JNSA 2013年度活動報告会「出社してから退社するまで中小企業の情報セキュリティ対策実践手引き」活用方法
出社してから退社するまでのリスク対策WG
元持哲郎
アイネット・システムズ株式会社

2014 年 6月 10日（火） ベルサール神田

はじめに• JNSA西日本支部では、中小企業のセキュリティレベル向上のため「中小企業向け情報セキュリティチェックシート」(略称：チェックシート)を2008年、 「出社してから退社するまで中小企業の情報セキュリティ対策実践手引き」(略称：9to5)を2011年に公開しました。
• 初版公開後の情報セキュリティをめぐる環境変化に適切に対応するため、また「チェックシート」と「9to5」の整合性を取るため、「チェックシート」、「9to5」それぞれの改訂版を作成しました。
• 今回の報告会では、「チェックシート」と「9to5」の相互関係、および違いを踏まえた利活用方法について解説します。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

1ツールの位置付け• Why: 9to5
– リスクの認識– セキュリティ対策• How:チェックシート– 現状の把握– セキュリティ対策– PDCAを回す• What:JNSAソリューションガイド
– 具体的な製品、サービスの選定

共通ISO27001/27002

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会2

9to5の対象企業
ソリューションガイド

従業員300人以下
チェックシート

9to5

西日本支部 2008年度活動成果物「中小企業の情報セキュリティ対策支援 WG活動報告書」より
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会3

9to5の目的• 中小企業の業務に伴うリスクが認識できる• 中小企業が具体的なリスク対策が行える• 情報の洗い出し無しでセキュリティ対策が可能

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会4

9to5の対象者• 企業のシステム管理者• システム管理を外注している管理者• 中小企業を指導するITコーディネータ、IT企業

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会5

9to5の管理策から省いた項目• 対象が紙・物に関するもの• 電源、空調等の設備管理に関するもの• 対策できないもの、対策が中小企業レベルでは難しいもの– 経営者、システム管理者等の権限者の不正– DoS攻撃• 個人情報保護に関するもの• 委託管理に関するもの• 対策が教育・啓蒙になるもの
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会6

9to5の対応範囲※JIPDEC ISMSユーザーズガイドより情報セキュリティチェックシートの範囲

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会7

9to5の構成• 導入部– 1.概要– 2.本ガイドライの対象企業– 3.本ガイドラインの対象読者– 4.本ガイドラインの使用方法• 第1部– 21の情報セキュリティ管理項目(2011年版：18)• 第2部– 69業務に基づく情報セキュリティ対策例(2011年版：62)• 付録• 参考資料
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会8

9to5の第１部
本手引き管理項目
1.セキュリティ境界と入退室管理
2.クラウドサービスの利用
3.障害・事故管理
4.IT継続性
5.認証と権限
6.ネットワークのアクセス制御
7.パッチの適用
8.ウイルス及び悪意のあるプログラムに対する対策9.記憶媒体の管理
10.スマートデバイスの利用
11.電子メールの利用
12.Webの開発・管理
13.ログの取得
14.バックアップ
15.容量・能力の管理
16.変更管理17.構成管理18.SNSの利用
19.暗号化
20.アプリケーションの利用
21.クリアデスク・クリアスクリーン

ISMS- ISO/ IEC2 7 0 0 1 :2 0 1 3 - 付属書A 対応管理策
A.11.1.1,A.11.1.2
A.13.1.2,A.15.1.1,A.15.1.2,A.15.1.3,A.15.2.1,A.15.2.2
A.16.1.1,A.16.1.2,A.16.1.3,A.16.1.4,A.16.1.5,A.16.1.6
A.17.1.1,A.17.1.2,A.17.1.3,A.17.2.1
A.9.2.1,A.9.2.3,A.9.2.5,A.9.2.6,A.9.4.1,A.9.4.2,A.9.4.3
A.13.1.1,A.13.1.2,A.13.1.3
A.12.6.1
A.12.2.1
A.8.3.1,A.8.3.2
A.11.2.6,A.6.2.1,A.6.2.2
A.13.2.1,A.13.2.3
A.14.1.1,A.14.1.2,A.14.1.3,A.14.2.1,A.14.2.5,
A.14.2.6,A.14.2.7,A.14.2.8,A.14.2.9,A.14.3.1
A.12.4.1,A.12.4.2,A.12.4.3,A.12.4.4
A.12.3.1
A.12.1.3
A.12.1.2,A.14.2.2,A.14.2.3,A.14.2.4
A.8.1.1,A.12.5.1
A.13.2.3
A.10.1.1,A.10.1.2
A.11.2.9

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

99to5の第2部• 出社
1業務(2011年版：1業務)• 社内業務33業務(2011年版：31業務)• 社外業務15業務(2011年版：12業務)• 退社
1業務(2011年版：1業務)• 帰宅4業務(2011年版：2業務)• システム管理業務 15業務(2011年版：15業務)

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会10

9to5の活用方法
参考資料
暗号アルゴリズ
ム等具体的な対策を提示

第2部
業務に基づく情報セキュリティ
対策例

第1部
情報セキュリティ管理策

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

11活用事例①

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

12

活用例①

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

13

活用例①
5.認証と権限(1)管理目的
情報と情報機器への許可されていないアクセスを防止するため(2)管理策
①入館・入室設備、PC(BIOS、OS)、サーバー、ネットワーク、アプリケーション、スマートデバイス（スマートフォン、タブレット）、携帯電話等にアクセスするための個人及びプログラムを認証する仕組みを構築・設定する②認証には、ワンタイムパスワード、二段階、IDカード、デバイス(ハードウェアトークン、ICカード、USBキー等)、パスワード、バイオメトリックス(指紋認証、静脈認証等)等及びこれらの組み合わせ(複数要素認証)の第三者が簡単に悪用できない仕組みを用いる③認証のためのユーザIDは個人を特定できるように付与する④ユーザIDは職務権限に応じた、情報と情報機器へのアクセス権限を付与する⑤特権は、システム管理者、業務の管理者等特別の職務権限を持った者だけに付与する⑥パスワード(9)は例えば「12文字以上に設定し、大文字、小文字、数字、特殊文字の4つを組み合わせ、3カ月に1度変更する」(以降「」をパスワードポリシーとする)とする。
(3)運用で心がけるポイント①退職、人事異動に伴う、ユーザID、アクセス権限の見直しを行う②アクセスする情報の重要度、情報機器のある場所及び情報にアクセスする場所により認証の強度を検討する(4)関連する管理項目
セキュリティ境界と入退室管理、アプリケーションの利用、電子メールの利用、ネットワークのアクセス制御、Webの開発・管理、クラウドの利用、SNS、スマートデバイスの利用
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

14活用例①(9)Japan Vulnerability Notes「共通セキュリティ設定一覧CCE概説 (パスワード編)」

http://jvndb.jvn.jp/apis/myjvn/cccheck/cce_password.html

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

15

活用例①
第１部
本手引き管理項目
1.セキュリティ境界と入退室管理

2.クラウドサービスの利用

3.障害・事故管理

4.IT継続性

5.認証と権限管理策
①
②
③
①
②
③
①
②
③
①
②
③
①
②
③
④
⑤
⑥

第２部
業務No.
1,.2,22,30,65
1,.2,22,30
3
25,26,28
24,25,26,28
60
59
59
57

1,4,12,21,30,37,44,45,51
4,21,24,45
1,2,3,5,21,45
1,2,2121
6

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

16

活用例②

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

17

活用例②

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

18

活用例②
10.スマートデバイスの利用(1)管理目的
スマートデバイス(スマートフォン、タブレット)の利用に伴う、情報の漏えい、改ざん、破壊を防止するため(2)管理策①スマートデバイスの資産管理を行う②ジェイルブレイク、ルート化を禁止する③製造者及びキャリアの提供するパスコードロック、自動ロック、パスコード入力に失敗した場合のデータ消去、リモートワイプ、暗号化、ウイルス及び悪意のあるプログラムに対する対策機能は有効にしておく④有償、無償を問わず組織が許可したアプリケーション(ソフトウェア)のみ使用を許可する⑤有償、無償を問わず組織が許可したクラウドサービスのみ使用を許可する⑥スマートデバイス、アプリケーションの脆弱性情報を入手し、リリースされたセキュリティパッチは必ず適用する⑦社外でWi-Fi、赤外線、Bluetoothネットワークに接続する場合は、信頼できるネットワークのみ利用する⑧重要な情報をスマートデバイス以外にバックアップする手順を備える⑨スマートデバイスの使用ガイドライン(21)(22)(23)を定める。
(3)運用で心がけるポイント①位置情報とアプリケーション、スマートデバイスとクラウドサービス及びSNSとの自動連携機能の設定を確認し、意図しない連携を防止する②定期的にスマートデバイスの棚卸しを実施すると共に設定状況を確認し、セキュリティパッチの適応状況、許可アプリケーション以外使用されていないことを確認する(4)関連する管理項目
認証と権限、パッチの適用、記憶媒体の管理、暗号化、バックアップ、クラウドサービスの利用、SNSの利用
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

19

活用例②
18.SNSの利用(1)管理目的
従業員が SNSを私的利用するに際し、企業情報の漏えいを防止すると共に、企業の信用失墜を防止するため。
(2)管理策①従業員がSNSを利用する場合の、勤務先名の記載可否、企業が持つ公開情報についての記載可否または記載範囲・記載条件、SNS上での顧客、取引先社員との交友方法、私的情報の記載内容、利用方法について、SNS使用ガイドライン(24)を定める(3)運用で心がけるポイント①使用デバイス(PC、スマートフォン、タブレット)とSNSの設定により、使用デバイス上のデータ、写真、位置情報とSNSが自動連携されることに注意する②SNSの設定変更、機能追加による情報漏えいに注意する③従業員の法律、公序良俗に違反するSNSの記載により、企業の信用失墜の可能性があることに注意する④SNSセキュリティ設定の問題により、SNSのアカウントが乗っ取られ、悪用される可能性のあることに注意する(4)関連する管理項目
認証、クラウドサービスの利用

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

20

活用例②
NPO 日本ネットワークセキュリティ協会(JNSA)「スマートフォンの安全な利活用のすすめ～ スマートフォン利用ガイドライン ～」http://www.jnsa.org/result/2012/smap_guideline_v1.0.pdf
一般社団法人 日本スマートフォンセキュリティ協会(JSSEC)「スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン」
http://www.jssec.org/dl/guidelines2011_v1.1.pdf
一般社団法人 日本スマートフォンセキュリティ協会(JSSEC)「スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン 補足資料」
http://www.jssec.org/dl/BYOD_BasicData2012_v1.0.pdfNPO 日本ネットワークセキュリティ協会(JNSA)「SNSの安全な歩き方～セキュリティとプライバシーの課題と対策～」
http://www.jnsa.org/result/2012/SNS-WG_ver0.7.pdf
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

21

活用例②

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

22

9to5の公開
出社してから退社するまで中小企業の情報セキュリティ対策実践手引き 2014年版
http://www.jnsa.org/result/2013/chusho_sec/index.html

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

23

「9to5」 ⇒「チェックシート」• 対策をおこなうための優先順位が必要!!
– リスクの起こる頻度– 業務の重要度– 業務で関連する情報の重要度(付録)– 現状の対策レベル

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

24

ご清聴ありがとうございました。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

25

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

26