JAMA・JAPIA

自工会/部工会・サイバーセキュリティガイドライン
自動車産業におけるサイバーセキュリティ対策の一層の進展のために

2.0 版

2022 年 4 月 1 日

Japan Automobile Manufacturers Association, Inc.

一般社団法人 日本自動車工業会
総合政策委員会
ICT 部会サイバーセキュリティ分科会

Japan Auto Parts Industries Association

一般社団法人 日本自動車部品工業会
IT 対応委員会
サイバーセキュリティ部会

改訂履歴
版数

発行日

改訂内容

第 0.9 版

2020 年 3 月 31 日

初版発行

第1版

2020 年 12 月 1 日

第 0.9 版のトライアルを受け第 1 版として発行

第2版

2022 年 4 月 1 日

第 1 版で策定した企業の規模によらず自動車産
業全体が優先して実施すべき項目に加え、取り扱う情報によって標準的に目指す項目や最終到達点として目指すべき項目を追加策定し、第2 版として発行

１

目次
1.

背景と目的 .................................................................................................... ３

2.

本ガイドラインの対象................................................................................... ４

3.

ガイドラインの構成 ...................................................................................... ５

4.

ガイドラインの活用方法 ............................................................................... ６5.

要求事項と達成条件 ...................................................................................... ７

6.

用語集 ........................................................................................................ ３８

あとがき............................................................................................................... ４３

２

1. 背景と目的
自動車産業は CASE(Connected、Autonomous、Shared & Services、Electric)に代表されるように 100 年に一度の技術的大変革期を迎えており、業界全体がモビリティ社
会の実現に向けて IT の利活用を推進している。一方で、IT インフラ環境や工場等の制御システムをはじめとして企業が管理するより多くの情報システムがインターネ
ットにつながることで、社内環境に対するインターネットからのサイバー攻撃の脅威が増していることに加え、昨今、標的の企業を狙うために、攻撃者によるセキュリテ
ィ対策を強化中の関係企業や取引先等のネットワークへの不正侵入、企業間ネットワークを経由した攻撃、標的企業が利用するソフトウェアや製品への不正なプログラムの埋め込み等のサプライチェーンを狙ったサイバー攻撃も懸念されることから、自動車産業を取り巻くサイバーセキュリティリスクは深刻化している状況にあると言える。
このようにサイバーセキュリティリスクが増加する環境の中で安全・安心で豊かな
モビリティ社会と自動車産業の持続可能な発展を実現するためには、業界を取り巻くサイバーセキュリティリスクを正確に理解しながら業界全体でサイバーセキュリテ
ィリスクに適切な対処を行うことが必要不可欠である。
また、こうしたサイバーセキュリティリスクの変動にあわせて、国土交通省からはサイバーセキュリティ認証制度（UN WP29、CS/SU 認証）により業界として統一したサ
イバーセキュリティ対応を行うことが要求されており、また経済産業省からはサプラ
イチェーンのセキュリティレベルの向上に向け「サイバー・フィジカル・セキュリテ
ィ対策フレームワーク」が提示され、情報システム分野における業界標準のガイドラ
インを作成することが求められている。
前述の背景をふまえ、自動車メーカーやサプライチェーンを構成する各社に求められる自動車産業固有のサイバーセキュリティリスクを考慮した、向こう 3 年の対策フ
レームワークや業界共通の自己評価基準を明示することで、自動車産業全体のサイバーセキュリティ対策のレベルアップや対策レベルの効率的な点検を推進することを目的として本ガイドラインを作成した。

３

2. 本ガイドラインの対象
本ガイドラインは、自動車産業に関係する全ての会社を対象とし、各社においてセキュリティ業務に関与している以下に例示される部門の責任者及び担当者を想定読者としている。
・CISO （最高情報セキュリティ責任者）

・

リスク管理部門

・

監査部門

・

セキュリティ対応部門

・

情報システムの開発/運用部門

・

データマネジメント部門

・

サプライチェーンの管理責任を負う購買や調達部門

・

その他のセキュリティに関わる部門（人事・法務・総務）

なお、本ガイドラインでは、特定の業務領域によらず全体の業務に共通するエンタープライズ領域（業務基盤となる OA 環境）を対象範囲とする。

＜図:自動車産業 CS ガイドラインの対象領域＞

４

3. ガイドラインの構成
自動車産業サプライチェーン全体のセキュリティの向上を優先課題ととらえており、中小企業を含めた全ての企業が本ガイドラインを活用できるよう、企業の規模によらず自動車産業全体が優先して実施すべき重要項目に加え、取り扱う情報によって標準的に目指す項目や最終到達点として目指すべき項目を追加策定し、第 2 版として発行した。

＜図:自動車産業 CS ガイドラインのセキュリティレベル定義＞

また、達成状況の確認に使用するチェックシートを付録として添付している。
・ガイドライン（本紙）ガイドライン制定の背景と目的を明らかにし、ガイドラインの対象範囲、構成、
活用方法、要求事項・達成条件、用語集を記載
・付録：チェックシート
要求事項・達成条件の確認に使用するチェックシート
本ガイドラインは、「経済産業省 サイバー・フィジカル・セキュリティ対策フレー
ムワーク」を中核に、「NIST Cybersecurity Framework v1.1」、「ISO 27001」、「AIAG
Cyber Security 3rd Party Information Security 1st Edition」、「IPA 中小企業の情報セキュリティ対策ガイドライン」をベンチマークし作成した。

５

4. ガイドラインの活用方法
本ガイドラインにより、自動車産業のサプライチェーンを支えるすべての企業において、実施すべき基本的なセキュリティ対策に抜け漏れがないか定期的（年 1 回以上を推奨）または必要に応じて確認し、自社のセキュリティ向上のために活用することを、業界をあげて推し進めて行きたい。
また、共通のガイドラインに基づくセキュリティの実装及びその評価により、自社の取引関係におけるセキュリティ信頼チェーン構築に関わる評価プロセスを簡素化し効果的な利用を期待する。

＜想定活用方法＞(1) 企業におけるセキュリティポリシーの策定及び対策の実装
添付チェックシートにおいて示された要求事項及び達成基準を参考にして、自社におけるセキュリティポリシー策定及びセキュリティ対策の実装に取組むことができる。
(2) 自動車産業における信頼のチェーン構築への活用
本ガイドラインを通じ、共通のセキュリティチェックシートによりセキュリテ
ィ対策の実装状況を確認することで、多岐複雑な自動車産業の企業間の取引におけるセキュリティ信頼チェーンの構築に活用することができる。
(3) 企業におけるセキュリティの教育・訓練・啓発活動への活用
本ガイドラインを通じ、自社のセキュリティ状況を把握し、セキュリティに関する各企業での教育・訓練、啓発活動に活用することができる。

＜担当領域情報の追加＞
自組織内で回答を担当する方が不明確な場合、担当者を決める際の参考情報として、
担当領域名（機能）を対策項目毎に追加した。評価者を決定される際に参考にしていた
だきたい。

６

5. 要求事項と達成条件

ラベル

目的

要求事項

№

レベル

1

Lv1

達成条件

達成基準

自社の情報セキュリティ対応方針(ポリシー)を策定している

・自社の情報セキュリティ対応方針を策定し、文書化すること【規則】
・社内外の環境変化を踏まえて、内容を確認し、適宜見直ししていること

1 方針

会社として、
セキュリティ
に対する基本的な考え方や方針を示し、社内の情報セキュリティ意識を向
上させる

自社の情報セキュリティ対応方針を策定し自組織内に周知していること2

Lv2

自社の情報セキュリティ対応方針(ポリシー)の内容を確認し、必要に応じて見直しし
ている

【頻度】
・情報セキュリティ対応方針(ポリシー)の内容を確認、改善-1 回以上/年※別途、重大な変化が発生した場合には迅速に対応すること【規則】
・情報セキュリティ対応方針(ポリシー)を容易に確認できる状態にすること

3

Lv1

情報セキュリティ対応方針(ポリシー)を社内に周知している【対象】
・役員、従業員、社外要員（派遣社員等）【頻度】
・定常的に、かつ、情報セキュリティ対応方針の改正時に周知すること

７

ラベル

目的

要求事項

№

4

Lv1

5

Lv2

6

2 機密
情報を
扱うル
ール

機密情報を扱うルールを定め、社内へ周知することにより、機密漏えいを防止する

機密情報のセキュリティに関する社内ルールを規定し
ていること

レベル

7

8

Lv2

Lv2

Lv1

達成条件

達成基準

自社の守秘義務のルールを規定し、守らせ
ている

【規則】
・自社の守秘義務を策定し、文書化すること・入社時あるいは社外要員の受け入れ時に守秘義務を説明すること・退職もしくは期間満了時に会社の機密情報を持ち出さないこと【対象】
・役員、従業員、社外要員（派遣社員等）【規則】
・守秘義務の誓約書を提出させること（社外要員除く）

派遣社員、受入出向社員について、派遣元、出向元の会社と守秘義務を締結している【規則】
・守秘義務には、業務で知り得た情報を外部に漏えいさせない旨の記述があること【時期】 ※守秘義務の締結時期
・業務開始前

退職や期間満了時には必要な機密情報、情報機器などを回収している【基準】
・回収物一覧のチェックシートまたは帳票を作成すること・回収漏れが起こらない手順を整備、運用すること・手順に従い回収しているかを確認し、必要に応じて手順の是正を行うこと[回収物]-情報(印刷物、記憶媒体)-情報機器(PC、スマートデバイス)-アクセス権（ID、鍵)※上記の他に必要な回収物を各社で判断すること[回収状況の確認、手順の是正頻度]-1 回以上/年

業務で利用する情報機器の利用ルールを規定し、周知している(個人所有機器(BYOD)含む)【規則】
・情報機器（PC、サーバー、通信機器、記憶媒体、スマートデバイス等）の利用ルールを策定し、このルールには利用開始時、利用終了時の手続き、利用中の遵守・禁止事項、紛失時の手続きを含むこと
・情報機器の利用ルールを容易に確認できる状態にすること【対象】
・役員、従業員、社外要員（派遣社員等）【頻度】
・定常的に、かつ、ルールの改正時に周知すること

８

ラベル

目的

要求事項

№

9

3 法令
順守

会社として、
情報セキュリティに関する
法令を順守する

情報セキュリティに関する
法令を考慮し、社内ルー
ルを策定すること(法令例：個
人情報保護法、不正競争
防止法)

レベル

Lv1

10

Lv2

11

Lv1

達成条件

達成基準

情報セキュリティに関する法令を考慮し、ルールを策定、教育・周知している【規則】
・情報セキュリティに関連する法令を守るための社内ルールを策定すること・策定した社内ルールを教育・周知すること【対象】
・役員、従業員、社外要員（派遣社員等）
【頻度】
（教育）
・新規受け入れ時、かつ、１回／年（周知）
・定常的に、かつ、ルールの改正時に周知すること

個人情報をお持ちの会社については、個人情報に特化した社内ルールの規定があること【規則】
・お客様個人情報の取り扱いにおける社内ルールを策定すること[明確にする内容]-個人情報の管理体制を確立-取得時に利用目的を通知、明示-本人の同意の範囲内で利用-本人の同意なしに第三者提供しないこと-本人による開示・訂正・利用停止・消去などの要望に対応すること-個人情報の取扱いルールを定めること-個人情報保護法、GDPR、不正競争防止法等の情報セキュリティに関する法令・規則の情報収集を行うこと-情報漏洩した時の対応手順・策定した社内ルールを教育・周知すること【対象】
・個人情報を取扱う業務担当者
【頻度】
（教育）
・新規受け入れ時、かつ、１回／年（周知）
・定常的に、かつ、ルールの改正時に周知すること

法令の変更に伴い、ルールを適宜見直しし
ている
12

Lv2

９

【頻度】
・1 回／年、もしくは、法令の改正が公布・施行された時【頻度】
・社内ルールの遵守状況を確認し、必要に応じて是正すること

ラベル

目的

要求事項

№

13

レベル

達成条件

達成基準

Lv1
情報セキュリティ責任者を含む、平時の体制と責任と役割を明確化している

14

15

4 体制
(平時)

情報セキュリティに関する体制及び役割を明確化し、保護すべきデータの漏洩・
サイバーセキュリティ対策の徹底、強化を図る

平時の情報セキュリティリスクを管理する体制を整備し、事故発生に至らないよう、情報収集と共有を行うこと【規則】
・情報セキュリティリスクは、経営に重大な影響を及ぼすことを理解し、組織的に経営判断できる体制を設置していること

Lv2

Lv1

【規則】
・情報セキュリティを統括する役員（CISO 等)や情報セキュリティ
担当部署の役割・責任を明確化すること・連絡先リストを整備すること

定期的、または必要に応じて、平時の体制を見直ししている【頻度】
・１回／年、もしくは、重大な情報セキュリティ事件・事故が発生した場合
・または、社内組織改正等にて、お客様情報をはじめとした各種情報の保護・管理部署や責任者に変更が生じた時【規則】
・平時の体制に則り、情報セキュリティ事件・事故事例やその対応策を社内部署へ共有していること

16

【対象】
・役員、従業員、社外要員（派遣社員等）

Lv1
サイバー攻撃や情報漏えいの新たな手口を知り、対策を社内部署へ共有している
サイバー攻撃や予兆を監視・分析をする体制を整備している

17

Lv2

１０

【頻度】
・１回／年、もしくは、社内外で重大な情報セキュリティ事件・事故が
発生した時
【規則】
・サイバー攻撃や脆弱性に関する公開情報、非公開情報を活用する体制を構築している・相関分析によりサイバー攻撃や予兆の検知を可能とし、その分析結果から適切な対応が導きだせる体制を構築している※相関分析：
複合的なログなどで分析して情報セキュリティ事件・事故の予兆や痕跡を見つけ出す手法

ラベル

目的

要求事項

№

達成条件

達成基準

Lv1

情報セキュリティ事件・事故発生時の対応
体制と責任と役割を明確化している【規則】
・情報セキュリティを統括する役員（CISO 等)や情報セキュリティ担当
部署の役割・責任が明確化されていること
・情報セキュリティ事件・事故の基準や社内外組織との連絡先、ルートが明確化されていること

19

Lv1

発生した情報セキュリティ事件・事故対応が実施され、事故の概要や影響および対応内容の記録がある【規則】
・情報セキュリティ事件・事故発生後の初動対応フローが整備されていること・情報セキュリティ事件・事故の報告フォーマットが整備されていること

20

Lv1

定期的、または必要に応じて、事故時の体制を見直ししている【頻度】
・１回／年、もしくは、重大な情報セキュリティ事件・事故が発生した場合等

18

5 体制
(事故
時)

情報セキュリティに関する体制及び役割を明確化し、事件・事故の発生
時に、被害を
限定的なものに抑えて最小化し、できるだけ速やかに元の状態へと復旧する

情報セキュリティ事件・事故発生時の対応体制とその責任者を明確にしているこ
と

レベル

１１

ラベル

目的

要求事項

自社の事業継続計画又は緊急時対応計画の中に情報セキュリティ事件・事故を位置づけること

№

21

22

6 事故
時の手
順

達成条件

達成基準

Lv3

情報セキュリティ事件・事故を含めた自社の事業継続計画又は緊急時対応計画を作成している【基準】
・セキュリティ事件・事故の対応履歴、リスク評価結果に基づき、対策計画を立案すること・対策計画に沿って対策が実行されているか確認すること[対策計画の内容]-対策内容(何に対し、どのような対策を行うか)-スケジュール(開始、終了時期 および 対策の各プロセスに要する期間)[対策の進捗状況の確認]-1 回以上／年

Lv3

情報セキュリティ事件・事故を含めた自社の事業継続計画又は緊急時対応計画は、定期的に確認され、必要に応じて改定してい
ること

【頻度】
・1 回以上／年

レベル

23

Lv2

情報セキュリティ事件・事故として扱う対象範囲を明確にし、周知していること【規則】
・下記対象範囲が明確になっていること[明確にする内容]-事件・事故として扱う事象-事件・事故のレベル【対象】
・役員、従業員、派遣社員、受入出向者への周知

24

Lv1

情報セキュリティ事件・事故時の対応手順(初動、システム復旧等)を定めている【規則】
・対応手順には組織の必要に応じて下記の手順を含んでいること①発見報告、 ②初動、③調査・対応、④復旧、⑤最終報告

25

Lv3

情報セキュリティ事件・事故時の対応手順(初動、システム復旧等)は、定期的に確認され、必要に応じて、改定していること【頻度】
・１回／年及び、重大な事件・事故が発生した場合同上情報セキュリティ事件・事
故発生後に早期に対処する
手順が明確になっていること26

Lv1

マルウェア感染時の対応手順を定めている

27

Lv2

マルウェア感染時の対応手順は、定期的に確認され、必要に応じて、改定しているこ
と

１２

【規則】
・マルウェア感染時用の対応手順には組織の必要に応じて下記の手順を含んでいること①発見報告、 ②初動、③調査・対応、④復旧、⑤最終報告【規則】
・世間動向や攻撃のトレンドなどをふまえ、教育・訓練内容の見直しを
すること
【頻度】
・1 回/年以上

ラベル

7 日常
の教育

目的

マルウェアや機密情報についてリスクや
正しい取り扱いを理解させ、情報セキュリティ事
件・事故を予防する

要求事項

従業員として注意することを教育してい
ること

№

レベル

達成条件

28

Lv1

電子メールのマルウェア感染に関する社内への教育を行っている

29

Lv1

インターネットへの接続に関する社内への教育を行っている

30

Lv1

機密区分に応じた情報の取り扱いに関する教育を行っている

31

Lv2

標的型メール訓練を実施している

32

Lv2

各部署の情報セキュリティ管理者に対して、組織内での対策とマネジメント手法に関する教育を実施している

１３

達成基準
【規則】
・電子メールによるマルウェア感染の予防について、教育資料配布・掲示、e ラーニング、集合教育等による教育を実施すること
・教育内容を振返り、次回の教育内容を改善すること【対象】
・役員、従業員、社外要員（派遣社員等）における メール利用者【頻度】
・新規受け入れ時、かつ、１回／年以上【規則】
・Web 閲覧によるマルウェア感染の予防について、教育資料配布・掲示、
e ラーニング、集合教育等による教育を実施すること
・教育内容を振返り、次回の教育内容を改善すること【対象】
・役員、従業員、社外要員（派遣社員等）における インターネット利用者【頻度】
・新規受け入れ時、かつ、１回／年以上【規則】
・機密区分の定義と取り扱いについて、教育資料配布・掲示、
e ラーニング、集合教育等による教育を実施すること
・教育内容を振返り、次回の教育内容を改善すること【対象】
・役員、従業員、社外要員（派遣社員等）【頻度】
・新規受け入れ時、かつ、１回／年以上【規則】
・標的型メール訓練を実施すること
・万が一開封した時の対応も訓練内容に含めること
・訓練内容や方法を振返り、次回の訓練を改善すること【対象】
・電子メールの利用者【頻度】
・１回以上／年【規則】
・組織内での対策とマネジメント手法に関する教育を実施すること
・教育内容を振返り、次回の教育内容を改善すること【対象】
・各部署の情報セキュリティ管理者または推進者※情報セキュリティ管理者が任命されてない場合は部門長【頻度】
・1 回以上／年

ラベル

目的

要求事項

№

レベル

達成条件

33

Lv2

経営層が情報セキュリティに関する役割と責任を理解するための機会を設けている

34

Lv2

全社で啓発活動を実施している

35

Lv2

各職場で特に重要なリスクやルールについて啓発活動を実施している

36

Lv2

教育、啓発の実施状況を数値等で具体的に把握している37

Lv3

情報システムの調達に係る要員に対して、取引先の指導ができるようセキュリティ教育を実施している

１４

達成基準
【規則】
・経営層が役割と責任を理解するための説明の場を設けている・説明内容を振返り、次回の説明内容を改善すること【対象】
・経営層や役員【頻度】
・1 回以上／年【規則】
・全社で情報セキュリティの重要性を再認識する機会を設けること【対象】
・役員、従業員、社外要員（派遣社員等）【頻度】
・1 回以上／年【規則】
・各社が定める活動単位（部・室など）で特に重要なルールやリスクについてリマインドすること・啓発内容を振返り、次回の啓発内容を改善すること【対象】
・職場特有のリスクの理解、ルールの遵守が重要な従業員、社外要員（派遣社員等）【頻度】
・1 回以上／1 年【規則】
・教育・啓発の受講状況、理解度を数値等で具体的に把握すること【対象の教育、啓発】
・各社で判断した重要な教育、啓発【頻度】
・1 回以上/年【規則】
・取引先の特性に合わせたセキュリティ指導するスキルを得るために、
教育資料配布・掲示、e ラーニング、集合教育等による教育を実施する
こと【対象】
・情報システムの調達に係る要員【頻度】
・１回／年以上

ラベル

目的

要求事項

№

38

情報セキュリティ事件・事故に迅速かつ適切に対応できるように事前に備え、事故発生時の被害拡大の防止・迅速な復旧を図る

自組織内あるいは組織を跨いで影響する
情報セキュリティ事件・事故の発生と影響を抑制する
教育・訓練を行っているこ
と

レベル

Lv1

達成条件

達成基準

情報セキュリティ事件・事故発生時の対応について教育・訓練を実施している【規則】
・情報セキュリティ事件・事故発生時の対応について、教育資料配布・掲示、e ラーニング、集合教育等による教育や訓練を実施すること【対象】
・役員、従業員、社外要員（派遣社員等）【頻度】
・新規受け入れ時、かつ、１回／年以上

39

Lv3

組織を跨いだ情報セキュリティ事件・事故発生時の対応について教育・訓練を実施し
ている

【規則】
・組織を跨いだ情報セキュリティ事件・事故発生時の対応について、教育
資料配布・掲示、e ラーニング、集合教育等による教育や訓練を実施
すること
【対象】
・セキュリティ関連部門【頻度】
・１回／年以上

40

Lv1

教育・訓練の内容を必要に応じて見直しし
ている

【頻度】
・教育・訓練実施前後、もしくは１回／年以上

１５

ラベル

8 他社
との
情報セ
キュリ
ティ要
件

目的

サプライチェ
ーンにおける
機密情報の漏洩を防止するとともに、事故発生時の対応を迅速に行
えるようにする

要求事項

サプライチェ
ーン上で発生する情報セキュリティ要件が明確になっ
ていること

№

レベル

達成条件

達成基準
【規則】
・重要なサプライヤーを特定できていること
・モノ・データの流れを特定できていること
・取引の概要を図示して、サプライヤーと共有できていること【対象】
・取引のあるサプライヤー【規則】
以下の例を参考にパートナー企業の対策状況を把握すること・チェックシートを作成しパートナー企業から回答を受領する・パートナー企業に訪問し点検を実施する【対象会社】
・自社の重要な機密情報を提供・共有する子会社、取引先など
例："極秘"の機密情報を共有する会社【頻度】
・1 回以上/年【規則】
・回収すべき機密情報、アクセス権などのチェックシートを作成すること・契約終了時にチェックシートを使用し機密情報、アクセス権などを回収すること・回収、破棄が漏れなく行われていることを確認し、必要に応じて是正すること【対象会社】
・機密情報を提供・共有する子会社、取引先など【頻度】
・1 回以上/年【規則】
・業務開始前に機密情報の取り扱いについての取り交わしを行うこと【対象】
・機密情報を共有する会社

41

Lv3

サプライヤーとモノ・データの流れを共有
できている

42

Lv3

重要な機密情報を取扱うパートナー企業のセキュリティ対策状況を把握している

43

Lv3

契約終了時に機密情報やアクセス権などを回収または破棄している

44

Lv1

他社との間で、機密情報の取り扱い方法が明確になっている

45

Lv3

他社との間で、機密情報の取り扱い方法に課題が無いか定期的に確認され、必要に応じて、改定していること【頻度】
・1 回以上/年

46

Lv1

情報セキュリティ事件・事故時の他社との役割と責任が明確になっている【規則】
・機密情報を共有する際、取り扱いとともに、情報セキュリティ事件・事故発生時の会社ごとの役割と責任を文書化しておくこと

47

Lv3

情報セキュリティ事件・事故時の他社との役割と責任の文章は、定期的に確認され、必要に応じて、改定していること【頻度】
・1 回以上/年

自社における他社の重要な機密情報の取扱い状況を把握している【規則】
・他社の重要な機密情報を自社で取扱った履歴を記録、保管すること・適切に記録、保管されていることを確認し、必要に応じて是正すること【記録、保管状況の確認、是正頻度】
・1 回以上/年

48

Lv3

１６

ラベル

目的

要求事項

№

49

レベル

達成条件

達成基準

Lv1

人の異動に伴うアクセス権(入室権限やシス
テムのアクセス権)の管理ルールを定めてい
る

9 アク
セス権

アクセス権設定の不備に起因した、機密エリアやシス
テムへの不正アクセスを防止する

アクセス権(入室権限やシステムのアクセス権)を適切に管理していること【規則】
・以下の内容等を含む管理ルールを定めること・アクセス権の発行・変更・削除は申請・承認制であること
・与える入室許可・アクセス権の範囲は必要な範囲に限定すること・入室権限やアクセス権の棚卸について定めていること・与えた入室許可・アクセス権の申請書または台帳を管理していること【対象】
・業務で利用するシステムおよび PC ログオン時のユーザーID・機密上の配慮が必要な場所や部屋【規則】
・重要情報を扱うシステムは、アクセス権を付与するための条件を明確にする
・アクセス権の設定は、システム管理者の要件および設定手順を明確にし、厳格な管理下で実施する。
・重要情報を扱うシステムは、情報利用者とシステム管理者の権限を分離するなど、個人に権限が集中しない環境とする。
・重要情報を扱うシステムは、その運用／利用状況を監視する。

50

Lv2

51

Lv1

管理ルールに沿ってアクセス権の発行、変更、無効化、削除を実施している【規則】
・No49 に定義した管理ルールの順守状況の点検を行っていること

52

Lv1

アクセス権の棚卸を定期的、または必要に応じて実施している【規則】
・No49 により定めたルールに従い、アクセス権の棚卸を定期的、または必要に応じて実施していること

アクセスログは、安全に保管しアクセス制
御された状態で管理されている【規則】
・法規制等により要求される事項を満たす事ができるよう、適切な期間のログを保持する。
・ログを脅威から保護するため、ログを保存するモノ、システムにアクセス制御等を適用すること

53

Lv2

１７

ラベル

目的

要求事項

№

54

レベル

Lv1

達成条件

達成基準

機密区分に応じた情報の管理ルールを定め
ている

【規則】
・以下の内容等を含む管理ルールを定めること
・機密の特定・機密区分のレベル判定と表示
・区分に応じた取り扱い方法
・取り扱いエリアの区分及び制限【対象】
・情報資産（情報）

55

10 情
報資産
の管理
(情報)

情報資産を適切に管理し、機密情報の漏洩を防止する

情報資産の機密区分を設定・把握し、
その機密区分に応じて情報を管理してい
ること

56

Lv2

Lv1

機密区分に応じた情報の管理ルールを
定期的、または必要に応じて見直ししている高い機密区分の情報資産(情報)を一覧化し
ている

【規則】
・管理ルールの内容を確認し、必要に応じて改善すること【頻度】
・1 回以上 ／年【規則】
・一覧には、対象情報、管理者名、部署名、保管場所、保管期限、開示
先、連絡先などを含むこと【対象情報】
・No.54 で定めた機密区分のうち、高レベルの機密に該当する情報資産

57

58

Lv2

Lv1

高い機密区分の情報資産(情報)の一覧化を
定期的、または必要に応じて見直ししている

情報資産(情報)は機密区分に応じた管理ルールに沿って管理している【規則】
・一覧表の内容を確認し、必要に応じて是正すること【頻度】
・1 回以上 ／年【規則】
・No.54 に定義した管理ルールの順守状況の点検を行い、不備・違反があれば是正を行うこと【頻度】
・1 回/年 以上

１８

ラベル

11 情
報資産
の管理
(機器)

目的

IT 資産を適切に管理し、
情報セキュリティ事件・事故につながる
リスクを減ずるとともに、
情報セキュリティ事故発生時の対応を迅
速化する

要求事項

会社が保有する情報機器及び機器を構成する OS やソフトウェアの情報(バージョン情報、管
理者、管理部
門、設置場所等)を適切に管理している
こと

№

レベル

59

Lv1

60

Lv1

61

Lv2

62

達成条件

達成基準

重要度に応じた情報機器、OS、ソフトウェ
アの管理ルールを定めている
情報機器、OS、ソフトウェアの情報(バージョン情報、管理者、管理部門、設置場所等)について、一覧を作成している
情報機器、OS、ソフトウェアの情報(バージョン情報、管理者、管理部門、設置場所等)の一覧を定期的、または必要に応じて、見直ししている

Lv1
情報資産(機器)は重要度に応じた管理ルー
ルに沿って管理している

63

Lv3

64

Lv2

スマートデバイスへのアプリケーションの無断インストールを制限し、定期的にインストール状況を確認している

65

Lv2

廃棄時(リース終了時含む)は、記憶媒体のデータを消去している

１９

【規則】
・導入、設置、ネットワーク接続、セキュリティパッチ適用等のルールを含む管理ルールを定めていること【規則】
・バージョン情報、管理者、管理部門、設置場所等の管理項目を含む情報
機器、OS、ソフトウェアの一覧を作成すること【頻度】
・1 回/年 以上【規則】
・No59 に定義した管理ルールに沿って管理を実施すること。不備・違反があれば是正を行うこと【頻度】
・1 回/年 以上【規則】
・重要度に応じて、機器と搭載ソフトウェアが正規品である事をシリアル番号
やハッシュ値を利用して定期的に確認すること【頻度】
・1 回/年 以上(資産棚卸時等)【規則】
・インストール可能なアプリケーションを定義し、定期的にインストール
状況を確認している。
【対象】
・会社支給のスマートデバイス【確認頻度】
・1 回/年【規則】
・情報資産(機器)の廃棄時(リース終了時含む)はデータを復元できないよう消去すること・情報資産(機器)の記憶領域の消去を実施した記録または業者の廃棄証明書を保管すること※ディスクのフォーマットは、データを復旧される可能性があるため不可[対象]-サーバー、会社支給のクライアント PC、スマートデバイス、外部記憶媒体

ラベル

12 リ
スク対
応

目的

情報資産のセキュリティリ
スクを特定し、会社として組織的な対策を行うことにより、業務
影響を極小化する

要求事項

自組織内(自組織の業務：
業務委託も含めて)の情報セキュリティ
リスクに対する対策を行っ
ていること

№

レベル

達成条件

達成基準

66

Lv1

情報資産において
「機密性」
「完全性」
「可用性」の 3 要素が確保できなくなった場合のリスクを特定で
きている

67

Lv3

セキュリティの要求事項を記載した開発標準を定め、定期的に見直している

68

Lv1

必要に応じて経営層へ業務影響及び対策を報告し、セキュリティ業務に関与している
社内部署と共有している

69

Lv1

業務影響への対策は策定された計画に沿って管理している２０【規則】
・対象の情報資産に情報セキュリティ事件・事故が発生した時の業務影響を
影響範囲や発生頻度を踏まえ把握すること【対象】
・№56 で特定した情報資産【観点】
・外部の脅威・自社の脆弱性※必要に応じて、パートナー企業起因の脅威、脆弱性を考慮すること・情報資産の価値【方法】
・対象の情報、情報システムを定めること
・各観点の評価規則、およびそれらを考慮したリスクレベルの規則を定める
こと
・各情報、情報システムについて、各観点の評価からリスクレベルを決定
すること
【頻度】
・重要な情報資産を見直した時、または、１回／年 以上【規則】
・情報システムのセキュリティ開発標準を定めること
・開発標準に則って、開発していることをチェックすること
・開発標準の内容を定期的に見直すこと【見直し頻度】
・1 回/年【規則】
・№66 で把握した業務影響に対する対策方法及び計画を策定し、報告・共有
すること
・報告に際し役員からの指示があった場合、これを関係部門へ共有すること【対象】
・情報セキュリティの総括責任者、関係部門【頻度】
・1 回以上／年【規則】
・№68 で作成された対策及び計画が適切に実施され、業務影響の低減がされていることを確認し、発見された不備の是正などを実施すること【対象】
・情報資産の業務影響【頻度】
・1 回／年 以上

ラベル

目的

要求事項

取引先毎に、取引で取り交わされる情報資産と、取引に利用している手段を把握していること

№

70

71

13 取
引内
容・手
段の把
握

どの取引先とどのような情報資産をどのような手段でやり取りするかを明確にし、取引を通じた情報漏えい等を防止す
る

72

レベル

達成条件

達成基準

Lv1

会社毎に取り交わす情報・手段(受発注の手段等、情報のやり取り)を一覧化している【規則】
・一覧表には取引に伴い授受／使用される情報資産とその取り扱いを記載し、取引先と相互に把握すること【対象】
・重要な情報資産（№54 で定められた機密レベルが高い情報資産など）を共有する取引先【頻度】
・取引開始時／取り交わす情報・手段の変更時

Lv3

会社毎に取り交わす情報・手段(受発注の手段等、情報のやり取り)の一覧を
定期的、または必要に応じて、見直ししている【頻度】
・1 回/年 以上

IT 機器調達に対するセキュリティ要求事項が決められており、社内に周知されている
こと【規則】
・機器調達に対するセキュリティ要求事項を一覧化していること
・機器調達時に、セキュリティ要求事項を容易に確認できる状態に
すること
【対象】
[機器]
・社内ネットワークに接続する IT 機器[周知]・役員、従業員、社外要員（派遣社員等）【頻度】
・定常的に、かつ、機器調達時のセキュリティ要求事項の改正時に周知することIT 機器調達に対するセキュリティ要求事項
を購入先と共有しており、購入時の評価結果を記録し保管している【規則】
・セキュリティ要求事項が購買契約等に明記されていること
・機器調達時に、セキュリティ要求事項の評価を実施し、結果が保管されていること・定期的に確認結果が保管されていることを確認する【対象】
・社内ネットワークに接続する IT 機器【保管状態の確認頻度】
・1 回以上/年

Lv3

IT 機器調達における情報セキュリティ
リスクを管理
すること

73

Lv3

２１

ラベル

14 外
部への
接続状
況の把
握

目的

外部情報シス
テム利用における安全性と信頼性の確保、および情報セキュリテ
ィ事件・事故発生時の迅速な対応を図る

要求事項

関係組織（サプライヤー等含む）との関係において、
自組織の通信ネットワーク
構成を把握し、他組織との連携状態や
データの流れを監視すること

外部情報システム(顧客・
子会社・関係
会社・外部委託先・クラウドサービス・
外部情報サー
ビス等)を明確にし、利用状況を適切に管理している
こと

№

レベル

達成条件

達成基準

74

Lv2

ネットワーク図・データフロー図を作成
し、関係組織（サプライヤー等含む）との通信を監視している【基準】
・ネットワーク図を作成すること[対象範囲]-自社の情報機器が存在するネットワーク[見直し頻度]-1 回/年以上＜追記＞【基準】
・データフロー図を作成すること[対象範囲]-関係組織間のネットワークでやり取りされる自社内のデータ【基準】
・関係組織との通信を監視すること[対象範囲]-関係組織間のネットワークでやり取りされるデータ
[頻度]
-常時

75

Lv2

ネットワーク図・データフロー図は、定期的、または必要に応じて、見直ししている【頻度】
・1 回/年以上

76

Lv1

自組織の資産が接続している外部情報シス
テムの利用ルールを定めている【規則】
・以下の内容を含む利用ルールを定めること
・外部情報システムの接続先と守秘義務契約を締結する
・外部の情報サービスを利用する際のセキュリティ要件を定めている
・外部の情報サービスの利用時にセキュリティ要件を満たしているか
サービス内容を確認し、承認した証跡を保管している

77

Lv1

利用している外部情報システムを一覧化し
ている

【規則】
・外部情報システムの一覧を作成していること

外部情報システムの一覧を定期的、または必要に応じて見直ししている【規則】
・定期的に棚卸を実施するとともに、新規あるいは利用中止するもの
を一覧に反映すること【頻度】
・1 回／年以上、かつ、新規開始あるいは利用中止時

78

Lv1

２２

ラベル

目的

要求事項

№

レベル

達成条件

達成基準
〇PC やサーバーなどの機器の接続ルール【規則】
・社内ネットワークへの接続に関するルールを定めること【対象】
・社内でネットワークに直接接続するすべての機器

社内ネットワークへの接続時には、情報システム・情報機器の不正利用を抑制する対策を行っ
ていること

79

15 社
内接続
ルール

・会社標準機器、社外からの持ち込み機器含む〇社外から社内ネットワークへ接続するための追加ルール【規則】
・リモートアクセスを利用する場合のルールを定めること【対象】
・社外から公衆インターネット経由あるいは専用線経由で社内ネットワークに接続する全ての機器

80
社内ネットワークの利用を適切に管理することにより、情報漏えいやマルウェ
ア感染などの被害を最小化する

Lv1

業務で利用する情報機器の自社ネットワークへの接続ルールを定めている

81

【規則】

Lv3

許可された機器以外は社内ネットワークに接続できないよう、システムで制限し
ている

【規則】

Lv3

内部情報漏洩対策として、複数ログを組
み合わせて、異常行動を自動検知できる仕組みを導入している・許可された機器以外の接続を検知・遮断する仕組みを導入すること【対象】
・社内ネットワークに接続する機器・情報持ち出しに関するログを分析して不正な持ち出しが検知できること
・不正な持ち出しが発生した場合は、アラートが通知できること【規則】
・リモートワークで使用する情報機器や機密情報の条件についてのルールを定め、周知すること・ルールの遵守状況を確認し、必要に応じて是正すること[周知対象]-リモートワークを行う全ての従業員、派遣社員、受入出向者

リモートワークの環境において、セキュ
リティ事故(主に情報漏えい、なりすまし)を抑制する対策を行っていること82

Lv2

リモートワークで使用する情報機器や機密情報の条件についてのルールを定め、運用している[周知のタイミング]-リモートワークの開始前[ルールの内容]-リモートワークで使用許可する情報機器※必要に応じて申請、承認の方法を含む-個人所有端末にダウンロード可能なファイルの機密区分や種類[ルールの内容、遵守状況の確認頻度]-1 回以上/年【規則】
・リモートワーク遂行上のルールを定め、周知すること・ルールの内容や遵守状況を確認し、必要に応じて是正すること

83

Lv2

リモートワーク遂行上のルールを定め、運用している[周知対象]-リモートワークを行う全ての従業員、派遣社員、受入出向者[周知のタイミング]-リモートワークの開始前[ルールの内容や遵守状況の確認、是正頻度]-1 回以上/年

２３

ラベル

目的

要求事項

№

レベル

84

Lv1

達成条件
サーバー等の設置エリアは、入場可能な人を定めている

達成基準【規則】
・サーバー等の設置するエリアに入場可能な人を定めること
【規則】

85

Lv1

サーバー等の設置エリアは、施錠等で入場を制限している・サーバー等の設置エリアを施錠すること・施錠が出来ないエリアにサーバーが設置されている場合、サーバーを専用ラックに入れて施錠すること・管理者を定めて、施錠管理を行うこと

サーバー等の設置エリアには、物理的セキュリティ対策を行っていること【規則】
・サーバー等の設置エリアの入退場記録を取得し、保管すること【記録する項目】

86

Lv2

サーバー等の設置エリアに入場した記録を保管し、定期的にチェックしている・入退場日時・入場者(氏名、所属、連絡先など)
・入場目的
・承認者
【保管期間】
・6 ヶ月

87
16 物
理セキ
ュリテ
ィ

Lv2

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐ

サーバー等の設置エリアに不正侵入や不審行動を監視している【規則】
・入場時、退場時に持込み・持ち出し物を確認すること
・入場者の行動を監視すること【規則】
・自社の入退場ルールを定めること
・入退場ルールを周知すること・入退場ルールの内容や遵守状況を確認し、必要に応じて改定や再周知を行うこと【周知対象】

社内への入退場において、
セキュリティ
事故(主に不
正侵入、不正持ち出し、情報漏えい、不審行動)を抑制する対策を行っていること88

Lv2

入退場に関するルールを定め、周知、運用している

・自社に出入りする全ての人員【入退場ルールの内容】
・入場制限エリアの定義
・入退場時の申請、承認
・入退場時の身分証明方法(社員証、入場許可証の着用など)
・入場許可証,通門証の発行規則【入退場ルールの内容や遵守状況の確認、是正頻度】
・1 回以上/年【規則】
・重要なエリア、部屋の入退場を制限すること・重要なエリア、部屋への入退場記録を取得し、保管すること【記録する項目】

89

Lv2

重要なエリア、部屋への入場を制限し、入退場記録を保管している・入退場日時・入場者(氏名、所属、連絡先など)
・入場目的
・承認者
【記録の保管期間】
・6 ケ月以上

２４

ラベル

目的

要求事項

№

レベル

達成条件

達成基準
【規則】
・自社の重要な場所において、不正侵入や不審行動を監視すること

90

Lv2

不正侵入や不審行動を監視している・監視が正常に機能していることを確認し、必要に応じて是正すること【監視状況の確認、是正頻度】
・1 回以上/6 か月【規則】
・社内への持込みルールを定めること
・持込みルールの内容や遵守状況を確認し、必要に応じて是正すること【対象者】
・従業員、派遣社員、受入出向者および社外者【対象の物品】

91

Lv2

社内への持込みルールを明確にし、運用している

・パソコン、タブレット、スマートフォン、カメラ、外部記憶媒体※上記の他に記録可能な物品があれば各社で判断すること【持込みルールの内容】
・持込み制限の対象とするエリア、物品
・社内への持込み申請、承認方法
・持込み記録の保管、管理方法(保管期間:6 か月)【持込みルールの内容や遵守状況の確認、是正頻度】
・1 回以上/年【規則】
・社外への持出しルールを定めること

持込み・持出し物の制限を行っていること・持出しルールの内容や遵守状況を確認し、必要に応じて是正すること【対象】
・従業員、派遣社員、受入出向者および社外者【対象の物品】

92

Lv2

社外への持出しルールを明確にし、運用している

・パソコン、タブレット、スマートフォン、カメラ、外部記憶媒体、印刷物(図面などの機密書類)※上記の他に必要な物品を各社で判断すること【持出しルールの内容】
・社外への持出し申請、承認方法
・持出し記録の保管、管理方法(保管期間:6 か月)【持出しルールの内容や遵守状況の確認、是正頻度】
・1 回以上/年

【規則】

93

Lv2

持込み・持出しルールに関する意識を高める対策を講じている

・持込み・持出しルールに関する意識を高める対策を講じること【実施頻度】
・1 回以上/6 か月

２５

ラベル

目的

要求事項

№

94

社内の撮影・
録音において、セキュリティ事故(主に情報漏えい)を抑制する対策を行っ
ていること

95

96

レベル

達成条件

達成基準

社内における撮影ルールを定め、運用し
ている

【規則】
・社内における撮影ルールを定めること
・撮影ルールの内容や遵守状況を確認し、必要に応じて是正すること【撮影ルールの内容】
・撮影を制限する対象またはエリア
・撮影の申請、承認手順
・撮影申請、行為の記録の保管(保管期間:6 か月)※撮影を制限しないエリアを設けることも可能(例：社外者との打合せエリア)【撮影ルールの内容や遵守状況の確認、是正頻度]
・1 回以上/年

Lv3

録音に関するルールを定め、運用している【規則】
・録音に関するルールを定めること
・録音ルールの内容や遵守状況を確認し、必要に応じて是正すること【録音ルールの内容】
・録音を制限する会議(面着、リモート含む)やエリアの定義
・録音の申請、承認方法※会議の種類やエリアによって、申請、承認の要否を区別することも可【録音ルールの内容、遵守状況の確認、是正頻度】
・1 回以上/年

Lv3

盗聴による情報漏えいへの対策を行っている【規則】
・盗聴による情報漏えい対策を行うこと【実施頻度】
・1 回以上/年

Lv2

２６

ラベル

目的

要求事項

№

97

脆弱性が発見された際の対策対象の把握や外部記憶媒体を用いた情報漏えい等を抑制する対策がおこなえて
いること

98

99

100

レベル

達成条件

達成基準

Lv2

PC の標準構成・設定ルールを定め、標準構成・設定ルールに変更がある場合は承認を経て変更している【規則】
・PC の標準構成(ソフトウェアとバージョン)と設定を定めること
・構成、設定の変更は承認制にすること[対象]-会社支給の PC の OS、オフィスソフト、ブラウザ、ウイルス対策ソフト

Lv2

PC で利用を許可または禁止するソフトウ
ェアを定め、ソフトウェアの無断インストールを禁止し、違反がないか定期的に確認している【規則】
・社内で利用許可または禁止するソフトウェアの一覧を作成し周知すること・ソフトウェアの無断インストールを制限すること・定期的にソフトウェアのインストール状況を確認すること※システムでインストール制限している場合は確認不要[対象]-会社支給のクライアント PC[制限すべきソフトウェアの例]-情報漏えいにつながるソフトウェア-深刻な脆弱性があるソフトウェア-マルウェア・スパイウェアの疑惑のあるアプリ[確認頻度]-1 回/年[周知対象]-役員、従業員、派遣社員、受入出向者

Lv2

PC からのデータ書き出しを仕組みで制限
している

【規則】
・データ書き出しを制限する仕組みを導入すること[対象]-会社支給のクライアント PC

Lv2

マルウェアによる被害(データ暗号化等)を受けた場合に業務に支障をきたす重要
データについては、PC 以外へ保管するようルールを定め、周知している【規則】
・重要データはクライアント PC 以外に保管すること[周知対象]-役員、従業員、派遣社員、受入出向者

２７

ラベル

目的

要求事項

重要情報を格納・利用するシステムにおいて、人為的
設定ミスによる被害を最小化する対策を実施している
こと

17 通
信制御

サイバー攻
撃、内部情報漏えいを防止するため、情報システム・
情報機器や不正な Web サイ
トへの通信制御を行ってい
ること

№

レベル

達成条件

達成基準

101

Lv2

サーバーの不要な機能を無効化している
デフォルトユーザ ID の利用の停止をしている
デフォルトパスワードの変更をしている【規則】
・不要サービス、デーモンを無効化すること・デフォルトユーザ ID の利用を停止すること・デフォルトパスワードの変更すること

102

Lv2

管理部署がスマートデバイスに対して、機密管理上必要な設定を行っている【規則】
・パスワードを設定すること・紛失時のデータ削除機能を設定すること

103

Lv2

インターネットと社内ネットワークとの境界にファイアウォールを設置し、通信を制限している104

Lv2

ファイアウォールのフィルタリング設定(通信の許可・遮断設定)を記録し、不要な設定がないか定期的に確認している

105

Lv2

リモートアクセスの ID を管理し、不要な ID がないか定期的に確認している

２８

【規則】
・社内と社外のネットワーク通信を制限する仕組みを導入すること[導入場所]-社内外ネットワークの境界[制限する項目]-接続元および接続先の IP アドレス
-通信ポート【規則】
・社内外ネットワーク通信のフィルタリング設定を記録すること・定期的に不要なフィルタリング設定がないか確認すること・不要なフィルタリング設定を削除すること【記録する項目】
・申請者、接続元および接続先の IP アドレス、通信方向、プロトコル、
ポート番号、利用用途、登録日、有効期限【確認頻度】
・1 回/年【規則】
・リモートアクセスの ID の発行・変更・削除は申請・承認制にすること
・定期的に不要な ID がないか確認すること・不要な ID を削除すること【確認頻度】
・1 回/年

ラベル

目的

要求事項

№

レベル

達成条件

達成基準

106

Lv2

業務およびデータの重要性に応じてネッ
トワークを分離している。

107

Lv2

開発やテストを行う際は、本番環境に影響を与えない構成になっている

108

Lv2

不正な Web サイトへのアクセスを制限し
ている

109

Lv2

インターネットに公開している Web アプ
リケーションについて WAF(Web
Application Firewall)を導入している

110

Lv2

インターネットに公開している Web サイ
ト、システムについて、DDoS 攻撃を受けてもサービスを継続するための対策を実
施している

111

Lv2

インターネット経由の通信が盗聴、改ざんされないよう、通信を暗号化している

112

Lv2

端末と無線 LAN アクセスポイントの間の通信を暗号化している

２９

【規則】
・業務内容やデータ重要性でシステムを分類し、専用のネットワークセグメントに設置すること【対象】
・社外公開サーバー【規則】
・開発環境やテスト環境が本番環境と分離されていること[対象]-重要な社内サーバー、重要な社外公開サーバー※対象はリスクに応じて各社で判断【規則】
・不正な Web サイトへのアクセスを制限すること【対象】
・クライアント PC/Web ゲートウェイ【規則】
・WAF(Web Application Firewall)を導入すること【対象】
・重要な社外公開 Web アプリケーション【規則】
・DDoS 攻撃を受けた際にサービスを継続する仕組みを導入すること【対象】
・重要な社外公開 Web サイト、DNS サーバー【規則】
・社内外ネットワーク通信を暗号化すること【対象】
・社外から社内へのリモートアクセス通信
・ユーザーと社外公開サーバーとの間で認証を伴う通信【規則】
・端末とアクセスポイントの間の通信を暗号化すること
・政府推奨暗号において危殆化している暗号技術は利用しないこと【対象】
・社内無線 LAN

ラベル

18 認
証・認
可

目的

情報システムの不正利用や、情報システムの不正操作・変更を防ぐことで、情報漏洩、改ざんを防ぐとともに、情報シ
ステムを安定稼働させる。
さらに、情報漏えい、改ざんや情報シス
テム停止の際の原因調査を
可能にする

要求事項

情報システ
ム・情報機器への認証・認可の対策を行っていること

№

レベル

達成条件

達成基準

113

Lv1

ユーザーID を個人毎に割り当てている

114

Lv1

ユーザーID とシステム管理者 ID の権限を分
離している

115

Lv1

パスワード設定に関するルールを定め、周知
している

116

Lv2

外部情報システムのパスワード設定ルールを定め、周知している

117

Lv1

ユーザーID 及びシステム管理者 ID は定期的、または必要に応じて棚卸しを行い、不要な ID を削除している

３０

【規則】
・ユーザーID を共有しないこと
・やむを得ず共有 ID が必要な場合は、共有 ID を利用したユーザーを特定できるようにすること【対象】
・業務で利用するシステムおよびパソコンログオン時のユーザーID【規則】
・システム管理者と責任者を定めること
・管理者権限を付与する従業員を限定すること・役割に応じた必要最低限の権限のみ付与すること・システム開発者が本番環境において、管理者権限で操作できないようにすること・管理者パスワードを適切に設定すること【対象】
・すべてのサーバー、ネットワーク機器【規則】
・桁数・組み合わせ文字・有効期限を定めること
・英字や数字の連続など容易に推測されるものを避けること・パスワードの漏えいが判明した場合は、パスワードを変更すること【対象】
・業務で利用するシステムおよびパソコンログオン時のパスワード【周知対象】
・役員、従業員、派遣社員、受入出向者【規則】
・対象のパスワードを社外 Web サービスで設定しないこと※同一の認証基盤(SSO 等)の場合は使いまわしに該当しない【対象のパスワード】
・PC ログオン時のパスワード・メールシステムのパスワード(Microsoft 365 など)【周知対象】
・役員、従業員、派遣社員、受入出向者【規則】
・実施タイミングを明記した棚卸実施ルールを定め、不要な ID を削除すること【対象】
・業務で利用するシステムおよびパソコンログオン時のユーザーID、及び、システム管理者の ID

ラベル

目的

要求事項

№

118

119

120

121

122

レベル

達成条件

達成基準

Lv2

ユーザーID の発行・変更・削除の手続きを定
めている

【規則】
・ユーザーID の発行・変更・削除は申請・承認制にすること【対象】
・業務で利用するシステムおよびパソコンログオン時のユーザーID

管理者権限の付与・変更・削除およびサーバ
ーとネットワーク機器の設定内容の変更については、責任者の承認を得ている【規則】
・管理者権限の付与・変更・削除は申請・承認制にすること・サーバーおよびネットワーク機器の設定変更は申請・承認制にすること・サーバーの管理者権限を管理すること（追加、変更、修正）・ネットワーク機器で管理者権限を利用できる人を管理すること

Lv3

インターネットから利用できるシステムには多要素認証を実装している【規則】
・インターネットを経由した認証において、知識、所持、生体のいずれか 2 つ以上の認証を実装すること【対象】
・機密レベルが高い情報を取り扱うシステム
・特権アカウント
・リモートアクセス

Lv2

重要システムではセッションタイムアウトを実装している【規則】
・重要システムではセッションタイムアウトを実装すること【対象】
・社外公開システム、重要な社内システム

認証ログのモニタリングを実施している【規則】
・認証ログのモニタリングを実施し、不審な認証を検知できること【対象】
・パソコン、サーバーの認証ログ、重要システムのデータベース
アクセスログ【頻度】
・1 回/月以上

Lv2

Lv3

３１

ラベル

目的

要求事項
サポート期限が切れた機器、OS、ソフ
トウェアを利用しないようにしているこ
と

19 パ
ッチや
アップ
デート
適用

不正アクセスやマルウェア
感染のリスク
を低減する

№

レベル

達成条件

達成基準

123

Lv2

サポート期限が切れた OS、ソフトウェ
アを利用しないようにしている

124

Lv1

情報システム・情報機器、ソフトウェア
へセキュリティパッチやアップデート適用を適切に行っている

125

Lv2

脆弱性の管理体制、管理プロセスを定めている

脆弱性を利用した不正アク
セスを防止する施策を実施していること126

Lv3

社外へ公開しているサーバーについて、
本番稼働前および稼働後に脆弱性診断を実施し、判明した脆弱性に対して対策を
行っている

３２

【規則】
・サポートのある OS、ソフトウェアを利用すること・やむを得ずサポート切れの OS、ソフトウェアを利用する場合は、できる限り脆弱性
悪用のリスクを低減すること【対象】
・会社支給のパソコンの OS、ブラウザ、Office ソフト
・サーバーの OS、ミドルウェア
・会社支給のスマートデバイスの OS、アプリ
・インターネットとの境界に設置されているネットワーク機器の OS、ファームウェア【規則】
・セキュリティパッチやアップデート適用を、規則と期限を定め実施すること・やむを得ず適用できない場合は、適用対象外の理由を記録すること【対象】
・パソコン、スマホ、タブレット、サーバー、ネットワーク機器、ソフトウェア等-会社支給のクライアント PC の OS、ブラウザ、Office ソフト-サーバーの OS、ミドルウェア-会社支給のスマートデバイスの OS、アプリ-インターネットとの境界に設置されているネットワーク機器の OS、ファームウェア【規則】
・脆弱性情報の収集から対応まで担当部署の役割・責任を明確化すること
・脆弱性情報/脅威情報を収集する情報源、ツール、頻度を定めること・収集した情報の対応要否判断基準・対応手順を定めること
・対応履歴を記録し、月次でチェックすること【規則】
・プラットフォームの脆弱性を診断すること・脆弱性に対する対応の要否判断規則とリードタイムを決めること
・診断結果と対応結果を保管すること【対象】
・社外公開サーバーの OS、ミドルウェア【診断頻度】
・本番稼働前：1 回以上
・本番稼働後：2 回/年およびシステムの大きな変更時
・影響の大きな脆弱性が公開された時

ラベル

20 デ
ータ保
護

目的

不正アクセスやマルウェア
感染のリスク
を低減する

要求事項

情報システ
ム・情報機器のデータ保護を行っていること№

不正アクセスやマルウェア
感染のリスク
を低減する

達成条件

達成基準
【規則】
・プラットフォームの脆弱性を診断すること・脆弱性に対する対応の要否判断規則とリードタイムを決めること
・診断結果と対応結果を保管すること【対象】
・重要な社内サーバーの OS、ミドルウェア【診断頻度】
・本番稼働前：1 回以上
・本番稼働後：1 回/年およびシステムの大きな変更時【規則】
・Web アプリケーションの脆弱性を診断すること・脆弱性に対する対応の要否判断規則とリードタイムを決めること
・診断結果と対応結果を保管すること【対象】
・重要な社外公開 Web アプリケーション【診断頻度】
・本番稼働前：1 回以上
・本番稼働後：アプリケーションの大きな変更時【規則】
・社外に持ち出すパソコン、記憶媒体のデータを暗号化すること
・重要システムのデータベースを暗号化すること【規則】
・ウイルス対策ソフトのリアルタイムスキャンを実行すること
・外部から受け取ったファイルを安全な仮想環境上で安全性を確認するシステムを導入すること

127

Lv3

社内サーバーについて、本番稼働前および稼働後に脆弱性診断を実施し、脆弱性に対応している128

Lv3

インターネットに公開している Web アプ
リケーションについて、アプリケーショ
ン脆弱性診断を実施している

129

Lv3

情報機器、情報システムのデータを適切に暗号化している

130

Lv2

外部から受け取ったデータが安全である
ことを確認している

131

Lv2

メール送信による情報漏えいを防止するための対策を実施している【規則】
・機密情報をメール送信する場合は、情報漏えい対策を実施すること

Lv2

メールの誤送信を防止する対策を実施し
ている

【規則】
・メールの誤送信を防止する対策を実施すること【対象】
・社外宛ての送信メール

Lv2

内部不正対策として社外送付メールの監査を実施し、監査している事をメール利用者に周知し
ている

【規則】
・メール監査を実施し、監査している事を周知すること【対象】
・社外宛ての送信メール【周知対象】
・役員、従業員、派遣社員、受入出向者

132
21 オ
フィス
ツール
関連

レベル

情報システ
ム・情報機器のデータ保護を行っている
こと
133

３３

ラベル

22 マ
ルウェ
ア対策

目的

マルウェア感染による情報漏洩、改ざん、システム
停止を防ぐ

要求事項

セキュリティ
上の異常を素早く検知する
マルウェア対策を行ってい
ること

№

レベル

達成条件

達成基準

134

Lv2

Web サイトや Web アプリケーションの利用における禁止事項および制限事項を明確にし、周知している

135

Lv2

関係会社やパートナー企業とファイル共有する場合の利用ルールを定め、周知している（クラウドサービス利用も含む）

136

Lv1

パソコン、サーバーには、マルウェア感
染を検知・通報するソフトウエア(ウイルス対策ソフト)を導入している

137

Lv1

ウイルス対策ソフトのパターンファイル
は常に最新化している

138

Lv3

139

Lv2

140

Lv2

エンドポイントでの詳細な履歴取得およびマルウェア感染後の遠隔対応が可能な行動追跡システムを導入している

メールによるマルウェア感染を防止するため、メールゲートウェイでのマルウェ
アチェックを実施している
メールの添付ファイルによるマルウェア
侵入を防止するため、システムで拡張子制限を実施している

３４【規則】
・下記を明文化し周知すること-許可なく会社情報を SNS へ掲載しないこと-許可なく業務データを Web サービスにアップロードしないこと【周知対象】
・役員、従業員、派遣社員、受入出向者【規則】
・下記を明文化し周知すること-社外とファイル共有する場合は、信頼できる相手とのみ共有すること-送信履歴が残らない方法で、社外へファイル転送することを禁止すること※ファイル共有：特定の場所にファイルをアップロードし、特定の相手にファイルのアクセスを許可すること※ファイル転送：特定の相手にファイルを直接送信すること【周知対象】
・役員、従業員、派遣社員、受入出向者【規則】
・パソコン、サーバーごとにウイルス対策ソフトを導入すること・機器に応じた適切なスキャン範囲と頻度を規定し、スキャンを実行すること【対象】
・ネットワークに接続している全てのパソコン、サーバー【対象】
・№136 の対象のとおり【パターンファイルの更新頻度】
・起動し利用する日ごとに１回 以上【規則】
・エンドポイント対策システムを導入すること【対象】
・会社支給のクライアント PC
・サーバー【システム要件】
・端末の操作履歴、プログラムの実行履歴、レジストリの変更履歴を取得できること
・遠隔から端末の調査ができること
・遠隔からネットワークからの切断ができること
・感染後の復旧対応ができること【規則】
・メールゲートウェイにマルウェアチェック機能を導入すること【規則】
・メールゲートウェイに特定の拡張子を制限する機能を導入すること

ラベル

目的

要求事項

ネットワークへの不正アクセスを常時監視する体制を構築すること

23 不
正アク
セスの
検知

不正アクセ
ス・不正侵入による情報漏洩、改ざん、
システム停止
を防ぐ

№

レベル

達成条件

達成基準

141

Lv2

不正な Web サイト閲覧によるマルウェア
感染を防止するため、Web ゲートウェイ
でのマルウェアチェックを実施している【規則】
・Web ゲートウェイにマルウェアチェック機能を導入すること

142

Lv2

通信内容を常時監視し、不正アクセスや不正侵入をリアルタイムで検知/遮断および通知する仕組みを導入している

143

Lv2

インシデント発生時の調査のために必要なログを取得している

セキュリティ
事件・事故が発生した場合に、侵入経路や漏えい経路の調査が行えるよう、ログが取得されて
いること

144

Lv3

重要なシステムについて、アプリケーシ
ョン操作ログを取得している

３５

【規則】
・不正アクセスをリアルタイム検知・遮断する仕組みを導入すること【対象】
・インターネットから社内への通信
・社内から不正なサーバーへの通信【導入場所】
・社内外ネットワークの境界【規則】
・下記ログを取得、保管している[取得するログ(保管期間)]-メールの送受信ログ(6 カ月)
取得項目：日時、宛先メールアドレス、送信元メールアドレス-ファイアウォールのログ(6 カ月)
取得項目；日時、送信元 IP アドレス、送信先 IP アドレス
-プロキシサーバーのログ(6 カ月)
取得項目：日時、リクエスト元 IP アドレス、URL-リモートアクセスのログ(6 カ月)
取得項目：日時、接続元 IP アドレス、ユーザーID-認証サーバーのログ(6 カ月)
取得項目：日時、接続元 IP アドレス、ユーザーID、成功/失敗-エンドポイント（パソコン、サーバー）の操作ログ（6 ヶ月）
取得項目：日時、ホスト名、ユーザーID、IP アドレス、操作内容※クラウドサービスの利用も対象に含む※クラウドサービスを利用しており保管期間の規則を満たせない場合はリスクに応じて期間を各社で判断【規則】
・ユーザー、管理者の操作ログを取得すること[対象]-重要なシステム ※対象はリスクに応じて各社判断[取得するログの項目]-ユーザーID、タイムスタンプ、操作内容(ログイン、ログアウト、
追加・削除などの操作)[保管期間]-6 カ月※クラウドサービスを利用しており保管期間の基準を満たせない場合はリスクに応じて期間を各社で判断

ラベル

目的

要求事項

標的型攻撃など、サイバー
攻撃による被害を抑制させるため、サイバー攻撃を速やかに検知、
遮断する対策を行っている
こと

№

レベル

達成条件

達成基準

145

Lv2

ログを分析し、サイバー攻撃を検知する
仕組みを導入している【規則】
・ログを常時分析し、異常発見時に通知する仕組みを導入すること[分析対象]-プロキシサーバー、IPS/IDS、ファイアウォール、エンドポイントのいずれか、
または組み合わせ
[監視時間]-24 時間/365 日[機能要件]-インシデントアラートが即時発報されること-インシデントの速報レポートが作成され、通知されること

146

Lv2

社内に侵入したマルウェアと不正なサーバーとの通信を遮断する対策を実施している【規則】
・社内から不正なサーバーへの通信を遮断する仕組みを導入すること

147

Lv3

インターネットに公開している Web サイトについて、サイトの改ざんを検知する
仕組みを導入し、定期的に確認している【規則】
・Web サイトの改ざんを検知する仕組みを導入すること【対象】
・重要な社外公開 Web サイト

148

Lv1

適切なタイミングでバックアップを取得
している

【規則】
・取得対象、取得頻度を定めてバックアップを取得すること

149

Lv1

復元(リストア)手順を整備している【規則】
・バックアップ対象ごとにリストア手順書を整備すること【規則】
・システム利用不可能時を想定した、実施可能な代替手法を整備すること

24 バ
ックア
ップ・
復元
(リス
トア)

システム停
止、データ消失による業務
影響を極小化するとともに、早期の業
務復旧を実現する

サイバー攻撃に対して重要情報の被害や
システム稼働
の影響を最小限に留める対策を行ってい
ること

150

Lv1

システムが停止した際も業務が遂行できる代替手段を用意している[対象]-高い可用性が求められる(稼働停止許容時間が短い)システム※対象はリスクに応じて各社判断[対策例]-アナログツールの利用(FAX など)-クラウドサービスなどの外部情報システムの利用【規則】
・定めた復元手順により、復元ができることを確認すること

151

Lv2

重要なデータやシステムについてバックアップの復元(リストア)テストを実施し
ている

【対象】
・重要なデータ・システム【頻度】
・システム構築時、変更時、定期的（リスク応じて判断）

３６

ラベル

目的

要求事項

セキュリティ
インシデントを想定し事業継続の要件に沿う復旧に必要なデータを準備できてい
ること。

№

レベル

達成条件

達成基準

152

Lv2

サーバー等の設置エリアには、設備に災害対策、環境対策を実施している【規則】
・火災、水害、停電に対する対策を行うこと
・温湿度管理を行うこと

153

Lv2

事業継続上重要なシステムについては、
要度に応じて決められた各システムの復
旧ポイント、復旧時間を満足するデータと手順が整備されている

３７

【規則】
・求められる復旧ポイントへ復帰可能なバックアップ及びトランザクション
データログを保管すること。
・求められる復旧時間でリストアできる手順書を整備すること【対象」
・事業継続上重要なシステム

6. 用語集
用語

№

説明

1

BYOD

従業員が個人保有の携帯用機器を使って、業務に使用すること。
（BYOD :Bring your own device）

2

CASE

自動車業界のトレンドを示す造語。クルマとデータセンターをつないで情報を分析しサービス提供を行うコネクティッド、自動的に目的地まで導く自動化、ライドシェアサービスを意味するシェアリング、100％電気を動力源とする電気自動車の普及を目指す
電動化の４つを意味する。

3

CIO

4

CISO

5

CS/SU 規制

6

CSIRT

7

DDoS 攻撃

8

DMZ

9

HTTPS

10

IPA

企業や組織内において IT 戦略を立案したり実行したりするために設置される責任者。
Chief Information Officer の略称。
企業や組織内において実効力のあるセキュリティ施策を行うために設置される責任者。サイバー攻撃やセキュリティ事件・事故の際の判断や対応を行う。
Chief Information Security Officer の略称。
UN WP29 において策定された Cyber Security（CS）ならびにSoftware Updates（SU）に関する規制。
企業や組織等におけるコンピュータセキュリティに関する事件・事故の調査対応にあたる専門チームのこと。
Computer Security Incident Response Team の略称。
攻撃対象となる Web サーバーなどに対し、複数のコンピューター
から大量のパケットを送りつけることで正常なサービス提供を妨げる攻撃のこと。
Distributed Denial of Service の略称。
インターネットなどの外部ネットワークと社内ネットワークの中間につくられるネットワーク上のセグメントを指す。
DeMilitarized Zone の略称。
ホームページがあるサーバーとブラウザがある端末（PC やスマホ等）間の通信規格。従来の HTTP を暗号化してセキュアにしたもの。
ホームページアドレスの先頭に記載される。
Hyper Text Transfer Protocol Secure の略称。
コンピュータウイルスやセキュリティに関係する調査・情報提供を行っている独立行政法人。情報処理推進機構。

11

IPS/IDS

ネットワークへの不正なアクセスを検知・防御するシステム。
IPS は Intrusion Prevention System の略称で、不正侵入防止シ
ステム。IDS は Intrusion Detection System の略称で、不正侵入検知システム。
IP アドレス・ポート番号などで防御を行うファイアウォールと異なり、IPS/IDS はパケットの中身までチェックするため、ファイアウォールでは防げない DoS 攻撃・Syn フラッド攻撃などの防御に有効である。
３８

用語

№

説明

12

JVN

日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供する組織。
Japan Vulnerability Notes の略称。

13

MAC アドレス

製造段階に付与するネットワーク機器や PC・サーバーのネットワ
ークアダプタの固有識別番号。

14

OEM

自動車メーカー。
Original Equipment Manufacturer の略称。

15

OS

Operating System の略。コンピューターの土台を支えている基本
ソフトウェアのこと。Windows、Mac、Linux などがある。

16

SOC

ネットワークやデバイスを監視し、サイバー攻撃の検出や分析、対応策のアドバイスを行う組織。
Security Operation Center の略称。

17

TLS

インターネットなどの TCP/IP ネットワークでデータを暗号化して送受信するプロトコル（通信手順）の一つ。SSL の後継規格。
Transport Layer Security の略称。

18

UN WP29

自動車基準調和世界フォーラムの 29 番目の作業部会。世界で唯一の自動車基準の調和組織として、基準案の検討などの活動を行っ
ている。

19

VPN

公衆インターネット上に仮想の専用回線を構築し、イントラネッ
ト内と同様なセキュア通信を実現する技術。
Virtual Private Network の略称。

20

Windows Update

Windows の脆弱性を修正するためにプログラムを配信する機能。

21

アクセス権

システムの利用者および利用者グループに対して設定される、そのシステムの利用権限のこと。アクセス制御に利用され、設定に応じて利用を許可したり拒否したりする。

22

亜種

既に出まわった不正プログラムやワームなどの一部を改変して作られたマルウェアのこと。

23

アプライアンス

特定の機能や用途で使われる専用機器。

24

暗号化方式

第三者が情報を見てもわからないように変換する手法を暗号化といい、暗号化を行うために様々な方式がある。無線 LAN の例では、
WPA、WPA2、WPA3 などがあり、安全な暗号化方式を選んで利用する必要がある。

３９

用語

№

説明

25

外部情報サービス

26

可用性

自組織内で情報機器を保有しない形態の情報サービス。
インターネット上で提供されたり、関連のある他組織で提供されたりする。
必要な人が必要な時に、情報を使える状態であること。

27

完全性

情報が全て揃っていて欠損や不整合がないこと。

28

機密区分

機密情報を分類する区分。例として「極秘」「社外秘」など。

29

機密情報

企業が保有している情報のうち外部への開示が予定されない情報。開示されれば企業に損失が生じる恐れがある。

30

機密性

許可されていない情報を、使用させない、また開示しないこと。

31

危殆化

何らかの状況変化で危険な状態になる事。用例：コンピューター演
算能力の飛躍的向上により解読技術が進化し、暗号が危殆化する。

32

クラウドサービス

自組織内で情報機器を保有しない形態の情報サービス。
主にインターネット上で提供される。（外部情報サービスの一部）

33

サイバー・フィジカ 経済産業省が 2019 年 4 月に策定した、産業に求められるセキュリ
ル・セキュリティ対策 ティ対策の全体像を整理したフレームワーク。
フレームワーク

34

サイバーインテリジ 高度なサイバー攻撃に対応するため、「攻撃者の意図・能力を分析・
ェンス把握する」「自組織に起こり得る脅威を予測する」「予測の蓋然性を評価し、対策を講じる」といった取り組み。

35

サイバーセキュリテ サイバー攻撃により、電子データの漏えい・改ざん等や、期待されィリスクていた IT システムや制御システム等の機能が果たされないといった不具合が生じるリスク。

36

サプライチェーン

一般的には、製品の原材料・部品の調達から、製造、在庫管理、配送、販売、消費までの一連の流れ。供給連鎖。

37

情報機器

情報を処理・伝達・加工するための機器。パソコン・サーバー・
スマートフォンなどとその周辺機器。

38

情報資産

企業が保有している守るべき重要な情報と重要な情報を取り扱う機器。
例）情報資産（情報）：機密情報や個人情報等
情報資産（機器）：サーバー、PC、ネットワーク機器、OS、
ソフトウェア等

39

情報セキュリティ事 情報資産に内在した脆弱性が情報資産を取り巻く様々な脅威によ
件・事故
り突かれ、顕在化したもの。
セキュリティインシデントとも呼ばれる。

40

初動

情報セキュリティ事件・事故等が発生した際に、最初に起こす行動
や動作。

４０

用語

№

説明

41

スナップショット

ある時点でのソースコードや、ファイル、ディレクトリ、データベ
ースファイルなどの状態を抜き出したもののこと。

42

スパイウェアユーザーに関する情報をユーザーが意図しない形で収集し、それを自動的に送信するマルウェアである。

43

制御システム

製造、製品の出荷、生産、および販売などの産業プロセスを制御するのに使用される情報システム。
制御システムには、地理的に分散している資産を管理するのに使用される監視制御データ収集システム（SCADA）、分散制御システム（DCS）、および前二者より小規模ながらローカルなプロセスをプログラマブル論理制御装置（PLC）の利用を通じて制御するシス
テムなどがある。

44

脆弱性プログラムの不具合や設計上のミスが原因となって発生した情報
セキュリティ上の欠陥のこと。

45

セキュリティパッチ

ソフトウェアで発見された問題点や脆弱性に対し、これらの不具合を解決するためのプログラム。

46

セキュリティポリシ トップマネジメントによって正式に表明された組織のセキュリテー
ィに係る意図や方向付け及び、そのような意図や方向付けに基づいてセキュリティ対策を行うために組織が定めた規定。

47

ソフトウェア48

ディープラーニング

49

50

51

情報システムを動かすために利用されるプログラムのこと。
特定の作業を行うために使用されるアプリケーションを指すことが多い。

人工知能技術の中の機械学習技術の一つ。人間の手を使わず、コン
ピューターが自動的に大量のデータの中から希望する特徴を発見する技術を指す。
デーモン
UNIX, Linux, Mac OS X など Unix 系のオペレーティングシステム
において動作するプログラムで、主にバックグラウンドで動作するプログラムを指す。
トランザクションデ データベース管理システムなどが複数の関連する処理の整合性をータログ保つため、データベースに加えられた変更を順番に記録したもの
で、ロールバック処理や障害発生時にバックアップからのリストアを行う際に利用される
認証
相手が名乗った通りの本人であると何らかの手段により確かめる
こと。

52

ハッシュ値

53

パケット
フィルタリング

元になるデータから一定の計算手順により求められた固定長の値。元のデータの長さによらず一定の長さで、同じデータからは必ず同じ値が得られる特徴を持つ。その特徴から、元のデータの特徴を表す短い符号として利用することができる。
通信が正しく行われるように特定のルールに基づいて検査、あるいは通信セッションの前後関係の整合性を検査し、不正だと判断した場合パケットを破棄するフィルタリング手法である。
４１

用語

№

説明

54

標的型メール訓練

特定企業を標的とした攻撃メールを疑似的に送信し、攻撃を疑似体験することで、 攻撃を見抜く力を高め、組織のセキュリティ意
識向上を狙った訓練。
コンピューター等の電子機器に組み込まれた、ハードウェアを制御するためのソフトウェア。

55

ファームウェア

56

復元(リストア)

障害発生時に、取得しておいたバックアップデータから、正常稼働状態にデータを戻すこと。

57

ふるまい検知従来のパターンファイルを利用した検知ではなく、プログラムの挙動や特徴からマルウェアであることを検知する手法のこと。

58

ブラックリスト

危険な対象を指定・定義し、その対象からの攻撃を未然に防ぐ方法
のこと。

59

マルウェア

60

無線 LAN

不正かつ有害に動作させる意図で作成された悪意のあるソフトウ
ェアや悪質なコードの総称。コンピュータウイルスやワーム、スパ
イウェアなどが含まれる。
物理ケーブルを使わない、無線技術を利用したネットワーク。
Wi-Fi とも呼ばれる。

61

ランサムウエア「ランサム（Ransom＝身代金）」と「ウェア（Software）」を繋げた造語で、ソフトウェアを悪用し、データの身代金を要求するマルウ
ェアのこと。

４２

あとがき
昨今のサイバー攻撃は、自社内環境だけでなくサプライチェーンを狙った攻撃が増加しており、自動車産業を取り巻くサイバーセキュリティリスクは深刻化しています。
このような環境の中で安全・安心で豊かなモビリティ社会と自動車産業の持続可能な発展を実現するためには、業界を取り巻くサイバーセキュリティリスクを正確に理解しながら業界全体で増大するサイバーセ
キュリティリスクに適切かつ継続的に対処を行うことが必要不可欠です。
そのため、自動車メーカーやサプライチェーンを構成する各社に求められる自動車産業固有のサイバー
セキュリティリスクを考慮した対策フレームワークや業界共通の自己評価基準を明示することで、自動車産業全体のサイバーセキュリティ対策のレベルアップや対策レベルの効率的な点検を推進することを目的
として、日本自動車工業会（ＪＡＭＡ）、日本自動車部品工業会（ＪＡＰＩＡ）が共同でセキュリティガイ
ドライン(対策項目、基準)を策定しました。
本ガイドラインが、自動車産業全体のサイバーセキュリティ対策のレベルアップに役立つことを期待しています。

４３

執筆委員（会社名 五十音順、敬称略）

一般社団法人 日本自動車工業会
総合政策委員会 ICT 部会 サイバーセキュリティ分科会 SC ガイドライン検討タスク
役割

会社名

氏名

リーダー

トヨタ自動車株式会社

坂 季也

副リーダー

日産自動車株式会社

鳥居 俊太郎

副リーダー

本田技研工業株式会社

久保 充

委員

スズキ株式会社

鈴木 秀明

委員株式会社ＳＵＢＡＲＵ

伊東 秀将

委員

ダイハツ工業株式会社

阪田 信行

委員

株式会社トヨタシステムズ

谷口 昇

委員

本田技研工業株式会社

本田 彬俊

委員

マツダ株式会社

菊地 一弘

委員

三菱自動車工業株式会社

滝

賢治

一般社団法人 日本自動車部品工業会
IT 対応委員会 サイバーセキュリティ部会
役割

会社名

氏名

部会長

株式会社デンソー

後藤 俊二郎副部会長

日立Ａｓｔｅｍｏ株式会社

中尾 考行

副部会長

マレリ株式会社

鈴木 健一

委員

愛三工業株式会社

新名 健治

委員

株式会社アイシン

大西 裕之

委員

株式会社アイシン

六城 雅隆

委員

アルプスアルパイン株式会社

安東 宏行

委員

ＮＯＫ株式会社

本沢 翼

委員

ＮＯＫ株式会社

長澤 敏之

委員

ＫＹＢ株式会社

須郷 英知

委員

株式会社小糸製作所

野寄 靖史

委員

株式会社ジェイテクト

彦坂 尚

委員

スタンレー電気株式会社

田中 知明

委員

株式会社デンソー

原

浩司

委員

株式会社東海理化

増田

直樹

委員

豊田合成株式会社

松井 幸吉

委員

トヨタ紡織株式会社

大迫 光弘

委員

株式会社トランストロン

庄 裕司
４４

役割

会社名

氏名

委員

日本特殊陶業株式会社

加藤 宏明

委員

日本特殊陶業株式会社

山下 光博

委員

日本発条株式会社

鈴木 孝司

委員

日立Ａｓｔｅｍｏ株式会社

遠嶋 成樹

委員

株式会社ミツバ入江 祐介

委員

矢崎総業株式会社

植松 克則

連絡先:一般社団法人 日本自動車工業会 安全・環境領域〒105-0012 東京都港区芝大門一丁目 1 番 30 号 日本自動車会館
TEL:03-5405-6125

FAX:03-5405-6136

Copyright:一般社団法人 日本自動車工業会

４５