SBDマニュアル～活用事例の紹介～

2015年5月21日
内閣サイバーセキュリティセンター（NISC）
Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)

スライド 1

活用例①行政情報提供システム（行政情報（機密性１）をウェブページに公開）②国民参加型政策立案システム（国民からインターネットで意見を公募）③電子申請・届出システム（インターネットを介して国民からの各種申請・届出手続きを処理）④省内イントラネットシステム（省内掲示板システム）（機密性の高くない情報を省内限定で利用）

Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)

スライド 2

活用例①行政情報提供システム：ステップ１～４• 行政情報（機密性１）をウェブページに公開する、一般的な行政情報提供のためのWEBページシステムを想定する。
主体
国民業務
行政情報の閲覧

事務局

行政情報の登録業務（細分化後）の概要
行政情報を表示し、内容を確認する。
サーバにコンテンツ（行政情報）を登録する。
サーバに登録済みのコンテンツ（行政情報）を更新及び削除する。

情報「行政情報」「行政情報」

利用環境・手段イン タ ー ネ ット 、 PC 、 携 帯 電 話 、 ス
マートフォン、タブレット端末
内部ネットワーク、業務用PC「行政情報」※システム運用者は省略

内部ネットワーク

事務局

行政情報提供システム

国民【登録・管理】
・「行政情報」【管理】・「行政情報」【閲覧】・「行政情報」【環境】
PC、携帯電話、スマートフォン、タブレット端末等

システム
運用者
・「行政情報」

インターネット

【環境】
業務用PC

【利用状況の把握】
・「利用統計」【監視・追跡】
・「アクセスログ」【バックアップ】
・「システムデータ」

【環境】
管理用PC

管理用LAN

Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)

スライド 3

活用例①行政情報提供システム：ステップ５ 判断条件による検討•

整理した業務要件や判断条件の解説等を参考に、６つの設問に「○」「×」の二択で回答する
名称観点分類判断条件

A. 外部ア 利用環境
クセスの ・手段有無

インターネット等の通信回線を介して（情報の管理ポリシが異なる）外部から情報システムにアクセスしてサービスの利用、業務の遂行、情報システムの管理等を行うか。

B. 情報の重要度

情報

C. 情報保存時の安全性
D. 利用者の限定
要否
E. アカウン
トの多様性
F. 複 数 部
局による利用情報漏えいした場合や正常にアクセスできない場合に、深刻な損害を被る可能性がある重要性の高い情報を取り扱うか。
入退室管理等の物理対策だけでなく、情報システムが保存する情報についてより一層の安全を期すために追加的対策をさらに行うべきと考えるか。
情報システムにアクセスする主体は、利用資格のある者、職員、グループのメンバー等の特定の者に限定されるか。

主体主体

主体

利用者によって利用可能なサービスや業務が異なる等、利用者の特徴にバリエーションがあるか。
情報の取り扱い方や利用目的等が異なる複数の部局等の間で共用されるか。

判断結果
○×

××

判断結果の解説
インターネットを介して情報システ
ムにアクセスされる
扱う情報は公開情報（機密性１）であり、重要性の高い情報は取り扱わない
情報の重要性は低く、サーバ上での保存のみ（モバイルPCによる情報処理等なし）のため、不要システムへアクセスする利用者（国民）※は特定の者に限定されない
想定されない×
想定されない×※管理者は除く（管理者権限の保護対策は必ず要件に含まれる）

Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)

スライド 4

活用例②国民参加型政策立案システム ステップ１～４• 国民からインターネットで政策に関する意見を公募するような、国民参加型政策立案システムを想定する。
主体業務

業務（細分化後）の概要

情報

国民政策に関する 個人情報を登録して、サービスの利用資格を得る。
意見・コメントの投稿
新規の意見や他者の意見に対するコメントの投稿及び投票を行う。
意見やコメントを検索し、閲覧する。

事務局

政策に関する情報提供及び利用者の管理意見に対する事務局回答の投稿及び不適切な意見の削除を行う。
サービス停止や注意事項等の利用者に対する周知を行う。
利用者の登録情報の確認、修正、等の管理業務を行う。

利用環境・手段「個人情報」 （氏名、ニックネーム、性別、年齢、職種、連絡先等）「意見」「コメント」（タイトル、本文、投稿者名、投稿日時等）「意見」「コメント」（タイトル、本文、投稿者名、投稿日時等）「回答」（本文、投稿者名、投稿日時等）「お知らせ文面」

PC、携帯電話、スマートフォン、インターネット
PC、内部ネットワーク「個人情報」 （氏名、ニックネーム、性別、年齢、職種、連絡先等）※システム運用者は省略

内部ネットワーク

国民【環境】
PC、携帯電話、スマートフォン等【利用登録】
・「個人情報」【投稿・投票】
・「意見」「コメント」

国民参加型
政策立案
システム

【利用者の管理】・「個人情報」

事務局【環境】 PC

システム
運用者

【閲覧】
・「意見」「コメント」
・「意見」「コメント」
・「個人情報」
・「履歴」

インターネット【回答・修正】・「回答」【周知】
・「お知らせ文面」【利用状況の把握】
・「利用統計」【監視・追跡】
・「履歴」【バックアップ】
・「システムデータ」

Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)【環境】 PC
管理用LANスライド 5

活用例②国民参加型政策立案システム：ステップ５ 判断条件による検討•

整理した業務要件や判断条件の解説等を参考に、６つの設問に「○」「×」の二択で回答する
名称

観点分類

判断条件

A. 外部ア 利用環境
クセスの ・手段有無

インターネット等の通信回線を介して（情報の管理ポリシが異なる）外部から情報システムにアクセスしてサービスの利用、業務の遂行、情報システムの管理等を行うか。

B. 情報の重要度

情報

C. 情報保存時の安全性
D. 利用者の限定要否
E. アカウン
トの多様性
F. 複 数 部
局による利用情報漏えいした場合や正常にアクセスできない場合に、深刻な損害を被る可能性がある重要性の高い情報を取り扱うか。
入退室管理等の物理対策だけでなく、情報システムが保存する情報についてより一層の安全を期すために追加的対策をさらに行うべきと考えるか。
情報システムにアクセスする主体は、利用資格のある者、職員、グループのメンバー等の特定の者に限定されるか。

主体

主体

主体

利用者によって利用可能なサービスや業務が異なる等、利用者の特徴にバリエーションがあるか。
情報の取り扱い方や利用目的等が異なる複数の部局等の間で共用されるか。

判断
結果

判断結果の解説○

インターネットを介して情報システ
ムにアクセスされる○

個人情報（匿名性あり）等を取り扱う

×○

サーバ上での保存のみ（モバイルPCによる情報処理等なし）のため、不要IDを発行した（利用資格のある）
国民に限定想定されない

×
想定されない×※管理者は除く（管理者権限の保護対策は必ず要件に含まれる）

Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)

スライド 6

活用例③電子申請・届出システム ステップ１～４• インターネットを介して国民からの各種申請・届出手続きの処理を行う、電子申請・届出システムを想定する。
主体

業務

国民

申請を行う

事務局

申請

業務（細分化後）の概要

情報

利用環境・手段

個人情報を登録して、サービス利用資格を得る
申請情報を入力して提出する「個人情報」「申請情報」

PC、携帯電話、スマートフォン、インターネット

申請等に必要な手数料を支払う「手数料」

オフラインでの実施システムの利用者を追加、修正、削除する「個人情報」

PC、内部ネットワーク

申請情報の正当性を確認して審査を行う「申請情報」「審査結果」「申請結果」

オフラインでの実施

申請に応じた事務処理を行い、結果を通知する※システム運用者は省略（オフライン）【手数料の支払い】
・「手数料」【申請結果の通知】
・「申請結果」

内部ネットワーク

国民【利用登録】
・「個人情報」【申請】・「申請情報」

電子申請・届出システム【利用者の管理】・「個人情報」【申請情報の審査】
・「申請情報」【申請情報の審査】
・「審査結果」

事務局【環境】 PC

システム
運用者

【環境】
PC、携帯電話、スマートフォン等

・「意見」「コメント」
・「個人情報」
・「履歴」

インターネット【利用状況の把握】
・「利用統計」【監視・追跡】
・「履歴」【バックアップ】
・「システムデータ」

Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)【環境】 PC

管理用LAN
スライド 7

活用例③電子申請・届出システム：ステップ５ 判断条件による検討•

整理した業務要件や判断条件の解説等を参考に、６つの設問に「○」「×」の二択で回答する
名称

観点分類

判断条件

A. 外部ア 利用環境
クセスの ・手段有無

インターネット等の通信回線を介して（情報の管理ポリシが異なる）外部から情報システムにアクセスしてサービスの利用、業務の遂行、情報システムの管理等を行うか。

B. 情報の重要度

情報

C. 情報保存時の安全性
D. 利用者の限定
要否
E. アカウン
トの多様性
F. 複 数 部
局による利用情報漏えいした場合や正常にアクセスできない場合に、深刻な損害を被る可能性がある重要性の高い情報を取り扱うか。
入退室管理等の物理対策だけでなく、情報システムが保存する情報についてより一層の安全を期すために追加的対策をさらに行うべきと考えるか。
情報システムにアクセスする主体は、利用資格のある者、職員、グループのメンバー等の特定の者に限定されるか。

主体

主体

主体

利用者によって利用可能なサービスや業務が異なる等、利用者の特徴にバリエーションがあるか。
情報の取り扱い方や利用目的等が異なる複数の部局等の間で共用されるか。

判断
結果

判断結果の解説○

インターネットを介して情報システ
ムにアクセスされる○

重要性の高い情報（申請情報や個人情報）を取り扱う○○

申請情報や個人情報（匿名性なし）を取り扱うため、追加的対策を行う
IDを発行した（利用資格のある）
国民に限定想定されない

×
想定されない×※管理者は除く（管理者権限の保護対策は必ず要件に含まれる）

Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)

スライド 8

活用例④省内イントラネットシステム（省内掲示板システム）• 機密性の高くない情報を省内限定で周知・閲覧するための、省内イントラネットシステム（掲示板システム）を想定する。
主体

業務

業務（細分化後）の概要

情報

利用環境・手段

職員（一般）

情報を閲覧するイントラネットに掲載された情報を閲覧し、必要に応じダウンロードする「業務情報」

PC

職員
（事務局）

情報を登録する各部局からのお知らせや規程、業務情報等をイントラネットに登録する「業務情報」

PC※システム運用者は省略

内部ネットワーク
職員（一般）【情報の閲覧】
・「業務情報」

省内イントラネット
システム【環境】 PC【利用状況の把握】
・「利用統計」【監視・追跡】
・「アクセスログ」【バックアップ】
・「システムデータ」

職員（事務局）【業務情報の登録】
・「業務情報」

システム運用者

・「お知らせ」
・「各部局の業務情報」

【環境】
管理用PC

管理用LAN【環境】 PC

Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)

スライド 9

活用例④省内イントラネットシステム：ステップ５ 判断条件による検討•

整理した業務要件や判断条件の解説等を参考に、６つの設問に「○」「×」の二択で回答する
名称観点分類判断条件

A. 外部ア 利用環境
クセスの ・手段有無

インターネット等の通信回線を介して（情報の管理ポリシが異なる）外部から情報システムにアクセスしてサービスの利用、業務の遂行、情報システムの管理等を行うか。

B. 情報の重要度

情報

C. 情報保存時の安全性
D. 利用者の限定
要否
E. アカウン
トの多様性
F. 複 数 部
局による利用情報漏えいした場合や正常にアクセスできない場合に、深刻な損害を被る可能性がある重要性の高い情報を取り扱うか。
入退室管理等の物理対策だけでなく、情報システムが保存する情報についてより一層の安全を期すために追加的対策をさらに行うべきと考えるか。

主体

主体

主体

情報システムにアクセスする主体は、利用資格のある者、職員、グループのメンバー等の特定の者に限定されるか。
利用者によって利用可能なサービスや業務が異なる等、利用者の特徴にバリエーションがあるか。
情報の取り扱い方や利用目的等が異なる複数の部局等の間で共用されるか。

判断
結果

判断結果の解説×

インターネットや自省以外の外部から情報システムにアクセスすることはない
取り扱う情報の重要性は高くない×

×

保存する情報の重要性は高くな
い×

職員は誰でもアクセス可能（ID等の利用資格の制限なし）
想定されない×
想定されない×※管理者は除く（管理者権限の保護対策は必ず要件に含まれる）

Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)

スライド 10

留意事項
 本資料はあくまでも事例であり、各情報システムの構成、設置環境、運用保守条件等を勘案した上で、各省においてSBDマニュアル（ワークシート）を利用して実施してください。各情報システムの業務特性・性質を考えた上で、セキュリティ要件を策定することが重要です。

Copyright （Ｃ） 2015 内閣サイバーセキュリティセンター (http://www.nisc.go.jp/)

スライド 11