中⼩企業の情報セキュリティ対策ガイドライン 第3版

https://www.ipa.go.jp/security/keihatsu/sme/guideline/• 独⽴⾏政法⼈ 情報処理推進機構（IPA）• 中⼩企業*1の経営者や実務担当者が、情報セキュリティ対策の必要性を理解し、情報を安全に管理するための具体的な⼿順等を⽰したガイドライン• 本編2部と付録より構成– 経営者が認識すべき「3原則」、経営者がやらなければならない「重要7項⽬の取組」を記載– 情報セキュリティ対策の具体的な 進め⽅を分かりやすく説明– すぐに使える「情報セキュリティ基本⽅針」や「情報セキュリティ関連規程」等のひな形を付録*1： 中⼩企業の定義は、従業員数100⼈以下（サービス業、⼩売業、卸売業）、同300⼈以下（製造業などその他）

2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

1

ガイドラインの構成• 中⼩企業の情報セキュリティ対策の考え⽅や実践⽅法について、本編２部と付録より構成

2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

2

第１部 経営者編
1 情報セキュリティ対策を怠ることで企業が被る不利益
1. ⾦銭の損失
2. 顧客の喪失
3. 業務の停滞
4. 従業員への影響

２ 経営者が負う責任
1. 経営者などに問われる法的責任
2. 関係者や社会に対する責任

３ 経営者は何をやらなければならないのか
1. 認識すべき「３原則」
2. 実⾏すべき「重要７項⽬の取組」

2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

3

第２部 実践編
• できるところから始めて段階的にステップアップ
Step1

できるところから始める

Step2
組織的な取り組みを開始する

Step4

Step3

より強固にするための⽅策本格的に取り組む• 情報収集と共有• ウェブサイトの情報セキュ
リティ• クラウドサービスの情報セ
キュリティ• 情報セキュリティサービスの活⽤• 技術的対作例と活⽤• 詳細リスク分析の実施
⽅法
５分でできる！

情報セキュリティ５か条
2019/8/30

情報セキュリティ⾃社診断情報セキュリティ関連規程

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

より強固にするため⽅策4

より強固にするための⽅策(6) 詳細リスク分析の実施⽅法• 付録6「リスク分析シート」を使い、以下の⼿順で⾏う。

情報資産の洗い出し

⼿順1

どのような情報資産があるか洗い出して重要度を判断する。

リスク値の算定

⼿順2

リスクの⼤きさを算定し対策が必要な情報資産を把握する。

⼿順３

情報セキュリティ対策の決定

リスクの⼤きな情報資産に対して必要とされる対策を決める。

IPA 「中⼩企業の情報セキュリティ対策ガイドライン」を基に作成
2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

5(6) 詳細リスク分析の実施⽅法

⼿順１：情報資産の洗い出し• 業種、事業内容、IT環境によって保有する情報資産は異なるため、台帳記⼊例を参考に、⾃組織の情報資産を⼀通り洗い出し、以下の要領で作業を進める。
– 情報資産を情報資産管理台帳へ記⼊– 情報資産ごとの機密性・完全性・可⽤性の評価– 機密性・完全性・可⽤性の評価値から重要度を算定（「重要度」とは事故が起きた場合の影響）

IPA 「中⼩企業の情報セキュリティ対策ガイドライン」を基に作成
2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

6

台帳記⼊例

2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース「利⽤⽅法」シートに記載されています。

「リスク分析シート」の記⼊要領 ➀台帳記⼊欄

7

記⼊内容解説①業務分類

情報資産に関連する業務や部署名を記⼊します。情報資産は業務に関連して発⽣しますので、まず関連業務や部署を特定し、その業務や部署で利⽤している情報を洗い出すと記⼊漏れが少なくなります。

②情報資産名称

情報資産の内容を簡潔に記⼊します。正式名称がないものは社内の通称で構いません。管理⽅法や重要度が同じものは１⾏にまとめます。

③備考

必要に応じて説明等を記⼊します。

④利⽤者範囲

情報資産を利⽤してよい部署等を記⼊します。

⑤管理部署

情報資産の管理責任がある部署等を記⼊します。⼩規模事業者であれば担当者名を記⼊しても構いません。

⑥媒体・保存先情報資産の媒体や保存場所を記⼊します。書類と電⼦データの両⽅で保存している場合は、それぞれ完全性・可⽤性（機密性は同⼀）や脅威・脆弱性が異なるので2⾏に分けて記⼊します。
例）⾒積書「電⼦データを事務所PC に保存」「印刷物書類をキャビネットに保管」
各項⽬が個⼈情報保護法、マイナンバー法で定義されています。

〈個⼈情報〉
個⼈情報が含まれる場合は「有」を記⼊します。
―個⼈情報の定義―「 ⽣存する個⼈に関する情報であって当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等により特定の個⼈を識別することができるもの、⼜は個⼈識別符号が含まれるもの」
⽒名、住所、性別、⽣年⽉⽇、顔画像等個⼈を識別する情報に限られず、個⼈の⾝体、財産、職種、役職等の属性に関して、事実、判断、評価を表す全ての⑦個⼈情報の種類 情報であり、評価情報、公刊物等によって公にされている情報や、映像、⾳声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。
〈要配慮個⼈情報〉
要配慮個⼈情報が含まれる場合は「有」を記⼊します。
―要配慮個⼈情報の定義―「 本⼈の⼈種、信条、社会的⾝分、病歴、犯罪の経歴、犯罪により害を被った事実その他本⼈に対する不当な差別、偏⾒その他の不利益が⽣じないようにその取り扱いに特に配慮を要するものとして政令で定める記述等が含まれる個⼈情報」〈マイナンバー〉
マイナンバー（個⼈番号）が含まれる場合（マイナンバー法で「特定個⼈情報」と定義されています。）は「有」を記⼊します。
⑧重要度

情報資産の機密性、完全性、可⽤性それぞれの評価値を記⼊します。
３種類の評価値から表１１に基づき重要度が表⽰されます。なお、⑦でいずれかの個⼈情報が「有」の場合、重要度は⾃動的に「２」となります。

⑨保存期限

法定⽂書は法律で定められた保存期限を、それ以外は利⽤が完了して廃棄、消去が必要となる期限を記⼊します。

⑩登録⽇

登録した⽇付を記⼊します。内容を更新した場合は更新⽇に修正します。

2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

8

情報の洗い出しの⼿順• 情報資産を情報資産管理台帳へ記⼊– パソコンのハードディスクや机の引き出しを⾒るのではなく、⽇常の業務とその流れの中で、どのような電⼦データや書類を利⽤しているかを考えて洗い出すと、作成しやすくなります。

• 情報資産ごとの機密性・完全性・可⽤性の評価– 機密性、完全性、可⽤性が損なわれた場合の業務への影響や、法律で安全管理義務があるなど、表10の評価基準を参考に評価値２〜０を記⼊します。

• 機密性・完全性・可⽤性の評価値から重要度を算定– 重要度は、前項の作業で「情報資産管理台帳」の所定欄に記⼊した機密性・完全性・可⽤性のそれぞれの評価値の最⼤値として算定します。
なお、事故が起きると法的責任を問われたり、学⽣、保護者家庭などの個⼈に⼤きな影響があったり、業務に深刻な影響を及ぼすなど、法⼈の存続を左右しかねない場合や、個⼈情報を含む場合は、前項の算定結果に関わらず、重要度は２とします。

IPA 「中⼩企業の情報セキュリティ対策ガイドライン」を基に作成
2019/8/30

9

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース【表10】 情報資産の機密性・完全性・可⽤性に基づく重要度の定義（参考）
機密性

完全性

可⽤性

アクセスを許可された者だけが情報にアクセスできる

情報や情報の処理⽅法が正確で完全である

許可された者が必要な時に情報資産にアクセスできる

評価値

評価基準
法律で安全管理（漏えい、滅失⼜はき損防⽌）が義務付けられている

2

1

該当する情報の例••

守秘義務の対象や限定提供•
データとして指定されている
漏えいすると取引先や顧客に⼤ •きな影響がある

取引先から秘密として提供された情報
取引先の製品・サービスに関わる⾮公開情報

⾃社の営業秘密として管理すべ •き（不正競争防⽌法による保 •護を受けるため）漏えいすると•⾃社に深刻な影響がある

⾃社の独⾃技術・ノウハウ
取引先リスト
特許出願前の発明情報漏えいすると業務に⼤きな影響がある

⾒積書、仕⼊価格など顧客（取引先）との商取引に関する情報•評価値

個⼈情報（個⼈情報保護法で定義）
特定個⼈情報（マイナンバーを含む個⼈情報）

2

1

評価基準

該当する情報の例•
法律で安全管理（漏えい、滅失⼜はき損防⽌）が義 •
務付けられている

個⼈情報（個⼈情報保護法で定義）
特定個⼈情報（マイナンバーを含む個⼈情報）

改ざんされると⾃社 •に深刻な影響または取引先や顧客に •⼤きな影響がある •取引先から処理を委託された会計情報
取引先の⼝座情報
顧客から製造を委託された設計図

改ざんされると業務 •に⼤きな影響がある •⾃社の会計情報
受発注・決済・契約情報
ホームページ掲載情報•0

漏えいしても業務にほとんど影響 •はない•

⾃社製品カタログ
ホームページ掲載情報

0

改ざんされても事業 •にほとんど影響はな
い

評価値

評価基準

該当する情報の例

利⽤できなくなると •⾃社に深刻な影響
または取引先や顧 •客に⼤きな影響がある

顧客に提供しているEC サイト
顧客に提供しているクラウドサービ
ス

利⽤できなくなると •事業に⼤きな影響 •がある製品の設計図
商品・サービスに関するコンテンツ（インターネット向け事業の場合）利⽤できなくなって •も事業にほとんど影響はない

廃版製品カタログ

2

1

廃版製品カタログ
データ0

表中の記述は⼀般企業の場合の例です。
IPA 「中⼩企業の情報セキュリティ対策ガイドライン」を基に作成
2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

10

記⼊上のポイント•

情報資産管理台帳は洗い出した情報資産を「⾒える化」するための⽅法の⼀つです。特にパソコンやネットワークで利⽤する電⼦化された情報は⼈間の五感で感知することができないため、社外のサーバーや個⼈のスマートフォンに保存されていると気付かないことがあります。電⼦化された情報を洗い出すときには「普段パソコンで⾒ているこのデータは、どこに保存されているのだろう。」というように、社内のIT 機器や利⽤しているクラウドサービスを思い浮かべて記⼊します。

•重要度の判断は⽴場や⾒識によっても異なることがあるので、記⼊する前に「重要ではない」と判断するのではなく、記⼊した後に組織的に重要度を判断します。

•電⼦データや書類を保存する際のまとめ⽅は様々ですが、管理⽅法や重要度が同じ情報は１件にまとめて記⼊することで作業負荷を減らすことができます。
【管理⽅法や重要度が同じ情報の例】
事務所内のパソコンで会計ソフトや表計算ソフトを使って帳簿を作成している場合

•
•
•
•
•
•

仕訳帳
総勘定元帳
現⾦出納帳
当座預⾦出納帳
⼩⼝現⾦出納帳
売上帳

情報資産名称：「会計データ」「 会計データバックアップ」（バックアップを取っている場合）など
媒体・保存先：「事務所PC」（会計ソフトが保存先）「 可搬電⼦媒体」（USB メモリがバックアップ保存先）•

情報資産の「重要度」は時間経過とともに変化することがありますが、現時点の評価値を記⼊してください。また時間経過に伴う重要度の変化を台帳上で更新することが難しい場合は、最⼤値で評価します。

•中規模企業の場合、管理部署ごとにシートを分けて作成すると、内容の⾒直しの際に便利です。
IPA 「中⼩企業の情報セキュリティ対策ガイドライン」を基に作成

2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

11

より強固にするための⽅策(6) 詳細リスク分析の実施⽅法• 付録6「リスク分析シート」を使い、以下の⼿順で⾏う。

⼿順1

情報資産の洗い出しどのような情報資産があるか洗い出して重要度を判断する。

⼿順2

リスク値の算定

リスクの⼤きさを算定し対策が必要な情報資産を把握する。

⼿順３

情報セキュリティ対策の決定

リスクの⼤きな情報資産に対して必要とされる対策を決める。

IPA 「中⼩企業の情報セキュリティ対策ガイドライン」を基に作成
2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

12

【参考】 業務保証としての情報セキュリティ
業務は資源（資産）を使う
資産は固有の性質（価値）を持つ

⼈

資産：
性質：健康、知識、技能、意欲

⾦

資産：
性質：貨幣価値、流動性、安定性

機密性（Ｃ）
完全性（Ｉ）
可⽤性（Ａ）
情報資産のＣＩＡが損なわれると業務は回らなくなる。

業務（例：製造、サービス、創造）物

資産：
性質：機能、堅牢性、代替性

2019/8/30

守るべきは業務

情報

資産：
性質：機密性、完全性、可⽤性

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

情報セキュリティの定義
情報資産のＣＩＡを保つことにより、業務の遂⾏を保証（任務保証）すること。
13【参考】 情報セキュリティとリスク
業務

脆弱性（弱点、セキュリティホール、ヒューマンエラー等）

情報資産
ＣＩＡ

情報資産
ＣＩＡ

情報処理環境情報処理環境平常時

脅威

不正侵⼊、ウイル
ス、改ざん、盗聴、⾃然災害等

情報セキュリティ事故（インシデント）発⽣時

インシデントは起きるかもしれないし、起きないかもしれない。 ⇒ リスク

起こりやすさ情報資産の脆弱性に脅威が作⽤すると、情報資産の価値（ＣＩＡ）が損なわれ、業務の遂⾏に⽀障をきたす。 ⇒ インシデント

リスク⼤リスク⼩リスクの⼤きさ ＝起こったときの影響 × 起こりやすさ＝ （情報資産、脅威シナリオ）×（脅威、脆弱性）

起こったときの影響
2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

14

(6) 詳細リスク分析の実施⽅法

⼿順２：リスク値の算定• ⼿順１で洗い出した情報資産について、対策の優先度を決めるため、リスク値（リスクの⼤きさ）を算定– 本ガイドラインでは「重要度」と「被害発⽣可能性（起こりやすさ）」の２つの数値の掛け算で⾏う。（「重要度」とは事故が起きた場合の影響）
リスク値 ＝ 重要度（影響） × 被害発⽣可能性
重要度 ＝ ⼿順1にて算定

脅威の寄与

被害発⽣可能性 ＝ 脅威・脆弱性から算定

脆弱性の寄与3

通常の状況で脅威が発⽣する（いつ発⽣してもおかしくない）

3対策を実施していない（ほぼ無防備）

2

特定の状況で脅威が発⽣する（年に数回程度）

2

部分的に対策を実施している1

通常の状況で脅威が発⽣することはない

1

必要な対策をすべて実施している

303620241012012発⽣
可能性

リスク値

可能性 ＝ 脅威 ÷（4－脆弱性）
脆弱性
脅威32

1332

122111111

通常の状況で被害が発⽣する（いつ発⽣してもおかしくない）2

特定の状況で被害が発⽣する（年に数回程度）

1

通常の状況で被害が発⽣することはない

深刻な事故が起きる可能性⼤

1〜3 中

重⼤な事故が起きる可能性有0⼩事故が起きても被害は許容範囲

IPA 「中⼩企業の情報セキュリティ対策ガイドライン」を基に作成

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース「リスク分析シート」の記⼊要領 ➁
1.

3

4〜6 ⼤

重要度（影響）2019/8/30

被害発⽣可能性

⼩数点以下を切り上げ

15「利⽤⽅法」シートに記載されています。

「脅威」の指定「脅威の状況」シートに列挙されている代表的な脅威のそれぞれについて、⾃社において発⽣する可能性があるかどうか、以下の３種類の選択肢から最も近いものを１つ選択します。
選択肢意味
通常の業務を⾏っている範囲内では発⽣することが考えにくいものに相当します。これには、モバイル機器を使っていない場
1:通常では発⽣しない（数年に１回未満）
合のモバイル機器の脅威に関する項⽬のように、そもそも発⽣するはずがないものも含みます。
1と3のいずれにもあてはまらないと考える場合は2を選んでください。また、過去に起きたことがない事故でも、今後起きる可2:特定の状況で発⽣する（年に数回程度）
能性があると感じている場合は1でなく2を選択してください。
3:通常の状態で発⽣する（いつ発⽣してもお⾃社でこれまでに何度か発⽣したことがあり、今後も発⽣することが懸念されるものに相当します。
かしくない）

2.

「脆弱性」の指定「対策状況チェック」シートに⽰されている11種類55項⽬の「情報セキュリティ診断項⽬」ごとに、⾃社における実施状況を「回答値」欄に表⽰される下記の選択肢１〜４のいずれかを選択します。
選択肢
意味
1:実施している
情報セキュリティ診断項⽬に記載の通り、あるいはそれ以上の対策を実施している場合に相当します。
情報セキュリティ診断項⽬に記載されている項⽬の⼀部であったり、近い内容だがやや効果が不⼗分と考えられる対策を実2:⼀部実施している施している場合に相当します。
情報セキュリティ診断項⽬に記載されている対策を全く実施していない場合、あるいは対策として書かれている内容を実施し3:実施していない/わからないているかどうかわからない場合に相当します。
情報セキュリティ診断項⽬に記載されている状況が⾃社にあてはまらない場合に相当します。例えば、⾃社でサーバーを運4:⾃社に該当しない⽤していない場合の、サーバーに関する項⽬などがこれにあたります。

3.

リスク値の算定

⼿順１と⼿順２の(1)(2)の記⼊が完了すると、「情報資産管理台帳」シートの右⼿の「現状から想定されるリスク」欄（オレンジ⾊の部分）に、情報資産ごとのリスク値に関する分析結果が表⽰されます。
「現状から想定されるリスク」欄の項⽬
脅威の発⽣頻度
脆弱性
被害発⽣可能性
リスク値

2019/8/30

各項⽬に表⽰される内容が意味するもの「脅威の状況」シートにおける「対策を講じない場合の脅威の発⽣頻度」欄に記⼊した3段階の値のうち、「媒体・保存先」の種類に応じてもっとも⼤きい値を⽰しています。
「対策状況チェック」シートで設定した情報セキュリティ診断項⽬ごとの対策の実施状況をもとに、情報資産管理台帳における「媒体・保存先」の列で指定した内容を考慮した結果が表⽰されます。
脅威の発⽣頻度と脆弱性に表⽰されている内容をもとに、当該情報資産を対象とした被害が発⽣する可能性を⾼・中・低の３段階で表⽰します。
情報資産の「重要度」と「被害発⽣可能性」の積をもとにリスクの⼤きさを⼤・中・⼩の３段階で表⽰します。

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

16

「リスク分析シート」でのグループワーク
オリジナルの資産管理台帳シート
カラム

ロジック

⼊⼒シート

M

重要度

機密性、完全性、可⽤性の最⼤値。但し、個⼈情報などを含んでいれば2。

（⾃動表⽰）

P

脅威

媒体や保存先毎に特定の脅威シナリオ（「脅威の状況」シートの「個別の脅威」列。紛失、攻撃など）を想定し、そのシナリオの発⽣頻度を⾒積もる。

脅威の状況

Q

脆弱性

媒体や保存先毎に特定の脅威シナリオ（「脅威の状況」シートの「個別の脅威」列。紛失、攻撃など）を想定し、その脅威に対して有効と考えられる対策の実施状況で評価。

対策状況チェック

R、S

被害発⽣可能性

T、U

リスク値

可能性 ＝ 脅威 ÷（4－脆弱性）

⼩数点以下を切り上げ

リスク値 ＝ 重要度（影響） × 被害発⽣可能性
0→⼩、 1〜3→中、 4〜6→⼤（⾃動表⽰）（⾃動表⽰）

講習会⽤の資産管理台帳シート
カラム

記⼊要領

Q

脅威シナリオ想定する脅威シナリオを選択する。（選択肢は媒体・保存先によって異なります。）

R

脅威の可能性

想定した脅威シナリオが発⽣する頻度を3段階で⾒積もる。

S

脆弱性

2019/8/30

想定した脅威シナリオの発⽣を抑⽌するための対策の実施状況によって3段階で⾒積もる。

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

17

より強固にするための⽅策(6) 詳細リスク分析の実施⽅法• 付録6「リスク分析シート」を使い、以下の⼿順で⾏う。

⼿順1

情報資産の洗い出し

どのような情報資産があるか洗い出して重要度を判断する。

⼿順2

リスク値の算定

リスクの⼤きさを算定し対策が必要な情報資産を把握する。

⼿順３

情報セキュリティ対策の決定

リスクの⼤きな情報資産に対して必要とされる対策を決める。

IPA 「中⼩企業の情報セキュリティ対策ガイドライン」を基に作成
2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

18

(6) 詳細リスク分析の実施⽅法

⼿順３：情報セキュリティ対策を決定• ⼿順２で算定したリスク値の⼤きいものから対策を検討し、⾃組織に適した対策を決定する。
• 対策は以下のように区分して検討する。
1. リスクを回避する
仕事のやりかたを変える、情報システムの利⽤⽅法を変えるなどして、想定されるリスクそのものを無くす。

2. リスクを低減する
⾃組織で実⾏できる情報セキュリティ対策を導⼊ないし強化することで、脆弱性を改善し事故が起きる可能性を下げる、または、事故が起きた場合の影響を下げる。

3. リスクを移転する
⾃組織よりも有効な対策を⾏っている、あるいは補償能⼒がある他社のサービスを利⽤することで⾃組織の負担を下げる。

4. リスクを保有する事故が発⽣しても許容できる、あるいは、対策にかかる費⽤が損害額を上回る場合などは対策を講じず、現状を維持する。

• 個々の対策（管理策）は、公開されているガイドラインやチェックリストなども参照して選択する。
IPA 「中⼩企業の情報セキュリティ対策ガイドライン」を基に作成
2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

19【参考】 情報セキュリティ対策の考え⽅

どこまで減らすのか ⇒ 組織の受容基準以下にする。

起こりやすさ情報セキュリティ対策とは、リスクの⼤きさを減らすこと。

リスク⼤受容範囲（残留リスクの承認）リスクの⼤きさ ＝起こったときの影響 × 起こりやすさ＝ （情報資産、脅威シナリオ）×（脅威、脆弱性）

起こったときの影響

対策
回避

考え⽅

対策例

業務を⾒直すことその業務を⽌める。情報を持たない。

起こりやすさを減らす

脆弱性を塞ぐ。セキュリティパッチ、アクセス制御、ネットワーク分離など。

低減

起こったときの影響を減らす

早期検知、暗号化、バックアップ、冗⻑化など。SOC/CSIRTの整備。
情報資産のＣＩＡを強靱にする。

移転

インシデント発⽣時の損失を転嫁する

サイバーセキュリティ保険、アウトソース。

受容リスクの⼤きさが⼩さいので容認できる。

敢えてそれ以上の対策はしない。（残留リスクは承認する。）

物理的、
2019/8/30

論理（技術）的、管理的

抑⽌的、予防的、検知的、是正的、回復/復旧的

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

20

【参考】 その他のリスク分析⼿法
•ベースラインアプローチ– 既存の標準や基準を参照して対策を検討する⽅法。情報資産ごとに「資産価値」「脅威」「脆弱性」を識別しないので、簡単にできる⽅法であるが、参照する標準や基準によって、対策のレベルが⾼すぎたり、低すぎたりする場合がある。
例）経済産業省、総務省、⽂部科学省などが公開している情報セキュリティ管理基準、ポリシーガイドラインの対策や、ISO/IEC 27002の管理策を実施する。
例）IPAの「情報セキュリティ対策ベンチマーク」や、中⼩企業の情報セキュリティ対策ガイドライン 付録3：「5分でできる！情報セキュリティ⾃社診断」などを参考にする。

•⾮形式的アプローチ– 組織や担当者の経験や判断によってリスク分析を⾏い、対策を検討する⽅法。短時間に実施することが可能であるが、属⼈的な判断に偏るおそれがある。
例）システム管理担当者が情報セキュリティに詳しいITベンダーにアドバイスしてもらい対策を実施する。

•詳細リスク分析– 情報資産ベース：情報資産ごとに「資産価値」「脅威」「脆弱性」を識別し、それらに対してリスク分析を⾏い、対策を検討する⽅法。個々の情報資産に適した対策が可能だが⼿間がかかる。
例） P.43（6）詳細リスク分析の実施⽅法に従って対策を実施する。

– 事業被害ベース：業務の流れと情報の取扱いを識別し、それらに対して事業被害を起こす脅威（攻撃やインシデント）に対してリスク分析を⾏い、対策を検討する⽅法。
例）ランサムウェアの感染による被害を想定して、その予防や復旧のための対策を検討する。 DDoS攻撃を緩和する対策を検討する。

•組合せアプローチ– 複数の⽅法を併⽤し、それぞれの⻑所短所を補完する⽅法。相応の知⾒、経験を要するが、安全性、利便性、コストなどのバランスを取りやすい。
例）基幹システムに関連する情報資産と個⼈情報を詳細リスク分析の対象として、その他は汎⽤的なチェックリストを参照してベースラインアプローチの対策を実施する。
例）個⼈情報などの機密性に関するリスク分析は情報資産ベースで⾏い、業務の継続性、情報の可⽤性に関するリスク分析は事業被害ベースで⾏う。

IPA 「中⼩企業の情報セキュリティ対策ガイドライン」を基に作成
2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

21【参考】 リスクアセスメント及びリスク対応に関する作業

JIPDEC ISMSユーザーズガイド -JIS Q 27001:2014(ISO/IEC 27001:2013)対応- -リスクマネジメント編- より
2019/8/30

2019年度 ⼤学情報セキュリティ研究講習会 セキュリティ政策・運営コース

22