
(ク) 情報システムセキュリティ責任者は、開発するソフトウェアにおいて処理するデータ及び入出力されるデータの情報セキュリティに関する妥当性を確認する機能の必要性の有無を検討し、必要と認めたときは、その方法を適切に設計し、設計書に明確に記述すること。
解説：ソフトウェアの内部及び入出力するデータについて、処理の誤りや意図的な改ざん等を検出するための機能、又はセキュリティホールの原因となり得る不正な入出力データを排除する機能等を組み込むことを求める事項である。
「データの妥当性」とは、例えば、HTML タグや JavaScript、SQL 文などとして機能する不正な文字列や通信過程において生じたデータ誤りなど、適切なデータ処理の障害になる情報がデータ内に含まれない状態
であることを意味している。データの妥当性を確認する方法として、不正な文字列を変換し、又は削除する機能（いわゆるサニタイジング）の付加、チェックデジット（検査数字）による処理の正当性を確認する機能の付加等がある。
(ケ) 情報システムセキュリティ責任者は、開発するソフトウェアに重要なセキュリティ要件がある場合には、これを実現するセキュリティ機能の設計について第三者機関によるセキュリティ設計仕様書（ST：Security Target）のST評
価・ST確認を受けること。ただし、当該ソフトウェアを要素として含む情報システムについてセキュリティ設計仕様書のST評価・ST確認を受ける場合、又はソフトウェアを更改し、若しくは開発中に仕様変更が発生した場合であ83

NISD-K303-091Cって、見直し後のセキュリティ設計仕様書において重要なセキュリティ要件の変更が軽微であると認めたときは、この限りでない。
解説：重要なセキュリティ要件があるソフトウェアについては、セキュリティ
機能が確実に実装されることを目的として、ISO/IEC 15408 に基づきセキュリティ設計仕様書の ST 評価・ST 確認を行うことを求める事項である。
「ST 評価・ST 確認を受けること」とは、ST 評価・ST 確認がなされた状態になることを意味し、具体的な手続としては、申請と確認書入手がなされることである。ソフトウェアの開発が終了するまでにセキュリテ
ィ設計仕様書について、ST 評価・ST 確認済みとなっている必要があるが、セキュリティ設計仕様が適切であると判断できた上で設計段階から作成段階に移るべきであることから、申請行為は設計段階のうちに行われていることが通常の手順である。
なお、ソフトウェア開発を外部委託する場合には、契約時に条件として含め納品までに ST 評価・ST 確認を受けさせることになる。
(コ) 情報システムセキュリティ責任者は、ソフトウェア開発者が作成したソース
コードについて、不必要なアクセスから保護するとともに、バックアップを取得すること。
解説：ソフトウェア開発者が悪意を持って脆弱性を持つソースコードを組み込んでしまうことを防ぐための変更管理や、ソースコードが流出することを防ぐための閲覧制限のためのアクセス制御、ソースコードの滅失及びき損等に備えたバックアップの取得等を求める事項である。
(サ) 情報システムセキュリティ責任者は、情報セキュリティの観点からコーディ
ングに関する規定を整備すること。
解説：ソフトウェア開発者が意図せずに脆弱性の存在するソフトウェアを作成してしまわないように、ソフトウェア開発者が実施するコーディングに関する規定を定めるように求める事項である。
「コーディングに関する規定」とは、コードの可読性の向上や記述ミスの軽減のため、ソフトウェア開発担当者間のコードの記述スタイルのガイドラインとして、使用を控える構文、使用禁止語等を定めたいわゆるコーディング規約に相当する規定を指す。例えば、バッファオーバーフ
ローによる情報の改ざんを防ぐために、データを更新する処理を実行する場合には、そのデータ量が適正であることを確認する処理を付加することを義務付ける等の規定が挙げられる。
(シ) 情報システムセキュリティ責任者は、作成されたソースコードについて、その情報セキュリティに関する妥当性を確認するためのソースコードレビューの必要性の有無を検討し、必要と認めたときは、ソースコードレビューの範
囲及び方法を定め、これに基づいてソースコードレビューを実施すること。
解説：ソースコードレビューの範囲及び方法について定めることを求める事項である。例えば、脆弱性の原因となるソースコードについては、開発言84

NISD-K303-091C

語ごとに典型的なパターンが知られていることから、これらについては
静的解析ツール、又はソースコードレビュー等による検証が挙げられる。
なお、ソースコードレビューについては、開発するソフトウェアだけを対象として想定しており、市販製品を組み込む場合など、ソースコードの入手が困難な場合に実施することは想定していない。
(ス) 情報システムセキュリティ責任者は、セキュリティの観点から実施する試験の必要性の有無を検討し、必要と認めたときは実施する試験項目及び試験方法を定め、これに基づいて試験を実施すること。
解説：セキュリティの観点から必要な試験がある場合にその試験の項目及び試
験方法を定めることを求める事項である。攻撃が行われた際にソフトウ
ェアがどのような動作をするかを試験する項目として想定しており、具体的には、バッファオーバーフローが発生しないか、想定の範囲外のデータの入力を拒否できるか、DoS 攻撃等により情報システムが過負荷状態に陥った場合に処理中のデータは保証されるか、といった項目が挙げられる。
なお、セキュリティ機能の試験だけにとどまらず、ソフトウェアの試験
計画全般について、セキュリティホールの有無、必要なチェック機能の欠如等について、単体試験、結合試験、統合試験など複数の試験を通じて、必要な試験が網羅されるよう留意することが望ましい。
(セ) 情報システムセキュリティ責任者は、情報セキュリティの観点から実施した試験の実施記録を保存すること。
解説：「実施記録」とは、試験の項目、実施結果、実施時に判明した不具合及び当該不具合の修正の記録等を指し、これらを保存することにより、セキュリティホールを発見した場合の対処に利用できるようにすることを求める事項である。
(2)

ソフトウェア開発に係る規定の遵守【基本遵守事項】(a) 情報システムセキュリティ責任者は、ソフトウェア開発に係る規定に基づいて、
ソフトウェアの開発を行うこと。
解説：ソフトウェア開発を行う情報システムセキュリティ責任者が、府省庁で整備したソフトウェア開発に係る規定を遵守して、ソフトウェアの開発を行うことを定めた事項である。

1.5.2.4 暗号と電子署名の標準手順
趣旨（必要性）情報システムの利用において、当該情報システムで取り扱う情報の漏えいや改ざん等を防ぐためには、情報の暗号化及び電子署名を行うことが有効な対策となりうるが、暗号化
85

NISD-K303-091C及び電子署名のアルゴリズム、方法、鍵管理、鍵保存並びに鍵バックアップについては、
様々な選択肢があり得ることから、行政事務従事者による個別判断で選択されることのな
いよう、府省庁で標準となる手順を定めることが重要である。
これらのことを勘案し、本項では、暗号化及び電子署名のアルゴリズム、方法、鍵管理、鍵保存並びに鍵バックアップの標準手順に関する対策基準を定める。
遵守事項
(1)

暗号と電子署名に係る規定の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、府省庁における暗号化及び電子署名のアルゴリ
ズム及び方法を、以下の事項を含めて定めること。
(ア) 電子政府推奨暗号リストに記載されたものが使用可能な場合には、それを使用すること。
(イ) 情報システムの新規構築又は更新に伴い暗号化又は電子署名を導入する場合には、電子政府推奨暗号リストに記載されたアルゴリズムを使用すること。
ただし、使用するアルゴリズムを複数のアルゴリズムの中から選択可能とす
るよう暗号化又は電子署名を実装する箇所においては、当該複数のアルゴリ
ズムに、少なくとも一つは電子政府推奨暗号リストに記載されたものを含めること。
解説：府省庁内の情報システムにおける暗号化及び電子署名について、使用を認めるアルゴリズム及び方法を統括情報セキュリティ責任者が定めることを求める事項である。アルゴリズム及び方法は、暗号及び電子署名の使用場面等に応じて整備することも可能である。例えば、電子メールの暗号化に関してアルゴリズムを定めるとともにその方法を S/MIME とし、ウェブサーバとブラウザの通信の暗号化に関してアルゴリズムを定めるとともに方法を SSL とする。他に、データベースのデータ暗号化や、電子申請における電子署名等についても、アルゴリズム及び方法を定めることが考えられる。
行政事務従事者は、文書の作成、電子メールの送受信等に汎用のソフト
ウェアを日常的に使用しているが、これらのソフトウェアでは、暗号化及び電子署名について、複数のアルゴリズムを用意し、設定画面等で利用者が選択できるようにしている場合がある。そのような場合には、行政事務従事者は、（ア）にもとづき電子政府推奨暗号リストに記載されたアルゴリズムを選択して使用することになる。
情報システムの新規構築又は更新に伴い暗号化又は電子署名を導入する
場合には、情報システムセキュリティ責任者は、本事項に基づき統括情報セキュリティ責任者が定めたアルゴリズム及び方法を使用する。
暗号化又は電子署名を行う特定の箇所について見ると、共通鍵暗号、公開鍵暗号及びハッシュ関数のそれぞれについて、複数のアルゴリズムを実装し、使用可能とする場合がある。この場合には、共通鍵暗号、公開86

NISD-K303-091C

鍵暗号及びハッシュ関数のそれぞれについて、電子政府推奨暗号リストに記載されたアルゴリズムを少なくとも一つ含めることを求める。
(b) 統括情報セキュリティ責任者は、暗号化された情報（書面を除く。以下この項において同じ。
）の復号又は電子署名の付与に用いる鍵について、以下の（ア）及び（イ）の手順（以下「鍵の管理手順等」という。
）を定めること。
(ア) 鍵の生成手順、有効期限、廃棄手順、更新手順、鍵が露呈した場合の対処手
順等
解説：鍵の生成手順、有効期限、廃棄手順、更新手順、鍵が露呈した場合の対処手順等を定めることによって、暗号化された情報の復号又は電子署名の付与に用いる鍵の適正な管理を求める事項である。
暗号化された情報の復号や電子署名の付与の際には、本人及び管理上必要のある者のみが知り得る秘密の情報を用いる必要があることから、その適切な運用管理が重要である。なお、オペレーティングシステムに標準搭載されている暗号化又は電子署名付与の機能を使用する場合や、パッケージソフトを使用する場合に、鍵の生成手順や有効期限等が定められている時は、安全性を検討の上、これを準用することが可能である。
また、電子署名の有効期限については、当該有効期限満了までの間、その正当性を検証可能なものとする必要がある。
(イ) 鍵の保存手順
解説：鍵の保存手順を保存方法及び保存場所を含めて定めることによって、暗号化された情報の復号又は電子署名の付与に用いる鍵の適正な管理を求める事項である。
鍵の保存方法としては、電磁的記録媒体に保存することが考えられるが、それをどのように保存するかの方法や、保存する際に電磁的記録媒体以外の記録媒体と併用することの是非などについても定める必要がある。
暗号化された情報の復号や電子署名の付与の際には、本人及び管理上必要のある者のみが知り得る秘密の情報を用いる必要があることから、その適切な運用管理が重要である。なお、オペレーティングシステムに標準搭載されている暗号化又は電子署名付与の機能を使用する場合や、パッケージソフトを使用する場合に、鍵を保存する電磁的記録媒体や保存場所が定められている時は、安全性を検討の上、これを準用することが可能である。
情報システム共通として鍵の保存手順を定める場合には、統括情報セキ
ュリティ責任者が直接それを定めることが考えられる。あるいは、情報
システムごとに鍵の保存手順を個別に定めるのであれば、各情報システ
ムセキュリティ責任者にそれを定めさせることについて、定めるという方法でもよい。
【強化遵守事項】(c) 統括情報セキュリティ責任者は、暗号化された情報の復号に用いる鍵のバックアップの取得手順又は鍵の預託手順（以下「鍵のバックアップ手順等」という。）を87

NISD-K303-091C

定めること。
解説：暗号化された情報の復号に用いる鍵の紛失及び消失に備え、鍵のバックアップ取得手順又は鍵の預託手順を定めることを求める事項である。
例えば、復号に用いる鍵を紛失し、又は消失した場合には、それ以前に暗号化した情報を復号できなくなる。そのため、鍵情報のバックアップを取得し、又は信頼できる第三者へ鍵情報を預託する等の対策が必要である。ただし、鍵情報の複製は、その漏えいに係るリスクを増大させる可能性があるため、最小限にとどめること。
なお、本事項における鍵のバックアップ手順及び鍵の預託手順は、前事
項の鍵の管理手順等に含めて整備することも可能である。
(2)

暗号と電子署名に係る規定の遵守【基本遵守事項】(a) 行政事務従事者は、情報を暗号化する場合及び情報に電子署名を付与する場合には、定められたアルゴリズム及び方法に従うこと。
解説：情報を暗号化する場合及び情報に電子署名を付与する場合に、府省庁で定めたアルゴリズム及び方法を遵守することを求める事項である。
(b) 行政事務従事者は、暗号化された情報の復号又は電子署名の付与に用いる鍵について、定められた鍵の管理手順等に従い、これを適切に管理すること。
解説：暗号化された情報の復号又は電子署名の付与に用いる鍵が露呈した場合、暗号化された情報の漏えいや電子署名の偽造等のおそれがある。そのため、行政事務従事者による鍵情報の保護を求める事項である。
【強化遵守事項】(c) 行政事務従事者は、暗号化された情報の復号に用いる鍵について、定められた鍵のバックアップ手順等に従い、そのバックアップを取得すること。
解説：鍵の書換え、紛失、消失等により、その完全性、可用性が侵害された場
合には、暗号化により保護されている情報を復号することが困難となり、可用性が損なわれる可能性がある。そのため、行政事務従事者による鍵のバックアップを求める事項である。

1.5.2.5 府省庁外の情報セキュリティ水準の低下を招く行為の防止趣旨（必要性）
各府省庁が、府省庁外の情報セキュリティ水準の低下を招くような行為をすることは、
府省庁外に対して適切な行為でないことは当然であって、その行為が他者の情報セキュリ
ティ水準を低下させることによって、各府省庁を取り巻く情報セキュリティ環境を悪化させるため、各府省庁にとっても好ましくない。
これらのことを勘案し、本項では、府省庁外の情報セキュリティ水準の低下を招く行為の防止に関する対策基準を定める。
88

NISD-K303-091C

遵守事項
(1)

措置についての規定の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、府省庁外の情報セキュリティ水準の低下を招く行為の防止に関する措置についての規定を整備すること。
解説：府省庁外の情報セキュリティ水準の低下を招く行為の防止に関して、統括情報セキュリティ責任者が、規定を整備することを求める事項である。
府省庁外の情報セキュリティ水準の低下を招く可能性のある行為としては、例えば、以下のものが挙げられる。
（ア）不適切なソフトウェアの使用要求：電子行政サービス（例えば、府省庁のウェブによるコンテンツの提示等を言う。以下、同じ。）を利用するために、脆弱性の問題が指摘されているソフトウェアの使用（脆弱性の問題が指摘されているソフトウェアのインストールや脆弱性の問題が指摘されているバージョンへの変更による使用を言うが、脆弱性の問題が改善されているソフトウェアへの変更ができないことによる使用継続を含む。
）を暗黙又は明示的に要求する行為。
（イ）ソフトウェアの不適切な設定要求：電子行政サービスを利用する
ために、利用者の環境にインストールされているソフトウェア（府省庁が直接提供していないソフトウェア（例えば、クライアント PC の OS や
ウェブブラウザ等）以下、同じ。）について、セキュリティ設定の下方修
正を暗黙又は明示的に要求する行為。
（ウ）ソフトウェア等の不適切な削除要求：府省庁のウェブのコンテンツを利用するために、利用者のセキュリティ対策に必要なソフトウェア
やハードウェア等の無効化や削除を暗黙又は明示的に要求する行為。
「明示的に要求する行為」とは、「『このような設定を変更してください。』などのように明記すること」であるが、「暗黙に要求する行為」とは、「『このサービスを利用するためには、このような設定が必要です。』と婉曲に記載すること」だけではなく、何も記載しなくとも「結果的にそのような設定変更をしないと利用を継続できないような状態でサービスを提供すること」も含む。
以下のような場合に、暗黙の要求になることがあるので、注意する必要がある。
・ソフトウェアを実行させる場合：電子行政サービスのためのソフトウ
ェアを実行させる場合に注意する必要がある。それらを大別すると、単独実行型（例えば、Windows の「.exe」ファイル等）、ランタイム環境実
行型（例えば、Java アプレットや Windows の ActiveX ファイル等）、ク
ライアントソフト内実行型（例えば、JavaScript やファイル中のマクロ等）があるが、これらのすべてを含む。
・HTML メール等を送信する場合：府省庁から HTML メール等（利用89

NISD-K303-091C

者がセキュリティ上の理由から受信側のメールサーバやメールクライア
ントで処理を制限していることが想定されるメール文書形式を用いたメールのこと。
）を送信する場合に注意する必要がある。
これらの場合については、結果的に利用者のウェブブラウザ等のセキュリティ設定の下方修正を誘発する可能性がある。実行させるソフトウェ
アの提供については、オンラインによる提供（ウェブへの掲載、メールの添付等）について特に注意して規定を整備する必要がある。その際に大別した種類ごとに整備しても構わない。例えば、単独実行型ファイルについてはオンライン提供の原則禁止、ランタイム環境実行型について
は署名を付けることの義務付け、HTML メール等の送信については受信者の事前同意を得た場合のみの送信と不同意者への別方式の送信手段の提供の義務付けなどが考えられる。
（ア）（イ）については、当該電子行政サービスの準備をした時点では、脆弱性の問題が指摘されていなくても、運用開始後に指摘される場合もある。そのような場合にも脆弱性を回避するための選択を利用者ができるように努めなければならない。回避に必要な当該電子行政サービスで用いるウェブのコンテンツやアプリケーション等の是正を容易にできるような準備や設計について規定を整備する必要がある。
「容易にできる」とは、追加の予算措置を講じなくてもよい程度であり、運用担当者による変更ができるか、是正開発作業を保守費用の範囲に含めるなどの方法を考えることができる。
例えば、電子行政用ウェブのアプリケーションを利用するために、利用者の PC 上に予め標準的にインストールされているソフトウェアがバージョンＡであったとする。その後、そのソフトウェアの最新バージョン
がＢに更新され、また、バージョンＡについて脆弱性が公開された場合には、バージョンＢで当該アプリケーションを利用できるようにしなければならない。このとき、当該アプリケーションがそのソフトウェアのバージョンＡだけで動作するような設計では、利用者に脆弱性のあるバージョンＡを利用することを暗黙に要求してしまうことになる。そのよ
うな場合に適切な対処（バージョンＢでも当該アプリケーションを利用できるようにする等）を容易に実施できるように、設計内容又は業者との保守契約内容等について検討しておくことが重要である。
(2)

規定の遵守

【基本遵守事項】(a) 行政事務従事者は、府省庁外の情報セキュリティ水準の低下を招く行為の防止の規定に基づいて、必要な措置を講ずること。
解説：府省庁外の情報セキュリティ水準の低下を招く行為の防止に関する各府
90

NISD-K303-091C

省庁の役割を定めた事項である。行政事務従事者は、組織及び個人として措置を講ずることが重要である。

1.5.2.6 ドメイン名の使用についての対策
趣旨（必要性）
府省庁では、行政に係る情報の提供、行政手続及び意見募集等の行政サービスのために
ウェブサーバ、電子メール等を用意し、国民等の利用に供している。これらのサービスは
インターネットを介して利用するものであるため、国民等にとっては、そのサービスが実際の府省庁のものであると信頼できることが重要である。一方、インターネット上のサービスの特定はドメイン名（例えば、nisc.go.jp のこと。）が重要な役割を果たしており、府省庁において一貫したドメイン名を使用することにより、万一府省庁以外の者による悪用や詐称がなされた場合にも国民が気付くための条件を整備する必要がある。
これらのことを勘案し、本項では、府省庁におけるドメイン名の使用に関する対策基準
を定める。
遵守事項
(1)

ドメイン名の使用についての規定の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、ドメインネームシステムによるドメイン名（以下「ドメイン名」と言う。
）の使用について、以下の事項を行政事務従事者に求める規定を整備すること。
解説：本事項では、統括情報セキュリティ責任者が行政事務従事者に求める規定を整備することとしているが、別途規定を整備することとせずに、省庁対策基準内において直接に行政事務従事者に対する遵守事項として（ア）～（ウ）の事項を定める方法も可能である。ただし、後者の方法
では、自己点検の対象が統括情報セキュリティ責任者ではなく行政事務従事者となることに留意すること。
(ア) 行政事務従事者は、府省庁外の者（国外在住の者を除く。以下、本項において同じ。
）に対して、アクセスや送信させることを目的としてドメイン名を告知する場合に、以下の政府機関のドメイン名であることが保証されるドメイ
ン名（以下「政府ドメイン名」という。
）を使用すること。
•

go.jp で終わるドメイン名•

日本語ドメイン名の中で行政等に関するものとして予約されたドメイン
名

ただし、電子メール送信又は政府ドメイン名のウェブページでの掲載に限り
以下の条件を満たす場合には、政府ドメイン名以外のドメイン名を府省庁以外のものとして告知してもよい。
具体的には、電子メールの送信においては以下の条件をすべて満たすことが91

NISD-K303-091C必要である。
•

告知内容についての問い合わせ先として政府ドメイン名による電子メー
ルアドレスを明記しているか、又は政府ドメイン名による電子署名をしていること。

•

告知するドメイン名を管理する組織名を明記すること。

•

告知するドメイン名の有効性を確認した時期又は有効性を保証する期間について明記していること。

また、政府ドメイン名のウェブページでの掲載においては以下の条件をすべて満たすことが必要である。
•

告知するドメイン名を管理する組織名を明記すること。

•

告知するドメイン名の有効性を確認した時期又は有効性を保証する期間について明記していること。

解説：アクセスさせることを目的にドメイン名を告知するとは、ウェブサイト
（ 例 え ば 、 http://www.nisc.go.jp/ ） や FTP サ ー バ （ 例 え ば 、
ftp://ftp.nisc.go.jp/）等へのアクセスを促すことをいう。送信させることを目的にドメイン名を告知するとは、電子メールの宛先（例えば、null@nisc.go.jp）への送信等を促すことをいう。
本項における告知にあたる場合とは、情報提供のきっかけが府省庁側にある場合で、告知にあたらない場合とは、情報提供のきっかけが府省庁側にない場合である。例えば、府省庁外の者からの問い合わせに回答する場合は、問い合わせがきっかけであるので、告知にはあたらず、本項の対象とはならない。なお、いずれの場合についても媒体の種類（郵送、電話、電子メール送信、ウェブ掲載、ポスター掲示等）を問わない。
「告知する場合に」としているが、実際には「告知内容を検討する際に告知するドメイン名を決める時点で」実施しなければならない遵守事項
である。
「日本語ドメイン名の中で行政等に関するものとして予約されたドメイ
ン名」とは、「JP ドメイン名」の登録管理事業者によって行政等に関するものとして予約されている文字列に .jp を付加した形で終わるドメイ
ン名をいう（以下、本項において同じ）。例えば、「内閣府.jp」等。
なお、在外公館のように国外在住の者を対象とし、かつ、現地のルールに従うことが適切であると考えられる場合には、この限りではない。これらドメイン名の使用については、外務省ウェブサイト等において確認できるよう措置されることが適当である。
政府ドメイン名以外のドメイン名を告知してもよい条件を満たす記載の例としては、以下のようなものが考えられる。
（例）
・この告知についてのお問い合わせは、null@nisc.go.jp までご連絡ください。
・この告知で案内しているウェブサイトは○○○協会が運営しており、
92

NISD-K303-091C

内閣官房が運営しているものではありません。
・この告知で案内しているウェブサイトのアドレスについては、2007 年
12 月時点のものです。ウェブサイトのアドレスについては廃止や変更されることがあります。最新のアドレスについては、ご自身でご確認ください。
(イ) 行政事務従事者は、府省庁外の者に対して、電子メールの送信元としてドメイン名を使用する場合には、政府ドメイン名を使用すること。ただし、当該府省庁外の者にとって、当該行政事務従事者が既知の者である場合を除く。
解説：「使用する場合」としているが、実際には「送信に使用する電子メールのドメイン名を決める時点で」実施しなければならない遵守事項である。
なお、電子メールの送信元として政府ドメイン名を使用するに当たっては、その送信に用いる電子メールサーバは、当該政府ドメイン名にかかる DNS サーバの MX レコードで指定している IP アドレスのサーバでなければならない。
(ウ) 行政事務従事者は、府省庁外の者に対して、アクセスさせることを目的として情報を保存するためにサーバを使用する場合には、政府ドメイン名のサーバだけを使用すること。
解説：府省庁外の者にアクセスさせることを目的として情報を保存するサーバとは、主としてウェブサーバのことをいう。
（ア）により政府ドメイン名以外のドメイン名を告知することを禁止しているが、告知していなくとも、政府機関としての情報を政府ドメイン
名以外のドメイン名のウェブサーバに保存していると、インターネット
上の検索サービスなどにより表示される場合がある。そのような場合には、なりすましをしようとする者が、政府機関からの情報を装った内容を保存したウェブを作成して、検索されるのを待ち伏せするという方法によるなりすましが考えられる。普段から政府ドメイン名のウェブサー
バだけを使うことで、検索結果が政府ドメイン名以外である場合に、そこに保存されている情報の真偽について府省庁以外の者が注意を心がけやすくできる。
なお、既存のウェブサーバ等においてこれら以外のドメイン名のサーバの使用が避けられない場合には、本号に対する例外措置を必要な期間に限り適用し、かつ、政府ドメイン名のサイトから当該ドメイン名を案内することにより、新規に告知するドメイン名について（ア）を遵守すること。
また、政府ドメイン名以外のウェブサーバの使用を停止した後も、当該ドメイン名を不正に利用されないように管理することに注意しなければならない。具体的には、そのような用途に使用した当該ドメイン名については、使用後も登録管理を一定期間維持することを求める規定を設ける必要がある。

93

NISD-K303-091C(2)

ドメイン名の使用についての規定の遵守【基本遵守事項】(a) 行政事務従事者は、ドメイン名の使用についての規定に基づいて、必要な措置を講ずること。
解説：すべての行政事務従事者が、インターネットを経由した行政サービスの提供にあたり、府省庁で整備したドメイン名の使用についての規定を遵守して、政府ドメイン名等のドメイン名を適切に使用することを定めた事項である。

1.5.2.7 不正プログラム感染防止のための日常的実施事項
趣旨（必要性）不正プログラムは、これに感染した情報システム及びデータを破壊することから完全性、可用性に対する脅威となるだけでなく、主体認証情報等の要機密情報を漏えいさせることから機密性に対する脅威ともなる。不正プログラムへの感染を防止するためには、情報シ
ステムを利用する全ての行政事務従事者が、アンチウイルスソフトウェア等を活用して不正プログラムの検知・除去に努める他、ファイルの閲覧や実行、外部ファイルの取り込み等において十分な注意を払う必要がある。
これらのことを勘案し、本項では、不正プログラム感染の回避を目的とした対策基準を
定める。
遵守事項
(1)

不正プログラム対策に係る規定の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、不正プログラム感染の回避を目的として、以下の措置を行政事務従事者に求める規定を整備すること。
解説：本事項では、統括情報セキュリティ責任者が行政事務従事者に求める規定を整備することとしているが、別途規定を整備することとせずに、省庁対策基準内において直接に行政事務従事者に対する遵守事項として（ア）～（キ）の事項を定める方法も可能である。ただし、後者の方法
では、自己点検の対象が統括情報セキュリティ責任者ではなく行政事務従事者となることに留意すること。
(ア) 行政事務従事者は、アンチウイルスソフトウェア等により不正プログラムとして検知された実行ファイルを実行せず、データファイルをアプリケーショ
ン等で読み込まないこと。
解説：不正プログラムに感染したソフトウェアを実行した場合には、たとえ他の情報システムへ感染を拡大させることがなくても、復旧に労力を要す
るため、不正プログラムとして検知された実行ファイル等の実行を禁止する事項である。
94

NISD-K303-091C

なお、アンチウイルスソフトウェア等がすべての現存する不正プログラ
ムを検知できるとは限らないことに留意し、あわせて必要な予防措置を行うことが望ましい。予防措置とは、例えば、差出人が不明な電子メー
ルに添付された不審なファイルを実行しないこと、ウェブクライアントのセキュリティ設定を不必要に低下させないこと、不審なホームページを閲覧しないこと等である。
(イ) 行政事務従事者は、アンチウイルスソフトウェア等に係るアプリケーション
及び不正プログラム定義ファイル等について、これを常に最新の状態に維持すること。
解説：アンチウイルスソフトウェア等のアプリケーション及び不正プログラム
定義ファイル等を最新化することで、不正プログラム等の検知漏れによる感染を回避することを求める事項である。
自動的に最新化する機能を持つ製品については、当該機能を利用することにより最新状態の維持が可能になる。ただし、利用に当たってはアンチウイルスソフトウェア等を自動更新する情報システムが提供するサービスの内容、当該アンチウイルスソフトウェア等に不具合が含まれていた場合に影響が及ぶ範囲、自動更新しない場合に不正プログラムに感染するリスクが高まること等を勘案すべきである。
また、最新の状態に維持する方法としては、端末ごとに利用者が自動化の設定をする方法のほか、情報システムセキュリティ責任者等が管理する端末を一括して自動化する方法もあるため、情報セキュリティ責任者が適切な方法を選択すること。同様に(ウ)～(オ)の事項は、情報セキュリ
ティ責任者が適切な方法を選択すること。
(ウ) 行政事務従事者は、アンチウイルスソフトウェア等による不正プログラムの自動検査機能を有効にすること。
解説：人為による対策の漏れや遅れを回避するために、不正プログラム対策の中で自動化が可能なところは自動化することを求める事項である。
ファイルの作成、参照等のたびに検査を自動的に行う機能をオンに設定
し、その機能をオフにしないことが必要である。
(エ) 行政事務従事者は、アンチウイルスソフトウェア等により定期的にすべての電子ファイルに対して、不正プログラムの有無を確認すること。
解説：定期的に不正プログラムの有無を確認することを求める事項である。
前事項の自動検査機能が有効になっていたとしても、検査した時点における不正プログラム定義ファイルでは検知されない不正プログラムに感染している危険性が残る。このような危険性への対策として、定期的にすべての電子ファイルを検査する必要がある。
(オ) 行政事務従事者は、外部からデータやソフトウェアを電子計算機等に取り込む場合又は外部にデータやソフトウェアを提供する場合には、不正プログラ
ム感染の有無を確認すること。
解説：外部とやり取りするデータやソフトウェアには、ウェブの閲覧やメール
95

NISD-K303-091Cの 送受信等 のネット ワー クを経由 したもの のほ か、USB メモ リや
CD-ROM 等の外部電磁的記録媒体によるものも含む。
不正プログラムの自動検査による確認ができていればそれで差し支えない。
(カ) 行政事務従事者は、不正プログラム感染の予防に努めること。
解説：不正プログラム感染の予防に役立つ措置の実施を求める事項である。ア
ンチウイルスソフトウェア等がすべての不正プログラムを検知できるとは限らないことに注意して、例えば、アプリケーションでマクロの自動実行を無効にすることによりマクロウイルスの実行を防ぐことや、ソフ
トウェアのセキュリティ設定により読み込まれるプログラムやスクリプ
トの実行を無効にすること、安全性が確実ではないプログラムをダウンロードしたり実行したりしないことなどがある。
(キ) 行政事務従事者は、不正プログラムに感染した恐れのある場合には、感染した電子計算機の通信回線への接続を速やかに切断し、必要な措置を講じること。
解説：不正プログラムに感染した恐れがある電子計算機については、他の電子計算機への感染などの被害の拡大を防ぐために、当該電子計算機が通信回線に接続している場合には、それを切断して、必要な措置を講じることを求める事項である。切断後に必要となる措置としては、例えば、不正プログラムの有無を検知して駆除することや、「1.2.2.2 障害・事故等の対処」に定められた連絡等をすることがあげられる。
(2)

不正プログラム対策に係る規定の遵守【基本遵守事項】(a) 行政事務従事者は、定められた不正プログラム対策に係る規定に基づいて、不正プログラムの感染を防止するための対策を行うこと。
解説：すべての行政事務従事者が、不正プログラム対策に係る規定に基づき、不正プログラムの感染を防止するための対策を行うことを定めた事項である。

96

NISD-K303-091C

第2編

情報システム編

第 2.1 部

情報セキュリティ要件の明確化に基づく対策

情報セキュリティについての機能

2.1.1

2.1.1.1 主体認証機能趣旨（必要性）情報システムの利用においては、その利用主体の識別と主体認証を可能とする機能がな
い場合、本来アクセス権限のない者が、悪意又は過失により、情報の参照、改ざん又は消去を行うおそれがある。また、各主体及び情報システムにアクセスする者が各主体の識別と主体認証に関する情報の適切な取扱いに努めなければ、同様のおそれを招くことになる。
これらのことを勘案し、本項では、主体認証に関する対策基準を定める。
なお、政府機関が有する各情報システムの利用者は、行政事務従事者のほか、それ以外の者がある。例えば、国民向けのサービスを提供する情報システムの利用者は、行政事務従事者以外の者である場合がある。識別コードと主体認証情報については、このような利用者の別にかかわらず保護すべきであるが、行政事務従事者以外の者は本統一基準の適用範囲ではない。しかし、それらの者に対し、これを保護するよう注意喚起することが望ま
しい。
遵守事項
(1)

主体認証機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、すべての情報システムについて、主体認証を行う必要性の有無を検討すること。この場合、要保護情報を取り扱う情報シス
テムについては、主体認証を行う必要性があると判断すること。
解説：主体認証を行う前提として、情報システムセキュリティ責任者は、各情報システムについて、アクセスする主体の主体認証を行う必要性の有無を検討することを求める事項である。要保護情報を取り扱う情報システ
ムにおいては、主体認証を行う必要があると判断すること。
主体認証の方式として、知識、所有、生体情報の３つの方法が代表的である。
「知識」による主体認証とは、パスワード等、本人のみが知り得る情報を提示することにより、検証する方法である。
「所有」による主体認証とは、IC カードや磁気ストライプカード等、本人のみが所有する機器等を主体認証処理に介在させることにより、検証する方法である。
「生体情報」による主体認証とは、指紋や虹彩等、本人の生体的な特徴により、検証する方法である。なお、本項における解説としてはそれら３つの方
97

NISD-K303-091C

式について記述するが、その他、位置情報等による方式もある。
生体情報による主体認証を用いる場合には、その導入を決定する前に、この方式特有の誤認率と誤否率の課題があることを考慮して情報システ
ムを設計する必要がある。この方式では、正当な本人に対して、本人の非によらない理由で、主体認証が正しくできなくなる場合があることを想定し、そのような場合の行政事務の遂行への影響について検討してから導入を決定すること。
機微な情報へのアクセスであれば、本人であっても主体認証が解決できるまでアクセス不可能でよいとするか、あるいは、別の方式と組み合わせるなどについて考慮するとよい。
(b) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、識別及び主体認証を行う機能を設けること。
解説：識別のための機能を設けることが技術的にできない情報システム（識別コード自体が存在せず、主体認証情報（パスワード）の設定のみ可能であるような装置等）は、例外措置として判断されることになる。その場
合には、識別されないことによる影響について勘案し、必要に応じて代替あるいは追加の措置を講ずる必要がある。
(c) 情報システムセキュリティ管理者は、主体認証を行う必要があると認めた情報システムにおいて、主体認証情報を秘密にする必要がある場合には、当該主体認証情報が明らかにならないように管理すること。
(ア) 主体認証情報を保存する場合には、その内容の暗号化を行うこと。
(イ) 主体認証情報を通信する場合には、その内容の暗号化を行うこと。
(ウ) 保存又は通信を行う際に暗号化を行うことができない場合には、利用者に自らの主体認証情報を設定、変更、提供（入力）させる際に、暗号化が行われない旨を通知すること。
解説：主体認証情報の保存や通信を行う際に暗号化できない場合には、利用者
は他の情報システムで用いていない主体認証情報を設定すべきである。
その旨を利用者が判断できるように通知しなければならない。
保存又は通信を行う際に主体認証情報を暗号化できない情報システムでは、これが漏えいする危険性がある。もしも、そのような問題が生じた
場合に、そこで使われていた主体認証情報と同じものが他の情報システ
ムでも使われた場合には、暗号化できる情報システムにおいても、不正に使われてしまうという二次被害を招きかねない。その危険性を低減す
るため、暗号化されない情報システムでの主体認証情報については、他の情報システムで用いていないものを利用者が設定するなどの回避策をとる必要がある。そのため、利用者が暗号化されない旨を知る機会を得られるようにしておかなければならない。
したがって、暗号化できない情報システムにおいて、主体認証情報を入力させる際には、例えば、「この情報システムでは入力される情報が暗号化されません。他の情報システムで使用している主体認証情報（パスワ
98

NISD-K303-091Cード）を入力しないようにしてください。」などの警告を表示するようにすることが必要である。
(d) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、利用者に主体認証情報の定期的な変更を求める場合には、利用者に対して定期的な変更を促す機能のほか、以下のいずれかの機能を設けること。
(ア) 利用者が定期的に変更しているか否かを確認する機能(イ) 利用者が定期的に変更しなければ、情報システムの利用を継続させない機能
解説：定期的な変更を遵守事項とする場合には、それが実施されているか否かを確認できる機能を用意しておく必要がある。
その機能によって確認作業を自動化することが技術的に困難な場合は、例外措置の手続を実施した上で、管理者が定期的にパスワードの変更を促すメールを利用者に送信し、利用者がこれに従ってパスワードを変更
した旨を返信することで確認するといった代替措置の適用も考えられる。
なお、生体情報による主体認証方式のように、利用者本人であっても変更できない情報を用いる場合には、定期的に変更する必要はない。
(e) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、主体認証情報又は主体認証情報格納装置を他者に使用され、又は使用される危険性を認識した場合に、直ちに当該主体認証情報若しくは主体認
証情報格納装置による主体認証を停止する機能又はこれに対応する識別コードによる情報システムの利用を停止する機能を設けること。
解説：主体認証情報自体の露呈、主体認証情報に関連する情報の露呈又はそれらが露呈した可能性について報告を受けた場合には、主体認証の停止、識別コードによる情報システムの利用停止のほか、主体認証情報の変更
や別の主体認証方式の併用などの対策を講ずること。
(f)

情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、知識による主体認証方式を用いる場合には、以下の機能を設けること。
(ア) 利用者が、自らの主体認証情報を設定する機能
解説：知識による主体認証方式の場合には、本人による設定を可能にすることによって、以下の利点が期待できる。
・他者に設定された主体認証情報に比べ、本人が設定した主体認証情報の方が容易に記憶できる。
・本人以外の者が主体認証情報を設定する場合には、その設定者によるなりすましが懸念されるが、本人自身が設定することにより、そのおそれが少なくなる。
なお、例えば、運用上の理由などで他者による再設定を認めた場合には、同様に本人になりすますことは可能であるため、主体認証情報（パスワード）変更の通知機能によって、本人に設定が変更されたことについて通知することが望ましい。
(イ) 利用者が設定した主体認証情報を他者が容易に知ることができないように保99

NISD-K303-091C

持する機能
解説：情報システムセキュリティ責任者であっても、他者の主体認証情報を知ることができないようにする必要がある。情報システムセキュリティ責
任者に悪意がなくとも、仮に悪意ある者によってそのシステム管理者権限を奪取されてしまった場合に、すべての利用者の主体認証情報を知られてしまうおそれがあるため、不可逆の暗号化を用いるなどにより、情報システムセキュリティ責任者自らも、他者の主体認証情報を知ることができないような措置を講ずる必要がある。
(g) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、知識、所有、生体情報以外の主体認証方式を用いる場合には、その要件を定めるに際して、以下の事項が適用可能かどうかを検証した上で、当該主体認証方式に適用することが可能な要件をすべて満たすこと。
(ア) 正当な主体以外の主体認証を受諾しないこと。（誤認の防止）(イ) 正当な主体が本人の責任ではない理由で主体認証を拒否されないこと。
（誤否の防止）(ウ) 正当な主体が容易に他者に主体認証情報を付与（発行、更新及び変更を含む。
以下この項において同じ。
）及び貸与ができないこと。（代理の防止）(エ) 主体認証情報が容易に複製できないこと。（複製の防止）(オ) 情報システムセキュリティ管理者の判断により、ログオンを個々に無効化できる手段があること。
（無効化の確保）(カ) 必要時に中断することなく主体認証が可能であること。
（可用性の確保）(キ) 新たな主体を追加するために、外部からの情報や装置の供給を必要とする場
合には、それらの供給が情報システムの耐用期間の間、十分受けられること。
（継続性の確保）(ク) 主体に付与した主体認証情報を使用することが不可能になった際に、正当な主体に対して主体認証情報を安全に再発行できること。
（再発行の確保）
解説：代表的な方式である、知識、所有、生体情報による主体認証方式以外の方法を用いる場合の検討事項を列挙している。セキュリティ上の求められる強度や利便性なども考慮の上、方式を決定することを求める事項である。なお、これらの要件は、必ずしもすべて充足することを求めるものではない。例えば、主体認証情報（パスワード）等による「知識」方式の場合には、要件(ウ)や(エ)を技術的に充足する必要はない。また、上記の（ア）～（ク）以外に気づいた事項があれば、適宜追加することが望ましい。
(h) 情報システムセキュリティ責任者は、生体情報による主体認証方式を用いる場合には、当該生体情報を本人から事前に同意を得た目的以外の目的で使用しないこと。また、当該生体情報について、本人のプライバシーを侵害しないように留意すること。
解説：利用者の指紋情報など、主体認証情報として生体情報を取り扱う場合に、個人のプライバシーに配慮し、個人情報として厳格な管理を求める事項
100

NISD-K303-091Cである。
【強化遵守事項】(i)

情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、複数要素（複合）主体認証方式で主体認証を行う機能を設けること。
解説：複数要素（複合）による主体認証方式を用いることにより、より強固な主体認証が可能となる。
これは、単一要素（単一）主体認証方式（「単一要素（単一）主体認証（single
factor authentication / single authentication）方式」とは、知識、所有、
生体情報などのうち、単一の方法により主体認証を行う方式である。
）の場合には、何らかの理由によって主体認証情報が露呈してしまった際には、不正にログオンされる可能性が非常に高くなってしまうが、複数要素（複合）主体認証方式の場合には、仮に一方の主体認証情報が露呈してしまっても、残りの主体認証情報が露呈しない限り、不正にログオンされる可能性は依然低いと考えられるからである。

(j)情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、ログオンした利用者に対して、前回のログオンに関する情報を通知する機能を設けること。
解説：識別コードによる前回のログオンに関する情報（日時や装置名等）を通知することで、本人の識別コードが他者によって不正に使われた場合に、本人が気付く機会を得られるようにする。

(k) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、不正にログオンしようとする行為を検知し、又は防止する機能を設けること。
解説：例えば、識別コードによるログインにおいて、指定回数以上の主体認証
情報の誤入力が検知された場合に、その旨を通知する、あるいは、当該識別コードによる情報システムへの以後のログインを無効にする（アカウントをロックする）機能の付加が挙げられる。
通知によって本人が知る機会を得ること及び組織が状況を管理できることの 2 点を達成できることが望ましい。
(l)

情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、利用者が情報システムにログインする前に、当該情報システムの利用に関する通知メッセージを表示する機能を設けること。
解説：通知メッセージの例としては、以下のようなものがある。
・利用者が政府機関の情報システムへアクセスしようとしていること
・情報システムの使用が監視、記録される場合があり、監査対象となること・情報システムの不正使用は禁止されており、刑法の罰則対象となること(m) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報シ
101

NISD-K303-091C

ステムにおいて、利用者に主体認証情報の定期的な変更を求める場合には、以前に設定した主体認証情報と同じものを再設定することを防止する機能を設けること。
解説：一度使用した主体認証情報（パスワードなど）の再利用を禁止することを求める事項である。なお、生体情報による主体認証方式のように、利用者本人であっても変更できない情報を用いる場合には、定期的に変更する必要はない。
(n) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、管理者権限を持つ識別コードを共用する場合には、当該識別コードでログインする前に個別の識別コードによりログオンすることが必要となる機能を設けること。
解説：管理者権限を有した識別コードを管理者グループで共用した場合には、そのログオン記録だけでは、共用している管理者のうち、実際に作業をした管理者を個人単位で特定することが困難となる。そのため、管理者
個人を特定することを目的として、非管理者権限の識別コードを本人に付与した上、その識別コードで最初にログオンした後に限り、管理者権限を有する共用識別コードに切り替えて管理者作業を実施することを可能とする必要がある。
なお、当該情報システムのオペレーティングシステムが Unix 系の場合には、一般利用者でログオンした後に su コマンドで root に切り替えるという手順により、これを達成できる。また、その場合には、root によるログオンを禁止する設定により、その手順を強制することができる。
(2)

識別コードの管理【基本遵守事項】(a) 行政事務従事者は、主体認証の際に自己に付与された識別コード以外の識別コー
ドを用いて、情報システムを利用しないこと。
解説：自己に付与された識別コード以外の識別コードを使って、情報システムを利用することは、なりすまし行為であることを認識する必要がある。
仮に、悪意がない行為であっても、他者の識別コードを使って情報シス
テムを利用することは、安易に許容されてはならない。
例えば、何らかの障害により自己の識別コードの利用が一時的に不可能になった場合には、まず、当該情報システムを使って行おうとしている
業務について、他者へ代行処理依頼することを検討すべきであり、他者の許可を得て、当該者の識別コードを使用することはあってはならない。
要するに、行為が正当であるか否かにかかわらず、他者の識別コードを用いて、情報システムを利用するということは制限されなければならない。また、業務の継続のために、他者の識別コードを用いることが不可避の場合には、本人の事前の了解に加えて、情報システムセキュリティ
管理者の了解を得ることが最低限必要である。極めて緊急性が高い場合
102

NISD-K303-091Cには、他者の識別コードを利用していた期間とアクセスの内容を、事後速やかに、情報システムセキュリティ管理者に報告しなければならない。
情報システムセキュリティ管理者は、その理由と利用期間を記録に残すことによって、事後に当該識別コードを実際に使用していた者を特定できるように備えるのが望ましい。
いずれの場合も、用いる識別コードの本人からの事前の許可を得ずに、その者の識別コードを用いて、情報システムを利用することは禁止されるべきである。
遵守事項に「主体認証の際に」とあるのは、主体認証以外の目的で他者の識別コードを使用することを除くためである。例えば、識別コードとして電子メールアドレスが使用されている場合に、電子メール送信先のアドレスとして他者の識別コードを指定してメール送信のための情報シ
ステムを利用することについては問題がない。
(b) 行政事務従事者は、自己に付与された識別コードを他者に主体認証に用いる目的のために付与及び貸与しないこと。
解説：共用する識別コードについても情報システムセキュリティ管理者から各本人に個別に付与されるものであり、付与された者がそれを他者に付与、貸与してはならない。また、情報システムセキュリティ管理者が明示的に共用識別コードとしているもの以外の識別コードを、共用してはならない。
遵守事項に「主体認証に用いる目的のために」とあるのは、主体認証に用いる目的以外で他者に知らせることを除くためである。例えば、識別コードとして電子メールアドレスが使用されている場合に、自分宛の電子メールアドレスとして知らせることについては問題がない。
(c) 行政事務従事者は、自己に付与された識別コードを、それを知る必要のない者に知られるような状態で放置しないこと。
解説：ほとんどの場合には、識別コード自体は必ずしも秘密ではないが、積極的に公開したり、公然となるような放置はしないようにすることを求める事項である。
本来、主体認証のためには、主体認証情報が用いられるが、識別コード
自体も秘密にすることによって、不正に主体認証される可能性をより低くすることが可能となる。そのため、識別コードについても適切に管理することが求められる。
(d) 行政事務従事者は、行政事務のために識別コードを利用する必要がなくなった場
合は、その旨を情報システムセキュリティ管理者に届け出ること。ただし、個別の届出が必要ないと、情報システムセキュリティ責任者が定めている場合は、この限りでない。
解説：識別コードを利用する必要がなくなった場合に、行政事務従事者自らが情報システムセキュリティ管理者へ届け出ることを求める事項である。
ただし、人事異動など、大規模に識別コードの行政事務従事者が変更と103

NISD-K303-091Cなる場合や、その変更を情報システムセキュリティ管理者が行政事務従事者自らからの届出によらずして把握できる場合には、行政事務従事者
自らの届出は不要とすることができる。
【強化遵守事項】(e) 行政事務従事者は、管理者権限を持つ識別コードを付与された場合には、管理者としての業務遂行時に限定して、当該識別コードを利用すること。
解説：管理者権限を持つ識別コードを管理者としての業務遂行時に限定して、利用することを求める事項である。
例えば、情報システムのオペレーティングシステムが Windows であれ
ば、administrator 権限を付与された場合であって、PC の設定変更などをしないときには、administrator 権限なしの識別コードを使用し、設定変更をするときにだけ administrator 権限で再ログインすることを遵守しなければならない。
なお、この遵守事項は、実際には繁雑な操作を必要とする場合があるた
め、最少特権機能が設けられている場合は、これを遵守するべきであるが、当該の情報システムで取り扱う情報の重要性などを勘案し、必要に応じて遵守事項として本事項を選択されたい。
(3)

主体認証情報の管理【基本遵守事項】(a) 行政事務従事者は、主体認証情報が他者に使用され、又はその危険が発生した場
合には、直ちに情報システムセキュリティ責任者又は情報システムセキュリティ
管理者にその旨を報告すること。
解説：行政事務従事者は、自らの主体認証情報自体の露呈や主体認証情報に関連する情報の露呈又はそれらが露呈した可能性がある場合には、直ちに情報システムセキュリティ責任者又は情報システムセキュリティ管理者へ報告することを求める事項である。
(b) 情報システムセキュリティ責任者又は情報システムセキュリティ管理者は、主体
認証情報が他者に使用され、又はその危険が発生したことの報告を受けた場合には、必要な措置を講ずること。
解説：報告を受けた者が、必要な措置を講ずることを求める事項である。必要な対策としては、例えば、主体認証情報の変更や別の主体認証方式の併用、当該識別コードによるログオン制限等がある。
(c) 行政事務従事者は、知識による主体認証情報を用いる場合には、以下の管理を徹底すること。
(ア) 自己の主体認証情報を他者に知られないように管理すること。
解説：行政事務従事者は、例えば自己の主体認証情報を内容が分かる状態で付箋に記入して貼付するようなことを行ってはならず、主体認証情報を入力する際に周囲からの盗み見に注意を払ったり、管理者を名乗って主体
認証情報を聞き出す行為に注意したりする等、他者に知られないように
104

NISD-K303-091C

管理すること。
(イ) 自己の主体認証情報を他者に教えないこと。
解説：行政事務従事者が他者に処理代行させるために自己の主体認証情報を教示しないことを求める事項である。主体認証情報を他者に教示することによって、情報システムの識別コードと実際の操作者との関連があいまいとなる可能性があり、アクセス制御、権限管理、証跡管理その他の情報セキュリティ対策の基礎が崩壊する可能性がある。また、教示された側にとっても、例えば、当該識別コードによって不正行為が発生した場
合は、その実行者として疑義を受ける可能性がある。そのため、
「教えな
い」
、
「聞かない」を徹底すべきである。
(ウ) 主体認証情報を忘却しないように努めること。
解説：他者が容易に見ることができないような措置（施錠して保存する等）や、他者が見ても分からないような措置（独自の暗号記述方式等）をしていれば、必ずしも、メモを取ることそのものを禁ずるものではない。むしろ、忘れることのないようにもしなければならない。
本人の忘却によって主体認証情報を初期化（リセット）する場合に備えて、初期化が不正に行われたり、初期化された情報が本人以外に知られたりすることのないように情報システムを構築・運用すべきである。例
えば、情報システムによる自動化により無人で初期化できるようにする
ことが、初期化情報の保護のみならず、運用の手間を低減することに役立つことについても勘案して検討することが望ましい。
(エ) 主体認証情報を設定するに際しては、容易に推測されないものにすること。
解説：辞書に載っている単語、利用者の名前や利用者個人に関連する情報から簡単に派生させたもの等、容易に推測されるものを用いてはならない。
また、使用する文字種として、数字だけでなく、アルファベットの大文
字及び小文字、更に特殊記号なども織り交ぜて主体認証情報を構成することが望ましい。
(オ) 情報システムセキュリティ管理者から主体認証情報を定期的に変更するように指示されている場合は、その指示に従って定期的に変更すること。
解説：定期的な変更の要求を自動化できることが望ましいが、技術的に困難な場合には、定期的に変更依頼を通達するなどの運用によって対処することでも差し支えない。
(d) 行政事務従事者は、所有による主体認証を用いる場合には、以下の管理を徹底すること。
(ア) 主体認証情報格納装置を本人が意図せずに使われることのないように安全措置を講じて管理すること。
(イ) 主体認証情報格納装置を他者に付与及び貸与しないこと。
(ウ) 主体認証情報格納装置を紛失しないように管理すること。紛失した場合には、直ちに情報システムセキュリティ責任者又は情報システムセキュリティ管理者にその旨を報告すること。
105

NISD-K303-091C(エ) 主体認証情報格納装置を利用する必要がなくなった場合には、これを情報シ
ステムセキュリティ責任者又は情報システムセキュリティ管理者に返還すること。
解説：所有による主体認証方式では、それを取得した者が正当な主体として主体認証されることになるため、他者に使用されることがないように、また、紛失などで、その可能性がある場合の報告を徹底する必要がある。
異動等により主体認証情報格納装置を利用する必要がなくなった場合には、これを返却する必要がある。

2.1.1.2 アクセス制御機能
趣旨（必要性）
主体認証によって、許可された主体だけが情報システムを利用できることになるが、情報システムを複数の主体が利用し、そこに重要度の異なる複数種類の情報がある場合には、どの主体がどの情報にアクセスすることが可能なのかを情報ごとにアクセス制御する必要がある。
これらのことを勘案し、本項では、アクセス制御に関する対策基準を定める。
遵守事項
(1)

アクセス制御機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、すべての情報システムについて、アクセス制御を行う必要性の有無を検討すること。この場合、要保護情報を取り扱う情報システムについては、アクセス制御を行う必要があると判断すること。
解説：アクセス制御を行う前提として、情報システムセキュリティ責任者は、
各情報システムについて、アクセス制御を行う必要性の有無を検討しなければならない。要保護情報を取り扱う情報システムにおいては、アクセス制御を行う必要があると判断すること。
なお、アクセス制御方式やセキュリティに配慮した OS に関する用語の解説については、内閣官房情報セキュリティセンターによる「電子政府におけるセキュリティを配慮した OS を活用した情報システム等に関する調査研究」を参照のこと。
http://www.nisc.go.jp/inquiry/pdf/secure_os_2004.pdf(b) 情報システムセキュリティ責任者は、アクセス制御を行う必要があると認めた情報システムにおいて、アクセス制御を行う機能を設けること。
解説：情報システムの利用者やそのグループの属性に応じてオブジェクト（制御対象）へのアクセス権を任意に設定できる方式（任意アクセス制御）を利用すること。なお、「任意アクセス制御（DAC：Discretionary AccessControl）」とは、主体が客体に設定したアクセス制御について、その設
106

NISD-K303-091C

定がそれ以後継承されるかが任意である方式であり、この方式では、その客体にアクセス許可されている主体が別の客体を作成し複製等する際に、元のアクセス制御を新しい客体のアクセス制御として継承するかは
当該主体の任意であり、変更が可能である。
【強化遵守事項】(c) 情報システムセキュリティ責任者は、アクセス制御を行う必要があると認めた情報システムにおいて、利用者及び所属するグループの属性以外に基づくアクセス制御の機能を追加すること。
解説：情報システムの利用者や所属するグループの属性に応じてオブジェクト（制御対象）へのアクセス権を任意に設定できる方式のほか、情報シス
テムの利用者やそのグループの属性以外に基づくアクセス制御を追加すること。
情報システムの利用者やそのグループの属性に基づくアクセス制御としては、例えば以下の方式が挙げられる。
・アクセス・コントロール・リスト（ＡＣＬ）制御
情報システムの利用者やそのグループの属性以外に基づくアクセス制御
としては、例えば以下の方式が挙げられる。
・利用時間による制御
・利用時間帯による制御・同時利用者数による制限
・同一ＩＤによる複数アクセスの禁止
・IP アドレスによる端末制限(d) 情報システムセキュリティ責任者は、アクセス制御を行う必要があると認めた情報システムにおいて、強制アクセス制御機能を設けること。
解説：強制アクセス制御機能(MAC)の組み込みを導入すること。
強制アクセス制御機能を備えたものとして、トラステッドＯＳやセキュアＯＳ等で実装したものもある。
(2)

適正なアクセス制御【基本遵守事項】(a) 情報システムセキュリティ責任者は、行政事務従事者自らがアクセス制御を行うことができない情報システムについて、当該情報システムに保存されることとなる情報の格付け及び取扱制限に従って、アクセス制御を行うこと。
解説：共有ファイルサーバのアクセス制御のように、情報システムを行政事務従事者が利用する際に、自らがアクセス制御を行うことができない場合、
情報システムの導入時及び運用時にアクセス制御を行うことを求めた事項である。例えば、要機密情報であれば、不適当な者から参照されない
よう、読み取り制限の属性を付与し、完全性２情報であれば、不適当な者から変更されないよう、上書き禁止の属性を付与することがこれに当たる。
107

NISD-K303-091C

また、行政事務従事者自らがアクセス制御を行うことが出来る場合、
1.3.1.3(1)(a)の規程に基づき対策を行うこと。

2.1.1.3 権限管理機能
趣旨（必要性）
主体認証情報の機密性と完全性、及びアクセス制御情報の完全性を守ることは重要である。これらの機密性や完全性が損なわれると、主体認証やアクセス制御の機能に問題がな
くとも、正当ではない主体からの情報へのアクセスを許してしまうことになる。
これらのことを勘案し、本項では、権限管理に関する対策基準を定める。
遵守事項
(1)

権限管理機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、すべての情報システムについて、権限管理を行う必要性の有無を検討すること。この場合、要保護情報を取り扱う情報シス
テムについては、権限管理を行う必要があると判断すること。
解説：権限管理を行う前提として、情報システムセキュリティ責任者は、各情報システムについて、アクセスする主体の権限管理を行う必要性の有無を検討することを求める事項である。要保護情報を取り扱う情報システ
ムにおいては、権限管理を行う必要があると判断すること。
なお、アクセス制御は、主体から客体へのアクセス条件を制限すること
で客体に対してのアクセス許可を管理することである。それに対して、権限とは、主体に付与（発行、更新及び変更を含む。以下この項において同じ。
）される許可のことをいい、権限管理とは、主体に対する許可情報を管理することである。その主体が情報システムの管理を担う場合には、その主体に対して管理者権限を与える場合もある。
(b) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、権限管理を行う機能を設けること。
解説：権限管理を行う機能を設ける必要性があると認められた場合に、当該機能を情報システムに設けることを求める事項である。
【強化遵守事項】(c) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、最少特権機能を設けること。
解説：管理者権限を持つ識別コードを付与された者が、管理作業をする時に限定してその識別コードを利用することを可能とする最少特権機能を、情報システムに設けることを求める事項である。
(d) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、主体認証情報の再発行を自動で行う機能を設けること。
108

NISD-K303-091C

解説：情報システムの利用を開始している主体が、主体認証情報の再発行を要求した場合には、当該情報システムにおいて、その主体により重要な情報が既に作成されている可能性があることから、再発行する主体認証情報を他の者が知り得ないように、新規に主体認証情報を発行する場合に比べて、一層安全な機能を設けることを求める事項である。
なお、再発行を自動化して他の者による操作を必要とすることなく主体
認証情報を再発行することにより、安全性を強化することができる。
(e) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、デュアルロック機能を設けること。
解説：不正操作及び誤操作を防止するために、情報システムにデュアルロック
機能を設けることを求める事項である。デュアルロック機能とは、行為に対して、少なくとも 2 名の者が操作しなければその行為を完遂できな
い方式のことである。
(2)

識別コードと主体認証情報の付与管理【基本遵守事項】(a) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、共用識別コードの利用許可については、情報システムごとにその必要性を判断すること。
解説：原則として、識別コードは、情報システムへアクセスする主体へ個別に付与することになる。しかしながら、情報システム上の制約や、利用状
況などを考慮して、１つの識別コードを複数の主体で共用する必要がある場合には、当該情報システムごとに利用許可の判断をすることを求める事項である。
(b) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、権限管理について、以下の事項を含む手続を定めること。
(ア) 主体からの申請に基づいて権限管理を行う場合には、その申請者が正当な主体であることを確認するための手続(イ) 主体認証情報の初期配布方法及び変更管理手続(ウ) アクセス制御情報の設定方法及び変更管理手続
解説：情報システムへアクセスする主体に対して、識別コード及び主体認証情報を付与する際の関連手続を明確に定めることを求める事項である。また、情報システムへアクセスする主体ごとに、確実にアクセス権限を設定するため、関連手続を明確に定めることを求める事項である。
(c) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、権限管理を行う者を定めること。
解説：アクセス権限の管理については、情報システムのセキュリティ保護上、非常に重要な役割を果たすため、権限管理を行う者を定め、厳格な運用を求める事項である。
(d) 権限管理を行う者は、情報システムを利用する許可を得た主体に対してのみ、識109

NISD-K303-091C

別コード及び主体認証情報を発行すること。
解説：情報システムにおける識別コード及び主体認証情報は、情報システムを利用する許可を得た主体に対してのみ発行することが重要である。そのため、初期発行に関する本人確認や、識別コード及び主体認証情報の初期配布方法について厳格な方法を採ることを求める事項である。
(e) 権限管理を行う者は、識別コードを発行する際に、それが共用識別コードか、共用ではない識別コードかの区別を利用者に通知すること。
解説：識別コードを利用者に発行する際に共用識別コードか共用ではない識別
コードかの別について通知することにより、それらの区別を利用者が独自に判断するようなことを防ぐための事項である。ただし、共用識別コードを利用できるのは、情報システムセキュリティ責任者がその利用を認めた情報システムに限られることに注意すること。
(f)

権限管理を行う者は、管理者権限を持つ識別コードを、業務又は業務上の責務に即した場合に限定して付与（発行、更新及び変更を含む。以下この項において同じ。
）すること。
解説：管理者権限を持つ識別コードの取扱いは、情報システムのセキュリティ
対策上、非常に重要な事項である。そのため、管理者権限を持つ識別コ
ードは、業務又は業務上の責務に即して最小限の者へ付与すること。必要以上の者に過大な管理者権限を付与しないこと。

(g) 権限管理を行う者は、行政事務従事者が情報システムを利用する必要がなくなった場合には、当該行政事務従事者の識別コードを無効にすること。また、人事異動等により、識別コードを追加し、又は削除する時に、不要な識別コードの有無を点検すること。
解説：識別コードの付与を最小限に維持するため、退職等により不必要となった識別コードについては、これを無効にすることを求める事項である。
また、本人からの届出による場合のほか、人事異動等の時期を考慮の上、定期的及び必要に応じて不要な識別コードが存在しないことを確認する
ことにより、無効の設定漏れを最小限にとどめることが期待できる。
(h) 権限管理を行う者は、行政事務従事者が情報システムを利用する必要がなくなった場合には、当該行政事務従事者に交付した主体認証情報格納装置を返還させること。
解説：識別コードの付与を最小限に維持し、かつ主体認証情報の不当な使用を防止するために、退職等により不要になった主体認証情報格納装置の回収を求める事項である。
(i)

権限管理を行う者は、業務上の責務と必要性を勘案し、必要最小限の範囲に限って許可を与えるようにアクセス制御の設定をすること。また、人事異動等により、識別コードを追加し、又は削除する時に、不適切なアクセス制御設定の有無を点検すること。
解説：業務又は業務上の責務に即して、必要となる者に限り、当該者の業務遂行に必要となるアクセス権限のみを付与することを求める事項である。
110

NISD-K303-091C【強化遵守事項】(j)

権限管理を行う者は、単一の情報システムにおいては、１人の行政事務従事者に対して単一の識別コードのみを付与すること。
解説：１人の行政事務従事者に対して単一の識別コードのみを付与することを求める事項である。例えば、デュアルロック機能を備えた情報システム
においては、１人の行政事務従事者に複数の識別コードでの主体認証を許してしまうと、デュアルロック機能による強化が万全とならなくなる。

(k) 権限管理を行う者は、識別コードをどの主体に付与したかについて記録すること。
当該記録を消去する場合には、情報セキュリティ責任者からの事前の承認を得ること。
解説：識別コードの付与に係る記録は将来の障害・事故等の原因調査に備えて、不用意に消去しないことを求める事項である。その情報システムへの将来の調査が不要になったものについては、消去することになるが、その場合には、適切な承認を得た上で消去しなければならない。情報システ
ムの関係者だけの判断で、識別コードをどの主体に付与したかを知るた
めの記録を消去してはならない。
(l)

権限管理を行う者は、ある主体に付与した識別コードをその後別の主体に対して付与しないこと。
解説：ある主体に付与した識別コードを再利用して別の主体に付与することを禁ずる事項である。このため、職位等に対応する識別コードが存在し、それを担当者が引き継いで使用する場合など、やむを得ずある主体に付与した識別コードをその後別の主体に対して付与する場合には、例外措置を申請する必要がある。そして、当該申請を許可するときは、その主体認証情報を新たに設定し、以前に使用していた主体による使用を禁ずるとともに、任意の時点で識別コードの利用主体を特定できるように、履歴を管理することが求められる。
なお、当該例外措置は、どの識別コードを誰が使用しているかを管理する ID マネジメントに係る重要事項であるため、情報セキュリティ責任者
が許可・不許可を判断することが望ましい。

(3)

識別コードと主体認証情報における代替手段等の適用【基本遵守事項】(a) 情報システムセキュリティ管理者は、権限管理を行う必要があると認めた情報システムにおいて、付与した識別コードが使用できなくなった行政事務従事者から、代替手段の使用に関する許可申請を受けた場合には、その申請者が正当な利用者であることを確認した上で、その必要性の有無を検討し、必要があると認めたときは、代替手段を提供すること。
解説：情報システムを利用する行政事務従事者においては、何らかの理由により、付与された識別コードに対する主体認証情報を提示することが困難である場合が想定される。例えば、知識による主体認証方式であれば主111

NISD-K303-091C

体認証情報（パスワード）を忘れた場合、所有による主体認証方式であれば携帯するのを忘れた場合、指紋による主体認証方式であれば指を怪我した場合等が挙げられる。
それらの理由により、付与された識別コードに対する主体認証情報を提示することが困難である場合には、代替手段の使用に関する許可申請をすることができる。情報システムセキュリティ管理者は、その申請を受理した時には、その申請が正当な利用者からの許可申請であること及び許可申請の理由が妥当であること等を確認した上で、その必要性を判断し代替手段を提供することを求める事項である。なお、代替手段としては、例えば、当日限り有効とした暫定的な識別コード及び主体認証情報の提供や、当該情報システムから切り離された代替 PC の提供、情報シ
ステムを利用しない業務環境の提供などが想定されるが、情報システム
セキュリティ管理者が情報セキュリティ保護の観点に加えて行政事務従事者本人による業務執行の緊急性、効率性、利便性及び当該情報システ
ムの可用性等も考慮して、適正な代替手段を準備しておくこと。
なお、代替手段の提供に当たっては、その申請理由と使用期間、使用者等を記録として残すことが望ましい。
(b) 情報システムセキュリティ責任者及び情報システムセキュリティ管理者は、権限管理を行う必要があると認めた情報システムにおいて、識別コードの不正使用の報告を受けた場合には、直ちに当該識別コードによる使用を停止させること。
解説：不正使用の報告を受けた場合には、他の基準項目で定められている障害・事故等の対処に係る遵守事項とともに、本事項の対処を実施する。
不正使用による被害が甚大であると予想される場合には、すべての使用を停止した上で、状況把握、原因特定及び証拠保全のためにバックアップを取得すべきである。その後、不正使用に対する対策を講じた上で、使用を再開する場合には、改めて主体認証情報を再発行すべきである。

2.1.1.4 証跡管理機能
趣旨（必要性）情報システムの利用においては、当該情報システムの制御及び管理の実効性を高め、また情報セキュリティに関する問題が発生した場合にこれに適切に対処するために、当該情報システムの動作及びその他必要な事象を記録し、事後にこれを調査する証跡管理を行う必要がある。また、証跡管理により、外部又は内部の者による不正利用又は過失行為を事前に抑止し、また事後に追跡することが可能となる。
これらのことを勘案し、本項では証跡管理に関する対策基準を定める。
遵守事項
(1)

証跡管理機能の導入
112

NISD-K303-091C【基本遵守事項】(a) 情報システムセキュリティ責任者は、すべての情報システムについて、証跡管理を行う必要性の有無を検討すること。
解説：証跡管理を行う前提として、情報システムセキュリティ責任者に、情報システムについて、証跡管理を行う必要性の有無を検討することを求める事項である。
情報セキュリティは、様々な原因で損なわれることがある。クラッカー
等の部外者による不正アクセス、不正侵入、操作する者の誤操作又は不正操作、府省庁の内部及び外部の情報システム利用者の誤操作又は不正操作などがその原因となる。また、職務外の目的でウェブの閲覧や電子メールの送受信がなされるおそれもある。万一問題が発生した場合にはその実行者を特定する必要があり、そのために不正アクセス、不正侵入等の事象、操作する者及び利用者の行動を含む事象を情報システムで証跡として取得し、保存する必要がある。
証跡として多くの情報を取得すれば、事後追跡及び事前抑止の効果は高まる。その反面、多くの証跡を取得する場合には、情報システムの処理能力及び記憶容量を多く消費することになる。情報システムセキュリティ責任者は、この両面に配慮し、また情報システムの重要度や取り扱う
証跡管理情報の機密性も考慮して、証跡として取得する情報と、証跡を取得する箇所を決定する必要がある。
証跡には、以下のような管理記録が考えられる。
・識別コードの発行等の管理履歴
・各識別コードへのアクセス権設定の管理履歴
・それらの権限管理者の許認可そのものの管理履歴
なお、証跡として、上記の他に以下のような利用記録や監視記録等を含めることも考えられる。
・利用者による情報システムの操作記録
・操作する者、監視する者及び保守する者等による情報システムの操作
記録・ファイアウォール、侵入検知システム（Intrusion Detection System）
等通信回線装置の通信記録
・プログラムの動作記録(b) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報シ
ステムには、証跡管理のために証跡を取得する機能を設けること。
解説：証跡を取得する機能を設ける必要があると認められた場合に、当該機能を情報システムに設けることを求める事項である。
(c) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、証跡として取得する情報項目及び証跡の保存期間を定めること。
解説：証跡を取得する場合に、取得する情報項目及び証跡の保存期間を適切に
113

NISD-K303-091C

定めることを求める事項である。
以下に示す例は一般的に取得すべき基本的な情報項目であるが、限られた情報量で実効性のある証跡を取得するように設計することが重要である。
証跡に含める情報項目の例：
・事象の主体である者又は機器を示す識別コード等
・事象の種類（ウェブサイトへのアクセス、ログオン及びログアウト、ファイルへのアクセス、アプリケーションの起動及び終了、特定の操作
指令等）
・事象の対象（アクセスした URL（ウェブアドレス）、ログオンしたア
プリケーション、アクセスしたファイル、起動及び終了したアプリケー
ション、操作指令の対象等）
・日付、時刻・成功、失敗の区別、事象の結果
・電子メールのヘッダ情報、通信内容
・通信パケットの内容
・操作する者、監視する者及び保守する者等への通知の内容
また、保存期間は、１つの情報システムであっても取得する箇所や情報項目により異なることもあり得る。
情報セキュリティに関する問題を事後に追跡し、また事前に抑止するという証跡管理の目的に照らして、保存期間を定めることになる。
(d) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、証跡が取得できなくなった場合及び取得できなくなるおそれがある場合の対処方法を定め、必要に応じ、これらの場合に対処するための機能を情報システムに設けること。
解説：証跡の取得ができなくなった場合及び取得できなくなるおそれがある場合に対処する機能を情報システムに設けることを求める事項である。
設けるべき機能としては、用意したファイル容量を使い切った場合に証跡の取得を中止する機能、古い証跡に上書きをして取得を継続する機能、ファイル容量を使い切る前に操作する者に通知して対処をさせる機能等が考えられる。
なお、「必要に応じ」とは、定めた対処方法を実現するために必要な場合に限られる。
(e) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、取得した証跡に対して不当な消去、改ざん及びアクセスがなされないように、取得した証跡についてアクセス制御を行うこと。
解説：不正アクセス、不正操作若しくは職務外利用又は誤操作を行った者にとって、その証跡は自己に不利益をもたらすものであることも考慮し、証跡が不当に消去、改ざんされることのないように、適切な格付けを与えてこれを管理することを求める事項である。証跡の格付けは、多くの場
114

NISD-K303-091C

合に、機密性２情報又は機密性３情報で、要保全情報となるものと考えられる。
証跡は、訴訟において証拠として利用されることがある。その適切な取扱いを組織として定め、かつこれを遵守していることが、証跡に証拠力が認められる前提となることにも留意する必要がある。
また、証跡には情報システムを利用する者の行為が記録されるため、業務上の必要なくこれにアクセスすべきではない。
これらの理由で、証跡は、情報システムセキュリティ管理者を含む利用者が不当に消去、改ざん又はアクセスすることのないように、証跡を保存したファイルに適切なアクセス制御を適用する必要がある。
また、証跡として利用記録や監視記録を含めた場合には、対象となる利用者のプライバシーを侵害しないことにも配慮して、アクセスできる者を制限するように注意しなければならない。
【強化遵守事項】(f)

情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、証跡の点検、分析及び報告を支援するための自動化機能を情報システムに設けること。
解説：取得した証跡を効率的かつ確実に点検及び分析し、その結果を報告する
ために、その作業を自動化する機能を設けることを求める事項である。
証跡は、その量が膨大になるため、証跡の内容をソフトウェア等により集計し、時系列表示し、報告書を生成するなどにより、効率的かつ確実な点検、分析及び報告が可能となる。規模の大きい情報システムにおいては、複数のサーバ装置で取得した証跡をあわせた点検、分析及び報告の作業を支援する自動化も、必要に応じて導入する。

(g) 情報システムセキュリティ責任者は、取得した証跡の内容により、情報セキュリ
ティの侵害の可能性を示す事象を検知した場合に、監視する者等にその旨を即時に通知する機能を情報システムに設けること。
解説：情報セキュリティの侵害の可能性を示す事象が発生した場合に、迅速な対処を可能とするために、監視する者等に即時に通知する機能を設けることを求める事項である。
府省庁外からの不正侵入の可能性、府省庁における持込み PC の情報シ
ステムへの接続など、通知すべき事象を定め、これを通知する機能を情報システムに組み込む。必要に応じ、情報システムの利用者に即時に注意を促す仕組みを設けることも考えられる。
(2)

証跡の取得と保存【基本遵守事項】(a) 情報システムセキュリティ管理者は、証跡を取得する必要があると認めた情報システムにおいては、情報システムセキュリティ責任者が情報システムに設けた機能を利用して、証跡を記録すること。
115

NISD-K303-091C

解説：情報システムの運用中に、利用者の行動等の事象を証跡として記録することを求める事項である。
情報システムセキュリティ管理者は、証跡を取得するために、必要な操作を行う必要がある。
(b) 情報システムセキュリティ管理者は、証跡を取得する必要があると認めた情報システムにおいては、取得した証跡の保存期間が満了する日まで当該証跡を保存し、保存期間を延長する必要性がない場合は、速やかにこれを消去すること。
解説：取得した証跡を適正に保存し、又は消去することを求める事項である。
情報システムセキュリティ管理者は、証跡の保存期間が満了するまで当該証跡を保存する必要がある。
必要な期間にわたり証跡を保存するために、当該期間に取得する証跡をすべて保有できるファイル容量としたり、証跡を適宜外部電磁的記録媒体に退避したりする方法がある。
なお、法令の規定により保存期間が定められている場合には、これにも従うこと。
(c) 情報システムセキュリティ管理者は、証跡を取得する必要があると認めた情報システムにおいては、証跡が取得できない場合又は取得できなくなるおそれがある場合は、定められた対処方法に基づいて対処すること。
解説：証跡の取得ができない場合又は取得できなくなるおそれがある場合の対処を定める事項である。
これらの場合には、情報システムセキュリティ管理者は、対処方法に定められた操作を行うことが求められる。対処方法に定められた操作としては、用意したファイル容量の残りが少ないことを通知された場合に、ファイルの切替えと証跡の退避を指示する操作等が想定される。
(3)

取得した証跡の点検、分析及び報告【強化遵守事項】(a) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、取得した証跡を定期的に又は適宜点検及び分析し、その結果に応じて必要な情報セキュリティ対策を講じ、又は情報セキュリティ責任者に報告すること。
解説：取得した証跡を用いて、定期的に又は何らかの兆候を契機に点検及び分析し、その結果に応じて必要な情報セキュリティ対策を講ずることにより、情報セキュリティを維持し、あるいはその侵害を早期に検知することを求める事項である。
取得した証跡は、そのすべてを定期的に精査することは一般には困難であり、その一部を重点あるいは指標として点検及び分析することが有効である。重点項目の内容と証跡の量を定期的に点検し、その範囲で通常とは異なる状況が見られた場合に更に詳細な点検及び分析を行うことも考えられる。
116

NISD-K303-091C

証跡の点検、分析及び報告を支援するための自動化機能が設けられていれば、これを利用することにより、作業を効率的かつ確実に行うことができる。
情報セキュリティの侵害が特定された場合は、復旧及び再発防止のために必要な対策を採らなければならない。
(4)

証跡管理に関する利用者への周知【基本遵守事項】(a) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、情報システムセキュリティ管理者及び利用者等に対して、証跡の取得、保存、点検及び分析を行う可能性があることをあらかじめ説明すること。
解説：証跡の取得等について、あらかじめ情報システムセキュリティ管理者及び利用者等に対して説明を行うことを求める事項である。
取得、保存する証跡には、情報システムの管理者、操作員及び利用者等の行動に関する情報が記録される。そのため、証跡を取得、保存し、事後に参照、点検、分析する可能性があることを、利用者に説明する必要がある。なお、証跡を証拠として活用する際の正当性を高めるためにも周知することが望ましい。

2.1.1.5 保証のための機能
趣旨（必要性）
本統一基準では、基本的なセキュリティ機能として、主体認証機能、アクセス制御機能、権限管理機能、証跡管理機能の各項で具体的に遵守事項を規定している。しかし、情報が適切な状態であることを保証するためには、これらの機能による情報セキュリティ対策より上位の機能やそれ以外の機能等による対策全般についても導入の必要性を検討することが重要である。こうした対策は、限られた情報システムに導入されることになると考えるが、基本的な対策ではないからといって最初から除外するのではなく、必要性の有無を確認し選択的に導入するという対応が適切である。
これらのことを勘案し、本項では、保証のための機能に関する対策基準を定める。
遵守事項
(1)

保証のための機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについて、保証のための対策を行う必要性の有無を検討すること。
解説：要保護情報を取り扱う情報システムについて、情報が適切な状態である
ことを保証するための対策の必要性の有無を検討することを求める事項
117

NISD-K303-091Cである。
(b) 情報システムセキュリティ責任者は、保証のための対策を行う必要があると認めた情報システムにおいて、保証のための機能を設けること。
解説：保証のための対策を行う必要性があると認めた場合に、保証のための機能を情報システムに設けることを求める事項である。
保証のための機能とは、2.1.1.1～2.1.1.4 で示した遵守事項に限らない情報及び情報システムの安全性をより確実にするための機能のことをいう。
これには大きく分けて以下の２つのものがある。
（ア）2.1.1.1～2.1.1.4 の機能とは異なる観点での保護を高めるための機能：
2.1.1.1～2.1.1.4 の機能は、主として情報及び情報システムの機密性、完全性及び可用性を保護することを目的とした機能である。これに加えて、
情 報 及 び 情 報 シ ス テ ム の 真 正 性 （ Authenticity ）、 否 認 不 能 性（Non-Repudiation）を保護するための機能等を設けることの必要性を、対象とする情報及び情報システムに対して検討し、必要な措置を講ずることによって、安全性をより確実にすることができる。
（イ）2.1.1.1～2.1.1.4 の機能及び上の（ア）の機能の動作が適正であることを確認するための機能：
2.1.1.1～2.1.1.4 の機能及び上の（ア）の機能は情報及び情報システムを保護するための機能といえる。それに対して（イ）は、それらの機能を監視して、異常やその兆候を検知し、検知された問題を解決する対処をすることによって、それらの機能の回復に備えるための機能等である。
これらの機能を設けることの必要性を、対象とする情報及び情報システ
ムに対して検討し、必要な措置を講ずることによって、安全性をより確実にすることができる。
また、保証のための機能は、主体認証機能等の各項のような個別のものではなく、複数の機能であったり、それら複数のものを組み合わせた機能であったりする場合もある。情報セキュリティをより高めるために必要となる機能を設けることで本項の遵守事項を達成することができる。

2.1.1.6 暗号と電子署名（鍵管理を含む）
趣旨（必要性）情報システムの利用においては、当該情報システムで取り扱う情報の漏えいや改ざん等を防ぐために、情報の暗号化及び電子署名が有効とされている。この際、予め定めた暗号
アルゴリズム及び方法に基づき、暗号及び電子署名を適切な状況で利用する必要がある。
これらのことを勘案し、本項では、暗号化及び電子署名に関する対策基準を定める。

118

NISD-K303-091C

遵守事項
(1)

暗号化機能及び電子署名機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、要機密情報（書面を除く。以下この項において同じ。
）を取り扱う情報システムについて、暗号化を行う機能を付加する必要性の有無を検討すること。
解説：暗号化を行う機能を情報システムに付加する前提として、情報システム
セキュリティ責任者は、各情報システムについて、取り扱う情報の機密性の程度から暗号化を行う機能を付加する必要性の有無を検討しなければならない。
(b) 情報システムセキュリティ責任者は、暗号化を行う必要があると認めた情報シス
テムには、暗号化を行う機能を設けること。
解説：情報の機密性の程度から暗号化を行う機能を付加する必要性が認められる場合に、当該機能を情報システムに設けることを求める事項である。
(c) 情報システムセキュリティ責任者は、要保全情報を取り扱う情報システムについて、電子署名の付与及び検証を行う機能を付加する必要性の有無を検討すること。
解説：電子署名の付与及び検証を行う機能を情報システムに付加する前提として、情報システムセキュリティ責任者は、各情報システムについて、取り扱う情報の完全性及び情報提供者の真正性確認の程度から電子署名の付与及び検証を行う機能を付加する必要性の有無を検討しなければならない。
(d) 情報システムセキュリティ責任者は、電子署名の付与又は検証を行う必要があると認めた情報システムには、電子署名の付与又は検証を行う機能を設けること。
解説：情報の完全性及び情報提供者の真正性確認の程度から電子署名の付与又は検証を行う機能を付加する必要性が認められる場合に、当該機能を情報システムに設けることを求める事項である。
【強化遵守事項】(e) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与又は検証を行う必要があると認めた情報システムにおいて、暗号モジュールを、交換ができるよ
うにコンポーネント化して構成すること。
解説：選択したアルゴリズムが危殆化した場合を想定し、暗号モジュールを交換可能なコンポーネントとして構成するため、設計段階からの考慮を求める事項である。そのためには、暗号モジュールのアプリケーションイ
ンターフェイスを統一しておく等の配慮が必要である。
(f)

情報システムセキュリティ責任者は、暗号化又は電子署名の付与又は検証を行う必要があると認めた情報システムにおいて、複数のアルゴリズムを選択可能とすること。
解説：選択したアルゴリズムが危殆化した場合を想定し、設定画面等によって、当該アルゴリズムを危殆化していない他のアルゴリズムへ直ちに変更できる機能等を、情報システムに設けることを求める事項である。
119

NISD-K303-091C(g) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与又は検証を行う必要があると認めた情報システムにおいて、選択したアルゴリズムがソフトウェ
ア及びハードウェアへ適切に実装され、暗号化された情報の復号又は電子署名の付与に用いる鍵及び主体認証情報等が安全に保護された製品を使用するため、暗号モジュール試験及び認証制度に基づく認証を取得している製品を選択すること。
解説：アルゴリズムの実装状況及び鍵等の保護状況を確認するに当たり、
ISO/IEC 19790 に基づく暗号モジュール試験及び認証制度による認証を取得している製品を選択することを求める事項である。
アルゴリズム自体が安全であっても、それをソフトウェアやハードウェ
アへ実装する際、生成する疑似乱数に偏りが生ずる等の理由で疑似乱数が推測可能であったり、鍵によって処理時間に統計的な偏りが生ずる等の理由で鍵情報の一部が露呈したりすると、情報システムの安全性が損
なわれるおそれがある。
なお、「適切に実装されている」とは、アルゴリズム自体の安全性だけではなく、疑似乱数の推測、鍵情報の一部露呈等の脅威に対応して実装していることをいい、その確認には、独立行政法人

情報処理推進機構(IPA) に よ り 運 用 さ れ て い る 暗 号 モ ジ ュ ー ル 試 験 及 び 認 証 制 度（JCMVP：Japan Cryptographic Module Validation Program）等が利用可能である。
(h) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与を行う必要があると認めた情報システムにおいて、暗号化された情報の復号又は電子署名の付与に用いる鍵を、第三者による物理的な攻撃から保護するために、耐タンパー性を有する暗号モジュールへ格納すること。
解説：暗号化された情報の復号又は電子署名の付与に用いる鍵について、技術的な対策等に加え、物理的対策を講ずることを求める事項である。鍵を格納する電磁的記録媒体が盗難され、鍵が開封される等しても、鍵情報が外部へ漏えいしない仕組みが必要である。
この場合、耐タンパー性を有するとは、例えば、JIS X 19790:2007 7.5 物
理的セキュリティ（ISO/IEC 19790:2006）の規定に照らし合わせると、他のセキュリティ対策との組み合わせによりレベル２以上を選択することが可能であるが、他の組み合わせがない場合、レベル３以上が相当する。
(2)

暗号化及び電子署名に係る管理【基本遵守事項】(a) 情報システムセキュリティ責任者は、電子署名の付与を行う必要があると認めた
情報システムにおいて、電子署名の正当性を検証するための情報又は手段を署名
検証者へ提供すること。
解説：電子署名の付与を実効的に機能させるために、付与された電子署名を受け取った者が、その電子署名の正当性を容易に検証できるようにするこ
120

NISD-K303-091Cとを求める事項である。
通常、付与された電子署名を検証するためには、署名時に使用した署名鍵に対応する検証鍵が必要であるが、この検証鍵自体の真正性を保証するためには、府省庁の窓口での直接提供、信頼できる機関による電子証
明書の発行、検証鍵に付随する固有の情報（フィンガープリント等）の公開等の方法がある。
なお、電子署名の正当性を検証するための情報又は手段については、当該電子署名が付与された情報が真正なものであることを証明する必要がある間、提供することとなる。例えば、電子署名の有効期限内にアルゴ
リズムの危殆化が発生し、又は有効期限を超えるため、別の電子署名を付与する場合にあっては、これらすべての電子署名の正当性を検証するための情報又は手段を提供する必要がある。
【強化遵守事項】(b) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与又は検証を行う必要があると認めた場合、当該情報システムにおいて選択されたアルゴリズムの危殆化に関する情報を適宜入手すること。
解説：様々な機関から提供されているアルゴリズムの危殆化に関する情報を適宜入手しておくことを求める事項である。
また、CRYPTREC による発表に関心を払うことが必要である。

121

NISD-K303-091C

2.1.2

情報セキュリティについての脅威

2.1.2.1 セキュリティホール対策
趣旨（必要性）セキュリティホールは、情報システムを構成する電子計算機及び通信回線装置上で利用しているソフトウェアに存在する可能性があり、そのセキュリティホールを攻撃者に悪用されることにより、サーバ装置への不正侵入、サービス不能攻撃、ウイルス感染等の原因になるなど、情報システム全体のセキュリティを維持する上で大きな脅威となる。特に、サーバ装置へ不正侵入された場合、踏み台、情報漏えい等の更なるリスクにつながり、政府の社会的な信用が失われるおそれがある。これらのリスクを回避するため、セキュリテ
ィホールへの対処は迅速かつ適切に行わなければならない。
これらのことを勘案し、本項では、セキュリティホールに関する対策基準を定める。
遵守事項
(1)

情報システムの構築時【基本遵守事項】(a) 情報システムセキュリティ責任者は、電子計算機及び通信回線装置（公開された
セキュリティホールの情報がない電子計算機及び通信回線装置を除く。以下この項において同じ。
）の設置又は運用開始時に、当該機器上で利用するソフトウェアに関連する公開されたセキュリティホールの対策を実施すること。
解説：電子計算機及び通信回線装置の設置又は運用開始時に、その時点において、当該機器上で利用しているソフトウェアのセキュリティホール対策が完了していることを求める事項である。
【強化遵守事項】(b) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、セキュリティホール対策中にサービス提供が中断しないように、電子計算機及び通信回線装置を冗長構成にすること。
解説：セキュリティホール対策を実施する際に電子計算機及び通信回線装置を停止する場合に、サービス提供を中断させないための措置を求める事項である。
サービス提供を中断できない情報システムでは、電子計算機及び通信回線装置を冗長構成にすることで、セキュリティ対策を実施する際の可用性を高めることが必要である。
(c) 情報システムセキュリティ責任者は、公開されたセキュリティホールの情報がない段階においても電子計算機及び通信回線装置上で採り得る対策を実施すること。
解説：公開されたセキュリティホールへの対策だけでなく、明らかになっていないセキュリティホールについても対策を求める事項である。
対策としては、特定のメモリ上の実行権限の削除又はバッファオーバー
フローの検知によるアプリケーションの実行停止等の対策を実施するこ122

NISD-K303-091Cとなどが挙げられる。
(2)

情報システムの運用時【基本遵守事項】(a) 情報システムセキュリティ管理者は、管理対象となる電子計算機及び通信回線装置上で利用しているソフトウェアに関して、公開されたセキュリティホールに関連する情報を適宜入手すること。
解説：セキュリティホールに関連する情報の収集を求める事項である。セキュ
リティホールに関連する情報とは、セキュリティホールの原因、影響範
囲、対策方法、セキュリティホールを悪用するツールの公開の有無等が挙げられる。
自動アップデート機能を持つソフトウェアの場合には、当該機能を利用して、定期的にセキュリティホールに関連する情報が報告されているかを確認する方法で差し支えないが、当該機能がない場合は、適時調査を行う必要がある。
(b) 情報システムセキュリティ責任者は、管理対象となる電子計算機及び通信回線装置上で利用しているソフトウェアに関して、セキュリティホールに関連する情報を入手した場合には、当該セキュリティホールが情報システムにもたらすリスクを分析した上で、以下の事項について判断し、セキュリティホール対策計画を策定すること。
(ア) 対策の必要性(イ) 対策方法(ウ) 対策方法が存在しない場合の一時的な回避方法(エ) 対策方法又は回避方法が情報システムに与える影響(オ) 対策の実施予定(カ) 対策試験の必要性(キ) 対策試験の方法(ク) 対策試験の実施予定
解説：セキュリティホールが情報システムにもたらすリスクを分析し、対策計
画の策定を求める事項である。
「対策試験」とは、セキュリティホール対策の実施による情報システムへの影響の有無について、他の情報システムを用いて試験することをいう。
(c) 情報システムセキュリティ管理者は、セキュリティホール対策計画に基づきセキュリティホール対策を講ずること。
解説：セキュリティホール対策計画に基づいて対策が実施されることを求める事項である。
(d) 情報システムセキュリティ管理者は、セキュリティホール対策の実施について、実施日、実施内容及び実施者を含む事項を記録すること。
解説：セキュリティホール対策の実施記録の様式は問わないが、実施日、実施
123

NISD-K303-091C

内容及び実施者は必ず記録しなければならない必須事項である。これらの事項のほかに必要事項があれば、適宜追加する。
(e) 情報システムセキュリティ管理者は、信頼できる方法でパッチ又はバージョンア
ップソフトウェア等のセキュリティホールを解決するために利用されるファイル（以下、「対策用ファイル」という。）を入手すること。また、当該対策用ファイルの完全性検証方法が用意されている場合は、検証を行うこと。
解説：入手した対策用ファイルに悪意あるコードが含まれている可能性を考慮し、対策用ファイルを信頼できる方法で入手することを求める事項である。
信頼できる方法としては、ソフトウェアの開発元等が公開するウェブサ
イトからのダウンロード又は郵送された外部電磁的記録媒体を利用して入手する方法が挙げられる。また、改ざんなどについて検証することができる手段があれば、これを実行する必要がある。
(f)

情報システムセキュリティ管理者は、定期的にセキュリティホール対策及びソフ
トウェア構成の状況を確認、分析し、不適切な状態にある電子計算機及び通信回線装置が確認された場合の対処を行うこと。
解説：電子計算機及び通信回線装置上のセキュリティホール対策及びソフトウ
ェア構成の状況を確認し、対策を担保するための事項である。
「セキュリティホール対策及びソフトウェア構成」とは、導入されているソフトウェアの種類及びこれらのセキュリティホール対策状況のことである。調査の間隔については、短いほど効果が高いため、可能な範囲で短くすることが望ましい。
「不適切な状態」とは、パッチが適用されていない等、セキュリティホール対策が講じられていない状態のことである。

(g) 情報システムセキュリティ責任者は、入手したセキュリティホールに関連する情報及び対策方法に関して、必要に応じ、他の情報システムセキュリティ責任者と共有すること。
解説： 公開されたセキュリティホールに関連する情報の入手及びセキュリティ
ホール対策を効果的に実施するために、情報システムセキュリティ責任者間の連携を求める事項である。

2.1.2.2 不正プログラム対策
趣旨（必要性）不正プログラムは、これに感染した情報システム及びデータを破壊することから完全性、可用性に対する脅威となるだけでなく、主体認証情報等の要機密情報を漏えいさせることから機密性に対する脅威ともなる。
さらに、不正プログラムに感染した情報システムは、他の情報システムの再感染を引き起こす危険性のほか、迷惑メールの送信やサービス不能攻撃等の踏み台として利用される
124

NISD-K303-091C

危険性など他者に対するセキュリティ脅威の原因となり得る。
これらのことを勘案し、本項では、不正プログラムに関する対策基準を定める。
遵守事項
(1)

情報システムの構築時【基本遵守事項】(a) 情報システムセキュリティ責任者は、電子計算機（当該電子計算機で動作可能な
アンチウイルスソフトウェア等が存在しない場合を除く。以下この項において同じ。
）にアンチウイルスソフトウェア等を導入すること。
解説：動作可能なアンチウイルスソフトウェア等が存在する電子計算機について、アンチウイルスソフトウェア等を導入することを求める事項である。
なお、多くのメインフレームシステム並びにオペレーティングシステム
及びアプリケーションを搭載していない電子計算機については、動作可能なアンチウイルスソフトウェアが存在しないため、本事項は適用されない。ただし、アンチウイルスソフトウェア等が新たにサポートを開始する場合には、速やかな導入が求められることから、情報システムセキ
ュリティ責任者は、該当する電子計算機の把握を行っておくとともに、
アンチウイルスソフトウェア等に関するサポート情報に常に注意を払っておくことが望ましい。
(b) 情報システムセキュリティ責任者は、想定される不正プログラムの感染経路のす
べてにおいてアンチウイルスソフトウェア等により不正プログラム対策を実施すること。
解説：電子計算機以外の想定される感染経路に対しても、不正プログラム対策の実施を求める事項である。
不正プログラムの感染経路には、電子メール、ウェブ等のネットワーク
経由のほか、不正プログラムに感染した外部電磁的記録媒体経由も考えられ、複数の感染経路を想定した対策が必要である。
【強化遵守事項】(c) 情報システムセキュリティ責任者は、想定される不正プログラムの感染経路において、複数の種類のアンチウイルスソフトウェア等を組み合わせ、導入すること。
解説：複数の種類のアンチウイルスソフトウェア等を導入することにより効果
的な不正プログラム対策の実施を求める事項である。
アンチウイルスソフトウェア等は、製品ごとに不正プログラム定義ファ
イルの提供時期及び種類が異なる。また、これらは現存するすべての不正プログラムを検知及び除去できるとは限らず、アンチウイルスソフト
ウェア等の不具合により不正プログラムの検知又は除去に失敗する危険性もある。このことから、不正プログラムによる被害が発生する可能性を低減させるため、感染経路において異なる製品や技術を組み合わせ、
どれか１つの不具合で、その環境のすべてが不正プログラムの被害を受けることのないようにする必要がある。
125

NISD-K303-091C(d) 情報システムセキュリティ責任者は、不正プログラムが通信により拡散することを防止するための対策を実施すること。
解説：不正プログラムが短時間かつ大規模に感染を拡大する場合には通信を利用することが多いため、その防止策の導入を求める事項である。
不正プログラム定義ファイル又はパッチ適用等が最新化されていない端末をネットワークに接続させない情報システムや、通信に不正プログラ
ムが含まれていることを検知すると、その通信を検知したネットワーク
からの通信を遮断する情報システムの導入等が挙げられる。
(2)

情報システムの運用時【基本遵守事項】(a) 情報システムセキュリティ管理者は、不正プログラムに関する情報の収集に努め、当該情報について対処の要否を決定し、特段の対処が必要な場合には、行政事務従事者にその対処の実施に関する指示を行うこと。
解説：不正プログラムに対し特段の対処が必要な場合に実施することを求める事項である。
「特段の対処が必要な場合」とは、新たな不正プログラムの存在が明らかになった後でも利用中のアンチウイルスソフトウェア等に用いる定義
ファイルが配布されないなど、日常から行われている不正プログラム対策では対処が困難と判断される場合が挙げられる。
(b) 情報システムセキュリティ責任者は、不正プログラム対策の状況を適宜把握し、その見直しを行うこと。
解説：1.5.2.7(1)(a)の規定による統括情報セキュリティ責任者が整備する規程に基づいた対策の状況及び本項の対策の状況を適宜把握し、問題点が発見された場合は改善することを求める事項である。

2.1.2.3 サービス不能攻撃対策
趣旨（必要性）インターネットを経由して外部に提供しているサービスを実現する電子計算機、並びにそのアクセスに利用される通信回線及び通信回線装置は、利用者が自由にアクセス可能である利便性を確保するために、サービス不能攻撃により、通常の利用者がサービスを利用できなくなるといった可用性に対するリスクがある。また、インターネットに接続しているサーバ装置及び端末は、不正プログラム感染又は不正侵入等により、管理者が意図しないにもかかわらず他者へサービス不能攻撃を行ってしまうおそれがある。
このため、インターネットに接続しているサーバ装置、並びにそのアクセスに利用される通信回線及び通信回線装置については、高い可用性を維持するための対策が必要となる。
これらのことを勘案し、サービス不能攻撃に関する対策基準を定める。

126

NISD-K303-091C

遵守事項
(1)

情報システムの構築時【基本遵守事項】(a) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システム（インターネットからアクセスを受ける電子計算機、通信回線装置又は通信回線を有する情報システムに限る。以下この項において同じ。
）については、サービス提供に必要な電子計算機及び通信回線装置が装備している機能をサービス不能攻撃対策に活用すること。
解説：電子計算機や通信回線装置が設けている機能を有効にすることを求める事項である。
対策としては、サーバ装置における SYN Cookie、通信回線装置におけるSYN Flood 対策機能等を有効にすること等が挙げられる。
【強化遵守事項】(b) 情報システムセキュリティ責任者は、情報システムがサービス不能攻撃を受けた場合に影響が最小となるように情報システムを構築すること。
解説：管理する情報システムがサービス不能攻撃を受けた場合の影響を分析し、情報システムを構築することを求める事項である。影響としては、通信回線の帯域圧迫によるアクセス障害や、サーバーの処理能力低下等が考えられる。このため、サービス不能攻撃を受けたことを検出した場合には、即座に情報システムを外部ネットワークより遮断する、通信回線の通信量に制限をかける等といった手段を有する情報システムを構築する必要がある。
(c) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス不能攻撃を受ける電子計算機、通信回線装置又は通信回線から監視対象を特定し、監視方法及び監視記録の保存期間を定めること。
解説：サービス不能攻撃に関する監視対象の特定と監視方法及び監視記録の保存期間を定めることを求める事項である。
インターネットからアクセスされるサーバ装置、そのアクセスに利用される通信回線装置及び通信回線の中から、特に高い可用性が求められるサーバ装置、通信回線装置及び通信回線を優先的に監視する必要がある。
また、不正プログラムの感染又は不正侵入等を受けることにより、管理する電子計算機から他者にサービス不能攻撃を行ってしまうおそれがあるため、当該電子計算機等を監視する必要がある。
「監視方法」については、サービス不能攻撃を受けることに関する監視には、稼動中か否かの状態把握、負荷の定量的な把握があり、サービス不能攻撃に利用されることに関する監視には、電子計算機からインター
ネットへの通信の監視のほか、電子計算機にサービス不能攻撃を行わせる命令の有無の監視がある。監視方法は多種多様であるため、適切な方法を選択する必要がある。
「監視記録の保存期間」については、監視対象の状態の変動を把握する
127

NISD-K303-091Cという目的に照らして、保存期間を定める必要がある。
(d) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、電子計算機、通信回線装置又は通信回線に対するサービス不能攻撃の影響を排除し、又は低減する対策装置を導入すること。
解説：電子計算機及び通信回線装置における対策については、ソフトウェアのセキュリティホールを悪用する攻撃に対するものと、大量のアクセスによる攻撃に対するものに大別され、両者とも実施する必要がある。通信
回線については、通信量の制限や通信の遮断が有効であり、サービス不能攻撃の影響を排除し、又は低減するために必要な装置の導入を求める事項である。
(e) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス不能攻撃を受けた場合に攻撃への対処を効果的に実施できる手段を確保しておくこと。
解説：大量のアクセスによるサービス不能攻撃を受け、サーバ装置、通信回線装置又は通信回線が過負荷状態に陥り利用できない場合における対処を効果的に実施するための事項である。
例えば、対処としては、サービス提供に利用している通信回線等がサー
ビス不能攻撃により過負荷状態に陥っていても、サービス不能攻撃を受けているサーバ装置、通信回線装置及びそれらを保護するために設置されている対策装置を操作できる手段を確保することが挙げられる。より具体的には、管理者が当該装置等を操作するための電子計算機及び通信回線等を、サービス提供に利用している電子計算機及び通信回線等とは別に用意することなどが挙げられる。
(f)

情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス提供に必要な電子計算機、通信回線装置又は通信回線を冗長構成にすること。
解説：サービス不能攻撃が発生した場合、サービスを提供する電子計算機、通信回線装置及び通信回線を代替電子計算機、代替通信回線装置又は代替回線に切り替えることにより、サービスが中断しないように、情報シス
テムを構成することを求める事項である。
サービス不能攻撃の検知及び代替計算機等への切替えは短時間にできるようにすることが必要である。

(g) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、電子計算機や通信回線装置における対策だけでは大量のアクセスによるサービス不能攻撃を回避できないことを勘案し、インターネットに接続している通信回線を提供している事業者とサービス不能攻撃発生時の対処手順や連絡体制を整備すること。
解説：情報システムセキュリティ責任者が、電子計算機や通信回線装置に係るサービス不能攻撃の対策を実施しても、府省庁外へ接続する通信回線及び通信回線装置への過負荷の影響を完全に排除することは不可能である。
128

NISD-K303-091C

このため、府省庁外へ接続する通信回線を提供している事業者へも対策の協力を依頼できる体制を整備することを求める事項である。
(2)

情報システムの運用時【強化遵守事項】(a) 情報システムセキュリティ管理者は、要安定情報を取り扱う情報システムについては、監視方法に従って電子計算機、通信回線装置及び通信回線を監視し、その記録を保存すること。
解説：電子計算機、通信回線装置及び通信回線の通常時の状態を記録し把握することを求める事項である。
電子計算機、通信回線装置及び通信回線を監視している場合、監視対象の状態は一定ではなく変動することが一般的である。時間変動、曜日変
動、週変動、月変動、季節変動を検討した上で記録を一定期間保存する。

2.1.2.4 踏み台対策
趣旨（必要性）インターネット等の府省庁外の通信回線に接続された情報システムは、第三者によって不正アクセスや迷惑メール配信の中継地点として、意図しない用途に使われてしまうこと、
いわゆる、踏み台とされてしまうおそれがある。踏み台とされた情報システムは、府省庁
外に迷惑をかけるだけにとどまらず、例えば、当該情報システムが提供していたサービス
を利用者が利用できないという可用性に対する水準の低下や、府省庁内の他の情報システ
ムに対するセキュリティ脅威の原因ともなり得る。これらを防ぐためには、府省庁が意図しない目的で府省庁の情報システムが使われないようにすることが必要である。
これらのことを勘案し、踏み台防止に関する対策基準を定める。
遵守事項
(1)

情報システムの構築時【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システム（インターネット等の府省庁外の通信回線に接続される電子計算機、通信回線装置又は通信回線を有する情報システムに限る。以下この項において同じ。
）が踏み台として使われることを防止するための措置を講ずること。
解説：電子計算機等に対し、踏み台になることを避けるための対処の実施を求める事項である。
対策としては、アンチウイルスソフトウェア等の導入、セキュリティホ
ールの対処、不要なサービスの削除、フィルタリング機能の有効化、不審なプログラムの実行禁止、アンチウイルスソフトウェア等で検出されないボットの通信の監視等が挙げられる。
129

NISD-K303-091C(b) 情報システムセキュリティ責任者は、情報システムを踏み台として使われた場合の影響が最小となるように情報システムを構築すること。
解説：管理する情報システムを踏み台として使われた場合の影響を分析し、情報システムを構築することを求める事項である。影響としては、通信回線の帯域圧迫によるアクセス障害や、サーバの処理能力低下等が考えられる。このため、踏み台として使われたことを検出した場合には、即座に情報システムを外部ネットワークより遮断する、問題が発生している
電子計算機のみ切り離す、等といった手段を有する情報システムを構築する必要がある。
【強化遵守事項】(c) 情報システムセキュリティ責任者は、情報システムが踏み台になっているか否かを監視するための監視方法及び監視記録の保存期間を定めること。
解説：踏み台に関する監視方法及び監視記録の保存期間を定めることを求める事項である。
「監視方法」については、意図しない稼動負荷やインターネットへの通信の有無の把握、電子計算機に意図しない処理を行わせる命令の有無の監視等がある。監視方法は多種多様であるため、適切な方法を選択する必要がある。
「監視記録の保存期間」については、監視対象の状態の変動を把握するという目的に照らして、保存期間を定める必要がある。
(2)

情報システムの運用時【強化遵守事項】(a) 情報システムセキュリティ管理者は、定められた監視方法に従って情報システムを監視し、その記録を保存すること。
解説：情報システムの通常稼働時の状態を記録し把握することを求める事項である。
情報システムを監視している場合、監視対象の状態は一定ではなく変動することが一般的である。時間変動、曜日変動、週変動、月変動、季節変動を検討した上で記録を一定期間保存する。

130

NISD-K303-091C

第 2.2 部
2.2.1

情報システムの構成要素についての対策

施設と環境

2.2.1.1 電子計算機及び通信回線装置を設置する安全区域
趣旨（必要性）
電子計算機及び通信回線装置の設置環境について、悪意を持った者が電子計算機及び通信回線装置に物理的に接触できる状況においては、なりすまし、物理的な装置の破壊のほか、情報の漏えい又は改ざんが行われるおそれがある。また、設置環境に関する脅威としては、自然災害の発生により情報システムが損傷する等のおそれもある。
これらのことを勘案し、本項では、安全区域に関する対策基準を定める。
遵守事項
(1)

立入り及び退出の管理【基本遵守事項】(a) 情報システムセキュリティ責任者は、安全区域に不審者を立ち入らせない措置を講ずること。
解説：安全区域への不審者の立入りを防止し、安全区域のセキュリティを確保するための事項である。
措置としては、身分を確認できる物の提示の義務化、安全区域の所在の表示の制限等が挙げられる。
なお、本項のすべての遵守事項において、庁舎等の施設全体で対策が実施されている遵守事項がある場合には、当該対策を更に居室等毎に実施することまでは求めておらず、施設における対策により代替可能である。
(b) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、安全区域を物理的に隔離し、立入り及び退出を管理するための措置を講ずること。
解説：要保護情報を取り扱う情報システムを構成する電子計算機及び通信回線装置が設置された安全区域を、物理的隔離及び立入り及び退出の管理によりセキュリティを確保するための事項である。
措置としては、壁、施錠可能な扉、パーティション等で囲むことで安全区域を隔離し、安全区域が無人になる際には扉を施錠する、当該鍵の貸し出しを管理するといった措置が挙げられる。安全区域の扉を開放した
まま無人の状態にしてはならない。
【強化遵守事項】(c) 情報システムセキュリティ責任者は、安全区域へ立ち入る者が立入りを許可された者であるかの確認を行うための措置を講ずること。
解説：安全区域へ立ち入る者が立入りを許可された者であるかの確認を実施す
131

NISD-K303-091C

ることで、許可されていない者の立入りを排除するための事項である。
なお、立入りを許可された者であるかの確認のために主体認証を行う機能を設けた場合は、立ち入る者の主体認証情報の管理に関する規定の整
備、当該主体認証情報の読取防止のための措置を講ずること等が望ましい。
(d) 情報システムセキュリティ責任者は、安全区域から退出する者が立入りを許可された者であるかの確認を行うための措置を講ずること。
解説：立ち入った者の退出を把握するための事項である。
(e) 情報システムセキュリティ責任者は、立入りを許可された者が、立入りを許可されていない者を安全区域へ立ち入らせ、及び安全区域から退出させない措置を講ずること。
解説：安全区域の立入り及び退出時に立入りを許可された者であるかどうかの確認を確実に実施するための事項である。
対策としては、１人ずつでないと立入り及び退出が不可能な設備の利用、警備員の配置による目視確認等が挙げられる。
(f)

情報システムセキュリティ責任者は、安全区域へ継続的に立ち入る者を許可する手続を整備すること。また、その者の氏名、所属、立入許可日、立入期間及び許可事由を含む事項を記載するための文書を整備すること。
解説：文書を整備することで、安全区域へ継続的に立ち入る者を把握するための事項である。

(g) 情報システムセキュリティ責任者は、安全区域へ立入りを許可された者に変更がある場合には、当該変更の内容を前事項の文書へ反映させること。また、当該変更の記録を保存すること。
解説：変更の内容を前事項の文書へ反映することで安全区域へ継続的に立ち入る者を把握するための事項である。
また、変更内容についての記録を保存し、後で参照できるようにしておく必要がある。
(h) 情報システムセキュリティ責任者は、安全区域へのすべての者の立入り及び当該区域からの退出を記録し及び監視するための措置を講ずること。
解説：安全区域への立入り及び当該区域からの退出の記録、監視を行い、安全区域のセキュリティが侵害された場合に追跡することができるようにするための事項である。
「記録し及び監視する」とは、警備員又は監視カメラ等による記録及び監視のほか、安全区域への立入り及び当該区域からの退出を管理する装置における立入り及び退出の記録を取得し、当該立入り及び退出の記録を定期的に確認することが挙げられる。
(2)

訪問者及び受渡業者の管理【強化遵守事項】(a) 情報システムセキュリティ責任者は、安全区域への訪問者がある場合には、訪問
132

NISD-K303-091C

者の氏名、所属及び訪問目的並びに訪問相手の氏名及び所属を確認するための措置を講ずること。
解説：訪問者の身元を確認するための事項である。
確認方法としては、訪問者に必要事項を記入させ、名刺又は社員証等と記入された内容とを照合する方法が挙げられる。
(b) 情報システムセキュリティ責任者は、安全区域への訪問者がある場合には、訪問者の氏名、所属及び訪問目的、訪問相手の氏名及び所属、訪問日並びに立入り及び退出の時刻を記録するための措置を講ずること。
解説：訪問記録の作成を求める事項である。
(c) 情報システムセキュリティ責任者は、安全区域への訪問者がある場合には、訪問相手の行政事務従事者が訪問者の安全区域への立入りについて審査するための手続を整備すること。
解説：訪問者の安全区域への立入りについて、訪問相手の行政事務従事者が審査するための手続を整備することを求める事項である。
手続としては、「警備員等が訪問相手の行政事務従事者に連絡し、訪問者の立入りについて審査する」、「訪問相手の行政事務従事者が、安全区域との境界線まで迎えに行き審査する」等の方法が挙げられる。
(d) 情報システムセキュリティ責任者は、訪問者の立ち入る区域を制限するための措置を講ずること。
解説：訪問者が許可されていない区域へ立ち入らないようにすることを求める事項である。措置の例としては、扉を施錠し許可された者のみが開閉可能にすることや警備員による訪問者の確認等の方法が挙げられる。
(e) 情報システムセキュリティ責任者は、安全区域内において訪問相手の行政事務従事者が訪問者に付き添うための措置を講ずること。
解説：訪問者が許可されていない区域へ立ち入らないように行政事務従事者が監視することを求める事項である。
(f)

情報システムセキュリティ責任者は、訪問者と継続的に立入りを許可された者とを外見上判断できる措置を講ずること。
解説：継続的に立入りを許可された者と訪問者を区別するための事項である。
これにより、許可されていない区域への訪問者の立入りが検知できる。
対策としては、訪問者用の入館カードを作成し掲示を求める、訪問者の入館カード用ストラップの色を変える等が挙げられる。貸与した物は、訪問者の退出時に回収する必要がある。

(g) 情報システムセキュリティ責任者は、受渡業者と物品の受渡しを行う場合には、以下に挙げるいずれかの措置を講ずること。
(ア) 安全区域外で受渡しを行うこと。
(イ) 業者が安全区域へ立ち入る場合は、当該業者が安全区域内の電子計算機、通信回線装置、記録媒体に触れることができない場所に限定し、行政事務従事者が立ち会うこと。
解説：安全区域内の行政事務従事者と物品の受渡しを行う業者の立入りを制限
133

NISD-K303-091Cするための事項である。
「記録媒体」には電磁的記録媒体及び情報システ
ムから出力された書面等の非電磁的な媒体が含まれる。
(3)

電子計算機及び通信回線装置のセキュリティ確保【基本遵守事項】(a) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、設置及び利用場所が確定している電子計算機の盗難及び当該場所からの不正な持出しを防止するための措置を講ずること。
解説：設置場所が固定された電子計算機に関して、盗難及び不正な持出しを防止するための事項である。
「設置及び利用場所が確定している」とは、サーバ装置及び据置き型 PCのように、設置及び利用する場所が固定され、他の場所で利用することがないという意味である。
対策としては、端末であればセキュリティワイヤーによる固定、サーバ
装置であればサーバラックへの設置及び当該サーバラックの施錠、施設からの退出時における持ち物検査等が挙げられる。
【強化遵守事項】(b) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、電子計算機及び通信回線装置を他の情報システムから物理的に隔離し、安全区域を共用しないこと。
解説：他の情報システムと共用の安全区域に設置していることにより安全性が確保できない場合に、安全区域を共用せずに物理的に隔離することを求める事項である。
(c) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、設置及び利用場所が確定している通信回線装置の盗難及び当該場所からの不正な持出しを防止するための措置を講ずること。
解説：設置場所が固定された通信回線装置に関して、盗難及び不正な持出しを防止するための事項である。
対策としては、基幹の通信回線装置（ファイアウォール、ルータ、レイ
ヤ３スイッチ、レイヤ２スイッチ等）であればサーバラックへの設置及び当該サーバラックの施錠、終端の通信回線装置（レイヤ２スイッチ等）
であれば床下への埋設等が挙げられる。
(d) 情報システムセキュリティ責任者は、行政事務従事者が離席時に電子計算機及び通信回線装置を不正操作から保護するための措置を講ずること。
解説：行政事務従事者の離席時に、電子計算機及び通信回線装置を第三者による不正操作から保護するための事項である。
対策としては、スクリーンのロック等が挙げられる。スクリーンのロックについては、設定を義務付けるだけでなく、一定時間操作がないと自動的にロックする仕組み又は電子計算機のログインに利用する主体認証
情報格納装置を事務室への立入りの許可の確認にも利用する方法等が挙134

NISD-K303-091C

げられる。
(e) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、電子計算機及び通信回線装置の表示用デバイスを盗み見から保護するための措置を講ずること。
解説：電子計算機に接続されたディスプレイ、通信回線装置のメッセージ表示
用ディスプレイ等を許可のない第三者に見られないように対策を実施することを求める事項である。
対策としては、偏光フィルタの利用等が挙げられる。
(f)

情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、情報システムで利用する電源ケーブル及び通信ケーブルを含む配線を、損傷及び盗聴を含む脅威から保護するための措置を講ずること。
解説：電源ケーブルの損傷及び通信ケーブルからの通信の盗聴等の脅威から、情報システムを保護するための事項である。
対策としては、ケーブルの床下への埋設、ケーブルのナンバリング等が挙げられる。

(g) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、電磁波による情報漏えい対策の措置を講ずること。
解説：ディスプレイケーブル等から生ずる電磁波による情報漏えいのリスクについて対策を講ずるための事項である。
具体的には、電磁波軽減フィルタの利用等が挙げられる。
(4)

安全区域内のセキュリティ管理【基本遵守事項】(a) 行政事務従事者は、安全区域内において、身分証明書を他の職員から常時視認することが可能な状態にすること。
解説：安全区域への立入りを許可されていることを外見上判断できるようにするための事項である。
【強化遵守事項】(b) 行政事務従事者は、情報システムセキュリティ責任者の許可を得た上で、要保護情報を取り扱う情報システムに関連する物品の安全区域への持込み及び安全区域からの持出しを行うこと。
解説：情報システムに関連する物品の持込み及び持出しによって生ずるリスクに対処するための事項である。
「情報システムに関連する物品」とは、安全区域に存在する情報システ
ムで利用するための物品が挙げられ、これにはハードウェア、ソフトウ
ェア、電磁的記録媒体及び情報システムから出力された書面等が含まれる。
(c) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムに関連する物品の安全区域への持込み及び安全区域からの持出しに係る記録を取得すること。
135

NISD-K303-091C

解説：情報システムに関連する物品の持込み及び持出しを記録し、追跡性を確保するための事項である。記録を取得する項目としては、持込み及び持出しを行う者の名前及び所属、日時、物品又は事由等が挙げられる。
(d) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、情報システムに関連しない電子計算機、通信回線装置、電磁的記録媒体及び記録装置（音声、映像及び画像を記録するものを含む。）の安全区域への持込みについて制限すること。
解説：情報漏えいの原因となる可能性のある電子計算機、通信回線装置、電磁的記録媒体及び記録装置（音声、映像及び画像を記録するものを含む。）の持込みを制限するための事項である。
(e) 情報システムセキュリティ責任者は、安全区域内での作業を監視するための措置を講ずること。
解説：安全区域での作業を監視するための事項である。
第三者による立会いや、監視カメラの導入などが挙げられる。
(5)

災害及び障害への対策【強化遵守事項】(a) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、自然災害及び人為的災害から電子計算機及び通信回線装置を保護するための物理的な対策を講ずること。
解説：地震、火災、水害、停電、爆発及び騒じょう等の災害から電子計算機及び通信回線装置を保護するための事項である。
対策としては、サーバラックの利用のほか、ハロゲン化物消火設備、無停電電源装置等の設備、空調設備、耐震又は免震設備、非常口及び非常灯等の設置又は確保が挙げられる。
(b) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、安全区域内において災害又は障害が発生している場合には、作業する者の安全性を確保した上で必要な場合に電子計算機及び通信回線装置の電源を遮断できる措置を講ずること。
解説：作業する者が災害等により安全区域内に設置された電子計算機及び通信回線装置に近づくことができない場合に、作業する者の安全性を確保した上で電子計算機及び通信回線装置の電源を遮断できるようにするための事項である。

136

NISD-K303-091C

2.2.2

電子計算機

2.2.2.1 電子計算機共通対策
趣旨（必要性）
電子計算機の利用については、ウイルス感染や不正侵入を受ける等の外部的要因により、保存されている情報の漏えい若しくは改ざん又は当該電子計算機の機能停止等の被害に遭
うおそれがある。また、職員の不適切な利用等の内部的要因による情報セキュリティの侵害も起こり得る。このように電子計算機の利用は、当該電子計算機及び当該電子計算機が取り扱う情報の情報セキュリティが損なわれるおそれを有している。
これらのことを勘案し、本項では、電子計算機に関する対策基準を定める。
遵守事項
(1)

電子計算機の設置時【基本遵守事項】(a) 情報システムセキュリティ責任者は、要安定情報を取り扱う電子計算機について
は、当該電子計算機に求められるシステム性能を将来の見通しを含め検討し、確保すること。
解説：通常の運用において十分な性能を確保することを求める事項である。
例えば、電子計算機の負荷に関して事前に見積もり、試験等を実施し、必要となる処理能力及び容量を想定し、それを備える必要がある。また、将来にわたっても十分な性能を確保できるように、拡張性や余裕を持たせておく必要がある。
(b) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、電子計算機を安全区域に設置すること。ただし、モバイルPCについて情報
セキュリティ責任者の承認を得た場合は、この限りでない。
解説：電子計算機が設置される物理的環境における脅威への対策を求める事項である。
人為的な脅威としては建物内への侵入、部外者による操作、失火による
火災又は停電等があり、環境的脅威としては地震、落雷又は風水害等がある。そのため、物理的な隔離、入退者の主体認証装置、消火設備、耐震設備又は無停電電源装置等を利用する必要がある。
【強化遵守事項】(c) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス提供に必要な電子計算機を冗長構成にすること。
解説：障害・事故等が発生した場合、サービスを提供する電子計算機を代替電子計算機に切り替えること等により、サービスが中断しないように、情報システムを構成することを求める事項である。災害等を想定して冗長構成にする場合には、電子計算機を遠隔地に設置することが望ましい。

137

NISD-K303-091C(2)

電子計算機の運用時【基本遵守事項】(a) 行政事務従事者は、行政事務の遂行以外の目的で電子計算機を利用しないこと。
解説：電子計算機を業務目的以外に利用することを禁止する事項である。例えば、悪意のあるウェブサイトを閲覧することによって、不正プログラムを感染させられてしまうことから回避するため、業務目的外でのウェブ
サイトの閲覧を禁止すること等が求められる。
【強化遵守事項】(b) 情報システムセキュリティ責任者は、所管する範囲の電子計算機で利用されているすべてのソフトウェアの状態を定期的に調査し、不適切な状態にある電子計算機を検出した場合には、当該不適切な状態の改善を図ること。
解説：電子計算機で利用されているソフトウェアの状態を定期的に調査し、不適切な状態にある場合にその改善を図ることを求める事項である。
「定期的」とは、1 か月から 6 か月ごとに実施することを想定しており、短い期間で実施するとセキュリティ確保に効果的である。
また、「不適切な状態」とは、利用を許可されていないソフトウェアがイ
ンストールされている、ソフトウェアが動作するための適切な設定がなされていない等の状態のことをいう。
(3)

電子計算機の運用終了時【基本遵守事項】(a) 情報システムセキュリティ責任者は、電子計算機の運用を終了する場合に、電子計算機の電磁的記録媒体のすべての情報を抹消すること。
解説：電子計算機の運用を終了する場合に、当該電子計算機に内蔵される電磁的記録媒体から、すべての情報を抹消することを求める事項である。
「ファイル削除」の操作ではファイル管理のリンクが切断されるだけであり、ファイルの情報自体は抹消されずに電磁的記録媒体に残留した状態となっているおそれがある。また、ファイルの情報自体へ別の情報を上書きした場合であっても残留磁気により復元される可能性があることが指摘されている。したがって、当該電磁的記録媒体に保存されているすべての情報を適切な方法で抹消する必要がある。

2.2.2.2 端末
趣旨（必要性）端末については、当該端末を利用する者が専門的知識を有していない場合が多いことから、当該利用者の過失によるウイルス感染等のリスクが高い。また、可搬性の高い端末については、紛失又は盗難のリスクも高くなる。
このように端末の利用は、その特性により、電子計算機に共通的なリスク以外にも情報
138

NISD-K303-091C

セキュリティが損なわれるおそれを有している。
これらのことを勘案し、本項では、端末に関する対策基準を定める。
遵守事項
(1)

端末の設置時【基本遵守事項】(a) 情報システムセキュリティ責任者は、端末で利用可能なソフトウェアを定めること。ただし、利用可能なソフトウェアを列挙することが困難な場合には、利用不可能なソフトウェアを列挙し、又は両者を併用することができる。
解説：多様なソフトウェアを利用することによりセキュリティホール等の脅威が増大し、その対処が困難となる可能性があるため、端末で利用するソ
フトウェアを制限することを求める事項である。
(b) 情報システムセキュリティ責任者は、要保護情報を取り扱うモバイルPCについて
は、府省庁外で使われる際にも、府省庁内で利用される端末と同等の保護手段が有効に機能するように構成すること。
解説：府省庁外で利用されるモバイル PC は、府省庁内で利用される端末と異なる条件下に置かれるため、府省庁外で端末が利用される際の保護手段として、端末で動作するパーソナルファイアウォール等の具備を求める事項である。
例えば、モバイル PC が通常接続される通信回線で実施されているアクセス制御及び監視等は、他の通信回線では同等に実施されているとは限らないため、モバイル PC において実施する必要がある。
(c) 行政事務従事者は、モバイルPCを利用する必要がある場合には、情報システムセ
キュリティ責任者の承認を得ること。
解説：モバイル PC には様々なセキュリティ上のリスクが考えられるため、不必要にリスクを増大させないために、業務上必要なモバイル PC の利用にとどめるための事項である。
(d) 情報システムセキュリティ責任者は、要機密情報を取り扱うモバイルPCについて
は、電磁的記録媒体に保存される情報の暗号化を行う機能を設けること。
解説：モバイル PC が物理的に外部の者の手に渡った場合には、モバイル PC から取り外された内蔵電磁的記録媒体、及びモバイル PC で利用していた
外部電磁的記録媒体を他の電子計算機を利用して解読する等の攻撃によって要機密情報が読み取られる危険性がある。このような情報漏えいの対策として、端末に暗号化機能を装備することを求める事項である。
(e) 情報システムセキュリティ責任者は、要保護情報を取り扱うモバイルPCについては、盗難を防止するための措置を定めること。
解説：モバイル PC は容易に搬出することが可能なため盗難又は紛失に遭う可能性が高いことから、情報システムセキュリティ責任者にその対策を定めること求める事項である。
対策としては、府省庁内においては、モバイル PC を安全区域内に設置
139

NISD-K303-091C

している場合においても固定物又は搬出が困難な物体と容易に切断できないセキュリティワイヤーでつなぐことや、帰宅時に施錠できるキャビ
ネットに保存すること、府省庁外においては、常に身近に置き目を離さないこと等が挙げられる。
【強化遵守事項】(f)

情報システムセキュリティ責任者は、行政事務従事者が情報を保存できない端末を用いて情報システムを構築すること。
解説：端末から情報が漏えいすることを防ぐために、シンクライアント等の端末を利用することを求める事項である。

(2)

端末の運用時【基本遵守事項】(a) 行政事務従事者は、端末で利用可能と定められたソフトウェアを除いて、ソフト
ウェアを利用しないこと。
解説：多様なソフトウェアを実行することによりセキュリティホール等の脅威が増大することから、定められたソフトウェア以外の利用を禁止する事項である。
(b) 行政事務従事者は、要保護情報を取り扱うモバイルPCを利用する場合には、盗難防止措置を行うこと。
解説：モバイル PC を利用する行政事務従事者に対して、モバイル PC の盗難防止措置について、情報システムセキュリティ責任者が定めた手順に従い、措置を実施することを求める事項である。
(c) 行政事務従事者は、要機密情報を取り扱うモバイルPCについては、モバイルPCを
府省庁外に持ち出す場合に、当該モバイルPCで利用する電磁的記録媒体に保存されている要機密情報の暗号化を行う必要性の有無を検討し、必要があると認めた
ときは、情報を暗号化すること。
解説： モバイル PC で利用する電磁的記録媒体の盗難により保存されている情報が漏えいすることを防ぐため、ハードディスク、USB メモリ等に記録されている情報に対してファイル又は電磁的記録媒体全体を暗号化する
必要性を検討すること。府省庁外に持ち出す場合、紛失又は盗難等のリ
スクが高まるため、可能な限り暗号化する必要がある。暗号化に準ずる方法としては、秘密分散等の情報保護措置の実施が挙げられる。
(d) 行政事務従事者は、情報システムセキュリティ責任者が接続許可を与えた通信回
線以外に端末を接続しないこと。
解説：適切な管理がなされていない通信回線に端末を接続することにより、通信傍受等の脅威にさらされることを回避するための事項である。
政府内通信回線でも許可を得た通信回線以外に接続してはならない。モ
バイル PC を府省庁外に持ち出した際に接続する通信回線についても接続許可を得る必要がある。
【強化遵守事項】
140

NISD-K303-091C(e) 情報システムセキュリティ管理者は、情報システムにおいて基準となる時刻に、端末の時刻を同期すること。
解説：情報システム内で同期されている基準となる時刻に、端末の時刻を同期させることを求める事項である。
情報セキュリティが侵害された際に、時刻が同期していないとログの解析等が困難になる。標準時との同期が望ましいが、情報システム内で同期が取られていれば差し支えない。

2.2.2.3 サーバ装置
趣旨（必要性）
サーバ装置については、当該サーバ装置の電磁的記録媒体等に大量の情報を保存している場合が多いことから、当該情報の漏えい又は改ざんによる影響も端末と比較して大きなものとなる。
また、サーバ装置は、通信回線等を介してその機能が利用される場合が多く、ウイルス
感染や不正侵入等を受けるリスクが高い。政府機関が有するサーバ装置が不正アクセスや迷惑メール送信の中継地点に利用されるようなことになれば、国民からの信頼を大きく損なうことにもなる。さらに、サーバ装置は、同時に多くの者が利用できるため、その機能が停止した場合に与える影響が大きい。
このようにサーバ装置の利用は、その特性により、電子計算機に共通的なリスク以外にも情報セキュリティが損なわれるおそれを有している。
これらのことを勘案し、本項では、サーバ装置に関する対策基準を定める。
遵守事項
(1)

サーバ装置の設置時【基本遵守事項】(a) 情報システムセキュリティ責任者は、通信回線を経由してサーバ装置の保守作業を行う場合は、暗号化を行う必要性の有無を検討し、必要があると認めたときは、送受信される情報を暗号化するための機能を設けること。
解説：通信回線を経由してサーバ装置の保守作業を行う際のセキュリティ強化を求める事項である。
情報システムセキュリティ責任者から保守作業を許可されている者がサーバ装置へログオンして作業する場合を想定し、通信の暗号化が必要な場合には、設置時に暗号化するための機能を設け、運用時に実際の情報の暗号化を実施できるようにしておく必要がある。
(b) 情報システムセキュリティ責任者は、サービスの提供及びサーバ装置の運用管理に利用するソフトウェアを定めること。
解説：サーバ装置において、サービスの提供及びサーバ装置の運用管理に必要となるソフトウェアを定めるための事項である。必要なソフトウェアを
141

NISD-K303-091C

定める方法としては、サーバ装置の仕様書において定める、独立の文書として定める等が挙げられる。
(c) 情報システムセキュリティ責任者は、利用が定められたソフトウェアに該当しないサーバアプリケーションが稼動している場合には、当該サーバアプリケーショ
ンを停止すること。また、利用が定められたソフトウェアに該当するサーバアプ
リケーションであっても、利用しない機能を無効化して稼動すること。
解説：不要なサーバアプリケーションの停止及び不要な機能の無効化により、サーバ装置から潜在的な脅威を排除するための事項である。なお、ソフ
トウェアの設定は初期状態が安全であるとは限らないことについても留意して確認すること。
【強化遵守事項】(d) 情報システムセキュリティ責任者は、利用が定められたソフトウェアに該当しないソフトウェアをサーバ装置から削除すること。
解説：利用が定められたソフトウェアに該当しないものが導入されている場合、利用を禁止していても不正侵入した攻撃者等に悪用される可能性があるため、当該ソフトウェアをサーバ装置から削除することを求める事項である。
(e) 情報システムセキュリティ管理者は、要安定情報を取り扱うサーバ装置の内、サービス提供に必要なサーバ装置については、負荷を複数のサーバ装置に分散又はサーバ装置を冗長構成とすること。
解説：障害や過度のアクセス等によりサービスが提供できない事態となることを防ぐため、複数のサーバ装置による負荷分散、負荷分散装置の設置、DNS による負荷分散又は冗長構成等の実施を求める事項である。
(2)

サーバ装置の運用時【基本遵守事項】(a) 情報システムセキュリティ責任者は、定期的にサーバ装置の構成の変更を確認すること。また、当該変更によって生ずるサーバ装置のセキュリティへの影響を特定し、対処すること。
解説：サーバ装置のソフトウェア及びハードウェア等の構成が不正に変更されていないか定期的に確認し、また、変更によるセキュリティレベルの低下等が発生していないか検討し、変更状況に応じて対処することを求める事項である。
(b) 情報システムセキュリティ管理者は、要安定情報を取り扱うサーバ装置について
は、サーバ装置の運用状態を復元するために必要な措置を講ずること。
解説：サーバ装置の運用状態を復元するための必要な措置を講ずることによりサーバ装置に保存されている情報及びその情報を用いたサービスの可用性の担保を目的とした事項である。
サーバ装置の運用状態を復元するための必要な措置には、以下のようなものがある。
142

NISD-K303-091C・サーバ装置の運用に必要なソフトウェアの原本を別に用意しておく。
・前回内容からの変更部分の定期的なバックアップを実施する。
なお、取得した情報を記録した電磁的記録媒体は、施錠された保管庫に保存等して、業務上の必要がある場合にこれらの情報を利用する情報シ
ステムセキュリティ管理者に限ってアクセスできるようにする。また、災害等を想定してバックアップを取得する場合には、記録媒体を遠隔地に保存することが考えられる。
「定期的」とは、1 日又は 1 週ごとに実施することを想定しており、短い期間で実施するとセキュリティ確保に効果的である。
(c) 情報システムセキュリティ管理者は、サーバ装置の運用管理について、作業日、作業を行ったサーバ装置、作業内容及び作業者を含む事項を記録すること。
解説：運用管理作業の記録を文書として残すための事項である。
各府省庁において、ある程度統一的な様式を作成する必要がある。
(d) 情報システムセキュリティ管理者は、情報システムにおいて基準となる時刻に、
サーバ装置の時刻を同期すること。
解説：情報システム内で同期されている基準となる時刻にサーバ装置を同期させることを求める事項である。
情報セキュリティが侵害された際に、時刻が同期していないとログの解析等が困難になる。標準時との同期が望ましいが、情報システム内で同期が取られていれば差し支えない。
【強化遵守事項】(e) 情報システムセキュリティ管理者は、サーバ装置のセキュリティ状態を監視し、不正行為及び不正利用を含む事象の発生を検知すること。
解説：サーバ装置上での不正行為及び不正利用を監視するための事項である。
「セキュリティ状態を監視」するとは、サーバ装置上での不正な行為及び要機密情報への不正なアクセス等の発生を監視することである。監視の方法としては、アクセスログを定期的に確認することや、侵入検知シ
ステム、アンチウイルスソフト又はファイル完全性チェックツール等を利用することができる。
(f) 情報システムセキュリティ管理者は、要安定情報を取り扱うサーバ装置について、当該サーバ装置のシステム状態を監視し、当該サーバ装置に関する障害等の発生を検知すること。
解説：日常的なサーバ装置のシステム状態について監視を行うことで、障害等の発生を早期に検出し、またこの影響の拡大を未然に防止するための事項である。
「システム状態を監視」するとは、サーバ装置の CPU、メモリ、ディス
ク入出力等の性能及び故障等を監視することである。監視方法は、状況に応じて、ツールの利用、手動から、適切な方法を選択することが可能
である。

143

NISD-K303-091C

2.2.3

アプリケーションソフトウェア

2.2.3.1 電子メール
趣旨（必要性）
電子メールの送受信とは情報のやり取りにほかならないため、不適切な利用により情報が漏えいする等の機密性に対するリスクがある。また、電子メールサーバに過負荷等が加えられることによって、機能が損なわれる等の可用性に対するリスクがある。この他、内容を偽ったメールによるいわゆるフィッシング詐欺等に電子メールを利用する行政事務従事者が巻き込まれるリスクもある。このようなリスクを回避するためには、適切な電子メールサーバの管理及び電子メールの利用が必要である。
これらのことを勘案し、本項では、電子メールサーバの管理及び電子メールの利用に関する対策基準を定める。
遵守事項
(1)

電子メールの導入時【基本遵守事項】(a) 情報システムセキュリティ責任者は、電子メールサーバが電子メールの不正な中継を行わないように設定すること。
解説：迷惑メールの送信等に使われることを回避するために、電子メールを不正に中継しないように電子メールサーバを設定することを求める事項である。
(b) 情報システムセキュリティ責任者は、電子メールクライアントから電子メールサーバへの電子メールの受信時及び送信時に行政事務従事者の主体認証を行う機能を備えること。
解説：電子メールの受信時に限らず、送信時においても不正な利用を排除するために SMTP 認証等の主体認証を行うことを定めた事項である。
(2)

電子メールの運用時【基本遵守事項】(a) 行政事務従事者は、業務遂行に係る情報を含む電子メールを送受信する場合には、各府省庁が運営し、又は外部委託した電子メールサーバにより提供される電子メールサービスを利用すること。ただし、府省庁支給以外の情報システムによる情報処理について許可を得ている者については、この限りでない。
解説：各府省庁が運営し、又は外部委託した電子メールサーバにより提供される電子メールサービス以外の電子メールサービス（以下「各府省庁以外の電子メールサービス」という。）を、業務遂行に係る情報を含む電子メールの送受信に利用することを禁ずる事項である。なお、上記の「送受信」には電子メールの「転送」が含まれている。したがって、各府省庁
以外の電子メールサービスの電子メールアドレスに業務遂行に係る情報
144

NISD-K303-091Cを含む電子メールを転送することは、許可を得ている場合を除き、認められない。特に自動転送については当該電子メールに含まれる情報の格付け及び取扱制限にかかわらず行われるため、要機密情報の移送についての遵守事項に背反しないようにも留意する必要がある。
(b) 行政事務従事者は、受信した電子メールにより、スクリプトが電子計算機で実行されないように電子メールの内容を表示させること。
解説：例えば HTML メールの表示により、偽のホームページに誘導するために表示が偽装されること、意図しないファイルが外部から取り込まれること等の不正なスクリプトが実行されることを防ぐことを定めた事項である。
「スクリプト」とは、ここでは JavaScript 等の電子計算機にて簡易的に実行することができるプログラムをいう。
｢スクリプトが電子計算機で実行されないように表示させる｣とは、表示をテキスト形式のみに設定して表示することや端末でスクリプトの実行を禁止された情報システムを用いて表示することが挙げられる。
そのため、情報システムの管理者により、行政事務従事者が使用する電子メールクライアントの設定が上述のとおり適切に行われ、かつ、行政事務従事者が電子メールクライアントの設定を勝手に変更しないよう制限することにより対策を実施することも考えられる。
なお、本項は、スクリプトが電子計算機で実行されないのであれば、電子メールの文字装飾や画像の表示を禁止するものではない。
また、本項は、端末等にインストールされる電子メールクライアントを対象としているため、ウェブブラウザにより読み書きする電子メール（いわゆるウェブメール）は対象外となる。

2.2.3.2 ウェブ
趣旨（必要性）ウェブにおいては、様々なアプリケーション、データを組み合わせた情報を送受信すること、また IP ネットワークにおいて標準的に利用されるシステムとして一般的に普及していること等の理由により、セキュリティ脅威全般に係るリスクが考えられる。これらのリ
スクを回避するためには、システムのライフサイクル全般に対して適切な対策を施すことが必要である。
これらのことを勘案し、本項では、ウェブに関する対策基準を定める。
遵守事項
(1)

ウェブの導入時【基本遵守事項】(a) 情報システムセキュリティ責任者は、ウェブサーバを用いて提供するサービスが145

NISD-K303-091C

利用者からの文字列等の入力を受ける場合には、特殊文字の無害化を実施すること。
解説：特殊文字を無害化することを求める事項である。
特殊文字は不正侵入等の攻撃に用いられるため、すべての入力されるデータに対して特殊文字列が含まれていないかを確認する必要がある。
(b) 情報システムセキュリティ責任者は、ウェブサーバからウェブクライアントに攻撃の糸口になり得る情報を送信しないように情報システムを構築すること。
解説：ウェブアプリケーション又はデータベース等から発信されるエラーメッ
セージ、稼動している製品名及びそのバージョン、登録されているユー
ザ ID 等は、攻撃を試みる者に攻撃の糸口になり得る情報を与えてしまう
危険性がある。これらのことを回避するため、不必要な情報を送信しないことを求める事項である。
(c) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、ウェブサーバを用いて提供するサービスにおいて、通信の盗聴から保護すべき情報を特定し、暗号化を行う必要性の有無を検討し、必要があると認めたときは、情報を暗号化する機能を設けること。
解説：通信時に盗聴により第三者へ漏えいすることを防止するための事項である。
「通信の盗聴から保護すべき情報」とは、例えば、ウェブで提供するサービスの運営に関わる要機密情報を指し、サービスの利用者から受け取る個人情報等も含む。
【強化遵守事項】(d) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、ウェブサーバに保存する情報を特定し、当該サーバに要機密情報が含まれないことを確認すること。
解説：万が一、不正侵入等が発生した場合であっても、当該サーバから要機密情報が漏えいしないよう、被害範囲の限定を図るための事項である。
すべての利用者が利用することが想定されているデータを除き、特定の利用者のみが利用するデータ等を、ウェブサーバに保存しないことが必要である。
(e) 情報システムセキュリティ責任者は、ウェブサーバの正当性を保証するために電子証明書を利用すること。
解説：電子証明書による検証により、利用者がウェブサーバの正当性を確認できるようにウェブサーバを構築することを求める事項である。
(2)

ウェブの運用時【基本遵守事項】(a) 行政事務従事者は、情報セキュリティの確保がなされるよう適切にウェブクライ
アントのセキュリティ設定をすること。
解説：行政事務従事者が意図しない悪意のあるソフトウェアが電子計算機にお146

NISD-K303-091C

いて実行されること等により、情報が漏えいしてしまうことや他の電子計算機を攻撃してしまうこと等を防止するため、ウェブクライアントのセキュリティ設定を適切に行うことを求める事項である。
具体的には、閲覧するホームページの信頼性やウェブクライアントが動作する電子計算機にて扱う情報の機密性等に応じて、以下のようなセキ
ュリティ設定項目について適切な値を選択すること。
・ActiveX コントロールの実行
・JavaScript の実行
・Java の実行
・Cookie の保存 等
そのため、情報システムの管理者がウェブクライアントのセキュリティ
設定を上述のとおり行い、かつ、行政事務従事者が当該設定を勝手に変更しないよう制限することにより対策を実施することも考えられる。
(b) 行政事務従事者は、ウェブクライアントが動作する電子計算機にソフトウェアをダウンロードする場合には、電子署名により当該ソフトウェアの配布元を確認すること。
解説：ダウンロードするソフトウェアを電子署名により配布元を確認したソフ
トウェアに限定することを求める事項である。
(c) 行政事務従事者は、閲覧しているウェブサイトに表示されるフォームに要機密情報を入力して送信する場合には、以下の事項を確認すること。
(ア) 送信内容が暗号化されること。
解説：主体認証情報等を入力して送信する場合には、情報漏洩を防止するため、ブラウザの鍵アイコンの表示を確認する等により、SSL や TLS 等の暗号通信が使用されていること等の手段を限定することを求める事項である。
なお、「閲覧しているウェブサイトに表示されるフォームに要機密情報を入力して送信する場合」とは、例えばウェブメールを使用する際に主体
認証情報等を入力すること等を指す。
なお、府省庁内の通信回線のみを使用しているウェブサイトの場合、
2.2.3.2(1)(c)にて情報システムセキュリティ責任者が暗号化を行う必要があると認めた情報システムを利用する際には、当該事項を確認する必要がある。
(イ) 当該ウェブサイトが送信先として想定している組織のものであること。
解説：主体認証情報等を入力して送信する場合には、サイト証明書の内容から
当該ウェブサイトが想定している組織のものであるかを確認することにより、当該情報の送信先を限定することを求める事項である。なお、ウェブサイトの閲覧時にサイト証明書が適切でない旨の警告ダイアログが表示された場合には、当該ウェブサイトがなりすましに利用されている可能性がないかを確認することが必要である。
【強化遵守事項】(d) 情報システムセキュリティ責任者は、行政事務従事者が閲覧することが可能な府
147

NISD-K303-091C

省庁外のホームページを制限し、定期的にその見直しを行うこと。
解説：ウェブで閲覧したホームページからの不適切なソフトウェアのダウンロ
ードや私的なホームページの閲覧を制限するため、コンテンツフィルタ
等により閲覧することが可能な範囲の制限を定める事項である。
情報システムセキュリティ責任者は、制限を実施する方法として、ウェ
ブクライアント、ウェブプロキシ及びその他の装置の設定等、状況に応じて、適切な方法を選択することが可能である。

2.2.3.3 ドメインネームシステム（DNS）
趣旨（必要性）
ドメインネームシステム（DNS：Domain Name System）は、クライアント等からの問い合わせを受けて、ドメイン名やホスト名と IP アドレスとの対応関係について回答を行うインターネットの基盤をなすサービスである。DNS の可用性が損なわれた場合は、ホス
ト名やドメイン名を使ったウェブや電子メール等の利用が不可能となる。また DNS が提供する情報の完全性が損なわれ、誤った情報を提供した場合は、クライアント等が悪意あるサーバに接続させられるなどの被害にあう可能性がある。このようなリスクを回避するた
めには、DNS サーバの適切な管理が必要である。
これらのことを勘案し、本項では、DNS に関する対策基準を定める。
遵守事項
(1)

DNSの導入時【基本遵守事項】(a) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムの名前解決を提供するDNSのコンテンツサーバにおいて、名前解決を停止させないための措置を講ずること。
解説：要安定情報を取り扱う情報システムの名前解決を提供する DNS のコンテ
ンツサーバにおいて、名前解決を停止させないために、求められる可用性の度合いに応じた措置を求める事項である。
DNS のコンテンツサーバは、冗長化しておくことが一般的である。その際には、ネットワーク障害等を考慮して各々の DNS のコンテンツサーバ
をそれぞれ異なるネットワークに配置しておく、災害等を考慮して物理的に離れた建物や遠隔地に設置しておくなど、情報と情報システムに要求される可用性に応じて、最適な構成を検討する必要がある。ISP 等が提供するセカンダリ DNS の利用も、冗長化による措置の例である。あるいは、悪意ある者からのサービス不能攻撃に備え、ソフトウェアや通信回線装置で適切なアクセス制御を実施しておくことも重要である。
また、要求される可用性の度合いに応じて、保守作業による復旧等、冗長化以外の措置を探ることも考えられる。
148

NISD-K303-091C(b) 情報システムセキュリティ責任者は、DNSのコンテンツサーバにおいて管理する
ドメインに関する情報を運用管理するための手続を定めること。
解説：DNS のコンテンツサーバにおいて管理するドメインに関する情報（ゾーン情報）を運用管理するための手続を定めることを求める事項である。
「管理するドメインに関する情報を運用管理するための手続」では、例
えば、管理するドメインに関する情報の設定や更新、正確性の維持等の手順や管理するドメインの構成範囲を明確化しておくことが考えられる。
(c) 情報システムセキュリティ責任者は、DNSのキャッシュサーバにおいて、府省庁
外からの名前解決の要求には応じず、府省庁内からの名前解決の要求のみに回答を行うための措置を講ずること。
解説：DNS のキャッシュサーバの第三者による不正利用やキャッシュ情報の汚染等を防ぐための措置を講ずることを求める事項である。キャッシュサ
ーバを動作させる場合は、サーバの設定やファイアウォール等でアクセス制御を行うことが重要である。
(d) 情報システムセキュリティ責任者は、DNSのコンテンツサーバにおいて、府省庁内のみで使用する名前の解決を提供する場合、当該情報が外部に漏えいしないための措置を講ずること。
解説：DNS のコンテンツサーバにおいて、府省庁内のみで使用する名前の解決を提供する場合、府省庁の行政事務従事者以外の者が内部のみで使用している名前情報を取得できないようにすることを求める事項である。例
えば、内部向けの名前解決を提供するコンテンツサーバを外部向けのコ
ンテンツサーバとは別々に設置し、サーバの設定やファイアウォール等
でアクセス制御を行う等の方法が考えられる。
【強化遵守事項】(e) 情報システムセキュリティ責任者は、重要な情報システムの名前解決を提供する
DNSのコンテンツサーバにおいて、管理するドメインに関する情報に電子署名を付与すること。
解説：電子署名によって DNS サーバのなりすましや管理するドメインに関する情報の改ざんを検出することを求める事項である。対策としては、TSIGや DNSSEC の利用等が挙げられる。
(2)

DNSの運用時【基本遵守事項】(a) 情報システムセキュリティ管理者は、DNSのコンテンツサーバを複数台設置する
場合は、管理するドメインに関する情報についてサーバ間で整合性を維持すること。
解説：複数台の DNS のコンテンツサーバが保有する管理するドメインに関する情報について、整合性を維持することを求める事項である。例えば、主系統のコンテンツサーバの管理するドメインに関する情報が変更された
場合に、ゾーン転送等によって、情報システムの可用性に影響を及ぼさ
149

NISD-K303-091C

ない適切なタイミングで副系統のコンテンツサーバの管理するドメインに関する情報も更新するといった方法が考えられる。
(b) 情報システムセキュリティ管理者は、DNSのコンテンツサーバにおいて管理する
ドメインに関する情報を運用管理するための手続に基づいて、当該情報が正確であることを適宜確認すること。
解説：管理するドメインに関する情報が正確であるかどうかを確認することを求める事項である。管理するドメインに関する情報の設定ミスや不正な改ざん等が発生していないかを確認する必要がある。

150

NISD-K303-091C

2.2.4

通信回線

2.2.4.1 通信回線共通対策
趣旨（必要性）
通信回線の利用については、当該通信回線の不正利用、これに接続された電子計算機又は通信回線装置への不正アクセス、送受信される情報の盗聴、改ざん及び破壊等、当該通信回線を含む情報システム及び当該情報システムが取り扱う情報の情報セキュリティが損なわれるおそれを有している。
これらのことを勘案し、本項では、通信回線に関する対策基準を定める。
遵守事項
(1)

通信回線の構築時【基本遵守事項】(a) 情報システムセキュリティ責任者は、通信回線構築によるリスクを検討し、通信回線を構築すること。
解説：情報システムセキュリティ責任者は、通信回線構築によるリスクを考慮
して、通信回線の構築及び運用開始を判断する必要がある。例えば、情報システムセキュリティ責任者は、リスクを検討した結果、情報システ
ムのセキュリティが確保できないと判断した場合には、他の通信回線から独立させて閉鎖的な通信回線とするか、通信回線を構築しない等の判断を行うことが望ましい。
(b) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、通信回線及び通信回線装置に求められる通信性能を発揮できる能力を、将来の見通しを含め検討し、確保すること。
解説：通常の運用において十分な通信回線の能力を確保し、情報の可用性を確保するための事項である。通信回線の負荷に関して事前に試験等を実施し、必要となる容量及び能力を想定し、それを備える。また、将来にわたっても十分な容量及び能力を確保できるように、余裕を持たせておく必要がある。
(c) 情報システムセキュリティ責任者は、通信回線装置が動作するために必要なソフ
トウェアを定めること。ただし、ソフトウェアを変更することが困難な通信回線装置の場合は、この限りでない。
解説：通信回線装置としての機能や動作の明確化を行うと共に、セキュリティ
ホール等の脅威への対処を確実なものとするために、通信回線装置が必要とするソフトウェアを定めておくことを求める事項である。
(d) 情報システムセキュリティ責任者は、通信回線に接続される電子計算機をグルー
プ化し、それぞれ通信回線上で分離すること。
解説：電子計算機が接続されている通信回線の境界で効果的にアクセス制御するために、まず電子計算機をグループ化し通信回線上で分離することを
151

NISD-K303-091C

求める事項である。府省庁外通信回線と接続する府省庁内通信回線の場
合は、府省庁外通信回線上の電子計算機は、府省庁内通信回線に接続される電子計算機とは別のグループとし、分離する必要がある。
なお、「グループ化」とは、対象機器をその利用目的、求められるセキュ
リティレベル、管理部署等から分類することをいう。
(e) 情報システムセキュリティ責任者は、グループ化された電子計算機間での通信要件を検討し、当該通信要件に従って通信回線装置を利用しアクセス制御及び経路制御を行うこと。
解説：グループ化された電子計算機間の通信の制御を行うことで、セキュリテ
ィを確保するための事項である。情報システムセキュリティ責任者は、グループ化された電子計算機間で情報システムの運用上必要となる通信をすべて確認した上で、通信要件を検討する必要がある。必要最小限のアクセスのみを許可するように、当該通信要件に従ってアクセス制御を行う。
(f)

情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、通信回線を用いて送受信される要機密情報の暗号化を行う必要性の有無を検討し、必要があると認めたときは、情報を暗号化するための機能を設けること。
解説：通信回線を用いて送受信される要機密情報を保護するための事項である。
情報システムセキュリティ責任者は、通信回線上を要機密情報が送受信される場合には、当該情報の暗号化の必要性を検討して、運用時の暗号化に備えて構築時にそのための機能を設けておく必要がある。

(g) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、通信回線に利用する物理的な回線のセキュリティを検討し、適切な回線を選択すること。
解説：通信回線に利用する物理的な回線（例えば、有線 LAN における LAN ケーブル、無線 LAN における伝搬路等の通信路）の種別よって、盗聴、改ざん等の脅威及びそれらに対する有効なセキュリティ措置が異なることから、適切な回線を選択することを求める事項である。
回線に応じたセキュリティ対策を実施する必要があるが、回線によってはセキュリティ対策を実施しても万全でない場合もあるので、回線の選択に当たっては十分に検討する必要がある。
(h) 情報システムセキュリティ責任者は、遠隔地から通信回線装置に対して、保守又は診断のために利用するサービスによる接続についてセキュリティを確保すること。
解説： 遠隔地からの通信回線装置の保守や診断に利用するサービスのセキュリティを確保するための事項である。セキュリティ確保の方法として、識別コード及び主体認証情報（パスワード）による主体認証、接続する電子計算機の識別コードによるアクセス制御、通信の暗号化等の機密性の確保だけでなく、通信回線が利用できない状況での代替接続手段の確保等の可用性の確保も挙げられる。
152

NISD-K303-091C(i)

情報システムセキュリティ責任者は、通信回線装置を安全区域に設置すること。
解説：通信回線装置及び通信ケーブルが設置される物理的環境における脅威への対策を求める事項である。

(j)情報システムセキュリティ責任者は、電気通信事業者の専用線サービスを利用する場合には、セキュリティレベル及びサービスレベルを含む事項に関して契約時に取り決めておくこと。
解説：府省庁内通信回線同士を専用線で接続する場合に、当該専用線のサービ
スレベルを確保するための事項である。
情報システムセキュリティ責任者自身が契約を行わない場合には、セキュリティレベル及びサービスレベルを含む事項の取決めについて、契約する者に対して依頼すること。なお、セキュリティレベル及びサービス
レベルが約款に記述されていれば、それで代替することが可能である。

【強化遵守事項】(k) 情報システムセキュリティ責任者は、通信を行う電子計算機の主体認証を行うこと。
解説：通信を行う電子計算機の主体認証を行うことで、通信相手の電子計算機
が正しい相手であることを確認するための事項である。
(l)情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス提供に必要な通信回線又は通信回線装置を冗長構成にすること。
解説：障害・事故等によりサービスを提供できない状態が発生した場合、サービスを提供する通信回線又は通信回線装置を代替回線又は代替通信回線
装置に切り替えること等により、サービスが中断しないように、情報シ
ステムを構成することを求める事項である。災害等を想定して冗長構成にする場合には、被災時にも冗長構成のうち少なくとも一系統が存続可能な構成にすることが望ましい。

(2)

通信回線の運用時【基本遵守事項】(a) 情報システムセキュリティ管理者は、通信回線装置のソフトウェアを変更する場
合には、情報システムセキュリティ責任者の許可を得ること。
解説：通信回線装置のソフトウェアは機能の改善等を目的に変更を行う必要が生ずる場合がある。この変更の必要性が生じた時に、情報システムセキ
ュリティ管理者は、独断での変更は行わず、情報システムセキュリティ
責任者の許可を得てから行う事を求める事項である。
(b) 情報システムセキュリティ管理者は、通信回線及び通信回線装置の運用管理について、作業日、作業を行った通信回線及び通信回線装置並びに作業内容及び作業者を含む事項を記録すること。
解説：運用管理作業の記録を文書として残すための事項である。
各府省庁において、ある程度統一的な様式を作成する必要がある。
(c) 情報システムセキュリティ責任者は、情報システムのセキュリティの確保が困難
153

NISD-K303-091Cな事由が発生した場合には、他の情報システムと共有している通信回線から独立した閉鎖的な通信回線に構成を変更すること。
解説：他の情報システムと通信回線を共有している場合であって、情報システ
ムのセキュリティの確保が困難な事由が発生したときに、他の情報シス
テムを保護するための事項である。
(d) 行政事務従事者は、情報システムセキュリティ責任者の許可を受けていない電子計算機及び通信回線装置を通信回線に接続しないこと。
解説：通信回線に無断で電子計算機及び通信回線装置を接続された場合に生ずるリスクを防止するための事項である。
(e) 情報システムセキュリティ管理者は、情報システムにおいて基準となる時刻に、通信回線装置の時刻を同期すること。
解説：情報システム内で同期されている共通の時刻に設置した通信回線装置の時刻を同期させることを求める事項である。
有事の際に、時刻が同期していないとログの解析等が困難になる。標準時との同期が望ましいが、情報システム内で同期が取られていれば差し
支えないものとする。
【強化遵守事項】(f)

情報システムセキュリティ責任者は、所管する範囲の通信回線装置が動作するために必要なすべてのソフトウェアの状態を定期的に調査し、不適切な状態にある
通信回線装置を検出した場合には、当該不適切な状態の改善を図ること。ただし、ソフトウェアを変更することが困難な通信回線装置の場合は、この限りでない。
解説：通信回線装置における不正なソフトウェアの存在確認等を定期的に行い、対処がなされていない場合にその改善を図ることを求める事項である。
「定期的」とは、1 か月から 6 か月ごとに実施することを想定しており、短い期間で実施するとセキュリティ確保に効果的である。
なお、「不適切な状態」とは、許可されていないソフトウェアがインストールされている、定められたソフトウェアが動作するための適切な設定がなされていない等の状態のことをいう。

(3)

通信回線の運用終了時【基本遵守事項】(a) 情報システムセキュリティ責任者は、通信回線装置の利用を終了する場合には、通信回線装置の電磁的記録媒体のすべての情報を抹消すること。
解説：運用を終了した通信回線装置が再利用され、又は廃棄された後、終了前に保存していた情報が漏えいすることを防ぐために、情報の抹消を求める事項である。
抹消の方法としては、通信回線装置の初期化、内蔵電磁的記録媒体の物
理的な破壊等の方法がある。

154

NISD-K303-091C

2.2.4.2 府省庁内通信回線の管理趣旨（必要性）
府省庁内通信回線の利用については、当該通信回線の不正利用、これに接続された電子計算機又は通信回線装置への不正アクセス、送受信される情報の盗聴、改ざん及び破壊等、
当該通信回線を含む情報システム及び当該情報システムが取り扱う情報の情報セキュリテ
ィが損なわれるおそれを有している。また、利用する回線により想定される脅威及びリス
クが異なる。
これらのことを勘案し、本項では、府省庁内通信回線に関する対策基準を定める。
遵守事項
(1)

府省庁内通信回線の構築時【強化遵守事項】(a) 情報システムセキュリティ責任者は、通信回線装置に物理的に接続した電子計算
機を、通信回線に論理的に接続する前に、当該電子計算機が通信回線に接続することを許可されたものであることを確認するための措置を講ずること。
解説：通信回線に接続する電子計算機の確認を行うことを求める事項である。
当該措置を実施するための技術としては、電子計算機固有の情報による主体認証、IEEE 802.1x 等が挙げられる。
(2)

府省庁内通信回線の運用時【強化遵守事項】(a) 情報システムセキュリティ責任者は、通信要件の変更の際及び定期的に、アクセス制御の設定の見直しを行うこと。
解説：適正なアクセス制御の維持を求める事項である。通信要件については、組織、情報システム又はサービスの変更等により変化するため、当該変更等に応じてアクセス制御の設定も見直す必要がある。
「定期的」とは、６か月から１２か月ごとに実施することを想定しており、短い期間で実施するとセキュリティ確保に効果的である。また、必ずしも当該変更等が適時連絡されるとは限らないので、情報システムセキュリティ責任者
は定期的にアクセス制御の設定の見直しを行う。
(b) 情報システムセキュリティ管理者は、要安定情報を取り扱う情報システムについては、日常的に、通信回線の利用状況及び状態を確認、分析し、通信回線の性能低下及び異常を推測し、又は検知すること。
解説：確保している性能では適正な運用が困難な状態及び通信回線装置等の故障により通信不能な状態等により、情報の可用性を損なう事態を回避するため、通信回線の利用状況及び状態の確認を求める事項である。問題の発生を推測でき、又は検知できた場合には、事前に対策を行うことが求められる。
(c) 情報システムセキュリティ管理者は、府省庁内通信回線上を送受信される通信内
155

NISD-K303-091C

容を監視すること。
解説：通信回線上を送受信される情報から不正アクセス行為を検知するための事項である。
「通信内容を監視する」とは、侵入検知システム等を利用して、通信される情報から不正アクセス等の行為がないかを監視することが挙げられる。
(3)

回線の対策【基本遵守事項】(a) 情報システムセキュリティ責任者は、VPN環境を構築する場合には、以下に挙げる事項を含む措置の必要性の有無を検討し、必要と認めたときは措置を講ずること。
(ア) 利用開始及び利用停止時の申請手続の整備(イ) 通信内容の暗号化(ウ) 通信を行う電子計算機の識別又は利用者の主体認証(エ) 主体認証記録の取得及び管理(オ) VPN経由でアクセスすることが可能な通信回線の範囲の制限(カ) VPN接続方法の機密性の確保(キ) VPNを利用する電子計算機の管理
解説：VPN を利用して論理的な府省庁内通信回線を構築する場合に、セキュリ
ティを確保することを求める事項である。
「VPN」には、インターネット
VPN、IP-VPN、SSL-VPN、SoftEther 等が挙げられる。
(b) 情報システムセキュリティ責任者は、無線LAN環境を構築する場合には、以下に挙げる事項を含む措置の必要性の有無を検討し、必要と認めたときは措置を講ずること。この場合、要機密情報を取り扱う無線LAN環境については、通信内容の暗号化を行う必要性があると判断すること。
(ア) 利用開始及び利用停止時の申請手続の整備(イ) 通信内容の暗号化(ウ) 通信を行う電子計算機の識別又は利用者の主体認証(エ) 主体認証記録の取得及び管理(オ) 無線LAN経由でアクセスすることが可能な通信回線の範囲の制限(カ) 無線LANに接続中に他の通信回線との接続の禁止(キ) 無線LAN接続方法の機密性の確保(ク) 無線LANに接続する電子計算機の管理
解説：無線 LAN を利用して論理的な府省庁内通信回線を構築する場合に、セキ
ュリティを確保することを求める事項である。
なお、要機密情報を取り扱う無線 LAN 環境については、通信内容の暗号化を求めているが、WEP（Wired Equivalent Privacy）等は、比較的容易に解読できるという脆弱性が報告されており、また同様の問題が起こる可能性があるため、最新の情報に従い適切な方式や設定値を選択すること。この場合、暗号化については、暗号と電子署名の標準手順に従わ
156

NISD-K303-091C

なければならない。
参考：総務省「国民のための情報セキュリティサイト」の「情報管理担
当者のための情報セキュリティ対策－実践編」（http://www.soumu.go.jp/
main_sosiki/joho_tsusin/security/j_business/admin00.htm）にある、「安
全な無線 LAN の利用」のページの解説を適宜参照。
(c) 情報システムセキュリティ責任者は、公衆電話網を経由したリモートアクセス環
境を構築する場合には、以下に挙げる事項を含む措置の必要性の有無を検討し、必要と認めたときは措置を講ずること。
(ア) 利用開始及び利用停止時の申請手続の整備(イ) 通信を行う者又は発信者番号による識別及び主体認証(ウ) 主体認証記録の取得及び管理(エ) リモートアクセス経由でアクセスすることが可能な通信回線の範囲の制限(オ) リモートアクセス中に他の通信回線との接続の禁止(カ) リモートアクセス方法の機密性の確保(キ) リモートアクセスする電子計算機の管理
解説：公衆電話網を経由してリモートアクセスを利用する場合に、セキュリテ
ィを確保することを求める事項である。

2.2.4.3 府省庁外通信回線との接続
趣旨（必要性）
府省庁内通信回線と府省庁外通信回線との接続については、府省庁外通信回線に接続された電子計算機からの不正アクセス、サービス不能攻撃等のほか、府省庁外通信回線に送受信される情報の漏えい、改ざん又は破壊等、府省庁外通信回線を含む情報システム及び当該情報システムが取り扱う情報の情報セキュリティが損なわれるおそれを有している。
これらのことを勘案し、本項では、府省庁外通信回線と接続する場合の府省庁内通信回線に関する対策基準を定める。
遵守事項
(1)

府省庁内通信回線と府省庁外通信回線との接続時【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報セキュリティ責任者の承認を得た上で、府省庁内通信回線を府省庁外通信回線と接続すること。
解説：府省庁内通信回線を府省庁外通信回線と接続するとリスクの増大を招く
ので、情報セキュリティ責任者の判断を得ることを求める事項である。
情報セキュリティ責任者は、様々なリスクを検討した上で承認の可否を判断する必要がある。
(b) 情報システムセキュリティ責任者は、府省庁内通信回線を府省庁外通信回線と接続することにより情報システムのセキュリティが確保できないと判断した場合に
157

NISD-K303-091C

は、他の情報システムと共有している府省庁内通信回線又は府省庁外通信回線から独立した通信回線として府省庁内通信回線を構築すること。
解説：府省庁内通信回線に接続している情報システムを、府省庁外からの脅威から保護するための事項である。セキュリティの確保が困難な情報シス
テムについては、他の情報システムと共有している府省庁内通信回線から独立した通信回線として構成するか、府省庁外通信回線から切断した通信回線として構築することになる。独立な通信回線の場合でも、遵守すべき対策規準は実施する必要がある。
(2)

府省庁外通信回線と接続している府省庁内通信回線の運用時【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムのセキュリティの確保が困難な事由が発生した場合には、他の情報システムと共有している府省庁内通信回線
又は府省庁外通信回線から独立した通信回線に構成を変更すること。
解説：他の情報システムと通信回線を共有している場合であって、情報システ
ムのセキュリティの確保が困難な事由が発生したときに、他の情報シス
テムを保護するための事項である。
(b) 情報システムセキュリティ責任者は、通信回線の変更の際及び定期的に、アクセス制御の設定の見直しを行うこと。
解説：適正なアクセス制御の維持を求める事項である。通信要件については、組織、情報システム又はサービスの変更等により変化するため、当該変更等に応じてアクセス制御の設定を見直す必要がある。
「定期的」とは、３か月から６か月ごとに実施することを想定しており、短い期間で実施
するとセキュリティ確保に効果的である。また、必ずしも当該変更等が適時連絡されるとは限らないので、情報システムセキュリティ責任者は定期的にアクセス制御の設定の見直しを行う。
(c) 情報システムセキュリティ管理者は、要安定情報を取り扱う情報システムについては、日常的に、通信回線の利用状況及び状態を確認、分析し、通信回線の性能低下及び異常を推測し、又は検知すること。
解説：確保している性能では適正な運用が困難な状態及び通信回線装置等の故障により通信不能な状態等により、情報の可用性を損なう事態を回避するため、通信回線の利用状況及び状態の確認を求める事項である。問題の発生を推測でき、又は検知できた場合には、事前に対策を行うことが求められる。
(d) 情報システムセキュリティ管理者は、府省庁内通信回線と府省庁外通信回線との間で送受信される通信内容を監視すること。
解説：府省庁外通信回線と送受信される情報から不正アクセス行為を検知するための事項である。
「通信内容を監視する」とは、侵入検知システム等を利用して、通信される情報から不正アクセス等の行為がないかを監視することが挙げられる。
158

NISD-K303-091C

第 2.3 部
2.3.1

個別事項についての対策

その他

2.3.1.1 情報システムへのIPv6 技術の導入における対策
趣旨（必要性）政府機関ではインターネットの規格である IPv6 通信プロトコルに対応するための取組
みが進められているが、現在広く使用されている IPv4 通信プロトコルからの移行過程においては、新旧の規格が共存することから、十分に検討し、適切な措置を講じないと、情報システムのセキュリティを損なうおそれがある。また、昨今、電子計算機及び通信回線装
置には IPv6 技術を利用する通信機能が標準で備わっているものが増えていることから、意図せず IPv6 技術を利用する通信機能が動作している可能性がある。このため、情報システ
ムの IPv6 対応化計画の有無にかかわらず、IPv4 技術を利用する通信と IPv6 技術を利用する通信が共存する環境を前提として、対策を講ずる必要がある。
これらのことを勘案し、本項では、IPv4 技術を利用する通信と IPv6 技術を利用する通信が共存する情報システムの情報セキュリティ確保に関する対策基準を定める。
遵守事項
(1)

IPv6 移行機構がもたらす脆弱性対策【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムにIPv6 技術を利用する通信（以下「IPv6 通信」という。
）の機能を導入する場合には、IPv6 移行機構が他の情報システムに情報セキュリティ上の脅威を及ぼすことを防止するため、必要な措置を講ずること。
解説：IPv4 技術を利用する通信と IPv6 通信の両方を共存させることを可能とする IPv6 移行機構の選定と利用に当たり、必要な措置を求める事項である。
IPv6 通信プロトコルに対応している端末やサーバ装置には、多様な IPv6
移行機構（デュアルスタック機構、IPv6-IPv4 トンネル機構等）が実装されている。それらの IPv6 移行機構は、それぞれが想定する使用方法と要件に基づき設計されていることから、その選定と利用に当たっては、
セキュリティホールの原因をつくらないよう十分な検討と措置が必要である。
例えば、デュアルスタック機構を運用する場合には、IPv4 のプライベー
トアドレスを利用したイントラネットの情報システムであっても外部ネットワークとの IPv6 通信が可能となるため、デュアルスタック機構を導入した電子計算機を経由した当該外部ネットワークからの攻撃について対策を講ずる必要がある。また、IPv6-IPv4 トンネル機構を運用する場
159

NISD-K303-091C合、トンネルの終端が適切に管理されないと本来通信を想定しないネッ
トワーク間の IPv6 通信が既設の IPv4 ネットワークを使って可能となるため、府省庁内のネットワークが外部から攻撃される危険性がある。管理された電子計算機以外のトンネル通信を当該 IPv4 ネットワークに設置されたファイアウォールにて遮断する等、不適切な IPv6 通信を制御する対策が必要である。
(2)

意図しないIPv6 通信の抑止と監視【基本遵守事項】(a) 情報システムセキュリティ責任者は、IPv6 通信を想定していない通信回線に接続されるすべての電子計算機及び通信回線装置に対して、IPv6 通信を抑止するための措置を講ずること。
解説：通信回線が IPv6 通信を想定していない場合には、当該通信回線に接続される端末等の IPv6 通信の機能を停止する措置を求める事項である。
IPv6 通信を想定していない通信回線においては、ファイアウォールや侵入検知システム等のセキュリティ機能に不正な IPv6 通信を制御する措置が講じられず、悪意ある者による IPv6 通信を使った攻撃に対して無防備となるおそれがある。さらに、IPv6 通信が可能な電子計算機においては、IPv4 ネットワークに接続している時でも IPv6 通信による当該電子計算機への接続を可能とする自動トンネリング機能を提供するものがある。この機能を利用すると、電子計算機と外部のネットワークとの間に利用者や管理者が気付かないうちに意図しない経路が自動生成され、これがセキュリティを損なうバックドアとなりかねないことから、自動トンネリング機能を動作させないよう電子計算機を設定する必要がある。
また、ルータ等の通信回線装置についても IPv6 通信をしないよう設定し、意図しない IPv6 通信を制限することが求められる。
【強化遵守事項】(b) 情報システムセキュリティ責任者は、IPv6 通信を想定していない通信回線を監視し、IPv6 通信が検知された場合には通信している装置を特定し、IPv6 通信を遮断するための措置を講ずること。
解説：意図しない IPv6 通信が情報システムに与える脅威から情報システムを守るための事項である。
IPv6 技術にはアドレスの自動構成機構が提供されている。電子計算機から送出されるアドレスの自動構成を要求する通信パケットや、ルータから送出されるアドレスの自動構成を提供する通信パケットが府省庁内通
信回線を流れている場合には、管理者や利用者が気付かないうちに IPv6
技術のアドレス自動構成機構が利用されていることを示唆している。また、IPv6 通信を想定していない府省庁内通信回線において、IPv6-IPv4
トンネル機構で使用する通信パケットが検知された場合は、IPv6 技術を使った悪意のある通信がなされているおそれがある。府省庁内通信回線
160

NISD-K303-091Cを管理する者は、このような通信の有無を監視して、IPv6 通信が検知された場合は、当該通信の遮断等の措置を講ずる必要がある。

161

NISD-K303-091C

A.1 解説書別添資料
A.1.1 組織・体制イメージ図

情報セキュリティ
委員会

最高情報セキュリティ責任者
最高情報セキュリティ責任者 （委員長）
（委員長）

最高情報
最高情報
セキュリティアドバイザー
セキュリティアドバイザー

統括情報セキュリティ責任者
統括情報セキュリティ責任者 （委員長補佐）（委員長補佐）情報セキュリティ責任者
情報セキュリティ責任者
情報セキュリティ責任者
情報セキュリティ責任者
情報セキュリティ責任者
情報セキュリティ責任者

情報セキュリティ
情報セキュリティ
監査実施者
監査実施者

情報システム情報システム情報システムセキュリティ責任者
セキュリティ責任者

情報セキュリティ
情報セキュリティ
監査責任者
監査責任者

課室

課室情報
課室情報
セキュリティ責任者
セキュリティ責任者
情報システム情報システムセキュリティ管理者
セキュリティ管理者

A.1.1

NISD-K303-091C

A.1.2 取扱制限の種類に係る付表例
解説：取扱制限の例として以下の表に記載のものを想定したが、各府省庁において、このうちから必要な取扱制限の種類を採用し、また、不足している場合は適宜追加して構わない。
取扱制限は必要に応じて指定するものであるから、規程では例示するだ
けとして、「情報の作成者又は入手者が、当該情報をどのように取り扱うべきと考えているのかを他の者に認知させる」という目的を果たせるのであれば、記載する表現方法を一律に定めないという運用方法でも構わない。例えば、「複製禁止」の代わりに「複写禁止」や「複製厳禁」、「複製を禁ず」などと記載しても目的を果たせると考えられる。
機密性についての取扱制限の定義
取扱制限の種類

指定方法

複製について複製禁止、複製要許可

配付について配付禁止、配付要許可

暗号化について暗号化必須、保存時暗号化必須、通信時暗号化必須

印刷について印刷禁止、印刷要許可

転送について転送禁止、転送要許可

転記について

転記禁止、転記要許可

再利用について再利用禁止、再利用要許可

送信について

送信禁止、送信要許可

参照者の制限に○○限りついて期限について○月○日迄○○禁止

上記の指定方法の意味は以下のとおり。
・「○○禁止」
当該情報について、○○で指定した行為を禁止する必要がある場合に指定する。
・「○○要許可」当該情報について、○○で指定した行為をするに際して、許可を得る必要がある場合に指定する。
・「暗号化必須」
当該情報について、暗号化を必須とする必要がある場合に指定する。また、保存時と通信時の要件を区別するのが適当な場合には、例えば、「保存時暗号化」「通信時暗号化」など、情報を取り扱う者が分かるように指定する。
・「○○限り」
当該情報について、参照先を○○に記載した者のみに制限する必要がある場合に指定する。例えば、「セキュリティセンター限り」「政策会議委員会出席者限A.1.2

NISD-K303-091Cり」など、参照を許可する者が分かるように指定する。
・「○月○日迄○○禁止」
例えば、○月○日迄複製を禁止したい場合、「○月○日迄複製禁止」として期限を指定することで、その日に取扱制限を変更しないような指定でも構わない。
解説：上記の「○○要許可」の補足説明では「○○する行為を禁止」とは明言をせずに、「許可を得る必要がある」とすることで、暗黙に「許可を得なければ禁止」という文章例を示した。そうではなく、はっきりと「○○する行為を禁止するが、許可を得ることにより○○することができる」などの表現なども考えられる。分かりやすく、簡便な表現であることが望ましい。
「複製禁止」の指定は、機密性の確保を目的とする以外に、知的財産権保護として指定することにも使用することができる。同様に、「暗号化必須」の指定も機密性だけではなく、完全性のために指定することに役立つ。その旨を補足することで、行政事務従事者による運用の適切性を増すことができる。
完全性についての取扱制限の定義
取扱制限の種類

指定方法

保存期間につい○○まで保存て保存場所につい○○において保存て書換えについて書換禁止、書換要許可

削除について

削除禁止、削除要許可

保存期間満了後保存期間満了後要廃棄の措置について保存期間の指定の方法は、以下のとおり。
保存を要する期日である「年月日」又は期日を特定できる用語に「まで保存」
を付して指定する。
例）平成１８年７月３１日まで保存
例）平成１８年度末まで保存
完全性の要件としては保存期日や保存方法等を明確にすることであるが、実際の運用においては、保存先とすべき情報システムを指定することで、結果的に完全性を確実にすることができる。例えば、以下のように指定する。
例）年度内保存文書用共有ファイルサーバに保管
例）３カ年保存文書用共有ファイルサーバに保管

A.1.2

NISD-K303-091C

可用性についての取扱制限の定義

取扱制限の種類

指定方法

復旧までに許容○○以内復旧

できる時間について保存場所につい○○において保存て復旧許容時間の指定の方法は以下のとおり。
復旧に要するまでの時間として許容できる時間を記載し、その後に「以内復旧」
を付して指定する。
例）１時間以内復旧例）３日以内復旧
可用性の要件としては復旧許容期間等を明確にすることであるが、実際の運用においては、必要となる可用性対策を講じてある情報システムを指定すること
で、結果的に可用性を確実にすることができる。例えば、各自ＰＣのファイルについては定期的にバックアップが実施されておらず、課室共有ファイルサー
バについては毎日バックアップが実施されている場合には、以下のような指定が考えられる。
例）課室共有ファイル保存必須例）各自ＰＣ保存可

A.1.2

NISD-K303-091C

A.1.3 情報セキュリティ対策に関する政府決定等
・行政文書の管理方策に関するガイドライン（平成 12 年 2 月 25 日、各省庁事務連絡会議
申し合わせ）
・国の行政機関における情報システム関係業務の外注の推進について（平成 12 年 3 月 31
日行政情報システム各省庁連絡会議了承）
・各省庁の調達におけるセキュリティ水準の高い製品等の利用方針（平成 13 年 3 月 29 日
行政情報化推進各省庁連絡会議了承）
・各府省の情報システム調達における暗号の利用方針（平成 15 年 2 月 28 日

行政情報シ

ステム関係課長連絡会議了承）
・電子政府推進計画（平成 18 年 8 月 31 日 各府省情報化統括責任者（CIO）連絡会議決
定）・行政情報の電子的提供に関する基本的考え方（指針）（平成 16 年 11 月 12 日 各府省情報化統括責任者（CIO）連絡会議決定）
・国家公務員身分証明書のＩＣカード化（平成 16 年 2 月 6 日

e-Japan 戦略 II 加速化パッケージ）
・中央省庁業務継続ガイドライン 第１版（平成 19 年 6 月 内閣府）
注）詳細については、原文を参照すること。

A.1.3

NISD-K303-091C

A.1.4 用語解説
【あ】

「アプリケーション」とは、オペレーティングシステム上で動作し、サービスの提供、文書作成又は電子メールの送受信等の特定の目的のために動作するソフトウェアをいう。

「アルゴリズム」とは、ある特定の目的を達成するための演算手順をいう。

「暗号化」とは、第三者に容易に解読されないよう、定められた演算を施しデータを変換することをいう。

「暗号モジュール」とは、暗号化及び電子署名の付与に使用するアルゴリズムを実装したハードウェア、ソフトウェア、ファームウェア及びそれらの組合せをいう。

「ウェブクライアント」とは、ウェブページを閲覧するためのアプリケーション（いわゆるブラウザ）及び付加的な機能を追加するためのアプリケーションをいう。

「ウェブサーバ」とは、HTTP サーバアプリケーション、当該サーバアプリケーショ
ンで動作するウェブアプリケーション及びデータベース並びに負荷分散装置等のようにウェブサーバと一体として動作するハードウェアをいう。

【か】「強制アクセス制御 (MAC：Mandatory Access Control)」とは、主体が客体(情報、ファイル等)に設定したアクセス制御について、その設定の継承を情報システムが強制的に行う方式をいう。強制アクセス制御の機能を備えた情報システムでは、主体が客体を保護すべき対象とした場合には、アクセスを許可された者であっても、それを保護すべき対象ではないものとすることはできない。すなわち、主体が設定したアクセス制御の継承は、任意ではなく強制されることになる。

「業務継続計画」とは、中央省庁業務継続ガイドライン 第１版（平成 19 年 6 月、内閣府）に基づき府省庁において策定する BCP（Business Continuity Plan: 事業継続計画）をいう。

【さ】
「サーバ装置」とは、通信回線等を経由して接続してきた電子計算機に対して、自らが保持しているサービスを提供する電子計算機をいう。

「サービス不能攻撃」とは、セキュリティホールを悪用しサーバ装置若しくは通信回線装置のソフトウェアを動作不能にさせること、又はサーバ装置、通信回線装置若し
くは通信回線の容量を上回る大量のアクセスを意図的に行い通常の利用者のサービス利用を妨害する攻撃をいう。

「セキュリティホール」とは、オペレーティングシステム又はアプリケーション等に存在し、それら自身や処理する情報のセキュリティが侵害される原因となる可能性のある問題をいう。

【た】
A.1.4

NISD-K303-091C

「耐タンパー性」とは、暗号処理や署名処理を行うソフトウェアやハードウェアに対する外部からの解読攻撃に対する耐性をいう。

「電子署名」とは、情報の正当性を保証するための電子的な署名情報をいう。

「電子メールクライアント」とは、電子メールサーバにアクセスし、電子メールの送受信を行うアプリケーションをいう。

「電子メールサーバ」とは、電子メールの利用者に対する電子メールの送受信のサー
ビス及び電子メールの配送を行うアプリケーション並びにそのアプリケーションを動作させる電子計算機をいう。

「ドメインネームシステム（DNS）」とは、ドメイン名やホスト名と IP アドレスとの対応関係を管理するデータベースシステムである。

「ドメイン名」とは、サーバ装置や通信回線装置に付与した IP アドレスを、扱いやす
いように英数字および一部の記号を用いて表したものをいう。たとえば、nisc.go.jp の
こと。

【な】


「名前解決」とは、ドメイン名やホスト名と IP アドレスを変換することをいう。

【は】
「パッチ」とは、発見された問題点を解決するために提供される修正用のファイルをいう。提供元によって、パッチ、ホットフィクス、サービスパック等名称が異なる。

「踏み台」とは、第三者によって不正アクセスや迷惑メール配信の中継地点に利用されている情報システムのことをいう。

【ま】「無線 LAN」とは、無線通信で情報を送受信する通信回線をいう。無線 LAN の規格としては、802.11a、802.11b、802.11g、Bluetooth 等が挙げられる。

【Ａ～Ｚ】


「BCP（Business Continuity Plan: 事業継続計画)」とは、組織において特定する事
業の継続に支障を来すと想定される自然災害、人的災害・事故、機器の障害等の事態に組織が適切に対応し目標とする事業継続性の確保を図るために当該組織において策定する、事態の予防及び事態発生後の事業の維持並びに復旧に係る計画をいう。狭義には、このうちの事態発生後の事業の維持を主とした計画をいう。

「CRYPTREC（Cryptography Research and Evaluation Committees）」とは、電子政府推奨暗号の安全性を評価・監視し、暗号モジュール評価基準等の策定を検討する
プロジェクトである。

「DNS サーバ」とは、名前解決のサービスを提供するアプリケーション及びそのアプ
リケーションを動作させる電子計算機をいう。DNS サーバは、その機能によって、自らが管理するドメイン名等についての名前解決を提供する「コンテンツサーバ」とクライアントからの要求に応じて名前解決を代行する「キャッシュサーバ」の二種類に
A.1.4

NISD-K303-091C

分けることができる。
「IPv6 移行機構」とは、物理的にひとつのネットワークにおいて、IPv4 技術を利用する通信と IPv6 を利用する通信の両方を共存させることを可能とする技術の総称である。
例えば、電子計算機や通信回線装置が２つの通信プロトコルを併用するデュアルスタ
ック機構や、相互接続性のない２つの IPv6 ネットワークを既設の IPv4 ネットワーク
を使って通信可能とする IPv6-IPv4 トンネル機構等がある。

「ST 確認」とは、評価機関による ST 評価の評価結果が妥当であることを認証機関（独立行政法人 情報処理推進機構）が検証し、確認することをいう。

「ST 評価」とは、セキュリティ設計仕様書(ST:Security Target)が IT セキュリティ評
価 基準 (ISO/IEC 15408)に 適合 してい るこ とを IT セキ ュリ ティ評 価方法 CEM（Common Methodology for Information Technology Security Evaluation）に則って、ST の評価を行うことが可能な機関が評価することをいう。

「VPN（Virtual Private Network）」とは、暗号技術等を利用し、インターネットなどの公衆回線を私設通信回線として広域化するための技術をいう。

A.1.4