サイバー・フィジカル・セキュリティ対策
フレームワークSociety5.0 における新たなサプライチェーン（バリュークリエイションプロセス）の信頼性の確保に向けて

Version 1.0

経済産業省

商務情報政策局

サイバーセキュリティ課
平成 31 年 4 月 18 日

目次
エグゼクティブサマリー .................................................................................................... I
はじめに ........................................................................................................................... 1
１．
「Society5.0」、「Connected Industries」が実現する社会 ..................................... 1
２．サイバー攻撃の脅威の増大 ..................................................................................... 3
３．フレームワークを策定する目的と適用範囲 ........................................................... 4４．フレームワークの想定読者 ..................................................................................... 5５．フレームワークの全体構成 ..................................................................................... 6
６．フレームワークに期待される効果と特徴 ............................................................... 6
７．フレームワークの使い方 ........................................................................................ 8
第Ⅰ部

コンセプト：サイバー空間とフィジカル空間が高度に融合した産業社会における産業分野のサイバーセキュリティの在り方 ......................................................................10
１．サイバー空間とフィジカル空間が高度に融合した産業社会における「Society5.0」型サプライチェーン“価値創造過程（バリュークリエイション
プロセス）”への対応 ....................................................................................... 10
２．価値創造過程（バリュークリエイションプロセス）のセキュリティを確保するための信頼性（trustworthiness）の基点を設定するためのモデル －三層構造と６つの構成要素－.................................................................................................11２．１．三層構造アプローチの意義 ...................................................................... 14
２．２．６つの構成要素 ......................................................................................... 16
３．価値創造過程（バリュークリエイションプロセス）におけるリスク源とそれに対応する方針の整理 ............................................................................................... 19
４．フレームワークを活用した信頼性の確保の考え方 .............................................. 21
５．結び ....................................................................................................................... 23
第Ⅱ部 ポリシー：リスク源の洗い出しと対策要件の特定 .............................................25
１．三層構造モデルと６つの構成要素を活用したリスクマネジメントの進め方 ...... 25
１．１．分析対象の明確化(三層構造モデルへの落とし込み) ............................... 28
１．２．想定されるセキュリティインシデント及び事業被害レベルの設定 ........ 36
１．３．リスク分析の実施 ..................................................................................... 41
１．４．リスク対応の実施 ..................................................................................... 42
２．リスク源と対策要件の対応関係 ........................................................................... 48
第Ⅲ部 メソッド：セキュリティ対策要件と対策例集 ....................................................50
１．対策要件及び対策例集を活用したリスク対応 ...................................................... 50
２．対策例集の見方 ..................................................................................................... 51
３．対策要件 ................................................................................................................ 54
３．１．CPS.AM – 資産管理 ................................................................................ 56

３．２．CPS.BE – ビジネス環境 .......................................................................... 58
３．３．CPS.GV – ガバナンス ............................................................................. 59
３．４．CPS.RA – リスク評価 .............................................................................. 61
３．５．CPS.RM – リスク管理戦略 ..................................................................... 63
３．６．CPS.SC – サプライチェーンリスク管理 ................................................. 64
３．７．CPS.AC – アイデンティティ管理、認証及びアクセス制御 ................... 68
３．８．CPS.AT – 意識向上及びトレーニング .................................................... 72
３．９．CPS.DS – データセキュリティ ............................................................... 74
３．１０．CPS.IP – 情報を保護するためのプロセス及び手順 ............................ 78
３．１１．CPS.MA – 保守 .................................................................................... 82
３．１２．CPS.PT – 保護技術 .............................................................................. 83
３．１３．CPS.AE – 異変とイベント .................................................................. 85
３．１４．CPS.CM – セキュリティの継続的なモニタリング ............................. 87
３．１５．CPS.DP – 検知プロセス ...................................................................... 90
３．１６．CPS.RP – 対応計画 .............................................................................. 91
３．１７．CPS.CO – 伝達 ..................................................................................... 93
３．１８．CPS.AN – 分析 .................................................................................... 94
３．１９．CPS.MI – 低減 ..................................................................................... 95
３．２０．CPS.IM – 改善 ..................................................................................... 96
添付 A ユースケース
添付 B リスク源と対策要件の対応関係
添付 C 対策要件に応じたセキュリティ対策例
添付 D 海外の主要規格との対応関係
添付 E 用語集

エグゼクティブサマリー
 我が国では、サイバー空間とフィジカル空間を高度に融合させることにより、多様なニーズにきめ細かに対応したモノやサービスを提供し、経済的発展と社会的課題の解決を両立する超スマート社会「Society5.0」の実現を提唱している。さらに、「Society5.0」の実現へ向けて様々なデータの「つながり」から新たな付加価値を創出していく「Connected Industries」という概念を提唱し、その実現に向けた取組を推進している。

 「Society5.0」における産業社会では、データなど様々なつながりが生まれる「Connected Industries」という形で企業間・産業間のネットワーク化が進展して、従来とは異なる、これまで取引を行うことがなかった主体を新たに巻き込んだ、より柔軟で動的なサプライチェーンを構成することが可能となり、サイバー
空間とフィジカル空間が相互に作用しあう中で、両空間を跨いで構成される新たな形のサプライチェーンが新たな付加価値を生み出していくことになる。

 一方で、ネットワーク化によってサイバー空間とフィジカル空間の両空間を跨いで動的に構成される新たな形のサプライチェーンの拡大は、ネットワーク化されたサプライチェーン上に攻撃起点が広く拡散していくことになり、攻撃側が攻撃起点を得る機会が増え、防御側が守るべき範囲が急激に拡大することを意味する。

 また、サイバー空間とフィジカル空間が相互に作用しあうことは、サイバー攻撃
がフィジカル空間に及ぼす影響も増大していくことを意味し、サイバー攻撃による被害は甚大なものになっていく可能性がある。

 このように、サイバー空間とフィジカル空間が融合することで新たな価値を生み出していく「Society5.0」における産業社会では、一方で、サイバー攻撃の起点が拡大するとともに、サイバー攻撃による被害がフィジカル空間に及ぼす影響も増大し、これまでとは異なる新たなリスクを伴うことになる。本フレームワークは、
新たな産業社会におけるこうした環境において、付加価値を創造する活動が直面する新たなリスクに対応していくための指針を示すものである。

 高度にネットワーク化され、動的に構成されるサプライチェーンに様々な主体が参加するような状況においては、一企業が取り組むセキュリティ対策だけでサイバーセキュリティを確保していくことには限界がある。このため、それぞれの企I

業がセキュリティ・バイ・デザイン等の観点を踏まえて、企画・設計段階から製品やサービスのサイバーセキュリティ対策を実施することに加え、ビジネス活動のレジリエンスまで考慮に入れた上で、関連企業、取引先等を含めたサプライチ
ェーン全体としてセキュリティ対策に取り組むマルチステークホルダーによるアプローチや、データ流通におけるセキュリティも含めて、サイバーセキュリティ確保に取り組む必要がある。

 本フレームワークでは、「Society5.0」における新たな形のサプライチェーンにおいて全産業にほぼ共通して求められるセキュリティ対策をわかりやすく示すために、サイバー空間とフィジカル空間が高度に融合した産業社会を 3 つの切り口（「企業間のつながり」、「フィジカル空間とサイバー空間のつながり」、「サイバー空間におけるつながり」）から捉え、サプライチェーンの信頼性（trustworthiness）を確保する観点から、それぞれの切り口において守るべきもの、直面するリスク源、対応の方針等を整理している。

 一方、それぞれの産業分野においては、産業構造や商慣行などの観点から、業界や企業により、守るべきもの、許容できるリスク等が異なっている実態があり、セキュリティ対策は、こうした各産業分野の持つ特徴も踏まえる必要があることから、各業界や各企業において、本フレームワークに記載の内容を参考に実態に則したセキュリティ対策の項目を列挙したプロファイルの作成に活用していただ
きたい。
 最後に、AI 技術の更なる進展等によりサイバー空間とフィジカル空間の一体化が進むことで、新たな脅威の出現が考えられる。本フレームワークも新たな脅威に対応するために適切に見直しを図っていく。

II

はじめに
１．「Society5.0」、「Connected Industries」が実現する社会ネットワーク化や IoT（Internet of Things）の利活用が進む中、世界では、
ドイツの「インダストリー4.0」等、ものづくり分野で IT を最大限に活用し、第4 次産業革命とも言うべき変化を先導していく取組が、官民協力の下で打ち出され始めている。我が国においても、平成 28 年 1 月 22 日に閣議決定された「第5 期科学技術基本計画」において、サイバー空間とフィジカル空間を高度に融合させることにより、多様なニーズにきめ細かに対応したモノやサービスを提供し、経済的発展と社会的課題の解決を両立する超スマート社会「Society5.0」を提唱している。さらに、「Society5.0」へ向けて、様々なつながりによって新たな付加価値を創出する「Connected Industries」の実現に向けた新たな産業構造の構築が求められている。

図 i-1 「Society 5.0」で実現する社会のイメージ 1

1

内閣府「Society 5.0「科学技術イノベーションが拓く新たな社会」説明資料」

1

「Society 5.0」は、狩猟社会（Society 1.0）
、農耕社会（Society 2.0）、工業社
会（Society 3.0）、情報社会（Society 4.0）に続く、新たな社会を指すものである。
これまでの情報社会（Society 4.0）でも、新たな価値の創出に必要な知識や情報は十分に共有されない場合が多く、新たな価値の創出が困難であった。また、
膨大な情報の中から必要な情報を見つけ、分析する作業に困難や負担が生じるなどの問題があった。
「Society 5.0」で実現する社会は、IoT で全ての人とモノがつながり、様々な知識や情報が共有され、新たな価値が生まれる社会である。また、人工知能（AI）
により、多くの情報を分析するなどの面倒な作業から解放される社会である。さらに、「Society 5.0」では、これまでの経済や組織のシステムが優先される社会ではなく、AI やロボットなどがこれまで人間が行っていた作業を支援し、必要なモノやサービスを、必要な人に、必要な時に、必要なだけ提供する人間中心の社会となる。

図 i-2 「Society5.0」社会におけるモノ・データ等のつながりのイメージ



サプライチェーンの構造変化
こうした「Society 5.0」においては、企業を中心に付加価値を創造するための一連の活動であるサプライチェーンも、その姿を変えることになる。これまでのサプライチェーンは、始めに厳密な企画・設計を行い、それを踏まえて必要な部
品やサービスを調達し、組み立て・加工を行い、最終的な製品・サービスを提供するという、一連の活動の順番が固定的・安定的な形で展開される、定型的・直2

線的な構成をとっていた。しかし、「Society5.0」では、サイバー空間とフィジカ
ル空間が高度に融合する中で、必要な人に対して、必要な時に、必要なモノやサービスが提供されることになる。付加価値を創造するための一連の活動の起点
は、これまでのように供給者が企画・設計するという固定的なものではなく、需要者が付加価値の創造活動の起点となることも増大していく。また、付加価値を創造するための一連の活動の内容自体も、開始時点で設定された“必要性”の変化に対応した変更や、より有用なデータが得られた場合にその要素を新たな活動の中に組み込み変化していく。
このように、サプライチェーンはサイバー空間とフィジカル空間の両空間を跨いで、様々なモノやデータが動的につながって構成される付加価値の創造活動へと変化していくことになる。このように変化したサプライチェーンは、従来の上流から下流へとつながる定型的・直線的なサプライチェーンと対比し、「Society5.0」型のサプライチェーンとして捉え、既存のシステムやプロシージ
ャなどについても、改めて捉え直すことが必要となる。本フレームワークでは、
このような「Society5.0」型のサプライチェーンをこれまでの定型的・直線的なサプライチェーンとは区別して認識するため、『価値創造過程（以下、「バリュー
クリエイションプロセス」とする。）』と定義する。

２．サイバー攻撃の脅威の増大
サイバー空間とフィジカル空間が高度に融合する「Society5.0」における産業社会では、サイバー空間が急激に拡大する中でサイバー攻撃の起点が拡大するとともに、サイバー空間とフィジカル空間が相互に作用しあうことでサイバー攻撃がフィジカル空間に及ぼす影響も増大する。このため、サイバー空間とフィジカル空間の両空間を跨いで複雑につながる新たなサプライチェーンであるバ
リュークリエイションプロセスに対する脅威は、定型的・直線的なサプライチェーンが直面していたものと比べ、これまでとは異なる複雑なものであり、脅威によって発生した被害が影響する範囲も広くなっていく。
環境が大きく変わることでまず認識しなければならないことは、サイバー攻撃の起点が拡大することである。つまり、バリュークリエイションプロセスは、その全過程を通じてサイバー攻撃の脅威に晒される可能性がある。よって、バリュークリエイションプロセスに関わる全要素についてセキュリティの確保のための対応を検討し、部分的ではなく全体的な対応を通じてバリュークリエイションプロセスの信頼性（trustworthiness）を確保することが必要である。
また、IoT から得られる情報のデジタル化や、大量に創出されたデータの受け渡しなど、サイバー空間とフィジカル空間の高度な融合に伴い発生する新たな処理が、サイバー攻撃の新たな対象として顕在化してくることを認識する必要3

があり、情報のデジタル化機能の信頼性の確保や大量のデータの正確性・流通・連携を支えるセキュリティ対策も重要な課題となっていく。
大量のデータの流通・連携→

フィジカル空間とサイバー空間の →融合

複雑につながるサプライチェーン →・データの性質に応じた適切な管理の重要性が増大
・サイバー空間からの攻撃がフィジカル空間まで到達
・フィジカル空間から侵入してサイバー空間へ攻撃を仕掛けるケースも想定
・フィジカル空間とサイバー空間の間における情報の転換作業への介入
・サイバー攻撃による影響範囲が拡大

なお、サプライチェーンに対する脅威は、既に現実の問題となって発生している。実際に、欧州のグループ会社の機器がランサムウェア（身代金要求型ウイルス）に感染し、それがサプライチェーン経由で国内企業へ侵入して感染を広げたことで、一部業務が停止した事例も報告されている。
こうした状況を受け、海外においても、IoT や産業用制御システム（ICS）防衛のためにはサプライチェーンマネジメントでアプローチする必要性が広く認識されるようになっている。米国では、NIST 2が 2014 年 2 月に策定した、特に重要インフラに対するサイバーセキュリティ対策の全体像を示したフレームワーク（Cybersecurity Framework）を 2018 年 4 月に改訂した。この中で、サプ
ライチェーンのリスク管理（Supply Chain Risk Management）を行うことが追加され、サプライチェーン全体で対策を実施することや、必要に応じて監査を行うことを要求している。

３．フレームワークを策定する目的と適用範囲「Society5.0」、「Connected Industries」の実現へ向けた歩みの中で、産業構造、社会環境は大きく変化していく。こうした変化に伴う形で、サイバー攻撃の脅威も増大し、これまでとは異なる脅威も発生する。まさに今こそ、そうした脅
威の増大、新たな脅威の出現に対する準備を開始することが必要である。
こうした問題意識の下、今般、『サイバー・フィジカル・セキュリティ対策フ
2

National Institute of Standards and Technology（米国国立標準技術研究所）

4レームワーク』を策定し、新たな産業社会において付加価値を創造する活動が直面するリスクを適切に捉えるためのモデルを構築し、リスク源を明らかにしつつ、求められるセキュリティ対策の全体像を整理するとともに、産業界が自らのセキュリティ対策に活用できる対策例をまとめることとした。
本フレームワークは新たな産業社会の全体像をとらえており、本フレームワ
ークにおけるリスク源の洗い出しやセキュリティ対策の適用範囲は、新たな産業社会におけるバリュークリエイションプロセス全てである。
リスク源の洗い出しやセキュリティ対策の具体的な内容としては、①従来型
サプライチェーンにおいても適用可能なものに加えて、②新たな産業社会に変化したからこそ新たに対応が必要なものを整理しており、それぞれの企業等の状況に応じてセキュリティ対策を選定することが可能である。
また、「ネットワーク化されず、インターネットにも接続されない」システムと認識していても、システムで使用していた独自仕様の電子機器や通信プロト
コルが汎用化・標準化されることに伴い、機器間の連携がシームレスになり利便性向上につながる一方で、小さなインシデントの影響が容易にシステム全体へ波及する可能性が高まり、フィジカル空間を通じたサイバー攻撃を受けるなどの懸念も増大しているため、所有する電子機器及びシステムが本フレームワー
クの適用範囲に含まれ得るという認識に立ち、必要なセキュリティ対策を講じる必要がある。
読者は、本フレームワークを活用し、自らが所属する企業等の実態に合わせて、必要となるセキュリティ対策を実施することが重要である。

４．フレームワークの想定読者
本フレームワークは、「Society 5.0」という新たな産業社会において、付加価
値の創造活動に取り組む主体が、その活動に必要なセキュリティ対策を講じようとする際に参照されることを想定しており、例えば、以下に示すような者を読者として想定している。
・ CISO 3（最高情報セキュリティ責任者）
・ サプライチェーンマネジメントに関わる戦略・企画部門の担当者（主に第Ⅰ部）
・ バリュークリエイションプロセスに関わる企業・団体等のセキュリティ担当者
・ 情報関連機器、制御系機器の開発・品質保証、システム設計・構築・検証
担当者
3

Chief Information Security Officer

5

・
・

データマネジメントの担当者
各産業分野におけるセキュリティ対策のガイドライン等を策定する業界団
体等の担当者

５．フレームワークの全体構成
本フレームワークは、バリュークリエイションプロセスにおけるサイバーセ
キュリティの観点からリスク源を的確に捉え、それに対応していく指針としての役割を担っていくべく、全体を以下のように三部構成とした。
（1） 第Ⅰ部では、バリュークリエイションプロセスにおけるサイバーセキュリテ
ィの観点からリスク源を整理するためのモデル（三層構造と６つの構成要素）と基本的なリスク認識、それに対するアプローチを、信頼性の確保という形で整理する。いわば、本フレームワークのコンセプトを説明する部である。
（2） 第Ⅱ部では、第Ⅰ部で示したモデルを活用して、リスク源を整理するとともに、こうしたリスク源に対応する対策要件を提示する。各企業・組織等が対策を講じるべき対策要件（ポリシー）を明らかにする部である。
（3） 第Ⅲ部では、第Ⅱ部で示した対策要件を対策の種類に応じて整理し、更に添付の形で、セキュリティの相対的な強度を踏まえて分類した対策例を提示する。各企業・組織等が実際に講じるべき具体的なメソッドを示す部となる。
このような三部構成を採用することで、必要な見直しを適時適切に行うことが可能となる。例えば、セキュリティ対策技術の進展により、より有効な対策事
例を取り上げるべき際には第Ⅲ部を改訂することで対応し、また、サイバー空間とフィジカル空間の一体化が更に進展して新たなリスク源を捉える必要がある
場合には、第Ⅱ部を改訂することで対応することが可能となる。
本フレームワークは、必要な見直しを迅速かつ柔軟に行うことも視野に入れた構成を採用しており、引き続き、状況の変化に応じて進化していくものである
ことを明確にしている。

６．フレームワークに期待される効果と特徴
本フレームワークの策定に当たっては、活用することで期待される効果と特徴を以下のように設定して検討を進めた。

6

（1） 各事業者がフレームワークを活用することで期待される効果
・ セキュリティ対策の実行によるバリュークリエイションプロセスの信頼性の確保
・ 製品・サービスのセキュリティ品質を差別化要因（価値）にまで高めることによる競争力の強化（2） フレームワークの特徴① 各事業者が実施するセキュリティ対策のオペレーションレベルで活用できる 産業社会として目指すべきセキュリティ対策の概念の整理（第Ⅰ部）に加え、各事業者が実際にセキュリティ対策を実施する上で方針を確認し、対策を実装できる内容（第Ⅱ部及び第Ⅲ部）にする。
② セキュリティ対策の必要性と適切な水準の対策例を示すことでコストの関係を把握できるようにする バリュークリエイションプロセス全体を構成する中小企業を含めた事
業者が、実際に対策を行えるよう、想定されるリスク源と必要な対策の関係を明確にするとともに、できるだけコストがイメージできるよ
うな内容にする。
 リスク源からセキュリティ対策を導き出し（リスクベースの考え方を踏まえる）、事業者が適切なセキュリティ対策を選択することでセキュリティレベルを保ったままでコストを圧縮する工夫ができるようにする。
③ グローバルハーモナイゼーションの実現に貢献する
 グローバルサプライチェーンの中で、日本における製品・サービスのセキュリティ対策が海外からも認められるよう、諸外国の動きをよく
把 握 し、 ISO/IEC 27001 な どの 国 際標 準や NIST Cybersecurity
Framework など国外の主要な規格との整合性を確保し、こうした規格を踏まえた各国の認証制度との相互承認を進めていくことができる
内容にする。
 本フレームワークでは、国外の規格との関係を整理した対比表も用意している。この対比表を活用することで、日本国内におけるサイバー
セキュリティの取組が、そのまま国外においても一定水準を満たしていることを示すことができるとともに、国外における取組が、日本国

7内においても一定水準を満たしていることを示すことができるようになっている。

７．フレームワークの使い方
本フレームワークは、「Society 5.0」という新たな産業社会において、付加価
値の創造活動に取り組む主体が、その活動に必要なセキュリティ対策を講じようとする際に、参照されることを目的としているものである。
一方、それぞれの産業分野においては、産業構造や商慣行などの観点から、業界や企業により、守るべき重要な資産、人的・資金的リソース、又は許容できるリスク等が異なっている実態があり、セキュリティ対策は、こうした各産業分野の持つ特徴も踏まえる必要がある。
したがって、各業界や各企業において、以下の内容を参考に本フレームワーク
を活用することを期待している。
（1） リスク源の洗い出し【第Ⅱ部、添付Ａ、添付Ｂ】
本フレームワークで示す三層構造モデルを参考にして、信頼性の基点を基礎として企業等において取り組んでいる付加価値の創造活動におけるモデルを組
み立てることができる。第Ⅱ部では、そのために必要な三層構造モデルの各層において注意すべき特性、機能、具体的な機器のイメージを示すとともに、添付 A
において、各業界における代表的なユースケースを示している。
また、同じく第Ⅱ部及び添付 B で整理している想定されるセキュリティイン
シデントと脅威、6 つの構成要素に落とし込んだ脆弱性を参考にして企業等のリスク源を明らかにすることができる。
これらにより、これまでのリスクアセスメントの観点と比較して、以下の点について新たなリスク源の洗い出しができることを期待する。
①②③④

各組織を取り巻くマルチステークホルダーの関係性の把握
サイバー空間とフィジカル空間の融合により発生し得る新たなセキュ
リティインシデントの把握（安全性の考慮 等）
組織を跨るデータの流通の仕方の把握
各層における信頼性の基点の把握（2） 企業等におけるセキュリティポリシーの策定及び対策の実装【第Ⅲ部、添
付Ｃ】
第Ⅲ部及び添付 C において示されたセキュリティ対策要件及び対策例を参考にして、自組織におけるセキュリティポリシーの策定及びセキュリティ対策の8

実装に取り組むことができる。第Ⅲ部には、NIST Cybersecurity Framework の考え方も踏まえて整理したセキュリティ対策要件を示している。また、添付 C
では、それぞれのセキュリティ対策要件を満たすためのセキュリティ対策例を示している。
これらにより特に以下の点について、企業等の取組の助けになることを期待する。
①②

各組織において実装する対策の水準とコストを考慮した対策の実施
国際標準等との比較（3） 企業等、業界等における信頼のチェーンの構築への活用
本フレームワークに基づき、リスクを洗い出し、セキュリティ対策を実施する
ことを通じて、一つ一つのバリュークリエイションプロセスにおける信頼性を確保することができる。こうした取組をつなげていくことにより、信頼のチェーンの構築に活用することができる。具体的には、以下のような取組に繋がっていくことを期待する。
①②

信頼性リスト（第Ⅰ部 4.(2)で詳述）の作成
組織、機器等の認証

9

第Ⅰ部

コンセプト：サイバー空間とフィジカル空間が高度に融合した産業社会における産業分野のサイバーセキュリティの在り方
１．サイバー空間とフィジカル空間が高度に融合した産業社会における「Society5.0」型サプライチェーン“価値創造過程（バリュークリエイションプロセス）”への対応
あらゆるものがつながる IoT、データがインテリジェンスを生み出す AI など
によって実現される「Society5.0」（人間中心の社会）、「Connected Industries」
では、製品・サービスを生み出す工程（サプライチェーン） も上流から下流へとつながる従来の定型的・直線的なものとは異なる、多様なつながりによる非定型の形態を取ることになる。
本フレームワークでは、このような「Society5.0」型のサプライチェーンをこれまでのサプライチェーンとは区別して認識するため、価値創造過程（バリュー
クリエイションプロセス）と定義し、「Society5.0」、「Connected Industries」によって拡張したサプライチェーンの概念に求められるセキュリティへの対応指針を示すことを目指す。
従来のサプライチェーンでは、セキュリティ対応をしっかりと行った主体間で行われる定型的・直線的な取引であれば、そのプロセス全体のセキュリティが確保される、つまり、参加主体の組織ガバナンス、マネジメントがセキュリティの確保された信頼できるものであれば、サプライチェーンの信頼性も確保される、という考え方に基づいていた。情報処理を委託する場合も、ISMS などの認証を取得しているなどセキュリティ対策をしっかりと行っている企業かどうかを重要視していた。したがって、セキュリティを確保するための基点は、組織のマネジメントの信頼性に基礎が置かれていたことになる。
しかし、サイバー空間とフィジカル空間が高度に融合した産業社会における新たな形の付加価値の創造活動であるバリュークリエイションプロセスでは、
従来のサプライチェーンの場合のように、組織のマネジメントの信頼性にのみ基点を置くことでバリュークリエイションプロセスの信頼性を確保することは困難となる。
例えば、サイバー空間とフィジカル空間が高度に融合した産業社会では、IoTの進展によって、従来はフィジカル空間に留まっていた環境情報（例：温度、湿度）や生体情報（例：体温、心拍数）といった様々な情報がデジタル化され、データとしてサイバー空間に大量に移転され、バリュークリエイションプロセス
において、サイバー空間のこうした様々なデータを柔軟に取り込んでいくこと

10

で新たな付加価値が生み出されていく。このプロセスに関係しているのは、従来のサプライチェーンのように、マネジメントの信頼性を確認した主体だけに限らない。つまり、バリュークリエイションプロセス全体の信頼性を確保するためには、参加主体のマネジメントの信頼性を確保するアプローチでは限界があるということである。
バリュークリエイションプロセスにおけるセキュリティ対応を進め、信頼性を確保するためには、組織の信頼という観点だけではなく、他の観点から信頼性を確認する基点を追加設定し、それに対応することで、バリュークリエイション
プロセス全体の信頼性を確保するアプローチが必要となる。
第Ⅰ部では、バリュークリエイションプロセスの信頼性を確保するために必要な信頼性の基点を明確にするためのモデルを提示し、その上で、リスク源に直面する産業社会の構成要素を明確にすることで、各構成要素が各リスク源に対応する方針を整理するためのコンセプトを明らかにする。

２．価値創造過程（バリュークリエイションプロセス）のセキュリティを確保するための信頼性（trustworthiness）の基点を設定するためのモデ
ル －三層構造と６つの構成要素－
バリュークリエイションプロセスのセキュリティ確保に当たっては、従来のサプライチェーンで想定されているマネジメントの信頼できる企業間のつながりによって付加価値が創造される領域を越えて、フィジカル空間の情報が IoT
によってデジタル化され、データとしてサイバー空間に取り込まれ、そうしたデータがサイバー空間で自由に流通することで、多様なデータが新たなデータを生み出して付加価値を創出することや、新たに創出されたデータが IoT によってフィジカル空間にフィードバックされることで新たな製品やサービスを創出するという、新たな付加価値を創造するための一連の新たな活動を視野に入れる必要がある。
こうした、従来のサプライチェーンの活動範囲から拡張された付加価値を創造する活動のセキュリティ上のリスク源を的確に洗い出し、対応方針を示すため、バリュークリエイションプロセスが発生する産業社会を、本フレームワーク
では以下のように３つの「層」で整理して捉える。
第 1 層－
第 2 層－
第 3 層－

企業間のつながり
フィジカル空間とサイバー空間のつながり
サイバー空間におけるつながり

11また、この三層構造のモデルからリスク源を抽出し、オペレーションレベルでこうしたリスク源へ対応していくためには、リスク源となる脆弱性を持つ要素を明確にする必要がある。一方で、バリュークリエイションプロセスは動的に柔軟に構成されるものであるため、ビジネス資産を固定的に把握してリスク源に対応していく方法では、その構成が動的に変化するバリュークリエイションプ
ロセスで本質的に防御しなければならない対象を見逃す恐れがある。そのため、バリュークリエイションプロセスに関与する構成要素を分解してある程度抽象化し、動的な構成の変化にも対応してリスク源に対応できるようにし構成要素ごとにセキュリティ対策の指針を示すことが必要である。
本フレームワークでは、これらの構成要素を以下の６つに整理する。それぞれの定義については 2.2 で詳述する。
－ソシキ
－ヒト
－モノ
－データ
－プロシージャ－システム
このように、３つの層でバリュークリエイションプロセスのリスク源を洗い出し、６つの構成要素について各リスク源に対する対策要件及び具体的な対策
例を示すのが、本フレームワークの基本構成である。

12

三層構造

概念図

企業間のつながり【第１層】

フィジカル空間とサイバー空間のつながり【第 2 層】

サイバー空間におけるつながり【第 3 層】

図 1.2-1 バリュークリエイションプロセスが展開する産業社会の三層構造

13２．１．三層構造アプローチの意義
既に述べた通り、サイバー空間とフィジカル空間が高度に融合した産業社会
では、企業（組織）のマネジメントの信頼性にのみ基点を置くことでバリューク
リエイションプロセスのセキュリティを確保することは困難である。バリュー
クリエイションプロセスにおけるセキュリティの課題に対応し、信頼性を確保するためには、企業（組織）のマネジメントの信頼性だけではなく、他の観点か
ら信頼性を確保するための基点を追加設定し、それを確保することで、プロセス全体の信頼性を確保するアプローチが必要であり、ここで示している三層構造
アプローチは、三層構造モデルを利用し信頼性を確保するためのアプローチである。各層でそれぞれ確保する信頼性について、以下で説明する。
第 1 層－ 企業（組織）間のつながり
第 1 層では、企業（組織）のマネジメントの信頼性が確保されることが求められる。
この考え方は、サプライチェーンのセキュリティを実現するためにこれまでも採用されてきた考え方であり、企業（組織）のマネジメントの信頼性を確認し、信頼性が確保された企業（組織）の間で構成されるサプライチェーンはセキュリ
ティが確保されるという考え方が基礎にある。
ISO/IEC 27001 を基礎にした ISMS などの認証制度は、企業のマネジメントの信頼性を確認することが中心となっており、信頼性の確認された企業（組織）間のつながりをサプライチェーンのセキュリティ確保につなげる仕組みも整備されてきている。これまで、ISMS の取得は、企業全体、或いは事業所単位、事業部単位で行われてきているが、ポイントは、セキュリティポリシーが共有され、それが実行されている単位でマネジメントの確認・認証が行われているということである。つまり、第 1 層は、セキュリティポリシーの共有・実行を一体として行う組織のマネジメントに基礎を置いて捉え、サプライチェーンの信頼性の確保を図ることになる。
しかしながら、サイバー空間とフィジカル空間が一体化した産業社会におけるバリュークリエイションプロセスの信頼性を確保するという観点では、企業（組織）のマネジメントの信頼性を確認するだけでは、そのプロセス全体の信頼性を確保することは難しい。そのため、以下の第 2 層、そして第 3 層において、企業（組織）のマネジメントとは異なる信頼性の基点を設定し、その信頼性を確認することが必要になる。
第 2 層－ フィジカル空間とサイバー空間のつながり
サイバー空間とフィジカル空間が高度に融合した産業社会では、フィジカル

14

空間における様々な情報が取り込まれ、デジタル化されてサイバー空間に送り出されるとともに、サイバー空間で加工・編集されたデータをフィジカル空間に展開することで新たな付加価値を生み出すことが様々な局面で実現される。あらゆるものがネットワークにつながることをイメージする IoT は、サイバー空間とフィジカル空間の相互作用が発生する境界があらゆる産業活動や社会生活に広がることに一つの本質がある。
一方、様々な局面で発生するサイバー空間とフィジカル空間の相互作用が信頼できるものでなければ、サイバー空間とフィジカル空間の一体性は産業社会に不確かさをもたらすことになってしまう。バリュークリエイションプロセス
は、サイバー空間とフィジカル空間の境界線を越えて展開されるが、サイバー空間とフィジカル空間の相互作用、つまり、両空間の境界において行われる情報の変換は高い正確性を求められ、いわば、転写というべき正確性が確保されなければ、バリュークリエイションプロセスの信頼性が確保されることはない。
第 2 層は、サイバー空間とフィジカル空間の境界において、要求される情報の正確性に応じて適切な正確さで情報が変換されること、つまり転写機能（「正確な翻訳」という意味も含む）の正確性が信頼性の基点となる。
実際のサイバー空間とフィジカル空間の境界は、温度、湿度や距離などの物理
事象をデータに転写するセンサやデータを基に動作するアクチュエータなどから構成される、いわゆる IoT のシステムによって成立することになるが、この境界におけるサイバー空間とフィジカル空間の間を転写する機能は、企業（組織）のマネジメントの信頼性を確認するだけでセキュリティが確保されるものではない。
転写という機能の信頼性を確保するためには、その機能を構成するモノの信頼性や構築・保守の信頼性が確保される必要があり、単体組織のマネジメントだ
けではなく、ISO/IEC 27036 に基づいてライフサイクル全体まで視野に入れて、モノ、そしてシステムそのものの信頼性の確認などがなされて初めてこの層における信頼性が確保されることになる。また、既存のシステムが新たにサイバー空間とフィジカル空間の境界に組み込まれていくことを認識し、改めてセキュ
リティについて評価し、転写という機能の信頼性を確保するための措置を行う
必要があることに留意しなければならない。
第 3 層－ サイバー空間におけるつながり
デジタル化の進展によってデータが産業社会において爆発的に増大する中、様々なデータの交換や編集などによってサイバー空間の中で新たな付加価値を生み出す活動も日常的なものとなってきている。
フィジカル空間からサイバー空間に転写されたデータは第 2 層の転写機能の15

信頼性を確保することによってデータ自体の信頼性が確保されるが、サイバー
空間では様々なデータが生成・編集・加工され、自由に流通し、かつ、こうした過程はマネジメントの信頼性が確認された企業（組織）によってのみ扱われるわけではないことに留意しなければならない。データには、様々な主体が関与することになるが、そのデータがサイバー空間で付加価値を創出する基礎である。
目的どおりの価値を生み出すためにバリュークリエイションプロセスの信頼性を確保するためには、サイバー空間においては、バリュークリエイションプロ
セスに関わるデータそのものの信頼性を確保することが必要となる。したがって、第 3 層においては、信頼性の基点はデータそのものとなり、データ流通・保管時における改ざんや流出のようなインシデントの発生は、バリュークリエイ
ションプロセスの信頼性を失わせることになる。したがって、第 3 層では、デー
タの流通・管理や適切な編集・加工を行うためのセキュリティ対策などが求められることになる。
このように、サイバー空間とフィジカル空間が一体化した産業社会における付加価値創造活動においては、３つの層からのセキュリティの取組が必要であり、これをバリュークリエイションプロセスにおける「層」として捉えて信頼性の基点とすること（三層構造モデル）により、リスク源を明らかにし、対策の方向を示すことが可能となる。

図 1.2-2 三層構造モデルと各層における信頼性

２．２．６つの構成要素
三層構造モデルを通じて、バリュークリエイションプロセスを構成する要素に影響を与える脅威を明らかにし、リスク源として洗い出していくことが必要

16である。セキュリティ対策の方針を定め、具体的な対策に取り組むためには、バ
リュークリエイションプロセスを構成する要素を整理することが必要となる。
この際、バリュークリエイションプロセスは、動的に柔軟に構成されることから、
ビジネス資産を固定的に捉えることが難しく、一定の抽象化を行ったうえで構
成要素を捉える必要がある。
本フレームワークでは、バリュークリエイションプロセスを構成する要素を分解し、セキュリティ対策を講じる上で最適な最小単位として、表 1.2-1 に示す
６つの構成要素を整理した。
表 1.2-1 バリュークリエイションプロセスに関わる 6 つの構成要素

構成要素

定義

ソシキ

バリュークリエイションプロセスに参加する企業・団体・組織

ヒト

ソシキに属する人、及び価値創造過程に直接参加する人

モノ

ハードウェア、ソフトウェア、及びそれらの部品操作する機器を含む

データ

フィジカル空間にて収集された情報、及び共有・分析・シミュレーションを通じて加工された情報

プロシージャ

定義された目的を達成するための一連の活動の手続き

システム

目的を実現するためにモノで構成される仕組み・インフラ

６つの構成要素は、品質マネジメントの技法である 4M(Man, Machine,
Material, Method)を参考に、企業（組織）におけるバリュークリエイションプ
ロセスを入出力や企業（組織）を構成する要素を抽象化して設定した。図 1.2-3に示すように、企業（組織）は他の企業（組織）からの入力（原料等のモノ、情報等）を用いて、出力（製品・サービス、廃棄物等）を他者に対して提供する。
また、企業（組織）は入力と出力の他に、バリュークリエイションプロセスを実施する上で必要な「ヒト」、IT/OT システムなどの「システム」、物理装置などの「モノ」や、従うべき「プロシージャ」（規格・計画など）から付加価値を生み出す。また、企業（組織）の各構成要素は、他の企業（組織）の出力から導かれる。それぞれの要素は、他の企業（組織）からの出力で生み出されるなど、６つの構成要素はそれぞれ複雑に関係していく。例えば、「システム」は、コンピューターメーカーやシステムインテグレータなどの他の企業のバリュークリエイ
ションプロセスの出力でありえる。
また、製造業のバリュークリエイションプロセスを例に、６つの構成要素と三層構造の関係を図 1.2-4 に示す。左側の企業「ソシキ」が、「モノ」を入力し、加工処理して「モノ」を出力する。左側の企業「ソシキ」から出力された「モノ」
17

は、右側の企業「ソシキ」が入力し、加工処理を加えて「モノ」を出力する。それぞれの企業「ソシキ」には、加工機械、センサ、アクチュエータ等の「モノ」、これらを制御するシステムや、他組織とデータを交換するシステム等の「システム」、システムを監視、制御する「ヒト」、各システムの活動手順を定める手順等の「プロシージャ」、システム間を流れる各種データ「データ」が存在する。
これらの構成要素は、各組織がマネジメントする構成要素であり、企業ごとに第 1 層の構成要素と捉える。一方で、第 1 層の構成要素の中で、サイバー空間とフィジカル空間の間を転写するセンサ、アクチュエータ、これらを制御するシステムや、それらに関連するプロシージャ、データは、第 2 層の構成要素としても捉える。２つの組織間では、インターネット等を経由して各種のデータを交換しているが、これらに関連するシステム、プロシージャ、データ等は、サイバー空間におけるつながりである第 3 層の中で捉えられる。
これらの６つの構成要素はそれぞれ排他的な関係にあるのではない。例えば、
企業は、
「ヒト」、
「システム」、「プロシージャ」などの他の構成要素によって形成されることになるが、「ソシキ」はバリュークリエイションプロセスにおいて独自の構成要素としての意味を持ち、「ソシキ」を構成している要素である「ヒト」は「ソシキ」に内包されるだけではなく、バリュークリエイションプロセスに直接関与するものでもある。
バリュークリエイションプロセスにおける６つの構成要素のリスク源に対してセキュリティ対策を講じることで、バリュークリエイションプロセスの信頼性が確保され、最終的に生み出されるハードウェアやソフトウェア、サービスの信頼性が確保されることになる。

図 1.2-3 ６つの構成要素の関係

18図 1.2-4 三層構造における６つの構成要素の関係

３．価値創造過程（バリュークリエイションプロセス）におけるリスク源とそれに対応する方針の整理
三層構造モデルと６つの構成要素に基づいて、第Ⅱ部においてバリュークリ
エイションプロセスのリスク源と対応方針（ポリシー）を整理していくが、第Ⅰ部では、サイバー空間とフィジカル空間が高度に融合した産業社会への変化に
より、バリュークリエイションプロセスが従来のサプライチェーンとは異なるリスク源に直面することになることを整理しておきたい。
三層構造モデルにおける第 1 層は企業（組織）のマネジメントに信頼性の基点が設定され、セキュリティ対策は各企業（組織）のマネジメントを中心に実施される。しかし、既に述べたように、サイバー空間とフィジカル空間を跨いで展開するバリュークリエイションプロセスのセキュリティ対策では、第 2 層と第3 層におけるセキュリティ対策を講じることが必要になる。
第 2 層では、サイバー空間とフィジカル空間の境界における正確な転写機能を確保することがセキュリティ対策の要点となるが、このような転写機能の信頼性を確保するためには、バリュークリエイションプロセスに直接関与している企業（ここでは仮にＡ社とする）に加え、直接関与していないもののＡ社の転写機能を担うシステムの構成品の供給や構築に関わる企業の協力が不可欠となる。

19つまり、あるバリュークリエイションプロセスに直接関与していない企業も、適切なセキュリティ対策を実施するためには不可欠な存在としてセキュリティ対策に参加することが求められることになり、マルチステークホルダーによるセキュリティ対策の取組（以下、「マルチステークホルダーアプローチ」とする。）
が必要となる。
例えば、あるバリュークリエイションプロセスに間接的に関与する企業が、直接的に関与する企業に対してセキュリティが確保された製品やサービスを提供することで、最終的に第 2 層の信頼性の基点である転写機能の信頼性が確保されることになる。
また、第 3 層では、バリュークリエイションプロセスに参加する企業は、サイバー空間における様々なデータを活用することになるが、そのデータが適切に扱われ、信頼性が確保されていることがバリュークリエイションプロセスのセ
キュリティ確保の前提となる。
ここでも、バリュークリエイションプロセスに直接関与していないものの、データの流通や取扱いにおいて間接的に関与する主体がセキュリティの確保のために一定の役割を果たすことが求められていくこととなり、マルチステークホ
ルダーアプローチが必要になる。
そのため、例えば、ある特定の区分に分類されるデータについては、当該データを扱う者の間で同じセキュリティ対策を講じることが必要となるなど、第 1
層、第 2 層とは異なる観点からのセキュリティ対策を実施することが、データの信頼性に基点を設定する第 3 層における具体的なセキュリティ対策となる。
このように、リスク源はそれぞれの層で捉え方が異なり、対応方針もまた各層で異なることになる。
こうした理解を踏まえて、図 1.3-1 に示すように、本フレームワーク全体で各層で守るべきものとリスク源を整理し、どのような方針に基づいてどのような対策を講じるかを
整理する。

20

図 1.3-1 各層におけるセキュリティ対策の概要

４．フレームワークを活用した信頼性の確保の考え方
三層構造モデルに基づいて、各層の信頼性の基点となる構成要素のセキュリ
ティを各主体がそれぞれ確保することによって、バリュークリエイションプロ
セス全体のセキュリティ確保が実現される。その実現には、各構成要素について必要なセキュリティ要件が満たされていることを確認できること（信頼の創出）、
それを確認した者以外の者による照会ができること （信頼の証明）に加えて、信頼の創出と証明を繰り返すことで連鎖的に構築される信頼関係のつながり（信頼のチェーン）の構築、維持が必要である（図 1.4-2 参照）。信頼の創出、信頼の証明、信頼のチェーンの構築と維持の実現に求められる事項の例を以下に示す。
（1） 信頼の創出
例）・ セキュリティ要件を満たすモノ・データ等の生成
・ 上記生成物の記録の保存
・ 対象のモノ・データ等がセキュリティ要件を満たした形で生成されたことの自己確認21

・

対象のモノ・データ等がセキュリティ要件を満たした形で生成されたことの第三者による認証（2） 信頼の証明
例）・ 対象のモノ・データ等がセキュリティ要件を満たした形で生成されたものであることを生成主体以外の者も照会できるリスト(信頼性リスト)の作成と管理（統合管理型台帳か、分散台帳（ブロックチェーンの活用等）かを問わず）・ 信頼性リストを照会することで対象のモノ・データ等が信頼できるもの
であることの確認（3） 信頼のチェーンの構築と維持
例）・ 信頼の創出と証明を繰り返すことによる信頼のチェーンの構築(信頼性
リスト間でお互いの信頼性が確認され、それによってトレーサビリティを確保すること等)
・ 信頼のチェーンに対する外部からの攻撃等の検知・防御・ 攻撃に対するレジリエンスの強化

図 1.4-1 信頼性の基点と信頼性の確保の考え方

バリュークリエイションプロセスは、動的・柔軟に構成されるため、個々の構

22

成要素の信頼性の確認だけではなく、その関係性まで追跡して確認できる信頼のチェーンを構築してトレーサビリティも確保することで、バリュークリエイ
ションプロセス全体で信頼性を確保するような、多層的な形でセキュリティを確保するアプローチが求められることになる。
一方、こうした体制を構築するためには、技術的・制度的に整備しなければな
らない課題は依然として多く、引き続き、官民が連携して必要な取組を進めてい
く必要がある。技術・制度等の整備に伴い、本フレームワークの第Ⅱ部以降については、必要な見直しを適宜行っていく。

図 1.4-2 信頼の創出、信頼の証明、信頼のチェーンの構築と維持の関係のイメージ

５．結び
本フレームワークは、サイバー空間とフィジカル空間が高度に融合した新たな産業社会となる「Society5.0」におけるバリュークリエイションプロセスの全産業に共通的なセキュリティ対策を示している。一方、それぞれの産業分野においては、産業構造や商慣行などの観点から、業界や企業により、守るべき重要な資産、人的・資金的リソース、又は許容できるリスク等が異なっている実態があり、セキュリティ対策は、こうした各産業分野の持つ特徴も踏まえる必要がある。
したがって、各業界や各企業において、本フレームワークに記載の内容を参考に実態に則したセキュリティ対策の項目を列挙したプロファイルの作成に活用していただきたい。
また、現在のプロファイルと目標となるプロファイルを比較することで、それ23

らの隔たりを明らかにし、セキュリティリスクの低減に活用していただきたい。

24

第Ⅱ部

ポリシー：リスク源の洗い出しと対策要件の特定

第Ⅱ部では、本フレームワークが示す「Society5.0」においてより重要となる
信頼性の基点を整理した三層構造モデルに基づいて、新たな産業社会におけるバリュークリエイションプロセスのリスク源を整理し、対策要件を提示する。

１．三層構造モデルと６つの構成要素を活用したリスクマネジメントの進め方
バリュークリエイションプロセスに関与する主体は、JIS Q 31000:2010 や JIS
Q 27001:2014 等のリスクマネジメントにおける標準的なプロセスを活用して、本フレームワークを活用することができる。第Ⅱ部で提示する内容は、リスクマ
ネジメントプロセスの中でも、特に、適用範囲、状況、基準、リスクアセスメン
ト、リスク対応への活用が可能である。

図 2.1-1 リスクマネジメントの一般的なプロセス 4

セキュリティリスクマネジメントにおける具体的な適用範囲、状況、基準、リ
スクアセスメント及びリスク対応は、以下のステップで実施していく。

4

JIS Q 31000:2019 リスクマネジメント−原則及び指針 を基に作成

25

■ 適用範囲、状況、基準① 分析対象の明確化（１．１）
三層構造モデルに基づき、分析対象となるバリュークリエイションプロセ
スを明確化し、各層における構成要素を把握する。
② 想定されるセキュリティインシデント及び事業被害レベルの設定（１．２）
自組織の事業に対して、各層の機能が脅かされることになると想定される
セキュリティインシデント及びそのセキュリティインシデントの結果、事業に影響がどの程度及ぶかについて、事業被害レベルとして設定する。
■ リスクアセスメント [リスク特定/リスク分析/リスク評価]③ リスク分析の実施（１．３）②で定義したセキュリティインシデントについて、想定される攻撃シナリ
オを検討し、リスクを脅威と脆弱性の観点から分析する。
■ リスク対応④ リスク対応の実施（１．４）
リスク分析の結果を受けて、リスク対応を実施する。

図 2.1-2 リスクマネジメントの流れ 5

5 IPA「制御システムのセキュリティリスク分析ガイド 第 2 版」を参考にしつつ、本フレームワークのコンセプトを活かすように修正

26

なお、セキュリティリスクマネジメントを実施する際、図 2.1-3 に示すセキュ
リティリスクの概念を理解しておく必要がある。ここでリスクは「目的に対する
不確かさの影響」として定義しており、セキュリティリスクとは目的に対するセキュリティに係る不確かさの影響を意味する。脅威や脆弱性のようなリスク源
が原因となってセキュリティインシデントが発生し、セキュリティリスクは顕在化する。そのため、セキュリティリスクを適切かつ効率的に縮減するためには、回避すべきセキュリティインシデントや、その発生につながるリスク源（例：脅威、脆弱性）を適切に分析し、その結果に応じて適宜対応する必要がある。

図 2.1-3 セキュリティリスクの概念 6

特に、本フレームワークが対象とする「Society5.0」におけるセキュリティリ
スクを適切に評価し、効果的な対応を実施するためには、分析対象の明確化からリスク対応の実施に至る流れの中で以下に示す４つの観点を考慮すべきである。
なお、これらの観点については、1.1.(2)「分析対象の明確化における留意点」で
詳述する。

6

永宮直史氏編著「ISO/IEC27017 クラウドサービスのための情報セキュリティ管理策の実践の規範解説と活用ガイド」P.251 図 5.6 を参考にしつつ、本フレームワークの用語等に合うよう修正27

① バリュークリエイションプロセスに関わるステークホルダーとの関係② IoT 機器を介したサイバー空間とフィジカル空間の融合③ 組織を跨るデータの流通④ 各層における信頼性の基点の確保
以降、各観点の捉え方も含め、セキュリティリスクマネジメントの実施について、順に説明する。
１．１．分析対象の明確化(三層構造モデルへの落とし込み)
リスクアセスメントにおける分析対象の明確化について、(1) 実施プロセス、(2) 実施上の留意点の順に以下で記述する。
（1） 三層構造モデルに基づいた分析対象の明確化プロセス
リスクアセスメントを実施するに当たり、まずは分析対象を明確化する必要がある。「制御システムのセキュリティリスク分析ガイド 第 2 版」（IPA, 2018年）では、分析対象の明確化として、以下の三つを実施するよう記載されている。
 分析範囲の決定と資産の明確化
 システム構成の明確化
 データフローの明確化
分析範囲及び資産の明確化は、組織の枠を超えてサイバー空間とフィジカル
空間が高度に融合した産業社会においては、より困難となることが予想される。
上記の達成のためには、企業等が関わるバリュークリエイションプロセスにおけるステークホルダーを整理し、サイバー空間、フィジカル空間の双方におけるモノやデータの動きの把握が重要になる。本フレームワークでは、第Ⅰ部にて提示した三層構造モデルに基づいて分析対象を明確にする方法を提供する。企業
等は、本節における方法を活用して分析範囲を決定し資産を明確化した後で、従前に定めた範囲内におけるシステムの構成やデータフローを明確化することで、
リスクアセスメントを実施する対象に対する理解を詳細化することができる 7。
リスクアセスメントのための分析対象の明確化を行うにあたっては、まず、表
2.1-1 に示すような各層の特性及びその果たすべき機能・役割を理解する必要がある。これらの機能・役割に照らして、分析対象のシステムが果たす機能に着目し、三層構造に基づいて分析範囲及び資産の分類を行う。
7

システム構成の明確化、データフローの明確化を実施するに当たり、「制御システムのセキュリティリス
ク分析ガイド 第２版」(IPA, 2018 年)の３．２及び３．３を参照することが望ましい。

28

企業等が管理するモノはすべて第１層に含まれる。その中で、第２層、第３層の機能を備えるモノについては、その層に含まれるモノとして分析する必要がある。また、第 2 層の機能と第 3 層の機能を併せ持つモノについては、両方の層での分析が必要であることに留意する。その際、機能を踏まえてモノやシステ
ムが設置される「場所」や、ヒトに対して特定のプロシージャを要求する「場所」
も、リスクアセスメントにおいて留意する必要がある。
なお、クラウドサービスを利用する場合、サービスプロバイダからネットワー
クを介して提供されるリソースは第 3 層に位置するが、サービスの利用形態（例：
SaaS/PaaS/IaaS 8）に留意しつつ必要な範囲で第 1 層の機器としてもリスク分析を行う。
表 2.1-1 三層構造モデルにおける各層の特性、機能・役割、分析対象及び具体的イメージ

特性

分析対象の

機能・役割

分析対象

・ 組織として平時のリスク管理体制を構・ 組織等で管理されるヒ・ 社員、従業員

ト・モノ・データ・プロシ

・ 企業のＩＴ資産

ージャ・システム・ 企業のセキュリティポリシー

具体的イメージ

第 1 層 - 企業間のつながり
個々の組織の適切なガバナンス・
マネジメントによって信頼を維持

築し、適切に運用すること・ 組織としてセキュリティインシデント発

個々の組織が適切な業務連携に
よって信頼を維持する

生時においても適切に自組織の事業

・ 上記の要素が管理さ

・ 企業間の契約れる場所を継続すること・ フィジカル空間での製品・サービスが、望まれる品質を備えて入荷又は・ 組織内でのデータの流通出荷されること【セキュリティ要件】
組織単位のセキュリティポリシーを定めて維持すること【信頼性の基点】
組織・マネジメント

8 記載している順に、Software as a Service、Platform as a Service、Infrastructure as a Service の略称を表している。

29

第２層 - フィジカル空間とサイバー空間のつながり
IoT 機器を介して、フィジカル空間

・ フィジカル空間の物理事象を読み取とサイバー空間のつながりが拡大

り、一定のルールに基づいて、デジタ

ネットワークにつながるライフサイ

ル情報へ変換し、サイバー空間へ送

クルの長い機器が増加する（遠隔地などにあり）管理が行き届

・ 転写機能に関わるソシ
キ・ヒト
・ ルールに沿って正しく
サイバー空間とフィジ

る機能・ サイバー空間から受け取ったデータにカル空間を転写する機基づいて、一定のルールに基づいて、能を備えるモノ・システ

ネットワークにつながる機器がモノを制御したり、データを可視化したム

様々な場所（重要インフラから家庭りする機能

きにくいネットワークにつながる機器が増加する・ 転写に関するデータまで）に分離する
サイバー空間からのインプットに基づいて、フィジカル空間において作業を実行する機器が増加する

・ アクチュエータ、センサ、コン
トローラ、医療機器、ECU、
3D プリンタ、監視カメラ、コン
ピュータ（入力機器として）、
スマートメータ（検針機器として）・ これらの機器等を構成する・ 転写するプロシージャ

転写機能に関わる部品 等

・ 特に、組織を越えてや・ サーバ、ルータ、スマートメ【セキュリティ要件】
サイバー空間とフィジカル空間との間の転写におけるセキュリティを確保すること【信頼性の基点】
ルールに沿って正しくサイバー空間とフィジカル空間とを転写する機能

第３層 - サイバー空間におけるつながり
サイバー空間にて自組織のデータ

・ データを送受信する機能だけでなく、組織を超えて多様かつ・ データを加工・分析する機能

りとりするデータを扱う

ータ（検針データの送信機器

大量なデータを収集・蓄積・加工・・ データを保管する機能

ソシキ・ヒトとして）

分析
組織や業界をまたいで様々なエン・ データを送受信、加【セキュリティ要件】

工、分析、保管するモ

ストリーミングデータや機密データ

サイバー空間におけるデータの送

ノ・システム等を含む、様々なデータが収集さ受信等におけるセキュリティを確保

れる

すること

ドポイントからデータが収集される

複数のデータソースから取得したデータが統合的な分析のために加工される・ 組織を越えて流通する
データ【信頼性の基点】
データ

公開データ及び機密データ等を含む自社の蓄積データが、組織や業界をまたいで様々なエンドポイント
からアクセスされる可能性がある
データの加工・分析において、AI 等を活用して高度かつ高速なデータ処理がなされる
サイバー空間におけるデータのサ
プライチェーンの構成は、動的に変
化する。

30

・ これらのシステム等を構成するハードウェア及びソフト
ウェア（OS、ミドルウェア、ア
プリケーション 等）

・ 組織を越えてデータを・ オープンデータ

扱う際の共通のルー

・ 限定提供データ

ル・プロシージャ・ データ管理ポリシー 等

例えば、コンピュータやスマートメータは、第２層と第３層の機能を併せ持つモノと考えられるが、分析対象のシステムにおける機器の役割などを考慮した
上で第 2 層であるのか、第 3 層であるのか、いずれの層にも含まれるモノであるのかを検討する。
三層構造モデルに基づいて明確化された、分析範囲及び資産は文書化し、構成に変更があった場合にすぐに対応できるようにすることが望ましい。
以上の整理を抽象化したモデルとして、図 2.1-4 に第１層の分析対象及びその具体的イメージを示す。第１層では、バリュークリエイションプロセスとは関係なく、セキュリティポリシーの共有・実行を一体として行う組織のマネジメントに基礎を置いて整理した。

図 2.1-4

第１層の分析対象及び分析対象の具体的イメージ

次に、図 2.1-5 に第 2 層及び第 3 層の機能・役割及び分析対象の具体的イメージを示した上で、図 2.1-6 に第１層の分析対象と第 2 層、第 3 層の機能・役割とを関連付けたバリュークリエイションプロセスの分析対象の具体的イメージを示す。
組織の資産は第 1 層に位置づけられるが、バリュークリエイションプロセスが発達してきたときには、組織のセキュリティポリシーだけを考慮すればよい

31

のではなく、図 2.1-5 にあるように第 2 層の転写の機能、第 3 層のデータ流通等の機能に着目して、そのセキュリティを確保できなければ、信頼性は確保できない。
第 1 層で整理した構成要素について、この第 2 層、第 3 層の機能との関連付けを行うと、一つの組織の中で第 2 層に関わる構成要素、第 3 層に関わる構成
要素を明確化することができる。この整理を行うことで、それぞれの構成要素について、第 1 層、第 2 層、第 3 層それぞれの信頼性の基点をどのように置くべ
きか、セキュリティ対策は何を行えばいいか明確化することができる。
参考として、添付 A に図 2.1-6 に示すモデルを代表的な産業分野に適用した場合のユースケース例を用意したので、各実施主体において実際に分析対象の明確化を行う際に必要に応じて参照されたい。
なお、より詳細なシステム構成及びデータフローの明確化については、各業界、企業等でその分析対象が様々に異なると想定されるため、各実施主体が明確化する必要がある。

図 2.1-5 第 2 層及び第 3 層の機能・役割及び分析対象の具体的イメージ

32

図 2.1-6 三層構造モデルと６つの構成要素を活用した分析対象の具体的イメージ（2） 分析対象の明確化における留意点
三層構造モデルに基づいて分析対象を明確化する際、リスクマネジメント実
施主体は、バリュークリエイションプロセス全体のセキュリティの確保という目的を達成するために、以下の観点に留意しながら分析作業を進めることが重要である。
① バリュークリエイションプロセスに関わるステークホルダーとの関係
 第Ⅰ部で説明しているように、第 2 層や第 3 層では、バリュークリエイ
ションプロセスに直接関与していない企業も、適切なセキュリティ対策を実施するためには不可欠な存在としてセキュリティ対策への参加が求められる、マルチステークホルダーアプローチが必要となる。
 このため、三層構造モデルを用いて、バリュークリエイションプロセスに関わるステークホルダーを洗い出し、その役割、自組織の事業における重要度を明確にする必要がある。
 三層構造のそれぞれにおいて、自組織のアクションに関連する「ソシキ」を洗い出す。その際、自組織の提供する製品・サービスの部
品等を提供するサプライヤーだけでなく、IoT 機器ベンダーや第 333層でデータを保管、加工・分析するサービスプロバイダ等も含めて洗い出す必要がある。また、重要な取引先については、業務の再委
託先等も含めて把握しておくことが重要である。
② IoT 機器を介したサイバー空間とフィジカル空間の融合 サイバー空間とフィジカル空間が融合する境界では、フィジカル空間のデータを一定のルールに従って正しくサイバー空間のデータに転写できる必要がある。その際、例えば、センサの機能に対するサイバー攻撃の結果、フィジカル空間のデータが正しく転写できずに誤ったデータがサイバー空間へ提供されると、収集された解析対象となるデータ及び、
そのようなデータを利活用して実施されるオペレーションに対する信頼が失われることになる。
 このため、フィジカル空間の動態を計測し、サイバー空間へデータとして伝送する機能を果たす機器（例：センサ）を適切に識別し、自組織のオペレーションにおける重要度等に応じて分類しておく必要がある。
 サイバー空間とフィジカル空間が融合する境界では、上述の例とは逆に、
サイバー空間におけるデータの解析結果に基づき、フィジカル空間のモノが制御され得る。その結果として、図 2.1-7 及び図 2.1-8 に示すように、セキュリティ上の脅威が、機器の誤動作により従業員への物理的な危害、機器の損壊等の安全上の問題につながる可能性が生じる。
 そのため、リスク分析対象の明確化にあたっては、安全に関するリスク分析の結果を用いて、上記のような安全上の問題に繋がり得る事象を引き起こす可能性のある箇所、該当する機器を明確化し、リスク分析等を実施する際に参照できるようにすることが重要である。

34

図 2.1-7 セキュリティ上の問題がセーフティに影響を与えるモデル 9

図 2.1-8 セキュリティ上の問題がセーフティに影響を与える事例

9

IoT 推進コンソーシアム, 総務省, 経済産業省「IoT セキュリティガイドライン ver.1.0」より引用

35

③ 組織を跨るデータの流通 組織を跨いだデータ等のやり取りが活発化すると、事前に想定されていない構成要素（ソシキ、ヒト、モノ等）から適切でないデータが自組織に提供される可能性が高くなると想定される。
 また、組織を超えて、限られた範囲内で第三者にデータを提供する若しくは提供を受ける機会が増加することも想定される。
 そのため、自組織で利活用すると想定されるデータを、データの取得元である構成要素（ソシキ、あるいはソシキに属さないヒト、モノ
等）がわかるように可能な限り一覧化し、組織自らが定めた重要度等の基準に基づいて分類する必要がある。
④ 各層における信頼性の基点の確保
 第Ⅰ部の「三層構造アプローチの意義」でも述べたように、「Society5.0」
では、従来から考慮されてきた組織のマネジメントの信頼性という観点に加え、第 2 層における IoT 機器を介した転写機能の正確性、第 3 層におけるバリュークリエイションプロセスに関わるデータそのものの信頼性という複数の観点を踏まえた対策を講ずることが、目的どおりの価値を生み出すために重要になる。
 このため、分析対象の明確化に当たっては、上記①～③に記載の観点に留意し、信頼性の基点の確保を考慮した上で、信頼性の基点となる要素の明確化が重要である。
１．２．想定されるセキュリティインシデント及び事業被害レベルの設定明確化された分析対象の事業活動に対し、重大な影響を及ぼし得るセキュリ
ティインシデントを整理し、それによる事業への影響を整理する。まず、考慮
すべきセキュリティインシデントを設定するに当たり、企業等は、各層の機能を脅かす上位レベルでの事象を検討し、その事象につながるセキュリティイン
シデントを抽出する必要がある。
表 2.1-1 で提示した各層の機能に対応して、それを脅かす上位レベルでの事
象（機能に対して想定される悪影響）を表 2.1-2 に示す。企業等は、表 2.1-2の「機能（守るべきもの）に対する悪影響のイメージ」を考慮した、セキュリ
ティインシデントの抽出が重要である。

36

表 2.1-2 各層の機能に対する悪影響のイメージ

階層
第１層

各層の機能(守るべきもの)••

機能（守るべきもの）に対する悪影響のイメージ

組織として平時のリスク管理体制を構築•

法制度等への不準拠し、適切に運用すること•

セキュリティインシデントの発生：情報資産の棄組織としてセキュリティインシデント発生時においても適切に自組織の事業を継続す

•

第２層

•

損(漏洩/改ざん/破壊/利用停止)•

ること

害拡大による事業影響(稼動停止、誤ったアウト

フィジカル空間での製品・サービスが、望ま

プット、従業員の健康や安全、環境への悪影響れる品質を備えて入荷又は出荷されること

等)

フィジカル空間の物理事象を読み取り、一•定のルールに基づいて、デジタル情報へ変換し、第３層へ送る機能•

セキュリティインシデントによる影響の拡大：被機器の機能停止：IoT 機器の稼動が停止すること•信頼性の低い稼動：IoT 機器が意図した稼動を

サイバー空間から受け取ったデータに基づしないこと

いて、一定のルールに基づいて、モノを制 安全面、環境面、衛生面に問題のある稼動御したり、データを可視化したりするように

 誤計測表示したりする機能
第３層•

データをセキュアに加工・分析する機能•

データ保護に係る法制度等への不準拠•

データをセキュアに保管する機能•

セキュアでない稼動：データ処理側でのセキュリ•

データをセキュアに送受信する機能

ティインシデントによる情報資産の棄損(漏洩/改
ざん/破壊/利用停止)•

信頼性の低い稼動 ：データ関連サービスが意図した稼動をしないこと(誤動作、停止等)

また、セキュリティインシデントの洗い出しに際しては、1.1.(2)で示した①～④の各観点を十分に考慮することも重要である。各観点への対応が不十分である場合、表 2.1-3 に例として示すようなセキュリティインシデントが発生し、自組織及び関係する他組織の事業運営に重大な影響が及ぶ可能性が高まる。

37

表 2.1-3 リスク源の洗い出しにおいて考慮すべき観点を看過した場合のリスクの例

観点を考慮しないことで発生し得る【添付 B】において関連する

セキュリティインシデント

セキュリティインシデント 10

バリュークリエイションプロセス

バリュークリエイションプロセスのあL1_3_b, L1_3_cに関わるステークホルダーとのるポイントにおけるセキュリティイン

関係

シデント発生時に、事業継続が適切

考慮すべき観点になされないIoT 機器を介したサイバー空間

サイバー空間とフィジカル空間とのとフィジカル空間の融合

接点（IoT 機器）において、安全性に

L2_1_a, L2_1_b, L2_1_c, L2_2_a

影響を及ぼす事象が発生する
IoT 機器を起点としたサイバー空間

L2_3_b, L2_3_c, L2_3_dへの攻撃が発生する組織を跨るデータの流通

自組織の保護すべきデータが、情報

L3_1_a, L3_1_b, L3_1_c,

処理業務等の外部委託先にて適切

L3_2_a, L3_2_b, L3_4_bに管理されない

本フレームワークでは、各層の機能及び、機能に対する悪影響、1.1.(2)．で示した①～④の各観点を踏まえ、三層構造の各層で発生を回避すべき一般的なセキュリティインシデントを表 2.1-4 にリストとして示す。
企業等においては、考慮すべきインシデントに漏れが発生しないよう、添付 Bを参照して想定インシデントを洗い出し、企業等の事情を加味して検討を具体化する必要がある。
表 2.1-4

想定されるセキュリティインシデント

第 1 層において想定されるセキュリティインシデント(1) 平時のリスクマネジメントプロセスに支障があり、セキュリティインシデント(情報資産の漏洩/改ざん/破壊/利用停止)が発生する(a) 自組織で管理している領域から保護すべきデータが漏洩する(b) 自組織で管理している領域において保護すべきデータが改ざんされる(c) サービス拒否攻撃、ランサムウェアへの感染等により、自組織のデータを取り扱うシステムが停止する(d) 製品・サービスの提供チャネルでセキュリティインシデントが発生し、機器の破損等の意図しない品質劣化が生じる

10 例えば、セキュリティインシデント L1_3_b は、後述する、第 1 層において想定されるセキュリティ
インシデント(3)(b)の記載内容を指している。

38

(2) セキュリティに係る法制度等の規定内容を遵守できない(a) 法制度等で規定されている水準のセキュリティ対策を実装できない(3) セキュリティインシデントによる被害が拡大し、自組織及び関係する他組織が適切に事業継続できない(a) 自組織のセキュリティインシデントにより自組織が適切に事業継続できない(b) 自組織のセキュリティインシデントにより関係する他組織が適切に事業継続できない(c) 関係する他組織のセキュリティインシデントにより自組織が適切に事業継続できない

第 2 層において想定されるセキュリティインシデント(1) セキュリティに係る攻撃を受けた IoT 機器の意図しない動作(誤計測、モノの適切でない制御、制御機能、計測機能の停止等)(a) 脆弱性を悪用して IoT 機器内部に不正アクセスされ、事前に想定されていない動作をする(b) 正規のユーザーになりすまして IoT 機器内部に不正アクセスされ、事前に想定されていない動作をする(c) 遠隔から IoT 機器を管理するシステムに不正アクセスされ、IoT 機器に不正な入力をされる(d) サービス拒否攻撃等により、IoT 機器や通信機器等の機能が停止する(2) IoT 機器の動作（正常動作・異常動作を問わない）による安全面に問題のある事象の発生(機器の破損、従業員への物理的危害、業務への悪影響等)(a) 正常動作・異常動作に関わらず、安全に支障をきたすような動作をする(3) IoT 機器によるサイバー空間へのフィジカル空間の状況の適切でない転写(誤計測、計測機能の停止等)(a)データが IoT 機器・サイバー空間の通信路上で改ざんされる(b) (監視が行き届かない場所に設置された機器の運用中、あるいは廃棄後の盗難等の後)改ざんされた IoT 機器がネットワーク接続され、故障や正確でないデータの送信等が発生する(c) 品質や信頼性の低い IoT 機器がネットワーク接続され、故障や正確でないデータの送信等が発生する(d) 計測機能に対する物理的な妨害により、正確でないデータの送信等が発生する

39

第 3 層において想定されるセキュリティインシデント(1) サイバー空間にて取り扱われる保護すべきデータが漏洩する(a) 自組織で管理している(データ保管)領域から関係する他組織の保護すべきデータが漏洩する(b) 関係する他組織で管理している(データ加工・分析)領域から自組織の保護すべきデータが漏洩する(c) 関係する他組織で管理している(データ保管)領域から自組織の保護すべきデータが漏洩する(2) サイバー空間にて取り扱われる保護すべきデータが改ざんされる(a) 関係する他組織で保管中の自組織の保護すべきデータが改ざんされる(b) 関係する他組織で使用中の自組織の保護すべきデータが改ざんされる(3) サイバー空間にて取り扱われる保護すべきデータ及びデータを収集/加工/蓄積/分析するシス
テムが意図しない動作(停止等)をする(a) (なりすまし等をした)ソシキ/ヒト/モノ等から不適切なデータを受信する(b) サービス拒否攻撃により、関係する他組織における自組織のデータを取り扱うシステムが停止する(c) 攻撃の有無にかかわらず、データを取り扱うシステムが停止する(d) データ加工・分析システムが誤動作することで、適切でない分析結果が出力される(4) サイバー空間上のデータの取扱いに係る法規制や一部の関係者のみで共有するデータについて求められるセキュリティ水準を満たせない。
(a) サイバー空間におけるデータ保護を規定する法規則等への違反が発生する(b) 一部の関係者だけで共有する秘匿性の高いデータのセキュリティ要求が設定・対応されていない企業等は、想定されるセキュリティインシデントを具体化した後に、当該インシデントによってもたらされる事業への影響及び影響の大きさを割り当てる必要がある。特に、事業への影響度を示す事業被害レベルの定義を検討する際は、「制御システムのセキュリティリスク分析ガイド 第 2 版」（IPA, 2018 年）の「４．３ 事業被害と事業被害レベル」や「サイバー攻撃による重要インフラサービス障害等の深刻度評価基準（初版）」（NISC, 2018 年）等を参照することが可能である。
抽出した個々のセキュリティインシデント及びその結果に、それぞれ影響度に関するスコアを割り当てることで、適切に優先順位付けされたリスク対応が可能になると考えられる。

40

１．３．リスク分析の実施
1.1 及び 1.2 にて実施した内容を踏まえ、抽出したセキュリティインシデントにつながるような攻撃シナリオの検討、事業被害レベル、リスク源（脅威/脆弱性）の評価等を実施する。添付 B では、抽出したセキュリティインシデントに対して、当該インシデントの発生を助長、あるいは発生したインシデントの被害を拡大させる可能性がある脅威及び、典型的な脆弱性を抽出しており、実際のリスク分析を実施する際にも、検討するリスク源の抽出及び過不足のチェック等に活用可能である。
脆弱性の抽出に当たっては、図 2.1-9 に示すように、6 つの構成要素の観点から、より網羅的に典型的な脆弱性を抽出することを試みている。ただし、システ
ム構成やデータフロー、該当する資産の内訳等は企業等において様々に異なることが予想されるため、具体的な攻撃シナリオの検討、事業被害レベル、リスク源の評価は企業等の事情を加味して実施する必要がある。
リスク源の評価やセキュリティ対策を選定する際には、同一の具体的なモノが、異なるバリュークリエイションプロセスにおいては、異なる６つの構成要素に対応する可能性があることに留意することが重要である。例えば、PC やサー
バは、「システム」だけでなく、「モノ」として評価するのが適当な場合もある。
また、ソフトウェアは、「プロシージャ」、「データ」、「モノ」のそれぞれで評価することが適切な場合もある。
【ソシキ】• ソシキにおける弱点…例：体制に不備がある(セキュリティ担当者が明確になっていない等)• ソシキに対する管理策における弱点…例：企業あるいは事業部単位で承認されるべきセキュリティ方針・ポリシーに不備がある• ヒトにおける弱点…例：従業員が自身のセキュリティ上の役割と責任を認識していない• ヒトに対する管理策における弱点…例：セキュリティ教育の内容が、それを受ける従業員に割り当てられる役割と責任に対応した内容となっていない

脆弱性
一つ以上の脅威によって付け込まれる可能性のある，資産又は管理策の弱点【モノ】• モノにおける弱点…例：モノにおける耐タンパー性が不足している• モノに対する管理策における弱点…例：自組織が管理しているモノを適切に把握していない【データ】• データにおける弱点…例：保護すべきデータが平文のまま保管されている• データに対する管理策における弱点…例：自組織が受信したデータの完全性を確認していない【プロシージャ】• プロシージャにおける弱点…例：セキュリティ事象発生時の対応手順が整備されていない• プロシージャに対する管理策における弱点…例：定められた手順が遵守されているかどうかを記録していない【システム】• システムにおける弱点…例：異常を素早く検知し、対処する仕組みが実装されていない• システムに対する管理策における弱点…例：対処すべき脆弱性が放置されている

図 2.1-9 6 つの構成要素という観点による脆弱性の抽出

41

6

要素の観点から典型的な脆弱 性を抽 出【ヒト】

１．４．リスク対応の実施
1.3 で実施したリスク分析により抽出されたリスクに対して、回避、低減、移転、保有 11の内、いずれの対応をとるかを、発生時の被害の大きさ等に基づいて検討する。 12(1) リスクの回避：リスクのある機能を削除したり全く別の方法に変更したりすることにより、リスクが発生する可能性を取り去る。
(2) リスクの低減：リスクに対して対策を講じることにより、発生しやすさや被害の深刻度を低減する。
(3) リスクの移転：保険加入や、リスクのある部分を他社製品・システムに置き換えることにより、リスクを他社などに移す。
(4) リスクの保有：リスクが小さい場合やリスクをとったとしても機会を追求するという場合に、特にリスクを低減するための対策を行
わず、許容範囲内として受容する 13。
上記の内、特に低減を選択する場合の対応として、各リスク源に対して、適当と考えられる対策要件を、各種のガイドライン等を参考にしながら導出し、添付
B に整理した。これを参照して、企業等に応じた対策要件を選択することが可能である。また、各々の対策要件に対して、特定の脆弱性との対応づけを行っているため、企業等が実施したリスク分析の結果と比較しつつ利用することが可能である。
対策要件の選定に際しても、先に提示した４つの観点を踏まえて検討を行う
ことが重要である。
① バリュークリエイションプロセスに関わるステークホルダーとの関係
 1.1 において明確化したステークホルダーとの関係性を基礎として、継続的に自組織を取り巻くステークホルダーの関係性に関する全体像を把握し
11「つながる世界のセーフティ&セキュリティ設計入門」（IPA, 2015 年）から引用。

記載しているリスク対応の類型は、JIS Q 31000:2019 において提示されるリスク対応の選択肢と下記のように対応している。
 リスクの回避：「リスクを生じさせる活動を開始又は継続しないと決定することによってリスクを回避する。
」、「リスク源を除去する。
」を含む
 リスクの低減：「起こりやすさを変える。
」、「結果を変える。
」を含む
 リスクの移転：「(例えば，契約，保険購入によって)リスクを共有する。
」を含む
 リスクの保有：「ある機会を追求するために，リスクを取る又は増加させる。
」、「情報に基づいた意思決定によって，リスクを保有する。
」を含む
13 リスクを回避、低減、移転するのでなく、保有する場合、当該リスクに関連する資産の管理者から承認を得る必要がある。
1242

続け、組織間でサイバーセキュリティ上の役割と責任を明確化しておくことが重要である。また、取引先や実施内容に変更等があった場合は、1.1で検討した内容を速やかに更新することが望ましい。
 ISO/IEC 27036-2:2014 には、個々のサプライヤーとの関係におけるライ
フサイクルとして、図 2.1-10 に示す 5 つのフェーズが記載されている。
14


図 2.1-10

ISO/IEC 27036-2:2013 における個々のサプライヤーとの契約におけるライフサイクル

 特に、第Ⅲ部にて記載する対策カテゴリ CPS.SC（サプライチェーンリス
クマネジメント）において、上記のライフサイクルを考慮した対策要件を設けている。これらも参照し、各組織においてライフサイクルを通じたス
テークホルダーとの関係性のマネジメントを検討する必要がある。
 関連する対策要件には、CPS.AM-5, CPS.AM-7, CPS.BE-2, CPS.BE-3,
CPS.SC-1, CPS.SC-2 等がある（各対策要件の詳細については第Ⅲ部を参照されたい）。

14

本ポイントに関連して、サプライチェーンにおけるセキュリティ対策に関して記述した標準として、

ISO/IEC 27036:2014 や NIST SP 800-161 が策定されている。本フレームワークの策定に当たり、リスク源抽出において NIST SP 800-161 を、対策要件及び対策例の記述に当たり、ISO/IEC 27036:2014 をそれぞれ参照している。本ポイントに関して、より高度な対策を実装する必要があると考えられる場合は、NIST
SP 800-161 における管理策群を参照することが可能である。

43

② IoT 機器を介したサイバー空間とフィジカル空間の融合
 センサ等から実際とは異なる計測データがサイバー空間へ提供される、あるいは計測データのサイバー空間への提供が停止してしまうと、収集された解析対象となるデータ及び、そのようなデータを利活用して実施されるオペレーションに対する信頼が損なわれる可能性がある。
 そのような事態を避けるため、センサ等の機能に対する攻撃を考慮してセキュリティ対策を講ずる必要がある。具体的には、サービス拒否攻撃等を受けた場合でも動作を停止しづらい機器の利用、データの完全性チェック
メカニズムを利用できる機器の利用、計測データの真正性を保証する機能を有した機器の利用等が考えられる。
 関連する対策要件には、CPS.DS-6, CPS.DS-11, CPS.DS-15, CPS.CM4 等がある。
 1.1 でも述べた通り、サイバー空間からのデータ入力を受けてフィジカル
空間でモノを制御したりする場合、セキュリティ上の問題が物理的な危害等の安全性に関する問題につながる可能性がある。フィジカル空間とサイバー空間の界面におけるセキュリティと安全の両立のためには、設計、調達の段階から安全性に係るハザードとそのリスク源を分析し、その結果から、セキュリティが影響を与える側面を特定するという一連のプロシージ
ャを構築し、分析結果に応じて、企画、設計・調達から運用・保守・廃棄の段階まで含めて、適切に対応することが重要である。
 その際、安全性の確保を大前提として、その実現方策については、機能安全の観点からの対策やサイバーセキュリティ対策を組み合わせて対応することが必要である。こうした対応には、セーフティの観点からの検討と、セキュリティの観点からの検討の双方が求められるため、それぞれの検討の担当者同士がよく対話しながら対応を検討する必要がある。
 関連する対策要件には、CPS.RA-4, CPS.RA-6, CPS.PT-3, CPS.CM-3
等がある。
 安全制御系におけるセキュリティ面の統合については、近年国際標準化の場でも議論がなされており、IEC TR 63074, IEC TR 63069 等を参照することが可能である(参考図 2.1-11)。 15

15 上記の IEC による規格以外では、IEC TR 63074 と同様に機械安全のセキュリティを扱っている ISO
TR22100-4:2018(セキュリティ面のガイド及び考慮)も参照することが可能である。

44

図 2.1-11 国際標準化活動におけるセーフティとセキュリティの統合に関する検討状況 16

 サイバー空間とフィジカル空間とをつなぐ境界に位置する IoT 機器を介して、論理的な脅威だけでなく、フィジカル空間における物理的な脅威がサ
イバー空間に影響を与えることも想定される。
 そのため、自組織で利用する IoT 機器の重要度に応じて、物理的なセキュリティ対策を講ずる必要がある。例えば、重要な IoT 機器を設置する区域と、それ以外の区域を区分し、境界でアクセス制御を実施する、当該エリアを監視カメラ等で常時モニタリングし不正行為を検知する等の多層的な対策を行うことが考えられる。一方で、IoT 機器には、個人が持ち歩いたり、家庭や公共空間等に設置されたりするような、組織による管理が行き届きにくいものも存在する。この場合、上記で記載したアクセス制御やモ
ニタリングが困難となるケースもあるため、盗難、紛失のリスクも考慮して対策を実施することが重要である 17。
 関連する対策要件には、CPS.AC-2, CPS.DS-8, CPS.IP-5, CPS.IP-6,
CPS.PT-2, CPS.CM-2 等がある。
「制御システム セーフティ・セキュリティ要件検討ガイド」（IPA, 2018 年）及び神余浩夫氏「機能安全と制御セキュリティの標準化動向」，情報処理, Vol.58, No.11, Nov.2017 などを基に作成。
17 対策を検討する場合、IoT 推進コンソーシアム, 総務省, 経済産業省「IoT セキュリティガイドライン
ver.1.0』の要点 6 を参照することが望ましい。
1645

③ 組織を跨るデータの流通 自組織の保護すべきデータが取引先により加工・分析、あるいは保管される、または、他組織の保護すべきデータを自組織が取扱うケースでは、交換するデータの重要性に関する区分、当該データに対する適切なレベルのデータの保護の確保に必要な、データの区分に応じたセキュリティ対策について事前に当該取引先との間で合意しておき、定期的に監査等の手法を用いて遵守を確認することが望ましい。
 その際、組織間で交換されるデータの性質、取引先あるいは自組織が提供するサービスの内容等を勘案してリスクを分析し、セキュリティ要求事項を具体化することが重要である。
 また、事前に十分な対策を実施したとしても、保護すべきデータに対する
セキュリティインシデントを検知した場合に適切に取引先へと状況の説明ができるよう、対応手順を事前に策定し、適切に報告が必要な関係者へと周知しておく必要がある。
 他組織で処理されたデータを自組織が受入れる場合、正しい送信元からデータが送信されているか、データに攻撃コードが含まれていないか等を常時モニタリングしておき、異常を検知した場合に即座に対応できるようにしておくことが望ましい。
 関連する対策要件には、CPS.SC-3, CPS.SC-4, CPS.SC-6, CPS.CM-1,
CPS.CM-3, CPS.CM-4, CPS.DP-1, CPS.RP-2, CPS.CO-1 等がある。
④ 各層における信頼性の基点の確保
 第 1 層においては、①において特定されているステークホルダーとの関係性の全体像に基づいて、各々の組織（ステークホルダー）との信頼関係を維持するに当たり必要なサイバーセキュリティに関係する要求事項を契約にて明確化し、定期的に遵守を確認することが重要である。
 その際、確認を受ける側は、あらかじめ、遵守を証明するための情報（データ）を収集しておき、求めに応じて開示できるようにしておくことが重要である。特に、自組織の事業継続上重要な取引先については、直接の委託先のみならず、再委託先以降の組織についても定めている要求事項が遵守されているかどうかを確認することで、信頼のチェーンを構築することが望ましい。
 関連する対策要件には、CPS.SC-3, CPS.SC-4, CPS.SC-6, CPS.SC-8
等がある。

46

 第 2 層においては、IoT 機器による転写機能の正確性を確保することが求められる。そのためには、設計、調達フェーズから運用、廃棄フェーズに至るまでの、ライフサイクルを通じた対策を講ずることで当該 IoT 機器におけるセキュリティ上の健全性の維持・向上が重要である。
 具体的には、企画、設計、調達時におけるセキュリティ・バイ・デザインの実施、テストによるセキュリティ機能の検証、運用時における脆弱性マ
ネジメント、機器・ソフトウェアの完全性検証等の対策を実施することが重要である。
 また、自組織の事業継続において、特に重要な IoT 機器については、転写機能を保証するためのセキュリティ等に係る要求事項を契約の際に明確化しておき、委託先、あるいは再委託先以降の組織により実行されるソフト
ウェアの設計、実装を含んだ製造、輸送等の一連のプロセスにおいて要求事項が正確に遵守されているかどうかを、確認できるようにしておくことが望ましい。
 一方、IoT 機器におけるセキュリティ対策を考える上で、従来の IT システ
ムに対する対策とは異なるポイントを考慮する必要がある点が指摘されている 18。調達においてはセキュリティ・バイ・デザインの原則に基づき、十分なセキュリティ機能を要求することを前提とするが、そのような機能を実装する機器の調達が困難な場合、システム側において代替的な対策を検討する必要が生じる。添付 C では、CPS.IP-10、CPS.CM-3、CPS.CM6 等、複数の対策要件について IoT 機器に対する対策を検討する上で考慮すべきポイントを記載している。IoT 機器における対策を検討する際には、当該項目を参照することが望ましい。
 関連する対策要件には、CPS.RA-4, CPS.RA-6, CPS.DS-10, CPS.DS12, CPS.DS-15, CPS.CM-6, CPS.CM-7 等がある。
 第 3 層においては、サイバー空間のデータ及び、その加工・分析・保管という諸機能の信頼性を確保することが求められる。
 そのためには、第 1 層、第 2 層で述べた観点に加え、利活用するデータそのものが信頼できるかを確認することが重要となる。具体的には、データが改ざんされたものでないか、攻撃コード等を含む許容範囲外のものでな
いか、不正な構成要素（ソシキ、ヒト、モノ等）から生成・送信されたものでないか等の観点があると考えられる。

例えば、Draft NISTIR 8228 では、機器のセキュリティ、データのセキュリティ、プライバシーという3 つの観点から IoT におけるセキュリティ保護を実現するにあたり、資産管理、脆弱性管理、アクセス管理、インシデント検知、データフロー管理等の対策で従来の IT 機器とは異なる IoT 機器特有の性質を踏まえる必要があるとしている。
1847

 また、自組織の事業継続において特に重要なデータについては、当該デー
タの作成・加工元である組織のマネジメントの信頼性を確認し、自組織に発信される利活用データの適格性（改ざんの有無、攻撃コードの有無等）
をモニタリングすることに加え、データの加工・分析等の業務が、適切なレベルのセキュリティを実装したモノ及びシステムで、適切なプロシージ
ャによって実行されているかを確認できるようにしておくことが望ましい。
 関連する対策要件には、CPS.DS-9, CPS.DS-14, CPS.AE-1, CPS.CM-3,
CPS.CM-4, CPS.CM-5 等がある。
表 2.1-5 リスクマネジメントのプロセスにおいて考慮すべき観点に対応した対策要件の一例

リスク源を洗い出す観点

関係する対策要件の一例

バリュークリエイションプロセスに関わるステCPS.AM-5, CPS.AM-7, CPS.BE-2, CPS.BE-3,

ークホルダーとの関係

CPS.SC-1, CPS.SC-2, CPS.DS-13, CPS.CM-4

IoT 機器を介したサイバー空間とフィジカル空

CPS.RA-4, CPS.RA-6, CPS.PT-3, CPS.CM-3間の融合
組織を跨るデータの流通

CPS.SC-3, CPS.SC-4, CPS.SC-6, CPS.CM-1,
CPS.CM-3, CPS.CM-4, CPS.DP-1, CPS.RP-2,
CPS.CO-1

各層における信頼性の基点の確保

CPS.RA-4, CPS.RA-6, CPS.SC-3, CPS.SC-4,
CPS.SC-6, CPS.DS-10, CPS.DS-12, CPS.CM4, CPS.CM-5

２．リスク源と対策要件の対応関係
添付 B では、各層における機能、想定されるセキュリティインシデント、リ
スク源（脅威、脆弱性）、対策要件を表 2.2-1 に示す形式で一覧化している。
表 2.2-1

添付 B における記載の例(第 3 層)（抜粋）

想定される

リスク源
対策要件

機能

セキュリティ

対策要件
脅威

脆弱性 IDID

脆弱性

インシデント
下記すべてに関わるサービス拒否攻・システムを構成

・データを加工・分析

撃により、関係すする機能

L3_3_b_ORG[ソシキ]

・自組織の事業を継続するにするサーバ等の・データの収集先、当たり、三層構造の各層におる他組織における

電算機器、通信

加工・分析等の依頼

いて重要な役割を果たす組・データを保管する

自組織のデータを機器等に対する

先の組織の信頼を

織やヒトを特定し、優先付け機能取り扱うシステム

サービス拒否攻

契約前、契約後に確をし、評価する。

・データを 送受信す

が停止する

撃

認していない・外部の組織との契約を行う

48

CPS.SC-2

CPS.SC-3

る機能・妨害電波の発信

場合、目的及びリスクマネジ
メントの結果を考慮し、自組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマネジメン
トが適合していることを確認する。

攻 撃 の 有 無に 関・品質や信頼性のわらず、データを取り扱うシステムL3_3_c_SYS[システム]

・サービス拒否攻撃等のサイ

低いシステムによ・IoT 機器を含むシスバー攻撃を受けた場合でも、るサービス提供

テムに十分なリソー

資産を適切に保護し、攻撃にス(処理能力、通信よる影響を最小限にできるよ

帯 域 、ス トレ ージ 容う、構成要素において十分な量 ) が 確 保 され て い

リソース（例:ヒト、モト、システ

ないム）を確保する。

が停止する

CPS.DS-6「機能」は、1.1 の表 2.1-1 で整理した三層構造モデルにおける各層の機能を表している。
「想定されるセキュリティインシデント」は、左記に記載した各層の機能を侵害する可能性のある、主にセキュリティに起因したインシデントであり、1.1 の表 2-1.4 で整理したものである。当該セキュリティインシデントは、「リスク源」に記載されている「脅威」や「脆弱性」を原因として引き起こされ得る。企業等は、深刻な影響を及ぼす可能性のある「リスク源」に対して、リスク対応を実施する必要があるが、その際に対応策となる見込みの高い要件を、「対策要件」として記載している。脆弱性及び対策要件には、固有の識別子（ID）を付与しており、第Ⅲ部及びより詳細な対策例を記載した添付Ｃにおいても当該識別子による参照が可能である。
以上の記載は簡易的ではあるが、リスクアセスメントの形式を模したものとなっており、実際に企業等においてリスクマネジメントを実施する際にも参照
しやすいように記載している。

49

第Ⅲ部

メソッド：セキュリティ対策要件と対策例集

１．対策要件及び対策例集を活用したリスク対応
第Ⅱ部におけるリスク源と対策要件の抽出を受けて、第Ⅲ部及び添付 C では、対策要件、対策要件に対応したセキュリティ対策例及び他の国際規格等との関係性を示している。
第Ⅲ部及び添付 C は、リスクマネジメントプロセスにおけるリスク対応のス
テップにおいて最も有用に機能すると考えられる。企業等は、以下に示す用途に本項の内容を活用することができる。
（1） 自組織のセキュリティマネジメント強化
第Ⅱ部 1.4 にも記載したとおり、企業等はリスクアセスメントの結果に応じて、第Ⅲ部に記載された対策要件及び、添付 C に記載されたセキュリティ対策
例を実装し、リスクマネジメントプロセスを適切に実施することで、自組織のセキュリティマネジメントを改善することが可能である。その際、「はじめに ７．
フレームワークの使い方」でも記載したとおり、以下の 2 点にて各組織のセキ
ュリティ対策の助けになることが期待される。
① 各組織において実装する対策の水準とコストを考慮した対策の実施② 国際標準等との比較①に関しては、各組織で実装すべきセキュリティ対策のレベル選択の一助とすることを目的にして、対策例を添付 C にまとめている。国内外の様々なガイ
ドライン等を参照した上で、参照した文書による分類をベースに、対象とするス
コープ(例：自組織内のみの適用か、関連する他組織を巻き込んだ適用か)、対策を導入・運用する際の相対的コスト等の観点を考慮してセキュリティ対策を選択できるように、セキュリティ対策例を High-Advanced、Advanced、Basic の三段階のレベルに分けて示している。
なお、添付 C で整理した対策例集は、あくまで対策の一例を示すものであり、他の実装を何ら否定するものではない。企業等のセキュリティ対策の実施担当
者は、適用対象となる組織やシステムの重要度やリスクアセスメントの結果等に応じて、対策例集も参考に適切なセキュリティ対策を検討する必要がある。
②に関しては、後述する 3.1 以降及び添付 C において、本フレームワークで整理している対策要件と、主要な国際規格等との対応関係を示している。特に、添付 C においては、対策例のレベル単位で、NIST SP800-171, NIST SP800-53
Rev.4, ISO/IEC 27001:2013 の対策項目との対比を整理している。また、添付 D

50

では、主要な国際規格等から見た、本フレームワークの対策要件との対応関係を
表形式で整理している。これらを参照することで、対策要件の実装を通じた国際規格等への準拠や参照先の規格等の要求事項と組み合わせたセキュリティ対策の高度化等に本フレームワークを活用することが期待される。
（2） サプライチェーン上の取引先に対するセキュリティのガバナンス強化
企業等は、自組織のセキュリティマネジメント強化だけでなく、自身の関係するサプライチェーン上の取引先に対して、本フレームワークの特定の対策要件への準拠を求める等の手段により、取引先へのセキュリティガバナンスを強化することが可能である。
その際に取引先に対して実施する一連のプロセスを記載した対策要件として、
CPS.SC-2、CPS.SC-3、CPS.SC-4、CPS.SC-6 等がある。上記を効果的に実施することにより、委託元は委託先に対して、第Ⅱ部 1.4 でも言及した契約のライ
フサイクルを通じたガバナンスの強化を図ることができる。
委託先への要求事項は、委託する業務の内容や、自組織の事業における当該委託先の重要度等により変化することが見込まれるため、第Ⅱ部を参考に、（取
引先の行為に起因する）対処すべきリスク・リスク源を抽出した上で決定することが重要である。
また、委託元と委託先という二者関係にガバナンスの範囲をとどめるのでな
く、特に重要な委託先については、再委託先以降にまで仕様・要求事項の遵守を確認することで、サプライチェーン全体におけるセキュリティリスクマネジメ
ントを確立・維持することも可能であると考えられる。その際は、当該事業者において、求められるセキュリティ対策のレベルを適切に把握し、妥当性があると考えられるレベルの対策の実装を求めることが望ましい。

２．対策例集の見方
添付 C では、対策要件、対策要件を実装する際のレベル別の対策例、対策例と主要な国際規格等との対応関係を表形式で一覧化している。表 3.2-1 に添付Ｃの記載事項を示す。

51

表 3.2-1 添付Ｃの記載事項参照ガイドライン

対策例を

対策要件
対策要件
ID

対策例

実行する

NIST

NIST

ISO/IEC

主体

SP800-171

SP800-53

27001

IEC 62443<High-Advanced>
O/S

○

○

<Advanced>
O

○

○

○

○

○

<Basic>O

対策例のレベルは、既存の国際規格等におけるレベル別に階層化された管理策をベースに、対策例を導入・運用する際のコスト、対策の対象とするスコープ（例：自組織内のみの適用か、関連する他組織を巻き込んだ適用か）等により、High-Advanced, Advanced, Basic の 順 に 整 理 し て い る 。 組 織 が 、 "HighAdvanced"に分類される対策例を実装する際は、"Advanced"と"Basic"に分類されたセキュリティ対策例もカバーしておく必要がある。
組織においては、CPS.AM-5 や CPS.BE-2 で対応が求められている、事業、業務、システム等へ割り当てられた重要度を参照し、High-Advanced, Advanced,
Basic の内、必要なレベルの対策の実装を進める必要がある。一例として、業務、システム等について、機密性、完全性、可用性の観点から、表 3.2-2 のように重要度を割り当てることが考えられる。組織は、評価値や評価基準等を自組織特有の条件も勘案しつつ具体化する必要がある。

52

表 3.2-2 情報資産の機密性・完全性・可用性に基づく重要度の例 19

評価値

評価基準
法律で安全管理（漏えい、滅失又はき損防止）が義務付けられている
守秘義務の対象や限定提供データとして指定されている
2

機密性

漏えいすると取引先や顧客に大きな影響がある
自社の営業秘密として管理すべき（不正競争防止法による保護を受けるため）漏えいすると自社に深刻な影響がある

1

漏えいすると業務に大きな影響がある

0

漏えいしても業務にほとんど影響はない

2
完全性

可用性

法律で安全管理（漏えい、滅失又はき損防止）が義務付けられている
改ざんされると自社に深刻な影響または取引先や顧客に大きな影響がある

1

改ざんされると業務に大きな影響がある

0

改ざんされても業務にほとんど影響はない

2

利用できなくなると自社に深刻な影響または取引先や顧客に大きな影響がある

1

利用できなくなると事業に大きな影響がある

0

利用できなくなっても事業にほとんど影響はない

なお、対策要件により、「<Advanced><Basic>共通」のように異なるレベルで同一の対策例を記載している場合がある。これは Advanced と Basic で同様の対策例を実施することを求めるものである。また、特に Basic にて「（該当なし）」と記載している要件は、対策例実施のためのリソースが厳しく制限されている場合や、対策の実施対象となるシステム、モノ等の重要度が高くない場合等において、当該要件の実装の優先度が必ずしも高くないことを示している。
また、「対策例を実装する主体」では、当該対策例を実装するに当たり、主体となる要素を 3 つに分類して提示している 20。一般的に技術的な手法を通じてシステムにより実装される対策は「S」を、一般的に組織（例：非技術的な手法を通じてヒト）により実装される対策は「O」を、実装主体がシステム及び組織の両方であり得る場合は「O/S」をそれぞれ記載している。
対策例集に記載の対策例は、あくまで対策要件に対応するための対策の一例
を参考として示しているに過ぎず、対策例集に記載のない対策により当該対策要件を充足することも可能である。したがって、本対策例集は、企業等におけるコストを考慮した対策の実施や、国際標準等との比較のため、活用されることが19「中小企業の情報セキュリティ対策ガイドライン 第 3 版」(IPA, 2019 年)の P.45 表 10 を参考に記載している。なお、特に産業用制御システム等については、「評価値」あるいは「評価基準」において、情報システムで一般的に想定される影響に加えて、安全性(セーフティ)や環境、衛生という側面への影響についても考慮する必要がある。
20 表記法は、NIST SP 800-53 Rev. 5 (DRAFT) APPENDIX D に従っている。

53

望ましい。

３．対策要件本フレームワークにて示す対策要件をカテゴリ別に表 3.3.2～3.3.21 に示す。
（1） 対策要件のカテゴリ
本フレームワークにて示す対策要件を記述する上で、国際ハーモナイゼーシ
ョンの観点から、NIST Cybersecurity Framework Ver.1.1 のサブカテゴリに対応付ける形で表 3.3-1 に示すように 20 カテゴリを定めた。
表 3.3-1 対策要件のカテゴリと NIST Cybersecurity Framework との対応関係

カテゴリ名称

略称

NIST Cybersecurity Framework Ver.1.1 の対応カテゴリ

資産管理

CPS.AM

ID.AM (Asset Management)

ビジネス環境

CPS.BE

ID.BE (Business Environment)

ガバナンス

CPS.GV

ID.GV (Governance)

リスク評価

CPS.RA

ID.RA (Risk Assessment)

リスク管理戦略

CPS.RM

ID.RM (Risk Management Strategy)

サプライチェーンリスク管理

CPS.SC

ID.SC (Supply Chain Risk Management)

CPS.ACPR.AC (Identity Management and Access Control)

意識向上及びトレーニング

CPS.AT

PR.AT (Awareness and Training)

データセキュリティ

CPS.DS

PR.DS (Data Security)

CPS.IP

PR.IP (Information Protection Processes and Procedures)

保守

CPS.MA

PR.MA (Maintenance）

保護技術

CPS.PT

PR.PT (Protective Technology)

異変とイベント

CPS.AE

DE.AE (Anomalies and Events)

CPS.CM

DE.CM (Security Continuous Monitoring)

検知プロセスCPS.DP

DE.DP (Detection Processes)

対応計画

CPS.RP

伝達

CPS.CO

アイデンティティ管理、認証及びアクセス制御

情報を保護するためのプロ
セス及び手順セキュリティの継続的なモ
ニタリング

RS.RP (Response Planning)
RC.RP (Recovery Planning)
RS.CO (Communications)
RC.CO (Communications)54

カテゴリ名称

略称

NIST Cybersecurity Framework Ver.1.1 の対応カテゴリ

分析

CPS.AN

RS.AN (Analysis)

低減

CPS.MI

RS.MI (Mitigation)

改善

CPS.IM

RS.IM (Improvements)
RC.IM (Improvements)（2） 国内外主要規格との対応
NIST Cybersecurity Framework Ver.1.1 の参照文献やサイバーセキュリティ
経営ガイドライン Ver 2.0 のチェックリストも参考に、各対策要件に対応する
国内外主要規格を「関連標準等」として整理した。整理の対象とした規格は以下のとおりである。













NIST “Framework for Improving Critical Infrastructure Cybersecurity
Version 1.1” (NIST Cybersecurity Framework Ver 1.1)
Council on CyberSecurity（the Council） “The Critical Security Controls”(CIS CSC)ISACA “Control Objectives for Information- related Technology 5”（COBIT 5）
ISA 62443-2-1:2010 “Industrial communication networks - Network andsystem security - Part 2-1: Establishing an industrial automation andcontrol system security program”
ISA 62443-3-3:2013 “Industrial communication networks - Network andsystem security - Part 3-3: System security requirements and security
levels”
ISO/IEC 27001:2013 “Information technology -- Security techniques -Information security management systems – Requirements” 21
NIST “Special Publication 800-53 Revision 4”（SP 800-53 Rev.4）“Common Criteria for Information Technology Security Evauation
Version 3.1 Revision 5” (CC v3.1 Release 5)
経済産業省 “サイバーセキュリティ経営ガイドライン Ver 2.0”
IoT 推進コンソーシアム, 総務省, 経済産業省 “IoT セキュリティガイドラ
イン Ver 1.0”

クラウドサービスの利用にあたっては、「関連標準等」に言及されている ISO/IEC 27001:2013 Annex
A の項番と対応した ISO/IEC 27017:2015 の項目も参照することが望ましい。

2155

３．１．CPS.AM – 資産管理
企業等が事業目的を達成することを可能にするデータ、ヒト、モノ、システム、それらが管理される場所等を特定し、自組織のリスク戦略とその目的における重要性に応じた管理をする。
表 3.3-2 CPS.AM カテゴリの対策要件

対策要件

対策要件

ID
CPS.AM-1

対応する

関連標準等

脆弱性 ID・システムを構成するハードウェ

L1_1_a_COM,

NIST Cybersecurity Framework Ver.1.1 ID.AM-1,

ア、ソフトウェア及びその管理情報

L1_1_b_COM,

ID.AM-2(例：名称、バージョン、ネットワーク

L1_1_c_COM,CIS CSC 1, 2

アドレス、管理責任者、ライセンス

L2_1_a_ORG,

COBIT 5 BAI09.01, BAI09.02, BAI09.05

情報)の一覧を作成し、適切に管理

L2_3_b_ORG,

ISA 62443-2-1:2009 4.2.3.4

する。

L2_3_b_SYS

ISA 62443-3-3:2013 SR 7.8
ISO/IEC 27001:2013 A.6.2.1, A.8.1.1, A.8.1.2,
A.8.1.3, A.11.2.5
NIST SP 800-53 Rev. 4 CM-8, PM-5
CC v3.1 Release5 Part 2 FMT
サイバーセキュリティ経営ガイドライン 指示 4
IoT セキュリティガイドライン 要点 3, 要点 15

CPS.AM-2

・自組織が生産したモノのサプライ

L1_3_a_COM,

チェーン上の重要性に応じて、トレL1_3_b_COM

CC v3.1 Release5 Part 2 FIAーサビリティ確保のための特定方法を定める。

CPS.AM-3

・重要性に応じて、生産日時やそL1_3_a_COM,の状態等について記録を作成し、

L1_3_b_COM

一定期間保管するために生産活動の記録に関する内部規則を整備し、運用する。

CPS.AM-4

・組織内の通信ネットワーク構成図

L1_3_b_ORG,

NIST Cybersecurity Framework Ver.1.1 ID.AM-3

及び、データフロー図を作成し、適L1_3_c_ORG

COBIT 5 DSS05.02

切に管理する。

ISA 62443-2-1:2009 4.2.3.4, 4.2.3.5
ISO/IEC 27001:2013 A.13.2.1, A.13.2.2
NIST SP 800-53 Rev. 4 AC-4, CA-3, CA-9, PL-8
サイバーセキュリティ経営ガイドライン 指示 4

56

CPS.AM-5

・自組織の資産が接続している外L1_1_a_COM,

NIST Cybersecurity Framework Ver.1.1 ID.AM-4

部情報システムの一覧を作成し、L1_1_b_COM,CIS CSC 12

適切に管理する。

L1_1_c_COM,

COBIT 5 APO02.02, APO10.04, DSS01.02

L1_3_b_ORG,

ISO/IEC 27001:2013 A.6.2.1, A.11.2.6

L1_3_c_ORG

NIST SP 800-53 Rev. 4 AC-20, SA-9
サイバーセキュリティ経営ガイドライン 指示 4
IoT セキュリティガイドライン 要点 3

CPS.AM-6

・リソース（例：モノ、、データ、シス

L1_1_a_ORG,

NIST Cybersecurity Framework Ver.1.1 ID.AM-5テム）を、機能、重要度、ビジネス

L1_1_b_ORG,

CIS CSC 13, 14

上の価値に基づいて分類、優先順

L1_1_c_ORG,

COBIT 5 APO03.03, APO03.04, APO12.01,

位付けし、管理責任を明確にした

L3_1_a_ORG,

BAI04.02, BAI09.02

上で、業務上それらのリソースにL3_4_a_ORG

ISA 62443-2-1:2009 4.2.3.6, 4.3.4.4.3

関わる組織やヒトに伝達する。

ISO/IEC 27001:2013 A.8.2.1, A.8.2.2
NIST SP 800-53 Rev. 4 CP-2, RA-2, SA-14, SC6
サイバーセキュリティ経営ガイドライン 指示 4
IoT セキュリティガイドライン 要点 3

CPS.AM-7

・自組織及び関係する他組織のサ

L1_3_b_ORG,

NIST Cybersecurity Framework Ver.1.1 ID.AM-6

イバーセキュリティ上の役割と責任

L1_3_c_ORG

CIS CSC 17, 19を定める。

COBIT 5 APO01.02, APO07.06, APO13.01,
DSS06.03
ISA 62443-2-1:2009 4.3.2.3.3
ISO/IEC 27001:2013 A.6.1.1
NIST SP 800-53 Rev. 4 CP-2, PS-7, PM-11
サイバーセキュリティ経営ガイドライン 指示 4.,
指示 9
IoT セキュリティガイドライン 要点 18, 要点 19,
要点 20

57

３．２．CPS.BE – ビジネス環境
自組織のミッション、目標、利害関係者、活動を理解し、優先順位付けを行う。
この情報はサイバーセキュリティ上の役割、責任、リスク管理上の意思決定を伝達するために使用される。
表 3.3-3 CPS.BE カテゴリの対策要件

対策要件

対策要件

ID
CPS.BE-1

対応する

関連標準等

脆弱性 ID・サプライチェーンにおいて、自組

L1_3_b_ORG,

NIST Cybersecurity Framework Ver.1.1 ID.BE-1,

織が担う役割を特定し共有する。

L1_3_c_ORG

ID.BE-2
COBIT 5 APO08.01, APO08.04, APO08.05,
APO10.03, APO10.04, APO10.05
ISO/IEC 27001:2013 A.15.1.1, A.15.1.2, A.15.1.3,
A.15.2.1, A.15.2.2
NIST SP 800-53 Rev. 4 CP-2, SA-12
サイバーセキュリティ経営ガイドライン 指示 9
IoT セキュリティガイドライン 要点 20

CPS.BE-2

・あらかじめ定められた自組織のL1_1_a_ORG,

NIST Cybersecurity Framework Ver.1.1 ID.BE-3

優先事業、優先業務と整合したセL1_1_b_ORG,

COBIT 5 APO02.01, APO02.06, APO03.01

キュリティポリシー・対策基準を明L1_1_c_ORG

ISA 62443-2-1:2009 4.2.2.1, 4.2.3.6

確化し、自組織の取引に関係する

ISO/IEC 27001:2013 A.5.1.1者(サプライヤー、第三者プロバイ

NIST SP 800-53 Rev. 4 PM-11, SA-14

ダ等を含む)に共有する。

サイバーセキュリティ経営ガイドライン 指示 6, 指示9CPS.BE-3

・自組織が事業を継続する上でのL1_3_b_ORG,

NIST Cybersecurity Framework Ver.1.1 ID.BE-4

自組織及び関係する他組織におL1_3_c_ORG

COBIT 5 APO10.01, BAI04.02, BAI09.02

ける依存関係と重要な機能を特定

ISO/IEC 27001:2013 A.11.2.2, A.11.2.3, A.12.1.3

する。

NIST SP 800-53 Rev. 4 CP-8, PE-9, PE-11, PM8, SA-14
サイバーセキュリティ経営ガイドライン 指示 958

３．３．CPS.GV – ガバナンス
自組織に対する規制、法律、リスクと、自組織の環境、運用上の要求事項を管理しモニタリングするためのポリシー、手順、プロセスを理解し、サイバーセキュリティリスクの管理者に伝達する。
表 3.3-4 CPS.GV カテゴリの対策要件

対策要件

対策要件

ID
CPS.GV-1

対応する

関連標準等

脆弱性 ID・セキュリティポリシーを策定し、自L1_1_a_PRO,

NIST Cybersecurity Framework Ver.1.1 ID.GV-1,

組織及び関係する他組織のセキュ

L1_1_b_PRO,

ID.GV-2

リティ上の役割と責任、情報の共

L1_1_c_PRO

CIS CSC 19

有方法等を明確にする。

COBIT 5 APO01.02, APO01.03, APO10.03,
APO13.01, APO13.1202, DSS05.04, EDM01.01,
EDM01.02
ISA 62443-2-1:2009 4.3.2.6, 4.3.2.2.1, 4.3.2.3.3
ISO/IEC 27001:2013 A.5.1.1, A.6.1.1, A.7.2.1,
A.15.1.1
NIST SP 800-53 Rev. 4 -1 controls from all
security control families
サイバーセキュリティ経営ガイドライン 指示 1, 指示 2, 指示 6
IoT セキュリティガイドライン 要点 1, 要点 18, 要点 19

CPS.GV-2

・個人情報保護法、不正競争防止

L1_2_a_ORG,

NIST Cybersecurity Framework Ver.1.1 ID.GV-3

法等の国内外の法令や、業界のガ

L1_2_a_COM,CIS CSC 19

イドラインを考慮した社内ルールを

L1_2_a_SYS,

COBIT 5 BAI02.01, MEA03.01, MEA03.04

策定する。

L1_2_a_PRO,

ISA 62443-2-1:2009 4.4.3.7

L1_2_a_DAT

ISO/IEC 27001:2013 A.18.1.1, A.18.1.2, A.18.1.3,
A.18.1.4, A.18.1.5
NIST SP 800-53 Rev. 4 -1 controls from all
security control families
ISO/IEC 15408-2 (CC v3.1 Release5 Part 2)
FPR, FDP
サイバーセキュリティ経営ガイドライン 指示 1

CPS.GV-3

・各種法令や関係組織間だけで共L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 ID.GV-3

有するデータの扱いに関する取決

L1_1_a_DAT,CIS CSC 13

め等によって要求されるデータのL1_1_b_SYS,

ISA 62443-2-1:2009 4.3.4.4.6, 4.4.3.7

59保護の水準を的確に把握し、それ

L3_1_a_SYS,

ISO/IEC 27001:2013 A.18.1.1, A.18.1.2, A.18.1.3,

ぞれの要求を踏まえたデータの区

L3_1_a_DAT,

A.18.1.4

分方法を整備し、ライフサイクル全L3_4_a_ORG,

体に渡って区分に応じた適切なデL3_4_a_PRO,

ータの保護を行う。

L3_4_b_ORG,
L3_4_b_PRO

CPS.GV-4

・セキュリティに関するリスク管理を

L1_1_a_PRO,

NIST Cybersecurity Framework Ver.1.1 ID.GV-4

適切に行うために戦略策定、リソ

L1_1_b_PRO,

COBIT 5 EDM03.02, APO12.02, APO12.05,

ース確保を行う。

L1_1_c_PRO

DSS04.02
ISA 62443-2-1:2009 4.2.3.1, 4.2.3.3, 4.2.3.8,
4.2.3.9, 4.2.3.11, 4.3.2.6.3
ISO/IEC 27001:2013 Clause 6
NIST SP 800-53 Rev. 4 SA-2, PM-3, PM-7, PM9, PM-10, PM-11
CC v3.1 Release5 Part 2 FMT
サイバーセキュリティ経営ガイドライン 指示 2, 指示3
IoT セキュリティガイドライン 要点 260

３．４．CPS.RA – リスク評価
企業等は自組織の業務（ミッション、機能、イメージ、評判を含む）、資産、個人に対するサイバーセキュリティリスクを把握する。
表 3.3-5 CPS.RA カテゴリの対策要件

対策要件

対策要件

ID
CPS.RA-1

対応する

関連標準等

脆弱性 ID・自組織の資産の脆弱性を特定

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 ID.RA-1

し、対応する資産とともに一覧を文

L1_1_b_SYS,CIS CSC 4

書化する。

L1_1_c_SYS

COBIT 5 APO12.01, APO12.02, APO12.03,
APO12.04, DSS05.01, DSS05.02
ISA 62443-2-1:2009 4.2.3, 4.2.3.7, 4.2.3.9, 4.2.3.12
ISO/IEC 27001:2013 A.12.6.1, A.18.2.3
NIST SP 800-53 Rev. 4 CA-2, CA-7, CA-8, RA3, RA-5, SA-5, SA-11, SI-2, SI-4, SI-5
CC v3.1 Release5 Part 1
サイバーセキュリティ経営ガイドライン 指示 4
IoT セキュリティガイドライン 要点 21

CPS.RA-2

・セキュリティ対策組織

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 ID.RA-2,(SOC/CSIRT)は、組織の内部及びL1_3_a_ORG,

RS.AN-5

外部の情報源(内部テスト、セキュ

L2_1_a_ORG,

CIS CSC 4

リティ情報、セキュリティ研究者等)

L2_1_c_SYS,

COBIT 5 BAI08.01

から脆弱性情報/脅威情報等を収L3_1_a_SYS,

ISA 62443-2-1:2009 4.2.3, 4.2.3.9, 4.2.3.12

集、分析し、対応及び活用するプ

L3_3_a_SYS,

ISO/IEC 27001:2013 A.6.1.4, A.12.6.1

ロセスを確立する。

L3_3_d_SYS

NIST SP 800-53 Rev. 4 SI-5, PM-15, PM-16
サイバーセキュリティ経営ガイドライン 指示 10
IoT セキュリティガイドライン 要点 18, 要点 21

CPS.RA-3

・自組織の資産に対して想定されL1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 ID.RA-3

るセキュリティインシデントと影響

L1_1_b_SYS,CIS CSC 4

及びその発生要因を特定し、文書

L1_1_c_SYS

COBIT 5 APO12.01, APO12.02, APO12.03,

化する。

APO12.04
ISA 62443-2-1:2009 4.2.3, 4.2.3.9, 4.2.3.12
ISO/IEC 27001:2013 Clause 6.1.2
NIST SP 800-53 Rev. 4 RA-3, SI-5, PM-12, PM16
CC v3.1 Release5 Part 1
サイバーセキュリティ経営ガイドライン 指示 4

61

CPS.RA-4

・構成要素の管理におけるセキュ

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 ID.RA-4,

リティルールが、実装方法を含め

L1_1_b_SYS,

RS.MI-3て有効かを確認するため、定期的

L1_1_c_SYS,CIS CSC 4にリスクアセスメントを実施する。

L2_1_a_COM,

COBIT 5 DSS04.02

・IoT 機器及び IoT 機器を含んだシ

L2_1_a_PRO,

ISA 62443-2-1:2009 4.2.3, 4.2.3.9, 4.2.3.11,

ステムの企画・設計の段階から、

L2_2_a_ORG,

4.2.3.12

受容できない既知のセキュリティリ

L2_2_a_SYS

ISO/IEC 27001:2013 A.16.1.6, Clause 6.1.2

スクの有無を、セーフティに関する

NIST SP 800-53 Rev. 4 RA-2, RA-3, SA-14, PM-

ハザードの観点も踏まえて確認す

9, PM-11る。

CC v3.1 Release5 Part 1
サイバーセキュリティ経営ガイドライン 指示 4
IoT セキュリティガイドライン 要件 4, 要点 10, 要点 12

CPS.RA-5

・リスクを判断する際に、脅威、脆

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 ID.RA-5

弱性、可能性、影響を考慮する。

L1_1_b_SYS,CIS CSC 4

L1_1_c_SYS

COBIT 5 APO12.02
ISO/IEC 27001:2013 A.12.6.1, Clause 6.1.2
NIST SP 800-53 Rev. 4 RA-2, RA-3, PM-16
CC v3.1 Release5 Part 1
サイバーセキュリティ経営ガイドライン 指示 4
IoT セキュリティガイドライン 要件 4, 要点 7

CPS.RA-6

・リスクアセスメントに基づき、発生

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 ID.RA-6,

し得るセキュリティリスクに対する

L1_1_b_SYS,

RS.MI-3

対応策の内容を明確に定め、対応

L1_1_c_SYS,CIS CSC 4の範囲や優先順位を整理した結果

L2_1_a_COM,

COBIT 5 APO12.05, APO13.02

を文書化する。

L2_1_a_PRO,

ISO/IEC 27001:2013 Clause 6.1.3

・IoT 機器及び IoT 機器を含んだシ

L2_2_a_SYS

NIST SP 800-53 Rev. 4 PM-4, PM-9

ステムの企画・設計の段階におけCC v3.1 Release5 Part 1

るアセスメントにて判明したセキュ

サイバーセキュリティ経営ガイドライン 指示 4

リティ及び関連するセーフティのリ

IoT セキュリティガイドライン 要点 10, 要点 12

スクに対して適宜対応する。

62

３．５．CPS.RM – リスク管理戦略
自組織の優先順位、制約、リスク許容度、想定を定め、運用リスクの判断に利用する。
表 3.3-6 CPS.RM カテゴリの対策要件

対策要件
ID
CPS.RM-1

対策要件

対応する

関連標準等

脆弱性 ID・自組織内におけるセキュリティリ

L1_1_a_PRO,

NIST Cybersecurity Framework Ver.1.1 ID.RM-1

スクマネジメントの実施状況についL1_1_b_PRO,CIS CSC 4て確認し、組織内の適切な関係者

L1_1_c_PRO,

COBIT 5 APO12.04, APO12.05, APO13.02,（例：上級管理職）に伝達する。まL1_3_b_ORG,

BAI02.03, BAI04.02

た、自組織の事業に関係する自組

L1_3_c_ORG

ISA 62443-2-1:2009 4.3.4.2

織及び他組織(例：業務委託先)の

ISO/IEC 27001:2013 Clause 6.1.3, Clause 8.3,

責任範囲を明確化し、関係する他

Clause 9.3

組織によるセキュリティリスクマネ

NIST SP 800-53 Rev. 4 PM-9ジメントの実施状況を確認するプロ

CC v3.1 Release5 Part 2 FMT

セスを確立し、実施する。

サイバーセキュリティ経営ガイドライン 指示 4
IoT セキュリティガイドライン 要点 12

CPS.RM-2

・リスクアセスメント結果及びサプラ

L1_1_a_ORG,

NIST Cybersecurity Framework Ver.1.1 ID.RM-2,

イチェーンにおける自組織の役割

L1_1_a_SYS,

ID.RM-3から自組織におけるリスク許容度

L1_1_b_ORG,

COBIT 5 APO12.02, APO12.06を決定する。

L1_1_b_SYS,

ISA 62443-2-1:2009 4.3.2.6.5

L1_1_c_SYS

ISO/IEC 27001:2013 Clause 6.1.3, Clause 8.3
NIST SP 800-53 Rev. 4 SA-14, PM-8, PM-9,
PM-11
サイバーセキュリティ経営ガイドライン 指示 463

３．６．CPS.SC – サプライチェーンリスク管理
企業等の優先順位、制約、リスク許容値及び想定が、サプライチェーンリスク
管理に関連するリスクの決定を支援するために確立され、利用される。企業等は、サプライチェーンのリスクを特定、評価、管理するプロセスを確立し、実施する。
表 3.3-7 CPS.SC カテゴリの対策要件

対策要件
ID
CPS.SC-1

対策要件

対応する

関連標準等

脆弱性 ID・取引関係のライフサイクルを考慮

L1_1_a_ORG,

NIST Cybersecurity Framework Ver.1.1 ID.SC-1

してサプライチェーンに係るセキュ

L1_1_b_ORG,

CIS CSC 4

リティの対策基準を定め、責任範

L1_1_c_ORG

COBIT 5 APO10.01, APO10.04, APO12.04,

囲を明確化したうえで、その内容にAPO12.05, APO13.02, BAI01.03, BAI02.03,

ついて取引先と合意する。

BAI04.02
ISA 62443-2-1:2009 4.3.4.2
ISO/IEC 27001:2013 A.15.1.1, A.15.1.2, A.15.1.3
NIST SP 800-53 Rev. 4 SA-9, SA-12, PM-9
CC v3.1 Release5 Part 2 FMT
サイバーセキュリティ経営ガイドライン 指示 9CPS.SC-2

・自組織の事業を継続するに当たL1_1_a_ORG,

NIST Cybersecurity Framework Ver.1.1 ID.SC-2

り、三層構造の各層において重要

L1_1_b_ORG,

COBIT 5 APO10.01, APO10.02, APO10.04,

な役割を果たす組織やヒトを特定

L1_1_c_ORG,

APO10.05, APO12.01, APO12.02, APO12.03,

し、優先付けをし、評価する。

L2_3_c_ORG,

APO12.04, APO12.05, APO12.06, APO13.02,

L3_1_b_ORG,

BAI02.03

L3_1_c_ORG,

ISA 62443-2-1:2009 4.2.3.1, 4.2.3.2, 4.2.3.3,

L3_3_a_ORG,

4.2.3.4, 4.2.3.6, 4.2.3.8, 4.2.3.9, 4.2.3.10, 4.2.3.12,

L3_3_b_ORG,

4.2.3.13, 4.2.3.14

L3_3_d_ORG

NIST SP 800-53 Rev. 4 RA-2, RA-3, SA-12, SA14, SA-15, PM-9
CC v3.1 Release5 Part 1
IoT セキュリティガイドライン 要点 14

CPS.SC-3

・外部の組織との契約を行う場合、

L1_1_a_PRO,

NIST Cybersecurity Framework Ver.1.1 ID.SC-3

目的及びリスクマネジメントの結果

L1_1_b_PRO,

COBIT 5 APO10.01, APO10.02, APO10.03,を考慮し、自組織のセキュリティに

L1_1_c_PRO,

APO10.04, APO10.05

関する要求事項に対して関係する

L1_1_d_ORG,

ISA 62443-2-1:2009 4.3.2.6.4, 4.3.2.6.7

他組織のセキュリティマネジメント

L2_3_c_ORG,

ISO/IEC 27001:2013 A.15.1.1, A.15.1.2が適合していることを確認する。

L3_1_b_ORG,

NIST SP 800-53 Rev. 4 SA-9, SA-11, SA-12,

L3_1_b_DAT,64

L3_1_c_ORG,

PM-9

L3_1_c_DAT,

CC v3.1 Release5 Part 2 FCS, FDP, FIA, FMT

L3_3_d_ORG,

IoT セキュリティガイドライン 要点 5, 要点 11

L3_3_a_ORG,.
L3_3_b_ORG,
L3_3_c_ORG,
L3_4_a_DAT,
L3_4_b_DAT

CPS.SC-4

・外部の組織との契約を行う場合、

L1_1_a_PRO,

ISA 62443-2-1:2009 4.3.2.6.4, 4.3.2.6.7

目的及びリスクマネジメントの結果

L1_1_b_PRO,

ISO/IEC 27001:2013 A15.1.3を考慮し、自組織のセキュリティに

L1_1_c_PRO,

CC v3.1 Release5 Part 2 FIA, FDP

関する要求事項に対して関係する

L1_1_d_ORG,

サイバーセキュリティ経営ガイドライン 指示 9

他組織の提供する製品・サービス

L1_1_d_COM,IoT セキュリティガイドライン 要点 14が適合していることを確認する。

L2_1_a_COM,
L2_1_a_PRO,
L2_2_a_ORG,
L2_3_a_ORG,
L2_3_c_ORG,
L2_3_c_PRO,
L2_3_d_ORG,
L3_1_b_ORG,
L3_3_a_ORG,
L3_3_b_ORG,
L3_3_c_ORG,
L3_3_d_ORG

CPS.SC-5

・取引先等の関係する他組織の要

L1_1_a_PEO,

ISA 62443-2-1:2009 4.3.3.2.1

員の内、自組織から委託する業務

L1_1_b_PEO,NIST SP 800-53 Rev.4 PS-7, SA-21に関わる者に対するセキュリティ上

L1_1_c_PEO,の要求事項を策定し、運用する。

L2_3_b_PEO,
L3_1_b_PEO,
L3_1_c_PEO

CPS.SC-6

・取引先等の関係する他組織が、

L1_1_a_DAT,NIST Cybersecurity Framework Ver.1.1 ID.SC-4

契約上の義務を果たしていること

L1_1_a_PRO,

COBIT 5 APO10.01, APO10.03, APO10.04,を確認するために、監査、テスト結

L1_1_b_PRO,

APO10.05, MEA01.01, MEA01.02, MEA01.03,

果、または他の形式の評価を使用

L1_1_c_PRO,

MEA01.04, MEA01.05

して定期的に評価する。

L2_3_c_ORG,

ISA 62443-2-1:2009 4.3.2.6.7

65

L2_3_c_PRO,

ISA 62443-3-3:2013 SR 6.1

L2_3_d_ORG,

ISO/IEC 27001:2013 A.15.2.1, A.15.2.2

L3_1_a_DAT,NIST SP 800-53 Rev. 4 AU-2, AU-6, AU-12, AU-

L3_1_b_ORG,

16, PS-7, SA-9, SA-12

L3_1_b_DAT,
L3_1_c_ORG,
L3_1_c_DAT,
L3_3_a_ORG,.
L3_3_b_ORG,
L3_3_c_ORG,
L3_3_d_ORG,
L3_4_a_DAT,
L3_4_b_DAT

CPS.SC-7

・取引先等の関係する他組織に対L1_1_a_PRO,

する監査、テストの結果、契約事項

L1_1_b_PRO,

に対する不適合が発見された場合

L1_1_c_PRO,に実施すべきプロシージャを策定

L1_1_d_ORG,

し、運用する。

L2_2_a_ORG,
L2_3_c_ORG,
L2_3_c_PRO,
L3_1_b_ORG,
L3_1_c_ORG,
L3_3_a_ORG,
L3_3_b_ORG,
L3_3_c_ORG,
L3_3_d_ORG

CPS.SC-8

・自組織が、関係する他組織及びL1_1_d_ORG,

COBIT 5 APO10.01, APO10.03, APO10.04,

個人との契約上の義務を果たして

L2_2_a_ORG,

APO10.05, MEA01.01, MEA01.02, MEA01.03,

いることを証明するための情報(デL2_3_c_ORG,

MEA01.04, MEA01.05

ータ)を収集、安全に保管し、必要

L2_3_c_PRO,

ISA 62443-2-1:2009 4.3.2.6.7に応じて適当な範囲で開示できる

L3_1_b_ORG,

ISA 62443-3-3:2013 SR 6.1

ようにする。

L3_1_c_ORG,

ISO/IEC 27001:2013 A.15.2.1, A.15.2.2

L3_3_a_ORG,

NIST SP 800-53 Rev. 4 AU-2, AU-6, AU-12, AU-

L3_3_b_ORG,

16, PS-7, SA-9, SA-12

L3_3_c_ORG,
L3_3_d_ORG

66

CPS.SC-9・サプライチェーンにおけるインシ

L1_3_b_PEO

NIST Cybersecurity Framework Ver.1.1 ID.SC-5

デント対応活動を確実にするため

CIS CSC 19, 20に、インシデント対応活動に関係す

COBIT 5 DSS04.04

る者の間で対応プロセスの整備とISA 62443-2-1:2009 4.3.2.4.3, 4.3.2.5.7, 4.3.4.5.11

訓練を行う。

ISA 62443-3-3:2013 SR 2.8, SR 3.3, SR.6.1, SR
7.3, SR 7.4
ISO/IEC 27001:2013 A.16.1.5, A.17.1.2, A.17.1.3
NIST SP 800-53 Rev. 4 CP-2, CP-4, IR-3, IR-4,
IR-6, IR-8, IR-9

CPS.SC-10

・取引先等の関係する他組織とのL1_1_a_PRO,

契約が終了する際(例：契約期間

L1_1_b_PRO,の満了、サポートの終了)に実施す

L1_1_c_PRO

べきプロシージャを策定し、運用する。

CPS.SC-11

・サプライチェーンに係るセキュリ

L1_1_a_PRO,

ティ対策基準及び関係するプロシ

L1_1_b_PRO,ージャ等を継続的に改善する。

L1_1_c_PRO

67

NIST SP 800-53 Rev. 4 SA-22

３．７．CPS.AC – アイデンティティ管理、認証及びアクセス制御
資産及びそれが管理される場所への論理的・物理的アクセスを、承認されたソ
シキ、ヒト、モノ、プロシージャに限定し、承認された活動及びトランザクショ
ンに対する不正アクセスのリスクの大きさに合うよう管理する。
表 3.3-8 CPS.AC カテゴリの対策要件

対策要件
ID
CPS.AC-1

対策要件

対応する

関連標準等

脆弱性 ID・承認されたモノとヒト及びプロシー

L1_1_a_COM,

NIST Cybersecurity Framework Ver.1.1 PR.AC-1

ジャの識別情報と認証情報を発L1_1_a_SYS,CIS CSC 1, 5, 15, 16

効、管理、確認、取消、監査するプ

L1_1_b_COM,

COBIT 5 DSS05.04, DSS06.03

ロシージャを確立し、実施する。

L1_1_b_SYS,

ISA 62443-2-1:2009 4.3.3.5.1

L1_1_c_COM,

ISA 62443-3-3:2013 SR 1.1, SR 1.2, SR 1.3, SR

L2_3_c_SYS,

1.4, SR 1.5, SR 1.7, SR 1.8, SR 1.9

L3_1_a_SYS,

ISO/IEC 27001:2013 A.6.2.1, A.9.2.1, A.9.2.2,

L3_3_a_SYS

A.9.2.3, A.9.2.4, A.9.2.6, A.9.3.1, A.9.4.2, A.9.4.3
NIST SP 800-53 Rev. 4 AC-1, AC-2, IA Family-1,
IA-2, IA-3, IA-4, IA-5, IA-6, IA-7, IA-8, IA-9, IA10, IA-11
CC v3.1 Release5 Part 2 FAU, FIA, FMT
サイバーセキュリティ経営ガイドライン 指示 5

CPS.AC-2

・IoT 機器、サーバ等の設置エリア

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.AC-2の施錠、入退室管理、生体認証等

L1_1_c_SYS,

COBIT 5 DSS01.04, DSS05.05の導入、監視カメラの設置、持ち物

L2_3_b_PEO,

ISA 62443-2-1:2009 4.3.3.3.2, 4.3.3.3.8

や体重検査等の物理的セキュリテ

L2_3_b_SYS,

ISO/IEC 27001:2013 A.11.1.1, A.11.1.2, A.11.1.3,

ィ対策を実施する。

L2_3_c_SYS,

A.11.1.4, A.11.1.5, A.11.1.6, A.11.2.3 1, A.11.2.3,

L2_3_d_SYS,

A.11.2.5, A.11.2.6, A.11.2.7, A.11.2.8

L3_1_a_SYS

NIST SP 800-53 Rev. 4 PE-2, PE-3, PE-4, PE-5,
PE-6, PE-8
CC v3.1 Release5 Part 2 FIA, FMT, FDP
サイバーセキュリティ経営ガイドライン 指示 5

CPS.AC-3・無線接続先(ユーザーや IoT 機

L2_3_c_SYS,NIST Cybersecurity Framework Ver.1.1 PR.AC-3

器、サーバ等)を正しく認証する。

L3_3_a_SYS

CIS CSC 12, CSC 15
COBIT 5 APO13.01, DSS01.04, DSS05.03
ISA 62443-2-1:2009 4.3.3.6.6
ISA 62443-3-3:2013 SR 1.1, SR 1.2, SR 1.6, SR
1.13, SR 2.6

68

ISO/IEC 27001:2013 A.6.2.1, A.6.2.2, A.11.2.6,
A.13.1.1, A.13.2.1
NIST SP 800-53 Rev. 4 AC--1, AC-17, AC-19,
AC-20, SC-15
CC v3.1 Release5 Part 2 FCS, FIA, FMT
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 8, 要点 11, 要
点 14, 要点 16

CPS.AC-4

・一定回数以上のログイン認証失L2_1_b_SYS,NIST Cybersecurity Framework Ver.1.1 PR.AC-3

敗によるロックアウトや、安全性がL3_3_a_SYS

CIS CSC 12確保できるまで再ログインの間隔

COBIT 5 APO13.01, DSS01.04, DSS05.03

をあける機能を実装する等により、ISA 62443-2-1:2009 4.3.3.6.6

IoT 機器、サーバ等に対する不正ISA 62443-3-3:2013 SR 1.11, SR 1.13, SR 2.6

ログインを防ぐ。

ISO/IEC 27001:2013 A.6.2.1, A.6.2.2, A.9.4.2,
A.11.2.6, A.13.1.1, A.13.2.1
NIST SP 800-53 Rev. 4 AC-1, AC-17, AC-19,
AC-20, SC-15
CC v3.1 Release5 Part 2 FIA
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 4

CPS.AC-5

・職務及び責任範囲(例：ユーザー

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.AC-4/システム管理者)を適切に分離す

L1_1_b_SYS,CIS CSC 3, 5, 12, 14, 15, 16, 18

る。

L2_1_c_SYS,

COBIT 5 DSS05.04

L3_1_a_SYS

ISA 62443-2-1:2009 4.3.3.7.3
ISA 62443-3-3:2013 SR 2.1
ISO/IEC 27001:2013 A.6.1.2, A.9.1.2, A.9.2.3,
A.9.4.1, A.9.4.4, A.9.4.5
NIST SP 800-53 Rev. 4 AC-1, AC-2, AC-3, AC5, AC-6, AC-14, AC-16, AC-24
CC v3.1 Release5 Part 2 FMT
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 4

CPS.AC-6

・特権を持つユーザーのシステム

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.AC-4,

へのネットワーク経由でのログイン

L1_1_b_SYS,

PR.AC-7に対して、想定されるリスクも考慮

L2_1_c_SYS,CIS CSC 3, 5, 14, 15, 16

して、信頼性の高い認証方式(例：L3_1_a_SYS

COBIT 5 DSS05.04

69

二つ以上の認証機能を組み合わ

ISA 62443-2-1:2009 4.3.3.7.3, 4.3.3.7.4

せた多要素認証)を採用する。

ISA 62443-3-3:2013 SR 2.1
ISO/IEC 27001:2013 A.6.1.2, A.9.1.2, A.9.2.3,
A.9.4.1, A.9.4.4, A.9.4.5
NIST SP 800-53 Rev. 4 AC-1, AC-2, AC-3, AC5, AC-6, AC-14, AC-16, AC-24
CC v3.1 Release5 Part 2 FMT, FIA
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 8

CPS.AC-7

・データフロー制御ポリシーを定

L2_1_b_SYS,NIST Cybersecurity Framework Ver.1.1 PR.AC-5,め、それに従って適宜ネットワーク

L3_1_a_DAT,PR.DS-7, PR.PT-4

を分離する (例：開発・テスト環境

L3_4_b_SYS

CIS CSC 9, 14, 15, 18と実運用環境、IoT 機器を含む環

COBIT 5 DSS01.05, DSS05.02

境と組織内の他の環境)等してネッ

ISA 62443-2-1:2009 4.3.3.4

トワークの完全性を保護する。

ISA 62443-3-3:2013 SR 3.1, SR 3.8
ISO/IEC 27001:2013 A.13.1.1, A.13.1.3, A.13.2.1,
A.14.1.2, A.14.1.3
NIST SP 800-53 Rev. 4 AC-4, AC-10, SC-7
サイバーセキュリティ経営ガイドライン 指示 5

CPS.AC-8

・IoT 機器、サーバ等が実施する通L2_1_b_SYS,NIST Cybersecurity Framework Ver.1.1 PR.AC-6

信は、適切な手順で識別されたエL3_3_a_SYS

CIS CSC 16

ンティティ(ヒト/モノ/システム等)とCOBIT 5 DSS05.04, DSS05.05, DSS05.07,の通信に限定する。

DSS06.03
ISA 62443-2-1:2009 4.3.3.5.2, 4.3.3.7.2, 4.3.3.7.4
ISA 62443-3-3:2013 SR 1.1, SR 1.2, SR 1.4, SR
1.5, SR 1.9, SR 2.1
ISO/IEC 27001:2013, A.7.1.1, A.9.2.1
NIST SP 800-53 Rev. 4 AC-1, AC-2, AC-3, AC16, AC-19, AC-24, IA-1, IA-2, IA-4, IA-5, IA-8,
PE-2, PS-3
CC v3.1 Release5 Part 2 FCO, FCS, FDP, FIA
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 11, 要点 14,
要点 16

CPS.AC-9

・IoT 機器やユーザーによる構成

L1_1_a_SYS,

要素(モノ/システム等)への論理的L1_1_b_SYS,

70

NIST Cybersecurity Framework Ver.1.1 PR.AC-7

なアクセスを、取引のリスク(個人L2_1_b_SYS,CIS CSC 1, 12, 15, 16のセキュリティ、プライバシーのリ

L3_1_a_SYS,

COBIT 5 DSS05.04, DSS05.10, DSS06.10

スク及びその他の組織的なリスク)

L3_4_b_SYS

ISA 62443-2-1:2009 4.3.3.6.1, 4.3.3.6.2, 4.3.3.6.3,に見合う形で認証・認可する。

4.3.3.6.4, 4.3.3.6.5, 4.3.3.6.6, 4.3.3.6.7, 4.3.3.6.8,
4.3.3.6.9
ISA 62443-3-3:2013 SR 1.1, SR 1.2, SR 1.5, SR
1.7, SR 1.8, SR 1.9, SR 1.10
ISO/IEC 27001:2013 A.9.2.1, A.9.2.4, A.9.3.1,
A.9.4.2, A.9.4.3, A.18.1.4
NIST SP 800-53 Rev. 4 AC-7, AC-8, AC-9, AC11, AC-12, AC-14, IA-1, IA-2, IA-3, IA-4, IA-5,
IA-8, IA-9, IA-10, IA-11
CC v3.1 Release5 Part 2 FCS, FDP, FIA, FPR
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 8, 要点 14, 要
点 16

71

３．８．CPS.AT – 意識向上及びトレーニング
自組織の職員及びパートナーに対して、関連するポリシー、手順、契約に基づいた、サイバーセキュリティに関連する義務と責任を果たすために、サイバーセ
キュリティ意識向上教育と、訓練を実施する。
表 3.3-9 CPS.AT カテゴリの対策要件

対策要件
ID
CPS.AT-1

対策要件

対応する

関連標準等

脆弱性 ID・自組織の全ての要員に対して、セL1_1_a_PEO,NIST Cybersecurity Framework Ver.1.1 PR.AT-1,

キュリティインシデントの発生とそ

L1_1_b_PEO,

PR.AT-2, PR.AT-4, PR.AT-5の影響を抑制するために割り当て

L1_1_c_PEO,

CIS CSC 17

られた役割と責任を遂行するため

L1_1_d_PEO,

ISA 62443-2-1:2009 4.3.2.4.1, 4.3.2.4.2, 4.3.2.4.6,の適切な訓練、教育を実施し、そL1_2_a_PEO,

4.3.3.2.5, 4,3,4,5,2, 4.3.4.5.11の記録を管理する。

L1_3_a_PEO,

ISO/IEC 27001:2013 A.6.1.1, A.7.1.2, A.7.2.1,

L1_3_a_DAT,

A.7.2.2, A.7.3.1

L1_3_c_PEO,NIST SP 800-53 Rev. 4 AT-1, AT-2, AT-3, AT-4

L3_4_a_PEO

サイバーセキュリティ経営ガイドライン 指示 3, 指示 5, 指示 8

CPS.AT-2

・自組織におけるセキュリティイン

L1_3_a_DAT,NIST Cybersecurity Framework Ver.1.1 PR.AT-3,

シデントに関係し得る、セキュリティ

L1_3_b_PEO,

PR.IP-10, RS.CO-1

マネジメントにおいて重要度の高L3_3_a_PEO

CIS CSC 17

い関係他組織の担当者に対して、

COBIT 5 APO07.03, APO07.06, APO10.04,

割り当てられた役割を遂行するた

APO10.05

めの適切な訓練（トレーニング）、

ISA 62443-2-1:2009 4.3.2.4.1, 4.3.2.4.2, 4.3.2.4.3,

セキュリティ教育を実施し、その記

4.3.2.4.6, 4.3.4.5.11

録を管理する。

ISO/IEC 27001:2013 A.6.1.1, A.7.2.1, A.7.2.2
NIST SP 800-53 Rev. 4 AT-4, PS-7, SA-9, SA16
サイバーセキュリティ経営ガイドライン 指示 3, 指示 7, 指示 8

CPS.AT-3

・自組織の要員や、重要度の高い

L1_1_a_PEO,

CIS CSC 17

関係他組織の担当者に対する、セL1_1_b_PEO,

ISA 62443-2-1:2009 4.3.2.4.4, 4.3.2.4.5

キュリティに係る訓練、教育の内容

L1_1_c_PEO,

ISO/IEC 27001:2013 A.7.2.2を改善する。

L1_3_a_PEO,NIST SP 800-53 Rev. 4 AT-1

L1_3_b_PEO,
L1_3_c_PEO,

72

L3_3_a_PEO,
L3_4_a_PEO,
L3_4_b_PEO

73

３．９．CPS.DS – データセキュリティ
情報を、その機密性、完全性、可用性を保護するために定められた自組織のリスク戦略に従って管理する。
表 3.3-10 CPS.DS カテゴリの対策要件

対策要件
ID
CPS.DS-1

対策要件

対応する

・組織間で保護すべき情報を交換

L3_1_a_PRO,

ISO/IEC 27001:2013 A.13.1.2, A.13.2.1, A.13.2.2,

する場合、当該情報の保護に係る

L3_4_a_DAT,

A.13.2.3

セキュリティ要件について、事前に

L3_4_b_DATNIST SP 800-53 Rev. 4 SC-1

組織間で取り決める。

CPS.DS-2

関連標準等

脆弱性 ID

サイバーセキュリティ経営ガイドライン 指示 5

・情報を適切な強度の方式で暗号

L1_1_a_DAT,NIST Cybersecurity Framework Ver.1.1 PR.DS-1

化して保管する。

L3_1_a_DAT,CIS CSC 13, 14

L3_3_d_SYS,

COBIT 5 APO01.06, BAI02.01, BAI06.01,

L3_4_b_SYS

DSS04.07, DSS05.03, DSS06.06
ISA 62443-3-3:2013 SR 3.4, SR 4.1, SR 4.3
ISO/IEC 27001:2013 A.8.2.3, A.10.1.1
NIST SP 800-53 Rev. 4 MP-8, SC-12, SC-28
CC v3.1 Release5 Part 2 FCA
サイバーセキュリティ経営ガイドライン 指示 5

CPS.DS-3

・IoT 機器、サーバ等の間、サイバ

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.DS-2

ー空間で通信が行われる際、通信

L1_1_b_DAT,CIS CSC 13, 14

経路を暗号化する。

L3_1_a_DAT,

COBIT 5 APO01.06, DSS05.02, DSS06.06

L3_2_b_DAT,ISA 62443-3-3:2013 SR 3.1, SR 3.8, SR 4.1, SR

L3_3_a_SYS,

4.2, SR 4.3

L3_3_d_SYS

ISO/IEC 27001:2013 A.6.2.2, A.8.2.3, A.13.1.1,
A.13.2.1, A.13.2.3, A.14.1.2, A.14.1.3
NIST SP 800-53 Rev. 4 SC-8, SC-11, SC-12
CC v3.1 Release5 Part 2 FCO, FCS
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 14

CPS.DS-4

・情報を送受信する際に、情報そL1_1_a_DAT,NIST Cybersecurity Framework Ver.1.1 PR.DS-2のものを暗号化して送受信する。

L1_1_b_DAT,CIS CSC 13, 14

L3_1_a_DAT,

COBIT 5 APO01.06, DSS05.02, DSS06.06

L3_2_b_DAT,ISA 62443-3-3:2013 SR 3.1, SR 3.8, SR 4.1, SR

L3_3_d_SYS

4.2, SR 4.3
ISO/IEC 27001:2013 A.8.2.3, A.13.1.1, A.13.2.1,

74

A.13.2.3, A.14.1.2, A.14.1.3
NIST SP 800-53 Rev. 4 SC-8, SC-11, SC-12
CC v3.1 Release5 Part 2 FCS
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 14

CPS.DS-5

・送受信データ、保管データの暗号

L1_1_a_DAT,CIS CSC 13化等に用いる鍵を、ライフサイクル

L3_1_a_DAT

ISO/IEC 27001:2013 A.10.1.2

を通じて安全に管理する。

NIST SP 800-53 Rev. 4 SC-12
サイバーセキュリティ経営ガイドライン 指示 5

CPS.DS-6

・サービス拒否攻撃等のサイバー

L1_1_c_SYS,NIST Cybersecurity Framework Ver.1.1 PR.DS-4

攻撃を受けた場合でも、資産を適

L2_1_d_SYS,

COBIT 5 APO01.06, DSS05.04, DSS05.07,

切に保護し、攻撃による影響を最L3_3_c_SYS

DSS06.02

小限にできるよう、構成要素におISA 62443-3-3:2013 SR 5.2, SR 7.1

いて十分なリソース(例：ヒト、モノ、

ISO/IEC 27001:2013 A.12.1.3, A.17.2.1

システム)を確保する。

NIST SP 800-53 Rev. 4 AC-4, AC-5, AC-6, PE19, PS-3, PS-6, SC-7, SC-8, SC-13, SC-31, SI4
CC v3.1 Release5 Part 2 FCO, FRU
サイバーセキュリティ経営ガイドライン 指示 5

CPS.DS-7

・IoT 機器、通信機器、回線等に対L1_1_c_SYS,NIST Cybersecurity Framework Ver.1.1 PR.DS-4

し、定期的な品質管理、予備機やL2_1_d_SYS,

COBIT 5 APO01.06, DSS05.04, DSS05.07,

無停電電源装置の確保、冗長化、L3_3_c_SYS

DSS06.02

故障の検知、交換作業、ソフトウェ

ISA 62443-3-3:2013 SR 5.2, SR 7.5

アの更新を行う。

ISO/IEC 27001:2013 A.12.1.3, A.17.2.1
NIST SP 800-53 Rev. 4 AC-4, AC-5, AC-6, PE19, PS-3, PS-6, SC-7, SC-8, SC-13, SC-31, SI4
CC v3.1 Release5 Part 2 FRU
サイバーセキュリティ経営ガイドライン 指示 5

CPS.DS-8

・保護すべき情報を扱う、あるいは

L1_1_d_COM,

NIST Cybersecurity Framework Ver.1.1 PR.DS-5

自組織にとって重要な機能を有す

L2_3_b_COM

COBIT 5 APO01.06, DSS05.04, DSS05.07,

る機器を調達する場合、耐タンパ

DSS06.02

ーデバイスを利用する。

ISO/IEC 27001:2013 A.8.2.3, A.10.1.2, A.11.1.4,
A.11.1.5, A.11.2.1
NIST SP 800-53 Rev. 4 PE-19
CC v3.1 Release5 Part 2 FCS, FPT

75

サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 8

CPS.DS-9

・自組織外への不適切な通信を防L1_1_a_DAT,NIST Cybersecurity Framework Ver.1.1 PR.DS-5

ぐため、保護すべき情報を自組織

L2_3_c_SYS,

COBIT 5 APO01.06, DSS05.04, DSS05.07,

外へ送信する通信を適切に制御す

L3_1_a_DATDSS06.02

る。

ISA 62443-3-3:2013 SR 5.2
ISO/IEC 27001:2013 A.8.2.2, A.8.2.3, A.13.1.1,
A.13.2.1
NIST SP 800-53 Rev. 4 AC-4, SC-7, SC-8, SC13, SC-31, SI-4
CC v3.1 Release5 Part 2 FCS, FPT
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 8

CPS.DS-10

・IoT 機器、サーバ等にて稼動する

L2_3_b_SYS

NIST Cybersecurity Framework Ver.1.1 PR.DS-6

ソフトウェアの完全性を組織が定CIS CSC 2, 3

めるタイミングで検証し、不正なソ

COBIT 5 APO01.06, BAI06.01, DSS06.02

フトウェアの起動を防止する。

ISA 62443-3-3:2013 SR 3.1, SR 3.3, SR 3.4, SR
3.8
ISO/IEC 27001:2013 A.12.2.1, A.12.5.1, A.14.2.4
NIST SP 800-53 Rev. 4 SC-16, SI-7
CC v3.1 Release5 Part 2 FCS, FPT
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 8

CPS.DS-11

・送受信・保管する情報に完全性

L1_1_b_DAT,NIST Cybersecurity Framework Ver.1.1 PR.DS-6

チェックメカニズムを使用する。

L1_1_d_PRO,CIS CSC 2, 3

L3_2_a_DAT,

COBIT 5 APO01.06, BAI06.01, DSS06.02

L3_2_b_DAT

ISA 62443-3-3:2013 SR 3.1, SR 3.3, SR 3.4, SR
3.8
ISO/IEC 27001:2013 A.14.1.2, A.14.1.3
NIST SP 800-53 Rev. 4 SC-16, SI-7
CC v3.1 Release5 Part 2 FCS, FPT
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 8

CPS.DS-12

・ハードウェアの完全性を検証する

L1_1_d_PRO,

NIST Cybersecurity Framework Ver.1.1 PR.DS-8

ために完全性チェックメカニズムをL2_3_b_SYS

COBIT 5 BAI03.05

使用する。

ISA 62443-2-1:2009 4.3.4.4.4

76

ISO/IEC 27001:2013 A.11.2.4
NIST SP 800-53 Rev. 4 SA-10, SI-7
CC v3.1 Release5 Part 2 FCS, FPT
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 8

CPS.DS-13

CPS.DS-14

・IoT 機器やソフトウェアが正規品

L1_1_d_PRO,

CC v3.1 Release5 Part 2 FIA, FDP, FCS

であることを定期的(起動時等)に

L2_3_c_ORG,

サイバーセキュリティ経営ガイドライン 指示 5

確認する。

L2_3_c_SYS

・データの取得元、加工履歴等をラL3_4_a_PRO,

ISO/IEC 27001:2013 A.18.1.3, A.18.1.4

イフサイクルの全体に渡って維持・

L3_4_b_PRO

CC v3.1 Release5 Part 2 FAU

更新・管理する。

サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 13

CPS.DS-15

・計測の可用性、完全性保護によL2_1_a_COM,

ISO/IEC 27001:2013 A.15.1.3

るセンシングデータの信頼性確保

L2_1_a_PRO,

NIST SP 800-53 Rev. 4 SA-12のために、計測セキュリティの観点

L2_3_a_ORG,

サイバーセキュリティ経営ガイドライン 指示 5が考慮された製品を利用する。

L2_3_d_ORG77

３．１０．CPS.IP – 情報を保護するためのプロセス及び手順（目的、範囲、役割、責任、経営コミットメント、組織間の調整を扱う）セキュリティポリシー、プロセス、手順を維持し、システムと資産の保護の管理に使用する。
表 3.3-11 CPS.IP カテゴリの対策要件

対策要件
ID
CPS.IP-1

対策要件

対応する

関連標準等

脆弱性 ID

・IoT 機器、サーバ等の初期設定

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.IP-1,

手順(パスワード等)及び設定変更

L1_1_b_SYS,

PR.IP-3

管理プロセスを導入し、運用する。

L2_1_a_ORG,

CIS CSC 3, 9, 11

L2_1_b_COM,

COBIT 5 BAI10.01, BAI10.02, BAI10.03, BAI10.05,

L2_1_b_PRO,

BAI01.06, BAI06.01

L2_3_b_ORG,

ISA 62443-2-1:2009 4.3.4.3.2, 4.3.4.3.3, 4.3.4.3.5,

L3_1_a_SYS,

4.3.4.3.6

L3_3_d_SYS

ISA 62443-3-3:2013 SR 7.6
ISO/IEC 27001:2013 A.12.1.2, A.12.5.1, A.14.2.2,
A.14.2.3, A.14.2.4
NIST SP 800-53 Rev. 4 CM-2, CM-3, CM-4, CM5, CM-6, CM-7, CM-9, SA-10
CC v3.1 Release5 Part 2 FMT, FDP, FIA
IoT セキュリティガイドライン 要点 4, 要点 15

CPS.IP-2

・IoT 機器、サーバ等の導入後に、

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.IP-1

追加するソフトウェアを制限する。

L2_1_a_ORG,

CIS CSC 9

L2_1_c_SYS,

COBIT 5 BAI10.01, BAI10.02, BAI10.03, BAI10.05,

L3_1_a_SYS,

BAI01.06, BAI06.01

L3_3_a_SYS,

ISA 62443-2-1:2009 4.3.4.3.2, 4.3.4.3.3

L3_3_d_SYS

ISA 62443-3-3:2013 SR 7.6
ISO/IEC 27001:2013 A.12.1.2, A.12.5.1, A.12.6.2,
A.14.2.2, A.14.2.3, A.14.2.4
NIST SP 800-53 Rev. 4 CM-2, CM-3, CM-4, CM5, CM-6, CM-7, CM-9, SA-10

CPS.IP-3

・システムを管理するためのシステ

L1_1_a_ORG,

NIST Cybersecurity Framework Ver.1.1 PR.IP-2

ム開発ライフサイクルを導入する。

L1_1_b_ORG,

CIS CSC 18

L1_1_c_ORG,

COBIT 5 APO13.01, BAI03.01, BAI03.02, BAI03.03

L2_1_d_SYS,

ISA 62443-2-1:2009 4.3.4.3.3

L3_3_c_SYS

ISO/IEC 27001:2013 A.6.1.5, A.14.1.1, A.14.2.1,

78

A.14.2.5
NIST SP 800-53 Rev. 4 PL-8, SA-3, SA-4, SA-8,
SA-10, SA-11, SA-12, SA-15, SA-17, PL-8SI12, SI-13, SI-14, SI-16, SI-17
CC v3.1 Release5 Part 1/3

CPS.IP-4

・構成要素(IoT 機器、通信機器、

L1_3_a_DAT,NIST Cybersecurity Framework Ver.1.1 ID.BE-5,

回線等)に対し、定期的なシステム

L2_1_d_SYS,

PR.IP-4

バックアップを実施し、テストする。

L3_3_c_SYS

CIS CSC 10
COBIT 5 APO13.01, DSS01.01, DSS04.07
ISA 62443-2-1:2009 4.3.4.3.9
ISA 62443-3-3:2013 SR 7.3, SR 7.4
ISO/IEC 27001:2013 A.12.3.1, A.17.1.2, A.17.1.3,
A.18.1.3
NIST SP 800-53 Rev. 4 CP-4, CP-6, CP-9
CC v3.1 Release5 Part 2 FRU, FPT_TEE,
FPT_TST

CPS.IP-5・無停電電源装置、防火設備の確

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 ID.BE-5,

保、浸水からの保護等、自組織のL1_1_c_SYS,

PR.IP-5

IoT 機器、サーバ等の物理的な動L2_3_b_SYS,

COBIT 5 DSS01.04, DSS05.05

作環境に関するポリシーや規則をL2_3_d_SYS,

ISA 62443-2-1:2009 4.3.3.3.1 4.3.3.3.2, 4.3.3.3.3,満たすよう物理的な対策を実施す

L3_1_a_SYS

4.3.3.3.5, 4.3.3.3.6

る。

ISO/IEC 27001:2013 A.11.1.4, A.11.2.1, A.11.2.2,
A.11.2.3
NIST SP 800-53 Rev. 4 PE-10, PE-12, PE-13,
PE-14, PE-15, PE-18
CC v3.1 Release5 Part 2 FPT, FRU
サイバーセキュリティ経営ガイドライン 指示 8
IoT セキュリティガイドライン 要点 6

CPS.IP-6

・IoT 機器、サーバ等の廃棄時にL2_3_b_DATNIST Cybersecurity Framework Ver.1.1 PR.DS-3,は、内部に保存されているデータ

PR.IP-6

及び、正規 IoT 機器、サーバ等を

COBIT 5 BAI09.03, DSS05.06

一意に識別する ID(識別子)や重要

ISA 62443-2-1:2009 4.3.4.4.4

情報(秘密鍵、電子証明書等)を削

ISA 62443-3-3:2013 SR 4.2

除又は読み取りできない状態にす

ISO/IEC 27001:2013 A.8.2.3, A.8.3.1, A.8.3.2,

る。

A.11.2.7
NIST SP 800-53 Rev. 4 MP-679

CC v3.1 Release5 Part 2 FCS, FIA, FDP, FMT,
FPT
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 6

CPS.IP-7

・セキュリティインシデントへの対

L1_1_a_PRO,

NIST Cybersecurity Framework Ver.1.1 PR.IP-7

応、内部及び外部からの攻撃に関L1_1_b_PRO,

COBIT 5 APO11.06, APO12.06, DSS04.05

する監視／測定／評価結果から

L1_1_c_PRO,

ISA 62443-2-1:2009 4.4.3.1, 4.4.3.2, 4.4.3.3,

教訓を導き出し、資産を保護する

L2_1_a_ORG

4.4.3.4, 4.4.3.5, 4.4.3.6, 4.4.3.7, 4.4.3.8

プロセスを改善する。

ISO/IEC 27001:2013 A.16.1.6, Clause 9, Clause
10
NIST SP 800-53 Rev. 4 CA-2, CA-7, CP-2, IR-8,
PL-2, PM-6
サイバーセキュリティ経営ガイドライン 指示 6

CPS.IP-8

・保護技術の有効性について、適L2_1_a_ORG

NIST Cybersecurity Framework Ver.1.1 PR.IP-8

切なパートナーとの間で情報を共

COBIT 5 BAI08.04, DSS03.04

有する。

ISO/IEC 27001:2013 A.16.1.6
NIST SP 800-53 Rev. 4 AC-21, CA-7, SI-4
CC v3.1 Release5 Part 1
サイバーセキュリティ経営ガイドライン 指示 9
IoT セキュリティガイドライン 要点 18

CPS.IP-9・人の異動に伴い生じる役割の変

L1_1_a_PEO,NIST Cybersecurity Framework Ver.1.1 PR.IP-11

更に対応した対策にセキュリティに

L1_1_b_PEO,

CIS CSC 5, 16

関する事項（例：アクセス権限の無L1_1_c_PEO,

COBIT 5 APO07.01, APO07.02, APO07.03,

効化、従業員に対する審査）を含APO07.04, APO07.05

める。

ISA 62443-2-1:2009 4.3.3.2.1, 4.3.3.2.2, 4.3.3.2.4,
4.3.3.2.3, 4.3.3.2.6
ISO/IEC 27001:2013 A.7.1.1, A.7.1.2, A.7.2.1,
A.7.2.2, A.7.2.3, A.7.3.1, A.8.1.4
NIST SP 800-53 Rev. 4 PS-1, PS-2, PS-3, PS-4,
PS-5, PS-6, PS-7, PS-8, SA-21
CC v3.1 Release5 Part 2 FMT, FIA
IoT セキュリティガイドライン 要点 4

CPS.IP-10

・脆弱性修正措置計画を作成し、L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.IP-12

計画に沿って構成要素の脆弱性をL2_1_a_ORG,

CIS CSC 4, 18, 20

修正する。

L3_1_a_SYS,

COBIT 5 BAI03.10, DSS05.01, DSS05.02
ISA 62443-2-1:2009 4.3.4.3.7

80

L3_3_a_SYS,

ISO/IEC 27001:2013 A.12.6.1, A.14.2.3, A.16.1.3,

L3_3_d_SYS

A.18.2.2, A.18.2.3
NIST SP 800-53 Rev. 4 RA-3, RA-5, SI-2
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 17, 要点 21

81

３．１１．CPS.MA – 保守
産業用制御システムと情報システムの構成要素の保守と修理をポリシーと手順に従って実施する。
表 3.3-12 CPS.MA カテゴリの対策要件

対策要件

対策要件

ID
CPS.MA-1

対応する

関連標準等

脆弱性 ID

・IoT 機器、サーバ等のセキュリテ

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.MA-1

ィ上重要なアップデート等を、必要

L2_1_a_ORG,

COBIT 5 BAI03.10, BAI09.02, BAI09.03, DSS01.05

なタイミングに管理されたツールを

L2_1_c_SYS,

ISA 62443-2-1:2009 4.3.3.3.7

利用して適切に履歴を記録しつつL3_1_a_SYS,

ISO/IEC 27001:2013 A.11.1.2, A.11.2.4, A.11.2.5,

実施する。

L3_3_a_SYS,

A.11.2.6, A.14.2.4

・可能であれば、遠隔地からの操L3_3_d_SYS

NIST SP 800-53 Rev. 4 MA-2, MA-3, MA-5, MA-

作によってソフトウェア(OS、ドライ

6

バ、アプリケーション)を一括して更IoT セキュリティガイドライン 要点 17

新するリモートアップデートの仕組みを備えた IoT 機器を導入する。

CPS.MA-2

・自組織の IoT 機器、サーバ等にL1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.MA-2

対する遠隔保守を、適用先のモ

L2_1_a_ORG,

CIS CSC 3, 5

ノ、システムのオーナー部門による

L3_1_a_SYS,

COBIT 5 DSS05.04

承認を得て、ログを記録し、不正ア

L3_3_a_SYS,

ISA 62443-2-1:2009 4.3.3.6.5, 4.3.3.6.6, 4.3.3.6.7,

クセスを防げる形で実施する。

L3_3_d_SYS,

4.4.43.3.6.8
ISO/IEC 27001:2013 A.11.2.4, A.15.1.1, A.15.2.1
NIST SP 800-53 Rev. 4 MA-4
CC v3.1 Release5 Part 2 FAU
IoT セキュリティガイドライン 要点 1782

３．１２．CPS.PT – 保護技術
関連するポリシー、手順、契約に基づいて、システムと資産のセキュリティとレジリエンス、セーフティを確保するための、技術的なソリューションを管理する。
表 3.3-13 CPS.PT カテゴリの対策要件

対策要件

対策要件

ID
CPS.PT-1

対応する

関連標準等

脆弱性 ID・セキュリティインシデントを適切にL1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.PT-1

検知するため、監査記録／ログ記

L2_1_b_ORG,

CIS CSC 1, 3, 5, 6, 14, 15, 16

録の対象を決定、文書化し、そうしL3_1_a_SYS,

COBIT 5 APO11.04, BAI03.05, DSS05.04,

た記録を実施して、レビューする。

L3_3_a_SYS,

DSS05.07, MEA02.01

L3_3_d_SYS

ISA 62443-2-1:2009 4.3.3.3.9, 4.3.3.5.8, 4.3.4.4.7,
4.4.2.1, 4.4.2.2, 4.4.2.4
ISA 62443-3-3:2013 SR 2.8, SR 2.9, SR 2.10, SR
2.11, SR 2.12
ISO/IEC 27001:2013 A.12.4.1, A.12.4.2, A.12.4.3,
A.12.4.4, A.12.7.1
NIST SP 800-53 Rev. 4 AU Family
CC v3.1 Release5 Part 2 FAU
IoT セキュリティガイドライン 要点 9, 要点 13

CPS.PT-2

・IoT 機器、サーバ等の本体に対し

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 PR.PT-2,て、不要なネットワークポート、

L1_1_b_SYS,

PR.PT-3

USB、シリアルポート等を物理的まL1_1_c_SYS,CIS CSC 3, 8, 11, 13, 14

たは論理的に閉塞することで、IoT

L2_1_b_COM,

COBIT 5 DSS05.02, DSS05.05, DSS05.06,

機器、サーバ等の機能を必要最小

L2_3_b_SYS,

DSS06.06

限とする。

L3_1_a_SYS,

ISA 62443-3-3:2013 SR 2.3

L3_3_d_SYS

ISA 62443-2-1:2009 4.3.3.5.1, 4.3.3.5.2, 4.3.3.5.3,
4.3.3.5.4, 4.3.3.5.5, 4.3.3.5.6, 4.3.3.5.7, 4.3.3.5.8,
4.3.3.6.1, 4.3.3.6.2, 4.3.3.6.3, 4.3.3.6.4, 4.3.3.6.5,
4.3.3.6.6, 4.3.3.6.7, 4.3.3.6.8, 4.3.3.6.9, 4.3.3.7.1,
4.3.3.7.2, 4.3.3.7.3, 4.3.3.7.4
ISA 62443-3-3:2013 SR 1.6, SR 1.13, SR 2.1, SR
2.2, SR 2.3, SR 2.4
ISO/IEC 27001:2013 A.8.2.1, A.8.2.2, A.8.2.3,
A.8.3.1, A.8.3.3, A.9.1.2, A.11.2.9

83

NIST SP 800-53 Rev. 4 AC-3, CM-7, MP-2, MP3, MP-4, MP-5, MP-7, MP-8

CPS.PT-3

・ネットワークにつながることを踏まL2_2_a_ORG

NIST Cybersecurity Framework Ver.1.1 PR.PT-5

えた安全性を実装する IoT 機器を

COBIT 5 BAI04.01, BAI04.02, BAI04.03, BAI04.04,

導入する。

BAI04.05, DSS01.05
ISA 62443-2-1:2009 4.3.2.5.2
ISA 62443-3-3:2013 SR 3.6, SR 7.1, SR 7.2
ISO/IEC 27001:2013 A.16.1.6
NIST SP 800-53 Rev. 4 CP-7, CP-8, CP-11, CP13, PL-8, SA-14, SC-6
IoT セキュリティガイドライン 要点 1084

３．１３．CPS.AE – 異変とイベント
異変を検知し、事象がもたらす可能性のある影響を把握する。
表 3.3-14 CPS.AE カテゴリの対策要件

対策要件

対策要件

ID
CPS.AE-1

対応する

関連標準等

脆弱性 ID・ネットワーク運用のベースライン

L1_1_a_COM,

NIST Cybersecurity Framework Ver.1.1 DE.AE-1と、ヒト、モノ、システム間の予測さL1_1_a_SYS,CIS CSC 1, 4, 6, 12, 13, 15, 16

れる情報の流れを特定し、管理す

L1_1_b_COM,

COBIT 5 DSS03.01ISA 62443-2-1:2009 4.4.3.3

るプロシージャを確立し、実施す

L1_1_c_COM,

ISO/IEC 27001:2013 A.12.1.1, A.12.1.2, A.13.1.1,

る。

L1_3_b_ORG,

A.13.1.2

L1_3_c_ORG,

NIST SP 800-53 Rev. 4 AC-4, CA-3, CM-2, SI-4

L2_1_b_ORG,

CC v3.1 Release5 Part 2 FAU, FDP

L3_1_a_SYS,

サイバーセキュリティ経営ガイドライン 指示 5

L3_3_a_SYS,
L3_3_d_SYS

CPS.AE-2

・セキュリティ管理責任者を任命

L1_3_a_ORG

NIST Cybersecurity Framework Ver.1.1 DE.AE-2

し、セキュリティ対策組織

CIS CSC 3, 6, 13, 15(SOC/CSIRT)を立ち上げ、組織内

COBIT 5 DSS05.07

でセキュリティ事象を検知・分析・ISA 62443-2-1:2009 4.3.4.5.6, 4.3.4.5.7, 4.3.4.5.8

対応する体制を整える。

ISA 62443-3-3:2013 SR 2.8, SR 2.9, SR 2.10, SR
2.11, SR 2.12, SR 3.9, SR 6.1, SR 6.2
ISO/IEC 27001:2013 A6.1.1, A.12.4.1, A.16.1.5
NIST SP 800-53 Rev. 4 AU-6, CA-7, IR-4, SI-4

CPS.AE-3

・セキュリティ事象の相関の分析及L1_1_b_SYS,NIST Cybersecurity Framework Ver.1.1 DE.AE-3,

び外部の脅威情報と比較した分析

L1_3_a_SYS

RS.AN-1を行う手順を実装することで、セキ

CIS CSC 1, 3, 4, 5, 6, 7, 8, 11, 12, 13, 14, 15, 16ュリティインシデントを正確に特定

COBIT 5 BAI08.02

する。

ISA 62443-3-3:2013 SR 6.1
ISO/IEC 27001:2013 A.12.4.1
NIST SP 800-53 Rev. 4 AU-6, CA-7, IR-4, IR-5,
IR-8, SI-4

CPS.AE-4

・関係する他組織への影響を含め

L1_3_b_PRO

NIST Cybersecurity Framework Ver.1.1 DE.AE-4てセキュリティ事象がもたらす影響

CIS CSC 4, 6を特定する。

COBIT 5 APO12.06, DSS03.01
ISO/IEC 27001:2013 A.6.1.4, A.16.1.4
NIST SP 800-53 Rev. 4 CP-2, IR-4, RA-3, SI -485サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 5

CPS.AE-5

・セキュリティ事象の危険度の判定

L1_3_a_PRO

基準を定める。

NIST Cybersecurity Framework Ver.1.1 DE.AE-5
CIS CSC 6, 19
COBIT 5 APO12.06, DSS03.01
ISA 62443-2-1:2009 4.2.3.10
ISO/IEC 27001:2013 A.16.1.4
NIST SP 800-53 Rev. 4 IR-4, IR-5, IR-8
サイバーセキュリティ経営ガイドライン 指示 586

３．１４．CPS.CM – セキュリティの継続的なモニタリング
セキュリティ事象を検知し、保護対策の有効性を検証するために、システムと資産をモニタリングする。
表 3.3-15 CPS.CM カテゴリの対策要件

対策要件

対策要件

ID
CPS.CM-1

CPS.CM-2

対応する

関連標準等

脆弱性 ID・組織内のネットワークと広域ネット

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 DE.CM-1

ワークの接点において、ネットワー

L1_1_c_SYS,

CSC 1, 7, 8, 12, 13, 15, 16

ク監視・制御、アクセス監視・制御

L1_3_a_SYS,

COBIT 5 DSS01.03, DSS03.05, DSS05.07を実施する。

L2_1_b_ORG,

ISA 62443-3-3:2013 SR 6.2

L2_3_c_SYS,NIST SP 800-53 Rev. 4 AC-2, AU-12, CA-7,

L3_1_a_SYS,

CM-3, SC-5, SC-7, SI-4

L3_3_a_SYS,

CC v3.1 Release5 Part 2 FAU, FDP

L3_3_d_SYS

IoT セキュリティガイドライン 要点 8, 要点 13

・IoT 機器、サーバ等の重要性を考

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 DE.CM-2

慮し、適切な物理的アクセスの設

L1_1_c_SYS,

COBIT 5 DSS01.04, DSS01.05

定及び記録、監視を実施する。

L2_3_b_PEO,

ISA 62443-2-1:2009 4.3.3.3.8

L2_3_b_SYS,

ISO/IEC 27001:2013 A.11.1.1, A.11.1.2, A.11.1.3,

L2_3_d_SYS,

A.11.2.5, A.11.2.6

L3_1_a_SYS

NIST SP 800-53 Rev. 4 CA-7, PE-3, PE-6, PE20
CC v3.1 Release5 Part 2 FAU, FDP
IoT セキュリティガイドライン 要点 8

CPS.CM-3

・指示された動作内容と実際の動L1_1_b_SYS,NIST Cybersecurity Framework Ver.1.1 DE.CM-4,

作結果を比較して、異常の検知やL2_2_a_COM,

DE.CM-5

動作の停止を行う IoT 機器を導入

L3_3_a_DAT,CIS CSC 4, 7, 8, 12する。

L3_3_d_SYS

COBIT 5 DSS05.01

・サイバー空間から受ける情報がISA 62443-2-1:2009 4.3.4.3.8

悪質なコードを含んでおらず、許容

ISA 62443-3-3:2013 SR 3.2, SR 3.5

範囲内であることを動作前に検証

ISO/IEC 27001:2013 A.12.2.1

する。

NIST SP 800-53 Rev. 4 SI-3, SI-8
CC v3.1 Release5 Part 2 FAU_SAA.2
IoT セキュリティガイドライン 要点 9

CPS.CM-4

・サイバー空間から受ける情報のL3_3_a_DAT,NIST Cybersecurity Framework Ver.1.1 DE.CM-4,

完全性及び真正性を動作前に確L3_3_d_SYS

DE.CM-5

認する。

87

CIS CSC 4, 7, 8, 12
COBIT 5 DSS05.01
ISA 62443-2-1:2009 4.3.4.3.8
ISA 62443-3-3:2013 SR 3.2
ISO/IEC 27001:2013 A.12.2.1, A.12.5.1, A.12.6.2
NIST SP 800-53 Rev. 4 SI-3, SI-8
CC v3.1 Release5 Part 2 FCS

CPS.CM-5

・セキュリティ事象を適切に検知でL1_1_a_COM,

NIST Cybersecurity Framework Ver.1.1 DE.CM-6

きるよう、外部サービスプロバイダ

L1_1_a_SYS,

COBIT 5 APO07.06, APO10.05との通信内容をモニタリングする。

L1_1_b_COM,

ISO/IEC 27001:2013 A.13.1.2, A.14.2.7, A.15.2.1

L1_1_c_COM,

NIST SP 800-53 Rev. 4 CA-7, PS-7, SA-4, SA-

L1_3_b_ORG,

9, SI-4

L1_3_c_ORG,

IoT セキュリティガイドライン 要点 8, 要点 9, 要

L3_1_a_SYS,

点 13

L3_3_a_SYS,
L3_3_d_SYS

CPS.CM-6

・機器等の構成管理では、ソフトウ

L1_1_a_COM,

NIST Cybersecurity Framework Ver.1.1 PR.AC-3,

ェア構成情報、ネットワーク接続状

L1_1_a_SYS,

DE.CM-3, DE.CM-7

況(ネットワーク接続の有無、アクL1_1_b_COM,CIS CSC 1, 2, 3, 5, 7, 9, 12, 13, 14, 15, 16

セス先等)及び他のソシキ、ヒト、モ

L1_1_c_COM,

COBIT 5 DSS05.02, DSS05.05, DSS05.07

ノ、システムとの情報の送受信状

L1_3_a_SYS,

ISO/IEC 27001:2013 A.12.4.1, A.14.2.7, A.15.2.1

況について、継続的に管理する。

L1_3_b_ORG,

NIST SP 800-53 Rev. 4 AC-2, AU-12, AU-13,

L1_3_c_ORG,

CA-7, CM-3, CM-8, CM-10, CM-11, PE-3, PE-6,

L2_1_a_ORG,

PE-20, SI-4

L2_1_c_ORG,

IoT セキュリティガイドライン 要点 13

L2_1_c_SYS,
L2_3_b_ORG,
L2_3_b_SYS,
L2_3_c_SYS,
L3_1_a_SYS,
L3_3_a_SYS,
L3_3_d_SYS

CPS.CM-7

・自組織の管理している IoT 機器、

L1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 DE.CM-8

サーバ等に対して、定期的に対処

L2_1_c_SYS,CIS CSC 4, 20が必要な脆弱性の有無を確認す

L3_1_a_SYS,

COBIT 5 BAI03.10, DSS05.01

る。

ISA 62443-2-1:2009 4.2.3.1, 4.2.3.7

88

L3_3_a_SYS,

ISO/IEC 27001:2013 A.12.6.1

L3_3_d_SYS

NIST SP 800-53 Rev. 4 RA-5
IoT セキュリティガイドライン 要点 8, 要点 21

89

３．１５．CPS.DP – 検知プロセス
異常なセキュリティ事象を正確に検知するための検知プロセス及び手順を維持し、テストする。
表 3.3-16 CPS.DP カテゴリの対策要件

対策要件

対策要件

ID
CPS.DP-1

・セキュリティ事象の説明責任を果

対応する

関連標準等

脆弱性 ID
L1_3_a_ORG

NIST Cybersecurity Framework Ver.1.1 DE.DP-1

たせるよう、セキュリティ事象検知

CIS CSC 19

における自組織とサービスプロバ

COBIT 5 APO01.02, DSS05.01, DSS06.03

イダが担う役割と負う責任を明確

ISA 62443-2-1:2009 4.4.3.1にする。

ISO/IEC 27001:2013 A.6.1.1, A.7.2.2
NIST SP 800-53 Rev. 4 CA-2, CA-7, PM-14
サイバーセキュリティ経営ガイドライン 指示 5

CPS.DP-2

・監視業務では、地域毎に適用さL1_2_a_ORG,

NIST Cybersecurity Framework Ver.1.1 DE.DP-2

れる法令、通達や業界標準等に準L1_3_a_ORG

COBIT 5 DSS06.01, MEA03.03, MEA03.04

拠して、セキュリティ事象を検知す

ISA 62443-2-1:2009 4.4.3.2

る。

ISO/IEC 27001:2013 A.18.1.4, A.18.2.2, A.18.2.3
NIST SP 800-53 Rev. 4 AC-25, CA-2, CA-7,
PM-14SA-18, SI-4, PM-14
サイバーセキュリティ経営ガイドライン 指示 1

CPS.DP-3

・監視業務として、セキュリティ事象

L1_3_a_ORG

NIST Cybersecurity Framework Ver.1.1 DE.DP-3を検知する機能が意図したとおり

COBIT 5 APO13.02, DSS05.02に動作するかどうかを定期的にテISA 62443-2-1:2009 4.4.3.2

ストし、妥当性を検証する。

ISA 62443-3-3:2013 SR 3.3
ISO/IEC 27001:2013 A.14.2.8, A.14.3.1
CC v3.1 Release5 Part 2 FPT_TEE
サイバーセキュリティ経営ガイドライン 指示 5
IoT セキュリティガイドライン 要点 9

CPS.DP-4

・セキュリティ事象の検知プロセス

L1_1_b_SYS,NIST Cybersecurity Framework Ver.1.1 DE.DP-5

を継続的に改善する。

L1_3_a_ORG

COBIT 5 APO11.06, APO12.06, DSS04.05
ISA 62443-2-1:2009 4.4.3.4
ISO/IEC 27001:2013 A.16.1.6
NIST SP 800-53 Rev. 4, CA-2, CA-7, PL-2, RA5, SI-4, PM-14
サイバーセキュリティ経営ガイドライン 指示 590

３．１６．CPS.RP – 対応計画
検知したセキュリティインシデントに対応し、適切に自組織の事業を継続しつつ、影響を受ける資産やシステムを復元できるよう、対応・復旧のプロセス及び手順を実施し、維持する。
表 3.3-17 CPS.RP カテゴリの対策要件

対策要件

対策要件

ID
CPS.RP-1

対応する

関連標準等

脆弱性 ID・セキュリティインシデント発生後のL1_1_a_SYS,NIST Cybersecurity Framework Ver.1.1 ID.BE-5,

対応の内容や優先順位、対策範

L1_3_a_PEO,

PR.IP-9, DE.DP-4, RS.RP-1, RS.CO-2, RS.CO-3

囲を明確にするため、インシデント

L1_3_a_PRO,CIS CSC 19を検知した後の組織／ヒト／モノ／

L2_1_a_PRO,

COBIT 5 APO12.06, BAI01.10

システムの対応手順（セキュリティ

L2_1_b_PRO,

ISA 62443-2-1:2009 4.3.3.3.10, 4.3.4.5.1

運用プロセス）をあらかじめ定義

L2_1_c_PRO,

ISO/IEC 27001:2013 A.16.1.5

し、実装する。

L2_2_a_PRO,

NIST SP 800-53 Rev. 4 CP-2, CP-10, IR-4, IR-8

L3_1_a_SYS,

CC v3.1 Release5 Part 2 FTA （左記の「あらかじL3_3_a_SYS,

め定義し、実装する」に対して）

L3_3_d_SYS

サイバーセキュリティ経営ガイドライン 指示 5, 指示 7, 指示 8
IoT セキュリティガイドライン 要点 5

CPS.RP-2

・セキュリティ運用プロセスにおいL1_3_b_PEO,NIST Cybersecurity Framework Ver.1.1 ID.BE-5,て、取引先等の関係する他組織とL1_3_b_PRO,

PR.IP-9, RS.CO-4, RS.CO-5の連携について手順と役割分担をL1_3_c_PEO,

CIS CSC 19

定め、運用する。

L1_3_c_PRO

COBIT 5 APO12.06, DSS03.04, DSS04.03
ISA 62443-2-1:2009 4.3.2.5.3, 4.3.4.5.1, 4.3.4.5.2,
4.3.4.5.5
ISO/IEC 27001:2013 Clause 7.4, A.16.1.1,
A.17.1.1, A.17.1.2, A.17.1.3
NIST SP 800-53 Rev. 4 CP-2, CP-7, CP-12, CP13, IR-4, IR-7, IR-8, IR-9, PE-17
サイバーセキュリティ経営ガイドライン 指示 7, 指示8CPS.RP-3

・自然災害時における対応方針及L1_3_a_PRO,

NIST Cybersecurity Framework Ver.1.1 ID.BE-5,

び対応手順を定めている事業継続

L1_3_a_DAT

RC.RP-1

計画又は緊急時対応計画の中に

CIS CSC 10

セキュリティインシデントを位置づ

COBIT 5 APO12.06, BAI03.02, DSS02.05,

ける。

91

DSS03.04, DSS04.02
ISA 62443-2-1:2009 4.3.2.5.4, 4.3.3.3.10
ISO/IEC 27001:2013 A.11.1.4, A.16.1.5, A.17.1.1,
A.17.1.2, A.17.2.1
NIST SP 800-53 Rev. 4 CP-2, CP-11, CP-10,
IR-4, IR-8, SA-13, SA-14
サイバーセキュリティ経営ガイドライン 指示 8

CPS.RP-4

・セキュリティインシデント発生時にL1_3_b_COM

被害を受けた設備にて生産される
等して、何らかの品質上の欠落が生じていることが予想されるモノ(製品)に対して適切な対応を行う。

92

３．１７．CPS.CO – 伝達
セキュリティインシデントがもたらす自組織、及び社会全体への影響を低減
し、法執行機関のような組織からの支援を得られるよう、内外の利害関係者(例
えば、取引先、JPCERT/CC、他組織の CSIRT、ベンダー)との間で対応・復旧活動を調整する。
表 3.3-18 CPS.CO カテゴリの対策要件

対策要件

対策要件

ID
CPS.CO-1

・セキュリティインシデント発生後の

対応する

関連標準等

脆弱性 ID
L1_3_a_PRO

NIST Cybersecurity Framework Ver.1.1 RC.CO-1

情報公表時のルールを策定し、運CIS CSC 19

用する。

COBIT 5 EDM03.02
ISA 62443-2-1:2009 4.3.4.5.9
ISO/IEC 27001:2013 A.6.1.4, A.17.1.1, Clause 7.4
サイバーセキュリティ経営ガイドライン 指示 8
IoT セキュリティガイドライン 要点 18

CPS.CO-2

・事業継続計画又は緊急時対応計

L1_3_a_PRO

NIST Cybersecurity Framework Ver.1.1 RC.CO-2

画の中に、セキュリティインシデン

COBIT 5 MEA03.02

トの発生後、組織に対する社会的ISO/IEC 27001:2013 A.17.1.1, Clause 7.4

評価の回復に取り組む点を位置づ

サイバーセキュリティ経営ガイドライン 指示 8

ける。

CPS.CO-3

・復旧活動について内部及び外部

L1_3_a_PRO

NIST Cybersecurity Framework Ver.1.1 RC.CO-3の利害関係者と役員、そして経営

CIS CSC 19

陣に伝達する点を、事業継続計画

COBIT 5 APO12.06

又は緊急時対応計画の中に位置

ISA 62443-2-1:2009 4.3.2.5.5, 4.3.4.5.9

づける。

ISO/IEC 27001:2013 A.17.1.1, Clause 7.4
NIST SP 800-53 Rev. 4 CP-2, IR-4
サイバーセキュリティ経営ガイドライン 指示 893

３．１８．CPS.AN – 分析
効率的な対応を確実にし、復旧活動を支援するために、分析を実施する。
表 3.3-19 CPS.AN カテゴリの対策要件

対策要件

対策要件

ID
CPS.AN-1

対応する

関連標準等

脆弱性 ID・セキュリティインシデントの全容

L1_3_a_COM,

NIST Cybersecurity Framework Ver.1.1 RS.AN-2と、推測される攻撃者の意図から、

L1_3_a_PRO

CIS CSC 19

自組織及び関係する他組織を含COBIT 5 DSS02.02

む社会全体への影響を把握する。

ISA 62443-2-1:2009 4.3.4.5.6, 4.3.4.5.7, 4.3.4.5.8
ISO/IEC 27001:2013 A.16.1.4, A.16.1.6
NIST SP 800-53 Rev. 4 CP-2, IR-4
サイバーセキュリティ経営ガイドライン 指示 10

CPS.AN-2

・セキュリティインシデント発生後

L1_3_a_PRO

NIST Cybersecurity Framework Ver.1.1 RS.AN-3に、デジタルフォレンジックを実施

COBIT 5 APO12.06, DSS03.02, DSS05.07

する。

ISA 62443-3-3:2013 SR 2.8, SR 2.9, SR 2.10, SR
2.11, SR 2.12, SR 3.9, SR 6.1
ISO/IEC 27001:2013 A.16.1.7
NIST SP 800-53 Rev. 4 AU-7, IR-4

CPS.AN-3

・検知されたセキュリティインシデン

L1_3_a_PRO

NIST Cybersecurity Framework Ver.1.1 RS.AN-4

トの情報は、セキュリティに関する

CIS CSC 19

影響度の大小や侵入経路等で分COBIT 5 DSS02.02

類し、保管する。

ISA 62443-2-1:2009 4.3.4.5.6
ISO/IEC 27001:2013 A.16.1.4
NIST SP 800-53 Rev. 4 CP-2, IR-4, IR-5, IR-8

94

３．１９．CPS.MI – 低減
セキュリティ事象の拡大を防ぎ、その影響を低減し、セキュリティインシデン
トを解決するための活動を実施する。
表 3.3-20 CPS.MI カテゴリの対策要件

対策要件
ID
CPS.MI-1

対策要件
・セキュリティインシデントによる被

対応する

関連標準等

脆弱性 ID
L1_3_a_PRO

NIST Cybersecurity Framework Ver.1.1 RS.MI-1,

害の拡大を最小限に抑え、影響を

RS.MI-2低減する対応を行う。

CIS CSC 19
COBIT 5 APO12.06
ISA 62443-2-1:2009 4.3.4.5.6, 4.3.4.5.10
ISA 62443-3-3:2013 SR 5.1, SR 5.2, SR 5.4
ISO/IEC 27001:2013 A.12.2.1, A.16.1.5
NIST SP 800-53 Rev. 4 IR-4
IoT セキュリティガイドライン 要点 995

３．２０．CPS.IM – 改善
現在と過去の意思決定／対応活動から学んだ教訓を取り入れることで、自組織の対応・復旧活動を改善する。
表 3.3-21 CPS.IM カテゴリの対策要件

対策要件

対策要件

ID
CPS.IM-1

・セキュリティインシデントへの対応

対応する

関連標準等

脆弱性 ID
L1_3_a_ORG

NIST Cybersecurity Framework Ver.1.1 RS.IM-1,

から教訓を導き出し、セキュリティ

RS.IM-2

運用プロセスを継続的に改善す

CIS CSC 19る。

COBIT 5 BAI01.13, DSS04.08
ISA 62443-2-1:2009 4.3.4.5.10, 4.4.3.4
ISO/IEC 27001:2013 A.16.1.6, Clause 10
NIST SP 800-53 Rev. 4 CP-2, IR-4, IR-8
サイバーセキュリティ経営ガイドライン 指示 7
IoT セキュリティガイドライン 要点 7

CPS.IM-2

・セキュリティインシデントへの対応

L1_3_a_ORG

NIST Cybersecurity Framework Ver.1.1 RC.IM-1,

から教訓を導き出し、事業継続計

RC.IM-2

画又は緊急時対応計画を継続的

CIS CSC 19に改善する。

COBIT 5 APO12.06, BAI05.07, DSS04.08
ISA 62443-2-1:2009 4.4.3.4
ISO/IEC 27001:2013 A.16.1.6, Clause 10
NIST SP 800-53 Rev. 4 CP-2, IR-4, IR-8
サイバーセキュリティ経営ガイドライン 指示 896

添付Ａ．ユースケース~分析対象の明確化の参考として~

ユースケース①︓「Society5.0」社会におけるモノ・データ等の繋がりの例■「Society5.0」では、サイバー空間とフィジカル空間が⾼度に融合し、様々なモノやデータが企業間さらには産業間を跨いで流通。
第3層︓サイバー空間におけるつながり

通信ネットワーク（インターネット等）
分野間データ連携基盤等※
⾃動⾞産業

スマートホーム産業

ビル産業

データの流通データの流通データの流通

データ

データ

サーバ等

サーバ等

ネットワーク
機器等

データ

端末

端末

モノの流通

サーバ等

センサ・
アクチュ
エータ等

センサ・
アクチュ
エータ等

第1層︓企業間のつながり

転写

センサ・
アクチュ
エータ等

サーバ等

ネットワーク
機器等

第2層︓フィジカル空間とサイバー空間のつながり

データ

転写

モノの流通

データ

転写

転写
センサ・
アクチュ
エータ等

データ

・・・

モノの流通

⼀般消費者
※平成30年4⽉ 内閣府説明資料「データ連携基盤の構築について」を参考に経済産業省が作成

A-1

ユースケース②︓製造過程の例
通信ネットワーク（インターネット等）
受注
データ

⽣産管理
サーバ

発注
データ

経営管理
データ
調達情報
データ

第3層
運転
データ

分析
データ

⽣産
データ

経営管理
サーバ

調達情報
サーバ

調達情報
データ
調達情報
サーバ

経営管理
データ

⽣産管理
サーバ

経営管理
サーバ
運転
データ

市場動向
分析
サーバ

⽣産
データ

第3層の機能を持つモノ（通信機器等）の取引

第2層

センサ

アクチュエータ

第2層の機能を持つモノ（センサ等）の取引

ロボット

⽣産設備

…

部品メーカ

第1層

加⼯メーカ

第2層,第3層の機能を持たないモノ（バッテリ等）の取引

センサ

アクチュエータ

ロボット

⽣産設備

完成品メーカ

分析会社

A-2

製造過程の例のユースケース作成に当たっての整理について
１．本事例を作るに当たり想定したバリュークリエイションプロセス
 製造過程において、発注元企業が製品を発注し、発注先企業が発注データ(設計図など)を基に、製品を納める⼀連のプロセス。
２．フレームワークの留意点を踏まえた本ユースケースの特徴
 Society5.0への進展に伴い、製造装置にIoTが使われるようになるとともに、製造されるIoT製品も増加。
 市場動向分析データなど外部のデータの活⽤も増加。
３．資産等の各層への分類のイメージ
分析対象の具体的イメージ
第１層• 部品メーカ︓加⼯メーカに部品を供給。
• 加⼯メーカ︓部品メーカから部品の供給を受け、製品を加⼯。
• 完成品メーカ︓加⼯メーカから製品の供給を受け、完成品を製造。
• 分析会社︓市場動向などの分析データを完成品メーカに提供。 等

第２層• センサ︓⽣産設備の動作状況を監視し、その結果をデータに変換。
• アクチュエータ︓⽣産管理データをもとに、⽣産設備を稼働。
等

第３層• ネットワーク機器︓データの組織外とのやりとり。
• データを取り扱うサーバ︓データの保管・加⼯・分析等を実施。
• 取り扱うデータ－調達情報データ︓発注計画や取引会社間での取引などに関するデータ。
－分析データ︓市場動向などの分析データ。⽣産計画に利⽤。
等A-3

ユースケース③︓将来のコネクテッドカーの例
通信ネットワーク（モバイル通信ネットワーク・インターネット等）

第3層

事故発⽣
データ
交通規制
データ
渋滞
データ
…

プローブデータ（位置情報、等)

⾃動運転・
ADAS⽤地図ソフトウェア
更新プログラム

⾞載通信機
交通情報データ
管理サーバ

動的情報
管理サーバ

地図情報
管理サーバ

ソフトウェア情報
管理サーバ

プローブデータ（位置情報、等)

ソフトウェア
更新データ

GPS

更新対象
のECU

外界認識センサ

第２層

加速度センサ
ヨーレートセンサ
…

モータ

第1層

交通情報提供者

地図データ提供者

ブレーキ

⾞両統合
制御ECU

ステアリング…

OTA プログラム
提供者

…
A-4

将来のコネクテッドカーの例のユースケース作成に当たっての整理について
１．本事例を作るに当たり想定したバリュークリエイションプロセス
 ⾞内外から得られるデータを活⽤し、ナビゲーション等のサービスや運転⽀援及び将来的には⾃動運転を⾏うプロセス。
２．フレームワークの留意点を踏まえた本ユースケースの特徴 コネクテッド化(⾃動⾞のIoT化)の進展に伴い、⾞内外のデータのやり取りが発⽣し、フィジカル・サイバー空間並びにサイバー空間
間のつながりが増加。
 また、将来的な⾃動運転の実現には、外界認識センサ等による得られる周囲の情報に加え、地図情報や渋滞・交通規制情報など様々なデータのやり取りを必要とする可能性。
３．資産等の各層への分類のイメージ
分析対象の具体的イメージ
第１層

•
•
•

交通情報提供者︓交通規制・渋滞データなどを管理し、地図データ提供者等に提供。
地図データ提供者︓プローブデータ（位置情報など）を分析し、⾃動⾞に提供。
OTAプログラム提供者︓ソフトウェアの更新プログラムを⾃動⾞に提供。 等

第２層

•
•
•

外界認識センサ︓カメラ、レーダなどを周囲の障害物との距離などを測定。
加速度センサ︓⾃動⾞の速度の変化を測定。
⾞両統合制御ECU︓各種情報に基づきモータ、ブレーキ、ステアリングなどの各種アクチュエータを制御。 等•••

⾞載通信機︓⾃動⾞内と外部との接続⽤の通信機器。
データを取り扱う各種サーバ︓データの保管・加⼯・分析等を実施。
取り扱うデータ－渋滞データ︓個々の⾞両の位置情報などに基づく道路混雑データ。
－プローブデータ︓⾃⾞位置・速度・経路、運転挙動情報、外界センシング情報等、⾃動⾞から収集可能な各種データ。 等

第３層

A-5ユースケース④︓スマートホームの例
通信キャリア通信ネットワーク（インターネット等）
環境
データ

第３層

バイタル
データ

カメラ
データ

フィード
バック
フィード
バック

HGW/ブロードバンドルータ

分析
サーバ

遠隔監視
サーバ

通信機器の取引 ※
情報
提供

スマート
フォン

カメラ
データ

第２層

バイタル
データ
環境
データ

ウェアラブル機器

環境センサ

センサの取引
センサ
の製造

センサ
の販売

メーカ

量販店

第1層

Webカメラデバイス等の貸与
端末

設定

住まい⼿

サービス事業者

連携
事業者

A-6

スマートホームの例のユースケース作成に当たっての整理について
１．本事例を作るに当たり想定したバリュークリエイションプロセス
 ⽇常⽣活において住まい⼿が購⼊した⼜はサービス事業者から貸与されたIoT機器などを通じて得られるデータを利活⽤し、住まい⼿のニーズに合ったサービスが提供されるプロセス。
２．フレームワークの留意点を踏まえた本ユースケースの特徴
 家電や防犯カメラ、健康器具などがインターネットに繋がりIoT機器となっていく中で、⽇常⽣活に係るデータがネットワーク上でやりとりされるとともに、ネットワークを介してIoT機器の操作も可能となる等、サイバーとフィジカルの転写機能の信頼が重要。
 IoT機器のメンテナンスや状態の管理について、明確な管理者が定まらないことが多い。
３．資産等の各層への分類のイメージ
分析対象の具体的イメージ

•
•
•
•
•

住まい⼿︓IoT機器を購⼊⼜は借受けて⾃宅に設置し、⽇常⽣活に係るデータを提供するとともに、それに基づくサービスを享受。
サービス事業者︓住まい⼿からデータを取得し、それに基づくサービスを実施。
通信キャリア︓住まい⼿などに通信機器を貸与するなどして、インターネットやLTE網を提供。
連携事業者︓サービス事業者から情報を受取り、サービスを提供。
メーカ︓インターネットに繋がるセンサなどを製造。
量販店︓メーカが製造したセンサなどを販売、設定を実施。 等

第２層

•
•

センサ、ウェアラブル機器、Webカメラ、ネットワーク家電︓⽇常⽣活に関するデータを転写。
端末︓データの閲覧、⼊⼒装置。 等

第３層

•
•
•

•
第１層

HGW︓データの家庭外とのやりとり。
データを取り扱うサーバ︓データの保管・加⼯・分析等を実施。
取り扱うデータ－環境データ︓温度、湿度などのデータ。
－バイタルデータ︓⼼拍数、体温などのデータ。 等

A-7ユースケース⑤︓ビルの例
通信ネットワーク（専⽤線・インターネット等）
第３層
昇降機
データ
GW
遠隔監視
サーバ
建物設備⽤統合ネットワーク（BACnet等）

電⼒
データ

第２層

受変電シス
テムサーバ

防犯
データ

照明・空調等
データ

コントローラコントローラ

センサ
センサ
受変電

第1層

照明

設備ベンダ

監視カメラ
データ

電⼒
データ

監視カメラ
データ
防犯
データ

防災
データ

遠隔監視
サーバ

遠隔監視
サーバ

ファシリティ
管理会社

セキュリティ
管理会社

昇降機
データ

監視カメラ 昇降機システム
防犯システム 防災システム
システムサーバ
サーバ
サーバ
サーバ

照明等システムサーバ

コントローラ防災
データ

照明・空調等データ

熱源 給排⽔ 空調

⼊退出 機械警備

設備ベンダ

設備ベンダ

コントローラ
⽕災報知器

監視カメラ

昇降機

設備ベンダ

ビルオーナー

設備ベンダ

設備ベンダ

エレベータ
管理会社

A-8

ビルの例のユースケース作成に当たっての整理について
１．本事例を作るに当たり想定したバリュークリエイションプロセス ビルオーナーが、ファシリティ管理会社と契約等を⾏い、ビルから得られるデータを活⽤し、エネルギーマネジメントやビルの最適管理を⾏うプロセスや、遠隔地から監視・管理するプロセス。
２．フレームワークの留意点を踏まえた本ユースケースの特徴

ビル内の数多くの制御系システムのIP化が進展。
ビル内の各々のシステムは、第3層の分析対象、かつ第2層の分析対象としての観点も重要視。
ビルの遠隔地からの監視・管理を実現するためには、電⼒データ、昇降機データなどさまざまなデータのやり取りが必要。
エレベータ監視会社、ファシリティ管理会社など、ステークホルダーが多い。

３．資産等の各層への分類のイメージ
分析対象の具体的イメージ
第１層

•
•
•
•

ビル︓ビルシステムにより監視・管理。
エレベータ管理会社︓ビルに導⼊されているエレベータの運転状況などを遠隔から監視・管理。
ファシリティ管理会社︓ビルの電⼒使⽤量などを遠隔から監視・管理。
セキュリティ管理会社︓ビルを監視カメラなどにより遠隔から監視・管理。 等

第２層

•
•
•
•

コントローラ︓照明、熱源、空調などを制御。
監視カメラ︓異常事態の発⽣の有無を監視。
統合ネットワーク（BACnet等）︓データのビル内外とのやりとり。
データを取り扱うサーバ︓データの保管・加⼯・分析等を実施。 等

第３層

•
•

データを取り扱うサーバ︓データの保管・加⼯・分析等を実施。
取り扱うデータ－電⼒データ︓ビルの様々な機器の電⼒使⽤量。ファシリティ管理会社が利⽤。
－防犯データ︓⼊退室や機械警備などの情報を組み合わせたデータ。セキュリティ会社が利⽤。 等

A-9ユースケース⑥︓電⼒システムにおけるデマンド･レスポンスの例
通信ネットワーク（専⽤線・インターネット等）
電⼒消費
制御要請

第３層

検針
データ
スマート
メーター
システム

ＤＲ
システム

（データ管理）

電⼒消費
制御要請

DR制御
サーバ

Aルート

需給関連
データ

発電関連
データ
発電
システム

電⼒消費量
データ

需給
システム

電⼒消費量
サーバ
検針 Ｂルート
データ

第２層

スマート
メーター

発電設備

（制御装置等）

発電設備

⽣産設
備等

（発電機）
電気

第1層

気象情報

気象情報
サーバ

インセンティブ
データ
インセンティブ
処理サーバ

電⼒消費量
データ
FEMS
/ BEMS

照明･
空調等

蓄電池
等

送配電設備

電⼒会社

需要家（⼯場・ビル）

EMS : Energy Management System BEMS : Building EMS FEMS : Factory EMS

アグリゲータ

気象情報提供事業者

A-10

電⼒システムにおけるデマンド･レスポンスの例のユースケース作成に当たっての整理について
１．本事例を作るに当たり想定したバリュークリエイションプロセス
 電⼒の需要逼迫時にインセンティブを与えることで需要を制御するデマンドレスポンスのプロセス。
２．フレームワークの留意点を踏まえた本ユースケースの特徴 スマートメータの利⽤などにより、電⼒供給に関するさまざまなデータのやり取りが増加。
 電⼒の⾃由化が進展する中で、電⼒供給に関わるステークホルダーが増⼤。
３．資産等の各層への分類のイメージ
分析対象の具体的イメージ
第１層

•
•
•
•

電⼒会社︓電⼒消費制御をアグリゲータに要請。
需要家（⼯場・ビル）︓電⼒消費制御要請により、電⼒消費の制御を実施。
アグリゲータ︓電⼒会社から電⼒消費制御要請を受け、需要家（⼯場・ビル）に電⼒消費制御要請。
気象情報提供事業者︓気象情報をアグリゲータに提供。 等

第２層

•
•

スマートメータ︓消費電⼒量を検針データに変換。
FEMS/BEMS︓⼯場やビルのエネルギ―を管理。 等

第３層

•
•
•

スマートメータ︓検針データの送信。
データを取り扱うサーバ︓データの保管・加⼯・分析等を実施。
取り扱うデータ－気象情報︓気温、湿度などの気象データ。電⼒需要予想に利⽤。
－電⼒消費制御要請︓電⼒消費の制御量などのデータ。電⼒会社からアグリゲータ、アグリゲータから需要家への電⼒消費制御要請に利⽤。 等

A-11

添付Ｂ リスク源と対策要件の対応関係■第1層における機能／想定されるセキュリティインシデント／リスク源／対策要件
リスク源

想定される

#

機能

1_1

組織として平時のリスク管

⾃組織で管理している領域から・システムにおけるセキュリティ上の脆 L1_1_a_ORG [ソシキ]理体制を構築し、適切に運保護すべきデータが漏洩する

弱性を利⽤したマルウェア感染

⽤すること

セキュリティインシデント

脅威

脆弱性ID

対策要件

脆弱性

対策要件ID・リソース（例︓モノ、データ、システム）を、機能、重要度、ビジネス上の価値 CPS.AM-6

・適切な⼿順等に基づき、必要な他組織も巻き込んでセ に基づいて分類、優先順位付けし、管理責任を明確にした上で、業務上それらのリキュリティに関わるリスクマネジメントが実⾏されてい ソースに関わる組織やヒトに伝達する。
・あらかじめ定められた⾃組織の優先事業、優先業務と整合したセキュリティポリ CPS.BE-2
ない・⼊⼒確認の不備を突いたインジェク
ション攻撃(例︓SQLインジェクション、

シー・対策基準を明確化し、⾃組織の取引に関係する者（サプライヤー、第三者プ

XSS)

ロバイダ等を含む）に共有する。
・取引関係のライフサイクルを考慮してサプライチェーンに係るセキュリティの対 CPS.SC-1

・ネットワーク上の通信の盗聴・保護が必要なエリアに対する不正なヒ

策基準を定め、責任範囲を明確化したうえで、その内容について取引先と合意すトの物理的な侵⼊・窃取したID、パスワード等を利⽤したる。
・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす CPS.SC-2

正規ユーザへのなりすまし

組織やヒトを特定し、優先付けをし、評価する。

・正規ユーザによる内部不正・システムを管理するためのシステム開発ライフサイクルを導⼊する。
L1_1_a_PEO[ヒト]

CPS.IP-3

・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑 CPS.AT-1

・⾃⾝が関わりうるセキュリティやセーフティに関する 制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施
リスクに対して⼗分な認識を有していない

し、その記録を管理する。
⾃組織の要員や、重要度の⾼い関係他組織の担当者に対する、セキュリティに係る CPS.AT-3
訓練、教育の内容を改善する。

[ヒト]・取引先等の関係する他組織の要員の内、⾃組織から委託する業務に関わる者に対 CPS.SC-5

・ヒトに関わるセキュリティやセーフティに関係するリ するセキュリティ上の要求事項を策定し、運⽤する。
スクに対するガバナンスが⼗分でない・⼈の異動に伴い⽣じる役割の変更に対応した対策にセキュリティに関する事項

CPS.IP-9（例︓アクセス権限の無効化、従業員に対する審査）を含める。
L1_1_a_COM [モノ]・システムを構成するハードウェア、ソフトウェア及びその管理情報（例︓名称、 CPS.AM-1・モノのセキュリティ状況やネットワーク接続状況が適 バージョン、ネットワークアドレス、管理責任者、ライセンス情報）の⼀覧を作成
切に管理(例︓資産の棚卸し、モニタリング)されていな し、適切に管理する。
・⾃組織の資産が接続している外部情報システムの⼀覧を作成し、適切に管理すいCPS.AM-5

る。

・承認されたモノとヒト及びプロシージャの識別情報と認証情報を発効、管理、確 CPS.AC-1
認、取消、監査するプロシージャを確⽴し、実施する。
・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報 CPS.AE-1の流れを特定し、管理するプロシージャを確⽴し、実施する。
・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内 CPS.CM-5
容をモニタリングする。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット CPS.CM-6
ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情
L1_1_a_SYS[システム]

報の送受信状況について、継続的に管理する。
・⾃組織の資産の脆弱性を特定し、対応する資産とともに⼀覧を⽂書化する。

CPS.RA-1

・⾃組織のリスクを踏まえた技術的対策が実装されてい ・⾃組織の資産に対して想定されるセキュリティインシデントと影響及びその発⽣ CPS.RA-3
ないか、実装を確認できない要因を特定し、⽂書化する。
・構成要素の管理におけるセキュリティルールが、実装⽅法を含めて有効かを確認 CPS.RA-4
するため、定期的にリスクアセスメントを実施する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階から、受容できない
既知のセキュリティリスクの有無を、セーフティに関するハザードの観点も踏まえて確認する。
・リスクを判断する際に、脅威、脆弱性、可能性、影響を考慮する。

CPS.RA-5

・リスクアセスメントに基づき、発⽣し得るセキュリティリスクに対する対応策の CPS.RA-6
内容を明確に定め、対応の範囲や優先順位を整理した結果を⽂書化する。
・リスクアセスメント結果及びサプライチェーンにおける⾃組織の役割から⾃組織 CPS.RM-2
におけるリスク許容度を決定する。
[システム]

・セキュリティ対応組織(SOC/CSIRT)は、組織の内部及び外部の情報源（内部テCPS.RA-2

・⾃組織のシステムにおいて、対処すべき脆弱性が放置 スト、セキュリティ情報、セキュリティ研究者等）から脆弱性情報/脅威情報等をされている収集、分析し、対応及び活⽤するプロセスを確⽴する。
・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

CPS.IP-2

・脆弱性修正措置計画を作成し、計画に沿って構成要素の脆弱性を修正する。

CPS.IP-10

・IoT機器、サーバ等のセキュリティ上重要なアップデート等を、必要なタイミン CPS.MA-1
グに管理されたツールを利⽤して適切に履歴を記録しつつ実施する。
・⾃組織のIoT機器、サーバ等に対する遠隔保守を、適⽤先のモノ、システムのCPS.MA-2

オーナー部⾨による承認を得て、ログを記録し、不正アクセスを防げる形で実施する。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット CPS.CM-6
ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情報の送受信状況について、継続的に管理する。
・⾃組織の管理しているIoT機器、サーバ等に対して、定期的に対処が必要な脆弱 CPS.CM-7
性の有無を確認する。
[システム]

・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセス CPS.IP-1

・保護すべきデータが格納されたシステムにおいて、セ を導⼊し、運⽤する。
キュアでない設定がなされている

・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリア CPS.PT-2
ルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を[システム]

必要最⼩限とする。
・各種法令や関係組織間だけで共有するデータの扱いに関する取決め等によって要 CPS.GV-3

保管情報へのアクセスについて、情報の機密レベル等に 求されるデータの保護の⽔準を的確に把握し、それぞれの要求を踏まえたデータの合わせた⽅式でリクエスト元を識別・認証していない

区分⽅法を整備し、ライフサイクル全体に渡って区分に応じた適切なデータの保護を⾏う。
・承認されたモノとヒト及びプロシージャの識別情報と認証情報を発効、管理、確 CPS.AC-1
認、取消、監査するプロシージャを確⽴し、実施する。
・職務及び責任範囲（例︓ユーザー／システム管理者)を適切に分離する 。

CPS.AC-5・特権を持つユーザーのシステムへのネットワーク経由でのログインに対して、想 CPS.AC-6
定されるリスクも考慮して、信頼性の⾼い認証⽅式（例︓⼆つ以上の認証機能を組み合わせた多要素認証）を採⽤する。
・IoT機器やユーザーによる構成要素（モノ／システム等）への論理的なアクセス CPS.AC-9
を、取引のリスク（個⼈のセキュリティ、プライバシーのリスク及びその他の組織[システム]

的なリスク）に⾒合う形で認証・認可する。
・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監視 CPS.AC-2

・IoT機器、サーバ等の設置エリアのアクセス制御や監カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

視等の物理的セキュリティ対策を実施していない

・無停電電源装置、防⽕設備の確保、浸⽔からの保護等、⾃組織のIoT機器、サー CPS.IP-5
バ等の物理的な動作環境に関するポリシーや規則を満たすよう物理的な対策を実施する。
・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリア CPS.PT-2
ルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を
必要最⼩限とする。
・IoT機器、サーバ等の重要性を考慮し、適切な物理的アクセスの設定及び記録、 CPS.CM-2
監視を実施する。

[システム]

・セキュリティインシデントを適切に検知するため、監査記録／ログ記録の対象を CPS.PT-1

・早期にセキュリティ上の異常を素早く検知し、対処す 決定、⽂書化し、そうした記録を実施して、レビューする。
るような仕組みがシステムに実装されていない

・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報 CPS.AE-1の流れを特定し、管理するプロシージャを確⽴し、実施する。
・組織内のネットワークと広域ネットワークの接点において、ネットワーク監視・ CPS.CM-1
制御、アクセス監視・制御を実施する。
・指⽰された動作内容と実際の動作結果を⽐較して、異常の検知や動作の停⽌を⾏ CPS.CM-3
うIoT機器を導⼊する。
・サイバー空間から受ける情報が悪質なコードを含んでおらず、許容範囲内であることを動作前に検証する。
・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内 CPS.CM-5
容をモニタリングする。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす CPS.RP-1
るため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装する。

B-1-1

添付Ｂ．第1層

#

機能

リスク源

想定される
セキュリティインシデント

脅威

脆弱性ID
L1_1_a_DAT

対策要件

脆弱性
[データ]

対策要件ID・各種法令や関係組織間だけで共有するデータの扱いに関する取決め等によって要 CPS.GV-3

・⾃組織で管理しているデータの保護に係る区分が明確 求されるデータの保護の⽔準を的確に把握し、それぞれの要求を踏まえたデータのになっていない

区分⽅法を整備し、ライフサイクル全体に渡って区分に応じた適切なデータの保護

[データ]

を⾏う。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6

・定められた機密区分に沿った情報の保護が実装されて に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
いない・情報を適切な強度の⽅式で暗号化して保管する。

CPS.DS-2

・IoT機器、サーバ等の間、サイバー空間で通信が⾏われる際、通信経路を暗号化 CPS.DS-3
する。
・情報を送受信する際に、情報そのものを暗号化して送受信する。

CPS.DS-4

・送受信する情報データ、保管データする情報の暗号化等に⽤いる鍵を、ライフサ CPS.DS-5
イクルを通じて安全に管理する。
・⾃組織外への不適切な通信を防ぐため、保護すべき情報を⾃組織外へ送信する通 CPS.DS-9
信を適切に制御する。
L1_1_a_PRO[プロシージャ]・セキュリティポリシーを策定し、⾃組織及び関係する他組織のセキュリティ上の CPS.GV-1

・セキュリティに関わるリスクマネジメントの適切な⼿ 役割と責任、情報の共有⽅法等を明確にする。
順が確⽴していない・セキュリティに関するリスク管理を適切に⾏うために戦略策定、リソース確保を CPS.GV-4
⾏う。
・⾃組織内におけるサイバーセキュリティリスクマネジメントの実施状況について CPS.RM-1
確認し、組織内の適切な関係者（例︓上級管理職）に伝達する。また、⾃組織の事
業に関係する⾃組織及び他組織（例︓業務委託先）の責任範囲を明確化し、関係する他組織によるセキュリティリスクマネジメントの実施状況を確認するプロセスを確⽴し、実施する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3
⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
ネジメントが適合していることを確認する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-4
⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適 CPS.SC-7
合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・取引先等の関係する他組織との契約が終了する際（例︓契約期間の満了、サポー CPS.SC-10
トの終了）に実施すべきプロシージャを策定し、運⽤する。
・サプライチェーンに係るセキュリティ対策基準及び関係するプロシージャ等を継 CPS.SC-11
続的に改善する。
・セキュリティインシデントへの対応、内部及び外部からの攻撃に関する監視／測 CPS.IP-7
定／評価結果から教訓を導き出し、資産を保護するプロセスを改善する。

⾃組織で管理している領域にお・窃取したID、パスワード等を利⽤した L1_1_b_ORG [ソシキ]いて保護すべきデータが改ざん

正規ユーザへのなりすましされる

・通信系路上でデータを改ざんする中間・リソース（例︓モノ、データ、システム）を、機能、重要度、ビジネス上の価値 CPS.AM-6

・適切な⼿順等に基づき、必要な他組織も巻き込んでセ に基づいて分類、優先順位付けし、管理責任を明確にした上で、業務上それらのリキュリティに関わるリスクマネジメントが実⾏されてい ソースに関わる組織やヒトに伝達する。
・あらかじめ定められた⾃組織の優先事業、優先業務と整合したセキュリティポリ CPS.BE-2
ない

者攻撃等

シー・対策基準を明確化し、⾃組織の取引に関係する者（サプライヤー、第三者プ・システムにおけるセキュリティ上の脆

ロバイダ等を含む）に共有する。
・取引関係のライフサイクルを考慮してサプライチェーンに係るセキュリティの対 CPS.SC-1

弱性を利⽤したマルウェア感染
・正規ユーザによる内部不正策基準を定め、責任範囲を明確化したうえで、その内容について取引先と合意す・保護が必要なエリアに対する不正なヒ
トの物理的な侵⼊る。
・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす CPS.SC-2

・保護が必要なデータを扱う媒体の物理

組織やヒトを特定し、優先付けをし、評価する。

的な破壊・システムを管理するためのシステム開発ライフサイクルを導⼊する。
L1_1_b_PEO[ヒト]

CPS.IP-3

・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑 CPS.AT-1

・⾃⾝が関わりうるセキュリティやセーフティに関係す 制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施
るリスクに対して⼗分な認識を有していない

し、その記録を管理する。
⾃組織の要員や、重要度の⾼い関係他組織の担当者に対する、セキュリティに係る CPS.AT-3
訓練、教育の内容を改善する。

[ヒト]・取引先等の関係する他組織の要員の内、⾃組織から委託する業務に関わる者に対 CPS.SC-5

・ヒトに関わるセキュリティやセーフティに関係するリ するセキュリティ上の要求事項を策定し、運⽤する。
スクに対するガバナンスが⼗分でない・⼈の異動に伴い⽣じる役割の変更に対応した対策にセキュリティに関する事項

CPS.IP-9（例︓アクセス権限の無効化、従業員に対する審査）を含める。
L1_1_b_COM [モノ]・システムを構成するハードウェア、ソフトウェア及びその管理情報（例︓名称、 CPS.AM-1

・情報システムや産業⽤制御システムを構成しているモ バージョン、ネットワークアドレス、管理責任者、ライセンス情報）の⼀覧を作成
ノのセキュリティ状況やネットワーク接続状況が適切に し、適切に管理する。
・⾃組織の資産が接続している外部情報システムの⼀覧を作成し、適切に管理す管理(例︓資産の棚卸し、モニタリング)されていない

CPS.AM-5

る。

・承認されたモノとヒト及びプロシージャの識別情報と認証情報を発効、管理、確 CPS.AC-1
認、取消、監査するプロシージャを確⽴し、実施する。
・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報 CPS.AE-1の流れを特定し、管理するプロシージャを確⽴し、実施する。
・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内 CPS.CM-5
容をモニタリングする。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット CPS.CM-6
ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情
L1_1_b_SYS[システム]

報の送受信状況について、継続的に管理する。
・⾃組織の資産の脆弱性を特定し、対応する資産とともに⼀覧を⽂書化する。

CPS.RA-1

・⾃組織のリスクを踏まえた技術的対策が実装されてい ・⾃組織の資産に対して想定されるセキュリティインシデントと影響及びその発⽣ CPS.RA-3
ないか、実装を確認できない要因を特定し、⽂書化する。
・構成要素の管理におけるセキュリティルールが、実装⽅法を含めて有効かを確認 CPS.RA-4
するため、定期的にリスクアセスメントを実施する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階から、受容できない
既知のセキュリティリスクの有無を、セーフティに関するハザードの観点も踏まえて確認する。
・リスクを判断する際に、脅威、脆弱性、可能性、影響を考慮する。

CPS.RA-5

・リスクアセスメントに基づき、発⽣し得るセキュリティリスクに対する対応策の CPS.RA-6
内容を明確に定め、対応の範囲や優先順位を整理した結果を⽂書化する。
・リスクアセスメント結果及びサプライチェーンにおける⾃組織の役割から⾃組織 CPS.RM-2
におけるリスク許容度を決定する。
[システム]

・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセス CPS.IP-1

・保護すべきデータが格納されたシステムにおいて、セ を導⼊し、運⽤する。
キュアでない設定がなされている

・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリア CPS.PT-2
ルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を[システム]

必要最⼩限とする。
・各種法令や関係組織間だけで共有するデータの扱いに関する取決め等によって要 CPS.GV-3

・保管情報へのアクセスについて、情報の機密レベル等 求されるデータの保護の⽔準を的確に把握し、それぞれの要求を踏まえたデータのに合わせた⽅式でリクエスト元を識別・認証していない 区分⽅法を整備し、ライフサイクル全体に渡って区分に応じた適切なデータの保護を⾏う。
・承認されたモノとヒト及びプロシージャの識別情報と認証情報を発効、管理、確 CPS.AC-1
認、取消、監査するプロシージャを確⽴し、実施する。
・職務及び責任範囲（例︓ユーザー／システム管理者)を適切に分離する 。

CPS.AC-5・特権を持つユーザーのシステムへのネットワーク経由でのログインに対して、想 CPS.AC-6
定されるリスクも考慮して、信頼性の⾼い認証⽅式（例︓⼆つ以上の認証機能を組み合わせた多要素認証）を採⽤する。
・IoT機器やユーザーによる構成要素（モノ／システム等）への論理的なアクセス CPS.AC-9
を、取引のリスク（個⼈のセキュリティ、プライバシーのリスク及びその他の組織的なリスク）に⾒合う形で認証・認可する。

B-1-2

添付Ｂ．第1層

#

機能

リスク源

想定される
セキュリティインシデント

脅威

脆弱性ID

L1_1_b_PRO

対策要件

脆弱性

対策要件ID[システム]

・セキュリティ事象の相関の分析及び外部の脅威情報と⽐較した分析を⾏う⼿順を CPS.AE-3

・早期にネットワーク上での異常(例︓なりすまし、

実装することで、セキュリティインシデントを正確に特定する。

メッセージの改ざん)を素早く検知し、対処するような・サイバー空間から受ける情報が悪質なコードを含んでおらず、許容範囲内である CPS.CM-3

仕組みがシステムに実装されていないことを動作前に検証する。

[プロシージャ]・セキュリティポリシーを策定し、⾃組織及び関係する他組織のセキュリティ上の CPS.GV-1

・セキュリティ事象の検知プロセスを継続的に改善する。

CPS.DP-4

・セキュリティに関わるリスクマネジメントの適切な⼿ 役割と責任、情報の共有⽅法等を明確にする。
順が確⽴していない・セキュリティに関するリスク管理を適切に⾏うために戦略策定、リソース確保を CPS.GV-4
⾏う。
・⾃組織内におけるサイバーセキュリティリスクマネジメントの実施状況について CPS.RM-1
確認し、組織内の適切な関係者（例︓上級管理職）に伝達する。また、⾃組織の事
業に関係する⾃組織及び他組織（例︓業務委託先）の責任範囲を明確化し、関係する他組織によるセキュリティリスクマネジメントの実施状況を確認するプロセスを確⽴し、実施する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3
⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
ネジメントが適合していることを確認する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-4
⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適 CPS.SC-7
合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・取引先等の関係する他組織との契約が終了する際（例︓契約期間の満了、サポー CPS.SC-10
トの終了）に実施すべきプロシージャを策定し、運⽤する。
・サプライチェーンに係るセキュリティ対策基準及び関係するプロシージャ等を継 CPS.SC-11
続的に改善する。
・セキュリティインシデントへの対応、内部及び外部からの攻撃に関する監視／測 CPS.IP-7
定／評価結果から教訓を導き出し、資産を保護するプロセスを改善する。

L1_1_b_DAT[データ]

・IoT機器、サーバ等の間、サイバー空間で通信が⾏われる際、通信経路を暗号化 CPS.DS-3

・通信路及び通信路上のデータが⼗分に保護されていな する。
い・情報を送受信する際に、情報そのものを暗号化して送受信する。

CPS.DS-4[データ]・送受信・保管する情報に完全性チェックメカニズムを使⽤する。

CPS.DS-11

・取り扱うデータに改ざんを検知するメカニズムがない

サービス拒否攻撃、ランサム・システムを構成するサーバ等の電算機 L1_1_c_ORG [ソシキ]織のデータを取り扱うシステム

撃

が停⽌する

・システムにおけるセキュリティ上の脆・リソース（例︓モノ、データ、システム）を、機能、重要度、ビジネス上の価値 CPS.AM-6

・適切な⼿順等に基づき、必要な他組織も巻き込んでセ に基づいて分類、優先順位付けし、管理責任を明確にした上で、業務上それらのリウェアへの感染等に より、⾃組 器、通信機器等に対するサービス拒否攻

キュリティに関わるリスクマネジメントが実⾏されてい ソースに関わる組織やヒトに伝達する。
・あらかじめ定められた⾃組織の優先事業、優先業務と整合したセキュリティポリ CPS.BE-2
ない
シー・対策基準を明確化し、⾃組織の取引に関係する者（サプライヤー、第三者プ

弱性を利⽤したマルウェア感染

ロバイダ等を含む）に共有する。
・取引関係のライフサイクルを考慮してサプライチェーンに係るセキュリティの対 CPS.SC-1

・妨害電波の発信策基準を定め、責任範囲を明確化したうえで、その内容について取引先と合意する。
・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす CPS.SC-2
組織やヒトを特定し、優先付けをし、評価する。
・システムを管理するためのシステム開発ライフサイクルを導⼊する。
L1_1_c_PEO[ヒト]

CPS.IP-3

・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑 CPS.AT-1

・⾃⾝が関わりうるセーフティやセキュリティに関わる 制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施
リスクに対して⼗分な認識を有していない

し、その記録を管理する。
⾃組織の要員や、重要度の⾼い関係他組織の担当者に対する、セキュリティに係る CPS.AT-3
訓練、教育の内容を改善する。

[ヒト]・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す CPS.SC-8

・ヒトに関わるセーフティやセキュリティに関係するリ るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰でスクに対するガバナンスが⼗分でないきるようにする。
・⼈の異動に伴い⽣じる役割の変更に対応した対策にセキュリティに関する事項

CPS.IP-9（例︓アクセス権限の無効化、従業員に対する審査）を含める。
L1_1_c_COM [モノ]・システムを構成するハードウェア、ソフトウェア及びその管理情報（例︓名称、 CPS.AM-1

・情報システムや産業⽤制御システムを構成しているモ バージョン、ネットワークアドレス、管理責任者、ライセンス情報）の⼀覧を作成
ノのセキュリティ状況やネットワーク接続状況が適切に し、適切に管理する。
管理（例︓資産の棚卸し、モニタリング）されていない ・⾃組織の資産が接続している外部情報システムの⼀覧を作成し、適切に管理す

CPS.AM-5

る。

・承認されたモノとヒト及びプロシージャの識別情報と認証情報を発効、管理、確 CPS.AC-1
認、取消、監査するプロシージャを確⽴し、実施する。
・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報 CPS.AE-1の流れを特定し、管理するプロシージャを確⽴し、実施する。
・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内 CPS.CM-5
容をモニタリングする。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット CPS.CM-6
ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情
L1_1_c_SYS[システム]

報の送受信状況について、継続的に管理する。
・⾃組織の資産の脆弱性を特定し、対応する資産とともに⼀覧を⽂書化する。

CPS.RA-1

・⾃組織のリスクを踏まえた技術的対策が実装されてい ・⾃組織の資産に対して想定されるセキュリティインシデントと影響及びその発⽣ CPS.RA-3
ないか、実装を確認できない要因を特定し、⽂書化する。
・構成要素の管理におけるセキュリティルールが、実装⽅法を含めて有効かを確認 CPS.RA-4
するため、定期的にリスクアセスメントを実施する。
・リスクを判断する際に、脅威、脆弱性、可能性、影響を考慮する。

CPS.RA-5

・リスクアセスメントに基づき、発⽣し得るセキュリティリスクに対する対応策の CPS.RA-6
内容を明確に定め、対応の範囲や優先順位を整理した結果を⽂書化する。
・リスクアセスメント結果及びサプライチェーンにおける⾃組織の役割から⾃組織 CPS.RM-2
におけるリスク許容度を決定する。
[システム]

・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリア CPS.PT-2

・IoT、サーバ等に対する通信を適切に制御していない

ルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を
必要最⼩限とする。
・組織内のネットワークと広域ネットワークの接点において、ネットワーク監視・ CPS.CM-1
制御、アクセス監視・制御を実施する。

[システム]

・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監視 CPS.AC-2

・IoT、サーバ等に対する物理的な妨害（例︓妨害電カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

波）に対処できていない

・無停電電源装置、防⽕設備の確保、浸⽔からの保護等、⾃組織のIoT機器、サー CPS.IP-5
バ等の物理的な動作環境に関するポリシーや規則を満たすよう物理的な対策を実施する。
・IoT機器、サーバ等の重要性を考慮し、適切な物理的アクセスの設定及び記録、 CPS.CM-2
監視を実施する。

[システム]

・サービス拒否攻撃等のサイバー攻撃を受けた場合でも、資産を適切に保護し、攻 CPS.DS-6

・IoT機器を含むシステムに⼗分なリソース(処理能⼒、 撃による影響を最⼩限にできるよう、構成要素において⼗分なリソース（例:ヒ
通信帯域、ストレージ容量)が確保されていない

ト、モト、システム）を確保する。
・IoT機器、通信機器、回線等に対し、定期的な品質管理、予備機や無停電電源装 CPS.DS-7
置の確保、冗⻑化、故障の検知、交換作業、ソフトウェアの更新を⾏う。

B-1-3

添付Ｂ．第1層

#

機能

リスク源

想定される
セキュリティインシデント

脅威

脆弱性ID
L1_1_c_PRO

対策要件

脆弱性
[プロシージャ]対策要件ID・セキュリティポリシーを策定し、⾃組織及び関係する他組織のセキュリティ上の CPS.GV-1

・セキュリティに関わるリスクマネジメントの適切な⼿ 役割と責任、情報の共有⽅法等を明確にする。
順が確⽴していない・セキュリティに関するリスク管理を適切に⾏うために戦略策定、リソース確保を CPS.GV-4
⾏う。
・⾃組織内におけるサイバーセキュリティリスクマネジメントの実施状況について CPS.RM-1
確認し、組織内の適切な関係者（例︓上級管理職）に伝達する。また、⾃組織の事
業に関係する⾃組織及び他組織（例︓業務委託先）の責任範囲を明確化し、関係する他組織によるセキュリティリスクマネジメントの実施状況を確認するプロセスを確⽴し、実施する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3
⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
ネジメントが適合していることを確認する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-4
⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適 CPS.SC-7
合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・取引先等の関係する他組織との契約が終了する際（例︓契約期間の満了、サポー CPS.SC-10
トの終了）に実施すべきプロシージャを策定し、運⽤する。
・サプライチェーンに係るセキュリティ対策基準及び関係するプロシージャ等を継 CPS.SC-11
続的に改善する。
・セキュリティインシデントへの対応、内部及び外部からの攻撃に関する監視／測 CPS.IP-7
定／評価結果から教訓を導き出し、資産を保護するプロセスを改善する。

法制度等で規定されている⽔準

All threats

L1_2_a_ORG [ソシキ]・個⼈情報保護法、不正競争防⽌法等の国内外の法令や、業界のガイドラインを考 CPS.GV-2

・遵守すべき法制度等を認識していないか、法制度に準 慮した社内ルールを策定する。

のセキュリティ対策を実装できない

拠した組織内のルールを策定・運⽤していない・監視業務では、地域毎に適⽤される法令、通達や業界標準等に準拠して、セキュ CPS.DP-2[ヒト]・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑 CPS.AT-1

リティ事象を検知する。
L1_2_a_PEO

・遵守すべき法制度等を認識していないか、法制度に準 制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施拠した組織内のルールを遵守していない
L1_2_a_COM [モノ]し、その記録を管理する。
・個⼈情報保護法、不正競争防⽌法等の国内外の法令や、業界のガイドラインを考 CPS.GV-2

・法制度等で⼀定の保護を義務付けられている種のモノ 慮した社内ルールを策定する。
L1_2_a_SYS

が、要求される⽔準の保護を適⽤されていない[システム]

・個⼈情報保護法、不正競争防⽌法等の国内外の法令や、業界のガイドラインを考 CPS.GV-2

・法制度等で⼀定の保護を義務付けられている種のシス 慮した社内ルールを策定する。
L1_2_a_PRO

テムが、要求される⽔準の保護を適⽤されていない[プロシージャ]・個⼈情報保護法、不正競争防⽌法等の国内外の法令や、業界のガイドラインを考 CPS.GV-2

・組織内で規定されているプロシージャが関連する法規 慮した社内ルールを策定する。
L1_2_a_DAT

制等を遵守するような内容となっていない[データ]

・個⼈情報保護法、不正競争防⽌法等の国内外の法令や、業界のガイドラインを考 CPS.GV-2

・法制度等で⼀定の保護を義務付けられている種のデー 慮した社内ルールを策定する。
1_2

組織としてセキュリティイ

⾃組織のセキュリティインシデ

ンシデント発⽣時においてントにより⾃組織が適切に事業も適切に⾃組織の事業を継継続できないAll threats

タが、要求される⽔準の保護を適⽤されていない
L1_3_a_ORG [ソシキ]・セキュリティ管理責任者を任命し、セキュリティ対応組織(SOC/CSIRT)を⽴ち

CPS.AE-2

・セキュリティ事象を的確に検知するための体制が構築 上げ、組織内でセキュリティ事象を検知・分析・対応する体制を整える。
されていない・セキュリティ対応組織(SOC/CSIRT)は、組織の内部及び外部の情報源（内部テCPS.RA-2

スト、セキュリティ情報、セキュリティ研究者等）から脆弱性情報/脅威情報等を続すること

収集、分析し、対応及び活⽤するプロセスを確⽴する。
・セキュリティ事象の説明責任を果たせるよう、セキュリティ事象検知における⾃ CPS.DP-1
組織とサービスプロバイダが担う役割と負う責任を明確にする。
・監視業務では、地域毎に適⽤される法令、通達や業界標準等に準拠して、セキュ CPS.DP-2
リティ事象を検知する。
・監視業務として、セキュリティ事象を検知する機能が意図したとおりに動作する CPS.DP-3
かどうかを定期的にテストし、妥当性を検証する。
[ソシキ]・セキュリティ事象の検知プロセスを継続的に改善する。

CPS.DP-4

・セキュリティ対応組織(SOC/CSIRT)は、組織の内部及び外部の情報源（内部テCPS.RA-2

・セキュリティインシデントに的確に対応するための体 スト、セキュリティ情報、セキュリティ研究者等）から脆弱性情報/脅威情報等を制が構築されていない収集、分析し、対応及び活⽤するプロセスを確⽴する。
・セキュリティ管理責任者を任命し、セキュリティ対応組織(SOC/CSIRT)を⽴ち

CPS.AE-2

上げ、組織内でセキュリティ事象を検知・分析・対応する体制を整える。
・セキュリティインシデントへの対応から教訓を導き出し、セキュリティ運⽤プロ CPS.IM-1
セスを継続的に改善する。
・セキュリティインシデントへの対応から教訓を導き出し、事業継続計画⼜は緊急 CPS.IM-2
事対応計画を継続的に改善する。
L1_3_a_PEO[ヒト]

・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑 CPS.AT-1

・セキュリティインシデント発⽣時に適切なアクション 制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施を取ることができないし、その記録を管理する。
⾃組織の要員や、重要度の⾼い関係他組織の担当者に対する、セキュリティに係る CPS.AT-3
訓練、教育の内容を改善する。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす CPS.RP-1
るため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装する。
・⾃組織が⽣産したモノのサプライチェーン上の重要性に応じて、トレーサビリ

L1_3_a_COM [モノ]CPS.AM-2

・セキュリティインシデントにより被害を受けた⾃組織 ティ確保のための特定⽅法を定める。
の事業の範囲(製品等)を特定することができない・重要性に応じて、⽣産⽇時やその状態等について記録を作成し、⼀定期間保管す CPS.AM-3
るために⽣産活動の記録に関する内部規則を整備し、運⽤する。
・セキュリティインシデントの全容と、推測される攻撃者の意図から、⾃組織及び CPS.AN-1
関係する他組織を含む社会全体への影響を把握する。

L1_3_a_SYS[システム]

・セキュリティ事象の相関の分析及び外部の脅威情報と⽐較した分析を⾏う⼿順を CPS.AE-3

・セキュリティインシデントを適切に検知するための機 実装することで、セキュリティインシデントを正確に特定する。
器等が導⼊されていないか、あるいは正しく運⽤されて ・組織内のネットワークと広域ネットワークの接点において、ネットワーク監視・ CPS.CM-1
制御、アクセス監視・制御を実施する。

いない・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット CPS.CM-6
ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情

L1_3_a_PRO[プロシージャ]報の送受信状況について、継続的に管理する。
・セキュリティ事象の危険度の判定基準を定める。

CPS.AE-5

・⾃組織におけるセキュリティインシデントへの対応⼿ ・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす CPS.RP-1
順が策定されていない

るため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装する。
・セキュリティインシデントの全容と、推測される攻撃者の意図から、⾃組織及び CPS.AN-1
関係する他組織を含む社会全体への影響を把握する。
・セキュリティインシデント発⽣後に、デジタルフォレンジックを実施する。

CPS.AN-2

・検知されたセキュリティインシデントの情報は、セキュリティに関する影響度の CPS.AN-3
⼤⼩や侵⼊経路等で分類し、保管する。
・セキュリティインシデントによる被害の拡⼤を最⼩限に抑え、影響を低減する対 CPS.MI-1
応を⾏う。
[プロシージャ]・⾃然災害時における対応⽅針及び対応⼿順を定めている事業継続計画⼜は緊急事 CPS.RP-3

・事業継続計画にセキュリティインシデントが位置づけ 対応計画の中にセキュリティインシデントを位置づける。
られておらず、セキュリティインシデント発⽣時に⾃組 ・セキュリティインシデント発⽣後の情報公表時のルールを策定し、運⽤する。
織の事業継続に⽀障が⽣じる

CPS.CO-1

・事業継続計画⼜は緊急事対応計画の中に、セキュリティインシデントの発⽣後、 CPS.CO-2
組織に対する社会的評価の回復に取り組む点を位置づける。
・復旧活動について内部及び外部の利害関係者と役員、そして経営陣に伝達する点 CPS.CO-3
を、事業継続計画⼜は緊急事対応計画の中に位置づける。

B-1-4

添付Ｂ．第1層

#

機能

リスク源

想定される
セキュリティインシデント

脅威

脆弱性ID
L1_3_a_DAT

対策要件

脆弱性
[データ]

対策要件ID・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑 CPS.AT-1

・セキュリティインシデント発⽣時に事業を継続するた 制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施
めに必要なデータが、適切に準備されていない、⼜は準 し、その記録を管理する。
・⾃組織におけるセキュリティインシデントに関係し得る、セキュリティマネジメ CPS.AT-2
備されてるが適切に機能しない
ントにおいて重要度の⾼い関係他組織の担当者に対して、割り当てられた役割を遂⾏するための適切な訓練（トレーニング）、セキュリティ教育を実施し、その記録を管理する。
・構成要素（IoT機器、通信機器、回線等）に対し、定期的なシステムバックアッ CPS.IP-4
プを実施し、テストする。
・⾃然災害時における対応⽅針及び対応⼿順を定めている事業継続計画⼜は緊急事 CPS.RP-3
対応計画の中にセキュリティインシデントを位置づける。

⾃組織のセキュリティインシデ

All threats

L1_3_b_ORG [ソシキ]・組織内の通信ネットワーク構成図及び、データフロー図を作成し、適切に管理す CPS.AM-4

・⾃組織のモノ/システム/データのサイバー空間におけ る。

ントにより関係する他組織が適る他組織との連携状況を把握していない

切に事業継続できない・⾃組織の資産が接続している外部情報システムの⼀覧を作成し、適切に管理す

CPS.AM-5

る。
・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報 CPS.AE-1の流れを特定し、管理するプロシージャを確⽴し、実施する。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット CPS.CM-6
ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情報の送受信状況について、継続的に管理する。
・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内 CPS.CM-5
容をモニタリングする。
[ソシキ]

・⾃組織及び関係する他組織のサイバーセキュリティ上の役割と責任を定める。

・⾃組織と他組織(サプライヤー等)とのフィジカル空間 ・サプライチェーンにおいて、⾃組織が担う役割を特定し共有する。
における連携状況および責任分界を把握していない

CPS.AM-7
CPS.BE-1

・⾃組織が事業を継続する上での⾃組織及び関係する他組織における依存関係と重 CPS.BE-3
要な機能を特定する。
・⾃組織内におけるサイバーセキュリティリスクマネジメントの実施状況について CPS.RM-1
確認し、組織内の適切な関係者（例︓上級管理職）に伝達する。また、⾃組織の事
業に関係する⾃組織及び他組織（例︓業務委託先）の責任範囲を明確化し、関係する他組織によるセキュリティリスクマネジメントの実施状況を確認するプロセスをL1_3_b_PEO

確⽴し、実施する。
・サプライチェーンにおけるインシデント対応活動を確実にするために、インシデ CPS.SC-9[ヒト]・他組織のヒトが⾃組織のセキュリティ事象発⽣時に適 ント対応活動に関係する者の間で対応プロセスの整備と訓練を⾏う。
切なアクションを取ることができない・⾃組織におけるセキュリティインシデントに関係し得る、セキュリティマネジメ CPS.AT-2
ントにおいて重要度の⾼い関係他組織の担当者に対して、割り当てられた役割を遂⾏するための適切な訓練（トレーニング）、セキュリティ教育を実施し、その記録を管理する。
⾃組織の要員や、重要度の⾼い関係他組織の担当者に対する、セキュリティに係る CPS.AT-3
訓練、教育の内容を改善する。
・セキュリティ運⽤プロセスにおいて、取引先等の関係する他組織との連携につい CPS.RP-2て⼿順と役割分担を定め、運⽤する。

L1_3_b_COM [モノ]・セキュリティインシデント発⽣時に被害を受けた設備にて⽣産される等して、何 CPS.RP-4

・セキュリティ事象による被害を受けたモノ(製品)・

らかの品質上の⽋落が⽣じていることが予想されるモノ（製品）に対して適切な対サービスが⽣じる
[モノ]

応を⾏う。
・⾃組織が⽣産したモノのサプライチェーン上の重要性に応じて、トレーサビリ

CPS.AM-2

・⾃組織が提供する/されるモノ(製品)に関する記録(例: ティ確保のための特定⽅法を定める。
製造⽇/識別ナンバー/提供先)が保持されていない・重要性に応じて、⽣産⽇時やその状態等について記録を作成し、⼀定期間保管す CPS.AM-3[プロシージャ]・関係する他組織への影響を含めてセキュリティ事象がもたらす影響を特定する。 CPS.AE-4

るために⽣産活動の記録に関する内部規則を整備し、運⽤する。
L1_3_b_PRO

・関係する他組織と連携したセキュリティ事象対応⼿順が策定されていない・セキュリティ運⽤プロセスにおいて、取引先等の関係する他組織との連携につい CPS.RP-2て⼿順と役割分担を定め、運⽤する。

All threats

関係する他組織のセキュリティ

L1_3_c_ORG[ソシキ]

・組織内の通信ネットワーク構成図及び、データフロー図を作成し、適切に管理す CPS.AM-4

・⾃組織のモノ/システム/データのサイバー空間におけ る。

インシデントにより⾃組織が適る他組織との連携状況を把握していない

切に事業継続できない・⾃組織の資産が接続している外部情報システムの⼀覧を作成し、適切に管理す

CPS.AM-5

る。
・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報 CPS.AE-1の流れを特定し、管理するプロシージャを確⽴し、実施する。
・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内 CPS.CM-5
容をモニタリングする。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット CPS.CM-6
ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情[ソシキ]報の送受信状況について、継続的に管理する。
・⾃組織及び関係する他組織のサイバーセキュリティ上の役割と責任を定める。

・⾃組織と他組織(サプライヤー等)とのフィジカル空間 ・サプライチェーンにおいて、⾃組織が担う役割を特定し共有する。
における連携状況および責任分界を把握していない

CPS.AM-7
CPS.BE-1

・⾃組織が事業を継続する上での⾃組織及び関係する他組織における依存関係と重 CPS.BE-3
要な機能を特定する。
・⾃組織内におけるサイバーセキュリティリスクマネジメントの実施状況について CPS.RM-1
確認し、組織内の適切な関係者（例︓上級管理職）に伝達する。また、⾃組織の事
業に関係する⾃組織及び他組織（例︓業務委託先）の責任範囲を明確化し、関係する他組織によるセキュリティリスクマネジメントの実施状況を確認するプロセスをL1_3_c_PEO

確⽴し、実施する。
・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑 CPS.AT-1[ヒト]・⾃組織のヒトが他組織のセキュリティ事象発⽣時に適 制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施
切なアクションを取ることができないし、その記録を管理する。
⾃組織の要員や、重要度の⾼い関係他組織の担当者に対する、セキュリティに係る CPS.AT-3
訓練、教育の内容を改善する。
・セキュリティ運⽤プロセスにおいて、取引先等の関係する他組織との連携につい CPS.RP-2て⼿順と役割分担を定め、運⽤する。

L1_3_c_PRO[プロシージャ]・セキュリティ運⽤プロセスにおいて、取引先等の関係する他組織との連携につい CPS.RP-2

・関係する他組織と連携したセキュリティ事象対応⼿順 て⼿順と役割分担を定め、運⽤する。
1_3

が策定されていない

フィジカル空間での製品・製品・サービスの提供チャネル

・悪意を持った⾃組織内外のヒトによる L1_1_d_ORG [ソシキ]サービスが、望まれる品質

でセキュリティ事象が発⽣し、不正改ざんを備えて⼊荷⼜は出荷され機器の破損等の意図しない品質

・正規の機器を模した偽造品の挿⼊ること劣化が⽣じる・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3

・製品・サービスを調達する際、それが信頼できるもの ⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
かを確認していない

ネジメントが適合していることを確認する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-4
⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適 CPS.SC-7
合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す CPS.SC-8
るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰でL1_1_d_PEO[ヒト]

きるようにする。
・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑 CPS.AT-1

・⾃組織の調達に関わる要員が、調達に係るセキュリ

制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施

ティリスクを⼗分に認識していない。
L1_1_d_COM [モノ]し、その記録を管理する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-4

・調達する製品・サービスが⼗分な物理的保護を実施さ ⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・れていないサービスが適合していることを確認する。
・保護すべき情報を扱う、あるいは⾃組織にとって重要な機能を有する機器を調達 CPS.DS-8
する場合、耐タンパーデバイスを利⽤する。

L1_1_d_PRO[プロシージャ]・送受信・保管する情報に完全性チェックメカニズムを使⽤する。

CPS.DS-11

・製品・サービスの調達時に、調達品の適格性を確認す ・ハードウェアの完全性を検証するために完全性チェックメカニズムを使⽤する。 CPS.DS-12
るプロシージャが存在しない
・IoT機器やソフトウェアが正規品であることを定期的（起動時等）に確認する。 CPS.DS-13

B-1-5

添付Ｂ．第2層■第2層における機能／想定されるセキュリティインシデント／リスク源／対策要件
#
2_共通

機能

想定される

リスク源
脅威

セキュリティインシデント

脆弱性ID

対策要件

脆弱性

下記機能の双⽅脆弱性を悪⽤してIoT機器内部に ・攻撃ツール等を利⽤したIoT機器における L2_1_a_ORG [ソシキ]・フィジカル空間の物理事象を読み取

不正アクセスされ、事前に想定

セキュリティ上の脆弱性を利⽤したマル

り、⼀定のルールに基づいて、デジタされていない動作をする

ウェア感染・システムを構成するハードウェア、ソフトウェア及びその管理情報（例︓名称、対策要件ID
CPS.AM-1

・情報システムや産業⽤制御システムに接続している⾃ バージョン、ネットワークアドレス、管理責任者、ライセンス情報）の⼀覧を作成
組織のIoT機器のセキュリティ対策状況(ソフトウェア構 し、適切に管理する。
成情報、パッチ適⽤状況等)を把握できていない

ル情報へ変換し、サイバー空間へ送る

・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセスを CPS.IP-1
導⼊し、運⽤する。

機能
・サイバー空間から受け取ったデータに基づいて、⼀定のルールに基づい

・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

CPS.IP-2

・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット

CPS.CM-6

ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情て、モノを制御したり、データを可視化したりする機能[ソシキ]

報の送受信状況について、継続的に管理する。
・セキュリティ対応組織(SOC/CSIRT)は、組織の内部及び外部の情報源（内部テス CPS.RA-2

・利⽤しているIoT機器に関わる脆弱性情報、脅威情報

ト、セキュリティ情報、セキュリティ研究者等）から脆弱性情報/脅威情報等を収を収集・分析し、適切に対応していない。

集、分析し、対応及び活⽤するプロセスを確⽴する。
・セキュリティインシデントへの対応、内部及び外部からの攻撃に関する監視／測CPS.IP-7

定／評価結果から教訓を導き出し、資産を保護するプロセスを改善する。
・保護技術の有効性について、適切なパートナーとの間で情報を共有する。

CPS.IP-8

・脆弱性修正措置計画を作成し、計画に沿って構成要素の脆弱性を修正する。

CPS.IP-10

・IoT機器、サーバ等のセキュリティ上重要なアップデート等を、必要なタイミング CPS.MA-1に管理されたツールを利⽤して適切に履歴を記録しつつ実施する。
・可能であれば、遠隔地からの操作によってソフトウェア（OS、ドライバ、アプリ
ケーション）を⼀括して更新するリモートアップデートの仕組みを備えたIoT機器を導⼊する。
・可能であれば、遠隔地からの操作によってソフトウェア（OS、ドライバ、アプリ CPS.MA-1
ケーション）を⼀括して更新するリモートアップデートの仕組みを備えたIoT機器を導⼊する。
・⾃組織のIoT機器、サーバ等に対する遠隔保守を、適⽤先のモノ、システムのオー CPS.MA-2
ナー部⾨による承認を得て、ログを記録し、不正アクセスを防げる形で実施する。
L2_1_a_COM [モノ]・IoT機器及びIoT機器を含んだシステムの企画・設計の段階から、受容できない既 CPS.RA-4

・利⽤しているIoT機器が⼗分なセキュリティ機能を実知のセキュリティリスクの有無を、セーフティに関するハザードの観点も踏まえて装していない確認する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階におけるアセスメント CPS.RA-6
にて判明したセキュリティ及び関連するセーフティのリスクに対して適宜対応する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、CPS.SC-4

⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。
・計測の可⽤性、完全性保護によるセンシングデータの信頼性確保のために、計測

CPS.DS-15

セキュリティの観点が考慮された製品を利⽤する。
L2_1_a_PRO [プロシージャ]・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、CPS.SC-4・調達時に、適切なレベルのセキュリティ機能が実装さ ⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・れているかを確認するプロシージャがない

サービスが適合していることを確認する。
・計測の可⽤性、完全性保護によるセンシングデータの信頼性確保のために、計測

CPS.DS-15

セキュリティの観点が考慮された製品を利⽤する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階から、受容できない既 CPS.RA-4
知のセキュリティリスクの有無を、セーフティに関するハザードの観点も踏まえて確認する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階におけるアセスメント CPS.RA-6
にて判明したセキュリティ及び関連するセーフティのリスクに対して適宜対応す[プロシージャ]る。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす

・IoT機器の誤動作を検知した後の対応⼿順が定義されるため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セていない

キュリティ運⽤プロセス）をあらかじめ定義し、実装する。
・セキュリティインシデントを適切に検知するため、監査記録／ログ記録の対象を・ネットワークの適正利⽤を確認していない

決定、⽂書化し、そうした記録を実施して、レビューする。

正規のユーザーになりすまして・窃取したID等を利⽤した正規ホストへの L2_1_b_ORG [ソシキ]IoT機器内部に不正アクセスさ

なりすまし

れ、事前に想定されていない動・セキュリティが実装されていない脆弱な作をするプロトコルを悪⽤した不正アクセス

・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報

CPS.RP-1

CPS.PT-1
CPS.AE-1の流れを特定し、管理するプロシージャを確⽴し、実施する。
・組織内のネットワークと広域ネットワークの接点において、ネットワーク監視・

CPS.CM-1

制御、アクセス監視・制御を実施する。
L2_1_b_COM [モノ]・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセスを CPS.IP-1

・セキュリティの観点において強度が⼗分でない設定

導⼊し、運⽤する。

(パスワード、ポート等)がなされている

・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリアル CPS.PT-2
ポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を必要

L2_1_b_SYS[システム]

最⼩限とする。
・⼀定回数以上のログイン認証失敗によるロックアウトや、安全性が確保できるま・通信相⼿に対するアクセス制御が⼗分でないで再ログインの間隔をあける機能を実装する等により、IoT機器、サーバ等に対する不正ログインを防ぐ。
・データフロー制御ポリシーを定め、それに従って適宜ネットワークを分離する

CPS.AC-4

CPS.AC-7（例︓開発・テスト環境と実運⽤環境、IoT機器を含む環境と組織内の他の環境）等
してネットワークの完全性を保護する。
・IoT機器、サーバ等が実施する通信は、適切な⼿順で識別されたエンティティ（ヒ CPS.AC-8
ト／モノ／システム等）との通信に限定する。
・IoT機器やユーザーによる構成要素（モノ／システム等）への論理的なアクセス

CPS.AC-9を、取引のリスク（個⼈のセキュリティ、プライバシーのリスク及びその他の組織
L2_1_b_PRO [プロシージャ]

遠隔からIoT機器を管理するシス ・システムにおけるセキュリティ上の脆弱
器に不正な⼊⼒をされ、事前に・窃取したID、パスワード等を利⽤した正想定されていない動作をする。

規ユーザへのなりすまし・IoT機器を管理するシステムからIoT機器への不正なコマンド送信・IoT機器のセキュリティ設定⼿順が定められていない

導⼊し、運⽤する。

[プロシージャ]・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす

・IoT機器の誤動作を検知した後の対応⼿順が定義されるため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セていないL2_1_c_ORG [ソシキ]・IoT機器を管理するシステムのセキュリティ対策状況

テムに不正アクセスされ、IoT機 性を利⽤したマルウェア感染

的なリスク）に⾒合う形で認証・認可する。
・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセスを CPS.IP-1

キュリティ運⽤プロセス）をあらかじめ定義し、実装する。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット

CPS.RP-1

CPS.CM-6

ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情(ソフトウェア構成情報、パッチ適⽤状況等)を把握でき 報の送受信状況について、継続的に管理する。
L2_1_c_SYSていない[システム]

・職務及び責任範囲（例︓ユーザー／システム管理者)を適切に分離する 。

・システム管理権限に対するアクセス制御が⼗分でない ・特権を持つユーザーのシステムへのネットワーク経由でのログインに対して、想CPS.AC-5
CPS.AC-6

定されるリスクも考慮して、信頼性の⾼い認証⽅式（例︓⼆つ以上の認証機能を組[システム]

み合わせた多要素認証）を採⽤する。
・セキュリティ対応組織(SOC/CSIRT)は、組織の内部及び外部の情報源（内部テス CPS.RA-2

・システムにおいて対処すべき脆弱性が適切に対処され ト、セキュリティ情報、セキュリティ研究者等）から脆弱性情報/脅威情報等を収ていない集、分析し、対応及び活⽤するプロセスを確⽴する。
・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

CPS.IP-2

・IoT機器、サーバ等のセキュリティ上重要なアップデート等を、必要なタイミング CPS.MA-1に管理されたツールを利⽤して適切に履歴を記録しつつ実施する。
・可能であれば、遠隔地からの操作によってソフトウェア（OS、ドライバ、アプリ CPS.MA-1
ケーション）を⼀括して更新するリモートアップデートの仕組みを備えたIoT機器を導⼊する。
・⾃組織のIoT機器、サーバ等に対する遠隔保守を、適⽤先のモノ、システムのオー CPS.MA-2
ナー部⾨による承認を得て、ログを記録し、不正アクセスを防げる形で実施する。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット

CPS.CM-6

ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情報の送受信状況について、継続的に管理する。
・⾃組織の管理しているIoT機器、サーバ等に対して、定期的に対処が必要な脆弱性 CPS.CM-7の有無を確認する。
[プロシージャ]・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす

・IoT機器の誤動作を検知した後の対応⼿順が定義されるため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セていない

キュリティ運⽤プロセス）をあらかじめ定義し、実装する。

B-2-1

CPS.RP-1

添付Ｂ．第2層

#

機能

想定される

リスク源
脅威

セキュリティインシデント

脆弱性ID

対策要件

脆弱性

サービス拒否攻撃等により、IoT ・IoTシステムを構成するIoT機器、通信機 L2_1_d_SYS[システム]

機器や通信機器等の機能が停⽌・IoT機器を含むシステムに⼗分なリソース(処理能⼒、 撃による影響を最⼩限にできるよう、構成要素において⼗分なリソース（例:ヒト、器等に対するサービス拒否攻撃

通信帯域、ストレージ容量)が確保されていない

する・サービス拒否攻撃等のサイバー攻撃を受けた場合でも、資産を適切に保護し、攻対策要件ID
CPS.DS-6

モト、システム）を確保する。
・IoT機器、通信機器、回線等に対し、定期的な品質管理、予備機や無停電電源装置 CPS.DS-7の確保、冗⻑化、故障の検知、交換作業、ソフトウェアの更新を⾏う。
・構成要素（IoT機器、通信機器、回線等）に対し、定期的なシステムバックアップ CPS.IP-4を実施し、テストする。

2_1

サイバー空間から受け取ったデータに正常動作・異常動作に関わら・不正なエンティティによるコマンドイン

基づいて、⼀定のルールに基づいて、ず、安全に⽀障をきたすような

ジェクション攻撃

モノを制御したり、データを可視化し動作をする

・サイバー空間からの許容範囲外のインたりする機能[プロシージャ]・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす

・IoT機器の停⽌を検知した後の対応⼿順が定義されてるため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セいないL2_2_a_ORG [ソシキ]CPS.RP-1

キュリティ運⽤プロセス）をあらかじめ定義し、実装する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階から、受容できない既 CPS.RA-4

・機器を調達する際、安全性を実装しているかを確認し 知のセキュリティリスクの有無を、セーフティに関するハザードの観点も踏まえてていない

プットデータ

確認する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、CPS.SC-4

⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・・マルウェアによる制御信号の改ざん

サービスが適合していることを確認する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適

CPS.SC-7

合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す

CPS.SC-8

るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰でL2_2_a_COM [モノ]・インプットされたデータを検証する仕組みが無い

きるようにする。
・ネットワークにつながることを踏まえた安全性を実装するIoT機器を導⼊する。

CPS.PT-3

・指⽰された動作内容と実際の動作結果を⽐較して、異常の検知や動作の停⽌を⾏

CPS.CM-3

うIoT機器を導⼊する。
・サイバー空間から受ける情報が悪質なコードを含んでおらず、許容範囲内である

L2_2_a_SYS[システム]

ことを動作前に検証する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階から、受容できない既 CPS.RA-4

・稼動するシステムとして、安全計装が考慮されていな 知のセキュリティリスクの有無を、セーフティに関するハザードの観点も踏まえて
い。

確認する。
・リスクアセスメントに基づき、発⽣し得るセキュリティリスクに対する対応策の

CPS.RA-6

内容を明確に定め、対応の範囲や優先順位を整理した結果を⽂書化する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階におけるアセスメント
にて判明したセキュリティ及び関連するセーフティのリスクに対して適宜対応す
L2_2_a_PRO [プロシージャ]る。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす

CPS.RP-1

・安全に⽀障をきたしうる機器等の兆候を発⾒した際の るため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セ2_2

フィジカル空間の物理事象を読み取

データがIoT機器・サイバー空間 ・通信系路上でデータを改ざんする中間者

り、⼀定のルールに基づいて、デジタ間の通信路上で改ざんされる

プロシージャが定められていない
L2_3_a_ORG [ソシキ]キュリティ運⽤プロセス）をあらかじめ定義し、実装する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、CPS.SC-4

・機器を調達する際、改ざん検知機能及び改ざん防⽌機 ⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・攻撃等

能を実装しているかを確認していない

ル情報へ変換し、サイバー空間へ送る機能

サービスが適合していることを確認する。
・計測の可⽤性、完全性保護によるセンシングデータの信頼性確保のために、計測

CPS.DS-15

セキュリティの観点が考慮された製品を利⽤する。

(監視が⾏き届かない場所に設置 ・盗難等により不正な改造を施されたIoT機 L2_3_b_ORG [ソシキ]された機器の運⽤中、あるいはている機器の状態を把握できていない

廃棄後の盗難等の後)改ざんされ ・悪意を持った⾃組織内外のヒトによる不たIoT機器がネットワーク接続さ 正改ざん
れ、故障や正確でないデータの・システムを構成するハードウェア、ソフトウェア及びその管理情報（例︓名称、CPS.AM-1

・⾃組織の情報システムや産業⽤制御システムに接続し バージョン、ネットワークアドレス、管理責任者、ライセンス情報）の⼀覧を作成

器によるネットワーク接続

し、適切に管理する。
・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセスを CPS.IP-1
導⼊し、運⽤する。

・センサーの測定値、閾値、設定の改ざん・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット

送信等が発⽣する

CPS.CM-6

ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情
L2_3_b_PEO [ヒト]報の送受信状況について、継続的に管理する。
・取引先等の関係する他組織の要員の内、⾃組織から委託する業務に関わる者に対

CPS.SC-5

・⾃組織内外のヒトによるIoT機器に対する物理的な不するセキュリティ上の要求事項を策定し、運⽤する。

正⾏為を防げない・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監視カ CPS.AC-2
メラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。
・IoT機器、サーバ等の重要性を考慮し、適切な物理的アクセスの設定及び記録、監 CPS.CM-2
視を実施する。

L2_3_b_COM [モノ]・保護すべき情報を扱う、あるいは⾃組織にとって重要な機能を有する機器を調達

CPS.DS-8

・利⽤している機器に耐タンパー性がなく、物理的な改 する場合、耐タンパーデバイスを利⽤する。
L2_3_b_SYS

ざんを防げない[システム]

・IoT機器、サーバ等にて稼働するソフトウェアの完全性を組織が定めるタイミング CPS.DS-10

・定期的に接続機器の完全性を検証していないで検証し、不正なソフトウェアの起動を防⽌する。

[システム]・ハードウェアの完全性を検証するために完全性チェックメカニズムを使⽤する。

CPS.DS-12

・システムを構成するハードウェア、ソフトウェア及びその管理情報（例︓名称、CPS.AM-1

・不正な機器がネットワークに接続されたことを適切に バージョン、ネットワークアドレス、管理責任者、ライセンス情報）の⼀覧を作成
検知できない。

し、適切に管理する。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット

CPS.CM-6

ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情[システム]

報の送受信状況について、継続的に管理する。
・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監視カ CPS.AC-2

・IoT機器設置エリアのアクセス制御や監視等の物理的メラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

セキュリティ対策を実施していない

・無停電電源装置、防⽕設備の確保、浸⽔からの保護等、⾃組織のIoT機器、サーバ CPS.IP-5等の物理的な動作環境に関するポリシーや規則を満たすよう物理的な対策を実施する。
・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリアル CPS.PT-2
ポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を必要最⼩限とする。
・IoT機器、サーバ等の重要性を考慮し、適切な物理的アクセスの設定及び記録、監 CPS.CM-2
視を実施する。

L2_3_b_DAT [データ]・IoT機器の廃棄時に、データを削除（⼜は読み取りで品質や信頼性の低いIoT機器がきない状態に）する⼿順がない
・品質や信頼性の低いIoT機器のネットワー L2_3_c_ORG [ソシキ]ネットワーク接続され、故障やク接続

正確でないデータの送信、想定・正規の機器を模した偽造品の挿⼊

・IoT機器、サーバ等の廃棄時には、内部に保存されているデータ及び、正規IoT機 CPS.IP-6
器、サーバ等を⼀意に識別するID（識別⼦）や重要情報（秘密鍵、電⼦証明書等）
を削除⼜は読み取りできない状態にする。
・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす

・IoT機器を調達する際、調達製品が信頼できるものか

組織やヒトを特定し、優先付けをし、評価する。

を確認していない

・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、CPS.SC-2
CPS.SC-3

⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ

していない通信先へのデータ送ネジメントが適合していることを確認する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、信等が発⽣する

CPS.SC-4

⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため

CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適

CPS.SC-7

合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す

CPS.SC-8

るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰で[ソシキ]
・運⽤時にIoT機器やソフトウェアが正規品である（改ざんされていない）ことを確認していない

B-2-2

きるようにする。
・IoT機器やソフトウェアが正規品であることを定期的（起動時等）に確認する。

CPS.DS-13

添付Ｂ．第2層

#

機能

想定される
セキュリティインシデント

リスク源
脅威

脆弱性ID
L2_3_c_SYS

対策要件

脆弱性
[システム]

対策要件ID・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監視カ CPS.AC-2

・不正な機器によるネットワーク接続（有線あるいは無 メラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。
線）を防⽌できない

・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

CPS.AC-3

・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット

CPS.CM-6

ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情[システム]

報の送受信状況について、継続的に管理する。
・⾃組織外への不適切な通信を防ぐため、保護すべき情報を⾃組織外へ送信する通CPS.DS-9

・組織外部への不正な通信を適切に検知し、遮断する等 信を適切に制御する。
の対応ができない

・組織内のネットワークと広域ネットワークの接点において、ネットワーク監視・

CPS.CM-1

制御、アクセス監視・制御を実施する。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット

CPS.CM-6

ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情[システム]

報の送受信状況について、継続的に管理する。
・承認されたモノとヒト及びプロシージャの識別情報と認証情報を発効、管理、確

CPS.AC-1

・サイバー空間および正規の機器に接続する機器が正規 認、取消、監査するプロシージャを確⽴し、実施する。

L2_3_c_PROのものかを確認する仕組みが実装されていない

・IoT機器やソフトウェアが正規品であることを定期的（起動時等）に確認する。

CPS.DS-13
CPS.SC-4[プロシージャ]・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、・IoT機器を調達する際に、調達製品が信頼できるもの

⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・かを確認するプロシージャがない

サービスが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため

CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適

CPS.SC-7

合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す

CPS.SC-8

るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰で計測機能に対する物理的な不正・悪意を持った⾃組織内外のヒトによる計⾏為により、正確でないデータ

測機能に対する不正⾏為

L2_3_d_ORG [ソシキ]の送信等が発⽣する

きるようにする。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、・IoT機器を調達する際、調達製品が計測セキュリティ

⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・を考慮しているものかを確認していない

サービスが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため

CPS.SC-4

CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・計測の可⽤性、完全性保護によるセンシングデータの信頼性確保のために、計測

CPS.DS-15

セキュリティの観点が考慮された製品を利⽤する。
L2_3_d_SYS[システム]

・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監視カ CPS.AC-2

・IoT機器設置エリアのアクセス制御や監視等の物理的メラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

セキュリティ対策を実施していない

・無停電電源装置、防⽕設備の確保、浸⽔からの保護等、⾃組織のIoT機器、サーバ CPS.IP-5等の物理的な動作環境に関するポリシーや規則を満たすよう物理的な対策を実施する。
・IoT機器、サーバ等の重要性を考慮し、適切な物理的アクセスの設定及び記録、監 CPS.CM-2
視を実施する。

B-2-3

添付Ｂ 第3層■第3層における機能／想定されるセキュリティインシデント／リスク源／対策要件
#
3_共通

リスク源

想定される

機能

脅威

セキュリティインシデント

脆弱性ID

対策要件

脆弱性

下記すべてに関わるサービス拒否攻撃により、関係・システムを構成するサーバ等の電算機 L3_3_b_ORG [ソシキ]・データを加⼯・分析する機能

する他組織における⾃組織の器、通信機器等に対するサービス拒否攻・データを保管する機能

データを取り扱うシステムが停撃

・データを送受信する機能

⽌する・妨害電波の発信対策要件ID・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす CPS.SC-2

・データの収集先、加⼯・分析等の依頼先の組織の信頼 組織やヒトを特定し、優先付けをし、評価する。
を契約前、契約後に確認していない

・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3
⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
ネジメントが適合していることを確認する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-4
⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適 CPS.SC-7
合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す CPS.SC-8
るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰できるようにする。

攻撃の有無に関わらず、データ・品質や信頼性の低いシステムによるを取り扱うシステムが停⽌する

サービス提供L3_3_c_ORG[ソシキ]

・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす CPS.SC-2

・サービスサプライヤーに対して、組織、システム等の 組織やヒトを特定し、優先付けをし、評価する。
信頼性を契約前、契約後に確認していない

・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3
⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
ネジメントが適合していることを確認する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-4
⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適 CPS.SC-7
合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す CPS.SC-8
るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰できるようにする。

L3_3_c_SYS[システム]

・サービス拒否攻撃等のサイバー攻撃を受けた場合でも、資産を適切に保護し、攻 CPS.DS-6

・IoT機器を含むシステムに⼗分なリソース(処理能⼒、 撃による影響を最⼩限にできるよう、構成要素において⼗分なリソース（例:ヒト、通信帯域、ストレージ容量)が確保されていない

モト、システム）を確保する。
・IoT機器、通信機器、回線等に対し、定期的な品質管理、予備機や無停電電源装

CPS.DS-7置の確保、冗⻑化、故障の検知、交換作業、ソフトウェアの更新を⾏う。
・構成要素（IoT機器、通信機器、回線等）に対し、定期的なシステムバックアッ

CPS.IP-4

プを実施し、テストする。

サイバー空間におけるデータ保・データ保管システムにおけるセキュリ L3_4_a_ORG [ソシキ]護を規定する法規制等への違反

ティ上の脆弱性を利⽤したマルウェア感

が発⽣する

染
・データ保管エリアに対する不正なエンでないソースに関わる組織やヒトに伝達する。

[ソシキ]

・各種法令や関係組織間だけで共有するデータの扱いに関する取決め等によって要 CPS.GV-3

・対応が必要なデータ保護に関する法規制等を⼗分に認 求されるデータの保護の⽔準を的確に把握し、それぞれの要求を踏まえたデータのティティの物理的な侵⼊・窃取したID、パスワード等を利⽤した正規ユーザへのなりすまし・リソース（例︓モノ、データ、システム）を、機能、重要度、ビジネス上の価値 CPS.AM-6

・保護すべきデータの管理に関する組織内の責任が明確 に基づいて分類、優先順位付けし、管理責任を明確にした上で、業務上それらのリL3_4_a_PEO

識してない

区分⽅法を整備し、ライフサイクル全体に渡って区分に応じた適切なデータの保護

[ヒト]

を⾏う。
・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑 CPS.AT-1

・⾃組織の保護すべきデータのセキュリティ上の扱いに 制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施
ついて、関係者が⼗分に認識していない

し、その記録を管理する。
⾃組織の要員や、重要度の⾼い関係他組織の担当者に対する、セキュリティに係る CPS.AT-3
訓練、教育の内容を改善する。

L3_4_a_PRO[プロシージャ]・各種法令や関係組織間だけで共有するデータの扱いに関する取決め等によって要 CPS.GV-3

・データの取り扱いについて、必要なプロシージャを規 求されるデータの保護の⽔準を的確に把握し、それぞれの要求を踏まえたデータの定していない区分⽅法を整備し、ライフサイクル全体に渡って区分に応じた適切なデータの保護[プロシージャ]を⾏う。
・データの取得元、加⼯履歴等をライフサイクルの全体に渡って維持・更新・管理 CPS.DS-14

・データの取り扱いについて、必要なプロシージャを満 する。
たしているかを確認していない
L3_4_a_DAT[データ]

・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3

・複数の組織、システム等に個⼈情報等が分散して所在 ⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
している

ネジメントが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。

[データ]

・組織間で保護すべき情報を交換する場合、当該情報の保護に係るセキュリティ要 CPS.DS-1

⾃組織で扱うデータが保護が必要な特定の種類のデータ 件について、事前に組織間で取り決める。
であることが識別されていない

⼀部の関係者だけで共有する秘・データ保管システムにおけるセキュリ L3_4_b_ORG [ソシキ]

匿性の⾼いデータのセキュリ

ティ上の脆弱性を利⽤したマルウェア感

ティ要求が設定・対応されてい染ない

・データ保管エリアに対する不正なエンティティの物理的な侵⼊・各種法令や関係組織間だけで共有するデータの扱いに関する取決め等によって要 CPS.GV-3

・対応が必要なデータ保護に関する法規制等を⼗分に認 求されるデータの保護の⽔準を的確に把握し、それぞれの要求を踏まえたデータの識してない区分⽅法を整備し、ライフサイクル全体に渡って区分に応じた適切なデータの保護を⾏う。

L3_4_b_PEO[ヒト]

・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑 CPS.AT-1

・⾃組織の保護すべきデータのセキュリティ上の扱いに 制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施

・正規ユーザによる内部不正

ついて、関係者が⼗分に認識していない・窃取したID、パスワード等を利⽤しし、その記録を管理する。
⾃組織の要員や、重要度の⾼い関係他組織の担当者に対する、セキュリティに係る CPS.AT-3

た正規ユーザへのなりすまし

訓練、教育の内容を改善する。
L3_4_b_PRO[プロシージャ]・各種法令や関係組織間だけで共有するデータの扱いに関する取決め等によって要 CPS.GV-3

・データの取り扱いについて、必要なプロシージャを規 求されるデータの保護の⽔準を的確に把握し、それぞれの要求を踏まえたデータの定していない区分⽅法を整備し、ライフサイクル全体に渡って区分に応じた適切なデータの保護[プロシージャ]を⾏う。
・データの取得元、加⼯履歴等をライフサイクルの全体に渡って維持・更新・管理 CPS.DS-14

・データの取り扱いについて、必要なプロシージャを満 する。
たしているかを確認していない
L3_4_b_SYS[システム]

・データフロー制御ポリシーを定め、それに従って適宜ネットワークを分離する

CPS.AC-7

・データを扱うシステムにおいてデータの秘匿性に応じ （例︓開発・テスト環境と実運⽤環境、IoT機器を含む環境と組織内の他の環境）た設計がなされていない

等してネットワークの完全性を保護する。
・IoT機器やユーザーによる構成要素（モノ／システム等）への論理的なアクセス

CPS.AC-9を、取引のリスク（個⼈のセキュリティ、プライバシーのリスク及びその他の組織的なリスク）に⾒合う形で認証・認可する。
・情報を適切な強度の⽅式で暗号化して保管する。
L3_4_b_DAT[データ]

CPS.DS-2

・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3

・複数の組織、システム等に個⼈情報等が分散して所在 ⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
している

ネジメントが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。

[データ]

・組織間で保護すべき情報を交換する場合、当該情報の保護に係るセキュリティ要 CPS.DS-1

⾃組織で扱うデータが保護が必要な特定の種類のデータ 件について、事前に組織間で取り決める。
であることが識別されていない
3_1

データを加⼯・分析する機能

関係する他組織で管理している・他組織の管理するデータ加⼯・分析シ L3_1_b_ORG [ソシキ]織の保護すべきデータが漏洩すを利⽤したマルウェア感染る

・他組織の管理するデータ加⼯・分析エ

・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす CPS.SC-2

・データを加⼯・分析する組織、システム等の安全性・ 組織やヒトを特定し、優先付けをし、評価する。

(データ加⼯・分析)領域から⾃組 ステムにおけるセキュリティ上の脆弱性

信頼性を契約前、契約後に確認していない

・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3
⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
ネジメントが適合していることを確認する。

リアに対する不正なエンティティの物理・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-4

的な侵⼊

⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・・窃取したID、パスワード等を利⽤しサービスが適合していることを確認する。

た正規ユーザへのなりすまし・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6

・他組織のエンティティによる保護すべに、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。

きデータの適切でない持出⾏為・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適 CPS.SC-7
合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す CPS.SC-8
るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰できるようにする。
L3_1_b_PEO[ヒト]・取引先等の関係する他組織の要員の内、⾃組織から委託する業務に関わる者に対 CPS.SC-5

・データの加⼯・分析を委託する組織における要員の信 するセキュリティ上の要求事項を策定し、運⽤する。
頼性を契約前、契約後に確認していない

B-3-1

添付Ｂ 第3層

#

機能

リスク源

想定される
脅威

セキュリティインシデント

脆弱性ID
L3_1_b_DAT

対策要件

脆弱性
[データ]

対策要件ID

・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3

・セキュリティ⽔準が統⼀されていない複数の組織、シ ⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
ステム等に⾃組織の保護すべき情報が分散して所在して ネジメントが適合していることを確認する。
いる・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。

データ加⼯・分析システムが誤・データ加⼯・分析システムにおけるセ L3_3_d_ORG [ソシキ]動作することで、適切でない分

キュリティ上の脆弱性を利⽤したマル

析結果が出⼒される

ウェア感染

・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす CPS.SC-2

・データを加⼯・分析する組織、システム等の安全性・ 組織やヒトを特定し、優先付けをし、評価する。
信頼性を契約前、契約後に確認していない

・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3
⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ

・データ加⼯・分析システムに対する攻ネジメントが適合していることを確認する。

撃コードを含んだ許容範囲外のインプッ・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-4

トデータ

⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適 CPS.SC-7
合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す CPS.SC-8
るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰できるようにする。
L3_3_d_SYS[システム]

・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセス

CPS.IP-1

・データを加⼯・分析するシステムにおいて、セキュア を導⼊し、運⽤する。
でない設定がなされている

・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリア

CPS.PT-2

ルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を
必要最⼩限とする。
[システム]

・セキュリティ対応組織(SOC/CSIRT)は、組織の内部及び外部の情報源（内部テス CPS.RA-2

・データを加⼯・分析するシステムにおいて、対処すべ ト、セキュリティ情報、セキュリティ研究者等）から脆弱性情報/脅威情報等を収き脆弱性が放置されている集、分析し、対応及び活⽤するプロセスを確⽴する。
・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

CPS.IP-2

・脆弱性修正措置計画を作成し、計画に沿って構成要素の脆弱性を修正する。

CPS.IP-10

・IoT機器、サーバ等のセキュリティ上重要なアップデート等を、必要なタイミン

CPS.MA-1

グに管理されたツールを利⽤して適切に履歴を記録しつつ実施する。
・⾃組織のIoT機器、サーバ等に対する遠隔保守を、適⽤先のモノ、システムのCPS.MA-2

オーナー部⾨による承認を得て、ログを記録し、不正アクセスを防げる形で実施する。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット CPS.CM-6
ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情報の送受信状況について、継続的に管理する。
・⾃組織の管理しているIoT機器、サーバ等に対して、定期的に対処が必要な脆弱

CPS.CM-7性の有無を確認する。
[システム]

・情報を適切な強度の⽅式で暗号化して保管する。

CPS.DS-2

・システム上でデータが⼗分に保護されていない

・IoT機器、サーバ等の間、サイバー空間で通信が⾏われる際、通信経路を暗号化

CPS.DS-3する。
・情報を送受信する際に、情報そのものを暗号化して送受信する。

CPS.DS-4[システム]

・指⽰された動作内容と実際の動作結果を⽐較して、異常の検知や動作の停⽌を⾏ CPS.CM-3

インプットとなるデータを⼗分に確認していない

うIoT機器を導⼊する。
・サイバー空間から受ける情報が悪質なコードを含んでおらず、許容範囲内であることを動作前に検証する。
・サイバー空間から受ける情報の完全性及び真正性を動作前に確認する。

[システム]CPS.CM-4

・セキュリティインシデントを適切に検知するため、監査記録／ログ記録の対象を CPS.PT-1

・早期にセキュリティ上の異常を素早く検知し、対処す 決定、⽂書化し、そうした記録を実施して、レビューする。
るような仕組みがシステムに実装されていない

・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報 CPS.AE-1の流れを特定し、管理するプロシージャを確⽴し、実施する。
・組織内のネットワークと広域ネットワークの接点において、ネットワーク監視・ CPS.CM-1
制御、アクセス監視・制御を実施する。
・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内 CPS.CM-5
容をモニタリングする。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす CPS.RP-1
るため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装する。

3_2

データを保管する機能

⾃組織で管理している(データ保 ・他組織の管理するデータ保管システム L3_1_a_ORG [ソシキ]
護すべきデータが漏洩する・リソース（例︓モノ、データ、システム）を、機能、重要度、ビジネス上の価値 CPS.AM-6

・保護すべきデータの管理に関する組織内の責任が明確 に基づいて分類、優先順位付けし、管理責任を明確にした上で、業務上それらのリ管)領域から関係する他組織の保 におけるセキュリティ上の脆弱性を利⽤したマルウェア感染

・他組織の管理するデータ保管エリアに L3_1_a_SYS
対する不正なエンティティの物理的侵⼊でないソースに関わる組織やヒトに伝達する。

[システム]

・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセス

ムにおいて、セキュアでない設定がなされている・窃取したID、パスワード等を利⽤しCPS.IP-1

・関係する他組織の保護すべきデータを格納するシステ を導⼊し、運⽤する。
・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリア

CPS.PT-2

ルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能をた正規ユーザへのなりすまし

必要最⼩限とする。

・⾃組織における悪意あるエンティティ[システム]

による保護すべきデータの持出し・セキュリティ対応組織(SOC/CSIRT)は、組織の内部及び外部の情報源（内部テス CPS.RA-2

・⾃組織のシステムにおいて、対処すべき脆弱性が放置 ト、セキュリティ情報、セキュリティ研究者等）から脆弱性情報/脅威情報等を収されている集、分析し、対応及び活⽤するプロセスを確⽴する。
・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

CPS.IP-2

・脆弱性修正措置計画を作成し、計画に沿って構成要素の脆弱性を修正する。

CPS.IP-10

・IoT機器、サーバ等のセキュリティ上重要なアップデート等を、必要なタイミン

CPS.MA-1

グに管理されたツールを利⽤して適切に履歴を記録しつつ実施する。
・⾃組織のIoT機器、サーバ等に対する遠隔保守を、適⽤先のモノ、システムのCPS.MA-2

オーナー部⾨による承認を得て、ログを記録し、不正アクセスを防げる形で実施する。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット CPS.CM-6
ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情報の送受信状況について、継続的に管理する。
・⾃組織の管理しているIoT機器、サーバ等に対して、定期的に対処が必要な脆弱

CPS.CM-7性の有無を確認する。
[システム]

・各種法令や関係組織間だけで共有するデータの扱いに関する取決め等によって要 CPS.GV-3

保管情報へのアクセスについて、情報の機密レベル等に 求されるデータの保護の⽔準を的確に把握し、それぞれの要求を踏まえたデータの合わせた⽅式でリクエスト元を識別・認証していない

区分⽅法を整備し、ライフサイクル全体に渡って区分に応じた適切なデータの保護を⾏う。
・承認されたモノとヒト及びプロシージャの識別情報と認証情報を発効、管理、確 CPS.AC-1
認、取消、監査するプロシージャを確⽴し、実施する。
・職務及び責任範囲（例︓ユーザー／システム管理者)を適切に分離する 。

CPS.AC-5・特権を持つユーザーのシステムへのネットワーク経由でのログインに対して、想 CPS.AC-6
定されるリスクも考慮して、信頼性の⾼い認証⽅式（例︓⼆つ以上の認証機能を組み合わせた多要素認証）を採⽤する。
・IoT機器やユーザーによる構成要素（モノ／システム等）への論理的なアクセス

CPS.AC-9を、取引のリスク（個⼈のセキュリティ、プライバシーのリスク及びその他の組織的なリスク）に⾒合う形で認証・認可する。
[システム]

・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監視・IoT機器、サーバ等の設置エリアのアクセス制御や監カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

視等の物理的セキュリティ対策を実施していない

・無停電電源装置、防⽕設備の確保、浸⽔からの保護等、⾃組織のIoT機器、サーCPS.AC-2
CPS.IP-5

バ等の物理的な動作環境に関するポリシーや規則を満たすよう物理的な対策を実施する。
・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリア

CPS.PT-2

ルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を
必要最⼩限とする。
・IoT機器、サーバ等の重要性を考慮し、適切な物理的アクセスの設定及び記録、

CPS.CM-2

監視を実施する。
[システム]

・セキュリティインシデントを適切に検知するため、監査記録／ログ記録の対象を CPS.PT-1

・早期にセキュリティ上の異常を素早く検知し、対処す 決定、⽂書化し、そうした記録を実施して、レビューする。
るような仕組みがシステムに実装されていない

・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報 CPS.AE-1の流れを特定し、管理するプロシージャを確⽴し、実施する。
・組織内のネットワークと広域ネットワークの接点において、ネットワーク監視・ CPS.CM-1
制御、アクセス監視・制御を実施する。
・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内 CPS.CM-5
容をモニタリングする。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす CPS.RP-1
るため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装する。

L3_1_a_PRO[プロシージャ]・組織間で保護すべき情報を交換する場合、当該情報の保護に係るセキュリティ要 CPS.DS-1

・他組織から管理を委託されるデータの機密区分および 件について、事前に組織間で取り決める。
必要なセキュリティ対策について確認するプロシージャ
がない

B-3-2

添付Ｂ 第3層

#

機能

リスク源

想定される
脅威

セキュリティインシデント

脆弱性ID
L3_1_a_DAT

対策要件

脆弱性
[データ]

対策要件ID・各種法令や関係組織間だけで共有するデータの扱いに関する取決め等によって要 CPS.GV-3

・他組織から管理を委託されているデータの保護に係る 求されるデータの保護の⽔準を的確に把握し、それぞれの要求を踏まえたデータの区分が明確になっていない

区分⽅法を整備し、ライフサイクル全体に渡って区分に応じた適切なデータの保護

[データ]

を⾏う。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6

・定められた機密区分に沿った情報の保護が実装されて に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
いない・データフロー制御ポリシーを定め、それに従って適宜ネットワークを分離する

CPS.AC-7（例︓開発・テスト環境と実運⽤環境、IoT機器を含む環境と組織内の他の環境）等してネットワークの完全性を保護する。
・情報を適切な強度の⽅式で暗号化して保管する。

CPS.DS-2

・IoT機器、サーバ等の間、サイバー空間で通信が⾏われる際、通信経路を暗号化

CPS.DS-3する。
・情報を送受信する際に、情報そのものを暗号化して送受信する。

CPS.DS-4

・送受信する情報データ、保管データする情報の暗号化等に⽤いる鍵を、ライフサ CPS.DS-5
イクルを通じて安全に管理する。
・⾃組織外への不適切な通信を防ぐため、保護すべき情報を⾃組織外へ送信する通 CPS.DS-9
信を適切に制御する。

関係する他組織で管理している・他組織の管理するデータ保管システム L3_1_c_ORG(データ保管)領域から⾃組織の保 におけるセキュリティ上の脆弱性を利⽤護すべきデータが漏洩するしたマルウェア感染[ソシキ]

・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす CPS.SC-2

・データを保管する組織、システム等の安全性を契約

組織やヒトを特定し、優先付けをし、評価する。

前、契約後に確認していない

・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3
⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ

・他組織の管理するデータ保管エリアに

ネジメントが適合していることを確認する。

対する不正なエンティティの物理的侵⼊・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6

・窃取したID、パスワード等を利⽤しに、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。

た正規ユーザへのなりすまし・⾃組織における悪意あるエンティティ・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適 CPS.SC-7による保護すべきデータの持出し合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す CPS.SC-8
るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰できるようにする。
L3_1_c_PEO[ヒト]・取引先等の関係する他組織の要員の内、⾃組織から委託する業務に関わる者に対 CPS.SC-5

・データの加⼯を委託する組織における要員の信頼性を するセキュリティ上の要求事項を策定し、運⽤する。
契約前、契約後に確認していない
L3_1_c_DAT[データ]

・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3

・セキュリティ⽔準が統⼀されていない複数の組織、シ ⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ
ステム等に⾃組織の保護すべき情報が分散して所在して ネジメントが適合していることを確認する。
いる・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6[データ]・送受信・保管する情報に完全性チェックメカニズムを使⽤する。

CPS.DS-11[データ]

・IoT機器、サーバ等の間、サイバー空間で通信が⾏われる際、通信経路を暗号化

CPS.DS-3

・通信路上でデータが⼗分に保護されていないする。

に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。

3_3

データを送受信する機能

関係する他組織で保管中の⾃組・窃取したID、パスワード等を利⽤し織の保護すべきデータが改ざんた正規ユーザへのなりすましされる
関係する他組織で使⽤中の⾃組・窃取したID、パスワード等を利⽤し織の保護すべきデータが改ざんた正規ユーザへのなりすましされる

・通信系路上でデータを改ざんする中間

L3_2_a_DAT

・保管中のデータに改ざんを検知するメカニズムがない
L3_2_b_DAT

[データ]

者攻撃等

(なりすまし等をした)ソシキ/ヒ・不正な組織/ヒト/モノ/システムによCPS.DS-4

・送受信・保管する情報に完全性チェックメカニズムを使⽤する。

CPS.DS-11

・使⽤中のデータに改ざんを検知するメカニズムがない
L3_3_a_ORG[ソシキ]

・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす CPS.SC-2

・データ送信元となるデータの収集先、加⼯・分析等の 組織やヒトを特定し、優先付けをし、評価する。

ト/モノ等から不適切なデータを る正規エンティティへのなりすまし
受信する・情報を送受信する際に、情報そのものを暗号化して送受信する。

依頼先の組織の信頼を契約前、契約後に確認していない ・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-3

・改ざん等された正規なモノ/システム

⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマ

からの適切でないデータの受信

ネジメントが適合していることを確認する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、 CPS.SC-4
⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するため CPS.SC-6に、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適 CPS.SC-7
合が発⾒された場合に実施すべきプロシージャを策定し、運⽤する。
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明す CPS.SC-8
るための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰できるようにする。
L3_3_a_PEO[ヒト]

・⾃組織におけるセキュリティインシデントに関係し得る、セキュリティマネジメ CPS.AT-2

・⾃組織の保護すべきデータのセキュリティ上の扱いに ントにおいて重要度の⾼い関係他組織の担当者に対して、割り当てられた役割を遂ついて、外部委託先の担当者が⼗分に認識していない

⾏するための適切な訓練（トレーニング）、セキュリティ教育を実施し、その記録を管理する。
⾃組織の要員や、重要度の⾼い関係他組織の担当者に対する、セキュリティに係る CPS.AT-3
訓練、教育の内容を改善する。

L3_3_a_SYS[システム]

・セキュリティ対応組織(SOC/CSIRT)は、組織の内部及び外部の情報源（内部テス CPS.RA-2

・データを収集・分析等するシステムにおいて、対処す ト、セキュリティ情報、セキュリティ研究者等）から脆弱性情報/脅威情報等を収べき脆弱性が放置されている集、分析し、対応及び活⽤するプロセスを確⽴する。
・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

CPS.IP-2

・脆弱性修正措置計画を作成し、計画に沿って構成要素の脆弱性を修正する。

CPS.IP-10

・IoT機器、サーバ等のセキュリティ上重要なアップデート等を、必要なタイミン

CPS.MA-1

グに管理されたツールを利⽤して適切に履歴を記録しつつ実施する。
・可能であれば、遠隔地からの操作によってソフトウェア（OS、ドライバ、アプリ CPS.MA-1
ケーション）を⼀括して更新するリモートアップデートの仕組みを備えたIoT機器を導⼊する。
・⾃組織のIoT機器、サーバ等に対する遠隔保守を、適⽤先のモノ、システムのCPS.MA-2

オーナー部⾨による承認を得て、ログを記録し、不正アクセスを防げる形で実施する。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネット CPS.CM-6
ワーク接続の有無、アクセス先等）及び他のソシキ、ヒト、モノ、システムとの情報の送受信状況について、継続的に管理する。
・⾃組織の管理しているIoT機器、サーバ等に対して、定期的に対処が必要な脆弱

CPS.CM-7性の有無を確認する。
[システム]

・IoT機器、サーバ等の間、サイバー空間で通信が⾏われる際、通信経路を暗号化

・通信路が適切に保護されていないする。

CPS.DS-3[システム]

・セキュリティインシデントを適切に検知するため、監査記録／ログ記録の対象を CPS.PT-1

・早期にセキュリティ上の異常を素早く検知し、対処す 決定、⽂書化し、そうした記録を実施して、レビューする。
るような仕組みが⾃組織のシステムに実装されていない ・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報 CPS.AE-1の流れを特定し、管理するプロシージャを確⽴し、実施する。
・組織内のネットワークと広域ネットワークの接点において、ネットワーク監視・ CPS.CM-1
制御、アクセス監視・制御を実施する。
・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内 CPS.CM-5
容をモニタリングする。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にす CPS.RP-1
るため、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装する。
[システム]

・承認されたモノとヒト及びプロシージャの識別情報と認証情報を発効、管理、確 CPS.AC-1

・サイバー空間との通信開始時に、通信相⼿を識別・認 認、取消、監査するプロシージャを確⽴し、実施する。
証していない・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

CPS.AC-3

・⼀定回数以上のログイン認証失敗によるロックアウトや、安全性が確保できるま CPS.AC-4
で再ログインの間隔をあける機能を実装する等により、IoT機器、サーバ等に対する不正ログインを防ぐ。
・IoT機器、サーバ等が実施する通信は、適切な⼿順で識別されたエンティティ

CPS.AC-8（ヒト／モノ／システム等）との通信に限定する。
・IoT機器やユーザーによる構成要素（モノ／システム等）への論理的なアクセス

CPS.AC-9を、取引のリスク（個⼈のセキュリティ、プライバシーのリスク及びその他の組織的なリスク）に⾒合う形で認証・認可する。
L3_3_a_DAT[データ]

・指⽰された動作内容と実際の動作結果を⽐較して、異常の検知や動作の停⽌を⾏ CPS.CM-3

・通信相⼿のエンドポイントから送信されるデータをうIoT機器を導⼊する。

フィルタリングする仕組みが導⼊・運⽤されていない

・サイバー空間から受ける情報が悪質なコードを含んでおらず、許容範囲内であることを動作前に検証する。
・サイバー空間から受ける情報の完全性及び真正性を動作前に確認する。

B-3-3

CPS.CM-4

添付Ｃ 対策要件に応じたセキュリティ対策例

・第Ⅲ部にて記載した対策要件を実装する場合の、対策の⼀例を High-Advanced/Advanced/Basic のレベル別に記載している。High-Advanced の対策例を実装する場合は、High-Advanced だけでなく、Advanced 及び Basic に分類されたセキュリティ対策例もカバーしておく必要がある。
・本項に記載している対策例のレベルは、既存の標準におけるレベル別に階層化された管理策をベースに、対策を導⼊・運⽤する際のコスト、対策の対象とするスコープ（例：⾃組織内のみの適⽤か、関連する他組織を巻き込んだ適⽤か）等により整理している。
・対策例の実装に際し、主体となる要素を、O「組織」、S「システム」、O/S「システム及び組織」の3つに分類して提⽰する。
・対策例の記載に当たっては、第Ⅲ部にて各要件に対して割り当てた「関連標準等」に記載の⽂書および該当項⽬の⼀部（本表「参照ガイドライン」という形に⽰している）を参照している。
・本項に記載の対策例はあくまで⼀例を⽰すものであって、他の実装⽅法を何ら否定するものではない。本資料は、各組織の事業の特性やリスク分析の結果等に応じて、リスク対応を実施する際に参考とされたい。
対策要件ID

対策要件
・システムを構成するハードウェア、ソフ
トウェア及びその管理情報（例︓名称、バージョン、ネットワークアドレス、管理

対応する

する主体

L1_1_a_COM,<High-Advanced>

L1_1_b_COM,

・組織は、⾃組織の情報システム及び産業⽤制御システムを構成する資産（IoT機器等を含むハードウェア、ソフトウェア、情報）を⼀意に特定し、L1_1_c_COM,
L2_1_a_ORG,

責任者、ライセンス情報）の⼀覧を作成

L2_3_b_ORG,

し、適切に管理する。

L2_3_b_SYS

参照ガイドライン対策例を実⾏対策例

脆弱性ID

NIST SP 800-171

NIST SP 800-53 Rev.4○(下記に加えて、

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013--

各々の資産に管理責任者を割り当てた上で、資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、定期的⼜はオペレー
タ等の求めに応じて、リアルタイムで状況を把握しながら⽬録を維持・管理する。
・情報システムは、組織が定めたベースライン構成に対して、把握された実際の構成が適合しているかを定期的に監査し、例外として組織に許可され○ているものを除き、接続を遮断する等、適切に対応する。
・情報システム及び産業⽤制御システムは、許可されていない資産を⾃動的に検出し、管理情報から外す・システムから切り離す等を実⾏するメカニ

O/S

ズムを導⼊、運⽤している。

(3.4.2)CM-8(1), CM-8(2),CM-8(3), CM-8(5))※ 関連する対策要件に、CPS.CM-6がある。

○(下記に加えて、[参考] 重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）のP.44〜P.46 に記載された情報の機密性、

A.8.1.3)

完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA, 2018年）のP.21に記載された事業被害の⼤きさにおける評価を⽤いる⽅法等がある<Advanced>
・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維持・管理する。

CPS.AM-1

・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理する。
・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使O⽤を禁⽌する。
・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切に把握し、管理する。
○<Basic>(3.4.1, 3.8.5, 3.8.7,

・組織は、⾃組織の情報システムや産業⽤制御システムを構成する資産（ハードウェア、ソフトウェア、情報）を特定し、各々の資産に管理責任者を

3.8.8)

割り当てた上で、⽬録として⼀覧を⽂書化する。

○

○

○

(CM-8, PM-5)（4.2.3.4）（SR 7.8）

・資産は保有するものすべてを⼀覧化することが望ましいが、対象が膨⼤な場合、分析対象の統合（グループ化）と分析対象からの除外を通じて、対象とする資産を絞り込むことを検討する。

○

O・組織は、洗い出した資産を、⾃組織の事業運営における重要度に応じて優先順位づけする。

(A.8.1.1, A.8.1.2)[参考] 資産⽬録（情報資産管理台帳）の作成に当たっては、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年)のP47を参照することが可能である。また、対象の絞込みに関するより詳細な説明は、「制御システムのセキュリティリスク分析ガイド 第2版」(IPA, 2018年)における 3.1.4. 分析対象とする資産の絞り込み を参照することが可能である。

・⾃組織が⽣産したモノのサプライチェー
ン上の重要性に応じて、トレーサビリティ

L1_3_a_COM,<High-Advanced>

L1_3_b_COM

・組織は、トレーサビリティが要求事項となっている場合には、組織はアウトプット（製品）について⼀意の識別を管理し、トレーサビリティを可能とするために必要な⽂書化した情報を保持する。

確保のための特定⽅法を定める。

・組織は、モノを⼀意に識別できるような⽅法を検討する際、異業種間でも通⽤するよう業種横断的な共通ナンバリングルール等に基づいていること

O

-

-

-

-

-

O

-

-

-

-

-

O

-

-

-

-

-

O

-

-

-

-

-

が望ましい。
[参考] ISO9001:2015 - 8.5.2 識別及びトレーサビリティ
CPS.AM-2<Advanced><Basic>共通
・組織は、下記を例とする観点から、⾃組織が提供するモノを複数段階に優先順位付けする。
- モノの品質等に何かしらの問題が発⾒された際のサプライチェーンにおける影響範囲の広さ- モノの品質等に何かしらの問題が発⾒された際の⾃組織の事業に対する影響の⼤きさ
・⾃組織が⽣産したモノのサプライチェーン上の重要性に応じて、組織は、ナンバーを付与する等アウトプットを識別するために適切な特定⽅法（例︓シリアルナンバーの付与）を定める。
・組織は、製造及びサービスを提供する際の、組織が定める過程（例︓製品の顧客納⼊時まで）において、当該製品・サービスにおいて法令、契約等で遵守が要求されている事項に関連して、アウトプットである製品・サービスの状態を識別する。

・重要性に応じて、⽣産⽇時やその状態等について記録を作成し、⼀定期間保管するために⽣産活動の記録に関する内部規則を整備し、運⽤する。
CPS.AM-3

L1_3_a_COM,<High-Advanced>

L1_3_b_COM

・ ⽣産活動に関する内部規則を整備するとともに、⽣産したモノの記録については、その重要性に応じて、後⽇監査を受ける可能性があることを踏まえ、取引先との間であらかじめ重要性について認識を共有し、適切な記録管理レベルを確保する。
・作成され、管理される⽣産活動の記録は、⽣産⽇時やモノの分類（例︓製品名）等で素早く検索できるよう構成されていることが望ましい。
<Advanced><Basic>共通
・⽣産したモノのサプライチェーン上の重要性に応じて、⽣産⽇時やその状態等について記録を作成し、⼀定期間保管するための⽣産活動に内部規則を整備し、運⽤する。
・組織は、上記の記録を作成、あるいは更新する際、以下の事項を考慮 する。
- 適切な識別及び記述（例︓タイトル，⽇付，作成者，参照番号）とすること- 適切な形式（例︓⾔語，ソフトウェアの版，図表）及び媒体（例︓紙，電⼦媒体）とすること- 適切性及び妥当性に関する、適切なレビュー及び承認を得ること

C-1

添付Ｃ

対策要件ID

対策要件
・組織内の通信ネットワーク構成図及び、データフロー図を作成し、適切に管理す

対応する参照ガイドライン対策例を実⾏

対策例

脆弱性ID

する主体

NIST SP 800-171<High-Advanced>

L1_3_c_ORG

・組織は、情報システム及び産業⽤制御システムのシステム構成、通信ネットワーク構成及びデータフローをリアルタイムでモニタリングし、管理す

O

-

付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013(下記に加えて、

-

-

-

-

CM-2(2), CM-2(3))

るための⾃動化されたメカニズムを導⼊・管理している。
<Advanced>
・組織は、関連する⽂書内の図に、ネットワーク接続におけるインターフェース特性、セキュリティ要求事項、伝達されるデータの性質を記載する。

O-○(下記に加えて、CA-9)<Basic>CPS.AM-4

ISO/IEC 27001:2013○

L1_3_b_ORG,

る。

NIST SP 800-53 Rev.4○

・組織は、⾃組織が管理する範囲（例︓事業所単位で）における情報システム及び産業⽤制御システムのシステム構成、通信ネットワーク構成、デー(A.13.2.1, A13.2.2)

タフローを⽂書化し、保管する。
・組織は、定期的、あるいは、システム構成、ネットワーク構成、データフローに変更が⽣じた場合、関連する⽂書をレビューし、必要に応じて更新
する。

O

-

○

○

(CM-2, CM-2(1))（4.2.3.4, 4.2.3.5）-[参考] システム構成、ネットワーク構成、データフローの⽂書化を⾏う際の⼿順については、「制御システムのセキュリティリスク分析ガイド 第2版」（IPA, 2018年）の3.2、3.3を参照することが可能である。

・⾃組織の資産が接続している外部情報シ
ステムの⼀覧を作成し、適切に管理する。

L1_1_a_COM,<High-Advanced>

L1_1_b_COM,・システムは、⾃組織が利⽤している外部情報システムサービスを⼀覧化し、リアルタイムで利⽤しているサービスとともに利⽤者・機器等を管理し

L1_1_c_COM,
L1_3_b_ORG,
L1_3_c_ORG

O/S

ている。
・システムは、利⽤を許可していない外部情報システムサービスを検知した場合、システム管理者へ通知するメカニズムを利⽤する。

○(3.12.4)○(下記に加えて、
SA-9(2))

・組織は、外部プロバイダによる情報システムサービスを使⽤する際に必要な機能、ポート、プロトコル及び他のサービスを明確にする。
○

・組織は、外部の情報システムを所有、運⽤する他の組織に対して、下記を許可するうえでの条件を設定する。

Oa. 外部の情報システムから⾃組織の情報システムにアクセスすること

-

-

-

-

-

-

-

(下記に加えて、<Advanced>
CPS.AM-5○(3.1.20, 3.1.21,
3.12.4)b. 外部の情報システムを使⽤して⾃組織の管理下にある情報を処理または保存もしくは伝送すること

A.13.1.2)○(下記に加えて、AC-20)

・外部のシステム上に接続された⾃組織が所有するストレージの許可された個⼈による使⽤を制限する。
<Basic>・組織は、⾃組織が利⽤している外部情報システムサービスを⼀覧化し、それぞれのサービスにおけるユーザーとしての役割と責任を定義する。

O

-

O

-

[参考] 特にクラウドサービス利⽤におけるユーザー側の役割と責任を、契約において規定する際のポイントについて、「クラウドセキュリティガイド○○(SA-9)(A.6.1.1)

ライン活⽤ガイドブック」(経済産業省, 2013年) Appendix A "契約の具体的な内容例と解説" を参照することが可能である。

・リソース（例︓モノ、データ、システム）を、機能、重要度、ビジネス上の価値に基づいて分類、優先順位付けし、管理責任を明確にした上で、業務上それらのリ

L1_1_a_ORG,<High-Advanced><Advanced>共通

L1_1_b_ORG,

・組織は、情報システムや産業⽤制御システムにおけるリソース（データ及びデータを処理するモノ、システム等）を分類する際には、データを共有

L1_1_c_ORG,
L3_1_a_ORG,
L3_4_a_ORG

ソースに関わる組織やヒトに伝達する。

⼜は制限する業務上の要求及び法的要求事項を考慮する。
・当該資産の管理責任者は、データの分類に対して責任を負う。

○(RA-2、SA-14)

・組織は、リソースの分類体系に分類の規則及びその分類を時間が経ってからレビューするための基準を含める。
<Basic>・組織は、洗い出した情報システムや産業⽤制御システムにおける資産を、⾃組織にとっての重要度に応じて優先順位づけする。
・関係する法規制等により、⾃組織のリソース（例︓システム、データ）について特定の分類に従うことが要求されている場合、該当する分類を資産○に適⽤する。

CPS.AM-6(A.6.1.1)

・組織は、特に産業⽤制御システムにおけるモノ、システム等の分類、優先付けに当たっては、⾃組織の事業活動の適切でない運⽤によりHSE(Health, Safety and Environment)への悪影響が発⽣するかを考慮して実施する。
・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、事業継続の観点から重要なリソース（関係する他組織、ヒト、モノ、デー

O

-

O

-

タ、システム等）と機能を特定し、優先順位付けする。

○○(RA-2、SA-14)（4.2.3.6, 4.3.4.4.3）

-

-

-

[参考] 資産の重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）の P.44〜46に記載された情報の機密性、完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA, 2018年）の P.21 に記載された事業
被害の⼤きさにおける評価を⽤いる⽅法等がある。また、特に産業⽤制御システムにおける資産の重要度の判断基準については、「制御システムのセ
キュリティリスク分析ガイド 第2版」（IPA, 2018年）4.2.2及び4.2.3を参照することができる。

・⾃組織及び関係する他組織のサイバーセ
キュリティ上の役割と責任を定める。

L1_3_b_ORG,<High-Advanced><Advanced>共通

L1_3_c_ORG

・組織は、セキュリティインシデントにより損害が発⽣する場合に備えて、取引先等から指定されるセキュリティ対策の実装に加え、サイバー保険の-利⽤等によるリスク移転を検討する。
<Basic>・組織は、委託先あるいは委託元との契約において、業務においてセキュリティインシデントにより損害が発⽣した場合の⾃組織と取引先の責任範囲

CPS.AM-7○（免責事項の明記、損害賠償額の契約⾦額等での上限設定等）を規定する。
・組織は、契約において取引先に対応を求める／求められるセキュリティに関する要求事項の実効性を⾼めるため、要求事項への対応要否や過不⾜、
具体的な対応⽅法や費⽤負担、対応できない場合の代替措置について契約時あるいは契約期間の初めに合意することが望ましい。
[参考] 特にクラウドサービスプロバイダーと⾃組織との役割と責任に関して、追加の情報を得るために、「クラウドセキュリティガイドライン活⽤ガ
イドブック 2013年度版」（経済産業省, 2013年）の "4.4.クラウドサービスの契約" を参照することが可能である。

C-2

O

-

○
(SA-4)(A.6.1.1, A.15.1.1)○（4.3.2.3.3）

-

添付Ｃ

対策要件ID

対策要件
・サプライチェーンにおいて、⾃組織が担う役割を特定し共有する。

対応する参照ガイドライン対策例を実⾏

対策例

脆弱性ID
L1_3_b_ORG,<High-Advanced>

L1_3_c_ORG

・⾃組織において、事業への悪影響を及ぼすセキュリティインシデントが発⽣した際の、直接的な取引先及びサプライチェーン全体への影響の内容及する主体

NIST SP 800-171

O

-

O

-

O

-

O

-

O

-

O

-

びその規模を推定する。

NIST SP 800-53 Rev.4

ISO/IEC 27001:2013

IEC 62443-2-1:2010

IEC 62443-3-3:2013

-

-

-

-

-

-

-

-

-

-

-

○
(CP-2, SA-14)

付属書A<Advanced>
・組織間のモノの流れ、データの流れ等を考慮して、⾃組織の関係するサプライチェーンの概要を、⾃組織の全体における役割がわかるように図⽰す
CPS.BE-1

る。
・上記の結果を関係する他組織（⾃組織からの発注先、⾃組織内の関係部⾨、⾃組織への発注元）と共有する。
<Basic>・組織間のモノの流れ、データの流れ等を考慮して、⾃組織からの発注先、⾃組織、⾃組織への発注元という取引関係の概要を、⾃組織の役割がわかるように図⽰する。
・上記の結果を関係する他組織（⾃組織からの発注先、⾃組織内の関係部⾨、⾃組織への発注元）と共有する。

・あらかじめ定められた⾃組織の優先事
業、優先業務と整合したセキュリティポリ
シー・対策基準を明確化し、⾃組織の取引
CPS.BE-2

L1_1_a_ORG,<High-Advanced><Advanced>共通

L1_1_b_ORG,

・組織は、組織の業務、組織の資産、個⼈、他の組織等にもたらされるリスクを考慮して、⾃組織のミッション／業務プロセスを定義し、活動に関す

L1_1_c_ORG

る優先順付けを確⽴する。
・組織は、⾃組織のセキュリティポリシーにおいて規定されている⾃組織と関係する他組織のセキュリティに関する役割と責任について、関係する他に関係する者（サプライヤー、第三者プロ

○

○

○

(PM-11、SA-14)(A.5.1.1)（4.2.2.1, 4.2.3.6）

-

-

-

-

-

-

-

-

-

-

-

組織に伝達する。

バイダ等を含む）に共有する。

<Basic>・組織は、あらかじめ優先して継続・復旧すべき中核事業及び重要と考えられる業務を特定しておき、事業継続の観点から重要なリソース(関係する他
組織、ヒト、モノ、データ、システム等)と機能を特定し、優先順位付けする。
・組織は、特に産業⽤制御システムに関して、⾃組織の事業活動の適切でない運⽤によりHSE(Health, Safety and Environment)への悪影響が発⽣するかも考慮してリソースの分類、優先順位付けを⾏う。

・⾃組織が事業を継続する上での⾃組織及び関係する他組織における依存関係と重要な機能を特定する。

L1_3_b_ORG,<High-Advanced>

L1_3_c_ORG

・組織は、⾃らの事業を継続する上で、⾃組織が有する下記のサポートユーティリティの果たす機能及び依存関係を特定する。
- 通信サービス- 電⼒設備（電⼒ケーブル等を含む）○

・上記で識別されたユーティリティの内、事業継続という観点から重要な役割を果たすものについて、下記のような対策を講ずることを検討する。
- 代替通信サービスの確⽴- 情報システム及び産業⽤制御システムの電⼒設備及び電⼒ケーブルの物理的保護

CP-8(1), CP-8(2),PE-9, PE-11)- 短期無停電電源装置の準備
CPS.BE-3(下記に加えて、CP-8,○(下記に加えて、
A.11.2.2)

・特に、代替通信サービスの利⽤を検討する際、下記について考慮する- 通信サービス事業者との契約事項を検討する際、組織の可⽤性に関する要求事項（⽬標復旧時間を含む）を明確にする- ⼀次通信サービスとの間で単⼀障害点が共有される可能性を低減する<Advanced>
・CPS.AM-6で規定した当該システムの可⽤性に対する要求⽔準に応じて、その容量・能⼒に関する要求事項を特定する。
・⾃組織が利⽤する情報システム及び産業⽤制御システムが、要求されたシステム性能を満たすことを確実にするために、資源の利⽤を監視・調整

O

-

O

-

○

○

(SC-5(2))(A.12.3.1)--

し、また、将来必要とする容量・能⼒を予測する。
<Basic>・組織は、⾃らの事業を継続する上で、重要な依存関係にあるサプライヤーを特定する。

C-3

添付Ｃ

対策要件ID

対策要件
・セキュリティポリシーを策定し、⾃組織及び関係する他組織のセキュリティ上の役割と責任、情報の共有⽅法等を明確にす

対応する

L1_1_a_PRO,<High-Advanced>

L1_1_b_PRO,

・従来のIT環境において運⽤されているものと基本的な⽅針を共有しつつ、産業⽤制御システム等、IoT機器が設置されるサイトの性質等を⼗分に考L1_1_c_PRO

る。

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

する主体

NIST SP 800-171

O

-

O

-

NIST SP 800-53 Rev.4

慮したセキュリティポリシー群、運⽤⼿順を策定する。

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010○-(A.12.1.1)[参考] 例えば、産業⽤制御システム(ICS)を対象としたセキュリティマネジメント規格であるIEC 62443-2-1では、ICS環境のための上位レベルのサIEC 62443-3-3:2013

イバーセキュリティポリシーの策定を求めている。特に、産業分野におけるセキュリティポリシー及び運⽤⼿順の策定にあたっては、「制御システム
セキュリティ運⽤ガイドライン」（⽇本電気制御機器⼯業会, 2017年）等を参考とすることができる。
<Advanced>
・組織は、上位の⽅針を⽀えるセキュリティポリシー群のより低いレベルとして、例えば、情報システムを対象とした下記のようなトピック個別の⽅針及び実施⼿順を策定する。
a) アクセス制御及び認証b) 物理的セキュリティ対策c) システムの開発及び保守
d) 外部委託先管理○e) 情報分類及び取扱い
CPS.GV-1

・情報システムを対象としたセキュリティポリシー群の策定に当たっては、⾃組織の a)事業戦略、b)関係する規制、法令及び契約、c)セキュリティの(controls from all
security control

脅威環境 を⼗分に考慮して、⾃組織の実情を⼗分に反映したものとなるよう策定を実施する。

○(A.5.1.1, A12.1.1)

families)

・組織は、⾃組織の a)事業戦略、 b)関係する規制、法令及び契約、c)セキュリティの脅威環境 の変化に応じて、セキュリティ⽅針をレビュー、更新○（4.3.2.3.3,-

4.3.2.2.1, 4.3.2.6）

する。
[参考] より詳細なレベルの⽅針策定の際には、ISO/IEC 27002 等の関連する標準を参照して⽅針が必要となる分野を把握したうえで、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年) 付録5「情報セキュリティ関連規定（サンプル）」や、「情報セキュリティポリシーサン
プル改版（1.0版）」(JNSA, 2016年)等を参考にすることができる。
<Basic>・組織は、⾃組織のセキュリティポリシー群の最も⾼いレベルに、セキュリティ基本⽅針を策定し、経営層の承認を得た後、適切な適⽤範囲（例︓企
業全体、事業部全体）で運⽤する。
・組織は、⾃組織のセキュリティ基本⽅針を定期的(例えば、1年に1度)にレビュー、更新する。

O

-

O

-

○

-

(A.5.1.1)[参考] セキュリティポリシーの策定に当たっては、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年) 付録5「情報セキュリ
ティ関連規定（サンプル）」における "１．組織的対策"の記載や、「情報セキュリティポリシーサンプル改版（1.0版）」(JNSA, 2016年)における"01_情報セキュリティ基本⽅針"、"01_情報セキュリティ⽅針" 等を参考とすることが可能である。

・個⼈情報保護法、不正競争防⽌法等の国内外の法令や、業界のガイドラインを考慮した社内ルールを策定する。

L1_2_a_ORG,<High-Advanced><Advanced><Basic>共通

L1_2_a_COM,

・⾃組織の事業活動において、セキュリティの⽂脈で関連するすべての法令、規制及び契約上の要求事項並びにこれらの要求事項を満たすための組織

L1_2_a_SYS,
L1_2_a_PRO,
L1_2_a_DATの取組みを明確に特定し、⽂書化する。
・要求事項を満たすための具体的な管理策及び具体的な責任についても定め、⽂書化する。
・管理者は、その事業の種類に関連した要求事項を満たすために、各⾃の組織に適⽤される全ての法令を特定する。
・組織が他の国で事業を営む場合には、管理者は、関連する全ての国における遵守を考慮する。

CPS.GV-2[参考] 情報セキュリティ関連法令には、例えば、不正競争防⽌法、電⼦署名認証法、e-⽂書法、個⼈情報保護法、不正アクセス禁⽌法等がある。ま○○(controls from all(A.6.1.3, A.18.1.1,○

security control

A.18.1.2, A.18.1.3,（4.4.3.7）

families)

A.18.1.4, A.18.1.5)-

た、上記の法令等の遵守に際しては、関連各省庁から発出されているガイドライン⽂書等（例︓不正競争防⽌法︓「営業秘密管理指針」(経済産業省,
2019年)、「限定提供データに関する指針」(2019年, 1⽉)、個⼈情報保護法︓「個⼈情報の保護に関する法律についてのガイドライン(通則編)」(個
⼈情報保護委員会, 2019年)、「個⼈情報の保護に関する法律についてのガイドライン(匿名加⼯情報編)」(個⼈情報保護委員会, 2017年)）を参照する
ことが望ましい。

・各種法令や関係組織間だけで共有するデータの扱いに関する取決め等によって要求されるデータの保護の⽔準を的確に把握
CPS.GV-3

L1_1_a_SYS,<High-Advanced><Advanced><Basic>共通

L1_1_a_DAT,

・組織は、各システム及び組織について、データ保護に関連する全ての法規制及び契約上の要求事項、並びにこれらの要求事項を満たすための組織のL1_1_b_SYS,
L3_1_a_SYS,

し、それぞれの要求を踏まえたデータの区

L3_1_a_DAT,

分⽅法を整備し、ライフサイクル全体にL3_4_a_ORG,

渡って区分に応じた適切なデータの保護を⾏う。
・セキュリティに関するリスク管理を適切に⾏うために戦略策定、リソース確保を⾏う。

L3_4_a_PRO,

取組みを識別、⽂書化し、最新に保つ。
・組織は、識別したルールの分類に従い、⾃組織のデータを適切に分類する。
・組織は、識別したルールの要求事項に従い、該当するデータを扱うシステム、モノ等に対策を実施する。対策の実装が困難と考えられる場合は、当O該データを⾃組織では⾮保持扱いとするような対策等の実施を検討することも考えられる。(例︓割賦販売法におけるカード情報の⾮保持化)

○

○

○

(controls from all(A.8.2.1, A.18.1.1,○(3.1.22)security control

A.18.1.2, A.18.1.3,(4.3.4.4.6)

families)

A.18.1.4, A.18.1.5)-

L3_4_b_ORG,
L3_4_b_PRO○

L1_1_a_PRO,<High-Advanced><Advanced>共通

L1_1_b_PRO,

・組織は、システムの運⽤と使⽤により⽣じる組織の業務と資産、個⼈、他の組織等に対するリスクを管理するための、短中期（例︓1年~5年）のリ

L1_1_c_PROO

スクマネジメント戦略を策定する。

-○（4.2.3.1, 4.2.3.3,(下記に加えて、PM-3,

4.2.3.8, 4.2.3.9,

PM-9)・組織は、短中期のリスクマネジメント戦略を定期的に、あるいは必要な場合にレビューし、更新する。

CPS.GV-4○(Clause 6)<Basic>・組織は、情報システム及び産業⽤制御システムまたはシステムサービスのセキュリティ要求事項を決定するとともに、情報システム及び産業⽤制御システムまたはシステムサービスを保護するのに必要なリソースを決定・⽂書化のうえ割り当てる。
・組織は、セキュリティの個々の予算項⽬を、組織の計画及び予算関連の資料に記載する。

C-4

O

-

○
(SA-2)-

4.2.3.11, 4.3.2.4.3,
4.3.2.6.3）

-

-

添付Ｃ

対策要件ID

対策要件
・⾃組織の資産の脆弱性を特定し、対応する資産とともに⼀覧を⽂書化する。

対応する

L1_1_a_SYS,<High-Advanced>

L1_1_b_SYS,

・組織は、⾃組織が管理する産業⽤制御システムの構成要素（IoT機器を含む）に対して、システムの運⽤に悪影響を及ぼさないよう、計画停⽌時等

L1_1_c_SYS

参照ガイドライン対策例を実⾏対策例

脆弱性ID

NIST SP 800-171

NIST SP 800-53 Rev.4

○

○

O

-

(下記に加えて、CA-8,（下記に加えて、

RA-5(1), RA-5(5))

4.2.3.7, 4.2.3.9）の予定されたタイミングに脆弱性診断を実施し、⾃組織の所有するシステムに存在する脆弱性を認識し、⼀覧化する。
・組織は、⾃組織の管理するシステムにおける最新の脆弱性を認識するため、定期的に侵⼊テストを実施することが望ましい。
・組織は、ツールを⽤いて脆弱性診断を⾏う場合、診断すべきシステムに対する脆弱性データベースを更新できる脆弱性診断ツールを使⽤することがISO/IEC 27001:2013

する主体

望ましい。

付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013-

・組織は、より徹底した脆弱性の洗い出しを⾏うために、脆弱性診断の実施者に⾃組織の管理するシステムにおける特権アクセスの権利を⼀時的に許可するメカニズムを整備する。

○<Advanced>(A.12.6.1)

・組織は、⾃組織が管理する重要度の⾼い情報システムの構成要素に対して、脆弱性診断を実施し、⾃組織の所有するシステムに存在する脆弱性を認

CPS.RA-1

識し、⼀覧化する。
・組織は、⾃組織の所有する情報システムの運⽤段階において、各種資産から収集した脆弱性の内、⾃組織の事業運営等に関連することが想定されるものに対して、脆弱性検査ツール等を⽤いて、定期的に⾃組織のシステムにおける脆弱性を特定し、当該脆弱性の影響度とともに⼀覧に追加する。

O

-

○

○

（4.2.3.12,(RA-5, RA-5(2))-

4.3.4.4.5）[参考] 脆弱性情報の取得に際して、Japan Vulnerability Notes(https://jvn.jp/)等の情報源を参照することが可能である。また、脆弱性の影響の⼤きさを評価する指標として、CVSS(IPAによる解説︓https://www.ipa.go.jp/security/vuln/CVSS.html)を参考とすることが可能である。
<Basic>・組織は、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年) 付録7「リスク分析シート」における対策状況チェック等の、セ

O

-

-

O

-

(下記に加えて、PM-

-

-

-

キュリティ対策のベースラインとなる⽂書を活⽤して、⾃組織の情報システムにおける管理策上の脆弱性を把握する。

・セキュリティ対応組織(SOC/CSIRT)
は、組織の内部及び外部の情報源（内部テスト、セキュリティ情報、セキュリティ研

L1_1_a_SYS,<High-Advanced>

L1_3_a_ORG,

・組織は、セキュリティ対応組織を⽴ち上げ、産業⽤制御システム、IoTシステム等も管轄に含めて、組織内で統合的にセキュリティ対策を取る体制

L2_1_a_ORG,
L2_1_c_SYS,究者等）から脆弱性情報/脅威情報等を収L3_1_a_SYS,

集、分析し、対応及び活⽤するプロセスをL3_3_a_SYS,

確⽴する。

L3_3_d_SYSを整える。
・セキュリティに関わる研究会や会議等に出席したり、セキュリティの専⾨家による協会・団体との適切な連絡体制を維持することにより、情報シス○

テム、産業⽤制御システムの双⽅におけるセキュリティに関わる知識を最新のものとする。

-

・主に⾃社が提供している製品・サービスにおいて、新たな脆弱性が含まれていないかを分析し、発⾒した場合、IPAに関連情報を届け出る。
○<Advanced>(下記に加えて、・組織は、セキュリティ管理責任者を中⼼に、セキュリティ対応組織を⽴ち上げ、主に情報システムや事業における重要度の⾼いIoTシステムを管轄

A.6.1.4)

対象として、組織内でセキュリティ対策を取る体制を整える。
CPS.RA-2○(4.3.2.3.2)

15)○

・組織は、情報処理推進機構（IPA）、JPCERT/CC、業界ISACのような組織や、取引関係のある機器ベンダー、ソフトウェアベンダーより、随時脆弱O

性情報、脅威情報等を収集し、⾃組織の資産⽬録と照らし合わせることで、対応要否を判断する。

-○(下記に加えて、PM-（4.2.3.9, 4.2.3.12）

16)-[参考] セキュリティ対応組織の構想、構築、運⽤に当たっては、外部事業者からのサービスを利⽤するほかに、JPCERT/CCから公開されている「CSIRTマテリアル」、⽇本セキュリティオペレーション事業者協議会から公開されている「セキュリティ対応組織（SOC/CSIRT）の教科書 〜 機
能・役割・⼈材スキル・成熟度 〜」等の⽂書を利⽤することが可能である。
<Basic>・組織は、情報システム及び産業⽤制御システムの双⽅を対象に、セキュリティ管理責任者及びセキュリティ対策担当者を任命することで、組織内におけるセキュリティの役割と責任を明確化する。

O

-

O

-

○

○

○

(SI-5)(A.6.1.1)(4.3.2.3.2)-

・組織は、利⽤中の機器ベンダーやソフトウェアベンダーが提供するセキュリティに関わる注意喚起情報を確認し、⾃組織内の関係者に伝達する。

・⾃組織の資産に対して想定されるセキュ
リティインシデントと影響及びその発⽣要因を特定し、⽂書化する。
CPS.RA-3

L1_1_a_SYS,<High-Advanced>

L1_1_b_SYS,

・組織は、セキュリティに関わる研究会や会議等に出席したり、セキュリティの専⾨家による協会・団体との適切な連絡体制を維持することにより、

L1_1_c_SYS

セキュリティ脅威に関わる知識を最新のものとする。
・組織は、必要に応じて、専⾨家が提供するサービス等を活⽤し、⼀部の専⾨家しか知りえない情報を⼊⼿しそれをもとに、脅威を特定する。
<Advanced>
・組織は、公開された新たな攻撃動向、マルウェア挙動情報や悪性IP アドレス/ドメイン情報などの情報（外部インテリジェンス）を収集する。

O

-

O

-

・組織は、得られた脅威情報の信頼度、⾃組織に与える影響などを評価し、対応すべき脆弱性を取捨選択し、対応する脅威について⽂書化する。

○○(下記に加えて、PM-(下記に加えて、

15)

A.6.1.4)○(PM-16)<Basic>・組織は、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年) 付録7「リスク分析シート」における脅威の状況等の、セキュリ
ティ脅威洗い出しのベースラインとなる⽂書を活⽤して、⾃組織に関わるセキュリティ脅威及びその発⽣しやすさを把握する。

C-5

-

-

○
(Clause 6.1.2)-○（4.2.3.9, 4.2.3.12）

-

-

-

-

添付Ｃ

対策要件ID

対策要件
・構成要素の管理におけるセキュリティ
ルールが、実装⽅法を含めて有効かを確認するため、定期的にリスクアセスメントを実施する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階から、受容できない既知のセキュリティリスクの有無を、セーフティに関するハザードの観点も踏まえて確
認する。

対応する

L1_1_a_SYS,<High-Advanced>

L1_1_b_SYS,

・組織は、産業⽤制御システムのようにモノの制御等を伴うような、フィジカル空間に影響を及ぼす可能性のある新たな機器やシステムを開発する場

L1_1_c_SYS,
L2_1_a_COM,
L2_1_a_PRO,
L2_2_a_ORG,
L2_2_a_SYS

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

する主体

NIST SP 800-171

NIST SP 800-53 Rev.4

O

-

-

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013--

合には、従来の製品や他の事故事例を収集・分析し、セキュリティの観点も含めてセーフティに関わるハザードを特定する。
・組織は、主に産業⽤制御システムにおいて、ハザードによって危害に⾄る状況を分析し、発⽣しやすさや被害の深刻度を明らかにすることで、⽣じるリスクを⾒積もる。その際、セキュリティの問題に起因するハザードの有無を確認することが望ましい。
・組織は、産業⽤制御システム、またはそれが稼働する環境に⼤きな変化があった場合、もしくは産業⽤制御システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。
[参考] セーフティ設計におけるハザードの特定と分析については、「つながる世界のセーフティ＆セキュリティ設計⼊⾨」(IPA, 2015年)の4.2にて具○体的な⼿法が記載されており、参照することが可能である。

(A.12.6.1, A.18.2.2,<Advanced>

A.18.2.3)

・組織は、情報システム、または情報システムが稼働する環境に⼤きな変化があった場合（新たな脅威や脆弱性の特定を含む）、もしくは情報システ
ムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。
・組織は、新たにIoT機器を利⽤したシステムを企画・設計する場合、既存の資産や新たに導⼊するシステムにおける守るべき資産を特定し、システ
ムの利⽤⽤途や構成に応じて、セキュリティ対策をまとめる。特に、ライフサイクルの⻑いモノ、システムや、⾼い可⽤性を求められるモノ、システ

O

ムを扱う場合は、設計以前の段階におけるセキュリティ対策の考慮が特に重要である。
・組織は、調達する製品・サービスに対するセキュリティ対策を検討する際、当該製品・サービスの重要度に対策の⽔準が⾒合うものであることを確○(3.11.1)○(下記に加えて、-

SA-12(2))

実にする。
[参考] システム及びモノにおけるセキュリティの要求仕様を検討するにあたり、「情報システムに係る政府調達におけるセキュリティ要件策定マニュ
CPS.RA-4

アル」(NISC, 2015年)、「⾮機能要求グレード」(IPA, 2018年)を参考にすることが可能である。
<Basic>・組織は、情報システム及び産業⽤制御システムに対するセキュリティリスクアセスメントのプロセスを定め，定期的（例えば、重要度の⾼い情報シ
ステムは年に1回）に適⽤する。
- セキュリティのリスク基準を確⽴し，維持する。

○- 以下の⽅法によりセキュリティリスクを特定する。

（4.2.3.9, 4.2.3.12）

1) 分析対象を明確化する
2) インシデント(周辺状況の変化を含む)並びにこれらの原因を特定する- 以下の⽅法により、セキュリティリスクを分析する。
1) 上記で特定されたリスクが実際に⽣じた場合に起こり得る結果について評価する
2) 上記で特定されたリスクの現実的な起こりやすさについて評価する

O- リスク基準を参照し、リスクのレベルを決定し、優先順位付けする・組織は，セキュリティリスクアセスメントのプロセスを⽂書化し、保管する。
・組織は、システムにセキュリティインシデントが発⽣した際に想定される被害の⼤きさやセキュリティインシデントが発⽣する蓋然性（例︓インターネットにつながっているか）、リスクアセスメント実施に係る⼯数等の観点を考慮し、システムを優先順位化してリスクアセスメントの頻度等を設定することが望ましい。
[参考] セキュリティリスクアセスメントの⼿法として、「資産ベース」の⼿法及び「事業被害ベース」の⼿法があることが知られている。資産ベースの⼿法でリスクアセスメントを実施する場合は「中⼩企業の情報セキュリティガイドライン 第3版」（IPA, 2019年）や「制御システムのセキュリ
ティリスク分析ガイド 第2版」(IPA, 2018年) 等を、事業被害ベースの⼿法を実施する場合は「制御システムのセキュリティリスク分析ガイド 第2版」(IPA, 2018年)等を参照することができる。

C-6

-

○
(RA-3)○(Clause 6.1.2,
A.18.2.2, A.18.2.3)

-

添付Ｃ

対策要件ID

対策要件
・リスクを判断する際に、脅威、脆弱性、可能性、影響を考慮する。

対応する

L1_1_a_SYS,<High-Advanced>

L1_1_b_SYS,

・組織は、新たな脅威や脆弱性に関する情報を⼊⼿した際のリスクアセスメント（例︓影響範囲の評価）に⾃動化されたメカニズムを利⽤する。

L1_1_c_SYS

参照ガイドライン対策例を実⾏

対策例

脆弱性ID・組織は、⾃組織にとって影響が⼤きく、他組織にとっても対応することが重要と考えられる脅威や脆弱性の情報について、サプライチェーンのスする主体

NIST SP 800-171

NIST SP 800-53 Rev.4

O

-

-

O

-

ISO/IEC 27001:2013
付属書A-

IEC 62443-2-1:2010

IEC 62443-3-3:2013

-

-

-

-

-

-

-

-

-

-

-

-

テークホルダーへと安全に共有する。
<Advanced>
・組織は、情報システム、または情報システムが稼働する環境に⼤きな変化があった場合(新たな脅威や脆弱性の特定を含む)、もしくは情報システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。その際、重要度の⾼い情報システム及び産業⽤制御○(A.12.6.1)

システムを優先的に対応する。
※ CPS.RA-4と共通の実施内容<Basic>・組織は、セキュリティリスクアセスメントのプロセスを定め，定期的(例えば、年に1回)に適⽤する。
- セキュリティのリスク基準を確⽴し，維持する。
- 以下の⽅法によりセキュリティリスクを特定する。
1) 分析対象を明確化する
CPS.RA-5

2) インシデント(周辺状況の変化を含む)並びにこれらの原因を特定する- 以下の⽅法により、情報セキュリティリスクを分析する。

○

1) 上記で特定されたリスクが実際に⽣じた場合に起こり得る結果について評価する(RA-3)

2) 上記で特定されたリスクの現実的な起こりやすさについて評価する- リスク基準を参照し、リスクのレベルを決定し、優先順位付けする・組織は，セキュリティリスクアセスメントのプロセスを⽂書化し、保管する。

O

-

O

-

○
(Clause 6.1.2)

・組織は、システムにセキュリティインシデントが発⽣した際に想定される被害の⼤きさやセキュリティインシデントが発⽣する蓋然性(例︓インター
ネットにつながっているか)、リスクアセスメント実施に係る⼯数等の観点を考慮し、システムを優先順位化してリスクアセスメントの頻度等を設定することが望ましい。
※ CPS.RA-4と共通の実施内容[参考] セキュリティリスクアセスメントの⼿法として、「資産ベース」の⼿法及び「事業被害ベース」の⼿法があることが知られている。資産ベースの⼿法でリスクアセスメントを実施する場合は「中⼩企業の情報セキュリティガイドライン 第3版」（IPA, 2019年）や「制御システムのセキュリ
ティリスク分析ガイド 第2版」(IPA, 2018年) 等を、事業被害ベースの⼿法を実施する場合は「制御システムのセキュリティリスク分析ガイド 第2版」(IPA, 2018年)等を参照することができる。

・リスクアセスメントに基づき、発⽣し得るセキュリティリスクに対する対応策の内容を明確に定め、対応の範囲や優先順位を整理した結果を⽂書化する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階におけるアセスメント
にて判明したセキュリティ及び関連する
CPS.RA-6

セーフティのリスクに対して適宜対応する。

L1_1_a_SYS,<High-Advanced>

L1_1_b_SYS,

・CPS.RA-4で実施したハザード分析の結果に基づき、主に産業⽤制御システムに対して、必要な場合、重要なハザードにつながりうるセキュリティ

L1_1_c_SYS,
L2_1_a_COM,
L2_1_a_PRO,
L2_2_a_SYSに係るリスク源に対して適切に対応する。

-○(A.5.1.2)[参考] 特に安全制御系におけるセキュリティ⾯の統合については、近年国際標準化の場でも議論がなされており、IEC TR 63074, IEC TR 63069等を参照することが可能である。
<Advanced>
・組織は、セキュリティリスク対応のプロセスについての⽂書化した情報を安全に保管する。
・組織は、リスクアセスメントの結果に応じて対応策を選定する際、実施する対応策及び当該対応策を採⽤する理由を⽂書化することが望ましい。
・組織は、対応策の適⽤等に関して、セキュリティリスク対応計画を策定し、リスク所有者の承認を得る。
・組織は、セキュリティリスク対応計画をレビューし、当該計画が⾃組織全体のリスクマネジメント戦略における優先順位に適合しているかどうかを

O

確認する。

○

○

(3.12.4)(PM-4)○・CPS.RA-4で抽出した、IoT機器を含む新しいシステムにおける必要なセキュリティ対策について、然るべき外部事業者に要求仕様として伝達する。

(Clause 6.1.3, Clause

・組織は、IoT機器を含むシステムの導⼊時に、要求仕様や契約段階で定めたセキュリティ対策が実施されているかを受け⼊れ検査などで確認する。

8.3, A.5.1.2)

もし、不明な点があれば、外部事業者に確認する。
<Basic>・組織は、リスクアセスメントの結果を考慮して、対象とするリスクへの対応策を選定する。

O・組織は、セキュリティリスク対応の実施計画を策定する。
・セキュリティリスクの受容について、リスク所有者の承認を得る。

C-7

-

-

添付Ｃ

対策要件ID

対策要件
・⾃組織内におけるサイバーセキュリティ
リスクマネジメントの実施状況について確認し、組織内の適切な関係者（例︓上級管理職）に伝達する。また、⾃組織の事業に対応する

L1_1_a_PRO,<High-Advanced>

L1_1_b_PRO,

・組織は、リスクマネジメント戦略の策定時及び改定時に、重要度の⾼い取引先との間で、リスクマネジメント戦略に関するインタビューを実施する

L1_1_c_PRO,
L1_3_b_ORG,
L1_3_c_ORG

関係する⾃組織及び他組織（例︓業務委託

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

する主体

NIST SP 800-171

NIST SP 800-53 Rev.4

O

-

-

O

-

O

-

O

-

O

-

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013

ことで、セキュリティ上のリスクや必要な対策に関する認識を合致させる。その際、下記事項を扱うことが望ましい。
- ⾃組織の事業内容及び事業の継続に関わる主なセキュリティリスク--- 上記リスクが顕在化した際の、取引先における影響の内容とその規模- 上記セキュリティリスクへの対応⽅針先）の責任範囲を明確化し、関係する他組- （リスクマネジメント戦略改定時の場合）内外の情勢の変化及び前回の版から変更すべきと考える主要なポイント<Advanced>

織によるセキュリティリスクマネジメント

・組織は、情報システム及び産業⽤制御システムの運⽤と使⽤により⽣じる組織の業務と資産、個⼈、他の組織等に対するリスクを管理するための、の実施状況を確認するプロセスを確⽴し、包括的なリスクマネジメント戦略を策定する。

実施する。

・組織は、リスクマネジメント戦略を組織全体にわたって⼀貫性が保たれるように実施する。
・組織は、リスクマネジメント戦略を定期的、あるいは組織的変化に対処するため必要な場合にレビューし、更新する。
・組織の経営層は，組織の リスクマネジメント戦略の内、セキュリティに関わるものについて、下記のような観点を定期的にレビューする。
- どの程度の攻撃に直⾯しているのか（検知しているのか）

CPS.RM-1（アンチウイルス製品/IDSによる検出件数、最新の脅威動向等）- セキュリティ対策の状況は計画通りか（マルウェア対策、セキュリティパッチ適⽤等の実施すべきセキュリティ対策の適⽤率等）

○

○

○

(PM-9)(Clause 9.3)

（4.3.4.2）

-

-

-

-

-

-

-

-

- 攻撃者（内部犯⾏を含む）の侵⼊を許したか、あるいはその可能性はあるか（セキュリティ監視活動を通じた外部からの侵⼊あるいは内部犯⾏が疑われるイベントの説明）- 直接情報システムや産業⽤制御システムとは関係しないセキュリティの状況はどのようなものか（退職者、PCやデバイスの紛失、盗難の発⽣状況等）
・組織は，経営層によるレビューの結果を⽂書化し、保管する。
[参考] 組織の経営層に対してセキュリティに関して報告すべき事項について追加の情報を得る場合は、「CISOハンドブック Ver.1.1 β」(JNSA, 2018
年)、「CISOダッシュボード 〜サイバーセキュリティを経営に組み込むための考察〜」(JNSA, 2018年)を参照することが可能である。
<Basic>・組織は、情報システム、産業⽤制御システムの双⽅において、⾃組織におけるセキュリティリスク対応の責任者を明確にする。
・組織は、⾃⾝の事業において⾃組織が担うセキュリティリスクの責任範囲を明確にする。

・リスクアセスメント結果及びサプライチェーンにおける⾃組織の役割から⾃組織におけるリスク許容度を決定する。

L1_1_a_ORG,<High-Advanced>

L1_1_a_SYS,

・CPS.BE-1＜High-Advanced＞にて実施しているサプライチェーンに係るリスクの現状把握及び CPS.RA-4等で実施しているリスクアセスメントのL1_1_b_ORG,
L1_1_b_SYS,
L1_1_c_SYS

結果を所与として、⾃組織におけるリスク許容度を決定する。

○

・⾃組織におけるセキュリティインシデントにより望ましくない影響を受ける可能性がある重要な取引先に対して、⾃組織のリスク許容度に関する認(下記に加えて、SA-14)

識を共有する。
<Advanced>

CPS.RM-2

・CPS.BE-1＜Advanced＞にて実施しているサプライチェーンの現状把握及び、CPS.RA-4等で実施しているリスクアセスメントの結果を所与とし○て、⾃組織におけるリスク許容度を決定する。

(Clause 6.1.3, Clause<Basic>・組織は、CPS.RA-4等で実施しているリスクアセスメントの結果を所与として、⾃組織におけるリスク許容度を決定する。
・組織は、残存しているリスクの受容について、リスク所有者の承認を得る。

O

-

O

-

○

8.3)

○
（4.3.2.6.5）-(PM-8)

・組織は、リスク対応結果を⽂書化し、リスク許容度の基準及び許容したリスクの⼀覧を安全に保持する。

・取引関係のライフサイクルを考慮してサ
プライチェーンに係るセキュリティの対策基準を定め、責任範囲を明確化したうえで、その内容について取引先と合意する。

L1_1_a_ORG,<High-Advanced><Advanced>共通

L1_1_b_ORG,

・組織は、サプライチェーンに係るセキュリティ対策基準を参照して、ITT(Invitation To Tender)やRFP(Request For Proposal)などの⼊札書類を準

L1_1_c_ORG

備し、潜在的な取引先に提供する。特に、⼊札書類には以下が含まれることが望ましい。
1）調達する製品またはサービスの仕様
2）供給者が製品またはサービスを供給している間に従うセキュリティ要件
3）製品またはサービスの供給中に従うべきサービスレベル及びその指標
4）セキュリティ要件に違反した場合に、委託元が課す可能性のある罰則○○(下記に加えて、(下記に加えて、

SA-9(2))

A.15.2.1)--

5）取引先の選定プロセス中に送信されるデータやシステムなどを保護するための秘密保持条項
・組織は、取引先によるセキュリティ管理策の遵守状況を継続的にモニタリングするための、プロシージャを整備する。
CPS.SC-1

・取引先におけるセキュリティインシデントが⾃組織に影響した場合に備え、契約書にて外部事業者との責任分界点を明確にし、外部事業者の責任範囲において⾃組織に被害が発⽣した場合の損害賠償について記載する等の対応を⾏う。
<Basic>・組織は、該当する法規制等を参照して、取引先（特に、⾃組織のデータを取り扱う可能性のある、またはデータを取り扱うための基盤を提供する可能性のあるもの）に対して適⽤するセキュリティ対策基準を策定し、内容について合意する。
・組織は、取引先（外部情報システムサービスのプロバイダ）に対して、サービスの使⽤に必要な機能、ポート、プロトコル及び他のサービスを明確にする。
[参考] 取引先に対して適⽤するセキュリティ対策基準の策定に当たり、ISO/IEC 27001 附属書Aの管理策をベースに作成された「情報セキュリティ
ベンチマーク」(IPA)や、「サプライチェーン情報セキュリティ管理基準」（⽇本セキュリティ監査協会）等を参考とすることが可能である。

C-8

O

-

○

○

○

(SA-9)(A.15.1.1, A.15.1.2)（4.3.4.4.1）

-

添付Ｃ

対策要件ID

対策要件
・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす組
織やヒトを特定し、優先付けをし、評価す
る。

対応する

L1_1_a_ORG,<High-Advanced>

L1_1_b_ORG,

・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係する他組織、ヒL1_1_c_ORG,
L2_3_c_ORG,
L3_1_b_ORG,
L3_1_c_ORG,
L3_3_a_ORG,
L3_3_b_ORG,
L3_3_d_ORG

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

ト、モノ、データ、システム等）と機能を特定し、優先順位付けする。
・取引先において、事業への悪影響を及ぼすセキュリティインシデントが発⽣した際の、⾃組織への影響の内容及び、その起こりやすさ、規模を推定する主体

NIST SP 800-171

O-

NIST SP 800-53 Rev.4

ISO/IEC 27001:2013
付属書A

IEC 62443-3-3:2013○

する。

（下記に加えて、
4.2.3.3, 4.2.3.8,(下記に加えて、SA-14)<Advanced>-

4.2.3.9, 4.2.3.10）○※ 関連する対策要件に、CPS.AM-6, CPS.BE-2等がある。

○（4.2.3.1, 4.2.3.2,

・組織は、⾃組織のミッション/業務プロセスに重要な影響を及ぼしうるサプライチェーン上の取引先を特定し、当該組織が⾃組織のセキュリティポリ

O

シーに規定されているセキュリティ上の役割と責任を果たせるかどうかを確認する。

IEC 62443-2-1:2010-

4.2.3.4, 4.2.3.6,○

CPS.SC-2(A.15.1.1, A.15.1.2)<Basic>-4.2.3.12, 4.2.3.13,
4.2.3.14, 4.3.4.2）

・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係する他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。
・組織は、⻑期に渡ってIoT機器が使⽤されることが想定される場合、問い合わせ窓⼝やサポート体制等の適切な管理体制が整備されており、販売後のセキュリティサポート⽅針を明確にしている等、⻑期間のサポートが期待できる取引先（IoT機器ベンダ）を選定する。
・組織は、IoT機器のサポート終了時に機器を⼊れ替えることの要否についてシステムの導⼊前に取引先（IoT機器ベンダ）に対して確認する。

O

-

O

-

○
(SA-4)----

・組織は、下記の観点を確認することにより、ITサービスのマネジメントを効率的、効果的に運営管理するサービスプロバイダーを選定することが望ましい。
- JIS Q 20000 に基づく第三者認証（ITSMS認証）を取得している- ⾃⼰適合確認を通じて認証取得相当の対策の実装を確認している・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマネジ
メントが適合していることを確認する。

L1_1_a_PRO,<High-Advanced>

L1_1_b_PRO,

・組織は、システム・モノ・サービスのいずれかを提供する取引先との契約において、当該組織に対して、以下の実施を要求する。

L1_1_c_PRO,
L1_1_d_ORG,
L2_3_c_ORG,
L3_1_b_ORG,
L3_1_b_DAT,
L3_1_c_ORG,
L3_1_c_DAT,- 契約にて指定されたセキュリティ対策を実施したエビデンスの作成、セキュリティテスト／評価結果の提⽰- セキュリティテスト／評価時に特定された⽋陥の修正計画の策定- ⽋陥の修正計画及び、その実施状況の提⽰・組織は、直接の委託先に対して要求しているセキュリティ対策に関する要求事項及びそれに付随する要求事項の内で必要な事項を、サプライチェーンに由来するリスクの⼤きさ等を勘案しつつ、再委託先以降の組織に対して（場合によっては再委託先以降の全サプライヤーに対して）も適⽤するこ○(下記に加えて、SA-11)とが望ましい。

L3_3_d_ORG,
L3_3_a_ORG,. [参考] 委託契約に含め、実施を確認することが望ましい項⽬に関する追加の情報の取得のためには、「ITサプライチェーンの業務委託におけるセキュL3_3_b_ORG,
L3_3_c_ORG,

CPS.SC-3

リティインシデント及びマネジメントに関する調査報告書」(IPA, 2018年)の「3.2. IT サプライチェーン リスクマネジメント の全体像」等を参照することが可能である。

L3_4_a_DAT,<Advanced>

L3_4_b_DAT

・組織のミッション／業務ニーズに応じて、システム、モノ、またはサービスの調達契約に以下の要求事項、記述及び基準を記載する。

○- セキュリティ対策に関する要求事項(A.13.2.4, A.15.1.2)- セキュリティ関連のドキュメントに関する要求事項- セキュリティ関連のドキュメントの保護に関する要求事項- 秘密保持に関する条項- インシデントが発⽣した際の報告先、報告内容、初動、調査、復旧等の各対応の実施主体、実施⽅法- ⾃組織または認可された第三者によって監査され、定義されたセキュリティ要件への遵守を確認することを許可する条件

O-○(下記に加えて、SA-4)○-（4.3.2.6.4,- 契約終了後の情報資産の扱い

4.3.2.6.7）

・組織は、取引先に対して、該当する法規制等に準拠したセキュリティ要求事項を実施し、委託内容の特性等により必要と認められる場合、調達契約において、追加で対策を導⼊することを要求する。
・法規制等を参照してセキュリティ要件を決定し、取引先へ遵守を要求する際、下記を事前に考慮することが望ましい。
- ⾃組織と取引先との法令の相違（例︓業法の違い、国・地域の違い）により⽣じるコンプライアンス上のリスクの特定- 取引先に適⽤される法律及び規制上の義務によるセキュリティの観点からの契約への悪影響<Basic>・組織は、取引先に対して、該当する法規制等に準拠したセキュリティ要求事項を実施することを要求する。
・組織は、委託先の選定、評価のプロセスにおいて、取引先がセキュリティアクションを宣⾔していることを確認する。

C-9

O

-

○
(SA-9)-

添付Ｃ

対策要件ID

対策要件
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、⾃組織のセキュリティに関する要求事項に対対応する

L1_1_a_PRO,<High-Advanced>

L1_1_b_PRO,

・調達する機器に対して、契約におけるセキュリティ要求事項が満たせているかを、⾃組織あるいは第三者がテストする。

L1_1_c_PRO,
L1_1_d_ORG,

して関係する他組織の提供する製品・サーL1_1_d_COM,

ビスが適合していることを確認する。

L2_1_a_COM,
L2_1_a_PRO,
L2_2_a_ORG,
L2_3_a_ORG,
L2_3_c_ORG,
L2_3_c_PRO,
L2_3_d_ORG,
L3_1_b_ORG,

CPS.SC-4

・組織は、⾃組織のオペレーションにとって特に重要な機器について、再委託先以降の組織を含む関係するサプライチェーン全体に渡り、⼀定⽔準以

NIST SP 800-171

NIST SP 800-53 Rev.4

O

-

-

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013

-

-

-

-

-

-

-

-

-

-

-

-

-

-

○
(下記に加えて、
A.14.3.1)<Advanced>
・組織は、契約において、例えば下記のように、取引先から調達する製品・サービスが具備すべきセキュリティ要求事項を明確化する。
- セキュリティに関わる特定の認証（例︓ISMS認証、ISASecure EDSA認証、ITセキュリティ評価及び認証制度(JISEC)）を有していること- ベンダー⾃⾝により、セキュリティに関わる特定の認証の基準に適合する対策を実施していることが確認されていること- リスク分析の結果等から導かれた必要なセキュリティ要件を設計時からの実装（セキュリティ・バイ・デザイン）し、検査していること
・組織は、調達計画時に、製品またはサービス⾃体、あるいは当該製品・サービスの調達・供給にて使⽤される資産の保護に係るセキュリティ要件の費⽤を確保しておくことが望ましい。
・下記を含む製品またはサービスの調達または供給を評価するためのセキュリティ測定ルールを策定し、運⽤及び改善する。
- 測定対象の内容

L3_3_b_ORG,- 措置の報告⽅法、報告の頻度

L3_3_d_ORG

する主体

上の品質管理能⼒、セキュリティマネジメント能⼒等を有した組織により、適切なプロシージャで製造されたものかを確認する。

L3_3_a_ORG,
L3_3_c_ORG,

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

○

O

-

-

(A.8.3.3, A.14.1.1,
A.14.2.9, A.15.1.3)- 措置が実施されない場合に遂⾏される措置・組織は、搬送中の改ざん・漏えいを検知(⼜は抑⽌)する⼿段とともに納品されるIoT機器やソフトウェアが、不正操作されていないかを確認する。
- 物品︓セキュリティ便、プロテクトシール等- 電送︓暗号化、電送データ全体のハッシュ値等<Basic>・組織は、調達時に、⾃組織が所有するIoT機器が正規品であるかをラベルを確認する等して確かめる。
・組織は、IoT機器やソフトウェアに含まれるIDや秘密鍵、電⼦証明書等を⽤いて調達した機器が正規品であることを確認する。
・組織は、製品・サービスの提供について外部の関係者を選定する際、下記を確認する。

O

-

O

-

O

-

O

-

-

-

- セキュリティパッチの配布を含めた、製品・サービスのサポート期間が⼗分設けられていること- サポート期間終了後の対応が明確化されていること

・取引先等の関係する他組織の要員の内、⾃組織から委託する業務に関わる者に対す
るセキュリティ上の要求事項を策定し、運CPS.SC-5

⽤する。

L1_1_a_PEO,<High-Advanced>

L1_1_b_PEO,

・組織は、委託先の要員により委託元が要求するセキュリティ要求事項が遵守されているかどうかを継続的にモニタリングし、通常とは異なる⾏動がL1_1_c_PEO,
L2_3_b_PEO,
L3_1_b_PEO,
L3_1_c_PEO

あった場合、⾃組織の担当者に通知できるようにプロシージャを整備する。
<Advanced>
・サプライヤー関係のセキュリティ⾯について該当する要員を訓練し、機密情報の取り扱いが正しく理解されていることを特に確認する。
・委託業務の遂⾏に当たり、委託元が要求するセキュリティ要求事項が遵守されていることを定期的に確認する。

○○(PS-7)(A.16.1.2, A.16.1.5)<Basic>・委託業務に係るデータの内、機密データや知的財産のように、公開または変更すべきではないものへのアクセス及びデータの開⽰または変更に関わる要員を特定し、評価する。
・組織は、委託先との契約の終了後、速やかに委託先の要員に対する⾃組織施設へのアクセス権限等の、⼀時的に許可していた権限を停⽌する。

・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するために、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。

L1_1_a_DAT,<High-Advanced>

L1_1_a_PRO,

・組織は、契約事項からの逸脱及び、その兆候に対する調査・対応のためのプロシージャをサポートするレビュー・分析・レポートのそれぞれについL1_1_b_PRO,
L1_1_c_PRO,
L2_3_c_ORG,
L2_3_c_PRO,
L2_3_d_ORG,
L3_1_a_DAT,
L3_1_b_ORG,

CPS.SC-6

L3_1_b_DAT,
L3_1_c_ORG,て、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織は、特に重要な取引先及びその再委託先以降の組織に対して、契約にて規定した組織のセキュリティマネジメント、納⼊する製品・サービスにO実装されるセキュリティ機能等に関する義務事項が履⾏されているかどうかを⼀覧化して確認できるメカニズムを利⽤する。

○

・重要な取引先及びその再委託先以降の組織は、関係する攻撃の予兆、情報流出の事実がないかを調査し、組織に対して結果を定期的に報告する。

(A.12.7.1, A.14.3.1,<Advanced>

A.15.2.1)

・組織は、⾃組織が取引先との契約において要求事項として規定した内容に関連して、システム上での監査が可能かどうか、確認する。
・上記で定義されているシステム上で監査可能なイベントのために、監査記録を⽣成する機能を情報システムが提供する。
・組織は、監査に関連する情報が必要な他の組織との間で、セキュリティ監査の整合性を保つことができるようにする。

L3_3_b_ORG,

無を確認する。

L3_3_c_ORG,

・チェックリストを⽤いた取引先による内部監査により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

L3_3_d_ORG,<Basic>

L3_4_a_DAT,

・各種認証・制度（ISMS認証、CSMS認証、Pマーク等）の取得証明書を確認することで、必要なセキュリティ対策実施確認の代替とする。

O

L3_3_a_ORG,. ・組織は、⼿作業ないしは情報システムにより⾃動で⽣成された監査記録を定期的にでレビュー・分析して、契約事項からの逸脱及び、その兆候の有・取引先等の関係する他組織に対する監査、テストの結果、契約事項に対する不適合が発⾒された場合に実施すべきプロシー
ジャを策定し、運⽤する。

L1_1_a_PRO,<High-Advanced>

L1_1_b_PRO,

・組織は、取引先の監査あるいはテストの不適合が発⾒された場合、下記を実施するプロシージャを策定し、運⽤する。

L1_1_c_PRO,
L1_1_d_ORG,
L2_2_a_ORG,
L2_3_c_ORG,

CPS.SC-7

L2_3_c_PRO,
L3_1_b_ORG,
L3_1_c_ORG,
L3_3_a_ORG,
L3_3_b_ORG,
L3_3_c_ORG,
L3_3_d_ORG○(下記に加えて、
AU-6(1), AU-6(3))

・委託元による実地調査、外部監査等の⼿法により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

L3_1_c_DAT,

L3_4_b_DAT○(下記に加えて、3.3.5)

1）不適合から⽣じるセキュリティの影響を特定し評価する
2）契約で定義されているセキュリティに関わる規定を再検討すべきかどうかを判断する○(3.3.1)○○(AU-2, AU-6, AU-12,（4.3.2.6.7,

SA-9)

4.3.4.3.1）○（SR 6.1）

O

-

-

-

-

-

O

-

-

-

-

-

O

-

-

-

-

-

O

-

-

-

-

-

3）調達された製品またはサービスの範囲内で許容可能なセキュリティレベルを取得するために、実施すべき是正措置を決定する。
4）上記を取引先と同意する<Advanced>
・組織は、取引先の監査あるいはテストの不適合が発⾒された場合、取引先に対して改善計画の策定を求め、計画の実施状況について必要に応じて確認するプロシージャを策定し、運⽤する。
<Basic>・組織は、取引先の監査あるいは製品・サービスに対するテストで不適合が発⾒された場合、発⽣した不具合による⾃組織へのリスクを把握する。

C-10

添付Ｃ

対策要件ID

対策要件
・⾃組織が関係する他組織及び個⼈との契約上の義務を果たしていることを証明するための情報（データ）を収集、安全に保管し、必要に応じて適当な範囲で開⽰できる
ようにする。

CPS.SC-8

対応する

L1_1_d_ORG,<High-Advanced>

L2_2_a_ORG,

・組織は、取引先、第三者的な監査機関等の関係する他組織からのリアルタイムでのニーズに柔軟に応じるため、下記の特徴を有した証跡保管システ

L2_3_c_ORG,
L2_3_c_PRO,
L3_1_b_ORG,
L3_1_c_ORG,
L3_3_a_ORG,
L3_3_b_ORG,
L3_3_c_ORG

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

ムを利⽤する。
- 対象となる監査証跡の契約事項に対する適格性を⾼速で検証することができる

する主体

NIST SP 800-171

NIST SP 800-53 Rev.4

O

-

-

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013

-

-

○

（SR 6.1）- 取引先や委託を受けた監査機関等の許可を受けたエンティティのみがアクセスできる- 保管されているデータが、タイムスタンプや電⼦署名により証跡としての信頼性を有している○<Advanced>
・組織は、システムによって⽣成された監査記録のうち⻑期にわたって取得する監査記録を確実に取得できるよう、対策を実施する。
・システムは、監査記録を次の脅威から保護するため、粒度の⾼いアクセス制御等を監査記録を保存するモノ、システムに適⽤することが望ましい。
- 記録されたメッセージ形式の変更

○

O/S

-

(A.12.4.1, A.18.1.3)○(下記に加えて、AU-9,
AU-11(1))- ログファイルの変更⼜は削除（4.3.2.6.7）- ログファイル媒体の記録容量超過<Basic>・組織は、法規制等により要求される事項を満たす事ができるよう、適切な期間の監査記録を保持する。

・サプライチェーンにおけるインシデント

L1_3_b_PEO

O

-

○

-

(AU-11)<High-Advanced>
・組織は、サプライチェーンにおけるセキュリティインシデントの対処を想定し、⾃組織とサプライチェーンに関与する他の組織との間で、インシデ対応活動を確実にするために、インシデン

ント対応活動を調整するプロシージャを整備する。

ト対応活動に関係する者の間で対応プロセ

・組織は、サプライチェーンにおけるセキュリティインシデントの対処を想定し、サプライチェーンに関与する他の組織との間で、インシデント対応

スの整備と訓練を⾏う。

活動を調整するテストを実施する。

O○(3.6.1, 3.6.3)○(下記に加えて、IR-4,○--

IR-4(10))

SR 3.3）[参考] サプライチェーンにおけるセキュリティインシデントには、例えば、システムコンポーネント、IT 製品、開発プロセスまたは開発者、流通過

CPS.SC-9程または倉庫施設に対する侵害等がある。
<Advanced>
・組織は、インシデント対応要件が満たされるよう、⾃組織のインシデント対応プロセスと、⾃組織の事業継続上、重要な機能を有する外部サービス
プロバイダのインシデント対応プロセスを調整する。

O○(3.6.1, 3.6.3)(CP-2, CP-2(7))-○（4.3.2.5.7）

・組織は、⾃組織と外部サービスプロバイダーとの間で連携を要するインシデント対応プロセスをテストする。
<Basic>・組織は、⾃組織で起こり得るセキュリティインシデント及び、⽣じうる被害を把握している。

・取引先等の関係する他組織との契約が終了する際（例︓契約期間の満了、サポートの終了）に実施すべきプロシージャを策定
CPS.SC-10（下記に加えて、

L1_1_a_PRO,<High-Advanced>

L1_1_b_PRO,

・組織は、製品またはサービスの供給に必要な⾃組織のリソースにアクセスしそれを処理するために相⼿⽅に付与された論理的及び物理的アクセス権

L1_1_c_PRO○（SR 2.8, SR 6.1, SR
7.3, SR 7.4）

O

-

-

-

-

-

O

-

-

-

-

-

O

-

-

-

-

-

O

-

-

-

-

-

O

-

-

-

-

-

が、契約終了後に適時に削除されることを保証する。
<Advanced>

し、運⽤する。

・組織は、製品またはサービスの供給が取り消されるか、または⾃組織または他の取引先に返還されるかどうかを現在の取引先と決定する。
・組織は、製品またはサービスの供給によって影響を受けるヒトにその終了に関する情報を提供するためのコミュニケーションを⾏う。
・組織は、終了計画に従い、製品またはサービス供給の終了を実⾏する。
・組織は、提供された製品またはサービスの終了の達成について、取引先と同意する。
<Basic>・組織は、取引先等の関係する他組織との契約が終了する時期を常に把握している。

・サプライチェーンに係るセキュリティ対
CPS.SC-11

策基準及び関係するプロシージャ等を継続的に改善する。

L1_1_a_PRO,<High-Advanced><Advanced><Basic>共通

L1_1_b_PRO,

・取引先のセキュリティに関わるパフォーマンスを継続的にモニタリングし、最新の脅威動向、規制動向等を踏まえ、サプライチェーンに係るセキュ

L1_1_c_PRO

リティ対策基準及び、それに付随するプロシージャをレビューし、必要に応じて改定する。

C-11

添付Ｃ

対策要件ID

対策要件
・承認されたモノとヒト及びプロシージャの識別情報と認証情報を発効、管理、確認、取消、監査するプロシージャを確⽴し、実施する。

対応する

L1_1_a_COM,<High-Advanced>

L1_1_a_SYS,

・組織は、⾃組織の情報システム及び産業⽤制御システムにおけるアカウントの管理について、例えば以下のような⾃動化されたメカニズムを導⼊

L1_1_b_COM,
L1_1_b_SYS,
L1_1_c_COM,
L2_3_c_SYS
L3_1_a_SYS,
L3_3_a_SYS

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

する主体

NIST SP 800-171

O/S-

NIST SP 800-53 Rev.4

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013

-

-

-

-

し、運⽤する。
○- 管理対象となるシステムからアカウント情報を定期的に⾃動収集する- 特権アカウントのパスワードを⾃動で変更する
・産業⽤制御システムは、統合されたアカウント管理をサポートする。

(下記に加えて、
AC-2 (1), AC-2 (2),AC-2 (3), AC-2(4))

・情報システムは、⾃組織のシステムの⼀時利⽤アカウントや緊急アカウント、利⽤されていないアカウントについて、⼀定期間の経過後⼜は申請時
利⽤期限終了後に⾃動的に無効にする。

○

・情報システムは、⾃組織が利⽤するシステムのアカウント作成・変更・削除に伴うアカウントの有効化及び無効化について⾃動的に監査・報告する。

(下記に加えて、<Advanced>

A.9.2.4, A.9.2.5)

・組織は、システムアカウントの作成に当たっては、管理責任者による承認を必須とする。
・共有ユーザアカウントに関しては、認証情報を知りえるユーザを⼀覧等で管理し、アカウントを利⽤する範囲を特定可能にする。
・組織は、情報システムにおけるシステムアカウントの利⽤状況をモニタリングする。

O/S

・組織は、アカウントが不要にな-った場合や変更が必要となった場合には管理責任者に通知する。

-

・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・組織は、情報システム及び産業⽤制御システムにおいてパスワードが変更された場合、ユーザー（または管理責任者）に通知する。

CPS.AC-1

・情報システムは、クレデンシャルを忘れてしまった際等にクレデンシャルを再設定する場合、悪意ある者によるクレデンシャルの不正な変更を防ぐため、当該アカウントが⾃⾝のものかどうかを確認するための安全な⼿順を適⽤する。
<Basic>・組織は、⾃組織の情報システム及び産業⽤制御システムのアカウントを管理する管理責任者を配置する。
○

・組織は、組織のミッションや業務機能を考慮して、必要なシステムアカウント種別（例︓⼀般ユーザ／システム管理者／共有ユーザ／⼀時的なユー(AC-2)

ザ）を識別・選択する。
・組織は、事前に定められたプロシージャに従ってシステムアカウントを作成、有効化し、必要に応じて変更・無効化・削除を実施する。

○

・組織は、⾃組織の情報システム及び産業⽤制御システムに対するクレデンシャル（例︓パスワード、セキュリティキー）のポリシーを定め、そのポ○リシーを満たすクレデンシャルでなければ設定できない機能を実装する。ポリシーの内容の例としては、下記が挙げられる。
- クレデンシャルに最低限必要な複雑さを確保するため、パスワードに求める要求事項を定め、運⽤する。

O-(A.9.1.1, A.9.2.1,
A.9.2.2, A.9.2.6)- 新しいクレデンシャルが作成される際には、少なくとも組織が定めた⽂字数に変更させる。

○（4.3.3.5.1）（SR 1.1, SR 1.2, SR
1.3, SR 1.4, SR 1.5,
SR 1.7, SR 1.8, SR
1.9 ）- 暗号によって保護されたクレデンシャルのみを保存・伝送する。
- 同じクレデンシャルを組織が定めた世代にわたって再利⽤するのを禁⽌する。
・クレデンシャルを忘れてしまった際等に、強固なパスワードにすぐに変更するのを条件に、システムへのログオン時に、⼀時的なクレデンシャルを使⽤することを許可する。
・組織は、複数のユーザが単⼀のグループとして機能する場合を除き、情報システム及び産業⽤制御システムにおいてユーザ識別情報を、複数のシス
テムユーザで共有しない。

・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監視
カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

L1_1_a_SYS,<High-Advanced>

L1_1_c_SYS,

・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。

L2_3_b_PEO,
L2_3_b_SYS,
L2_3_c_SYS,
L2_3_d_SYS,
L3_1_a_SYS

CPS.AC-2

・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。

O-・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。
<Advanced>
・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。

O・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。

○○(下記に加えて、PE-4,(下記に加えて、

PE-5, PE-6 (1))

A11.1.1.4, A11.2.3)

-

○

○

○

(3.10.2, 3.10.4,(下記に加えて、(下記に加えて、○

3.10.5)

PE-6, PE-8)

A.11.1.1, A.11.1.5)（4.3.3.3.2,○○(A.9.2.6, A.11.1.2,(3.10.1, 3.10.3)(PE-2, PE-3, PE-8)-

4.3.3.3.8）<Basic>○・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアに対するアクセスリストの維持管理及びアクセスに必要な許可証明書を発⾏する。
・組織は、⾃組織の施設においてセキュリティを保つべき物理的セキュリティ境界を定め、境界内に設置している資産のセキュリティ要求事項及びリ
スクアセスメントの結果に応じてアクセス制御を実施する。

O-

A.11.1.3, A.11.1.6,
A.11.2.8, A.11.2.9)

・組織は、物理的セキュリティ境界内における⾃組織または⾃組織外の⼀時的に認可された⼊場者に対して、認可された関係者の付き添い⼜は監視カ
メラ等により作業内容をモニタリングできるようにする。

・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

L2_3_c_SYS,<High-Advanced>

L3_3_a_SYS

・情報システム及び産業⽤制御システムは、⾃組織のシステムに関するリモートアクセスについて、⾃動モニタリングまたは⾃動制御を実施する。

○

・情報システム及び産業⽤制御システムは、管理されたアクセスポイントによりルーティングされたリモートアクセスだけを許可する。

(下記に加えて、・情報システムは、定めた要求に基づく⽬的のみリモートアクセスによる特権コマンドの実⾏を認可する。
・情報システムは、機密性の⾼いデータを扱うシステムにアクセスしたユーザがリモートアクセスによって特権コマンドを実⾏した理由とともに、リモートアクセスによってセキュリティ関連情報にアクセスした理由を記録する。

S

・情報システムは、機密性の⾼いデータを扱うシステムへの無線アクセスは、ユーザ及び機器による認証を暗号化とともに⽤いることによって保護する。
CPS.AC-3○

3.1.12, 3.1,13,(下記に加えて、

3.1.14, 3.1.15,

AC-17(1), AC-17(2),3.1.17, 3.1.19,

AC-17(3), AC-17(4),3.10.6, 3.13.12,

AC-18(1), AC-19(5))○--（下記に加えて、SR
1.13）

3.13.15)

・情報システムは、機密性の⾼いデータを扱う可能性のあるネットワークでつながっているホワイトボード、カメラ、マイク等の連携する機器をリモートから活性化することを禁⽌し、機器の利⽤者に利⽤中の機器の兆候を提供する。

○<Advanced>
・組織は、⾃組織で利⽤する携帯機器を制限し、携帯機器の設定要件、接続要件、実装ガイダンス等を定める。

O(下記に加えて、
3.1.18)・組織は、⾃組織で利⽤する携帯機器から⾃組織のシステムの接続に関する承認ルール等を定める。

○(下記に加えて、AC-19)○(下記に加えて、-

A.6.2.1)○<Basic>（SR 1.1, SR 1.2, SR・組織は、許可しているリモートアクセスのタイプごとに使⽤制限・構成要件・実装ガイダンス等を定める。

O・組織は、許可されていない無線接続を原則禁⽌とする。
・組織は、⾃組織の情報システム及び産業⽤制御システムへのリモートアクセスの利⽤に関する承認ルール等を定める。
・組織は、⾃組織のシステムへの無線によるアクセスを許可するのに先⽴って、無線でシステムにアクセスする権限を与える。

C-12

○

○

○

(3.1.16)(AC-17, AC-18)(A.6.2.2)

-

2.6）

添付Ｃ

対策要件ID

対策要件
・⼀定回数以上のログイン認証失敗によるロックアウトや、安全性が確保できるまで

対応する

する主体

L2_1_b_SYS,<High-Advanced>

L3_3_a_SYS

・情報システム及び産業⽤制御システム（対応の即時性が求められる⼀部の例を除く）は、⾃組織のシステムに対してユーザが連続してログオンを失NIST SP 800-171

NIST SP 800-53 Rev.4

ISO/IEC 27001:2013
付属書A

S

IEC 62443-2-1:2010-

敗できる上限を設定し、上限以上失敗した場合には管理者が解除しなければ再ログインできない機能を実装する。

再ログインの間隔をあける機能を実装する

IEC 62443-3-3:2013○（SR 1.11）<Advanced>

等により、IoT機器、サーバ等に対する不CPS.AC-4

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

・情報システム及び産業⽤制御システムは、⾃組織のシステムに対してユーザが連続してログオンを失敗できる上限を設定し、上限以上失敗した場合

正ログインを防ぐ。

には⼀定期間再ログインできない機能を実装する。
・情報システム及び産業⽤制御システムは、組織が定める時間を越えてシステムの無操作が持続する場合、⼿動⼜は⾃動でセッションロックを実施す

○

○

○

(3.1.8)(AC-7)(A.9.4.2)

S○-（SR 1.11, SR 1.13,
SR 2.6）る。
※ 産業⽤制御システムにおいて、緊急時対応においてオペレータの即時対応が求められるようなセッションを実施するケースが想定される場合、セッ
ションロックを実施しないことが望ましい。
<Basic>(該当なし)

・職務及び責任範囲（例︓ユーザー／シス
テム管理者)を適切に分離する 。

L1_1_a_SYS,<High-Advanced>

L1_1_b_SYS,

・組織は、アクセス権限設定等のセキュリティ機能を利⽤する管理者を明⽰し、⾃組織のシステムにおける特権アカウントを制限する。

L2_1_c_SYS,
L3_1_a_SYS

-

-

○

(下記に加えて、

O/S(下記に加えて、3.1.6,

AC-6(1), AC-6(2),3.1.7)

AC-6(5), AC-6(9),・情報システムは、⾮特権ユーザによって変更されて実装されたセキュリティ対策を無効にするとともに回避・変更する等、システムが⾮特権ユーザ
・組織は、セキュリティインシデントによる被害を最⼩化するため、有事においてシステム管理者の権限を利⽤できるユーザを最少化させることがでAC-6(10))

きる。
・組織は、セキュリティインシデントによる被害を最⼩化するため、システム管理者であっても、サーバの重要なサービスや保護されたプロセスを停

-

-

-

-

○
(A.6.1.2, A.9.2.3,

⽌できないようにすることができる。

A.9.4.1, A.9.4.4)<Advanced>

CPS.AC-5-○

・情報システムは、特権的機能の使⽤をチェックするため、システムが監査するメカニズムを導⼊する。
による特権的機能の実⾏を禁⽌する。

-

・組織は、⾃組織の情報システム及び産業⽤制御システムにおいて職務分離(例︓ユーザ/システム管理者)を踏まえたアクセス制御を実施する。
・組織は、特定の職務権限に対して最⼩権限の原則を採⽤する。

O- ⼀般のユーザアカウントの権限と、特権アカウントの権限を分離する(⾮セキュリティ機能を利⽤する場合には、⾮特権アカウントでの利⽤を要求する。)○(3.1.4, 3.1.5, 3.13.3)○○(AC-3, AC-5, AC-6,(4.3.3.2.7)

SC-2)

-

- ⾃らの担当外の職務に対する権限を最⼩とする・組織は、担当者によって割り当てられた職務を分離し、明⽂化する。
<Basic>・組織は、⾃組織の機密性の⾼い情報システムにおいて職務分離（例︓ユーザ／システム管理者）を踏まえたアクセス制御を実施する。
・⼈的リソース等の関係で、職務の分離が困難な場合、あらかじめ指定された役職者以外が特定の職務を実⾏する際に、他の要員が職務の遂⾏をモニ

O

-

-

○

(下記に加えて、(下記に加えて、3.5.4)

IA-2(2), IA-2(8),--○（SR 2.1）

タリングする等の代替策を講ずることが望ましい。

・特権を持つユーザーのシステムへのネッ
トワーク経由でのログインに対して、想定されるリスクも考慮して、信頼性の⾼い認証⽅式（例︓⼆つ以上の認証機能を組み合わせた多要素認証）を採⽤する。

CPS.AC-6

L1_1_a_SYS,<High-Advanced>

L1_1_b_SYS,

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて⾮特権アカウントでのシステムやネットワーク等へのアクセスに対して多要素

L2_1_c_SYS,
L3_1_a_SYS○

認証を実施する。
・機密性の⾼いデータを取り扱う⾃組織の情報システムについて、特権アカウントまたは⾮特権アカウントでのシステムやネットワーク等へのアクセ

Sスに対して、リプレイ攻撃に対する耐性のある認証メカニズムを実施する。

IA-2(9))○[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

(下記に加えて、<Advanced>

A.9.1.2, A.9.2.3,

ワーク経由での特権アカウントへのログインを原則禁⽌する。
・情報システムは、⾃組織のシステムについて管理者アカウントの無効化等制限が実施できない場合には、特権アカウントでのシステムやネットワー○

A.9.4.1, A.9.4.4)

・組織は、対象システムにおける特権アカウントへの不正ログインのリスク等を勘案し、⼗分に信頼性の⾼い認証⽅式を実装できない場合、ネット

S

ク等へのアクセスに対して多要素認証を要求する。

○(下記に加えて、3.5.3)（SR 2.1）○(下記に加えて、IA--

2(1), IA-2(3))

・情報システムにおけるデフォルトの管理者アカウントは、原則無効化する。
・情報システムは、権限付与等の特権操作を実施する場合には、利⽤ユーザアカウントに対して必要最⼩限の特権操作権限を付与する。
<Basic>・組織は、⾃組織のシステムについて特権アカウントまたは⾮特権アカウントでのシステムやネットワーク等へのアクセスに対して、⼀意に識別する認証を実施する。

C-13

O/S

○

○

○

(3.5.1)(IA-2)(A.9.2.1)-

添付Ｃ

対策要件ID

対策要件
・データフロー制御ポリシーを定め、それに従って適宜ネットワークを分離する（例︓開発・テスト環境と実運⽤環境、

対応する

L2_1_b_SYS,<High-Advanced>

L3_1_a_DAT,

・情報システム及び産業⽤制御システムは、⾃組織のシステムを構成するネットワークの内部における境界について通信をモニタリングし、制御す

L3_4_b_SYS

通信トラフィックのみ接続可能とするメカニズムを整備する。

等してネットワークの完全性を保護する。

する主体

NIST SP 800-171

○

○

S

(下記に加えて、3.1.3,(下記に加えて、

3.13.6, 3.13.7)

SC-7(5), SC-7(7))

る。
・機密性の⾼いデータを取り扱う⾃組織のシステムの繋がるネットワークについては、ネットワーク通信をデフォルトで拒否するものとし、許可した

IoT機器を含む環境と組織内の他の環境）参照ガイドライン対策例を実⾏

対策例

脆弱性ID・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理的に分離する。

NIST SP 800-53 Rev.4

IEC 62443-2-1:2010

IEC 62443-3-3:2013--○
A.13.1.1, A.13.1.3,

ル接続を複数同時に確⽴するのを阻⽌すると同時に、別の接続によって外部ネットワークのリソースにアクセスできないようにする。

A.14.1.2, A.14.1.3)<Advanced>
・情報システム及び産業⽤制御システムは、⾃組織のシステムの繋がるネットワークにおける外部境界（産業⽤制御システムの場合は情報システムとO/Sの境界）について通信をモニタリングし、制御する。

付属書A(下記に加えて、・機密性の⾼いデータを取り扱う⾃組織の情報システムが遠隔地にある装置とコネクションを確⽴している場合、その装置がシステムとの間でローカ

CPS.AC-7

ISO/IEC 27001:2013-

・組織は、⾃組織のシステムの有効なセキュリティを促進する設計として境界保護装置等を設置し、当該装置を介して外部ネットワーク等に接続す○○（4.3.3.4.2,(下記に加えて、SC-7)

4.3.3.4.3）

る。
<Basic>○・組織は、情報システム及び産業⽤制御システム内でデータフローが許可される範囲やシステム間におけるデータフローが許可される範囲を定めた（SR 3.1, SR 3.8）

データフロー制御ポリシーを定め、適切に論理的あるいは物理的にネットワークを分離することで、フローの制御を実施する。
・組織は、産業⽤制御システムにおいて、制御システムのネットワークを情報システムとのネットワークから論理的あるいは物理的にセグメント化す
る。

O/S

○

○

○

○

(3.1.3)(AC-4)(A.12.1.4, A.13.2.1)（4.3.3.4.1）

○

○

○

○

○

（4.3.3.2.2,（SR 1.1, SR 1.2, SR(3.5.5, 3.5.6, 3.8.2)(IA-4)(A.7.1.1, A.9.2.1)

4.3.3.5.2, 4.3.3.7.2,

1.4, SR 1.5, SR 1.9,

4.3.3.7.3）

SR 2.1）[参考] 他のネットワークと物理的に離れた環境においては物理的なセグメント化を実施する、他のネットワークと物理的に近接した環境では、対策のコスト等も考慮して論理的なセグメント化を実施する等の対応が可能である。

・IoT機器、サーバ等が実施する通信は、
適切な⼿順で識別されたエンティティ（ヒCPS.AC-8

L2_1_b_SYS,<High-Advanced><Advanced><Basic>共通

L3_3_a_SYS

・組織は、⾃組織のIoT機器、サーバ等について識別⼦を割り当てるとともに、識別⼦が再利⽤することを防⽌、⼀定期間が経過した識別⼦を無効にすることで、識別を管理する。

ト／モノ／システム等）との通信に限定す・情報システム及び産業⽤制御システムは、⾃組織のIoT機器、サーバ等について、ネットワークでの接続を確⽴する前に、それらのデバイスを⼀意

る。

O/S

に識別し、認証する仕組みを備える。
・IoT機器での通信は、通信を拒否することをデフォルトとし、例外として利⽤するプロトコルを許可する。

・IoT機器やユーザーによる構成要素（モノ／システム等）への論理的なアクセス
を、取引のリスク（個⼈のセキュリティ、
プライバシーのリスク及びその他の組織的なリスク）に⾒合う形で認証・認可する。

L1_1_a_SYS,<High-Advanced>

L1_1_b_SYS,

・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤しL2_1_b_SYS,
L3_1_a_SYS,
L3_4_b_SYS

た認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないことをあらかじめ

S

確認する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユー○○(下記に加えて、(下記に加えて、IA-2,

3.1.11)IA-5(2), AC-12)

ザのセッションを⾃動的に終了させる機能を実装する。

4.3.3.6.3, 4.3.3.6.5,
4.3.3.6.7）○（下記に加え、SR
1.9）○(A.9.3.1, A.9.4.3,[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

A.9.4.5)<Advanced>○

・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持った認証を実施す(3.1.1, 3.1.2, 3.1.9,

る。
CPS.AC-9○（下記に加えて、・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に関する通知

O/S

3.1.10, 3.5.2, 3.5.7,
3.5.8, 3.5.9, 3.5.10,

メッセージ等を表⽰する。

3.5.11)

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。

○○（4.3.3.6.1,(IA-5, IA-5(1), IA-6,

4.3.3.6.2, 4.3.3.6.4,

AC-8, AC-11, AC-

4.3.3.6.6, 4.3.3.6.8,

11(1))

4.3.3.6.9）○（SR 1.1, SR 1.2, SR
1.5, SR 1.7, SR 1.8,
SR 1.10）

・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
<Basic>・組織は、⾃組織の情報システム及び産業⽤制御システムに対するクレデンシャル（例︓パスワード、セキュリティキー）のポリシーを定め、そのポリシーを満たすクレデンシャルでなければ設定できない機能を実装する。ポリシーの内容の例としては、下記が挙げられる。
- クレデンシャルに最低限必要な複雑さを確保するため、パスワードに求める要求事項を定め、運⽤する。
- 新しいクレデンシャルが作成される際には、少なくとも組織が定めた⽂字数に変更させる。

O/S- 暗号によって保護されたクレデンシャルのみを保存・伝送する。
- 同じクレデンシャルを組織が定めた世代にわたって再利⽤するのを禁⽌する。
・クレデンシャルを忘れてしまった際等に、強固なパスワードにすぐに変更するのを条件に、システムへのログオン時に、⼀時的なクレデンシャルを使⽤することを許可する。
・情報システム及び産業⽤制御システムは、認証されたユーザに対して、実⾏可能なトランザクション及び機能を制限する。

C-14

-

-

-

-

-

添付Ｃ

対策要件ID

対策要件
・⾃組織の全ての要員に対して、セキュリ
ティインシデントの発⽣とその影響を抑制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施し、その記録を管理する。

対応する

する主体

L1_1_a_PEO,<High-Advanced>

L1_1_b_PEO,

・組織は、内部不正の兆候を認識・報告するためのセキュリティ意識向上トレーニングを、全要員に対して実施する。

L1_1_c_PEO,
L1_1_d_PEO,
L1_2_a_PEO,
L1_3_a_PEO,
L1_3_a_DAT,
L1_3_c_PEO,
L3_4_a_PEO

CPS.AT-1

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

O

NIST SP 800-171○(下記に加えて、3.2.3)

NIST SP 800-53 Rev.4

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013--○(下記に加えて、
AT-2(2))<Advanced>
・組織は、基本的なセキュリティ意識向上トレーニングを定期的に全職員に対して実施する。組織は、CPS.AT-1＜Basic＞の[参考]に記載されている
⼀般的な事項を解説しているコンテンツに加えて、組織によって内容が異なる内容として、例えば、下記の事項を扱うことができる。
- 不審なメールを受信した際の対応⼿順（どこにどのような内容を連絡すればよいか）O- モバイル端末利⽤の注意点（例︓公衆無線LANに接続する際の注意点）- SNSを利⽤する際の注意点○○(3.2.1)(下記に加えて、AT-3)○

・組織は、情報セキュリティ要員の育成とレベル向上のための役割別（例︓システム/ソフトウェア開発者、調達担当者、システム管理者、セキュリ(A.7.2.1, A.7.2.2)

ティ対策担当者）のプログラムを作成し、定期的に該当する要員に対して実施する。

○（4.3.2.3.4,
4.3.2.4.1, 4.3.2.4.2,
4.3.2.4.6, 4.3.3.2.5,

・組織は、⾃組織の要員に対するセキュリティに係る教育・訓練の記録を定期的にレビューする。
<Basic>4.3.4.5.4,

・組織は、⾃組織の利⽤する情報システム及び産業⽤制御システムに対する変更により必要になった場合や新規職員に対して基本的なセキュリティ意

4.3.4.5.11）

識向上トレーニングを実施する。
・組織は、⾃組織の要員に対するセキュリティに係る教育・訓練の内容や結果等について記録し、管理する。

O

-

○

-

(AT-2)[参考] 組織が従業員等に対してセキュリティ教育を実施する際、IPAが公開している「情報セキュリティ読本 教育⽤プレゼン資料」の内容を参照する
ことが可能である。

・⾃組織におけるセキュリティインシデントに関係し得る、セキュリティマネジメン
トにおいて重要度の⾼い関係他組織の担当

L1_3_b_PEO,<High-Advanced>

L1_3_a_DAT,

・組織は、⾃組織の要員及びセキュリティインシデントに関係しうる関係組織に対して、担当する要員へ割り当てられた役割の遂⾏状況をモニタリン

L3_3_a_PEO

-

-

-

-

<Advanced>者に対して、割り当てられた役割を遂⾏す
CPS.AT-2

O

練（例︓実際のインシデント発⽣時を想定した、シミュレーション）、セキュリティ教育を実施を要求し、その実施状況を確認する。

キュリティ教育を実施し、その記録を管理-○・組織は、⾃組織におけるセキュリティインシデントに関係しうる関係組織に対して、担当する要員へ割り当てられた役割を遂⾏するための適切な訓るための適切な訓練（トレーニング）、セ-

グを実施する。

O○(下記に加えて、3.2.2)

・組織は、⾃組織のセキュリティマネジメントにおいて重要度の⾼い関係他組織の担当者に対する教育・訓練の記録を定期的にレビューする。

（下記に加えて、
4.3.2.4.3,-

4.3.4.5.11）<Basic>する。

・組織は、⾃組織の要員へ割り当てられた役割を遂⾏するための適切な訓練（例︓実際のインシデント発⽣時を想定した、シミュレーション）、セO

キュリティ教育を実施を要求し、その実施状況を確認する。
・組織は、⾃組織のセキュリティマネジメントにおいて重要度の⾼い関係他組織の担当者に対する、セキュリティに係る教育・訓練の内容や結果等に○(3.2.1)○--（4,3,2,4,1,-

4.3.2.4.2, 4.3.2.4.6）

ついて記録し、管理する。

⾃組織の要員や、重要度の⾼い関係他組織の担当者に対する、セキュリティに係る訓CPS.AT-3

練、教育の内容を改善する。

L1_1_a_PEO,<High-Advanced><Advanced>共通

L1_1_b_PEO,

・組織は、⾃組織の要員及び関係他組織の担当者等のセキュリティに対する理解をより確実にするため、教育、訓練による効果を継続的に検証する。

L1_1_c_PEO,
L1_3_a_PEO,
L1_3_b_PEO,
L1_3_c_PEO,
L3_3_a_PEO,

・組織間で保護すべき情報を交換する場
合、当該情報の保護に係るセキュリティ要件について、事前に組織間で取り決める。

L3 4 a PEO
L3_1_a_PRO,
L3_4_a_DAT,
L3_4_b_DAT

・組織は、セキュリティに係る教育・訓練に関する記録のレビュー結果を参照し、新たな⼜は変化する脅威、脆弱性の情勢を踏まえて、教育、訓練のO<Basic>・組織は、セキュリティに係る教育、訓練の実施後に、対象者の実施内容に対する理解を確認するため、アンケートや簡易のテスト等を実施し、結果○-内容を改定する。

○○(AT-1)(A.7.2.2)

O

-

O

-

-

O

-

-

○

○

O/S

(下記に加えて、3.8.6,（下記に加えて、

3.13.11, 3.13.8)

SC-12(1)）(4.3.2.4.4, 4.3.2.4.5)

-

-

-

-

-

-

-

-

-

-

-

を確認する。
<High-Advanced><Advanced>共通
・組織は、交換するデータの重要度、想定されるリスクを勘案して、具体的なセキュリティ対策要件を指定し、取引先に対して実装を求める。
・組織は、再委託先以降の事業者へのデータ取扱い業務の委託を、直接の取引先に求める⽔準のセキュリティ対策が実装されていることが確認される場合に限って、許可する。

CPS.DS-1<Basic>・組織は、取引先が取り扱う可能性のあるデータに関して、秘密保持契約を締結することで、取り扱いを規定する。
・組織は、直接の取引先に対して、データの管理に関わる業務の再委託を禁⽌する。
[参考] 「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年)で、委託契約時の機密保持契約条項のサンプルを提供している。

・情報を適切な強度の⽅式で暗号化して保管する。

L1_1_a_DAT,<High-Advanced>

L3_1_a_DAT,

・組織は、選択したアルゴリズムをソフトウェア及びハードウェアへ適切に実装し、暗号化された情報の復号⼜は電⼦署名の付与に⽤いる鍵、識別L3_3_d_SYS,
L3_4_b_SYS

コード及び主体認証情報等を保護するため、暗号モジュール試験及び認証制度に基づく認証を取得している製品を選択する。
・⾃組織の保護すべきデータを組織外へ持ち出す場合、データを適切な強度で暗号化する。
・組織は、内部メモリのデータを暗号化して保管することのできるIoT機器を利⽤する。
<Advanced>
・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、情報（データ）を適切な強度の⽅式で暗号化して保管する。
CRYPTREC暗号リスト（電⼦政府推奨暗号リスト）に記載されたアルゴリズムが選択可能であれば、これを選択し、情報（データ）を適切な強度の⽅

CPS.DS-2

式で暗号化して保管する。
・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、産業⽤制御システムが取り扱う重要度の⾼い情報（データ）を、パフォーマンスに許容できない影響が出ない範囲で適切な強度の⽅式で暗号化して保管する。

O/S

○

○

(下記に加えて、（下記に加えて、

3.13.16)

SC-28）○（A.8.2.3)○（SR 3.4, SR 4.1）

[参考] 暗号技術検討会及び関連委員会（CRYPTREC）では、安全性及び実装性能が確認された暗号技術について、市場における利⽤実績が⼗分であるか今後の普及が⾒込まれると判断され、当該技術の利⽤を推奨するもののリストを「電⼦政府における調達のために参照すべき暗号のリスト」（CRYPTREC暗号リスト）として公開している。組織は、暗号機能を実装すべきシステム等を調達する場合、必要に応じて参照することが望ましい。
<Basic>・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、情報システムが取り扱う重要度の⾼い情報（データ）を適切な強度の⽅式で暗号化して保管する。

C-15

O/S

○

○

(3.13.10)（SC-12）-

添付Ｃ

対策要件ID

対策要件
・IoT機器、サーバ等の間、サイバー空間
で通信が⾏われる際、通信経路を暗号化す
る。

対応する

<High-Advanced>

L1_1_b_DAT,

・組織は、情報システム及び産業⽤制御システムを構成する重要なデータを扱う通信路について、通信経路の暗号化を実装する⼜は代替の物理的な対L3_2_b_DAT,
L3_3_a_SYS,

CPS.DS-3

する主体

L1_1_a_SYS,
L3_1_a_DAT,

L3_3_d_SYS

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

O/S

策によって保護する。

NIST SP 800-171○(3.13.15)

NIST SP 800-53 Rev.4

S[参考] 通信経路の暗号化には、IP-VPN、Ipsec-VPN、SSL-VPN等の⽅式が存在する。組織は、通信路を流れるデータの重要度や、かけられるコスト○(3.13.15)

付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013○(下記に加えて、
SC-12(1))<Advanced>
・情報システムは、暗号メカニズムを導⼊し、通信経路を暗号化する。

ISO/IEC 27001:2013○(SC-8(1), SC-12)○○(A.10.1.1,A.13.2.1,（SR 3.1, SR 3.8, SR

A.13.2.3, A.14.1.2)-

4.1, SR 4.2, SR 4.3）等を考慮しつつ、⽅式を選定することが望ましい。
<Basic>（該当なし）

・情報を送受信する際に、情報そのものを暗号化して送受信する。

L1_1_a_DAT,<High-Advanced>

L1_1_b_DAT,・システム/IoT機器は、少ないリソースでも可⽤性を損なわずに実装可能な暗号モジュールを導⼊し、リソースは制限されているが重要度の⾼い機器

L3_1_a_DAT,
L3_2_b_DAT,CPS.DS-4

L3_3_d_SYSからの通信データを適切な強度で暗号化することが望ましい。
<Advanced><Basic>（該当なし）

情報の暗号化等に⽤いる鍵を、ライフサイ

L1_1_a_DAT,<High-Advanced>

L3_1_a_DAT

・組織は、ユーザが暗号鍵を紛失した場合に、鍵の再発⾏等により情報の可⽤性を維持する。

-

S

-

-

O

-

○ (SC-8(1))

-

-

-

O/S

-

(下記に加えて、

-

-

○

-

(A.10.1.1, A.13.2.1,-○（SR 3.1, SR 3.8, SR

A.13.2.3, A.14.1.2)

4.1, SR 4.2, SR 4.3）
-

-

-

-

-

-

○

・秘密鍵及びプライベート鍵をセキュリティを保って管理することに加え，公開鍵の真正性についても考慮することが望ましい。この認証プロセス

クルを通じて安全に管理する。

-

・情報システムは、重要度の⾼い・低いに限らず、組織外部へ送信するすべてのデータを適切な強度で暗号化する。
・組織は、機密性の⾼い情報を外部の組織等へ送信する際、情報を適切な強度の⽅式で暗号化する。

・送受信する情報データ、保管データする-

は，認証局によって通常発⾏される公開鍵証明書を⽤いて実施される。この認証局は，要求された信頼度を提供するために適切な管理策及び⼿順を備SC-12(1))

えている，認知された組織であることが望ましい。
<Advanced>共通
・組織は、秘密鍵が危殆化した際に遅滞なく適切な対処を⾏うため、必要に応じて下記のような事項について⽅針及び⼿順を定めることが望ましい。
- 秘密鍵の危殆化に対応するための体制(関係者と役割、委託先との連携を含む)
CPS.DS-5○ (A10.1.2)- 秘密鍵が危殆化した、またはその恐れがあると判断するための基準- 秘密鍵の危殆化の原因を調べること及び原因の解消を図ること

O- 当該鍵を利⽤するサービスの利⽤停⽌- 新しい鍵ペアを⽣成し、新しい鍵に対する証明書を発⾏すること○○(3.13.10)(SC-12)-○（SR 1.9, SR 4.3）

- 秘密鍵の危殆化についての情報の開⽰(通知先、通知の⽅法、公表の⽅針等)[参考] 鍵管理に関するより詳細な内容については、ISO/IEC 11770規格群や、NIST SP 800-57 Part 1 Rev.4等を参照することが望ましい。
<Basic>O・組織は、全ての暗号鍵を改変及び紛失から保護することが望ましい。

・サービス拒否攻撃等のサイバー攻撃を受けた場合でも、資産を適切に保護し、攻撃による影響を最⼩限にできるよう、構成要

L1_1_c_SYS,<High-Advanced><Advanced>共通

L2_1_d_SYS,

・情報システム及び産業⽤制御システムは、予備の容量／帯域幅／その他の予備リソース（ヒト／モノ／システム等）を管理して、⼤量の情報を送り

L3_3_c_SYS-

つけるタイプのサービス拒否攻撃による影響を最⼩限に抑える。例えば、攻撃を受けているシステムが提供するサービスを、可⽤性の⽔準維持等の理由により停⽌できない場合、重要な機能を継続するため、以下のような対策をとる必要がある。

素において⼗分なリソース（例:ヒト、モ- 待機している予備システムへの⾃動的、あるいは、⼈⼿を介した移⾏

ト、システム）を確保する。

- ネットワークアクセスからの攻撃を受けたシステム構成要素の、⾃動的あるいは⼈⼿を介した隔離・要求されたシステム性能を満たすことを確実にするために，資源の利⽤を監視・調整しなければならず，また，将来必要とする容量・能⼒を予測しS-

なければならない。

CPS.DS-6○○（下記に加えて、（下記に加えて、

SC-5(2)、SC-5(3))

A.12.1.3）○（SR 5.2）

・組織は、(a) 情報システムに対するサービス妨害攻撃の兆候を発⾒するための組織が定めた、モニタリングツールを使⽤する(b) 組織が定めた情報システム及び産業⽤制御システムのリソースをモニタリングして、効果的なサービス妨害攻撃を阻⽌するための⼗分なリソースが確保されているかどうかを判断する<Basic>・情報システム及び産業⽤制御システムは、組織が定めたセキュリティ対策を実施することによって、組織が定めたタイプのサービス拒否攻撃、またはそうした情報の情報源への参照のサービス拒否攻撃による影響から保護する、あるいはそうした影響を最⼩限に抑え、縮退運転を実施する機能を提S-○（SC-5)O-○（PE-11）○（A.17.2.1)

-

供する。

・IoT機器、通信機器、回線等に対し、定期的な品質管理、予備機や無停電電源装置の確保、冗⻑化、故障の検知、交換作業、
CPS.DS-7

ソフトウェアの更新を⾏う。

L1_1_c_SYS,<High-Advanced><Advanced>共通

L2_1_d_SYS,

・組織は、⼀次電源が失われた場合に、情報システムの⻑期間使⽤可能な代替電源への切り替えを⽀援する、短期無停電電源装置を⽤意する。

L3_3_c_SYS-○（SR 5.2, SR 7.5）○

<Basic>（A.11.2.2、

・組織は、情報システム及び産業⽤制御システムに要求されたシステム性能を満たすことを確実にするために、資源の利⽤を監視・調整しなければならず、また、将来必要とする容量・能⼒を予測する。

O・組織は、サポートユーティリティの不具合による停電、その他の故障から装置を保護する。
・組織は、データを伝送する⼜はサービスをサポートする通信ケーブル及び電源ケーブルの配線を傍受、妨害⼜は損傷から保護する。
・組織は、可⽤性及び完全性を継続的に維持することを確実にするために、装置を正しく保守する。

C-16

-

-

A.11.2.3、A.11.2.4、A.12.1.3, A.17.2.1）

-

-

添付Ｃ

対策要件ID

対策要件
・保護すべき情報を扱う、あるいは⾃組織にとって重要な機能を有する機器を調達す

対応する

L1_1_d_COM<High-Advanced>

L2_3_b_COM

・組織は、保護すべき情報を扱う、あるいは⾃組織にとって重要な機能を有する機器を調達する場合、耐タンパーデバイスを利⽤した機器を調達する。

る場合、耐タンパーデバイスを利⽤する。

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

ISO/IEC 27001:2013

する主体

NIST SP 800-171

NIST SP 800-53 Rev.4

O-○（SC-12)○（A.10.1.2)

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

付属書A

IEC 62443-2-1:2010

・組織は、情報システム及び産業⽤制御システム内で使⽤されている暗号技術向けの暗号鍵を保管するにあたり耐タンパーデバイスを⽤いて管理す

CPS.DS-8

IEC 62443-3-3:2013○（SR 5.2）

る。
<Advanced>（該当なし）<Basic>（該当なし）

・⾃組織外への不適切な通信を防ぐため、保護すべき情報を⾃組織外へ送信する通信を適切に制御する。

L1_1_a_DAT,<High-Advanced>

L2_3_c_SYS,

・産業⽤制御システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知する。

L3_1_a_DAT・組織/情報システムは、定常的なシステムの通信状況やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリティアラート

Sを集約したプロファイルを作成、活⽤することで、未知の脅威や不審な振る舞い（通信）を検知できるようにする。

○(3.13.4)○（下記に加えて、SC4）・共有システム資源を介した、不正な予期せぬ情報の転送を防⽌する。
CPS.DS-9○<Advanced>
・情報システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知する。
・組織は、公開された新たな攻撃動向、マルウェア挙動情報や悪性IP アドレス／ドメイン情報などの情報（外部インテリジェンス）を収集し、必要に○○(3.13.1)(SC-7)

O/S

-

-

O/S

-

(下記に加えて、

O/S(A.13.2.1)-○（SR 5.2）

応じて危険性の⾼いIPアドレスやドメインへの通信を遮断する等の対応を実施する。
<Basic>・組織は、⾃組織外部に向けた⼤量のデータ通信を検知し、必要に応じてそのような通信の実施を制限する。

・IoT機器、サーバ等にて稼働するソフト

L2_3_b_SYS

・組織は、情報システムにおいて完全性検証時に不⼀致が発⾒された場合にシステム管理者に通知する、⾃動化されたツールを使⽤する。

ウェアの完全性を組織が定めるタイミング

・組織は、不正なソフトウェアが検知された場合に、対象ソフトウェアの起動を防⽌するツールを使⽤する。

で検証し、不正なソフトウェアの起動を防SI-7(2), SI-7(7))

対応能⼒に組み⼊れる。

CPS.DS-10

-

-

-

-

（SR 3.1, SR 3.3,○

・組織は、設定の不正な変更や、システム権限の不正な昇格等の、セキュリティ関連の変更が不正に⾏われた場合の検知能⼒を、組織のインシデント

⽌する。

-

<High-Advanced>○(A.12.2.1)<Advanced>
・情報システムは、ソフトウェア・ファームウェアの完全性チェックを定期的に実施する。
・情報システム及び産業⽤制御システムは、起動を許可するソフトウェアを事前に登録しておくことで、登録されていないソフトウェアの起動を停⽌

○

○

S

-

-

-

-

O

-

(下記に加えて、(SI-7, SI-7(1))

SR 3.4, SR 3.8）する。
<Basic>（該当なし）

・送受信・保管する情報に完全性チェック
メカニズムを使⽤する。

L1_1_b_DAT,<High-Advanced>

L1_1_d_PRO,

・組織は、産業⽤制御システムにおいて、可能な場合、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不正な変更を検L3_2_a_DAT,
L3_2_b_DAT

知する。

-

-

-

-

（SR 3.1, SR 3.3,○
SI-7(7))

・組織は、設定の不正な変更や、システム権限の不正な昇格等の、セキュリティ関連の変更が不正に⾏われた場合の検知能⼒を、組織のインシデント
対応能⼒に組み⼊れる。

CPS.DS-11-○(A.14.1.2, A.14.1.3)<Advanced>
・組織は、情報システムにおいて、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不正な変更を検知する。
・情報システムは、保管データの完全性チェックを定期的に実施する。

O/S

-

○

○
(SI-7, SI-7(1))

SR 3.4, SR 3.8）

・情報システムは、電⼦メールにおける送信ドメイン認証技術をサポートして、送信者のなりすましやメールの改ざんを検知する。
<Basic>（該当なし）・ハードウェアの完全性を検証するために完全性チェックメカニズムを使⽤する。

L1_1_d_PRO,<High-Advanced>

L2_3_b_SYS

・組織は、IC チップの純正品と不正品のサイドチャネル情報の違いからハードウェアの改ざん（ハードウェア・トロイの挿⼊）を検知する。
・組織は、PUF（Physically unclonable function）の技術を活⽤して物理的に読取り可能なチップの固有IDを⽣成し、テストを通じてハードウェアの

-

-

-

-

-

-

O

-

-

-

-

-

O

-

-

-

-

-

-

-

O

-

-

-

-

-

O

-

-

-

-

-

O

-

-

-

-

-

改ざん(ハードウェア・トロイの挿⼊)を検知する。
<Advanced>
CPS.DS-12

・組織は、ハードウェアコンポーネントに対する不正な変更を検知するツール、複製しにくいラベルや、検証可能なシリアル番号等を⽤いて、完全性を確認できるようにする。
・組織は、⾃組織のオペレーションにとって重要なハードウェアについて、設置エリアに対して監視カメラ等によるモニタリングを⾏うことで、ハー○(PE-6, SA-10(3))-○（4.3.4.4.4）-

ドウェアに対する物理的な改ざんを検知できるようにする。
<Basic>（該当なし）

・IoT機器やソフトウェアが正規品であることを定期的（起動時等）に確認する。
CPS.DS-13

L1_1_d_PRO,<High-Advanced>

L2_3_c_ORG,

・組織は、機器のシリアル番号やハッシュ値等を利⽤して、定期的にIoT機器及び搭載されているソフトウェアが正規品であること確認するために、

L2_3_c_SYS

⾃動化されたメカニズムを含むツールを利⽤する。
<Advanced>
・組織は、機器のシリアル番号やハッシュ値等を利⽤して、定期的にIoT機器及び搭載されているソフトウェアが正規品であることを確認する。
<Basic>・組織は、調達時や資産の棚卸しを実施した際等に、⾃組織が所有するIoT機器が正規品であるかをラベルを確認する等して確かめる。

C-17

添付Ｃ

対策要件ID

対策要件
・データの取得元、加⼯履歴等をライフサ
イクルの全体に渡って維持・更新・管理す

対応する参照ガイドライン対策例を実⾏

対策例

脆弱性ID
L3_4_a_PRO,<High-Advanced>

L3_4_b_PRO

・組織は、⾃組織が管理するデータの処理を実施するサイバー空間におけるサプライチェーンの中に、⾃組織が委託先等に要求している⽔準の対策をする主体

NIST SP 800-171

NIST SP 800-53 Rev.4

O

-

-

O

-

O

-

O

-

O

-

ISO/IEC 27001:2013

IEC 62443-2-1:2010

IEC 62443-3-3:2013

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

付属書A

実装していないエンティティが介在していないかを確認する。

る。

<Advanced>
・組織は、他組織あるいは、⾃組織外の個⼈、IoT機器等から取得したデータの取得元を、当該データに紐づけて、取得から廃棄に⾄るまでのライフ

CPS.DS-14

サイクル全体に渡り管理する。
・組織は、⾃組織が利活⽤するデータの取得元及び、当該データを処理した組織、ヒト等を識別する。
<Basic>・組織は、他組織あるいは、⾃組織外の個⼈から取得したデータの取得元を、当該データに紐づけて、取得から廃棄に⾄るまでのライフサイクル全体に渡り管理する。

・計測の可⽤性、完全性保護によるセンシ
ングデータの信頼性確保のために、計測セ
キュリティの観点が考慮された製品を利⽤する。
CPS.DS-15

L2_1_a_COM,<High-Advanced><Advanced>共通

L2_1_a_PRO,・ネットワーク接続性を持ち、フィジカル空間における動態をデジタル化しサイバー空間へ送信する機能を有する機器（センサ等）を導⼊する際、当L2_3_a_ORG,
L2_3_d_ORG

該機器の機能における下記の観点を考慮し、調達を実施することが望ましい。
- 完全性検証ツールを使⽤して、通信データに対する不正な変更を検知する機能を実装しているか- 他のIoT機器、サーバ等から識別可能なユニークIDを有するか、あるいは証明書を搭載しており、通信先との相互認証等を通じて真正性を主張で○(SC-5, SC-6, SI-7)

きるか- 機器のリソースが、ある程度の規模のサービス拒否攻撃等を受けた際でも可⽤性を維持することが可能なレベルのものか<Basic>・組織は、 物理的な攻撃に対して耐性を有しているIoT機器（センサ等）を調達する。

・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセスを導⼊し、運⽤する。

L1_1_a_SYS,<High-Advanced>

L1_1_b_SYS,

・組織は、構成管理の対象となるIoT機器、サーバ等に対して変更を実施する前に、それらの変更をテスト・承認・⽂書化する。

L2_1_a_ORG,
L2_1_b_COM,
L2_1_b_PRO,
L2_3_b_ORG,
L3_1_a_SYS,
L3_3_d_SYS

・組織は、IoT機器、サーバ等の設定を⼀つの場所から管理・適⽤・検証するための⾃動化されたメカニズムを使⽤する。

O-(下記に加えて、-

CM-3(2))

・組織は、特に産業⽤制御システムにおけるセキュリティに係る変更管理⼿順を、既存のプロセス安全管理の⼿順に統合する。
<Advanced>
・組織は、構成管理の対象となるIoT機器、サーバ等に対する変更が⽣じた場合には変更に伴うセキュリティ影響分析を実施して変更の実施可否を判断し、実施⼿順等のを⽂書化する。
・組織は、許可されたIoT機器、サーバ等の変更に関して、実施できる要員（アクセス制限）を限定する。
・組織は、許可されたIoT機器、サーバ等の変更を実施するとともに、その変更の実施・記録・監査等を実施する。

CPS.IP-1

○

O

○

○

(下記に加えて、3.4.3,(下記に加えて、○（4.3.4.3.2,○

CM-3, CM-4, CM-5)(A.12.1.2, A.12.5.1)

4.3.4.3.3）（SR 7.6）

3.4.4, 3.4.5)

・組織は、⾃⾝のアカウントや、IoT機器、サーバ等のパスワードを忘れてしまった場合、安全な回復⽅法（例︓変更実施前に本⼈にしかわからない○

セキュリティコードを⼊⼒させる）を利⽤する。
・組織は、セキュリティ上の変更によって情報システム及び産業⽤制御システムの可⽤性や安全性等に悪影響が及ばないことを確実にするため、運⽤及び変更管理のポリシー及び⼿順を定期的にレビューする。
<Basic>・組織は、⾃組織の運⽤に適合する最も制限された設定基準を定めた上で、導⼊されるIoT機器、サーバ等の初期設定⼿順及び設定内容を⽂書化するOとともに、その⽂書に従って設定を実施する。
・組織は、IoT機器を設置する前にデフォルトの初期設定値を確認し、CPS.AC-1で定めたポリシーに準じていない場合に適切なものへと変更する。

○○(3.4.2)(CM-6)-

・組織は、IoT機器の導⼊前に、搭載されているソフトウェアを確認し、記録する。

・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

L1_1_a_SYS,<High-Advanced>

L2_1_a_ORG,

・組織は、⾃組織の情報システム及び産業⽤制御システム上で実⾏を許可するソフトウェアの⼀覧（ホワイトリスト）、⼜は禁⽌するソフトウェアのL2_1_c_SYS,
L3_1_a_SYS,
L3_3_a_SYS,

CPS.IP-2

L3_3_d_SYS

O/S

⼀覧（ブラックリスト）を⽤いてソフトウェアの制限を実施する、あるいは、許可されていないソフトウェアのインストールを不可とする。
<Advanced>
・組織は、⾃組織の情報システム及び産業⽤制御システム上でのユーザによるソフトウェアのインストールについて管理するメカニズムを導⼊し、管

O/S

理する。

○
(下記に加えて、3.4.8)○○(下記に加えて、(下記に加えて、

CM-7(4), CM7-(5))

A.12.5.1)○○(3.4.9)(CM-11)○(A.12.6.2)<Basic>・組織は、⾃組織の情報システム及び産業⽤制御システム上でのユーザによるソフトウェアのインストールに関するポリシーを確⽴し、ユーザに遵守

O

-

O

-

-

-

○

ライフサイクルを導⼊する。

L1_1_a_ORG,<High-Advanced>

L1_1_b_ORG,

・組織は、システムの調達にあたり以下に⽰すような要求事項を明⽰的に提⽰する。

L1_1_c_ORG,
L2_1_d_SYS,
L3_3_c_SYS

4.3.4.3.3）○（SR 7.6）-セキュリティ機能に関する要求事項-セキュリティ強度に関する要求事項-セキュリティ保証に関する要求事項-セキュリティ関連のドキュメントに関する要求事項○(下記に加えて、SA-4)

○

-

-

(下記に加えて、
A.6.1.5, A.14.2.2,-セキュリティ関連のドキュメントの保護に関する要求事項
CPS.IP-3-（4.3.4.3.2,させる。

・システムを管理するためのシステム開発-

A.14.2.5)-そのシステムの開発環境と、そのシステムを稼働させる予定の環境についての記述-受け⼊れ基準<Advanced>
・組織は、 情報セキュリティ上の考慮事項を含むシステム開発ライフサイクルに従ってシステムを管理するとともに、システム開発ライフサイクル全O-

体を通じた情報セキュリティリスクマネジメントプロセスを実施する。
<Basic>・組織は、システムを構築するに当たり仕様書、設計、開発、導⼊及び変更に、システムのセキュリティエンジニアリング原則を適⽤する。

C-18

O

○
(下記に加えて、SA-3)○○(3.13.2)(SA-8)○(A.14.1.1, A.14.2.1,
A.14.2.6)○○（4.3.4.3.3）（SR 7.3, SR 7.4）

添付Ｃ

対策要件ID

対策要件
・構成要素（IoT機器、通信機器、回線等）に対し、定期的なシステムバックアップを実施し、テストする。

対応する

L1_3_a_DAT,<High-Advanced>

L2_1_d_SYS,

・組織は、バックアップ情報を定期的にテストして、媒体の信頼性と情報の完全性を確認する。

L3_3_c_SYS

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

する主体
O

NIST SP 800-171-

NIST SP 800-53 Rev.4○(下記に加えて、(下記に加えて、

CP-9(1))

A.14.3.1)○

O・組織は、⾃組織のシステムドキュメントのバックアップを定めたタイミングや頻度で実施する。
・組織は、保管拠点におけるバックアップ情報の機密性・完全性・可⽤性を保護する。
<Basic>・組織は、⾃組織の情報システム及び産業⽤制御システムに含まれるユーザレベル・システムレベルの情報のバックアップを定めたタイミングや頻度(下記に加えて、○○(3.8.9)(CP-9)

Oからの保護等、⾃組織のIoT機器、サーバ等の物理的な動作環境に関するポリシーや
CPS.IP-5

規則を満たすよう物理的な対策を実施す

L1_1_a_SYS,<High-Advanced>

L1_1_c_SYS,

・組織は、⾃組織の利⽤するシステムが設置されている施設に職員が常駐しない場合には、⾃動消⽕機能を導⼊する。

L2_3_b_SYS,
L2_3_d_SYS,
L3_1_a_SYS

る。

O<Advanced>
・組織は、無停電電源装置等により⾃組織のIoT機器、サーバ等が設置されているエリア内の機器の安定な稼働を維持する。
・組織は、独⽴した電源等により稼働する消⽕及び⽕災検知のための装置やシステムを導⼊し、維持する。

O

PE-15)<Basic>O-・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアの温度と湿度を定期的にモニタリングする。

・IoT機器、サーバ等の廃棄時には、内部

L2_3_b_DAT

CPS.IP-6

・組織は、⾃組織のIoT機器やサーバ等を廃棄するに当たっては、内部に保存されている情報を削除⼜は読み取りできない状態にする。

部及び外部からの攻撃に関する監視／測定／評価結果から教訓を導き出し、資産を保護するプロセスを改善する。

L1_1_a_PRO,
L1_1_b_PRO,
L1_1_c_PRO,
L2_1_a_ORG

O

○

○

(3.8.3)(MP-6)

A.11.2.2)

4.3.3.3.5, 4.3.3.3.6）
-

-

-

○

○

-

（SR 4.2）(A.8.3.1, A.8.3.2,
A.11.2.7)

O<High-Advanced>

-

○

O

・組織は、第三者によるセキュリティ評価を実施する。

-(下記に加えて、

-

-

○

-

CA-2(1))<Advanced>
・組織は、セキュリティ評価を適切かつ計画的に実施するため、以下に⽰す事項を含めたセキュリティ評価計画を策定した上で、セキュリティ評価を

○

実施する。

(A.16.1.6, A.18.2.1,

O-セキュリティ評価の対象とするセキュリティ対策

CPS.IP-7（4.3.3.3.1,
4.3.3.3.2, 4.3.3.3.3,(下記に加えて、きない状態し、適切に実施できたことを確認する。
<Basic>・セキュリティインシデントへの対応、内○

A.8.2.3)

・組織は、⾃組織のIoT機器やサーバ等を廃棄するプロシージャを定め、そのプロシージャに従って内部に保存されている情報を削除⼜は読み取りでを削除⼜は読み取りできない状態にする。

-

○

O

<Advanced>⼦）や重要情報（秘密鍵、電⼦証明書等）-(A.11.1.4, A.11.2.1,○性を備えた情報の削除⼜は読み取りできない状態にする技法を使い分けるメカニズムを導⼊する。

器、サーバ等を⼀意に識別するID（識別-○(PE-14)<High-Advanced>
・組織は、廃棄対象のIoT機器やサーバ等の内部に保存されている情報のセキュリティカテゴリ等の分類を定義し、その定義に従い必要な強度と完全に保存されているデータ及び、正規IoT機○（4.3.4.3.9）(下記に加えて、PE-13,

IEC 62443-3-3:2013

-

○

○
-

・組織は、閉⽌弁や遮断弁を⽤意し、⾃組織のIoT機器、サーバ等が設置されているエリアを⽔漏れ等の被害から保護する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアの温度と湿度を定めた許容レベルに保つ仕組みを導⼊する。

A.18.1.3)

IEC 62443-2-1:2010(A.12.3.1)

で実施する。

・無停電電源装置、防⽕設備の確保、浸⽔

付属書A

○

<Advanced>

CPS.IP-4

ISO/IEC 27001:2013-セキュリティ対策の有効性を図るために⽤いる評価⼿順-セキュリティ評価を実施する環境や実施体制-セキュリティ評価結果の取りまとめ⽅法とその活⽤⽅法

Clause 9.1, Clause○○

9.2, Clause 10.1,(3.12.1)(CA-2)

Clause 10.2)（4.4.3.2, 4.4.3.3,
4.4.3.4, 4.4.3.5,
4.4.3.6, 4.4.3.7,
4.4.3.8）<Basic>・組織は、セキュリティ対策が正しく実装されているか及び運⽤されているかに加え、セキュリティ対策が期待された成果を上げているかに関する定期的に評価（セキュリティ評価）を実施し、管理責任者へ報告する。

O-・組織は、セキュリティ評価の結果に基づき、セキュリティ対策の改善を実施する。

・保護技術の有効性について、適切なパートナーとの間で情報を共有する。

L2_1_a_ORG<High-Advanced>
・組織は、保護技術に関する新たな情報や保護技術に関する有効性に関する情報を、⾃動化されたメカニズムを通じて適切なパートナーと適時双⽅向<Advanced>

CPS.IP-8

Oで共有をすることができる環境を整備する。
・組織は、保護技術に関する新たな情報や保護技術に関する有効性に関する情報を、パートナーに適時共有することができる環境を整備する。

○○(3.14.4)(AC-21)

O

○

-

-

-

-

-

-

(A.16.1.6)<Basic>・組織は、保護技術に関する新たな情報や保護技術に関する有効性に関する情報を、適切なパートナーから⼊⼿できる環境を整備する。

O[参考] 適切なパートナーを選定するに当たり、「情報セキュリティサービス基準適合サービスリスト」に記載された事業者のサービスを利⽤することが考えられる。また、パートナーには、情報処理安全確保⽀援⼠やCISSP等のセキュリティに係る資格を有している要員を含めることが望ましい。

C-19

-

-

添付Ｃ

対策要件ID

対策要件
・⼈の異動に伴い⽣じる役割の変更に対応
した対策にセキュリティに関する事項（例︓アクセス権限の無効化、従業員に対

対応する

する主体

L1_1_a_PEO,<High-Advanced><Advanced>共通

L1_1_b_PEO,

・組織は、要員が⾃組織内で配置転換／異動になった場合に、要員の配置転換／異動によりシステムや⼊退室管理等に関するアクセス権限の変更を実

L1_1_c_PEO

NIST SP 800-171

NIST SP 800-53 Rev.4

施する。
・要員が組織を離れるときの影響を最⼩限に抑えるために、運⽤と保守を含む供給者関係の重要な役割について、現担当者のバックアップ要員を指定する審査）を含める。

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

する。

○

O

(下記に加えて、PS-5)

・組織は、⾃組織のシステムに対するアクセスの変更等の再審査が必要な条件を定め、要員の再審査を実施する。

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010○○(下記に加えて、（下記に加えて、

A.7.2.3, A.7.3.1)

4.3.3.2.3, 4,3,3,2,4）

IEC 62443-3-3:2013-

・組織は、要員の退職時に、情報セキュリティをトピックとした退職者⾯接を実施する。
・組織は、機密情報を扱う要員に対しては特に、採⽤から退職に⾄るまでのサイクル全体に渡り、セキュリティ上の責任に対処する。
CPS.IP-9○<Basic>(3.9.1 3.9.2)

・組織は、雇⽤条件においてセキュリティに係る要員の責任について明記する。雇⽤終了後の情報漏えい等を抑⽌するため、この責任は、雇⽤終了後の妥当な期間に渡って持続するよう記載する。
・組織は、⾃組織のシステムに対するアクセスを許可する前に、要員を審査する。

○

O・組織は、要員の退職時に以下を実施する。

(PS-3, PS-4)-⾃組織のシステムに対するアクセスを⼀定期間内に無効にする。

○(A.7.1.1, A.7.1.2,
A.7.2.1, A.8.1.4)-職員に関連する認証及びクレデンシャルを無効にする。

○（4.3.3.2.1,
4.3.3.2.2, 4.3.3.2.6,-

4.3.4.4.2）-セキュリティに関連するシステム関連の所有物をすべて回収する。
-退職する個⼈が管理していた組織の情報と情報システムに対するアクセスを保持する。

・脆弱性修正措置計画を作成し、計画に沿って構成要素の脆弱性を修正する。

L1_1_a_SYS,<High-Advanced>

L2_1_a_ORG,

・組織は、⽋陥修正状況を管理するための⾃動化されたメカニズムを導⼊し、管理する。

L3_1_a_SYS,
L3_3_a_SYS,
L3_3_d_SYS

○

O

-

(下記に加えて、
SI-2(2))--○(下記に加えて、<Advanced>
・パッチ適⽤中のIoT機器、サーバ等の動作により、他のソフトウェアアプリケーションやサービスの機能への影響が出るかどうかを調査やテストを通じて明らかにして、受容できるリスクを定める。

O

○

○

(3.14.3)(SI-2)

A.14.2.3)-

・組織は、修正内容の有効性と副次的な悪影響の可能性についてテストを⾏った上で⽋陥の修正を実施し、当該修正を構成管理として管理する。
<Basic>・組織は、⾃組織の情報システム及び産業⽤制御システムに関する⽋陥の特定・報告・修正を計画的に実施する。計画を策定する際には、下記を考慮

CPS.IP-10することが望ましい。

○- 脅威または脆弱性の深刻さ(4.3.4.3.7)- 修正措置の適⽤に関わるリスク

O

-

-

[参考] 特に、製造現場等に設置されるIoT機器や制御機器（例︓PLC、DCS）には、可⽤性や機器⾃体の機能の関係で、タイムリーにパッチを適⽤す○-(A.12.6.1)

ること、あるいはパッチの適⽤事態が困難な場合がある。その場合は、「制御システム利⽤者のための脆弱性対応ガイド 第2版」(IPA, 2016年)のP.23に記載されている通り、脅威への対策（機能の最⼩化、ネットワーク監視の強化等）を徹底し、セキュリティ被害の発⽣を回避することが望ましい。
※ PLC: Programmable Logic Controller, DCS: Distributed Control System

・IoT機器、サーバ等のセキュリティ上重
要なアップデート等を、必要なタイミングに管理されたツールを利⽤して適切に履歴を記録しつつ実施する。
・可能であれば、遠隔地からの操作によっ

L1_1_a_SYS,<High-Advanced>

L2_1_a_ORG,

・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに必要な機器やツールを⽤いる際には、事前に承認するものとし、モニタリ

L2_1_c_SYS,
L3_1_a_SYS,
L3_3_a_SYS
L3_3_d_SYSてソフトウェア（OS、ドライバ、アプリ

ングを実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等を実施する要員が持ち込むメンテナンスに必要な機器やツールを検査し、不適切な変更またOは不正な変更がないか確認する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに⽤いる媒体を検査して、悪質コードが含まれていないことを確認した上で○(3.7.1, 3.7.2, 3.7.4)○(下記に加えて、MA-3,-

MA-3(1), MA-3(2))

使⽤する。
○

・組織は、遠隔地からの操作によってソフトウェア(OS、ドライバ、アプリケーション)を⼀括して更新するリモートアップデートの仕組みを備えたケーション）を⼀括して更新するリモート(下記に加えて、

IoT機器を導⼊する。

アップデートの仕組みを備えたIoT機器を導⼊する。
CPS.MA-1<Advanced>

A.11.2.4, A.11.2.5,

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施するに当たり、メンテナンスの実施計画、実施、確認、⽂書化する。

A.11.2.6, A.14.2.4)

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施する際には、事前に承認するものとし、モニタリングを実施する。
○

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを⾃組織の施設から離れた場所で実施する場合には、施設からの移動について事前に承認するものとともに、移動に先⽴って関連する保存されている情報の消去等の必要な処理を実施する。

O(下記に加えて、3.7.1,
3.7.2, 3.7.4)

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスの終了後、影響を受けた可能性のあるすべてのセキュリティ対策をチェック○（4.3.3.3.7）○-(下記に加えて、MA-2)

して、正しく機能しているかどうかを確認する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンス記録を保管する。
・組織は、メンテナンス要員の認可プロセスを確⽴し、認可されたメンテナンス組織または要員の⼀覧の最新化を図る。
<Basic>・組織は、メンテナンス要員が付添いなしで情報システム及び産業⽤制御システムのメンテナンスを⾏う場合に、その要員が必要なアクセス権限を有Oすることを確認する。
・組織は、必要なアクセス権限を持たない要員によるメンテナンス活動を監督するのに必要なアクセス権限と技術的能⼒を有する組織の要員を指定す

○

○

○

(3.7.6)(MA-5)(A.11.1.2)-

る。

・⾃組織のIoT機器、サーバ等に対する遠隔保守を、適⽤先のモノ、システムのオー
CPS.MA-2

ナー部⾨による承認を得て、ログを記録し、不正アクセスを防げる形で実施する。

L1_1_a_SYS,<High-Advanced><Advanced>共通

L2_1_a_ORG,

・組織は、遠隔保守のための接続の確⽴と実施に関するポリシーとプロシージャを⽂書化し、その内容により実施する。

L3_1_a_SYS,
L3_3_a_SYS,
L3_3_d_SYS

・組織は、遠隔保守を実施する際には組織の定めるネットワークアクセスに求める認証を実施するとともに、遠隔保守が完了したらセッションとネッ

O

トワーク接続を確実に終了する。

○

○

○

(下記に加えて、(下記に加えて、

MA-4(2))

A.15.1.1)(3.7.5)<Basic>・組織は、遠隔保守の実施に当たっては、実施計画を策定し・合意した上で実施し、実施結果を確認する。
・組織は、実施した遠隔保守の実施記録を保管する。

C-20

Ｏ

○

○

(MA-4)(A.11.2.4, A.15.2.1)--○（4.3.3.6.5,
4.3.3.6.6, 4.3.3.6.7,

-

添付Ｃ

対策要件ID

対策要件
・セキュリティインシデントを適切に検知するため、監査記録／ログ記録の対象を決定、⽂書化し、そうした記録を実施して、レビューする。

対応する

する主体

L1_1_a_SYS,<High-Advanced>

L2_1_b_ORG,

・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能

L3_1_a_SYS,
L3_3_a_SYS,
L3_3_d_SYS

参照ガイドライン対策例を実⾏対策例

脆弱性ID

NIST SP 800-171

NIST SP 800-53 Rev.4

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013

であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。
・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。

O/S○(下記に加えて、3.3.7)

・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

○

○

○

○

(下記に加えて、(下記に加えて、（下記に加えて、（下記に加えて、

AU-6(1), AU-11(1))

A.12.4.4)

4.4.2.4）

SR 2.10）・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれている可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
CPS.PT-1<Advanced>
・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装する。
・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。

○

O/S

・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。

○○(下記に加えて、3.3.4,(下記に加えて、(下記に加えて、

3.3.8, 3.3.9)

AU-9(3), AU-9(4))

A.12.4.2)○<Basic>（4.3.4.4.7, 4.4.2.1,

・組織は、⾃組織のリスクマネジメントの戦略や、リスクアセスメントの結果等に基づき、監査対象を設定し、対象において誰がいつ何を⾏ったかがわかるような監査ログの取得がシステムにより可能かを確認する。

O/S

・システムは、さまざまなシステムコンポーネントから規定された監査ログを⽣成する。
・システムの監査ログを定期的にレビュー・分析して、⾃組織に被害をもたらしうるセキュリティインシデントの兆候の有無を確認し、必要に応じて○(3.3.1, 3.3.2, 3.3.3)○○(AU-2, AU-3, AU-6,(A.12.4.1, A.12.4.3,

AU-11)

A.12.7.1)

4.4.2.2, 4.3.3.3.9,
4.3.3.5.8）○（SR 2.8, SR 2.9,
SR 2.11, SR 2.12）システム管理者等へ報告する。
・組織は、産業⽤制御システムのパフォーマンスに監査活動が与える影響が許容範囲内であることを確認する。

・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリアルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を必要最⼩限とする。

L1_1_a_SYS,<High-Advanced>

L1_1_b_SYS,

・組織は、システム上での実⾏が許可されないソフトウェアプログラムを識別する。

L1_1_c_SYS,
L2_1_b_COM,
L2_3_b_SYS,
L3_1_a_SYS,
L3_3_d_SYS

・「ブラックリスト」あるいは「ホワイトリスト」管理により、そのシステム上で許可されていないソフトウェアプログラムを実⾏できないようにす
る。

○

O/S

・ブラックリストあるいはホワイトリストの⼀覧を定期的にレビューし、更新する。

(下記に加えて、

3.4.8)

CM-7(2), CM-7(4))

○

○

-

-

・システムは、規定したルールに従って、プログラムの実⾏を阻⽌する。
<Advanced>
・組織は、システム、モノ等によって提供される機能とサービスをレビューし、削除の候補となる機能とサービスを特定する。

CPS.PT-2○(下記に加えて、3.4.7,

・組織は、禁⽌されている機能、ポート、プロトコル、サービスの使⽤を検知し防⽌するために、ネットワークスキャンツール、侵⼊検知防⽌システ

Oム、エンドポイントプロテクション（ファイアウォール、ホストベースの侵⼊検知システム等）を活⽤する。

(下記に加えて、3.4.6) (下記に加えて、CM-7)○(A.8.2.2, A.8.3.1)○

・組織は、IoT機器やPC、サーバ以外の機器であっても、複合機等のネットワークにつながる機器に対しては、不要な機能やサービス等を停⽌する。

（4.3.3.5, 4.3.3.7）<Basic>・使⽤するUSBメモリ等の周辺機器は、管理台帳を作成し、保管場所を施錠して管理する。
・IoT機器、サーバ等に接続するUSBメモリ等の外部記憶媒体に対して、ウイルス対策ソフトによるチェック、ウイルスチェックが可能なUSBメモリ

○

○

○

(3.8.1, 3.8.4)(MP-2, MP-3, MP-4)（SR 2.3, SR 7.7）

O

-

-

O/S

-

-

O

を⽤いる等の対策を⾏う。
・使⽤しないUSBポート、シリアルポートは栓をするなど物理的に閉塞する。

・ネットワークにつながることを踏まえた
安全性を実装するIoT機器を導⼊する。

L2_2_a_ORG<High-Advanced>・ハザードのエネルギー等を下げて事故が起きても影響を⼩さくするように設計する等、本質安全設計を通じて、影響度の⾼いハザードに対処することで、被害を極⼩化する。

○(A.16.1.6)

-

-

-

（SR 3.6, SR 7.1,

<Advanced>
・セーフティの側⾯を考慮したセキュリティリスクアセスメント(CPS.RA-4)を実施し、対象システムにおける物理的な安全に関する対策の要否及びそのレベルを把握する。
CPS.PT-3

・本質安全設計を通じてハザードの縮減を図る。当該プロセスを通じて、影響度の⾼いハザードが残存した場合、例えば、下記のような代替的対策を講ずることが望ましい。

○-

SR 7.2）- 安全装置等の付加装置による安全確保- ハザードを有する機器に要員が近づかないような空間設計の実施
・産業⽤制御システムは、サイバー攻撃等により通常の操作が維持できない場合、あらかじめ決められた出⼒をする。
<Basic>-（該当なし）

C-21

-

-

-

-

-

添付Ｃ

対策要件ID

対策要件
・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報の流れを特定し、管理するプロシージャを確⽴し、実施する。

対応する

する主体

L1_1_a_COM,<High-Advanced>

L1_1_a_SYS,

・組織は、ネットワーク構成、機器のソフトウェア構成等の情報を⾃動的に収集するメカニズムを利⽤し、常時最新の状況をモニタリングする。

L1_1_b_COM
L1_1_c_COM
L1_3_b_ORG,
L1_3_c_ORG,
L2_1_b_ORG,
L3_1_a_SYS,
L3_3_a_SYS,
L3_3_d_SYS

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

○

・情報システムは、システム内（及び相互接続システム間）のデータフローを制御するために、ユーザに対して（管理者によって）承認されたアクセ

O/Sス権限を強制的に適⽤する。

NIST SP 800-171

・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理的に分離する。
・組織／システムは、定常的なシステムの通信状況やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリティアラートを

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013

-

-

○

(下記に加えて、3.1.3,(下記に加えて、

3.14.1, 3.14.6,

AC-4, CM-2(2),3.14.7)

SI-4, SI-4(13))-

集約したプロファイルを作成、活⽤することで、未知の脅威や不審な振る舞い（通信）を検知できるようにする。
<Advanced>
・構成管理の⼀環として、組織が情報システム及び産業⽤制御システムの最新のベースラインとなる構成を把握し、⽂書化する。
・情報システム及び産業⽤制御システムのベースライン構成に変更が⽣じる場合、速やかにベースライン構成を更新し、常に最新の状況を把握できるようにする。
・組織は、⼀⽅のシステムから他⽅のシステムへの接続に関して、⼀⽅のシステムが他⽅のシステムのセキュリティ対策状況が⼗分なものだと判断し

CPS.AE-1

NIST SP 800-53 Rev.4

O/S-

た上で、接続を許可する。

○(下記に加えて、CA-3)--

・産業⽤制御システムは、産業⽤制御システム以外のネットワークに接続せず、制御システムのネットワークにサービスを提供する。
・組織は、情報システム内（及び相互接続システム間）のデータフローを制御するために、ユーザのアクセス権限に応じて任意アクセス制御を実施す○

る。

（4.4.3.3）<Basic>・組織は、情報システム及び産業⽤制御システムのネットワーク構成、資産、機器の設定情報、構成情報等のベースラインとなる情報を⽂書化し、内容が適切かどうかを定期的に確認する。
・組織は、産業⽤制御システムにおいて、制御システムのネットワークを情報システムとのネットワークから論理的あるいは物理的にセグメント化することで、情報の流れを管理する。

O

○

○

(3.4.1)(CM-2)--[参考] 他のネットワークと物理的に離れた環境においては物理的なセグメント化を実施する、他のネットワークと物理的に近接した環境では、対策のコスト等も考慮して論理的なセグメント化を実施する等の対応が可能である。

・セキュリティ管理責任者を任命し、セキュリティ対応組織(SOC/CSIRT)を⽴ち上げ、組織内でセキュリティ事象を検知・分析・対応する体制を整える。

L1_3_a_ORG<High-Advanced>
・組織は、セキュリティ専⾨の24時間365⽇モニタリングモニタリングにより収集した監査ログを、分析⾃動化ツール等を利⽤することで効率的に分析する。
○

・組織は、従来のIT環境だけでなく、制御システムやIoT機器も含めて、セキュリティ状況のモニタリングの範囲とすることが望ましい。
・組織は、セキュリティ対応組織の成熟度を定期的に評価し、セキュリティ状況のモニタリングやインシデントへの対応等のセキュリティ関連業務を

O/S-(上記に加えて、--○（SR 2.8, SR 2.9,

（4.3.4.5.6,

SR 2.10, SR 2.11,

4.3.4.5.7, 4.3.4.5.8）

SR 2.12, SR 3.9,

SI-4(2), SI-4(5))

継続的に改善することが望ましい。
[参考] セキュリティ対応組織(SOC/CSIRT)を評価するためのメトリクスには、「セキュリティ対応組織成熟度セルフチェックシート」(ISOG-J,
2018年)や、SIM3(Security Incident Management Maturity Model)等がある。
<Advanced>
・組織は、リスクアセスメントの結果等を参照して、下記の観点を考慮しながらモニタリング、相関分析の対象となる対象を確⽴する。なお、相関分○

析の対象には、他組織とデータを連携する部分のログも含めることが望ましい。

(下記に加えて、- モニタリングするシステムの範囲をどこまでとするか
CPS.AE-2

A.12.4.1, A.16.1.5)- どのような機器のログを収集し、分析するか (CPS.AE-3を参照)
・組織は、モニタリングにより収集した監査ログを定期的にレビューする。

○○

・組織は、資産情報、機器の構成情報、ネットワーク構成情報等を継続的に収集・管理し、⾃組織のセキュリティ対応状況を評価する。
・組織は、相関分析の結果等から対応が必要なセキュリティインシデントを適切に検知し、セキュリティ運⽤プロセスの記載内容に従い、対応を実施

O/S(3.6.1, 3.12.2,
3.14.6, 3.14.7)

する（プロセスの内容については、CPS.RP-1等を参照）。

○(CA-7, IR-4, SI-4)

・組織及びシステムのセキュリティ状態をセキュリティ管理責任者等の適切な要員に、定期的に報告する。報告内容には以下を含むことが望ましい。

SR 6.1, SR 6.2）

- ログ分析の分析結果（対処したインシデントの件数、対応済みの代表的なインシデントの概要、脅威動向、モニタリング上の課題等）- モニタリングにおける今後の改善⽅針[参考] セキュリティ対応組織(SOC/CSIRT)の業務、望まれる規模等については、「セキュリティ対応組織（SOC/CSIRT）の教科書 〜 機能・役割・
⼈材スキル・成熟度 〜」(ISOG-J, 2018年)等を参照することが望ましい。
<Basic>・組織は、情報システム及び産業⽤制御システムの双⽅におけるセキュリティ管理責任者／担当者を明確化し、社内・社外向けのセキュリティ関係の窓⼝とする。

C-22

O

-

-

○
(A.6.1.1)

-

-

添付Ｃ

対策要件ID

対策要件
・セキュリティ事象の相関の分析及び外部の脅威情報と⽐較した分析を⾏う⼿順を実

対応する

L1_1_b_SYS,<High-Advanced>

L1_3_a_SYS

・最新の脅威情報、脆弱性情報、複数回にわたるセキュリティ管理策アセスメントの結果等から動向分析を実施し、継続的なモニタリングに⽤いられする主体

NIST SP 800-171O(下記に加えて、○ている活動の修正の必要性を判断する。

装することで、セキュリティインシデント

・組織は、⾃組織でIDS,IPS,SIEMといったセキュリティ装置等のポリシーチューニング（適⽤シグネチャ管理）と維持管理を⾏う。

を正確に特定する。

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

3.14.4)

・組織は、⾃組織でセンサー機器でのカスタムシグネチャを脅威情報から作成する。

NIST SP 800-53 Rev.4

ISO/IEC 27001:2013
付属書A○(下記に加え、CA-7(3))

IEC 62443-2-1:2010

IEC 62443-3-3:2013--

・組織は、可能な場合、⾃組織に悪影響を及ぼす可能性の⾼いセキュリティ事象を適切に検知するため、＜Advanced＞で提⽰している機器のログに加え、IoT機器等のエッジデバイスのログも収集し、分析することが望ましい。
<Advanced>
・組織は、⾃組織に悪影響を及ぼす可能性の⾼いセキュリティ事象を適切に検知するため、主に以下のような情報システムを構成する機器のログを監視し、リアルタイムに分析を⾏うことが望ましい。 多種多様なログの取り扱いが必要になるため、ログを正規化し、同⼀のデータベースに格納した○

り、SIEMを利⽤したりして、効率的な分析を実現する必要がある。取得可能な場合はネットフローの情報も扱うことが望ましい。

CPS.AE-3(A.12.4.1)- ファイアウォールなどのネットワーク装置からのログやネットフロー- IPS/IDSなどのセキュリティ装置からのログ

S- Web サーバなどのアクセスログ- ActiveDirectoryやDNSなどの各種システムからのログ- ユーザ利⽤端末に関するログ○○(3.12.3)(CA-7)○（SR 6.1）[参考] セキュリティ対応組織(SOC/CSIRT)が実施する各種業務の内容については、「セキュリティ対応組織（SOC/CSIRT）の教科書 〜 機能・役
割・⼈材スキル・成熟度 〜」(ISOG-J, 2018年) 等を参照することが望ましい。
<Basic>・ファイアウォールやエンドポイントセキュリティ製品等の通知を個別に確認することで、⾃組織に悪影響を及ぼすようなセキュリティ事象を特定す

O

-

-

-

-

-

-

-

-

る。

・関係する他組織への影響を含めてセキュ

L1_3_b_PRO<High-Advanced>
・組織は、発⽣したセキュリティ事象の形態，規模及び費⽤を定量化及び監視できるようにする⾃動的なメカニズムを備える。

リティ事象がもたらす影響を特定する。

・組織は、セキュリティ事象発⽣時において、マルウェアや攻撃者が配置したプログラムやスクリプトが発⾒された場合、それらの機能の解析を⾃組○織のセキュリティ対応組織(SOC/CSIRT)にて実施する。

O/S

・組織は、攻撃者のプロファイル（所属組織、組織の活動⽬的など）に関する仮説を構築する。

--(下記に加えて、
A.16.1.6)[参考] 複数のシステムが連携する"System of Systems"が構築されている環境においては、セキュリティインシデントの影響評価はより困難なものになることが想定される。当該領域における先⾏的な試みである「Internet of Things(IoT)インシデントの影響評価に関する考察」(⼀般社団法⼈⽇本

CPS.AE-4

クラウドセキュリティアライアンス, 2016年)では、デバイスの特性、サービスの特性、デバイス数により影響度を評価する試みがなされている。
<Advanced>
・組織は、IPA、JPCERT/CC、業界ISAC、セキュリティベンダー等と連携して情報収集し、脅威情報、脆弱性情報等を相互に関連付けて、共有するこ

○

○

○

(3.6.1)(IR-4, IR-4(8))(A.6.1.4)

-

-

-

-

O

-

(下記に加え、CP-2(8),Oとによって、当該セキュリティ事象の全容を把握する。
・セキュリティ事象発⽣時において、マルウェアや攻撃者が配置したプログラムやスクリプトが発⾒された場合、それらの機能の解析を外部のセキュ
リティベンダー等に依頼する。
<Basic>（該当なし）

・セキュリティ事象の危険度の判定基準を定める。

L1_3_a_PRO<High-Advanced>
・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係する他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。
※ CPS.AM-6, CPS.BE-2に同様の対策例を記載○○（4.2.3.10）

IR-5(1))

・組織は、セキュリティ事象の追跡と、事象に関係する脅威収集・脆弱性等の情報の収集及び分析を⽀援する⾃動化されたメカニズムを使⽤して、セ-キュリティ事象の分類（トリアージ）等に活⽤する。
<Advanced>
CPS.AE-5

・組織は、⾃組織のセキュリティ運⽤プロセスにおいて、対象となるシステムの復旧⽬標、復旧の優先順位及びメトリクスを考慮してインシデントを

O

-

O

-

分類する。

○

○

(下記に加え、CP-2)(A.16.1.4)

-

-

-

-

<Basic>・当該セキュリティ事象のもたらす影響の⼤きさを考慮し、報告義務のあるインシデントを定める。
[参考] セキュリティ事象の影響の⼤きさを測るための尺度を検討する場合、下記⽂書等を参照することができる。
・SP 800-61 Rev.1 (NIST, 2008年) 3.2.6 事件の優先順位付け
・「サイバー攻撃による重要インフラサービス障害等の深刻度評価基準」(NISC, 2018年)

C-23○(IR-8)

添付Ｃ

対策要件ID

対策要件
・組織内のネットワークと広域ネットワー
クの接点において、ネットワーク監視・制御、アクセス監視・制御を実施する。

対応する

する主体

L1_1_a_SYS,<High-Advanced>

L1_1_c_SYS,

・情報システムは、管理されたインターフェース上で認証されたプロキシサーバー経由で、通信を宛て先IPアドレスの属するネットワークにルーティ

L1_3_a_SYS,
L2_1_b_ORG,
L2_3_c_SYS,
L3_1_a_SYS,
L3_3_a_SYS,
L3_3_d_SYS

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

S

ングする。
・情報システム及び産業⽤制御システムは、モバイルコードの使⽤を管理し、監視する。

NIST SP 800-171

NIST SP 800-53 Rev.4○○(下記に加えて、(下記に加えて、

3.13.13, 3.13.14)

SC-7(8))ISO/IEC 27001:2013

IEC 62443-2-1:2010

IEC 62443-3-3:2013

-

-

-

-

-

付属書A

・情報システムは、⾳声や映像の伝送に利⽤されるプロトコル（例︓VoIP）の使⽤を管理し、監視する。
<Advanced>
・組織は、産業⽤制御システムと情報システムとの境界において通信をモニタリングし、制御する。
・組織は、インターネットなどの外部ネットワークと社内ネットワークの中間に内部ネットワークへのアクセスを隔離されたネットワーク上のセグメント（DMZ: ⾮武装地帯）を構築する。

CPS.CM-1

・組織のセキュリティアーキテクチャに従って配備された境界保護装置によって構成される管理されたインターフェースを介してのみ、外部ネット
ワークまたはシステムに接続する。
・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）を必ず経由さ

○

O/S

せる。

○

(下記に加えて、(下記に加えて、

3.13.6)SC-7(4), SC-7(5))○（SR 6.2）

・組織は、個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・組織は、特定の送信元、あるいは多数の送信元からの⼤量の通信がないかをシステムの外部境界及びシステム内の主要な内部境界にてモニタリング
し、必要に応じて、特定IPアドレスからの通信を遮断するなど、適切な対応を実施する。
<Basic>O・組織は、情報システムの外部境界において通信をモニタリングし、制御する。

・IoT機器、サーバ等の重要性を考慮し、適切な物理的アクセスの設定及び記録、監視を実施する。

L1_1_a_SYS,<High-Advanced>

L1_1_c_SYS,

・組織は、特に重要な資産を管理している範囲内での重要資産の位置や移動を追跡し、モニタリングする。

L2_3_b_PEO,
L2_3_b_SYS,
L2_3_d_SYS,
L3_1_a_SYS○(SC-7)-○(下記に加えて、PE-20)

-

-

-

-

-

-

-

-

-

<Advanced>
・監視カメラ等による常時モニタリングは実施していないが、⼊退室管理等により物理アクセスログを取得している場合、定期的に、また、インシデ
ントあるいはその兆候が顕在化した際に監査ログをレビューする。
・⾃組織の保護すべき資産に直接アクセス可能なエリア（執務室等）において、⾃組織の担当者が来客に付き添って、来客の⾏動をモニタリングする。
・組織は、IoT機器、サーバ等が設置されている⾃組織の業務上重要な施設に対する物理アクセスを監視カメラ等によりモニタリングすることによっ

CPS.CM-2

O○(3.13.1, 3.13.5)

Oて、物理的なセキュリティインシデントを早期に検出し、対応できるようにする。
・⾃組織のオペレーションにとって重要度が⾼いと考えられるIoT機器、サーバ等のモノであるが、遠隔地に存在している等の理由により上記の物理的セキュリティ対策の実装が難しいと考えられる場合、耐タンパー性の⾼い機器を利⽤する(CPS.DS-6)等して、機器⾃体の物理セキュリティ特性を○○(3.10.4, 3.10.5)(PE-3, PE-6)○[A.11.1.1, A.11.1.2,
A.11.1.3]

⾼めることで対策することを検討する。
<Basic>・コスト等の問題により、物理的アクセスを制御すべきエリアに⼊退室管理、映像監視等の対策が実施できない場合、⾃組織の担当者が来客に付き添Oうなどして⼈⼿による代替的な対策を実施する。
・施設内の、⼀般の⼈がアクセスできない指定エリアに対するアクセスを制御するための、⼊退室管理対策を実施する。
・組織は、個⼈の物理的なアクセスを許可する前に、当該要員のアクセス権限を確認し、⼊退室時のログを保持する。

・指⽰された動作内容と実際の動作結果を⽐較して、異常の検知や動作の停⽌を⾏う
IoT機器を導⼊する。
・サイバー空間から受ける情報が悪質なコードを含んでおらず、許容範囲内であることを動作前に検証する。

L1_1_b_SYS,<High-Advanced>

L2_2_a_COM,・IoT機器あるいはそうした機器を含んだシステムが、通常期待される結果とは異なる結果をもたらすような特定の攻撃（例︓コマンドインジェク

L3_3_a_DAT,
L3_3_d_SYSション）に備え、ソフトウェアプログラムまたはアプリケーションからの出⼒情報を検証して、期待される内容と⼀致しているかを確認する。

S

・情報システムは、IDS/IPSによる悪質コードの検知ロジックを⾃動的に更新する。
・エンドポイント（特に、多様な機能を有するIoT機器、サーバ等）において、マルウェアに対する振舞い検知型の検出・修復ソフトウェアを導⼊す○○(下記に加えて、(下記に加えて、

3.14.4, 3.14.5)

SI-10, SI-15)

ることで、未知の脆弱性を突く攻撃コードの検知を実施する。
・情報システムは、⾃組織外から受信したファイルのリアルタイムスキャンを実⾏する。
<Advanced>
・情報システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知する。

CPS.CM-3-○○(A.12.2.1)（SR 3.2）・エンドポイント（IoT機器、サーバ等）において、マルウェアに対するパターンファイル型の検出・修復ソフトウェアを導⼊することで、攻撃コードの検知を実施する。
・特に、機能が限定されているIoT機器において、ホワイトリスト型のマルウェア対策を実施することを考慮する。

S

○

○

(3.14.2, 3.14.3)(SI-3)---※ 特にIoT機器や制御機器においては、マルウェア対策ソフトが利⽤可能なOSが使⽤されているとは限らないケースがある。組織は、調達時等に導⼊する機器がマルウェア対策ソフトに対応できるものかを確認し、対応可能なものを選定することが望ましい。マルウェア対策ソフトに対応する機器を調達することが困難な場合、ネットワーク上でマルウェアを検知する仕組みを導⼊・強化する等、代替的な対策を実施することが望ましい。
<Basic>・情報システム及び産業⽤制御システムは、インプットとなるデータが指定されたフォーマットや内容に適合しているかどうかを確認することで、有効性を検証する。

C-24

S

-

-

○
(SR 3.5)

添付Ｃ

対策要件ID

対策要件
・サイバー空間から受ける情報の完全性及び真正性を動作前に確認する。

対応する参照ガイドライン対策例を実⾏

対策例

脆弱性ID
L3_3_a_DAT,<High-Advanced>

L3_3_d_SYS

・組織は、データ⼊⼒に対する「ホワイトリスト」の概念を導⼊することで、インプットデータの出所を既知の信頼できるモノ、システム等と、そうしたインプットデータの許容できるフォーマットを指定する。
・IoT機器、サーバ等は、他のIoT機器と通信する際、機器間の相互認証が成功した後にはじめて通信を開始することで、データの出所の把握を確実なする主体

NIST SP 800-171

○

○

S

(下記に加えて、(下記に加えて、

3.14.5)

SI-10(5))

ものとする。

NIST SP 800-53 Rev.4

・情報システム及び産業⽤制御システムは、通信セッションの真正性を保護する。

CPS.CM-4

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013○○(A.13.2.1, A13.2.3)（SR 3.2）<Advanced>
・情報システムは、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不正な変更を検知する。
・IoT機器、サーバ等は、他のIoT機器と通信する際、当該IoT機器が⾃組織の業務において重要なものと認められる場合、機器間の相互認証が成功し

S

○

○

(3.14.5)(下記に加えて、SI-7)-

た後にはじめて通信を開始することで、データの出所の把握を確実なものとする。
<Basic>-（該当なし）

・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内容をモニタリングする。

L1_1_a_COM,<High-Advanced>

L1_1_a_SYS,

・組織は、外部情報システムサービスのプロバイダに対して、サービスの使⽤に必要な機能、ポート、プロトコル及び他のサービスを明確にするよう

L1_1_b_COM
L1_1_c_COM
L1_3_b_ORG,
L1_3_c_ORG,
L3_1_a_SYS,
L3_3_a_SYS,
L3_3_d_SYS

要求する。

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

○

O/S

-

(下記に加えて、
SA-9(2))

・組織は、上記で明確化した事項が遵守されているかどうかモニタリングする。
<Advanced>
・組織は、外部サービスプロバイダ及びシステム開発の委託先の要員に対してのセキュリティ上の要求事項を⽂書化し、契約等に記載する。

○

・組織は、外部サービスプロバイダ及びシステム開発の委託先に対して、⾃組織のシステムに対する権限を有する要員が異動、または雇⽤が終了する(下記に加えて、

場合に、⾃組織へ通知することを要求する。
・組織は、関連する業務情報，業務システム及び業務プロセスの重要性並びにリスクの再評価を考慮して、外部サービスプロバイダーによるサービス
提供の変更を管理することが望ましい。

CPS.CM-5-

O/S○（3.14.6, 3.14.7)

・組織は、外部サービスプロバイダ及びシステム開発の委託先による要求事項の遵守状況をモニタリングする。

○

A.13.1.2, A.15.2.2)(下記に加えて、
PS-7, SI-4)

・組織は、外部サービスプロバイダー及びシステム開発の委託先による作為あるいは不作為による不正アクセスを検知するため、当該外部事業者による⾃組織のシステムへのアクセスををモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先の活動のモニタリング結果を、適切なシステム管理者に報告する。
<Basic>・組織は、外部情報システムサービスのプロバイダ及びシステム開発の委託先に対して、⾃組織が対象となっている、あるいは当該プロバイダーが対象として該当するルールに従って、例えば、下記に関連するようなセキュリティ要求事項を設定し、導⼊することを要求する。
- （例えば、ISMS認証取得相当の）セキュリティ対策が⼗分に⾏われていること

O

-

O/S

-

○

○

(SA-9)(A.14.2.7)- 運⽤中のデータが適切に管理されること- サービス利⽤終了時にデータが適切に削除されること・機器等の構成管理では、ソフトウェア構
成情報、ネットワーク接続状況（ネット
ワーク接続の有無、アクセス先等）及び他

L1_1_a_COM,<High-Advanced>

L1_1_a_SYS,

・組織は、システム内に許可されてないハードウェア、ソフトウェア、ファームウェアが存在する場合に、それを⾃動で検知するメカニズムを使⽤す

L1_1_b_COM
L1_1_c_COMのソシキ、ヒト、モノ、システムとの情報

L1_3_a_SYS,の送受信状況について、継続的に管理すL1_3_b_ORG,

る。

L1_3_c_ORG,
L2_1_a_ORG,
L2_1_c_ORG,
L2_1_c_SYS,
L2_3_b_ORG,
L2_3_b_SYS,
L2_3_c_SYS,

CPS.CM-6

る。
・情報システムは、組織が定めたベースライン構成に対して、把握された実際の構成が適合しているかを定期的に監査し、例外として組織に許可されているものを除き、接続を遮断する等、適切に対応する。
・情報システム及び産業⽤制御システムは、許可されていないコンポーネントのネットワークアクセスが検知された場合に、そうしたコンポーネント○

によるネットワークアクセスを無効にする、それらのコンポーネントをネットワークから切り離す等の⼀次対処を実施し、システム管理者に通知する。

(下記に加えて、
CM-8(3))

・組織は、情報システムのベースライン構成のロールバックを可能にするために、旧バージョンのベースライン構成（例えば、ハードウェア・ソフト
ウェア・ファームウェア・構成ファイル・構成記録）を記録する。
・制御機器やIoT機器において、ファームウェア等のロールバック機能が備わっていない場合、予備の制御機器やIoT機器を備えておくことが望ましい。

L3_1_a_SYS,

・IoT機器には、既存の資産管理システムと必ずしも接続できないものも存在することが想定されるため、組織が管理できる範囲で複数の資産管理シ

L3_3_a_SYS,

ステムを運⽤することも視野に⼊れて資産管理・構成管理を実施する。

L3_3_d_SYS※ 関連する対策要件に、CPS.AM-1がある。
<Advanced>
・組織は、新たな資産のインストールや削除の際に、または、システムのアップデートの際に、資産、構成情報の⼀覧を更新することが望ましい。
・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）を必ず経由さ○せる。
・個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。

O/S

・情報システム及び産業⽤制御システムは、セッション終了後、あるいは⼀定以上の間⾮アクティブな状態が持続しているセッションのネットワーク○（下記に加えて、3.4.1, (下記に加えて、CM-3,
3.4.3, 3.13.9, 3.14.6,

CM-8(1), SC-7(4),3.14.7)SC-7(5), SI-4)

コネクションを終了する。
・組織は、承認されていないモノ、システム等への通信、あるいは適切でない内容を含んだ通信を検知するため、管理されたインターフェースにおいて通信をモニタリングする。
<Basic>・IoT機器、サーバ等を含む資産の型番やソフトウェアのバージョン、サポート期限等を管理する台帳を作成し、定期的に棚卸する。
・組織は、運⽤時に実施すべき対策（IoTデバイスの不正利⽤や盗難、パッチの適⽤、ログのチェック等）、IoT機器の状況を定期的に確認する。

C-25

O

○

○

(3.4.1)(CM-8)

添付Ｃ

対策要件ID

対策要件
・⾃組織の管理しているIoT機器、サーバ等に対して、定期的に対処が必要な脆弱性の有無を確認する。

対応する

L1_1_a_SYS,<High-Advanced>

L2_1_c_SYS,

・組織は、⾃組織が管理する産業⽤制御システムの構成要素（IoT機器を含む）に対して、計画停⽌時等に脆弱性診断を実施し、⾃組織の所有するシL3_1_a_SYS,
L3_3_a_SYS,
L3_3_d_SYS

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

する主体

NIST SP 800-171O(下記に加えて、○ステムに存在する脆弱性を認識し、⼀覧化する。
・組織は、ツールを⽤いて脆弱性診断を⾏う場合、診断すべきシステムの脆弱性データベースをすぐに更新できる脆弱性診断ツールを使⽤することが3.11.2)望ましい。
・組織は、スキャンされたシステムの脆弱性を定期的に、あるいは新たな脆弱性が特定され、報告された場合に更新する。

NIST SP 800-53 Rev.4

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013○(下記に加えて、-

RA-5(1), RA-5(2),RA-5(5))

・組織は、指定された脆弱性スキャン活動に関して、対象システムのコンポーネントに対する特権的アクセスの許可制度を実施する。
<Advanced>
・組織は、情報システム及びアプリケーションの脆弱性のスキャンを定期的に、あるいは、それらのシステム／アプリケーションに影響を及ぼす新た○な脆弱性が確認され、報告された場合に実施する。
・組織は、脆弱性スキャンにツールを⽤いる。以下を満たす標準的な⼿法を使⽤することによって、脆弱性管理プロセスの⼀部を⾃動化できることがCPS.CM-7○

求められる。

(A.12.6.1)- プラットフォーム、ソフトウェアの⽋陥及び誤った設定を列挙する- チェックリストとテスト⼿順をフォーマットする

O- 脆弱性による影響を評価する・組織は、リスクアセスメントを通じて、特定された脆弱性を適切な期間中に修正する。

○○(3.11.2, 3.11.3)(RA-5)（下記に加えて,4.2.3.7）-

・上記のプロセスから得た情報を組織内の他のシステムの管理者と共有することによって、他の情報システム内の同様の脆弱性を把握し、必要に応じて修正する。
[参考] 脆弱性情報の取得に際して、Japan Vulnerability Notes(https://jvn.jp/)等の情報源を参照することが可能である。また、脆弱性の影響の⼤きさを評価する指標として、CVSS(IPAによる解説︓https://www.ipa.go.jp/security/vuln/CVSS.html)を参考とすることが可能である。
<Basic>CPS.DP-1

・セキュリティ事象の説明責任を果たせる

令、通達や業界標準等に準拠して、セキュ

L1_2_a_ORG,

報を決定する。
<High-Advanced><Advanced><Basic>共通

L1_3_a_ORG

・組織は、モニタリング業務に関係する法制度、業界標準、顧客との契約事項等が存在するか、存在するならばどのような制約があるかを認識する。
・組織は、上記で認識したルールに準拠してモニタリングを実施し、セキュリティ事象を検知する。

リティ事象を検知する。
・監視業務として、セキュリティ事象を検知する機能が意図したとおりに動作するかどうかを定期的にテストし、妥当性を検証する。

<High-Advanced><Advanced><Basic>共通
・組織は、リスクマネジメントに係る戦略やアセスメントの結果等から、セキュリティインシデントを検知するために収集することが望ましいログ情

よう、セキュリティ事象検知における⾃組
織とサ ビスプロバイダが担う役割と負う・監視業務では、地域毎に適⽤される法

CPS.DP-2

L1_3_a_ORG○

O

・組織は、情報システム及びアプリケーションの脆弱性のスキャンを定期的に実施する。

OO（4.2.3.1）
○

○

○

○

(3.12.3)(CA-7, PM-14)(A.6.1.1, A.12.4.1)（4.4.3.1）

○

○

○

○

(3.12.3)(CA-7, PM-14)(A.18.2.2)（4.4.3.2）--

・組織は、⾃組織のモニタリング活動がルールに準拠したものかどうかを定期的にレビューし、確認する。
L1_3_a_ORG<High-Advanced>○

・最新の脅威情報、脆弱性情報、複数回にわたるセキュリティ管理策アセスメントの結果等から動向分析を実施し、継続的なモニタリングに⽤いられている活動の修正の必要性を判断する。

O/S・システムに、既知で害のないテストケースを導⼊して、マルウェア検知メカニズムをテストする。

-(下記に加えて、
CA-7(3), SI-3(6),SI-4(9))・組織は、侵⼊検知モニタリングに⽤いているメカニズムを定期的にテストする。テストの頻度は、組織が使⽤するツールの種類と、ツールの設置⽅○(下記に加えて、--

A.14.3.1)

法により変わる。
CPS.DP-3<Advanced>
・組織は、⾃組織のシステムのモニタリング活動が、組織のリスクマネジメント戦略と、リスク対応のためのアクションの優先順位に適合しているかどうかを定期的に確認するプロシージャを定め、運⽤する。

O

-

-

-

・ネットワーク機器やエンドポイントからのセキュリティに係る情報の相関分析を⾏うのに合わせて、誤検出や検出漏れの割合を算出し。定期的に検

○

○

○

○

(CA-7, PM-14)(A.14.2.8)（4.4.3.2）（SR 3.3）

-

-

-

-

知メカニズムの妥当性を確認する。
<Basic>（該当なし）C-26

添付Ｃ

対策要件ID

対策要件
・セキュリティ事象の検知プロセスを継続的に改善する。

対応する

L1_1_b_SYS,<High-Advanced>

L1_3_a_ORG

・組織は、検知能⼒向上のため、様々な情報ソースをもとに、検知ルールの作成とチューニングを⾏う

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

する主体

NIST SP 800-171

NIST SP 800-53 Rev.4

O/S-(下記に加えて、SI-

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013

-

-

○

- 相関分析ルールの開発- IPS/IDSの独⾃シグネチャの開発

4(13))- 独⾃ブラックリストの開発
・組織／システムは、システムの通信やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリティアラートを集約したプロファイルを作成、活⽤することで、誤検出の数や、検出漏れの数を減らすためのチューニングを⾏う。
<Advanced>
・組織は、経営層等の組織内の然るべき要員に、定期的に組織及びシステムのセキュリティの状態を報告するプロシージャを整備し、運⽤する。組織は、報告の場を最新の脅威や残存するリスクに対する脅威を認識し、セキュリティを向上するための場とすることが望ましい。

○

・例えば、以下のような注意喚起情報の発信があった際等に、セキュリティに係るリスク増加の兆候がある場合、信頼できる情報源からの情報に基づ
CPS.DP-4

いて、システムのモニタリング活動のレベルを上げる。

(A.16.1.6)※以下のリストは、「セキュリティ対応組織 (SOC,CSIRT)強化に向けたサイバーセキュリ

ティ情報共有の「5W1H」 v1.0」(ISOG-J, 2017年)より引⽤している。
・ 攻撃の特徴 攻撃の特徴

○

○

○

(3.14.6, 3.14.7)(CA-7, SI-4)（4.4.3.4）

-

-

-

S

-

O

-

O

➢ 攻撃形態、関連する通信の内容-➢ 核⼼となる攻撃コード・ 攻撃によって残る痕跡➢ 被害を受けた後の通信内容➢ サーバやクライアントに残るログ➢ サーバやクライアントに残るその他特徴
・ 各セキュリティ製品における検知名<Basic>（該当なし）

・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にする
ため、インシデントを検知した後の組織／

L1_1_a_SYS,<High-Advanced>

L1_3_a_PEO,

・情報システム及び産業⽤制御システムは、有効でないインプットデータを受け取った場合に、組織の⽬的とシステムの⽬的に沿って、予想できる形

L1_3_a_PRO,
L2_1_a_PRO,

ヒト／モノ／システムの対応⼿順（セキュL2_1_b_PRO,

リティ運⽤プロセス）をあらかじめ定義

L2_1_c_PRO,

し、実装する。

L2_2_a_PRO,
L3_1_a_SYS,
L3_3_a_SYS,
L3_3_d_SYS

で、かつ記載どおりに動作する。

(下記に加えて、
SI-10(3), SI-17)

-

-

-

-

<Advanced>
・組織は、セキュリティ運⽤マニュアルにおいてインシデントの検知及び分析、封じ込め、低減、復旧を含む内容を規定する。
- すべてのインシデントの取り扱いに関する記録をとる○-(下記に加えて、IR-8)- 外部組織等に対して、インシデント発⽣の事実と対応状況に関する報告をする必要があるかどうかを判断する<Basic>・組織は、セキュリティインシデントの発⽣時に利⽤するセキュリティ運⽤プロセスを策定し、運⽤する。当該プロセスには、下記を例とする内容を含むことが望ましい。
○- インシデントの報告を受けた者が、どのような対応をするのか、あるいはより上位に報告するのかの判断基準

CPS.RP-1-(A.16.1.5)- 緊急時の指揮命令と対応の優先順位の決定- インシデントへの対応（インシデントレスポンス）○（4.3.4.5.1）- インシデントの影響と被害の分析

O/S- 情報収集と⾃社に必要な情報の選別- 社内関係者への連絡と周知○○(3.6.1)(IR-4)-- 外部関係機関との連絡・システム（特に産業⽤制御システム）は、IoT機器、サーバ等に異常（誤動作等）が発⽣した場合に、緊急停⽌、管理者へのアラート通知等のフェールセーフのための対応を実施する。
[参考] セキュリティインシデント発⽣時の対応⼿順の検討において、「インシデントハンドリングマニュアル」(JPCERT/CC, 2015年)、SP 800-61
Rev.1 (NIST, 2008年)、「インシデント対応マニュアルの作成について」(JPCERT/CC, 2015年)を参照することが可能である。

・セキュリティ運⽤プロセスにおいて、取引先等の関係する他組織との連携について
⼿順と役割分担を定め、運⽤する。

L1_3_b_PEO,<High-Advanced>

L1_3_b_PRO,

・組織は、サプライチェーンにおけるセキュリティインシデントの対処を想定し、⾃組織とサプライチェーンに関与する他の組織との間で、インシデ

L1_3_c_PEO,
L1_3_c_PRO

ント対応活動を調整するプロシージャを整備する。

○

・組織は、インシデント対応要件が満たされるよう、⾃組織のインシデント対応プロセスと、⾃組織の事業継続上、重要な機能を有する外部サービス

O

プロバイダのインシデント対応プロセスを調整する。

-

・組織は、脅威情報、脆弱性情報等と、個々のセキュリティインシデントへの対応を相互に関連付けることによって、状況認識を改善する。

(下記に加えて、-

IR-4(10))○[参考] サプライチェーンにおけるセキュリティインシデントには、たとえば、システムコンポーネント、IT 製品、開発プロセスまたは開発者、流通(下記に加えて、

過程または倉庫施設に対する侵害等がある。
CPS.RP-2-

CP-2(7), IR-4(4),A.17.1.2)<Advanced>
・組織は、セキュリティインシデントにより第1の処理拠点の可⽤性が低下した場合に利⽤する代替処理拠点を定める。
・組織は、⾃組織の⼀次処理機能が利⽤できない場合に、⾃組織が定める⽬標復旧時間内に、代替処理拠点により所定のオペレーションを移転・再開

O

して、重要なミッション／業務機能を遂⾏できるようにするようサービス契約で規定する。

-

・組織は、同じ脅威に対する脆弱さを減らすために、⼀次処理拠点から離れた代替処理拠点を指定する。
・組織は、情報システム及び産業⽤制御システムのユーザにセキュリティインシデントの対応と報告に関する助⾔と⽀援を提供する、組織のインシデ○○(下記に加えて、（4.3.2.5.2,

CP-7, CP-7(1),4.3.2.5.3, 4.3.4.5.1,

CP-7(2), CP-7(3),4.3.4.5.2, 4.3.4.5.3,

IR-7)

4.3.4.5.5）-

ント対応能⼒に不可⽋な、インシデント対応⽀援リソース（ヘルプデスク、CSIRT等）を⾃組織に⽤意する。
<Basic>・セキュリティインシデントを発⾒した場合、速やかにIPA、JPCERT/CC等の関係機関に報告し、対応の⽀援、発⽣状況の把握、⼿⼝の分析、再発防⽌のための助⾔等を受ける。

C-27

O

-

○

○

(IR-6)(A.16.1.1, A.16.1.2)

-

-

添付Ｃ

対策要件ID

対策要件
・⾃然災害時における対応⽅針及び対応⼿順を定めている事業継続計画⼜は緊急事対対応する

L1_3_a_PRO,<High-Advanced><Advanced>共通

L1_3_a_DAT

・組織は、情報システム、産業⽤制御システム及び関係するプロセスの管理者を含めて、有事における事業継続のための体制を構築する。事業継続にする主体

NIST SP 800-171

O

-

-

-

⽀障をもたらす事象が発⽣した際には、この体制が、運⽤を再確⽴するためのシステムの優先順位を決定する。

応計画の中にセキュリティインシデントを
CPS.RP-3

参照ガイドライン対策例を実⾏

対策例

脆弱性ID・組織は、災害等と⽐較して被害状況が⾒えづらく事業継続計画の発動タイミングが不明確、インシデントの原因究明の重要性が⾼い等の特徴を有す

位置づける。

るセキュリティインシデントに特化した事業継続計画⼜は緊急事対応計画を策定し、運⽤する。

NIST SP 800-53 Rev.4

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013

○

○

○

(CP-2)(A.17.1.1)(4.3.2.5.4)

-

-

-

-

-

-

-

-

-

・組織は、セキュリティインシデントに特化した事業継続計画⼜は緊急事対応計画を策定する際、組織全体の事業継続に係る⽅針と合致するような内容とすることを確実にする。
<Basic>（該当なし）

・セキュリティインシデント発⽣時に被害

L1_3_b_COM

・組織は、社外の取引関係組織、エンドユーザー等の外部関係者にセキュリティインシデントの概要を説明し、具体的な被害状況の情報収集を⾏う。

を受けた設備にて⽣産される等して、何ら・組織は、サプライチェーンに関与する外部関係者との間で、復旧活動及びインシデントの事後処理に関わる活動を調整する。その際、CPS.AM-2,

かの品質上の⽋落が⽣じていることが予想
CPS.RP-4<High-Advanced><Advanced>共通

O

CPS.AM-3にて記載している⽅法により、対応の対象となるモノを特定していることが望ましい。

されるモノ（製品）に対して適切な対応を○(3.6.2)<Basic>・⾃組織の業種等を考慮して、事業継続計画⼜は緊急事対応計画の中に、インシデント発⽣後の⽣産したモノへの対応について記載するかを検討す

○

O

-

O

-

-

O

-

-

る。その際、事業継続計画⼜は緊急事対応計画は、必ずしもセキュリティインシデントを想定したものでない場合も許容されるものとする。
L1_3_a_PRO○(A.17.1.1)※ CPS.CO-3と関連⾏う。

・セキュリティインシデント発⽣後の情報○(下記に加えて、
IR-4, IR-4(10))(CP-2)<High-Advanced><Advanced><Basic>共通
・組織は、下記の内容を含むセキュリティインシデント発⽣後の情報公表時のルールを策定し、運⽤する。

公表時のルールを策定し、運⽤する。

- 公表する内容

CPS.CO-1- 情報公表の実施時期○○(Clause 7.4)

（4.3.4.5.9）

-

-

-

-

-

-

- 情報公表の実施者- 情報公表までの実施プロセス

・事業継続計画⼜は緊急事対応計画の中CPS.CO-2

L1_3_a_PRO<High-Advanced><Advanced><Basic>共通
・マスコミや取引先に対する情報のやり取りの窓⼝を⼀本化し、対応⽅針が⼀貫したものとなるようにする。

に、セキュリティインシデントの発⽣後、・セキュリティインシデントによる被害に関する重要な情報について、情報の機密性に配慮しつつ丁寧に説明する。

組織に対する社会的評価の回復に取り組む
点を位置づける。
・復旧活動について内部及び外部の利害関L1_3_a_PRO

O

集を⾏う。

を、事業継続計画⼜は緊急事対応計画の中CPS.CO-3<High-Advanced><Advanced>共通
・組織は、監督官庁、社外の取引関係組織、エンドユーザー等の外部関係者にセキュリティインシデントの概要を説明し、具体的な被害状況の情報収係者と役員、そして経営陣に伝達する点

・組織は、サプライチェーンに関与する外部関係者との間で、復旧活動及びインシデントの事後処理に関わる活動を調整する。ここで該当する活動のに位置づける。

○(3.6.1)○(下記に加えて、
IR-4, IR-4(10))○

例として、⽣産システムにおけるセキュリティインシデント発⽣時に⽣産されたモノの回収等が挙げられる。

(A.17.1.2)<Basic>・組織は、⾃組織に影響を及ぼすようなセキュリティインシデント発⽣時における役割、責任、そうした役割と責任を割り当てられたヒトと連絡先情

O

報を⽰す。

-

・組織は、事業継続に関わる意思決定の責任が割り当てられたヒトに対して、意思決定をより適切なものとするため、セキュリティインシデントの概○○（4.3.2.5.5,(CP-2)-

4.3.4.5.9）

要や被害状況に関する説明を実施する。

・セキュリティインシデントの全容と、推測される攻撃者の意図から、⾃組織及び関係する他組織を含む社会全体への影響を把握する。

L1_3_a_COM,<High-Advanced>

L1_3_a_PRO・情報システムは、発⽣したセキュリティインシデントの形態，規模及び費⽤を定量化及び監視できるようにする⾃動的なメカニズムを備える。
・組織は、セキュリティインシデント発⽣時において、マルウェアや攻撃者が配置したプログラムやスクリプトが発⾒された場合、それらの機能の解○

析を⾃組織のセキュリティ対応組織(SOC/CSIRT)にて実施する。

O/S

・組織は、攻撃者のプロファイル（所属組織、組織の活動⽬的など）に関する仮説を構築する。

--(下記に加えて、--

A.16.1.6)[参考] 複数のシステムが連携する"System of Systems"が構築されている環境においては、セキュリティインシデントの影響評価はより困難なものに
CPS.AN-1

なることが想定される。当該領域における先⾏的な試みである「Internet of Things(IoT)インシデントの影響評価に関する考察」(⼀般社団法⼈⽇本
クラウドセキュリティアライアンス, 2016年)では、デバイスの特性、サービスの特性、デバイス数により影響度を評価する試みがなされている。
<Advanced>
・組織は、IPA、JPCERT/CC、業界ISAC、セキュリティベンダー等と連携して情報収集し、脅威情報、脆弱性情報等を相互に関連付けて、共有するこOとによって、当該セキュリティインシデントの全容を把握する。
・セキュリティインシデント発⽣時において、マルウェアや攻撃者が配置したプログラムやスクリプトが発⾒された場合、それらの機能の解析を外部

○

○

○

(3.6.1)(IR-4, IR-4(8))(A.6.1.4)

-

-

-

○
（4.3.4.5.6,-

4.3.4.5.7, 4.3.4.5.8）のセキュリティベンダー等に依頼する。
<Basic>-（該当なし）

C-28

-

-

添付Ｃ

対策要件ID

対策要件
・セキュリティインシデント発⽣後に、デ対応する

L1_3_a_PRO

する主体

NIST SP 800-171

NIST SP 800-53 Rev.4

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013-（下記に加えて、○<High-Advanced>
・情報システムが、重要なセキュリティインシデントに関する監査記録について処理するプロシージャを提供する。

ジタルフォレンジックを実施する。

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

S

SR 2.10）<Advanced>
・組織は、媒体、装置及び装置の状態（例えば、電源が⼊っているか、切れているか）に従って、証拠の特定、収集、取得及び保存のプロシージャを規定する。

CPS.AN-2

・組織は、重要なセキュリティインシデントについて、発⽣後に下記の証跡を保全することが望ましい。

O

○

○

○

(3.3.6)(AU-7, AU-7(1))(A.16.1.7)○-- 識別情報（インシデントの発⽣場所／発⽣⽇時／対象となるモノのシリアル番号／ホスト名／MACアドレス／IPアドレス等）（SR 2.8, SR 2.9, SR
2.11, SR 2.12, SR
3.9, SR 6.1）

- 証跡を収集・処理したヒトの役職、名前、連絡先- 証跡保全処理の⽇時（タイムゾーンを含む）<Basic>・組織は，証拠となり得るデータを特定、収集、取得及び保存するためのプロシージャを定め、運⽤する。

・検知されたセキュリティインシデントのL1_3_a_PROO-

キュリティインシデントの分類（トリアージ）等に活⽤する。

⼩や侵⼊経路等で分類し、保管する。

-

-

-

-

○

・組織は、セキュリティ事象の追跡と、事象に関係する脅威収集・脆弱性等の情報の収集及び分析を⽀援する⾃動化されたメカニズムを使⽤して、セ

情報は、セキュリティに関する影響度の⼤O<High-Advanced>(下記に加えて、
CP-2(8), IR-5(1))<Advanced>
・組織は、⾃組織のセキュリティ運⽤プロセスにおいて、対象となるシステムの復旧⽬標、復旧の優先順位及びメトリクスを考慮してインシデントを分類する。
・組織は、⾃組織に影響を及ぼすセキュリティインシデントを追跡し、⽂書化する。「SP 800-61 Rev.1」では、セキュリティインシデントを⽂書化する際の記載の観点として、下記を例⽰している。
- インシデントの現在の状況

O- インシデントの概要○（3.6.1)- 当該インシデントに対して⾃組織のとった⾏動の内容○(下記に加えて、○- ほかの関係者(システム所有者、システム管理者等)の連絡先情報

CPS.AN-3-

CP-2, IR-5)(A.16.1.3, A.16.1.4)- 調査の際に収集した証拠の⼀覧- インシデントの処理担当者からのコメント○（4.3.4.5.6）- 次にとるべきステップ<Basic>・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係する他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。
※ CPS.AM-6, CPS.BE-2に同様の対策例を記載
・当該セキュリティ事象のもたらす影響の⼤きさを考慮し、報告義務のあるインシデントを定める。

O

-

O/S

-

○

-

(IR-8)[参考] セキュリティインシデントの影響の⼤きさを測るための尺度を検討する場合、下記⽂書等を参照することができる。
・SP 800-61 Rev.1 (NIST, 2008年) 3.2.6 事件の優先順位付け
・「サイバー攻撃による重要インフラサービス障害等の深刻度評価基準」(NISC, 2018年)

・セキュリティインシデントによる被害の拡⼤を最⼩限に抑え、影響を低減する対応
を⾏う。

L1_3_a_PRO<High-Advanced>
・組織は、セキュリティインシデントの対応プロセスを⽀援する⾃動化されたメカニズムを使⽤する。
・組織は、脅威情報、脆弱性情報等と、個々のセキュリティインシデントへの対応を相互に関連付けることによって、状況認識を改善する。
○[参考] 対応段階におけるインシデントの影響低減、復旧段階において有⽤に機能すると考えられる情報の例として、「セキュリティ対応組織(下記に加え、--

IR-4(1), IR-4(4))(SOC,CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」 v1.0 」(ISOG-J, 2017年)では、下記が挙げられる。
・攻撃⾏為をセキュリティ製品や関連するシステムで遮断するための設定要件
CPS.MI-1○

・攻撃を無効化する⽅法（パッチの適⽤、設定変更等）(A.16.1.5)

・被害を受けたシステム復旧⽅法<Advanced><Basic>共通
・組織（あるいはその構成員）は、あらかじめ定められたプロシージャに従って、セキュリティインシデントを低減するためのアクション（例えば、システムのシャットダウン、有線/無線ネットワークからの切断、モデムケーブルの切断、特定の機能の無効化など）を実⾏する。

O[参考]セキュリティインシデントの影響低減のための活動は、インシデントの性質（例えば、サービス拒否攻撃、マルウェア感染、不正アクセスのような顕在化する脅威の差異）により内容が異なる場合がある。より詳細な影響低減活動の情報については、「インシデントハンドリングマニュアル」(JPCERT/CC, 2015年)、SP 800-61 Rev.1 (NIST, 2008年)等を参照することが望ましい。

C-29

○

○

（3.6.1)(IR-4)○○（4.3.4.5.6,（SR 5.1, SR 5.2,

4.3.4.5.10）

SR 5.4）

添付Ｃ

対策要件ID

対策要件
・セキュリティインシデントへの対応から対応する

L1_3_a_ORG

する主体

NIST SP 800-171

NIST SP 800-53 Rev.4

S

-

-

○

○

（3.6.2)(IR-4)

ISO/IEC 27001:2013
付属書A

IEC 62443-2-1:2010

IEC 62443-3-3:2013

ーー<High-Advanced>
・情報システムが、発⽣したセキュリティインシデントの形態，規模及び費⽤を定量化及び監視できるようにする⾃動的なメカニズムを備えることが教訓を導き出し、セキュリティ運⽤プロセ

参照ガイドライン対策例を実⾏

対策例

脆弱性ID

望ましい。

スを継続的に改善する。

<Advanced><Basic>共通
・セキュリティインシデントの評価から得た脅威情報、脆弱性情報等は、再発する⼜は影響の⼤きいインシデントを特定するために利⽤することが望ましい。
・セキュリティインシデントへの対応活動から学んだ教訓を事業継続計画⼜は緊急事対応計画、教育／訓練に取り⼊れて、結果として必要となる変更

CPS.IM-1○

を実施する。NIST SP 800-61には、教訓を抽出する際の観点として下記が例として⽰されている。
- 正確に何がいつ起きたか。
- スタッフとマネジメント層がどの程度うまく事件に対処したか。⽂書化された⼿順に従ったか。それは適切だったか。

O(A.16.1.6)○（ 4.3.4.5.10）

ー- すぐに必要になった情報は何か。
- 復旧を妨げたかもしれないステップや⾏動があったか。
- 次に同様の事件が起きた場合、スタッフやマネジメント層は、どのような違った⾏動をとるか。
- どのような是正措置があれば、将来にわたって同じ様な事件が起きるのを防げるか。
- 将来事件を検出、分析、軽減するために、どのようなツールやリソースが追加で必要となるか。

・セキュリティインシデントへの対応から
CPS.IM-2

教訓を導き出し、事業継続計画⼜は緊急事
対応計画を継続的に改善する。

L1_3_a_ORG<High-Advanced><Advanced><Basic>共通
・組織は、セキュリティインシデントへの対応から、事業継続のためのプロシージャ及び関連する対策の機能が、事業継続のより上位の⽅針と合致しOているかを確認する。
・セキュリティインシデントへの対応活動から学んだ教訓を事業継続計画⼜は緊急事対応計画、教育／訓練に取り⼊れて、結果として必要となる変更を実施する。

C-30

○

○

○

（3.6.2)(IR-4)(A.17.1.3)--

添付Ｄ 海外の主要規格との対応関係
Ｄ．１

NIST Cybersecurity Framework のサブカテゴリと「サイバー・フィジカル・セキュリティ対策フレームワーク」との対応表
NIST Cyberseucurity Framework Ver. 1.1

機能

サブカテゴリサブカテゴリID

サイバー・フィジカル・セキュリティ対策フレームワーク
対策要件ID

対策要件

特定

AM-1

⾃組織内の物理デバイスとシステムが、⽬録作成されている。

(ID)

AM-2

⾃組織内のソフトウェアプラットフォームとアプリケーションが、⽬録作成されている。

AM-3

組織内の通信とデータフロー図が、作成されている。

CPS.AM-4 ・組織内の通信ネットワーク構成図及び、データフロー図を作成し、適切に管理する。

AM-4

外部情報システムが、カタログ作成されている。

CPS.AM-5 ・⾃組織の資産が接続している外部情報システムの⼀覧を作成し、適切に管理する。

AM-5
AM-6

リソース（例︓ハードウェア、デバイス、データ、時間、⼈員、ソフトウェア）が、それらの分類、重要度、ビジネス上の価値に基づいて優先順位付けられている。
全労働⼒と利害にある第三者（例︓サプライヤー、顧客、パートナー）に対してのサイバーセ
キュリティ上の役割と責任が、定められている。

CPS.AM-1

CPS.AM-6

・システムを構成するハードウェア、ソフトウェア及びその管理情報（例︓名称、バージョン、ネットワークア
ドレス、管理責任者、ライセンス情報）の⼀覧を作成し、適切に管理する。

・リソース（例︓モノ、データ、システム）を、機能、重要度、ビジネス上の価値に基づいて分類、優先順位付
けし、管理責任を明確にした上で、業務上それらのリソースに関わる組織やヒトに伝達する。

CPS.AM-7 ・⾃組織及び関係する他組織のサイバーセキュリティ上の役割と責任を定める。

BE-1

サプライチェーンにおける⾃組織の役割が、識別され、周知されている。

BE-2

重要インフラとその産業分野における⾃組織の位置付けが、識別され、周知されている。

BE-3

組織のミッション、⽬標、活動の優先順位が、定められ、周知されている。

CPS.BE-2

BE-4

重要サービスを提供する上での依存関係と重要な機能が、定められている。

CPS.BE-3 ・⾃組織が事業を継続する上での⾃組織及び関係する他組織における依存関係と重要な機能を特定する。

CPS.BE-1 ・サプライチェーンにおいて、⾃組織が担う役割を特定し共有する。

CPS.AT-1

・あらかじめ定められた⾃組織の優先事業、優先業務と整合したセキュリティポリシー・対策基準を明確化し、⾃組織の取引に関係する者（サプライヤー、第三者プロバイダ等を含む）に共有する。
・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施し、その記録を管理する。
・⾃組織におけるセキュリティインシデントに関係し得る、セキュリティマネジメントにおいて重要度の⾼い関

CPS.AT-2 係他組織の担当者に対して、割り当てられた役割を遂⾏するための適切な訓練（トレーニング）、セキュリティ
教育を実施し、その記録を管理する。

BE-5

重要サービスの提供を⽀援するレジリエンスに関する要求事項が、すべてのオペレーション状況（例︓脅迫・攻撃下、復旧時、通常時等）について定められている。

CPS.IP-5・無停電電源装置、防⽕設備の確保、浸⽔からの保護等、⾃組織のIoT機器、サーバ等の物理的な動作環境に関するポリシーや規則を満たすよう物理的な対策を実施する。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にするため、インシデントを検知

CPS.RP-1 した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装する。

CPS.RP-2
CPS.RP-3
GV-1
GV-2
GV-3

⾃組織のサイバーセキュリティポリシーが、定められ、周知されている。
サイバーセキュリティ上の役割と責任が、内部の担当者と外部パートナーとで調整・連携されて

CPS.GV-1

いる。
プライバシーや⼈権に関する義務を含む、サイバーセキュリティに関する法規制上の要求事項
が、理解され、管理されている。

CPS.GV-2

・セキュリティ運⽤プロセスにおいて、取引先等の関係する他組織との連携について⼿順と役割分担を定め、運⽤する。
・⾃然災害時における対応⽅針及び対応⼿順を定めている事業継続計画⼜は緊急事対応計画の中にセキュリティ
インシデントを位置づける。
・セキュリティポリシーを策定し、⾃組織及び関係する他組織のセキュリティ上の役割と責任、情報の共有⽅法等を明確にする。
・個⼈情報保護法、不正競争防⽌法等の国内外の法令や、業界のガイドラインを考慮した社内ルールを策定す
る。

GV-4

ガバナンスとリスクマネジメントプロセスがサイバーセキュリティリスクに対応している。

CPS.GV-4 ・セキュリティに関するリスク管理を適切に⾏うために戦略策定、リソース確保を⾏う。

RA-1

資産の脆弱性が識別され、⽂書化されている。

CPS.RA-1 ・⾃組織の資産の脆弱性を特定し、対応する資産とともに⼀覧を⽂書化する。

RA-2
RA-3

サイバー脅威に関する情報が、複数の情報共有フォーラムおよび複数のソースから⼊⼿されている。
内部および外部からの脅威が、識別され、⽂書化されている。

CPS.RA-2

・セキュリティ対応組織(SOC/CSIRT)は、組織の内部及び外部の情報源（内部テスト、セキュリティ情報、セキュリティ研究者等）から脆弱性情報/脅威情報等を収集、分析し、対応及び活⽤するプロセスを確⽴する。

CPS.RA-3 ・⾃組織の資産に対して想定されるセキュリティインシデントと影響及びその発⽣要因を特定し、⽂書化する。

D-1-1

NIST Cyberseucurity Framework Ver. 1.1
機能

サブカテゴリサブカテゴリID

サイバー・フィジカル・セキュリティ対策フレームワーク
対策要件ID

対策要件
・構成要素の管理におけるセキュリティルールが、実装⽅法を含めて有効かを確認するため、定期的にリスクア
セスメントを実施する。

RA-4

ビジネスに対する潜在的な影響とその発⽣可能が、識別されている。

CPS.RA-4

RA-5

脅威、脆弱性、発⽣可能性、影響が、リスクを判断する際に使⽤されている。

CPS.RA-5 ・リスクを判断する際に、脅威、脆弱性、可能性、影響を考慮する。

・IoT機器及びIoT機器を含んだシステムの企画・設計の段階から、受容できない既知のセキュリティリスクの有
無を、セーフティに関するハザードの観点も踏まえて確認する。
・リスクアセスメントに基づき、発⽣し得るセキュリティリスクに対する対応策の内容を明確に定め、対応の範

RA-6

リスク対応が、識別され、優先順位付けされている。

CPS.RA-6

囲や優先順位を整理した結果を⽂書化する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階におけるアセスメントにて判明したセキュリティ及び関連するセーフティのリスクに対して適宜対応する。
・⾃組織内におけるサイバーセキュリティリスクマネジメントの実施状況について確認し、組織内の適切な関係

RM-1

リスクマネジメントプロセスが、組織の利害関係者によって定められ、管理され、承認されている。

CPS.RM-1者（例︓上級管理職）に伝達する。また、⾃組織の事業に関係する⾃組織及び他組織（例︓業務委託先）の責任範囲を明確化し、関係する他組織によるセキュリティリスクマネジメントの実施状況を確認するプロセスを確⽴し、実施する。

RM-2
RM-3
SC-1

組織のリスク許容度が、決定され、明確に表現されている。
⾃組織によるリスク許容度の決定が、重要インフラにおける組織の役割と、その分野に特化した CPS.RM-2
リスク分析の結果に基づいて⾏われている。
サイバーサプライチェーンのリスクマネジメントプロセスが、組織の利害関係者によって、識別され、管理され、合意されている。

CPS.SC-1

情報システム、コンポーネント、サービスのサプライヤーと第三者であるパートナーが、識別さ

SC-2

れ、優先順位付けられ、サイバーサプライチェーンのリスクアセスメントプロセスにより評価さ

CPS.SC-2

れている。
サプライヤーおよび第三者であるパートナーとの契約が、組織のサイバーセキュリティプログラ

SC-3

ムやサイバーサプライチェーンのリスクマネジメント計画の⽬的を達成するための適切な対策のCPS.SC-3

実施に活⽤されている。

SC-4
SC-5
防御
(PR)

AC-1
AC-2
AC-3

AC-4
AC-5

サプライヤおよび第三者であるパートナーが、監査、テストの結果、またはその他の評価に基づ
き、契約上の義務を満たしているか、定期的に評価されている。
対応・復旧計画の策定とテストが、サプライヤーおよび第三者プロバイダと共に⾏われている。
認可されたデバイス、ユーザ、プロセスのアイデンティティと証明書が、発⾏、管理、検証、取り消し、監査されている。
資産に対する物理アクセスが、管理され、保護されている。
リモートアクセスが、管理されている。

アクセスの許可および認可が、最⼩権限の原則および役割の分離の原則を組み⼊れて、管理されている。
ネットワークの完全性が、保護されている（例︓ネットワークの分離、ネットワークのセグメン
ト化）。

CPS.SC-6
CPS.SC-9
CPS.AC-1
CPS.AC-2

・リスクアセスメント結果及びサプライチェーンにおける⾃組織の役割から⾃組織におけるリスク許容度を決定する。
・取引関係のライフサイクルを考慮してサプライチェーンに係るセキュリティの対策基準を定め、責任範囲を明確化したうえで、その内容について取引先と合意する。
・⾃組織の事業を継続するに当たり、三層構造の各層において重要な役割を果たす組織やヒトを特定し、優先付
けをし、評価する。
・外部の組織との契約を⾏う場合、⽬的及びリスクマネジメントの結果を考慮し、⾃組織のセキュリティに関する要求事項に対して関係する他組織のセキュリティマネジメントが適合していることを確認する。
・取引先等の関係する他組織が、契約上の義務を果たしていることを確認するために、監査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。
・サプライチェーンにおけるインシデント対応活動を確実にするために、インシデント対応活動に関係する者の間で対応プロセスの整備と訓練を⾏う。
・承認されたモノとヒト及びプロシージャの識別情報と認証情報を発効、管理、確認、取消、監査するプロシー
ジャを確⽴し、実施する。
・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監視カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

CPS.AC-3 ・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。
CPS.AC-4

・⼀定回数以上のログイン認証失敗によるロックアウトや、安全性が確保できるまで再ログインの間隔をあける機能を実装する等により、IoT機器、サーバ等に対する不正ログインを防ぐ。

CPS.AC-5 ・職務及び責任範囲（例︓ユーザー／システム管理者)を適切に分離する 。
CPS.AC-6
CPS.AC-7

D-1-2

・特権を持つユーザーのシステムへのネットワーク経由でのログインに対して、想定されるリスクも考慮して、信頼性の⾼い認証⽅式（例︓⼆つ以上の認証機能を組み合わせた多要素認証）を採⽤する。
・データフロー制御ポリシーを定め、それに従って適宜ネットワークを分離する（例︓開発・テスト環境と実運
⽤環境、IoT機器を含む環境と組織内の他の環境）等してネットワークの完全性を保護する。

NIST Cyberseucurity Framework Ver. 1.1
機能

サブカテゴリサブカテゴリID

AC-6

IDは、ID利⽤者の本⼈確認がなされ、証明書に紐付けられ、インタラクションで活⽤されている。
ユーザ、デバイス、その他の資産は、トランザクションのリスク（例︓個⼈のセキュリティ及び

AC-7

プライバシーのリスク、その他組織上のリスク）の度合いに応じた認証（例えば、⼀要素、多要素）が⾏われている。

AT-1

すべてのユーザは、情報が周知され、トレーニングが実施されている。

AT-2

権限を持つユーザが、⾃⾝の役割と責任を理解している。

AT-3

第三者である利害関係者（例︓サプライヤー、顧客、パートナー）が、⾃⾝の役割と責任を理解
している。

AT-4

上級役員（セキュリティ担当役員）が、⾃⾝の役割と責任を理解している。

AT-5

物理セキュリティおよびサイバーセキュリティの担当者が、⾃⾝の役割と責任を理解している。

DS-1

保存されているデータが、保護されている。

DS-2

伝送中のデータが、保護されている。

DS-3

資産は、撤去、譲渡、廃棄に⾄るまで、正式に管理されている。

DS-4

可⽤性を確保するのに⼗分な容量が、維持されている。

サイバー・フィジカル・セキュリティ対策フレームワーク
対策要件ID
CPS.AC-8
CPS.AC-6
CPS.AC-9
CPS.AT-1

データ漏えいに対する防御対策が、実装されている。

通信に限定する。
・特権を持つユーザーのシステムへのネットワーク経由でのログインに対して、想定されるリスクも考慮して、信頼性の⾼い認証⽅式（例︓⼆つ以上の認証機能を組み合わせた多要素認証）を採⽤する。
・IoT機器やユーザーによる構成要素（モノ／システム等）への論理的なアクセスを、取引のリスク（個⼈のセキュリティ、プライバシーのリスク及びその他の組織的なリスク）に⾒合う形で認証・認可する。
・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施し、その記録を管理する。
・⾃組織におけるセキュリティインシデントに関係し得る、セキュリティマネジメントにおいて重要度の⾼い関

CPS.AT-2 係他組織の担当者に対して、割り当てられた役割を遂⾏するための適切な訓練（トレーニング）、セキュリティ
教育を実施し、その記録を管理する。

CPS.AT-1

・⾃組織の全ての要員に対して、セキュリティインシデントの発⽣とその影響を抑制するために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施し、その記録を管理する。

CPS.DS-2 ・情報を適切な強度の⽅式で暗号化して保管する。
CPS.DS-3 ・IoT機器、サーバ等の間、サイバー空間で通信が⾏われる際、通信経路を暗号化する。
CPS.DS-4 ・情報を送受信する際に、情報そのものを暗号化して送受信する。
CPS.IP-6
CPS.DS-6
CPS.DS-7

DS-5

対策要件
・IoT機器、サーバ等が実施する通信は、適切な⼿順で識別されたエンティティ（ヒト／モノ／システム等）とのCPS.DS-8

・IoT機器、サーバ等の廃棄時には、内部に保存されているデータ及び、正規IoT機器、サーバ等を⼀意に識別するID（識別⼦）や重要情報（秘密鍵、電⼦証明書等）を削除⼜は読み取りできない状態にする。
・サービス拒否攻撃等のサイバー攻撃を受けた場合でも、資産を適切に保護し、攻撃による影響を最⼩限にできるよう、構成要素において⼗分なリソース（例:ヒト、モト、システム）を確保する。
・IoT機器、通信機器、回線等に対し、定期的な品質管理、予備機や無停電電源装置の確保、冗⻑化、故障の検知、交換作業、ソフトウェアの更新を⾏う。
・保護すべき情報を扱う、あるいは⾃組織にとって重要な機能を有する機器を調達する場合、耐タンパーデバイ
スを利⽤する。

CPS.DS-9 ・⾃組織外への不適切な通信を防ぐため、保護すべき情報を⾃組織外へ送信する通信を適切に制御する。
DS-6

完全性チェックメカニズムが、ソフトウェア、ファームウェア、および情報の完全性を検証する CPS.DS-10
ために使⽤されている。

・IoT機器、サーバ等にて稼働するソフトウェアの完全性を組織が定めるタイミングで検証し、不正なソフトウェ
アの起動を防⽌する。

CPS.DS-11 ・送受信・保管する情報に完全性チェックメカニズムを使⽤する。
・データフロー制御ポリシーを定め、それに従って適宜ネットワークを分離する（例︓開発・テスト環境と実運

DS-7

開発・テスト環境が、実稼働環境から分離されている。

CPS.AC-7

DS-8

完全性チェックメカニズムが、ハードウェアの完全性を検証するために使⽤されている。

CPS.DS-12 ・ハードウェアの完全性を検証するために完全性チェックメカニズムを使⽤する。

情報技術／産業⽤制御システムのベースラインとなる構成は、セキュリティの原則（例︓最低限CPS.IP-1 ・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセスを導⼊し、運⽤する。

の機能性の概念）を組み⼊れて、を定められ、維持されている。

CPS.IP-2 ・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

IP-2

システムを管理するためのシステム開発ライフサイクルが、実装されている。

CPS.IP-3 ・システムを管理するためのシステム開発ライフサイクルを導⼊する。

IP-3

構成変更管理プロセスは、策定されている。

CPS.IP-1 ・IoT機器、サーバ等の初期設定⼿順（パスワード等）及び設定変更管理プロセスを導⼊し、運⽤する。

IP-4

情報のバックアップが、実施され、維持され、テストされている。

CPS.IP-4 ・構成要素（IoT機器、通信機器、回線等）に対し、定期的なシステムバックアップを実施し、テストする。

IP-5

組織の資産の物理的な運⽤環境に関するポリシーと規制が、満たされている。

CPS.IP-5

IP-1

D-1-3

⽤環境、IoT機器を含む環境と組織内の他の環境）等してネットワークの完全性を保護する。

・無停電電源装置、防⽕設備の確保、浸⽔からの保護等、⾃組織のIoT機器、サーバ等の物理的な動作環境に関するポリシーや規則を満たすよう物理的な対策を実施する。

NIST Cyberseucurity Framework Ver. 1.1
機能

サブカテゴリサブカテゴリID

サイバー・フィジカル・セキュリティ対策フレームワーク
対策要件ID

対策要件
・IoT機器、サーバ等の廃棄時には、内部に保存されているデータ及び、正規IoT機器、サーバ等を⼀意に識別す

IP-6

データは、ポリシーに従って破壊されている。

CPS.IP-6

IP-7

防御プロセスは、改善されている。

CPS.IP-7

IP-8

防御技術の有効性に関する情報が、共有されている。

CPS.IP-8 ・保護技術の有効性について、適切なパートナーとの間で情報を共有する。

るID（識別⼦）や重要情報（秘密鍵、電⼦証明書等）を削除⼜は読み取りできない状態にする。
・セキュリティインシデントへの対応、内部及び外部からの攻撃に関する監視／測定／評価結果から教訓を導き出し、資産を保護するプロセスを改善する。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にするため、インシデントを検知

IP-9（インシデント対応及び事業継続）対応計画と（インシデントからの復旧及び災害復旧）復旧計

CPS.RP-1 した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装する。

画が、策定され、管理されている。

CPS.RP-2

・セキュリティ運⽤プロセスにおいて、取引先等の関係する他組織との連携について⼿順と役割分担を定め、運⽤する。
・⾃組織におけるセキュリティインシデントに関係し得る、セキュリティマネジメントにおいて重要度の⾼い関

IP-10対応計画と復旧計画が、テストされている。

CPS.AT-2 係他組織の担当者に対して、割り当てられた役割を遂⾏するための適切な訓練（トレーニング）、セキュリティ
教育を実施し、その記録を管理する。

IP-11
IP-12

サイバーセキュリティには、⼈事に関わるプラクティス（例︓アクセス権限の無効化、⼈員のス
クリーニング）が含まれている。
脆弱性管理計画が、作成され、実装されている。

CPS.IP-9・⼈の異動に伴い⽣じる役割の変更に対応した対策にセキュリティに関する事項（例︓アクセス権限の無効化、従業員に対する審査）を含める。

CPS.IP-10 ・脆弱性修正措置計画を作成し、計画に沿って構成要素の脆弱性を修正する。
・IoT機器、サーバ等のセキュリティ上重要なアップデート等を、必要なタイミングに管理されたツールを利⽤しMA-1

組織の資産の保守と修理は、承認・管理されたツールを⽤いて実施され、ログが記録されている。

CPS.MA-1て適切に履歴を記録しつつ実施する。
・可能であれば、遠隔地からの操作によってソフトウェア（OS、ドライバ、アプリケーション）を⼀括して更新するリモートアップデートの仕組みを備えたIoT機器を導⼊する。

MA-2
PT-1
PT-2
PT-3
PT-4
PT-5
検知
（DE）

AE-1

組織の資産に対する遠隔保守は、承認を得て、ログが記録され、不正アクセスを防⽌した形式で実施されている。
監査記録／ログ記録の対象が、ポリシーに従って決定され、⽂書化され、実装され、その記録をレビューされている。

CPS.MA-2
CPS.PT-1

リムーバルメディアは、保護され、その使⽤がポリシーに従って制限されている。
最低限の機能性の原則が、必須の機能のみ提供するようにシステムを構成することによって組み

CPS.PT-2

⼊れられている。
通信（情報）ネットワークと制御ネットワークが、保護されている。
メカニズム（例︓フェイルセーフ、負荷分散、ホットスワップ）が、平時及び緊急時においてレ
ジリエンスに関する要件を達成するために実装されている。
ネットワーク運⽤のベースラインと、ユーザとシステムで期待されるデータフローが定められ、管理されている。

CPS.AC-7

・⾃組織のIoT機器、サーバ等に対する遠隔保守を、適⽤先のモノ、システムのオーナー部⾨による承認を得て、ログを記録し、不正アクセスを防げる形で実施する。
・セキュリティインシデントを適切に検知するため、監査記録／ログ記録の対象を決定、⽂書化し、そうした記録を実施して、レビューする。
・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリアルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を必要最⼩限とする。
・データフロー制御ポリシーを定め、それに従って適宜ネットワークを分離する（例︓開発・テスト環境と実運
⽤環境、IoT機器を含む環境と組織内の他の環境）等してネットワークの完全性を保護する。

CPS.PT-3 ・ネットワークにつながることを踏まえた安全性を実装するIoT機器を導⼊する。
CPS.AE-1

・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報の流れを特定し、管理するプ
ロシージャを確⽴し、実施する。
・セキュリティ管理責任者を任命し、セキュリティ対応組織(SOC/CSIRT)を⽴ち上げ、組織内でセキュリティ事

AE-2

検知したイベントは、攻撃の標的と⼿法を理解するために分析されている。

CPS.AE-2

AE-3

イベントデータは、複数の情報源やセンサーから収集され、相互分析されている。

CPS.AE-3

AE-4

イベントがもたらす影響が、判断されている。

CPS.AE-4 ・関係する他組織への影響を含めてセキュリティ事象がもたらす影響を特定する。

AE-5

インシデント警告の閾値が、定められている。

CPS.AE-5 ・セキュリティ事象の危険度の判定基準を定める。

CM-1

ネットワークは、サイバーセキュリティの潜在的なイベントを検知できるようにモニタリングされている。

CPS.CM-1

D-1-4

象を検知・分析・対応する体制を整える。
・セキュリティ事象の相関の分析及び外部の脅威情報と⽐較した分析を⾏う⼿順を実装することで、セキュリ
ティインシデントを正確に特定する。

・組織内のネットワークと広域ネットワークの接点において、ネットワーク監視・制御、アクセス監視・制御を実施する。

NIST Cyberseucurity Framework Ver. 1.1
機能

サブカテゴリサブカテゴリ

ID

CM-2
CM-3
CM-4

物理環境は、サイバーセキュリティの潜在的なイベントを検知できるようにモニタリングされている。
⼈員の活動は、サイバーセキュリティの潜在的なイベントを検知できるようにモニタリングされている。
悪質なコードは、検出されている。

サイバー・フィジカル・セキュリティ対策フレームワーク
対策要件ID

対策要件

CPS.CM-2 ・IoT機器、サーバ等の重要性を考慮し、適切な物理的アクセスの設定及び記録、監視を実施する。
CPS.CM-6
CPS.CM-3

・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネットワーク接続の有無、アクセス
先等）及び他のソシキ、ヒト、モノ、システムとの情報の送受信状況について、継続的に管理する。
・指⽰された動作内容と実際の動作結果を⽐較して、異常の検知や動作の停⽌を⾏うIoT機器を導⼊する。
・サイバー空間から受ける情報が悪質なコードを含んでおらず、許容範囲内であることを動作前に検証する。

CPS.CM-4 ・サイバー空間から受ける情報の完全性及び真正性を動作前に確認する。
CM-5

不正なモバイルコードは、検出されている。

CPS.CM-3

・指⽰された動作内容と実際の動作結果を⽐較して、異常の検知や動作の停⽌を⾏うIoT機器を導⼊する。
・サイバー空間から受ける情報が悪質なコードを含んでおらず、許容範囲内であることを動作前に検証する。

CPS.CM-4 ・サイバー空間から受ける情報の完全性及び真正性を動作前に確認する。
CM-6

外部サービスプロバイダの活動は、潜在的なサイバーセキュリティイベントを検知できるように
モニタリングされている。

CPS.CM-5 ・セキュリティ事象を適切に検知できるよう、外部サービスプロバイダとの通信内容をモニタリングする。
・機器等の構成管理では、ソフトウェア構成情報、ネットワーク接続状況（ネットワーク接続の有無、アクセス

CM-7

権限のない⼈員、接続、デバイス、ソフトウェアのモニタリングが、実施されている。

CPS.CM-6

CM-8

脆弱性スキャンが、実施されている。

CPS.CM-7 ・⾃組織の管理しているIoT機器、サーバ等に対して、定期的に対処が必要な脆弱性の有無を確認する。

DP-1

検知に関する役割と責任は、説明責任を果たせるように明確に定義されている。

CPS.DP-1

DP-2

検知活動は必要なすべての要求事項を満たしている。

CPS.DP-2 ・監視業務では、地域毎に適⽤される法令、通達や業界標準等に準拠して、セキュリティ事象を検知する。

DP-3

検知プロセスが、テストされている。

CPS.DP-3

DP-4

イベント検知情報が、周知されている。

CPS.RP-1 した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装す

DP-5

検知プロセスが、継続的に改善されている。

CPS.DP-4 ・セキュリティ事象の検知プロセスを継続的に改善する。

RP-1

対応計画が、インシデントの発⽣中または発⽣後に実⾏されている。

CPS.RP-1 した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装す先等）及び他のソシキ、ヒト、モノ、システムとの情報の送受信状況について、継続的に管理する。
・セキュリティ事象の説明責任を果たせるよう、セキュリティ事象検知における⾃組織とサービスプロバイダが担う役割と負う責任を明確にする。
・監視業務として、セキュリティ事象を検知する機能が意図したとおりに動作するかどうかを定期的にテストし、妥当性を検証する。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にするため、インシデントを検知る。
・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にするため、インシデントを検知

対応
(RS)

る。
・⾃組織におけるセキュリティインシデントに関係し得る、セキュリティマネジメントにおいて重要度の⾼い関

CO-1

⼈員は、対応が必要になった時の⾃⾝の役割と⾏動の順序を認識している。

CO-2

インシデントが、定められた基準に沿って報告されている。

CO-3

対応計画に従って、情報が共有されている。

CO-4

利害関係者との間で調整が、対応計画に従って⾏われている。

CPS.AT-2 係他組織の担当者に対して、割り当てられた役割を遂⾏するための適切な訓練（トレーニング）、セキュリティ
教育を実施し、その記録を管理する。

CO-5

サイバーセキュリティに関する状況認識を広げるために、外部利害関係者との間で⾃発的な情報・セキュリティインシデント発⽣後の対応の内容や優先順位、対策範囲を明確にするため、インシデントを検知

CPS.RP-1 した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらかじめ定義し、実装する。

CPS.RP-2

共有が⾏われている。

・セキュリティ運⽤プロセスにおいて、取引先等の関係する他組織との連携について⼿順と役割分担を定め、運⽤する。
・セキュリティ事象の相関の分析及び外部の脅威情報と⽐較した分析を⾏う⼿順を実装することで、セキュリ

AN-1

検知システムからの通知は、調査されている。

CPS.AE-3

AN-2

インシデントがもたらす影響は、把握されている。

CPS.AN-1

AN-3

フォレンジックが、実施されている。

CPS.AN-2 ・セキュリティインシデント発⽣後に、デジタルフォレンジックを実施する。

D-1-5

ティインシデントを正確に特定する。
・セキュリティインシデントの全容と、推測される攻撃者の意図から、⾃組織及び関係する他組織を含む社会全体への影響を把握する。

NIST Cyberseucurity Framework Ver. 1.1
機能

サブカテゴリサブカテゴリ

ID

AN-4
AN-5

インシデントは、対応計画に従って分類されている。
プロセスは、内外のソース（例︓内部テスト、セキュリティ情報、セキュリティ研究者）から報告された脆弱性情報を、⾃組織が受け取り、分析し、対応するために定められている。

IM-1

対応計画は、学んだ教訓を取り⼊れられている。

IM-2

対応戦略は、更新されている。

MI-1

インシデントは、封じ込められている。

MI-2

インシデントは、緩和されている。

サイバー・フィジカル・セキュリティ対策フレームワーク
対策要件ID
CPS.AN-3
CPS.RA-2

対策要件
・検知されたセキュリティインシデントの情報は、セキュリティに関する影響度の⼤⼩や侵⼊経路等で分類し、保管する。
・セキュリティ対応組織(SOC/CSIRT)は、組織の内部及び外部の情報源（内部テスト、セキュリティ情報、セキュリティ研究者等）から脆弱性情報/脅威情報等を収集、分析し、対応及び活⽤するプロセスを確⽴する。

CPS.IM-1 ・セキュリティインシデントへの対応から教訓を導き出し、セキュリティ運⽤プロセスを継続的に改善する。
CPS.MI-1 ・セキュリティインシデントによる被害の拡⼤を最⼩限に抑え、影響を低減する対応を⾏う。
・構成要素の管理におけるセキュリティルールが、実装⽅法を含めて有効かを確認するため、定期的にリスクア

CPS.RA-4
MI-3

新たに特定された脆弱性は、許容できるリスクである場合にはその旨を⽂書化され、そうでない

セスメントを実施する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階から、受容できない既知のセキュリティリスクの有
無を、セーフティに関するハザードの観点も踏まえて確認する。

場合にはリスクが緩和されている。

・リスクアセスメントに基づき、発⽣し得るセキュリティリスクに対する対応策の内容を明確に定め、対応の範CPS.RA-6

囲や優先順位を整理した結果を⽂書化する。
・IoT機器及びIoT機器を含んだシステムの企画・設計の段階におけるアセスメントにて判明したセキュリティ及び関連するセーフティのリスクに対して適宜対応する。

復旧
(RC)

CPS.RP-3

・⾃然災害時における対応⽅針及び対応⼿順を定めている事業継続計画⼜は緊急事対応計画の中にセキュリティ

RP-1

復旧計画が、サイバーセキュリティインシデントの発⽣中または発⽣後に実施されている。

IM-1

復旧計画は、学んだ教訓を取り⼊れている。

IM-2

復旧戦略は、更新されている。

CO-1

広報活動が、管理されている。

CPS.CO-1 ・セキュリティインシデント発⽣後の情報公表時のルールを策定し、運⽤する。

CO-2

評判は、インシデント発⽣後に回復されている。

CPS.CO-2

CO-3

復旧活動は、内外の利害関係者だけでなく役員と経営陣にも周知されている。

CPS.CO-3

CPS.IM-2

D-1-6

インシデントを位置づける。
・セキュリティインシデントへの対応から教訓を導き出し、事業継続計画⼜は緊急事対応計画を継続的に改善する。
・事業継続計画⼜は緊急事対応計画の中に、セキュリティインシデントの発⽣後、組織に対する社会的評価の回
復に取り組む点を位置づける。
・復旧活動について内部及び外部の利害関係者と役員、そして経営陣に伝達する点を、事業継続計画⼜は緊急事
対応計画の中に位置づける。

Ｄ．２

NIST SP 800-171 の要求事項と「サイバー・フィジカル・セキュリティ対策フレームワーク」との対応表
NIST SP 800-171

ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤

アクセス(PKI)を利⽤した認証を要求する。

制御※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ
H-Advanced

システムアクセスを許可された利⽤者、許可
3.1.1

された利⽤者を代⾏して動作するプロセス、またはデバイス(その他のシステムを含めて)に制限する。

・IoT機器やユーザーによる構成要素（モノ／・AC-3 アクセス制御の実施

CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）

・AC-17 リモートアクセス

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引・AC-2 アカウント管理とをあらかじめ確認する。

た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ

H-Advanced

・IoT機器やユーザーによる構成要素（モノ／システムアクセスを許可された利⽤者に対し ・AC-2 アカウント管理
3.1.2て実⾏が許可された種類のトランザクション ・AC-3 アクセス制御の実施及び機能に制限する。

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引
CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ

・AC-17 リモートアクセスとをあらかじめ確認する。

[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムを構成するネットワークの内部における境界について通信をモニタリン
グし、制御する。
・機密性の⾼いデータを取り扱う⾃組織のシステムの繋がるネットワークについては、ネットワーク通信をデフォルトで拒否するものとし、許可した通信トラフィックのみ接続可能とするメカニズムを整備する。

H-Advanced ・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理的に分離する。

・データフロー制御ポリシーを定め、それに・機密性の⾼いデータを取り扱う⾃組織の情報システムが遠隔地にある装置とコネクションを確⽴している場合、その装置がシステム従って適宜ネットワークを分離する（例︓開との間でローカル接続を複数同時に確⽴するのを阻⽌すると同時に、別の接続によって外部ネットワークのリソースにアクセスできな

CPS.AC-7 発・テスト環境と実運⽤環境、IoT機器を含む

いようにする。
・組織は、情報システム及び産業⽤制御システム内でデータフローが許可される範囲やシステム間におけるデータフローが許可される

環境と組織内の他の環境）等してネットワー
3.1.3

承認された権限付与に従ってCUI のフローを制御する。

範囲を定めたデータフロー制御ポリシーを定め、適切に論理的あるいは物理的にネットワークを分離することで、フローの制御を実施

クの完全性を保護する。

・AC-4 情報フロー制御の実施

する。
Basic

・組織は、産業⽤制御システムにおいて、制御システムのネットワークを情報システムとのネットワークから論理的あるいは物理的にセグメント化する。
[参考] 他のネットワークと物理的に離れた環境においては物理的なセグメント化を実施する、他のネットワークと物理的に近接した環境では、対策のコスト等も考慮して論理的なセグメント化を実施する等の対応が可能である。
・組織は、ネットワーク構成、機器のソフトウェア構成等の情報を⾃動的に収集するメカニズムを利⽤し、常時最新の状況をモニタリ

・ネットワーク運⽤のベースラインと、ヒCPS.AE-1

ト、モノ、システム間の予測される情報の流れを特定し、管理するプロシージャを確⽴

ングする。
H-Advanced・システムは、システム内（および相互接続システム間）のデータフローを制御するために、ユーザに対して（管理者によって）承認されたアクセス権限を強制的に適⽤する。
・組織/システムは、定常的なシステムの通信状況やセキュリティアラートのパターンを分析し、典型的な通信パターンおよびセキュ

し、実施する。

リティアラートを集約したプロファイルを作成、活⽤することで、未知の脅威や不審な振る舞い(通信)を検知できるようにする。

D-2-1

NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・組織は、アクセス権限設定等のセキュリティ機能を利⽤する管理者を明⽰し、⾃組織のシステムにおける特権アカウントを制限する。
・情報システムは、特権的機能の使⽤をチェックするため、システムが監査するメカニズムを導⼊する。
・情報システムは、⾮特権ユーザによって変更されて実装されたセキュリティ対策を無効にするとともに回避・変更する等、システム
H-Advanced が⾮特権ユーザによる特権的機能の実⾏を禁⽌する。

・組織は、セキュリティインシデントによる被害を最⼩化するため、有事においてシステム管理者の権限を利⽤できるユーザを最少化

3.1.4

共謀のない悪意のあるアクティビティのリス
ク低減のため、個⼈の職務を分離する。

・AC-5 職務の分離

CPS.AC-5

させることができる。

・職務及び責任範囲（例︓ユーザー／システ

・組織は、セキュリティインシデントによる被害を最⼩化するため、システム管理者であっても、サーバの重要なサービスや保護されム管理者)を適切に分離する 。

たプロセスを停⽌できないようにすることができる。
・組織は、⾃組織の情報システム及び産業⽤制御システムにおいて職務分離(例︓ユーザ/システム管理者)を踏まえたアクセス制御を実施する。
・組織は、特定の職務権限に対して最⼩権限の原則を採⽤する。
Advanced- ⼀般のユーザアカウントの権限と、特権アカウントの権限を分離する(⾮セキュリティ機能を利⽤する場合には、⾮特権アカウントでの利⽤を要求する。)- ⾃らの担当外の職務に対する権限を最⼩とする・組織は、担当者によって割り当てられた職務を分離し、明⽂化する。
・組織は、アクセス権限設定等のセキュリティ機能を利⽤する管理者を明⽰し、⾃組織のシステムにおける特権アカウントを制限する。
・情報システムは、特権的機能の使⽤をチェックするため、システムが監査するメカニズムを導⼊する。
・情報システムは、⾮特権ユーザによって変更されて実装されたセキュリティ対策を無効にするとともに回避・変更する等、システム

H-Advanced が⾮特権ユーザによる特権的機能の実⾏を禁⽌する。

・AC-6 特権の最⼩化
3.1.5

具体的なセキュリティ機能と特権アカウントを含め、特権の最⼩化の原則を採⽤する。

・組織は、セキュリティインシデントによる被害を最⼩化するため、有事においてシステム管理者の権限を利⽤できるユーザを最少化

・AC-6(1) 特権の最⼩化
セキュリティ機能へのアクセスを許可する

CPS.AC-5

・AC-6(5) 特権の最⼩化させることができる。

・職務及び責任範囲（例︓ユーザー／システ

・組織は、セキュリティインシデントによる被害を最⼩化するため、システム管理者であっても、サーバの重要なサービスや保護されム管理者)を適切に分離する 。

たプロセスを停⽌できないようにすることができる。
・組織は、⾃組織の情報システム及び産業⽤制御システムにおいて職務分離(例︓ユーザ/システム管理者)を踏まえたアクセス制御を特権アカウント実施する。
・組織は、特定の職務権限に対して最⼩権限の原則を採⽤する。
Advanced- ⼀般のユーザアカウントの権限と、特権アカウントの権限を分離する(⾮セキュリティ機能を利⽤する場合には、⾮特権アカウントでの利⽤を要求する。)- ⾃らの担当外の職務に対する権限を最⼩とする・組織は、担当者によって割り当てられた職務を分離し、明⽂化する。
・組織は、アクセス権限設定等のセキュリティ機能を利⽤する管理者を明⽰し、⾃組織のシステムにおける特権アカウントを制限する。
・情報システムは、特権的機能の使⽤をチェックするため、システムが監査するメカニズムを導⼊する。

3.1.6

⾮セキュリティ機能をアクセスするときは、

・AC-6(2) 特権の最⼩化

⾮特権アカウントまたは役割を使⽤する。

⾮セキュリティ機能の⾮特権アクセス

CPS.AC-5

・職務及び責任範囲（例︓ユーザー／システ
ム管理者)を適切に分離する 。

・情報システムは、⾮特権ユーザによって変更されて実装されたセキュリティ対策を無効にするとともに回避・変更する等、システム
H-Advanced

が⾮特権ユーザによる特権的機能の実⾏を禁⽌する。
・組織は、セキュリティインシデントによる被害を最⼩化するため、有事においてシステム管理者の権限を利⽤できるユーザを最少化させることができる。
・組織は、セキュリティインシデントによる被害を最⼩化するため、システム管理者であっても、サーバの重要なサービスや保護されたプロセスを停⽌できないようにすることができる。
・組織は、アクセス権限設定等のセキュリティ機能を利⽤する管理者を明⽰し、⾃組織のシステムにおける特権アカウントを制限する。
・情報システムは、特権的機能の使⽤をチェックするため、システムが監査するメカニズムを導⼊する。

・AC-6(9) 特権の最⼩化
3.1.7

⾮特権利⽤者による特権機能の実⾏とこのような機能の実⾏の監査を防⽌する。

特権機能の利⽤の監査
・AC-6(10) 特権の最⼩化

CPS.AC-5

・職務及び責任範囲（例︓ユーザー／システ
ム管理者)を適切に分離する 。

・情報システムは、⾮特権ユーザによって変更されて実装されたセキュリティ対策を無効にするとともに回避・変更する等、システム
H-Advanced

が⾮特権ユーザによる特権的機能の実⾏を禁⽌する。
・組織は、セキュリティインシデントによる被害を最⼩化するため、有事においてシステム管理者の権限を利⽤できるユーザを最少化

特権機能の実⾏を⾮特権利⽤者に禁⽌するさせることができる。
・組織は、セキュリティインシデントによる被害を最⼩化するため、システム管理者であっても、サーバの重要なサービスや保護され・⼀定回数以上のログイン認証失敗による

H-Advanced

ログイン試⾏失敗を制限する。

・AC-7 ログイン試⾏の失敗

上失敗した場合には⼀定期間再ログインできない機能を実装する。

CPS.AC-4 ログインの間隔をあける機能を実装する等により、IoT機器、サーバ等に対する不正ログインを防ぐ。

てログオンを失敗できる上限を設定し、上限以上失敗した場合には管理者が解除しなければ再ログインできない機能を実装する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムに対してユーザが連続してログオンを失敗できる上限を設定し、上限以ロックアウトや、安全性が確保できるまで再3.1.8

たプロセスを停⽌できないようにすることができる。
・情報システム及び産業⽤制御システム（対応の即時性が求められる⼀部の例を除く）は、⾃組織のシステムに対してユーザが連続しAdvanced

・情報システム及び産業⽤制御システムは、組織が定める時間を越えてシステムの無操作が持続する場合、⼿動⼜は⾃動でセッション
ロックを実施する。
※ 産業⽤制御システムにおいて、緊急時対応においてオペレータの即時対応が求められるようなセッションを実施するケースが想定される場合、セッションロックを実施しないことが望ましい。

D-2-2

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ
H-Advanced

・IoT機器やユーザーによる構成要素（モノ／3.1.9

適⽤可能なCUI 規則と整合性のあるプライバ
シーとセキュリティの通知を提供する。

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引・AC-8 システムの利⽤に関する通知とをあらかじめ確認する。

CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ

H-Advanced

⾮アクティブな時間の経過後、データのアク
3.1.10セス及び閲覧を防⽌するため、パタンによる不可視化表⽰を⽤いてセションロックを使⽤する。

・IoT機器やユーザーによる構成要素（モノ／・AC-11 セションのロック
・AC-11(1) セションのロック
パタンによる不可視化表⽰とをあらかじめ確認する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引
CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。

・IoT機器やユーザーによる構成要素（モノ／3.1.11

定義された条件の後、利⽤者セションを(⾃動的に) 終了する。

※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ

システム等）への論理的なアクセスを、取引・AC-12 セションの終了

CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ
シーのリスク及びその他の組織的なリスク）に⾒合う形で認証・認可する。

H-Advancedとをあらかじめ確認する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。
[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

D-2-3

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、⾃組織のシステムに関するリモートアクセスについて、⾃動モニタリングまたは⾃動制御を実施する。
・情報システム及び産業⽤制御システムは、管理されたアクセスポイントによりルーティングされたリモートアクセスだけを許可する。

CPS.AC-3・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

・情報システムは、定めた要求に基づく⽬的のみリモートアクセスによる特権コマンドの実⾏を認可する。

H-Advanced ・情報システムは、機密性の⾼いデータを扱うシステムにアクセスしたユーザがリモートアクセスによって特権コマンドを実⾏した理由とともに、リモートアクセスによってセキュリティ関連情報にアクセスした理由を記録する。
・情報システムは、機密性の⾼いデータを扱うシステムへの無線アクセスは、ユーザ及び機器による認証を暗号化とともに⽤いることによって保護する。
・情報システムは、機密性の⾼いデータを扱う可能性のあるネットワークでつながっているホワイトボード、カメラ、マイク等の連携する機器をリモートから活性化することを禁⽌し、機器の利⽤者に利⽤中の機器の兆候を提供する。
・組織は、産業⽤制御システムと情報システムとの境界において通信をモニタリングし、制御する。
・組織は、インターネットなどの外部ネットワークと社内ネットワークの中間に内部ネットワークへのアクセスを隔離されたネット
ワーク上のセグメント（DMZ: ⾮武装地帯）を構築する。
・組織のセキュリティアーキテクチャに従って配備された境界保護装置によって構成される管理されたインターフェースを介しての・組織内のネットワークと広域ネットワーク
3.1.12

リモートアクセスセションを監視し、制御する。

・AC-17(1) リモートアクセス

CPS.CM-1 の接点において、ネットワーク監視・制御、み、外部ネットワークまたはシステムに接続する。
Advanced

アクセス監視・制御を実施する。

⾃動化された監視／管理・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール
等）を必ず経由させる。
・組織は、個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・組織は、特定の送信元、あるいは多数の送信元からの⼤量の通信がないかをシステムの外部境界及びシステム内の主要な内部境界に

Basicてモニタリングし、必要に応じて、特定IPアドレスからの通信を遮断するなど、適切な対応を実施する。
・組織は、情報システムの外部境界において通信をモニタリングし、制御する。
・組織は、外部情報システムサービスのプロバイダに対して、サービスの使⽤に必要な機能、ポート、プロトコル及び他のサービスを

H-Advanced 明確にするよう要求する。

・組織は、上記で明確化した事項が遵守されているかどうかモニタリングする。
・組織は、外部サービスプロバイダ及びシステム開発の委託先の要員に対してのセキュリティ上の要求事項を⽂書化し、契約等に記載する。

・セキュリティ事象を適切に検知できるよ

・組織は、外部サービスプロバイダ及びシステム開発の委託先に対して、⾃組織のシステムに対する権限を有する要員が異動、または

CPS.CM-5 う、外部サービスプロバイダとの通信内容をモニタリングする。

雇⽤が終了する場合に、⾃組織へ通知することを要求する。
Advanced

・組織は、関連する業務情報，業務システム及び業務プロセスの重要性並びにリスクの再評価を考慮して、外部サービスプロバイダー
によるサービス提供の変更を管理することが望ましい。
・組織は、外部サービスプロバイダ及びシステム開発の委託先による要求事項の遵守状況をモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先による作為あるいは不作為による不正アクセスを検知するため、当該外部事業者による⾃組織のシステムへのアクセスををモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先の活動のモニタリング結果を、適切なシステム管理者に報告する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムに関するリモートアクセスについて、⾃動モニタリングまたは⾃動制御を実施する。
・情報システム及び産業⽤制御システムは、管理されたアクセスポイントによりルーティングされたリモートアクセスだけを許可する。

CPS.AC-3
3.1.13

リモートアクセスセションの機密性を保護するために暗号メカニズムを採⽤する。

・AC-17(2) リモートアクセス

・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

・情報システムは、定めた要求に基づく⽬的のみリモートアクセスによる特権コマンドの実⾏を認可する。

H-Advanced ・情報システムは、機密性の⾼いデータを扱うシステムにアクセスしたユーザがリモートアクセスによって特権コマンドを実⾏した理由とともに、リモートアクセスによってセキュリティ関連情報にアクセスした理由を記録する。
・情報システムは、機密性の⾼いデータを扱うシステムへの無線アクセスは、ユーザ及び機器による認証を暗号化とともに⽤いること

暗号化を⽤いた機密性／完全性の保護によって保護する。
・情報システムは、機密性の⾼いデータを扱う可能性のあるネットワークでつながっているホワイトボード、カメラ、マイク等の連携

CPS.DS-3

・IoT機器、サーバ等の間、サイバー空間で通信が⾏われる際、通信経路を暗号化する。

する機器をリモートから活性化することを禁⽌し、機器の利⽤者に利⽤中の機器の兆候を提供する。
・情報システムは、暗号メカニズムを導⼊し、通信経路を暗号化する。
Advanced[参考] 通信経路の暗号化には、IP-VPN、Ipsec-VPN、SSL-VPN等の⽅式が存在する。組織は、通信路を流れるデータの重要度や、かけられるコスト等を考慮しつつ、⽅式を選定することが望ましい。

D-2-4

NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・情報システムは、管理されたインターフェース上で認証されたプロキシサーバー経由で、通信を宛て先IPアドレスの属するネット
H-Advanced

ワークにルーティングする。
・情報システム及び産業⽤制御システムは、モバイルコードの使⽤を管理し、監視する。
・情報システムは、⾳声や映像の伝送に利⽤されるプロトコル（例︓VoIP）の使⽤を管理し、監視する。
・組織は、産業⽤制御システムと情報システムとの境界において通信をモニタリングし、制御する。
・組織は、インターネットなどの外部ネットワークと社内ネットワークの中間に内部ネットワークへのアクセスを隔離されたネット

3.1.14

管理されたアクセス制御ポイントを介してリモートアクセスをルーティングする。

・AC-17(3) リモートアクセス
管理されたアクセス制御ポイント

ワーク上のセグメント（DMZ: ⾮武装地帯）を構築する。

・組織内のネットワークと広域ネットワーク

・組織のセキュリティアーキテクチャに従って配備された境界保護装置によって構成される管理されたインターフェースを介してのCPS.CM-1 の接点において、ネットワーク監視・制御、
アクセス監視・制御を実施する。

み、外部ネットワークまたはシステムに接続する。
Advanced

・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール
等）を必ず経由させる。
・組織は、個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・組織は、特定の送信元、あるいは多数の送信元からの⼤量の通信がないかをシステムの外部境界及びシステム内の主要な内部境界にてモニタリングし、必要に応じて、特定IPアドレスからの通信を遮断するなど、適切な対応を実施する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムに関するリモートアクセスについて、⾃動モニタリングまたは⾃動制御を実施する。
・情報システム及び産業⽤制御システムは、管理されたアクセスポイントによりルーティングされたリモートアクセスだけを許可する。

3.1.15

特権コマンドのリモート実⾏とセキュリティ

・AC-17(4) リモートアクセス

関連情報へのリモートアクセスを許可する。

特権コマンド／アクセス

CPS.AC-3・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

・情報システムは、定めた要求に基づく⽬的のみリモートアクセスによる特権コマンドの実⾏を認可する。

H-Advanced ・情報システムは、機密性の⾼いデータを扱うシステムにアクセスしたユーザがリモートアクセスによって特権コマンドを実⾏した理由とともに、リモートアクセスによってセキュリティ関連情報にアクセスした理由を記録する。
・情報システムは、機密性の⾼いデータを扱うシステムへの無線アクセスは、ユーザ及び機器による認証を暗号化とともに⽤いることによって保護する。
・情報システムは、機密性の⾼いデータを扱う可能性のあるネットワークでつながっているホワイトボード、カメラ、マイク等の連携する機器をリモートから活性化することを禁⽌し、機器の利⽤者に利⽤中の機器の兆候を提供する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムに関するリモートアクセスについて、⾃動モニタリングまたは⾃動制御を実施する。
・情報システム及び産業⽤制御システムは、管理されたアクセスポイントによりルーティングされたリモートアクセスだけを許可する。
・情報システムは、定めた要求に基づく⽬的のみリモートアクセスによる特権コマンドの実⾏を認可する。

H-Advanced ・情報システムは、機密性の⾼いデータを扱うシステムにアクセスしたユーザがリモートアクセスによって特権コマンドを実⾏した理由とともに、リモートアクセスによってセキュリティ関連情報にアクセスした理由を記録する。

3.1.16無線のコネクションを許可する前に無線アクセスを許可する。

・AC-18 無線アクセスの制限

CPS.AC-3

・情報システムは、機密性の⾼いデータを扱うシステムへの無線アクセスは、ユーザ及び機器による認証を暗号化とともに⽤いること

・無線接続先（ユーザーやIoT機器、サーバ

によって保護する。

等）を正しく認証する。

・情報システムは、機密性の⾼いデータを扱う可能性のあるネットワークでつながっているホワイトボード、カメラ、マイク等の連携
Advancedする機器をリモートから活性化することを禁⽌し、機器の利⽤者に利⽤中の機器の兆候を提供する。
・組織は、⾃組織で利⽤する携帯機器を制限し、携帯機器の設定要件、接続要件、実装ガイダンス等を定める。
・組織は、⾃組織で利⽤する携帯機器から⾃組織のシステムの接続に関する承認ルール等を定める。
・組織は、許可しているリモートアクセスのタイプごとに使⽤制限・構成要件・実装ガイダンス等を定める。

Basic

・組織は、許可されていない無線接続を原則禁⽌とする。
・組織は、⾃組織の情報システム及び産業⽤制御システムへのリモートアクセスの利⽤に関する承認ルール等を定める。
・組織は、⾃組織のシステムへの無線によるアクセスを許可するのに先⽴って、無線でシステムにアクセスする権限を与える。
・情報システム及び産業⽤制御システムは、⾃組織のシステムに関するリモートアクセスについて、⾃動モニタリングまたは⾃動制御を実施する。
・情報システム及び産業⽤制御システムは、管理されたアクセスポイントによりルーティングされたリモートアクセスだけを許可する。

3.1.17

認証と暗号化を⽤いて無線アクセスを保護する。

・AC-18(1) 無線アクセス
認証と暗号化CPS.AC-3・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

・情報システムは、定めた要求に基づく⽬的のみリモートアクセスによる特権コマンドの実⾏を認可する。

H-Advanced ・情報システムは、機密性の⾼いデータを扱うシステムにアクセスしたユーザがリモートアクセスによって特権コマンドを実⾏した理由とともに、リモートアクセスによってセキュリティ関連情報にアクセスした理由を記録する。
・情報システムは、機密性の⾼いデータを扱うシステムへの無線アクセスは、ユーザ及び機器による認証を暗号化とともに⽤いることによって保護する。
・情報システムは、機密性の⾼いデータを扱う可能性のあるネットワークでつながっているホワイトボード、カメラ、マイク等の連携する機器をリモートから活性化することを禁⽌し、機器の利⽤者に利⽤中の機器の兆候を提供する。

D-2-5

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、⾃組織のシステムに関するリモートアクセスについて、⾃動モニタリングまたは⾃動制御を実施する。
・情報システム及び産業⽤制御システムは、管理されたアクセスポイントによりルーティングされたリモートアクセスだけを許可する。
・情報システムは、定めた要求に基づく⽬的のみリモートアクセスによる特権コマンドの実⾏を認可する。

CPS.AC-3・無線接続先（ユーザーやIoT機器、サーバ

H-Advanced ・情報システムは、機密性の⾼いデータを扱うシステムにアクセスしたユーザがリモートアクセスによって特権コマンドを実⾏した理由とともに、リモートアクセスによってセキュリティ関連情報にアクセスした理由を記録する。

等）を正しく認証する。

・情報システムは、機密性の⾼いデータを扱うシステムへの無線アクセスは、ユーザ及び機器による認証を暗号化とともに⽤いることによって保護する。
・情報システムは、機密性の⾼いデータを扱う可能性のあるネットワークでつながっているホワイトボード、カメラ、マイク等の連携
Advanced

3.1.18モバイルデバイスのコネクションを制御する。

する機器をリモートから活性化することを禁⽌し、機器の利⽤者に利⽤中の機器の兆候を提供する。
・組織は、⾃組織で利⽤する携帯機器を制限し、携帯機器の設定要件、接続要件、実装ガイダンス等を定める。
・組織は、⾃組織で利⽤する携帯機器から⾃組織のシステムの接続に関する承認ルール等を定める。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤

・AC-19 携帯機器に対するアクセス制御(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ
H-Advanced

・IoT機器やユーザーによる構成要素（モノ／とをあらかじめ確認する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引
CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・組織は、選択したアルゴリズムをソフトウェア及びハードウェアへ適切に実装し、暗号化された情報の復号⼜は電⼦署名の付与に⽤いる鍵、識別コード及び主体認証情報等を保護するため、暗号モジュール試験及び認証制度に基づく認証を取得している製品を選択す

H-Advanced る。

・⾃組織の保護すべきデータを組織外へ持ち出す場合、データを適切な強度で暗号化する。

モバイルデバイス及びモバイルコンピュー3.1.19 ティングプラットフォーム上のCUI を暗号化する。

・組織は、内部メモリのデータを暗号化して保管することのできるIoT機器を利⽤する。
・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、情報（データ）を適切な強度の⽅式で暗号化

・AC-19(5) 携帯機器に対するアクセス制御
デバイス全体／コンテナベースの暗号化

CPS.DS-2

して保管する。CRYPTREC暗号リスト（電⼦政府推奨暗号リスト）に記載されたアルゴリズムが選択可能であれば、これを選択し、情・情報を適切な強度の⽅式で暗号化して保管

報（データ）を適切な強度の⽅式で暗号化して保管する。

する。

・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、産業⽤制御システムが取り扱う重要度の⾼い
Advanced

情報（データ）を、パフォーマンスに許容できない影響が出ない範囲で適切な強度の⽅式で暗号化して保管する。
[参考] 暗号技術検討会及び関連委員会（CRYPTREC）では、安全性及び実装性能が確認された暗号技術について、市場における利⽤
実績が⼗分であるか今後の普及が⾒込まれると判断され、当該技術の利⽤を推奨するもののリストを「電⼦政府における調達のために参照すべき暗号のリスト」（CRYPTREC暗号リスト）として公開している。組織は、暗号機能を実装すべきシステム等を調達する場
合、必要に応じて参照することが望ましい。
・システムは、⾃組織が利⽤している外部情報システムサービスを⼀覧化し、リアルタイムで利⽤しているサービスとともに利⽤者・機器等を管理している。

3.1.20

外部システムへのコネクション及び使⽤を検証し、制御／制限する。

H-Advanced

・AC-20 外部情報システムの利⽤
・AC-20(1) 外部情報システムの利⽤

CPS.AM-5

許可された利⽤の制限

・⾃組織の資産が接続している外部情報シス

3.1.21

レージデバイスの使⽤を制限する。

・AC-20(2) 外部情報システムの利⽤
ポータブルストレージデバイス

CPS.AM-5

・⾃組織の資産が接続している外部情報シス
テムの⼀覧を作成し、適切に管理する。

・組織は、外部プロバイダによる情報システムサービスを使⽤する際に必要な機能、ポート、プロトコル及び他のサービスを明確にする。

テムの⼀覧を作成し、適切に管理する。

・組織は、外部の情報システムを所有、運⽤する他の組織に対して、下記を許可するうえでの条件を設定する。
Advanced

外部システム上での組織のポータブルスト・システムは、利⽤を許可していない外部情報システムサービスを検知した場合、システム管理者へ通知するメカニズムを利⽤する。

a. 外部の情報システムから⾃組織の情報システムにアクセスすること
b. 外部の情報システムを使⽤して⾃組織の管理下にある情報を処理または保存もしくは伝送すること
・外部のシステム上に接続された⾃組織が所有するストレージの許可された個⼈による使⽤を制限する。
・組織は、外部の情報システムを所有、運⽤する他の組織に対して、下記を許可するうえでの条件を設定する。

Advanceda. 外部の情報システムから⾃組織の情報システムにアクセスすること
b. 外部の情報システムを使⽤して⾃組織の管理下にある情報を処理または保存もしくは伝送すること
・外部のシステム上に接続された⾃組織が所有するストレージの許可された個⼈による使⽤を制限する。

D-2-6

NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・組織は、各システム及び組織について、データ保護に関連する全ての法規制及び契約上の要求事項、並びにこれらの要求事項を満た

・各種法令や関係組織間だけで共有するデー

すための組織の取組みを識別、⽂書化し、最新に保つ。

タの扱いに関する取決め等によって要求され3.1.22

公開アクセス可能なシステムにおいて掲載または処理されるCUI を制御する。

・AC-22 公的アクセス可能なコンテンツ

CPS.GV-3

るデータの保護の⽔準を的確に把握し、それぞれの要求を踏まえたデータの区分⽅法を整・組織は、識別したルールの分類に従い、⾃組織のデータを適切に分類する。
Basic

備し、ライフサイクル全体に渡って区分に応・組織は、識別したルールの要求事項に従い、該当するデータを扱うシステム、モノ等に対策を実施する。対策の実装が困難と考えられる場合は、当該データを⾃組織では⾮保持扱いとするような対策等の実施を検討することも考えられる。(例︓割賦販売法におけるカード情報の⾮保持化)

じた適切なデータの保護を⾏う。
H-Advanced ・組織は、内部不正の兆候を認識・報告するためのセキュリティ意識向上トレーニングを、全要員に対して実施する。

意識向上と・組織は、基本的なセキュリティ意識向上トレーニングを定期的に全職員に対して実施する。組織は、CPS.AT-1＜Basic＞の[参考]に訓練記載されている⼀般的な事項を解説しているコンテンツに加えて、組織によって内容が異なる内容として、例えば、下記の事項を扱う

・⾃組織の全ての要員に対して、セキュリことができる。

ティインシデントの発⽣とその影響を抑制す
CPS.AT-1 るために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施し、その記組織のシステムの責任者、システム管理者、するセキュリティリスク及びそれらのシステ

・AT-2 セキュリティの意識向上

ムのセキュリティに関連する適⽤可能なポリ・AT-3 ロールベースのセキュリティトレーニング- モバイル端末利⽤の注意点（例︓公衆無線LANに接続する際の注意点）- SNSを利⽤する際の注意点

録を管理する。

及び利⽤者が、彼らのアクティビティに関連
3.2.1- 不審なメールを受信した際の対応⼿順（どこにどのような内容を連絡すればよいか）
Advanced

・組織は、情報セキュリティ要員の育成とレベル向上のための役割別（例︓システム/ソフトウェア開発者、調達担当者、システム管理者、セキュリティ対策担当者）のプログラムを作成し、定期的に該当する要員に対して実施する。
・組織は、⾃組織の要員に対するセキュリティに係る教育・訓練の記録を定期的にレビューする。
・組織は、⾃組織におけるセキュリティインシデントに関係しうる関係組織に対して、担当する要員へ割り当てられた役割を遂⾏する

シー、基準、及び⼿順について周知されてい・⾃組織におけるセキュリティインシデント

ることを、保証する。

に関係し得る、セキュリティマネジメントに
CPS.AT-2

ための適切な訓練（例︓実際のインシデント発⽣時を想定した、シミュレーション）、セキュリティ教育を実施を要求し、その実施状
Advanced

ビューする。
・組織は、⾃組織の要員へ割り当てられた役割を遂⾏するための適切な訓練（例︓実際のインシデント発⽣時を想定した、シミュレー

して、割り当てられた役割を遂⾏するための適切な訓練（トレーニング）、セキュリティ
教育を実施し、その記録を管理する。

況を確認する。
・組織は、⾃組織のセキュリティマネジメントにおいて重要度の⾼い関係他組織の担当者に対する教育・訓練の記録を定期的にレおいて重要度の⾼い関係他組織の担当者に対Basicション）、セキュリティ教育を実施を要求し、その実施状況を確認する。
・組織は、⾃組織のセキュリティマネジメントにおいて重要度の⾼い関係他組織の担当者に対する、セキュリティに係る教育・訓練の内容や結果等について記録し、管理する。
・組織は、基本的なセキュリティ意識向上トレーニングを定期的に全職員に対して実施する。組織は、CPS.AT-1＜Basic＞の[参考]に記載されている⼀般的な事項を解説しているコンテンツに加えて、組織によって内容が異なる内容として、例えば、下記の事項を扱う

・⾃組織の全ての要員に対して、セキュリことができる。

ティインシデントの発⽣とその影響を抑制す
CPS.AT-1 るために割り当てられた役割と責任を遂⾏す- 不審なメールを受信した際の対応⼿順（どこにどのような内容を連絡すればよいか）
Advanced

るための適切な訓練、教育を実施し、その記組織の要員が、その割り当てられた情報セ
3.2.2

キュリティ関連の職務と責任を遂⾏するために適切に訓練されていることを、保証する。

・組織は、情報セキュリティ要員の育成とレベル向上のための役割別（例︓システム/ソフトウェア開発者、調達担当者、システム管録を管理する。

理者、セキュリティ対策担当者）のプログラムを作成し、定期的に該当する要員に対して実施する。

・AT-2 セキュリティの意識向上

・組織は、⾃組織の要員に対するセキュリティに係る教育・訓練の記録を定期的にレビューする。
・組織は、⾃組織におけるセキュリティインシデントに関係しうる関係組織に対して、担当する要員へ割り当てられた役割を遂⾏する

・AT-3 ロールベースのセキュリティトレーニング
・⾃組織におけるセキュリティインシデント

ための適切な訓練（例︓実際のインシデント発⽣時を想定した、シミュレーション）、セキュリティ教育を実施を要求し、その実施状に関係し得る、セキュリティマネジメントに
CPS.AT-2- モバイル端末利⽤の注意点（例︓公衆無線LANに接続する際の注意点）- SNSを利⽤する際の注意点

おいて重要度の⾼い関係他組織の担当者に対して、割り当てられた役割を遂⾏するための況を確認する。
Advanced

・組織は、⾃組織のセキュリティマネジメントにおいて重要度の⾼い関係他組織の担当者に対する教育・訓練の記録を定期的にレビューする。

適切な訓練（トレーニング）、セキュリティ
教育を実施し、その記録を管理する。
・⾃組織の全ての要員に対して、セキュリ
3.2.3

内部からの脅威の潜在指標の認識と報告についてのセキュリティ周知訓練を提供する。

・AT-2(2) セキュリティの意識向上
内部の脅威

・組織は、内部不正の兆候を認識・報告するためのセキュリティ意識向上トレーニングを、全要員に対して実施する。

ティインシデントの発⽣とその影響を抑制す
CPS.AT-1 るために割り当てられた役割と責任を遂⾏するための適切な訓練、教育を実施し、その記録を管理する。

D-2-7

H-Advanced

NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・組織は、契約事項からの逸脱及び、その兆候に対する調査・対応のためのプロシージャをサポートするレビュー・分析・レポートの監査とそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

責任追跡性

・組織は、特に重要な取引先及びその再委託先以降の組織に対して、契約にて規定した組織のセキュリティマネジメント、納⼊する製(説明責任)

品・サービスに実装されるセキュリティ機能等に関する義務事項が履⾏されているかどうかを⼀覧化して確認できるメカニズムを利⽤
H-Advanced する。

・委託元による実地調査、外部監査等の⼿法により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

・取引先等の関係する他組織が、契約上の義CPS.SC-6

・重要な取引先及びその再委託先以降の組織は、関係する攻撃の予兆、情報流出の事実がないかを調査し、組織に対して結果を定期的務を果たしていることを確認するために、監に報告する。
・組織は、⾃組織が取引先との契約において要求事項として規定した内容に関連して、システム上での監査が可能かどうか、確認す

査、テスト結果、または他の形式の評価を使⽤して定期的に評価する。

る。
・上記で定義されているシステム上で監査可能なイベントのために、監査記録を⽣成する機能を情報システムが提供する。
Advanced

・組織は、監査に関連する情報が必要な他の組織との間で、セキュリティ監査の整合性を保つことができるようにする。
・組織は、⼿作業ないしは情報システムにより⾃動で⽣成された監査記録を定期的にでレビュー・分析して、契約事項からの逸脱及び、その兆候の有無を確認する。

⾮合法の、許可されない、または不適切なシ
ステムアクティビティの監視、分析、調査、
3.3.1

及び報告を可能とするために必要な範囲で、システム監査記録を作成、保護、及び維持する。

・チェックリストを⽤いた取引先による内部監査により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確・AU-2 監査対象のイベント認する。
・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効で

・AU-3 監査記録の内容
・AU-3(1) 監査記録の内容あるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。

追加の監査情報・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。

・AU-6 監査記録の監視、分析、及び報告
・AU-12 監査の⽣成

H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれて

CPS.PT-1

・セキュリティインシデントを適切に検知すいる可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤るため、監査記録／ログ記録の対象を決定、や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装す⽂書化し、そうした記録を実施して、レビューする。

る。
Advanced

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。
・組織は、⾃組織のリスクマネジメントの戦略や、リスクアセスメントの結果等に基づき、監査対象を設定し、対象において誰がいつ何を⾏ったかがわかるような監査ログの取得がシステムにより可能かを確認する。

Basic・システムは、さまざまなシステムコンポーネントから規定された監査ログを⽣成する。
・システムの監査ログを定期的にレビュー・分析して、⾃組織に被害をもたらしうるセキュリティインシデントの兆候の有無を確認し、必要に応じてシステム管理者等へ報告する。
・組織は、産業⽤制御システムのパフォーマンスに監査活動が与える影響が許容範囲内であることを確認する。
・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。

H-Advanced

3.3.2

・AU-3 監査記録の内容のアクションについての説明責任を維持可能

・AU-3(1) 監査記録の内容にするよう、それらの利⽤者に対して⼀意に追跡が可能であることを保証する。

追加の監査情報・AU-6 監査記録の監視、分析、及び報告を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

・AU-2 監査対象のイベント
個別のシステム利⽤者のアクションが、彼ら・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれて

CPS.PT-1

・セキュリティインシデントを適切に検知すいる可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤るため、監査記録／ログ記録の対象を決定、や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装す⽂書化し、そうした記録を実施して、レビューする。

る。
Advanced・AU-12 監査の⽣成

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。
・組織は、⾃組織のリスクマネジメントの戦略や、リスクアセスメントの結果等に基づき、監査対象を設定し、対象において誰がいつ何を⾏ったかがわかるような監査ログの取得がシステムにより可能かを確認する。

Basic・システムは、さまざまなシステムコンポーネントから規定された監査ログを⽣成する。
・システムの監査ログを定期的にレビュー・分析して、⾃組織に被害をもたらしうるセキュリティインシデントの兆候の有無を確認し、必要に応じてシステム管理者等へ報告する。
・組織は、産業⽤制御システムのパフォーマンスに監査活動が与える影響が許容範囲内であることを確認する。

D-2-8

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。
H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれて3.3.3

監査された事象をレビューし、アップデートする。

・AU-2(3) 監査対象のイベント
レビューとアップデート

CPS.PT-1

・セキュリティインシデントを適切に検知すいる可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤るため、監査記録／ログ記録の対象を決定、や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装す⽂書化し、そうした記録を実施して、レビューする。

る。
Advanced

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。
・組織は、⾃組織のリスクマネジメントの戦略や、リスクアセスメントの結果等に基づき、監査対象を設定し、対象において誰がいつ何を⾏ったかがわかるような監査ログの取得がシステムにより可能かを確認する。

Basic・システムは、さまざまなシステムコンポーネントから規定された監査ログを⽣成する。
・システムの監査ログを定期的にレビュー・分析して、⾃組織に被害をもたらしうるセキュリティインシデントの兆候の有無を確認し、必要に応じてシステム管理者等へ報告する。
・組織は、産業⽤制御システムのパフォーマンスに監査活動が与える影響が許容範囲内であることを確認する。
・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。

・セキュリティインシデントを適切に検知す
3.3.4

監査プロセス失敗の事象においてアラート(警告) を発する。

・AU-5 監査処理エラーへの対応

CPS.PT-1

H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

るため、監査記録／ログ記録の対象を決定、・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれて⽂書化し、そうした記録を実施して、レいる可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤ビューする。

や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装する。
Advanced

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。
・組織は、契約事項からの逸脱及び、その兆候に対する調査・対応のためのプロシージャをサポートするレビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織は、特に重要な取引先及びその再委託先以降の組織に対して、契約にて規定した組織のセキュリティマネジメント、納⼊する製・取引先等の関係する他組織が、契約上の義CPS.SC-6

務を果たしていることを確認するために、監査、テスト結果、または他の形式の評価を使品・サービスに実装されるセキュリティ機能等に関する義務事項が履⾏されているかどうかを⼀覧化して確認できるメカニズムを利⽤
H-Advanced する。

・委託元による実地調査、外部監査等の⼿法により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認す⽤して定期的に評価する。

る。
・重要な取引先及びその再委託先以降の組織は、関係する攻撃の予兆、情報流出の事実がないかを調査し、組織に対して結果を定期的に報告する。
・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。

監査記録のレビュー、分析、及び調査のため
3.3.5の報告プロセスを集めて相互の関係を⽐較し、不適切な、疑わしい、または異常なアク・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡と・AU-6(3) 監査記録の監視、分析、及び報告

して、（論理的・物理的を問わず）管理する。

監査リポジトリとの相互の関連付け
H-Advanced

ティビティの兆候に対応する。
・セキュリティインシデントを適切に検知す
CPS.PT-1

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

るため、監査記録／ログ記録の対象を決定、・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれて⽂書化し、そうした記録を実施して、レいる可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤ビューする。

や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・組織は、⾃組織のリスクマネジメントの戦略や、リスクアセスメントの結果等に基づき、監査対象を設定し、対象において誰がいつ何を⾏ったかがわかるような監査ログの取得がシステムにより可能かを確認する。
Basic・システムは、さまざまなシステムコンポーネントから規定された監査ログを⽣成する。
・システムの監査ログを定期的にレビュー・分析して、⾃組織に被害をもたらしうるセキュリティインシデントの兆候の有無を確認し、必要に応じてシステム管理者等へ報告する。
・組織は、産業⽤制御システムのパフォーマンスに監査活動が与える影響が許容範囲内であることを確認する。

D-2-9

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡と・セキュリティインシデントを適切に検知す
3.3.6

オンデマンド分析と報告をサポートするた
め、監査の簡素化と報告書⽣成を提供する。

・AU-7 監査量の低減と報告書の作成

CPS.PT-1

るため、監査記録／ログ記録の対象を決定、⽂書化し、そうした記録を実施して、レして、（論理的・物理的を問わず）管理する。
H-Advanced

ビューする。

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれている可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。

監査記録のタイムスタンプを⽣成するための3.3.7

正式な情報源を⽤いて、内部システムクロックを⽐較し同期するようなシステム機能を提供する。

・AU-8(1) タイムスタンプ・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡と・セキュリティインシデントを適切に検知す・AU-8 タイムスタンプ
CPS.PT-1

権威ある時刻ソースとの同期るため、監査記録／ログ記録の対象を決定、⽂書化し、そうした記録を実施して、レして、（論理的・物理的を問わず）管理する。
H-Advanced

ビューする。

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれている可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。

・セキュリティインシデントを適切に検知す
3.3.8

監査情報と監査ツールを不正なアクセス、改変、及び削除から保護する。

・AU-9 監査情報の保護

CPS.PT-1

H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

るため、監査記録／ログ記録の対象を決定、・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれて⽂書化し、そうした記録を実施して、レいる可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤ビューする。

や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装する。
Advanced

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。
・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。

・セキュリティインシデントを適切に検知す
3.3.9

監査機能の管理を特権利⽤者の⼀部に制限する。

・AU-9(4) 監査情報の保護
特権利⽤者のサブセットによるアクセス

CPS.PT-1

H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

るため、監査記録／ログ記録の対象を決定、・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれて⽂書化し、そうした記録を実施して、レいる可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤ビューする。

や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装する。
Advanced

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。

D-2-10NIST SP800-171 から参照される

NIST SP 800-171
ファミリ

管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維

構成管理

持・管理する。
・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す
Advanced

・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。

・システムを構成するハードウェア、ソフト・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切

ウェア及びその管理情報（例︓名称、バーに把握し、管理する。
・組織は、⾃組織の情報システムや産業⽤制御システムを構成する資産（ハードウェア、ソフトウェア、情報）を特定し、各々の資産

CPS.AM-1 ジョン、ネットワークアドレス、管理責任に管理責任者を割り当てた上で、⽬録として⼀覧を⽂書化する。

者、ライセンス情報）の⼀覧を作成し、適切・資産は保有するものすべてを⼀覧化することが望ましいが、対象が膨⼤な場合、分析対象の統合（グループ化）と分析対象からの除に管理する。

外を通じて、対象とする資産を絞り込むことを検討する。

・CM-2 ベースライン構成

3.4.1

る。

Basic

・組織は、洗い出した資産を、⾃組織の事業運営における重要度に応じて優先順位づけする。

個別のシステム開発ライフサイクル全体で、

・CM-6 構成設定

組織のシステム (ハードウェア、ソフトウェ

・CM-8 情報システムコンポーネントのインベン[参考] 資産⽬録（情報資産管理台帳）の作成に当たっては、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年)

ア、ファームウェア、及び⽂書を含めて) のトリのP47を参照することが可能である。また、対象の絞込みに関するより詳細な説明は、「制御システムのセキュリティリスク分析ガイ

ベースライン構成とインベントリを確⽴し、・CM-8(1) 情報システムコンポーネントのインベ

維持する。

ントリ

ド 第2版」(IPA, 2018年)における 3.1.4. 分析対象とする資産の絞り込み を参照することが可能である。
・組織は、新たな資産のインストールや削除の際に、または、システムのアップデートの際に、資産、構成情報の⼀覧を更新することが望ましい。

インストレーション／除去中のアップデート

・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール
等）を必ず経由させる。

・機器等の構成管理では、ソフトウェア構成
情報、ネットワーク接続状況（ネットワーク

Advanced

・個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・情報システム及び産業⽤制御システムは、セッション終了後、あるいは⼀定以上の間⾮アクティブな状態が持続しているセッション

CPS.CM-6 接続の有無、アクセス先等）及び他のソシのネットワークコネクションを終了する。

キ、ヒト、モノ、システムとの情報の送受信

・組織は、承認されていないモノ、システム等への通信、あるいは適切でない内容を含んだ通信を検知するため、管理されたインター

状況について、継続的に管理する。

フェースにおいて通信をモニタリングする。
・IoT機器、サーバ等を含む資産の型番やソフトウェアのバージョン、サポート期限等を管理する台帳を作成し、定期的に棚卸する。
Basic

・組織は、運⽤時に実施すべき対策（IoTデバイスの不正利⽤や盗難、パッチの適⽤、ログのチェック等）、IoT機器の状況を定期的に確認する。
・組織は、⾃組織の情報システム及び産業⽤制御システムを構成する資産（IoT機器等を含むハードウェア、ソフトウェア、情報）を⼀意に特定し、各々の資産に管理責任者を割り当てた上で、資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）
を含めて、定期的⼜はオペレータ等の求めに応じて、リアルタイムで状況を把握しながら⽬録を維持・管理する。
・情報システムは、組織が定めたベースライン構成に対して、把握された実際の構成が適合しているかを定期的に監査し、例外として・システムを構成するハードウェア、ソフト

組織に許可されているものを除き、接続を遮断する等、適切に対応する。

ウェア及びその管理情報（例︓名称、バーCPS.AM-1 ジョン、ネットワークアドレス、管理責任

H-Advanced

者、ライセンス情報）の⼀覧を作成し、適切・CM-2 ベースライン構成
組織のシステムで採⽤された情報技術製品の[参考] 重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）のP.44〜P.46 に記載された情報の機密性、完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA, 2018

・CM-8 情報システムコンポーネントのインベン

年）のP.21に記載された事業被害の⼤きさにおける評価を⽤いる⽅法等がある

セキュリティ構成設定を確⽴し、強制 (実施) トリ
する。

実⾏するメカニズムを導⼊、運⽤している。
※ 関連する対策要件に、CPS.CM-6がある。

に管理する。

・CM-6 構成設定
3.4.2

・情報システム及び産業⽤制御システムは、許可されていない資産を⾃動的に検出し、管理情報から外す・システムから切り離す等を・組織は、構成管理の対象となるIoT機器、サーバ等に対する変更が⽣じた場合には変更に伴うセキュリティ影響分析を実施して変更

・CM-8(1) 情報システムコンポーネントのインベの実施可否を判断し、実施⼿順等のを⽂書化する。

ントリ

・組織は、許可されたIoT機器、サーバ等の変更に関して、実施できる要員（アクセス制限）を限定する。

インストレーション／除去中のアップデート

Advanced

・IoT機器、サーバ等の初期設定⼿順（パス・組織は、許可されたIoT機器、サーバ等の変更を実施するとともに、その変更の実施・記録・監査等を実施する。
・組織は、⾃⾝のアカウントや、IoT機器、サーバ等のパスワードを忘れてしまった場合、安全な回復⽅法（例︓変更実施前に本⼈にしかわからないセキュリティコードを⼊⼒させる）を利⽤する。

CPS.IP-1 ワード等）及び設定変更管理プロセスを導⼊・組織は、セキュリティ上の変更によって情報システム及び産業⽤制御システムの可⽤性や安全性等に悪影響が及ばないことを確実にし、運⽤する。

するため、運⽤及び変更管理のポリシー及び⼿順を定期的にレビューする。
・組織は、⾃組織の運⽤に適合する最も制限された設定基準を定めた上で、導⼊されるIoT機器、サーバ等の初期設定⼿順及び設定内
容を⽂書化するとともに、その⽂書に従って設定を実施する。
Basic

・組織は、IoT機器を設置する前にデフォルトの初期設定値を確認し、CPS.AC-1で定めたポリシーに準じていない場合に適切なものへと変更する。
・組織は、IoT機器の導⼊前に、搭載されているソフトウェアを確認し、記録する。

D-2-11NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・組織は、構成管理の対象となるIoT機器、サーバ等に対する変更が⽣じた場合には変更に伴うセキュリティ影響分析を実施して変更の実施可否を判断し、実施⼿順等のを⽂書化する。
・組織は、許可されたIoT機器、サーバ等の変更に関して、実施できる要員（アクセス制限）を限定する。

・IoT機器、サーバ等の初期設定⼿順（パスCPS.IP-1 ワード等）及び設定変更管理プロセスを導⼊

Advanced

し、運⽤する。

・組織は、許可されたIoT機器、サーバ等の変更を実施するとともに、その変更の実施・記録・監査等を実施する。
・組織は、⾃⾝のアカウントや、IoT機器、サーバ等のパスワードを忘れてしまった場合、安全な回復⽅法（例︓変更実施前に本⼈にしかわからないセキュリティコードを⼊⼒させる）を利⽤する。
・組織は、セキュリティ上の変更によって情報システム及び産業⽤制御システムの可⽤性や安全性等に悪影響が及ばないことを確実に

3.4.3

組織のシステムへの変更を追跡、レビュー、
承認／⾮承認、及び監査する。

するため、運⽤及び変更管理のポリシー及び⼿順を定期的にレビューする。
・組織は、新たな資産のインストールや削除の際に、または、システムのアップデートの際に、資産、構成情報の⼀覧を更新すること

・CM-3 構成変更管理が望ましい。
・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール

・機器等の構成管理では、ソフトウェア構成

等）を必ず経由させる。

情報、ネットワーク接続状況（ネットワーク
CPS.CM-6 接続の有無、アクセス先等）及び他のソシ

Advanced

キ、ヒト、モノ、システムとの情報の送受信

・個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・情報システム及び産業⽤制御システムは、セッション終了後、あるいは⼀定以上の間⾮アクティブな状態が持続しているセッション

状況について、継続的に管理する。

のネットワークコネクションを終了する。
・組織は、承認されていないモノ、システム等への通信、あるいは適切でない内容を含んだ通信を検知するため、管理されたインター
フェースにおいて通信をモニタリングする。
・組織は、構成管理の対象となるIoT機器、サーバ等に対する変更が⽣じた場合には変更に伴うセキュリティ影響分析を実施して変更の実施可否を判断し、実施⼿順等のを⽂書化する。

3.4.4

実装に先⽴ち、変更のセキュリティへの影響を分析する。

・組織は、許可されたIoT機器、サーバ等の変更に関して、実施できる要員（アクセス制限）を限定する。

・IoT機器、サーバ等の初期設定⼿順（パス・CM-4 構成変更の監視

CPS.IP-1 ワード等）及び設定変更管理プロセスを導⼊

Advanced

し、運⽤する。

・組織は、許可されたIoT機器、サーバ等の変更を実施するとともに、その変更の実施・記録・監査等を実施する。
・組織は、⾃⾝のアカウントや、IoT機器、サーバ等のパスワードを忘れてしまった場合、安全な回復⽅法（例︓変更実施前に本⼈にしかわからないセキュリティコードを⼊⼒させる）を利⽤する。
・組織は、セキュリティ上の変更によって情報システム及び産業⽤制御システムの可⽤性や安全性等に悪影響が及ばないことを確実にするため、運⽤及び変更管理のポリシー及び⼿順を定期的にレビューする。
・組織は、構成管理の対象となるIoT機器、サーバ等に対する変更が⽣じた場合には変更に伴うセキュリティ影響分析を実施して変更の実施可否を判断し、実施⼿順等のを⽂書化する。

組織のシステムへの変更に関連する物理的及
3.4.5

び論理的なアクセス制約事項を定義し、⽂書・組織は、許可されたIoT機器、サーバ等の変更に関して、実施できる要員（アクセス制限）を限定する。

・IoT機器、サーバ等の初期設定⼿順（パス・CM-5 変更のためのアクセス制限

CPS.IP-1 ワード等）及び設定変更管理プロセスを導⼊化し、承認し、強制 (実施) する。

Advanced

し、運⽤する。

・組織は、許可されたIoT機器、サーバ等の変更を実施するとともに、その変更の実施・記録・監査等を実施する。
・組織は、⾃⾝のアカウントや、IoT機器、サーバ等のパスワードを忘れてしまった場合、安全な回復⽅法（例︓変更実施前に本⼈にしかわからないセキュリティコードを⼊⼒させる）を利⽤する。
・組織は、セキュリティ上の変更によって情報システム及び産業⽤制御システムの可⽤性や安全性等に悪影響が及ばないことを確実にするため、運⽤及び変更管理のポリシー及び⼿順を定期的にレビューする。
・組織は、システム上での実⾏が許可されないソフトウェアプログラムを識別する。
・「ブラックリスト」あるいは「ホワイトリスト」管理により、そのシステム上で許可されていないソフトウェアプログラムを実⾏で・IoT機器、サーバ等の本体に対して、不要な H-Advanced きないようにする。
ムを構成することによって、最⼩機能の原則

・ブラックリストあるいはホワイトリストの⼀覧を定期的にレビューし、更新する。

ネットワークポート、USB、シリアルポート

基本機能のみを提供するように組織のシステ
3.4.6

・CM-7 機能の最⼩化・システムは、規定したルールに従って、プログラムの実⾏を阻⽌する。
・組織は、システム、モノ等によって提供される機能とサービスをレビューし、削除の候補となる機能とサービスを特定する。

CPS.PT-2 等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を必要最⼩限とすを採⽤する。

る。

・組織は、禁⽌されている機能、ポート、プロトコル、サービスの使⽤を検知し防⽌するために、ネットワークスキャンツール、侵⼊Advanced

検知防⽌システム、エンドポイントプロテクション（ファイアウォール、ホストベースの侵⼊検知システム等）を活⽤する。
・組織は、IoT機器やPC、サーバ以外の機器であっても、複合機等のネットワークにつながる機器に対しては、不要な機能やサービス

⾮基本プログラム、機能、ポート、プロトコ
3.4.7

ル、及びサービスの使⽤を制限、無効化、及び防⽌する。

許可されないソフトウェアの使⽤を防⽌するために例外による拒否 (ブラックリスト) ポリ
3.4.8

シーを、または許可されたソフトウェアの実⾏を許可するような例外による許可 (ホワイトリスト)ポリシーを適⽤する。

・IoT機器、サーバ等の本体に対して、不要な・CM-7(1) 機能の最⼩化
定期的なレビュー・CM-7(2) 機能の最⼩化

ネットワークポート、USB、シリアルポート
CPS.PT-2 等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を必要最⼩限とすプログラム実⾏の防⽌・CM-7(2) 機能の最⼩化プログラム実⾏の防⽌・CM-7(5) 機能の最⼩化許可されたソフトウェア／ホワイトリスト

る。
CPS.IP-2

・IoT機器、サーバ等の導⼊後に、追加するソ
フトウェアを制限する。
・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリアルポート

CPS.PT-2 等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を必要最⼩限とする。

D-2-12

等を停⽌する。
・組織は、システム上での実⾏が許可されないソフトウェアプログラムを識別する。
・「ブラックリスト」あるいは「ホワイトリスト」管理により、そのシステム上で許可されていないソフトウェアプログラムを実⾏でH-Advanced きないようにする。

・ブラックリストあるいはホワイトリストの⼀覧を定期的にレビューし、更新する。
・システムは、規定したルールに従って、プログラムの実⾏を阻⽌する。
・組織は、⾃組織の情報システム及び産業⽤制御システム上で実⾏を許可するソフトウェアの⼀覧（ホワイトリスト）、⼜は禁⽌する

H-Advanced ソフトウェアの⼀覧（ブラックリスト）を⽤いてソフトウェアの制限を実施する、あるいは、許可されていないソフトウェアのインス

トールを不可とする。
・組織は、システム上での実⾏が許可されないソフトウェアプログラムを識別する。
・「ブラックリスト」あるいは「ホワイトリスト」管理により、そのシステム上で許可されていないソフトウェアプログラムを実⾏でH-Advanced きないようにする。

・ブラックリストあるいはホワイトリストの⼀覧を定期的にレビューし、更新する。
・システムは、規定したルールに従って、プログラムの実⾏を阻⽌する。

NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・組織は、⾃組織の情報システム及び産業⽤制御システム上で実⾏を許可するソフトウェアの⼀覧（ホワイトリスト）、⼜は禁⽌する

3.4.9

利⽤者がインストールしたソフトウェアを管理し、監視する。

・CM-11 利⽤者がインストールしたソフトウェア

CPS.IP-2

・IoT機器、サーバ等の導⼊後に、追加するソ

H-Advanced ソフトウェアの⼀覧（ブラックリスト）を⽤いてソフトウェアの制限を実施する、あるいは、許可されていないソフトウェアのインス

フトウェアを制限する。
Advanced

識別と認証
3.5.1

システム利⽤者、利⽤者を代⾏して動作する

・IA-2 ユーザ識別及び認証プロセス、またはデバイスを識別する。

・IA-5 認証コードの管理ムを導⼊し、管理する。
・組織は、⾃組織のIoT機器、サーバ等について識別⼦を割り当てるとともに、識別⼦が再利⽤することを防⽌、⼀定期間が経過した・IoT機器、サーバ等が実施する通信は、適切
CPS.AC-8 な⼿順で識別されたエンティティ（ヒト／モトールを不可とする。
・組織は、⾃組織の情報システム及び産業⽤制御システム上でのユーザによるソフトウェアのインストールについて管理するメカニズ

識別⼦を無効にすることで、識別を管理する。
Basicノ／システム等）との通信に限定する。

・情報システム及び産業⽤制御システムは、⾃組織のIoT機器、サーバ等について、ネットワークでの接続を確⽴する前に、それらのデバイスを⼀意に識別し、認証する仕組みを備える。
・IoT機器での通信は、通信を拒否することをデフォルトとし、例外として利⽤するプロトコルを許可する。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ

H-Advanced

・IoT機器やユーザーによる構成要素（モノ／

組織のシステムへのアクセスの許可に対する
3.5.2

必要条件として、それらの利⽤者、プロセ

・IA-2 ユーザ識別及び認証

ス、またはデバイスのアイデンティティを認・IA-5 認証コードの管理証(または検証)する。

とをあらかじめ確認する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引
CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて⾮特権アカウントでのシステムやネットワーク等へのアクセスに対して多要素認証を実施する。

・IA-2(1) ユーザ識別及び認証
多要素認証を、特権アカウントへのローカル
3.5.3

及びネットワークアクセスのために、及び⾮特権アカウントへのネットワークアクセスのために、使⽤する。

特権アカウントへのネットワークアクセス
・IA-2(2) ユーザ識別及び認証
⾮特権アカウントへのネットワークアクセス
・IA-2(3) ユーザ識別及び認証
特権アカウントへのローカルアクセス

H-Advanced

・特権を持つユーザーのシステムへのネット
ワーク経由でのログインに対して、想定されク等へのアクセスに対して、リプレイ攻撃に対する耐性のある認証メカニズムを実施する。
[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、対象システムにおける特権アカウントへの不正ログインのリスク等を勘案し、⼗分に信頼性の⾼い認証⽅式を実装できない

CPS.AC-6 るリスクも考慮して、信頼性の⾼い認証⽅式

場合、ネットワーク経由での特権アカウントへのログインを原則禁⽌する。

（例︓⼆つ以上の認証機能を組み合わせた多要素認証）を採⽤する。

・機密性の⾼いデータを取り扱う⾃組織の情報システムについて、特権アカウントまたは⾮特権アカウントでのシステムやネットワー

・情報システムは、⾃組織のシステムについて管理者アカウントの無効化等制限が実施できない場合には、特権アカウントでのシステ
Advanced

ムやネットワーク等へのアクセスに対して多要素認証を要求する。
・情報システムにおけるデフォルトの管理者アカウントは、原則無効化する。
・情報システムは、権限付与等の特権操作を実施する場合には、利⽤ユーザアカウントに対して必要最⼩限の特権操作権限を付与す

・IA-2(8) ユーザ識別及び認証
特権及び⾮特権アカウントへのネットワーク
3.5.4

アクセスのために、リプレイ耐性のある認証メカニズムを採⽤する。

特権アカウントへのネットワークアクセスーリ
プレイ耐性
・IA-2(9) ユーザ識別及び認証
⾮特権アカウントへのネットワークアクセスー
リプレイ耐性る。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて⾮特権アカウントでのシステムやネットワーク等へのアクセス・特権を持つユーザーのシステムへのネットに対して多要素認証を実施する。

ワーク経由でのログインに対して、想定されCPS.AC-6 るリスクも考慮して、信頼性の⾼い認証⽅式（例︓⼆つ以上の認証機能を組み合わせた多要素認証）を採⽤する。

H-Advanced

・機密性の⾼いデータを取り扱う⾃組織の情報システムについて、特権アカウントまたは⾮特権アカウントでのシステムやネットワー
ク等へのアクセスに対して、リプレイ攻撃に対する耐性のある認証メカニズムを実施する。
[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

D-2-13

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・組織は、システムアカウントの作成に当たっては、管理責任者による承認を必須とする。
・共有ユーザアカウントに関しては、認証情報を知りえるユーザを⼀覧等で管理し、アカウントを利⽤する範囲を特定可能にする。
・組織は、情報システムにおけるシステムアカウントの利⽤状況をモニタリングする。
・組織は、アカウントが不要にな-った場合や変更が必要となった場合には管理責任者に通知する。
Advanced

・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・組織は、情報システム及び産業⽤制御システムにおいてパスワードが変更された場合、ユーザー（または管理責任者）に通知する。
・情報システムは、クレデンシャルを忘れてしまった際等にクレデンシャルを再設定する場合、悪意ある者によるクレデンシャルの不正な変更を防ぐため、当該アカウントが⾃⾝のものかどうかを確認するための安全な⼿順を適⽤する。
・組織は、⾃組織の情報システム及び産業⽤制御システムのアカウントを管理する管理責任者を配置する。
・組織は、組織のミッションや業務機能を考慮して、必要なシステムアカウント種別（例︓⼀般ユーザ／システム管理者／共有ユーザ

・承認されたモノとヒト及びプロシージャの
CPS.AC-1
3.5.5

定義された期間について、識別コードの再利⽤を禁⽌する。

／⼀時的なユーザ）を識別・選択する。

識別情報と認証情報を発効、管理、確認、取・組織は、事前に定められたプロシージャに従ってシステムアカウントを作成、有効化し、必要に応じて変更・無効化・削除を実施す

消、監査するプロシージャを確⽴し、実施する。

る。

・IA-4 識別⼦の管理・組織は、⾃組織の情報システム及び産業⽤制御システムに対するクレデンシャル（例︓パスワード、セキュリティキー）のポリシーを定め、そのポリシーを満たすクレデンシャルでなければ設定できない機能を実装する。ポリシーの内容の例としては、下記が挙げら
Basic

れる。
- クレデンシャルに最低限必要な複雑さを確保するため、パスワードに求める要求事項を定め、運⽤する。
- 新しいクレデンシャルが作成される際には、少なくとも組織が定めた⽂字数に変更させる。
- 暗号によって保護されたクレデンシャルのみを保存・伝送する。
- 同じクレデンシャルを組織が定めた世代にわたって再利⽤するのを禁⽌する。
・クレデンシャルを忘れてしまった際等に、強固なパスワードにすぐに変更するのを条件に、システムへのログオン時に、⼀時的なク
レデンシャルを使⽤することを許可する。
・組織は、複数のユーザが単⼀のグループとして機能する場合を除き、情報システム及び産業⽤制御システムにおいてユーザ識別情報
を、複数のシステムユーザで共有しない。
・組織は、⾃組織のIoT機器、サーバ等について識別⼦を割り当てるとともに、識別⼦が再利⽤することを防⽌、⼀定期間が経過した・IoT機器、サーバ等が実施する通信は、適切
CPS.AC-8 な⼿順で識別されたエンティティ（ヒト／モ

識別⼦を無効にすることで、識別を管理する。
Basicノ／システム等）との通信に限定する。

・情報システム及び産業⽤制御システムは、⾃組織のIoT機器、サーバ等について、ネットワークでの接続を確⽴する前に、それらのデバイスを⼀意に識別し、認証する仕組みを備える。
・IoT機器での通信は、通信を拒否することをデフォルトとし、例外として利⽤するプロトコルを許可する。
・組織は、システムアカウントの作成に当たっては、管理責任者による承認を必須とする。
・共有ユーザアカウントに関しては、認証情報を知りえるユーザを⼀覧等で管理し、アカウントを利⽤する範囲を特定可能にする。
・組織は、情報システムにおけるシステムアカウントの利⽤状況をモニタリングする。
・組織は、アカウントが不要にな-った場合や変更が必要となった場合には管理責任者に通知する。

Advanced

・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・組織は、情報システム及び産業⽤制御システムにおいてパスワードが変更された場合、ユーザー（または管理責任者）に通知する。
・情報システムは、クレデンシャルを忘れてしまった際等にクレデンシャルを再設定する場合、悪意ある者によるクレデンシャルの不正な変更を防ぐため、当該アカウントが⾃⾝のものかどうかを確認するための安全な⼿順を適⽤する。
・組織は、⾃組織の情報システム及び産業⽤制御システムのアカウントを管理する管理責任者を配置する。
・組織は、組織のミッションや業務機能を考慮して、必要なシステムアカウント種別（例︓⼀般ユーザ／システム管理者／共有ユーザ

・承認されたモノとヒト及びプロシージャの3.5.6

定義された⾮アクティブな期間の後、識別⼦を無効化する。

・IA-4 識別⼦の管理

CPS.AC-1／⼀時的なユーザ）を識別・選択する。

識別情報と認証情報を発効、管理、確認、取・組織は、事前に定められたプロシージャに従ってシステムアカウントを作成、有効化し、必要に応じて変更・無効化・削除を実施す

消、監査するプロシージャを確⽴し、実施する。

る。

・組織は、⾃組織の情報システム及び産業⽤制御システムに対するクレデンシャル（例︓パスワード、セキュリティキー）のポリシーを定め、そのポリシーを満たすクレデンシャルでなければ設定できない機能を実装する。ポリシーの内容の例としては、下記が挙げら
Basic

れる。
- クレデンシャルに最低限必要な複雑さを確保するため、パスワードに求める要求事項を定め、運⽤する。
- 新しいクレデンシャルが作成される際には、少なくとも組織が定めた⽂字数に変更させる。
- 暗号によって保護されたクレデンシャルのみを保存・伝送する。
- 同じクレデンシャルを組織が定めた世代にわたって再利⽤するのを禁⽌する。
・クレデンシャルを忘れてしまった際等に、強固なパスワードにすぐに変更するのを条件に、システムへのログオン時に、⼀時的なク
レデンシャルを使⽤することを許可する。
・組織は、複数のユーザが単⼀のグループとして機能する場合を除き、情報システム及び産業⽤制御システムにおいてユーザ識別情報
を、複数のシステムユーザで共有しない。

D-2-14

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ
H-Advanced

・IoT機器やユーザーによる構成要素（モノ／新しいパスワードが作成されるとき、最⼩パ
3.5.7

スワード複雑性及び⽂字列の変更を強制(実施)する。

・IA-5(1) 認証コードの管理
パスワードベース認証とをあらかじめ確認する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引
CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ

H-Advanced

・IoT機器やユーザーによる構成要素（モノ／3.5.8

規定された⽣成回数の間、パスワードの再利⽤を禁⽌する。

・IA-5(1) 認証コードの管理
パスワードベース認証とをあらかじめ確認する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引
CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ

H-Advanced

・IoT機器やユーザーによる構成要素（モノ／永久パスワードへ直ちに変更するようなとき
3.5.9のシステムログインのために⼀時的パスワー
ドの使⽤を許可する。

・IA-5(1) 認証コードの管理
パスワードベース認証とをあらかじめ確認する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引
CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ

H-Advanced

・IoT機器やユーザーによる構成要素（モノ／3.5.10

暗号学的に保護されたパスワードのみを格納及び送信する。

・IA-5(1) 認証コードの管理
パスワードベース認証とをあらかじめ確認する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引
CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。

D-2-15NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ
H-Advanced

・IoT機器やユーザーによる構成要素（モノ／3.5.11

認証情報のフィードバックを⽬に⾒えないよ
うにする。

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引・IA-6 認証コードのフィードバックとをあらかじめ確認する。

CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・組織は、サプライチェーンにおけるセキュリティインシデントの対処を想定し、⾃組織とサプライチェーンに関与する他の組織とのインシデン間で、インシデント対応活動を調整するプロシージャを整備する。

ト対応
・サプライチェーンにおけるインシデント対CPS.SC-9

応活動を確実にするために、インシデント対・組織は、サプライチェーンにおけるセキュリティインシデントの対処を想定し、サプライチェーンに関与する他の組織との間で、イ
H-Advanced ンシデント対応活動を調整するテストを実施する。

応活動に関係する者の間で対応プロセスの整[参考] サプライチェーンにおけるセキュリティインシデントには、例えば、システムコンポーネント、IT 製品、開発プロセスまたは

備と訓練を⾏う。

開発者、流通過程または倉庫施設に対する侵害等がある。
・組織は、インシデント対応要件が満たされるよう、⾃組織のインシデント対応プロセスと、⾃組織の事業継続上、重要な機能を有す
Advanced

る外部サービスプロバイダのインシデント対応プロセスを調整する。
・組織は、⾃組織と外部サービスプロバイダーとの間で連携を要するインシデント対応プロセスをテストする。
・組織は、リスクアセスメントの結果等を参照して、下記の観点を考慮しながらモニタリング、相関分析の対象となる対象を確⽴する。なお、相関分析の対象には、他組織とデータを連携する部分のログも含めることが望ましい。
- モニタリングするシステムの範囲をどこまでとするか- どのような機器のログを収集し、分析するか (CPS.AE-3を参照)
・組織は、モニタリングにより収集した監査ログを定期的にレビューする。
・組織は、資産情報、機器の構成情報、ネットワーク構成情報等を継続的に収集・管理し、⾃組織のセキュリティ対応状況を評価する。

・セキュリティ管理責任者を任命し、セキュ
CPS.AE-2

リティ対応組織(SOC/CSIRT)を⽴ち上げ、組
織内でセキュリティ事象を検知・分析・対応

・組織は、相関分析の結果等から対応が必要なセキュリティインシデントを適切に検知し、セキュリティ運⽤プロセスの記載内容に従Advancedする体制を整える。

い、対応を実施する（プロセスの内容については、CPS.RP-1等を参照）。
・組織及びシステムのセキュリティ状態をセキュリティ管理責任者等の適切な要員に、定期的に報告する。報告内容には以下を含むことが望ましい。
- ログ分析の分析結果（対処したインシデントの件数、対応済みの代表的なインシデントの概要、脅威動向、モニタリング上の課題
等）- モニタリングにおける今後の改善⽅針[参考] セキュリティ対応組織(SOC/CSIRT)の業務、望まれる規模等については、「セキュリティ対応組織（SOC/CSIRT）の教科書〜 機能・役割・⼈材スキル・成熟度 〜」(ISOG-J, 2018年)等を参照することが望ましい。

CPS.AE-4

・関係する他組織への影響を含めてセキュリ
ティ事象がもたらす影響を特定する。

・組織は、IPA、JPCERT/CC、業界ISAC、セキュリティベンダー等と連携して情報収集し、脅威情報、脆弱性情報等を相互に関連付
Advanced

けて、共有することによって、当該セキュリティ事象の全容を把握する。
・セキュリティ事象発⽣時において、マルウェアや攻撃者が配置したプログラムやスクリプトが発⾒された場合、それらの機能の解析
を外部のセキュリティベンダー等に依頼する。
・組織は、セキュリティインシデントの発⽣時に利⽤するセキュリティ運⽤プロセスを策定し、運⽤する。当該プロセスには、下記を例とする内容を含むことが望ましい。

適切な準備、検知、分析、抑制 (封じ込め)、3.6.1

リカバリ、及び利⽤者対応アクティビティを含めて、組織のシステムのための運⽤上のイ
ンシデントハンドリング能⼒を確⽴する。

- インシデントの報告を受けた者が、どのような対応をするのか、あるいはより上位に報告するのかの判断基準

・IR-2 インシデント対応のトレーニング- 緊急時の指揮命令と対応の優先順位の決定

・IR-4 インシデントの対応- インシデントの影響と被害の分析

内容や優先順位、対策範囲を明確にするた・IR-6 インシデントの報告
・IR-7 インシデント対応の⽀援- インシデントへの対応（インシデントレスポンス）・セキュリティインシデント発⽣後の対応の・IR-5 インシデントの監視
CPS.RP-1

め、インシデントを検知した後の組織／ヒト／モノ／システムの対応⼿順（セキュリティ
運⽤プロセス）をあらかじめ定義し、実装する。

- 情報収集と⾃社に必要な情報の選別
Basic- 社内関係者への連絡と周知- 外部関係機関との連絡・システム（特に産業⽤制御システム）は、IoT機器、サーバ等に異常（誤動作等）が発⽣した場合に、緊急停⽌、管理者へのアラー
ト通知等のフェールセーフのための対応を実施する。
[参考] セキュリティインシデント発⽣時の対応⼿順の検討において、「インシデントハンドリングマニュアル」(JPCERT/CC, 2015年)、SP 800-61 Rev.1 (NIST, 2008年)、「インシデント対応マニュアルの作成について」(JPCERT/CC, 2015年)を参照することが可能である。

D-2-16NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

CPS.CO-3

対策例

対策要件
・復旧活動について内部及び外部の利害関係者と役員、そして経営陣に伝達する点を、事
業継続計画⼜は緊急事対応計画の中に位置づ・組織は、監督官庁、社外の取引関係組織、エンドユーザー等の外部関係者にセキュリティインシデントの概要を説明し、具体的な被Advanced

される攻撃者の意図から、⾃組織及び関係する他組織を含む社会全体への影響を把握す

・組織は、サプライチェーンに関与する外部関係者との間で、復旧活動及びインシデントの事後処理に関わる活動を調整する。ここで該当する活動の例として、⽣産システムにおけるセキュリティインシデント発⽣時に⽣産されたモノの回収等が挙げられる。

ける。
・セキュリティインシデントの全容と、推測
CPS.AN-1

害状況の情報収集を⾏う。

・組織は、IPA、JPCERT/CC、業界ISAC、セキュリティベンダー等と連携して情報収集し、脅威情報、脆弱性情報等を相互に関連付
Advanced

けて、共有することによって、当該セキュリティインシデントの全容を把握する。
・セキュリティインシデント発⽣時において、マルウェアや攻撃者が配置したプログラムやスクリプトが発⾒された場合、それらの機能の解析を外部のセキュリティベンダー等に依頼する。

る。

・組織は、⾃組織のセキュリティ運⽤プロセスにおいて、対象となるシステムの復旧⽬標、復旧の優先順位及びメトリクスを考慮してインシデントを分類する。
・組織は、⾃組織に影響を及ぼすセキュリティインシデントを追跡し、⽂書化する。「SP 800-61 Rev.1」では、セキュリティインシ
デントを⽂書化する際の記載の観点として、下記を例⽰している。

・検知されたセキュリティインシデントの情
CPS.AN-3 報は、セキュリティに関する影響度の⼤⼩やAdvanced

侵⼊経路等で分類し、保管する。

- インシデントの現在の状況- インシデントの概要- 当該インシデントに対して⾃組織のとった⾏動の内容- ほかの関係者(システム所有者、システム管理者等)の連絡先情報- 調査の際に収集した証拠の⼀覧- インシデントの処理担当者からのコメント- 次にとるべきステップ
・組織（あるいはその構成員）は、あらかじめ定められたプロシージャに従って、セキュリティインシデントを低減するためのアクション（例えば、システムのシャットダウン、有線/無線ネットワークからの切断、モデムケーブルの切断、特定の機能の無効化な・セキュリティインシデントによる被害の拡CPS.MI-1 ⼤を最⼩限に抑え、影響を低減する対応を⾏

ど）を実⾏する。
Basicう。

[参考]セキュリティインシデントの影響低減のための活動は、インシデントの性質（例えば、サービス拒否攻撃、マルウェア感染、不正アクセスのような顕在化する脅威の差異）により内容が異なる場合がある。より詳細な影響低減活動の情報については、「インシデントハンドリングマニュアル」(JPCERT/CC, 2015年)、SP 800-61 Rev.1 (NIST, 2008年)等を参照することが望ましい。
・組織は、社外の取引関係組織、エンドユーザー等の外部関係者にセキュリティインシデントの概要を説明し、具体的な被害状況の情・セキュリティインシデント発⽣時に被害を
CPS.RP-4

受けた設備にて⽣産される等して、何らかの品質上の⽋落が⽣じていることが予想される

報収集を⾏う。
Advanced

モノ（製品）に対して適切な対応を⾏う。

・IR-2 インシデント対応のトレーニング
3.6.2

組織の内部及び外部の両⽅の、適切な担当官

・IR-4 インシデントの対応

及び／または権威に対して、インシデントに・IR-5 インシデントの監視ついての追跡、⽂書化、及び報告を⾏う。

・IR-6 インシデントの報告

セキュリティインシデントの発⽣後、組織に対する社会的評価の回復に取り組む点を位置

際、CPS.AM-2, CPS.AM-3にて記載している⽅法により、対応の対象となるモノを特定していることが望ましい。
※ CPS.CO-3と関連・事業継続計画⼜は緊急事対応計画の中に、
CPS.CO-2

・組織は、サプライチェーンに関与する外部関係者との間で、復旧活動及びインシデントの事後処理に関わる活動を調整する。その・マスコミや取引先に対する情報のやり取りの窓⼝を⼀本化し、対応⽅針が⼀貫したものとなるようにする。
Basic

づける。

・セキュリティインシデントによる被害に関する重要な情報について、情報の機密性に配慮しつつ丁寧に説明する。

・組織は、⾃組織のセキュリティ運⽤プロセスにおいて、対象となるシステムの復旧⽬標、復旧の優先順位及びメトリクスを考慮してインシデントを分類する。
・組織は、⾃組織に影響を及ぼすセキュリティインシデントを追跡し、⽂書化する。「SP 800-61 Rev.1」では、セキュリティインシ

・IR-7 インシデント対応の⽀援

デントを⽂書化する際の記載の観点として、下記を例⽰している。

・検知されたセキュリティインシデントの情
CPS.AN-3 報は、セキュリティに関する影響度の⼤⼩や侵⼊経路等で分類し、保管する。

Advanced- インシデントの現在の状況- インシデントの概要- 当該インシデントに対して⾃組織のとった⾏動の内容- ほかの関係者(システム所有者、システム管理者等)の連絡先情報- 調査の際に収集した証拠の⼀覧- インシデントの処理担当者からのコメント- 次にとるべきステップ

D-2-17

NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・組織は、サプライチェーンにおけるセキュリティインシデントの対処を想定し、⾃組織とサプライチェーンに関与する他の組織との間で、インシデント対応活動を調整するプロシージャを整備する。

・サプライチェーンにおけるインシデント対CPS.SC-9

応活動を確実にするために、インシデント対・組織は、サプライチェーンにおけるセキュリティインシデントの対処を想定し、サプライチェーンに関与する他の組織との間で、イ
H-Advanced ンシデント対応活動を調整するテストを実施する。

応活動に関係する者の間で対応プロセスの整[参考] サプライチェーンにおけるセキュリティインシデントには、例えば、システムコンポーネント、IT 製品、開発プロセスまたは

備と訓練を⾏う。

開発者、流通過程または倉庫施設に対する侵害等がある。
・組織は、インシデント対応要件が満たされるよう、⾃組織のインシデント対応プロセスと、⾃組織の事業継続上、重要な機能を有す
Advanced

・組織は、⾃組織と外部サービスプロバイダーとの間で連携を要するインシデント対応プロセスをテストする。
・組織は、基本的なセキュリティ意識向上トレーニングを定期的に全職員に対して実施する。組織は、CPS.AT-1＜Basic＞の[参考]に・IR-3 インシデント対応のテストと実習
3.6.3

組織のインシデント対応能⼒をテストする。

る外部サービスプロバイダのインシデント対応プロセスを調整する。

記載されている⼀般的な事項を解説しているコンテンツに加えて、組織によって内容が異なる内容として、例えば、下記の事項を扱う

・IR-3(2) インシデント対応のテストと実習ことができる。

関連する計画との調整- 不審なメールを受信した際の対応⼿順（どこにどのような内容を連絡すればよいか）

・⾃組織の全ての要員に対して、セキュリ

H-Advanced- モバイル端末利⽤の注意点（例︓公衆無線LANに接続する際の注意点）- SNSを利⽤する際の注意点

ティインシデントの発⽣とその影響を抑制す・組織は、情報セキュリティ要員の育成とレベル向上のための役割別（例︓システム/ソフトウェア開発者、調達担当者、システム管

CPS.AT-1 るために割り当てられた役割と責任を遂⾏す

理者、セキュリティ対策担当者）のプログラムを作成し、定期的に該当する要員に対して実施する。

るための適切な訓練、教育を実施し、その記・組織は、⾃組織の要員に対するセキュリティに係る教育・訓練の記録を定期的にレビューする。
・組織は、⾃組織の利⽤する情報システム及び産業⽤制御システムに対する変更により必要になった場合や新規職員に対して基本的な録を管理する。

セキュリティ意識向上トレーニングを実施する。
Advanced

・組織は、⾃組織の要員に対するセキュリティに係る教育・訓練の内容や結果等について記録し、管理する。
[参考] 組織が従業員等に対してセキュリティ教育を実施する際、IPAが公開している「情報セキュリティ読本 教育⽤プレゼン資料」の内容を参照することが可能である。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに必要な機器やツールを⽤いる際には、事前に承認するもの

メンテナンとし、モニタリングを実施する。

ス

・組織は、⾃組織のIoT機器、サーバ等のアップデート等を実施する要員が持ち込むメンテナンスに必要な機器やツールを検査し、不H-Advanced

・IoT機器、サーバ等のセキュリティ上重要な

3.7.1

・MA-2 定期的な保守

アップデート等を、必要なタイミングに管理

・MA-3 保守ツールされたツールを利⽤して適切に履歴を記録し・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに⽤いる媒体を検査して、悪質コードが含まれていないことを確認した上で使⽤する。
・組織は、遠隔地からの操作によってソフトウェア(OS、ドライバ、アプリケーション)を⼀括して更新するリモートアップデートのつつ実施する。

仕組みを備えたIoT機器を導⼊する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施するに当たり、メンテナンスの実施計画、実施、確・可能であれば、遠隔地からの操作によって認、⽂書化する。

・MA-3(2) 保守ツール

ソフトウェア（OS、ドライバ、アプリケー

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施する際には、事前に承認するものとし、モニタリング

メディアを検査するション）を⼀括して更新するリモートアップ

組織のシステムにおいてメンテナンスを実施 ・MA-3(1) 保守ツール
する。

適切な変更または不正な変更がないか確認する。

ツールを検査する

CPS.MA-1

デートの仕組みを備えたIoT機器を導⼊する。

を実施する。
Advanced

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを⾃組織の施設から離れた場所で実施する場合には、施設からの移動について事前に承認するものとともに、移動に先⽴って関連する保存されている情報の消去等の必要な処理を実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスの終了後、影響を受けた可能性のあるすべてのセキュリティ
対策をチェックして、正しく機能しているかどうかを確認する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンス記録を保管する。
・組織は、メンテナンス要員の認可プロセスを確⽴し、認可されたメンテナンス組織または要員の⼀覧の最新化を図る。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに必要な機器やツールを⽤いる際には、事前に承認するものとし、モニタリングを実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等を実施する要員が持ち込むメンテナンスに必要な機器やツールを検査し、不H-Advanced

・IoT機器、サーバ等のセキュリティ上重要なシステムメンテナンスを実施するために使⽤
3.7.2

されるツール、⼿法、メカニズム、及び要員
における有効な管理策を提供する。

・MA-2 定期的な保守

アップデート等を、必要なタイミングに管理

・MA-3 保守ツールされたツールを利⽤して適切に履歴を記録し・MA-3(1) 保守ツール

CPS.MA-1

適切な変更または不正な変更がないか確認する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに⽤いる媒体を検査して、悪質コードが含まれていないことを確認した上で使⽤する。
・組織は、遠隔地からの操作によってソフトウェア(OS、ドライバ、アプリケーション)を⼀括して更新するリモートアップデートのつつ実施する。

仕組みを備えたIoT機器を導⼊する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施するに当たり、メンテナンスの実施計画、実施、確・可能であれば、遠隔地からの操作によって認、⽂書化する。

・MA-3(2) 保守ツール

ソフトウェア（OS、ドライバ、アプリケー

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施する際には、事前に承認するものとし、モニタリング

メディアを検査するション）を⼀括して更新するリモートアップ

ツールを検査する

デートの仕組みを備えたIoT機器を導⼊する。

を実施する。
Advanced

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを⾃組織の施設から離れた場所で実施する場合には、施設からの移動について事前に承認するものとともに、移動に先⽴って関連する保存されている情報の消去等の必要な処理を実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスの終了後、影響を受けた可能性のあるすべてのセキュリティ
対策をチェックして、正しく機能しているかどうかを確認する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンス記録を保管する。
・組織は、メンテナンス要員の認可プロセスを確⽴し、認可されたメンテナンス組織または要員の⼀覧の最新化を図る。

D-2-18NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID・IoT機器、サーバ等の廃棄時には、内部に保 H-Advanced ・組織は、廃棄対象のIoT機器やサーバ等の内部に保存されている情報のセキュリティカテゴリ等の分類を定義し、その定義に従い必要な強度と完全性を備えた情報の削除⼜は読み取りできない状態にする技法を使い分けるメカニズムを導⼊する。
存されているデータ及び、正規IoT機器、サー

オフサイトのメンテナンスのために除去され
3.7.3

対策例

対策要件

る装置は、あらゆるCUI についてサニタイズ ・MA-2 定期的な保守

CPS.IP-6 バ等を⼀意に識別するID（識別⼦）や重要情報（秘密鍵、電⼦証明書等）を削除⼜は読みされることを保証する。

取りできない状態にする。

Advanced
Basic・組織は、⾃組織のIoT機器やサーバ等を廃棄するプロシージャを定め、そのプロシージャに従って内部に保存されている情報を削除
⼜は読み取りできない状態し、適切に実施できたことを確認する。
・組織は、⾃組織のIoT機器やサーバ等を廃棄するに当たっては、内部に保存されている情報を削除⼜は読み取りできない状態にする。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに必要な機器やツールを⽤いる際には、事前に承認するものとし、モニタリングを実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等を実施する要員が持ち込むメンテナンスに必要な機器やツールを検査し、不H-Advanced

・IoT機器、サーバ等のセキュリティ上重要な

3.7.4に、悪意のあるコードが⼊っていないか診断
及びテストプログラムを⽤いてメディアを・組織は、遠隔地からの操作によってソフトウェア(OS、ドライバ、アプリケーション)を⼀括して更新するリモートアップデートのされたツールを利⽤して適切に履歴を記録し・MA-3(2) 保守ツール

CPS.MA-1

チェックする。

・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに⽤いる媒体を検査して、悪質コードが含まれていないことを確認した上で使⽤する。

アップデート等を、必要なタイミングに管理
組織のシステム内でメディアが使⽤される前

適切な変更または不正な変更がないか確認する。

つつ実施する。

仕組みを備えたIoT機器を導⼊する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施するに当たり、メンテナンスの実施計画、実施、確・可能であれば、遠隔地からの操作によって認、⽂書化する。

ソフトウェア（OS、ドライバ、アプリケー

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施する際には、事前に承認するものとし、モニタリングを実施する。

ション）を⼀括して更新するリモートアップ
デートの仕組みを備えたIoT機器を導⼊する。

Advanced

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを⾃組織の施設から離れた場所で実施する場合には、施設からの移動について事前に承認するものとともに、移動に先⽴って関連する保存されている情報の消去等の必要な処理を実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスの終了後、影響を受けた可能性のあるすべてのセキュリティ
対策をチェックして、正しく機能しているかどうかを確認する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンス記録を保管する。

外部のネットワークコネクションを介した⾮・⾃組織のIoT機器、サーバ等に対する遠隔保

ローカルメンテナンスセションを確⽴するた
3.7.5

め、複数要素の認証を要求し、⾮ローカルメ

・MA-4 遠隔保守

CPS.MA-2

ンテナンスの完了時にこのようなセションを

守を、適⽤先のモノ、システムのオーナー部

・取引先等の関係する他組織の要員の内、⾃CPS.SC-5

Advanced⾨による承認を得て、ログを記録し、不正アクセスを防げる形で実施する。

終了する。

・組織は、メンテナンス要員の認可プロセスを確⽴し、認可されたメンテナンス組織または要員の⼀覧の最新化を図る。
・組織は、遠隔保守のための接続の確⽴と実施に関するポリシーとプロシージャを⽂書化し、その内容により実施する。

組織から委託する業務に関わる者に対するセキュリティ上の要求事項を策定し、運⽤す
る。

Basic
H-Advanced

・組織は、遠隔保守を実施する際には組織の定めるネットワークアクセスに求める認証を実施するとともに、遠隔保守が完了したらセッションとネットワーク接続を確実に終了する。
・組織は、遠隔保守の実施に当たっては、実施計画を策定し・合意した上で実施し、実施結果を確認する。
・組織は、実施した遠隔保守の実施記録を保管する。
・組織は、委託先の要員により委託元が要求するセキュリティ要求事項が遵守されているかどうかを継続的にモニタリングし、通常とは異なる⾏動があった場合、⾃組織の担当者に通知できるようにプロシージャを整備する。
・サプライヤー関係のセキュリティ⾯について該当する要員を訓練し、機密情報の取り扱いが正しく理解されていることを特に確認すAdvancedる。
・委託業務の遂⾏に当たり、委託元が要求するセキュリティ要求事項が遵守されていることを定期的に確認する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施するに当たり、メンテナンスの実施計画、実施、確認、⽂書化する。

3.7.6

必要なアクセス許可なしにメンテナンス要員のメンテナンス活動を監督する。

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施する際には、事前に承認するものとし、モニタリング

・IoT機器、サーバ等のセキュリティ上重要なアップデート等を、必要なタイミングに管理

・MA-5 保守要員されたツールを利⽤して適切に履歴を記録しCPS.MA-1を実施する。
Advanced

つつ実施する。

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを⾃組織の施設から離れた場所で実施する場合には、施設からの移動について事前に承認するものとともに、移動に先⽴って関連する保存されている情報の消去等の必要な処理を実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスの終了後、影響を受けた可能性のあるすべてのセキュリティ

・可能であれば、遠隔地からの操作によって対策をチェックして、正しく機能しているかどうかを確認する。

ソフトウェア（OS、ドライバ、アプリケー

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンス記録を保管する。
・組織は、メンテナンス要員の認可プロセスを確⽴し、認可されたメンテナンス組織または要員の⼀覧の最新化を図る。
・組織は、メンテナンス要員が付添いなしで情報システム及び産業⽤制御システムのメンテナンスを⾏う場合に、その要員が必要なアション）を⼀括して更新するリモートアップ
デートの仕組みを備えたIoT機器を導⼊する。
Basic

クセス権限を有することを確認する。
・組織は、必要なアクセス権限を持たない要員によるメンテナンス活動を監督するのに必要なアクセス権限と技術的能⼒を有する組織の要員を指定する。

D-2-19NIST SP800-171 から参照される

NIST SP 800-171
ファミリ

管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。

メディア

H-Advanced ・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。

処理
・IoT機器、サーバ等の設置エリアの施錠、⼊CPS.AC-2

退室管理、⽣体認証等の導⼊、監視カメラのAdvanced

・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアに対するアクセスリストの維持管理及びアクセスに必要な許可証明書

設置、持ち物や体重検査等の物理的セキュリ
ティ対策を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。
・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。

を発⾏する。
Basic・組織は、⾃組織の施設においてセキュリティを保つべき物理的セキュリティ境界を定め、境界内に設置している資産のセキュリティ
要求事項及びリスクアセスメントの結果に応じてアクセス制御を実施する。
・組織は、物理的セキュリティ境界内における⾃組織または⾃組織外の⼀時的に認可された⼊場者に対して、認可された関係者の付き紙及びディジタルの両⽅の、CUI を含む、シ
3.8.1

ステムメディアを保護する(即ち、物理的に制御及びセキュアに格納する)。

添い⼜は監視カメラ等により作業内容をモニタリングできるようにする。
・組織は、システム上での実⾏が許可されないソフトウェアプログラムを識別する。

・MP-2 メディアへのアクセス
・MP-4 メディアの保管

・「ブラックリスト」あるいは「ホワイトリスト」管理により、そのシステム上で許可されていないソフトウェアプログラムを実⾏で・MP-6 メディア上の記録の抹消とメディアの廃H-Advanced きないようにする。

棄・ブラックリストあるいはホワイトリストの⼀覧を定期的にレビューし、更新する。
・システムは、規定したルールに従って、プログラムの実⾏を阻⽌する。
・組織は、システム、モノ等によって提供される機能とサービスをレビューし、削除の候補となる機能とサービスを特定する。

・IoT機器、サーバ等の本体に対して、不要なネットワークポート、USB、シリアルポート
CPS.PT-2 等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機能を必要最⼩限とす

・組織は、禁⽌されている機能、ポート、プロトコル、サービスの使⽤を検知し防⽌するために、ネットワークスキャンツール、侵⼊Advanced

検知防⽌システム、エンドポイントプロテクション（ファイアウォール、ホストベースの侵⼊検知システム等）を活⽤する。
・組織は、IoT機器やPC、サーバ以外の機器であっても、複合機等のネットワークにつながる機器に対しては、不要な機能やサービスる。

等を停⽌する。
・使⽤するUSBメモリ等の周辺機器は、管理台帳を作成し、保管場所を施錠して管理する。
Basic

能なUSBメモリを⽤いる等の対策を⾏う。
・使⽤しないUSBポート、シリアルポートは栓をするなど物理的に閉塞する。
・組織は、⾃組織のIoT機器、サーバ等について識別⼦を割り当てるとともに、識別⼦が再利⽤することを防⽌、⼀定期間が経過した・IoT機器、サーバ等が実施する通信は、適切
CPS.AC-8 な⼿順で識別されたエンティティ（ヒト／モ・IoT機器、サーバ等に接続するUSBメモリ等の外部記憶媒体に対して、ウイルス対策ソフトによるチェック、ウイルスチェックが可識別⼦を無効にすることで、識別を管理する。
Basicノ／システム等）との通信に限定する。

・情報システム及び産業⽤制御システムは、⾃組織のIoT機器、サーバ等について、ネットワークでの接続を確⽴する前に、それらのデバイスを⼀意に識別し、認証する仕組みを備える。
・IoT機器での通信は、通信を拒否することをデフォルトとし、例外として利⽤するプロトコルを許可する。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ

・MP-2 メディアへのアクセス
3.8.2

システムメディア上のCUI へのアクセスを許 ・MP-4 メディアの保管可された利⽤者に制限する。

・MP-6 メディア上の記録の抹消とメディアの廃棄H-Advanced

・IoT機器やユーザーによる構成要素（モノ／とをあらかじめ確認する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

システム等）への論理的なアクセスを、取引
CPS.AC-9 のリスク（個⼈のセキュリティ、プライバ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。
・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っシーのリスク及びその他の組織的なリスク）た認証を実施する。

に⾒合う形で認証・認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。

廃棄または再利⽤のために⼿放す前に、CUI
3.8.3

を含むシステムメディアをサニタイズまたは破壊する。

・MP-2 メディアへのアクセス
・MP-4 メディアの保管
・MP-6 メディア上の記録の抹消とメディアの廃棄・IoT機器、サーバ等の廃棄時には、内部に保 H-Advanced ・組織は、廃棄対象のIoT機器やサーバ等の内部に保存されている情報のセキュリティカテゴリ等の分類を定義し、その定義に従い必要な強度と完全性を備えた情報の削除⼜は読み取りできない状態にする技法を使い分けるメカニズムを導⼊する。
存されているデータ及び、正規IoT機器、サーCPS.IP-6 バ等を⼀意に識別するID（識別⼦）や重要情報（秘密鍵、電⼦証明書等）を削除⼜は読み取りできない状態にする。

D-2-20

Advanced
Basic・組織は、⾃組織のIoT機器やサーバ等を廃棄するプロシージャを定め、そのプロシージャに従って内部に保存されている情報を削除
⼜は読み取りできない状態し、適切に実施できたことを確認する。
・組織は、⾃組織のIoT機器やサーバ等を廃棄するに当たっては、内部に保存されている情報を削除⼜は読み取りできない状態にする。

NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・組織は、情報システムや産業⽤制御システムにおけるリソース（データ及びデータを処理するモノ、システム等）を分類する際にAdvanced

は、データを共有⼜は制限する業務上の要求及び法的要求事項を考慮する。
・当該資産の管理責任者は、データの分類に対して責任を負う。
・組織は、リソースの分類体系に分類の規則及びその分類を時間が経ってからレビューするための基準を含める。
・組織は、洗い出した情報システムや産業⽤制御システムにおける資産を、⾃組織にとっての重要度に応じて優先順位づけする。
・関係する法規制等により、⾃組織のリソース（例︓システム、データ）について特定の分類に従うことが要求されている場合、該当・リソース（例︓モノ、データ、システム）
3.8.4

CUI のマーク表⽰と配付制限が必要なメディアに対して表⽰を⾏う。

する分類を資産に適⽤する。

を、機能、重要度、ビジネス上の価値に基づ
・MP-3 メディアへのラベル付け

・組織は、特に産業⽤制御システムにおけるモノ、システム等の分類、優先付けに当たっては、⾃組織の事業活動の適切でない運⽤に

CPS.AM-6 いて分類、優先順位付けし、管理責任を明確にした上で、業務上それらのリソースに関わる組織やヒトに伝達する。

よりHSE(Health, Safety and Environment)への悪影響が発⽣するかを考慮して実施する。
Basic

・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、事業継続の観点から重要なリソース（関係する他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。
[参考] 資産の重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）の P.44〜46に記載された情報の機密性、完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA,
2018年）の P.21 に記載された事業被害の⼤きさにおける評価を⽤いる⽅法等がある。また、特に産業⽤制御システムにおける資産の重要度の判断基準については、「制御システムのセキュリティリスク分析ガイド 第2版」（IPA, 2018年）4.2.2及び4.2.3を参照することができる。
・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維持・管理する。
・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す

Advanced

3.8.5

・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切

ウェア及びその管理情報（例︓名称、バー

管理エリアの外部への持ち出し中のメディア ・MP-5 メディアの輸送に把握し、管理する。
・組織は、⾃組織の情報システムや産業⽤制御システムを構成する資産（ハードウェア、ソフトウェア、情報）を特定し、各々の資産

CPS.AM-1 ジョン、ネットワークアドレス、管理責任に管理責任者を割り当てた上で、⽬録として⼀覧を⽂書化する。

者、ライセンス情報）の⼀覧を作成し、適切の説明責任を維持する。

・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。

・システムを構成するハードウェア、ソフト
CUI を含むメディアへのアクセスを制御し、る。

・資産は保有するものすべてを⼀覧化することが望ましいが、対象が膨⼤な場合、分析対象の統合（グループ化）と分析対象からの除に管理する。

外を通じて、対象とする資産を絞り込むことを検討する。
Basic

・組織は、洗い出した資産を、⾃組織の事業運営における重要度に応じて優先順位づけする。
[参考] 資産⽬録（情報資産管理台帳）の作成に当たっては、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年)のP47を参照することが可能である。また、対象の絞込みに関するより詳細な説明は、「制御システムのセキュリティリスク分析ガイ
ド 第2版」(IPA, 2018年)における 3.1.4. 分析対象とする資産の絞り込み を参照することが可能である。
・組織は、選択したアルゴリズムをソフトウェア及びハードウェアへ適切に実装し、暗号化された情報の復号⼜は電⼦署名の付与に⽤

代替の物理的予防⼿段による保護がない限
3.8.6

り、持ち出し中はディジタルメディア上に格納されたCUI の機密性を保護するための暗号

・MP-5(4) メディアの輸送
暗号学的保護CPS.DS-2

・情報を適切な強度の⽅式で暗号化して保管する。

いる鍵、識別コード及び主体認証情報等を保護するため、暗号モジュール試験及び認証制度に基づく認証を取得している製品を選択す
H-Advanced る。

・⾃組織の保護すべきデータを組織外へ持ち出す場合、データを適切な強度で暗号化する。

学的メカニズムを実装する。

・組織は、内部メモリのデータを暗号化して保管することのできるIoT機器を利⽤する。
・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維持・管理する。
・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す
Advanced

システムコンポーネント上の取り外し可能なメディアの使⽤を管理する。

・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切

ウェア及びその管理情報（例︓名称、バー・MP-7 メディアの利⽤

・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。

・システムを構成するハードウェア、ソフト
3.8.7

る。

に把握し、管理する。
・組織は、⾃組織の情報システムや産業⽤制御システムを構成する資産（ハードウェア、ソフトウェア、情報）を特定し、各々の資産

CPS.AM-1 ジョン、ネットワークアドレス、管理責任に管理責任者を割り当てた上で、⽬録として⼀覧を⽂書化する。

者、ライセンス情報）の⼀覧を作成し、適切・資産は保有するものすべてを⼀覧化することが望ましいが、対象が膨⼤な場合、分析対象の統合（グループ化）と分析対象からの除に管理する。

外を通じて、対象とする資産を絞り込むことを検討する。
Basic

・組織は、洗い出した資産を、⾃組織の事業運営における重要度に応じて優先順位づけする。
[参考] 資産⽬録（情報資産管理台帳）の作成に当たっては、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年)のP47を参照することが可能である。また、対象の絞込みに関するより詳細な説明は、「制御システムのセキュリティリスク分析ガイ
ド 第2版」(IPA, 2018年)における 3.1.4. 分析対象とする資産の絞り込み を参照することが可能である。

D-2-21NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維持・管理する。
・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す
Advanced

3.8.8

所有者がいないとき、このようなデバイスの使⽤を禁⽌する。

・MP-7(1) メディアの利⽤
所有者以外の利⽤を禁⽌・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。

・システムを構成するハードウェア、ソフト
ポータブルストレージデバイスに識別可能なる。

・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切

ウェア及びその管理情報（例︓名称、バーに把握し、管理する。
・組織は、⾃組織の情報システムや産業⽤制御システムを構成する資産（ハードウェア、ソフトウェア、情報）を特定し、各々の資産

CPS.AM-1 ジョン、ネットワークアドレス、管理責任に管理責任者を割り当てた上で、⽬録として⼀覧を⽂書化する。

者、ライセンス情報）の⼀覧を作成し、適切・資産は保有するものすべてを⼀覧化することが望ましいが、対象が膨⼤な場合、分析対象の統合（グループ化）と分析対象からの除に管理する。

外を通じて、対象とする資産を絞り込むことを検討する。
Basic

・組織は、洗い出した資産を、⾃組織の事業運営における重要度に応じて優先順位づけする。
[参考] 資産⽬録（情報資産管理台帳）の作成に当たっては、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年)のP47を参照することが可能である。また、対象の絞込みに関するより詳細な説明は、「制御システムのセキュリティリスク分析ガイ

3.8.9

保存場所にあるバックアップCUI の機密性を保護する。

・構成要素（IoT機器、通信機器、回線等）に
・CP-9 情報システムのバックアップ

Advanced

CPS.IP-4 対し、定期的なシステムバックアップを実施
Basic

し、テストする。

ド 第2版」(IPA, 2018年)における 3.1.4. 分析対象とする資産の絞り込み を参照することが可能である。
・組織は、⾃組織のシステムドキュメントのバックアップを定めたタイミングや頻度で実施する。
・組織は、保管拠点におけるバックアップ情報の機密性・完全性・可⽤性を保護する。
・組織は、⾃組織の情報システム及び産業⽤制御システムに含まれるユーザレベル・システムレベルの情報のバックアップを定めたタ
イミングや頻度で実施する。
・組織は、要員が⾃組織内で配置転換／異動になった場合に、要員の配置転換／異動によりシステムや⼊退室管理等に関するアクセス

⼈的セキュ

権限の変更を実施する。

リティ・要員が組織を離れるときの影響を最⼩限に抑えるために、運⽤と保守を含む供給者関係の重要な役割について、現担当者のバック
Advanced

3.9.1

CUI を含む組織のシステムへのアクセスを許可する前に、個⼈を審査する。

・PS-4 要員の解雇

CPS.IP-9

・PS-5 ⼈事異動

・組織は、⾃組織のシステムに対するアクセスの変更等の再審査が必要な条件を定め、要員の再審査を実施する。
・組織は、要員の退職時に、情報セキュリティをトピックとした退職者⾯接を実施する。

・⼈の異動に伴い⽣じる役割の変更に対応し・PS-3 要員に対する審査アップ要員を指定する。

・組織は、機密情報を扱う要員に対しては特に、採⽤から退職に⾄るまでのサイクル全体に渡り、セキュリティ上の責任に対処する。

た対策にセキュリティに関する事項（例︓アクセス権限の無効化、従業員に対する審査）・組織は、雇⽤条件においてセキュリティに係る要員の責任について明記する。雇⽤終了後の情報漏えい等を抑⽌するため、この責任を含める。

は、雇⽤終了後の妥当な期間に渡って持続するよう記載する。
・組織は、⾃組織のシステムに対するアクセスを許可する前に、要員を審査する。
Basic

・組織は、要員の退職時に以下を実施する。
-⾃組織のシステムに対するアクセスを⼀定期間内に無効にする。
-職員に関連する認証及びクレデンシャルを無効にする。
-セキュリティに関連するシステム関連の所有物をすべて回収する。
-退職する個⼈が管理していた組織の情報と情報システムに対するアクセスを保持する。
・組織は、要員が⾃組織内で配置転換／異動になった場合に、要員の配置転換／異動によりシステムや⼊退室管理等に関するアクセス
権限の変更を実施する。
・要員が組織を離れるときの影響を最⼩限に抑えるために、運⽤と保守を含む供給者関係の重要な役割について、現担当者のバック

Advanced

離職または配置転換等の⼈事措置の間と後
3.9.2

で、CUI 及びCUI を含む組織のシステムが保 ・PS-4 要員の解雇
護されることを保証する。

・PS-5 ⼈事異動

CPS.IP-9

・組織は、⾃組織のシステムに対するアクセスの変更等の再審査が必要な条件を定め、要員の再審査を実施する。
・組織は、要員の退職時に、情報セキュリティをトピックとした退職者⾯接を実施する。

・⼈の異動に伴い⽣じる役割の変更に対応し・PS-3 要員に対する審査アップ要員を指定する。

・組織は、機密情報を扱う要員に対しては特に、採⽤から退職に⾄るまでのサイクル全体に渡り、セキュリティ上の責任に対処する。

た対策にセキュリティに関する事項（例︓アクセス権限の無効化、従業員に対する審査）・組織は、雇⽤条件においてセキュリティに係る要員の責任について明記する。雇⽤終了後の情報漏えい等を抑⽌するため、この責任を含める。

は、雇⽤終了後の妥当な期間に渡って持続するよう記載する。
・組織は、⾃組織のシステムに対するアクセスを許可する前に、要員を審査する。
Basic

・組織は、要員の退職時に以下を実施する。
-⾃組織のシステムに対するアクセスを⼀定期間内に無効にする。
-職員に関連する認証及びクレデンシャルを無効にする。
-セキュリティに関連するシステム関連の所有物をすべて回収する。
-退職する個⼈が管理していた組織の情報と情報システムに対するアクセスを保持する。

D-2-22NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

物理的保護
組織のシステム、装置、及びそれぞれの運⽤
3.10.1 環境への物理的アクセスを許可された個⼈に制限する。

・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアに対するアクセスリストの維持管理及びアクセスに必要な許可証明書

・IoT機器、サーバ等の設置エリアの施錠、⼊・PE-2 物理的アクセス権限
・PE-5 表⽰メディアへのアクセス制御

対策例

対策要件

CPS.AC-2

・PE-6 物理的アクセスの監視

退室管理、⽣体認証等の導⼊、監視カメラの設置、持ち物や体重検査等の物理的セキュリを発⾏する。
Basic

要求事項及びリスクアセスメントの結果に応じてアクセス制御を実施する。
・組織は、物理的セキュリティ境界内における⾃組織または⾃組織外の⼀時的に認可された⼊場者に対して、認可された関係者の付きティ対策を実施する。

添い⼜は監視カメラ等により作業内容をモニタリングできるようにする。
・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。

・IoT機器、サーバ等の設置エリアの施錠、⼊CPS.AC-2

・組織は、⾃組織の施設においてセキュリティを保つべき物理的セキュリティ境界を定め、境界内に設置している資産のセキュリティ

退室管理、⽣体認証等の導⼊、監視カメラの設置、持ち物や体重検査等の物理的セキュリ

Advanced

ティ対策を実施する。

・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。

・監視カメラ等による常時モニタリングは実施していないが、⼊退室管理等により物理アクセスログを取得している場合、定期的に、また、インシデントあるいはその兆候が顕在化した際に監査ログをレビューする。

3.10.2

物理的設備を保護し、監視し、組織のシステ
ムの基盤をサポートする。

・⾃組織の保護すべき資産に直接アクセス可能なエリア（執務室等）において、⾃組織の担当者が来客に付き添って、来客の⾏動をモ

・PE-2 物理的アクセス権限

ニタリングする。

・PE-5 表⽰メディアへのアクセス制御
・IoT機器、サーバ等の重要性を考慮し、適切

・PE-6 物理的アクセスの監視

Advanced

・組織は、IoT機器、サーバ等が設置されている⾃組織の業務上重要な施設に対する物理アクセスを監視カメラ等によりモニタリング
することによって、物理的なセキュリティインシデントを早期に検出し、対応できるようにする。

CPS.CM-2 な物理的アクセスの設定及び記録、監視を実・⾃組織のオペレーションにとって重要度が⾼いと考えられるIoT機器、サーバ等のモノであるが、遠隔地に存在している等の理由に施する。

より上記の物理的セキュリティ対策の実装が難しいと考えられる場合、耐タンパー性の⾼い機器を利⽤する(CPS.DS-6)等して、機器⾃体の物理セキュリティ特性を⾼めることで対策することを検討する。
・コスト等の問題により、物理的アクセスを制御すべきエリアに⼊退室管理、映像監視等の対策が実施できない場合、⾃組織の担当者
Basic

訪問者をエスコートし、訪問者の活動を監視する。

・PE-3 物理的アクセス制御

CPS.AC-2

退室管理、⽣体認証等の導⼊、監視カメラの設置、持ち物や体重検査等の物理的セキュリを発⾏する。
Basic・組織は、⾃組織の施設においてセキュリティを保つべき物理的セキュリティ境界を定め、境界内に設置している資産のセキュリティ
要求事項及びリスクアセスメントの結果に応じてアクセス制御を実施する。
・組織は、物理的セキュリティ境界内における⾃組織または⾃組織外の⼀時的に認可された⼊場者に対して、認可された関係者の付きティ対策を実施する。

添い⼜は監視カメラ等により作業内容をモニタリングできるようにする。
・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。

・IoT機器、サーバ等の設置エリアの施錠、⼊CPS.AC-2

・施設内の、⼀般の⼈がアクセスできない指定エリアに対するアクセスを制御するための、⼊退室管理対策を実施する。
・組織は、個⼈の物理的なアクセスを許可する前に、当該要員のアクセス権限を確認し、⼊退室時のログを保持する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアに対するアクセスリストの維持管理及びアクセスに必要な許可証明書

・IoT機器、サーバ等の設置エリアの施錠、⼊3.10.3が来客に付き添うなどして⼈⼿による代替的な対策を実施する。

退室管理、⽣体認証等の導⼊、監視カメラの設置、持ち物や体重検査等の物理的セキュリ

Advanced

ティ対策を実施する。

・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。

・監視カメラ等による常時モニタリングは実施していないが、⼊退室管理等により物理アクセスログを取得している場合、定期的に、また、インシデントあるいはその兆候が顕在化した際に監査ログをレビューする。
・⾃組織の保護すべき資産に直接アクセス可能なエリア（執務室等）において、⾃組織の担当者が来客に付き添って、来客の⾏動をモ

3.10.4 物理的アクセスの監査ログを維持する。

ニタリングする。

・PE-3 物理的アクセス制御
・IoT機器、サーバ等の重要性を考慮し、適切

Advanced

・組織は、IoT機器、サーバ等が設置されている⾃組織の業務上重要な施設に対する物理アクセスを監視カメラ等によりモニタリング
することによって、物理的なセキュリティインシデントを早期に検出し、対応できるようにする。

CPS.CM-2 な物理的アクセスの設定及び記録、監視を実・⾃組織のオペレーションにとって重要度が⾼いと考えられるIoT機器、サーバ等のモノであるが、遠隔地に存在している等の理由に施する。

より上記の物理的セキュリティ対策の実装が難しいと考えられる場合、耐タンパー性の⾼い機器を利⽤する(CPS.DS-6)等して、機器⾃体の物理セキュリティ特性を⾼めることで対策することを検討する。
・コスト等の問題により、物理的アクセスを制御すべきエリアに⼊退室管理、映像監視等の対策が実施できない場合、⾃組織の担当者
Basic

が来客に付き添うなどして⼈⼿による代替的な対策を実施する。
・施設内の、⼀般の⼈がアクセスできない指定エリアに対するアクセスを制御するための、⼊退室管理対策を実施する。
・組織は、個⼈の物理的なアクセスを許可する前に、当該要員のアクセス権限を確認し、⼊退室時のログを保持する。

D-2-23

NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

CPS.AC-2

対策例

対策要件
・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監視カメラの設置、持ち物や体重検査等の物理的セキュリ

・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。
Advanced

ティ対策を実施する。

・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。

・監視カメラ等による常時モニタリングは実施していないが、⼊退室管理等により物理アクセスログを取得している場合、定期的に、また、インシデントあるいはその兆候が顕在化した際に監査ログをレビューする。
・⾃組織の保護すべき資産に直接アクセス可能なエリア（執務室等）において、⾃組織の担当者が来客に付き添って、来客の⾏動をモ

3.10.5

物理的アクセスデバイスを制御し、管理する。

ニタリングする。

・PE-3 物理的アクセス制御
・IoT機器、サーバ等の重要性を考慮し、適切

Advanced

・組織は、IoT機器、サーバ等が設置されている⾃組織の業務上重要な施設に対する物理アクセスを監視カメラ等によりモニタリング
することによって、物理的なセキュリティインシデントを早期に検出し、対応できるようにする。

CPS.CM-2 な物理的アクセスの設定及び記録、監視を実・⾃組織のオペレーションにとって重要度が⾼いと考えられるIoT機器、サーバ等のモノであるが、遠隔地に存在している等の理由に施する。

より上記の物理的セキュリティ対策の実装が難しいと考えられる場合、耐タンパー性の⾼い機器を利⽤する(CPS.DS-6)等して、機器⾃体の物理セキュリティ特性を⾼めることで対策することを検討する。
・コスト等の問題により、物理的アクセスを制御すべきエリアに⼊退室管理、映像監視等の対策が実施できない場合、⾃組織の担当者
Basic

が来客に付き添うなどして⼈⼿による代替的な対策を実施する。
・施設内の、⼀般の⼈がアクセスできない指定エリアに対するアクセスを制御するための、⼊退室管理対策を実施する。
・組織は、個⼈の物理的なアクセスを許可する前に、当該要員のアクセス権限を確認し、⼊退室時のログを保持する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムに関するリモートアクセスについて、⾃動モニタリングまたは⾃動制御を実施する。
・情報システム及び産業⽤制御システムは、管理されたアクセスポイントによりルーティングされたリモートアクセスだけを許可する。

代替の作業サイト(例、テレワークのサイト)
3.10.6 でのCUI に対する防護対策を強制(実施)す・PE-17 代替作業拠点

CPS.AC-3

る。

・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

・情報システムは、定めた要求に基づく⽬的のみリモートアクセスによる特権コマンドの実⾏を認可する。

H-Advanced ・情報システムは、機密性の⾼いデータを扱うシステムにアクセスしたユーザがリモートアクセスによって特権コマンドを実⾏した理由とともに、リモートアクセスによってセキュリティ関連情報にアクセスした理由を記録する。
・情報システムは、機密性の⾼いデータを扱うシステムへの無線アクセスは、ユーザ及び機器による認証を暗号化とともに⽤いることによって保護する。
・情報システムは、機密性の⾼いデータを扱う可能性のあるネットワークでつながっているホワイトボード、カメラ、マイク等の連携

リスクアセする機器をリモートから活性化することを禁⽌し、機器の利⽤者に利⽤中の機器の兆候を提供する。
・組織は、情報システム、または情報システムが稼働する環境に⼤きな変化があった場合（新たな脅威や脆弱性の特定を含む）、もし・構成要素の管理におけるセキュリティルー

スメント

3.11.1組織のシステムの運⽤と関連するCUI の処ルが、実装⽅法を含めて有効かを確認するた

理、ストレージ、または送信からの結果とし

め、定期的にリスクアセスメントを実施すて組織運⽤（ミッション、職務、イメージ、または⾵評を含めて）、組織の資産、及び個・RA-3 リスクアセスメント

CPS.RA-4

る。
・IoT機器及びIoT機器を含んだシステムの企⼈に対するリスクを定期的にアセスメントす

画・設計の段階から、受容できない既知のセる。

キュリティリスクの有無を、セーフティに関くは情報システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。
・組織は、新たにIoT機器を利⽤したシステムを企画・設計する場合、既存の資産や新たに導⼊するシステムにおける守るべき資産を特定し、システムの利⽤⽤途や構成に応じて、セキュリティ対策をまとめる。特に、ライフサイクルの⻑いモノ、システムや、⾼い可Advanced

⽤性を求められるモノ、システムを扱う場合は、設計以前の段階におけるセキュリティ対策の考慮が特に重要である。
・組織は、調達する製品・サービスに対するセキュリティ対策を検討する際、当該製品・サービスの重要度に対策の⽔準が⾒合うもの
であることを確実にする。
[参考] システム及びモノにおけるセキュリティの要求仕様を検討するにあたり、「情報システムに係る政府調達におけるセキュリするハザードの観点も踏まえて確認する。

ティ要件策定マニュアル」(NISC, 2015年)、「⾮機能要求グレード」(IPA, 2018年)を参考にすることが可能である。
・組織は、⾃組織が管理する産業⽤制御システムの構成要素（IoT機器を含む）に対して、計画停⽌時等に脆弱性診断を実施し、⾃組織の所有するシステムに存在する脆弱性を認識し、⼀覧化する。
・組織は、ツールを⽤いて脆弱性診断を⾏う場合、診断すべきシステムの脆弱性データベースをすぐに更新できる脆弱性診断ツールを
H-Advanced 使⽤することが望ましい。

・組織は、スキャンされたシステムの脆弱性を定期的に、あるいは新たな脆弱性が特定され、報告された場合に更新する。
・組織は、指定された脆弱性スキャン活動に関して、対象システムのコンポーネントに対する特権的アクセスの許可制度を実施する。
・組織は、情報システム及びアプリケーションの脆弱性のスキャンを定期的に、あるいは、それらのシステム／アプリケーションに影響を及ぼす新たな脆弱性が確認され、報告された場合に実施する。

定期的に、及び組織のシステムとアプリケー
3.11.2

ションに影響する新しい脆弱性が識別される
ときに、それらのシステム及びアプリケー
ションの脆弱性についてスキャンする。

・RA-5 脆弱性のスキャン
・RA-5(5) 脆弱性のスキャン
特権アクセス・組織は、脆弱性スキャンにツールを⽤いる。以下を満たす標準的な⼿法を使⽤することによって、脆弱性管理プロセスの⼀部を⾃動・⾃組織の管理しているIoT機器、サーバ等に化できることが求められる。

CPS.CM-7 対して、定期的に対処が必要な脆弱性の有無- プラットフォーム、ソフトウェアの⽋陥及び誤った設定を列挙するを確認する。

- チェックリストとテスト⼿順をフォーマットする
Advanced- 脆弱性による影響を評価する・組織は、リスクアセスメントを通じて、特定された脆弱性を適切な期間中に修正する。
・上記のプロセスから得た情報を組織内の他のシステムの管理者と共有することによって、他の情報システム内の同様の脆弱性を把握し、必要に応じて修正する。
[参考] 脆弱性情報の取得に際して、Japan Vulnerability Notes(https://jvn.jp/)等の情報源を参照することが可能である。また、脆弱性の影響の⼤きさを評価する指標として、CVSS(IPAによる解説︓https://www.ipa.go.jp/security/vuln/CVSS.html)を参考とす
ることが可能である。

Basic

D-2-24

・組織は、情報システム及びアプリケーションの脆弱性のスキャンを定期的に実施する。

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・組織は、セキュリティリスク対応のプロセスについての⽂書化した情報を安全に保管する。
・組織は、リスクアセスメントの結果に応じて対応策を選定する際、実施する対応策及び当該対応策を採⽤する理由を⽂書化することが望ましい。

・リスクアセスメントに基づき、発⽣し得る・組織は、対応策の適⽤等に関して、セキュリティリスク対応計画を策定し、リスク所有者の承認を得る。

セキュリティリスクに対する対応策の内容を明確に定め、対応の範囲や優先順位を整理しCPS.RA-6

た結果を⽂書化する。

Advancedとして伝達する。
・組織は、IoT機器を含むシステムの導⼊時に、要求仕様や契約段階で定めたセキュリティ対策が実施されているかを受け⼊れ検査な明したセキュリティ及び関連するセーフティ

どで確認する。もし、不明な点があれば、外部事業者に確認する。

のリスクに対して適宜対応する。

・組織は、リスクアセスメントの結果を考慮して、対象とするリスクへの対応策を選定する。
Basic

3.11.3する。

いるかどうかを確認する。
・CPS.RA-4で抽出した、IoT機器を含む新しいシステムにおける必要なセキュリティ対策について、然るべき外部事業者に要求仕様

・IoT機器及びIoT機器を含んだシステムの企
画・設計の段階におけるアセスメントにて判

リスクのアセスメントに従い、脆弱性を修正・組織は、セキュリティリスク対応計画をレビューし、当該計画が⾃組織全体のリスクマネジメント戦略における優先順位に適合して・組織は、セキュリティリスク対応の実施計画を策定する。
・セキュリティリスクの受容について、リスク所有者の承認を得る。
・組織は、情報システム及びアプリケーションの脆弱性のスキャンを定期的に、あるいは、それらのシステム／アプリケーションに影・RA-5 脆弱性のスキャン響を及ぼす新たな脆弱性が確認され、報告された場合に実施する。
・組織は、脆弱性スキャンにツールを⽤いる。以下を満たす標準的な⼿法を使⽤することによって、脆弱性管理プロセスの⼀部を⾃動化できることが求められる。
- プラットフォーム、ソフトウェアの⽋陥及び誤った設定を列挙する- チェックリストとテスト⼿順をフォーマットする

・⾃組織の管理しているIoT機器、サーバ等に
CPS.CM-7 対して、定期的に対処が必要な脆弱性の有無

Advanced- 脆弱性による影響を評価する・組織は、リスクアセスメントを通じて、特定された脆弱性を適切な期間中に修正する。
・上記のプロセスから得た情報を組織内の他のシステムの管理者と共有することによって、他の情報システム内の同様の脆弱性を把握を確認する。

し、必要に応じて修正する。
[参考] 脆弱性情報の取得に際して、Japan Vulnerability Notes(https://jvn.jp/)等の情報源を参照することが可能である。また、脆弱性の影響の⼤きさを評価する指標として、CVSS(IPAによる解説︓https://www.ipa.go.jp/security/vuln/CVSS.html)を参考とす
ることが可能である。
Basic・組織は、情報システム及びアプリケーションの脆弱性のスキャンを定期的に実施する。
・組織は、セキュリティ評価を適切かつ計画的に実施するため、以下に⽰す事項を含めたセキュリティ評価計画を策定した上で、セセキュリ

キュリティ評価を実施する。

ティアセス
管理策がそれらのアプリケーションにおいて ・CA-2 セキュリティア評価

メント
3.12.1

有効であるかどうかを決定するために、組織 ・CA-5 ⾏動計画とマイルストンのシステムにおけるセキュリティ管理策を定 ・CA-7 継続的な監視期的にアセスメントする。

・セキュリティインシデントへの対応、内部
CPS.IP-7

及び外部からの攻撃に関する監視／測定／評

Advanced-セキュリティ評価結果の取りまとめ⽅法とその活⽤⽅法
・組織は、セキュリティ対策が正しく実装されているか及び運⽤されているかに加え、セキュリティ対策が期待された成果を上げていBasic

・組織は、リスクアセスメントの結果に応じて対応策を選定する際、実施する対応策及び当該対応策を採⽤する理由を⽂書化すること

セキュリティリスクに対する対応策の内容を

3.12.2 性を軽減し、または取り除くために設計された⾏動計画を策定し、実施する。

・CA-2 セキュリティア評価
・CA-5 ⾏動計画とマイルストン
・CA-7 継続的な監視・PL-2 システムセキュリティ計画が望ましい。

明確に定め、対応の範囲や優先順位を整理しCPS.RA-6

た結果を⽂書化する。
・IoT機器及びIoT機器を含んだシステムの企
画・設計の段階におけるアセスメントにて判明したセキュリティ及び関連するセーフティのリスクに対して適宜対応する。

D-2-25

るかに関する定期的に評価（セキュリティ評価）を実施し、管理責任者へ報告する。
・組織は、セキュリティ評価の結果に基づき、セキュリティ対策の改善を実施する。
・組織は、セキュリティリスク対応のプロセスについての⽂書化した情報を安全に保管する。

・リスクアセスメントに基づき、発⽣し得る⽋陥を修正し、組織のシステムにおける脆弱-セキュリティ対策の有効性を図るために⽤いる評価⼿順-セキュリティ評価を実施する環境や実施体制

価結果から教訓を導き出し、資産を保護する
プロセスを改善する。

・PL-2 システムセキュリティ計画-セキュリティ評価の対象とするセキュリティ対策

・組織は、対応策の適⽤等に関して、セキュリティリスク対応計画を策定し、リスク所有者の承認を得る。
Advanced

・組織は、セキュリティリスク対応計画をレビューし、当該計画が⾃組織全体のリスクマネジメント戦略における優先順位に適合しているかどうかを確認する。
・CPS.RA-4で抽出した、IoT機器を含む新しいシステムにおける必要なセキュリティ対策について、然るべき外部事業者に要求仕様として伝達する。
・組織は、IoT機器を含むシステムの導⼊時に、要求仕様や契約段階で定めたセキュリティ対策が実施されているかを受け⼊れ検査などで確認する。もし、不明な点があれば、外部事業者に確認する。

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・組織は、産業⽤制御システムのようにモノの制御等を伴うような、フィジカル空間に影響を及ぼす可能性のある新たな機器やシステムを開発する場合には、従来の製品や他の事故事例を収集・分析し、セキュリティの観点も含めてセーフティに関わるハザードを特定する。
・組織は、主に産業⽤制御システムにおいて、ハザードによって危害に⾄る状況を分析し、発⽣しやすさや被害の深刻度を明らかにす
H-Advanced

ることで、⽣じるリスクを⾒積もる。その際、セキュリティの問題に起因するハザードの有無を確認することが望ましい。
・組織は、産業⽤制御システム、またはそれが稼働する環境に⼤きな変化があった場合、もしくは産業⽤制御システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。
[参考] セーフティ設計におけるハザードの特定と分析については、「つながる世界のセーフティ＆セキュリティ設計⼊⾨」(IPA,2015年)の4.2にて具体的な⼿法が記載されており、参照することが可能である。
・組織は、情報システム、または情報システムが稼働する環境に⼤きな変化があった場合（新たな脅威や脆弱性の特定を含む）、もし
くは情報システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。
・組織は、新たにIoT機器を利⽤したシステムを企画・設計する場合、既存の資産や新たに導⼊するシステムにおける守るべき資産を特定し、システムの利⽤⽤途や構成に応じて、セキュリティ対策をまとめる。特に、ライフサイクルの⻑いモノ、システムや、⾼い可・構成要素の管理におけるセキュリティルー

Advanced

3.12.3

管理策の継続的な有効性を保証するため、継 ・CA-5 ⾏動計画とマイルストン
続的にセキュリティ管理策を監視する。

・CA-7 継続的な監視

め、定期的にリスクアセスメントを実施す
CPS.RA-4

・PL-2 システムセキュリティ計画

・組織は、調達する製品・サービスに対するセキュリティ対策を検討する際、当該製品・サービスの重要度に対策の⽔準が⾒合うもの
であることを確実にする。

ルが、実装⽅法を含めて有効かを確認するた・CA-2 セキュリティア評価

⽤性を求められるモノ、システムを扱う場合は、設計以前の段階におけるセキュリティ対策の考慮が特に重要である。

[参考] システム及びモノにおけるセキュリティの要求仕様を検討するにあたり、「情報システムに係る政府調達におけるセキュリ

る。

ティ要件策定マニュアル」(NISC, 2015年)、「⾮機能要求グレード」(IPA, 2018年)を参考にすることが可能である。

・IoT機器及びIoT機器を含んだシステムの企・組織は、情報システム及び産業⽤制御システムに対するセキュリティリスクアセスメントのプロセスを定め，定期的（例えば、重要画・設計の段階から、受容できない既知のセ度の⾼い情報システムは年に1回）に適⽤する。

キュリティリスクの有無を、セーフティに関- セキュリティのリスク基準を確⽴し，維持する。

するハザードの観点も踏まえて確認する。

- 以下の⽅法によりセキュリティリスクを特定する。
1) 分析対象を明確化する
2) インシデント(周辺状況の変化を含む)並びにこれらの原因を特定する- 以下の⽅法により、セキュリティリスクを分析する。
1) 上記で特定されたリスクが実際に⽣じた場合に起こり得る結果について評価する
2) 上記で特定されたリスクの現実的な起こりやすさについて評価する
Basic- リスク基準を参照し、リスクのレベルを決定し、優先順位付けする・組織は，セキュリティリスクアセスメントのプロセスを⽂書化し、保管する。
・組織は、システムにセキュリティインシデントが発⽣した際に想定される被害の⼤きさやセキュリティインシデントが発⽣する蓋然性（例︓インターネットにつながっているか）、リスクアセスメント実施に係る⼯数等の観点を考慮し、システムを優先順位化してリ
スクアセスメントの頻度等を設定することが望ましい。
[参考] セキュリティリスクアセスメントの⼿法として、「資産ベース」の⼿法及び「事業被害ベース」の⼿法があることが知られている。資産ベースの⼿法でリスクアセスメントを実施する場合は「中⼩企業の情報セキュリティガイドライン 第3版」（IPA, 2019年）や「制御システムのセキュリティリスク分析ガイド 第2版」(IPA, 2018年) 等を、事業被害ベースの⼿法を実施する場合は「制御システムのセキュリティリスク分析ガイド 第2版」(IPA, 2018年)等を参照することができる。
・システムは、⾃組織が利⽤している外部情報システムサービスを⼀覧化し、リアルタイムで利⽤しているサービスとともに利⽤者・機器等を管理している。

H-Advanced

CPS.AM-5

・⾃組織の資産が接続している外部情報シス

3.12.4

ムとの関係または他のシステムへのコネク

・組織は、外部の情報システムを所有、運⽤する他の組織に対して、下記を許可するうえでの条件を設定する。
Advanced

キュリティ要件の実装⽅法、及び他のシステ ・CA-2 セキュリティア評価
・CA-5 ⾏動計画とマイルストン

ションについて記述した、システムセキュリ ・CA-7 継続的な監視・組織は、リスクアセスメントの結果に応じて対応策を選定する際、実施する対応策及び当該対応策を採⽤する理由を⽂書化すること

セキュリティリスクに対する対応策の内容をる。

が望ましい。

明確に定め、対応の範囲や優先順位を整理しCPS.RA-6

た結果を⽂書化する。
・IoT機器及びIoT機器を含んだシステムの企
画・設計の段階におけるアセスメントにて判明したセキュリティ及び関連するセーフティのリスクに対して適宜対応する。

D-2-26a. 外部の情報システムから⾃組織の情報システムにアクセスすること
b. 外部の情報システムを使⽤して⾃組織の管理下にある情報を処理または保存もしくは伝送すること
・外部のシステム上に接続された⾃組織が所有するストレージの許可された個⼈による使⽤を制限する。
・組織は、セキュリティリスク対応のプロセスについての⽂書化した情報を安全に保管する。

・リスクアセスメントに基づき、発⽣し得るティ計画を策定、⽂書、及び定期的に更新す ・PL-2 システムセキュリティ計画

・組織は、外部プロバイダによる情報システムサービスを使⽤する際に必要な機能、ポート、プロトコル及び他のサービスを明確にする。

テムの⼀覧を作成し、適切に管理する。

システムの境界、システムの運⽤環境、セ・システムは、利⽤を許可していない外部情報システムサービスを検知した場合、システム管理者へ通知するメカニズムを利⽤する。

・組織は、対応策の適⽤等に関して、セキュリティリスク対応計画を策定し、リスク所有者の承認を得る。
Advanced

・組織は、セキュリティリスク対応計画をレビューし、当該計画が⾃組織全体のリスクマネジメント戦略における優先順位に適合しているかどうかを確認する。
・CPS.RA-4で抽出した、IoT機器を含む新しいシステムにおける必要なセキュリティ対策について、然るべき外部事業者に要求仕様として伝達する。
・組織は、IoT機器を含むシステムの導⼊時に、要求仕様や契約段階で定めたセキュリティ対策が実施されているかを受け⼊れ検査などで確認する。もし、不明な点があれば、外部事業者に確認する。

NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・産業⽤制御システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通

システムと

知する。

通信の保護
・⾃組織外への不適切な通信を防ぐため、保H-Advanced

・組織/情報システムは、定常的なシステムの通信状況やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリティアラートを集約したプロファイルを作成、活⽤することで、未知の脅威や不審な振る舞い（通信）を検知できるようにする。

CPS.DS-9 護すべき情報を⾃組織外へ送信する通信を適・共有システム資源を介した、不正な予期せぬ情報の転送を防⽌する。
・情報システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知す

切に制御する。
Advancedる。
・組織は、公開された新たな攻撃動向、マルウェア挙動情報や悪性IP アドレス／ドメイン情報などの情報（外部インテリジェンス）を収集し、必要に応じて危険性の⾼いIPアドレスやドメインへの通信を遮断する等の対応を実施する。
・情報システムは、管理されたインターフェース上で認証されたプロキシサーバー経由で、通信を宛て先IPアドレスの属するネット

H-Advanced

外部の境界及びシステムの鍵となる内部境界
3.13.1における通信 (即ち、組織のシステムによっ・SC-7 境界保護て送信または受信される情報) を監視し、制・SA-8 セキュリティエンジニアリングの原則

ワークにルーティングする。
・情報システム及び産業⽤制御システムは、モバイルコードの使⽤を管理し、監視する。
・情報システムは、⾳声や映像の伝送に利⽤されるプロトコル（例︓VoIP）の使⽤を管理し、監視する。
・組織は、産業⽤制御システムと情報システムとの境界において通信をモニタリングし、制御する。

御し、保護する。

・組織は、インターネットなどの外部ネットワークと社内ネットワークの中間に内部ネットワークへのアクセスを隔離されたネット
ワーク上のセグメント（DMZ: ⾮武装地帯）を構築する。
・組織のセキュリティアーキテクチャに従って配備された境界保護装置によって構成される管理されたインターフェースを介しての・組織内のネットワークと広域ネットワーク

み、外部ネットワークまたはシステムに接続する。

CPS.CM-1 の接点において、ネットワーク監視・制御、
アクセス監視・制御を実施する。

Advanced

・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール
等）を必ず経由させる。
・組織は、個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・組織は、特定の送信元、あるいは多数の送信元からの⼤量の通信がないかをシステムの外部境界及びシステム内の主要な内部境界にてモニタリングし、必要に応じて、特定IPアドレスからの通信を遮断するなど、適切な対応を実施する。

Basic

組織のシステム内の有効な情報セキュリティ
3.13.2

・組織は、情報システムの外部境界において通信をモニタリングし、制御する。
・組織は、システムを構築するに当たり仕様書、設計、開発、導⼊及び変更に、システムのセキュリティエンジニアリング原則を適⽤を促進するような、アーキテクチャ設計、ソ・SC-7 境界保護フトウェア開発⼿法、及びシステムエンジニ

・SA-8 セキュリティエンジニアリングの原則

CPS.IP-3

・システムを管理するためのシステム開発ラ
イフサイクルを導⼊する。

Basic

アリングの原則を採⽤する。

する。

・組織は、アクセス権限設定等のセキュリティ機能を利⽤する管理者を明⽰し、⾃組織のシステムにおける特権アカウントを制限する。
・情報システムは、特権的機能の使⽤をチェックするため、システムが監査するメカニズムを導⼊する。
・情報システムは、⾮特権ユーザによって変更されて実装されたセキュリティ対策を無効にするとともに回避・変更する等、システム
H-Advanced が⾮特権ユーザによる特権的機能の実⾏を禁⽌する。

・組織は、セキュリティインシデントによる被害を最⼩化するため、有事においてシステム管理者の権限を利⽤できるユーザを最少化させることができる。

3.13.3 利⽤者機能をシステム管理機能と分離する。 ・SC-2 アプリケーションの分離

CPS.AC-5

・職務及び責任範囲（例︓ユーザー／システ

・組織は、セキュリティインシデントによる被害を最⼩化するため、システム管理者であっても、サーバの重要なサービスや保護されム管理者)を適切に分離する 。

たプロセスを停⽌できないようにすることができる。
・組織は、⾃組織の情報システム及び産業⽤制御システムにおいて職務分離(例︓ユーザ/システム管理者)を踏まえたアクセス制御を実施する。
・組織は、特定の職務権限に対して最⼩権限の原則を採⽤する。
Advanced- ⼀般のユーザアカウントの権限と、特権アカウントの権限を分離する(⾮セキュリティ機能を利⽤する場合には、⾮特権アカウントでの利⽤を要求する。)- ⾃らの担当外の職務に対する権限を最⼩とする・組織は、担当者によって割り当てられた職務を分離し、明⽂化する。
・産業⽤制御システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通

3.13.4共有システム資源を介した、不正な予期せぬ情報の転送を防⽌する。

知する。

・⾃組織外への不適切な通信を防ぐため、保・SC-4 残存情報

CPS.DS-9 護すべき情報を⾃組織外へ送信する通信を適切に制御する。

H-Advanced

・組織/情報システムは、定常的なシステムの通信状況やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリティアラートを集約したプロファイルを作成、活⽤することで、未知の脅威や不審な振る舞い（通信）を検知できるようにする。
・共有システム資源を介した、不正な予期せぬ情報の転送を防⽌する。

D-2-27

NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、⾃組織のシステムを構成するネットワークの内部における境界について通信をモニタリン
グし、制御する。
・機密性の⾼いデータを取り扱う⾃組織のシステムの繋がるネットワークについては、ネットワーク通信をデフォルトで拒否するものとし、許可した通信トラフィックのみ接続可能とするメカニズムを整備する。
H-Advanced ・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理的に分離する。

・データフロー制御ポリシーを定め、それに・機密性の⾼いデータを取り扱う⾃組織の情報システムが遠隔地にある装置とコネクションを確⽴している場合、その装置がシステム従って適宜ネットワークを分離する（例︓開との間でローカル接続を複数同時に確⽴するのを阻⽌すると同時に、別の接続によって外部ネットワークのリソースにアクセスできな

CPS.AC-7 発・テスト環境と実運⽤環境、IoT機器を含む

いようにする。
・組織は、情報システム及び産業⽤制御システム内でデータフローが許可される範囲やシステム間におけるデータフローが許可される

環境と組織内の他の環境）等してネットワー

範囲を定めたデータフロー制御ポリシーを定め、適切に論理的あるいは物理的にネットワークを分離することで、フローの制御を実施

クの完全性を保護する。

する。
Basic

内部ネットワークから物理的にまたは論理的
3.13.5に分離される、公開アクセス可能なシステム
コンポーネント⽤には、サブネットワークを・組織は、産業⽤制御システムにおいて、制御システムのネットワークを情報システムとのネットワークから論理的あるいは物理的にセグメント化する。
[参考] 他のネットワークと物理的に離れた環境においては物理的なセグメント化を実施する、他のネットワークと物理的に近接した環境では、対策のコスト等も考慮して論理的なセグメント化を実施する等の対応が可能である。
・情報システムは、管理されたインターフェース上で認証されたプロキシサーバー経由で、通信を宛て先IPアドレスの属するネット

・SC-7 境界保護

実装する。

H-Advanced

ワークにルーティングする。
・情報システム及び産業⽤制御システムは、モバイルコードの使⽤を管理し、監視する。
・情報システムは、⾳声や映像の伝送に利⽤されるプロトコル（例︓VoIP）の使⽤を管理し、監視する。
・組織は、産業⽤制御システムと情報システムとの境界において通信をモニタリングし、制御する。
・組織は、インターネットなどの外部ネットワークと社内ネットワークの中間に内部ネットワークへのアクセスを隔離されたネット
ワーク上のセグメント（DMZ: ⾮武装地帯）を構築する。

・組織内のネットワークと広域ネットワーク

・組織のセキュリティアーキテクチャに従って配備された境界保護装置によって構成される管理されたインターフェースを介してのみ、外部ネットワークまたはシステムに接続する。

CPS.CM-1 の接点において、ネットワーク監視・制御、
アクセス監視・制御を実施する。

Advanced

・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール
等）を必ず経由させる。
・組織は、個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・組織は、特定の送信元、あるいは多数の送信元からの⼤量の通信がないかをシステムの外部境界及びシステム内の主要な内部境界にてモニタリングし、必要に応じて、特定IPアドレスからの通信を遮断するなど、適切な対応を実施する。

Basic

CPS.AC-8 な⼿順で識別されたエンティティ（ヒト／モ

識別⼦を無効にすることで、識別を管理する。
Basicノ／システム等）との通信に限定する。

・IoT機器での通信は、通信を拒否することをデフォルトとし、例外として利⽤するプロトコルを許可する。
・情報システムは、管理されたインターフェース上で認証されたプロキシサーバー経由で、通信を宛て先IPアドレスの属するネット

トラフィクを許可する(即ち、すべて拒否、例
外で許可)。

・SC-7(5) 境界保護
デフォルトで拒否／例外で許可

ワークにルーティングする。
・情報システム及び産業⽤制御システムは、モバイルコードの使⽤を管理し、監視する。
・情報システムは、⾳声や映像の伝送に利⽤されるプロトコル（例︓VoIP）の使⽤を管理し、監視する。
・組織は、産業⽤制御システムと情報システムとの境界において通信をモニタリングし、制御する。

デフォルトでネットワーク通信トラフィクを
3.13.6

・情報システム及び産業⽤制御システムは、⾃組織のIoT機器、サーバ等について、ネットワークでの接続を確⽴する前に、それらのデバイスを⼀意に識別し、認証する仕組みを備える。

H-Advanced

拒否し、また例外によってネットワーク通信

・組織は、情報システムの外部境界において通信をモニタリングし、制御する。
・組織は、⾃組織のIoT機器、サーバ等について識別⼦を割り当てるとともに、識別⼦が再利⽤することを防⽌、⼀定期間が経過した・IoT機器、サーバ等が実施する通信は、適切・組織は、インターネットなどの外部ネットワークと社内ネットワークの中間に内部ネットワークへのアクセスを隔離されたネット
ワーク上のセグメント（DMZ: ⾮武装地帯）を構築する。

・組織内のネットワークと広域ネットワーク

・組織のセキュリティアーキテクチャに従って配備された境界保護装置によって構成される管理されたインターフェースを介してのCPS.CM-1 の接点において、ネットワーク監視・制御、
アクセス監視・制御を実施する。

み、外部ネットワークまたはシステムに接続する。
Advanced

・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール
等）を必ず経由させる。
・組織は、個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・組織は、特定の送信元、あるいは多数の送信元からの⼤量の通信がないかをシステムの外部境界及びシステム内の主要な内部境界にてモニタリングし、必要に応じて、特定IPアドレスからの通信を遮断するなど、適切な対応を実施する。

D-2-28NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、⾃組織のシステムを構成するネットワークの内部における境界について通信をモニタリン

3.13.7

リモートコネクションの確⽴と同時に、外部
ネットワークの資源への何らかの他のコネク

グし、制御する。

・データフロー制御ポリシーを定め、それに

リモートデバイスが、組織のシステムとの⾮・SC-7(7) 境界保護
リモートデバイスのスピリットトンネルを禁⽌・機密性の⾼いデータを取り扱う⾃組織のシステムの繋がるネットワークについては、ネットワーク通信をデフォルトで拒否するもの

従って適宜ネットワークを分離する（例︓開とし、許可した通信トラフィックのみ接続可能とするメカニズムを整備する。

CPS.AC-7 発・テスト環境と実運⽤環境、IoT機器を含む H-Advanced ・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理ションを介して通信することを防⽌する。

環境と組織内の他の環境）等してネットワー

的に分離する。

クの完全性を保護する。

・機密性の⾼いデータを取り扱う⾃組織の情報システムが遠隔地にある装置とコネクションを確⽴している場合、その装置がシステムとの間でローカル接続を複数同時に確⽴するのを阻⽌すると同時に、別の接続によって外部ネットワークのリソースにアクセスできな
いようにする。
・組織は、選択したアルゴリズムをソフトウェア及びハードウェアへ適切に実装し、暗号化された情報の復号⼜は電⼦署名の付与に⽤いる鍵、識別コード及び主体認証情報等を保護するため、暗号モジュール試験及び認証制度に基づく認証を取得している製品を選択す
H-Advanced る。

・⾃組織の保護すべきデータを組織外へ持ち出す場合、データを適切な強度で暗号化する。
・組織は、内部メモリのデータを暗号化して保管することのできるIoT機器を利⽤する。
・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、情報（データ）を適切な強度の⽅式で暗号化

代替の物理的予防⼿段による保護がない限・SC-8 伝送する情報の完全性

3.13.8 り、持ち出し中にCUI の不正な暴露を防⽌す ・SC-8(1) 伝送する情報の完全性るために暗号学的メカニズムを実装する。

暗号学的保護または代替の物理的保護

CPS.DS-2

して保管する。CRYPTREC暗号リスト（電⼦政府推奨暗号リスト）に記載されたアルゴリズムが選択可能であれば、これを選択し、情・情報を適切な強度の⽅式で暗号化して保管

報（データ）を適切な強度の⽅式で暗号化して保管する。

する。

・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、産業⽤制御システムが取り扱う重要度の⾼い
Advanced

情報（データ）を、パフォーマンスに許容できない影響が出ない範囲で適切な強度の⽅式で暗号化して保管する。
[参考] 暗号技術検討会及び関連委員会（CRYPTREC）では、安全性及び実装性能が確認された暗号技術について、市場における利⽤
実績が⼗分であるか今後の普及が⾒込まれると判断され、当該技術の利⽤を推奨するもののリストを「電⼦政府における調達のために参照すべき暗号のリスト」（CRYPTREC暗号リスト）として公開している。組織は、暗号機能を実装すべきシステム等を調達する場
合、必要に応じて参照することが望ましい。
・組織は、新たな資産のインストールや削除の際に、または、システムのアップデートの際に、資産、構成情報の⼀覧を更新することが望ましい。

3.13.9

ブな時間の経過後に、通信セションに対応するネッ・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール

・機器等の構成管理では、ソフトウェア構成

セション終了時または定義された⾮アクティ

等）を必ず経由させる。

情報、ネットワーク接続状況（ネットワーク
・SC-10 ネットワークの切断

CPS.CM-6 接続の有無、アクセス先等）及び他のソシ

Advanced

キ、ヒト、モノ、システムとの情報の送受信

トワークコネクションを終了する。

・個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・情報システム及び産業⽤制御システムは、セッション終了後、あるいは⼀定以上の間⾮アクティブな状態が持続しているセッション

状況について、継続的に管理する。

のネットワークコネクションを終了する。
・組織は、承認されていないモノ、システム等への通信、あるいは適切でない内容を含んだ通信を検知するため、管理されたインター
フェースにおいて通信をモニタリングする。
・組織は、秘密鍵が危殆化した際に遅滞なく適切な対処を⾏うため、必要に応じて下記のような事項について⽅針及び⼿順を定めることが望ましい。
- 秘密鍵の危殆化に対応するための体制(関係者と役割、委託先との連携を含む)- 秘密鍵が危殆化した、またはその恐れがあると判断するための基準

3.13.10

組織のシステムで採⽤された暗号のための暗号鍵を確⽴し、管理する。

・送受信する情報データ、保管データする情・SC-12 暗号鍵の確⽴と管理

CPS.DS-5 報の暗号化等に⽤いる鍵を、ライフサイクル- 秘密鍵の危殆化の原因を調べること及び原因の解消を図ること
Advanced

を通じて安全に管理する。

- 当該鍵を利⽤するサービスの利⽤停⽌- 新しい鍵ペアを⽣成し、新しい鍵に対する証明書を発⾏すること- 秘密鍵の危殆化についての情報の開⽰(通知先、通知の⽅法、公表の⽅針等)[参考] 鍵管理に関するより詳細な内容については、ISO/IEC 11770規格群や、NIST SP 800-57 Part 1 Rev.4等を参照することが望
ましい。

Basic

D-2-29・組織は、全ての暗号鍵を改変及び紛失から保護することが望ましい。

NIST SP800-171 から参照される

NIST SP 800-171
ファミリ

管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・組織は、選択したアルゴリズムをソフトウェア及びハードウェアへ適切に実装し、暗号化された情報の復号⼜は電⼦署名の付与に⽤いる鍵、識別コード及び主体認証情報等を保護するため、暗号モジュール試験及び認証制度に基づく認証を取得している製品を選択す
H-Advanced る。

・⾃組織の保護すべきデータを組織外へ持ち出す場合、データを適切な強度で暗号化する。
・組織は、内部メモリのデータを暗号化して保管することのできるIoT機器を利⽤する。
・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、情報（データ）を適切な強度の⽅式で暗号化

3.13.11

CUI の機密性を保護するために使⽤されるとき、FIPS 認証された暗号を採⽤する。

・SC-13 暗号化の利⽤

CPS.DS-2

して保管する。CRYPTREC暗号リスト（電⼦政府推奨暗号リスト）に記載されたアルゴリズムが選択可能であれば、これを選択し、情・情報を適切な強度の⽅式で暗号化して保管

報（データ）を適切な強度の⽅式で暗号化して保管する。

する。

・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、産業⽤制御システムが取り扱う重要度の⾼い
Advanced

情報（データ）を、パフォーマンスに許容できない影響が出ない範囲で適切な強度の⽅式で暗号化して保管する。
[参考] 暗号技術検討会及び関連委員会（CRYPTREC）では、安全性及び実装性能が確認された暗号技術について、市場における利⽤
実績が⼗分であるか今後の普及が⾒込まれると判断され、当該技術の利⽤を推奨するもののリストを「電⼦政府における調達のために参照すべき暗号のリスト」（CRYPTREC暗号リスト）として公開している。組織は、暗号機能を実装すべきシステム等を調達する場
合、必要に応じて参照することが望ましい。
・情報システム及び産業⽤制御システムは、⾃組織のシステムに関するリモートアクセスについて、⾃動モニタリングまたは⾃動制御を実施する。
・情報システム及び産業⽤制御システムは、管理されたアクセスポイントによりルーティングされたリモートアクセスだけを許可する。

共同コンピューティングデバイスのリモート
3.13.12からの活性化を禁⽌し、使⽤中のデバイスの兆候をデバイスに存在する利⽤者に提供す・SC-15 共同コンピューティングデバイス

CPS.AC-3・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

・情報システムは、定めた要求に基づく⽬的のみリモートアクセスによる特権コマンドの実⾏を認可する。

H-Advanced ・情報システムは、機密性の⾼いデータを扱うシステムにアクセスしたユーザがリモートアクセスによって特権コマンドを実⾏した理由とともに、リモートアクセスによってセキュリティ関連情報にアクセスした理由を記録する。

る。

・情報システムは、機密性の⾼いデータを扱うシステムへの無線アクセスは、ユーザ及び機器による認証を暗号化とともに⽤いることによって保護する。
・情報システムは、機密性の⾼いデータを扱う可能性のあるネットワークでつながっているホワイトボード、カメラ、マイク等の連携する機器をリモートから活性化することを禁⽌し、機器の利⽤者に利⽤中の機器の兆候を提供する。
・情報システムは、管理されたインターフェース上で認証されたプロキシサーバー経由で、通信を宛て先IPアドレスの属するネット

・組織内のネットワークと広域ネットワーク
3.13.13 モバイルコードの使⽤を管理し監視する。

・SC-18 モバイルコード

CPS.CM-1 の接点において、ネットワーク監視・制御、

H-Advanced

アクセス監視・制御を実施する。
・SC-19 ボイスオーバーインターネットプロトコ
3.13.14 VoIP 技術の使⽤を管理し、監視する。

ル

CPS.CM-1 の接点において、ネットワーク監視・制御、・情報システム及び産業⽤制御システムは、モバイルコードの使⽤を管理し、監視する。
・情報システムは、⾳声や映像の伝送に利⽤されるプロトコル（例︓VoIP）の使⽤を管理し、監視する。
・情報システムは、管理されたインターフェース上で認証されたプロキシサーバー経由で、通信を宛て先IPアドレスの属するネット

・組織内のネットワークと広域ネットワーク(VoIP)

ワークにルーティングする。

H-Advanced

アクセス監視・制御を実施する。

ワークにルーティングする。
・情報システム及び産業⽤制御システムは、モバイルコードの使⽤を管理し、監視する。
・情報システムは、⾳声や映像の伝送に利⽤されるプロトコル（例︓VoIP）の使⽤を管理し、監視する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムに関するリモートアクセスについて、⾃動モニタリングまたは⾃動制御を実施する。
・情報システム及び産業⽤制御システムは、管理されたアクセスポイントによりルーティングされたリモートアクセスだけを許可する。

CPS.AC-3

3.13.15 通信セションの真正性を保護する。

・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

・情報システムは、定めた要求に基づく⽬的のみリモートアクセスによる特権コマンドの実⾏を認可する。

H-Advanced ・情報システムは、機密性の⾼いデータを扱うシステムにアクセスしたユーザがリモートアクセスによって特権コマンドを実⾏した理由とともに、リモートアクセスによってセキュリティ関連情報にアクセスした理由を記録する。
・情報システムは、機密性の⾼いデータを扱うシステムへの無線アクセスは、ユーザ及び機器による認証を暗号化とともに⽤いること

・SC-23 セションの真正性によって保護する。
・情報システムは、機密性の⾼いデータを扱う可能性のあるネットワークでつながっているホワイトボード、カメラ、マイク等の連携
H-Advanced

CPS.DS-3

・IoT機器、サーバ等の間、サイバー空間で通信が⾏われる際、通信経路を暗号化する。

する機器をリモートから活性化することを禁⽌し、機器の利⽤者に利⽤中の機器の兆候を提供する。
・組織は、情報システム及び産業⽤制御システムを構成する重要なデータを扱う通信路について、通信経路の暗号化を実装する⼜は代替の物理的な対策によって保護する。
・情報システムは、暗号メカニズムを導⼊し、通信経路を暗号化する。

Advanced[参考] 通信経路の暗号化には、IP-VPN、Ipsec-VPN、SSL-VPN等の⽅式が存在する。組織は、通信路を流れるデータの重要度や、かけられるコスト等を考慮しつつ、⽅式を選定することが望ましい。

D-2-30NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID

対策例

対策要件

・組織は、選択したアルゴリズムをソフトウェア及びハードウェアへ適切に実装し、暗号化された情報の復号⼜は電⼦署名の付与に⽤いる鍵、識別コード及び主体認証情報等を保護するため、暗号モジュール試験及び認証制度に基づく認証を取得している製品を選択す
H-Advanced る。

・⾃組織の保護すべきデータを組織外へ持ち出す場合、データを適切な強度で暗号化する。
・組織は、内部メモリのデータを暗号化して保管することのできるIoT機器を利⽤する。
・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、情報（データ）を適切な強度の⽅式で暗号化

3.13.16 保存されたCUI の機密性を保護する。

・SC-28 保存情報の保護

CPS.DS-2

して保管する。CRYPTREC暗号リスト（電⼦政府推奨暗号リスト）に記載されたアルゴリズムが選択可能であれば、これを選択し、情・情報を適切な強度の⽅式で暗号化して保管

報（データ）を適切な強度の⽅式で暗号化して保管する。

する。

・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、産業⽤制御システムが取り扱う重要度の⾼い
Advanced

情報（データ）を、パフォーマンスに許容できない影響が出ない範囲で適切な強度の⽅式で暗号化して保管する。
[参考] 暗号技術検討会及び関連委員会（CRYPTREC）では、安全性及び実装性能が確認された暗号技術について、市場における利⽤
実績が⼗分であるか今後の普及が⾒込まれると判断され、当該技術の利⽤を推奨するもののリストを「電⼦政府における調達のために参照すべき暗号のリスト」（CRYPTREC暗号リスト）として公開している。組織は、暗号機能を実装すべきシステム等を調達する場
合、必要に応じて参照することが望ましい。
・組織は、ネットワーク構成、機器のソフトウェア構成等の情報を⾃動的に収集するメカニズムを利⽤し、常時最新の状況をモニタリ

システムと
情報の完全
性
3.14.1

タイムリーなやり⽅で情報及びシステムフ
ローを識別し、報告し、訂正する。

・SI-2 ⽋陥の修正
・SI-3 悪意のコード(不正プログラム) からの保護 CPS.AE-1
・SI-5 セキュリティ警報と勧告ングする。

・ネットワーク運⽤のベースラインと、ヒト、モノ、システム間の予測される情報の流れを特定し、管理するプロシージャを確⽴

・情報システムは、システム内（及び相互接続システム間）のデータフローを制御するために、ユーザに対して（管理者によって）承H-Advanced

認されたアクセス権限を強制的に適⽤する。
・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理的に分離する。

し、実施する。

・組織／システムは、定常的なシステムの通信状況やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリ
ティアラートを集約したプロファイルを作成、活⽤することで、未知の脅威や不審な振る舞い（通信）を検知できるようにする。
・IoT機器あるいはそうした機器を含んだシステムが、通常期待される結果とは異なる結果をもたらすような特定の攻撃（例︓コマン
ドインジェクション）に備え、ソフトウェアプログラムまたはアプリケーションからの出⼒情報を検証して、期待される内容と⼀致しているかを確認する。
H-Advanced ・情報システムは、IDS/IPSによる悪質コードの検知ロジックを⾃動的に更新する。

・エンドポイント（特に、多様な機能を有するIoT機器、サーバ等）において、マルウェアに対する振舞い検知型の検出・修復ソフト

3.14.2組織のシステム内の適切な場所で、悪意のあるコードから保護を提供する。

・SI-2 ⽋陥の修正
・SI-3 悪意のコード(不正プログラム) からの保護 CPS.CM-3
・SI-5 セキュリティ警報と勧告・指⽰された動作内容と実際の動作結果を⽐

ウェアを導⼊することで、未知の脆弱性を突く攻撃コードの検知を実施する。

較して、異常の検知や動作の停⽌を⾏うIoT機・情報システムは、⾃組織外から受信したファイルのリアルタイムスキャンを実⾏する。
・情報システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知す

器を導⼊する。

る。

・サイバー空間から受ける情報が悪質なコー・エンドポイント（IoT機器、サーバ等）において、マルウェアに対するパターンファイル型の検出・修復ソフトウェアを導⼊するこドを含んでおらず、許容範囲内であることを動作前に検証する。

とで、攻撃コードの検知を実施する。
Advanced

・特に、機能が限定されているIoT機器において、ホワイトリスト型のマルウェア対策を実施することを考慮する。
※ 特にIoT機器や制御機器においては、マルウェア対策ソフトが利⽤可能なOSが使⽤されているとは限らないケースがある。組織は、調達時等に導⼊する機器がマルウェア対策ソフトに対応できるものかを確認し、対応可能なものを選定することが望ましい。マル
ウェア対策ソフトに対応する機器を調達することが困難な場合、ネットワーク上でマルウェアを検知する仕組みを導⼊・強化する等、代替的な対策を実施することが望ましい。

D-2-31NIST SP 800-171
ファミリ

管理策ID

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53

要求事項

管理策名称

対策要件ID
CPS.IP-10

対策例

対策要件
・脆弱性修正措置計画を作成し、計画に沿って構成要素の脆弱性を修正する。

・パッチ適⽤中のIoT機器、サーバ等の動作により、他のソフトウェアアプリケーションやサービスの機能への影響が出るかどうかをAdvanced

調査やテストを通じて明らかにして、受容できるリスクを定める。
・組織は、修正内容の有効性と副次的な悪影響の可能性についてテストを⾏った上で⽋陥の修正を実施し、当該修正を構成管理として管理する。
・IoT機器あるいはそうした機器を含んだシステムが、通常期待される結果とは異なる結果をもたらすような特定の攻撃（例︓コマン
ドインジェクション）に備え、ソフトウェアプログラムまたはアプリケーションからの出⼒情報を検証して、期待される内容と⼀致しているかを確認する。

H-Advanced ・情報システムは、IDS/IPSによる悪質コードの検知ロジックを⾃動的に更新する。

3.14.3

システムセキュリティ警報及びアドバイザリを監視し、適切な対応アクションを取る。

・エンドポイント（特に、多様な機能を有するIoT機器、サーバ等）において、マルウェアに対する振舞い検知型の検出・修復ソフト

・SI-2 ⽋陥の修正
・SI-3 悪意のコード(不正プログラム) からの保護
・SI-5 セキュリティ警報と勧告

CPS.CM-3

・指⽰された動作内容と実際の動作結果を⽐

ウェアを導⼊することで、未知の脆弱性を突く攻撃コードの検知を実施する。

較して、異常の検知や動作の停⽌を⾏うIoT機・情報システムは、⾃組織外から受信したファイルのリアルタイムスキャンを実⾏する。
・情報システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知す

器を導⼊する。

る。

・サイバー空間から受ける情報が悪質なコー・エンドポイント（IoT機器、サーバ等）において、マルウェアに対するパターンファイル型の検出・修復ソフトウェアを導⼊するこドを含んでおらず、許容範囲内であることを動作前に検証する。

とで、攻撃コードの検知を実施する。
Advanced

・特に、機能が限定されているIoT機器において、ホワイトリスト型のマルウェア対策を実施することを考慮する。
※ 特にIoT機器や制御機器においては、マルウェア対策ソフトが利⽤可能なOSが使⽤されているとは限らないケースがある。組織は、調達時等に導⼊する機器がマルウェア対策ソフトに対応できるものかを確認し、対応可能なものを選定することが望ましい。マル
ウェア対策ソフトに対応する機器を調達することが困難な場合、ネットワーク上でマルウェアを検知する仕組みを導⼊・強化する等、

CPS.IP-8

・保護技術の有効性について、適切なパート
ナーとの間で情報を共有する。

H-Advanced
Advanced

CPS.AE-3

新しいリリースが利⽤可能となったとき、悪3.14.4 意のあるコードからの保護メカニズムをアッ・SI-3 悪意のコード(不正プログラム) からの保護ることで、セキュリティインシデントを正確器を導⼊する。
・サイバー空間から受ける情報が悪質なコーているかを確認する。
H-Advanced

ウェアを導⼊することで、未知の脆弱性を突く攻撃コードの検知を実施する。
・情報システムは、⾃組織外から受信したファイルのリアルタイムスキャンを実⾏する。
・IoT機器あるいはそうした機器を含んだシステムが、通常期待される結果とは異なる結果をもたらすような特定の攻撃（例︓コマン

・指⽰された動作内容と実際の動作結果を⽐ドインジェクション）に備え、ソフトウェアプログラムまたはアプリケーションからの出⼒情報を検証して、期待される内容と⼀致し較して、異常の検知や動作の停⽌を⾏うIoT機

イルがダウンロードされ、開かれ、または実⾏されるような、外部情報源からのファイル器を導⼊する。
・サイバー空間から受ける情報が悪質なコー・情報システムは、IDS/IPSによる悪質コードの検知ロジックを⾃動的に更新する。
・エンドポイント（特に、多様な機能を有するIoT機器、サーバ等）において、マルウェアに対する振舞い検知型の検出・修復ソフト

動作前に検証する。

3.14.5

・組織は、⾃組織でセンサー機器でのカスタムシグネチャを脅威情報から作成する。

ドインジェクション）に備え、ソフトウェアプログラムまたはアプリケーションからの出⼒情報を検証して、期待される内容と⼀致しドを含んでおらず、許容範囲内であることをているかを確認する。
H-Advanced

・情報システムは、IDS/IPSによる悪質コードの検知ロジックを⾃動的に更新する。
・エンドポイント（特に、多様な機能を有するIoT機器、サーバ等）において、マルウェアに対する振舞い検知型の検出・修復ソフト

ドを含んでおらず、許容範囲内であることを組織のシステムの定期的スキャン、及びファ・組織は、⾃組織でIDS,IPS,SIEMといったセキュリティ装置等のポリシーチューニング（適⽤シグネチャ管理）と維持管理を⾏う。

る機器のログに加え、IoT機器等のエッジデバイスのログも収集し、分析することが望ましい。
・IoT機器あるいはそうした機器を含んだシステムが、通常期待される結果とは異なる結果をもたらすような特定の攻撃（例︓コマン

較して、異常の検知や動作の停⽌を⾏うIoT機

CPS.CM-3

備する。

・組織は、可能な場合、⾃組織に悪影響を及ぼす可能性の⾼いセキュリティ事象を適切に検知するため、＜Advanced＞で提⽰してい・指⽰された動作内容と実際の動作結果を⽐

CPS.CM-3

・組織は、保護技術に関する新たな情報や保護技術に関する有効性に関する情報を、パートナーに適時共有することができる環境を整ングに⽤いられている活動の修正の必要性を判断する。
H-Advancedに特定する。

プデートする。

ナーと適時双⽅向で共有をすることができる環境を整備する。

・最新の脅威情報、脆弱性情報、複数回にわたるセキュリティ管理策アセスメントの結果等から動向分析を実施し、継続的なモニタリ

・セキュリティ事象の相関の分析及び外部の脅威情報と⽐較した分析を⾏う⼿順を実装す代替的な対策を実施することが望ましい。
・組織は、保護技術に関する新たな情報や保護技術に関する有効性に関する情報を、⾃動化されたメカニズムを通じて適切なパート

ウェアを導⼊することで、未知の脆弱性を突く攻撃コードの検知を実施する。

動作前に検証する。

・情報システムは、⾃組織外から受信したファイルのリアルタイムスキャンを実⾏する。
・組織は、データ⼊⼒に対する「ホワイトリスト」の概念を導⼊することで、インプットデータの出所を既知の信頼できるモノ、シス・SI-3 悪意のコード(不正プログラム) からの保護

テム等と、そうしたインプットデータの許容できるフォーマットを指定する。

のリアルタイムスキャンを実⾏する。
CPS.CM-4

・サイバー空間から受ける情報の完全性及びH-Advanced ・IoT機器、サーバ等は、他のIoT機器と通信する際、機器間の相互認証が成功した後にはじめて通信を開始することで、データの出所の把握を確実なものとする。

真正性を動作前に確認する。

・情報システム及び産業⽤制御システムは、通信セッションの真正性を保護する。
・情報システムは、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不正な変更を検知する。
Advanced

・IoT機器、サーバ等は、他のIoT機器と通信する際、当該IoT機器が⾃組織の業務において重要なものと認められる場合、機器間の相互認証が成功した後にはじめて通信を開始することで、データの出所の把握を確実なものとする。

D-2-32NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・産業⽤制御システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知する。

・⾃組織外への不適切な通信を防ぐため、保H-Advanced

・組織/情報システムは、定常的なシステムの通信状況やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリティアラートを集約したプロファイルを作成、活⽤することで、未知の脅威や不審な振る舞い（通信）を検知できるようにする。

CPS.DS-9 護すべき情報を⾃組織外へ送信する通信を適・共有システム資源を介した、不正な予期せぬ情報の転送を防⽌する。
・情報システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知す

切に制御する。
Advancedる。
・組織は、公開された新たな攻撃動向、マルウェア挙動情報や悪性IP アドレス／ドメイン情報などの情報（外部インテリジェンス）を収集し、必要に応じて危険性の⾼いIPアドレスやドメインへの通信を遮断する等の対応を実施する。
・組織は、ネットワーク構成、機器のソフトウェア構成等の情報を⾃動的に収集するメカニズムを利⽤し、常時最新の状況をモニタリングする。

・ネットワーク運⽤のベースラインと、ヒCPS.AE-1

ト、モノ、システム間の予測される情報の流れを特定し、管理するプロシージャを確⽴

・情報システムは、システム内（及び相互接続システム間）のデータフローを制御するために、ユーザに対して（管理者によって）承H-Advanced

認されたアクセス権限を強制的に適⽤する。
・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理的に分離する。

し、実施する。

・組織／システムは、定常的なシステムの通信状況やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリ
ティアラートを集約したプロファイルを作成、活⽤することで、未知の脅威や不審な振る舞い（通信）を検知できるようにする。
・組織は、リスクアセスメントの結果等を参照して、下記の観点を考慮しながらモニタリング、相関分析の対象となる対象を確⽴する。なお、相関分析の対象には、他組織とデータを連携する部分のログも含めることが望ましい。
- モニタリングするシステムの範囲をどこまでとするか- どのような機器のログを収集し、分析するか (CPS.AE-3を参照)
・組織は、モニタリングにより収集した監査ログを定期的にレビューする。
・組織は、資産情報、機器の構成情報、ネットワーク構成情報等を継続的に収集・管理し、⾃組織のセキュリティ対応状況を評価する。

・セキュリティ管理責任者を任命し、セキュ
CPS.AE-2

リティ対応組織(SOC/CSIRT)を⽴ち上げ、組
織内でセキュリティ事象を検知・分析・対応

・組織は、相関分析の結果等から対応が必要なセキュリティインシデントを適切に検知し、セキュリティ運⽤プロセスの記載内容に従Advancedする体制を整える。

い、対応を実施する（プロセスの内容については、CPS.RP-1等を参照）。
・組織及びシステムのセキュリティ状態をセキュリティ管理責任者等の適切な要員に、定期的に報告する。報告内容には以下を含むことが望ましい。
- ログ分析の分析結果（対処したインシデントの件数、対応済みの代表的なインシデントの概要、脅威動向、モニタリング上の課題
等）- モニタリングにおける今後の改善⽅針

内向き及び外向きの通信トラフィクを含め3.14.6 て、攻撃や潜在的な攻撃の兆候を検知するた
め、組織のシステムを監視する。

[参考] セキュリティ対応組織(SOC/CSIRT)の業務、望まれる規模等については、「セキュリティ対応組織（SOC/CSIRT）の教科書

・SI-4 情報システムの監視ツールと監視技法〜 機能・役割・⼈材スキル・成熟度 〜」(ISOG-J, 2018年)等を参照することが望ましい。

・SI-4(4) 情報システムの監視ツールと監視技法
内向きと外向きの通信トラフィク

・組織は、外部サービスプロバイダ及びシステム開発の委託先の要員に対してのセキュリティ上の要求事項を⽂書化し、契約等に記載する。
・組織は、外部サービスプロバイダ及びシステム開発の委託先に対して、⾃組織のシステムに対する権限を有する要員が異動、または雇⽤が終了する場合に、⾃組織へ通知することを要求する。

・セキュリティ事象を適切に検知できるよ
CPS.CM-5 う、外部サービスプロバイダとの通信内容をAdvanced

モニタリングする。

・組織は、関連する業務情報，業務システム及び業務プロセスの重要性並びにリスクの再評価を考慮して、外部サービスプロバイダー
によるサービス提供の変更を管理することが望ましい。
・組織は、外部サービスプロバイダ及びシステム開発の委託先による要求事項の遵守状況をモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先による作為あるいは不作為による不正アクセスを検知するため、当該外部事業者による⾃組織のシステムへのアクセスををモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先の活動のモニタリング結果を、適切なシステム管理者に報告する。
・組織は、新たな資産のインストールや削除の際に、または、システムのアップデートの際に、資産、構成情報の⼀覧を更新することが望ましい。
・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール

・機器等の構成管理では、ソフトウェア構成

等）を必ず経由させる。

情報、ネットワーク接続状況（ネットワーク
CPS.CM-6 接続の有無、アクセス先等）及び他のソシ
キ、ヒト、モノ、システムとの情報の送受信
状況について、継続的に管理する。

Advanced

・個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・情報システム及び産業⽤制御システムは、セッション終了後、あるいは⼀定以上の間⾮アクティブな状態が持続しているセッションのネットワークコネクションを終了する。
・組織は、承認されていないモノ、システム等への通信、あるいは適切でない内容を含んだ通信を検知するため、管理されたインター
フェースにおいて通信をモニタリングする。

D-2-33

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・組織は、経営層等の組織内の然るべき要員に、定期的に組織及びシステムのセキュリティの状態を報告するプロシージャを整備し、運⽤する。組織は、報告の場を最新の脅威や残存するリスクに対する脅威を認識し、セキュリティを向上するための場とすることが望ましい。
・例えば、以下のような注意喚起情報の発信があった際等に、セキュリティに係るリスク増加の兆候がある場合、信頼できる情報源からの情報に基づいて、システムのモニタリング活動のレベルを上げる。

※以下のリストは、「セキュリティ対応組織 (SOC,CSIRT)

強化に向けたサイバーセキュリティ情報共有の「5W1H」 v1.0」(ISOG-J, 2017年)より引⽤している。

CPS.DP-4

・セキュリティ事象の検知プロセスを継続的に改善する。

Advanced

・ 攻撃の特徴 攻撃の特徴➢ 攻撃形態、関連する通信の内容➢ 核⼼となる攻撃コード・ 攻撃によって残る痕跡➢ 被害を受けた後の通信内容➢ サーバやクライアントに残るログ➢ サーバやクライアントに残るその他特徴
・ 各セキュリティ製品における検知名
・産業⽤制御システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知する。

・⾃組織外への不適切な通信を防ぐため、保H-Advanced

・組織/情報システムは、定常的なシステムの通信状況やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリティアラートを集約したプロファイルを作成、活⽤することで、未知の脅威や不審な振る舞い（通信）を検知できるようにする。

CPS.DS-9 護すべき情報を⾃組織外へ送信する通信を適・共有システム資源を介した、不正な予期せぬ情報の転送を防⽌する。
・情報システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知す

切に制御する。
Advancedる。
・組織は、公開された新たな攻撃動向、マルウェア挙動情報や悪性IP アドレス／ドメイン情報などの情報（外部インテリジェンス）を収集し、必要に応じて危険性の⾼いIPアドレスやドメインへの通信を遮断する等の対応を実施する。
・組織は、ネットワーク構成、機器のソフトウェア構成等の情報を⾃動的に収集するメカニズムを利⽤し、常時最新の状況をモニタリングする。

・ネットワーク運⽤のベースラインと、ヒCPS.AE-1

ト、モノ、システム間の予測される情報の流れを特定し、管理するプロシージャを確⽴

・情報システムは、システム内（及び相互接続システム間）のデータフローを制御するために、ユーザに対して（管理者によって）承H-Advanced

認されたアクセス権限を強制的に適⽤する。
・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理的に分離する。

し、実施する。

・組織／システムは、定常的なシステムの通信状況やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリ
ティアラートを集約したプロファイルを作成、活⽤することで、未知の脅威や不審な振る舞い（通信）を検知できるようにする。
・組織は、リスクアセスメントの結果等を参照して、下記の観点を考慮しながらモニタリング、相関分析の対象となる対象を確⽴する。なお、相関分析の対象には、他組織とデータを連携する部分のログも含めることが望ましい。
- モニタリングするシステムの範囲をどこまでとするか- どのような機器のログを収集し、分析するか (CPS.AE-3を参照)
・組織は、モニタリングにより収集した監査ログを定期的にレビューする。
・組織は、資産情報、機器の構成情報、ネットワーク構成情報等を継続的に収集・管理し、⾃組織のセキュリティ対応状況を評価する。

・セキュリティ管理責任者を任命し、セキュ
CPS.AE-2

リティ対応組織(SOC/CSIRT)を⽴ち上げ、組
織内でセキュリティ事象を検知・分析・対応

・組織は、相関分析の結果等から対応が必要なセキュリティインシデントを適切に検知し、セキュリティ運⽤プロセスの記載内容に従Advancedする体制を整える。

い、対応を実施する（プロセスの内容については、CPS.RP-1等を参照）。
・組織及びシステムのセキュリティ状態をセキュリティ管理責任者等の適切な要員に、定期的に報告する。報告内容には以下を含むことが望ましい。
- ログ分析の分析結果（対処したインシデントの件数、対応済みの代表的なインシデントの概要、脅威動向、モニタリング上の課題
等）- モニタリングにおける今後の改善⽅針[参考] セキュリティ対応組織(SOC/CSIRT)の業務、望まれる規模等については、「セキュリティ対応組織（SOC/CSIRT）の教科書

3.14.7 組織のシステムの不正な使⽤を識別する。

〜 機能・役割・⼈材スキル・成熟度 〜」(ISOG-J, 2018年)等を参照することが望ましい。

・SI-4 情報システムの監視ツールと監視技法

・組織は、外部サービスプロバイダ及びシステム開発の委託先の要員に対してのセキュリティ上の要求事項を⽂書化し、契約等に記載する。
・組織は、外部サービスプロバイダ及びシステム開発の委託先に対して、⾃組織のシステムに対する権限を有する要員が異動、または雇⽤が終了する場合に、⾃組織へ通知することを要求する。

・セキュリティ事象を適切に検知できるよ
CPS.CM-5 う、外部サービスプロバイダとの通信内容をモニタリングする。

Advanced

・組織は、関連する業務情報，業務システム及び業務プロセスの重要性並びにリスクの再評価を考慮して、外部サービスプロバイダー
によるサービス提供の変更を管理することが望ましい。
・組織は、外部サービスプロバイダ及びシステム開発の委託先による要求事項の遵守状況をモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先による作為あるいは不作為による不正アクセスを検知するため、当該外部事業者による⾃組織のシステムへのアクセスををモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先の活動のモニタリング結果を、適切なシステム管理者に報告する。

D-2-34

NIST SP 800-171
ファミリ

管理策ID

要求事項

NIST SP800-171 から参照される

サイバー・フィジカル・セキュリティ対策フレームワーク

NIST SP800-53
管理策名称

対策要件ID

対策例

対策要件

・組織は、新たな資産のインストールや削除の際に、または、システムのアップデートの際に、資産、構成情報の⼀覧を更新することが望ましい。
・情報システムは、個々の外部通信サービスに対して、管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール

・機器等の構成管理では、ソフトウェア構成

等）を必ず経由させる。

情報、ネットワーク接続状況（ネットワーク
CPS.CM-6 接続の有無、アクセス先等）及び他のソシ

Advanced

キ、ヒト、モノ、システムとの情報の送受信

・個々の管理されたインターフェース（ゲートウェイ、ルーター、ファイアウォール等）に対して、通信制御ポリシーを定める。
・管理されたインターフェースにおけるシステムは、ネットワーク通信をデフォルトで拒否し、例外的に許可する。
・情報システム及び産業⽤制御システムは、セッション終了後、あるいは⼀定以上の間⾮アクティブな状態が持続しているセッション

状況について、継続的に管理する。

のネットワークコネクションを終了する。
・組織は、承認されていないモノ、システム等への通信、あるいは適切でない内容を含んだ通信を検知するため、管理されたインター
フェースにおいて通信をモニタリングする。
・組織は、経営層等の組織内の然るべき要員に、定期的に組織及びシステムのセキュリティの状態を報告するプロシージャを整備し、運⽤する。組織は、報告の場を最新の脅威や残存するリスクに対する脅威を認識し、セキュリティを向上するための場とすることが望ましい。
・例えば、以下のような注意喚起情報の発信があった際等に、セキュリティに係るリスク増加の兆候がある場合、信頼できる情報源からの情報に基づいて、システムのモニタリング活動のレベルを上げる。

※以下のリストは、「セキュリティ対応組織 (SOC,CSIRT)

強化に向けたサイバーセキュリティ情報共有の「5W1H」 v1.0」(ISOG-J, 2017年)より引⽤している。

CPS.DP-4

・セキュリティ事象の検知プロセスを継続的に改善する。

Advanced

・ 攻撃の特徴 攻撃の特徴➢ 攻撃形態、関連する通信の内容➢ 核⼼となる攻撃コード・ 攻撃によって残る痕跡➢ 被害を受けた後の通信内容➢ サーバやクライアントに残るログ➢ サーバやクライアントに残るその他特徴
・ 各セキュリティ製品における検知名

D-2-35

Ｄ．３

ISO/IEC 27001 の管理策群と「サイバー・フィジカル・セキュリティ対策フレームワーク」との対応表
ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.5

A.5.1

A.5.1.1

情報セキュリティのための⽅針群

情報セキュリティの情報セキュリティの情報セキュリティのは，これを定義し，管理層が承認ための⽅針群ための経営陣の⽅向ための⽅針群し，発⾏し，従業員及び関連する外性部関係者に通知しなければならな対策要件ID

対策例

対策要件

・組織は、組織の業務、組織の資産、個⼈、他の組織等にもたらされるリスクを考慮して、⾃組織のミッション／業務プロセスを定義

・あらかじめ定められた⾃組織の優先事し、活動に関する優先順付けを確⽴する。

業、優先業務と整合したセキュリティポ
CPS.BE-2 リシー・対策基準を明確化し、⾃組織のAdvanced

取引に関係する者（サプライヤー、第三い。

・組織は、⾃組織のセキュリティポリシーにおいて規定されている⾃組織と関係する他組織のセキュリティに関する役割と責任について、関係する他組織に伝達する。

者プロバイダ等を含む）に共有する。
・組織は、上位の⽅針を⽀えるセキュリティポリシー群のより低いレベルとして、例えば、情報システムを対象とした下記のようなトピック個別の⽅針及び実施⼿順を策定する。
a) アクセス制御及び認証b) 物理的セキュリティ対策c) システムの開発及び保守
d) 外部委託先管理e) 情報分類及び取扱い
Advanced

セキュリティの脅威環境 を⼗分に考慮して、⾃組織の実情を⼗分に反映したものとなるよう策定を実施する。
・組織は、⾃組織の a)事業戦略、 b)関係する規制、法令及び契約、c)セキュリティの脅威環境 の変化に応じて、セキュリティ⽅針を・セキュリティポリシーを策定し、⾃組
CPS.GV-1

・情報システムを対象としたセキュリティポリシー群の策定に当たっては、⾃組織の a)事業戦略、b)関係する規制、法令及び契約、c)レビュー、更新する。

織及び関係する他組織のセキュリティ上の役割と責任、情報の共有⽅法等を明確[参考] より詳細なレベルの⽅針策定の際には、ISO/IEC 27002 等の関連する標準を参照して⽅針が必要となる分野を把握したうえにする。

で、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年) 付録5「情報セキュリティ関連規定（サンプル）」や、「情報セキュリティポリシーサンプル改版（1.0版）」(JNSA, 2016年)等を参考にすることができる。
・組織は、⾃組織のセキュリティポリシー群の最も⾼いレベルに、セキュリティ基本⽅針を策定し、経営層の承認を得た後、適切な適⽤範囲（例︓企業全体、事業部全体）で運⽤する。
・組織は、⾃組織のセキュリティ基本⽅針を定期的(例えば、1年に1度)にレビュー、更新する。
Basic[参考] セキュリティポリシーの策定に当たっては、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年) 付録5「情報セキュリティ関連規定（サンプル）」における "１．組織的対策"の記載や、「情報セキュリティポリシーサンプル改版（1.0版）」(JNSA, 2016年)における "01_情報セキュリティ基本⽅針"、"01_情報セキュリティ⽅針" 等を参考とすることが可能である。

A.5.1.2

情報セキュリティのための⽅針群

情報セキュリティのは，あらかじめ定めた間隔で，⼜はための⽅針群のレ

重⼤な変化が発⽣した場合に，それビューが引き続き適切，妥当かつ有効であることを確実にするためにレビューしなければならない。

・CPS.RA-4で実施したハザード分析の結果に基づき、主に産業⽤制御システムに対して、必要な場合、重要なハザードにつながりうる
セキュリティに係るリスク源に対して適切に対応する。
H-Advanced[参考] 特に安全制御系におけるセキュリティ⾯の統合については、近年国際標準化の場でも議論がなされており、IEC TR 63074, IEC・リスクアセスメントに基づき、発⽣しTR 63069等を参照することが可能である。
・組織は、セキュリティリスク対応のプロセスについての⽂書化した情報を安全に保管する。

得るセキュリティリスクに対する対応策

・組織は、リスクアセスメントの結果に応じて対応策を選定する際、実施する対応策及び当該対応策を採⽤する理由を⽂書化することの内容を明確に定め、対応の範囲や優先が望ましい。

順位を整理した結果を⽂書化する。

・組織は、対応策の適⽤等に関して、セキュリティリスク対応計画を策定し、リスク所有者の承認を得る。

CPS.RA-6 ・IoT機器及びIoT機器を含んだシステ
ムの企画・設計の段階におけるアセスメ

Advanced

ントにて判明したセキュリティ及び関連・組織は、セキュリティリスク対応計画をレビューし、当該計画が⾃組織全体のリスクマネジメント戦略における優先順位に適合しているかどうかを確認する。
・CPS.RA-4で抽出した、IoT機器を含む新しいシステムにおける必要なセキュリティ対策について、然るべき外部事業者に要求仕様とするセーフティのリスクに対して適宜対して伝達する。

応する。

・組織は、IoT機器を含むシステムの導⼊時に、要求仕様や契約段階で定めたセキュリティ対策が実施されているかを受け⼊れ検査などで確認する。もし、不明な点があれば、外部事業者に確認する。
・組織は、リスクアセスメントの結果を考慮して、対象とするリスクへの対応策を選定する。
Basic

・組織は、セキュリティリスク対応の実施計画を策定する。
・セキュリティリスクの受容について、リスク所有者の承認を得る。

D-3-1

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.6

A.6.1

A.6.1.1

全ての情報セキュリティの責任を定

情報セキュリティの

内部組織

情報セキュリティのめ，割り当てなければならない。

ための組織対策要件ID

対策例

対策要件

・システムは、⾃組織が利⽤している外部情報システムサービスを⼀覧化し、リアルタイムで利⽤しているサービスとともに利⽤者・機器等を管理している。

役割及び責任H-Advanced・システムは、利⽤を許可していない外部情報システムサービスを検知した場合、システム管理者へ通知するメカニズムを利⽤する。
・組織は、外部プロバイダによる情報システムサービスを使⽤する際に必要な機能、ポート、プロトコル及び他のサービスを明確にする。
・組織は、外部の情報システムを所有、運⽤する他の組織に対して、下記を許可するうえでの条件を設定する。

・⾃組織の資産が接続している外部情報
CPS.AM-5 システムの⼀覧を作成し、適切に管理す

Advancedる。

a. 外部の情報システムから⾃組織の情報システムにアクセスすること
b. 外部の情報システムを使⽤して⾃組織の管理下にある情報を処理または保存もしくは伝送すること
・外部のシステム上に接続された⾃組織が所有するストレージの許可された個⼈による使⽤を制限する。
・組織は、⾃組織が利⽤している外部情報システムサービスを⼀覧化し、それぞれのサービスにおけるユーザーとしての役割と責任を
定義する。

Basic

[参考] 特にクラウドサービス利⽤におけるユーザー側の役割と責任を、契約において規定する際のポイントについて、「クラウドセ
キュリティガイドライン活⽤ガイドブック」(経済産業省, 2013年) Appendix A "契約の具体的な内容例と解説" を参照することが可能である。
・組織は、情報システムや産業⽤制御システムにおけるリソース（データ及びデータを処理するモノ、システム等）を分類する際にAdvanced

は、データを共有⼜は制限する業務上の要求及び法的要求事項を考慮する。
・当該資産の管理責任者は、データの分類に対して責任を負う。
・組織は、リソースの分類体系に分類の規則及びその分類を時間が経ってからレビューするための基準を含める。
・組織は、洗い出した情報システムや産業⽤制御システムにおける資産を、⾃組織にとっての重要度に応じて優先順位づけする。
・関係する法規制等により、⾃組織のリソース（例︓システム、データ）について特定の分類に従うことが要求されている場合、該当・リソース（例︓モノ、データ、システする分類を資産に適⽤する。

ム）を、機能、重要度、ビジネス上の価
CPS.AM-6

・組織は、特に産業⽤制御システムにおけるモノ、システム等の分類、優先付けに当たっては、⾃組織の事業活動の適切でない運⽤に

値に基づいて分類、優先順位付けし、管よりHSE(Health, Safety and Environment)への悪影響が発⽣するかを考慮して実施する。

理責任を明確にした上で、業務上それらのリソースに関わる組織やヒトに伝達する。

・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、事業継続の観点から重要なリソース（関係する他組織、ヒBasicト、モノ、データ、システム等）と機能を特定し、優先順位付けする。
[参考] 資産の重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）の P.44〜46に記載された情報の機密性、完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA,
2018年）の P.21 に記載された事業被害の⼤きさにおける評価を⽤いる⽅法等がある。また、特に産業⽤制御システムにおける資産の重要度の判断基準については、「制御システムのセキュリティリスク分析ガイド 第2版」（IPA, 2018年）4.2.2及び4.2.3を参照する
ことができる。

Advanced

・組織は、セキュリティインシデントにより損害が発⽣する場合に備えて、取引先等から指定されるセキュリティ対策の実装に加え、サイバー保険の利⽤等によるリスク移転を検討する。
・組織は、委託先あるいは委託元との契約において、業務においてセキュリティインシデントにより損害が発⽣した場合の⾃組織と取引先の責任範囲（免責事項の明記、損害賠償額の契約⾦額等での上限設定等）を規定する。

CPS.AM-7

・組織は、契約において取引先に対応を求める／求められるセキュリティに関する要求事項の実効性を⾼めるため、要求事項への対応

・⾃組織及び関係する他組織のサイバー
セキュリティ上の役割と責任を定める。

Basic

要否や過不⾜、具体的な対応⽅法や費⽤負担、対応できない場合の代替措置について契約時あるいは契約期間の初めに合意することが望ましい。
[参考] 特にクラウドサービスプロバイダーと⾃組織との役割と責任に関して、追加の情報を得るために、「クラウドセキュリティガイ
ドライン活⽤ガイドブック 2013年度版」（経済産業省, 2013年）の "4.4.クラウドサービスの契約" を参照することが可能である。
・組織は、リスクマネジメントに係る戦略やアセスメントの結果等から、セキュリティインシデントを検知するために収集することが・セキュリティ事象の説明責任を果たせ
CPS.DP-1

るよう、セキュリティ事象検知における⾃組織とサービスプロバイダが担う役割と負う責任を明確にする。

望ましいログ情報を決定する。
Basic

・組織は、取引先（サービスプロバイダ）に対して、取得されるサービス利⽤者の活動，例外処理及びセキュリティ事象を記録した監
査ログの存在を確認する。
・組織は，サービスプロバイダにより取得される監査ログが，サービスの利⽤者の活動，例外処理及びセキュリティ事象を記録できており、適切な⽅式で保護されていることを確認する。

D-3-2

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.6.1.2

相反する職務及び責任範囲は，組織職務の分離の資産に対する，認可されていない

対策要件ID

対策例

対策要件

・組織は、アクセス権限設定等のセキュリティ機能を利⽤する管理者を明⽰し、⾃組織のシステムにおける特権アカウントを制限する。
・情報システムは、特権的機能の使⽤をチェックするため、システムが監査するメカニズムを導⼊する。

若しくは意図しない変更⼜は不正使・情報システムは、⾮特権ユーザによって変更されて実装されたセキュリティ対策を無効にするとともに回避・変更する等、システム⽤の危険性を低減するために，分離

H-Advanced が⾮特権ユーザによる特権的機能の実⾏を禁⽌する。

なければならない。

・組織は、セキュリティインシデントによる被害を最⼩化するため、有事においてシステム管理者の権限を利⽤できるユーザを最少化

CPS.AC-5

させることができる。

・職務及び責任範囲（例︓ユーザー／シ・組織は、セキュリティインシデントによる被害を最⼩化するため、システム管理者であっても、サーバの重要なサービスや保護されステム管理者)を適切に分離する 。

たプロセスを停⽌できないようにすることができる。
・組織は、⾃組織の情報システム及び産業⽤制御システムにおいて職務分離(例︓ユーザ/システム管理者)を踏まえたアクセス制御を実施する。
・組織は、特定の職務権限に対して最⼩権限の原則を採⽤する。
Advanced- ⼀般のユーザアカウントの権限と、特権アカウントの権限を分離する(⾮セキュリティ機能を利⽤する場合には、⾮特権アカウントでの利⽤を要求する。)- ⾃らの担当外の職務に対する権限を最⼩とする・組織は、担当者によって割り当てられた職務を分離し、明⽂化する。

A.6.1.3

関係当局との適切な連絡体制を維持

関係当局との連絡しなければならない。

・⾃組織の事業活動において、セキュリティの⽂脈で関連するすべての法令、規制及び契約上の要求事項並びにこれらの要求事項を満たすための組織の取組みを明確に特定し、⽂書化する。
・要求事項を満たすための具体的な管理策及び具体的な責任についても定め、⽂書化する。
・管理者は、その事業の種類に関連した要求事項を満たすために、各⾃の組織に適⽤される全ての法令を特定する。

・個⼈情報保護法、不正競争防⽌法等のCPS.GV-2 国内外の法令や、業界のガイドラインを・組織が他の国で事業を営む場合には、管理者は、関連する全ての国における遵守を考慮する。
Basic[参考] 情報セキュリティ関連法令には、例えば、不正競争防⽌法、電⼦署名認証法、e-⽂書法、個⼈情報保護法、不正アクセス禁⽌法

考慮した社内ルールを策定する。

等がある。また、上記の法令等の遵守に際しては、関連各省庁から発出されているガイドライン⽂書等（例︓不正競争防⽌法︓「営業秘密管理指針」(経済産業省, 2019年)、「限定提供データに関する指針」(2019年, 1⽉)、個⼈情報保護法︓「個⼈情報の保護に関する法律についてのガイドライン(通則編)」(個⼈情報保護委員会, 2019年)、「個⼈情報の保護に関する法律についてのガイドライン(匿名加⼯情報編)」(個⼈情報保護委員会, 2017年)）を参照することが望ましい。

A.6.1.4

情報セキュリティに関する研究会⼜専⾨組織との連絡は会議，及び情報セキュリティの専・組織は、セキュリティ対応組織を⽴ち上げ、産業⽤制御システム、IoTシステム等も管轄に含めて、組織内で統合的にセキュリティ対策を取る体制を整える。

⾨家による協会・団体との適切な連

H-Advanced

絡体制を維持しなければならない。

・セキュリティ対応組織(SOC/CSIRT)

け出る。

テスト、セキュリティ情報、セキュリ

・組織は、セキュリティ管理責任者を中⼼に、セキュリティ対応組織を⽴ち上げ、主に情報システムや事業における重要度の⾼いIoTシティ研究者等）から脆弱性情報/脅威情

ステムを管轄対象として、組織内でセキュリティ対策を取る体制を整える。
・組織は、情報処理推進機構（IPA）、JPCERT/CC、業界ISACのような組織や、取引関係のある機器ベンダー、ソフトウェアベンダー報等を収集、分析し、対応及び活⽤するプロセスを確⽴する。

より、情報システム、産業⽤制御システムの双⽅におけるセキュリティに関わる知識を最新のものとする。
・主に⾃社が提供している製品・サービスにおいて、新たな脆弱性が含まれていないかを分析し、発⾒した場合、IPAに関連情報を届

は、組織の内部及び外部の情報源（内部CPS.RA-2

・セキュリティに関わる研究会や会議等に出席したり、セキュリティの専⾨家による協会・団体との適切な連絡体制を維持することにAdvanced

より、随時脆弱性情報、脅威情報等を収集し、⾃組織の資産⽬録と照らし合わせることで、対応要否を判断する。
[参考] セキュリティ対応組織の構想、構築、運⽤に当たっては、外部事業者からのサービスを利⽤するほかに、JPCERT/CCから公開されている「CSIRTマテリアル」、⽇本セキュリティオペレーション事業者協議会から公開されている「セキュリティ対応組織（SOC/CSIRT）の教科書 〜 機能・役割・⼈材スキル・成熟度 〜」等の⽂書を利⽤することが可能である。
・組織は、セキュリティに関わる研究会や会議等に出席したり、セキュリティの専⾨家による協会・団体との適切な連絡体制を維持す

・⾃組織の資産に対して想定されるセ
CPS.RA-3 キュリティインシデントと影響及びその H-Advanced
発⽣要因を特定し、⽂書化する。

・組織は、IPA、JPCERT/CC、業界ISAC、セキュリティベンダー等と連携して情報収集し、脅威情報、脆弱性情報等を相互に関連付け
Advanced

る。

て、共有することによって、当該セキュリティ事象の全容を把握する。
・セキュリティ事象発⽣時において、マルウェアや攻撃者が配置したプログラムやスクリプトが発⾒された場合、それらの機能の解析
を外部のセキュリティベンダー等に依頼する。

・セキュリティインシデントの全容と、CPS.AN-1

・組織は、必要に応じて、専⾨家が提供するサービス等を活⽤し、⼀部の専⾨家しか知りえない情報を⼊⼿しそれをもとに、脅威を特定する。

・関係する他組織への影響を含めてセ
CPS.AE-4 キュリティ事象がもたらす影響を特定することにより、セキュリティ脅威に関わる知識を最新のものとする。

推測される攻撃者の意図から、⾃組織及び関係する他組織を含む社会全体への影
響を把握する。

D-3-3

・組織は、IPA、JPCERT/CC、業界ISAC、セキュリティベンダー等と連携して情報収集し、脅威情報、脆弱性情報等を相互に関連付け
Advancedて、共有することによって、当該セキュリティインシデントの全容を把握する。
・セキュリティインシデント発⽣時において、マルウェアや攻撃者が配置したプログラムやスクリプトが発⾒された場合、それらの機能の解析を外部のセキュリティベンダー等に依頼する。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.6.1.5

プロジェクトの種類にかかわらず，

プロジェクトマネジ

プロジェクトマネジメントにおいてメントにおける情報

は，情報セキュリティに取り組まな

セキュリティ

ければならない。

対策要件ID

対策例

対策要件

・組織は、システムの調達にあたり以下に⽰すような要求事項を明⽰的に提⽰する。
-セキュリティ機能に関する要求事項-セキュリティ強度に関する要求事項

CPS.IP-3

・システムを管理するためのシステム開

H-Advanced

発ライフサイクルを導⼊する。

-セキュリティ保証に関する要求事項-セキュリティ関連のドキュメントに関する要求事項-セキュリティ関連のドキュメントの保護に関する要求事項-そのシステムの開発環境と、そのシステムを稼働させる予定の環境についての記述-受け⼊れ基準

Advanced

A.6.2

A.6.2.1

モバイル機器を⽤いることによってモバイル機器及びテモバイル機器の⽅針

⽣じるリスクを管理するために，⽅レワーキング・組織は、 情報セキュリティ上の考慮事項を含むシステム開発ライフサイクルに従ってシステムを管理するとともに、システム開発ラ
イフサイクル全体を通じた情報セキュリティリスクマネジメントプロセスを実施する。
・組織は、⾃組織の情報システム及び産業⽤制御システムを構成する資産（IoT機器等を含むハードウェア、ソフトウェア、情報）を⼀意に特定し、各々の資産に管理責任者を割り当てた上で、資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、定期的⼜はオペレータ等の求めに応じて、リアルタイムで状況を把握しながら⽬録を維持・管理する。

針及びその⽅針を⽀援するセキュリ

・情報システムは、組織が定めたベースライン構成に対して、把握された実際の構成が適合しているかを定期的に監査し、例外として

ティ対策を採⽤しなければならな組織に許可されているものを除き、接続を遮断する等、適切に対応する。

い。
H-Advanced

・情報システム及び産業⽤制御システムは、許可されていない資産を⾃動的に検出し、管理情報から外す・システムから切り離す等を実⾏するメカニズムを導⼊、運⽤している。
※ 関連する対策要件に、CPS.CM-6がある。
[参考] 重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）のP.44〜P.46 に記載された情報の機密性、完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA, 2018年）のP.21に記載された事業被害の⼤きさにおける評価を⽤いる⽅法等がある・システムを構成するハードウェア、ソ・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維フトウェア及びその管理情報（例︓名持・管理する。

CPS.AM-1 称、バージョン、ネットワークアドレ
ス、管理責任者、ライセンス情報）の⼀
覧を作成し、適切に管理する。

・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す
Advancedる。
・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。
・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切に把握し、管理する。
・組織は、⾃組織の情報システムや産業⽤制御システムを構成する資産（ハードウェア、ソフトウェア、情報）を特定し、各々の資産に管理責任者を割り当てた上で、⽬録として⼀覧を⽂書化する。
・資産は保有するものすべてを⼀覧化することが望ましいが、対象が膨⼤な場合、分析対象の統合（グループ化）と分析対象からの除外を通じて、対象とする資産を絞り込むことを検討する。

Basic

・組織は、洗い出した資産を、⾃組織の事業運営における重要度に応じて優先順位づけする。
[参考] 資産⽬録（情報資産管理台帳）の作成に当たっては、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年)のP47を参照することが可能である。また、対象の絞込みに関するより詳細な説明は、「制御システムのセキュリティリスク分析ガイ
ド 第2版」(IPA, 2018年)における 3.1.4. 分析対象とする資産の絞り込み を参照することが可能である。
・システムは、⾃組織が利⽤している外部情報システムサービスを⼀覧化し、リアルタイムで利⽤しているサービスとともに利⽤者・機器等を管理している。

・⾃組織の資産が接続している外部情報

H-Advanced・システムは、利⽤を許可していない外部情報システムサービスを検知した場合、システム管理者へ通知するメカニズムを利⽤する。
・組織は、外部プロバイダによる情報システムサービスを使⽤する際に必要な機能、ポート、プロトコル及び他のサービスを明確にする。

CPS.AM-5 システムの⼀覧を作成し、適切に管理する。

・組織は、外部の情報システムを所有、運⽤する他の組織に対して、下記を許可するうえでの条件を設定する。
Advanceda. 外部の情報システムから⾃組織の情報システムにアクセスすること
b. 外部の情報システムを使⽤して⾃組織の管理下にある情報を処理または保存もしくは伝送すること
・外部のシステム上に接続された⾃組織が所有するストレージの許可された個⼈による使⽤を制限する。

CPS.AC-3・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

D-3-4

Advanced

・組織は、⾃組織で利⽤する携帯機器を制限し、携帯機器の設定要件、接続要件、実装ガイダンス等を定める。
・組織は、⾃組織で利⽤する携帯機器から⾃組織のシステムの接続に関する承認ルール等を定める。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、⾃組織の情報システム及び産業⽤制御システム上で実⾏を許可するソフトウェアの⼀覧（ホワイトリスト）、⼜は禁⽌する
H-Advanced ソフトウェアの⼀覧（ブラックリスト）を⽤いてソフトウェアの制限を実施する、あるいは、許可されていないソフトウェアのインス

CPS.IP-2

トールを不可とする。

・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

Advanced
Basic・組織は、⾃組織の情報システム及び産業⽤制御システム上でのユーザによるソフトウェアのインストールについて管理するメカニズ
ムを導⼊し、管理する。
・組織は、⾃組織の情報システム及び産業⽤制御システム上でのユーザによるソフトウェアのインストールに関するポリシーを確⽴
し、ユーザに遵守させる。
・監視カメラ等による常時モニタリングは実施していないが、⼊退室管理等により物理アクセスログを取得している場合、定期的に、また、インシデントあるいはその兆候が顕在化した際に監査ログをレビューする。
・⾃組織の保護すべき資産に直接アクセス可能なエリア（執務室等）において、⾃組織の担当者が来客に付き添って、来客の⾏動をモ
ニタリングする。

・IoT機器、サーバ等の重要性を考慮

Advanced

・組織は、IoT機器、サーバ等が設置されている⾃組織の業務上重要な施設に対する物理アクセスを監視カメラ等によりモニタリングすることによって、物理的なセキュリティインシデントを早期に検出し、対応できるようにする。

CPS.CM-2 し、適切な物理的アクセスの設定及び記・⾃組織のオペレーションにとって重要度が⾼いと考えられるIoT機器、サーバ等のモノであるが、遠隔地に存在している等の理由によ録、監視を実施する。

り上記の物理的セキュリティ対策の実装が難しいと考えられる場合、耐タンパー性の⾼い機器を利⽤する(CPS.DS-6)等して、機器⾃体の物理セキュリティ特性を⾼めることで対策することを検討する。
・コスト等の問題により、物理的アクセスを制御すべきエリアに⼊退室管理、映像監視等の対策が実施できない場合、⾃組織の担当者
Basic

が来客に付き添うなどして⼈⼿による代替的な対策を実施する。
・施設内の、⼀般の⼈がアクセスできない指定エリアに対するアクセスを制御するための、⼊退室管理対策を実施する。
・組織は、個⼈の物理的なアクセスを許可する前に、当該要員のアクセス権限を確認し、⼊退室時のログを保持する。
・情報システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知する。

・指⽰された動作内容と実際の動作結果

・エンドポイント（IoT機器、サーバ等）において、マルウェアに対するパターンファイル型の検出・修復ソフトウェアを導⼊することを⽐較して、異常の検知や動作の停⽌を
CPS.CM-3

⾏うIoT機器を導⼊する。
・サイバー空間から受ける情報が悪質なで、攻撃コードの検知を実施する。
Advanced

・特に、機能が限定されているIoT機器において、ホワイトリスト型のマルウェア対策を実施することを考慮する。
※ 特にIoT機器や制御機器においては、マルウェア対策ソフトが利⽤可能なOSが使⽤されているとは限らないケースがある。組織コードを含んでおらず、許容範囲内であは、調達時等に導⼊する機器がマルウェア対策ソフトに対応できるものかを確認し、対応可能なものを選定することが望ましい。マルることを動作前に検証する。

ウェア対策ソフトに対応する機器を調達することが困難な場合、ネットワーク上でマルウェアを検知する仕組みを導⼊・強化する等、代替的な対策を実施することが望ましい。

A.6.2.2

テレワーキングの場所でアクセス，

テレワーキング

処理及び保存される情報を保護するために，⽅針及びその⽅針を⽀援するセキュリティ対策を実施しなけれAdvanced

CPS.AC-3・無線接続先（ユーザーやIoT機器、サーバ等）を正しく認証する。

・組織は、⾃組織で利⽤する携帯機器を制限し、携帯機器の設定要件、接続要件、実装ガイダンス等を定める。
・組織は、⾃組織で利⽤する携帯機器から⾃組織のシステムの接続に関する承認ルール等を定める。
・組織は、許可しているリモートアクセスのタイプごとに使⽤制限・構成要件・実装ガイダンス等を定める。

Basic

ばならない。

・組織は、許可されていない無線接続を原則禁⽌とする。
・組織は、⾃組織の情報システム及び産業⽤制御システムへのリモートアクセスの利⽤に関する承認ルール等を定める。
・組織は、⾃組織のシステムへの無線によるアクセスを許可するのに先⽴って、無線でシステムにアクセスする権限を与える。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ・IoT機器やユーザーによる構成要素

H-Advanced

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

（モノ／システム等）への論理的なアク
CPS.AC-9とをあらかじめ確認する。

セスを、取引のリスク（個⼈のセキュリ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

ティ、プライバシーのリスク及びその他・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っの組織的なリスク）に⾒合う形で認証・た認証を実施する。

認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。

・IoT機器、サーバ等の間、サイバー空

H-Advanced

替の物理的な対策によって保護する。
・情報システムは、暗号メカニズムを導⼊し、通信経路を暗号化する。

CPS.DS-3 間で通信が⾏われる際、通信経路を暗号
Advanced化する。

・組織は、情報システム及び産業⽤制御システムを構成する重要なデータを扱う通信路について、通信経路の暗号化を実装する⼜は代[参考] 通信経路の暗号化には、IP-VPN、Ipsec-VPN、SSL-VPN等の⽅式が存在する。組織は、通信路を流れるデータの重要度や、かけられるコスト等を考慮しつつ、⽅式を選定することが望ましい。

D-3-5

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・情報システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知する。

・指⽰された動作内容と実際の動作結果

・エンドポイント（IoT機器、サーバ等）において、マルウェアに対するパターンファイル型の検出・修復ソフトウェアを導⼊することを⽐較して、異常の検知や動作の停⽌を
CPS.CM-3

⾏うIoT機器を導⼊する。
・サイバー空間から受ける情報が悪質なで、攻撃コードの検知を実施する。
Advanced

・特に、機能が限定されているIoT機器において、ホワイトリスト型のマルウェア対策を実施することを考慮する。
※ 特にIoT機器や制御機器においては、マルウェア対策ソフトが利⽤可能なOSが使⽤されているとは限らないケースがある。組織コードを含んでおらず、許容範囲内であは、調達時等に導⼊する機器がマルウェア対策ソフトに対応できるものかを確認し、対応可能なものを選定することが望ましい。マルることを動作前に検証する。

ウェア対策ソフトに対応する機器を調達することが困難な場合、ネットワーク上でマルウェアを検知する仕組みを導⼊・強化する等、代替的な対策を実施することが望ましい。

A.7

A.7.1

A.7.1.1

全ての従業員候補者についての経歴

⼈的資源のセキュリ

雇⽤前

選考などの確認は，関連する法令，規制

ティ

及び倫理に従って⾏わなければなら・組織は、⾃組織のIoT機器、サーバ等について識別⼦を割り当てるとともに、識別⼦が再利⽤することを防⽌、⼀定期間が経過した識・IoT機器、サーバ等が実施する通信
CPS.AC-8ない。また，この確認は，事業上のは、適切な⼿順で識別されたエンティ
ティ（ヒト／モノ／システム等）との通別⼦を無効にすることで、識別を管理する。
Basic

要求事項，アクセスされる情報の分・情報システム及び産業⽤制御システムは、⾃組織のIoT機器、サーバ等について、ネットワークでの接続を確⽴する前に、それらのデバイスを⼀意に識別し、認証する仕組みを備える。

信に限定する。

・IoT機器での通信は、通信を拒否することをデフォルトとし、例外として利⽤するプロトコルを許可する。
・組織は、要員が⾃組織内で配置転換／異動になった場合に、要員の配置転換／異動によりシステムや⼊退室管理等に関するアクセス

類及び認識されたリスクに応じて⾏権限の変更を実施する。

わなければならない。

・要員が組織を離れるときの影響を最⼩限に抑えるために、運⽤と保守を含む供給者関係の重要な役割について、現担当者のバック
Advanced

・組織は、⾃組織のシステムに対するアクセスの変更等の再審査が必要な条件を定め、要員の再審査を実施する。
・組織は、要員の退職時に、情報セキュリティをトピックとした退職者⾯接を実施する。

・⼈の異動に伴い⽣じる役割の変更に対
CPS.IP-9

アップ要員を指定する。

・組織は、機密情報を扱う要員に対しては特に、採⽤から退職に⾄るまでのサイクル全体に渡り、セキュリティ上の責任に対処する。

応した対策にセキュリティに関する事項（例︓アクセス権限の無効化、従業員に・組織は、雇⽤条件においてセキュリティに係る要員の責任について明記する。雇⽤終了後の情報漏えい等を抑⽌するため、この責任対する審査）を含める。

は、雇⽤終了後の妥当な期間に渡って持続するよう記載する。
・組織は、⾃組織のシステムに対するアクセスを許可する前に、要員を審査する。
Basic

・組織は、要員の退職時に以下を実施する。
-⾃組織のシステムに対するアクセスを⼀定期間内に無効にする。
-職員に関連する認証及びクレデンシャルを無効にする。
-セキュリティに関連するシステム関連の所有物をすべて回収する。
-退職する個⼈が管理していた組織の情報と情報システムに対するアクセスを保持する。

A.7.1.2

従業員及び契約相⼿との雇⽤契約書

雇⽤条件には，情報セキュリティに関する各・組織は、要員が⾃組織内で配置転換／異動になった場合に、要員の配置転換／異動によりシステムや⼊退室管理等に関するアクセス
権限の変更を実施する。
・要員が組織を離れるときの影響を最⼩限に抑えるために、運⽤と保守を含む供給者関係の重要な役割について、現担当者のバック

⾃の責任及び組織の責任を記載しなければならない。

Advanced

・組織は、⾃組織のシステムに対するアクセスの変更等の再審査が必要な条件を定め、要員の再審査を実施する。
・組織は、要員の退職時に、情報セキュリティをトピックとした退職者⾯接を実施する。

・⼈の異動に伴い⽣じる役割の変更に対
CPS.IP-9

アップ要員を指定する。

・組織は、機密情報を扱う要員に対しては特に、採⽤から退職に⾄るまでのサイクル全体に渡り、セキュリティ上の責任に対処する。

応した対策にセキュリティに関する事項（例︓アクセス権限の無効化、従業員に・組織は、雇⽤条件においてセキュリティに係る要員の責任について明記する。雇⽤終了後の情報漏えい等を抑⽌するため、この責任対する審査）を含める。

は、雇⽤終了後の妥当な期間に渡って持続するよう記載する。
・組織は、⾃組織のシステムに対するアクセスを許可する前に、要員を審査する。
Basic

・組織は、要員の退職時に以下を実施する。
-⾃組織のシステムに対するアクセスを⼀定期間内に無効にする。
-職員に関連する認証及びクレデンシャルを無効にする。
-セキュリティに関連するシステム関連の所有物をすべて回収する。
-退職する個⼈が管理していた組織の情報と情報システムに対するアクセスを保持する。

D-3-6

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.7.2

A.7.2.1

経営陣は，組織の確⽴された⽅針及雇⽤期間中

経営陣の責任び⼿順に従った情報セキュリティの対策要件ID

対策例

対策要件

H-Advanced ・組織は、内部不正の兆候を認識・報告するためのセキュリティ意識向上トレーニングを、全要員に対して実施する。

・組織は、基本的なセキュリティ意識向上トレーニングを定期的に全職員に対して実施する。組織は、CPS.AT-1＜Basic＞の[参考]に記載されている⼀般的な事項を解説しているコンテンツに加えて、組織によって内容が異なる内容として、例えば、下記の事項を扱う

適⽤を，全ての従業員及び契約相⼿ことができる。

に要求しなければならない。

- 不審なメールを受信した際の対応⼿順（どこにどのような内容を連絡すればよいか）

・⾃組織の全ての要員に対して、セキュAdvanced- モバイル端末利⽤の注意点（例︓公衆無線LANに接続する際の注意点）- SNSを利⽤する際の注意点

リティインシデントの発⽣とその影響を・組織は、情報セキュリティ要員の育成とレベル向上のための役割別（例︓システム/ソフトウェア開発者、調達担当者、システム管理

CPS.AT-1 抑制するために割り当てられた役割と責者、セキュリティ対策担当者）のプログラムを作成し、定期的に該当する要員に対して実施する。

任を遂⾏するための適切な訓練、教育を・組織は、⾃組織の要員に対するセキュリティに係る教育・訓練の記録を定期的にレビューする。

実施し、その記録を管理する。

・組織は、⾃組織の利⽤する情報システム及び産業⽤制御システムに対する変更により必要になった場合や新規職員に対して基本的なセキュリティ意識向上トレーニングを実施する。
Basic

・組織は、⾃組織の要員に対するセキュリティに係る教育・訓練の内容や結果等について記録し、管理する。
[参考] 組織が従業員等に対してセキュリティ教育を実施する際、IPAが公開している「情報セキュリティ読本 教育⽤プレゼン資料」の内容を参照することが可能である。
・組織は、要員が⾃組織内で配置転換／異動になった場合に、要員の配置転換／異動によりシステムや⼊退室管理等に関するアクセス
権限の変更を実施する。
・要員が組織を離れるときの影響を最⼩限に抑えるために、運⽤と保守を含む供給者関係の重要な役割について、現担当者のバック

Advanced

・組織は、⾃組織のシステムに対するアクセスの変更等の再審査が必要な条件を定め、要員の再審査を実施する。
・組織は、要員の退職時に、情報セキュリティをトピックとした退職者⾯接を実施する。

・⼈の異動に伴い⽣じる役割の変更に対
CPS.IP-9

アップ要員を指定する。

・組織は、機密情報を扱う要員に対しては特に、採⽤から退職に⾄るまでのサイクル全体に渡り、セキュリティ上の責任に対処する。

応した対策にセキュリティに関する事項（例︓アクセス権限の無効化、従業員に・組織は、雇⽤条件においてセキュリティに係る要員の責任について明記する。雇⽤終了後の情報漏えい等を抑⽌するため、この責任対する審査）を含める。

は、雇⽤終了後の妥当な期間に渡って持続するよう記載する。
・組織は、⾃組織のシステムに対するアクセスを許可する前に、要員を審査する。
Basic

・組織は、要員の退職時に以下を実施する。
-⾃組織のシステムに対するアクセスを⼀定期間内に無効にする。
-職員に関連する認証及びクレデンシャルを無効にする。
-セキュリティに関連するシステム関連の所有物をすべて回収する。
-退職する個⼈が管理していた組織の情報と情報システムに対するアクセスを保持する。

A.7.2.2

組織の全ての従業員，及び関係する

情報セキュリティの場合には契約相⼿は，職務に関連す

意識向上，教育及びる組織の⽅針及び⼿順についての，訓練

適切な，意識向上のための教育及びH-Advanced ・組織は、内部不正の兆候を認識・報告するためのセキュリティ意識向上トレーニングを、全要員に対して実施する。

・組織は、基本的なセキュリティ意識向上トレーニングを定期的に全職員に対して実施する。組織は、CPS.AT-1＜Basic＞の[参考]に記載されている⼀般的な事項を解説しているコンテンツに加えて、組織によって内容が異なる内容として、例えば、下記の事項を扱うことができる。
- 不審なメールを受信した際の対応⼿順（どこにどのような内容を連絡すればよいか）

訓練を受けなければならず，また，・⾃組織の全ての要員に対して、セキュ定めに従ってその更新を受けなければならない。

Advanced- モバイル端末利⽤の注意点（例︓公衆無線LANに接続する際の注意点）- SNSを利⽤する際の注意点

リティインシデントの発⽣とその影響を・組織は、情報セキュリティ要員の育成とレベル向上のための役割別（例︓システム/ソフトウェア開発者、調達担当者、システム管理

CPS.AT-1 抑制するために割り当てられた役割と責者、セキュリティ対策担当者）のプログラムを作成し、定期的に該当する要員に対して実施する。

任を遂⾏するための適切な訓練、教育を・組織は、⾃組織の要員に対するセキュリティに係る教育・訓練の記録を定期的にレビューする。

実施し、その記録を管理する。

・組織は、⾃組織の利⽤する情報システム及び産業⽤制御システムに対する変更により必要になった場合や新規職員に対して基本的なセキュリティ意識向上トレーニングを実施する。
Basic

・組織は、⾃組織の要員に対するセキュリティに係る教育・訓練の内容や結果等について記録し、管理する。
[参考] 組織が従業員等に対してセキュリティ教育を実施する際、IPAが公開している「情報セキュリティ読本 教育⽤プレゼン資料」の内容を参照することが可能である。

A.7.2.3

情報セキュリティ違反を犯した従業懲戒⼿続員に対して処置をとるための，正式・組織は、要員が⾃組織内で配置転換／異動になった場合に、要員の配置転換／異動によりシステムや⼊退室管理等に関するアクセス

かつ周知された懲戒⼿続を備えなければならない。

権限の変更を実施する。

・⼈の異動に伴い⽣じる役割の変更に対
CPS.IP-9

応した対策にセキュリティに関する事項（例︓アクセス権限の無効化、従業員に・要員が組織を離れるときの影響を最⼩限に抑えるために、運⽤と保守を含む供給者関係の重要な役割について、現担当者のバック
Advanced

アップ要員を指定する。
・組織は、⾃組織のシステムに対するアクセスの変更等の再審査が必要な条件を定め、要員の再審査を実施する。
・組織は、要員の退職時に、情報セキュリティをトピックとした退職者⾯接を実施する。

対する審査）を含める。

・組織は、機密情報を扱う要員に対しては特に、採⽤から退職に⾄るまでのサイクル全体に渡り、セキュリティ上の責任に対処する。

D-3-7

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.7.3

A.7.3.1

雇⽤の終了⼜は変更の後もなお有効

雇⽤の終了及び変更

雇⽤の終了⼜は変更

な情報セキュリティに関する責任及に関する責任び義務を定め，その従業員⼜は契約相⼿に伝達し，かつ，遂⾏させなけ
ればならない。

A.8

A.8.1

A.8.1.1

情報及び情報処理施設に関連する資資産の管理資産に対する責任

資産⽬録

産を特定しなければならない。ま

対策要件ID

対策例

対策要件

・組織は、要員が⾃組織内で配置転換／異動になった場合に、要員の配置転換／異動によりシステムや⼊退室管理等に関するアクセス
権限の変更を実施する。

・⼈の異動に伴い⽣じる役割の変更に対
CPS.IP-9

応した対策にセキュリティに関する事項（例︓アクセス権限の無効化、従業員に・要員が組織を離れるときの影響を最⼩限に抑えるために、運⽤と保守を含む供給者関係の重要な役割について、現担当者のバック
Advanced

アップ要員を指定する。
・組織は、⾃組織のシステムに対するアクセスの変更等の再審査が必要な条件を定め、要員の再審査を実施する。
・組織は、要員の退職時に、情報セキュリティをトピックとした退職者⾯接を実施する。

対する審査）を含める。

・組織は、機密情報を扱う要員に対しては特に、採⽤から退職に⾄るまでのサイクル全体に渡り、セキュリティ上の責任に対処する。
・組織は、⾃組織の情報システム及び産業⽤制御システムを構成する資産（IoT機器等を含むハードウェア、ソフトウェア、情報）を⼀意に特定し、各々の資産に管理責任者を割り当てた上で、資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、定期的⼜はオペレータ等の求めに応じて、リアルタイムで状況を把握しながら⽬録を維持・管理する。

た，これらの資産の⽬録を，作成

・情報システムは、組織が定めたベースライン構成に対して、把握された実際の構成が適合しているかを定期的に監査し、例外としてし，維持しなければならない。

組織に許可されているものを除き、接続を遮断する等、適切に対応する。
H-Advanced

・情報システム及び産業⽤制御システムは、許可されていない資産を⾃動的に検出し、管理情報から外す・システムから切り離す等を実⾏するメカニズムを導⼊、運⽤している。
※ 関連する対策要件に、CPS.CM-6がある。
[参考] 重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）のP.44〜P.46 に記載された情報の機密性、完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA, 2018年）のP.21に記載された事業被害の⼤きさにおける評価を⽤いる⽅法等がある・システムを構成するハードウェア、ソ・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維フトウェア及びその管理情報（例︓名持・管理する。

CPS.AM-1 称、バージョン、ネットワークアドレ
ス、管理責任者、ライセンス情報）の⼀
覧を作成し、適切に管理する。

・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す
Advancedる。
・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。
・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切に把握し、管理する。
・組織は、⾃組織の情報システムや産業⽤制御システムを構成する資産（ハードウェア、ソフトウェア、情報）を特定し、各々の資産に管理責任者を割り当てた上で、⽬録として⼀覧を⽂書化する。
・資産は保有するものすべてを⼀覧化することが望ましいが、対象が膨⼤な場合、分析対象の統合（グループ化）と分析対象からの除外を通じて、対象とする資産を絞り込むことを検討する。

Basic

・組織は、洗い出した資産を、⾃組織の事業運営における重要度に応じて優先順位づけする。
[参考] 資産⽬録（情報資産管理台帳）の作成に当たっては、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年)のP47を参照することが可能である。また、対象の絞込みに関するより詳細な説明は、「制御システムのセキュリティリスク分析ガイ
ド 第2版」(IPA, 2018年)における 3.1.4. 分析対象とする資産の絞り込み を参照することが可能である。

D-3-8

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.8.1.2

⽬録の中で維持される資産は，管理

資産の管理責任されなければならない。

対策要件ID

対策例

対策要件

・組織は、⾃組織の情報システム及び産業⽤制御システムを構成する資産（IoT機器等を含むハードウェア、ソフトウェア、情報）を⼀意に特定し、各々の資産に管理責任者を割り当てた上で、資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、定期的⼜はオペレータ等の求めに応じて、リアルタイムで状況を把握しながら⽬録を維持・管理する。

a)・情報システムは、組織が定めたベースライン構成に対して、把握された実際の構成が適合しているかを定期的に監査し、例外として

注a)

組織に許可されているものを除き、接続を遮断する等、適切に対応する。

6.1.2及び 6.1.3 では，情報セキュ
H-Advanced

リティのリスクを運⽤管理することについて，責任及び権限をもつ⼈⼜・情報システム及び産業⽤制御システムは、許可されていない資産を⾃動的に検出し、管理情報から外す・システムから切り離す等を実⾏するメカニズムを導⼊、運⽤している。
※ 関連する対策要件に、CPS.CM-6がある。

は主体をリスク所有者としている。
情報セキュリティにおいて，多くの[参考] 重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）のP.44〜P.46 に記載された

場合，資産の管理責任を負う者は，情報の機密性、完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA, 2018

リスク所有者でもある。

年）のP.21に記載された事業被害の⼤きさにおける評価を⽤いる⽅法等がある・システムを構成するハードウェア、ソ・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維フトウェア及びその管理情報（例︓名持・管理する。

CPS.AM-1 称、バージョン、ネットワークアドレ
ス、管理責任者、ライセンス情報）の⼀
覧を作成し、適切に管理する。

・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す
Advancedる。
・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。
・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切に把握し、管理する。
・組織は、⾃組織の情報システムや産業⽤制御システムを構成する資産（ハードウェア、ソフトウェア、情報）を特定し、各々の資産に管理責任者を割り当てた上で、⽬録として⼀覧を⽂書化する。
・資産は保有するものすべてを⼀覧化することが望ましいが、対象が膨⼤な場合、分析対象の統合（グループ化）と分析対象からの除外を通じて、対象とする資産を絞り込むことを検討する。

Basic

・組織は、洗い出した資産を、⾃組織の事業運営における重要度に応じて優先順位づけする。
[参考] 資産⽬録（情報資産管理台帳）の作成に当たっては、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年)のP47を参照することが可能である。また、対象の絞込みに関するより詳細な説明は、「制御システムのセキュリティリスク分析ガイ
ド 第2版」(IPA, 2018年)における 3.1.4. 分析対象とする資産の絞り込み を参照することが可能である。

A.8.1.3

情報の利⽤の許容範囲，並びに情報資産利⽤の許容範囲

及び情報処理施設と関連する資産の・組織は、⾃組織の情報システム及び産業⽤制御システムを構成する資産（IoT機器等を含むハードウェア、ソフトウェア、情報）を⼀意に特定し、各々の資産に管理責任者を割り当てた上で、資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、定期的⼜はオペレータ等の求めに応じて、リアルタイムで状況を把握しながら⽬録を維持・管理する。

利⽤の許容範囲に関する規則は，明・情報システムは、組織が定めたベースライン構成に対して、把握された実際の構成が適合しているかを定期的に監査し、例外として

確にし，⽂書化し，実施しなければ組織に許可されているものを除き、接続を遮断する等、適切に対応する。

ならない。
H-Advanced

・情報システム及び産業⽤制御システムは、許可されていない資産を⾃動的に検出し、管理情報から外す・システムから切り離す等を実⾏するメカニズムを導⼊、運⽤している。
※ 関連する対策要件に、CPS.CM-6がある。

・システムを構成するハードウェア、ソフトウェア及びその管理情報（例︓名[参考] 重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）のP.44〜P.46 に記載された

CPS.AM-1 称、バージョン、ネットワークアドレ

情報の機密性、完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA, 2018

ス、管理責任者、ライセンス情報）の⼀

年）のP.21に記載された事業被害の⼤きさにおける評価を⽤いる⽅法等がある

覧を作成し、適切に管理する。

・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維持・管理する。
・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す
Advancedる。
・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。
・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切に把握し、管理する。

D-3-9

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.8.1.4

全ての従業員及び外部の利⽤者は，資産の返却

雇⽤，契約⼜は合意の終了時に，⾃対策要件ID

対策例

対策要件

・組織は、要員が⾃組織内で配置転換／異動になった場合に、要員の配置転換／異動によりシステムや⼊退室管理等に関するアクセス
権限の変更を実施する。
・要員が組織を離れるときの影響を最⼩限に抑えるために、運⽤と保守を含む供給者関係の重要な役割について、現担当者のバックらが所持する組織の資産の全てを返却しなければならない。

Advanced

・組織は、⾃組織のシステムに対するアクセスの変更等の再審査が必要な条件を定め、要員の再審査を実施する。
・組織は、要員の退職時に、情報セキュリティをトピックとした退職者⾯接を実施する。

・⼈の異動に伴い⽣じる役割の変更に対
CPS.IP-9

アップ要員を指定する。

・組織は、機密情報を扱う要員に対しては特に、採⽤から退職に⾄るまでのサイクル全体に渡り、セキュリティ上の責任に対処する。

応した対策にセキュリティに関する事項（例︓アクセス権限の無効化、従業員に・組織は、雇⽤条件においてセキュリティに係る要員の責任について明記する。雇⽤終了後の情報漏えい等を抑⽌するため、この責任対する審査）を含める。

は、雇⽤終了後の妥当な期間に渡って持続するよう記載する。
・組織は、⾃組織のシステムに対するアクセスを許可する前に、要員を審査する。
Basic

・組織は、要員の退職時に以下を実施する。
-⾃組織のシステムに対するアクセスを⼀定期間内に無効にする。
-職員に関連する認証及びクレデンシャルを無効にする。
-セキュリティに関連するシステム関連の所有物をすべて回収する。
-退職する個⼈が管理していた組織の情報と情報システムに対するアクセスを保持する。

A.8.2

A.8.2.1

情報は，法的要求事項，価値，重要

情報分類

情報の分類

性，及び認可されていない開⽰⼜は・組織は、情報システムや産業⽤制御システムにおけるリソース（データ及びデータを処理するモノ、システム等）を分類する際にAdvanced

変更に対して取扱いに慎重を要する

は、データを共有⼜は制限する業務上の要求及び法的要求事項を考慮する。
・当該資産の管理責任者は、データの分類に対して責任を負う。
・組織は、リソースの分類体系に分類の規則及びその分類を時間が経ってからレビューするための基準を含める。

度合いの観点から，分類しなければ・組織は、洗い出した情報システムや産業⽤制御システムにおける資産を、⾃組織にとっての重要度に応じて優先順位づけする。

ならない。

・関係する法規制等により、⾃組織のリソース（例︓システム、データ）について特定の分類に従うことが要求されている場合、該当・リソース（例︓モノ、データ、システする分類を資産に適⽤する。

ム）を、機能、重要度、ビジネス上の価
CPS.AM-6

・組織は、特に産業⽤制御システムにおけるモノ、システム等の分類、優先付けに当たっては、⾃組織の事業活動の適切でない運⽤に

値に基づいて分類、優先順位付けし、管よりHSE(Health, Safety and Environment)への悪影響が発⽣するかを考慮して実施する。

理責任を明確にした上で、業務上それらのリソースに関わる組織やヒトに伝達する。

・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、事業継続の観点から重要なリソース（関係する他組織、ヒBasicト、モノ、データ、システム等）と機能を特定し、優先順位付けする。
[参考] 資産の重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）の P.44〜46に記載された情報の機密性、完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA,
2018年）の P.21 に記載された事業被害の⼤きさにおける評価を⽤いる⽅法等がある。また、特に産業⽤制御システムにおける資産の重要度の判断基準については、「制御システムのセキュリティリスク分析ガイド 第2版」（IPA, 2018年）4.2.2及び4.2.3を参照する
ことができる。

・各種法令や関係組織間だけで共有する・組織は、各システム及び組織について、データ保護に関連する全ての法規制及び契約上の要求事項、並びにこれらの要求事項を満たすための組織の取組みを識別、⽂書化し、最新に保つ。

データの扱いに関する取決め等によって・組織は、識別したルールの分類に従い、⾃組織のデータを適切に分類する。

要求されるデータの保護の⽔準を的確にCPS.GV-3 把握し、それぞれの要求を踏まえたデー

Basic

タの区分⽅法を整備し、ライフサイクル

情報のラベル付けに関する適切な⼀情報のラベル付け

連の⼿順は，組織が採⽤した情報分の保護を⾏う。

・組織は、システム上での実⾏が許可されないソフトウェアプログラムを識別する。
・「ブラックリスト」あるいは「ホワイトリスト」管理により、そのシステム上で許可されていないソフトウェアプログラムを実⾏でH-Advanced きないようにする。

類体系に従って策定し，実施しなけ
ればならない。

れる場合は、当該データを⾃組織では⾮保持扱いとするような対策等の実施を検討することも考えられる。(例︓割賦販売法におけるカード情報の⾮保持化)

全体に渡って区分に応じた適切なデータ
A.8.2.2

・組織は、識別したルールの要求事項に従い、該当するデータを扱うシステム、モノ等に対策を実施する。対策の実装が困難と考えら・ブラックリストあるいはホワイトリストの⼀覧を定期的にレビューし、更新する。
・システムは、規定したルールに従って、プログラムの実⾏を阻⽌する。

・IoT機器、サーバ等の本体に対して、・組織は、システム、モノ等によって提供される機能とサービスをレビューし、削除の候補となる機能とサービスを特定する。

不要なネットワークポート、USB、シリ
CPS.PT-2 アルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機・組織は、禁⽌されている機能、ポート、プロトコル、サービスの使⽤を検知し防⽌するために、ネットワークスキャンツール、侵⼊Advanced

検知防⽌システム、エンドポイントプロテクション（ファイアウォール、ホストベースの侵⼊検知システム等）を活⽤する。
・組織は、IoT機器やPC、サーバ以外の機器であっても、複合機等のネットワークにつながる機器に対しては、不要な機能やサービス

能を必要最⼩限とする。

等を停⽌する。
・使⽤するUSBメモリ等の周辺機器は、管理台帳を作成し、保管場所を施錠して管理する。
Basic

・IoT機器、サーバ等に接続するUSBメモリ等の外部記憶媒体に対して、ウイルス対策ソフトによるチェック、ウイルスチェックが可能なUSBメモリを⽤いる等の対策を⾏う。
・使⽤しないUSBポート、シリアルポートは栓をするなど物理的に閉塞する。

D-3-10ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.8.2.3

資産の取扱いに関する⼿順は，組織資産の取扱いが採⽤した情報分類体系に従って策対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ

定し，実施しなければならない。
・IoT機器やユーザーによる構成要素

H-Advanced

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

（モノ／システム等）への論理的なアク
CPS.AC-9とをあらかじめ確認する。

セスを、取引のリスク（個⼈のセキュリ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

ティ、プライバシーのリスク及びその他・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っの組織的なリスク）に⾒合う形で認証・た認証を実施する。

認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・組織は、選択したアルゴリズムをソフトウェア及びハードウェアへ適切に実装し、暗号化された情報の復号⼜は電⼦署名の付与に⽤いる鍵、識別コード及び主体認証情報等を保護するため、暗号モジュール試験及び認証制度に基づく認証を取得している製品を選択す

H-Advanced る。

・⾃組織の保護すべきデータを組織外へ持ち出す場合、データを適切な強度で暗号化する。
・組織は、内部メモリのデータを暗号化して保管することのできるIoT機器を利⽤する。
・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、情報（データ）を適切な強度の⽅式で暗号化して保管する。CRYPTREC暗号リスト（電⼦政府推奨暗号リスト）に記載されたアルゴリズムが選択可能であれば、これを選択し、情CPS.DS-2

報（データ）を適切な強度の⽅式で暗号化して保管する。

・情報を適切な強度の⽅式で暗号化して・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、産業⽤制御システムが取り扱う重要度の⾼い保管する。
Advanced

情報（データ）を、パフォーマンスに許容できない影響が出ない範囲で適切な強度の⽅式で暗号化して保管する。
[参考] 暗号技術検討会及び関連委員会（CRYPTREC）では、安全性及び実装性能が確認された暗号技術について、市場における利⽤実
績が⼗分であるか今後の普及が⾒込まれると判断され、当該技術の利⽤を推奨するもののリストを「電⼦政府における調達のために参照すべき暗号のリスト」（CRYPTREC暗号リスト）として公開している。組織は、暗号機能を実装すべきシステム等を調達する場合、必要に応じて参照することが望ましい。

Basic

・IoT機器、サーバ等の廃棄時には、内CPS.IP-6（識別⼦）や重要情報（秘密鍵、電⼦証
明書等）を削除⼜は読み取りできない状態にする。

D-3-11（データ）を適切な強度の⽅式で暗号化して保管する。
・組織は、廃棄対象のIoT機器やサーバ等の内部に保存されている情報のセキュリティカテゴリ等の分類を定義し、その定義に従い必要な強度と完全性を備えた情報の削除⼜は読み取りできない状態にする技法を使い分けるメカニズムを導⼊する。

部に保存されているデータ及び、正規
IoT機器、サーバ等を⼀意に識別するID

・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、情報システムが取り扱う重要度の⾼い情報

H-Advanced

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.8.3

A.8.3.1

組織が採⽤した分類体系に従って，媒体の取扱い取外し可能な媒体の取外し可能な媒体の管理のための⼿管理順を実施しなければならない。

対策要件ID

対策例

対策要件

・組織は、⾃組織の情報システム及び産業⽤制御システムを構成する資産（IoT機器等を含むハードウェア、ソフトウェア、情報）を⼀意に特定し、各々の資産に管理責任者を割り当てた上で、資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、定期的⼜はオペレータ等の求めに応じて、リアルタイムで状況を把握しながら⽬録を維持・管理する。
・情報システムは、組織が定めたベースライン構成に対して、把握された実際の構成が適合しているかを定期的に監査し、例外として組織に許可されているものを除き、接続を遮断する等、適切に対応する。
H-Advanced

・情報システム及び産業⽤制御システムは、許可されていない資産を⾃動的に検出し、管理情報から外す・システムから切り離す等を実⾏するメカニズムを導⼊、運⽤している。
※ 関連する対策要件に、CPS.CM-6がある。

・システムを構成するハードウェア、ソフトウェア及びその管理情報（例︓名[参考] 重要度の算出⽅法には、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」（IPA, 2019年）のP.44〜P.46 に記載された

CPS.AM-1 称、バージョン、ネットワークアドレ

情報の機密性、完全性、可⽤性に関する評価を⽤いる⽅法や、「制御システムのセキュリティスク分析ガイド 第2版」（IPA, 2018

ス、管理責任者、ライセンス情報）の⼀

年）のP.21に記載された事業被害の⼤きさにおける評価を⽤いる⽅法等がある

覧を作成し、適切に管理する。

・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維持・管理する。
・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す
Advancedる。
・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。
・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切

・IoT機器、サーバ等の廃棄時には、内部に保存されているデータ及び、正規
CPS.IP-6

IoT機器、サーバ等を⼀意に識別するID（識別⼦）や重要情報（秘密鍵、電⼦証
明書等）を削除⼜は読み取りできない状態にする。

に把握し、管理する。
H-Advanced
Advanced
Basic・組織は、廃棄対象のIoT機器やサーバ等の内部に保存されている情報のセキュリティカテゴリ等の分類を定義し、その定義に従い必要な強度と完全性を備えた情報の削除⼜は読み取りできない状態にする技法を使い分けるメカニズムを導⼊する。
・組織は、⾃組織のIoT機器やサーバ等を廃棄するプロシージャを定め、そのプロシージャに従って内部に保存されている情報を削除⼜は読み取りできない状態し、適切に実施できたことを確認する。
・組織は、⾃組織のIoT機器やサーバ等を廃棄するに当たっては、内部に保存されている情報を削除⼜は読み取りできない状態にする。
・組織は、システム上での実⾏が許可されないソフトウェアプログラムを識別する。
・「ブラックリスト」あるいは「ホワイトリスト」管理により、そのシステム上で許可されていないソフトウェアプログラムを実⾏でH-Advanced きないようにする。

・ブラックリストあるいはホワイトリストの⼀覧を定期的にレビューし、更新する。
・システムは、規定したルールに従って、プログラムの実⾏を阻⽌する。

・IoT機器、サーバ等の本体に対して、・組織は、システム、モノ等によって提供される機能とサービスをレビューし、削除の候補となる機能とサービスを特定する。

不要なネットワークポート、USB、シリ
CPS.PT-2 アルポート等を物理的または論理的に閉塞することで、IoT機器、サーバ等の機・組織は、禁⽌されている機能、ポート、プロトコル、サービスの使⽤を検知し防⽌するために、ネットワークスキャンツール、侵⼊Advanced

検知防⽌システム、エンドポイントプロテクション（ファイアウォール、ホストベースの侵⼊検知システム等）を活⽤する。
・組織は、IoT機器やPC、サーバ以外の機器であっても、複合機等のネットワークにつながる機器に対しては、不要な機能やサービス

能を必要最⼩限とする。

等を停⽌する。
・使⽤するUSBメモリ等の周辺機器は、管理台帳を作成し、保管場所を施錠して管理する。
Basic

A.8.3.2

媒体が不要になった場合は，正式な媒体の処分⼿順を⽤いて，セキュリティを保って処分しなければならない。

・IoT機器、サーバ等の廃棄時には、内部に保存されているデータ及び、正規
CPS.IP-6

IoT機器、サーバ等を⼀意に識別するID（識別⼦）や重要情報（秘密鍵、電⼦証
明書等）を削除⼜は読み取りできない状態にする。

D-3-12・IoT機器、サーバ等に接続するUSBメモリ等の外部記憶媒体に対して、ウイルス対策ソフトによるチェック、ウイルスチェックが可能なUSBメモリを⽤いる等の対策を⾏う。
・使⽤しないUSBポート、シリアルポートは栓をするなど物理的に閉塞する。

H-Advanced
Advanced
Basic・組織は、廃棄対象のIoT機器やサーバ等の内部に保存されている情報のセキュリティカテゴリ等の分類を定義し、その定義に従い必要な強度と完全性を備えた情報の削除⼜は読み取りできない状態にする技法を使い分けるメカニズムを導⼊する。
・組織は、⾃組織のIoT機器やサーバ等を廃棄するプロシージャを定め、そのプロシージャに従って内部に保存されている情報を削除⼜は読み取りできない状態し、適切に実施できたことを確認する。
・組織は、⾃組織のIoT機器やサーバ等を廃棄するに当たっては、内部に保存されている情報を削除⼜は読み取りできない状態にする。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.8.3.3

情報を格納した媒体は，輸送の途中

物理的媒体の輸送における，認可されていないアクセ

対策要件ID

対策例

対策要件

・調達する機器に対して、契約におけるセキュリティ要求事項が満たせているかを、⾃組織あるいは第三者がテストする。
H-Advanced

ス，不正使⽤⼜は破損から保護しな・組織は、⾃組織のオペレーションにとって特に重要な機器について、再委託先以降の組織を含む関係するサプライチェーン全体に渡り、⼀定⽔準以上の品質管理能⼒、セキュリティマネジメント能⼒等を有した組織により、適切なプロシージャで製造されたものかを確認する。

ければならない。

・組織は、契約において、例えば下記のように、取引先から調達する製品・サービスが具備すべきセキュリティ要求事項を明確化する。
- セキュリティに関わる特定の認証（例︓ISMS認証、ISASecure EDSA認証、ITセキュリティ評価及び認証制度(JISEC)）を有していること

・外部の組織との契約を⾏う場合、⽬的- ベンダー⾃⾝により、セキュリティに関わる特定の認証の基準に適合する対策を実施していることが確認されていること

及びリスクマネジメントの結果を考慮
CPS.SC-4- リスク分析の結果等から導かれた必要なセキュリティ要件を設計時からの実装（セキュリティ・バイ・デザイン）し、検査していし、⾃組織のセキュリティに関する要求ること事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。

・組織は、調達計画時に、製品またはサービス⾃体、あるいは当該製品・サービスの調達・供給にて使⽤される資産の保護に係るセAdvanced

キュリティ要件の費⽤を確保しておくことが望ましい。
・下記を含む製品またはサービスの調達または供給を評価するためのセキュリティ測定ルールを策定し、運⽤及び改善する。
- 測定対象の内容- 措置の報告⽅法、報告の頻度- 措置が実施されない場合に遂⾏される措置・組織は、搬送中の改ざん・漏えいを検知(⼜は抑⽌)する⼿段とともに納品されるIoT機器やソフトウェアが、不正操作されていないかを確認する。
- 物品︓セキュリティ便、プロテクトシール等

A.9

A.9.1

A.9.1.1

アクセス制御⽅針は，業務及び情報アクセス制御アクセス制御に対す

アクセス制御⽅針

セキュリティの要求事項に基づいてる業務上の要求事項- 電送︓暗号化、電送データ全体のハッシュ値等
・組織は、⾃組織の情報システム及び産業⽤制御システムにおけるアカウントの管理について、例えば以下のような⾃動化されたメカ
ニズムを導⼊し、運⽤する。
- 管理対象となるシステムからアカウント情報を定期的に⾃動収集する確⽴し，⽂書化し，レビューしなけ- 特権アカウントのパスワードを⾃動で変更する

ればならない。

H-Advanced ・産業⽤制御システムは、統合されたアカウント管理をサポートする。

・情報システムは、⾃組織のシステムの⼀時利⽤アカウントや緊急アカウント、利⽤されていないアカウントについて、⼀定期間の経過後⼜は申請時利⽤期限終了後に⾃動的に無効にする。
・情報システムは、⾃組織が利⽤するシステムのアカウント作成・変更・削除に伴うアカウントの有効化及び無効化について⾃動的に監査・報告する。
・組織は、システムアカウントの作成に当たっては、管理責任者による承認を必須とする。
・共有ユーザアカウントに関しては、認証情報を知りえるユーザを⼀覧等で管理し、アカウントを利⽤する範囲を特定可能にする。
・組織は、情報システムにおけるシステムアカウントの利⽤状況をモニタリングする。
・組織は、アカウントが不要にな-った場合や変更が必要となった場合には管理責任者に通知する。
Advanced

・組織は、情報システム及び産業⽤制御システムにおいてパスワードが変更された場合、ユーザー（または管理責任者）に通知する。

・承認されたモノとヒト及びプロシー
CPS.AC-1

・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システムは、クレデンシャルを忘れてしまった際等にクレデンシャルを再設定する場合、悪意ある者によるクレデンシャルの不ジャの識別情報と認証情報を発効、管

正な変更を防ぐため、当該アカウントが⾃⾝のものかどうかを確認するための安全な⼿順を適⽤する。

理、確認、取消、監査するプロシージャ
・組織は、⾃組織の情報システム及び産業⽤制御システムのアカウントを管理する管理責任者を配置する。

を確⽴し、実施する。

・組織は、組織のミッションや業務機能を考慮して、必要なシステムアカウント種別（例︓⼀般ユーザ／システム管理者／共有ユーザ／⼀時的なユーザ）を識別・選択する。
・組織は、事前に定められたプロシージャに従ってシステムアカウントを作成、有効化し、必要に応じて変更・無効化・削除を実施する。
・組織は、⾃組織の情報システム及び産業⽤制御システムに対するクレデンシャル（例︓パスワード、セキュリティキー）のポリシーを定め、そのポリシーを満たすクレデンシャルでなければ設定できない機能を実装する。ポリシーの内容の例としては、下記が挙げら
Basic

れる。
- クレデンシャルに最低限必要な複雑さを確保するため、パスワードに求める要求事項を定め、運⽤する。
- 新しいクレデンシャルが作成される際には、少なくとも組織が定めた⽂字数に変更させる。
- 暗号によって保護されたクレデンシャルのみを保存・伝送する。
- 同じクレデンシャルを組織が定めた世代にわたって再利⽤するのを禁⽌する。
・クレデンシャルを忘れてしまった際等に、強固なパスワードにすぐに変更するのを条件に、システムへのログオン時に、⼀時的なク
レデンシャルを使⽤することを許可する。
・組織は、複数のユーザが単⼀のグループとして機能する場合を除き、情報システム及び産業⽤制御システムにおいてユーザ識別情報
を、複数のシステムユーザで共有しない。

D-3-13

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.9.1.2

利⽤することを特別に認可したネッ

ネットワーク及び

トワーク及びネットワークサービス

ネットワークサービ

へのアクセスだけを，利⽤者に提供

スへのアクセス

しなければならない。

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて⾮特権アカウントでのシステムやネットワーク等へのアクセスに対して多要素認証を実施する。

・特権を持つユーザーのシステムへの

H-Advanced

ネットワーク経由でのログインに対し
CPS.AC-6

ク等へのアクセスに対して、リプレイ攻撃に対する耐性のある認証メカニズムを実施する。
[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

て、想定されるリスクも考慮して、信頼・組織は、対象システムにおける特権アカウントへの不正ログインのリスク等を勘案し、⼗分に信頼性の⾼い認証⽅式を実装できない性の⾼い認証⽅式（例︓⼆つ以上の認証

場合、ネットワーク経由での特権アカウントへのログインを原則禁⽌する。

機能を組み合わせた多要素認証）を採⽤する。

・機密性の⾼いデータを取り扱う⾃組織の情報システムについて、特権アカウントまたは⾮特権アカウントでのシステムやネットワー

・情報システムは、⾃組織のシステムについて管理者アカウントの無効化等制限が実施できない場合には、特権アカウントでのシステ
Advanced

ムやネットワーク等へのアクセスに対して多要素認証を要求する。
・情報システムにおけるデフォルトの管理者アカウントは、原則無効化する。
・情報システムは、権限付与等の特権操作を実施する場合には、利⽤ユーザアカウントに対して必要最⼩限の特権操作権限を付与す
る。

A.9.2

A.9.2.1

アクセス権の割当てを可能にするた

利⽤者アクセスの管利⽤者登録及び登録

めに，利⽤者の登録及び登録削除に理

削除

ついての正式なプロセスを実施しな・組織は、⾃組織の情報システム及び産業⽤制御システムにおけるアカウントの管理について、例えば以下のような⾃動化されたメカ
ニズムを導⼊し、運⽤する。
- 管理対象となるシステムからアカウント情報を定期的に⾃動収集する- 特権アカウントのパスワードを⾃動で変更するければならない。

H-Advanced ・産業⽤制御システムは、統合されたアカウント管理をサポートする。

・情報システムは、⾃組織のシステムの⼀時利⽤アカウントや緊急アカウント、利⽤されていないアカウントについて、⼀定期間の経過後⼜は申請時利⽤期限終了後に⾃動的に無効にする。
・情報システムは、⾃組織が利⽤するシステムのアカウント作成・変更・削除に伴うアカウントの有効化及び無効化について⾃動的に監査・報告する。
・組織は、システムアカウントの作成に当たっては、管理責任者による承認を必須とする。
・共有ユーザアカウントに関しては、認証情報を知りえるユーザを⼀覧等で管理し、アカウントを利⽤する範囲を特定可能にする。
・組織は、情報システムにおけるシステムアカウントの利⽤状況をモニタリングする。
・組織は、アカウントが不要にな-った場合や変更が必要となった場合には管理責任者に通知する。
Advanced

・組織は、情報システム及び産業⽤制御システムにおいてパスワードが変更された場合、ユーザー（または管理責任者）に通知する。

・承認されたモノとヒト及びプロシー
CPS.AC-1

・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システムは、クレデンシャルを忘れてしまった際等にクレデンシャルを再設定する場合、悪意ある者によるクレデンシャルの不ジャの識別情報と認証情報を発効、管

正な変更を防ぐため、当該アカウントが⾃⾝のものかどうかを確認するための安全な⼿順を適⽤する。

理、確認、取消、監査するプロシージャ
・組織は、⾃組織の情報システム及び産業⽤制御システムのアカウントを管理する管理責任者を配置する。

を確⽴し、実施する。

・組織は、組織のミッションや業務機能を考慮して、必要なシステムアカウント種別（例︓⼀般ユーザ／システム管理者／共有ユーザ／⼀時的なユーザ）を識別・選択する。
・組織は、事前に定められたプロシージャに従ってシステムアカウントを作成、有効化し、必要に応じて変更・無効化・削除を実施する。
・組織は、⾃組織の情報システム及び産業⽤制御システムに対するクレデンシャル（例︓パスワード、セキュリティキー）のポリシーを定め、そのポリシーを満たすクレデンシャルでなければ設定できない機能を実装する。ポリシーの内容の例としては、下記が挙げら
Basic

れる。
- クレデンシャルに最低限必要な複雑さを確保するため、パスワードに求める要求事項を定め、運⽤する。
- 新しいクレデンシャルが作成される際には、少なくとも組織が定めた⽂字数に変更させる。
- 暗号によって保護されたクレデンシャルのみを保存・伝送する。
- 同じクレデンシャルを組織が定めた世代にわたって再利⽤するのを禁⽌する。
・クレデンシャルを忘れてしまった際等に、強固なパスワードにすぐに変更するのを条件に、システムへのログオン時に、⼀時的なク
レデンシャルを使⽤することを許可する。
・組織は、複数のユーザが単⼀のグループとして機能する場合を除き、情報システム及び産業⽤制御システムにおいてユーザ識別情報
を、複数のシステムユーザで共有しない。
・組織は、⾃組織のIoT機器、サーバ等について識別⼦を割り当てるとともに、識別⼦が再利⽤することを防⽌、⼀定期間が経過した識・IoT機器、サーバ等が実施する通信
CPS.AC-8は、適切な⼿順で識別されたエンティ
ティ（ヒト／モノ／システム等）との通信に限定する。

別⼦を無効にすることで、識別を管理する。
Basic

・情報システム及び産業⽤制御システムは、⾃組織のIoT機器、サーバ等について、ネットワークでの接続を確⽴する前に、それらのデバイスを⼀意に識別し、認証する仕組みを備える。
・IoT機器での通信は、通信を拒否することをデフォルトとし、例外として利⽤するプロトコルを許可する。

D-3-14

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.9.2.2

全ての種類の利⽤者について，全て利⽤者アクセスの提のシステム及びサービスへのアクセ

供（provisioning）

ス権を割り当てる⼜は無効化するた対策要件ID

対策例

対策要件

・組織は、⾃組織の情報システム及び産業⽤制御システムにおけるアカウントの管理について、例えば以下のような⾃動化されたメカ
ニズムを導⼊し、運⽤する。
- 管理対象となるシステムからアカウント情報を定期的に⾃動収集する- 特権アカウントのパスワードを⾃動で変更する

めに，利⽤者アクセスの提供についH-Advanced ・産業⽤制御システムは、統合されたアカウント管理をサポートする。

ての正式なプロセスを実施しなけれ・情報システムは、⾃組織のシステムの⼀時利⽤アカウントや緊急アカウント、利⽤されていないアカウントについて、⼀定期間の経ばならない。

過後⼜は申請時利⽤期限終了後に⾃動的に無効にする。
・情報システムは、⾃組織が利⽤するシステムのアカウント作成・変更・削除に伴うアカウントの有効化及び無効化について⾃動的に監査・報告する。
・組織は、システムアカウントの作成に当たっては、管理責任者による承認を必須とする。
・共有ユーザアカウントに関しては、認証情報を知りえるユーザを⼀覧等で管理し、アカウントを利⽤する範囲を特定可能にする。
・組織は、情報システムにおけるシステムアカウントの利⽤状況をモニタリングする。
・組織は、アカウントが不要にな-った場合や変更が必要となった場合には管理責任者に通知する。
Advanced

・組織は、情報システム及び産業⽤制御システムにおいてパスワードが変更された場合、ユーザー（または管理責任者）に通知する。

・承認されたモノとヒト及びプロシー
CPS.AC-1

・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システムは、クレデンシャルを忘れてしまった際等にクレデンシャルを再設定する場合、悪意ある者によるクレデンシャルの不ジャの識別情報と認証情報を発効、管

正な変更を防ぐため、当該アカウントが⾃⾝のものかどうかを確認するための安全な⼿順を適⽤する。

理、確認、取消、監査するプロシージャ
・組織は、⾃組織の情報システム及び産業⽤制御システムのアカウントを管理する管理責任者を配置する。

を確⽴し、実施する。

・組織は、組織のミッションや業務機能を考慮して、必要なシステムアカウント種別（例︓⼀般ユーザ／システム管理者／共有ユーザ／⼀時的なユーザ）を識別・選択する。
・組織は、事前に定められたプロシージャに従ってシステムアカウントを作成、有効化し、必要に応じて変更・無効化・削除を実施する。
・組織は、⾃組織の情報システム及び産業⽤制御システムに対するクレデンシャル（例︓パスワード、セキュリティキー）のポリシーを定め、そのポリシーを満たすクレデンシャルでなければ設定できない機能を実装する。ポリシーの内容の例としては、下記が挙げら
Basic

れる。
- クレデンシャルに最低限必要な複雑さを確保するため、パスワードに求める要求事項を定め、運⽤する。
- 新しいクレデンシャルが作成される際には、少なくとも組織が定めた⽂字数に変更させる。
- 暗号によって保護されたクレデンシャルのみを保存・伝送する。
- 同じクレデンシャルを組織が定めた世代にわたって再利⽤するのを禁⽌する。
・クレデンシャルを忘れてしまった際等に、強固なパスワードにすぐに変更するのを条件に、システムへのログオン時に、⼀時的なク
レデンシャルを使⽤することを許可する。
・組織は、複数のユーザが単⼀のグループとして機能する場合を除き、情報システム及び産業⽤制御システムにおいてユーザ識別情報

A.9.2.3

特権的アクセス権の割当て及び利⽤

特権的アクセス権のは，制限し，管理しなければならな

管理い。

を、複数のシステムユーザで共有しない。
・組織は、アクセス権限設定等のセキュリティ機能を利⽤する管理者を明⽰し、⾃組織のシステムにおける特権アカウントを制限する。
・情報システムは、特権的機能の使⽤をチェックするため、システムが監査するメカニズムを導⼊する。
・情報システムは、⾮特権ユーザによって変更されて実装されたセキュリティ対策を無効にするとともに回避・変更する等、システム
H-Advanced が⾮特権ユーザによる特権的機能の実⾏を禁⽌する。

・組織は、セキュリティインシデントによる被害を最⼩化するため、有事においてシステム管理者の権限を利⽤できるユーザを最少化

CPS.AC-5

させることができる。

・職務及び責任範囲（例︓ユーザー／シ・組織は、セキュリティインシデントによる被害を最⼩化するため、システム管理者であっても、サーバの重要なサービスや保護されステム管理者)を適切に分離する 。

たプロセスを停⽌できないようにすることができる。
・組織は、⾃組織の情報システム及び産業⽤制御システムにおいて職務分離(例︓ユーザ/システム管理者)を踏まえたアクセス制御を実施する。
・組織は、特定の職務権限に対して最⼩権限の原則を採⽤する。
Advanced- ⼀般のユーザアカウントの権限と、特権アカウントの権限を分離する(⾮セキュリティ機能を利⽤する場合には、⾮特権アカウントでの利⽤を要求する。)- ⾃らの担当外の職務に対する権限を最⼩とする・組織は、担当者によって割り当てられた職務を分離し、明⽂化する。

D-3-15

ISO/IEC 27001:2013 附属書A

サイバー・フィジカル・セキュリティ対策フレームワーク

管理策ID

要求事項

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて⾮特権アカウントでのシステムやネットワーク等へのアクセスに対して多要素認証を実施する。

・特権を持つユーザーのシステムへの

H-Advanced

ネットワーク経由でのログインに対し
CPS.AC-6

ク等へのアクセスに対して、リプレイ攻撃に対する耐性のある認証メカニズムを実施する。
[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

て、想定されるリスクも考慮して、信頼・組織は、対象システムにおける特権アカウントへの不正ログインのリスク等を勘案し、⼗分に信頼性の⾼い認証⽅式を実装できない性の⾼い認証⽅式（例︓⼆つ以上の認証

場合、ネットワーク経由での特権アカウントへのログインを原則禁⽌する。

機能を組み合わせた多要素認証）を採⽤する。

・機密性の⾼いデータを取り扱う⾃組織の情報システムについて、特権アカウントまたは⾮特権アカウントでのシステムやネットワー

・情報システムは、⾃組織のシステムについて管理者アカウントの無効化等制限が実施できない場合には、特権アカウントでのシステ
Advanced

ムやネットワーク等へのアクセスに対して多要素認証を要求する。
・情報システムにおけるデフォルトの管理者アカウントは、原則無効化する。
・情報システムは、権限付与等の特権操作を実施する場合には、利⽤ユーザアカウントに対して必要最⼩限の特権操作権限を付与する。

A.9.2.4

秘密認証情報の割当ては，正式な管利⽤者の秘密認証情理プロセスによって管理しなければ

報の管理

ならない。

・組織は、⾃組織の情報システム及び産業⽤制御システムにおけるアカウントの管理について、例えば以下のような⾃動化されたメカ
ニズムを導⼊し、運⽤する。
- 管理対象となるシステムからアカウント情報を定期的に⾃動収集する- 特権アカウントのパスワードを⾃動で変更する
H-Advanced ・産業⽤制御システムは、統合されたアカウント管理をサポートする。

・情報システムは、⾃組織のシステムの⼀時利⽤アカウントや緊急アカウント、利⽤されていないアカウントについて、⼀定期間の経過後⼜は申請時利⽤期限終了後に⾃動的に無効にする。

・承認されたモノとヒト及びプロシー
CPS.AC-1

・情報システムは、⾃組織が利⽤するシステムのアカウント作成・変更・削除に伴うアカウントの有効化及び無効化について⾃動的にジャの識別情報と認証情報を発効、管監査・報告する。

理、確認、取消、監査するプロシージャ

・組織は、システムアカウントの作成に当たっては、管理責任者による承認を必須とする。

を確⽴し、実施する。

・共有ユーザアカウントに関しては、認証情報を知りえるユーザを⼀覧等で管理し、アカウントを利⽤する範囲を特定可能にする。
・組織は、情報システムにおけるシステムアカウントの利⽤状況をモニタリングする。
・組織は、アカウントが不要にな-った場合や変更が必要となった場合には管理責任者に通知する。
Advanced

・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・組織は、情報システム及び産業⽤制御システムにおいてパスワードが変更された場合、ユーザー（または管理責任者）に通知する。
・情報システムは、クレデンシャルを忘れてしまった際等にクレデンシャルを再設定する場合、悪意ある者によるクレデンシャルの不正な変更を防ぐため、当該アカウントが⾃⾝のものかどうかを確認するための安全な⼿順を適⽤する。

A.9.2.5

資産の管理責任者は，利⽤者のアク

利⽤者アクセス権のセス権を定められた間隔でレビュー

レビューしなければならない。

・組織は、⾃組織の情報システム及び産業⽤制御システムにおけるアカウントの管理について、例えば以下のような⾃動化されたメカ
ニズムを導⼊し、運⽤する。
- 管理対象となるシステムからアカウント情報を定期的に⾃動収集する- 特権アカウントのパスワードを⾃動で変更する
H-Advanced ・産業⽤制御システムは、統合されたアカウント管理をサポートする。

・情報システムは、⾃組織のシステムの⼀時利⽤アカウントや緊急アカウント、利⽤されていないアカウントについて、⼀定期間の経過後⼜は申請時利⽤期限終了後に⾃動的に無効にする。

・承認されたモノとヒト及びプロシー
CPS.AC-1

・情報システムは、⾃組織が利⽤するシステムのアカウント作成・変更・削除に伴うアカウントの有効化及び無効化について⾃動的にジャの識別情報と認証情報を発効、管監査・報告する。

理、確認、取消、監査するプロシージャ

・組織は、システムアカウントの作成に当たっては、管理責任者による承認を必須とする。

を確⽴し、実施する。

・共有ユーザアカウントに関しては、認証情報を知りえるユーザを⼀覧等で管理し、アカウントを利⽤する範囲を特定可能にする。
・組織は、情報システムにおけるシステムアカウントの利⽤状況をモニタリングする。
・組織は、アカウントが不要にな-った場合や変更が必要となった場合には管理責任者に通知する。
Advanced

・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・組織は、情報システム及び産業⽤制御システムにおいてパスワードが変更された場合、ユーザー（または管理責任者）に通知する。
・情報システムは、クレデンシャルを忘れてしまった際等にクレデンシャルを再設定する場合、悪意ある者によるクレデンシャルの不正な変更を防ぐため、当該アカウントが⾃⾝のものかどうかを確認するための安全な⼿順を適⽤する。

D-3-16

ISO/IEC 27001:2013 附属書A

サイバー・フィジカル・セキュリティ対策フレームワーク

管理策ID

要求事項
A.9.2.6

全ての従業員及び外部の利⽤者の情アクセス権の削除⼜報及び情報処理施設に対するアクセは修正

ス権は，雇⽤，契約⼜は合意の終了

対策要件ID

対策例

対策要件

・組織は、⾃組織の情報システム及び産業⽤制御システムにおけるアカウントの管理について、例えば以下のような⾃動化されたメカ
ニズムを導⼊し、運⽤する。
- 管理対象となるシステムからアカウント情報を定期的に⾃動収集する- 特権アカウントのパスワードを⾃動で変更する

時に削除しなければならず，また，

H-Advanced ・産業⽤制御システムは、統合されたアカウント管理をサポートする。

変更に合わせて修正しなければなら・情報システムは、⾃組織のシステムの⼀時利⽤アカウントや緊急アカウント、利⽤されていないアカウントについて、⼀定期間の経ない。

過後⼜は申請時利⽤期限終了後に⾃動的に無効にする。
・情報システムは、⾃組織が利⽤するシステムのアカウント作成・変更・削除に伴うアカウントの有効化及び無効化について⾃動的に監査・報告する。
・組織は、システムアカウントの作成に当たっては、管理責任者による承認を必須とする。
・共有ユーザアカウントに関しては、認証情報を知りえるユーザを⼀覧等で管理し、アカウントを利⽤する範囲を特定可能にする。
・組織は、情報システムにおけるシステムアカウントの利⽤状況をモニタリングする。
・組織は、アカウントが不要にな-った場合や変更が必要となった場合には管理責任者に通知する。
Advanced

・組織は、情報システム及び産業⽤制御システムにおいてパスワードが変更された場合、ユーザー（または管理責任者）に通知する。

・承認されたモノとヒト及びプロシー
CPS.AC-1

・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・情報システムは、クレデンシャルを忘れてしまった際等にクレデンシャルを再設定する場合、悪意ある者によるクレデンシャルの不ジャの識別情報と認証情報を発効、管

正な変更を防ぐため、当該アカウントが⾃⾝のものかどうかを確認するための安全な⼿順を適⽤する。

理、確認、取消、監査するプロシージャ
・組織は、⾃組織の情報システム及び産業⽤制御システムのアカウントを管理する管理責任者を配置する。

を確⽴し、実施する。

・組織は、組織のミッションや業務機能を考慮して、必要なシステムアカウント種別（例︓⼀般ユーザ／システム管理者／共有ユーザ／⼀時的なユーザ）を識別・選択する。
・組織は、事前に定められたプロシージャに従ってシステムアカウントを作成、有効化し、必要に応じて変更・無効化・削除を実施する。
・組織は、⾃組織の情報システム及び産業⽤制御システムに対するクレデンシャル（例︓パスワード、セキュリティキー）のポリシーを定め、そのポリシーを満たすクレデンシャルでなければ設定できない機能を実装する。ポリシーの内容の例としては、下記が挙げら
Basic

れる。
- クレデンシャルに最低限必要な複雑さを確保するため、パスワードに求める要求事項を定め、運⽤する。
- 新しいクレデンシャルが作成される際には、少なくとも組織が定めた⽂字数に変更させる。
- 暗号によって保護されたクレデンシャルのみを保存・伝送する。
- 同じクレデンシャルを組織が定めた世代にわたって再利⽤するのを禁⽌する。
・クレデンシャルを忘れてしまった際等に、強固なパスワードにすぐに変更するのを条件に、システムへのログオン時に、⼀時的なク
レデンシャルを使⽤することを許可する。
・組織は、複数のユーザが単⼀のグループとして機能する場合を除き、情報システム及び産業⽤制御システムにおいてユーザ識別情報
を、複数のシステムユーザで共有しない。
・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。

H-Advanced ・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。

・IoT機器、サーバ等の設置エリアの施CPS.AC-2

錠、⼊退室管理、⽣体認証等の導⼊、監Advanced

・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアに対するアクセスリストの維持管理及びアクセスに必要な許可証明書を視カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。

発⾏する。
Basic

・組織は、⾃組織の施設においてセキュリティを保つべき物理的セキュリティ境界を定め、境界内に設置している資産のセキュリティ
要求事項及びリスクアセスメントの結果に応じてアクセス制御を実施する。
・組織は、物理的セキュリティ境界内における⾃組織または⾃組織外の⼀時的に認可された⼊場者に対して、認可された関係者の付き添い⼜は監視カメラ等により作業内容をモニタリングできるようにする。

A.9.3

A.9.3.1

秘密認証情報の利⽤時に，組織の慣利⽤者の責任

秘密認証情報の利⽤

⾏に従うことを，利⽤者に要求しな・⼀定回数以上のログイン認証失敗によければならない。

るロックアウトや、安全性が確保できる

H-Advanced

対する不正ログインを防ぐ。

てログオンを失敗できる上限を設定し、上限以上失敗した場合には管理者が解除しなければ再ログインできない機能を実装する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムに対してユーザが連続してログオンを失敗できる上限を設定し、上限以上失敗した場合には⼀定期間再ログインできない機能を実装する。

CPS.AC-4 まで再ログインの間隔をあける機能を実装する等により、IoT機器、サーバ等に・情報システム及び産業⽤制御システム（対応の即時性が求められる⼀部の例を除く）は、⾃組織のシステムに対してユーザが連続しAdvanced

・情報システム及び産業⽤制御システムは、組織が定める時間を越えてシステムの無操作が持続する場合、⼿動⼜は⾃動でセッション
ロックを実施する。
※ 産業⽤制御システムにおいて、緊急時対応においてオペレータの即時対応が求められるようなセッションを実施するケースが想定される場合、セッションロックを実施しないことが望ましい。

D-3-17

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ・IoT機器やユーザーによる構成要素

H-Advanced

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

（モノ／システム等）への論理的なアク
CPS.AC-9とをあらかじめ確認する。

セスを、取引のリスク（個⼈のセキュリ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

ティ、プライバシーのリスク及びその他・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っの組織的なリスク）に⾒合う形で認証・た認証を実施する。

認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。
・組織は、⾃組織の運⽤に適合する最も制限された設定基準を定めた上で、導⼊されるIoT機器、サーバ等の初期設定⼿順及び設定内容

・IoT機器、サーバ等の初期設定⼿順
CPS.IP-1（パスワード等）及び設定変更管理プロを⽂書化するとともに、その⽂書に従って設定を実施する。
Basic

A.9.4

A.9.4.1

情報及びアプリケーションシステム

システム及びアプリ

情報へのアクセス制機能へのアクセスは，アクセス制御

ケーションのアクセ限⽅針に従って，制限しなければなら・組織は、IoT機器の導⼊前に、搭載されているソフトウェアを確認し、記録する。
・組織は、アクセス権限設定等のセキュリティ機能を利⽤する管理者を明⽰し、⾃組織のシステムにおける特権アカウントを制限する。
・情報システムは、特権的機能の使⽤をチェックするため、システムが監査するメカニズムを導⼊する。
・情報システムは、⾮特権ユーザによって変更されて実装されたセキュリティ対策を無効にするとともに回避・変更する等、システム

ない。

ス制御

・組織は、IoT機器を設置する前にデフォルトの初期設定値を確認し、CPS.AC-1で定めたポリシーに準じていない場合に適切なものへと変更する。

セスを導⼊し、運⽤する。

H-Advanced が⾮特権ユーザによる特権的機能の実⾏を禁⽌する。

・組織は、セキュリティインシデントによる被害を最⼩化するため、有事においてシステム管理者の権限を利⽤できるユーザを最少化

CPS.AC-5

させることができる。

・職務及び責任範囲（例︓ユーザー／シ・組織は、セキュリティインシデントによる被害を最⼩化するため、システム管理者であっても、サーバの重要なサービスや保護されステム管理者)を適切に分離する 。

たプロセスを停⽌できないようにすることができる。
・組織は、⾃組織の情報システム及び産業⽤制御システムにおいて職務分離(例︓ユーザ/システム管理者)を踏まえたアクセス制御を実施する。
・組織は、特定の職務権限に対して最⼩権限の原則を採⽤する。
Advanced- ⼀般のユーザアカウントの権限と、特権アカウントの権限を分離する(⾮セキュリティ機能を利⽤する場合には、⾮特権アカウントでの利⽤を要求する。)- ⾃らの担当外の職務に対する権限を最⼩とする・組織は、担当者によって割り当てられた職務を分離し、明⽂化する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて⾮特権アカウントでのシステムやネットワーク等へのアクセスに対して多要素認証を実施する。

・特権を持つユーザーのシステムへの

H-Advanced

ネットワーク経由でのログインに対し
CPS.AC-6

ク等へのアクセスに対して、リプレイ攻撃に対する耐性のある認証メカニズムを実施する。
[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

て、想定されるリスクも考慮して、信頼・組織は、対象システムにおける特権アカウントへの不正ログインのリスク等を勘案し、⼗分に信頼性の⾼い認証⽅式を実装できない性の⾼い認証⽅式（例︓⼆つ以上の認証

場合、ネットワーク経由での特権アカウントへのログインを原則禁⽌する。

機能を組み合わせた多要素認証）を採⽤する。

・機密性の⾼いデータを取り扱う⾃組織の情報システムについて、特権アカウントまたは⾮特権アカウントでのシステムやネットワー

・情報システムは、⾃組織のシステムについて管理者アカウントの無効化等制限が実施できない場合には、特権アカウントでのシステ
Advanced

ムやネットワーク等へのアクセスに対して多要素認証を要求する。
・情報システムにおけるデフォルトの管理者アカウントは、原則無効化する。
・情報システムは、権限付与等の特権操作を実施する場合には、利⽤ユーザアカウントに対して必要最⼩限の特権操作権限を付与する。

A.9.4.2

アクセス制御⽅針で求められている

セキュリティに配慮

場合には，システム及びアプリケー

・⼀定回数以上のログイン認証失敗によしたログオン⼿順

ションへのアクセスは，セキュリるロックアウトや、安全性が確保できる

ティに配慮したログオン⼿順によって制御しなければならない。

H-Advanced

対する不正ログインを防ぐ。

てログオンを失敗できる上限を設定し、上限以上失敗した場合には管理者が解除しなければ再ログインできない機能を実装する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムに対してユーザが連続してログオンを失敗できる上限を設定し、上限以上失敗した場合には⼀定期間再ログインできない機能を実装する。

CPS.AC-4 まで再ログインの間隔をあける機能を実装する等により、IoT機器、サーバ等に・情報システム及び産業⽤制御システム（対応の即時性が求められる⼀部の例を除く）は、⾃組織のシステムに対してユーザが連続しAdvanced

・情報システム及び産業⽤制御システムは、組織が定める時間を越えてシステムの無操作が持続する場合、⼿動⼜は⾃動でセッション
ロックを実施する。
※ 産業⽤制御システムにおいて、緊急時対応においてオペレータの即時対応が求められるようなセッションを実施するケースが想定される場合、セッションロックを実施しないことが望ましい。

D-3-18

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.9.4.3

パスワード管理システムは，対話式

パスワード管理シス

でなければならず，また，良質なパテム

スワードを確実とするものでなけれ対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこばならない。

・IoT機器やユーザーによる構成要素

H-Advanced

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

（モノ／システム等）への論理的なアク
CPS.AC-9とをあらかじめ確認する。

セスを、取引のリスク（個⼈のセキュリ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

ティ、プライバシーのリスク及びその他・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っの組織的なリスク）に⾒合う形で認証・た認証を実施する。

認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。

A.9.4.4

システム及びアプリケーションによ特権的なユーティリ

る制御を無効にすることのできる

ティプログラムの使ユーティリティプログラムの使⽤

⽤は，制限し，厳しく管理しなければ・組織は、アクセス権限設定等のセキュリティ機能を利⽤する管理者を明⽰し、⾃組織のシステムにおける特権アカウントを制限する。
・情報システムは、特権的機能の使⽤をチェックするため、システムが監査するメカニズムを導⼊する。
・情報システムは、⾮特権ユーザによって変更されて実装されたセキュリティ対策を無効にするとともに回避・変更する等、システム
H-Advanced が⾮特権ユーザによる特権的機能の実⾏を禁⽌する。

ならない。

・組織は、セキュリティインシデントによる被害を最⼩化するため、有事においてシステム管理者の権限を利⽤できるユーザを最少化

CPS.AC-5

させることができる。

・職務及び責任範囲（例︓ユーザー／シ・組織は、セキュリティインシデントによる被害を最⼩化するため、システム管理者であっても、サーバの重要なサービスや保護されステム管理者)を適切に分離する 。

たプロセスを停⽌できないようにすることができる。
・組織は、⾃組織の情報システム及び産業⽤制御システムにおいて職務分離(例︓ユーザ/システム管理者)を踏まえたアクセス制御を実施する。
・組織は、特定の職務権限に対して最⼩権限の原則を採⽤する。
Advanced- ⼀般のユーザアカウントの権限と、特権アカウントの権限を分離する(⾮セキュリティ機能を利⽤する場合には、⾮特権アカウントでの利⽤を要求する。)- ⾃らの担当外の職務に対する権限を最⼩とする・組織は、担当者によって割り当てられた職務を分離し、明⽂化する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて⾮特権アカウントでのシステムやネットワーク等へのアクセスに対して多要素認証を実施する。

・特権を持つユーザーのシステムへの

H-Advanced

ネットワーク経由でのログインに対し
CPS.AC-6

ク等へのアクセスに対して、リプレイ攻撃に対する耐性のある認証メカニズムを実施する。
[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

て、想定されるリスクも考慮して、信頼・組織は、対象システムにおける特権アカウントへの不正ログインのリスク等を勘案し、⼗分に信頼性の⾼い認証⽅式を実装できない性の⾼い認証⽅式（例︓⼆つ以上の認証

場合、ネットワーク経由での特権アカウントへのログインを原則禁⽌する。

機能を組み合わせた多要素認証）を採⽤する。

・機密性の⾼いデータを取り扱う⾃組織の情報システムについて、特権アカウントまたは⾮特権アカウントでのシステムやネットワー

・情報システムは、⾃組織のシステムについて管理者アカウントの無効化等制限が実施できない場合には、特権アカウントでのシステ
Advanced

ムやネットワーク等へのアクセスに対して多要素認証を要求する。
・情報システムにおけるデフォルトの管理者アカウントは、原則無効化する。
・情報システムは、権限付与等の特権操作を実施する場合には、利⽤ユーザアカウントに対して必要最⼩限の特権操作権限を付与する。

D-3-19ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.9.4.5

プログラムソースコードへのアクセプログラムソース

スは，制限しなければならない。

対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ

コードへのアクセス制御

・IoT機器やユーザーによる構成要素

H-Advanced

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

（モノ／システム等）への論理的なアク
CPS.AC-9とをあらかじめ確認する。

セスを、取引のリスク（個⼈のセキュリ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

ティ、プライバシーのリスク及びその他・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っの組織的なリスク）に⾒合う形で認証・た認証を実施する。

認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。

A.10

A.10.1

A.10.1.1

情報を保護するための暗号による管暗号

暗号による管理策

暗号による管理策の理策の利⽤に関する⽅針は，策定

利⽤⽅針

し，実施しなければならない。

・組織は、選択したアルゴリズムをソフトウェア及びハードウェアへ適切に実装し、暗号化された情報の復号⼜は電⼦署名の付与に⽤いる鍵、識別コード及び主体認証情報等を保護するため、暗号モジュール試験及び認証制度に基づく認証を取得している製品を選択す
H-Advanced る。

・⾃組織の保護すべきデータを組織外へ持ち出す場合、データを適切な強度で暗号化する。
・組織は、内部メモリのデータを暗号化して保管することのできるIoT機器を利⽤する。
・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、情報（データ）を適切な強度の⽅式で暗号化

CPS.DS-2

して保管する。CRYPTREC暗号リスト（電⼦政府推奨暗号リスト）に記載されたアルゴリズムが選択可能であれば、これを選択し、情・情報を適切な強度の⽅式で暗号化して報（データ）を適切な強度の⽅式で暗号化して保管する。

保管する。

・組織は、必要とされる安全性及び信頼性について検討を⾏い、アルゴリズムを選択し、産業⽤制御システムが取り扱う重要度の⾼い
Advanced

情報（データ）を、パフォーマンスに許容できない影響が出ない範囲で適切な強度の⽅式で暗号化して保管する。
[参考] 暗号技術検討会及び関連委員会（CRYPTREC）では、安全性及び実装性能が確認された暗号技術について、市場における利⽤実
績が⼗分であるか今後の普及が⾒込まれると判断され、当該技術の利⽤を推奨するもののリストを「電⼦政府における調達のために参照すべき暗号のリスト」（CRYPTREC暗号リスト）として公開している。組織は、暗号機能を実装すべきシステム等を調達する場合、必要に応じて参照することが望ましい。

・IoT機器、サーバ等の間、サイバー空

H-Advanced

替の物理的な対策によって保護する。
・情報システムは、暗号メカニズムを導⼊し、通信経路を暗号化する。

CPS.DS-3 間で通信が⾏われる際、通信経路を暗号
Advanced化する。

・組織は、情報システム及び産業⽤制御システムを構成する重要なデータを扱う通信路について、通信経路の暗号化を実装する⼜は代[参考] 通信経路の暗号化には、IP-VPN、Ipsec-VPN、SSL-VPN等の⽅式が存在する。組織は、通信路を流れるデータの重要度や、かけられるコスト等を考慮しつつ、⽅式を選定することが望ましい。
・システム/IoT機器は、少ないリソースでも可⽤性を損なわずに実装可能な暗号モジュールを導⼊し、リソースは制限されているが重CPS.DS-4

・情報を送受信する際に、情報そのもの H-Advanced 要度の⾼い機器からの通信データを適切な強度で暗号化することが望ましい。

・情報システムは、重要度の⾼い・低いに限らず、組織外部へ送信するすべてのデータを適切な強度で暗号化する。

を暗号化して送受信する。
Advanced

A.10.1.2

暗号鍵の利⽤，保護及び有効期間

鍵管理（lifetime）に関する⽅針を策定し，・組織は、機密性の⾼い情報を外部の組織等へ送信する際、情報を適切な強度の⽅式で暗号化する。
・組織は、ユーザが暗号鍵を紛失した場合に、鍵の再発⾏等により情報の可⽤性を維持する。

H-Advanced

そのライフサイクル全体にわたって

・秘密鍵及びプライベート鍵をセキュリティを保って管理することに加え，公開鍵の真正性についても考慮することが望ましい。この認証プロセスは，認証局によって通常発⾏される公開鍵証明書を⽤いて実施される。この認証局は，要求された信頼度を提供するために適切な管理策及び⼿順を備えている，認知された組織であることが望ましい。

実施しなければならない。

・組織は、秘密鍵が危殆化した際に遅滞なく適切な対処を⾏うため、必要に応じて下記のような事項について⽅針及び⼿順を定めることが望ましい。
- 秘密鍵の危殆化に対応するための体制(関係者と役割、委託先との連携を含む)・送受信する情報データ、保管データす- 秘密鍵が危殆化した、またはその恐れがあると判断するための基準

CPS.DS-5 る情報の暗号化等に⽤いる鍵を、ライフサイクルを通じて安全に管理する。

- 秘密鍵の危殆化の原因を調べること及び原因の解消を図ること
Advanced- 当該鍵を利⽤するサービスの利⽤停⽌- 新しい鍵ペアを⽣成し、新しい鍵に対する証明書を発⾏すること- 秘密鍵の危殆化についての情報の開⽰(通知先、通知の⽅法、公表の⽅針等)[参考] 鍵管理に関するより詳細な内容については、ISO/IEC 11770規格群や、NIST SP 800-57 Part 1 Rev.4等を参照することが望ま
しい。

Basic

D-3-20

・組織は、全ての暗号鍵を改変及び紛失から保護することが望ましい。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件
・保護すべき情報を扱う、あるいは⾃組

CPS.DS-8

織にとって重要な機能を有する機器を調達する場合、耐タンパーデバイスを利⽤・組織は、保護すべき情報を扱う、あるいは⾃組織にとって重要な機能を有する機器を調達する場合、耐タンパーデバイスを利⽤した
H-Advanced

A.11.1

A.11.1.1

取扱いに慎重を要する⼜は重要な情

物理的及び環境的セ

セキュリティを保つ

物理的セキュリティ

報及び情報処理施設のある領域を保

キュリティ

べき領域

境界

護するために，物理的セキュリティ

・IoT機器、サーバ等の設置エリアの施CPS.AC-2

境界を定め，かつ，⽤いなければな

錠、⼊退室管理、⽣体認証等の導⼊、監らない。

・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。
H-Advanced ・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。

視カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

・組織は、情報システム及び産業⽤制御システム内で使⽤されている暗号技術向けの暗号鍵を保管するにあたり耐タンパーデバイスを⽤いて管理する。

する。
A.11

機器を調達する。

Advanced

・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。
・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。

H-Advanced ・組織は、特に重要な資産を管理している範囲内での重要資産の位置や移動を追跡し、モニタリングする。

・監視カメラ等による常時モニタリングは実施していないが、⼊退室管理等により物理アクセスログを取得している場合、定期的に、また、インシデントあるいはその兆候が顕在化した際に監査ログをレビューする。
・⾃組織の保護すべき資産に直接アクセス可能なエリア（執務室等）において、⾃組織の担当者が来客に付き添って、来客の⾏動をモ
ニタリングする。

・IoT機器、サーバ等の重要性を考慮

Advanced

・組織は、IoT機器、サーバ等が設置されている⾃組織の業務上重要な施設に対する物理アクセスを監視カメラ等によりモニタリングすることによって、物理的なセキュリティインシデントを早期に検出し、対応できるようにする。

CPS.CM-2 し、適切な物理的アクセスの設定及び記・⾃組織のオペレーションにとって重要度が⾼いと考えられるIoT機器、サーバ等のモノであるが、遠隔地に存在している等の理由によ録、監視を実施する。

り上記の物理的セキュリティ対策の実装が難しいと考えられる場合、耐タンパー性の⾼い機器を利⽤する(CPS.DS-6)等して、機器⾃体の物理セキュリティ特性を⾼めることで対策することを検討する。
・コスト等の問題により、物理的アクセスを制御すべきエリアに⼊退室管理、映像監視等の対策が実施できない場合、⾃組織の担当者
Basic

が来客に付き添うなどして⼈⼿による代替的な対策を実施する。
・施設内の、⼀般の⼈がアクセスできない指定エリアに対するアクセスを制御するための、⼊退室管理対策を実施する。
・組織は、個⼈の物理的なアクセスを許可する前に、当該要員のアクセス権限を確認し、⼊退室時のログを保持する。

A.11.1.2

セキュリティを保つべき領域は，認物理的⼊退管理策可された者だけにアクセスを許すこ・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。
H-Advanced ・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。

とを確実にするために，適切な⼊退・IoT機器、サーバ等の設置エリアの施管理策によって保護しなければならない。

CPS.AC-2

錠、⼊退室管理、⽣体認証等の導⼊、監Advanced

・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアに対するアクセスリストの維持管理及びアクセスに必要な許可証明書を視カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。

発⾏する。
Basic

・組織は、⾃組織の施設においてセキュリティを保つべき物理的セキュリティ境界を定め、境界内に設置している資産のセキュリティ
要求事項及びリスクアセスメントの結果に応じてアクセス制御を実施する。
・組織は、物理的セキュリティ境界内における⾃組織または⾃組織外の⼀時的に認可された⼊場者に対して、認可された関係者の付き添い⼜は監視カメラ等により作業内容をモニタリングできるようにする。

H-Advanced ・組織は、特に重要な資産を管理している範囲内での重要資産の位置や移動を追跡し、モニタリングする。

・監視カメラ等による常時モニタリングは実施していないが、⼊退室管理等により物理アクセスログを取得している場合、定期的に、また、インシデントあるいはその兆候が顕在化した際に監査ログをレビューする。
・⾃組織の保護すべき資産に直接アクセス可能なエリア（執務室等）において、⾃組織の担当者が来客に付き添って、来客の⾏動をモ
ニタリングする。

・IoT機器、サーバ等の重要性を考慮

Advanced

・組織は、IoT機器、サーバ等が設置されている⾃組織の業務上重要な施設に対する物理アクセスを監視カメラ等によりモニタリングすることによって、物理的なセキュリティインシデントを早期に検出し、対応できるようにする。

CPS.CM-2 し、適切な物理的アクセスの設定及び記・⾃組織のオペレーションにとって重要度が⾼いと考えられるIoT機器、サーバ等のモノであるが、遠隔地に存在している等の理由によ録、監視を実施する。

り上記の物理的セキュリティ対策の実装が難しいと考えられる場合、耐タンパー性の⾼い機器を利⽤する(CPS.DS-6)等して、機器⾃体の物理セキュリティ特性を⾼めることで対策することを検討する。
・コスト等の問題により、物理的アクセスを制御すべきエリアに⼊退室管理、映像監視等の対策が実施できない場合、⾃組織の担当者
Basic

が来客に付き添うなどして⼈⼿による代替的な対策を実施する。
・施設内の、⼀般の⼈がアクセスできない指定エリアに対するアクセスを制御するための、⼊退室管理対策を実施する。
・組織は、個⼈の物理的なアクセスを許可する前に、当該要員のアクセス権限を確認し、⼊退室時のログを保持する。

D-3-21

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.11.1.3

オフィス，部屋及び施設に対する物

オフィス，部屋及び理的セキュリティを設計し，適⽤し施設のセキュリティ

なければならない。

対策要件ID

対策例

対策要件

・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。
H-Advanced ・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。

・IoT機器、サーバ等の設置エリアの施CPS.AC-2

錠、⼊退室管理、⽣体認証等の導⼊、監Advanced

・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアに対するアクセスリストの維持管理及びアクセスに必要な許可証明書を視カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。

発⾏する。
Basic

・組織は、⾃組織の施設においてセキュリティを保つべき物理的セキュリティ境界を定め、境界内に設置している資産のセキュリティ
要求事項及びリスクアセスメントの結果に応じてアクセス制御を実施する。
・組織は、物理的セキュリティ境界内における⾃組織または⾃組織外の⼀時的に認可された⼊場者に対して、認可された関係者の付き添い⼜は監視カメラ等により作業内容をモニタリングできるようにする。

H-Advanced ・組織は、特に重要な資産を管理している範囲内での重要資産の位置や移動を追跡し、モニタリングする。

・監視カメラ等による常時モニタリングは実施していないが、⼊退室管理等により物理アクセスログを取得している場合、定期的に、また、インシデントあるいはその兆候が顕在化した際に監査ログをレビューする。
・⾃組織の保護すべき資産に直接アクセス可能なエリア（執務室等）において、⾃組織の担当者が来客に付き添って、来客の⾏動をモ
ニタリングする。

・IoT機器、サーバ等の重要性を考慮

Advanced

・組織は、IoT機器、サーバ等が設置されている⾃組織の業務上重要な施設に対する物理アクセスを監視カメラ等によりモニタリングすることによって、物理的なセキュリティインシデントを早期に検出し、対応できるようにする。

CPS.CM-2 し、適切な物理的アクセスの設定及び記・⾃組織のオペレーションにとって重要度が⾼いと考えられるIoT機器、サーバ等のモノであるが、遠隔地に存在している等の理由によ録、監視を実施する。

り上記の物理的セキュリティ対策の実装が難しいと考えられる場合、耐タンパー性の⾼い機器を利⽤する(CPS.DS-6)等して、機器⾃体の物理セキュリティ特性を⾼めることで対策することを検討する。
・コスト等の問題により、物理的アクセスを制御すべきエリアに⼊退室管理、映像監視等の対策が実施できない場合、⾃組織の担当者
Basic

が来客に付き添うなどして⼈⼿による代替的な対策を実施する。
・施設内の、⼀般の⼈がアクセスできない指定エリアに対するアクセスを制御するための、⼊退室管理対策を実施する。
・組織は、個⼈の物理的なアクセスを許可する前に、当該要員のアクセス権限を確認し、⼊退室時のログを保持する。

A.11.1.4

⾃然災害，悪意のある攻撃⼜は事故

外部及び環境の脅威に対する物理的な保護を設計し，適からの保護⽤しなければならない。

・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。

・IoT機器、サーバ等の設置エリアの施CPS.AC-2

錠、⼊退室管理、⽣体認証等の導⼊、監視カメラの設置、持ち物や体重検査等の・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。
H-Advanced ・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。

物理的セキュリティ対策を実施する。
・無停電電源装置、防⽕設備の確保、浸 H-Advanced ・組織は、⾃組織の利⽤するシステムが設置されている施設に職員が常駐しない場合には、⾃動消⽕機能を導⼊する。
⽔からの保護等、⾃組織のIoT機器、
CPS.IP-5

サーバ等の物理的な動作環境に関するポ・組織は、無停電電源装置等により⾃組織のIoT機器、サーバ等が設置されているエリア内の機器の安定な稼働を維持する。

Advanced

・組織は、閉⽌弁や遮断弁を⽤意し、⾃組織のIoT機器、サーバ等が設置されているエリアを⽔漏れ等の被害から保護する。

リシーや規則を満たすよう物理的な対策
Basicを実施する。
A.11.1.5

セキュリティを保つべき領域での作

セキュリティを保つ業に関する⼿順を設計し，適⽤しなべき領域での作業ければならない。

・IoT機器、サーバ等の設置エリアの施CPS.AC-2

錠、⼊退室管理、⽣体認証等の導⼊、監A.11.1.6

荷物の受渡場所などの⽴寄り場所，

受渡場所

及び認可されていない者が施設に⽴所を情報処理施設から離さなければ・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。
・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。
Advanced

・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。
・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。
・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。
・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。

・IoT機器、サーバ等の設置エリアの施管理しなければならない。また，可クセスを避けるために，それらの場

・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアの温度と湿度を定期的にモニタリングする。

H-Advanced ・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。

ち⼊ることもあるその他の場所は，能な場合には，認可されていないア・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアの温度と湿度を定めた許容レベルに保つ仕組みを導⼊する。

H-Advanced ・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。

視カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

・組織は、独⽴した電源等により稼働する消⽕及び⽕災検知のための装置やシステムを導⼊し、維持する。

CPS.AC-2

錠、⼊退室管理、⽣体認証等の導⼊、監Advanced

ならない。

・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアに対するアクセスリストの維持管理及びアクセスに必要な許可証明書を視カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。

発⾏する。
Basic

・組織は、⾃組織の施設においてセキュリティを保つべき物理的セキュリティ境界を定め、境界内に設置している資産のセキュリティ
要求事項及びリスクアセスメントの結果に応じてアクセス制御を実施する。
・組織は、物理的セキュリティ境界内における⾃組織または⾃組織外の⼀時的に認可された⼊場者に対して、認可された関係者の付き添い⼜は監視カメラ等により作業内容をモニタリングできるようにする。

D-3-22

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.11.2

A.11.2.1

装置は，環境上の脅威及び災害から装置装置の設置及び保護のリスク並びに認可されていないア
クセスの機会を低減するように設置し，保護しなければならない。

対策要件ID

対策例

対策要件

・無停電電源装置、防⽕設備の確保、浸 H-Advanced ・組織は、⾃組織の利⽤するシステムが設置されている施設に職員が常駐しない場合には、⾃動消⽕機能を導⼊する。
⽔からの保護等、⾃組織のIoT機器、
CPS.IP-5

サーバ等の物理的な動作環境に関するポ

装置は，サポートユーティリティのサポートユーティリ

不具合による，停電，その他の故障ティから保護しなければならない。

・組織は、独⽴した電源等により稼働する消⽕及び⽕災検知のための装置やシステムを導⼊し、維持する。
・組織は、閉⽌弁や遮断弁を⽤意し、⾃組織のIoT機器、サーバ等が設置されているエリアを⽔漏れ等の被害から保護する。

リシーや規則を満たすよう物理的な対策
Basicを実施する。
A.11.2.2

・組織は、無停電電源装置等により⾃組織のIoT機器、サーバ等が設置されているエリア内の機器の安定な稼働を維持する。

Advanced

・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアの温度と湿度を定めた許容レベルに保つ仕組みを導⼊する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアの温度と湿度を定期的にモニタリングする。
・組織は、⾃らの事業を継続する上で、⾃組織が有する下記のサポートユーティリティの果たす機能及び依存関係を特定する。
- 通信サービス- 電⼒設備（電⼒ケーブル等を含む）
・上記で識別されたユーティリティの内、事業継続という観点から重要な役割を果たすものについて、下記のような対策を講ずること・⾃組織が事業を継続する上での⾃組織を検討する。

CPS.BE-3 及び関係する他組織における依存関係と H-Advanced- 代替通信サービスの確⽴- 情報システム及び産業⽤制御システムの電⼒設備及び電⼒ケーブルの物理的保護

重要な機能を特定する。

- 短期無停電電源装置の準備
・特に、代替通信サービスの利⽤を検討する際、下記について考慮する- 通信サービス事業者との契約事項を検討する際、組織の可⽤性に関する要求事項（⽬標復旧時間を含む）を明確にする- ⼀次通信サービスとの間で単⼀障害点が共有される可能性を低減する
Advanced

・IoT機器、通信機器、回線等に対し、
CPS.DS-7

作業、ソフトウェアの更新を⾏う。

意する。
・組織は、情報システム及び産業⽤制御システムに要求されたシステム性能を満たすことを確実にするために、資源の利⽤を監視・調定期的な品質管理、予備機や無停電電源
装置の確保、冗⻑化、故障の検知、交換・組織は、⼀次電源が失われた場合に、情報システムの⻑期間使⽤可能な代替電源への切り替えを⽀援する、短期無停電電源装置を⽤整しなければならず、また、将来必要とする容量・能⼒を予測する。
Basic

・組織は、サポートユーティリティの不具合による停電、その他の故障から装置を保護する。
・組織は、データを伝送する⼜はサービスをサポートする通信ケーブル及び電源ケーブルの配線を傍受、妨害⼜は損傷から保護する。
・組織は、可⽤性及び完全性を継続的に維持することを確実にするために、装置を正しく保守する。

・無停電電源装置、防⽕設備の確保、浸 H-Advanced ・組織は、⾃組織の利⽤するシステムが設置されている施設に職員が常駐しない場合には、⾃動消⽕機能を導⼊する。
⽔からの保護等、⾃組織のIoT機器、
CPS.IP-5

サーバ等の物理的な動作環境に関するポ・組織は、無停電電源装置等により⾃組織のIoT機器、サーバ等が設置されているエリア内の機器の安定な稼働を維持する。

AdvancedBasicを実施する。
A.11.2.3

データを伝送する⼜は情報サービス

ケーブル配線のセをサポートする通信ケーブル及び電キュリティ

源ケーブルの配線は，傍受，妨害⼜CPS.AC-2

は損傷から保護しなければならな視カメラの設置、持ち物や体重検査等の・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアの温度と湿度を定めた許容レベルに保つ仕組みを導⼊する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアの温度と湿度を定期的にモニタリングする。
・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。

・IoT機器、サーバ等の設置エリアの施錠、⼊退室管理、⽣体認証等の導⼊、監・組織は、独⽴した電源等により稼働する消⽕及び⽕災検知のための装置やシステムを導⼊し、維持する。
・組織は、閉⽌弁や遮断弁を⽤意し、⾃組織のIoT機器、サーバ等が設置されているエリアを⽔漏れ等の被害から保護する。

リシーや規則を満たすよう物理的な対策・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。
H-Advanced ・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。

物理的セキュリティ対策を実施する。

い。

Advanced

・IoT機器、通信機器、回線等に対し、
CPS.DS-7

作業、ソフトウェアの更新を⾏う。

D-3-23意する。
・組織は、情報システム及び産業⽤制御システムに要求されたシステム性能を満たすことを確実にするために、資源の利⽤を監視・調定期的な品質管理、予備機や無停電電源
装置の確保、冗⻑化、故障の検知、交換・組織は、⼀次電源が失われた場合に、情報システムの⻑期間使⽤可能な代替電源への切り替えを⽀援する、短期無停電電源装置を⽤整しなければならず、また、将来必要とする容量・能⼒を予測する。
Basic

・組織は、サポートユーティリティの不具合による停電、その他の故障から装置を保護する。
・組織は、データを伝送する⼜はサービスをサポートする通信ケーブル及び電源ケーブルの配線を傍受、妨害⼜は損傷から保護する。
・組織は、可⽤性及び完全性を継続的に維持することを確実にするために、装置を正しく保守する。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.11.2.4

装置は，可⽤性及び完全性を継続的装置の保守に維持することを確実にするため対策要件ID

Advanced

・IoT機器、通信機器、回線等に対し、に，正しく保守しなければならな
い。

対策例

対策要件

CPS.DS-7

作業、ソフトウェアの更新を⾏う。

意する。
・組織は、情報システム及び産業⽤制御システムに要求されたシステム性能を満たすことを確実にするために、資源の利⽤を監視・調定期的な品質管理、予備機や無停電電源
装置の確保、冗⻑化、故障の検知、交換・組織は、⼀次電源が失われた場合に、情報システムの⻑期間使⽤可能な代替電源への切り替えを⽀援する、短期無停電電源装置を⽤整しなければならず、また、将来必要とする容量・能⼒を予測する。
Basic

・組織は、サポートユーティリティの不具合による停電、その他の故障から装置を保護する。
・組織は、データを伝送する⼜はサービスをサポートする通信ケーブル及び電源ケーブルの配線を傍受、妨害⼜は損傷から保護する。
・組織は、可⽤性及び完全性を継続的に維持することを確実にするために、装置を正しく保守する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに必要な機器やツールを⽤いる際には、事前に承認するものとし、モニタリングを実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等を実施する要員が持ち込むメンテナンスに必要な機器やツールを検査し、不適・IoT機器、サーバ等のセキュリティ上

H-Advanced

・組織は、遠隔地からの操作によってソフトウェア(OS、ドライバ、アプリケーション)を⼀括して更新するリモートアップデートの仕ングに管理されたツールを利⽤して適切組みを備えたIoT機器を導⼊する。

に履歴を記録しつつ実施する。

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施するに当たり、メンテナンスの実施計画、実施、確認、

CPS.MA-1 ・可能であれば、遠隔地からの操作に⽂書化する。

よってソフトウェア（OS、ドライバ、・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施する際には、事前に承認するものとし、モニタリングを

アプリケーション）を⼀括して更新する
IoT機器を導⼊する。

・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに⽤いる媒体を検査して、悪質コードが含まれていないことを確認した上で使⽤する。

重要なアップデート等を、必要なタイミ

リモートアップデートの仕組みを備えた

切な変更または不正な変更がないか確認する。

実施する。
Advanced

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを⾃組織の施設から離れた場所で実施する場合には、施設からの移動について事前に承認するものとともに、移動に先⽴って関連する保存されている情報の消去等の必要な処理を実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスの終了後、影響を受けた可能性のあるすべてのセキュリティ対策をチェックして、正しく機能しているかどうかを確認する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンス記録を保管する。
・組織は、メンテナンス要員の認可プロセスを確⽴し、認可されたメンテナンス組織または要員の⼀覧の最新化を図る。

・⾃組織のIoT機器、サーバ等に対する遠隔保守を、適⽤先のモノ、システムの・組織は、遠隔保守のための接続の確⽴と実施に関するポリシーとプロシージャを⽂書化し、その内容により実施する。
Advanced

記録し、不正アクセスを防げる形で実施する。

・組織は、遠隔保守を実施する際には組織の定めるネットワークアクセスに求める認証を実施するとともに、遠隔保守が完了したらセッションとネットワーク接続を確実に終了する。

CPS.MA-2 オーナー部⾨による承認を得て、ログを・組織は、遠隔保守の実施に当たっては、実施計画を策定し・合意した上で実施し、実施結果を確認する。
Basic

・組織は、実施した遠隔保守の実施記録を保管する。
・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維A.11.2.5

装置，情報⼜はソフトウェアは，事資産の移動前の認可なしでは，構外に持ち出し・システムを構成するハードウェア、ソてはならない。

フトウェア及びその管理情報（例︓名CPS.AM-1 称、バージョン、ネットワークアドレ

持・管理する。
・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す
Advanced

ス、管理責任者、ライセンス情報）の⼀る。
・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。

覧を作成し、適切に管理する。

・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切に把握し、管理する。

・IoT機器、サーバ等の重要性を考慮

・組織は、特に重要な資産を管理している範囲内での重要資産の位置や移動を追跡し、モニタリングする。

CPS.CM-2 し、適切な物理的アクセスの設定及び記 H-Advanced
録、監視を実施する。
A.11.2.6

構外にある資産に対しては，構外で構外にある装置及びの作業に伴った，構内での作業とは資産のセキュリティ

異なるリスクを考慮に⼊れて，セキュリティを適⽤しなければならない。

・監視カメラ等による常時モニタリングは実施していないが、⼊退室管理等により物理アクセスログを取得している場合、定期的に、また、インシデントあるいはその兆候が顕在化した際に監査ログをレビューする。
・⾃組織の保護すべき資産に直接アクセス可能なエリア（執務室等）において、⾃組織の担当者が来客に付き添って、来客の⾏動をモ・IoT機器、サーバ等の重要性を考慮
CPS.CM-2 し、適切な物理的アクセスの設定及び記

ニタリングする。
Advanced

・組織は、IoT機器、サーバ等が設置されている⾃組織の業務上重要な施設に対する物理アクセスを監視カメラ等によりモニタリングすることによって、物理的なセキュリティインシデントを早期に検出し、対応できるようにする。

録、監視を実施する。

・⾃組織のオペレーションにとって重要度が⾼いと考えられるIoT機器、サーバ等のモノであるが、遠隔地に存在している等の理由により上記の物理的セキュリティ対策の実装が難しいと考えられる場合、耐タンパー性の⾼い機器を利⽤する(CPS.DS-6)等して、機器⾃体の物理セキュリティ特性を⾼めることで対策することを検討する。

D-3-24

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.11.2.7

記憶媒体を内蔵した全ての装置は，装置のセキュリティ

処分⼜は再利⽤する前に，全ての取を保った処分⼜は再扱いに慎重を要するデータ及びライ

利⽤

センス供与されたソフトウェアを消対策要件ID・IoT機器、サーバ等の廃棄時には、内部に保存されているデータ及び、正規
CPS.IP-6

去していること，⼜はセキュリティ

無⼈状態にある利⽤

切な保護対策を備えていることを確者装置

実にしなければならない。

H-Advanced
Advanced（識別⼦）や重要情報（秘密鍵、電⼦証態にする。

にするために，検証しなければなら利⽤者は，無⼈状態にある装置が適

IoT機器、サーバ等を⼀意に識別するID
明書等）を削除⼜は読み取りできない状を保って上書きしていることを確実
A.11.2.8

対策例

対策要件

・組織は、廃棄対象のIoT機器やサーバ等の内部に保存されている情報のセキュリティカテゴリ等の分類を定義し、その定義に従い必要な強度と完全性を備えた情報の削除⼜は読み取りできない状態にする技法を使い分けるメカニズムを導⼊する。
・組織は、⾃組織のIoT機器やサーバ等を廃棄するプロシージャを定め、そのプロシージャに従って内部に保存されている情報を削除⼜は読み取りできない状態し、適切に実施できたことを確認する。
・組織は、⾃組織のIoT機器やサーバ等を廃棄するに当たっては、内部に保存されている情報を削除⼜は読み取りできない状態にする。

Basic・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。
H-Advanced ・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。

・IoT機器、サーバ等の設置エリアの施CPS.AC-2

錠、⼊退室管理、⽣体認証等の導⼊、監Advanced

・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアに対するアクセスリストの維持管理及びアクセスに必要な許可証明書を視カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。

発⾏する。
Basic

・組織は、⾃組織の施設においてセキュリティを保つべき物理的セキュリティ境界を定め、境界内に設置している資産のセキュリティ
要求事項及びリスクアセスメントの結果に応じてアクセス制御を実施する。
・組織は、物理的セキュリティ境界内における⾃組織または⾃組織外の⼀時的に認可された⼊場者に対して、認可された関係者の付き添い⼜は監視カメラ等により作業内容をモニタリングできるようにする。

A.11.2.9

書類及び取外し可能な記憶媒体に対クリアデスク・クリ

するクリアデスク⽅針，並びに情報

アスクリーン⽅針

処理設備に対するクリアスクリーン・組織は、⾃組織のIoT機器、サーバ等に関わる配電線及び回線に対して物理アクセスによる制御を実施する。
H-Advanced ・組織は、⾃組織のシステムの出⼒装置に対して物理アクセスによる制御を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理的な侵⼊について警報と監視装置（例︓監視カメラ）をモニタリングする。

・IoT機器、サーバ等の設置エリアの施⽅針を適⽤しなければならない。
CPS.AC-2

錠、⼊退室管理、⽣体認証等の導⼊、監Advanced

・組織は、⾃組織の物理セキュリティ境界内に対する⼊場者のアクセス記録を、⼀定期間保管し、定期的にレビューを実施する。
・組織は、⾃組織のIoT機器、サーバ等が設置されているエリアに対するアクセスリストの維持管理及びアクセスに必要な許可証明書を視カメラの設置、持ち物や体重検査等の物理的セキュリティ対策を実施する。

・組織は、⾃組織の物理セキュリティ境界に対する物理アクセスをモニタリングし、定期的に監査ログのレビューを実施する。

発⾏する。
Basic

・組織は、⾃組織の施設においてセキュリティを保つべき物理的セキュリティ境界を定め、境界内に設置している資産のセキュリティ
要求事項及びリスクアセスメントの結果に応じてアクセス制御を実施する。
・組織は、物理的セキュリティ境界内における⾃組織または⾃組織外の⼀時的に認可された⼊場者に対して、認可された関係者の付き添い⼜は監視カメラ等により作業内容をモニタリングできるようにする。

A.12

A.12.1

A.12.1.1

操作⼿順は，⽂書化し，必要とする運⽤のセキュリティ

運⽤の⼿順及び責任操作⼿順書

全ての利⽤者に対して利⽤可能にし・従来のIT環境において運⽤されているものと基本的な⽅針を共有しつつ、産業⽤制御システム等、IoT機器が設置されるサイトの性質等を⼗分に考慮したセキュリティポリシー群、運⽤⼿順を策定する。

なければならない。

H-Advanced [参考] 例えば、産業⽤制御システム(ICS)を対象としたセキュリティマネジメント規格であるIEC 62443-2-1では、ICS環境のための上位レベルのサイバーセキュリティポリシーの策定を求めている。特に、産業分野におけるセキュリティポリシー及び運⽤⼿順の策定にあたっては、「制御システムセキュリティ運⽤ガイドライン」（⽇本電気制御機器⼯業会, 2017年）等を参考とすることができる。
・組織は、上位の⽅針を⽀えるセキュリティポリシー群のより低いレベルとして、例えば、情報システムを対象とした下記のようなトピック個別の⽅針及び実施⼿順を策定する。

・セキュリティポリシーを策定し、⾃組
CPS.GV-1a) アクセス制御及び認証

織及び関係する他組織のセキュリティ上b) 物理的セキュリティ対策の役割と責任、情報の共有⽅法等を明確

c) システムの開発及び保守にする。

d) 外部委託先管理e) 情報分類及び取扱い
Advanced

・情報システムを対象としたセキュリティポリシー群の策定に当たっては、⾃組織の a)事業戦略、b)関係する規制、法令及び契約、c)セキュリティの脅威環境 を⼗分に考慮して、⾃組織の実情を⼗分に反映したものとなるよう策定を実施する。
・組織は、⾃組織の a)事業戦略、 b)関係する規制、法令及び契約、c)セキュリティの脅威環境 の変化に応じて、セキュリティ⽅針をレビュー、更新する。
[参考] より詳細なレベルの⽅針策定の際には、ISO/IEC 27002 等の関連する標準を参照して⽅針が必要となる分野を把握したうえ
で、「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年) 付録5「情報セキュリティ関連規定（サンプル）」や、「情報セキュリティポリシーサンプル改版（1.0版）」(JNSA, 2016年)等を参考にすることができる。

D-3-25

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.12.1.2

情報セキュリティに影響を与える，変更管理

組織，業務プロセス，情報処理設備

対策要件ID

対策例

対策要件

・組織は、構成管理の対象となるIoT機器、サーバ等に対して変更を実施する前に、それらの変更をテスト・承認・⽂書化する。
H-Advanced ・組織は、IoT機器、サーバ等の設定を⼀つの場所から管理・適⽤・検証するための⾃動化されたメカニズムを使⽤する。

・組織は、特に産業⽤制御システムにおけるセキュリティに係る変更管理⼿順を、既存のプロセス安全管理の⼿順に統合する。

及びシステムの変更は，管理しなけ・組織は、構成管理の対象となるIoT機器、サーバ等に対する変更が⽣じた場合には変更に伴うセキュリティ影響分析を実施して変更のればならない。

実施可否を判断し、実施⼿順等のを⽂書化する。
・組織は、許可されたIoT機器、サーバ等の変更に関して、実施できる要員（アクセス制限）を限定する。

・IoT機器、サーバ等の初期設定⼿順
CPS.IP-1

Advanced（パスワード等）及び設定変更管理プロ

・組織は、許可されたIoT機器、サーバ等の変更を実施するとともに、その変更の実施・記録・監査等を実施する。
・組織は、⾃⾝のアカウントや、IoT機器、サーバ等のパスワードを忘れてしまった場合、安全な回復⽅法（例︓変更実施前に本⼈にしかわからないセキュリティコードを⼊⼒させる）を利⽤する。

セスを導⼊し、運⽤する。

・組織は、セキュリティ上の変更によって情報システム及び産業⽤制御システムの可⽤性や安全性等に悪影響が及ばないことを確実にするため、運⽤及び変更管理のポリシー及び⼿順を定期的にレビューする。
・組織は、⾃組織の運⽤に適合する最も制限された設定基準を定めた上で、導⼊されるIoT機器、サーバ等の初期設定⼿順及び設定内容を⽂書化するとともに、その⽂書に従って設定を実施する。
Basic

・組織は、IoT機器を設置する前にデフォルトの初期設定値を確認し、CPS.AC-1で定めたポリシーに準じていない場合に適切なものへと変更する。
・組織は、IoT機器の導⼊前に、搭載されているソフトウェアを確認し、記録する。

A.12.1.3

要求されたシステム性能を満たすこ

容量・能⼒の管理とを確実にするために，資源の利⽤・情報システム及び産業⽤制御システムは、予備の容量／帯域幅／その他の予備リソース（ヒト／モノ／システム等）を管理して、⼤量の情報を送りつけるタイプのサービス拒否攻撃による影響を最⼩限に抑える。例えば、攻撃を受けているシステムが提供するサービ
スを、可⽤性の⽔準維持等の理由により停⽌できない場合、重要な機能を継続するため、以下のような対策をとる必要がある。

を監視・調整しなければならず，ま測しなければならない。

- 待機している予備システムへの⾃動的、あるいは、⼈⼿を介した移⾏・サービス拒否攻撃等のサイバー攻撃をた，将来必要とする容量・能⼒を予- ネットワークアクセスからの攻撃を受けたシステム構成要素の、⾃動的あるいは⼈⼿を介した隔離受けた場合でも、資産を適切に保護し、
CPS.DS-6 攻撃による影響を最⼩限にできるよう、

Advanced

構成要素において⼗分なリソース（例:・要求されたシステム性能を満たすことを確実にするために，資源の利⽤を監視・調整しなければならず，また，将来必要とする容量・能⼒を予測しなければならない。
・組織は、

ヒト、モト、システム）を確保する。

(a) 情報システムに対するサービス妨害攻撃の兆候を発⾒するための組織が定めた、モニタリングツールを使⽤する(b) 組織が定めた情報システム及び産業⽤制御システムのリソースをモニタリングして、効果的なサービス妨害攻撃を阻⽌するための⼗分なリソースが確保されているかどうかを判断する

Advanced

・IoT機器、通信機器、回線等に対し、
CPS.DS-7

作業、ソフトウェアの更新を⾏う。

A.12.1.4

開発環境，試験環境及び運⽤環境

開発環境，試験環境

は，運⽤環境への認可されていない

及び運⽤環境の分離

アクセス⼜は変更によるリスクを低意する。
・組織は、情報システム及び産業⽤制御システムに要求されたシステム性能を満たすことを確実にするために、資源の利⽤を監視・調定期的な品質管理、予備機や無停電電源
装置の確保、冗⻑化、故障の検知、交換・組織は、⼀次電源が失われた場合に、情報システムの⻑期間使⽤可能な代替電源への切り替えを⽀援する、短期無停電電源装置を⽤整しなければならず、また、将来必要とする容量・能⼒を予測する。
Basic

・組織は、サポートユーティリティの不具合による停電、その他の故障から装置を保護する。
・組織は、データを伝送する⼜はサービスをサポートする通信ケーブル及び電源ケーブルの配線を傍受、妨害⼜は損傷から保護する。
・組織は、可⽤性及び完全性を継続的に維持することを確実にするために、装置を正しく保守する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムを構成するネットワークの内部における境界について通信をモニタリン
グし、制御する。
・機密性の⾼いデータを取り扱う⾃組織のシステムの繋がるネットワークについては、ネットワーク通信をデフォルトで拒否するものとし、許可した通信トラフィックのみ接続可能とするメカニズムを整備する。

減するために，分離しなければなら

H-Advanced ・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理ない。

的に分離する。
・機密性の⾼いデータを取り扱う⾃組織の情報システムが遠隔地にある装置とコネクションを確⽴している場合、その装置がシステムとの間でローカル接続を複数同時に確⽴するのを阻⽌すると同時に、別の接続によって外部ネットワークのリソースにアクセスできな・データフロー制御ポリシーを定め、そいようにする。

れに従って適宜ネットワークを分離する
CPS.AC-7

・情報システム及び産業⽤制御システムは、⾃組織のシステムの繋がるネットワークにおける外部境界（産業⽤制御システムの場合は（例︓開発・テスト環境と実運⽤環境、
IoT機器を含む環境と組織内の他の環

Advanced境）等してネットワークの完全性を保護

情報システムとの境界）について通信をモニタリングし、制御する。
・組織は、⾃組織のシステムの有効なセキュリティを促進する設計として境界保護装置等を設置し、当該装置を介して外部ネットワー
ク等に接続する。

する。

・組織は、情報システム及び産業⽤制御システム内でデータフローが許可される範囲やシステム間におけるデータフローが許可される範囲を定めたデータフロー制御ポリシーを定め、適切に論理的あるいは物理的にネットワークを分離することで、フローの制御を実施
する。
Basic

・組織は、産業⽤制御システムにおいて、制御システムのネットワークを情報システムとのネットワークから論理的あるいは物理的にセグメント化する。
[参考] 他のネットワークと物理的に離れた環境においては物理的なセグメント化を実施する、他のネットワークと物理的に近接した環
境では、対策のコスト等も考慮して論理的なセグメント化を実施する等の対応が可能である。

D-3-26

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.12.2

A.12.2.1

マルウェアから保護するために，利マルウェアからの保マルウェアに対する

⽤者に適切に認識させることと併せ

護管理策て，検出，予防及び回復のための管理策を実施しなければならない。

対策要件ID

対策例

対策要件

・組織は、情報システムにおいて完全性検証時に不⼀致が発⾒された場合にシステム管理者に通知する、⾃動化されたツールを使⽤す

・IoT機器、サーバ等にて稼働するソフ
CPS.DS-10

トウェアの完全性を組織が定めるタイミ

る。
H-Advanced ・組織は、不正なソフトウェアが検知された場合に、対象ソフトウェアの起動を防⽌するツールを使⽤する。

・組織は、設定の不正な変更や、システム権限の不正な昇格等の、セキュリティ関連の変更が不正に⾏われた場合の検知能⼒を、組織ングで検証し、不正なソフトウェアの起のインシデント対応能⼒に組み⼊れる。
・情報システムは、ソフトウェア・ファームウェアの完全性チェックを定期的に実施する。

動を防⽌する。

Advanced

・情報システム及び産業⽤制御システムは、起動を許可するソフトウェアを事前に登録しておくことで、登録されていないソフトウェ
アの起動を停⽌する。
・IoT機器あるいはそうした機器を含んだシステムが、通常期待される結果とは異なる結果をもたらすような特定の攻撃（例︓コマンド
インジェクション）に備え、ソフトウェアプログラムまたはアプリケーションからの出⼒情報を検証して、期待される内容と⼀致しているかを確認する。

H-Advanced ・情報システムは、IDS/IPSによる悪質コードの検知ロジックを⾃動的に更新する。

・エンドポイント（特に、多様な機能を有するIoT機器、サーバ等）において、マルウェアに対する振舞い検知型の検出・修復ソフト
ウェアを導⼊することで、未知の脆弱性を突く攻撃コードの検知を実施する。

・指⽰された動作内容と実際の動作結果

・情報システムは、⾃組織外から受信したファイルのリアルタイムスキャンを実⾏する。

を⽐較して、異常の検知や動作の停⽌を
CPS.CM-3

・情報システムは、IDS/IPSを通じて⾃⾝に対する悪質なコードが検出した場合、当該コードを遮断、隔離するか、管理者に通知す

⾏うIoT機器を導⼊する。

る。

・サイバー空間から受ける情報が悪質な・エンドポイント（IoT機器、サーバ等）において、マルウェアに対するパターンファイル型の検出・修復ソフトウェアを導⼊すること

コードを含んでおらず、許容範囲内であることを動作前に検証する。

で、攻撃コードの検知を実施する。
Advanced

・特に、機能が限定されているIoT機器において、ホワイトリスト型のマルウェア対策を実施することを考慮する。
※ 特にIoT機器や制御機器においては、マルウェア対策ソフトが利⽤可能なOSが使⽤されているとは限らないケースがある。組織は、調達時等に導⼊する機器がマルウェア対策ソフトに対応できるものかを確認し、対応可能なものを選定することが望ましい。マル
ウェア対策ソフトに対応する機器を調達することが困難な場合、ネットワーク上でマルウェアを検知する仕組みを導⼊・強化する等、代替的な対策を実施することが望ましい。

A.12.3A.12.3.1

情報，ソフトウェア及びシステムイ

バックアップ

情報のバックアップ

メージのバックアップは，合意され・組織は、⾃らの事業を継続する上で、⾃組織が有する下記のサポートユーティリティの果たす機能及び依存関係を特定する。
- 通信サービス- 電⼒設備（電⼒ケーブル等を含む）

たバックアップ⽅針に従って定期的

・上記で識別されたユーティリティの内、事業継続という観点から重要な役割を果たすものについて、下記のような対策を講ずることに取得し，検査しなければならなを検討する。

い。

・⾃組織が事業を継続する上での⾃組織

H-Advanced- 代替通信サービスの確⽴- 情報システム及び産業⽤制御システムの電⼒設備及び電⼒ケーブルの物理的保護

CPS.BE-3 及び関係する他組織における依存関係と- 短期無停電電源装置の準備

重要な機能を特定する。

・特に、代替通信サービスの利⽤を検討する際、下記について考慮する- 通信サービス事業者との契約事項を検討する際、組織の可⽤性に関する要求事項（⽬標復旧時間を含む）を明確にする- ⼀次通信サービスとの間で単⼀障害点が共有される可能性を低減する
・CPS.AM-6で規定した当該システムの可⽤性に対する要求⽔準に応じて、その容量・能⼒に関する要求事項を特定する。
Advanced

・⾃組織が利⽤する情報システム及び産業⽤制御システムが、要求されたシステム性能を満たすことを確実にするために、資源の利⽤を監視・調整し、また、将来必要とする容量・能⼒を予測する。

・構成要素（IoT機器、通信機器、回線
CPS.IP-4等）に対し、定期的なシステムバック
アップを実施し、テストする。

A.12.4A.12.4.1

利⽤者の活動，例外処理，過失及びログ取得及び監視

イベントログ取得

情報セキュリティ事象を記録したイ

Advanced
Basic・組織は、⾃組織のシステムドキュメントのバックアップを定めたタイミングや頻度で実施する。
・組織は、保管拠点におけるバックアップ情報の機密性・完全性・可⽤性を保護する。
・組織は、⾃組織の情報システム及び産業⽤制御システムに含まれるユーザレベル・システムレベルの情報のバックアップを定めたタ
イミングや頻度で実施する。
・組織は、取引先、第三者的な監査機関等の関係する他組織からのリアルタイムでのニーズに柔軟に応じるため、下記の特徴を有した
証跡保管システムを利⽤する。

H-Advanced

ベントログを取得し，保持し，定期的にレビューしなければならない。

H-Advanced ・組織は、バックアップ情報を定期的にテストして、媒体の信頼性と情報の完全性を確認する。

- 対象となる監査証跡の契約事項に対する適格性を⾼速で検証することができる- 取引先や委託を受けた監査機関等の許可を受けたエンティティのみがアクセスできる・⾃組織が関係する他組織及び個⼈との- 保管されているデータが、タイムスタンプや電⼦署名により証跡としての信頼性を有している

契約上の義務を果たしていることを証明

・組織は、システムによって⽣成された監査記録のうち⻑期にわたって取得する監査記録を確実に取得できるよう、対策を実施する。

CPS.SC-8 するための情報（データ）を収集、安全・システムは、監査記録を次の脅威から保護するため、粒度の⾼いアクセス制御等を監査記録を保存するモノ、システムに適⽤するこに保管し、必要に応じて適当な範囲で開⽰できるようにする。

とが望ましい。
Advanced- 記録されたメッセージ形式の変更- ログファイルの変更⼜は削除- ログファイル媒体の記録容量超過

Basic

D-3-27

・組織は、法規制等により要求される事項を満たす事ができるよう、適切な期間の監査記録を保持する。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。
H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれている可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤や、・セキュリティインシデントを適切に検CPS.PT-1

システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。

知するため、監査記録／ログ記録の対象

・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装すを決定、⽂書化し、そうした記録を実施
して、レビューする。

る。
Advanced

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。
・組織は、⾃組織のリスクマネジメントの戦略や、リスクアセスメントの結果等に基づき、監査対象を設定し、対象において誰がいつ何を⾏ったかがわかるような監査ログの取得がシステムにより可能かを確認する。

Basic・システムは、さまざまなシステムコンポーネントから規定された監査ログを⽣成する。
・システムの監査ログを定期的にレビュー・分析して、⾃組織に被害をもたらしうるセキュリティインシデントの兆候の有無を確認し、必要に応じてシステム管理者等へ報告する。
・組織は、産業⽤制御システムのパフォーマンスに監査活動が与える影響が許容範囲内であることを確認する。
・組織は、セキュリティ専⾨の24時間365⽇モニタリングモニタリングにより収集した監査ログを、分析⾃動化ツール等を利⽤することで効率的に分析する。
・組織は、従来のIT環境だけでなく、制御システムやIoT機器も含めて、セキュリティ状況のモニタリングの範囲とすることが望ましい。

H-Advanced ・組織は、セキュリティ対応組織の成熟度を定期的に評価し、セキュリティ状況のモニタリングやインシデントへの対応等のセキュリ

ティ関連業務を継続的に改善することが望ましい。
[参考] セキュリティ対応組織(SOC/CSIRT)を評価するためのメトリクスには、「セキュリティ対応組織成熟度セルフチェックシート」(ISOG-J, 2018年)や、SIM3(Security Incident Management Maturity Model)等がある。
・組織は、リスクアセスメントの結果等を参照して、下記の観点を考慮しながらモニタリング、相関分析の対象となる対象を確⽴する。なお、相関分析の対象には、他組織とデータを連携する部分のログも含めることが望ましい。

・セキュリティ管理責任者を任命し、セCPS.AE-2- モニタリングするシステムの範囲をどこまでとするか

キュリティ対応組織(SOC/CSIRT)を⽴- どのような機器のログを収集し、分析するか (CPS.AE-3を参照)

ち上げ、組織内でセキュリティ事象を検・組織は、モニタリングにより収集した監査ログを定期的にレビューする。

知・分析・対応する体制を整える。

・組織は、資産情報、機器の構成情報、ネットワーク構成情報等を継続的に収集・管理し、⾃組織のセキュリティ対応状況を評価する。
・組織は、相関分析の結果等から対応が必要なセキュリティインシデントを適切に検知し、セキュリティ運⽤プロセスの記載内容に従Advanced

い、対応を実施する（プロセスの内容については、CPS.RP-1等を参照）。
・組織及びシステムのセキュリティ状態をセキュリティ管理責任者等の適切な要員に、定期的に報告する。報告内容には以下を含むことが望ましい。
- ログ分析の分析結果（対処したインシデントの件数、対応済みの代表的なインシデントの概要、脅威動向、モニタリング上の課題
等）- モニタリングにおける今後の改善⽅針[参考] セキュリティ対応組織(SOC/CSIRT)の業務、望まれる規模等については、「セキュリティ対応組織（SOC/CSIRT）の教科書 〜
機能・役割・⼈材スキル・成熟度 〜」(ISOG-J, 2018年)等を参照することが望ましい。

D-3-28

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・最新の脅威情報、脆弱性情報、複数回にわたるセキュリティ管理策アセスメントの結果等から動向分析を実施し、継続的なモニタリ
ングに⽤いられている活動の修正の必要性を判断する。
H-Advanced

・組織は、⾃組織でIDS,IPS,SIEMといったセキュリティ装置等のポリシーチューニング（適⽤シグネチャ管理）と維持管理を⾏う。
・組織は、⾃組織でセンサー機器でのカスタムシグネチャを脅威情報から作成する。
・組織は、可能な場合、⾃組織に悪影響を及ぼす可能性の⾼いセキュリティ事象を適切に検知するため、＜Advanced＞で提⽰している機器のログに加え、IoT機器等のエッジデバイスのログも収集し、分析することが望ましい。
・組織は、⾃組織に悪影響を及ぼす可能性の⾼いセキュリティ事象を適切に検知するため、主に以下のような情報システムを構成する機器のログを監視し、リアルタイムに分析を⾏うことが望ましい。 多種多様なログの取り扱いが必要になるため、ログを正規化し、同・セキュリティ事象の相関の分析及び外CPS.AE-3

⼀のデータベースに格納したり、SIEMを利⽤したりして、効率的な分析を実現する必要がある。取得可能な場合はネットフローの情報部の脅威情報と⽐較した分析を⾏う⼿順も扱うことが望ましい。

を実装することで、セキュリティインシ
デントを正確に特定する。

- ファイアウォールなどのネットワーク装置からのログやネットフロー
Advanced- IPS/IDSなどのセキュリティ装置からのログ- Web サーバなどのアクセスログ- ActiveDirectoryやDNSなどの各種システムからのログ- ユーザ利⽤端末に関するログ[参考] セキュリティ対応組織(SOC/CSIRT)が実施する各種業務の内容については、「セキュリティ対応組織（SOC/CSIRT）の教科書〜 機能・役割・⼈材スキル・成熟度 〜」(ISOG-J, 2018年) 等を参照することが望ましい。

Basic

るよう、セキュリティ事象検知における⾃組織とサービスプロバイダが担う役割

望ましいログ情報を決定する。
Basic

ログ機能及びログ情報は，改ざん及ログ情報の保護び認可されていないアクセスから保・組織は、取引先（サービスプロバイダ）に対して、取得されるサービス利⽤者の活動，例外処理及びセキュリティ事象を記録した監
査ログの存在を確認する。
・組織は，サービスプロバイダにより取得される監査ログが，サービスの利⽤者の活動，例外処理及びセキュリティ事象を記録できてと負う責任を明確にする。
A.12.4.2

ティ事象を特定する。
・組織は、リスクマネジメントに係る戦略やアセスメントの結果等から、セキュリティインシデントを検知するために収集することが・セキュリティ事象の説明責任を果たせ
CPS.DP-1

・ファイアウォールやエンドポイントセキュリティ製品等の通知を個別に確認することで、⾃組織に悪影響を及ぼすようなセキュリ

おり、適切な⽅式で保護されていることを確認する。
・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡と護しなければならない。

して、（論理的・物理的を問わず）管理する。

・セキュリティインシデントを適切に検CPS.PT-1

H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

知するため、監査記録／ログ記録の対象・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれていを決定、⽂書化し、そうした記録を実施る可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤や、して、レビューする。

システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装する。
Advanced

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。

D-3-29ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.12.4.3

システムの実務管理者及び運⽤担当

実務管理者及び運⽤者の作業は，記録し，そのログを保担護し，定期的にレビューしなければ当者の作業ログならない。

対策要件ID

対策例

対策要件

・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。
H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれている可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤や、・セキュリティインシデントを適切に検CPS.PT-1

システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。

知するため、監査記録／ログ記録の対象

・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装すを決定、⽂書化し、そうした記録を実施
して、レビューする。

る。
Advanced

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。
・組織は、⾃組織のリスクマネジメントの戦略や、リスクアセスメントの結果等に基づき、監査対象を設定し、対象において誰がいつ何を⾏ったかがわかるような監査ログの取得がシステムにより可能かを確認する。

Basic・システムは、さまざまなシステムコンポーネントから規定された監査ログを⽣成する。
・システムの監査ログを定期的にレビュー・分析して、⾃組織に被害をもたらしうるセキュリティインシデントの兆候の有無を確認し、必要に応じてシステム管理者等へ報告する。
・組織は、産業⽤制御システムのパフォーマンスに監査活動が与える影響が許容範囲内であることを確認する。

A.12.4.4

組織⼜はセキュリティ領域内の関連

クロックの同期

する全ての情報処理システムのク・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。

ロックは，単⼀の参照時刻源と同期・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡と・セキュリティインシデントを適切に検させなければならない。
CPS.PT-1

知するため、監査記録／ログ記録の対象を決定、⽂書化し、そうした記録を実施して、（論理的・物理的を問わず）管理する。
H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

して、レビューする。

・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれている可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤や、システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。

A.12.5A.12.5.1

運⽤システムに関わるソフトウェア

運⽤ソフトウェアの運⽤システムに関わの導⼊を管理するための⼿順を実施

管理るソフトウェアの導しなければならない。

・組織は、構成管理の対象となるIoT機器、サーバ等に対して変更を実施する前に、それらの変更をテスト・承認・⽂書化する。
H-Advanced ・組織は、IoT機器、サーバ等の設定を⼀つの場所から管理・適⽤・検証するための⾃動化されたメカニズムを使⽤する。

・組織は、特に産業⽤制御システムにおけるセキュリティに係る変更管理⼿順を、既存のプロセス安全管理の⼿順に統合する。
・組織は、構成管理の対象となるIoT機器、サーバ等に対する変更が⽣じた場合には変更に伴うセキュリティ影響分析を実施して変更の⼊実施可否を判断し、実施⼿順等のを⽂書化する。
・組織は、許可されたIoT機器、サーバ等の変更に関して、実施できる要員（アクセス制限）を限定する。

・IoT機器、サーバ等の初期設定⼿順
CPS.IP-1

Advanced（パスワード等）及び設定変更管理プロ

・組織は、許可されたIoT機器、サーバ等の変更を実施するとともに、その変更の実施・記録・監査等を実施する。
・組織は、⾃⾝のアカウントや、IoT機器、サーバ等のパスワードを忘れてしまった場合、安全な回復⽅法（例︓変更実施前に本⼈にしかわからないセキュリティコードを⼊⼒させる）を利⽤する。

セスを導⼊し、運⽤する。

・組織は、セキュリティ上の変更によって情報システム及び産業⽤制御システムの可⽤性や安全性等に悪影響が及ばないことを確実にするため、運⽤及び変更管理のポリシー及び⼿順を定期的にレビューする。
・組織は、⾃組織の運⽤に適合する最も制限された設定基準を定めた上で、導⼊されるIoT機器、サーバ等の初期設定⼿順及び設定内容を⽂書化するとともに、その⽂書に従って設定を実施する。
Basic

・組織は、IoT機器を設置する前にデフォルトの初期設定値を確認し、CPS.AC-1で定めたポリシーに準じていない場合に適切なものへと変更する。
・組織は、IoT機器の導⼊前に、搭載されているソフトウェアを確認し、記録する。

CPS.IP-2

・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

D-3-30

・組織は、⾃組織の情報システム及び産業⽤制御システム上で実⾏を許可するソフトウェアの⼀覧（ホワイトリスト）、⼜は禁⽌する
H-Advanced ソフトウェアの⼀覧（ブラックリスト）を⽤いてソフトウェアの制限を実施する、あるいは、許可されていないソフトウェアのインス

トールを不可とする。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.12.6A.12.6.1

利⽤中の情報システムの技術的ぜい

技術的ぜい弱性管理

技術的ぜい弱性の管

弱性に関する情報は，時機を失せず

理に獲得しなければならない。また，対策要件ID

対策例

対策要件

・組織は、⾃組織が管理する産業⽤制御システムの構成要素（IoT機器を含む）に対して、システムの運⽤に悪影響を及ぼさないよう、
計画停⽌時等の予定されたタイミングに脆弱性診断を実施し、⾃組織の所有するシステムに存在する脆弱性を認識し、⼀覧化する。
・組織は、⾃組織の管理するシステムにおける最新の脆弱性を認識するため、定期的に侵⼊テストを実施することが望ましい。

そのようなぜい弱性に組織がさらさ

H-Advanced

れている状況を評価しなければなら使⽤することが望ましい。
・組織は、より徹底した脆弱性の洗い出しを⾏うために、脆弱性診断の実施者に⾃組織の管理するシステムにおける特権アクセスの権ない。さらに，それらと関連するリ利を⼀時的に許可するメカニズムを整備する。

スクに対処するために，適切な⼿段をとらなければならない。

・組織は、ツールを⽤いて脆弱性診断を⾏う場合、診断すべきシステムに対する脆弱性データベースを更新できる脆弱性診断ツールを

CPS.RA-1

・⾃組織の資産の脆弱性を特定し、対応・組織は、⾃組織が管理する重要度の⾼い情報システムの構成要素に対して、脆弱性診断を実施し、⾃組織の所有するシステムに存在する資産とともに⼀覧を⽂書化する。

する脆弱性を認識し、⼀覧化する。
・組織は、⾃組織の所有する情報システムの運⽤段階において、各種資産から収集した脆弱性の内、⾃組織の事業運営等に関連することが想定されるものに対して、脆弱性検査ツール等を⽤いて、定期的に⾃組織のシステムにおける脆弱性を特定し、当該脆弱性の影響
Advanced

度とともに⼀覧に追加する。
[参考] 脆弱性情報の取得に際して、Japan Vulnerability Notes(https://jvn.jp/)等の情報源を参照することが可能である。また、脆弱性の影響の⼤きさを評価する指標として、CVSS(IPAによる解説︓https://www.ipa.go.jp/security/vuln/CVSS.html)を参考とすることが可能である。
・組織は、産業⽤制御システムのようにモノの制御等を伴うような、フィジカル空間に影響を及ぼす可能性のある新たな機器やシステムを開発する場合には、従来の製品や他の事故事例を収集・分析し、セキュリティの観点も含めてセーフティに関わるハザードを特定する。
・組織は、主に産業⽤制御システムにおいて、ハザードによって危害に⾄る状況を分析し、発⽣しやすさや被害の深刻度を明らかにす・構成要素の管理におけるセキュリティ

H-Advanced

ルールが、実装⽅法を含めて有効かを確・組織は、産業⽤制御システム、またはそれが稼働する環境に⼤きな変化があった場合、もしくは産業⽤制御システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。

認するため、定期的にリスクアセスメン[参考] セーフティ設計におけるハザードの特定と分析については、「つながる世界のセーフティ＆セキュリティ設計⼊⾨」(IPA, 2015

トを実施する。

年)の4.2にて具体的な⼿法が記載されており、参照することが可能である。

CPS.RA-4 ・IoT機器及びIoT機器を含んだシステ

・組織は、情報システム、または情報システムが稼働する環境に⼤きな変化があった場合（新たな脅威や脆弱性の特定を含む）、もしムの企画・設計の段階から、受容できな

くは情報システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。

い既知のセキュリティリスクの有無を、・組織は、新たにIoT機器を利⽤したシステムを企画・設計する場合、既存の資産や新たに導⼊するシステムにおける守るべき資産を特セーフティに関するハザードの観点も踏まえて確認する。

ることで、⽣じるリスクを⾒積もる。その際、セキュリティの問題に起因するハザードの有無を確認することが望ましい。

定し、システムの利⽤⽤途や構成に応じて、セキュリティ対策をまとめる。特に、ライフサイクルの⻑いモノ、システムや、⾼い可⽤
Advanced

性を求められるモノ、システムを扱う場合は、設計以前の段階におけるセキュリティ対策の考慮が特に重要である。
・組織は、調達する製品・サービスに対するセキュリティ対策を検討する際、当該製品・サービスの重要度に対策の⽔準が⾒合うもの
であることを確実にする。
[参考] システム及びモノにおけるセキュリティの要求仕様を検討するにあたり、「情報システムに係る政府調達におけるセキュリティ
要件策定マニュアル」(NISC, 2015年)、「⾮機能要求グレード」(IPA, 2018年)を参考にすることが可能である。

CPS.RA-5

・リスクを判断する際に、脅威、脆弱性、可能性、影響を考慮する。

・組織は、情報システム、または情報システムが稼働する環境に⼤きな変化があった場合(新たな脅威や脆弱性の特定を含む)、もしく
Advanced

は情報システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。その際、重要度の⾼い情報システム及び産業⽤制御システムを優先的に対応する。
※ CPS.RA-4と共通の実施内容

H-Advanced ・組織は、⽋陥修正状況を管理するための⾃動化されたメカニズムを導⼊し、管理する。

・パッチ適⽤中のIoT機器、サーバ等の動作により、他のソフトウェアアプリケーションやサービスの機能への影響が出るかどうかを調Advanced

査やテストを通じて明らかにして、受容できるリスクを定める。
・組織は、修正内容の有効性と副次的な悪影響の可能性についてテストを⾏った上で⽋陥の修正を実施し、当該修正を構成管理として管理する。
・組織は、⾃組織の情報システム及び産業⽤制御システムに関する⽋陥の特定・報告・修正を計画的に実施する。計画を策定する際に

CPS.IP-10

は、下記を考慮することが望ましい。

・脆弱性修正措置計画を作成し、計画に- 脅威または脆弱性の深刻さ沿って構成要素の脆弱性を修正する。

- 修正措置の適⽤に関わるリスク
Basic[参考] 特に、製造現場等に設置されるIoT機器や制御機器（例︓PLC、DCS）には、可⽤性や機器⾃体の機能の関係で、タイムリーにパッチを適⽤すること、あるいはパッチの適⽤事態が困難な場合がある。その場合は、「制御システム利⽤者のための脆弱性対応ガイ
ド 第2版」(IPA, 2016年)の P.23に記載されている通り、脅威への対策（機能の最⼩化、ネットワーク監視の強化等）を徹底し、セキュリティ被害の発⽣を回避することが望ましい。
※ PLC: Programmable Logic Controller, DCS: Distributed Control System

D-3-31

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、⾃組織が管理する産業⽤制御システムの構成要素（IoT機器を含む）に対して、計画停⽌時等に脆弱性診断を実施し、⾃組織の所有するシステムに存在する脆弱性を認識し、⼀覧化する。
・組織は、ツールを⽤いて脆弱性診断を⾏う場合、診断すべきシステムの脆弱性データベースをすぐに更新できる脆弱性診断ツールを
H-Advanced 使⽤することが望ましい。

・組織は、スキャンされたシステムの脆弱性を定期的に、あるいは新たな脆弱性が特定され、報告された場合に更新する。
・組織は、指定された脆弱性スキャン活動に関して、対象システムのコンポーネントに対する特権的アクセスの許可制度を実施する。
・組織は、情報システム及びアプリケーションの脆弱性のスキャンを定期的に、あるいは、それらのシステム／アプリケーションに影響を及ぼす新たな脆弱性が確認され、報告された場合に実施する。
・組織は、脆弱性スキャンにツールを⽤いる。以下を満たす標準的な⼿法を使⽤することによって、脆弱性管理プロセスの⼀部を⾃動・⾃組織の管理しているIoT機器、サー化できることが求められる。

CPS.CM-7 バ等に対して、定期的に対処が必要な脆- プラットフォーム、ソフトウェアの⽋陥及び誤った設定を列挙する

弱性の有無を確認する。

- チェックリストとテスト⼿順をフォーマットする
Advanced- 脆弱性による影響を評価する・組織は、リスクアセスメントを通じて、特定された脆弱性を適切な期間中に修正する。
・上記のプロセスから得た情報を組織内の他のシステムの管理者と共有することによって、他の情報システム内の同様の脆弱性を把握し、必要に応じて修正する。
[参考] 脆弱性情報の取得に際して、Japan Vulnerability Notes(https://jvn.jp/)等の情報源を参照することが可能である。また、脆弱性の影響の⼤きさを評価する指標として、CVSS(IPAによる解説︓https://www.ipa.go.jp/security/vuln/CVSS.html)を参考とすることが可能である。

Basic

A.12.6.2

利⽤者によるソフトウェアのインス

ソフトウェアのイン

トールを管理する規則を確⽴し，実ストールの制限

施しなければならない。

・組織は、⾃組織の情報システム及び産業⽤制御システム上で実⾏を許可するソフトウェアの⼀覧（ホワイトリスト）、⼜は禁⽌する
H-Advanced ソフトウェアの⼀覧（ブラックリスト）を⽤いてソフトウェアの制限を実施する、あるいは、許可されていないソフトウェアのインス

CPS.IP-2

トールを不可とする。

・IoT機器、サーバ等の導⼊後に、追加するソフトウェアを制限する。

Advanced
Basic

A.12.7A.12.7.1

運⽤システムの検証を伴う監査要求

情報システムの監査

情報システムの監査事項及び監査活動は，業務プロセスに対する考慮事項

に対する管理策の中断を最⼩限に抑えるために，慎・組織は、情報システム及びアプリケーションの脆弱性のスキャンを定期的に実施する。

・組織は、⾃組織の情報システム及び産業⽤制御システム上でのユーザによるソフトウェアのインストールについて管理するメカニズ
ムを導⼊し、管理する。
・組織は、⾃組織の情報システム及び産業⽤制御システム上でのユーザによるソフトウェアのインストールに関するポリシーを確⽴
し、ユーザに遵守させる。
・組織は、契約事項からの逸脱及び、その兆候に対する調査・対応のためのプロシージャをサポートするレビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織は、特に重要な取引先及びその再委託先以降の組織に対して、契約にて規定した組織のセキュリティマネジメント、納⼊する製品・サービスに実装されるセキュリティ機能等に関する義務事項が履⾏されているかどうかを⼀覧化して確認できるメカニズムを利⽤重に計画し，合意しなければならな

H-Advanced する。

い。

・委託元による実地調査、外部監査等の⼿法により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

・取引先等の関係する他組織が、契約上
CPS.SC-6

・重要な取引先及びその再委託先以降の組織は、関係する攻撃の予兆、情報流出の事実がないかを調査し、組織に対して結果を定期的の義務を果たしていることを確認するたに報告する。

めに、監査、テスト結果、または他の形

・組織は、⾃組織が取引先との契約において要求事項として規定した内容に関連して、システム上での監査が可能かどうか、確認す

式の評価を使⽤して定期的に評価する。

る。
・上記で定義されているシステム上で監査可能なイベントのために、監査記録を⽣成する機能を情報システムが提供する。
Advanced

・組織は、監査に関連する情報が必要な他の組織との間で、セキュリティ監査の整合性を保つことができるようにする。
・組織は、⼿作業ないしは情報システムにより⾃動で⽣成された監査記録を定期的にでレビュー・分析して、契約事項からの逸脱及び、その兆候の有無を確認する。
・チェックリストを⽤いた取引先による内部監査により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

D-3-32

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。
H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれている可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤や、・セキュリティインシデントを適切に検CPS.PT-1

システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。

知するため、監査記録／ログ記録の対象

・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装すを決定、⽂書化し、そうした記録を実施
して、レビューする。

る。
Advanced

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。
・組織は、⾃組織のリスクマネジメントの戦略や、リスクアセスメントの結果等に基づき、監査対象を設定し、対象において誰がいつ何を⾏ったかがわかるような監査ログの取得がシステムにより可能かを確認する。

Basic・システムは、さまざまなシステムコンポーネントから規定された監査ログを⽣成する。
・システムの監査ログを定期的にレビュー・分析して、⾃組織に被害をもたらしうるセキュリティインシデントの兆候の有無を確認し、必要に応じてシステム管理者等へ報告する。
・組織は、産業⽤制御システムのパフォーマンスに監査活動が与える影響が許容範囲内であることを確認する。

A.13

A.13.1

A.13.1.1

システム及びアプリケーション内の通信のセキュリティ

ネットワークセキュ

ネットワーク管理策

情報を保護するために，ネットワー

リティ管理

・情報システム及び産業⽤制御システムは、⾃組織のシステムを構成するネットワークの内部における境界について通信をモニタリン
グし、制御する。
・機密性の⾼いデータを取り扱う⾃組織のシステムの繋がるネットワークについては、ネットワーク通信をデフォルトで拒否するもの

クを管理し，制御しなければならなとし、許可した通信トラフィックのみ接続可能とするメカニズムを整備する。

・データフロー制御ポリシーを定め、そい。

れに従って適宜ネットワークを分離する H-Advanced ・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理
CPS.AC-7

的に分離する。

（例︓開発・テスト環境と実運⽤環境、・機密性の⾼いデータを取り扱う⾃組織の情報システムが遠隔地にある装置とコネクションを確⽴している場合、その装置がシステム

IoT機器を含む環境と組織内の他の環との間でローカル接続を複数同時に確⽴するのを阻⽌すると同時に、別の接続によって外部ネットワークのリソースにアクセスできな境）等してネットワークの完全性を保護いようにする。

する。

・情報システム及び産業⽤制御システムは、⾃組織のシステムの繋がるネットワークにおける外部境界（産業⽤制御システムの場合はAdvanced

情報システムとの境界）について通信をモニタリングし、制御する。
・組織は、⾃組織のシステムの有効なセキュリティを促進する設計として境界保護装置等を設置し、当該装置を介して外部ネットワー
ク等に接続する。
・情報システム及び産業⽤制御システムは、特に機密性の⾼いデータを取り扱う⾃組織のシステムへのログインについて、公開鍵基盤(PKI)を利⽤した認証を要求する。
※ 産業⽤制御システムにてPKIを使⽤した認証を実施する場合、発⽣する処理待ち時間がシステムのパフォーマンスを低下させないこ・IoT機器やユーザーによる構成要素

H-Advanced

・情報システム及び産業⽤制御システムは、⾃組織のシステムについて、セッションの切断が必要な条件を設定し、その条件に該当する場合にはユーザのセッションを⾃動的に終了させる機能を実装する。

（モノ／システム等）への論理的なアク
CPS.AC-9とをあらかじめ確認する。

セスを、取引のリスク（個⼈のセキュリ[参考] 認証⽅式の強度及び適切な利⽤ケースに関しては、NIST SP 800-63-3 を参照することが望ましい。

ティ、プライバシーのリスク及びその他・組織は、ユーザの⾝元を確認し、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）に⾒合うメカニズムの強度を持っの組織的なリスク）に⾒合う形で認証・た認証を実施する。

認可する。

・情報システムは、ユーザが⾃組織のシステムにログインする際に、取引のリスク（個⼈のセキュリティ、プライバシーのリスク等）
Advancedに関する通知メッセージ等を表⽰する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムについて認証プロセス時に認証情報のフィードバックを⾒えないようにする。
・組織は、クレデンシャルの有効期限を設定し、有効期限を越えたパスワードが私⽤されていないかを管理する。

・IoT機器、サーバ等の間、サイバー空

H-Advanced

替の物理的な対策によって保護する。
・情報システムは、暗号メカニズムを導⼊し、通信経路を暗号化する。

CPS.DS-3 間で通信が⾏われる際、通信経路を暗号
Advanced化する。

・組織は、情報システム及び産業⽤制御システムを構成する重要なデータを扱う通信路について、通信経路の暗号化を実装する⼜は代[参考] 通信経路の暗号化には、IP-VPN、Ipsec-VPN、SSL-VPN等の⽅式が存在する。組織は、通信路を流れるデータの重要度や、かけられるコスト等を考慮しつつ、⽅式を選定することが望ましい。

D-3-33

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。
H-Advanced

・セキュリティインシデントを適切に検CPS.PT-1

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

知するため、監査記録／ログ記録の対象・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれていを決定、⽂書化し、そうした記録を実施る可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤や、して、レビューする。

システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・組織は、⾃組織のリスクマネジメントの戦略や、リスクアセスメントの結果等に基づき、監査対象を設定し、対象において誰がいつ何を⾏ったかがわかるような監査ログの取得がシステムにより可能かを確認する。
Basic・システムは、さまざまなシステムコンポーネントから規定された監査ログを⽣成する。
・システムの監査ログを定期的にレビュー・分析して、⾃組織に被害をもたらしうるセキュリティインシデントの兆候の有無を確認し、必要に応じてシステム管理者等へ報告する。
・組織は、産業⽤制御システムのパフォーマンスに監査活動が与える影響が許容範囲内であることを確認する。

A.13.1.2

組織が⾃ら提供するか外部委託してネットワークサービ

いるかを問わず，全てのネットワー

スのセキュリティ

クサービスについて，セキュリティ

・調達する機器に対して、契約におけるセキュリティ要求事項が満たせているかを、⾃組織あるいは第三者がテストする。
H-Advanced

・組織は、⾃組織のオペレーションにとって特に重要な機器について、再委託先以降の組織を含む関係するサプライチェーン全体に渡り、⼀定⽔準以上の品質管理能⼒、セキュリティマネジメント能⼒等を有した組織により、適切なプロシージャで製造されたものかを確認する。

機能，サービスレベル及び管理上の・組織は、契約において、例えば下記のように、取引先から調達する製品・サービスが具備すべきセキュリティ要求事項を明確化す

要求事項を特定しなければならず，る。

また，ネットワークサービス合意書- セキュリティに関わる特定の認証（例︓ISMS認証、ISASecure EDSA認証、ITセキュリティ評価及び認証制度(JISEC)）を有してにもこれらを盛り込まなければならいること

・外部の組織との契約を⾏う場合、⽬的ない。

- ベンダー⾃⾝により、セキュリティに関わる特定の認証の基準に適合する対策を実施していることが確認されていること

及びリスクマネジメントの結果を考慮
CPS.SC-4- リスク分析の結果等から導かれた必要なセキュリティ要件を設計時からの実装（セキュリティ・バイ・デザイン）し、検査していし、⾃組織のセキュリティに関する要求ること事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。

・組織は、調達計画時に、製品またはサービス⾃体、あるいは当該製品・サービスの調達・供給にて使⽤される資産の保護に係るセAdvanced

キュリティ要件の費⽤を確保しておくことが望ましい。
・下記を含む製品またはサービスの調達または供給を評価するためのセキュリティ測定ルールを策定し、運⽤及び改善する。
- 測定対象の内容- 措置の報告⽅法、報告の頻度- 措置が実施されない場合に遂⾏される措置・組織は、搬送中の改ざん・漏えいを検知(⼜は抑⽌)する⼿段とともに納品されるIoT機器やソフトウェアが、不正操作されていないかを確認する。
- 物品︓セキュリティ便、プロテクトシール等- 電送︓暗号化、電送データ全体のハッシュ値等
・組織は、外部情報システムサービスのプロバイダに対して、サービスの使⽤に必要な機能、ポート、プロトコル及び他のサービスを

H-Advanced 明確にするよう要求する。

・組織は、上記で明確化した事項が遵守されているかどうかモニタリングする。
・組織は、外部サービスプロバイダ及びシステム開発の委託先の要員に対してのセキュリティ上の要求事項を⽂書化し、契約等に記載する。
・組織は、外部サービスプロバイダ及びシステム開発の委託先に対して、⾃組織のシステムに対する権限を有する要員が異動、または雇⽤が終了する場合に、⾃組織へ通知することを要求する。

・セキュリティ事象を適切に検知できる

Advanced

CPS.CM-5 よう、外部サービスプロバイダとの通信・組織は、関連する業務情報，業務システム及び業務プロセスの重要性並びにリスクの再評価を考慮して、外部サービスプロバイダー
によるサービス提供の変更を管理することが望ましい。
・組織は、外部サービスプロバイダ及びシステム開発の委託先による要求事項の遵守状況をモニタリングする。

内容をモニタリングする。

・組織は、外部サービスプロバイダー及びシステム開発の委託先による作為あるいは不作為による不正アクセスを検知するため、当該外部事業者による⾃組織のシステムへのアクセスををモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先の活動のモニタリング結果を、適切なシステム管理者に報告する。
・組織は、外部情報システムサービスのプロバイダ及びシステム開発の委託先に対して、⾃組織が対象となっている、あるいは当該プ
ロバイダーが対象として該当するルールに従って、例えば、下記に関連するようなセキュリティ要求事項を設定し、導⼊することを要
Basic

求する。
- （例えば、ISMS認証取得相当の）セキュリティ対策が⼗分に⾏われていること- 運⽤中のデータが適切に管理されること- サービス利⽤終了時にデータが適切に削除されること

D-3-34

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.13.1.3

情報サービス，利⽤者及び情報シス

ネットワークの分離

テムは，ネットワーク上で，グルー対策要件ID

対策例

対策要件

・情報システム及び産業⽤制御システムは、⾃組織のシステムを構成するネットワークの内部における境界について通信をモニタリン
グし、制御する。
・機密性の⾼いデータを取り扱う⾃組織のシステムの繋がるネットワークについては、ネットワーク通信をデフォルトで拒否するもの

プごとに分離しなければならない。

とし、許可した通信トラフィックのみ接続可能とするメカニズムを整備する。

・データフロー制御ポリシーを定め、それに従って適宜ネットワークを分離する H-Advanced ・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理
CPS.AC-7

的に分離する。

（例︓開発・テスト環境と実運⽤環境、・機密性の⾼いデータを取り扱う⾃組織の情報システムが遠隔地にある装置とコネクションを確⽴している場合、その装置がシステム

IoT機器を含む環境と組織内の他の環との間でローカル接続を複数同時に確⽴するのを阻⽌すると同時に、別の接続によって外部ネットワークのリソースにアクセスできな境）等してネットワークの完全性を保護いようにする。

する。

・情報システム及び産業⽤制御システムは、⾃組織のシステムの繋がるネットワークにおける外部境界（産業⽤制御システムの場合はAdvanced

情報システムとの境界）について通信をモニタリングし、制御する。
・組織は、⾃組織のシステムの有効なセキュリティを促進する設計として境界保護装置等を設置し、当該装置を介して外部ネットワー
ク等に接続する。

A.13.2

A.13.2.1

あらゆる形式の通信設備を利⽤した

情報の転送

情報転送の⽅針及び

情報転送を保護するために，正式な⼿順

転送⽅針，⼿順及び管理策を備えな

H-Advanced
Advanced

ければならない。

・組織内の通信ネットワーク構成図及・組織は、情報システム及び産業⽤制御システムのシステム構成、通信ネットワーク構成及びデータフローをリアルタイムでモニタリ
ングし、管理するための⾃動化されたメカニズムを導⼊・管理している。
・組織は、関連する⽂書内の図に、ネットワーク接続におけるインターフェース特性、セキュリティ要求事項、伝達されるデータの性質を記載する。
・組織は、⾃組織が管理する範囲（例︓事業所単位で）における情報システム及び産業⽤制御システムのシステム構成、通信ネット

CPS.AM-4 び、データフロー図を作成し、適切に管ワーク構成、データフローを⽂書化し、保管する。
・組織は、定期的、あるいは、システム構成、ネットワーク構成、データフローに変更が⽣じた場合、関連する⽂書をレビューし、必

理する。

Basic

要に応じて更新する。
[参考] システム構成、ネットワーク構成、データフローの⽂書化を⾏う際の⼿順については、「制御システムのセキュリティリスク分
析ガイド 第2版」（IPA, 2018年）の3.2、3.3を参照することが可能である。
・システムは、⾃組織が利⽤している外部情報システムサービスを⼀覧化し、リアルタイムで利⽤しているサービスとともに利⽤者・機器等を管理している。

・⾃組織の資産が接続している外部情報

H-Advanced・システムは、利⽤を許可していない外部情報システムサービスを検知した場合、システム管理者へ通知するメカニズムを利⽤する。
・組織は、外部プロバイダによる情報システムサービスを使⽤する際に必要な機能、ポート、プロトコル及び他のサービスを明確にする。

CPS.AM-5 システムの⼀覧を作成し、適切に管理する。

・組織は、外部の情報システムを所有、運⽤する他の組織に対して、下記を許可するうえでの条件を設定する。
Advanceda. 外部の情報システムから⾃組織の情報システムにアクセスすること
b. 外部の情報システムを使⽤して⾃組織の管理下にある情報を処理または保存もしくは伝送すること
・外部のシステム上に接続された⾃組織が所有するストレージの許可された個⼈による使⽤を制限する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムを構成するネットワークの内部における境界について通信をモニタリン
グし、制御する。
・機密性の⾼いデータを取り扱う⾃組織のシステムの繋がるネットワークについては、ネットワーク通信をデフォルトで拒否するものとし、許可した通信トラフィックのみ接続可能とするメカニズムを整備する。

H-Advanced ・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理的に分離する。
・機密性の⾼いデータを取り扱う⾃組織の情報システムが遠隔地にある装置とコネクションを確⽴している場合、その装置がシステムとの間でローカル接続を複数同時に確⽴するのを阻⽌すると同時に、別の接続によって外部ネットワークのリソースにアクセスできな・データフロー制御ポリシーを定め、そいようにする。

れに従って適宜ネットワークを分離する
CPS.AC-7

・情報システム及び産業⽤制御システムは、⾃組織のシステムの繋がるネットワークにおける外部境界（産業⽤制御システムの場合は（例︓開発・テスト環境と実運⽤環境、
IoT機器を含む環境と組織内の他の環

Advanced境）等してネットワークの完全性を保護

情報システムとの境界）について通信をモニタリングし、制御する。
・組織は、⾃組織のシステムの有効なセキュリティを促進する設計として境界保護装置等を設置し、当該装置を介して外部ネットワー
ク等に接続する。

する。

・組織は、情報システム及び産業⽤制御システム内でデータフローが許可される範囲やシステム間におけるデータフローが許可される範囲を定めたデータフロー制御ポリシーを定め、適切に論理的あるいは物理的にネットワークを分離することで、フローの制御を実施
する。
Basic

・組織は、産業⽤制御システムにおいて、制御システムのネットワークを情報システムとのネットワークから論理的あるいは物理的にセグメント化する。
[参考] 他のネットワークと物理的に離れた環境においては物理的なセグメント化を実施する、他のネットワークと物理的に近接した環
境では、対策のコスト等も考慮して論理的なセグメント化を実施する等の対応が可能である。

D-3-35

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件
・IoT機器、サーバ等の間、サイバー空

H-Advanced

替の物理的な対策によって保護する。
・情報システムは、暗号メカニズムを導⼊し、通信経路を暗号化する。

CPS.DS-3 間で通信が⾏われる際、通信経路を暗号
Advanced化する。

・組織は、情報システム及び産業⽤制御システムを構成する重要なデータを扱う通信路について、通信経路の暗号化を実装する⼜は代[参考] 通信経路の暗号化には、IP-VPN、Ipsec-VPN、SSL-VPN等の⽅式が存在する。組織は、通信路を流れるデータの重要度や、かけられるコスト等を考慮しつつ、⽅式を選定することが望ましい。
・システム/IoT機器は、少ないリソースでも可⽤性を損なわずに実装可能な暗号モジュールを導⼊し、リソースは制限されているが重CPS.DS-4

・情報を送受信する際に、情報そのもの H-Advanced 要度の⾼い機器からの通信データを適切な強度で暗号化することが望ましい。

・情報システムは、重要度の⾼い・低いに限らず、組織外部へ送信するすべてのデータを適切な強度で暗号化する。

を暗号化して送受信する。
Advanced

・組織は、機密性の⾼い情報を外部の組織等へ送信する際、情報を適切な強度の⽅式で暗号化する。
・組織は、データ⼊⼒に対する「ホワイトリスト」の概念を導⼊することで、インプットデータの出所を既知の信頼できるモノ、シス
テム等と、そうしたインプットデータの許容できるフォーマットを指定する。

CPS.CM-4

・サイバー空間から受ける情報の完全性

H-Advanced ・IoT機器、サーバ等は、他のIoT機器と通信する際、機器間の相互認証が成功した後にはじめて通信を開始することで、データの出所の把握を確実なものとする。

及び真正性を動作前に確認する。

・情報システム及び産業⽤制御システムは、通信セッションの真正性を保護する。
・情報システムは、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不正な変更を検知する。
Advanced

・IoT機器、サーバ等は、他のIoT機器と通信する際、当該IoT機器が⾃組織の業務において重要なものと認められる場合、機器間の相互認証が成功した後にはじめて通信を開始することで、データの出所の把握を確実なものとする。

A.13.2.2

合意では，組織と外部関係者との間情報転送に関する合の業務情報のセキュリティを保った

意

転送について，取り扱わなければな

H-Advanced
Advancedらない。

・組織内の通信ネットワーク構成図及・組織は、情報システム及び産業⽤制御システムのシステム構成、通信ネットワーク構成及びデータフローをリアルタイムでモニタリ
ングし、管理するための⾃動化されたメカニズムを導⼊・管理している。
・組織は、関連する⽂書内の図に、ネットワーク接続におけるインターフェース特性、セキュリティ要求事項、伝達されるデータの性質を記載する。
・組織は、⾃組織が管理する範囲（例︓事業所単位で）における情報システム及び産業⽤制御システムのシステム構成、通信ネット

CPS.AM-4 び、データフロー図を作成し、適切に管ワーク構成、データフローを⽂書化し、保管する。
・組織は、定期的、あるいは、システム構成、ネットワーク構成、データフローに変更が⽣じた場合、関連する⽂書をレビューし、必

理する。

Basic

要に応じて更新する。
[参考] システム構成、ネットワーク構成、データフローの⽂書化を⾏う際の⼿順については、「制御システムのセキュリティリスク分
析ガイド 第2版」（IPA, 2018年）の3.2、3.3を参照することが可能である。
・組織は、交換するデータの重要度、想定されるリスクを勘案して、具体的なセキュリティ対策要件を指定し、取引先に対して実装を・組織間で保護すべき情報を交換する場
CPS.DS-1

Advanced

・組織は、再委託先以降の事業者へのデータ取扱い業務の委託を、直接の取引先に求める⽔準のセキュリティ対策が実装されていることが確認される場合に限って、許可する。

合、当該情報の保護に係るセキュリティ

・組織は、取引先が取り扱う可能性のあるデータに関して、秘密保持契約を締結することで、取り扱いを規定する。

要件について、事前に組織間で取り決め
る。

求める。

・組織は、直接の取引先に対して、データの管理に関わる業務の再委託を禁⽌する。
Basic[参考] 「中⼩企業の情報セキュリティ対策ガイドライン 第3版」(IPA, 2019年)で、委託契約時の機密保持契約条項のサンプルを提供している。

A.13.2.3

電⼦的メッセージ通信に含まれた情電⼦的メッセージ通報は，適切に保護しなければならな

信い。

・IoT機器、サーバ等の間、サイバー空

H-Advanced

替の物理的な対策によって保護する。
・情報システムは、暗号メカニズムを導⼊し、通信経路を暗号化する。

CPS.DS-3 間で通信が⾏われる際、通信経路を暗号
Advanced化する。

・組織は、情報システム及び産業⽤制御システムを構成する重要なデータを扱う通信路について、通信経路の暗号化を実装する⼜は代[参考] 通信経路の暗号化には、IP-VPN、Ipsec-VPN、SSL-VPN等の⽅式が存在する。組織は、通信路を流れるデータの重要度や、かけられるコスト等を考慮しつつ、⽅式を選定することが望ましい。
・システム/IoT機器は、少ないリソースでも可⽤性を損なわずに実装可能な暗号モジュールを導⼊し、リソースは制限されているが重CPS.DS-4

・情報を送受信する際に、情報そのもの H-Advanced 要度の⾼い機器からの通信データを適切な強度で暗号化することが望ましい。

・情報システムは、重要度の⾼い・低いに限らず、組織外部へ送信するすべてのデータを適切な強度で暗号化する。

を暗号化して送受信する。
Advanced

・組織は、機密性の⾼い情報を外部の組織等へ送信する際、情報を適切な強度の⽅式で暗号化する。
・組織は、データ⼊⼒に対する「ホワイトリスト」の概念を導⼊することで、インプットデータの出所を既知の信頼できるモノ、シス
テム等と、そうしたインプットデータの許容できるフォーマットを指定する。

CPS.CM-4

・サイバー空間から受ける情報の完全性

H-Advanced ・IoT機器、サーバ等は、他のIoT機器と通信する際、機器間の相互認証が成功した後にはじめて通信を開始することで、データの出所の把握を確実なものとする。

及び真正性を動作前に確認する。

・情報システム及び産業⽤制御システムは、通信セッションの真正性を保護する。
・情報システムは、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不正な変更を検知する。
Advanced

・IoT機器、サーバ等は、他のIoT機器と通信する際、当該IoT機器が⾃組織の業務において重要なものと認められる場合、機器間の相互認証が成功した後にはじめて通信を開始することで、データの出所の把握を確実なものとする。

D-3-36

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.13.2.4

情報保護に対する組織の要件を反映

秘密保持契約⼜は守する秘密保持契約⼜は守秘義務契約

秘義務契約のための要求事項は，特定し，定め対策要件ID

対策例

対策要件

・組織は、システム・モノ・サービスのいずれかを提供する取引先との契約において、当該組織に対して、以下の実施を要求する。
- 契約にて指定されたセキュリティ対策を実施したエビデンスの作成、セキュリティテスト／評価結果の提⽰- セキュリティテスト／評価時に特定された⽋陥の修正計画の策定- ⽋陥の修正計画及び、その実施状況の提⽰に従ってレビューし，⽂書化しなけ・組織は、直接の委託先に対して要求しているセキュリティ対策に関する要求事項及びそれに付随する要求事項の内で必要な事項を、ればならない。

H-Advanced サプライチェーンに由来するリスクの⼤きさ等を勘案しつつ、再委託先以降の組織に対して（場合によっては再委託先以降の全サプラ

イヤーに対して）も適⽤することが望ましい。
[参考] 委託契約に含め、実施を確認することが望ましい項⽬に関する追加の情報の取得のためには、「ITサプライチェーンの業務委託
におけるセキュリティインシデント及びマネジメントに関する調査報告書」(IPA, 2018年)の「3.2. IT サプライチェーン リスクマネジ
メント の全体像」等を参照することが可能である。

・外部の組織との契約を⾏う場合、⽬的・組織のミッション／業務ニーズに応じて、システム、モノ、またはサービスの調達契約に以下の要求事項、記述及び基準を記載す及びリスクマネジメントの結果を考慮
CPS.SC-3

る。

し、⾃組織のセキュリティに関する要求- セキュリティ対策に関する要求事項事項に対して関係する他組織のセキュリ- セキュリティ関連のドキュメントに関する要求事項

ティマネジメントが適合していることを- セキュリティ関連のドキュメントの保護に関する要求事項確認する。

- 秘密保持に関する条項
Advanced- インシデントが発⽣した際の報告先、報告内容、初動、調査、復旧等の各対応の実施主体、実施⽅法- ⾃組織または認可された第三者によって監査され、定義されたセキュリティ要件への遵守を確認することを許可する条件- 契約終了後の情報資産の扱い
・組織は、取引先に対して、該当する法規制等に準拠したセキュリティ要求事項を実施し、委託内容の特性等により必要と認められる
場合、調達契約において、追加で対策を導⼊することを要求する。
・法規制等を参照してセキュリティ要件を決定し、取引先へ遵守を要求する際、下記を事前に考慮することが望ましい。
- ⾃組織と取引先との法令の相違（例︓業法の違い、国・地域の違い）により⽣じるコンプライアンス上のリスクの特定- 取引先に適⽤される法律及び規制上の義務によるセキュリティの観点からの契約への悪影響

Basic

A.14

A.14.1

A.14.1.1

情報セキュリティに関連する要求事

システムの取得，開情報システムのセ

情報セキュリティ要

項は，新しい情報システム⼜は既存

発及び保守

キュリティ要求事項

求事項の分析及び仕の情報システムの改善に関する要求

様化

事項に含めなければならない。

・組織は、取引先に対して、該当する法規制等に準拠したセキュリティ要求事項を実施することを要求する。
・組織は、委託先の選定、評価のプロセスにおいて、取引先がセキュリティアクションを宣⾔していることを確認する。
・調達する機器に対して、契約におけるセキュリティ要求事項が満たせているかを、⾃組織あるいは第三者がテストする。

H-Advanced

・組織は、⾃組織のオペレーションにとって特に重要な機器について、再委託先以降の組織を含む関係するサプライチェーン全体に渡り、⼀定⽔準以上の品質管理能⼒、セキュリティマネジメント能⼒等を有した組織により、適切なプロシージャで製造されたものかを確認する。
・組織は、契約において、例えば下記のように、取引先から調達する製品・サービスが具備すべきセキュリティ要求事項を明確化する。
- セキュリティに関わる特定の認証（例︓ISMS認証、ISASecure EDSA認証、ITセキュリティ評価及び認証制度(JISEC)）を有していること

・外部の組織との契約を⾏う場合、⽬的- ベンダー⾃⾝により、セキュリティに関わる特定の認証の基準に適合する対策を実施していることが確認されていること

及びリスクマネジメントの結果を考慮
CPS.SC-4- リスク分析の結果等から導かれた必要なセキュリティ要件を設計時からの実装（セキュリティ・バイ・デザイン）し、検査していし、⾃組織のセキュリティに関する要求ること事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。

・組織は、調達計画時に、製品またはサービス⾃体、あるいは当該製品・サービスの調達・供給にて使⽤される資産の保護に係るセAdvanced

キュリティ要件の費⽤を確保しておくことが望ましい。
・下記を含む製品またはサービスの調達または供給を評価するためのセキュリティ測定ルールを策定し、運⽤及び改善する。
- 測定対象の内容- 措置の報告⽅法、報告の頻度- 措置が実施されない場合に遂⾏される措置・組織は、搬送中の改ざん・漏えいを検知(⼜は抑⽌)する⼿段とともに納品されるIoT機器やソフトウェアが、不正操作されていないかを確認する。
- 物品︓セキュリティ便、プロテクトシール等- 電送︓暗号化、電送データ全体のハッシュ値等

D-3-37

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、システムの調達にあたり以下に⽰すような要求事項を明⽰的に提⽰する。
-セキュリティ機能に関する要求事項-セキュリティ強度に関する要求事項
H-Advanced

CPS.IP-3

・システムを管理するためのシステム開-セキュリティ保証に関する要求事項-セキュリティ関連のドキュメントに関する要求事項-セキュリティ関連のドキュメントの保護に関する要求事項

発ライフサイクルを導⼊する。

-そのシステムの開発環境と、そのシステムを稼働させる予定の環境についての記述-受け⼊れ基準
Advanced
Basic

A.14.1.2

公衆ネットワークを経由するアプリ

公衆ネットワーク上

ケーションサービスに含まれる情報のアプリケーション

は，不正⾏為，契約紛争，並びに認サービスのセキュリ

可されていない開⽰及び変更から保ティの考慮

護しなければならない。

・組織は、 情報セキュリティ上の考慮事項を含むシステム開発ライフサイクルに従ってシステムを管理するとともに、システム開発ラ
イフサイクル全体を通じた情報セキュリティリスクマネジメントプロセスを実施する。
・組織は、システムを構築するに当たり仕様書、設計、開発、導⼊及び変更に、システムのセキュリティエンジニアリング原則を適⽤する。
・情報システム及び産業⽤制御システムは、⾃組織のシステムを構成するネットワークの内部における境界について通信をモニタリン
グし、制御する。
・機密性の⾼いデータを取り扱う⾃組織のシステムの繋がるネットワークについては、ネットワーク通信をデフォルトで拒否するものとし、許可した通信トラフィックのみ接続可能とするメカニズムを整備する。

・データフロー制御ポリシーを定め、それに従って適宜ネットワークを分離する H-Advanced ・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理
CPS.AC-7

的に分離する。

（例︓開発・テスト環境と実運⽤環境、・機密性の⾼いデータを取り扱う⾃組織の情報システムが遠隔地にある装置とコネクションを確⽴している場合、その装置がシステム

IoT機器を含む環境と組織内の他の環との間でローカル接続を複数同時に確⽴するのを阻⽌すると同時に、別の接続によって外部ネットワークのリソースにアクセスできな境）等してネットワークの完全性を保護いようにする。

する。

・情報システム及び産業⽤制御システムは、⾃組織のシステムの繋がるネットワークにおける外部境界（産業⽤制御システムの場合はAdvanced

情報システムとの境界）について通信をモニタリングし、制御する。
・組織は、⾃組織のシステムの有効なセキュリティを促進する設計として境界保護装置等を設置し、当該装置を介して外部ネットワー
ク等に接続する。

・IoT機器、サーバ等の間、サイバー空

H-Advanced

替の物理的な対策によって保護する。
・情報システムは、暗号メカニズムを導⼊し、通信経路を暗号化する。

CPS.DS-3 間で通信が⾏われる際、通信経路を暗号
Advanced化する。

・組織は、情報システム及び産業⽤制御システムを構成する重要なデータを扱う通信路について、通信経路の暗号化を実装する⼜は代[参考] 通信経路の暗号化には、IP-VPN、Ipsec-VPN、SSL-VPN等の⽅式が存在する。組織は、通信路を流れるデータの重要度や、かけられるコスト等を考慮しつつ、⽅式を選定することが望ましい。
・システム/IoT機器は、少ないリソースでも可⽤性を損なわずに実装可能な暗号モジュールを導⼊し、リソースは制限されているが重CPS.DS-4

・情報を送受信する際に、情報そのもの H-Advanced 要度の⾼い機器からの通信データを適切な強度で暗号化することが望ましい。

・情報システムは、重要度の⾼い・低いに限らず、組織外部へ送信するすべてのデータを適切な強度で暗号化する。

を暗号化して送受信する。
Advanced

・組織は、機密性の⾼い情報を外部の組織等へ送信する際、情報を適切な強度の⽅式で暗号化する。
・組織は、産業⽤制御システムにおいて、可能な場合、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不H-Advanced

CPS.DS-11

・送受信・保管する情報に完全性チェッ

正な変更を検知する。
・組織は、設定の不正な変更や、システム権限の不正な昇格等の、セキュリティ関連の変更が不正に⾏われた場合の検知能⼒を、組織のインシデント対応能⼒に組み⼊れる。

クメカニズムを使⽤する。

・組織は、情報システムにおいて、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不正な変更を検知す
Advanced

る。
・情報システムは、保管データの完全性チェックを定期的に実施する。
・情報システムは、電⼦メールにおける送信ドメイン認証技術をサポートして、送信者のなりすましやメールの改ざんを検知する。

A.14.1.3

アプリケーションサービスのトラン

アプリケーション

ザクションに含まれる情報は，次のサービスのトランザ

事項を未然に防⽌するために，保護

クションの保護しなければならない。

・情報システム及び産業⽤制御システムは、⾃組織のシステムを構成するネットワークの内部における境界について通信をモニタリン
グし、制御する。
・機密性の⾼いデータを取り扱う⾃組織のシステムの繋がるネットワークについては、ネットワーク通信をデフォルトで拒否するもの

れに従って適宜ネットワークを分離する H-Advanced ・組織は、重要度の⾼い産業⽤制御システムのネットワークを重要度の⾼くない制御システムのネットワークから物理的あるいは論理­ 不完全な通信­ 誤った通信経路設定­ 認可されていないメッセージの変
更­ 認可されていない開⽰とし、許可した通信トラフィックのみ接続可能とするメカニズムを整備する。

・データフロー制御ポリシーを定め、そCPS.AC-7

的に分離する。

（例︓開発・テスト環境と実運⽤環境、・機密性の⾼いデータを取り扱う⾃組織の情報システムが遠隔地にある装置とコネクションを確⽴している場合、その装置がシステム

IoT機器を含む環境と組織内の他の環との間でローカル接続を複数同時に確⽴するのを阻⽌すると同時に、別の接続によって外部ネットワークのリソースにアクセスできな境）等してネットワークの完全性を保護いようにする。

する。

・情報システム及び産業⽤制御システムは、⾃組織のシステムの繋がるネットワークにおける外部境界（産業⽤制御システムの場合は­ 認可されていないメッセージの複Advanced

製⼜は再⽣

情報システムとの境界）について通信をモニタリングし、制御する。
・組織は、⾃組織のシステムの有効なセキュリティを促進する設計として境界保護装置等を設置し、当該装置を介して外部ネットワー
ク等に接続する。

D-3-38

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、⾃組織のIoT機器、サーバ等について識別⼦を割り当てるとともに、識別⼦が再利⽤することを防⽌、⼀定期間が経過した識・IoT機器、サーバ等が実施する通信
CPS.AC-8は、適切な⼿順で識別されたエンティ
ティ（ヒト／モノ／システム等）との通別⼦を無効にすることで、識別を管理する。
Basic

・情報システム及び産業⽤制御システムは、⾃組織のIoT機器、サーバ等について、ネットワークでの接続を確⽴する前に、それらのデバイスを⼀意に識別し、認証する仕組みを備える。

信に限定する。

・IoT機器での通信は、通信を拒否することをデフォルトとし、例外として利⽤するプロトコルを許可する。

・IoT機器、サーバ等の間、サイバー空

H-Advanced

替の物理的な対策によって保護する。
・情報システムは、暗号メカニズムを導⼊し、通信経路を暗号化する。

CPS.DS-3 間で通信が⾏われる際、通信経路を暗号
Advanced化する。

・組織は、情報システム及び産業⽤制御システムを構成する重要なデータを扱う通信路について、通信経路の暗号化を実装する⼜は代[参考] 通信経路の暗号化には、IP-VPN、Ipsec-VPN、SSL-VPN等の⽅式が存在する。組織は、通信路を流れるデータの重要度や、かけられるコスト等を考慮しつつ、⽅式を選定することが望ましい。
・組織は、産業⽤制御システムにおいて、可能な場合、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不H-Advanced

CPS.DS-11

・送受信・保管する情報に完全性チェッ

正な変更を検知する。
・組織は、設定の不正な変更や、システム権限の不正な昇格等の、セキュリティ関連の変更が不正に⾏われた場合の検知能⼒を、組織のインシデント対応能⼒に組み⼊れる。

クメカニズムを使⽤する。

・組織は、情報システムにおいて、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不正な変更を検知す
Advanced

る。
・情報システムは、保管データの完全性チェックを定期的に実施する。
・情報システムは、電⼦メールにおける送信ドメイン認証技術をサポートして、送信者のなりすましやメールの改ざんを検知する。
・組織は、データ⼊⼒に対する「ホワイトリスト」の概念を導⼊することで、インプットデータの出所を既知の信頼できるモノ、シス
テム等と、そうしたインプットデータの許容できるフォーマットを指定する。

CPS.CM-4

・サイバー空間から受ける情報の完全性

H-Advanced ・IoT機器、サーバ等は、他のIoT機器と通信する際、機器間の相互認証が成功した後にはじめて通信を開始することで、データの出所の把握を確実なものとする。

及び真正性を動作前に確認する。

・情報システム及び産業⽤制御システムは、通信セッションの真正性を保護する。
・情報システムは、完全性検証ツールを使⽤して、IoT機器、サーバ等からの通信データに対する不正な変更を検知する。
Advanced

・IoT機器、サーバ等は、他のIoT機器と通信する際、当該IoT機器が⾃組織の業務において重要なものと認められる場合、機器間の相互認証が成功した後にはじめて通信を開始することで、データの出所の把握を確実なものとする。

A.14.2

A.14.2.1

ソフトウェア及びシステムの開発の開発及びサポートプ

セキュリティに配慮ための規則は，組織内において確⽴

ロセスにおけるセ

した開発のための⽅

し，開発に対して適⽤しなければな

キュリティ

針

らない。

・組織は、システムの調達にあたり以下に⽰すような要求事項を明⽰的に提⽰する。
-セキュリティ機能に関する要求事項-セキュリティ強度に関する要求事項
H-Advanced

CPS.IP-3

・システムを管理するためのシステム開-セキュリティ保証に関する要求事項-セキュリティ関連のドキュメントに関する要求事項-セキュリティ関連のドキュメントの保護に関する要求事項

発ライフサイクルを導⼊する。

-そのシステムの開発環境と、そのシステムを稼働させる予定の環境についての記述-受け⼊れ基準
Advanced
Basic

A.14.2.2

開発のライフサイクルにおけるシスシステムの変更管理テムの変更は，正式な変更管理⼿順

⼿順を⽤いて管理しなければならない。

・組織は、 情報セキュリティ上の考慮事項を含むシステム開発ライフサイクルに従ってシステムを管理するとともに、システム開発ラ
イフサイクル全体を通じた情報セキュリティリスクマネジメントプロセスを実施する。
・組織は、システムを構築するに当たり仕様書、設計、開発、導⼊及び変更に、システムのセキュリティエンジニアリング原則を適⽤する。
・組織は、構成管理の対象となるIoT機器、サーバ等に対して変更を実施する前に、それらの変更をテスト・承認・⽂書化する。

H-Advanced ・組織は、IoT機器、サーバ等の設定を⼀つの場所から管理・適⽤・検証するための⾃動化されたメカニズムを使⽤する。

・組織は、特に産業⽤制御システムにおけるセキュリティに係る変更管理⼿順を、既存のプロセス安全管理の⼿順に統合する。
・組織は、構成管理の対象となるIoT機器、サーバ等に対する変更が⽣じた場合には変更に伴うセキュリティ影響分析を実施して変更の・IoT機器、サーバ等の初期設定⼿順
CPS.IP-1

実施可否を判断し、実施⼿順等のを⽂書化する。

（パスワード等）及び設定変更管理プロ
セスを導⼊し、運⽤する。

・組織は、許可されたIoT機器、サーバ等の変更に関して、実施できる要員（アクセス制限）を限定する。
Advanced

・組織は、許可されたIoT機器、サーバ等の変更を実施するとともに、その変更の実施・記録・監査等を実施する。
・組織は、⾃⾝のアカウントや、IoT機器、サーバ等のパスワードを忘れてしまった場合、安全な回復⽅法（例︓変更実施前に本⼈にしかわからないセキュリティコードを⼊⼒させる）を利⽤する。
・組織は、セキュリティ上の変更によって情報システム及び産業⽤制御システムの可⽤性や安全性等に悪影響が及ばないことを確実にするため、運⽤及び変更管理のポリシー及び⼿順を定期的にレビューする。

D-3-39ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、システムの調達にあたり以下に⽰すような要求事項を明⽰的に提⽰する。
-セキュリティ機能に関する要求事項-セキュリティ強度に関する要求事項

CPS.IP-3

・システムを管理するためのシステム開

H-Advanced

発ライフサイクルを導⼊する。

-セキュリティ保証に関する要求事項-セキュリティ関連のドキュメントに関する要求事項-セキュリティ関連のドキュメントの保護に関する要求事項-そのシステムの開発環境と、そのシステムを稼働させる予定の環境についての記述-受け⼊れ基準

Advanced

A.14.2.3

オペレーティングプラットフォーム

オペレーティングプ

を変更するときは，組織の運⽤⼜はラットフォーム変更

セキュリティに悪影響がないことを後のアプリケーショ

確実にするために，重要なアプリ

ンの技術的レビュー

ケーションをレビューし，試験しなければならない。

・組織は、 情報セキュリティ上の考慮事項を含むシステム開発ライフサイクルに従ってシステムを管理するとともに、システム開発ラ
イフサイクル全体を通じた情報セキュリティリスクマネジメントプロセスを実施する。
・組織は、構成管理の対象となるIoT機器、サーバ等に対して変更を実施する前に、それらの変更をテスト・承認・⽂書化する。

H-Advanced ・組織は、IoT機器、サーバ等の設定を⼀つの場所から管理・適⽤・検証するための⾃動化されたメカニズムを使⽤する。

・組織は、特に産業⽤制御システムにおけるセキュリティに係る変更管理⼿順を、既存のプロセス安全管理の⼿順に統合する。
・組織は、構成管理の対象となるIoT機器、サーバ等に対する変更が⽣じた場合には変更に伴うセキュリティ影響分析を実施して変更の・IoT機器、サーバ等の初期設定⼿順
CPS.IP-1

実施可否を判断し、実施⼿順等のを⽂書化する。

（パスワード等）及び設定変更管理プロ
セスを導⼊し、運⽤する。

・組織は、許可されたIoT機器、サーバ等の変更に関して、実施できる要員（アクセス制限）を限定する。
Advanced

・組織は、許可されたIoT機器、サーバ等の変更を実施するとともに、その変更の実施・記録・監査等を実施する。
・組織は、⾃⾝のアカウントや、IoT機器、サーバ等のパスワードを忘れてしまった場合、安全な回復⽅法（例︓変更実施前に本⼈にしかわからないセキュリティコードを⼊⼒させる）を利⽤する。
・組織は、セキュリティ上の変更によって情報システム及び産業⽤制御システムの可⽤性や安全性等に悪影響が及ばないことを確実にするため、運⽤及び変更管理のポリシー及び⼿順を定期的にレビューする。

H-Advanced ・組織は、⽋陥修正状況を管理するための⾃動化されたメカニズムを導⼊し、管理する。

CPS.IP-10

・パッチ適⽤中のIoT機器、サーバ等の動作により、他のソフトウェアアプリケーションやサービスの機能への影響が出るかどうかを調・脆弱性修正措置計画を作成し、計画に沿って構成要素の脆弱性を修正する。

Advanced

査やテストを通じて明らかにして、受容できるリスクを定める。
・組織は、修正内容の有効性と副次的な悪影響の可能性についてテストを⾏った上で⽋陥の修正を実施し、当該修正を構成管理として管理する。
・資産の構成情報（例︓名称、バージョン情報、ライセンス情報、場所等）を含めて、⽬録を定期的にレビュー、更新することで維A.14.2.4

パッケージソフトウェアの変更は，パッケージソフト

抑⽌しなければならず，必要な変更・システムを構成するハードウェア、ソウェアの変更に対すだけに限らなければならない。まフトウェア及びその管理情報（例︓名る制限

た，全ての変更は，厳重に管理しなければならない。

CPS.AM-1 称、バージョン、ネットワークアドレ

持・管理する。
・組織は、情報システム及び産業⽤制御システムで利⽤可能な取り外し可能なメディア（例︓USBメモリ）を⼀覧化し、使⽤を管理す
Advanced

ス、管理責任者、ライセンス情報）の⼀る。
・組織は、組織内で規定された取り外し可能なメディア（例︓USBメモリ）のみを利⽤し、識別可能な所有者がいないとき、このようなデバイスの使⽤を禁⽌する。

覧を作成し、適切に管理する。

・組織は、機密性の⾼いデータを含むメディアへのアクセスを制御し、管理エリアの外部へ持ち出しているメディアの利⽤状況を適切に把握し、管理する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに必要な機器やツールを⽤いる際には、事前に承認するものとし、モニタリングを実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等を実施する要員が持ち込むメンテナンスに必要な機器やツールを検査し、不適・IoT機器、サーバ等のセキュリティ上

H-Advanced

・組織は、遠隔地からの操作によってソフトウェア(OS、ドライバ、アプリケーション)を⼀括して更新するリモートアップデートの仕ングに管理されたツールを利⽤して適切組みを備えたIoT機器を導⼊する。

に履歴を記録しつつ実施する。

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施するに当たり、メンテナンスの実施計画、実施、確認、

CPS.MA-1 ・可能であれば、遠隔地からの操作に⽂書化する。

よってソフトウェア（OS、ドライバ、・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを実施する際には、事前に承認するものとし、モニタリングを

アプリケーション）を⼀括して更新する
IoT機器を導⼊する。

・組織は、⾃組織のIoT機器、サーバ等のアップデート等でメンテナンスに⽤いる媒体を検査して、悪質コードが含まれていないことを確認した上で使⽤する。

重要なアップデート等を、必要なタイミ

リモートアップデートの仕組みを備えた

切な変更または不正な変更がないか確認する。

実施する。
Advanced

・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスを⾃組織の施設から離れた場所で実施する場合には、施設からの移動について事前に承認するものとともに、移動に先⽴って関連する保存されている情報の消去等の必要な処理を実施する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンスの終了後、影響を受けた可能性のあるすべてのセキュリティ対策をチェックして、正しく機能しているかどうかを確認する。
・組織は、⾃組織のIoT機器、サーバ等のアップデート等のメンテナンス記録を保管する。
・組織は、メンテナンス要員の認可プロセスを確⽴し、認可されたメンテナンス組織または要員の⼀覧の最新化を図る。

D-3-40ISO/IEC 27001:2013 附属書A

サイバー・フィジカル・セキュリティ対策フレームワーク

管理策ID

要求事項
A.14.2.5

セキュリティに配慮したシステムをセキュリティに配慮構築するための原則を確⽴し，⽂書したシステム構築の化し，維持し，全ての情報システム原則の実装に対して適⽤しなければならない。

対策要件ID

対策例

対策要件

・組織は、システムの調達にあたり以下に⽰すような要求事項を明⽰的に提⽰する。
-セキュリティ機能に関する要求事項-セキュリティ強度に関する要求事項

CPS.IP-3

・システムを管理するためのシステム開

H-Advanced

発ライフサイクルを導⼊する。

-セキュリティ保証に関する要求事項-セキュリティ関連のドキュメントに関する要求事項-セキュリティ関連のドキュメントの保護に関する要求事項-そのシステムの開発環境と、そのシステムを稼働させる予定の環境についての記述-受け⼊れ基準

Advanced

A.14.2.6

組織は，全てのシステム開発ライフ

セキュリティに配慮

サイクルを含む，システムの開発及した開発環境び統合の取組みのためのセキュリ

イフサイクル全体を通じた情報セキュリティリスクマネジメントプロセスを実施する。
・組織は、システムの調達にあたり以下に⽰すような要求事項を明⽰的に提⽰する。
-セキュリティ機能に関する要求事項-セキュリティ強度に関する要求事項

ティに配慮した開発環境を確⽴し，適切に保護しなければならない。

・組織は、 情報セキュリティ上の考慮事項を含むシステム開発ライフサイクルに従ってシステムを管理するとともに、システム開発ラ

H-Advanced

CPS.IP-3

・システムを管理するためのシステム開-セキュリティ保証に関する要求事項-セキュリティ関連のドキュメントに関する要求事項-セキュリティ関連のドキュメントの保護に関する要求事項

発ライフサイクルを導⼊する。

-そのシステムの開発環境と、そのシステムを稼働させる予定の環境についての記述-受け⼊れ基準
Advanced
Basic

A.14.2.7

組織は，外部委託したシステム開発

外部委託による開発

活動を監督し，監視しなければなら・組織は、 情報セキュリティ上の考慮事項を含むシステム開発ライフサイクルに従ってシステムを管理するとともに、システム開発ラ
イフサイクル全体を通じた情報セキュリティリスクマネジメントプロセスを実施する。
・組織は、システムを構築するに当たり仕様書、設計、開発、導⼊及び変更に、システムのセキュリティエンジニアリング原則を適⽤する。
・組織は、契約事項からの逸脱及び、その兆候に対する調査・対応のためのプロシージャをサポートするレビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織は、特に重要な取引先及びその再委託先以降の組織に対して、契約にて規定した組織のセキュリティマネジメント、納⼊する製ない。

品・サービスに実装されるセキュリティ機能等に関する義務事項が履⾏されているかどうかを⼀覧化して確認できるメカニズムを利⽤
H-Advanced する。

・委託元による実地調査、外部監査等の⼿法により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

・取引先等の関係する他組織が、契約上
CPS.SC-6

・重要な取引先及びその再委託先以降の組織は、関係する攻撃の予兆、情報流出の事実がないかを調査し、組織に対して結果を定期的の義務を果たしていることを確認するたに報告する。

めに、監査、テスト結果、または他の形

・組織は、⾃組織が取引先との契約において要求事項として規定した内容に関連して、システム上での監査が可能かどうか、確認す

式の評価を使⽤して定期的に評価する。

る。
・上記で定義されているシステム上で監査可能なイベントのために、監査記録を⽣成する機能を情報システムが提供する。
Advanced

・組織は、監査に関連する情報が必要な他の組織との間で、セキュリティ監査の整合性を保つことができるようにする。
・組織は、⼿作業ないしは情報システムにより⾃動で⽣成された監査記録を定期的にでレビュー・分析して、契約事項からの逸脱及び、その兆候の有無を確認する。
・チェックリストを⽤いた取引先による内部監査により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

D-3-41

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、外部情報システムサービスのプロバイダに対して、サービスの使⽤に必要な機能、ポート、プロトコル及び他のサービスを
H-Advanced 明確にするよう要求する。

・組織は、上記で明確化した事項が遵守されているかどうかモニタリングする。
・組織は、外部サービスプロバイダ及びシステム開発の委託先の要員に対してのセキュリティ上の要求事項を⽂書化し、契約等に記載する。
・組織は、外部サービスプロバイダ及びシステム開発の委託先に対して、⾃組織のシステムに対する権限を有する要員が異動、または雇⽤が終了する場合に、⾃組織へ通知することを要求する。

・セキュリティ事象を適切に検知できる

Advanced

CPS.CM-5 よう、外部サービスプロバイダとの通信・組織は、関連する業務情報，業務システム及び業務プロセスの重要性並びにリスクの再評価を考慮して、外部サービスプロバイダー
によるサービス提供の変更を管理することが望ましい。
・組織は、外部サービスプロバイダ及びシステム開発の委託先による要求事項の遵守状況をモニタリングする。

内容をモニタリングする。

・組織は、外部サービスプロバイダー及びシステム開発の委託先による作為あるいは不作為による不正アクセスを検知するため、当該外部事業者による⾃組織のシステムへのアクセスををモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先の活動のモニタリング結果を、適切なシステム管理者に報告する。
・組織は、外部情報システムサービスのプロバイダ及びシステム開発の委託先に対して、⾃組織が対象となっている、あるいは当該プ
ロバイダーが対象として該当するルールに従って、例えば、下記に関連するようなセキュリティ要求事項を設定し、導⼊することを要
Basic

求する。
- （例えば、ISMS認証取得相当の）セキュリティ対策が⼗分に⾏われていること- 運⽤中のデータが適切に管理されること- サービス利⽤終了時にデータが適切に削除されること

A.14.2.8

セキュリティ機能（functionality）

システムセキュリの試験は，開発期間中に実施しなけ

ティの試験ればならない。

・最新の脅威情報、脆弱性情報、複数回にわたるセキュリティ管理策アセスメントの結果等から動向分析を実施し、継続的なモニタリ
ングに⽤いられている活動の修正の必要性を判断する。

・監視業務として、セキュリティ事象を H-Advanced ・システムに、既知で害のないテストケースを導⼊して、マルウェア検知メカニズムをテストする。
CPS.DP-3

・組織は、侵⼊検知モニタリングに⽤いているメカニズムを定期的にテストする。テストの頻度は、組織が使⽤するツールの種類と、検知する機能が意図したとおりに動作す

ツールの設置⽅法により変わる。

るかどうかを定期的にテストし、妥当性を検証する。

・組織は、⾃組織のシステムのモニタリング活動が、組織のリスクマネジメント戦略と、リスク対応のためのアクションの優先順位にAdvanced

適合しているかどうかを定期的に確認するプロシージャを定め、運⽤する。
・ネットワーク機器やエンドポイントからのセキュリティに係る情報の相関分析を⾏うのに合わせて、誤検出や検出漏れの割合を算出し。定期的に検知メカニズムの妥当性を確認する。

A.14.2.9

新しい情報システム，及びその改訂

システムの受⼊れ試版・更新版のために，受⼊れ試験の験

プログラム及び関連する基準を確⽴・調達する機器に対して、契約におけるセキュリティ要求事項が満たせているかを、⾃組織あるいは第三者がテストする。
H-Advanced

・組織は、⾃組織のオペレーションにとって特に重要な機器について、再委託先以降の組織を含む関係するサプライチェーン全体に渡り、⼀定⽔準以上の品質管理能⼒、セキュリティマネジメント能⼒等を有した組織により、適切なプロシージャで製造されたものかを確認する。

しなければならない。

・組織は、契約において、例えば下記のように、取引先から調達する製品・サービスが具備すべきセキュリティ要求事項を明確化する。
- セキュリティに関わる特定の認証（例︓ISMS認証、ISASecure EDSA認証、ITセキュリティ評価及び認証制度(JISEC)）を有していること

・外部の組織との契約を⾏う場合、⽬的- ベンダー⾃⾝により、セキュリティに関わる特定の認証の基準に適合する対策を実施していることが確認されていること

及びリスクマネジメントの結果を考慮
CPS.SC-4- リスク分析の結果等から導かれた必要なセキュリティ要件を設計時からの実装（セキュリティ・バイ・デザイン）し、検査していし、⾃組織のセキュリティに関する要求ること事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。

・組織は、調達計画時に、製品またはサービス⾃体、あるいは当該製品・サービスの調達・供給にて使⽤される資産の保護に係るセAdvanced

キュリティ要件の費⽤を確保しておくことが望ましい。
・下記を含む製品またはサービスの調達または供給を評価するためのセキュリティ測定ルールを策定し、運⽤及び改善する。
- 測定対象の内容- 措置の報告⽅法、報告の頻度- 措置が実施されない場合に遂⾏される措置・組織は、搬送中の改ざん・漏えいを検知(⼜は抑⽌)する⼿段とともに納品されるIoT機器やソフトウェアが、不正操作されていないかを確認する。
- 物品︓セキュリティ便、プロテクトシール等

A.14.3A.14.3.1

試験データは，注意深く選定し，保・外部の組織との契約を⾏う場合、⽬的- 電送︓暗号化、電送データ全体のハッシュ値等・調達する機器に対して、契約におけるセキュリティ要求事項が満たせているかを、⾃組織あるいは第三者がテストする。

試験データ

試験データの保護

護し，管理しなければならない。

及びリスクマネジメントの結果を考慮

・組織は、⾃組織のオペレーションにとって特に重要な機器について、再委託先以降の組織を含む関係するサプライチェーン全体に渡CPS.SC-4

し、⾃組織のセキュリティに関する要求事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。

D-3-42

り、⼀定⽔準以上の品質管理能⼒、セキュリティマネジメント能⼒等を有した組織により、適切なプロシージャで製造されたものかを

H-Advanced 確認する。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、契約事項からの逸脱及び、その兆候に対する調査・対応のためのプロシージャをサポートするレビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織は、特に重要な取引先及びその再委託先以降の組織に対して、契約にて規定した組織のセキュリティマネジメント、納⼊する製品・サービスに実装されるセキュリティ機能等に関する義務事項が履⾏されているかどうかを⼀覧化して確認できるメカニズムを利⽤
H-Advanced する。

・委託元による実地調査、外部監査等の⼿法により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

・取引先等の関係する他組織が、契約上
CPS.SC-6

・重要な取引先及びその再委託先以降の組織は、関係する攻撃の予兆、情報流出の事実がないかを調査し、組織に対して結果を定期的の義務を果たしていることを確認するたに報告する。

めに、監査、テスト結果、または他の形

・組織は、⾃組織が取引先との契約において要求事項として規定した内容に関連して、システム上での監査が可能かどうか、確認す

式の評価を使⽤して定期的に評価する。

る。
・上記で定義されているシステム上で監査可能なイベントのために、監査記録を⽣成する機能を情報システムが提供する。
Advanced

・組織は、監査に関連する情報が必要な他の組織との間で、セキュリティ監査の整合性を保つことができるようにする。
・組織は、⼿作業ないしは情報システムにより⾃動で⽣成された監査記録を定期的にでレビュー・分析して、契約事項からの逸脱及び、その兆候の有無を確認する。
・チェックリストを⽤いた取引先による内部監査により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

・構成要素（IoT機器、通信機器、回線
CPS.IP-4等）に対し、定期的なシステムバック

・組織は、バックアップ情報を定期的にテストして、媒体の信頼性と情報の完全性を確認する。
H-Advanced

アップを実施し、テストする。
・収集されたログは、セキュリティインシデントの検知に加え、セキュリティインシデントの原因を事後的に追跡することにも有効であるため、可能であれば、OS機能では残らない詳細ログ（OSコマンドレベル）も収集する。
・タイムスタンプが複数の監査ログで確実に⼀致する場合、組織が定めた対象についての監査ログをシステム全体にわたる監査証跡として、（論理的・物理的を問わず）管理する。

・セキュリティインシデントを適切に検CPS.PT-1

H-Advanced

・監査記録のタイムスタンプを⽣成するための正式な情報源を⽤いて、内部システムクロックを⽐較し、同期するようなシステム機能を提供する。
・情報システムは、監査レビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。

知するため、監査記録／ログ記録の対象・組織が利⽤するIoT機器には、セキュリティに関わる監査ログの⽣成や既存のログ管理システムへの接続等が難しいものが含まれていを決定、⽂書化し、そうした記録を実施る可能性があるため、IoT機器からの監査ログの収集・分析に当たっては、主に利⽤しているものとは別のログ管理システムの利⽤や、して、レビューする。

システム側での対策による代替等、IoT機器のスペックを考慮した対応を⾏う必要がある。
・情報システム及び産業⽤制御システムは、監査ログ及び監査ツールのそれぞれの完全性を保護するために、暗号メカニズムを実装する。
Advanced

・組織は、⾃組織におけるセキュリティ関係の責任に関する規定によって割り当てられたユーザに対してのみ、監査ログの管理権限を付与する。
・情報システムは、監査プロセスの失敗のインシデントにおいて、アラートを発する。

A.15

A.15.1

A.15.1.1

組織の資産に対する供給者のアクセ

供給者関係

供給者関係における供給者関係のためのスに関連するリスクを軽減するため

情報セキュリティ

情報セキュリティのの情報セキュリティ要求事項につい⽅針て，供給者と合意し，⽂書化しなければならない。

Advanced

・組織は、セキュリティインシデントにより損害が発⽣する場合に備えて、取引先等から指定されるセキュリティ対策の実装に加え、サイバー保険の利⽤等によるリスク移転を検討する。
・組織は、委託先あるいは委託元との契約において、業務においてセキュリティインシデントにより損害が発⽣した場合の⾃組織と取引先の責任範囲（免責事項の明記、損害賠償額の契約⾦額等での上限設定等）を規定する。

CPS.AM-7

・組織は、契約において取引先に対応を求める／求められるセキュリティに関する要求事項の実効性を⾼めるため、要求事項への対応

・⾃組織及び関係する他組織のサイバー
セキュリティ上の役割と責任を定める。

要否や過不⾜、具体的な対応⽅法や費⽤負担、対応できない場合の代替措置について契約時あるいは契約期間の初めに合意することが
Basic

望ましい。
[参考] 特にクラウドサービスプロバイダーと⾃組織との役割と責任に関して、追加の情報を得るために、「クラウドセキュリティガイ
ドライン活⽤ガイドブック 2013年度版」（経済産業省, 2013年）の "4.4.クラウドサービスの契約" を参照することが可能である。

D-3-43

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、サプライチェーンに係るセキュリティ対策基準を参照して、ITT(Invitation To Tender)やRFP(Request For Proposal)などの⼊札書類を準備し、潜在的な取引先に提供する。特に、⼊札書類には以下が含まれることが望ましい。
1）調達する製品またはサービスの仕様
2）供給者が製品またはサービスを供給している間に従うセキュリティ要件
Advanced3）製品またはサービスの供給中に従うべきサービスレベル及びその指標
4）セキュリティ要件に違反した場合に、委託元が課す可能性のある罰則
5）取引先の選定プロセス中に送信されるデータやシステムなどを保護するための秘密保持条項

・取引関係のライフサイクルを考慮して・組織は、取引先によるセキュリティ管理策の遵守状況を継続的にモニタリングするための、プロシージャを整備する。

サプライチェーンに係るセキュリティの・取引先におけるセキュリティインシデントが⾃組織に影響した場合に備え、契約書にて外部事業者との責任分界点を明確にし、外部

CPS.SC-1 対策基準を定め、責任範囲を明確化した事業者の責任範囲において⾃組織に被害が発⽣した場合の損害賠償について記載する等の対応を⾏う。

うえで、その内容について取引先と合意・組織は、該当する法規制等を参照して、取引先（特に、⾃組織のデータを取り扱う可能性のある、またはデータを取り扱うための基する。

盤を提供する可能性のあるもの）に対して適⽤するセキュリティ対策基準を策定し、内容について合意する。
・組織は、取引先（外部情報システムサービスのプロバイダ）に対して、サービスの使⽤に必要な機能、ポート、プロトコル及び他のBasic

サービスを明確にする。
[参考] 取引先に対して適⽤するセキュリティ対策基準の策定に当たり、ISO/IEC 27001 附属書Aの管理策をベースに作成された「情報セキュリティベンチマーク」(IPA)や、「サプライチェーン情報セキュリティ管理基準」（⽇本セキュリティ監査協会）等を参考とする
ことが可能である。
・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係する他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。

H-Advanced ・取引先において、事業への悪影響を及ぼすセキュリティインシデントが発⽣した際の、⾃組織への影響の内容及び、その起こりやすさ、規模を推定する。
※ 関連する対策要件に、CPS.AM-6, CPS.BE-2等がある。
Advanced

・⾃組織の事業を継続するに当たり、三CPS.SC-2

・組織は、⾃組織のミッション/業務プロセスに重要な影響を及ぼしうるサプライチェーン上の取引先を特定し、当該組織が⾃組織のセキュリティポリシーに規定されているセキュリティ上の役割と責任を果たせるかどうかを確認する。
・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係

層構造の各層において重要な役割を果たする他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。

す組織やヒトを特定し、優先付けをし、・組織は、⻑期に渡ってIoT機器が使⽤されることが想定される場合、問い合わせ窓⼝やサポート体制等の適切な管理体制が整備されて評価する。

おり、販売後のセキュリティサポート⽅針を明確にしている等、⻑期間のサポートが期待できる取引先（IoT機器ベンダ）を選定する。
・組織は、IoT機器のサポート終了時に機器を⼊れ替えることの要否についてシステムの導⼊前に取引先（IoT機器ベンダ）に対して確
Basic

認する。
・組織は、下記の観点を確認することにより、ITサービスのマネジメントを効率的、効果的に運営管理するサービスプロバイダーを選定することが望ましい。
- JIS Q 20000 に基づく第三者認証（ITSMS認証）を取得している- ⾃⼰適合確認を通じて認証取得相当の対策の実装を確認している・⾃組織のIoT機器、サーバ等に対する・組織は、遠隔保守のための接続の確⽴と実施に関するポリシーとプロシージャを⽂書化し、その内容により実施する。
・組織は、遠隔保守を実施する際には組織の定めるネットワークアクセスに求める認証を実施するとともに、遠隔保守が完了したら遠隔保守を、適⽤先のモノ、システムのCPS.MA-2 オーナー部⾨による承認を得て、ログを記録し、不正アクセスを防げる形で実施する。

D-3-44

Advanced

セッションとネットワーク接続を確実に終了する。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.15.1.2

関連する全ての情報セキュリティ要供給者との合意にお求事項を確⽴しなければならず，まけるセキュリティのた，組織の情報に対して，アクセ

取扱い

ス，処理，保存若しくは通信を⾏対策要件ID

対策例

対策要件

・組織は、サプライチェーンに係るセキュリティ対策基準を参照して、ITT(Invitation To Tender)やRFP(Request For Proposal)などの⼊札書類を準備し、潜在的な取引先に提供する。特に、⼊札書類には以下が含まれることが望ましい。
1）調達する製品またはサービスの仕様
2）供給者が製品またはサービスを供給している間に従うセキュリティ要件

う，⼜は組織の情報のための IT 基

Advanced

盤を提供する可能性のあるそれぞれ
合意しなければならない。

4）セキュリティ要件に違反した場合に、委託元が課す可能性のある罰則
5）取引先の選定プロセス中に送信されるデータやシステムなどを保護するための秘密保持条項

・取引関係のライフサイクルを考慮しての供給者と，この要求事項について

3）製品またはサービスの供給中に従うべきサービスレベル及びその指標

・組織は、取引先によるセキュリティ管理策の遵守状況を継続的にモニタリングするための、プロシージャを整備する。

サプライチェーンに係るセキュリティの・取引先におけるセキュリティインシデントが⾃組織に影響した場合に備え、契約書にて外部事業者との責任分界点を明確にし、外部

CPS.SC-1 対策基準を定め、責任範囲を明確化した事業者の責任範囲において⾃組織に被害が発⽣した場合の損害賠償について記載する等の対応を⾏う。

うえで、その内容について取引先と合意・組織は、該当する法規制等を参照して、取引先（特に、⾃組織のデータを取り扱う可能性のある、またはデータを取り扱うための基する。

盤を提供する可能性のあるもの）に対して適⽤するセキュリティ対策基準を策定し、内容について合意する。
・組織は、取引先（外部情報システムサービスのプロバイダ）に対して、サービスの使⽤に必要な機能、ポート、プロトコル及び他のBasic

サービスを明確にする。
[参考] 取引先に対して適⽤するセキュリティ対策基準の策定に当たり、ISO/IEC 27001 附属書Aの管理策をベースに作成された「情報セキュリティベンチマーク」(IPA)や、「サプライチェーン情報セキュリティ管理基準」（⽇本セキュリティ監査協会）等を参考とする
ことが可能である。
・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係する他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。

H-Advanced ・取引先において、事業への悪影響を及ぼすセキュリティインシデントが発⽣した際の、⾃組織への影響の内容及び、その起こりやすさ、規模を推定する。
※ 関連する対策要件に、CPS.AM-6, CPS.BE-2等がある。
Advanced

・⾃組織の事業を継続するに当たり、三CPS.SC-2

・組織は、⾃組織のミッション/業務プロセスに重要な影響を及ぼしうるサプライチェーン上の取引先を特定し、当該組織が⾃組織のセキュリティポリシーに規定されているセキュリティ上の役割と責任を果たせるかどうかを確認する。
・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係

層構造の各層において重要な役割を果たする他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。

す組織やヒトを特定し、優先付けをし、・組織は、⻑期に渡ってIoT機器が使⽤されることが想定される場合、問い合わせ窓⼝やサポート体制等の適切な管理体制が整備されて評価する。

おり、販売後のセキュリティサポート⽅針を明確にしている等、⻑期間のサポートが期待できる取引先（IoT機器ベンダ）を選定する。
・組織は、IoT機器のサポート終了時に機器を⼊れ替えることの要否についてシステムの導⼊前に取引先（IoT機器ベンダ）に対して確
Basic

認する。
・組織は、下記の観点を確認することにより、ITサービスのマネジメントを効率的、効果的に運営管理するサービスプロバイダーを選定することが望ましい。
- JIS Q 20000 に基づく第三者認証（ITSMS認証）を取得している- ⾃⼰適合確認を通じて認証取得相当の対策の実装を確認している

D-3-45

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、システム・モノ・サービスのいずれかを提供する取引先との契約において、当該組織に対して、以下の実施を要求する。
- 契約にて指定されたセキュリティ対策を実施したエビデンスの作成、セキュリティテスト／評価結果の提⽰- セキュリティテスト／評価時に特定された⽋陥の修正計画の策定- ⽋陥の修正計画及び、その実施状況の提⽰・組織は、直接の委託先に対して要求しているセキュリティ対策に関する要求事項及びそれに付随する要求事項の内で必要な事項を、
H-Advanced サプライチェーンに由来するリスクの⼤きさ等を勘案しつつ、再委託先以降の組織に対して（場合によっては再委託先以降の全サプラ

イヤーに対して）も適⽤することが望ましい。
[参考] 委託契約に含め、実施を確認することが望ましい項⽬に関する追加の情報の取得のためには、「ITサプライチェーンの業務委託
におけるセキュリティインシデント及びマネジメントに関する調査報告書」(IPA, 2018年)の「3.2. IT サプライチェーン リスクマネジ
メント の全体像」等を参照することが可能である。

・外部の組織との契約を⾏う場合、⽬的・組織のミッション／業務ニーズに応じて、システム、モノ、またはサービスの調達契約に以下の要求事項、記述及び基準を記載す及びリスクマネジメントの結果を考慮
CPS.SC-3

る。

し、⾃組織のセキュリティに関する要求- セキュリティ対策に関する要求事項事項に対して関係する他組織のセキュリ- セキュリティ関連のドキュメントに関する要求事項

ティマネジメントが適合していることを- セキュリティ関連のドキュメントの保護に関する要求事項確認する。

- 秘密保持に関する条項
Advanced- インシデントが発⽣した際の報告先、報告内容、初動、調査、復旧等の各対応の実施主体、実施⽅法- ⾃組織または認可された第三者によって監査され、定義されたセキュリティ要件への遵守を確認することを許可する条件- 契約終了後の情報資産の扱い
・組織は、取引先に対して、該当する法規制等に準拠したセキュリティ要求事項を実施し、委託内容の特性等により必要と認められる
場合、調達契約において、追加で対策を導⼊することを要求する。
・法規制等を参照してセキュリティ要件を決定し、取引先へ遵守を要求する際、下記を事前に考慮することが望ましい。
- ⾃組織と取引先との法令の相違（例︓業法の違い、国・地域の違い）により⽣じるコンプライアンス上のリスクの特定- 取引先に適⽤される法律及び規制上の義務によるセキュリティの観点からの契約への悪影響

Basic

A.15.1.3

・組織は、取引先に対して、該当する法規制等に準拠したセキュリティ要求事項を実施することを要求する。
・組織は、委託先の選定、評価のプロセスにおいて、取引先がセキュリティアクションを宣⾔していることを確認する。
・調達する機器に対して、契約におけるセキュリティ要求事項が満たせているかを、⾃組織あるいは第三者がテストする。

供給者との合意には，情報通信技術

ICTサプライチェーン （ICT）サービス及び製品のサプラ

H-Advanced

イチェーンに関連する情報セキュリ

・組織は、⾃組織のオペレーションにとって特に重要な機器について、再委託先以降の組織を含む関係するサプライチェーン全体に渡り、⼀定⽔準以上の品質管理能⼒、セキュリティマネジメント能⼒等を有した組織により、適切なプロシージャで製造されたものかを確認する。

ティリスクに対処するための要求事・組織は、契約において、例えば下記のように、取引先から調達する製品・サービスが具備すべきセキュリティ要求事項を明確化す

項を含めなければならない。

る。
- セキュリティに関わる特定の認証（例︓ISMS認証、ISASecure EDSA認証、ITセキュリティ評価及び認証制度(JISEC)）を有していること

・外部の組織との契約を⾏う場合、⽬的- ベンダー⾃⾝により、セキュリティに関わる特定の認証の基準に適合する対策を実施していることが確認されていること

及びリスクマネジメントの結果を考慮
CPS.SC-4- リスク分析の結果等から導かれた必要なセキュリティ要件を設計時からの実装（セキュリティ・バイ・デザイン）し、検査していし、⾃組織のセキュリティに関する要求ること事項に対して関係する他組織の提供する製品・サービスが適合していることを確認する。

・組織は、調達計画時に、製品またはサービス⾃体、あるいは当該製品・サービスの調達・供給にて使⽤される資産の保護に係るセAdvanced

キュリティ要件の費⽤を確保しておくことが望ましい。
・下記を含む製品またはサービスの調達または供給を評価するためのセキュリティ測定ルールを策定し、運⽤及び改善する。
- 測定対象の内容- 措置の報告⽅法、報告の頻度- 措置が実施されない場合に遂⾏される措置・組織は、搬送中の改ざん・漏えいを検知(⼜は抑⽌)する⼿段とともに納品されるIoT機器やソフトウェアが、不正操作されていないかを確認する。
- 物品︓セキュリティ便、プロテクトシール等

A.15.2

A.15.2.1

組織は，供給者のサービス提供を定供給者のサービス提供給者のサービス提常的に監視し，レビューし，監査し供の管理

供の監視及びレ

なければならない。

ビュー- 電送︓暗号化、電送データ全体のハッシュ値等
・組織は、サプライチェーンに係るセキュリティ対策基準を参照して、ITT(Invitation To Tender)やRFP(Request For Proposal)などの⼊札書類を準備し、潜在的な取引先に提供する。特に、⼊札書類には以下が含まれることが望ましい。
1）調達する製品またはサービスの仕様

・取引関係のライフサイクルを考慮して

2）供給者が製品またはサービスを供給している間に従うセキュリティ要件

サプライチェーンに係るセキュリティのCPS.SC-1 対策基準を定め、責任範囲を明確化した
うえで、その内容について取引先と合意する。

Advanced3）製品またはサービスの供給中に従うべきサービスレベル及びその指標
4）セキュリティ要件に違反した場合に、委託元が課す可能性のある罰則
5）取引先の選定プロセス中に送信されるデータやシステムなどを保護するための秘密保持条項
・組織は、取引先によるセキュリティ管理策の遵守状況を継続的にモニタリングするための、プロシージャを整備する。
・取引先におけるセキュリティインシデントが⾃組織に影響した場合に備え、契約書にて外部事業者との責任分界点を明確にし、外部事業者の責任範囲において⾃組織に被害が発⽣した場合の損害賠償について記載する等の対応を⾏う。

D-3-46

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、契約事項からの逸脱及び、その兆候に対する調査・対応のためのプロシージャをサポートするレビュー・分析・レポートのそれぞれについて、⼀体的に扱う⾃動的なメカニズムを採⽤する。
・組織は、特に重要な取引先及びその再委託先以降の組織に対して、契約にて規定した組織のセキュリティマネジメント、納⼊する製品・サービスに実装されるセキュリティ機能等に関する義務事項が履⾏されているかどうかを⼀覧化して確認できるメカニズムを利⽤
H-Advanced する。

・委託元による実地調査、外部監査等の⼿法により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

・取引先等の関係する他組織が、契約上
CPS.SC-6

・重要な取引先及びその再委託先以降の組織は、関係する攻撃の予兆、情報流出の事実がないかを調査し、組織に対して結果を定期的の義務を果たしていることを確認するたに報告する。

めに、監査、テスト結果、または他の形

・組織は、⾃組織が取引先との契約において要求事項として規定した内容に関連して、システム上での監査が可能かどうか、確認す

式の評価を使⽤して定期的に評価する。

る。
・上記で定義されているシステム上で監査可能なイベントのために、監査記録を⽣成する機能を情報システムが提供する。
Advanced

・組織は、監査に関連する情報が必要な他の組織との間で、セキュリティ監査の整合性を保つことができるようにする。
・組織は、⼿作業ないしは情報システムにより⾃動で⽣成された監査記録を定期的にでレビュー・分析して、契約事項からの逸脱及び、その兆候の有無を確認する。
・チェックリストを⽤いた取引先による内部監査により、外部サービスプロバイダによるセキュリティ管理策の遵守状況を定期的に確認する。

・⾃組織のIoT機器、サーバ等に対する遠隔保守を、適⽤先のモノ、システムの・組織は、遠隔保守のための接続の確⽴と実施に関するポリシーとプロシージャを⽂書化し、その内容により実施する。
Advanced

記録し、不正アクセスを防げる形で実施する。

・組織は、遠隔保守を実施する際には組織の定めるネットワークアクセスに求める認証を実施するとともに、遠隔保守が完了したらセッションとネットワーク接続を確実に終了する。

CPS.MA-2 オーナー部⾨による承認を得て、ログを・組織は、遠隔保守の実施に当たっては、実施計画を策定し・合意した上で実施し、実施結果を確認する。
Basic

・組織は、実施した遠隔保守の実施記録を保管する。
・組織は、外部情報システムサービスのプロバイダに対して、サービスの使⽤に必要な機能、ポート、プロトコル及び他のサービスを

H-Advanced 明確にするよう要求する。

・組織は、上記で明確化した事項が遵守されているかどうかモニタリングする。
・組織は、外部サービスプロバイダ及びシステム開発の委託先の要員に対してのセキュリティ上の要求事項を⽂書化し、契約等に記載する。
・組織は、外部サービスプロバイダ及びシステム開発の委託先に対して、⾃組織のシステムに対する権限を有する要員が異動、または雇⽤が終了する場合に、⾃組織へ通知することを要求する。

・セキュリティ事象を適切に検知できる

Advanced

CPS.CM-5 よう、外部サービスプロバイダとの通信・組織は、関連する業務情報，業務システム及び業務プロセスの重要性並びにリスクの再評価を考慮して、外部サービスプロバイダー
によるサービス提供の変更を管理することが望ましい。
・組織は、外部サービスプロバイダ及びシステム開発の委託先による要求事項の遵守状況をモニタリングする。

内容をモニタリングする。

・組織は、外部サービスプロバイダー及びシステム開発の委託先による作為あるいは不作為による不正アクセスを検知するため、当該外部事業者による⾃組織のシステムへのアクセスををモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先の活動のモニタリング結果を、適切なシステム管理者に報告する。
・組織は、外部情報システムサービスのプロバイダ及びシステム開発の委託先に対して、⾃組織が対象となっている、あるいは当該プ
ロバイダーが対象として該当するルールに従って、例えば、下記に関連するようなセキュリティ要求事項を設定し、導⼊することを要
Basic

求する。
- （例えば、ISMS認証取得相当の）セキュリティ対策が⼗分に⾏われていること- 運⽤中のデータが適切に管理されること- サービス利⽤終了時にデータが適切に削除されること

A.15.2.2

関連する業務情報，業務システム及供給者のサービス提び業務プロセスの重要性，並びにリ供の変更に対する管スクの再評価を考慮して，供給者に理よるサービス提供の変更（現⾏の情報セキュリティの⽅針群，⼿順及び管理策の保守及び改善を含む。）を管理しなければならない。

・組織は、外部情報システムサービスのプロバイダに対して、サービスの使⽤に必要な機能、ポート、プロトコル及び他のサービスを
H-Advanced 明確にするよう要求する。

・組織は、上記で明確化した事項が遵守されているかどうかモニタリングする。
・組織は、外部サービスプロバイダ及びシステム開発の委託先の要員に対してのセキュリティ上の要求事項を⽂書化し、契約等に記載する。

・セキュリティ事象を適切に検知できる・組織は、外部サービスプロバイダ及びシステム開発の委託先に対して、⾃組織のシステムに対する権限を有する要員が異動、または

CPS.CM-5 よう、外部サービスプロバイダとの通信
内容をモニタリングする。

雇⽤が終了する場合に、⾃組織へ通知することを要求する。
Advanced

・組織は、関連する業務情報，業務システム及び業務プロセスの重要性並びにリスクの再評価を考慮して、外部サービスプロバイダー
によるサービス提供の変更を管理することが望ましい。
・組織は、外部サービスプロバイダ及びシステム開発の委託先による要求事項の遵守状況をモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先による作為あるいは不作為による不正アクセスを検知するため、当該外部事業者による⾃組織のシステムへのアクセスををモニタリングする。
・組織は、外部サービスプロバイダー及びシステム開発の委託先の活動のモニタリング結果を、適切なシステム管理者に報告する。

D-3-47

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.16

A.16.1

A.16.1.1

情報セキュリティインシデントに対情報セキュリティイ

情報セキュリティイ

責任及び⼿順する迅速，効果的かつ順序だった対ンシデント管理ンシデントの管理及応を確実にするために，管理層の責びその改善

任及び⼿順を確⽴しなければならな対策要件ID

対策例

対策要件

・組織は、サプライチェーンにおけるセキュリティインシデントの対処を想定し、⾃組織とサプライチェーンに関与する他の組織との間で、インシデント対応活動を調整するプロシージャを整備する。
・組織は、インシデント対応要件が満たされるよう、⾃組織のインシデント対応プロセスと、⾃組織の事業継続上、重要な機能を有す
る外部サービスプロバイダのインシデント対応プロセスを調整する。
H-Advanced ・組織は、脅威情報、脆弱性情報等と、個々のセキュリティインシデントへの対応を相互に関連付けることによって、状況認識を改善

い。

する。

・セキュリティ運⽤プロセスにおいて、[参考] サプライチェーンにおけるセキュリティインシデントには、たとえば、システムコンポーネント、IT 製品、開発プロセスまたは

CPS.RP-2 取引先等の関係する他組織との連携につ開発者、流通過程または倉庫施設に対する侵害等がある。
・組織は、セキュリティインシデントにより第1の処理拠点の可⽤性が低下した場合に利⽤する代替処理拠点を定める。

いて⼿順と役割分担を定め、運⽤する。

・組織は、⾃組織の⼀次処理機能が利⽤できない場合に、⾃組織が定める⽬標復旧時間内に、代替処理拠点により所定のオペレーショ
Advanced

ンを移転・再開して、重要なミッション／業務機能を遂⾏できるようにするようサービス契約で規定する。
・組織は、同じ脅威に対する脆弱さを減らすために、⼀次処理拠点から離れた代替処理拠点を指定する。
・組織は、情報システム及び産業⽤制御システムのユーザにセキュリティインシデントの対応と報告に関する助⾔と⽀援を提供する、組織のインシデント対応能⼒に不可⽋な、インシデント対応⽀援リソース（ヘルプデスク、CSIRT等）を⾃組織に⽤意する。

Basic

A.16.1.2

情報セキュリティ事象は，適切な管情報セキュリティ事

理者への連絡経路を通して，できる象の報告だけ速やかに報告しなければならな・取引先等の関係する他組織の要員のい。

内、⾃組織から委託する業務に関わる者

H-Advanced

CPS.SC-5の分析、再発防⽌のための助⾔等を受ける。
・組織は、委託先の要員により委託元が要求するセキュリティ要求事項が遵守されているかどうかを継続的にモニタリングし、通常とは異なる⾏動があった場合、⾃組織の担当者に通知できるようにプロシージャを整備する。
・サプライヤー関係のセキュリティ⾯について該当する要員を訓練し、機密情報の取り扱いが正しく理解されていることを特に確認すAdvancedる。
・委託業務の遂⾏に当たり、委託元が要求するセキュリティ要求事項が遵守されていることを定期的に確認する。

に対するセキュリティ上の要求事項を策定し、運⽤する。

・セキュリティインシデントを発⾒した場合、速やかにIPA、JPCERT/CC等の関係機関に報告し、対応の⽀援、発⽣状況の把握、⼿⼝・委託業務に係るデータの内、機密データや知的財産のように、公開または変更すべきではないものへのアクセス及びデータの開⽰まBasic

たは変更に関わる要員を特定し、評価する。
・組織は、委託先との契約の終了後、速やかに委託先の要員に対する⾃組織施設へのアクセス権限等の、⼀時的に許可していた権限を停⽌する。
・組織は、セキュリティ運⽤マニュアルにおいてインシデントの検知及び分析、封じ込め、低減、復旧を含む内容を規定する。

Advanced- すべてのインシデントの取り扱いに関する記録をとる- 外部組織等に対して、インシデント発⽣の事実と対応状況に関する報告をする必要があるかどうかを判断する・組織は、セキュリティインシデントの発⽣時に利⽤するセキュリティ運⽤プロセスを策定し、運⽤する。当該プロセスには、下記を例とする内容を含むことが望ましい。
- インシデントの報告を受けた者が、どのような対応をするのか、あるいはより上位に報告するのかの判断基準

・セキュリティインシデント発⽣後の対- 緊急時の指揮命令と対応の優先順位の決定

応の内容や優先順位、対策範囲を明確に
CPS.RP-1- インシデントへの対応（インシデントレスポンス）するため、インシデントを検知した後の- インシデントの影響と被害の分析

組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらか
じめ定義し、実装する。

- 情報収集と⾃社に必要な情報の選別
Basic- 社内関係者への連絡と周知- 外部関係機関との連絡・システム（特に産業⽤制御システム）は、IoT機器、サーバ等に異常（誤動作等）が発⽣した場合に、緊急停⽌、管理者へのアラート
通知等のフェールセーフのための対応を実施する。
[参考] セキュリティインシデント発⽣時の対応⼿順の検討において、「インシデントハンドリングマニュアル」(JPCERT/CC, 2015年)、SP 800-61 Rev.1 (NIST, 2008年)、「インシデント対応マニュアルの作成について」(JPCERT/CC, 2015年)を参照することが可能である。

D-3-48

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、サプライチェーンにおけるセキュリティインシデントの対処を想定し、⾃組織とサプライチェーンに関与する他の組織との間で、インシデント対応活動を調整するプロシージャを整備する。
・組織は、インシデント対応要件が満たされるよう、⾃組織のインシデント対応プロセスと、⾃組織の事業継続上、重要な機能を有す
る外部サービスプロバイダのインシデント対応プロセスを調整する。
H-Advanced ・組織は、脅威情報、脆弱性情報等と、個々のセキュリティインシデントへの対応を相互に関連付けることによって、状況認識を改善する。

・セキュリティ運⽤プロセスにおいて、[参考] サプライチェーンにおけるセキュリティインシデントには、たとえば、システムコンポーネント、IT 製品、開発プロセスまたは

CPS.RP-2 取引先等の関係する他組織との連携につ開発者、流通過程または倉庫施設に対する侵害等がある。
・組織は、セキュリティインシデントにより第1の処理拠点の可⽤性が低下した場合に利⽤する代替処理拠点を定める。

いて⼿順と役割分担を定め、運⽤する。

・組織は、⾃組織の⼀次処理機能が利⽤できない場合に、⾃組織が定める⽬標復旧時間内に、代替処理拠点により所定のオペレーショ
Advanced

ンを移転・再開して、重要なミッション／業務機能を遂⾏できるようにするようサービス契約で規定する。
・組織は、同じ脅威に対する脆弱さを減らすために、⼀次処理拠点から離れた代替処理拠点を指定する。
・組織は、情報システム及び産業⽤制御システムのユーザにセキュリティインシデントの対応と報告に関する助⾔と⽀援を提供する、組織のインシデント対応能⼒に不可⽋な、インシデント対応⽀援リソース（ヘルプデスク、CSIRT等）を⾃組織に⽤意する。

Basic

A.16.1.3

組織の情報システム及びサービスを

情報セキュリティ弱利⽤する従業員及び契約相⼿に，シ点の報告

ステム⼜はサービスの中で発⾒した

H-Advanced

・セキュリティインシデントを発⾒した場合、速やかにIPA、JPCERT/CC等の関係機関に報告し、対応の⽀援、発⽣状況の把握、⼿⼝の分析、再発防⽌のための助⾔等を受ける。
・組織は、セキュリティ事象の追跡と、事象に関係する脅威収集・脆弱性等の情報の収集及び分析を⽀援する⾃動化されたメカニズムを使⽤して、セキュリティインシデントの分類（トリアージ）等に活⽤する。
・組織は、⾃組織のセキュリティ運⽤プロセスにおいて、対象となるシステムの復旧⽬標、復旧の優先順位及びメトリクスを考慮してインシデントを分類する。

⼜は疑いをもった情報セキュリティ

・組織は、⾃組織に影響を及ぼすセキュリティインシデントを追跡し、⽂書化する。「SP 800-61 Rev.1」では、セキュリティインシ

弱点は，どのようなものでも記録

デントを⽂書化する際の記載の観点として、下記を例⽰している。

し，報告するように要求しなければ- インシデントの現在の状況ならない。

Advanced

CPS.AN-3- インシデントの概要- 当該インシデントに対して⾃組織のとった⾏動の内容・検知されたセキュリティインシデント- ほかの関係者(システム所有者、システム管理者等)の連絡先情報の情報は、セキュリティに関する影響度- 調査の際に収集した証拠の⼀覧の⼤⼩や侵⼊経路等で分類し、保管す- インシデントの処理担当者からのコメントる。

- 次にとるべきステップ
・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係する他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。
※ CPS.AM-6, CPS.BE-2に同様の対策例を記載
Basic・当該セキュリティ事象のもたらす影響の⼤きさを考慮し、報告義務のあるインシデントを定める。
[参考] セキュリティインシデントの影響の⼤きさを測るための尺度を検討する場合、下記⽂書等を参照することができる。
・SP 800-61 Rev.1 (NIST, 2008年) 3.2.6 事件の優先順位付け
・「サイバー攻撃による重要インフラサービス障害等の深刻度評価基準」(NISC, 2018年)

A.16.1.4

情報セキュリティ事象は，これを評

情報セキュリティ事

価し，情報セキュリティインシデン

象の評価及び決定

トに分類するか否かを決定しなけれ・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係する他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。
H-Advanced ※ CPS.AM-6, CPS.BE-2に同様の対策例を記載

・組織は、セキュリティ事象の追跡と、事象に関係する脅威収集・脆弱性等の情報の収集及び分析を⽀援する⾃動化されたメカニズムばならない。
CPS.AE-5

・セキュリティ事象の危険度の判定基準を定める。

を使⽤して、セキュリティ事象の分類（トリアージ）等に活⽤する。
Advanced

・組織は、⾃組織のセキュリティ運⽤プロセスにおいて、対象となるシステムの復旧⽬標、復旧の優先順位及びメトリクスを考慮してインシデントを分類する。
・当該セキュリティ事象のもたらす影響の⼤きさを考慮し、報告義務のあるインシデントを定める。

Basic[参考] セキュリティ事象の影響の⼤きさを測るための尺度を検討する場合、下記⽂書等を参照することができる。
・SP 800-61 Rev.1 (NIST, 2008年) 3.2.6 事件の優先順位付け
・「サイバー攻撃による重要インフラサービス障害等の深刻度評価基準」(NISC, 2018年)

D-3-49ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件
H-Advanced

・組織は、セキュリティ事象の追跡と、事象に関係する脅威収集・脆弱性等の情報の収集及び分析を⽀援する⾃動化されたメカニズムを使⽤して、セキュリティインシデントの分類（トリアージ）等に活⽤する。
・組織は、⾃組織のセキュリティ運⽤プロセスにおいて、対象となるシステムの復旧⽬標、復旧の優先順位及びメトリクスを考慮してインシデントを分類する。
・組織は、⾃組織に影響を及ぼすセキュリティインシデントを追跡し、⽂書化する。「SP 800-61 Rev.1」では、セキュリティインシ
デントを⽂書化する際の記載の観点として、下記を例⽰している。
- インシデントの現在の状況- インシデントの概要

Advanced- 当該インシデントに対して⾃組織のとった⾏動の内容・検知されたセキュリティインシデント
CPS.AN-3- ほかの関係者(システム所有者、システム管理者等)の連絡先情報の情報は、セキュリティに関する影響度- 調査の際に収集した証拠の⼀覧の⼤⼩や侵⼊経路等で分類し、保管す- インシデントの処理担当者からのコメントる。

- 次にとるべきステップ
・組織は、あらかじめ優先して継続・復旧すべき中核事業を特定しておき、当該事業を運⽤するにあたり極めて重要なリソース（関係する他組織、ヒト、モノ、データ、システム等）と機能を特定し、優先順位付けする。
※ CPS.AM-6, CPS.BE-2に同様の対策例を記載
Basic・当該セキュリティ事象のもたらす影響の⼤きさを考慮し、報告義務のあるインシデントを定める。
[参考] セキュリティインシデントの影響の⼤きさを測るための尺度を検討する場合、下記⽂書等を参照することができる。
・SP 800-61 Rev.1 (NIST, 2008年) 3.2.6 事件の優先順位付け
・「サイバー攻撃による重要インフラサービス障害等の深刻度評価基準」(NISC, 2018年)

A.16.1.5

情報セキュリティインシデントは，

情報セキュリティイ

⽂書化した⼿順に従って対応しなけ

ンシデントへの対応

ればならない。

H-Advanced

・取引先等の関係する他組織の要員のCPS.SC-5

内、⾃組織から委託する業務に関わる者

は異なる⾏動があった場合、⾃組織の担当者に通知できるようにプロシージャを整備する。
・サプライヤー関係のセキュリティ⾯について該当する要員を訓練し、機密情報の取り扱いが正しく理解されていることを特に確認すAdvancedる。
・委託業務の遂⾏に当たり、委託元が要求するセキュリティ要求事項が遵守されていることを定期的に確認する。

に対するセキュリティ上の要求事項を策定し、運⽤する。

・組織は、委託先の要員により委託元が要求するセキュリティ要求事項が遵守されているかどうかを継続的にモニタリングし、通常と・委託業務に係るデータの内、機密データや知的財産のように、公開または変更すべきではないものへのアクセス及びデータの開⽰まBasic

たは変更に関わる要員を特定し、評価する。
・組織は、委託先との契約の終了後、速やかに委託先の要員に対する⾃組織施設へのアクセス権限等の、⼀時的に許可していた権限を停⽌する。
・組織は、セキュリティ専⾨の24時間365⽇モニタリングモニタリングにより収集した監査ログを、分析⾃動化ツール等を利⽤することで効率的に分析する。
・組織は、従来のIT環境だけでなく、制御システムやIoT機器も含めて、セキュリティ状況のモニタリングの範囲とすることが望ましい。

H-Advanced ・組織は、セキュリティ対応組織の成熟度を定期的に評価し、セキュリティ状況のモニタリングやインシデントへの対応等のセキュリ

ティ関連業務を継続的に改善することが望ましい。
[参考] セキュリティ対応組織(SOC/CSIRT)を評価するためのメトリクスには、「セキュリティ対応組織成熟度セルフチェックシート」(ISOG-J, 2018年)や、SIM3(Security Incident Management Maturity Model)等がある。
・組織は、リスクアセスメントの結果等を参照して、下記の観点を考慮しながらモニタリング、相関分析の対象となる対象を確⽴する。なお、相関分析の対象には、他組織とデータを連携する部分のログも含めることが望ましい。

・セキュリティ管理責任者を任命し、セCPS.AE-2- モニタリングするシステムの範囲をどこまでとするか

キュリティ対応組織(SOC/CSIRT)を⽴- どのような機器のログを収集し、分析するか (CPS.AE-3を参照)

ち上げ、組織内でセキュリティ事象を検・組織は、モニタリングにより収集した監査ログを定期的にレビューする。

知・分析・対応する体制を整える。

・組織は、資産情報、機器の構成情報、ネットワーク構成情報等を継続的に収集・管理し、⾃組織のセキュリティ対応状況を評価する。
・組織は、相関分析の結果等から対応が必要なセキュリティインシデントを適切に検知し、セキュリティ運⽤プロセスの記載内容に従Advanced

い、対応を実施する（プロセスの内容については、CPS.RP-1等を参照）。
・組織及びシステムのセキュリティ状態をセキュリティ管理責任者等の適切な要員に、定期的に報告する。報告内容には以下を含むことが望ましい。
- ログ分析の分析結果（対処したインシデントの件数、対応済みの代表的なインシデントの概要、脅威動向、モニタリング上の課題
等）- モニタリングにおける今後の改善⽅針[参考] セキュリティ対応組織(SOC/CSIRT)の業務、望まれる規模等については、「セキュリティ対応組織（SOC/CSIRT）の教科書 〜
機能・役割・⼈材スキル・成熟度 〜」(ISOG-J, 2018年)等を参照することが望ましい。

D-3-50ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件
H-Advanced

・情報システム及び産業⽤制御システムは、有効でないインプットデータを受け取った場合に、組織の⽬的とシステムの⽬的に沿って、予想できる形で、かつ記載どおりに動作する。
・組織は、セキュリティ運⽤マニュアルにおいてインシデントの検知及び分析、封じ込め、低減、復旧を含む内容を規定する。

Advanced- すべてのインシデントの取り扱いに関する記録をとる- 外部組織等に対して、インシデント発⽣の事実と対応状況に関する報告をする必要があるかどうかを判断する・組織は、セキュリティインシデントの発⽣時に利⽤するセキュリティ運⽤プロセスを策定し、運⽤する。当該プロセスには、下記を例とする内容を含むことが望ましい。

・セキュリティインシデント発⽣後の対- インシデントの報告を受けた者が、どのような対応をするのか、あるいはより上位に報告するのかの判断基準

応の内容や優先順位、対策範囲を明確に
CPS.RP-1- 緊急時の指揮命令と対応の優先順位の決定するため、インシデントを検知した後の- インシデントへの対応（インシデントレスポンス）

組織／ヒト／モノ／システムの対応⼿順（セキュリティ運⽤プロセス）をあらか
じめ定義し、実装する。

- インシデントの影響と被害の分析- 情報収集と⾃社に必要な情報の選別
Basic- 社内関係者への連絡と周知- 外部関係機関との連絡・システム（特に産業⽤制御システム）は、IoT機器、サーバ等に異常（誤動作等）が発⽣した場合に、緊急停⽌、管理者へのアラート
通知等のフェールセーフのための対応を実施する。
[参考] セキュリティインシデント発⽣時の対応⼿順の検討において、「インシデントハンドリングマニュアル」(JPCERT/CC, 2015年)、SP 800-61 Rev.1 (NIST, 2008年)、「インシデント対応マニュアルの作成について」(JPCERT/CC, 2015年)を参照することが可能である。
・組織は、セキュリティインシデントの対応プロセスを⽀援する⾃動化されたメカニズムを使⽤する。
・組織は、脅威情報、脆弱性情報等と、個々のセキュリティインシデントへの対応を相互に関連付けることによって、状況認識を改善する。

H-Advanced[参考] 対応段階におけるインシデントの影響低減、復旧段階において有⽤に機能すると考えられる情報の例として、「セキュリティ対
応組織 (SOC,CSIRT)強化に向けたサイバーセキュリティ情報共有の「5W1H」 v1.0 」(ISOG-J, 2017年)では、下記が挙げられる。
・攻撃⾏為をセキュリティ製品や関連するシステムで遮断するための設定要件

・セキュリティインシデントによる被害

・攻撃を無効化する⽅法（パッチの適⽤、設定変更等）

CPS.MI-1 の拡⼤を最⼩限に抑え、影響を低減する

・被害を受けたシステム復旧⽅法

対応を⾏う。

・組織（あるいはその構成員）は、あらかじめ定められたプロシージャに従って、セキュリティインシデントを低減するためのアクション（例えば、システムのシャットダウン、有線/無線ネットワークからの切断、モデムケーブルの切断、特定の機能の無効化など）を実⾏する。
Basic[参考]セキュリティインシデントの影響低減のための活動は、インシデントの性質（例えば、サービス拒否攻撃、マルウェア感染、不正アクセスのような顕在化する脅威の差異）により内容が異なる場合がある。より詳細な影響低減活動の情報については、「インシデントハンドリングマニュアル」(JPCERT/CC, 2015年)、SP 800-61 Rev.1 (NIST, 2008年)等を参照することが望ましい。

A.16.1.6

情報セキュリティインシデントの分

情報セキュリティイ

析及び解決から得られた知識は，インシデントからの学

ンシデントが将来起こる可能性⼜は

習

その影響を低減するために⽤いなけ
ればならない。

H-Advanced ・組織は、第三者によるセキュリティ評価を実施する。

・組織は、セキュリティ評価を適切かつ計画的に実施するため、以下に⽰す事項を含めたセキュリティ評価計画を策定した上で、セ・セキュリティインシデントへの対応、
CPS.IP-7

内部及び外部からの攻撃に関する監視／キュリティ評価を実施する。
Advanced

測定／評価結果から教訓を導き出し、資-セキュリティ評価の対象とするセキュリティ対策-セキュリティ対策の有効性を図るために⽤いる評価⼿順-セキュリティ評価を実施する環境や実施体制-セキュリティ評価結果の取りまとめ⽅法とその活⽤⽅法

産を保護するプロセスを改善する。

・組織は、セキュリティ対策が正しく実装されているか及び運⽤されているかに加え、セキュリティ対策が期待された成果を上げていBasic

るかに関する定期的に評価（セキュリティ評価）を実施し、管理責任者へ報告する。
・組織は、セキュリティ評価の結果に基づき、セキュリティ対策の改善を実施する。

H-Advanced
Advanced

CPS.IP-8

・保護技術の有効性について、適切な・組織は、保護技術に関する新たな情報や保護技術に関する有効性に関する情報を、⾃動化されたメカニズムを通じて適切なパート
ナーと適時双⽅向で共有をすることができる環境を整備する。
・組織は、保護技術に関する新たな情報や保護技術に関する有効性に関する情報を、パートナーに適時共有することができる環境を整備する。
・組織は、保護技術に関する新たな情報や保護技術に関する有効性に関する情報を、適切なパートナーから⼊⼿できる環境を整備す

パートナーとの間で情報を共有する。

る。
Basic

[参考] 適切なパートナーを選定するに当たり、「情報セキュリティサービス基準適合サービスリスト」に記載された事業者のサービスを利⽤することが考えられる。また、パートナーには、情報処理安全確保⽀援⼠やCISSP等のセキュリティに係る資格を有している要員を含めることが望ましい。

D-3-51

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

対策要件ID

対策例

対策要件

・組織は、検知能⼒向上のため、様々な情報ソースをもとに、検知ルールの作成とチューニングを⾏う- 相関分析ルールの開発
H-Advanced- IPS/IDSの独⾃シグネチャの開発- 独⾃ブラックリストの開発
・組織／システムは、システムの通信やセキュリティアラートのパターンを分析し、典型的な通信パターン及びセキュリティアラート
を集約したプロファイルを作成、活⽤することで、誤検出の数や、検出漏れの数を減らすためのチューニングを⾏う。
・組織は、経営層等の組織内の然るべき要員に、定期的に組織及びシステムのセキュリティの状態を報告するプロシージャを整備し、運⽤する。組織は、報告の場を最新の脅威や残存するリスクに対する脅威を認識し、セキュリティを向上するための場とすることが望

CPS.DP-4

ましい。

・セキュリティ事象の検知プロセスを継・例えば、以下のような注意喚起情報の発信があった際等に、セキュリティに係るリスク増加の兆候がある場合、信頼できる情報源か

続的に改善する。

らの情報に基づいて、システムのモニタリング活動のレベルを上げる。

※以下のリストは、「セキュリティ対応組織 (SOC,CSIRT)

強化に向けたサイバーセキュリティ情報共有の「5W1H」 v1.0」(ISOG-J, 2017年)より引⽤している。
Advanced

・ 攻撃の特徴 攻撃の特徴➢ 攻撃形態、関連する通信の内容➢ 核⼼となる攻撃コード・ 攻撃によって残る痕跡➢ 被害を受けた後の通信内容➢ サーバやクライアントに残るログ➢ サーバやクライアントに残るその他特徴
・ 各セキュリティ製品における検知名

H-Advanced

・情報システムが、発⽣したセキュリティインシデントの形態，規模及び費⽤を定量化及び監視できるようにする⾃動的なメカニズムを備えることが望ましい。
・セキュリティインシデントの評価から得た脅威情報、脆弱性情報等は、再発する⼜は影響の⼤きいインシデントを特定するために利⽤することが望ましい。
・セキュリティインシデントへの対応活動から学んだ教訓を事業継続計画⼜は緊急事対応計画、教育／訓練に取り⼊れて、結果として・セキュリティインシデントへの対応か必要となる変更を実施する。NIST SP 800-61には、教訓を抽出する際の観点として下記が例として⽰されている。

CPS.IM-1 ら教訓を導き出し、セキュリティ運⽤プ
ロセスを継続的に改善する。

- 正確に何がいつ起きたか。
Basic- スタッフとマネジメント層がどの程度うまく事件に対処したか。⽂書化された⼿順に従ったか。それは適切だったか。
- すぐに必要になった情報は何か。
- 復旧を妨げたかもしれないステップや⾏動があったか。
- 次に同様の事件が起きた場合、スタッフやマネジメント層は、どのような違った⾏動をとるか。
- どのような是正措置があれば、将来にわたって同じ様な事件が起きるのを防げるか。
- 将来事件を検出、分析、軽減するために、どのようなツールやリソースが追加で必要となるか。

A.16.1.7

組織は，証拠となり得る情報の特証拠の収集

定，収集，取得及び保存のための⼿

H-Advanced ・情報システムが、重要なセキュリティインシデントに関する監査記録について処理するプロシージャを提供する。

・組織は、媒体、装置及び装置の状態（例えば、電源が⼊っているか、切れているか）に従って、証拠の特定、収集、取得及び保存の順を定め，適⽤しなければならな
い。

CPS.AN-2

・セキュリティインシデント発⽣後に、デジタルフォレンジックを実施する。

プロシージャを規定する。
Advanced

・組織は、重要なセキュリティインシデントについて、発⽣後に下記の証跡を保全することが望ましい。
- 識別情報（インシデントの発⽣場所／発⽣⽇時／対象となるモノのシリアル番号／ホスト名／MACアドレス／IPアドレス等）- 証跡を収集・処理したヒトの役職、名前、連絡先- 証跡保全処理の⽇時（タイムゾーンを含む）

Basic

A.17

A.17.1

A.17.1.1

組織は，困難な状況（adverse

事業継続マネジメン

情報セキュリティ継情報セキュリティ継

situation）（例えば，危機⼜は災トにおける情報セ

続

続の計画害）における，情報セキュリティ及キュリティの側⾯

び情報セキュリティマネジメントの継続のための要求事項を決定しなけ・組織は、情報システム、産業⽤制御システム及び関係するプロセスの管理者を含めて、有事における事業継続のための体制を構築す

・⾃然災害時における対応⽅針及び対応
CPS.RP-3

⼿順を定めている事業継続計画⼜は緊急事対応計画の中にセキュリティインシデ

・組織は，証拠となり得るデータを特定、収集、取得及び保存するためのプロシージャを定め、運⽤する。
る。事業継続に⽀障をもたらす事象が発⽣した際には、この体制が、運⽤を再確⽴するためのシステムの優先順位を決定する。

Advanced

・組織は、災害等と⽐較して被害状況が⾒えづらく事業継続計画の発動タイミングが不明確、インシデントの原因究明の重要性が⾼い等の特徴を有するセキュリティインシデントに特化した事業継続計画⼜は緊急事対応計画を策定し、運⽤する。
・組織は、セキュリティインシデントに特化した事業継続計画⼜は緊急事対応計画を策定する際、組織全体の事業継続に係る⽅針と合ントを位置づける。

致するような内容とすることを確実にする。

ればならない。

・組織は、社外の取引関係組織、エンドユーザー等の外部関係者にセキュリティインシデントの概要を説明し、具体的な被害状況の情・セキュリティインシデント発⽣時に被害を受けた設備にて⽣産される等して、報収集を⾏う。
Advanced※ CPS.CO-3と関連が予想されるモノ（製品）に対して適切な対応を⾏う。

・組織は、サプライチェーンに関与する外部関係者との間で、復旧活動及びインシデントの事後処理に関わる活動を調整する。その際、CPS.AM-2, CPS.AM-3にて記載している⽅法により、対応の対象となるモノを特定していることが望ましい。

CPS.RP-4 何らかの品質上の⽋落が⽣じていること

・⾃組織の業種等を考慮して、事業継続計画⼜は緊急事対応計画の中に、インシデント発⽣後の⽣産したモノへの対応について記載すBasic

るかを検討する。その際、事業継続計画⼜は緊急事対応計画は、必ずしもセキュリティインシデントを想定したものでない場合も許容されるものとする。

D-3-52

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.17.1.2

組織は，困難な状況の下で情報セ

情報セキュリティ継キュリティ継続に対する要求レベル

続の実施を確実にするための，プロセス，⼿対策要件ID

対策例

対策要件

・組織は、サプライチェーンにおけるセキュリティインシデントの対処を想定し、⾃組織とサプライチェーンに関与する他の組織との間で、インシデント対応活動を調整するプロシージャを整備する。
・組織は、インシデント対応要件が満たされるよう、⾃組織のインシデント対応プロセスと、⾃組織の事業継続上、重要な機能を有す
る外部サービスプロバイダのインシデント対応プロセスを調整する。

順及び管理策を確⽴し，⽂書化し，

H-Advanced ・組織は、脅威情報、脆弱性情報等と、個々のセキュリティインシデントへの対応を相互に関連付けることによって、状況認識を改善実施し，維持しなければならない。

する。

・セキュリティ運⽤プロセスにおいて、
CPS.RP-2 取引先等の関係する他組織との連携につ[参考] サプライチェーンにおけるセキュリティインシデントには、たとえば、システムコンポーネント、IT 製品、開発プロセスまたはいて⼿順と役割分担を定め、運⽤する。

開発者、流通過程または倉庫施設に対する侵害等がある。
・組織は、セキュリティインシデントにより第1の処理拠点の可⽤性が低下した場合に利⽤する代替処理拠点を定める。
・組織は、⾃組織の⼀次処理機能が利⽤できない場合に、⾃組織が定める⽬標復旧時間内に、代替処理拠点により所定のオペレーショ
Advanced

ンを移転・再開して、重要なミッション／業務機能を遂⾏できるようにするようサービス契約で規定する。
・組織は、同じ脅威に対する脆弱さを減らすために、⼀次処理拠点から離れた代替処理拠点を指定する。
・組織は、情報システム及び産業⽤制御システムのユーザにセキュリティインシデントの対応と報告に関する助⾔と⽀援を提供する、組織のインシデント対応能⼒に不可⽋な、インシデント対応⽀援リソース（ヘルプデスク、CSIRT等）を⾃組織に⽤意する。
・組織は、監督官庁、社外の取引関係組織、エンドユーザー等の外部関係者にセキュリティインシデントの概要を説明し、具体的な被・復旧活動について内部及び外部の利害
CPS.CO-3

Advanced

関係者と役員、そして経営陣に伝達する・組織は、サプライチェーンに関与する外部関係者との間で、復旧活動及びインシデントの事後処理に関わる活動を調整する。ここで該当する活動の例として、⽣産システムにおけるセキュリティインシデント発⽣時に⽣産されたモノの回収等が挙げられる。

点を、事業継続計画⼜は緊急事対応計画の中に位置づける。

害状況の情報収集を⾏う。

・組織は、⾃組織に影響を及ぼすようなセキュリティインシデント発⽣時における役割、責任、そうした役割と責任を割り当てられた
Basic

ヒトと連絡先情報を⽰す。
・組織は、事業継続に関わる意思決定の責任が割り当てられたヒトに対して、意思決定をより適切なものとするため、セキュリティイ
ンシデントの概要や被害状況に関する説明を実施する。

A.17.1.3

確⽴及び実施した情報セキュリティ

情報セキュリティ継継続のための管理策が，困難な状況

続の検証，レビューの下で妥当かつ有効であることを確及び評価実にするために，組織は，定められ・組織は、セキュリティインシデントへの対応から、事業継続のためのプロシージャ及び関連する対策の機能が、事業継続のより上位

CPS.IM-2 ら教訓を導き出し、事業継続計画⼜は緊

A.17.2.1

ければならない。
情報処理施設は，可⽤性の要求事項

冗⻑性情報処理施設の可⽤を満たすのに⼗分な冗⻑性をもっ性て，導⼊しなければならない。

Basic

急事対応計画を継続的に改善する。

た間隔でこれらの管理策を検証しな
A.17.2の⽅針と合致しているかを確認する。

・セキュリティインシデントへの対応か・セキュリティインシデントへの対応活動から学んだ教訓を事業継続計画⼜は緊急事対応計画、教育／訓練に取り⼊れて、結果として必要となる変更を実施する。

・情報システム及び産業⽤制御システムは、予備の容量／帯域幅／その他の予備リソース（ヒト／モノ／システム等）を管理して、⼤量の情報を送りつけるタイプのサービス拒否攻撃による影響を最⼩限に抑える。例えば、攻撃を受けているシステムが提供するサービ
スを、可⽤性の⽔準維持等の理由により停⽌できない場合、重要な機能を継続するため、以下のような対策をとる必要がある。
- 待機している予備システムへの⾃動的、あるいは、⼈⼿を介した移⾏・サービス拒否攻撃等のサイバー攻撃を受けた場合でも、資産を適切に保護し、- ネットワークアクセスからの攻撃を受けたシステム構成要素の、⾃動的あるいは⼈⼿を介した隔離
Advanced

CPS.DS-6 攻撃による影響を最⼩限にできるよう、・要求されたシステム性能を満たすことを確実にするために，資源の利⽤を監視・調整しなければならず，また，将来必要とする容量・能⼒を予測しなければならない。
・組織は、構成要素において⼗分なリソース（例:(a) 情報システムに対するサービス妨害攻撃の兆候を発⾒するための組織が定めた、モニタリングツールを使⽤する(b) 組織が定めた情報システム及び産業⽤制御システムのリソースをモニタリングして、効果的なサービス妨害攻撃を阻⽌するためのヒト、モト、システム）を確保する。

⼗分なリソースが確保されているかどうかを判断する
・情報システム及び産業⽤制御システムは、組織が定めたセキュリティ対策を実施することによって、組織が定めたタイプのサービス
Basic

拒否攻撃、またはそうした情報の情報源への参照のサービス拒否攻撃による影響から保護する、あるいはそうした影響を最⼩限に抑え、縮退運転を実施する機能を提供する。

Advanced

・IoT機器、通信機器、回線等に対し、
CPS.DS-7

作業、ソフトウェアの更新を⾏う。

D-3-53意する。
・組織は、情報システム及び産業⽤制御システムに要求されたシステム性能を満たすことを確実にするために、資源の利⽤を監視・調定期的な品質管理、予備機や無停電電源
装置の確保、冗⻑化、故障の検知、交換・組織は、⼀次電源が失われた場合に、情報システムの⻑期間使⽤可能な代替電源への切り替えを⽀援する、短期無停電電源装置を⽤整しなければならず、また、将来必要とする容量・能⼒を予測する。
Basic

・組織は、サポートユーティリティの不具合による停電、その他の故障から装置を保護する。
・組織は、データを伝送する⼜はサービスをサポートする通信ケーブル及び電源ケーブルの配線を傍受、妨害⼜は損傷から保護する。
・組織は、可⽤性及び完全性を継続的に維持することを確実にするために、装置を正しく保守する。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.18

A.18.1

A.18.1.1

各情報システム及び組織について，順守

法的及び契約上の要

適⽤法令及び契約上全ての関連する法令，規制及び契約

求事項の順守の要求事項の特定上の要求事項，並びにこれらの要求事項を満たすための組織の取組みを，明確に特定し，⽂書化し，また，最新に保たなければならない。

対策要件ID

対策例

対策要件

・⾃組織の事業活動において、セキュリティの⽂脈で関連するすべての法令、規制及び契約上の要求事項並びにこれらの要求事項を満たすための組織の取組みを明確に特定し、⽂書化する。
・要求事項を満たすための具体的な管理策及び具体的な責任についても定め、⽂書化する。
・管理者は、その事業の種類に関連した要求事項を満たすために、各⾃の組織に適⽤される全ての法令を特定する。

・個⼈情報保護法、不正競争防⽌法等のCPS.GV-2 国内外の法令や、業界のガイドラインを・組織が他の国で事業を営む場合には、管理者は、関連する全ての国における遵守を考慮する。
Basic[参考] 情報セキュリティ関連法令には、例えば、不正競争防⽌法、電⼦署名認証法、e-⽂書法、個⼈情報保護法、不正アクセス禁⽌法

考慮した社内ルールを策定する。

等がある。また、上記の法令等の遵守に際しては、関連各省庁から発出されているガイドライン⽂書等（例︓不正競争防⽌法︓「営業秘密管理指針」(経済産業省, 2019年)、「限定提供データに関する指針」(2019年, 1⽉)、個⼈情報保護法︓「個⼈情報の保護に関する法律についてのガイドライン(通則編)」(個⼈情報保護委員会, 2019年)、「個⼈情報の保護に関する法律についてのガイドライン(匿名加⼯情報編)」(個⼈情報保護委員会, 2017年)）を参照することが望ましい。

・各種法令や関係組織間だけで共有する・組織は、各システム及び組織について、データ保護に関連する全ての法規制及び契約上の要求事項、並びにこれらの要求事項を満たすための組織の取組みを識別、⽂書化し、最新に保つ。

データの扱いに関する取決め等によって・組織は、識別したルールの分類に従い、⾃組織のデータを適切に分類する。

要求されるデータの保護の⽔準を的確にCPS.GV-3 把握し、それぞれの要求を踏まえたデー

Basic

タの区分⽅法を整備し、ライフサイクルの保護を⾏う。

・組織は、モニタリング業務に関係する法制度、業界標準、顧客との契約事項等が存在するか、存在するならばどのような制約がある

・監視業務では、地域毎に適⽤される法
Basic

キュリティ事象を検知する。
A.18.1.2

知的財産権及び権利関係のあるソフ

知的財産権

トウェア製品の利⽤に関連する，法実施しなければならない。

かを認識する。
・組織は、上記で認識したルールに準拠してモニタリングを実施し、セキュリティ事象を検知する。
・組織は、⾃組織のモニタリング活動がルールに準拠したものかどうかを定期的にレビューし、確認する。
・⾃組織の事業活動において、セキュリティの⽂脈で関連するすべての法令、規制及び契約上の要求事項並びにこれらの要求事項を満たすための組織の取組みを明確に特定し、⽂書化する。
・要求事項を満たすための具体的な管理策及び具体的な責任についても定め、⽂書化する。

令，規制及び契約上の要求事項の順
守を確実にするための適切な⼿順をれる場合は、当該データを⾃組織では⾮保持扱いとするような対策等の実施を検討することも考えられる。(例︓割賦販売法におけるカード情報の⾮保持化)

全体に渡って区分に応じた適切なデータ

CPS.DP-2 令、通達や業界標準等に準拠して、セ・組織は、識別したルールの要求事項に従い、該当するデータを扱うシステム、モノ等に対策を実施する。対策の実装が困難と考えら・管理者は、その事業の種類に関連した要求事項を満たすために、各⾃の組織に適⽤される全ての法令を特定する。

・個⼈情報保護法、不正競争防⽌法等のCPS.GV-2 国内外の法令や、業界のガイドラインを・組織が他の国で事業を営む場合には、管理者は、関連する全ての国における遵守を考慮する。
Basic[参考] 情報セキュリティ関連法令には、例えば、不正競争防⽌法、電⼦署名認証法、e-⽂書法、個⼈情報保護法、不正アクセス禁⽌法

考慮した社内ルールを策定する。

等がある。また、上記の法令等の遵守に際しては、関連各省庁から発出されているガイドライン⽂書等（例︓不正競争防⽌法︓「営業秘密管理指針」(経済産業省, 2019年)、「限定提供データに関する指針」(2019年, 1⽉)、個⼈情報保護法︓「個⼈情報の保護に関する法律についてのガイドライン(通則編)」(個⼈情報保護委員会, 2019年)、「個⼈情報の保護に関する法律についてのガイドライン(匿名加⼯情報編)」(個⼈情報保護委員会, 2017年)）を参照することが望ましい。

・各種法令や関係組織間だけで共有する・組織は、各システム及び組織について、データ保護に関連する全ての法規制及び契約上の要求事項、並びにこれらの要求事項を満たすための組織の取組みを識別、⽂書化し、最新に保つ。

データの扱いに関する取決め等によって・組織は、識別したルールの分類に従い、⾃組織のデータを適切に分類する。

要求されるデータの保護の⽔準を的確にCPS.GV-3 把握し、それぞれの要求を踏まえたデー
タの区分⽅法を整備し、ライフサイクル
全体に渡って区分に応じた適切なデータの保護を⾏う。

D-3-54

Basic・組織は、識別したルールの要求事項に従い、該当するデータを扱うシステム、モノ等に対策を実施する。対策の実装が困難と考えられる場合は、当該データを⾃組織では⾮保持扱いとするような対策等の実施を検討することも考えられる。(例︓割賦販売法におけるカード情報の⾮保持化)

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.18.1.3

記録は，法令，規制，契約及び事業記録の保護上の要求事項に従って，消失，破対策要件ID

対策例

対策要件

・⾃組織の事業活動において、セキュリティの⽂脈で関連するすべての法令、規制及び契約上の要求事項並びにこれらの要求事項を満たすための組織の取組みを明確に特定し、⽂書化する。
・要求事項を満たすための具体的な管理策及び具体的な責任についても定め、⽂書化する。

壊，改ざん，認可されていないアクセス及び不正な流出から保護しなけ
ればならない。

・管理者は、その事業の種類に関連した要求事項を満たすために、各⾃の組織に適⽤される全ての法令を特定する。

・個⼈情報保護法、不正競争防⽌法等のCPS.GV-2 国内外の法令や、業界のガイドラインを・組織が他の国で事業を営む場合には、管理者は、関連する全ての国における遵守を考慮する。
Basic[参考] 情報セキュリティ関連法令には、例えば、不正競争防⽌法、電⼦署名認証法、e-⽂書法、個⼈情報保護法、不正アクセス禁⽌法

考慮した社内ルールを策定する。

等がある。また、上記の法令等の遵守に際しては、関連各省庁から発出されているガイドライン⽂書等（例︓不正競争防⽌法︓「営業秘密管理指針」(経済産業省, 2019年)、「限定提供データに関する指針」(2019年, 1⽉)、個⼈情報保護法︓「個⼈情報の保護に関する法律についてのガイドライン(通則編)」(個⼈情報保護委員会, 2019年)、「個⼈情報の保護に関する法律についてのガイドライン(匿名加⼯情報編)」(個⼈情報保護委員会, 2017年)）を参照することが望ましい。

・各種法令や関係組織間だけで共有する・組織は、各システム及び組織について、データ保護に関連する全ての法規制及び契約上の要求事項、並びにこれらの要求事項を満たすための組織の取組みを識別、⽂書化し、最新に保つ。

データの扱いに関する取決め等によって・組織は、識別したルールの分類に従い、⾃組織のデータを適切に分類する。

要求されるデータの保護の⽔準を的確にCPS.GV-3 把握し、それぞれの要求を踏まえたデー

Basic

タの区分⽅法を整備し、ライフサイクル

・組織は、識別したルールの要求事項に従い、該当するデータを扱うシステム、モノ等に対策を実施する。対策の実装が困難と考えられる場合は、当該データを⾃組織では⾮保持扱いとするような対策等の実施を検討することも考えられる。(例︓割賦販売法におけるカード情報の⾮保持化)

全体に渡って区分に応じた適切なデータの保護を⾏う。

・組織は、取引先、第三者的な監査機関等の関係する他組織からのリアルタイムでのニーズに柔軟に応じるため、下記の特徴を有した
証跡保管システムを利⽤する。
H-Advanced- 対象となる監査証跡の契約事項に対する適格性を⾼速で検証することができる- 取引先や委託を受けた監査機関等の許可を受けたエンティティのみがアクセスできる・⾃組織が関係する他組織及び個⼈との- 保管されているデータが、タイムスタンプや電⼦署名により証跡としての信頼性を有している

契約上の義務を果たしていることを証明

・組織は、システムによって⽣成された監査記録のうち⻑期にわたって取得する監査記録を確実に取得できるよう、対策を実施する。

CPS.SC-8 するための情報（データ）を収集、安全・システムは、監査記録を次の脅威から保護するため、粒度の⾼いアクセス制御等を監査記録を保存するモノ、システムに適⽤するこに保管し、必要に応じて適当な範囲で開⽰できるようにする。

とが望ましい。
Advanced- 記録されたメッセージ形式の変更- ログファイルの変更⼜は削除- ログファイル媒体の記録容量超過

Basic・構成要素（IoT機器、通信機器、回線
CPS.IP-4等）に対し、定期的なシステムバック
アップを実施し、テストする。

D-3-55

・組織は、法規制等により要求される事項を満たす事ができるよう、適切な期間の監査記録を保持する。

H-Advanced ・組織は、バックアップ情報を定期的にテストして、媒体の信頼性と情報の完全性を確認する。
Advanced

・組織は、⾃組織のシステムドキュメントのバックアップを定めたタイミングや頻度で実施する。
・組織は、保管拠点におけるバックアップ情報の機密性・完全性・可⽤性を保護する。

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.18.1.4

プライバシー及び PII の保護は，関プライバシー及び個連する法令及び規制が適⽤される場

⼈を特定できる情報

合には，その要求に従って確実にし（PII）の保護なければならない。

対策要件ID

対策例

対策要件

・⾃組織の事業活動において、セキュリティの⽂脈で関連するすべての法令、規制及び契約上の要求事項並びにこれらの要求事項を満たすための組織の取組みを明確に特定し、⽂書化する。
・要求事項を満たすための具体的な管理策及び具体的な責任についても定め、⽂書化する。
・管理者は、その事業の種類に関連した要求事項を満たすために、各⾃の組織に適⽤される全ての法令を特定する。

・個⼈情報保護法、不正競争防⽌法等のCPS.GV-2 国内外の法令や、業界のガイドラインを・組織が他の国で事業を営む場合には、管理者は、関連する全ての国における遵守を考慮する。
Basic[参考] 情報セキュリティ関連法令には、例えば、不正競争防⽌法、電⼦署名認証法、e-⽂書法、個⼈情報保護法、不正アクセス禁⽌法

考慮した社内ルールを策定する。

等がある。また、上記の法令等の遵守に際しては、関連各省庁から発出されているガイドライン⽂書等（例︓不正競争防⽌法︓「営業秘密管理指針」(経済産業省, 2019年)、「限定提供データに関する指針」(2019年, 1⽉)、個⼈情報保護法︓「個⼈情報の保護に関する法律についてのガイドライン(通則編)」(個⼈情報保護委員会, 2019年)、「個⼈情報の保護に関する法律についてのガイドライン(匿名加⼯情報編)」(個⼈情報保護委員会, 2017年)）を参照することが望ましい。

・各種法令や関係組織間だけで共有する・組織は、各システム及び組織について、データ保護に関連する全ての法規制及び契約上の要求事項、並びにこれらの要求事項を満たすための組織の取組みを識別、⽂書化し、最新に保つ。

データの扱いに関する取決め等によって・組織は、識別したルールの分類に従い、⾃組織のデータを適切に分類する。

要求されるデータの保護の⽔準を的確にCPS.GV-3 把握し、それぞれの要求を踏まえたデー

Basic

タの区分⽅法を整備し、ライフサイクル

暗号化機能は，関連する全ての協暗号化機能に対する定，法令及び規制を順守して⽤いな

規制ければならない。

れる場合は、当該データを⾃組織では⾮保持扱いとするような対策等の実施を検討することも考えられる。(例︓割賦販売法におけるカード情報の⾮保持化)

全体に渡って区分に応じた適切なデータ
A.18.1.5

・組織は、識別したルールの要求事項に従い、該当するデータを扱うシステム、モノ等に対策を実施する。対策の実装が困難と考えらの保護を⾏う。

・⾃組織の事業活動において、セキュリティの⽂脈で関連するすべての法令、規制及び契約上の要求事項並びにこれらの要求事項を満たすための組織の取組みを明確に特定し、⽂書化する。
・要求事項を満たすための具体的な管理策及び具体的な責任についても定め、⽂書化する。
・管理者は、その事業の種類に関連した要求事項を満たすために、各⾃の組織に適⽤される全ての法令を特定する。

・個⼈情報保護法、不正競争防⽌法等のCPS.GV-2 国内外の法令や、業界のガイドラインを・組織が他の国で事業を営む場合には、管理者は、関連する全ての国における遵守を考慮する。
Basic[参考] 情報セキュリティ関連法令には、例えば、不正競争防⽌法、電⼦署名認証法、e-⽂書法、個⼈情報保護法、不正アクセス禁⽌法

考慮した社内ルールを策定する。

等がある。また、上記の法令等の遵守に際しては、関連各省庁から発出されているガイドライン⽂書等（例︓不正競争防⽌法︓「営業秘密管理指針」(経済産業省, 2019年)、「限定提供データに関する指針」(2019年, 1⽉)、個⼈情報保護法︓「個⼈情報の保護に関する法律についてのガイドライン(通則編)」(個⼈情報保護委員会, 2019年)、「個⼈情報の保護に関する法律についてのガイドライン(匿名加⼯情報編)」(個⼈情報保護委員会, 2017年)）を参照することが望ましい。

・各種法令や関係組織間だけで共有する・組織は、各システム及び組織について、データ保護に関連する全ての法規制及び契約上の要求事項、並びにこれらの要求事項を満たすための組織の取組みを識別、⽂書化し、最新に保つ。

データの扱いに関する取決め等によって・組織は、識別したルールの分類に従い、⾃組織のデータを適切に分類する。

要求されるデータの保護の⽔準を的確にCPS.GV-3 把握し、それぞれの要求を踏まえたデー
タの区分⽅法を整備し、ライフサイクル
全体に渡って区分に応じた適切なデータの保護を⾏う。

D-3-56

Basic・組織は、識別したルールの要求事項に従い、該当するデータを扱うシステム、モノ等に対策を実施する。対策の実装が困難と考えられる場合は、当該データを⾃組織では⾮保持扱いとするような対策等の実施を検討することも考えられる。(例︓割賦販売法におけるカード情報の⾮保持化)

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.18.2

A.18.2.1

情報セキュリティ及びその実施の管情報セキュリティの情報セキュリティの理（例えば，情報セキュリティのたレビュー

独⽴したレビュー

めの管理⽬的，管理策，⽅針，プロ対策要件ID

H-Advanced ・組織は、第三者によるセキュリティ評価を実施する。

・組織は、セキュリティ評価を適切かつ計画的に実施するため、以下に⽰す事項を含めたセキュリティ評価計画を策定した上で、セ・セキュリティインシデントへの対応、

セス，⼿順）に対する組織の取組みについて，あらかじめ定めた間隔
で，⼜は重⼤な変化が⽣じた場合に，独⽴したレビューを実施しなけ

対策例

対策要件

CPS.IP-7

内部及び外部からの攻撃に関する監視／キュリティ評価を実施する。
Advanced

測定／評価結果から教訓を導き出し、資-セキュリティ対策の有効性を図るために⽤いる評価⼿順-セキュリティ評価を実施する環境や実施体制-セキュリティ評価結果の取りまとめ⽅法とその活⽤⽅法

産を保護するプロセスを改善する。

ればならない。

-セキュリティ評価の対象とするセキュリティ対策

・組織は、セキュリティ対策が正しく実装されているか及び運⽤されているかに加え、セキュリティ対策が期待された成果を上げていBasic

るかに関する定期的に評価（セキュリティ評価）を実施し、管理責任者へ報告する。
・組織は、セキュリティ評価の結果に基づき、セキュリティ対策の改善を実施する。

A.18.2.2

管理者は，⾃分の責任の範囲内にお情報セキュリティのける情報処理及び⼿順が，適切な情ための⽅針群及び標報セキュリティのための⽅針群，標準の順守

準類，及び他の全てのセキュリティ

・組織は、産業⽤制御システムのようにモノの制御等を伴うような、フィジカル空間に影響を及ぼす可能性のある新たな機器やシステムを開発する場合には、従来の製品や他の事故事例を収集・分析し、セキュリティの観点も含めてセーフティに関わるハザードを特定する。
・組織は、主に産業⽤制御システムにおいて、ハザードによって危害に⾄る状況を分析し、発⽣しやすさや被害の深刻度を明らかにす

要求事項を順守していることを定期

H-Advanced

的にレビューしなければならない。

ることで、⽣じるリスクを⾒積もる。その際、セキュリティの問題に起因するハザードの有無を確認することが望ましい。
・組織は、産業⽤制御システム、またはそれが稼働する環境に⼤きな変化があった場合、もしくは産業⽤制御システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。
[参考] セーフティ設計におけるハザードの特定と分析については、「つながる世界のセーフティ＆セキュリティ設計⼊⾨」(IPA, 2015年)の4.2にて具体的な⼿法が記載されており、参照することが可能である。
・組織は、情報システム、または情報システムが稼働する環境に⼤きな変化があった場合（新たな脅威や脆弱性の特定を含む）、もし
くは情報システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。
・組織は、新たにIoT機器を利⽤したシステムを企画・設計する場合、既存の資産や新たに導⼊するシステムにおける守るべき資産を特定し、システムの利⽤⽤途や構成に応じて、セキュリティ対策をまとめる。特に、ライフサイクルの⻑いモノ、システムや、⾼い可⽤

・構成要素の管理におけるセキュリティ

Advanced

ルールが、実装⽅法を含めて有効かを確性を求められるモノ、システムを扱う場合は、設計以前の段階におけるセキュリティ対策の考慮が特に重要である。
・組織は、調達する製品・サービスに対するセキュリティ対策を検討する際、当該製品・サービスの重要度に対策の⽔準が⾒合うもの
であることを確実にする。

認するため、定期的にリスクアセスメン
トを実施する。

[参考] システム及びモノにおけるセキュリティの要求仕様を検討するにあたり、「情報システムに係る政府調達におけるセキュリティ

CPS.RA-4 ・IoT機器及びIoT機器を含んだシステ

要件策定マニュアル」(NISC, 2015年)、「⾮機能要求グレード」(IPA, 2018年)を参考にすることが可能である。
・組織は、情報システム及び産業⽤制御システムに対するセキュリティリスクアセスメントのプロセスを定め，定期的（例えば、重要ムの企画・設計の段階から、受容できな

度の⾼い情報システムは年に1回）に適⽤する。

い既知のセキュリティリスクの有無を、- セキュリティのリスク基準を確⽴し，維持する。

セーフティに関するハザードの観点も踏- 以下の⽅法によりセキュリティリスクを特定する。

まえて確認する。

1) 分析対象を明確化する
2) インシデント(周辺状況の変化を含む)並びにこれらの原因を特定する- 以下の⽅法により、セキュリティリスクを分析する。
1) 上記で特定されたリスクが実際に⽣じた場合に起こり得る結果について評価する
2) 上記で特定されたリスクの現実的な起こりやすさについて評価する
Basic- リスク基準を参照し、リスクのレベルを決定し、優先順位付けする・組織は，セキュリティリスクアセスメントのプロセスを⽂書化し、保管する。
・組織は、システムにセキュリティインシデントが発⽣した際に想定される被害の⼤きさやセキュリティインシデントが発⽣する蓋然性（例︓インターネットにつながっているか）、リスクアセスメント実施に係る⼯数等の観点を考慮し、システムを優先順位化してリ
スクアセスメントの頻度等を設定することが望ましい。
[参考] セキュリティリスクアセスメントの⼿法として、「資産ベース」の⼿法及び「事業被害ベース」の⼿法があることが知られている。資産ベースの⼿法でリスクアセスメントを実施する場合は「中⼩企業の情報セキュリティガイドライン 第3版」（IPA, 2019年）
や「制御システムのセキュリティリスク分析ガイド 第2版」(IPA, 2018年) 等を、事業被害ベースの⼿法を実施する場合は「制御シス
テムのセキュリティリスク分析ガイド 第2版」(IPA, 2018年)等を参照することができる。

D-3-57

ISO/IEC 27001:2013 附属書A
管理策ID

サイバー・フィジカル・セキュリティ対策フレームワーク
要求事項

A.18.2.3

情報システムを，組織の情報セキュ技術的順守のレ

リティのための⽅針群及び標準の順

ビュー

守に関して，定めに従ってレビュー

対策要件ID

対策例

対策要件

・組織は、産業⽤制御システムのようにモノの制御等を伴うような、フィジカル空間に影響を及ぼす可能性のある新たな機器やシステムを開発する場合には、従来の製品や他の事故事例を収集・分析し、セキュリティの観点も含めてセーフティに関わるハザードを特定する。
・組織は、主に産業⽤制御システムにおいて、ハザードによって危害に⾄る状況を分析し、発⽣しやすさや被害の深刻度を明らかにすしなければならない。
H-Advanced

ることで、⽣じるリスクを⾒積もる。その際、セキュリティの問題に起因するハザードの有無を確認することが望ましい。
・組織は、産業⽤制御システム、またはそれが稼働する環境に⼤きな変化があった場合、もしくは産業⽤制御システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。
[参考] セーフティ設計におけるハザードの特定と分析については、「つながる世界のセーフティ＆セキュリティ設計⼊⾨」(IPA, 2015年)の4.2にて具体的な⼿法が記載されており、参照することが可能である。
・組織は、情報システム、または情報システムが稼働する環境に⼤きな変化があった場合（新たな脅威や脆弱性の特定を含む）、もし
くは情報システムのセキュリティ状態に影響を与える他の状況が発⽣した場合に、リスクアセスメントを更新する。
・組織は、新たにIoT機器を利⽤したシステムを企画・設計する場合、既存の資産や新たに導⼊するシステムにおける守るべき資産を特定し、システムの利⽤⽤途や構成に応じて、セキュリティ対策をまとめる。特に、ライフサイクルの⻑いモノ、システムや、⾼い可⽤

・構成要素の管理におけるセキュリティ

Advanced

ルールが、実装⽅法を含めて有効かを確性を求められるモノ、システムを扱う場合は、設計以前の段階におけるセキュリティ対策の考慮が特に重要である。
・組織は、調達する製品・サービスに対するセキュリティ対策を検討する際、当該製品・サービスの重要度に対策の⽔準が⾒合うもの
であることを確実にする。

認するため、定期的にリスクアセスメン
トを実施する。

[参考] システム及びモノにおけるセキュリティの要求仕様を検討するにあたり、「情報システムに係る政府調達におけるセキュリティ

CPS.RA-4 ・IoT機器及びIoT機器を含んだシステ

要件策定マニュアル」(NISC, 2015年)、「⾮機能要求グレード」(IPA, 2018年)を参考にすることが可能である。
・組織は、情報システム及び産業⽤制御システムに対するセキュリティリスクアセスメントのプロセスを定め，定期的（例えば、重要ムの企画・設計の段階から、受容できな

度の⾼い情報システムは年に1回）に適⽤する。

い既知のセキュリティリスクの有無を、- セキュリティのリスク基準を確⽴し，維持する。

セーフティに関するハザードの観点も踏- 以下の⽅法によりセキュリティリスクを特定する。

まえて確認する。

1) 分析対象を明確化する
2) インシデント(周辺状況の変化を含む)並びにこれらの原因を特定する- 以下の⽅法により、セキュリティリスクを分析する。
1) 上記で特定されたリスクが実際に⽣じた場合に起こり得る結果について評価する
2) 上記で特定されたリスクの現実的な起こりやすさについて評価する
Basic- リスク基準を参照し、リスクのレベルを決定し、優先順位付けする・組織は，セキュリティリスクアセスメントのプロセスを⽂書化し、保管する。
・組織は、システムにセキュリティインシデントが発⽣した際に想定される被害の⼤きさやセキュリティインシデントが発⽣する蓋然性（例︓インターネットにつながっているか）、リスクアセスメント実施に係る⼯数等の観点を考慮し、システムを優先順位化してリ
スクアセスメントの頻度等を設定することが望ましい。
[参考] セキュリティリスクアセスメントの⼿法として、「資産ベース」の⼿法及び「事業被害ベース」の⼿法があることが知られている。資産ベースの⼿法でリスクアセスメントを実施する場合は「中⼩企業の情報セキュリティガイドライン 第3版」（IPA, 2019年）
や「制御システムのセキュリティリスク分析ガイド 第2版」(IPA, 2018年) 等を、事業被害ベースの⼿法を実施する場合は「制御シス
テムのセキュリティリスク分析ガイド 第2版」(IPA, 2018年)等を参照することができる。

D-3-58

添付Ｅ 用語集（1）

CC（Common Criteria）
セキュリティの観点から、情報技術に関連した製品及びシステムが適切に設計され、その設計が正しく実装されていることを評価するための仕組み。国際規格
ISO/IEC 15408 に規定されている。

（2）

CSIRT（Computer Security Incident Response Team）
コンピューターセキュリティに関連するインシデントへの対応を支援する目的で確立される機能；CIRT(Computer Incident Response Team)や、CIRC(Computer
Incident Response Center, Computer Incident Response Capability)とも呼称されることがある。[NIST SP 800-61 Rev.2]（3）

CSMS（Cyber Security Management System）
産業用オートメーション及び制御システムを対象としたサイバーセキュリティのマネジメントシステム。国際規格 IEC 62443-2-1 に要求事項が定められている。

（4）

EDSA（Embedded Device Security Assurance）認証
IEC 62443-4-2 に基づいて、米国 ISCI（ISA Security Compliance Institute）が開発し、運営する、制御機器のセキュリティ保証に関する認証制度。ソフトウェア
開発の各フェーズにおけるセキュリティ評価、セキュリティ機能の実装評価、通信の堅牢性テストという３つの観点から評価を実施する。

（5）

IDS（Intrusion Detection System）
サーバやネットワークの外部との通信を監視し、攻撃や侵入の試み等不正なアクセスを検知して管理者にメール等で通報するシステム。

（6）

IoT（Internet of Things）
フィジカル空間とサイバー空間からの情報を処理し、反応するサービスと相互接続されたエンティティ、ヒト、システムおよび情報資源のインフラストラクチャ。
[ISO/IEC 20924:2018 を本フレームワークの用語に合うよう一部改変]（7）

IoT 機器センシング、あるいはアクチュエーティングを通じてフィジカル空間と相互作用し、通信する IoT システムのエンティティ。
注記 IoT 機器とはセンサまたはアクチュエータを指す。

E-1

（8）

IPS（Intrusion Prevention System）
サーバやネットワークの外部との通信を監視し、侵入の試み等不正なアクセスを検知して攻撃を未然に防ぐシステム。

（9）

ISMS（Information Security Management System）
組織のマネジメントとして、自らのリスクアセスメントにより必要なセキュリティレベルを決め、プランを持ち、資源を配分して、システムを運用するための仕組み。国際規格 ISO/IEC 27001 に要求事項が定められている。

（10）

ITSMS（IT Service Management System）
IT サービス提供者が、提供する IT サービスを PDCA サイクルに基づいて管理することで、品質の維持管理及び改善を行っていくための仕組み。国際規格 ISO/IEC
20000-1 に満たすべき要求事項が定められている。

（11）

SOC（Security Operation Center）
セキュリティインシデントの検出、分析、対応、報告、防止を目的とした主にセキュリティアナリストから構成されるチーム。[RFC 2350, CNSS Instruction
No. 4009]（12）

アクチュエータIoT の文脈においては、正当な入力に応答して物理的なエンティティの 1 つ以上の特性を変更する IoT 機器を指す。[ISO/IEC 20924:2018]（13）

エンティティ
物理的あるいは非物理的に、明確な存在を持つもの。[ISO/IEC 15459-3:2014]（14）

可用性（Availability）
認可されたエンティティが要求したときに、アクセス及び使用が可能である特性。[JIS Q 27000:2014]

（15）

監査
組織内においてサイバーセキュリティ対策が適切に実施されているかどうかを判定するために、監査証拠を収集し、それを客観的に評価するための、体系的で、独立し、文書化したプロセスのこと。監査は、内部監査（第一者）又は外部監査（第二者・第三者）のいずれでも、又は複合監査（複数の分野の組合せ）でもあり得る。
[JIS Q 27000:2014]

E-2

（16）

完全性（Integrity）
正確さ及び完全さの特性。[JIS Q 27000:2014]（17）

危害（harm）
人への傷害若しくは健康障害，又は財産及び環境への損害。[JIS Z 8051:2015]

（18）

機能安全
EUC（被制御機器）及び EUC 制御系の全体に関する安全のうち、E/E/PE（電気・電子・プログラマブル電子の）安全関連系及び他リスク軽減措置の正常な機能に依存する部分。[IEC 61508-4 Ed.2]（19）

機密性（Confidentiality）
認可されていない個人、エンティティ又はプロセスに対して、情報を使用させず、
また、開示しない特性。[JIS Q 27000:2014]

（20）

脅威
システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因。[JIS Q 27000:2014]

（21）

公開鍵
エンティティが所有する非対称鍵ペアの鍵で、公開できるもの。
注記 非対称署名システムの場合、公開鍵は検証変換を定義する。非対称暗号化シ
ステムの場合、公開鍵は暗号化変換を定義する。“公知”の鍵は、全世界的に利用可能である必要はない。鍵は、既定のグループの全メンバーに利用可能であるだけでもよい。[JIS X 19790:2007]

（22）

サービス
組織と顧客との間で必ず実行される，少なくとも一つの活動を伴う組織のアウトプット。[JIS Q 9000:2006]（23）

サービスプロバイダー
一般的に、公的機関や、その他の営利組織に対するネットワーク運用に関する基
本的なサービスまたは付加価値サービスのプロバイダー。[NIST IR 4734]

E-3

（24）

サイバー空間コンピュータシステムやネットワークの中に広がる仮想空間。デジタル化されたデータを活用して価値を生み出す。

（25）

サイバー攻撃（Cyber attack）
資産の破壊、暴露、改ざん、無効化、盗用、又は認可されていないアクセス若しく
は使用の試み。[JIS Q 27000:2014]（26）

サイバーセキュリティ
電子データの漏えい・改ざん等や、期待されていた IT システムや制御システム等の機能が果たされないといった不具合が生じないようにすること。

（27）

サプライチェーン
複数の開発者間でリンクされたリソース・プロセスで、製品とサービスについて、調達に始まり設計・開発・製造・加工・販売および購入者への配送に至る一連の流れ。[ISO 28001:2007、NIST SP 800-53 Rev.4]（28）

サプライヤー
製 品 ま た は サ ー ビ ス の供 給 の た め に 買 い 手 と合 意 し た 組 織 あ る い は個 人 。
[ISO/IEC 27036-1:2014]（29）

産業用制御システム
製造、製品の出荷、生産、および販売などの産業プロセスを制御するのに使用される情報システム。産業用制御システムには、地理的に分散している資産を管理するのに使用される監視制御データ収集システム（SCADA）、分散制御システム（DCS）、および前二者より小規模ながらローカルなプロセスをプログラマブル論理制御装
置（PLC）の利用を通じて制御するシステムなどがある。[NIST SP 800-53 Rev.4]

（30）

識別子
アイデンティティに関わる特定の文脈において、あるエンティティを他のエンテ
ィティと明確に区別する情報。[ISO/IEC 20924:2018]

（31）

冗長化
機能単位が要求された機能を遂行するために十分な手段、又はデータが情報を表すのに十分な手段のほかに、別の手段を用意すること。[JIS X 0014:1999]

E-4

（32）

真正性（Authenticity）
エ ン テ ィ テ ィ は 、 そ れが 主 張 す る と お り の もの で あ る と い う 特 性 。 [JIS Q
27000:2014]（33）

信頼（Trust）
利用者又は他の利害関係者がもつ、製品又はシステムが意図したとおりに動作するという確信の度合い。[JIS X 25010:2013]（34）

信頼性（Trustworthiness）
信頼又は信用に値する特性。IoT の文脈では、IoT 実装のライフサイクル全体の中でセキュリティ、プライバシー、セーフティ、リライアビリティ及びレジリエンスを保証するための、信頼または信用に値する特性を指す。[ISO/IEC 20924:2018]（35）

信頼性の基点（Basis of trustworthiness）
信頼性を確保するための観点。

（36）

ステークホルダー
意思決定若しくは活動に影響を与え、影響されることがある又は影響されると認知している、あらゆる人又は組織。[JIS Q 27000:2014]

（37）

脆弱性
一つ以上の脅威によって付け込まれる可能性のある、資産又は管理策の弱点。[JISQ 27000:2014]（38）

脆弱性修正措置計画
組織のシステムが直面する 1 つ以上の脅威または脆弱性を対象に、修正措置を実施するための計画。この計画には、通常、脅威や脆弱性を取り除くためのオプショ
ンと、修正措置を実施する優先順位が含まれる。[NIST SP 800-40 Ver.2.0]

（39）

生体認証
指紋や静脈、眼球の虹彩、声紋等の身体的特徴によって本人確認を行う認証方式の
こと。

（40）

セーフティ（安全性）
危害を引き起こすおそれがあると思われるハザードから守られている状態。[JIS Z
8501:2015]

E-5

（41）

セキュリティインシデント
望まない単独若しくは一連のセキュリティ事象、又は予期しない単独若しくは一連のセキュリティ事象であって、事業運営を危うくする確率及びセキュリティを脅かす確率が高いもの。

（42）

セキュリティ運用プロセス
検知したセキュリティインシデントに即座に対応できるよう、あらかじめ対応手
順を明確に文書化したもの。

（43）

セキュリティ管理責任者
組織のセキュリティマネジメントシステムの運用及び管理に係る最終責任者。

（44）

セキュリティ事象
セキュリティポリシーへの違反若しくは管理策の不具合の可能性、又はセキュリ
ティに関係し得る未知の状況を示す、システム、サービス又はネットワークの状態に関連する事象。

（45）

セキュリティ対応組織
組織の内部及び外部の情報源から脆弱性情報を継続的に収集・分析し、監視対象とするセキュリティインシデントへの適切な対処方法（優先順位、範囲等)を判断す
る体制のこと。セキュリティ対応組織は、SOC, CSIRT といった組織や機能を包含する。[セキュリティ対応組織(SOC,CSIRT)強化に向けたサイバーセキュリティ
情報共有の「5W1H」 v1.0（日本セキュリティオペレーション事業者協議会(ISOG-J), 2017 年）、セキュリティ対応組織の教科書 v2.1（ISOG-J, 2018 年）、
セキュリティ対応組織の教科書 ハンドブック v1.0（ISOG-J, 2018 年）、セキュリ
ティ対応組織の教科書 成熟度セルフチェックシート v2.2（ISOG-J, 2019 年）]（46）

セキュリティ・バイ・デザイン
機器やシステムの企画・設計段階からセキュリティ確保するための方策（例：脅威分析、セキュリティアーキテクチャ、外部仕様分析、プライバシー影響評価)を組
み込むこと。

（47）

セキュリティポリシー
トップマネジメントによって正式に表明された組織のセキュリティに係る意図や方向付け及び、そのような意図や方向付けに基づいてセキュリティ対策を行うた
めに組織が定めた規定。

E-6

（48）

セキュリティリスク
セキュリティに関連した不具合が生じ、それによって自組織や取引先等の関係する他組織の目的、あるいは社会全体に何らかの影響が及ぶ可能性。

（49）

セキュリティルール
発生しうるセキュリティリスクに対する対応策の内容を明確にし、対応の範囲や優先順位を定めたもの。

（50）

センサ
IoT の文脈では、1 つ以上の物理的なエンティティの 1 つ以上の特性を測定し、ネットワーク経由で送信可能なデジタルデータを出力する IoT 機器を指す。
[ISO/IEC 20924:2018]

（51）

相互認証
認証方式の 1 つで、双方の当事者が互いに相手の正当性を認証する方式。

（52）

耐タンパーデバイス
内部構造や記憶しているデータ等の改ざん・読み出しの困難さを備えるデバイス。

（53）

タイムスタンプ
共通の時刻基準に関して、ある時点を表す時変パラメータ。[ISO/IEC 180141:2008]（54）

多要素認証（Multifactor authentication)
2 つ以上の異なる要素を使用する認証。要素には、以下をのものが含まれる：①被認証者が知っていること（例：パスワード・暗証番号）②被認証者が持っているもの（例：暗号認証デバイス・トークン）③被認証者であること（例：生体認証情報）。
[NIST SP 800-53 Rev.4]

（55）

電子証明書
認証局(CA)が発行する、デジタル署名解析用の公開鍵が真正であることを証明す
るデータ。

（56）

認証（Authentication）
エンティティの主張する特性が正しいという保証の提供。[JIS Q 27000:2014]

E-7

（57）

ハザード
危害の潜在的な源。[JIS Z 8051:2015]（58）

ハッシュ関数
任意のビット列（通常は上限が存在）を固定長のビット列に写像する関数であって、以下の 2 つの性質を満たすもの：-与えられた出力値について、出力値に対応する入力値を見つけることが計算上不可能であること-与えられた入力値について、同じ出力値に対応する 2 つ目の入力値を見つけることが計算上不可能であること [ISO/IEC 10118-1:2016]

（59）

ハッシュ値
ハッシュ関数の出力であるビット列。 [ISO/IEC 27037:2012]

（60）

秘密鍵
暗号化と復号に異なる鍵を用いる公開鍵暗号方式で使用される一対の鍵の組のう
ち、他者に対して公開しない鍵。

（61）

ファイアウォール
あるコンピュータやネットワークと外部ネットワークの境界に設置され、内外の通信を中継・監視し、外部の攻撃から内部を保護するためのソフトウェアや機器、システム等のこと。

（62）

フィジカル空間
現実の世界。サイバー空間と物質から構成される世界とを区別するための表現。

（63）

プロセス
インプットをアウトプットに変換する、相互に関連する又は相互に作用する、論
理的又は物理的な一連の活動。

（64）

プロトコル
複数の主体が滞りなく信号やデータ、情報を相互に伝送できるよう、あらかじめ決められた約束事や手順の集合のこと。

E-8

（65）

マルウェア（Malware）
許可されていないプロセスの実施を試みることによって、情報システムの機密性・完全性・可用性に悪影響をもたらすソフトウェアまたはファームウェア。[NIST SP
800-53 Rev.4]
セキュリティ上の被害を及ぼすウイルス、スパイウエア、ボット等の悪意を持ったプログラムを指す総称。

（66）

マルチステークホルダー・プロセス
3 者以上のステークホルダーが、対等な立場で参加･議論できる会議を通し、単体
もしくは 2 者間では解決の難しい課題解決のために、合意形成などの意思疎通を図るプロセス。[内閣府]

（67）

目的
達成する結果。[JIS Q 27000:2014]

（68）

リスク
目的に対する不確かさの影響。[JIS Q 27000:2014]

（69）

リスク源
それ自体又はほかとの組合せによって、リスクを生じさせる力を本来潜在的にもっている要素。[JIS Q 31000:2010]（70）

リスクマネジメント
リスクについて、組織を指揮統制するための調整された活動。[JIS Q 31000:2010]（71）

レジリエンスシステムが以下の状態を維持できること：①悪条件下にあっても、あるいは負荷が掛かった状態であっても、（顕著に低下した状態または無力化したような状態に陥ったとしても）稼働して、基礎的な運用能力を維持すること②ミッションニーズと平仄が合う時間内に、有効的に運用されている状態に復旧すること。[NIST SP
800-53 Rev.4]E-9