NISD-K303-052

政府機関の情報セキュリティ対策のための統一基準(2005 年 12 月版(全体版初版))

2005 年 12 月 13 日

情報セキュリティ政策会議決定

NISD-K303-052

NISD-K303-052

目次
第１部

総則 ........................................................................................................................ 1

1.1.1 本統一基準の位置付け ......................................................................................... 1(1)

政府機関の情報セキュリティ対策の強化における本統一基準の位置付け .. 1

(2)

本統一基準の改訂 ........................................................................................ 1(3)

法令等の遵守 ............................................................................................... 1

1.1.2 本統一基準の使い方............................................................................................. 1(1)

本統一基準と省庁基準との関係................................................................... 1(2)

適用対象範囲 ............................................................................................... 2(3)

全体構成 ...................................................................................................... 2(4)

対策項目の記載事項 .................................................................................... 3(5)

対策レベルの設定 ........................................................................................ 3(6)

評価の方法................................................................................................... 3

1.1.3 用語定義 .............................................................................................................. 4
第２部

組織と体制の構築................................................................................................... 92.1

導入 .......................................................................................................................... 9

2.1.1 組織・体制の確立 ................................................................................................. 9遵守事項..................................................................................................................... 9(1)

最高情報セキュリティ責任者の設置 ........................................................... 9(2)

情報セキュリティ委員会の設置................................................................... 9(3)

情報セキュリティ監査責任者の設置 ........................................................... 9(4)

情報セキュリティ責任者の設置................................................................... 9(5)

情報システムセキュリティ責任者の設置 .................................................. 10(6)

情報システムセキュリティ管理者の設置 .................................................. 10(7)

課室情報セキュリティ責任者の設置 ......................................................... 10

2.1.2 役割の分離.......................................................................................................... 11
遵守事項................................................................................................................... 11(1)

兼務を禁止する役割の規定........................................................................ 11

2.1.3 違反と例外措置.................................................................................................. 11
遵守事項................................................................................................................... 11

2.2

(1)

違反への対応 ............................................................................................. 11(2)

例外措置 .................................................................................................... 11

運用 ........................................................................................................................ 13

2.2.1 情報セキュリティ対策の教育 ............................................................................. 13
遵守事項................................................................................................................... 13(1)

行政事務従事者に対する情報セキュリティ対策教育の実施...................... 13(2)

行政事務従事者による情報セキュリティ対策教育の受講義務 .................. 13

2.2.2 障害等の対応 ..................................................................................................... 14
遵守事項................................................................................................................... 14

目次− １

NISD-K303-052

2.3

(1)

障害等の発生に備えた事前準備................................................................. 14(2)

障害等の発生時における報告と応急措置 .................................................. 14(3)

障害等の原因調査と再発防止策................................................................. 15

評価 ........................................................................................................................ 16

2.3.1 情報セキュリティ対策の自己点検 ..................................................................... 16
遵守事項................................................................................................................... 16(1)

自己点検に関する年度計画の策定 ............................................................. 16(2)

自己点検の実施に関する準備 .................................................................... 16(3)

自己点検の実施.......................................................................................... 16(4)

自己点検結果の評価 .................................................................................. 16(5)

自己点検に基づく改善............................................................................... 16

2.3.2 情報セキュリティ対策の監査 ............................................................................ 16
遵守事項................................................................................................................... 16

2.4

(1)

監査計画の策定.......................................................................................... 17(2)

情報セキュリティ監査の実施に関する指示............................................... 17(3)

個別の監査業務における監査実施計画の策定 ........................................... 17(4)

情報セキュリティ監査を実施する者の要件............................................... 17(5)

情報セキュリティ監査の実施 .................................................................... 17(6)

情報セキュリティ監査結果に対する対応 .................................................. 18

見直し..................................................................................................................... 19

2.4.1 情報セキュリティ対策の見直し......................................................................... 19
遵守事項................................................................................................................... 19(1)

情報セキュリティ対策の見直し................................................................. 19

第３部

情報についての対策 ............................................................................................. 20

3.1

情報の格付け .......................................................................................................... 20

3.1.1 情報の格付け ..................................................................................................... 20
遵守事項................................................................................................................... 20(1)
3.2

情報の格付け ............................................................................................. 20

情報の取扱い .......................................................................................................... 21

3.2.1 情報の作成と入手 .............................................................................................. 21
遵守事項................................................................................................................... 21(1)

業務以外の情報の作成又は入手の禁止...................................................... 21(2)

情報の作成又は入手時における格付けの決定と取扱制限の検討............... 21(3)

格付けと取扱制限の明示 ........................................................................... 21(4)

格付けと取扱制限の継承 ........................................................................... 21(5)

格付けと取扱制限の変更 ........................................................................... 21

3.2.2 情報の利用......................................................................................................... 22
遵守事項................................................................................................................... 22(1)

業務以外の利用の禁止............................................................................... 22(2)

格付け及び取扱制限に従った情報の取扱い............................................... 22

目次− ２

NISD-K303-052(3)

要保護情報の取扱い .................................................................................. 22

3.2.3 情報の保存......................................................................................................... 22
遵守事項................................................................................................................... 22(1)

格付けに応じた情報の保存........................................................................ 22(2)

情報の保存期間.......................................................................................... 23

3.2.4 情報の移送......................................................................................................... 23
遵守事項................................................................................................................... 23(1)

情報の移送に関する許可及び届出 ............................................................. 23(2)

情報の送信と運搬の選択 ........................................................................... 23(3)

移送手段の選択.......................................................................................... 23(4)

書面に記載された情報の保護対策 ............................................................. 24(5)

電磁的記録の保護対策............................................................................... 24

3.2.5 情報の提供......................................................................................................... 24
遵守事項................................................................................................................... 24(1)

情報の公表................................................................................................. 24(2)

他者への情報の提供 .................................................................................. 24

3.2.6 情報の消去......................................................................................................... 25
遵守事項................................................................................................................... 25(1)

電磁的記録の消去方法............................................................................... 25(2)

書面の廃棄方法.......................................................................................... 25

第４部

情報セキュリティ要件の明確化に基づく対策...................................................... 26

4.1

情報セキュリティについての機能 .......................................................................... 26

4.1.1 主体認証機能 ...................................................................................................... 26
遵守事項................................................................................................................... 26(1)

主体認証機能の導入 .................................................................................. 26(2)

行政事務従事者における識別コードの管理............................................... 28(3)

行政事務従事者における主体認証情報の管理 ........................................... 28

4.1.2 アクセス制御機能 .............................................................................................. 29
遵守事項................................................................................................................... 29(1)

アクセス制御機能の導入 ........................................................................... 29(2)

行政事務従事者による適正なアクセス制御............................................... 29

4.1.3 権限管理機能 ..................................................................................................... 29
遵守事項................................................................................................................... 29(1)

権限管理機能の導入 .................................................................................. 29(2)

識別コードと主体認証情報の付与管理...................................................... 30(3)

識別コードと主体認証情報における代替措置の適用 ................................ 31

4.1.4 証跡管理機能 ..................................................................................................... 31
遵守事項................................................................................................................... 31(1)

証跡管理機能の導入 .................................................................................. 31(2)

情報システムセキュリティ管理者による証跡の取得と保存...................... 32

目次− ３

NISD-K303-052(3)

取得した証跡の点検、分析及び報告 ......................................................... 32(4)

証跡管理に関する利用者への周知 ............................................................. 33

4.1.5 保証のための機能 ............................................................................................... 33
遵守事項................................................................................................................... 33(1)

保証のための機能の導入 ........................................................................... 33

4.1.6 暗号と電子署名（鍵管理を含む） ................................................................... 33
遵守事項................................................................................................................... 33

4.2

(1)

暗号化機能及び電子署名の付与機能の導入............................................... 33(2)暗号化及び電子署名の付与に係る管理...................................................... 34(3)暗号化機能及び電子署名の付与機能の利用............................................... 35

情報セキュリティについての脅威 .......................................................................... 36

4.2.1 セキュリティホール対策 ................................................................................... 36
遵守事項................................................................................................................... 36(1)

情報システムの構築時............................................................................... 36(2)

情報システムの運用時............................................................................... 36

4.2.2 不正プログラム対策......................................................................................... 37
遵守事項................................................................................................................... 37(1)

情報システムの構築時............................................................................... 37(2)

情報システムの運用時............................................................................... 37

4.2.3 サービス不能攻撃対策 ....................................................................................... 38
遵守事項................................................................................................................... 38

4.3

(1)

情報システムの構築時............................................................................... 38(2)

情報システムの運用時............................................................................... 39

情報システムのセキュリティ要件 .......................................................................... 40

4.3.1 情報システムのセキュリティ要件 ..................................................................... 40
遵守事項................................................................................................................... 40(1)

情報システム計画・設計 ........................................................................... 40(2)

情報システムの構築・運用・監視 ............................................................. 40(3)

情報システムの移行・廃棄........................................................................ 41(4)

情報システムの見直し............................................................................... 41

第５部

情報システムの構成要素についての対策 ............................................................. 42

5.1

施設と環境.............................................................................................................. 42

5.1.1 電子計算機及び通信回線装置を設置する安全区域 ............................................ 42
遵守事項................................................................................................................... 42

5.2

(1)

立入り及び退出の管理............................................................................... 42(2)

訪問者及び受渡業者の管理........................................................................ 42(3)電子計算機及び通信回線装置のセキュリティ確保 .................................... 43(4)

安全区域内のセキュリティ管理................................................................. 43(5)

災害及び障害への対策............................................................................... 44

電子計算機.............................................................................................................. 45

目次− ４

NISD-K303-052

5.2.1 電子計算機共通対策........................................................................................... 45
遵守事項................................................................................................................... 45(1)

電子計算機の設置時 .................................................................................. 45(2)電子計算機の運用時 .................................................................................. 45(3)電子計算機の運用終了時 ........................................................................... 46

5.2.2 端末.................................................................................................................... 46
遵守事項................................................................................................................... 46(1)

端末の設置時 ............................................................................................. 46(2)

端末の運用時 ............................................................................................. 47

5.2.3 サーバ装置......................................................................................................... 47
遵守事項................................................................................................................... 47

5.3

(1)

サーバ装置の設置時 .................................................................................. 47(2)

サーバ装置の運用時 .................................................................................. 48

アプリケーションソフトウェア ............................................................................. 49

5.3.1 通信回線を介して提供するアプリケーション共通対策 ..................................... 49
遵守事項................................................................................................................... 49(1)

アプリケーションの導入時........................................................................ 49(2)

アプリケーションの運用時........................................................................ 49

5.3.2 電子メール......................................................................................................... 49
遵守事項................................................................................................................... 49(1)

電子メールの導入時 .................................................................................. 49(2)

電子メールの運用時 .................................................................................. 49

5.3.3 ウェブ ................................................................................................................ 50
遵守事項................................................................................................................... 50

5.4

(1)

ウェブの導入時.......................................................................................... 50(2)

ウェブの運用時.......................................................................................... 50

通信回線 ................................................................................................................. 51

5.4.1 通信回線共通対策 .............................................................................................. 51
遵守事項................................................................................................................... 51(1)

通信回線の構築時 ...................................................................................... 51(2)通信回線の運用時 ...................................................................................... 52(3)通信回線の運用終了時............................................................................... 52

5.4.2 府省庁内通信回線の管理 ................................................................................... 52
遵守事項................................................................................................................... 52(1)

府省庁内通信回線の構築時........................................................................ 52(2)

府省庁内通信回線の運用時........................................................................ 53(3)回線の対策................................................................................................. 53

5.4.3 府省庁外通信回線との接続................................................................................ 54
遵守事項................................................................................................................... 54(1)

府省庁内通信回線と府省庁外通信回線との接続時 .................................... 54

目次− ５

NISD-K303-052(2)

府省庁外通信回線と接続している府省庁内通信回線の運用時 .................. 54

第６部

個別事項についての対策 ...................................................................................... 55

6.1

調達・開発にかかわる情報セキュリティ対策 ........................................................ 55

6.1.1 機器等の購入 ..................................................................................................... 55
適用範囲................................................................................................................... 55
遵守事項................................................................................................................... 55(1)

府省庁内における情報セキュリティ確保の仕組みの整備 ......................... 55(2)

機器等の購入の実施における手続の遵守 .................................................. 55

6.1.2 外部委託 ............................................................................................................ 55
適用範囲................................................................................................................... 55
遵守事項................................................................................................................... 56(1)

府省庁内における情報セキュリティ確保の仕組みの整備 ......................... 56(2)

委託先に適用する情報セキュリティ対策の整備........................................ 56(3)

外部委託先の選定における手続の遵守...................................................... 56(4)

外部委託の実施における手続の遵守 ......................................................... 57(5)

外部委託終了時の手続の遵守 .................................................................... 57

6.1.3 ソフトウェア開発 .............................................................................................. 58
遵守事項................................................................................................................... 58

6.2

(1)

ソフトウェア開発体制の確立時................................................................. 58(2)

ソフトウェア開発の開始時........................................................................ 58(3)

ソフトウェアの設計時............................................................................... 58(4)

ソフトウェアの作成時............................................................................... 59(5)

ソフトウェアの試験時............................................................................... 59

個別事項 ................................................................................................................. 60

6.2.1 府省庁外での情報処理の制限 ............................................................................ 60
遵守事項................................................................................................................... 60(1)

安全管理措置の整備 .................................................................................. 60(2)

許可及び届出の取得及び管理 .................................................................... 60(3)

安全管理措置の遵守 .................................................................................. 61

6.2.2 府省庁支給以外の情報システムによる情報処理の制限 ..................................... 61
遵守事項................................................................................................................... 61

6.3

(1)

安全管理措置の整備 .................................................................................. 61(2)

許可及び届出の取得及び管理 .................................................................... 61(3)

安全管理措置の遵守 .................................................................................. 62

その他..................................................................................................................... 63

6.3.1 府省庁外の情報セキュリティ水準の低下を招く行為の防止.............................. 63
遵守事項................................................................................................................... 63(1)

措置の整備................................................................................................. 63(2)

措置の遵守................................................................................................. 63

6.3.2 事業継続計画（BCP）との整合的運用の確保.................................................... 63

目次− ６

NISD-K303-052

適用範囲................................................................................................................... 63
遵守事項................................................................................................................... 63(1)

府省庁における BCP 整備計画の把握 ....................................................... 63(2)

BCP と情報セキュリティ対策の整合性の確保.......................................... 63(3)

BCP と情報セキュリティ関係規程の不整合の報告................................... 64

目次− ７

NISD-K303-052

第１部

総則

1.1.1 本統一基準の位置付け(1) 政府機関の情報セキュリティ対策の強化における本統一基準の位置付け
各府省庁の情報セキュリティの確保については、各府省庁が自らの責任において対策を講じていくことが原則である。しかし、政府機関全体の情報セキュリティ対策を強化・拡充するためには、「政府機関の情報セキュリティ対策の強化に関する基本方
針（平成１７年９月１５日付情報セキュリティ政策会議決定）」に基づき、政府機関が行うべき情報セキュリティ対策の統一的な枠組みを構築し、各府省庁の情報セキュ
リティ水準の斉一的な引上げを図ることが必要である。そこで本統一基準は、この政府機関統一的な枠組みの中で、各府省庁が情報セキュリティの確保のために採るべき対策、及びその水準を更に高めるための対策の基準を定めたものである。
(2) 本統一基準の改訂
情報セキュリティの水準を適切に維持していくためには、状況の変化を的確にとらえ、それに応じて情報セキュリティ対策の見直しを図ることが重要である。本統一基準については、これを各府省庁においてそれぞれの府省庁の特性を踏まえた上で省庁基準及び実施手順の整備に活用し、また情報セキュリティ対策の評価に使用することにより、本統一基準の内容を追加・修正等すべきことが明らかになることが考えられる。また、情報技術の進歩に応じて、本統一基準に記載する情報セキュリティ対策を変更することも必要となり得る。
このため、本統一基準の見直しを定期的に行い、必要に応じて項目の追加やその内容の充実等を図ることによって、その適用性を将来にわたり維持するものとする。また、各府省庁においては、本統一基準が更新された場合、その内容を省庁対策基準に適切に反映させる必要がある。
(3) 法令等の遵守情報及び情報システムの取扱いに関しては、法令及び規制等（以下「関連法令等」という。
）においても規定されているため、情報セキュリティ対策を実施する際には、本統一基準のほか関連法令等を遵守しなければならない。なお、これらの関係法令等
は情報セキュリティ対策にかかわらず当然に遵守すべきものであるため、本統一基準
では、あえて関連法令等の遵守について明記していない。また、情報セキュリティ対策に係る内容について定めた既存の政府決定等についても同様に遵守すること。

1.1.2 本統一基準の使い方(1) 本統一基準と省庁基準との関係‑ 1 ‑NISD-K303-052

本統一基準は、すべての府省庁が情報セキュリティの確保のために採るべき対策、及びその水準を更に高めるための対策の基準を定めたものである。各府省庁においては、本統一基準で定められた以上の情報セキュリティ確保を目標として、現行の情報
セキュリティ関係規程について必要な見直しを行うものとする。したがって、各府省庁において、本統一基準で定められている内容を合理的な理由なく省庁基準に反映させないということはあってはならない。各府省庁は、各府省庁の特性を踏まえつつ、
省庁基準に盛り込むべき内容を決定し、本統一基準を直接参照する、本統一基準をそのまま取り込む、又は構成や表現を変えて盛り込む等の方法により適切に反映させるものとする。
(2) 適用対象範囲
本統一基準が適用される対象範囲を以下のように定める。
(a) 本統一基準は、「情報」を守ることを目的に作成されている。本統一基準において「情報」とは、情報システム内部に記録された情報、情報システム外部の電磁的記録媒体に記録された情報及び情報システムに関係がある書面に記載された情報をいう。したがって、作業途上の文書も適用対象であり、書面に記載された情報には、電磁的に記録されている情報を記載した書面（情報システ
ムに入力された情報を記載した書面、情報システムから出力した情報を記載した書面）及び情報システムに関する設計書が含まれる。
(b) 本統一基準は、行政事務従事者のうち、情報及び情報システムを取り扱う者に適用される。なお、本統一基準中、特に断りがないものを除き、「行政事務従事者」とは、情報及び情報システムを取り扱う行政事務従事者をいう。
(c) 本統一基準における「府省庁」とは、内閣官房、内閣法制局、人事院、内閣府、
宮内庁、公正取引委員会、国家公安委員会（警察庁）、防衛庁、金融庁、総務省、法務省、外務省、財務省、文部科学省、厚生労働省、農林水産省、経済産業省、国土交通省及び環境省をいう。
(3) 全体構成
本統一基準は、部、節及び項の３つの階層によって構成される。
本統一基準は、情報セキュリティ対策を「組織と体制の構築」、「情報についての対策」、「セキュリティ要件の明確化に基づく対策」、「情報システムについての対策」、「個別事項についての対策」に部として分類し、さらに内容に応じて節として対策項目に分け、その下に項として対策基準を定めている。
(a) 「組織と体制の構築」では、組織全体として情報セキュリティ対策を実施するに当たり、実施体制や評価手順、違反や例外措置などの組織として構築すべき課題を取り上げ、組織としての運用に関係する各職員の権限と責務を明確にする。
(b) 「情報についての対策」では、情報の作成、利用、保存、移送、提供及び消去等といった情報のライフサイクルに着目し、各段階において遵守すべき事項を定め、各職員が業務の中で常に実施する情報保護の対策を示す。
‑ 2 ‑NISD-K303-052(c) 「情報セキュリティ要件の明確化に基づく対策」では、情報システムにおいて、アクセス制御の観点など導入すべきセキュリティ機能を示すとともに、セキュ
リティホール、不正プログラム及びサービス不能攻撃等の脅威を防ぐために遵守すべき事項を定め、情報システムにおいて講ずべき対策を示す。
(d) 「情報システムの構成要素についての対策」では、電子計算機及び通信回線等の個別の情報システムの特性及びライフサイクルの観点から、それぞれ遵守すべき事項を定め、情報システムにおいて講ずべき対策を示す。
(e) 「個別事項についての対策」では、調達・開発や府省庁外での情報処理等の、
特に情報セキュリティ上の配慮が求められる個別事象に着目し、それぞれ遵守
すべき事項を定める。
(4) 対策項目の記載事項
本統一基準では、各府省庁が行うべき対策基準について対策項目ごとに、遵守事項を示す。
(5) 対策レベルの設定
情報セキュリティ対策においては、対象となる情報資産の重要性や取り巻く脅威の大きさによって、必要とされる対策は一様ではない。また、該当する情報システム及び業務の特性に応じて、各対策項目で適切な強度の対策を実施すべきである。したがって、本統一基準においては、各対策項目で対策の強度に段階を設け、採るべき遵守事項を定めている。この段階を「対策レベル」と呼び、以下のように定義する。
(a) 「基本遵守事項」は、保護すべき情報とこれを取り扱う情報システムにおいて、必須として実施すべき対策事項(b) 「強化遵守事項」は、特に重要な情報とこれを取り扱う情報システムにおいて、各府省庁において、その事項の必要性の有無を検討し、必要と認められるときに選択して実施すべき対策事項
以上より、各府省庁は、基本遵守事項以上の対策を実施することとなるが、当該情報システム及び業務の特性を踏まえ、リスクを十分に勘案した上で、対策項目ごとに適切な対策レベルを選択しなければならない。
(6) 評価の方法
情報セキュリティ対策は、一過性のものとはせず、遅滞なく継続的に取組みを実施できるものであることが重要である。したがって、各府省庁においては本統一基準に基づき、定期的又は事案等の発生の状況に応じて情報セキュリティ監査を行い、以下のことを確認する必要がある。
(a) 省庁基準が統一基準に準拠した内容となっていること。
（設計の遵守性確認）(b) 実際の運用が省庁基準に準拠していること。
（運用の遵守性確認）(c) 省庁基準の内容がリスクに応じて適切であること、効率的な内容であること、あるいは実現困難な内容となっていないこと。(設計の妥当性確認)(d) 実際の運用がリスクに応じて有効で効率的であること。
（運用の妥当性確認）‑ 3 ‑NISD-K303-052

特に、各府省庁の情報セキュリティ監査においては、設計及び運用の遵守性確認をその第一の目的とする。ただし、監査の過程において、設計（整備）及び運用（実施）の妥当性に関連して改善すべきと思われる点が発見された場合には、それを要検討事項にすることが望ましい。なお、本統一基準においては、実施すべき者を具体的に示して遵守事項を定めているため、対策の実施状況については各自の役割に応じた自己点検を実施することとする。情報セキュリティ対策においては、各自がそれぞれの役
割を十分に実行することが不可欠であり、各自における対策の実効性を確保するために、自己点検を活用するものである。したがって、各府省庁が監査を行う際には、その自己点検の適正さを確認し、運用の実施状況の把握に用いるものとする。
また、情報セキュリティ対策の実施については、原則として、各府省庁の責任において運用することが大前提であるが、政府機関全体としての情報セキュリティ対策推
進の観点から、各府省庁は対策の実施状況及び監査結果について内閣官房情報セキュ
リティセンターに報告を行うこととする。さらに、内閣官房情報セキュリティセンタ
ーは、本統一基準の評価指標に基づき、各府省庁の情報セキュリティ関係規程の整備
状況及び対策実施状況について定期的又は必要に応じて検査し、評価することとする。
なお、対象となる情報システムの範囲については内閣官房情報セキュリティセンター
が各府省庁と協議して定めるものとする。

1.1.3 用語定義
【あ】
z
z

z
z

「アクセス制御」とは、主体によるアクセスを許可する客体を制限することをいう。
「安全区域」とは、電子計算機及び通信回線装置を設置した事務室又はサーバルー
ム等の内部であって、部外者の侵入や自然災害の発生等を原因とする情報セキュリ
ティの侵害に対して、施設及び環境面から対策が講じられている区域をいう。
「委託先」とは、情報システムに関する企画、開発、保守及び運用等の情報処理業
務の一部又は全部を請け負った者をいう。
「受渡業者」とは、安全区域内で職務に従事する行政事務従事者との物品の受渡しを目的とした者のことで、安全区域へ立ち入る必要のない者をいう。物品の受渡しとしては、宅配便の集配、事務用品の納入等が考えられる。

【か】
z
z

z

「外部委託」とは、情報システムに関する企画、開発、保守及び運用等の情報処理業務の一部又は全部を府省庁外の者に請け負わせることをいう。
「外部記録媒体」とは、情報機器から取り外しすることが可能な記録装置（磁気テープ、磁気ディスク、光ディスク、カセットテープ、MO、フロッピーディスク及び USB メモリ等）をいう。
「可用性」とは、情報へのアクセスを認可された者が、必要時に中断することなく、
情報及び関連資産にアクセスできる状態を確保することをいう。
‑ 4 ‑NISD-K303-052

z
z

z
z
z

z
z
z
z
z
z

z

z
z

「可用性１情報」とは、可用性２情報以外の情報（書面を除く。
）をいう。
「可用性２情報」とは、行政事務で取り扱う情報（書面を除く。）のうち、その滅失、紛失又は当該情報が利用不可能であることにより、国民の権利が侵害され又は行政事務の安定的な遂行に支障（軽微なものを除く。）を及ぼすおそれがある情報をいう。
「完全性」とは、情報が破壊、改ざん又は消去されていない状態を確保することをいう。
「完全性１情報」とは、完全性２情報以外の情報（書面を除く。
）をいう。
「完全性２情報」とは、行政事務で取り扱う情報（書面を除く。）のうち、その改ざん、誤びゅう又は破損により、国民の権利が侵害され又は行政事務の適確な遂行に支障（軽微なものを除く。）を及ぼすおそれがある情報をいう。
「機器等」とは、情報機器等及びソフトウェアをいう。
「機密性」とは、情報に関して、アクセスを認可された者だけがこれにアクセスできる状態を確保することをいう。
「機密性１情報」とは、機密性２情報又は機密性３情報以外の情報をいう。
「機密性２情報」とは、行政事務で取り扱う情報のうち、秘密文書に相当する機密性は要しないが、直ちに一般に公表することを前提としていない情報をいう。
「機密性３情報」とは、行政事務で取り扱う情報のうち、秘密文書に相当する機密性を要する情報をいう。
「行政事務従事者」とは、政府職員及びそれぞれの府省庁の指揮命令に服している者のうち、それぞれの府省庁の管理対象である情報及び情報システムを取り扱う者をいう。
「共用識別コード」とは、複数の主体が共用することを想定した識別コードをいう。
原則として、１つの識別コードは１つの主体のみに対して付与されるものであるが、情報システム上の制約や、利用状況などを考慮して、１つの識別コードを複数の主体で共用する場合もある。このように共用される識別コードを共用識別コードという。
「権限管理」とは、主体認証に係る情報（識別コード及び主体認証情報を含む。）の付与及びアクセス制御における許可情報の付与を管理することをいう。
「公開されたセキュリティホール」とは、誰もが知り得る状態に置かれているセキュリティホールのことであり、ソフトウェアやハードウェアの製造・提供元等から公表されたセキュリティホール、又は JPCERT コーディネーションセンター等のセキュリティ関連機関から公表されたセキュリティホール等が該当する。

【さ】
z

z

「サービス」とは、サーバ装置上で動作しているアプリケーションにより、接続してきた電子計算機に対して提供される単独又は複数の機能で構成される機能群をいう。
「最少特権機能」とは、管理者権限を持つ識別コードを付与された者が、管理者としての業務遂行時に限定してその識別コードを利用させる機能をいう。
‑ 5 ‑NISD-K303-052

z
z
z

z

z
z

z

z
z

z
z
z

「識別」とは、情報システムにアクセスする主体を特定することをいう。
「識別コード」とは、主体を識別するために、情報システムが認識するコード（符号）をいう。代表的な識別コードとして、ユーザ ID が挙げられる。
「主体」とは、情報システムにアクセスする者や、他の情報システム及び装置等をいう。主体は、主として、人である場合を想定しているが、複数の情報システムや装置が連動して動作する場合には、情報システムにアクセスする主体として、他の情報システムや装置も含めるものとする。
「主体認証」とは、識別コードを提示した主体が、その識別コードを付与された主体、すなわち正当な主体であるか否かを検証することをいう。識別コードとともに正しい方法で主体認証情報が提示された場合に主体認証ができたものとして、情報システムはそれらを提示した主体を正当な主体として認識する。なお、「認証」という用語は、公的又は第三者が証明するという意味を持つが、本統一基準における「主体認証」については、公的又は第三者による証明に限るものではない。
「主体認証情報」とは、主体認証をするために、主体が情報システムに提示する情報をいう。代表的な主体認証情報として、パスワード等がある。
「主体認証情報格納装置」とは、主体認証情報を格納した装置であり、正当な主体に所有又は保持させる装置をいう。所有による主体認証では、これを所有していることで、情報システムはその主体を正当な主体として認識する。
代表的な主体認証情報格納装置として、磁気テープカードやＩＣカード等がある。
「省庁基準」とは、各府省庁がそれぞれ策定する情報セキュリティポリシーであり、情報セキュリティ対策の基本的な方針及びすべての情報資産に共通する情報セキ
ュリティ対策の基準をいう。
「情報システム」とは、情報処理及び通信に係るシステムをいう。
「情報セキュリティ関係規程」とは、省庁基準及び省庁基準に定められた対策内容
を具体的な情報システムや業務においてどのような手順に従って実行していくかについて定めた実施手順をいう。
「情報の移送」とは、府省庁外に、電磁的に記録された情報を送信すること並びに情報を記録した外部記録媒体、PC 及び書面を運搬することをいう。
「政府職員」とは、人事発令を受けて行政事務に従事する者をいう。
「ソフトウェア」とは、電子計算機を動作させる手順及び命令を電子計算機が理解できる形式で記述したものをいう。オペレーティングシステム、オペレーティング
システム上で動作するアプリケーションを含む広義の意味である。

【た】
z
z

z

「対策用ファイル」とは、パッチ又はバージョンアップソフトウェア等のセキュリ
ティホールを解決するために利用されるファイルをいう。
「端末」とは、端末を利用する行政事務従事者が直接操作を行う電子計算機（オペレーティングシステム及び接続される周辺機器を含む。
）であり、いわゆる PC のほか、PDA 等も該当する。
「通信回線」とは、これを利用して複数の電子計算機を接続し、所定の通信様式に‑ 6 ‑NISD-K303-052zzz

従って情報を送受信するための仕組みをいう。回線及び通信回線装置の接続により構成された通信回線のことを物理的な通信回線といい、物理的な通信回線上に構成され、電子計算機間で所定の通信様式に従って情報を送受信可能な通信回線のこと
を論理的な通信回線という。
「通信回線装置」とは、回線の接続のために設置され、電子計算機により通信回線上を送受信される情報の制御を行うための装置をいう。いわゆるリピータハブ、ス
イッチングハブ及びルータのほか、ファイアウォール等も該当する。
「電子計算機」とは、コンピュータ全般のことを指し、オペレーティングシステム
及び接続される周辺機器を含むサーバ装置及び端末をいう。
「取扱制限」とは、情報の取扱いに関する制限であって、複製禁止、持出禁止、再配付禁止、暗号化必須、読後廃棄等をいう。

【は】
z

z
z

z

z

z

z
z

「 複 数 要 素 （ 複 合 ） 主 体 認 証 （ multiple factors authentication / composite
authentication）方式」とは、知識、所有、生体情報などのうち、複数の方法の組合せにより主体認証を行う方法である。
「府省庁外」とは、政府職員の各々が所属する府省庁が管理する組織又は庁舎の外をいう。
「府省庁外通信回線」とは、物理的な通信回線を構成する回線（有線又は無線、現実又は仮想及び府省庁管理又は他組織管理）及び通信回線装置を問わず、府省庁が管理していない電子計算機が接続され、当該電子計算機間の通信に利用する論理的な通信回線をいう。
「府省庁外での情報処理」とは、府省庁の管理部外で行政事務の遂行のための情報処理を行うことをいう。なお、オンラインで府省庁外から政府職員の各々が所属する府省庁の情報システムに接続して、情報処置を行う場合だけではなく、オフラインで行う場合も含むものとする。
「府省庁支給以外の情報システム」とは、政府職員の各々が所属する府省庁が支給する情報システム以外の情報システムをいう。いわゆる私物の PC のほか、当該府省庁への出向者に対して出向元組織が提供する情報システムも含むものとする。
「府省庁支給以外の情報システムによる情報処理」とは、府省庁支給以外の情報シ
ステムを用いて行政事務の遂行のための情報処理を行うことをいう。なお、直接装置等を用いる場合だけではなく、それら装置等によって提供されているサービスを利用する場合も含むものとする。ここでいうサービスとは、個人が契約している電子メールサービス等のことであり、例えば、府省庁の業務に要する電子メールを、個人で契約している電子メールサービスに転送して業務を行ったり、個人のメール
から業務のメールを発信したりすることである。
「府省庁内」とは、政府職員の各々が所属する府省庁が管理する組織又は庁舎の内をいう。
「府省庁内通信回線」とは、物理的な通信回線を構成する回線（有線又は無線、現実又は仮想及び府省庁管理又は他組織管理）及び通信回線装置を問わず、府省庁が‑ 7 ‑NISD-K303-052

zzz

管理する電子計算機を接続し、当該電子計算機間の通信に利用する論理的な通信回線をいう。
「不正プログラム」とは、コンピュータウイルス、スパイウェア等の電子計算機を利用する者が意図しない結果を電子計算機にもたらすソフトウェアの総称をいう。
「不正プログラム定義ファイル」とは、アンチウイルスソフトウェア等が不正プログラムを判別するために利用するデータをいう。
「付与」（主体認証に係る情報、アクセス制御における許可情報等に関して）とは、
発行、更新及び変更することをいう。

【ま】
z

z

「明示」とは、情報を取り扱うすべての者が当該情報の格付けについて共通の認識となるように措置することをいう。なお、情報ごとの格付けの記載を原則とするが、特定の情報システムについて、当該情報システムに記録される情報の格付けを規定
等により明記し、当該情報システムを利用するすべての者に当該規定を周知することなどについても明示に含むものとする。
「モバイル PC」とは、端末の形態に関係なく、業務で利用する目的により必要に応じて移動する端末をいう。特定の設置場所だけで利用するノート型 PC は、モバ
イル PC に含まれない。

【や】
z
z
z
z

「要安定情報」とは、可用性２情報をいう。
「要機密情報」とは、機密性２情報及び機密性３情報をいう。
「要保護情報」とは、要機密情報、要保全情報及び要安定情報をいう。
「要保全情報」とは、完全性２情報をいう。

【ら】
z

z

z

「例外措置」とは、行政事務従事者がその実施に責任を持つ情報セキュリティ関係規程を遵守することが困難な状況で、行政事務の適正な遂行を継続するため、遵守事項とは異なる代替の方法を採用し、又は遵守事項を実施しないことについて合理的理由がある場合に、そのことについて申請し許可を得た上で適用する行為をいう。
「ログイン」とは、何らかの主体が主体認証を要求する行為をいう。ログインの後に主体認証が行われるため、ログインの段階ではその主体が正当であるとは限らない。
「ログオン」とは、ログインの結果により、主体認証を要求した主体が正当である
ことが情報システムに確認された状態をいう。

‑ 8 ‑NISD-K303-052

第２部
2.1

組織と体制の構築

導入

2.1.1 組織・体制の確立
遵守事項(1) 最高情報セキュリティ責任者の設置【基本遵守事項】(a) 最高情報セキュリティ責任者を１人置くこと。
(b) 最高情報セキュリティ責任者は、自らが所属する府省庁における情報セキュリ
ティ対策に関する事務を統括すること。
(c) 最高情報セキュリティ責任者は、必要に応じ、情報セキュリティに関する専門的な知識及び経験を有した専門家を最高情報セキュリティアドバイザーとして置くこと。
(2) 情報セキュリティ委員会の設置【基本遵守事項】(a) 最高情報セキュリティ責任者は、情報セキュリティ委員会を設置し、委員長及び委員を置くこと。
(b) 情報セキュリティ委員会は、情報セキュリティに関する省庁基準を策定し、最高情報セキュリティ責任者に承認を得ること。
(3) 情報セキュリティ監査責任者の設置【基本遵守事項】(a) 最高情報セキュリティ責任者は、情報セキュリティ監査責任者を１人置くこと。
(b) 情報セキュリティ監査責任者は、最高情報セキュリティ責任者の指示に基づき、監査に関する事務を統括すること。
(4) 情報セキュリティ責任者の設置【基本遵守事項】(a) 最高情報セキュリティ責任者は、情報セキュリティ対策の運用に係る管理を行う単位を定め、その単位ごとに情報セキュリティ責任者を置くこと。そのうち、情報セキュリティ責任者を統括する者として統括情報セキュリティ責任者を１人置くこと。
(b) 情報セキュリティ責任者は、所管する単位における情報セキュリティ対策に関する事務を統括すること。
(c) 統括情報セキュリティ責任者は、情報セキュリティ対策における雇用の開始、終了及び人事異動等に関する管理の規定を策定し、最高情報セキュリティ責任者の承認を得ること。
‑ 9 ‑NISD-K303-052(d) 情報セキュリティ責任者は、情報セキュリティ対策における雇用の開始、終了
及び人事異動等に関する管理の規定に従った運用がなされていることを定期的に確認すること。
(e) 最高情報セキュリティ責任者は、情報セキュリティ責任者を置いた時及び変更した時は、統括情報セキュリティ責任者にその旨を連絡すること。
(f) 統括情報セキュリティ責任者は、すべての情報セキュリティ責任者に対する連絡網を整備すること。
(5) 情報システムセキュリティ責任者の設置【基本遵守事項】(a) 情報セキュリティ責任者は、所管する単位における情報システムごとに情報シ
ステムセキュリティ責任者を置くこと。
(b) 情報システムセキュリティ責任者は、所管する情報システムに対する情報セキ
ュリティ対策の管理に関する事務を統括すること。
(c) 情報セキュリティ責任者は、情報システムセキュリティ責任者を置いた時及び変更した時は、統括情報セキュリティ責任者にその旨を報告すること。
(d) 統括情報セキュリティ責任者は、すべての情報システムセキュリティ責任者に対する連絡網を整備すること。
(6) 情報システムセキュリティ管理者の設置【基本遵守事項】(a) 情報システムセキュリティ責任者は、所管する情報システムの管理業務において必要な単位ごとに情報システムセキュリティ管理者を置くこと。
(b) 情報システムセキュリティ管理者は、所管する管理業務における情報セキュリ
ティ対策を実施すること。
(c) 情報システムセキュリティ責任者は、情報システムセキュリティ管理者を置いた時及び変更した時は、統括情報セキュリティ責任者にその旨を報告すること。
(d) 統括情報セキュリティ責任者は、すべての情報システムセキュリティ管理者に対する連絡網を整備すること。
(7) 課室情報セキュリティ責任者の設置【基本遵守事項】(a) 情報セキュリティ責任者は、各課室に課室情報セキュリティ責任者を 1 人置くこと。
(b) 課室情報セキュリティ責任者は、課室における情報セキュリティ対策に関する事務を統括すること。
(c) 情報セキュリティ責任者は、課室情報セキュリティ責任者を置いた時及び変更した時は、統括情報セキュリティ責任者にその旨を報告すること。
(d) 統括情報セキュリティ責任者は、すべての課室情報セキュリティ責任者に対する連絡網を整備すること。
‑ 10 ‑

NISD-K303-052

2.1.2 役割の分離
遵守事項(1) 兼務を禁止する役割の規定【基本遵守事項】(a) 情報セキュリティ対策の運用において、以下の役割を同じ者が兼務しないこと。
(ア) 承認又は許可事案の申請者とその承認者又は許可者(イ) 監査を受ける者とその監査を実施する者

2.1.3 違反と例外措置
遵守事項(1) 違反への対応【基本遵守事項】(a) 行政事務従事者は、情報セキュリティ関係規程への重大な違反を知った場合には、各規定の実施に責任を持つ情報セキュリティ責任者にその旨を報告すること。
(b) 情報セキュリティ責任者は、情報セキュリティ関係規程への重大な違反の報告を受けた場合及び自らが重大な違反を知った場合には、違反者及び必要な者に情報
セキュリティの維持に必要な措置を採らせること。
(c) 情報セキュリティ責任者は、情報セキュリティ関係規程への重大な違反の報告を受けた場合及び自らが重大な違反を知った場合には、最高情報セキュリティ責任者にその旨を報告すること。
(2) 例外措置【基本遵守事項】(a) 情報セキュリティ委員会は、例外措置の適用の申請を審査する者（以下「許可権限者」という。
）を定め、審査手続を整備すること。
(b) 行政事務従事者は、例外措置の適用を希望する場合には、定められた審査手続に従い、許可権限者に例外措置の適用を申請すること。ただし、行政事務の遂行に緊急を要する等の場合であって、情報セキュリティ関係規程の規定とは異なる代替の方法を直ちに採用すること又は規定を実施しないことが不可避のときは、事後速やかに申請し許可を得ること。行政事務従事者は、申請の際に以下の事項を含む項目を明確にすること。
(ア) 申請者の情報（氏名、所属、連絡先）(イ) 例外措置の適用を申請する情報セキュリティ関係規程の適用箇所（規程名と条項等）(ウ) 例外措置の適用を申請する期間‑ 11 ‑

NISD-K303-052(エ) 例外措置の適用を申請する措置内容（講ずる代替手段等）(オ) 例外措置の適用を終了したときの報告方法(カ) 例外措置の適用を申請する理由(c) 許可権限者は、行政事務従事者による例外措置の適用の申請を、定められた審査手続に従って審査し、許可の可否を決定すること。また、決定の際に、以下の項目を含む例外措置の適用審査記録を整備し、最高情報セキュリティ責任者に報告すること。
(ア) 決定を審査した者の情報（氏名、役割名、所属、連絡先）(イ) 申請内容• 申請者の情報（氏名、所属、連絡先）• 例外措置の適用を申請する情報セキュリティ関係規程の該当箇所（規程名と条項等）• 例外措置の適用を申請する期間• 例外措置の適用を申請する措置内容（講ずる代替手段等）• 例外措置の適用を終了した旨の報告方法• 例外措置の適用を申請する理由(ウ) 審査結果の内容• 許可又は不許可の別• 許可又は不許可の理由• 例外措置の適用を許可した情報セキュリティ関係規程の適用箇所（規程名と条項等）• 例外措置の適用を許可した期間• 許可した措置内容（講ずるべき代替手段等）• 例外措置を終了した旨の報告方法(d) 行政事務従事者は、例外措置の適用について許可を受け、例外措置を適用した場
合には、それを終了したときに、当該例外措置の許可権限者にその旨を報告すること。ただし、許可権限者が報告を要しないとした場合は、この限りでない。
(e) 許可権限者は、例外措置の適用を許可した期間の終了期日に、許可を受けた者からの報告の有無を確認し、報告がない場合には、許可を受けた者に状況を報告させ、必要な対応を講ずること。ただし、許可権限者が報告を要しないとした場合
は、この限りでない。
(f) 最高情報セキュリティ責任者は、例外措置の適用審査記録の台帳を整備し、例外措置の適用審査記録の参照について、情報セキュリティ監査を実施する者からの求めに応ずること。

‑ 12 ‑

NISD-K303-052

2.2

運用

2.2.1 情報セキュリティ対策の教育
遵守事項(1) 行政事務従事者に対する情報セキュリティ対策教育の実施【基本遵守事項】(a) 統括情報セキュリティ責任者は、情報セキュリティ関係規程について、行政事
務従事者に対し、その啓発をすること。
(b) 統括情報セキュリティ責任者は、情報セキュリティ関係規程について、行政事
務従事者に教育すべき内容を検討し、教育のための資料を整備すること。
(c) 統括情報セキュリティ責任者は、行政事務従事者が毎年度最低１回、受講できるように、情報セキュリティ対策の教育に係る計画を企画、立案するとともに、その実施体制を整備すること。
(d) 統括情報セキュリティ責任者は、行政事務従事者の着任時、異動時に新しい職場等で３か月以内に受講できるように、情報セキュリティ対策の教育を企画、立案し、その体制を整備すること。
(e) 統括情報セキュリティ責任者は、行政事務従事者の情報セキュリティ対策の教育の受講状況を管理できる仕組みを整備すること。
(f) 統括情報セキュリティ責任者は、行政事務従事者の情報セキュリティ対策の教育の受講状況について、課室情報セキュリティ責任者に通知すること。
(g) 課室情報セキュリティ責任者は、行政事務従事者の情報セキュリティ対策の教育の受講が達成されていない場合には、未受講の者に対して、その受講を勧告すること。行政事務従事者が当該勧告に従わない場合には、統括情報セキュリ
ティ責任者にその旨を報告すること。
(h) 統括情報セキュリティ責任者は、毎年度１回、最高情報セキュリティ責任者及び情報セキュリティ委員会に対して、行政事務従事者の情報セキュリティ対策の教育の受講状況について報告すること。
【強化遵守事項】(i) 統括情報セキュリティ責任者は、情報セキュリティ関係規程について、行政事
務従事者に対する情報セキュリティ対策の訓練の内容及び体制を整備すること。
(2) 行政事務従事者による情報セキュリティ対策教育の受講義務【基本遵守事項】(a) 行政事務従事者は、毎年度最低１回、情報セキュリティ対策の教育に関する計画に従って、情報セキュリティ対策の教育を受講すること。
(b) 行政事務従事者は、着任時、異動時に新しい職場等で、情報セキュリティ対策の教育の受講方法について課室情報セキュリティ責任者に確認すること。
(c) 行政事務従事者は、情報セキュリティ対策の教育を受講できず、その理由が本‑ 13 ‑

NISD-K303-052

人の責任ではないと思われる場合には、その理由について、課室情報セキュリ
ティ責任者を通じて、統括情報セキュリティ責任者に報告すること。
【強化遵守事項】(d) 行政事務従事者は、情報セキュリティ対策の訓練に関する規定が定められている場合には、当該規定に従って、情報セキュリティ対策の訓練に参加すること。

2.2.2 障害等の対応
遵守事項(1) 障害等の発生に備えた事前準備【基本遵守事項】(a) 最高情報セキュリティ責任者は、情報セキュリティに関する障害等（インシデ
ント及び故障を含む。以下「障害等」という。）が発生した場合、被害の拡大を防ぐとともに、障害等から復旧するための体制を整備すること。
(b) 統括情報セキュリティ責任者は、障害等について行政事務従事者から情報セキ
ュリティ責任者への報告手順を整備し、当該報告手段をすべての行政事務従事者に周知すること。
(c) 統括情報セキュリティ責任者は、障害等が発生した際の対応手順を整備すること。
(d) 統括情報セキュリティ責任者は、障害等に備え、行政事務の遂行のため特に重要と認めた情報システムについて、その情報システムセキュリティ責任者及び情報システムセキュリティ管理者の緊急連絡先、連絡手段、連絡内容を含む緊急連絡網を整備すること。
【強化遵守事項】(e) 統括情報セキュリティ責任者は、障害等について府省庁の外部から報告を受けるための窓口を設置し、その窓口への連絡手段を府省庁外に公表すること。
(2) 障害等の発生時における報告と応急措置【基本遵守事項】(a) 行政事務従事者は、障害等の発生を知った場合には、それに関係する者に連絡するとともに、統括情報セキュリティ責任者が定めた報告手順により、情報セ
キュリティ責任者にその旨を報告すること。
(b) 行政事務従事者は、障害等が発生した際の対応手順の有無を確認し、それを実施できる場合には、その手順に従うこと。
(c) 行政事務従事者は、障害等が発生した場合であって、当該障害等について対応
手順がないとき及びその有無を確認できないときは、その対応についての指示を受けるまで、障害等による被害の拡大防止に努めること。指示があった場合には、その指示に従うこと。

‑ 14 ‑

NISD-K303-052(3) 障害等の原因調査と再発防止策【基本遵守事項】(a) 情報セキュリティ責任者は、障害等が発生した場合には、障害等の原因を調査し再発防止策を策定し、その結果を報告書として最高情報セキュリティ責任者に報告すること。
(b) 最高情報セキュリティ責任者は、情報セキュリティ責任者から障害等についての報告を受けた場合には、その内容を検討し、再発防止策を実施するために必要な措置を講ずること。

‑ 15 ‑

NISD-K303-052

2.3

評価

2.3.1 情報セキュリティ対策の自己点検
遵守事項(1) 自己点検に関する年度計画の策定【基本遵守事項】(a) 最高情報セキュリティ責任者は、年度自己点検計画を策定すること。
(2) 自己点検の実施に関する準備【基本遵守事項】(a) 情報セキュリティ責任者は、行政事務従事者ごとの自己点検票及び自己点検の実施手順を整備すること。
(3) 自己点検の実施【基本遵守事項】(a) 情報セキュリティ責任者は、最高情報セキュリティ責任者が定める年度自己点検計画に基づき、行政事務従事者に対して、自己点検の実施を指示すること。
(b) 行政事務従事者は、情報セキュリティ責任者から指示された自己点検票及び自己点検の実施手順を用いて自己点検を実施すること。
(4) 自己点検結果の評価【基本遵守事項】(a) 情報セキュリティ責任者は、行政事務従事者による自己点検が行われていることを確認し、その結果を評価すること。
(b) 最高情報セキュリティ責任者は、情報セキュリティ責任者による自己点検が行われていることを確認し、その結果を評価すること。
(5) 自己点検に基づく改善【基本遵守事項】(a) 行政事務従事者は、自らが実施した自己点検の結果に基づき、自己の権限の範囲で改善できると判断したことは改善し、情報セキュリティ責任者にその旨を報告すること。
(b) 最高情報セキュリティ責任者は、自己点検の結果を全体として評価し、必要があると判断した場合には情報セキュリティ責任者に改善を指示すること。

2.3.2 情報セキュリティ対策の監査
遵守事項‑ 16 ‑

NISD-K303-052(1) 監査計画の策定【基本遵守事項】(a) 情報セキュリティ監査責任者は、年度情報セキュリティ監査計画を策定し、最高情報セキュリティ責任者の承認を得ること。
(2) 情報セキュリティ監査の実施に関する指示【基本遵守事項】(a) 最高情報セキュリティ責任者は、年度情報セキュリティ監査計画に従って、情報セキュリティ監査責任者に対して、監査の実施を指示すること。
(b) 最高情報セキュリティ責任者は、情報セキュリティの状況の変化に応じて必要と判断した場合、情報セキュリティ監査責任者に対して、年度情報セキュリテ
ィ監査計画で計画された事案以外の監査の実施を指示すること。
(3) 個別の監査業務における監査実施計画の策定【基本遵守事項】(a) 情報セキュリティ監査責任者は、年度情報セキュリティ監査計画及び情報セキ
ュリティの状況の変化に応じた監査の実施指示に基づき、個別の監査業務ごとの監査実施計画を策定すること。
(4) 情報セキュリティ監査を実施する者の要件【基本遵守事項】(a) 情報セキュリティ監査責任者は、監査を実施する場合には、被監査部門から独立した情報セキュリティ監査を実施する者に対して、監査の実施を依頼すること。
(b) 情報セキュリティ監査責任者は、必要に応じて、府省庁外の者に監査の一部を請け負わせること。
(5) 情報セキュリティ監査の実施【基本遵守事項】(a) 情報セキュリティ監査を実施する者は、情報セキュリティ監査責任者の指示に基づき、監査実施計画に従って監査を実施すること。
(b) 情報セキュリティ監査を実施する者は、省庁基準が統一基準に準拠しているか否かを確認すること。
(c) 情報セキュリティ監査を実施する者は、省庁基準の導入に当たって実施手順が作成されている場合には、それらが省庁基準に準拠しているか否かを確認すること。
(d) 情報セキュリティ監査を実施する者は、被監査部門における実際の運用が情報
セキュリティ関係規程に準拠しているか否かを確認すること。
(e) 情報セキュリティ監査を実施する者は、監査調書を作成し、あらかじめ定められた期間保存すること。
‑ 17 ‑

NISD-K303-052(f) 情報セキュリティ監査責任者は、監査調書に基づき監査報告書を作成し、最高
情報セキュリティ責任者へ提出すること。
(6) 情報セキュリティ監査結果に対する対応【基本遵守事項】(a) 最高情報セキュリティ責任者は、監査報告書の内容を踏まえ、被監査部門の情
報セキュリティ責任者に対して、指摘事案に対する対応の実施を指示すること。
(b) 最高情報セキュリティ責任者は、監査報告書の内容を踏まえ、監査を受けた部
門以外の部門においても同種の課題及び問題点がある可能性が高く、かつ緊急に同種の課題及び問題点があることを確認する必要があると判断した場合には、他の部門の情報セキュリティ責任者に対しても、同種の課題及び問題点の有無を確認するように指示すること。
(c) 情報セキュリティ責任者は、監査報告書に基づいて最高情報セキュリティ責任者から改善を指示された事案について、対応計画を作成し、報告すること。
(d) 最高情報セキュリティ責任者は、監査の結果を踏まえ、既存の情報セキュリテ
ィ関係規程の妥当性を評価し、必要に応じてその見直しを指示すること。

‑ 18 ‑

NISD-K303-052

2.4

見直し

2.4.1 情報セキュリティ対策の見直し
遵守事項(1) 情報セキュリティ対策の見直し【基本遵守事項】(a) 情報セキュリティ関係規程を整備した者は、各規定の見直しを行う必要性の有無を適時検討し、必要があると認めた場合にはその見直しを行うこと。
(b) 行政事務従事者は、自らが実施した情報セキュリティ対策に関連する事項に課題及び問題点が認められる場合には、当該事項の見直しを行うこと。

‑ 19 ‑

NISD-K303-052

第３部
3.1

情報についての対策

情報の格付け3.1.1 情報の格付け
遵守事項(1) 情報の格付け【基本遵守事項】(a) 情報セキュリティ委員会は、行政事務で取り扱う情報について、電磁的記録については機密性、完全性及び可用性の観点から、書面については機密性の観点から当該情報の格付け及び取扱制限の基準並びに格付け及び取扱制限を明示する手順を整備すること。

‑ 20 ‑

NISD-K303-052

3.2

情報の取扱い3.2.1 情報の作成と入手
遵守事項(1) 業務以外の情報の作成又は入手の禁止【基本遵守事項】(a) 行政事務従事者は、行政事務の遂行以外の目的で、情報システムに係る情報を作成し又は入手しないこと。
(2) 情報の作成又は入手時における格付けの決定と取扱制限の検討【基本遵守事項】(a) 行政事務従事者は、情報の作成時に当該情報の機密性、完全性、可用性に応じて格付けを行い、あわせて取扱制限の必要性の有無を検討すること。
(b) 行政事務従事者は、府省庁外の者が作成した情報を入手し、管理を開始する時に当該情報の機密性、完全性、可用性に応じて格付けを行い、あわせて取扱制
限の必要性の有無を検討すること。
(3) 格付けと取扱制限の明示【基本遵守事項】(a) 行政事務従事者は、情報の格付けを、当該情報の参照が許されている者が認識できる方法を用いて明示し、必要に応じて取扱制限についても明示すること。
(4) 格付けと取扱制限の継承【基本遵守事項】(a) 行政事務従事者は、情報を作成する際に、既に格付けされた情報を引用する場
合には、当該情報の格付け及び取扱制限を継承すること。
(5) 格付けと取扱制限の変更【基本遵守事項】(a) 行政事務従事者は、情報の格付けを変更する必要性があると思料する場合には、当該情報の作成者又は入手者に相談すること。相談された者は、格付けの見直しを行う必要があると認めた場合には、当該情報に対して妥当な格付けを行う
こと。
(b) 行政事務従事者は、情報の取扱制限を変更する必要性があると思料する場合には、当該情報の作成者又は入手者に相談すること。相談された者は、取扱制限の見直しを行う必要があると認めた場合には、当該情報に対して新たな取扱制
限を決定すること。

‑ 21 ‑

NISD-K303-052

3.2.2 情報の利用
遵守事項(1) 業務以外の利用の禁止【基本遵守事項】(a) 行政事務従事者は、行政事務の遂行以外の目的で、情報システムに係る情報を利用しないこと。
(2) 格付け及び取扱制限に従った情報の取扱い【基本遵守事項】(a) 行政事務従事者は、利用する情報に明示された格付けに従って、当該情報を適切に取り扱うこと。格付けに加えて取扱制限の明示がなされている場合には、当該取扱制限の指示内容に従って取り扱うこと。
(3) 要保護情報の取扱い【基本遵守事項】(a) 行政事務従事者は、行政事務の遂行以外の目的で、要保護情報を府省庁外に持ち出さないこと。
(b) 行政事務従事者は、要保護情報を放置しないこと。
(c) 行政事務従事者は、機密性３情報を必要以上に複製しないこと。
(d) 行政事務従事者は、要機密情報を必要以上に配付しないこと。
【強化遵守事項】(e) 行政事務従事者は、機密性３情報には、機密性３情報として取り扱う期間を明記すること。また、その期間中であっても、情報の格付けを下げる必要性があると思料される場合には、格付けの変更に必要な処理を行うこと。
(f) 行政事務従事者は、書面に印刷された機密性３情報には、一連番号を付し、その所在を明らかにしておくこと。

3.2.3 情報の保存
遵守事項(1) 格付けに応じた情報の保存【基本遵守事項】(a) 情報システムセキュリティ責任者は、電子計算機に保存された要保護情報について、適切なアクセス制御を行うこと。
(b) 行政事務従事者は、情報の格付けに応じて、情報が保存された外部記録媒体を適切に管理すること。
(c) 行政事務従事者は、情報システムに入力された情報若しくは情報システムから出力した情報を記載した書面のうち要機密情報を記載した書面、又は重要な設‑ 22 ‑

NISD-K303-052

計書を適切に管理すること。
(d) 行政事務従事者は、要機密情報を電子計算機又は外部記録媒体に保存する場合には、暗号化を行う必要性の有無を検討し、必要があると認めたときは、情報を暗号化すること。
(e) 行政事務従事者は、要保全情報を電子計算機又は外部記録媒体に保存する場合には、電子署名の付与を行う必要性の有無を検討し、必要があると認めたときは、情報に電子署名を付与すること。
(f) 行政事務従事者は、要保全情報若しくは要安定情報である電磁的記録又は重要な設計書について、バックアップ又は複写の必要性の有無を検討し、必要があると認めたときは、そのバックアップ又は複写を取得すること。
(g) 情報システムセキュリティ責任者は、要保全情報若しくは要安定情報である電磁的記録のバックアップ又は重要な設計書の複写の保管について、災害等への対策の必要性を検討し、必要があると認めたときは、同時被災等しないための適切な措置を講ずること。
(2) 情報の保存期間【基本遵守事項】(a) 行政事務従事者は、電子計算機又は外部記録媒体に保存された情報の保存期間が定められている場合には、当該情報を保存期間が満了する日まで保存し、保存期間を延長する必要性がない場合は、速やかに消去すること。

3.2.4 情報の移送
遵守事項(1) 情報の移送に関する許可及び届出【基本遵守事項】(a) 行政事務従事者は、機密性３情報を移送する場合には、課室情報セキュリティ
責任者の許可を得ること。
(b) 行政事務従事者は、機密性２情報を移送する場合には、課室情報セキュリティ
責任者に届け出ること。
(2) 情報の送信と運搬の選択【基本遵守事項】(a) 行政事務従事者は、要機密情報を移送する場合には、安全確保に留意して、送信又は運搬のいずれによるかを決定し、課室情報セキュリティ責任者に届け出ること。
(3) 移送手段の選択【基本遵守事項】‑ 23 ‑

NISD-K303-052(a) 行政事務従事者は、要機密情報を移送する場合には、安全確保に留意して、当該要機密情報の移送手段を決定し、課室情報セキュリティ責任者に届け出ること。
(4) 書面に記載された情報の保護対策【基本遵守事項】(a) 行政事務従事者は、要機密情報が記載された書面を運搬する場合には、情報の格付けに応じて、安全確保のための適切な措置を講ずること。
(5) 電磁的記録の保護対策【基本遵守事項】(a) 行政事務従事者は、要機密情報である電磁的記録を移送する場合には、パスワードを用いて保護する必要性の有無を検討し、必要があると認めたときは、情報にパスワードを設定すること。
(b) 行政事務従事者は、要機密情報である電磁的記録を移送する場合には、暗号化を行う必要性の有無を検討し、必要があると認めたときは、情報を暗号化すること。
【強化遵守事項】(c) 行政事務従事者は、要機密情報である電磁的記録を移送する場合には、必要な強度の暗号化に加えて、複数の情報に分割してそれぞれ異なる移送経路を用いること。

3.2.5 情報の提供
遵守事項(1) 情報の公表【基本遵守事項】(a) 行政事務従事者は、情報を公表する場合には、当該情報が機密性１情報に格付けされるものであることを確認すること。
(b) 行政事務従事者は、電磁的記録を公表する場合には、当該情報の付加情報等からの不用意な情報漏えいを防止するための措置を採ること。
(2) 他者への情報の提供【基本遵守事項】(a) 行政事務従事者は、機密性３情報を府省庁外の者に提供する場合には、課室情報セキュリティ責任者の許可を得ること。
(b) 行政事務従事者は、機密性２情報を府省庁外の者に提供する場合には、課室情報セキュリティ責任者に届け出ること。
(c) 行政事務従事者は、要機密情報を府省庁外の者に提供する場合には、提供先において、当該要機密情報が、自らが所属する府省庁の付した情報の機密性の格‑ 24 ‑

NISD-K303-052

付けに応じて適切に取り扱われるための措置を講ずること。
(d) 行政事務従事者は、電磁的記録を提供する場合には、当該記録の付加情報等からの不用意な情報漏えいを防止するための措置を採ること。

3.2.6 情報の消去
遵守事項(1) 電磁的記録の消去方法【基本遵守事項】(a) 行政事務従事者は、電子計算機、通信回線装置及び外部記録媒体を廃棄する場
合には、データ消去ソフトウェア若しくはデータ消去装置の利用又は物理的な破壊若しくは磁気的な破壊などの方法を用いて、すべての情報を復元が困難な状態にすること。
(b) 行政事務従事者は、電子計算機、通信回線装置及び外部記録媒体を他の者へ提供する場合には、これらに保存された情報を復元が困難な状態にする必要性の有無を検討し、必要があると認めたときは、データ消去ソフトウェア又はデー
タ消去装置を用いて、当該電子計算機等の要機密情報を復元が困難な状態にし、残留する要機密情報を最小限に保つこと。
【強化遵守事項】(c) 行政事務従事者は、電子計算機、通信回線装置及び外部記録媒体について、設
置環境等から必要があると認められる場合は、データ消去ソフトウェアを用いて、当該電子計算機等の要機密情報を復元が困難な状態にし、残留する要機密情報を最小限に保つこと。
(2) 書面の廃棄方法【基本遵守事項】(a) 行政事務従事者は、要機密情報が記録された書面を廃棄する場合には、復元が困難な状態にすること。

‑ 25 ‑

NISD-K303-052

第４部
4.1

情報セキュリティ要件の明確化に基づく対策

情報セキュリティについての機能

4.1.1 主体認証機能
遵守事項(1) 主体認証機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、すべての情報システムについて、主体認証を行う必要性の有無を検討すること。この場合、要保護情報を取り扱う情報システムについては、主体認証を行う必要性があると判断すること。
(b) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、識別及び主体認証を行う機能を設けること。
(c) 情報システムセキュリティ管理者は、主体認証を行う必要があると認めた情報システムにおいて、主体認証情報を秘密にする必要がある場合には、当該主体
認証情報が明らかにならないように管理すること。
(ア) 主体認証情報を保存する場合には、その内容の暗号化を行うこと。
(イ) 主体認証情報を通信する場合には、その内容の暗号化を行うこと。
(ウ) 保存又は通信を行う際に暗号化を行うことができない場合には、利用者に自らの主体認証情報を設定、変更、提供（入力）させる際に、暗号化が行われない旨を通知すること。
(d) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、利用者に主体認証情報の定期的な変更を求める場合には、利用者に対して定期的な変更を促す機能のほか、以下のいずれかの機能を設けること。
(ア) 利用者が定期的に変更しているか否かを確認する機能(イ) 利用者が定期的に変更しなければ、情報システムの利用を継続させない機能(e) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、主体認証情報又は主体認証情報格納装置を他者に使用され又は使用される危険性を認識した場合に、直ちに当該主体認証情報若しくは主
体認証情報格納装置による主体認証を停止する機能又はこれに対応する識別コードによる情報システムの利用を停止する機能を設けること。
(f) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、知識による主体認証方式を用いる場合には、以下の機能を設けること。
(ア) 利用者が、自らの主体認証情報を設定する機能(イ) 利用者が設定した主体認証情報を他者が容易に知ることができないよう‑ 26 ‑

NISD-K303-052に保持する機能(g) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、知識、所有、生体情報以外の主体認証方式を用いる場合には、以下の要件について検証した上で、当該主体認証方式に適用することが可能な要件をすべて満たすこと。また、用いる方式に応じて、以下を含む要件を定めること。
(ア) 正当な主体以外の主体を誤って主体認証しないこと。
（誤認の防止）(イ) 正当な主体が本人の責任ではない理由で主体認証できなくならないこと。
（誤否の防止）(ウ) 正当な主体が容易に他者に主体認証情報を付与及び貸与ができないこと。
（代理の防止）(エ) 主体認証情報が容易に複製できないこと。
（複製の防止）(オ) 情報システムセキュリティ管理者の判断により、ログオンを個々に無効化できる手段があること。（無効化の確保）(カ) 主体認証について業務遂行に十分な可用性があること。
（可用性の確保）(キ) 新たな主体を追加するために、外部からの情報や装置の供給を必要とする
場合には、それらの供給が情報システムの耐用期間の間、十分受けられること。（継続性の確保）(ク) 主体に付与した主体認証情報を使用することが不可能になった際に、正当な主体に対して主体認証情報を安全に再発行できること。
（再発行の確保）(h) 情報システムセキュリティ責任者は、生体情報による主体認証方式を用いる場
合には、当該生体情報を本人から事前に同意を得た目的以外の目的で使用しないこと。また、当該生体情報について、本人のプライバシーを侵害しないように留意すること。
【強化遵守事項】(i) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、複数要素（複合）主体認証方式で主体認証を行う機能を設けること。
(j) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、ログオンした利用者に対して、前回のログオンに関する情報を通知する機能を設けること。
(k) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、不正にログオンしようとする行為を検知し、又は防止する機能を設けること。
(l) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、利用者が情報システムにログインする前に、当該情報シス
テムの利用に関する通知メッセージを表示する機能を設けること。
(m) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、利用者に主体認証情報の定期的な変更を求める場合には、以前に設定した主体認証情報と同じものを再設定することを防止する機能を‑ 27 ‑

NISD-K303-052

設けること。
(n) 情報システムセキュリティ責任者は、主体認証を行う必要があると認めた情報システムにおいて、管理者権限を持つ識別コードを共用する場合には、当該識別コードでログインする前に個別の識別コードによりログオンすることが必要となる機能を設けること。
(2) 行政事務従事者における識別コードの管理【基本遵守事項】(a) 行政事務従事者は、自己に付与された識別コード以外の識別コードを用いて、情報システムを利用しないこと。
(b) 行政事務従事者は、自己に付与された識別コードを他者に付与及び貸与しないこと。
(c) 行政事務従事者は、自己に付与された識別コードを、それを知る必要のない者に知られるような状態で放置しないこと。
(d) 行政事務従事者は、行政事務のために識別コードを利用する必要がなくなった
場合は、情報システムセキュリティ管理者に届け出ること。ただし、個別の届出が必要ないと、あらかじめ情報システムセキュリティ責任者が定めている場
合は、この限りでない。
【強化遵守事項】(e) 管理者権限を持つ識別コードを付与された者は、管理者としての業務遂行時に限定して、当該識別コードを利用すること。
(3) 行政事務従事者における主体認証情報の管理【基本遵守事項】(a) 行政事務従事者は、主体認証情報が他者に使用され又はその危険が発生した場
合には、直ちに情報システムセキュリティ責任者又は情報システムセキュリティ管理者にその旨を報告すること。
(b) 主体認証情報が他者に使用され又はその危険が発生したことの報告を受けた
情報システムセキュリティ責任者又は情報システムセキュリティ管理者は、必要な措置を講ずること。
(c) 行政事務従事者は、知識による主体認証情報を用いる場合には、以下の管理を徹底すること。
(ア) 自己の主体認証情報を他者に知られないように管理すること。
(イ) 自己の主体認証情報を他者に教えないこと。
(ウ) 主体認証情報を忘却しないように努めること。
(エ) 主体認証情報を設定するに際しては、容易に推測されないものにすること。
(オ) 情報システムセキュリティ管理者から主体認証情報を定期的に変更する
ように指示されている場合は、その指示に従って定期的に変更すること。
(d) 行政事務従事者は、所有による主体認証を用いる場合には、以下の管理を徹底すること。
‑ 28 ‑

NISD-K303-052(ア) 主体認証情報格納装置を本人が意図せずに使われることのないように安全措置を講じて管理すること。
(イ) 主体認証情報格納装置を他者に付与及び貸与しないこと。
(ウ) 主体認証情報格納装置を紛失しないように管理すること。紛失した場合には、直ちに情報システムセキュリティ責任者又は情報システムセキュリティ管理者にその旨を報告すること。
(エ) 主体認証情報格納装置を利用する必要がなくなった場合には、これを情報システムセキュリティ責任者又は情報システムセキュリティ管理者に返還すること。

4.1.2 アクセス制御機能
遵守事項(1) アクセス制御機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、すべての情報システムについて、アクセス制御を行う必要性の有無を検討すること。この場合、要保護情報を取り扱う
情報システムについては、アクセス制御を行う必要があると判断すること。
(b) 情報システムセキュリティ責任者は、アクセス制御を行う必要があると認めた
情報システムにおいて、アクセス制御を行う機能を設けること。
【強化遵守事項】(c) 情報システムセキュリティ責任者は、アクセス制御を行う必要があると認めた
情報システムにおいて、利用者及び所属するグループの属性以外に基づくアクセス制御の機能を追加すること。
(d) 情報システムセキュリティ責任者は、アクセス制御を行う必要があると認めた
情報システムにおいて、強制アクセス制御機能を設けること。
(2) 行政事務従事者による適正なアクセス制御【基本遵守事項】(a) 行政事務従事者は、情報システムに装備された機能を用いて、当該情報システ
ムに保存される情報の格付けと取扱制限の指示内容に従って、必要なアクセス制御の設定をすること。

4.1.3 権限管理機能
遵守事項(1) 権限管理機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、すべての情報システムについて、権限管‑ 29 ‑

NISD-K303-052

理を行う必要性の有無を検討すること。この場合、要保護情報を取り扱う情報システムについては、権限管理を行う必要があると判断すること。
(b) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、権限管理を行う機能を設けること。
【強化遵守事項】(c) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、最少特権機能を設けること。
(d) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、主体認証情報の再発行を自動で行う機能を設けること。
(e) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、デュアルロック機能を設けること。
(2) 識別コードと主体認証情報の付与管理【基本遵守事項】(a) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、共用識別コードの利用許可については、情報システムごとにその必要性を判断すること。
(b) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、権限管理について、以下の事項を含む手続を明確にすること。
(ア) 主体からの申請に基づいて権限管理を行う場合には、その申請者が正当な主体であることを確認するための手続(イ) 主体認証情報の初期配布方法及び変更管理手続(ウ) アクセス制御情報の設定方法及び変更管理手続(c) 情報システムセキュリティ責任者は、権限管理を行う必要があると認めた情報システムにおいて、権限管理を行う者を定めること。
(d) 権限管理を行う者は、権限管理を行う必要があると認めた情報システムにおいて、情報システムを利用する許可を得た主体に対してのみ、識別コード及び主体認証情報を発行すること。
(e) 権限管理を行う者は、権限管理を行う必要があると認めた情報システムにおいて、識別コードを発行する際に、それが共用識別コードか、共用ではない識別
コードかの区別を利用者に通知すること。ただし、共用識別コードは、情報シ
ステムセキュリティ責任者が、その利用を認めた情報システムでのみ付与することができる。
(f) 権限管理を行う者は、権限管理を行う必要があると認めた情報システムにおいて、管理者権限を持つ識別コードを、業務又は業務上の責務に即した場合に限定して付与すること。
(g) 権限管理を行う者は、権限管理を行う必要があると認めた情報システムにおいて、行政事務従事者が情報システムを利用する必要がなくなった場合には、当該行政事務従事者の識別コードを無効にすること。また、人事異動等、識別コ‑ 30 ‑

NISD-K303-052

ードを追加又は削除する時に、不要な識別コードの有無を点検すること。
(h) 権限管理を行う者は、権限管理を行う必要があると認めた情報システムにおいて、行政事務従事者が情報システムを利用する必要がなくなった場合には、当該行政事務従事者に交付した主体認証情報格納装置を返還させること。
(i) 権限管理を行う者は、権限管理を行う必要があると認めた情報システムにおいて、業務上の責務と必要性を勘案し、必要最小限の範囲に限ってアクセス制御に係る設定をすること。また、人事異動等、識別コードを追加又は削除する時に、不適切なアクセス制御設定の有無を点検すること。
【強化遵守事項】(j) 権限管理を行う者は、権限管理を行う必要があると認めた情報システムにおいて、単一の情報システムにおいては、１人の行政事務従事者に対して単一の識
別コードのみを付与すること。
(k) 権限管理を行う者は、権限管理を行う必要があると認めた情報システムにおいて、付与した識別コードをどの主体に付与していたかの記録について、保存すること。当該記録を消去する場合には、情報セキュリティ責任者からの事前の承認を得ること。
(l) 権限管理を行う者は、権限管理を行う必要があると認めた情報システムにおいて、ある主体に付与した識別コードをその後別の主体に対して付与しないこと。
(3) 識別コードと主体認証情報における代替措置の適用【基本遵守事項】(a) 情報システムセキュリティ管理者は、権限管理を行う必要があると認めた情報システムにおいて、付与した識別コードが使用できなくなった行政事務従事者
から、代替手段の使用に関する許可申請を受けた場合には、その申請者が正当な利用者であることを確認した上で、その必要性の有無を検討し、必要があると認めたときは、代替手段を提供すること。
(b) 情報システムセキュリティ責任者及び情報システムセキュリティ管理者は、権限管理を行う必要があると認めた情報システムにおいて、識別コードの不正使用の報告を受けた場合には、直ちに当該識別コードによる使用を停止させること。

4.1.4 証跡管理機能
遵守事項(1) 証跡管理機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、すべての情報システムについて、証跡管理を行う必要性の有無を検討すること。
(b) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報‑ 31 ‑

NISD-K303-052

システムには、証跡管理のために証跡を取得する機能を設けること。
(c) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、事象を証跡として記録するに当たり、事象ごとに必要な情報項目を記録するように情報システムの設定をすること。
(d) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、証跡が取得できなくなった場合及び取得できなくなるおそれがある場合の対処方針を整備し、必要に応じ、これらの場合に対応するための機能を情報システムに設けること。
(e) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、取得した証跡に対して不当な消去、改ざん及びアクセス
がなされないように、取得した証跡についてアクセス制御を行い、外部記録媒体等その他の装置・媒体に記録した証跡についてはこれを適正に管理すること。
【強化遵守事項】(f) 情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、証跡の点検、分析及び報告を支援するための自動化機能
を情報システムに設けること。
(g) 情報システムセキュリティ責任者は、取得した証跡管理情報の内容により、情報セキュリティ侵害の可能性を示す事象を検知した場合に、監視要員等にその旨を即時に通知する機能を情報システムに設けること。
(2) 情報システムセキュリティ管理者による証跡の取得と保存【基本遵守事項】(a) 情報システムセキュリティ管理者は、証跡を取得する必要があると認めた情報システムにおいては、情報システムセキュリティ責任者が情報システムに設けた機能を利用して、証跡を記録すること。
(b) 情報システムセキュリティ管理者は、証跡を取得する必要があると認めた情報システムにおいては、取得した証跡の保存期間を定め、当該保存期間が満了する日まで証跡を保存し、保存期間を延長する必要性がない場合は、速やかにこれを消去すること。
(c) 情報システムセキュリティ管理者は、証跡を取得する必要があると認めた情報システムにおいては、証跡が取得できない場合又は取得できなくなるおそれがある場合は、定められた対処を行うこと。
(3) 取得した証跡の点検、分析及び報告【強化遵守事項】(a) 情報セキュリティ責任者又は情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、取得した証跡を定期的に又は適宜点検及び分析し、その結果に応じて必要な情報セキュリティ対策を講じ、又はそれぞれ統括情報セキュリティ責任者若しくは情報セキュリティ責任者に報告すること。
‑ 32 ‑

NISD-K303-052(b) 監視要員等は、セキュリティ侵害の可能性を示す事象を検知した旨の通知を受けた場合には、あらかじめ定められた措置を採ること。
(4) 証跡管理に関する利用者への周知【基本遵守事項】(a) 情報セキュリティ責任者又は情報システムセキュリティ責任者は、証跡を取得する必要があると認めた情報システムにおいては、情報システムセキュリティ
管理者及び利用者等に対して、証跡の取得、保存、点検及び分析を行う可能性があることをあらかじめ説明すること。

4.1.5 保証のための機能
遵守事項(1) 保証のための機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについて、保証のための対策を行う必要性の有無を検討すること。
(b) 情報システムセキュリティ責任者は、保証のための対策を行う必要があると認めた情報システムにおいて、保証のための機能を設けること。

4.1.6 暗号と電子署名（鍵管理を含む）
遵守事項(1) 暗号化機能及び電子署名の付与機能の導入【基本遵守事項】(a) 情報システムセキュリティ責任者は、要機密情報（書面を除く。以下この項において同じ。）を取り扱う情報システムについて、暗号化を行う機能を付加する必要性の有無を検討すること。
(b) 情報システムセキュリティ責任者は、暗号化を行う必要があると認めた情報シ
ステムには、暗号化を行う機能を設けること。
(c) 情報システムセキュリティ責任者は、要保全情報を取り扱う情報システムについて、電子署名の付与を行う機能を付加する必要性の有無を検討すること。
(d) 情報システムセキュリティ責任者は、電子署名の付与を行う必要があると認めた情報システムには、電子署名の付与を行う機能を設けること。
(e) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与を行う必要があると認めた情報システムにおいて、アルゴリズムを選択するに当たっては、必要とされる安全性及び信頼性について検討を行い、電子政府推奨暗号リストに記載されたアルゴリズムが選択可能であれば、これを選択すること。ただし、‑ 33 ‑

NISD-K303-052

新規（更新を含む。）に暗号化又は電子署名の付与のアルゴリズムを導入する
場合には、電子政府推奨暗号リストの中から選択すること。なお、複数のアルゴリズムを選択可能な構造となっている場合には、少なくとも一つを電子政府
推奨暗号リストの中から選択すること。
【強化遵守事項】(f) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与を行う必要があると認めた情報システムにおいて、暗号モジュールを、交換ができるようにコンポーネント化して構成すること。
(g) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与を行う必要があると認めた情報システムにおいて、複数のアルゴリズムを選択可能とすること。
(h) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与を行う必要があると認めた情報システムにおいて、選択したアルゴリズムが、ソフトウェア
やハードウェアへ適切に実装されているか否かを確認すること。
(i) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与を行う必要があると認めた情報システムにおいて、暗号化された情報（書面を除く。以下この項において同じ。）の復号又は電子署名の付与に用いる鍵を、第三者による物理的な攻撃から保護するために、耐タンパー性を有する暗号モジュールへ格納すること。
(2) 暗号化及び電子署名の付与に係る管理【基本遵守事項】(a) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与を行う必要があると認めた情報システムにおいて、暗号化された情報の復号又は電子署名の付与に用いる鍵について、鍵の生成手順、有効期限、廃棄手順、更新手順、鍵が露呈した場合の対応手順等を定めること。
(b) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与を行う必要があると認めた情報システムにおいて、暗号化された情報の復号又は電子署名の付与に用いる鍵について、鍵の保存媒体及び保存場所を定めること。
(c) 情報システムセキュリティ責任者は、電子署名の付与を行う必要があると認めた情報システムにおいて、電子署名の正当性を検証するための情報又は手段を
署名検証者へ提供すること。
【強化遵守事項】(d) 情報システムセキュリティ責任者は、暗号化を行う必要があると認めた情報システムにおいて、暗号化された情報の復号に用いる鍵のバックアップの取得方
法又は鍵の預託方法を定めること。
(e) 情報システムセキュリティ責任者は、暗号化又は電子署名の付与を行う必要があると認めた場合、当該情報システムにおいて選択されたアルゴリズムの危殆化に関する情報を適宜入手すること。

‑ 34 ‑

NISD-K303-052(3) 暗号化機能及び電子署名の付与機能の利用【基本遵守事項】(a) 行政事務従事者は、要機密情報を移送する場合又は電磁的記録媒体に保存する
場合には、暗号化を行う必要性の有無を検討し、必要があると認めたときは、情報を暗号化すること。
(b) 行政事務従事者は、要保全情報を移送する場合又は電磁的記録媒体に保存する
場合には、電子署名の付与を行う必要性の有無を検討し、必要があると認めた
ときは、情報に電子署名を付与すること。
(c) 行政事務従事者は、暗号化された情報の復号又は電子署名の付与に用いる鍵について、これを他者に知られないように自己管理すること。
(d) 行政事務従事者は、暗号化された情報の復号に用いる鍵について、機密性、完全性、可用性の観点から、バックアップの必要性の有無を検討し、必要があると認めたときは、そのバックアップを取得し、オリジナルの鍵と同等の安全管理をすること。

‑ 35 ‑

NISD-K303-052

4.2

情報セキュリティについての脅威

4.2.1 セキュリティホール対策
遵守事項(1) 情報システムの構築時【基本遵守事項】(a) 情報システムセキュリティ管理者は、電子計算機及び通信回線装置（公開されたセキュリティホールの情報がない電子計算機及び通信回線装置を除く。以下
この項において同じ。）について、セキュリティホール対策に必要となる機器
情報を収集し、書面として整備すること。
(b) 情報システムセキュリティ管理者は、電子計算機及び通信回線装置の構築又は運用開始時に、当該機器上で利用するソフトウェアに関連する公開されたセキュリティホールの対策を実施すること。
【強化遵守事項】(c) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、セキュリティホール対策中にサービス提供が中断しないように、電子計算機及び通信回線装置を冗長構成にすること。
(d) 情報システムセキュリティ責任者は、公開されたセキュリティホールの情報がいない段階においても電子計算機及び通信回線装置上でその対策を実施すること。
(2) 情報システムの運用時【基本遵守事項】(a) 情報システムセキュリティ管理者は、電子計算機及び通信回線装置の構成に変更があった場合には、セキュリティホール対策に必要となる機器情報を記載した書面を更新すること。
(b) 情報システムセキュリティ管理者は、管理対象となる電子計算機及び通信回線
装置上で利用しているソフトウェアに関連する公開されたセキュリティホールに関連する情報を適宜入手すること。
(c) 情報システムセキュリティ責任者は、入手したセキュリティホールに関連する情報から、当該セキュリティホールが情報システムにもたらすリスクを分析した上で、以下の事項について判断し、セキュリティホール対策計画を作成すること。
(ア) 対策の必要性(イ) 対策方法(ウ) 対策方法が存在しない場合の一時的な回避方法(エ) 対策方法又は回避方法が情報システムに与える影響(オ) 対策の実施予定(カ) 対策テストの必要性‑ 36 ‑

NISD-K303-052(キ) 対策テストの方法(ク) 対策テストの実施予定(d) 情報システムセキュリティ管理者は、セキュリティホール対策計画に基づきセキュリティホール対策を講ずること。
(e) 情報システムセキュリティ管理者は、セキュリティホール対策の実施について、実施日、実施内容及び実施者を含む事項を記録すること。
(f) 情報システムセキュリティ管理者は、信頼できる方法で対策用ファイルを入手すること。また、当該対策用ファイルの完全性検証方法が用意されている場合
は、検証を行うこと。
(g) 情報システムセキュリティ管理者は、定期的にセキュリティホール対策及びソフトウェア構成の状況を確認、分析し、不適切な状態にある電子計算機及び通信回線装置が確認された場合の対処を行うこと。
(h) 情報システムセキュリティ責任者は、入手したセキュリティホールに関連する情報及び対策方法に関して、必要に応じ、他の情報システムセキュリティ責任者と共有すること。

4.2.2 不正プログラム対策
遵守事項(1) 情報システムの構築時【基本遵守事項】(a) 情報セキュリティ責任者は、不正プログラム感染の回避を目的とした行政事務従事者に対する留意事項を含む日常的実施事項を定めること。
(b) 情報システムセキュリティ責任者は、電子計算機（当該電子計算機で動作可能なアンチウイルスソフトウェア等が存在しない場合を除く。以下この項において同じ。
）にアンチウイルスソフトウェア等を導入すること。
(c) 情報システムセキュリティ責任者は、想定される不正プログラムの感染経路のすべてにおいてアンチウイルスソフトウェア等により不正プログラム対策を実施すること。
【強化遵守事項】(d) 情報システムセキュリティ責任者は、想定される不正プログラムの感染経路において、異なる業者のアンチウイルスソフトウェア等を組み合わせ、導入すること。
(e) 情報システムセキュリティ責任者は、不正プログラムが通信により拡散することを防止するための対策を実施すること。
(2) 情報システムの運用時【基本遵守事項】(a) 情報システムセキュリティ管理者は、不正プログラムに関する情報の収集に努‑ 37 ‑

NISD-K303-052

め、当該情報について対処の要否を決定し、特段の対処が必要な場合には、行政事務従事者にその対処の実施に関する指示を行うこと。
(b) 行政事務従事者は、アンチウイルスソフトウェア等により不正プログラムとして検知される実行ファイルを実行せず、データファイルをアプリケーション等
で読み込まないこと。
(c) 行政事務従事者は、アンチウイルスソフトウェア等にかかわるアプリケーショ
ン及び不正プログラム定義ファイル等について、これを常に最新の状態に維持すること。
(d) 行政事務従事者は、アンチウイルスソフトウェア等による不正プログラムの自動検査機能を有効にすること。
(e) 行政事務従事者は、アンチウイルスソフトウェア等により定期的にすべての電子ファイルに対して、不正プログラムの有無を確認すること。
(f) 行政事務従事者は、外部からデータやソフトウェアを電子計算機等に取り込む
場合又は外部にデータやソフトウェアを提供する場合には、不正プログラム感
染の有無を確認すること。
(g) 行政事務従事者は、ソフトウェアのセキュリティ機能を活用し、不正プログラ
ム感染の予防に努めること。
(h) 情報セキュリティ責任者は、不正プログラム対策の状況を適宜把握し、その見直しを行うこと。
【強化遵守事項】(i) 情報セキュリティ責任者は、実施している不正プログラム対策では不十分な事
態が発生した場合に備え、外部の専門家の支援を受けられるようにしておくこと。

4.2.3 サービス不能攻撃対策
遵守事項(1) 情報システムの構築時【基本遵守事項】(a) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システム（インターネットからアクセスを受ける電子計算機、通信回線装置又は通信回線を有する情報システム。以下この項において同じ。）については、サービス提供に必要な電子計算機及び通信回線装置が装備している機能をサービス不能攻撃対策に活用すること。
【強化遵守事項】(b) 情報システムセキュリティ責任者は、サービス不能攻撃を受けた場合、通信回線装置や通信回線を共用している他サービスや内部からのインターネットへのアクセスにも影響が及ぶことを考慮して通信回線装置及び通信回線の構築を行うこと。
‑ 38 ‑

NISD-K303-052(c) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス不能攻撃を受ける電子計算機、通信回線装置又は通信回線から監視対象を特定し、監視方法を定めること。
(d) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、電子計算機、通信回線装置又は通信回線に対するサービス不能攻撃の影響を排除し、又は低減する対策装置を導入すること。
(e) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス不能攻撃を受けた場合に攻撃への対処を効果的に実施できる手段を確保しておくこと。
(f) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス提供に必要な電子計算機、通信回線装置又は通信回線を冗長構成にすること。
(g) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、電子計算機や通信回線装置だけでは大量のアクセスによるサービス不能攻撃を回避できないことを勘案し、インターネットに接続している通信回線を提供している事業者とサービス不能攻撃発生時の対処手順や連絡体制を定めておくこと。
(2) 情報システムの運用時【強化遵守事項】(a) 情報システムセキュリティ管理者は、要安定情報を取り扱う情報システムについては、監視方法に従って電子計算機、通信回線装置及び通信回線を監視し、その記録を保存すること。
(b) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、前事項の記録をサービス不能攻撃の検知技術の向上に反映すること。
(c) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、定期的にサービス不能攻撃の対策の見直しを行うこと。

‑ 39 ‑

NISD-K303-052

4.3

情報システムのセキュリティ要件

4.3.1 情報システムのセキュリティ要件
遵守事項(1) 情報システム計画・設計【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムについて、ライフサイクル
全般にわたってセキュリティ維持が可能な体制の確保を、情報システムを統括する責任者に求めること。
(b) 情報システムセキュリティ責任者は、情報システムのセキュリティ要件を決定すること。
(c) 情報システムセキュリティ責任者は、情報システムのセキュリティ要件を満たすために機器等の購入（購入に準ずるリースを含む。）及びソフトウェア開発において必要な対策、情報セキュリティについての機能の設定、情報セキュリ
ティについての脅威への対策、並びに情報システムの構成要素についての対策について定めること。
(d) 情報システムセキュリティ責任者は、構築する情報システムに重要なセキュリ
ティ要件があると認めた場合には、当該情報システムのセキュリティ機能の設計について第三者機関によるセキュリティ設計仕様書（ST：Security Target）の ST 評価・ST 確認を受けること。ただし、情報システムを更改する場合であって、見直し後のセキュリティ設計仕様書において重要なセキュリティ要件の変更が軽微であると認めたときは、この限りでない。
(e) 情報システムセキュリティ責任者は、構築した情報システムを運用段階へ導入するに当たって、情報セキュリティの観点から実施する導入のための手順及び環境を定めること。
【強化遵守事項】(f) 情報システムセキュリティ責任者は、構築する情報システムに重要なセキュリ
ティ要件があると認めた場合には、当該要件に係るセキュリティ機能の設計に基づいて、製品として調達する機器及びソフトウェアに対して要求するセキュリティ機能を定め、当該機能及びその他の要求条件を満たす採用候補製品が複数ある場合には、その中から当該セキュリティ機能に関して IT セキュリティ
評価及び認証制度に基づく認証を取得している製品を情報システムの構成要
素として選択すること。
(2) 情報システムの構築・運用・監視【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムの構築、運用及び監視に際しては、セキュリティ要件に基づき定めた情報セキュリティ対策を行うこと。

‑ 40 ‑

NISD-K303-052(3) 情報システムの移行・廃棄【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムの移行及び廃棄を行う場合
は、情報の消去及び保存、並びに情報システムの廃棄及び再利用について必要性を検討し、それぞれについて適切な措置を採ること。
(4) 情報システムの見直し【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムの情報セキュリティ対策について見直しを行う必要性の有無を適時検討し、必要があると認めた場合にはその見直しを行い、必要な措置を講ずること。

‑ 41 ‑

NISD-K303-052

第５部
5.1

情報システムの構成要素についての対策

施設と環境

5.1.1 電子計算機及び通信回線装置を設置する安全区域
遵守事項(1) 立入り及び退出の管理【基本遵守事項】(a) 情報システムセキュリティ責任者は、安全区域に不審者を立ち入らせない措置を講ずること。
【強化遵守事項】(b) 情報システムセキュリティ責任者は、安全区域をセキュリティレベルが異なる
区域から物理的に隔離し、立入り及び退出が可能な場所を制限する措置を講ずること。
(c) 情報システムセキュリティ責任者は、安全区域へ立ち入る者の主体認証を行うための措置を講ずること。
(d) 情報システムセキュリティ責任者は、安全区域から退出する者の主体認証を行うための措置を講ずること。
(e) 情報システムセキュリティ責任者は、主体認証を経た者が、主体認証を経ていない者を安全区域へ立ち入らせ、及び安全区域から退出させない措置を講ずること。
(f) 情報システムセキュリティ責任者は、安全区域へ継続的に立ち入る者を承認する手続を整備すること。また、その者の氏名、所属、立入承認日、立入期間及び承認事由を含む事項を記載した書面を整備すること。
(g) 情報システムセキュリティ責任者は、安全区域へ立入りが承認された者に変更がある場合には、当該変更の内容を前事項の書面へ反映させること。また、当該変更の記録を保存すること。
(h) 情報システムセキュリティ責任者は、安全区域へのすべての者の立入り及び当該区域からの退出を記録し及び監視するための措置を講ずること。
(2) 訪問者及び受渡業者の管理【強化遵守事項】(a) 情報システムセキュリティ責任者は、安全区域への訪問者がある場合には、訪問者の氏名、所属及び訪問目的並びに訪問相手の氏名及び所属を確認するための措置を講ずること。
(b) 情報システムセキュリティ責任者は、安全区域への訪問者がある場合には、訪問者の氏名、所属及び訪問目的、訪問相手の氏名及び所属、訪問日並びに立入
り及び退出の時刻を記録するための措置を講ずること。
‑ 42 ‑

NISD-K303-052(c) 情報システムセキュリティ責任者は、安全区域への訪問者がある場合には、訪問相手の行政事務従事者が訪問者の安全区域への立入りについて審査するための手続を整備すること。
(d) 情報システムセキュリティ責任者は、訪問者の立ち入る区域を制限するための措置を講ずること。
(e) 情報システムセキュリティ責任者は、安全区域内において訪問相手の行政事務従事者が訪問者に付き添うための措置を講ずること。
(f) 情報システムセキュリティ責任者は、訪問者と継続的に立入りが許可された者とを外見上判断できる措置を講ずること。
(g) 情報システムセキュリティ責任者は、受渡業者と物品の受渡しを行う場合には、以下に挙げるいずれかの措置を講ずること。
(ア) 安全区域外で受渡しを行うこと。
(イ) 業者が安全区域へ立ち入る場合は、当該業者が安全区域内の電子計算機、通信回線装置、外部記録媒体、書面に触れることができない場所に限定し、行政事務従事者が立ち会うこと。
(3) 電子計算機及び通信回線装置のセキュリティ確保【強化遵守事項】(a) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、電子計算機及び通信回線装置を他の情報システムから物理的に隔離し、安全区域を共用しないこと。
(b) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、設置及び利用場所が確定している電子計算機及び通信回線装置を所定の設置場所から移動できない措置を講ずること。
(c) 情報システムセキュリティ責任者は、行政事務従事者が離席時に電子計算機及び通信回線装置を不正操作から保護するための措置を講ずること。
(d) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、電子計算機及び通信回線装置の表示用デバイスを盗み見から保護するための措置を講ずること。
(e) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、情報システムで利用する電源ケーブル及び通信ケーブルを含む配線を、損傷及び盗聴を含む脅威から保護するための措置を講ずること。
(f) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、電磁波による情報漏えい対策の措置を講ずること。
(4) 安全区域内のセキュリティ管理【基本遵守事項】(a) 行政事務従事者は、安全区域内において、身分証明書を他の職員から常時視認することが可能な状態にすること。
【強化遵守事項】(b) 行政事務従事者は、要保護情報を取り扱う情報システムについては、情報シス‑ 43 ‑

NISD-K303-052

テムセキュリティ責任者の承認を得た上で、情報システムに関連する物品の安全区域への持込み及び安全区域からの持出しを行うこと。
(c) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、安全区域への持込み及び安全区域からの持出しについて、持込み及び持出しに係る記録を取得すること。
(d) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、情報システムに関連しない電子計算機、通信回線装置、外部記録媒体
及び記録装置（音声、映像及び画像を記録するものを含む。）の安全区域への持込みについて制限すること。
(e) 情報システムセキュリティ責任者は、安全区域内での作業を監視するための措置を講ずること。
(5) 災害及び障害への対策【強化遵守事項】(a) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、自然災害及び人為的災害から電子計算機及び通信回線装置を保護する
ための物理的な対策を講ずること。
(b) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、安全区域内において災害又は障害が発生している場合には、作業する者の安全性を確保した上で必要な場合に電子計算機及び通信回線装置の電源を遮断できる措置を講ずること。

‑ 44 ‑

NISD-K303-052

5.2

電子計算機

5.2.1 電子計算機共通対策
遵守事項(1) 電子計算機の設置時【基本遵守事項】(a) 情報システムセキュリティ責任者は、電子計算機のセキュリティ維持に関する規定を整備すること。
(b) 情報システムセキュリティ責任者は、すべての電子計算機に対して、電子計算機を管理する行政事務従事者及び利用者を特定するための文書を整備すること。
(c) 情報システムセキュリティ責任者は、要安定情報を取り扱う電子計算機については、当該電子計算機に求められるシステム性能を発揮できる能力を、将来の見通しを含め検討し、確保すること。
(d) 情報システムセキュリティ責任者は、利用者が電子計算機にログインする場合には主体認証を行うように電子計算機を構成すること。
(e) 情報システムセキュリティ責任者は、ログオンした利用者の識別コードに対して、権限管理を行うこと。
(f) 情報システムセキュリティ責任者は、電子計算機上で動作するオペレーティン
グシステム及びアプリケーションに存在する公開されたセキュリティホールから電子計算機（公開されたセキュリティホールの情報がない電子計算機を除く。
）を保護するための対策を講ずること。
(g) 情報システムセキュリティ責任者は、不正プログラムから電子計算機（当該電子計算機で動作可能なアンチウイルスソフトウェア等が存在しないものを除く。
）を保護するための対策を講ずること。
(h) 情報システムセキュリティ責任者は、電子計算機関連文書を整備すること。
(i) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、電子計算機を安全区域に設置すること。ただし、モバイル PC について情報セキュリティ責任者の承認を得た場合は、この限りでない。
【強化遵守事項】(j) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、サービス提供に必要な電子計算機を冗長構成にすること。
(2) 電子計算機の運用時【基本遵守事項】(a) 情報システムセキュリティ管理者は、電子計算機のセキュリティ維持に関する規定に基づいて、電子計算機の運用管理を行うこと。
(b) 情報システムセキュリティ責任者は、適宜、電子計算機のセキュリティ維持に関する規定の見直しを行うこと。また、当該規定を変更した場合には、当該変‑ 45 ‑

NISD-K303-052

更の記録を保存すること。
(c) 行政事務従事者は、行政事務の遂行以外の目的で電子計算機を利用しないこと。
(d) 情報システムセキュリティ責任者は、電子計算機を管理する行政事務従事者及び利用者を変更した場合には、当該変更の内容を、電子計算機を管理する行政事務従事者及び利用者を特定するための文書へ反映すること。また、当該変更の記録を保存すること。
(e) 情報システムセキュリティ責任者は、電子計算機のセキュリティレベルを維持するため、公開されたセキュリティホールから電子計算機を保護するための対策を講ずること。
(f) 情報システムセキュリティ責任者は、電子計算機のセキュリティレベルを維持するため、不正プログラムから電子計算機を保護するための対策を講ずること。
(g) 情報システムセキュリティ管理者は、電子計算機の構成を変更した場合には、当該変更の内容を電子計算機関連文書へ反映すること。また、当該変更の記録を保存すること。
【強化遵守事項】(h) 情報システムセキュリティ責任者は、所管する範囲の電子計算機で利用されているすべてのソフトウェアの状態を定期的に調査し、不適切な状態にある電子計算機を検出した場合には、当該不適切な状態の改善を図ること。
(3) 電子計算機の運用終了時【基本遵守事項】(a) 情報システムセキュリティ責任者は、電子計算機の運用を終了する場合に、データ消去ソフトウェア若しくはデータ消去装置の利用、又は物理的な破壊若し
くは磁気的な破壊等の方法を用いて、すべての情報を復元が困難な状態にすること。

5.2.2 端末遵守事項

(1) 端末の設置時【基本遵守事項】(a) 情報システムセキュリティ責任者は、端末で利用可能なソフトウェアを定めること。ただし、利用可能なソフトウェアを列挙することが困難な場合には、利用不可能なソフトウェアを列挙、または両者を併用することができる。
(b) 情報システムセキュリティ責任者は、要保護情報を取り扱うモバイル PC については、府省庁外で使われる際にも、府省庁内で利用される端末と同等の保護手段が有効に機能するように構成すること。
(c) 行政事務従事者は、モバイル PC を利用する必要がある場合には、情報システ
ムセキュリティ責任者の承認を得ること。
‑ 46 ‑

NISD-K303-052(d) 情報システムセキュリティ責任者は、要機密情報を取り扱うモバイル PC については、内蔵記録媒体に保存される情報の暗号化を行う機能を付加すること。
(e) 情報システムセキュリティ責任者は、要保護情報を取り扱うモバイル PC については、盗難を防止するための措置を定めること。
【強化遵守事項】(f) 情報システムセキュリティ責任者は、行政事務従事者が情報を保存できない端末を用いて情報システムを構築すること。
(2) 端末の運用時【基本遵守事項】(a) 行政事務従事者は、端末での利用可能と定められたソフトウェアを除いて、ソフトウェアを利用してはならない。
(b) モバイル PC を利用する行政事務従事者は、
要保護情報を取り扱うモバイル PC
については、盗難防止措置を行うこと。
(c) 行政事務従事者は、要機密情報を取り扱うモバイル PC については、モバイル
PC を府省庁外に持ち出す場合に、当該モバイル PC の内蔵記録媒体に保存されている要機密情報の暗号化を行う必要性の有無を検討し、必要があると認めたときは、情報を暗号化すること。
(d) 行政事務従事者は、情報システムセキュリティ責任者が接続許可を与えた通信回線以外に端末を接続しないこと。
【強化遵守事項】(e) 情報システムセキュリティ管理者は、情報システムにおいて基準となる時刻に、端末の時刻を同期すること。

5.2.3 サーバ装置
遵守事項(1) サーバ装置の設置時【基本遵守事項】(a) 情報システムセキュリティ責任者は、通信回線を経由してサーバ装置の保守作業を行う場合は、暗号化を行う必要性の有無を検討し、必要があると認めたときは、送受信される情報を暗号化すること。
(b) 情報システムセキュリティ責任者は、サービスの提供及びサーバ装置の運用管理に利用するソフトウェアを定めること。
(c) 情報システムセキュリティ責任者は、利用が定められたソフトウェアに該当しないサーバアプリケーションが稼動している場合には、当該サーバアプリケー
ションを停止すること。また、利用が定められたソフトウェアに該当するサー
バアプリケーションであっても、利用しない機能を無効化して稼動すること。
【強化遵守事項】‑ 47 ‑

NISD-K303-052(d) 情報システムセキュリティ責任者は、利用が定められたソフトウェアに該当しないソフトウェアをサーバ装置から削除すること。
(2) サーバ装置の運用時【基本遵守事項】(a) 情報システムセキュリティ責任者は、定期的にサーバ装置の構成の変更を確認すること。また、当該変更によって生ずるサーバ装置のセキュリティへの影響を特定し、対応すること。
(b) 情報システムセキュリティ管理者は、要安定情報を取り扱うサーバ装置に保存されている情報について、定期的にバックアップを取得すること。また、取得した情報を記録した媒体は、安全に管理すること。
(c) 情報システムセキュリティ管理者は、サーバ装置の運用管理について、作業日、作業を行ったサーバ装置、作業内容及び作業者を含む事項を記録すること。
(d) 情報システムセキュリティ責任者は、サーバ装置上で証跡管理を行う必要性を検討し、必要と認めた場合には実施すること。
(e) 情報システムセキュリティ管理者は、情報システムにおいて基準となる時刻に、
サーバ装置の時刻を同期すること。
【強化遵守事項】(f) 情報システムセキュリティ管理者は、サーバ装置のセキュリティ状態を監視し、不正行為及び不正利用を含む事象の発生を検知すること。
(g) 情報システムセキュリティ管理者は、要安定情報を取り扱うサーバ装置について、当該サーバ装置のシステム状態を監視し、当該サーバ装置に関するトラブ
ルの発生を検知すること。
(h) 情報システムセキュリティ管理者は、要安定情報を取り扱うサーバ装置について、サービス提供に必要なサーバ装置の負荷を複数のサーバ装置に分散すること。

‑ 48 ‑

NISD-K303-052

5.3

アプリケーションソフトウェア

5.3.1 通信回線を介して提供するアプリケーション共通対策
遵守事項(1) アプリケーションの導入時【基本遵守事項】(a) 情報システムセキュリティ責任者は、通信回線を介して提供するサービスのセキュリティ維持に関する規定を整備すること。
(2) アプリケーションの運用時【基本遵守事項】(a) 情報システムセキュリティ管理者は、サービスのセキュリティ維持に関して整備した規定に基づいて、日常的及び定期的に運用管理を実施すること。
(b) 行政事務従事者は、通信回線を介して提供されるサービスを私的な目的のために利用しないこと。

5.3.2 電子メール
遵守事項(1) 電子メールの導入時【基本遵守事項】(a) 情報システムセキュリティ責任者は、電子メールサーバが電子メールの不正な中継を行わないように設定すること。
【強化遵守事項】(b) 情報システムセキュリティ責任者は、電子メールクライアントから電子メール
サーバへの電子メールの送受信時における行政事務従事者の主体認証を行う機能を備えること。
(2) 電子メールの運用時【基本遵守事項】(a) 行政事務従事者は、業務遂行にかかわる情報を含む電子メールを送受信する場
合には、自身が所属する各府省庁が運営又は外部委託した電子メールサーバにより提供される電子メールサービスを利用すること。ただし、府省庁支給以外の情報システムによる情報処理について許可を得ている者については、この限りでない。
(b) 行政事務従事者は、受信した電子メールを電子メールクライアントにおいてテキストとして表示すること。

‑ 49 ‑

NISD-K303-052

5.3.3 ウェブ
遵守事項

(1) ウェブの導入時【基本遵守事項】(a) 情報システムセキュリティ責任者は、ウェブサーバを用いて提供するサービスが利用者からの文字列等の入力を受ける場合には、特殊文字の無害化を実施すること。
(b) 情報システムセキュリティ責任者は、ウェブサーバからウェブクライアントに攻撃の糸口になり得る情報を送信しないように情報システムを構築すること。
(c) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、ウェブサーバを用いて提供するサービスにおいて、通信の盗聴から保護すべき情報を特定し、暗号化を行う必要性の有無を検討し、必要があると認めたときは、情報を暗号化すること。
【強化遵守事項】(d) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、ウェブサーバに保存する情報を特定し、当該サーバに要機密情報が含まれないことを確認すること。
(e) 情報システムセキュリティ責任者は、ウェブサーバの正当性を保証するために電子証明書を利用すること。
(2) ウェブの運用時【基本遵守事項】(a) 行政事務従事者は、ウェブクライアントが動作する電子計算機にソフトウェア
をダウンロードする場合には、電子署名により当該ソフトウェアの配布元を確認すること。
【強化遵守事項】(b) 情報システムセキュリティ責任者は、行政事務従事者が閲覧することが可能な
府省庁外のホームページを制限し、定期的にその見直しを行うこと。

‑ 50 ‑

NISD-K303-052

5.4

通信回線

5.4.1 通信回線共通対策
遵守事項(1) 通信回線の構築時【基本遵守事項】(a) 情報システムセキュリティ責任者は、通信回線構築によるリスクを検討し、通信回線を構築すること。
(b) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムについては、通信回線及び通信回線装置に求められる通信性能を発揮できる能力を、将来の見通しを含め検討し、確保すること。
(c) 情報システムセキュリティ責任者は、通信回線及び通信回線装置関連文書を整備すること。
(d) 情報システムセキュリティ責任者は、通信回線に接続される電子計算機をグループ化し、それぞれ通信回線上で分離すること。
(e) 情報システムセキュリティ責任者は、グループ化された電子計算機間での通信要件を検討し、当該通信要件に従って通信回線装置を利用しアクセス制御及び経路制御を行うこと。
(f) 情報システムセキュリティ責任者は、要機密情報を取り扱う情報システムについては、通信回線を用いて送受信される要機密情報の暗号化を行う必要性の有無を検討し、必要があると認めたときは、情報を暗号化すること。
(g) 情報システムセキュリティ責任者は、要保護情報を取り扱う情報システムについては、通信回線に利用する物理的な回線のセキュリティを検討し、選択すること。
(h) 情報システムセキュリティ責任者は、遠隔地から通信回線装置に対して、保守又は診断のために利用するサービスによる接続についてセキュリティを確保すること。
(i) 情報システムセキュリティ責任者は、通信回線装置に存在する公開されたセキュリティホールから通信回線装置を保護するための対策を講ずること。
(j) 情報システムセキュリティ責任者は、通信回線装置を安全区域に設置すること。
(k) 情報システムセキュリティ責任者は、電気通信事業者の専用線サービスを利用する場合には、セキュリティレベル及びサービスレベルを含む事項に関して契約時に取り決めておくこと。
(l) 情報システムセキュリティ責任者は、通信回線装置上で証跡管理を行う必要性を検討し、必要と認めた場合には実施すること。
【強化遵守事項】(m) 情報システムセキュリティ責任者は、通信を行う電子計算機の主体認証を行うこと。
(n) 情報システムセキュリティ責任者は、要安定情報を取り扱う情報システムにつ‑ 51 ‑

NISD-K303-052

いては、サービス提供に必要な通信回線又は通信回線装置を冗長構成にすること。
(2) 通信回線の運用時【基本遵守事項】(a) 情報システムセキュリティ管理者は、通信回線を利用する電子計算機の識別コード、電子計算機の利用者と当該利用者の識別コードの対応、及び通信回線の利用部局を含む事項の管理を行うこと。
(b) 情報システムセキュリティ管理者は、通信回線の構成、通信回線装置の設定、アクセス制御の設定又は識別コードを含む事項を変更した場合には、当該変更の内容を通信回線及び通信回線装置関連文書へ反映すること。また、当該変更の記録を保存すること。
(c) 情報システムセキュリティ責任者は、定期的に通信回線の構成、通信回線装置の設定、アクセス制御の設定又は識別コードを含む事項の変更を確認すること。
また、当該変更によって生ずる通信回線のセキュリティへの影響を特定し、対応すること。
(d) 情報システムセキュリティ責任者は、情報システムのセキュリティの確保が困難な事由が発生した場合には、他の情報システムと共有している通信回線から独立した閉鎖的な通信回線に構成を変更すること。
(e) 行政事務従事者は、情報システムセキュリティ責任者の許可を受けていない電子計算機及び通信回線装置を通信回線に接続しないこと。
(f) 情報システムセキュリティ責任者は、通信回線装置のセキュリティレベル維持のため、公開されたセキュリティホールから通信回線装置を保護するための対策を講ずること。
(g) 情報システムセキュリティ管理者は、情報システムにおいて基準となる時刻に、通信回線装置の時刻を同期すること。
(3) 通信回線の運用終了時【基本遵守事項】(a) 情報システムセキュリティ責任者は、通信回線装置の利用を終了する場合には、通信回線装置の内蔵記録媒体のすべての情報を復元が困難な状態にすること。

5.4.2 府省庁内通信回線の管理
遵守事項(1) 府省庁内通信回線の構築時【強化遵守事項】(a) 情報システムセキュリティ責任者は、通信回線装置に物理的に接続した電子計
算機を、通信回線に論理的に接続する前に、当該電子計算機が通信回線に接続することを許可されたものであることを確認するための措置を講ずること。

‑ 52 ‑

NISD-K303-052(2) 府省庁内通信回線の運用時【強化遵守事項】(a) 情報システムセキュリティ責任者は、通信要件の変更に際し及び定期的に、アクセス制御の設定の見直しを行うこと。
(b) 情報システムセキュリティ責任者は、定期的に、通信回線及び通信回線装置のセキュリティホールを検査すること。
(c) 情報システムセキュリティ管理者は、要安定情報を取り扱う情報システムについては、日常的に、通信回線の利用状況及び状態を確認、分析し、通信回線の性能低下及び異常を推測又は検知すること。
(d) 情報システムセキュリティ管理者は、府省庁内通信回線上を送受信される通信内容を監視すること。
(3) 回線の対策【基本遵守事項】(a) 情報システムセキュリティ責任者は、VPN 環境を構築する場合には、以下に挙げる事項を含む措置の必要性の有無を検討し、必要と認めたときは措置を講ずること。
(ア) 利用開始及び利用停止時の申請手続の整備(イ) 通信内容の暗号化(ウ) 通信を行う電子計算機の識別又は利用者の主体認証(エ) 主体認証記録の取得及び管理(オ) VPN 経由でアクセスすることが可能な通信回線の範囲の制限(カ) VPN 接続方法の機密性の確保(キ) VPN を利用する電子計算機の管理(b) 情報システムセキュリティ責任者は、無線 LAN 環境を構築する場合には、以下に挙げる事項を含む措置の必要性の有無を検討し、必要と認めたときは措置を講ずること。
(ア) 利用開始及び利用停止時の申請手続の整備(イ) 通信内容の暗号化(ウ) 通信を行う電子計算機の識別又は利用者の主体認証(エ) 主体認証記録の取得及び管理(オ) 無線 LAN 経由でアクセスすることが可能な通信回線の範囲の制限(カ) 無線 LAN に接続中に他の通信回線との接続の禁止(キ) 無線 LAN 接続方法の機密性の確保(ク) 無線 LAN に接続する電子計算機の管理(c) 情報システムセキュリティ責任者は、公衆電話網を経由したリモートアクセス
環境を構築する場合には、以下に挙げる事項を含む措置の必要性の有無を検討し、必要と認めたときは措置を講ずること。
(ア) 利用開始及び利用停止時の申請手続の整備(イ) 通信を行う者又は発信者番号による識別及び主体認証‑ 53 ‑

NISD-K303-052(ウ) 主体認証記録の取得及び管理(エ) リモートアクセス経由でアクセスすることが可能な通信回線の範囲の制限(オ) リモートアクセス中に他の通信回線との接続の禁止(カ) リモートアクセス方法の機密性の確保(キ) リモートアクセスする電子計算機の管理

5.4.3 府省庁外通信回線との接続
遵守事項(1) 府省庁内通信回線と府省庁外通信回線との接続時【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報セキュリティ責任者の承認を得た上で、府省庁内通信回線を府省庁外通信回線と接続すること。
(b) 情報セキュリティ責任者は、府省庁内通信回線を府省庁外通信回線と接続する
ことにより情報システムのセキュリティが確保できないと判断した場合には、他の情報システムと共有している府省庁内通信回線又は府省庁外通信回線から独立した通信回線として府省庁内通信回線を構築すること。
(2) 府省庁外通信回線と接続している府省庁内通信回線の運用時【基本遵守事項】(a) 情報システムセキュリティ責任者は、情報システムのセキュリティの確保が困難な事由が発生した場合には、他の情報システムと共有している府省庁内通信回線又は府省庁外通信回線から独立した通信回線に構成を変更すること。
(b) 情報システムセキュリティ責任者は、通信回線の変更に際し及び定期的に、アクセス制御の設定の見直し行うこと。
(c) 情報システムセキュリティ責任者は、定期的に、府省庁外通信回線から通信することが可能な府省庁内通信回線及び通信回線装置のセキュリティホールを検査すること。
(d) 情報システムセキュリティ管理者は、要安定情報を取り扱う情報システムについては、日常的に、通信回線の利用状況及び状態を確認、分析し、通信回線の性能低下及び異常を推測又は検知すること。
(e) 情報システムセキュリティ管理者は、府省庁内通信回線と府省庁外通信回線との間で送受信される通信内容を監視すること。

‑ 54 ‑

NISD-K303-052

第６部
6.1

個別事項についての対策

調達・開発にかかわる情報セキュリティ対策

6.1.1 機器等の購入
適用範囲
本項は、機器等の購入（購入に準ずるリース等を含む。以下同じ。）に適用する。
遵守事項(1) 府省庁内における情報セキュリティ確保の仕組みの整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、機器等の選定基準及び機器等が具備すべき要件を整備し、適時見直すこと。
(b) 統括情報セキュリティ責任者は、情報セキュリティ対策の視点を加味して、機器等の納入時の確認・検査手続を整備すること。
(2) 機器等の購入の実施における手続の遵守【基本遵守事項】(a) 情報システムセキュリティ責任者は、機器等の選定時において、選定基準及び具備すべき要件に対する機器等の適合性を確認し、機器等の候補の選定における判断の一要素として活用すること。
(b) 情報システムセキュリティ責任者は、機器等の納入時において、納入された機器等が選定基準及び具備すべき要件を満たすことを確認し、その結果を納品検査における確認の判断に加えること。
(c) 情報システムセキュリティ責任者は、機器等の納入後の情報セキュリティ対策に関する保守・点検等の必要性の有無を検討し、必要と認めた場合には、実施条件を明確にし、それらの実施者である機器等の購入先又は他の事業者との間で、その内容に関する契約を取り交わすこと。
(d) 情報システムセキュリティ責任者は、機器等の購入において、満足すべきセキュリティ要件があり、それを実現するためのセキュリティ機能の要求仕様がある場合であって、総合評価落札方式により購入を行う場合には、これについて、
IT セキュリティ評価及び認証制度による認証を取得しているかどうかを評価項目として活用すること。

6.1.2 外部委託
適用範囲

‑ 55 ‑

NISD-K303-052

本項は、会計法第 29 条に規定する貸借、請負その他の契約に基づき提供される役務のうち、情報処理に係る業務であって、例えば次に掲げるものに適用する。
z

統計、集計、データエントリー、媒体変換を含む情報の加工・処理z

情報システムの構築（ソフトウェア開発、運用、ASP サービス、保守、改修等含む。）

z

その他調査・研究z

物品等の賃貸借（機器増設、保守、レンタルサーバ、ハウジング等含む）

遵守事項(1) 府省庁内における情報セキュリティ確保の仕組みの整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、外部委託の対象としてよい情報システムの範囲及び委託先によるアクセスを認める情報資産の範囲を判断する基準を整備すること。
(b) 統括情報セキュリティ責任者は、委託先の選定手続、選定基準及び委託先が具備すべき要件（委託先職員に対する情報セキュリティ対策の実施を含む。）を整備すること。
【強化遵守事項】(c) 統括情報セキュリティ責任者は、委託先の選定基準策定に当たって、その厳格性向上のために、国際規格を踏まえた委託先の情報セキュリティ水準の評価方
法を整備すること。
(d) 統括情報セキュリティ責任者は、前事項の評価方法に従って、求める情報セキュリティ要件に対する委託先の候補者の情報セキュリティ水準を確認し、委託先の選定基準の一要素として利用すること。
(2) 委託先に適用する情報セキュリティ対策の整備【基本遵守事項】(a) 情報システムセキュリティ責任者は、外部委託に係る業務遂行に際して委託先に実施させる情報セキュリティ対策の内容を整備し、委託先候補に事前に周知すること。
(b) 情報システムセキュリティ責任者は、委託先に請け負わせる業務において情報
セキュリティが侵害された場合の対処手順を整備し、委託先候補に事前に周知すること。
(c) 情報システムセキュリティ責任者は、委託先における情報セキュリティ対策の履行状況を確認するための評価基準を策定し、情報セキュリティ対策の履行が不十分である場合の対処手順に関して委託先候補に事前に周知すること。
(3) 外部委託先の選定における手続の遵守【基本遵守事項】(a) 情報システムセキュリティ責任者は、整備されている選定手続、選定基準及び委託先が具備すべき要件に基づき、委託先を選定すること。

‑ 56 ‑

NISD-K303-052(4) 外部委託の実施における手続の遵守【基本遵守事項】(a) 情報システムセキュリティ責任者は、外部委託を実施する際に、委託先に請け負わせる業務における情報セキュリティ対策、機密保持（情報の目的外利用の禁止を含む。）、情報セキュリティ侵害発生時の対処手順及び情報セキュリティ
対策の履行が不十分である場合の対処手順を含む外部委託に伴う契約を取り交わすこと。また、必要に応じて、以下の事項を含めること。
(ア) 情報セキュリティ監査を受け入れること。
(イ) 提供されるサービスレベルに関して委託先に保証させること。
(b) 情報システムセキュリティ責任者は、外部委託に係る契約者双方の責任の明確化と合意の形成を行い、委託先における情報セキュリティ対策の遵守方法及び管理体制に関する確認書を提出させること。また、必要に応じて、以下の事項
を当該確認書に含めること。
(ア) 遵守すべき情報セキュリティ対策を実現するために、委託先における所属職員が実施する具体的な取組内容(イ) 外部委託した業務の作業に携わる者の特定とそれ以外の者による作業の禁止(c) 情報システムセキュリティ責任者は、外部委託契約の継続に関しては、選定手
続、選定基準及び委託先が具備すべき要件に基づきその都度審査するものとし、安易な随意契約の継続をしないこと。
(d) 情報システムセキュリティ責任者は、委託先の提供するサービス（情報セキュ
リティ基本方針、実施手順、管理策の維持及び改善を含む。）の変更に関して
は、選定手続、選定基準及び委託先が具備すべき要件に基づき、その是非を審査すること。
(e) 情報システムセキュリティ責任者は、委託先がその請負内容の全部又は一部を第三者に再請負させることを禁止すること。ただし、委託先からの申請を受け、再請負させることにより生ずる脅威に対して情報セキュリティが十分に確保される措置が担保されると情報セキュリティ責任者が判断する場合は、その限りではない。
(f) 行政事務従事者は、委託先に提供する情報を必要最低限とし、委託先が要機密情報を取り扱う場合、以下の実施手順に従うこと。
(ア) 委託先に情報を移送する場合は、不要部分のマスキングや暗号化等安全な受渡方法により実施し、移送した記録を保存すること。
(イ) 外部委託の業務終了等により情報が不要になった場合には、確実に返却させ、又は廃棄させること。
(5) 外部委託終了時の手続の遵守【基本遵守事項】(a) 情報システムセキュリティ責任者は、外部委託の終了時に、委託先に請け負わせた業務において行われた情報セキュリティ対策を確認し、その結果を納品検‑ 57 ‑

NISD-K303-052

査における確認の判断に加えること。

6.1.3 ソフトウェア開発
遵守事項(1) ソフトウェア開発体制の確立時【基本遵守事項】(a) 情報システムセキュリティ責任者は、ソフトウェア開発について、セキュリテ
ィにかかわる対策事項（本項(2)から(5)の遵守事項）を満たすことが可能な開発体制の確保を、情報システムを統括する責任者に求めること。
(b) 情報システムセキュリティ責任者は、ソフトウェア開発を外部委託する場合には、委託先が実施すべき対策事項（本項(2)から(5)の遵守事項）の中から必要な事項を選択し、当該対策事項が実質的に担保されるよう、委託先に実施について保証させること。
(2) ソフトウェア開発の開始時【基本遵守事項】(a) 情報システムセキュリティ責任者は、ソフトウェアの開発工程における情報セ
キュリティに関連する開発手順及び環境について定めること。
(b) 情報システムセキュリティ責任者は、ソフトウェアの開発及び試験を行う情報システムについては、情報セキュリティの観点から運用中の情報システムと分離する必要性の有無を検討し、必要と認めたときは分離すること。
(3) ソフトウェアの設計時【基本遵守事項】(a) 情報システムセキュリティ責任者は、開発するソフトウェアが運用される際に関連する情報資産に対して想定されるセキュリティ脅威の分析結果、及び当該ソフトウェアにおいて取り扱う情報の格付けに応じて、セキュリティ機能の必要性の有無を検討し、必要と認めたときはセキュリティ機能を適切に設計し、設計書に明確に記述すること。
(b) 情報システムセキュリティ責任者は、開発するソフトウェアが運用される際に利用されるセキュリティ機能についての管理機能の必要性の有無を検討し、必要と認めたときは適切に設計し、設計書に明確に記述すること。
(c) 情報システムセキュリティ責任者は、ソフトウェアの設計について、その情報セキュリティに関する妥当性を確認するための設計レビューの範囲及び方法を定め、これに基づいて設計レビューを実施すること。
(d) 情報システムセキュリティ責任者は、開発するソフトウェアにおいて処理するデータ及び入出力されるデータの情報セキュリティに関する妥当性を確認する機能の必要性の有無を検討し、必要と認めたときは、その方法を設計し、設‑ 58 ‑

NISD-K303-052

計書に明確に記述すること。
(e) 情報システムセキュリティ責任者は、開発するソフトウェアに重要なセキュリ
ティ要件がある場合には、これを実現するセキュリティ機能の設計について第三者機関によるセキュリティ設計仕様書（ST：Security Target）の ST 評価・
ST 確認を受けること。ただし、当該ソフトウェアを要素として含む情報シス
テムについてセキュリティ設計仕様書の ST 評価・ST 確認を受ける場合、又はソフトウェアを更改する場合であって見直し後のセキュリティ設計仕様書
において重要なセキュリティ要件の変更が軽微であると認めたときは、この限りでない。
(4) ソフトウェアの作成時【基本遵守事項】(a) 情報システムセキュリティ責任者は、ソフトウェア開発者が作成したソースコードについて、不必要なアクセスから保護及びバックアップの取得を行うこと。
(b) 情報システムセキュリティ責任者は、情報セキュリティの観点からコーディン
グに関する規定を整備すること。
【強化遵守事項】(c) 情報システムセキュリティ責任者は、作成されたソースコードについて、その情報セキュリティに関する妥当性を確認するためのソースコードレビューの範囲及び方法を定め、これに基づいてソースコードレビューを実施すること。
(5) ソフトウェアの試験時【基本遵守事項】(a) 情報システムセキュリティ責任者は、セキュリティの観点から実施する試験の必要性の有無を検討し、必要と認めたときは実施する試験項目及び試験方法を定め、これに基づいて試験を実施すること。
(b) 情報システムセキュリティ責任者は、情報セキュリティの観点から実施した試
験の実施記録を保存すること。

‑ 59 ‑

NISD-K303-052

6.2

個別事項

6.2.1 府省庁外での情報処理の制限
遵守事項(1) 安全管理措置の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、要保護情報について府省庁外での情報処理を行う場合の安全管理措置についての規定を整備すること。
(b) 統括情報セキュリティ責任者は、要保護情報を取り扱う情報システムを府省庁外に持ち出す場合の安全管理措置についての規定を整備すること。
(2) 許可及び届出の取得及び管理【基本遵守事項】(a) 行政事務従事者は、要保護情報（機密性２情報を除く。）について府省庁外で情報処理を行う場合には、情報システムセキュリティ責任者又は課室情報セキ
ュリティ責任者の許可を得ること。
(b) 行政事務従事者は、機密性２情報について府省庁外で情報処理を行う場合には、
情報システムセキュリティ責任者又は課室情報セキュリティ責任者に届け出ること。
(c) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、府省庁外での要保護情報の情報処理に係る記録を取得すること。
(d) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、要保護情報（機密性２情報を除く。）について府省庁外での情報処理を行うことを許可した期間が終了した時に、許可を受けた者から終了した旨の報告がない場合には、その状況を確認し、対応を講ずること。ただし、許可を与えた者が報告を要しないとした場合は、この限りでない。
(e) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、機密性
２情報について府省庁外での情報処理を行うことを届け出た期間が終了した時に、必要に応じて、その状況を確認し、対応を講ずること。
(f) 行政事務従事者は、要保護情報について府省庁外で情報処理を行う場合には、業務の遂行に必要最小限の情報処理にとどめること。
(g) 行政事務従事者は、要保護情報（機密性２情報を除く。）を取り扱う情報シス
テムを府省庁外に持ち出す場合には、情報システムセキュリティ責任者又は課室情報セキュリティ責任者の許可を得ること。
(h) 行政事務従事者は、機密性２情報を取り扱う情報システムを府省庁外に持ち出す場合には、情報システムセキュリティ責任者又は課室情報セキュリティ責任者に届け出ること。
(i) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、要保護情報を取り扱う情報システムの府省庁外への持出しに係る記録を取得するこ‑ 60 ‑

NISD-K303-052と。
(j) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、要保護情報（機密性２情報を除く。）を取り扱う情報システムを府省庁外に持ち出すことを許可した期間が終了した時に、許可を受けた者から終了した旨の報告がない場合には、その状況を確認し、対応を講ずること。ただし、許可を与えた者が報告を要しないとした場合は、この限りでない。
(k) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、機密性２情報を取り扱う情報システムを府省庁外に持ち出すことを届け出た期間が終了した時に、必要に応じて、その状況を確認し、対応を講ずること。
(l) 行政事務従事者は、要保護情報を取り扱う情報システムを府省庁外に持ち出す
場合には、業務の遂行に必要最小限の情報システムの持出しにとどめること。
(3) 安全管理措置の遵守【基本遵守事項】(a) 行政事務従事者は、要保護情報について府省庁外での情報処理について定められた安全管理措置を講ずること。
(b) 行政事務従事者は、要保護情報（機密性２情報を除く。）について府省庁外での情報処理を行うことを終了した時に、その許可を与えた者に対して、その旨を報告すること。ただし、許可を与えた者から報告を要しないとされた場合は、
この限りでない。
(c) 行政事務従事者は、要保護情報を取り扱う情報システムの府省庁外への持出しについて定められた安全管理措置を講ずること。
(d) 行政事務従事者は、要保護情報（機密性２情報を除く。）を取り扱う情報シス
テムを府省庁外に持ち出すことを終了した時に、その許可を与えた者に対して、その旨を報告すること。ただし、許可を与えた者から報告を要しないとされた
場合は、この限りでない。

6.2.2 府省庁支給以外の情報システムによる情報処理の制限
遵守事項(1) 安全管理措置の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、要保護情報について府省庁支給以外の情報システムにより情報処理を行う場合に講ずる安全管理措置についての規定を整備すること。
(2) 許可及び届出の取得及び管理【基本遵守事項】(a) 行政事務従事者は、要保護情報（機密性２情報を除く。）について府省庁支給‑ 61 ‑

NISD-K303-052

以外の情報システムにより情報処理を行う必要がある場合には、情報システム
セキュリティ責任者又は課室情報セキュリティ責任者の許可を得ること。
(b) 行政事務従事者は、機密性２情報について府省庁支給以外の情報システムにより情報処理を行う必要がある場合には、情報システムセキュリティ責任者又は課室情報セキュリティ責任者に届け出ること。
(c) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、府省庁支給以外の情報システムによる要保護情報の情報処理に係る記録を取得すること。
(d) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、要保護情報（機密性２情報を除く。）について府省庁支給以外の情報システムによる情報処理を行うことを許可した期間が終了した時に、許可を受けた者から終了した旨の報告がない場合には、その状況を確認し、対応を講ずること。ただし、許可を与えた者が報告を要しないとした場合は、この限りでない。
(e) 情報システムセキュリティ責任者及び課室情報セキュリティ責任者は、機密性
２情報について府省庁支給以外の情報システムによる情報処理を行うことを届け出た期間が終了した時に、必要に応じて、その状況を確認し、対応を講ずること。
(3) 安全管理措置の遵守【基本遵守事項】(a) 行政事務従事者は、要保護情報について府省庁支給以外の情報システムによる情報処理を行う場合には、原則として、当該情報システムについて定められた安全管理措置を講ずること。
(b) 行政事務従事者は、要保護情報（機密性２情報を除く。）について府省庁支給以外の情報システムによる情報処理を終了した時に、その許可を与えた者に対して、その旨を報告すること。ただし、許可を与えた者から報告を要しないとされた場合は、この限りでない。

‑ 62 ‑

NISD-K303-052

6.3

その他

6.3.1 府省庁外の情報セキュリティ水準の低下を招く行為の防止
遵守事項(1) 措置の整備【基本遵守事項】(a) 統括情報セキュリティ責任者は、府省庁外の情報セキュリティ水準の低下を招く行為の防止に関する措置についての規定を整備すること。
(2) 措置の遵守【基本遵守事項】(a) 行政事務従事者は、原則として、府省庁外の情報セキュリティ水準の低下を招く行為の防止に関する措置を講ずること。

6.3.2 事業継続計画（BCP）との整合的運用の確保
適用範囲
BCP を整備し又は整備を予定している府省庁に適用する。
遵守事項(1) 府省庁における BCP 整備計画の把握【基本遵守事項】(a) 最高情報セキュリティ責任者は、府省庁における BCP の整備計画について統括情報セキュリティ責任者を通じ情報セキュリティ委員会が適時に知ることができる体制を構築すること。
(b) 統括情報セキュリティ責任者は、府省庁において BCP の整備計画を把握した
場合は、その内容を情報セキュリティ委員会並びに必要に応じて情報セキュリ
ティ責任者、情報システムセキュリティ責任者及び課室情報セキュリティ責任者に連絡すること。
(2) BCP と情報セキュリティ対策の整合性の確保【基本遵守事項】(a) 情報セキュリティ委員会は、府省庁において BCP 又は省庁対策基準の整備計
画がある場合には、BCP と省庁対策基準との整合性の確保のための検討を行うこと。
(b) 統括情報セキュリティ責任者、情報セキュリティ責任者、情報システムセキュ
リティ責任者及び課室情報セキュリティ責任者は、府省庁において BCP の整
備計画がある場合には、すべての情報システムについて、当該 BCP との関係の有無を検討すること。
(c) 統括情報セキュリティ責任者、情報セキュリティ責任者、情報システムセキュ‑ 63 ‑

NISD-K303-052

リティ責任者及び課室情報セキュリティ責任者は、府省庁において BCP の整
備計画がある場合には、当該 BCP と関係があると認めた情報システムについて、以下に従って、BCP と省庁対策基準に基づく共通の実施手順を整備すること。
(ア) 通常時において BCP と省庁対策基準の共通要素を整合的に運用するため、情報セキュリティの枠内で必要な見直しを行うこと。
(イ) 事態発生時において BCP と省庁対策基準の実施に障害となる可能性のある情報セキュリティ対策の遵守事項の有無を把握し、整合的運用が可能となるよう事態発生時の規定の整備を行うこと。
(3) BCP と情報セキュリティ関係規程の不整合の報告【基本遵守事項】(a) 行政事務従事者は、府省庁において BCP の整備計画がある場合には、BCP と情報
セキュリティ関係規程が定める要求事項との違いなどにより、実施の是非の判断が困難な場合には、関係者に連絡するとともに、統括情報セキュリティ責任者が整備した障害等が発生した際の報告手順により、情報セキュリティ責任者にその旨を報告して、指示を得ること。

‑ 64 ‑