(パートナー会社様向け)

情報セキュリティ学習～情報を安全に管理するために～(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

はじめに
平素は格別のお引立てを賜り、厚くお礼申し上げます。
日本メックスでは、情報セキュリティマネジメントの認証（ISO27001）を取得し、会社情報全般にわたり、適切な情報管理を行うため、情報セキュリティの各種施策を実施しています。また、お客様情報、個人情報等を適正に管理し、外部へ流出させないことを重要課題として対策に取り組んでいるところです。
パートナー会社の皆さまには、契約約款に基づき、弊社から提供する情報の管理及び再委託会社の管理を行って頂いています。また、情報の取り扱いの詳細として、「情報取扱い要領」、「情報セキュリティチェックシート」を
2021年12月にご案内をさせて頂きました。
今回、上記内容の理解を深めるための、学習資料を作成致しました。
弊社との間での情報の適切な取り扱いについて、再認識するためのツールとして活用頂ければと考えています。

今後とも、情報の確実な管理をお願い致します。

(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

目次
1章

情報セキュリティの取組みについて

2章
情報セキュリティの対策について

3章「情報セキュリティチェックシート」について

4章
理解度チェック(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

1章
情報セキュリティの取組みについて
1-1. 情報セキュリティの重要性
1-2.「情報取扱い要領」とは？
1-3.「情報取扱い要領」「情報セキュリティチェックシート」のダウンロード
1-4.「情報セキュリティチェックシート」とは？
1-5. 情報セキュリティマネジメントとは？

本章では、日本メックスから提示している
情報セキュリティに関連する資料について説明しています。
(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

1-1. 情報セキュリティ対策の重要性
お客様の情報が流出した場合、想定されること信頼性が疑われる
業務の遅れ、または業務が継続できなくなる
損害賠償をしなければならない

これらの経営リスクを防ぐためにも、情報セキュリティ対策が不可欠
想定すべき被害例
ランサムウェア、Emotet（エモテット）による感染標的型攻撃メールによる被害
不注意による情報漏えい

対策
1.
2.
3.
4.
5.

不正アクセスを防ぐ
重要な企業情報や顧客データを守る
パソコンやモバイルなどの端末を守る
社員教育を徹底する
自主点検を行う(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

（参考）情報セキュリティ10大脅威 2022

IPA

昨年
順位

個人

順位

2位

フィッシングによる個人情報等の詐取

1位

ランサムウェアによる被害

1位

3位

ネット上の誹謗・中傷・デマ

2位

標的型攻撃による機密情報の窃取

2位

4位

メールやSMS等を使った脅迫・詐欺の手口による金銭要求

3位

サプライチェーンの弱点を悪用した
攻撃

4位

5位

クレジットカード情報の不正利用

4位

テレワーク等のニューノーマルな働き方を狙った攻撃

3位

1位

スマホ決済の不正利用

5位

内部不正による情報漏えい

6位

8位

偽警告によるインターネット詐欺

6位

脆弱性対策情報の公開に伴う悪用増加

10位

9位

不正アプリによる
スマートフォン利用者への被害7位

修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）NEW

7位

インターネット上のサービスからの個人情報の窃取8位

ビジネスメール詐欺による金銭被害

5位

6位

インターネットバンキングの不正利用

9位

予期せぬIT基盤の障害に伴う業務停止

7位

10位

インターネット上のサービスへの
不正ログイン

10位

不注意による情報漏えい等の被害

9位

組織

昨年
順位

（出典：独立行政法人 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2022」
https://www.ipa.go.jp/security/vuln/10threats2022.html）(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

（参考）標的型攻撃メールの具体例
標的型攻撃メール
1
2
3

特定の企業・組織が標的
手口が巧妙化し、即時の検知・発見が困難
中小企業もターゲット

差出人： ○○ 太郎 <taro@safe?ites.jp>
宛先 ： ○○ 花子
件名 ： 【重要】注文書送付
添付ファイル：

本文

注文書.exe

添付ファイルの拡張子は？
.exeや.jsの場合はメールを削除

別添の内容を確認願います。
http://mask.office-all.net/i.php?fff=*

件名や本文に日本で使わない書体や表現を使っていないか。本文のURLに見知らぬドメインが使われていないか。
→使われてたら削除
××社営業本部○○ 太郎
taro@xxx.co.jp
ドメイン(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

差出人と署名欄のメールアドレスが一致しているか

標的型攻撃メールへの特徴と対策
件名：新製品に関する問い合わせ 注文書送付 など
差出人のメールアドレス：フリーメールアドレス
署名と差出人が異なる など
本文：不自然な日本語や漢字、表示URLとリンク先が異なる など
添付ファイル：exeなどの実行形式ファイル など

少しでも不審と判断したら、慎重に対応
初動対応後、社内ルールに則り報告・相談もし開封してしまったら、LANケーブルを抜き、ネットワークから切り離す。

1-2.「情報取扱い要領」とは？
パートナー会社の皆さまと秘密保持について定めた事項
契約約款
・ 第5条（秘密の保持）
・ 第12条（一括委任及び一括下請負の禁止等）「情報取扱い要領」
情報の取扱い方について、日本メックスが説明した文書
日本メックスとパートナー会社様との間で、情報の確実な管理を行うため

1. 組織／体制
2. 業務従事者への教育・指導
3. 情報システムの対策
4. 重要情報の取扱い
5. 再委託先の管理
6. 情報セキュリティ事故発生時の対応
7. 自主点検／監査(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

契約約款
第5条
第12条

情報取扱い要領
１．
２．
３．
４．
５．
６．
７．

1-3.「情報取扱い要領」「情報セキュリティチェックシート」のダウンロード「情報取扱い要領」「情報セキュリティチェックシート」の入手方法
https://www.meccs.co.jp/partner/「・別紙1：情報取扱い要領（2021年11月12日）」「・別紙2：＜委託先＞情報セキュリティチェックシート（様式8417）」
ファイル名「別紙1：情報取扱い要領（2021年11月12日）_日本メックス.docx」

文書名をクリックしダウンロード

ファイル名「12_別紙2：様式8417_＜委託先＞
情報セキュリティチェックシート_
Ver1.11_会社名_YYYYMMDD.xlsx」(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

1-4.「情報セキュリティチェックシート」とは？
「情報セキュリティチェックシート」
情報取扱い要領
１．
２．
３．
４．
５．
６．
７．

「情報セキュリティチェックシート」を使用するケース
01 パートナー会社認定時（新規）提出が必要※パートナー会社様の社内ツールとしても、ご活用頂けます。
(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

02

工事・維持管理等の案件受託時
任意案件について、日本メックス
から提出依頼（メール）1-5. 情報セキュリティマネジメントとは？
情報セキュリティチェックシート：（0）①

企業・組織において、情報セキュリティ確保のため、組織的・体系的に取り組むこと
情報セキュリティマネジメント
その仕組み：情報セキュリティマネジメントシステム（ISMS）

ISO27001
情報セキュリティマネジメントシステム（ISMS）の国際的な適合性評価制度
日本メックスは、ISO27001の認証を取得、情報セキュリティマネジメントを運用※認証取得の有無は別として、ISO27001は、企業の情報セキュリティマネジメントシステムの参考となります。
運用

Plan

組織及び
その状況の理解Doの計画
利害関係者の
ニーズ及び
期待の理解

I
S
M
S
パフォーマンス
評価

リーダーシップ

Check

Act
改善

意
図
す
る
成
果

教育、コミュニケーション、文書管理※ ISO27001以外に、事業者の個人情報の取扱いが適切であるかを評価する「プライバシーマーク制度」があります。
(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2章
情報セキュリティの対策
2-1. 第2章の学習のポイント
2-2. 組織／体制
2-3. 業務従事者への教育・指導
2-4. 情報システムの対策
2-5. 重要情報の取扱い
2-6. 再委託先の管理
2-7. 情報セキュリティ事故への対応
2-8. 自主点検／監査
本章では、情報セキュリティの対策について、
日本メックスから提示している情報取扱い要領を基に説明しています。
(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-1. 第2章の学習のポイント「情報取扱い要領」で示している29項目の対策について、理解を深めます

組織／体制
業務従事者への教育・指導
情報システムの対策
重要情報の取扱い
再委託先の管理
情報セキュリティ事故発生時の対応
自主点検／監査
学習内容に対応する「情報取扱い要領」の7つの項目番号、「情報セキュリティチェックシート」の番号を画面右上に表示(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

■ 情報取扱い要領： １■ 情報セキュリティチェックシート：（1）①2-2. 組織／体制（1）■ 情報取扱い要領： １■ 情報セキュリティチェックシート：（1）①●情報セキュリティ体制の確立

1 情報セキュリティの責任者、担当者を配置する。

2 情報システムの担当者を配置する。

情報セキュリティ責任者
・必要な資源(ヒト、モノ、カネ)を提供
・情報セキュリティ、社内システムの指導・監督情報セキュリティ担当者

・情報セキュリティ施策、社内教育等の実施
・情報セキュリティの社外／社内の窓口対応

情報システム担当者

・情報システム、パソコン等の導入、運用
・情報システムの社外／社内の窓口対応※役割の名称は、会社によって異なる。
※大規模な会社の場合、役割が細分化される。
※小規模な会社の場合、上記の役割を同一の担当者が担うことがある。

自社の情報セキュリティの体制表（責任者、担当者）を確認してみましょう(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-2. 組織／体制（2）●情報セキュリティ文書の整備■ 情報取扱い要領： １■ 情報セキュリティチェックシート：（1）②

情報セキュリティに関する社内規程又は要領等の策定
対策項目及び実施方法を定める
社内規程又は要領等として見える化
社内全体で共有

実際の運用を踏まえて、定期的に見直し＜見直しの視点＞
1 運用での気づき事項を反映
2 形骸化している対策の運用方法を再検討
3 再発防止策を反映

自社の社内規程又は要領等の文書内容や共有場所を確認してみましょう
社内規程又は要領等をこれから整備されるパートナー会社様へ◇次の資料を日本メックスホームページに掲載しています。適宜活用願います。
・［参考］情報管理要領_委託先名.docx
・資料1：［参考］情報セキュリティ研修／実施記録_委託先名.docx
・資料2：［参考］誓約書（退職時）_委託先名.docx
・資料3：［参考］情報管理台帳＜配付／提供・返却＞_委託先名.xlsx(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-3. 業務従事者への教育・指導（1）●情報セキュリティ教育の実施■ 情報取扱い要領： 2■ 情報セキュリティチェックシート：（2）①

業務従事者に対し、情報セキュリティ等に関する教育を継続的に実施
少なくとも年に1回、研修などの情報セキュリティ教育を実施する※情報セキュリティ教育が行われていない場合は、受託業務開始時に実施

日本メックスからの情報セキュリティ研修の支援
ホームページに情報セキュリティ学習資料を掲載
本コンテンツでの学習も、情報セキュリティ教育に該当

次の資料をホームページに掲載
https://www.meccs.co.jp/partner/
・資料1：［参考］情報セキュリティ研修／実施記録_委託先名.docx

研修記録の参考として活用願います(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-3. 業務従事者への教育・指導（2）■ 情報取扱い要領： 2■ 情報セキュリティチェックシート：（2）②●守秘義務の遵守

３つの守秘義務1
2
3

インサイダー情報
営業秘密※不正競争防止法、労働契約法、秘密保持契約 等
個人情報※個人情報保護法
就業規則（社員）、労働契約（派遣社員）の中に守秘義務に関する条項がある。
就業開始時（入社又は契約開始）に誓約書を取得することで、認識向上につながる。

従業員の退職時又は契約終了時における対応
1

会社情報（資料やデータ）

適切に返却・廃棄・消去

2 会社が貸与した

3 守秘義務の継続

全て返却

誓約書に署名・提出

情報機器

退職または契約終了後も、業務上知り得た情報を許可なく公言しない

自社の守秘義務の条項、誓約書の内容を確認してみましょう(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-4. 情報システムの対策（1）■ 情報取扱い要領： 3■ 情報セキュリティチェックシート：（3）①●情報漏えい対策

情報漏えいを抑止する対策
1
2
3
4
5

入口対策 ： 簡単に侵入させない。
出口対策 ： 情報を外部に流出させない。
内部対策 ： 必要な人にのみ、情報が利用できる。
運用対策 ： 状態を把握し、異変に早く気付く。
事故対策 ： 被害を最小限に抑え込む。

・ファイアウォール・不正侵入検知製品
・ウィルス対策ソフトの導入

等

入口対策
ログ監視 等・ファイルの暗号化・アクセス権設定
・私物の機器接続禁止

・社外持出しの承認・ファイアウォール・URLフィルタリング
・メール誤送信防止 等

等

内部対策

出口対策

運用対策
事故対策

・再発防止策の実施／有効性評価
・情報セキュリティ教育
・標的型メール訓練 等

不正な情報機器の接続、会社情報の不正利用により情報漏洩が発生しています
基本動作を徹底しましょう(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-4. 情報システムの対策（2）●アクセス権の設定＜内部対策＞■ 情報取扱い要領： 3■ 情報セキュリティチェックシート：（3）②

会社情報を格納するファイルサーバの対策
アクセス権の設定：情報漏えいの防止、人為的ミスの予防
未設定の場合：誰でも他部署の内部情報や機密文書を自由に閲覧できる
誰でも情報を持ち出せる

情報漏えいのリスクが高くなる

ファイルサーバを利便性良く、安全に運用
運用ルールを明確にする。（フォルダ名称、情報の種類、容量制限、追加フォルダ 等）
2 不用なファイルは、定期的に削除する。
3 ルール違反に対処する。
1＜アクセス権付与の例＞
ファイルサーバXXXXXX

会社全体にアクセス権を付与

フォルダ（第１階層）

フォルダ（第２階層）

100_会社共有

310_部周知

フォルダ（第3階層）
10_A案件

320_会議情報
20_B案件

200_総務部
330_契約案件

所属組織にアクセス権を付与

300_工事部･･･(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

･･･

390_マニュアル

30_B案件

40_B案件担当グループ毎にアクセス権を付与

2-4. 情報システムの対策（3）● ウイルス対策ソフトによる対策 ＜ 入口対策 ＞■ 情報取扱い要領： 3■ 情報セキュリティチェックシート：（3）③

コンピュータウイルスの感染経路
電子メール／Web／SNS
USBメモリ、Webサイト、ネットワーク上の共有ファイルサーバ

増加しているコンピュータウイルスの種類
金銭的利益を目的とする不正プログラムが大半
例：スパイウェア ：個人情報／秘密情報を窃取するもの
ランサムウェア：データを暗号化し業務妨害することでその解除を条件に身代金を要求するもの

悪意あるウイルスからPCを守るための対策
ウイルス対策ソフトの導入
パターンファイルは、定期的に更新

最新ではありません

最新の状態です※ ウイルスやスパイウェアは、不正なプログラムの総称として、「マルウェア」と呼ばれる。
語源は、英語で「悪意のある」という意味の「malicious」と「software」の 2つの単語を組み合わせた造語。
(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-4. 情報システムの対策（4）
情報セキュリティチェックシート：（3）④● 脆弱性への対策 ＜ 入口対策 ＞

セキュリティパッチ（セキュリティ更新プログラム）
脆弱性（セキュリティホール）やバグの修正、機能の改善などを目的として配付される修正プログラム
セキュリティパッチで業務システムを常に最新状態する

情報システムに対して、 Windows Update などにより、修正プログラムを適用

ウイルス感染リスク小ウイルス感染リスク大最新のOSや
脆弱性パッチを適用使用している

古いままのOSや脆弱性のあるソフトのまま使用している

アイコンに●マークが表示されたら速やかに更新(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

業務で使用するスマートフォンもOSのセキュリティパッチ更新を実施

2-4. 情報システムの対策（5）
最新版の Windows Update が適用されていることを確認するには
1 「スタート」ボタンをクリック

2 「設定」をクリック

3 「更新とセキュリティ」

4 「Windows Update」
をクリック

をクリック

…
(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

5

最新である
ことを確認

2-4. 情報システムの対策（6）●私物の情報機器の利用禁止＜内部対策＞■ 情報取扱い要領： 3■ 情報セキュリティチェックシート：（3）⑤⑥⑦

私物のデジタルカメラ／スマートフォン／携帯電話／
タブレット等での工事現場等の撮影、画像送信は禁止

個人所有のPC、外部記憶媒体（SDカード、USBメモリ等）の利用は禁止会社からの貸与品を使用し、業務を行う。

(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-4. 情報システムの対策（7）● 情報の暗号化 ＜ 内部対策 ＞

情報セキュリティチェックシート：（3）⑧

社外等でのUSBメモリ等の利用時には、情報の暗号化を実施
Windows に付属の「EFS（Encrypted File System）」機能を使用し、フォルダ、またはファイルごとに、USB メモリなどの情報を暗号化する①「エクスプローラー」
を開き、暗号化をしたい対象のフォルダ、またはファイルで右クリック

1②「プロパティ」
をクリック③「詳細設定」をクリック④「内容を暗号化してデータをセキュ
リティで保護する」をチェックオン

2
3

4
5
➄ [OK] を2回クリック※ この機能で暗号化すると、暗号化の操作をしたユーザのみが、ファイルを開くことができるようになる。復号（暗号の解除）に特別な操作は不要。
※ USBメモリのような外部記憶媒体以外に、PC のハードディスク内のデータに対しても暗号化可能。
※ USBメモリは、指紋認証付きのものを推奨します。
(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-5. 重要情報の取扱い（1）●重要情報の授受■ 情報取扱い要領： 4■ 情報セキュリティチェックシート：（6）①②③

重要情報
設計図書等：設計図、特記仕様書、現場説明書、質疑回答書、機器配置図、機器プロット図等
個人情報：その情報に含まれる氏名や生年月日等により、特定の個人を識別できる情報
その他の情報：日本メックス担当者が指定した情報 (例：お客様との議事録等)

重要情報管理表「重要情報」の提供を受けた際、管理に使用
1

日本メックスが重要情報を提供する際に、併せて、「重要情報管理表」が送付「情報受領者記入欄（委託先）」の情報受領欄に記入

2

業務上不用になった時点で、弊社へ返却、もしくは廃棄・削除「情報受領者記入欄（委託先）」の返却処理欄に記入

3

業務完了時に、重要情報の返却等の最終確認【情報返却確認欄】に記入、署名「重要情報管理表」の入手方法
https://www.meccs.co.jp/partner/「・別紙4：重要情報管理表（様式8418）」(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-5. 重要情報の取扱い（2）●重要情報取扱い時の留意点■ 情報取扱い要領： 4■ 情報セキュリティチェックシート：（6）④~⑨

重要情報の配付（複製・複写）
事前に、日本メックス担当者へ連絡
配付の場合の記録：いつ、誰が、誰に、どのような方法で など「情報管理台帳」の入手方法
https://www.meccs.co.jp/partner/「・資料3：［参考］情報管理台帳＜配付／提供・返却＞_委託先名.xlsx」

重要情報の社外持出しは、原則、禁止
自宅への持出しは絶対禁止
やむを得ず、社外（工事現場等）持出す際は、パートナー会社様での承認ルールに基づき対応

社外持出しの承認者
記録様式
等を確認

社外への持出し時には、移動中の紛失、盗難がないよう、十分に配慮した対策を実施
重要情報の保管重要情報が記載または格納されている、紙媒体、外部記憶媒体（UBSメモリ、SDカード、CD、
DVD等）は、常時施錠可能な書庫等に保管(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-6. 再委託先の管理再委託先へ発注：契約約款（第12条2項）■ 情報取扱い要領： 5■ 情報セキュリティチェックシート：（7）①~⑥

1

秘密情報の保持について、必要なセキュリティ体制を有する委託先を選定すること

2

再委託先の次の情報を日本メックスへ報告し、承諾を得ること(a) 再委託先の会社情報(b) 再委託の期間(c) 再委託する業務内容(d) 再託先に提供する秘密情報(e) 再委託先の秘密情報に関する管理措置

日本メックスが求める情報セキュリティ要件を再委託先が満たしていることを確認「情報セキュリティチェックシート」にて情報セキュリティの対策状況を確認

再委託先へ重要情報を提供する場合
日本メックスへ報告提供する重要情報を目録（情報授受記録等）で管理※パートナー会社様で様式の準備がない場合、弊社の「重要情報管理表」を活用願います。
（10及び49行目の「日本メックス」の会社名を変更して使用する）

業務上不用になった重要情報は、再委託先から返却、又は廃棄・削除済かを確認(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

2-7. 情報セキュリティ事故への対応（1）■ 情報取扱い要領： 6■ 情報セキュリティチェックシート：（4）①●情報セキュリティ事故発生時の報告

情報セキュリティ事故（情報セキュリティインシデント）とは？
秘密情報の紛失、盗難など
外部からの不正アクセス、マルウェア感染に伴う秘密情報の漏えい
内部不正に伴う秘密情報の漏えい

報告連絡網の事前整備パートナー会社様内の情報共有ルート
2 日本メックスへの連絡担当者
1

自社の連絡網を確認しましょう。

情報セキュリティ事故が発生した場合には、速やかに、日本メックス担当者へ報告
日本メックスよりお客様へ“初報”を発出
情報共有ルートは？

発見者

情報セキュリティ責任者

情報セキュリティ
責任者
情報システム担当者

パートナー会社様(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

案件責任者

案件担当者

日本メックスへの連絡担当者は？

日本メックス

お客様

初報
・
・
最終報告

2-7. 情報セキュリティ事故への対応（2）●再発防止策の実施■ 情報取扱い要領

情報セキュリティ事故の再発防止策と有効性評価の実施手順
事故の発見・報告

緊急対応（緩和処置）

有効性の評価

原因分析（真の原因）
類似事象の調査

再発防止策が有効であったか
一定期間の後、評価を実施

再発防止策の実施

有効でない場合は、再対策

情報セキュリティ事故からの学習（情報セキュリティ教育の実施、自主点検項目への追加(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

等）

：

6

2-8. 自主点検／監査■ 情報取扱い要領：

7■ 情報セキュリティチェックシート：（5）①～②

情報セキュリティの対策状況について、最低年1回の自主点検又は内部監査の実施
受託案件毎の「情報セキュリティチェックシート」による自主点検
日本メックスからの提出依頼に基づき、自主点検結果を提出※日本メックスにて、毎年案件を任意に抽出（300～500件）して、メールで依頼
情報セキュリティ事故発生の場合等、パートナー会社様内での内部監査結果の共有を依頼することがある。その場合、提供可能な範囲で報告する。

内部監査又は自主点検の結果に基づく、継続的改善
情報セキュリティ対策を有効なものにするには、
気づき事項の改善を毎年積み上げていくことが重要

改善効果(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

3章「情報セキュリティチェックシート」について
3-1. 情報セキュリティチェックシートを作成するケース（4パターン）
3-2. パートナー会社認定時（新規）の自主点検
3-3. 案件受託時の自主点検

本章では、「情報セキュリティチェックシート」を使用するタイミング、
記入方法について説明します。
いずれも、Excel シート内の黄色部分に記入していきます。
(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

3-1. 情報セキュリティチェックシートを作成するケース（4パターン）
パターン
会パ
社ー
認ト
定ナ
前ー

パターン①
新規にパートナー会社としての認定を申請する場合
パターン②
その年度で1回目の案件を受託した場合

パ
ー
ト
ナ
ー
会
社
認
定
後

パターン③
年度内で2回目以降の案件を受
託した場合

パターン④
＜小規模・修繕工事、修繕依頼書等での案件の場合＞◆小規模・修繕工事の案件◆修繕依頼書等での案件(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

Excel シート名

Excel シート内
記入部分

その他

[No.1
＜認定時＆案件受託時＞](0) ～ (5)黄色部分

その他のシートの
記入は不要

[No.1
＜認定時＆案件受託時＞](0) ～ (5)(6) ～ (7)黄色部分

その他のシートの記入は不要(6) ～ (7)黄色部分

年度内で3回目以降の案件を受託した場合は、シートをコピーして使用[No.2＜受託案件が複数ある場
合＞このシートをコピーして記入]※類似業務を受託している場合、自主点検結果の記入は不要。
なお、(6)又は(7)の判定結果が異なる場合は、[No.2＜受託案件が複数ある場合＞このシートをコピーして記入]に記入
自主点検結果の記入は不要。
なお、(6)又は(7)の判定結果が異なる場合は、[No.2＜受託案件が複数ある場合＞このシートをコピーして記入]に記入3-2. パートナー会社認定時（新規）の自主点検
新規にパートナー会社としての認定を申請する場合に自主点検
今回は新規の認定のみが対象

日本メックスへの提出が必要です。
例：（２）①【研修の実施】の書き方「判定結果」
・「○」の場合「備考」は、ほかの項目であれば空欄。
（２）① は実施済みの研修日を入力「×」または「△」の場合
黄色からオレンジに変更される。
「備考」に入力「備考」の書き方は、別シートの記入例を参照
・ [記入例①_No.1（認定時）] シート※ 情報セキュリティ対応を実施した場合に、適時、更新しましょう。
(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

3-3. 案件受託時の自主点検案件を受託するごとに自主点検※日本メックスから提出依頼（メール）があった場合に、提出します。
例：【 (6) ⑥社外持出し時の手続き】の書き方「判定結果」
・ 「○」の場合「備考」は、ほかの項目であれば空欄。
・ 「×」または「△」の場合
黄色からオレンジに変更される。
「備考」に入力
・「備考」の書き方は、別シートの記入例を参照
・[記入例②_No.1（受託時_重要情報あり）]シート
・[記入例③_No.2（受託時_重要情報なし）] シート(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

4章
理解度チェック
第1章から第3章までの内容について、理解度チェックを行い、情報セキュリティの理解を深めましょう。

(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

4.理解度チェック
確認テスト
最も正しい選択肢を 1つ選んでください。10秒後に正解が表示されます。

Q1.日本メックスとパートナー会社様との間で扱う大切な情報の取扱いは、「契約約款」と「情報取扱い要領」に記載しています。情報の取扱いについて自主点検として用意しているのはどの様式ですか?
①見積り依頼書②重要情報管理表③情報セキュリティチェックシート

A1 3「情報セキュリティチェックシート」は、情報セキュリティ対策の自主点検を行
うためのツールとして提供しています。パートナー会社の認定（新規）時、受託案件での自主点検に活用します。なお、日本メックスでは、委託している任意案
件について、「情報セキュリティチェックシート」の提出を依頼しています。

Q2.情報セキュリティのマネジメントを行うに際し、情報セキュリティの体制を確立する必要があります。その中で、情報セキュリティ施策及び教育等の実施を担うのは誰でしょうか？
①情報セキュリティ責任者②情報セキュリティ担当者③情報システム担当者

A2 2

情報セキュリティ担当者は、情報セキュリティ責任者と協議し、情報セキュリティ施策の実施、社内教育等を行います。また、情報セキュリティの社内、社外の窓口を行っています。社内での情報セキュリティ体制を確認しましょう。

(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

4.理解度チェック
確認テスト
最も正しい選択肢を 1つ選んでください。10秒後に正解が表示されます。

Q3.情報セキュリティ研修は、どのようなタイミングで受講するのが良いでしょうか？
①定期的（1年に1回以上）②定期的（3年に1回程度）③気が向いたとき

A3 1

社員一人ひとりが情報セキュリティ意識を持つことが重要です。情報セキュリ
ティ研修では、業務に携わる社員が情報を守るための知識を得ることができます。最近では、標的型攻撃メール等による被害が多く発生しています。定期的(1年に１回以上）の受講により、情報セキュリティへの認識を高めていきま
しょう。

Q4.業務で扱う電子ファイルとファイルサーバの利用において、どのような点に留意する必要がありますか？
①電子ファイルを格納するフォルダのアクセス権②ファイルサーバを利用できる社員の把握③ファイルサーバの管理者の把握

A4 1

普段、何気なくファイルサーバを利用していますが、フォルダに誰がア
クセスできるのか、事前に確認しましょう。受託案件のファイルを格納しているフォルダは、業務関係者のみに限定しておく必要があります。

(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

4.理解度チェック
確認テスト
最も正しい選択肢を 1つ選んでください。10秒後に正解が表示されます。

Q5.マルウェア感染の防止として、ウィルス対策ソフトの導入の他、どのような対策がありますか？
①最新バージョンのソフトウェアの導入②ソフトウェア利用者の把握③Webブラウザ、OS、Office等の更新プログラムの適用（Windows Update）

A5 3

ソフトウェアには、時間の経過とともに、脆弱性と呼ばれる不具合が発見されることがあります。脆弱性を放置していると、ウィルス対策ソフトを最新のパターンファイルに更新していたとしても、ウィルスに感染することがあります。Windows Update等により、“最新の状態”にしておきましょう。

Q6.私用のPC／タブレット、外部記憶媒体等を業務で使用してはいけません。それは、情報セキュリティの視点で、どのようなリスクがあるからでしょうか？
①情報資産の最新化が不可能②私物機器を介したウイルス感染、情報漏えい、盗難・紛失③利用者の経済的負担増

A6 2

セキュリティ対策が十分行われていない私物の情報機器を利用すること
で、情報セキュリティのリスクが高まります。また、私物のデジタルカ
メラ、スマートフォン等で工事現場の写真を撮影した場合、誤送信、ウイルス感染による意図しない公開等のリスクがあります。会社貸与の情報機器を利用を基本としています。

(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

4.理解度チェック
確認テスト
最も正しい選択肢を 1つ選んでください。10秒後に正解が表示されます。

Q7.日本メックスが重要情報としているのはどれでしょうか？
①設計図書、個人情報、日本メックス担当者が指定した情報②情報セキュリティ研修資料③日々の連絡文書（メール等）

A7 1

重要情報を含め秘密情報（機密情報）を目的外のことに利用してはいけません。重要情報の授受を行う際には、「重要情報管理表」にて管理を行います。なお、重要情報管理表は、重要情報を提供する際に、日本メックス担当者から送付します。

Q8.業務上、不用となった重要情報はどのようにするのでしょうか？
①何もしない②受託者（パートナー会社社）にて保管する③日本メックス担当者の指示に基づき、返却／削除／廃棄する

A8 3

重要情報は、業務上不用になった時点で、日本メックスへ返却、もしくは廃棄・削除します。その記録として、「重要情報管理表」の返却処理
欄（返却種別、情報処理日、担当者名）を記入します。また、業務完了時には、【情報返却確認欄】に記入し、完了報告書とともに提出します。

(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

4.理解度チェック
確認テスト
最も正しい選択肢を 1つ選んでください。10秒後に正解が表示されます。

Q9.情報漏洩等の情報セキュリティ事故が発生した場合を想定し、何を事前に整備しておく必要がありますか？
①情報伝達フロー／連絡先一覧②過去のセキュリティ事故の事例③契約書／仕様書

A9 1

情報セキュリティ事故が発生した場合は、被害が最小限となるよう対応するため、社内、お客様への迅速な報告及び共有が必要です。そのために、事前に情報伝達フロー／連絡先一覧を確認しておきましょう。

Q10.情報セキュリティ事故を防止するために、最も効果的な対応はどれですか？
①何もしない②定期的な自主点検又は内部監査を行い、継続的な改善を行う③関連法令で求められている点検項目を確認する

A10 2 情報セキュリティ対策は、事故が発生した後の対策より、発生前から計画的に予防する方が、時間もコストも節約することができ、効果的です。定期的な自主点検等により、気づき事項への対応を図り、継続的に改善していきましょう。

(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.

■本資料の問い合わせ先
日本メックス株式会社 総務部ISMS担当（〒104-0042 東京都中央区入船3-6-3）
電話番号：03-5541-5521(C) 2022 NIHON MECCS CO.,LTD.

(C) 2022 NIHON MECCS CO.,LTD.