中小企業サイバーセキュリティ対策関連の情報の備忘録

CyberSec diary

サイバーセキュリティ対策として、特に中小企業、個人でも考慮すべき対策にフォーカスした情報の備忘録です。

情報システムの整備と運用管理を調達する際の情報セキュリティ対策要件（メモ）

情報システムの整備と運用管理を調達する際の情報セキュリティ対策要件（メモ）

2016年4月12日

中山正樹

 

「政府情報システムの整備及び管理に関する標準ガイドライン実務手引書」に示された要件のうち、特にセキュリティに関連する部分を抜粋し、解説を加えたもの。

システム開発、運用を調達する場合に明示すべき要件が網羅的に提示されている。

 

目次

  1. 「政府情報システムの整備及び管理に関する標準ガイドライン実務手引書」より.. 1

1.1.     プロジェクトの管理... 1

1.1.1.     プロジェクト管理要領の記載内容（プロジェクト計画書等の作成）... 1

1.2.     業務の見直し... 6

1.2.1.     業務要件の定義... 6

1.3.     要件定義... 7

1.3.1.     非機能要件（要件定義書の記載事項）... 7

1.4.     設計・開発... 9

1.4.1.     設計・開発実施要領の記載内容（設計・開発実施計画書等の作成）... 9

1.5.     業務の運営と改善... 9

1.5.1.     日常運営における業務改善の実施方法（日常運営における業務改善）... 9

1.6.     運用及び保守... 10

1.6.1.     運用実施要領の作成・記載内容（運用開始前の準備）... 10

1.6.2.     保守実施要領の作成・記載内容（運用開始前の準備）... 10

1.7.     システム監査の計画... 11

1.7.1.     システム監査計画の策定... 11 

1.       「政府情報システムの整備及び管理に関する標準ガイドライン実務手引書」より

1.1.     プロジェクトの管理

1.1.1.      プロジェクト管理要領の記載内容（プロジェクト計画書等の作成）

(1)   リスク管理

  • リスク顕在時の報告先、報告内容、リスクの管理手法等を記載する
  • 情報セキュリティリスクについては、自府省の情報セキュリティポリシーを参照
  • 趣旨
    • プロジェクトの目標達成を阻害する予期し得ない事態をリスクという。多種多様なリスクについて、その顕在化前から発生の要因分析と影響、確率を評価するとともに、予防策や顕在化した際の原因追及、プロジェクトへの影響の把握、対応策の実施及び結果を評価するため、リスクの管理手法等を記載するものである。
    • リスクには、プロジェクト遂行上発生するおそれがあることがプロジェクトの計画段階で判断可能なもの、遂行中に新たに発生するおそれがあることが判明又は顕在化するもの、レビュー制度において判明するものがある。
    • 段階別では、計画策定段階のリスク（政策等の要求による非常に短期の開発スケジュールを要因とするリスク等）、要件定義段階のリスク（適切な要件を網羅できない又は過剰な事項まで要件としてしまうリスク等）、調達リスク（適切な事業者が選定できないリスク、調達したハードウェア等の瑕疵、情報システム等に内在する情報セキュリティリスク等）、制度改定、関連法令等への遵守に関係するリスク（コンプライアンスのリスク）等が存在するため、ＰＪＭＯはこれらを把握し、分析・評価結果を踏まえて適切な対応を指示する必要がある。
    • また、ＰＪＭＯは、プロジェクトの各工程において発生する可能性のある全てのリスク（プロジェクト遅延リスク、成果物の瑕疵リスク、コスト増大リスク、サービスレベルの低下リスク、情報セキュリティリスク等）も把握し、分析・評価結果を踏まえて適切な対応を指示する必要がある。リスク対応策は、リスクの内容に応じて、リスク管理に関する会議やＰＪＭＯが決定する。
    • リスク対応の結果については、ＰＪＭＯがＰＭＯに報告し承認を得る。
    • 上記について、ＰＪＭＯは、その都度、統括してリスク管理簿注）にまとめ、適切に管理するとともに、プロジェクト関係者間で常に共有する。特にリスク対応の状況については、継続的なフォローを行い、適時に対応状況の報告を受ける。
    • 注）実務手引書「第３編第２章別紙２－４　６．リスク管理簿の例」参照。
  • リスク管理の要点
    • 個々のリスクの要因や特徴、発生頻度等の網羅的な把握により、プロジェクトを遂行することに影響する重要なリスクが適切に識別、分析、管理及び報告されるとともに、対策の実行及びその有効性に関する評価が行われることとなる。
    • ＰＪＭＯは、政策目的・目標の達成を阻害するリスク、各事業者は、契約に定めた目標の達成（成果物の完成、業務品質水準の達成等）を阻害するリスクについて、それぞれ管理する責任があるため、ＰＪＭＯは、自らが責任を負うべきリスク管理を実施するとともに、各事業者においても適切なリスク管理の実施を要求し、その状況を把握する。
  • リスク管理の活動
    • リスク管理は次の活動から構成される。
    • (1)データの収集
      • プロジェクトを遂行することに関わるリスクの効果的な特定、分析及び報告ができるように、関連するデータの特定と収集を行う。
      • 各種リスクに関する事象のタイプ、リスクのカテゴリ、発生要因に関して、当該プロジェクトに関係するリスクに関わるデータを収集、分類及び分析するための方法を確立し、適宜見直しを行う。
      • 当該プロジェクトを遂行することにおけるリスクの管理において、プロジェクトの対象となっている業務及び情報システムの実行に影響する内外の環境に関するデータを収集する。また、この際、過去のプロジェクトからの経験についても調査を行う注）。
      • 注）実務手引書「第３編第２章別紙２－４　１ リスクの要因」参照。
    • (2)リスクの分析及び対応策の検討
      • リスクの要因及び業務の関連性を考慮して、リスクに関する対応を決定するために必要な情報を取りまとめる。
      • このために、リスクの要因及び業務に対する重要性を考慮し、リスク分析を行う範囲及び深さについて検討を行い、費用対効果も考慮したリスク分析の範囲を設定する。
      • リスクは、単独の事象としてだけではなく、一連の事象として連鎖して発生することも多いことを考慮し、脅威の種類、リスクの原因となる行為を行う可能性のある者、発生する可能性のある事象、影響を受ける可能性のある資産等、発生のタイミング等をリスクシナリオとしてまとめ、その影響及び頻度（発生確率）を推定する注）。
      • リスクシナリオについて、そのコントロール及び対策並びに残存リスクについて評価を行い、残存リスクについて、更なる対策を検討する必要性の有無を検討する。
      • 費用対効果の分析を行い、回避、低減・軽減、移転・共有及び受容といった、最適なリスク対応策をまとめる。なお、ＩＳＯ 31000又はＪＩＳ Ｑ 31000（リスクマネジメント－原則及び指針）を参照することは有用である。
      • 取りまとめたリスク対応策について、レビューを行う。
      • リスクを必要十分なレベルまで低減するため、対応策の優先順位付けを行って、実行を管理する。
      • 注）実務手引書「第３編第２章別紙２－４　２ リスク分析を実施する際の検討項目」、同「第３編第２章別紙２－４　３ リスク分析を行う分野の例」及び同「第３編第２章別紙２－４　４ リスク評価を行う際の書式（リスクシナリオ）例」参照。
    • （参考：クラウドコンピューティングサービスの利用を考慮する場合）
      • 利用によるメリットとリスクのバランスの考察（リスクの最適化）
        • クラウドコンピューティングサービスを利活用することによるメリットとしてどのようなものがあるのかを理解し、利用によって生じ得るリスクと、利用しないことによって生じるリスクを理解して、その二つの面から、適切に判断することが肝要である。
        • クラウドコンピューティングサービスの利活用のメリットの例（これらは、利活用しない場合のリスクの項目と対応する。）
          • 情報システム基盤を調達せずに、既に実績のあるサービスを利用できるため、政策課題への迅速な対応、調達費用の最小化等が期待できる
          • 利用量に応じた課金となっているため、利用に係るコストの最適化を行うことが期待できる
          • 災害時における復旧を速やかに行うことが期待できる
          • 規模の拡張若しくは縮小が容易である　等
        • クラウドコンピューティングサービスを利用することによって生じ得るリスクの例
          • サービスレベルはベンダーが提示するものに固定される
          • データセンタが海外に存在する場合、日本の法規制が適用されない
          • サービス形態によっては、システム監査を実施できない
          • データの所有権の帰属が曖昧になることがある　等
      • リスクへの対応

No.

対応の選択肢

対応の内容

１

回避

利用によって生じると考えられるリスクを検討した結果、利用をやめる場合。クラウドコンピューティングサービスを利用しないため、これによるリスクは発生しない

２

低減・軽減

データセンタの場所が国内であって、利用者がシステム監査を実施可能であるサービスを選定し、システム監査の条項を含む契約を結ぶことができるベンダーを選定する場合。適切な運用管理が行われているか否かを確認し、問題があれば改善等を要求し、リスクを低減する

３

移転・共有

何らかの問題が発生し損害が発生した場合には、賠償責任をベンダーが負うことについて、契約に明記し、その損害をカバーする場合等

４

受容

既に適切な対策が実施されており、残存リスクが小さいと判断される場合に、残存リスクがあることを承知した上で、特別に新たな対策を取らないことを意思決定した上で、利用する場合
    • (3)リスクとその属性についての情報を最新の状態に維持
      • リスクに適切に対応するためには、次の事項について明確化しておくことが望ましい。
      • 既知のリスクとその属性（予想される頻度、潜在的な影響及び対応）
        • リスクが影響する資源
        • リスクに対応する組織の力
        • 現状におけるリスクをコントロールする活動の状況
      • このためには、各計画書や構成管理等の資料を活用する。また、他において顕在化したリスクに関する情報を集め、リスクとその属性に関する情報を最新の状態に維持する。
      • これらの情報を基に、定期的にリスクへの対応策の見直し、優先順位付けの変更等について必要性を判断し、変更を行う。
    • (4)リスクに関する理解の促進
      • 適切にリスクに対応するために、必要な関係者に対して、適時に、リスクの発生により顕在化する状況について情報を提供する。
      • このため、影響を受ける関係者にとって具体的かつ理解しやすい形式で、またリスクの影響と発生確率に係る根拠も含めてリスク分析結果を取りまとめる。さらに、最悪で、かつ、最も発生可能性の高いリスクシナリオ、コンプライアンス上の重要事項等も取りまとめる。
      • 取りまとめたものは、リスク管理プロセスの有効性、コントロールの有効性、現状における問題点等を整理し、関係者で共通理解を得る。
      • 必要に応じて、第三者の評価、システム監査、工程レビュー等の結果を評価して、更なるリスク分析を実行する必要性を判断する。
    • (5)リスクのモニタリングと対応策の見直し
      • リスクを低減するための一連のコントロール活動を整理し、その有効性等を評価して、対応策及びコントロール活動の優先順位を定義する。リスクに関するモニタリングを継続的に実施し、コントロールの有効性を判断し、適宜見直しを行う。
    • (6)リスク顕在時の対応
      • リスク顕在時に適切に対応するためには、次の事項を考慮しておくことが望ましい。
      • 予兆の検出
        • 地震等の突発的自然災害等によるリスクを除くと、リスクが顕在化する前には予兆が発生していることが多いため、ＰＪＭＯは、府省ＣＩＯ補佐官等の助言を受けつつ、日常的に注意深く、プロジェクト実行現場の状況や、プロジェクトに影響を与え得る外部環境の変化を把握することが必要である。
      • 対応の準備
        • リスクに関するインシデント（事象）が発生した場合、その影響を最小化するために適切に対応するためには、あらかじめ対応の計画を準備し、その更新とテストを行う中で、インシデントが発生したときの対応の手続も点検しておく必要がある。
      • リスクの顕在化時（インシデント発生時）の対応
        • 実際にインシデントが発生した場合は、影響を最小化するため、事前に計画において定めた手順により速やかに対応を行う。
    • (7)リスク対応結果の評価とその後の対応
      • リスク対応を行った後、過去の有害事象等の情報等も参照しつつ、インシデント発生の根本原因、追加対策、対応手続の改善等について取りまとめ、関係者に報告を行う。
      • リスク対応及びその結果は、当該リスクの性格に応じて、工程管理、品質管理、課題管理、変更管理、構成管理等に影響を与えるため、ＰＪＭＯは、リスクへの対応の計画に基づき、それぞれの個別管理における対応へと引き継ぐべき事項を判断し、適切に対処する。
      • また、ＰＪＭＯは、ＰＭＯに対応結果を報告するとともに、必要に応じてプロジェクト計画書等の修正等を行う。
    • (8)留意事項
      • (2)で述べたように、リスクは連鎖するものであるという認識が重要である。
      • 例えば、個人情報の漏えいといった情報セキュリティ上のリスクが顕在化した場合に、初期対応を誤ると、最終的には当該情報システムを利用している業務そのものに対する国民からの信頼を失墜するリスクにまでつながりかねない。
      • 一つのリスクの顕在化を発端として、各種のリスクへとつながる可能性があることを認識し、連鎖する可能性のあるリスクについてあらかじめ十分に検討し、対策を検討しておくことが肝要である。

1.2.     業務の見直し

1.2.1.      業務要件の定義

(1)   情報セキュリティ

業務において取り扱われる情報の格付・取扱制限等に応じた情報セキュリティ対策の基本的な考え方

  • 情報セキュリティ対策の基本的な考え方等の定義方法
  • (1)本項目の趣旨
    • 見直し後の業務を実施する上で必要な情報セキュリティ対策の基本的な考え方を明らかにするものである。
    • この段階で見直し後の業務における情報の取扱いに関する考え方を明らかにすることにより、要件定義段階において、情報システムに求める機能要件及び非機能要件を漏れなく定義することができる。
  • (2)定義手順
    • 情報セキュリティ対策の対象となる情報を明確化するために、実務手引書に係る解説及び取扱情報の洗い出し結果を確認する。
    • また、要件定義の段階で情報セキュリティ上のリスクを特定し、その対策を機能要件及び非機能要件として定義できるように、情報セキュリティ対策の対象となる情報について、自府省の情報セキュリティポリシーに準拠した格付の区分及び取扱制限を明確化する。特に、新たな業務を開始するに当たって情報システムを新規に整備する場合や、既存の業務の見直しに伴って新たに取り扱う情報がある場合を中心として行うが、従来の格付についても必要に応じて見直しを行う。
    • 情報漏えい等による個人のプライバシーの侵害や、国民・組織に財産上の被害を与える等、情報の機密性保護に係るリスクに対する対策は特に重要であるが、情報の改ざんや情報システムの停止による利用者への影響についても考慮する必要がある。

【表４－33】(参考)機密性についての格付の区分注）

格付の区分

分類の基準

機密性３情報

行政事務で取り扱う情報のうち、秘密文書に相当する機密性を要する情報

機密性２情報

行政事務で取り扱う情報のうち、秘密文書に相当する機密性は要しないが、漏えいにより、国民の権利が侵害され又は行政事務の遂行に支障を及ぼすおそれがある情報

機密性１情報

機密性２情報又は機密性３情報以外の情報

注）政府機関の情報セキュリティ対策のための統一基準群を引用しているが、自府省が定める情報セキュリティポリシーに従うこと。また、完全性、可用性の格付の区分についても同様に自府省が定める情報セキュリティポリシーに従うこと。

 

    • さらに、情報の取扱いについて定められている根拠法令（例えば行政機関個人情報保護法、番号法等）が存在する場合は、要件定義の段階で当該法令を遵守するために必要な情報セキュリティ対策に漏れが生じないよう適切に要件を定める必要があるため、当該法令の存在について確認する。
    • また、実務手引書において情報の漏えい、改ざん等の情報セキュリティに係る問題点が洗い出されている場合は、実務手引書及び問題点を踏まえたものとなっているかを確認する。
    • 業務で取り扱う情報の格付及び取扱制限について整理した結果が、この段階における情報セキュリティ対策の基本的な考え方となる。

 

1.3.     要件定義

1.3.1.      非機能要件（要件定義書の記載事項）

(1)   情報セキュリティに関する事項

  • 情報システムの情報セキュリティ対策に関する事項について記載する。特に、「第４章５．8) 情報セキュリティ」において検討した内容に照らし、過度にならないよう適切な要件とすること。また、記載に当たっては、自府省の情報セキュリティポリシーを参照のこと
  • (1)本項目の趣旨
    • 情報セキュリティは、自府省が扱う情報を適切に保護し、業務の継続性の確保、業務に対する信頼の維持のために重要な事項である。自府省の情報セキュリティポリシーを踏まえ、当該情報システムにおいて実現しなければならない情報セキュリティに関する事項を、当該業務の特性を踏まえて整理し、要件定義書に記載するものである。
  • (2)記載方法
    • 情報セキュリティ対策要件の記載方法及び記載例は、次のとおりである。
    • 情報セキュリティ対策要件
      • 自府省において定められた情報セキュリティポリシーを遵守するために必要な情報セキュリティ対策の内容について、具体的に記載する。
      • 記載に当たっては、自府省の情報セキュリティポリシーを参照するとともに、必要に応じて「政府機関の情報セキュリティ対策のための統一基準群」及び「情報システムに係る政府調達におけるセキュリティ要件策定マニュアル」（平成23年４月28日内閣官房情報セキュリティセンター）等を参照し、必要な対策を漏れなく記載する。
      • 情報セキュリティ対策
        • 本情報システムにおいて実現すべき情報セキュリティ対策を記載する。記載事項は、上記基準等及びその他の情報セキュリティ対策要件に準拠するよう定める。ただし、不必要に過度な対策とならないよう、必要性を十分検討した上で記載する。
        • 例：
          • 主体認証
          • アクセス制御
          • 権限管理
          • ログ取得及びログ管理
          • 暗号化及び電子署名
          • ソフトウェアの脆弱性対策
          • 不正プログラム対策
          • サービス不能攻撃対策
          • 標的型攻撃対策
      • 対策に係る要件
        • 上記基準等及びその他の情報セキュリティ対策要件を参照し、上記情報セキュリティ対策ごとに、情報システムにおいて提供する業務及び取り扱う情報の特性等に応じた対策要件を具体的に記載する。
      • 補足
        • 基本要件のみを記載し具体的な方式の提案を求めるもの、代替手法による対策の提案を許容するもの等の補足事項について記載する。また、特定の基準等への準拠を求めるものについては、当該基準等を補足欄において指定する。

1.4.     設計・開発

1.4.1.      設計・開発実施要領の記載内容（設計・開発実施計画書等の作成）

(1)   情報セキュリティ

設計・開発における情報漏えい対策等について記載する。

  • 本項目の趣旨
    • 本項目は、設計・開発業務を遂行する上での情報セキュリティに対する基本的な考え方、情報セキュリティの管理方法等について記載するものである。
  • 記載内容
    • 要件定義の情報セキュリティに関する事項注１）及び調達仕様書における情報セキュリティに係る内容注２）に基づき、「政府機関の情報セキュリティ対策のための統一基準群」及び自府省の情報セキュリティポリシーに準拠して、次に示す例を参考に情報セキュリティ確保に必要な対策を定めて記載する。
    • 注１）実務手引書「第３編第５章２．1)ウj) 情報セキュリティに関する事項」参照。
    • 注２）実務手引書「第３編第６章２．1)カ 作業の実施に当たっての遵守事項」参照。
    •  
  • （設計・開発に係る情報セキュリティ対策の例）
    • 情報・データ管理（情報・データの授受、廃棄等の管理、特に実データ、実帳票の管理方法）
    • アクセス管理方法（主体認証情報管理、アクセス権限管理等）
    • 不正アクセス監視
    • ログ管理、ログ分析
    • 開発用ＰＣの管理方法（開発終了時のファイルの完全削除等）
    • 作業環境の物理的セキュリティ対策（入退室管理等）
    • 守秘義務同意書の作成
    • 脆弱性対策等の情報セキュリティ対策の実施状況の管理　等

1.5.     業務の運営と改善

1.5.1.      日常運営における業務改善の実施方法（日常運営における業務改善）

(1)   リスク及び課題とその原因

  • 情報セキュリティ対策の徹底
    • 情報の紛失、漏えい、改ざん等のおそれが生じている場合
    • サービス利用者等からのプライバシー保護等に関する要求が現状と大きく乖離している場合
  • 実施方法
    • 対応すべきリスクや課題のうち、改善及び見直しの手段が情報システムの運用又は保守に関するものについては、ＰＪＭＯのうち情報システム部門の管理者・担当職員が中心となって、運用及び保守作業の改善注１）や運用計画及び保守作業計画の見直し注２）を実施する。
    • また、日常運営における業務改善や情報システムの運用及び保守の改善だけでは対応できない残存課題・リスクについては、情報システムの見直し注３）の必要性について検討する。
    • 注１）実務手引書「第３編第９章４．運用及び保守作業の改善」参照。
    • 注２）実務手引書「第３編第９章６．運用計画及び保守作業計画の見直し」参照。
    • 注３）標準ガイドライン「第３編第１１章 情報システムの見直し又は廃止」参照。

1.6.     運用及び保守

1.6.1.      運用実施要領の作成・記載内容（運用開始前の準備）

(1)   情報セキュリティ対策

運用における情報漏えい対策等について記載する。

  • 趣旨
    • 本項目は、運用業務を遂行する上で、情報セキュリティポリシーを遵守するための基本的な考え方、情報セキュリティの管理方法等について記載するものである。
  • 記載内容
    • 要件定義の情報セキュリティに関する事項注１）及び調達仕様書における情報セキュリティに係る内容注２）に基づき、情報セキュリティ確保のための管理項目やその内容について記載する。なお、各管理項目における具体的な手順等は、作業手順書として別途作成する。特に、異常検知時の報告所要時間やログの点検間隔等、定量的に記載できるものは定量的に記載することが望ましい。
    • 注１）実務手引書「第３編第５章２．1)ウj) 情報セキュリティに関する事項」参照。
    • 注２）実務手引書「第３編第６章２．1)カ 作業の実施に当たっての遵守事項」参照。
    •  
    • （情報セキュリティ確保のための管理項目の例）
      • 情報・データ管理（情報・データの授受、廃棄等の管理）
      • アクセス管理（主体認証情報管理、アクセス権限管理等）
      • 不正アクセス監視
      • ログ管理、ログ分析
      • 脆弱性対策等の情報セキュリティ対策の実施状況の管理　等

1.6.2.      保守実施要領の作成・記載内容（運用開始前の準備）

(1)   情報セキュリティ対策

保守における情報漏えい対策等について記載する。

  • 本項目の趣旨
    • 本項目は、保守業務を遂行する上で、情報セキュリティポリシーを遵守するための基本的な考え方、情報セキュリティの管理方法等について記載するものである。
  • 記載内容
    • 要件定義の情報セキュリティに関する事項注１）及び調達仕様書における情報セキュリティに係る内容注２）に基づき、情報セキュリティ確保のための管理項目やその内容について記載する。なお、各管理項目における具体的な手順等は、作業手順書として別途作成する。特に、脆弱性改善のためのソフトウェア更新の間隔等、定量的に記載できるものは定量的に記載することが望ましい。
    • 注１）実務手引書「第３編第５章２．1)ウj) 情報セキュリティに関する事項」参照。
    • 注２）実務手引書「第３編第６章２．1)カ 作業の実施に当たっての遵守事項」参照。
  • （情報セキュリティ確保のための管理項目の例）
    • 情報・データ管理（情報・データの授受、廃棄等の管理）
    • アクセス管理（主体認証情報管理、アクセス権限管理等）
    • 不正アクセス監視
    • ログ管理、ログ分析
    • 脆弱性対策等の情報セキュリティ対策の実施状況の管理　等

1.7.     システム監査の計画

1.7.1.      システム監査計画の策定

  • 概要
    • 本節では、各府省がシステム監査計画を策定（ＰＭＯが案を作成し、情報化推進委員会等に諮って確定）し、当該計画に基づいて監査を実施することを求める。なお、ＰＭＯ又はＰＪＭＯは、必要に応じて、システム監査計画に記載していない監査を実施することができる注）。
    • 注）実務手引書「第３編第10章１．システム監査」参照。
    • また、本節は、各府省の情報セキュリティポリシーに基づいて実施する情報セキュリティをテーマとした監査（以下「情報セキュリティ監査」という。）と標準ガイドラインに基づくシステム監査との関係を示すものである。
  • 情報セキュリティ監査との関係
    • 情報セキュリティは、システム監査におけるテーマの一つである。したがって、標準ガイドラインに基づくシステム監査においても、情報セキュリティがプロジェクトの重大なリスクとして位置付けられる場合には、情報セキュリティをテーマとした監査を実施する必要がある。
    • 一方で、このような監査を実施した場合、その内容が情報セキュリティ監査で実施し、又は実施する予定の内容と重複する可能性がある。この場合、ＰＭＯは、情報セキュリティをテーマとする監査を計画するに際し、情報セキュリティ監査の責任者等と協議し、無駄な重複が発生しないように調整するものとする。なお、その際には、システム監査の目的に照らして、情報セキュリティ監査の内容、範囲、実施方法等が十分なものであるか否かを確認した上で、重複を排除する必要がある。
    • また、標準ガイドラインに基づくシステム監査の実施により、情報セキュリティ監査の一部を兼ねようとする場合には、両監査の実施主体、監査対象、監査目的等が異なるため、情報セキュリティ監査の監査責任者と十分な協議を行った上でシステム監査計画を策定する必要がある。

 

サイバーセキュリティに関連したガイドライン等インデックス

「ここからセキュリティ！情報セキュリティ・ポータルサイト」>「対策する」>「ガイドライン等」より抜粋し補足説明。

サイバーセキュリティ全般の体系的・網羅的な情報を提供しているポータルサイト

セキュリティ

体系的・網羅的に有用な情報を提供しているサイト

中小企業のサイバーセキュリティ対策インデックス（経営者・管理者・従業員）

セキュリティ

■サイバーセキュリティ対策の必要性

■理解度確認

■対策のしおり

  • 企業（組織）における最低限の情報セキュリティ対策のしおり【IPA】(pdf形式)
    • これから情報セキュリティ対策を実施していこうと考えている企業(組織)の経営者(運営者)、管理者、従業者の方を対象と想定しています。 情報セキュリティ対策の見直し、委託先や子会社に対するセキュリティ教育のための参考資料としても活用できます。
  •  中小企業のためのセキュリティツールライブラリ一覧【IPA】
    • セキュリティテーマと内容レベルから最適ツールを選べます。 ツールを「現状把握」「対策・立案」「効果測定」「改善・見直し」の4テーマに分類。さらに内容に応じて「初級」「中級」「上級」の3レベルに分けて小冊子が用意されています。 あなたの会社のセキュリティテーマや求めている内容レベルに合致したツールを選んで効果的にご利用ください。

 

■中小企業のサイバーセキュリティ対策にフォーカスした体系的・網羅的な情報

■個人のサイバーセキュリティ対策にフォーカスした体系的・網羅的な情報

サイバーセキュリティ対策相談対応の手引き（メモ）

セキュリティ
  • サイバーセキュリティ対策相談対応の手引き（メモ）

2016年6月16日

中山正樹

 

目次

サイバーセキュリティ対策相談対応の手引き（メモ）. 1
1.問合せ事例... 6

1.1.    

1.2.     セキュリティ侵害の実態... 8

1.3.     中小企業の現状から... 8

1.3.1.      情報セキュリティ対策の必要性を認識していない... 8

1.3.2.      システムをベンダーに任せて開発もしくは導入、運用している... 9

1.3.3.      効果的な情報セキュリティ対策の方法がわからない... 9

1.4.     経済的損失⇒社会的信用の喪失、組織存立の危機... 9

1.4.1.      ネットバンキングのセキュリティ対策... 9

1.5.     OS コマンドインジェクション・SQLインジェクション等の防止... 10

1.6.     インシデント発生... 11

1.6.1.      ネットワークに繋がりにくい、サーバの反応が悪い... 11

1.6.2.      PCの調子が悪い... 11

1.6.3.      ウイルスに感染したみたい... 11

1.6.4.      ランサムウェアを使った詐欺・恐喝... 12

1.7.     システム運用管理をしている客のシステムが、ランサムウェアに感染して、ファイルが読めなくなった    13

1.8.     水飲み場攻撃とは... 13

1.9.     標的型メール攻撃とは... 13

1.10.       偽サイトを開設された... 14

1.11.       偽サイトにアクセスしてしまった... 14

1.12.       スマホ等のセキュリティ対策は？... 14
2.脆弱性情報の届出... 16
3.サイバーセキュリティとは... 16
4.情報セキュリティに関する基礎知識... 17

4.1.     情報セキュリティ 10 大脅威（個人）... 17

4.1.1.      【一覧】情報セキュリティ 10 大脅威（個人）... 17

4.1.2.      【一覧】情報セキュリティ 10 大脅威（組織）... 17

4.1.3.      情報セキュリティ対策の基本... 18

4.1.4.      【対策】情報セキュリティ 10 大脅威（個人）... 18

4.1.5.      【対策】情報セキュリティ 10 大脅威（組織）... 19

4.1.6.      【対策】注目すべき脅威や懸念... 22
5.サービス提供と情報セキュリティ対策... 23
6.事業継続計画（BCP）とセキュリティインシデント対応... 24

6.1.     BCPとは... 24

6.2.     BCPはなぜ必要か？... 24

6.3.     何のためにBCPを策定するのか？... 25

6.4.     セキュリティインシデント対応はBCPの１つ... 25
7.対策の概念... 26

7.1.     リスクの要因... 26

7.2.     情報セキュリティにおけるさまざまな対策... 26

7.3.     情報セキュリティ対策の意義（参照：NDL）... 27

7.4.     情報セキュリティ対策のポイント（私見）... 27
8.情報セキュリティポリシー、実施手順... 29

8.1.     情報セキュリティポリシーの構成... 29

8.2.     情報セキュリティポリシー（基本方針）... 29

8.3.     情報セキュリティポリシー（対策基準）... 30

8.4.     情報セキュリティ実施手順... 30

8.5.     情報セキュリティマネジメントシステム（ISMS）構築手順... 31

8.6.     ISMSとPDCAサイクル... 31

8.7.     脅威・対策・脆弱性・リスクの関係... 31

8.8.     情報セキュリティマネジメントの規格や標準... 33

8.8.1.      情報セキュリティマネジメントの実践のための規範JIS Q 27002:2006. 33

8.8.2.      情報セキュリティマネジメントシステム - 要求事項JIS Q 27001:2006. 33

8.9.     リスクマネジメント... 34

8.9.1.      情報資産の格付け... 34

8.9.2.      ITセキュリティマネジメントのための手法（JIS TR X 0036-3:2001）... 35
9.「情報セキュリティ管理基準（平成20年改正版）」. 36

9.1.     構成... 36

9.2.     マネジメント基準... 36

9.3.     「管理策基準」... 38
10.「政府機関の情報セキュリティ対策のための統一基準群（平成26年度版）」. 40

10.1. 41
11.人材育成... 41

11.1.       ITパスポート試験シラバス... 41

11.2.       まとめ）企業の情報セキュリティ対策と人材面の対策... 42

11.3.       情報処理技術者試験　情報セキュリティ人材育成の取り組み... 43

11.4.       情報セキュリティマネジメント試験　シラバス... 43

11.5.       情報セキュリティマネジメントタスクプロフィール... 44

11.6.       情報セキュリティ人材の職種... 44
12.個人情報保護... 45
13.サイバーセキュリティ相談窓口の業務... 46

13.1.       中小企業に特化した情報セキュリティ対策の相談対応方針... 46

13.1.1.    中小企業の現状... 46

13.1.2.    中小企業への支援... 47

13.1.3.    相談対応フロー... 48
14.情報セキュリティ関連法規... 51

14.1.       サイバーセキュリティ基本法... 51

14.2.       不正アクセス禁止法... 51

14.3.       個人情報保護法... 51

14.4.       刑法... 51

14.5.       その他のセキュリティ関連法規... 51

14.6.       知的財産権... 51

14.7.       労働関連・取引関連法規... 51

14.8.       その他の法律・ガイドライン・技術者倫理... 52

14.9.       知的財産計画2016. 52
15.ここからセキュリティ！ 情報セキュリティ・ポータルサイト（IPA）【相談事例集作成候補】. 53

15.1.       ここからセキュリティ！ 情報セキュリティ・ポータルサイト... 53

15.2.       トップページ... 53

15.3.       被害にあったら... 54

15.3.1.    ウイルス（マルウェア）に感染したら... 54

15.3.2.    不正アクセス（サーバーが攻撃された・ウェブページを書き換えられた）... 55

15.3.3.    情報漏えい（情報の紛失・流失・盗難）... 56

15.3.4.    ワンクリック請求（料金画面が消えない・料金請求された）... 56

15.3.5.    迷惑メール（スパムメール）... 57

15.3.6.    フィッシング詐欺・なりすまし（銀行やカード会社を騙るメール・送信元のアドレスを偽るメール）    57

15.4.       対策する... 58

15.4.1.    対策の基本（まずはここから！）... 58

15.4.2.    ウイルス対策... 64

15.4.3.    不正アクセス対策... 65

15.4.4.    情報漏えい... 65

15.4.5.    ワンクリック請求（料金画面が消えない・料金請求された）【LEVEL1】【詳細】    67

15.4.6.    パスワード... 67

15.4.7.    フィッシング詐欺・なりすまし... 69

15.4.8.    標的型攻撃メール... 71

15.4.9.    迷惑メール... 73

15.4.10.      ガイドライン等... 74

15.5.       教育・学習... 81

15.5.1.    一般向け... 81

15.5.2.    ホームユーザ向け... 85

15.5.3.    中小企業向け・より大きな企業・組織向け... 91

15.5.4.    OSのアップデート（サポート終了関連情報を含む）... 101

15.6.       セキュリティチェック... 102

15.6.1.    クイズに挑戦... 102

15.6.2.    安全性を診断しよう... 103

15.6.3.    試験・資格... 104

15.7.       データ＆レポート... 104

15.8.       （情報セキュリティ　FAQ）... 106
16.参考サイト. 107

16.1.       中小企業経営者向け... 107

16.2.       IoT開発におけるセキュリティ設計の手引き... 107

16.3.       内閣サイバーセキュリティセンター（NISC）... 108

16.3.1.    高度情報通信ネットワーク社会推進戦略本部（IT総合戦略本部）... 109

16.3.2.    国家安全保障会議... 109

16.3.3.    警察庁... 109

16.3.4.    総務省... 109

16.3.5.    外務省... 109

16.3.6.    経済産業省... 109

16.3.7.    JPCERTコーディネーションセンター... 110

16.3.8.    防衛省... 111

16.4.       東京都... 111

16.5.       警視庁... 111

16.6.       中小企業庁... 111

16.7.       IPA. 112

16.7.1.    全体... 112

16.7.2.    基本情報... 112

16.7.3.    情報セキュリティ啓発（IPA）... 112

16.7.4.    セキュリティ設定共通化手順SCAP概説（IPA）... 113

16.7.5.    サイバー情報共有イニシアティブ（J-CSIP（ジェイシップ））（IPA）... 114

16.7.6.    情報セキュリティスキル強化についての取り組み（IPA）... 114

16.8.       サイバーレスキュー隊J-CRAT（ジェイ・クラート）：IPA. 114
17.セキュリティ関連機関... 115

17.1.       日本セキュリティオペレーション事業者協議会（ISOG-J）... 115

17.2.       ノートン... 115

17.3.       トレンドマイクロ... 115

17.4.       ＠IT. 115

17.5.       一般社団法人 電気通信事業者協会（TCA）... 116
18.消費者庁... 116
19.東京商工会議所... 117
20. Tcyss会議... 117

20.1.       第1回会議より（4月25日）... 117
21.文献... 118

21.1.       NDLアーカイブ... 118
22.情報セキュリティ関連文書... 119

22.1.       NISCサイバーセキュリティ戦略本部... 119
23.情報システムの整備と運用管理を調達する際の情報セキュリティ対策として考慮すべき要件... 119

23.1.       「政府情報システムの整備及び管理に関する標準ガイドライン実務手引書」より... 119
24.東京都の取り組み【公開情報】. 119

24.1.       東京都の行政改革 - 総務局行政改革推進部のホームページ - | ＩＴ・業務改革... 119

24.2.       高度情報化推進の取り組み... 119
25.情報セキュリティマネジメント試験（シラバス）. 119

25.1. 119
26.情報処理技術者試験（シラバス）. 119

26.1.       基礎... 119

26.2.       応用... 119
27.情報セキュリティ想定事例集... 120

27.1.       中小企業における組織的な情報セキュリティ対策ガイドライン事例集（IPA）... 120

続きを読む

「中小企業サイバーセキュリティ対策相談窓口」の開設

セキュリティ

　東京都では、昨年12月25日に警視庁及び中小企業支援機関5団体と中小企業のサイバーセキュリティ対策の強化に向けた相互協力協定を締結し、この協定に基づき、中小企業向けの相談窓口を設置した。

　あわせて、警視庁、中小企業支援機関、サイバーセキュリティ対策機関等と連携し、「東京中小企業サイバーセキュリティ支援ネットワーク（Tokyo Cyber Security Support network for small and medium enterprises　以下「Tcyss（ティーサイス）」という。）」を設立した。

 

■相談窓口について

　相談窓口では、都内中小企業者等を対象に、情報セキュリティ対策の強化や情報流出事案等に関する相談を受け付ける。相談内容により、Tcyss参加団体等と連携して対応する。

 

  • 窓口でのご相談 　

f:id:mskn:20160625114643j:plain

 

 

情報セキュリティ緊急対応ガイド【汎用】

セキュリティ

■緊急対応（自然災害, 大火災, 感染症, テロ, , ,）

事象の検知、報告受付(Detect)

事実確認、対応の判断 被害の局所化(拡大防止)(Triage)

    • 該当システムをただちにネットワークから切り離し、使用を中止する。
    • 被害の範囲を確認し、使用を停止する

緊急連絡

    • システム管理者、関係部署、関係機関に連絡。指示に従う。
    • 犯罪の可能性⇒警視庁
    • ウイルス、不正アクセス被害届出⇒IPAセキュリティセンター

原状保全

    • 原因調査のためにサーバ、PC内のファイルをバックアップし保存する

原因調査

    • なぜ情報セキュリティ侵害が起きたか？
    • サーバ、PC内のファイルに改ざんされたものがないか、本来存在しないファイルがないかを確認する
    • サーバのログ等を確認して、通常でないファイル転送、アクセス等を確認する。

早期復旧・事業継続 (Respond)

    • 確認できた事象に対する再発防止のための改善策を、システム管理者の指示に従って、適切な復旧を行う。

恒久的対策（再発防止策）

    • インシデントからの知見の学習
    • ルールの再確認
      • 事業継続計画、情報セキュリティポリシー
      • 緊急時対応、人的、管理的、物理的、技術的対策の内容の確認と是正
        • 情報セキュリティ侵害の原因の多くが、人為的なミスもしくは悪意によるもの。
        • 最低限守るべきルールを明確にして、それを守らせることが重要。

通常運用

    • 平時からの実施状況の確認（監査）

■情報セキュリティ対策の必要性

  • ITを活用してどんなに利便性の高いサービスを提供しても、どんなに業務を効率化しても、緊急事態（自然災害、大火災、感染症、テロ、セキュリティ侵害、、）が発生して、事業資産（人・もの（情報及び設備）・金）、社会的信用が失われ、早期復旧ができない場合は、事業の継続が困難になり、組織の存立さえも脅かされる可能性がある。
  • どんな緊急事態が発生しても、事業を継続できるようにする対策を明示しておくことが必要
  • 情報セキュリティ対策は、事業継続計画の一つ
  • サービスの向上を図るために、情報資産（保有情報（媒体に依らず）、情報機器、情報システム）に対する情報セキュリティ上のリスクを低減させる
  • ITを活用したサービスの構築・運用に掛かる費用は、経費ではなく先行投資。リスクに見合った情報セキュリティ対策は、サービスの構築・運用の中で実施すべき先行投資であり、緊急事態が発生した後に対処する経費として想定してはいけない

■情報セキュリティ対策の基本

情報セキュリティ侵害とは

    • 機密性、完全性、可用性が損なわれること
    • 全ての人は当事者
      • 誰しも被害者になる。また、知らぬうちに加害者にもなる

脅威・手口を知る（10大脅威2016簡易説明資料（組織編））

    • 人的脅威
      • 不注意
        • メール添付ファイルを開ける、偽サイトへのアクセス
        • PC、USBの紛失
      • 内部者によるセキュリティ侵害
    • 正規のウェブサイトを改ざん
    • ウェブサイトにアクセスするだけでマルウェア感染
    • 標的型メールでの不正サイトへの誘導
    • 不審なメールのマルウェア添付

情報資産の認識

    • 取り扱われる情報資源の格付け（機密性、完全性、可用性が損なわれた場合の経済的、社会的損害の大きさ）のレベル等に応じた重要度を認識する

リスク分析

    • リスク＝情報資産に対する脅威（侵害する行為の発生頻度）×情報資産の重要度（機密性レベル＋完全性レベル＋可用性レベル）×脆弱性（実際に侵害が起きる可能性）

対策はリスクの高いものを優先する

    • どれだけコストをかけてもリスクをゼロにすることは困難であり、脅威の大きさ、情報資産の重要性、脆弱性の大きさを勘案し、不必要に過度な対策とならないように検討する
    • 重要度の高いファイルのバックアップ
    • ソフトウェアの更新
    • マルウェア（ウイルス等）対策ソフトの導入
    • パスワード・認証の強化
    • 設定の見直し（ルータ、PC等）

恒久的対策

    • 定期的なバックアップ 　
      • ランサムウェア等を含めた対策
      • バックアップ媒体は、取得後、ネットワークから切り離す
    • ルールの策定
    • フールプルーフ対策
      • 人間が間違えても危険にならない仕組みにしておく
    • フェールセーフ対策
      • 機械が壊れても危険にならない仕組みにしておく
    • ルールの遵守
      • 情報セキュリティポリシーの遵守
      • 実施手順の遵守（情報セキュリティ対策９カ条）
        • OSやソフトウェアは常に最新の状態に
        • パスワードは貴重品のように管理
        • ログインID・パスワードは絶対に教えない
        • 身に覚えのないファイルは開かない
        • ウイルス対策ソフトを導入
        • ネットショッピングは信頼できるお店で
        • 大切な情報は失う前に複製
        • 外出先では紛失・盗難に注意
        • 困ったときは一人で悩まず相談を

定期的な監査

 ■参考資料