DBSCセミナー講演

東日本大震災の経験を踏まえた
情報セキュリティ対策
平成２４年２月１７日
経済産業省商務情報政策局
情報セキュリティ政策室長
江口純
一これまでの情報セキュリティ政策（政府全体）
年度

2000

省庁ＨＰ
連続改ざん

2005

2008

2006

NISC設置海外機関

IT・セキュリティ
ベンダ

各省庁

重要インフラ
地方公共団体

内閣官房情報セキュリティセンター
（NISC）

緊急対応
センター

スタックスネット

2009.72010

第１次情報セキュリティ基本計画

第２次情報セキュリティ基本計画

政府機関・地方公共団体、重要インフラ、企業、個人の情報セキュリティ対策に係る各種対策の強化のための基本計画を策定。
【2006年度から2008年度】

第１次情報セキュリティ基本計画の取組を持続的に推進するとともに、事前対策は当たり前のこととし、問題が生じても、冷静・迅速に事後対応・復旧活動を推進できる体制を整備。【2009年度から2011年度】

協力

国民を守る情報セキュリティ戦略

４省庁

警
察
庁

総
務
省

2012

米韓への
サイバー攻撃セキュリティ
関係企業

2000.1

2010

2009

経
済
産
業
省

第２次情報セキュリティ基本計画を包含した戦略として、新たに、重点的な取組として、大規模サイバー攻
撃事態等への対処等を位置付けた。
【2010年度から2013年度】

防
衛省

政府機関・地方公共団体

重要インフラ

「政府機関統一基準」等「重要インフラ行動計画」ににより情報セキュリティを確保

基づく官民連携による重要インフラ防護【主な施策】① サイバー攻撃等への緊急対応②情報セキュリティ体制の整備（最高情報セキュリティ責任者（CISO）の設置など）③政府機関統一基準の策定（各省庁が守るべき最低限の対策水準を規定）④政府機関におけるPDCA【主な施策】① 安全基準等の整備② 情報共有体制の強化③ IT障害の波及の最小化（共通脅威分析、演習等）※重要インフラ（１０分野）●情報通信 ●金融 ●航空●鉄道 ●電力 ●ガス●政府・行政サービス ●医療 ●水道 ●物流企業・個人

防衛省 （国の安全保障）
普及啓発、ガイドライン等【主な施策】①「情報セキュリティ月間」の実施②情報セキュリティガバナンス確立の支援（各種ガイドライン）③人材育成、製品評価・認証等

1経済産業省「情報セキュリティ総合戦略」• 2003年制定• 我が国で初めて策定された総合的な情報セキュリティに関する戦略• 戦略の基本目標を、経済・文化国家日本の強みを活かした世界最高水準の高信頼性社会の構築と位置付けた2

経済産業省「グローバル情報セキュリティ戦略」• 2007年制定• ITが国内外の経済社会システムに融合化し、情報セキュリティに関する脅威も国際化傾向にある中、産業構造審議会情報セキュリティ基本問題委員会にて、次の３つの戦略からなる「グローバル情報セキュリティ戦略」を取りまとめた。
戦略１ 我が国を真に情報セキュリティ先進国とするための取組み戦略２ 国際化する脅威に対応し、我が国の国際競争力を強化していく観点からの情報セキュリティ
政策のグローバル展開
戦略３ 国内外の変化に対応するためのメカニズムの確立
3

情報セキュリティ対策についての現状把握①
情報セキュリティ対策についての課題(N=356)
トップや現場管理職は情報セキュリティ対策の意義を理解しているものの、現場社員が必ずしも理解していない

39.9%

情報資産の価値が十分に社内で認識されておらず、それに対応した情報セキュリティについて十分な投資が実施さ
れていない

29.2%

現場管理職が情報セキュリティ対策の意義を十分に理解
していない

23.9%

予算が十分に配分されておらず、必要な投資が行われて
いない

18.0%

情報セキュリティに関わる責任体制が整備されていない

16.9%

トップが情報セキュリティ対策の意義を十分に理解してい
ない

その他

無回答

10.4%

6.5%

13.5%

情報セキュリティ対策についての課題は、「現場社員の理解丌
足」（39.9%）が最も多く、「情報資産の価値に対応した投資が実施されない」（29.2%）、「現場管理職が意義を理解していない」（23.9%）と続く。
出所：経済産業省調査（2010年）

情報セキュリティ対策についての現状把握②

情報セキュリティ人材の丌足状況
情報セキュリティ人材については、半数以上が「質・量ともに丌十分」と回答している。

9.0%

21.1%

12.9%

質・量ともに十分である
量は十分だが、質は不十分である
無回答

56.7%

(N=356)0.3%

質は十分だが、量は不十分である
質・量ともに不十分である

出所：経済産業省調査（2010年）

情報セキュリティ対策についての現状把握③
丌足している情報セキュリティ人材(N=356)
各部門で情報セキュリティ対策を推進する
担当者

67.7%

情報セキュリティに関する技術的な対策を実施する担当者

54.2%

情報セキュリティに関わるルールや方針を定める担当者

43.3%

その他

1.7%

無回答

3.1%

特に丌足している人材は、「各部門で情報セキュリティ対策を推進する担当者」（67.7%）である。

出所：経済産業省調査（2010年）

情報セキュリティ対策についての現状把握④

対策費用(N=356)10.1%

１００万円未満

11.0%

１００万～２００万円未満

13.5%

２００万～４００万円未満
４００万～６００万円未満
６００万～８００万円未満

8.7%
3.1%

８００万～１，０００万円未満

7.9%

１，０００万～２，０００万円未満

7.9%
6.2%

２，０００万～３，０００万円未満
３，０００万～５，０００万円未満

4.2%

５，０００万～１億円未満

4.5%

１億円以上

5.6%

わからない
無回答

情報セキュリティ対策
費用に関しては、200万円未満で2割、1,000万
円未満で5割を超える。
12.4%

5.1%
出所：経済産業省調査（2010年）

これらの課題に対応するため、企業の情報セキュリティガバナンスを構築することが必要。

情報セキュリティガバナンスとは何か①

定義

様々なリスクのうち、情報資産に係るリスクの管理を狙いとして、情報セキュリティに関わる意識、取組及びそれらに基づく業務活動を組織内に徹底させるための仕組みを構築・運用する取組み情報セキュティガバナンスの適用対象•個別企業•連結ベースの企業グループ•バリューチェーンを形成する企業グループ
9

情報セキュリティガバナンスとは何か②

これまでの成果物
企業の情報セキュリティに関する制度等•2001年 情報セキュリティマネジメントシステム(ISMS)適合性評価制度を開始((財)日本情報処理開発協会(JIPDEC))•2003年 情報セキュリティ監査制度開始((NPO日本セキュリティ監査協会(JASA))•2005年 情報セキュリティ対策ベンチマークのサービス開始((独)情報処理推進機構(IPA))•2008年 民間の情報セキュリティ格付機関設立

制度・規定・ガイダンス等•2001年 ISMS国際標準規格 ISO/IEC 17799:2000 に対応したISMS認証基準策定(JIPDEC)•2003年 情報セキュリティ管理基準、監査基準(経済産業省告示)•2005年 情報セキュリティ報告書モデル、事業継続計画(BCP)策定ガイドライン•2006年 財務報告書に係るＩＴ統制ガイダンス (J-SOX対応版)•2008年 情報セキュリティ管理基準、監査基準(改正)、ITサービス継続ガイドライン•2009年 中小企業の情報セキュリティガイドライン(IPA)

シンポジウムによる普及啓発•2005年度,2007年度から2009年度まで情報セキュリティガバナンスシンポジウムを
年１回東京にて開催。
10

情報セキュリティガバナンス確立に向けた取組(平成２３年度)

課題•東日本大震災の発生により、企業におけるIT
サービスの継続やサプライチェーンの破綻といったトラブルが発生し、日本経済全体の停滞にもつながりかねない大きな問題となった。
解決策としての当省の取組み

東日本大震災の影響及び国際標準(IEC27031)
等の内容を踏まえ、2008年度に策定したITサー
ビス継続ガイドラインを改訂する。
11

震災における被災状況把握①
業務に影響があった事業所の有無

震災による事業所の業務への影響については、約８割の企業が事業所の業務に何らかの影響を受けている。
出所：経済産業省調査（2011年）

震災における被災状況把握②
N=614

直接的な影響。

事業所の業務への影響

問2（1－2）事業所の業務への影響（ＭＡ）

事業所の建物・設備への物理的な損傷により業務が中断・遅延した

62.2

事業所が停電したため、業務が中断・遅延した

67.1

事業所が断水したため、業務が中断・遅延した

28.5

事業所の通信が遮断したため、業務が中断・遅延した

50.2

その他のインフラが遮断されたため、業務が中断・遅延した

27.4

従業員が被災したり、交通機関の影響で出社できず、業務が中断・遅延した
情報システム(通信は除く)が停止したため、業務が中断・遅延した

インフラ遮断50.7 による影響。

18.4

取引先や顧客が被災したため、業務が中断・遅延した(自主的対応に伴う影響)
被災した事業所の復旧を優先させるため、通常の業務を中断・縮小した
自社の事業所以外で被災地の復旧・支援を行うため、通常の業務を中断・縮小した

46.7

22.1

サプライチェーンへの
影響。

11.9

余震発生・交通機関の混乱に備え、計画的に業務を中断・縮小した

26.5

節電対応のために、計画的に業務を中断・縮小、又は勤務体系の変更をした

46.4

その他

2.9

無回答

0.5

節電対応による影響。

出所：経済産業省調査（2011年）

0%

10 % 20 % 30 % 40 % 50 % 60 % 70 % 80 %

震災における被災状況把握③
業務への影響があった期間

出所：経済産業省調査（2011年）

震災における被災状況把握④
サプライチェーンへの影響

被災取引先への影響、物流の影響が大きい。

出所：経済産業省調査（2011年）

情報システムが受けた影響①
N=758

問3（ 1）震災時運用していた情報システムの管理場所／
震災時運用していた情報システムの管理場所／
問3（ 2）情報システムへの影響の有無
情報システムへの影響の有無【 基幹系システム】（ＭＡ）【基幹系システム】
内部（自社サーバールーム等）

74.5

22.3

外部（データセンター、クラウド等）

37.6

2.4

【情報系システム】
内部（自社サーバールーム等）

66.4

19.4

外部（データセンター、クラウド等）

55.5

4.4

4.4

無回答

71.6

震災時の情報システムの管理場所
震災によって、停止等の影響を受けた

出所：経済産業省調査（2011年）

0%

10 %

20 %

30 %

40 %

50 %

60 %

自社で管理しているシステムの方が影響を受けやすい。

70 %

80 %

情報システムが受けた影響②

情報システムに影響を不えた要因

情報システムへの影響の主な要因は停電と通信の遮断。

出所：経済産業省調査（2011年）

情報システムが受けた影響③全ての情報システムが正常どおり稼働するまでにかかった時間

出所：経済産業省調査（2011年）

情報システムが受けた影響④

情報システムの停止等による業務への影響

情報システムへの影響が業務に直結。

出所：経済産業省調査（2011年）

情報システムが受けた影響⑤

震災時の停電により、停止したシステムの有無

出所：経済産業省調査（2011年）

情報システムが受けた影響⑥

停電によって停止した情報システムがなかった要因

非常用電源が機能。

外部サーバやサービスの利用が被害回避に一定の効果。

出所：経済産業省調査（2011年）

情報システムが受けた影響⑦
震災時に影響があった通信インフラへの影響
専用線への影響が一定割合発生している。
￥

固定電話、携帯電話への影響。

出所：経済産業省調査（2011年）

情報システムが受けた影響⑧

震災時に有効だった通信手段

出所：経済産業省調査（2011年）

情報システムが受けた影響⑨
情報システム等のバックアップ形態として利用されているもの

出所：経済産業省調査（2011年）

情報システムが受けた影響⑩

N=
N=750

バックアップサイト又はバックアップデータの問3（5－2）バックアップサイト又はバックアップデータの保管場所選定にあたり保管場所選定にあたり重視している点
重視している点（ＭＡ）

拠点からの距離59.7

セキュリティ対策

68.8

耐震対策

52.7

電力の確保

31.2

その他

5.6

無回答

0%

電力確保への視点が他の項目に比べて重視されていない。

2.1
10 %

20 %

30 %

40 %

50 %

60 %

70 %

80 %

出所：経済産業省調査（2011年）

情報システムが受けた影響⑪

N=
N=750

東日本大震災におけるバックアップの利用有無
問3（5－3）東日本大震災におけるバックアップの利用有無
利用した

2.8

バックアップはほとんど利用されていない。

利用する予定だったが、機能しなかった… 0.4
利用しなかった
無回答

96.0
0.8

0%

20 %

40 %

60 %

80 %

100 %

120 %

出所：経済産業省調査（2011年）

情報システムが受けた影響⑫

N=21
N=

情報システムへの切戻し方法
問3（5－4）本番システムへの切戻しの方法

本番システムが復旧可能となった段階ですぐに切戻した

47.1

本番システムが復旧可能となった後、タイミングを見て切戻した

29.4

まだバックアップシステムを利用している
無回答

23.5
4.8

0%

10 %

20 %

30 %

40 %

50 %

出所：経済産業省調査（2011年）

情報セキュリティとITサービス継続との位置づけ

位置づけ•情報セキュリティは、情報の機密性、完全性
及び可用性を維持することとして一般的に定義されている。IT サービス継続は、主に可用性の維持に関係するものとして位置づけることができる。
•情報セキュリティとIT サービス継続とは、どちらかが他方を包含する関係というよりも、相互に関係するものとして位置づけられる。

28

ITサービスとは

定義•ITサービスとは、組織 における業務の遂行に際して必要となるITおよびそれに関連する
体制の組み合わせによって提供される機能であり、その機能が組織外部により提供されるものであるか否かは問わない。
•具体的には、財務会計システム、生産管理シ
ステム、在庫管理システム、顧客管理システ
ムなどの基幹システムに加え、電子メールシ
ステム、入館システム、スケジューラー、部門等で作成・提供されている表計算等の基幹システムではないものも含む。
29

ITサービス継続とは

定義•ITサービス継続とは、事業継続の一部であり、ITサービスの中断・停止による事業継続に不える影響を求められる品質レベルに応じて最適化するための取り組みである。
•ITサービス継続を実現するためには、中長期にわたるITに係る投資計画や体制面の整備が必要となるため、必然的にITサービス継続はIT戦略の一部ないしIT戦略の下位に整合的に位置づけられる。
30

ITサービス継続戦略の要件定義
IT サービスの中断・停止につながる事象が発生した場合、経営者、業務部門、IT 部門、社外の取引先といった関係者間での共通理解を醸成するため、そのITサービスを復旧させる活動の目標を設定する。
ITサービス利用部門の要件

コスト面の制約

BCM において定められた要件

ITサービスを復旧させる活動の目標
目標復旧時間（RTO：Recovery Time Objective)：
事故後、業務を復旧させるまでの目標期間（時間）目標復旧ポイント（RPO：Recovery Point Objective)：
事故後に事故前のどの時点までデータを復旧できるようにするかの目標時点（時間）
目標復旧レベル（RLO：Recovery Level Objective)：
事故後、業務をどのレベルまで復旧させるか、ある
いは、どのレベルで継続させるかの指標
31

ITサービス継続計画の構成例
IT サービス継続戦略により定められたサービス継続のための要件（組織にとって重要なIT サービスの明確化及び目標とすべき復旧時間・レベル）を踏まえ、これを実現するために必要な、事前対応計画及び緊急事態発生時における具体的な対応方法・計画等を取りまとめる。

事前対応計画

事後対応計画対策実施計画

教育訓練計画維持改善計画

緊急時対応計画

戦略を実現するための具
体的な対策内容を決定し、組織の行動計画として経営者の承認を得る。

IT サービス継続性の継続的な改善に向けた管理プ
ロセスを明確化する。

緊急事態発生時における情報システムの迅速な復旧・再開に向けた体制及び対応方法を定める。

a) IT サービスの継続要件

IT サービス継続計画の組
織内定着化、緊急時における対応能力向上のための教育訓練計画を定める。
全体教育、情報システムの切り替えテスト、業務担当者を含めた総合演習などを実施する。

b) 実現方法【記載項目例】【記載項目例】c) 実施スケジュールd) 必要な投資a) 教育訓練の対象者と達成目標【記載項目例】

a) 維持改善の目的【記載項目例】b) 維持改善の体制

a) 緊急時対応体制

c) 維持改善方法b) 緊急時対応プロセス（点検時期、点検項目、
点検主体）c) 緊急時対応手順c) 教育カリキュラムと実施スケジュール

32

震災以前のBCPの策定状況、震災時のBCPの発動状況①

N=
N=758

問4（1）震災発生時のＢＣＰの策定状況
震災発生時のBCPの策定状況
策定済みだった

39.8

策定中だった

9.8

策定していなかったが、策定予定だった

22.8

策定しておらず、策定予定もなかった
無回答

26.5
５割近くの企業がBCPを策定／策定中／策定予定。

1.1
0%

10 %

20 %

30 %

40 %

50 %

出所：経済産業省調査（2011年）

震災以前のBCPの策定状況、震災時のBCPの発動状況②

N=
N=376

震災発生時のBCPの発動状況
問4（2）震災発生時のＢＣＰの発動状況発動され、十分に機能した

20.7発動されたが、一部機能しなかった
発動されたが、全く機能しなかった

31.1
2.1

BCP策定企業の51.8%でBCPが発動。

発動されなかった
無回答

42.6
3.5

0%

10 %

20 %

30 %

40 %

50 %

出所：経済産業省調査（2011年）

震災以前のBCPの策定状況、震災時のBCPの発動状況③
N=
N=376

問4（ 3－3）ＢＣＰ策定～発動における、計画と実際の乖離（ＭＡ）
BCP策定～発動における、計画と実際の乖離
震災の規模・範囲・期間が想定以上で、BCPで対応しきれなかった

22.3

Ｂ Ｃ Ｐを発動する指揮命令系統の人員が対応できなかった

7.7

Ｂ Ｃ Ｐを遂行する人員が確保できなかった
BCP全体
について

4.0

Ｂ Ｃ Ｐを遂行する人員の勤務負荷が高かった

10.6

Ｂ Ｃ Ｐの発動を連絡するための通信手段が不十分だった

17.6

Ｂ Ｃ Ｐの文書が紛失したり、データにアクセスできなかった

0.8

通信手段の遮断や代替手段の必要性を想定していなかった

14.1

計画と実際の乖離はなかった

17.8
8.0
通信がボトルネック。

サーバ等への耐震対策が不十分だった
情報システムの復旧・再開にあたる人員を確保できなかった

1.6

情報システムの復旧・再開が計画通りに進まなかった
情報システムバックアップへの切り替えが計画通りに進まなかったについて
バックアップから本番システムへの切戻しが計画通りに進まなかった

想定リスクの甘さ。

3.5
1.1
0.3

その他

8.8

計画と実際の乖離はなかった

29.8

無回答

29.3

出所：経済産業省調査（2011年）

0%

10 %

20 %

30 %

40 %

震災以前のBCPの策定状況、震災時のBCPの発動状況④

N=
N=376

今後のBCPの見直し予定
問4（4－1）今後のＢＣＰの見直し予定
見直し済み

8.5

見直し中、もしくは見直し予定

73.9

見直す予定はない
無回答

0%

11.4

BCP策定・策定中企業の大半が見直しを行う。

6.1

10 % 20 % 30 % 40 % 50 % 60 % 70 % 80 %出所：経済産業省調査（2011年）

震災以前のBCPの策定状況、震災時のBCPの発動状況⑤

情報システムに関し、BCPの見直しが必要なもの

想定リスクの再検証が求められている。

出所：経済産業省調査（2011年）

体制・プロセスの見直しが必要との認識。

震災以前のBCPの策定状況、震災時のBCPの発動状況⑥

BCPの中で情報システムに関するリスクのうち重視するもの震災で顕在化したリス
クへの認識が高まっている。

出所：経済産業省調査（2011年）

東日本大震災における教訓(アンケート結果)の反映■IT-BCPの位置づけの整理⇒BCPの目的、企業が守るべきものを明確にする(企業の業態や規模により、BCPの目的が異なる)⇒BCPの中のIT-BCPとして体系化■BIAの重要性⇒これまでBIAの視点が足りない点を明確にし、想定外の事象はBIAで吸収させる。
■計画停電、長期間にわたる停電への対応⇒守るシステム、止めてよいシステムの優先度分け⇒停電対策は技術的対策よりは、ユーティリティや運用の観点で記述■セキュリティレベルの低下⇒単なる低下ではなく、機密性、完全性、可用性のバランスを取った対応を提
示する。
■その他
⇒安否確認システム、外部サービス利用等のトピックも適宜含める。

国際標準との整合性確保の観点
ISO/IEC 27031

ITサービス継続ガイドライン
(現行)

対応案

ICT Readiness for Business ビジネス継続を重視し、リス
Continuity (IRBC)に焦点を
クの洗い出しから詳しく記述当てている。
している。

基準ではICT Readinessに焦点をあてるが、ガイドライン
ではリスクの洗い出しから記述する。

情報セキュリティインシデン
トも脅威に上げている。

あまり考慮していない。一方で、セキュリティ対策との矛
盾点について若干の考察を行っている。

情報セキュリティインシデン
トも含めるが、基本的には深堀せず27001を参照するにとどめる。

リスク分析手法としては
Business Impact
Analysys(BIA)を示しているが詳細は記載されていない。

リスクの例示はされているが、 BIA等を含めリスク分析手法
分析手法については特に明示 を例示する。
していない。

インシデント発生時のプロセスとしてDetectionが追加されている。

インシデント発生時のプロセスに関する記載はなく、Detectionは記載されていない。

インシデント発生時のプロセスを追加しDetectionを記載する。もしくは現行案ママ。

技術的対策についての記述が尐ない。

技術的対策についての細かい記述がある。

技術的対策についてガイドラ
インでは記述するが、基準からは削除する。

ITサービス継続マネジメント
ガイドライン整備の効果

組織におけるITサービスの企画、開発、調達、導入、運用、保守などに携わる部
門や担当者が、 ITサービス継続ガイドラ
インを用いる事で、事業継続マネジメン
トに必要なITサービス継続を確実にするための枠組みを構築でき、｢想定外｣の事態が発生したとしても、適切な対応を取ることが可能となる。

外部データセンターやクラウドの利用について①

外部データセンターやクラウドの利用状況・利用意向

出所：経済産業省調査（2011年）

外部データセンターやクラウドの利用について②
N=758

問6（ 2－2）外部データセンターやクラウド利用の課題（ＭＡ）
外部データセンターやクラウドの利用の課題
機能・サービスの質

46.7

事業者の信用度

39.6

内部の調整、承認

15.3

サービスの可用性・信頼性

44.9

既存システムとの相互運用性

33.2

導入・運用コスト

76.9

立地

23.6

物理的・技術的な震災対策

34.0

緊急時の対応体制（情報共有・連絡体制も含む）

コストが最大のネック。

36.9

建物・設備の物理的セキュリティ対策（侵入防止など）

26.8

ネットワークのセキュリティ対策 (外部からの不正アクセス対策…

44.2

データへのセキュリティ対策（データ保護の方針など）

45.9

従業員等の内部不正に対する対策

15.4

その他

2.4

無回答

2.4

次いで、ネットワーク、データのセキュリティ対策を課題と認識している。

0 % 10 % 20 % 30 % 40 % 50 % 60 % 70 % 80 % 90 %出所：経済産業省調査（2011年）

クラウドセキュリティマネジメントガイドライン策定の背景
クラウド利用者の丌安

クラウド事業者への要求
0

20

40

52.1

N=699

60

80

100 ％

34.0

6.7
2.9

情報セキュリティ監査

セキュリティ認証・認定

その他のセキュリティ管理

わからない

無回答

＊「高度情報化社会における情報システム・ソフトウェアの信頼性及びセキュリティに関する研究会」（経済産業省2009年3月）

クラウド利用においてセキュリティ上の丌安が払拭できていない

4.3

半 数の 利用者 が，
ク ラウ ド事業 者には情報セキュリ
テ ィ監 査によ る，
具 体的 な報告 を望んでいる
利用者が事業者にJISQ 27001 ベ ー ス の セ
キュ リ テ ィ管 理 を望むの は ， 利用 者 組織と同様のセキュリ
ティ 体 制 を望 ん でいるため＊「クラウドサービスの情報セキュリティ監査に関するアンケート調査報告書」（経済産業省2010年１月）

クラウド利用者はクラウド事業者に，情報セキュリティ監査及び
JIS Q 27001ベースのセキュリティ管理を望んでいる。

「情報セキュリティ」および「事業者におけるシステム運用」が見えないことに関する丌安を「見える化」する
クラウド利用者のための情報セキュリティマネジメントガイドラインの策定

利用者視点による
セキュリティリスクの共通認識の形成

事業者選択における基準として利用できる対策標準

情報セキュリティ監査による利用者と事業者の信頼関係の構築クラウドセキュリティマネジメントガイドラインについて目的本ガイドラインを情報セキュリティ管理，
及び情報セキュリティ監査に活用することにより，クラウド利用者とクラウド事業者における信頼関係の強化に役立てることを目的と
する。

適用範囲
本ガイドラインは，組織事業の基礎を成す情報資産の多くを，外部組織であるクラウド事業者が提供するクラウドサービスに委ねようとする組織
が， JIS Q 27002（実践のための規範）に規定された管理目的を達成するための管理策を実施しようとする場合を想定している。

特徴全面的にクラウドサービスを利用する際のJIS Q 27002（実践のための規範）の管理目
的達成という究極的な状況を想定することにより，クラウドサービスの利用において変化するシステム環境，責任の所在，事故や事象の判断基準を明確にする。
クラウドサービスを全面的に利用することにより生ずるリスクの変化に対応するため，
JIS Q 27002 （実践のための規範）の管理策に，「クラウド利用者のための実施の手引」と，「クラウド事業者の実施が望まれる事項」を追加している。

・ガバナンス・セキュリティマネジメント
クラウド
事業者
監査報告書を利用者へ開示利用者の内部監査

クラウド
利用者の実
施の手引

ガバナンス，マネジメント評価

事業者の第三者監査

クラウド
事業者の実
施が望まれる
事項

・ガバナンス・マネジメント目次構成•本ガイドラインの箇条5～15は，クラウド利用者がJIS Q 27002（実践のための規範）の箇条5～15の管理策を実施するための補足として活用できる。
•参考として附属書Aは，クラウドサービス利用に係るリスクを例示し，附属書B
は，クラウドサービス利用におけるリスクアセスメントの実施例の一つを示す。

序文
0.1 一般0.2 クラウドサービス及び情報セキュリティ
0.3 このガイドラインの位置づけ及び構成

1
2
3
4

適用範囲
引用規格
用語及び定義クラウドサービス利用における情報セ
キュリティガバナンス及び情報セキュ
リティマネジメント
4.1 クラウドサービス利用における情報セ
キュリティガバナンス
4.2 クラウドサービス利用における情報セ
キュリティマネジメント

5 セキュリティ基本方針
6 情報セキュリティのための組織
7 資産の管理8 人的資源のセキュリティ
9 物理的及び環境的セキュリティ
10 通信及び運用管理
11 アクセス制御
12 情報システムの取得，開発及び保守
13 情報セキュリティインシデントの管理
14 事業継続管理
15 順守
附属書 A（参考） クラウドサービス利用に係るリスク
附属書 B （参考）クラウド利用におけるリス
クアセスメントの実施例

46

クラウドサービス利用に係る管理策の選択
利用者・顧客・取引先など（ステークホルダー）
要求事項
及び期待

クラウド利用者
JIS Q 27001（要求事項）による情報セキュリティマネジメントシステムのPDCAモデル（ISMSの導入及び運用）
ISMS基本方針，管理策，プロセス及び手順の導入
及び運用

Do

運用管理された
情報セキュリティ

クラウド事業者（ISMSの監視及びレビュー）
ISMS基本方針，目的及び実 Chec
際の経験に照らした，プロセ
k
スのパフォーマンスのアセス
メント（適用可能ならば測定），及びその結果のレビューのための経営陣への報告

リスクアセスメント

Plan

Act

（ISMSの確立）
組織の全般的方針及び目的に従った結果を出すための，リス
クマネジメント及び情報セキュ
リティの改善に関連した，ISMS
基本方針，目的，プロセス及び手順の確立（ISMSの維持及び改善）
ISMSの継続的な改善を達成するための，ISMSの内部監査
及びマネジメントレビューの結果又はその他の関連情報に基づいた，是正処置及び予防処置の実施

クラウドコンピューティング環境における管理と責任の変化の検討

要求事項
及び期待

運用管理された
情報セキュリティ

Do

Plan

Chec

Act

k

JIS Q 27001（要求事項）による情報セキュリティマネジメント
システムのPDCAモデル

クラウドサービス利用のための管理策の実施の手

リスク受容レベル

組織のリスク受容レベルとの比較

引があれば, マネジメント
システムを維持しながら,管理策の選択JIS Q 27002（実践のための規範）などから選択

クラウドサービスを利用した適切な情報セキュリ

責任の明確化クラウド利用者と事業者双方による管理策の実施

ティ管理が容易に行える47

クラウドサービス利用における情報セキュリティガバナンス
及び情報セキュリティマネジメント
クラウド利用者

利害関係者

情報セキュリティガバナンスのフレームワーク

経営陣
CISO

報告
Reportクラウド事業者

利害関係者

情報セキュリティガバナンスのフレームワーク

経営陣
CISO

報告
Report

経営陣のコミットメント
監査役

評価
Evaluate
方向づけ
Directモニタリン
グMonitor

コミ ッ トメントに基づく実施をモ ニタリ ング

方向づけ
DirectPDCAの進捗・ 達成状況

ISMSの導入及び運用

監督
Oversee
モニタリン
グMonitor
PDCAの進捗・ 達成状況

経営陣のコミットメント

管理者層

情報セキュリティ管理
Information Security Management

情報セキュリティ管理
Information Security Management

ISMSの導入及び運用

ISMSの確立
Do

評価
Evaluate

監督
Oversee

経営陣のコミットメント

管理者層

監査役

Plan

ISMSの確立
Do

Plan

Check

Act

コミットメントに基づく
情報提供
ISMSの監視及び
レビュ ー

Check

Act

ISMSの維持及び改善

ISMSの監視及びレビュ ー

ISMSの維持及び改善

情報システムクラウド関連情報システム

サービス利用国際規格化の経緯

1. 日本よりCloud computing servicesにおける情報セキュリティマ
ネジメントを提案（１）本ガイドラインを基本に提案（２）SC27/WG1のBerlin会議（2010年10月）におけるプレゼン
テーションにより各国への理解を求める
2. Cloud computing servicesにおけるSecurity and Privacyプロ
ジェクトのStudy period開始が決定（１）WG1のInitiateによりStudy periodを開始（２）WG4のSecurity Technology及びWG5のPrivacy
Technology との協力
3. 情報セキュリティマネジメント分野の日本初プロジェクト開始（１）SG27/WG1,WG4,WG5のSingapore会議（2011年4月）に
おいてStudy period結果を審議（２）SC27/WG1は、提案した27017 NWIP(New Work Item
Proposal)（N10029）として承認
49

Cloud Computing Security and Privacyプロジェクトの体制
WG1が6ヶ月間のStudy periodを主導し、ラポーター（取り纏め役）は日本人が担当
Wg4のSecurity technology及びWG5のPrivacy Technologyが参加して実施
ＩＴＵ－Ｔ，ＳＣ３８，ＥＮＩＳＡ，ＩＳＡＣＡ，ＣＳＡ等ともリエゾン関係

他の組織

リエゾン
ITU-T
SC38
等

Rapporteur:

SC27
WG1
WG4

WG5

Co-rapporteur:Andreas(UK)Contribution

NBs

NBs

WG4 NB

ENISA
ISACA
CSA等

山崎 哲 先生(工学院大学)

Co-rapporteur:
Collins(NZ)

Contribution
NBとし
て日本か
ら提案

NBs

WG１ NB

Contribution

NBs

NBs

WG５ NB

本ガイドライン50

今後のスケジュール Base ISO/IEC 27002–ISO/IEC 27002 New Revised Version
 Project Editors–Japan : Satoru Yamasaki–US:
Marlin Pohlman (CSA) Schedule–WD (Working Draft) 2011-10–CD(Commitee Draft) 2012-10–DIS (Draft International Standards) 2013-04–IS (International Standards) 2013-1051日本企業にとってのメリット
本ガイドライン※は、ISO/IEC27001Annexに準拠して作成。
→目次等の構成を合わせ、管理目的等はISO/IEC27001Annexをそのまま準用。
→全面的にクラウドサービスを利用する際の管理目的達成という究極的な状況まで想定。
→差分のみの情報セキュリティ監査が可能となるため、クラウド環境におけるセキュリティ確保コストが削減できる。
ISMS(ISO/IEC27001)の取得は日本が世界の取得数の半数以上を占める。
→すでにISMSを多数取得している我が国企業にとっては、現状のISMS(ISO/IEC27001)に準拠した基準ができる方が有利になる。
※本ガイドラインは、以下のURLからダウンロードできます。
http://www.meti.go.jp/policy/netsecurity/downloadfiles/cloud_security_guideline.pdf

世界のISMS取得状況
その他 932
米国 96
N=6443

韓国 106
ドイツ 137

中国 362

クラウドセキュリティの丌安を払拭し、安全なク
ラウド利用時代へ• 本ガイドラインを利用することにより、クラウ
ド利用者とクラウド事業者間のセキュリティを確保するためのコミュニケーション手段の提供

日本 3499(54.3%)

台湾 373

クラウド時代における情報セキュリティ監査制度の強化• クラウドコンピューティングの利用視点に立ったセキュリティリスクの明確化

英国 444

インド 494(7.6%)（出所：JIPDEC資料より）(2010年6月時点)

52

52

クラウドセキュリティマネジメント
ガイドライン整備の効果

クラウド利用者が、クラウドサービス利用の際に、情報セキュリティ対策の観点から本ガイドラインを活用することで、より一層のクラウドサービスの利用を促進する。

ご清聴ありがとうございました。