本小冊子の目的
本冊⼦は、「政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）」の遵守事項のうち、国の⾏
政機関、独⽴⾏政法⼈及び指定法⼈（以下「機関等」という。）の⼀般職員が普段の業務を⾏うに当たり、情報セキ
ュリティ対策を適切に遵守するための主要事項について、テーマ及びユースケースごとに整理したものです。
代表的な業務シーンや過去の事例、対策のポイント等について、イラストを⽤いてわかり易い解説としましたので、職員の皆さんは、普段から本冊⼦に⽬を通して情報セキュリティ対策についての理解を深めるとともに、どうすればいいのか迷った
ときの参考としてください。

⽬次
■第1章

情報の取扱い12
3
45

格付及び取扱制限の明⽰等
情報を利⽤・保存するときは情報を提供・公表するときは情報を持ち運ぶときは情報を消去・廃棄するときは■第2章

情報システム利⽤時の注意点

1
2
3
4
5

パソコンを利⽤するときは（その１）
パソコンを利⽤するときは（その２）
IDやパスワードの取扱いは
電⼦メールを利⽤するときはウェブサイトを利⽤するときは■第3章

業務委託・外部サービスの利⽤など

1
2
3
■第4章

■付録

委託先における情報の取扱い
フリーメールサービス等の外部サービスの利⽤について
Web会議の利⽤について
こんなときには

1
2
3
4
5
6
7
8

モバイルパソコンを施設外に持ち出して使いたい
私物の端末を使いたいが・・・・
USBメモリを利⽤するときは不審な電⼦メールを受信した端末がウイルスに感染してしまった、感染したかもしれない
パソコン等の端末を紛失してしまった、盗まれたかもしれない
テレワークを実施するときはその他、困ったことがあったら

1
2
3

情報の格付区分について
⽔飲み場型攻撃
標的型メール攻撃

第１章

1章-1

格付及び取扱制限の明⽰等情報を作成⼜は⼊⼿した場合は、「格付」、「取扱制限」を明⽰しましょう。

参考︓情報セキュリティインシデント事例や社会動向 等■「機密性２」と表⽰された資料
政府機関がインターネット上のホームページ等で公表している資料の中に、「機密性２」と表⽰された資料が掲載されていたことがネットで話題となった。
資料を公表する際は、「格付」「取扱制限」の⾒直しに留意する必要があります。

こ こ がポ イント︕

•格付は、「機密性」、「完全性」、「可⽤※巻末付録を参照
性」の３種類。
全ての情報の利⽤者が格付を認識できるように明⽰等すること。
※⽤語解説欄参照•格付のみで情報の取扱いを制限できない場合は、取扱制限を活⽤すること。
例） 「○○担当者限り」︓参照者の制限「複製禁⽌」︓複製の制限「転送禁⽌」︓転送の制限

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P21 3.1.1(3) 情報の格付及び取扱制限の決定・明⽰等(a) 職員等は、情報の作成時及び機関等外の者が作成した情報を⼊⼿したことに伴う管理の開始時に、格付及び取扱制限の定義に基づき格付及び取扱制限を決定し、明⽰等すること。
(b) 職員等は、情報を作成⼜は複製する際に、参照した情報⼜は⼊⼿した情報に既に格付及び取扱制限の決定がなされている場合には、元となる情報の機密性に係る格付及び取扱制限を継承すること。
(c) 職員等は、修正、追加、削除その他の理由により、情報の格付及び取扱制限を⾒直す必要があると考える場合には、情報の格付及び取扱制限の決定者（決定を引き継いだ者を含む。）⼜は決定者の上司（以下本款において「決定者等」という。）に確認し、その結果に基づき⾒直すこと。

⽤語解説等

明⽰等︓
情報の格付の区分を取り扱う者がすぐに理解できるよう表⽰すること。
明⽰等の⽅法は、格付の区分を⽂章のヘッダーやファイル名に記載するなどがあります。
なお、規程等であらかじめ定めておき、明⽰を省略することが可能な場合もあります。

1章-2

情報を利⽤・保存するときは格付及び取扱制限に従って、情報を適切に取り扱いましょう。

参考︓情報セキュリティインシデント事例や社会動向 等■2017年４⽉︓○○機構
同機構のポータルサイトにおいて、登録ユーザーの個⼈情報が、他の登録ユーザーにより閲覧できる状態になっていた。

◆ 個⼈情報漏えいの原因
・紛失・置き忘れ
26.2％
・誤操作
24.6％
・不正アクセス
20.3％
・管理ミス
12.2％
2018年 情報セキュリティインシデントに関する調査報告書 〜個⼈情報漏えい編〜（NPO⽇本ネットワークセキュリティ協会）

こ こ がポ イント︕

•情報の利⽤は、業務上必要な範囲に限定すること。
•情報の取扱いに関する組織のルールを※⽤語解説欄参照
知って、守ること。
•格付や取扱制限が不明なら、情報の作成者や⼊⼿先に確認⼜は相談すること。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P13 2.2.1(2) 違反への対処(a) 職員等は、情報セキュリティ関係規程への重⼤な違反を知った場合は、情報セキュリティ責任者にその旨を報告すること。
P21 3.1.1(2) 情報の⽬的外での利⽤等の禁⽌(a) 職員等は、⾃らが担当している業務の遂⾏のために必要な範囲に限って、情報を利⽤等すること。
P22 3.1.1(4) 情報の利⽤・保存(a) 職員等は、利⽤する情報に明⽰等された格付及び取扱制限に従い、当該情報を適切に取り扱うこと。

⽤語解説等

組織のルール︓
⾃組織の情報セキュリティ関係規程や所属する組織が定めた個別の実施⼿順等のこと。
⼿順が分からないときに、すぐに参照できるよう、規程⽂書の所在を知っておくことも重要です。

1章-3
情報を提供・公表するときは部外者へ提供してよい情報ですか︖
公表資料に、公表してはならない情報が含まれていませんか︖
念のため確認しましょう。

参考︓情報セキュリティインシデント事例や社会動向 等■2015年3⽉︓政府機関「政府機関の新⼈研修資料がインターネット上に流出していたことがわかった。
資料には「機密性２」と記されていたが、既に知られた情報であり、秘匿すべき情報はないとしている。」との内容が報道された。

こ こ がポ イント︕

•部外者に情報を提供する場合は、責任者の許可を得た上で、提供先で格付及び取扱制限に応じて取り扱われるようにすること。
•要保護情報を提供する場合は、安全な※⽤語解説欄参照

提供⼿段を⽤いること。
＊要保護情報を提供する際の安全な⼿段の例• 電磁的記録を暗号化した上で、組織が指定した電⼦
メールサービスにより提供先に送信する。
• 電磁的記録を暗号化した上で、外部電磁的記録媒体に出⼒して運搬する。（組織が指定したセキュアな運送サービスを利⽤する⽅法も考えられる）

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P22 3.1.1(5) 情報の提供・公表(a) 職員等は、情報を公表する場合には、当該情報が機密性１情報に格付されるものであることを確認すること。
(b) 職員等は、閲覧制限の範囲外の者に情報を提供する必要が⽣じた場合は、当該格付及び取扱制限の決定者等に相談し、その決定に従うこと。また、提供先において、当該情報に付された格付及び取扱制限に応じて適切に取り扱われるよう、取扱い上の留意事項を確実に伝達するなどの措置を講ずること。
(c) 独⽴⾏政法⼈及び指定法⼈における職員等は、機密性３情報を閲覧制限の範囲外の者に提供する場合には、課室情報セキュリティ責任者の許可を得ること。
(d) 職員等は、電磁的記録を提供⼜は公表する場合には、当該電磁的記録等からの不⽤意な情報漏えいを防⽌するための措置を講ずること。

⽤語解説等

要保護情報︓
要機密情報、要保全情報及び要安定情報に⼀つでも該当する情報のことをいいます。
（※巻末付録を参照）

1章-4
情報を持ち運ぶときは要保護情報を施設外に持ち出す際は、盗難・紛失に注意しましょう。

参考︓情報セキュリティインシデント事例や社会動向 等
情報の運搬時に、盗難・紛失の危険はつきもの。
万が⼀の際の被害を最⼩限に⾷い⽌められるよう、万全の準備を︕◆ 個⼈情報漏えい媒体、経路
・紙媒体
29.8％
・インターネット
26.6％
・電⼦メール
21.4％
・USB等記録媒体
12.6％
2018年 情報セキュリティインシデントに関する調査報告書〜個⼈情報漏えい編〜 （NPO⽇本ネットワークセキュリティ協会）

こ こ がポ イント︕

•要保護情報を施設外に持ち出す場合
は、組織で決められた⼿続をとること。
•USBメモリ等は組織が使⽤を認めたも※⽤語解説欄参照のを使⽤すること。
組織によっては、主体認証機能や暗号化機能が備わった
電磁的記録媒体（USBメモリなど）を利⽤するように⼿順が定められています。外部電磁的記録媒体を利⽤する際は、
必ず⾃組織の⼿順を確認しましょう。（４章-３も参照）

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P22 3.1.1(6) 情報の運搬・送信(a) 職員等は、要保護情報が記録⼜は記載された記録媒体を要管理対策区域外に持ち出す場合には、安全確保に留意して運搬⽅法を決定し、情報の格付及び取扱制限に応じて、安全確保のための適切な措置を講ずること。独⽴⾏政法⼈及び指定法⼈における職員等が、機密性３情報を要管理対策区域外に持ち出す場合には、暗号化措置を施した上で、課室情報セキュリティ責任者が指定する⽅法により運搬すること。ただし、他機関等の要管理対策区域であって、統括情報セキュリティ責任者があらかじめ定めた区域のみに持ち出す場合は、当該区域を要管理対策区域とみなすことができる。
(b) 職員等は、要保護情報である電磁的記録を電⼦メール等で送信する場合には、安全確保に留意して送信の⼿段を決定し、情報の格付及び取扱制限に応じて、安全確保のための適切な措置を講ずること。独⽴⾏政法
⼈及び指定法⼈における職員等が、機密性３情報を機関等外通信回線（インターネットを除く。）を使⽤して送信する場合には、暗号化措置を施した上で、課室情報セキュリティ責任者が指定する⽅法により送信すること。ただし、独⽴⾏政法⼈及び指定法⼈において、機密性３情報について国の⾏政機関と同等の取扱いを⾏っている場合は、国の⾏政機関と同等の措置を講ずることをもって代えることができる。

⽤語解説等

組織が使⽤を認めたUSBメモリ等︓機関等や所属する組織が購⼊・管理し、職員等に利⽤できるものとして定めているUSBメモリやSDカード等のこと。
また、情報の取扱いの遵守を機関等との間で取り決めた機関等外の組織から受け取ったUSBメモリやSDカード等のこと。

1章-5
情報を消去・廃棄するときは不要となった情報は、パソコン等から速やかに消去しましょう。

参考︓情報セキュリティインシデント事例や社会動向 等■2016年７⽉︓⺠間企業
顧客情報の保存されているPCを、適正にデータ消去せずに売却し、約400⼈分の顧客情報が流出していたと発表した。
■2018年6⽉︓XX⾼専
廃棄紙の⼀時保管場所から個⼈情報20⼈分が記載されている資料が持ち出される事象が発⽣。

こ こ がポ イント︕

•パソコンやUSBメモリ等を廃棄する場合は、勝⼿に廃棄せず、組織で決められた⼿順に従い処置すること。
•要機密情報を含む書類を破棄する場
合は、シュレッダーでの裁断等を⾏うこと。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P23 3.1.1(7) 情報の消去(a) 職員等は、電磁的記録媒体に保存された情報が職務上不要となった場合は、速やかに情報を消去すること。
(b) 職員等は、電磁的記録媒体を廃棄する場合には、当該記録媒体内に情報が残留した状態とならないよう、全ての情報を復元できないように抹消すること。
(c) 職員等は、要機密情報である書⾯を廃棄する場合には、復元が困難な状態にすること。

第2章

2章-1
パソコンを利⽤するときは（その１）

情報システムは業務に必要な最低限の範囲に限って利⽤が原則︕ 離席時はロック、利⽤後はサインアウトを忘れずに︕

参考︓情報セキュリティインシデント事例や社会動向 等■IPA︓内部不正による情報セキュリティインシデント実態調査 2016年3⽉◆内部不正経験者が起こした内部不正の詳細
・うっかりミスや不注意によるルールや規則の違反・顧客情報等の職務で知り得た情報の持ち出し
・個⼈情報を売買するなど職務で知り得た情報の⽬的外利⽤・システムの破壊・改ざん
・上記以外の何らかのルールや規則の違反

66.5％
58.5％
40.5％
36.5％
23.0％

URL︓https://www.ipa.go.jp/security/fy27/reports/insider/

ルール違反が情報セキュリティ
インシデントを誘発します。

こ こ がポ イント︕

•許可された通信回線以外の回線にパソコンを接続しないこと。
•私物パソコン等を勝⼿に⾃組織のLANに接続しないこと。
•パソコンの設定を勝⼿に変更しないこと。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P64 8.1.1(3) 情報システムの利⽤時の基本的対策(a) 職員等は、業務の遂⾏以外の⽬的で情報システムを利⽤しないこと。
(b) 職員等は、情報システムセキュリティ責任者が接続許可を与えた通信回線以外に機関等の情報システムを接続しないこと。
(c) 職員等は、機関等内通信回線に、情報システムセキュリティ責任者の接続許可を受けていない情報システムを接続しないこと。
(e) 職員等は、接続が許可されていない機器等を情報システムに接続しないこと。
(f) 職員等は、情報システムの設置場所から離れる場合等、第三者による不正操作のおそれがある場合は、情報シ
ステムを不正操作から保護するための措置を講ずること。

2章-2
パソコンを利⽤するときは（その２）

利⽤が認められてるソフトウェア以外は勝⼿にインストールしてはダメ︕

参考︓情報セキュリティインシデント事例や社会動向 等■2014年2⽉︓○○病院
パソコン２台が動画再⽣ソフト「GOMプレーヤー」をアップデートした際にウイルスに感染していたことが判明した。
■2013年12⽉︓政府機関、○○⼤学など
パソコンにおいて、⼊⼒した全ての⽂字情報が「百度（バイドゥ）」のサーバに送信される⽇本語⼊⼒ソフト（Baidu IME）がインストールされていた。

こ こ がポ イント︕

•許可されていないソフトウェアを勝⼿にパソコンへインストールしないこと。
•利⽤が認められているかどうか不明な場
合は、LANのヘルプデスクに相談すること。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P64 8.1.1(3) 情報システムの利⽤時の基本的対策(d) 職員等は、情報システムで利⽤を禁⽌するソフトウェアを利⽤しないこと。また、情報システムで利⽤を認めるソフトウ
ェア以外のソフトウェアを職務上の必要により利⽤する場合は、情報システムセキュリティ責任者の承認を得ること。
P65 8.1.1(7) 不正プログラム感染防⽌(a) 職員等は、不正プログラム感染防⽌に関する措置に努めること。
(b) 職員等は、情報システム（⽀給外端末を含む）が不正プログラムに感染したおそれがあることを認識した場合は、感染した情報システム（⽀給外端末を含む）の通信回線への接続を速やかに切断するなど、必要な措置を講ず
ること。

2章-3
IDやパスワードの取扱いはIDは⾃分のもののみを使⽤しましょう。
パスワードは、推測されないものを設定し、他者に知られないよう、厳重に管理しましょう。
推測されないパスワードを設定すればいいの︖
それも⼤事だけど、システムを跨いで同じパスワードを設定することは良くないよ
参考︓情報セキュリティインシデント事例や社会動向 等■政府機関等の対策基準策定のためのガイドライン（令和3年度版）
・解説 基本対策事項8.1.1(5)-2 d)「『推測されないもの』について」 （要約）パスワードに利⽤者の名前や利⽤者個⼈に関連する情報から簡単に派⽣させたもの等、容易に推測されるものを⽤いず、⼗分に⻑い⽂字列を⽤い、推測されないパスワードを設定すること。
パスワードに⻑い⽂字列を使⽤できないシステムの場合は、複雑な⽂字列を⽤いること。
※複雑な⽂字列…アルファベットの⼤⽂字及び⼩⽂字の両⽅を⽤い、数字や記号を織り交ぜるなどして、可能な限りランダム⽣成に近い⽂字列
・解説 基本対策事項6.1.1(1)-3「『利⽤者に主体認証情報の定期的な変更を求める場合』について」 （要約）パスワードを定期的に変更することの情報セキュリティ上の効果は、情報システムの運⽤⽅法
や認証技術の⽅式により異なるものであり、必ずしも明らかでなく、利⽤者にパスワードの定期的な変更を求めるか否かは、その効果と逆効果を勘案して判断する必要がある。

こ こ がポ イント︕

•IDは、⾃分に付与されたもののみを利⽤すること。
•パスワードは⼗分に⻑い⽂字列とし、推測されないものを設定すること。
•パスワードは、他者に知られないよう厳重に管理すること。
•異なるシステムで同じパスワードを使い回さないこと。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P65 8.1.1(5) 識別コード・主体認証情報の取扱い(a) 職員等は、主体認証の際に⾃⼰に付与された識別コード以外の識別コードを⽤いて情報システムを利⽤しないこと。
(b) 職員等は、⾃⼰に付与された識別コードを適切に管理すること。
(c) 職員等は、管理者権限を持つ識別コードを付与された場合には、管理者としての業務遂⾏時に限定して、当該識別コードを利⽤すること。
(d) 職員等は、⾃⼰の主体認証情報の管理を徹底すること。

2章-4
電⼦メールを利⽤するときは決められた電⼦メールサービスを利⽤しましょう。
電⼦メールを送信する前に、宛先や添付ファイルの確認を︕

参考︓情報セキュリティインシデント事例や社会動向 等■ 2017年１⽉︓政府機関
職員約30⼈の⼈事異動案を、担当者が誤って全職員宛てにメールで⼀⻫送信していた。

こ こ がポ イント︕

•要保護情報を電⼦メール等で送信する
場合は、暗号化等の安全管理措置を講ずること。 ※⽤語解説欄参照•電⼦メールを送信する際は、宛先や添付ファイルの誤りが無いよう、送信前の確認を徹底するなど、最⼤限の注意を払うこと。
※ 不審な電⼦メールを受信した場合の対処について、４章-４で解説しています。併せて参考にしましょう。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P22 3.1.1(6) 情報の運搬・送信(b) 職員等は、要保護情報である電磁的記録を電⼦メール等で送信する場合には、安全確保に留意して送信の⼿段を決定し、情報の格付及び取扱制限に応じて、安全確保のための適切な措置を講ずること。独⽴⾏政法⼈及び指定法⼈における職員等が、機密性３情報を機関等外通信回線（インターネットを除く。）を使⽤して送信する場合には、暗号化措置を施した上で、課室情報セキュリティ責任者が指定する⽅法により送信すること。
P64 8.1.1(4) 電⼦メール・ウェブの利⽤時の対策(a) 職員等は、要機密情報を含む電⼦メールを送受信する場合には、それぞれの機関等が運営し、⼜は外部委託した電⼦メールサーバにより提供される電⼦メールサービスを利⽤すること。
(b) 職員等は、機関等外の者と電⼦メールにより情報を送受信する場合は、当該電⼦メールのドメイン名に政府ドメ
イン名を使⽤すること。（以下、略）(c) 職員等は、不審な電⼦メールを受信した場合には、あらかじめ定められた⼿順に従い、対処すること。

⽤語解説等（電⼦メールの）暗号化︓
ネットワークやシステムで情報をやり取りする際、通信途中で第三者にのぞき⾒られたり書き換えられたりしな
いようデータを変換すること。

2章-5
ウェブサイトを利⽤するときは不審なウェブサイトに注意しましょう。
怪しいサイトにアクセスしてしまった場合は直ちに報告窓⼝に連絡を︕

参考︓情報セキュリティインシデント事例や社会動向 等■2014年9⽉19⽇︓○○銀⾏○○銀⾏をかたるフィッシング詐欺。偽画⾯では、本物のログイン画⾯と同様の「偽画⾯にご注意︕」といった警告画像を貼り、ユーザーをだまそうとしていた。画⾯構成なども、本物のログイン画⾯と酷似していた。
■2013年8⽉〜9⽉︓政府関連機関を狙った⽔飲み場型攻撃 ※⽤語解説欄参照
中央省庁や⼤⼿企業の少なくとも20機関を狙った標的型サイバー攻撃（標的組織のＩＰアドレスからのサイト訪問者だけが感染するもの）が発⽣した。

こ こ がポ イント︕

•業務に関係がないウェブサイトを閲覧しないこと。
•ウェブサイトにパスワード等を⼊⼒する場
合は、暗号化（ブラウザに錠アイコンが表⽰）されていることを確認すること。
•オートコンプリート機能を⽤いると、認証情報が端末上に保存され、攻撃者に窃取されてしまう可能性があるので、オートコンプリート機能は使⽤しないこと︕

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P64 8.1.1(4) 電⼦メール・ウェブの利⽤時の対策(d) 職員等は、ウェブクライアントの設定を⾒直す必要がある場合は、情報セキュリティに影響を及ぼすおそれのある設
定変更を⾏わないこと。
(e) 職員等は、ウェブクライアントが動作するサーバ装置⼜は端末にソフトウェアをダウンロードする場合には、電⼦署名により当該ソフトウェアの配布元を確認すること。
(f) 職員等は、閲覧しているウェブサイトに表⽰されるフォームに要機密情報を⼊⼒して送信する場合には、以下の事
項を確認すること。
(ア) 送信内容が暗号化されること(イ) 当該ウェブサイトが送信先として想定している組織のものであること

⽤語解説等

⽔飲み場型攻撃︓
対象組織が通常閲覧するウェブサイトを改ざんし、当該サイトを閲覧したコンピュータにマルウェアを⾃動的に導⼊させる攻撃⼿法。（※巻末付録を参照）

業務委託外部サービスの利用など

第3章

3章-1

委託先における情報の取扱い

業務委託する委託先に機関等の情報を※⽤語解説欄参照

提供する場合は、業務委託先で適切にセキュリティが確保されるようにしましょう。

参考︓情報セキュリティインシデント事例や社会動向 等■2018年2⽉︓⽇本年⾦機構
⽇本年⾦機構が業務委託先に委託していたデータ⼊⼒を委託先が無断で中国企業に再委託していた。

こ こ がポ イント︕

•委託先で機関等の情報が漏えいしない
よう、守秘義務を契約に盛り込むとともに、適切なセキュリティ管理を委託先（再委託先を含む。）に実施させること。
•委託業務で情報セキュリティに関する事
件、事故が発⽣した場合は、直ちに報告窓⼝へ連絡すること。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P26 4.1.1(4) 業務委託における情報の取扱い(a) 職員等は、委託先への情報の提供等において、以下の事項を遵守すること。
(ア) 委託先に要保護情報を提供する場合は、提供する情報を必要最⼩限とし、あらかじめ定められた安全な受渡し⽅法により提供すること。
(イ) 提供した要保護情報が委託先において不要になった場合は、これを確実に返却⼜は抹消させること。
(ウ) 委託業務において、情報セキュリティインシデント、情報の⽬的外利⽤等を認知した場合は、速やかに情報
システムセキュリティ責任者⼜は課室情報セキュリティ責任者に報告すること。

⽤語解説等

業務委託︓
機関等の業務の⼀部⼜は全部について、契約をもって外部の者に実施させることをいう。
「委任」「準委任」「請負」といった契約形態を問わず、全て含むものとする。
ただし、当該業務において機関等の情報を取り扱わせる場合に限る。

3章-2

フリーメールサービス等の外部サービスの利⽤について

フリーメールやファイルストレージサービス
を許可なく業務に利⽤しない︕
要機密情報の取扱いは絶対禁⽌︕

参考︓情報セキュリティインシデント事例や社会動向 等■2021年4⽉︓〇〇県警
職務上知りえた運転免許証の個⼈情報や拾得物情報を元同僚にLINEにて漏えいしていた。
■2021年2⽉︓〇〇医科⼤学
業務連絡のために開設したGoogle個⼈アカウントでのGoogleグループの閲覧設定が「ウェブ上のすべてのユーザー」になっており、業務連絡メールなどが第三者より閲覧可能になっていた。

こ こ がポ イント︕

• フリーメールやファイルストレージサービスなどの許可を得ない外部サービスの利⽤においては、情報が適正に取扱われることを直接確認することや必要⼗分なセキュリティ要件を満たすことが⼀般的に困難なため、許可なく業務に利⽤しないこと。
• 外部サービスを利⽤する際、要機密情報を取※⽤語解説欄参照

り扱わない場合に利⽤を認められている外部サービスや、要機密情報を取り扱う場合の外部サービスの利⽤について、各機関の情報セ
キュリティポリシーを確認すること。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P32 4.2.2(2) 外部サービスの利⽤における対策の実施(a) 職員等は、利⽤するサービスの約款、その他の提供条件等から、利⽤に当たってのリスクが許容できることを確認した上で要機密情報を取り扱わない場合の外部サービスの利⽤を申請すること。また、承認時に指名された外部サービス管理者は、当該外部サービスの利⽤において適切な措置を講ずること。

⽤語解説等

外部サービス︓
機関等外の者が⼀般向けに情報システムの⼀部⼜は全部の機能を提供するものをいう。
ただし、当該機能において機関等の情報が取り扱われる場合に限る。

3章-3

Web会議の利⽤について

会議に無関係な⼈が参加しないように
会議室にパスワード等をかけましょう。
また、不審な参加者がいたら会議室から退出させましょう。

参考︓情報セキュリティインシデント事例や社会動向 等
意図しない者が会議に参加することにより、会議進⾏の妨害、機密情報の漏えいが発⽣します。意図しない者の会議へ参加を防ぐためには、会議案内メールの安全な経路での配付と共に、会議参加者の確認・認証⽅式の選定が重要です。
「Web会議サービスを使⽤する際のセキュリティ上の注意事項」（独⽴⾏政法⼈情報処理推進機構）

こ こ がポ イント︕

•Web会議サービスを利⽤する際は、※⽤語解説欄参照

機密性の⾼い資料の画⾯共有を控えるなど、取り扱う情報に応じたセキュリティ対策を実施しよう。
•Web会議サービスが⽤意している機能を活⽤し、会議に無関係の⼈が参加できないよう対策をしよう。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P65 8.1.1(8) Web会議サービスの利⽤時の対策(a) 職員等は、機関等の定める利⽤⼿順に従い、Web会議の参加者や取り扱う情報に応じた情報セキュリティ対策を実施すること。
(b) 職員等は、Web会議を主催する場合、会議に無関係の者が参加できないよう対策を講ずること。

⽤語解説等

Web会議サービス︓専⽤のアプリケーションやウェブブラウザを利⽤し、映像または⾳声を⽤いて会議参加者が対⾯せずに会議を⾏える外部サービスをいう。なお、特定⽤途機器どうしで通信を⾏うもの（テレビ会議システム等）は含まれない。

第4章

4章-1

モバイルパソコンを施設外に持ち出して使いたい

持ち出しに関する申請⼿続等のルールに従うとともに、持ち出し先でのセキュリティ※⽤語解説欄参照
管理を徹底しましょう。

参考︓情報セキュリティインシデント事例や社会動向 等■2015年2⽉︓○○病院同病院に関連する医師が、患者の個⼈情報含むノートパソコンなどを電⾞内に置き忘れ、⼀時紛失していたことがわかった。
■2015年9⽉︓政府機関
政府機関の職員が、帰途中の電⾞内で業務⽤PC、個⼈情報を記録したUSBメモリ、会議資料等の⼊った鞄を網棚に置き忘れた。

こ こ がポ イント︕

•要保護情報を取り扱うモバイルパソコン
を施設外に持ち出す場合は、持ち出しの⼿続に加え、情報の持ち出しに係る必要な⼿続も忘れずに⾏うこと。
•モバイルパソコンの盗難・紛失等に注意すること。
•持ち出し時にインターネットに接続した
モバイルパソコンを施設内で機関等LANに接続する場合は、⾃組織での接続可否についての判断に従うこと。
政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P64 8.1.1(3) 情報システムの利⽤時の基本的対策(f) 職員等は、情報システムの設置場所から離れる場合等、第三者による不正操作のおそれがある場合は、情報シス
テムを不正操作から保護するための措置を講ずること。
(g) 職員等は、機関等が⽀給する端末（要管理対策区域外で使⽤する場合に限る）及び機関等⽀給以外の端末を⽤いて要保護情報を取り扱う場合は、定められた利⽤⼿順に従うこと。
(h) 職員等は、次の各号に掲げる端末を⽤いて当該各号に定める情報を取り扱う場合は、課室情報セキュリティ責任者の許可を得ること。
(ア) 機関等が⽀給する端末（要管理対策区域外で使⽤する場合に限る） 機密性３情報、要保全情報⼜は要安定情報(イ) 機関等⽀給以外の端末 要保護情報

⽤語解説等（パソコンの持ち出し先での）セキュリティ管理︓
盗難・紛失等による情報窃取のリスクに備えた管理を⾏うこと。

4章-2

私物の端末を使いたいが・・・・

私物等の端末（スマートフォンなどを含む。）※⽤語解説欄参照

は、許可なく業務に利⽤しないようにしましょう︕

参考︓情報セキュリティインシデント事例や社会動向 等■2021年4⽉ 〇〇⼤学医学部付属病院
病院で許可されていないクラウドサービスに586名の個⼈情報を保存して使⽤していたと
ころ、フィッシングメールにより当該サービスのID/PWが盗み取られ、個⼈情報を閲覧できる状態になっていた。

こ こ がポ イント︕

•⽀給以外の端末は、原則業務に使⽤しないこと。なお、⽀給以外の端末を利⽤する場合は、⾃組織での利⽤の可否の判断に従うこと。
•⽀給以外の端末をやむを得ず業務利⽤
する場合は、定められた⼿順に従い、責任者の許可を得た上で利⽤すること。
•⽀給以外の端末は、⾃組織のLANに勝⼿に接続しないこと。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P53 7.1.1(5)機関等⽀給以外の端末の導⼊及び利⽤時の対策(j) 職員等は、機関等⽀給以外の端末を⽤いて機関等の業務に係る情報処理を⾏う場合には、端末管理責任者の許可を得ること。
(k) 職員等は、情報処理の⽬的を完了した場合は、要保護情報を機関等⽀給以外の端末から消去すること。
P64 8.1.1(3) 情報システムの利⽤時の基本的対策(c) 職員等は、機関等内通信回線に、情報システムセキュリティ責任者の接続許可を受けていない情報システムを接続しないこと。

⽤語解説等

私物等の端末︓
個⼈所有のパソコンやスマートフォンなどのほか、他組織から⽀給された端末も含む。

4章-3
USBメモリを利⽤するときは要保護情報を保存したUSBメモリは、厳重に管理しましょう。
⼩さいので紛失には特に注意︕

参考︓情報セキュリティインシデント事例や社会動向 等■2019年11⽉︓○○⼤学教員が出張先で業務を⾏うためUSBメモリを利⽤しデータを持ち出し、出張から帰宅後紛失が判明。43⼈の⽒名、学籍番号等が保存されていた。暗号化や、パスワード設定の処置はされていなかった。同学では個⼈情報の学外への持ち出しを制限しているが当該教員は保護管理者の許可を得ずにファイルを持ち出した。

こ こ がポ イント︕

•組織が使⽤を認めたUSBメモリ等を使⽤すること。
•USBメモリを利⽤する場合は、利⽤内容を貸出簿等に記録すること。
•要保護情報を保存したUSBメモリ等を放置しないこと。
•要保護情報を保存する場合は、情報を暗号化するなどのセキュリティ対策を講ずること。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P22 3.1.1(4) 情報の利⽤・保存(b) 職員等は、機密性３情報について要管理対策区域外で情報処理を⾏う場合は、課室情報セキュリティ責任者の許可を得ること。
(c) 職員等は、要保護情報について要管理対策区域外で情報処理を⾏う場合は、必要な安全管理措置を講ずること。
(e) 職員等は、USBメモリ等の外部電磁的記録媒体を⽤いて情報を取り扱う際、定められた利⽤⼿順に従うこと。
P63 8.1.1(1) 情報システムの利⽤に係る規定の整備(b) 統括情報セキュリティ責任者は、USBメモリ等の外部電磁的記録媒体を⽤いた情報の取扱いに関する利⽤⼿順を定めること。当該⼿順には、以下の事項を含めること。
(ア) 職員等は、国の⾏政機関、独⽴⾏政法⼈若しくは指定法⼈が⽀給する外部電磁的記録媒体、⼜は本項に規定する利⽤⼿順において定められた外部電磁的記録媒体を⽤いた情報の取扱いの遵守を契約により機関等との間で取り決めた機関等外の組織から受け取った外部電磁的記録媒体を使⽤すること。
(イ) ⾃組織以外の組織から受け取った外部電磁的記録媒体は、⾃組織と当該組織との間で情報を運搬する⽬的に限って使⽤することとし、当該外部電磁的記録媒体から情報を読み込む場合及びこれに情報を書き出す場合の安全確保のために必要な措置を講ずること。

4章-4

不審な電⼦メールを受信した

不審な電⼦メールを受信した場合は、※⽤語解説欄参照

直ちに報告窓⼝に連絡しましょう。

参考︓情報セキュリティインシデント事例や社会動向 等
警察庁が令和２年に約8100事業者等間を通じて把握した標的型メール攻撃の件数は4,119件であった。
「令和２年におけるサイバー空間をめぐる脅威の情勢等について」（令和３年３⽉４⽇警察庁広報資料）

こ こ がポ イント︕

•不審な電⼦メールを受信したことに気が付いた場合は、報告窓⼝へ連絡し、指⽰に従う。
•不審な電⼦メールの添付ファイルの開封、URLをクリックしない。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P64 8.1.1(4) 電⼦メール・ウェブの利⽤時の対策(c) 職員等は、不審な電⼦メールを受信した場合には、あらかじめ定められた⼿順に従い、対処すること。

⽤語解説等

不審な電⼦メール︓
⾃組織の職員や、業務で関係する委託先等をかたり、重要情報等を窃取する等の不正⾏為を⽬的として送信された
電⼦メールのこと。そのような不正⾏為を標的型メール攻撃と呼ぶこともある。（※巻末付録を参照）

4章-5 端末がウイルスに感染してしまった、

感染したかもしれない

パソコンがウイルス等に感染したおそれがあると思ったら、直ちにLANケーブルを抜き、利⽤を取りやめましょう︕

参考︓情報セキュリティインシデント事例や社会動向 等■2017年３⽉︓○○病院
ログ解析⽤ソフトを⽤いて同病院の医療⽤端末を解析したところ、患者の個⼈情報が保存された医療⽤端末がウイルスに感染し、外部との通信を⾏っていたことがわかった。

こ こ がポ イント︕

•ウイルス等に感染したおそれがある場合は、勝⼿に措置せずに、組織で定められた⼿順（以下に例⽰）に従うこと。
＜例＞– 直ちに報告窓⼝に連絡し、指⽰を受ける。
– 直ちにLANケーブルを抜く。
※⽤語解説欄参照– 端末の電源を切ったり、再起動させたりせず、そのままの状態を保存する。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P16 2.2.4(2) 情報セキュリティインシデントへの対処(a) 職員等は、情報セキュリティインシデントの可能性を認知した場合には、機関等の報告窓⼝に報告し、指⽰に従う
こと。

⽤語解説等

LANケーブルを抜く︓
他のコンピュータとネットワークを通じたやり取りをできなくすることを⽬的に、パソコンに接続されているLAN通信のためのケーブルを抜くこと。無線LANで接続されている場合は、無線LANスイッチを切ったりして、同様に通信機能を停⽌させる必要がある。

4章-6

パソコン等の端末を紛失してしまった、
盗まれたかもしれない

⾃組織から⽀給されているパソコン等が紛失⼜は盗難に遭った場合（可能性がある場合を含む。）、直ちに報告窓⼝に連絡しましょう。

参考︓情報セキュリティインシデント事例や社会動向 等■「個⼈情報漏えい」原因の⽐率（件数）
・管理ミス
34.0%
・紛失・置忘れ
13.0%
・誤操作
15.6%
・不正な情報持出
6.8%
・不正アクセス
14.5%
・盗難
5.3%
2016年 情報セキュリティインシデントに関する調査報告書〜個⼈情報漏えい編〜（NPO⽇本ネットワークセキュリティ協会）

こ こ がポ イント︕

•盗難・紛失が確定していない場合も、必ず報告窓⼝に連絡し、指⽰に従うこと。
•遠隔ロックや遠隔データ消去等の端末※⽤語解説欄参照のセキュリティ機能が利⽤できる場合は、実施すること。
（組織で予め⼿順が定められている場合は、当該⼿順に従うこと。）

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P16 2.2.4(2) 情報セキュリティインシデントへの対処(a) 職員等は、情報セキュリティインシデントの可能性を認知した場合には、機関等の報告窓⼝に報告し、指⽰に従うこと。
P64 8.1.1(3) 情報システムの利⽤時の基本的対策(g) 職員等は、機関等が⽀給する端末（要管理対策区域外で使⽤する場合に限る）及び機関等⽀給以外の端末を⽤いて要保護情報を取り扱う場合は、定められた利⽤⼿順に従うこと。

⽤語解説等

遠隔ロック、遠隔データ消去︓
モバイル端末の管理ツール（MDM）や通信事業者のサービスにより、ネットワークを通じて端末を利⽤できないようにしたり、端末に保存された情報を抹消したりする（機能の）こと。

4章-7

テレワークを実施するときは画⾯ののぞき⾒等を防⽌できるよう実施場所を選定しよう。
また、セキュリティ対策が施されている回線を利⽤して⾏いましょう︕

参考︓情報セキュリティインシデント事例や社会動向 等■2021年4⽉
半分以上の委託元がテレワークに関する社内規定・規則・⼿順が守られていることを確認していないとの調査結果あり。
規定や⼿順が取り決められていても、遵守状況を確認できていないことにより、内部不正の機会の増加や、気づかないうちに規定に違反していることが原因でセキュリティインシデ
ントが発⽣する恐れがある。
「ニューノーマルにおけるテレワークとITサプライチェーンのセキュリティ実態調査」（独⽴⾏政法⼈情報処理推進機構）

こ こ がポ イント︕

•画⾯ののぞき⾒や盗み聞きを防⽌できるようにプライバシーフィルターやイヤホンを活⽤したり、テレワークの実施場所も選定すること。
また、⾃宅以外でテレワークを実施する
時は、離席時の盗難に注意すること。
•公衆無線LAN等の利⽤については、※⽤語解説欄参照

各機関の情報セキュリティポリシーにおいて利⽤が認められている回線であるか確認すること。

政府機関等のサイバーセキュリティ対策のための統⼀基準（令和3年度版）
P67 8.1.3(3) 実施時における対策(b) 職員等は、画⾯ののぞき⾒や盗聴を防⽌できるようテレワークの実施場所を選定すること。また、⾃宅以外でテレワークを実施する場合には、離席時の盗難に注意すること。
(c) 職員等は、原則として情報セキュリティ対策の状況が定かではない⼜は不⼗分な機関等外通信回線を利⽤してテレワークを⾏わないこと。

⽤語解説等

公衆無線LAN︓ホテル等の施設や町中で提供される無線LANサービス。⼀般的に、フリーWi-Fi 、無料Wi-Fiなどと呼ばれる。

4章-8

ＣＳＩＲＴとは
最⾼情報セキュリティ責任者等の幹部の指揮の下、情報セキュリティインシデントへの対処を⼀元的に管理し、発⽣した事案を正確に把握し、被害拡⼤防⽌、復旧、再発防⽌等を迅速かつ的確に⾏う機能を有する体制

■付録
1 情報の格付区分について●機密性についての格付の定義
格付の区分

分類の基準

機密性３情報国の⾏政機関における業務で取り扱う情報のうち、⾏政⽂書の管理に関するガイドライン（平成23年４⽉１⽇内閣総理⼤⾂決定。以下「⽂書管理ガイドライン」という。）に定める秘密⽂書としての取り扱いを要する情報
独⽴⾏政法⼈及び指定法⼈における業務で取り扱う情報のうち、上記に準ずる情報

機密性２情報国の⾏政機関における業務で取り扱う情報のうち、⾏政機関の保有する情報の公開に関する法律（平成11年法律第42号。以下「情報公開法」という。）第５条各号における
不開⽰情報に該当すると判断される蓋然性の⾼い情報を含む情報であって、「機密性３情報」以外の情報
独⽴⾏政法⼈における業務で取り扱う情報のうち、独⽴⾏政法⼈等の保有する情報の公開に関する法律（平成13年法律第140号。以下「独法等情報公開法」という。）第５条各号における不開⽰情報に該当すると判断される蓋然性の⾼い情報を含む情報であって、「機密性３情報」以外の情報。また、指定法⼈のうち、独法等情報公開法の別表第⼀に掲げられる法⼈（以下「別表指定法⼈」という。）についても同様とする。
別表指定法⼈以外の指定法⼈における業務で取り扱う情報のうち、上記に準ずる情報

機密性１情報国の⾏政機関における業務で取り扱う情報のうち、情報公開法第５条各号における不開⽰情報に該当すると判断される蓋然性の⾼い情報を含まない情報
独⽴⾏政法⼈⼜は別表指定法⼈における業務で取り扱う情報のうち、独法等情報公開法第５条各号における不開⽰情報に該当すると判断される蓋然性の⾼い情報を含まない情報
別表指定法⼈以外の指定法⼈における業務で取り扱う情報のうち、上記に準ずる情報

なお、機密性２情報及び機密性３情報を「要機密情報」という。
●完全性についての格付の定義
格付の区分

分類の基準

完全性２情報業務で取り扱う情報（書⾯を除く。）のうち、改ざん、誤びゅう⼜は破損により、国⺠の権利が侵害され⼜は業務の適切な遂⾏に⽀障（軽微なものを除く。）を及ぼすおそれがある情報

完全性１情報完全性２情報以外の情報（書⾯を除く。）

なお、完全性２情報を「要保全情報」という。
●可⽤性についての格付の定義
格付の区分

分類の基準

可⽤性２情報業務で取り扱う情報（書⾯を除く。）のうち、その滅失、紛失⼜は当該情報が利⽤不可能であることにより、国⺠の権利が侵害され⼜は業務の安定的な遂⾏に⽀障（軽微なものを除く。）を及ぼすおそれがある情報

可⽤性１情報可⽤性２情報以外の情報（書⾯を除く。）

なお、可⽤性２情報を「要安定情報」という。
また、その情報が要機密情報、要保全情報及び要安定情報に⼀つでも該当する場合は「要保護情報」という。

2 ⽔飲み場型攻撃脅威の概要
 標的組織がよく閲覧するwebサイトを改ざんし、閲覧した端末を不正プログラムに感染させる。
 ブラウザの未知の脆弱性を悪⽤した攻撃(ゼロデイ攻撃)の場合もあり、未然防⽌は困難。
 不正プログラムを遠隔操作して内部侵⼊を繰り返し、重要情報の窃取・破壊等を実施。
＜最近の事例＞• 2013年８⽉〜９⽉ 中央省庁や⼤⼿企業の少なくとも20機関を狙った標的型サイバー攻撃（標的組織のIPアド
レスからのサイト閲覧者だけが感染するもの）が発⽣

主な対策
 感染の未然防⽌は困難であるため、組織内部へ侵⼊されることを前提に内部対策を実施。
 内部対策としては、以下があげられる。
• 内部に侵⼊した攻撃を早期検知して対処• 侵⼊範囲の拡⼤の困難度を上げる• 外部との不正通信を検知して対処<統⼀基準群(令和3年度版)における対策事項>• 6.2.4 標的型攻撃対策 等

3 標的型メール攻撃
脅威の概要
 特定の組織を狙って職員等になりすましたメールを送付し、添付ファイルやURLを開かせることによって不正プログラムに感染させる。
 不正プログラムを遠隔操作して内部侵⼊を繰り返し、
重要情報の窃取・破壊等を実施。
＜最近の事例＞• 2015年５⽉ 〇〇機構に対して4度にわたる執ような標的型メール攻撃が⾏われ、31台の端末が不正プログラムに感染し、125万件の個⼈情報が流出するという事案が発⽣

主な対策
 不審なメールを検出する仕組みの整備、対応能⼒を向上する（送信ドメイン認証技術の活⽤、教育・訓練 等）。
 感染防⽌を⽬的とした⼊⼝対策のほか、遠隔操作による攻撃の早期検知等を⽬的とした内部対策を実施する。
＜統⼀基準群（令和3年度版）における対策事項＞• 6.2.4 標的型攻撃対策• 6.2.1 ソフトウェアに関する脆弱性対策• 7.2.1 電⼦メール 等