情報セキュリティガバナンスについて

２００６年３月23日
独立行政法人 情報処理推進機構
セキュリティセンター長 三角育生
http://www.ipa.go.jp/security/
Copyright 2006 IPA

1

情報セキュリティを巡る現状認識•

発生する問題の量的増加- コンピュータウイルス、不正アクセスの届出の増加- インターネット取引拡大等により、金融、クレジット、電力等の重要業種においても問題が増大傾向- 体制の更なる強化、社会全体のリテラシー向上が不可欠•

ウイルス届出件数の年別推移

件数
6 0 ,0 0 0

5 4 ,1 7 4
5 2 ,1 5 1

Mytobが出現し、2ヶ月余りで70種類以上もの亜種が登場

5 0 ,0 0 0
4 0 ,0 0 0

Netskyウイルスの亜種が次々に登場
セキュリティホールを悪用する亜種も出現

3 0 ,0 0 0

2 4 ,2 6 1
2 0 ,3 5 2
1 7 ,4 2 5

セキュリティホールを悪用するMSBlaster、Welchia
が2 0 ,0 0 0

1 1 ,1 0 9
1 0 ,0 0 01457

2 5 3 8 9 7 1 ,1 2 7 6 6 8755

1990

1991

1992

1996

2 ,3 9 1 2 ,0 3 5 3 ,6 4 50
※1990年は4〜12月

1993

1994

1995

1997

1998

1999

2000

2001

2002

2003

2004

2005

年

独立行政法人 情報処理推進機構 セキ ュリテ ィセン ター (I P A/ I S EC)

脅威の質的変化- 愉快犯的行為から経済的利得目的化、組織化・分業化- 脅威の質の変化に対応するための体制構築が不可欠•

自律的な対応の必要性- 対処療法から自律的・継続的な対応の必要性（経済産業省資料を参考に作成）

Copyright 2006 IPA

出典：IPA資料

2経営課題としての情報セキュリティの位置付け
企業が今後調査分析対象として捉えているリスクファクター
12786835257816477

リス
不ク
動産リ
自ス
然ク
要因
リ
人ス
的ク
要因リス
制ク
度
情的報
リシス
ス
ク
テ
ム
リス
ク
技業
術務・製リ
ス
品
ク
レ
要ピ
因
ュ
テリス
ークシ
ョンリス
ク

ク

75

119

財務

リス
信用

ク

63

リ
ス
市場

単位 社数

140
120
100
80
60
40
200

経済産業省 2003年事業リスク評価・管理人材育成システム開発事業 アンケート調査より作成 有効回答数（1009票）

ＩＴが社会や顧客への影響、経営に与える影響が大きくなっている。
「情報システムのリスク」を挙げる企業は多い。
経営課題としての認識を高めることが必要。
Copyright 2006 IPA

3
出典：経済産業省資料

情報セキュリティ対策の現状¾ 我が国企業が情報セキュリティ投資を行う上で障害と感じる主な要因は、①費用対効果が見えない（62.1％）②どこまで行えばよいか基準が示されていない（53.4％）¾ 我が国企業の緊急事態対応計画は、策定済が7.9％、現在作成中が12.0％にとどまる。
¾ IT事故の発生可能性を無くすことはできない以上、企業は本来、IT事故発生時の被害局限化と早期復旧が重要であり、そのための事業継続計画（BCP）を策定すべき。
大手・中堅企業における緊急事態対応計画の策定状況（重要インフラ業種を除く）

大手・中堅企業における情報セキュリティ投資の障害（重要インフラ業種を除く）
0%

10%

20%

30%

40%

50%

60%

70%
0 .5 %

1 .4 %

7 .9 %

51.5%

コストがかかりすぎる

1 2 .0 %62.1%

費用対効果が見えない
39.8%

教育訓練が行き届かない

4 3 .3 %19.6%

従業員への負担がかかりすぎる

32.7%

対策を構築するノウハウが不足している

53.4%

どこまで行えばよいか基準が示されていない
トップの理解が得られない

14.4%

情報を資産として考える習慣がない

18.3%

最適なツール・サービスがない3 4 .9 %N=367
定 めて い る
作 成 を検 討 して い る
必要ない

現在作成中で ある
定 めて い な い
無 回 答

13.6%

そ の 他

0.3%

無 回 答

1.9%

米KPMG”KPMG 2002 BUSINESS CONTINUITY STUDY”の調査(2002年）によると、米国では、BCP策定済の企業は67％、策定中の企業は29％であり、未対応企業は4％に過ぎない。

出所：警察庁｢不正アクセス行為対策等の実態調査｣（2003年12月）より事務局作成

Copyright 2006 IPA

4
出典：経済産業省資料

情報セキュリティガバナンスとは
従来の情報セキュリティ対策

情報セキュリティガバナンス

目的

自社内における情報システ
ムの信頼性・安全性の確保

ステークホルダー（株主、顧客、取引先等）に対する責任

責任主体

システム部門

経営層

対症療法的対策

内部統制の確立とディスクロージャー

方法¾¾ 社会的責任にも配慮したコーポレート・ガバナンスと、それを支えるメカニズムである内部統制の仕社会的責任にも配慮したコーポレート・ガバナンスと、それを支えるメカニズムである内部統制の仕組みを、情報セキュリティの観点から企業内に構築・運用すること、すなわち「情報セキュリティガバ組みを、情報セキュリティの観点から企業内に構築・運用すること、すなわち「情報セキュリティガバナンス」の確立が求められる。
ナンス」の確立が求められる。
Copyright 2006 IPA

5
出典：経済産業省資料

施策ツールとISMS認証等との基本的関係
自己評価をベースとしつつ、必要な場合は第三者による客観評価に耐えうる仕組みの構築が重要
企業活動のグローバル化を考慮し、国際基準との整合性等にも配慮
情報セキュリティガバナンスの確立
国際的にも通用する情報セキュリティの確立

事業継続計画策定ガイドライン

ISMS認証情報セキュリティ監査
国際基準に準拠した情報セキュリ
ティを確保

9 事業継続の重要性啓発
9 計画策定の促進
9 国際標準化機構（ISO）においてBCP（BCM）を規格化する動きあり

第三者による評価・認証実施レベル

情報セキュリティ報告書
9 ステークホルダーからの適正な評
価の促進
9 第三者評価・認証への動機付け9 企業における情報セキュリティを含むリスク要因の開示が求められる方向性にある(Sarbanes-Oxley
法、金融庁のガイドライン等)

ステークホルダー
株主、投資家等
顧客・消費者
取引先【評価】【情報開示】

格付け機関
従業員

セルフチェックレベル・・・・【セルフチェック】

情報セキュリティ対策ベンチマーク

未実施または簡易対策実施レベル

9 セルフチェックを通じた経営層の啓発
9 評価項目はISMS、ISO/IEC17799をベースにしており、国際基準を踏まえた評価を行うことが可能
9 将来の第三者評価・認証に向けた「入口」

Copyright 2006 IPA

6
出典：経済産業省資料

情報セキュリティ対策ベンチマークシステム
設問のサンプル
9 情報セキュリティポリシーや情報セキュリティ管理に関する規程を定め、それを実践していますか。
9 導入しているソフトウェアに対して適切な脆弱性対策を実施していますか。
9 主要な業務に関わるプロセスのうち、インターネットに依存している割合はどの程度ですか。
第1部：情報セキュリティ対策状況に関する設問 25問
第2部：事業内容に関する設問 15問

Copyright 2006 IPA

情報セキュリティ対策ベンチマークシステム
http://isec.ipa.go.jp/benchmark-new/7情報セキュリティ報告書モデル①基礎情報

情報セキュリティ報告書の記載項目（フルセット）④情報セキュリティ対策の計画、目標
9アクションプラン
9数値目標（対策ベンチマークのスコア等）

9報告書の発行目的
9利用上の注意
9対象期間、責任部署等⑤情報セキュリティ対策の実績、評価②経営者の情報セキュリティに関する考え方
9企業の情報セキュリティに関する取り組み方針
9対象範囲対象範囲
9報告書におけるステークホルダーの位置付け、ステークホルダーに対するメッセージ③情報セキュリティガバナンス
9情報セキュリティマネジメント体制（責任の所在、組織体制、コンプライアンス等）
9情報セキュリティに関わるリスク
9情報セキュリティ戦略

9計画に対する実績、評価
9事故報告⑥情報セキュリティに係る主要注力テーマ
9 特に強調したい取組み、テーマを選択し、その状況を紹介（例：個人情報保護、事業継続計画等）⑦第三者評価・認証
9 第三者評価・認証に係る取り組み- 認証の取得状況(ISMS、プライバシーマーク)- 情報セキュリティ監査の実施状況 等

発行主体にとっての効果
説明責任の遂行
・事業に影響するIT関連のリスクが小さいことを対外的に説明

情報セキュリティ報告書

新たな事業付加価値創出
・事業戦略の反映
・ブランドの確立

リスク低減に関する説明をステー
自社の事情に応じて情報セキュリティへの取り組みが競争
クホルダーから求められる企業 記載項目や内容のレベルを選択優位に寄与する企業【必要最低限の項目・内容】【すべての項目・内容】

Copyright 2006 IPA

8経済産業省資料を基に作成

情報漏えい対策を説明するとき（例）①•••

最近、ファイル交換ソフト(Winny)を介したウイルスに感染したことが原因
で個人情報等の情報漏えいが頻発。
公表されたケースからみられる原因：①予算の関係でパソコンの割り当てが不足していて、私有パソコンを使っていた②情報を持ち出さないようルールはあったが、徹底されていなかった③ウイルスに感染していることに気づいていなかった
組織の個人情報保護（情報漏えい等）対策を説明するとき：

Copyright 2006 IPA

9
Http://www.ipa.go.jp/security/topics/2006310_winny.html

情報漏えい対策を説明するとき（例）②
••
•
•••••
•

漏えいして困る情報を取り扱うパソコンにはWinnyを導入しない
職場のパソコンに許可無くソフトウエアを導入しない
職場のパソコンを外部に持ち出さない
職場のネットワークに、私有パソコンを接続しない自宅に仕事を持って帰らなくて済むよう作業量を適切に管理する
職場のパソコンからUSBメモリやCD等の媒体に情報をコピーしない
漏えいして困る情報を許可なくメールで送らない
ウイルス対策ソフトを導入し最新の定義ファイルで監視する
不審なファイルは開かない

私有パソコンを使わないように再徹底
ルールを再徹底し、チェックを強化
ウイルス対策を再徹底
Copyright 2006 IPA

10
Http://www.ipa.go.jp/security/topics/2006310_winny.html

情報漏えい対策を説明するとき（例）③
情報セキュリティ報告書 （部分）◇情報セキュリティに関する取組み方針- 個人情報保護…当社では、個人情報保護ポリシーに基づき、…お客様の個人情報のための体制を構築・運用し、継続的に改善に取り組んでいます。…個人情報ポリシーを全社に適用する…全従業員に定期的に個人情報保護教育を実施し、…定期的に個人情報保護体制の評価を行い、その結果を対策に反映します。

◇情報セキュリティガバナンス- 推進体制の構造と活動…情報システムのダウン、コンピュータウイルスやワーム、不正アクセス、情報漏えいといった事故が発生した場合には、事業継続計画に則り、情報システム部の主導で適切かつ迅速に問題の早期解決を図ります。

- 情報セキュリティマネジメント体制 （教育・研修関連）
情報セキュリティポリシーに基づく社内ルールを定め、…当社の社員は、入社時点から、情報セキュリティやコンプライアンスを含む実践的な情報システム利用研修を定期的に受講しており、そうした問題に係る十分な知見を有して…

…

Copyright 2006 IPA

11経済産業省資料を基に作成

情報漏えい対策を説明するとき（例）④◇情報セキュリティ戦略…個人情報管理上のリスクの一つに、社員が業務遂行のため顧客データを社外に持ち出し、紛失、盗難、ウイルスに感染した私有パソコンからのファイル流出などのケースが挙げられます。
そこで、社員による個人情報データファイルの持ち出しを原則として全て禁止し、私有パソコンの接続を許可制とするとともに、…お客様情報については、高水準の情報セキュリティレベルを有し…データセンター、カスタマーセンターを活用し、原則として個別のお客様情報を社員が直接取り扱うことがないよう、業務フローと情報システムを設計しています。

◇情報セキュリティ対策の計画、目標
当社では、…○年からリスクの最小化を実現するプロセスと、それを支える情報システムの構築に着手しており、…情報システムではプログラムのインストール制限・管理、重要事項へのアクセス制限、顧客情報等の暗号化、私有パソコンの接続制限、ウイルス対策を徹底し、…社員の高いモラルを確保するため、入社時から定期的に顧客情報の管理に関する研修を実施…
数値目標 … 社員の年一回以上の個人情報保護研修の受講率の目標を100%…

…

Copyright 2006 IPA

12経済産業省資料等を参考に作成

情報漏えい対策を説明するとき（例）⑤◇情報セキュリティ対策の実績、評価…計画に則り、○月から○月の○ヶ月間をかけて、…に関する内部監査を実施しました。具体的には、社内の業務部、…を対象とし、正式な業務プロセスと実際の作業フローとのギャップや情報システムの実現している環境について検証し、改善すべき点を洗い出しました。…
社員に対し個人情報保護研修の受講率は100%に達しました。…
実績に対する評価：個人情報保護については、委託先、情報環境、研修の観点からみて、高いレベルの環境を確保していることが確認できました。…

◇情報セキュリティに係る主要注力テーマ：「個人情報保護（情報漏えい対策）」……
個人情報の管理方法
物的・技術的管理：…書類に「秘」の文字を入れ…情報へのアクセスできる者を限定し、アクセス権者の履歴を記録、…私有パソコンの接続制限、USBメモリ等の利用制限…
人的・法的管理：社員と秘密保持契約を締結…社内でのルールを構築し、社内教育を定期的に行い…情報を持ち出すことのないように、個人情報の持ち出しを禁止しております。…
組織的管理：個人情報を保有する組織全体のマネジメントに取り組み、情報セキュリティ管理体制の整備を行っております。特に、個別のお客様情報については、高水準の情報セキュリティレベルを有し、サービス品質保証契約を取り交わしたデータセンター、カスタマーセンターを活用しています。
Copyright 2006 IPA

13
経済産業省資料等を参考に作成

BCPプロセス（IT緊急時対応計画の位置づけ）
各種計画の相互関連性

維

持運用継続計画(COOP)

保サイバーインシデント対応計画

人員緊急時計画(OEP)

事業継続計画(BCP)

サポート継続計画/
IT緊急時対応計画

護

緊急時コミュニケー
ション計画

災害復旧計画(DRP)
事業復旧（再開）計画
(BRP)

開説明

再施設
IT
ビジネス

復

旧

特に重要

IT緊急時対応計画は、組織やビジネスプロセスの継続を含む広範囲な緊急事態対策の対象に含まれるため、策定および更新において、各計画間の連携をとる必要がある。
Copyright 2006 IPA

出典: NIST SP800-34 ITシステムにおける緊急時対応計画ガイド
http://www.ipa.go.jp/security/publications/nist/documents/SP800-34-J.pdf

14

（参考）情報セキュリティ早期警戒パートナーシップ
http://jvn.jp/

IPA, JPCERT/CC
者

対策情報ポータル
（JVN）

脆弱性関連
情報通知 JPCERT

IPA【受付機関】
受付機関】

発見者

報告された
脆弱性関連
情報の内容の確認/CC【調整機関】
調整機関】 対応状況の集約，公表
公表日の決定， 日の調整等海外の調整機
関との連携等

セキュリティ対策推進
協議会 等

システム導入支援

脆弱性関連
情報届出

製品開発者

ソフトウエア製品の脆弱性• 「情報セキュリティ早期警戒パートナーシップ」

対策方法等公表

ウ個人情報漏ェ洩時は事実
ウェブサイト
脆弱性関連
脆弱性関連情報通知
関係を公表
情報届出
ブ
運営者
サ
検証，対策実施
イ
トの①製品開発者及びウェブサイト運営者による脆弱性対策を促進
脆【期待効果】 ②脆弱性関連情報の放置・危険な公表を抑制
弱③個人情報等重要情報の流出や重要システムの停止を予防性 Copyright 2006 IPA
出典： 報道資料” 「情報セキュリティ総合戦略」策定について” ，経済産業省（2003年10月10日）

ユーザ
政府企業
個人

15

独立行政法人 情報処理推進機構

セキュリティセンター（IPA/ISEC）〒113-6591
東京都文京区本駒込２−２８−８
文京グリーンコートセンターオフィス１６階
ＴＥＬ ０３（５９７８）７５０８
ＦＡＸ ０３（５９７８）７５１８
電子メール isec-info@ipa.go.jp
ＵＲＬ http://www.ipa.go.jp/security/

Copyright 2006 IPA16