「出社してから退社するまで中小企業の情報セキュリティ対策実践手引き」
策 践の活用嶋倉 文裕
JNSA西日本支部
２０１１年１０月５日

ＪＮＳＡ西日本支部の中小企業セキュリティ活動
経済産業省
中小企業情報セキュリティ対策促進事業

推進WG 参加/セミナー講師対応

IPA

リスク対策ＷＧの成果の取り込み

中小企業の情報セキュリティ対策に関する研究会
協力関係の輪
委員参加

中小企業の情報セキュリティ対策ガイドライン

委員参加(WG2)

普及検討ＷＧ（自社診断シート）ク ウド
クラウド
セキュリティ
ＷＧ

委員参加

委員参加

ＪＮＳＡ西日本▲

個人情報保護法完全施行

出社してから退社するまでのリスク対策WG

情報セキュリティチェックシートＷＧ

個人情報保護ＷＧ▲
改正不正競争防止法施行

手引書
作成

情報セキュリ情報
キティチェック
シートＷＧ

▲
▲ ▲
改正不正競争防止法施行 ウィルス罪施行

Ｓｍａｒｔ Ｐｈｏｎｅ▲
iPhone発売▲Android発売▲
Windows Phone 7発売

Cloud and Social Media▲
Amazon S32▲ ▲Twitter Amazon EC21

2005年

▲ ▲
Google App Engine FaceBook日本語版

12 1

2006年

12 1

2007年

12 1

2008年

12 1

2009年

12 1

2010年

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

122011年

Page 1

日常の危機管理

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 2

これまでの活動で認識した中小企業の限界
これまでの活動から見えた中小企業のセキュリティ• トラブル経験がなく、自社は大丈夫と考えている。
• 情報セキュリティを理解できる人がいない。
情報セキ リティを理解できる人がいない• SI‘er、ベンダーに丸投げ、情報資産の保管・格納場所さえ分からない。
場所さえ分

このような状況で、リスク対策が企業にとって重要であるかを理解させることができるか？

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 3ＩＳＭＳによるアプローチ手法

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 4

リスクアプローチ手法
・資産管理台帳からのアプローチ
企業の保有する情報資産を洗い出し、その資産に対するリスク分析・評価をおこなうアプローチ。
– システム管理者、資産の管理者だけで洗い出しが可能。
が可能
ただし、ファイルサーバなどで集約的に管理されていなければ難しい。
ていなければ難しい– 資産の名称が同じでも業種、企業、部署、個人により内容は異なる。
により内容は異なる– 資産の管理が不十分な場合、洗い出しが困難。
– 洗い出しの粒度が細かくなりがち。
洗い出しの粒度が細かくなりがち
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 5

リスクアプローチ手法
実は実は。。。
「情報セキュリティチェックシートＷＧ」で情報資産管理台帳の洗い出しのアプローチを試みたが 固定資産台帳とのの洗い出しのアプローチを試みたが、固定資産台帳との区別がつかない、業界特有の資産名を例示しないと理解ができない などの事実がわかりましたができない、などの事実がわかりました
当時の活動の詳細「中小企業の情報セキュリティ対策支援ＷＧ活動報告書」
http://www jnsa org/result/2008/west/0812report pdf
http://www.jnsa.org/result/2008/west/0812report.pdf

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 6

リスクアプローチ手法
・業務からのアプローチ
企業の持つ業務プロセスを洗い出し その業務プロ企業の持つ業務プロセスを洗い出し、その業務プロセスを構成する各業務に対するリスク分析・評価をおこなうアプロ チおこなうアプローチ。
– それぞれの業務を行う担当者が、業務を洗い出す必要がある。
– 業種、企業、部署、個人によって業務はそれほどに変わらない。
例：「業務」の捉え方にもよるが、ＰＣを利用した書類の作成、共用ファイルサーバへの情報格納、など仕事のやり方に着目すると変わらないと考える
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 7

リスクアプローチ手法
・業務からのアプローチ– 資産の管理が不十分でも、業務の洗い出しは可能。
– 洗い出しの粒度が大雑把になる可能性はある。

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 8

出社してから退社するまでのリスク対策ＷＧ「出社してから退社するまでのリスク対策ＷＧ」が考えたこと
中小企業では、十分な資産の洗い出しをすることが難しい。
業務からアプ業務からアプローチする方が、リスクと紐付けし易いチする方が、リスクと紐付けし易い（資産価値の把握は困難になるが）、トラブル経験がなく、自社は大丈夫と考えている中小企業にと て、なく、自社は大丈夫と考えている中小企業にとって、セキュリティ対策の契機となる可能性がある。
日常の業務のなかで、ヒューマンエラーを少なくする仕組みと 社員の意識の向上や スキルアップ
組みと、社員の意識の向上や、スキルアップ
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 9

業務からのアプローチ手法
大きく、５つの日常サイクルと２つの特別な業務に分類
日常サイクル
出社
出社時の会社への入館方法
出社時の会社の入館方法
社内
社内の仕事の仕方
社外
社外の仕事の仕方
退館・退出
会社をでるときの振る舞い、退館方法
帰宅
自宅での仕事の仕方や家族との会話
特別な業務
人事管理
入社、退職、人事評価
システム管理 システム管理者の仕事
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 10

業務からのアプローチ手法業務の洗い出し方法
とにかく、まずは抽出し、それから整理“業務“そのものではなく、共通的な業務のやり方にフォーカスし洗い出す
・ＩＴ系の業務・非ＩＴ系の業務

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 11

業務からのアプローチ手法洗い出した業務
ＩＴ系の業務
セキュリティエリアへのアクセス
PCの起動 ログイン
PCの起動・ログイン
PCを使用した業務
ＰＣ・媒体の廃棄・処分
メ ルの受信確認
メールの受信確認
メールの送信(本文）
メールの送信(添付)PCによる文書の保存
PCによる文書の作成
PCによるプリンタの使用
共有サ バの利用
共有サーバの利用
WEBサイトへのアクセス
インターネットで収集した情報の利用
外部サービスを利用したファイル交換
外部サ
ビスを利用したファイル交換
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 12

業務からのアプローチ手法洗い出した業務
非ＩＴ系の業務
FAXの送信コピ 使用
コピー使用
社内の人間とのコミュニケーション
書類の受け渡し・発送（見積書等）
記録媒体の発送書類、記録媒体の保管
書類の保管・廃棄電話での会話業務の委託離席
社外者との打ち合わせ
社内会議

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 13

業務からのアプローチ手法
リスクの洗い出し方法
洗い出した業務と情報を保存、処理する場所よりリスクを洗い出し脆弱性に起因する要素（人が何処何処で何々する）
業務
情報を保存・処理する場所
対象ァフ）

())

()

())
出社

入館

○ ○

社内

セキュリティエリアへのアクセス

○

○

○

○

PCの起動・ログイン

○

○

○

○

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

(ーョ外
サ

宅委
廃配
託
棄・業
業
郵者
送外外
外
サ
サ
サ

（ーーイル
交換等

(ッーU
ホS
表ワプ
コ
B
携
ゴ示
F
イピリ
他
会 電 帯
ミモ 紙
A
トン
電話 話箱Xニ
ボ媒機タ話タ体
ドー

ア
ネ プ
キリ
サ
ビ 机 P
ト ケ
ネ 上 C
ワバ
シトクン

ッ部屋・エリア他ャ

業務(人が何々する)

そ 業
建の 務物
業 を務 管入を 理りす す
口る る
人 人

Page 14

業務からのアプローチ手法
リスクの洗い出し方法
目標とするセキュリティ要件、現状のセキュリティレベルから想定するリスク事象を書き出す
脆弱性に起因する要素（人が何処何処で何々する）

業務(人が何々する)

セキ リテ 要件(目的）セキュリティ要件(目的）

現状のセキ リテ
現状のセキュリティレベル
ベ

リ ク事象(リ クシナリオ)
リスク事象(リスクシナリオ)

出社

入館許可されていない第三者のアクセスを防止する

従業員かどうかを識別、認証する仕従業員かどうかを識別認証する仕組みが無い

社内

セキュリティエリアへのアクセス許可されていない部外者のアクセスを防止する

取り扱う情報の種類・重要度に応じた
許可されていない人間が権限者になりすましセキュリティエリアに入る
エリア分けがされていない

許可されていない部外者のアクセスを防止する

入退室記録が無い

情報への許可されないアクセスを防止する

PCに自動ログインの設定を行ってい 利用者権限を持たない者がPCにアクセスでき、PCから利用できる情報を漏えいしてしる
まう

情報へのアクセスを特定する

共通IDを利用している共通IDを利用しているため、個人を特定するログを残せない、またパスワードの漏えいする可能性が高い

情報への許可されないアクセスを防止する

パスワードが簡単なため覗き見で判ってしまう
パスワードをメモとして書き貼り付けているログオン時の覗き見やパスワードをメモ書きし貼り付けていることによりパスワードが漏えいし、重要情報に不正アクセスされるPCの起動・ログイン

社員以外の人間が社員になりすまし入館する

重要な情報を扱うエリアへの入退室記録が無く、情報漏えい発生後、事件を追跡できないCopyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 15

業務からのアプローチ手法
対策の検討
リスクから対策を検討、そのさい技術と人の両方を考える
脆弱性に起因する要素（人が何処何処で何々する）

業務(人が何々する)

出社

入館

社内

セキュリティエリアへのアクセス

PCの起動・ログイン対策の仕組み対策(技術的)

社員証、入館シ テ ( カ ド、 イオ認証、社員証、入館システム(IDカード、バイオ認証、パスワード認証）、警備員、社員用と外部用の入り口 従業員に個人を特定できる社員証を与え、入館が分離されている、無人受付がある、セキュリティ システムでチェックする
カメラ
ゾーンニング（エリア分け）、入室システム(IDカー
取り扱う情報の重要度に応じたエリア分けをし、ド、バイオ認証、パスワード認証）、セキュリティカ
システム的に入退室管理をする
メラ対策(人的）

従業員に個人を特定できる社員証を与え、人がチェックする取り扱う情報の重要度に応じたエリア分けをし、規程等ルールで入退室管理をする
入退室の担当者が入退室者の入退室記録を管理台帳に記入する

入退室システム、セキュリティカメラ
入退室システム、セキ
リティカメラ

システム的に入退室記録（ログ）を残す
システム的に入退室記録（グ）を残す

システム特権をユーザアカウントに与えない。
自動ログインをさせないツールの導入。
自動ログインの設定をやめる

自動ログインの設定を解除し、ユーザアカウント自動設定を許可しない旨のルールの作成
から特権を除去する

利用者ごとのIDの作成

利用者ごとのIDの作成

適当な強度（8文字以上、英数字記号の組み合わシステムのパスワードポリシーを設定しユーザに パスワード文字数、文字列の組み合わせ、変更
パスワード文字数 文字列の組み合わせ 変更せ）を持つパスワードを設定できるIDを作成し、定強制的に複雑なパスワード、定期的パスワード の周期等についてのパうワードポリシーをルー期的に変更するの変更をさせる
ル化しユーザに周知徹底する
パスワードを書いた紙を人目にさらさない

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 16

業務からのアプローチ手法
対策が実行されているかのチェック対策を導入したあと、それが的確に実行されているか、チェックするポイントも考える
脆弱性に起因する要素（人が何処何処で何々する）

業務(人が何々する)対策(技術的)対策(人的）

対策のチェックポイント
対策のチ
ックポイント

出社

入館従業員に個人を特定できる社員証を与え、入館従業員個 を特定 きる社員証を与館 従業員従業員に個人を特定できる社員証を与え、人が個 を特定 きる社員証を与が 退職、人事異動した社員の社員証のたな卸しを職事異動 た社員 社員証 たな卸 をシステムでチェックする
チェックする
定期的におこなう社内

セキュリティエリアへのアクセス取り扱う情報の重要度に応じたエリア分けをし、 取り扱う情報の重要度に応じたエリア分けをし、 入退室（エリア）のアクセス権限表の確認およびシステム的に入退室管理をする規程等ルールで入退室管理をする
実際のカードでの確認
システム的に入退室記録（ログ）を残す

PCの起動・ログイン

入退室の担当者が入退室者の入退室記録を管システムのログまたは入退室管理台帳の確認
理台帳に記入する

自動ログインの設定を解除し、ユーザアカウント自動設定を許可しない旨のルールの作成
から特権を除去する

PCの自動設定がされていないことを確認する

利用者ごとのIDの作成

システムまたはPCのアカウントの設定を確認するシステムのパスワードポリシーを設定しユーザに パスワード文字数、文字列の組み合わせ、変更
パスワード文字数 文字列の組み合わせ 変更
強制的に複雑なパスワード、定期的パスワード の周期等についてのパうワードポリシーをルー システムのパスワードポリシーを確認するの変更をさせる
ル化しユーザに周知徹底する

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 17

手引書へのまとめ
この取り組みの結果を手引書にまとめました。
取り組
結果 手引書 ままし 。
ただし、ＷＧでは「紙」媒体のリスクについても検討しましたが、手引書では、 対象がIT 、または 対策がITで可能たが、手引書では、“対象がIT”、または“対策がITで可能”なものとし、それ以外は省いています。
http://www.jnsa.org/result/2010/chusho_security_tebiki.html

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 18

手引書とＷＧの違い
手引書で省いたもの（１） 対象が紙対象が紙・物に関するもの
物に関するもの ※（２） 電源、空調等の設備管理に関するもの（３） 対策できないもの、対策が中小企業レベルでは難しいもの
・経営者、システム管理者等の権限者の不正経営者、システム管理者等の権限者の不正・DoS攻撃（４） 個人情報保護に関するもの
手引書では参考（５） 委託管理に関するもの
資料を提示（６） 対策が教育
対策が教育・啓蒙になるもの
啓蒙になるもの※ 手引書では記憶媒体、PCの持ち出し、廃棄などを盛り込んでおり、紙についても同様なシーンのリスクの把握は可能
おり、紙についても同様なシンのリスクの把握は可能
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 19

参考）紙の対策業務の中で扱う文書の洗い出し
参照
文書取扱のレベル決め

取扱方法の決定・保管方法
保管方法・取扱者/責任者
・持ち出し方法
持ち出し方法

自社の文書管理規程
不足するときは規程へのフィードバック

業務手順への盛り込み

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 20

参考）紙の対策
保管方法のポイントちょっとしたファイングの方法でミス防止
・書類の混在を防止するファイリングの単位
・ラベルやカラーによる見た目での間違い防止

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 21

手引書の体系「第1部 情報セキュリティ管理策」「第2部 業務に基づく情報セキュリティ対策」の二部から構成
第１部はＩＳＭＳ的に管理策を中心に整理
第２部は業務ベースに整理
手引書では、この２つを結びつけている（手引書の第１部は第２部をベースに整理）→ 中小企業が苦手とするＩＳＭＳアプローチと業務からのアプローチを結びつけることで、リスク認識をし易く！
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 22

手引書の体系「第1部 情報セキュリティ管理策」
青字は情報システム管理の観点
1. セキュリティ境界と入退室管理
1
2. 認証と権限
3 ウイルス及び悪意のあるプログラムに対する対策
3.
4. パッチの適用
5 バックアップ5.
6. ログの取得
7 記憶媒体の管理
7.
8. 暗号化
9 アプリケ9.
アプリケーションの利用
ションの利用Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 23

手引書の体系「第1部 情報セキュリティ管理策」
青字 情報
青字は情報システム管理の観点
管観点
10. 電子メ10
電子メールの利用
ルの利用
11. 外部サービスの利用
12 ネットワ
12.
ネットワークのアクセス制御
クのアクセス制御
13. クリアデスク・クリアスクリーン
14 変更管理14.
15. 構成管理16 障害
16.
障害・事故管理事故管理
17. 容量・能力の管理
18 Webの開発・管理
18.
Webの開発 管理
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 24

手引書の体系
1.セキュリティ境界と入退室管理
1.セキ
リティ境界と入退室管理(1)管理目的
情報と情報機器 の許可されていないアクセ を
情報と情報機器への許可されていないアクセスを防止するため(2)管理策
① 情報と情報機器のある場所を保護するため、門、入口、壁、仕切り等の物理的な境界を設定する② 設定された境界を越える権限を許可された者のみ 与え、許可されな アクのみに与え、許可されないアクセスを防止するを防止するために、境界にカード制御による入口、守衛等の設備を設置する
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 25

手引書の体系(3)運用で心がけるポイント① 退職、人事異動に伴う、アクセス権限の見直しを行う② 定期的に入退室記録を確認する(4) 関連する管理項目
認証と権限、クリアデスク・クリアスクリーン

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 26

手引書の体系「第2部 業務に基づく情報セキュリティ対策」
務情報策」「出社」、「社内業務」、「社外業務」、「退社」、「帰宅」、「システム管理業務」の６種類 ６２業務「システム管理業務」の６種類、６２業務
出社
社内業務
社外業務
退社
帰宅
システム管理業務

１業務
３１業務
１２業務
１業務
２業務
１５業務

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 27

手引書の体系業務No.2

セキュリティエリアへのアクセス情報を処理・ ■建物・部屋・エリア □キャビネット □机上 □PC □サーバー
保存するた□ネットワーク □アプリケーション □記憶媒体(USBメモリー他)
めの実体□プリンター □FAX □コピー機□プリンタ□コピ 機 □携帯電話 □電子機器(ＩＣレコーダー、カメラ他) □外部のサービス（ファイル交換サービス等）
影響■機密性 ■完全性 ■可用性 □適法性

脅威の主体

□システム管理者(本人) □システム管理者(本人外)□従業員(本人) ■従業員(本人外) ■訪問者 □外部□偶発的要因

責任者□システム管理者 ■業務・人事管理者 □従業員

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 28

手引書の体系
セキュリティの対策の目的 情報と情報機器への許可されていないアクセスを防止するため
現状のセキュリティレベル

取り扱う情報の重要度に応じたエリア分けをしていない

リスクシナリオ

許可されていない者がセキュリティエリアに入り権限のない情報を閲覧する

技術的対策

取り扱う情報の重要度に応じたエリア分けをし、システ
ム的(入退室管理システム)にエリア管理(入退室管理)をする

人的対策

取り扱う情報の重要度に応じたエリア分けをし、ルール等でエリア管理(入退室管理)をする

運用で心がけるポイント

・エリア(室)のアクセス権限表に退職者、人事異動が反映されているか確認する
・エリア入退(入退室)カードの確認及び棚卸を行う

備考

関連する管理策：1.セキュリティ境界と入退室管理 ①,② 2.認証と権限 ③,④
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 29

情報セキュリティチェックシートとの紐づけ

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 30

情報セキュリティチェックシートとの紐付け
情報セキュリティチェックシート
２つの対象者向けから構成
・経営者
経営者、経営層向け
経営層向け
・情報セキュリティ責任者・担当者
ＩＳＯ２７００１ 管理策をベースに策定
詳細は下記、URLを
http://www.jnsa.org/seminar/2008/1217nsf2008/data/
http://wwwjnsa org/seminar/2008/1217nsf2008/data/
1217-C2-01checksheetA3.xls

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 31

情報セキュリティチェックシートとの紐付け
情報セキュリティチェックシートと手引書との紐付け
管理策
No.

キーワード

付属書A他

手引書 業務No.
9-5紐付けトラブル事象例無し

機密性、完全性、可用性のバランスを取ったシステムの利用方針がないと全てのトラブルに発展する可能性がある

1,2,21

責任 明確化
責任の明確化ができていないとトラ
きな
ラブル時の対処が遅れたり、事後の対処が的確に出来ない等の可能性がある

システム管理基準 Ⅰ.情報戦略 1.全体最適化(1),(6)
1 情報セキュリティ方針 A.5.1.1 情報セキュリティ基本方針文書
情報セキュリティ基本方針のレビュー
リ ィ 本方針
A.5.1.2 情報

2 責任の明確化

システム管理基準 Ⅰ.情報戦略 2.組織体制
2.1(1),2.2(1)A.6.1.1 情報セキュリティに対する経営陣の責任
A.6.1.2 情報セキュリティの調整
A.6.1.3 情報セキュリティ責任の割当て
A.6.1.4 情報処理設備の認可プロセス
A 6 1 6 関係当局との連絡
A.6.1.6
A.6.1.7 専門組織との連絡
A.6.1.8 情報セキュリティの独立したレビュー
A.8.1.2 選考
A.8.1.3 雇用条件
A.8.2.1 経営陣の責任
A.8.2.3 懲戒手続き
A.8.3.1 雇用の終了又は変更に関する責任
終
変す 責任
A.8.3.2 資産の返却

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 32

情報セキュリティチェックシートとの紐付け
情報セキュリティチェックシートと手引書のそれぞれの特徴
・情報セキュリティチェックシートはＩＳＭＳベースのため、手引書の第１部より範囲が広い。
手引書の第１部より範囲が広い
・情報セキュリティチェックシートのトラブル事象は、知識、経験が少ない中小企業の方にとって 管理策からトラ経験が少ない中小企業の方にとって、管理策からトラブル事象が結びつきにくい。
・手引書の第２部は 現状のセキュリティレベルとリスク・手引書の第２部は、現状のセキュリティレベルとリスクシナリオがあり、業務に潜むリスクが理解しやすいが、リスクの把握 対策がポイント的になるリスクの把握、対策がポイント的になる。

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 33

情報セキュリティチェックシートとの紐付け
情報セキュリティチェックシートと手引書との紐付けができると 何が良いのかできると、何が良いのか．．．．
・ＩＳＭＳ管理策ベースの情報セキュリティチェックシートのＩＳＭＳ管理策ベ スの情報セキュリティチェックシ トの網羅性を活かす。
・情報セキュリティチェックシートのトラブル事象が、業務情報セキュリティチェックシ トのトラブル事象が、業務ベースのリスクシナリオと結びつくことで、リスクについて、理解しやすい。
・情報セキュリティチェックシートには対策欄がない（※）
が、手引書と結びつくことで管理策の対策を理解しやすい。
※オリジナルのシートには対策欄は存在するが、未記入※オリジナルのシトには対策欄は存在するが、未記入
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 34

チェックシートと手引書の両方からのアプローチ
ポリシー観点からのアプローチ
チェックシート

手引書
業務の観点からのアプロ チ
業務の観点からのアプローチ

・ポリシーへの準拠性チェック
・該当業務にとって対策していないことによるリスクの有無、大きさの把握対策の必要性・優先順位付けの判断
要先順
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 35

具体的な業務からのアプロ チ案
アプローチ案

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 36

電気店で電気製品購入（１）例：エアコンを購入
お客様

店舗

購入伝票
お客様
情報

店舗

顧客管理システムﾌ ｲﾘﾝｸﾞ ・氏名、住所、電話番号、ﾌｧｲﾘﾝｸﾞ
氏名 住所 電話番号
メールアドレス
・購買情報
購買情報

工事伝票
出荷指示

店舗外
工事業者
・氏名、住所、電話番号
配送業者

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 37

電気店で電気製品購入（２）例：エアコンを購入
お客様
現場確認連絡工事業者
配送業者

店舗外・電話番号

お客様
配送、工事事前連絡

工事業者
配送業者

店舗外・電話番号Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 38

電気店で電気製品購入（３）例：エアコンを購入

店舗外

工事業者
配送業者

お客様
受け取り
工事完了

受け取り
工事完了

顧客管理システム

店舗・氏名、住所、電話番号、メールアドレス
・購買情報
・配送 工事記録
・配送、工事記録

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 39

情報格納先と業務からの想定リスクの洗い出し
最終的に業者側に残った情報
想定リスク

保存先

形式

情報内容

業務

顧客管理システム

電子

住所、氏名、電話番号、メールアドレス、購買記
録

共有サーバの利用

誤入力

サーバの管理業務

障害後の復旧不可

購入伝票

受け取り
工事完了

紙

紙

配送、工事
配送
工事 電子
担当者の携帯電話

住所、氏名、電住所
氏名 電話番号、決済情報、住所、氏名、電話番号

業務

不正アクセス

想定リスク

書類の保管紛失

書類の廃棄

不正持ち出
し

氏名 電話番号
氏名、電話番号Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会誤廃棄

Page 40

情報格納先と業務からの想定リスクの洗い出し
一時的に外部に持ち出す情報
保存先

形式

工事見積り
受け取り
工事完了

紙

配送、工事担当者の携
携帯電話
話

電子

情報内容
住所、氏名、電話番号
氏名、電話番号

業務想定リスク

公共の場での電話使用
話

電話紛失、電話番号の漏洩

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 41

洗い出したリスクと管理策の検討
最終的に事業者側に残った情報
保存先

形式

情報内容

リスク

顧客管理
システム

電子

住所、氏名、電話番 アクセス権限のな号、メールアドレス、 い者による不正ア
購買記録
クセス、情報の漏
洩

購買伝票

紙

住所、氏名、電話番 誤廃棄、不正持ち 鍵付ロッカーで号、決済情報出しによる情報の の保管
漏洩

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

管理策
アクセス時の認証とアクセス権限管理

Page 42

洗い出したリスクと管理策の検討
最終的に事業者側に残った情報
保存先

形式

情報内容

リスク管理策

工事見積り書 紙
受け取り
工事完了

住所、氏名、電話番
番号

誤廃棄、不正持ち 鍵付ロッカーで出しによる情報の の保管
漏洩

配送、工事
配送
工事担当者の携帯電話

氏名 電話番号
氏名、電話番号

紛失による情報の 登録の禁止
登録の禁止、漏洩
リダイヤルの削除の目視確認電子

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 43

洗い出したリスクと管理策の検討
一時的に外部に持ち出す情報
保存先

形式

情報内容

リスク

管理策

工事見積り
受け取り
工事完了

紙

住所、氏名、住所
氏名
電話番号

紛失による情報の漏洩

当日分のみの持ち出し

配送、工事担当者の携帯電話
携帯電子

氏名、電話番号

紛失による情報の漏洩

登録の禁止

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 44

業務手順にセキュリティ要素の盛り込み業務の作業チェックリストを作成し、その中にセキュリティ要素を盛り込む
チェックリストに登録時のチェックについて盛り込み

顧客管理システム
お客様

店舗
購入
伝票 お客様
情報・氏名、住所、電話番号、メールアドレス
・購買情報

例：書類と登録内容に差異がないことを確認したか

店舗外
店舗

工事
伝票
出荷
指示

工事業者
・氏名、住所、電話番号
配送業者

チェックリストに持出しについて盛り込み
盛り込み

例：持ち出す書類を確認し、必要のない書類は持ち出していないか
業者と受け渡し確認を実施したかCopyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 45

業務手順にセキュリティ要素の盛り込み業務の作業チェックリストを作成し、その中にセキュリティ要素を盛り込む
お客様
現場確認連絡

工事業者

店舗外
外

配送業者
・電話番号

お客様
配送、工事事前連絡

工事業者
配送業者
・電話番号

店舗外

チェックリストに携帯電話への電話番号の登録につい電話番号 登録にて盛り込み
例：電話帳に登録していない、
例：電話帳に登録していない
リダイヤルを消去したことを確認したか携帯はリモ トロ ク
携帯はリモートロック、リモートワイプか定期的に確認したか

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 46手順書、チェックシート
手順書
チェックシートの今後

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 47

今後の作業手引書「情報セキ リテ チ ックシ ト との紐付けで検出した「情報セキュリティチェックシート」との紐付けで検出した「出社してから退社するまで中小企業の情報セキュリティ対策実践手引き 修正
対策実践手引き」修正
情報セキュリティチェックシート
情報
中小企業が実際に実践できる情報セキュリティ対策アプ
ローチ手法の提示、チェックシートのバージョンアップや提示
ライフプロセスベースのリスク視点での対策シート作成

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 48

今後の作業共通
クラウド、スクラウド、スマートフォンなどの新デバイスへの対応
トフォンなどの新デ イス の対応- クラウド利用のリスク
中小企業のクラウド利用シ ン
中小企業のクラウド利用シーン
・Public Cloud SaaS利用
・ASP利用S 利用
自社でシステムをもつリスク、持たないリスクどっち？
- スマートフォン利用のリスク
トフォン利用のリ ク
中小企業のスマート利用シーン
・社外でのPublic
社外でCloudにアクセスする端末
アクする端末・会社支給 or 個人所有
・Android vs iPhone
スマートフォンのリスク、ＰＣのリスク 違いは？
Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 49

ご清聴ありがとうございました。
ご清聴ありがとうございました
引き続き、午後のセミナーをお楽しみに

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 50

Copyright (c) 2000-2011 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 51