出社してから退社するまで中小企業の情報セキュリティ対策実践手引き

改訂版

2014 年 3 月 31 日
NPO 日本ネットワークセキュリティ協会

西日本支部

改訂履歴
版数

発行日

改訂履歴

第１版

2011 年 3 月 30 日

初版発行

第２版

2014 年 3 月 31 日

追加・修正のため第２版発行

I

はじめに
企業における情報セキュリティ対策のレベルアップには中小企業の情報セキュリテ
ィ対策の向上が欠かせないとして、情報セキュリティ 2010 にも中小企業に対する情報
セキュリティ対策支援が引き続き盛り込まれていますが、リスクの変化に応じた対応を
機動的に行う要求に、中小企業の環境・体制が阻害要因となり、コスト感のある複数かつ重畳的な施策に追随していけないため、中小企業の対策スピードは期待に反して上がらない現状にあります。
そこで、JNSA 西日本支部では優秀な技術を持ち、産業の要となっている中小・零細企業が多く存在する関西から、中小企業の情報セキュリティ対策は如何にあるべきか！
を手引きとして作成・提供する活動を 2004 年からスタートさせました。2006 年には「中小企業向け個人情報保護対策チェックシート」を、2008 年には「中小企業向け情報セキュリティチェックシート」をそれぞれ作成・公開し、情報セキュリティ対策の入り口となる情報資産の洗い出しと情報資産の管理台帳の整備を支援するための「情報資産管理台帳ワークシート」を併せて提供、チェックシートの作成、アンケート調査の過程で得られた成果を、「中小企業の情報セキュリティ対策支援活動報告書」として取りまとめ公開しました。
チェックシートやワークシートの提供・アンケート調査の過程で明らかになった課題
は、中小企業にとって保有する情報資産を洗い出し、リスクの評価、対策を行うことは、
非常に敷居の高いことであり、独力ではたいへん厳しいと言う結果でした。
そこで、課題克服に資するとともに、これまでの西日本支部の活動の集大成として、中小企業ならどこでも行っている一般的な業務に潜む情報セキュリティ上のリスクを洗い出し、評価、対策することを支援する「出社してから退社するまで中小企業の情報セ
キュリティ対策実践手引き」を作成することとしました。
もちろん、人が不注意によって犯してしまう過ちをゼロにすることは不可能です。しかし、それゆえに不祥事や事故に学び、その発生頻度を減らし、発生時の被害を極力抑え込むための改善が不断の努力、組織を挙げた取り組みのもとに行われなければなりません。
リスクを評価した業務は 200 を超えるものとなりましたが、このうち本手引きでは読者のみなさんに是非行って欲しい情報セキュリティ対策を 21 の管理項目ごとに纏め、情報セキュリティの基礎知識レベルで取り組むことが出来る 69 の業務に基づく情報セ
キュリティ対策として整理統合、対策の選択を有効性・効率性とコスト感から判断できII

る様に技術的対策と人的対策に分けて記述するとともに運用で心がけるポイントを併記しています。
読者自身の情報セキュリティ対策の手引書として活用戴くことで、様々な業種・規模の読者のみなさんに日常の業務処理における必見・愛読の書として活用いただければ幸いです。
NPO 日本ネットワークセキュリティ協会
顧問・西日本支部長
井上

III

陽一

改訂版に寄せて「出社してから退社するまで中小企業のセキュリティ対策実践手引き」(以下、「本手引き」という)初版を２０１１年３月３０日に出版し、それから３年が経過した。この３年間で IT
環境も大きく変化し、業務にも、それに伴う新しいリスクが出現した。今回の改訂版では、
多様性・高度化・複雑化している情報セキュリティをめぐる環境変化に的確に対応するた
め、「第１部

情報セキュリティ管理策」と「第２部

業務に基づく情報セキュリティ対策」の追加と修正を行った。
また追加、修正に加え「本手引き」との姉妹関係にあたる「情報セキュリティチェック
シート」との整合性を取った。その結果「本手引き」でリスクを認識し、情報セキュリテ
ィ対策を行っていただき、定期的に対策の成熟度を確認するツールとして「情報セキュリ
ティチェックシート」を利用していただくといった活用方法も違和感無く行っていただけ
るようになったと思う。ぜひ「本手引き」並びに「情報セキュリティチェックシート」を活用いただき、組織の情報セキュリティ対策を成熟させていただきたい。
追加、修正箇所
第１部

管理策の順序「情報セキュリティチェックシート」との整合性を取るため管理策の順序を変更※「暗号化」、「アプリケーションの利用」、「クリアデスク・クリアスクリーン」
は「情報セキュリティチェックシート」の確認内容の各項目に分散されるため、「情報セキュリティチェックシート」には明示的に設けていない。

第１部

クラウドサービスの利用「外部サービスの利用」を「クラウドサービスの利用」に変更
内容を修正

第１部

IT 継続性
「情報セキュリティチェックシート」との整合性を取るため新規追加

第１部

認証と権限
内容を修正

第１部

ネットワークのアクセス制御
内容を修正
IV

第１部

記憶媒体の管理
内容を修正

第１部

スマートデバイスの利用
新規追加

第１部

Web の開発管理
内容を修正

第１部

SNS の利用
新規追加

第２部

業務に基づく情報セキュリティ対策
第１部の追加、修正による業務の追加、修正V目次
改訂履歴 ............................................................................................................................... I
はじめに .............................................................................................................................. II
改訂版に寄せて................................................................................................................... IV
導入部 ................................................................................................................................... 1
1.概要 ................................................................................................................................ 1
2.本手引きの対象企業 ....................................................................................................... 1
3.本手引きの対象読者 ....................................................................................................... 2
4.本手引きの使用方法 ....................................................................................................... 2
5.管理策から省いた項目 ................................................................................................... 4
第1部

情報セキュリティ管理策 ........................................................................................ 5

0.1.第 1 部と第 2 部との対応 ............................................................................................ 5
0.2.凡例 ............................................................................................................................. 7
1.セキュリティ境界と入退室管理 ..................................................................................... 7
2.クラウドサービスの利用 ................................................................................................ 8
3.障害・事故管理 .............................................................................................................. 8
4.IT 継続性........................................................................................................................ 95.認証と権限 ..................................................................................................................... 9
6.ネットワークのアクセス制御....................................................................................... 10
7.パッチの適用................................................................................................................ 11
8.ウイルス及び悪意のあるプログラムに対する対策 ...................................................... 11
9.記憶媒体の管理 ............................................................................................................ 12
10.スマートデバイスの利用 ............................................................................................ 13
11.電子メールの利用 ....................................................................................................... 14
12.Web の開発・管理 ...................................................................................................... 14
13.ログの取得 ................................................................................................................. 15
14.バックアップ.............................................................................................................. 1615.容量・能力の管理 ...................................................................................................... 16
16.変更管理 ..................................................................................................................... 17
17.構成管理 ..................................................................................................................... 17
18.SNS の利用 ................................................................................................................ 18
19.暗号化 ........................................................................................................................ 19
20.アプリケーションの利用 ............................................................................................ 19
21.クリアデスク・クリアスクリーン ............................................................................. 20
第2部

業務に基づく情報セキュリティ対策 .................................................................... 21VI0.凡例 .............................................................................................................................. 21
1.出社 .............................................................................................................................. 22
2.社内業務 ....................................................................................................................... 23
3.社外業務 ....................................................................................................................... 56
4.退社 .............................................................................................................................. 71
5.帰宅 .............................................................................................................................. 72
6.システム管理業務 ........................................................................................................ 76
7.情報セキュリティ対策シート....................................................................................... 91
付録 .................................................................................................................................... 92
1.用語 .............................................................................................................................. 92
2.情報資産の洗い出しについて....................................................................................... 93
3.本手引き管理項目と ISMS 詳細管理策との対応 .......................................................... 96
4.システム概念図 ............................................................................................................ 97
参考資料 ............................................................................................................................. 98

VII

導入部
1.概要
「出社してから退社するまで中小企業の情報セキュリティ対策実践手引き」(以下、「本手引き」という)は、抽象的あるいは技術的に難解になりがちな情報セキュリティ対策について、平易な具体的対策例を紹介することで、対象となる中小企業が出来る限り手間と時間を掛けずに、情報セキュリティ対策を実践できるように作成した手引きである。
提示する管理策は、中小企業であればどこでも行っている一般的な業務に潜む情報セキ
ュリティ上のリスクを想定し、業務の継続を阻害する極端な管理策あるいは禁止事項を避け、日常、合理的に行える管理レベルを目指すように配慮した。

2.本手引きの対象企業
中小企業基本法第 2 条では、中小企業を業種・従業員数・資本規模の 3 つの要素から定義しているが、本手引きでは、中小企業であればどこでも行っている一般的な業務に着目した情報セキュリティ対策の実践を支援することとしているため、業種・資本規模に関わらず、従業員数 300 人以下を便宜上中小企業として扱う。
また、日本ネットワークセキュリティ協会

西日本支部(以下、「JNSA 西日本支部」という)では、多年に亘る中小企業における情報セキュリティ対策の実態調査・研究の結果から、中小企業を、情報セキュリティにおける対策の要請から表 0-1 のとおり、4 つの分類に定義している。

1

上付き(N)は参考資料の番号を示す

表 0-1 情報セキュリティにおける対策の要請による中小企業の分類(1)
本手引きでは分類群Ⅱ、ⅢとⅣに分類される企業が対象となる。分類群Ⅰに分類される「他企業との取引のウエイトが高い企業」は、ISMS(Information Security Management
System)認証(2)(3)(4)やプライバシーマーク認証(6)(7)を取得、あるいはそれらと同等の強いセキ
ュリティ管理策を要求されており、すでに十分なセキュリティ管理レベルに達していると考えられるため、本手引きの対象から除外した。

3.本手引きの対象読者
本手引きの対象読者は、中小企業で、実際にシステムの運用管理に携わっているシステ
ム管理者、または何らかのシステムの運用管理に携わっている方(システムの運用管理を外部委託している場合、委託先の管理業務も含む)を対象としている。

4.本手引きの使用方法
本手引きは、「第 1 部

情報セキュリティ管理策」、「第 2 部

ティ対策」の 2 部から構成されている。

2

上付き(N)は参考資料の番号を示す

業務に基づく情報セキュリ

(1) 第 1 部

情報セキュリティ管理策

第 1 部では中小企業に行なって欲しい情報セキュリティ対策を 21 の管理項目としてまとめ、管理項目ごとに管理策を記述している。
なお、各管理策において、大きな投資及び技術的・運用的に難しいものについては参考として記述している。
(2) 第 2 部

業務に基づく情報セキュリティ対策

第 2 部では、中小企業で行う業務を大きく、「出社」、「社内業務」、「社外業務」、「退社」、「帰宅」、「システム管理業務」に分け、各業務に潜むセキュリティ上の脆弱性(現状のセキュリティレベル欄)により発生する可能性があるリスク(リスクシナリオ欄)に対応した情報セキュリティ対策を、技術的な対策と人的な対策に分け記述している。
なお、記載した業務は企業の行う業務をすべて網羅している訳ではない。また、その業務に付随するセキュリティ上の脆弱性、及びリスクに関しても、すべて網羅している訳ではない。「5.管理策から省いた項目」に記述するように意図的に管理策から省いた項目もあり、第 2 部で記載したリスク及び管理策に対応するだけでは十分ではないことに注意して欲しい。
(3) 第 1 部と第 2 部の対応
「第 1 部

情報セキュリティ管理策」と「第 2 部

業務に基づく情報セキュリティ対策」の対応は第 1 部の初めに記載しているので、第 1 部に目を通して頂き、何の為にその管理策を行うのかが理解頂けない場合は、第 2 部と紐づけて参照頂きたい。
(4) 情報セキュリティ対策シート
第 2 部の最後に白紙の「情報セキュリティ対策シート」を用意した。読者自身が、本手引きを参考に※、自社の業務に潜む脆弱性、リスクを洗い出し、自社に相応しい対策を考え、さらには新たな業務、脆弱性、リスクに対応するための定期的な見直しを、「運用で心がけるポイント」を参考に継続・実践されることで、セキュリティ強度の向上につながれば幸いである。
※「業務」とは異なる「情報資産」からのリスク対策のアプローチについて、「付録
報資産の洗い出しについて」に記載した。また「図2.情付録-2 ISMS 構築のステップ(JIS Q

27001:2006)」は「業務」「資産」に関係なく共通的にアプローチできる構築ステップなのでぜひ参考にして欲しい。

3

上付き(N)は参考資料の番号を示す

5.管理策から省いた項目
本手引きの管理策の対象は、“対象が IT であるか対策が IT で可能”なもののみとした。
このため、(1)(2)(3)(7)は、管理策の対象から省いた。また、(4)は技術的対策が可能であるが中小企業には難しいため省いた。(5)、(6)に関しては、ワークグループメンバーに十分な知識がないため、対象から省いている。なお(5)、(6)、(7)に関しては、関連するリンクを参考資料に記載したので、参考にして欲しい。
(1) 紙・物に関するもの(2) 電源、空調等の設備管理に関するもの(3) 経営者、システム管理者等の権限者の不正(4) DoS 攻撃(5) 個人情報保護に関するもの(6)(7)(8)(9)(6) 委託先管理に関するもの(10)(7) 対策が教育・啓蒙になるもの(11)4上付き(N)は参考資料の番号を示す

第1部

情報セキュリティ管理策

0.1.第 1 部と第 2 部との対応

5

上付き(N)は参考資料の番号を示す

6

上付き(N)は参考資料の番号を示す

0.2.凡例(1) 管理目的
管理策を行う目的(2) 管理策
中小企業が行うべき具体的な情報セキュリティ対策
大きな投資及び技術的・運用的に難しいものは“(参考)”として記述している(3) 運用で心がけるポイント
セキュリティ対策を継続していくうえでの運用における注意点(4) 関連する管理項目
関連する管理項目を列挙

1.セキュリティ境界と入退室管理(1) 管理目的
情報と情報機器への許可されていないアクセスを防止するため(2) 管理策① 情報と情報機器が設置されている場所を保護するため、門、入口、壁、仕切り等の物理的な境界を設定する② 設定された境界を越える権限を許可された者のみに与え、許可されていないアクセスを防止するために、境界にカード制御による入口、守衛等の設備・機能を設置する③ 境界を越えて入ってくる、あるいは出ていく者の記録(誰が、いつ)を保存する(3) 運用で心がけるポイント① 退職、人事異動に伴う、アクセス権限の見直しを行う② 定期的に入退室記録を確認する(4) 関連する管理項目
認証と権限、クリアデスク・クリアスクリーン

7

上付き(N)は参考資料の番号を示す

2.クラウドサービスの利用(1) 管理目的
クラウドサービスの利用に際し、組織の要求する情報セキュリティ及びサービスレベル(12)を確保し、維持するため(2) 管理策① クラウドサービスの利用に際し、組織の求めるセキュリティレベル(入退館・入退室管理、情報漏えい対策、認証強度、アクセス制御、ウイルス対策、障害・事故対策、災害対策等)、サービスレベル(対応時間、サービス可能時間、リソースの使用保証等)を明確にする。
② クラウドサービスの利用に際し、セキュリティレベル、サービスレベルの確認を実施す
る③ クラウドサービス提供者とセキュリティレベル、サービスレベルを取りきめ契約を締結する(参考)(3) 運用で心がけるポイント① クラウドサービスに要求するセキュリティレベル、サービスレベルを確認する② クラウドサービスのユーザインターフェイスの変更、機能変更・追加に注意し、認証などセキュリティ強化に繋がる変更は利用して行く③ データセンターのロケーションにより適用される法律が違うことに注意する。
(4) 関連する管理項目
認証、SNS の利用、スマートデバイス

3.障害・事故管理(1) 管理目的システム障害(システム・サービスの停止、誤動作、破損等)、セキュリティ事故(情報漏
えい、改ざん、アクセス違反、ウイルス感染、外部からの攻撃等)が発生した場合、根本原因を取り除き、再発防止を行うため(2) 管理策① システム障害、セキュリティ事故の発生に備え、連絡網を整備し、障害・事故発生時は連絡網に従い報告する② 障害・事故が発生した場合は、いつ、誰が、何を、どのようにして、障害・事故を発生させ、その結果どうなったのかを記録する③ 記録から障害・事故発生の根本原因を追及し、それを取り除き、再発防止を行う
8

上付き(N)は参考資料の番号を示す

(3) 運用で心がけるポイント① 障害・事故発生時の連絡網が組織の実情を反映しているか確認する② 障害・事故発生時の記録が保存されているか確認する(4) 関連する管理項目
ウイルス及び悪意のあるプログラムに対する対策、バックアップ、変更管理、構成管理、
容量・能力の管理

4.IT 継続性(1) 管理目的システムの重大な障害(システム・サービスの停止、誤動作、破損等)の影響からシステムを保護し、またシステムの中断に対応するとともに復旧を確実にするため(2) 管理策① システムに重大な障害が発生した場合の業務への影響範囲、被害及びリスクを明確にし、それらに基づいた、システムの保護対策(バックアップ、リプリケーション、冗長化等)
あるいは障害への対応・復旧計画を策定する② システム障害におけるシステムの保護対策、対応・復旧計画が有効であることを定期に確認、見直しする③ 地震、火災、水害、大規模停電などの災害によるシステムへの影響を考慮し、システムの保護対策あるいは障害への対応・復旧計画を策定する(参考)(3) 運用で心がけるポイント① 定期的に障害への対応・復旧訓練を行い対応・復旧計画を見直す(4) 関連する管理項目
バックアップ、ウイルス及び悪意のあるプログラムに対する対策、変更管理、構成管理、
障害・事故管理、容量・能力の管理

5.認証と権限(1) 管理目的
情報と情報機器への許可されていないアクセスを防止するため(2) 管理策① 入館・入室設備、PC(BIOS、OS)、サーバー、ネットワーク、アプリケーション、スマートデバイス（スマートフォン、タブレット）、携帯電話等にアクセスするための個人
9

上付き(N)は参考資料の番号を示す

及びプログラムを認証する仕組みを構築・設定する② 認証には、ワンタイムパスワード、二段階、ID カード、デバイス(ハードウェアトーク
ン、IC カード、USB キー等)、パスワード、バイオメトリックス(指紋認証、静脈認証等)等及びこれらの組み合わせ(複数要素認証)の第三者が簡単に悪用できない仕組みを用いる③ 認証のためのユーザ ID は個人を特定できるように付与する④ ユーザ ID は職務権限に応じた、情報と情報機器へのアクセス権限を付与する⑤ 特権は、システム管理者、業務の管理者等特別の職務権限を持った者だけに付与する⑥ パスワード(13)は例えば「12 文字以上に設定し、大文字、小文字、数字、特殊文字の 4 つを組み合わせ、3 カ月に 1 度変更する」(以降「」をパスワードポリシーとする)とする。
(3) 運用で心がけるポイント① 退職、人事異動に伴う、ユーザ ID、アクセス権限の見直しを行う② アクセスする情報の重要度、情報機器のある場所及び情報にアクセスする場所により認証の強度を検討する(4) 関連する管理項目
セキュリティ境界と入退室管理、アプリケーションの利用、電子メールの利用、ネット
ワークのアクセス制御、Web の開発・管理、クラウドの利用、SNS の利用、スマートデバイスの利用6.ネットワークのアクセス制御(1) 管理目的
ネットワークを経由した情報への許可されていないアクセスを防止するため(2) 管理策① インターネット等の外部ネットワークと組織のネットワークの境界には、ファイアーウ
ォール、ルータなどのアクセス制御装置を設置しアクセス制御を行う② 公開用の Web サーバー、メールリレーサーバー等は内部ネットワークとはファイアー
ウォールで隔てた別のネットワーク(DMZ)に設置する③ 外部から組織のネットワークに接続する場合、許可された者のみに接続を許すために、適切な認証を行い、安全な接続(SSL-VPN、IPsec、PPTP 等)を行う④ 外部ネットワークと内部ネットワーク、外部ネットワークと DMZ 間の通信プロトコル(=サービス：HTTP、HTTPS、FTP、SMTP、POP 等)は必要最低限のもののみ許可する
10

上付き(N)は参考資料の番号を示す

⑤ 公開サーバー、内部サーバー共に不要なサービスは停止する⑥ 無線 LAN を使用する場合は、WPA2 等の安全な暗号化方式を用い、暗号鍵を設定する⑦ 特定の場所または特定の PC、端末からの接続のみ許可するために PC、端末の識別子(IP アドレス、MAC アドレス等)での認証を行う(参考)⑧ 危険な Web サイトにアクセスできないように Web フィルタリングを導入する(参考)(3) 運用で心がけるポイント① 通信に不要なプロトコル、ポートが使用できないことを確認する② 外部からの接続をする場合、認証が有効であることを確認する③ 無線 LAN は外部ネットワーク扱いとしてネットワークを設計する(4) 関連する管理項目
セキュリティ境界と入退室管理、認証と権限

7.パッチの適用(1) 管理目的公開されている技術的脆弱性の悪用によって生じる情報の漏えい、改ざん、破壊、及びシ
ステム(ソフトウェア、ネットワーク機器)の破壊、停止、を防止するため(2) 管理策① 使用しているソフトウェア(OS、ミドルウエア、アプリケーション)、ネットワーク機器の脆弱性が発見された場合は、パッチを適用する② パッチ適用による副作用がある場合に備え、切り戻すための手順を確立する(3) 運用で心がけるポイント① 現状のソフトウェア、ハードウェアの構成及びパッチの適用状況を把握する(4) 関連する管理項目
バックアップ、変更管理、構成管理

8.ウイルス及び悪意のあるプログラムに対する対策(1) 管理目的
情報の漏えい、改ざん、破壊及びソフトウェアの改ざん、破壊を防止するため(2) 管理策① ウイルス及び“悪意のあるプログラム”(悪意のあるプログラムをマルウェアと言い、ワーム、スパイウエア、トロイの木馬、ボット、アドウエア等を指す)を検知、除去す
るアンチウイルスソフトウェアを導入し、新しいエンジン・パターンファイルがリリー
11

上付き(N)は参考資料の番号を示す

スされるとすぐに更新する② コンピューター(PC、サーバー)をアンチウイルスソフトウェアで定期的(1 週間に 1 度程度)にスキャンする③ USB メモリ、CD-ROM 等の記憶媒体及びネットワーク経由(Web、メール、FTP 等)で取得したファイルをアンチウイルスソフトウェアで使用前に、自動又は手動でスキャンする④ USB メモリ、CD-ROM 等の記憶媒体へのファイルの移動・コピー、メールへのファイル添付時に、ファイルをアンチウイルスソフトウェアで自動又は手動でスキャンする⑤ 危険な Web サイトにはアクセスしない。アンチウイルスソフトウェアに危険な Web
サイト警告機能がある場合は、機能を有効にし、警告ソフトの指示に従う⑥ アクセスする Web ページをスキャンする⑦ アンチウイルスソフトウェアの導入は、PC だけではなく、企業内のサーバー(メール、
ファイル、Web、FTP、DNS、Proxy 等)及びゲートウエイ(インターネットから企業への入り口)への導入についても考慮する(3) 運用で心がけるポイント① コンピューター上でアンチウイルスソフトウェアのエンジン・パターンファイルが最新に更新状態であることを確認する② 定期的にアンチウイルスソフトウェアがコンピューターをスキャンしていることを確認する(4) 関連する管理項目
記憶媒体の管理、アプリケーションの利用、障害・事故管理

9.記憶媒体の管理(1) 管理目的
情報の漏えい、改ざん、消去、破壊を防止するため(2) 管理策① 記憶媒体の数量、所在を管理する② 使用した記憶媒体(ハードディスク、テープ、USB メモリ、CD、DVD、スマートカー
ド等)を廃棄する場合は、保存した情報が解読できないように、信頼できる方法で、記憶媒体の物理的破壊(14)、情報の消去または上書き消去(15)を行う③ 重要な情報を保存した記憶媒体は、製造者の仕様に従って、適切な環境(磁気、湿度、温度などの制限)及びセキュリティの確保(耐火金庫、施錠管理)できる場所に保存する④ 許可されていない記憶媒体の使用ができないように、PC、サーバーのデバイス制御を行う(参考)⑤ バックアップデータを記憶媒体に長期保管する場合は、記憶媒体の寿命を考慮し、定期
12

上付き(N)は参考資料の番号を示す

的に、バックアップデータを新規記憶媒体に移動する等適切な処置を行う(参考)(3) 運用で心がけるポイント① 定期的に記憶媒体の棚卸を実施し、数量、所在を確認する② 磁気的にデータ消去した場合は、廃棄前に情報が消去されていることを確認する③ USB メモリ、Flash SSD、SD カード、スマートフォン、タブレットの記憶装置として使用される NAND 型フラッシュメモリ(16)(17)は、情報の消去または上書き消去で媒体(素子)に情報が残る可能性があることに注意する(4) 関連する管理項目
ウイルス及び悪意のあるプログラムに対する対策、バックアップ

10.スマートデバイスの利用(1) 管理目的
スマートデバイス(スマートフォン、タブレット)の利用に伴う、情報の漏えい、改ざん、破壊を防止するため(2) 管理策① スマートデバイスの資産管理を行う② ジェイルブレイク、ルート化を禁止する③ 製造者及びキャリアの提供するパスコードロック、自動ロック、パスコード入力に失敗した場合のデータ消去、リモートワイプ、暗号化、ウイルス及び悪意のあるプログラムに対する対策機能は有効にしておく④ 有償、無償を問わず組織が許可したアプリケーション(ソフトウェア)のみ使用を許可する⑤ 有償、無償を問わず組織が許可したクラウドサービスのみ使用を許可する⑥ スマートデバイス、アプリケーションの脆弱性情報を入手し、リリースされたセキュリ
ティパッチは必ず適用する⑦ 社外で Wi-Fi、赤外線、Bluetooth ネットワークに接続する場合は、信頼できるネット
ワークのみ使用する⑧ 重要な情報をスマートデバイス以外にバックアップする手順を備える⑨ スマートデバイスの利用ガイドライン(18)(19)(20)を策定する。
(3) 運用で心がけるポイント① 位置情報とアプリケーション、スマートデバイスとクラウドサービス及び SNS との自動連携機能の設定を確認し、意図しない連携を防止する② 定期的にスマートデバイスの棚卸しを実施すると共に設定状況を確認し、セキュリティ
パッチの適応状況、許可アプリケーション以外使用されていないことを確認する
13

上付き(N)は参考資料の番号を示す

(4) 関連する管理項目
認証と権限、パッチの適用、記憶媒体の管理、暗号化、バックアップ、クラウドサービ
スの利用、SNS の利用

11.電子メールの利用(1) 管理目的
電子メールに含まれた情報を、漏えい、改ざんから保護するため(2) 管理策① 電子メールサービスの利用にあたってはユーザ認証を行う② 同時に複数の宛先にメールを送信する際、宛先のメールアドレスを受信者に公開したくない場合は BCC を利用する③ 重要な情報は、本文に記載せず、添付ファイルとし、暗号技術を利用する④ 誤送信を低減するため、誤送信防止ソフトウェアを導入する(参考)⑤ 改ざんされた場合に問題が発生する情報には、電子署名の利用をする(参考)(3) 運用で心がけるポイント① 電子メールの利用に何らかのユーザ認証が行われることを確認する(4) 関連する管理項目
認証と権限、暗号化

12.Web の開発・管理(1) 管理目的
情報の漏えい、改ざん、破壊及びソフトウェアの改ざん、破壊を防止するため(2) 管理策① Web に公開する情報は改ざんから保護するため、必要なアクセス制御(ルータ、ファイ
アーウォール、OS、Web サーバー、アプリケーション等での制御)を行う② 顧客の個人情報等、第三者の情報を保存する場合は、「安全な Web アプリケーション構築の手引き」(21) (22)に従い、Web システムを開発・構築する(参考)③ 組織の外部から、公開している Web サイトに悪意のある攻撃が無いか、WAF、IPS、
IDS、外部の監視サービス等を用い監視を行う(参考)④ 定期的に Web サイトの強度、運用、管理方法に関して、第三者機関の検査または監査を実施する(参考)14

上付き(N)は参考資料の番号を示す

(3) 運用で心がけるポイント① 公開されている Web サイトが改ざんされていないか定期的に確認する② 改ざん、漏えい事故が発生した場合の、対処方法(リカバリー方法、届け出等)を確認する(4) 関連する管理項目
認証と権限、バックアップ、ネットワークのアクセス制御、変更管理、構成管理、障害・事故管理

13.ログの取得(1) 管理目的
許可されていない情報処理活動の検知、システム異常の検知及び障害・事故を分析す
るため(2) 管理策① 許可されていない情報処理活動(不正アクセス等)を検知するために、リソース(ファイル、
ソフトウェア、ネットワーク機器等)へのアクセスの成功・失敗・警告・エラー、ユー
ザのログイン・ログアウトに関するログを取得し分析する② システム(ハードウェア、ソフトウェア)の異常を検知するため、システムの警告・エラーログを取得し分析する③ イベントが発生した時刻を正確に把握するため、システム機器は標準時間に同期させる④ ログを必要な期間保存(6 カ月以上)するための十分なストレージ容量を確保すると共に、ログの改ざん・変更・削除から保護する⑤ 許可されていない情報処理活動を検知するために、ユーザ PC の活動履歴を取得し分析する(参考)(3) 運用で心がけるポイント① 必要なログがすべて取得され必要な期間保管されていることを確認する② ログが定期的に分析、報告されていることを確認する(4) 関連する管理項目
変更管理、構成管理、障害・事故管理15

上付き(N)は参考資料の番号を示す

14.バックアップ(1) 管理目的
情報及びシステム(ソフトウェア、サーバー、ネットワーク)を障害・事故から保護するため(2) 管理策① どの情報、どのシステム(ソフトウェア、サーバー、ネットワーク)構成をバックアップ
する必要があるのかを明確にする② どの時点の情報あるいはシステム構成に戻る必要があるのか(RPO=Recovery Point
Objective)、何時までに復旧する必要があるのか(RTO=Recovery Time Objective )により、バックアップの方法(フルバックアップ、差分バックアップ、頻度)及びメディアの種類(NAS、Tape、CD-R 等)を考慮する③ 停止できないシステム(ソフトウェア、サーバー、ネットワーク)には冗長化(RAID、構成の 2 重化)、UPS の設置を考慮する(3) 運用で心がけるポイント① 確実にバックアップによりリストア(データを元の状態に戻すこと)できることを確認
する② 想定される障害・事故に対して、リカバリー(障害・事故から元の状態に戻すこと)計画を策定し、定期的にリカバリーテストの実施状況（テスト結果が RPO と RTO に整合していること）を確認する(4) 関連する管理項目
変更管理、構成管理、障害・事故管理

15.容量・能力の管理(1) 管理目的システムの容量・能力(CPU、メモリ、記憶媒体、ディスク IO、ネットワーク帯域等)を
業務の変化に合わせ最適化することにより、障害・事故発生の可能性を最小限にするため(2) 管理策① システム容量・能力を定期的に測定する② 業務が円滑に行われるためのシステム容量・能力の閾値(threshold)を設定し、業務変化に伴うシステム処理容量の増加により、この閾値を越える見込みがある場合は、事前に、システム容量・能力の増強を行う(参考)16

上付き(N)は参考資料の番号を示す

(3) 運用で心がけるポイント① システム容量・能力の測定結果を確認する(4) 関連する管理項目
障害・事故管理16.変更管理(1) 管理目的
すべてのシステム(ハードウェア、OS、ミドルウエア、アプリケーション)に対する変更を一元的に管理して、障害・事故発生の可能性を最小限にすると共に、障害・事故発生
時に障害・事故から速やかに回復するため(2) 管理策① 変更が失敗した場合の切り戻し方法(バックアップからのリカバリー等)を検討する② いつ、誰が、何を、どう変更したのかを記録する③ 変更による影響範囲を洗い出す④ 変更計画、変更手順を作成する⑤ 検証またはテストを実施する(参考)⑥ 検証またはテストに実データを使用する場合は、データの漏えい、破壊から保護する(参考)(3) 運用で心がけるポイント① 変更に伴い変更記録が残されているか確認する(4) 関連する管理項目
バックアップ、構成管理、障害・事故管理17.構成管理(1) 管理目的
すべてのシステム(ハードウェア、OS、ミドルウエア、アプリケーション)に対する構成
情報を一元的に管理して、障害・事故の発生可能性を最小限にすると共に、障害・事故発生時に障害・事故から速やかに回復するため(2) 管理策① システムのソフトウェア(OS、ミドルウエア、アプリケーション)とハードウェアの構成
要素を把握し、ラインセンス管理、バージョン管理、サポート情報の管理を行う
17

上付き(N)は参考資料の番号を示す

② 各システム(業務システム、メールシステム、WEB システム、ネットワーク等)がどのようなハードウェア、OS、ミドルウエア、アプリケーションの組み合わせにより構成されているのか(構成情報)を管理する③ 構成管理情報と変更管理情報、障害・事故管理情報を整合させる(参考)(3) 運用で心がけるポイント① システム構成図、ネットワーク構成図を確認する② 構成情報が現状のシステムを反映しているか確認する(4) 関連する管理項目
バックアップ、変更管理、障害・事故管理

18.SNS の利用(1) 管理目的
従業員が SNS を私的利用するに際し、企業情報の漏えいを防止すると共に、企業の信用失墜を防止するため。
(2) 管理策① 従業員が SNS を利用する場合の、勤務先名の記載可否、企業が持つ公開情報についての記載可否または記載範囲・記載条件、SNS 上での顧客、取引先社員との交友方法、
私的情報の記載内容、利用方法について、SNS の利用ガイドライン(23)を策定する(3) 運用で心がけるポイント① 使用デバイス(PC、スマートフォン、タブレット)と SNS の設定により、使用デバイス
上のデータ、写真、位置情報と SNS が自動連携されることに注意する② SNS の設定変更、機能追加による情報漏えいに注意する③ 従業員の法律、公序良俗に違反する SNS の記載により、企業の信用失墜の可能性があることに注意する④ SNS セキュリティ設定の問題により、SNS のアカウントが乗っ取られ、悪用される可能性のあることに注意する(4) 関連する管理項目
認証、クラウドサービスの利用

18

上付き(N)は参考資料の番号を示す

19.暗号化(1) 管理目的
暗号化により情報の漏えい、改ざんから情報を保護するため(2) 管理策① インターネット、無線 LAN、電子メール、記憶媒体の持ち出し(PC の持ち出しを含む)等、組織の物理的セキュリティ境界を越えて、情報を使用する場合は、暗号技術(ネットワークの暗号化、情報の暗号化)の利用を検討する② 暗号アルゴリズムは信頼できるもの(24)を選択する③ 暗号を使用して情報を授受する場合は、鍵の受け渡し方法を考慮する(例えば、電子メールに情報を暗号化して添付する場合は、鍵は、相手方に電話等電子メールとは別の方法で伝達しておく等)(3) 運用で心がけるポイント① 無線 LAN の設定に適切な通信プロトコル(WPA2 など)が使用されて通信されていることを確認する② 持ち出す必要のある記憶媒体が暗号化されていることを確認する(暗号化の設定がされている等)(4) 関連する管理項目
バックアップ、電子メールの利用

20.アプリケーションの利用(1) 管理目的
アプリケーション・ソフトウェアの利用に伴う、情報の漏えい、改ざん、破壊から情報を保護するため(2) 管理策① 有償、無償を問わず組織が許可したソフトウェアのみを使用する② 大きな脆弱性の存在が明らかなファイル共有ソフト、P2P(Winny、Share 等)の使用は禁止する③ 電子ファイルを外部に提供する必要がある場合は、情報そのもの以外に、ファイルのプ
ロパティ、ヘッダー、フッターにある情報も確認し外部に公開すべきでない情報は消去
する④ プレゼンテーションソフトを使用し、外部に提案を行う場合は、PC のデスクトップ上にある外部に公開すべきでない情報は見えないようにする
19

上付き(N)は参考資料の番号を示す

⑤ 登録機能を使用して FAX 送信する場合は、登録間違いによる誤送信を防止するために宛先番号を確認して送信する⑥ FAX 送信する場合は、送信前に送信相手に、送信することの連絡、送信後に受信確認を行う⑦ 重要な情報を保存する場合は、保存後に情報の重要度及び属性が容易に判断できるようにファイル名を命名する(3) 運用で心がけるポイント① 無許可ソフトウェアがユーザ PC にインストールされていないか定期的に棚卸を実施する(4) 関連する管理項目
認証と権限、ウイルス及び悪意のあるプログラムに対する対策、暗号化

21.クリアデスク・クリアスクリーン(1) 管理目的
情報への許可されていないアクセスを防止するため(2) 管理策① 重要な情報は、業務終了後施錠管理可能な場所に保管する② PC 及び端末は、業務終了後はログアウトまたは電源を切り、離席時にはログアウト(ログオフ)またはパスワード付きのロック(パスワード付きスクリーンセーバーの設定)を行う③ 会議室(特に外部の者と利用する会議室)は、利用終了後、重要な情報が放置されていな
いか、室内及びホワイトボード等の確認を行う④ プリンター、FAX 及びコピー機は重要な情報を印刷、FAX 授受及びコピー後、文書が機器に放置されていないか確認する(3) 運用で心がけるポイント① クリアデスク・クリアスクリーンポリシーが実行されているか業務終了後に確認する(4) 関連する管理項目
セキュリティ境界と入退室管理、認証と権限

20

上付き(N)は参考資料の番号を示す

第2部

業務に基づく情報セキュリティ対策

0.凡例

・脅威を発生させる主体・要因
連番

・
「本人」
「本人外」
：脅威を明確にするために区別

業務 No.123

業務名・「偶発的要因」：脅威(=原因)を明確にできないあ

情 報 を 処理・保存するるいは特定に時間のかかる要因□建物・部屋・エリア□キャビネット □机上 □PC □サーバー
1.用語 参照□ネットワーク 付録□アプリケーション□記憶媒体(USB メモリ他)

ための実体□プリンター

影響
脅威の要因

リティレベルを放置した場□電子機器(IC合の影響レコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
付 録 1. 用 語□機密性 □完全性 □可用性 □適法性
参照
□システム管理者(本人) □システム管理者(本人外) □従業員(本人)
□FAX

□コピー機

□従業員(本人外) □訪問者
実施責任

現状のセキュ

□システム管理者□外部□スマートデバイス□偶発的要因□業務・人事管理者

セキュリティの対策の目的□従業員

セキュリティ対策を行う目的
対策が複数の場合は主対策の目的を記載

現状のセキュリティレベル
業務に潜むセキュリティ上の弱点・脆弱性
付録

1.用語

参照

リスクシナリオ
セキュリティ対策を行わず現状のセキュリティレ
ベルを放置した場合に発生する可能性のあるセキュリティインシデントあるいはリスク

技術的対策

セキュリティ対策のうち技術的対策と人的
人的対策

対策を分けて記述しているが、各対策が補完的な場合と、どちらか一方だけ行えばよい場合がある

運用で心がけるポイント

セキュリティ対策を継続して行う場合の運用における注意点

備考
関連する管理策：

技術的及び人的対策と関連する第 1 部 管理項目と管理策番号を記載
21

上付き(N)は参考資料の番号を示す

セキュリ
ティ対策
の実施責
任者ある
いは実行
者

1.出社
業務 No.1

入館

情 報 を 処■建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因■業務・人事管理者□従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

従業員かどうかを識別、認証する仕組みが無い

リスクシナリオ

従業員以外が従業員になりすまし入館する

技術的対策

従業員に個人を特定できる社員証を与え、入館システムでチ
ェックする

人的対策

従業員に個人を特定できる社員証を与え、人(守衛)がチェッ
クする

運用で心がけるポイント

備考

退職、人事異動した従業員の社員証の棚卸を定期的に行う従業員には、正社員の他、契約社員、派遣社員、パート・アルバイトなど非正規の社員も含んでいる

関連する管理策：1.セキュリティ境界と入退室管理 ①,② 5.認証と権限 ①,③,④

22

上付き(N)は参考資料の番号を示す

2.社内業務
業務 No.2

セキュリティエリアへのアクセス 1 【エリア分け】

情 報 を 処■建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)■従業員(本人外) ■訪問者
実施責任□システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因■業務・人事管理者□従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

取り扱う情報の重要度に応じたエリア分けをしていない

リスクシナリオ

許可されていない者がセキュリティエリアに入り権限のない情報を閲覧する

技術的対策

取り扱う情報の重要度に応じたエリア分けをし、システム的(入退室管理システム)にエリア管理(入退室管理)をする

人的対策

取り扱う情報の重要度に応じたエリア分けをし、ルール等でエリア管理(入退室管理)をする

運用で心がけるポイント

・エリア(室)のアクセス権限表に退職者、人事異動が反映されているか確認する
・エリア入退(入退室)カードの確認及び棚卸を行う

備考

関連する管理策：1.セキュリティ境界と入退室管理 ①,② 5.認証と権限 ③,④

23

上付き(N)は参考資料の番号を示す

業務 No.3

セキュリティエリアへのアクセス 2 【入退室記録】

情 報 を 処■建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)■従業員(本人外) ■訪問者
実施責任□システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因■業務・人事管理者□従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

エリアアクセス(入退室)の記録を取っていない

リスクシナリオ

重要な情報を扱うエリア(室)への入退室記録が無く、情報漏
えい発生時、誰がいつエリア(室)に入退したのかわからない

技術的対策

エリア管理(入退室管理)システムでアクセス記録(ログ)を取る

人的対策

エリア(室)への入退管理台帳を備え、誰が・いつ・何の目的でアクセスしたのか記録する

運用で心がけるポイント

定期的にアクセス記録を確認する

備考

関連する管理策：1.セキュリティ境界と入退室管理 ③ 5.認証と権限 ③13.ログの取得①

24

上付き(N)は参考資料の番号を示す

業務 No.4

PC の起動・ログイン 1 【自動ログインの設定】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)■従業員(本人外) ■訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因□業務・人事管理者■従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

PC に自動ログインの設定を行っている

リスクシナリオ

PC に物理的にアクセスできる人は誰でも PC を使用でき、PC から利用できる情報を漏えいする

技術的対策

PC の自動ログインの設定を解除し、個人認証しなければログインできないようにする

人的対策

運用で心がけるポイント

PC を起動し、PC の使用に認証が必要なことを確認する

備考

関連する管理策：5.認証と権限 ①,②

25

上付き(N)は参考資料の番号を示す

業務 No.5

PC の起動・ログイン 2 【共通ＩＤの使用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)■従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因□業務・人事管理者■従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

共通 ID を使用して PC を使用している

リスクシナリオ

共通 ID を使用しているため、個人を特定するログを残せず、情報漏えい等セキュリティ事故発生時に犯人を特定できない

技術的対策

個人を特定できる個別のユーザ ID を作成して使用する

人的対策

運用で心がけるポイント

ID の棚卸を実施し、PC または認証システムの ID がユーザ個別に設定されているか確認する

備考

関連する管理策：5.認証と権限 ③

26

上付き(N)は参考資料の番号を示す

業務 No.6

PC の起動・ログイン 3 【パスワードポリシーの使用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)■従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因□業務・人事管理者■従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

簡単なパスワード(数字 4 桁など)を使用している

リスクシナリオ

簡単なパスワードを使用しているためログオン時の覗き見によりパスワードが漏えいし、情報にアクセスされる

技術的対策

認証システムのパスワードポリシーを設定(複雑なパスワー
ド、定期的パスワードの変更)し、ユーザに強制的にパスワー
ドポリシーを使用させる

人的対策

パスワードの文字数、文字列の組み合わせ、変更の周期等についてのパスワードポリシーをルール化しユーザに周知徹底する

運用で心がけるポイント

・認証システムのパスワードポリシーを確認する
・パスワードルールが周知徹底されているかユーザに確認する

備考

関連する管理策：5.認証と権限 ⑥

27

上付き(N)は参考資料の番号を示す

業務 No.7

PC を使用した業務 1 【アンチウイルスソフト導入と使用ルール】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

情報の漏えい、改ざん、破壊及びソフトウェアの改ざん、破壊を防止するため

現状のセキュリティレベル

アンチウイルスソフトウェアを導入していない、あるいは導入していてもエンジン・パターンファイルを更新していない

リスクシナリオ・アンチウイルスソフトウェア未導入によりウイルスに感染する・エンジン・パターンファイルを更新していないためウイルスに感染しても検知できない

技術的対策

各 PC にアンチウイルスソフトウェアを導入し、アンチウイ
ルス統合管理システムで各 PC を管理する

人的対策

各 PC にアンチウイルスソフトウェアを導入し、正しいアンチウイルスソフトウェアの使用ルールを定める(エンジン・パ
ターンファイルの更新、定期的なウイルススキャン等)

運用で心がけるポイント

・各 PC にアンチウイルソフトウェアが導入され、プロセスが起動していることを確認する
・各 PC のエンジン・パターンファイルが更新されていることを確認する・定期的に各 PC がウイルススキャンされていることを確認する

備考

関連する管理策：8.ウイルス及び悪意のあるプログラムに対する対策 ①,②
28

上付き(N)は参考資料の番号を示す

業務 No.8

PC を使用した業務 2 【セキュリティパッチの適用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット■アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

■外部

□偶発的要因□業務・人事管理者□従業員

セキュリティの対策の目的 公開されている技術的脆弱性の悪用によって生じる情報の漏
えい、改ざん、破壊、システム(ソフトウェア、ネットワーク
機器)の破壊、停止、及び技術的脆弱性によって発生するシス
テム(ソフトウェア、ネットワーク機器)の障害を防止するため
現状のセキュリティレベル

OS、アプリケーションにセキュリティパッチを適用していな
い

リスクシナリオOS，アプリケーションのセキュリティパッチ未適用により、脆弱性を狙った攻撃にさらされ、コンピューターを乗っ取られ、その結果、情報が漏えいする

技術的対策

各 PC の OS、アプリケーションのセキュリティパッチ適用を自動的に行うように設定する

人的対策

OS、アプリケーションの新しいセキュリティパッチがリリースされるごとに、各 PC のセキュリティパッチを適用する

運用で心がけるポイント

各 PC に最新のセキュリティパッチが適用されていることを
確認する

備考

関連する管理策：7.パッチの適用 ①29

上付き(N)は参考資料の番号を示す

業務 No.9

PC を使用した業務 3 【ハードディスク障害対策】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

□適法性

□外部

■偶発的要因□業務・人事管理者■従業員

セキュリティの対策の目的

情報及びシステムを障害・事故から保護するため

現状のセキュリティレベル

重要な情報を PC にのみ保存している

リスクシナリオ

PC のハードディスク障害によりディスクに保存していた重要な情報を損失する

技術的対策

ネットワークファイル(ファイルサーバー上のファイル)とオ
フラインファイルを同期するように設定する

人的対策

定期的に PC から重要なファイルをファイルサーバーに保存する

運用で心がけるポイント

PC のディスクとファイルサーバーを定期的に確認する(ファイルがコピーまたは移動されていることを確認する)

備考

関連する管理策：14.バックアップ ①,②30

上付き(N)は参考資料の番号を示す

業務 No.10

PC を使用した業務 4 【ライセンス管理】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット■アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

■適法性

□外部

■偶発的要因□業務・人事管理者□従業員

すべてのシステムに対する構成情報を一元的に管理して、障害・事故の発生可能性を最小限にすると共に、障害・事故
発生時、障害・事故から速やかに回復するため

現状のセキュリティレベル

ソフトウェアのライセンス管理ができていないため、必要なソフトウェアライセンス本数を購入できていない

リスクシナリオ・アプリケーションを使用する必要があるユーザが、ライセ
ンス不足のため、アプリケーションを使用できない・ライセンス違反でソフトウェアベンダーから損害賠償を求
められる

技術的対策

資産管理システムを導入し、ソフトウェアライセンスの管理
を行う

人的対策

PC にソフトウェアをインストールする場合、使用できるソフトウェアライセンスを確認して実施する

運用で心がけるポイント

定期的に PC にインストールされているソフトウェアの棚卸
を実施する

備考

経営者、システム管理者が故意にライセンス違反をすることは想定していない

関連する管理策：17.構成管理 ①

31

上付き(N)は参考資料の番号を示す

業務 No.11

PC を使用した業務 5 【個人所有の記憶媒体の使用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー■記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

■外部

■偶発的要因■業務・人事管理者■従業員

セキュリティの対策の目的

情報の漏えいを防止するため

現状のセキュリティレベル

業務に無制限に個人所有の記憶媒体(USB メモリ等)の使用を容認している

リスクシナリオ

セキュリティ対策ができていない個人所有の記憶媒体を使用し、盗難・紛失により情報が漏えいする

技術的対策

デバイス制御システムを導入し、許可した記憶媒体のみ使用できるようにする

人的対策業務で個人所有の記憶媒体を使用できる条件をルール化す
る、あるいは個人所有の記憶媒体の使用を禁止する

運用で心がけるポイント

・不正に記憶媒体を使用していないか、デバイス制御システ
ムのログを定期的に確認する・ユーザがルールを知っているか確認する

備考

関連する管理策：9.記憶媒体の管理理 ④32

上付き(N)は参考資料の番号を示す

業務 No.12

PC を使用した業務 6 【安全な記憶媒体の使用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー■記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

□外部

■偶発的要因□業務・人事管理者■従業員

セキュリティの対策の目的

情報の漏えいを防止するため

現状のセキュリティレベル

USB メモリなど記憶媒体のセキュリティ基準、利用基準を定めておらず、無制限に USB メモリ他記憶媒体を使用している

リスクシナリオ

USB メモリ他記憶媒体を使用して事務所内に置き忘れ、いつのまにか紛失し、そこから情報漏洩する

技術的対策

暗号化機能、PIN や指紋認証付の付いた USB メモリ等の記憶媒体を使用する

人的対策

キーチェーンに接続して使用する等、紛失しないような工夫をする

運用で心がけるポイント

定期的に記憶媒体の所在確認を行う

備考

関連する管理策：5.認証と権限 ① 9.記憶媒体の管理理 ①

33

上付き(N)は参考資料の番号を示す

業務 No.13

メールの受信確認

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

情報の漏えい、改ざん、破壊及びソフトウェアの改ざん、破壊を防止するため

現状のセキュリティレベル

メールのウイルス対策をしていない

リスクシナリオ

ウイルス付のメールを受け取り、メールを開いて感染してし
まう

技術的対策

アンチウイルスソフトウェアのメールチェック機能を有効に
する

人的対策

不審なメール、スパムメール、送り先及び件名に心当たりのないメールは開かずに削除する

運用で心がけるポイント

アンチウイルスソフトウェアのメールチェック機能が有効かどうか確認する

備考

関連する管理策：8.ウイルス及び悪意のあるプログラムに対する対策 ③,④34

上付き(N)は参考資料の番号を示す

業務 No.14

メールの送信 1【宛先確認】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

□適法性

□外部

■偶発的要因□業務・人事管理者■従業員

セキュリティの対策の目的

電子メールに含まれた情報を、漏えいから保護するため

現状のセキュリティレベル

宛先を確認せずにメールを送信している

リスクシナリオ

宛先間違いによる誤送信で情報が漏洩する

技術的対策

誤送信防止ツールを導入する

人的対策

・宛先及び内容を確認し送付する・重要な情報を送付する場合はパスワード付きの暗号化ファ
イルにし、添付する。送信後、電話で送信相手にパスワードを連絡する
・一度送信相手に送信したメールを利用して再送信する

運用で心がけるポイント

重要な情報は暗号化ファイルとして添付、パスワードが記載
されていないか、送信済みトレイを確認する

備考

関連する管理策：19.暗号化 ①,③ 11.電子メールの利用 ③,④35

上付き(N)は参考資料の番号を示す

業務 No.15

メールの送信 2 【宛先指定】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

□外部

■偶発的要因■業務・人事管理者■従業員

セキュリティの対策の目的

電子メールに含まれた情報を、漏えいから保護するため

現状のセキュリティレベル

TO、CC、BCC の違いを理解せずにメールを使用している

リスクシナリオ

複数人に同時に電子メールを配信(同報)する際、TO、CC、BCC の使用を誤り、第三者に他人のメールアドレスを漏洩し
てしまう

技術的対策

メーリングリスト用のソフトウェアを利用する

人的対策

ユーザに基本的なメールの使用方法を知っているか確認し、知っている者のみにメールアカウントを付与する

運用で心がけるポイント

定期的な TO、CC、BCC の宛先の使用方法の確認テストを実施する

備考

関連する管理策：11.電子メールの利用 ②36

上付き(N)は参考資料の番号を示す

業務 No.16

メールの送信 3 【添付フアイルの秘匿化】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

セキュリティの対策の目的

電子メールに含まれた情報を、漏えいから保護するため

現状のセキュリティレベル

重要情報を添付する場合、暗号化を行わず、そのまま添付している

リスクシナリオ

電子メールの送信者から受信者への経路上でメール情報が盗まれ、重要情報が漏えいする

技術的対策

重要情報を添付する場合はファイルを暗号化し、パスワード
は電話等別の手段で伝達する

人的対策

運用で心がけるポイント

メールのログまたは送信済みメールの記録を確認し、ファイルが暗号化され、パスワードがメール本文に書かれていないことを確認する

備考

検索：19.暗号化 ①,③ 11.電子メールの利用 ③37

上付き(N)は参考資料の番号を示す

業務 No.17

FAX 送信情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

■FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因□業務・人事管理者■従業員

アプリケーション・ソフトウェアの利用に伴う、情報の漏え
いから情報を保護するため（誤送信に伴う、情報の漏えいか
ら情報を保護するため）

現状のセキュリティレベル

FAX で重要情報を送信する場合、宛先を確認せずに送信している

リスクシナリオ

FAX 番号を誤り、送信間違いをし、重要情報が漏洩する

技術的対策

番号の登録機能を利用する

人的対策

一度 FAX で空情報をテスト送信し、送信先に届いたことを確
認後、リダイアル機能を利用し重要情報を送信する

運用で心がけるポイント

番号登録機能を利用する場合においても、故意または過失で番号が変更されていることがあるので、定期的に登録番号を確認すると共に送信時には宛先番号を確認する

備考

関連する管理策：20.アプリケーションの利用 ⑤,⑥38

上付き(N)は参考資料の番号を示す

業務 No.18

コピー機の利用

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

■コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)■従業員(本人外) □訪問者
実施責任□システム管理者

□適法性

□外部

□偶発的要因□業務・人事管理者■従業員

セキュリティの対策の目的

情報への許可されていないアクセスを防止するため

現状のセキュリティレベル

重要情報をコピーする際、コピー機から離れている

リスクシナリオ

コピーされた重要情報をコピー機に放置し、アクセス権を持たない者に情報を持ち去られる

技術的対策

人的対策

重要情報をコピーする際はコピー機から離れず、コピー後は情報をすぐに持ち帰る

運用で心がけるポイント

重要情報が残されていないかコピー機を定期的に確認する

備考

関連する管理策：21.クリアデスク・クリアスクリーン ④

39

上付き(N)は参考資料の番号を示す

業務 No.19

PC による文書の作成 1 【文書の再利用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因□業務・人事管理者■従業員

アプリケーション・ソフトウェアの利用に伴う、情報の漏え
いから情報を保護するため

現状のセキュリティレベル

文書を再利用する場合のリスクが明確になっていない

リスクシナリオ

他社向けに作成した資料を再利用し、他社名がヘッダーに残ったまま別の顧客に提出してしまう

技術的対策

アプリケーションにある“ドキュメント検査”機能を利用し文書をレビューする

人的対策

・文書の雛型を作成し、それを利用する
・文書再利用のルールの策定及びチェック項目を作成する

運用で心がけるポイント

備考

外部に提出する際は、別の人間が文書のレビューをする“ドキュメント検査”機能の有無はアプリケーションに依存する

関連する管理策：20.アプリケーションの利用 ③40

上付き(N)は参考資料の番号を示す

業務 No.20

PC による文書の作成 2 【他社情報の管理）

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因■業務・人事管理者■従業員

アプリケーション・ソフトウェアの利用に伴う、情報の漏え
いから情報を保護するため

現状のセキュリティレベル

他社に関する重要情報(電子ファイル)も含めた情報の命名規
則がない

リスクシナリオ

他社に関する重要情報が自社の情報と混在してしまい、他社
情報へのアクセス権限を持たない者にまで、情報が流出して
しまう

技術的対策

・企業(他社)ごとにフォルダーを作成し、アクセス権を定め、その企業に関連する情報はそのフォルダーに保存する・他社に関する重要情報は暗号化して保存する。パスワード(鍵)はアクセス権限を持つ者のみで共有する

人的対策

ファイルの命名規則を策定し、情報を保存する時に、他社重
要情報と自社情報の違いが分かるようにする

運用で心がけるポイント

命名規則どおり他社から委託された情報が保存されているか
確認する

備考

関連する管理策：19.暗号化 ①,③ 20.アプリケーションの利用 ⑦41

上付き(N)は参考資料の番号を示す

業務 No.21

共有サーバーの利用 1 【ネットワーク経由によるアクセス】

情 報 を 処□建物・部屋・エリア

理・保存する■ネットワーク

ための実体□プリンター□キャビネット■アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)■従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因■業務・人事管理者□従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

共有サーバーのアクセス制御をしていない(ネットワークに接続できる者は誰でも共有サーバーにアクセスができる)

リスクシナリオ

職務上情報へのアクセス権限を持たない者がネットワーク経由で共有サーバーにアクセスし、情報を閲覧する

技術的対策

共有サーバーに職務に応じたアクセス制御を設定し、ID とパスワード等で認証を行う

人的対策

運用で心がけるポイント

定期的に職務に応じたアクセス権限の棚卸を実施する

備考

関連する管理策：5.認証と権限 ①,②,③,④,⑤42

上付き(N)は参考資料の番号を示す

業務 No.22

共有サーバーの利用 2 【物理的アクセス】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)■従業員(本人外) ■訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因□業務・人事管理者□従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

共有サーバーが事務所内に設置されており、誰でも物理的にアクセスができる

リスクシナリオ

共有サーバーにアクセス権限を持たない者が直接サーバーにログインし、情報を閲覧する

技術的対策

共有サーバーを施錠可能なラックに設置するか、セキュリテ
ィエリア内に移設する

人的対策

運用で心がけるポイント

備考

ラックの施錠状況を確認する

サーバーに物理的にアクセスできる場合、ネットワーク経由でサーバーにアクセスするより簡単にサーバーにログインできる可能性が高い

関連する管理策：1.セキュリティ境界と入室管理 ①,②

43

上付き(N)は参考資料の番号を示す

業務 No.23

共有サーバーの利用 3 【バックアップ】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

□外部

■偶発的要因□業務・人事管理者□従業員

セキュリティの対策の目的

情報及びシステムを障害・事故から保護するため

現状のセキュリティレベル

共有サーバーのバックアップを行っていない

リスクシナリオ

共有サーバーのハードディスク障害によりデータが損失する

技術的対策

・RAID 構成など情報保存領域の冗長化を行う・RPO、RTO に応じてバックアップ計画を作成し、それに従ってバックアップを行う

人的対策

運用で心がけるポイント

・冗長化構成の構成メンバーに障害が発生していないか定期的に確認する・情報が確実にバックアップメディアに収納されているか確認する

備考

関連する管理策：14.バックアップ ①,②,③

44

上付き(N)は参考資料の番号を示す

業務 No.24

クラウドサービスの利用【認証】情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション□机上□FAX □コピー機□PC □サーバー□記憶媒体(USB メモリ他)□携帯電話□電子機器(IC レコーダ

ー、カメラ他) ■外部のサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

クラウドサービスの利用に際し、組織の要求する情報セキュ
リティ及びサービスレベルを確保し、維持するため現状のセキュリティレベル

他のクラウドサービスと同じパスワードを使っている

リスクシナリオ

別のサイトから得た ID とパスワードの一覧(リスト)を用いた攻撃に遭い、情報を盗まれる

技術的対策

クラウドサービスが二段階認証、二要素認証を提供している
場合はそれを利用する

人的対策

・サービス毎にパスワードを変更する
・複雑なパスワード、十分なパスワード長を持ったパスワー
ドを使用する

運用で心がけるポイント

備考

関連する管理策：5.認証と権限 ② 2.クラウドサービスの利用 ②45

上付き(N)は参考資料の番号を示す

業務 No.25

クラウドサービスの利用【サービスレベルの確認】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション□机上□FAX □コピー機□PC □サーバー□記憶媒体(USB メモリ他)□携帯電話□電子機器(IC レコーダ

ー、カメラ他) ■外部のサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因■業務・人事管理者□従業員

クラウドサービスの利用に際し、組織の要求する情報セキュ
リティ及びサービスレベルを確保し、維持するため現状のセキュリティレベル

クラウドサービスのセキュリティ強度(障害時の復旧時間、冗長化、データバックアップ等)を考慮せずサービスを選択する

リスクシナリオ

クラウドサービスを選択するにあたり、ウイルス対策、アクセス制御のみを検討し、障害対策について検討しおらず、
クラウドサービスに障害が発生し、その期間、業務が停止し
てしまう

技術的対策

人的対策

クラウドサービスに障害が発生した場合の、復旧時間、冗長化構成の有無、データのバックアップの有無等を確認し、組織の要求に合うサービスを選択する

運用で心がけるポイント

社内のセキュリティ基準(障害時の復旧時間、冗長化、データ
バックアップ等)と利用するサービスのセキュリティ強度を
比較する

備考

関連する管理策：2.クラウドサービスの利用 ①,②

46

上付き(N)は参考資料の番号を示す

業務 No.26

クラウドサービスを利用したファイル交換

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) ■クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

■偶発的要因■業務・人事管理者□従業員

クラウドサービスの利用に際し、組織の要求する情報セキュ
リティ及びサービスレベルを確保し、維持するため現状のセキュリティレベル

クラウドサービスのセキュリティ強度を確認せずに利用している

リスクシナリオ

セキュリティレベルの低いサービス業者を利用し、情報を漏
えいする

技術的対策

人的対策

クラウドサービスのセキュリティ強度を明確にし、強度不足の場合は、社内で暗号化等セキュリティ強度を補完してサービスを利用する

運用で心がけるポイント

社内のセキュリティ基準(ウイルス対策、暗号化通信等)と利用するサービスのセキュリティ強度を比較する

備考

関連する管理策：2.クラウドサービスの利用 ①,②47

上付き(N)は参考資料の番号を示す

業務 No.27

WEB サイトへのアクセス 1 【閲覧】情 報 を 処□建物・部屋・エリア

理・保存する■ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因■業務・人事管理者■従業員

ネットワークを経由した情報への許可されていないアクセスを防止するため

現状のセキュリティレベル

業務に関係しない WEB サイトの閲覧を禁止していない

リスクシナリオ

業務上必要のない WEB サイトを閲覧し、ウイルス感染、
詐欺被害、情報漏えい被害に遭うリスクが大きくなる

技術的対策

・WEB フィルタリングを導入し、危険なサイトへのアクセスを禁止する・WEB サイトが安全かどうか判断するツール(アンチウイル
スソフトウェアの機能の一部として提供されていることが多い)を利用し、危険なサイトにはアクセスしない
アクセスしてはいけない WEB サイトのリストを作成しルー

人的対策

ルでアクセスを禁止する

運用で心がけるポイント

・WEB のアクセスログを確認し、ユーザが危険なサイトにアクセスしていないことを確認する
・WEB サイトを利用した悪意のある攻撃等に関する情報を収集し、ユーザに危険を周知する

備考

関連する管理策：8.ウイルス及び悪意のあるプログラムに対する対策 ⑤,⑥
6.ネットワークのアクセス制御 ⑧48

上付き(N)は参考資料の番号を示す

業務 No.28

WEB サイトへのアクセス 2 【サービスレベルの確認】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) ■クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因■業務・人事管理者□従業員

クラウドサービスの利用に際し、組織の要求する情報セキュ
リティ及びサービスレベルを確保し、維持するため現状のセキュリティレベル

サービスレベルを確認せずに、外部の提供する WEB メール
サービスを利用している

リスクシナリオ

想定したサービスレベルに達していない外部の提供するWEB メールサービスを利用し、データの損失、長時間のサービス停止の障害に遭遇する

技術的対策

人的対策

社内の要求するサービスレベル(停止時間、障害対策等)を十分満たす WEB メールサービスを利用する

運用で心がけるポイント

社内の要求するサービスレベルと WEB メールサービスのサービスレベルを比較する

備考

関連する管理策：2.クラウドサービスの利用 ①,②49

上付き(N)は参考資料の番号を示す

業務 No.29

離席

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)■従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

□外部

□偶発的要因□業務・人事管理者■従業員

セキュリティの対策の目的

情報への許可されていないアクセスを防止するため

現状のセキュリティレベル

PC にログインしたまま(他者が利用できる状態)離席をしている

リスクシナリオ

他の従業員に無断で PC を使用され、PC からアクセスできる情報を閲覧される

技術的対策

パスワード付きのスクリーンセーバーの設定を PC に行う

人的対策

離籍時はログアウト(ログオフ)を行う

運用で心がけるポイント

パスワード付きのスクリーンセーバーの設定は 15 分以内に設定するようにする

備考

関連する管理策：21.クリアデスク・クリアスクリーン ②

50

上付き(N)は参考資料の番号を示す

業務 No.30

訪問者との打ち合わせ 1 【訪問者の識別】

情 報 を 処■建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) ■訪問者
実施責任□システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因■業務・人事管理者■従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

訪問者と従業員が識別できていない

リスクシナリオ

訪問者が重要な情報を閲覧する

技術的対策

訪問者(部外者)が重要情報にアクセスできないように入退室・エリア管理を行う

人的対策

訪問者を特定できるビジターカード等を配布し、従業員と識別し、重要情報にアクセスできる場所には従業員が付き添う

運用で心がけるポイント

定期的にビジターカードの棚卸を実施する

備考

関連する管理策：1.セキュリティ境界と入退室管理 ①,② 5.認証と権限 ①

51

上付き(N)は参考資料の番号を示す

業務 No.31

訪問者との打ち合わせ 2 【会議室の使用】

情 報 を 処■建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) ■訪問者
実施責任□システム管理者

□適法性

□外部

□偶発的要因■業務・人事管理者■従業員

セキュリティの対策の目的

情報への許可されていないアクセスを防止するため

現状のセキュリティレベル

会議室の使用ルールが決まっていない

リスクシナリオ・ホワイトボードの消し忘れにより、重要な情報を訪問者が閲覧する
・会議室に置き忘れた書類を訪問者が社外に持ち出す

技術的対策

人的対策

チェックシートを作成し、会議室の使用後、置き忘れがないか、ホワイトボードの消し忘れがないか等、確認する

運用で心がけるポイント

実際にチェックシートが利用され必要な項目がチェックされているか確認する

備考

関連する管理策：21.クリアデスク・クリアスクリーン ③

52

上付き(N)は参考資料の番号を示す

業務 No.32

訪問者との打ち合わせ 3 【訪問者によるネットワークへの接続】

情 報 を 処□建物・部屋・エリア

理・保存する■ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) ■訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因□業務・人事管理者□従業員

ネットワークを経由した情報への許可されていないアクセスを防止するため

現状のセキュリティレベル(訪問者を含め)ネットワーク(有線)へのアクセスが制限されていない

リスクシナリオ

訪問者が会議室にあるネットワークに接続し、社内サーバーにアクセスする

技術的対策

・端末認証(MAC 認証等)を行い許可された PC のみネットワークへの接続を許可する
・ネットワークのポートに鍵付きプロテクターを付け、無許可の PC が接続できないようにする

人的対策

訪問者がある場合は会議室のネットワークを一時使用不能にしておく

運用で心がけるポイント

訪問者がアクセス可能な場所にあるネットワークが無許可使用できないことを確認する

備考

関連する管理策：6.ネットワークのアクセス制御 ⑦53

上付き(N)は参考資料の番号を示す

業務 No.33

訪問者との打ち合わせ 4 【訪問者による無線ネットワークへの接続】

情 報 を 処□建物・部屋・エリア

理・保存する■ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) ■訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因□業務・人事管理者□従業員

ネットワークを経由した情報への許可されていないアクセスを防止するため

現状のセキュリティレベル(訪問者を含め)ネットワーク(無線)へのアクセスが制限されていない

リスクシナリオ

訪問者が無線ネットワークに接続し、社内サーバーにアクセ
スする

技術的対策

・端末認証(MAC 認証等)を行い許可された PC のみネットワークへの接続を許可する
・堅牢な暗号化技術(WPA2 等)を使用し定期的に暗号化鍵を
変更する

人的対策

訪問者がある場合は会議室のネットワークを一時使用不能にしておく

運用で心がけるポイント

無線アクセスポイントに接続する際、暗号化鍵の入力を求められることを確認する

備考

社内、社外を問わず無線のアクセスポイントへのアクセスは電波が届く範囲で可能である

関連する管理策：6.ネットワークのアクセス制御 ⑥,⑦

54

上付き(N)は参考資料の番号を示す

業務 No.34

PC・記憶媒体の廃棄・処分

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー■記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

■外部

□偶発的要因■業務・人事管理者■従業員

セキュリティの対策の目的

情報の漏えいを防止するため

現状のセキュリティレベル

PC、記憶媒体の廃棄手順を定めていない

リスクシナリオ

PC、記憶媒体の情報が不完全な消去状態(OS でデータを削除
しただけ)で廃棄されたため、情報が復元され漏えいする

技術的対策

・読み取りができないように物理的破壊を行う
・データ消去ツールを使い、データを上書きする

人的対策

廃棄業者に廃棄処分を依頼し、廃棄した旨を証明するマニフ
ェストを取得する運用で心がけるポイント

データをツール等で消去した場合は、作業が確実に終了したことを確認する(PC が起動できない等)

備考

PC のデータは OS の機能を使用し削除しただけでは、ツールを使用し容易にデータの復元が可能である

関連する管理策：9.記憶媒体の管理理 ②

55

上付き(N)は参考資料の番号を示す

3.社外業務
業務 No.35

公共の乗り物での業務

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

セキュリティの対策の目的

許可されていない情報へのアクセスを防止するため

現状のセキュリティレベル

情報の内容を意識せず、PC を公共の乗り物で使用している

リスクシナリオ

近隣の乗客が重要な情報を盗み見する

技術的対策

覗き見防止フィルタ(液晶フィルム)を使用する

人的対策

重要なファイルは公共の場所では使用しない

運用で心がけるポイント

覗き見防止フィルタ(液晶フィルム)を使用しても見える角度を認識しておく備考

関連する管理策：21.クリアデスク・クリアスクリーン ②

56

上付き(N)は参考資料の番号を示す

業務 No.36

取引先への訪問

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

セキュリティの対策の目的

情報への許可されていないアクセスを防止するため

現状のセキュリティレベル

取引先訪問時における PC の取り扱いを決めていない

リスクシナリオ

離席した際に、取引先に取引とは関係ない重要な情報を閲覧(PC を操作)される

技術的対策

パスワード付きのスクリーンセーバーの設定を行う

人的対策

離席する際は、PC をログアウト(ログオフ)する

運用で心がけるポイント

外部で PC を使用する場合はパスワード付きのスクリーンセ
ーバーの設定をしていても、離席の際は、PC からログアウ
トするか電源を切る

備考

関連する管理策：21.クリアデスク・クリアスクリーン ②

57

上付き(N)は参考資料の番号を示す

業務 No.37

PC を持って出張に行く 1 【モバイルパソコンの管理】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

■偶発的要因□業務・人事管理者■従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

持ち出し PC の取り扱いを決めていない

リスクシナリオ

公共の交通機関利用時に荷物棚や駅などに PC が入った鞄を置き忘れ、紛失する、あるいは置き引きに遭う

技術的対策

BIOS のパスワード設定及び PC ログインのための ID、パス
ワードを設定し、またハードディスクは暗号化をしておく

人的対策

常に PC は携帯し、電車の棚や座席の下など目の届かない場所へ放置しない

運用で心がけるポイント

BIOS のパスワード設定、PC ログインのための ID、パスワ
ードの設定、ハードディスクは暗号化設定を確認する

備考

関連する管理策：5.認証と権限 ① 19.暗号化 ①58

上付き(N)は参考資料の番号を示す

業務 No.38

PC を持って出張に行く 2 【公共のネットワーク利用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

ネットワークを経由した情報への許可されていないアクセスを防止するため

現状のセキュリティレベル

社外で PC を使用する場合でも社内と同じセキュリティレベ
ルで使用している(社外の方がセキュリティレベルを厳しくすべき)

リスクシナリオ・ホテル等の公共のネットワークに接続した際、同じホテルの利用者から PC に対して不正なアクセスが行われ、PC 内の情報を盗まれる・公共のネットワーク利用時に通信の内容を盗聴され、送受信した情報を盗まれる

技術的対策

・通信キャリアが提供する 3G サービスなどを利用する
・パーソナルファイアーウォールを設定(外部で利用する必要最低限のプロトコル、サービスのみに通信を許可)する

人的対策

信頼できないネットワークへは接続しない運用で心がけるポイント

パーソナルファイアーウォールの設定内容を確認し、外部で利用する必要最低限のプロトコル、サービスのみに通信が許可されていることを確認する

備考

関連する管理策：6.ネットワークのアクセス制御 ①59

上付き(N)は参考資料の番号を示す

業務 No.39

取引先でのプレゼンテーション

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

アプリケーション・ソフトウェアの利用に伴う、情報の漏え
いから情報を保護するため(デスクトップ上にある情報の漏えいを防止するため)

現状のセキュリティレベル

日常業務で使用している PC をそのまま(デスクトップ上のショートカット名等意識すること無しに)プレゼンテーションに使用している

リスクシナリオ・デスクトップ上においたショートカット名から重要な情報(取引先名等)が漏えいする・誤ったオペレーションにより、デスクトップ上の重要情報を開き、情報が漏洩する。

技術的対策

プレゼンテーション時はデスクトップアイコンの表示を非表
示モードにしておく

人的対策

PC のデスクトップ上から重要情報の削除、不要なデータの削除等のプレゼンテーション用の環境を準備しておく

運用で心がけるポイント

・プレゼンテーション用の環境に容易に切り替えられるか確認する・プレゼンテーションをする環境が適切か確認する

備考

関連する管理策：20.アプリケーションの利用 ④60

上付き(N)は参考資料の番号を示す

業務 No.40

記憶媒体を持って出張に行く 1 【記憶媒体の管理】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー■記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

■外部

■偶発的要因□業務・人事管理者■従業員

セキュリティの対策の目的

情報の漏えいを防止するため

現状のセキュリティレベル

社外での記憶媒体の取り扱い方法を明確にしていない

リスクシナリオ

公共の交通機関利用時に荷物棚や駅などに記憶媒体が入った鞄を置き忘れ、紛失する、あるいは置き引きに遭う

技術的対策

情報は暗号化して記憶媒体に保存する

人的対策

常に記憶媒体は携帯し、電車の棚や座席の下など目の届かな
い場所へ放置しない

運用で心がけるポイント

・定期的に記憶媒体の棚卸を実施する
・各 PC に暗号化ツールがインストールされているか又はUSB メモリが暗号化対応のものか確認する

備考

関連する管理策：9.記憶媒体の管理理 ① 19.暗号化 ①61

上付き(N)は参考資料の番号を示す

業務 No.41

記憶媒体を持って出張に行く 2 【インターネットカフェの利用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション□机上□FAX □コピー機□PC □サーバー■記憶媒体(USB メモリ他)□携帯電話□電子機器(IC レコーダ

ー、カメラ他) □外部のサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

■外部

■偶発的要因■業務・人事管理者■従業員

セキュリティの対策の目的

情報の漏えい、改ざん、消去、破壊を防止するため

現状のセキュリティレベル

インターネットカフェなどセキュリティを確保できない場所
での記憶媒体の使用を禁止していない

リスクシナリオ

インターネットカフェで利用した PC にインストールされていた不正なソフトウェアにより、記憶媒体に保管していた情報を盗まれる

技術的対策

人的対策

インターネットカフェなどセキュリティを確保できない可能性のある場所での情報の利用を禁止する

運用で心がけるポイント

・セキュリティを確保できない場所では、情報漏えいの他、
マルウェアによる脅威もあることに注意する
・PC でファイルをオープンしただけで、ファイル等が作成されることがあることに注意する

備考

関連する管理策：9.記憶媒体の管理理

62

上付き(N)は参考資料の番号を示す

業務 No.42

スマートデバイスを持って出張に行く 3 【公共のネットワーク利用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)■スマートデバイス□電子機器(ICレコーダー、カメラ他) □外部のサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

ネットワークを経由した情報への許可されていないアクセスを防止するため

現状のセキュリティレベル

社外でスマートデバイスを使用する場合でも社内と同じセキュリティレベルで使用している(社外の方がセキュリティレ
ベルを厳しくすべき)

リスクシナリオ・公共の Wi-Fi の利用時に通信の内容を盗聴され、送受信した情報を盗まれる

技術的対策

・通信キャリアが提供する 3G、LTE サービスなどを利用す
る
・VPN、HTTPS 等暗号化された通信を使用する

人的対策

信頼できないネットワークへは接続しない運用で心がけるポイント

公共の Wi-Fi の利用時は、重要な情報は通信しない

備考

関連する管理策：6.ネットワークのアクセス制御 ① 10.スマートデバイスの利用 ⑦63

上付き(N)は参考資料の番号を示す

業務 No.43

取引先との記憶媒体の授受

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー■記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

□適法性

■外部

■偶発的要因■業務・人事管理者■従業員

セキュリティの対策の目的

情報の漏えいを防止するため

現状のセキュリティレベル

記憶媒体の受け渡し方法が決められていない

リスクシナリオ

記憶媒体が紛失した場合、授受記録が無いため、事件・事故発生当時の管理責任が不明確になる

技術的対策

組織間で共有できる暗号化方法を取りきめ、情報は暗号化して記憶媒体に保存する

人的対策

記憶媒体(情報)の受け渡しには授受記録を取り保管する運用で心がけるポイント

記憶媒体の棚卸と記憶媒体の授受記録の確認

備考

関連する管理策：9.記憶媒体の管理理 ① 19.暗号化 ①64

上付き(N)は参考資料の番号を示す

業務 No.44

公共の場所でのスマートデバイス・携帯電話使用

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)■スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

□適法性

□外部

■偶発的要因■業務・人事管理者■従業員

セキュリティの対策の目的

情報と情報機器への許可されないアクセスを防止する

現状のセキュリティレベル

スマートデバイス・携帯電話の取り扱い方法を明確にしていない

リスクシナリオ

スマートデバイス・携帯電話を置き忘れる、あるいは紛失し、メール内の重要な情報及びアドレス帳の個人情報が漏えいす
る

技術的対策

・パスコードロック、PIN 付きのロックをかける
・遠隔でデータを消去できる機能のものを使用する

人的対策

落下防止ストラップを利用する

運用で心がけるポイント

各スマートデバイス・携帯電話の設定をチェックし、ロックが設定されているか確認する

備考

関連する管理策：5.認証と権限 ① 10.スマートデバイスの利用 ③65

上付き(N)は参考資料の番号を示す

業務 No.45

社内へのリモートアクセス 1 【第三者による覗き見】

情 報 を 処□建物・部屋・エリア

理・保存する■ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

ネットワークを経由した情報への許可されていないアクセスを防止するため

現状のセキュリティレベル

社内へのリモートアクセス時に、第三者が傍にいる事を意識せずに接続している

リスクシナリオ

社内へのリモートアクセス方法・認証方法を傍にいる第三者に覗き見され、社内ネットワークに接続されてしまう

技術的対策

・社外からリモートアクセスできるサーバー、サービスの範囲を最小限にしておく・ID・パスワード認証に加え端末認証、物理的認証トークン、
生体認証などの要素を加える

人的対策

・社内にリモートアクセスする際、周囲に社外の人がいない
ことを確認してから接続する
・リモートアクセスのパスワードを定期的に変更する

運用で心がけるポイント

外部からのアクセスログを定期的に確認する

備考

関連する管理策：5.認証と権限 ①,②,③ 6.ネットワークのアクセス制御 ③66

上付き(N)は参考資料の番号を示す

業務 No.46

社内へのリモートアクセス 2 【平文通信】

情 報 を 処□建物・部屋・エリア

理・保存する■ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因□業務・人事管理者□従業員

ネットワークを経由した情報への許可されていないアクセスを防止するため

現状のセキュリティレベル

社外から社内へのリモートアクセスに平文(暗号化されていない)で通信している

リスクシナリオ

クライアント(社外の PC)から接続ポイント(社内のリモートアクセスサーバー)間が平文通信のため盗聴され情報が漏え
いする

技術的対策

社外からのリモートアクセスには SSL-VPN、IPSec、PPTPなどの暗号化通信技術を使用する

人的対策

運用で心がけるポイント

リモートアクセスサーバーの通信設定に SSLVPN、IPSec、
PPTP などの暗号化通信技術が使用されていることを確認す
る

備考

関連する管理策：6.ネットワークのアクセス制御 ③67

上付き(N)は参考資料の番号を示す

業務 No.47

社用車の利用情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー■記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

セキュリティの対策の目的

暗号化により情報の漏えいから情報を保護する

現状のセキュリティレベル

社用車に荷物(重要な情報)を載せたままであることが常になっている

リスクシナリオ

駐車時など車から離れた際に車上荒しに遭い、車内に置いていた PC や記憶媒体が盗まれる

技術的対策

PC のハードディスク、記憶媒体は暗号化しておく

人的対策

社用車から離れる際は、PC や記憶媒体は車内に放置せず携帯する運用で心がけるポイント

外部に持ち出す PC、記憶媒体が暗号化に対応しているか確認する

備考

関連する管理策：19.暗号化 ①

68

上付き(N)は参考資料の番号を示す

業務 No.48

スマートデバイスを利用した業務【OS・アプリケーションの設定】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)■スマートデバイス□電子機器(ICレコーダー、カメラ他) ■外部のサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) ■従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因■業務・人事管理者□従業員

スマートデバイスの利用に伴う、情報の漏えい、改ざん、破壊を防止するため

現状のセキュリティレベル

スマートデバイスの使用に関するガイドラインが無い

リスクシナリオ

顧客・パートナー情報を含んだスマートデバイスのアドレス
帳と SNS が自動同期になっており、さらに SNS 招待メール
機能が有効になっていたため、SNS から顧客・パートナーへ
招待メールが送信されてしまった

技術的対策

デバイス管理ツールを利用しスマートデバイスの管理を行う

人的対策

・スマートデバイス使用に関するガイドラインを策定する
・SNS 使用に関するガイドラインを策定する

運用で心がけるポイント

スマートデバイスの OS、アプリケーションのバージョンアップに伴う設定変更に注意する

備考

関連する管理策：10.スマートデバイスの利用 ④,⑤,⑨ 18.SNS の利用 ①69

上付き(N)は参考資料の番号を示す

業務 No.49

スマートデバイスを利用した業務【ルート化、Jailbreak の禁止】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット■アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)■スマートデバイス□電子機器(ICレコーダー、カメラ他) □外部のサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) ■従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

■適法性

■外部

□偶発的要因■業務・人事管理者□従業員

スマートデバイスの利用に伴う、情報の漏えい、改ざん、破壊を防止するため

現状のセキュリティレベル

ルート化、Jailbreak 禁止のルールが無い

リスクシナリオ

スマートデバイスをルート化・Jailbreak して使用し、さらに悪意のあるアプリケーションダウンロードしてしまい、そのアプリケーションがスマートデバイスにある情報を漏えい
する

技術的対策

デバイス管理ツールを使用し、ルート化・Jailbreak の禁止、
アプリケーションの無断使用を禁止する

人的対策

スマートデバイス使用に関するガイドラインを策定する

運用で心がけるポイント

ルート化・Jailbreak をしていない事、無許可アプリケーシ
ョンを使用していない事を定期的に確認する

備考

関連する管理策：10.スマートデバイスの利用 ②,③,④,⑤,⑨70

上付き(N)は参考資料の番号を示す

4.退社
業務 No.50

業務終了

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

■机上

□FAX

□コピー機

■PC □サーバー■記憶媒体(USB メモリ他)□スマートデバイス■電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)■従業員(本人外) □訪問者
実施責任□システム管理者

□適法性

□外部

□偶発的要因■業務・人事管理者■従業員

セキュリティの対策の目的

情報への許可されていないアクセスを防止するため

現状のセキュリティレベル

机上の PC・書類・記憶媒体等を放置しての帰宅が許されている(クリアーデスク・クリアスクリーンポリシーが無い)

リスクシナリオ

PC・書類・記憶媒体を机上に放置したまま帰宅し、社内に残ったアクセス権の無い者が情報を閲覧する

技術的対策

PC に ID・パスワード付きのスクリーンセーバーの設定を行う

人的対策

帰宅時には PC をログアウト(ログオフ)し机上の書類・記憶媒体をすべて指定された場所へ収納し、重要情報の収納場所は施錠する運用で心がけるポイント

業務終了後の机上の確認をする

備考

関連する管理策：21.クリアデスク・クリアスクリーン ①,②

71

上付き(N)は参考資料の番号を示す

5.帰宅
業務 No.51

会社の PC を持ち帰っての作業 1 【自宅での盗難・不正アクセス】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因□業務・人事管理者■従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

自宅での会社 PC の使用ルールが無い

リスクシナリオ・自宅に空き巣が入り会社 PC を盗まれる
・自宅に来た者に会社 PC を使用され情報が漏えいする

技術的対策

・ID・パスワードの設定に加えて BIOS レベルのパスワードを設定する
・会社 PC のハードディスクの暗号化を行う

人的対策

・家族、友人にも会社 PC の ID・パスワードは開示しない
・会社 PC と自宅 PC で同じパスワードを使用することを禁止する

運用で心がけるポイント

会社 PC の ID・パスワードの設定の確認及びハードディスクの暗号化の確認をする

備考

関連する管理策：5.認証と権限 ① 19.暗号化 ①

72

上付き(N)は参考資料の番号を示す

業務 No.52

会社の PC を持ち帰っての作業 2 【ソフトウェアのインストール】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

■PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

■適法性

■外部

□偶発的要因■業務・人事管理者■従業員

アプリケーション・ソフトウェアの利用に伴う、情報の漏えい、改ざん、破壊から情報を保護するため

現状のセキュリティレベル

ソフトウェアの PC へのインストール規制が無い

リスクシナリオ

ソフトウェア(自宅で購入したソフトウェア、フリーソフトウ
ェア、シェアソフトウェア、Winny、Share 等)を無許可で会社 PC にインストールし、そのソフトウェアの脆弱性により、ネットワークを通じて第三者に情報が漏えいする

技術的対策

ユーザのアカウントからソフトウェアのインストール権限を
削除する

人的対策

ソフトウェアを会社 PC にインストールする場合は、申請を行うように定め、システム管理者がソフトウェア使用のリスクを判断した後、インストールを行う

運用で心がけるポイント

無許可のソフトウェアが会社 PC にインストールされていな
いかソフトウェアの棚卸を実施する

備考

関連する管理策：20.アプリケーションの利用 ①,②73

上付き(N)は参考資料の番号を示す

業務 No.53

SNS の利用【OS・アプリケーションの設定】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)■スマートデバイス□電子機器(ICレコーダー、カメラ他) ■外部のサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) ■従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因■業務・人事管理者□従業員

従業員が SNS を私的利用するに際し、企業情報の漏えいを防止すると共に、企業の信用失墜を防止するため。

現状のセキュリティレベル

SNS 利用についてのルールが無い

リスクシナリオ

位置情報の付いた取引先に関連する写真を知らずに SNS にアップし、位置情報より取引先名が判明してしまう

技術的対策

SNS に写真をアップする前に、位置情報を削除しておく

人的対策

SNS の使用ガイドラインを策定する

運用で心がけるポイント

どのアプリケーションと位置情報との連携設定がされているか、どのアプリケーションと SNS との連携設定がされているかを認識しておく

備考

関連する管理策：18.SNS の利用 ①74

上付き(N)は参考資料の番号を示す

業務 No.54

SNS の利用【公序良俗に反する利用の禁止】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)■スマートデバイス□電子機器(ICレコーダー、カメラ他) ■外部のサービス(ファイル交換サービス等)
影響

□機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) ■従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者

セキュリティの対策の目的

■適法性

□外部

□偶発的要因■業務・人事管理者■従業員

従業員が SNS を私的利用するに際し、企業情報の漏えいを防止すると共に、企業の信用失墜を防止するため。

現状のセキュリティレベル

SNS 利用についてのルールが無い

リスクシナリオ

従業員が、SNS に反社会的な行為を行ったことを書き込み、企業の信用失墜を引き起こす

技術的対策

人的対策

SNS の使用ガイドラインを策定する

運用で心がけるポイント

例え SNS に企業名を記載していない場合でも、インターネ
ット上の他の情報と突き合わせ、企業名を特定できる可能性があることに注意する

備考

関連する管理策：18.スマートデバイスの利用 ①75

上付き(N)は参考資料の番号を示す

6.システム管理業務
業務 No.55

業務アプリケーションの設定変更作業 1 【一元管理】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット■アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因□業務・人事管理者□従業員

すべてのシステムに対する変更を一元的に管理して、障害・事故発生の可能性を最小限にするとともに、障害・事故発生
時、障害・事故から速やかに回復するため

現状のセキュリティレベル

業務アプリケーションの設定変更作業をシステム管理者個人の力量に頼っている

リスクシナリオ

間違った設定をアプリケーションに行い、アプリケーションが停止し、障害原因が分からず障害が長期化する

技術的対策

障害時に早期に復旧できるように、アプリケーションのデー
タ及び設定情報のバックアップを取得しておく

人的対策

・アプリケーション設定変更についてのレビュー承認制度を導入し、影響範囲、変更計画、切り戻し計画等をレビューする・アプリケーション変更の作業記録を残す

運用で心がけるポイント

・作業前に、復元可能な(RPO:Recovery Point Objective を満たした)バックアップがあることを確認する
・作業ごとに作業記録が作成されていることを確認する

備考

関連する管理策：14.バックアップ ② 16.変更管理 ①,②,③,④76

上付き(N)は参考資料の番号を示す

業務 No.56

業務アプリケーションの設定変更作業 2 【検証テスト】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット■アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因□業務・人事管理者□従業員

すべてのシステムに対する変更を一元的に管理して、障害・事故発生の可能性を最小限にするとともに、障害・事故発生
時、障害・事故から速やかに回復するため

現状のセキュリティレベル

アプリケーションの検証テストに実データを使用している

リスクシナリオ

アプリケーション設定変更の検証テストに実データを使用
し、設定間違いにより情報を破壊あるいは漏えいしてしまう

技術的対策

・アプリケーションデータのバックアップを取得しておく
・検証にはテスト用(ダミー)データを用いる
・重要なデータ項目はマスクしておく

人的対策

検証テストでの実データ使用の条件、ルールを作成する

運用で心がけるポイント

実データを使用する場合は作業前に、復元可能な(RPO:Recovery Point Objective)を満たしたバックアップがあることを確認する

備考

関連する管理策：14.バックアップ ② 16.変更管理 ⑤,⑥77

上付き(N)は参考資料の番号を示す

業務 No.57

サーバーの管理業務 1 【冗長化、バックアップ】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

□外部

■偶発的要因□業務・人事管理者□従業員

セキュリティの対策の目的

情報及びシステムを障害・事故から保護するため

現状のセキュリティレベル

ストレージ構成の冗長化をしておらず、また定期的なバックアップも取得していない

リスクシナリオ

ハードディスク障害によるサーバーの停止及びデータの損失
が発生する

技術的対策

・ストレージの冗長化構成(RAID、リプリケーション等)を行う・バックアップを定期的に行う

人的対策

データファイル、構成ファイルを定期的に他記憶媒体にコピーする

運用で心がけるポイント

・冗長化構成に故障が発生していないか監視する・バックアップ、冗長化が RPO、RTO を満たしているか確認する

備考

関連する管理策：4.IT 継続性 ① 14.バックアップ ①,②,③

78

上付き(N)は参考資料の番号を示す

業務 No.58

サーバーの管理業務 2 【構成管理】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因□業務・人事管理者□従業員

すべてのシステムに対する構成情報を一元的に管理して、障害・事故発生の可能性を最小限にするとともに、障害・事故
発生時、障害・事故から速やかに回復するため

現状のセキュリティレベル

サーバー(ハードウェア、OS、アプリケーション)の構成管理を行っていない

リスクシナリオ

サーバー(ハードウェア、OS、アプリケーション)の構成情報(機器構成、OS・アプリケーション・関連ソフトウェアの構成・バージョン)が誤っているため、設定変更時に障害を引き
起こす

技術的対策

人的対策

サーバーの導入時及び変更時の設定情報、構成情報を保管す
る

運用で心がけるポイント

サーバーの構成情報と実際の現状構成を突き合わせて確認す
る

備考

関連する管理策：17.構成管理 ①,②

79

上付き(N)は参考資料の番号を示す

業務 No.59

サーバーの管理業務 3 【障害管理】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因□業務・人事管理者□従業員

システム障害、セキュリティ事故が発生した場合、根本原因を取り除き、再発防止を行うため

現状のセキュリティレベル

障害管理を行っていない

リスクシナリオ・障害管理を行っていないため、小さな障害を放置し、やがて大規模な障害に発展してしまう
・障害管理を行っていないため、過去に発生した障害が再発した場合、迅速に対応できない

技術的対策

人的対策

些細な障害から大規模障害まで報告を行い、障害の原因と障害から復旧までの記録を残す

運用で心がけるポイント

障害記録の確認及び是正・予防処置の確認をする

備考

関連する管理策：3.障害・事故管理 ②,③80

上付き(N)は参考資料の番号を示す

業務 No.60

サーバーの管理業務 4 【障害・問題発生時の連絡体制】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因■業務・人事管理者□従業員

システム障害、セキュリティ事故が発生した場合、根本原因を取り除き、再発防止を行うため

現状のセキュリティレベル

障害、問題発生時の連絡体制がない

リスクシナリオ

事故・障害発生時に連絡体制が無いため報告漏れ・遅れが発生し、事故・障害対応に時間を要する

技術的対策

人的対策

障害、問題発生時の連絡体制を整備する

運用で心がけるポイント

連絡体制には社内のみならずサポート業者、取引業者、警察、監督諸官庁等の外部も考慮に入れること

備考

関連する管理策：3.障害・事故管理 ①

81

上付き(N)は参考資料の番号を示す

業務 No.61

サーバーの管理業務 5 【システムログの取得】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因□業務・人事管理者□従業員

許可されていない情報処理活動の検知、システム異常の検知
及び障害・事故を分析するため

現状のセキュリティレベル

サーバーのシステムログを取得していない

リスクシナリオ

サーバーのシステムログを取得していないため問題を早期に発見できない、あるいは発生後、原因が追求できない

技術的対策

サーバーのシステムログを取得し、定期的にレビューを行い問題が発生していないことを確認する

人的対策

運用で心がけるポイント

問題発生時に比較するため、サーバーが正常な状態のシステ
ムログを保存しておく

備考

関連する管理策：13.ログの取得 ②

82

上付き(N)は参考資料の番号を示す

業務 No.62

サーバーの管理業務 6 【アクセスログの取得】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)■システム管理者(本人外) □従業員(本人)■従業員(本人外) ■訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因□業務・人事管理者□従業員

許可されていない情報処理活動の検知、システム異常の検知
及び障害・事故を分析するため

現状のセキュリティレベル

サーバーのアクセスログを取得していない

リスクシナリオ

アクセスログを取得していないため、サーバーへの不正アク
セスを早期に発見できない

技術的対策

サーバーのアクセスログを取得し、定期的にレビューを行い
不正アクセスが発生していないことを確認する

人的対策

運用で心がけるポイント

・サーバーの時間を標準時間と同期しておく・ログは 6 カ月以上保存しておく

備考

関連する管理策：13.ログの取得 ①,③,④

83

上付き(N)は参考資料の番号を示す

業務 No.63

サーバーの管理業務 7 【負荷状況の監視】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

■偶発的要因□業務・人事管理者□従業員

システムの容量・能力を業務の変化に合わせ最適化することにより、障害・事故発生の可能性を最小限にするため

現状のセキュリティレベル

サーバーのリソース(CPU、メモリ、記憶媒体、ディスク IO、ネットワーク帯域等)の使用状況を監視していない

リスクシナリオ

サーバーの負荷状況を監視していないため、リソースの限界を超えサーバーを利用してしまい、障害が発生する(OS 領域に割り当てたハードディスクが一杯になりシステムが停止す
る等)

技術的対策

サーバーの監視ツールを導入、負荷状況を監視し、状況に適合するリソースの増強や構成変更の実施を行う

人的対策

定期的にサーバーの負荷状況を監視し、監視結果に基づいたリソースの増強や構成変更の実施を行う

運用で心がけるポイント

各リソースの閾値を決めておく

備考

関連する管理策：15.容量・能力の管理 ①,②

84

上付き(N)は参考資料の番号を示す

業務 No.64

サーバーの管理業務 8【パッチの適用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット■アプリケーション□机上□FAX □コピー機■PC ■サーバー□記憶媒体(USB メモリ他)□携帯電話□電子機器(IC レコーダ

ー、カメラ他) □外部のサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

■外部

□偶発的要因□業務・人事管理者□従業員

セキュリティの対策の目的 公開されている技術的脆弱性の悪用によって生じる情報の漏
えい、改ざん、破壊、及びシステム(ソフトウェア、ネットワーク機器)の破壊、停止、を防止するため
現状のセキュリティレベル

パッチが適切なタイミングで適用されていない

リスクシナリオ

マルウェアに感染し、業務システムが停止し業務が継続てき
ない

技術的対策

人的対策

ソフトウェア(OS、ミドルウエア、アプリケーション)のパッ
チがリリースされた場合は、業務システムに影響がないことを確認し、パッチを適用する

運用で心がけるポイント

・構成管理(パッチの適用状況の把握)を行う
・パッチの適用によりシステムが停止する可能性があること
に注意する

備考

関連する管理策：7.パッチの適用 ①,③ 17.構成管理 ②85

上付き(N)は参考資料の番号を示す

業務 No.65

ネットワークの管理業務

情 報 を 処□建物・部屋・エリア

理・保存する■ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) ■従業員(本人)■従業員(本人外) ■訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

□外部

□偶発的要因□業務・人事管理者□従業員

情報と情報機器への許可されていないアクセスを防止するため

現状のセキュリティレベル

許可の無いネットワーク機器の社内ネットワークへの接続を制御していない

リスクシナリオ

利用者がシステム管理者の許可無しに、ネットワーク機器を
社内ネットワークに接続し、ループを発生させ、社内ネット
ワークが利用できなくなる

技術的対策

・端末(MAC)認証を行い、許可しないネットワーク機器は接続できないようにする
・ループ防止対策の設定をネットワーク機器にする

人的対策

ネットワークのポートに鍵付きプロテクターを付ける

運用で心がけるポイント

ユーザはシステム管理者の許可無しに、アクセス可能な場所にあるネットワークを使用できないことを確認する

備考

関連する管理策：1.セキュリティ境界と入退室管理 ①
6.ネットワークのアクセス制御

86

上付き(N)は参考資料の番号を示す⑦

業務 No.66

レガシーシステム(アプリケーションが古いため最新の OS に対応できないシステム)の管理

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット■アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

□偶発的要因■業務・人事管理者□従業員

情報の漏えい、改ざん、破壊及びソフトウェアの改ざん、破壊を防止するため

現状のセキュリティレベル

保守サポートの無い OS、ハードウェア機器を使用しているため、セキュリティパッチ等のセキュリティ対策が行えない

リスクシナリオ

ネットワーク経由でレガシーシステムとデータ共有を行い、レガシーシステムにウイルスを感染させる

技術的対策

データはウイルスチェック可能な UTM 装置等を経由させ、レガシーシステムに入力する

人的対策

レガシーシステムでデータを使用する前に、別のシステムでウイルスチェックを行う

運用で心がけるポイント

備考

定期的にレガシーシステムのバックアップを取得する

レガシーシステムとは、一般的に、時代遅れとなった古いシステムのことを言う

関連する管理策：8.ウイルス及び悪意のあるプログラムに対する対策 ③,④,⑦87

上付き(N)は参考資料の番号を示す

業務 No.67

Web(ホームページを含む)サイトの開発・管理業務１ 【重要情報の管理】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット■アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

■外部

□偶発的要因□業務・人事管理者□従業員

セキュリティの対策の目的

情報の漏えいを防止するため

現状のセキュリティレベル

置く必要の無い重要情報を公開 Web サーバー上に保存している
公開 Web サーバー上に保存している重要情報が Web サーバ

リスクシナリオーのセキュリティホールを利用され漏えいする

重要情報は公開 Web サーバーとは別のネットワークセグメ

技術的対策

ントにあるサーバー上に保存し、外部からアクセスできない
ようにアクセス制御を行う
人的対策

運用で心がけるポイント

公開 Web サーバー上に重要情報が保存されていないことを
確認する

備考

関連する管理策：6.ネットワークのアクセス制御 ①,②,④,⑤
12.Web の開発・管理 ②,③

88

上付き(N)は参考資料の番号を示す

業務 No.68

Web(ホームページを含む)サイトの開発・管理業務 2 【パッチの適用】

情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット■アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

■完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

□適法性

■外部

□偶発的要因□業務・人事管理者□従業員

セキュリティの対策の目的 公開されている技術的脆弱性の悪用によって生じる情報の漏
えい、改ざん、破壊、システム(ソフトウェア、ネットワーク
機器)の破壊、停止、及び技術的脆弱性によって発生するシス
テム(ソフトウェア、ネットワーク機器)の障害を防止するため
現状のセキュリティレベル

公開 Web サーバーにセキュリティパッチを適用していない

リスクシナリオ

公開 Web サーバーのセキュリティホールを利用され、ホームページを改ざんされる

技術的対策

人的対策

セキュリティパッチがリリースされるとすぐに適用する運用で心がけるポイント

・公開 Web ページが改ざんされていないか定期的に確認する
・公開 Web サーバーに使用しているアプリケーション、ミド
ルウエアを洗い出し、脆弱性情報の収集を定期的に行う

備考

関連する管理策：7.パッチの適用 ①

89

上付き(N)は参考資料の番号を示す

業務 No.69

Web(ホームページを含む)サイトの開発・管理業務 3 【開発】情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット■アプリケーション

□机上

□FAX

□コピー機

□PC ■サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

■機密性

■完全性

■可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任■システム管理者

セキュリティの対策の目的

□適法性

■外部

■偶発的要因□業務・人事管理者□従業員

情報の漏えい、改ざん、破壊及びソフトウェアの改ざん、破壊を防止するため

現状のセキュリティレベル

公開 Web サイトの開発時に、セキュリティを意識せず開発している
セキュリティを意識せず公開 Web サイトを開発したため、脆リスクシナリオ

弱性が多数存在し、クロスサイトスクリプティング等によりサイト利用者がセキュリティ被害に遭う
技術的対策

WAF(Web Application Firewall)を導入する

人的対策

公開 Web サイトの開発時は OWASP、IPA などの開発ガイド
ラインに従い開発を実施する

運用で心がけるポイント

定期的に第三者機関の検査または監査を実施する

備考

関連する管理策：6.ネットワークのアクセス制御 ①,②,④,⑤
12.Web の開発・管理 ③,④,⑤90

上付き(N)は参考資料の番号を示す

7.情報セキュリティ対策シート
業務 No
情 報 を 処□建物・部屋・エリア

理・保存する□ネットワーク

ための実体□プリンター□キャビネット□アプリケーション

□机上

□FAX

□コピー機

□PC □サーバー□記憶媒体(USB メモリ他)□スマートデバイス□電子機器(ICレコーダー、カメラ他) □クラウドサービス(ファイル交換サービス等)
影響

□機密性

□完全性

□可用性

脅威の要因

□システム管理者(本人)□システム管理者(本人外) □従業員(本人)□従業員(本人外) □訪問者
実施責任□システム管理者□外部□偶発的要因□業務・人事管理者

セキュリティの対策の目的

現状のセキュリティレベル

リスクシナリオ

技術的対策

人的対策

運用で心がけるポイント

備考

91

上付き(N)は参考資料の番号を示す

□適法性

□従業員

付録
1.用語
(1)情報資産JIS Q 27002:2006 には次のような資産の事例がある(2)①

情報：データベース及びデータファイル、契約書及び同意書、システム文書、
調査情報、マニュアル、事業継続計画、証跡、保存情報等②

ソフトウェア資産：業務用ソフトウェア、システムソフトウェア、開発ツール、ユーティリティソフトウェア等③

物理的資産：コンピューター、ネットワーク装置、取り外し可能な媒体等④

サービス：計算処理サービス、通信サービス、暖房、電源、空調、照明等⑤

人：保有する資格、技能、経験⑥

無形資産：組織の評判、イメージ(2)機密性(Confidentiality)
許可されていない個人、グループ、組織、システムに対して、情報を使用不可又は非公開にする特性(3)完全性(Integrity)
情報資産の正確さ及び完全さを保護する特性(4)可用性(Availability)
許可された個人、グループ、組織、システムが要求したときに、アクセス及び使用が可能である特性(5)適法性(Compliance)
法令、規則または契約上のあらゆる義務、及びセキュリティ上のあらゆる要求事項に対する遵守(6)脅威(Threat)
情報資産の機密性、完全性、可用性に危害を与える原因となる事象で、人為的(意図的、作為的)なものと環境的(地震、落雷など)なものに分類される

92

上付き(N)は参考資料の番号を示す

(7)脆弱性(Vulnerability)
脅威によって利用されるおそれのある弱点

図付録-1 脅威と脆弱性

2.情報資産の洗い出しについて
組織が情報を適切に管理し、機密性、完全性、可用性を守るための包括的な枠組みである ISMS の構築ステップでは、企業の保有する情報資産を洗い出し、洗い出した情報資産に対して、リスクを特定・分析・評価・対応、情報セキュリティ対策を順次行っていく。

93

上付き(N)は参考資料の番号を示す

図

付録-2

ISMS 構築のステップ (JIS Q 27001:2006) (2)

この情報資産をベースにした情報セキュリティ対策アプローチには次のような課題がある。
(1) 作業が膨大であり、金銭面、工数面で企業に非常な負担を強いる(2) 専門的な知識が必要であり、独力で行うことが難しい(3) 情報資産を洗い出した後に、発生する新規の情報については、次の情報資産の洗い出しまで、リスク対応・対策から漏れる可能性がある
しかし、組織がどんなレベルの情報を保有しているのか？ あるいは、各レベルの情報が漏えいした場合にどんな影響があるのか？ を把握しておくことは情報セキュリティ対策を行うにあたって、過剰な対策、投資を防止する意味において有効であるので、ここでは情報の分類例を 2 例紹介しておく。
まず、ISMS では組織の持つ資産を、機密性、完全性、可用性の規準から資産を評価する方法を例示している。表 付録-1 機密性基準による情報の分類例を示す。

94

上付き(N)は参考資料の番号を示す

表 付録-1 機密性基準による情報の分類例(2)また、日本セキュリティ監査協会(JASA)では「2010 年度 情報セキュリティ監査シンポジウム公演資料」(17)の中で、取り扱う情報を、情報漏えいが発生した場合のインパクトを基準に、表 付録-2 情報資産のカテゴリ分類(例)に示すように 5 つのカテゴリに分類している。

表 付録-2 情報資産のカテゴリ分類(例)(25)※ JASA

2010 年度 情報セキュリティ監査シンポジウム公演資料「今日から実践！ サプライチェーン情報セキュリティ管理と監査の活用」より
95

上付き(N)は参考資料の番号を示す

3.本手引き管理項目と ISMS 詳細管理策との対応

表 付録-3 本手引き管理策と ISMS 詳細管理策の対応※ISMS-ISO/IEC27001:2013-付属書 A 対応管理策は関連度が最も近いものを紐づけた。

96

上付き(N)は参考資料の番号を示す

4.システム概念図

図※

図

付録-3 システム概念図

付録-3 は本手引きを読む上で参考になるように記載したもので、推奨するシステムの概念図ではない。

97

上付き(N)は参考資料の番号を示す

参考資料(1) NPO 日本ネットワークセキュリティ協会(JNSA)
2008 年度活動成果物「中小企業の情報セキュリティ対策支援 WG 活動報告書」
http://www.jnsa.org/result/2008/west/0812report.pdf(2)財団法人 日本情報処理開発協会(JIPDEC)「ISMS ユーザガイド –JIS Q 27001:2006(ISO/IEC 27001:2005)対応-」
http://www.isms.jipdec.jp/doc/JIP-ISMS113-21.pdf(3)日本工業標準調査会審議「JIS Q 27001:2006(ISO/IEC 27001:2005)
情報技術―セキュリティ技術―情報セキュリティマネジメントシステム―要求事項」
発行

日本規格協会(4)ISO/IEC「ISO/IEC 27001:2013 情報技術―セキュリティ技術―情報セキュリティマネジメントシス
テム―要求事項 」
発行

日本規格協会(5) NPO 日本ネットワークセキュリティ協会(JNSA)「情報セキュリティプロフェッショナル教科書」
発行

アスキー・メディアワークス(6)財団法人 日本情報処理開発協会(JIPDEC) プライバシーマーク事務局「JIS Q 15001:2006 をベースにした個人情報保護マネジメントシステム実施のためのガイ
ドライン―第 2 版―」
http://privacymark.jp/reference/pdf/guideline_V2.0_100917.pdf(7)日本工業標準調査会審議「個人情報保護マネジメントシステム-要求事項 (JIS Q 15001:2006)」
発行

日本規格協会(8) NPO 日本ネットワークセキュリティ協会(JNSA)
2006 年度活動成果物「個人情報保護対策チェックシート集計結果」
http://www.jnsa.org/result/2006/west/checksheet_result061211.pdf
98

上付き(N)は参考資料の番号を示す

(9)NPO 日本ネットワークセキュリティ協会(JNSA)「個人情報保護法対策セキュリティ実践マニュアル 2005 年度版」
発行 インプレス ネットビジネスカンパニー(10)独立行政法人 情報処理推進機構(IPA)
中小企業の情報セキュリティ対策ガイドライン「委託関係における情報セキュリティ対策
ガイドライン」
http://www.ipa.go.jp/security/fy20/reports/sme-guide/documents/sme-itaku.pdf(11)総務省「国民のための情報セキュリティサイト」
http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/(12)経済産業省「SaaS 向け SLA ガイドライン」
http://www.meti.go.jp/committee/materials/downloadfiles/g80207c05j.pdf(13)Japan Vulnerability Notes「共通セキュリティ設定一覧 CCE 概説 (パスワード編)」
http://jvndb.jvn.jp/apis/myjvn/cccheck/cce_password.html(14)社団法人

電子情報技術産業協会「パソコンの廃棄・譲渡時におけるハードディスク上のデータ消去に関する留意事項」
http://home.jeita.or.jp/page_file/20110511155520_8vAEy2Fi5d.pdf(15)社団法人

電子情報技術産業協会「データ消去に関する各種規格のご紹介」
http://it.jeita.or.jp/infosys/committee/network/guideline0407/standard.html(16) Semiconductor Japan Net
半導体入門講座

第 13 回 「フラッシュメモリ」

http://www.semiconductorjapan.net/serial/lesson/13.html(17) NPO デジタルフォレンジック研究会
205 号コラム「フラッシュメモリーとフォレンジック」
http://www.digitalforensic.jp/expanel/diarypro/diary.cgi?no=399&continue=on
99

上付き(N)は参考資料の番号を示す

(18) NPO 日本ネットワークセキュリティ協会(JNSA)「スマートフォンの安全な利活用のすすめ～ スマートフォン利用ガイドライン ～」http://www.jnsa.org/result/2012/smap_guideline_v1.0.pdf(19) 一般社団法人 日本スマートフォンセキュリティ協会(JSSEC)「スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン」
http://www.jssec.org/dl/guidelines2011_v1.1.pdf(20)一般社団法人

日本スマートフォンセキュリティ協会(JSSEC)「スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン
http://www.jssec.org/dl/BYOD_BasicData2012_v1.0.pdf(21)The Open Web Application Security Project「安全な Web アプリケーション構築の手引き日本語翻訳-The Open Web Application Security Project-」
http://wasforum.jp/about-wasforum/publications/(22)独立行政法人 情報処理推進機構(IPA)「安全なウェブサイトの作り方」
http://www.ipa.go.jp/security/vuln/documents/website_security.pdf(23) NPO 日本ネットワークセキュリティ協会(JNSA)「SNS の安全な歩き方～セキュリティとプライバシーの課題と対策～」
http://www.jnsa.org/result/2012/SNS-WG_ver0.7.pdf(24)総務省

経済産業省「電子政府推奨暗号リスト」
http://www.cryptrec.go.jp/list.html(25)NPO 日本セキュリティ監査協会(JASA)
2010 年度

情報セキュリティ監査シンポジウム公演資料「今日から実践！ サプライチェーン情報セキュリティ管理と監査の活用」

100

上付き(N)は参考資料の番号を示す

補足資料」

(26)NPO 日本ネットワークセキュリティ協会(JNSA)「中小企業向け情報セキュリティチェックシート」
http://www.jnsa.org/seminar/nsf/2014kansai/＊リンク先は 2014 年 3 月 19 日現在のものです。

101

上付き(N)は参考資料の番号を示す

NPO 日本ネットワークセキュリティ協会

西日本支部

WG メンバー井上陽一

JNSA 顧問

WG リーダー 元持哲郎

アイネット・システムズ株式会社

青木茂

公認情報セキュリティ監査人

浅野二郎

セキュリティアドバイザー

石丸正行

富士通株式会社

礒元

芳昭

株式会社 OSK

西日本支部長宇佐川

アドバイザー道信

パナソニック ES ファシリティマネジメント株式会社

大財

健治

株式会社ケーケーシー情報システム

久保寧

富士通関西中部ネットテック株式会社

久保智夫

株式会社インターネットイニシアティブ

小山正人

キャノン IT ソリューションズ株式会社

齋藤

聖悟

株式会社澄川工作所

塩田廣美

京都府立大学嶋倉文裕

富士通関西中部ネットテック株式会社

西川

和予株式会社 GENUSION

吉崎

大輔

日本電気株式会社

近畿経済産業局

地域経済部

102

上付き(N)は参考資料の番号を示す

大学院

情報政策課

博士前期課程JNSA 幹事