JAMA・JAPIA
自工会/部工会・サイバーセキュリティガイドライン V2.1
解説書

第２.１版

2023 年 9 月 1 日

Japan Automobile Manufacturers Association, Inc.

一般社団法人 日本自動車工業会
総合政策委員会
ICT 部会サイバーセキュリティ分科会

Japan Auto Parts Industries Association

一般社団法人 日本自動車部品工業会
IT 対応委員会
サイバーセキュリティ部会

改訂履歴
版数

発行日

改訂内容

初版

2022 年 12 月 12 日 初版発行

第 2.1 版

2023 年 9 月 1 日

ガイドライン V2.1 発行に伴う文面/文言修正
版数をガイドラインに揃えて 2.1 版とした

１

目次
1.
2.
3.
4.

本解説書の位置づけ ........................................................................................ 3
解説対象 .......................................................................................................... 4
解説書の見方................................................................................................... 7
解説書 ............................................................................................................. 8２

1. 本解説書の位置づけ
本解説書は、自工会/部工会・サイバーセキュリティガイドライン V2.0 の用語や要求事項、達成基準などに対し、解釈に迷う部分を抽出し解説を行ったものである。出
来る限り全ての企業の観点で「解釈に迷う部分」を拾い上げ解説を加えているが、全ての項目に対してあらゆる視点での解説を行っている訳では無い事に留意頂きたい。
なお、本解説書の想定読者はセキュリティ部門に所属する方、及び関係部門の方を対象とする。

3

2. 解説対象
本解説書は、自工会/部工会・サイバーセキュリティガイドライン V2.0 における解釈に迷う項目を抽出し、解説を行う。
№

解説ポイント頁

グループ企業の場合のチェックシートの評価

p.8

1

情報セキュリティ対応方針の策定項目・適用範囲

p.9

7

回収する情報機器の対象範囲

p.10

情報セキュリティ関連法の教育内容・周知頻度p.11

対象とする情報セキュリティ関連法

p.11

個人情報の対象範囲・教育内容

p.13

情報セキュリティ責任者の責任と役割の明確化の考え方

p.15

平時の連絡先リスト作成における留意点

p.16

情報セキュリティの責任者への役員就任の必要性

p.17

サイバー攻撃の予兆の考え方

p.18

サイバー攻撃や予兆の監視・分析体制の考え方

p.18

相関分析の考え方

p.19

有事の際の情報セキュリティ責任者の責任と役割を規定する文書

p.20

有事の際の連絡先リスト作成における留意点

p.20

21

事業継続計画と緊急時対応計画の違いと役割

p.22

23

情報セキュリティ事故の対象範囲を規定する文書

p.24

24

情報セキュリティ事故の対応手順

p.25

26

マルウェア感染時の対応手順

p.27

28

電子メールからのマルウェア感染に係る教育内容

p.28

29

Web 閲覧によるマルウェア感染に係る教育内容

p.29

31

標的型メール訓練の内容・実施基準

p.30

39

組織を跨ぐセキュリティ事件の考え方

p.31

サプライヤーと共有するモノ・データの流れの考え方

p.32

重要なサプライヤーの定義と対象範囲

p.33

パートナー企業の考え方

p.34

異動時のアクセス権付与の考え方

p.35

重要情報の考え方

p.35

共通

9
10
13
14

17

18

41
42
50

次頁へ続く

4

№

解説ポイント頁

61

IT 資産管理台帳の棚卸実施における留意点

p.37

63

IT 資産管理における正規品管理手段

p.38

64

スマートデバイスの定義

p.39

65

データ消去の方法

p.40

66

リスクアセスメントの手順

p.41

取引先の対象範囲

p.42

取引先と交換する情報・手段の一覧における記載項目

p.42

IT 機器調達時のセキュリティ要件

p.43

IT 機器の対象範囲

p.44

IT 機器調達時のセキュリティ要求事項の評価手順

p.44

通信の監視体制の構築方法

p.45

ネットワーク図とデータフロー図の必要性

p.45

外部システム一覧に記載すべき項目

p.47

サーバー設置エリアの不正侵入監視対策選定時の留意点

p.49

サーバー設置エリアの対象範囲

p.50

自社の重要エリアの不正侵入監視対策選定時の留意点

p.51

自社の重要エリアの考え方

p.52

重要データの考え方

p.53

マルウェア対策としてのバックアップの重要性

p.53

101

リスクアセスメントの手順

p.54

105

リモートアクセスにおける不要 ID 整理の必要性

p.55

106

ネットワーク分離の考え方

p.56

108

Web アクセス制限の手段

p.57

109

クラウド利用時の WAF 導入の必要性

p.58

110

クラウド利用時の DDoS 対策の必要性

p.59

111

クラウド利用時の通信暗号化の必要性

p.60

112

無線 LAN 環境構築の外部委託先選定における留意点

p.61

120

多要素認証を導入すべき範囲、強度

p.62

121

セッションタイムアウトの考え方と実装すべき対象範囲

p.64

123

サポート切れ OS、ソフトウェア利用時の注意点

p.65

126

実施すべきプラットフォーム脆弱性診断の内容

p.67

70
72
73

74
77
87

90

100

次頁へ続く

5

№

解説ポイント頁

128

実施すべきアプリケーション脆弱性診断の内容

p.68

131

メール送信による情報漏えい対策選定の留意点

p.69

132

メール誤送信対策の対象範囲、対策選定の留意点

p.70

136

導入すべきウイルス対策ソフトの種類

p.72

137

ウイルス対策ソフトの対象範囲

p.73

138

エンドポイント対策として端末に導入すべきツール

p.74

Web ゲートウェイの考え方

p.75

マルウェアチェック機能の導入時の留意点

p.75

不正アクセス検知・遮断のための仕組みの考え方

p.77

社内外ネットワークの境界の考え方と重要性

p.77

145

サイバー攻撃検知のためのログ分析の仕組みの導入手段

p.79

147

Web サイト改ざん検知導入時の留意点

p.80

149

クラウド利用時の復元手順整備の必要性

p.81

151

クラウド利用時の復元テスト実施の必要性

p.82

クラウド利用時の災害・環境対策の必要性

p.83

サーバー設置エリアの対象範囲

p.83

141

142

152

6

3. 解説書の見方
本解説書の見方を以下に示す。

(A)

(B)

＜図：解説書のサンプル＞
解説書は、次のように構成されている。
A) 解説対象のガイドライン項目
ガイドライン原文の内容（ラベル、目的、要求事項、No、レベル、達成条件、
達成基準）を記載している。
なお、後述の解説にて対象となるガイドラインの該当箇所はマーカーで明示
している。
B) 解説
ガイドラインの内容で解釈に迷うと考えられる箇所に対し、解説を記載する。
その具体的な箇所は「■」と「“”」の記号を使い、次のように示す。
例：ガイドラインの達成条件における情報セキュリティ対応方針(ポリシー)
に対し、解説を行う
【解説】
◼

達成条件
① "情報セキュリティ対応方針(ポリシー)"で・・・

7

4. 解説書◼

共通事項① グループ企業の場合、チェックシートは個社ごとに回答するのか、グループでまとめて１つ回答するのか？
グループ企業様は、連結としての回答ではなく、単体（各社）毎に、ご回答をお願いします。

8

ラベル

目的

要求事項

№

レベル

1 方針

会社として、
セキュリティ
に対する基本的な考え方や方針を示し、社内の情報セキュリティ意識を向上させる

自社の情報セキュリティ対応方針を策定し自組織内に周知している
こと

1

Lv1

達成条件

達成基準

自社の情報セキュリティ対応方針(ポリシー)を策定している

・自社の情報セキュリティ対応方針を策定し、文書化すること【解説】◼ 達成条件① "情報セキュリティ対応方針(ポリシー)"で策定すべき事項が満たされたサンプルはあるか？
具体的なサンプルとしては、JNSA（日本ネットワークセキュリティ協会）が公開している「情報セキュリティポリシーサンプル 1.0 版」(JNSA, 2016年)(※1)がある。2002 年に作成されたサンプルを 2016 年 3 月 29 日に改定しており、スマートデバイスやクラウド、SNS といった新しい技術やサービスの登場にも対応している。2022 年現在も、企業規模を問わず、多くの企業が参考としているものであり、策定すべき事項の解説が参考となる。
また、中小企業向けには「情報セキュリティ対応方針(サンプル)」(IPA, 2019 年)(※2)が参考となる。
これらを見れば、企業として情報セキュリティを確保するための基本方針やそのための体制、対策基準をどのように規定すればよいか把握することができる。ただし、これらはあくまで参考情報であり、自社の組織や環境に応じて置き換えた上で策定することが重要である。
参考(※1)：https://www.jnsa.org/result/2016/policy/
参考(※2)：https://www.ipa.go.jp/files/000072146.docx② "自社"には海外拠点も含まれるか？
共通事項の解説①に記載の通り、個社単位となるため含まない。
9

ラベル

目的

機密情報を扱うルールを定2 機密
め、情報を社内へ周知す扱うル
ることによール
り、機密漏えいを防止する

要求事項

機密情報のセキュリティに関する社内ルールを規定し
ていること

№

7

レベル

Lv2

達成条件

達成基準

退職や期間満了時には必要な機密情報、情報機器などを回収している【基準】
・回収物一覧のチェックシートまたは帳票を作成すること・回収漏れが起こらない手順を整備、運用すること・手順に従い回収しているかを確認し、必要に応じて手順の是正を行うこと[回収物]-情報(印刷物、記憶媒体)-情報機器(PC、スマートデバイス)-アクセス権（ID、鍵)※上記の他に必要な回収物を各社で判断すること[回収状況の確認、手順の是正頻度]-1 回以上/年【解説】◼ 達成基準① 従業員が許可を得て自身の端末を業務利用している場合、その端末も回収すべき”情報機器”に含むか？
含まない。ただし、本項目の目的である「機密漏えいを防止」の観点からみると、情報機器回収の代替策を実施することが望ましい。(以下例示)

端末に業務データを保存できない仕組みとする(シンクライアントなど)

端末利用終了時に業務データを削除する運用ルールを定め、事前に従業員との間で誓約書を作成する
なお、こうした業務利用している従業員の個人端末のことを BYOD(Bring Your Own Device)端末といい、その運用により業務の効率化などメリットもあるが、適切に運用できないと情報漏えいなどのセキュリティリスク増加のデメリットも存在する。そのため、許可・不許可も含めて運用ルールを策定する必要があり、そちらについては№8 が該当項目となる。

10

ラベル

3 法令
順守

目的

要求事項

会社として、
情報セキュリティに関する
法令を順守する

情報セキュリティに関する
法令を考慮し、社内ルー
ルを策定すること(法令例：個
人情報保護法、不正競争
防止法)

№

レベル

達成条件

達成基準

【規則】
・情報セキュリティに関連する法令を守るための社内ルールを策定すること・策定した社内ルールを教育・周知すること

9

Lv1

情報セキュリティに関する法令を考慮し、ルールを策定、教育・周知している【対象】
・役員、従業員、社外要員（派遣社員等）
【頻度】
（教育）
・新規受け入れ時、かつ、１回／年（周知）
・定常的に、かつ、ルールの改正時に周知すること【解説】◼ 達成条件① ルール策定・教育実施・周知の 3 つの観点があるが、情報セキュリティに関する法令の教育にはどのような内容を盛り込むべきか？
法令そのものの詳細や解釈を教育するのではなく、法令を基に策定した社内ルールに対しての教育を行うことが重要である。社内ルールの遵守、理解度向上が目的となるため、遵守すべき事項、遵守できない場合の組織としてのリスクの説明が盛り込まれていればよい。
② 教育効果の確認まで実施するべきか？
当要求事項においては、教育効果の確認までは含まない。ただし、投資対効果の明確化や今後の改善のためには実施する方が望ましい。
③ "情報セキュリティに関する法令"とは具体的に何を指すか？
事業内容によって遵守すべき法令は異なるため、関連法令の情報収集を行い社内ルール化していればよい。
参考として、代表的な国内の法令としては次のものがある。(以下例示)
・ 不正競争防⽌法・ 電⼦署名認証法
・ e-⽂書法
11

・・

個⼈情報保護法
不正アクセス禁⽌法
なお、上記法律に関する事項は法務担当に確認することが望ましい。そういった部署がない場合は外部の専門家に相談し、関係する情報を明確にする必要がある。

◼

達成基準④ "定常的"な周知の具体的な頻度や方法は何か？
例えば、1 回／年 の頻度で、メールやチャット・資料配布という方法がある。従業員が、法令違反しないための周知方法であれば、どのような方法
でも良い。

12

ラベル

3 法令
順守

目的

会社として、
情報セキュリティに関する
法令を順守する

要求事項

情報セキュリティに関する
法令を考慮し、社内ルー
ルを策定すること(法令例：個
人情報保護法、不正競争
防止法)

№

10

達成条件

レベル

Lv2

達成基準

個人情報をお持ちの会社については、個人情報に特化した社内ルールの規定があること【規則】
・お客様個人情報の取り扱いにおける社内ルールを策定すること[明確にする内容]-個人情報の管理体制を確立-取得時に利用目的を通知、明示-本人の同意の範囲内で利用-本人の同意なしに第三者提供しないこと-本人による開示・訂正・利用停止・消去などの要望に対応すること-個人情報の取扱いルールを定めること-個人情報保護法、GDPR、不正競争防止法等の情報セキュリティに関する法令・規則の情報収集を行うこと-情報漏洩した時の対応手順【対象】
・個人情報を取扱う業務担当者

【解説】
◼

達成条件
① “個人情報”として取り扱うべき項目は何か？
情報単体だけでなく、用途及び情報の組み合わせに応じて、項目は多岐に渡る。地域・国それぞれの法令によっても多少の項目の定義には差異があるものの、本国内の個人情報保護法を例にとると、次のような項目が個人情報として扱われる。(以下例示)
・

氏名

・

生年月日、連絡先（住所・居所・電話番号・メールアドレス）と本人の氏名を組み合わせた情報

・

防犯カメラに記録された情報等本人が判別できる映像情報

・

本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報※「個人情報の保護に関する法律についてのガイドライン（通則編）」(個人情報保護委員会, 2022 年)にて他の事例も記載されている。
参考：https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a2-1
13

② “個人情報に特化した社内ルール”を規定するための参考となる例はあるか？
国内の個人情報保護委員会が参考となるガイドラインを提示している（上記①の参考リンクを参照）。当ガイドラインには、各条項に対する解釈や例示等も説明されており、こうした内容を基に、社内ルールとして必要な部分を取捨選択することが望ましい。
◼

達成基準③ “お客様個人情報”とあるが、自社の従業員の個人情報は含まなくてよいのか？
本来、個人情報はお客様のみならず、従業員、取引先、その他関係機関等、様々な主体に関するものも含むべきである。ただし、本項目の達成基準
においては、情報が漏えいした際の被害の影響度を勘案し、対象をお客様にフォーカスしている。

14

ラベル

目的

要求事項

4 体制
(平時)

情報セキュリティに関する体制及び役割を明確化し、保護すべきデータの漏洩・
サイバーセキュリティ対策の徹底、強化を図る

平時の情報セキュリティリスクを管理する体制を整備し、事故発生に至らないよう、情報収集と共有を行う
こと

№

13

達成条件

レベル

Lv1

達成基準

情報セキュリティ責任者を含む、平時の体制と責任と役割を明確化している【規則】
・情報セキュリティを統括する役員（CISO 等)や情報セキュリティ
担当部署の役割・責任を明確化すること・連絡先リストを整備すること

【解説】
◼

達成条件
① “責任と役割を明確化”とはどのような文書へ規定することが望ましいか？
“責任と役割を明確化”のためには、社内の情報セキュリティに関わる文書に明記することが望ましい。ただし、その文書は要件の概要を規定した上位の規程類もあれば、手順を規定したより現場の業務目線での文書もあり、どの文書に記載すべきか判断に迷う点となる。しかし、“責任と役割”は、組織としての説明責任にも関係する重要な決定事項である。そのため、「情報セキュリティ方針」などの方針レベルの上位規程に記載することが一般的であり、関連する JIS 規格「JIS Q 27001」においても、当該文書に責任と役割を記載するよう規定している。
ただし、文書化することが最終的な目的ではなく手段であり、文書化した内容を周知し社内の認識を共通化することが重要である点に留意するこ
と。

◼

達成基準
② “連絡先リスト”を整備する際に必要な観点は何か？

15

連絡先リストを作成する上で重要な観点となるのは、必要な連絡先が網羅されていること、セキュリティ推進活動が実務として機能するか確認することの 2 点である。
＜必要な連絡先の網羅＞
平時の際に必要な連絡先を漏れなく連絡先リストに登録するために、以下のポイントを踏まえて確認するとよい。
・

社内からの情報セキュリティに関するルールなどについての問い合わせを受ける窓口が明確になっていること

・

情報セキュリティ担当部署からの社内向け周知事項、依頼事項を連絡する際のルートが目的・対象範囲別に確立されていること

・

情報セキュリティ責任者や、システム管理者の連絡先を明確化していること

また、メール・チャット・電話といった連絡手段は、連絡先ごとに想定しうる用途に応じて、適したものをそれぞれ確保しておくことが望ましい。
＜機能の確認＞
連絡先リストは作成するだけでなく、実際に機能することを確認し、その状態を保つことが重要である。
そのために、リストにある手段を用いて実際に連絡がとれるか確認を行う、連絡先リストの内容が古くならないよう定期的に最新化を行うといった運用ルールとするのが望ましい。このとき、各連絡先と連絡先リストについての共通認識を持つことで、連絡時の連携をより効率的にすることがで
きる。

16

ラベル

目的

要求事項

№

レベル

4 体制
(平時)

情報セキュリティに関する体制及び役割を明確化し、保護すべきデータの漏洩・
サイバーセキュリティ対策の徹底、強化を図る

平時の情報セキュリティリスクを管理する体制を整備し、事故発生に至らないよう、情報収集と共有を行う
こと

14

Lv2

達成条件

達成基準

情報セキュリティ責任者を含む、平時の体制と責任と役割を明確化している【規則】
・情報セキュリティリスクは、経営に重大な影響を及ぼすことを理解し、組織的に経営判断できる体制を設置していること

【解説】
◼

達成基準
① “組織的に経営判断できる体制”を設置するためには、情報セキュリティの責任者または推進委員会に役員が就任することが必要か？
必ずしも役員である必要はない。本質的に重要なことは、「どのような権限を持っているか」であり、その権限を有する方の就任が重要となる。多くの企業の傾向として、意思決定の権限は役員レベルとなることが多い。ただし、組織・事業の規模によっては部門長クラスの就任となるケースもある。上位の会議体（経営会議、取締役会等）への審議事項として申送りができる場合、特に、後者の傾向が強い（最終的な意思決定が上位の会議体で実施されるため）
。

17

ラベル

目的

要求事項

4 体制
(平時)

情報セキュリティに関する体制及び役割を明確化し、保護すべきデータの漏洩・
サイバーセキュリティ対策の徹底、強化を図る

平時の情報セキュリティリスクを管理する体制を整備し、事故発生に至らないよう、情報収集と共有を行う
こと

№

17

レベル

Lv2

達成条件

達成基準

サイバー攻撃や情報漏えいの新たな手口を知り、対策を社内部署へ共有している
サイバー攻撃や予兆を監視・分析をする体制を整備している【規則】
・サイバー攻撃や脆弱性に関する公開情報、非公開情報を活用する体制を構築している・相関分析によりサイバー攻撃や予兆の検知を可能とし、その分析結果から適切な対応が導きだせる体制を構築している※相関分析：
複合的なログなどで分析して情報セキュリティ事件・事故の予兆や痕跡を見つけ出す手法

【解説】
◼

達成条件
① サイバー攻撃の“予兆”とは何か？
ここでの「予兆」とは、今後サイバー攻撃が発生するかもしれないということを想起させる事象を指す。例えば、SNS での不審な投稿や、普段アクセスがないような宛先からの疎通確認のための通信などが挙げられる。
② “サイバー攻撃や予兆を監視・分析をする体制”とはどのような組織を指すか？
一般的には、サイバー攻撃の検出や特定を行う SOC(Security Operation Center)や、インシデント対応を担う CSIRT(Computer Security Incident
Response Team)と呼ばれるセキュリティ組織を指す。これらの組織は、自社で体制を整備する方法と、外部委託を活用する方法の 2 つがある。留意事項として、後者の場合は、専門的な体制や機能を提供する外部サービスの活用やその組み合わせなどを検討し、自社の状況を考慮して導入可能な体制を整備することが重要となる。
※本項目達成の一助になるサービスとして IPA のサイバーセキュリティお助け隊サービスなどがある。
18

参考：https://www.ipa.go.jp/security/otasuketai-pr/◼

達成基準③ “複合的なログなどで分析”するとは具体的に何を指すか。
様々なネットワーク・セキュリティ機器のログを収集し、アクセス先 IP アドレスなどのキーや時刻情報などに基づいて横断的に分析することを指す。その分析結果により不審な振る舞いをリアルタイムで検知し、通知する製品・サービスとしては、SIEM(System Information and EventManagement)が挙げられる。なお、SIEM の導入手段については№145 の解説に記載しているため参照することができる。

19

ラベル

目的

要求事項

5 体制
(事故
時)

情報セキュリティに関する体制及び役割を明確化し、事件・事故の発生
時に、被害を
限定的なものに抑えて最小化し、できるだけ速やかに元の状態へと復旧する

情報セキュリティ事件・事故発生時の対応体制とその責任者を明確にしているこ
と

№

18

レベル

Lv1

達成条件

達成基準

情報セキュリティ事件・事故発生時の対応
体制と責任と役割を明確化している【規則】
・情報セキュリティを統括する役員（CISO 等)や情報セキュリティ担当
部署の役割・責任が明確化されていること
・情報セキュリティ事件・事故の基準や社内外組織との連絡先、ルートが明確化されていること

【解説】
◼

達成条件
① 情報セキュリティ事件・事故発生時の対応手順を作成していれば、"責任と役割"の明確化ができているといえるか？
対応手順の作成だけでは十分と言えない。対応手順はどのような基準で、誰が、どのように対応するかが明文化されたような、現場の業務目線での文書である。しかし、"責任と役割"は、組織としての説明責任にも関係する重要な決定事項であるため、対応手順より上位の規程類である「情報セキュリティ方針」といった方針レベルの文書で規定することが望ましい。

◼

達成基準② “社内外組織との連絡先、ルート”を明確化するために重要な観点は何か？
有事の際に必要なタイミングで必要なメンバーに連絡が付くことが重要である。そのため、必要な連絡先が網羅されていること、機能するか確認す
ることの 2 つの観点で確認するとよい。
＜必要な連絡先の網羅＞
有事の際に必要な連絡先を漏れなく連絡先として明確にするために、以下の 3 つのポイントを確認するとよい。
20

・

社内外からセキュリティ事故の発生報告を受ける窓口が明確になっていること

・

情報セキュリティ組織内での連絡ルートが確立されていること

・ 情報セキュリティ事故発生時の外部組織の連絡先がリスト化されていること
なお、外部組織の連絡先としては、関連する取引先の連絡先を明確化することはもちろん、協力を仰ぐ外部の専門組織(JPCERRT/CC やセキュリティ
企業など)が特に重要となる。加えて、セキュリティ事件・事故発生時の対応手順が明確化されている組織では、手順に記載のある連絡先が網羅されているかという観点でも確認するとよい。
また、メール・チャット・電話といった連絡手段は、連絡先ごとに想定しうる用途に応じて、適したものをそれぞれ確保しておくことが望ましい。
＜機能の確認＞
連絡先リストは作成するだけでなく、実際に機能することを確認し、その状態を保つことが重要である。
そのために、リストにある手段を用いて実際に連絡がとれるか確認を行う、連絡先リストの内容が古くならないよう定期的に最新化を行うといった運用ルールとするのが望ましい。このとき、各連絡先と連絡先リストについての共通認識を持つことで、連絡時の連携をより効率的にすること
ができる。

21

ラベル

目的

6 事故
時の手
順

情報セキュリティに関する体制及び役割を明確化し、事件・事故の発生
時に、被害を
限定的なものに抑えて最小化し、できるだけ速やかに元の状態へと復旧する

要求事項

自社の事業継続計画又は緊急時対応計画の中に情報セキュリティ事件・事故を位置づけること

№

21

達成条件

レベル

Lv3

達成基準

情報セキュリティ事件・事故を含めた自社の事業継続計画又は緊急時対応計画を作成している【基準】
・セキュリティ事件・事故の対応履歴、リスク評価結果に基づき、対策計画を立案すること・対策計画に沿って対策が実行されているか確認すること[対策計画の内容]-対策内容(何に対し、どのような対策を行うか)-スケジュール(開始、終了時期 および 対策の各プロセスに要する
期間)[対策の進捗状況の確認]-1 回以上／年

【解説】
◼

達成条件
① "事業継続計画"と"緊急時対応計画"とはそれぞれ何が記載されたものを指すか？
事業継続計画とは、経営・ビジネス的な視点で事業を継続する、またはそのための復旧を図るための計画であり、より長期的な目線も含めた計画が記載されているものである。一般的には BCP(Business Continuity Plan)と呼ばれることが多く、緊急事態の際に企業が損害を最小限に抑えつ
つ、中核業務を継続あるいは早期復旧するための計画を指す。
1. 事業継続に影響を与える緊急事態の定義
2. 上記をリスクとして分析するためのアプローチ
3. 実際にリスクが顕在化した場合の体制／判断基準／手続きの概要
4. それら一連の対応を実施するためのスケジュール等
それに対し緊急時対応計画とは、システム／業務上の障害・問題から早期に復旧するための短期的な目線での活動に主眼を置いたものであり、上記の 1～4 が、よりシステム／業務に主眼を置いてまとめられたものである。一般的には EAP(Emergency Action Plan)と呼ばれることが多く、緊急事
態またはシステム中断があった場合、暫定的に IT サービスを復旧させるため、迅速かつ最善の措置がとれるよう関係者の役割を調整するために文22

書化した戦略的な計画である。暫定的措置には、IT システムおよび運用の別のサイトへの再配置、代替機器の利用による IT 機能の復旧、手動による IT 機能の実行などが含まれる。
◼

達成基準② 事業継続計画・緊急時対応計画策定時の"リスク評価"では情報セキュリティが最優先になっている必要があるか？
必ずしも情報セキュリティが最優先になっている必要はない。
自然災害や火災などと同様に情報セキュリティ関連のリスクを取り扱い、事業継続への影響度を評価して優先度付けがされていればよい。

23

ラベル

目的

要求事項

6 事故
時の手
順

情報セキュリティに関する体制及び役割を明確化し、事件・事故の発生
時に、被害を
限定的なものに抑えて最小化し、できるだけ速やかに元の状態へと復旧する

情報セキュリティ事件・事
故発生後に早期に対処する
手順が明確になっているこ
と

№

23

レベル

Lv2

達成条件

達成基準

情報セキュリティ事件・事故として扱う対象範囲を明確にし、周知していること【規則】
・下記対象範囲が明確になっていること[明確にする内容]-事件・事故として扱う事象-事件・事故のレベル【対象】
・役員、従業員、派遣社員、受入出向者への周知

【解説】
◼

達成条件
① ”情報セキュリティ事件・事故として扱う対象範囲”はどのように明確化・周知されていればよいか？
初動対応手順を含むインシデント対応マニュアルのような規定に対象範囲が記載されていればよい。
なお、達成基準として周知を含むため、情報セキュリティ事件・事故の範囲を明確にしたものの資料配布や教育の実施が必要である。

24

ラベル

目的

要求事項

№

レベル

6 事故
時の手
順

情報セキュリティに関する体制及び役割を明確化し、事件・事故の発生
時に、被害を
限定的なものに抑えて最小化し、できるだけ速やかに元の状態へと復旧する

自社の事業継続計画又は緊急時対応計画の中に情報セキュリティ事件・事故を位置づけること

24

Lv1

達成条件

達成基準

情報セキュリティ事件・事故時の対応手順(初動、システム復旧等)を定めている【規則】
・対応手順には組織の必要に応じて下記の手順を含んでいること①発見報告、 ②初動、③調査・対応、④復旧、⑤最終報告

【解説】
◼

達成条件
① “情報セキュリティ事件・事故時の対応手順”にはどのような内容が盛り込まれていればよいか？
情報セキュリティ事件・事故(マルウェア感染などのサイバー攻撃も含む)の発生時にとるべき対応として、次のような内容が必要に応じて盛り込まれていればよい。(以下例示)
・

インシデント報告窓口が設けられて、周知されている・発生したインシデントの内容をどこまで情報共有すべきかの判断基準が決められている・

過去に経験したインシデントを記録し、同じインシデントが発生した際に参照できるようになっている・

誰に、どの範囲で、どういった手段で告知するか判断する手順が含まれている・抑制措置の手段と意思決定者が決められている

・復旧後にモニタリングする手順が含まれている・再発防止策を講じる旨が記載されている

25

※「組織内 CSIRT 構築の参考資料 インシデント対応マニュアルの作成について」(JPCERT CC, 2015 年)が、盛り込むべき内容の参考となる。
参考：https://www.jpcert.or.jp/csirt_material/files/18_incident_response_manual_20151126.pdf② "情報セキュリティ事件・事故時の対応"の具体的な方法を知る参考となる資料はあるか？
情報セキュリティ事件発生時の対応手順ガイドラインである「コンピューターセキュリティインシデント対応ガイド」(IPA,2008 年)が参考となる。
参考：https://www.ipa.go.jp/files/000025341.pdf

26

ラベル

目的

要求事項

6 事故
時の手
順

情報セキュリティに関する体制及び役割を明確化し、事件・事故の発生
時に、被害を
限定的なものに抑えて最小化し、できるだけ速やかに元の状態へと復旧する

情報セキュリティ事件・事
故発生後に早期に対処する
手順が明確になっているこ
と

№

26

レベル

Lv1

達成条件

達成基準

マルウェア感染時の対応手順を定めている【規則】
・マルウェア感染時用の対応手順には組織の必要に応じて下記の手順を含んでいること①発見報告、 ②初動、③調査・対応、④復旧、⑤最終報告【解説】◼ 達成条件① "マルウェア感染時の対応手順"の具体的な方法を知る参考となる資料はあるか？
マルウェアの種類は日々、高度化・複雑化している。そのため、最新の手順を知るためには、各セキュリティベンダーが公開するレポートや記事を検索し、閲覧することが最も効果的である。ただし、マルウェアの定義や種類、オーソドックスな対応事項を知る限りにおいては、「マルウェアによるインシデントの防止と対応のためのガイド」(IPA,2008 年)が参考となる。
参考：https://www.ipa.go.jp/files/000025349.pdf

27

ラベル

目的

7 日常
の教育

マルウェアや機密情報についてリスクや
正しい取り扱いを理解させ、情報セキュリティ事
件・事故を予防する

要求事項

従業員として注意することを教育してい
ること

№

レベル

達成条件

達成基準

【規則】
・電子メールによるマルウェア感染の予防について、教育資料配布・掲示、eラーニング、集合教育等による教育を実施すること
・教育内容を振返り、次回の教育内容を改善すること

28

Lv1

電子メールのマルウェア感染に関する社内への教育を行っている【対象】
・役員、従業員、社外要員（派遣社員等）における メール利用者【頻度】
・新規受け入れ時、かつ、１回／年以上【解説】◼ 達成条件① “教育”には何が盛り込まれていればよいか？
対象者・目的によって盛り込む事項は異なるが、対象者が電子メールを含むシステムの管理者(IT 要員)の場合と、電子メールを利用する一般従業員の場合とに分けて、それぞれ教育を行う必要がある。また、「理解向上」を目的とした教育を行う場合には、昨今の世の中の動向や、会社の規定を中心とした説明が望ましいが、「注意喚起」を目的とした教育を行う場合には、他社事例を織り交ぜた「注意しなくてはいけないこと」「してはいけな
いこと」などを具体的に紹介する事が望ましい。なお、本項目と№29 はどちらもマルウェア感染に関する教育を求める項目であるが、本項目では電子メールからのマルウェア感染を想定しているのに対し、№29 では Web 閲覧による感染を想定しているという経路の違いがあり、それによって必要な予防策や説明すべき内容が異なる。そのため、それぞれの感染経路を想定した教育を実施することが望ましい。
② 教育効果の確認まで実施するべきか？
本項目では、そこまでの実施は求めていない。実施するまでが達成基準であり、参加者それぞれの視点にたっての効果確認までは含まない。

28

ラベル

目的

7 日常
の教育

マルウェアや機密情報についてリスクや
正しい取り扱いを理解させ、情報セキュリティ事
件・事故を予防する

要求事項

従業員として注意することを教育してい
ること

№

29

レベル

Lv1

達成条件

達成基準

インターネットへの接続に関する社内への教育を行っている【規則】
・Web 閲覧によるマルウェア感染の予防について、教育資料配布・掲示、
e ラーニング、集合教育等による教育を実施すること
・教育内容を振返り、次回の教育内容を改善すること【対象】
・役員、従業員、社外要員（派遣社員等）における インターネット利用者【頻度】
・新規受け入れ時、かつ、１回／年以上【解説】◼ 達成条件① “教育”には何が盛り込まれていればよいか？
対象者・目的によって盛り込む事項は異なるが、対象者が電子メールを含むシステムの管理者(IT 要員)の場合と、電子メールを利用する一般従業員の場合とに分けて、それぞれ教育を行う必要がある。また、「理解向上」を目的とした教育を行う場合には、昨今の世の中の動向や、会社の規定を中心とした説明が望ましいが、「注意喚起」を目的とした教育を行う場合には、他社事例を織り交ぜた「注意しなくてはいけないこと」「してはいけな
いこと」などを具体的に紹介する事が望ましい。なお、本項目と№28 はどちらもマルウェア感染に関する教育を求める項目であるが、本項目では Web
閲覧によるマルウェア感染を想定しているのに対し、№28 では電子メールからの感染を想定しているという経路の違いがあり、それによって必要な予防策や説明すべき内容が異なる。そのため、それぞれの感染経路を想定した教育を実施することが望ましい。
② 教育効果の確認まで実施するべきか？
№28 と同様に、本項目ではそこまでの実施は求めていない。実施するまでが達成基準であり、参加者それぞれの視点にたっての効果確認までは含ま
ない。

29

ラベル

目的

7 日常
の教育

マルウェアや機密情報についてリスクや
正しい取り扱いを理解させ、情報セキュリティ事
件・事故を予防する

要求事項

従業員として注意することを教育してい
ること

№

31

達成条件

レベル

Lv2

達成基準

標的型メール訓練を実施している【規則】
・標的型メール訓練を実施すること
・万が一開封した時の対応も訓練内容に含めること
・訓練内容や方法を振返り、次回の訓練を改善すること【対象】
・電子メールの利用者【頻度】
・１回以上／年

【解説】
◼

達成基準
① "標的型メール訓練"として行うべき訓練内容は何か？
実践形式の訓練が求められる。具体的には、自社のビジネスを模倣したダミーのメールを従業員に対して一斉配信し、そのメール内のリンクをクリックしたかどうかを確認する形式が一般的には多く見られる。自組織の業務に関連がある件名や本文だとしても、不審なファイル・リンクが含まれたメールに対しては、不用意に反応しないことを啓発する上でこのような方法が効果的である。
※「メール訓練手引書」(日本 CSIRT, 2022 年)が標的型メール訓練の計画から改善までの手引きとして使用することができる。
参考：https://www.nca.gr.jp/activity/imgs/nca-mail-exercise-guidebook-v1.0.pdf② 全社一斉に訓練を実施した場合、問い合わせにより、IT 部門がひっ迫する可能性があるが、訓練の実施方法に基準はあるか？
公的な基準は無い。組織に応じて、業務に支障がでない方法で実施することが重要となる。なお、一斉かどうかよりも、目的を明確にして(例：習熟レベルの向上、課題の明確化、動機付け、等)、それに合ったやり方を採用しているかどうかが重要である。
30

ラベル

目的

要求事項

7 日常
の教育

情報セキュリティ事件・事故に迅速かつ適切に対応できるように事前に備え、事故発生時の被害拡大の防止・迅速な復旧を図る

自組織内あるいは組織を跨いで影響する
情報セキュリティ事件・事故の発生と影響を抑制する
教育・訓練を行っているこ
と

№

39

レベル

Lv3

達成条件

達成基準

組織を跨いだ情報セキュリティ事件・事故発生時の対応について教育・訓練を実施し
ている

【規則】
・組織を跨いだ情報セキュリティ事件・事故発生時の対応について、教育
資料配布・掲示、e ラーニング、集合教育等による教育や訓練を実施
すること
【対象】
・セキュリティ関連部門【頻度】
・１回／年以上

【解説】
◼

達成条件
① "組織を跨いだセキュリティ事件・事故"とは具体的には何を指すか？
文字通り、複数の組織が関わることが前提となるが、そのパターンもいくつか想定され、次のようなケースが該当する。(以下例示)＜外部組織で発生 ⇒ 自社に波及＞
・ 取引先がサイバー攻撃を受け、マルウェアに感染。それを経由して、自社のネットワークへの不正侵入が発生。
＜自社で発生 ⇒ 外部組織に波及＞
・

自組織のサーバーが不正アクセスを受け、それを踏み台として取引先への攻撃が発生。

なお、本項目における”組織を跨ぐ”とは、上記のような会社間を跨ぐ場合と自社の部門間を跨ぐ場合のどちらも含む。

31

ラベル

目的

要求事項

8 他社
との
情報セ
キュリ
ティ要
件

サプライチェ
ーンにおける
機密情報の漏洩を防止するとともに、事故発生時の対応を迅速に行
えるようにする

サプライチェ
ーン上で発生する情報セキュリティ要件が明確になっ
ていること

№

41

レベル

Lv3

達成条件

達成基準

サプライヤーとモノ・データの流れを共有
できている

【規則】
・重要なサプライヤーを特定できていること
・モノ・データの流れを特定できていること
・取引の概要を図示して、サプライヤーと共有できていること【対象】
・取引のあるサプライヤー

【解説】
◼

達成条件
① "モノ・データの流れ"とは具体的に何を指すか？
ここでのモノとは、製品及びその製造・生産につながる部品・材料等を意味する。データとは、設計図などの製品の製造・生産につながる情報や発注情報、顧客情報、またそれらに関連する電子情報を指す。ここでの流れとは、業務遂行のプロセスの順番を意味するが、重要なことは「サプライチェーン」目線である。つまり、自組織内の業務プロセスがどう進み、その中でモノ・データがどのように関係しているか、ではなく組織間における連携がどのように発生しているかという視点が重要となる。これらを踏まえて上での共有状況を確認することが求められる。
② "モノ・データの流れ"を把握するために、データフロー図を作成する必要はあるか？
達成基準にあるようにモノ・データの流れが特定できていればよいため、データフロー図の作成は必須ではない。
ここでは、次の 3 点が把握できるようになっていればよい。
・⾃組織からの発注先、⾃組織、⾃組織への発注元という取引関係の概要
・自組織の全体における役割がわかる関係するサプライチェーンの概要
・事業への悪影響を及ぼすセキュリティインシデントが発⽣した際の、直接的な取引先及びサプライチェーン全体への影響
32

◼

達成基準
③ "重要なサプライヤー"はどのように判断すればよいか？
サプライヤーの数は多岐に渡るため、全てのサプライヤーを対象とすることは事実上困難である。現実的には、重みづけをした上で、より重要なサプライヤーに対して管理強度を高める必要がある。ここでの「重要」の尺度は個社によって異なるが、各社の経営事情を鑑みて、それぞれの事情に応じた「尺度」を明確にしておくことが求められる。(以下例示)
・ 自社の高機密な技術情報を取り扱うサプライヤーかどうか。
・ そのサプライヤーの業務に支障が出ることで、自社の開発・生産に致命的な遅延をもたらすかどうか。
・ 直近、漏洩事件等を起こしているサプライヤーであり、再発リスクが懸念されるかどうか。
④ 対象となるサプライヤーは重要なサプライヤーのみでよいか？
達成基準の対象にあるように、取引のあるすべてのサプライヤーが対象となる。その上で重要なサプライヤーを特定する必要がある。大事なことは、全体像を把握した上で、その中でより、注力すべき箇所を特定できている状態にすることである。

33

ラベル

目的

8 他社
との
情報セ
キュリ
ティ要
件

サプライチェ
ーンにおける
機密情報の漏洩を防止するとともに、事故発生時の対応を迅速に行
えるようにする

要求事項

サプライチェ
ーン上で発生する情報セキュリティ要件が明確になっ
ていること

№

42

達成条件

レベル

Lv3

達成基準

重要な機密情報を取扱うパートナー企業のセキュリティ対策状況を把握している【規則】
以下の例を参考にパートナー企業の対策状況を把握すること・チェックシートを作成しパートナー企業から回答を受領する・パートナー企業に訪問し点検を実施する【対象会社】
・自社の重要な機密情報を提供・共有する子会社、取引先など
例："極秘"の機密情報を共有する会社【頻度】
・1 回以上/年

【解説】
◼

達成条件
① "パートナー企業"とは具体的に何を指すか？
達成基準にあるように自社の重要な機密情報を提供・共有する子会社、取引先等のことを指す。
なお、パートナー企業から機密情報に該当するとして、セキュリティ実施状況の確認が難航するケースもある。
そのような際は、機密保持に係る契約の締結やそれが難しい場合は、双方の情報取り扱いに係る各種規定、取り扱うデータに求められる機微度・重要度、セキュリティ施策の深度等を考慮し、協議を行った上、提示可能な範囲の情報及びそれがセキュリティ対策状況の把握に資するかをすり合わせて進めることが望ましい。

34

ラベル

9 アク
セス権

目的

要求事項

アクセス権設定の不備に起因した、機密エリアやシス
テムへの不正アクセスを防止する

アクセス権(入室権限やシステムのアクセス権)を適切に管理し
ていること

№

50

達成条件

レベル

Lv2

達成基準

人の異動に伴うアクセス権(入室権限やシス
テムのアクセス権)の管理ルールを定めている【規則】
・重要情報を扱うシステムは、アクセス権を付与するための条件を明確にする
・アクセス権の設定は、システム管理者の要件および設定手順を明確にし、厳格な管理下で実施する。
・重要情報を扱うシステムは、情報利用者とシステム管理者の権限を分離するなど、個人に権限が集中しない環境とする。
・重要情報を扱うシステムは、その運用／利用状況を監視する。

【解説】
◼

達成基準
① “アクセス権を付与”してよいかどうかを判断する具体的な条件は何か？
その業務を遂行する権限を有しているかどうかが条件となる。その判断の観点としては、次のものがある。(以下例示)
・

所属部門

・

役職

・

部門内での役割（例：機密管理担当者）② "重要情報"とは具体的に何か？
組織によって異なる。一般的には機密管理に係る規程類において、明確に重要情報の定義がされているケースが多いため、こうした規定に準じることが重要となる。なお、一般的な傾向としては、次のような情報を「重要情報」として取り扱う傾向にある。(以下例示)
・

個人情報（顧客、従業員、取引先等）

・

経営情報（財務、戦略、人事等）
35

・

営業秘密情報（研究、設計、開発等）

36

ラベル

11 情
報資産
の管理
(機器)

目的

要求事項

IT 資産を適切に管理し、
情報セキュリティ事件・事故につながる
リスクを減ずるとともに、
情報セキュリティ事故発生時の対応を迅
速化する

会社が保有する情報機器及び機器を構成する OS やソフトウェアの情報(バージョン情報、管
理者、管理部
門、設置場所等)を適切に管理している
こと

№

61

達成条件

レベル

Lv2

達成基準

情報機器、OS、ソフトウェアの情報(バージョン情報、管理者、管理部門、設置場所等)の一覧を定期的、または必要に応じて、見直ししている【頻度】
・1 回/年 以上

【解説】
◼

達成条件
① "見直し"とは棚卸が実施されていればよいか？
本項目の目的は、サポート切れの古い OS や脆弱性のあるバージョンのソフトウェア等を使っていないか速やかに判断・対応できることであり、現状のバージョン情報や管理者等の情報が更新されていることが重要である。この点を踏まえ、次のポイントを押さえた棚卸作業が実施されていればよい。(以下例示)


一覧の記載項目と実物が一致しているか



破棄された等で一覧から削除すべき対象がないか

正規購入された等で一覧に追加すべき対象がないか

未承認の機器やソフトウェア等、システムから切り離すべき対象がないか

37

ラベル

目的

要求事項

11 情
報資産
の管理
(機器)

IT 資産を適切に管理し、
情報セキュリティ事件・事故につながる
リスクを減ずるとともに、
情報セキュリティ事故発生時の対応を迅
速化する

会社が保有する情報機器及び機器を構成する OS やソフトウェアの情報(バージョン情報、管
理者、管理部
門、設置場所等)を適切に管理している
こと

№

63

レベル

Lv3

達成条件

達成基準

情報資産(機器)は重要度に応じた管理ルー
ルに沿って管理している【規則】
・重要度に応じて、機器と搭載ソフトウェアが正規品である事をシリアル番号
やハッシュ値を利用して定期的に確認すること【頻度】
・1 回/年 以上(資産棚卸時等)

【解説】
◼

達成基準
① "機器と搭載ソフトウェア"が正規品であることを確認する手段は何か？
IT 機器とソフトウェアとで、それぞれ次のような手段がある。(以下例示)＜IT 機器＞
・

資産検出ツールを用いて、ネットワークに接続されている機器が IT 資産管理台帳と一致しているか確認する。

・棚卸を行い、実物にあるシリアル番号と、管理している IT 資産管理台帳や購入時の納品書に記載されているシリアル番号を照合する。

・ 納品の際に、管理シールを貼り付けるなどの方法で識別を行い、管理シールの有無を確認する。
＜ソフトウェア＞
・

ツールを用いてソフトウェアのハッシュ値を定期的に正規品と確認する。

・

棚卸又はツールを用いてインストールされているソフトウェアがライセンス契約内容と一致しているか確認する。

・

ライセンス契約に基づいた手順で配布されているか確認する。

38

ラベル

目的

要求事項

11 情
報資産
の管理
(機器)

IT 資産を適切に管理し、
情報セキュリティ事件・事故につながる
リスクを減ずるとともに、
情報セキュリティ事故発生時の対応を迅
速化する

会社が保有する情報機器及び機器を構成する OS やソフトウェアの情報(バージョン情報、管
理者、管理部
門、設置場所等)を適切に管理している
こと

№

64

レベル

Lv2

達成条件

達成基準

スマートデバイスへのアプリケーションの無断インストールを制限し、定期的にインストール状況を確認している【規則】
・インストール可能なアプリケーションを定義し、定期的にインストール
状況を確認している。
【対象】
・会社支給のスマートデバイス【確認頻度】
・1 回/年

【解説】
◼

達成条件
① "スマートデバイス"とは何を指すか？
パソコン以外、かつ、持ち運びしやすい可搬性の高い媒体が該当する。通信機能を有していることが前提となり、具体的にはスマートフォン、タブレッ
ト端末、その他ネットワーク通信及び情報処理機能を有する小型端末が対象となる。
② “スマートデバイス”以外は本項目の規則を行わなくてもよいのか？
本項目では対象外。ただし、No.98 で PC 端末におけるソフトウェアインストール制限の実施が要求されており、それに準じた確認が必要となる。

39

ラベル

目的

要求事項

11 情
報資産
の管理
(機器)

IT 資産を適切に管理し、
情報セキュリティ事件・事故につながる
リスクを減ずるとともに、
情報セキュリティ事故発生時の対応を迅
速化する

会社が保有する情報機器及び機器を構成する OS やソフトウェアの情報(バージョン情報、管
理者、管理部
門、設置場所等)を適切に管理している
こと

№

65

レベル

Lv2

達成条件

達成基準

廃棄時(リース終了時含む)は、記憶媒体のデータを消去している【規則】
・情報資産(機器)の廃棄時(リース終了時含む)はデータを復元できないよう消去すること・情報資産(機器)の記憶領域の消去を実施した記録または業者の廃棄証明書を保管すること※ディスクのフォーマットは、データを復旧される可能性があるため不可[対象]-サーバー、会社支給のクライアント PC、スマートデバイス、外部記憶媒体

【解説】
◼

達成条件
① “記憶媒体のデータを消去”するにはどのような方法があるか？
記憶媒体を物理的に破壊する方法と、論理的にデータを消去する方法の 2 つがある。ここで重要となるのは、データを復元できない状態にすることである。どちらの方法であっても、不適切な手段や手順(例：ディスクフォーマットによるデータ消去、誤った手順による不完全な物理破壊、等)であれば、データが復元されてしまう可能性があるため、専用のデータ消去ツールの利用や、専門業者への委託など安全な手段をとることが望ましい。
また、保存データの機密度が極めて高く、より確実にデータ消去を行いたい場合には、自社で論理的にデータを消去した上で専門の業者に委託し物理的破壊を行うなど、複数の方法・手段を組み合わせるとよい。

40

ラベル

12 リ
スク対
応

目的

情報資産のセキュリティリ
スクを特定し、会社として組織的な対策を行うことにより、業務
影響を極小化する

要求事項

自組織内(自組織の業務：
業務委託も含めて)の情報セキュリティ
リスクに対する対策を行っ
ていること

№

66

レベル

Lv1

達成条件

達成基準

情報資産において
「機密性」
「完全性」
「可用性」の 3 要素が確保できなくなった場合のリスクを特定で
きている

【規則】
・対象の情報資産に情報セキュリティ事件・事故が発生した時の業務影響を
影響範囲や発生頻度を踏まえ把握すること【対象】
・№56 で特定した情報資産【観点】
・外部の脅威・自社の脆弱性※必要に応じて、パートナー企業起因の脅威、脆弱性を考慮すること・情報資産の価値【方法】
・対象の情報、情報システムを定めること
・各観点の評価規則、およびそれらを考慮したリスクレベルの規則を定める
こと
・各情報、情報システムについて、各観点の評価からリスクレベルを決定
すること
【頻度】
・重要な情報資産を見直した時、または、１回／年 以上

【解説】
◼

達成基準
① “情報セキュリティ事件・事故が発生した時の業務影響を影響範囲や発生頻度を踏まえ把握する”とは、何を実施すればよいか？
一般的に「リスクアセスメント」と呼ばれる、以下の 3 つのプロセスを実施していればよい。
1. リスク特定 … 保有している情報資産を洗い出し、それぞれにどのようなリスク(外部の脅威・自社の脆弱性)があるか特定する。
2. リスク分析 … 特定されたリスクごとに、その特性や発生頻度、影響度を調査・分析する。
3. リスク評価 … 対象となる情報資産の価値と、リスクの発生頻度、影響度から評価し、リスクの対応策や優先順位を検討する。
こうしたリスクアセスメントはセキュリティに関する JIS 規格である「JIS Q 27001」にも記載されており、その目的は、リスクに対して適切な対応策を選定することである。なお、そちらについては№68 が該当項目となる。

41

ラベル

目的

要求事項

13 取
引内
容・手
段の把
握

どの取引先とどのような情報資産をどのような手段でやり取りするかを明確にし、取引を通じた情報漏えい等を防止する

取引先毎に、取引で取り交わされる情報資産と、取引に利用している手段を把握していること

№

70

レベル

Lv1

達成条件

達成基準

会社毎に取り交わす情報・手段(受発注の手段等、情報のやり取り)を一覧化している【規則】
・一覧表には取引に伴い授受／使用される情報資産とその取り扱いを記載し、取引先と相互に把握すること【対象】
・重要な情報資産（№54 で定められた機密レベルが高い情報資産など）を共有する取引先【頻度】
・取引開始時／取り交わす情報・手段の変更時

【解説】
◼

達成条件
① すべての取引先に対して”取り交わす情報・手段”の一覧を作成する必要があるか？
必ずしもすべての取引先を対象とする必要はない。セキュリティ事故発生時に、BCP の観点から速やかに復旧を目指すことを目的とし、重要な情報資産を共有する取引先やその他、セキュリティリスクの危険性が高い条件下にある取引先を優先的な対象とし、作成することが望ましい。
② “取り交わす情報・手段”はどこまで一覧化していればよいか？
取り交わす情報については、自社の機密管理に係る規程類における管理区分（例：極秘、秘、社外秘、一般）に準じて重要な情報を明確とした上で、それを一覧化していればよい。例えば、設計図面データや受発注関連情報(買掛金、売掛金等)及び個人情報（顧客、従業員、取引先等）が一
覧化の対象として考えられる。
また、取り交わす手段については、例えば、メール、クラウドストレージ、企業間電子データ交換、その他物理メディア(USB, CD, DVD 等)の受け渡しといった具体的手段を、取り交わすタイミングや頻度と併せて一覧化できていればよい。

42

ラベル

目的

13 取
引内
容・手
段の把
握

どの取引先とどのような情報資産をどのような手段でやり取りするかを明確にし、取引を通じた情報漏えい等を防止する

要求事項

IT 機器調達における情報セキュリティ
リスクを管理
すること

№

72

レベル

Lv3

達成条件

IT 機器調達に対するセキュリティ要求事項が決められており、社内に周知されている
こと

達成基準

【規則】
・機器調達に対するセキュリティ要求事項を一覧化していること
・機器調達時に、セキュリティ要求事項を容易に確認できる状態に
すること
【対象】
[機器]
・社内ネットワークに接続する IT 機器[周知]・役員、従業員、社外要員（派遣社員等）【頻度】
・定常的に、かつ、機器調達時のセキュリティ要求事項の改正時に周知すること【解説】◼ 達成条件① “IT 機器調達に対するセキュリティ要求事項”とはどういう要件を提示すればよいか？
調達先に提示しなければならないセキュリティ要求事項は、製品が扱う情報の重要度によって異なる。ただし、社内向けの管理ルールと同等程度を求める必要はなく、自社の環境を考慮して必要に応じたものを提示すればよい。例えば、クライアント PC 端末であれば次のものが挙げられる。(以下例示)
・ 電源投入時パスワード認証機能、および管理者パスワード認証機能があること
・ ハードディスクドライブロックの機能があること
・ セキュリティロック用のケーブル及びキーが付帯していること
・ 無線通信の傍受を防ぐ無線 LAN 規格に対応していること
・ 夜間、無人によるセキュリティパッチ適用のため、リモート起動に対応していること※「IT 製品の調達におけるセキュリティ要件リスト」(経産省, 2018 年)にセキュリティ上の脅威とその対抗策となる要求事項がリストアップされており、参考とすることができる。
参考：https://www.meti.go.jp/policy/netsecurity/cclistmetisec2018.pdf
43

ラベル

目的

13 取
引内
容・
手段の
把握

どの取引先とどのような情報資産をどのような手段でやり取りするかを明確にし、取引を通じた情報漏えい等を防止する

要求事項

IT 機器調達における情報セキュリティリスクを管理す
ること

№

73

レベル

Lv3

達成条件

達成基準

IT 機器調達に対するセキュリティ要求事項
を購入先と共有しており、購入時の評価結果を記録し保管している【規則】
・セキュリティ要求事項が購買契約等に明記されていること
・機器調達時に、セキュリティ要求事項の評価を実施し、結果が保管されていること・定期的に確認結果が保管されていることを確認する【対象】
社内ネットワークに接続する IT 機器【保管状態の確認頻度】
1 回以上/年【解説】◼ 達成条件① "IT 機器"とは、すべての IT 機器が対象か？
全ての IT 機器となると膨大な種類・数となるため、本項目では達成基準にある通り「社内ネットワークに接続する IT 機器」を優先対象とする。ネットワークに接続している以上、マルウェア感染等の重大なリスクの危険性があるため、各機器のリスク強度に応じて濃淡をつけることを推奨する。
◼

達成基準② "セキュリティ要求事項の評価"とは具体的に何を実施していればよいか？
セキュリティ要求事項が満たされているかどうかを、国際標準に基づく認証取得の確認や、検収時の受入テスト等が実施できていればよい。
評価を実施する上で、セキュアな IT 機器調達のためのガイドラインとなる「IT 製品の調達におけるセキュリティ要件リスト活用ガイドブック」(IPA,2018 年) の、「2.(1).(b) セキュアな IT 製品を調達するためのフローについて.ガイド②における判断ポイント」に記載されているケース別の具体例が参考となる。
参考：https://www.ipa.go.jp/files/000038924.pdf

44

ラベル

目的

要求事項

№

レベル

達成条件

達成基準

【基準】
・ネットワーク図を作成すること

14 外
部への
接続状
況の把
握

外部情報シス
テム利用における安全性と信頼性の確保、および情報セキュリテ
ィ事件・事故発生時の迅速な対応を図る関係組織（サプライヤー等含む）との関係において、
自組織の通信ネットワーク
構成を把握し、他組織との連携状態や
データの流れを監視すること[対象範囲]-自社の情報機器が存在するネットワーク[見直し頻度]-1 回/年以上
＜追記＞

74

Lv2

ネットワーク図・データフロー図を作成
し、関係組織（サプライヤー等含む）との通信を監視している【基準】
・データフロー図を作成すること[対象範囲]-関係組織間のネットワークでやり取りされる自社内のデータ【基準】
・関係組織との通信を監視すること[対象範囲]-関係組織間のネットワークでやり取りされるデータ
[頻度]
-常時

【解説】
◼ 達成条件① “関係組織との通信を監視”するためには具体的に何を実施すればよいか？
通信を制御する機器(例: ファイアウォール、プロキシサーバー)や、攻撃を検知・防御する機器(例：IPS、IDS)が、自社と関係組織の通信が経由する場所に導入され、それらの機器の通信ログを監視できる体制が構築できていればよい。
体制の構築については、自社で監視体制を構築する方法と、外部のサービスを活用する方法がある。
後者の場合は、専門的な体制や機能を提供する外部サービスの活用やその組み合わせなどを検討し、自社の状況を考慮して導入可能な体制を整備することが重要となる。
◼

達成基準② "ネットワーク図を作成すること"、"データフロー図を作成すること"と記載されていることを踏まえると、両方作成しなければいけないのか？
両方必要となる。データの流れだけであれば、「データフロー図」だけでも問題ない。ただし、インターネット空間を通じた通信と閉域網を通じた通信ではリスクの度合いも変わるため、要求事項にある「他組織との連携状態」も含めた監視を行う上ではデータの流れだけでなく、ネットワーク上45

どのように接続し、通信が発生しているか、という状況把握も重要となる。
※「制御システムのセキュリティリスク分析ガイド」(2017 年, IPA)の 3.2 及び 3.3 がネットワーク図・データフロー図の作成手順・例示となり、参考とすることができる。
参考：https://www.ipa.go.jp/files/000080712.pdf

46

ラベル

14 外
部への
接続状
況の把
握

目的

要求事項

№

レベル

外部情報シス
テム利用における安全性と信頼性の確保、および情報セキュリテ
ィ事件・事故発生時の迅速な対応を図る

外部情報システム(顧客・
子会社・関係
会社・外部委託先・クラウドサービス・
外部情報サー
ビス等)を明確にし、利用状況を適切に管理している
こと

77

Lv1

達成条件

達成基準

利用している外部情報システムを一覧化し
ている

【規則】
・外部情報システムの一覧を作成していること

【解説】
◼

達成条件
① “外部情報システムを一覧化”するにあたり、管理すべき項目は何か？
外部情報システムの一覧を作成することの目的は、組織の人員が利用している情報システムを把握することで、当該システムの利用にリスクが認められた場合に対策を講じることや、情報セキュリティ事件・事故が発生した場合に対応を図ることである。その目的が満たせるような項目が管理されていればよい。(以下例示)＜利用者に関する管理項目＞
・ 利用者名、部署
・ 用途＜外部情報システムに関する管理項目＞
・ システム概要、システム名・ ベンダー名＜契約に関する管理項目＞
・ 契約書名、契約先名
47

・

契約日、契約満了日

48

ラベル

目的

要求事項

№

レベル

16 物
理セキ
ュリテ
ィ

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐ

サーバー等の設置エリアには、物理的セキュリティ対策を行ってい
ること

87

Lv2

達成条件

達成基準

サーバー等の設置エリアに不正侵入や不審行動を監視している【規則】
・入場時、退場時に持込み・持ち出し物を確認すること
・入場者の行動を監視すること

【解説】
◼

達成条件
① "不正侵入や不審行動を監視"する方法は多数存在するが、何を観点に対策を選定するとよいか？
対策は 3 つに大別される。施設や区画の特性、出入りに係る人流とその量も勘案した上で、最適な対策を選定することが望ましい。(以下例示)＜人的対策＞
・

持ち物検査

・ 定期的な入退室記録のレビュー＜物理的対策＞
・

施錠

・

ゲート設置

＜技術的対策＞
・

防犯カメラ

・

生体認証
49

② "サーバー等の設置エリア"について、専用のサーバールーム以外に設置している場合（執務スペースの一角の個室等）、そのようなエリアも対象に含むか？
「サーバー」の定義が重要となる。組織として重要なデータやファイルが保存されており、それがネットワーク通信を介して利用される状況にある
場合は、その端末はサーバーに含まれるべきである。例えば、ノート PC であっても、上記に該当する場合はサーバーの位置づけとなる。かつ、それが執務スペースの一角の個室だったとしても、そこは設置エリアとして認識するべきである。

50

ラベル

16 物
理セキ
ュリテ
ィ

目的

要求事項

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐ

社内への入退場において、
セキュリティ
事故(主に不
正侵入、不正持ち出し、情報漏えい、不審行動)を抑制する対策を行っているこ
と

№

90

達成条件

レベル

Lv2

達成基準

不正侵入や不審行動を監視している

【解説】
◼

達成条件
① “不正侵入や不審行動を監視”するための対策は何か？
No.87 と同様の対策が求められる。(以下例示)＜人的対策＞
・

持ち物検査

・

定期的な入退室記録のレビュー＜物理的対策＞
・施錠・ ゲート設置＜技術的対策＞
・

防犯カメラ

・

生体認証
51

【規則】
・自社の重要な場所において、不正侵入や不審行動を監視すること・監視が正常に機能していることを確認し、必要に応じて是正すること【監視状況の確認、是正頻度】
・1 回以上/6 か月

◼

達成基準
② "自社の重要な場所"とは具体的にどこを指すか？
研究・設計・開発エリアやサーバールーム等、機密情報を扱っているエリアを指す。多くの企業が機密管理に係る規定として、区画の定義を行っているため、そうしたルールに基づいた判断をすることが望ましい（ただし、こうした規定が存在しない場合は、社内の総務関連の組織も含めた確認および定義を行うべき）
。

52

ラベル

目的

要求事項

16 物
理セキ
ュリテ
ィ

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐ

脆弱性が発見された際の対策対象の把握や外部記憶媒体を用いた情報漏えい等を抑制する対策がおこなえて
いること

№

100

レベル

Lv2

達成条件

達成基準

マルウェアによる被害(データ暗号化等)を受けた場合に業務に支障をきたす重要デー
タについては、PC 以外へ保管するようルールを定め、周知している【規則】
・重要データはクライアント PC 以外に保管すること[周知対象]-役員、従業員、派遣社員、受入出向者

【解説】
◼

達成基準
① "重要データ"とあるが、重要かどうかの観点は何か？
達成条件にあるように、業務に支障をきたすか否かがポイントである。これは業種によって異なるが、製造業であれば、生産が止まること、出荷・販売できなくなることが短期的な支障として大きい。加えて、長期的な目線としては、機微な経営データや最新技術等の競争力の源泉につながるよ
うなデータが漏洩した場合、同じく支障として大きい。こうした観点で重要かどうかを判断することが望ましい。
② “クライアント PC 以外”へ保管する理由は何か？
2 つの理由がある。1 つは、従業員が業務で使用する PC は、サーバーと比較して、マルウェア感染等の被害を受ける可能性が高い。そのため、日頃から社内ネットワーク上の安全な区域にあるファイルサーバー環境にデータを保存しておくことが求められる。2 つ目は、バックアップである。
重要なサーバー環境は定期的なバックアップを取っており、サイバー攻撃等で被害を受けた場合、バックアップからのデータ復旧が可能となる。

53

ラベル

目的

要求事項

16 物
理セキ
ュリテ
ィ

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐ

重要情報を格納・利用するシステムにおいて、人為的
設定ミスによる被害を最小化する対策を実施している
こと

№

101

レベル

Lv2

達成条件

達成基準

サーバーの不要な機能を無効化している
デフォルトユーザ ID の利用の停止をしている
デフォルトパスワードの変更をしている【規則】
・不要サービス、デーモンを無効化すること・デフォルトユーザ ID の利用を停止すること・デフォルトパスワードの変更すること

【解説】
◼

達成条件
① “デフォルトユーザ ID の利用の停止”をすると、システムが停止するなど影響がある場合も停止すべきか？
システムに影響が出ないよう回避策を検討した上で、原則停止すること。なぜならば、デフォルトユーザ ID は第三者が容易に知りうる情報であり、不正ログインなどのサイバー攻撃で狙われやすく、リスクが高いためである。
しかし、回避策の実現可能性や、停止した場合の業務への影響度などを勘案し、どうしても利用を継続しなければならない場合に限り、該当サーバ
ーへは特定の端末からの接続のみ許可するよう制限をかける、特定の他システムからのログインのみ許可するよう制限をかけるなどのリスク低減措置を講じることが必要である。

54

ラベル

目的

要求事項

16 物
理セキ
ュリテ
ィ

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐ

報システム・
情報機器や不正な Web サイ
トへの通信制御を行ってい
ること

№

105

達成条件

達成基準

リモートアクセスの ID を管理し、不要な IDがないか定期的に確認している【規則】
・リモートアクセスの ID の発行・変更・削除は申請・承認制にすること・定期的に不要な ID がないか確認すること・不要な ID を削除すること【確認頻度】
・1 回/年

レベル

Lv2

【解説】
◼

達成条件
① "不要な ID"における、不要となる具体的な状況は何か？
社員の退職や休業、出向、異動、等が該当する。ただし、こうした人事的な変更を伴わなくても、組織内の役割変更等において、担当業務が変更になった場合、不要に該当するケースとなる。
② "不要な ID が無いか定期的に確認"する理由は何か？
不要な ID は管理対象外となりやすく、それが盲点となりリスク発生につながる危険性があるためである。不要な ID を悪用して、内部者の犯行として重要情報の持ち出しにつながるリスクもあれば、外部ネットワークから侵入した攻撃者が不要な ID を乗っ取り、攻撃を仕掛けることもあるた
め、こうした ID が残留していないか、定期的に確認することが重要となる。

55

ラベル

17 通
信制御

目的

要求事項

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐサイバー攻撃、内部情報漏えいを防止するため、情報システム・
情報機器や不正な Web サイ
トへの通信制御を行ってい
ること

№

106

レベル

Lv2

達成条件

達成基準

業務およびデータの重要性に応じてネット
ワークを分離している。

【規則】
・業務内容やデータ重要性でシステムを分類し、専用のネットワーク
毎に設置すること【対象】
・社外公開サーバー設置のネットワーク、PC とサーバのネットワーク、工場ネットワーク／OA ネットワーク等

【解説】
◼

達成条件
① "ネットワークを分離"とは、具体的にどう分離されていればよいか？
物理的な視点と論理的な視点の双方がある。前者は、文字通り、ネットワーク回線が分かれていることである。後者は、回線上は同一だったとしも、その中を流れるデータが仮想的に別区画として管理されている状態である。(以下例示)＜物理的な分離＞・ 産業用制御システムが存在する場合、そのネットワークを、情報システムのネットワークと切り離して構成する。
＜論理的な分離＞・

外部ネットワークに公開されるサーバーは DMZ と呼ばれる仮想的な別セグメントに配置する。

・

同一のハードディスクであっても、その中の区画を分けることで、仮想的な別空間の通信として管理する。

56

ラベル

17 通
信制御

目的

要求事項

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐサイバー攻撃、内部情報漏えいを防止するため、情報システム・
情報機器や不正な Web サイ
トへの通信制御を行ってい
ること

№

108

達成条件

レベル

Lv2

達成基準

不正な Web サイトへのアクセスを制限している【規則】
・不正な Web サイトへのアクセスを制限すること【対象】-クライアント PC/Web ゲートウェイ

【解説】
◼

達成条件
① “不正な Web サイトへのアクセスを制限”するには、どういったフィルタリング方式を導入すればよいか？
次のような方式のものを導入していればよい。(以下例示)
・

Web サイトの URL を予め登録することで制限する方式

・Web サイト内の各ページの内容（コンテンツ）で制限する方式② “不正な Web サイトへのアクセスを制限”するには、どういった装置・サービスを導入していればよいか？
次のような Web フィルタリング機能を持つ装置・サービスを導入していればよい。(以下例示)
・PC にインストールしたソフトウェアによるフィルタリング

・ネットワーク上に設置されたセキュリティ機器によるフィルタリング (ファイアウォール等)・

クラウドサービスを利用したフィルタリング

57

ラベル

17 通
信制御

目的

要求事項

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐサイバー攻撃、内部情報漏えいを防止するため、情報システム・
情報機器や不正な Web サイ
トへの通信制御を行ってい
ること

№

109

レベル

Lv2

達成条件

達成基準

インターネットに公開している Web アプリ
ケーションについて WAF(Web Application
Firewall)を導入している【規則】
・WAF(Web Application Firewall)を導入すること【対象】
・重要な社外公開 Web アプリケーション

【解説】
◼

達成基準
① 対象となる"重要な社外公開 Web アプリケーション"にはクラウドサービスを利用しているケースを含むか？
含む。ただし、汎用的なクラウドサービスを活用している場合、WAF の導入を依頼することはサービス利用契約上、困難なケースが多い。そのため、現実的には、契約時にサービス提供側に対して、WAF 導入有無を確認するに留まるケースや SLA（サービスレベルを規定した文書）の確認に留まるケースが多い。反面、自社インフラとしてクラウド環境を整備している場合は、自組織の判断で WAF の導入ができる可能性が高まる。

58

ラベル

17 通
信制御

目的

要求事項

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐサイバー攻撃、内部情報漏えいを防止するため、情報システム・
情報機器や不正な Web サイ
トへの通信制御を行ってい
ること

№

110

レベル

Lv2

達成条件

達成基準

インターネットに公開している Web サイ
ト、システムについて、DDoS 攻撃を受けてもサービスを継続するための対策を実施し
ている

【規則】
・DDoS 攻撃を受けた際にサービスを継続する仕組みを導入すること【対象】
・重要な社外公開 Web サイト、DNS サーバー

【解説】
◼

達成基準
① 対象となる"重要な社外公開 Web サイト、DNS サーバー"にはクラウドサービスを利用しているケースを含むか？
含む。ただし、汎用的なクラウドサービスを活用している場合、DDoS 対策の実施を依頼することはサービス利用契約上、困難なケースが多い。そのため、現実的には、契約時にサービス提供側に対して、DDoS 対策有無を確認するに留まるケースや SLA（サービスレベルを規定した文書）の確認に留まるケースが多い。反面、自社インフラとしてクラウド環境を整備している場合は、自組織の判断で DDoS 対策を実施できる可能性が高まる。

59

ラベル

17 通
信制御

目的

要求事項

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐサイバー攻撃、内部情報漏えいを防止するため、情報システム・
情報機器や不正な Web サイ
トへの通信制御を行ってい
ること

№

111

レベル

Lv2

達成条件

達成基準

インターネット経由の通信が盗聴、改ざんされないよう、通信を暗号化している【規則】
・社内外ネットワーク通信を暗号化すること【対象】
・社外から社内へのリモートアクセス通信
・ユーザーと社外公開サーバーとの間で認証を伴う通信

【解説】
◼

達成基準
① 対象となる"社外から社内へのリモートアクセス通信"、"ユーザーと社外公開サーバーとの間で認証を伴う通信"にはクラウドサービスを利用しているケースを含むか？
含む。汎用的なクラウドサービスを活用している場合、一般的にはサービス提供側で通信の暗号化は実施されている。しかし、使用する暗号技術
やその強度の指定まではサービス利用契約上、困難なケースが多い。そのため、契約時にサービス提供側に対して、そうした「暗号化方式」「暗号強度」など詳細を確認の上、可能な限り自社要件に合わせた SLA(サービスレベルを規定した文書)を締結するなどの交渉を行うことが望ましい。
一方、自社インフラとしてクラウド環境を整備している場合は、自組織で暗号化を実施する必要がある。

60

ラベル

17 通
信制御

目的

要求事項

サーバー等の重要機器への不正操作による情報漏洩、
改ざん、シス
テム停止を防ぐサイバー攻撃、内部情報漏えいを防止するため、情報システム・
情報機器や不正な Web サイ
トへの通信制御を行ってい
ること

№

112

達成条件

レベル

Lv2

達成基準

端末と無線 LAN アクセスポイントの間の通信を暗号化している【規則】
・端末とアクセスポイントの間の通信を暗号化すること
・政府推奨暗号において危殆化している暗号技術は利用しないこと【対象】
・社内無線 LAN

【解説】
◼

達成基準
① “社内無線 LAN”の環境構築を外部委託するにあたり、その選定における留意点は何か？
構築後のサポートや信頼関係といった観点も含めて選定することが重要となる。
本項目に記載されている「端末とアクセスポイント間の通信の暗号化」の設定に関しては、構築時に安全な暗号化方式であっても、技術進歩や脆弱性の発見によって運用中に危険なものとなってしまい、設定変更しなければならないケースが想定される。したがって、そうした構築後の運用中のサポート面まで考慮して選定をする必要がある。

61

ラベル

目的

要求事項

18 認
証・認
可

情報システムの不正利用や、情報システムの不正操作・変更を防ぐことで、情報漏洩、改ざんを防ぐとともに、情報シ
ステムを安定稼働させる。
さらに、情報漏えい、改ざんや情報シス
テム停止の際の原因調査を可能にする

情報システ
ム・情報機器への認証・認可の対策を行っていること

№

120

達成条件

レベル

Lv3

達成基準

インターネットから利用できるシステムには多要素認証を実装している【規則】
・インターネットを経由した認証において、知識、所持、生体のいずれか 2 つ以上の認証を実装すること【対象】
・機密レベルが高い情報を取り扱うシステム
・特権アカウント
・リモートアクセス

【解説】
◼

達成条件
① ”インターネットから利用できるシステム”とは、VPN を経由して使用する様な社内システムを対象としているのか、ウェブアプリ等を含むインタ
ーネットからアクセス可能なシステム全てを含むのか？
インターネットからアクセス可能なシステム全てを含む。
そのため、社外からアクセスできる Web サイトや、VPN を用いての社内環境への接続も対象となる。
VPN 利用において特にリスクが高いのは社内環境への接続時の認証であるため、ここに多要素認証を実装することが必要となる。
対して、VPN 接続後にアクセスする社内システムへの認証における多要素認証は必須ではなく、システムの重要度に応じて認証の強度を調整することが望ましい。
② "多要素認証"において、適切な要素の組み合わせはあるか？
要素としては知識、所持、生体の 3 つが考えられる。それら異なる要素の組み合わせによる認証となるように配慮すること。(以下例示)
62

＜知識認証＞
・ ユーザーID とパスワード＜所持認証＞
・ デバイス、ワンタイムパスワード、SMS(ショートメッセージサービス)メール
・ 接続制限（IP アドレス、セキュリティトークンなど）＜生体認証＞
・ 指紋、虹彩、静脈

63

ラベル

目的

要求事項

18 認
証・認
可

情報システムの不正利用や、情報システムの不正操作・変更を防ぐことで、情報漏洩、改ざんを防ぐとともに、情報シ
ステムを安定稼働させる。
さらに、情報漏えい、改ざんや情報シス
テム停止の際の原因調査を可能にする

情報システ
ム・情報機器への認証・認可の対策を行っていること

№

121

達成条件

レベル

Lv2

達成基準

重要システムではセッションタイムアウトを実装している【規則】
・重要システムではセッションタイムアウトを実装すること【対象】
・社外公開システム、重要な社内システム

【解説】
◼

達成条件
① "セッションタイムアウトを実装"とは具体的に何を指すか。
Web アプリケーションなどにログインしたあとに、一定時間操作しないままにすると強制的にログアウト状態になる機能を実装することを指す。
強制ログアウトまでの時間が長いとサイバー攻撃によるリスクが高まるが、その時間が短すぎるとユーザーの利便性を損なう恐れがあるため、システムの重要度を考慮して設定することが望ましい。

◼

達成基準② "社外公開システム"とは、具体的にどのような状態のシステムを指すか？
インターネットに公開されているシステムを指す。
なお、達成基準の規則に記載されている"重要システム"とは上記のシステムと社内の重要システムの両方を含むこととしている。
64

ラベル

19 パッ
チや
アップ
デート
適用

目的

不正アクセスやマルウェア
感染のリスクを低減する

要求事項

サポート期限が切れた機器、OS、ソフ
トウェアを利用しないようにしているこ
と

№

123

レベル

Lv2

達成条件

達成基準

サポート期限が切れた OS、ソフトウェアを利用しないようにしている【規則】
・サポートのある OS、ソフトウェアを利用すること・やむを得ずサポート切れの OS、ソフトウェアを利用する場合は、できる限り脆弱性悪用のリスクを低減すること【対象】
・会社支給のパソコンの OS、ブラウザ、Office ソフト
・サーバーの OS、ミドルウェア
・会社支給のスマートデバイスの OS、アプリ
・インターネットとの境界に設置されているネットワーク機器の OS、ファー
ムウェア

【解説】
◼

達成基準
① "やむを得ずサポート切れの OS、ソフトウェア"の利用を継続しているが、“できる限りの脆弱性悪用のリスクを低減”する対策は何を観点に選定するとよいか？
＜点の対策＞
サポート切れの OS、ソフトウェアの利用を継続している端末(以下、当該端末)そのものの保護を目的として、特定のアプリケーション以外起動できないように制限をかけるツール（例：ホワイトリスト）の導入や、過去事例に基づき、同様の特徴を持つプログラムを検知・防御するツール（例：ウイルス対策ソフト）を導入することが対策として挙げられる。また、必要な通信以外を遮断し保護することを目的に、当該端末の直前に専用のネットワーク機器(ファイアウォール機能)を設置する手段も有効である。
＜線の対策＞
当該端末そのものの保護だけでなく、当該端末と繋がるあらゆる情報資産を横断的に保護することを目的として、ネットワークの分離や、通信を監視して不正な挙動を検知する機器(例：IDS/IPS)を導入することが対策として挙げられる。
なお、達成条件においては、「サポート期限が切れた OS、ソフトウェアを利用しない」としているが、達成基準においては、そのような場合もリスクを低減することで基準を満たすと記載されている点に留意すること。
65

② "やむを得ず"が示す状況は何か？
以下のようなシステムのリプレースができない状況を示す。
（以下例示）
・ 運用しているシステムの代替機器が無い
・ 多大なコストがかかるため、リプレースを実行できていない

66

ラベル

19 パッ
チや
アップ
デート
適用

目的

不正アクセスやマルウェア
感染のリスクを低減する

要求事項

脆弱性を利用した不正アク
セスを防止する施策を実施していること

№

126

達成条件

レベル

Lv3

達成基準

社外へ公開しているサーバーについて、本番稼働前および稼働後に脆弱性診断を実施
し、判明した脆弱性に対して対策を行っている【規則】
・プラットフォームの脆弱性を診断すること・脆弱性に対する対応の要否判断規則とリードタイムを決めること
・診断結果と対応結果を保管すること【対象】
・社外公開サーバーの OS、ミドルウェア【診断頻度】
・本番稼働前：1 回以上
・本番稼働後：2 回/年およびシステムの大きな変更時
・影響の大きな脆弱性が公開された時

【解説】
◼

達成条件
① "脆弱性診断"とは何を行っていればよいか？
まず、脆弱性診断とは自社のシステムに対して、設定ミスや不具合などによって不正アクセスや情報漏洩などの脅威が顕在化するリスクが存在しな
いか確認することを指す。
その中でもプラットフォームの診断はサーバーの OS やミドルウェアを対象とし、システムに対する疑似攻撃や設定値のチェックによってリスクを洗い出すものである。加えて、洗い出されたリスクを分析し、その評価結果に応じて対応策をとることが重要である。
また、診断対象の OS に Web アプリケーションを稼働させている場合は、併せて№128 のような診断を行うことが一般的である。

67

ラベル

19 パッ
チや
アップ
デート
適用

目的

不正アクセスやマルウェア
感染のリスクを低減する

要求事項

脆弱性を利用した不正アク
セスを防止する施策を実施していること

№

128

レベル

Lv2

達成条件

達成基準

インターネットに公開している Web アプリ
ケーションについて、アプリケーション脆弱性診断を実施している【規則】
・Web アプリケーションの脆弱性を診断すること・脆弱性に対する対応の要否判断規則とリードタイムを決めること
・診断結果と対応結果を保管すること【対象】
・重要な社外公開 Web アプリケーション【診断頻度】
・本番稼働前：1 回以上
・本番稼働後：アプリケーションの大きな変更時

【解説】
◼

達成条件
① "アプリケーション脆弱性診断"とは何を行っていればよいか？
まず、脆弱性診断とは、自社のシステムに対して、設定ミスや不具合などによって不正アクセスや情報漏洩などの脅威が顕在化するリスクが存在しないか確認することを指す。
その中でもアプリケーション診断は Web アプリケーションを対象とし、システムに対する疑似攻撃や設定値チェック、プログラムの解析によってリ
スクを洗い出すものである。加えて、洗い出されたリスクを分析し、その評価結果に応じて対応策をとることが重要である。
また、このアプリケーションが稼働しているプラットフォームについても併せて№126 のような診断を行うことが一般的である。

68

ラベル

目的

要求事項

№

レベル

21 オ
フィス
ツール
関連

不正アクセスやマルウェア
感染のリスクを低減する

情報システ
ム・情報機器のデータ保護を行っている
こと

131

Lv2

達成条件

達成基準

メール送信による情報漏えいを防止するための対策を実施している【規則】
・機密情報をメール送信する場合は、情報漏えい対策を実施すること

【解説】
◼

達成条件
① "メール送信による情報漏えいを防止"する方法は様々なものが存在するが、何を観点に対策を選定するとよいか？
次のような送信フェーズを観点に対策を選定するとよい。(以下例示)＜送信前＞
・ 情報漏洩に関する教育＜送信時＞
・誤送信を防止する仕組みの導入(宛先の複数回確認、遅延送信)

・

添付ファイルの暗号化

・ メール本文暗号化＜送信後＞・通信の暗号化

69

ラベル

目的

要求事項

21 オ
フィス
ツール
関連

不正アクセスやマルウェア
感染のリスクを低減する

情報システ
ム・情報機器のデータ保護を行っている
こと

№

132

レベル

Lv2

達成条件

達成基準

メールの誤送信を防止する対策を実施している【規則】
・メールの誤送信を防止する対策を実施すること【対象】
・社外宛ての送信メール

【解説】
◼

達成条件
① "メールの誤送信を防止する対策"とは、具体的に何を指すか？
対策としては、教育による啓発とシステム機能の活用の 2 つが考えられる。ただし、本項目はラベル欄にある通り、「ツール関連」であるため、後者の対策が必要となる。具体的には、次のようなシステム機能を利活用することが望ましい。(以下例示)◼

・

送信先に社外アドレスが含まれる場合は、最終確認のウインドウを表示し、間違いがないかどうかの確認を促す機能。

・

添付ファイルが含まれる場合は、事前登録済みの上位者の承認後に、メールが社外に送信される機能。

・

送信ボタンを押下後、一定時間が経過してからメールが外部に送信される機能（その間に送信の差戻しが可能）。

達成基準② 本項目は、重要情報を送付するメールのみを対象としてよいか？

70そうした対応が可能であれば、問題ない。ただし、現実的には添付ファイルが重要情報であるかどうかを判定することは難しいため、機能によっては、特定の条件下での添付ファイルのみを対象とする、という濃淡をつけることは一案として考えられるものの、全ての添付ファイルが対象になるという仕様にならざるを得ない機能も出てくると考えられる。

71

ラベル

目的

要求事項

22 マル
ウェア
対策

マルウェア感染による情報漏洩、改ざん、システム
停止を防ぐ

セキュリティ
上の異常を素早く検知する
マルウェア対策を行ってい
ること

№

136

達成条件

レベル

Lv1

達成基準

パソコン、サーバーには、マルウェア感染を検知・通報するソフトウエア(ウイルス対策ソフト)を導入している【規則】
・パソコン、サーバーごとにウイルス対策ソフトを導入すること・機器に応じた適切なスキャン範囲と頻度を規定し、スキャンを実行すること【対象】
・ネットワークに接続している全てのパソコン、サーバー

【解説】
◼

達成条件
① “ウイルス対策ソフト”として EPP: Endpoint Protection Platform と EDR: Endpoint Detection and Response が存在するが、導入するのはどちらでも問題ないか？
本項目の達成条件としては、EPP のみで十分である。EPP とはパターンマッチング技術により「既知」のマルウェアに対して感染する前に防御することを目的として製品である。一方、EDR とはサイバー攻撃者の動き(ふるまい)や、「既知」・「未知」に関わらずマルウェアによる攻撃の動き(ふるまい)を検知し、アラートを上げる仕組みである。
ただし、昨今のサイバー攻撃においては、最低限の対策として EPP および EDR による多層防御の仕組みが必要であり、どちらかだけでは対策として不十分である。（EDR の導入については、No138 が該当項目となる。
）本項目の達成条件においてはマルウェア感染を検知・通報するソフトウェアを導入することと記載されているが、目的においてはマルウェア感染による情報漏洩、改ざん、システム停止を防ぐと記載されているため、目的の意図を鑑みて上記のように防御を意識することが望ましい。

72

ラベル

目的

要求事項

22 マル
ウェア
対策

マルウェア感染による情報漏洩、改ざん、システム
停止を防ぐ

セキュリティ
上の異常を素早く検知する
マルウェア対策を行ってい
ること

№

137

達成条件

レベル

Lv1

達成基準

ウイルス対策ソフトのパターンファイルは
常に最新化している【対象】
・№136 の対象のとおり【パターンファイルの更新頻度】
・起動し利用する日ごとに１回 以上

【解説】
◼

達成条件
① 本項目は、EPP: Endpoint Protection Platform が導入されている場合のみ評価すればよいか？
導入されている EPP の機能によって異なる。
EPP には一般的にアンチウイルス、次世代形アンチウイルスの 2 種類が存在する。
アンチウイルスと呼ばれるような、過去に発生した攻撃と同様の特徴を持つプログラムを検知・防御する製品は、マルウェアの検知率を上げるた
めにパターンファイルの最新化が重要であるため、本項目の対象となる。
一方、次世代型アンチウイルスと呼ばれるような、人工知能を活用し、予測的に悪意のあるプログラムを検知・防御する製品は、パターンファイ
ルそのものが存在しないため、本項目の対象外となる。
なお、次世代型アンチウイルスは、搭載される人工知能の更新が必要とされる場合もあり、そうした場合は、ベンダーからの情報を基に更新の必要性を検討することが望ましい。

73

ラベル

22 マル
ウェア
対策

目的

マルウェア感染による情報漏洩、改ざん、システム
停止を防ぐ

要求事項

セキュリティ
上の異常を素早く検知する
マルウェア対策を行ってい
ること

№

138

達成条件

達成基準

エンドポイントでの詳細な履歴取得およびマルウェア感染後の遠隔対応が可能な行動
追跡システムを導入している【規則】
・エンドポイント対策システムを導入すること【対象】
・会社支給のクライアント PC
・サーバー【システム要件】
・端末の操作履歴、プログラムの実行履歴、レジストリの変更履歴を取得できること
・遠隔から端末の調査ができること
・遠隔からネットワークからの切断ができること
・感染後の復旧対応ができること

レベル

Lv3

【解説】
◼

達成条件
① "詳細な履歴取得およびマルウェア感染後の遠隔対応が可能な行動追跡システム"として何を導入する必要があるか？
達成基準にあるシステム要件を満たすような、各種ログ取得や端末の遠隔操作ができるツールを導入すればよい(EDR: Endpoint Detection andResponse、等)。
各種ログが取得できるだけではなく、遠隔からの端末調査やネットワーク切断ができることがマルウェア感染後の対応として重要なポイントである
ため、ログ取得を行うだけのツールでは基準に満たないことには注意すること。
※本項目達成の一助になるサービスとして IPA のサイバーセキュリティお助け隊サービスなどがある。
参考：https://www.ipa.go.jp/security/otasuketai-pr/

74

ラベル

目的

要求事項

№

レベル

22 マ
ルウェ
ア対策

マルウェア感染による情報漏洩、改ざん、システム
停止を防ぐ

セキュリティ
上の異常を素早く検知する
マルウェア対策を行ってい
ること

141

Lv2

達成条件

達成基準

不正な Web サイト閲覧によるマルウェア感染を防止するため、Web ゲートウェイでのマ
ルウェアチェックを実施している【規則】
・Web ゲートウェイにマルウェアチェック機能を導入すること

【解説】
◼

達成条件
① “Web ゲートウェイ”とは何か？
社内のネットワーク環境からインターネットの Web サイトにアクセスするための通信が経由し、その通信が正しいかどうかの監視、及び危険な通信であればそれを制限する役割を持った機器のことを指す。一般にインターネットとの出入口に設置され、本項目で求められるようなマルウェアチェック機能や、№108 にある Web アクセス制限機能を導入するのに適している。

◼

達成基準② "Web ゲートウェイにマルウェアチェック機能を導入する"とあるが、マルウェアチェック機能とはどのような機能か？
過去に発生した攻撃と同様の特徴を持つプログラムを検知・防御する機能のことである。
さらに隔離された安全な環境で不審なプログラムを動作させ、その挙動を基に安全性を判断する機能や、PC 上でプログラムの挙動を監視し不審な挙動を検知するような機能を併せて導入することが、多層防御の観点で有効性が高い。このような機能はアンチウィルスゲートウェイと呼ばれ、専用の機器の設置やソフトウェアのインストール、クラウド型サービスなど様々な導入方法があるため、自社の状況とコスト、機能性などを考慮して選75

定することが望ましい。

76

ラベル

目的

要求事項

23 不正
アクセ
スの検
知

不正アクセ
ス・不正侵入による情報漏洩、改ざん、
システム停止を防ぐ

ネットワークへの不正アクセスを常時監視する体制を構築すること

№

142

レベル

Lv2

達成条件

達成基準

通信内容を常時監視し、不正アクセスや不正侵入をリアルタイムで検知/遮断および通知する仕組みを導入している【規則】
・不正アクセスをリアルタイム検知・遮断する仕組みを導入すること【対象】
・インターネットから社内への通信
・社内から不正なサーバーへの通信【導入場所】
・社内外ネットワークの境界

【解説】
◼

達成条件
① "通信内容を常時監視し、不正アクセスや不正侵入をリアルタイムで検知／遮断及び通知する仕組み"とは具体的に何を指すか？
不正アクセスや不正侵入の際に発生するようなネットワーク上で発生する異常な通信やそのログを 24 時間監視する機器を導入することを指す。具体的には、不正アクセスや不正侵入を検知・遮断する機器(IPS、IDS)や、№145 の解説に記載がある SIEM の導入が挙げられる。
ただし、SIEM や IDS には自動で不正な通信を遮断する仕組みはないため、それらの通知を受けて、遮断要否を判断し対応する運用・体制が整っていることが必要である。
なお、SIEM の導入方法については№145 の解説に記載があり、運用体制の整備方法については№17 の解説に記載がある。どちらについても、自社で実施する方法と外部サービスを活用する方法の 2 つがあり、自社の状況を考慮して実現可能な実施策をとることが重要となる。

◼

達成基準② “社内外ネットワークの境界”とは具体的にどこを指すか？また、なぜそこが重要か？
77インターネットと社内環境の間の出入口のことを指す。そこに設置されたファイアウォールやプロキシサーバー等の機器と①で解説した製品・サービスを連携させることが重要となる。なぜかというと、この”社内外ネットワークの境界”は社内環境とインターネットとの通信が経由する、リス
クの高い場所であり、不正侵入の検知や遮断の仕組みを導入することで効果的にリスクを減らすことができるためである。

78

ラベル

23 不正
アクセ
スの検
知

目的

要求事項

不正アクセ
ス・不正侵入による情報漏洩、改ざん、
システム停止を防ぐ

標的型攻撃など、サイバー
攻撃による被害を抑制させるため、サイバー攻撃を速やかに検知、
遮断する対策を行っている
こと

№

145

レベル

Lv2

達成条件

達成基準

ログを分析し、サイバー攻撃を検知する仕組みを導入している【規則】
・ログを常時分析し、異常発見時に通知する仕組みを導入すること[分析対象]-プロキシサーバー、IPS/IDS、ファイアウォール、エンドポイントのいずれか、
または組み合わせ
[監視時間]-24 時間/365 日[機能要件]-インシデントアラートが即時発報されること-インシデントの速報レポートが作成され、通知されること

【解説】
◼

達成条件
① "ログを分析し、サイバー攻撃を検知する仕組み"を導入するには、どのような手段があるか？
様々なネットワーク・セキュリティ機器からあげられるログ情報の関連性を横断的に分析する SIEM(System Information and Event Management)と呼ばれる製品やサービスを導入することが一般的である。自社で体制を構築することも可能だが、監視・分析体制を提供しているベンダーのサービスを活用する方法がある。

79

ラベル

23 不正
アクセ
スの検
知

目的

要求事項

不正アクセ
ス・不正侵入による情報漏洩、改ざん、
システム停止を防ぐ

標的型攻撃など、サイバー
攻撃による被害を抑制させるため、サイバー攻撃を速やかに検知、
遮断する対策を行っている
こと

№

147

レベル

Lv3

達成条件

達成基準

インターネットに公開している Web サイト
について、サイトの改ざんを検知する仕組みを導入し、定期的に確認している【規則】
・Web サイトの改ざんを検知する仕組みを導入すること【対象】
・重要な社外公開 Web サイト

【解説】
◼

達成条件
① "サイトの改ざんを検知する仕組み"とは具体的に何を指すか？
Web サイト上のファイルが改ざんされた際に、改ざんが行われたことをツールや運用上の工夫等で検知することを指す。そのようなツールとしては、ファイルそのものの差分比較により検知するものや、過去の攻撃事例と比較し、同様である場合に検知するもの等、様々存在する。運用上の工夫としては、Web サイト上のファイルが更新された際に管理者に連絡する方法が上げられる。これらの仕組みの実現方法によっては、Web サイト管理者との連携の重要性が増し、負荷が高まる可能性もあるため、Web サイトの重要度や更新頻度等を鑑みた上で検討することが望ましい。また、様々なベンダーから Web 改ざん検知がサービスとして提供されているため、そのようなサービスの導入も一つの手段となる。

80

ラベル

目的

要求事項

№

レベル

24 バッ
クアッ
プ・
復元
(リス
トア)

システム停
止、データ消失による業務
影響を極小化するとともに、早期の業
務復旧を実現する

サイバー攻撃に対して重要情報の被害や
システム稼働
の影響を最小限に留める対策を行ってい
ること

149

Lv1

達成条件

達成基準

復元(リストア)手順を整備している【規則】
・バックアップ対象ごとにリストア手順書を整備すること

【解説】
◼

達成条件
① "復元(リストア)手順"の整備には、クラウドサービスを利用しているケースを含むか？
含む。汎用的なクラウドサービスを活用している場合、一般的にはサービス提供側で復元(リストア)の実施体制や、手順が確立されている。しかし、バックアップから復元するまでの目標時間や、どの時点までのデータを復元するかといった復旧レベルを指定することはサービス利用契約上、困難なケースが多い。そのため、契約時にサービス提供側に対して、そうした「目標復旧時間」「目標復旧レベル」など詳細を確認の上、可能な限り自社要件に合わせた SLA(サービスレベルを規定した文書)を締結するなどの交渉を行うことが望ましい。
一方、自社インフラとしてクラウド環境を整備している等で、自組織が復元(リストア)を実施できる場合は、そのための手順の整備をする必要があ
る。

81

ラベル

目的

要求事項

24 バッ
クアッ
プ・
復元
(リス
トア)

システム停
止、データ消失による業務
影響を極小化するとともに、早期の業
務復旧を実現する

サイバー攻撃に対して重要情報の被害や
システム稼働
の影響を最小限に留める対策を行ってい
ること

№

レベル

達成条件

達成基準

【規則】
・定めた復元手順により、復元ができることを確認すること

151

Lv2

重要なデータやシステムについてバックアップの復元(リストア)テストを実施している【対象】
・重要なデータ・システム【頻度】
・システム構築時、変更時、定期的（リスク応じて判断）

【解説】
◼

達成条件
① "重要なデータやシステムについてバックアップの復元(リストア)テスト"の実施には、クラウドサービスを利用しているケースを含むか？
含む。汎用的なクラウドサービスを活用している場合、一般的にはサービス提供側で復元(リストア)の実施体制構築や、テスト実施が行われている。しかし、バックアップから復元するまでの目標時間や、どの時点までのデータを復元するかといった復旧レベルを指定し、それに応じたテストの実施を依頼することはサービス利用契約上、困難なケースが多い。そのため、契約時にサービス提供側に対して、そうしたテスト実施条件など詳細を確認の上、可能な限り自社要件に合わせた SLA(サービスレベルを規定した文書)を締結するなどの交渉を行うことが望ましい。
一方、自社インフラとしてクラウド環境を整備している等で、自組織が復元(リストア)を実施できる場合は、既存サービスへの影響を考慮しつつ、テストを実施する必要がある。

82

ラベル

目的

要求事項

№

レベル

24 バッ
クアッ
プ・
復元
(リス
トア)

システム停
止、データ消失による業務
影響を極小化するとともに、早期の業
務復旧を実現する

サイバー攻撃に対して重要情報の被害や
システム稼働
の影響を最小限に留める対策を行ってい
ること

152

Lv2

達成条件

達成基準

サーバー等の設置エリアには、設備に災害対策、環境対策を実施している【規則】
・火災、水害、停電に対する対策を行うこと
・温湿度管理を行うこと

【解説】
◼

達成条件
① "災害対策、環境対策"の実施には、クラウドサービスを利用しているケースを含むか？
含む。汎用的なクラウドサービスを活用している場合、一般的にはサービス提供側で災害対策や環境対策は実施されている。しかし、想定する災害の規模や、実施すべき具体的な対策内容などの詳細を指定することはサービス利用契約上、困難なケースが多い。そのため、契約時にサービス提供側に対して、そうした実施されている具体的な対策内容など詳細を確認の上、可能な限り自社要件に合わせた SLA(サービスレベルを規定した文書)を締結するなどの交渉を行うことが望ましい。
一方、自社インフラとしてクラウド環境を整備している場合は、自組織で災害・環境対策を実施する必要がある。
② "サーバー等の設置エリア"とは、専用のサーバールーム以外に設置している場合（執務スペースの一角の個室等）、それらも対象に含むか？
「サーバー」の定義が重要となる。組織として重要なデータやファイルが保存されており、それがネットワーク通信を介して利用される状況にある
場合は、その端末はサーバーに含まれるべきである。例えば、ノート PC であっても、上記に該当する場合はサーバーの位置づけとなる。かつ、それが執務スペースの一角の個室だったとしても、そこは設置エリアとして認識するべきである。
83

執筆委員（会社名 五十音順、敬称略）

総合政策委員会 ICT 部会 サイバーセキュリティ分科会 SC ガイドライン検討タスク
役割

会社名

氏名

リーダー

トヨタ自動車株式会社

坂 季也

副リーダー

日産自動車株式会社

鳥居 俊太郎

副リーダー

本田技研工業株式会社

榊原 祥元

委員

スズキ株式会社

鈴木 秀明

委員株式会社ＳＵＢＡＲＵ

伊東 秀将

委員

ダイハツ工業株式会社

阪田 信行

委員

株式会社トヨタシステムズ

谷口 昇

委員

本田技研工業株式会社

本田 彬俊

委員

マツダ株式会社

飯田 翔太

委員三菱自動車工業株式会社

滝 賢治

一般社団法人 日本自動車部品工業会
IT 対応委員会 サイバーセキュリティ部会
役割

会社名

氏名

部会長

株式会社デンソー

後藤 俊二郎副部会長

日立Ａｓｔｅｍｏ株式会社

中尾 考行

副部会長

株式会社アイシン

六城 雅隆

委員

株式会社デンソー

原浩司

連絡先:一般社団法人 日本自動車工業会 安全・環境領域〒105-0012 東京都港区芝大門一丁目 1 番 30 号 日本自動車会館
TEL:03-5405-6125

FAX:03-5405-6136

Copyright:一般社団法人 日本自動車工業会

84