情報セキュリティ報告書作成のためのガイドライン
及び政府機関における評価等の考え方～能動的な政府機関の情報セキュリティ対策のために～2012 年 12 月 12 日

内閣官房情報セキュリティセンター

目

次

本書作成の経緯・・・・・・・・・・・・・・・・・・・・・・・・・・・１
本書の構成・・・・・・・・・・・・・・・・・・・・・・・・・・・・・１
情報セキュリティ報告書の作成から評価結果の公表までの全体プロセス・・２
第 1 部 情報セキュリティ報告書作成のためのガイドライン・・・・・・・５
Ⅰ 目的・・・・・・・・・・・・・・・・・・・・・・・・・・・・・５
Ⅱ 情報セキュリティ報告書の作成から公表までの手順・・・・・・・・５
Ⅲ 情報セキュリティ報告書の構成のひな形・・・・・・・・・・・・・６
第 2 部 政府機関における評価等の考え方・・・・・・・・・・・・・・１９
Ⅰ 目的・・・・・・・・・・・・・・・・・・・・・・・・・・・・１９
Ⅱ 位置付け・・・・・・・・・・・・・・・・・・・・・・・・・・１９
Ⅲ 評価等の手法に関する内容・・・・・・・・・・・・・・・・・・２１

Ⅰ

本書作成の経緯
これまで、各府省庁では、情報セキュリティガバナンスの確立の一環、国民への説明責任を果たすこと等を目的として、情報セキュリティ報告書専門委員会報告書（2009年９月情報セキュリティ政策会議情報セキュリティ報告書専門委員会決定）の情報セキュリ
ティ報告書作成のためのガイドラインに基づき、情報セキュリティ報告書を作成してきた。
しかし、当該ガイドラインに記載された、情報セキュリティ報告書に記載すべき具体的項目が重複していること、各府省庁の情報セキュリティ対策がすすむことで、今後、必須事項とする必要性が薄れると想定される項目等があることから、情報セキュリティ報告書の内容について見直しを行うこととした。また、報告内容の見直しと合わせ、報告書の作成から公表までの手順も見直すことで、各府省庁の情報セキュリティ対策に関す
るPDCAサイクルをより適切に回すとともに、自組織での能動的な取組を更に促すことを目的とした最高情報セキュリティ責任者のガバナンスを強化することとした。
本ガイドラインは、情報セキュリティ報告書専門委員会報告書（2009年９月情報セキュ
リティ政策会議情報セキュリティ報告書専門委員会決定）の情報セキュリティ報告書作
成のためのガイドラインについて、NISCにて見直した結果を反映し、まとめたものであ
る。

Ⅱ

本書の構成
本書の本文は、以下の構成となっている。
１

第１部

情報セキュリティ報告書作成のためのガイドライン

各府省庁の情報セキュリティ報告書の記載内容のバランスを確保することなどを目的として、情報セキュリティ報告書に記載すべき事項、記載に当たっての留意事項等について指針を示している。
２

第２部

政府機関における評価等の考え方

各府省庁の情報セキュリティ対策の一層の充実・向上を図ることなどを目的として、各府省庁の情報セキュリティ対策の実施状況に係る定量的評価の手法等について記載している。
上記の関係を図１に示す。

1

図１

Ⅲ

本書の構成

情報セキュリティ報告書の作成から評価結果の公表までの全体プロセス
各府省庁は、「第 1 部

情報セキュリティ報告書作成のためのガイドライン」に基づき、報告対象となる年度（以下、当該年度）の情報セキュリティ報告書（案）を作成し、情報セキュリティ委員会において情報セキュリティ報告書を決定し、最高情報セキュリティアドバイザー等連絡会議に報告し、助言等を受ける。
内閣官房情報セキュリティセンター（National Information Security Center、以下「NISC」という）は、「第 2 部

政府機関における評価等の考え方」に基づき、各府省庁から入手した評価等に必要な資料（当該年度の３月末までに入手）及び情報セキュリ
ティ報告書の内容を分析し、各府省庁及び政府機関全体の情報セキュリティ対策の実施状況に係る評価等を行う。評価結果については、各府省庁の情報セキュリティ報告の内
容と合わせて情報セキュリティ対策推進会議に報告し決定した後に、情報セキュリティ
政策会議に報告し、公表する。
なお、情報セキュリティ報告書作成のためのガイドライン、政府機関における評価等の考え方及びそれらに係る全体プロセスについては、政府機関全体における情報セキュ
リティ対策の浸透・定着、技術や環境の変化等を踏まえ、必要に応じて、NISC において見直すものとする。
以上の関係を図２、図３に示す。

2

図２

ＰＤＣＡからみた全体プロセス3

図３

全体プロセスのタイムスケジュール

4

第1部
Ⅰ

情報セキュリティ報告書作成のためのガイドライン

目的

政府機関においては、第１次情報セキュリティ基本計画の下、すべての政府機関において、政府機関の情報セキュリティ対策のための統一基準群（以下、「政府機関統一基準
群」という）が求める水準の対策を実施していること等を目指して、各府省庁の PDCA
サイクル及び情報セキュリティ政策会議による評価・勧告を中心とした政府機関全体のPDCA サイクルという 2 階層の PDCA サイクルを構築し、情報セキュリティ対策を促進するため様々な取組を推進してきた。第 2 次情報セキュリティ基本計画においては、この取組を定着、浸透させ、すべての府省庁が能動的に情報セキュリティ対策に取り組む
体制の確立を目指し、各府省庁が情報セキュリティ報告書を作成し、公表することとしている。
情報セキュリティ報告書の作成及び公表は、各府省庁における情報セキュリティ対策の取組状況等について明らかにし、国民への説明責任を果たすことにより、行政事務全般について国民からの信頼を向上させることを目的とする。また、情報セキュリティ報告書を作成する過程において、各府省庁が改めて自らの情報セキュリティ対策について
見直しを行い、更なる向上が図られる効果を期待する。
第１部においては、各府省庁の情報セキュリティ報告書の記載内容のバランスを確保する観点から、各府省庁が情報セキュリティ報告書を作成するためのガイドラインとして、情報セキュリティ報告書の作成から公表までの手順、情報セキュリティ報告書への記載事項の具体的項目等を示している。
なお、本ガイドラインに示す、情報セキュリティ報告書の作成から公表までの手順及び記載事項の具体的項目については、政府機関全体における情報セキュリティ対策の浸透・定着、技術や環境の変化等を踏まえ、必要に応じて、NISC において見直すものとする。

Ⅱ

情報セキュリティ報告書の作成から公表までの手順
各府省庁の情報セキュリティ報告書作成責任部署は、最高情報セキュリティアドバイ

ザーの積極的な関与の下、情報セキュリティ報告書（案）を作成する。
作成した情報セキュリティ報告書（案）は、情報セキュリティ委員会にて決定し、最高情報セキュリティアドバイザー等連絡会議に報告し、助言等を受ける。

5

Ⅲ

情報セキュリティ報告書の構成のひな型
情報セキュリティ報告書の記載事項の具体的項目を以下、構成のひな型として列挙する。各パートは、基本的に、「項目名」、「目的」、「記載内容（必須項目・任意項目）」及
び「留意事項」で構成される。
必須項目は、各府省庁が情報セキュリティ報告書を作成するに当たり、その内容を記載することが必須の事項である。
任意項目は、各府省庁が情報セキュリティ報告書を作成するに当たり、その内容を記載することが任意の事項である。
なお、情報セキュリティ報告書の作成に当たっては、以下の共通的な留意事項を参考とすること。
・

情報セキュリティ報告書の作成に当たり、項目名又は記載順番の変更を行うこと
や、複数の項目をまとめて記載することは差し支えない。

・

必須項目及び任意項目にかかわらず、各府省庁において実施した独自の情報セキュリティ対策については、積極的に記載することが望ましい。

・

国民に向けて公表することにかんがみ、国民が分かりやすい記述及び構成とするように努めること。

・ セキュリティ脆弱性についての類推が可能となるような内容（例えば IP アドレス）
や特定の製品名等公表が適切でない事項については、情報セキュリティの維持・確保の観点から、必須事項であっても記載しないよう注意すること。
・

第三者組織を利用した監査等を実施した場合は、その結果を情報セキュリティ報告書の作成に積極的に活用することが望ましい。
１

最高情報セキュリティ責任者によるメッセージ及び当該年度の総括
１．１

最高情報セキュリティ責任者からのメッセージ（目的）
各府省庁の情報セキュリティ対策の最高責任者である最高情報セキュリティ責
任者から、当該府省庁における情報セキュリティ対策の取組、考え方等について、国民に対してメッセージを発信することにより、情報セキュリティ対策に関する当該府省庁の姿勢を明らかにすることを目的とする。
（記載内容）【必須項目】(1)最高情報セキュリティ責任者からのメッセージ
当該府省庁における情報セキュリティ対策の取組、考え方等について、最高情報セキュリティ責任者から国民へのメッセージを記載する。
(2)最高情報セキュリティ責任者名等
最高情報セキュリティ責任者の役職を記載し、署名又は記名・捺印する。
(3)メッセージ発出年月日

6

各府省庁において情報セキュリティ報告書を決定した日をもって、メッセージ発出年月日として記載する。
（留意事項）
情報セキュリティ報告書は、国民に対する説明責任を果たす観点から作成することにかんがみ、一般論のみではなく、時勢を踏まえた記述を加えることが望ましい。また、最高情報セキュリティ責任者が自らメッセージを発信していることを強調するために責任者の写真を掲載すること等も考えられる。
１．２

当該年度の総括（目的）
各府省庁における当該年度の情報セキュリティ対策を総括することを目的とする。
（記載内容）【必須項目】(1)当該年度の評価
当該年度の情報セキュリティ対策について、最高情報セキュリティ責任者
による自己評価を記載する。
(2)重点事項の目標、実績及び評価
前年度の情報セキュリティ報告書で課題とした事項に加えて、当該年度当初に新たに重点的な取組と定めた事項について、測定方法と成否判断基準を含めて目標、実績及び評価を記載する。
(3)障害・事故等の再発防止状況
前年度の情報セキュリティ報告書で報告し、対策を実施している情報セキ
ュリティに関する障害・事故等の再発防止策の取組状況を記載する。
(4)次年度の目標
次年度重点的に取り組むべき目標を記載する。
【任意項目】(5)年度途中に発生した重点事項
当該年度当初には重点事項としなかったが、途中で重点的に取り組むこととした事項について、理由等も含めて目標、実績及び評価を記載する。
（留意事項）
情報セキュリティ報告書に記載する以下の事項を踏まえ、最高情報セキュリテ
ィ責任者自らが評価した結果についての総括を記載すること。なお、本文と重複した内容が多くならないように、内容を引用する場合は簡潔に記載すること。
・

当該年度の重点事項

・

省庁対策基準に関する自己点検結果

・

情報システムごとの状況

7

２

・

教育・啓発

・

調達・外部委託・

その他取り組んだ事項

・

情報セキュリティに関する障害・事故等の報告

報告の基本情報（目的）
情報セキュリティ報告書が対象とする期間、組織等について明記することにより、説明範囲を明らかにすることを目的とする。
（記載内容）【必須項目】(1)府省庁の概要
所掌事務、導入している主な情報システムなどについて、府省庁の業務の全体像が分かるように、概要を簡潔に記載すること。
(2)対象とする組織
情報セキュリティ報告書の対象とする組織について簡潔に記載する。地方
支分部局等も含めた全組織とすることが望ましいが、対象としない組織がある場合は、明確に記載する。なお、所管する独立行政法人等については、報告の対象外とする。
(3)責任部署
情報セキュリティ報告書の責任部署名又は連絡先となる部署を明記する。
担当となる係名まで記載することが望ましい。
【任意項目】(4)対象とする期間
情報セキュリティ報告書の対象とする期間は原則として年度（4 月 1 日～3
月 31 日）とし、前年度との間で間隙が無いようにすること。ただし、関連する事項があればその前後の期間の事項を含めることも可能とする。
(5)対象とする情報
情報セキュリティ報告書の対象とする情報を記載する。ただし、政府機関
統一基準群で対象とする情報（情報システム内部に記録された情報、情報システム外部の電磁的記録媒体に記録された情報及び情報システムに関係がある書面に記載された情報をいう。）は必須とするが、その他の情報については、
必要に応じて記載すること。
(6)府省庁の行政事務従事者数又は定員数
情報セキュリティ報告書の対象となる行政事務従事者数又は定員数を記載する。対象外となる者がいる場合は、その理由、人数等を記載する。
(7) IT 予算額8府省庁の IT 予算総額を記載する。
（留意事項）
図表などを用いて分かりやすく表現する工夫をすること。
３

情報セキュリティ対策の枠組み（目的）
各府省庁の情報セキュリティ対策の体制等、情報セキュリティ対策に係る府省
庁全体の枠組みが整備されていることを明らかにすることを目的とする。
（記載内容）【必須項目】(1)情報セキュリティ対策に関する文書体系
府省庁にて定めている情報セキュリティ対策に関する文書（基本方針、省庁対策基準、規程類等）の概要及びそれらの文書の対応関係を記載する。府
省庁の情報セキュリティ対策の枠組みの中で各文書がどのような位置付けにあるかを明記する。
(2)情報セキュリティ対策の推進体制
府省庁における情報セキュリティ対策の推進体制を記載する。府省庁の情報セキュリティ対策の枠組みの中で各責任者及び部署がどのような位置付けにあるかを明記する。
なお、情報セキュリティ対策に係る組織体制や推進部署の体制については、
以下の事項を参考に、記載する。
・情報セキュリティ対策に係る組織体制
最高情報セキュリティ責任者、情報セキュリティ委員会、情報セキュ
リティ監査責任者、情報セキュリティ責任者、情報システムセキュリテ
ィ責任者、情報システムセキュリティ管理者、課室情報セキュリティ責任者、最高情報セキュリティアドバイザーなど、省庁対策基準に定める
情報セキュリティ対策に係る組織体制について、その整備状況、意思決定の枠組み、役割、活動状況等を記載する。
地方支分部局等が設置されている府省庁においては、地方支分部局等における情報セキュリティ対策に係る組織体制も記載する。
また、府省庁内横断的な連絡会議等の情報セキュリティ対策に係る会議体の体制、役割（例えば、幹部への報告とその後の対応、環境変化に対する対応といった役割等）、活動状況等を記載する。
・情報セキュリティ対策に係る推進部署の体制
IT 部門及び情報セキュリティ対策に係る総合調整を行う具体的な推進部署名と体制、役割、活動状況等を記載する。また、推進部署の担当者の数、業務平均経験年数等を記載する。

9

(3)監査等
監査等について、以下の事項を参考に、実施している内容を記載する。
・情報セキュリティ監査計画の策定、監査報告の実施
当該年度の情報セキュリティ監査計画の概要について記載する。監査
計画は、過去に実施した監査結果で明らかになった課題及び問題点を踏まえたものとなっていることが望ましい。
また、当該年度の監査報告の実施状況等（最高情報セキュリティ責任者への説明、報告等）を記載する。
・監査報告書に基づく対応の実施
監査報告書の内容を踏まえ、改善のための以下 a～e のような取組状況等を記載する。
a. 指摘事項に対する、最高情報セキュリティ責任者による対応実施の指示
b. 同種の課題及び問題点の有無について、最高情報セキュリティ責任者
による確認の指示
c. 改善を指示された事項について、情報セキュリティ責任者による対応
計画（達成可能な対応目標の設定を含む。）の作成と報告
d. 情報セキュリティに関する文書について、情報セキュリティ責任者による妥当性評価及び必要に応じた見直しの指示
e. 上記 a～d の見直し指示等に基づき、どのように対応したか・第三者組織による監査・検査等
a. 監査について、客観性及び専門性をより向上するために第三者組織を利用した場合は、内部監査との関係を含めて記載する。
b. 情報システムに対する脆弱性検査を実施した場合は、第三者組織の利用の有無、検査対象、結果等を記載する。
【任意項目】(4)情報セキュリティ対策の予算額
情報セキュリティ対策の予算として執行した総額、IT 予算額に占める割合
等を記載する。
(5)政府機関統一基準群と省庁対策基準の差異
省庁対策基準において、政府機関統一基準群に特に加えて基準としている
事項等、差異として特徴的なものがある場合は、記載する。
(6)業務・システム最適化における取組の管理
各府省庁の PMO（プログラム・マネジメント・オフィス）において、業務・システム最適化の中で、情報システムの安全性・信頼性を確保するための取組を、どのように管理しているか（例えば、業務・システム最適化の企画段階における情報システムセキュリティ対策要領の作成、情報システムの構築

10の要求仕様策定段階における情報セキュリティ対策の要件定義の作成等の管理）を記載する。
(7)情報資産台帳の整備と活用
各府省庁の PMO において、情報資産台帳を整備し、どのように活用しているかを記載する。
(8) 情報セキュリティ対策に関する文書の見直し状況
情報セキュリティ対策に関する文書の見直しの検討状況、改訂の実施状況等を記載する。
(9)情報システム運用継続計画の策定
保有する情報システムにおける、災害・障害発生時に備えた情報システム
運用継続計画の策定状況を記載する。
（留意事項）
頻繁な変更が想定される事項ではないが、変更があった場合には、その点を明確に記載する。図表などを用いて分かりやすく表現する工夫をすること。
４

情報セキュリティ対策の実施状況

４．１

省庁対策基準に関する自己点検結果（目的）
すべての行政事務従事者が省庁対策基準に準拠した運用を行っているか否かを自ら点検した結果を、府省庁において集計及び分析し報告することにより、省庁対策基準に対する準拠の全体像を明らかにすることを目的とする。
（記載内容）【必須項目】(1)総評
自己点検結果について評価を行い、課題の改善状況、次年度に向けた課題、全体としての傾向等を記載する。
【任意項目】(2)課題と対策
前回点検時に判明した課題とその改善対策を記載する。
(3)自己点検結果の状況(a) 府省庁全体の把握率
報告対象とした者のうち、対策実施状況が把握できた者の割合を主体者別に記載する。
(b) 府省庁全体の実施率
各点検項目における、責務が生じた者に占める対策を実施した者の割合を主体者別に記載する。
(c) 府省庁全体の到達率11各実施主体者における、実施率が一定の割合（100％、95％、90％）以上の点検項目の割合を主体者別に記載する。
(4)特筆すべき事項
自己点検結果について特徴的な事項がある場合は記載する。
(5)特定テーマの実施率及び到達率
自府省庁として特に重要と考えている事項など特定テーマに絞って実施率、到達率、分析結果等を記載する。
(6)自己点検の計画策定、結果に基づく改善指示等の状況
当該年度の自己点検計画の概要を記載する。又、自己点検結果に基づく改善指示等の状況を記載する。
（留意事項）
自己点検において府省庁全体の把握率の母数は、回収時の全行政事務従事者とする。ただし、休職等により把握できない者を除く。
自己点検結果は、府省庁において監査を実施した後の結果を記載することにより回答の信頼性を担保する。
４．２

情報システムごとの状況（目的）
情報セキュリティ対策が不十分な場合、情報の漏えい、改ざん、破壊等の要因となり、府省庁の業務や利用する国民・職員に特に重大な影響を及ぼす情報シス
テムについて、対策の実施状況を明らかにすることを目的とする。
（記載内容）【必須項目】(1)総評
情報システムの対策状況に関して分析を行い、課題の改善状況、次年度に向けた課題、全体としての傾向等を記載する。
【任意項目】(2)課題と対策
前回調査時に判明した当該システムにおける情報セキュリティ対策の課題とその改善対策を記載する。
(3)情報システムの対策状況
NISC が行う重点検査の実施結果について記載する。又、各府省庁において独自に情報システム対策状況の調査等を行っている場合は、その結果について記載する。記載事項の例を以下に示す。
(a) 端末
全端末を対象に、省庁対策基準の端末に関する基本遵守事項を実施した台数の割合を記載する。

12

(b) 公開用ウェブサーバ
全公開用ウェブサーバを対象に、省庁対策基準の公開用ウェブサーバに関する基本遵守事項を実施した台数の割合を記載する。
(c) メールサーバ
全メールサーバを対象に、省庁対策基準のメールサーバに関する基本遵守事項を実施した台数の割合を記載する。
(4)特筆すべき事項
情報システムの対策状況に関して特徴的な事項がある場合は記載する。
(5)特定システムの対策状況
障害・事故等が発生した場合に国民に重大な影響を及ぼすシステム（例えば、最適化対象システムのうち、国民の関心の高い情報システム、個人情報を処理する情報システム等）について、システムごとの対策状況を記載する。
（留意事項）
特に対策状況に不備が認められない場合でも問題ない旨を記載する。
前年度、全基本遵守事項に準拠（100%）となり、システムの更新又は運用の変更等が発生せず、当該年度もその結果に変更がない場合は、記載を簡略化できる。
４．３

教育・啓発

（目的）
すべての行政事務従事者が、情報セキュリティに関する文書への理解を深め、
情報セキュリティ対策を適切に実施できるようにするために取り組んでいる教育・啓発の状況を明らかにすることを目的とする。
（記載項目）【必須項目】(1)教育
教育について、以下の事項を参考に、実施している内容を記載する。
・教育計画の策定、教育の企画等
教育計画の概要、行政事務従事者及び情報セキュリティ対策の役割を担っている者はそれぞれの役割に応じた教育の企画や府省庁教育メニュ
ーへの組み込み等の状況について記載する。
・対象者の役割に応じた教育教材の整備
各対象者への教育教材の整備状況、情報システムの更新、セキュリテ
ィ事故の状況等を反映した教材の更新状況等を記載する。
・教育受講状況の管理教育の受講状況を管理する仕組みや対象者ごとの受講者の割合を記載する。
また、理解度の確認、人事異動に伴う教育の実施状況について記載す13

る。
・情報セキュリティ対策担当者の知識向上等
情報セキュリティ対策推進部署において、効果的に業務を遂行するために、担当者の情報セキュリティ対策に係る知識向上について、どのような対策を講じているかを記載する。

【任意項目】(2)実施手順等の平易化や参照の容易化
実施手順等について、遵守事項を漏れなく含めるだけでなく、理解しやすいものとするため工夫している点について記載する。
また、日常的な参照を容易とするために工夫している点（例：府省庁内ウェブサイト等の分かりやすい場所に置いて日常的に参照可能としている等）を記載する。
(3)ひやり事案を含む障害等の事例の活用
組織内外のひやり事案を含む障害等の事例について、教育等への活用状況を記載する。
（事例収集、モデル化、訓練・教育への活用）（留意事項）
定量的に測定可能ではない項目であっても、自由に記載して構わない。
４．４

調達・外部委託（目的）
外部委託先から情報漏えい事案等が発生した場合、府省庁の業務に対する国民の信頼が損なわれることから、調達・外部委託に係る情報セキュリティ対策の取組内容等を明らかにすることを目的とする。
（記載内容）【必須項目】(1)外部委託先の管理
外部委託先の管理について、以下の事項を参考に、実施している内容を記載する。
・調達仕様への記載事項の標準化調達仕様に記載する情報セキュリティ対策関連事項について標準を定め、手順書や雛形に含めて示していれば、その状況等を記載する。
・契約書への記載事項の標準化契約に記載する情報セキュリティ対策関連事項について標準を定め、手順書や雛形に含めて示していれば、その状況等を記載する。

14

・カスタマイズを想定した調達の雛形等の策定
契約の手順書や雛形は、留意点を記述する等により、案件ごとにカスタマイズして運用できるようにされていれば、その状況等を記載する。
・外部委託先の情報セキュリティ対策の履行状況等の確認
委託先における情報セキュリティ対策の履行状況を確認するための方法、情報セキュリティ対策の履行が不十分である場合の対処方法の整備
状況、実際に確認している内容等を記載する。
（留意事項）
外部委託の適用範囲は、省庁対策基準で示される範囲であるが、例えば次に掲
げる営業品目に該当するものに適用する。
・

ソフトウェア開発（プログラム作成、システム開発等）

・

情報処理（統計、集計、データエントリー、媒体変換等）

・

賃貸借

・

調査・研究（調査、研究、検査等）

４．５

その他取り組んだ事項（目的）
上記以外に府省庁が取り組んだ対策及び運用について、その実施状況を明らかにすることを目的とする。
（記載内容）【任意項目】(1)実施
業務の改善や例外措置について、以下の事項を参考に、実施している内容を記載する。
・IT 活用等による情報セキュリティ対策実施の自動化、強制化
情報セキュリティ対策を確実に実施するために、IT 活用等により対策
実施の自動化や強制をしている場合、その取組の概要を記載する。
例：外部記録媒体に格納する情報の暗号化の強制・IT 活用等による情報セキュリティ対策実施状況の点検・調査の自動化
情報セキュリティ対策実施状況の点検・調査を効率的に行うために、
IT 活用等による自動化をしている場合、その取組の概要を記載する。
例：自己点検自動集計ツール
・例外措置件数、例外措置許可案件のリスク低減、適用期間等の検討
例外措置申請件数及び許可件数並びに許可案件のうちリスクを低減させるための代替手段等の提案が申請に含まれている割合を記載する。
また、採用した例外措置について、継続することの妥当性を適時に判15断しているか、例外措置を終了するための検討や準備を行っているか（予算措置、基準への反映の要求等）等を記載する。
（留意事項）
定量的に測定可能ではない項目であっても、自由に記載して構わない。IT 活用
等による情報セキュリティ対策実施状況の点検・調査の自動化により、より幅広
い点検等の実施ができる。
５

情報セキュリティに関する障害・事故等報告（目的）
府省庁において、情報セキュリティに関する障害・事故等をどのように把握しているのかを明らかにするとともに、府省庁で発生し、公表した障害・事故等の概要、それに対する対応、再発防止策等を記載することにより、国民への説明責任を果たすことを目的とする。
【必須項目】(1)情報セキュリティに関する障害・事故等の把握
府省庁において、情報セキュリティに関する障害・事故等が発生した場合に、どのように最高情報セキュリティ責任者が把握しているのかを記載する。
(2)公表した障害・事故等の概要、それに対する対応等(a) 情報セキュリティに関する障害・事故等の発生日時
府省庁として把握した日時だけではなく、実際に発生した日時を記載する。
(b) 概要当該事象により行政事務に対して、どのような影響を与えたかを含めて、事象の概要について記載する。
(c) 原因当該事象の発生原因について記載する。
(d) 府省庁の対応
暫定措置及び恒久措置について記載する。
(e) 原因が省庁対策基準違反によるものか否か
当該事象発生の原因が省庁対策基準違反によるものか、否かを記載する。
(f) 再発防止策
当該事象の再発防止策及び情報セキュリティ報告書作成時点までの改善状況を記載する。
【任意項目】(3)対応コスト
当該事象の発生に伴いかかった人的コスト、対策経費等を記載する。
(4)障害対応に係る対応手順の整備や障害・事故等が発生した際の対応訓練等
障害・事故等が発生した際の対応手順（ウイルス感染時の対応手順、情報

16

システムの停止時の代替業務手順等）について、発生時に容易に参照できるようになっているかなど整備状況を記載する。
また、障害・事故等が発生した際の対応を想定し、訓練を実施している場
合、対象システム、訓練内容、訓練にて判明した課題と改善策等を記載する。
(5)一般職員向けの注意喚起
一般職員向けの注意喚起（ウイルスについての警告、ソフトウェアの更新指示等）の実施状況（府省庁内ウェブサイトへの掲載、電子メールでの通知、文書での通達等により適時に広く周知しているか等）を記載する。
（留意事項）(2)(a)～(f)については、原則として情報セキュリティに関する障害・事故等ごとに記載すること。ただし、同様の障害・事故等が複数ある場合は、まとめて記述
しても差し支えない。
情報セキュリティに関する障害・事故等について、報道発表したものは記載しなければならないが、公表には至らない事案も含めた傾向分析等を記載することが望ましい。
原因の分析においては、省庁対策基準に反していれば違反再発防止策を記載し、それ以外の場合は、省庁対策基準の改訂の必要性について記載する。なお、事故公表直後は、事故の内容と暫定的対応措置の公表を優先する必要があるが、情報
セキュリティ報告書においては、恒久的対応措置や再発防止策についても記載することが重要である。
６

情報セキュリティ対策に関する次年度の計画（目的）
当該年度の情報セキュリティ対策の総括を次年度に連続して反映させることを目的として、情報セキュリティ対策に関する次年度の計画を記載するものである。
なお、本項では、政府機関統一基準群において策定を求めている情報セキュリテ
ィ対策に関する計画類、情報セキュリティ報告書の中で記載した課題や目標を再掲することなどにより、次年度に実施すべき情報セキュリティ対策を概観できるようにすることを目的としており、新たな内容の計画の策定を求める趣旨ではない。
（記載内容）【必須項目】(1)次年度の計画
情報セキュリティ対策に関する次年度の計画を記載する。
【任意項目】(2)その他の計画等

17

政府機関統一基準群において策定を求めている情報セキュリティ対策に関する計画類、情報セキュリティ報告書の中で記載した課題や目標以外に新たな計画類を作成した場合は、その内容を記載する。
（留意事項）
情報セキュリティ報告書の中で記載した課題や目標などの引用で差し支えない。
７

結び

（目的）
最高情報セキュリティ責任者の情報セキュリティ対策に対する考え方等を踏まえ、最高情報セキュリティアドバイザーとして、特に注力した情報セキュリティ対策の事項について、国民に対してメッセージを発信することにより、課題認識を明確にすることを目的とする。
（記載内容）【必須項目】(1)最高情報セキュリティアドバイザーからのメッセージ
最高情報セキュリティアドバイザーとして、特に注力した事項、課題等を記載する。
(2)最高情報セキュリティアドバイザー名等
最高情報セキュリティアドバイザーの役職を記載、署名又は記名・捺印する。
(3)メッセージ発出年月日
各府省庁において情報セキュリティ報告書を決定した日をもって、メッセージ発出年月日として記載する。
（留意事項）
最高情報セキュリティアドバイザーとして、特に注力した事項等を記載することが考えられる。
なお、本文と重複した内容が多くならないように、内容を引用する場合は簡潔に記載すること。

18

第2部
Ⅰ

政府機関における評価等の考え方

目的
政府機関においては、第１次情報セキュリティ基本計画の下、すべての政府機関において、政府機関統一基準群が求める水準の対策を実施していること等を目指して、
各府省庁の PDCA サイクル及び情報セキュリティ政策会議による評価・勧告を中心とした政府機関全体の PDCA サイクルという 2 階層の PDCA サイクルを構築し、情報セキュリティ対策を促進するため様々な取組を推進してきた。第 2 次情報セキュリ
ティ基本計画においては、この取組を定着、浸透させ、すべての府省庁が能動的に情報セキュリティ対策に取り組む体制の確立を目指し、各府省庁が情報セキュリティ報告書を作成し、公表することとしている。また、各府省庁の情報セキュリティ対策の実施状況に係る定量的評価等を行い、その結果を情報セキュリティ政策会議に報告することとしている。
「第２部

政府機関における評価等の考え方」においては、各府省庁の情報セキュ

リティ対策の一層の充実・向上を図ることなどを目的として、NISC が行う各府省庁の情報セキュリティ報告書に係る評価等の手法について記載している。
NISC は、同手法に基づき、各府省庁の情報セキュリティ報告書及び各府省庁から入手した情報セキュリティ報告書作成のための基礎資料から、政府機関全体の評価書を作成し、情報セキュリティ政策会議に報告・公表する。

Ⅱ

位置付けNISC は、「情報セキュリティの観点から見た我が国社会のあるべき姿及び政策の評価のあり方について」（2007 年 2 月 2 日情報セキュリティ政策会議了解）に基づき、各府省庁と政府機関全体の 2 つの PDCA サイクルが確実かつ自律的に回っていることを確認するために、政府機関全体としての総合的な評価の運用に取り組んできた。
第１次情報セキュリティ基本計画の 3 か年において、これまでの取組が徐々に浸透してきた段階であることから、これまでの取組を踏まえつつ本委員会で検討された手法に基づき、政府機関全体としての評価を行う。
なお、本評価等の考え方及び評価のプロセスは、政府機関全体における情報セキュ
リティ対策の浸透・定着、技術や環境の変化等を踏まえ、必要に応じて、NISC において見直すものとする。

19

図４

評価項目等の見直し

20

Ⅲ

評価等の手法に関する内容
NISC は、以下の１～３の各手法に基づく評価を行うとともに、各評価結果をもとに各府省庁及び政府機関全体の総合評価結果を示す。
１

対策実施状況に係る評価(1)目的
政府機関全体の情報セキュリティ対策実施状況を継続的に把握・評価する
ことにより、政府機関統一基準群に基づく情報セキュリティ対策水準の維持・向上を図ることを目的とする。
(2)評価手法等
NISC は、「第１部Ⅲ

４．１

情報セキュリティ報告書作成のためのガイドライン

省庁対策基準に関する自己点検結果」について、各府省庁が情報セキュリティ報告書を作成する際に収集した基礎資料を入手し、評価を行う。
具体的に、NISC は、政府機関統一基準群に準拠する省庁対策基準に基づく自己点検、監査等により把握した対策実施状況報告を各府省庁から入手し、百分率（％）で示された把握率及び実施率を集計し、政府機関全体の平均値を「最高情報セキュリティ責任者等」、「情報システムセキュリティ責任者等」、「行政事務従事者」の３つの実施主体ごとに区分し算出する。把握率及び実施率については、府省庁ごとに ABCD 評価を行う。
把握率、実施率の定義は、以下のとおりである。
・把握率
報告対象とした者のうち、対策実施状況が把握できた者の割合
・実施率
各点検項目における、責務が生じた者に占める対策を実施した者の割合
を主体者別に記載する。
遵守事項については、政府機関全体の傾向を分析し、重要な課題又は継続的な課題を抽出する。なお、改善した前年度の課題があれば、記載する。
ABCD 評価の見方例は図５のとおりである。

21

図５

対策実施状況のＡＢＣＤ評価

評価方法は、例えば実施率については、対策実施状況報告の３つの実施主
体者の平均実施率（項目ごとに算出した対策実施率の総平均値）の平均値を総合評価の実施率としている。したがって、政府機関統一基準群で求める情報セキュリティ対策がすべて実施されていれば、総合評価の実施率は 100％、すなわち“A 評価”となる。
(3)評価書の内容等
NISC は、政府機関全体の対策実施状況報告に係る評価の目的、対象範囲等を記載するとともに、実施主体ごとの把握率及び実施率の評価結果、課題、改善点等を評価書に記載する。
なお、参考として、各府省庁の対策実施状況報告の集計結果を添付する。

２

重点検査結果の評価(1)目的
政府機関統一基準群の基本遵守事項の中でも重要な項目及び「３情報セキュリティ対策に係る推奨事例の選定」のプロセスで過去に選定された推奨事例の中で特に政府機関全体に浸透・定着を図るべきものについて、重点検査を行い、具体的な情報セキュリティ対策状況を把握・評価することにより、改善促進を図ることを目的とする。
(2)評価手法等
NISC は、「第１部

情報セキュリティ報告書作成のためのガイドライン」

22

において情報セキュリティ報告書への記載事項とした項目の中から、「①第１部Ⅲ４．２情報システムごとの状況」及び「②過去に選定された推奨事例の中で特に政府機関全体に浸透・定着を図るべきもの」について、各府省庁から基礎資料を入手し、以下の①及び②の評価手法等に基づき、評価を行う。
① 「第１部Ⅲ４．２情報システムごとの状況」に係る評価手法等
NISC は、重点検査項目に関する各府省庁の検査結果を入手し、府省庁全体の実施率について、ABCD 評価を行う。その際には、経年度比較を行うな
ど改善の進捗が可能な限り見られるような形で評価を行う。
ABCD 評価の見方例は図６のとおりである。
評価

実施率

Ａ

100％

概要
全てのサーバで対策が実施されている。
概ね全てのサーバで対策が実施されてＢ

80％≦x＜100％

いるが、ごく一部のサーバで対策未実
施である。

Ｃ
Ｄ

60％≦x＜80％

一部のサーバで対策未実施である。

60％未満

多くのサーバで対策が未実施である。

図６

重点検査項目のＡＢＣＤ評価

評価方法は、重点検査項目の各カテゴリーの府省庁全体の実施率に基づき評価する。政府機関統一基準群で求める情報セキュリティ対策がすべて実施
されていれば、総合評価の実施率は 100％、すなわち“A 評価”となる。
なお、対策実施率は、「実際に情報セキュリティ対策を実施している対象数」
を「情報セキュリティ対策を実施すべき対象数」で割った式で求められる。
② 過去に選定された推奨事例の中で特に政府機関全体に浸透・定着を図るべ
きものに係る評価手法等
検査項目に応じて、適宜、NISC において定量的又は定性的評価手法を検討する。
(3)評価書の内容等
NISC は、政府機関全体の重点検査の評価結果に基づき、対象機関や対象
システム及びその数、所見等の概要を記載するとともに、重点項目に関する
情報セキュリティ対策の総合評価、評価結果を受けた各府省庁の対応方針を記載する。なお、(2)②に関しては、適宜、NISC において検討する。

23

３

情報セキュリティ対策に係る推奨事例の選定(1)目的
各府省庁が独自に取り組んだ情報セキュリティ対策から、推奨事例を選定することにより、当該府省庁の独自性や創意工夫を評価し、モチベーションを高めるとともに、府省庁間における取組事例の共有を通じ、政府機関全体としての情報セキュリティマネジメント水準の向上を図ることを目的とする。
なお、情報セキュリティマネジメント水準の向上を図るために、選定された推奨事例は、政府機関全体への浸透状況を踏まえ、マネジメント水準の評価に活用する。
(2)評価手法等
最高情報セキュリティアドバイザー等連絡会議は、各府省庁の情報セキュ
リティ報告書に記載されている事項を相互に評価し、推奨事例候補となる取組事例を NISC に推薦する。NISC は、推薦された事例から、以下の選定基準に基づき、推奨事例を選定する。
（推奨事例選定の基準）
府省庁の模範となる工夫が見られる、参考にすべき優れた取組事例であること。
(3)評価書の内容等
NISC は、選定した推奨事例の内容、選定理由等を評価書に記載する。

24