セキュリティ・可用性チェックシート（詳細項目版）
技術的セキュリティ対策
要素分類

情報を他人 認証から守る（機
密性保護）

推奨レベル
対策項目

リスクの詳細

レベル１

パスワードを利用する

パスワードが推測可能な容易な ・パスワードを利用しない。
物になっていると、第三者がシス
テムに不正アクセスし、情報を漏
えいしてしまうおそれがある。

1

ネットワーク上の機器を識別する 不正な情報機器がネットワークに接続されると、情報が漏えいするおそれがある。

2

・未登録や不正なコンピュータの接続を検出できない。

本件業務のセキュリティ仕様

レベル２

レベル３

レベル４

・初期パスワードをすみやかに変更する。
・定期的（三ヶ月毎）に、パスワードを変更する。
・同一利用者が複数のアカウントをもつ場合は、それ・定期的（六ヶ月毎）に、パスワードを変更する。
・パスワードは、複雑なもの（八桁以上、パスワード世 ぞれ異なるパスワードを設定する。また、一つのパス・パスワードは、複雑なもの（八桁以上）を設定する。 代管理、三種類以上の文字種の使用）を設定する。 ワードから他方が推測しやすいパスワードを設定しな・パスワードは、管理者を含め誰にも教えない。
い。
・パスワードを書き留めたり、コンピュータ上のファイル・機密性が高い部署では、生体認証を使用する。
に保管したり、メールで送信したりしない。やむを得ず紙片等にパスワードを記載する必要がある場合には、
そのパスワードが容易に第三者に見られることがない
ように保管する。
・自分のパスワードが他人に漏えいした可能性や疑いがある場合は、パスワードを変更する。
・未登録や不正なコンピュータの社内ネットワークへの ・未登録や不正なコンピュータの社内ネットワークへの ・未登録や不正なコンピュータの社内ネットワークへの接続を、検出して警報をあげる。
接続を、検出し、警告して、接続を防止する。
接続を検出・警告し、接続を防止する。
・接続コンピュータのログを取得する。
・接続コンピュータのログを取得する。
・正常な未登録のコンピュータを、自動的に登録する。

該当レベル

対策仕様

JISQ項番 参考文献（JIS Q 27002：2006以外）
A.11.3.1

A.11.4.3

・一台のコンピュータに対して、一人しか使用させな・生体認証（静脈・指紋認証など）を利用して、利用者い。
の本人認証を実施する。
・特定のカードやログインの二重化などで、本人認証 ・二要素認証を実施し、認証強度を上げる。
を実施する。
・認証ログを取得する。
・認証ログを取得する。
・認証機能を使用して、コンピュータと業務ソフトウェア ・生体認証を利用してパスワードを使わない。
を利用する。

A.11.5.2

4

利用者が本人であることを証明 利用者の身分が証明できない ・一台のコンピュータを一つのアカウントで、複数の利 ・Windowsのアカウント、パスワードを利用して、利用し承認すると、権限がない利用者が情報を 用者が使用する。
者を識別する。
不正に取得して社外へ漏えいさ ・認証ログは取得しない。
・一台のコンピュータを複数の利用者では使用させな
せるおそれがある。
い。
・認証ログを取得する。
業務ソフトウェアや機器認証で使 パスワードの管理がされていな ・パスワードを管理しない。
・認証機能を使用して、コンピュータを利用する。
うパスワードを管理する
いと、不正な活動や情報漏えいが確認できないおそれがある。
業務ソフトウェアの起動時間を監 業務ソフトウェアが終了されずに ・業務ソフトウェアの未使用時間を監視しない。
視する
放置されていると、情報が盗まれるおそれがある。

・業務ソフトウェアの未使用時間を監視する。
・一定時間以上利用されないセッションを監視する。

・業務ソフトウェアの未使用時間を監視し、警告する。 ・業務ソフトウェアの未使用時間を監視し、警告して、遮断する。

A.11.5.5

5情報へのアクセスを管理する

誰もが情報を閲覧できるように ・サーバ上の情報に誰でもアクセスできる。
なっていると、情報の改ざんや漏 ・情報を機密レベルに分類しない。
えいのおそれがある。
・情報にアクセスした履歴を取得しない。

・サーバ上の情報にアクセス権をつけて、権限のない ・情報を重要度別（（秘）(社外秘）(関係者外秘）など） ・アクセスの履歴を定期的に監査して、情報の持ち出
利用者は使用できないようにする。
に分類して、重要度別に利用者やグループ単位でア しに問題があれば是正する。
・情報にアクセスした履歴を取得しない。
クセス権をつけて管理する。
・情報にアクセスした履歴を取得する。
・印刷物を減らすことにより、管理する対象を減らし、情報漏えいのリスクを減らす。
・印刷物に対して、誰がいつ印刷したものか、わかるよ
うに「すかし」などを挿入する。

A.11.6.1

コンピュータや電子媒体を暗号化する

情報機器が盗難又は紛失される ・データを暗号化しない。
と、情報が漏えいするおそれがある。

・社外に持ち出すコンピュータ、電子媒体（USBメモリ、 ・社内のコンピュータ、社外に持ち出すコンピュータ、 ・社内のコンピュータ、社外に持ち出すコンピュータ、
外付けHDD、CD/DVDなど）の中のデータを暗号化す 電子媒体（USBメモリ、外付けHDD、CD/DVDなど）に 電子媒体（USBメモリ、外付けHDD、CD/DVDなど）にる。
対して暗号化をする。
対して暗号化をする。
・復号時には認証が毎回必要となる。

A.12.3.1

ネットワークを流れる情報を暗号 ネットワーク上のデータが盗聴さ ・社外に送るデータは平文で送信する。
化する
れると、情報が漏えいするおそ ・Webの通信は暗号化（SSL通信）しない。
れがある。

・Webの通信を暗号化（SSL通信など）する。

A.12.3.1

暗号鍵の強度を上げる

暗号の複雑さが低いと、簡単に ・暗号化しない。
復号化されて情報が漏えいする
おそれがある。

・公に認知されているアルゴリズムで暗号化する。
・鍵長が64ビット以上の暗号化を使用する（AES 64
ビット以上など）。

・社外に出る情報を、事前に社内で暗号化して送信す ・コンピュータから発信する情報(メールの添付データ
る。
など）を、社内、社外にかかわらず、すべて事前に暗・Webの通信を暗号化（SSL通信など）する。
号化して送信する。
・Webの通信を暗号化（SSL通信など）する。
・公に認知されているアルゴリズムで暗号化する。
---> 前レベルと同様
・鍵長が128ビット以上の暗号化を使用する（AES 128
ビット以上など）。

暗号鍵を管理する

暗号鍵が外部に流出すると、暗 ・暗号化しない。
号化したデータを復号されて、情報が漏えいするおそれがある。

・暗号鍵を、平文（通常の文字列）のままソフトウェア
上で管理する。

A.12.3.2

侵入検出（IDS/IPS）

社外ネットワークからの攻撃や不正侵入を防御する

サーバやネットワーク機器に対 ・不正アクセスは考慮しない。
する侵入行為や攻撃を受けると、データが改ざんされたり、情報が漏えいしたり、システムが停止したりするおそれがある。

・外部からの不正アクセスを検討・考慮する。
・外部からの攻撃を検出・防御する仕組み（IDSなど）を導入する。

・暗号鍵を、暗号化してソフトウェア上で管理する。
・暗号鍵を暗号化して、独自のパスワード等で保護す・サーバ上で、暗号鍵の保管場所を誰にでもわかるよ る。
うにする。
・暗号鍵の所在については、システム的に管理者以外は閲覧できなくする。
・外部からの不正アクセスを検討・考慮する。
・外部からの不正アクセスを検討・考慮する。
・外部からの攻撃を検出・防御する仕組み（IDSなど） ・外部からの攻撃を検出・防御する仕組み（IDSなど）を導入する。
を導入する。
・外部からのアクセスログを取得して、定期的にレポー ・不正アクセス検出した場合、自動的に遮断する仕組トする。
みを導入する。
・外部からのアクセスログを取得して、定期的にレポートする。

ウイルス対策悪意あるプログラムを検出する

コンピュータに誤動作を起こさせ ・ウイルス対策を実施しない。
る悪意あるプログラム（ウイルスやスパイウェア等）により、システ
ムが利用できなくなる、データが消去される、情報が外部に漏えいしてしまう、などのおそれがある。

・悪意あるプログラム（ウイルス・スパイウェア）が、コ
ンピュータ上のデータに付着していないか、検出する機能を導入する。
・社内の全コンピュータのウイルス対策状況を把握する仕組みを導入する。
・悪意あるプログラムを検出した場合、システム管理者に通報する。

A.10.4.1

メールに添付した悪意あるプロ
グラムを検出する

コンピュータに誤動作を起こさせ ・メールのウイルス対策を実施しない。
る悪意あるプログラム（ウイルスやスパイウェア等）がメールから侵入すると、システムが利用できなくなる、データが消去される、情報が外部に漏えいしてしまう、などのおそれがある。
迷惑メールが侵入すると、トラ・迷惑メールを対策しない。
フィック増加、システム負荷の増
加、悪意あるプログラムの侵入、
悪意あるWebサイトへの転送、などのおそれがある。

・悪意あるプログラム（ウイルス・スパイウェア）が、コ ・悪意あるプログラム（ウイルス・スパイウェア）が、コ
ンピュータ上のデータに付着していないか、検出して ンピュータ上のデータに付着していないか、検出して
駆除する。
駆除する。
・システムの変更された部分を自動的に修復できる機 ・システムの変更された部分を自動的に修復できる機能を導入する。
能を導入する。
・社内の全コンピュータのウイルス対策状況を把握す ・悪意あるプログラムによるネットワーク通信を自動的る仕組みを導入する。
に遮断する。
・悪意あるプログラムを検出・駆除及びシステムを修 ・社内の全コンピュータのウイルス対策状況を把握す
復した場合、システム管理者に通報する。
る仕組みを導入する。
・悪意あるプログラムを検出・駆除及びシステムを修復した場合、システム管理者に通報する。
・悪意あるプログラム（ウイルス）が、メールに添付して ・悪意あるプログラム（ウイルス・スパイウェア）が、・悪意あるプログラム（ウイルス・スパイウェア）が、いないか、検出する。
メールに添付していないか、検出する。
メールに添付していないか、検出する。
・ウイルスを検出した場合、システム管理者に通報す ・メールに添付している悪意あるプログラムを駆除す ・メールに添付している悪意あるプログラムを駆除する。
る。
る。
・ウイルスの可能性があるものを検出する。
・ウイルスの可能性があるものを検出する。
・ウイルスを検出した場合、システム管理者に通報す ・ウイルスを検出した場合、システム管理者に通報する。
る。
・迷惑メールの判別をおこない、印をつける。
・迷惑メールの判別をおこない、隔離領域に振り分け ・迷惑メールの判別をおこない、悪質な送信元からのる。
受信を拒否する。

3

6

暗号化

7
8
9
10

11

12

13
迷惑メールを遮断する

14

16

A.11.5.3

A.10.4.1

A.10.4.1

業務に不必要なWebサイト閲覧 ・Webサイトの閲覧に制限をかけない。
を許可していると、業務効率の悪化、トラフィック増加、悪意あるプ
ログラムの侵入、外部への情報
漏えい、などのおそれがある。

・指定されたURLをブロックする。

・指定されたURLをブロックする。
・指定されたURLをブロックする。
・提供されるデータベースを使用して、カテゴリ単位で ・提供されるデータベースを使用して、カテゴリ単位で
Webサイトをブロックする。
Webサイトをブロックする。
・信頼度の低いWebサイト、危険度が高いWebサイト
を、設定したセキュリティレベルでブロックする。

A.10.4.1

全社のセキュリティ対策製品を集中的に運用管理する

社内のセキュリティ対策製品が ・各製品を個別に運用する。
管理できていないと、緊急時対応の遅れ、ポリシー漏れ、管理状況の把握が困難、などのおそれがある。

・利用者のコンピュータに導入されたウイルス対策製品を集中的に管理運用する。
- アップデート状況- ウイルス検出状況

・社内のすべてのセキュリティ対策製品を集中的に管 ・社内のすべてのセキュリティ対策製品を集中的に管理運用する。
理運用する。
- アップデート状況- アップデート状況- ウイルス検出状況- ウイルス検出状況- 自動的なレポート生成機能

A.10.4.1

1/11

・政府機関の情報セキュリティ対策のための統一基準（第2版） 4.1.1 主体認証機能(1)

A.10.4.1

不要なWebサイト閲覧を管理する

15

・政府機関統一基準適用個別マニュアル群 庁舎内におけるPC利用手順 PCの取扱編 端末利用者パート 2.3 識別コードの日常の取扱い(2), (3)・政府機関の情報セキュリティ対策のための統一基準（第2版） 4.2.1 セキュリ
ティホール対策(2), 4.2.2 不正プログラ
ム対策(1)(2)

セキュリティ・可用性チェックシート（詳細項目版）
技術的セキュリティ対策
要素

分類

17

18
ファイアウォール

19

20

推奨レベル
対策項目

VPN装置

26
27

30

34

対策仕様

JISQ項番 参考文献（JIS Q 27002：2006以外）

・ネットワークサービス利用に関する方針を策定する。 ・ネットワークサービス利用に関する方針を策定する。 ・ネットワークサービス利用に関する方針を策定する。
・社外からの通信を遮断する。
・社外からの通信は必要なもののみ許可する。
・社外からの通信は必要なもののみ許可する。
・社外への通信は必要なもののみに制限する。
・社外への通信は必要なもののみに制限する。
・ネットワークサービス利用に対するログを監視し、必 ・ネットワークサービス利用に対するログを監視し、必要に応じて警告する。
要に応じて警告する。
・必要に応じて、通信を自動的に遮断する。

A.11.4.1

ネットワーク上の装置を識別する ネットワークを通過・拒否される ・各システムに適切なホスト名などを設定しない。
装置が適切に識別できないと、 ・DNSやLDAPによりホスト名などを確認できる設定を不正アクセスなどの発生時に対 しない。
応が長期化するおそれがある。

・各システムに適切なホスト名などを設定する。
・装置管理のための情報を一箇所に統合する。
・DNSやLDAPなどによりホスト名などを容易に確認で ・装置の追加・削除を適切に管理する。
きる。
・装置の接続状況を定期的にレポートする。
・装置の接続状況をログに残す。

A.11.4.3

遠隔診断用及び環境設定用ポートを保護する

診断・管理用ポートへ不正アクセ ・診断、管理用ポートへ誰でもアクセスできる。
スを受けると、システムが不正に変更されたり情報が漏えいしたりするおそれがある。

A.11.4.4

ネットワーク領域を分割する

ネットワークを適切に分割しない ・社内ネットワークに社外からアクセスできる。
と、不正にアクセスされるおそれがある。
ネットワークへの接続制御を実 ・誰でもネットワークが自由に使用できる。
施しないと、不正アクセスや情報漏えいが発生するおそれがある。

・診断、管理用ポートに適切なアクセス権を設定する。 ・診断、管理用ポートに適切なアクセス権を設定する。 ・診断、管理用ポートに適切なアクセス権を設定する。
・管理用ネットワークは通常のネットワークとは別に用 ・管理用ネットワークは通常のネットワークとは別に用意し、一般利用者からは物理的・論理的にアクセス不 意し、一般利用者からは物理的、論理的にアクセス不可能にする。
可能にする。
・管理用ネットワークへのアクセスログを監視し、不正なアクセスを警告する。
・社内ネットワークへは社外からのアクセスを禁止す ・社内ネットワークの一部資源のみ、社外からのアク ・社外に公開されたネットワーク（DMZ）と社外からはる。
セスを許可する。
アクセスできない社内ネットワークを完全に分離する。
・端末毎に接続制限をかける。

A.11.4.6

・利用者毎にネットワーク使用をコントロールする。
・アクセス違反に対する適切なモニタリングを実施して、異常時には自動的に警告する。

・装置の認識がシステムで自動化し管理する。
・不正な装置接続を自動的に遮断する。

・利用者毎にネットワーク使用をコントロールする。
・アクセス違反に対する適切なモニタリングを実施して、異常時には自動的に警告する。
・不正なネットワーク使用を強制的に切断する。

A.11.4.5

ネットワークルーティングを制御 内部、外部からの不正なルー
・対策しない。
する
ティング情報が流入すると、既存のネットワーク情報が不正に変更されたり、情報システムが利用できなくなったりするおそれがある。
ネットワークサービスの利用を管 ネットワークの利用が適切に定 ・適切なネットワークサービス利用に関する方針を策理する
義されていないと、不正アクセス 定しない。
が行われたり、情報漏えいしたりするおそれがある。
外部から接続する利用者を認証 外部利用者を正しく認証できな ・認証なしに誰でもアクセスできる。
する
いと、外部からの不正アクセス
で、情報漏えいしたり情報システ
ムが停止したりするおそれがある。
ネットワーク上の装置を識別する ネットワークを通過・拒否される ・すべての装置がネットワークに接続できる。
装置を適切に識別できないと、
不正アクセスなどの発生時に対応が長期化するおそれがある。

・NATを使用し、外部に対して内部ネットワークを不可 ・NATを使用し、外部に対して内部ネットワークを不可 ・ルーティング情報更新に認証情報(パスワードなど)を
視にする。
視にする。
追加する。
・静的ルーティングなど、固定的なルーティングを制御 ・管理下以外のネットワーク機器に対して、ルーティンする。
グ情報のフィルタを実施する。

A.11.4.7

・外部からのネットワークサービス利用に関する方針を策定する。

・外部からのネットワークサービス利用に関する方針を策定する。
・利用者に対して定期的に周知、徹底する。

A.11.4.1

・ユーザ名、パスワードによる利用者の認証をする。

・パスワードの複雑化や定期的な強制変更を実施する。
・定期的なレポートを作成する。

・ネットワークにアクセスする装置種別(機種名、OS種 ・ネットワークにアクセスする装置種別(機種名、OS---> 前レベルと同様
別、バージョンなど)を判定する機器を導入する。
バージョンなど)を判定する機器を導入する。
・事前に設定した方針に従ってアクセス可否を自動的に制御する。

A.11.4.3

通信を暗号化する・外部への通信を暗号化する。

・より強力な暗号化方式（AES 128ビット以上など）を利用する。

A.11.7.1・会社支給のコンピュータで作業する。
・会社支給のコンピュータで作業をする。
・会社支給のコンピュータで作業をする。
・すべてのデータがサーバ上にあり、コンピュータには ・すべてのデータがサーバ上にあり、コンピュータには ・すべてのデータがサーバ上にあり、コンピュータには一時保管するが、コンピュータにはデータが保存でき 一時保管するが、コンピュータにはデータが保存でき 保管できない仕組みにする。
なくする。
なくする。
・ファイルのアクセスログを取得する。
・ファイルのアクセスログを取得する。
・一時保管したデータは、一定時間で自動的に消去す ・コンピュータ間の通信データを暗号化する。
る。
・利用者を識別し、利用者毎にアクセス制御可能な機 ・利用者毎の情報システムへのアクセスを統合管理す ・アクセスログを取得して、範囲外のアクセスについて
能、およびファイルシステムを区別する。
る。
は自動的に警告する。

A.11.7.2

・Secure Attention Sequence (SAS) などの、認証画面を不正なソフトウェアで模倣されない機能を導入する。
・パスワードなどの認証情報を暗号化して、複合化できない状態で保存する。
・パスワードの有効期間が切れた場合、アカウントを無効化する。

・過去にログオンしたユーザ名などのログオンに必要 ・一定回数以上のログオン失敗が発生した場合に、管な情報の一部または全てを表示しない。
理者に通知する。
・一定回数以上のログオン失敗に対して、一定時間の ・一定回数以上のログオン失敗に対して、一定時間のログオンを禁止する(失敗のしきい値：50回、ロックア ログオンを禁止する。(失敗のしきい値：15回、ロックア
ウト期間：15分)
ウト期間：15分)
・辞書攻撃を防ぐために、一定時間内に連続したログ
オンを制限する。
・ログオン時間(利用可能時間帯)を経過した場合は利用者を強制的にログオフする。
・ログオン時間(利用可能時間帯)の有効期間が切れた場合はコンピュータを切断する。

A11.5.1

・オペレーティングシステムに変更があった場合、都度 ・年間サポート計画及び予算には，オペレーティングシ ・緊急時に、セキュリティ更新プログラムまたはシステ
変更を記録する。
ステムの変更に必要なレビューやシステム試験を含 ムの設定変更を最短で行うための最低限の手順を定める。
める。
・セキュリティ更新などによるオペレーティングシステ
ムへの変更が行われることを前提に、システムの完全性を確認、試験する手順を定める。
・オペレーティングシステムに対する変更を記録する。
・変更後に、問題が発生した場合に回復させる手順を定める。
・内部の情報システムにアクセスする前に、ゲートウェ ・外部からの認証には、ハードウェアキー及びパス・外部からの認証には、ハードウェアキー及びワンタイ
イ等で利用者の認証を実施する。
ワードを利用する。
ムパスワードを利用する。
・外部からのアクセスは、一箇所のみで受け付ける。
・外部からの認証には、電子証明書を利用する。

A.12.5.2・モバイルコンピュータは、データの暗号化もしくはハードディスクパスワードを利用する。

A.11.7.1

通信を暗号化していないと、不正 ・通信を暗号化しない。
アクセスが行われたり、情報漏え
いしたりするおそれがある。

在宅勤務で使用するコンピュータ 会社で許可していないコンピュー ・個人所有コンピュータを使用する。
を管理する
タが在宅勤務で利用されると、情報が漏えいするおそれがある。

オペレーティングシ オペレーティングシステム（OS）
ステム（OS）の利用者を管理する

認可されない利用者がOSを利用 ・利用者によるアクセス権限の変更をしないできると、権限以上の操作ができることによる情報漏えいのおそれがある。
利用者のログオン情報が悪用さ ・対策しない。
れると、成りすましにより第三者がログオンしたり、情報漏えいしたりするおそれがある。

31

33

該当レベル

A.10.4.2

利用者の成りすましを防ぐ

32

レベル４

ブラウザ上で動作する悪意ある ブラウザ上で自動実行されるプ ・ブラウザ上ではすべてのプログラムを実行する。
プログラムを検出する
ログラム（ActiveXスクリプト、Javaアプレット等）が不正に実行されると、ウイルスに感染してしまう、情報が外部に漏えいする、などのおそれがある。
ネットワークサービスの利用を管 ネットワークへのアクセスを適切 ・ネットワークサービス利用に関する方針を策定しな
理するに制御しないと、社内外から不正 い。
なアクセスが発生し情報が漏え
いするおそれがある。

28
29

レベル３

A.10.4.1

2325

本件業務のセキュリティ仕様

レベル２

・Webサイトからのウイルスを検出、自動処理する。
・Webサイトからのウイルスを検出、自動処理する。
・Webサイトからのスパイウェアを検出、自動処理す・Webサイトからのスパイウェアを検出、自動処理する。
る。
・処理内容を管理者等に報告する。
・処理内容を管理者等に報告する。
・パターンファイルに対応していない悪意あるプログラ ・パターンファイルに対応していない悪意あるプログラ
ムを検出するための機能を導入する。
ムを検出するための機能を導入する。
・利用者グループ毎に異なるポリシー設定する。
・署名済みのプラグインもしくは管理者の承認済みの ・未署名なActiveXや有効ではないJAVAアプレットの ・未署名なActiveXや有効ではないJAVAアプレットのスクリプトのみを実行する。
動作を制限する。
動作を制限する。
・利用者グループ毎に異なるポリシー設定する。

ネットワーク接続を制御する

24

レベル１

Webサイト閲覧時に悪意あるプロ Webサイトから悪意あるプログラ ・Webサイトからの悪意あるプログラムを検出しない。 ・Webサイトからのウイルスを検出、自動処理する。
グラムを検出する
ムが侵入すると、システムが利・処理内容を管理者等に報告する。
用できなくなる、データが消去される、情報が漏えいしてしまう、などのおそれがある。

21
22

リスクの詳細オペレーティングシステム変更時 オペレーティングシステム変更時 ・検証しない。
に業務ソフトウェアの動作を検証 に業務ソフトウェアを十分に検証するしないと、不具合の発生、新たなぜい弱性の発生、問題の長期化、などのおそれがある。

無線LAN、リモート 外部から接続する利用者を認証 外部利用者を正しく認証できな ・認証しない。
アクセスのセキュリ する
いと、外部からの不正アクセス
ティ
で、情報漏えいしたり情報システ
ムが停止したりするおそれがある。
モバイルコンピュータの利用を管 モバイル中の情報機器が盗難さ ・対策しない。
理する
れる又は紛失してしまうと、情報が漏えいするおそれがある。

---> 前レベルと同様---> 前レベルと同様

2/11

・外部からのネットワークサービス利用に関する方針を策定する。
・利用者に対して定期的に周知、徹底する。
・定期的な内部監査を行い、方針の運用状況を確認
・ワンタイムパスワードや生体認証など、より高度な利用者の認証を併用する。

・モバイルコンピュータは、シンクライアントシステムを導入する。

A.11.4.2

A.11.5A.11.4.2

セキュリティ・可用性チェックシート（詳細項目版）
技術的セキュリティ対策
要素

分類

推奨レベル
対策項目

リスクの詳細レベル１

ネットワークサービスのセキュリ 拠点間ネットワークが盗聴される ・対策しない。
ティを強化すると、情報が漏えいするおそれがある。

35

ぜい弱性検査

42

媒体管理

43
メール管理

44
45
廃棄

46
47
48
49
50
51

・記録された障害毎に、明確な対応策または運用規則 ・情報システムが障害発生した場合は、システム管理を定める。
者に通知する。
・対応策が決められていない場合の運用規則を定め
・全てのソフトウェアに対して、セキュリティパッチの有 ・ぜい弱性検査ツールによる検査を、ツール等で定期 ・ぜい弱性検査ツールによる検査を、ツール等定期的
無を、定期的に自己監査で確認する。
的に実施する。
に実施し、内部監査を実施する。

A.10.10.5

取り外し可能な媒体を管理する 媒体が正しく運用されていない ・媒体を管理しない。
と、情報が漏えいするおそれがある。
媒体の配送方法を管理する
配送中の媒体が盗難又は紛失 ・媒体の配送に関するルールを決めない
すると、情報が漏えいするおそれがある。

・媒体一覧を作成する。
・媒体の利用記録を作成する。

・媒体に保管した情報の、利用可能者をシステム的に制限する。

A.10.7.1

・配送中は媒体を手元から離さない。
・媒体を配送する際は、媒体内データの暗号化もしく・媒体の配送に外部業者を利用する場合は、機密保 はアクセス制御機能つき媒体を利用する。
持や紛失時の損害賠償等について契約書に含める。

---> 前レベルと同様

A.10.8.3

メール送信のルールを決める

送信したメールが盗聴される、も ・メール送信のルールを決めない。
しくは、メール送信先を間違える
ことにより、情報が漏えいするおそれがある。
メール受信のルールを決める
不審なメールを受信してしまう
・メール受信のルールを決めない。
と、悪意あるプログラムに感染する、情報が漏えいする、などのおそれがある。
コンピュータを安全に廃棄、再利 廃棄、再利用したコンピュータに ・データを消去せずにコンピュータを廃棄する。
用する
過去のデータが残っていると、情報が漏えいするおそれがある。

・メール送信時は、宛先のメールアドレスを十分に確認するように教育する。

・添付ファイルを暗号化する。
・メールの送信先を、システム的に制限する。

・メール全体を暗号化する。

A.10.8.4

・迷惑メール等を開かないように教育・指導する。

・迷惑メール等を、システム的にフィルタリングする。
・ログ等で監視する。

---> 前レベルと同様

A.10.8.4

・コンピュータの記憶領域について、初期化又はヌル ・コンピュータの記憶領域について、初期化又はヌル ---> 前レベルと同様
値やランダム値の上書き等、残留データを消去する。 値やランダム値の上書き等、残留データを消去する。
・物理的に破壊する。
・廃棄証明書を履歴として保管する。

A.9.2.6

媒体を安全に廃棄、再利用する 廃棄、再利用した媒体に過去の ・データを消去せずに媒体を廃棄する。
データが残っていると、情報が漏 ・紙をそのまま廃棄する。
えいするおそれがある。

・媒体の記憶領域について、初期化又はヌル値やラン ・媒体の記憶領域について、初期化又はヌル値やラン ---> 前レベルと同様
ダム値の上書き等、残留データを消去する。
ダム値の上書き等、残留データを消去する。
・紙を廃棄する場合は、シュレッダーを利用する等、紙 ・廃棄証明書を履歴として保管する。
の復元を困難にする。
・紙を廃棄する場合は、シュレッダーを利用する等、紙の復元を困難にする。

A.10.2.7

・送信、受信された業務データを人的手段(電話など） ---> 前レベルと同様で確認する。

・送信、受信された業務データに対して、パリティチェックなどでの整合性チェックをシステム的に実行する。

A.12.2.3

・個人的に、定期的な監査を実施する。

・監視計画と監視実績に基づいた、監査を実施する。
・監査については、定期的に第三者組織に委託する。

A.15.3

一般利用者以上の権限を有する ・ログを記録しない。
利用者の作業を記録していないと、ポリシーに反する作業に気がつかない、犯罪行為を証明する
事ができない、などのおそれがある。
障害発生時の状況を記録する 障害発生状況を記録していない ・障害発生を記録しない。
と、障害が発生した際の原因究明が困難になるおそれがある。
システムのぜい弱性を管理する 情報システムのぜい弱な箇所を ・ぜい弱性を修復しない。
攻撃されると、情報が漏えいする
おそれがある。

情報が事実 原本性保証と等しい（完
全性保証）送受信した情報が同一の内容で 送受信した業務メッセージなどの ・送信、受信された業務データの整合性を確認しなあることを確認する
情報が同一の内容であることを い。
確認できないと、改ざんされた情報で業務が混乱するおそれがあ監査
情報システムを監査する
情報システムを定期的に監査し ・内部監査をしない。
ないと、不正な活動が検出できなくて、情報を漏えいするおそれがある。
システムを稼 冗長化
業務サーバ障害時に短時間で 業務を行うためのサーバが停止 ・サーバが復旧するまで業務を停止する。
働し続ける
復旧させる
すると、業務が停止して損失が（可用性保大きくなる。
負荷分散装置の設 高負荷時を考慮してシステムを システムや装置が処理できる負 ・処理能力を考慮しないでシステムを設計する。
証）
置
設計する
荷を超えてしまうと、システムの遅延、停止によって、業務が遅延、停止するおそれがある。

容量管理・拡張性

52

54

・媒体の利用可能者を、システム的に制限する。

・定期的な監視と監視実績に基づいた監査を実施する。
・監査については、定期的に社内組織に委託する。

ネットワークの管理方針が整備さ ・社外との境界においてネットワーク管理方針を定義 ・社外との境界において適切なネットワーク管理方針 ・社外との境界において適切なネットワーク管理方針 ・社外との境界において適切なネットワーク管理方針
れていないと、外部からの不正 しない。
を定義する。
を定義する。
を定義する。
アクセスや情報漏えいのおそれ ・インターネットとの接続箇所に、基本的なアクセスフィ ・ファイアウォールやUTM機器を設置して、適切なアク ・ファイアウォールやUTM機器を設置して、適切なアク ・ファイアウォールやUTM機器を設置して、適切なアクがある。
ルタを実施できる装置(ルータ兼用型など)を設置す
セスポリシーを設定する。
セスポリシーを設定する。
セスポリシーを設定する。
る。
・機器の運用状況を適切にモニタリングする。
・機器の運用状況を適切にモニタリングする。
・ぜい弱性などに対するパッチ適用の運用体制を決め ・ぜい弱性などに対するパッチ適用の運用体制を用意る。
する。
・運用状況を定期的にレポートする。
・問題発生時の緊急運用体制を定義する。

高負荷時を考慮してネットワーク ネットワーク障害や大量のデータ ・負荷を考慮しないでネットワークを設計する。
を設計する
転送が発生すると、ネットワーク
が通常通りに利用できなくなるおそれがある。

A.10.10.1

A.10.10.2

A.10.10.4

A.12.6.1

・業務サーバのCPUを二重化する。
・業務サーバのCPUを二重化する。
・業務サーバを二重化する。
・サーバ停止時にも、業務を数十分〜数時間の停止 ・サーバ停止時にも、業務を数分〜数十分の停止で ・サーバ停止時にも業務を停止させない。
で復旧する。
復旧する。
・業務に必要なリソース(ネットワーク負荷）の計画と予 ・業務に必要なリソース(ネットワーク負荷）の計画と予 ・業務に必要なリソース(ネットワーク負荷）の計画と予
測をする。
測をする。
測をする。
・システムを、最大使用量で設計する。
・システムを、最大使用量よりも余裕を持たせて設計 ・システムを、最大使用量よりも余裕を持たせて設計・高負荷時に、業務が遅延することはあるが、停止す する。
する。
ることはない設計をする。
・高負荷時に、業務が遅延することはあるが、停止す ・高負荷時でも、業務が遅延する（レスポンスが低下
ることはない設計をする。
する）ことのない設計とする。

情報システムの処理能力を管理 情報システムの処理能力が不足 ・情報システムの処理能力やディスク容量を監視しな ・処理能力やディスク容量等について、利用者やデー ・拡張する際に、容易に対応可能な情報システムとす ・情報システムの稼働能力を監視して、計画的に情報する
すると、情報システムが利用でき い。
タの伸びに対し、一定期間対応可能な情報システム る。
システムの容量の増強をことが容易にできるようなシ
なくなるおそれがある。
にする。
ステムとする。

トラフィック監視・制 ネットワークの運用を管理する
御53

JISQ項番 参考文献（JIS Q 27002：2006以外）

・情報システムの障害発生を記録する。

実務管理者及び運用担当者の作業を記録する

41

対策仕様

A.10.10.3

38

・拠点間のネットワークは、VPN等の暗号化もしくはア ・外部へのアクセスに対してのログをモニタリングしクセス制御が実施されたネットワークサービスを利用 て、必要時には自動的に警告する。
する。
・拠点間のネットワークは、VPN等の暗号化もしくはア
クセス制御が実施されたネットワークサービスを利用
する。

該当レベル

・情報システムのログを、オフラインで定期的にバック ・オペレーティングシステムまたはソフトウェアの機能 ・短いサイクルで、別の情報システムにオンラインでロアップする。
で、適切なログの保護措置が取られている。
グをコピーまたは移動する。
・情報システムのログにアクセス可能なアカウントを制 ・ディスク等の容量不足などにより、ログが記録できな限する。
い場合は、システムを停止する。
・ログの記録漏れ、上書き等が発生しないよう、十分な ・ログのオフラインでのバックアップは、十分な期間に記憶容量を確保する。
遡って参照可能とする。
・ログが削除された事をログに記録する機能を導入する。
・実務管理者および運用担当者のログを記録する。 ---> 前レベルと同様
・実務管理者及び運用担当者の作業が正当であることを確認するために、作業指示書を作成し保管する。

情報システムの監査ログを適切 ・監査ログを取得しない。
に記録していないと、発生した不正な活動に気づかないおそれがある。

システムの使用状況を監視する 情報システムの使用状況を監視 ・情報システムを監視しない。
していないと、問題が発生した際の原因究明が困難になるおそれがある。
ログ情報を保護する
ログ情報を保護していないと、内 ・ログを保護しない。
容の改ざんや破棄されるおそれ
がある。

40

レベル４

A.10.6.2

36

39

レベル３

・外部へのアクセスに対してのログをモニタリングして、必要時に自動的に警告する。
・危険なWebサイトへのアクセスは自動的に遮断する。
・拠点間のネットワークは、VPN等の暗号化もしくはア
クセス制御が実施されたネットワークサービスを利用する。
・情報システムのアクセスログを取得する。
・アカウントによるログオンイベント (ネットワーク、ドメ ・アカウントによるログオンイベント(ネットワーク、ドメイ・アクセスログを、定期的に点検する。
イン、ローカル) を記録する (成功)。
ン、ローカル) を記録する (成功/失敗)。
・アカウントによるログオンイベント (ローカル) を記録
・アカウントへの変更(管理作業)を記録する (成功/失する (成功)。
敗)。
・アカウントへの管理作業を記録する (成功)。
・アカウントまたはパスワードのポリシー変更を記録す・アカウントまたはパスワードのポリシー変更を記録する (成功/失敗)。
る (成功)。
・システムに影響のあるイベントを記録する (成功)。
・システムに影響のあるイベントを記録する (成功)。
・オブジェクト(ファイル等)へのアクセスを記録する (失敗)。
・情報システムへの不正なアクセスを定期的に確認す ・情報システムが不正アクセスされた際に、自動的に ・システムに重大な影響のあるイベントが発生した場る。
検出し、通知するシステムを導入する。
合は、システム管理者に通知する。

ログの収集や解析 監査ログを取得する

37

本件業務のセキュリティ仕様

レベル２

・通信会社のネットワークサービスを利用する場合
・インターネット接続回線や拠点間ネットワークを多重 ・インターネット接続回線や拠点間ネットワークについは、帯域保証や稼働率に関する内容を、契約書に含 化する。て、複数の通信会社からサービスを受ける。
める。

3/11

A.10.3.1

A.10.6.1

A.10.6.2

セキュリティ・可用性チェックシート（詳細項目版）
技術的セキュリティ対策
要素

分類

55
56
57

リスクの詳細

レベル１

59
60
61

ソフトウェア監視

オペレーティングシステムを保守 OSを保守しないと、業務停止、する
ぜい弱性の発生、情報の漏えい、などのおそれがある。

・OSを保守しない。

75
76･ネットワークにアクセスする装置種別(機種名、OS種 ・外部からアクセスされる装置種別(機種名、OSバー
別、バージョンなど)を判定する機器を導入する。
ジョンなど)を判定する機器を導入する。
・許可されない機器の接続を禁止する。
・許可された機器のみ接続する。

・外部からアクセスされる装置種別(機種名、OSバージョンなど)を判定する機器を導入する。
・ポリシー設定で、許可、不許可を自由にコントロール
する。

A.11.4.3

・専用ポートに適切なアクセス権を設定する。
・管理用ネットワークは通常のネットワークとは別に用・マシンルームなどの専用ルームへ設置して、物理的 意し、一般利用者からは物理的、論理的にアクセス不に保護する。
可能にする。

A.11.4.4・ルータとスイッチでネットワークを物理的に分割する。 ・プロジェクトもしくは組織単位でネットワークを分割す ・プロジェクトもしくは組織単位でネットワークを分割す
る。
る。
・L3スイッチでネットワークを論理的に分割する。
・VLANでネットワークを論理的に分割する。
・各ネットワーク境界で適切にアクセス制御する。
・アクセス違反を適切にモニタリングする。
・アクセス違反を適切にモニタリングする。
・異常時は自動的に警告する。
・異常時は自動的に警告する。
・異常時は自動的に遮断する。
・NATを使用し、外部に対して内部ネットワークを不可 ・NATを使用し、外部に対して内部ネットワークを不可 ・NATを使用し、外部に対して内部ネットワークを不可
視にする。
視にする。
視にする。
・静的ルーティングなど、固定的にルーティングを制御 ・管理下以外のネットワーク機器からのルーティング ・管理下以外のネットワーク機器からのルーティング
する。
情報をフィルタする。
情報をフィルタする。
・ルーティング情報更新に認証情報（パスワードなど）を追加する。
・セキュリティ対策などのパッチを本番機に直接適用 ・本番相当環境で是正保守をテストし、障害がないこと ・本番相当環境で是正保守、予防保守をテストし、障する。
を確認し本番機に適用する。
害がないことを確認し本番機に適用する。

A.11.4.5

・不定期に情報収集する。

・是正保守として、パッチ情報（提供元、種別、相互依
存性、更新版の有無、仕様への影響等）の更新やベンダからの情報入手のサイクルを、運用ルールとして規定する。

・是正保守および予防保守として、パッチ情報（提供元、種別、相互依存性、更新版の有無、仕様への影響等）の更新やベンダからの情報入手のサイクルを、運用ルールとして規定する。

パッチ適用の間隔を定める

・パッチ適用に関するルールを設定しない。

・パッチを適用する間隔を是正保守として規定する。

・パッチを適用する間隔を、是正保守または予防保守として規定する。

---> 前レベルと同様

・二次障害発生時の復旧（ロールバック等）作業をルール化する。

---> 前レベルと同様

パッチ適用の作業時間を定める パッチ適用の作業時間がルール ・パッチを適用しない。
化されていないと、システムを長時間停止するおそれがある。

・パッチ適用に関するルールを設定しない。

・パッチを適用する作業時間を是正保守として規定す ・パッチを適用する作業時間を、是正保守または予防る。
保守として規定する。

パッチ適用を検証し、管理する

パッチ適用状態を管理しないと、 ・パッチを適用しない。
ぜい弱性等の危険が解消されないで残ってしまうおそれがある。

・本番機に直接適用する。

・本番相当環境で是正保守をテストし、障害が無いこ ・本番相当環境で是正保守、予防保守をテストし、障とを確認し本番機に適用する。
害が無いことを確認し本番機に適用する。
・適用状態を管理、監視する。
・適用状態を管理、監視する。

ソフトウェアの変更を管理する

ソフトウェアのバージョンアップな ・ソフトウェアを変更しない。
どによる変更を管理していないと、業務に障害があった場合に原因の切り分けが遅れ、業務を長時間停止するおそれがある。

・常に最新のソフトウェアを使用する。

・ソフトウェアの変更のたびに、影響度を確認し、承認 ・定期的に、影響度を確認し、承認を得て、テスト環境を得て、テスト環境で実施し、ロールバック計画を立て で実施し、ロールバック計画を立てて、本番環境に適て、本番環境に適用する。
用する。

電気設備を監視する

電気設備を監視していないと、停 ・電気設備を監視しない。
電や電圧異常で、システムやネットワーク機器が不安定になったり停止したりするおそれがある。

・無停電電源装置（UPS）を使用する。

是正保守としてのパッチ適用間 ・パッチを適用しない
隔がルール化されていないと、作業に長時間かかり、システムを長時間停止するおそれがある。
二次障害（パッチ適用による障 ・障害発生時に対応を検討する。
害）への対策を規定しておかな
いと、システムを長時間停止する
おそれがある。

空調設備を監視していないと、温 ・空調設備を監視しない。
度の異常な上昇などで、システ
ムやネットワーク機器が不安定になったり停止したりするおそれ
通信ケーブルを使用した不正ア 通信ケーブルを使用した不正ア ・通信ケーブルを自由に使用できる。
クセスを防止する
クセスがあると、情報が漏えいす
るおそれがある。
通信ケーブルの誤挿入・誤抜去 通信ケーブルの誤挿入・誤抜去 ・通信ケーブルを自由に使用できる。
を予防するが防げないと、システムが停止する恐れがある。
監査ログを取得する

74

A.11.4.2

ソフトウェア修正情報を収集する ソフトウェア修正のためのパッチ ・情報を収集しない。
情報が把握されていないと、必要な是正保守が行われているかどうかが検証できず、ぜい弱性等が放置されるおそれがある。

空調設備を監視する

73

・ワンタイムパスワードや生体認証などの、より高度なユーザ認証を併用する。

・本番相当環境で是正保守をテストし、障害がないこと ・本番相当環境で是正保守、予防保守をテストし、障を確認し本番機に適用する。
害がないことを確認し本番機に適用する。

70

ソフトウェアを保守しないと、業務 ・ソフトウェアを保守しない。
停止、ぜい弱性の発生、情報の漏えい、などのおそれがある。

・パスワードの複雑化や定期的な強制変更を実施する。
・定期的なレポーティングを実施する。

・セキュリティ対策などのパッチを本番機に直接適用
する。

69

72

JISQ項番 参考文献（JIS Q 27002：2006以外）

・専用ポートに適切なアクセス権を設定する。

68

71

対策仕様

遠隔診断用及び環境設定用ポートを保護する

パッチ適用による障害の、回避
策を定める

機器監視

該当レベル

・ユーザ名、パスワードでユーザ認証する。

65

67

レベル４

A.11.4.1

ソフトウェアを保守する

66

レベル３

・ネットワークサービス利用に関する方針を策定する。 ･ネットワークサービス利用に関する方針を策定する。 ･ネットワークサービス利用に関する方針を策定する。
・利用者に対して定期的に周知・徹底する。
・利用者に対して定期的に周知・徹底する。
・定期的な内部監査を行い、方針の運用状況を確認
する。

63
64

本件業務のセキュリティ仕様

レベル２

ネットワークサービスの利用を管 ネットワークサービスへのアクセ ・ネットワークサービス利用に関する方針を策定しな理する
スを適切に制御しないと、社内外 い。
からサービスへの不正なアクセスが発生したり、情報が漏えいしたりするおそれがある。
外部から接続する利用者を認証 外部利用者を正しく認証できな ・外部からのアクセスに対して利用者認証、監視、制する
いと、外部からの不正アクセス 御を実施しない。
で、情報漏えいしたり情報システ
ムが停止したりするおそれがある。
ネットワーク上の装置を識別する ネットワークを通過・拒否される ・どんな機器でもネットワークに接続できる。
装置が適切に識別できないと、
不正アクセスなどの発生時に対応が長期化するおそれがある。
診断・管理用ポートへのアクセス ・専用ポートへ誰でもアクセスできる。
が適切に管理されていないと、設定情報の不正な改ざん、シス
テムの停止、などが発生するおそれがある。
ネットワーク領域を分割する
ネットワークを適切に分割しない ・ネットワークを全く分割しない。
と、不正にアクセスされるおそれがある。
ネットワーク接続を制御する
ネットワークへの接続制御を実 ・ネットワーク接続を制御しない。
施しないと、不正アクセスや情報漏えいが発生するおそれがあネットワークルーティングを制御 内部・外部からの不正なルーティ ・制御しない。
する
ング情報が流入すると、既存のネットワーク情報が不正に変更されたり、情報システムが利用できなくなったりするおそれがある。

58

62

推奨レベル
対策項目

ネットワーク、システムからの異 ・監査ログを取得しない。
常検出ログを見逃すと、不正アクセスの検出が遅れたり、情報が漏えいしたりするおそれがある。

システムの稼働状況を監視する 情報システムの稼働状況を監視 ・システムの稼動状況を監視しない。
していないと、問題が発生した際の原因究明が困難になるおそれがある。
ログ情報を保護する
ログ情報を保護していないと、ロ ・ログ情報に誰でもアクセスできる。
グへの不正アクセスや情報が改ざんされるおそれがある。

A.11.4.6
A.11.4.7

Ａ10.1.5？

・無停電電源装置（UPS）を使用する。
・無停電電源装置（UPS）を使用する。
・使用するUPSのログ機能などを使用し、システム上、 ・使用するUPSのログ機能などを使用し、システム上、重要なサーバやネットワーク機器の電圧異常を管理 重要なサーバやネットワーク機器の電圧異常を管理する。
する。
・異常時に管理者に対して通知する。
・異常時に管理者に対して通知する。
・建物の停電時に、一定時間システムを稼働し続けら・システム上、重要なサーバやネットワーク機器を温度 ・システム上、重要なサーバやネットワーク機器自身 ・システム上、重要なサーバやネットワーク機器自身管理された部屋に配置する。
の温度を管理する。
の温度を管理する。
・異常時に管理者に対して通知する。
・異常時に管理者に対して通知する。
・異常時に空調を自動的にコントロールする。
・未使用ポートを使用不可に設定する。
・未使用ポートを使用不可に設定する。
・MACアドレス認証や、HUB接続などの複数機器の接・ポートのLinkUp/Downを監視する。
続防止策を用意する。
・ポートセキュリティを実施できる検疫システムを導入
・ケーブルに適切なラベルを貼り、容易に識別できるよ ・ケーブルに適切なラベルを貼り、容易に識別できるよ ・ケーブルに適切なラベルを貼り、容易に識別できるよ
うにする。
うにする。
うにする。
・未使用ポートを使用不可に設定する。
・未使用ポートを使用不可に設定する。
・ポートのLinkUp/Downを監視する。

A.9.2.2

・各システムの監査ログ(アクセスログなど)を集約、確 ・IDSなどにより、監査ログを解析して警告するシステ ・IPSなどにより、監査ログを元に自動的にアクセスを認できるように設定する。
ムを導入する。
拒否するシステムを導入する。

A.10.10.1

・情報システムが正確に稼動しているか、手動で確認 ・情報システムが正確に稼動しているか、自動で監視 ・情報システムが正確に稼動しているか、自動で監視
する。
する。
する。
・定期的に監視状況をレポートする。
・情報システムに障害が発生した際、緊急の警告を発する。
・ログ情報は適切なアカウント、パスワードを持つ利用 ・アクセスできる機器を限定する。
---> 前レベルと同様
者のみがアクセスできるように設定する。
・成りすましなどによるアクセス対策(パスワードの定期的な変更、トークンなどの併用)を実施する。

A.10.10.2

4/11

A.9.2.3

A.10.10.3

セキュリティ・可用性チェックシート（詳細項目版）
技術的セキュリティ対策
要素

77

分類

推奨レベル
対策項目

リスクの詳細実務管理者及び運用担当者の作業を記録する障害発生時の状況を記録する

78
システム時刻を同期する

79

レベル１

本件業務のセキュリティ仕様

レベル２

レベル３

レベル４

作業ログを適切に記録していな ・作業ログを取得しない。
いと、誤った作業などに対する事
後確認を行うことができないおそ
障害発生状況を記録していない ・障害ログを取得しない。
と、障害が発生した際の原因究明が困難になるおそれがある。

・作業ログを保存する。

・作業ログを保存する。
・事前に定めた規定に従い、定期的にレビューする。

---> 前レベルと同様

・障害ログを含む、各種システムログを個別に取得す ・システム全体の各種システムログを一元管理する。 ・システム全体の各種システムログを一元管理する。
る。
・障害発生時に各種警告を自動的に送る。
・障害発生時に各種警告を自動的に送る。
・障害発生時の対応策を用意する。

A.10.10.5

各システム時刻を同期させてい ・各システムの時刻を手動で個別に設定する。
ないと、障害や不正アクセスの解析が煩雑になり、異常が発生した際の対応が長期化するおそ・内部・外部NTPサーバを用意し、各システムをNTPに ・複数のNTPサーバを用意する。
同期させる。

A.10.10.6

5/11

・GPSなどを利用した専用装置を設置する。

該当レベル

対策仕様

JISQ項番 参考文献（JIS Q 27002：2006以外）
A.10.10.4

セキュリティ・可用性チェックシート（詳細項目版）
物理的セキュリティ対策
要素

80
81

分類

84
85
86
87

リスクの詳細

レベル１

情報を他人 セキュリティ区画の 業務やプロジェクト単位で作業エ 業務部署やプロジェクトの区画を ・作業エリアを決めない。
から守る（機 定義
リアを区分けする
設定していないと、近隣の部署
密性保護）に情報が漏えいするおそれがある。
マシンルームの設 オフィスや部屋への入退出を管 入退出を管理していないと、部外 ・オフィスや部屋等を施錠しない。
置理する
者がオフィスや部屋に入れてしま
い、情報を盗まれるおそれがあ
る。

82
83

推奨レベル
対策項目

防犯設備の設置
マシンルームへの電磁波シールドの
設置

90
91

92
93

レベル３

レベル４

該当レベル

対策仕様

JISQ項番 参考文献（JIS Q 27002：2006以外）

・仕切りはないが、業務・プロジェクト単位で島（列）を ・業務・プロジェクト単位に、ついたて等で仕切りを作作る。
る。

・業務・プロジェクト単位に部屋を分けて作業する。

A.9.1.1

・オフィスや部屋の入退出時を、社員証などのIDで管 ・常時、ICカード又は生体認証等により、部屋の入退理する。
室を制限する。
・帰宅時には、オフィスや部屋を鍵で施錠する。
・守衛や防犯カメラを設置する。
・部屋の入退室を記録する。

・入室ログのない退室は、許可しない。
・インターロック（二重扉）を実施する。

A.9.1.3

・金融機関等コンピュータシステムの安全対策基準・解説書（第7版） 設16, 運
13
・政府機関統一基準適用個別マニュアル群 庁舎内におけるPC利用手順 PCの取扱編 5.2 端末の設置
・金融機関等コンピュータシステムの安全対策基準・解説書（第7版） 設23

内部犯による情報機器の盗難を 情報機器が内部の利用者に盗 ・情報機器が自由に持ち出せる。
予防する
難されると、情報が漏えいするおそれがある。

・コンピュータをワイヤー等で固定する。
・サーバは、施錠されたサーバラック内に保管する。

・コンピュータをワイヤー等で固定する。
・情報機器の設置場所を、アクセス制御された区域内・サーバは、施錠されたサーバラック内に保管する。 にする。
・サーバ類の設置場所を、施錠された区域内にする。 ・情報機器（サーバ）の設置場所を、施錠された区域内にして、入退出の記録をとる。

A.9.2.1

外部犯による情報機器の盗難を 外部からの侵入者に情報機器が ・情報機器の設置場所を監視しない。
予防する
盗難されると、情報が漏えいする
おそれがある。
情報機器を電磁波から保護する 電磁波からの保護ができていな ・電磁波に対するシールド対策をしない。
いと、情報データが破壊されるおそれがある。

・情報機器の設置場所を監視する。
・外部からの不正な侵入に対して警報を鳴らす。

・情報機器の設置場所を監視する。
・外部からの不正な侵入に対して警報を鳴らす。

A.9.1.4

・情報機器の設置場所を監視する。
・外部からの不正な侵入に対して警報を鳴らし、通報する。
・電磁波に対するシールド対策を、コンピュータやネッ ・マシンルームに対して電磁波のシールド対策をす
トワーク機器に施す。
る。

---> 前レベルと同様情報が事実 定期的なバックアッ 業務データのバックアップを安全 バックアップを安全な場所に保管 ・業務データをバックアップしない。
と等しい（完プ取得な場所に保管するしないと、不慮の災害発生時な全性保証）
どにシステムを業務可能な状態に復旧できなくなるおそれがある。
復旧時間を考慮してバックアップ 復旧に要する時間を考慮して・業務データをバックアップしない。
媒体を選択する
バックアップ媒体を選択しないと、必要な時間内にシステムを復旧できないおそれがある。

・業務に必要なデータを媒体に、定期的(日次、週次） ・業務に必要なデータを、遠隔地にリモートで、定期的 ・業務に必要なデータを遠隔地にリモートで、リアルタ
バックアップを行い、安全な場所に輸送して保管する。 (日次、週次）にバックアップを行う。
イムにバックアップする。

・バックアップデータを、テープや光ディスクのような運 ・バックアップデータを、ハードディスクに保管する。
搬可能な媒体に保管する。

---> 前レベルと同様システムを稼 温度・湿度管理
情報機器の設置場所の環境を
働し続ける
適切に保つ
（可用性保
証）
耐震、耐火、耐水対 情報機器を災害から守る
策済み施設の利用

・空調を設置する。
・湿度を40〜60％に保つ（静電気対策）。

・空調を、故障に備えて、冗長化する。

温度や湿度を適切に保たないと、情報システムが正常に動作しなくなるおそれがある。

・空調を設置しない。

地震、火災、洪水等の災害への ・災害を考慮しない。
対策を整えておかないと、情報システムが故障し、業務が長期間停止するおそれがある。

88

89

本件業務のセキュリティ仕様

レベル２

無停電電源装置、 電力を安定供給する
バックアップ電源等の設置

電力を安定供給しないと、停電 ・停電対策を実施しない。
や電圧異常で、システムやネット
ワーク機器が不安定になったり停止したりするおそれがある。
ケーブル敷設経路 通信、電源ケーブル配線を保護 通信、電源ケーブルが切断され ・通信、電源ケーブルをむき出しにする。
対策の実施
するてしまうと、情報システムが停止
する、長期間利用できなくなるおそれがある。
在庫管理
情報資産を管理する情報資産（情報機器・電子媒体・ ・情報資産を管理しない。
紙）が管理されていないと、紛・媒体や紙資産の、保管場所や管理番号がない。
失・盗難の検出ができないおそれがある。
情報資産の管理責任を明確にす 情報資産の責任者が明確でない ・利用者の判断で資産を保存・滅却する。
ると、資産の管理・保存期限、滅却などが計画的におこなわれず、不要になった資産から情報が漏
えいするおそれがある。
機器設置スペース 機器設置スペースに拡張性を持 機器設置場所に拡張性がない ・設置スペースを拡張しない。
の拡張性
たせると、情報処理機器をセキュリティが低い場所に設置しなくてはならなくなる。

・空調を設置する。
・湿度を40〜60％に保つ（静電気対策）。
・結露を発生させない。

A.9.1.4

A.10.5.1

A.9.1.4

・金融機関等コンピュータシステムの安全対策基準・解説書（第7版） 設33

＜耐震＞
＜耐震＞
＜耐震＞
・情報機器を、落下防止金具もしくはバンド等で固定 ・情報機器を、落下防止金具もしくはバンド等で固定 ・建物を、免震建築物もしくは制振建築物にする。
する。
する。
・情報機器を、免震床に設置する。
・サーバラックを、パネルアンカー等で固定する。
・サーバラックを、パネルアンカー等で固定する。
＜耐火＞
＜耐火＞
＜耐火＞
・消火設備（全域放出型消火ガス）を設置する。
・自動火災報知設備を設置する。
・自動火災報知設備を設置する。
＜耐水＞
・消火設備（消火器、スプリンクラー）を設置する。
・消火設備（消火器、スプリンクラー）を設置する。
・漏水を排出する排水溝等を設置する。
・情報機器を、火災の危険性のない場所（火使用設備 ・情報機器を、火災の危険性のない場所（火使用設備
が隣室又は直上下階にない場所等）に設置する。
が隣室又は直上下階にない場所等）に設置する。
・室内の火気使用を制限する。
・室内の火気使用を制限する。
＜耐水＞
＜耐水＞
・情報機器を、浸水の危険性のない場所（2階以上、水 ・情報機器を、浸水の危険性のない場所（2階以上、水使用設備が隣室又は直上階にない場所等）に設置す 使用設備が隣室又は直上階にない場所等）に設置する。
る。
・UPSを設置する。
・自家発電装置を設置する。
・電力会社から、電源を複数回線で引き込む。
・建物に、避雷針を設置する。
・静電気対策として、アースを利用する。

A.9.1.4

・金融機関等コンピュータシステムの安全対策基準・解説書（第7版） 設22, 32,
37, 39, 50

A.9.2.2

・金融機関等コンピュータシステムの安全対策基準・解説書（第7版） 設62, 64,
65, 69・通信、電源ケーブルは、フリーアクセス床の下を通す。
・通信、電源ケーブルに、カバーをつける。

・通信、電源ケーブルは、専用の配線管を通し、人目につかないように設置する。

A.9.2.3

・金融機関等コンピュータシステムの安全対策基準・解説書（第7版） 設97

・情報資産の管理にツールを使う。
・管理番号を付与して、定期的に内部監査する。
・媒体や紙の資産については、管理番号を付与して、管理台帳等で所在を明確にして、鍵をかける。
・鍵は管理者が管理する。
・資産ごとに管理責任者・保存期間・滅却期日を決め、資産管理を計画的に実施する。

A.7---> 前レベルと同様

・情報資産を部署単位で管理する。
・情報資産の管理にツールを使う。
・媒体や紙資産については、管理番号は付与せずに、 ・管理番号を付与して管理する。
カテゴリ別で保管する。
・媒体や紙の資産については、管理番号を付与して、管理台帳等で所在を明確にして、鍵をかける。
・資産ごとに管理責任者を決め、管理責任者の判断で ・資産ごとに管理責任者・保存期間・滅却期日を決
資産を保存・滅却する。
め、定期的に資産を見直す。

・情報処理機器の設置スペースを確保する時に、現在 ・将来の業務拡張計画などから、情報処理機器の設の業務処理データ量を考慮する。
置スペースを設計する。

6/11---> 前レベルと同様

A.7.1

セキュリティ・可用性チェックシート（詳細項目版）
管理的セキュリティ対策
要素

94

分類

情報を他人 セキュリティポリから守る（機 シー
密性保護）
利用者管理

95
96
97
98

99

100
101
102
103
104
105

推奨レベル
対策項目

リスクの詳細

レベル１

レベル３

レベル４

セキュリティポリシーを策定する セキュリティ基本方針を定義して ・セキュリティポリシーを策定しない。
おかないと、一貫したセキュリ
ティ対策がとれず、ぜい弱なシステムになってしまうおそれがある。
情報にアクセスするためのガイド 情報アクセスのためのガイドライ ・アクセス制御方針を策定しない。
ラインを策定するンを策定しておかないと、情報を制御する対象や範囲が明確にならない。
システムの利用者を管理する
情報システムの利用者を管理し ・利用者を登録、管理しない。
ていないと、部外者がシステムを利用できてしまい、情報が漏えいする可能性がある。

・現状を把握し、リスク分析の結果をもとに、情報セキュリティ基本方針を策定する。

---> 前レベルと同様---> 前レベルと同様

A.5.1

・情報へのアクセス制御方針を文書化する。

・情報へのアクセス制御方針を文書化する。
・定期的にレビューする。

・情報へのアクセス制御方針を文書化する。
・定期的にレビューする。
・アクセス方針に従った業務であることを、監査する。

A.11.1.1

・一つのアカウントを複数の利用者で使用しない。
・利用者の増減や移動に伴い、アカウント及びアクセス権を変更する。

・利用者の増減や移動をシステムで管理し、アカウント ・利用者の増減や移動をシステムで管理し、アカウント及びアクセス権を自動的に変更する。
及びアクセス権を自動的に変更する。
・登録情報として、生体認証を導入する。

A.11.2.1

特権を持つ利用者を管理する特権を持つ利用者の作業を管理 ・特権ユーザの履歴ログを取得しない。
しないと、機密情報を不正に操作されて外部に漏えいされるおそれがある。
利用者のパスワードを管理する 利用者のパスワードを定期的に ・パスワードを変更しない。
変更するなどの管理をしていな
いと、パスワードが流出し、シス
テムに不正アクセスされる、情報が盗まれる、などのおそれがある。
利用者のアクセス権を管理する 利用者のアクセス権を定期的に ・アクセス権を見直さない。
見直さないと、プロジェクトや組織の変更にともなって、参照できてはいけないものが継続して見
えてしまい、情報が漏えいするおそれがある。
情報処理施設の使用を記録する 情報処理施設が不正に使用され ・情報処理施設への入出や使用を記録しない。
ると、情報処理機器へアクセスされて、情報が漏えいするおそれがある。

・特権ユーザを絞り込み、特権ユーザの操作ログを取 ・特権ユーザを絞り込み、特権ユーザの操作ログを取 ---> 前レベルと同様得する。
得して定期的に監査する。

A.11.2.2

・利用者のパスワードが、定期的に変更されているこ ---> 前レベルと同様とをチェックする。

・利用者のパスワードが定期的に変更されるシステムを導入する。
・変更依頼のメッセージをシステムから送る。

A.11.2.3

・アカウント及びアクセス権を、定期的に見直す。

---> 前レベルと同様・組織やプロジェクトが変更になった場合、ユーザ管理
システムと連携して、自動的にアクセス権を変更する。
・変更になったアクセス権を定期的に監査する。

A.11.2.4

・情報処理施設への入出を記録する。

・情報処理施設の入出記録をシステムで取得する。
・定期的に監査する。

・情報処理施設の入出記録をシステムで取得する。
・施設への入館時に、許可されている利用者であるかを自動的にチェックする。
・定期的に監査を行う。

A.15.1.5

情報を暗号化する

・個人の判断で、ファイルを暗号化する。

・情報(データ）を強制的に暗号化する。

・すべてのファイルを強制的に暗号化する。

A.15.1.6

・帰宅時には、部屋を鍵で施錠する。

・常時、ICカード又は生体認証等で、部屋の入退室を ・入室ログのない退室は、許可しない。
制限する。
・インターロック（二重扉）を実施する。
・防犯カメラを設置する。
・部屋の入退室を記録する。

情報の暗号化をルールとして企 ・暗号化しない。
業内で統一しておかないと、利用者毎に暗号化対象が変わってしまい、重要情報が漏えいするおそれがある。
入退室管理
作業領域を施錠し監視する
オフィス等の作業領域を施錠、 ・オフィス等を施錠しない。
監視しておかないと、部外者が不正に侵入し、情報の漏えいや情報機器の盗難等のおそれがある。
秘密保持契約第三者との契約内容を定める
第三者との契約内容をあらかじ ・契約内容をあらかじめ規定しない。
め決めておかないと、機密保持契約がないために情報漏えい時の責任追及ができないなど、情報が守られなくなるおそれがあ
ぜい弱性情報収集 ぜい弱性情報を入手して対策す OSやアプリケーションのぜい弱 ・ぜい弱性情報を収集しない。
と修正プログラム適 る性の情報が入手できないと、ぜ用
い弱性がそのまま放置されて、情報が漏えいするおそれがある。
資産管理
情報資産を管理する
情報資産を正確に管理しておか ・情報機器の一覧を作成しない。
ないと、資産を紛失、盗難しても気付かないおそれがある。
情報資産を分類する

情報資産が重要度に応じて正し ・情報資産の分類基準を作成しない。
く分類されていないと、重要な情報が厳重に管理されず、権限のない利用者に情報が漏えいする
おそれがある。
情報資産を分類に応じて取り扱 情報資産が分類基準に従って取 ・情報資産を分類基準に従って取扱わない。
う
扱わないと、権限のない利用者に情報が漏えいするおそれがあ
る。

106
107

机上の情報を保護する

108

109
110
111
112

情報が事実 情報のバックアップ 情報をバックアップすると等しい（完全性保証）

情報を適切にバックアップしてい ・バックアップを取得しない。
ないと、情報の消失、改ざん等が発生した際に、復旧できなくなってしまうおそれがある。

利用者の活動を管理する

企業内の組織で運用する場合、 ・利用者の操作ログを取得しない。
悪意を持った利用者から情報が漏えいするおそれがある。

外部組織を管理する

運用を第三者組織に委託した場 ・利用者の操作ログを取得しない。
合、委託先から情報が漏えいす
るおそれがある。

113
114

情報が机上に放置や表示された ・机上での情報の取り扱いルールがない。
状態になっていると、目視で情報が漏えいするおそれがある。

情報システムの正 システムを受入れる時に検証す システムを受け入れる際に十分 ・システムをテストしない。
確性
るな検証を実施しないと、運用開始後にシステムの不良に気づくことになり、長期間業務が停止してしまうおそれがある。
情報の正確性
入力データの正確さを追求する 入力されたデータが正確でない ・入力データをチェックしない。
と、誤りが多い情報になってしま
い、業務が停止してしまうおそれ
システムを稼 教育と訓練
セキュリティ教育を実施する
セキュリティや情報漏えいに対す ・セキュリティ教育をしない。
働し続けるる基本方針などを利用者が正し（可用性保く理解していないと、安易に情報証）を取り扱い外部に漏えいしてしま
うおそれがある。
運用体制

本件業務のセキュリティ仕様

レベル２

・第三者との間で、担当者が機密保持契約を交わす。 ・第三者との間で、担当部署間が機密保持契約を交わす。
・機密保持契約には、情報の入手についてセキュリ
ティを守る条項を明記する。

該当レベル

対策仕様

JISQ項番 参考文献（JIS Q 27002：2006以外）

A.9.1.2

・金融機関等コンピュータシステムの安全対策基準・解説書（第7版） 設16, 運
13

・第三者との間に、双方の法務部門を通して、会社名義で機密保持契約を交わす。
・機密保持契約には、情報の入手についてセキュリ
ティを守る条項を明記する。

A.6.2.3・OSやアプリケーションのぜい弱性レポートを定期的に入手して、パッチ適用を計画する。

・OSやアプリケーションのぜい弱性レポートを定期的 ・OSやアプリケーションのぜい弱性レポートを随時入に入手して、パッチ適用を計画する。
手して、パッチ適用を計画する。
・本番相当環境で是正保守をテストし、障害がないこと ・本番相当環境で是正保守、予防保守をテストし、障を確認し本番機に適用する。
害がないことを確認し本番機に適用する。

A.12.6.1

・情報機器の一覧を作成する。
・情報機器一覧の棚卸を行う。

・情報資産（情報そのもの）の一覧を作成する。

A.7.1.1

・情報資産の分類基準（極秘、秘、社外秘等）を作成する。

・情報資産の分類基準（極秘、秘、社外秘等）を作成する。
・分類ごとに資産番号を付与する。

・情報資産の管理にツールを使い、拾い上げ、管理番号が付与されており、定期的に内部監査などを実査する。
・媒体や紙の資産については、管理番号を付与して、管理台帳等で所在が明確にして、施錠する。
・情報資産の分類基準（極秘、秘、社外秘等）を作成する。
・分類ごとに資産番号を付与する。

・情報資産に、分類基準に従って分類した結果を明記 ・情報資産に、分類基準に従って分類した結果を明記する。
する。
・情報資産を、分類基準に従って取扱う。
・情報資産を、分類基準に従って取扱う。
・資産ごとに管理責任者、保存期間、滅却期日を決め ・資産ごとに管理責任者、保存期間、滅却期日を決める。
る。
・帰宅時には、書類を机上に放置しない。
・離席時には、書類を机上に放置しない。
・ディスプレイに、盗み見防止のフィルタを装備する。
・一定時間（30分）が経過したら、画面を自動的にスク ・離席時には、すみやかに、画面を操作不可能な状態 ・ディスプレイに、電磁波対策のフィルタを装備する。
リーンロックする。
（ログオフ、スクリーンロック等）にする。
・一定時間（10分）が経過したら、画面を自動的にスク
リーンロックする。

A.7.2.2

A.11.3.3

・政府機関統一基準適用個別マニュアル群 庁舎内におけるPC利用手順 PCの取扱編 5.1 端末機能にかかわる検討、5.2 端末の設置(10)・バックアップのポリシー（世代管理、バックアップ対・バックアップ媒体を、同一建物内に保管する。
・バックアップ媒体を、遠隔地（60km以上）に保管す
象、取得サイクル等）を作成する。
・バックアップデータを、暗号化する。
る。
・ポリシーに従い、情報をバックアップする。
・リストアが、適切な時間内に可能であることを確認する。
・システムを新たに導入もしくは変更する場合は、本番 ・システムを新たに導入もしくは変更する場合は、本番 ・システムを新たに導入もしくは変更する場合は、本番
稼動前にテストする。
稼動前にテストする。
稼動前にテストする。
・システム開発者がテストした結果を見て検収する。 ・受け入れテストを第三者に委託して、客観的にテスト ・自社内に受け入れ検査の体制と、受け入れ検査用する。
のデータを用意して、擬似本番環境にて適切な期間
検収テストを行う。
・入力フィールドには、可能な限り、文字種や桁数等の ・データ入力作業を委託する場合、入力誤り率に関す ---> 前レベルと同様制限をつける。
るサービスレベルを契約で取り決める。
・入力データの妥当性をシステムでチェックする。
・部署単位で、セキュリティ教育を定期的に実施する。 ・部署単位で、セキュリティ教育を定期的に実施し、教 ・組織のトップから、全社員に対してセキュリティメッ
育受講者を管理する。
セージを通達する。
・作業外注者に対してセキュリティ教育を実施する。 ・部署単位で、セキュリティ教育を定期的に実施し、教育受講者を管理する。
・作業外注者に対してセキュリティ教育を実施する。
・会社組織として、セキュリティ教育推進部署を設置する。
・利用者の操作ログを取得して、定期的に監査する。 ---> 前レベルと同様
・複数の責任者で相互に監視する。
・利用者の操作ログを取得して、定期的に監査する。

A.10.5.1

・金融機関等コンピュータシステムの安全対策基準・解説書（第7版） 運27

・利用者の操作ログを取得して、定期的に監査する。 ---> 前レベルと同様

A.6.2

・資産ごとに管理責任者を決める。
・管理責任者の判断で資産を保存・滅却する。

7/11

・利用者の操作ログを取得して、定期的に監査する。
・コンピュータの操作画面をモニターする。

A.7.2.1

A.10.3.2

A.12.2.1
A.8.2.2

A.6.1

セキュリティ・可用性チェックシート（詳細項目版）
管理的セキュリティ対策
要素

対策項目

監査

緊急時対応計画

115
116
117
118
119
見直し

120

推奨レベル

分類

リスクの詳細レベル１

本件業務のセキュリティ仕様

レベル２

レベル３

レベル４

情報システムの運用を監査する 情報システムを定期的に監査し ・情報システムを監査しない。
ていないと、不正な活動を検出できなくて、情報が漏えいしてしまう
おそれがある。

・定期的に、個人による監査を実施する。

・監視計画と監視実績に基づいた監査を実施する。
・監査については、定期的に社内組織に委託する。

・監視計画と監視実績に基づいた監査を実施する。
・監査については、定期的に第三者組織に委託する。

情報漏えい時の対応を管理する 漏えい事故のレベルによって対 ・漏えい事故を管理しない。
応を管理していないと、対応が遅れ被害が大きくなるおそれがある。
情報セキュリティ事象を報告する 情報セキュリティに何らかの変化 ・情報セキュリティ事象の報告ルートを規定しない。
があった場合の報告の仕組みが規定されていないと、対応が遅れて被害が拡大するおそれがある。
セキュリティの弱点を報告する セキュリティの弱点が発見されて ・セキュリティの弱点の報告ルートを規定しない。
も報告する仕組みがないと、報告が遅れ、弱点を攻撃されたり、弱点を利用して情報が漏えいしたりする。
情報の取り扱いを記録する
誰がどのように情報を取り扱った ・情報の取り扱いを記録しないかを記録していないと、情報漏えい発生時に原因の追及が困難になり、再発を防げないおそれがある。
情報セキュリティ事故を管理して 情報セキュリティ事故の管理を ・情報セキュリティ事故を管理しない。
改善する
定期的に見直して改善しないと、同じような事象が発生するおそれがある。

・漏えい事故を管理する。
・すべての漏えい事故を同様に扱う。

・漏えい事故を管理する。
・漏えい事故に対する、レベル判断基準を設定する。
・漏えい事故に対する、レベル判断基準を設定する。 ・レベルに応じた対応を、組織的な手順として確立す
・漏えい事故のレベルに応じた対応を規定しない。
る。
・事故対応の情報、活動が、組織のトップまでスムー
・情報セキュリティ事象の報告ルート、速やかな報告 ---> 前レベルと同様ルールを規定する。

A.13

・セキュリティの弱点の報告ルートを規定する。

・セキュリティの弱点の報告ルート、速やかな報告
ルールを規定する。

---> 前レベルと同様

A.13.1.2

・情報の取り扱い履歴を、ログに記録する。

・情報の取り扱い履歴を、ログに記録する。
・利用者の情報の取り扱いを、ログに記録する。
・情報のログと、利用者のログを利用して、情報の流通経路をトレースするシステムを導入する。

---> 前レベルと同様

A.13.2.3

・情報セキュリティ事故を管理する。
・不定期に事故の改善を実施する。

・情報セキュリティ事故を管理する。
・定期的に事故の改善を実施する。

・情報セキュリティ事故を管理する。
・事故発生直後に改善を実施する
・定期的に事故改善を見直す。

A.13.2

・情報セキュリティ事象の報告ルートを規定する。

8/11

該当レベル

対策仕様

JISQ項番 参考文献（JIS Q 27002：2006以外）
A.15.3A.13.1.1

Webアプリケーション セキュリティ・可用性チェックシート（詳細項目版）
推奨レベル
要素

分類

情報を他人 ユーザ認証から守る（機
密性保護）

対策項目

リスクの詳細

レベル１

パスワードを利用する

パスワードが推測可能な容易な ・パスワードを設定しない。
ものになっていると、第三者がシステムに不正アクセスし、情報を漏えいしてしまうおそれがある。

1

ログインの認証方法をルール化 認証に関するルールが明確に ・認証に関するルールを定めない。
する
なっていないと、第三者がシステムに不正アクセスし、情報を漏え
いしてしまうおそれがある。

2

ログイン状態の継続をルール化 ブラウザを閉じた後もアプリケー ・認証状態の継続に関するルールを定めない。
するションに対しての認証状態を継続させる場合、第三者の操作によって情報が漏えいするおそれがある。
認証画面を暗号化する
認証画面へアクセスする際に、 ・認証画面を暗号化しない。
SSLによる暗号化などを施さないと、通信経路を傍受され、情報漏えいが発生するおそれがある。

3
4
アクセス権限アクセス権限を策定する

暗号化

データを暗号化する

5
6
7
セッション・Cookieの運用

8

アクセス権限を策定しないと、利 ・アクセス権限を定めない。
用者のアクセス可能範囲が明確とならないため、不正なアクセスを許してしまうおそれがある。

データを暗号化しないと、個人を ・データを暗号化しない。
特定できる情報が漏えいした場
合、第三者にその情報が知られるおそれがある。
パスワードを暗号化する
パスワードを暗号化しないと、第 ・パスワードを暗号化しない。
三者によってデータの漏えいが起きた場合、パスワードが第三者に知られるおそれがある。
セッションを使用したデータ保持 セッションの運用ルールを定めな ・セッションの使用ルールを定めない。
の方法を利用する
いと、第三者によってセッション
上のデータが漏えいするおそれがある。

Cookieを使用したデータ保持の Cookieの運用ルールを定めない ・Cookieの使用ルールを定めない。
方法を利用すると、第三者による盗聴等の被害を受けるおそれがある。

9

10
11
12
13
14
15
16
17

本件業務のセキュリティ仕様

レベル２

レベル３

・初期パスワードをすみやかに変更する。
・定期的（三ヶ月毎）に、パスワードを変更する。
・定期的（六ヶ月毎）に、パスワードを変更する。
・パスワードは、複雑なもの（八桁以上、パスワード世
・パスワードは、複雑なもの（八桁以上）を設定する。 代管理、三種類以上の文字種の使用）を設定する。
・パスワードは、管理者を含め誰にも教えない。
・パスワードを書き留めたり、コンピュータ上のファイルに保管したり、メールで送信したりしない。やむを得ず紙片等にパスワードを記載する必要がある場合には、
そのパスワードが容易に第三者に見られることがない
ように保管する。
・自分のパスワードが他人に漏えいした可能性や疑いがある場合は、パスワードを変更する。

該当レベル

対策仕様

JISQ項番 参考文献（JIS Q 27002：2006以外）

・同一利用者が複数のアカウントをもつ場合は、それぞれ異なるパスワードを設定する。
・一つのパスワードから他方が推測しやすいパスワー
ドを設定しない。
・生体認証を利用する。

A.11.2.3
A.11.3.1
A.11.5.2
A.11.5.3

・政府機関統一基準適用個別マニュアル群 庁舎内におけるPC利用手順 PCの取扱編 端末利用者パート 2.3 識別コードの日常の取扱い(2), (3)・認証の再試行可能回数を定める。
・認証画面(機能）を使用して、コンピュータとアプリ
・認証のログを採取する。
・再試行可能回数を超えて認証が失敗した場合は、二 ケーションを利用する。
・ログインID/パスワードはセッション上に保存せず、利十四時間当該アカウントを停止する。
・一定回数以上ログオンに失敗したアカウントは、ロッ 用者をシステム側で管理する一意な文字列をセッショ
・認証情報はセッションまたはCookieに保存する。
クアウトさせる。
ンに保存する。
・ログインID/パスワード等の認証情報をCookie上に ・パスワードの定期的な変更を、システム機能により暗号化せずに保存する。
強制させる。
・パスワードを他人から推測されにくいものにすることを、システム機能により強制させる。
・パスワードをシステム内に保存する場合は、暗号化する。
・パスワードをクライアント−サーバ間で通信する場合
は、暗号化する。
・ブラウザを閉じた後も、期限を定めずシステムに対し ・ブラウザを閉じた後も、一定期間システムに対しての ・個人情報及び、商取引を行うページへのアクセスのての認証状態を継続する。
認証状態を維持する。
際には、たとえ既にログイン状態であったとしても、再・認証状態の維持は、ユーザの明確な意思によって行 度ログインを行うようユーザに要求し、第三者によるわれるものとし、その操作方法について明記する。
不正な操作を防止する。

A.11.3.2
A.11.4.2
A.11.5.2

Web Application Security Consortium
http://www.webappsec.org/

・認証画面を暗号化する。
・SSLの鍵の種類については規定を設けない。

・SSLの鍵長は128Bitを使用する。

A.11.5.1

・利用者と管理者にクライアントを分類する。
・利用者は、管理者の機能を使用できないものとする。

・管理者の中に権限の階層を設ける。
・各機能へのアクセスログを採取する。
・管理者であっても、所定の権限がない場合はアクセスを許可しない。

・SSL証明書は、EV-SSL証明書を使用する。

・クレジットカード等の情報に限定して暗号化する。
・暗号化に使用する文字列を暗号化しない。

A.11.4.2
A.11.5.5

A.11.2.4
A.11.6.1

・個人を特定できる情報を暗号化する。
･全てのデータを暗号化する。
・暗号化に使用する文字列を暗号化する。
・暗号化に使用する文字列は、管理者以外に知らせ・暗号化に使用する文字列は、管理者以外でも容易 ない。
に知ることができる。
・パスワードは、復号可能な方式を使用して暗号化す ・パスワードは復号できない方式を使用して暗号化し、 ---> 前レベルと同様る。
たとえシステム管理者であってもユーザのパスワードを復号できないようにする。

A.10.7.3

・セッションIDは、開発に使用するアプリケーションが ・一定時間以上アクセスがない場合、システム側で・セッションを使用するすべての処理で、アクセスのた規定するものを使用する。
セッションを自動的に破棄し、利用者にはセッションが びにセッションを再作成する。
・セッションはWebブラウザを閉じるまでの間有効とす 期限切れとなった旨を通知する。
・セッションIDを格納するCookieは、暗号化通信が行る。
・認証及び個人情報を操作する処理においては、アク われている環境下でのみ使用する。
・新規にWebブラウザにてアクセスする度にセッション セスのたびにセッションを再作成する。
を作成する。
・セッションIDはCookieに保存する。
・セッションIDはURL文字列またはCookieに保存する。
・ログインID/パスワード等の認証情報をCookie上に ・システムが認識できる、意味を持たない文字列を認 ・利用者の嗜好分析・行動解析に使用する、個人を特保存する。
証情報の代替として保存する。
定することができない情報に限り、Cookie上への保存
・Cookieの有効期限は三十日以内とする。
・認証情報を扱うCookieについては、セッションの有効 を許可する。
・Cookieは保有するドメイン全体で使用する。
期限に準じた有効期限を使用する。
・ログイン情報等を取り扱うCookieについては、Cookie（例：xxxxx.com）
・その他の情報のCookieへの保存は許可しない。
を発行したドメインでのみ使用する。
・Cookieは使用するドメインでのみ使用する。
（例：www.xxxxx.com）

A.11.5.5

アプリケーションの 偽Webサイトによるフィッシング詐 Webサイトでむやみにフレームな ・Webサイトのデザインについてのルールを定めない。 ・フレームを使用しない。
対策
欺を対策するどを使用すると、コンテンツの詐・IFRAME/レイヤーについては規定しない。
称によりパスワードの抜き取りやフィッシング詐欺サイトへの誘導の危険性があります。
クロス・サイト・トレーシングを対
策する

レベル４

A.10.7.3

A.11.5.5

・IFRAME/レイヤーを使用しない。

・管理者機能の、管理者自らの操作によってHTMLを使用したコンテンツを作成する場合に限り、IFRAME/
レイヤーの使用を許可する。

A.10.4.1
A.12.2.4

Web Application Security Consortium
http://www.webappsec.org/

・「TRACE」メソッドを無効にする。
・攻撃を検出して、ログをとる。

・WAFを導入する。
・攻撃を検出して、管理者に通知する。

A.10.4.1

Web Application Security Consortium
http://www.webappsec.org/

・WAFを導入する。
・攻撃を検出して、管理者に通知する。

A.10.4.1
A.12.2.4

Web Application Security Consortium
http://www.webappsec.org/

・ログイン後の画面は、URL直入力などによる画面表 ・１アクセス毎に有効な、セッションIDとは異なるIDを利 ・WAFを導入する。
示を禁止し、正規の画面遷移のみ許可する。
用者に付与しシステム側と照合することで、正規の画 ・攻撃を検出して、管理者に通知する。
面遷移以外を排除する。
・攻撃を検出して、ログをとる。

A.10.4.1
A.12.2.1

Web Application Security Consortium
http://www.webappsec.org/

クロス・サイト・トレーシングが使 ・「TRACE」メソッドを有効にする。
用されると、他のぜい弱性を利用して、第三者が利用者（会員等）や管理者に成りすますおそクロス・サイト・スクリプティング クロス・サイト・スクリプティング ・利用者が入力した値をそのまま利用する。
(XSS)を対策する(XSS)が使用されると、パスワー
ドの抜き取りやフィッシング詐欺
サイトへの誘導、情報漏えい等のおそれがある。
クロス・サイト・リクエスト・フォー クロス・サイト・リクエスト・フォー ・ログイン後の画面を、URL直入力でいつでも表示すジェリを対策する
ジェリを使用されると、第三者に ることができる。
よるWebサイトの改ざん等のおそれがある。

・「TRACE」メソッドを無効にする。

パラメータ改ざんを防止する

・外部から入力（入力フォーム、URLパラメータや・WAFを導入する。
hidden、Cookie、ヘッダパラメータ等による入力）につ ・攻撃を検出して、管理者に通知する。
いて改ざんがされていないか、遷移先のページでチェックする。
・重要なぜい弱性が報告された場合は、即時バージョ ・重要なぜい弱性が報告された場合は、即時バージョ
ンアップ対応を行う。
ンアップ対応を行う。
・対策バージョンのリリースまでに時間がかかる場合 ・即時対応が不可能な場合はサービスを停止する。
に、ぜい弱性の報告内容から自社アプリケーションに該当の事象があるかを調査し、可能な範囲での対策を講じる。
・printf等の書式文字列関数のパラメータに、外部から ・書式文字列関数を使用しない。
・WAFを導入する。
入力したデータを使用する際は、書式文字列攻撃の ・攻撃を検出して、ログをとる。
・攻撃を検出して、管理者に通知する。
対策を実施する。

A.10.4.1
A.12.2.1

Web Application Security Consortium
http://www.webappsec.org/

A.12.2.2

Web Application Security Consortium
http://www.webappsec.org/

・Ｗｅｂサーバの利用者は既定のユーザを使用する。 ・Ｗｅｂサーバが実行可能なOSコマンドを制限する。
・外部から入力されたデータに、外部プログラムが埋 ・外部から入力されたデータに、外部プログラムが埋め込まれていないかチェックし排除する。
め込まれていた場合、ログに履歴を残す。

A.12.2.1

・利用者が入力した値は、例外なく無害化処理を施し ・攻撃を検出して、ログをとる。
た上で表示する。

パラメータ改ざんが発生すると、 ・パラメータ改ざんをチェックしない。
・入力フォームの値について改ざんがされていない
第三者が利用者（会員等）や管か、遷移先のページでチェックする。
理者に成りすますおそれがある。
ネットワークの過負荷と、サーバ バッファオーバフローを使用され ・サーバ上で使用するアプリケーションのバージョン管 ・アプリケーションのバージョンを管理し、バージョンへの過大な同時アクセスを対策 ると、Webサーバのサービス停止 理をしない。
アップ計画を作成して、順次最新の状態になるようにするや、Webサーバを乗っ取られるお運用する。
それがある。
サーバへの不正な要求によるサーバ攻撃を対策する

書式文字列攻撃されると、Web ・何も対策を施さない。
サーバのサービス停止や、Web
サーバを乗っ取られるおそれがある。
他システム・アプリ 外部プログラムの実行によるぜ 外部プログラムを不正に実行さ ・Webサーバのユーザ権限を使用する。
ケーションとの連携 い弱性を対策する
せると、Webサイトからの情報漏 ・外部から入力されたデータをチェックしない。
えい、改ざん等のおそれがある。

9/11

・基本的にWeb上からOSのコマンドは実行しない。どうしても実行しなければならない場合は、外部から入力されたデータに依存しない方法をとる。
・WAFを導入する。
・攻撃を検出して、管理者に通知する。

Web Application Security Consortium
http://www.webappsec.org/
Web Application Security Consortium
http://www.webappsec.org/

Webアプリケーション セキュリティ・可用性チェックシート（詳細項目版）
推奨レベル
要素

分類

対策項目

リスクの詳細レベル１

本件業務のセキュリティ仕様

レベル２

レベル３

SSI インジェクションを対策する

SSI インジェクション(Server-side ・外部から入力されたデータをそのまま使用してSSI箇 ・外部から入力（入力フォーム、URLパラメータ、---> 前レベルと同様
Include)を使用されると、パス所を処理する。
Cookie、ヘッダパラメータ等による入力）されたデータ
ワードの抜き取りやフィッシング
を使用してコードを生成する際は、SSI インジェクショ
詐欺サイトへの誘導のおそれがン対策を実装する。
ある。
不正スクリプトの実行を防止する 不正なスクリプトが実行される・利用者からアップロードされたファイルの内容を検証 ・利用者からアップロードされたスクリプトを実行させな ・アップロード可能な拡張子を制限する。
と、Webサイトからの情報漏えしない。
い。
い、改ざん等のおそれがある。

18
19

Webサーバの設定 ディレクトリのファイル一覧表示を防止する

ディレクトリのファイル一覧表示 ・ディレクトリ内のファイル一覧表示を許可する。
がむやみに許可されていると、攻撃者にWebサイト攻撃のための情報を提供することになるおそれがある。また、セキュリティモ
ラルの低いWebサイトとみなされ、攻撃対象にされるおそれがある。（ディレクトリ・リスティングと同じ）パスの乗り換えを防止する
パスの乗り換えを使用されると、 ・ドキュメントルートの外に存在するファイルを表示す第三者への情報漏えいのおそれ る。
がある。
Webサーバ上のアプリケーション Webサーバ上のアプリケーション ・Webサーバの種類、バージョンを公開する。
が特定されるのを防止するが特定されると、種類やバージョン情報から有効な攻撃方法が特定されるおそれがある。

20

21
22
23

24

25

アプリケーションの アプリケーション機能の悪用を防 アプリケーション機能が悪用され ・機能を自由に使用できる。
欠陥止する
ると、第三者への情報漏えい、改ざん、迷惑メールの踏み台等のおそれがある。

28
ネットワーク構成

29

30
情報の交換

Web Application Security Consortium
http://www.webappsec.org/

・アップロードされたファイルをバイナリレベルで評価し、不正なデータを排除する。

A.10.4.1
A.12.2.1

Web Application Security Consortium
http://www.webappsec.org/

A.10.7.3
A.12.4

Web Application Security Consortium
http://www.webappsec.org/

・URLに「..」等の不正な文字列を入力しても削除や置 ・既定以上のディレクトリ階層のファイルへのアクセス ---> 前レベルと同様換を行い、不正なパスの切り替えを実施させない。
をアプリケーションの設定で禁止する。

A.12.4

Web Application Security Consortium
http://www.webappsec.org/---> 前レベルと同様

A.10.7.3

Web Application Security Consortium
http://www.webappsec.org/

・ディレクトリ内のファイル一覧表示を許可しない。

・プログラムやHTMLファイルを配置しないディレクトリ ---> 前レベルと同様には、index.html等の名称で、空のファイルを配置する。

・Webサーバの種類、バージョンを公開しない。

---> 前レベルと同様

・Webサイト内検索機能を利用しても、公開を意図しな ---> 前レベルと同様
いファイルにはアクセスさせない。
・ファイルをアップロードする機能を利用しても、内部のファイルを置き換えさせない。
・Webサイト上のメールの入力フォームを利用しても、迷惑メールを送らせない。

Web Application Security Consortium
http://www.webappsec.org/

A.10.7.3

A.12.2.2

Web Application Security Consortium
http://www.webappsec.org/

想定しうる連続したリクエストを受信した場合でも、耐 ・DoS対策機能を持ったファイアウォール、ルータ等の ・DoS/DDoS攻撃対策を専門業者に委託し導入する。
えることができることを確認する。
導入もしくは、DoS対策専用機器を導入して対策を講じる。
・アプライアンスの導入が困難な場合は、OSレベルまたはWebサーバの拡張機能を使用して対策を講じる。
自動反復プログラムによる不正 利用者の作業を自動化するプロ ・登録フォームに必要情報を入力後、確認画面を表示 ・登録時は、直接登録完了を行わず、登録したメール ---> 前レベルと同様
・入力フォームにはCaptchaを使用する。
行為を防止する
グラムによる入力を制御する仕 した後に登録を完了させる。
アドレスに登録完了画面のURLを送信し、登録を完了
組みを用意しないと、不当に大させる。
量の会員登録を行われる等のおそれがある。
プロセスを検証する
プロセス検証が不適切だと、第 ・プロセスを確認しない。
・複数の画面を、決められた順番に進めていくプロセ ---> 前レベルと同様---> 前レベルと同様三者が利用者（会員等）に成りす
スにおいて、順番通りのステップを経てプロセスを進ます等のおそれがある。
めているかを確認する。

A.12.2.2

Web Application Security Consortium
http://www.webappsec.org/

A.12.2.2

Web Application Security Consortium
http://www.webappsec.org/

A.12.2.2

Web Application Security Consortium
http://www.webappsec.org/

データベースサーバへの攻撃を データベース（DB）サーバが攻撃 ・WebサーバとDBサーバを同一サーバに置く。
・WebサーバとDBサーバを同一サーバに置く。
防止する
されると、DBサーバからの情報 ・WebアプリケーションからのDBサーバへのアクセスを ・WebアプリケーションからのDBサーバへのアクセス
漏えい、改ざん等のおそれがあ 制限しない。
権は一般ユーザ権限とする。（管理者権限にしない）
る。

A.11.4.6

・DBサーバとWebサーバを物理的に別々のサーバに配置する。
・WebアプリケーションからのDBサーバへのアクセス権は一般ユーザ権限とする。（管理者権限にしない）
・DBサーバはWebサーバ以外からのアクセスが不可能な、ローカルエリア上に配置する。

・機密情報は、DBへの登録内容を全て暗号化し、参照する利用者に応じて復号化して提供する。
・DBに対して送られたSQL文は全てログとして収集し、DBサーバとは別サーバに保存する。

Webサーバの配置場所を検討す Webサーバが攻撃を受けると、 ・Webサーバをそのままインターネット上に公開する。 ・Webサーバはファイアウォールを経由して公開する。 ・Webサーバは、リバースプロキシや不可分散装置等 ・WebサーバはWAFを経由して公開する。
る
Webサーバの改ざん等のおそれの一次アクセス受付サーバと、アプリケーション実行がある。
用サーバに分割する。
・一次アクセス受付サーバのみ、外部ネットワークからのリクエストを受け付ける。

A.11.4.6

業務用情報システムへの不正な 業務用情報システムへ不正にア ・認証に関するルールを定めない。
アクセスを防止する
クセスされると、情報の改ざんや漏えいなどのおそれがある。

・認証の再試行可能回数を定める。
・認証画面(機能）を使用して、コンピュータとアプリ
・認証のログを採取する。
・再試行可能回数を超えて認証が失敗した場合は、二 ケーションを利用する。
・ログインID/パスワードはセッション上に保存せず、利十四時間当該アカウントを停止する。
・一定回数以上ログオンに失敗したアカウントは、ロッ 用者をシステム側で管理する一意な文字列をセッショ
・認証情報はセッションまたはCookieに保存する。
クアウトする。
ンに保存する。
・ログインID/パスワード等の認証情報をCookie上に ・パスワードの定期的な変更を、システム機能により暗号化せずに保存する。
強制する。
・パスワードを他人から推測されにくいものにすることを、システム機能により強制する。
・パスワードをシステム内に保存する場合は、暗号化する。
・パスワードをコンピュータ間で通信する場合は、暗号化する。
・取引情報を入力する画面はSSLによって暗号化し、 ・取引情報を入力する画面データはSSLによって暗号 ・利用者のSSL認証はID/パスワードだけではなく、電入力した取引情報もSSLによって暗号化する。
化し、入力した取引情報もSSLによって暗号化する。 子証明書を使用して個人認証する。
・SSL認証は、電子証明書を使ったサーバ認証を行・SSL認証は電子証明書を使ったサーバ認証を行い、 ・高額取引や原本性を重んじる商取引では、電子署名
い、利用者はID/パスワードを使用して認証する。
利用者はID/パスワードを使用して認証する。
を使用して電子商取引の内容を保証する。
・取引結果についてはメールにて双方に通知する。
・取引結果についてはメールにて双方に通知のみを行い、閲覧用のURLから取引結果を確認する。

A.10.8.5

・データを暗号化しない。

・取引情報を入力する画面はSSLによって暗号化し、入力した取引情報もSSLによって暗号化する。
・SSL認証は、電子証明書を使ったサーバ認証を行
い、利用者はID/パスワードを使用して認証する。
・取引結果についてはメールにて双方に通知する。

・取引情報を入力する画面データはSSLによって暗号 ・利用者のSSL認証はID/パスワードだけではなく、電化し、入力した取引情報もSSLによって暗号化する。 子証明書を使用して個人認証する。
・SSL認証は電子証明書を使ったサーバ認証を行い、 ・高額取引や原本性を重んじる商取引では、電子署名
利用者はID/パスワードを使用して認証する。
を使用して電子商取引の内容を保証する。
・取引結果についてはメールにて双方に通知のみを行い、閲覧用のURLから取引結果を確認する。

A.10.9.2

・情報を確認しない。

・公開前の情報について、内容に誤りがないかを目視 ・公開された情報に誤りがないことを目視で確認する。 ・改ざんを検出するシステムを使用し、情報の改ざんで確認する。
を監視する。
・改ざんを検出した場合は管理者に連絡する。
・情報の更新ログを取得する。

A.10.9.3

電子商取引サービ 取引内容を第三者から保護し、 コンピュータ間でやりとりされるス
当事者間だけの情報とすること 情報を保護しないと、取引の内を規定する容が漏えい、改ざんされるおそれがある。

オンラインで取引する

34

JISQ項番 参考文献（JIS Q 27002：2006以外）

・アップロードされたファイルはディレクトリ上に保管せず、所定の検証手続きを済ませた上でデータベース上に保管する。

31

33

対策仕様

A.10.4.1
A.12.2.1

瞬間的なアクセス過多などによ サービス拒否(DoS/DDoS)を実 ・全てのリクエストを受け付ける。
るサービス提供不能を防止する 行されると、Web サーバが利用者へ提供するサービスを妨害されるおそれがある。

27

該当レベル

・SSIは使用しない。

アプリケーションの リソースの位置を推測不可能に リソースが推測可能になっている ・推測しやすい名称のファイルやフォルダをドキュメン ・ドキュメントルート直下にAdminのような推測しやすい ・ドキュメントルート直下に、推測しやすい名称のファイ ・ハッカーがよく狙う推測可能なリソース（例：ディレクトリ構成
すると、第三者への情報漏えいのお トルート直下に配置する。
名称で、管理者用ページを含んだフォルダを配置しな ルやフォルダを配置しない。
robots.txt)を配置し、アクセスログをとる。
それがある。
い。
・robots.txt は配置しない。
・管理者用ページのパスのように、重要なファイルの ・コンテンツのバックアップとして、.bakや.oldの拡張子
パスを含んだ robots.txt を置かない。
でファイルを保存しない。
バックアップファイ バックアップファイル等、サーバ サーバ上のデータが情報漏えい ・サーバ内にファイルを自由に配置する。
・データベースのダンプファイルやコンテンツのバック ・重要か否かに拘らず、コンテンツ表示に使用しない ・重要な情報は、一度に多数の情報が閲覧できる一ルの取扱い
上のデータの情報漏えいを防止 すると、そのシステムを悪用する
アップなど、Webサイトの解析を行う足がかりとなる情 ファイルは一切置かない。
覧表示やCSVファイル出力などは行わない。
する
足掛かりを攻撃者に提供するお報や、個人情報などの重要な情報は、ドキュメント
・コンテンツで参照するデータファイルも外部から直接それがある。（「強制ブラウジン
ルート下に置かない。
リンクを張る必要が無い場合は、ドキュメントルート以グ」を含む）
外に置いて外部から参照させない。

26

32

レベル４

コンピュータ間でやりとりされる
情報を保護しないと、取引の内容が漏えい、改ざんされるおそれがある。

公開されている情報の改ざんを 価格や情報等、Webサイト上に防止する掲載される情報が改ざんされ、
不正に利用される可能性がある。

・データを暗号化しない。

10/11

A.10.9.1

Webアプリケーション セキュリティ・可用性チェックシート（詳細項目版）
推奨レベル
要素

分類

対策項目

リスクの詳細ログの収集と解析

監査ログを取得する

情報システムの適切な監査ログ ・ログを取得しない。
を記録しないと、発生した不正な活動に気づく事ができないおそれがある。

ログ情報を保護する取得したログ情報を保護しないと、内容の改ざんやログが破棄されるおそれがある。

35

レベル１

・ログを取得しない。

36

37
38

障害のログを取得する

障害ログを取得しないと、発生し ・ログを取得しない。
た事象に関して原因究明が困難になるおそれがある。
Webアプリケーショ プログラムに関するコーディング 開発者間で共通したプログラミン ・コーディング規約を設けない。
ン開発
規約を定義する
グに関するコーディング規約がな ・単独の担当者でシステムを開発する。
いと、品質と保守性に問題があるシステムになるおそれがある。

39

40
41

情報が事実 原本性保証と等しい（完全性保証）
監査プログラムを作るにあたって守ら セキュリティ指針を策定していな ・セキュリティ指針を策定しない。
なければならないセキュリティ方 いと、属人的なセキュリティ意識針を策定する
に基づいたプログラミングを行うことになるため、品質とセキュリ
ティ性に問題があるシステムになるおそれがある。
プログラム作成後、セキュリティ セキュリティテストを実施していな ・セキュリティテストを実施しない。
の問題点が無いことをチェックす いと、セキュリティ指針が周知徹る
底されていた場合でもぜい弱性を含んだシステムになるおそれがある。
データがネットワーク上で改ざん データが完全性を保証できない ・送信、受信されたデータの整合性を確認しない。
されていないことを保障すると、メッセージなどの情報が改ざんされて業務を混乱させるおそれがある。
情報システムを監査する

42
43

システムを稼 冗長化
働し続ける
（可用性保
証）

サーバを冗長化構成にする

ネットワーク経路を冗長化構成にする

44

データを冗長化構成にする

45
46

レベル３

対策仕様

JISQ項番 参考文献（JIS Q 27002：2006以外）
A.10.10.1

・情報システムの障害発生を記録する。

A.10.10.5

・記録された障害毎に、明確な対応策または運用規則 ・情報システムで障害が発生した場合は、システム管を定める。
理者に通知する。
・対応策が決められていない場合の、運用規則を定め
・コーディング規約を正式に規定し、文書化する。
・プログラムがコーディング規約に準拠しているかを専・コーディング規約を担当者に周知する。
用のツールを使用してチェックする。

・コーディング規約を定めるが文書化しない。

・セキュリティ指針を策定し、教育を実施する。
・セキュリティ指針を定期的に見直す。

A.10.10.3

・社外の作業者に対して、社内と同様の教育を実施す ・セキュリティ教育の浸透状況を監査する。
る。

・開発者本人による属人的なセキュリティテストを実施 ・セキュリティテストについての明確な枠組みを作り、する。
テストプロセスに組み込む。

・セキュリティテストは、開発者ではなくテスト専門の担当者が実施する。

・SSL認証を行い、メッセージを暗号化することで、メッ ・クライアント側のSSL認証は、ID/パスワードだけでは ・電子署名を使用して、送受信メッセージの完全性をセージの完全性を保証する。
なく、電子証明書を使用した個人認証を実施する。
保証する。
・SSL認証は電子証明書を使ったサーバ認証を実施
・金融、証券など、署名の日時に重要性がある場合
し、利用者側はID/パスワードを使用した認証を実施
は、タイムスタンプつきの電子署名を利用する。
する。
・定期的な個人による監査を実施する。
・監視計画と監視実績に基づいた、監査を実施する。 ・監視計画と監視実績に基づいた、監査を実施する。
・監査については、定期的に社内組織に委託する。
・監査については、定期的に第三者組織に委託する。

情報システムを定期的に監査し ・内部監査を実施しない。
ないと、不正の検出ができなく、情報漏えいを見逃すおそれがある。
サーバが障害などで停止してし ・サーバの障害時に、サーバが復旧するまでサービス ・Webサーバ及びDBサーバを二重化する。
・Webサーバ及びDBサーバを二重化する。
・Webサーバ及びDBサーバを二重化する。
まうと、利用者に提供しているが停止する。
・サーバの障害時に、サービスが数十分〜数時間の ・サーバの障害時に、サービスが数分〜数十分の停 ・一部のサーバに障害が発生しても、サービスは停止
サービスが停止してしまうおそれ
停止後、復旧できるようなシステム構造にする。
止後、復旧できるようなシステム構造にする。
しないシステム構造とする。
がある。
サーバまでのネットワーク経路が ・ネットワーク障害時に、ネットワークが復旧するまで ・ネットワーク経路を二重化する。
・ネットワーク経路を二重化する。
・ネットワーク経路を二重化する。
遮断されると、利用者に提供して サービスが停止する。
・ネットワーク障害時に、サービスが数十分〜数時間 ・ネットワーク障害時に、サービスが数分〜数十分の ・一部のネットワークに障害が発生しても、サービスはいるサービスが停止してしまうおの停止後、復旧できるようなシステム構造とする。
停止後、復旧できるようなシステム構造とする。
停止しないシステム構造とする。
それがある。
サーバのデータが消失すると、 ・データクラッシュ時に、データを復旧するまでサービ ・データを二重化する。
・データを二重化する。
・データを二重化する。
利用者に提供しているサービス スが停止する。
・データクラッシュ時に、サービスが数十分〜数時間の ・データクラッシュ時に、サービスが数分〜数十分の停 ・一部のデータがクラッシュしても、サービスは停止しが停止するおそれがある。
停止後、復旧できるようなシステム構造とする。
止後、復旧できるようなシステム構造とする。
ないようなシステム構造となする。

容量管理・拡張性

サーバの容量や能力を管理する 情報システムの能力が不足する ・情報システムの容量監視をしない。
と、情報システムが利用できなくなるおそれがある。

・ディスク容量や処理能力等について、利用者やデー ・情報システムの拡張が、容易なシステムにする。
タの伸びに対し、一定期間対応可能な情報システム
にする。

保守運用

アプリケーションを保守する

アプリケーションの不具合やぜい ・アプリケーションを保守しない。
弱性を放置しておくと、情報漏えいが発生するおそれがある。

アプリケーションを更新する

アプリケーションの更新を計画的 ・アプリケーションの更新は、動作検証しない。
に実施しないと、ぜい弱性が混入するおそれがある。

アプリケーションのバージョンを管理するアプリケーションに不具合が発覚 ・アプリケーションのバージョンを管理しない。
した際に、問題の無いバージョンに速やかに退行することが出来ないと、改修が完了するまでの間、アプリケーションの停止またはぜい弱性を抱えたままの運用をしなくてはならないおそれがあ
る。

48

該当レベル

・アカウントによるログオンイベント (ネットワーク、ドメ
イン、ローカル) を記録する。 (成功/失敗)・アカウントへの管理作業を記録する。 (成功/失敗)・アカウントまたはパスワードのポリシー変更を記録する。 (成功/失敗)・システムに影響のあるイベントを記録する。 (成功)・オブジェクト(ファイル等)へのアクセスを記録する 。
(失敗)
・特権の使用を記録する。(失敗)
・情報システムのログのバックアップを、 オフラインで ・オペレーティングシステムまたは、アプリケーションの ・ログを短いサイクルで、別の情報システムにオンライ
定期的に取得する。
機能により、適切なログの保護措置をとる。
ンでコピーまたは移動する。
・情報システムのログにアクセス可能なアカウントを制 ・ディスク等の容量不足などにより、ログが記録できな限する。
い場合は、システムを停止する。
・ログの記録漏れ、上書き等が発生しないよう、十分な ・ログのオフラインでのバックアップは、十分な期間に記憶容量を確保する
遡って参照可能にする。
・ログの削除が行われた事をログに記録する。

・データを二重化する。

49

レベル４

・情報システムのアクセスログを取得する。
・アカウントによるログオンイベント (ネットワーク、ドメ・アクセスログを、定期的に点検する。
イン、ローカル) を記録する。 (成功)・アカウントによるログオンイベント (ローカル) を記録する。 (成功)・アカウントへの変更(管理作業)を記録する。 (成功)・アカウントまたはパスワードのポリシー変更を記録する。 (成功)・システムに影響のあるイベントを記録する。 (成功)

負荷分散装置の設 サーバ負荷の設計と分散方式を サーバが過負荷になると、アプリ ・負荷を考慮しない。
置検討する
ケーションの停止や、ぜい弱性を原因とする情報漏えいのおそれ
がある。

47

50

本件業務のセキュリティ仕様

レベル２

・サーバや負荷分散装置を二重化し、耐障害性を高める。

・アプリケーションのバージョン管理は、バージョン管理ソフトウェアもしくは台帳を使用して管理する。

11/11

A.15.3A.10.6・負荷分散対象サーバを仮想化やクラスタ化し、より大規模な負荷を想定した構成とする。

・情報システムの稼働能力を監視する。
・情報システムの容量の増強を計画的に実施する。
・情報システムの容量の増強が容易なシステムにする。
・アプリケーションに関する保守や監視を、他業務を兼 ・アプリケーションの保守は専任の情報システム担当 ・保守作業は事前に保守計画を明らかにし、保守計画
務する従業員が実施する。
者が行う。
に沿った作業のみを実施する。
・アプリケーションの監視（特に死活監視）を実施す
・事前に申請のない保守作業は一切禁止する。
る。
・保守作業の内容は履歴に残す。
・アプリケーションに関する不具合やぜい弱性の情報 ・作業内容の履歴は、管理者であっても変更や削除がを管理し、計画的に対策する。
不可能な方法で保存する。
・緊急時の対応について事前に手順を明らかにし、操作手順に沿って作業を実施し、作業履歴は漏れなく保存する。
・アプリケーションの更新は、擬似環境上で問題がな ・更新箇所の履歴を管理する。
・本番環境上で、メンテナンス期間中に退行テストもあいことを確認した上で実施する。
・更新にはメンテナンス期間を設け、更新による不具 わせて実施する。
合が本番環境で発生しないことを確認する。
・アプリケーションのバージョン管理は、旧バージョンのバックアップファイルを残すことでバージョン管理とする。

A.12.2.3

・アプリケーションの更新を行う際は、関連するプログ
ラム一式を書庫ファイルに整理し、不具合発生時には関連するプログラム一式を速やかに退行できるようにする。

A.10.3.1