中小企業の情報セキュリティ対策ガイドライン第３.1版

独立行政法人情報処理推進機構(IPA)
セキュリティセンター

中小企業の情報セキュリティ対策ガイドライン第3.1版
 中小企業の経営者や実務担当者が、情報セキュリティ対策の必要性を理解し、情報を安全に管理するための具体的な手順等を示したガイドライン
 本編2部と付録より構成• 経営者が認識すべき「3原則」、経営者がやらなければならない「重要7項目の取組」を記載（第1部）• 情報セキュリティ対策の具体的な進め方を分かりやすく説明（第２部）• すぐに使える「情報セキュリティ基本方針」や「情報セキュリティ関連規程」等のひな形を付録

2

第3.1版の主な変更点について
 第1部 経営者編

• 関連法令や被害事例を最新の内容に見直し

 第2部 実践編

• テレワークの情報セキュリティに関する解説を追加• セキュリティインシデント対応に関する解説を追加

 付録• 付録1「情報セキュリティ５か条」、付録３「５分でできる！情報セキュリティ自社診断」の対策
例を最新の内容に見直し• 付録４「情報セキュリティハンドブック（ひな形）」、付録５「情報セキュリティ関連規程（サンプル）」にテレワークの情報セキュリティに関するひな形、サンプルを追加• 付録８「中小企業のためのセキュリティインシデント対応の手引き」を追加
3

ガイドラインの対象 対象組織• 全ての業種の中小企業および小規模事業者（法人、個人事業主、各種団体も含む）

 想定読者• 経営者と情報セキュリティ対策を実践する責任者・担当者

4ガイドラインの構成

5

第1部 経営者編
1. 情報セキュリティ対策を怠ることで企業が被る不利益(1) 金銭の損失(2) 顧客の喪失(3) 事業の停止(4) 従業員への影響

2. 経営者が負う責任(1) 経営者などに問われる法的責任(2) 関係者や社会に対する責任

3. 経営者は何をやらなければならないのか(1) 認識すべき「3原則」(2) 実行すべき「重要7項目の取組」

6経営者は何をやらなければならないのか(1) 認識すべき「3原則」
 経営者は、以下の3原則を認識し、対策を進める。

• 経営者は、IT活用を推進する中で、情報セキュリティ対策の重要性を認識し、自らリーダーシップを発揮して対策の実施を主導• 必要に応じて委託先が実施している情報セキュリティ対策も確認し、不十分な場合は、対処を検討• 情報セキュリティに関する取組方針を常日頃より関係者に伝えておくことで、サイバー攻撃によるウイルス感染や情報漏えいが発生した際にも、説明責任を果たすことができ、信頼関係を維持することが可能

7

経営者は何をやらなければならないのか(2) 実行すべき「重要7項目の取組」
 経営者は、以下の7項目を自ら実践するか、実際に情報セキュリティ対策を実践する責任者・担当者に対して指示し、確実に実行することが必要

8

第2部 実践編
 できるところから始めて段階的にステップアップ

情報セキュリティ５か条

5分でできる！
情報セキュリティ自社診断

情報セキュリティ関連規程• 情報収集と共有• ウェブサイトの情報セキュリティ• クラウドサービスの情報セキュリティ• テレワークの情報セキュリティ• セキュリティインシデント対応• セキュリティサービス例と活用• 技術的対策例と活用• 詳細リスク分析の実施方法
9

Step1 できるところから始める(1) 情報セキュリティ5か条
 情報セキュリティ5か条を守るところから始めてみましょう① OSやソフトウェアは常に最新の状態にしよう！

OSやソフトウェアを古いまま放置していると、セキュリティ上の問題点が解決されず、それを悪用したウイルスに感染してしまう危険性があります。
お使いのOS やソフトウェアには、修正プログラムを適用する、もしくは最新版を利用するようにしましょう。

② ウイルス対策ソフトを導入しよう！

ID・パスワードを盗んだり、遠隔操作を行ったり、ファイルを勝手に暗号化するウイルスが増えています。
ウイルス対策ソフトを導入し、ウイルス定義ファイル（パターンファイル）は常に最新の状態になるようにしましょう。

③ パスワードを強化しよう！

パスワードが推測や解析されたり、ウェブサービスから流出したID・パスワードが悪用されたりすることで、不正にログインされる被害が増えています。
パスワードは「長く」「複雑に」「使い回さない」ようにして強化しましょう。

④ 共有設定を見直そう！

データ保管などのウェブサービスやネットワーク接続した複合機の設定を間違ったために、無関係な人に情報を覗き見られるトラブルが増えています。
無関係な人が、ウェブサービスや機器を使うことができるような設定になっていないことを確認しましょう。

⑤ 脅威や攻撃の手口を知ろう！

取引先や関係者と偽ってウイルス付きのメールを送ってきたり、正規のウェブサイトに似せた偽サイトを立ち上げてID・パスワードを盗もうとする巧妙な手口が増えています。脅威や攻撃の手口を知って対策をとりましょう。
10

Step2 組織的な取り組みを開始する(1) 情報セキュリティ基本方針の作成と周知
 経営者が定めた情報セキュリティに関する基本方針を、従業員や関係者に伝えるために簡潔な文書を作成・周知
 付録2「情報セキュリティ基本方針（サンプル）」を編集して策定

11

Step2 組織的な取り組みを開始する(2) 実施状況の把握

 自社のセキュリティ対策の実施状況を把握するために、付録3「5分でできる！情報セキュリティ自社診断」を活用• 25項目の設問に答えるだけで、自社の情報セキュリティの問題点を簡単に把握できる
 基本的対策 5項目
 従業員としての対策 13項目
 組織としての対策 7項目• 解説編の対策例を参考に、社内ルールを作成することができる

12

付録４

5分でできる！情報セキュリティ自社診断
基本的対策

1

パソコンやスマホなど情報機器の OS やソフトウェアは常に最新の状態にしていますか？

2

パソコンやスマホなどにはウイルス対策ソフトを導入し、ウイルス定義ファイルは最新の状態にしていますか？

3

パスワードは破られにくい「長く」「複雑な」パスワードを設定していますか？

4

重要情報に対する適切なアクセス制限を行っていますか？

5

従業員としての対策

新たな脅威や攻撃の手口を知り対策を社内共有する仕組みはできていますか？

6

電子メールの添付ファイルや本文中の URLリンクを介したウイルス感染に気をつけていますか？

7

電子メールや FAX の宛先の送信ミスを防ぐ取り組みを実施していますか？

8

重要情報は電子メール本文に書くのではなく、添付するファイルに書いてパスワードなどで保護していますか？

9

無線 LAN を安全に使うために適切な暗号化方式を設定するなどの対策をしていますか？

10

インターネットを介したウイルス感染や SNS への書き込みなどのトラブルへの対策をしていますか？

11

パソコンやサーバーのウイルス感染、故障や誤操作による重要情報の消失に備えてバックアップを取得していますか？

12

紛失や盗難を防止するため、重要情報が記載された書類や電子媒体は机上に放置せず、書庫などに安全に保管していますか？

13

重要情報が記載された書類や電子媒体を持ち出す時は、盗難や紛失の対策をしていますか？

従業員としての対策

従業員としての対策

14
15

離席時にパソコン画面の覗き見や勝手な操作ができないようにしていますか？
関係者以外の事務所への立ち入りを制限していますか？

16

退社時にノートパソコンや備品を施錠保管するなど盗難防止対策をしていますか？

17

事務所が無人になる時の施錠忘れ対策を実施していますか？

18

重要情報が記載された書類や重要なデータが保存された媒体を破棄する時は、復元できないようにしていますか？

19

従業員に守秘義務を理解してもらい、業務上知り得た情報を外部に漏らさないなどのルールを守らせていますか？

20

従業員にセキュリティに関する教育や注意喚起を行っていますか？

21

個人所有の情報機器を業務で利用する場合のセキュリティ対策を明確にしていますか？

22

重要情報の授受を伴う取引先との契約書には、秘密保持条項を規定していますか？

23

クラウドサービスやウェブサイトの運用などで利用する外部サービスは、安全・信頼性を把握して選定していますか？

24

セキュリティ事故が発生した場合に備え、緊急時の体制整備や対応手順を作成するなど準備をしていますか？

25

情報セキュリティ対策（上記1～24など）をルール化し、従業員に明示していますか？

13Step2 組織的な取り組みを開始する(3) 対策の決定と周知
 自社診断で問題があった項目は、解説編を参考に対策を決定
 付録4「情報セキュリティハンドブック（ひな形）」を編集して社内周知
付録3「5分でできる！情報セキュリティ自社診断」

解説編を参考に、対策を決定

付録4「情報セキュリティハンドブック（ひな形）」「情報セキュリティハンドブック」を編集
社内周知
14

Step3 本格的に取り組む(1) 管理体制の構築
 情報セキュリティ対策を推進するための管理体制を決定
 付録5「情報セキュリティ関連規程」を活用して自社の管理体制を社内に周知

15

Step3 本格的に取り組む(2) DXの推進と情報セキュリティの予算化
 自社の情報システムについて、インターネットとの接続状況を把握 情報セキュリティ対策を検討して予算を確保
テレワークを導入するにあたり・・・
クラウドのセキュリティ確認
リモート接続のセキュリティ確保
利用者認証の強化DX（Digital Transformation）
企業がビジネス環境の激しい変化に対応し、データとデジタル技術を活用して、顧客や社会のニーズを基に、製品やサービス、ビジネスモデルを変革するとともに、業務そのものや、組織、プロセス、企業文化・風土を変革し、競争上の優位性を確立すること。
16

Step3 本格的に取り組む(3) 情報セキュリティ規程の作成① 対応すべきリスクの特定• 経営者が避けたい重大事故から、対応すべきリスクを特定• 外部状況：法律や規制、情報セキュリティ事故の傾向、取引先からの情報セキュリティに関する要求事項など• 内部状況：経営方針・情報セキュリティ方針、管理体制、情報システムの利用状況など② 対策の決定• リスクが大きなものを優先して対策を実施• いつ事故が起きてもおかしくない• 事故が起きると大きな被害になるなど• リスクな小さなものは許容するなど、合理的に対応• 事故が起きる可能性が小さい• 発生しても被害が軽微であるなど③ 規程の作成• 付録５「情報セキュリティ関連規程（サンプル）」を参考に、自社に適した規程にするために修正を加える• サンプル文中の赤字、青字部分を自社向けに修正すれば、自社の規程が完成• サンプルに明記されていなくても必要な対策や有効な対策があれば、追記

17

付録５

情報セキュリティ関連規程（サンプル）

18

Step3 本格的に取り組む(4) 委託時の対策
 契約書や覚書に具体的な対策を明記
 個別に契約や覚書を交わすことができる場合は、委託先のサービス規約や情報セキュリティ方針を確認
 個人情報保護法では、個人データの取り扱いを委託する場合は、必要かつ適切な監督の実行

付録5 情報セキュリティ関連規程（サンプル）

19

Step3 本格的に取り組む(5) 点検と改善 情報セキュリティ対策が本当に実行されているか、見落としている対策はないか、対策がセキュリティ事故防止のために役に立っているか、等を確認
 点検の基準例• その1）「情報セキュリティ5か条」「5分でできる！情報セキュリティ自社診断」• その2）情報セキュリティ対策に関するルール・規程

20

Step4 より強固にするための方策 より強固な情報セキュリティ対策に取り組むために、以下の8つの区分について説明（1）情報収集と共有（2）ウェブサイトの情報セキュリティ（3）クラウドサービスの情報セキュリティ（4）テレワークの情報セキュリティ（5）セキュリティインシデント対応（6）セキュリティサービス例と活用（7）技術的対策例と活用（8）詳細リスク分析の実施方法

21

Step4 より強固にするための方策(1) 情報収集と共有

 情報セキュリティに関する情報収集の方法と情報共有の枠組みについて説明① 情報収集の方法• 定常的に情報収集ができる方法を検討し、体制を整備• 情報セキュリティの専門機関、セキュリティベンダーなどのメールマガジンやソーシャルメディアに登録• セミナーに参加して積極的な情報収集② 情報共有の枠組み• 収集した情報は社内の関係者だけではなく、取引先や同業者に対しても共有することで、対策の向上を図る• 共有する情報に機密情報が含まれる可能性がある場合は、守秘義務契約を交わす• 情報共有の枠組みとしては、日本シーサート協議会の他、業界別のISAC*が組織されている場合がある* ISAC(Information Sharing and Analysis Center)同業界の事業者同士でサイバーセキュリティに関する情報の共有・分析などを行う組織

22

Step4 より強固にするための方策(2) ウェブサイトの情報セキュリティ
 ウェブサイトを安全に構築し、運営するためのポイントを説明
ウェブサイト
運営形態の検討

ウェブサイトの構築

ウェブサイトでの運営形態によってセキュリティ対策が異なるため、自社の状態に見合った運営形態を検討しましょう。

ウェブサイト開設等における運営形態の選定方法に関する手引き

ウェブサイトの技術的な脆弱性を認識したうえで、必要なセキュリティ対策を設計・開発の段階から検討しましょう。

ウェブサイトの運営
運用開始後に発覚した情報セキュリティ上の問題にも適切に対応し、ウェブサイトの安全性を維持向上しましょう。

安全なウェブサイトの作り方

安全なウェブサイトの運用管理に向けての20ヶ条

技術的な解説については手引き・ガイドラインを紹介
23

Step4 より強固にするための方策(3) クラウドサービスの情報セキュリティ
 クラウドサービスを安全に利用するためのポイントを説明
クラウドサービスの選定クラウドサービスの運用

クラウドサービスのセキュリティ対策

クラウド化する業務によって重視すべきセキュリティ対策は異なるため、業務のセキュリティ要件に見合ったサービスを選定しましょう。

クラウドサービスは提供者と利用者が連携して運用するため、その特性を理解して運用しましょう。

クラウドサービス利用者が対応すべきセキュリティ対策を理解して実施しましょう。

付録６「中小企業のためのクラウドサービス安全利用の手引き」にてポイント(チェックリスト)の各項目について解説
24

付録６

中小企業のためのクラウドサービス安全利用の手引き
1

どの業務で利用するか明確にする

どの業務をクラウドサービスで行い、どの情報を扱うかを検討し、業務の切り分けや運用ルールを明確にしましたか？

2

クラウドサービスの種類を選ぶ

業務に適したクラウドサービスを選定し、どのようなメリットがあるか確認しましたか？

3

取扱う情報の重要度を確認する

クラウドサービスで取扱う情報が漏えい、改ざん、消失したり、サービスが停止した場合の影響を確認しましたか？

4

セキュリティのルールと矛盾しないようにする

自社のルールとクラウドサービス活用との間に矛盾や不一致が生じませんか？

5クラウド事業者の信頼性を確認する

クラウドサービスを提供する事業者は信頼できる事業者ですか？

6

クラウドサービスの安全・信頼性を確認する

サービスの稼働率、障害発生頻度、障害時の回復目標時間などのサービス品質保証は示されていますか？

7

管理担当者を決める

クラウドサービスの特性を理解した管理担当者を社内に確保していますか？

8

利用者の範囲を決める

クラウドサービスを適切な利用者のみが利用可能となるように管理できていますか？

9

利用者の認証を厳格に行う

パスワードなどの認証機能について適切に設定・管理は実施できていますか？（共有しない、複雑にするなど）

10

バックアップに責任を持つサービス停止やデータの消失・改ざんなどに備えて、重要情報を手元に確保して必要なときに使えるようにしていますか？

11

付帯するセキュリティ対策を確認するサービスに付帯するセキュリティ対策が具体的に公開されていますか？

12

利用者サポートの体制を確認する

サービスの使い方がわからないときの支援（ヘルプデスクやFAQ）は提供されていますか？

13

利用終了時のデータを確保する

サービスの利用が終了したときの、データの取扱い条件について確認しましたか？

14

適用法令や契約条件を確認する

個人情報保護などを想定し、一般的契約条件の各項目について確認しましたか？

15

データ保存先の地理的所在地を確認する

データがどの国や地域に設置されたサーバーに保存されているか確認しましたか？

25

Step4 より強固にするための方策(4) テレワークの情報セキュリティ テレワークを安全に実施するためのポイントを説明
テレワークの方針検討

テレワークのセキュリティ対策

テレワークの運用

テレワークを行う際のシステム構成や機器をどうするか方針を検討しましょう。

テレワークで利用するシステム構成や機器によって必要なセキュリティ対策を構築しましょう。

テレワークに関するルールを定め、テレワーク勤務者に周知し、事故に気をつけて安全に運用しましょう。

26

Step4 より強固にするための方策(5) セキュリティインシデント対応
 セキュリティインシデント発生時の対応に関するポイントを説明
検知・初動対応
インシデントを検知した場合は、速やかに情報セキュリティ責任者へ連絡し、被害を拡大させないための初動対応を行いましょう。

報告・公表

復旧・再発防止

顧客や関係者、行政機関、一般・メディア等に対して、必要な場合は適時の報告や情報公開を行いましょう。

システム管理者や外部専門組織と協力して、迅速な復旧作業や根本的な再発防止策を検討しましょう。

付録8「中小企業のためのセキュリティインシデント対応の手引き」にて対応方法の詳細や相談・報告先などを解説
27

付録８

中小企業のためのセキュリティインシデント対応手引き
 インシデント発生時の対応について、「検知・初動対応」「報告・公表」「復旧・再発防止」の３つの段階に分けて検討事項を説明
 インシデント対応時に整理しておくべき事項や相談窓口・報告先などを紹介

ステップ１
検知・初動対応

ステップ２
報告・公表

ステップ３
復旧・再発防止• 検知と連絡受付• 第一報• 対応・調査• 対応体制の構築• 最終報・第二報以降• 証拠保全

• 初動対応• 復旧• 再発防止28

Step4 より強固にするための方策(6) セキュリティサービス例と活用
 外部の情報セキュリティサービスを利用することで、より強固で有効な対策を実施することが可能
 セキュリティ人材が社内に不足している場合や、情報セキュリティの向上に有用① 情報セキュリティコンサルテーション② 情報セキュリティ教育サービス③ 情報セキュリティ監査サービス④ 脆弱性診断サービス⑤ デジタルフォレンジックサービス⑥ セキュリティ監視・運用サービス

29

Step4 より強固にするための方策(7) 技術的対策例と活用
 コンピュータやインターネットを利用する際の技術的対策（製品やソフトウェア）を紹介① ネットワーク脅威対策② コンテンツセキュリティ対策③ アクセス管理④ システムセキュリティ管理⑤ 暗号化⑥ データの破棄

30

Step4 より強固にするための方策(8) 詳細リスク分析の実施方法
 付録７「リスク分析シート」を活用した詳細リスク分析の実施方法を説明
情報資産の洗い出し
どのような情報資産があるか洗い出して重要度を判断する●情報資産管理台帳の作成
日常どのような電子データや書類を利用して業務を行っているかを考えて洗い出します。
●情報資産ごとの機密性・完全性・可用性の評価
機密性、完全性、可用性が損なわれた場合の事業への影響や、法律で安全管理義務があるなどを踏まえて、評価値を記入します。
●機密性・完全性・可用性の評価値から重要度を算定
重要度は、機密性、完全性、可用性いずれかの最大値で判断します。

リスク値の算定

情報セキュリティ
対策の決定

優先的・重点的に対策が必要な情報
資産を把握する

リスクの大きな情報資産に対して必要とされる対策を決める①リスクを低減する
自社で実行できる情報セキュリティ対策を導入ないし強化することで、脆弱性を改善し、事故が起きる可能性を下げる②リスクを保有する事故が発生しても許容できる、あるいは対策にかかる費用が損害額を上回る場合などは対策を講じず、現状を維持する。
③リスクを回避する
仕事のやりかたを変える、情報システムの利用方法を変えるなどして、想定されるリスクそのものをなくす。
④リスクを移転する
自社よりも有効な対策を行っている、あるいは補償能力がある他社のサービスを利用することで自社の負担を下げる。

31

32