府省庁対策基準策定のためのガイドライン

平成 26 年５月 19 日
内閣官房情報セキュリティセンター

目次
第1部

総則 ...................................................................................................................... 1

1.1

目的 .......................................................................................................................... 1

1.2

府省庁対策基準の策定手順...................................................................................... 1

1.3

本ガイドラインの改訂 ............................................................................................. 1

1.4

統一基準、本ガイドライン及び実施手順の関係 ..................................................... 2

1.5

統一基準で定義されている用語 .............................................................................. 3

1.6

一般用語の解説 ........................................................................................................ 7

1.7

基本対策事項及び解説の読み方 ............................................................................ 12

第2部

情報セキュリティ対策の基本的枠組み .............................................................. 15

2.1

導入・計画 ............................................................................................................. 15

2.1.1

組織・体制の整備 ........................................................................................... 15(1)

最高情報セキュリティ責任者の設置 .............................................................. 15(2)

情報セキュリティ委員会の設置 ..................................................................... 17(3)

情報セキュリティ監査責任者の設置 .............................................................. 18(4)

統括情報セキュリティ責任者・情報セキュリティ責任者等の設置 .............. 19(5)

最高情報セキュリティアドバイザーの設置 ................................................... 22(6)

情報セキュリティインシデントに備えた体制の整備 .................................... 23(7)

兼務を禁止する役割 ....................................................................................... 26

2.1.2

府省庁対策基準・対策推進計画の策定 .......................................................... 27(1)

府省庁対策基準の策定.................................................................................... 27(2)対策推進計画の策定 ....................................................................................... 28

2.2

運用 ........................................................................................................................ 30

2.2.1

情報セキュリティ関係規程の運用 ................................................................. 30(1)

情報セキュリティ対策に関する実施手順の整備・運用................................. 30(2)

違反への対処 .................................................................................................. 32

2.2.2

例外措置.......................................................................................................... 34(1)

例外措置手続の整備 ....................................................................................... 34(2)

例外措置の運用............................................................................................... 36

2.2.3

教育 ................................................................................................................. 38(1)

教育体制等の整備 ........................................................................................... 38(2)

教育の実施 ...................................................................................................... 40

2.2.4

情報セキュリティインシデントへの対処 ...................................................... 41(1)

情報セキュリティインシデントに備えた事前準備 ........................................ 41(2)

情報セキュリティインシデントの認知時における報告・対処...................... 43(3)

情報セキュリティインシデントの原因調査・再発防止................................. 46

2.3

点検 ........................................................................................................................ 47

2.3.1

情報セキュリティ対策の自己点検 ................................................................. 47(1)

自己点検計画の策定・手順の準備 ................................................................. 47
目次-1

(2)

自己点検の実施............................................................................................... 48(3)

自己点検結果の評価・改善 ............................................................................ 49

2.3.2

情報セキュリティ監査.................................................................................... 50(1)

監査実施計画の策定 ....................................................................................... 50(2)

監査の実施 ...................................................................................................... 52(3)

監査結果に応じた対処.................................................................................... 54

2.4

見直し .................................................................................................................... 55

2.4.1

情報セキュリティ対策の見直し ..................................................................... 55(1)

情報セキュリティ関係規程の見直し .............................................................. 55(2)対策推進計画の見直し.................................................................................... 57

第3部

情報の取扱い ...................................................................................................... 58

3.1

情報の取扱い.......................................................................................................... 58

3.1.1

情報の取扱い .................................................................................................. 58(1)

情報の取扱いに係る規定の整備 ..................................................................... 58(2)

情報の目的外での利用等の禁止 ..................................................................... 65(3)

情報の格付及び取扱制限の決定・明示等 ...................................................... 66(4)

情報の利用・保存 ........................................................................................... 68(5)

情報の提供・公表 ........................................................................................... 71(6)

情報の運搬・送信 ........................................................................................... 73(7)

情報の消去 ...................................................................................................... 75(8)情報のバックアップ ....................................................................................... 77

3.2

情報を取り扱う区域の管理.................................................................................... 78

3.2.1

情報を取り扱う区域の管理 ............................................................................ 78(1)

要管理対策区域における対策の基準の決定 ................................................... 78(2)

区域ごとの対策の決定.................................................................................... 84(3)

要管理対策区域における対策の実施 .............................................................. 87

第4部

外部委託 ............................................................................................................. 89

4.1

外部委託 ................................................................................................................. 89

4.1.1

外部委託.......................................................................................................... 89(1)

外部委託に係る規定の整備 ............................................................................ 89(2)

外部委託に係る契約 ....................................................................................... 92(3)

外部委託における対策の実施 ......................................................................... 96(4)

外部委託における情報の取扱い ..................................................................... 97

4.1.2

約款による外部サービスの利用 ..................................................................... 98(1)

約款による外部サービスの利用に係る規定の整備 ........................................ 98(2)

約款による外部サービスの利用における対策の実施 .................................. 102

4.1.3

ソーシャルメディアサービスによる情報発信 ............................................. 103(1)

ソーシャルメディアサービスによる情報発信時の対策............................... 103

第5部

情報システムのライフサイクル....................................................................... 106

5.1

情報システムに係る文書等の整備 ....................................................................... 106
目次-2

5.1.1

情報システムに係る台帳等の整備 ............................................................... 106(1)

情報システム台帳の整備 .............................................................................. 106(2)

情報システム関連文書の整備 ....................................................................... 109

5.1.2

機器等の調達に係る規定の整備 ....................................................................112(1)

機器等の調達に係る規定の整備 ....................................................................112

5.2

情報システムのライフサイクルの各段階における対策 .......................................115

5.2.1

情報システムの企画・要件定義 ....................................................................115(1)

実施体制の確保..............................................................................................115(2)

情報システムのセキュリティ要件の策定 .....................................................116(3)

情報システムの構築を外部委託する場合の対策.......................................... 121(4)

情報システムの運用・保守を外部委託する場合の対策............................... 124

5.2.2

情報システムの調達・構築 .......................................................................... 126(1)

機器等の選定時の対策.................................................................................. 126(2)

情報システムの構築時の対策 ....................................................................... 127(3)

納品検査時の対策 ......................................................................................... 129

5.2.3

情報システムの運用・保守 .......................................................................... 130(1)

情報システムの運用・保守時の対策 ............................................................ 130

5.2.4

情報システムの更改・廃棄 .......................................................................... 132(1)

情報システムの更改・廃棄時の対策 ............................................................ 132

5.2.5

情報システムについての対策の見直し ........................................................ 133(1)

情報システムについての対策の見直し ........................................................ 133

5.3

情報システムの運用継続計画 .............................................................................. 134

5.3.1

情報システムの運用継続計画の整備・整合的運用の確保 ........................... 134(1)

情報システムの運用継続計画の整備・整合的運用の確保 ........................... 134

第6部

情報システムのセキュリティ要件 ................................................................... 137

6.1

情報システムのセキュリティ機能 ....................................................................... 137

6.1.1

主体認証機能 ................................................................................................ 137(1)

主体認証機能の導入 ..................................................................................... 137

6.1.2

アクセス制御機能 ......................................................................................... 143(1)

アクセス制御機能の導入 .............................................................................. 143(2)

適正なアクセス制御の実施 .......................................................................... 144

6.1.3

権限管理機能 ................................................................................................ 145(1)

権限管理機能の導入 ..................................................................................... 145(2)

識別コード・主体認証情報の付与管理 ........................................................ 147

6.1.4

ログの取得・管理 ......................................................................................... 150(1)

ログの取得・管理 ......................................................................................... 150

6.1.5

暗号・電子署名............................................................................................. 153(1)暗号化機能・電子署名機能の導入 ............................................................... 153(2)暗号化・電子署名に係る管理 ....................................................................... 157

6.2

情報セキュリティの脅威への対策 ....................................................................... 158
目次-3

6.2.1

ソフトウェアに関する脆弱性対策 ............................................................... 158(1)

ソフトウェアに関する脆弱性対策の実施 .................................................... 158

6.2.2

不正プログラム対策 ..................................................................................... 163(1)

不正プログラム対策の実施 .......................................................................... 163

6.2.3

サービス不能攻撃対策.................................................................................. 166(1)

サービス不能攻撃対策の実施 ....................................................................... 166

6.2.4

標的型攻撃対策............................................................................................. 169(1)

標的型攻撃対策の実施.................................................................................. 169

6.3

アプリケーション・コンテンツの作成・提供 .................................................... 173

6.3.1

アプリケーション・コンテンツの作成時の対策.......................................... 173(1)

アプリケーション・コンテンツの作成に係る規定の整備 ........................... 173(2)

アプリケーション・コンテンツのセキュリティ要件の策定 ....................... 175

6.3.2

アプリケーション・コンテンツ提供時の対策 ............................................. 181(1)

政府ドメイン名の使用.................................................................................. 181(2)

不正なウェブサイトへの誘導防止 ............................................................... 183(3)

府省庁外のアプリケーション・コンテンツの告知 ...................................... 186

第7部

情報システムの構成要素.................................................................................. 187

7.1

端末・サーバ装置等............................................................................................. 187

7.1.1

端末 ............................................................................................................... 187(1)

端末の導入時の対策 ..................................................................................... 187(2)

端末の運用時の対策 ..................................................................................... 192(3)

端末の運用終了時の対策 .............................................................................. 193

7.1.2

サーバ装置 .................................................................................................... 194(1)

サーバ装置の導入時の対策 .......................................................................... 194(2)

サーバ装置の運用時の対策 .......................................................................... 197(3)

サーバ装置の運用終了時の対策 ................................................................... 199

7.1.3

複合機・特定用途機器.................................................................................. 200(1)

複合機 ........................................................................................................... 200(2)

特定用途機器 ................................................................................................ 203

7.2

電子メール・ウェブ等 ......................................................................................... 204

7.2.1

電子メール .................................................................................................... 204(1)

電子メールの導入時の対策 .......................................................................... 204

7.2.2

ウェブ ........................................................................................................... 207(1)

ウェブサーバの導入・運用時の対策 ............................................................ 207(2)

ウェブアプリケーションの開発時・運用時の対策 .......................................211

7.2.3

ドメインネームシステム（DNS）............................................................... 216(1)

DNS の導入時の対策.................................................................................... 216(2)

DNS の運用時の対策.................................................................................... 219

7.3

通信回線 ............................................................................................................... 220

7.3.1

通信回線........................................................................................................ 220
目次-4

(1)

通信回線の導入時の対策 .............................................................................. 220(2)通信回線の運用時の対策 .............................................................................. 224(3)通信回線の運用終了時の対策 ....................................................................... 226(4)

リモートアクセス環境導入時の対策 ............................................................ 227(5)無線 LAN 環境導入時の対策 ........................................................................ 229

7.3.2

IPv6 通信回線 ............................................................................................... 231(1)

IPv6 通信を行う情報システムに係る対策 ................................................... 231(2)

意図しない IPv6 通信の抑止・監視 ............................................................. 234

第8部

情報システムの利用 ......................................................................................... 235

8.1

情報システムの利用............................................................................................. 235

8.1.1

情報システムの利用 ..................................................................................... 235(1)

情報システムの利用に係る規定の整備 ........................................................ 235(2)

情報システム利用者の規定の遵守を支援するための対策 ........................... 240(3)

情報システムの利用時の基本的対策 ............................................................ 242(4)

電子メール・ウェブの利用時の対策 ............................................................ 244(5)

識別コード・主体認証情報の取扱い ............................................................ 246(6)暗号・電子署名の利用時の対策 ................................................................... 250(7)

不正プログラム感染防止 .............................................................................. 252

8.2

府省庁支給以外の端末の利用 .............................................................................. 255

8.2.1

府省庁支給以外の端末の利用 ....................................................................... 255(1)

府省庁支給以外の端末の利用規定の整備・管理.......................................... 255(2)

府省庁支給以外の端末の利用時の対策 ........................................................ 265

付録 ..................................................................................................................................... 266

目次-5

第1部 総則

1.1

目的
府省庁対策基準策定のためのガイドライン（以下「本ガイドライン」という。）は、府

省庁が政府機関の情報セキュリティ対策のための統一基準（平成 26 年５月 19 日情報セキュリティ政策会議決定 以下「統一基準」という。）に準拠して府省庁対策基準を策定する際に参照するものであり、府省庁対策基準の策定手順や統一基準の遵守事項を満たすために採られるべき基本的な対策事項（以下「基本対策事項」という。
）の例示、考え方等を解説することを目的としている。

1.2

府省庁対策基準の策定手順
府省庁は、府省庁基本方針に基づき、統一基準に定める基本原則である遵守事項等の規定を満たすよう、具体的な対策事項を府省庁対策基準に規定する必要がある。本ガイドラインには、府省庁が府省庁対策基準を策定する際に参照するための基本対策事項を例示し、考え方等を解説として示している。
府省庁における組織の目的・規模・編成や情報システムの構成、取り扱う情報の内容・用途等の特性によって、達成すべき情報セキュリティの水準や採るべき対策は異なるため、府省庁対策基準の策定に当たっては、本ガイドラインの基本対策事項をそのまま適用するのではなく、自らの組織が如何なる手段を採れば情報セキュリティが最も適切に確保されるのかとの視点から、上記に掲げた府省庁の特性等を勘案しつつ、これに適した対策を検討し、基準に定める必要がある。
なお、府省庁対策基準の構成としては、統一基準と本ガイドラインの関係と同様に、遵守事項と対策事項を分けて記載する方法や、対策事項のみを記載する方法等、府省庁の状況に応じてよりよい構成とすることが望ましい。

1.3

本ガイドラインの改訂
情報セキュリティの水準を適切に維持していくためには、脅威の変化や技術の進展を的確にとらえ、それに応じて情報セキュリティ対策の見直しを図ることが重要である。
このため、本ガイドラインの規定内容については、環境の変化に応じて適宜内容の見直しを行い、必要に応じて項目の追加やその内容の充実等を図ることによって、規定内
容の適正性を将来にわたり維持することとする。
府省庁においては、本ガイドラインが更新された場合には、その内容をそれぞれの府
省庁対策基準に適切に反映させることが期待される。

1

1.4

統一基準、本ガイドライン及び実施手順の関係
統一規範、運用指針及び統一基準と本ガイドラインの関係は図 1.4-1 のとおりであり、これらを総称して、「政府機関の情報セキュリティ対策のための統一基準群（以下「統一基準群」という。）」と呼ぶ。また、統一基準群と府省庁の情報セキュリティポリシーの関係についても、併せて図 1.4-1 に示す。

図 1.4-1 統一基準群と府省庁の情報セキュリティポリシーの関係について

2

統一基準で定義されている用語

1.5

統一基準において定義されている用語を以下に掲載する。
【あ】● 「委託先」とは、外部委託により府省庁の情報処理業務の一部又は全部を実施する者
をいう。

【か】
● 「外部委託」とは、府省庁の情報処理業務の一部又は全部について、契約をもって府省庁外の者に実施させることをいう。「委任」「準委任」「請負」といった契約形態を問わず、全て含むものとする。
● 「機器等」とは、情報システムの構成要素（サーバ装置、端末、通信回線装置、複合機、特定用途機器等、ソフトウェア等）、外部電磁的記録媒体等の総称をいう。
（参考：
図 1.5-1）● 「行政事務従事者」とは、府省庁において行政事務に従事している国家公務員その他の府省庁の指揮命令に服している者であって、府省庁の管理対象である情報及び情報シ
ステムを取り扱う者をいう。行政事務従事者には、個々の勤務条件にもよるが、例えば、派遣労働者等も含まれている。
●「記録媒体」とは、情報が記録され、又は記載される有体物をいう。記録媒体には、文字、図形等人の知覚によって認識することができる情報が記載された紙その他の有体物（以下「書面」という。
）と、電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録であって、情報システムによる情報処理の用に供されるもの（以下「電磁的記録」という。
）に係る記録媒体（以下「電磁的記録媒体」という。）がある。また、電磁的記録媒体には、サーバ装置、端末、通信回線装置
等に内蔵される内蔵電磁的記録媒体と、USB メモリ、外付けハードディスクドライブ、
DVD-R 等の外部電磁的記録媒体がある。

【さ】● 「サーバ装置」とは、情報システムの構成要素である機器のうち、通信回線等を経由して接続してきた端末等に対して、自らが保持しているサービスを提供するもの（搭載されるソフトウェア及び直接接続され一体として扱われるキーボードやマウス等の周辺機器を含む。
）をいい、特に断りがない限り、府省庁が調達又は開発するものをいう。
●

サ イ マ ッ ト

「CYMAT」とは、サイバー攻撃等により政府機関等の情報システム障害が発生した

場合又はその発生のおそれがある場合であって、政府として一体となった対応が必要となる情報セキュリティに係る事象に対して機動的な支援を行うため、内閣官房情報セキュリティセンターに設置される体制をいう。Cyber Incident Mobile Assistance Team3

（情報セキュリティ緊急支援チーム）の略。
シーサート● 「CSIRT」とは、府省庁において発生した情報セキュリティインシデントに対処するため、当該府省庁に設置された体制をいう。Computer Security Incident Response
Team の略。
● 「実施手順」とは、府省庁対策基準に定められた対策内容を個別の情報システムや業務において実施するため、あらかじめ定める必要のある具体的な手順をいう。
● 「情報」とは、統一基準の「1.1(2) 本統一基準の適用範囲」の(b)に定めるものをいう。
参考：統一基準の「1.1(2) 本統一基準の適用範囲」（抄）(b)

本統一基準において適用範囲とする情報は、以下の情報とする。
(ア) 行政事務従事者が職務上使用することを目的 として府省庁が調達し、又は開発した情報システム若しくは 外部電磁的記録媒体に記録された情報（当該情報システ
ムから出力された書面に記載された情報及び書面から情報システムに入力された情報を含む。
）(イ)

その他の情報システム又は外部電磁的記録媒体に記録された情報（当該情報シス
テムから出力された書面に記載された情報及び書面から情報システムに入力された情報を含む。
）であって、行政事務従事者が職務上取り扱う情報(ウ)（ア）及び（イ）のほか、府省庁が調達し、又は開発した情報システムの設計又は運用管理に関する情報（参考：図 1.5-2）●「情報システム」とは、ハードウェア及びソフトウェアから成るシステムであって、情報処理及び通信の用に供するものをいい、特に断りのない限り、府省庁が調達又は開発するもの（管理を外部委託しているシステムを含む。
）をいう。
（参考：図 1.5-2）● 「情報セキュリティインシデント」とは、JIS Q 27001:2006 における情報セキュリティインシデントをいう。
● 「情報セキュリティ関係規程」とは、府省庁対策基準及び実施手順を総称したものをいう。
● 「情報の抹消」とは、電磁的記録媒体に記録された全ての情報を利用不能かつ復元が困難な状態にすることをいう。情報の抹消には、情報自体を消去することのほか、情報を記録している記録媒体を物理的に破壊すること等も含まれる。削除の取消しや復元ツールで復元できる状態は、復元が困難な状態とはいえず、情報の抹消には該当しない。

【た】● 「端末」とは、情報システムの構成要素である機器のうち、行政事務従事者が情報処理を行うために直接操作するもの（搭載されるソフトウェア及び直接接続され一体として扱われるキーボードやマウス等の周辺機器を含む。）をいい、特に断りがない限り、府省庁が調達又は開発するものをいう。端末には、モバイル端末も含まれる。
4

● 「通信回線」とは、複数の情報システム又は機器等（府省庁が調達等を行うもの以外のものを含む。
）の間で所定の方式に従って情報を送受信するための仕組みをいい、特に断りのない限り、府省庁の情報システムにおいて利用される通信回線を総称したものをいう。通信回線には、府省庁が直接管理していないものも含まれ、その種類（有線又は無線、物理回線又は仮想回線等）は問わない。
● 「通信回線装置」とは、通信回線間又は通信回線と情報システムの接続のために設置され、回線上を送受信される情報の制御等を行うための装置をいう。通信回線装置には、
いわゆるハブやスイッチ、ルータ等のほか、ファイアウォール等も含まれる。
● 「特定用途機器」とは、テレビ会議システム、IP 電話システム、ネットワークカメラ
システム等の特定の用途に使用される情報システム特有の構成要素であって、通信回線に接続されている、又は内蔵電磁的記録媒体を備えているものをいう。

【は】● 「府省庁」とは、法律の規定に基づき内閣に置かれる機関若しくは内閣の所轄の下に置かれる機関、宮内庁、内閣府設置法（平成 11 年法律第 89 号）第四十九条第一項若しくは第二項に規定する機関、国家行政組織法（昭和 23 年法律第 120 号）第三条第二項に規定する機関若しくはこれらに置かれる機関をいう。「府省庁」と表記する場合は、単一の機関を指す。
●「府省庁外通信回線」とは、通信回線のうち、府省庁内通信回線以外のものをいう。

● 「府省庁対策基準」とは、府省庁における情報及び情報システムの情報セキュリティを確保するための情報セキュリティ対策の基準をいう。
● 「府省庁内通信回線」とは、一つの府省庁が管理するサーバ装置又は端末の間の通信の用に供する通信回線であって、当該府省庁の管理下にないサーバ装置又は端末が論理的に接続されていないものをいう。府省庁内通信回線には、専用線や VPN 等物理的な回線を府省庁が管理していないものも含まれる。
● 「不正プログラム」とは、コンピュータウイルス、ワーム（他のプログラムに寄生せず単体で自己増殖するプログラム）、スパイウェア（プログラムの使用者の意図に反して様々な情報を収集するプログラム）等の、情報システムを利用する者が意図しない結果を当該情報システムにもたらすプログラムの総称をいう。

【ま】● 「抹消」→「情報の抹消」を参照。
● 「明示等」とは、情報を取り扱う全ての者が当該情報の格付について共通の認識となるようにする措置をいう。明示等には、情報ごとに格付を記載することによる明示のほか、当該情報の格付に係る認識が共通となるその他の措置も含まれる。その他の措置の5

例としては、特定の情報システムに記録される情報について、その格付を情報システムの規程等に明記するとともに、当該情報システムを利用する全ての者に周知すること等が挙げられる。
● 「モバイル端末」とは、端末のうち、業務上の必要に応じて移動させて使用することを目的としたものをいい、端末の形態は問わない。

【や】● 「約款による外部サービス」とは、民間事業者等の府省庁外の組織が約款に基づきインターネット上で提供する情報処理サービスであって、当該サービスを提供するサーバ装置において利用者が情報の作成、保存、送信等を行うものをいう。ただし、利用者が必要とする情報セキュリティに関する十分な条件設定の余地があるものを除く。
● 「要管理対策区域」とは、府省庁が管理する庁舎等（外部の組織から借用している施設等を含む。）府省庁の管理下にある区域であって、取り扱う情報を保護するために、施設及び環境に係る対策が必要な区域をいう。

情報システム(注1)端末
・ﾃﾞｽｸﾄｯﾌﾟPC
・ﾉｰﾄPC （注2）

ソフトウェア・OS・ｱﾌﾟﾘｹｰｼｮﾝ
・ｳｪﾌﾞｺﾝﾃﾝﾂ
複合機
特定用途機器・ｼｽﾃﾑ(ﾃﾚﾋﾞ会議ｼ
ｽﾃﾑ,IP電話ｼｽﾃﾑ,
ﾈｯﾄﾜｰｸｶﾒﾗｼｽﾃﾑ
等)を構成する機器

凡例
下線：遵守事項において使用する用語「・」に続く用語：例示

ﾓﾊﾞｲﾙ端末
・ﾉｰﾄPC（注2）・ｽﾏｰﾄﾌｫﾝ・ﾀﾌﾞﾚｯﾄ端末

・通信ｹｰﾌﾞﾙ

サーバ装置
・ﾒｰﾙｻｰﾊﾞ・ｳｪﾌﾞｻｰﾊﾞ・DNSｻｰﾊﾞ・ﾌｧｲﾙｻｰﾊﾞ・ﾃﾞｰﾀﾍﾞｰｽｻｰﾊﾞ
・認証ｻｰﾊﾞ・ﾒｲﾝﾌﾚｰﾑ
通信回線装置
・ﾊﾌﾞ
・ｽｲｯﾁ
・ﾙｰﾀ
・ﾌｧｲｱｳｫｰﾙ

外部電磁的記録
媒体 （注3）・USBﾒﾓﾘ・外付けﾊｰﾄﾞﾃﾞｨｽｸ
・CD-R，DVD-R等の光学媒体

・ﾃﾞｼﾞﾀﾙｶﾒﾗ
・ICﾚｺｰﾀﾞｰ

機器等(注1)

注1) 「機器等」の定義には、情報システムの個々の構成要素は含まれているが、情報システム自体は含まれていない
注2） いわゆるノートPCのうち、業務上の必要に応じて移動させて使用することを目的としたものはモバイル端末に分類される。利用場所が決まっているものはモバイル端末に含まれないことに注意
注3） ICレコーダーやデジタルカメラ等の機器においては外部電磁的記録媒体としての特性を備えるため外部
電磁的記録媒体に関連する遵守事項及び基本対策事項を参照の上適切な対策を講ずることが必要

図 1.5-1 「情報システム」、「機器等」及びその関係

6書面
記録された情報

情報システム（サーバ装置、端末等構成要素の内蔵電磁的記録媒体）

入力（イメージスキャナ等で情報システ
ムに入力された書面も含む）

職務上取り
扱う情報

出力（印刷）

出力された情報（印刷物、外部電磁的記録媒体等）
職務上取り
扱う情報
以外の情報

出力

情報システムの設計又は運用管理に関する情報

外部電磁的
記録媒体

（書面のみの情報も含む）

設計

府省庁が調達し、 私物端末等
又は開発したのその他の情報システム情報システム

記録されていない情報
凡例
斜線部
点線四角

（書面のみの情報。ただし、情報システムの設計又は運用管理に関する情報を除く）：適用範囲：適用範囲外図 1.5-2 統一基準の適用を受ける「情報」の範囲

一般用語の解説

1.6

留意すべき一般用語を以下に解説する。
【あ】● 「アクセス制御」とは、情報へのアクセスを許可する者を制限することをいう。
●「アプリケーション」とは、OS 上で動作し、サービスの提供、文書作成又は電子メールの送受信等の特定の目的のために動作するソフトウェアをいう。
● 「アルゴリズム」とは、ある特定の目的を達成するための演算手順をいう。
● 「暗号化」とは、第三者に容易に解読されないよう、定められた演算を施しデータを変換することをいう。
● 「暗号モジュール」とは、暗号化及び電子署名の付与に使用するアルゴリズムを実装したソフトウェアの集合体又はハードウェアをいう。
● 「ウェブクライアント」とは、ウェブページを閲覧するためのアプリケーション（いわゆるブラウザ）及び付加的な機能を追加するためのアプリケーションをいう。

【か】●「可用性」とは、情報へのアクセスを認められた者が、必要時に中断することなく、情報にアクセスできる特性をいう。
7

● 「完全性」とは、情報が破壊、改ざん又は消去されていない特性をいう。
● 「機密性」とは、情報に関して、アクセスを認められた者だけがこれにアクセスできる特性をいう。
● 「業務継続計画」とは、中央省庁業務継続ガイドライン 第１版（平成 19 年 6 月、内閣府）を参考にして府省庁において策定する BCP（Business Continuity Plan: 事業継続計画）をいう。
● 「共用識別コード」とは、複数の主体が共用するために付与された識別コードをいう。
原則として、一つの識別コードは一つの主体のみに対して付与されるものであるが、情報システム上の制約や利用状況等に応じて、識別コードを組織で共用する場合もある。
このように共用される識別コードを共用識別コードという。
●「権限管理」とは、主体認証に係る情報（識別コード及び主体認証情報を含む。）及

びアクセス制御における許可情報を管理することをいう。

【さ】● 「サービス不能攻撃」とは、悪意ある第三者等が、ソフトウェアの脆弱性を悪用しサーバ装置又は通信回線装置のソフトウェアを動作不能にさせることや、サーバ装置、通信回線装置又は通信回線の容量を上回る大量のアクセスを行い通常の利用者のサービス利用を妨害する攻撃をいう。
● 「最小限の特権機能」とは、管理者権限を実行できる範囲を必要最小限に制限する機能をいう。
● 「識別」とは、情報システムにアクセスする主体を、当該情報システムにおいて特定することをいう。
● 「識別コード」とは、主体を識別するために、情報システムが認識するコード（符号）をいう。代表的な識別コードとして、ユーザ ID が挙げられる。
● 「主体」とは、情報システムにアクセスする者又は他の情報システムにアクセスする
サーバ装置、端末等をいう。
● 「主体認証」とは、識別コードを提示した主体が、その識別コードを付与された主体、
すなわち正当な主体であるか否かを検証することをいう。識別コードとともに正しい方法で主体認証情報が提示された場合に主体認証ができたものとして、情報システムはそれらを提示した主体を正当な主体として認識する。
● 「主体認証情報」とは、主体認証をするために、主体が情報システムに提示する情報をいう。代表的な主体認証情報として、パスワード等がある。
● 「主体認証情報格納装置」とは、主体認証情報を格納した装置であり、正当な主体に所有又は保持させる装置をいう。所有による主体認証では、これを所有していることで、
8情報システムはその主体を正当な主体として認識する。代表的な主体認証情報格納装置
として、IC カード等がある。
● 「セキュリティパッチ」とは、発見された情報セキュリティ上の問題を解決するために提供される修正用のファイルをいう。提供元によって、更新プログラム、パッチ、ホットフィクス、サービスパック等名称が異なる。
● 「ソフトウェア」とは、サーバ装置、端末、通信回線装置等を動作させる手順及び命令を、当該サーバ装置等が理解できる形式で記述したものをいう。OS や OS 上で動作するアプリケーションを含む広義の意味である。

【た】● 「耐タンパ性」とは、暗号処理や署名処理を行うソフトウェアやハードウェアに対する外部からの解読攻撃に対する耐性をいう。
● 「電子署名」とは、情報の正当性を保証するための電子的な署名情報をいう。
● 「電子メールクライアント」とは、電子メールサーバにアクセスし、電子メールの送受信を行うアプリケーションをいう。
● 「電子メールサーバ」とは、電子メールの利用者に対する電子メールの送受信のサー
ビス及び電子メールの配送を行うアプリケーション及び当該アプリケーションを動作させるサーバ装置をいう。
● 「ドメインネームシステム（DNS）」とは、クライアント等からの問合わせを受けて、ドメイン名やホスト名と IP アドレスとの対応関係について回答を行うデータベースシ
ステムである。
● 「ドメイン名」とは、国、組織、サービス等の単位で割り当てられたネットワーク上の名前であり、英数字及び一部の記号を用いて表したものをいう。例えば、
www.nisc.go.jp というウェブサイトの場合は、nisc.go.jp の部分がこれに該当する。

【な】● 「名前解決」とは、ドメイン名やホスト名と IP アドレスを変換することをいう。

【は】● 「不正プログラム定義ファイル」とは、不正プログラム対策ソフトウェアが不正プログラムを判別するために利用するデータをいう。
● 「踏み台」とは、悪意ある第三者等によって不正アクセスや迷惑メール配信の中継地点に利用されている情報システムのことをいう。

9【ま】● 「無線 LAN」とは、IEEE802.11a、802.11b、802.11g、802.11n 等の規格により、無線通信で情報を送受信する通信回線をいう。

【ら】● 「リスク」とは、目的に対する不確かさの影響をいう。ある事象（周辺状況の変化を含む。
）の結果とその発生の起こりやすさとの組合せとして表現されることが多い。
● 「ルートヒントファイル」とは、最初に名前解決を問合わせる DNS コンテンツサー
バ（以下「ルート DNS」という。）の情報をいう。ルートヒントファイルには、ルート
DNS のサーバ名と IP アドレスの組が記載されており、ルート DNS の IP アドレスが変更された場合はルートヒントファイルも変更される。ルートヒントファイルは InterNIC（Internet Network Information Center）のサイトから入手可能である。

【Ａ～Ｚ】● 「BCP（Business Continuity Plan: 事業継続計画)」とは、組織において特定する事
業の継続に支障をきたすと想定される自然災害、人的災害・事故、機器の障害等の事態に組織が適切に対応し目標とする事業継続性の確保を図るために当該組織において策定する、事態の予防及び事態発生後の事業の維持並びに復旧に係る計画をいう。狭義には、このうちの事態発生後の事業の維持を主とした計画をいう。
● 「CRYPTREC（Cryptography Research and Evaluation Committees）」とは、電子
政府推奨暗号の安全性を評価・監視し、暗号モジュール評価基準等の策定を検討するプ
ロジェクトである。
● 「DNS サーバ」とは、名前解決のサービスを提供するアプリケーション及びそのアプ
リケーションを動作させるサーバ装置をいう。DNS サーバは、その機能によって、自らが管理するドメイン名等についての名前解決を提供する「コンテンツサーバ」とクライアントからの要求に応じて名前解決を代行する「キャッシュサーバ」の二種類に分けることができる。
● 「IPv6 移行機構」とは、物理的に一つのネットワークにおいて、IPv4 技術を利用する通信と IPv6 を利用する通信の両方を共存させることを可能とする技術の総称である。
例えば、サーバ装置及び端末や通信回線装置が二つの通信プロトコルを併用するデュア
ルスタック機構や、相互接続性の無い二つの IPv6 ネットワークを既設の IPv4 ネットワークを使って通信可能とする IPv6-IPv4 トンネル機構等がある。
● 「MAC アドレス（Media Access Control address）」とは、機器等が備える有線 LAN
や無線 LAN のネットワークインタフェースに割り当てられる固有の認識番号である。
識別番号は、各ハードウェアベンダを示す番号と、ハードウェアベンダが独自に割り当てる番号の組み合わせによって表される。
10

● 「S/MIME（Secure Multipurpose Internet Mail Extensions）」とは、公開鍵暗号を用いた、電子メールの暗号化と電子署名付与の一方式をいう。
● 「VPN（Virtual Private Network）」とは、暗号技術等を利用し、インターネット等の公衆回線を仮想的な専用回線として利用するための技術をいう。

11

1.7

基本対策事項及び解説の読み方
本ガイドラインの第２部以降に記述する遵守事項に対応した基本対策事項及び解説を参照するに当たり、留意すべき点を以下に示す。
◆第２部以降の基本的な記述構成

統一基準の部・節・項の番号を掲示。
本例では、第 2 部 2.1 節
2.1.1 項についてのガイド
ラインを示している。
統一基準 2.1.1(1)項の目的・趣旨及び遵守事項を掲示。
2.1.1 では遵守事項は(a)のみ。
遵守事項は、(数字)(アルファベット)単位で掲示。

統一基準 2.1.1 項(1)の遵守事項に対応した基本対策事項を掲示。
本例では、最高情報セキュ
リティ責任者が統括する事務の例を a)～h)として掲示しており、これを参照
しつつ、各府省庁の組織の特性に応じて最高情報セキュリティ責任者が統括する事務について検討し、
府省庁対策基準として規定することを求めている。
統一基準 2.1.1(1)項の遵守事項及び対応する基本対策事項について解説している。

12

◆基本対策事項に個別対策事項が例示されている場合

複数の方法が考えられる
基本対策事項について
は、具体例を示している。

◆基本対策事項の個別対策事項について、“～を含む”として例示されている場合

複数の事項から構成される基本対策事項について
は、主要な事項のみを示
している。

13

◆基本対策事項が規定されていない場合遵守事項が具体的な対策事項となっている場
合は、基本対策事項を定めていない。
この場合は、遵守事項の解説を参照し、府省庁対策基準を定めることになる。

14

第2部 情報セキュリティ対策の基本的枠組み
導入・計画

2.1

2.1.1 組織・体制の整備
目的・趣旨
情報セキュリティ対策は、それに係る全ての行政事務従事者が、職制及び職務に応じて与えられている権限と責務を理解した上で、負うべき責務を全うすることで実現される。
そのため、それらの権限と責務を明確にし、必要となる組織・体制を整備する必要がある。
特に最高情報セキュリティ責任者は、情報セキュリティ対策を着実に進めるために、自らが組織内を統括し、組織全体として計画的に対策が実施されるよう推進しなければならない。
なお、最高情報セキュリティ責任者は、その権限に属する事務の一部を統一基準に定める各責任者に委任することができる。

遵守事項(1) 最高情報セキュリティ責任者の設置(a) 府省庁は、府省庁における情報セキュリティに関する事務を統括する最高情報セキュリティ責任者１人を置くこと。

【 基本対策事項 】＜2.1.1(1)(a)関連＞
2.1.1(1)-1 最高情報セキュリティ責任者は、次に掲げる事務を統括すること。
a) 情報セキュリティ対策推進のための組織・体制の整備
b) 府省庁対策基準の決定、見直しc) 対策推進計画の決定、見直しd) 情報セキュリティインシデントに対処するために必要な指示その他の措置e) 前各号に掲げるもののほか、情報セキュリティに関する重要事項（解説） 遵守事項 2.1.1(1)(a)「最高情報セキュリティ責任者」について
最高情報セキュリティ責任者は、府省庁における情報セキュリティ対策の推進の責任者であり、府省庁全体の情報セキュリティ対策を推進するため、組織をふ瞰し、資源配分の方針決定を適切に行うなどリーダーシップを発揮することが求められる。
最高情報セキュリティ責任者は、情報セキュリティに関する府省庁全体の方向付けを行う事務について自ら直接関与すべきであることから、統一基準では、府省庁対策
基準及び対策推進計画を決定するとともに、重大な情報セキュリティインシデントが15

発生した場合には、それに対処するための必要な指示その他の措置を行うこととしている。
 基本対策事項 2.1.1(1)-1 d)「情報セキュリティインシデント」について
JIS Q 27001:2006 には、以下のとおり記載されている。
• 情報セキュリティインシデント
望まない単独若しくは一連の情報セキュリティ事象、又は予期しない単独若しくは一連の情報セキュリティ事象であって、事業運営を危うくする確率及び情報
セキュリティを脅かす確率が高いもの。
• 情報セキュリティ事象
システム、サービス又はネットワークにおける特定の状態の発生。特定の状態とは、情報セキュリティ基本方針への違反若しくは管理策の不具合の可能性、又はセキュリティに関連するかもしれない未知の状況を示しているものをいう。
情報システムに関する情報セキュリティインシデントとしては、例えば、以下が考えられる。
• 要機密情報が含まれる内容の電子メールを外部に誤送信• 要機密情報が格納された USB メモリを紛失• 不正プログラムへの感染• 外部からのサーバ装置、端末への不正侵入• サービス不能攻撃等による情報システムの停止

16

遵守事項
(2) 情報セキュリティ委員会の設置(a) 最高情報セキュリティ責任者は、府省庁対策基準等の審議を行う機能を持つ組織
として、府省庁の情報セキュリティを推進する部局及びその他行政事務を実施する部局の代表者を構成員とする情報セキュリティ委員会を置くこと。

【 基本対策事項 】＜2.1.1(2)(a)関連＞
2.1.1(2)-1 情報セキュリティ委員会の委員長及び委員は、最高情報セキュリティ責任者が情報セキュリティを推進する部局及びその他の行政事務を実施する部局の代表者から指名すること。
2.1.1(2)-2 情報セキュリティ委員会は、次に掲げる事項を審議すること。
a) 府省庁対策基準b) 対策推進計画c) 前各号に掲げるもののほか、情報セキュリティに関し必要な事項（解説） 遵守事項 2.1.1(2)(a)「情報セキュリティ委員会」について
最高情報セキュリティ責任者は、横断的な事項を審議するため、情報セキュリティを推進する部門及び各部局（部門）の代表者から構成される委員会を設置する。委員
長及び委員は、最高情報セキュリティ責任者の指名によるが、最高情報セキュリティ
責任者自らが委員長を兼ねてもよい。
委員会は、各部門間の意見調整を図り情報セキュリティ対策と組織の方針を整合的なものとするため、統一基準では、組織全体としての方向付けを要する府省庁対策基
準及び対策推進計画について審議する。
なお、審議事項については、府省庁の実態に応じて柔軟に運用することが考えられる。さらに、委員会の配下に実務を担当する下位委員会を設置する、既存の情報シス
テム管理部門に情報セキュリティ対策の運用を統括する機能を持たせるなど、部門の横断的な連携の仕組みを確立させることも考えられる。

17

遵守事項
(3) 情報セキュリティ監査責任者の設置(a) 最高情報セキュリティ責任者は、その指示に基づき実施する監査に関する事務を統括する者として、情報セキュリティ監査責任者１人を置くこと。

【 基本対策事項 】＜2.1.1(3)(a)関連＞
2.1.1(3)-1 情報セキュリティ監査責任者は、命により次の事務を統括すること。
a) 監査実施計画の策定
b) 監査実施体制の整備
c) 監査の実施指示及び監査結果の最高情報セキュリティ責任者への報告d) 前各号に掲げるもののほか、情報セキュリティの監査に関する事項（解説） 遵守事項 2.1.1(3)(a)「情報セキュリティ監査責任者」について
府省庁における情報セキュリティ対策は、最高情報セキュリティ責任者の指揮の下で推進することとなるが、最高情報セキュリティ責任者は、自らが決定した情報セキュリティ対策が適切に実施されているか否かを正しく把握する必要がある。そのため、最高情報セキュリティ責任者は、情報セキュリティ監査責任者にその実施状況等の確認を行わせることにより、情報セキュリティ対策の実効性を確保しようとするものである。
なお、情報セキュリティ監査責任者は、組織のまとまりごとの情報セキュリティに関する事務を担う情報セキュリティ責任者よりも職務上の上位の者を置くことが望ましい。
情報セキュリティ監査責任者は、情報セキュリティ対策が適切に実施されているか否かを監査し、その結果について最高情報セキュリティ責任者に的確に報告しなければならない。
情報セキュリティ監査責任者は、これら監査事務を効率的に実施するため、担当者（監査実施者）を置き、必要に応じて外部組織を活用するなど、監査実施体制の整備を行う。
なお、府省庁の実情に応じて、監査責任者を補佐する立場として監査副責任者を独自に設置してよい。

18

遵守事項
(4) 統括情報セキュリティ責任者・情報セキュリティ責任者等の設置(a) 最高情報セキュリティ責任者は、業務の特性等から同質の情報セキュリティ対策の運用が可能な組織のまとまりごとに、情報セキュリティ対策に関する事務を統括する者として、情報セキュリティ責任者１人を置くこと。そのうち、情報セキュリ
ティ責任者を統括し、最高情報セキュリティ責任者を補佐する者として、統括情報
セキュリティ責任者１人を選任すること。
(b) 情報セキュリティ責任者は、遵守事項 3.2.1(2)(a)で定める区域ごとに、当該区域における情報セキュリティ対策の事務を統括する区域情報セキュリティ責任者 1 人を置くこと。
(c) 情報セキュリティ責任者は、課室ごとに情報セキュリティ対策に関する事務を統括する課室情報セキュリティ責任者 1 人を置くこと。
(d) 情報セキュリティ責任者は、所管する情報システムに対する情報セキュリティ対策に関する事務の責任者として、情報システムセキュリティ責任者を、当該情報シ
ステムの企画に着手するまでに選任すること。

【 基本対策事項 】＜2.1.1(4)(a)関連＞
2.1.1(4)-1 統括情報セキュリティ責任者は、命を受け、次の事務を統括すること。
a) 要管理対策区域の決定並びに当該区域における施設及び環境に係る対策の決定b) 情報セキュリティ対策に関する実施手順の整備及び見直し並びに実施手順に関する事務のとりまとめc) 情報セキュリティ対策に係る教育実施計画の策定及び当該実施体制の整備
d) 例外措置の適用審査記録の台帳整備等e) 情報セキュリティインシデントに対処するための緊急連絡窓口の整備等
f) 前各号に掲げるもののほか、情報セキュリティ対策に係る事務
2.1.1(4)-2 情報セキュリティ責任者は、命を受け、管理を行う組織のまとまりにおける情報セキュリティ対策を推進するため、次の事務を統括すること。
a) 定められた区域ごとの区域情報セキュリティ責任者の設置
b) 課室の課室情報セキュリティ責任者の設置
c) 情報システムごとの情報システムセキュリティ責任者の設置
d) 情報セキュリティインシデントの原因調査、再発防止策等の実施
e) 情報セキュリティに係る自己点検計画の策定及び実施手順の整備
f) 前各号に掲げるもののほか、管理を行う組織のまとまりの情報セキュリティ対策に関する事務＜2.1.1(4)(b)関連＞
2.1.1(4)-3 区域情報セキュリティ責任者は、命を受け、定められた区域における施設及び環境に係る情報セキュリティ対策に関する事務を統括すること。
＜2.1.1(4)(c)関連＞
19

2.1.1(4)-4 課室情報セキュリティ責任者は、命を受け、課室における情報の取扱いその他の情報セキュリティ対策に関する事務を統括すること。
＜2.1.1(4)(d)関連＞
2.1.1(4)-5 情報システムセキュリティ責任者は、命を受け、情報システムにおける情報セ
キュリティ対策に関する事務を担うこと。
2.1.1(4)-6 情報システムセキュリティ責任者は、所管する情報システムの管理業務において必要な単位ごとに情報システムセキュリティ管理者を置くこと。
（解説） 遵守事項 2.1.1(4)(a)「情報セキュリティ責任者」について
最高情報セキュリティ責任者は、業務の特性等から同質の情報セキュリティ対策の運用が可能となる組織のまとまりごとに、その対策を委ねた方が効率的であることから、取りまとめの責任者として、情報セキュリティ責任者を設置する。情報セキュリ
ティ対策の運用が可能なまとまりとしては、部局（内局、外局、地方支分局、附属機関）ごとが想定される。
情報セキュリティ責任者は、最高情報セキュリティ責任者の委任に基づき、所管する組織の情報セキュリティ対策を推進及び運用するため、組織内の体制整備及び事務を行う。
 遵守事項 2.1.1(4)(a)「統括情報セキュリティ責任者」について
最高情報セキュリティ責任者は、自らの事務を補佐させるため、組織のまとまりごとに設置する情報セキュリティ責任者のうちから１人を統括情報セキュリティ責任者として選任する。
統括情報セキュリティ責任者は、最高情報セキュリティ責任者からの委任（最高情報セキュリティ責任者が自ら行うべき重要事項を除き、事務を任せること。任命及び監督の責任は、最高情報セキュリティ責任者に残る。）に基づき府省庁の情報セキュリ
ティ対策について総合調整する事務を担うとともに、最高情報セキュリティ責任者を補佐する役割を担う。
なお、例えば、府省庁対策基準や対策推進計画の案の作成を担うことが想定される。
 遵守事項 2.1.1(4)(b)「区域情報セキュリティ責任者」について
情報セキュリティ責任者は、所管する組織のまとまりの情報セキュリティ対策のうち施設及び環境に係る対策について、定められた区域ごとにその対策を推進する責任者として区域情報セキュリティ責任者を指名する。
区域情報セキュリティ責任者は、所管する区域について規定された対策の基準に従い、自ら対策を定めそれを実施する。また、区域情報セキュリティ責任者は、その役割の性質上、施設の管理者が兼任することが想定される。定める単位としては、例えば以下が考えられる。
• 単一の課室が利用する執務室及び会議室を管理する場合は、課室情報セキュリ
ティ責任者

20

• 情報システムが設置された部屋（サーバ室等）を管理する場合は、情報システ
ムセキュリティ責任者• ロビー、廊下等を管理する場合は、庁舎等の管理に関する部門の責任者
なお、基本対策事項 3.2.1(1)-1 で後述するクラス１は、庁舎管理の観点から行う措置
が、情報セキュリティ上の対策と同等であれば、庁舎管理者が指定されていることをもって、区域情報セキュリティ責任者を設置しているとみなしてよい。
 遵守事項 2.1.1(4)(c)「課室情報セキュリティ責任者」について
情報セキュリティ責任者は、課室内の情報の取扱い及び情報セキュリティ対策の責任者として、課室情報セキュリティ責任者を設置する。課室情報セキュリティ責任者
は、情報の取扱い等に関して、その是非を判断する役割を担うため、課室長又はそれに相当する者であることが望ましい。
 遵守事項 2.1.1(4)(d)｢情報システムセキュリティ責任者」について
情報セキュリティ責任者は、情報システムごとの情報セキュリティ対策及び運用の責任者として、情報システムセキュリティ責任者を指名する。
情報システムセキュリティ責任者は、所管する情報システムのライフサイクル全般
にわたって適切に情報セキュリティ対策を実施することが求められる。このため、情報セキュリティ責任者は、新規の情報システムについて企画に着手するまでに情報シ
ステムセキュリティ責任者を選任しなければならない。府省庁 LAN システムのような
全省庁的なシステム、特定部門における個別業務システム等、府省庁の全ての情報シ
ステムについて、情報システムごとにセキュリティ対策の運用の責任の所在を明確にすることが重要である。また、アプリケーションのみ別組織が管理するといったように、情報システムを共同で管理する場合は、あらかじめ責任分担を明確にする必要がある。
情報システムセキュリティ責任者は、情報セキュリティ対策の技術的事項について補佐する者（基本対策事項 2.1.1(4)-6 で定める情報システムセキュリティ管理者）をデータベース、アプリケーション等の装置・機能ごとに、必要に応じて置き、技術的対策の実効性を確保することが望ましい。
 基本対策事項 2.1.1(4)-6｢情報システムセキュリティ管理者」について
情報システムセキュリティ管理者は、情報システムセキュリティ責任者が定めた手順や判断された事項に従い、所管する情報システムのセキュリティ対策を実施する。

21

遵守事項
(5) 最高情報セキュリティアドバイザーの設置(a) 最高情報セキュリティ責任者は、情報セキュリティについて専門的な知識及び経験を有する者を最高情報セキュリティアドバイザーとして置き、自らへの助言を含む最高情報セキュリティアドバイザーの業務内容を定めること。

【 基本対策事項 】＜2.1.1(5)(a)関連＞
2.1.1(5)-1 最高情報セキュリティ責任者は、以下を例とする最高情報セキュリティアドバ
イザーの業務内容を定めること。
a) 府省庁全体の情報セキュリティ対策の推進に係る最高情報セキュリティ責任者への助言
b) 情報セキュリティ関係規程の整備に係る助言
c) 対策推進計画の策定に係る助言
d) 教育実施計画の立案に係る助言並びに教材開発及び教育実施の支援e) 情報システムに係る技術的事項に係る助言
f) 情報システムの設計・開発を外部委託により行う場合に調達仕様に含めて提示する情報セキュリティに係る要求仕様の策定に係る助言
g) 行政事務従事者に対する日常的な相談対応h) 情報セキュリティインシデントへの対処の支援
i) 前各号に掲げるもののほか、情報セキュリティ対策への助言又は支援（解説） 遵守事項 2.1.1(5)(a)「最高情報セキュリティアドバイザー」について
最高情報セキュリティ責任者は、情報セキュリティに関する技術的事項等について
自らへの助言等を含む府省庁の情報セキュリティ対策への助言、支援等を行う者として最高情報セキュリティアドバイザーを置く。
最高情報セキュリティアドバイザーは、府省庁における情報システムに関する技術的事項、情報セキュリティインシデントへの対処その他の情報セキュリティ対策に対する助言・支援を担うため専門的な知識及び経験を有した者、すなわち情報セキュリ
ティに関する資格及び実務経験を有する者である必要がある。
なお、外部人材のみならず府省庁内の職員を充ててもよい。この場合、当該職員が情報セキュリティ責任者やその他の責任者を兼務してもよい。

22

遵守事項
(6) 情報セキュリティインシデントに備えた体制の整備(a) 最高情報セキュリティ責任者は、CSIRT を整備し、その役割を明確化すること。
(b) 最高情報セキュリティ責任者は、行政事務従事者のうちから CSIRT に属する職員
として専門的な知識又は適性を有すると認められる者を選任すること。そのうち、府省庁における情報セキュリティインシデントに対処するための責任者として
CSIRT 責任者を置くこと。
(c) 最高情報セキュリティ責任者は、情報セキュリティインシデントが発生した際、直ちに自らへの報告が行われる体制を整備すること。
(d) 最高情報セキュリティ責任者は、CYMAT に属する職員を指名すること。

【 基本対策事項 】＜2.1.1(6)(a)関連＞
2.1.1(6)-1 最高情報セキュリティ責任者は、以下を含む CSIRT の役割を規定すること。
a) 報告窓口からの情報セキュリティインシデントの報告の受付b) 情報セキュリティインシデントの最高情報セキュリティ責任者等への報告
c) 内閣官房情報セキュリティセンターへの連絡d) 被害の拡大防止を図るための応急措置の指示又は勧告
2.1.1(6)-2 最高情報セキュリティ責任者は、CSIRT の代表者（PoC（Point of Contact））
を置くこと。
（解説） 遵守事項 2.1.1(6)(a)「CSIRT」について
府省庁の情報システムに対するサイバー攻撃等の情報セキュリティインシデントが発生した際に、当該府省庁が、発生した事案を正確に把握し、被害拡大防止、復旧、再発防止等を迅速かつ的確に行うことを可能とするための機能を有する体制を整備することが必要である。
一般的に、情報セキュリティインシデントの認知時の対処においては、不完全で断片的な情報しかない状況で判断を下し、指示を出して、調査等により状況の解明を進めることとなる。CSIRT は、時々刻々と明らかになる情報を基に、状況を整理し、事態の収束に向けてさらに必要な対応を行い、適切な頻度で幹部に状況を報告する。
 遵守事項 2.1.1(6)(b)「CSIRT に属する職員」について
CSIRT に属する職員は、府省庁における情報セキュリティインシデントを認知した
際、最高情報セキュリティ責任者の指揮の下、これに対処する職員であることから、
最高情報セキュリティ責任者に対して適切に状況を報告し、最高情報セキュリティ責
任者の指示を受け適切に対処できることが必要である。
現場の対処においては、情報セキュリティ、情報システム等に関する知識及び技能を持つ者で、府省庁のネットワーク構成や個別システムの情報システムセキュリティ
23

責任者及び管理者を把握している職員が当たることが望ましい。
また、CSIRT に属する職員には、上述した技術的な対処のほか、発生した情報セキュリティインシデントの影響の大きさによっては、対外的な対応も必要となることか
ら、広報を担当する職員を CSIRT に含めておくことも考えられる。
 遵守事項 2.1.1(6)(b)｢CSIRT 責任者｣について
CSIRT 責任者とは、情報セキュリティインシデントの対処に係る責任者であり、情報セキュリティインシデントに関する全般的な対応が求められる。ただし、重大な情報セキュリティインシデントが生じ、最高情報セキュリティ責任者自らが、情報セキュリティインシデントへ対処する必要があるときには、その指揮監督の下で必要な対応を行うこととなる。
 遵守事項 2.1.1(6)(c)「情報セキュリティインシデントが発生した際、直ちに自らへの報告が行われる体制」について
CSIRT 責任者が情報システムを所管している場合、当該情報システムの情報セキュ
リティインシデントを認知した際、二つの役職が利害相反関係にあることから、最高情報セキュリティ責任者等の幹部に報告を上げない、事実関係の一部しか報告しない、報告を遅らせるなど、管理責任に影響を及ぼすおそれがある。
これを避けるため、例えば、CSIRT 責任者には情報セキュリティ責任者以外の者を充てる、最高情報セキュリティ責任者等の幹部に情報セキュリティインシデントについて報告する役割を別途 CSIRT 責任者以外の者に与えるなどにより、迅速かつ適切な報告経路を確保することが必要である。
 遵守事項 2.1.1(6)(d)「CYMAT に属する職員」について
CYMAT は、府省庁の情報セキュリティに関する知識及び技能を有する職員で構成する体制であり、サイバー攻撃等により支援対象機関で情報セキュリティインシデントを認知した場合であって、政府として一体となった対応が必要となる情報セキュリティインシデントを取り扱う。CYMAT の主な機能は以下のとおりである。
• 発生事象の正確な把握• 被害拡大防止、復旧、再発防止のための技術的な支援及び助言• 対処能力の向上に向けた平時の取組（研修、訓練等の実施）
CYMAT に属する職員には、CYMAT 要員及び CYMAT 研修員がある。CYMAT 要員になるために、セキュリティに関する特定の資格は求めていないものの、情報セキ
ュリティ、情報システム等に関する基礎的な知識を有する者を充てることが望ましい。
また、CYMAT 研修員については、将来 CYMAT 要員になる候補者として活動することが期待される職員で、情報セキュリティ、情報システム等といった分野に関心を持
ち、内閣官房情報セキュリティセンター等が提供する研修に参加し、研さんに励むことができる職員が望ましい。
CYMAT 要員に対しては、内閣官房の併任辞令を発令することで、内閣官房の予算を措置することにより内容の充実した訓練・演習の機会を提供している。また、CYMAT
研修員に対しても研修の機会を提供していることから、府省庁においては、組織内で24

のインシデント・レスポンスに当たる職員の育成という観点からも、CYMAT 要員又はCYMAT 研修員として内閣官房情報セキュリティセンターに登録することが望ましい。
 基本対策事項 2.1.1(6)-2「CSIRT の代表者（PoC（Point of Contact））」について
CSIRT の代表者は、府省庁を含む関係機関と必要に応じて、情報セキュリティイン
シデントに関する情報共有を行うなど、外部窓口の役割を担うことが想定される。

【参考 2.1.1-1】 府省庁の情報セキュリティ体制のイメージ例
府省庁の情報セキュリティ体制のイメージを図 2.1.1-1 に示す。

図 2.1.1-1 府省庁の情報セキュリティ体制のイメージ

25

遵守事項
(7) 兼務を禁止する役割(a) 行政事務従事者は、情報セキュリティ対策の運用において、以下の役割を兼務しないこと。
(ア) 承認又は許可（以下、本項において「承認等」という。
）の申請者と当該承認等を行う者（以下、本項において「承認権限者等」という。）(イ) 監査を受ける者とその監査を実施する者(b) 行政事務従事者は、承認等を申請する場合において、自らが承認権限者等である
ときその他承認権限者等が承認等の可否の判断をすることが不適切と認められるときは、当該承認権限者等の上司又は適切な者に承認等を申請し、承認等を得ること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.1.1(7)(b)「承認権限者等の上司又は適切な者」について承認等の申請において、申請する者と承認する者が同一の場合又は申請する者が承認する者の上司である場合は、手続規定において定められた承認権限者等をもって承認等の可否の判断を行うことは適切とは言えない。
このような場合に対応するために、承認権限者等の上司等をもって承認するなどの手続をあらかじめ定めておく必要がある。
情報セキュリティ責任者等よりも高位の行政事務従事者が承認等を申請する場合においては、例えば、最高情報セキュリティ責任者が当該承認等の判断を行うことが想定される。他方、技術的な事項は、承認権限者等の上司よりも内容を理解している者が可否の判断を行う方が適切な場合もあり、この場合には、本来の承認権限者等が判断してよい。
また、最高情報セキュリティ責任者と同等以上の職位の者が、承認等を申請する場合も想定される。このような場合においても、最高情報セキュリティ責任者が、適切に判断することが考えられる。

26

2.1.2 府省庁対策基準・対策推進計画の策定
目的・趣旨
府省庁の情報セキュリティ水準を適切に維持し、情報セキュリティリスクを総合的に低減させるためには、府省庁として遵守すべき対策の基準を定めるとともに、情報セキュリ
ティに係るリスク評価の結果を踏まえ、計画的に対策を実施することが重要である。

遵守事項(1) 府省庁対策基準の策定(a) 最高情報セキュリティ責任者は、情報セキュリティ委員会における審議を経て、統一基準に準拠した府省庁対策基準を定めること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.1.2(1)(a)「府省庁対策基準」について
府省庁対策基準については、最高情報セキュリティ責任者がこれを定める必要がある。
なお、当該基準の案の策定については、最高情報セキュリティ責任者が指定した者に委任することができる。

27

遵守事項
(2) 対策推進計画の策定(a) 最高情報セキュリティ責任者は、情報セキュリティ委員会における審議を経て、情報セキュリティ対策を総合的に推進するための計画（以下「対策推進計画」という。
）を定めること。また、対策推進計画には、府省庁の業務、取り扱う情報及び保有する情報システムに関するリスク評価の結果を踏まえた全体方針並びに以下に掲げる取組の方針・重点及びその実施時期を含めること。
(ア) 情報セキュリティに関する教育(イ) 情報セキュリティ対策の自己点検(ウ) 情報セキュリティ監査(エ) 情報システムに関する技術的な対策を推進するための取組(オ) 前各号に掲げるもののほか、情報セキュリティ対策に関する重要な取組【 基本対策事項 】規定なし（解説）
 遵守事項 2.1.2(2)(a)「対策推進計画」について対策推進計画は、情報セキュリティ対策に関する一連の取組を対象とした全体計画であり、情報セキュリティ対策に関する取組の全体方針のほか、遵守事項 2.1.2(2)(a)の各号に掲げる情報セキュリティ対策に関する個々の取組について、全体方針に応じた個々の方針や重点、大まかな実施（予定）時期を設定するものである。
対策推進計画は、府省庁が組織として、種々の情報セキュリティ対策を如何なる考
え方や方向性に基づいて進めていくのかといった一連の取組全体の大枠について、最高情報セキュリティ責任者があらかじめ総合的に定めるものであり、個々の取組の実施に当たって詳細計画が必要となる場合は、対策推進計画に則して、それぞれの取組の責任者がその権限の下に詳細計画を策定する。
 遵守事項 2.1.2(2)(a)「リスク評価の結果を踏まえた全体方針」について
情報セキュリティ対策は、情報セキュリティを取り巻く様々な脅威や、組織及び取り扱う情報の特性等を踏まえたリスクの分析・評価を行った上で、対策の方針や優先度を判断し、計画的に推進することが重要である。また、限られた予算や人的資源を最大限に活用して情報セキュリティ対策を推進するためには、対策全体としての方向付けを行った上で個々の対策を実施していくことが必要である。
全体方針としては、例えば、優先的に対応すべき脅威や優先的に対策を講ずるべき対象を設定し、それらへの対応を重点として掲げることが考えられる。
 遵守事項 2.1.2(2)(a)「取組の方針・重点」について遵守事項 2.1.2(2)(a)の各号に掲げる情報セキュリティ対策に関する個々の取組の方
針・重点は、全体方針を踏まえ、例えば、情報セキュリティ対策の教育において、特定の脅威（例：標的型攻撃、サプライチェーン・リスク）、特定の対象（例：業務の内28

容や役職に応じた者）、特定の内容（例：府省庁対策基準の改正点）を掲げることが考えられる。
「情報システムに関する技術的な対策を推進するための 基本対策事項 2.1.2(2)(a)(エ）
取組」について情報システムに関する技術的な対策を推進するための取組としては、高度サイバー
攻撃対処のためのリスク評価等のガイドラインに基づく取組等、政府全体としての取組のほか、各府省庁において独自に推進している技術的な対策を含めることが望ましい。技術的対策には、情報システムを構成する機器等の更新等の投資による対策も含
まれる。

29

2.2

運用

2.2.1 情報セキュリティ関係規程の運用
目的・趣旨
府省庁は、府省庁対策基準に定められた対策を実施するため、具体的な実施手順を定める必要がある。
実施手順が整備されていない、又はそれらの内容に漏れがあると、対策が実施されない
おそれがあることから、最高情報セキュリティ責任者は、統括情報セキュリティ責任者に
実施手順の整備を指示し、その結果について定期的に報告を受け、状況を適確に把握することが重要である。

遵守事項(1) 情報セキュリティ対策に関する実施手順の整備・運用(a) 統括情報セキュリティ責任者は、府省庁における情報セキュリティ対策に関する実施手順を整備（本統一基準で整備すべき者を別に定める場合を除く。）し、実施手順に関する事務を統括し、整備状況について最高情報セキュリティ責任者に報告すること。
(b) 統括情報セキュリティ責任者は、情報セキュリティ対策における雇用の開始、終了及び人事異動時等に関する管理の規定を整備すること。
(c) 情報セキュリティ責任者又は課室情報セキュリティ責任者は、行政事務従事者より情報セキュリティ関係規程に係る課題及び問題点の報告を受けた場合は、統括情報セキュリティ責任者に報告すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.2.1(1)(a)「実施手順を整備（本統一基準で整備すべき者を別に定める場合
を除く。）
」について
統一基準で整備を求めている実施手順は、以下のとおり。
（１）統括情報セキュリティ責任者• 雇用の開始、終了及び人事異動時等の管理に関する規程（遵守事項 2.2.1(1)(b)）• 情報セキュリティインシデントを認知した際の報告窓口を含む府省庁関係者への報告手順(遵守事項 2.2.4(1)(a)）• 情報セキュリティインシデントを認知した際の情報共有を含む対処手順(遵守事項 2.2.4(1)(b)）• 情報の取扱いに関する規定(遵守事項 3.1.1(1)(a)）• 要管理対策区域の対策の基準(遵守事項 3.2.1(1)(b))• 外部委託に係る規定(遵守事項 4.1.1(1)(a))
30

• 約款による外部サービスの利用に関する規定(遵守事項 4.1.2(1)(a)）• ソーシャルメディアサービスに関する運用手順(遵守事項 4.1.3(1)(a))• 機器等の調達に係る選定基準(遵守事項 5.1.2(1)(a)）• 機器等の納入時の確認・検査手続(遵守事項 5.1.2(1)(b))• アプリケーション・コンテンツの提供時に府省庁外の情報セキュリティ水準の低下を招く行為を防止するための規定(遵守事項 6.3.1(1)(a)）• 府省庁の情報システムの利用のうち、情報セキュリティに関する規定(遵守事項
8.1.1(1)(a)）• 要管理対策区域外で情報処理を行う際の安全管理措置に関する規定及び許可手
続（遵守事項 8.1.1(1)(b)）• USB メモリ等の外部電磁的記録媒体を用いた情報の取扱いに関する利用手順(遵守事項 8.1.1(1)(c)）• 府省庁支給以外の端末により情報処理を行う場合の許可等の手続に関する手順（遵守事項 8.2.1(1)(a)）• 府省庁支給以外の端末により情報処理を行う場合の安全管理措置に関する規定(遵守事項 8.1.1(1)(b)）（２）その他の者が定めるもの• 最高情報セキュリティ責任者• 例外措置の適用の申請を審査する者及び審査手続（遵守事項 2.2.2(1)(a)）• 情報セキュリティ責任者• 行政事務従事者ごとの自己点検票及び自己点検の実施手順(遵守事項 2.3.1(1)(b)）• 情報システムセキュリティ責任者• 情報セキュリティ対策を実施するために必要な文書（遵守事項 5.1.1(2)(a)）• 情報システムで使用する暗号等のアルゴリズム及び運用方法(遵守事項
6.1.5(1)(b)）• 通信回線装置が動作するために必要なソフトウェアを定め、ソフトウェアを変更する際の許可申請手順(遵守事項 7.3.1(1)(i)）
 遵守事項 2.2.1(1)(a)「実施手順に関する事務を統括」について
統括情報セキュリティ責任者は、府省庁における情報セキュリティ対策に関する実
施手順について、監査結果を通じて、府省庁対策基準に従って整備されていないことを把握した場合には、整備すべき者に対して指導することが想定される。
また、統括情報セキュリティ責任者は、情報セキュリティ関係規程について自己点検や監査の結果、例外措置の申請状況等を通じ、課題又は問題点について把握し得ることから、実施手順の整備主体が、特定の部門の情報セキュリティ責任者に係るものであったとしても、同種の課題又は問題点の有無を他の部局等に確認することも想定
される。

31

遵守事項
(2) 違反への対処(a) 行政事務従事者は、情報セキュリティ関係規程への重大な違反を知った場合は、情報セキュリティ責任者にその旨を報告すること。
(b) 情報セキュリティ責任者は、情報セキュリティ関係規程への重大な違反の報告を受けた場合及び自らが重大な違反を知った場合には、違反者及び必要な者に情報セキュリティの維持に必要な措置を講じさせるとともに、統括情報セキュリティ責任者を通じて、最高情報セキュリティ責任者に報告すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.2.1(2)(a)「情報セキュリティ責任者にその旨を報告する」について
府省庁において情報セキュリティを継続的に維持するために、重大な違反を確実に捕捉するための事項である。一般的に、府省庁においては、違反を知った者はこれを報告する義務が課されており、情報セキュリティ関係規程への違反においては、各規定の実施に責任を持つ情報セキュリティ責任者に報告することとなる。
なお、行政事務従事者は、自ら違反した場合に限らず、他の行政事務従事者が違反している場合においても、迅速な是正措置を促す理由から、当該行政事務従事者への助言に加えて情報セキュリティ責任者に報告するなど適切に対応することが求められる。
 遵守事項 2.2.1(2)(b)「情報セキュリティ関係規程への重大な違反」について
情報セキュリティ関係規程への重大な違反とは、当該違反により府省庁の業務に重大な支障をきたすもの又はその可能性のあるものをいう。例えば、機密性の極めて高い情報を保存した端末を、許可無く要管理対策区域外に持ち出し、それを紛失し、情報の漏えいが発生し、行政事務の遂行に著しく支障を来してしまった場合等が考えられる。
情報セキュリティ責任者は、府省庁において情報セキュリティを継続的に維持するために、重大な違反を確実に捕捉し、被害の未然防止又は拡大防止のための措置を適切に講じさせるとともに、再発防止に関する取組を進めることが求められる。
 遵守事項 2.2.1(2)(b)「違反者及び必要な者」について
情報セキュリティ関係規程への重大な違反があった場合には、違反者自身が対策を講ずることは当然であるが、それ以外の「必要な者」として措置を義務付けられるのは、情報システムセキュリティ責任者、課室情報セキュリティ責任者及び区域情報セ
キュリティ責任者等の当該規程の実施に責任を有する者が挙げられる。情報システムの運用者や担当者、委託先等とも協力し、情報セキュリティを維持するために必要な措置を講ずる必要がある。

32

 遵守事項 2.2.1(2)(b)「情報セキュリティの維持に必要な措置」について重大な違反により、情報が漏えい、滅失、き損し又は情報システムの利用に支障を来した場合、早期解決、拡大防止等の対処を行う。拡大防止としては、情報セキュリ
ティ関係規程について再周知の徹底が考えられる。
 遵守事項 2.2.1(2)(b)「最高情報セキュリティ責任者に報告する」について報告を受けた最高情報セキュリティ責任者は、その内容、結果、業務への影響、社会的評価等を確認し、府省庁全体として再発防止を徹底するなど、適切に対応する必要がある。
また、統括情報セキュリティ責任者は、同様の違反が多発している可能性の有無を考慮し、違反の原因について分析し、必要に応じて情報セキュリティ関係規程の見直しを含めた対策を検討する必要がある。

33

2.2.2 例外措置
目的・趣旨
情報セキュリティ関係規程の適用が行政事務の適正な遂行を著しく妨げるなどの理由により、規定された対策の内容と異なる代替の方法を採用すること又は規定された対策を実施しないことを認めざるを得ない場合がある。このような場合に対処するために、例外措置の手続を定めておく必要がある。

遵守事項(1) 例外措置手続の整備(a) 最高情報セキュリティ責任者は、例外措置の適用の申請を審査する者（以下「許可権限者」という。
）及び、審査手続を定めること。
(b) 統括情報セキュリティ責任者は、例外措置の適用審査記録の台帳を整備し、許可権限者に対して、定期的に申請状況の報告を求めること。

【 基本対策事項 】＜2.2.2(1)(a)関連＞
2.2.2(1)-1 最高情報セキュリティ責任者は、例外措置について以下を含む手順を定めること。
a) 例外措置の許可権限者b) 事前申請の原則その他の申請方法
c) 審査項目その他の審査方法• 申請者の情報（氏名、所属、連絡先）• 例外措置の適用を申請する情報セキュリティ関係規程の該当箇所（規程名と条項等）• 例外措置の適用を申請する期間• 例外措置の適用を申請する措置内容（講ずる代替手段等）• 例外措置により生じる情報セキュリティ上の影響と対処方法• 例外措置の適用を終了した旨の報告方法• 例外措置の適用を申請する理由＜2.2.2(1)(b)関連＞
2.2.2(1)-2 許可権限者は、例外措置の適用審査記録に以下の内容を記載し、適用審査記録の台帳として保管するとともに、統括情報セキュリティ責任者へ定期的に報告すること。
a) 審査した者の情報（氏名、役割名、所属、連絡先）
b) 申請内容• 申請者の情報（氏名、所属、連絡先）• 例外措置の適用を申請する情報セキュリティ関係規程の該当箇所（規程名
と条項等）
34

• 例外措置の適用を申請する期間• 例外措置の適用を申請する措置内容（講ずる代替手段等）• 例外措置の適用を終了した旨の報告方法• 例外措置の適用を申請する理由
c) 審査結果の内容• 許可又は不許可の別• 許可又は不許可の理由• 例外措置の適用を許可した情報セキュリティ関係規程の該当箇所（規程名と条項等）• 例外措置の適用を許可した期間• 許可した措置内容（講ずるべき代替手段等）• 例外措置を終了した旨の報告方法（解説） 遵守事項 2.2.2(1)(a)「例外措置の適用の申請を審査する者」について例外措置の適用の申請を受けた際に審査を遅滞なく実施できるように、許可権限者
を定め、審査手続を整備しておく必要がある。特に緊急を要して申請される場合は、遂行に不要の遅滞を生じさせずに審査を速やかに実施しなければならない。そのため、申請の内容に応じ、許可権限者を定めておくことが重要である。許可権者としては、
最高情報セキュリティ責任者、統括情報セキュリティ責任者、情報セキュリティ責任者、情報システムセキュリティ責任者、情報システムセキュリティ管理者又は課室情報セキュリティ責任者等を充てることが想定される。

35

遵守事項
(2) 例外措置の運用(a) 行政事務従事者は、定められた審査手続に従い、許可権限者に規定の例外措置の適用を申請すること。ただし、行政事務の遂行に緊急を要し、当該規定の趣旨を充分尊重した扱いを取ることができる場合であって、情報セキュリティ関係規程の規定とは異なる代替の方法を直ちに採用すること又は規定されている方法を実施しないことが不可避のときは、事後速やかに届け出ること。
(b) 許可権限者は、行政事務従事者による例外措置の適用の申請を、定められた審査手続に従って審査し、許可の可否を決定すること。
(c) 許可権限者は、例外措置の申請状況を台帳に記録し、統括情報セキュリティ責任者に報告すること。
(d) 統括情報セキュリティ責任者は、例外措置の申請状況を踏まえた情報セキュリテ
ィ関係規程の追加又は見直しの検討を行い、最高情報セキュリティ責任者に報告すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.2.2(2)(a)「例外措置の適用を申請」について
行政事務従事者は、定められた審査手続に従い例外措置の適用を申請し、許可を得てから例外措置を講ずることが原則であるが、行政事務の遂行に緊急を要するなどの場合であって、情報セキュリティ関係規程の規定内容とは異なる代替の方法を直ちに採用すること又は規定された対策を実施しないことが不可避のときは、事後速やかに届け出ることが必要である。
行政事務従事者は、例外措置の適用を希望する場合には、当該例外措置を適用したときの情報セキュリティ上の影響を検討、分析する必要がある。その上で、例外措置の適用が必要であると判断した場合は、その影響を低減させるための補完措置を提案
し、適用の申請を行う必要がある。
 遵守事項 2.2.2(2)(b)「例外措置の適用の申請」
・「審査」について許可権限者は、例外措置の適用の申請を適切に審査しなければならない。審査に当たっては、例外措置の適用を許可した場合の情報セキュリティ上の影響と、不許可とした場合の行政事務遂行等への影響を評価した上で、その判断を行う必要がある。
例外措置の適用期間が長期にわたる場合等においては、例外措置の実施によるリス
クが変化する可能性を踏まえ、定期的に当該措置の適用状況等を許可権限者において把握することも重要である。
 遵守事項 2.2.2(2)(c)「統括情報セキュリティ責任者に報告」について
統括情報セキュリティ責任者は、許可権限者から例外措置の適用状況の報告を受ける。これは、遵守事項 2.2.2(2)(d)で情報セキュリティ関係規程の追加又は見直しの検討
36

を行うためである。
 遵守事項 2.2.2(2)(d)「情報セキュリティ関係規程の追加又は見直しの検討」について例外措置の適用が多い状況は、例外とはみなせないと考えるべきである。その場合には、代替手段の導入を含め、情報セキュリティ関係規程の見直しを検討する必要がある。

37

2.2.3 教育
目的・趣旨
情報セキュリティ関係規程が適切に整備されているとしても、その内容が行政事務従事者に周知されず、これが遵守されない場合には、情報セキュリティ水準の向上を望むことはできない。このため、全ての行政事務従事者が、情報セキュリティの教育を通じ、情報セキュリティ関係規程への理解を深め、情報セキュリティ対策を適切に実施することが求
められる。

遵守事項
(1) 教育体制等の整備(a) 統括情報セキュリティ責任者は、情報セキュリティ対策に係る教育について、対策推進計画に基づき教育実施計画を策定し、その実施体制を整備すること。

【 基本対策事項 】＜2.2.3(1)(a)関連＞
2.2.3(1)-1 統括情報セキュリティ責任者は、行政事務従事者の役割に応じて教育すべき内容を検討し、教育のための資料を整備すること。
2.2.3(1)-2 統括情報セキュリティ責任者は、行政事務従事者が毎年度最低１回は教育を受講できるように、教育実施計画を立案するとともに、その実施体制を整備すること。
2.2.3(1)-3 統括情報セキュリティ責任者は、行政事務従事者の着任又は異動後に、３か月以内に受講できるように、その実施体制を整備すること。
（解説）
 基本対策事項 2.2.3(1)-1「教育すべき内容を検討」について教育の内容については、府省庁の実状や情報セキュリティインシデントの発生状況
等、情報セキュリティ環境の変化等を踏まえ、幅広い角度から検討する必要がある。
また、行政事務従事者が、対策内容を十分に理解できるものとする必要があり、そのためには、網羅的な資料ではなく、理解しておくべき事項に制限した資料を教育に用いるべきである。例えば、情報セキュリティ関係規程の教育資料の作成においては、遵守事項を遵守すべき者ごとに整理し、行政事務従事者が遵守する必要のない事項は、含まないように配慮すべきである。
なお、ウェブサイトの閲覧に係るログが取得されており、必要に応じて当該ログを調査することがあること等について行政事務従事者に周知することで、違反の抑止効
果が期待できることから、そのような事項についても教育内容に含めることも考えられる。
また、
情報セキュリティ関係部署の者や CYMAT 及び CSIRT に属する職員に対して、
情報セキュリティに関する知識及び技能を向上させるため、研修及び実務を模擬した
38

訓練を実施することも有効である。訓練内容や実施結果の評価等については、最高情報セキュリティアドバイザーの助言を受けることも有用である。より高度な技能の習得や将来的な脅威への対応等を求めた訓練を実施する場所等においては、外部の専門事業者に委託することにより訓練を実施してもよい。
 基本対策事項 2.2.3(1)-2「行政事務従事者が毎年度最低１回は教育を受講」について対策推進計画に基づき、対象者、手段及び実施時期等の教育実施計画を定める。
教育実施計画の策定に当たっては、政府機関の統一研修プログラムや e-learning 等の活用を含め、効率性や受講のしやすさにも配慮する必要がある。
また、教育実施計画には、情報セキュリティ担当者、CYMAT 及び CSIRT に属する職員の人材育成にも配慮し、策定する必要がある。
 基本対策事項 2.2.3(1)-3「3 か月以内に受講」について
着任、異動した行政事務従事者に対しては、早期に情報セキュリティ対策の教育を受講させることも有益であり、着任後 3 か月以内には受講させるべきである。ただし、異動した後に使用する情報システムが、異動前と変わらないなど、教育をしないことについて合理的な理由がある場合は、対象から除外しても差し支えない。

39

遵守事項
(2) 教育の実施(a) 課室情報セキュリティ責任者は、行政事務従事者に対して、情報セキュリティ関
係規程に係る教育を適切に受講させること。
(b) 行政事務従事者は、教育実施計画に従って、適切な時期に教育を受講すること。
(c) 課室情報セキュリティ責任者は、CYMAT 及び CSIRT に属する職員に教育を適切に受講させること。
(d) 統括情報セキュリティ責任者は、最高情報セキュリティ責任者に情報セキュリテ
ィ対策に関する教育の実施状況について報告すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.2.3(2)(a)「適切に受講」について
課室情報セキュリティ責任者は、行政事務従事者に情報セキュリティ対策の教育を受講させる責務があり、行政事務従事者に対して教育の実施を周知するとともに、教育を受講しない者に対して受講を勧告するほか、受講状況を把握するなどして、積極的に受講を促すこと等が求められる。また、受講時間を確保するなどの行政事務従事者が受講できるための環境を整備するなどの配慮も必要である。
 遵守事項 2.2.3(2)(b)「適切な時期に教育を受講」について
行政事務従事者は、教育実施計画に従って、毎年度最低 1 回は、教育を受講することを求められる。
着任時又は異動時の場合には、新しい職場等で、情報セキュリティ対策の教育の受講方法について課室情報セキュリティ責任者に確認することも求められる。
 遵守事項 2.2.3(2)(c)「CYMAT 及び CSIRT に属する職員に教育を適切に受講」についてサイバー攻撃等の情報セキュリティに対する脅威が増大している状況を踏まえ、政府機関が一体となって対処することを目的に CYMAT が発足したほか、情報セキュリ
ティインシデントに迅速かつ適切に対処するための組織として府省庁に CSIRT が整備されている。これらに属する職員への教育も、その責務に照らすと極めて重要である。

40

2.2.4 情報セキュリティインシデントへの対処
目的・趣旨
情報セキュリティインシデントを認知した場合には、最高情報セキュリティ責任者に早急にその状況を報告するとともに、被害の拡大を防ぎ、回復のための対策を講ずる必要がある。また、情報セキュリティインシデントの対処が完了した段階においては、原因について調査するなどにより、情報セキュリティインシデントの経験から今後に生かすべき教訓を導き出し、再発防止や対処手順、体制等の見直しにつなげることが重要である。

遵守事項(1) 情報セキュリティインシデントに備えた事前準備(a) 統括情報セキュリティ責任者は、情報セキュリティインシデントを認知した際の報告窓口を含む府省庁関係者への報告手順を整備し、行政事務従事者に周知すること。
(b) 統括情報セキュリティ責任者は、情報セキュリティインシデントを認知した際の府省庁外との情報共有を含む対処手順を整備すること。
(c) 統括情報セキュリティ責任者は、情報セキュリティインシデントに備え、行政事務の遂行のため特に重要と認めた情報システムについて、緊急連絡先、連絡手段、連絡内容を含む緊急連絡網を整備すること。
(d) 統括情報セキュリティ責任者は、情報セキュリティインシデントへの対処の訓練の必要性を検討し、行政事務の遂行のため特に重要と認めた情報システムについて、その訓練の内容及び体制を整備すること。
(e) 統括情報セキュリティ責任者は、情報セキュリティインシデントについて府省庁外の者から報告を受けるための窓口を整備し、その窓口への連絡手段を府省庁外の者に周知すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.2.4(1)(a)「報告手順」について
報告手順として明記すべき事項としては、情報セキュリティインシデントが認知さされてから最高情報セキュリティ責任者に報告するまでの具体的な手順等が考えられる。
また、情報セキュリティインシデントの報告を集約するための窓口については、報告手順の中で明らかにしておくほか、情報セキュリティ対策の教育の中で周知する、窓口の連絡先を執務室内に掲示するなどして、緊急時に行政事務従事者が速やかに報告できるようにする必要がある。
窓口は、情報セキュリティ対策に関する事務を総括する部門に設置することが考えられるが、別の部門に窓口を設ける場合は、当該部門から情報セキュリティインシデ
41

ントに関係する部門への連絡や情報セキュリティ対策に関する事務を総括する部門への報告が速やかに実施される体制にすることが望ましい。
 遵守事項 2.2.4(1)(b)「対処手順」について対処手順として情報セキュリティインシデントの認知時において緊急を要する対処
等の必要性に備えて、通常とは異なる例外的な承認手続を定めておくことも併せて検討する必要がある。対処する者に、ある程度の権限の委任がされないと、適切な措置に遅延等が発生することが予想されるため、そのようなことがないよう検討すること。
 遵守事項 2.2.4(1)(c)「緊急連絡網」について
統括情報セキュリティ責任者は、通常時の全ての情報セキュリティ関連の責任者及び管理者の連絡網の整備に加えて、情報セキュリティインシデントを認知した場合に速やかに対処するための「緊急連絡網」を整備する必要がある。
緊急連絡網には、該当する行政事務従事者の自宅や携帯電話の番号等の個人情報が含まれることも想定される。また、緊急連絡網には当該システムに係る責任者及び管理者のほか、重大な情報セキュリティインシデントに備えて最高情報セキュリティ責
任者も含める必要がある。
 遵守事項 2.2.4(1)(d)「訓練の内容及び体制を整備」について実際に情報セキュリティインシデントへの対処を模擬的に行うことにより、対処能力を向上させるために実施する訓練の内容及び体制の整備を求める事項である。
訓練には、情報システム部門だけでなく、情報セキュリティインシデントの報告窓口となる部門や情報セキュリティ対策に関する事務を総括する部門も参加することが望ましい。この場合、情報セキュリティインシデントの報告窓口となる部門や情報セ
キュリティ対策に関する事務を総括する部門では、情報セキュリティインシデントへの専門的な対処を行う必要があり、必要となる知識もより高度になることから、情報
セキュリティインシデントの対処に関する教育を受講したり、外部から情報セキュリ
ティに関する情報を適宜収集したりする必要がある。
なお、あらかじめ統括情報セキュリティ責任者が認めた場合には、統括情報セキュ
リティ責任者が指定した者に当該訓練の内容及び体制を整備させることも考えられる。
その際には、統括情報セキュリティ責任者は、指定した者より適宜報告を受けることが望ましい。
 遵守事項 2.2.4(1)(e)「府省庁外の者から報告を受ける」について
府省庁における情報セキュリティ対策の不備について外部の者が発見し、報告した
場合等、府省庁外の者に対して、関連業務に支障を生じさせたり、情報セキュリティ
上の脅威を与えたりした際に、その連絡を府省庁外の者から受ける体制についても整備し、連絡先を府省庁外の者に周知する必要がある。

42

遵守事項
(2) 情報セキュリティインシデントの認知時における報告・対処(a) 行政事務従事者は、情報セキュリティインシデントを認知した場合には、府省庁の報告窓口に報告し、指示に従うこと。
(b) CSIRT 責任者は、情報セキュリティインシデントを認知した場合にはその状況を確認し、情報セキュリティインシデントについて最高情報セキュリティ責任者に速やかに報告すること。
(c) CSIRT は、認知した情報セキュリティインシデントに関係する情報セキュリティ
責任者に対し、被害の拡大防止等を図るための応急措置の実施及び情報セキュリティインシデントからの復旧に係る指示又は勧告を行うこと。
(d) 情報システムセキュリティ責任者は、所管する情報システムについて情報セキュ
リティインシデントを認知した場合には、府省庁で定められた対処手順又は CSIRTの指示若しくは勧告に従って、適切に対処すること。
(e) 情報システムセキュリティ責任者は、認知した情報セキュリティインシデントが複数の府省庁で共通的に使用する情報システム（一府省庁でハードウェアからアプ
リケーションまで管理・運用している情報システムを除く。以下「基盤となる情報システム」という。
）に関するものであり、当該基盤となる情報システムの情報セキュリティ対策に係る運用管理規程等が定められている場合には、当該運用管理規程
等に従い、適切に対処すること。
(f) CSIRT は、府省庁の情報システムについて、情報セキュリティインシデントを認知した場合には、当該事象について速やかに、内閣官房情報セキュリティセンター
に連絡すること。また、認知した情報セキュリティインシデントがサイバー攻撃又はそのおそれのあるものである場合には、当該情報セキュリティインシデントの内容に応じ、警察への通報・連絡等を行うこと。さらに、国民の生活、身体、財産若
しくは国土に重大な被害が生じ、若しくは生じるおそれのある大規模サイバー攻撃
事態等においては、「大規模サイバー攻撃等への初動対処について（平成 22 年 3 月
19 日内閣危機管理監決裁）」に基づく報告も行うこと。
(g) CSIRT は、情報セキュリティインシデントに関して、府省庁を含む関係機関と情報共有を行うこと。
(h) CSIRT は、CYMAT の支援を受ける場合には、支援を受けるに当たって必要な情報提供を行うこと。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.2.4(2)(a)「報告窓口に報告」について
報告窓口は CSIRT が担うことが望ましいが、別途の窓口を設ける場合には、CSIRTとの連携が円滑に行われるよう連絡体制を整備する必要がある。報告窓口に報告する
内容には、情報セキュリティインシデントの防止策を無効化したり、すり抜けられた43

りすることにより、被害に至らないまでも蓋然性が高まった状態も含まれる。例えば、機密性の高い情報を保存したモバイル端末の所在が不明であるが、紛失したことや盗難されたことが確定的でない状況や、平時の情報システムの利用において確認されないはずのエラーメッセージが端末に表示されるなどが想定される。
 遵守事項 2.2.4(2)(b)「最高情報セキュリティ責任者に速やかに報告」について
情報セキュリティインシデントの性質上、全ての状況が判然とするまでに時間がかかるものであるため、一度の報告で完了することはまれである。例えば、未確定情報を含んだ状態で第一報として報告し、その後に第二報、第三報と続けるような、適切な頻度で報告内容を更新する報告運用が望ましい。その場合、何が確定し、何が未確定であるのかを明らかにすることが望ましい。全ての情報が確定するまで待って報告を遅らせるようなことは、あってはならない。
 遵守事項 2.2.4(2)(c)「指示又は勧告を行う」について応急措置や復旧に当たっては、情報セキュリティインシデントが発生した情報シス
テムの停止又は隔離について、CSIRT 責任者の判断で指示又は勧告をする。この場合には、情報セキュリティを推進する部局が CSIRT 責任者の指示又は勧告を支援することが望ましい。
 遵守事項 2.2.4(2)(f)「内閣官房情報セキュリティセンターに連絡」について
内閣官房情報セキュリティセンターへの連絡内容としては、以下が考えられる。
• 情報セキュリティインシデントが発生した部署• 報道発表及び報道の有無• 他部署への被害波及の可能性• 業務への影響• 発生日時とその内容• 復旧状況及び復旧見込み
 遵守事項 2.2.4(2)(f)「サイバー攻撃又はそのおそれのあるもの」について
サイバー攻撃の例としては、不正侵入、改ざん、不正コマンド実行、情報かく乱、ウイルス攻撃、サービス不能攻撃等が挙げられる。また、「そのおそれのあるもの」とは、明らかなサイバー攻撃の痕跡が発見されていなくても、単なる機器の故障や操作上の誤りではなく、サイバー攻撃により発生した情報セキュリティインシデントであることが疑われる場合のことである。
 遵守事項 2.2.4(2)(f)「情報セキュリティインシデントの内容に応じ」について
サイバー攻撃又はそのおそれがある情報セキュリティインシデントを認知した場合
で、当該インシデントが犯罪に該当するときには、警察への通報・連絡等を求めるものである。明らかなサイバー攻撃に限らず、そのおそれがある場合についても、被害拡大の防止の観点から、可能な限り速やかな通報等を行うことが望ましい。
 遵守事項 2.2.4(2)(f)「警察への通報・連絡等」について「通報・連絡等」の内容としては、相談、届出、告訴又は告発を想定している。
44

サイバー攻撃又はそのおそれがある情報セキュリティインシデントが発生した場合、当該サイバー攻撃等による被害の拡大を防止するとともに、攻撃者を追跡するため、警察が的確に初動措置を講ずる必要があることから、可能な限り速やかな通報・連絡等を求めている。
なお、その通報先は、各都道府県警察のサイバー攻撃対策部門であり、具体的には、警視庁では公安部公安総務課、道府県警察では警備部のサイバー攻撃対策担当課である。また、警察への通報に関する質問等については、警察庁警備局警備企画課において受け付けている。
 遵守事項 2.2.4(2)(g)「情報共有を行う」について「（解説）基本対策事項 2.1.1(6)-2「CSIRT の代表者（PoC）」について」を参照のこと。また、情報共有の枠組みとしては、「政府におけるサイバー攻撃等への対処態勢の強化について」（平成 22 年 12 月 27 日情報セキュリティ対策推進会議・危機管理関係
省庁連絡会議合同会議申合せ）において、「各府省庁は、その業務において得たサイバ
ー攻撃に係る情報を、可能な限り速やかに内閣官房情報セキュリティセンターに連絡する。また、内閣官房情報セキュリティセンターは、収集・集約された情報をサイバー攻撃に対する初動対処、被害の拡大防止及び再発防止に活用するため、情報連絡を行った府省庁の同意を得た上で、各府省庁に対して積極的な情報提供を行う」と記載
している。

45

遵守事項
(3) 情報セキュリティインシデントの原因調査・再発防止(a) 情報セキュリティ責任者は、CSIRT の指示を受けた場合は、当該指示又は勧告を踏まえ、情報セキュリティインシデントの原因を調査するとともに再発防止策を検討し、それを報告書として最高情報セキュリティ責任者に報告すること。
(b) 最高情報セキュリティ責任者は、情報セキュリティ責任者から情報セキュリティ
インシデントについての報告を受けた場合には、その内容を確認し、再発防止策を実施するために必要な措置を指示すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.2.4(3)(a)「再発防止策を検討」について
一般に、再発防止策を定めるには、十分な原因調査を行い、どのような要素が絡んで情報セキュリティインシデントに至ったのか、因果関係を明らかにした上で、原因から情報セキュリティインシデントの発生段階の間で、因果関係の進行を断ち切るための防護策を複数検討し、講ずることが有効である。また、対策については、情報セ
キュリティインシデントが発生したシステム単独で講ずるよりも、他のシステムにも同様に展開することにより（水平展開）、類似事案の発生を組織全体にわたって食い止めることが可能となる。
なお、水平展開については、自らの組織の再発防止策に限らず、他組織の事案を参照することにより、事後対処よりも先んじた未然防止が可能となり、対応コストの低減も期待される。
さらに、再発防止策は、情報システムの利用手順で対策する方法及び情報システム
への情報セキュリティ機能の実装による対策を情報システムセキュリティ責任者へ求める方法の両面から検討し、必要な対策を定めて実施する必要がある。情報システム
への情報セキュリティ機能の実装には一定の時間を要することも考えられることから、利用手順による対策を暫定的に実施し、その後、機能追加により本格的な対策を行うなど段階的な実施も考慮する必要がある。
 遵守事項 2.2.4(3)(b)「再発防止策を実施するために必要な措置」について
最高情報セキュリティ責任者は、情報セキュリティインシデントの再発防止策の報告を受けた場合は、その内容を確認する必要がある。
情報システムへの情報セキュリティ機能の実装等計画的に実施する必要がある再発防止策については、対策推進計画に反映させるなどして、適切に実施させるよう取組を推進することが求められる。また、府省庁全体として再発防止策を講ずることが有効と想定される場合は、府省庁全体での取組を進めることも求められる。

46

2.3

点検

2.3.1 情報セキュリティ対策の自己点検
目的・趣旨
情報セキュリティ対策の実効性を担保するためには、情報セキュリティ関係規程の遵守状況等を点検し、その結果を把握・分析することが必要である。
自己点検は、行政事務従事者が自らの役割に応じて実施すべき対策事項を実際に実施しているかどうかを確認するだけではなく、組織全体の情報セキュリティ水準を確認する目
的もあることから、適切に実施することが重要である。
また、自己点検の結果を踏まえ、各当事者は、それぞれの役割の責任範囲において、必要となる改善策を実施する必要がある。

遵守事項(1) 自己点検計画の策定・手順の準備(a) 統括情報セキュリティ責任者は、対策推進計画に基づき年度自己点検計画を策定すること。
(b) 情報セキュリティ責任者は、行政事務従事者ごとの自己点検票及び自己点検の実
施手順を整備すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.3.1(1)(a)「年度自己点検計画を策定」について点検を実施するに当たり、対策推進計画に基づき適切に実施するため、実施頻度、
実施時期、確認及び評価の方法や自己点検項目等を定めた年度自己点検計画を策定することが求められる。
自己点検項目の選定に当たっては、前年度に情報セキュリティインシデントが発生した事案や、前年度の自己点検実施率が低かった遵守事項等、様々な選択肢が考えられる。
 遵守事項 2.3.1(1)(b)「自己点検票」について
各行政事務従事者が自己点検を実施するに当たっては、各自の業務における情報の取扱方法や、実施すべき情報セキュリティ対策上の役割が異なるため、それぞれの職
務内容に即した自己点検票が必要となる。そのため、情報セキュリティ責任者は、行政事務従事者ごとの自己点検票を作成するとともに、自己点検の正確性を高めるために詳細な実施手順を準備することが重要である。

47

遵守事項
(2) 自己点検の実施(a) 情報セキュリティ責任者は、年度自己点検計画に基づき、行政事務従事者に自己点検の実施を指示すること。
(b) 行政事務従事者は、情報セキュリティ責任者から指示された自己点検票及び自己点検の手順を用いて自己点検を実施すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.3.1(2)(a)「行政事務従事者」について
本規定における「行政事務従事者」は、一般の職員以外に情報セキュリティ責任者、
課室情報セキュリティ責任者及び情報システムセキュリティ責任者等、情報セキュリ
ティ対策の体制ごとの責任者を含む。具体的にどの責任者を対象に自己点検を実施す
るかについては、年度自己点検計画で策定する。
情報セキュリティ責任者や課室情報セキュリティ責任者は、所管する組織の情報セ
キュリティ対策について、情報システムセキュリティ責任者（管理者）は、所管する
情報システムについて、区域情報セキュリティ責任者は、所管する区域における情報
セキュリティ対策について実施するなど、役割に応じて異なることに留意が必要である。
情報システムセキュリティ責任者（管理者）の点検は、情報システムに係る各種対策等の実施状況等の点検を行う。
なお、例えば、ソフトウェアの脆弱性への対処状況の点検であれば、セキュリティ
パッチや不正プログラム定義ファイルの更新状況を把握したり、実際の文書を確認したりすることで実施状況を把握するなど、代替方法を採用してもよい。情報システム
セキュリティ責任者（管理者）は、当然ながら、点検結果について、情報セキュリテ
ィ責任者に報告しなければならない。
 遵守事項 2.3.1(2)(a)「自己点検の実施」について
自己点検は、年に２度以上の頻度で実施することが望ましい。例えば、情報システ
ム部門に対しては、毎月実施し、それ以外の部門に対しては、半年に一度の頻度で実施するなどが考えられる。

48

遵守事項
(3) 自己点検結果の評価・改善(a) 統括情報セキュリティ責任者及び情報セキュリティ責任者は、行政事務従事者による自己点検結果を分析し、評価すること。統括情報セキュリティ責任者は評価結果を最高情報セキュリティ責任者に報告すること。
(b) 最高情報セキュリティ責任者は、自己点検結果を全体として評価し、自己点検の結果により明らかになった問題点について、統括情報セキュリティ責任者及び情報
セキュリティ責任者に改善を指示すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.3.1(3)(b)「自己点検結果を全体として評価」について
行政事務従事者による自己点検の結果については、情報セキュリティ責任者が評価し、さらに、情報セキュリティ責任者の自己点検の結果を統括情報セキュリティ責任者が評価する。
評価においては、自己点検が正しく行われていること、府省庁対策基準に準拠していること、改善すべき事項が改善されていること、対策が有効であること等を評価する。この自己点検の評価においても、数値評価を中心とし、客観性を持った評価とすることが望ましい。例えば、自己点検実施率（対策実施数／自己点検回答数）等の把握が挙げられる。

49

2.3.2 情報セキュリティ監査
目的・趣旨
情報セキュリティ対策の実効性を担保するためには、情報セキュリティ対策を実施する者による自己点検だけでなく、独立性を有する者による情報セキュリティ対策の監査を実施することが必要である。
また、監査の結果で明らかになった課題を踏まえ、最高情報セキュリティ責任者は、情報セキュリティ責任者に指示し、必要な対策を講じさせることが重要である。

遵守事項(1) 監査実施計画の策定(a) 情報セキュリティ監査責任者は、対策推進計画に基づき監査実施計画を定めること。
(b) 情報セキュリティ監査責任者は、情報セキュリティの状況の変化に応じ、対策推進計画で計画された以外の監査の実施の指示を、最高情報セキュリティ責任者から受けた場合には、追加の監査実施計画を定めること。

【 基本対策事項 】＜2.3.2(1)(a)関連＞
2.3.2(1)-1 情報セキュリティ監査責任者は、対策推進計画に基づき、以下を例とする監査実施計画を策定すること。
a) 監査の目的（例：自己点検の適切性を監査すること等）b) 監査の対象（例：監査の対象となる組織、情報システム、業務等）
c) 監査の方法（例：自己点検結果を検証するため、査閲、点検、観察、ヒアリン
グ等を行う。監査の基準は、府省庁対策基準及び実施手順とする）
d) 監査の実施体制（例：監査責任者、監査実施者の所属、氏名）e) 監査の実施時期（例：対象ごとの実施時期）（解説） 遵守事項 2.3.2(1)(a)「対策推進計画に基づき監査実施計画を定める」について遵守事項 2.1.2(2)(a)に規定する対策推進計画には、監査の基本的な方針として、重点とする監査の対象及び目標（今年度の監査でどのような部分を重視するかを明確にする）・監査の実施時期・監査業務の管理体制等を簡潔に記載することを想定している。
監査の基本的な方針の案は、情報セキュリティ監査責任者が作成することを想定している。また、情報セキュリティ監査責任者は、対策推進計画に基づき、個別の監査実
施計画を策定し、監査を実施する。
 遵守事項 2.3.2(1)(b)「追加の監査実施計画を定める」について
最高情報セキュリティ責任者は、府省庁内外における注目すべき情報セキュリティ50インシデントが発生した場合又は情報セキュリティ対策の実施内容に重大な変更が生じた場合等において、府省庁の実態を把握するため、追加的に監査の実施を求めることが想定される。この監査の実施の指示を受けた場合、情報セキュリティ監査責任者
は、対策推進計画に基づき策定した監査実施計画のほかに、当該指示に係る監査実施計画を策定することとしている。
 基本対策事項 2.3.2(1)-1「監査実施計画」について対策推進計画に基づき実施すべき監査についての詳細な計画として、監査実施計画を策定する必要がある。監査実施計画に記載すべき項目としては、基本対策事項
2.3.2(1)-1 に例示のとおり、監査の目的、対象、方法、実施体制及び実施時期等が考えられる。この他に経済産業省「情報セキュリティ監査基準 実施基準ガイドライン
Ver1.0」等にも詳細が説明されているので参考にするとよい。
参考：経済産業省「情報セキュリティ監査基準 実施基準ガイドライン Ver1.0」（ http://www.meti.go.jp/policy/netsecurity/downloadfiles/IS_Audit_Annex05.pdf ）被監査部門に対して監査の内容や範囲を明確化するために、監査実施期間、監査実
施者の氏名、監査対象等を含む事項等を、情報セキュリティ監査責任者より事前通知することが望ましい。
なお、監査実施者が監査過程で情報セキュリティの向上につながる対策等の監査以外の行為を行った場合には、その行為に対する別途の監査が必要となる可能性がある。
したがって、情報セキュリティ監査責任者は、情報セキュリティ対策の向上になり得る行為や、作業を効率的に行うことにつながる行為であるとしても、監査以外の行為を監査実施計画の中に取り込むべきではない。

51

遵守事項
(2) 監査の実施(a) 情報セキュリティ監査責任者は、監査実施計画に基づき、以下の事項を含む監査の実施を監査実施者に指示し、結果を監査報告書として最高情報セキュリティ責任者に報告すること。
(ア) 府省庁対策基準に統一基準を満たすための適切な事項が定められていること(イ) 実施手順が府省庁対策基準に準拠していること(ウ) 自己点検の適正性の確認を行うなどにより、被監査部門における実際の運用が情報セキュリティ関係規程に準拠していること【 基本対策事項 】＜2.3.2(2)(a)(ア)関連＞
2.3.2(2)-1 情報セキュリティ監査責任者は、監査業務の実施において必要となる者を、被監査部門から独立した者から選定し、情報セキュリティ監査実施者に指名すること。
2.3.2(2)-2 情報セキュリティ監査責任者は、組織内における監査遂行能力が不足等している場合には、府省庁外の者に監査の一部を請け負わせること。
（解説） 遵守事項 2.3.2(2)(a)「監査報告書」について
監査報告書の作成に際しては、根拠となる監査調書を適切に作成することが必要である。監査調書とは、情報セキュリティ監査実施者が行った監査業務の実施記録であって、監査報告書に記載する監査意見の根拠となるべき監査証拠、その他関連資料等をつづり込んだものをいう。情報セキュリティ監査実施者自らが直接に入手した資料や試験の結果、被監査部門側から提出された資料のほか、場合によっては外部の第三者から入手した資料等を含むことがある。
監査の結果は、監査報告書として文書化した上で、最高情報セキュリティ責任者へ確実に提出する必要がある。監査報告書には、府省庁対策基準に統一基準を満たすた
めの適切な事項が定められているか、実際の運用状況が情報セキュリティ関係規程に準拠して行われているかなどの結果を記載する。さらに、監査の過程において、情報
セキュリティ対策の内容の妥当性に関連して改善すべき課題及び問題点が検出された
場合には、この検出事項や助言・提案を監査報告書に含める。反対に組織として推奨
すべき優れた取組等がある場合には、それらを組織全体に広めるなどの助言・提案があってもよい。
 遵守事項 2.3.2(2)(a)(ア)「統一基準を満たすための適切な事項が定められていること」
について各府省庁が定める府省庁対策基準は、「政府機関の情報セキュリティ対策のための統一基準の策定と運用等に関する指針」3-1(2)において「府省庁基本方針に基づき、政府
52

機関統一基準に準拠して府省庁対策基準を定める。府省庁対策基準には、政府機関統一基準の規定を遵守するための対策事項について、対策基準策定ガイドラインを参照
しつつ、組織及び取り扱う情報の特性等を踏まえて検討の上、定めることとする。また、脅威の変化等に迅速に対応するために政府機関共通の情報セキュリティ対策が個別に決定されている場合にはそれを反映する。」とされている。
府省庁対策基準に、統一基準を満たすための適切な事項が定められているか否かを判断する際には、府省庁の組織の目的・規模・編成や情報システムの構成、取り扱う情報の内容・用途等の特性等を踏まえ、必要な事項が府省庁対策基準に盛り込まれているか否かを確認する必要がある。このため、府省庁対策基準の策定に当たり、府省
庁対策基準に各事項を盛り込んだ理由や本ガイドラインの基本対策事項との関係等について記録を残しておくと、監査の際に有用である。
 遵守事項 2.3.2(2)(a)(ウ)「実際の運用」について自己点検の適正性の確認や自己点検結果に基づく担当者への質問、記録文書の査閲及び機器の設定状況の点検等の方法により、運用の準拠性を確認する。また、必要に応じて、被監査部門において実施されている情報セキュリティ対策が有効に機能しているか否かを確認することも求められる。例えば、監査対象によってはソフトウェア
やウェブアプリケーション等の情報システムに関連する脆弱性の検査、情報システムに対する侵入検査といった方法によっても確認することができる。
 基本対策事項 2.3.2(2)-1「被監査部門から独立した者」について
情報セキュリティ監査実施者には、監査人としての独立性及び客観性を有することが求められる。例えば、情報システムを監査する場合に、当該情報システムの構築をした者や運用を行っている者が監査をしてはならない。また、情報の取り扱われ方に関する監査を行う場合には、当該情報を取り扱う者はその監査をしないこととする。
 基本対策事項 2.3.2(2)-2「府省庁外の者に監査の一部を請け負わせる」について
情報セキュリティ監査責任者は、監査を実施するに当たり、府省庁内に情報セキュ
リティ監査実施者が不足している場合又は監査遂行能力が不足している場合には、監査業務（内部監査）を外部事業者に請け負わせることを検討すべきである。その委託先の選定に当たっては、被監査部門との独立性を有し、かつ監査遂行能力がある者を選択できるよう配慮することが重要である。また、監査業務を外部事業者に請け負わせることは、外部委託に該当することから、関連する規定にも留意する必要がある。
また、情報セキュリティ監査企業台帳に登録されている企業や情報セキュリティ監査人資格者の業務への関与等を考慮することが望ましい。
参考：経済産業省「情報セキュリティ監査企業台帳に関する規則」（ http://www.meti.go.jp/policy/netsecurity/docs/isaudit/audit_register_regulati
on.pdf）

53

遵守事項(3) 監査結果に応じた対処(a) 最高情報セキュリティ責任者は、監査報告書の内容を踏まえ、指摘事項に対する対処計画の策定等を情報セキュリティ責任者に指示すること。
(b) 情報セキュリティ責任者は、監査報告書等に基づいて最高情報セキュリティ責任者から改善を指示されたことについて、対処計画を策定し、報告すること。

【 基本対策事項 】＜2.3.2(3)(a)関連＞
2.3.2(3)-1 最高情報セキュリティ責任者は、監査報告書の内容を踏まえ監査を受けた部門
以外の部門においても同種の課題又は問題点がある可能性が高く、並びに緊急に同種の課題又は問題点があることを確認する必要があると判断した場合には、他の部門の情報セキュリティ責任者に対しても、同種の課題又は問題点の有無を確認するように指示すること。
（解説） 遵守事項 2.3.2(3)(b)「対処計画を策定」について
情報セキュリティ責任者が、監査報告書に基づいて最高情報セキュリティ責任者からの改善を指示されたことについて、対処計画の策定及び最高情報セキュリティ責任者への報告を求める事項である。情報セキュリティ責任者は、監査報告書において指摘された課題及び問題点の改善が困難であることについて正当な理由がある場合には、その影響を低減させるための補完措置を示した上で、達成することが可能な対処計画
を最高情報セキュリティ責任者へ報告する。
 基本対策事項 2.3.2(3)-1「指示」について
最高情報セキュリティ責任者は、監査報告書において指摘事項が、他の組織にも同種の課題又は問題点として存在する可能性が高い場合、並びに同種の課題又は問題点の存在を緊急に確認する必要性が高い場合、想定される他の組織についても、調査を求める事項である。

54

2.4

見直し

2.4.1 情報セキュリティ対策の見直し
目的・趣旨
情報セキュリティを取り巻く環境は常時変化しており、こうした変化に的確に対応しな
いと、情報セキュリティ水準を維持できなくなる。このため、府省庁の情報セキュリティ対策の根幹をなす情報セキュリティ関係規程は、実際の運用において生じた課題、自己点検、監査の結果等を踏まえて、適時見直しを行う必要がある。
また、自己点検、監査等の結果を総合的に評価して、情報セキュリティに係る取組をより一層推進するために、取組を見直すことも重要である。

遵守事項(1) 情報セキュリティ関係規程の見直し(a) 最高情報セキュリティ責任者は、情報セキュリティの運用及び自己点検・監査等の結果等を総合的に評価するとともに、情報セキュリティに係る重大な変化等を踏
まえ、情報セキュリティ委員会の審議を経て、府省庁対策基準について必要な見直しを行うこと。
(b) 統括情報セキュリティ責任者は、情報セキュリティの運用及び自己点検・監査等の結果等を踏まえて情報セキュリティ対策に関する実施手順を見直し、又は整備した者に対して規定の見直しを指示し、見直し結果について最高情報セキュリティ責
任者に報告すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.4.1(1)(a)「評価」について
最高情報セキュリティ責任者は、運用段階における事故等の発生、例外措置の申請
状況、自己点検・監査の結果、及び行政事務従事者からの相談等に基づき、府省庁対策基準に課題及び問題点が認められるかどうかなどの観点から、妥当性の評価を行い、所要の見直しを行う。
 遵守事項 2.4.1(1)(b)「整備した者に対して規定の見直しを指示」について
統括情報セキュリティ責任者は、運用段階における事故等の発生、自己点検・監査の結果、行政事務従事者からの相談、最高情報セキュリティ責任者からの指示により、
情報セキュリティ対策に関する実施手順について自ら見直し、又は情報システムセキ
ュリティ責任者等の整備した者に、その見直しを指示する。
見直しは、例えば、府省庁内における共通のルールが存在しないため、各所属等において個別にルールを定めて運用しているなどの場合について、府省庁内における共通のルールを整備するか否かを検討し、その結果について、最高情報セキュリティ責55

任者に報告することも考えられる。

56

遵守事項
(2) 対策推進計画の見直し(a) 最高情報セキュリティ責任者は、情報セキュリティ対策の運用及び点検・監査等を総合的に評価するとともに、情報セキュリティに係る重大な変化等を踏まえ、情報セキュリティ委員会の審議を経て、対策推進計画について定期的な見直しを行うこと。

【 基本対策事項 】規定なし（解説）
 遵守事項 2.4.1(2)(a)「評価」について
最高情報セキュリティ責任者は、運用段階における事故等の発生、自己点検・監査の結果、行政事務従事者からの相談等に基づき、対策推進計画に加えるべき又は計画の変更等を要する課題・問題点等を有するかどうかの観点から、評価を行う。
 遵守事項 2.4.1(2)(a)「情報セキュリティに係る重大な変化等」について
サイバー攻撃の量的な拡大や攻撃手法の高度化等による質的な変化等、計画策定時に前提としていた条件から大きく異なり、情報セキュリティに係るリスクが高まった
場合や、年度途中における種々の要因により、当初の対策推進計画では課題解決が図られていない場合等を想定している。

57

第3部 情報の取扱い

3.1

情報の取扱い3.1.1 情報の取扱い
目的・趣旨
行政事務の遂行に当たっては、情報の作成、入手、利用、保存、提供、運搬、送信、消去等（以下、本項において「利用等」という。）を行う必要があり、ある情報のセキュリテ
ィの確保のためには、当該情報を利用等する全ての行政事務従事者が情報のライフサイク
ルの各段階において、当該情報の特性に応じた適切な対策を講ずる必要がある。このため、行政事務従事者は、情報を作成又は入手した段階で当該情報の取扱いについて認識を合わせるための措置として格付及び取扱制限の明示等を行うとともに、情報の格付や取扱制限に応じた対策を講ずる必要がある。

遵守事項(1) 情報の取扱いに係る規定の整備(a) 統括情報セキュリティ責任者は、以下を含む情報の取扱いに関する規定を整備し、行政事務従事者へ周知すること。
(ア) 情報の格付及び取扱制限についての定義(イ) 情報の格付及び取扱制限の明示等についての手続(ウ) 情報の格付及び取扱制限の継承、見直しに関する手続【 基本対策事項 】＜3.1.1(1)(a)関連＞
3.1.1(1)-1 統括情報セキュリティ責任者は、情報の取扱いに関する規定として、以下を例とする手順を整備すること。
a) 情報のライフサイクル全般にわたり必要な手順（行政事務の遂行以外の目的での情報の利用等の禁止等）
b) 情報の入手・作成時の手順c) 情報の利用・保存時の手順
d) 情報の提供・公表時の手順e) 情報の運搬・送信時の手順f) 情報の消去時の手順
g) 情報のバックアップ時の手順＜3.1.1(1)(a)(イ)関連＞
3.1.1(1)-2 統括情報セキュリティ責任者は、情報の格付及び取扱制限の明示の方法について、以下を例に、規定を整備すること。
58a) 電磁的記録として取り扱われる情報に明示する場合• 電磁的記録の本体である文書ごとにヘッダ部分又は情報の内容へ直接記載• 電磁的ファイル等の取扱単位ごとにファイル名自体へ記載• フォルダ単位等で取り扱う情報は、フォルダ名に記載• 電子メールで取り扱う情報は、メール本文又はメール件名に記載
b) 外部電磁的記録媒体に保存して取り扱う情報に明示する場合• 保存する電磁的ファイル又は文書等の単位ごとに記載• 外部電磁的記録媒体本体に記載
c) 書面に印刷されることが想定される場合• 書面のヘッダ部分等に記載• 冊子等の単位で取り扱う場合は、冊子の表紙、裏表紙等に記載
d) 既に書面として存在している情報に対して格付や取扱制限を明示する場合• 手書きによる記入• スタンプ等による押印
3.1.1(1)-3 統括情報セキュリティ責任者は、情報の格付及び取扱制限の明示を省略する必要がある場合には、これらに係る認識が共通となるその他の措置の実施条件や実施方法について、規定を整備すること。
＜3.1.1(1)(a)(ウ)関連＞
3.1.1(1)-4 統括情報セキュリティ責任者は、情報の加工時、複製時等における格付及び取扱制限の継承、見直しについて、以下を例に、規定を整備すること。
a) 情報を作成する際に、参照した情報又は入手した情報の機密性に係る格付及び取扱制限を継承する。
b) 既存の情報に、より機密性の高い情報を追加するときは、格付及び取扱制限を見直す。
c) 機密性の高い情報から機密に該当する部分を削除したときは、残りの情報の機
密性に応じて格付及び取扱制限を見直す。
d) 情報を複製する場合には、元となる情報の機密性に係る格付及び取扱制限を継承する。
e) 完全性及び可用性については、作成時又は複製時に適切な格付を決定する。
f) 他者が決定した情報の格付及び取扱制限を見直す必要がある場合には、その決定者（決定について引き継いだ者を含む。）又はその上司（以下本項において「決定者等」という。
）に確認を求める。
（解説） 遵守事項 3.1.1(1)(ア)「格付及び取扱制限についての定義」について「統一基準 1.2 (1) 情報の格付の区分」及び「統一基準 1.2 (2) 情報の取扱制限」にて規定している情報の格付及び取扱制限の定義に基づき、機密性、完全性、可用性に係る情報の格付と取扱制限について、府省庁の基準を整備する必要がある（取扱制限については、【参考 3.1.1-1】を参照のこと）。
59

 基本対策事項 3.1.1(1)-1「手順を整備」について
a)～g)は、遵守事項 3.1.1(2)～(8)における行政事務従事者を名宛人とした対策事項とそれぞれ対応している。本事項では、これらの内容を包含する形で手順を定めることを求めている。
 基本対策事項 3.1.1(1)-2「明示の方法」について当該情報を参照する者が、情報の格付及び取扱制限を確実に視認することができる
よう、当該情報に記載することによる明示を原則とする。また、情報の格付及び取扱制限の明示については、以下の事項についても留意すること。
• 格付及び取扱制限の明示と併せて、情報の作成者又は入手者の氏名、所属、連絡先等も記載する。
• 文書の一部の情報に取扱制限を追加するときは、追加する取扱制限を当該情報に近接した場所に明記する。
• 電磁的記録の参照、編集等に利用するソフトウェアの制限等により、各ページに明記できない場合には、文章の先頭ページに明記する。
• 文書の作成者名、組織名その他の記録に使用できる「プロパティ」に格付の区分を記載することは明示に当たらない。
 基本対策事項 3.1.1(1)-3「明示を省略」について
情報の格付及び取扱制限を確実に視認することができるよう、当該情報に明示しておくことが原則ではあるが、必要な場合には、以下を例に明示が省略可能な条件について定めておくとよい。
• 情報システムに記録される情報の格付及び取扱制限を当該情報システムの手順書等により明記し、当該情報システムの利用者にあらかじめ周知している場合。
• 情報の格付及び取扱制限の省略時における当該情報の格付及び取扱制限の取扱について、取扱手順に規定し、行政事務従事者にあらかじめ周知している場合。
ただし、格付及び取扱制限の明示を省略した場合には、以下の事項に注意する必要がある。
- 格付及び取扱制限の省略を認識できない者への情報の提供
格付の区分及び取扱制限が明示されていない要保護情報を、格付及び取扱制
限の決定内容を認識できない行政事務従事者に提供する必要が生じた場合（例えば、他府省庁に情報を提供等する場合）は、当該情報に格付の区分及び取扱制限を明示した上で提供するなどしなければならない。
- 取扱制限の明示を省略した場合における取扱制限の追加・変更
例えば、ある文書の取扱制限の明示を省略している場合であって、当該文書の一部に取扱制限を追加するときは、追加する取扱制限を明示すること。
 基本対策事項 3.1.1(1)-4 e)「複製時に適切な格付を決定」について複製された情報は、一般的には完全性１情報及び可用性１情報と考えられるが、原本を複製し、それをバックアップファイルとして保存する場合も考えられるため、完全性及び可用性については、適宜、複製の目的に応じて格付を決定する必要がある。
60

 基本対策事項 3.1.1(1)-4 f)「見直す必要がある場合」について利用する元の情報への修正、追加又は削除のいずれでもないが、元の格付又は取扱制限そのものがその時点で不適当と考える場合には、格付又は取扱制限の見直しについてその決定者に確認を求める必要がある。また、異動等の事由により、当該決定者と相談することが困難である場合等においては、決定について引き継いだ者又は当該決定者の上司に相談し、その是非を検討することになる。決定者等による見直しが無い限り、当該情報の利用者がこれらの者に無断で、格付又は取扱制限を変更することは許されない。
なお、見直しを行わなければならない場合については、以下を参考に規定すること。
• 作成時には要機密情報だった情報の機密性が失われた場合（時間の経過により変化した場合）• 機密性３情報として格付けされている資料等から機密性３情報に係る部分を全て削除した場合• 取扱制限で参照先を限定していた情報について、その後参照先を変更する必要が生じた場合• 取扱制限で保存期間を指定していた情報について、その後期間の延長をする場
合• 格付及び取扱制限を決定した時の判断が不適切であったと考えられる場合• 行政文書管理規則等が、情報の作成又は入手時以降に改定されており、当該行
政文書管理規則等における情報の取扱いに変更がある場合

61

【参考 3.1.1-1】 取扱制限の例
取扱制限は、情報の機密性、完全性、可用性等の内容に応じた情報の取扱い方を具体的に指定するものであるから、「情報の作成者又は入手者が、当該情報をどのように取り扱うべきと考えているのかを他の者に認知させる」という目的を果たすために適切に明示等する必要がある。以下の例のように、代表的な取扱制限を指定してもよい。例えば「複製禁止」の代わりに「複写禁止」や「複製厳禁」、「複製を禁ず」等と記載しても目的を果たせると考えられる。
○ 機密性についての取扱制限の定義の例
表 3.1.1-1 機密性についての取扱制限の定義の例
指定方法

取扱制限の種類
複製について複製禁止、複製要許可

配布について配布禁止、配布要許可

暗号化について暗号化必須、保存時暗号化必須、通信時暗号化必須

印刷について印刷禁止、印刷要許可

転送について転送禁止、転送要許可

転記について

転記禁止、転記要許可

再利用について再利用禁止、再利用要許可

送信について

送信禁止、送信要許可

参照者の制限について○○限り

期限について○月○日まで○○禁止

上記の指定方法の意味は以下のとおり。
・「○○禁止」
当該情報について、○○で指定した行為を禁止する必要がある場合に指定する。
・「○○要許可」当該情報について、○○で指定した行為をするに際して、許可を得る必要がある場
合に指定する。
・「暗号化必須」
当該情報について、暗号化を必須とする必要がある場合に指定する。また、保存時と通信時の要件を区別するのが適当な場合には、例えば、「保存時暗号化」「通信時暗号化」等、情報を取り扱う者が分かるように指定する。
・「○○限り」
当該情報について、参照先を○○に記載した者のみに制限する必要がある場合に指定する。例えば、「セキュリティセンター限り」「政策会議委員会出席者限り」等、参照を許可する者が分かるように指定する。
・「○月○日まで○○禁止」
例えば、○月○日まで複製を禁止したい場合、「○月○日まで複製禁止」として期限を指定することで、その日に取扱制限を変更しないような指定でも構わない。
62例えば、上記の「○○要許可」は、「○○する行為を禁止するが、許可を得ることにより○○することができる」という意味を持たせている。取扱制限は、このように、行政事務従事者にとって簡便かつ分かりやすい表現を採用することが望ましい。
○ 完全性についての取扱制限の定義の例
表 3.1.1-2 完全性についての取扱制限の定義の例
指定方法

取扱制限の種類
保存期間について○○まで保存保存場所について○○において保存

書換えについて書換禁止、書換要許可

削除について

削除禁止、削除要許可

保存期間満了後の措置について保存期間満了後要廃棄

情報の保存期間の指定の方法は、以下のとおり。
・保存の期日である「年月日」又は期日に「まで保存」を付して指定する。
例）平成○○年 7 月 31 日まで保存
例）平成○○年度末まで保存・完全性の要件としては保存期日や保存方法等を明確にすることであるが、実際の運用においては、保存先とすべき情報システムを指定することで、結果的に完全性を確実にすることができる。例えば、以下のように指定する。
例）年度内保存文書用共有ファイルサーバに保存
例）3 カ年保存文書用共有ファイルサーバに保存○ 可用性についての取扱制限の定義の例
表 3.1.1-3 可用性についての取扱制限の定義の例
指定方法

取扱制限の種類
復旧までに許容できる時間について○○以内復旧保存場所について○○において保存

復旧許容時間の指定の方法は以下のとおり。
・復旧に要するまでの時間として許容できる時間を記載し、その後に「以内復旧」を付して指定する。
例）1 時間以内復旧例）3 日以内復旧・可用性の要件としては復旧許容期間等を明確にすることであるが、実際の運用においては、必要となる可用性対策を講じてある情報システムを指定することで、結果的に可用性を確実にすることができる。例えば、端末のファイルについては定期的にバックアップが実施されておらず、課室共有ファイルサーバについては毎日バックアップ

63

が実施されている場合には、以下のような指定が考えられる。
例）課室共有ファイルサーバ保存必須
例）各自 PC 保存可

64

遵守事項
(2) 情報の目的外での利用等の禁止(a) 行政事務従事者は、自らが担当している行政事務の遂行のために必要な範囲に限って、情報を利用等すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 3.1.1(2)(a)「情報を利用等」について
情報は、行政事務の目的を達成するために利用等するのであって、行政事務の遂行以外の目的で情報を利用等すべきではない。国家公務員法 第 100 条 第 1 項においても、「職員は、職務上知ることのできた秘密を漏らしてはならない。その職を退いた後といえども同様とする。
」と定められている。
情報の目的外利用に当たる場合としては、例えば、業務上知り得た情報をソーシャ
ルメディアサービスの個人アカウントの掲示板等に掲示するなどの行為が考えられる。
その他にも、情報の利用形態は様々であり、注意が必要である。
なお、本規定で対象としている情報は、行政事務従事者が従事する業務において利用する府省庁の情報システムから入手可能な業務に係る情報（業務上知り得る情報）
や、情報システムにおいて利用される主体認証情報であり、情報システムの仕様やデータ設定等に係る情報も含んでいる。一方、業務時間外に自宅等の私物端末から政府機関のウェブサイトにアクセスして、公表されている情報を入手するなどの行為については、本規定の対象とはしていない。

65

遵守事項
(3) 情報の格付及び取扱制限の決定・明示等(a) 行政事務従事者は、情報の作成時及び府省庁外の者が作成した情報を入手したことに伴う管理の開始時に、格付及び取扱制限の定義に基づき格付及び取扱制限を決定し、明示等すること。
(b) 行政事務従事者は、情報を機密性３情報と決定した場合には、機密性３情報として取り扱う期間を明示等すること。
(c) 行政事務従事者は、情報を作成又は複製する際に、参照した情報又は入手した情報に既に格付及び取扱制限の決定がなされている場合には、元となる情報の機密性に係る格付及び取扱制限を継承すること。
(d) 行政事務従事者は、修正、追加、削除その他の理由により、情報の格付及び取扱制限を見直す必要があると考える場合には、情報の格付及び取扱制限の決定者（決定を引き継いだ者を含む。）又は決定者の上司（以下この項において決定者等という。
）に確認し、その結果に基づき見直すこと。

【 基本対策事項 】規定なし（解説）
 遵守事項 3.1.1(3)(a)「格付及び取扱制限を決定」について
格付及び取扱制限が不十分な場合、情報漏えい等のリスクが高まるが、一方で、情報の利用を円滑に行うためには、格付及び取扱制限を必要以上に高くしないことが必要である。そのため、格付及び取扱制限を決定する際には、府省庁の基準に照らして、要件に過不足が生じないようにすること。例えば、機密性１情報に相当する公開しても差し支えない情報をむやみに要保護情報に決定すると、過度な保護対策を求めることになり、行政事務の効率的な運営に支障をきたすおそれがある。
また、他府省庁との情報の受け渡しを行う際には、統一基準との格付定義の差分に関する情報を当該府省庁から得るなどして、自府省庁の基準との差分について考慮の上、格付及び取扱制限を決定する必要がある。
 遵守事項 3.1.1(3)(b)「機密性３情報として取り扱う期間を明示等する」について
秘密文書としての管理が求められる期間を明記することにより、必要以上の情報の管理を防止することを目的としている。
なお、「秘密文書等の取扱いについて」（昭和 40.4.15 事務次官等会議申合せ）第 5
項では、「秘密文書には、秘密にしておく期間を明記し、その期間が経過した時は、秘密の取扱いは、解除されたものとする。ただし、その期間中秘密にする必要がなくなったときは、その旨を通知して秘密の解除を行うものとする」旨を定めている。
 遵守事項 3.1.1(3)(c)「継承」について
業務資料等を参考に新たに別の資料を作成する場合等において、元となった資料等に記載されていた情報の機密性に関する格付及び取扱制限について、新たに作成した66

資料等に適切に引き継ぐことを求めている。例えば機密性３情報を他の資料等に転用する場合においては、当該資料に記載されている転用部分については機密性３情報として取り扱われるべきである。また、要保全情報又は要安定情報を複製する場合については、複製された情報に対して過度な保護対策を求めないように、完全性１情報又は可用性１情報として格付を見直し再決定することが望ましい。ただし、バックアップを原本として情報を保管する目的で複写する場合は、要保全情報とすべきであるな
ど、状況に応じた適切な判断が求められる。
「に確認し、その結果に基づき見直す」について
 遵守事項 3.1.1(3)(d)「決定者等」・「（解説）基本対策事項 3.1.1(1)-4 f)「見直す必要がある場合」について」を参照の
こと。

67

遵守事項
(4) 情報の利用・保存(a) 行政事務従事者は、利用する情報に明示等された格付及び取扱制限に従い、当該情報を適切に取り扱うこと。
(b) 行政事務従事者は、機密性３情報について要管理対策区域外で情報処理を行う場
合は、情報システムセキュリティ責任者及び課室情報セキュリティ責任者の許可を得ること。
(c) 行政事務従事者は、要保護情報について要管理対策区域外で情報処理を行う場合
は、必要な安全管理措置を講ずること。
(d) 行政事務従事者は、保存する情報にアクセス制限を設定するなど、情報の格付及び取扱制限に従って情報を適切に管理すること。
(e) 行政事務従事者は、USB メモリ等の外部電磁的記録媒体を用いて情報を取り扱う
際、定められた利用手順に従うこと。

【 基本対策事項 】＜3.1.1(4)(a)関連＞
3.1.1(4)-1 行政事務従事者は、情報の格付及び取扱制限に応じて、情報を以下のとおり取り扱うこと。
a) 要保護情報を放置しないこと。
b) 機密性３情報を必要以上に複製しないこと。
c) 要機密情報を必要以上に配布しないこと。
d) 閲覧可能範囲の制限が指定されている情報については、制限範囲外の者に情報の参照等をさせないために、施錠のできる書庫・保管庫に保存する。
e) 書面に機密性３情報を出力する場合は、書面ごとに一連番号を付与し、その所在を明らかにしておく。
f) 電磁的記録媒体に保存された要保護情報について、適切なアクセス制御を行う。
g) 電磁的記録媒体に要機密情報を保存する場合には、主体認証情報を用いて保護するか又は情報を暗号化する。
h) 電磁的記録媒体に要保全情報を保存する場合には、電子署名の付与を行うなど、改ざん防止のための措置を講ずる。
i) 情報の保存方法を変更する場合には、格付、取扱制限及び記録媒体の特性に応じて必要な措置を講ずる。
j) 情報の格付又は取扱制限が明示等されていない場合には、情報の作成元への確
認を行う。
（解説）
 遵守事項 3.1.1(4)(c)「要管理対策区域外で情報処理」について
府省庁外で開催される会議への出席時等に要保護情報を用いて情報処理を行う際には、のぞき見の防止や不要となった情報の削除等の安全管理措置を講ずる必要がある。
68 遵守事項 3.1.1(4)(e)「外部電磁的記録媒体」について
外部電磁的記録媒体には、USB メモリ等の、繰返し情報を書き換えできる媒体と、
CD-R 等の書き換えできない媒体が存在する。特に前者の媒体を利用する場合は、不正プログラムに感染するおそれが大きいため、その取扱いには細心の注意を払う必要がある。
（具体的な対策等については、【参考 8.1.1-1】を参照のこと。）
また、磁気や物理的衝撃等で容易に情報が失われるおそれのある外部電磁的記録媒体には要安定情報を保存しないこと。
 遵守事項 3.1.1(4)(e)「定められた利用手順」について遵守事項 8.1.1(1)(c)において定められた利用手順を指す。
 基本対策事項 3.1.1(4)-1 a)「放置しない」について
悪意ある第三者等による不正な操作や盗み見等を防止することを求める事項である。
例えば、離席する際には、ロック付きスクリーンセーバを起動する又はログアウトして画面に情報を表示しない、机の上に書類を放置して長時間離席しない、印刷した書面を速やかに回収し出力トレイに放置しないこと等を徹底する必要がある。
 基本対策事項 3.1.1(4)-1 b)「必要以上に複製しない」について「秘密文書等の取扱いについて」（昭和 40.4.15 事務次官等会議申合せ）第 6 項では、「「極秘」の文書の複製は、絶対に行わないこと。「秘」の文書は、指定者の承認を受けて複製することが出来ること。」と定めている。これらを徹底させる手段として、「複製禁止」の取扱制限の明示等が挙げられる。
 基本対策事項 3.1.1(4)-1 e)「書面ごとに一連番号を付与」について
機密性３情報である書面には一連番号を付与し、個別に所在管理を行うことを目的としている。配布時に一連番号を付与することによって、当該機密性３情報を受領した者に、一定の管理義務を要請する効果も期待できる。番号付与の方法としては、連番印刷機能の利用や、出力直後に手書き、スタンプ等で番号を付す方法が想定される。
なお、「秘密文書等の取扱いについて」（昭和 40.4.15 事務次官等会議申合せ）第 4
項では、「秘密の文書には、必ず一連番号を付し、その所在を明らかにしておく」旨を定めている。
一連番号の付与の方法については、以下の例を参考とすること。
• 情報ごとに付与する番号を決定し、当該情報を複製又は提供する際も同一番号により管理する。
• 情報ごとに付与する番号を決定するが、当該情報を複製又は提供する場合は、都度新たな番号を付与し、情報を取り扱う者又は提供先ごとに管理する。
 基本対策事項 3.1.1(4)-1 f)「適切なアクセス制御」について
アクセス制御は、サーバ装置、端末、OS、アプリケーション、ファイル等を単位に行うことができるため、これらを選択し組み合わせて、適切なアクセス制御を実現するとよい。
情報システムに、ファイルに対する書込権限者の制限や、ファイルのセキュリティ
69

設定でパスワード設定等のアクセス制御機能が装備されている場合、行政事務従事者
は、当該情報の格付及び取扱制限に従って、必要なアクセス制御の設定を行うことが求められる。例えば、取扱制限として閲覧範囲の制限が指定されている場合は、悪意ある第三者等から参照されないよう、読取制限の属性を付与することや、要保全情報
であれば、悪意ある第三者等から変更されないよう、上書き禁止の属性を付与することがこれに当たる。
 基本対策事項 3.1.1(4)-1 i)「保存方法を変更」について当該情報が記載されている行政文書が歴史公文書等に該当する場合は、情報の取扱制限を解除するか、利用の制限についての意見を付すなどして移管する必要がある。
その際、パスワードを設定していた場合は解除するなどして、移管先がその内容を参照できるように配慮する必要がある。

70

遵守事項
(5) 情報の提供・公表(a) 行政事務従事者は、情報を公表する場合には、当該情報が機密性１情報に格付されるものであることを確認すること。
(b) 行政事務従事者は、閲覧制限の範囲外の者に情報を提供する必要が生じた場合は、当該格付及び取扱制限の決定者等に相談し、その決定に従うこと。また、提供先において、当該情報に付された格付及び取扱制限に応じて適切に取り扱われるよう、取扱い上の留意事項を確実に伝達するなどの措置を講ずること。
(c) 行政事務従事者は、機密性３情報を閲覧制限の範囲外の者に提供する場合には、課室情報セキュリティ責任者の許可を得ること。
(d) 行政事務従事者は、電磁的記録を提供又は公表する場合には、当該電磁的記録の付加記録（更新の履歴、文書のプロパティ等をいう。）等からの不用意な情報漏えいを防止するための措置を講ずること。

【 基本対策事項 】＜3.1.1(5)(d)関連＞
3.1.1(5)-1 行政事務従事者は、電磁的記録媒体を他の者へ提供する場合は、当該電磁的記録媒体に保存された不要な要機密情報を抹消すること。
（解説） 遵守事項 3.1.1(5)(a)「機密性１情報に格付されるもの」について保有する情報をウェブサイト等により広く国民に提供する場合、公表しようとする
情報の格付の適正さを再度検討し、必要に応じて機密性１情報への格付の変更等を行った上で、格付及び取扱制限の明示を削除すること。
 遵守事項 3.1.1(5)(b)「決定者等に相談」について「（解説）基本対策事項 3.1.1(1)-4 f)「見直す必要がある場合」について」を参照のこと。
 遵守事項 3.1.1(5)(b)「提供先において」・「適切に取り扱われるよう」について
要保護情報を府省庁外の者に提供する場合には、提供先において当該情報が適切に取り扱われるように、情報の取扱い上の留意事項を提供先へ確実に伝達する必要がある。
伝達方法としては、他府省庁や委託先等の情報の提供先に、府省庁対策基準や情報の取扱いに関する手順書、統一基準との格付定義の差分に関する説明等を提示し、格付や取扱制限に応じた取扱方法を示す方法が考えられる。この場合、格付の区分だけを示しても、提供先においては当該格付区分がどのように取り扱われるべきものであるか認識できない可能性があるため、当該格付の区分の定義について提供先にあらか
じめ周知しておく必要がある。ただし、格付定義について必要以上に周知することにより、悪意ある第三者等が情報に格付を明示してなりすましを行うなど、悪用される
71

可能性があることにも留意する必要がある。
格付で示す以外の方法としては、提供する情報を適切に管理するために必要な措置が具体的に分かるように示すなどの措置を講ずる必要がある（例えば、「委員以外への再配布を禁止する」と記載するなど。
）。
また、格付及び取扱制限の明示が省略されている場合においても、提供先にて情報が適切に取り扱われるよう、明示の省略が可能とされている情報の格付及び取扱制限を当該書面又は電磁的記録に明記するなどの措置を講ずる必要がある。
 遵守事項 3.1.1(5)(d)「不用意な情報漏えい」について情報の提供や公表に当たっては、情報漏えいを防ぐため、文書の作成者名、組織名
その他の記録に使用できる「プロパティ」や、文書の作成履歴、PDF ファイルの「しおり」等に残留した不要な情報を除去する必要がある。また、ソフトウェアを用いて文書の特定の部分の情報を黒塗りしたとしても、当該部分の情報の閲覧が可能になる場合もあるため、黒塗りされた部分の情報の削除や置換も検討する必要がある。

72

遵守事項
(6) 情報の運搬・送信(a) 行政事務従事者は、機密性３情報、要保全情報又は要安定情報を、要管理対策区
域外に持ち出し他の場所に運搬する場合又は府省庁外通信回線を使用して送信する
場合には、課室情報セキュリティ責任者の許可を得ること。
(b) 行政事務従事者は、要保護情報が記録又は記載された記録媒体を要管理対策区域
外に持ち出す場合には、安全確保に留意して運搬方法を決定し、情報の格付及び取扱制限に応じて、安全確保のための適切な措置を講ずること。ただし、他府省庁の要管理対策区域であって、統括情報セキュリティ責任者があらかじめ定めた区域のみに持ち出す場合は、当該区域を要管理対策区域と見なすことができる。
(c) 行政事務従事者は、要保護情報である電磁的記録を電子メール等で送信する場合には、安全確保に留意して送信の手段を決定し、情報の格付及び取扱制限に応じて、安全確保のための適切な措置を講ずること。

【 基本対策事項 】＜3.1.1(6)(b)関連＞
3.1.1(6)-1 行政事務従事者は、要保護情報が記録又は記載された記録媒体の要管理対策区
域外への運搬を第三者へ依頼する場合は、セキュアな運送サービスを提供する運送事業者により運搬すること。
＜3.1.1(6)(b)(c)関連＞
3.1.1(6)-2 行政事務従事者は、要機密情報である電磁的記録を要管理対策区域外に運搬又は府省庁外通信回線を使用して送信する場合には、情報漏えいを防止するため、以下を例とする対策を講ずること。
a) 運搬又は送信する情報を暗号化する。
b) 運搬又は送信を複数の情報に分割してそれぞれ異なる経路及び手段を用いる。
c) 主体認証機能や暗号化機能を備えるセキュアな外部電磁的記録媒体が存在する
場合、これに備わる機能を利用する。
3.1.1(6)-3 行政事務従事者は、要保全情報である電磁的記録を要管理対策区域外に運搬又は府省庁外通信回線を使用して送信する場合には、情報の改ざんを防止するため、以下を例とする措置を講ずること。
a) 電子署名を付与する。
b) あらかじめバックアップを取得しておく。
＜3.1.1(6)(c)関連＞
3.1.1(6)-4 行政事務従事者は、要保護情報である電磁的記録を送信する場合は、安全確保に留意して、以下を例に当該情報の送信の手段を決定すること。
a) 府省庁管理の通信回線を用いて送信する。
b) 信頼できる通信回線を使用して送信する。
c) VPN を用いて送信する。
d) S/MIME 等の暗号化された電子メールを使用して送信する。
73e) 府省庁独自で運用するなどセキュリティが十分確保されたウェブメールサービ
ス又はオンラインストレージ環境を利用する。
（解説） 遵守事項 3.1.1(6)(a)「要管理対策区域外に持ち出し」について「要管理対策区域に持ち出し」とは、情報を書面若しくは外部電磁的記録媒体又はモバイル端末に保存して要管理対策区域外に物理的に運び出す行為を指す。
記録媒体を物理的に運搬する際の媒体の盗難や紛失等による情報漏えいや、電子メール等で送信する際のインターネット回線等セキュリティが保証されていないネット
ワークを利用することによる情報の盗聴等の情報セキュリティインシデントに対する安全管理措置を適切に講ずる必要がある。
なお、要安定情報を運搬又は送信する場合、滅失、紛失、到着時間の遅延等により行政事務に支障が起こる場合に備え、例えば、同一の電磁的記録を異なる経路で送信するなどの措置を講ずることも考えられる。
 基本対策事項 3.1.1(6)-1「セキュアな運送サービス」について
セキュアな運送サービスとしては、受領印が必要となる書留郵便や、専用車両による配達サービス、配達状況の追跡が可能なサービス等が存在する。
 基本対策事項 3.1.1(6)-2 b)「複数の情報に分割して」について
この考え方は、秘密分散技術といわれ、例えば、１個の電子情報についてファイル
を２個に分割し、それぞれ暗号化を施した上で一方を電子メール、他方を DVD、USB
メモリ等の外部電磁的記録媒体で郵送する方法が考えられる。
 基本対策事項 3.1.1(6)-2 c)「セキュアな外部電磁的記録媒体」について
セキュアな外部電磁的記録媒体が備える機能としては、主体認証機能、暗号化機能の他、不正プログラムの検閲・駆除機能、遠隔データ消去機能及び接続管理機能等がある。USB メモリ等の外部電磁的記録媒体の運搬に当たっては、必要最小限の情報のみを保存するよう留意するとともに、盗難・紛失等による情報漏えいに備え、当該機能を適切に利用することが必要である。
 基本対策事項 3.1.1(6)-4 b)「信頼できる通信回線」について
空港や商業施設等が提供する無線 LAN 等の通信回線は、十分なセキュリティ対策が採られていない場合もあるため、要保護情報を送信する場合にこれを用いるべきでは
ない。

74

遵守事項
(7) 情報の消去(a) 行政事務従事者は、電磁的記録媒体に保存された情報が職務上不要となった場合
は、速やかに情報を消去すること。
(b) 行政事務従事者は、電磁的記録媒体を廃棄する場合には、当該記録媒体内に情報が残留した状態とならないよう、全ての情報を復元できないように抹消すること。
(c) 行政事務従事者は、要機密情報である書面を廃棄する場合には、復元が困難な状態にすること。

【 基本対策事項 】規定なし（解説）
 遵守事項 3.1.1(7)(a)「速やかに情報を消去」について
情報セキュリティの観点からは、不正プログラム感染による情報窃取や操作ミスによる情報漏えい等を防ぐ観点から、職務上不要となった情報を速やかに消去する必要があるが、その際には、公文書管理法等で保存が求められる情報を誤って消去しない
よう、注意を払う必要がある。
 遵守事項 3.1.1(7)(b)「抹消する」について「ファイル削除」の操作ではファイル管理のリンクが切断されるだけであり、ファイルの情報自体は抹消されずに電磁的記録媒体に残留した状態となっているおそれがある。電磁的記録媒体に記録されている情報を抹消するための方法としては、例えば、
次の方法が挙げられる。
• データ抹消ソフトウェア（もとのデータに異なるランダムなデータを複数回上書きすることでデータを抹消するソフトウェア）によりファイルを抹消する方法• ハードディスクを消磁装置に入れてディスク内の全てのデータを抹消する方法• 媒体を物理的に破壊する方法
また、媒体を物理的に破壊する方法としては、例えば、次の方法が挙げられる。
• （フロッピーディスク等の磁気媒体の場合）当該媒体を切断するなどして情報を記録している内部の円盤を破壊する方法• （CD-R/RW、DVD-R/RW 等の光学媒体の場合）カッター等を利用してラベル面側から同心円状に多数の傷を付け、情報を記録している記録層を破壊する方法• （媒体全般）メディアシュレッダーやメディアクラッシャー等の専用の機器を用いて破壊する方法
また、ファイルの情報に別の情報を上書きした場合であっても、特殊な手段を用いることにより残留磁気から当該情報を復元される可能性があるため、特に機密性の高
い情報の抹消に当たっては、留意する必要がある。
75

なお、行政事務従事者自らが情報を抹消することが不可能な場合は、あらかじめ抹消の手段と抹消の措置を行う者を情報システム又は課室等の組織の単位で定めて実施してもよい。
 遵守事項 3.1.1(7)(c)「復元が困難な状態にする」について
電磁的記録の抹消と同様に、書面が不要となった場合には、シュレッダーによる細断処理、焼却、溶解等により、復元が困難な状態にする必要がある。
なお、廃棄すべき書類が大量にあるなどの理由により、外部の廃棄処理業者へ業務委託する場合には、廃棄現場への立会いや廃棄処理証明書の取得等により、書面が確
実に廃棄されていることを確認するとよい。また、無人の執務室に設置されている又は設置場所及び利用場所が確定していないなどの環境で利用される情報システム、外部電磁的記録媒体等については、不要な情報を可能な限り抹消しておくことが望まし
い。

76

遵守事項
(8) 情報のバックアップ(a) 行政事務従事者は、情報の格付に応じて、適切な方法で情報のバックアップを実施すること。
(b) 行政事務従事者は、取得した情報のバックアップについて、格付及び取扱制限に従って保存場所、保存方法、保存期間等を定め、適切に管理すること。
(c) 行政事務従事者は、保存期間を過ぎた情報のバックアップについては、本項(7)の規定に従い、適切な方法で消去、抹消又は廃棄すること。

【 基本対策事項 】＜3.1.1(8)(a)関連＞
3.1.1(8)-1 行政事務従事者は、要保全情報又は要安定情報である電磁的記録又は重要な設計書について、バックアップを取得すること。
＜3.1.1(8)(b)関連＞
3.1.1(8)-2 行政事務従事者は、要保全情報、要安定情報である電磁的記録のバックアップ
又は重要な設計書のバックアップの保管について、災害等により生ずる業務上の支障を考慮し、適切なバックアップの手段又は保管場所を選定すること。
（解説）
 基本対策事項 3.1.1(8)-2「重要な設計書」について
情報システムに関する設計書のうち、当該情報システムの適切な管理に必要なものであり、その紛失、漏えい等により、行政事務の遂行に支障を及ぼすものをいう。
 基本対策事項 3.1.1(8)-2「適切なバックアップの手段又は保管場所」について
盗難・紛失への対策としては、バックアップを要管理対策区域に保管することが望ましい。また、バックアップした情報を暗号化し保存することも考慮する必要がある。
災害等を想定してバックアップを取得する場合は、バックアップを耐火性のある保管庫や耐震性の高い施設、同時被災しない遠隔地に保管すること等も考えられる。

77

3.2

情報を取り扱う区域の管理

3.2.1 情報を取り扱う区域の管理目的・趣旨サーバ装置、端末等が、不特定多数の者により物理的に接触できる設置環境にある場合
においては、悪意ある者によるなりすまし、物理的な装置の破壊のほか、サーバ装置や端末の不正な持ち出しによる情報の漏えい等のおそれがある。その他、設置環境に関する脅威として、災害の発生による情報システムの損傷等もある。
したがって、執務室、会議室、サーバ室等の情報を取り扱う区域に対して、物理的な対策や入退管理の対策を講ずることで区域の安全性を確保し、当該区域で取り扱う情報や情報システムのセキュリティを確保する必要がある。

遵守事項(1) 要管理対策区域における対策の基準の決定(a) 統括情報セキュリティ責任者は、要管理対策区域の範囲を定めること。
(b) 統括情報セキュリティ責任者は、要管理対策区域の特性に応じて、以下の観点を含む対策の基準を定めること。
(ア) 許可されていない者が容易に立ち入ることができないようにするための、施錠可能な扉、間仕切り等の施設の整備、設備の設置等の物理的な対策。
(イ) 許可されていない者の立入りを制限するため及び立入りを許可された者による立入り時の不正な行為を防止するための入退管理対策。

【 基本対策事項 】＜3.2.1(1)(b)(ア)(イ)関連＞
3.2.1(1)-1 統括情報セキュリティ責任者は、以下を例とする、要管理対策区域の安全性を確保するための段階的な対策の水準（以下「クラス」という。）を定めること。
a) 下表のとおり、３段階のクラスを定める。
クラス

説明

クラス３

一部の限られた者以外の者の立入りを制限する必要があるなど、
クラス２より強固な情報セキュリティを確保するための厳重な対策を実施する必要がある区域

クラス２

行政事務従事者以外の者の立入りを制限する必要があるなど、情報セキュリティを確保するための対策を実施する必要がある区域

クラス１

クラス３、クラス２以外の要管理対策区域※便宜上、要管理対策区域外の区域はクラス０と呼び、クラス０＜クラス１＜クラス
２＜クラス３の順位を設ける。すなわち、クラス０が最も下位のクラス、クラス
３が最も上位のクラスとなる。
3.2.1(1)-2 統括情報セキュリティ責任者は、クラス１の区域について、以下を含む施設の78

整備、設備の設置等の物理的な対策及び入退管理対策の基準を定めること。
a) 不特定の者が容易に立ち入らないように、壁、施錠可能な扉、パーティション
等で囲むことで、下位のクラスの区域と明確に区分すること。
b) 不特定の者が容易に立ち入らないように、立ち入る者の身元、訪問目的等の確認を行うための措置を講ずること。また、出入口が無人になるなどにより立入りの確認ができない時間帯がある場合には、確認ができない時間帯に施錠するための措置を講ずること。
c) クラス２以上の区域に不正に立ち入った者を容易に判別することができるように、以下を含む措置を講ずること。
• 行政事務従事者は、身分証明書等を着用、明示する。クラス２及びクラス
３の区域においても同様とする。
• 一時的に立ち入った者に入館カード等を貸与し、着用、明示させる。クラス２及びクラス３の区域においても同様とする。この際、一時的に立ち入った者と継続的に立入りを許可された者に貸与する入館カード等やそれと併せて貸与するストラップ等の色分けを行う。また、悪用防止のために一時的に立ち入った者に貸与したものは、退出時に回収する。
3.2.1(1)-3 統括情報セキュリティ責任者は、クラス２の区域について、以下を含む施設の整備、設備の設置等の物理的な対策及び入退管理対策の基準を定めること。
a) クラス２の区域への立入りを許可されていない者が容易に立ち入らないように、壁、施錠可能な扉、パーティション等で囲むことで、下位のクラスの区域と明確に区分すること。ただし、窓口のある執務室等の明確に区分できない区域については、不特定の者が出入りできる時間帯は行政事務従事者が窓口を常に目視できるような措置を講ずること。
b) クラス２の区域への立入りを許可されていない者が容易に立ち入らないように、施錠可能な扉を設置し全員不在時に施錠すること。
c) クラス２の区域へ許可されていない者が容易に立ち入らないように、立ち入る者が許可された者であることの確認を行うための措置を講ずること。
3.2.1(1)-4 統括情報セキュリティ責任者は、クラス３の区域について、以下を含む施設の整備、設備の設置等の物理的な対策及び入退管理対策の基準を定めること。
a) クラス３の区域への立入りを許可されていない者の立入り等を防止するために、壁、常時施錠された扉、固定式のパーティション等強固な境界で下位のクラスの区域と明確に区分すること。
b) クラス３の区域へ許可されていない者が立ち入らないように、立ち入る者が許可された者であることの確認を行うための措置を講ずること。

c) クラス３の区域への立入りを許可されていない者に、不必要に情報を与えないために、区域の外側から内部の重要な情報や情報システムが見えないようにすること。

d) 一時的に立ち入った者が不正な行為を行うことを防止するために、一時的に立ち入った者を放置しないなどの措置を講ずること。業者が作業を行う場合は立79

会いや監視カメラ等により監視するための措置を講ずること。
3.2.1(1)-5 統括情報セキュリティ責任者は、以下を例とする、区域へのクラスの割当ての基準を定めること。
a) クラスの割当ての基準を以下のように定める。
• サーバ室や日常的に機密性が高い情報を取り扱う執務室には、一部の限られた者以外の者が立ち入り盗難又は破壊をすること、情報システムを直接操作して情報窃取すること等を防止するために、クラス３を割り当てる。
• 一般的な執務室や執務室内の会議室には、行政事務従事者以外の者が立ち入り、情報システムを盗難又は破壊すること、情報システムを直接操作して情報窃取すること等を防止するために、クラス２を割り当てる。
（解説） 遵守事項 3.2.1(1)(a)「要管理対策区域の範囲を定める」について執務室やサーバ室のほか、複数の府省庁で共用する会議室や行政事務従事者が書面やモバイル端末等を運搬するときの安全性を高めるために、執務室間や会議室に接続されている廊下等も要管理対策区域に含めることを考慮してもよい。
なお、要管理対策区域外で行政事務を行う必要がある場合には、施設及び環境に係る対策が講じられないことから情報の漏えい等の可能性が高くなる。情報の漏えい等の可能性を低減するためには、要管理対策区域外でのモバイル端末の利用に関する遵守事項（7.1.1 項「端末」の遵守事項 7.1.1(1)(a)(b)、8.1.1 項「情報システムの利用」の遵守事項 8.1.1(1)(b)等）を参照し、適切な対策を行うことが必要である。
 遵守事項 3.2.1(1)(b)(イ)「入退管理対策」について
基本対策事項 3.2.1(1)-2～4 に示した対策の基準のほか、以下を対策の基準に含めてもよい。
• 共連れ（立入りを許可された者が立ち入る際に、立入りを許可されていない者
を同時に立ち入らせるような行為）を防止する措置を講ずること。具体的な対策として、１人ずつでないと立入り及び退出が不可能な設備の利用、警備員の配置による目視確認等が挙げられる。
• 立入りを許可されていない者の侵入等、区域の安全性が侵害された場合に追跡することができるように、立入り及び当該区域からの退出を記録及び監視する措置を講ずること。
「記録及び監視する」具体的な対策として、警備員、監視カ
メラ等による記録及び監視のほか、要管理対策区域への立入り及び当該区域からの退出を管理する装置における立入り及び退出の記録を取得し、当該立入り及び退出の記録を定期的に確認することが挙げられる。継続的に立入りが許可されている者以外の者の立入りがあった場合には、立入りの記録として立ち入った者の氏名及び所属、訪問目的、訪問相手の氏名及び所属、訪問日、立入り
及び退出の時刻を記録することが挙げられる。
• 受渡業者と物品の受渡しを行う場所を制限すること。
なお、「受渡業者」とは、行政事務従事者との物品の受渡しを行う者をいう。物80

品の受渡しとしては、宅配便の集配、事務用品の納入等が考えられる。
「立ち入る者の身元、訪問目的等の確認を行うための措置」
 基本対策事項 3.2.1(1)-2 b)
について
クラス１の区域に「立ち入る者」について、継続的に立入りを許可された者のほか、一時的に立ち入る者（訪問者）がある。継続的に立入りを許可された者として、行政事務従事者や一定期間立入りを認められ、認められたことを示す許可証（入館カード等）が貸与されている業者等を想定している。また、一時的に立ち入る者として、不定期に訪れる来客や受渡業者等を想定している。
「身元、訪問目的等の確認を行うための措置」の具体的な対策として、以下が挙げられる。
• セキュリティゲートの設置、警備員や受付係等の配置をして立ち入る者に身分証明書等の提示を求める。
• 一時的に立ち入る者の氏名及び所属、訪問目的等を記録する。
 基本対策事項 3.2.1(1)-3 c)「クラス２の区域へ許可されていない者が容易に立ち入らないように、立ち入る者が許可された者であることの確認を行うための措置」について具体的な対策として、以下が挙げられる。
• 継続的に立入りが許可されている者に IC カードを貸与して IC カードによる主体認証を行う。
なお、IC カード等による主体認証を行う機能を設けた場合は、立ち入る者の主
体認証情報の管理に関する規定の整備、当該主体認証情報の読取防止のための措置を講ずることが望ましい。
• 継続的に立入りが許可されている者以外の者が立ち入る場合は、立入りを許可する者が自ら区域の境界まで迎えに行く。
• 立入りを監視する警備員、受付係等を配置している場合は、許可する者が警備員等にあらかじめ一時的に立ち入る者の氏名及び所属、訪問目的、訪問相手の氏名及び所属、訪問日時等を伝えておき、一時的に立ち入る者が来訪した際に警備員、受付係等が照合する。
クラス２の区域への立入り時の「許可された者であることの確認」について、クラス１の区域への立入り時に「身元、訪問目的等の確認」ではなく「許可された者であることの確認」を行っている場合においては、それをもって代替してもよい。
 基本対策事項 3.2.1(1)-4 c)「クラス３の区域へ許可されていない者が立ち入らないよ
うに、立ち入る者が許可された者であることの確認を行うための措置」について
具体的な対策として、以下が挙げられる。
• 継続的に立入りが許可されている者に IC カードを貸与して IC カードによる主体認証を行う。
• 継続的に立入りが許可されている者以外の者が立ち入る場合は、立入りを許可する者が自ら区域の境界まで迎えに行く。
81• 継続的に立入りが許可されている者のみに、常時施錠される扉の鍵を貸与した
り、解錠するための暗証番号を通知したりしておき、鍵の所持や入力した暗証番号の一致により、確認する。
 基本対策事項 3.2.1(1)-5「クラスの割当ての基準」について各区域へのクラスの割当ての基準の策定に当たっては【参考 3.2.1-1】を参考にするとよい。本基本対策事項においては、例としてサーバ室や日常的に機密性が高い情報を取り扱う執務室にはクラス３、一般の執務室や執務室内の会議室にはクラス２を割り当てるという基準を示している。
統括情報セキュリティ責任者は、区域情報セキュリティ責任者に、管理する区域で取り扱う情報、設置される情報システムの特性から、外部からの侵入があった場合の被害の大きさを考慮してクラスを決定させる必要があることを踏まえ、本基本対策事
項で示す基準を参考とし、クラスの割当ての基準を定める必要がある。
また、行政事務の単位でクラスの割当ての基準（例：○○、××に関係する行政事
務を行う執務室はクラス３、これら以外の行政事務を行う執務室はクラス２）を定めておくことも考えられる。

【参考 3.2.1-1】 要管理対策区域へのクラスの割当ての例

要管理対策区域へのクラスの割当ての例を図 3.2.1-1～3 に示す。
○府省庁が管理す
る庁舎

サーバ
装置

サーバ
装置

ＰＣ

ＰＣ

ＰＣ

執務室
（日常的に機密性の高い情報を取り扱う）

会議室

クラス３

職員

認証

職員

認証

執務室

ＰＣ

○民間事業者から借用している施設（ビルの一室）

サーバ室

職員

不在時
施錠

クラス２

要管理対策区域

認証

サーバ
装置

複合機
共用会議室

共用会議室

クラス１
廊下

不在時施錠

セキュリティ
ゲート

ロビー（クラス０）

公道

要管理対策
区域外

警備員
民間事業者と共用する施設図 3.2.1-1 要管理対策区域へのクラスの割当ての例１（庁舎及び民間事業者から借用する施
設の例）

82

サーバ
装置

サーバ
装置

サーバ
装置

クラス３

要管理対策区域

ＰＣ

ＰＣ

サーバ室

職員

認証

認証
執務室

ＰＣ

職員

クラス２
執務室

ＰＣ

職員

職員

簡易なゲート（開庁時は常時目視可能）（クラス０）

不在時施錠

要管理対策区域外

窓口

公道

図 3.2.1-2 要管理対策区域へのクラスの割当ての例２（窓口のある執務室の例）

Ｂ省から見て

要管理対策区域
クラス２

要管理対策区域外

クラス１（クラス０）

Ａ省
クラス２

Ｂ省
執務室

共用会議室
ロビー

クラス１

要管理対策区域

執務室

Ａ
省
か
ら
見
て

廊下、ロビー

警備員（クラス０）

公道

要管理対策
区域外

警備員

図 3.2.1-3 要管理対策区域へのクラスの割当ての例３（複数の府省庁で共用する施設の例）

83

遵守事項
(2) 区域ごとの対策の決定(a) 情報セキュリティ責任者は、統括情報セキュリティ責任者が定めた対策の基準を踏まえ、施設及び環境に係る対策を行う単位ごとの区域を定めること。
(b) 区域情報セキュリティ責任者は、管理する区域について、統括情報セキュリティ
責任者が定めた対策の基準と、周辺環境や当該区域で行う行政事務の内容、取り扱
う情報等を勘案し、当該区域において実施する対策を決定すること。

【 基本対策事項 】＜3.2.1(2)(b)関連＞
3.2.1(2)-1 区域情報セキュリティ責任者は、管理する区域において、クラスの割当ての基準を参考にして当該区域に割り当てるクラスを決定するとともに、決定したクラスに対して定められた対策の基準と、周辺環境や当該区域で行う行政事務の内容、取り扱
う情報等を勘案し、当該区域において実施する対策を決定すること。この際、決定したクラスで求められる対策のみでは安全性が確保できない場合は、当該区域で実施する個別の対策を含め決定すること。
（解説） 遵守事項 3.2.1(2)(a)「施設及び環境に係る対策を行う単位ごとの区域を定める」について複数の部局で共用する廊下等の施設については、庁舎管理の観点での各部門の管理
範囲を確認した上で「施設及び環境に係る対策を行う単位ごとの区域」を定めるとよい。共用する施設の区域情報セキュリティ責任者の定め方については、「（解説）遵守事項 2.1.1(4)(b)「区域情報セキュリティ責任者」について」を参照のこと。
 基本対策事項 3.2.1(2)-1「割り当てるクラスを決定する」について
クラス３、クラス２以外の要管理対策区域はクラス１となることにも留意して決定する必要がある。クラス１の区域は、不特定の者が容易に立ち入れない程度の安全性が確保された区域である。したがって、原則として、盗難や盗み見等への対策が講じられていない端末や書面が置かれる区域にクラス１を割り当ててはならない。クラス
１の区域に端末を置く必要がある（例：来訪者受付に来訪者の個人情報が保存されている端末を置く）場合には、セキュリティワイヤ等で固定することや、常時目視により監視するなどの措置を講ずる必要がある。
 基本対策事項 3.2.1(2)-1「当該区域において実施する対策を決定する」について周辺の区域のクラスや管理状況も確認して具体的な対策を決定するとよい。例えば、
クラス３の区域がクラス０の区域と接続している場合は、クラス３の区域の扉の施錠管理をより厳重にすることが考えられる。また、民間事業者が管理するビルの部屋を借りて行政事務を行っているような場合は、当該ビルの共用部分等では十分な対策が講じられないことが想定される。そのような場合には、借用している部屋の入退管理
84

の強化や共用施設での行政事務の禁止を徹底すること等により、安全性を高めることが重要である。
なお、必要な対策が庁舎管理等の別の仕組みにより実施されている場合については、
その対策をもって代替しても構わない。
 基本対策事項 3.2.1(2)-1「個別の対策」について個別の対策については、「（解説）遵守事項 3.2.1(1)(b)(イ)「入退管理対策」について」に示した例（対策の基準となっていない場合）のほか、以下に示す例を参考に決定するとよい。
• 庁舎内の案内板等において、サーバ室等の所在の表示を禁止する。
• 外部から室内が見えるような場所にある会議室において、要機密情報の取扱い
時はブラインドを閉じる。
• 外部の者が周辺の会議室等へ出入りする時間帯には、執務室の扉を施錠する又は開放しない。
• 低階層の窓際等における無線 LAN の傍受対策（テンペスト対策）を行う。
• ワイヤレスマイクの電波が室外にも到達するような会議室において、要機密情報の取扱い時はワイヤレスマイクの使用を禁止する。
• ディスプレイケーブル等から生ずる電磁波から情報が漏えいするおそれがある場合には電磁波軽減フィルタを取り付ける。
• 飲食物をこぼした際に情報システムの運用上の障害が発生するような場所での飲食を禁止する。
• 情報システムに関係する機器の不正な持ち出しが行われていないかを確認する
ために定期的又は不定期に施設からの退出時に持ち物検査を行う。
• クラス３の区域の中でもより厳重な管理が必要な区域において、機器の持込み、利用、持ち出しについて制限を設ける。
• 会議室において、重要な情報を取り扱う会議が開催される時間帯には機器の持込み、利用について制限を設ける。
機器の持込み、利用、持ち出しの制限について詳細を以下に示す。
• 「機器の持込み」とは、行政事務従事者等が、執務室に行政事務に関係しない機器（例：私物のスマートフォン）を持ち込むことや情報システムが設置される区域に当該情報システムに関係しない機器を持ち込むことを指す。
「機器」には、モバイル端末、デジタルカメラ等の撮影機器、IC レコーダー等の録音機器、USB メモリ等の外部電磁的記録媒体等が含まれる。また、私物のスマートフォン等の府省庁支給以外の機器も含まれる。以下に示すように、利用のみを禁止
する対策もあるが、例えば、持ち込まれたスマートフォンが不正プログラムに感染していて、持ち込んだ者の意図に反して撮影や録音をされるという脅威も存在するため、持ち込ませないという対策も考えられる。
• 「機器の利用」とは、行政事務従事者等が、持ち込んだ機器を利用することを指す。
「利用」には、モバイル端末の起動や、デジタルカメラ等による撮影、IC
レコーダー等による録音等が含まれる。管理する区域で取り扱う情報の機密性85

の高さに応じて、利用の制限を設けるか決めるとよい。スマートフォン等の通常電源をオンにしている機器であれば、立ち入る際に電源をオフにさせるという対策も有効である。
• 「機器の持ち出し」とは、情報システムが設置される区域から当該情報システ
ムに関係する者が、当該情報システムに関係するサーバ装置、端末、外部電磁的記録媒体等を持ち出すことを指す。情報セキュリティインシデント発生時に追跡等できるように、機器の持ち出し時には、持ち出しの記録を取ることが考えられる。記録の内容としては、持ち出しを行う者の氏名及び所属、日時、機器名、事由等が挙げられる。

86

遵守事項
(3) 要管理対策区域における対策の実施(a) 区域情報セキュリティ責任者は、管理する区域に対して定めた対策を実施すること。行政事務従事者が実施すべき対策については、行政事務従事者が認識できる措置を講ずること。
(b) 区域情報セキュリティ責任者は、災害から要安定情報を取り扱う情報システムを保護するために物理的な対策を講ずること。
(c) 行政事務従事者は、利用する区域について区域情報セキュリティ責任者が定めた対策に従って利用すること。また、行政事務従事者が府省庁外の者を立ち入らせる
際には、当該府省庁外の者にも当該区域で定められた対策に従って利用させること。

【 基本対策事項 】＜3.2.1(3)(a)関連＞
3.2.1(3)-1 区域情報セキュリティ責任者は、管理する区域について、以下を例とする利用
手順等を整備し、当該区域を利用する行政事務従事者に周知すること。
a) 扉の施錠及び開閉に関する利用手順b) 一時的に立ち入る者が許可された者であることを確認するための手順c) 一時的に立ち入る者を監視するための手順（解説） 遵守事項 3.2.1(3)(a)「行政事務従事者が認識できる措置を講ずる」について当該区域のクラスや当該クラスにおいて行政事務従事者が実施すべき対策を周知す
ることが考えられる。扉の施錠や一時的に立ち入る者が許可された者であることの確
認等の行政事務従事者に実施させる事項については、利用手順を定めて周知するとよい。
なお、関係者限りで利用する区域については、関係者のみに周知することでも構わない。
 遵守事項 3.2.1(3)(b)「物理的な対策」について
地震、火災、停電等の災害から情報システムを保護するための対策を指す。
具体的な対策として、例えば、サーバラックの利用のほか、以下の設備等の設置が挙げられる。
• ハロゲン化物消火設備• 無停電電源装置• 自家発電装置• 空調設備• 耐震又は免震設備
これらの対策については、必ずしも区域情報セキュリティ責任者単独で実施できるものではないが、例えば、情報システムに関係する対策であれば情報システムセキュ
87

リティ責任者、庁舎管理に関係する対策であれば庁舎管理を行う部門の関係者と調整することが求められる。
また、情報システムへの対策として、作業する者が災害によりサーバ装置等に近づくことができない場合に、作業する者の安全性を確保した上で遠隔地からサーバ装置
等の電源を遮断できるようにする機能を設けておくことも考えられる。
 遵守事項 3.2.1(3)(c)「利用する区域について区域情報セキュリティ責任者が定めた対策に従って利用する」について
行政事務従事者は、自身が所属する府省庁が管理する区域を利用する場合は、自府省庁が定めた対策に従って利用することが求められる。一方、他の府省庁が管理する区域を利用する場合には、他の府省庁が定めた対策に従って利用する必要がある。

88

第4部 外部委託

4.1

外部委託

4.1.1 外部委託
目的・趣旨
府省庁外の者に、情報システムの開発、アプリケーションプログラムの開発等を委託する際に、行政事務従事者が当該委託先における情報セキュリティ対策を直接管理することが困難な場合は、委託先において府省庁対策基準に適合した情報セキュリティ対策が確実に実施されるよう、委託先への要求事項を調達仕様書等に定め、委託の際の契約条件とする必要がある。
外部委託には以下の例のように様々な種類があり、また、契約形態も、請負契約や委任、準委任等様々であるが、いずれの場合においても外部委託の契約時には、委託する業務の範囲や委託先の責任範囲等を明確化し、契約者双方で情報セキュリティ対策の詳細について合意形成することが重要である。
なお、民間事業者が約款に基づきインターネット上で無料で提供する情報処理サービス
等、1.5 節において「約款による外部サービス」として定義するものを利用し、行政事務を遂行する場合も外部委託の一つの形態と考えられるが、要機密情報を取り扱わず、委託先における高いレベルの情報管理を要求する必要が無い場合に限るものとし、その際は本項に代えて 4.1.2 項「約款による外部サービスの利用」を適用してもよい。
＜外部委託の例＞• 情報システムの開発及び構築• アプリケーションプログラムやウェブコンテンツ等（以下｢アプリケーション・
コンテンツ」という。
）の開発• 情報システムの運用• パブリッククラウド等外部サービス利用による情報処理役務• 業務運用支援業務（統計、集計、データ入力、媒体変換等）• プロジェクト管理支援業務等• 調査・研究業務（調査、研究、検査等）• 情報システム、データセンター、通信回線等の賃貸借遵守事項(1) 外部委託に係る規定の整備(a) 統括情報セキュリティ責任者は、外部委託に係る以下の内容を含む規定を整備すること。
(ア) 外部委託を認める情報システムの範囲並びに委託先によるアクセスを認める情報及び情報システムの範囲を判断する基準

89

(イ) 委託先の選定基準【 基本対策事項 】規定なし（解説）
 遵守事項 4.1.1(1)(a)(ア)「外部委託を認める情報システムの範囲」について
情報セキュリティ確保の観点から外部委託を認める情報システムの範囲を判断する基準として、以下の内容を含む規定の整備が必要である。
• 取り扱う情報の格付及び取扱制限に応じた外部委託の許可範囲• 外部委託を許可する範囲の具体的例示• 外部委託の実施によるリスクの明確化と受容判断等の情報システムセキュリテ
ィ責任者又は課室情報セキュリティ責任者への許可申請手続の内容
 遵守事項 4.1.1(1)(a)(ア)「委託先によるアクセスを認める情報及び情報システムの範囲」について
委託先や第三者による許可されていない情報及び情報システムへのアクセス等が行
われないように、委託先におけるそれらの取扱いに関する府省庁の基準を規定することを求めている。
特に、委託業務において使用される情報システムが海外のデータセンターに設置されている場合等においては、保存している情報に対して現地の法令等が適用されるため、国内であれば不適切と判断されるアクセスをされる可能性があることに注意が必要である。
「行政機関の保有する個人情報の保護に関する法律」（平成 15 年法律第 58号）で定義する個人情報については、国内法が適用される場所に制限する必要があると考えるため、個人情報を取り扱う委託業務においては、保存された情報等において国内法令が適用されること等を外部委託の際の判断条件としておくべきである。
 遵守事項 4.1.1(1)(a)(イ)「委託先の選定基準」について
統括情報セキュリティ責任者は、委託先の選定基準の整備に当たって、当該委託先が、事業の継続性を有し存続可能であり、府省庁対策基準の要件を満たしていると判断できる場合に限ること等を前提とすることが重要である。
選定基準としては、例えば、委託先が府省庁対策基準の該当項目を遵守し得る者であること、府省庁対策基準と同等の情報セキュリティ管理体制を整備すること、府省庁対策基準と同等の情報セキュリティ対策の教育を委託先の事業従事者に対して実施すること等が挙げられる。
また、府省庁の情報セキュリティ水準を一定以上に保つために、委託先に対して要求すべき情報セキュリティ要件を府省庁内で統一的に整備することが重要である。
委託先の選定基準策定に当たって、委託先の情報セキュリティ水準の評価方法を整備する際、例えば、ISO/IEC 27001 等の国際規格とそれに基づく認証制度の活用、情報セキュリティガバナンスの確立促進のために開発された自己評価によるツール等の応用も考えられる。その場合、委託先の情報セキュリティ水準の認証に関わる認定・
90

認証機関について、これら機関がマネジメントシステム認証の信頼性向上を目的とした取組である「MS 認証信頼性向上イニシアティブ」に参画し、不祥事への対応や透明性確保に係る取組を実施していることを確認することも考えられる。
なお、委託先の選定基準は、法令等の制定や改正等の外的要因の変化に対応して適時見直し、外部委託の実施時に反映することが必要である。

91

遵守事項
(2) 外部委託に係る契約(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、外部委託を実施する際には、選定基準及び選定手続に従って委託先を選定すること。また、
以下の内容を含む情報セキュリティ対策を実施することを委託先の選定条件とし、仕様内容にも含めること。
(ア) 委託先に提供する情報の委託先における目的外利用の禁止(イ) 委託先における情報セキュリティ対策の実施内容及び管理体制(ウ) 委託事業の実施に当たり、委託先企業又はその従業員、再委託先、若しく
はその他の者による意図せざる変更が加えられないための管理体制(エ) 委託先の資本関係・役員等の情報、委託事業の実施場所、委託事業従事者の所属・専門性（情報セキュリティに係る資格・研修実績等）
・実績及び国籍に関する情報提供(オ) 情報セキュリティインシデントへの対処方法(カ) 情報セキュリティ対策その他の契約の履行状況の確認方法(キ) 情報セキュリティ対策の履行が不十分な場合の対処方法(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託する業務において取り扱う情報の格付等を勘案し、必要に応じて以下の内容を仕様に含めること。
(ア) 情報セキュリティ監査の受入れ(イ) サービスレベルの保証(c) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託先がその役務内容を一部再委託する場合は、再委託されることにより生ずる脅威に対して情報セキュリティが十分に確保されるよう、上記(a)(b)の措置の実施を委託先に担保させること。

【 基本対策事項 】＜4.1.1(2)(a)関連＞
4.1.1(2)-1 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、以下の内容を含む委託先における情報セキュリティ対策の遵守方法、情報セキュリティ管理体制等に関する確認書等を提出させること。また、変更があった場合は、速やかに再提出させること。
a) 当該委託業務に携わる者の特定
b) 当該委託業務に携わる者が実施する具体的な情報セキュリティ対策の内容
4.1.1(2)-2 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託先との情報の受渡し方法や委託業務終了時の情報の廃棄方法等を含む情報の取扱手順について委託先と合意し、定められた手順により情報を取り扱うこと。

92

（解説）
 遵守事項 4.1.1(2)(a)「委託先の選定条件とし、仕様内容にも含める」について
一般競争入札の中でも総合評価落札方式で行う場合は、遵守事項 4.1.1(2)(a)の(ア)～(キ)について、評価の際に入札者に対し提出を求めるなど、選定条件を満たしているかの確認をすること。また、事前に評価を行えない最低価格落札方式等で行う場合であっ て も、 仕様 書に 対する 履 行能 力証 明書 等を提 出 させ るな どに より、 遵 守事 項
4.1.1(2)(a)の(ア)～(キ)について契約時までに提出することを確約させること。
なお、委託事業の内容によっては、一部の条件が設定不可能な場合や意味をなさな
い場合も考えられるため、そのような場合には、除外することもやむを得ない。
また、国の安全に関する重要な情報を委託先に取り扱わせることを内容とする外部委託契約については、「調達における情報セキュリティ要件の記載について」（平成 24
年 1 月 24 日、内閣官房副長官から各省庁大臣官房長等あて）に基づく情報セキュリテ
ィ要件も当該契約に含めること。
 遵守事項 4.1.1(2)(a)(ア)「委託先に提供する情報の委託先における目的外利用の禁止」
について
本事項については、委託時における必須条件であり、仕様に明記し委託先に遵守させる必要がある。
「情報セキュリティ対策に関する官民連携の在り方について」（平成 24 年１月 19 日
情報セキュリティ対策推進会議 官民連携の強化のための分科会）においては、「国の安全に関する重要な情報を国以外の者に扱わせることを内容とする契約を行う際には、契約方式にかかわらず、契約に係る業務の実施のために国が提供する国の安全に関する重要な情報その他当該業務の実施において知り得た国の安全に関する重要な情報については、情報のライフサイクルの観点から管理方法を定め、その秘密を保持させ、また当該業務の目的以外に利用させない」との旨が記載されている。
 遵守事項 4.1.1(2)(a)(ウ)「意図せざる変更が加えられないための管理体制」について
情報システムの開発等の外部委託において、「意図せざる変更が加えられないための管理体制」が確保されることを求めている。
具体的に仕様書等に記載する事項としては、例えば以下が考えられる。
• 情報システムの開発工程において、府省庁の意図しない変更が行われないことを保証する管理が、一貫した品質保証体制の下でなされていること。また、当該品質保証体制が書類等で確認できること。
• 情報システムに府省庁の意図しない変更が行われるなどの不正が見付かったときに、追跡調査や立入検査等、府省庁と委託先が連携して原因を調査・排除できる体制を整備していること。また、当該体制が書類等で確認できること。
 遵守事項 4.1.1(2)(a)(エ)「委託先の資本関係・役員等の情報、委託事業の実施場所、
委託事業従事者の所属・専門性（情報セキュリティに係る資格・研修実績等）・実績
及び国籍に関する情報提供」について遵守事項 4.1.1(2)(a)(ウ)「意図せざる変更が加えられないための管理体制」における
93

管理体制等を確認する際の参照情報として用いるため、提供を求める規定である。
 遵守事項 4.1.1(2)(a)(エ)「委託事業の実施場所」について
データセンター等のスペースを借用して情報システムを設置する場合等では、要安
定情報を取り扱う情報システムにおいて、自然災害による影響を考慮し、データセン
ターの立地条件をあらかじめ考慮しておく必要がある。
また、委託業務において使用する情報システムが民間事業者等の府省庁外のデータセンターに設置される場合においては、「（解説）遵守事項 4.1.1(1)(a)(ア)「委託先によるアクセスを認める情報及び情報システムの範囲」について」を参照のこと。
 遵守事項 4.1.1(2)(a)(カ)「情報セキュリティ対策その他の契約の履行状況の確認方法」
について
委託先における情報セキュリティ対策の水準を維持するためには、その履行状況を
委託元が継続的に確認すべきであり、また、履行が不十分である場合に速やかに適切な対処をすべきである。
情報セキュリティ対策の履行状況を確認するための方法としては、例えば、委託先における情報セキュリティ対策の実施状況について定期的に報告させることや情報セ
キュリティ監査等が考えられる。情報セキュリティ監査の内容には、請け負わせる業
務のうち監査の対象とする範囲、実施者（府省庁が指定する第三者、委託先が選定する第三者、府省庁又は委託先において当該業務を行う部門とは独立した部門）、実施方法（情報セキュリティ監査基準の概要、実施場所等）等、当該情報セキュリティ監査を受け入れる場合の委託先の負担及び委託先候補の情報セキュリティポリシーとの整合性等を委託先候補が判断するために必要と考えられる事項を含める。
 遵守事項 4.1.1(2)(a)(キ)「情報セキュリティ対策の履行が不十分な場合の対処方法」
について
情報セキュリティ対策の履行が不十分である場合の対処方法としては、例えば、委託先と改善について協議を行い、合意した改善策を実施させること等が考えられる。
また、情報システムセキュリティ責任者又は課室情報セキュリティ責任者自身が契約を行わない場合には、本遵守事項に係る取決めについて、契約する者に対して依頼する必要がある。
 遵守事項 4.1.1(2)(b)「取り扱う情報の格付等を勘案し、必要に応じて以下の内容を仕様に含めること」について
要保護情報を委託先にて取り扱う場合には、必要時に情報セキュリティ対策の履行状況の報告を求めるものである。また、委託先への立入検査又は情報セキュリティに関する監査を実施する場合には、監査の対象とする範囲、実施者及び実施方法等を含む委託先と合意した事項について、契約に含めるなどにより明らかとしておくことが必要である。
また、要安定情報を取り扱う場合には、サービスレベルの保証について委託先と契約を取り交わすことを検討する必要がある。サービスレベルに関しては、セキュリテ
ィ確保の観点からも、可用性、通信の速度及び安定性、データの保存期間及び方法、
94

データ交換の安全性及び信頼性確保のための方法、情報セキュリティインシデントの対処方法等を決定し、委託先に保証させることが重要である。
 基本対策事項 4.1.1(2)-2「情報の取扱手順」について
格付及び取扱制限の明示等、運搬又は送信、消去等の情報の取扱いに関して、委託先においても府省庁対策基準に定める内容と同等の取扱いが行われるよう、あらかじめ委託先と合意しておくことが重要である。また、委託先に提供する情報は必要最小限にとどめる必要があるが、情報システムの利用等において目的外の不必要なアクセスが行われる可能性も考慮し、委託先における情報の取扱状況を適宜把握することも重要である。

95

遵守事項(3) 外部委託における対策の実施(a) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、契約に基づき、委託先における情報セキュリティ対策の履行状況を確認すること。
(b) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託した業務において、情報セキュリティインシデントの発生若しくは情報の目的外利用等を認知した場合又はその旨の報告を行政事務従事者より受けた場合は、当該サービスの利用を中止するなど、必要な措置を講じ、委託先に契約に基づく必要な措置を講じさせること。
(c) 情報システムセキュリティ責任者又は課室情報セキュリティ責任者は、委託した業務の終了時に、委託先において取り扱われた情報が確実に返却、又は抹消されたことを確認すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 4.1.1(3)(a)「情報セキュリティ対策の履行状況を確認する」について
委託先における情報セキュリティ対策の履行状況の確認に際し、情報セキュリティ
監査を利用することとした場合には、契約に基づいた監査の範囲及び実施方法に従い、府省庁自らが情報セキュリティ監査を行う以外に、第三者又は委託先に情報セキュリ
ティ監査を行わせることが考えられる。
 遵守事項 4.1.1(3)(c)「情報が確実に返却、又は抹消されたことを確認する」について
当該遵守事項を行政事務従事者に求めるに当たり、委託先ともあらかじめ具体的な確認手段を定め、合意しておくことが望ましい。情報が完全に抹消されたことを確認することが困難な場合は、確認書を委託先に提出させるなどの方法も考慮する必要が
ある。

96

遵守事項
(4) 外部委託における情報の取扱い(a) 行政事務従事者は、委託先への情報の提供等において、以下の事項を遵守すること。
(ア) 委託先に要保護情報を提供する場合、提供する情報を必要最小限とし、あらかじめ定められた安全な受渡し方法により提供すること。
(イ) 提供した要保護情報が委託先において不要になった場合は、これを確実に返却又は抹消させること。
(ウ) 委託業務において、情報セキュリティインシデントの発生又は情報の目的
外利用等を認知した場合は、速やかに情報システムセキュリティ責任者又は課室情報セキュリティ責任者に報告すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 4.1.1(4)(a)「委託先への情報の提供」について
委託契約開始から終了に至るまでに行う委託先への情報の提供に伴う要機密情報の漏えい等を防止するためには、委託業務に係る行政事務従事者それぞれが委託先との情報の授受時に情報セキュリティを確保することが重要である。
委託先への情報の提供に関する解説については、「（解説）遵守事項 3.1.1(5)(b)「提供先において」
・「適切に取り扱われるよう」について」を参照のこと。

97

4.1.2 約款による外部サービスの利用
目的・趣旨
外部委託により行政事務を遂行する場合は、原則として 4.1.1 項「外部委託」にて規定す
る事項について、委託先と特約を締結するなどし、情報セキュリティ対策を適切に講ずる必要がある。しかしながら、要機密情報を取り扱わない場合であって、委託先における高いレベルの情報管理を要求する必要が無い場合には、民間事業者が約款に基づきインター
ネット上で無料で提供する情報処理サービス等、1.5 節において「約款による外部サービス」
として定義するものを利用することも考えられる。
このような「約款による外部サービス」をやむを得ず利用する場合には、リスクを十分踏まえた上で利用を判断し、本項に定める遵守事項に従って情報セキュリティ対策を適切に講ずることが求められる。

遵守事項(1) 約款による外部サービスの利用に係る規定の整備(a) 統括情報セキュリティ責任者は、以下を含む約款による外部サービスの利用に関する規定を整備すること。また、当該サービスの利用において要機密情報が取り扱われないよう規定すること。
(ア) 約款による外部サービスを利用してよい業務の範囲(イ) 業務に利用する約款による外部サービス(ウ) 利用手続及び運用手順(b) 情報セキュリティ責任者は、約款による外部サービスを利用する場合は、利用するサービスごとの責任者を定めること。

【 基本対策事項 】＜4.1.2(1)(a)(ウ)関連＞
4.1.2(1)-1 統括情報セキュリティ責任者は、府省庁において約款による外部サービスを業務に利用する場合は、以下を例に利用手続及び運用手順を定めること。
a) 利用申請の許可権限者b) 利用申請時の申請内容• 利用する組織名• 利用するサービス• 利用目的（業務内容）• 利用期間• 利用責任者（利用アカウントの責任者）
c) サービス利用中の安全管理に係る運用手順• サービス機能の設定（例えば情報の公開範囲）に関する定期的な内容確認• 情報の滅失、破壊等に備えたバックアップの取得• 利用者への定期的な注意喚起（禁止されている要機密情報の取扱いの有無
98

の確認等）d) 情報セキュリティインシデント発生時の連絡体制（解説） 遵守事項 4.1.2(1)(a)「約款による外部サービス」について「約款による外部サービス」としては、民間事業者等がインターネット上で不特定の利用者（主に一般消費者）に対して提供する電子メール、ファイルストレージ、グループウェア等のクラウドサービスが代表的であり、有料、無料に関わらず、約款への同意及び簡易なアカウントの登録により当該機能を利用可能なサービスは約款による外部サービスとなる。行政事務従事者が個人で取得したメールアカウント等を業務で利用する場合についても約款による外部サービスの利用に当たることから、注意する必要がある。
その他に民間事業者が約款により提供する情報処理に関わるサービスとしては、電気通信サービスや郵便、運送サービス等があるが、これらは「約款による外部サービス」の適用範囲外である。
 遵守事項 4.1.2(1)(a)(ア)「約款による外部サービスを利用してよい業務の範囲」について取り扱う情報の格付及び取扱制限に応じて、情報セキュリティの確保の観点から、約款による外部サービスを利用してよい業務の範囲を定めることを求めている。
約款による外部サービス利用に当たってのリスクには、以下のようなものがある。
統括情報セキュリティ責任者は、これらのリスクを受容するか又は低減するための措置を講ずることが可能であるかを十分検討した上で、許可する業務の範囲を決定する必要がある。
• サービス提供者は、保存された情報を自由に利用することが可能である。また、約款、利用規約等でその旨を条件として明示していない場合がある。
• 情報が意に反して公開されてしまった場合や、情報が改ざんされた場合でも、
サービス提供者は一切の責任を負わない。
• サービス提供者が海外のデータセンター等に情報を保存している場合は、保存している情報に対し、現地の法令等が適用され、現地政府機関等から情報にアクセスされる可能性がある。
• 突然サービス停止に陥ることがある。また、その際に預けた情報の取扱いは保証されず、損害賠償も行われない場合がある。約款の条項は一般的にサービス提供者に不利益が生じないようになっており、このような利用条件に合意せざるを得ない。また、サービスの復旧についても保証されない場合が多い。
• 保存された情報が誤って消去又は破壊されてしまった場合に、復元に応じない可能性がある。また、復元に応じる場合でも復旧に時間がかかることがある。
• 約款及び利用規約の内容が、サービス提供者側の都合で利用開始後事前通知等無しで一方的に変更されることがある。
• 情報の取扱いが保証されず、一旦記録された情報の確実な消去は困難である。
99

• 利用上の不都合、不利益等が発生しても、サービス提供者が個別の対応には応じない場合が多く、万が一対応を承諾された場合でも、その対応には時間を要することが多い。
なお、本項において、約款による外部サービスで要機密情報を取り扱うことを禁止しているが、例外措置としてやむを得ず要機密情報を約款による外部サービスにおいて取り扱う場合においても、上記リスクを踏まえ、適切な対策を講じた上で利用することが求められる。例えば、海外のデータセンター等に情報を保存し、現地の法令等が適用されることで情報の漏えいにつながるリスクについては、国内にサーバが設置される事業者に委託し、国内法令が適用されることを事前に確認できれば当該リスクを低減することが可能と判断できる。このように、サービス提供者のサービス提供形
態により回避可能なリスクもあることから、約款、利用規約等の詳細を確認するなどして例外措置の可否を判断することが重要である。
 遵守事項 4.1.2(1)(a)(イ)「業務に利用する約款による外部サービス」について約款による外部サービスのうち利用可能なサービスについて、以下を例にサービスを特定し、府省庁の基準として定めることが考えられる。
なお、以下の例は要機密情報を取り扱わないことが前提であることに注意すること。
• サービス約款や利用規約の内容• サービス事業者の情報セキュリティポリシー及びプライバシーポリシー• 提供サービスにおけるセキュリティ設定及びプライバシー設定の方法（初期設定を含む。
）• 情報セキュリティインシデント発生時における個別対応の可否（運用実績等を勘案するとよい。
）
 遵守事項 4.1.2(1)(b)「責任者」・基本対策事項 4.1.2(1)-1 a)「許可権限者」について遵守事項 4.1.2(1)(b)に定める「責任者」と基本対策事項 4.1.2(1)-1 a)に定める「許可権限者」は同一であり、約款による外部サービスを利用する場合において、利用可否を判断する責任者となる。当該責任者は、利用可能なサービスごとに設置され、利用部門からの申請を受け付けて、申請内容に従い利用を許可することになる。一人の責任者が複数のサービスを所管してもよい。また、当該責任者は、所管する約款による
外部サービスについて、約款及び利用規約の変更の有無等について定期的に状況把握することが求められる。
なお、当該責任者には、所管する約款による外部サービスに関する技術的な知見を有し、約款による外部サービスを利用する際に考慮すべきリスクを十分理解し、個々の利用申請に対して適切に判断することが可能な者を充てることが必要である。
」について
 基本対策事項 4.1.2(1)-1 b)「利用責任者（利用アカウントの責任者）
遵守事項 4.1.2(1)(b)及び基本対策事項 4.1.2(1)-1 a)において定めている責任者（許可権限者）とは別に、約款による外部サービスを利用する際に利用アカウントごとの責任者を利用責任者として定めることを求めている。利用部門において利用責任者を定めることになるが、課室情報セキュリティ責任者、情報システムセキュリティ責任者、
100

又は約款による外部サービスの許可権限者が利用責任者を兼ねるなど、組織の規模や特性に応じて柔軟に定めてよい。

【参考 4.1.2-1】約款による外部サービスの利用申請フローの例
約款による外部サービスの申請手続及び申請許可権限者、運用管理者等の配置例を図4.1.2-1 に示す。
府省庁内共通ルールの整備

統括情報セキュリティ責任者• 利用してよい業務の範囲• 利用可能な約款による外部サービス• 申請手続き等の利用手順～ 部局等の組織のまとまり ～情報セキュリティ責任者
指名利用するサービスごとの
責任者
利用
申請

• 所管するサービスの利用に関する許可• 所管する約款による外部サービスの提供事業者の監視

許可～ 課室等の利用部門 ～指名

利用アカウントごとの
責任者

設定管理
管理担当者

利用状況
の管理

約款による外部サービスを提供するクラウドサーバ

利用

図 4.1.2-1 約款による外部サービスの申請手続及び責任者の役割例

101

遵守事項
(2) 約款による外部サービスの利用における対策の実施(a) 行政事務従事者は、利用するサービスの約款、その他の提供条件等から、利用に当たってのリスクが許容できることを確認した上で約款による外部サービスの利用を申請し、適切な措置を講じた上で利用すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 4.1.2(2)(a)「利用に当たってのリスク」について
個々の行政事務の遂行において、約款による外部サービスの利用を検討する際は、当該サービスの約款、利用規約、その他の利用条件を確認し、以下のリスクや課題への対策を明確化した上で、適切に利用の必要性を判断することが必要である。
なお、以下に掲げるリスクの例は、要機密情報を約款による外部サービスにて取り扱わないことを前提としたものであることに注意すること。
• サーバ装置の故障や運用手順誤り等により、サーバ装置上の情報が滅失して復元不可能となるおそれがある。
• サーバ装置上の要保全情報が第三者等により改ざんされ、復元が困難となるおそれがある。
• サービスが突然停止されるおそれがある。
• 約款や利用規約等が予告なく一方的に変更され、セキュリティ設定が変更されるおそれがある。
• 情報の取扱いが保証されず、一旦記録された情報を確実に消去することができないおそれがある。

102

4.1.3 ソーシャルメディアサービスによる情報発信
目的・趣旨
インターネット上において、ブログ、ソーシャルネットワーキングサービス、動画共有サイト等の、利用者が情報を発信し、形成していく様々なソーシャルメディアサービスが普及している。政府機関においても、積極的な広報活動等を目的に、こうしたサービスが利用されるようになっている。しかし、ソーシャルメディアサービスを使うには、約款による外部サービスを利用せざるを得ず、政府ドメイン名を使用することもできないため、政府機関になりすましたアカウントが現れる可能性を避けらない。また、政府機関のアカ
ウントを乗っ取られる場合や、利用しているソーシャルメディアサービスが予告なくサービス停止した際に必要な情報を発信できない事態が生ずる場合も想定される。そのため、
要安定情報等の重要な情報を広く提供する際には、府省庁の自己管理ウェブサイトに当該情報を掲載した上でソーシャルメディアサービスを併用するなど、当該情報を必要とする国民等が一次情報源を確認できる形での情報発信が必要である。加えて、虚偽情報により国民等の混乱が生じることのないよう、発信元は、なりすまし対策等について措置を講じておく必要がある。
このようなソーシャルメディアサービスは機能拡張やサービス追加等の技術進展が激しいことから、常に当該サービスの運用事業者等の動向等外部環境の変化に機敏に対応することが求められる。

遵守事項(1) ソーシャルメディアサービスによる情報発信時の対策(a) 統括情報セキュリティ責任者は、府省庁が管理するアカウントでソーシャルメディアサービスを利用することを前提として、以下を含む情報セキュリティ対策に関する運用手順等を定めること。
(ア) 府省庁のアカウントによる情報発信が実際の府省庁のものであると明らかとするために、アカウントの運用組織を明示するなどの方法でなりすましへの対策を講ずること。
(イ) パスワード等の主体認証情報を適切に管理するなどの方法で不正アクセスへの対策を講ずること。
(b) 情報セキュリティ責任者は、府省庁において情報発信のためにソーシャルメディ
アサービスを利用する場合は、利用するソーシャルメディアサービスごとの責任者を定めること。
(c) 行政事務従事者は、要安定情報の国民への提供にソーシャルメディアサービスを用いる場合は、府省庁の自己管理ウェブサイトに当該情報を掲載して参照可能とすること。

【 基本対策事項 】＜4.1.3(1)(a)関連＞
103

4.1.3(1)-1 統括情報セキュリティ責任者は、ソーシャルメディアの閲覧者の信頼を確保し、その情報セキュリティ水準の低下を招かないよう、以下を含む対策を手順として定めること。
a) アカウント運用ポリシー（ソーシャルメディアポリシー）を策定し、ソーシャ
ルメディアのアカウント設定における自由記述欄又はソーシャルメディアアカ
ウントの運用を行っている旨の表示をしている府省庁ウェブサイト上のページに、アカウント運用ポリシーを掲載する。特に、専ら情報発信に用いる場合には、その旨をアカウント運用ポリシーに明示する。
b) URL 短縮サービスは、利用するソーシャルメディアサービスが自動的に URL
を短縮する機能を持つ場合等、その使用が避けられない場合を除き、原則使用しない。
4.1.3(1)-2 統括情報セキュリティ責任者は、府省庁のアカウントによる情報発信が実際の府省庁のものであると認識できるようにするためのなりすまし対策として、以下を含む対策を手順として定めること。
a) 府省庁からの情報発信であることを明らかにするために、アカウント名やアカ
ウント設定の自由記述欄等を利用し、府省庁が運用していることを利用者に明示すること。
b) 府省庁からの情報発信であることを明らかにするために、府省庁が政府ドメイ
ン名を用いて管理しているウェブサイト内において、利用するソーシャルメデ
ィアのサービス名と、そのサービスにおけるアカウント名又は当該アカウント
ページへのハイパーリンクを明記するページを設けること。
c) 運用しているソーシャルメディアのアカウント設定の自由記述欄において、当該アカウントの運用を行っている旨の表示をしている府省庁ウェブサイト上のページの URL を記載すること。
d) ソーシャルメディアの提供事業者が、アカウント管理者を確認しそれを表示等する、いわゆる「認証アカウント（公式アカウント）」と呼ばれるアカウントの発行を行っている場合には、可能な限りこれを取得すること。
4.1.3(1)-3 統括情報セキュリティ責任者は、第三者が何らかの方法で不正にログインを行い、偽の情報を発信するなどの不正行為を行う、いわゆる「アカウント乗っ取り」を防止するために、ソーシャルメディアのログインパスワードや認証方法について、以下を含む管理手順を定めること。
a) パスワードを適切に管理すること。具体的には、ログインパスワードは十分な長さと複雑さを持たせ、パスワードを知る担当者を限定し、パスワードの使い回しをしないこと。
b) 二段階認証やワンタイムパスワード等、アカウント認証の強化策が提供されている場合は、可能な限り利用すること。
c) ソーシャルメディアへのログインに利用する端末を紛失したり盗難に遭ったりした場合は、その端末を悪用されてアカウントを乗っ取られる可能性があるた
め、当該端末の管理を厳重に行うこと。

104d) ソーシャルメディアへのログインに利用する端末が不正アクセスされると、その端末が不正に遠隔操作されたり、端末に保存されたパスワードが窃取された
りする可能性がある。これらを防止するため、少なくとも端末には最新のセキュリティパッチの適用や不正プログラム対策ソフトウェアを導入するなど、適切なセキュリティ対策を実施すること。
4.1.3(1)-4 統括情報セキュリティ責任者は、なりすましや不正アクセスを確認した場合の対処として、以下を含む対処手順を定めること。
a) 自己管理ウェブサイトに、なりすましアカウントが存在することや当該ソーシャルメディアを利用していないこと等の周知を行い、また、信用できる機関やメディアを通じて注意喚起を行うこと。
b) アカウント乗っ取りを確認した場合には、被害を最小限にするため、ログイン
パスワードの変更やアカウントの停止を速やかに実施し、自己管理ウェブサイ
ト等で周知を行うとともに、自組織の CSIRT や内閣官房情報セキュリティセン
ターに報告するなど、適切な対処を行うこと。
（解説） 遵守事項 4.1.3(1)(a)「運用手順等を定める」について
運用手順等を定めるに当たっては、ソーシャルメディアの閲覧者の信頼を確保し、その情報セキュリティ水準を低下させることがないよう留意する必要がある。政府機
関のアカウントにおいて、第三者アカウントの投稿の引用や、第三者が管理又は運用するウェブサイト等へのリンクを掲載することは、当該の投稿やウェブサイト等の内容を信頼性のあるものとして認めていると受け取られることや、リンク掲載後に当該の投稿やウェブサイト等の内容が変更される可能性があることを考慮した上で、慎重に行う必要がある。
 遵守事項 4.1.3(1)(b)「情報発信」について一旦発信した情報は、ソーシャルメディアを通じて瞬時に拡散してしまうため、完全に削除することは不可能となる。このため、当該情報が要機密情報の漏えい等につながる可能性がないかなど、情報発信する前にその影響を十分に再確認する必要がある。
 遵守事項 4.1.3(1)(b)「責任者」について遵守事項 4.1.2(1)(b)にて定めている責任者と同等であり、ソーシャルメディアサービ
スの利用申請を受け付けて、利用を許可する許可権限者となる。申請手順や利用責任者の設置等の運用方法については、4.1.2 項「約款による外部サービスの利用」を参照
すること。

105

第5部 情報システムのライフサイクル

5.1

情報システムに係る文書等の整備

5.1.1 情報システムに係る台帳等の整備
目的・趣旨
府省庁が所管する情報システムの情報セキュリティ水準を維持するとともに、情報セキュリティインシデントに適切かつ迅速に対処するためには、府省庁が所管する情報システ
ムの情報セキュリティ対策に係る情報を情報システム台帳で一元的に把握するとともに、
情報システムの構成要素に関する調達仕様書や設定情報等が速やかに確認できるように、日頃から文書として整備しておき、その所在を把握しておくことが重要である。

遵守事項(1) 情報システム台帳の整備(a) 統括情報セキュリティ責任者は、全ての情報システムに対して、当該情報システ
ムのセキュリティ要件に係る事項について、情報システム台帳に整備すること。
(b) 情報システムセキュリティ責任者は、情報システムを新規に構築し、又は更改する際には、当該情報システム台帳のセキュリティ要件に係る内容を記録又は記載し、当該内容について統括情報セキュリティ責任者に報告すること。

【 基本対策事項 】＜5.1.1(1)(a)関連＞
5.1.1(1)-1 統括情報セキュリティ責任者は、以下の内容を含む台帳を整備すること。
a) 情報システム名b) 管理課室c) 当該情報システムセキュリティ責任者の氏名及び連絡先d) システム構成e) 接続する府省庁外通信回線の種別f) 取り扱う情報の格付及び取扱制限に関する事項
g) 当該情報システムの設計・開発、運用・保守に関する事項
また、民間事業者等が提供する情報処理サービスにより情報システムを構築する場合
は、以下を含む内容についても台帳として整備すること。
a) 情報処理サービス名b) 契約事業者c) 契約期間d) 情報処理サービスの概要e) ドメイン名（インターネット上で提供される情報処理サービスを利用する場合）
106f) 取り扱う情報の格付及び取扱制限に関する事項＜5.1.1(1)(b)関連＞
5.1.1(1)-2 情報システムセキュリティ責任者は、政府情報システム管理データベースの登録対象となるシステムについては、当該データベースに必要な情報を記録すること。
（解説） 遵守事項 5.1.1(1)(a)「情報システム台帳に整備する」について
あらかじめ統括情報セキュリティ責任者が認めた場合には、統括情報セキュリティ
責任者が指定した者に当該台帳を整備させることが考えられる。その際には、統括情報セキュリティ責任者は、指定した者より適宜情報システム台帳の整備状況について報告を受けることが望ましい。統括情報セキュリティ責任者は、台帳の整備状況について把握しておくことが重要である。
 遵守事項 5.1.1(1)(b)「情報システムを新規に構築し、又は更改する際には」について台帳の整備内容の網羅性維持のため、情報システムセキュリティ責任者は、情報システムを新規に構築した際又は更改した際には、速やかに台帳に記載の事項を報告する必要がある。
なお、台帳を最新に保つため、台帳に記載の事項に変更が生じた場合には、当該変更事項を報告し、台帳を更新する必要があるが、その報告の方法や時期については、
府省庁ごとに定めることが望ましい。
 基本対策事項 5.1.1(1)-1 d)「システム構成」について当該事項については、各情報システムの運用管理に際して整備した文書に記載する事項のうち、府省庁としての情報セキュリティ対策を行うために一元的に把握する必要があると判断する事項を含める必要がある。
 基本対策事項 5.1.1(1)-1 g)「設計・開発、運用・保守に関する事項」について
当該情報システムの設計・開発、運用・保守に関する事項の記載は、実施責任者又は実施担当組織、外部委託した場合には委託先及び委託契約形態に関する情報が考えられるが、当該情報システムのライフサイクルに関する経緯や現状を把握し、情報セキュリティ上の問題等が発生した場合に適切な対策を指示するために必要な事項である。
 基本対策事項 5.1.1(1)-2「民間事業者等が提供する情報処理サービスにより情報シス
テムを構築する場合」について府省庁として独自の情報システムを構築せずに、民間事業者等が提供するクラウドサービス等の情報処理サービスを利用して情報システムを構築し運用する場合や通信事業者が提供する回線サービスを利用して情報処理業務を行う場合は、利用する情報処理サービス名や契約事業者等の事項を記載したサービス契約に係る書類を適切に管理しておくことが重要である。これらの書類を集約し、容易に参照できるようにする
ことをもって台帳整備に代えることができる。

107なお、約款による外部サービスを利用する際は、事業者から提供される情報が十分でない場合が想定されるため、その場合は、利用する外部サービスに応じた内容の台帳を整備することも考えられる。
 基本対策事項 5.1.1(1)-2「政府情報システム管理データベースの登録対象となるシス
テム」について情報システム台帳の整備に当たっては、政府機関の情報システムを統一的に管理する政府情報システム管理データベースにおいて管理することが求められる。当該デー
タベースの管理対象となるシステムについては、データベースにおいて管理することをもって台帳整備に代えることができる。

108

遵守事項
(2) 情報システム関連文書の整備(a) 情報システムセキュリティ責任者は、所管する情報システムの情報セキュリティ対策を実施するために必要となる文書として、以下を網羅した情報システム関連文書を整備すること。
(ア) 情報システムを構成するサーバ装置及び端末関連情報(イ) 情報システムを構成する通信回線及び通信回線装置関連情報(ウ) 情報システム構成要素ごとの情報セキュリティ水準の維持に関する手順(エ) 情報セキュリティインシデントを認知した際の対処手順【 基本対策事項 】＜5.1.1(2)(a)(ア)関連＞
5.1.1(2)-1 情報システムセキュリティ責任者は、所管する情報システムを構成するサーバ
装置及び端末に関連する情報として、以下を含む文書を整備すること。
a) サーバ装置及び端末を管理する行政事務従事者及び利用者を特定する情報b) サーバ装置及び端末の機種並びに利用しているソフトウェアの種類及びバージ
ョンc) サーバ装置及び端末の仕様書又は設計書＜5.1.1(2)(a)(イ)関連＞
5.1.1(2)-2 情報システムセキュリティ責任者は、所管する情報システムを構成する通信回線及び通信回線装置関連情報として、以下を含む文書を整備すること。
a) 通信回線及び通信回線装置を管理する行政事務従事者を特定する情報b) 通信回線装置の機種並びに利用しているソフトウェアの種類及びバージョンc) 通信回線及び通信回線装置の仕様書又は設計書d) 通信回線の構成
e) 通信回線装置におけるアクセス制御の設定
f) 通信回線を利用する機器等の識別コード、サーバ装置及び端末の利用者と当該利用者の識別コードとの対応g) 通信回線の利用部門＜5.1.1(2)(a)(ウ)関連＞
5.1.1(2)-3 情報システムセキュリティ責任者は、所管する情報システムについて、情報シ
ステム構成要素ごとのセキュリティ維持に関する以下を含む手順を定めること。
a) サーバ装置及び端末のセキュリティの維持に関する手順b) 通信回線を介して提供するサービスのセキュリティの維持に関する手順c) 通信回線及び通信回線装置のセキュリティの維持に関する手順（解説） 遵守事項 5.1.1(2)(a)「情報システム関連文書を整備する」について当該事項については、各情報システムの運用管理に際して整備した文書に記載する
109

事項のうち、府省庁としての情報セキュリティ対策を行うために一元的に把握する必要があると判断するものを含める必要がある。
文書の整備に当たっては、維持管理が容易となるように適切な単位で整備することが望ましい。また、文書は電磁的記録として整備してもよい。
また、所管する情報システムに変更があった場合、また、想定しているリスクが時間の経過により変化した場合等、整備した文書の見直しが必要になるため、文書の見直しを定期的に行うことをあらかじめ定めておくとよい。
なお、約款による外部サービスを利用する際は、事業者から提供される情報が十分でない場合が想定されるため、その場合は、利用する外部サービスに応じた内容の情報システム関連文書を整備することも考えられる。
 遵守事項 5.1.1(2)(a)(エ)「情報セキュリティインシデントを認知した際の対処手順」
について
情報セキュリティインシデントが発生した際の対処手順は、当該情報システムの個
別の事情に合わせて整備される対処手順である。本対処手順は、以下に示すような情報システムの事情に応じて整備されることが望ましい。
• 業務継続計画で定める当該情報システムを利用する業務の重要性• 情報システムの運用等の外部委託の内容
また、手順に記載される内容として、例えば以下が想定される。
• 情報セキュリティインシデントの内容・影響度の大きさに応じた情報連絡先のリスト• 情報システムを障害等から復旧させるために当該情報システムの停止が必要な
場合の、停止の可否の判断基準• 情報セキュリティインシデントに対する情報システムの構成要素ごとの対処に関する事項• 不正プログラム対策ソフトウェアでは検知されない新種の不正プログラムに感染した場合等に支援を受けるための外部の専門家の連絡先
なお、統括情報セキュリティ責任者が整備する対処手順（「（解説）遵守事項 2.2.4(1)(b)「対処手順」について」を参照のこと。
）が、情報システムの事情に応じた内容で整備されているならば、情報システム別に整備しなくても構わない。
 基本対策事項 5.1.1(2)-1 a)・基本対策事項 5.1.1(2)-2 a)「管理する行政事務従事者」
について
サーバ装置及び端末の管理者及び利用者、通信回線及び通信回線装置の管理者の記載は、情報システムの構成要素の管理状況を確実に把握できるようにするとともに、障害等を防止する責任の所在を明確化するために必要な事項である。
 基本対策事項 5.1.1(2)-1 b)・基本対策事項 5.1.1(2)-2 b)「機種並びに利用しているソ
フトウェアの種類及びバージョン」について
サーバ装置及び端末、通信回線装置の機種並びに利用ソフトウェアの種類及びバージョンの記載は、当該機種又は当該ソフトウェアに脆弱性が存在することにより使用
110

上のリスクが高まった場合に、速やかに脆弱性対策を行うなど、適切に対処するために必要な事項である。
 基本対策事項 5.1.1(2)-1 c)・基本対策事項 5.1.1(2)-2 c)「仕様書又は設計書」について情報システムに係る仕様書又は設計書は、情報セキュリティ対策の実施状況の確認や見直しにおいて、当該情報システムの仕様や機能の確認を行うために必要な事項である。
 基本対策事項 5.1.1(2)-3「セキュリティ維持に関する以下を含む手順」について
情報システムの構成要素のセキュリティ維持に関する手順は、当該構成要素のセキ
ュリティを維持する目的で管理者が実施すべき手順であり、例えば、当該構成要素が具備する情報セキュリティ機能である主体認証、アクセス制御、権限管理及びログ管理の設定・変更等の手順が挙げられる。

111

5.1.2 機器等の調達に係る規定の整備目的・趣旨調達する機器等において、必要なセキュリティ機能が装備されていない、当該機器等の製造過程で不正な変更が加えられている、調達後に情報セキュリティ対策が継続的に行えないといった場合は、情報システムで取り扱う情報の機密性、完全性及び可用性が損なわれるおそれがある。
これらの課題に対応するため、府省庁対策基準に基づいた機器等の調達を行うべく、機器等の選定基準及び納入時の確認・検査手続を整備する必要がある。

遵守事項(1) 機器等の調達に係る規定の整備(a) 統括情報セキュリティ責任者は、機器等の選定基準を整備すること。必要に応じて、選定基準の一つとして、機器等の開発等のライフサイクルで不正な変更が加えられない管理がなされ、その管理を府省庁が確認できることを加えること。
(b) 統括情報セキュリティ責任者は、情報セキュリティ対策の視点を加味して、機器等の納入時の確認・検査手続を整備すること。

【 基本対策事項 】＜5.1.2(1)(a)関連＞
5.1.2(1)-1 統括情報セキュリティ責任者は、機器等の選定基準に、サプライチェーン・リ
スクを低減するための要件として、以下を例に規定すること。
a) 調達した機器等に不正な変更が見付かったときに、追跡調査や立入検査等、府
省庁と調達先が連携して原因を調査・排除できる体制を整備していること。
5.1.2(1)-2 統括情報セキュリティ責任者は、調達する機器等において、設計書の検査によるセキュリティ機能の適切な実装の確認、開発環境の管理体制の検査、脆弱性テスト
等、第三者による情報セキュリティ機能の客観的な評価を必要とする場合には、
ISO/IEC 15408 に基づく認証を取得しているか否かを、調達時の評価項目とすること
を機器等の選定基準として定めること。
＜5.1.2(1)(b)関連＞
5.1.2(1)-3 統括情報セキュリティ責任者は、機器等の納入時の確認・検査手続には以下を含む事項を確認できる手続を定めること。
a) 調達時に指定したセキュリティ要件の実装状況b) 機器等に不正プログラムが混入していないこと（解説） 遵守事項 5.1.2(1)(a)「機器等の選定基準」について調達する機器等が、府省庁対策基準の該当項目を満たし、府省庁のセキュリティ水
準を一定以上に保つために、機器等に対して要求すべきセキュリティ要件を府省庁内
112

で統一的に整備することが重要である。また、選定基準は、法令の制定や改正等の外的要因の変化に対応して適時見直し、機器等の調達に反映することが必要である。
整備する選定基準としては、例えば、開発工程において信頼できる品質保証体制が確立されていること、設置時や保守時のサポート体制が確立されていること、利用マ
ニュアル・ガイダンスが適切に整備されていること、脆弱性検査等のテストの実施が確認できること、ISO 等の国際標準に基づく第三者認証が活用可能な場合は活用すること等が考えられる。
 遵守事項 5.1.2(1)(a)「必要に応じて」について
機器等は、取り扱う情報の格付及び取扱制限、利用する組織の特性や利用環境等に応じて想定されるリスクを考慮して選定する必要があることから、選定基準について
は、当該事項の適用要否を判断した上で整備することを求めている。
 遵守事項 5.1.2(1)(a)「不正な変更」についてここでいう「不正な変更」とは、機器等の製造工程で不正プログラムを含む予期しない又は好ましくない特性を組み込むことを意味している。
不正な変更が行われない管理がなされていることとは、例えば、機器等の製造工程における不正行為の有無について、定期的な監査を行っていること、機器等の製造環
境にアクセス可能な従業員が適切に制限され、定期点検が行われていること等が考えられる。その他、特に高い信頼性が求められる製品を調達する場合は、各製造工程の履歴が記録されているなどの厳格な管理されていることが考えられる。
 基本対策事項 5.1.2(1)-1 a)「原因を調査・排除できる体制」について
OEM（Original Equipment Manufacturer）によって提供される機器等についても、OEM 製品の製造者においても不正な変更が加えられないよう、OEM 製品の販売者が機器等のサプライチェーン全体について適切に管理していることも含めて、要件を定めることが考えられる。
 基本対策事項 5.1.2(1)-2「ISO/IEC 15408 に基づく認証」について
機器等の調達においては、ISO/IEC 15408 に基づく認証を取得している製品の優遇を選定基準の一つとすることで、第三者による情報セキュリティ機能の客観的な評価を受けた製品を活用でき、信頼度の高い情報システムが構築できる。
ISO/IEC 15408 に基づく認証では、第三者によって、対抗する脅威に必要な機能が設計書に反映されていること、その機能が設計どおり実装されていること、開発現場
や製造過程においてセキュリティが侵害される可能性が無いこと、利用マニュアル・
ガイダンス等にセキュリティを保つための必要事項が明確に示されていること等が客観的に評価され、評価結果及び既知の情報から懸念される脆弱性についての評定及びテストが実施される。ただし、第三者によって評価・保証される範囲は、適合する
Protection Profile（国際標準に基づくセキュリティ要件）や、評価保証レベル（EAL：
Evaluation Assurance Level）によって異なるため、どの程度の保証を得ている認証製品であるかを、調達時に確認することが必要となる。

113

 基本対策事項 5.1.2(1)-3「以下を含む事項を確認できる手続」について機器等の納入時の確認・検査手続の具体例として、以下の内容が考えられる。
• 調達時に指定したセキュリティ要件（機器等に最新のセキュリティパッチが適用されているかどうか、不正プログラム対策ソフトウェア等が最新の脆弱性に対応しているかどうか等にも留意）に関する試験実施手順及び試験結果を納品時に報告させて確認• セキュリティ要件として調達時に指定した機能が正しく動作することを受入れ
テストにより確認• 内部監査等により不正な変更が加えられていないことを確認した結果を納品時に報告させて確認

114

5.2

情報システムのライフサイクルの各段階における対策

5.2.1 情報システムの企画・要件定義
目的・趣旨
情報システムのライフサイクル全般を通じて、情報セキュリティを適切に維持するためには、情報システムの企画段階において、情報システムの情報セキュリティの維持が実施
可能な体制の整備、情報システムのライフサイクルに応じた様々な情報セキュリティリス
クに対する要件定義が求められる。
セキュリティ要件の曖昧さや過不足は、過剰な情報セキュリティ対策に伴うコスト増加のおそれ、要件解釈のばらつきによる提案内容の差異からの不公平な競争入札、設計・開発工程での手戻り、運用開始後の情報セキュリティインシデントの発生といった不利益が生じる可能性が考えられる。
そのため、情報システムが対象とする業務、業務において取り扱う情報、情報を取り扱う者、情報を処理するために用いる環境・手段等を考慮した上で、当該情報システムにおいて想定される脅威への対策を検討し、必要十分なセキュリティ要件を仕様に適切に組み込むことが重要となる。
加えて、構築する情報システムへの脆弱性の混入を防止するための対策も、構築前の企画段階で考慮することが重要となる。
また、情報システムの構築、運用・保守を外部委託する場合については、4.1.1 項「外部委託」についても併せて遵守する必要がある。

遵守事項(1) 実施体制の確保(a) 情報システムセキュリティ責任者は、情報システムのライフサイクル全般にわたって情報セキュリティの維持が可能な体制の確保を、情報システムを統括する責任者に求めること。
(b) 情報システムセキュリティ責任者は、基盤となる情報システムを利用して情報システムを構築する場合は、基盤となる情報システムを整備し、運用管理する府省庁が定める運用管理規程等に応じた体制の整備を、情報システムを統括する責任者に求めること。

【 基本対策事項 】規定なし（解説）
 遵守事項 5.2.1(1)(a)「情報システムを統括する責任者に求める」について
情報システムを統括する責任者（情報化統括責任者（CIO））が確立した体制が、セキュリティ維持の側面からも実施可能な体制（人員、機器、予算等）となるように求める事項である。
115

遵守事項(2) 情報システムのセキュリティ要件の策定(a) 情報システムセキュリティ責任者は、情報システムを構築する目的、対象とする業務等の業務要件及び当該情報システムで取り扱われる情報の格付等に基づき、以下の事項を含む情報システムのセキュリティ要件を策定すること。
(ア) 情報システムに組み込む主体認証、アクセス制御、権限管理、ログ管理、暗号化機能等のセキュリティ機能要件(イ) 情報システム運用時の監視等の運用管理機能要件(ウ) 情報システムに関連する脆弱性についての対策要件(b) 情報システムセキュリティ責任者は、国民・企業と政府との間で申請及び届出等のオンライン手続を提供するシステムについて、「オンライン手続におけるリスク評
価及び電子署名・認証ガイドライン」に基づきセキュリティ要件を策定すること。
(c) 情報システムセキュリティ責任者は、機器等を調達する場合には、「IT 製品の調達におけるセキュリティ要件リスト」を参照し、利用環境における脅威を分析した上で、当該機器等に存在する情報セキュリティ上の脅威に対抗するためのセキュリテ
ィ要件を策定すること。
(d) 情報システムセキュリティ責任者は、基盤となる情報システムを利用して情報システムを構築する場合は、基盤となる情報システム全体の情報セキュリティ水準を低下させることのないように、基盤となる情報システムの情報セキュリティ対策に関する運用管理規程等に基づいたセキュリティ要件を適切に策定すること。

【 基本対策事項 】＜5.2.1(2)(a)関連＞
5.2.1(2)-1 情報システムセキュリティ責任者は、「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」を活用し、情報システムが提供する業務及び取り扱
う情報、利用環境等を考慮した上で、脅威に対抗するために必要となるセキュリティ
要件を適切に決定すること。
5.2.1(2)-2 情報システムセキュリティ責任者は、開発する情報システムが運用される際に想定される脅威の分析結果並びに当該情報システムにおいて取り扱う情報の格付及び取扱制限に応じて、セキュリティ要件を適切に策定し、仕様書等に明記すること。
＜5.2.1(2)(a)(ア)関連＞
5.2.1(2)-3 情報システムセキュリティ責任者は、開発する情報システムが対抗すべき脅威について、適切なセキュリティ要件が策定されていることを第三者が客観的に確認する必要がある場合には、セキュリティ設計仕様書（ST：Security Target）を作成し、ST 確認を受けること。
＜5.2.1(2)(a)(イ)関連＞
5.2.1(2)-4 情報システムセキュリティ責任者は、情報システム運用時のセキュリティ監視等の運用管理機能要件を明確化し、仕様書等へ適切に反映するために、以下を含む措置を実施すること。
116a) 情報システム運用時に情報セキュリティ確保のために必要となる管理機能を仕様書等に明記すること。
b) 情報セキュリティインシデントの発生を監視する必要があると認めた場合には、監視のために必要な機能について、以下を例とする機能を仕様書等に明記すること。
• 府省庁外と通信回線で接続している箇所における外部からの不正アクセスを監視する機能• 不正プログラム感染や踏み台に利用されること等による府省庁外への不正な通信を監視する機能• 府省庁内通信回線への端末の接続を監視する機能• 端末への外部電磁的記録媒体の挿入を監視する機能• サーバ装置等の機器の動作を監視する機能＜5.2.1(2)(a)(ウ)関連＞
5.2.1(2)-5 情報システムセキュリティ責任者は、開発する情報システムに関連する脆弱性への対策が実施されるよう、以下を含む対策を仕様書等に明記すること。
a) 既知の脆弱性が存在するソフトウェアや機能モジュールを情報システムの構成要素としないこと。
b) 開発時に情報システムに脆弱性が混入されることを防ぐためのセキュリティ実
装方針。
c) セキュリティ侵害につながる脆弱性が情報システムに存在することが発覚した場合に修正が施されること。
＜5.2.1(2)(c)関連＞
5.2.1(2)-6 情報システムセキュリティ責任者は、構築する情報システムの構成要素のうち製品として調達する機器等について、当該機器等に存在するセキュリティ上の脅威へ対抗するためのセキュリティ要件を策定するために、以下を含む事項を実施すること。
a) 「IT 製品の調達におけるセキュリティ要件リスト」を参照し、リストに掲載されている製品分野の「セキュリティ上の脅威」が自身の運用環境において該当する場合には、「国際標準に基づくセキュリティ要件」と同等以上のセキュリテ
ィ要件を調達時のセキュリティ要件とすること。ただし、「IT 製品の調達におけるセキュリティ要件リスト」の「セキュリティ上の脅威」に挙げられていない
脅威にも対抗する必要がある場合には、必要なセキュリティ要件を策定すること。
b) 「IT 製品の調達におけるセキュリティ要件リスト」に掲載されていない製品分野においては、調達する機器等の利用環境において対抗すべき脅威を分析し、必要なセキュリティ要件を策定すること。

117

（解説）
 遵守事項 5.2.1(2)(a)「情報システムのセキュリティ要件」・基本対策事項 5.2.1(2)-1「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」について「情報システムのセキュリティ要件」には、ハードウェア、ソフトウェア及び通信回線を含む情報システムの構成要素のセキュリティ要件並びに構築された情報システ
ムの運用のセキュリティ要件がある。
なお、前者のセキュリティ要件については、構築環境や構築手法等のセキュリティ
に関する手順も含まれる。
セキュリティ要件の策定には、「情報システムに係る政府調達におけるセキュリティ
要件策定マニュアル」の活用又はそれと同等以上の検討結果を最低限のセキュリティ対策水準であると考え、決定されたセキュリティ要件は、システム要件定義書や仕様書等の形式で明確化した上で、実装していくことが望ましい。
情報システムのセキュリティ要件を検討する際には、仮想化技術の活用の有無を確認し、物理的に分割されたシステムに限らず、論理的に分割されたシステムであるかを考慮したセキュリティ要件を検討することも重要である。
「論理的に分割されたシス
テム」とは、一つの情報システムの筐体上に複数のシステムを共存させることを目的として、論理的に分割させた状態の情報システムをいう。
また、外部の情報システムを利用する場合は、4.1.1 項「外部委託」も参照の上、委託先との管理責任範囲の分担を明確化し、セキュリティ対策の実施に漏れが生じないようにすることも重要である。
このように、情報システムの構築形態及び調達形態に応じてセキュリティ要件を定めることが求められる。
 遵守事項 5.2.1(2)(c)「IT 製品の調達におけるセキュリティ要件リスト」について「IT 製品の調達におけるセキュリティ要件リスト」には、複合機、OS、USB メモ
リ等の製品分野ごとに一般的に想定されるセキュリティ上の脅威が記載されており、それらが自身の運用環境において該当する場合には対抗する必要がある。
対抗手段の一つとして、「IT 製品の調達におけるセキュリティ要件リスト」には、IT
セキュリティに関わる「国際標準に基づくセキュリティ要件」が記載されており、それを調達時に活用することで脅威に対抗するための機能を有した製品を調達することが可能となる。
「IT 製品の調達におけるセキュリティ要件リスト」に記載されている「セキュリテ
ィ上の脅威」のうち、製品の利用環境や製品に実装されている機能によっては、一部の脅威だけに対抗すればよい場合もあり得る。そのような場合には、「国際標準に基づ
くセキュリティ要件」では過剰な要件（要求仕様）となる可能性もあるので、個別にセキュリティ要件を策定して脅威に対抗してもよい。
参考：経済産業省「IT 製品の調達におけるセキュリティ要件リスト」（http://www.meti.go.jp/policy/netsecurity/cclistmetisec2014.pdf）

118

 基本対策事項 5.2.1(2)-2「開発する情報システムが運用される際に想定される脅威」
について
汎用ソフトウェアをコンポーネントとして情報システムを構築する場合はもとより、全てを独自開発する場合であっても、外部から脆弱性をつかれる可能性があるため、開発する情報システムの機能、ネットワークの接続状況等から、想定される脅威を分析する必要がある。
また、情報システムを構成する端末、サーバ装置、それらに搭載されているソフト
ウェア等に関して想定される脅威に対しては、第 7 部で規定された対策が適切に実施されるようにセキュリティ要件を策定することが必要となる。策定に当たっては、運用開始後に適切に対策が講じられるようにシステムの企画段階から留意する必要がある。例えば、サーバ装置の運用時に必要になる不正アクセス等の監視機能を実装する
こと、端末やサーバ装置等に利用を認めるソフトウェア以外のソフトウェアが意図せず混入されないこと等について留意が必要となる。
 基本対策事項 5.2.1(2)-3「ST 確認」について
セキュリティ要件の策定に当たっては、脅威に対抗するために妥当なセキュリティ要件となっていることの確認を求める事項である。
セキュリティ要件の妥当性確認には、府省庁内でのレビューの実施等の他に、対象とする情報システムが扱う業務及び情報の重要度によっては、セキュリティ要件の策定に関っていない客観的な立場の者による検証を実施することが望ましい。
「ST 確認」とは、情報システムが対抗すべき脅威について適切なセキュリティ要件が策定されていることを確認するために、セキュリティ設計仕様書(ST:Security
Target)を IT セキュリティ評価基準(ISO/IEC 15408)に基づき、第三者である評価機関
が評価し、その評価結果が妥当であることを認証機関（独立行政法人情報処理推進機構）が検証し、確認することをいう。
 基本対策事項 5.2.1(2)-4 a)「管理機能」について「管理機能」とは、真正確認、権限管理等のセキュリティ機能を管理するための機能のほか、情報セキュリティインシデントの発生時に行う対処及び復旧に係る機能、証跡保全の機能等を指し、これらの必要性を情報システムの設計時から検討すること
により、必要がある場合には情報システムに組み込む必要がある。
 基本対策事項 5.2.1(2)-4 b)「監視のために必要な機能」について
情報システム及び取り扱う情報の格付や取扱制限等を考慮して、情報システムの各所において様々なイベントを監視する必要性を見極める必要がある。監視するイベン
トとしては、通信回線を通してなされる不正アクセス又は不正侵入、情報システムの管理者・運用者又は利用者の誤操作若しくは不正操作、サーバ装置等機器の動作、許可されていない者の要管理対策区域への立入り等があり得る。
なお、監視によりプライバシーを侵害する可能性がある場合は、関係者への説明について定めること。

119 基本対策事項 5.2.1(2)-5「脆弱性への対策」について
脆弱性対策を怠った場合には、セキュリティ侵害の機会を増大することにつながる
ため、情報システムの企画段階から対策を講じておく必要がある。
脆弱性が存在することが公表されているソフトウェア等については対策が施されているバージョンのものを利用することや、開発後の情報システムに脆弱性が存在することが発覚した場合に備えて、調達時の仕様書に対策のための要件を明記しておくことが重要となる。
 基本対策事項 5.2.1(2)-5 b)「セキュリティ実装方針」について「セキュリティ実装方針」とは、情報システム開発者が情報システムに脆弱性を混入することを防ぐために、開発時における脆弱性への具体的な対策方法を定めたものである。脆弱性は種類ごとに対策が異なり、懸念される脆弱性の種類ごとに方針を定め対策することが必要となるため、以下を例とするセキュリティ実装方針を、懸念される全ての脆弱性の種類に対して定める必要がある。
• バッファオーバーフローによる不正なプログラムの挿入及び実行を防ぐために、データを転記する場面においてメモリ領域長とデータ長を検査する処理を付加する。
• SQL インジェクションによるデータベース内の情報の漏えい・改ざんを防ぐた
めに、プレースホルダにより SQL 文を組み立てる。
• OS コマンドインジェクションによる不正なシステム操作を防ぐために、シェルを起動できる言語機能を利用しない。
 基本対策事項 5.2.1(2)-6 b)「機器等の利用環境において対抗すべき脅威」について機器等に関連したセキュリティ上の脅威は利用環境によって変わるため、調達時にどのような環境で運用するのかを把握し、その環境において存在する脅威を分析した上で、必要となるセキュリティ要件を策定する必要がある。
例えば、ネットワークに接続し、通信データとして要保護情報を送受信する場合に盗聴による情報漏えいが想定される場合には、通信データの保護に係るセキュリティ要件が必要となるが、スタンドアロンで利用する場合で、盗聴による情報漏えいが想定されない場合には、通信データの保護に係るセキュリティ要件は不必要なセキュリ
ティ要件となる可能性がある。
また、特定の人物しか物理的にアクセスできないように隔離された場所へ機器等を設置すること等で、誰もが物理的にアクセスできる環境で想定される脅威を軽減することも考えられる。
調達する機器ごとの利用環境において想定される脅威を漏れなく分析した上で、脅威に対抗するために必要十分なセキュリティ要件を策定することが重要である。

120

遵守事項
(3) 情報システムの構築を外部委託する場合の対策(a) 情報システムセキュリティ責任者は、情報システムの構築を外部委託する場合は、以下の事項を含む委託先に実施させる事項を、調達仕様書に記載するなどして、適切に実施させること。
(ア) 情報システムのセキュリティ要件の適切な実装(イ) 情報セキュリティの観点に基づく試験の実施(ウ) 情報システムの開発環境及び開発工程における情報セキュリティ対策【 基本対策事項 】＜5.2.1(3)(a)(イ)関連＞
5.2.1(3)-1 情報システムセキュリティ責任者は、情報セキュリティの観点に基づく試験の実施について、以下を含む事項を実施させること。
a) ソフトウェアの作成及び試験を行う情報システムについては、情報セキュリテ
ィの観点から運用中の情報システムに悪影響が及ばないように、運用中の情報システムと分離すること。
b) 情報セキュリティの観点から必要な試験がある場合には、試験項目及び試験方法を定め、これに基づいて試験を実施すること。
c) 情報セキュリティの観点から実施した試験の実施記録を保存すること。
＜5.2.1(3)(a)(ウ)関連＞
5.2.1(3)-2 情報システムセキュリティ責任者は、開発工程における情報セキュリティ対策として、以下を含む事項を実施させること。
a) ソースコードが不正に変更されることを防ぐために、以下の事項を含むソース
コードの管理を適切に行うこと。
• ソースコードの変更管理• ソースコードの閲覧制限のためのアクセス制御• ソースコードの滅失、き損等に備えたバックアップの取得b) 情報システムに関連する脆弱性についての対策要件として定めたセキュリティ
実装方針に従うこと。
c) セキュリティ機能が適切に実装されていること及びセキュリティ実装方針に従った実装が行われていることを確認するために、設計レビュー及びソースコー
ドレビューの範囲及び方法を定め、これに基づいてレビューを実施すること。
（解説）
 基本対策事項 5.2.1(3)-1 a)「運用中の情報システムに悪影響」について運用中の情報システムを利用してソフトウェアの作成及び試験を行う場合は、運用中の情報システムに悪影響が及ぶことを回避することが大前提となる。
また、開発中のソフトウェアの動作確認のために、運用中の情報システムの要機密情報をテストデータとして、試験を行う情報システムにおいて使用しないようにする
121

必要がある。
 基本対策事項 5.2.1(3)-1 b)「情報セキュリティの観点から必要な試験」について攻撃が行われた際に情報システムがどのような動作をするかを試験する項目として想定しており、具体的には、想定の範囲外のデータの入力を拒否できるか、サービス
不能攻撃等により情報システムが過負荷状態に陥った場合に処理中のデータは保証されるか、レースコンディションが発生しないか（「（解説）基本対策事項 7.2.2(2)-1 l) 「レースコンディション脆弱性」について」を参照のこと。）といった項目が挙げられる。
なお、セキュリティ機能の試験だけにとどまらず、情報システムの脆弱性の有無、必要なチェック機能の欠如等について、必要な試験が網羅されるよう留意することが望ましい。
 基本対策事項 5.2.1(3)-1 c)「実施記録」について「実施記録」とは、試験の項目、実施結果、実施時に判明した不具合及び当該不具合の修正の記録等を指し、これらを保存することにより、脆弱性を発見した場合の対処に利用できるようにすることが求められる。
 基本対策事項 5.2.1(3)-2「開発工程における情報セキュリティ対策」について
情報システム開発に係る情報資産についてセキュリティを維持するための手順及び環境を定めることを求めている。
具体的な手順としては、例えば、仕様書、ソースコード等の成果物に対して情報シ
ステムのライフサイクル全般にわたって一貫性を確保及び維持するための構成管理の手順及び利用するツール等が考えられる。
開発環境については、例えば、ドキュメント及びソースコードに対するアクセス権、開発に利用するサーバ装置及び端末の設置場所及びアクセス制御の方法等がある。
なお、情報システム開発を外部委託する場合は、委託先に対するセキュリティ要件定義の策定手順や導入時のセキュリティ評価試験手順等を整備しておく必要がある。
 基本対策事項 5.2.1(3)-2 c)「設計レビュー」について
情報システムの設計について、脆弱性の原因となる設計の不具合をなくすために、
設計レビューの実施が求められる。
一般に設計レビューには、①レビュー対象内にあるエラーの発見を第一目的とし、開発責任者等が実施する確認手法（インスペクション）、②開発担当者自身が開発関係者を集め、レビュー対象プログラムを実行の流れに従って追跡し確認する手法（ウォークスルー）等があり、これらを、いつ、誰が、何に対して実施するのか、といったことを定める必要がある。
 基本対策事項 5.2.1(3)-2 c)「ソースコードレビュー」について
ソースコードに脆弱性が混入しないように、ソースコードレビューの範囲及び方法について、あらかじめ定めておくことが求められる。例えば、脆弱性の原因となるソースコードについては、開発言語ごとに典型的なパターンが知られていることから、
ソースコードレビューによる検証が有効な場合がある。ソースコードレビューについ122

ては、開発する情報システムだけを対象として想定しており、市販製品を組み込む場
合等、ソースコードの入手が困難な場合に実施することは想定していない。

123

遵守事項
(4) 情報システムの運用・保守を外部委託する場合の対策(a) 情報システムセキュリティ責任者は、情報システムの運用・保守を外部委託する
場合は、情報システムに実装されたセキュリティ機能が適切に運用されるための要件について、調達仕様書に記載するなどして、適切に実施させること。

【 基本対策事項 】＜5.2.1(4)(a)関連＞
5.2.1(4)-1 情報システムセキュリティ責任者は、情報システムの運用・保守を外部委託する場合は、情報システムに実装されたセキュリティ機能が適切に運用されるために、
以下を含む要件を調達仕様書に記載するなどして、適切に実施させること。
a) 情報システムの運用環境に課せられるべき条件の整備b) 情報システムのセキュリティ監視を行う場合の監視手順や連絡方法c) 情報システムの保守における情報セキュリティ対策d) 運用中の情報システムに脆弱性が存在することが判明した場合の情報セキュリ
ティ対策
（解説）
 基本対策事項 5.2.1(4)-1 a)「運用環境に課せられるべき条件」について
情報システムの運用環境に課せられるべき条件としては、物理的、接続的（ネット
ワーク環境）及び人的側面を考慮する必要がある。どのような条件を設定するかによって想定される脅威が異なってくるため、脅威を想定する上で必要となる条件は全て調達仕様書、契約書等に記載する必要がある。
物理的な設置環境に関する条件とは、サーバ装置を設置する場所の特定、耐震･防火に関する基準、電源供給に関する基準等に関する条件を示すものである。
接続面（ネットワーク環境等）に関する条件とは、情報システムが接続されるネッ
トワーク環境や通信回線の基準、情報セキュリティ上の何らかのリスクを伴う外部サービスをネットワーク経由で利用する場合の条件等を示すものである。
人的環境とは、対象とするシステムの管理者や業務担当職員の信頼性に関する条件、
当該システムに関わる組織・体制として実現すべきことに関する条件、当該システムの使用方法として当然実現されるべきことに関する条件等を示すものである。
 基本対策事項 5.2.1(4)-1 b)「監視手順」について
情報システムのセキュリティ監視を行う体制を特別に設けずに情報システムの運用を行う体制においてキュリティ監視も行うことも考えられる。
監視によりプライバシーを侵害する可能性がある場合は、対象となる関係者への説明等の手順についても府省庁として定めておくこと。
 基本対策事項 5.2.1(4)-1 c)「保守における情報セキュリティ対策」について
情報システムの保守においては、保守担当者が作業中に権限外の情報にアクセスで124きないよう、アクセス制御や権限管理を考慮する必要がある。また、保守担当者へのなりすましが脅威として想定される場合には、保守担当者に対する主体認証も開発する情報システムのセキュリティ要件策定時に考慮する必要もある。
 基本対策事項 5.2.1(4)-1 d)「脆弱性が存在することが判明」について
ソフトウェアやウェブアプリケーション等の情報システムに関連する脆弱性は日々新たなものが報告されており、調達時に策定した脆弱性についての対策要件だけでは十分に対処できない可能性もあり得る。
また、運用・保守を行う委託先が、情報システムの構築を行った委託先と異なり、
情報システム構築側の委託先だけでは発覚した脆弱性に対処することが困難な場合もあり得るため、運用・保守を行う委託先に対して、発見された脆弱性について対処を求めることも考慮する必要がある。

125

5.2.2 情報システムの調達・構築
目的・趣旨
情報システムを調達・構築する際には、策定したセキュリティ要件に基づく情報セキュ
リティ対策を適切に実施するために、選定基準に適合した機器等の調達や、情報システムの開発工程での情報セキュリティ対策の実施が求められる。
また、機器等の納入時又は情報システムの受入れ時には、整備された検査手続に従い、
当該情報システムが運用される際に取り扱う情報を保護するためのセキュリティ機能及びその管理機能が、適切に情報システムに組み込まれていることを検査することが必要となる。

遵守事項(1) 機器等の選定時の対策(a) 情報システムセキュリティ責任者は、機器等の選定時において、選定基準に対する機器等の適合性を確認し、その結果を機器等の選定における判断の一要素として活用すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 5.2.2(1)(a)「選定基準に対する機器等の適合性を確認」について遵守事項 5.1.2(1)(a)において整備された機器等の選定基準に従って、機器等の開発等のライフサイクルで不正な変更が加えられない管理体制が確立していることや、第三者による情報セキュリティ機能の客観的な評価が行われ ISO/IEC 15408 に基づく認証を取得していることを確認することが必要となる。
なお、ISO/IEC 15408 に基づく認証を取得していることを選定基準として活用した
場合には、調達先から認証取得を証明するためのものを提示させること等により確認することが可能である。

126

遵守事項
(2) 情報システムの構築時の対策(a) 情報システムセキュリティ責任者は、情報システムの構築において、情報セキュ
リティの観点から必要な措置を講ずること。
(b) 情報システムセキュリティ責任者は、構築した情報システムを運用保守段階へ移行するに当たり、移行手順及び移行環境に関して、情報セキュリティの観点から必要な措置を講ずること。

【 基本対策事項 】＜5.2.2(2)(a)関連＞
5.2.2(2)-1 情報システムセキュリティ責任者は、情報システムの構築において以下を含む
情報セキュリティ対策を行うこと。
a) 情報システム構築の工程で扱う要保護情報への不正アクセス、滅失、き損等に対処するために開発環境を整備すること。
b) セキュリティ要件が適切に実装されるようにセキュリティ機能を設計すること。
c) 情報システムへの脆弱性の混入を防ぐために定めたセキュリティ実装方針に従うこと。
d) セキュリティ機能が適切に実装されていること及びセキュリティ実装方針に従った実装が行われていることを確認するために、設計レビューやソースコード
レビュー等を実施すること。
e) 脆弱性検査を含む情報セキュリティの観点での試験を実施すること。
5.2.2(2)-2 情報システムセキュリティ責任者は、情報システムの運用保守段階へ移行するに当たり、以下を含む情報セキュリティ対策を行うこと。
a) 情報セキュリティに関わる運用保守体制の整備
b) 運用保守要員へのセキュリティ機能の利用方法等に関わる教育の実施c) 情報セキュリティインシデントを認知した際の対処方法の確立（解説） 遵守事項 5.2.2(2)(b)「移行手順及び移行環境」について
情報システムの開発環境、テスト環境から本番運用の環境への移行時において、情報システムに保存されている情報の取扱い手順の整備、人為的な操作ミスを防止するための手順・環境の整備、移行の際に関連システム停止が伴う場合には可用性確保のための環境整備等が必要となる。
 基本対策事項 5.2.2(2)-1「情報セキュリティ対策」について
情報システムの構築を外部委託する場合には、5.2.1 項「情報システムの企画・要件
定義」の「(3) 情報システムの構築を外部委託する場合の対策」の内容を委託先に適切に実施させることが求められる。
127

情報システムの構築を外部委託せず、府省庁自らが構築する場合には、5.2.1 項「情報システムの企画・要件定義」の「(3) 情報システムの構築を外部委託する場合の対策」
を参照し、必要な対策を実施することが求められる。

128

遵守事項
(3) 納品検査時の対策(a) 情報システムセキュリティ責任者は、機器等の納入時又は情報システムの受入れ時の確認・検査において、仕様書等定められた検査手続に従い、情報セキュリティ対策に係る要件が満たされていることを確認すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 5.2.2(3)(a)「情報セキュリティ対策に係る要件が満たされていることを確認する」について
情報セキュリティ対策の視点を加味して整備された納入時の確認・検査手続に従い、納入された情報システム及び機器等が要求仕様どおりに正しく動作することの検査を行うことが求められる。
府省庁における受入れテストの実施、納入元が実施したテストに関する資料の提出
要求及びその検査内容の確認、第三者への受入れテストの委託、ISO/IEC 15408 に基づく第三者認証取得の確認等、検査対象の情報システム及び機器等の特性に応じて適切な検査を実施する必要がある。

129

5.2.3 情報システムの運用・保守
目的・趣旨
情報システムの運用段階に移るに当たり、企画又は調達・構築時に決定したセキュリテ
ィ要件が適切に運用されるように、人的な運用体制を整備し、機器等のパラメータが正しく設定されていることの定期的な確認、運用・保守に係る作業記録の管理等を実施する必要がある。
情報システムにおける情報セキュリティインシデントは一般的に運用時に発生することが大半であることから、適宜情報システムの情報セキュリティ対策の実効性を確認するた
めに、情報システムの運用状況を監視することも重要である。
また、情報システムの保守作業においても運用作業と同様に情報セキュリティ対策が適切に実施される必要がある。保守作業を個別に委託する場合等においても、府省庁対策基準に基づく情報セキュリティ対策について適切に措置を講ずることが求められる。

遵守事項(1) 情報システムの運用・保守時の対策(a) 情報システムセキュリティ責任者は、情報システムの運用・保守において、情報システムに実装されたセキュリティ機能を適切に運用すること。
(b) 情報システムセキュリティ責任者は、基盤となる情報システムを利用して構築された情報システムを運用する場合は、基盤となる情報システムを整備し、運用管理する府省庁との責任分界に応じた運用管理体制の下、基盤となる情報システムの運用管理規程等に従い、基盤全体の情報セキュリティ水準を低下させることのないよ
う、適切に情報システムを運用すること。
(c) 情報システムセキュリティ責任者は、不正な行為及び意図しない情報システムへのアクセス等の事象が発生した際に追跡できるように、運用・保守に係る作業についての記録を管理すること。

【 基本対策事項 】＜5.2.3(1)(a)関連＞
5.2.3(1)-1 情報システムセキュリティ責任者は、情報システムのセキュリティ監視を行う
場合は、以下の内容を含む監視手順を定め、適切に監視運用すること。
(a) 監視するイベントの種類(b) 監視体制(c) 監視状況及び情報セキュリティインシデントを認知した場合の報告手順(d) 監視運用における情報の取扱い（機密性の確保）
5.2.3(1)-2 情報システムセキュリティ責任者は、情報システムに実装されたセキュリティ
機能が適切に運用されていることを確認すること。
5.2.3(1)-3 情報システムセキュリティ責任者は、情報システムにおいて取り扱う情報について、当該情報の格付及び取扱制限が適切に守られていることを確認すること。
130

5.2.3(1)-4 情報システムセキュリティ責任者は、運用中の情報システムの脆弱性の存在が明らかになった場合には、情報セキュリティを確保するための措置を講ずること。
（解説）
 基本対策事項 5.2.3(1)-2「セキュリティ機能が適切に運用されていること」について運用する情報システムについて、外部環境が大きく変化した場合等には、セキュリ
ティ機能が適切に運用されるために、機器等のパラメータ設定、物理的な設置環境、
ネットワーク環境、人的な運用体制等について問題が無いことを適宜確認する必要がある。
 基本対策事項 5.2.3(1)-3「当該情報の格付及び取扱制限が適切に守られていること」
について
情報の格付けの見直し及び再決定が行われた際や、当該情報システムに係る行政事
務従事者の異動や職制変更等が生じた際には、情報に対するアクセス制御の設定や職務に応じて与えられている情報システム上の権限が適切に変更される必要がある。
 基本対策事項 5.2.3(1)-4「脆弱性の存在が明らかになった場合」について
府省庁が運用する情報システムに関連する脆弱性が存在することが発覚した場合、セキュリティパッチの適用等の情報セキュリティ対策が必要となる。
また、情報セキュリティ対策が適用されるまでの間にセキュリティ侵害が懸念される場合には、当該情報システムの停止やネットワーク環境の見直し等情報セキュリテ
ィを確保するための運用面での対策を講ずる必要もある。

131

5.2.4 情報システムの更改・廃棄目的・趣旨情報システムの更改・廃棄において、情報システムに記録されている機密性の高い情報が廃棄又は再利用の過程において外部に漏えいすることを回避する必要がある。
情報システムに機密性の高い情報が記録されている場合や、格付や取扱制限を完全に把握できていない場合等においては、記録されている情報の完全な抹消等の措置を講ずることが必要となる。

遵守事項(1) 情報システムの更改・廃棄時の対策(a) 情報システムセキュリティ責任者は、情報システムの更改又は廃棄を行う場合は、
当該情報システムに保存されている情報について、当該情報の格付及び取扱制限を考慮した上で、以下の措置を適切に講ずること。
(ア) 情報システム更改時の情報の移行作業における情報セキュリティ対策(イ) 情報システム廃棄時の不要な情報の抹消【 基本対策事項 】規定なし（解説）
 遵守事項 5.2.4(1)(a)(ア)「情報の移行」について
情報システムを更改する際は、更改元の情報システムから更改先の情報システムに情報（本番データ）を移行する作業が発生する場合が多いが、移行作業の過程で情報が外部に漏えいすることのないよう、移行用の本番データを適切に管理することが必要である。移行用の本番データの管理手順や外部電磁的記録媒体を使用する場合の安全管理措置等をあらかじめ定めておくとよい。
移行作業を外部委託する場合においては、委託先とあらかじめ手順について合意し、仕様書に明記しておく必要がある。
 遵守事項 5.2.4(1)(a)(イ)「情報の抹消」について
情報システムの廃棄を行う場合には、情報システムを構成する機器等並びに内部に保存されている情報の格付及び取扱制限を考慮して、適切に抹消する必要がある。要機密情報を保存している情報システムにおいては、情報の抹消が求められる。廃棄の際に本規定を考慮すべき機器等としては、サーバ装置や端末以外にも、複合機等の内蔵電磁的記録媒体を備えた機器については同様に考慮する必要がある。第 7 部において機器ごとの廃棄時の対応を規定しているので、併せて考慮されたい。
なお、情報システムの廃棄を外部委託する際は、委託先において情報の抹消が適切に実施されるよう、抹消方法等についてあらかじめ合意し仕様書等に明記しておく必要がある。委託先の抹消作業に関する作業完了届等を書面で受け取るなどするとよい。

132

5.2.5 情報システムについての対策の見直し
目的・趣旨
情報セキュリティを取り巻く環境は常時変化しており、新たに発生した脅威等に的確に対応しない場合には、情報セキュリティ水準を維持できなくなる。このため、情報システ
ムの情報セキュリティ対策を定期的に見直し、さらに外部環境の急激な変化等が発生した
場合は、適時見直しを行うことが必要となる。

遵守事項(1) 情報システムについての対策の見直し(a) 情報システムセキュリティ責任者は、情報システムの情報セキュリティ対策について新たな脅威の出現、運用、監視等の状況により見直しを適時検討し、必要な措置を講ずること。

【 基本対策事項 】規定なし（解説）
 遵守事項 5.2.5(1)「見直し」について
情報システムの情報セキュリティ対策について、新たな情報セキュリティ上の脅威、情報セキュリティインシデント発生事案例及び情報セキュリティインシデント発生時の影響等を検討した上で、情報システムの情報セキュリティ対策について定期的に見直しを行い、セキュリティ要件の追加、修正等の必要な措置を求める事項である。
所管する情報システムに変更があった場合、また、情報システムの外部環境に変化が生じた場合には、情報セキュリティ対策の見直しを適時行うことも必要となる。

133

5.3

情報システムの運用継続計画

5.3.1 情報システムの運用継続計画の整備・整合的運用の確保
目的・趣旨
業務の停止が国民の安全や利益に重大な脅威をもたらす可能性のある業務は、非常時でも継続させる必要があり、府省庁においては業務継続計画を策定し運用している。
一方、非常時に情報システムの運用を継続させる場合には、非常時における情報セキュ
リティに係る対策事項を検討し、定めることが重要となる。
なお、業務継続計画や情報システムの運用継続計画が定める要求事項と、情報セキュリ
ティ関係規程が定める要求事項とで矛盾がないよう、それぞれの間で整合性を確保する必
要がある。

遵守事項
(1) 情報システムの運用継続計画の整備・整合的運用の確保(a) 統括情報セキュリティ責任者は、府省庁において非常時優先業務を支える情報シ
ステムの運用継続計画を整備するに当たり、非常時における情報セキュリティに係る対策事項を検討すること。
(b) 統括情報セキュリティ責任者は、情報システムの運用継続計画の教育訓練や維持改善を行う際等に、非常時における情報セキュリティに係る対策事項が運用可能であるかを確認すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 5.3.1(1)(a)「非常時優先業務」について
内閣府による「中央省庁業務継続ガイドライン 第１版」では、応急業務（災害応急対策業務及び被災状況に応じて速やかな実施が必要となる他の緊急業務）及び継続の必要性の高い通常業務を合わせたもののことを非常時優先業務としている。
参考：内閣府「中央省庁業務継続ガイドライン 第１版」
（平成 19 年 6 月）
（ http://www.bousai.go.jp/taisaku/chuogyoumukeizoku/pdf/gyoumu_guide_hon
bun070621.pdf）
 遵守事項 5.3.1(1)(a)「情報システムの運用継続計画を整備」について
非常時優先業務を支える情報システムの運用継続計画を整備するに当たっては、情報システムの運用継続計画の作成に資する資料として、内閣官房情報セキュリティセ
ンターが取りまとめた以下の資料を参照することが考えられる。
参考：内閣官房情報セキュリティセンター「「中央省庁における情報システム運用
継続計画ガイドライン」及び関連資料」（平成 25 年 6 月）
134

（http://www.nisc.go.jp/active/general/itbcp-guideline.html）
 遵守事項 5.3.1(1)(a)「非常時における情報セキュリティに係る対策事項」について
情報システムの運用継続を脅かす危機的事象の例として、地震、風水害等の自然災
害、火災等の人的災害・事故、停電等の社会インフラの不全、不正アクセス等の運用
妨害、機器等の故障等が想定される。これらの非常時に対して、業務継続計画、情報システムの運用継続計画及び府省庁対策基準のそれぞれで定める対策に矛盾があると、非常時に行政事務従事者は一貫性のある行動をとることができない。このため、非常時における情報セキュリティに係る対策事項を検討する際は、業務継続計画及び情報システムの運用継続計画と府省庁対策基準との間で整合性を確保するよう検討することが必要である。
例えば、非常時に、情報システムの主体認証情報として設定したパスワードを設定
した者以外の者が当該情報システムを使用しなければならない場合が想定される。このような場合の実施手順について、業務継続計画及び情報システムの運用継続計画で安易に定めるのではなく、府省庁対策基準において、非常時でも情報セキュリティ水準を確保した実施手順を整備する必要がある。手順の一例としては、通常時に利用する識別コードとパスワードとは別に、非常時用の識別コードとパスワードをあらかじめ設定しておく方法が考えられる。この場合、非常時用のパスワードは人が記憶困難な文字列で設定し、そのパスワードを記載した紙面を施錠された安全な保管場所に保管することで、通常時のパスワードを非常時に聞き出したり、通常時にパスワードを共用したりすることなく、非常時においても情報システムの利用が可能となる。また、
パスワードを記載した紙面を保管する際に、開封すると開封事実が明らかとなる特殊な封書（tamper evidence envelope）を併用すれば、通常時における不正使用の有無を確認できる。
また、非常時には、府省庁の施設の一部に帰宅困難者等を受け入れる場合等、通常時の情報セキュリティ水準の確保に支障をきたす状況が考えられる。このような場合を想定し、あらかじめ情報セキュリティ水準の確保を要する施設や業務への影響を分析し、必要な対策を十分検討した上で、通常時及び非常時の対応を定める必要がある。
例えば、各執務室や各行政事務従事者の卓上の情報セキュリティ対策を含め、通常時から不特定の者の出入りを想定した対策を講ずること等が考えられる。
なお、停電や交通機関の麻痺等の社会インフラの不全等により、通常時に利用している情報システムが利用できなくなる場合や、通常時に利用している場所で情報シス
テムを利用することができない場合等、情報システムを利用する環境が制限される状
況が考えられる。このような場合を想定し、約款による外部サービス、府省庁支給以外の端末等の利用が非常時優先業務の継続に有効であると判断される場合には、それらを利用して業務を継続することについても、そのリスクや情報セキュリティ水準の確保等を十分に検討した上で、あらかじめ定めておく必要がある。
 遵守事項 5.3.1(1)(b)「運用可能であるかを確認」について
情報システムの運用継続を脅かす非常時においては、非常時の情報セキュリティに係る対策事項を整備した際には想定していなかった様々な不整合が発生し、整備した
135

対策事項が有効に機能しないことも考えられる。このため、非常時の対策事項を定期的に見直し、課題を発見した場合は改善することが重要である。
なお、情報システムの運用継続計画の教育訓練を行う際は、非常時の対策事項の理解と対応能力の向上の他、対策事項の有効性の確認も目的とすることが望ましい。

136

第6部 情報システムのセキュリティ要件

6.1

情報システムのセキュリティ機能

6.1.1 主体認証機能
目的・趣旨
情報又は情報システムへのアクセス権のない者による情報の漏えいや滅失、情報システ
ムの停止等の情報セキュリティインシデントを防止するために、主体認証機能の導入が求められる。
また、政府機関の情報システムの利用者は、例えば国民向けのサービスを提供する場合
等、行政事務従事者に限られるものではない。識別コードと主体認証情報については、このような利用者の別にかかわらず保護すべきであり、利用者に対する注意喚起等の対策が求められる。

遵守事項(1) 主体認証機能の導入(a) 情報システムセキュリティ責任者は、情報システムや情報へのアクセスを管理するため、主体を特定し、それが正当な主体であることを検証する必要がある場合、識別及び主体認証を行う機能を設けること。
(b) 情報システムセキュリティ責任者は、主体認証を行う情報システムにおいて、主体認証情報の漏えい等による不正行為を防止するための措置及び不正な主体認証の試行に対抗するための措置を講ずること。

【 基本対策事項 】＜6.1.1(1)(a)関連＞
6.1.1(1)-1 情報システムセキュリティ責任者は、主体認証は、以下を例とする主体認証方式を決定すること。
a) 知識（パスワード等、利用者本人のみが知り得る情報）による認証b) 所有（電子証明書を格納する IC カード又はワンタイムパスワード生成器等、利用者本人のみが所有する機器等）による認証c) 生体（指紋や静脈等、本人の生体的な特徴）による認証
6.1.1(1)-2 情報システムセキュリティ責任者は、主体認証を行う情報システムにおいて、知識による主体認証方式を用いる場合には、以下の機能を設けること。
a) 利用者が自ら主体認証情報を設定する機能や、利用者以外の者が主体認証情報を設定する場合に、利用者へ安全な方法で主体認証情報を割り当てる機能b) 利用者が主体認証情報としてパスワードを設定する際に、以下の要素を考慮して、セキュリティ上の強度が指定以上となるよう、情報システムに要求する機137

能• パスワードに用いる文字の種類とその組み合わせ• パスワードの桁数• パスワードの有効期間• 大規模な辞書を用いたパスワード解析への耐性＜6.1.1(1)(b)関連＞
6.1.1(1)-3 情報システムセキュリティ責任者は、主体認証を行う情報システムにおいて、利用者に主体認証情報の定期的な変更を求める場合には、利用者に対して定期的な変更を促す機能のほか、以下の機能を設けること。
a) 利用者が定期的に変更しているか否かを確認する機能b) 利用者が定期的に変更しなければ、情報システムの利用を継続させない機能
6.1.1(1)-4 情報システムセキュリティ責任者は、主体認証を行う情報システムにおいて、主体認証情報が第三者に対して明らかにならないよう、以下を例とする方法を用いて適切に管理すること。
a) 主体認証情報を送信又は保存する場合には、その内容を暗号化する。
b) 知識による主体認証方式を用いる場合には、他の情報システムで利用している
主体認証情報を設定しないよう注意を促す。
c) 主体認証情報に対するアクセス制限を設ける。
6.1.1(1)-5 情報システムセキュリティ責任者は、主体認証を行う情報システムにおいて、主体認証情報を他の主体に利用され、又は利用されるおそれを認識した場合に当該主体認証情報を用いた不正アクセスが行われないよう、当該主体認証による情報システ
ムの利用を停止する機能を設けること。
（解説） 遵守事項 6.1.1(1)(a)「識別」について識別のための機能を設けることが技術的にできない情報システム（識別コード自体が存在せず、主体認証情報（パスワード等）の設定のみ可能であるような装置等）は、例外措置として判断されることになる。その場合には、識別されないことによる影響について勘案し、必要に応じて代替又は追加の措置を講ずる必要がある。
 遵守事項 6.1.1(1)(a)「主体認証」について
主体認証方式を用いる場合には、情報セキュリティの観点で求められる強度や利便性等も考慮の上、以下の事項のうち、適用可能な要件を満たす主体認証方式を導入する必要がある。
• 正当な主体以外の主体認証を受諾しないこと。（誤認の防止）• 正当な主体が本人の責任ではない理由で主体認証を拒否されないこと。
（誤否の防止）• 正当な主体が容易に他の主体に主体認証情報の付与（発行、更新及び変更を含む。以下この項において同じ。
）及び貸与ができないこと。（代理の防止）• 主体認証情報が容易に複製できないこと。（複製の防止）
138

• 情報システムセキュリティ責任者の判断により、ログインを個々に無効化できる手段があること。
（無効化の確保）• 必要時に中断することなく主体認証が可能であること。
（可用性の確保）• 新たな主体を追加するために、外部からの情報や装置の供給を必要とする場合には、それらの供給が情報システムの耐用期間の間、十分受けられること。
（継続性の確保）• 主体に付与した主体認証情報を利用することが不可能になった際に、正当な主体に対して主体認証情報を安全に再発行できること。（再発行の確保）
加えて、主体認証を行う情報システムにおいて、情報セキュリティ強度の更なる向上を図るため、以下を例とする機能を設けることが考えられる。
① 多要素主体認証方式で主体認証を行う機能② ログインした利用者に対して、前回のログインに関する情報を通知する機能③ 不正にログインしようとする行為を検知又は防止する機能④ 利用者が情報システムにログインする前に、当該情報システムの利用に関する通知メッセージを表示する機能⑤ 利用者に主体認証情報の定期的な変更を求める場合には、以前に設定した主体認証情報と同じものを再設定することを防止する機能⑥ 管理者権限を持つ識別コードを共用する場合には、当該識別コードでログインする前に個別の識別コードによりログインすることを求める機能①に関しては、多要素から成る主体認証方式を用いることにより、より強固な主体認証が可能になる。
これは、単一の主体認証方式（single factor authentication / single authentication）とは、知識、所有、生体情報等のうち、単一の方式により主体認証を行う方式である。
）の場合には、何らかの理由によって主体認証情報が露呈してしまった際には、不正にログインされる可能性が高くなるが、多要素主体認証方式の場合には、単一の主体認証方式の組合せのため、仮に一方の主体認証情報が露呈してしまっても、残りの主体
認証情報が露呈しない限り、不正にログインされる可能性は依然低いと考えられる。
また、通常は単一の主体認証を実施するものの、アクセス元の IP アドレス、アクセ
スする時間帯、位置情報等が通常のアクセスとは異なる特徴を示した場合に、不正ロ
グインのリスクが高まったと判断して多要素主体認証を行うことで、情報セキュリテ
ィ水準の更なる向上化を図ることも可能となる。
②に関しては、識別コードによる前回のログインに関する情報（日時や装置名等）を通知することで、本人の識別コードが他者によって不正に使われた場合に、本人が気付く機会を得られるようにする。
③に関しては、通知によって本人が知る機会を得ること及び組織が状況を管理できること等が考えられる。例えば、識別コードによるログインにおいて、指定回数以上の主体認証情報の誤入力が検知された場合に、その旨を本人や管理者に通知する、又は当該識別コードによる情報システムへの以後のログインを無効にする機能の付加が挙げられる。
④に関しては、通知メッセージとして、以下の例が考えられる。
139• 利用者が政府機関の情報システムへアクセスしようとしていること• 情報システムの利用において、監視、記録される場合があり、監査対象となること• 情報システムへの不正アクセス行為は禁止されており、不正アクセス禁止法の罰則対象となること⑤に関しては、必要により利用者に主体認証情報の定期的な変更を求める情報シス
テムを対象としたものである。主体認証情報の定期的な変更を求める必要がある場合
においては、利用者が以前に設定した主体認証情報と同じものを再設定すると期待される効果が損なわれることから、同じものを再設定することを防止する機能を設けることが考えられる。
なお、「（解説）基本対策事項 6.1.1(1)-3「利用者に主体認証情報の定期的な変更を求める場合」について」も参照のこと。
⑥に関しては、管理者権限を有した識別コードを管理者グループで共用した場合には、そのログイン記録だけでは、共用している管理者のうち、実際に作業をした管理者を個人単位で特定することが困難となる。そのため、管理者個人を特定することを目的として、非管理者権限の識別コードを本人に付与した上、その識別コードで最初にログインした後に限り、管理者権限を有する共用識別コードに切り替えて管理者作業を実施することを可能とする必要がある。例えば、当該情報システムの OS が Unix
系の場合には、一般利用者でログインした後に su コマンドで root に切り替えるという手順により、これを達成できる。また、その場合には、root によるログインを禁止する設定により、その手順を強制することができる。
なお、国民・企業と政府との間で申請、届出等のオンライン手続を提供するシステ
ムにおいては、「オンライン手続におけるリスク評価及び電子署名・認証ガイドライン」に基づいてセキュリティ要件を決定する必要があるが、リスクの影響度を導出する手法やパスワード等の対策基準等について記載があるため、その他の情報システムにおいても参考にするとよい。
 基本対策事項 6.1.1(1)-1 a)「知識」について
端末によっては、例えばパスワード以外にも、自分のみが知る「パターン」を主体
認証情報として扱うケースがあるが、これも「知識」に分類される。
 基本対策事項 6.1.1(1)-1 b)「所有」について「所有」による認証の例として、府省庁が個別に保有するアカウント情報のマスターデータベース機能を提供する「統合ディレクトリ」とのデータ連携を行う「職員等利用者共通認証基盤（GIMA; Government Identity Management for Authentication）」
を介し、政府認証基盤（GPKI）における電子証明書を用いた認証、国家公務員 IC カードを用いた認証等が挙げられる。
 基本対策事項 6.1.1(1)-1 c)「生体」について
生体情報による主体認証を用いる場合には、その導入前に、この方式特有の他人受入率（本人を他人と誤って認証してしまう確率）と本人拒否率（本人の認証が受け入140

れられない確率）の課題があることを考慮して情報システムを設計する必要がある。
 基本対策事項 6.1.1(1)-2 a)「安全な方法で主体認証情報を割り当てる」について
利用者以外の者が主体認証情報を設定する場合には、当該主体認証情報を安全な方法で利用者に送付する必要がある。送付方法の例を以下に示す。
• 本人の電子メールアドレスに対し、必要に応じて、暗号化を施すことにより、主体認証情報を送付する。この際、暗号化された主体認証情報が添付された電子メールに復号するための鍵を同時に付すのは情報セキュリティ上、好ましくない。
• 本人の電子メールアドレスに対して主体認証情報を入手するためのウェブサイ
ト及びパスワードを送付し、当該パスワードによる認証の上で当該ウェブサイ
トから主体認証情報をダウンロードする。
• 本人の住所に対して主体認証情報を運搬する。
 基本対策事項 6.1.1(1)-3「利用者に主体認証情報の定期的な変更を求める場合」について利用者に主体認証情報の定期的な変更を求めることの情報セキュリティ上の効果は、主体認証情報の運用方法や情報システムの認証技術の方式により異なるものであり、また、生体情報による主体認証方式のように利用者本人でも変更が不可能なものもある。定期的な変更に一定の効果がある場合、変更を求める間隔が短いほど効果は高まることになるが、変更を強制する頻度が高すぎれば、利用者の利便性を著しく低下させ、利用者が強度の低い安易なパスワードを設定しやすくなるなど、結果的に主体認証機能の安全性を低下させて逆効果をもたらし得ることに注意する必要がある。したがって、利用者に主体認証情報の定期的な変更を求めるか否かは、その効果と逆効果を総合的に検討した上で判断する必要がある。
なお、利用者に主体認証情報の定期的な変更を求めることが、主体認証情報の漏えい等による不正行為や不正な主体認証の試行への対抗策として有効となる対策の例としては、以下が挙げられる。
• 識別コード自体が存在せず、主体認証情報（パスワード等）の設定のみ可能であるような機器等の利用においては、主体認証情報を複数の主体で共用せざるを得ない（基本対策事項 6.1.3(2)-3 を参照のこと。
）ため、人事異動等で利用者に変更が生じた場合、主体認証情報の定期的な変更を求める措置を講ずることによって、結果的に基本対策事項 6.1.3(2)-5 と類似の効果が得られる。
• 主体認証情報が窃取され、情報システムが不正に利用されている状況にあって、その不正利用を発見できていない場合、主体認証情報の定期的な変更を求める措置を講ずることで、不正利用され続ける時間を短くすることができる。
 基本対策事項 6.1.1(1)-4 b)「他の情報システムで利用している主体認証情報を設定しない」について複数の情報システムにおいて共通の主体認証情報を設定していた場合、ある情報システムから漏えいした主体認証情報が他の情報システムで不正に利用されるというリ141

スクが発生する。政府機関の管理下にない情報システムからの漏えいを防止することは不可能であるため、このような情報システムから主体認証情報が漏えいした場合の政府機関の情報システムへの影響について考慮しておく必要がある。対策の例としては、他の情報システムで利用している主体認証情報を政府機関の情報システムに設定しないよう注意喚起を表示する、識別コードを情報システム側で割り当てることで識別コードの共通利用を防止する、といった方法が考えられる。

142

6.1.2 アクセス制御機能
目的・趣旨
複数の主体が情報システムを利用する場合、特定の情報へのアクセスは、当該情報を業務上知る必要がある主体のみに限定される必要がある。したがって、情報システムにおいては、どの主体がどの情報にアクセスすることが可能なのかに関し、アクセス制御が適切に実施されるよう、留意する必要がある。

遵守事項(1) アクセス制御機能の導入(a) 情報システムセキュリティ責任者は、情報システムが取り扱う情報へのアクセスを、主体によって制御する必要がある場合、当該情報システムにアクセス制御を行う機能を設けること。
(b) 情報システムセキュリティ責任者は、アクセス制御機能の導入に当たり、情報セ
キュリティの強度や利便性を考慮の上、利用者及び所属するグループの属性に基づくアクセス制御だけでなく、利用時間帯や利用端末ごとの制御等、アクセス制御機能に求める情報セキュリティ上の要件を定めること。

【 基本対策事項 】＜6.1.2(1)(b)関連＞
6.1.2(1)-1 情報システムセキュリティ責任者は、以下を例とするアクセス制御機能の要件を定めること。
a) 情報システム利用者やそのグループ属性に基づくアクセス制御b) 利用時間や利用時間帯によるアクセス制御c) 同時利用者数によるアクセス制御d) 同一 ID による複数アクセスの禁止
e) IP アドレスによる端末の制限（解説） 基本対策事項 6.1.2(1)-1 a)「情報システム利用者やそのグループ属性に基づくアクセス制御」について具体的な手法としては、ファイルやフォルダ（ディレクトリ）のみならず、システ
ム内部にある様々なオブジェクト（操作の対象となるデータ又はアプリケーションプ
ログラムが扱う対象等）に付属する許可属性のリストであるアクセス制御リスト（ACL;
Access Control List）が挙げられる。

143

遵守事項
(2) 適正なアクセス制御の実施(a) 情報システムセキュリティ責任者は、行政事務従事者自らがアクセス制御を行うことができない情報システムについて、当該情報システムに保存されることとなる
情報の格付及び取扱制限に従い、適正にアクセス制御を行うこと。

【 基本対策事項 】規定なし（解説）
 遵守事項 6.2.1(2)(a)「アクセス制御」について共有ファイルサーバのアクセス制御のように、情報システムを行政事務従事者が利用する際に、自らがアクセス制御を行うことができない場合、情報システムの導入時及び運用時にアクセス制御を行うことを求めた事項である。
例えば、要機密情報であれば、• 不適当な者から参照されないよう、限られた者のみ読取可能とする属性を付与する。
• 要保全情報であれば、不適当な者から変更されないよう、書換禁止の属性を付与する。
などの方法がある。

144

6.1.3 権限管理機能
目的・趣旨
情報システムの管理機能として、一般的に管理者権限にはあらゆる操作が許可される特権が付与されている。当該特権が悪意ある第三者等に入手された場合、主体認証情報等の漏えい、改ざん又は情報システムに係る設定情報等が不正に変更されることによる情報セキュリティ機能の無効化等が懸念される。
したがって、限られた主体のみに管理者権限が付与され、不正に利用されないよう、権限管理機能を導入することが必要となる。

遵守事項(1) 権限管理機能の導入(a) 情報システムセキュリティ責任者は、情報システムを利用する主体に対して、主体認証を行う必要がある場合、情報システムの管理を実現するための権限に係る管理の機能を設けること。
(b) 情報システムセキュリティ責任者は、情報システムに権限管理機能を導入するに当たり、管理者権限の特権を悪意ある第三者等によって、不正に窃取された際の被害を最小化するための措置及び、内部からの不正操作や誤操作を防止するための措置を講ずること。

【 基本対策事項 】＜6.1.3(1)(a)関連＞
6.1.3(1)-1 情報システムセキュリティ責任者は、権限管理を行う情報システムにおいて、以下を含めた機能を導入すること。
a) 最小限の特権機能b) 内部からの不正操作や誤操作の防止機能（解説） 基本対策事項 6.1.3(1)-1 a)「最小限の特権機能」について
管理者権限等の特権は、システム全体へのアクセス権を持ち、あらゆる操作が可能であることが多く、仮に不正な目的を有する悪意ある第三者等が当該権限を入手すれば、当該システムに対して不正な操作が可能となってしまう。最小限の特権機能とは、特権が利用できる時間的な機会を限定すること又はあらかじめ限られた操作が可能な特権を付与することにより、当該特権を使った不正な操作が発生する機会を減らし、結果的に安全性を強化するものである。
例えば、管理作業をするときに限定してその識別コードを利用することを可能とする方式（例 Unix 系システムにおける sudo 等）や、あらかじめ実行できるプログラム
やアクセス可能な領域を限定し、特権を付与する方式がある。

145

 基本対策事項 6.1.3(1)-1 b)「内部からの不正操作や誤操作の防止機能」について権限管理を行う情報システムのうち、内部からの不正操作や誤操作を防ぐための強固な権限管理が必要な情報システムについては、ある処理に対し、複数名による主体
認証操作がなければ、その処理自体を完遂できない「デュアルロック機能」を導入することが望ましい。ただし、１人に対し、複数の識別コードによる主体認証を許可す
る設定は避ける必要がある。

146

遵守事項
(2) 識別コード・主体認証情報の付与管理(a) 情報システムセキュリティ責任者は、情報システムを利用する主体に対して、全ての識別コード及び主体認証情報を適切に付与し、適切に管理するための措置を講ずること。

【 基本対策事項 】＜6.1.3(2)(a)関連＞
6.1.3(2)-1 情報システムセキュリティ責任者は、情報システムを利用する許可を得た主体に対してのみ、識別コード及び主体認証情報を付与（発行、更新及び変更を含む。以下この項において同じ。
）すること。
6.1.3(2)-2 情報システムセキュリティ責任者は、識別コード及び知識による主体認証情報を付与された主体に対し、初期設定の主体認証情報（必要に応じて、初期設定の識別
コードも）を速やかに変更するよう、促すこと。
6.1.3(2)-3 情報システムセキュリティ責任者は、識別コードは、情報システムを利用する
主体ごとに個別に付与すること。ただし、情報システムセキュリティ責任者の判断の下、やむを得ず、複数の主体で共用する識別コード（以下「共用識別コード」という。）
を付与する必要がある場合には、利用者を特定できる仕組みを設けた上で、共用識別
コードの取扱いに関する規定を整備し、その規定に従って利用者に付与すること。
6.1.3(2)-4 情報システムセキュリティ責任者は、管理者権限を持つ識別コードを付与する
場合は、以下の措置を講ずること。
a) 業務上必要な場合に限定する。
b) 初期設定の識別コードを変更できる場合には、識別コードを初期設定以外のものに変更する。
c) 初期設定の主体認証情報を変更できる場合には、主体認証情報を初期設定以外のものに変更する。
d) ネットワーク経由のログインを制限する。
6.1.3(2)-5 情報システムセキュリティ責任者は、主体が情報システムを利用する必要がな
くなった場合には、以下の措置を講ずること。
a) 当該主体の識別コードを無効にする。
b) 識別コードを追加又は削除する時に、不要な識別コードの有無を点検する。
c) 主体認証情報の不正な利用を防止するために、当該主体に交付した主体認証情報格納装置を返還させる。
6.1.3(2)-6 情報システムセキュリティ責任者は、業務上の責務と必要性を勘案し、必要最小限の範囲に限ってアクセス権を与えるようにアクセス制御を設定すること。また、人事異動等により、識別コードを追加又は削除する時に、不適切なアクセス制御設定の有無を点検すること。
6.1.3(2)-7 情報システムセキュリティ責任者は、その他、識別コードの付与に当たっては、
以下を例とする措置を講ずること。
147a) 単一の情報システムにおいては、行政事務従事者１人に対する単一の識別コー
ドのみの付与b) 行政事務従事者への識別コードの付与に関する記録及び当該記録を消去する場
合の情報セキュリティ責任者からの事前の許可c) ある主体に付与した識別コードを別の主体に対して付与することの禁止（解説） 基本対策事項 6.1.3(2)-3「共用識別コード」について
共用識別コードは、その利用履歴だけでは利用者を特定できないため、情報セキュ
リティインシデントを認知した場合に、真相究明の支障となる可能性がある。この点を踏まえ、やむを得ず、共用識別コードを利用する場合には、利用者を特定するための以下を例とする仕組みを講ずる必要がある。
• 当該情報システムにおける別途の認証手段を併用する• 入退室管理装置等の物理的認証手段を併用する
 基本対策事項 6.1.3(2)-4「管理者権限を持つ識別コード」について
管理者権限を持つ識別コードの取扱いは、情報システムのセキュリティ対策上、非常に重要な事項である。そのため、管理者権限を持つ識別コードは、業務又は業務上の責務に則して最小限の者へ付与することとし、必要以上の者に過大な管理者権限を付与しないこと。また、管理者権限に関わる識別コード及び主体認証情報の取扱いについては、6.1.1 項の識別コード及び主体認証情報に関わる遵守事項も踏まえること。
 基本対策事項 6.1.3(2)-4 d)「ネットワーク経由のログインを制限する」について「ネットワーク経由のログインを制限する」こととしては、例えば、電子証明書による端末認証、IP アドレス、MAC アドレス等により、管理者権限を持つ識別コードを使ってログインする際の接続元を必要最小限にする方法が考えられる。
 基本対策事項 6.1.3(2)-5 a)「識別コードを無効にする」について
識別コードの付与を最小限に維持するため、退職等により不必要となった識別コー
ドについては、これを無効にする必要がある。また、本人からの届出による場合のほか、人事異動等の時期を考慮の上、定期的及び必要に応じて不要な識別コードが存在しないことを確認することにより、無効化漏れを防止することが期待できる。
 基本対策事項 6.1.3(2)-7「措置」について
・単一の情報システムにおいては、１人の行政事務従事者に対して単一の識別コードのみの付与
例えば、デュアルロック機能を備えた情報システムにおいては、１人の行政事務従事者に複数の識別コードでの主体認証を許してしまうと、デュアルロック機能による強化が万全とならなくなるなどの問題が生じる。
・識別コードをどの行政事務従事者に付与したかについての記録及び当該記録を消去する
場合の情報セキュリティ責任者からの事前の許可

148

識別コードの付与に関わる記録は将来の情報セキュリティインシデントに対する原因調査に備えて、不用意に消去しないことを求める事項である。その情報システムへの将来の調査が不要になったものについては、消去することになるが、その場合には、許可を得た上で消去しなければならない。情報システムの関係者だけの判断で、識別コードをどの主体に付与したかを確認するための記録を消去してはならない。
・ある主体に付与した識別コードをその後別の主体に対して付与することの禁止
例えば、職位等に対応する識別コードが存在し、それを後任者が引き継いで利用する場合、当該識別コードを利用したのが前任者と後任者のどちらであるかを区別できるように、主体認証情報を新たに設定し、以前に利用していた主体による利用を禁ずる措置を講ずる必要がある。

149

6.1.4 ログの取得・管理
目的・趣旨
情報システムにおけるログとは、システムの動作履歴、利用者のアクセス履歴、その他
必要な情報が記録されたものであり、悪意ある第三者等による不正侵入や不正操作等の情報セキュリティインシデント（その予兆を含む。
）を検知するための重要な材料となるものである。また、情報システムに係る情報セキュリティ上の問題が発生した場合には、当該ログは、事後の調査の過程で、問題を解明するための重要な材料となる。したがって、情報システムにおいては、仕様どおりにログが取得され、また、改ざんや消失等が起こらな
いよう、ログが適切に保全されなければならない。

遵守事項(1) ログの取得・管理(a) 情報システムセキュリティ責任者は、情報システムにおいて、情報システムが正しく利用されていることの検証及び不正侵入、不正操作等がなされていないことの検証を行う必要がある場合、ログを取得すること。
(b) 情報システムセキュリティ責任者は、情報システムにおいて、ログとして取得する情報項目、ログの保存期間、要保護情報の観点でのログ情報の取扱方法、及びログが取得できなくなった場合の対処方法等について定め、適切にログを管理すること。
(c) 情報システムセキュリティ責任者は、情報システムにおいて、取得したログを定期的に点検又は分析する機能を設け、悪意ある第三者等からの不正侵入、不正操作等の有無について点検又は分析を実施すること。

【 基本対策事項 】＜6.1.4(1)(a)関連＞
6.1.4(1)-1 情報システムセキュリティ責任者は、情報システムに含まれる構成要素（サーバ装置・端末等）のうち、時刻設定が可能なものについては、情報システムにおいて基準となる時刻に、当該構成要素の時刻を同期させ、ログに時刻情報も記録されるよう、設定すること。
＜6.1.4(1)(b)関連＞
6.1.4(1)-2 情報システムセキュリティ責任者は、以下を例とする、ログとして取得する情報項目を定め、管理すること。
a) 事象の主体（人物又は機器等）を示す識別コードb) 識別コードの発行等の管理記録c) 利用者による情報システムの操作記録d) 事象の種類e) 事象の対象
f) 正確な日付及び時刻
150g) 試みられたアクセスに関わる情報h) 電子メールのヘッダ情報及び送信内容i) 通信パケットの内容j) 操作する者、監視する者、保守する者等への通知の内容
6.1.4(1)-3 情報システムセキュリティ責任者は、ログの保存期間を定めること。
6.1.4(1)-4 情報システムセキュリティ責任者は、取得したログに対する、不正な消去、改ざん及びアクセスを防止するため、適切なアクセス制御を含む、ログ情報の保全方法を定めること。
6.1.4(1)-5 情報システムセキュリティ責任者は、ログが取得できなくなった場合の対処方法を定めること。
＜6.1.4(1)(c)関連＞
6.1.4(1)-6 情報システムセキュリティ責任者は、取得したログを効率的かつ確実に点検及び分析し、その結果を報告するために、以下を例とする、当該作業を支援する機能を導入すること。
a) ログ情報をソフトウェア等により集計し、時系列で表示し、報告書を生成するなどの作業の自動化（解説） 基本対策事項 6.1.4(1)-1「時刻を同期」について
具体的な実装例としては、ログを取得する機器のシステム時刻を、タイムサーバを用いて同期する方法がある。タイムサーバは、NTP（Network Time Protocol）や SNTP
（Simple Network Time Protocol）等の方式により、ネットワーク上のクライアント
機器に対して、時刻を提供する。例えば、公開 NTP サービスを用いる方式や組織内にタイムサーバを設置し、サーバ装置・端末・通信回線装置をタイムサーバに時刻同期するよう設定する方式が挙げられる。
なお、後者については、タイムサーバを複数利用することにより、時刻の精度や冗長性を高めることができる。
 基本対策事項 6.1.4(1)-2 d)「事象の種類」について
事象の種類の例を以下に示す。
• ウェブサイトへのアクセス• ログイン及びログアウト• サーバ、ファイルへのアクセス• 要保護情報の書き出し• アプリケーションの起動及び終了• 特定の操作指令
 基本対策事項 6.1.4(1)-2 e)「事象の対象」について
事象の対象の例を以下に示す。
• アクセスした URL
151• ログインしたアプリケーション名• アクセスしたファイル名及びファイル内容• 起動及び終了したアプリケーション名• 特定の操作指令の対象
 基本対策事項 6.1.4(1)-3「保存期間」について保存期間については、情報システム又は当該システムに保存される情報の特性に基づき、設定される。ただし、標的型攻撃に関し、攻撃の初期段階から経緯を確認する
観点からは、過去の事例を踏まえ、ログは 1 年間以上保存することが望ましい。
 基本対策事項 6.1.4(1)-5「ログが取得できなくなった場合の対処方法」について
以下を例とする対処方法が考えられる。
• 古いログに上書きする設定を施し、ログの取得を継続する。
• ログが取得できなくなった際に出力されているメッセージ、エラーコード等を確認し、障害の原因を特定すると同時に当該障害の原因の対処を実施する。
なお、情報システムにおいて、事前に収集したログのバックアップ設定を行っている場合は、復旧手順に従い、速やかにログを復旧させる。このとき、復旧するバックアップの古さの目標値を示す RPO（Recovery Point Objective）は情報システムの特性及び取り扱う情報によって、適切に設定する必要がある。
• あらかじめ用意したファイル容量を使い切った場合、情報システムに対する挙動がログに保存されないため、一旦情報システムを停止し、ファイル容量を新たに用意するなどした後に、ログの取得を再開する。
 基本対策事項 6.1.4(1)-6 a)「自動化」についてログとして取得する項目数、利用者数等が多くなるにつれて、ログの量は膨大になり、システム担当者等がログを目視することによって問題（又はその予兆）を検出す
るのは、困難を極める。システム自体に実装される機能や各種運用管理ツールを組み合わせ、ログの点検・分析・通知が自動的に実行されるなど、ログ管理作業を支援する仕組みを構築することが望ましい。

152

6.1.5 暗号・電子署名
目的・趣旨
情報システムで取り扱う情報の漏えい、改ざん等を防ぐための手段として、暗号と電子署名は有効であり、情報システムにおける機能として適切に実装することが求められる。
暗号化機能及び電子署名機能を導入する際は、使用するアルゴリズムが適切であること、運用時に当該アルゴリズムが危殆化した場合の対処方法及び関連する鍵情報の適切な管理等を併せて考慮することが必要となる。

遵守事項(1) 暗号化機能・電子署名機能の導入(a) 情報システムセキュリティ責任者は、情報システムで取り扱う情報の漏えいや改ざん等を防ぐため、以下の措置を講ずること。
(ア) 要機密情報を取り扱う情報システムについては、暗号化を行う機能の必要性の有無を検討し、必要があると認めたときは、当該機能を設けること。
(イ) 要保全情報を取り扱う情報システムについては、電子署名の付与及び検証を行う機能を設ける必要性の有無を検討し、必要があると認めたときは、当該機能を設けること。
(b) 情 報 シ ス テ ム セ キ ュ リ テ ィ 責 任 者 は 、 暗 号 技 術 検 討 会 及 び 関 連 委 員 会（CRYPTREC）により安全性及び実装性能が確認された「電子政府推奨暗号リスト」
を参照した上で、情報システムで使用する暗号及び電子署名のアルゴリズム及び運用方法について、以下の事項を含めて定めること。
(ア) 行政事務従事者が暗号化及び電子署名に対して使用するアルゴリズムについて、「電子政府推奨暗号リスト」に記載された暗号化及び電子署名のアルゴ
リズムが使用可能な場合には、それを使用させること。
(イ) 情報システムの新規構築又は更新に伴い、暗号化又は電子署名を導入する「電子政府推奨暗号リスト」に記載され場合には、やむを得ない場合を除き、たアルゴリズムを採用すること。
(ウ) 暗号化及び電子署名に使用するアルゴリズムが危殆化した場合を想定した
緊急対応手順を定めること。
(エ) 暗号化された情報の復号又は電子署名の付与に用いる鍵について、管理手順を定めること。
(c) 情報システムセキュリティ責任者は、府省庁における暗号化及び電子署名のアル
ゴリズム及び運用方法に、電子署名を行うに当たり、電子署名の目的に合致し、かつ適用可能な電子証明書を政府認証基盤（GPKI）が発行している場合は、それを使用するように定めること。

【 基本対策事項 】＜6.1.5(1)(a)関連＞
153

6.1.5(1)-1 情報システムセキュリティ責任者は、暗号化又は電子署名を行う情報システム
において、以下を例とする措置を講ずること。
a) 情報システムのコンポーネント（部品）として、暗号モジュールを交換することが可能な構成とする。
b) 複数のアルゴリズムを選択することが可能な構成とする。
c) 選択したアルゴリズムがソフトウェア及びハードウェアへ適切に実装された製品であって、かつ、暗号化された情報の復号又は電子署名の付与に用いる鍵及びそれにひも付く主体認証情報等が安全に保護される製品を利用することを前提とするため、「暗号モジュール試験及び認証制度」に基づく認証を取得している製品を選択する。
d) 暗号化された情報の復号又は電子署名の付与に用いる鍵については、耐タンパ性を有する暗号モジュールへ格納する。
e) 機微な情報のやり取りを行う情報システムを新規に構築する場合は、安全性に実績のある暗号プロトコルを選択し、長期的な秘匿性を保証する観点を考慮する。
（解説） 遵守事項 6.1.5(1)(b)(イ)「やむを得ない場合」について
情報システムの新規構築又は更新に伴い、暗号化又は電子署名を導入する場合においては、「電子政府推奨暗号リスト」に記載されたアルゴリズムを採用することが原則であるが、連携する他の情報システム側で対応していないなどの場合も想定される。
このような場合においては、「電子政府推奨暗号リスト」に記載されたアルゴリズム以外のものを採用することもやむを得ないと考えられるが、「推奨候補暗号リスト」や「運用監視暗号リスト」を参照の上、安全性が高いアルゴリズムを採用することが必要である。
 遵守事項 6.1.5(1)(b)(ウ)「アルゴリズムが危殆化」について
暗号化や電子署名に用いられる暗号アルゴリズムは、年月が経つにつれ、情報シス
テムの処理能力の向上や新たな暗号解読技法の考案等によって、アルゴリズム設計当初の強度を失い、結果として、安全性を保てなくなる。このことを一般に「アルゴリズムが危殆化する」という。
暗号アルゴリズムの強度には理論上の強度及び実装上の強度が存在する。理論上の強度の低下は情報システムの処理能力の向上や暗号解読法の考案によるところが大きく、実装上の強度の低下はサイドチャネル攻撃等の攻撃技術によるところが大きい。
サイドチャネル攻撃の例として、実装時に暗号アルゴリズムの動作に伴う消費電力や暗号モジュールから漏えいする電磁波等の付加的な情報を悪意ある第三者等が知り得る場合には、実装上の強度は極端に低下する可能性がある。

154

 遵守事項 6.1.5(1)(c)「電子証明書を政府認証基盤（GPKI）が発行している」についてGPKI 以外が発行するサーバ証明書、コード署名証明書等の電子証明書が有効期限内の場合、次期更新時には、GPKI で発行している電子証明書を利用することが求められる。
 基本対策事項 6.1.5(1)-1 a)「暗号モジュールを交換」について
暗号モジュールは、暗号化、電子署名、ハッシュ関数等の暗号に関連した機能を提供するソフトウェアの集合体又はハードウェアとして定義される。選択した暗号化ア
ルゴリズムが将来危殆化することを想定し、暗号モジュールの交換が可能な構成とすることを、情報システムの設計段階から考慮する必要がある。
また、あらかじめ暗号モジュールのアプリケーションインタフェースを統一しておくなどを考慮する必要がある。
 基本対策事項 6.1.5(1)-1 b)「複数のアルゴリズムを選択」について選択したアルゴリズムが将来危殆化することを想定し、危殆化していない他のアルゴリズムへ直ちに変更できる機能を、あらかじめ情報システムに設けておく必要がある。
 基本対策事項 6.1.5(1)-1 c)「「暗号モジュール試験及び認証制度」に基づく認証」についてアルゴリズム自体が安全であっても、それをソフトウェアやハードウェアへ実装する際、生成する疑似乱数に偏りが生じるなどの理由で疑似乱数が推測可能であったり、鍵によって処理時間に統計的な偏りが生じるなどの理由で鍵情報の一部が露呈したりすると、情報システムの安全性が損なわれるおそれがあることから、これらを確認す
るには、ISO/IEC19790 に基づく「暗号モジュール試験及び認証制度」が利用可能である。
 基本対策事項 6.1.5(1)-1 d)「耐タンパ性」について
JIS X 19790 (ISO/IEC 19790)の規定によると、耐タンパ性は以下の 3 つの機能から構成される。
• タンパ検出
暗号モジュールのセキュリティを危殆化する試みがなされたことの、暗号モジ
ュールによる自動的な判定• タンパ証跡
暗号モジュールのセキュリティを危殆化する試みがなされたことを示す、外観上の表示• タンパ応答
暗号モジュールがタンパを検出したときに採る自動的な動作
また、暗号モジュールを利用する環境等に応じ、セキュリティレベルが 1 から 4 まで設定されている。セキュリティレベル 1 は、最小限の物理的保護を要求している。
セキュリティレベル 2 では、タンパ証跡メカニズムの追加を要求している。セキュリ
155

ティレベル 3 では、除去可能なカバー及びドアに対して、タンパ検出及びタンパ応答
メカニズム付きの強固な囲いの利用の要求事項を追加している。セキュリティレベル 4
では、囲い全体に対して、タンパ検出及びタンパ応答メカニズム付きの強固な囲いの利用の要求事項を追加している。
なお、タンパ検出及びタンパ応答は、タンパ証跡の代わりにはならない。
暗号モジュールの耐タンパ性に関わるセキュリティレベルは、情報システムが取り扱う以下の特性を踏まえて選択することが望ましい。
• 暗号化及び／又は復号する情報の特性• 電子署名が付与される情報の特性
 基本対策事項 6.1.5(1)-1 e)「安全性に実績のある暗号プロトコル」について
情報システムで暗号を用いるとき、暗号アルゴリズムの適切な選択に加え、暗号プ
ロトコル（暗号アルゴリズムをどのように用いるかの手順）が適切なものとなっている必要がある。一般に、情報システムを新規に構築するときに、独自の暗号プロトコ
ルを設計することは、その安全性について十分に検証されないときは、期待される安全性が確保されていない可能性がある。安全な暗号プロトコルの設計は高度な専門性を有する者以外には容易なことではないため、可能な限り、独自の設計を避け、既に広く利用実績のある著名な暗号プロトコルを用いることが求められる。
なお、必要とする機能を実現する暗号プロトコルとして既存のものが存在しない場
合はこの限りでないが、独自に暗号プロトコルを設計するときは、その安全性に関して十分に検証する必要がある。
 基本対策事項 6.1.5(1)-1 e)「長期的な秘匿性」について
情報システム上で機微な情報のやり取りを行う場合、情報を暗号化して通信しても、その暗号文が悪意ある第三者等に傍受され、将来の解読に備えて長期間にわたり保管されるという脅威が想定される。この場合に、「前方秘匿性（Forward Secrecy）」を有しない暗号プロトコルを用いた結果、公開鍵暗号の鍵が将来破られることになれば、過去に遡って全ての暗号文が解読されてしまうことになる。そのため、長期の機密性を確保する必要のある機微な情報のやりとりを行う情報システムを構築するときは、「前方秘匿性」を実現する暗号プロトコルの採用を検討し、必要かつ可能であれば、採用することが求められる。

156

遵守事項
(2) 暗号化・電子署名に係る管理(a) 情報システムセキュリティ責任者は、暗号及び電子署名を適切な状況で利用するため、以下の措置を講ずること。
(ア) 電子署名の付与を行う情報システムにおいて、電子署名の正当性を検証するための情報又は手段を、署名検証者へ安全な方法で提供すること。
(イ) 暗号化を行う情報システム又は電子署名の付与若しくは検証を行う情報シ
ステムにおいて、暗号化又は電子署名のために選択されたアルゴリズムの危殆化に関する情報を定期的に入手し、必要に応じて、行政事務従事者と共有を図ること。

【 基本対策事項 】＜6.1.5(2)(a)(ア)関連＞
6.1.5(2)-1 情報システムセキュリティ責任者は、署名検証者が、電子署名の正当性を容易に検証するための情報を入手できるよう、以下を例とする方法により、当該情報の提供を可能とすること。
a) 信頼できる機関による電子証明書の提供
b) 府省庁の窓口での電子証明書の提供（解説）
 基本対策事項 6.1.5(2)-1 a)「信頼できる機関による電子証明書の提供」について
例えば、信頼できる機関のサイトから、利用者が電子署名を検証するための電子証
明書をダウンロードできるように環境を整備する方法である。利用者はダウンロード
した電子証明書を端末に取り込み、それを基に署名検証を行う。
 基本対策事項 6.1.5(2)-1 b)「府省庁の窓口での電子証明書の提供」について
府省庁において、利用者に電子署名を検証するための電子証明書を記録媒体で配布する方法である。利用者は記録媒体経由で電子証明書を端末に取り込み、それを基に署名検証を行う。

157

6.2

情報セキュリティの脅威への対策

6.2.1 ソフトウェアに関する脆弱性対策
目的・趣旨
政府機関の情報システムに対する脅威としては、第三者が情報システムに侵入し政府の重要な情報を窃取・破壊する、第三者が過剰な負荷をかけ情報システムを停止させるなどの攻撃を受けることが想定される。特に、国民向けに提供するサービスが第三者に侵入され、個人情報の漏えい等が発生した場合、政府に対する社会的な信用が失われる。
一般的に、このような攻撃では、情報システムを構成するサーバ装置、端末及び通信回線装置のソフトウェアの脆弱性を悪用されることが想定される。したがって、政府機関の情報システムにおいては、ソフトウェアに関する脆弱性について、迅速かつ適切に対処することが求められる。
なお、情報システムを構成するハードウェアに関しても、同様に脆弱性が存在する場合があるので、5.2.2 項「情報システムの調達・構築」の規定も参照し、必要な対策を講ずる必要がある。

遵守事項(1) ソフトウェアに関する脆弱性対策の実施(a) 情報システムセキュリティ責任者は、サーバ装置、端末及び通信回線装置の設置
又は運用開始時に、当該機器上で利用するソフトウェアに関連する公開された脆弱性についての対策を実施すること。
(b) 情報システムセキュリティ責任者は、公開された脆弱性の情報がない段階において、サーバ装置、端末及び通信回線装置上で採り得る対策がある場合は、当該対策を実施すること。
(c) 情報システムセキュリティ責任者は、サーバ装置、端末及び通信回線装置上で利用するソフトウェアに関連する脆弱性情報を入手した場合には、セキュリティパッチの適用又はソフトウェアのバージョンアップ等による情報システムへの影響を考慮した上で、ソフトウェアに関する脆弱性対策計画を策定し、措置を講ずること。
(d) 情報システムセキュリティ責任者は、サーバ装置、端末及び通信回線装置上で利用するソフトウェア及び独自に開発するソフトウェアにおける脆弱性対策の状況を定期的に確認し、脆弱性対策が講じられていない状態が確認された場合は対処すること。

【 基本対策事項 】＜6.2.1(1)(a)(d)関連＞
6.2.1(1)-1 情報システムセキュリティ責任者は、対象となるソフトウェアの脆弱性に関して、以下を含む情報を適宜入手すること。
a) 脆弱性の原因
158b) 影響範囲c) 対策方法d) 脆弱性を悪用する不正プログラムの流通状況
6.2.1(1)-2 情報システムセキュリティ責任者は、利用するソフトウェアはサポート期間を考慮して選定し、サポート期間を過ぎたソフトウェアは原則として利用しないこと。
6.2.1(1)-3 情報システムセキュリティ責任者は、構成要素ごとにソフトウェアのバージョン等を把握し、脆弱性対策の状況を確認すること。
＜6.2.1(1)(c)関連＞
6.2.1(1)-4 情報システムセキュリティ責任者は、ソフトウェアに関する脆弱性対策計画を策定する場合には、以下の事項について判断すること。
a) 対策の必要性
b) 対策方法c) 対策方法が存在しない場合の一時的な回避方法d) 対策方法又は回避方法が情報システムに与える影響e) 対策の実施予定
f) 対策試験の必要性
g) 対策試験の方法h) 対策試験の実施予定＜6.2.1(1)(c)(d)関連＞
6.2.1(1)-5 情報システムセキュリティ責任者は、脆弱性対策を実施する場合には、少なくとも以下の事項を記録し、これらの事項のほかに必要事項があれば適宜記録すること。
a) 実施日b) 実施内容c) 実施者
6.2.1(1)-6 情報システムセキュリティ責任者は、セキュリティパッチ、バージョンアップ
ソフトウェア等の脆弱性を解決するために利用されるファイル（以下「対策用ファイル」という。
）は、信頼できる方法で入手すること。
＜6.2.1(1)(d)関連＞
6.2.1(1)-7 情報システムセキュリティ責任者は、脆弱性対策の状況を確認する間隔は、可能な範囲で短くすること。
（解説） 遵守事項 6.2.1(1)(b)「公開された脆弱性の情報がない段階において、サーバ装置、端末及び通信回線装置上で採り得る対策」について脆弱性が明らかになっていない段階においても、サーバ装置、端末及び通信回線装置上で採り得る対策がある場合は、当該対策を実施する。対策としては、特定のメモリ上の実行権限の削除又はバッファオーバーフローの検知によるアプリケーションの実行停止等の対策を実施すること等が挙げられる。

159

 基本対策事項 6.2.1(1)-1「情報を適宜入手」について
情報システムを構成するサーバ装置、端末及び通信回線装置上で利用するソフトウ
ェアの脆弱性に関する情報は、製品ベンダや脆弱性情報提供サイト等を通じて適時調査を行う必要がある。自動アップデート機能を持つソフトウェアの場合には、当該機能を利用して、定期的に脆弱性に関連する情報が報告されているかを確認する方法で差し支えないが、自動アップデート機能の対象範囲を把握し、対象範囲外のソフトウ
ェアについては適時調査を行う必要がある。例えば、ウェブアプリケーション等のソ
フトウェアを効率的に開発するためにソフトウェアフレームワークを利用する場合があるが、ソフトウェアフレームワークを利用して開発したアプリケーションは自動アップデートが行えないため、脆弱性の有無については適宜調査を行う必要がある。
入手した脆弱性に関連する情報及び対策方法に関しては、脆弱性対策を効果的に実施するために、他の情報システムセキュリティ責任者と共有することが望ましい。
 基本対策事項 6.2.1(1)-1 d)「脆弱性を悪用する不正プログラムの流通状況」について脆弱性が既知になると、インターネット上の情報交換コミュニティ等を通じて、その脆弱性を悪用する方法が考案され、その悪用方法を機械的に実行するための不正プ
ログラム(exploit コードとも呼ばれる)が作られ、次第に広まっていく。この「脆弱性を悪用する不正プログラム」が流通している段階に入ると、脆弱性が攻撃されるリスクが格段に高まると考えられる。脆弱性を悪用する不正プログラムが世の中に流通していることが確認された場合には、速やかに当該の脆弱性について対処することが望ましい。
 基本対策事項 6.2.1(1)-2「サポート期間を考慮」について
利用するソフトウェアのサポート期間が過ぎた場合、それ以降はセキュリティ関連の脆弱性を修正するためのセキュリティパッチは、原則としてソフトウェアベンダから提供されなくなる。したがって、情報システムのライフサイクルを考慮し、少なくとも情報システムの次期改修までは対策用ファイルの提供が継続されるソフトウェアを選定する必要がある。
また、情報システムは特定のソフトウェアバージョンに依存しないよう設計することが望ましいが、情報システムの中には、特定のソフトウェアバージョンに強く依存する場合がある。この場合には、ソフトウェアをバージョンアップすることが困難となるが、新しいバージョンのソフトウェアでしか対処できない脆弱性が発生したときに、情報システムの停止という最悪の事態も想定される。したがって、情報システム
が特定のソフトウェアバージョンに依存せざるを得ない場合には、当該ソフトウェアのサポート期間を考慮して情報システムの更改について検討しておく必要がある。
 基本対策事項 6.2.1(1)-3「ソフトウェアのバージョン等を把握」について把握すべき情報としては、ソフトウェアのバージョンのほか、脆弱性対策の最終実
施日、未実施の脆弱性対策等がある。
 基本対策事項 6.2.1(1)-3「脆弱性対策の状況を確認」について
OS や各種サーバ、ファイアウォール等の通信回線装置等における脆弱性対策の状況
160

を効率的に確認する方法として、専用ツールや事業者が提供するサービス等を利用する脆弱性診断の実施が挙げられる。脆弱性診断には、ソースコード診断、プラットフ
ォーム診断、ウェブアプリケーション診断等の種類があり、ソフトウェアの種類によって利用する脆弱性診断を使い分ける必要がある。
ソースコード診断では、独自に開発したソフトウェアのソースコードを対象に、静的解析ツール等を用いて脆弱性の有無を検証する。したがって、運用開始までにソースコード診断を実施し、運用開始後にソースコードへ修正を加えた場合は、再度診断を実施することが望ましい。
プラットフォーム診断では、OS や各種サーバ、ファイアウォール等の通信回線装置等を対象に、テスト用の通信パケットを送信するなどの方法によって、最新のセキュ
リティパッチが適用されているか、設定が適切に行われているか、不要な通信ポートが開いていないかなどを検証する。したがって、運用開始までにプラットフォーム診断を実施し、その後も例えば年に一回診断を実施するなど、定期的に実施することが望ましい。
ウェブアプリケーション診断では、独自に開発したウェブアプリケーションを対象に、実際に不正なデータをウェブアプリケーションに送信するなどの方法によって、SQL インジェクションやクロスサイトスクリプティング等の脆弱性が存在しないかを検証する。したがって、運用開始までにウェブアプリケーション診断を実施し、運用開始後にウェブアプリケーションへ修正を加えた場合は、再度診断を実施することが望ましい。
 基本対策事項 6.2.1(1)-4 c)「一時的な回避方法」について
ソフトウェアにおいて脆弱性が顕在化した際に、ソフトウェアベンダが対応するまでの間は、当該ソフトウェアの利用を禁止する又は脆弱性が関係する機能を無効化するなどの対応が必要となる。
しかし、これらの対応によって業務に著しく悪影響を与えることが想定される場合
は、事前に必要な措置を講じておくことが求められる。例えば、ブラウザは業務上利用せざるを得ないケースが多いが、あらかじめ異なるソフトウェアベンダが提供する
複数のブラウザを端末に導入しておくことで、業務継続性を維持しつつ、脆弱性を悪用した攻撃を受けるリスクを低減することができる。複数のブラウザを導入すること
は、情報システムのコスト増加を招く可能性があるが、一方のブラウザを常時利用するとともに、他方を緊急時のインターネットへのアクセス手段として利用するなど、用途を分ける方法も考えられる。
 基本対策事項 6.2.1(1)-4 f)「対策試験」について「対策試験」とは、脆弱性対策の実施による情報システムへの影響の有無を確認するために、事前に試験用の情報システムを用いて試験することが想定される。
 基本対策事項 6.2.1(1)-6「対策用ファイル」について入手した対策用ファイルに悪意のあるコードが含まれている可能性を考慮し、対策
用ファイルは信頼できる方法で入手する必要がある。
161

信頼できる方法としては、ソフトウェアの開発元等が公開するウェブサイトからダウンロードする方法、又は郵送により対策用ファイルが記録された外部電磁的記録媒体を入手する方法が挙げられる。また、対策用ファイルが改ざんされていないこと等の完全性を検証できる手段があれば、併せてこれを実行する必要がある。

162

6.2.2 不正プログラム対策
目的・趣旨
情報システムが不正プログラムに感染した場合、情報システムが破壊される脅威や、当該情報システムに保存される重要な情報が外部に漏えいする脅威が想定される。さらには、
不正プログラムに感染した情報システムは、他の情報システムに感染を拡大させる、迷惑メールの送信やサービス不能攻撃等の踏み台として利用される、標的型攻撃における拠点として利用されるなどが考えられ、当該情報システム以外にも被害を及ぼすおそれがある。
このような事態を未然に防止するため、不正プログラムへの対策を適切に実施することが必要である。

遵守事項(1) 不正プログラム対策の実施(a) 情報システムセキュリティ責任者は、サーバ装置及び端末に不正プログラム対策
ソフトウェア等を導入すること。ただし、当該サーバ装置及び端末で動作可能な不正プログラム対策ソフトウェア等が存在しない場合を除く。
(b) 情報システムセキュリティ責任者は、想定される不正プログラムの感染経路の全てにおいて、不正プログラム対策ソフトウェア等により対策を講ずること。
(c) 情報システムセキュリティ責任者は、不正プログラム対策の状況を適宜把握し、必要な対処を行うこと。

【 基本対策事項 】＜6.2.2(1)(a)関連＞
6.2.2(1)-1 情報システムセキュリティ責任者は、不正プログラム対策ソフトウェア等及びその定義ファイルは、常に最新のものが利用可能となるよう構成すること。
6.2.2(1)-2 情報システムセキュリティ責任者は、不正プログラム対策ソフトウェア等の設
定変更権限については、システム管理者が一括管理し、システム利用者に当該権限を付与しないこと。
6.2.2(1)-3 情報システムセキュリティ責任者は、不正プログラム対策ソフトウェア等は、
定期的に全てのファイルを対象としたスキャンを実施するよう構成すること。
＜6.2.2(1)(b)関連＞
6.2.2(1)-4 情報システムセキュリティ責任者は、想定される全ての感染経路を特定し、不正プログラム対策ソフトウェア等の導入による感染の防止、端末の接続制限及び機能の無効化等による感染拡大の防止等の必要な対策を行うこと。
＜6.2.2(1)(c)関連＞
6.2.2(1)-5 情報システムセキュリティ責任者は、不正プログラム対策の実施を徹底するため、以下を例とする不正プログラム対策に関する状況を把握し、必要な対処を行うこと。
a) 不正プログラム対策ソフトウェア等の導入状況
163b) 不正プログラム対策ソフトウェア等の定義ファイルの更新状況（解説） 遵守事項 6.2.2(1)(a)「動作可能な不正プログラム対策ソフトウェア等」について
不正プログラム対策ソフトウェアの例としては、コンピュータウイルスを検知対処する「ウイルス対策ソフトウェア」や、キーロガーやアドウェア等のいわゆるスパイ
ウェアを検知対処する「スパイウェア対策ソフトウェア」等がある。
多くのメインフレームシステム並びに OS 及びアプリケーションを搭載していない
サーバ装置及び端末については、動作可能な不正プログラム対策ソフトウェア等が存在しないため、本対策事項の対象外である。ただし、新たに動作可能な不正プログラ
ム対策ソフトウェア等が出現した場合には、速やかな導入が求められることから、情報システムセキュリティ責任者は、該当するサーバ装置及び端末の把握を行っておくとともに、不正プログラム対策ソフトウェア等に関してベンダが提供するサポート情報に常に注意を払っておくことが望ましい。
また、新たな不正プログラムの存在が明らかになった後でも、利用中の不正プログ
ラム対策ソフトウェア等に用いる定義ファイルがベンダから配布されないなど、日常から行われている不正プログラム対策では対処が困難と判断される場合、情報システ
ムセキュリティ責任者は行政事務従事者に回避策の実施を指示する必要がある。
なお、回避策は一律ではなく、個々の状況によって様々な内容があり得る。例えば、
インターネット上の一部のウェブサイトを閲覧すると不正プログラムに感染することが判明している場合に、不正プログラム対策ソフトの定義ファイルが対応するまでの間、一時的にインターネット閲覧を制限する、という回避策が想定される。
 基本対策事項 6.2.2(1)-4「感染経路を特定」について
不正プログラムの感染経路には、電子メール、ウェブ等のネットワーク経由のほか、
不正プログラムに感染した外部電磁的記録媒体経由も考えられる。
不正プログラム対策ソフトウェア等は、製品ごとに不正プログラム定義ファイルの提供時期及び種類が異なる。また、これらは現存する全ての不正プログラムを検知及び除去できるとは限らず、不正プログラム対策ソフトウェア等の不具合により不正プ
ログラムの検知又は除去に失敗する危険性もある。このことから、不正プログラムによる被害を低減させるため、感染経路において、異なる定義ファイルを用いる不正プ
ログラム対策製品を組み合わせる、又は、定義ファイルパターンマッチングやふるまい検知等の異なる技術を用いる製品を組み合わせることにより、どれか一つの不具合
で、その環境の全てが不正プログラムの被害を受けることのないようにすることが望ましい。例えば、電子メールサーバに導入するウイルス対策ソフトウェアと端末に導入するウイルス対策ソフトウェアについて、それぞれ異なるウイルス定義ファイルを用いる製品を導入すること等が考えられる。
 基本対策事項 6.2.2(1)-4「感染拡大の防止」について
ネットワークを経由した感染拡大の防止策としては、例えば以下が挙げられる。

164• OS やアプリケーションに関するセキュリティパッチ及び不正プログラム定義
ファイルについて最新化されていない端末をネットワークに接続させない仕組
みの導入• 通信に不正プログラムが含まれていることを検知したときに、その通信をネッ
トワークから遮断する仕組みの導入

165

6.2.3 サービス不能攻撃対策
目的・趣旨
インターネットからアクセスを受ける情報システムに対する脅威としては、第三者からサービス不能攻撃を受け、利用者がサービスを利用できなくなることが想定される。このため、政府機関の情報システムのうち、インターネットからアクセスを受けるものについては、サービス不能攻撃を想定し、システムの可用性を維持するための対策を実施する必
要がある。

遵守事項
(1) サービス不能攻撃対策の実施(a) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システム（インターネットからアクセスを受ける情報システムに限る。以下この項において同じ。
）
については、サービス提供に必要なサーバ装置、端末及び通信回線装置が装備している機能又は民間事業者等が提供する手段を用いてサービス不能攻撃への対策を行うこと。
(b) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス不能攻撃を受けた場合の影響を最小とする手段を備えた情報システ
ムを構築すること。
(c) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス不能攻撃を受けるサーバ装置、端末、通信回線装置又は通信回線から監視対象を特定し、監視すること。

【 基本対策事項 】＜6.2.3(1)(a)関連＞
6.2.3(1)-1 情報システムセキュリティ責任者は、サーバ装置、端末及び通信回線装置について、以下を例とするサービス不能攻撃に対抗するための機能を設けている場合は、これらを有効にしてサービス不能攻撃に対処すること。
a) パケットフィルタリング機能b) 3-way handshake 時のタイムアウトの短縮c) 各種 Flood 攻撃への防御
d) アプリケーションゲートウェイ機能＜6.2.3(1)(b)関連＞
6.2.3(1)-2 情報システムセキュリティ責任者は、サービス不能攻撃を受けた場合を想定し、直ちに情報システムを外部ネットワークから遮断する、又は通信回線の通信量を制限するなどの手段を有する情報システムを構築すること。
6.2.3(1)-3 情報システムセキュリティ責任者は、サーバ装置、端末及び通信回線装置に設けられている機能を有効にするだけではサービス不能攻撃の影響を排除又は低減できない場合には、以下を例とする対策を検討すること。
166a) インターネットに接続している通信回線の提供元となる事業者が別途提供する、サービス不能攻撃に係る通信の遮断等の対策
b) サービス不能攻撃の影響を排除又は低減するための専用の対策装置の導入
c) サーバ装置、端末及び通信回線装置及び通信回線の冗長化
6.2.3(1)-4 情報システムセキュリティ責任者は、サービス不能攻撃を受け、サーバ装置、
通信回線装置又は通信回線が過負荷状態に陥り利用できない場合を想定し、攻撃への対処を効率的に実施できる手段の確保について検討すること。
＜6.2.3(1)(c)関連＞
6.2.3(1)-5 情報システムセキュリティ責任者は、特定した監視対象について、監視方法及び監視記録の保存期間を定めること。
6.2.3(1)-6 情報システムセキュリティ責任者は、監視対象の監視記録を保存すること。
（解説） 遵守事項 6.2.3(1)(a)「サービス不能攻撃」について
サービス不能攻撃は、DoS 攻撃(Denial of Service)とも呼ばれる。また、この DoS
攻撃を複数の拠点から一か所に対して行う攻撃は、DDoS 攻撃(Distributed Denial ofService)と呼ばれ、攻撃元が複数に分散しているために防御側の対処が困難な攻撃として知られている。
 基本対策事項 6.2.3(1)-3 a)「インターネットに接続している通信回線」について
情報システムに対してサーバ装置、端末及び通信回線装置に係るサービス不能攻撃の対策を実施しても、府省庁外へ接続する通信回線及び通信回線装置への過負荷の影
響を完全に排除することは不可能である。このため、インターネットに接続している
通信回線の提供元となる事業者に確認した上で、サービス不能攻撃発生時の対処手順や連絡体制を整備する必要がある。
 基本対策事項 6.2.3(1)-3 c)「冗長化」について
冗長化の例としては、サービス不能攻撃が発生した場合に備え、サービスを提供するサーバ装置、端末、通信回線装置又は通信回線について、負荷を分散させる、又はそれぞれ代替のものに切替えるなどにより、サービスを継続することができるように
情報システムを構成することが考えられる。
なお、代替のものへの切替えについては、サービス不能攻撃の検知及び代替サーバ
装置等への切替えが許容される時間内に行えるようにする必要がある。
 基本対策事項 6.2.3(1)-4「攻撃への対処を効率的に実施できる手段」について対処例としては、サービス提供に利用している通信回線がサービス不能攻撃により過負荷状態に陥った場合においても、サービス不能攻撃を受けているサーバ装置、通信回線装置及びそれらを保護するための装置を操作できる手段を確保することが挙げられる。具体的には、管理者が当該装置を操作するためのサーバ装置、端末及び通信
回線を、サービス提供に利用しているものとは別に用意することが挙げられる。

167

 基本対策事項 6.2.3(1)-5「監視方法及び監視記録の保存期間」について
インターネットからアクセスされるサーバ装置や、そのアクセスに利用される通信回線装置及び通信回線の中から、特に高い可用性が求められるものを優先的に監視する必要がある。
「監視方法」については、サービス不能攻撃を受けることに関する監視には、稼動中か否かの状態把握や、システムの構成要素に対する負荷の定量的な把握(CPU 使用率、プロセス数、ディスク I/O 量、ネットワークトラフィック量等)がある。監視方法は多種多様であるため、当該情報システムの構成等の特性に応じて適切な方法を選択する必要がある。
「監視記録の保存期間」については、監視対象の状態の変動を把握するという目的に照らして、保存期間を定める必要がある。
 基本対策事項 6.2.3(1)-6「監視記録を保存」について
サーバ装置、端末、通信回線装置及び通信回線を監視している場合、監視対象の状態は一定ではなく変動することが一般的である。時間変動、曜日変動、週変動、月変
動、季節変動等を検討した上で記録を一定期間保存する。

168

6.2.4 標的型攻撃対策
目的・趣旨
標的型攻撃とは、特定の組織に狙いを絞り、その組織の業務習慣等内部情報について事
前に入念な調査を行った上で、様々な攻撃手法を組み合わせ、その組織に最適化した方法を用いて、執拗に行われる攻撃である。典型的なものとしては、組織内部に潜入し、侵入範囲を拡大し、重要な情報を窃取又は破壊する攻撃活動が考えられる。これら一連の攻撃
活動は、未知の手段も用いて実行されるため、完全に検知及び防御することは困難である。
したがって、標的型攻撃による組織内部への侵入を低減する対策（入口対策）、並びに内部に侵入した攻撃を早期検知して対処する、侵入範囲の拡大の困難度を上げる、及び外部との不正通信を検知して対処する対策（内部対策）からなる、多重防御の情報セキュリテ
ィ対策体系によって、標的型攻撃に備える必要がある。

遵守事項(1) 標的型攻撃対策の実施(a) 情報システムセキュリティ責任者は、情報システムにおいて、標的型攻撃による組織内部への侵入を低減する対策（入口対策）を講ずること。
(b) 情報システムセキュリティ責任者は、情報システムにおいて、内部に侵入した攻撃を早期検知して対処する、侵入範囲の拡大の困難度を上げる、及び外部との不正通信を検知して対処する対策（内部対策）を講ずること。

【 基本対策事項 】＜6.2.4(1)(a)関連＞
6.2.4(1)-1 情報システムセキュリティ責任者は、サーバ装置及び端末について、組織内部への侵入を低減するため、以下を例とする対策を行うこと。
a) 不要なサービスについて機能を削除又は停止する。
b) 不審なプログラムが実行されないよう設定する。
c) パーソナルファイアウォール等を用いて、サーバ装置及び端末に入力される通信及び出力される通信を必要最小限に制限する。
6.2.4(1)-2 情報システムセキュリティ責任者は、USB メモリ等の外部電磁的記録媒体を利用した、組織内部への侵入を低減するため、以下を例とする対策を行うこと。
a) 出所不明の外部電磁的記録媒体を組織内ネットワーク上の端末に接続させない。接続する外部電磁的記録媒体を事前に特定しておく。
b) 外部電磁的記録媒体をサーバ装置及び端末に接続する際、不正プログラム対策
ソフトウェアを用いて検査する。
c) サーバ装置及び端末について、自動再生（オートラン）機能を無効化する。
d) サーバ装置及び端末について、外部電磁的記録媒体内にあるプログラムを一律に実行拒否する設定とする。
e) サーバ装置及び端末について、使用を想定しない USB ポートを無効化する。
169f) 組織内ネットワーク上の端末に対する外部電磁的記録媒体の接続を制御及び管理するための製品やサービスを導入する。
＜6.2.4(1)(b)関連＞
6.2.4(1)-3 情報システムセキュリティ責任者は、情報窃取や破壊等の攻撃対象となる蓋然性が高いと想定される、認証サーバやファイルサーバ等の重要なサーバについて、以下を例とする対策を行うこと。
a) 重要サーバについては、組織内ネットワークを複数セグメントに区切った上で、重要サーバ類専用のセグメントに設置し、他のセグメントからのアクセスを必
要最小限に限定する。また、インターネットに直接接続しない。
b) 認証サーバについては、利用者端末から管理者権限を狙う攻撃（辞書攻撃、ブルートフォース攻撃等）を受けることを想定した対策を講ずる。
6.2.4(1)-4 情報システムセキュリティ責任者は、端末の管理者権限アカウントについて、以下を例とする対策を行うこと。
a) 不要な管理者権限アカウントを削除する。
b) 管理者権限アカウントのパスワードは、容易に推測できないものに設定する。
6.2.4(1)-5 情報システムセキュリティ責任者は、重点的に守るべき業務・情報を取り扱う
情報システムについては、高度サイバー攻撃対処のためのリスク評価等のガイドラインに従って、対策を講ずること。
（解説） 遵守事項 6.2.4(1)(a)「標的型攻撃」について
以下の各項における規定内容は、標的型攻撃への対策としても有効であるため、それぞれに示される対策を行う必要がある。
• 6.2.1 項「ソフトウェアに関する脆弱性対策」• 6.2.2 項「不正プログラム対策」• 7.1.1 項「端末」• 7.1.2 項「サーバ装置」• 7.2.1 項「電子メール」• 7.3.1 項「通信回線の対策」
 基本対策事項 6.2.4(1)-1「不審なプログラムが実行されないよう設定する」について
具体的な設定手段としては、通常アプリケーションでは利用しないメモリ空間を利用しようとしたプログラムを不審と判定して実行を拒否するソフトウェアや、あらか
じめ利用するアプリケーションを登録してそれ以外のアプリケーションの実行を拒否するソフトウェアが挙げられる。なお、これらを導入する場合には、業務で利用する
アプリケーションに影響が及ぶ可能性があるため、事前に検証する必要がある。
 基本対策事項 6.2.4(1)-2 c)「自動再生（オートラン）機能を無効化」について
自動再生（オートラン）機能とは、OS がその機能を備えている場合において、サーバ装置や端末に USB メモリ等の外部電磁的記録媒体を接続した際に、その媒体に格納
170

されている特定のプログラムを自動的に実行する機能を指す。
標的型攻撃に用いられる手段として、この機能を悪用するものがあり、例えば、不正プログラムを格納した USB メモリを端末に接続させることにより、不正プログラムを実行させるという手法が想定される。
自動再生（オートラン）機能を無効化しておくことにより、この機能を悪用する手段による被害に遭うリスクを低減することができる。
 基本対策事項 6.2.4(1)-2 d)「外部電磁的記録媒体内にあるプログラムを一律に実行拒否」についてOS によっては、あらかじめ設定することにより、USB メモリ等の外部電磁的記録
媒体を端末に接続した場合において、その媒体にあるプログラムを、その媒体にある状態のまま実行することを一律に拒否することができる。プログラムを実行したい場
合には、端末の内蔵電磁的記録媒体（PC 内蔵 HDD 等）にいったんコピーしてから実行する運用となる。この設定により、接続した途端に外部電磁的記録媒体上の不正プ
ログラムが実行されるリスクを低減することができる。
 基本対策事項 6.2.4(1)-2 e)「USB ポートを無効化」について
物理的に又はシステム的に USB ポートを利用できない状態にすることで、USB メ
モリ等の外部電磁的記録媒体を接続することによって生じる情報セキュリティインシ
デントの発生を抑止できる。
 基本対策事項 6.2.4(1)-2 f)「組織内ネットワーク上の端末に対する外部電磁的記録媒体の接続を制御及び管理するための製品やサービス」について
外部電磁的記録媒体のポートへの接続や利用を制御及び管理するため、以下のような機能を持つ製品やサービスが市場に提供されている。
• 端末の USB ポートのインタフェースを無効化し、外部電磁的記録媒体を含む全ての機器を利用不可とする。
• USB ポートに接続された機器のうち、全ての外部電磁的記録媒体を利用不可とする。
• 利用を認める外部電磁的記録媒体を一元管理するサーバに事前に登録しておき、登録されていない外部電磁的記録媒体の利用不可とする。
• 利用を認める外部電磁的記録媒体の個体識別情報（製品番号等）と利用者の組合せを一元管理するサーバに事前に登録しておき、組合せ以外での利用を不可とする。
• 外部電磁的記録媒体の接続の際における、利用者、出力日時、出力ファイル名
等のログを自動的に取得する。
 基本対策事項 6.2.4(1)-3「情報窃取や破壊等の攻撃対象となる蓋然性が高いと想定される、認証サーバやファイルサーバ等の重要なサーバ」について
悪意ある第三者等は、入口対策を突破して内部への侵入に成功すると、外部から遠隔指令を出して内部侵入の範囲を拡大しつつ、目的の達成を目指すと想定される。その目的としては、重要情報の窃取や破壊が想定され、したがって、識別コード及びア171クセス権限を集中管理する認証サーバ、又は、情報が集中的に保存されるファイルサーバは、攻撃対象となる蓋然性が高いと考えられる。これら重要サーバには、特に注意を払って情報セキュリティ対策を講ずる必要がある。
 基本対策事項 6.2.4(1)-3 b)「管理者権限を狙う攻撃（辞書攻撃、ブルートフォース攻撃等）を受けることを想定した対策」について
管理者権限を狙う攻撃としては、機械的にパスワードを変えながら連続してログイン試行する攻撃が考えられる。このような攻撃を受けることを想定した対策としては、
以下に挙げるものが考えられる。
• 連続でのログイン失敗回数に上限値を設け、この上限値を超えた場合は、次回ログイン試行までに一定の期間（例：15 分）ログイン試行を受け付けないようにシステム等で設定する。
• ログイン失敗ログを取得し、その取得内容を継続的に監視することにより、大量のログイン失敗を検知する仕組みを導入する。
なお、辞書攻撃とは、パスワードに単語の組み合わせや人名を用いている場合に有効なパスワード解析方法をいう。英語の辞書に限らず各国語の単語を用いる場合もあるため、日本語の単語、日本人の人名も安全ではない。また、単語と数桁の数字のよ
うな単純な組み合わせも解析の対象となる。また、ブルートフォース攻撃とは、無意
味な英数記号の組み合わせも含めた、総当たりでのパスワード解析方法をいう。辞書
攻撃より効率は劣るが、原理的には必ず正しいパスワードに到達する。

172

6.3

アプリケーション・コンテンツの作成・提供

6.3.1 アプリケーション・コンテンツの作成時の対策
目的・趣旨
府省庁では、情報の提供、行政手続、意見募集等の行政サービスのためにアプリケーション・コンテンツを用意し、広く利用に供している。利用者がこれらのアプリケーション・
コンテンツを利用する際に、利用者端末の情報セキュリティ水準の低下を招いてしまうことは避けなければならない。府省庁は、アプリケーション・コンテンツの提供に際しても、
情報セキュリティ対策を講じておく必要がある。
また、アプリケーション・コンテンツの開発・提供を外部委託する場合については、4.1.1
項「外部委託」についても併せて遵守する必要がある。

遵守事項(1) アプリケーション・コンテンツの作成に係る規定の整備(a) 統括情報セキュリティ責任者は、アプリケーション・コンテンツの提供時に府省庁外の情報セキュリティ水準の低下を招く行為を防止するための規定を整備すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 6.3.1(1)(a)「アプリケーション・コンテンツ」について
行政サービスは、アプリケーションプログラムやウェブコンテンツ等を用いて国民等に提供されている。特にウェブコンテンツでは、政府機関以外が提供するコンテン
ツ（以下「外部コンテンツ」という。）を組み込むことによって、容易に様々な機能を提供することが可能となるが、政府機関において外部コンテンツの信頼性を担保することは不可能であることから、このような利用方法には注意を要する。例えば、外部コンテンツが事前に通知されることなく変更されてしまい、行政サービスの利用者の意図に反して利用者の個人に関する情報が取得される可能性がある。また、外部コン
テンツに不正プログラムが組み込まれ、行政サービスの利用者がそれに感染する被害が生じることも考えられる。そのため、ウェブコンテンツでは外部コンテンツを利用しないことが望ましいが、必要があって利用する場合には、これらの脅威に対して適切なセキュリティ対策を実施することが求められる。
 遵守事項 6.3.1(1)(a)「府省庁外の情報セキュリティ水準の低下を招く行為を防止する」
について国民等が政府機関によって提供される行政サービスを利用する場合、行政サービスの利用によって、利用者の端末が不正プログラムに感染しやすい状況を強制したり、利用者個人の情報が利用者の意図に反して第三者に提供させられるといった状況を作173

り出したりすることは避けなければならない。政府機関は、国民等の府省庁外の情報
セキュリティ水準を低下させないように留意して、行政サービスのためのアプリケー
ション・コンテンツを提供する必要がある。
 遵守事項 6.3.1(1)(a)「規定を整備」について
統括情報セキュリティ責任者は、アプリケーション・コンテンツの提供に関する規定の整備に当たり、遵守事項 6.3.1(2)において規定した事項を含める必要がある。

174

遵守事項
(2) アプリケーション・コンテンツのセキュリティ要件の策定(a) 情報システムセキュリティ責任者は、府省庁外の情報システム利用者の情報セキ
ュリティ水準の低下を招かぬよう、アプリケーション・コンテンツについて以下の内容を仕様に含めること。
(ア) 提供するアプリケーション・コンテンツが不正プログラムを含まないこと。
(イ) 提供するアプリケーションが脆弱性を含まないこと。
(ウ) 実行プログラムの形式以外にコンテンツを提供する手段がない限り、実行
プログラムの形式でコンテンツを提供しないこと。
(エ) 電子証明書を利用するなど、提供するアプリケーション・コンテンツの改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与えること。
(オ) 提供するアプリケーション・コンテンツの利用時に、脆弱性が存在するバージョンの OS やソフトウェア等の利用を強制するなどの情報セキュリティ
水準を低下させる設定変更を、OS やソフトウェア等の利用者に要求することがないよう、アプリケーション・コンテンツの提供方式を定めて開発すること。
(カ) サービス利用に当たって必須ではない、サービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能がアプリケーション・コンテンツに組み込まれることがないよう開発すること。
(b) 行政事務従事者は、アプリケーション・コンテンツの開発・作成を外部委託する
場合において、前号に掲げる内容を調達仕様に含めること。

【 基本対策事項 】＜6.3.1(2)(a)(ア)関連＞
6.3.1(2)-1 情報システムセキュリティ責任者は、提供するアプリケーション・コンテンツが不正プログラムを含まないことを確認するために、以下を含む対策を行うこと。
a) アプリケーション・コンテンツを提供する前に、不正プログラム対策ソフトウ
ェアを用いてスキャンを行い、不正プログラムが含まれていないことを確認すること。
b) 外部委託により作成したアプリケーションプログラムを提供する場合には、委託先事業者に、当該アプリケーションの仕様に反するプログラムコードが含まれていないことを確認させること。
＜6.3.1(2)(a)(ア)(カ)関連＞
6.3.1(2)-2 情報システムセキュリティ責任者は、提供するアプリケーション・コンテンツにおいて、府省庁外のウェブサイト等のサーバへ自動的にアクセスが発生する機能が仕様に反して組み込まれていないことを、HTML ソースを表示させるなどして確認すること。必要があって当該機能を含める場合は、当該府省庁外へのアクセスが情報セ
キュリティ上安全なものであることを確認すること。
175

6.3.1(2)-3 情報システムセキュリティ責任者は、提供するアプリケーション・コンテンツに、本来のサービス提供に必要のない府省庁外へのアクセスを自動的に発生させる機能を含めないこと。
＜6.3.1(2)(a)(エ)関連＞
6.3.1(2)-4 情報システムセキュリティ責任者は、文書ファイル等のコンテンツの提供において、当該コンテンツが改ざん等なく真正なものであることを確認できる手段がない
場合は、「https://」で始まる URL のウェブページから当該コンテンツをダウンロード
できるように提供すること。
6.3.1(2)-5 情報システムセキュリティ責任者は、改ざん等がなく真正なものであることを確認できる手段の提供として電子証明書を用いた署名を用いるとき、政府認証基盤（GPKI）の利用が可能である場合は、政府認証基盤により発行された電子証明書を用いて署名を施すこと。
（解説） 遵守事項 6.3.1(2)(a)(ア)「不正プログラムを含まない」について
不正プログラムとは、一般的なコンピュータウイルスの他、ワームやスパイウェア
等が該当する。不正プログラムを含まないようにすべきものは、府省庁外の利用者の端末にインストールさせるプログラムの他、利用者に閲覧させるウェブサイトのウェブページも含む。
 遵守事項 6.3.1(2)(a)(イ)「脆弱性を含まない」について
脆弱性は、アプリケーションプログラムが動作する OS や利用する開発言語によって様々な種類のものが存在する。例えば、C 言語によって開発されたアプリケーションプ
ログラムにバッファオーバーフローの脆弱性が存在した場合は、利用者の端末上で任意のプログラムを実行される可能性がある。したがって、OS や開発言語の特性に応じて適切な脆弱性対策を実施する必要がある。
 遵守事項 6.3.1(2)(a)(ウ)「実行プログラムの形式でコンテンツを提供しない」について実行プログラムの形式とは、利用者がダブルクリックするなどしてファイルを開いたときに自動的にプログラムコード（当該ファイルの作成者が意図した任意のコード）が実行される形式のファイルのことであり、拡張子が「.exe」の形式のものがこれに該当するほか、「.pif」、「.scr」、「.bat」等のものも該当する。本遵守事項に違反する例としては、会議資料等のプログラムではない文書を提供する際に、自己展開式圧縮ファ
イル作成ソフトウェアを用いて拡張子が「.exe」の圧縮ファイルを作成してこれを配布する行為が典型例として挙げられる。この場合は、拡張子「.zip」等の形式の圧縮ファイルを作成して配布すればよい。
実行プログラムの形式は、不正プログラムがその感染手段として利用することが多く、特に電子メールに添付された実行形式のファイルは、不正プログラム感染防止のため、基本的に開かないようにしなければならない。これは、拡張子「.zip」等の圧縮

176

ファイル中に含まれる実行プログラムの形式のファイルについても同様である（基本対策事項 8.1.1(7)-3 d）にも規定しているため、参照のこと。）。それにもかかわらず、
府省庁が日ごろから実行プログラムの形式でのコンテンツ提供を行う場合、府省庁の行政事務従事者だけでなく、一般の行政サービスの利用者に対しても、実行プログラ
ムの形式のファイルを開くことに慣れさせてしまうことになり、利用者の情報セキュ
リティ水準を低下させてしまうことになる。そのため、本遵守事項は、そもそも実行プログラムの形式や実行プログラムの形式を含む圧縮ファイルの形式でのコンテンツ
提供をしないよう求めている。
なお、府省庁が行政サービスのためにアプリケーションプログラムを提供する必要がある場合等、「実行プログラムの形式以外にコンテンツを提供する手段がない」場合
は、実行プログラムの形式で提供してもよい。
 遵守事項 6.3.1(2)(a)(エ)「改ざん等がなく真正なものであることを確認できる手段がある場合には、それをアプリケーション・コンテンツの提供先に与える」について改ざん等がなく真正なものであることを確認できる手段には、利用者に提供するものがアプリケーションプログラムである場合は、「コードサイニング証明書」等と呼ばれる電子証明書を用いてアプリケーションプログラムに署名を施すことがこれに該当する。利用者はアプリケーションプログラムに施された署名を確認することで、改ざんがないことを確認でき、さらに、そのアプリケーションプログラムの提供者が府省庁であることを確認できる。提供するコンテンツがウェブサイト上にある場合には、SSL（TLS）を用いた「https://」で始まる URL のウェブページとすることにより、利用者は当該ウェブページが改ざんなく受信できていることを確認できる。SSL（TLS）
を用いる際に、府省庁のサーバ証明書を用いれば、当該サイトが府省庁のものである
ことを確認できる。コンテンツを電子メールで提供する場合には、S/MIME 等の電子署名の技術を用いることで、電子メールが配送途中で改ざんされていないこと及び発信者が府省庁であることを確認できる。
府省庁によりその手段を提供する準備が整っている場合は、アプリケーション・コ
ンテンツの提供先に必ず与える必要がある。技術的にそのような手段が存在するものの府省庁がまだその手段を提供する準備を整えていない場合については、可能な限りその準備を整えることが望ましい。技術的にそのような手段が存在しない場合としては、文書ファイルを提供するときに、文書ファイルの形式によっては署名を施す手段がない場合があり、この場合にはその手段を与えなくてもよい。
 遵守事項 6.3.1(2)(a)(オ)「脆弱性が存在するバージョンの OS やソフトウェア等の利用を強制する」について
行政サービスを提供する情報システムの提供において、当該情報システムを利用するために、府省庁外の事業者等が作成した汎用のソフトウェアやミドルウェアのインストールが利用者の端末で必要となる場合がある。この場合、利用者は府省庁から指示されたソフトウェアを自身の端末にインストールせざるを得ないが、指定されるソ
フトウェアのバージョンが古く、脆弱性が存在するものであると、利用者の情報セキ
ュリティ水準を府省庁が低下させることになる。したがって、脆弱性が存在するバー
177

ジョンの OS の利用やソフトウェアのインストールを府省庁が暗黙又は明示的に要求することにならないよう、アプリケーション・コンテンツの提供方式を定めて開発しなければならない。
具体的には、当該行政サービスを提供するシステムが準備された時点では脆弱性が発見されていなくても、運用開始後に発見されることがある。そのとき、利用者が迅
速に当該脆弱性を回避できるようになっている必要がある。例えば、当該行政サービ
スを利用するために、第三者が提供している汎用のソフトウェアのインストールを必要としていたとする。このとき、当該ソフトウェアに脆弱性が発見され、それを修正した新バージョンのソフトウェアが公開された場合に、当該新バージョンのソフトウ
ェアをインストールすることで当該行政サービスに不具合等が生じて利用が不可能になるような事態が発生すると、利用者は、当該ソフトウェアを新バージョンに更新することができなくなる。結果として、府省庁の行政サービスが利用者の脆弱性回避を妨げることになってしまう。こうしたことが起きないよう、行政サービスを提供する
システムは、第三者の汎用ソフトウェアの併用を前提とする場合は、当該汎用ソフト
ウェアが新バージョンに置き換わっても、正常に動作するように設計する必要がある。
予期せず不具合が発生する事態が発生した場合にも、行政サービスを提供するシステ
ムを修正することができるよう、迅速に新バージョンのソフトウェアに対応することを保守契約に盛り込んでおくことが望ましい。
また、特定の種類のウェブブラウザに脆弱性が発見され、利用する危険性が高くなった場合においても、他の種類のウェブブラウザも利用可能とすることで、提供するサービスを継続可能にする必要がある。そのためには、例えば、2 種類以上のウェブブ
ラウザ又は同一製品の異なるバージョンが動作するように、情報システムの構築時に配慮し、その動作確認をおこなうことが考えられる。
なお、開発時に公開されているバージョンだけでなく、例えば、利用を想定しているブラウザの次期バージョンについて、ソフトウェアの配布前に情報が公開された状
態又は試用版ソフトウェアが配布され動作検証可能な状態にあれば、前もって利用可能かどうかを検証するなど、その後に公開が想定されるバージョンにも対応できるよう、構築時に配慮することが望ましい。
 遵守事項 6.3.1(2)(a)(オ)「情報セキュリティ水準を低下させる設定変更を、OS やソフトウェア等の利用者に要求する」について
行政サービスを提供する情報システムを利用するために、利用者の端末にインストールされているソフトウェア（府省庁が直接提供していないソフトウェア（例えば、端末の OS やウェブブラウザ等））の設定変更を必要とするとき、その設定変更が情報
セキュリティ水準の低下を招くものである場合、そのような設定変更を要求してはならない。必要があって利用者に設定変更を求めるときは、その OS やブラウザの標準設
定（初期設定）に変更することのみを求めるものとすることである。

178

 遵守事項 6.3.1(2)(a)(カ)「サービス利用に当たって必須ではない、サービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能」についてこれに該当する典型的な例は、府省庁のウェブサイトを構成する各 HTML ファイルの中に、府省庁外のサイト（例として広告事業者の広告提供サーバ）のコンテンツを見えない形又は見える形で組み込むことで、府省庁のウェブサイトの閲覧者のアクセス履歴を当該広告サーバへ自動的に送信する、いわゆる「トラッキング処理」を行う機能である。このとき、当該広告提供サーバが HTTP の cookie 機能を用いて閲覧する
利用者に識別番号を付番している場合は、アクセス履歴等の、サービス利用に当たって必須ではない、サービス利用者その他の者に関する情報が、本人の意思に反して当該広告提供サーバを運営する第三者に提供されることになるので、本遵守事項はこのような機能がアプリケーション・コンテンツに組み込まれることがないようにすることを求めている。
また、トラッキング処理ではなくとも、例えば、利用者のキー入力の全てを当該利用者が意図しない形で送信するなどの機能も、「サービス利用に当たって必須ではない、
サービス利用者その他の者に関する情報が本人の意思に反して第三者に提供されるなどの機能」に該当し得る。
なお、対象はウェブサイトの HTML ファイルに限られず、アプリケーションプログ
ラムを提供する場合に、そのプログラムに含まれ得る機能についても同様である。
 遵守事項 6.3.1(2)(b)「調達仕様に含める」について
例えば、府省庁が何らかのキャンペーンとして啓発コンテンツを提供する際に、その作成を広告会社等に外部委託する場合は、情報システム部門以外の行政事務従事者
がその外部委託の調達仕様を定めることになると考えられる。このような場合でも、府省庁外の情報セキュリティ水準を低下させないよう、遵守事項 6.3.1(2)(a)のセキュリ
ティ要件を調達仕様に含めることが求められる。
 基本対策事項 6.3.1(2)-2「必要があって当該機能を含める場合」について
府省庁外へのアクセスを自動的に発生させる機能を含める必要がある場合の例としては、ソーシャルメディアサービスとの連携機能を提供するためのボタン（ボタン画
像の他、ボタン押下時の機能等を提供するプログラムを含む。）等を府省庁のウェブページ上に設置する場合があげられる。もし、府省庁外のウェブサイトが提供するプロ
グラムに不正なコードが含まれる場合、当該プログラムを使用した府省庁のウェブサ
イトが利用者に危険をもたらすことになるため、その安全性が確認できているボタン等のみを使用することが求められる。これはウェブページ等のコンテンツに限られず、府省庁が提供するアプリケーションプログラム内においても同様である。
 基本対策事項 6.3.1(2)-3「府省庁外へのアクセスを自動的に発生させる機能」について府省庁外へのアクセスを自動的に発生させる機能とは、例えば、府省庁が提供する
ウェブページの HTML ファイルに、<script src=”http://府省庁外のサイト/foo.js”>等の179

記述があり、府省庁外のウェブサイトからプログラムを読み込んで実行する機能が該当する。もし、府省庁外のウェブサイトが提供するプログラムに不正なコードが含まれる場合、当該プログラムを使用した府省庁のウェブサイトが利用者に危険をもたらすことになるため、そのような機能をウェブページに含めることは可能な限り避けるべきである。具体的には、当該ファイルを当該府省庁ウェブサイトのサーバ上に置いて提供することで解決できる。これはウェブページ等のコンテンツに限られず、府省庁が提供するアプリケーションプログラム内においても同様である。
「https://」で始まる URL のウェブページから当該コンテン 基本対策事項 6.3.1(2)-4「ツをダウンロードできるように提供」について
情報システムの利用者が、現在閲覧しているウェブページが「https://」で始まる URLのウェブページであることを目視確認の上で、そこからリンクをクリックするなどしてファイルをダウンロードする手順を踏むことにより、当該ファイルは、暗号化された通信によって改ざんなくダウンロードされることになる。本基本対策事項は、このような機能を利用者に提供することを求めたものである。
具体的には、府省庁が提供するウェブサイトのサーバで SSL（TLS）通信を利用可
能とし、「https://」で始まる URL での閲覧を可能とすればよい。
なお、そのときにダウンロードさせるファイル自身も SSL（TLS）通信を通じてダ
ウンロードされるよう、当該ファイルへのリンクも「https://」で始まる URL としておく必要がある。

180

6.3.2 アプリケーション・コンテンツ提供時の対策
目的・趣旨
府省庁では、情報の提供、行政手続及び意見募集等の行政サービスのためにウェブサイ
ト等を用意し、国民等の利用に供している。これらのサービスは通常インターネットを介して利用するものであるため、国民等にとっては、そのサービスが実際の府省庁のものであると確認できることが重要である。また、政府機関になりすましたウェブサイトを放置しておくと、政府機関の信用を損なうだけでなく、国民等が不正サイトに誘導され、不正プログラムに感染するおそれがあるため、このような事態への対策を講ずる必要がある。

遵守事項(1) 政府ドメイン名の使用(a) 情報システムセキュリティ責任者は、府省庁外向けに提供するウェブサイト等が実際の府省庁提供のものであることを利用者が確認できるように、.go.jp で終わるドメイン名（以下「政府ドメイン名」という。）を情報システムにおいて使用するよう仕様に含めること。ただし、4.1.3 項に掲げる場合を除く。
(b) 行政事務従事者は、府省庁外向けに提供するウェブサイト等の作成を外部委託する場合においては、前号と同様、政府ドメイン名を使用するよう調達仕様に含めること。

【 基本対策事項 】規定なし（解説）
 遵守事項 6.3.2(1)(a)「.go.jp で終わるドメイン名（以下「政府ドメイン名」という。）
を情報システムにおいて使用する」について「.go.jp で終わるドメイン名」は、株式会社日本レジストリサービスが定める「属性型（組織種別型）
・地域型 JP ドメイン名登録等に関する規則」に基づき登録等を行うこととなっている。また、登録資格は、日本国の政府機関、各省庁所轄研究所、独立行政法人、特殊法人（特殊会社を除く）とされている。
政府機関において政府ドメイン名以外のドメイン名を使用した場合は、なりすましをしようとする者が、政府機関からの情報を装った内容を保存したウェブサイトを作成して待ち伏せするという方法によるなりすましが考えられる。このような行為を防止するために、普段から政府ドメイン名のウェブサイトだけを使うことで、そこに保存されている情報の真偽について府省庁外の者が注意を心がけやすくできる。
また、政府ドメイン名以外のウェブサイトを使用した場合に、そのサイトの使用を終了した後も、当該ドメイン名を不正に利用されないように管理することに注意しなければならない。具体的には、そのような用途に使用した当該ドメイン名については、使用後も登録管理を一定期間維持することを求める規定を設ける必要がある。
なお、在外公館のように国外在住の者を対象とし、かつ、現地のルールに従うこと
181

が適切であると考えられる場合には、この限りではない。ただし、そのようなドメイ
ン名の使用については、外務省ウェブサイト等において利用者がそのドメイン名が確かに在外公館のものであると確認できるよう措置されることが適当である。
 遵守事項 6.3.2(1)(b)「調達仕様に含める」について
府省庁外向けのウェブサイトを構築する場合に、情報システム部門以外の行政事務従事者がウェブサイトの構築業務を外部委託することが考えられる。このような場合
でも、府省庁外の情報セキュリティ水準の低下を招かないよう、政府ドメイン名の使用を調達仕様に含めることが求められる。

182

遵守事項
(2) 不正なウェブサイトへの誘導防止(a) 情報システムセキュリティ責任者は、利用者が検索サイト等を経由して府省庁のウェブサイトになりすました不正なウェブサイトへ誘導されないよう対策を講ずること。

【 基本対策事項 】＜6.3.2(2)(a)関連＞
6.3.2(2)-1 情報システムセキュリティ責任者は、府省庁外向けに提供するウェブサイトに対して、以下を例とする検索エンジン最適化措置（SEO 対策）を講ずること。
a) クローラからのアクセスを排除しない。
b) cookie 機能を無効に設定したブラウザでも正常に閲覧可能とする。
c) 適切なタイトルを設定する。
d) 不適切な誘導を行わない。
6.3.2(2)-2 情報システムセキュリティ責任者は、府省庁外向けに提供するウェブサイトに関連するキーワードで定期的にウェブサイトを検索し、検索結果に不審なサイトが存在した場合は、速やかにその検索サイト業者へ報告するとともに、不審なサイトへのアクセスを防止するための対策を講ずること。
（解説） 遵守事項 6.3.2(2)(a)「府省庁のウェブサイトになりすました不正なウェブサイト」について
府省庁外の者が、府省庁の名前をタイトルに掲げるなどして、府省庁のウェブサイ
トと誤認されかねないウェブサイトを作成することがあり、これを完全に防ぐことはできない。本来ならば、利用者は当該サイトの URL 中のドメイン名が政府ドメイン名
であるかを確認することで、府省庁のウェブサイトかを確認できるところであるが、検索サイト等を利用して府省庁名で検索して訪れる利用者も多いことから、検索サイ
トで検索したときに、正規の府省庁サイトが検索結果の上位に現れるようになっていることが望ましい。通常は、特別な対策をすることなく、そのような結果になることがほとんどであるが、正規の府省庁サイトの側で、不適切な設定になっていたり、コンテンツが適切に構成されていない場合に、検索サイトで、正規の府省庁サイトが最上位に現れなかったり、適切な表示がなされないことがある。本遵守事項はそのような事態を防止するための措置を講ずることを求めている。
 基本対策事項 6.3.2(2)-1「検索エンジン最適化措置（SEO 対策）」について正規のウェブサイトが検索サイトで上位に現れるように正規のウェブサイト側で工夫を施すことを、一般に「検索エンジン最適化」又は「SEO 対策」と呼ぶ。本基本対策事項は、府省庁サイトにおいても一般的な検索エンジン最適化の措置を講ずることを求めている。
183 基本対策事項 6.3.2(2)-1 a)「クローラからのアクセスを排除しない」について
一般に、検索サイトは、ウェブクローラと呼ばれる自動的にウェブサイトのリンクをたどって全てのページを巡回するプログラムを、自ら稼働させることによって収集した HTML データを用いて検索機能を実現している。そのため、検索サイトのクローラからのアクセスを拒否する設定をしている場合、当該サイトは検索サイトの検索結果に現れなくなることがある。そのような設定は、ウェブサイトの「/robots.txt」のフ
ァイルの記述で簡単にできるものであるため、誤ってクローラからのアクセスを拒否する設定にしてしまう状況が想定される。通常、このファイルを設定する必要はない
ため、何ら記述しないでおくことが望ましい。
 基本対策事項 6.3.2(2)-1 b)「cookie 機能を無効に設定したブラウザでも正常に閲覧可能とする」について
一般に、検索サイトが自ら稼働させるウェブクローラは、HTTP の cookie 機能に対応していない。そのため、cookie 機能を無効に設定したブラウザで閲覧したときに、正常に表示されないウェブページは、検索サイトの検索結果に正常に表示されない事態が起きる。通常のウェブサイトの構成では、cookie 機能を無効にしても正常に表示されるものであるが、一部の CMS（Content Management System）には、cookie を無効にして閲覧すると「cookie を有効にしてください」とだけ記述したエラー画面を表示するものがあり、そのような CMS を用いてウェブサイトを構成すると、前述の事態が生じる。実際に、過去に一部の府省庁サイトでそのような事態が発生したことがあるため、ウェブサイトの構築を外部委託する場合を含め、注意する必要がある。
 基本対策事項 6.3.2(2)-1 c)「適切なタイトルを設定する」について
一般に、検索サイトの検索結果には、当該ページのタイトル（HTML 中の TITLE
要素で設定される文字列）が見出しとして表示され、利用者はこれを頼りにサイトを訪れることから、府省庁サイトにおいても、ページのタイトルに府省庁名を含めるな
ど、適切なタイトルを設定することが重要である。
その他の対策として、HTML 中の H1 要素や H2 要素を適切に記述することで、そこに含まれる単語や文で検索したときに、検索サイトの上位に当該ページが現れやすくなる。府省庁サイトにおいても、H1 要素や H2 要素を適切に記述することで、検索結果の上位に現れやすくすることができる。
また、
HTML 中のメタタグ（「description」
や「keywords」等）に概要やキーワード等を記述することで、そこに含まれる単語や文で検索したときに、検索サイトの上位に当該ページが現れやすくなる。府省庁サイ
トにおいても、メタタグを適切に記述することで、検索結果の上位に現れやすくする
ことができる。
 基本対策事項 6.3.2(2)-1 d)「不適切な誘導を行わない」について
一般に、HTML 中に見えない文字等でページ内容に関係のないキーワードを過剰に記述するなどして、当該ページへのアクセスを無用に誘う行為（「SEO スパム」等と呼ばれる。
）は、不適切な行為として検索サイトからペナルティを科され、検索結果の上位に表示されなくなることがある。府省庁のウェブサイトにおいて、故意にそのよう184

な行為が行われることは考えにくいが、コンテンツの作成を外部委託した場合に、委託先が独自判断で行うことも想定されるため、そのようなコンテンツを作成しないよう注意が必要である。
 基本対策事項 6.3.2(2)-2「不審なサイトへのアクセスを防止するための対策」について不審なサイトを確認した場合は、府省庁のウェブサイト等において注意喚起を行うなどの対応を図るとともに、必要に応じて自組織や内閣官房情報セキュリティセンター等の関係部門に状況を報告する。特に悪質な場合は、誤って当該サイトにアクセスすることを防止するため、検索サイト業者に対して検索結果に表示されないよう依頼
する、
府省庁 LAN からアクセスできないよう当該サイトに対してフィルタを設定する、といった対策が考えられる。

185

遵守事項
(3) 府省庁外のアプリケーション・コンテンツの告知(a) 行政事務従事者は、府省庁外の者が提供するアプリケーション・コンテンツを告知する場合は、以下の対策を講ずること。
(ア) 告知するアプリケーション・コンテンツを管理する組織名を明記する。
(イ) 告知するアプリケーション・コンテンツの所在場所の有効性（リンク先のURL のドメイン名の有効期限等）を確認した時期又は有効性を保証する期間について明記する。
(ウ) 電子メールの送信により告知する場合には、告知内容についての問合わせ先として政府ドメイン名による電子メールアドレスを明記するか又は告知する電子メールに政府ドメイン名による電子署名を付与する。

【 基本対策事項 】規定なし（解説）
 遵守事項 6.3.2(3)(a)「府省庁外の者が提供するアプリケーション・コンテンツを告知する」について政府機関において、政府ドメイン名を使用するウェブページや電子メール等を用いて府省庁外が提供するアプリケーション・コンテンツを告知する場合は、政府機関としての信頼を損なわないよう遵守事項に留意して対応する必要がある。ここで告知とは、ウェブサイト（例えば、http://www.nisc.go.jp/）等へのハイパーリンクを掲載し、府省庁が主体となってアプリケーション・コンテンツへのアクセスを促すことをいう。
以下に、告知の記載例を示す。
• 本件についての問合わせは、○○@nisc.go.jp までご連絡ください。
• このウェブサイトは○○協会が運営しており、○○省が運営しているものではありません。
• このウェブサイトのアドレスについては、20○○年○○月時点のものです。ウェブサイトのアドレスについては廃止や変更されることがあります。最新のア
ドレスについては、ご自身でご確認ください。

186

第7部 情報システムの構成要素

7.1

端末・サーバ装置等

7.1.1 端末
目的・趣旨
端末の利用に当たっては、不正プログラム感染や不正侵入を受けるなどの外的要因により、保存されている情報の漏えい等のおそれがある。また、行政事務従事者の不適切な利用や過失等の内的要因による不正プログラム感染等の情報セキュリティインシデントが発生するおそれもある。モバイル端末の利用に当たっては、盗難・紛失等による情報漏えいの可能性も高くなる。これらのことを考慮して、対策を講ずる必要がある。
なお、本項の遵守事項のほか、6.1 節「情報システムのセキュリティ機能」において定める主体認証・アクセス制御・権限管理・ログ管理等の機能面での対策、6.2.1 項「ソフトウェアに関する脆弱性対策」、6.2.2 項「不正プログラム対策」、7.3.2 項「IPv6 通信回線」において定める遵守事項のうち端末に関係するものについても併せて遵守する必要がある。

遵守事項(1) 端末の導入時の対策(a) 情報システムセキュリティ責任者は、要保護情報を取り扱う端末について、端末の盗難、不正な持ち出し、第三者による不正操作、表示用デバイスの盗み見等の物
理的な脅威から保護するための対策を講ずること。
(b) 情報システムセキュリティ責任者は、要管理対策区域外で要機密情報を取り扱う
モバイル端末について、盗難等の際に第三者により情報窃取されることを防止するための対策を講ずること。
(c) 情報システムセキュリティ責任者は、多様なソフトウェアを利用することにより脆弱性が存在する可能性が増大することを防止するため、端末で利用を認めるソフ
トウェア及び利用を禁止するソフトウェアを定めること。

【 基本対策事項 】＜7.1.1(1)(a)関連＞
7.1.1(1)-1 情報システムセキュリティ責任者は、モバイル端末を除く端末について、原則としてクラス２以上の要管理対策区域に設置すること。
7.1.1(1)-2 情報システムセキュリティ責任者は、端末の盗難及び不正な持ち出しを防止するために、以下を例とする対策を講ずること。
a) モバイル端末を除く端末を、容易に切断できないセキュリティワイヤを用いて固定物又は搬出が困難な物体に固定する。
b) モバイル端末を保管するための設備（利用者が施錠できる袖机やキャビネット
187

等）を用意する。
7.1.1(1)-3 情報システムセキュリティ責任者は、第三者による不正操作及び表示用デバイスの盗み見を防止するために、以下を例とする対策を講ずること。
a) 一定時間操作が無いと自動的にスクリーンロックするよう設定する。
b) 要管理対策区域外で使用するモバイル端末に対して、盗み見されるおそれがある場合にのぞき見防止フィルタを取り付ける。
＜7.1.1(1)(b)関連＞
7.1.1(1)-4 情報システムセキュリティ責任者は、第三者により情報窃取されることを防止するために、以下を例とする、端末に保存される情報を暗号化するための機能又は利用者が端末に情報を保存できないようにするための機能を設けること。
a) 端末に、ハードディスク等の電磁的記録媒体全体を暗号化する機能を設ける。
b) 端末に、ファイルを暗号化する機能を設ける。
c) ファイル暗号化等のセキュリティ機能を持つアプリケーションを活用したリモートアクセス環境を構築する。
d) シンクライアント等の仮想デスクトップ技術を活用した、端末に情報を保存させないリモートアクセス環境を構築する。
e) セキュアブラウザ等を活用した、端末に情報を保存させないリモートアクセス
環境を構築する。
f) ハードディスク等電磁的記録媒体に保存されている情報を遠隔から消去する機能（遠隔データ消去機能）を設ける。
＜7.1.1(1)(c)関連＞
7.1.1(1)-5 情報システムセキュリティ責任者は、以下を考慮した上で、利用を認めるソフ
トウェア及び利用を禁止するソフトウェアをバージョンも含め定めること。
a) ソフトウェアベンダのサポート状況b) ソフトウェアが行う外部との通信の有無及び通信する場合はその通信内容
c) インストール時に同時にインストールされる他のソフトウェアd) その他、ソフトウェアの利用に伴う情報セキュリティリスク（解説） 遵守事項 7.1.1(1)(c)「利用を認めるソフトウェア及び利用を禁止するソフトウェアを定める」について利用を認めるソフトウェア及び利用を禁止するソフトウェアそれぞれのリストに登録する単位について、ソフトウェアの個別の製品名やバージョン単位で列挙すると分かりやすいが、利用を禁止する全てのソフトウェアについて製品名等を個別に列挙するのが難しい場合は、例えば、個別に把握できるソフトウェアの製品名に加えてカテ
ゴリ単位で登録することも考えられる。カテゴリ単位で登録する例としては、いわゆ
るピアツーピアで通信を行うソフトウェア、ファイル交換ソフトウェア、端末内の情報又は端末に入力した情報が自動で府省庁外のサーバ装置等に送信されるソフトウェ
ア、というような単位で定めておき、利用者に周知しておくと不要な手続が減らせる

188

ほか、利用者の意識向上にも寄与すると考えられる。また、情報セキュリティリスクを低減する観点からは、利用を認めるソフトウェアを極力限定することが望ましい。
利用者が端末にソフトウェアをインストールすることができるような環境においては、利用を認めるソフトウェア及び利用を禁止するソフトウェアについて、利用者に周知徹底を図ることが重要である。
 基本対策事項 7.1.1(1)-1「原則としてクラス２以上の要管理対策区域に設置する」について要保護情報を取り扱う端末はクラス２以上の区域に設置することが望ましい。クラス２より低位の区域に設置する必要がある場合は、利用者が常時目視できる場所への設置を義務付けるなど、クラス２の区域に設置する場合と同程度の安全性を確保するための代替の対策を講ずること。
 基本対策事項 7.1.1(1)-3「第三者による不正操作及び表示用デバイスの盗み見を防止するために、以下を例とする対策を講ずる」について
第三者による不正操作等の防止のための対策事項であるが、その他、端末の操作のロックの解除に IC カード等の主体認証情報格納装置を使用し、主体認証情報格納装置が無い状態で又は操作の無い状態が一定時間続くことで端末の操作がロックされるよ
うにし、かつ、当該主体認証情報格納装置を執務室への立入りの確認にも利用するという方法が考えられる（これにより、利用者が執務室外にいる際には端末の操作が確
実にロックできる）。
また、正規の利用者による不正操作や誤操作の防止策として、端末が備える機能のうち、利用しない機能を停止することが考えられる。停止する機能の例としては、無線 LAN 等の通信用のインタフェース、USB ポート等の外部電磁的記録媒体を接続するためのインタフェース、マイク、ウェブカメラ等が考えられる。
 基本対策事項 7.1.1(1)-4「暗号化」について
モバイル端末が第三者の者の手に渡った場合には、モバイル端末から取り外された
内蔵電磁的記録媒体や、モバイル端末で利用していた外部電磁的記録媒体に保存されている情報を他の端末を利用して解読するなどの手段によって要機密情報が窃取される危険性がある。このような情報の窃取への対策として、端末に暗号化機能を搭載することが有効である。
暗号化する方法としては、ハードディスク全体又はファイル単体を暗号化するソフ
トウェアの導入や OS が備えている暗号化機能を使用することが挙げられる。その他、基本対策事項 7.1.1-4 c)の「ファイル暗号化等のセキュリティ機能を持つアプリケーシ
ョン」を用いる方法もある。
ハードディスク全体を暗号化している場合でも、端末の起動中等の復号可能な状態
で盗難等に遭った場合には情報窃取されるおそれがあるため、基本対策事項 7.1.1-4 f)の「遠隔データ消去機能」と組み合わせて用いると情報窃取される可能性をより低減できる。
また、暗号化を行う場合は鍵の管理が重要になる。鍵の管理の方法として、端末内
189

の耐タンパ性を備えた TPM（Trusted Platform Module）を利用する方法や、鍵を USB
セキュリティトークンに格納して、利用時以外は端末とは別に管理するという方法等が考えられる。
 基本対策事項 7.1.1(1)-4 c)「ファイル暗号化等のセキュリティ機能を持つアプリケー
ション」について「（解説）基本対策事項 8.2.1(1)-3 c)「ファイル暗号化等のセキュリティ機能を持つ
アプリケーション」について」を参照のこと。
 基本対策事項 7.1.1(1)-4 d)「シンクライアント等」について「（解説）基本対策事項 8.2.1(1)-3 a)「シンクライアント等」について」を参照のこと。
 基本対策事項 7.1.1(1)-4 e)「セキュアブラウザ等」について「（解説）基本対策事項 8.2.1(1)-3 b)「セキュアブラウザ等」について」を参照のこと。
 基本対策事項 7.1.1(1)-4 f)「遠隔データ消去機能」について
端末の通信機能を利用して、遠隔から端末内のデータを消去する機能であるが、通信が確立できないために遠隔からデータ消去できない場合に備え、主体認証の失敗した回数をカウントして一定数を超えた際に消去するなど特定の条件で自律的に消去す
る機能についても考慮するとよい。また、データ消去ではなく、端末の操作をロックするという対策も考えられる。
 基本対策事項 7.1.1(1)-5「利用を認めるソフトウェア及び利用を禁止するソフトウェ
アをバージョンも含め定める」について利用を認めるソフトウェア及び利用を禁止するソフトウェアを定める際には、以下を行うことが考えられる。
• ソフトウェアベンダによるセキュリティパッチ等のサポートが提供されていることや、セキュリティベンダ等の第三者が提供するソフトウェアの脆弱性等に関する情報を確認する。
• 外部と通信を行う機能を有することが明確なもの又は外部との通信の有無について利用規約により確認できるものについては、当該機能による通信内容を事前に確認する。
• インストール時に、他のソフトウェアのインストールの同意を求めるものについては、当該ソフトウェアの利用の可否についても併せて定める。
• ブラウザ等のソフトウェアで利用される機能拡張用のソフトウェア（いわゆる、プラグインやアドオン）の利用の可否についても併せて定める。
また、一度利用を認めたソフトウェアであっても、バージョンが上がった際に、旧バージョンと比べ、機能が変わったり、同時にインストールされる他のソフトウェアが追加されたりする場合があるので、利用を認めるソフトウェア及び利用を禁止する
ソフトウェアを定める際には、バージョンも含めて定めることが重要である。なお、
190

ソフトウェアによっては、バージョンによらず一律で利用を禁止するソフトウェアに指定できる場合もある。

191

遵守事項
(2) 端末の運用時の対策(a) 情報システムセキュリティ責任者は、利用を認めるソフトウェア及び利用を禁止するソフトウェアについて定期的に見直しを行うこと。
(b) 情報システムセキュリティ責任者は、所管する範囲の端末で利用されている全てのソフトウェアの状態を定期的に調査し、不適切な状態にある端末を検出等した場
合には、改善を図ること。

【 基本対策事項 】規定なし（解説）
 遵守事項 7.1.1(2)(a)「見直しを行う」について
ソフトウェアのバージョン更新、サポート期限切れ、新しいソフトウェアの出現等に適切に対応するため、また、利用者の要求に柔軟に対応するため、利用を認めるソ
フトウェア及び利用を禁止するソフトウェアの見直しを行うことが必要である。
「定期的」以外の見直しの契機として、端末の利用者から利用を認めるソフトウェ
ア以外のソフトウェアの利用承認の申請（8.1.1 項「情報システムの利用」を参照のこと。
）を受け付けたときが考えられる。申請のあったソフトウェアについて、引き続き利用を認める場合には、利用を認めるソフトウェアのリストに追加し、引き続き利用を禁止する場合には、利用を禁止するソフトウェアのリストに追加することで、一つのソフトウェアにつき１回の手続で済ませることができる。
 遵守事項 7.1.1(2)(b)「不適切な状態にある端末を検出等した場合には、改善を図る」
について「不適切な状態」とは、利用を認めるソフトウェア以外のソフトウェアがインストールされている、ソフトウェアが動作するための適切な設定がなされていない、最新のセキュリティパッチが適用されていないなどの状態のことをいう。
利用を認めるソフトウェア以外のソフトウェアが稼働している場合には、当該ソフ
トウェアを停止する、又は削除する必要がある。セキュリティパッチについては、6.2.1
項「ソフトウェアに関する脆弱性対策」を参照のこと。

192

遵守事項
(3) 端末の運用終了時の対策(a) 情報システムセキュリティ責任者は、端末の運用を終了する際に、端末の電磁的記録媒体の全ての情報を抹消すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 7.1.1(3)(a)「端末の運用を終了する際」について端末を廃棄処分する場合やリース契約が終了し端末を返却する場合が考えられる。
 遵守事項 7.1.1(3)(a)「抹消する」について抹消の方法については、「（解説）遵守事項 3.1.1(7)(b)「抹消する」について」を参照のこと。
なお、運用を外部委託しているなど、調達元の府省庁において抹消できない場合においては、保存されている情報の漏えいが生じないための対策を講じさせることを、契約内容に含むようにするなどの別の手段で対策を講ずることが必要である。

193

7.1.2 サーバ装置
目的・趣旨
電子メールサーバやウェブサーバ、ファイルサーバ等の各種サーバ装置には、大量の情報が保存されている場合が多く、当該情報の漏えいや改ざんによる影響も端末と比較して大きなものとなる。また、サーバ装置は、通信回線等を介してその機能が利用される場合が多く、不正プログラム感染や不正侵入を受けるなどの可能性が高い。仮に政府機関が有するサーバ装置が不正アクセスや迷惑メールの送信の中継地点に利用されるようなことになれば、国民からの信頼を大きく損なう。加えて、サーバ装置は、同時に多くの者が利用するため、その機能が停止した場合に与える影響が大きい。これらのことを考慮して、対策を講ずる必要がある。
なお、本項の遵守事項のほか、6.1 節「情報システムのセキュリティ機能」において定める主体認証・アクセス制御・権限管理・ログ管理等の機能面での対策、6.2.1 項「ソフトウェアに関する脆弱性対策」、6.2.2 項「不正プログラム対策」、6.2.3 項「サービス不能攻撃対策」、7.3.2 項「IPv6 通信回線」において定める遵守事項のうちサーバ装置に関係するものについても遵守する必要がある。また、特に電子メールサーバ、ウェブサーバ、DNS サー
バについては、本項での共通的な対策に加え、それぞれ 7.2 節「電子メール・ウェブ等」において定める遵守事項についても併せて遵守する必要がある。

遵守事項(1) サーバ装置の導入時の対策(a) 情報システムセキュリティ責任者は、要保護情報を取り扱うサーバ装置について、
サーバ装置の盗難、不正な持ち出し、第三者による不正操作、表示用デバイスの盗み見等の物理的な脅威から保護するための対策を講ずること。
(b) 情報システムセキュリティ責任者は、障害や過度のアクセス等によりサービスが提供できない事態となることを防ぐため、要安定情報を取り扱う情報システムについて、将来の見通しも考慮し、サービス提供に必要なサーバ装置を冗長構成にするなどにより可用性を確保すること。
(c) 情報システムセキュリティ責任者は、多様なソフトウェアを利用することにより脆弱性が存在する可能性が増大することを防止するため、サーバ装置で利用を認めるソフトウェア及び利用を禁止するソフトウェアを定めること。
(d) 情報システムセキュリティ責任者は、通信回線を経由してサーバ装置の保守作業を行う際に送受信される情報が漏えいすることを防止するための対策を講ずること。

【 基本対策事項 】＜7.1.2(1)(a)関連＞
7.1.2(1)-1 情報システムセキュリティ責任者は、要保護情報を取り扱うサーバ装置については、クラス２以上の要管理対策区域に設置すること。
194

7.1.2(1)-2 情報システムセキュリティ責任者は、サーバ装置の盗難及び不正な持ち出しを防止するために、以下を例とする対策を講ずること。
a) 施錠可能なサーバラックに設置して施錠する。
b) 容易に切断できないセキュリティワイヤを用いて、固定物又は搬出が困難な物
体に固定する。
7.1.2(1)-3 情報システムセキュリティ責任者は、第三者による不正操作及び表示用デバイスの盗み見を防止するために、以下を例とする対策を講ずること。
a) 一定時間操作が無いと自動的にスクリーンロックするよう設定する。
＜7.1.2(1)(b)関連＞
7.1.2(1)-4 情報システムセキュリティ責任者は、障害や過度のアクセス等によりサービスが提供できない事態となることを防ぐため要安定情報を取り扱う情報システムについては、将来の見通しも考慮し、以下を例とする対策を講ずること。
a) 複数のサーバ装置の設置による負荷分散b) 負荷分散装置の設置による負荷分散c) DNS ラウンドロビン方式を利用した負荷分散d) 同一システムを２系統で構成することによる冗長化＜7.1.2(1)(c)関連＞
7.1.2(1)-5 情報システムセキュリティ責任者は、以下を考慮した上で、利用を認めるソフ
トウェア及び利用を禁止するソフトウェアをバージョンも含め定めること。
a) ソフトウェアベンダのサポート状況b) ソフトウェアが行う外部との通信の有無及び通信する場合はその通信内容
c) インストール時に同時にインストールされる他のソフトウェアd) その他、ソフトウェアの利用に伴う情報セキュリティリスク（解説） 遵守事項 7.1.2(1)(c)「利用を認めるソフトウェア及び利用を禁止するソフトウェアを定める」について「（解説）遵守事項 7.1.1(1)(c)「利用を認めるソフトウェア及び利用を禁止するソフ
トウェアを定める」について」を参照のこと。
 遵守事項 7.1.2(1)(d)「保守作業を行う際に送受信される情報が漏えいすることを防止するための対策」について
情報システムセキュリティ責任者から保守作業を許可されている者がサーバ装置へログインして作業する場合を想定し、例えばインターネットを介してサーバ装置の保守作業を行う場合等、通信内容を秘匿する必要がある場合には、サーバ装置の設置時に暗号化するための機能を設け、運用時に情報の暗号化を実施できるようにしておくこと等が考えられる。
 基本対策事項 7.1.2(1)-1「クラス２以上の要管理対策区域に設置する」について
サーバ装置に関しては、取り扱う情報の重要性に応じてクラス３の区域に設置する195

ことも考慮するとよい。また、クラス２の区域（執務室等）に設置する場合においても常時施錠されたサーバラックに置くことも考慮するとよい。
 基本対策事項 7.1.2(1)-4 d)「冗長化」について「冗長化」とは、障害や過度のアクセスが発生した場合を想定し、サービスを提供するサーバ装置を代替サーバ装置に切り替えること等により、サービスが中断しない
ように、情報システムを構成することである。可用性を高めるためには、サーバ装置
本体だけでなく、ハードディスク等のコンポーネント単位で冗長化することも考えられる。
なお、災害等を想定して冗長化する場合には、代替のサーバ装置を遠隔地に設置することが望ましい。
 基本対策事項 7.1.2(1)-5「利用を認めるソフトウェア及び利用を禁止するソフトウェ
アをバージョンも含め定める」について「（解説）基本対策事項 7.1.1(1)-5「利用を認めるソフトウェア及び利用を禁止する
ソフトウェアをバージョンも含め定める」について」を参照のこと。

196

遵守事項
(2) サーバ装置の運用時の対策(a) 情報システムセキュリティ責任者は、利用を認めるソフトウェア及び利用を禁止するソフトウェアについて定期的に見直しを行うこと。
(b) 情報システムセキュリティ責任者は、所管する範囲のサーバ装置の構成やソフト
ウェアの状態を定期的に確認し、不適切な状態にあるサーバ装置を検出等した場合には改善を図ること。
(c) 情報システムセキュリティ責任者は、サーバ装置上での不正な行為、無許可のア
クセス等の意図しない事象の発生を監視する措置を講ずること。ただし、サーバ装置の利用環境等から不要と判断できる場合はこの限りではない。
(d) 情報システムセキュリティ責任者は、要安定情報を取り扱うサーバ装置について、情報のバックアップを取得するなど、サーバ装置を正常な運用状態に復元することが可能になるよう、必要な措置を講ずること。

【 基本対策事項 】＜7.1.2(2)(b)関連＞
7.1.2(2)-1 情報システムセキュリティ責任者は、サーバ装置の運用管理について、作業日、作業を行ったサーバ装置、作業内容及び作業者を含む事項を記録すること。
＜7.1.2(2)(c)関連＞
7.1.2(2)-2 情報システムセキュリティ責任者は、サーバ装置上での不正な行為及び無許可のアクセス等の意図しない事象の発生を監視するために、以下を例とする対策を講ずること。
a) アクセスログ等を定期的に確認する。
b) IDS/IPS を設置する。
c) 不正プログラム対策ソフトウェアを利用する。
d) ファイル完全性チェックツールを利用する。
e) CPU、メモリ、ディスク I/O 等のシステム状態を確認する。
＜7.1.2(2)(d)関連＞
7.1.2(2)-3 情報システムセキュリティ責任者は、要安定情報を取り扱うサーバ装置については、運用状態を復元するために以下を例とする対策を講ずること。
a) サーバ装置の運用に必要なソフトウェアの原本を別に用意しておく。
b) 定期的なバックアップを実施する。
c) サーバ装置を冗長構成にしている場合には、サービスを提供するサーバ装置を代替サーバ装置に切り替える訓練を実施する。
d) バックアップとして取得した情報からサーバ装置の運用状態を復元するための訓練を実施する。

197

（解説）
 遵守事項 7.1.2(2)(a)「見直しを行う」について
ソフトウェアのバージョン更新、サポート期限切れ、新しいソフトウェアの出現等に適切に対応するため、定期的に利用を認めるソフトウェア及び利用を禁止するソフ
トウェアの見直しを行うことが必要である。
 遵守事項 7.1.2(2)(b)「不適切な状態にあるサーバ装置を検出等した場合には改善を図る」について「不適切な状態」とは、サーバ装置のハードウェアの構成が不正に変更されている、
又はセキュリティ水準の低下を招くような変更がされている、利用を認めるソフトウ
ェア以外のソフトウェアがインストールされている、ソフトウェアが動作するための適切な設定がなされていない、最新のセキュリティパッチが適用されていないなどの状態のことをいう。
利用を認めるソフトウェア以外のソフトウェアが稼働している場合には、当該ソフ
トウェアを停止し、又は削除する必要がある。また、利用を認めるソフトウェアであっても、利用しない機能については無効化する必要がある。セキュリティパッチについては、6.2.1 項「ソフトウェアに関する脆弱性対策」を参照のこと。
 基本対策事項 7.1.2(2)-2 a)「アクセスログ等を定期的に確認する」について
不正アクセスを検知するために、サーバ装置へのアクセスに関するログのほか、サーバ装置が異常等を検出した際に出力するログ（エラーログ）を確認することも有効である。
アクセスログを確認する際は、運用管理作業の記録、管理者権限を持つ識別コードを付与された者の出退勤記録又は入退室記録等と相関分析を行うことが考えられる。
 基本対策事項 7.1.2(2)-3 b)「バックアップ」について
バックアップには、サービスの提供に当たって必要なデータやサービスの利用者が入力したデータのバックアップのほか、運用に必要となるシステム設定のバックアップも含まれる。バックアップの取得方法として、前回内容からの変更部分のみバック
アップを実施する方法でもよい。
なお、バックアップの手段や保管場所については、「（解説）基本対策事項 3.1.1(8)-2「適切なバックアップの手段又は保管場所」について」も参照のこと。

198

遵守事項
(3) サーバ装置の運用終了時の対策(a) 情報システムセキュリティ責任者は、サーバ装置の運用を終了する際に、サーバ装置の電磁的記録媒体の全ての情報を抹消すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 7.1.2(3)(a)「サーバ装置の運用を終了する際」について
サーバ装置を廃棄処分する場合やリース契約が終了し返却する場合のほか、当該サーバ装置のサービス又は機能の提供を終了する場合も考えられる。
 遵守事項 7.1.2(3)(a)「抹消する」について「（解説）遵守事項 7.1.1(3)(a)「抹消する」について」を参照のこと。

199

7.1.3 複合機・特定用途機器
目的・趣旨
府省庁においては、プリンタ、ファクシミリ、イメージスキャナ、コピー機等の機能が一つにまとめられている機器（以下「複合機」という。
）が利用されている。複合機は、府
省庁内通信回線や公衆電話網等の通信回線に接続して利用されることが多く、その場合には、ウェブによる管理画面を始め、ファイル転送、ファイル共有、リモートメンテナンス
等多くのサービスが動作するため、様々な脅威が想定される。
また、府省庁においては、テレビ会議システム、IP 電話システム、ネットワークカメラ
システム等の特定の用途に使用される情報システムが利用されている。これらの情報シス
テムにおいては、汎用的な機器のほか、システム特有の特定用途機器が利用されることがあり、特定用途機器についても、当該機器の特性や取り扱う情報、利用方法、通信回線の接続形態等により脅威が存在する場合がある。
したがって、複合機や特定用途機器に関しても情報システムの構成要素と捉え、責任者を明確にして対策を講ずることが重要である。

遵守事項(1) 複合機(a) 情報システムセキュリティ責任者は、複合機を調達する際には、当該複合機が備える機能、設置環境並びに取り扱う情報の格付及び取扱制限に応じ、適切なセキュリティ要件を策定すること。
(b) 情報システムセキュリティ責任者は、複合機が備える機能について適切な設定等を行うことにより運用中の複合機に対する情報セキュリティインシデントへの対策を講ずること。
(c) 情報システムセキュリティ責任者は、複合機の運用を終了する際に、複合機の電磁的記録媒体の全ての情報を抹消すること。

【 基本対策事項 】＜7.1.3(1)(a)関連＞
7.1.3(1)-1 情報システムセキュリティ責任者は、「IT 製品の調達におけるセキュリティ要件リスト」を参照するなどし、複合機が備える機能、設置環境及び取り扱う情報の格付及び取扱制限に応じ、当該複合機に対して想定される脅威を分析した上で、脅威へ対抗するためのセキュリティ要件を調達仕様書に明記すること。
＜7.1.3(1)(b)関連＞
7.1.3(1)-2 情報システムセキュリティ責任者は、以下を例とする運用中の複合機に対する、
情報セキュリティインシデントへの対策を講ずること。
a) 複合機について、利用環境に応じた適切なセキュリティ設定を実施する。
b) 複合機が備える機能のうち利用しない機能を停止する。
c) 印刷された書面からの情報の漏えいが想定される場合には、複合機が備える操200

作パネルで利用者認証が成功した者のみ印刷が許可される機能等を活用する。
d) 府省庁内通信回線とファクシミリ等に使用する公衆通信回線が、複合機の内部において接続されないようにする。
e) 複合機をインターネットに直接接続しない。
f) リモートメンテナンス等の目的で複合機がインターネットを介して外部と通信する場合は、ファイアウォール等の利用により適切に通信制御を行う。
g) 利用者ごとに許可される操作を適切に設定する。
＜7.1.3(1)(c)関連＞
7.1.3(1)-3 情報システムセキュリティ責任者は、内蔵電磁的記録媒体の全領域完全消去機
能（上書き消去機能）を備える複合機については、当該機能を活用することにより複合機内部の情報を抹消すること。当該機能を備えていない複合機については、外部委
託先との契約時に外部委託先に複合機内部に保存されている情報の漏えいが生じない
ための対策を講じさせることを、契約内容に含むようにするなどの別の手段で対策を講ずること。
（解説）「IT 製品の調達におけるセキュリティ要件リスト」を参照」
 基本対策事項 7.1.3(1)-1「について5.2.1 項「情報システムの企画・要件定義」の「(2)情報システムのセキュリティ要件の策定 (c)」の基本対策事項に記載されている「IT 製品の調達におけるセキュリティ
要件リスト」において複合機に関する「セキュリティ上の脅威」が解説されているので、参照の上で調達すること。
「IT 製品の調達におけるセキュリティ要件リスト」には、複合機について一般的に想定される「セキュリティ上の脅威」が記載されているため、それらが自身の運用環
境において該当する場合には対抗する必要がある。
対抗手段の一つとして、「IT 製品の調達におけるセキュリティ要件リスト」には、IT
セキュリティの国際標準に基づいたセキュリティ要件である「国際標準に基づくセキ
ュリティ要件」が記載されており、それを調達時に活用することで脅威に対抗するための機能を有した製品を調達することが可能となる。
「IT 製品の調達におけるセキュリティ要件リスト」に記載されている「セキュリテ
ィ上の脅威」のうち、利用環境や複合機に実装されている機能によっては、一部の脅威だけに対抗すればよい場合もあり得る。そのような場合には、「国際標準に基づくセキュリティ要件」では過剰な要件（要求仕様）となる可能性もあるので、個別にセキ
ュリティ要件を策定して脅威に対抗してもよい。
 基本対策事項 7.1.3(1)-2 a)「適切なセキュリティ設定」について自身の利用環境における脅威に対抗するために、運用前に複合機のセキュリティ機能の設定値が適切な値となっていることを確認する必要がある。例えば、管理者パス
ワードが初期設定のままでないか、イメージスキャナで複合機内部に保存したデータ
へのアクセス制御設定が適切であるかなどを確認する必要がある。
201

 基本対策事項 7.1.3(1)-2 b)「利用しない機能を停止」について運用において必要としていない機能が利用者の意図に反して動作していた場合、セキュリティ対策が不十分になっていることが考えられる。対策が不十分である場合は、情報セキュリティインシデントが発生するおそれがあるため、運用上不必要な機能については、運用前に停止した状態にする必要がある。
 基本対策事項 7.1.3(1)-2 c)「操作パネルで利用者認証が成功した者のみ印刷が許可される機能」について
複合機の設置環境によっては、印刷された文書が第三者に閲覧される可能性がある。
そのような場合には、印刷の際に複合機内部に一旦データを保存し、複合機本体の操作パネルで主体認証に成功した者だけが印刷できるように設定しておくなどの対策を講ずる必要がある。
 基本対策事項 7.1.3(1)-2 d)「複合機の内部において接続されないようにする」について複合機にモデム機能が搭載されている場合、公衆通信回線から複合機に接続された
後に、複合機を経由して府省庁 LAN にアクセスされる可能性がある。そのため、モデム機能の無効化等の対策が必要となる。
 基本対策事項 7.1.3(1)-2 f)「ファイアウォール等の利用により適切に通信制御を行う」
について
トナー残量の通知や遠隔地からの状態監視等の遠隔保守サービス等を利用する場合には、インターネットを介して外部と通信する必要が生じる。その際には必要最小限の通信のみを許可するようにする必要がある。また、ファイアウォール等の通信制御を行うための機器に例外的な設定を行う場合には、その設定によって脆弱性が生じないようにする必要がある。
 基本対策事項 7.1.3(1)-2 g)「利用者ごとに許可される操作を適切に設定する」について様々な機能を備えている複合機では、利用者ごとに許可される操作権限の管理が重要となる。例えば、ファクシミリで受信したデータを複合機内部に保存する場合のデータの読み出し権限等を適切に設定していない場合には、情報の漏えいにつながる可能性がある。
 基本対策事項 7.1.3(1)-3「別の手段で対策を講ずる」について内蔵電磁的記録媒体の全領域完全消去機能を備えていない複合機については、調達
元の府省庁において内蔵電磁的記録媒体の全ての情報を抹消することが困難であるため、外部委託先と情報の抹消サービスを契約するなどの情報の漏えいへの対策を講ずることが必要となる。

202

遵守事項
(2) 特定用途機器(a) 情報システムセキュリティ責任者は、特定用途機器について、取り扱う情報、利用方法、通信回線への接続形態等により脅威が存在する場合には、当該機器の特性に応じた対策を講ずること。

【 基本対策事項 】＜7.1.3(2)(a)関連＞
7.1.3(2)-1 情報システムセキュリティ責任者は、特定用途機器の特性に応じて、以下を例とする対策を講ずること。
a) 特定用途機器について、利用環境に応じた適切なセキュリティ設定を実施する。
b) 特定用途機器が備える機能のうち利用しない機能を停止する。
c) 特定用途機器がインターネットを介して外部と通信する場合は、ファイアウォ
ール等の利用により適切に通信制御を行う。
d) インターネットに接続されている特定用途機器についてソフトウェアに関する脆弱性が存在しないか確認し、脆弱性が存在する場合、バージョンアップやセ
キュリティパッチの適用、アクセス制御等の対策を講ずる。
e) 特定用途機器に対する不正な行為、無許可のアクセス等の意図しない事象の発生を監視する。
（解説） 遵守事項 7.1.3(2)(a)「当該機器の特性に応じた対策を講ずる」について
例えば、テレビ会議システム、IP 電話システム等は府省庁 LAN を経由してインターネットに接続されて利用されることが想定され、その場合外部からの攻撃対象となり得る。また、これら情報システムを構成する機器が内蔵電磁的記録媒体を備える場
合は、運用終了時に内蔵電磁的記録媒体に残された情報が漏えいするおそれがある。
このような脅威に対抗するために、情報システムや端末、サーバ装置に対して定められた遵守事項や基本対策事項を参考にして、情報システム、特定用途機器の特性に応じて対策を講ずるとよい。
 基本対策事項 7.1.3(2)-1 d)「バージョンアップやセキュリティパッチの適用」について調達元の府省庁で対処できないような機器の場合には、特定用途機器の調達に当たって保守契約締結の必要性等について検討することも重要である。

203

7.2

電子メール・ウェブ等

7.2.1 電子メール
目的・趣旨
電子メールの送受信とは情報のやり取りにほかならないため、不適切な利用により情報が漏えいするなどの機密性に対するリスクの他、悪意ある第三者等によるなりすまし等、
電子メールが悪用される不正な行為の被害に電子メールを利用する行政事務従事者が巻き込まれるリスクもある。これらの問題を回避するためには、適切な電子メールサーバの管理が必要である。
なお、本項の遵守事項のほか、7.1.2 項「サーバ装置」において定めるサーバ装置に係る遵守事項についても併せて遵守する必要がある。

遵守事項(1) 電子メールの導入時の対策(a) 情報システムセキュリティ責任者は、電子メールサーバが電子メールの不正な中継を行わないように設定すること。
(b) 情報システムセキュリティ責任者は、電子メールクライアントから電子メールサーバへの電子メールの受信時及び送信時に主体認証を行う機能を備えること。
(c) 情報システムセキュリティ責任者は、電子メールのなりすましの防止策を講ずること。

【 基本対策事項 】＜7.2.1(1)(b)関連＞
7.2.1(1)-1 情報システムセキュリティ責任者は、電子メールクライアントから電子メール
サーバへの電子メールの受信時及び送信時に、以下を例とする行政事務従事者の主体
認証を行う機能を備えること。
a) 電子メールの受信時に限らず、送信時においても不正な利用を排除するためにSMTP 認証等の主体認証機能を導入する。
＜7.2.1(1)(c)関連＞
7.2.1(1)-2 情報システムセキュリティ責任者は、以下を例とする電子メールのなりすましの防止策を講ずること。
a) SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）等の送信ドメイン認証技術による送信側の対策を行う。
b) SPF、DKIM 等の送信ドメイン認証技術による受信側の対策を行う。
c) S/MIME（Secure/Multipurpose Internet Mail Extensions）等の電子メールにおける電子署名の技術を利用する。

204

（解説）
 遵守事項 7.2.1(1)(a)「不正な中継」について
不正な中継が行われると、迷惑メールの送信等に悪用される問題がある。これにより、電子メールサーバや通信回線のリソースが消費されて運用に支障をきたす、不正な中継を行う電子メールサーバとして他の電子メールサーバ等から接続や電子メールの転送を拒否される、又は迷惑メールの受信者からの苦情や問合わせへの対応が必要になるなどの問題が生じるおそれがある。これらを回避するため、電子メールの不正な中継を行わないように電子メールサーバを設定することが必要である。
 基本対策事項 7.2.1(1)-2 a)「送信ドメイン認証技術」について
送信ドメイン認証技術には、SPF、DKIM 等が挙げられる。これらは、送信する電子メールのドメインを管理する DNS サーバに登録・公開された、送信側の電子メール
サーバの情報や電子署名で使用する公開鍵を利用することで実現する。
また、送信ドメイン認証技術によって電子メールのなりすましを防止するためには、送信した電子メールの正当性を受信者が確認できるようにするための送信側の対策と、受信した電子メールの正当性を判定して、なりすまされた電子メールから受信者を保護するための受信側の対策があり、両方の実施が求められる。
なお、送信元ドメインに対し、効果的な認証基準が得られるよう、認証技術を自身のインフラに実装するに当たっての、より統合的な手法を定義するとともに、電子メールの受信者が SPF、DKIM 等に係る送信ドメイン認証の詳細な結果を電子メールの送信者にフィードバックするフレームワークを実現するための仕様である DMARC（Domain-based Message Authentication, Reporting and Conformance）等も検討されている。
 基本対策事項 7.2.1(1)-2 a)「送信側の対策」について
送信ドメイン認証技術による送信側の対策として、電子メールで使用するドメインを管理する DNS サーバに、受信者が電子メールの正当性を確認するための情報を登録し公開する必要がある。
例えば、SPF の場合は送信側の電子メールサーバの情報を DNS
サーバに登録する。また、DKIM の場合は電子メールに付与する電子署名の検証に使用する公開鍵を DNS サーバに登録する。
なお、SPF については、以下の事項に留意すること。
• 電子メールを利用していないドメインについても、その情報を SPF レコードに登録する。
（「SPF レコード」とは、SPF において、DNS サーバの TXT レコー
ドに記述される送信側の電子メールサーバ等の情報をいう。
）• SPF レコードの末尾は、”~all”ではなく”-all”を記述する。
• SPF レコードは、チェックツール等で、文法的に記述間違いのないことを確認する。
• なりすましの防止策のため、ウェブによるサービス等も含め全く利用していな
い、又は将来にわたって利用の予定の無いドメインについては、なりすましの防止策を講ずるか、ドメイン名の登録を廃止する。
205

• 民間事業者等において提供されている、他の利用者と共用する電子メールサー
ビスを利用する場合は、府省庁をなりすました電子メールが、当該電子メール
サービスを利用する他の利用者から送信されないような仕組みを備えていることを確認する。他の利用者と共用しない専用の IP アドレスを割り振ることが可能なサービスが提供されている場合は、当該サービスの利用を検討する。
 基本対策事項 7.2.1(1)-2 b)「受信側の対策」について
送信ドメイン認証技術による受信側の対策としては、受信した電子メールに対し送信ドメイン認証に基づくなりすまし判定（例えば SPF の場合、受信時に通信を行った
送信側の電子メールサーバと、受信した電子メールに記載されている送信側ドメインを管理する DNS サーバに登録されている送信側の電子メールサーバの情報との比較による判定）を行い、なりすましと判定した場合には、以下に例示するような電子メー
ルの受信者への注意喚起等を行うことが挙げられる。
• 電子メールの件名（Subject）や本文への注意喚起文の挿入• 電子メールクライアントの機能によるラベリングやメッセージの表示• 電子メールクライアント又は電子メールサーバにおける電子メールの隔離や削除等のフィルタリング

206

7.2.2 ウェブ
目的・趣旨
インターネット上に公開するウェブサーバは、常に攻撃を受けるリスクを抱えている。
様々な攻撃により、ウェブコンテンツ（ウェブページとして公開している情報）が改ざんされたり、ウェブサーバが利用不能にされたり、又はウェブサーバが侵入されるなどの被害が想定されるため、適切な対策を組み合わせて実施することが求められる。
なお、本項の遵守事項のほか、7.1.2 項「サーバ装置」において定めるサーバ装置に係る遵守事項についても併せて遵守する必要がある。

遵守事項(1) ウェブサーバの導入・運用時の対策(a) 情報システムセキュリティ責任者は、ウェブサーバの管理や設定において、以下の事項を含む情報セキュリティ確保のための対策を講ずること。
(ア) ウェブサーバが備える機能のうち、不要な機能を停止又は制限すること。
(イ) ウェブコンテンツの編集作業を担当する主体を限定すること。
(ウ) 公開してはならない又は無意味なウェブコンテンツが公開されないように管理すること。
(エ) ウェブコンテンツの編集作業に用いる端末を限定し、識別コード及び主体
認証情報を適切に管理すること。
(オ) サービスの利用者の個人に関する情報を通信する場合等、通信時の盗聴等による情報の漏えいを防止する必要がある場合は、暗号化の機能及び電子証明書による認証の機能を設けること。
(b) 情報システムセキュリティ責任者は、ウェブサーバに保存する情報を特定し、サービスの提供に必要のない情報がウェブサーバに保存されないことを確認すること。

【 基本対策事項 】＜7.2.2(1)(a)(ア)関連＞
7.2.2(1)-1 情報システムセキュリティ責任者は、不要な機能の停止又は制限として、以下を例とするウェブサーバの管理や設定を行うこと。
a) CGI 機能を用いるスクリプト等は必要最低限のものに限定し、CGI 機能を必要としない場合は設定で CGI 機能を使用不可とする。
b) ディレクトリインデックスの表示を禁止する。
c) ウェブコンテンツ作成ツールやコンテンツ・マネジメント・システム（CMS）
等における不要な機能を制限する。
d) ウェブサーバ上で動作するソフトウェアは、最新のものを利用するなど、既知の脆弱性が解消された状態を維持する。
＜7.2.2(1)(a)(イ)関連＞207

7.2.2(1)-2 情報システムセキュリティ責任者は、ウェブコンテンツの編集作業を担当する
主体の限定として、以下を例とするウェブサーバの管理や設定を行うこと。
a) ウェブサーバ上のウェブコンテンツへのアクセス権限は、ウェブコンテンツの作成や更新に必要な者以外に更新権を与えない。
b) OS やアプリケーションのインストール時に標準で作成される識別コードやテスト用に作成した識別コード等、不要なものは削除する。
＜7.2.2(1)(a)(ウ)関連＞
7.2.2(1)-3 情報システムセキュリティ責任者は、公開してはならない又は無意味なウェブ
コンテンツが公開されないよう管理することとして、以下を例とするウェブサーバの管理や設定を行うこと。
a) 公開を想定していないファイルをウェブ公開用ディレクトリに置かない。
b) 初期状態で用意されるサンプルのページ、プログラム等、不要なものは削除する。
＜7.2.2(1)(a)(エ)関連＞
7.2.2(1)-4 情報システムセキュリティ責任者は、ウェブコンテンツの編集作業に用いる端末の限定、識別コード及び主体認証情報の適切な管理として、以下を例とするウェブ
サーバの管理や設定を行うこと。
a) ウェブコンテンツの更新の際は、専用の端末を使用して行う。
b) ウェブコンテンツの更新の際は、ウェブサーバに接続する接続元の IP アドレスを必要最小限に制限する。
c) ウェブコンテンツの更新に利用する識別コードや主体認証情報は、情報セキュ
リティを確保した管理を行う。
＜7.2.2(1)(a)(オ)関連＞
7.2.2(1)-5 情報システムセキュリティ責任者は、通信時の盗聴による第三者への情報の漏えいの防止及び正当なウェブサーバであることを利用者が確認できるようにするための措置として、以下を例とするウェブサーバの実装を行うこと。
a) SSL（TLS）機能を適切に用いる。
b) SSL（TLS）機能のために必要となるサーバ証明書には、利用者が事前のルート証明書のインストールを必要とすることなく、その正当性を検証できる認証局（証明書発行機関）により発行された電子証明書を用いる。
（解説）
 基本対策事項 7.2.2(1)-1 a)「CGI 機能」について
CGI（Common Gateway Interface）とは、ウェブブラウザから送信された文字列を、
スクリプト等のプログラムへの入力パラメータとして受け取り、当該スクリプト等をウェブサーバ上で実行するための仕組みである。外部からの文字列に基づいて実行されるスクリプト等は脆弱性の原因となり易い部分であり、細心の注意を払って脆弱性の無いスクリプト等のみを設置しなければならない。そのため、本基本対策事項は、サーバに設置するスクリプト等は必要最低限のものに限定することを求めている。

208 基本対策事項 7.2.2(1)-1 b)「ディレクトリインデックスの表示を禁止する」について
ウェブサーバの機能であるディレクトリインデックスの表示機能とは、ウェブサイ
トの公開対象となるディレクトリが、ファイル名を指定しない形式の URL（すなわち、
例えば「http://exmaple.go.jp/directory_name/」の形式）又は「index.html」等の所定のファイル名を指定した形式の URL によってアクセスされたときに、当該ディレクト
リに存在するファイル名の一覧を自動的に生成して表示する機能である。万が一、公開するつもりのないファイルがディレクトリに混入していた場合、ディレクトリイン
デックス機能が有効であると、外部から容易にそのファイル名を見つけられてしまい、
アクセスされてしまう。本来、公開対象のディレクトリには、非公開にすべきファイ
ルが混入していてはならないところであるが、念のため、本基本対策事項は、ディレ
クトリインデックスの表示機能を無効にすることを求めている。
 基本対策事項 7.2.2(1)-1 c)「不要な機能を制限する」について不要な機能の典型的な例としては、管理者画面の機能が挙げられる。ウェブコンテ
ンツ作成ツールや CMS には、コンテンツを編集する管理者向けのログイン画面を有するものがある。このログイン画面がインターネットから閲覧可能であると、管理者のパスワードを破って不正にログインされ、ウェブサイトのコンテンツを改ざんされる
リスクを生じさせる。管理者画面は、府省庁内からのアクセスのみを許可し、インターネットからの利用を制限することを求めている。その他の不要な機能として制限すべき例として、アクセス解析の機能がインターネットから閲覧できるようになっている場合等が挙げられる。
 基本対策事項 7.2.2(1)-4 a)「専用の端末」について
ウェブコンテンツを管理する端末では、ウェブコンテンツの管理に関係する作業のみを行い、その作業に関係の無いウェブサイトを閲覧しない、セキュリティ対策が不十分な USB メモリを利用しないなど、情報セキュリティを確保した運用が必要である。
また、ウェブサーバのみでなく、ウェブコンテンツを管理する専用の端末においても、
不正プログラム対策やソフトウェアに関する脆弱性対策を行うことが重要である。
 基本対策事項 7.2.2(1)-4 c)「情報セキュリティを確保した管理」について
ウェブコンテンツを更新する際の主体認証情報について、パスワードを設定する場
合は十分な長さと複雑さを持ったものとする、多要素主体認証方式で主体認証を行う機能を設けるなどにより、情報セキュリティを確保することが求められる。また、ウェブコンテンツの更新に利用する識別コードや主体認証情報は、他の情報システムの認証で使用しているものを使い回さない、ウェブコンテンツを更新する者以外に知らせない、複数の更新を実施する者で共有しないなどの情報セキュリティを確保した管理が求められる。
 基本対策事項 7.2.2(1)-5 a)「SSL（TLS）機能を適切に用いる」について
ウェブサーバに SSL（TLS）機能を搭載することにより、利用者が当該ウェブサー
バのサイトを「https://」で始まる URL でアクセスできるようになる。
「https://」で始まる URL のページ（以下「セキュアページ」という。
）へのアクセスは、ブラウザか209

らウェブサーバへの入力及びウェブサーバからブラウザへの出力が自動的に暗号化されて送受信される。
盗聴による情報の漏えいを防止するには、盗聴を防ぐべき情報を出力するウェブペ
ージがセキュアページとなっていることが必要である。また、盗聴を防ぐべき情報を利用者に入力させるウェブページを設ける場合には、入力された情報の送信先となる
URL がセキュアページとなっていることが必要であり、かつ、利用者に情報を入力させるウェブページ（入力欄が設置されている画面）自体もセキュアページとなっていることが必要である。
ウェブサーバに SSL（TLS）機能を搭載することは、当該ウェブサーバが正当なサーバである（偽のサーバでない）ことを確認できる手段を利用者に提供することにもなる。利用者は、当該サイトを「https://」で始まる URL でアクセスし、エラーなく正常に表示されたことで、当該サーバが当該ドメイン名の正当なサイトのものであると確認することができる。
 基本対策事項 7.2.2(1)-5 b)「利用者が事前のルート証明書のインストールを必要とす
ることなく、その正当性を検証できる認証局」について
SSL（TLS）機能を用いるには、ウェブサーバ側に「サーバ証明書」と呼ばれる電子
証明書の設置が必要であり、サーバ証明書はそれを発行する「認証局」から取得する必要がある。サーバ証明書の取得は、政府認証基盤（GPKI）の「アプリケーション認証局」から取得することもできるほか、民間事業者から取得することもできる。
本基本対策事項は、サーバ証明書をどの認証局から取得するかの選択において、「利用者が事前のルート証明書のインストールを必要とすることなくその正当性を検証できる認証局」を選択することを求めている。それ以外の認証局を選択した場合、利用者のウェブブラウザには、サーバ証明書の正当性検証ができないことを示す警告やエラー画面が表示されることになる。この警告やエラー画面は、事前に当該認証局の自己署名証明書をブラウザにルート証明書としてインストールすることによって解消することができる。しかし、一般に、利用者によるルート証明書のインストールは安全に行うことが容易でないものであり、利用者に危険を伴うルート証明書のインストー
ルを強いるのはそもそも避けるべきことである。そのため、本基本対策事項は、利用者にルート証明書のインストールを求めなくても、警告やエラー画面が現れることなく、正常に SSL（TLS）通信ができるよう、適切に認証局を選択してサーバ証明書を取得することを求めている。
なお、ウェブサーバの利用が府省庁内の管理された端末からのアクセスに限定されている場合には、対象となる全ての端末に対して事前に安全な方法でルート証明書を
インストールすることも可能であるから、そのような管理がなされている場合には、
当該ウェブサーバで使用するサーバ証明書として、府省庁で独自に用意した認証局から発行されたものを用いることができる。

210

遵守事項
(2) ウェブアプリケーションの開発時・運用時の対策(a) 情報システムセキュリティ責任者は、ウェブアプリケーションの開発において、既知の種類のウェブアプリケーションの脆弱性を排除するための対策を講ずること。また、運用時においても、これらの対策に漏れが無いか定期的に確認し、対策に漏れがある状態が確認された場合は対処を行うこと。

【 基本対策事項 】＜7.2.2(2)(a)関連＞
7.2.2(2)-1 情報システムセキュリティ責任者は、以下を含むウェブアプリケーションの脆弱性を排除すること。
a) SQL インジェクション脆弱性b) OS コマンドイジェクション脆弱性c) ディレクトリトラバーサル脆弱性d) セッション管理の脆弱性e) アクセス制御欠如と認可処理欠如の脆弱性
f) クロスサイトスクリプティング脆弱性g) クロスサイトリクエストフォージェリ脆弱性h) クリックジャッキング脆弱性i) メールヘッダインジェクション脆弱性j) HTTP ヘッダインジェクション脆弱性k) eval インジェクション脆弱性l) レースコンディション脆弱性m) バッファオーバーフロー及び整数オーバーフロー脆弱性（解説） 遵守事項 7.2.2(2)(a)「ウェブアプリケーションの脆弱性を排除するための対策」について
ウェブアプリケーションの開発時には、既知の種類のウェブアプリケーションの脆弱性を排除するための対策が求められる。脆弱性を排除したウェブアプリケーションを実装する方法の詳細については、独立行政法人情報処理推進機構（IPA）による「安全なウェブサイトの作り方」を参照することも考えられる。また、対策すべき既知の種類のウェブアプリケーションの脆弱性の一覧表として、財団法人地方自治情報センターによる「地方公共団体における情報システムセキュリティ要求仕様モデルプラン（Web アプリケーション）第 1.0 版」の別表 1「脆弱性リスト」を参照することも考えられる。
参考：独立行政法人情報処理推進機構「安全なウェブサイトの作り方 改訂第 6 版」
（平成 24 年 12 月 26 日）（https://www.ipa.go.jp/security/vuln/websecurity.html）
211

参考：財団法人地方自治情報センター「地方公共団体における情報システムセキ
ュリティ要求仕様モデルプラン（Web アプリケーション）第 1.0 版」（平成 24 年 10 月 22 日）（https://www.lasdec.or.jp/cms/12,28369,84.html）
これらのウェブサイトのアドレスについては、平成 25 年 11 月 25 日時点のものである。ウェブサイトのアドレスについては廃止や変更されることがあるため、最新のア
ドレスについては、自身で確認すること。
 基本対策事項 7.2.2(2)-1 a)「SQL インジェクション脆弱性」について
ウェブアプリケーションのプログラムがデータベースを操作する手段として SQL 言語を用いている場合に、プログラムが SQL 文を文字列の連結によって動的に生成する構造になっていると、外部から悪意ある者によって与えられた攻撃用の文字列が SQL
文に不正に混入し得る欠陥となることがある。この欠陥を攻撃されると、データベースを破壊されたり、データベース内の情報を盗まれたりするなどの被害が生じ得る。
このような欠陥は一般に「SQL インジェクション脆弱性」と呼ばれている。SQL イン
ジェクション脆弱性を排除するには、SQL 文の組み立てにプレースホルダを用いる実装方法を採用することを徹底するなどの対策が考えられる。
 基本対策事項 7.2.2(2)-1 b)「OS コマンドインジェクション脆弱性」について
ウェブアプリケーションのプログラムが OS のコマンドを操作する必要がある場合に、プログラムが OS のシェルのコマンドラインを用いてコマンド呼出しをする構造になっていると、外部から悪意ある者によって与えられた攻撃用の文字列がコマンドラ
インに不正に混入し得る欠陥となることがある。この欠陥を攻撃されると、サーバに侵入される被害が生じ得る。このような欠陥は一般に「OS コマンドインジェクション
脆弱性」と呼ばれている。OS コマンドインジェクション脆弱性を排除するには、OSコマンドの操作にシェルのコマンドラインを用いない実装方法を採用することを徹底するなどの対策が考えられる。
 基本対策事項 7.2.2(2)-1 c)「ディレクトリトラバーサル脆弱性」について
ウェブアプリケーションが使用するファイルのパス名を外部のパラメータから指定する仕様になっている場合に、指定されたパス名をプログラムがそのまま使用する構造になっていると、公開を想定しないファイルが参照されて、その内容が外部から閲覧され得る欠陥となる場合がある。このような欠陥は一般に「ディレクトリトラバー
サル脆弱性」と呼ばれている。ディレクトリトラバーサル脆弱性を排除するには、外部のパラメータからパス名を指定する仕様を排除する対策、それができない場合には、ファイルにアクセスする直前に、使用するパス名の妥当性検査を行う方法、又は、ファイルのディレクトリと識別子を固定にしてアクセスするなどの対策が考えられる。
 基本対策事項 7.2.2(2)-1 d)「セッション管理の脆弱性」について
ウェブアプリケーションのプログラムがログイン機能を有するなど、セッション管
理の仕組みを持つ場合に、そのセッション管理の実装方法に欠陥がある場合がある。
例えば、セッション管理に用いられるセッション ID が推測可能な値となっている場合、
212セッション ID を URL パラメータに格納している場合、SSL（TLS）を使用しているセッションの管理に用いる cookie に secure 属性がセットされていない場合等が、この脆弱性に該当する。この欠陥を攻撃されると、正規の利用者がログイン中に、その利用者になりすまして不正にアクセスする「セッションハイジャック」の被害が生じ得る。この脆弱性を排除するには、暗号論的疑似乱数生成器（CSPRNG）で生成する十分な長さの文字列をセッション ID として推測困難なものとし、secure 属性のセットされた cookie にこれを格納することでセッション ID の漏えいを防ぐ対策方法が考えられる。
 基本対策事項 7.2.2(2)-1 e)「アクセス制御欠如と認可処理欠如の脆弱性」について
ウェブアプリケーションがログイン機能を有し、ログイン中の利用者にのみ利用を許可すべき機能がある場合に、ログインしていない利用者にもその機能が利用できてしまう欠陥がある場合がある。このような欠陥は一般に「アクセス制御欠如の脆弱性」と呼ばれる。また、ログイン中の利用者のうち、一部の利用者にのみ利用を許可すべ
き機能がある場合に、それ以外の利用者にもその機能が利用できてしまう欠陥がある
場合がある。このような欠陥は一般に「認可処理欠如の脆弱性」と呼ばれる。これらの欠陥を攻撃されると、秘密情報の漏えい、なりしまし操作等の被害が生じ得る。これらの脆弱性を排除するには、アクセス制御と認可処理が必要な画面の仕様を明確にし、仕様に沿った実装を徹底するなどの対策が考えられる。
 基本対策事項 7.2.2(2)-1 f)「クロスサイトスクリプティング脆弱性」について
ウェブアプリケーションのプログラムが HTML ページを出力する場合に、プログラ
ムが HTML を文字列の連結によって動的に生成する構造になっていると、外部から悪意ある者によって与えられた攻撃用の文字列が HTML に不正に混入し得る欠陥となることがある。この欠陥を攻撃されると、cookie の値を盗まれてセッションハイジャッ
クされるほか、画面の内容を改ざんされるなどの被害が生じ得る。このような欠陥は一般に「クロスサイトスクリプティング脆弱性」と呼ばれている。クロスサイトスク
リプティング脆弱性を排除するには、以下を含む対策が考えられる• HTML の出力に際して HTML タグの出力以外の全ての出力において文字列をHTML エスケープ処理することを徹底する。
• URL を出力するときは「http://」又は「https://」で始まる URL のみを許可する。
• SCRIPT 要素の内容を動的に生成しないようにする。
• スタイルシートを任意のサイトから取り込める仕様を排除する。
• 全てのページについて HTTP レスポンスヘッダの「Content-Type」フィールドの「charset」に文字コードの指定を行う。
ただし、当該ウェブアプリケーションの仕様の都合で、これらだけでは解決できな
い場合もあり、その場合には追加的な対策が必要となる。
 基本対策事項 7.2.2(2)-1 g)「クロスサイトリクエストフォージェリ脆弱性」について
ウェブアプリケーションが、ログイン中の利用者にのみ利用を許可する機能を有し
213

ている場合に、その機能のウェブページに前記 e)の対策が施されている場合であっても、外部のサイトから当該ウェブページにリンクを張る方法により、利用者本人にそのリンクをたどらせることで、当該利用者の意図に反して当該機能が利用されてしまうという構造になっている場合がある。このような欠陥は一般に「クロスサイトリク
エストフォージェリ脆弱性」と呼ばれている。この欠陥を攻撃されると、悪意ある者が仕掛けたリンクによって、不正に当該機能を操作される被害（具体的には、ウェブ
アプリケーションに設定された個人設定の内容を変更されるなどの被害）が生じ得る。
この脆弱性を排除するには、外部からのリンクによって機能が作動してはならないウェブページは、処理を実行するページを POST メソッドでアクセスするようにし、その「hidden パラメータ」に秘密情報が挿入されるよう、前のページを自動生成して、実行ページではその値が正しい場合のみ処理を実行するように実装するなどの対策方法が考えられる。
 基本対策事項 7.2.2(2)-1 h)「クリックジャッキング脆弱性」について
ウェブアプリケーションが、サイト内のボタンやリンクをクリックするだけで作動する機能を有している場合に、悪意ある者が、当該サイトを透明化した（透明色で表示して利用者の目に見えないように設定された）フレームとして外部のサイト上に表示するようにし、利用者を当該外部サイトへ誘導して、当該ボタンやリンクの表示された画面上の位置をクリックさせるよう誘導することで、利用者の意図に反して当該機能を作動させることができてしまう場合がある。このような欠陥は一般に「クリックジャッキング脆弱性」と呼ばれている。この欠陥を攻撃されると、ウェブアプリケーションに設定された個人設定の内容を変更されるなどの被害が生じ得る。この脆弱性を排除するには、ウェブサーバの設定で、HTTP レスポンスに「X-Frame-Options」
ヘッダを出力するようにし、そのフィールド値に「deny」又は「sameorigin」の値をセットすることで、当該ウェブページが外部のサイトにフレームとして表示されることを拒否するよう利用者のブラウザに指示する機能を用いるといった対策方法が考えられる。
 基本対策事項 7.2.2(2)-1 i)「メールヘッダインジェクション脆弱性」について
ウェブアプリケーションが電子メールを送信する機能を有し、その宛先となる電子
メールアドレスをウェブアプリケーションのパラメータから指定する構造になっている場合に、悪意ある者により任意の電子メールアドレスが当該パラメータに与えられ、迷惑メールの送信のために当該ウェブアプリケーションが悪用されてしまうという被害が生じ得る。この欠陥を排除するには、電子メールの送信先電子メールアドレスはプログラム中に固定的に記述する実装方法（又は設定ファイルから読み込む実装方法）を採用して、ウェブアプリケーションのパラメータを用いるのを避けるなどの対策方法が考えられる。
 基本対策事項 7.2.2(2)-1 j)「HTTP ヘッダインジェクション脆弱性」について
ウェブアプリケーションが HTTP レスポンスヘッダの「Location」や「Set-Cookie」のフィールド値を動的に出力する構造になっている場合、外部から悪意ある者によっ214

て与えられた改行文字を含む攻撃用の文字列が HTTP レスポンスヘッダに不正に混入し得る欠陥となることがある。この欠陥を攻撃されると、クロスサイトスクリプティ
ング脆弱性の場合と同じ被害が生じ得る。このような欠陥は一般に「HTTP ヘッダイ
ンジェクション脆弱性」と呼ばれている。HTTP ヘッダインジェクション脆弱性を排除するには、HTTP レスポンスヘッダを出力する際に、直接にヘッダ文字列を出力するのではなく、ウェブアプリケーションの実行環境や言語に用意されているヘッダ出
力用 API を使用する実装方法を採用するなどの対策が考えられる。
 基本対策事項 7.2.2(2)-1 k)「eval インジェクション脆弱性」について
ウェブアプリケーションのプログラムを作成する言語が、「eval」等、文字列をプログラムとして実行する機能を持つ言語である場合に、プログラムがこの機能を使用していると、外部から悪意ある者によって与えられた攻撃用の文字列が、その eval に与える文字列に混入し得る欠陥となることがある。この欠陥を攻撃されると、任意のプ
ログラムがサーバで実行されることとなり、様々な被害が生じ得る。このような欠陥は一般に「eval インジェクション脆弱性」と呼ばれる。この脆弱性を排除するには、
eval 機能を一切使用しない実装方法を採用するなどの対策が考えられる。
 基本対策事項 7.2.2(2)-1 l)「レースコンディション脆弱性」について
ウェブアプリケーションの機能を複数の利用者が全く同時に利用したときに、一方の利用者向けの処理ともう一方の利用者向けの処理を途中で取り違えてしまう事態が一定の確率で発生する場合がある。このような欠陥は一般に「レースコンディション
脆弱性」と呼ばれる。この欠陥により、利用者の秘密にすべき情報が第三者に閲覧される被害が生じる。この被害は、攻撃者がいなくても偶然に発生する場合もあれば、攻撃者が大量のアクセスをすることで意図的に引き起こされる場合もある。この脆弱性を排除するには、ソースコードレビューによってレースコンディションが起きえない構造にプログラムが記述されていることを確認する方法や、大量のアクセスを同時に発生させて異常が発生しないことを十分に確認するテストを行うなどの対策方法が考えられる。
 基本対策事項 7.2.2(2)-1 m)「バッファオーバーフロー及び整数オーバーフロー脆弱性」
について
ウェブアプリケーションのプログラムを作成する言語として、バッファオーバーフ
ロー脆弱性等が生じない言語を採用することが望ましいが、その場合であっても、ウェブアプリケーションが、内部で C 言語等を用いて独自に作成されたプログラムを呼び出す構造になっている場合がある。その呼び出されるプログラムにバッファオーバ
ーフロー脆弱性や整数オーバーフロー脆弱性が存在し、ウェブアプリケーションに外部から与えた文字列が当該プログラムに引き渡される構造になっていると、それらの欠陥を攻撃されて、サーバに侵入される被害が生じ得る。このような脆弱性を排除するためには、C 言語等のバッファオーバーフロー脆弱性等が生じ得る言語により作成されたプログラムが内部で呼び出されることを避けるなどの対策が考えられる。

215

7.2.3 ドメインネームシステム（DNS）
目的・趣旨
ドメインネームシステム（DNS：Domain Name System）は、端末等のクライアント（DNS
クライアント）からの問合わせを受けて、ドメイン名やホスト名と IP アドレスとの対応関係等について回答を行うネットワークの基盤をなすものである。DNS の可用性が損なわれた場合は、ホスト名やドメイン名を使ったウェブや電子メール等の利用が不可能となる。
また、DNS が提供する情報の完全性が損なわれ、誤った情報を提供した場合は、端末等のDNS クライアントが悪意あるサーバに接続させられるなどの被害に遭う可能性がある。さらに、DNS が管理するドメインをアドレスとして利用する電子メールのなりすまし対策の
一部は DNS で行うため、これに不備があった場合には、なりすまされた電子メールの検知が不可能となる。これらの問題を回避するためには、DNS サーバの適切な管理が必要である。
なお、本項の遵守事項のほか、7.1.2 項「サーバ装置」において定めるサーバ装置に係る遵守事項についても併せて遵守する必要がある。

遵守事項(1) DNS の導入時の対策(a) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムの名前解決を提供する DNS のコンテンツサーバにおいて、名前解決を停止させないための措置を講ずること。
(b) 情報システムセキュリティ責任者は、DNS のキャッシュサーバにおいて、名前解決の要求への適切な応答をするための措置を講ずること。
(c) 情報システムセキュリティ責任者は、DNS のコンテンツサーバにおいて、府省庁のみで使用する名前の解決を提供する場合、当該情報が外部に漏えいしないための措置を講ずること。

【 基本対策事項 】＜7.2.3(1)(a)関連＞
7.2.3(1)-1 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムの名
前解決を提供する DNS のコンテンツサーバにおいて、以下を例とする名前解決を停止させないための措置を講ずること。
a) DNS のコンテンツサーバを冗長化する。
b) 通信回線装置等で、DNS のコンテンツサーバへのサービス不能攻撃に備えたアクセス制御を行う。
＜7.2.3(1)(b)関連＞
7.2.3(1)-2 情報システムセキュリティ責任者は、DNS のキャッシュサーバにおいて、以下を例とする名前解決の要求への適切な応答をするための措置を講ずること。
a) 府省庁外からの名前解決の要求には応じず、府省庁内からの名前解決の要求の216

みに回答を行うように措置を講ずる。
b) キャッシュサーバの設定、ファイアウォール等でアクセス制御を行う。
c) ルートヒントファイル（DNS ルートサーバの情報が登録されたファイル）の更新の有無を定期的（3 か月に一度程度）に確認し、最新の DNS ルートサーバの情報を維持する。
＜7.2.3(1)(c)関連＞
7.2.3(1)-3 情報システムセキュリティ責任者は、府省庁内のみで使用する名前の解決を提供する DNS のコンテンツサーバにおいて、以下を例とする当該情報が外部に漏えいしないための措置を講ずること。
a) 内部向けの名前解決を提供するコンテンツサーバを外部向けのコンテンツサー
バとは別々に設置し、コンテンツサーバの設定、ファイアウォール等でアクセス制御を行う。
（解説） 基本対策事項 7.2.3(1)-1 a)「冗長化」について
DNS のコンテンツサーバは、冗長化しておくことが一般的である。その際には、ネットワーク障害等を考慮して各々の DNS のコンテンツサーバをそれぞれ異なるネット
ワークに配置しておく、災害等を考慮して物理的に離れた建物や遠隔地に設置しておくなど、情報と情報システムに要求される可用性に応じて、最適な構成を検討する必要がある。
ISP 等が提供するセカンダリ DNS の利用も、冗長化による措置の例である。
また、要求される可用性の度合いに応じて、保守作業による復旧等、冗長化以外の措置を探ることも考えられる。
 基本対策事項 7.2.3(1)-2「名前解決の要求への適切な応答をするための措置」について
DNS のキャッシュサーバの第三者による不正利用やキャッシュ情報の汚染等を防ぐための措置を講ずることを求めている。
なお、必要なアクセス制御が行われず、インターネット上のどこからの問合わせにも回答するキャッシュサーバはオープンリゾルバと呼ばれ、サービス不能攻撃の踏み台に悪用されるおそれがある。このため、適切なアクセス制御の実施及び不必要な問合わせに対する回答の防止により、キャッシュサーバがオープンリゾルバとならない
ように対策することが必要である。
例示した対策の他に、DNS のコンテンツサーバのなりすましや、同サーバからの提供情報の改ざんのリスクが高い情報システムにおいては、コンテンツサーバによるドメイン名の情報提供時に電子署名を付与し、キャッシュサーバによる名前解決時に電子 署 名 を 検 証 す る 対 策 が 考 え ら れ る 。 具 体 的 に は 、 DNSSEC （ DNS Security
Extensions）の利用等が挙げられる。DNSSEC は、公開鍵暗号技術を用いて改ざん等を防止するため、その導入には情報の提供側である DNS のコンテンツサーバと情報の問合わせ側である DNS のキャッシュサーバの双方に対応が必要となる。国民等への信頼できるサービスの提供と、政府機関の情報セキュリティ向上の観点から、政府ドメ
217

インを管理する DNS のコンテンツサーバ及び政府機関の DNS のキャッシュサーバに対する円滑な DNSSEC の導入が望ましい。
 基本対策事項 7.2.3(1)-3「当該情報が外部に漏えいしないための措置」について
DNS のコンテンツサーバにおいて、府省庁内のみで使用する名前の解決を提供する
場合、府省庁外の者が内部のみで使用している名前情報を取得できないようにすることを求めている。

218

遵守事項
(2) DNS の運用時の対策(a) 情報システムセキュリティ責任者は、DNS のコンテンツサーバを複数台設置する
場合は、管理するドメインに関する情報についてサーバ間で整合性を維持すること。
(b) 情報システムセキュリティ責任者は、DNS のコンテンツサーバにおいて管理する
ドメインに関する情報が正確であることを定期的に確認すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 7.2.3(2)(a)「サーバ間で整合性を維持」について
複数台の DNS のコンテンツサーバでドメインに関する情報を保有し管理する場合に、各コンテンツサーバ間でドメインに関する情報の整合性を維持することを求める事項である。例えば、主系統のコンテンツサーバで管理するドメインに関する情報が変更された場合に、ゾーン転送等によって、情報システムの可用性に影響を及ぼさない適
切なタイミングで副系統のコンテンツサーバが管理するドメインに関する情報も更新するといった方法が考えられる。
なお、主系統のコンテンツサーバから副系統のコンテンツサーバへ安全にゾーン転送を行う対策として、例えば、TSIG（Transaction Signature）の利用等が考えられる。
 遵守事項 7.2.3(2)(b)「ドメインに関する情報が正確であることを定期的に確認」についてDNS のコンテンツサーバで管理するドメインに関する情報について、設定誤りや不正な改ざん等が発生していないかを定期的に確認することで、情報の正確性を維持することを求める事項である。管理するドメインに関する情報の具体例として、以下に挙げる登録内容等を確認することが求められる。
• ホストの IP アドレス情報を登録する A（AAAA）レコード• ドメインの電子メールサーバ名を登録する MX レコード
• なりすましメールを防ぐための SPF レコード等を登録する TXT レコード
なりすまし防止の観点からは、管理するドメインについての SPF レコードが正確であるかどうかを確認したり、ドメインを廃止する場合には、ドメインの廃止申請を行い、当該ドメインが確実に廃止されていることを確認したりすることが重要である。

219

7.3

通信回線

7.3.1 通信回線
目的・趣旨
サーバ装置やクライアント端末への不正アクセスやサービス不能攻撃等は、当該サーバ
装置や端末に接続された通信回線及び通信回線装置を介して行われる場合がほとんどであることから、通信回線及び通信回線装置に対する情報セキュリティ対策については、情報システムの構築時からリスクを十分検討し、必要な対策を実施しておく必要がある。通信事業者の公衆回線や府省庁専用の通信回線の運用主体又は有線回線や無線 LAN 回線等の物
理的な回線の種類によって情報セキュリティリスクが異なることを十分考慮し、対策を講ずる必要がある。
また、情報システムの運用開始時と一定期間運用された後とでは、通信回線の構成や接続される情報システムの条件等が異なる場合があり、攻撃手法の変化も想定されることか
ら、情報システムの構築時に想定した対策では十分でなくなる可能性がある。そのため、通信回線の運用時においても、継続的な対策を実施することが重要である。

遵守事項(1) 通信回線の導入時の対策(a) 情報システムセキュリティ責任者は、通信回線構築時に、当該通信回線に接続する情報システムにて取り扱う情報の格付及び取扱制限に応じた適切な回線種別を選択し、情報セキュリティインシデントによる影響を回避するために、通信回線に対して必要な対策を講ずること。
(b) 情報システムセキュリティ責任者は、通信回線において、サーバ装置及び端末のアクセス制御及び経路制御を行う機能を設けること。
(c) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムを通信回線に接続する際に、通信内容の秘匿性の確保が必要と考える場合は、通信内容の秘匿性を確保するための措置を講ずること。
(d) 情報システムセキュリティ責任者は、行政事務従事者が通信回線へ情報システムを接続する際に、当該情報システムが接続を許可されたものであることを確認するための措置を講ずること。
(e) 情報システムセキュリティ責任者は、通信回線装置を要管理対策区域に設置すること。ただし、要管理対策区域への設置が困難な場合は、物理的な保護措置を講ずるなどして、第三者による破壊や不正な操作等が行われないようにすること。
(f) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムが接続される通信回線について、当該通信回線の継続的な運用を可能とするための措置を講ずること。
(g) 情報システムセキュリティ責任者は、府省庁内通信回線にインターネット回線、
公衆通信回線等の府省庁外通信回線を接続する場合には、府省庁内通信回線及び当220

該府省庁内通信回線に接続されている情報システムの情報セキュリティを確保するための措置を講ずること。
(h) 情報システムセキュリティ責任者は、府省庁内通信回線と府省庁外通信回線との間で送受信される通信内容を監視するための措置を講ずること。
(i) 情報システムセキュリティ責任者は、通信回線装置が動作するために必要なソフ
トウェアを定め、ソフトウェアを変更する際の許可申請手順を整備すること。ただし、ソフトウェアを変更することが困難な通信回線装置の場合は、この限りでない。
(j)情報システムセキュリティ責任者は、保守又は診断のために、遠隔地から通信回線装置に対して行われるリモートアクセスに係る情報セキュリティを確保すること。
(k) 情報システムセキュリティ責任者は、電気通信事業者の通信回線サービスを利用する場合には、当該通信回線サービスの情報セキュリティ水準及びサービスレベルを確保するための措置について、情報システムの構築を委託する事業者と契約時に取り決めておくこと。

【 基本対策事項 】＜7.3.1(1)(a)(b)関連＞
7.3.1(1)-1 情報システムセキュリティ責任者は、通信回線を経由した情報セキュリティイ
ンシデントの影響範囲を限定的にするため、通信回線の構成、当該通信回線に接続する情報システムにて取り扱う情報の格付及び取扱制限に応じて、以下を例とする通信経路の分離を行うこと。
a) 外部との通信を行うサーバ装置及び通信回線装置のセグメントを DMZ として構築し、内部のセグメントと通信経路を分離する。
b) 業務目的や取り扱う情報の格付及び取扱制限に応じて情報システムごとに
VLAN により通信経路を分離し、それぞれの通信制御を適切に行う。
c) 他の情報システムから独立した専用の通信回線を構築する。
＜7.3.1(1)(c)関連＞
7.3.1(1)-2 情報システムセキュリティ責任者は、通信経路における盗聴及び情報の改ざん等の脅威への対策として、通信内容の秘匿性を確保するための機能を設けること。通信回線の秘匿性確保の方法として、SSL（TLS）、IPsec 等による暗号化を行うこと。
また、その際に使用する暗号アルゴリズムについては、「電子政府推奨暗号リスト」を参照し決定すること。
＜7.3.1(1)(d)関連＞
7.3.1(1)-3 情報システムセキュリティ責任者は、府省庁内通信回線への接続を許可された
情報システムであることを確認し、無許可の情報システムの接続を拒否するための機能として、以下を例とする対策を講ずること。
a) 情報システムの機器番号等により接続機器を識別する。
b) クライアント証明書により接続機器の認証を行う。
＜7.3.1(1)(e)関連＞
7.3.1(1)-4 情報システムセキュリティ責任者は、第三者による通信回線及び通信回線装置
221

の破壊、不正操作等への対策として、以下を例とする措置を講ずること。
a) 通信回線装置を施錠可能なラック等に設置する。
b) 庁舎内に敷設した通信ケーブルを物理的に保護する。
c) 通信回線装置の操作ログを取得する。
＜7.3.1(1)(f)関連＞
7.3.1(1)-5 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムが接続される通信回線を構築する場合は、以下を例とする対策を講ずること。
a) 通信回線の性能低下や異常の有無を確認するため、通信回線の利用率、接続率
等の運用状態を定常的に確認、分析する機能を設ける。
b) 通信回線及び通信回線装置を冗長構成にする。
＜7.3.1(1)(g)関連＞
7.3.1(1)-6 情報システムセキュリティ責任者は、府省庁内通信回線に、インターネット回
線や公衆通信回線等の府省庁外通信回線を接続する場合には、外部からの不正アクセスによる被害を防止するため、以下を例とする対策を講ずること。
a) ファイアウォール、WAF（Web Application Firewall）、リバースプロキシ等により通信制御を行う。
b) 通信回線装置による特定の通信プロトコルの利用を制限する。
c) IDS/IPS により不正アクセスを検知及び遮断する。
＜7.3.1(1)(j)関連＞
7.3.1(1)-7 情報システムセキュリティ責任者は、遠隔地から保守又は診断のためのリモー
トメンテナンスのセキュリティ確保のために、以下を例とする対策を講ずること。
a) リモートメンテナンス端末の機器番号等の識別コードによりアクセス制御を行う。
b) 主体認証によりアクセス制御する。
c) 通信内容の暗号化により秘匿性を確保する。
d) ファイアウォール等の通信制御のための機器に例外的な設定を行う場合は、その設定により脆弱性が生じないようにする。
（解説） 遵守事項 7.3.1(1)(a)「適切な回線種別を選択」について通信回線に利用する物理的な回線（通信事業者の回線・公衆無線 LAN 回線 等）の種別によって、盗聴、改ざん等の脅威及びそれらに対する有効なセキュリティ対策が異なることから、適切な回線を選択することが求められる。
例えば、要安定情報を取り扱う情報システムにおいて、通信経路の破壊等による可用性への影響を回避することを目的として仮想的な通信回線を複数の通信経路により構築する場合、物理的にも分離された通信経路上にそれぞれ仮想的な通信回線を構築しなければ、本来求められる可用性の維持に関する要件を満たすことにはならない。
 遵守事項 7.3.1(1)(i)「ソフトウェアを定め」について
通信回線装置としての機能や動作の明確化を行うとともに、ソフトウェアの脆弱性
222

に関する対策を確実なものとするために、通信回線装置で使用するソフトウェアについて、バージョンを含めて定めておくことが望ましい。通信回線装置の更新ソフトウ
ェアの提供を受けた際に、それを無条件に適用せずに、更新内容等をあらかじめ確認
し、適用する必要性を判断することが重要である。
 遵守事項 7.3.1(1)(k)「契約時に取り決めておく」について
公衆通信回線サービスを使用する場合においては、回線の利用規約等に記載されているセキュリティレベルやサービスレベルを合意した上で当該回線を選択する必要がある。役務提供契約で通信回線を利用するなど、府省庁において直接回線を調達しない場合については、通信回線に求めるセキュリティレベル及びサービスレベルについて、役務提供事業者と合意形成する必要がある。
 基本対策事項 7.3.1(1)-1 c)「専用の通信回線を構築」についてリスクを検討した結果、他の情報システムと共通的な通信回線を利用すると情報シ
ステムのセキュリティが確保できないと判断した場合には、他の通信回線から独立させて閉鎖的な通信回線とするなどの構成を採用することが考えられるが、過剰なセキ
ュリティ要件とならないように、閉鎖的な通信回線とする必要性を見極めることが重要である。例えば、通信回線を VLAN 等で論理的に分割し、分割された論理的な通信回線ごとに情報セキュリティを確保することで十分要件を満たすのであれば、費用や維持管理の面でメリットがある。このように情報セキュリティ以外の観点とのバランスをとって要件を定めることが重要である。
 基本対策事項 7.3.1(1)-5 b)「通信回線及び通信回線装置を冗長構成にする」について高い可用性が求められる情報システムを構築する場合は、大規模災害の発生を想定
し、通信回線を冗長構成にしておくことが望ましい。また、庁舎から外部に敷設する通信回線の管路についても、例えば、異なる通信事業者による複数の経路で構築しておくことで、災害を受けた際に復旧にかかる時間が短縮されるなどの効果が期待され
る。

223

遵守事項
(2) 通信回線の運用時の対策(a) 情報システムセキュリティ責任者は、情報セキュリティインシデントによる影響を防止するために、通信回線装置の運用時に必要な措置を講ずること。
(b) 情報システムセキュリティ責任者は、経路制御及びアクセス制御を適切に運用し、通信回線や通信要件の変更の際及び定期的に、経路制御及びアクセス制御の設定の見直しを行うこと。
(c) 情報システムセキュリティ責任者は、通信回線装置が動作するために必要なソフ
トウェアの状態を定期的に調査し、許可されていないソフトウェアがインストール
されているなど、不適切な状態にある通信回線装置を認識した場合には、改善を図ること。
(d) 情報システムセキュリティ責任者は、情報システムの情報セキュリティの確保が困難な事由が発生した場合には、当該情報システムが他の情報システムと共有している通信回線について、共有先の他の情報システムを保護するため、当該通信回線とは別に独立した閉鎖的な通信回線に構成を変更すること。

【 基本対策事項 】＜7.3.1(2)(a)関連＞
7.3.1(2)-1 情報システムセキュリティ責任者は、通信回線及び通信回線装置の運用・保守に関わる作業を実施する場合は、情報セキュリティインシデント発生時の調査対応のための作業記録を取得し保管すること。
7.3.1(2)-2 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムを構成する通信回線装置については、運用状態を復元するために必要な設定情報等のバッ
クアップを取得し保管すること。
（解説） 遵守事項 7.3.1(2)(b)「アクセス制御の設定の見直しを行う」について
アクセス制御の設定の見直しにより、設定条件を変更したり又は設定の不備を修正したりする場合は、当該通信回線に接続されている情報システムの情報システムセキ
ュリティ責任者にも事前の連絡及び結果の通知が必要である。
 遵守事項 7.3.1(2)(c)「ソフトウェアの状態を定期的に調査」について
通信回線の重要性、想定される脅威及び機器の特性等から調査の必要性及び調査の間隔を検討する必要がある。例えば、基幹回線等の重要な通信回線を構成する機器、ファイアウォールのようにインターネット等と直接接続されている機器、頻繁にソフトウェアがアップデートされるような機器等は調査の必要性が高く、より短期間に繰り返し調査を実施することが考えられる。また、必要性が低いと判断された機器についても、ソフトウェア等に脆弱性が報告されたり、通信回線の構成変更が発生したりする場合に随時調査することが望ましい。
224 遵守事項 7.3.1(2)(c)「不適切な状態」について許可されていないソフトウェアがインストールされている場合や、定められたソフ
トウェアが動作するための設定が適切でないなどの状態のことを指す。

225

遵守事項
(3) 通信回線の運用終了時の対策(a) 情報システムセキュリティ責任者は、通信回線装置の運用を終了する場合には、当該通信回線を構成する通信回線装置が運用終了後に再利用された時又は廃棄された後に、運用中に保存していた情報が漏えいすることを防止するため、当該通信回線装置の電磁的記録媒体に記録されている全ての情報を抹消するなど適切な措置を講ずること。

【 基本対策事項 】規定なし（解説）
 遵守事項 7.3.1(3)(a)「情報を抹消するなど適切な措置」について運用を終了した通信回線装置が再利用されたとき又は廃棄された後に、保存されていた情報が漏えいすることを防ぐための抹消の方法としては、通信回線装置の初期化、内蔵電磁的記録媒体の物理的な破壊等の方法がある。通信回線装置内にも、設定情報
や通信ログ等の情報が保存されていることから、サーバ装置及び端末と同様に運用終了時に留意しておくことが必要である。
通信回線装置は通信事業者からリース提供されることがあり、その場合は通信回線の運用終了に伴い通信事業者に装置を返却することになるため、通信回線装置の初期化の手順等本項を遵守するための方法について、通信事業者に確認する必要がある。

226

遵守事項
(4) リモートアクセス環境導入時の対策(a) 情報システムセキュリティ責任者は、VPN 回線を整備する場合は、利用者の主体
認証及び通信内容の暗号化等、情報セキュリティ確保のために必要な措置を講ずること。
(b) 情報システムセキュリティ責任者は、公衆電話網を経由したリモートアクセス環
境を構築する場合は、利用者の主体認証及び通信内容の暗号化等、情報セキュリテ
ィ確保のために必要な措置を講ずること。

【 基本対策事項 】＜7.3.1(4)(a)関連＞
7.3.1(4)-1 情報システムセキュリティ責任者は、VPN 回線を整備してリモートアクセス環
境を構築する場合は、以下を例とする対策を講ずること。
a) 利用開始及び利用停止時の申請手続の整備
b) 通信を行う端末の識別又は認証c) 利用者の認証
d) 通信内容の暗号化e) 主体認証ログの取得及び管理f) リモートアクセスにおいて利用可能な公衆通信網の制限
g) アクセス可能な情報システムの制限h) リモートアクセス中の他の通信回線との接続禁止＜7.3.1(4)(b)関連＞
7.3.1(4)-2 情報システムセキュリティ責任者は、公衆電話網を経由したリモートアクセス
環境を構築する場合は、以下を例とする対策を講ずること。
a) 利用開始及び利用停止時の申請手続の整備b) 利用者の認証又は発信者番号による識別及び認証c) 主体認証ログの取得及び管理d) アクセス可能な情報システムの制限e) リモートアクセス中の他の通信回線との接続禁止（解説） 遵守事項 7.3.1(4)(a)「VPN 回線を整備」について
インターネット VPN 等の汎用的な VPN 技術を利用してよいが、通信内容の暗号化やリモートアクセス端末又は利用者の認証については、特に機密性の高い情報を取り扱う場合は必ず講じておくべき措置である。
 基本対策事項 7.3.1(4)-1 e)「主体認証ログ」について
例えば MS-CHAPv2 のような、認証情報を第三者に窃取されるなどの脆弱性が認められる認証プロトコル（リモートアクセスによる利用者認証の際に汎用的に用いられ
227

るプロトコル）については、暗号化されている通信路上で認証処理を行い、認証ログを厳重に管理するなどの対策を講ずる必要がある。運用中のサーバ装置や通信回線装置の認証ログを定期的に確認するなどして、不正アクセスが行われていないことに留意することも重要である。
 基本対策事項 7.3.1(4)-1 f)「利用可能な公衆通信網の制限」についてリモートアクセスの際に足回りの回線として使用する通信回線については、安全な通信回線サービスに限定することが望ましいが、海外で利用する場合等においては、利用可能な通信回線サービスが限られており、通信回線サービスを制限できない。このような場合は、「通信回線サービスを限定しない」という前提条件のもと、通信回線
サービスの安全性や信頼性に関わらず、取り扱われる情報のセキュリティが確保されるよう、VPN 接続時の認証処理及び通信内容の暗号化等の対策を考慮する必要がある。

228

遵守事項
(5) 無線 LAN 環境導入時の対策(a) 情報システムセキュリティ責任者は、無線 LAN 技術を利用して府省庁内通信回線を構築する場合は、通信回線の構築時共通の対策に加えて、通信内容の秘匿性を確保するために通信路の暗号化を行った上で、その他の情報セキュリティ確保のために必要な措置を講ずること。

【 基本対策事項 】＜7.3.1(5)(a)関連＞
7.3.1(5)-1 情報システムセキュリティ責任者は、無線 LAN 技術を利用して府省庁内通信回線を構築する場合は、通信回線の構築時共通の対策に加えて、以下を含む措置を講ずること。
a) 無線 LAN 回線利用申請手続の整備
b) 無線 LAN 通信の暗号化
c) 通信を行う端末の識別又は認証d) 利用者の認証e) 主体認証ログの取得及び管理f) 無線 LAN 経由でアクセス可能な情報システムの明確化
g) 無線 LAN に接続する端末及び通信回線装置の管理h) 不正プログラム感染を認知した場合の対処手順（解説）
 基本対策事項 7.3.1(5)-1「以下を含む措置」について
例えば、リモートアクセス回線を構築する際に無線 LAN を利用する場合には、構築するリモートアクセス環境の通信網構成等に応じて求められる措置を検討し講ずることが望ましい。
 基本対策事項 7.3.1(5)-1 b)「無線 LAN 通信の暗号化」について
暗号化方式として、例えば WPA2 Enterprise（Wi-Fi Protected Access 2 Enterprise）
方 式 を 選 択 す る こ と が 考 え ら れ る 。 WEP （ Wired Equivalent Privacy）、 TKIP
（Temporal Key Integrity Protocol）等は、比較的容易に解読できたり、通信を妨害できたりするという脆弱性が報告されており、利用すべきではない。他の暗号化方式においても同様の問題が起こる可能性があるため、最新の情報に従い適切な方式や設定値を選択することが求められる。
 基本対策事項 7.3.1(5)-1 e)「主体認証ログ」について「（解説）基本対策事項 7.3.1(4)-1 e)「主体認証ログ」について」を参照のこと。
 基本対策事項 7.3.1(5)-1 g)「通信回線装置の管理」について
無線 LAN 機器の管理については、例えば、以下が考えられる。
229

• 無線 LAN 機器の電波出力・周波数チャンネル等の管理• 管理外の無線 LAN アクセスポイント、端末の検出及び除去• IDS/IPS 等によるサービス不能攻撃の防御• MAC アドレス等による接続管理
また、第三者が庁舎内又は庁舎外から府省庁にて設置した無線 LAN 機器への接続を試みる可能性があることに注意して管理する必要がある。
なお、無線 LAN 回線を構築する場合は、政府機関から公表している以下の研究会報
告書等を参考にするとよい。
参考：総務省「国民のための情報セキュリティサイト」の「情報管理担当者のための情報セキュリティ対策」（http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/business/admin/ind
ex.html）にある、「安全な無線 LAN 利用の管理」のページの解説
参考：各府省情報化統括責任者（CIO）補佐官等連絡会議ワーキンググループ報告「無線 LAN セキュリティ要件の検討」（平成 23 年 3 月）（http://www.kantei.go.jp/jp/singi/it2/cio/hosakan/dai65/65lan_kentou.pdf）
参考：総務省「無線 LAN ビジネス研究会」報告書（平成 24 年 7 月 20 日）（http://www.soumu.go.jp/menu_news/s-news/02kiban04_03000093.html）
参考：総務省「無線 LAN ビジネスガイドライン」（平成 25 年 6 月 25 日）（http://www.soumu.go.jp/menu_news/s-news/01kiban04_02000058.html）
 基本対策事項 7.3.1(5)-1 h)「不正プログラム感染を認知した場合の対処手順」について
府省庁 LAN 端末が不正プログラムに感染した場合は、通常は通信ケーブルを抜去するといった手順が設けられていることが多いが、無線 LAN 回線を使用している場合においては、不正プログラムに感染した端末が無線 LAN 回線を介して他の端末に感染を拡大しないように、無線 LAN 通信を遮断するための手順をあらかじめ定め、行政事務従事者へ周知しておく必要がある。例えば、以下の手順が考えられる。
• 感染を認知した際に電磁波を遮断するシールドボックスに感染端末を隔離する。
• 無線 LAN の通信圏外へ端末を移動し、保管する。
• 端末の無線 LAN 通信機能を停止する。

230

7.3.2 IPv6 通信回線
目的・趣旨
政府機関において、インターネットの規格である IPv6 通信プロトコルに対応するための取組が進められているが、IPv6 通信プロトコルを採用するに当たっては、グローバル IP
アドレスによるパケットの直接到達性や IPv4 通信プロトコルから IPv6 通信プロトコルへの移行過程における共存状態等、考慮すべき事項が多数ある。
近年では、サーバ装置、端末及び通信回線装置等に IPv6 技術を利用する通信（以下「IPv6通信」という。
）を行う機能が標準で備わっているものが多く出荷され、運用者が意図しな
い IPv6 通信が通信ネットワーク上で動作している可能性があり、結果として、不正アクセスの手口として悪用されるおそれもあることから、必要な対策を講じていく必要がある。
なお、IPv6 技術は今後も技術動向の変化が予想されるが、一方で、IPv6 技術の普及に伴い情報セキュリティ対策技術の進展も期待されることから、府省庁においても、IPv6 の情報セキュリティ対策に関する技術動向を十分に注視し、適切に対応していくことが重要で
ある。

遵守事項
(1) IPv6 通信を行う情報システムに係る対策(a) 情報システムセキュリティ責任者は、IPv6 技術を利用する通信を行う情報システ
ムを構築する場合は、製品として調達する機器等について、IPv6 Ready Logo
Program に基づく Phase-2 準拠製品を、可能な場合には選択すること。
(b) 情報システムセキュリティ責任者は、IPv6 通信の特性等を踏まえ、IPv6 通信を想定して構築する情報システムにおいて、以下の事項を含む脅威又は脆弱性に対する検討を行い、必要な措置を講ずること。
(ア) グローバル IP アドレスによる直接の到達性における脅威(イ) IPv6 通信環境の設定不備等に起因する不正アクセスの脅威(ウ) IPv4 通信と IPv6 通信を情報システムにおいて共存させる際の処理考慮漏れに起因する脆弱性の発生(エ) アプリケーションにおける IPv6 アドレスの取扱い考慮漏れに起因する脆弱性の発生【 基本対策事項 】規定なし（解説）（ア）「グローバル IP アドレスによる直接の到達性における脅威」
 遵守事項 7.3.2(1)(b)について
IPv6 通信を想定して構築する情報システムにおいて、
グローバル IP アドレスによる通信パケットの直接到達性における脅威に対抗するために、以下を例に対策を講ずることが考えられる。
231

• 不正な機器からの経路調査コマンド（traceroute 等）への応答の禁止• ICMP エコー要求への応答の禁止• 許可した宛先からのみアクセス可能とするなどの経路制御の設定• サービス不能攻撃の検知及びフィルタ
 遵守事項 7.3.2(1)(b)(イ)「不正アクセスの脅威」について
IPv6 の特徴として、アドレスが長いこと、アドレスの省略形が複数パターン存在して一意に定まらない可能性があること、端末が複数の IP アドレスを持つこと等が挙げられる。このため、複雑なアクセス制御の設定が必要になり、設定不備等による不正アクセスにつながるリスクが想定される。
対策としては、外部ネットワークとの通信において、OSI 基本参照モデルのネット
ワーク層（第３層）及びトランスポート層（第４層）を中心にフィルタリングを行う
機能及び断片化された通信の再構築を行う機能を適切に設定すること等、通信機器を流れる通信そのものを制御することが挙げられる。
なお、IPv6 通信を想定して構築する情報システムにおいて、IPv6 のログを取得し、分析する場合は、IPv6 アドレスでは桁数が大幅に増えること等から、IPv6 対応のログの解析ツールを利用することで、IPv6 アドレスの読み間違い等の運用上の作業ミスを軽減するための対策を検討することが望ましい。
 遵守事項 7.3.2(1)(b)(ウ)「共存させる際の処理考慮漏れに起因する脆弱性」について
IPv6 通信プロトコルに対応している端末やサーバ装置には、多様な IPv6 移行機構
（デュアルスタック機構、IPv6-IPv4 トンネル機構等）が実装されている。それらのIPv6 移行機構は、それぞれが想定する使用方法と要件に基づき設計されていることから、その選定と利用に当たっては、セキュリティホールの原因をつくらないよう十分な検討と措置が必要である。
例えば、デュアルスタック機構を運用する場合には、IPv4 のプライベートアドレスを利用したイントラネットの情報システムであっても外部ネットワークとの IPv6 通信が可能となるため、デュアルスタック機構を導入したサーバ装置及び端末を経由した
当該外部ネットワークからの攻撃について対策を講ずる必要がある。また、IPv6-IPv4
トンネル機構を運用する場合、トンネルの終端が適切に管理されないと本来通信を想定しないネットワーク間の IPv6 通信が既設の IPv4 ネットワークを使って可能となるため、府省庁のネットワークが外部から攻撃される危険性がある。管理されたサーバ
装置及び端末以外のトンネル通信を当該 IPv4 ネットワークに設置されたファイアウォ
ールにて遮断するなど、不適切な IPv6 通信を制御する対策が必要である。
 遵守事項 7.3.2(1)(b)(エ)「IPv6 アドレスの取扱い考慮漏れに起因する脆弱性」についてIPv4 のみに対応する機器及びソフトウェアが IPv6 ネットワーク上で動作する際、システム内部での IP アドレスの取扱いが IPv4 に依存している場合、IPv6 アドレスが取り扱えない、若しくはバッファオーバーラン等を引き起こす可能性があるというリ
スクを認識し、これが無いことを確認するなどが挙げられる。統合認証システムや、
232システム間連動を行うようなアプリケーションでは、IPv4/IPv6 が混在した状況でも適切なシステム連携を行う必要がある。
また、「IPv4 対応システムが IPv6 アドレスに対応するため、IPv6／IPv4 コンバー
タ等が使用される場合がある。このような場合、内部からは個別の IPv6 アドレスを特定できないため、通信ログの取得やパケットフィルタリング等の機能を実装し運用する際等において留意する必要がある。

233

遵守事項
(2) 意図しない IPv6 通信の抑止・監視(a) 情報システムセキュリティ責任者は、サーバ装置、端末及び通信回線装置を、IPv6通信を想定していない通信回線に接続する場合には、自動トンネリング機能で想定外の IPv6 通信パケットが到達する脅威等、当該通信回線から受ける不正な IPv6 通信による情報セキュリティ上の脅威を防止するため、IPv6 通信を抑止するなどの措置を講ずること。

【 基本対策事項 】規定なし（解説）
 遵守事項 7.3.2(2)(a)「IPv6 通信を抑止するなどの措置」について
複数の府省庁の間及び府省庁内のみで利用する情報システムについて、通信回線がIPv6 通信を想定していない場合には、当該通信回線に接続される端末等の IPv6 通信の機能を停止する必要がある。
IPv6 通信を想定していない通信回線においては、ファイアウォールや IDS/IPS 等のセキュリティ機能に不正な IPv6 通信を制御する措置が講じられず、悪意ある者による
IPv6 通信を使った攻撃に対して無防備となるおそれがある。さらに、IPv6 通信が可能なサーバ装置及び端末においては、IPv4 ネットワークに接続している時でも IPv6 通信による当該サーバ装置及び端末への接続を可能とする自動トンネリング機能を提供するものがある。この機能を利用すると、サーバ装置及び端末と外部のネットワークとの間に情報システムの利用者や情報システムの運用管理者が気付かないうちに意図しない経路が自動生成され、これがセキュリティを損なうバックドアとなりかねないことから、自動トンネリング機能を動作させないようサーバ装置及び端末を設定する必要がある。
また、ルータ等の通信回線装置についても IPv6 通信をしないよう設定し、意図しない IPv6 通信を制限することが求められる。
なお、「政府情報システムに係る IPv6 対応の取組について」（2011 年 11 月 2 日各府
省情報化統括責任者（CIO）連絡会議決定）において IPv6 対応の取組を進めることが確認されているが、外部と直接通信を行う情報システム等についても、現時点において IPv6 対応がされていない場合には、意図しない IPv6 通信を抑止又は遮断するための措置を講ずることが必要である。

234

第8部 情報システムの利用

8.1

情報システムの利用

8.1.1 情報システムの利用
目的・趣旨
行政事務従事者は、業務の遂行のため、端末での事務処理のほか電子メール、ウェブ等
様々な情報システムを利用している。これらを適切に利用しない場合、情報セキュリティ
インシデントを引き起こすおそれがある。
このため、情報システムの利用に関する規定を整備し、行政事務従事者は規定に従って利用することが求められる。

遵守事項(1) 情報システムの利用に係る規定の整備(a) 統括情報セキュリティ責任者は、府省庁の情報システムの利用のうち、情報セキ
ュリティに関する規定を整備すること。
(b) 統括情報セキュリティ責任者は、要保護情報について要管理対策区域外で情報処理を行う場合を想定し、要管理対策区域外に持ち出した端末や利用した通信回線から情報が漏えいするなどのリスクを踏まえた安全管理措置に関する規定及び許可手続を定めること。
(c) 統括情報セキュリティ責任者は、USB メモリ等の外部電磁的記録媒体を用いた情報の取扱いに関する利用手順を定めること。

【 基本対策事項 】＜8.1.1(1)(a)関連＞
8.1.1(1)-1 統括情報セキュリティ責任者は、府省庁の情報システムの利用のうち、情報セ
キュリティに関する規定として、以下を例とする実施手順を定めること。
a) 情報システムの基本的な利用のうち、情報セキュリティに関する手順b) 電子メール及びウェブの利用のうち、情報セキュリティに関する手順c) 識別コードと主体認証情報の取扱手順
d) 暗号と電子署名の利用に関する手順e) 不正プログラム感染防止の手順f) アプリケーション・コンテンツの提供時に府省庁外の情報セキュリティ水準の低下を招く行為の防止に関する手順g) ドメイン名の使用に関する手順＜8.1.1(1)(b)関連＞
8.1.1(1)-2 統括情報セキュリティ責任者は、要管理対策区域外にて情報処理を行う際の安235

全管理措置として、以下を例とする措置を規定し、行政事務従事者に遵守させること。
a) モバイル端末で利用する電磁的記録媒体に保存されている要機密情報の暗号化b) 盗み見に対する対策（のぞき見防止フィルタの利用等）
c) 盗難・紛失に対する対策（不要な情報をモバイル端末に保存しない、端末の放置の禁止、利用時以外のシャットダウン及びネットワークの切断、モバイル端末を常時携帯する、常に身近に置き目を離さないなど）
d) 利用する場所や時間の限定e) 端末及び外部電磁的記録媒体等についての盗難・紛失が発生した際の緊急対応
手順
8.1.1(1)-3 統括情報セキュリティ責任者は、要管理対策区域外にて行政事務従事者が情報処理を行う際の許可等の手続として、以下を例とする手続を規定し、行政事務従事者に遵守させること。
a) 許可権限者の決定（情報システムセキュリティ責任者又は課室情報セキュリティ責任者が想定される。
）
b) 利用時の許可申請手続c) 手続内容（利用者、利用期間、主たる利用場所、目的、利用する情報、端末、通信回線の接続形態等）
d) 利用期間満了時の手続
e) 許可権限者による手続内容の記録＜8.1.1(1)(c)関連＞
8.1.1(1)-4 統括情報セキュリティ責任者は、USB メモリ等の外部電磁的記録媒体を用いた情報の取扱いに関する利用手順として以下の事項を含めて定めること。
a) 府省庁支給の外部電磁的記録媒体を使用する（私物や出所不明の媒体を使用しない）。
b) 主体認証機能や暗号化機能を備えるセキュアな外部電磁的記録媒体が存在する
場合、これに備わる機能を利用する。
c) 要機密情報は保存される必要がなくなった時点で速やかに削除する。
d) 外部電磁的記録媒体を使用する際には、事前に不正プログラム対策ソフトウェ
アによる検疫・駆除を行う。
（解説） 遵守事項 8.1.1(1)(c)「USB メモリ等の外部電磁的記録媒体を用いた情報の取扱いに関する利用手順」について
USB メモリ等の外部電磁的記録媒体に関する対策は、情報システムの構成等によって様々であると考えられるが、基本対策事項 8.1.1(1)-4 及び「【参考 8.1.1-1】USB メ
モリ等の外部電磁的記録媒体について」を参照しつつ、①端末等の不正プログラム感
染、②盗難・紛失等による情報漏えい、③バックドアの埋め込み等のサプライチェー
ン・リスク、といった脅威に対抗するための利用手順を定める必要がある。また、行政事務従事者は当該手順に従う必要がある（遵守事項 3.1.1(4)(e)を参照のこと。）。
236

なお、USB メモリ等の外部電磁的記録媒体の管理に際しては、利用手順の整備のほか、組織内ネットワーク上の端末に対する外部電磁的記録媒体の接続を制御及び管理するための製品やサービスを導入も有効である（基本対策事項 6.2.4(1)-2 f)を参照のこと。
）。
 基本対策事項 8.1.1(1)-1「以下を例とする実施手順を定める」について
a)～e)は、それぞれ遵守事項 8.1.1(3)～(7)において、行政事務従事者を名宛人とした対策事項が規定されている。同様に、f)は遵守事項 6.3.1(1)において、また、g)は遵守
事項 6.3.2(1)において対策事項が規定されている。本項では、これら規定内容を包含する形で、府省庁の実施手順等を定めることを求めている。
なお、統一基準及び本ガイドラインの規定内容を、府省庁対策基準に含めて定める
ことで代替しても差し支えない。
 基本対策事項 8.1.1(1)-2 c)「盗難・紛失に対する対策」について一般的に、以下に例を挙げる状況では、盗難・紛失が発生しやすいため、要機密情報を含むモバイル端末を携行する場合には十分注意させること。
• 電車等での移動中に、モバイル端末の入ったかばん等を網棚に置き、そのまま下車する。
• 飲酒が想定されるいわゆる宴会等でモバイル端末の入ったかばん等を置いたま
ま帰宅する。
 基本対策事項 8.1.1(1)-3 d)「利用期間満了時の手続」について
利用期間満了時の際は、行政事務従事者に報告を求めるよう手続に定める必要がある。特に機密性３情報等の取扱いに注意すべき情報を要管理対策区域外に持ち出す場
合においては、以下を例とする管理手順を設けるとよい。
• 利用期間満了時の連絡が無い場合は、当該利用者に確認する。
• 利用期間の延長が必要であれば、再手続を要請する。
• 利用期間満了前に利用が終了した際には、利用終了時に報告を求める。
 基本対策事項 8.1.1(1)-4 b)「セキュアな外部電磁的記録媒体」について「（解説）基本対策事項 3.1.1(6)-2 c)「府省庁支給のセキュアな製品」について」を参照のこと。

237【参考 8.1.1-1】USB メモリ等の外部電磁的記録媒体について

USB メモリ等の外部電磁的記録媒体に関連する脅威（①②③）及び脆弱性（箇条書き）

としては、以下が想定される。
① 端末等の不正プログラム感染• 利用者、用法等が不明な物が使用されている。
• 外部電磁的記録媒体を接続した際に自動的にプログラムが実行される。
• 不正プログラム対策ソフトウェアによる検疫・駆除を行っていない。
② 盗難・紛失等による情報漏えい• 利用者、用法等が不明な物が使用されている。
• 運搬の際等に暗号化等の安全管理措置がなされていない。
• 不要な要機密情報が保存されている。
③ バックドアの埋め込み等のサプライチェーン・リスク• 製造元、製造過程が不明な物が使われる。
上記の脅威及び脆弱性に対しては、表 8.1.1-1 に掲げる対策が想定される。
表 8.1.1-1 USB メモリ等の外部電磁的記録媒体に関する対策の例
脅威

対策

対策の種類

主体認証機能や暗号化機能を備える外部電磁的記録媒体を導入する
不正プログラムの検疫・駆除機能を備える外部
電磁的記録媒体を導入する
情報を暗号化するための機能を備えたソフトウ①不正プログラム感染

ェアを導入する
外部電磁的記録媒体の検疫・駆除機能を備える
不正プログラム対策ソフトウェアを導入する
サーバ装置及び端末の自動再生（オートラン）
機能を無効にする

関連する
基本対策事項調達時の対策5.2.1(2)関連調達時の対策5.2.1(2)関連調達時の対策5.2.1(2)関連
6.1.5 関連

調達時の対策6.2.1(1)関連

技術的な設定6.2.4(1)-1 c)

技術的な設定6.2.4(1)-1 d)

技術的な設定6.2.4(1)-1 e)

サーバ装置及び端末について、外部電磁的記録
媒体内にあるプログラムを一律に実行拒否する
設定とする
サーバ装置及び端末において使用を想定しない
USB ポート等を無効にする
外部電磁的記録媒体の使用前に、不正プログラ
ム対策ソフトウェアや外部電磁的記録媒体に備わる機能による不正プログラムの検疫・駆除を行う
238

利用時の対策8.1.1(1)-4 d)
8.1.1(7)関連②情報漏えい運搬の際等に主体認証機能や暗号化機能の利用等の安全管理措置を講ずる
機密性３情報を保存しない
要機密情報は保存される必要がなくなった時点

ーン・リスク

③サプライチェで速やかに削除する安全と考えられる製造元、製造過程の製品を調達する使用可能な媒体の制限や利用方法等に関する手
順を定める
①②③共通

組織内ネットワーク上の端末に対する外部電磁的記録媒体の接続を制御及び管理するための製品やサービスを導入する

利用時の対策3.1.1(6)-2 c)
8.1.1(1)-4 b)

利用時の対策8.1.1(1)-4 c)

利用時の対策8.1.1(1)-4 c)

調達時の対策5.1.2 関連管理対策

8.1.1(1)-4

管理対策

6.2.4(1)-2 f)

調達時の対策8.1.1(1)-4

利用時の対策8.1.1(1)-4 a)

管理下に置かれた外部電磁的記録媒体を使用する（私物や出所不明の外部電磁的記録媒体を使
用しない）

239

遵守事項
(2) 情報システム利用者の規定の遵守を支援するための対策(a) 情報システムセキュリティ責任者は、行政事務従事者による規定の遵守を支援す
る機能について情報セキュリティリスクと業務効率化の観点から支援する範囲を検討し、当該機能を持つ情報システムを構築すること。

【 基本対策事項 】＜8.1.1(2)(a)関連＞
8.1.1(2)-1 情報システムセキュリティ責任者は、府省庁外のウェブサイトについて、行政事務従事者が閲覧できる範囲を制限する機能を情報システムに導入すること。具体的には、以下を例とする機能を導入すること。また、当該機能に係る設定や条件について定期的に見直すこと。
a) ウェブサイトフィルタリング機能b) 事業者が提供するウェブサイトフィルタリングサービスの利用
8.1.1(2)-2 情報システムセキュリティ責任者は、行政事務従事者が不審なメールを受信することによる被害をシステム的に抑止する機能を情報システムに導入すること。具体的には、以下を例とする機能を導入すること。また、当該機能に係る設定や条件について定期的に見直すこと。
a) 受信メールに対するフィルタリング機能b) 受信メールをテキスト形式で表示する機能c) スクリプトを含む電子メールを受信した場合において、当該スクリプトが自動的に実行されることがないメールクライアントの導入（解説） 遵守事項 8.1.1(2)(a)「行政事務従事者による規定の遵守を支援する機能」について
行政事務従事者が府省庁対策基準に定めた規定を守ることを前提としつつ、情報シ
ステムの仕組みとして、情報セキュリティインシデントが発生しない（又は発生しにくい）利用環境を行政事務従事者に提供することにより、組織全体のセキュリティ水準を確保することを求める事項である。例えば、基本対策事項に示したとおり、閲覧するとウイルス感染被害に遭うことが判明しているサイトや受信した電子メールをフィルタリングして閲覧不可にすることで被害を回避するなどが考えられる。
これ以外にも、例えば、行政事務従事者が意図しない相手に電子メールを送信することをシステム的に抑止する対策として以下のような機能を情報システムに導入すること等も考えられる。
• 送信者のメールアドレスのドメイン名以外のドメインのアドレスが宛先アドレ
スに含まれる場合に警告を表示するなど、入力された宛先アドレスをチェックして警告する機能• To、Cc、Bcc に入力された宛先アドレスの数が設定数以上になっているときに警告する機能240

• 添付ファイルがある場合に警告する機能• 送信メールの件名、本文、添付ファイルにあらかじめ設定した文字列が含まれる場合に警告する機能• 送信者が送信指示を行った後、あらかじめ設定された時間だけ送信を保留する
ことにより、送信者が誤送信に気が付いた場合に、送信を取り消すことができる機能
 基本対策事項 8.1.1(2)-2 b)「テキスト形式で表示する機能」について
いわゆるフィッシング等の脅威が想定される外部からの電子メールを受信する情報システムを対象とした規定である。HTML 形式の電子メールは、その形式の特徴が悪用され、本文中の URL を偽装した電子メールを送ることにより、フィッシング行為や不正プログラムを埋め込んだウェブサイトへの誘引行為に利用されている。フィッシ
ング等の被害に遭うリスクが想定される場合には、テキスト形式や RTF(Rich Text
Format)形式等の URL 偽装のリスクの無い形式で表示することが望ましい。

241

遵守事項
(3) 情報システムの利用時の基本的対策(a) 行政事務従事者は、行政事務の遂行以外の目的で情報システムを利用しないこと。
(b) 行政事務従事者は、情報システムセキュリティ責任者が接続許可を与えた通信回線以外に府省庁の情報システムを接続しないこと。
(c) 行政事務従事者は、府省庁内通信回線に、情報システムセキュリティ責任者の接続許可を受けていない情報システムを接続しないこと。
(d) 行政事務従事者は、情報システムで利用を禁止するソフトウェアを利用しないこと。また、情報システムで利用を認めるソフトウェア以外のソフトウェアを職務上の必要により利用する場合は、情報システムセキュリティ責任者の承認を得ること。
(e) 行政事務従事者は、情報システムの設置場所から離れる場合等、第三者による不正操作のおそれがある場合は、情報システムを不正操作から保護するための措置を講ずること。
(f) 行政事務従事者は、要保護情報を取り扱うモバイル端末にて情報処理を行う場合
は、定められた安全管理措置を講ずること。
(g) 行政事務従事者は、機密性３情報、要保全情報又は要安定情報を取り扱う情報シ
ステムを要管理対策区域外に持ち出す場合には、情報システムセキュリティ責任者
又は課室情報セキュリティ責任者の許可を得ること。

【 基本対策事項 】＜8.1.1(3)(e)関連＞
8.1.1(3)-1 行政事務従事者は、第三者による不正操作のおそれがある場合は、情報システ
ムを不正操作から保護するために、以下を例とする措置を講ずること。
a) スクリーンロックの設定b) 利用後のログアウト徹底c) 利用後に情報システムを鍵付き保管庫等に格納し施錠（解説） 遵守事項 8.1.1(3)(a)「行政事務の遂行以外の目的で情報システムを利用しない」について行政事務の遂行以外の目的で情報システムを利用した場合の脅威を回避するための規定である。脅威の例としては、意図せず悪意のあるウェブサイトを閲覧することによって、不正プログラムに感染することが想定される。
 遵守事項 8.1.1(3)(b)「接続許可を与えた通信回線以外」について
適切な管理がなされていない通信回線に端末を接続することにより、通信傍受等の脅威にさらされることを回避するための規定である。
府省庁内通信回線であっても府省庁外通信回線であっても、許可を得ていない通信回線に接続してはならない。モバイル端末を持ち出した際に接続する通信回線につい242

ては、府省庁内通信回線以外の利用となり、盗聴等の脅威が増大することから、許可されていない通信回線への接続は回避すべきである。ただし、出張先等で利用する通信回線が未定の場合は、事前の許可が難しいことから、回線の種別（通信事業者の回線・公衆無線 LAN 回線等）で管理すること等も考えられる。
 遵守事項 8.1.1(3)(c)「接続許可を受けていない情報システム」について
府省庁内通信回線を保護するための対策である。私物の端末等、利用を許可されていないサーバ装置、端末等を府省庁内通信回線に接続することを禁止している。
 遵守事項 8.1.1(3)(d)「情報システムセキュリティ責任者の承認を得る」について
行政事務従事者が、利用を認めるソフトウェア以外のソフトウェアを利用する必要がある場合に、情報システムセキュリティ責任者に利用を申請し承認を得ることを求める規定である。なお、承認を得る際には、製品名、バージョン、入手方法（ソフト
ウェアの入手元となる URL、事業者名等）、入手可能な場合には利用規約等を添付して、情報システムセキュリティ責任者に申請することが望ましい。
 遵守事項 8.1.1(3)(f)「定められた安全管理措置」について遵守事項 8.1.1(1)「情報システムの利用に関する規定の整備」において統括情報セキ
ュリティ責任者が定めた安全管理措置の実施を求めている。取り扱う情報の格付や取扱制限に応じた、適切な安全管理措置が求められる。
 遵守事項 8.1.1(3)(g)「許可を得る」について遵守事項 8.1.1(1)「情報システムの利用に関する規定の整備」において統括情報セキ
ュリティ責任者が定めた許可手続の実施を求めている。情報システムの利用開始時の許可申請だけではなく、利用期間満了時又は利用終了時の手続等を定めている場合があるので、定められた手順に従って、適切に措置する必要がある。

243

遵守事項
(4) 電子メール・ウェブの利用時の対策(a) 行政事務従事者は、要機密情報を含む電子メールを送受信する場合には、それぞれの府省庁が運営し、又は外部委託した電子メールサーバにより提供される電子メールサービスを利用すること。
(b) 行政事務従事者は、府省庁外の者へ電子メールにより情報を送信する場合は、当該電子メールのドメイン名に政府ドメイン名を使用すること。ただし、当該府省庁外の者にとって、当該行政事務従事者が既知の者である場合は除く。
(c) 行政事務従事者は、不審な電子メールを受信した場合には、あらかじめ定められた手順に従い、対処すること。
(d) 行政事務従事者は、ウェブクライアントの設定を見直す必要がある場合は、情報セキュリティに影響を及ぼすおそれのある設定変更を行わないこと。
(e) 行政事務従事者は、ウェブクライアントが動作するサーバ装置又は端末にソフトウェアをダウンロードする場合には、電子署名により当該ソフトウェアの配布元を確認すること。
(f) 行政事務従事者は、閲覧しているウェブサイトに表示されるフォームに要機密情報を入力して送信する場合には、以下の事項を確認すること。
(ア) 送信内容が暗号化されること(イ) 当該ウェブサイトが送信先として想定している組織のものであること【 基本対策事項 】規定なし（解説）
 遵守事項 8.1.1(4)(a)「送受信」について「送受信」には電子メールの「転送」が含まれる。したがって、府省庁支給以外の電子メールサービスの電子メールアドレスに要機密情報を含む電子メールを転送する
ことは、許可を得ている場合を除き、認められない。特に、自動転送については、許可を受けている場合であっても、当該電子メールに含まれる情報の格付及び取扱制限にかかわらず行われるため、遵守事項 3.1.1(6)「情報の運搬又は送信」に規定されている要機密情報の送信についての遵守事項に違反しないように留意する必要がある。
 遵守事項 8.1.1(4)(c)「不審な電子メール」について「不審な電子メール」とは、受信する覚えのない電子メールであって、メール本文
中に URL（ウェブアドレス）が記載されているもの、実行形式や文書形式のファイルが添付されているもの等が該当する。こういった電子メールについて、むやみに URLのリンク先や添付ファイルを開かないことも重要であるが、開かなかった場合でも他の者が同種の電子メールを受信することも考えられるため、情報提供を行うことも重要である。定められた連絡先としては、CSIRT や当該電子メールを扱う情報システムの情報システムセキュリティ責任者等が考えられる。
244

 遵守事項 8.1.1(4)(d)「情報セキュリティに影響を及ぼすおそれのある設定変更を行わない」について
例えば、以下のようなブラウザのセキュリティ設定項目について、変更すると悪意のあるソフトウェアが端末において実行されること等により、情報の漏えいや、他のサーバ装置及び端末を攻撃することを引き起こすことも考えられるため、変更が可能であったとしても勝手に変更しないようにする必要がある。
＜ブラウザのセキュリティ設定項目の例＞• ActiveX コントロールの実行• Java の実行 遵守事項 8.1.1(4)(f)「送信内容が暗号化されること」について
主体認証情報等を入力して送信する場合には、ブラウザの鍵アイコンの表示を確認するなどにより、SSL（TLS）等の暗号化通信が使用され、要機密情報が適切に保護されることを確認することを求める事項である。
なお、「閲覧しているウェブサイトに表示されるフォームに要機密情報を入力して送信する場合」とは、例えばウェブメール本文の入力欄に要機密情報を入力すること等を指す。
 遵守事項 8.1.1(4)(f)「当該ウェブサイトが送信先として想定している組織のものであること」についてブラウザで主体認証情報等を入力して送信する場合には、ウェブサーバの電子証明書の内容から当該ウェブサイトが想定している組織のものであることを確認するなどの方法により、適切でない送信先に当該情報を誤って送信することを回避する必要がある。
なお、ウェブサイトの閲覧時にウェブサーバの電子証明書が適切でない旨の警告ダ
イアログが表示された場合には、当該ウェブサイトがなりすましに利用されている可能性があるため、利用を中止する必要がある。
近年において被害が広がっている「フィッシング(Phishing)」と呼ばれる悪質な行為に対しても十分警戒する必要がある。フィッシングは、悪意ある第三者等が、実在する機関等からのお知らせであるかのように偽装した電子メールを送りつけ、受け取った者にその電子メールに記載された URL をクリックさせ、あらかじめ用意された偽のウェブサイトに誘導し、ID、パスワード、その他重要な情報を記入させて、情報を窃取するという行為である。このようなフィッシングの被害を避けるためにも、本項で示す対策を実施することが重要である。

245

遵守事項
(5) 識別コード・主体認証情報の取扱い(a) 行政事務従事者は、主体認証の際に自己に付与された識別コード以外の識別コー
ドを用いて情報システムを利用しないこと。
(b) 行政事務従事者は、自己に付与された識別コードを適切に管理すること。
(c) 行政事務従事者は、管理者権限を持つ識別コードを付与された場合には、管理者としての業務遂行時に限定して、当該識別コードを利用すること。
(d) 行政事務従事者は、自己の主体認証情報の管理を徹底すること。

【 基本対策事項 】＜8.1.1(5)(b)関連＞
8.1.1(5)-1 行政事務従事者は、自己に付与された識別コードを適切に管理するため、以下を含む措置を講ずること。
a) 知る必要のない者に知られるような状態で放置しない。
b) 他者が主体認証に用いるために付与及び貸与しない。
c) 識別コードを利用する必要がなくなった場合は、定められた手続に従い、識別コードの利用を停止する。
＜8.1.1(5)(d)関連＞
8.1.1(5)-2 行政事務従事者は、知識による主体認証情報を用いる場合には、以下の管理を徹底すること。
a) 自己の主体認証情報を他者に知られないように管理する。
b) 自己の主体認証情報を他者に教えない。
c) 主体認証情報を忘却しないように努める。
d) 主体認証情報を設定するに際しては、容易に推測されないものにする。
e) 異なる識別コードに対して、共通の主体認証情報を用いない。
f) 異なる情報システムにおいて、識別コード及び主体認証情報についての共通の組合せを用いない。
（シングルサインオンの場合を除く。
）
g) 情報システムセキュリティ責任者から主体認証情報を定期的に変更するように指示されている場合は、その指示に従って定期的に変更する。
8.1.1(5)-3 行政事務従事者は、所有による主体認証情報を用いる場合には、以下の管理を徹底すること。
a) 主体認証情報格納装置を本人が意図せずに使われることのないように安全措置を講じて管理する。
b) 主体認証情報格納装置を他者に付与及び貸与しない。
c) 主体認証情報格納装置を紛失しないように管理する。紛失した場合には、定められた報告手続に従い、直ちにその旨を報告する。
d) 主体認証情報格納装置を利用する必要がなくなった場合には、これを情報シス
テムセキュリティ責任者に返還する。

246

（解説）
 遵守事項 8.1.1(5)(a)「自己に付与された識別コード以外の識別コード」について自己に付与された識別コード以外の識別コードを使って、情報システムを利用する
ことは、合理的な理由が無い限り「なりすまし行為」である。仮に、悪意がなくても、他者の識別コードを使って情報システムを利用することは、許容されてはならない。
例えば、何らかの障害により自己の識別コードの使用が一時的に不可能になった場合には、まず、当該情報システムを利用して行おうとしている業務について、他者へ代行処理を依頼することを検討すべきであり、仮に他者の許可を得たとしても、他者の識別コードを使用することはあってはならない。要するに、行為が正当であるか否かにかかわらず、他者の識別コードを使って、情報システムを利用するということは制限されなければならない。
業務の継続のために、他者の識別コードを使うことが不可避の場合には、例外措置の手続を行う際に本人の事前の了解に加えて、情報システムセキュリティ責任者の承認を得ることが最低限必要である。また、他者の識別コードを使用していた期間とア
クセスの内容を、事後速やかに、情報システムセキュリティ責任者に報告しなければならない。情報システムセキュリティ責任者は、その理由と使用期間を記録に残すことによって、事後に当該識別コードを実際に使用していた者を特定できるように備えることが望ましい。
いずれの場合も、使用する識別コードの本人からの事前の許可を得ずに、その者の識別コードを使って、情報システムを利用することは禁止されるべきである。
 遵守事項 8.1.1(5)(c)「管理者としての業務遂行時に限定して」について
例えば、情報システムの OS が Windows であれば、管理者権限なしの識別コードと管理者権限ありの識別コードの両方を付与された場合において、端末の設定変更等の管理者権限が必要な操作をしないときには、管理者権限なしの識別コードを使用し、その一方、管理者権限が必要な操作をするときに限って管理者権限を使用するなどの運用が考えられる。
 基本対策事項 8.1.1(5)-1 a)「知る必要のない者に知られるような状態で放置しない」
について
多くの場合、識別コード単体は必ずしも秘密ではないが、必要以上の範囲に開示する、又は公然となるような状態で放置しないように求めている。
主体認証には、識別コードと主体認証情報の組合せが用いられる。識別コードの開示範囲を必要最小限に止めめることによって、第三者が不正に主体認証を行う可能性をより低くすることができる。そのため、識別コードを適切に管理することが必要である。
 基本対策事項 8.1.1(5)-1 b)「他者が主体認証に用いるために付与及び貸与しない」について「共用識別コード(基本対策事項 6.1.3(2)-3 を参照のこと。)」は、情報システムセキ
ュリティ責任者から各本人に個別に付与されるものであり、付与された者がそれをさ247

らに別の者に付与及び貸与してはならない。また、情報システムセキュリティ責任者が明示的に共用識別コードとしているもの以外の識別コードを共用してはならない。
 基本対策事項 8.1.1(5)-1 c)「定められた手続に従い、識別コードの利用を停止する」
について
識別コードを使用する必要がなくなった場合に、行政事務従事者自らが情報システ
ムセキュリティ責任者へ届け出ること等、定められた手続に従い、識別コードを使用できない状態に変更することを求めている。ただし、例えば、人事異動等によって、行政事務従事者の識別コードが大規模に変更となる場合や、その変更を情報システム
セキュリティ責任者が行政事務従事者自らからの届出によらず把握できる場合等、行政事務従事者自らの届出が不要となる条件を情報システムセキュリティ責任者が定めてもよい。
「自己の主体認証情報を他者に知られないように管理する」
 基本対策事項 8.1.1(5)-2 a)について
例えば、以下に挙げる他者からのパスワード窃取行為に注意する必要がある。
• パスワードを入力する際に他者が周囲から盗み見する。
• 他者が管理者を名乗ってパスワードを聞き出す。
また、以下に挙げる行為は行うべきではない。
• 自己のパスワードを、内容が分かる状態で付箋等に記入してモニタ、端末本体、及びその周辺に貼付する。
• 自己のパスワードを、特段の保護をせずに平文のままテキスト形式で保存する。
など、容易に他者に知られてしまう状態で、情報システム上に記録する。
 基本対策事項 8.1.1(5)-2 b)「自己の主体認証情報を他者に教えない」について
たとえ、他者に処理を代行させる目的であっても、行政事務従事者は自己の主体認
証情報を他者に教示してはならない。主体認証情報を他者に教示することによって、
情報システムの識別コードと実際の操作者との関係が曖昧になり、アクセス制御、権限管理、ログ管理その他のセキュリティ対策が効果を失う可能性がある。また、教示された者にとっても、例えば、当該識別コードによって不正行為が発生した場合は、その実行者として疑義を受ける可能性がある。そのため、自己の主体認証情報は他者に「教えない」ことを徹底すべきである。
 基本対策事項 8.1.1(5)-2 c)「主体認証情報を忘却しないように努める」について他者が容易に見ることができないような措置（施錠して保存するなど）や、他者が見ても分からないような措置（独自の暗号記述方式等）をしていれば、必ずしも、メ
モを取る行為を禁ずるものではない。むしろ、忘れることのないように努めなければならない。
なお、本人の忘却によって主体認証情報を初期化（リセット）する場合には、初期化が不正に行われたり、初期化された情報が本人以外に知られたりすることのないよ
うに情報システムを構築・運用することが望ましい。例えば、情報システムによる自動化により無人で初期化できるようにすることが、初期化情報の保護のみならず、運248

用の手間を低減することに役立つことについても勘案して検討すること等が考えられる。
 基本対策事項 8.1.1(5)-2 d)「容易に推測されないもの」について辞書に載っている単語、利用者の名前や利用者個人に関連する情報から簡単に派生させたもの等、容易に推測されるものを用いてはならない。また、使用する文字種として、数字だけでなく、アルファベットの大文字及び小文字、さらに特殊記号等も織り交ぜて主体認証情報を構成することが望ましい。
 基本対策事項 8.1.1(5)-2 e)「共通の主体認証情報を用いない」について複数の識別コードを付与されている場合に、それら識別コードに対して共通の主体
認証情報を用いると、一つの識別コードに対応する主体認証情報が漏えいした場合に、他方の識別コードを用いた不正アクセスを受ける危険性が高くなる。したがって、共通の主体認証情報を用いてはならない。
 基本対策事項 8.1.1(5)-2 f)「識別コード及び主体認証情報についての共通の組合せ」
について複数の情報システムにおいて、共通の識別コードを使用し、かつ、共通の主体認証
情報を設定していた場合、ある情報システムから漏えいした主体認証情報が他の情報システムで不正に使用されるという情報セキュリティインシデントが発生する。したがって、複数の情報システムにおいて、識別コード及び主体認証情報についての共通の組合せを使用しないようにしなければならない。特に、府省庁支給の情報システムと府省庁支給以外の情報システムとの間では、共通の識別コード及び主体認証情報を使用しないよう注意する必要がある。
 基本対策事項 8.1.1(5)-2 g)「主体認証情報を定期的に変更する」について定期的な変更の要求をシステムで自動化できることが望ましいが、技術的に困難な場合には、定期的に変更依頼を通達するなどの運用によって対処してもよい。
 基本対策事項 8.1.1(5)-3 a)「主体認証情報格納装置を本人が意図せずに使われることのないように」について
主体認証格納装置の例としては、建物への入退や端末ログインに必要となる IC カー
ド等が挙げられる。所有による主体認証方式では、本人でなくとも主体認証情報格納装置を保持する者が正当な主体として主体認証されるため、他者に当該装置を使用されることがないように適切に管理する必要がある。

249

遵守事項
(6) 暗号・電子署名の利用時の対策(a) 行政事務従事者は、情報を暗号化する場合及び情報に電子署名を付与する場合には、定められたアルゴリズム及び方法に従うこと。
(b) 行政事務従事者は、暗号化された情報の復号又は電子署名の付与に用いる鍵について、定められた鍵の管理手順等に従い、これを適切に管理すること。
(c) 行政事務従事者は、暗号化された情報の復号に用いる鍵について、鍵のバックアップ手順に従い、そのバックアップを行うこと。

【 基本対策事項 】規定なし（解説）
 遵守事項 8.1.1(6)(a)「定められたアルゴリズム及び方法に従う」について
情報システムにおいて、認められていないアルゴリズムを利用することを禁止しているものである。暗号アルゴリズムは、ファイル単体の暗号化やハードディスク全体の暗号化、ブラウザを使う通信の暗号化等、様々な場面で利用されていることから、利用する場面ごとに適切なアルゴリズムを適切な方法で利用する必要がある。
情報システムセキュリティ責任者は、行政事務従事者の暗号機能の利用において、認められていないアルゴリズムが利用されないよう、あらかじめ情報システムにおいて対処しておくことが望ましい。
 遵守事項 8.1.1(6)(b)「定められた鍵の管理手順等に従い、これを適切に管理する」について暗号化された情報の復号又は電子署名の付与に用いる鍵（以降本項において「鍵」という）の管理手順として、以下の内容が考えられる。
• 鍵の生成手順• 有効期限• 廃棄手順• 更新手順• 鍵が露呈した場合の対処手順• 保存手順
暗号化された情報の復号や電子署名の付与の際には、本人及び管理上必要のある者のみが知り得る秘密の情報を用いる必要があることから、適切に管理する必要がある。
情報システム共通として鍵の保存手順を定めている場合と、情報システムごとに鍵の保存手順を個別に定めている場合があるので、各情報システムに対応した手順に従うことが求められる。
 遵守事項 8.1.1(6)(c)「鍵のバックアップ手順に従い、そのバックアップを行う」について暗号化された情報の復号に用いる鍵の滅失により、情報の可用性が損なわれるおそ250

れがあることから、適切に鍵をバックアップすることを求めている。
バックアップが必要な鍵については、バックアップの取得又は第三者への鍵情報の預託に関する手順等の規定に従う必要がある。
また、バックアップしてはならない鍵や、鍵情報の複製が、その漏えいに係るリスクを高める可能性があるなどについても留意し、バックアップは必要最小限にとどめることも大切である。

251

遵守事項
(7) 不正プログラム感染防止(a) 行政事務従事者は、不正プログラム感染防止に関する措置に努めること。
(b) 行政事務従事者は、情報システムが不正プログラムに感染したおそれがあることを認識した場合は、感染した情報システムの通信回線への接続を速やかに切断するなど、必要な措置を講ずること。

【 基本対策事項 】＜8.1.1(7)(a)関連＞
8.1.1(7)-1 行政事務従事者は、不正プログラム対策ソフトウェアを活用し、不正プログラ
ム感染を回避するための以下措置に努めること。
a) 不正プログラム対策ソフトウェア等により不正プログラムとして検知された実行ファイルを実行しない。また、データファイルをアプリケーション等で読み込まない。
b) 不正プログラム対策ソフトウェア等に係るアプリケーション及び不正プログラム定義ファイル等について、これを常に最新の状態に維持する。
c) 不正プログラム対策ソフトウェア等による不正プログラムの自動検査機能を有効にする。
d) 不正プログラム対策ソフトウェア等により定期的に全てのファイルに対して、
不正プログラムの検査を実施する。
8.1.1(7)-2 行政事務従事者は、外部からデータやソフトウェアをサーバ装置及び端末等に取り込む場合又は外部にデータやソフトウェアを提供する場合には、不正プログラム
感染の有無を確認すること。
8.1.1(7)-3 行政事務従事者は、不正プログラムに感染するリスクを低減する情報システムの利用方法として、以下のうち実施可能な措置を講ずること。
a) 不審なウェブサイトを閲覧しない。
b) アプリケーションの利用において、マクロ等の自動実行機能を無効にする。
c) プログラム及びスクリプトの実行機能を無効にする。
d) 安全性が確実でないプログラムをダウンロードしたり実行したりしない。
（解説） 遵守事項 8.1.1(7)(a)「不正プログラム感染防止に関する措置に努める」について
情報システムの利用に当たっては、行政事務従事者自らが不正プログラム感染の予防に努めなければならない。また、不正プログラム対策ソフトウェアが全ての不正プ
ログラムを検知できるとは限らないことを念頭に入れ、不正プログラムに感染するリスクを低減するために、可能な措置の実施に努める必要がある。

252

 遵守事項 8.1.1(7)(b)「通信回線への接続を速やかに切断するなど、必要な措置を講ずる」について不正プログラムに感染したおそれがある情報システムについては、他の情報システ
ムへの感染等の被害の拡大を防ぐ必要がある。当該情報システムを構成するサーバ装
置又は端末が通信回線に接続している場合には、それを切断するなど感染拡大を防止する措置を行い、2.2.4 項「情報セキュリティインシデントの対処」に定められた報告や連絡等の対処を行うことが求められる。
不正プログラムに感染したおそれのある場合の対処について、手順が規定されている場合、その内容に従う必要がある。
 基本対策事項 8.1.1(7)-1 a)「実行ファイルを実行しない」について
不正プログラムとして検知された実行ファイルを実行した場合には、たとえ他の情報システムへ感染を拡大させることがなくても、復旧に相当な労力を要することとな
るため、このような実行ファイルを実行しないよう努めなければならない。
 基本対策事項 8.1.1(7)-1 b)「最新の状態に維持する」について
一般的に不正プログラムはほぼ毎日のように新種や亜種が出現しているため、不正プログラム対策ソフトウェア等のアプリケーション及び不正プログラム定義ファイル等を更新機能や更新プログラムにより最新の状態に維持することで、不正プログラム等に感染することを回避する必要がある。自動的に最新化する機能を持つ製品については、当該機能を利用することにより最新状態の維持が可能になる。
また、最新の状態に維持する方法としては、端末ごとに利用者が自動化の設定をする方法のほか、情報システムセキュリティ責任者等が管理する端末を一括して自動化する方法もあるため、情報システムごとに定められた方法に従うこと。
 基本対策事項 8.1.1(7)-1 c)「自動検査機能を有効にする」について手動による対策実施は、実施漏れや遅れが発生する可能性があるため、不正プログ
ラム対策の中で自動化が可能なところは自動化することが望ましい。
自動検査機能の例としては、ファイルの作成や参照のたびに検査を自動的に行う機能等がある。
 基本対策事項 8.1.1(7)-1 d)「不正プログラムの検査を実施する」について
基本対策事項 8.1.1(7)-1 c)の自動検査機能が有効になっていたとしても、検査した時
点における不正プログラム定義ファイルでは検知されない不正プログラムに感染している危険性が残る。このような危険性への対策として、定期的に全てのファイルについて検査する必要がある。
 基本対策事項 8.1.1(7)-2「外部からデータやソフトウェアをサーバ装置及び端末等に取り込む場合又は外部にデータやソフトウェアを提供する場合」について
外部とやり取りするデータやソフトウェアには、ウェブの閲覧や電子メールの送受
信等のネットワークを経由するもののほか、USB メモリや CD-ROM 等の外部電磁的記録媒体を経由するものも含む。
253

不正プログラムの自動検査による確認ができていればそれで差し支えない。

254

府省庁支給以外の端末の利用

8.2

8.2.1 府省庁支給以外の端末の利用
目的・趣旨
行政事務の遂行においては、府省庁から支給された端末を用いて行政事務を遂行すべきである。しかしながら、出張や外出等の際に、やむを得ず府省庁支給以外の端末を利用して情報処理を行う必要が生じる場合がある。この際、当該端末は府省庁が支給したものではないという理由で、行政事務従事者へ情報セキュリティ対策の実施を求めなかった場合、当該端末で取り扱われる情報セキュリティ水準が、府省庁対策基準を満たさないおそれがある。
したがって、そのような可能性がある場合は、府省庁支給以外の端末を行政事務従事者が安全に利用するための手続や安全管理措置の規定をあらかじめ整備し、府省庁における厳格な管理の下で利用させることが必要である。
また、府省庁支給以外の端末であっても、府省庁から支給されるモバイル端末と同等の情報セキュリティ水準の確保が求められることから、7.1.1 項「端末」も参照し、同等の安全管理が実施されるよう、規定を整備し、行政事務従事者に安全管理措置を講じさせる必
要がある。

遵守事項
(1) 府省庁支給以外の端末の利用規定の整備・管理(a) 統括情報セキュリティ責任者は、府省庁支給以外の端末により行政事務に係る情報処理を行う場合の許可等の手続に関する手順を定めること。
(b) 統括情報セキュリティ責任者は、要機密情報について府省庁支給以外の端末により情報処理を行う場合の安全管理措置に関する規定を整備すること。
(c) 情報セキュリティ責任者は、府省庁支給以外の端末による行政事務に係る情報処理に関する安全管理措置の実施状況を管理する責任者を定めること。
(d) 前号で定める責任者は、要機密情報を取り扱う府省庁支給以外の端末について、端末の盗難、紛失、不正プログラム感染等により情報窃取されることを防止するための措置を講ずるとともに、行政事務従事者に適切に安全管理措置を講じさせること。

【 基本対策事項 】＜8.2.1(1)(a)(c)関連＞
8.2.1(1)-1 統括情報セキュリティ責任者は、以下を例に府省庁支給以外の端末を利用する
際の許可等の手続に関する手順を整備し、行政事務従事者に周知すること。
a) 以下を含む府省庁支給以外の端末利用時の申請内容• 申請者の氏名、所属、連絡先• 利用する端末の契約者の名義（スマートフォン等の通信事業者と契約を行

255

う端末の場合）• 利用する端末の機種名• 利用目的、取り扱う情報の概要、機密性３情報の利用の有無等• 主要な利用場所• 利用する主要な通信回線サービス• 利用する期間b) 利用許諾条件c) 申請手順d) 利用期間中の不具合、盗難・紛失、修理、機種変更等の際の届出の手順e) 利用期間満了時の利用終了又は利用期間更新の手続方法f) 許可権限者（遵守事項 8.2.1(1)(c)において定める、府省庁支給以外の端末の安全管理措置の実施状況を管理する責任者（以下、この項において「端末管理責任者」という。
））＜8.2.1(1)(b)関連＞
8.2.1(1)-2 統括情報セキュリティ責任者は、府省庁支給以外の端末により要機密情報を取り扱う場合は、行政事務従事者が講ずるべき安全管理措置の実施手順について、以下を例に整備すること。
a) パスワード等による端末ロックの常時設定b) OS やアプリケーションの最新化
c) 不正プログラム対策ソフトウェアの導入及び定期的な不正プログラム検査の実
施（府省庁として不正プログラム対策ソフトウェアを指定する場合は当該ソフ
トウェアの導入も含める）
d) 遠隔データ消去機能の設定e) 要機密情報の暗号化等による秘匿性の確保
f) 端末内の要機密情報の外部サーバ等へのバックアップの禁止（安全管理措置として定める場合は職務上取り扱う情報のバックアップ手順を別途考慮する必要がある）
g) 府省庁提供の業務専用アプリケーションの利用（専用アプリケーションを提供する場合のみ）h) 以下を例とする禁止事項の遵守• 端末、OS、アプリケーション等の改造行為• 安全性が確認できないアプリケーションのインストール及び利用• 利用が禁止されているソフトウェアのインストール及び利用• 許可されない通信回線サービスの利用（利用する回線を限定する場合）• 第三者への端末の貸与＜8.2.1(1)(d)関連＞
8.2.1(1)-3 情報システムセキュリティ責任者は、府省庁支給以外の端末により要機密情報を取り扱う府省庁の情報システムにリモートアクセスする環境を構築する場合、基盤となる情報システムにより各府省庁に提供されるリモートアクセス環境が利用可能で256

あれば活用し、端末の盗難・紛失や不正プログラム感染等により情報窃取されることを防止するために、以下を例とする対策を講ずること。
a) シンクライアント等の仮想デスクトップ技術を活用した、端末に情報を保存させないリモートアクセス環境を構築する。利用者は専用のシンクライアントア
プリケーションを利用端末にインストールし、業務用システムへリモートアク
セスする。
b) セキュアブラウザ等を活用した、端末に情報を保存させないリモートアクセス
環境を構築する。利用者はセキュアブラウザを利用端末にインストールし、業
務用システムへリモートアクセスする。
c) ファイル暗号化等のセキュリティ機能を持つアプリケーションを活用したリモートアクセス環境を構築する。利用者は専用のアプリケーションを利用端末にインストールし、業務用システムへリモートアクセスする。
（解説） 遵守事項 8.2.1(1)(a)「許可等の手続に関する手順」について
府省庁支給以外の端末の利用に当たっては、目的・趣旨にも記載されているとおり、
厳格な管理を行うことが不可欠である。利用に関する手続や安全管理措置を定めて、行政事務従事者にそれを適切に講じさせないと、以下のようなリスクが想定される。
• 不正プログラムに感染し、要機密情報が外部に漏えいする。
• 端末の盗難・紛失等により、要機密情報が外部に漏えいする。
• 利用者の知識不足により、利用者の意図に反して要機密情報が海外のクラウドに保存され、第三者に閲覧される。
• 家族や知人の端末操作により端末内の要機密情報が外部に漏えいする。
府省庁支給以外の端末の利用を許可するに当たり、府省庁としての利用方針を定めておくことが望ましい。個別判断により府省庁支給以外の端末の利用を認めてしまうと、上記のリスクが顕在化する可能性が高いことから、府省庁支給以外の端末の利用を認めるのであれば、府省庁としての利用方針の下、厳格な管理を行う必要がある。
府省庁支給以外の端末の利用方針として、例えば以下の事項の明確化が考えられる。
• 利用を許可する部局・課室等の組織の単位• 利用を許可する職員の条件• 利用を許可する端末の種類（スマートフォン、携帯電話、PC 等）• 利用する機能（電子メール及びウェブ閲覧に限定 等）
また、府省庁支給以外の端末の利用に際して、利用する通信回線やサーバ装置等、
情報システム全体として情報セキュリティを確保することが重要であることから、リモートアクセス環境や端末の安全管理措置について、システム機能として提供することも考慮すべきである。
スマートフォン等のモバイル端末の業務利用形態として一般的な、民間事業者等が提供するクラウドサービスを利用する場合は、約款による外部サービスの利用に該当するため、本項に加えて 4.1.2 項「約款による外部サービスの利用」についても考慮す
257

る必要がある。
なお、府省庁において府省庁支給以外のスマートフォン等を利用する場合の基本的な考え方、私物端末利用に当たって考慮すべきリスク、代表的な私物端末の管理対策
及び技術対策については、以下の政府機関における取組を参考にするとよい。さらに、民間団体等においても、私物端末の安全な利用方法について有効な資料が公表されているので、併せて考慮されたい。
参考：各府省情報化統括責任者（CIO）補佐官等連絡会議ワーキンググループ報告「私物端末の業務利用におけるセキュリティ要件の考え方」（平成 25 年 3 月）（http://www.kantei.go.jp/jp/singi/it2/cio/hosakan/wg_report/index.html）
参考：総務省スマートフォン・クラウドセキュリティ研究会最終報告「スマートフォンを安心して利用するために実施されるべき方策」（平成 24 年 6 月 26 日）（http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000020.html）
 遵守事項 8.2.1(1)(b)・基本対策事項 8.2.1(1)-2「安全管理措置」について
府省庁支給以外の端末を業務に利用することを認めるのであれば、当該府省庁支給以外の端末が不正プログラムの感染源や情報の漏えいの要因とならないようにすべきであり、取り扱う情報の格付及び取扱制限に関わらず、情報セキュリティ確保のための安全管理措置を行政事務従事者に講じさせることが必要である。
なお、行政事務従事者が講ずるべき安全管理措置が不十分であることが十分考えられるため、基本対策事項 8.2.1(1)-3 に示すシステム機能による情報セキュリティ対策により、一定のリスクを低減した上で行政事務従事者に利用させる方法を実施することが望ましい。
 遵守事項 8.2.1(1)(c)「安全管理措置の実施状況を管理」について
府省庁支給以外の端末を行政事務従事者が利用するに当たって、申請時に安全管理措置の実施状況について端末を目視確認する方法や、定期的な実施状況の確認を管理者にて行うことをあらかじめ定めておく方法等が考えられる。管理工数の増加が懸念される場合は、サンプリングによる確認や定期的な注意喚起を利用者に行うなどの方法で管理作業の効率化を図ることも考えられる。
 遵守事項 8.2.1(1)(c)「責任者」について
府省庁支給以外の端末の安全管理措置の実施状況を管理する責任者であり、PC やス
マートフォン等に対して一定以上の知見を有している者がその任に当たることが望ましい。例えば、府省庁 LAN システムの情報セキュリティ責任者等が考えられる。ただし、行政事務従事者の安全管理措置の実施状況について適時状況を把握することが求められるため、課室情報セキュリティ責任者が兼ねることも考えられる。
 基本対策事項 8.2.1(1)-1 a)「利用する端末の契約者の名義」について
契約者の名義の提示を求めるのは、業務に使用する端末の名義人と使用人の一致を確認するためである。端末の名義人が端末の利用に係る契約者であり、業務への使用
258

や通信費用に係る訴訟リスクを回避するためには、利用申請時に使用人と名義人が一致していることの確認が必要である。
なお、名義人と使用人である申請者が同一であることを利用条件とする場合は、名義人の確認を求める必要はない。
 基本対策事項 8.2.1(1)-1 a)「利用する期間」について
府省庁支給以外の端末を利用する際に、利用の都度申請手続を行うと事務処理が煩雑化する可能性があるため、例えば１年間の利用期間を定め、包括的な許可を与えるなどして事務処理を効率化する方法も考えられる。この場合は、安全管理措置の実施状況について定期的なチェックを行うなどの対応が求められる。
 基本対策事項 8.2.1(1)-1 b)「利用許諾条件」について
行政事務従事者に府省庁支給以外の端末の利用を許可するに当たり、以下の内容を例とした利用許諾条件を示し、許諾書にサインするなどして利用者の同意を証拠として残しておく必要がある。
• 情報の格付及び取扱制限に応じた取扱いの遵守• 定められた安全管理措置の遵守• 組織による利用状況の情報収集の承諾• 組織による利用端末の制御及び端末の設定変更の承諾• 盗難・紛失時に個人の情報を含めた遠隔データ消去を行うことの承諾（職務上取り扱う情報のみ遠隔消去可能なツールを導入する場合は不要）• 情報セキュリティインシデント発生時の迅速な届出• 機種変更や端末交換の際の再届出の遵守• その他、情報システムセキュリティ責任者等の管理責任者の指示の遵守
 基本対策事項 8.2.1(1)-1 f)「許可権限者」について
府省庁支給以外の端末の利用の許可申請においては、許可権限者である端末管理責
任者の許可を得ることになるが、必要に応じて取り扱う情報の管理責任を持つ課室情報セキュリティ責任者の許可を同時に得る手続を定めるとよい。また、リモートアク
セスにより府省庁の情報システムへのアクセスを行わせる場合には、当該情報システ
ムを所管する情報システムセキュリティ責任者の許可を得る手続を併せて定めることも考えられる。
（課室情報セキュリティ責任者又は情報システムセキュリティ責任者への許可申請については、遵守事項 8.2.1(2)(a)で規定。）
 基本対策事項 8.2.1(1)-2 c)「不正プログラム対策ソフトウェアの導入」について
OS の構造等により、不正プログラム対策ソフトウェアが提供されていない、又は部
分的にしか対策機能が有効でないスマートフォンや携帯電話等の利用については、通信事業者によって事前に安全性が確認されたアプリケーションのみ当該端末へダウンロード可能とされているなどの別の方法で安全性を確保する必要がある。
 基本対策事項 8.2.1(1)-2 d)「遠隔データ消去機能」について「（解説）基本対策事項 7.1.1(1)-4f)「遠隔データ消去機能」について」を参照のこと。
259

 基本対策事項 8.2.1(1)-2 e)「要機密情報の暗号化等による秘匿性の確保」について
府省庁支給以外の端末に要機密情報を保存して業務を行う場合は、端末に保存する情報を暗号化して盗難・紛失時の情報漏えいのリスクを低減する必要がある。情報へのアクセス権を管理する方法もあるが、記憶媒体の内容を直接読み出されるなどの手法でアクセス権管理機構を回避されるリスクが残るため、要機密情報は暗号化して保存することが望ましい。遠隔データ消去機能を補助的な機能として組み合わせると効果的である。
また、安全性を確保するためには暗号化に用いる鍵の管理が重要になる。端末紛失
時に端末内に鍵や、鍵を生成するために必要な全ての情報を保持していると暗号化したデータを復号されるリスクがある。
したがって、業務利用していないときはこれらを保持しないなど、鍵の漏えいリス
クが低減されるような管理の仕組みを持つ以下の例のようなツールを導入するとよい。
<例> 暗号化する範囲を業務領域に限定しパスワードを入力するタイミングを業務
システムへのログイン時、パスワードを基に生成した鍵を消去するタイミングをログ
アウト時(又はタイムアウト時)とする。
なお、基本対策事項 8.2.1(1)-3 に示すリモートアクセス環境を府省庁として整備し、当該環境以外での要機密情報の取扱いを禁止すれば、行政事務従事者による安全管理措置が不要になる。
 基本対策事項 8.2.1(1)-2 h)「端末、OS、アプリケーション等の改造行為」について
iOS における Jailbreak や Android における root 化のように、ソフトウェア等の改造が行われた端末は外部からの攻撃の的となりやすく、不正パケットの受信によって不正プログラムに感染したり、端末が乗っ取られたりする危険性が高くなる。
このような改造された端末が業務に使用されると、端末に保存された情報が漏えいするなどの情報セキュリティインシデントが発生する可能性があるため、府省庁支給以外の端末を利用する際は、事前に端末、OS、アプリケーション等の改造行為を行わないことについて、行政事務従事者と同意しておくことが重要である。
私物のスマートフォンを業務利用することを目的とした、MDM（Mobile Device
Management）ツール等を府省庁のリモートアクセス環境と組み合わせ、改造された端末を検知するなどして、システム的に改造端末の使用を回避する方法も考えられる。
 基本対策事項 8.2.1(1)-2 h)「安全性が確認できないアプリケーション」について
スマートフォンにおいては、専用のアプリケーション提供サイト等からオンデマン
ドでアプリケーションをダウンロードする利用形態が一般的であるが、不正プログラム等が混在する提供サイトの存在が懸念されるため、業務に利用する私物のスマートフォン等においては安全性が不明なアプリケーションがインストールされた状態で利用されることがないように、例えば OS 提供事業者や通信事業者等がアプリケーションの安全性の審査を行っている信頼性の高いアプリケーション提供サイトにて提供されるアプリケーションのみに利用を限定すること等を対策にするとよい。ただし、大手の事業者であっても安全なアプリケーションを提供しているとは限らないので、提供サイトを運営する事業者のセキュリティ対策水準を十分見極めた上で判断することが260

求められる。
スマートフォンを安全に利用するための留意事項として、OS の最新化及び不正プロ
グラム対策とともに注意喚起されているので、参考にすること。
参考：総務省「スマートフォン情報セキュリティ３カ条」（スマートフォン・クラ
ウドセキュリティ研究会中間報告）（平成 23 年 12 月 19 日公表）
（http://www.soumu.go.jp/menu_news/s-news/01ryutsu03_02000015.html）
 基本対策事項 8.2.1(1)-2 h)「利用が禁止されているソフトウェア」について遵守事項 7.1.1(1)(c)の対策として、府省庁支給の端末において規定される利用を禁止するソフトウェアと同等であることが考えられるが、例えば個人利用の範囲を必要以上に制限しないよう考慮する必要がある。
 基本対策事項 8.2.1(1)-2 h)「許可されない通信回線サービスの利用」について
公衆無線 LAN サービスのうち無線経路の秘匿性や安全性が不明なものや接続経路の管理状況が不明な無料のインターネット接続サービス等は、通信内容の盗聴やなりす
ましによる情報の窃取等のおそれがあり、このような情報セキュリティ水準が不明な
通信回線は業務に利用すべきではない。ただし、海外等で、情報セキュリティ水準が不明な通信回線サービスを利用せざるを得ない場合が想定されることから、例えば、
情報システムへのリモートアクセス経路において VPN 回線を設定し end-end の秘匿性を確保するなどの方法を用いるとよい。
なお、無線 LAN の利用に関する対策については、7.3.1 項「通信回線」の「(5) 無線
LAN 環境構築時の対策」の内容を併せて考慮する必要がある。
 基本対策事項 8.2.1(1)-2 h)「第三者への端末の貸与」について
家族や知人に私物の端末等を貸与することがあるが、その際に意図的に機密性の高い情報を閲覧したり又は誤操作により機密性の高い情報を外部に転送してしまったりすることが懸念される。
私物端末であっても業務に利用するのであれば、第三者への貸与は原則禁止すべきであり、それに同意できない行政事務従事者には私物端末を利用させるべきではない。
 基本対策事項 8.2.1(1)-3「情報システムセキュリティ責任者」について
本基本対策事項にて指定している情報システムセキュリティ責任者は、府省庁 LAN
システム等のリモートアクセス先の情報システムを所管する情報システムセキュリティ責任者である。
遵守事項 8.2.1(1)(c)に従って定められる“府省庁支給以外の端末の安全管理措置の実施状況を管理する責任者”に対して、遵守事項 8.2.1(1)(d)において、府省庁支給以外の端末の盗難・紛失や不正プログラム感染等により情報窃取されることを防止するための措置を講ずることを求めているが、当該措置の例として、府省庁 LAN システムへの安全なリモートアクセス環境があらかじめ提供されている場合に、これを活用することを想定している。

261

 基本対策事項 8.2.1(1)-3 a)「シンクライアント等」について
端末に情報を保存させずに府省庁支給以外の端末を業務利用することを可能とする仕組みとして、シンクライアントやリモートデスクトップと呼ばれる技術の活用が有効である。シンクライアントやリモートデスクトップ関連の製品やソリューションサ
ービスは、既に市場において提供されているが、外部のクラウドサービスを組み合わせて利用する場合は、4.1.1 項「外部委託」又は 4.1.2 項「約款による外部サービスの利用」についても参照する必要がある。
なお、当該機能については、府省庁支給のモバイル端末においても利用することが可能であることから、府省庁支給のモバイル端末及び府省庁支給以外の端末を業務利用において共存させたい場合でも有効な対策となる。
＜シンクライアントの主な機能及び特徴＞• 業務ネットワーク内の仮想デスクトップ画面を転送• ユーザデータを端末に残さない• ウェブキャッシュ、接続情報、作業履歴等全てサーバ内に保管• 外部情報出力（クリップボードへのコピー、スクリーンショット、印刷、他ア
プリケーション連携）を抑制可能

図 8.2.1-1 シンクライアントのシステム構成例
 遵守事項 8.2.1(1)-3 b)「セキュアブラウザ等」について
端末に情報を保存させずに府省庁支給以外の端末を業務利用する別の仕組みとして、
セキュアブラウザを選択することも可能である。
セキュアブラウザ製品についても、各種クラウドサービスと組み合わせたソリュー
ションとして提供される場合があることから、外部の情報処理サービスを組み合わせて利用する場合は、4.1.1 項「外部委託」又は 4.1.2 項「約款による外部サービスの利用」についても参照する必要がある。
当該の仕組みについても、府省庁支給のモバイル端末においても利用することが可能である。
＜セキュアブラウザの主な機能及び特徴＞• 電子メール、ファイル閲覧等を画面転送等で行い、ユーザデータを端末に残さない262

• ブラウザ終了時に閲覧に関連する情報(ウェブキャッシュ、URL、cookie 等)を消去可能
• 外部出力(クリップボードへのコピー、スクリーンショット、印刷、他アプリケーション連携)を抑制可能

図 8.2.1-2 セキュアブラウザ活用型ソリューションのシステム構成例
なお、当該機能については、府省庁支給のモバイル端末においても利用することが可能であることから、府省庁支給のモバイル端末及び府省庁支給以外の端末を共存させたい場合において有効な対策となる。
 基本対策事項 8.2.1(1)-3 c)「ファイル暗号化等のセキュリティ機能を持つアプリケー
ション」について通信回線との接続環境が無い場所で業務を行うなど、やむを得ず情報を端末に保存させる必要がある場合は、セキュアブラウザやシンクライアントは利用できないことから、他の方法で安全な利用環境の提供を考える必要がある。この場合は、府省庁支給以外の端末にファイル暗号化等のセキュリティ機能を持つ業務専用のアプリケーシ
ョンを搭載し、アプリケーション単位で情報を暗号化するなどの方法が考えられる。
当該機能を有するセキュリティソリューションが製品として民間事業者より提供されていることから、それらの活用を検討するとよい。

263

図 8.2.1-3 ファイル暗号化等セキュリティ機能を持つアプリケーションを活用したシステム構成例
なお、当該機能については、府省庁支給のモバイル端末においても利用することが可能であることから、府省庁支給のモバイル端末及び府省庁支給以外の端末を共存させたい場合において有効な対策となる。

264

遵守事項
(2) 府省庁支給以外の端末の利用時の対策(a) 行政事務従事者は、府省庁支給以外の端末により行政事務に係る情報処理を行う
場合には、遵守事項 8.2.1(1)(c)で定める責任者の許可を得ること。
(b) 行政事務従事者は、要機密情報を府省庁支給以外の端末で取り扱う場合は、課室
情報セキュリティ責任者の許可を得ること。
(c) 行政事務従事者は、府省庁支給以外の端末により行政事務に係る情報処理を行う
場合には、府省庁にて定められた手続及び安全管理措置に関する規定に従うこと。
(d) 行政事務従事者は、情報処理の目的を完了した場合は、要機密情報を府省庁支給以外の端末から消去すること。

【 基本対策事項 】規定なし（解説）
 遵守事項 8.2.1(2)(b)「課室情報セキュリティ責任者の許可を得る」について
行政事務従事者は、府省庁支給以外の端末の利用を開始するに当たり、府省庁支給以外の端末の許可権限者に対して許可申請を行うことになるが、当該申請以外に、府
省庁支給以外の端末を用いて行う業務及び取り扱う情報の管理責任者である課室情報セキュリティ責任者に対して許可を求める必要がある。
 遵守事項 8.2.1(2)(c)「安全管理措置に関する規定に従う」について
行政事務従事者は、府省庁支給以外の端末の利用に係る府省庁全体のポリシーをよく理解し、安全管理措置を徹底し、情報セキュリティインシデントの発生を回避しなければならない。特にスマートフォン等の利用については、その特性に応じたリスクを利用者である行政事務従事者自身もよく理解した上で利用することが求められる。
 遵守事項 8.2.1(2)(d)「要機密情報を府省庁支給以外の端末から消去する」について
要機密情報を消去することは必須であるが、不必要な情報及び業務用のアプリケー
ション等についても併せて消去しておくことが望ましい。

265

付録
情報セキュリティ対策に関する政府決定等

1.

〔政府決定〕
・国の行政機関における情報システム関係業務の外注の推進について（平成 12 年３月 31
日行政情報システム各省庁連絡会議了承）
・各省庁の調達におけるセキュリティ水準の高い製品等の利用方針（平成 13 年３月 29 日
行政情報化推進各省庁連絡会議了承）
・各府省の情報システム調達における暗号の利用方針（平成 15 年２月 28 日

行政情報シ

ステム関係課長連絡会議了承）
・国家公務員身分証明書の IC カード化（平成 16 年２月６日 e-Japan 戦略 II 加速化パッケージ）
・行政情報の電子的提供に関する基本的考え方（指針）（平成 16 年 11 月 12 日 各府省情報化統括責任者（CIO）連絡会議決定）
・業務・システム最適化指針（ガイドライン）（平成 18 年３月 31 日 各府省情報化統括責任者（CIO）連絡会議決定）
・電子政府推進計画（平成 18 年８月 31 日 各府省情報化統括責任者（CIO）連絡会議決
定）・情報システムに係る政府調達の基本指針（平成 19 年３月１日 各府省情報化統括責任者（CIO）連絡会議決定）
・中央省庁業務継続ガイドライン 第１版（平成 19 年６月 内閣府）
・行政文書の管理の徹底について（平成 19 年 12 月 14 日 関係省庁連絡会議申合せ）
・今後の行政文書の管理に関する取組について（平成 20 年 11 月 25 日 行政文書・公文書等の管理・保存に関する関係省庁連絡会議申合せ）
・オンライン手続におけるリスク評価及び電子署名・認証ガイドライン（平成 22 年８月 31
日

各府省情報化統括責任者（CIO）連絡会議決定）266

・政府におけるサイバー攻撃等への対処態勢の強化について（平成 22 年 12 月 27 日 情報
セキュリティ対策推進会議・危機管理関係省庁連絡会議合同会議申合せ）
・中央省庁における情報システム運用継続計画ガイドライン（平成 23 年３月 内閣官房情報セキュリティセンター）
・情報システムに係る政府調達におけるセキュリティ要件策定マニュアル（平成 23 年３月
30 日 内閣官房情報セキュリティセンター）
・調達における情報セキュリティ要件の記載について（平成 24 年１月 24 日
長官から各省庁大臣官房長等あて）〔法律〕
・行政機関の保有する情報の公開に関する法律（平成 11 年法律第 42 号）
・行政機関の保有する個人情報の保護に関する法律（平成 15 年法律第 58 号）
・公文書等の管理に関する法律（平成 21 年法律第 66 号）
注）詳細については、原文を参照すること。

267

内閣官房副