中小企業向け　サイバーセキュリティ対策の極意 Ver.2.2.1

日本で初めてサイバー探偵事務所を開く。ソフト帽とトレンチコートがトレードマーク。日夜懸命に頑張る中小企業の経営者に対して、客観的な態度と視点を持って依頼人に真に役立つ情報を端的に明言する。「東京をサイバー攻撃から守る」という正義感だけが、今日も彼を突き動かす。

今回、その資質を見込まれ、東京都からの依頼でサイバーセキュリティ対策のコンサルタントとして本冊子のガイド役に任命された。

※本キャラクターはフィクションです

はじめに

狙われるのは中小企業

サイバー攻撃の標的は政府・自治体や重要インフラだけではありません。

こうした大規模なサイバー攻撃には、数十万台の端末から一斉攻撃をかける手口があり、それに使用される端末は攻撃者に乗っ取られた端末です。そして比較的セキュリティの甘い中小企業の端末が狙われています。

最近では、大企業は防御が厳重なため、防御の甘い取引先の中小企業を狙い、そこから大企業のシステム内部へ侵入するケースも増えています。

セキュリティ対策はなぜ必要なのか？

インターネットが社会生活の隅々まで普及している今、サイバー攻撃は社会機能や国民生活を脅かす大きな問題となっています。個人も企業もセキュリティに関する正しい知識を身に付け、必要な対策を実践していくことがとても重要になっています。

いったんサイバー攻撃を受けて被害を受けると、金銭の損失はもとより、顧客の喪失、業務の喪失など、経営に直結する重大なリスクが発生します。経営者が責任を問われたり、場合によっては株主代表訴訟の対象にもなったりします。

すぐやろう！　サイバーセキュリティ対策

セキュリティ対策は必要だと分かっていても直接利益を生み出すものではない、難しくてよく分からない、社内にITのことが分かる人材がいないなどの理由から、手つかずのままにしていませんか？

最優先で実施すべき対策はそんなに難しいものではありません。基本的な対策を実施することで多くの攻撃を防ぐことができます。

備えあれば憂いなし

本書は、サイバー攻撃の最新の手口から、中小企業でも実施できる基本的な対策まで分かりやすくまとめました。

最新の目次は、navigation機能を参照してください。

2021.10.01

緊急時には、まずここを見て！

- INFORMATION 6-1 App.01 もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！【詳細版】

目次

- 表紙

- 中小企業向け サイバーセキュリティ対策の極意 Ver 2.2.1

- はじめに

- 目次

- この冊子の使い方

ケーススタディー

- ケーススタディー 1　なぜ、こんな小さな会社が狙われたの？

- ケーススタディー 2　ある日突然、銀行口座の預金残高が消えた！

- ケーススタディー 3　取引先企業への踏み台にされた

- ケーススタディー 4　企業データが人質に！ 日常に潜むサイバー攻撃の魔手

- ケーススタディー 5　メールで届いた入金指示に従ったら詐欺の被害者に！

- ケーススタディー 6　セキュリティはサプライチェーン全体の責任

- ケーススタディー 7　サイバー保険に入っていれば……

MISSION 1　知っておきたいサイバー攻撃の知識

- 1-1　標的型攻撃による情報流出

- 1-2　ランサムウェアを使った詐欺・恐喝

- 1-3　Webサービスからの個人情報の窃取

- 1-4　集中アクセスによるサービス停止

- 1-5　内部不正による情報漏えいと業務停止

- 1-6　Webサイトの改ざん

- 1-7　インターネットバンキングの不正送金

- 1-8　悪意のあるスマホアプリ

- 1-9　巧妙・悪質化するワンクリック詐欺

- 1-10　Webサービスへの不正ログイン

- 1-11　公開された脆弱性対策情報の悪用

- 1-12　IoT機器を踏み台にした攻撃

- 1-13　中小企業におけるサイバー攻撃被害の例

- 1-14　なりすましECサイトの被害と回避策

- 1-15　ビジネスメール詐欺（BEC）にご注意！

MISSION 2　すぐやろう！ 対サイバー攻撃アクション

- 2-1～8　今やろう！ 5＋2の備えと社内使用パソコンへの対策

- 2-1　サイバー攻撃に対して何ができるか

- 2-2　OSとソフトウェアのアップデート

- 2-3　ウイルス対策ソフト・機器の導入

- 2-4　定期的なバックアップ

- 2-5　パスワードの管理

- 2-6　アクセス管理

- 2-7　紛失や盗難による情報漏えい対策

- 2-8　テレワーク等での持ち出し・持ち込み機器対策

- 2-9～10　今やろう！ 電子メールへの備え

- 2-9　電子メールの安全利用

- 2-10　標的型攻撃メールへの対応

- 2-11　迷惑メール発信への対応

- 2-12～13　今やろう！ インターネット利用への備え

- 2-12　安全なWebサイト利用

- 2-13　閲覧制限

- 2-14　今やろう！　重要情報の洗い出し

- 2-15　今やろう！　重要情報の保管

MISSION 3　経営者は事前に何を備えればよいのか？

- 3-1～4　サイバーセキュリティ対策は、事業継続を脅かすリスクの１つ

- 3-1　サイバーセキュリティ対策が経営に与える重大な影響

- 3-2　サイバー攻撃を受けると企業が被る不利益

- 3-3　経営者に問われる責任

- 3-4　投資効果（費用対効果）を認識する

- 3-5～7　自社のIT活用・セキュリティ対策状況を自己診断する

- 3-5　ITの活用診断

- 3-6　サイバーセキュリティ投資診断

- 3-7　情報セキュリティ対策診断

- 3-8～10　ビジネスを継続するために（守りのIT投資とサイバーセキュリティ対策）

- 3-8　業務の効率化、サービスの維持のために

- 3-9　経営者が認識すべきサイバーセキュリティ経営３原則

- 3-10　経営者がやらなければならないサイバーセキュリティ経営の重要10項目

- 3-11　ビジネスを発展させるために（攻めのIT投資とサイバーセキュリティ対策）

- 3-11　次世代技術を活用したビジネス展開

- 3-12　IoT、ビッグデータ、AI、ロボットの活用

- 3-13　IoTが果たす役割と効果

- 3-14　人工知能（AI）が果たす役割と効果

- 3-15　IoTを活用する際のサイバーセキュリティ上の留意点

- 3-16　IoTを活用するための基本ルール

MISSION 4　もしもマニュアル

- 4-1　緊急時対応用マニュアルの作成

- 4-2　基本事項の決定

- 4-3　対応手順1　漏えい・流出発生時の対応

- 4-4　対応手順2　改ざん・消失・破壊・サービス停止発生時の対応

- 4-5　対応手順3　ウイルス感染時の初期対応

- 4-6　対応手順4　届け出および相談

- 4-7　大規模災害などによる事業中断と事業継続管理

- 4.7 App.01 IT-BCPの必要性と策定・運用のポイント

MISSION 5　やってみよう！ サイバー攻撃対策シミュレーション

- SCENE 01　サイバー攻撃前夜

- SCENE 02　攻撃発生その瞬間

- SCENE 03　サイバー攻撃直後

- SCENE 04　潜入拡大

- SCENE 05　顧客への被害の拡大 取引先への被害の拡大

- SCENE 06　サイバー攻撃の発覚

- SCENE 07　原因が判明 ウイルス感染が原因

- SCENE 08　再発防止策の作成

- SCENE 09　復旧回復

- ATTENTION　大切なのは社内意識の向上！ ～感染を狙うメールに注意～

INFORMATION　インフォメーション

- 6-1　もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！

- 6-1 App.01 もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！【クイックリスト】【詳細版】

- 【特設ページ】Emotet関連の問い合わせの急増について

- 6-2　その他の主な報告・連絡・相談窓口等

- 6-2 App.01 やられる前に、しっかり予防を！ ここに相談！【詳細版】

- 6-2 App.02_経営者の理解のもと、組織としてセキュリティ対策をしっかりと進めるには

- 6-3　セキュリティお役立ちリンク

- 6-3 App.01 セキュリティお役立ちリンク【詳細編】

- 6-4～5　中小企業の情報セキュリティ対策のルールを策定するには

- 6-4　中小企業の情報セキュリティ対策の段階的レベルアップ

- 6-4 App.02 情報資産台帳の作成と詳細リスク分析

- 6-4 App.03 情報セキュリティ関連規程に記載すべき項目

- 6-5　中小企業のためのクラウドサービス安全利用手引き

- 6-6 DX時代に不可欠な人材

- 6-6 App.01 DX時代での経営者の意識改革の方向性

- 6-6 App.02 DX時代に不可欠な人材の確保と育成

- 6-6 App.03 デジタルリテラシー人材の認定・評価制度

- 6-6 App.04 セキュリティ人材の確保と育成

- 6-7　情報セキュリティ関連法令

- 6-8　情報管理が不適切な場合の処罰など

- 6-10 サプライチェーン関連

- 6-10_App.01 ICTサプライチェーンとは

- 6-10_App.02 テレワークにおけるクラウド利用とセキュリティ

- 6-10_App.03 ゼロトラストセキュリティ

【資料編】知識の貯蔵庫【ナレッジベース】

- Appendix.201-01 リスク分析サンプル資料

おわりに

- 参考文献

- 用語解説インデックス

- 改版履歴

- 奥付

【ガイドブックの使い方】

2021.11.15 改訂

本ガイドブックは、中小企業の経営者、システム管理者のみなさんに、サイバー攻撃について必ず行うべき対策や、事故が発生した場合の初期対応などを、なるべく分かりやすく解説しています。

PCやスマートフォンにダウンロードして、いつでも見られるようにしてご活用ください。

■クイックリスト

相談窓口に寄せられた相談をもとに、大きく3つに分類しました。的確な対処のために、目的に応じて、まずはクイックリストを参考に検討してください。

被害に遭ったとき、状況に応じた的確な連絡先を知りたい

- ⇒もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！

被害に遭う前に、予防策を講じるためにはどんな支援があるか知りたい

- ⇒やられる前に、しっかり予防を！ ここに相談！

被害に遭わないように、どんな手順でセキュリティ対策をしたらいいかを知りたい

- ⇒経営者の理解のもと、組織としてセキュリティ対策をしっかりと！

■どんなサイバー攻撃があるのかを知る

- ⇒[01]知っておきたいサイバー攻撃の知識

■被害を予防するための対策を行う

- ⇒[02]すぐやろう! 対サイバー攻撃アクション

■経営者が備えるべきことを知る

- ⇒[03]経営者は事前に何を備えればよいのか？

■会社としての対応計画を準備する

- ⇒[04]もしもマニュアル

■攻撃シーンを想定して実際に行動する

- ⇒[05]やってみよう! サイバー攻撃対策シミュレーション

■対策の参考になる資料・情報を探す

- ⇒[06]インフォメーション

本書では、これだけは必ず実践してほしい項目に「すぐやろう」マークを付けました。このマークが付いている項目は優先的に確認し、必ず実施しましょう。

CHECK　今すぐチェックしておくべきこと

POINT　攻撃について知っておくべきこと

ACTION　対策のために行動するべきこと

本書の用語表記について

本冊子では、日ごろ、サイバー攻撃や情報技術（IT）に接することの少ない方々にもご理解いただくために、できる限り専門用語を使わず、分かりやすい用語に統一しています。

①　コンピューターに潜り込んで正常な利用を妨げる不正・有害なプログラムは、近年「マルウェア」(malware)と呼ぶようになっていますが、本冊子では主にウイルスと表現しています。

②　ネットワークを通じて他のコンピューターへの感染を広める不正なプログラムが「ワーム」(worm)、利用者に気付かれないように有害な動作を行うプログラムが「トロイの木馬」(Trojan horse)と名付けられていますが、本冊子では全てウイルスと表現しています。

③　集中アクセスによるサービス停止についても、手口としてはボットネットウイルス、DoS攻撃、DDoS攻撃など多様ですが、本冊子では主として「集中攻撃」という形で総称しています。

④　ウイルスを発見し駆除するプログラムについても、ウイルス対策ソフトによって定義ファイルやパターンファイルなど呼び方が異なりますが、本冊子では全て定義ファイルと表現しています。

⑤　本冊子では「サイバーセキュリティ」と「情報セキュリティ」という2つの言葉を使っています。「サイバーセキュリティ」は、コンピューターやインターネットの中に広がる仮想空間に関するセキュリティという意味で使用しています。一方、現実に存在する紙媒体に記載された情報などを含むセキュリティの場合は「情報セキュリティ」を使用しています。

⑥　本冊子で参照した多くの資料では、セキュリティを脅かす事件や事故を総称して「セキュリティインシデント」と表現していますが、本冊子では「サイバー攻撃被害」と表現しています。

詳しくは巻末の「用語解説インデックス」を参照してください。

ケーススタディー 1　なぜ、こんな小さな会社が狙われたの？

これは実際に起きたケースを基に脚色したものだ。この会社は社員10人ほどの小さな会社で、再開時期が未定のままサイトは閉鎖された。個人情報を窃取するサイバー攻撃の対象は、決して大企業や有名な通販サイトだけでなく、顧客情報の収集などインターネットを何らかの形でビジネスに利用している会社は全て標的になっている。

サイバー攻撃による被害によって、事業に致命的なダメージを受ける可能性がある。備えあれば憂いなしだ。

ケーススタディー 2　ある日突然、銀行口座の預金残高が消えた！

数日後、銀行の支店長室で

人員不足に悩む中小企業にとって、インターネットバンキングは経理業務の効率化に不可欠なものだが、サイバー攻撃の対象にもなっている。

2019年は、9月から被害が急増し、発生件数は1872件に上った。年間被害総額も25億円超の被害が報告されている。

ケーススタディーにもある通り、インターネットバンキングを利用しているからといって、銀行が弁償してくれるとは限らない。基本的には自己防衛だ。

ケーススタディー 3　取引先企業への踏み台にされた

サイバー攻撃は大企業だけを狙っているわけではない。

このケースでは、標的とされた大企業のセキュリティが堅固だったため、攻撃者はその取引先の中小企業を狙ったのだ。なぜなら、中小企業のセキュリティは大企業に比べて甘く、中小企業のセキュリティを突破すれば、取引のメールなどを介して、大企業のシステム内部へ侵入しやすいからだ。こうして踏み台にされた企業にとっては、ビジネスに与える影響は甚大だ。

ケーススタディー 4　企業データが人質に！ 日常に潜むサイバー攻撃の魔手

ランサムウェアを使ってパソコンを使用不全にし、身代金要求をするサイバー攻撃が目立つ。そこで中心的役割を果たしたマルウェアの1つに「Emotet（エモテット）」が挙げられる。Emotetは、冒頭のようなやり取りからパソコンや社内システムに忍び込む。そして、感染したパソコンからメール情報やアドレス帳の情報を窃取するほか、ランサムウェアをはじめとする別のマルウェアを呼び込む機能もあり、非常に厄介かつ危険な存在だ。

ケーススタディー 5　メールで届いた入金指示に従ったら詐欺の被害者に！

経営幹部や取引先になりすましたメールを送信し、従業員をだまして不正な口座に入金させることで金銭的な被害をもたらすサイバー攻撃が「ビジネスメール詐欺（Business E-mail Compromise／BEC）」だ。攻撃者は、標的となる企業の従業員が業務でやり取りしているメールを、何らかの方法で盗み見したり、ネット上の企業情報などを参考にしたりして、標的となる企業のプロジェクトや人間関係を事前に把握することで、送信メールの信憑性を高める。

ケーススタディー 6　セキュリティはサプライチェーン全体の責任

中小企業はセキュリティ対策予算や人員が不足しがちで、対策も遅れがちだ。サイバー犯罪者はそこを突く。中小企業を取引のある大企業に攻撃する「入り口」として狙うケースも存在する。そうなれば、被害者であると同時にサイバー犯罪の一端を担ってしまう。取引停止だけでなく、損害賠償を請求されることもあるだろう。「中小企業だから狙われない」という甘い考えは通じない。セキュリティはサプライチェーン全体の問題という点を肝に銘じてほしい。

ケーススタディー 7　サイバー保険に入っていれば……

日々進化するサイバー攻撃の脅威。いつ、どのようなタイミングで狙われるかは分からない。もし攻撃の標的になったら？

そのリスクヘッジに備えるのが「サイバー保険」だ。サイバー事故によって生じた第三者に対する「損害賠償責任」や事故の際に必要となる争訟費用等の損害が補償される。ぜひチェックしてほしい。

MISSION 1　知っておきたいサイバー攻撃の知識

MISSION 1-1　標的型攻撃による情報流出

POINT 1　特定の企業や団体を狙い撃ち！

標的型攻撃とは

標的型攻撃の攻撃者は、特定の個人や企業を狙って、取引先や関係先を装い、仕事に関係しそうな話題の件名や本文のメールを送りつけてきます。メールに添付されているファイルを開いたり、本文の中にあるWebサイトのリンク先にアクセスしたりすると、ウイルスに感染してしまいます。

POINT 2　標的型攻撃による被害

・攻撃者が遠隔操作できるよう、ネットワーク上に組織外部への接続口を勝手に開く

・感染パソコン内の情報を盗み取って外部に送信する

・感染パソコンが会社のネットワークに感染を拡大する

・会社のWebサイトを改ざんする

・盗み取られたパソコン内部の情報が、次の攻撃に悪用される（例：宛先、差出人、件名、本文、署名などへの利用）

こんなメールに注意だ

・日本語の言い回しが不自然なメール

・差出人のメールアドレスとメール本文の署名に記載されたメールアドレスが異なるメール

・これまで届いたことがない公的機関からのお知らせ

・心当たりのないメールだが、興味をそそられる内容

・心当たりのない決済や配送通知

・論理的に自分に送られてくることがおかしいメール

MISSION 1-2　ランサムウェアを使った詐欺・恐喝

POINT 1　パソコンやデータを使用不能にして身代金を要求！

ランサムウェアとは

ランサム（ransom）とは身代金のこと。メールに添付されたランサムウェアを不用意に開くと、パソコンのデータが勝手に暗号化されたり、パソコンがロックされたりして使用不能となります。そして、暗号化されたファイルの復元や、ロック解除の引き換えに金銭を要求されます。

POINT 2　侵入手口はメールとWebサイト

ランサムウェアは、メールの添付ファイルやメール本文に記載されている URLのWebサイトなどから侵入します。不用意に添付ファイルを開いたり、覚えのないURLにアクセスしたりしないことが最大の防御です。

POINT 3　世界的脅威として認識されるランサムウェア

ランサムウェアは世界的な脅威となっています。その対抗を目的とした組織として知られるのが、欧州刑事警察機構（ユーロポール）やオランダ警察、セキュリティソフトベンダーなどが立ち上げた「No More Ransom」プロジェクト。2016年７月に組織され、本プロジェクトに参加する各国法執行機関やセキュリティ関連の民間組織等は増え続けて、日本においては情報処理推進機構（IPA）などが参加しています。同プロジェクトは、ランサムウェアで 暗号化されたファイルを取り戻すための無料復号ツールを提供する取り組みも継続的に行っています。

対策はバックアップと切り離し保管だ！

ランサムウェアによって、感染したパソコンだけではなく、 共有サーバーや 外付けハードディスクに保存されているファイルも暗号化される。ウイルス対策ソフトの導入はもちろん、 OS※や ソフトウェアを常に最新に保つことに加え、小まめにファイルの バックアップを取得し、パソコンやサーバーから切り離して保管しておくべきだ。

※ Operating System（基本ソフト）

詳細は、 ランサムウェア対策特設ページ（IPA）

MISSION 1-3　Webサービスからの個人情報の窃取

POINT 1　狙いは個人情報やクレジットカード情報

自社のホームページで、アクセスした顧客の情報を取得するために、個人情報の登録を求める場合があります。また、他社の提供するネットショッピングなどを利用する場合、クレジットカード情報を登録する場合があります。そうしたWebサーバーに登録された個人情報が狙われているのです。

POINT 2　攻撃手口はソフトウェアの脆ぜい弱じゃく性※1を狙う

Webサービスに対する攻撃は次の3つです。

・Webサービスでよく使われるソフトウェア※2の脆弱性を狙う

・ブログや電子掲示板などインターネット上で使用されるソフトウェア（Webアプリケーション）の弱点を狙う

・リモート管理用のサービスからの侵入を狙う

※1 セキュリティ上の欠陥（セキュリティホール）

※2 OpenSSL、Apache Struts、WordPressなど

POINT 3　改正割賦販売法への対応で対策が急務に

クレジットカード情報を狙った攻撃増加に伴い、クレジットカードを取り扱う加盟店におけるカード番号等の漏えいや不正使用被害の増加が社会課題となっています。こうした背景から2020年に割賦販売法が改正され、クレジットカード取引におけるセキュリティ対策の強化が事業者側に求められています。対策を怠ると、場合によっては業務改善命令や加盟店登録の取り消しなどの可能性があります。

対策を急ぐべきだ！

●サービスを提供する場合

・WebサーバーのOSやソフトウェア、Webアプリケーションを最新の状態にする

・Webサイトに対する攻撃を検知・防御するセキュリティソフトの導入と定期的なソフトウェアアップデート

・適切なログの取得と継続的な監視

●サービスを利用する場合

・同じIDやパスワードを使い回ししない

・他社のホームページなどに安易に情報を登録しない

・利用をやめたWebサービスは退会する

MISSION 1-4　集中アクセスによるサービス停止

POINT 1　狙いはサービスの妨害

サーバーに処理速度をはるかに上回る大量の要求が集中すると、利用者はそのサーバーにアクセスできない状態になり、最終的にはサーバーがダウンしてしまいます。インターネット回線の容量がオーバーして、接続不能に陥ることもあります。

攻撃者があらかじめ不正に乗っ取った端末から一斉に攻撃を仕掛けます。数万台～数十万台のパソコンを利用した攻撃の事例もあります。最近ではパソコンだけでなく、テレビやネットワークカメラなどインターネットに接続できるデジタル情報家電なども攻撃されています。

POINT 2　攻撃手口は一斉同時集中砲火

1．インターネット経由で攻撃者が脆弱性を攻撃する不正なデータを送信→システム機能停止→サービス停止

2．インターネット経由で攻撃者が大量通信→ネットワークやサーバー処理速度の低下→サービス停止

3．会社内の端末が感染→社内ネットワークに接続された他端末やサーバーの脆弱性を攻撃→システム機能停止→サービス停止

こんな被害が……

被害を受けた組織

発生年月

被害

東京五輪

組織委員会

2015年

11月

Webサイトにサーバーに大量のアクセスを集中させ機能停止に追い込む「DoS攻撃（ドス攻撃）」を受け、Webサイトが約12時間閲覧不能となる事態に。

世界的SNSや動画配信企業等

2016年

10月

マルウェア「Mirai」に感染したIoT機器が踏み台となり、大規模なDDoS攻撃（ディードス攻撃／Dos攻撃よりも悪質な攻撃）が発生。大手 SNSや動画配信サービス等が停止。

日本のオンライン

ゲーム

2017年

6月

DDoS攻撃により、プレイヤーがサーバーから切断されたり、ログインしづらくなったりした。

世界的な

Webサービス

2019年3月

DDoS攻撃を受け断続的にサービスが停止。

ラグビーワールドカップ組織委員会

2019年

9月

大会期間中に組織委員会に対してDDoS攻撃が行われ、職員らにもパスワード等の窃取を目的としたフィッシングメールが送信される事案が発生。

MISSION 1-5　内部不正による情報漏えいと業務停止

POINT 1　内部からも攻撃される！

意図的な情報窃取

個人情報を売買するために、職務で知りえた情報を故意に持ち出すケースです。このケースは情報漏えいというよりも情報窃取です。

うっかりミスや不注意による情報漏えい

自宅で業務を行うために社内規則を守らずに内部情報を持ち出し、紛失してしまったなどのケースです。ほとんどはルールを知りつつ違反しています。

POINT 2　持ち出し手段はUSBメモリーなど

内部情報を持ち出す手段としてはUSBメモリーが一番多く、そのほかではメール、パソコンです。

POINT 3　企業の信用が失墜し、賠償が求められる

意図的であれ、うっかりであれ、個人情報の漏えいは企業に重大な打撃を与えます。2018年に起きた情報漏えい事件の1件当たりの平均想定損害賠償額は6億3000万円を超えています（日本ネットワークセキュリティ協会「2018年情報セキュリティインシデントに関する調査報告書」【速報版】）。その一方で、日本損害保険協会による「サイバー保険に関する調査2018」からは、「サイバーリスクへの対応」を経営課題として重要視していない傾向が浮かび上がっています。攻撃手法が多様化・悪質化している現在、早急な対策が必要です。

対策は「動機」「機会」を減らすことだ！

●「動機」を減らす

・職場環境や処遇に対する不満を解消する

●「機会」を減らす

・アクセス権の付与を最小限にするとともに管理を厳格にする

・システム操作の記録と監視により管理を強化する

・モニタリングや通報制度などにより「必ず見つかる」と思わせる

・罰則の強化により「利益にならない」と思わせる

・状況に合わせて社内ルールなどの整備・見直しをする

MISSION 1-6　Webサイトの改ざん

POINT 1　改ざんの目的は2つ

いたずらや主義主張による改ざん

攻撃者がいたずらや主義主張を表示する目的で改ざんするケースです。国際テロ組織の主義主張などが掲載されることもあります。

気付かぬうちにウイルスをばらまくWebサイトに

Webサイトを閲覧しただけでウイルスに感染するように改ざんされるケースです。この場合、Webサイトを改ざんされた企業はウイルス感染に加担した加害者となってしまいます。

POINT 2　ECサイトの脆弱性をついた事案も発生

近年では、ECサイト（インターネットを介した販売サイト）を利用した事業拡大も一般的となりました。しかし、ECサイトを構築するパッケージサービスの脆弱性等を突く形で、Webサイトが改ざんされ、クレジットカード番号等が窃取される被害が起きています。経済産業省によると、2019年までに約14万件のクレジットカード番号等の漏えいが報告されています。

POINT 3　手口は脆弱性攻撃と管理用アカウントの乗っ取り

脆弱性を狙った攻撃による改ざん

Webサーバーに存在する脆弱性を攻撃することにより、改ざんを行います。

直接コンテンツの改ざんを行う方法と、秘密の出入り口をつくるなどして遠隔操作で改ざんを行う方法の２つがあります。

管理用アカウントの乗っ取りによる改ざん

管理者のID・パスワードが盗まれ、攻撃者が管理者としてWebサイトを操作して改ざんしてしまうやり方です。正規のWebサイト操作により改ざんが行われるため、被害にほとんど気付きません。

対策を急ぐべきだ！

・サーバーのOSやWebアプリケーションを最新の状態にする

・サーバーに使用しているソフトウェアを更新する

・管理用アカウントを厳重に管理する

・改ざんを早期に検知する対策を行う

MISSION 1-7　インターネットバンキングの不正送金

POINT 1　銀行口座が狙われている！

インターネットバンキング不正送金の被害は大手銀行の対策が進み、2016年に被害額はいったん減少したものの、中小企業が利用する金融機関の法人口座の被害などにおいても増加傾向が続いています。警察庁発表によると、2019年に発生したインターネットバンキングの不正送金事案は1872件。被害総額は約25億2100万円（いずれも前年度増）となっており、事態の深刻さがうかがえます。

POINT 2　手口はフィッシング詐欺と不正送金ウイルス

フィッシング詐欺

①銀行を装い、「本人認証サービスの確認」といった内容でフィッシングサイト（偽サイト）のURLを送りつける

②偽のログインページにアカウント情報を入力させる

不正送金ウイルス

・攻撃者は改ざんしたWebサイトやメールの添付ファイルなどから不正送金ウイルスを侵入させる

・不正送金ウイルスは、ユーザーがインターネットバンキングを利用する際、本来の画面とよく似た偽のポップアップ画面を表示し、認証情報（ID、パスワードなど）を入力させ、攻撃者に送信する

・攻撃者は、入手した認証情報を利用してインターネットバンキングにログインし、第三者の口座に送金を行う

不正送金を阻止するには

・金融機関が推奨するセキュリティソフトを導入する

・対策ソフトを最新状態に更新し、定期的なウイルススキャンを実施

・OSやインストールされているソフトウェアは常に最新の状態を保つ

・インターネットバンキングにアクセスした際にいつもと違う画面等が表示された場合、ID・パスワードを入力しない

・ID・パスワードを求めるメール等が来ても無視する

・ワンタイムパスワードを受信している場合、パソコンではなく、携帯電話やスマートフォンのメールで受信できるように登録する

・不正なログインや覚えのない送金等の履歴がないか小まめに確認

MISSION 1-8　悪意のあるスマホアプリ

POINT 1　不正アプリでスマートフォンは乗っ取られる！

スマートフォンではさまざまなアプリをダウンロードして使用することができますが、中にはインストールされたスマートフォンのデータをのぞき見したり、カメラなどを遠隔で勝手に作動させたりする機能を持つ不正アプリがあります。

Androidの不正アプリが累計3400万個を突破

2010年8月に最初のAndroid不正アプリが検出されて以来、2019年12月時点で3400万個に到達しました（トレンドマイクロ社調べ）。

Androidでは自由にアプリを配布・インストールすることができます。スマートフォンには、電話番号やメールアドレスなどの個人情報をはじめ、クレジットカードや銀行口座の情報を入れている人も多いでしょう。不正なアプリには十分注意してください。

（トレンドマイクロ社調べ）

POINT 2　不正アプリによる被害

・ワンクリック詐欺やフィッシング詐欺により、個人情報などを盗まれたり、アカウントの乗っ取りや不正利用で金銭を奪われたりする

・写真や住所、電話番号などの個人情報を抜き取られて勝手にネット上に掲載されたり、自分のいる場所を追跡してストーキングをされたりして精神的な被害を受ける

・スマートフォン向けのランサムウェアで端末にロックをかけられて身代金を要求される

スマートフォンにもセキュリティ対策が必要だ！

スマートフォンのOS・ソフトウェアは アップデートし、ウイルス対策ソフトも導入・更新しよう。また、公式サイト以外からアプリをインストールせず、アカウントやクレジット情報などの入力は慎重に行うことだ。さらに、重要データのバックアップを実施し、盗難・紛失に備えて画面ロックなどを設定し、「GPS（位置情報サービス）」と「端末を探す」機能を有効にしておくとよいだろう。

MISSION 1-9　巧妙・悪質化するワンクリック詐欺

POINT 1　サイトを見ただけで請求！

アダルトサイトや出会い系サイトなどにアクセスさせ、金銭を不当に請求する攻撃です。これまでは利用者のクリックをきっかけにして請求画面が表示されるものでしたが、2016年はクリックすることなくWebサイトを見ただけで勝手に「登録」させて請求画面が表示される「ゼロクリック詐欺」が出現しています。

POINT 2　手口は巧妙化している！

・ ワンクリック詐欺に誘導するメールが届く

・パソコンなどに常駐して定期的に料金を要求する画面を表示する

・懸賞サイトや占いサイト、音楽のダウンロードサイトなどを装う

・合法的なコミュニティーサイトで知り合いになり、詐欺サイトに誘う

・個人情報を盗み取り、データを削除するための金銭を要求する

・ウイルス感染の警告画面を表示して、対策ソフトを売りつけたり、パソコンのデータを盗み取ったりする

・相談窓口を装ったサイトで解決料を請求する

・裁判所に訴える、というメールが届く

請求には応じるな！

ワンクリック請求が来ても慌てる必要はない。料金の請求には一切応じず、とにかく無視することが最善の対処法だ。「登録完了」と表示されても、ワンクリックでは契約が成立せず、料金の支払い義務はない。

不安な場合は、国民生活センターや消費生活センターなどに相談だ。

MISSION 1-10　Webサービスへの不正ログイン

POINT 1　個人情報の窃取やオンラインショッピングでの不正注文が狙いだ！

Webサービスから盗み取ったIDとパスワードを悪用し、ほかのサイトに不正ログインして、なりすましを行ったり、不正な注文をしたりする攻撃です。

サービス提供者の被害例

・サービス提供しているサイトから情報を盗み取り、不正な注文やポイントの不正使用を実行

・利用者の個人情報の閲覧、窃取

・登録している利用者にサイトを装ったメールを不正送信

サービス利用者の被害例

・なりすましによるインターネットバンキングでの不正送金やオンラインショッピングでの不正注文

POINT 2　代表的な攻撃手法の特徴

パスワードの推測や情報漏えい型のウイルス

名前や誕生日、IDと同一の文字列、連続した英数字など使われやすい文字列を攻撃者が入力し、不正ログインされます。以下が主な攻撃手法の一例です。また、情報漏えいを引き起こすタイプのウイルス感染によってもユーザーIDやパスワードが不正利用される確率が高まります。

・パスワードリスト型攻撃

別のWebサービスから窃取したIDやパスワードを使い不正ログイン。

・総当たり攻撃

攻撃者側がツール等を用いて考えられる全てのパターンを試す、文字通り「総当たり」の不正ログイン手法。

・ソーシャルエンジニアリング攻撃

主要な攻撃手法の1つ。例えば、パソコン画面等ののぞき見によってIDやパスワードを窃取する手法です。

不正ログインを防ぐ対策はこれだ！

●サービス提供者

・簡単なパスワード、容易に推測できるパスワードを許可しない

・多要素認証を導入（Webとスマートフォンを使ったログインなど）

●サービス利用者

・複数のWebサービスで同一パスワードを使い回さない

・パスワード管理は他人に知られず、自分でも忘れないよう徹底する

・パスワードのほか多要素認証（ログイン時に事前登録されている電話番号との連携を通じた認証など）を採用しているサイトを利用する

・離席時のログアウトなどパソコン画面ののぞき見防止策を講じる

・パスワードが流出したと疑われるときには速やかに変更する

MISSION 1-11　公開された脆弱性対策情報の悪用

POINT 1　セキュリティ対策ができていない企業を狙い撃ち

OSやソフトウェアの脆弱性が発見されると、開発したメーカーから更新プログラムが提供されます。攻撃者は、更新プログラムを実施していない利用者を探し出し、攻撃を仕掛けます。

POINT 2　こんな企業が狙われる！

・脆弱性対策情報を知らない

・利用している製品が影響を受けることを知らない

・公開された対策をすぐに実施していない

つまり、OSやソフトウェアをいつも最新の状態にしていない企業がターゲットなのです。

対策はこれだ！

・社内で使用しているソフトウェアの全てについて、自動更新が設定されているものと設定されていないものを把握する

・使っているソフトウェアに関する脆弱性情報を「脆弱性対策情報ポータルサイト」（JVN）などで入手する（P57参照）

・使っているソフトウェアに脆弱性が発見された場合に備えて、会社全体のソフトウェアを更新する手順を作成しておく

・脆弱性が発見されたら、全てのソフトウェアの更新を確認し、実行する

MISSION 1-12　IoT機器を踏み台にした攻撃

POINT 1　狙われているのはパソコンやサーバーだけではない！

昨今は自動車やネットワークカメラ、情報家電などもインターネットにつながるようになっています（IoT※機器）。攻撃者はインターネット越しにこれらIoT機器の脆弱性や設定不備などを突いて攻撃を行い、不正アクセスやウイルス感染、さらにデータの改ざんや情報漏えい、機器操作などを行います。

※ IoT（Internet of Things）：モノをインターネットにつなげて動作させること

POINT 2　IoT機器向けウイルスの猛威

2016年にはIoT機器向けウイルス「Mirai」による攻撃により、複数の大手ネットサービスが長時間にわたって接続しにくくなるトラブルが発生しました。初期パスワードのまま使用されているネットワークカメラなどのIoT機器が「Mirai」に感染したことが原因でした（P31参照）。

POINT 3　脅威を増すIoT機器へのサイバー攻撃

IoT機器普及につれて、これらを狙ったサイバー攻撃の脅威も増しています。そのため、総務省や情報通信研究機構（NICT）、インターネットプロバイダが連携し、サイバー攻撃に悪用されるおそれのあるIoT機器の調査や注意喚起を行う「NOTICE」という取り組みが行われています。

● NOTICE　https://notice.go.jp/

対策はこれだ！

・IoT機器を社内ネットワークに接続するリスクとルールを周知させる

・IoT機器の管理者を明確にする

・インターネットにつながっているIoT機器を把握する

・必要がない場合はIoT機器をインターネットに接続しない（または電源を切る）

・管理画面にアクセスするためのIDとパスワードを確実に管理する（複雑なものに変更するなど）

・制御用ソフトウェアの更新を定期的にチェックし、常に最新の状態にする

MISSION 1-13　中小企業におけるサイバー攻撃被害の例

POINT 1　新型コロナ禍も背景に巧妙化・高度化するサイバー攻撃

2020年に入り、新型コロナウイルス感染拡大防止への対応として注目されたテレワークの拡大などサイバー空間を巡る環境が大きく変化しています。一方、実際の取引先とのメールを装う攻撃の広がりなど、攻撃者の仕掛けるサイバー攻撃の手法も巧妙化・高度化が進んでいます。

POINT 2　中小企業を含んだサプライチェーンが狙われている

例えば、取引先とのメールを装うEmotetなど高度化した攻撃は、企業のサプライチェーン上においてセキュリティ対策や対策意識の弱い部分をターゲットにします。現実に、Emotetに感染した中小企業の端末やメールアドレスが攻撃者に利用され、取引先への攻撃の起点となり、さらに感染を広げるケースがすでに発生しています。中小企業にとってもサイバー攻撃に対する備えは急務となっているのです。

最近の事例

発生地

主な要因

概要

神奈川県

古いOSの使用

古いOSでしか動作しないソフトウェアを利用するためマルウェア対策ソフト未導入の端末を使用。社内プリンターを利用する際に社内LANに接続し、インターネット接続を介してマルウェアに感染した。

愛知県

私物端末の利用

社内の特定端末から不正な通信先に通信が行われていた。社員の私物端末が会社のWi-Fiに無断接続されていたことに起因。当該端末からの不正送信先は過去にマルウェアやランサムウェア配布に利用されていることが確認されている攻撃者サーバーであった。

埼玉県

私物端末の利用

企業役員の家族が個別に持ち込んだ無線ルーターを介して社内のパソコンがランサムウェアに感染。

岩手県

出張先ホテルのWi-Fi利用

社員が出張先のホテルのWi-Fi環境でなりすましメールを受信。添付のマルウェアを実行したことによってEmotetに感染。このためアドレス情報が抜き取られ、抜き取られた取引先情報等のアドレス宛に攻撃者によってメール送信が行われた。

群馬県

サプライ

チェーン攻撃

取引先企業のメールサーバーがサイバー攻撃を受けたことにより、メールアドレスが漏えい。複数のアドレスから当該企業に向けてマルウェアが仕込まれたメールが送信された。メール内容は賞与支払いや請求書の支払い等を装うなりすましメールであり、サプライチェーンを通じた攻撃であった。

参考：経済産業省「昨今のサイバー攻撃事案を踏まえた注意喚起と報告のお願い」に対する報告結果 及び「中小企業向けサイバーセキュリティ事後対応支援実証事業（いわゆる「サイバ ーセキュリティお助け隊」）」の事業報告を踏まえた昨今の産業を巡るサイバーセキュリティに係る状況の認識と、今後の取組の方向性について」（2020年6月）

MISSION 1-14　なりすましECサイトの被害と回避策

POINT 1　なりすましECサイトに注意！

実在するサイトの外観を装った「なりすましECサイト」。その被害が増加しています。これらは既存のECサイトの模倣などによって消費者を誤認させ、商品代金を騙しとったり、模倣品、海賊版その他購入しようとした品と全く別個の物を送りつけてきたりします。また、こうした手口だけでなく、クレジットカード決済ができるかのように見せかけて消費者側のカード情報等を入力させるサイトも確認されています。

その他の特徴としては、「支払い方法が銀行振り込みのみになっている」「問い合わせ先のメールアドレスがフリーメールアドレス」「フォームの崩れやリンク切れなどWebサイトの作り方に粗雑な点が見られる」などが挙げられます。

出典：セーファーインターネット協会／なりすましEC対策協議会「なりすましECサイトに注意！」より

POINT 2　なりすましECサイトの対策を怠ると企業側も大きな不利益を被る可能性が…

なりすましECサイトの被害者は、消費者だけではありません。なりすまされた企業側にも大きな不利益が生じる可能性があります。なりすましECサイトへの対策を放置すると、

・売上減少

・信頼失墜

・被害者からのクレーム・問い合わせ殺到

といった事態が生まれる可能性があります。ECサイトの来訪者への注意喚起など積極的な対策が重要です。

なりすましECサイトを撃退せよ！

なりすましECサイトを撃退するには、積極的なアクションが重要だ。より具体的には、

・来訪者への注意喚起

・迅速な問い合わせ対応

・プロバイダへの削除要請

の3つが考えられる。また、警察に情報提供することで、当該サイトの銀行口座の停止やウイルス対策ソフトやフィルタリング製品への反映がされる場合があり、被害拡大防止が期待できる。

● 一般社団法人セーファーインターネット協会／なりすまし EC サイト対策協議会「なりすましECサイト対策マニュアル」（2015年3月）

https://www.saferinternet.or.jp/wordpress/wp-content/uploads/narisumashi_manual.pdf

MISSION 1-15　ビジネスメール詐欺（BEC）にご注意！

POINT 1　巧妙なBECの罠

ケーススタディー5（P10）でもご紹介した「BEC攻撃」。「取引先から振込先口座変更の指示を電子メールで受信した」などのように、ビジネス関係者を装ったサイバー攻撃が中小企業を狙っています。

POINT 2　BEC被害の事例

BEC攻撃は世界的にも大きな被害を生んでいます。「取引先との請求書の偽装」「経営者などへのなりすまし」「窃取メールアカウントの悪用」「弁護士など社外の権威ある第三者へのなりすまし 」「詐欺の準備行為」の大きく5つのタイプに分類できます。

セキュリティ意識を高め対策を確実に！

・取引先とメール以外の方法で確認

・電信送金に関する社内規程の整備

・普段とは異なる表現のメールやフリーメールに注意

・不審なメールは組織内外で情報共有

・ウイルス・不正アクセス対策はしっかりと

・電子署名を活用しよう

MISSION 2　すぐやろう！ 対サイバー攻撃アクション

MISSION 2-1　今やろう！ 5＋2の備えと社内使用パソコンへの対策　サイバー攻撃に対して何ができるか

MISSION 2-2　今やろう！ 5＋2の備えと社内使用パソコンへの対策　OSとソフトウェアのアップデート

■ パソコンのOSは可能な限り自動更新にする

■ インストールしているソフトウェアは、常に最新の状態にする

＜OSのアップデート＞

●パソコンのOSは可能な限り最新の状態を保つようにする。自動更新が利用できる場合は、自動更新機能を有効にする。

●サポートが終了した古いOSは使わない※。

●業務に利用するスマートフォンのOSは機種ごとの情報を常に調べて手動で更新する。

※ Windows7のサポートは2020年1月14日に終了。Windows8.1については2023年1月10日に終了予定。可能な限り早く最新のWindows環境への移行をお勧めします。やむを得ず継続利用する場合には、ベンダーサポートに相談するなどし、適切な対応を図ってください

＜ソフトウェアのアップデート＞

●全てのソフトウェアを最新版にする。

●自動更新機能がある場合は必ず設定する。

●自動更新が設定できないものについては、定期的に脆弱性情報をチェックする。

セキュリティ上の脆弱性が攻撃対象に！

OSは、日々新たなセキュリティ上の脆弱性が発見されています。サイバー攻撃はこの脆弱性を利用してウイルスを潜入・繁殖・拡散させます。

また、OSだけでなく、Microsoft Office製品やAdobe Acrobat Readerなど、多くの人が使用している製品のセキュリティホールも攻撃の対象となっています。OSもソフトウェアも常に最新版にしておくことが大切です。

※ Adobe Flash Playerは2020年12月31日でサポートが終了しました。直ちにアンインストールすることが、メーカーから強く推奨されています

脆弱性情報はここから入手

JPCERT コーディネーションセンターが運営・提供している脆弱性に関するメーリングリストやJVN（脆弱性対策情報ポータルサイト）などから、自分が使っているソフトウェアに関する脆弱性情報を入手だ。

MISSION 2-3　今やろう！ 5＋2の備えと社内使用パソコンへの対策　ウイルス対策ソフト・機器の導入

■ ウイルス対策ソフトウェア（セキュリティソフト）がインストールされているか、また最新バージョンになっているかを確認する

＜個別のパソコンに導入するタイプ＞

個別のパソコンに導入するウイルス対策ソフトウェアには自動的に更新する機能が付いています。最近のウイルス対策ソフトウェアは脆弱性スキャンやWeb脅威対策、URLフィルターなど多くのセキュリティ機能が付いています。

※ パソコンを購入した際に、ウイルス対策ソフトの試用版がインストールされている場合がありますが、一定期間を過ぎると、利用できなくなったり、更新できなくなったりするものがあります

＜ネットワークの出入り口に設置するタイプ＞

オフィスのネットワークとインターネット網との間の出入り口部分に、統合型セキュリティ機器（ UTM）を導入することで、二重にセキュリティを強め外部への情報漏えいや被害拡大を防ぐことができます。UTMは複数のセキュリティ機能を1つのハードウェアに統合し、集中的に管理します。

ウイルス対策ソフトは必ず最新のものに

ウイルスは毎日たくさんの新種が登場している。そのために、ウイルス対策ソフトを新しいウイルスに対応できる状態に保つ必要がある。ウイルス対策ソフトには、ウイルスを発見して駆除するプログラムを自動的に更新する機能が付いている。この機能を利用するか、更新プログラムがないか毎日チェックするかのどちらかだ。

メールの添付ファイル、ダウンロードしたファイル、USBメモリーやCD・DVDなどの外部記憶媒体に格納されたファイルも、必ずウイルスチェックを行ってから使うほうがよい。

MISSION 2-4　今やろう！ 5＋2の備えと社内使用パソコンへの対策　定期的なバックアップ

■ 重要データは、定期的に別媒体へバックアップを取って保存する

＜バックアップの方法＞

●ハードディスク（HDD）やDVDなどの外部記憶媒体に保存。

●重要情報はネットワークと切り離して保存。

●保管方法を決めておく（保管場所や保管媒体など）。

●バックアップ媒体のセキュリティ対策も同時に実施。

●必要に応じて1つ前のデータも保存。

定期的バックアップの重要性

ビジネスで利用するデータは、削除誤りなどの人的ミスやハードウェア障害、ソフトウェア障害など多様な要因によって破損する危険があります。これらのリスクから業務データを守るためには、定期的なバックアップが不可欠です。

重要なデータのバックアップがあれば、万が一データが消失してしまっても、速やかにビジネスを復旧させることができます。

バックアップには、使っているPCが壊れたときのために重要なデータを外付けのHDDなどにバックアップする方法や、クラウドへバックアップする方法があります。クラウドの場合、保管するデータセンターの場所が会社から遠いところにあったり、複数のデータセンターで相互にバックアップしていたりと、社内で保管するより安心な場合もあります。

クラウドの活用に際しては、管理担当者の選定や利用範囲と権限の明確化、利用者が使うパスワードなどの認証機能を適切に設定・管理するなどの点に留意が必須です。

Windowsのバックアップ機能を活用だ！

定期的バックアップのために市販のバックアップソフトウェアを使う方法もあるが、Windowsには自動バックアップ機能が付いている。一度設定すれば指定したフォルダーを定期的にバックアップしてくれる。保管場所としてはネットワークから切り離すことができる外付けのハードディスクがお薦めだ。

MISSION 2-5　今やろう！ 5＋2の備えと社内使用パソコンへの対策　パスワードの管理

■ パスワードを強化する

■ ID・パスワードを盗まれないようにする

＜パスワードの強化＞

他人に推測されやすいパスワード（ニックネームや誕生日など）は使わない。

●長いパスワード（推奨は10桁以上）にする。

●推測しづらく自分が忘れないパスワードにする。

●他人の目に触れるような場所に、パスワードを残さない。

●いろいろなWebサービスで同じID・パスワードを使い回さない。

パスワードの使い回しは危険

パソコン本体はもちろん、メールやSNS、各種アプリや会員サイトなどのWebサービスを使うときに必要となるのがID（アカウント）とパスワード。1つのパスワードを使い回している場合、それが流出すると、ほかのサービスも乗っ取られてしまう可能性が高くなります。

対策を講じないと……

IDやパスワードを盗まれて不正にログインされることで、会社にも個人にもさまざまな被害が発生します。

・自分が利用しているインターネットバンキングから知らない口座に振り込まれた

・ショッピングサイトで勝手に高額な買い物をされた

・知らないうちに迷惑メールを大量に送信させられた

など、他人に迷惑をかけることになるケースもあります。

多要素認証でより安全に

通常はIDとパスワードを使って本人であることを確認するが、さらにもう1つ別のパスワードで認証する方法がさまざまなオンラインサービスで使われている。また複数の要素を使って認証する多要素認証も多く使われている（P43を参照）。

MISSION 2-6　今やろう！ 5＋2の備えと社内使用パソコンへの対策　アクセス管理

■ データや社内ネットワークへのアクセスについて利用者の制限やIDの管理を行う

■ 職務や業務、役割によってもIT機器や情報に対してアクセスの管理・制限を行う

＜ネットワークなどへのアクセス管理＞

●社内のパソコンやIT機器、ネットワークなどへアクセスする場合、職務を実施するために必要な情報に限定したり利用者を制限したりする。

●職務の変更や人事異動があったら、利用者のアクセス権限を見直す。

＜情報へのアクセス管理＞

●会社の重要情報を 機密性※1、 完全性※2、 可用性※3の観点から評価し、 情報資産の重要度を仕分ける。

●情報ごとにアクセス権を設定する。

●アクセス権の設定ではID・パスワードの使い回しを禁止する。

※1 アクセスを許可された者だけが必要な情報にアクセスできること

※2 情報および処理方法が正確であること、かつ完全であること

※3 認可された利用者が必要なときに情報および関連する資産にアクセスできること

アクセス管理の例

何が防げるの？

例えば「社外秘」の情報はアクセスできる利用者も制限する必要があります。つまり、この情報を利用できるのは誰かを決め、それ以外の人は利用不可とするのがアクセス権の設定です。

ネットワーク上の共有フォルダーやWebページにアクセス権を設定すると、特定のユーザーだけが利用するので、重要なデータを保護できます。

無線LANのアクセスに注意だ

社内で無線LAN（Wi-Fi）を使う会社が飛躍的に増えている。しかし「簡単に接続できる」「社内の人しか使わないから」といった理由で、接続時のパスワードを設定していない企業も少なくない。無線LANが社内ネットワークに直結している場合、誰でも簡単に侵入できる可能性がある。無線LANには必ずパスワードを設定し、接続できる権限を持った人間と端末を決めておくべきだ。

MISSION 2-7　今やろう！ 5＋2の備えと社内使用パソコンへの対策　紛失や盗難による情報漏えい対策

■ 原則は情報の持ち出し禁止

■ パソコンやUSBメモリーなどの記憶媒体やデータを外部に持ち出す場合、盗難・紛失などに備えて、パスワード設定や暗号化などの対策を実施する

＜情報持ち出しの対策＞

●パソコンや記憶媒体を持ち出す場合の規定を設ける。

●利用者の認証（ID・パスワード設定、USBキーやICカード認証、指紋認証など）を行う。

●保存されているデータに対して、重要度に応じてHDD暗号化、パスワード設定などの技術的対策を実施する。

●紛失情報が何かを正確に把握するため、持ち出し情報の一覧を作り、管理を行う。

●ノートパソコンまたはタブレット端末に保存するデータは最小限にする。

●電子媒体はケースに入れ、USBメモリーはタグ、ストラップ、鈴などを付ける。

●不要な場所に持ち出さない。

●携帯時には注意する。

・電車内では肌身離さず、網棚に置かない

・自動車内には保管しない

・他者からのぞき見されない状態で扱う

紛失・盗難対策の基本はパスワード

パソコンやモバイル端末などの情報が収められた機器は、起動の際にパスワードをかけたり、ファイルそのものにもパスワードを設定したりするなどの対策を事前に行っておくことで、盗難・紛失時に情報を簡単に見られないようにすることができます。

街なかのフリーWi-Fiに注意だ

公共施設をはじめ街なかには多くのAP（アクセスポイント）が設置されている。だが、APすべてが万全のセキュリティ対策を講じているとは限らない。中には利便性を追求し最低限の対策に留めるAPも存在し、使い方によっては通信内容を盗まれる可能性がある。

また必ずしも『暗号化＝安心』というわけではない。例えば「偽AP」だ。この場合、暗号化に関係なく通信内容が盗まれる。

便利なフリーWi-Fiだが利用する際、少なくとも次の点は確認だ。

・接続するフリーWi-FiのAP名の確認

・接続後、ID・パスワード等の入力画面になった場合、URLが「https://」で始まっているか

・ブラウザーに鍵マークが表示されているか

特にテレワーク等、機微な情報を扱う際は不特定のAPは避けるべきだ。

MISSION 2-8　今やろう！ 5＋2の備えと社内使用パソコンへの対策　テレワーク等での持ち出し・持ち込み機器対策

■ テレワーク等で機器を社外に持ち出す際や私物機器類を会社に持ち込む場合には、セキュリティと使い方のルール（例）を設ける

＜使い方ルール＞

情報機器の種類

順守事項

パソコン

※自宅のパソコンで業務を行う場合も含む

・データや情報を持ち出す場合は会社ルール（P66参照）に準拠する

・ウイルス対策ソフトおよびアプリケーションなどは会社指定のものを導入

・情報セキュリティ事故の発生に備えて担当者への連絡体制を確認する

・作業開始前に端末のOSやソフトウェアが最新か確認

・機密情報を送信する際には暗号化する

・テレワークなどで会社機器を社外に持ち出す場合、フリーWi-Fiなどには接続しない

・基本的に私物機器は社内に無断で持ち込まない

・私物機器は社内LANへの接続を禁止する

・家族や友人への会社機器の貸与を禁止する

スマートフォン

タブレット端末

携帯電話など

・会社で指定したアプリケーション以外は使わない

・社内パソコンに接続する前には必ずウイルス対策ソフトでチェックする

・ウイルス対策ソフトなどは会社指定のものを導入

・業務情報と私的な情報を混在させない

・家族や友人への貸与を禁止する

USBメモリー

外付けHDD

・社内パソコンに接続する前には必ずウイルス対策ソフトでチェックする

共通

・個人のメールアドレスに業務用データを添付して送信しない

・社用メールアドレスで受信したメールを個人のアドレスに転送することを禁止する

私物端末による脅威とは

●感染した私物端末が不正プログラムなどで遠隔操作される。

●私物端末でデータを持ち出される。

●感染した私物端末から社内のネットワークに感染が広がる。

●感染した私物端末のテザリング機能を利用して外部への通信が行われ、情報が漏えいする。

持ち込み機器にもウイルス対策ソフトを

私物の機器は原則として持ち込み禁止にするのが安全だが、実際には私物端末を業務に利用するニーズも増えている。その場合は持ち込みを許可する端末に必ずウイルス対策ソフトをインストールする。ソフトによっては、USBメモリーなどを差し込んだら自動的にチェックを求める機能が付いているものもある。

MISSION 2-9　今やろう！ 電子メールへの備え　電子メールの安全利用

■ 誤送信しないように宛先や内容、添付ファイルの確認をする

■ 原則としてファイルを添付しない

■ 万一必要な場合は、添付ファイルを暗号化する

＜誤送信対策＞

●送信ボタンを押す前に、必ず宛先を再確認する。いったん送信トレイに保存するように設定すれば、送信前に宛先を再確認できる（メールソフトとバージョンによって異なります）。

●大量のアドレスへ同報メールを送るときなどはそれぞれの受信者にアドレスが分からないようにBCCを使う。

＜添付ファイルの暗号化＞

メールを安全に送受信するために添付ファイルを簡単に暗号化できます。

●アプリケーションソフトにある暗号化機能を利用する。

●圧縮・解凍ソフトの暗号化機能を利用する（パスワードを設定する）。

なお、パスワード付きZIPファイルなどをメール添付で送り、後からパスワードを別のメールで送ることは、「Emotetなどのマルウェアに悪用される」「受信者の作業負荷を高める」といった理由で、禁止する動きが広がっています。

＜電子メールのなりすまし対策＞

ビジネスツールとして広く普及する電子メール。しかし、近年は「なりすまし」や標的型攻撃も登場しています。その対策手段の1つが「送信ドメイン認証技術」の導入です。この中には、送信元のメールサーバーのIPアドレスを認証に用いる「SPF」と、暗号化技術を用いて認証する電子署名方式の「DKIM」の2方式があり、さらに両者の結果を利用する「DMARC」があります。

対策を講じないと…

送信設定間違いによる重要情報の漏えい事故や、同報メールの送信方法の誤りによるメールアドレスの漏えい事故につながる可能性があります。

誤送信対策をする一方で、受信対策、すなわち迷惑メール対策もしっかり行いましょう。下記のサイトが参考になります。

● 迷惑メール相談センター

https://www.dekyo.or.jp/soudan/

添付ファイルはなるべく減らす！

電子メールを使ったサイバー攻撃の多くは、添付ファイルに仕込まれたウイルスや不正プログラムによるものだ。

だからビジネス上のやり取りでは添付ファイルを減らすことが、防御の第一歩だ。

ファイルを送るにはWeb上で提供されている無料転送サービスも使うことができる。

添付ファイルを減らすことは、メールサーバーや通信回線の負荷の軽減にもつながる。

MISSION 2-10　今やろう！ 電子メールへの備え　標的型攻撃メールへの対応

2021.11.25

■ 不審な電子メールは開かない

■ 標的型攻撃メールを見分ける

巧妙な標的型攻撃メールの事例

これは、とある会社の社員に届いたメールです。その会社が加盟する健康保険組合からの「医療費通知のお知らせ」というメールだったので、添付されていた「医療費通知のお知らせ」というファイルを開きました。クリックした途端に不正プログラムが動きだし、遠隔操作ツールが実行されてしまいました。添付ファイルはワードのアイコンになっていましたが、拡張子は「doc」でも「docx」でもなく、「医療費通知のお知らせ.exe」という不正プログラムだったのです。

これは実際にあった事例です。同じように、取引先を偽装して、「請求明細」や「明細書」というタイトルの不正プログラムが送られてきた事例もあります。

※警察庁発表によると2019年には、確認された標的型攻撃メールは5300を超える

こんな添付ファイルに注意だ

・件名に「緊急」など、ことさらに添付ファイルの開封を促すメール

・日ごろメールでやり取りすることのない種類のファイルが添付されているメール

・IDやパスワードなどの入力を要求する添付ファイルやURLが記載されたメール

メールについての注意点は 「MISSION 1-1　標的型攻撃による情報流出」参照

MISSION 2-11　今やろう！ 電子メールへの備え　迷惑メール発信への対応

■ ウイルス対策ソフトで迷惑メールをブロック

■ 統合型セキュリティ機器（UTM）※で迷惑メールの送信をチェック

※ 「MISSION 2-3　今やろう！ 5＋2の備えと社内使用パソコンへの対策　ウイルス対策ソフト・機器の導入」参照

最近ではスマートフォンなどへの迷惑メールが日常茶飯事となっているため、その危険性があまり言われなくなっていますが、迷惑メールはサイバー攻撃の予兆の1つであることを認識しましょう。

＜迷惑メールの発信は受け取り拒否につながる＞

迷惑メールと判断された送信元のIPアドレスを管理する「ブラックリスト」といわれるデータベースがあります。ウイルス対策ソフトの中には、このブラックリストを参照して、このリストに登録されたメールサーバーからのメールは受け取りを拒否する機能を持ったものもあります。もし、あなたの会社が迷惑メールを発信してブラックリストに登録され取引先で受け取り拒否されたら、事業に大きな支障が生じます。

＜万が一ブラックリストに登録されてしまったら＞

取引先で受け取り拒否されたら、拒否した理由が記されたメールが送られてきます。そこに参照したブラックリスト名とURLが記載されています。

ブラックリストを登録・管理している団体のWebサイトに行き、送信元IPアドレスを入力し、リストから削除するための手順を確認してください。ただし、ブラックリストを管理している団体のほとんどは海外の団体ですから、削除依頼は英語で行う必要があります。

迷惑メールを発信していないかをチェック！

もし、あなたの会社のメールサーバーが迷惑メール発信の踏み台にされていると疑わしく思ったら、すぐにメールサーバーの通信量を調べよう。迷惑メールの踏み台となっている場合は、毎日数十万通のメールを発信しているはずだ。

MISSION 2-12　今やろう！ インターネット利用への備え　安全なWebサイト利用

■ 不用意に信頼できないサイトへアクセスしないようにする

■ パスワードをブラウザー※に保存しない

※ Microsoft EdgeやGoogle Chromeなどのインターネット閲覧ソフト

＜フィッシングサイト＞

●メールの送信者欄（Fromアドレス）は偽装できるため、なりすましメールに注意する。

●必要に応じて、金融機関が推奨するセキュリティソフトなどの導入も検討する。

●カード番号や暗証番号を入力するような依頼がメールで来ることはなく、もしそのようなメールが金融機関などから届いた場合は、送信元に電話で問い合わせたり、ホームページを見たりして真偽を確認する。

＜ワンクリック詐欺（不正請求）につながるサイト＞

●信頼できないサイトにはアクセスしない。

●アクセスしても安易なダウンロードはしない。

●ウイルス対策ソフトなどの警告画面が表示された場合は次に進まない。

詐欺サイトにご注意を！

フィッシングサイトなどの詐欺サイトが巧妙化している。正式なものと「URLが1文字だけ」違うといった騙されやすいサイトもあるので要注意だ。検索などで調べた場合でも、該当のサイト名やURLスペルが合っているかをよく確かめよう。

同時に鍵マークがURL表示窓に出ているかも確認しよう。この鍵マークをクリックするとサイト運営組織の実在を証明する電子証明書※の内容を確認することができる。しかし、鍵マークがあっても詐欺サイトの可能性がある。

また、詐欺サイトへの誘導にはメールやSMSも使われる。メールやSMSに記載されたURLや電話番号を安易にクリックしてはいけない。メールソフトやWebブラウザーにフィッシングサイト判別機能があればこれらを活用するのも1つの手だ。

※ 信頼できる第三者（認証局）が本人であることを証明するインターネットにおける証明書で、「運転免許証」や「印鑑証明書」のようなもの

MISSION 2-13　今やろう！ インターネット利用への備え　閲覧制限

■ 業務に不要なWebサイトへのアクセスを制限する

＜URLフィルタリング＞

特定のURLアドレスを持つWebサイトとのアクセスを制限します。アクセス制限には次のような方法があります。

●商用サービスとURLデータベースを使った規制

フィッシングサイトやウイルスを配布するような不正なWebサイトのアドレスをURLデータベースから取得し、Web（URL）のフィルタリングを行うことで、アクセスを制限します。

＜キーワードによる規制＞

●キーワードによる規制

ブラウザーに対し入力するキーワードを管理者が事前に規制します。

何が防げるの？

インターネットの業務外利用を制限することによって、安全でないWebサイトの利用や不正プログラムのダウンロードを防ぐことができます。

閲覧制限への対策は比較的手薄!?

2020年の新型コロナ禍に際して、感染拡大防止の観点から多くの企業でテレワークが導入された。しかし、総務省が実施した「テレワークセキュリティに関する実態調査」（2020年10月）からは、テレワーク導入に際しての経営課題がセキュリティの確保にある点が分かる。また、同調査の「各種サイバー攻撃に関する対策の実施状況」からは、Webサイトのフィルタリングなどの閲覧制限対策が比較的手薄になっている姿も浮かび上がる。

引用：総務省「テレワークセキュリティに関する実態調査」（2020年10月）より

MISSION 2-14　今やろう！　重要情報の洗い出し

■ 機密性、完全性、可用性の観点から重要度を評価する

＜情報セキュリティの三大要件＞

適切な情報管理を行うために3つの観点から重要度を評価し、重要度の高いものを優先して対策を行いましょう。

説明

対策の

機密性

アクセスを許可された者だけが情報に

アクセスできる

情報漏えい防止、アクセス権の設定

完全性

情報と処理方法が正確でかつ完全である

改ざん防止・検出

可用性

許可された利用者が必要なときに情報と関連資産にアクセスできる

電源対策、システムの二重化

●個人情報とは

①氏名　②住所　③電話番号

④メールアドレス　⑤生年月日

⑥性別　など

●これも個人情報（紙媒体／データベース）

①各種会員の申込書

②顧客の氏名が表記される売上伝票

③顧客氏名や会員コードが入っているもの

④アンケートなど氏名を記入させるもの

⑤特定の個人を識別できるメールアドレス情報

⑥防犯・監視カメラに記録された本人と判別できる映像　など

企業の各部門で保有している情報資産の例

「サイバーセキュリティ経営ガイドライン解説書」（情報処理推進機構）より作成

MISSION 2-15　今やろう！　重要情報の保管

■ オフィスへの入退室を管理する

■ クリアデスク・クリアスクリーンを徹底する

■ 重要情報を一元管理する

■ 保管室への入退室を管理する

■ 重要書類の持ち出しを管理する

■ 重要情報廃棄の基本ルールを徹底する

＜オフィス全体の入退室管理＞

最終退室者は以下を行います。

●全員のパソコンがシャットダウンされ、プリンターなど周辺機器の電源が切られているか確認する。

●全ての出入り口の施錠を確認する。

●退室時刻と退室者氏名を管理簿に記録する。

＜入退室管理（訪問者）＞

オフィスに見知らぬ人がいることは、セキュリティ上問題があります。整理整頓が行き届いていたとしても、見ず知らずの人に勝手に情報を盗み見されたり、持ち出されたりすることもあるかもしれません。

●訪問記録に記入してもらう。

●名刺をもらう。

●知らない人には声をかける。

●訪問した人をオフィスに1人で残さない。

＜クリアデスク・クリアスクリーンの徹底＞

●重要書類、スマートフォン、重要な情報を保存したUSBメモリーやCDなどの電子媒体を業務以外のときは机上に放置せず、クリアデスクを徹底する。

●離席時にはパソコンの画面をロックし、クリアスクリーンを徹底する。

・スクリーンセーバーの起動時間を10分以内に設定し、パスワードを設定

・スリープモードの起動時間を10分以内に設定し、解除時のパスワード保護を設定

・離席時には［Windows］＋［Ｌ］キーを押してパソコンをロック（Windowsの場合）

＜重要情報の一元管理＞

机の上に放置した情報は、誰かに持ち去られたり、盗み見られたりする危険にさらされています。関係者以外が見たり、触れたりすることができないように、重要情報は放置せず、一元管理する必要があります。保管場所を定め、作業に必要な場合のみ持ち出し、終了後に戻すようにしましょう。

＜保管室への入退室管理＞

●保管室への入退室者を制限する。

●施錠忘れを防ぐために入退室者と時間の記録を残す。

●机の上をチェックする。

●パソコン（モニターも）や機器の電源をチェックする。

●消灯をチェックする。

●施錠をチェックする。

＜重要書類の持ち出し＞

ルールについてはP66参照。

＜スタンドアロンのパソコンによる管理＞

ネットワークを経由した感染と情報流出を防ぐために、最重要情報についてはネットワークに接続をしていないスタンドアロンのパソコンで管理し常時ネットワークには接続しない。

＜重要情報廃棄の基本ルール＞

媒体

廃棄方法

サーバー・パソコン

※リース物件返却・売却含む

・システム担当がハードディスクを取り出し破壊

・システム担当がデータ抹消ツールにより完全消去

・専門のデータ消去サービスを利用する。ただし、依頼先の会社の信頼度も考慮して業者を選定する

外付け

ハードディスク

・システム担当が破壊

・システム担当がデータ抹消ツールにより完全消去

CD・DVDなどの

ディスク

・利用者がシュレッダーで細断

・利用者がディスクの両面にカッターなどでキズを入れる

USBメモリー

・システム担当がデータ抹消ツールにより完全消去

重要書類

・利用者がシュレッダーで細断

・大量の場合はシステム担当が 溶解処分を専門業者に依頼し、廃棄証明書を取得

これらの方法を企業・組織の情報資産の重要度に応じて組み合わせ、最適な方法をとることが重要です。次ページでは、情報資産の廃棄に関連して発生した近年の重大事案をご紹介します。

廃棄資産の転売で行政情報流出の危機に

2019年11月、個人情報を含む神奈川県の大量の行政データが蓄積されたハードディスク（HDD）が転売される事案が明らかになった。

これは、リース契約満了によって県が返却したHDDのデータ消去（物理破壊）を委託された企業の社員がデータ消去の不十分な状態で一部を持ち出し、ネットオークションで販売したために発生した。

この事案を受け、神奈川県庁は同年12月16日に再発防止検討チームを発足。外部に出たHDDは21日までに全て回収し、2020年1月27日に情報流出防止策を決定した。同月、総務省も「県情報を保存するために使用した情報機器からの情報流出防止策」を発出。原因特定とデータ抹消措置の作業完了まで県職員が立ち会い確認するなどの今後の再発に向けた具体的な防止策を明らかにした。

MISSION 3　経営者は事前に何を備えればよいのか？

MISSION 3-1　サイバーセキュリティ対策は、事業継続を脅かすリスクの１つ　サイバーセキュリティ対策が経営に与える重大な影響

2021.11.25

POINT 1　ビジネスの継続のためにはITの活用は不可欠

中小企業にとって、業務の効率化、生産の効率化、人材確保は重要な課題であり、業務、生産工程などの運用コストの削減・効率化のために、ITは大きな柱として活用されています。より一層の業務効率の改善や生産力向上を目指して、 モバイル端末の活用や外部クラウドサービスの活用も進んでいます。

POINT 2　ITの活用にはサイバー攻撃などへの備えが必要

ITを活用してどんなに利便性の高いサービスを提供しても、どんなに業務を効率化しても、緊急事態（自然災害、大火災、感染症、テロ、サイバー攻撃など）で事業資産や社会的信用が失われて早期復旧ができない場合は、事業の継続が困難になり、組織の存立さえも脅かされる可能性があります。

サイバー攻撃は事前のセキュリティ対策によって、防御が可能です。

POINT 3　サイバーセキュリティ対策は経営者が自ら実行

サイバーセキュリティリスクは経営に重大な影響を及ぼす可能性がある一方で、投資効果が見えにくいものです。サイバー攻撃のリスクをどの程度受容するのか、セキュリティ投資をどこまでやるのか、経営者がリーダーシップを発揮することが必要不可欠です。

MISSION 3-2　サイバーセキュリティ対策は、事業継続を脅かすリスクの１つ　サイバー攻撃を受けると企業が被る不利益

2021.11.25

金銭の損失

顧客の個人情報や取引先などから預かった機密情報を万一漏えいした場合は、多大な損害賠償が発生します。また、インターネットバンキングの不正送金などで直接的な損失を被る企業も増えています。

顧客の喪失

サイバー攻撃を受けた企業は管理責任を問われ、社会的評価は低下し、顧客離れなど大きなダメージを受けることになります。風評被害がいつまでも続き、イメージが回復せず事業の存続が困難になる場合もあります。

業務の喪失

サイバー攻撃を受けると、被害の拡大を防止するため、システムを停止する措置が必要です。その間はメールすら使えなくなり、営業機会を喪失するとともに、社内の業務も停滞してしまいます。

従業員への影響

内部不正が容易に行えるような職場環境は、従業員のモラルを低下させます。また、従業員の個人情報が適切に保護されなければ、従業員から訴訟を起こされることも考えられます。

MISSION 3-3　サイバーセキュリティ対策は、事業継続を脅かすリスクの１つ　経営者に問われる責任

2021.11.25

POINT 1　経営者などに問われる法的責任

ITを利活用する際には、顧客の個人情報を収集・活用する、他社への差別化として技術情報を活用するなど、さまざまな重要情報を取り扱います。そのため、企業とその経営者には高い責任が求められます。

企業が個人情報などを適切に管理していなかった場合、経営者や役員、担当者は刑事罰やその他の責任を問われます。場合によっては、経営者が個人として損害賠償責任を負うこともあります。

POINT 2　関係者や社会に対する責任

情報漏えいを引き起こした企業の経営者には、法的責任だけでなく、その情報の提供者や顧客に対して損害賠償や謝罪などが求められます。

また、会社を代表して、社会に対して情報漏えいの原因や再発防止策を明らかにする義務があります。さらに、営業機会の喪失・売上高の減少・企業のイメージダウン・取引先との信頼関係の喪失などを引き起こすことにより、事業に大きなダメージを与え、経営者としての経営責任を果たすことができなくなります。

POINT 3　海外の法律への対応も必要

サイバーセキュリティへの注目は世界中で高まっており、関連法案が世界各国・地域で施行されています。近年はWebなどで個人情報を比較的容易に収集でき、海外との直接取引も容易です。事業展開の中でこうした活動を行っている場合には、諸外国の法律に抵触しないように注意が必要です。

（例）・欧州連合（EU）：EU 一般データ保護規則（General Data Protection Regulation：GDPR）

・中華人民共和国：中国サイバーセキュリティ法（CS法）

・アメリカ合衆国：「NIST SP800-171」（米国政府の調達品に関するセキュリティガイドライン）

POINT 4　サイバーセキュリティ対策の情報開示

５G、IoTやAIをはじめとしたICT利活用が社会・経済のあらゆる場面に浸透しつつある中、有効なサイバーセキュリティ対策を講じることは企業の経営課題となっています。加えて、企業の社会的責任を果たし、ステークホルダーからの信頼を得るためには、それらの情報を適切に開示することも重要な視点となっています。

MISSION 3-4　サイバーセキュリティ対策は、事業継続を脅かすリスクの１つ　投資効果（費用対効果）を認識する

2022.1.7

POINT 1　サイバーセキュリティ対策にかかる費用の項目

サイバー攻撃に対するセキュリティ対策には、次のような項目があります。これらの項目を実現するためには、当然費用が発生します。

POINT 2　セキュリティ対策の投資効果を考える

あなたの会社のインターネット接続と業務システムが1週間停止した場合のビジネスへの影響度を考えたことがありますか？　当然その間はメールもやり取りできないため、営業機会はなくなります。また、この時代にメールも送受信できないということで取引先との信頼関係もなくなります。それらの損失を数字に置き換えたものがセキュリティ対策の投資効果です。

コラム　セキュリティ対策は経営上の「投資」と位置付ける！

IDC Japanが2020年1月に実施した国内企業878社の情報セキュリティ対策の実態調査結果によると、2020年度の情報セキュリティ投資見込みについて38％の企業が2019年度を上回ると回答しています。総務省「通信利用動向調査（令和元年）」においても55.2%の企業が「何らかの被害を受けた」と回答。対策には相応のコストが必要なものの、近年は中小企業を含むサプライチェーンを狙った攻撃も増えています。こうした観点も鑑み、やむを得ない「経費」でなく、ITを利活用した積極的な経営への「投資」と位置付けることが重要です。

情報通信ネットワークの利用の際に発生した過去1年間のセキュリティ状況の被害

引用：総務省「通信利用動向調査（令和元年）」より

MISSION 3-5　自社のIT活用・セキュリティ対策状況を自己診断する　ITの活用診断

2022.1.7

POINT 1　自社のIT活用状況を診断する

IT化において中小企業が注意したいのは、「IT化の範囲を一気に広げ過ぎない」という点です。中小企業が短期間であらゆる業務にITを導入しようとすると、コストの増大だけでなく、スケジュールが煩雑になり結果的に中途半端なクオリティーのシステムになるリスクがあります。下記の診断ツールが利用できます。

IT活用診断ツール

中小企業基盤整備機構：IT経営簡易診断

情報処理推進機構： DX推進指標

POINT 2　IT活用診断のカギは費用対効果

IT導入の目的は、既存ビジネスの効率化や新ビジネス展開などであり、IT化のための投資が、それによって得られる利益を上回っている場合は、投資を削減すべきです（参考「ITガバナンス」P99参照）。

IT化による想定利益＞IT化投資額（IT導入、運用、セキュリティ対策費）

ITおよびサイバーセキュリティに関する組織の視点6分類

（※参照：企業経営のためのサイバーセキュリティの考え方の策定について【NISC】の3つの視点を基に6つの視点に拡張したもの）

MISSION 3-6　自社のIT活用・セキュリティ対策状況を自己診断する　サイバーセキュリティ投資診断

2022.1.7

POINT 1　サイバーセキュリティ投資（コスト）とは

サイバーセキュリティの投資（コスト）としては、P94に示した対策費用以外にも、さまざまなコストがあります。

POINT 2　サイバーセキュリティ対策はどこまでやればよいのか

これで万全というサイバーセキュリティはありません。特に、技術的対策にどれだけ投資してもリスクは残ります。管理的対策や人的対策を優先する方が効果的です。想定被害額を上回るセキュリティ対策費を費やすことは現実的ではありません。セキュリティ対策費が、セキュリティ侵害による想定被害額を上回っている場合は、対策費を削減すべきです。

セキュリティ侵害による想定被害額（経済的損失、社会的信用）＞ セキュリティ対策費

問題は残ったリスク（ 残留リスク）によって発生した被害の想定被害額が、支出可能な対策費を上回っている場合は、事業継続が困難になりますので、支出可能な対策費に収まるように残留リスクを下げる対策を講じるか、支出可能な対策費を捻出する必要があります。

セキュリティ侵害発生時に支出可能な対策費　＞ 残留リスクによる想定被害額

残留リスクをどこまで許容できるかは、まさに経営者の判断です。

コラム　「ITガバナンス」と6つの原則

IT活用は今や企業戦略の中で不可欠となっています。この観点から経営層には組織価値を高め、ITシステム戦略の策定や運用に必要となる組織能力である「 ITガバナンス」が求められています。その成功には、経営層が次の6原則を実践することが肝要とされています。以下、要約して紹介します。

1. 責任：役割に責任を負う人は、その遂行権限を持つ

2. 戦略：情報システム戦略は現在と将来を考慮して、そのニーズを満たす必要がある

3. 取得：情報システムの導入は短期・長期の両面で効果・リスク・資源のバランスを考慮した意思決定に基づく必要がある

4. パフォーマンス：情報システムは現在および将来のニーズを満たす必要がある

5. 適合：情報システムは関連する全ての法律および規制に適合する必要がある

6. 人間行動：情報システムのパフォーマンス維持に関わる人間行動を尊重する必要がある

参考：経済産業省「システム管理基準」

https://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kanri_h30.pdf

MISSION 3-7　自社のIT活用・セキュリティ対策状況を自己診断する　情報セキュリティ対策診断

POINT 1　情報セキュリティ対策を診断する

企業（組織）はセキュリティ上の脅威に取り囲まれています。

・個人、顧客、企業（組織）情報を脅威から守る

・会社内の設備を脅威から守る

情報セキュリティ対策は常に新たな脅威に対応する必要があり、継続的に自社の対策状況を診断する必要があります。

POINT 2　やってみよう！　情報セキュリティ対策診断

・わが社のセキュリティ対策は大丈夫か？

・セキュリティ対策予算を増額したいが、どこにどう使ったらいいのか分からない

・まだ取り組んでいないセキュリティ対策を考えたい

・自社の情報セキュリティ対策状況はどこが弱点で、どこが強いのか知りたい

こうした要望に応えて、情報処理推進機構（IPA）では、「情報セキュリティ対策ベンチマーク」を提供しています。

情報セキュリティ対策ベンチマークは、設問に答えるだけで、自社のセキュリティレベルを他社との比較で診断することのできるシステムです。

散布図、レーダーチャート、スコア（点数）などの診断結果が自動的に表示されます。

「情報セキュリティ対策ベンチマーク」（IPA）より転載（一部加工）

MISSION 3-8　ビジネスを継続するために（守りのIT投資とサイバーセキュリティ対策）　業務の効率化、サービスの維持のために

2021.11.25

POINT 1　守りのIT投資と攻めのIT投資

守りのIT投資という言葉を聞いたことがありますか。

従来、IT活用は業務効率化やコスト削減を目的として、定型業務の自動化に集中していました。近年、売り上げ増加を目指したIT投資を「攻めのIT投資」と呼ぶようになり、従来のIT投資を「守りのIT投資」と呼んでいます。

いわゆる、「新たな価値の創出」と「既存事業の業務生産性向上や働き方の変革」という二つのアプローチです。

「既存事業の業務生産性向上や働き方の変革」で得られた原資を「新たな価値の創出」に向けた活動に充当していくことで、企業の競争力と経営体力を高めながら、環境変化にも 対応することが可能となります。

2021.10.14追記

POINT 2　業務の効率化にITを活用

経営者のみなさんが重視している経営課題の1つは、業務効率化やコスト削減です。

改善活動による業務効率化という手法は以前から展開されています。IT活用は、受発注業務や経理業務など、定型・繰り返しが多い業務プロセスを自動化、簡便化することに適しています。

POINT 3　生産性の向上やサービス向上のためにITを活用

ITを活用すれば、コスト削減だけでなく、業務のスピードアップ、品質向上、ミス低減など、生産性の向上にもつながります。また、生産状況の見える化などを通して、工程管理や生産管理など生産性を大幅に向上することも可能です。また、顧客サービスのスピードアップなどを通して、サービス力の向上にもつながります。

MISSION 3-9　ビジネスを継続するために（守りのIT投資とサイバーセキュリティ対策）　経営者が認識すべきサイバーセキュリティ経営３原則

2021.11.25

原則１

サイバーセキュリティ対策は経営者のリーダーシップで進める

サイバー攻撃のリスクをどの程度容認するのか、セキュリティ投資をどこまでやるのか、経営者が決めなければサイバーセキュリティ対策はスタートしません。

従業員は安心して業務に集中できる環境を求めますが、利便性が低下し、面倒な作業を伴う対策には積極的に取り組めないこともあります。経営者が自らリーダーシップを発揮しなければ、サイバーセキュリティ対策は進みません。

原則２

委託先のサイバーセキュリティ対策を把握する

子会社で情報漏えいが発生した場合はもちろんのこと、外部委託先に提供した情報がサイバー攻撃により流出してしまうことも経営にとっては大きなリスク要因です。

自社のみならず、系列企業やサプライチェーンのビジネスパートナー、委託先などのサイバーセキュリティ対策に関しても、必要に応じてサイバーセキュリティ対策の報告を求め、不十分な場合は対処を要請します。

原則３

関係者とのサイバーセキュリティに関するコミュニケーションはどんなときにも怠らない

顧客、取引先、委託先、代理店、利用者、株主などからの信頼を高めるには、普段からサイバーセキュリティ対策についての情報開示に努め、関係者との適切なコミュニケーションを図ることが必要です。

MISSION 3-10　ビジネスを継続するために（守りのIT投資とサイバーセキュリティ対策）　経営者がやらなければならないサイバーセキュリティ経営の重要10項目

2021.11.25

経済産業省と情報処理推進機構（IPA）がまとめた「サイバーセキュリティ経営ガイドライン Ver 2.0」を基に、経営者が情報セキュリティ全般を統括する「最高情報セキュリティ責任者（ CISO）」に指示すべき重要10項目をまとめました。

重要10項目とは

経営者がリーダーシップをとったセキュリティ対策の推進

サイバーセキュリティリスクの管理体制構築

1

サイバーセキュリティリスクの認識、

組織全体での対応方針の策定

2

サイバーセキュリティリスク管理体制の構築

3

サイバーセキュリティ対策のための資源

（予算、人材等）確保

サイバーセキュリティリスクの特定と対策の実装

4

サイバーセキュリティリスクの把握とリスク対応に関する計画の策定

5

サイバーセキュリティリスクに対応するための

仕組みの構築

6

サイバーセキュリティ対策における

PDCAサイクルの実施

インシデント発生に備えた体制構築

7

インシデント発生時の緊急対応体制の整備

8

インシデントによる被害に備えた復旧体制の整備

サプライチェーンセキュリティ対策の推進

9

ビジネスパートナーや委託先等を含めた

サプライチェーン全体の対策及び状況把握

ステークホルダーを含めた関係者とのコミュニケーションの推進

10

情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供

指示１

サイバーセキュリティリスクの認識、組織全体での対応方針の策定

POINT 1　指示すべきことはこれだ

・サイバーセキュリティリスクを経営リスクの1つとして認識し、組織全体での対応方針（セキュリティポリシー）を策定させる

POINT 2　やるべきことはこれだ

・組織全体の対応方針を組織の内外に宣言できるよう、セキュリティポリシーを策定

・セキュリティポリシーを従業員へ周知徹底

・セキュリティポリシーを一般公開することでステークホルダーや社会に対する企業としての姿勢を示す

指示2

サイバーセキュリティリスク管理体制の構築

POINT 1　指示すべきことはこれだ

・サイバーセキュリティ対策を行うため、サイバーセキュリティリスクの管理体制（各関係者の責任の明確化も含む）を構築させる

POINT 2　やるべきことはこれだ

・CISOは、責任範囲を明確にしたサイバーセキュリティリスク管理体制を構築

・取締役、監査役はサイバーセキュリティリスク管理体制を監査

・ セキュリティ・バイ・デザインの観点を踏まえて体制を構築

・経営者のリーダーシップの下で体制を構築

指示3

サイバーセキュリティ対策のための資源（予算、人材等）確保

POINT 1　指示すべきことはこれだ

・サイバーセキュリティリスクへの対策を実施するための予算確保とサイバーセキュリティ人材の育成を実施させる

POINT 2　やるべきことはこれだ

・サイバーセキュリティ対策に必要な費用の確保

・セキュリティ対策に必要な人材の確保

・セキュリティ人材育成、キャリアパスを設計検討

・外部の組織が提供するセキュリティ研修等の活用を検討

・各部門においてもセキュリティを意識した業務遂行ができるようにする

指示4

サイバーセキュリティリスクの把握とリスク対応に関する計画の策定

POINT 1　指示すべきことはこれだ

・経営戦略の観点から守るべき情報を特定させた上で、サイバー攻撃の脅威や影響度からサイバーセキュリティリスクを把握し、リスクに対応するための計画を策定させる

・その際、サイバー保険の活用や守るべき情報について専門ベンダーへの委託を含めたリスク移転策も検討した上で、残留リスクを識別させる

POINT 2　やるべきことはこれだ

・経営戦略の観点から守るべき情報を特定し把握

・守るべき情報に対して、発生しうるサイバーセキュリティリスクを把握

・把握したリスクに対して、実施するサイバーセキュリティ対策を検討（リスクの低減策、回避策、移転策）

・実施できない場合は、残留リスクとしての識別も

・法令上の取り扱いも考慮したリスクの特定と緊急時の情報の保護が行えるような対策も検討

・製品・サービス等においても、セキュリティ・バイ・デザインの観点を踏まえて、対策を考慮

指示5

サイバーセキュリティリスクに対応するための仕組みの構築

POINT 1　指示すべきことはこれだ

・サイバーセキュリティリスクに対応するための保護対策（防御・検知・分析に関する対策）を実施する体制を構築させる

POINT 2　やるべきことはこれだ

・重要業務を行う端末、ネットワーク、システムまたはサービス（クラウドサービスを含む）には、多層防御を実施

・アクセスログや通信ログ等からサイバー攻撃を監視・検知する仕組みを構築

・従業員に対する教育を行い、適切な対応が行えるよう日頃から備える

・製品・サービス等においても、セキュリティバイデザインの観点を踏まえて、企画・設計段階からサイバーセキュリティ対策を考慮

指示6

サイバーセキュリティ対策におけるPDCAサイクルの実施

POINT 1　指示すべきことはこれだ

・計画を確実に実施し、改善していくため、サイバーセキュリティ対策をPDCAサイクルとして実施させる

・その中で、定期的に経営者に対策状況を報告させた上で、問題が生じている場合は改善させる

POINT 2　やるべきことはこれだ

・サイバーセキュリティリスクに継続して対応可能な体制（プロセス）を整備する（PDCAの実施体制の整備）

・サイバーセキュリティリスク管理に関するKPIを定め、組織内の経営リスクに関する委員会においてその状況を経営者に報告する

・新たなサイバーセキュリティリスクの発見等により、追加的に対応が必要な場合には、速やかに対処方針を修正する

・サイバーセキュリティ対策の状況について、情報セキュリティ報告書、 CSR報告書等への記載を通じて開示を検討する

指示7

インシデント発生時の緊急対応体制の整備

POINT 1　指示すべきことはこれだ

・影響範囲や損害の特定、被害拡大防止を図るための初動対応、再発防止策の検討を速やかに実施するための組織内の対応体制（ CSIRT等）を整備させる

・被害発覚後の通知先や開示が必要な情報を把握させるとともに、情報開示の際に経営者が組織の内外へ説明できる体制を整備させる

POINT 2　やるべきことはこれだ

・緊急時において、以下を実施できるような対応体制を構築する

・サイバー攻撃による被害を受けた場合、速やかな各種ログの保全や感染端末の確保等の証拠保全が行える体制を構築する

・インシデント収束後の再発防止策の策定、所管省庁等への報告手順も含めて演習を行う

・緊急連絡網として社外を含む情報開示の通知先一覧を整備し、対応に従事するメンバーに共有しておく

・緊急時に組織内各部署が速やかに協力できるよう予め取り決めをしておく

・関係法令を確認し、法的義務が履行されるよう手続きを確認しておく

・インシデントに関する被害状況、他社への影響等について経営者に報告する

指示8

インシデントによる被害に備えた復旧体制の整備

POINT 1　指示すべきことはこれだ

・インシデントにより業務停止等に至った場合、企業経営への影響を考慮していつまでに復旧すべきかを特定し、復旧に向けた手順書策定や、復旧対応体制の整備をさせる

・BCPとの連携等、組織全体として整合のとれた復旧目標計画を定めさせる

・業務停止等からの復旧対応について、適宜実践的な演習を実施させる

POINT 2　やるべきことはこれだ

・業務停止等に至った場合に、以下を実施できるような復旧体制を構築する

・サイバー攻撃により業務停止に至った場合、関係機関との連携や復旧作業を実施できるよう指示する。また、対応担当者には復旧手順に従った演習を実施させる

・演習内容や組織の関係者の役割を踏まえて検討することが望ましい

・重要な業務をいつまでに復旧すべきかの目標について、組織全体として整合をとる（例えばBCPで定めている目標との整合等）

指示9

ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策及び状況把握

POINT 1　指示すべきことはこれだ

・サイバーセキュリティ対策のPDCAについて、系列企業、サプライチェーンのビジネスパートナーやシステム管理の運用委託先等を含めた運用をさせる

・システム管理等の委託について、自組織で対応する部分と外部に委託する部分で適切な切り分けをさせる

POINT 2　やるべきことはこれだ

・系列企業やサプライチェーンのビジネスパートナーやシステム管理の委託先等のサイバーセキュリティ対策の内容を明確にした上で契約を交わす

・個人情報や技術情報等の重要な情報を委託先に預ける場合は、情報の安全性の確保が可能であるかどうかを定期的に確認する

・系列企業、サプライチェーンのビジネスパートナーやシステム管理の委託先等が SECURITY_ACTIONを実施していることを確認する

・緊急時に備え、委託先がサイバー保険に加入していることが望ましい

出典：日経コンピュータ 2018年9月27日号より、一部を改変して作成

指示10

情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供

POINT 1　指示すべきことはこれだ

・社会全体において最新のサイバー攻撃に対応した対策が可能となるよう、情報共有活動へ参加し、積極的な情報提供及び情報入手を行わせる

・入手した情報を有効活用するための環境整備をさせる

POINT 2　やるべきことはこれだ

・情報共有を通じたサイバー攻撃の防御につなげていくため、情報を入手するのみならず、積極的に情報を提供する

・IPAやJPCERT/CC等による脆弱性情報などの注意喚起情報を、自社のサイバーセキュリティ対策に生かす

・CSIRT間における情報共有や、日本シーサート協議会等のコミュニティ活動への参加による情報収集

・IPAに対し、告示（コンピュータウイルス対策基準、コンピュータ不正アクセス対策基準）に基づいてウイルス情報や不正アクセス情報の届出をする

・JPCERT/CCにインシデントに関する情報提供を行い、必要に応じて調整を依頼する

◆開示・報告先における注意点

開示・報告先

開示・報告時の留意点

所管官庁

・事前に先方の窓口を確認し、誰が報告するか決めておく

サイバーセキュリティ関係機関

（IPA、JPCERT/CC）

・サイバー攻撃の内容、実施していた対策、被害の概要などを報告する

・同種の攻撃手法による二次被害を避けるため、至急報告する

報道機関／

マスメディア

・窓口を一本化し、対外的な情報に不整合が起こらないようにする

・世評の影響も踏まえて、法務部門、広報部門などと連携し、適切な公表時期を慎重に判断する

・SNSなどのソーシャルメディアにより、社会的にどのように受け止められているか動向を確認する

・被害の状況に応じて、経営者が記者会見を行うことを想定し、公表する内容を検討する

顧客

・被害者に至急その事実を通知しおわびするとともに、個人情報（顧客情報）漏えいの場合は、詐欺や迷惑行為などの被害に遭わないように注意喚起する

・被害者に連絡する方法（  メーリングリストで一斉送信など）を確認・整備しておく

ビジネスパートナー／同業者

・対処に必要な情報を速やかに関係者と共有する（外部委託先や、提携しているクレジットカード会社など）

・同業種を狙った一斉攻撃の可能性があるため、攻撃手法などを同業者間で共有する

MISSION 3-11　ビジネスを発展させるために（攻めのIT投資とサイバーセキュリティ対策）　次世代技術を活用したビジネス展開

2022.1.7

POINT 1　攻めのIT投資とは？

ITを活用して製品・サービス開発に取り組み、ビジネスモデルを変革することや新たな価値を創出することが「攻めのIT経営」です。柔軟かつ大企業に先駆けて IT関連の次世代技術やデジタル情報を活用していくことが中小企業の発展につながります。 デジタル情報や IT技術の進展を受け入れ、それを活用して顧客サービスの強化を図る企業に今大きなビジネスチャンスが訪れています。

「攻めのIT経営中小企業百選」（経済産業省）より

POINT 2　各種の支援策も充実

感染症対策や働き方改革の必要性が高まる中、テレワーク等の実現のためにデジタルツールに関心があっても、導入・定着に至らない中小企業に向けた支援も充実しています。その1つが「中小企業デジタル化応援隊事業」（2020年9月開始）。全国の中小企業とIT専門家をマッチングし、デジタル化・IT化を促進しています。

コラム　DX推進はビジネス飛躍のチャンス

これから目指す社会は、「超スマート社会」いわゆる「Society5.0」

政府は、 サイバー空間（仮想空間）と フィジカル空間（現実空間）を連携し、すべての物、情報、人を1つにつなぐ「サイバー・フィジカル・システム」（ CPS）によって量と質の全体最適を図る社会像として「 Society5.0」を提唱し、その考えが「デジタル社会の実現に向けた改革の基本方針」（2020年12月閣議決定）の背景となっています。IoTやビッグデータ、ロボット、AI、 5Gなどの技術革新（いわゆる 第4次産業革命）により、Society5.0は現実になりつつあります。

DXは、新たな技術を活用したビジネスの変革

新しいITおよびデジタル情報を活用して、ビジネスを変革させるのが「デジタルトランスフォーメーション（DX）」です。DXにより新時代に対応した新たなサービスを創造し、ビジネスを飛躍させることができます。

DX推進のためには、セキュリティも強化

一方、どんなに良いサービスを展開しても、セキュリティ侵害があっては事業が継続できません。ITシステム運用継続計画（ IT-BCP）を明確にして、サービス設計の段階から十分なセキュリティ対策を考慮することが重要です。

中小企業のビジネスの拡大・発展に向けて

そのためには、ビジネス、デジタルのスキルとともに、セキュリティ対策のスキルを併せ持った人材が必要です。DXに対応した新たなビジネスの拡大・発展のためには、経営者は、業務や組織、企業風土の変革を含めて、明確なビジョンを持ち、「攻めのIT投資」を牽引する強いリーダーシップが求められます。

引用：内閣府「Society5.0」より

MISSION 3-12　ビジネスを発展させるために（攻めのIT投資とサイバーセキュリティ対策）　IoT、ビッグデータ、AI、ロボットの活用

2022.1.7

POINT 1　業務・サービスの効率性を追求

あらゆる機器がインターネットに接続することで、人が行ってきたことを センサー化し、センサーからの膨大なデータを瞬時に分析できます。その結果を踏まえて業務やサービスを効率的、効果的に行うことが始まっています。IoT（Internet of Things／モノのインターネット）※、 ビッグデータ※、 AI（Artificial Intelligence／人工知能）※、ロボットの活用は、人手不足に対応した省力化や、自動化のための投資という面でも期待されています。

※ IoT、ビッグデータはP122を、AIはP124を参照

コラム　IoT、ビッグデータ、AI、ロボットはつながっている

IoT、ビッグデータ、人工知能（AI）、ロボットなどの技術革新によって社会のあらゆる活動、情報がデータ化され、ネットワークによってつながることが可能な時代になりました。これらを組み合わせた機器やサービスが普及するとともに利活用を実現する事例が増えています。リアルタイムに分析を行い、新たなサービスや製品を生み出すことが可能になると、データそのものが創造の源泉になります。

商品やサービスの提供は個々のニーズに合わせてカスタマイズされ、個々のニーズとの効率的なマッチングが可能になります。AIやロボットはますます人間の役割をサポートし、部分的に代替するようになります。こうした状況にどう対応するかは、事業者にとっても重要なテーマです。商品・サービスの開発や生産、さらには流通、アフターサービスなど、事業活動に上手に取り込むことができれば、将来の成長の大きな助けになります。

急速な技術革新により、大量データの取得、分析、実行の循環が可能に

出典：「IoT、AI、ロボットに関する経済産業省の施策について」（経済産業省）より

MISSION 3-13　ビジネスを発展させるために（攻めのIT投資とサイバーセキュリティ対策）　IoTが果たす役割と効果

2022.1.7

POINT 1　IoTは中小企業にとって大きなビジネスチャンス

「5G」に代表される次世代通信技術などによってIoTデバイスは急速に普及し、2024年には10兆円を超える国内市場となる予測もあります。さらに政府が目指す「Society5.0」実現に向けた動きも追い風となり、ビジネスシーンにおいては、IoTがもたらすビッグデータ（蓄積された膨大なデータ）が新たな価値を見いだす資源として注目されています。中小企業にとっても、IoTは、例えば医療・介護、物流、製造業、交通、農業などさまざまな分野での活用が期待でき、大きなビジネスチャンスになるのです。

コラム　中堅・中小企業のIoT活用事例

製造業（東京都墨田区）社員数：50名

各種装置・機械の設計開発等

3DCADをクラウド環境で離れたところから利用可能に

専門ソフトウェアの導入によって一般的なノートPCで、社内のハイスペックPCを高性能のままにリモート操作可能とした。客先や工場内など遠隔地のどこからでも社内の3DCADソフトをシームレスに利用して設計データの確認や修正が実現できる環境を構築した。

・当該企業は板金加工を中心とした金属加工による部品製造や機械装置設計開発業務に従事。設計開発では3DCAD等のソフトウェアを利用。一般的なオフィスソフトを動作させるPCスペックでは足りずハイスペックな環境が必要であり、場所も設計者の机に限定されている

・設計に関して客先での打ち合わせや工場内確認を行う場合、3DCADのデータ参照が必要であり、設計者の机以外の場所で利用することができない。3DCADデータをプリントアウトした紙媒体を多く用いていた。修正や改編の度に紙とCADを行き来しなければならず膨大な手間が発生していた。修正ミスが起こる可能性も高い状況にあった

客先や工場内など遠隔地のどこからでも社内の3DCADソフトを利用して設計データの確認や修正を迅速に反映。情報セキュリティ面から見ても、データそのものや紙媒体を持ち運ぶ必要がなくなり、情報漏えいのリスクを最小限に抑えた形で外部での設計対応が可能に。

「中堅・中小製造業のIoT活用事例一覧」（ロボット革命・産業IoTイニシアティブ協議会）より抜粋・要約して作成

MISSION 3-14　ビジネスを発展させるために（攻めのIT投資とサイバーセキュリティ対策）　人工知能（AI）が果たす役割と効果

2022.1.7

POINT 1　急速に進化するAIを活用しよう

インターネットの検索エンジン、スマートフォンの音声検索アプリや音声入力機能、掃除ロボットなどの家電製品、さらに人型ロボットにも人工知能（AI）が搭載されています。身近となったAIを企業経営に活用することによって、経営上のさまざまな課題を解決するのみならず、新しい価値をも生み出します。例えば、大手調査機関では、日本においては2035年にAIによる労働生産性がベースラインで34%向上するという分析も行われています。

コラム　新しい価値を持った業務の創出

AIを含むICTの進化は雇用と働き方にも影響を及ぼします。

・既存業務の人材不足の解消

・不足している労働力の補完・省力化

・既存の業務効率・生産性の向上（省力化）

・新しい価値を持った業務の創出

などが期待されています。

＜AIの進化で予想されること＞

・労働力不足や過酷労働などの緩和

・農業・漁業の自動化による人手不足問題の緩和

・犯罪の発生予知、事故の未然防止

・個々人の必要に応じたきめ細かいサービスの提供

・医療データの活用などによる課題解決

・職人の知識、ノウハウの体系化による維持と伝承

国内のAIとIoT活用状況

出典：財務省「最先端技術（IoT、AI等）の活用状況」（平成30年11月）を参考に作成

MISSION 3-15　ビジネスを発展させるために（攻めのIT投資とサイバーセキュリティ対策）　IoTを活用する際のサイバーセキュリティ上の留意点

POINT 1　IoTへの脅威

次世代通信技術である5Gの進歩などを背景に、これから飛躍的に活用場面の増加が予想されるIoT機器ですが、一方でセキュリティ対策が十分とはいえないのが現状です。また、5Gが社会浸透していく中では、これまで以上にさまざまなリスクが生まれ、脅威の在り方もさらに多様化・複雑化することが予想されます。そのため、IoT機器をターゲットとしたサイバー攻撃が増大することも懸念されています。利用する際には、それを前提とした対策が欠かせません。（対策はP128参照）

インターネットから自動車の脆弱性を突かれ、ハンドルやエンジンなどが遠隔操作される

ホテルの部屋に設置してある通信機器・設備が不正に遠隔操作される

ペースメーカーや植え込み型除細動器が不正操作される

MISSION 3-16　ビジネスを発展させるために（攻めのIT投資とサイバーセキュリティ対策）　IoTを活用するための基本ルール

2021.11.25

POINT 1　IoTのセキュリティは製造サービス提供側とサービス利用者側の双方の意識が大切

製造業を中心にIoTを利活用する動きが加速しています。

IoT機器はインターネットに接続しているネットワーク機器の一種。そのためパソコンと同様にサイバー攻撃のリスクがありますが、セキュリティ面がなおざりにされているものもあります。それらを利用するとサイバー攻撃によってシステムが使えなくなる、あるいは第三者への攻撃の踏み台となるかもしれません。

IoTのセキュリティは、製造サービス提供側とサービス利用者側の双方が注意を払わなくてはならないのです。

出典；JPCERT/CC「IoTセキュリティチェックリスト利用説明書」（2019年6月）より作成

POINT 2　IoT機器やシステム、サービスの提供にあたっての指針

■ 指針1　IoTの性質を考慮した基本方針を定める

IoT機器が原因で情報流出や社会インフラの停止などが起こった場合は、IoT機器やシステム、サービスの提供側の経営責任が問われることもあります。リスクを認識し、内部不正やミスに備えることが必要です。

■ 指針2　IoTのリスクを認識する

他の機器とつながることで、影響が広範囲になるリスクを想定することが大切です。不正操作や、廃棄機器からの情報漏えいリスクも考慮します。

■ 指針3　守るべきものを守る設計を考える

つながる相手や状況に応じてつなぎ方を判断できる設計を検討しましょう。安全安心を実現するために設計が妥当かどうかの評価も必要です。

■ 指針4　ネットワーク上での対策を考える

セキュアなゲートウェイを利用するなど、ネットワーク構成やセキュリティ機能の検討を行いましょう。初期設定もセキュリティに留意し、利用者にも注意喚起を行います。

■ 指針5　安全安心な状態を維持し、情報発信・共有を行う

出荷・リリース後も安全安心な状態を維持できるようソフトウェアをアップデートする手段を確保します。脆弱性について情報発信し、セキュリティに関する重要事項はユーザーへあらかじめ説明しましょう。

参考：IoT推進コンソーシアム「IoTセキュリティガイドラインver1.0」（平成28年7月）より

POINT 3　IoT機器の一般利用者のためのルール

ルール1

問い合わせ窓口やサポートのない機器やサービスの購入・利用を控える

機器やサービスの問い合わせ窓口やサポートがない場合は、不都合が生じたとしても、適切に対処することが困難になります。サービスの購入・利用は控えましょう。

ルール2

初期設定に気を付ける

機器を初めて使用する際には、IDやパスワードの設定を適切に行います。パスワードの設定では、「機器購入時のパスワードを必ず変更する」「他の人とパスワードを共有しない」「他のパスワードを使い回さない」「不要なサービスや機能は有効化しない」に気を付けましょう。また、取扱説明書などの手順に従って、自分でアップデートを実施しましょう。

ルール3

使用しなくなった機器については電源を切る

使用しなくなった機器や不具合が生じた機器をインターネットに接続したまま放置すると、不正利用されるおそれがあります。使用しなくなったWebカメラやルーターなどをそのまま放置せず、電源プラグを抜きましょう。

ルール4

使用しなくなった機器は必ずデータを消す

情報が他の人に漏れることのないよう、機器廃棄・下取りなどのときは、事前にデータを削除しましょう。

参考：「IoTセキュリティガイドライン」（総務省 経済産業省 平成28 年7月）より

POINT 4　Society5.0とIoT

Society5.0が目指す社会では、IoTによってPCやスマートフォンだけでなく家電製品や車、建物などあらゆるモノがサイバー（仮想）空間とフィジカル（現実）空間で融合されます。このため、IoT機器へのサイバー攻撃が成功すると、フィジカル空間にも影響を与える可能性が高まります。

例えば、IoT製品などに感染するウイルス「Mirai」によりWebサイトが大規模なサイバー攻撃を受けました。さらに重要インフラや生産設備への攻撃による大規模な被害も発生しています。

IoT製品をはじめ、インターネット接続される多様な機器に適切なセキュリティ対策が行われず、インターネット上に晒されアクセス可能な状態にある製品を監視し被害を防止するために、「NOTICE（National Operation Towards IoT Clean Environment）」が行われています（P47参照）。これはサイバー攻撃に悪用されるおそれのあるIoT機器の調査および当該機器の利用者への注意喚起を行うもので、総務省、国立研究開発法人情報通信研究機構（NICT）および一般社団法人ICT-ISAC が主体となって実施されています。

出典：内閣府「IoT社会に対応したサイバー・フィジカル・セキュリティ 『サイバー・フィジカル・セキュリティ対策基盤』の研究開発」より作成

MISSION 4　もしもマニュアル

MISSION 4-1　緊急時対応用マニュアルの作成

サイバー攻撃を受けたときのために、あらかじめ緊急時対応用マニュアルを作成しておきましょう。

作成に当たっては、情報処理推進機構（IPA）が中小企業・小規模事業者向けに提供している「中小企業の情報セキュリティ対策ガイドライン第3版」付録5の「10 情報セキュリティインシデント対応ならびに事業継続管理」を参考にすれば、自社に合った情報セキュリティポリシーを簡単に作成することができます。

緊急時対応用マニュアルは定期的に見直すことも必要です。

POINT 1 マニュアルに記載すべき事項

緊急時対応用マニュアルには次の項目を記載します。

記載すべき項目

記載すべき内容

本書の参照

ページ

対応体制

一次対応者、対応責任者、最高責任者を決めます。

P136

サイバー攻撃被害の影響範囲と対応者

サイバー攻撃が発生した場合に対応策を決めるため、サイバー攻撃被害の影響範囲のレベルと対応者を決めます。

P136

サイバー攻撃被害の連絡および報告体制

サイバー攻撃が発生した場合の連絡・報告手順を決めます。

P137

対応手順

サイバー攻撃被害の内容ごとに、影響範囲のレベルごとの対応手順を決めます。

P137

漏えい・流出発生時の対応

社外秘または極秘情報資産の盗難、流出、紛失の場合の対応を決めます。

P138

改ざん・消失・破壊・サービス停止発生時の対応

情報資産の意図しない改ざん、消失、破壊や情報資産が必要なときに利用できない場合の対応を決めます。

P140

ウイルス感染時の初期対応

悪意のあるソフトウェアに感染した場合の対応を決めます。

P143

届け出および相談

＜届け出・相談先＞

サイバー攻撃被害対応後に届け出または相談する機関を検討しておきます。

P145

大規模災害などによる事業中断と事業継続管理

大規模災害などの影響により事業が中断した場合に備えて、対応策を決めておきます。

P146

MISSION 4-2　基本事項の決定

ACTION 1 対応体制を決める

サイバー攻撃を受けたときに会社として対応する体制を決めます。

対応体制として一次対応者、対応責任者、最高責任者を決めます。

最高責任者

代表取締役

対応責任者

サイバー攻撃対応責任者

一次対応者

発見者または情報システム管理者

ACTION 2 サイバー攻撃被害の影響範囲と対応者を決める

サイバー攻撃被害の影響範囲のレベルと対応者を決めます。サイバー攻撃被害が発生した場合、被害レベルを判断して対応を決めます。

被害レベル

影響範囲

対応者

3

顧客、取引先、株主などに影響が及ぶとき

個人情報が漏えいしたとき

最高責任者

2

事業に影響が及ぶとき

対応責任者

1

従業員の業務遂行に影響が及ぶとき

情報システム管理者

0

影響はないが、将来においてサイバー攻撃が発生する可能性がある事象が発見されたとき

情報システム管理者

ACTION 3 サイバー攻撃被害の連絡および報告体制を決める

サイバー攻撃が発生した場合の連絡・報告手順を決めます。

レベル1以上の被害が発生した場合、発見者は以下の連絡網に従い、対応者に速やかに報告し、指示を仰ぐ。

被害

レベル

最終対応者

緊急連絡先

3

最高責任者

携帯電話：090-****-****

メールアドレス：president@*****.co.jp

2

対応責任者

携帯電話：090-****-****

メールアドレス：incident@*****.co.jp

1

情報システム管理者

携帯電話：090-****-****

メールアドレス：system@*****.co.jp

ACTION 4 対応手順を決める

サイバー攻撃を認知した際、確認事項や連絡系統を一元化し迅速な対応をするための対応手順を決めます。

区分

サイバー攻撃被害の状況

漏えい・流出

社外秘または極秘情報資産の盗難、流出、紛失

改ざん・消失・破壊

サービス停止

情報資産の意図しない改ざん、消失、破壊

情報資産が必要なときに利用できない

ウイルス感染

悪意のあるソフトウェアに感染

MISSION 4-3　対応手順1　漏えい・流出発生時の対応

ACTION 1 被害レベル3の場合

STEP1

発生の報告

漏えいや流出の事実を発見したり、外部から連絡を受けたりした者は即座に対応責任者および最高責任者に報告します。

発見者、

一次対応者

STEP2

原因の特定と二次被害の防止

対応責任者は原因を特定するとともに、二次被害が想定される場合には防止策を実行します。

対応責任者

STEP3

被害者対応の

準備

個人情報が流出した場合、漏えい・流出した個人情報の本人（被害者）への対応を準備します。

対応責任者

STEP4

問い合わせ対応の準備

被害者本人や関係先からの問い合わせ対応を準備します。

対応責任者

STEP5

報道発表の準備

対応責任者は影響範囲・被害の大きさによって総務部に報道発表の準備を申請します。

対応責任者

STEP6

被害届の提出

対応責任者はサイバー攻撃などの不正アクセスによる被害の場合は都道府県警察本部のサイバー犯罪相談窓口に届け出ます。

対応責任者

STEP7

監督官庁への届け出

対応責任者は個人情報の漏えいの場合には監督官庁に届け出ます。

対応責任者

対応結果および対策を公表

最高責任者は、社内および影響範囲の全ての組織・人に対応結果および対策を公表します。

最高責任者

ACTION 2 被害レベル2の場合

STEP1

発生の報告

発見者は発見次第、システム管理者に報告します。

発見者

STEP2

漏えい先の調査と報告

システム管理者は漏えい先を調査し、対応責任者に報告します。

システム管理者

STEP3

社内への通知

システム管理者は社内関係者に周知します。

システム管理者

MISSION 4-4　対応手順2　改ざん・消失・破壊・サービス停止発生時の対応

2021.11.25

ACTION 1 被害レベル3の場合

STEP1

発生の報告

発見者は即座に対応責任者および最高責任者に報告します。

発見者

STEP2

原因の特定と

応急措置の実施

システム管理者は原因を特定し、応急処置を実行します。

システム管理者

STEP3

社内周知と担当部署への連絡

対応責任者は社内に周知するとともに総務部情報システム担当に連絡します。

対応責任者

STEP4

復旧措置

電子データの場合はシステム管理者がバックアップによる復旧を実行します。

システム管理者

機器の場合はシステム管理者が修理、復旧、交換などの手続きを行います。

システム管理者

書類・フィルム原本の場合は情報セキュリティ部門責任者が可能な範囲で修復します。

情報セキュリティ部門責任者

STEP5

原因対策の実施

システム管理者は原因対策を実施します。

システム管理者

対応結果および対策を公表

最高責任者は、社内および影響範囲の全ての組織・人に対応結果および対策を公表します。

最高責任者

ACTION 2 被害レベル2の場合

STEP1

発生の報告

発見者はシステム管理者に報告します。

発見者

STEP2

原因の特定と

応急措置の実施

システム管理者は原因を特定し、応急処置を実行します。

システム管理者

STEP3

社内周知と担当部署への連絡

対応責任者は社内に周知するとともに総務部情報システム担当に連絡します。

対応責任者

STEP4

復旧措置

電子データの場合はシステム管理者がバックアップによる復旧を実行します。

システム管理者

機器の場合はシステム管理者が修理、復旧、交換などの手続きを行います。

システム管理者

書類・フィルム原本の場合は情報セキュリティ部門責任者が可能な範囲で修復します。

情報セキュリティ部門責任者

STEP5

原因対策の実施

システム管理者は原因対策を実施します。

システム管理者

ACTION 3 被害レベル1の場合

STEP1

発生の報告

発見者はシステム管理者に報告します。

発見者

STEP2

原因の特定と

応急措置の実施

システム管理者は原因を特定し、応急処置を実行します。

システム管理者

STEP3

復旧措置

電子データの場合はシステム管理者がバックアップによる復旧もしくは再作成・入手を実行します。

システム管理者

機器の場合はシステム管理者が修理、復旧、交換などの手続きを行います。

システム管理者

書類・フィルム原本の場合は情報セキュリティ部門責任者が可能な範囲で修復します。

情報セキュリティ部門責任者

STEP4

原因対策の実施

システム管理者は原因対策を実施します。

システム管理者

ACTION 4 被害レベル0の場合

発見者は発見次第、発生可能性のあるサイバー攻撃と想定される被害をシステム管理者に報告

MISSION 4-5　対応手順3　ウイルス感染時の初期対応

ACTION 1 従業員が対応可能な場合

従業員は、業務に利用しているパソコン、サーバーまたはスマートフォン、タブレット（以下「コンピューター」といいます）がウイルスに感染した場合には、次の手順を実行します。

STEP1 ネットワークからコンピューターを切断します。

STEP2 システム管理者に連絡します。

STEP3 ウイルス対策ソフトの定義ファイルを最新版に更新します。

STEP4 ウイルス対策ソフトを実行しウイルス名を確認します。

STEP5 ウイルス対策ソフトで駆除可能な場合は駆除します。

STEP6 駆除後再度ウイルス対策ソフトでスキャンし、駆除を確認します。

STEP7 システム管理者に報告します。

ACTION 2 従業員が対応できない場合

従業員自身で対応できないと判断する場合はシステム管理者に問い合わせます。

・ウイルス対策ソフトで駆除できない

・システムファイルが破壊・改ざんされている

・ファイルが改ざん・暗号化・削除されている

MISSION 4-6　対応手順4　届け出および相談

システム管理者は、サイバー攻撃被害への対応後に以下の機関への届け出または相談を検討します。

＜届け出・相談先＞

独立行政法人 情報処理推進機構セキュリティセンター（IPA/ISEC）

ウイルスにかかってしまったり、不正アクセスをされたりした場合は、下記URLを参照してにIPA/ISECに届け出をしてください。

https://www.ipa.go.jp/security/outline/todoke-top-j.html

IPA/ISECでは、情報セキュリティの相談窓口も開設しています。

https://www.ipa.go.jp/security/anshin/

個人情報保護委員会

個人情報や特定個人情報（マイナンバー）の漏えいなどの事案が発覚した場合は、速やかに下記URLを参照して個人情報保護委員会などに対して報告してください。

https://www.ppc.go.jp/

MISSION 4-7　大規模災害などによる事業中断と事業継続管理

2021.11.25

企業にとって、大規模な自然災害をはじめとする緊急事態に備えた事業継続の

ための計画（BCP）を策定することはとても重要です。

一方、情報システムの活用が進むこれからは、このBCPにプラスして情報シ

ステム運用継続計画（IT-BCP）も大切となってきています。

STEP1 環境整備

基本方針を決定し、実施・運用体制を構築する。

STEP2 情報の収集・前提の整理

危機的事象を特定し、特定した事象の顕在化がもたらす被害状況を想定する。

STEP3 分析、課題の抽出

情報システムの復旧優先度を設定し、運用継続に必要なリソースを整理する。

STEP4 計画の策定

事前対策計画、非常時の対応計画、教育訓練計画・維持改善計画を検討する。

STEP5 実施（評価・改善）

平常時にIT-BCPが発動されることはないため、定期的な訓練を通じて組織・個人における習熟度を維持し、計画に問題があれば見直しを図る。

※IT-BCPの策定には「情報システム部門」と「業務部門」等の関連部門間で適切な連携を図り、既存のBCPとの整合性を確保することが大切です

参考：IT-BCP 策定モデル（内閣官房情報セキュリティセンター（NISC））

MISSION 4-7 App.01 IT-BCPの必要性と策定・運用のポイント【詳細版】

1.ポイント

1.1 IT-BCPも組織としての「事業継続計画」に含めて

- 組織としての「事業継続計画」（BCP）の中で、セキュリティ侵害による被害を最小限にする対応も含めて明確にすることが重要です

- 事業継続計画（BCP）の一環としてのサイバーセキュリティ対策（明文化）

- ITサービスの継続

- 緊急事態

- ハードウェア障害、ソフトウェア障害

- 情報セキュリティ「可用性」の確保

- 情報セキュリティ「機密性」「完全性」の確保

- DXに対応しないためのリスク

- DXに対応したためのリスク

1.2 情報漏えい、長期のサービス停止は、信用失墜の可能性

- ITを活用してどんなに利便性の高いサービスを提供しても、どんなに業務を効率化しても、緊急事態（自然災害、大火災、感染症、テロ、サイバー攻撃など）、システムの不具合、セキュリティ侵害等で事業資産や社会的信用が失われ、早期復旧ができない場合は、事業の継続が困難になり、組織の存立さえも脅かされる可能性があります。

1.3 「想定外」にならないようにあらゆるケースを想定して

- 事前だけでなく事後の「緊急時対応」も含めて網羅的な対応として、 フェーズごとの対策

- 特定

- 防御

- 検知

- 対応

- 復旧

- 緊急時対応手順の策定と体制整備

- インシデントにより業務停止等に至った場合、企業経営への影響を考慮していつまでに復旧すべきかを特定し、 復旧に向けた手順書策定や、復旧対応体制の整備をさせる。

- BCPとの整合

- BCPとの連携等、組織全体として整合のとれた復旧目標計画を定めさせる。

1.4 テレワーク等のリモート環境を活用して、事業継続を

- テレワークは、働き方改革の一つとしての位置付けだけでなく、出勤に危険が伴うような事態の発生時に、ディザスタリカバリーの観点で、従業員が安全に業務を継続できるようにするために、組織のBCPとしても位置付けることも重要である。

1.5 必ず演習を。（絵に書いた餅にしないように）

- また、業務停止等からの復旧対応について、適宜実践的な演習を実施させる。

- ・重要な業務が適切な時間内に復旧できず、 企業経営に致命的な影響を与える恐れがある。

- ・演習を実施していないと、不測の事態が起こった際に、 担当者が緊急時に適切に行動することが出来ない。

2.IT-BCP策定モデル【NISC】

2.1 IT-BCP策定モデルとは

https://www.nisc.go.jp/active/general/pdf/IT-BCP.pdf;

2.2 IT-BCPの課題

- (1) 非常時の意思決定に関 する在り方

- 【部門間の連携】

- (2) 非常時の情報収集・伝 達・発信や業務系の情報 システムの在り方

- 【危機的事象の特定】

- (3) データの消失を回避す るための対策の在り方

- 【バックアップデータの保管】

- (4) 教育・訓練の在り方

- 【平常時の運用】

2.3 「IT-BCP 策定モデルにおける策定ステップ」の概要

- STEP1 環境整備

- 基本方針を決定し、実施・運用体制を構築する。

- STEP2 情報の収集・前提の整理

- 危機的事象を特定し、特定した事象の顕在化がもたらす被害状況を想定する。

- STEP3 分析、課題の抽出

- 情報システムの復旧優先度を設定し、運用継続に必要なリソースを整理する。

- STEP4 計画の策定

- 事前対策計画、非常時の対応計画、教育訓練計画・維持改善計画を検討する。

- STEP5 実施（評価・改善）

- 平常時にIT-BCPが発動されることはないため、定期的な訓練を通じて組織・個人における習熟度を維持し、計画に問題があれば見直しを図る。

- ※IT-BCPの策定には「情報システム部門」と「業務部門」等の関連部門間で適切な連携を図り、既存のBCPとの整合性を確保することが大切です

- 「IT サービス継続ガイドライン 改訂版」（経済産業省）の図を基に作成

3.「IT-BCP 策定モデルにおける策定ステップ」の詳細説明

3.1 STEP1 環境整備

- 情報システム部門で、IT-BCP 策定の方向性を検討する。

- IT-BCP の策定に必要な体制を整備する。

- IT-BCP の基本方針について関係者間で合意する。

- IT-BCP の対象範囲について関係者間で合意する。

3.2 STEP2 情報の収集・前提の整理

- 危機的事象を特定する。

- 危機的事象の顕在化がもたらす被災状況を想定する。

3.3 STEP3 分析、課題の抽出

- 業務部門と合意した対象範囲の組織や非常時優先業務、情報システム等のたな卸を行う。

- 対象業務の目標復旧時間（以下、「業務RTO1」とする。）を明らかにする。

- 情報システムを支える構成要素（リソース）を洗い出す。

- 構成要素ごとに目標対策レベルを設定し、それに基づく情報システムの復旧優先度を設定する。

3.4 STEP4 計画の策定

【事前対策計画の策定】

- 危機的事象の発生時に情報システムに生じる被害状況の想定に対する情報システムの抱える脆弱性（情報システムの運用継続を阻害する課題）を把握する。

- 把握した現状の脆弱性を解消する対策（事前対策）を、システムごとに検討する。

- 検討した事前対策により、目標対策レベルとシステム環境の現状のギャップを解消し、運用継続能力を継続的に強化していく実施計画を策定する。

【非常時対応計画の策定】

- 府省庁の防災対策等と非常時に連携する情報システムの復旧継続活動に必要な対応体制を構築する。

- 非常時の初動から復旧までの大まかな流れを決めるために、全拠点における危機的事象の発生から復旧までの対応が示された「対応の全体フロー」を作成する。

- 非常時の体制で定めた担当が、それぞれどのような対応するかをより明確にした、非常時における「対応手順書」を作成する。

【教育・訓練計画の策定】

- 教育・訓練計画は、担当者の理解度や対応力を向上させるとともに、事前対策の改善つなげることを意識して策定することが望ましい。計画は、年度単位で策定するとよい（雛形 「1.教育訓練計画」の例を参照のこと）。

- 教育・訓練は、それぞれの対象者に適切な内容・時期で実施することで、その効果を高めることができると考えられる。以下に、体系的な訓練の実施パターンを例示する。

- 非常時には様々な対応が求められるので、全ての必要事項を一度の訓練で扱うと十分な成果を得ることが難しくなると考えられる。継続的に、府省庁の実力（理解度、対策の進捗状況等）を勘案し危機的事象・情報システム・非常時の対応等のうち優先順位の高いものから段階的に取り組み、徐々に難易度を高めていく、計画時に配慮することが望ましい。

【維持改善計画の策定】

- 維持改善計画は、事前対策計画、非常時対応計画、教育訓練計画それぞれを定期的に見直し、情報システム運用継続計画の実行性を継続的に維持できるよう検討する。維持改善計画を着実に実施して、定期的に全体を確認できるようにすることが重要である。

3.5 STEP5 実施（評価・改善）

- 運用段階においては、策定された事前対策計画と教育訓練計画に則り、対策実施や教育訓練等の活動を行うことで、業務継続能力の強化を推進する。また、「維持改善計画」に基づいて、適宜各種計画の見直しを行い、計画の陳腐化を防ぎ、常に計画の最新化を維持するように努める。

- 計画の見直し時には、関連部局や組織のレビュを必要に応じて受けるべきである。（防災、情報セキュリティ等の推進部門に、それぞれの分野の観点から指摘を受けることは有効である。）

転載：IT-BCP 策定モデル（NISC）より

4.関連情報

- NIST SP 800-34

- NIST SP 800-53

- IT-BCP 策定モデル（NISC）

- サイバーセキュリティ経営ガイドライン

- 指示８ インシデントによる被害に備えた復旧体制の整備

- 5分でできる！情報セキュリティ自社診断

- BCPを踏まえたセキュリティ事故対策

- 秘密情報の漏えいや紛失、 盗難があった場合の対応手順書を作成するなどのように、 事故が発生した場合に備えた準備をしていますか？

MISSION 5　やってみよう！ サイバー攻撃対策シミュレーション

SCENE 01　サイバー攻撃前夜

SCENE 02　攻撃発生その瞬間

SCENE 03　サイバー攻撃直後

SCENE 04　潜入拡大

SCENE 05　顧客への被害の拡大 取引先への被害の拡大

SCENE 06　サイバー攻撃の発覚

ACTION 1　原因と被害範囲の調査を自社で実施できるかどうかを判断する

標的型攻撃に代表される企業ネットワークに対する外部からの攻撃や、Webアプリケーションの改ざん、不正アクセスなどのサイバー攻撃の発生時に、本格的な調査（フォレンジック〈法的〉調査、ウイルスの不正プログラムの解析、ログの分析など）、復旧支援と再発防止策のアドバイスを支援するセキュリティ会社があります。

ACTION 2　原因と被害範囲の調査を依頼する

SCENE 07　原因が判明 ウイルス感染が原因

ACTION 1　ネットワークからの切断

ACTION 2　感染ウイルス・不正プログラムの駆除

ACTION 3　各機関への連絡・関係先への報告

SCENE 08　再発防止策の作成

ACTION 1　物理的および環境的セキュリティを再検討する

ACTION 2　社員教育など人的セキュリティを強化する

SCENE 09　復旧回復

ACTION 1　情報漏えいについての発表

ACTION 2　再発防止の恒久的対策

ACTION 3　不審なログオンや通信の監視

不自然な通信をしているプログラムがないか、外部から不正なログオンが行われていないか、監視します。

ATTENTION　大切なのは社内意識の向上！ ～感染を狙うメールに注意～

経営者にとってメールの安全な運用は他人事ではない！

コンピューターウイルスやマルウェアは、以下のような経路から感染する。

・USB機器からの感染

・ファイル共有、アプリからの感染

・ウェブ閲覧からの感染　など

これらは、システム設定などにより使用を禁止することで回避できる。しかし、ビジネスツールであるメールを一切禁止することは現実的ではない。加えて、メールを悪用した攻撃の中には人の心理的な隙や行動ミスをついた、システム設定だけでは対応が難しい手口も存在する。

メールを発端とするサイバー攻撃の中には、企業の事業継続に多大な影響を与えるものもある。自社がそのような当事者にならないためにも、定期的な勉強会や訓練を実施するほか、経営者自身も率先して参加するなど、社内全体で危機意識を共有し、個々のリテラシー向上を図っていくことが何より大切だろう。

INFORMATION　インフォメーション

INFORMATION 6-1　もしかしてサイバー攻撃？ ここに連絡を！

CHECK　事前に情報を整理しましょう

サイバー攻撃を受けた可能性がある場合は、事前に次のような情報を整理して緊急連絡先に連絡しましょう。

CHECK　犯罪の可能性がある場合の相談窓口

警視庁 サイバー犯罪対策課

https://www.keishicho.metro.tokyo.jp/sodan/madoguchi/sogo.html

TEL　03-5805-1731

受付時間：平日8:30−17:15

CHECK　一般的な情報セキュリティ相談

独立行政法人 情報処理推進機構（IPA）情報セキュリティ安心相談窓口

https://www.ipa.go.jp/security/anshin/

TEL　03-5978-7509　FAX　03-5978-7518

受付時間：10:00−12:00　13:30−17:00（土日祝日・年末年始を除く）

E-mail　anshin＠ipa.go.jp

CHECK　被害の報告・連絡・相談窓口

ウイルスに関する届け出（IPA）

https://www.ipa.go.jp/security/outline/todokede-j.html

不正アクセスに関する届け出（IPA）

https://www.ipa.go.jp/security/ciadr/

フィッシング詐欺（フィッシング対策協議会）

https://www.antiphishing.jp/

迷惑メール（日本データ通信協会 迷惑メール相談センター）

https://www.dekyo.or.jp/soudan/

なりすましECサイト（なりすましECサイト対策協議会）

https://www.saferinternet.or.jp/e-commerce/narisumashi/

インシデント報告・届出（JPCERT/CC）

https://www.jpcert.or.jp/form/

インシデント報告・届出（IPA J-CRAT 標的型サイバー攻撃特別相談窓口）

https://www.ipa.go.jp/security/tokubetsu/

"

法律相談（日本司法支援センター 法テラス）

https://www.houterasu.or.jp/

INFORMATION 6-1 App.01 もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！【クイックリスト】【詳細版】

2022.2.10 改訂

相談対応のFAQ、関係機関からの情報を元に作成しています。

最新情報を、タイムリーに反映させていきます。

万が一に備えて、このページのWeb版をブックマークして、いつでも見られるようにしておきましょう。

- 情報収集 ホットな情報。今、世の中で起きているセキュリティ被害は？

- 緊急1 慌てて連絡する前に！連絡先が理解できるように、事前に情報を整理しましょう

- 緊急2 セキュリティ侵害ではない可能性？(IT関連機器の障害、人権侵害など)

- 緊急3 セキュリティ侵害が起きている！状況に応じて的確な連絡先を見つけよう！

- 予防1 やられる前に、しっかり予防を！ ここに相談！

- 予防2 経営者の理解のもと、組織としてセキュリティ対策をしっかりと！

CHECK1　今、世の中で起きているセキュリティ被害は？

サイバー攻撃？と思ったら、今、世の中で同様の事象の注意喚起が出されていないか確認しよう。もし、類似する事象があったら、指摘されている対策を実施しよう。

⇒【緊急】Emotetによる被害が拡大しています（2022.3.4更新）

- 【注意喚起】Emotetウイルスに注意【ポータル内】（2022.3.4更新）

- 【特設ページ】Emotet関連の問い合わせの急増について【ポータル内】（2022.3.4更新）

⇒ホットな脅威への対応（2022.2.17更新）

- 侵入型ランサムウェア攻撃を受けたら読むFAQ【JPCERT/CC】（2022.1.13更新）

- マルウエアEmotetへの対応FAQ【JPCERT/CC】（2022.2.7更新）

- モバイル端末を狙うマルウェアへの対応FAQ【JPCERT/CC】（2022.1.13更新）

⇒ 最近の脅威情報（2022.2.17更新）

- 最新の脅威具体例【JC3】

- トピックス【JC3日本サイバー犯罪対策センター】

⇒ 個人向け安心相談窓口（主にウイルスや不正アクセス）【IPA】（2022.2.17更新）

- よくあるご相談【IPA】

- ワンクリック請求の被害、偽警告の被害。ランサムウェアの被害

- 安心相談窓口だより【IPA】

- メールの見かけ上の送信元情報を安易に信じないで！

類似の事象が見つからなければ、下記のステップで対応を検討しましょう。

CHECK2　問合わせる前に被害状況を整理しましょう

サイバー攻撃を受けた可能性がある場合は、事前に次のような情報を整理して、適切な緊急連絡先を選択して連絡しましょう。

CHECK3　セキュリティ侵害ではない可能性？

■CHECK03 索引

- CHECK3-01: PCやスマホの調子が悪い

- CHECK3-02: IT関連機器の障害、サービスでのトラブルなど、相談したい

- CHECK3-03: 人権侵害、権利侵害など、相談したい

■PCやスマホの調子が悪い

□PC、スマホやネットワークに障害が発生している

- 不具合の原因が、サイバーセキュリティ上の問題とは限りません。「外部からの不正アクセス」とは決めつけず、まずは、「事前に情報を整理しましょう」で整理した「事象」を的確に示せる情報を、証拠（エビデンス）として提示できるように保存してください。

- システム担当者、保守業者、購入先、メーカーのサポート窓口に連絡。

- ※担当者がいない場合は、ルールに従い、上司、経営者が担当者として対応する。

□セキュリティ上の問題か判断できない

- システム担当者に相談する

- ※担当者がいない場合は、ルールに従い、上司、経営者が担当者として対応する。

- システム担当者から運用保守業者に相談する。解決できない場合は、システム担当者が、下記の機関に問い合わせる。

■IT関連機器の障害、サービスでのトラブルなど、相談したい

- サイバーセキュリティ上の問題ではないケースは対象外ですが、参考としてください。

□光回線・プロバイダー・携帯電話・スマートフォン等の仕組み、契約内容に関しての苦情・相談

- ⇒ 電気通信事業者協会相談窓口

- モバイル通信サービス、インターネット接続回線、プロバイダー（ISP)等の苦情・相談窓口

- 仕組みがよく理解できない、契約内容がわかりにくいといった販売店とトラブル。 内容に応じて、事業者のお客様相談窓口等へ取次ぐ

- ☎ 03-4555-4124

- https://www.tca.or.jp/consult/

- ⇒ 携帯電話プロバイダ等問合せ窓口

- インターネットで検索してください

□インターネットでの購買、取引、サービスでトラブルが起きた

- ⇒ 一般社団法人ECネットワーク

- ネット通販やネットサービス、ネットオークションといった、インターネット取引に関する、一般消費者の方からのご相談を受け付けている。

- ネットショッピングやネットオークションでトラブルになってしまったらご相談ください。

- https://www.ecnetwork.jp/public/consumer/consul.html

- 相談受付フォーム: https://cp.hosting-srv.net/ssl/113//www.s199.hosting-srv.net/consul/consulform.php

- ⇒ 消費者ホットライン【独立行政法人国民生活センター】

- 商品やサービスなど消費生活全般に関する苦情や問合せなど、消費者からの相談を受け付ける。企業からの相談は受け付けられない。

- ☎ 188番

- http://www.kokusen.go.jp/map/

■人権侵害、権利侵害など、相談したい

□インターネット上での人権侵害の可能性を相談したい

- ⇒ 人権擁護局

- インターネット上での名誉棄損、侮辱、プライバシー侵害等に関する人権相談とその後の救済手続き。

- https://www.moj.go.jp/JINKEN/

- ⇒ 「法務省人権擁護局」みんなの人権110番

- 差別や虐待，パワーハラスメントなど，様々な人権問題についての相談を受け付ける。

- インターネット上のプライバシー侵害及び名誉毀損事案も含まれる。

- ☎ 0570-003-110

- ⇒ 誹謗中傷ホットライン（一般社団法人セーファーインターネット協会）

- ネット上の誹謗中傷に対して、掲載されているサイトに利用規約等に沿った削除等の対応を促す通知を行う。

- https://www.saferinternet.or.jp/bullying/

- ☎ 0570-003-110

- 嫌がらせ、ネットストーカーの対応を相談したい

- ⇒ 管轄の警察署の生活安全課

- ブラウザで警察署一覧検索

- https://www.keishicho.metro.tokyo.jp/about_mpd/shokai/ichiran/kensaku/index.html

□権利侵害などについて法律相談をしたい

- ⇒ 法テラス（日本司法支援センター）

- ☎0570-078374

- https://www.houterasu.or.jp/

CHECK4　状況に応じて的確な連絡先を見つけよう！

■CHECK04 索引

- CHECK4-01: フィッシング詐欺？ビジネスeメール詐欺？

- CHECK4-02: 迷惑メールが送られてきた

- CHECK4-03: ウイルスに感染した（ランサムウェア、EMOTETも）

- ランサムウェアに感染した

- 「Emotet」と呼ばれるウイルスに感染した

- CHECK4-04: なりすましECサイトを作られた？

- CHECK4-05: インターネット上での違法・有害情報を発見した

- CHECK4-06: 個人情報の取り扱いに関して相談したい

- CHECK4-07: インシデントが発生していることを報告（届け出）したい

- CHECK4-08: ウイルス・不正アクセスに関して届け出たい

- CHECK4-09: その他一般的な情報セキュリティ事象の相談をしたい

- CHECK4-10: サイバー犯罪の可能性？

- CHECK4-11: サイバー犯罪の届出

■フィッシング詐欺？ビジネスeメール詐欺？

サポート詐欺とは、

- 「ウイルス感染した」などと偽の警告画面を表示させて不安をあおり、問題解決のためのサポートを行うふりをして、不必要なセキュリティソフトを購入させたりする詐欺。

- ※警告画面が表示されたら、サポート詐欺を疑ってください。

- 参考情報

- ウイルス感染の警告とサポートへの電話番号が表示された」（警視庁）

ビジネスメール詐欺（Business Email Compromise、通称BEC）とは、

- メールなどを組織・企業に送り付け、従業員を騙して送金取引に係る資金を詐取するといった、直接的に金銭を狙うサイバー攻撃。

- ※何らかの形で取引先とのやりとりをメールが盗み見られ、相手のなりすまして、偽の取引に誘導する。対応策は、まず、メールは、どちらから漏えいしたのかを確認する必要がある。

- 参考情報

- 「ビジネスメール詐欺「BEC」に関する事例と注意喚起」（IPA）

⇒ フィッシング対策協議会

- フィッシング詐欺に関する事例情報、技術情報が公開されている。フィッシングメールやフィッシングサイトに関する情報提供を受け付けている。

- https://www.antiphishing.jp/

- 報告ページ：https://www.antiphishing.jp/registration.html

⇒ 警視庁 フィッシング110番

- 警視庁は、フィッシングと思われるメールが届いたり、フィッシングと思われるサイトを発見したりした場合、フィッシングの被害に遭ってしまったという方に、フィッシング110番への情報提供をお願いしている。

- https://www.keishicho.metro.tokyo.lg.jp/kurashi/cyber/security/cyber406.html

- 報告ページ：https://www.keishicho.metro.tokyo.lg.jp/anket/cyber_phishing.html

■迷惑メールが送られてきた

迷惑メールとは

- 「広告宣伝メール」、「架空請求メール」、「不当請求メール」、「ウイルスメール」、「お金儲けのメール」、「チェーンメール」等、受け取る人の意思に関わらず、勝手に送りつけられてくるメール。

- メール内のリンク、添付ファイルを開くとウイルスに感染したり、悪意のあるサイトに誘導される。絶対に開かないで、削除すること。

表示名やメールアドレスは偽装されている

- 迷惑メールの中には、送信元を偽っているメールがある。

- 参考情報

- メールの見かけ上の送信元情報を安易に信じないで！～ 表示名やメールアドレスは偽装されているかも？～ （IPA）

- 参考情報 (ポータルサイト内)

- Episode21 偽装は続く～メールの送信元情報を安易に信じないで～

自分のメールアドレス等からの脅迫メール

- 迷惑メールの中には、自分のアドレスから送られているように見えるメールもある。

- 参考情報

- 自分のメールアドレスを騙ったメールが送付されている （警察庁）

- 事例

- 自分のメールアドレス等から、暗号資産（ビットコイン）を要求する脅迫メール （JC3）

- 性的な映像をばらまくと恐喝し、暗号資産で金銭を要求する迷惑メールに注意（IPA）（2022.1.21更新）

- 参考情報 (ポータルサイト内)

- Episode20 自分のアドレスからメールが届いても慌てないで」

⇒ 一般財団法人日本データ通信協会　迷惑メール相談センター

- 不特定多数へ同意を得ずに送られる広告宣伝目的メールに関する相談受付

- ☎ 03-5974-0068

- https://www.dekyo.or.jp/soudan/index.html

■ウイルスに感染した

- 通常は、ワクチンソフトでウイルスを除去するが、最悪の場合、機器を初期化して、バックアップファイルから復元しなければならなくなる。

- 参考情報

- ウイルス（マルウェア）に感染したら（IPA)（2022.1.13更新）

- モバイル端末を狙うマルウェアへの対応FAQ（JPCERT/CC）（2022.1.13更新）

ランサムウェアに感染した

- 感染したパソコンに特定の制限をかけ、その制限の解除と引き換えに金銭を要求する不正プログラム

- 想定される被害
バックアップがなかった場合のデータ復旧に要する多大なコスト、感染したことによる社会的信用の失墜、流失したデータが公開された場合の損害賠償等、ビジネスの継続が困難になることなどが考えられる。

- 参考情報

- ストップ！ ランサムウェア　ランサムウェア特設ページ STOP! RANSOMWARE (NISCポータルサイト内)

- ランサムウェア対策特設ページ　(IPA)

- 侵入型ランサムウェア攻撃を受けたら読むFAQ（JPCERT/CC）（2022.1.13更新）

- 最近のサイバー攻撃の状況を踏まえた経営者への注意喚起　(METI)

- 参考情報 (ポータルサイト内)

- MISSION 1-2　ランサムウェアを使った詐欺・恐喝

- Episode5：ランサムウェア

「Emotet」と呼ばれるウイルスに感染した

- 情報の窃取に加え、更に他のウイルスへの感染のために悪用されるウイルスであり、悪意のある者によって、フィッシングメール、標的型メールに添付される等して、感染の拡大が試みられた。

- 典型的な例
メールアカウントへの不正アクセス等で、過去のメールやアドレス帳が、盗まれ、その内容とアドレスを転用し、ウイルスを添付したメールの形で、過去のメールと同様の相手先に送られる。 受け取った人は、本物のメールと信じて、ファイルを開いてウイルスに感染し、感染者の環境内の情報が攻撃者に搾取されていく。 感染によって、同様の行為が繰り返され、被害が拡散されていく。

- 参考情報

- 「Emotet」と呼ばれるウイルスへの感染を狙うメールについて　(IPA)

- 攻撃活動再開後の状況／被害相談の例 （2021年12月9日 追記）

- Emotetの攻撃活動の急増 （2022年2月9日 追記）

- マルウエアEmotetの感染に関する注意喚起　(JPCERT/CC)

- マルウエアEmotetへの対応FAQ　(JPCERT/CC)（2022.2.7更新）

- 1. 外部からなりすましメールが届いたという報告があった場合どうすればよいですか?

- 2. Emotet の感染有無を確認するためにはどうすればよいですか?

- 2-1.EmoCheckによるEmotet感染有無の確認

- 2-1-1.EmoCheckのダウンロード・実行

- 3. EmotetはWindows OS以外に感染しますか?

- 4. Emotet の感染を確認した場合どのように対処すればよいですか?

- 5. Emotetに窃取されたメールの送信を止めるにはどうすればよいですか?

- 6. Emotetに感染するとどのような被害が起こりますか?

- 7. Emotetに感染しないためにはどのような対策が必要ですか?

- （参考）メールに添付されるWordファイルを開いた場合の表示例

- 【パンフレット】EmoCheckの使い方の手引き【PDF版】（警視庁サイバーセキュリティ対策本部）（2022.3.3更新）

- 参考情報 (ポータルサイト内)

- MISSION 2-9　今やろう！ 電子メールへの備え　電子メールの安全利用

- ケーススタディー４：企業データが人質に！日常に潜むサイバー攻撃の魔手

- Episode16 「マルウェア」は忘れたころにやってくる？

- MISSION 1-13 中小企業におけるサイバー攻撃被害の例

- ファイルを介して感染するマルウェア「Emotet」についての注意喚起 【PDF版】

被害の拡大を防ぐために関係機関へ届け出る

- ⇒ IPAコンピュータウイルス・不正アクセスに関する届出窓口

- https://www.ipa.go.jp/security/outline/todokede-j.html

■なりすましECサイトを作られた？

「なりすましECサイト」とは

- 実在のサイトに似せたサイトを作成して、消費者を誤認させ、商品代金をだましとったり、模倣品、海賊版その他購入しようとした品と全く別個の物を送りつけるサイト

- 参考情報 (ポータルサイト内)

- なりすましECサイトに注意！

- MISSION 1-14 なりすましECサイトの被害と回避策

被害にあった場合の緊急対応

- なりすまされた事業者の対応：

- ①問合わせ対応メモの作成　②サイト内で注意喚起 ③プロバイダに削除要請。被害届けは、事業者から。

- 利用者の対応：

- 利用者に経済的被害等があった場合は、警視庁サイバー犯罪対策課、管轄の警察署へ被害相談

⇒ なりすましECサイト対策協議会【セーファインターネット協会】

- https://www.saferinternet.or.jp/e-commerce/narisumashi/

- なりすましECサイト対策マニュアル

- https://www.saferinternet.or.jp/e-commerce/narisumashi/

- 違法情報の通報:

- https://www.safe-line.jp/report/

■インターネット上での違法・有害情報を発見した

⇒ 「違法・有害情報センター」(総務省系)

- https://ihaho.jp/

- インターネット上の誹謗中傷、名誉毀損、プライバシー侵害、人権侵害、著作権侵害などに関する書き込みへの対応や削除要請方法、その他トラブルに関する対応方法などについてご案内しております。

- Webでユーザ登録してから具体的な相談

⇒ インターネット・ホットラインセンター(IHC)（警察庁・総務省所管）

- http://www.internethotline.jp/pages/about/index

- インターネット利用者から違法情報に関する情報提供を受け付け、警察への情報提供、電子掲示板の管理者等への送信防止措置依頼等を行う。

- フォームで通報

■個人情報の取り扱いに関して相談したい

- 個人情報取扱事業者は、漏えい等事案が発覚した場合は、その事実関係及び再発防止策等について、個人情報保護委員会等に対し、速やかに報告するよう努めることとされている

⇒ 個人情報保護委員会

- ☎ 03-6457-9849

- https://www.ppc.go.jp/

■インシデントが発生していることを報告（届け出）したい

インシデントとは

- コンピュータセキュリティインシデントとは、「情報および制御システムの運用におけるセキュリティ上の問題として捉えられる事象」

⇒ JPCERT/CC

- ☎03-6811-0610

- https://www.jpcert.or.jp/menu_reporttojpcert.html

- インシデント対応依頼

- ☎03-6271-8901

- https://www.jpcert.or.jp/menu_reporttojpcert.html

- （サイトの改ざん箇所の特定や、改ざんされた際の復旧手順。サーバへの侵入やDoS攻撃が発生した際の対処。マルウエアに感染した際の駆除方法、復旧方法。）

⇒ IPA J-CRAT／標的型サイバー攻撃特別相談窓口

- https://www.ipa.go.jp/security/tokubetsu/index.html

- ☎ 03-5978-7599

- E-mail tokusou@ipa.go.jp

■ウイルス・不正アクセスに関して届け出たい

⇒ IPAコンピュータウイルス・不正アクセスに関する届出窓口

- https://www.ipa.go.jp/security/outline/todokede-j.html

- 届出様式をダウンロードし、記入の上、メールで送付する。

- コンピュータウイルス届出窓口・コンピュータ不正アクセス届出窓口: メールアドレスは、上記URLを参照のこと

■その他一般的な情報セキュリティ事象の相談をしたい

⇒ IPAセキュリティセンター情報セキュリティ安心相談窓口

- https://www.ipa.go.jp/security/anshin/

- ☎ 03-5978-7509

- 可能な限り公開されている「よくあるご相談」を参照してから相談

■サイバー犯罪の可能性？

⇒ 警視庁　サイバー犯罪対策課

- サイバーセキュリティに関連した犯罪の可能性がある場合の相談電話。被害届は、所轄の警察署へ。

- http://www.keishicho.metro.tokyo.jp/kurashi/cyber/

- ☎03-5805-1731

⇒ 警視庁各種相談ホットライン

- https://www.keishicho.metro.tokyo.lg.jp/sodan/madoguchi/sogo.html

- ☎「#9110」

■サイバー犯罪の届出

⇒ 所轄の警察署

- 犯罪の証拠となる資料（エビデンス）を用意して届け出る。

- ☎ 03-3581-4321（交換）

- 交換で、管轄の警察署名を確認して電話を転送してもらう。

- 所轄の警察署の一覧は、https://www.keishicho.metro.tokyo.lg.jp/about_mpd/shokai/ichiran/index.html

サイバー攻撃に対する注意喚起

1. 概要

世界情勢の緊張が高まっていることを受け、サイバー攻撃の潜在的なリスクが増加しています。また、国内の自動車部品メーカーがサイバー攻撃の被害にあった旨の報道もあり、サイバーセキュリティ対策の強化が呼びかけられています。

3月に入り、東京都サイバーセキュリティ相談窓口では、改めてセキュリティの見直しをする中小企業などからマルウェアEmotetに関する相談等を多数受けています。取引先等、サプライチェーン全体で、被害を受けることが懸念され、各企業・団体等においても、サイバー攻撃の脅威が身近に迫っていることを認識し、適切なセキュリティ対策の強化に努めることが重要です。

東京都は、以下のサイトにおいて、このようなセキュリティ脅威に関する情報を随時発信していますので、ご活用下さい。

（中小企業向けサイバーセキュリティ対策の極意　https://cybersecurity.metro.tokyo.lg.jp/）

2. 感染が疑われる場合の対応及びFAQ（2022年3月3日現在）

Emotet感染時の対応等については次の資料を参照してください。

マルウエアEmotetへの対応FAQ

- https://blogs.jpcert.or.jp/ja/2019/12/emotetfaq.html

- こちらのサイトでは、

1. 外部からなりすましメールが届いたという報告があった場合どうすればよいですか?

2. Emotet の感染有無を確認するためにはどうすればよいですか?

3. EmotetはWindows OS以外に感染しますか?

4. Emotet の感染を確認した場合どのように対処すればよいですか?

5. Emotetに窃取されたメールの送信を止めるにはどうすればよいですか?

6. Emotetに感染するとどのような被害が起こりますか?

7. Emotetに感染しないためにはどのような対策が必要ですか?(感染を防ぐには)

について説明しています。

Emotet感染有無確認ツールEmoCheck

https://github.com/JPCERTCC/EmoCheck/releases

※EmoCheckを使用する場合、Emotet感染に繋がる可能性が考えられるメールを開いたPCのアカウントで端末にログインした状態で、EmoCheckを実行してください。 別のアカウントでログインした場合では正しく検知できない可能性があります。

3. 感染の拡大を防ぐための対策

- 取引先などから送られているようにみえるメールでも安易に添付ファイルの実行や文中のURLクリックをしない

- 組織内で注意を呼び掛けるなどして警戒を高める

- 感染の恐れがある場合、EmoCheckやJPCERTのFAQの内容を参考に、感染被疑端末や自組織での感染有無やインフラの悪用有無などの調査や対応を実施する。

また、Emotet の感染を予防し、感染の被害を最小化するため、次のような対応を実施することも検討してください。

- 組織内への注意喚起の実施

- Word マクロの自動実行の無効化

- メールセキュリティ製品の導入によるマルウエア付きメールの検知

- メールの監査ログの有効化

- OS に定期的にパッチを適用 (SMBの脆弱性をついた感染拡大に対する対策)

- 定期的なオフラインバックアップの取得（標的型ランサムウエア攻撃に対する対策）

4. 参考情報

- 【特設ページ】Emotet関連の問い合わせの急増について【ポータル内】

【関連リンク】

- Emotet関連リンク

- ⇒ マルウエア Emotet の感染に関する注意喚起（JPCERT/CC）

- ⇒ マルウエアEmotetへの対応FAQ（JPCERT/CC）

- ⇒ Emotet感染有無確認ツールEmoCheck（JPCERT/CC）

- ⇒ Emotet（エモテット）」と呼ばれるウイルスへの感染を狙うメールについて（IPA）

- 全般的な脅威と対策は

- ⇒ ガイドブック「中小企業向けサイバーセキュリティ対策の極意ポータルサイト」

- クイックリスト

- ⇒ もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！

- ⇒ やられる前に、しっかり予防を！ ここに相談！

- ⇒ 経営者の理解のもと、組織としてセキュリティ対策をしっかりと！

- ⇒ セキュリティお役立ちリンク集！

【特設ページ】Emotet関連の問い合わせの急増について

2022.4.1 改訂

注意喚起のための緊急アナウンス

- 「サイバー攻撃に対する注意喚起」（2022.3.7 ポータル内で緊急アナウンス）

急増している問合せ

Emotetの感染が拡大し、問合せが急増しています。感染が疑われる場合は、慌てずに、下記の情報を参考にして対応してください。最新情報を、タイムリーに反映させていきます。

問合せの例

- 取引先から、暗号化されたZIPファイルが添付されたEmotetと思われる大量のメールが送られてきた

- 取引先各所から、当社が発信元のメールが、大量に届いていると連絡が来た

- メールに添付された暗号化されたZIPファイルを開いて、中にあったEXCELで編集を有効にしてしまった

- Emotetに感染してしまった（したかもしれない）がどうすればよいか

- Macやスマホでも感染するの？

- ウイルス対策ソフトで見つからなかったけど大丈夫？

- EmoCheckを使っても大丈夫？EmoCheckの使い方。結果画面がなかなか表示されない。文字化けしている。結果のファイルはどこ？EmoCheckで見つからなかったら大丈夫？

- 自力で対応できないので、対応業者を紹介してほしい
というような問合せが急増しています。

Emotetの概要

Emotetとは

- 情報の窃取に加え、更に他のウイルスへの感染のために悪用されるウイルスであり、悪意のある者によって、フィッシングメール、標的型メールに添付される等して、感染の拡大が試みられる。

- 取引先等との実際にやり取りしたメールへの返信メールの形で、ZIPファイル添付されていたり、正しそうなURLが記載されている。

感染を拡大する典型的な手口

- メールアカウントへの不正アクセス等で、過去のメールやアドレス帳が、盗まれ、その内容とアドレスを転用し、ウイルスを添付したメールの形で、過去のメールと同様の相手先に送られる。

- 受け取った人は、本物のメールと信じて、ファイルを開いてウイルスに感染し、感染者の環境内の情報が攻撃者に搾取されていく。 感染によって、同様の行為が繰り返され、被害が拡散されていく。

- 自分自身が送信者となったメールが送られてくる場合もある。

感染のパターン毎の対処例

感染パターン

- Emotetと疑われるメールが届き、添付ファイルを開いた場合

- Emotetと疑われるメールが自社名で各所（自社を含む）に届いた場合

Emotetと疑われるメールが届き、添付ファイルを開いた場合

- 組織内ネットワーク内の全PCがEmotetに感染し、更にEmotetにより他のウイルスに感染している可能性がある

- 全PCをEmotetチェッカーで確認する

- 全PCのウイルス対策ソフトで全ファイルチェックを行い、ウイルスを削除する

- 感染した全PCをネットワークから切り離す

Emotetと疑われるメールが自社名で各所（自社を含む）に届いた場合

- 取引先と過去にやり取りしたメールが使われていた場合は、自社もしくは取引先のどちらかがEmotetに感染している可能性がある

- 自社の感染を疑う

- 全PCをEmotetチェッカーで確認する

- 全PCのウイルス対策ソフトで全ファイルチェックを行い、ウイルスを削除する

- 感染した全PCをネットワークから切り離す

- 取引先の感染を疑う

- 全ての取引先に、Emotetに感染している可能性があることを伝える

- 取引先に、自社と同様のウイルスチェックを行うことを要請する

感染ステージ毎の対応策のポイント

Emotetの感染を防ぐために

特にEmotetに関して、

- 身に覚えのないメールは開かない

- メールに添付ファイルがあった場合、確かに本物のメールであるか、しっかり見極める

- 自分が送信したメールの返信メールであっても、添付されているZIP等で圧縮されたファイルは開かない。(特に暗号化されているZIPファイルは、ウイルスチェックがされていない)

- Word、Excelの文書を開いたとき、「編集を有効にする」「コンテンツの有効化」を聞かれても、有効にしない

- メールの送信者が取引先等からであっても、メール本文内のURLは、偽装されていないか、不審なURLでないかを見極める

一般的にウイルスに感染しないために

- OSやソフトウェアは常に最新の状態にする

- ウイルス対策ソフトを導入する

- パスワードを強化する。二段階認証を設定する

- 共有フォルダのアクセス権を確認する

- 常に報道されているような脅威や攻撃の手口を知る

感染が疑われる場合

- 感染したPCが接続していた組織内ネットワーク内の全PCをEmotetチェッカーで確認する

- Emotet の感染有無を確認するためにはどうすればよいですか?(JPCERT/CC)

- 2-1-2.EmoCheckの実行

- ※【補足】Emotetチェッカーの実行は数分掛かる場合があります。画面が文字化け場合している場合がありますが、チェックの結果は、Emotetチェッカーを実行したフォルダーにtxtファイルが出力されているので、そのファイルを開いて確認してください。

- 感染したPCが接続していた組織内ネットワーク内の全PCのウイルスチェックを行う（Emotetにより、別のウイルスが感染している可能性がある）

感染してしまったら

- 感染したPCをネットワークから切り離す

- 感染したPCが接続していた組織内ネットワーク内の全PCをEmotetチェッカーで確認する

- Emotetチェッカーにより、「Emotetを検知しました」と表示された場合、「プロセス名」、「イメージパス」を確認して

- 「2-1-3.感染時の対応」に従って

- 表示されたプロセス名を、タスクマネージャで見つけて、プロセスを終了させる

- エクスプローラにより、イメージパスのディレクトリにあるexeファイルを削除する。

- （他のプロセスで使用中の場合、強制的に削除するために、管理者権限でコマンドプロンプトを起動して操作する等の方法があります）

- ※EmoCheckの表示内容、Emotetの削除の仕方等に関しては、「2.Emotetの感染有無を確認するためにはどうすればよいですか?」（JPCERT/CC）を確認してください。

- FAQの内容についてご不明の場合は、下記にお問い合わせください。
JPCERT/CCインシデント対応依頼: ☎03-6271-8901

- 感染したPCが接続していた組織内ネットワーク内の全PCのウイルスチェックを行いウイルスを削除する

- メールの送信者へ、Emotetに感染している可能性があることを伝える

- 被害を受ける可能性のある関係者へ注意するよう伝えるメールの送信者へ、Emotetに感染している可能性があることを伝える

- 感染したPCが利用していたメールアカウントなどのパスワード変更

- 感染したPC内のユーザデータをバックアップしておく。安全のために、PCを初期化することも検討する。

問合わせる前に

一般的な対応策を知る

Emotetの一般的な対応策については、IPA、JPCERT/CC等の関係機関が、詳細な情報を提供しています。本サイト内に、それらの情報源へのリンクをリストアップしています。

相談前に、最新の情報を参照して対応策を検討してください。

- INFORMATION 6-1 App.01 もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！

- 「Emotet」と呼ばれるウイルスに感染した

まずは、組織内のシステム管理者にご相談ください。

自力で対応ができない場合は、機器の設置状況、運用状況がわかる機器の購入先、保守業者等にご相談ください。

それでも対応できない場合は、JNSAサイバーインシデント緊急対応企業一覧等に掲載された 企業への相談を検討してください。

情報源へのリンク

※「INFORMATION 6-1 App.01 もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！」からの抜粋

参考情報

- 「Emotet」と呼ばれるウイルスへの感染を狙うメールについて　(IPA)

- 攻撃活動再開後の状況／被害相談の例 （2021年12月9日 追記）

- Emotetの攻撃活動の急増 （2022年2月9日 追記）

- マルウエアEmotetの感染に関する注意喚起　(JPCERT/CC)

- マルウエアEmotetへの対応FAQ　(JPCERT/CC)（2022.2.7更新）

- 1. 外部からなりすましメールが届いたという報告があった場合どうすればよいですか?

- 2. Emotet の感染有無を確認するためにはどうすればよいですか?

- 2-1.EmoCheckによるEmotet感染有無の確認

- 2-1-1.EmoCheckのダウンロード・実行

- 3. EmotetはWindows OS以外に感染しますか?

- 4. Emotet の感染を確認した場合どのように対処すればよいですか?

- 5. Emotetに窃取されたメールの送信を止めるにはどうすればよいですか?

- 6. Emotetに感染するとどのような被害が起こりますか?

- 7. Emotetに感染しないためにはどのような対策が必要ですか?

- （参考）メールに添付されるWordファイルを開いた場合の表示例

- 【パンフレット】EmoCheckの使い方の手引き【PDF版】（警視庁サイバーセキュリティ対策本部）

参考情報 (ポータルサイト内)

- Episode22 不審なメールが届いた、Emotet？

- Episode16 「マルウェア」は忘れたころにやってくる？

- MISSION 2-9　今やろう！ 電子メールへの備え　電子メールの安全利用

- ケーススタディー４：企業データが人質に！日常に潜むサイバー攻撃の魔手

- MISSION 1-13 中小企業におけるサイバー攻撃被害の例

- ファイルを介して感染するマルウェア「Emotet」についての注意喚起 【PDF版】

- サイバーゴースト#1 ドッペルゲンガー：標的型攻撃

INFORMATION 6-2　その他の主な報告・連絡・相談窓口等

2021.11.23

CHECK　被害が発生している可能性がある場合

違法・有害情報（セーファーインターネット協会）

https://www.safe-line.jp/

違法・有害情報（インターネット違法・有害情報相談センター）

https://www.ihaho.jp/

違法・有害情報（インターネット・ホットラインセンター）

https://www.internethotline.jp/

個人情報（個人情報保護委員会）

https://www.ppc.go.jp/

嫌がらせ・ネットストーカー（管轄の警察署の生活安全課）

Webブラウザーで「警察署一覧」で検索

人権侵害（法務省人権擁護局 みんなの人権110番）

https://www.moj.go.jp/JINKEN/index_soudan.html

CHECK　恒久的対策を行うための情報源

情報セキュリティ対策支援サイト（IPA）

https://security-shien.ipa.go.jp/

セキュリティプレゼンター支援（IPA）

https://security-shien.ipa.go.jp/presenter/

情報セキュリティサービス基準適合サービスリスト（IPA）

https://www.ipa.go.jp/security/it-service/service_list.html

サイバーインシデント緊急対応企業一覧（JNSA）

https://www.jnsa.org/emergency_response/

経営とIT化相談窓口（ITコーディネータ協会）

https://www.itc.or.jp/management/diagnosis/

東京都テレワーク推進センター（東京都）

https://tokyo-telework.jp/

テレワーク相談センター（厚生労働省委託事業）

https://www.tw-sodan.jp/

テレワークのセキュリティあんしん相談窓口（LAC）

https://www.lac.co.jp/telework/security.html

ワンストップ総合相談窓口（東京都中小企業振興公社）

https://www.tokyo-kosha.or.jp/support/shien/soudan/

CHECK　東京都による情報源

東京都と警視庁、中小企業支援機関、サイバーセキュリティ対策機関などが連携して開設した、中小企業のための相談窓口です。

https://www.sangyo-rodo.metro.tokyo.lg.jp/chushou/shoko/cyber/soudan/

TEL　03-5320-4773

窓口　東京都産業労働局商工部内 Tcyss事務局（都庁第一本庁舎20階北側）

受付時間：都庁開庁日の9:00〜12:00、13:00〜17:00

東京中小企業支援 サイバーセキュリティ

https://www.sangyo-rodo.metro.tokyo.lg.jp/chushou/shoko/cyber/

「中小企業向けサイバーセキュリティの極意」ポータルサイト

https://cybersecurity.metro.tokyo.lg.jp/

INFORMATION 6-2 App.01 やられる前に、しっかり予防を！ ここに相談！【詳細版】

2022.2.21 改訂

- CHECK1 専門機関に相談する前に、まずは、組織の対策状況を確認して

- CHECK2 自社の対策状況から見て、緊急に対策すべき脅威と対策の概要を知る

- CHECK3 予防策、改善策を専門機関に相談

- CHECK4 対策助成制度を活用したい

- コラム 日常的に、最新情報をウオッチしよう！

CHECK1　専門機関に相談する前に、まずは、組織の対策状況を確認して

専門機関に相談する前に、まずは、公開情報を参考に、現在、どの程度の対策ができているかを把握し、できるところから段階的に対策の実施を検討しましょう。

- 「NFORMATION 6-4　中小企業の情報セキュリティ対策の段階的レベルアップ」

- https://www.ipa.go.jp/security/measures/index.html

CHECK2　自社の対策状況から見て、緊急に対策すべき脅威と対策の概要を知る

■知っておきたいサイバー攻撃の知識

- ⇒ 「MISSION1 知っておきたいサイバー攻撃の知識」【ポータル内】

- https://cybersecurity.metro.tokyo.lg.jp/security/guidebook/159/index.html

- ※Mission1-1～1-15

■個別対策の概要情報

- ⇒ 「情報セキュリティ対策」【IPA 情報セキュリティ関連ページ内】

- https://www.ipa.go.jp/security/measures/index.html

■基本的なセキュリティ対策

- ⇒OS（オペレーティングシステム）の設定や利用【NISC】 (2022.2.21 更新)

- Windows, Android, MacOS/iOS/iPadOS

- https://security-portal.nisc.go.jp/cybersecuritymonth/2022/basics/OS/index.html

- ⇒家庭用無線LANルーターの設定や利用【NISC】

- Coming Soon

CHECK3　予防策、改善策を専門機関に相談

■経営とIT化の全般に関して相談したい

- ⇒ ITコーディネータ協会　「経営とIT化相談」窓口

- https://www.itc.or.jp/

- ⇒ 東京都中小企業振興公社ワンストップ総合相談

- ☎03-3251-7881

- https://www.tokyo-kosha.or.jp/support/shien/soudan/

■テレワーク等の運用に関して相談したい

- ⇒ 東京都テレワーク推進センター

- ☎0120-970-396

- https://tokyo-telework.jp/

- ⇒ テレワーク相談センター(厚労省委託)

- ☎0120-91-6479

- https://www.tw-sodan.jp/

■自社職員、経営者のIT・セキュリティ意識、レベルを高めたい (2022.2.1 更新)

●情報セキュリティ対策に関してのセミナー、イベント、教材等を探したい

- 情報セキュリティに関するセミナー、イベント、教育関連等を紹介している公的機関、民間のサイトのインデックスページです。

- ⇒ 「みんなで使おうサイバーセキュリティ・ポータルサイト」：インデックスページ(NISC)

- https://security-portal.nisc.go.jp/linkindex.html

- NISCが運営している「みんなで使おうサイバーセキュリティ・ポータルサイト」内の「セミナー、イベント等」、「教育」等のインデックスページです

- ほかに、「ツール、コンテンツ提供」、「タイムリーな情報発信・相談窓口」、「演習」、「資格・評価基準」、「制度」、「サイバーセキュリティ月間」等のインデックスも用意されています。

- ⇒「みんなで使おうサイバーセキュリティ・ポータルサイト」：目的から選ぶ！施策一覧 (2022.2.1 更新)

- サイバーセキュリティの基本的なところから知りたい方

- 少しわかってきたけどもっと詳しく知りたい方

- 「自社職員にセキュリティレベルを上げてもらいたい！という方」

- 経営とセキュリティの両方の視点から学びたい方（戦略マネジメント層）

- 地域で開催されているイベントを知りたい方

●情報セキュリティ対策に関してのプレゼンターを探したい

- 情報セキュリティに関する知識とスキルを有し、企業等に対して、普及啓発を行うことができる人

- ⇒ IPAセキュリティプレゼンター検索(IPA)

- https://security-shien.ipa.go.jp/presenter/search/

- 情報セキュリティ対策支援サイト【IPA】内

- セキュリティプレゼンターとして情報の公開に同意された方を検索できます。

■具体的な対策の実施を支援してくれるサービスを探したい (2022.2.2 更新)

●情報セキュリティ対策を支援してくれるサービスを探したい

- 特定の事業者を紹介することはできないが、下記のリストを参考にして、自らの状況に応じて、選択してください。

- ⇒ 情報セキュリティサービス基準適合サービスリスト（IPA）

- https://www.ipa.go.jp/security/it-service/service_list.html

- 経済産業省が策定した「情報セキュリティサービス基準」により、適合性が審査され、登録された機関がリスト化されている。

- ※下記リストに掲載されたサービス及び事業者についてのIPAによるいかなる保証等をも意味するものではない。

- 情報セキュリティ監査サービス

- 脆弱性診断サービス

- デジタルフォレンジックサービス

- セキュリティ監視・運用サービス

●サイバーインシデント発生時の対応を依頼できる企業を探したい

- ⇒ サイバーインシデント緊急対応企業一覧　(JNSA)

- https://www.jnsa.org/emergency_response/

- 緊急で対応を請け負ってくれる、頼りになるJNSA所属企業をリスト化したもの

CHECK4　助成制度を活用したい

■IT化・セキュリティ対策助成制度等

- ⇒ 中小企業向けサイバーセキュリティお助け隊（サイバーセキュリティ事後対応支援実証事業）(IPA)

- https://www.ipa.go.jp/security/keihatsu/sme/otasuketai/index.html

- 今後は、サービス基準を充足するサービスに「サイバーセキュリティお助け隊マーク」を付与することで普及を促進する

- ⇒ サイバーセキュリティお助け隊サービス(IPA)

- https://www.ipa.go.jp/security/otasuketai-pr/

- サイバーセキュリティお助け隊サービスリスト

- ⇒ 令和3年度中小企業サイバーセキュリティ向上支援事業（東京都）

- https://cybersecurity.metro.tokyo.lg.jp/torikumi/332/

- ⇒ 令和3年度 サイバーセキュリティ対策促進助成金（東京都中小企業振興公社）

- https://www.tokyo-kosha.or.jp/support/josei/setsubijosei/cyber.html

- サイバーセキュリティ対策促進助成金活用例

- https://cybersecurity.metro.tokyo.lg.jp/torikumi/47/

【コラム】日常的に、最新情報をウオッチしよう！

■Twitter

●公的機関

- 中小企業サイバーセキュリティ対策相談窓口

- https://twitter.com/cys_tokyo

- 警視庁サイバーセキュリティ対策本部

- https://twitter.com/MPD_cybersec

- IPA（情報セキュリティ安心相談窓口）

- https://twitter.com/IPA_anshin

- IPA （ICATalerts）

- https://twitter.com/ICATalerts

- 内閣サイバー(注意・警戒情報)

- https://twitter.com/nisc_forecast

- JVN 脆弱性レポート

- https://twitter.com/jvnjp

- JPCERTコーディネーションセンター

- https://twitter.com/jpcert

- フィッシング対策協議会

- https://twitter.com/antiphishing_jp

- JNSA

- https://twitter.com/jnsa

●民間

- サイバーセキュリティ情報局

- https://twitter.com/MalwareInfo_JP

- マイクロソフト セキュリティチーム

- https://twitter.com/JSECTEAM

- マカフィー株式会社

- https://twitter.com/McAfee_JP

- ノートン 公式 ツイッター

- https://twitter.com/NortonJapan

- トレンドマイクロ

- https://twitter.com/trendmicro_jp

- F-Secure Japan 【公式】

- https://twitter.com/FSECUREBLOG

- ラック公式

- https://twitter.com/lac_security

■ブックマーク

- キーワード「セキュリティ」を含む新着エントリー - はてなブックマーク

- https://b.hatena.ne.jp/keyword/セキュリティ

■Webページ

- JC3 情報提供 注意喚起情報

- https://www.jc3.or.jp/info/heads-up.html

- ・JC3:あなたのパスワードが侵害されました

- ・不正送金等

- JPCERT/CC　注意喚起

- ・マルウエアEmotetの感染に関する注意喚起

- https://www.jpcert.or.jp/at/2019/at190044.html

■いつでも参考にできるようにしておきたい資料

- 「INFORMATION 6-3　セキュリティお役立ちリンク」内の「いつでも参考にできるようにしておきたい資料・情報サイト」を参照してください。

INFORMATION 6-2_App.02_経営者の理解のもと、組織としてセキュリティ対策をしっかりと！

2021.11.8

相談窓口に、ITを使っているが、セキュリティ侵害が心配、対策は何から進めたらいいか分からないという相談が寄せられています。

ここでは、特にそのような組織への答えになるように、段階を踏んで進めるためのポイントと参考になる情報ページを提示します。

具体的な対応のために参考にしていただければと思います。

■セキュリティ対策は、どんな手順で進めるべきか？

●STEP1 まずは、自社の現状を把握する

★取り急ぎ、簡単に診断してみる

- 「5分でできる！情報セキュリティ自社診断」

- ※「中小企業の情報セキュリティ対策ガイドライン」内資料

★ITおよびサイバーセキュリティに関して、組織はどの程度の意識を持っているか？

- MISSION 3-5 ITの活用診断
自組織は、「ITおよびサイバーセキュリティに関する組織の視点6分類」のどの分類に相当するかを認識する。

★セキュリティ侵害等による損失に見合ってセキュリティ対策の投資を行っているか

- MISSION 3-6 サイバーセキュリティ投資診断

★自社のセキュリティ対策の実施状況を診断し、他社と比較し可視化する

- MISSION 3-7 情報セキュリティ対策診断
「情報セキュリティ対策ベンチマーク」の設問に答えて、自組織のセキュリティレベルと他社との比較を、散布図、レーダーチャート、スコア（点数）などで可視化し、どの程度の対策ができているかを認識する。

●STEP2 経営者に理解してもらってやるべきこと

★「新たな価値の創出」と「既存事業の業務生産性向上や働き方の変革」という二つのアプローチを認識してもらう

- MISSION 3-8 業務の効率化、サービスの維持のために

★経営者が認識すべきサイバーセキュリティの経営の原則を認識してもらう

- MISSION 3-9 経営者が認識すべきサイバーセキュリティ経営３原則

★経営者が情報セキュリティ全般を統括する「最高情報セキュリティ責任者（CISO）」に指示すべき項目を認識してもらう

- MISSION 3-10 経営者がやらなければならないサイバーセキュリティ経営の重要10項目

●STEP3 具体的な対策を進めるには

セキュリティ対策を段階的に進めるための手順と内容

（※「中小企業の情報セキュリティ対策ガイドライン【IPA】」を要約したもの）

★経営者が率先して段階的に対策に取り組む手順

- INFORMATION 6-4 中小企業の情報セキュリティ対策の段階的レベルアップ

★どんな情報資産を保有し、それぞれの情報資産に対してどんなリスクがあるかを分析

- INFORMATION 6-4 App.02 情報資産台帳の作成と詳細リスク分析

★効率的に自社に適した規程を作成する方法

- INFORMATION 6-4 App.03 情報セキュリティ関連規程に記載すべき項目

●STEP4 具体的な対策の実施

★具体的な対策は、このガイドラインを参考にして実施することが効率的

- 「中小企業の情報セキュリティ対策ガイドライン」【IPA】

■経営者に知ってもらいたい社会の動向・国等の施策

●中小企業にとってDX推進はビジネス飛躍のチャンス

- MISSION 3-11 次世代技術を活用したビジネス展開

●国が示す考え方

★我が国が目指すべき未来社会の姿

- Society 5.0とは【内閣府】

★デジタル変革後の産業の姿やその中での企業の姿と、今後の政策

- デジタル産業の創出に向けた研究会の報告書『DXレポート1（DXレポート2追補版）』【METI】

★企業経営のためのサイバーセキュリティに係る基本的な考え方

- 企業経営のためのサイバーセキュリティの考え方の策定について【NISC】

★経営者のリーダーシップの下で、サイバーセキュリティ対策を推進するためガイドライン

- 「サイバーセキュリティ経営ガイドライン」【METI】

●脅威を認識してもらう（セキュリティ被害の状況）

★2020年に発生した社会的に影響が大きかったと考えられる情報セキュリティにおける事案

- 「情報セキュリティ10大脅威 2021」【IPA】

INFORMATION 6-3　セキュリティお役立ちリンク

2021.10.25

サイバーセキュリティ対策に有用な文献、Webページには下記のようなものがあります。必要に応じて情報を収集しましょう。

●サイバーセキュリティに関する基本文書、白書、解説文書

基本文書

（法律・基本計画・各種方針等）

サイバーセキュリティ基本法

総務省

サイバーセキュリティ戦略

NISC

サイバーセキュリティ2021

NISC

セキュリティ関連NIST文書

IPA

各種白書・年次報告書類

情報通信白書

総務省

AI白書

IPA

情報セキュリティ白書

IPA

IT人材白書

IPA

●各実施事項の参考情報

全般

企業経営のためのサイバーセキュリティの考え方

NISC

サイバーセキュリティ経営ガイドライン

経済産業省

サイバーフィジカルセキュリティフレームワーク（CPSF）

経済産業省

サイバーサプライチェーンリスクマネジメント

IPA

ISMS適合評価制度

JIPDEC

DX関連

Society5.0

内閣府

サイバーフィジカルシステム（CPS）

JEITA

DXレポート2 中間取りまとめ（概要）

経済産業省

DXの推進に関するお役立ちコンテンツ一覧

IPA

テレワーク関連

テレワークで始める働き方改革─テレワークの導入・運用ガイドブック

厚生労働省

テレワークを実施する際にセキュリティ上留意すべき点について

NISC

テレワークセキュリティガイドライン第４版

総務省

テレワーク勤務のサイバーセキュリティ対策！

警視庁

IoTセキュリティ関連

IoTセキュリティガイドライン ver 1.0

総務省

IoTセキュリティ対応マニュアル産業保安版

経済産業省

安全なIoTシステムのためのセキュリティに関する一般的枠組

NISC

IoTセキュリティチェックリスト

JPCERT/CC

IoT・5Gセキュリティ総合対策プログレスレポート

総務省

人材育成関連

iコンピテンシディクショナリ（iCD）について

IPA

ITSS+・ITスキル標準（ITSS）・情報システムユーザースキル標準（UISS）関連情報

IPA

サイバーセキュリティ体制構築・人材確保の手引き

経済産業省

情報処理技術者試験・情報処理安全確保支援士試験

IPA

●いつでも参考にできるようにしておきたい資料・情報サイト

内閣サイバーセキュリティセンター（NISC）

みんなでしっかりサイバーセキュリティ

みんなで使おうサイバーセキュリティ・ポータルサイト

サイバーセキュリティ関係法令_Q&AハンドブックVer1.0

情報処理推進機構（IPA）

情報セキュリティ

「ここからセキュリティ！」ポータルサイト

中小企業の情報セキュリティ対策ガイドライン 第3版

SECURITY ACTION セキュリティ対策自己宣言

サイバー情報共有イニシアティブ（J-CSIP）

JPCERTコーディネーションセンター（JPCERT/CC）

緊急情報を確認する

脆弱性対策情報データベース（JVN iPedia）

JPCERT/CCに依頼する

総務省

国民のためのサイバーセキュリティサイト

国民のためのサイバーセキュリティサイト リンク集

東京都

中小企業向けサイバーセキュリティ対策の極意 ポータルサイト

ガイドブック『中小企業向けサイバーセキュリティ対策の極意』

警視庁

警視庁 情報セキュリティ広場

インターネット上における犯罪に関する情報提供

日本サイバー犯罪対策センター（JC3）

脅威情報

迷惑メール相談センター

迷惑メール・チェーンメール関連パンフレット

迷惑メール関連の関係法令・窓口等（迷惑メール白書） （Page.140～143）

INFORMATION 6-3 App.01 セキュリティお役立ちリンク【詳細編】

2021.12.14 改訂

■国等の基本文書、白書、解説文書

●基本文書（法律・基本計画・各種方針等）

- 経済財政運営と改革の基本方針（骨太方針）【閣議決定】

- 経済財政運営と改革の基本方針2021【経済財政諮問会議にて策定中】

- https://www5.cao.go.jp/keizai-shimon/kaigi/cabinet/2020/decision0717.html

- IT総合戦略室_デジタル・ガバメント実行計画【内閣府】

- https://cio.go.jp/guides

- デジタル・ガバメント推進標準ガイドライン解説書【内閣府IT総合戦略室】

- https://cio.go.jp/guides#kaisetusyo

- デジタル・ガバメント推進標準ガイドライン実践ガイドブック【内閣府IT総合戦略室】

- https://cio.go.jp/guides#guidebook

- デジタル社会形成基本法【内閣府】

- https://cio.go.jp/node/2734

●基本文書（サイバーセキュリティ関連）

- （法律・基本計画・各種方針等）

- サイバーセキュリティ基本法

- https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/basic/legal/11.html

- サイバーセキュリティ戦略【NISC】

- https://www.nisc.go.jp/active/kihon/pdf/cs-senryaku2021.pdf

- サイバーセキュリティ2021【NISC】

- https://www.nisc.go.jp/active/kihon/pdf/cs2021.pdf

- セキュリティ関連NIST文書【IPA】

- https://www.ipa.go.jp/security/publications/nist/index.html

- 重要インフラのサイバーセキュリティを改善するためのフレームワーク【NIST】

- NIST SP800-172_制御された未分類の情報を保護するための強化されたセキュリティ要件：NIST Special Publication 800-171の補足【2021年2月】

- https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-172.pdf

- https://www.ipa.go.jp/files/000071204.pdf

- 重要インフラの情報セキュリティ対策に関する主な資料【NISC】

- https://www.nisc.go.jp/active/infra/siryou.html

- 重要インフラにおける機能保証の考え方に基づくリスクアセスメント手引書(ZIP)【NISC】

- https://www.nisc.go.jp/active/infra/files/tebikishorev.zip

- サイバーセキュリティ研究開発戦略【NISC】

- https://www.nisc.go.jp/conference/cs/kenkyu/dai16/pdf/16shiryou0201.pdf

●各種白書・年次報告書類

- 情報通信白書【総務省】

- https://www.soumu.go.jp/johotsusintokei/whitepaper/

- DX白書2021【IPA】

- https://www.ipa.go.jp/ikc/publish/dx_hakusho.html

- AI白書【IPA】

- https://www.ipa.go.jp/ikc/our_activities/rs_01.html

- 情報セキュリティ白書【IPA】

- https://www.ipa.go.jp/ikc/our_activities/rs_03.html

- IT人材白書【IPA】

- https://www.ipa.go.jp/jinzai/jigyou/about.html

- 迷惑メール白書2020 参考編／資料編

- https://www.dekyo.or.jp/soudan/aspc/wp.html

- 情報セキュリティ10大脅威【IPA】

- https://www.ipa.go.jp/security/vuln/10threats2021.html

●情報セキュリティマネジメント（ISMS）関連

- ISMS適合性評価制度【JIPDEC】

- https://isms.jp/isms.html

- JIS Q 27002_2014 情報技術?セキュリティ技術?情報セキュリティ管理策の実践のための規範【JIPDEC】

- ISMSユーザーズガイド-JISQ270012014(ISO_IEC270012013)対応【JIPDEC】

■各実施事項毎の参考情報【経営者、管理者向け】

●サイバーセキュリティ全般

- 企業経営のためのサイバーセキュリティの考え方【NISC】

- （サイバーセキュリティに関する組織の視点6分類のベースとなる資料）

- https://www.nisc.go.jp/active/kihon/pdf/keiei.pdf

- サイバーセキュリティ経営ガイドライン【METI】

- https://www.meti.go.jp/policy/netsecurity/mng_guide.html

- サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）関連【METI】

- サイバー・フィジカル・セキュリティ対策フレームワーク（CPSF）を策定しました

- https://www.meti.go.jp/press/2019/04/20190418002/20190418002.html

- サイバーサプライチェーンリスク. マネジメント

- サイバー・フィジカル・セキュリティ対策フレームワーク ～Society5.0 における新たなサプライチェーン （バリュークリエイションプロセス）の信頼性の確保に向けて～

- https://www.meti.go.jp/press/2019/04/20190418002/20190418002-2.pdf

- サイバーセキュリティ協議会【METI】

- サイバーセキュリティ協議会

- https://www.nisc.go.jp/conference/cs/kyogikai/

- 昨今の産業を巡るサイバーセキュリティに係る状況の認識と、今後の取組の方向性についての報告書【METI】

- https://www.meti.go.jp/press/2020/06/20200612004/20200612004.html

- 中小企業向けサイバーセキュリティ事後対応支援実証事業（サイバーセキュリティお助け隊-成果報告書【METI】

- https://www.ipa.go.jp/security/fy2019/reports/sme/otasuketai_houkoku.html

- サイバーサプライチェーンリスクマネジメント調査報告【IPA】

- https://www.ipa.go.jp/security/fy28/reports/scrm/index.html

- 中小企業の情報セキュリティ対策ガイドライン（第3版）【IPA】

- https://www.ipa.go.jp/security/keihatsu/sme/guideline/

●サイバーセキュリティ対策に関する参考情報【サイバーセキュリティ経営ガイドラインVer 2.0関連】

- サイバーセキュリティ経営ガイドラインVer 2.0【METI】より転載

- 重要１０項目全般に関連する参考情報

- サイバーセキュリティ経営ガイドライン解説書 [Ver.2.0]（IPA）

- （サイバーセキュリティ経営ガイドラインの３原則、重要１０項目を具体的に実施するための考え方につい解説。）

- https://www.ipa.go.jp/security/economics/csmgl-kaisetsusho.html

- 中小企業の情報セキュリティ対策ガイドライン [第3版]（IPA）

- (中小企業がセキュリティ対策に取り組む上でのポイントを解説したガイドライン。最低限対策が求められる

- 「情報セキュリティ5か条」や、企業のセキュリティ対策状況を診断する「5分でできる！情報セキュリティ自社診断」等の付録も提供。)

- https://www.ipa.go.jp/security/keihatsu/sme/guideline/

- ISO/IEC 27002:2013（ISO/IEC）

- （情報マネジメントシステムの仕様を定めた国際標準規格であり、情報セキュリティ管理のベストプラクティスを提供。）

- Framework for Improving Critical Infrastructure Cybersecurity [Version 1.0]（NIST）

- 重要インフラに係わる企業向けに実施すべきセキュリティ対策を「特定」、「防御」、「検知」、「対応」、「復旧」の5つの機能に分類し、さらにそれらの機能を22のカテゴリーで提示した米国のガイドライン。重要インフラ以外の企業でも活用可能。）

- https://www.nist.gov/sites/default/files/documents/cyberframework/cybersecurity-framework-021214.pdf

- SP800-53 [Rev.4]（NIST）

- （連邦政府機関が実施すべきセキュリティ対策を提示した米国のガイドライン。米国連邦政府向けのクラウドサービスを提供する際に、本ガイドラインへの準拠が要求される場合がある。）

- http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r4.pdf

- SP800-171 [Rev.1]（NIST）

- （連邦政府機関以外の組織及び情報システムに対するCUI11を保護する上で実施すべきセキュリティ対策を提示した米国のガイドライン。米国連邦政府関係の業務を受託する際に、本ガイドラインへの準拠が要求される場合がある。）

- http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-171r1.pdf

- 指示３「サイバーセキュリティ対策のための資源（予算、人材等）の確保」に関連する参考情報

- ITのスキル指標を活用した情報セキュリティ人材育成ガイド[2015年5月]（IPA）

- （サイバー攻撃等を防ぐためにどのような対策が必要で、その対策を実施するためにはどのような人材が必要なのかを例示し、人材育成を行うためのヒントをまとめたガイドライン。）

- https://www.ipa.go.jp/files/000039528.pdf

- 職場の情報セキュリティ管理者のためのスキルアップガイド[2015年9月]（IPA）

- （セキュリティ上の脅威を取り上げ、被害を防ぐためにはどのような対策を実施すべきかを例示し、セキュリティ管理者としての役割を具体的に提示したガイドライン。）

- https://www.ipa.go.jp/files/000047872.pdf

- 指示４「サイバーセキュリティリスクの把握とリスク対応に関する計画の策定」に関連する参考情報

- 中小企業の情報セキュリティ対策ガイドライン[第3版]（IPA）

- （本ガイドラインの4章にてリスク分析の手法を解説。また、リスク分析の実施を支援するリスク分析シートも付録して提示。）

- https://www.ipa.go.jp/security/keihatsu/sme/guideline/

- 指示５「サイバーセキュリティリスクに対応するための仕組みの構築」に関連する参考情報

- 「高度標的型攻撃」対策に向けたシステム設計ガイド[2014年9月]（IPA）

- （標的型攻撃対策として、システム内部への侵入を前提とした上で、侵害拡大防止及び監視強化を目的とした内部対策について解説したガイドライン。）

- https://www.ipa.go.jp/files/000046236.pdf

- 高度サイバー攻撃への対処におけるログの活用と分析方法[1.0版]（JPCERT/CC）

- （サイバー攻撃への備えと効果的な対策の観点から、一般的に利用される機器に攻撃者の活動の痕跡をログとして残すための考え方、それらのログから痕跡を見つけ出す方法等を記載したガイドライン。）

- https://www.jpcert.or.jp/research/apt-loganalysis.html

- 組織における内部不正防止ガイドライン [第4版]（IPA）

- （組織における内部不正を防止するために実施すべき対策として、10の観点（コンプライアンス、職場環境等）のもと30項目の対策を提示したガイドライン。）

- https://www.ipa.go.jp/files/000057060.pdf

- 秘密情報の保護ハンドブック [平成 28 年 2 月]（経済産業省）

- （秘密情報の漏えいを未然に防止するための対策例を集めて紹介したハンドブック。）

- http://www.meti.go.jp/policy/economy/chizai/chiteki/trade-secret.html

- 指示６「サイバーセキュリティ対策におけるPDCAサイクルの実施」に関連する参考情報

- 情報セキュリティマネジメントシステム（ISMS）適合性評価制度（JIPDEC）

- （情報セキュリティマネジメントシステムにおける国際標準規格 ISO/IEC27001 に基づいて第三者認証を行う制度。）

- https://isms.jp/isms.html

- サイバーセキュリティマネジメントシステム（CSMS）適合性評価制度（JIPDEC）

- （産業用オートメーション及び制御システムを対象としたサイバーセキュリティマネジメントシステムにおける国際標準規格 IEC62443-2 に基づいて第三者認証を行う制度。）

- https://isms.jp/csms.html

- 情報セキュリティ管理基準（経済産業省）

- （情報セキュリティマネジメントの構築から具体的な管理策に至るまで包括的な内容を含み、国際標準規格ISO/IEC27001 とも整合を持った基準。）

- http://www.meti.go.jp/policy/netsecurity/is-kansa/index.html

- 情報セキュリティ対策ベンチマーク（IPA）

- （Web 上で質問に答えることによって、自社のセキュリティ対策の実施状況を散布図、レーダーチャート、スコア等で表示するツール。自社の対策状況を他社の対策状況と比較することも可能。）

- http://www.ipa.go.jp/security/benchmark/

- 安全なウェブサイトの作り方 [第 7 版]（IPA）

- （セキュリティを考慮した Web サイトを作成するための技術的な対策を提示したガイドライン。別冊としてWeb サイトに脆弱性が存在していないかを確認するためのテスト項目を提示したウェブ健康診断仕様等も提供。）

- https://www.ipa.go.jp/security/vuln/websecurity.html

- JVN（IPA、JPCERT/CC）

- （日本で使用されているソフトウェア等の脆弱性関連情報とその対策情報を提供する、脆弱性対策情報ポータルサイト。）

- https://jvn.jp/

- 指示７「インシデント発生時の緊急対応体制の整備」に関連する参考情報

- CSIRT 構築マテリアル（JPCERT/CC）

- （組織的なインシデント対応を行うための CSIRT を構築する上で、「構想フェーズ」、「構築フェーズ」、「運用フェーズ」のそれぞれの段階で考慮すべきポイントを解説したガイドライン。）

- https://www.jpcert.or.jp/csirt_material/

- CSIRT 構築に役立つ参考資料（日本シーサート協議会）

- （CSIRT の構築に際し、構築初心者／経営者向け説明時／構築担当者の企画・構築・運用の各段階におけるドキュメント類をまとめた参考資料集。）

- http://www.nca.gr.jp/activity/build-wg-document.html

- 指示８「インシデントによる被害に備えた復旧体制の整備」に関連する参考情報

- 事業継続ガイドライン [平成 25 年 8 月改定]（内閣府）

- （事業継続計画の策定・改善にあたって、事業継続の必要性を明示し、実施が必要な事項、望ましい事項等を提示したガイドライン。）

- http://www.bousai.go.jp/kyoiku/kigyou/pdf/guideline03.pdf

- 指示９「ビジネスパートナーや委託先等を含めたサプライチェーン全体の対策および状況把握」に関連する参考情報

- 情報サービス・ソフトウェア産業における下請適正取引等の推進のためのガイドライン [平成29年3月]（経済産業省）

- （下請適正取引等の推進を図ることを目的として策定したものであり、個人情報保護やセキュリティ対策に係る取り組み等の考慮すべき事項を解説したガイドライン。）

- http://www.chusho.meti.go.jp/keiei/torihiki/2014/140313shitaukeGL3.pdf

- SECURITY ACTION セキュリティ対策自己宣言 （IPA）

- （中小企業がセキュリティ対策に取り組むことを自己宣言する制度。）

- https://www.ipa.go.jp/security/security-action/

- 指示１０「情報共有活動への参加を通じた攻撃情報の入手とその有効活用および提供」に関連する参考情報

- 届出・相談・情報提供（不正アクセスやウイルス等に関する届出）（IPA）

- （コンピュータウイルス、不正アクセス、脆弱性関連情報等に関する届出を行う際の届出様式、届出先、届出状況等を提供する Web サイト。）

- https://www.ipa.go.jp/security/outline/todoke-top-j.html

- 標的型サイバー攻撃特別相談窓口（IPA）

- （標的型サイバー攻撃を受けた際に、専門的知見を有する相談員が対応する窓口。）

- https://www.ipa.go.jp/security/tokubetsu/

- サイバー情報共有イニシアティブ（J-CSIP）（IPA）

- （重要インフラで利用される機器の製造業者、電力業界、ガス業界、化学業界、石油業界、資源開発業界、自動車業界、クレジット業界において情報共有と早期対応を行うための活動。）

- https://www.ipa.go.jp/security/J-CSIP/

- @police（警察庁）

- （サイバー犯罪・サイバーテロの未然防止及び被害の拡大防止を図るために、ネットワークセキュリティに関する様々な情報を提供する Web サイト。）

- https://www.npa.go.jp/cyberpolice/

●DX関連

- Society5.0【内閣府】

- https://www8.cao.go.jp/cstp/society5_0/

- サイバーフィジカルシステム（CPS)【JEITA】

- https://www.jeita.or.jp/cps/about/

- DXレポート ～ITシステム「2025年の崖」克服とDXの本格的な展開～【METI】

- https://www.meti.go.jp/shingikai/mono_info_service/digital_transformation/20180907_report.html

- デジタルトランスフォーメーションを推進するためのガイドライン（DX推進ガイドライン）Ver.1【2018年12月METI】

- https://www.meti.go.jp/press/2018/12/20181212004/20181212004.html

- DX時代における企業のプライバシーガバナンス【METI】

- https://www.meti.go.jp/policy/it_policy/privacy/privacy.html

- 産業界におけるデジタルトランスフォーメーションの推進 【METI】

- デジタル・トランスフォーメーション（DX）推進に向けた企業とIT人材の実態調査【METI】

- https://www.ipa.go.jp/ikc/reports/20200514_1.html

- DXレポート2中間取りまとめ【METI】

- https://www.meti.go.jp/press/2020/12/20201228004/20201228004.html

- DXの推進に関するお役立ちコンテンツ一覧【IPA】

- https://www.ipa.go.jp/ikc/imanavi.html

- デジタルトランスフォーメーション（DX）の推進【2021年9月27日IPA】

- https://www.ipa.go.jp/ikc/our_activities/dx.html

- DX促進に向けた文書を公開～企業ビジネスモデルの変革によるDX実現を後押し～【2020年11月IPA】

- https://www.ipa.go.jp/ikc/reports/20200609.html

- プラットフォームデジタル化指標について【2020年6月】

- https://www.ipa.go.jp/files/000082761.pdf

- DX認証制度 DXへの一歩を踏み出そう！【2021年4月2日IPA】

- https://www.ipa.go.jp/ikc/info/dxcp.html

- 【解説書等】

- 【参考】DX推進指標自己分析結果分析レポート【2020年5月28日IPA】

- https://www.ipa.go.jp/ikc/reports/20200528.html

- 【参考】プラットフォームデジタル化指標について【2020年6月IPA】

- https://www.ipa.go.jp/files/000082761.pdf

- 【参考】DX推進セミナー～DXの実現に向けた取り組み～

- https://www.ipa.go.jp/ikc/seminar/20200302.html

テレワーク関連

- テレワーク実施者の方へ【NISC】

- https://www.nisc.go.jp/security-site/telework/

- テレワークを実施する際にセキュリティ上留意すべき点について【2020年4月9日NISC】

- https://www.nisc.go.jp/active/general/pdf/telework20200414.pdf

- ★テレワーク総合情報サイト【総務省】

- https://telework.soumu.go.jp/

- テレワークセキュリティガイドライン（第５版）【総務省】

- https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/

- インターネットの安全・安心ハンドブック【NISC】

- https://www.nisc.go.jp/security-site/handbook/

- サイバーセキュリティ経営ガイドライン【METI/IPA】

- https://www.meti.go.jp/policy/netsecurity/mng_guide.html

- 中小企業の情報セキュリティ対策ガイドライン【IPA】

- https://www.ipa.go.jp/security/keihatsu/sme/guideline/

- ★テレワーク総合ポータルサイト【厚生労働省】

- https://telework.mhlw.go.jp/info/doc/

- テレワークの適切な導入及び実施の推進のためのガイドライン

- https://www.mhlw.go.jp/content/000759469.pdf

- テレワークの適切な導入及び実施の推進のためのガイドライン（リーフレット）

- https://www.mhlw.go.jp/content/000766329.pdf

- テレワークではじめる働き方改革_テレワークの導入・運用ガイドブック【2019年12月厚生労働省】

- https://telework.mhlw.go.jp/wp/wp-content/uploads/2019/12/H28hatarakikatakaikaku.pdf

- テレワークを行う際のセキュリティ上の注意事項【IPA】

- https://www.ipa.go.jp/security/announce/telework.html

- テレワーク勤務のサイバーセキュリティ対策！ 警視庁

- https://www.keishicho.metro.tokyo.jp/kurashi/cyber/joho/telework.html

●AI関連

- 「AI利活用ハンドブック～AIをかしこく使いこなすために～」

- https://www.caa.go.jp/policies/policy/consumer_policy/meeting_materials/review_meeting_004/ai_handbook.html

- AI・データの利用に関する契約ガイドライン【METI】

- https://cio.go.jp/node/2651

●IoTセキュリティ関連

- 欧州ネットワーク情報セキュリティ機関（ENISA）「IoTのベースラインセキュリティに関する提言」概要【2018年1月19日IPA】

- https://www.ipa.go.jp/files/000063605.pdf

- IoT・5Gセキュリティ総合対策【2019年8月総務省】

- https://www.soumu.go.jp/main_content/000641510.pdf

- IoT・5Gセキュリティ総合対策プログレスレポート2020【2020年5月サイバーセキュリティタスクフォース】【総務省】

- https://www.soumu.go.jp/main_content/000688845.pdf

- IoTセキュリティチェックリスト【JPCERT/CC】

- https://www.jpcert.or.jp/research/IoT-SecurityCheckList.html

- IoTセキュリティガイドライン ver1.0【総務省と経済産業省による「IoT推進コンソーシアム　IoTセキュリティワーキンググループ」】

- http://www.iotac.jp/wg/security/

- IoTセキュリティガイドライン ver1.0概要

- https://www.soumu.go.jp/main_content/000428394.pdf

- IoT・5Gセキュリティ総合対策プログレスレポート2020【2020年5月サイバーセキュリティタスクフォース】【総務省】

- https://www.soumu.go.jp/main_content/000688845.pdf

- 【スライド資料】IoT機器への対策を含むサプライチェーンサイバーセキュリティの強化【2018年METI商務情報政策局】

- http://www.iotac.jp/wp-content/uploads/2016/01/03_%E8%B3%87%E6%96%99%EF%BC%93-%E7%B5%8C%E7%94%A3%E7%9C%81%E8%AA%AC%E6%98%8E%E8%B3%87%E6%96%99.pdf

- IoTセキュリティチェックリスト

- https://www.jpcert.or.jp/research/IoT-SecurityCheckList.html

- IoTセキュリティ・セーフティ・フレームワーク（IoT-SSF）

- https://www.meti.go.jp/press/2020/11/20201105003/20201105003.html

- 【削除】IoTセキュリティ対応マニュアル産業保安版

- https://www.meti.go.jp/policy/safety_security/industrial_safety/sangyo/hipregas/files/security_manual.pdf

- 「安全なIoTシステムのためのセキュリティに関する一般的枠組」【NISC】

- https://www.nisc.go.jp/active/kihon/res_iot_fw2016.html

IT-BCP関連

- IT-BCP 策定モデル【NISC】

- https://www.nisc.go.jp/active/general/pdf/IT-BCP.pdf

インシデント対応

- インシデント発生時に組織内で整理しておくべき事項（サイバーセキュリティ経営ガイドライン_付録C）【METI】

- https://www.meti.go.jp/policy/netsecurity/downloadfiles/CSM_Guideline_app_C.xlsx

個人情報保護関連

- GDPR（General Data Protection Regulation：一般データ保護規則）【個人情報保護委員会】

- https://www.ppc.go.jp/enforcement/infoprovision/laws/GDPR/

- DX企業のプライバシーガバナンスガイドブックver1.0【2020年8月3日METI】

- https://www.meti.go.jp/press/2020/08/20200828012/20200828012.html

システム開発・運用（外部委託）

- 政府機関等の対策基準策定のためのガイドライン【NISC】

- https://www.nisc.go.jp/active/general/kijun30.html

- 改正民法に対応した「情報システム・モデル取引・契約書」を公開 ～ユーザ企業・ITベンダ間の共通理解と対話を促す～【IPA】

- https://www.ipa.go.jp/ikc/reports/20191224.html

●人材育成

- デジタルリテラシー関連

- 「デジタルリテラシー協議会」

- https://www.dilite.jp/

- 次世代技術を活用したビジネス展開のためのデジタルリテラシーの習得

- iCD関連

- iコンピテンシディクショナリ（iCD）について

- https://www.ipa.go.jp/jinzai/hrd/i_competency_dictionary/index.html

- ITSS+関連

- ITSS+・ITスキル標準（ITSS）・情報システムユーザースキル標準（UISS）関連情報

- https://www.ipa.go.jp/jinzai/itss/itssplus.html

- データサイエンス領域

- https://www.ipa.go.jp/files/000063897.xlsx

- アジャイル領域

- https://www.ipa.go.jp/files/000065571.pdf

- IoTソリューション領域

- https://www.ipa.go.jp/files/000065568.pdf

- セキュリティ領域

- https://www.ipa.go.jp/files/000058688.xlsx

- DX関連

- デジタル・トランスフォーメーション推進人材の機能と役割のあり方に関する調査【2020年5月15日IPA】

- https://www.ipa.go.jp/ikc/reports/20190412.html

- ITおよびセキュリティ関連人材スキル評価基準 (2021.12.14追記)

- 情報セキュリティマネジメントに要求される知識と技能【シラバス】【情報セキュリティマネジメント試験】

- https://www.jitec.ipa.go.jp/sg/

- 【参考】【まとめ】情報セキュリティマネジメントに要求される知識と技能【シラバス】（Bib05-13）

- https://bluemoon55.github.io/Sharing_Knowledge2/MindManager2/Bib05-13.html

- サイバーセキュリティ体制構築・人材確保の手引き(サイバーセキュリティ経営ガイドライン：付録F)（PDF形式）（2020年9月30日公開）

- http://www.meti.go.jp/policy/netsecurity/downloadfiles/tebiki.pdf

- セキュリティ業務を担う人材のスキル可視化施策の考察～プラス・セキュリティ人材の可視化に向けて～1.0版【2019年10月30日JNSA】

- https://www.jnsa.org/isepa/images/outputs/JTAGreport2019.pdf

- 情報処理技術者試験

- 情報処理技術者試験・情報処理安全確保支援士試験

- https://www.jitec.ipa.go.jp/

法令・規則

- サイバーセキュリティ関係法令_Q&AハンドブックVer1.0

- https://www.nisc.go.jp/security-site/law_handbook/index.html

- 迷惑メール関係法令・窓口等【迷惑メール白書2020】【P.142～145】

- https://www.dekyo.or.jp/soudan/data/anti_spam/whitepaper/2020/wp2020.pdf

一般ユーザ向け啓発資料【IT利用局面毎】

- インターネット利用

- 小さな中小企業とNPO向け情報セキュリティハンドブック【NISC】

- https://www.nisc.go.jp/security-site/blue_handbook/index.html

- インターネットの安全・安心ハンドブック【NISC】

- https://www.nisc.go.jp/security-site/handbook/index.html

- ネット接続製品の安全な選定・利用ガイド【IPA】

- https://www.ipa.go.jp/security/vuln/report/notice/guideforconsumer.html

- インターネットでの不正行為を発見した場合

- 違法情報・有害情報、誹謗中傷情報

- 違法・有害情報相談センターへの相談

- ECサイト利用

- 利用者向けフィッシング詐欺対策ガイドライン【2020年6月フィッシング対策協議会】

- https://www.antiphishing.jp/report/guideline/consumer_guideline2020.html

- http://www.antiphishing.jp/report/consumer_antiphishing_guideline_2020.pdf

- なりすましECサイト対策対応マニュアル【2015年3月セーファーインターネット協会】

- https://www.saferinternet.or.jp/wordpress/wp-content/uploads/narisumashi_manual.pdf

- 電子メール

- 特定電子メールの送信の適正化等に関する法律のポイント（2020年度版）【日本データ通信協会迷惑メール相談センター】

- https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/pdf/m_mail_pamphlet.pdf

- チェーンメール対策BOOK_「撃退！チェーンメール 」（2021年度版）【日本データ通信協会迷惑メール相談センター】

- https://www.dekyo.or.jp/soudan/data/chain/chainbook.pdf

- 詐欺メール対策リーフレット「そのメール、詐欺カモ！？」（2021年度）【日本データ通信協会迷惑メール相談センター】

- https://www.dekyo.or.jp/soudan/data/info/A4_maildesagi.pdf

- 迷惑メール対策BOOK_「撃退！迷惑メール」（2021年度版）【日本データ通信協会迷惑メール相談センター】

■サイバーセキュリティ関連組織が開設するポータルサイト

- 内閣サイバーセキュリティセンター（NISC）

- https://www.nisc.go.jp/

- みんなでしっかりサイバーセキュリティ

- https://www.nisc.go.jp/security-site/index.html

- みんなで使おうサイバーセキュリティ・ポータルサイト

- https://security-portal.nisc.go.jp/

- 情報処理推進機構（IPA）

- https://www.ipa.go.jp/

- 情報セキュリティ トップページ

- https://www.ipa.go.jp/security/

- ここからセキュリティ！ 情報セキュリティ・ポータルサイト

- https://www.ipa.go.jp/security/kokokara/

- SECURITY ACTION セキュリティ対策自己宣言

- https://www.ipa.go.jp/security/security-action/

- サイバー情報共有イニシアティブ（J-CSIP）

- https://www.ipa.go.jp/security/J-CSIP/

- サイバーセキュリティお助け隊サービス

- https://www.ipa.go.jp/security/otasuketai-pr/

- JPCERTコーディネーションセンター（JPCRT/CC）

- https://www.jpcert.or.jp/

- 緊急情報を確認する

- https://www.jpcert.or.jp/menu_alertsandadvisories.html

- 脆弱性対策情報データベース（JVN）

- https://jvn.jp/

- JPCERT/CCに依頼する

- https://www.jpcert.or.jp/menu_reporttojpcert.html

- 総務省

- 国民のための情報セキュリティサイト（総務省）

- https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/

- リンク集｜国民のための情報セキュリティサイト - 総務省

- https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/link.html

- 経済産業省

- サイバーセキュリティ政策

- https://www.meti.go.jp/policy/netsecurity/index.html

- 日本サイバー犯罪対策センター（JC3）

- https://www.jc3.or.jp/

- 情報セキュリティ広場（警視庁）

- https://www.keishicho.metro.tokyo.jp/kurashi/cyber/index.html

- セーファーインターネット協会（一般社団法人）

- https://www.saferinternet.or.jp/

INFORMATION 6-4　中小企業の情報セキュリティ対策の段階的レベルアップ

CHECK　情報セキュリティ対策の進め方

情報技術の進歩・普及に伴い経営効率が向上した一方、重要情報の漏えいや消失、改ざんなど技術特有の不利益が発生する機会も増してきています。

これら不利益が対策の不備により生じた場合、経営者は取引先や従業員などへの社会的・道義的責任に加え、法的責任も追及されるおそれがあります。

近年は企業情報を狙うサイバー脅威も日々巧妙化しています。自社を守るためには、経営者が率先して対策に取り組むことが大切です。

●中小企業の情報セキュリティ対策ガイドライン

https://www.ipa.go.jp/security/keihatsu/sme/guideline/

情報セキュリティ対策を推進する際に参考にしたいのが、「中小企業の情報セキュリティ対策ガイドライン」（情報処理推進機構〈IPA〉）です。

このガイドラインは情報の安全管理の重要性や企業の保有する機微な情報を各種の脅威から保護するための対策の考え方や段階的に実現するための方策を紹介する目的で作成されたものです。まずはこのガイドラインを参考に、自社に適した対策を実践していくとよいでしょう。

●「中小企業の情報セキュリティ対策ガイドライン」

Step 1　できるところから始める（最低限のルール「情報セキュリティ5か条」）

資金や人材が限られる中小企業にとって、最初から全ての対策に取り組むことは容易ではありません。まずは、基本的な対策を取りまとめた「情報セキュリティ５か条」に取り組むことからはじめ、段階的に対策を講じていきましょう。

Action1　OSやソフトウェアは常に最新の状態にしよう！

Windows OS、Mac OS、Androidなどはいずれも常に最新バージョンに！

Office、Adobe Readerなど利用中のソフトウェアも常に最新バージョンに！

「自動アップデート」は　必ずONに！

Action2　ウイルス対策ソフトを導入しよう！

ウイルス定義ファイルは自動更新に設定！

ファイアウォールや脆弱性対策なども可能な統合型セキュリティ対策ソフトを導入！

ウイルス対策ソフトも常に 最新に！

Action3　パスワードを強化しよう！

ID・パスワードは推測、解析やウェブサービスから流出することで不正ログインに悪用される恐れがある！

「長く」「複雑」「使い回さない」を徹底しよう！

パスワードは使い回さない！

Action4 共有設定を見直そう！

クラウドサービスの共有を限定的に！

ネットワーク接続の複合機、カメラ、ハードディスク、NASなどの共有を限定的に！

従業員の異動や退職時に設定の変更や削除漏れがないように！

利用者は必要な人だけに！

Action5　脅威や攻撃の手口を知ろう！

セキュリティ専門機関から常に最新の脅威情報を収集！

利用中のネットバンクやクラウドサービスからの注意喚起を確認！

最新情報で対策を！

Step 2　組織的な取り組みを開始する

基本的対策の次は組織的な対策です。「中小企業の情報セキュリティ対策ガイドライン」とその付録を参考に自社に適した基本方針を作成し、社内関係者に周知します。また、自社のセキュリティ診断を実施して、取り得る対策を検討していきましょう。

Action1　情報セキュリティ基本方針の作成と周知

従業員の指針であり、関係者に対して取り組みを表明するための情報セキュリティに関する基本方針を経営者が定め、簡潔な文書にまとめて周知します。

「中小企業の情報セキュリティ対策ガイドライン」と付録2の「情報セキュリティ基本方針（サンプル）」を参考に、経営者と連携して自社に適した基本方針を作成しましょう。

●付録2　「情報セキュリティ基本方針（サンプル）」

Action2　実施状況の把握

付録3の「5分でできる！情報セキュリティ自社診断」を利用して、情報セキュリティ対策がどれくらい実施できているかを把握しましょう。

●付録3　「5分でできる！　情報セキュリティ自社診断」

Action3　対策の決定と周知

「5分でできる！情報セキュリティ自社診断」の結果を基に、解説編を参考にして実施すべき情報セキュリティを検討しましょう。

Step 3　本格的に取り組む

情報セキュリティ基本方針を具体的に実現するために、情報セキュリティ責任者を任命して責任分担と連絡体制を整備しましょう。また、情報セキュリティ事故が発生した場合など、緊急時対応体制も整備しておきましょう。

Action1　管理体制の構築

情報セキュリティ基本方針を具体的に実現するために、情報セキュリティ責任者、情報部門責任者、システム管理者、教育責任者、点検責任者を任命して責任分担と連絡体制を整備しましょう。また、情報セキュリティ事故が発生した場合など、緊急時対応体制も整備しておきましょう。

Action2　IT利活用方針と情報セキュリティの予算化

クラウドサービスの普及によってIT利活用の方法が多様化したことで、情報セキュリティリスクも多様化しています。自社で利用している情報システムやサービスの台帳を作成したり図式化したりして把握した上で対策を検討し、必要な予算を確保しましょう。

Action3　情報セキュリティ規程の作成

事業内容や取り扱う情報、職場環境、IT利活用の状況に応じて、「中小企業の情報セキュリティ対策ガイドライン」付録5の「情報セキュリティ関連規程（サンプル）」を参考に、情報セキュリティ規程を作成しましょう。（1）対応するリスクの特定、（2）対策の決定、（3）規程の作成の順に進めます。

●付録5　「情報セキュリティ関連規程（サンプル）」

（1）対応すべきリスクの特定

●情報資産の洗い出し

まずは、情報資産台帳として、自社で管理している情報資産を悉皆的にリストアップする。

●情報資産管理台帳の作成

- 特に、セキュリティ侵害を受けると事業の継続を脅かされると思われる情報資産に関しては、保存場所はどこか、個人情報を含むか、なども調査しておく。

※具体的には、「INFORMATION 6-4 App.02  情報資産台帳の作成と詳細リスク分析」を参照してください。

（2）リスク対策の決定

いつ事故が起きてもおかしくない、あるいは事故が起きると大きな被害になるなど、リスクが大きなものを優先して対策を実施する。事故が起きる可能性が小さいか、発生しても被害が軽微であるものなど、リスクが小さいものについては、現状のままにするなど、合理的に対応します。

※次のステップ4では、「対策をより強固にする」ために、「Action6 詳細リスク分析の実施」において、洗い出した情報資産に対して、詳細なリスク値（リスクの大きさ）を算定し、リスク対策（リスクの低減、回避、移転、保有）を決定して、より効率的、効果的な対策を実施します。

（3）規程の作成

「（2）リスク対策の決定」で決定した対策を、文書化した規程を作成します。作成に当たっては、「情報セキュリティ関連規程（サンプル）」をひな形にして、自社に適した規程として作成すると、漏れがなく効率的です。

Action4　委託時の対策

業務の一部または全部を外部に委託したり、レンタルサーバーやクラウドサービスなどの外部サービスを利用したりして、重要な情報を渡したり処理を依頼したりする場合には、委託先に実施してもらう情報セキュリティ対策も決めましょう。取引条件のひとつとして、契約書や覚書に具体的な対策を明記しましょう。

Action5　点検と改善

「情報セキュリティ5か条」や「5分でできる！情報セキュリティ自社診断」、自社の情報セキュリティ対策に関するルール・規程を基準に、情報セキュリティ対策が、計画通りに実行されているか、見落としている対策はないか、対策がセキュリティ事故防止の役に立っているかを確認しましょう。

Step 4　対策をより強固にする

本格的な対策に取り組んでいても、必要な対策を追加して強固にしましょう。

Action1　情報収集と共有

情報セキュリティに関する脅威や攻撃の手口を知り、社内や取引先、同業者と共有することで対策レベルの向上につなげましょう。

Action2　ウェブサイトの情報セキュリティ

情報漏えいや改ざんなどの被害が発生する攻撃の対象になりやすいWebサイトの運営形態、構築、運営それぞれの段階に応じた対策を講じましょう。

Action3　クラウドサービスの情報セキュリティ

クラウドサービスに適した情報セキュリティ対策について、サービスの選定、運用、セキュリティ対策の3段階で検討しましょう。

Action4　情報セキュリティサービスの活用

コンサルテーションや教育サービス、監査サービスなど、情報セキュリティ対策を強固にする外部のサービスの利用を検討しましょう。

Action5　技術的対策例と活用

ネットワーク脅威対策やコンテンツセキュリティ対策など、情報セキュリティ対策の向上に資する製品やソフトウェアの導入を検討しましょう。

Action6　詳細リスク分析の実施

（1）情報資産の洗い出し、（2）リスク値の算定、（3）情報セキュリティ対策の決定の順で、リスクの洗い出しと対策の検討を行いましょう。

●情報資産ごとの機密性・完全性・可用性の評価

- 情報資産毎に、機密性、完全性、可用性が損なわれた場合の事業への影響や、法律で安全管理義務があるなどを勘案して、評価値を算定する。

●機密性・完全性・可用性の評価値から重要度を算定

- 情報資産ごとの機密性、完全性、可用性の評価値をもとに、重要度を算定する。

●リスク対策の分類

- 情報資産の重要度を勘案して、必要とされるリスク対策を決定する。

- ①リスクを低減（リスクの発生確率を下げる対策）

- ②リスクを回避（リスクが発生する可能性を除去する対策）

- ③リスクを移転（リスクを他者等の移す対策）

- ④リスクを保有（残留リスクとして識別）

※具体的には、「INFORMATION 6-4 App.02  情報資産台帳の作成と詳細リスク分析」を参照してください。

INFORMATION 6-4 App.02 情報資産台帳の作成と詳細リスク分析

概要

「中小企業の情報セキュリティ対策ガイドライン」では、「本格的に取り組む」アクションとして、①管理体制の構築、②IT活用方針と情報セキュリティの予算化、③情報セキュリティ規程の作成、④委託時の対策、⑤点検と改善が、挙げられています。

③情報セキュリティ規程の作成に当たっては、まず、どんな情報資産を保有し、それぞれの情報資産に対してどんなリスクがあるか、それを見極めた上で、どのようなリスク対策をするかを決定することがことが重要です。次のステップで、リスク対策を実施できるようにルール化した「情報セキュリティ規程」を作成します。

※【引用】中小企業の情報セキュリティ対策ガイドライン第3版【IPA】より抜粋し要約

策定の流れ

手順1 情報資産の洗い出し

業種、事業内容、IT環境によって保有する情報資産は異なるため、自社の情報資産を一通り洗い出し、情報資産ごとの機密性・完全性・可用性を評価し、それぞれの評価値から重要度を算定する

情報資産管理台帳の作成

情報資産管理台帳は洗い出した情報資産を「見える化」するための方法の一つ

①業務分類

- 情報資産に関連する業務や部署名を記入します。情報資産は業務に関連して発生しますので、まず関連業務や部署を特定し、その業務や部署で利用している情報を洗い出すと記入漏れが少なくなります。

②情報資産名称

- 情報資産の内容を簡潔に記入します。正式名称がないものは社内の通称で構いません。管理方法や重要度が同じものは1行にまとめます。

③備考

- 必要に応じて説明等を記入します。

④利用者範囲

- 情報資産を利用してよい部署等を記入します。

⑤管理部署

- 情報資産の管理責任がある部署等を記入します。小規模事業者であれば担当者名を記入しても構いません。

⑥媒体・保存先

- 情報資産の媒体や保存場所を記入します。書類と電子データの両方で保存している場合は、それぞれ完全性・可用性（機密性は同一）や脅威・脆弱性が異なるので2行に分けて記入します。 例）見積書「電子データを事務所PC に保存」「印刷して書類を保管」

⑦個人情報の種類

- 各項目が個人情報保護法、マイナンバー法で定義されています。

⑧重要度

- 重要度定義シートまたは中小企業の情報セキュリティ対策ガイドライン45表10を参照して、情報資産の機密性、完全性、可用性それぞれの評価値を記入します。3種類の評価値から中小企業の情報セキュリティ対策ガイドラインP.46表11に基づき重要度が表示されます。なお、⑦でいずれかの個人情報が「有」の場合、重要度は自動的に「2」となります。

⑨保存期限

- 法定文書は法律で定められた保存期限を、それ以外は利用が完了して廃棄、消去が必要となる期限を記入します。

⑩登録日

- 登録した日付を記入します。内容を更新した場合は更新日に修正します。

情報資産ごとの機密性・完全性・可用性の評価

機密性、完全性、可用性が損なわれた場合の事業への影響や、法律で安全管理義務があるなど、評価基準を参考に評価値２～０を記入します。

機密性

アクセスを許可された者だけが情報にアクセスできる

機密性レベル２

- 法律で安全管理（漏えい、滅失又はき損防止）が義務付けられている

- 守秘義務の対象や限定提供データ12 として指定されている

- 漏えいすると取引先や顧客に大きな影響がある

- 自社の営業秘密として管理すべき（不正競争防止法による保護を受けるため）漏えいすると自社に深刻な影響がある

機密性レベル１

- 漏えいすると業務に大きな影響がある

機密性レベル０

- 漏えいしても業務にほとんど影響はない

完全性

情報や情報の処理方法が正確で完全である

完全性レベル２

- 法律で安全管理（漏えい、滅失又はき損防止）が義務付けられている

- 改ざんされると自社に深刻な影響または取引先や顧客に大きな影響がある

完全性レベル１

- 改ざんされると業務に大きな影響がある

完全性レベル０

- 改ざんされても事業にほとんど影響はない

可用性

許可された者が必要な時に情報資産にアクセスできる

可用性レベル２

- 利用できなくなると自社に深刻な影響または取引先や顧客に大きな影響がある

可用性レベル１

- 利用できなくなると事業に大きな影響がある

可用性レベル０

- 利用できなくなっても事業にほとんど影響はない

機密性・完全性・可用性の評価値から重要度を算定

重要度は、機密性、完全性、可用性いずれかの最大値で判断します。 「情報資産管理台帳」に記入した機密性・完全性・可用性の評価値をもとに、判断基準に従い、重要度を算定します。

※下記の場合は、算定結果に関わらず、重要度は２とします。

- 企業の存続を左右しかねない場合

- 事故が起きると法的責任を問われる

- 取引先、顧客、個人に大きな影響がある

- 事業に深刻な影響を及ぼす

- 個人情報を含む場合

情報資産の重要度の判断基準

重要度レベル２

- 機密性・完全性・可用性評価値のいずれかまたはすべてが「2」の情報資産

重要度レベル１

- 機密性・完全性・可用性評価値のうち最大値が「1」の情報資産

重要度レベル０

- 機密性・完全性・可用性評価値すべてが「0」の情報資産

手順２ リスク値の算定

優先的・重点的に対策が必要な情報資産を把握する

洗い出した情報資産について、対策の優先度を決めるため、リスク値（リスクの大きさ）を算定

リスク値＝重要度×被害発生可能性

「被害発生可能性」

「被害発生可能性」は「脅威の起こりやすさ」と「脆弱性のつけ込みやすさ」の２つの数値から算出

脅威の起こりやすさ

脅威レベル３

- 通常の状況で脅威が発生する（いつ発生してもおかしくない）

脅威レベル２

- 特定の状況で脅威が発生する（年に数回程度）

脅威レベル１

- 通常の状況で脅威が発生することはない

脆弱性のつけ込みやすさ

脆弱性レベル３

- 対策を実施していない（ほぼ無防備）

脆弱性レベル２

- 部分的に対策を実施している

脆弱性レベル１

- 必要な対策をすべて実施している

被害発生可能性

- 被害発生可能性=脅威レベル÷（4－脆弱性レベル）

脆弱性

脅威

3

2

1

3

3

2

1

2

2

1

1

1

1

1

1

被害発生可能性レベル３

- 通常の状況で被害が発生する（いつ発生してもおかしくない）

被害発生可能性レベル２

- 特定の状況で被害が発生する（年に数回程度）

被害発生可能性レベル１

- 通常の状況で被害が発生することはない

手順３ 情報セキュリティ対策を決定

リスクの大きな情報資産に対して必要とされる対策を決める

リスク対策の分類

- ①リスクを低減（リスクの発生確率を下げる対策）

- 情報セキュリティ対策を導入ないし強化することで、脆弱性を改善し、事故が起きる可能性を下げる

- 例：重要な情報へのアクセス制御、ソフトウェアの更新の徹底

- ②リスクを回避（リスクが発生する可能性を除去する対策）

- 仕事のやりかたを変える、情報システムの利用方法を変えるなどして、想定されるリスクそのものをなくす

- 例：端末の持ち出し禁止 （外部での盗難のリスクを回避）

- ③リスクを移転（リスクを他者等の移す対策）

- 自社よりも有効な対策を行っている、あるいは補償能力がある他社のサービスを利用することで自社の負担を下げる

- 例：クラウドサービスの利用、サイバー保険の加入

- ④リスクを保有（残留リスクとして識別）

- 事故が発生しても許容する

- あるいは対策にかかる費用が損害額を上回る場合などは対策を講じず、現状を維持する

参考資料

中小企業の情報セキュリティ対策ガイドライン第3版【IPA】

第2部実践編

- 「より強固にするための方策」の「詳細リスク分析の実施方法」

サイバーセキュリティ経営ガイドライン [Ver.2.0]【METI/IPA】

サイバーセキュリティ経営の重要10項目

- 指示4：サイバーセキュリティリスクの把握とリスク対応に関する計画の策定

INFORMATION 6-4 App.03 情報セキュリティ関連規程に記載すべき項目

概要

企業を取り巻くリスクは、事業内容や取り扱う情報、職場環境、ITの利用状況などによっても異なることがあり、汎用的な規程をそのまま使っても、自社に適さないことが考えられます。そこでここでは、効率的に自社に適した規程を作成する方法を解説します。

※引用：「中小企業の情報セキュリティ対策ガイドライン第3版」(IPA )よりポイントを抜粋

具体的に情報セキュリティに関する対策基準及び実施手順を作成する場合は、「情報セキュリティ関連規程（サンプル）」をひな形として、自社に合った内容として加筆・訂正してください。

また、より詳細で体系的・網羅的な対策を規程化する際には、下記の資料等を参考にしてください。

- NIST Special Publication 800-172（管理対象非機密情報を保護するための拡張セキュリティ要件NIST SP 800-171の補足）【IPA翻訳】

- ゼロトラスト導入指南書〜情報系・制御系システムへのゼロトラスト導入〜【IPA】

①対応すべきリスクの特定

- 経営者が避けたい重大事故から対応すべきリスクを特定

②対策の決定

- リスクの大きなものを優先して対策を実施

- リスクが小さなものは許容するなど、合理的に対応

③規程の作成

- 「情報セキュリティ関連規程（サンプル）」を参考に、自社に適した規定にするために修正を加える

情報セキュリティ関連規程の概要

1.組織的対策

情報セキュリティのための管理体制の構築や点検、情報共有などのルールを定めます。

2.人的対策

取締役及び従業員の責務や教育、人材育成などのルールを定めます。

3.情報資産管理

情報資産の管理や持ち出し方法、バックアップ、破棄などのルールを定めます。

4.アクセス制御及び認証

情報資産に対するアクセス制御方針や認証のルールを定めます。

5.物理的対策

セキュリティ領域の設定や領域内での注意事項などのルールを定めます。

6.IT機器利用

IT機器やソフトウェアの利用などのルールを定めます。

7.IT基盤運用管理

サーバーやネットワーク等のITインフラに関するルールを定めます。

8.システムの開発及び保守

独自に開発及び保守を行う情報システムに関するルールを定めます。

9.委託管理

業務委託にあたっての選定や契約、評価のルールを定めます。業務委託契約書の機密保持に関する条項例と委託先チェックリストのサンプルが付属します。

10.情報セキュリティインシデント対応ならびに事業継続管理

情報セキュリティに関する事故対応や事業継続管理などのルールを定めます。

11.個人番号及び特定個人情報の取り扱い

マイナンバーの取り扱いに関するルールを定めます。

1.組織的対策：

情報セキュリティのための管理体制の構築や点検、情報共有などのルールを定めます。

1.1.情報セキュリティのための組織

- 情報セキュリティ対策を推進するための組織として、情報セキュリティ委員会を設置する。

- 情報セキュリティ委員会は、情報セキュリティ対策状況の把握、情報セキュリティ対策に関する指針の策定・見直し、情報セキュリティ対策に関する情報の共有を実施する。

1.2.情報セキュリティ取組みの監査・点検/点検

- 監査・点検/点検責任者は、情報セキュリティ関連規程の実施状況について、○月に点検を行い、監査・点検/点検結果を情報セキュリティ委員会に報告する。

- 情報セキュリティ委員会は、報告に基づき、以下の点を考慮し、必要に応じて改善計画を立案する。

1.3.情報セキュリティに関する情報共有

- 情報セキュリティ責任者は、新たな脅威及び脆弱性に関する警戒情報及び個人情報の保護に関する情報を専門機関等から適時に入手し、委員会で共有する。

- IPA

- [情報セキュリティ]

- https://www.ipa.go.jp/security/

- [ここからセキュリティ]

- https://www.ipa.go.jp/security/kokokara/

- JVN（Japan Vulnerability Notes）

- https://jvn.jp/index.html

- JPCERT/CC

- https://www.jpcert.or.jp/

- 個人情報保護委員会

- http://www.ppc.go.jp/

2.人的対策：

取締役及び従業員の責務や教育、人材育成などのルールを定めます。

2.1.雇用条件

- 従業員を雇用する際には秘密保持契約を締結する。

2.2.従業員の責務

- 従業員は、当社が営業秘密として管理する情報及びその複製物の一切を許可されていない組織、人に提供してはならない。

- 従業員は、当社の情報セキュリティ方針及び関連規程を遵守する。違反時の懲戒については、就業規則に準じる。

2.3.雇用の終了

- 従業員は、在職中に交付された業務に関連する資料、個人情報、顧客・取引先から当社が交付を受けた資料又はそれらの複製物の一切を退職時に返還する。

- 従業員は、在職中に知り得た当社の営業秘密もしくは業務遂行上知り得た技術的機密を利用して、競合的あるいは競業的行為を行ってはならない。

2.4.情報セキュリティ教育

- 教育責任者は、情報セキュリティに関する教育計画を年度単位で立案する。

2.5.人材育成

- 教育責任者は、推奨資格の取得による従業員の情報セキュリティに対する意識向上を年度単位で計画する。計画には関連テキストの配付、公開セミナーへの派遣、受験費用の予算化を含むこととする。

3.情報資産管理：

情報資産の管理や持ち出し方法、バックアップ、破棄などのルールを定めます。

3.1.情報資産の管理

- 3.1.1.情報資産の特定と機密性の評価

- 事業に必要で価値がある情報及び個人情報（以下「情報資産」という）を特定し、「情報資産管理台帳」に記載する。

- 3.1.2.情報資産の分類の表示

- 情報資産の機密性を表示する。

- 3.1.3.情報資産の管理責任者

- 情報資産の取り扱い関する情報セキュリティの運用管理責任者は、当該情報資産を利用する部門長とする。

- 3.1.4.情報資産の利用者

- 情報資産の利用者の範囲は、「情報資産管理台帳」の利用者範囲欄に示された部門に従事する従業員とする。

3.2.情報資産の社外持ち出し

- 情報資産を社外に持ち出す場合には、情報資産の重要度に応じた許可と管理手順に従って実施する。

3.3.媒体の処分

- 3.3.1.媒体の廃棄

- 社外秘又は極秘の情報資産を廃棄する場合は、媒体に応じて、細断/溶解/焼却、破壊/細断/完全消去等の処分を行う。

- 3.3.2.媒体の再利用

- 極秘又は社外秘の情報資産を保存した媒体を再利用する場合は、完全消去等の処分を行う。

3.4.バックアップ

- 3.4.1.バックアップ取得対象

- 情報システム管理者は、各機器で処理するデータのバックアップを定期的に取得する。

- 3.4.2.バックアップ媒体の取り扱い

- バックアップに利用した機器及び媒体の保管は、所定の手順に従う。

- 3.4.3.クラウドサービスを利用したバックアップ

- クラウドサービスを利用し、外部のサーバーにバックアップを保存する場合は、各サービス要件を確認し、情報セキュリティ責任者の許可を得て導入する。

4.アクセス制御及び認証：

情報資産に対するアクセス制御方針や認証のルールを定めます。

4.1.アクセス制御方針

- 社外秘又は極秘の情報資産を扱う情報システム又はサービスに対するアクセス制御は以下の方針に基づいて運用する。対象となるシステム等は「9.1アクセス制御対象情報システム及びアクセス制御方法」に記載する。

4.2.利用者の認証

- 社外秘又は極秘の情報資産を扱う社内情報システムは、重要度に従った方針に基づいて利用者の認証を行う。

4.3.利用者アカウントの登録

- 利用者の認証に用いるアカウントは、代表取締役又は情報セキュリティ責任者の承認に基づき登録する。

4.4.利用者アカウントの管理

- 利用者の認証に用いるアカウントが不要になった場合、情報システム管理者は、当該アカウントの削除又は無効化を、当該アカウントが不要になる日の翌日までに実施する。

4.5.パスワードの設定

- 利用者の認証に用いるパスワードは、以下に注意して設定する。パスワードの設定条件は、「9.3利用者アカウント・パスワードの条件」を参照のこと。

- 十分な強度のあるパスワードを用いる。

- 他者に知られないようにする。

4.6.従業員以外の者に対する利用者アカウントの発行

- 当社の従業員以外の者にアカウントを発行する場合は、代表取締役又は情報セキュリティ責任者の承認を得たうえで、秘密保持契約を締結する。

4.7.機器の識別による認証

- 社外秘又は極秘の情報資産を扱う情報システムに、ネットワーク接続によりアクセスする際の認証方式として、機器の識別による認証を用いる。認証方法等は「9.4機器の認証方法」を参照のこと。

4.8.端末のタイムアウト機能

- 社外秘又は極秘の情報資産を扱う情報システムの端末もしくは情報機器を、アカウントを付与していない者が接触可能な場所に設置する場合は、接続時間制限やタイムアウト等機能を利用する。

4.9.標準設定等

- 4.9.1.アクセス制御対象情報システム及びアクセス制御方法

- 情報システム・サービス毎に適切なアクセス制御方法を適用する。

- 4.9.2.利用者認証方法

- 情報システムの種別毎に適切な利用者認証方式を適用する。

- 4.9.3.利用者アカウント・パスワードの条件

- 特権アカウント、一般アカウント毎に、適切なアカウント名、パスワード設定条件を明記する。

- 4.9.4.機器の認証方法

- MACアドレス、IPアドレス、ドメイン名毎にサーバおよびルータ等の機器での認証方法を明記する。

5.物理的対策：

セキュリティ領域の設定や領域内での注意事項などのルールを定めます。

5.1.セキュリティ領域の設定

- 当社内で扱う情報資産の重要度に応じて、社内の領域を区分し、利用者、施錠、設置可能情報機器、制限事項、部外者管理、管理記録、侵入検知、来客用名札、火災対策等の対策方法を明記する。

5.2.関連設備の管理

- 情報機器に関連する設備の設置場所を明記する。

5.3.セキュリティ領域内注意事項

- セキュリティ領域では区分にかかわらずセキュリティ上注意すべき事項があれば明記する。

5.4.搬入物の受け渡し

- 郵便物及び宅配便の受取り・受け渡し場所を明記する。

6.IT機器利用：

IT機器やソフトウェアの利用などのルールを定めます。

6.1.ソフトウェアの利用

- 6.1.1.標準ソフトウェア

- 業務に利用するパソコンには、当社の標準ソフトウェアを導入する。当社の標準ソフトウェア以外のソフトウェアを導入する場合は、情報システム管理者の許可を得たうえで導入する。

- 6.1.2.ソフトウェアの利用制限

- 情報システム管理者は、利用者の業務に不要な機能をあらかじめ取除いて提供する。従業員は、業務に不要なシステムユーティリティやインストールされているソフトウェアを利用しない。

- 6.1.3.ソフトウェアのアップデート

- 従業員は、業務で使用するソフトウェアを最新の状態で利用する。

- 6.1.4.ウイルス対策ソフトウェアの利用

- 6.1.4.1.ウイルス検知

- 従業員は、以下の方法でウイルス検知を行う。

- ネットワーク経由で入手するファイルは、自動検知機能を有効にしてウイルス検知を実施する。

- 電子媒体を用いてファイルの受け渡しを行う場合は、媒体内のファイルにウイルス検知を実施する。

- 6.1.4.2.ウイルス対策ソフト定義ファイルの更新

- 従業員は、パソコン・スマートフォン・タブレットに導入したウイルス対策ソフトウェアの定義ファイルを随時更新する。持ち出し用ノートパソコンは利用時に定義ファイルの更新を確認する。

- 6.1.4.3.社外機器のLAN接続

- 当社が管理するパソコン及びサーバー以外の機器を社内LANに接続することを禁止する。業務上必要な場合は、情報システム管理者の許可を得たうえで、ウイルスが検知されないことを確認してから接続する。

- 6.1.5.ウイルス対策の啓発

- 情報システム管理者は、適宜ウイルスに関する情報を収集し、重大な被害を与えるウイルスに対しては、対応策及び対応に必要な修正プログラムを社内に公開及び通知する。

6.2.IT機器の利用

- 従業員は、業務に利用するパソコン・タブレット・スマートフォンには、ログインパスワードを設定する。

6.3.クリアデスク・クリアスクリーン

- 6.3.1.クリアデスク

- 従業員は、社外秘又は極秘の書類及び電子データを保存したノートパソコン、USBメモリ、HDD、CD等の持ち運び可能な機器や媒体の扱いについて明記する。

- 6.3.2.クリアスクリーン

- 従業員は、離席時に以下のいずれかによりパソコンの画面をロックし、クリアスクリーンを徹底する。

6.4.インターネットの利用

- 6.4.1.ウェブ閲覧

- 情報システム管理者は、ウイルス等の悪意のあるソフトウェアに感染するおそれがあると認められる有害ウェブサイトは社内周知/ウェブフィルタリングソフトを使用して、従業員の閲覧を制限する。

- 6.4.2.オンラインサービス

- 従業員は、インターネットで提供されているサービスを業務で利用する場合は、情報システム管理者の許可を得る。

- 6.4.3.SNSの個人利用

- 当社の業務に関わる情報の書き込みは行わない。

- 6.4.4.電子メールの利用

- 誤送信、メールアドレス漏えい、傍受による漏えい等の防止する方法、添付ファイル暗号化、クラウド型メール等の利用方法を明記する。

- 6.4.5.ウイルス感染の防止

- 標的型攻撃メール等によるウイルス感染を防止するため、疑わしいメールの要件に合致する場合は十分に注意し、添付ファイルを開く、又はリンクを参照するなどしない。

6.5.私有IT機器・電子媒体の利用

従業員個人が所有するパソコン、タブレット、スマートフォン、携帯電話等のIT機器及びUSBメモリ、HDD、CD等の電子媒体を業務で利用する場合は、情報システム管理者の許可を得る/利用することを禁止する。

- 6.5.1.利用開始時

- 利用を開始する前に利用する本人が実施すべき事項を明記する。

- 6.5.2.利用期間中
IT機器や電子媒体の扱いで実施すべき事項を明記する。

- 6.5.2.1.社内での利用

- 利用期間中に利用する本人が実施すべき事項を明記する。

- 6.5.3.利用終了時

- 利用を終了する際には、IT機器業務で利用したデータを完全に消去し、復元できない状態にして情報システム管理者の了解を得る。

6.6.標準等

- 6.6.1.標準ソフトウェア

- 標準的に使用するソフトウェアの名称及びバージョン等を明記する。

- 6.6.2.ソフトウェアのアップデート方法

- ソフトウェア毎のアップデート方法を明記する。

- 6.6.3.ウイルス対策ソフトウェアの定義ファイルの更新方法

- ウイルス対策ソフトウェアの定義ファイルの更新方法を明記する。

7.IT基盤運用管理：

サーバーやネットワーク等のITインフラに関するルールを定めます。

7.1.管理体制

- 情報システム管理者は、IT基盤の運用に当たり情報セキュリティ対策を考慮し製品又はサービスを選択する。

7.2.IT基盤の情報セキュリティ対策

- 7.2.1.サーバー機器の情報セキュリティ要件

- IT基盤で利用するサーバー機器に求める情報セキュリティ要件は、情報システム管理者が決定する。

- 7.2.2.サーバー機器に導入するソフトウェア

- IT基盤で利用するサーバー機器に導入するソフトウェアは、情報システム管理者が標準ソフトウェアを選定する。

- 7.2.3.ネットワーク機器の情報セキュリティ要件

- IT基盤で利用するネットワーク機器に求める情報セキュリティ要件は、情報システム管理者が決定する。

7.3.IT基盤の運用

- IT基盤の運用を行う際に情報システム管理者が実施すべき事項を明記する。

7.4.クラウドサービスの導入

- IT基盤の一部としてクラウドサービス等の外部サービスを導入する場合は、情報システム管理者がサービスプロバイダの情報セキュリティ対策をあらかじめ評価したうえで選定する。

7.5.脅威や攻撃に関する情報の収集

- 情報システム管理者は、最新の脅威や攻撃に関する情報収集を行い、必要に応じて社内で共有する。

7.6.廃棄・返却・譲渡

- 情報システム管理者は、IT基盤で利用した機器を返却、廃棄、譲渡を行う場合は、データを完全に消去し、情報セキュリティ責任者の承認を得たうえ返却、廃棄、譲渡を行う。

- 内部記憶媒体の破壊又はデータの完全消去を、外部に委託する場合は、破壊又はデータの完全消去を実行したことの証明書を取得する。

7.7.IT基盤標準

- 7.7.1.サーバー機器情報セキュリティ要件

- サーバー機器の種別毎に、情報セキュリティ要件を明記する。

- 7.7.2.IT基盤標準ソフトウェア

- IT基盤標準ソフトウェアの種別毎に、情報セキュリティ要件を明記する。

- 7.7.3.標準ネットワーク機器

- 標準ネットワーク機器の種別毎に、情報セキュリティ要件を明記する。

- 7.7.4.ネットワーク機器情報セキュリティ要件

- ネットワーク機器の種別毎に、情報セキュリティ要件を明記する。

- 7.7.5.クラウドサービス情報セキュリティ対策評価基準

- サービスプロバイダを設定するに当たっての要件及び利用に当たっての条件となる適合性評価制度を明記する。

8.システムの開発及び保守：

独自に開発及び保守を行う情報システムに関するルールを定めます。

8.1.新規システム開発・改修

- 情報システムの開発・改修を行う際には、設定された各工程を経て実施し、各工程の完了時に情報システム管理者の承認を得る。

8.2.脆弱性への対処

- 情報システムのソフトウェア開発を行う際には、当該情報システムの利用環境に応じて設計時に技術的な脆弱性を識別し、対策を講じる。脆弱性に対する対策の有効性は情報システム管理者が判断し、承認する。

8.3.情報システムの開発環境

- 情報システムの開発及び改修を行う環境は、運用環境とは分離する。新たに情報システムの開発を行った場合や、情報システムの改修を行った場合は、当該情報システムの運用を開始する前に、必要な情報セキュリティ対策が講じられていることを確認し、情報システム管理者の承認を得る。

8.4.情報システムの保守

- 情報システムの保守を、開発元又は外部の組織に委託することができない場合、実施すべき事項を明確にし、情報システムに既知の脆弱性が存在しない状態で運用する。

8.5.情報システムの変更

- 情報システムのハードウェア又はソフトウェアの変更を行う際には、設定された工程を経て実施する。各工程の完了時に情報システム管理者の承認を得る。

9.委託管理：

業務委託にあたっての選定や契約、評価のルールを定めます。業務委託契約書の機密保持に関する条項例と委託先チェックリストのサンプルが付属します。

9.1.委託先評価基準

- 情報セキュリティ部門責任者は「情報資産管理台帳」の重要度が1以上である情報資産の取り扱う業務を、外部の組織に委託する場合は、委託先の情報セキュリティ管理について、委託先評価基準に基づいて評価する。

9.2.委託先の選定

- 評価結果に基づき委託先を選定し、情報セキュリティ責任者の承認を得る。

9.3.委託契約の締結

- 委託契約書には、守られるべき事項を明記する。

9.4.委託先の評価

- 委託開始後には、「委託先情報セキュリティ対策状況確認リスト」により、委託先における情報セキュリティ対策の実施状況について定期的に評価する機会を設ける。

9.5.再委託

- 当社が委託する業務を、委託先が他の組織又は個人に再委託する場合には、事前に書面による報告を委託先に求める。

10.情報セキュリティインシデント対応ならびに事業継続管理：

情報セキュリティに関する事故対応や事業継続管理などのルールを定めます。

10.1.対応体制

- 情報セキュリティインシデントが発生した場合の対応体制を明記する。

10.2.情報セキュリティインシデントの影響範囲と対応者

- 情報セキュリティインシデントが発生した場合、影響範囲に対応した事故レベルを設定し、対応者を明記する。

10.3.インシデントの連絡及び報告

- レベル1以上のインシデントが発生した場合、発見者は連絡網に従い、対応者または責任者に速やかに報告し、指示を仰ぐ。

10.4.対応手順

- 10.4.1.漏えい・流出発生時の対応

- 漏えい・流出発生時の事故レベル毎に対応手順を明記する。

- 10.4.2.改ざん・消失・破壊・サービス停止発生時の対応

- 改ざん・消失・破壊・サービス停止発生時の事故レベル毎に対応手順を明記する。

- 10.4.3.ウイルス感染時の初期対応

- ウイルス感染時の初期対応の手順を明記する。

- 10.4.5.届出及び相談

- 情報システム管理者は、インシデント対応後に届け出、報告又は相談する機関を明記する。

10.5.情報セキュリティインシデントによる事業中断と事業継続管理

- 10.5.1.想定される情報セキュリティインシデント

- 代表取締役は、情報セキュリティインシデントの影響により当社事業が中断した場合を想定し明記する。

- 10.5.2.復旧責任者及び関連連絡先

- 被害の対象毎に、復旧責任者、関係者連絡先を明記する。

- 10.5.3.事業継続計画

- インシデント対応責任者は、想定する情報セキュリティインシデントが発生し、事業が中断した際の復旧責任者の役割認識及び関係者連絡先について、有効に機能するか検証する。

- 復旧責任者は、被害対象に応じて復旧から事業再開までの計画を立案する。

11.個人番号及び特定個人情報の取り扱い：

マイナンバーを内容に含む個人情報の取り扱いに関するルールを定めます。

11.1.関係法令・ガイドライン等の遵守

- 当社は、特定個人情報等の取り扱いに関し、「行政手続における特定の個人を識別するための番号の利用等に関する法律」（マイナンバー法）及び「個人情報保護法」及び個人情報保護委員会のガイドラインを遵守します。

11.2.利用目的

- 提供を受けた特定個人情報等の利用目的を厳格に明記する。

11.3.安全管理措置に関する事項

- 当社は、特定個人情報等の漏えい、滅失又は毀損の防止その他の個人番号の適切な管理のために、別途規則を定め、これを遵守します。

11.4.委託の取り扱い

- 当社は、特定個人情報等の取り扱いを第三者に委託することがあります。この場合、当社は、マイナンバー法及び個人情報保護法に従って、委託先に対する必要かつ適切な監督を行います。

11.5.継続的改善

- 当社は、特定個人情報等の取り扱いを継続的に改善するよう努めます。

11.6.特定個人情報等の開示

- 当社は、本人又はその代理人から、当該特定個人情報等に係る保有個人データの開示の求めがあったときは、遅滞なく回答します。

INFORMATION 6-5　中小企業のためのクラウドサービス安全利用手引き

CHECK　クラウドサービスとは

インターネットを通じてソフトウェアやハードウェアを利用する情報システムサービスをクラウドサービスと呼びます。クラウドサービスの利用は、情報システムの構築や管理といった手間が省けるなど、自社での所有・運用と比較して業務の効率化やコストダウンを図れるといったメリットがあります。

CHECK　利用前の確認

クラウドサービスの利用を検討する際は、情報セキュリティ対策の一部がサービス提供事業者に依存してしまうことや、クラウドサービス固有のリスクがある点についても考慮する必要があります。『クラウドサービス安全利用の手引き』（情報処理推進機構＜IPA＞）では、サービスを選択するときのポイントについて事例をあげて解説しています。

●中小企業のためのクラウドサービス安全利用の手引き

https://www.ipa.go.jp/files/000072150.pdf

CHECK　パブリッククラウドとプライベートクラウド

クラウドには大きく「パブリッククラウド」と「プライベートクラウド」があり、前者は、企業・個人を問わず必要なときにサーバーやサービス活用が可能です。後者は、企業・組織が専用環境を構築して社内各部署などにサービス提供する形を指します。しかし、各々メリット・デメリットがあり、両者を統合して利用する「ハイブリッドクラウド」の活用が増えつつあります。

CHECK　クラウドサービス利用時の確認事項

●選択するときのポイント

1

どの業務で利用するか明確にする

どの業務クラウドサービスで行い、どの情報を扱うかを検討し、業務の切り分けや運用ルールを明確にしましたか？

2

クラウドサービスの種類を選ぶ

業務に適したクラウドサービスを選定し、どのようなメリットがあるか確認しましたか？

3

取り扱う情報の重要度を確認する

クラウドサービスで取り扱う情報が漏えい、改ざん、消失したり、サービスが停止したりした場合の影響を確認しましたか？

4

セキュリティのルールと矛盾しないようにする

自社のルールとクラウドサービス活用との間に矛盾や不一致が生じませんか？

5

クラウド事業者の信頼性を確認する

クラウドサービスを提供する事業者は信頼できる事業者ですか？

6

クラウドサービスの安全・信頼性を確認する

サービスの稼働率、障害発生頻度、障害時の回復目標時間などのサービス品質保証は示されていますか？

●運用するときのポイント

7

管理担当者を決める

クラウドサービスの特性を理解した管理担当者を社内に確保していますか？

8

利用者の範囲を決める

クラウドサービスを適切な利用者のみが利用可能となるように管理できていますか？

9

利用者の認証を厳格に行う

パスワードなどの認証機能について適切に設定・管理は実施できていますか？（共有しない、複雑にするなど）

10

バックアップに責任を持つ

サービス停止やデータの消失・改ざんなどに備えて、重要情報を手元に確保して必要なときに使えるようにしていますか？

●セキュリティ管理のポイント

11

付帯するセキュリティ対策を確認する

サービスに付帯するセキュリティ対策が具体的に公開されていますか？

12

利用者サポートの体制を確認する

サービスの使い方がわからないときの支援（ヘルプデスクやFAQ）は提供されていますか？

13

利用終了時のデータを確保する

サービスの利用が終了したときの、データの取り扱い条件について確認しましたか？

14

適用法令や契約条件を確認する

個人情報保護などを想定し、一般的契約条件の各項目について確認しましたか？

15

データ保存先の地理的所在地を確認する

データがどの国や地域に設置されたサーバーに保存されているか確認しましたか？

No15 クラウドサービスのサーバーは日本国外に設定されている場合もありますが、扱うデータによってサーバーの設置国・地域の法規制が適用されることがあります。No 6、11、12、13はスマートSMEサポーター（認定情報処理支援機関）開示情報で確認できます。

出典：IPA「中小企業のためのクラウドサービス安全利用の手引き」より

INFORMATION 6-6 DX時代に不可欠な人材の確保

転載：「iCDでできること」(IPA 超人材育成iCDオフィシャルサイト)より

1. ビジネスの発展のための人材確保のポイント

1.1 企業の維持・発展のために経営者が意識すること

SDGsの達成への貢献：社会的要請に応えることにより企業価値を創造

- これから目指す社会はいわゆる「Society5.0」が示す社会像であり、社会全体が誰も取り残さない持続可能な開発目標（SDGs）の実現を目標に活動している中、全ての企業は、ビジネスの展開の中で、サスティナブルな企業価値の創造が求められている。

- そのような環境において、、「新たな価値の創出」により、ビジネスを発展していくためには、ビジネスの変革が必要であり、ITやデジタル情報を積極的に活用して、ビジネスの変革を加速化させるのが「DX」への対応である。

DXへの早期対応：他組織に先駆けて対応することによるビジネスチャンス

- その変革により、業種業態の枠を越えて新たな価値創出を支えるサプライチェーンを作り出すことが可能になる。

- 中小企業にとっても、従来の枠組みに囚われず、他組織に先駆けてDXを意識し対応することにより、新たなサプライチェーンの中核的な役割を果たすことができ、社会貢献と企業の利益を両立した大きなビジネスチャンスが生まれる。

DX時代のビジネスチャンスを生かすためには、デジタルリテラシーを持った人材の確保が重要

- 「Society5.0」の社会において、IoTやビッグデータ、ロボット、AI、5Gなどの新しいIT及びデジタルの活用が不可欠である。

- 新しいIT及びデジタル技術を活用するためには、従来からのITリテラシーに留まらず、IT・データサイエンス・AIの三方面からデジタルリテラシーを持った人材の育成・確保が重要になる。

- 経営者は、DXへの対応の重要性と、人材確保・育成への費用が「コスト」ではなく、「先行投資」であることの認識を持つチェンジマインドが必要である。

1.2 IT及びデジタル人材の確保

「デジタルを作る人材」の確保

- DX時代のIT・デジタル活用では、データをクラウド環境からIoT等により収集し、ビッグデータを学習データとして、AIにより分析して知識として活用したり、付加価値を付けた情報として提供するようなビジネスモデルが想定される。

- DXに対応するためには、「デジタルを作る人材」であるシステム関連部門では、従来からのITスキルに加えて、データサイエンス・AIを生かせるスキル、知識等が必要である。

- 更に、それらを実践で生かせるマインド、素養を含めてデジタルリテラシーを持つ人材の確保と育成が不可欠である。

「デジタルを作る人材」だけでなく「デジタルを使う人材」の育成も必須

- また、DXの推進には、「デジタルを使う人材」である事業担当部門でも、基礎的なデジタルリテラシーを持つことが必要である。

- ※詳細は、「INFORMATION 6-6_App.02 デジタルリテラシー人材に必要な知識とスキル」を参照のこと。

「リスキリング」：システム関連部署だけでなく、全員がデジタルリテラシーを持つ

- 「デジタルを作る人材」、「デジタルを使う人材」は、「リスキリング」等により、現状にプラスするデジタルリテラシーを持った人材へとスキルアップすることが効果的である。

- 「リスキリング」とは、組織が従業員が成果を発揮し続けられるように新たなスキルを獲得できるようにすることである。企業には、従業員にどんな新しいスキルを獲得してほしいのかを示し、スキル獲得の基盤を構築する責任がある。

- IT及びデジタルを扱うシステムを担当する人材がいないために、十分なITスキルを持たない従業員に、システム管理者として、責任を負わせているケースも多い。その状態では、費用対効果の高い環境構築・運用は難しく、障害等に対応することは更に困難である。

網羅的な素養を確保：人材育成が困難な場合は、外部の人材を積極的に活用

- 業務を担うために必要な人材を確保できなければ、その役割は経営者、責任者が担わなければならない。

- 業務及びシステムに必要な素養を一人で全てを兼ね備えることは困難である。リスキリング等によっても十分に確保できない人材は、外部の組織に支援を求め、事業全体で、スキル・知識の網羅性を確保することが重要である。

- その際においても、外部委託を担当する従業員は、対等に指示できるレベルのデジタルリテラシーが必要である。

1.3 サイバーセキュリティ対策人材

DX with Security：サービスの向上のためにセキュリティ対策は必須

- ITやデジタル情報を活用してどんな利便性の高いサービスを提供しても、どんなに業務を効率化しても、セキュリティ侵害が発生し早期に復旧ができなければ、事業の継続が困難になる。

- セキュリティ対策の必要性の認識のみならず、具体的なセキュリティ対策を実施する必要がある。

まずはデジタルリテラシーを：具体的なセキュリティ対策実践するために

- しかしながら、ITの活用に関しての知識を持たずに、具体的なセキュリティ対応を行うことは困難。まず、ITリテラシーを備えた上で、「プラス・セキュリティ」として、セキュリティに関する知識の習得が有効である。

- ※詳細は、「INFORMATIO 6-6_App.04 デジタルリテラシーに「プラスセキュリティ」」を参照のこと。

1.4 人材育成：必要な素養を効率的・効果的に身に付けるために

そのような人材を確保・育成するためには、関係機関内のそれぞれの役割（タスク）を担う者が、それぞれに必要な素養を効率的・効果的に身に付けるための方策について紹介する。

2. DX推進に必要な知識・スキルの体系

体系

概要

参照

iコンピテンシ―・ディクショナリ（iCD）

企業においてIT・デジタルを利活用するビジネスに求められる業務（タスク）と、それを支えるIT人材の能力や素養（スキル）、知識を辞書（ディクショナリ）として体系化したもの。組織の特性に応じて選択して活用。

https://www.ipa.go.jp/jinzai/hrd/i_competency_dictionary/index.html

情報システムユーザースキル標準（UISS）

ユーザ企業におけるITシステムの利用のために、ユーザが持つべきスキルの標準を参照モデル。

https://www.ipa.go.jp/jinzai/itss/uiss/uiss_download_Ver2_2.html

ITスキル標準（ITSS）

情報サービス提供に関わる個人が持つべきITスキルの標準として、職種別の概要、達成度指標、スキル領域、熟達度指標・知識項目を体系的に整理したもの。

https://www.ipa.go.jp/jinzai/itss/release20120326.html

ITSS+（プラス）

従来ITSSに加えて、第4次産業革命に向けて求められる新たな領域の"学び直し"の指針 として策定されたもの。 従来のITSSが対象としていた情報サービスの提供やユーザー企業の情報システム部門の従事者のスキル強化を目指す。

https://www.ipa.go.jp/jinzai/itss/itssplus.html

データサイエンス領域

企業等の業務において、大量データを分析し、 その分析結果を活用するための一連のタスクとそのために習得しておくべきスキル。

https://www.datascientist.or.jp/common/docs/PR_skillcheck_ver3.00.pdf

アジャイル領域

企業のシステム開発等において、小さな単位で計画から設計、実装、テスト、リリースを繰り返し、小さな単位を組み合わせて段階的に全体をリリースしていく開発手法であり、そのために習得しておくべきスキル。

https://www.ipa.go.jp/jinzai/itss/itssplus.html

IoTソリューション領域

IoTデータを活用し分析手法を駆使し、ビジネスモデルや業務改善するためのソリューションであり、そのために習得しておくべきスキル。

https://www.ipa.go.jp/files/000065568.pdf

セキュリティ領域

企業のビジネスの各タスクにおけるセキュリティ関連の関連知識・スキルを体系的に示したものであり、そのために習得しておくべきスキル。

https://www.ipa.go.jp/files/000058688.xlsx

デジタルリテラシー領域「Di-Lite」

データサイエンティストやエンジニアなど「デジタルを作る人材」だけではなく、デジタルを使う立場である全てのビジネスパーソンが持つべきスキル。

https://www.dilite.jp/

ITパスポート試験（iパス）

IT及びデジタルを扱う人が持っているべき基礎知識。「社会人の常識」とされている。

https://www3.jitec.ipa.go.jp/JitesCbt/html/about/about.html

G検定（ジェネラリスト検定）

AI をビジネスに活用するための基礎素養。AIを活用した事業設計から、関連する法規、契約や倫理にまつわる内容など、 広い範囲のビジネス活用の知識。

https://www.jdla.org/certificate/general/

データサイエンティスト検定（リテラシーレベル）

データサイエンティストに必要なデータサイエンス力・データエンジニアリング力・ビジネス力についてそれぞれ見習いレベルの実務能力や知識。

https://www.datascientist.or.jp/dskentei/

デジタルリテラシーに「プラス・セキュリティ」

「デジタルを使う人材」も、セキュリティを意識し、 業務遂⾏に伴うセキュリティ対策の実施に必要なスキルが必要。

https://www.meti.go.jp/policy/netsecurity/downloadfiles/tebiki.pdf

3. 役割毎に必要な素養・スキル・知識のレベル

必要な素養を組織の中で確保が困難な場合が多いと思われるが、外部要員も含めて、全体で全ての役割をに担えることが重要。その役割を持った人材を確保できない場合は、経営者がその役割を負う。

概要

経営者層

企画管理部門

システム構築実務者

サービス提供実務者

サービス利用者

その他

ITリテラシー（ITパスポートレベル）

社会人として、IT及びデジタルを操作するために必要な最低限のリテラシー

◎

◎

◎

◎

◎

プラス・セキュリティ

ITSS+（セキュリティ領域）を理解できるレベルのセキュリティ知識

〇

◎

◎

◎

◎

デジタルリテラシー（Di-Lite）レベル

IT及びデジタルを利活用する全ての社会人が、今後、持つべきコア・リテラシー

〇

〇

◎

◎

〇

基本情報技術者レベル

システム担当として持つべき、基本的なIT関連スキル・知識

◎

△

応用情報技術者レベル

システム管理者としてが持つべき、応用的なIT関連スキル・知識

◎

専門情報技術者（スペシャリスト）レベル

システム関連の各役割の専門家として持つべき、高度なIT関連スキル・知識

〇

INFORMATION 6-6_App.01 経営者の意識改革の方向性

経営者の意識改革のポイント

経営者の「チェンジマネジメント」の重要性の認識

- DXがうまく進まない大きな要因の一つに「人の変化に対する抵抗」の存在が挙げられる。

- 変化に対する抵抗は、「今のままでもうまくいっている」「変化の必要性を感じない」といった「現状肯定」と、「ITやデジタル化についていけない」「自分の立場や仕事を失うかもしれない」という「将来不安」から形成されている。

社員の能力再開発「リスキリング」

- DXの本質は、デジタル技術を活用して、今のビジネスモデルの革新をはかること。

- 現場で働く多種多様な人々がおしなべて、新しいスキルを身につけることが求められます。

- 成果を発揮し続けられるように新たなスキルを獲得することが「リスキリング」

- 働く人々にどんな新しいスキルを獲得してほしいのかを示し、リスキリングの基盤を構築する責任が企業にあると言える

- 「価値を提供する新しいデジタルな方法を理解し使いこなせる」ことが重要。

中小企業における人材育成の戦略

- 中小企業が、ビジネスを発展させるためには、攻めのIT投資とサイバーセキュリティ対策を講ずる必要がある

- 「経営者、システム管理者が、「デジタルリテラシー」の知識とスキルを得て、①守りのIT・セキュリティ対策に留まらず、②事業を発展させるためのの攻めのIT・セキュリティ対策を講じるための人材の育成を推進するべきである

- ※ITの知識を持たずにセキュリティ対策を講じることは困難。セキュリティ対策は、IT活用の推進の中でセキュリティバイデザインの考え方で対処する

①守りのIT・セキュリティ対策

- これまで組織のITシステムは、業務の改善や効率化によるコスト削減により、経営を安定化させることに重きが置かれ、サービスの維持が図られてきた。

- 現状のサービスを維持だけであっても、競争力を維持するためには効率化は必須であり、新たなIT技術への対応と、新たな脅威への対処のためのセキュリティ対策が必要である。

②攻めのIT・セキュリティ対策

- しかしながら、サービスの維持だけでは、ビジネスの競争に勝ち残れない。

- 時代のニーズに対応した高付加価値の新たな取り組みにより、サービスを向上させていかなければ、組織の発展はおろか、継続も見込めなくなることが予想される。

- より先進的な技術を活用した新たなサービスを、他社に先駆けて提供していくことが望まれる。

- そのためにも、組織人として、ITやデジタルを利活用できるデジタルリテラシーの習得が求められる。

INFORMATION 6-6_App.02 デジタルリテラシー人材に必要な知識とスキル

2022.1.7

デジタルリテラシー

- 全てのビジネスパーソンがデジタル時代のコア・リテラシーを身につけていくことが求められます。

- 内閣府が策定した「AI戦略2019」において、AI時代に対応した人材育成や、それを持続的に実現する仕組みの構築が戦略目標に挙げられているとおり、デジタル時代の人材育成は国全体の重要な課題となっています。

- デジタルトランスフォーメーションの推進には、これまでの「デジタルを作る人材」だけでなく、「デジタルを使う人材」も含めた両輪の育成が必要となる

- IT・データサイエンス・AIの三方面からデジタルリテラシーの向上を図る

- ITの利活用を推進するIPA、データサイエンティストのスキル定義や人材育成を支援するDSS、ディープラーニング技術の産業活用を推進するJDLAが連携して、デジタルリテラシーの向上を図るために準備を進めている

「デジタルリテラシー」の習得

- DXの推進には、これまでの「デジタルを作る人材」だけでなく、「デジタルを使う人材」が必要だが、中小企業においては、まず、「デジタルを使う人材」の育成に力を入れるべきである

- 「デジタルリテラシー・スキルフレームワーク」で網羅的・体系的に

デジタルリテラシー・スキルフレームワーク図

転載：「プレス発表　「デジタルリテラシー協議会」設立のお知らせ」より

デジタルリテラシーの浸透に向けたツール

- デジタル変革の推進による、より良い社会（Society5.0）の創出に向けて、ビジネスパーソンが身につけるべきデジタルリテラシー領域「Di-Lite」を示すために、デジタルに関連して習得すべきスキルや知識・マインドを構造的に全体像として表したもの。

デジタルリテラシー領域「Di-Lite」

- IT知識と聞くと、ITに関連する業種・職種の人が持つとイメージする人が多く、データサイエンスやAI・ディープラーニングなどについても同様で、デジタルやデータサイエンス、AIなどに関連しない職種・業種のビジネスパーソンが身につけるという認識は、これまであまり持たれてこなかった。

- Di-Liteは、データサイエンティストやエンジニアなど「デジタルを作る人材」だけではなく、デジタルを使う立場である全てのビジネスパーソンが持つべきスキルとして「データ×AI」活用に関連した数理・データサイエンス、AI・ディープラーニング領域を加えた領域の基礎領域から、共通リテラシー領域を定義したもの。

- マインド

- デジタルに取り組むスタンス、マインド

- 知識体系

- デジタル活用分野/適用事例

- デジタル知識

- デジタルを扱うスキル

- 基礎

- 使う、作る/なおす

- 応用

- より上手に使う/広める

- 発想する/活用方針を示す

- 新たに作る/教える

【参考】「デジタルリテラシー協議会」(2021年4月現在の想定)

構成組織

- 一般社団法人データサイエンティスト協会（DSS)

- 一般社団法人日本ディープラーニング協会（JDLA)

- 独立行政法人情報処理推進機構（IPA)

取り組み

- 産業界において日本がグローバルで戦うための競争力の源泉となる人材の育成を目指し、官民連携の会議体を運営し協議・情報発信を行う。

- 「データ×AI」活用に関する教育環境を整える

- デジタルリテラシーの見える化

- すべてのビジネスパーソンが共通言語としてデジタルリテラシーを身につけた状態を達成を目指す

- 協議結果を各団体が実施する検定や試験のシラバスにも反映する

- ITパスポート試験（IPA実施)

- データサイエンティスト検定リテラシーレベル（JDLA実施)

- G検定（JDLA実施)

- 「Di-Lite」の設定や浸透活用、及び「Di-Lite」をはじめとするデジタルリテラシー・スキル習得を助けるためのツール提供も行う。

活動内容

- 「Di-Lite」に関する協議（見直しと再定義）

- (1)産業界やユーザーの声を反映した「Di-Lite」の更新

- (2)デジタル技術の進化に合わせたデジタルリテラシー領域の網羅性確認

- (3)各参加団体の実施する検定や資格制度の連携

- デジタルリテラシーの浸透に向けたツール類の提供

- (1)デジタルリテラシー・スキルフレームワークの提供

- (2)デジタルスキルラーニングパスの提供

- 企業に向けた普及・啓発活動の共同推進

- (1)展示会、セミナー等における普及啓発の実施、充実化

- (2)記事の掲載等、ビジネスパーソン向け情報発信の充実化

デジタルを扱う業務と人材の資質・スキル

プロジェクト全体で必要な資質

役割毎の人材の分類

各種デジタル人材の分類

- データサイエンティスト：統計分析やコンピュータサイエンスの知識を元に、大量のビッグデータから新たな知見を引き出し、価値を創造する人材

- サイバーセキュリティスペシャリスト：個人や組織をサイバー攻撃の脅威から守るセキュリティ専門人材

- アーキテクト：DX技術を理解して、ビジネスとDX技術導入の融合を指揮することのできる人材

- エンジニア：アプリ開発、クラウド等のデジタル技術をフルスタックで身に付け、技術のビジネス導入を担う人材

- オペレータ：DXを支えるデジタル基盤の安定稼働を支える人材

各種スキル標準

iコンピテンシ ディクショナリ（iCD）

「i コンピテンシ ディクショナリ」（iCD）は、企業においてITを利活用するビジネスに求められる業務（タスク）と、それを支えるIT人材の能力や素養（スキル）を「タスクディクショナリ」、「スキルディクショナリ」として体系化(*1)したもので、企業は経営戦略などの目的に応じた人材育成に利用することができます。

情報システムユーザースキル標準（UISS）

情報システムユーザー企業における情報システムの利用に関する課題の解決に必要とされる課題解決に必要な能力の指標

ITスキル標準（ITSS）

各種IT関連サービスの提供に必要とされる能力を明確化・体系化した指標

ITSS+（プラス）

ITSS+は、第4次産業革命に向けて求められる新たな領域の“学び直し”の指針 として策定(*1)しています。また、従来のITスキル標準（ITSS） (*2)が対象としていた情報サービスの提供やユーザー企業の情報システム部門の従事者のスキル強化を図る取 組みに活用されることを想定しています。

データサイエンス領域

DXに対応したIT・デジタルの活用分野においては、ビッグデータやAIを活用が必須であり、各アーカイブ機関の業務部門が中心となって「データサイエンス領域」のタスク工程に沿って確実に進め、業務への適用を評価していくことが重要であり、業務部門での人材育成、人材確保が課題となります。

大量データを分析し、その分析結果を活用するための一連のタスクとそのために習得しておくべきスキルカテゴリ、タスク構造が網羅的示されています。。業務部門のタスクとして、業務設計、データの作成と収集、構造化データ加工、解析用データ準備、データの準備、データ解析、データ可視化、非構造化データ処理、評価、業務への組み込みと評価の工程が定義されています。

アジャイル領域

アジャイル開発は、新しい機能を短期間で継続的にリリースしていくソフトウェア開発のアプローチです。

従来のような「問題を分析して論理的に解決するパラダイム」ではなく「観察とフィードバックによって探索と適応を繰り返す未来創出型のパラダイム」であり、ソフトウェア開発に閉じたものではなく、ビジネス一般における価値創造の局面にもあてはめることができます。

アジャイルな活動への取組みは、Society5.0という価値創造社会を実現し、持続的に発展させるための重要なカギとなります。

IoTソリューション領域

IoTは、身近にあるあらゆるモノがセンサー等を備えて相互に接続され、それを通じて過去には不可能であった新たなビジネスが生まれる可能性を秘めたしくみとして注目を集めています。

IoTを活用したビジネスを展開するための求められるロール（役割）毎のタスクを定義しています。網羅性よりも、特に重要となる要素や項目が示されています。

IoTソリューション領域はITシステムにおけるあらゆる要素が関わることから、当該領域以外の「データサイエンス領域」、「セキュリティ領域」、「アジャイル領域」の一部も含まれています。

セキュリティ領域

「セキュリティ領域」は、専門的なセキュリティ業務の役割の観点により、 経営課題への対応から設計・開発、 運用・保守、 セキュリティ監査における13の専門分野を具体化し、それぞれの専門分野ごとのタスクと必要なスキルを定義したものです。

経済産業省が公開する“ サイバーセキュリティ経営 ガイドラインの付録として公開された『サイバーセキュリティ体制構築・人材確保の手引き』（第1.1版）とあわせて検討され抜本的な改訂が行われました。

【準備中】INFORMATION 6-6_App.03 デジタルリテラシー人材の評価・認定制度

各種スキル・知識の評価・認定

デジタル・リテラシーに関する認定試験制度（予定）

情報処理技術者試験、情報処理安全確保支援士試験

INFORMATION 6-6_App.04 デジタルリテラシーに「プラス・セキュリティ」

セキュリティ人材育成と考え方の変化

企業規模等によっても異なりますが、セキュリティ対策の中心となるのは、セキュリティ統括分野やセキュリティ監視・運用分野等を担うセキュリティ人材です。さらに、ITを利活用して社会を変えるSociety5.0の進展など、時代の変化を受け、本来の業務の中でITを利活用する人材にもセキュリティに関するスキルが求められるようになっています。

求められる「プラス・セキュリティ人材」

企業におけるあらゆる業務でデジタルトランスフォーメーション（DX）が進んでいますが、DXによる利便性はサイバー攻撃にも悪用されやすいため、DXを活用する企業ではセキュリティを意識して必要な対策を総合的に実施することが求められます。

一方、IPAなどによる調査では、そうしたセキュリティ人材の量的・質的不足が大きな課題となっています。セキュリティ対策がセキュリティ人材だけでは対処できなくなっているため、デジタル部門、事業部門、管理部門など、セキュリティ対策が不十分な場合にセキュリティ上の問題が生じるような業務を担っている人材にも、セキュリティに関する意識を養い、対策の実施に求められる知識・スキルを積極的に身に付けてもらう必要があります。

こうした「プラス・セキュリティ人材」の育成がこれからの企業には求められます。

「プラス・セキュリティ人材」の育成

「プラス・セキュリティ人材」を育成する際には、経済産業省が定めている、セキュリティ領域のIT人材に求められる個人のIT関連能力を明確化・体系化し、スキルやキャリア（職業）を示した指標である「ITSS+（セキュリティ領域）」を活用し、関連部門でセキュリティ関連タスクを担う人材の特定・育成・配置等を検討するとよいでしょう。

- IT人材の育成（IPA）

- https://www.ipa.go.jp/jinzai/itss/itssplus.html

- サイバーセキュリティ体制構築・人材確保の手引き（経済産業省）

- https://www.meti.go.jp/press/2020/09/20200930004/20200930004-1.pdf

INFORMATION 6-6_App.05 【コラム】「東京都デジタル人材確保・育成基本方針」

2022.2.17 改訂

「東京都デジタル人材確保・育成基本方針」の概要

東京都は2021年度に「都政とICTをつなぎ、課題解決を図る人材」として新たにICT職の採用を開始し、その能力向上のための研修を実施しているほか、デジタルに関する豊富な知識・経験を有する高度専門人材を民間から積極的に登用するなど、多様な人材の確保を進めている。

東京都職員のICT職や専門性の高い人材に限らず、各職員のデジタルテクノロジーに関する理解（マインドセット）を深め、それを使いこなせるようリスキリングにより『デジタル人材』を育成するとしている。

中小企業におけるDXを推進する人材確保・育成での適用可能性

中小企業でのDXを推進するに当たって、この例のように細分化されたITやセキュリティに関連する専門知識を持った人材の確保は困難であり、一人の職員が多くの役割を果たさざるを得なくなる可能性が高い。

しかし、外部委託での人材も活用して、職員がそれぞれの強みを発揮し、コラボレートしながら、相互補完・相乗作用により組織全体のレベルアップを実現することが重要であり、体制の構築と従業員をリスキリングする際の具体例として参考になると思われる。

そこで、「東京都デジタル人材確保・育成基本方針」の概要と、各種スキル標準との関連を紹介する。

紹介資料

- 「デジタル人材の確保・育成」ページ【東京都デジタルサービス局】

- https://www.digitalservice.metro.tokyo.lg.jp/hr/

- 東京都デジタル人材確保・育成基本方針 ver.1.0（PDF）

- https://www.digitalservice.metro.tokyo.lg.jp/hr/pdf/001.pdf

INFORMATION 6-7　情報セキュリティ関連法令

2021.11.23

企業の情報セキュリティに関連する国内の法令は、下記のように多岐にわたります。また、海外に子会社や支店、営業所などを有し、日本から海外に商品やサービスを提供している企業や海外から個人データの処理について委託を受けている事業など、業務の内容によっては、EU域内の各国に適用される個人データ保護を規定したEU一般データ保護規則（GDPR：General Data Protection Regulation）などの海外法令への対応も必要になります。

・サイバーセキュリティ基本法

・不正アクセス禁止法

・個人情報保護法

・民法、刑法

・その他のセキュリティ関連法規（電子署名及び認証業務等に関する法律、プロバイダ責任制限法、特定電子メール法）

・知財関連法規（著作権法、産業財産権法、不正競争防止法）

・労働関連・取引関連法規（労働基準法、労働者派遣法、男女雇用機会均等法、公益通報者保護法、労働安全衛生法、下請法、特定商取引法、電子消費者契約法）

・海外法令（GDPR等）

・その他の法律・ガイドライン・技術者倫理

・「非連邦政府組織およびシステムにおける管理対象非機密情報CUIの保護（SP800-171）」

内閣官房内閣サイバーセキュリティセンター（NISC）は、関連法令をQ&A形式で解説する「サイバーセキュリティ関係法令Q&Aハンドブック」を公開しています。自社の業務と照らし合わせながら、効率的・効果的なサイバーセキュリティ対策・法令遵守を実践するとよいでしょう。

●内閣官房内閣サイバーセキュリティセンター（NISC）関係法令等

https://www.nisc.go.jp/law/

INFORMATION 6-8　情報管理が不適切な場合の処罰など

2021.11.23

個人情報などの法的な管理義務がある情報を適切に管理していなかった場合には、企業の経営者や役員、担当者は下記の表に示すような責任を問われ、処罰されることになります。

法令

条項

処罰など

個人情報保護法

個人情報の保護に関する法律

40条 報告及び立入検査

委員会による立入検査、帳簿書類等の物件検査及び質問

83条 個人情報データベース等不正提供罪

1年以下の懲役又は50万円以下の罰金

84条 委員会からの命令に違反

6月以下の懲役又は30万円以下の罰金

85条 委員会への虚偽の報告など

30万円以下の罰金

87条 両罰規定

従業者等が業務に関し違反行為をした場合、法人に対しても罰金刑

マイナンバー法（番号法）

行政手続における特定の個人を識別するための番号の利用等に関する法律

48条 正当な理由なく特定個人情報ファイルを提供

4年以下の懲役若しくは200万円以下の罰金又は併科

49条 不正な利益を図る目的で、個人番号を提供又は盗用

3年以下の懲役若しくは150万円以下の罰金又は併科

50条 情報提供ネットワークシステムに関する秘密を漏えい又は盗用

同上

51条 人を欺き、人に暴行を加え、人を脅迫し、又は、財物の窃取、施設への侵入、不正アクセス等により個人番号を取得

3年以下の懲役又は150万円以下の罰金

53条 委員会からの命令に違反

2年以下の懲役又は50万円以下の罰金

54条 委員会への虚偽の報告など

1年以下の懲役又は50万円以下の罰金

55条 偽りその他不正の手段により個人番号カード等を取得

6月以下の懲役又は50万円以下の罰金

57条 両罰規定

従業者等が業務に関し違反行為をした場合、法人に対しても罰金刑

法令

条項

処罰など

不正競争防止法

営業秘密・限定提供データに係る不正行為の防止など

3条 差止請求

利益を侵害された者からの侵害の停止又は予防の請求

4条 損害賠償請求

利益を侵害した者は損害を賠償する賣任

14条 信頼回復措置請求

信用を害された者からの信用回復措置請求

金融商品取引法

インサイダー取引の規制など

197条の2 刑事罰

5年以下の懲役若しくは500万円以下の罰金又はこれらの併科

207条1項2号 両罰規定

従業者等が業務に関し違反行為をした場合、法人に対しても罰金刑

198条の2 没収・追徴

犯罪行為により得た財産の必要的没収・追徴

175条 課徴金

違反者の経済的利得相当額

民法

709条 不法行為による損害賠償

故意又は過失によって他人の権利又は法律上保護される利益を侵害した者は、これによって生じた損害を賠償する責任を負う

出典：IPA「中小企業の情報セキュリティ対策ガイドライン」より

INFORMATION 6-10_App.01 ICTサプライチェーンとは

1. ICTサプライチェーン

1.1 サプライチェーンと類型

- サプライチェーンは、製品やサービスを活用するために調達する調達側（以下アクアイア）とこれらの製品、サービスを供給する供給側（以下サプライア）の関係を表したものです

- 現在ではグローバルバリューチェーンと呼ばれる世界規模での分業体制が多くの分野で見られます。この分業体制により、様々な製品が安く生産できるというメリットがありますが、一方で、様々な地域の多くの企業が生産等に関与することから、サプライチェーンは新たなリスク発生の要因ともなり得ます。 また、大企業から中小企業まで、サプライチェーンの弱点を狙ったサイバー攻撃が顕在化・高度化しサプライチェーン全体のサイバーセキュリティ対策が急務になっており 日々高度化するサイバー攻撃への継続的な対応が肝要になっています。

＜サプライチェーンの類型＞

- サプライチェーンによって供給されるものは、大きく製品（ハードウエア、ソフトウエア等）とサービスに分けられます。サプライチェーンはサプライアが製品やサービスを供給するのみでなく、様々な調達側アクアイアの要求に対応した製品やサービス供給を行なうことが求められています。

- ICTサプライチェーン（情報通信技術を利用するICT製品・サービス)およびクラウドサービスをサプライチェーン類型として取り扱います。

1.2 サプライチェーンリスク

- ICTの製品やサービスを製造・流通する過程における不正なプログラムやファームウェアの組み込み、改ざんなどを挙げられています。ICTサプライチェーン全体に、製品とサービスの個々のサプライアとの関係に関連するセキュリティリスクを保有しながら、サプライチェーン全体でセキュリティリスクを一元管理することは困難です。

1.3 クラウドサービスのリスク

- アクアイアがクラウドサービスサプライアを利用する場合、さまざま機密情報やPII（Personally Identifiable Information）を多段的及び地理的なサプライアの環境におくことから、セキュリティリスクが発生します。

1.4 ICTサプライチェーンに対するセキュリティマネジメント

- 企業ではICT製品、サービスの利活用がその業務を遂行するために不可欠です。組織、事業活動に不可欠なほとんど全ての情報がICTシステムにより蓄積、処理されています。その結果ICTサプライチェーンへの脅威が益々拡大しています。製品やサービスのセキュリティマネージメントの実施については、そのライフサイクルのプロセス全体を通じた企業間の取引関係におけるセキュリティマネージメント実施と相互のサプライチェーンセキュリティ情報の共有及びモニターが重要になります。

INFORMATION 6-10_App.02 テレワークにおけるクラウド利用とセキュリティ

1.テレワークにおけるクラウド利用とセキュリティ

テレワークとは、情報通信技術（ICT）を活用し、場所や時間を有効に活用できる柔軟な働き方のことです。

テレワークの形態は、業務を行う場所に応じて、在宅勤務、サテライトオフィス勤務、モバイル勤務に分類されます。多くの企業・組織で、オフィス以外の場所から勤務を行う形態での業務が実施されるようになっています。また急速なICT環境の整備に伴いセキュリティ対策が不十分な状況が多いと想定されます。

1.1 クラウドサービスの活用したテレワーク

オフィスネットワークにVPN等で接続せずテレワーク端末からインターネットのクラウドサービスに直接接続し業務を行う方法です。

中小企業において一般的なクラウドを活用する主なサービスは次のものがあります。

- ① メールサービス

- ② チャットサービス

- ③ オンライン会議サービス

- ④ ファイル共有サービス

1.2 活用するクラウドサービスの有効性

- セキュリティ管理対象の軽減

- システム導入の迅速性

- システム拡張機能の容量の柔軟性等があります。

1.3 テレワーク環境とクラウドセキュリティ

テレワークを行うために必要な製品・サービスの利用拡大に伴い、脆弱性の発見や、テレワーク端末が原因となったウイルス感染や情報漏えい等の被害が発生することが確認されています。クラウドサービスを活用するテレワーク環境では個人でパソコンの管理やソフトウエアの更新、ネットワークの安全性に責任をもたねばなりません。特にオフィスネットワークを経由せずクラウドサービスへ直接接続するため、利用状況等の把握が困難です。そのために、クラウド利用の可視化（どのようなクラウドサービスを使っているか）、データセキュリティ（アクセス制御）を監視するクラウドサービス管理ソフトCASB（Cloud Access Security　Broker）導入等がクラウドセキュリティ対策に有効と思われます。

1.4 個人が注意するべきテレワーク環境を取り巻く脅威

- ① 不正アクセス

- ② ウイルス感染

- ③ フリーWi-Fiからの盗聴

- ④ ソーシャルハッキング

- ⑤ 端末や業務資料の紛失

などがあります。

また、テレワーク業務では、セキュリティ事故発生時の連絡先や相談先が身近にないため連絡や相談が遅れてしまい、初動対応がスムーズに取れず被害の拡大につながるリスクがあります。

1.5 クラウドサービス方式による個人所有端末のセキュリティリスク

個人所有端末を使用する場合、端末上にデータ保存が可能であることや、セキュリティ対策ソフトのインストールが強制できないなど、セキュリティ対策が十分に取れない場合があります。セキュリティ事故の発生リスク（情報漏えい、端末の紛失、ウイルス感染等）を未然に防止するために十分な啓発と教育が必要です。

1.6 クラウドサービス・テレワーク利用時の経営者心得

- ① セキュリティ対策で100％安全などはない

- ② ルールが簡単でなければ誰も従わない

- ③ データや情報資産の場所を正確に把握することがベースライン

- ④ クラウドを利用した分散バックアップが危機回復への最善手段

- ⑤ セキュリティリスクへの対応はリーダシップを発揮し事件が起こった際に、早期検出被害を最小限に

引用:「テレワークセキュリティガイドライン第５版」総務省

INFORMATION 6-10_App.03 ゼロトラストセキュリティ

1. ゼロトラストセキュリティ

1.1 ゼロトラストとは

「ゼロトラスト（Zero Trust）」とは、「全てを信頼しない」という考え方を前提に対策を行うネットワークセキュティです。近年のサイバー攻撃の高度化に伴い、より厳しいセキュリティ対策モデルとして注目されています。従来の境界型セキュリティでは内側と外側を遮断して、外部からの攻撃や内部からの情報流出を防止する外部ネットワークと内部ネットワーク(LAN)との境界防御には限界があり、内部ネットワーク内も脅威が存在しうるとの考えのもと、データや機器単位でのセキュリティ強化の考え方です。

＜ゼロトラストの特徴＞

- ① ネットワーク内外部を区別しない、データや機器等の最小単位でセキュリティを考える

- ② 強固な利用者認証と厳密なアクセス制御

- ③ セキュリティ対策に（場所、端末等）制約を設けない

1.2 ゼロトラストとセキュリティの有効性

2021年5月に総務省が発表した「テレワークセキュリティガイドライン」にも、ゼロトラストセキュリティの考え方が盛り込まれています。なお、その背景としては次の様な状況があります。

① サイバー攻撃の高度化

「ゼロディ攻撃と言われる未知攻撃手法やビジネスメール詐欺（BEC）を用いてマルウェアに感染させる「標的型攻撃」等の手法もあり内部に侵入されることを念頭においた対策が必要になります。

② マルウェア感染後の検知の難しさ

「標的型攻撃」では、乗っ取り端末を利用し長期的に情報収集を行い水平展開の攻撃が行われます。その攻撃で正規の権限を奪取されると境界型セキュリティでは検知が困難です。

③ ネットワーク構成の多様化に伴う境界の複雑化

クラウドサービスの普及や個人所有端末の業務利用が進んでおり、特定の拠点（オフィス）防御する境界型セキュリティだけでは対応が難しくなっています、データ機器等を防御の中心としていくことが重要になっています。

ゼロトラストでは「企業のネットワークやデバイスからのアクセスを“暗黙”に信頼せず、従業員の端末通信や情報資産へのアクセスなどについて、常にアクセスの信頼性を検証する」ことがベースとなります。特定の技術や製品を示す言葉ではではありません。ゼロトラストのアーキテクチャは、製品やベンダーによって多様な実現方法があります。

引用:テレワークセキュリティガイドライン第5版　総務省

セキュリティ関連知識の保管庫（ナレッジベース）【工事中】

2022.7.11

中小企業のサイバーセキュリティ対策の普及啓発の一環で、ガイドブック『中小企業向けサイバーセキュリティ対策の極意』の改訂や相談対応業務のために要約した次世代IT技術、サイバーセキュリティ対策に関連した知識の保管庫（ナレッジベース）です。今後、順次、情報を掲載していく予定です。

- Section1 ガイドブック内容解説（虎の巻）

- Section2 国等の施策・計画文書・白書・解説書

- Section3 参考情報【経営者、管理者向け】

- Section4 参考情報【一般ユーザ向け】

■■ガイドブック内容解説（虎の巻）

●ガイドブック

- 『中小企業向けサイバーセキュリティ対策の極意』（EPUBリフロー版）

■解説資料

■追補資料

●本編

- はじめに

- ガイドブックの使い方

- INFORMATION 4-7 大規模災害などによる事業中断と事業継続管理

- MISSION 4.7 App.01 IT-BCPの必要性と策定・運用のポイント

- INFORMATION 6-1 もしかしてサイバー攻撃？ここに連絡を！

- INFORMATION 6-1 App.01 もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！【クイックリスト】【詳細版】

- INFORMATION 6-2 その他の主な報告・連絡・相談窓口等！

- INFORMATION 6-2 App.01 やられる前に、しっかり予防を！ ここに相談！【詳細版】

- INFORMATION 6-2 App.02 経営者の理解のもと、組織としてセキュリティ対策をしっかりと！

- INFORMATION 6-3 セキュリティお役立リンク

- INFORMATION 6-3 App.01 セキュリティお役立ちリンク【詳細編】

- INFORMATION 6-4 中小企業の情報セキュリティ対策の段階的レベルアップ

- INFORMATION 6-4 App.02 情報資産台帳の作成と詳細リスク分析

- INFORMATION 6-4 App.03 情報セキュリティ関連規程に記載すべき項目

- INFORMATION 6-6 DX時代に不可欠な人材

- INFORMATION 6-6 App.01 DX時代での経営者の意識改革の方向性

- INFORMATION 6-6 App.02 DX時代に不可欠な人材の確保と育成

- INFORMATION 6-6 App.04 セキュリティ人材の確保と育成

- INFORMATION 6-10 サプライチェーン関連

- INFORMATION 6-10_App.01 ICTサプライチェーンとは

- INFORMATION 6-10_App.02 テレワークにおけるクラウド利用とセキュリティ

- INFORMATION 6-10_App.03 ゼロトラストセキュリティ

●補足・コラム

- ITおよびサイバーセキュリティに関する組織の視点6分類別に実施すべき対策（mmap_PDF版）（2022.1.27更新）

●参考文献

- 参考文献リスト

■お役立ちリンク」のリンク先の資料の内容要約

- ・・・

■サイバーセキュリティ関連組織が開設するポータルサイト

- ・・・

■■国等の施策・計画文書・白書・解説書

■基本文書（法律・基本計画・各種方針等）

- 国の基本方針および実施計画の要約（MindMap版） / （mmap_PDF版）（2021.12.27更新）

- 「デジタル社会の実現に向けた改革」の要約（MindMap版） / （mmap_PDF版）（2022.1.20更新）

■基本文書（サイバーセキュリティ関連）

- 「サイバーセキュリティ戦略（NISC）」の要約（2021.12.23更新）

- 「サイバーセキュリティ2022（2021年度年次報告・2022年度年次計画）」のポイント要約（2022.7.11更新）

- 「サイバーセキュリティ研究開発戦略」の目次・要約（MindMap版） / （mmap_PDF版）（2022.1.27更新）

■各種白書・年次報告書類

- 「令和3年版科学技術・イノベーション白書（文部科学省）」の要約（2021.12.23更新）

- 「DX白書2021エグゼクティブサマリー」（IPA)の要約（2021.12.23更新）

- 「DX白書2021本編」（IPA)の目次（MindMap版） / （mmap_PDF版）（2022.1.21更新）

- 「情報セキュリティ白書2021」（IPA）の目次（MindMap版） / （mmap_PDF版）（2021.12.23更新）

- 【バックナンバー】平成28年度情報通信白書【総務省】の要約（MindMap版） / （mmap_PDF版）（2022.1.28更新）

■NIST文書・情報セキュリティマネジメント関連

- サイバーセキュリティフレームワーク(CSF)フレームワークコア体系図（MindMap版） / （mmap_PDF版）（2022.1.20更新）

■■参考情報【経営者、管理者向け】

■サイバーセキュリティ全般

- サイバーセキュリティ経営ガイドラインVer2.0【要約】（MindMap版） / （mmap_PDF版）（2022.1.6更新）

■DX関連

- 【バックナンバー】デジタルトランスフォーメーション（DX）の概念（MindMap版） / （mmap_PDF版）（2022.2.21更新）

■DX with Security関連

- SASE(Secure Access Service Edge)とゼロトラストセキュリティ（PDF版）（2022.2.10更新）

- SASE(Secure Access Service Edge)の概念整理（MindMap版） / （mmap_PDF版）（2022.2.10更新）

■テレワーク関連

- 中小企業等担当者向けテレワークセキュリティの手引きの概要（PDF版）（2022.1.31更新）

■AI関連

- AIに関する基礎知識（まとめ）（MindMap版） / （mmap_PDF版）（2022.1.28更新）

■IoTセキュリティ関連

- 機器のサイバーセキュリティ確保のためのセキュリティ検証の手引きの概要（PDF版）（2022.1.25更新）

■IT-BCP関連

■インシデント対応

■情報セキュリティマネジメント(ISMS)関連

- サイバーセキュリティ経営ガイドラインVer2.0_付録D_国際規格ISO/IEC27001及び27002との関係【要約】（MindMap版） / （mmap_PDF版）（2022.1.5更新）

- 改定版ISO/IEC 27002の概要（PDF版）（2022.1.18更新）

■プライバシーガバナンス－個人情報保護－関連

- 改訂個人情報保護法の概要（PDF版）（2022.1.18更新）

- 「DX時代における企業のプライバシーガバナンスガイドブックver1.2」の経営者向け概要（PDF版）（2022.2.22更新）

- プライバシー・バイ・デザインの概要（PDF版）（2022.1.28更新）

- トラフィックライトプロトコル／TRAFFIC LIGHT PROTOCOL(TLP)（2022.4.8更新）

■システム開発・運用

- 情報システムの標準的な構築プロセス【要約】（MindMap版） / （mmap_PDF版）（2021.12.27更新）

- 改正民法に対応した「情報システム・モデル取引・契約書」【要約】（MindMap版） / （mmap_PDF版）（2021.12.27更新）

- Minimum Viable Secure Product 最低限のセキュリティベースライン（2022.3.23更新）

■DX及びセキュリティ人材育成事業の紹介

- セキュリティ対策を確実にするための⼈材育成の事業紹介【NISCポータル,JTAG等】（MindMap版） / （mmap_PDF版）（2022.2.8更新）

■DX及びセキュリティ人材に必要なスキル・知識項目

- DXの推進と人材育成関連【参考文献要約】(MindMap版) / (mmap_PDF版)（2021.12.28更新）

- システムの構築に必要なスキル・知識（MindMap版） / （mmap_PDF版）（2021.12.28更新）

- 最低限知っておくべき情報処理技術（ITリテラシー）（MindMap版） / （mmap_PDF版）（2022.1.11更新）

- ITパスポート試験シラバス（Tree図）（MindMap版） / （mmap_PDF版）（2022.1.18更新）

- アジャイル開発「ITSS+」（MindMap版） / （mmap_PDF版）（2022.1.11更新）

- データサイエンス領域のスキル標準「ITSS+」（MindMap版） / （mmap_PDF版）（2022.1.11更新）

- セキュリティ領域のスキル標準「ITSS+」（MindMap版） / （mmap_PDF版）（2022.1.11更新）

- 情報セキュリティマネジメントに要求される知識と技能【シラバス】（MindMap版） / （mmap_PDF版）（2022.1.11更新）

- 「東京都デジタル人材確保・育成基本方針」の要約（MindMap版） / （mmap_PDF版）（2022.2.17更新）

■法令・規則

■情報管理

・・・

■■参考情報【一般ユーザ向け】

■インターネット利用

■ECサイト利用

■電子メール

■SNS

・・・

備考

改版履歴

- 2022年7月11日 「サイバーセキュリティ2022（2021年度年次報告・2022年度年次計画）」のポイント要約を追加

- 2022年6月25日 各ドキュメントのMindMap版を追加

- 2022年2月17日 「東京都デジタル人材確保・育成基本方針」の要約を追加

- 2022年2月8日 セキュリティ対策を確実にするための⼈材育成の事業紹介を追加

- 2022年1月28日 補足・コラム、個人情報保護関連を追加

- 2022年1月20日 NIST関連、デジタル社会の実現に向けた改革関連を追加

- 2022年1月18日 ISO/IEC 27002、個人情報保護法の改正関連を追加

- 2022年1月11日 ITSS+関連を追加

- 2021年12月27日 「サイバーセキュリティ戦略（NISC）」の要約等を追加

- 2021年10月7日 試験公開を開始

『中小企業向けサイバーセキュリティ対策の極意』ポータルサイトへのリンク

- ⇒ ガイドブック『中小企業向けサイバーセキュリティ対策の極意』のページ

- ⇒ 電子書籍（EPUB版）の閲覧

- ⇒ 冊子イメージ（PDF版）の閲覧・印刷

- ⇒ Webページの閲覧

- ⇒ セキュリティ関連知識の保管庫（ナレッジベース）（Web版）

- ⇒ 『中小企業向けサイバーセキュリティ対策の極意』ポータルサイト

Appendix.201-02 リスク分析サンプル資料

1.リスクアセスメントのプロセスとは

- プロセス ISO/IEC 27000:2018（JIS Q 27000:2019）における規定

- リスクアセスメント （risk assessment）

- リスク特定、

- リスク分析及びリスク評価のプロセス全体

- リスク特定 （risk identification） リスクを発見、認識及び記述するプロセス

- リスク分析 （risk analysis） リスクの特質を理解し、リスクレベルを決定するプロセス

- リスク評価 （risk evaluation） リスク及び／又はその大きさが受容可能か又は許容可能かを決定するために、リスク分析の結果をリスク基準と比較するプロセス

- リスク対応 （risk treatment） リスクを修正するプロセス

2.リスク分析の効果

- 実効的なリスクの低減の実現

- 効果的な投資の実現（追加対策、有効なテスト箇所の抽出）

- PDCA サイクルの確立とセキュリティの維持向上を継続するためのベース

３．リスク分析の全体像

リスク分析には、様々な手法が存在する。

①ベースラインアプローチ

既存の標準や基準をもとに、想定する典型的なシステムに対して、予め一定の確保すべ きセキュリティレベルを設定し、それを達成するためのセキュリティ対策要件を定め、分析 対象となるシステムの対策の適合性等をチェックする。

②非形式的アプローチ

組織や担当者の経験や判断によってリスク分析を実施する

③詳細リスク分析

分析対象のシステム自体に対して、そのシステムもしくはそれにより実現されている事業を、 「重要度」（あるいは損なわれた場合の被害レベル）「脅威」「脆弱性」の評価指標の下で、 リスク分析を実施する。

④組み合わせアプローチ

複数のアプローチを併用し、作業の効率化、異なった評価視点の活用によって、分析精 度の向上と、作業工数増大の回避を図る

４．詳細リスク分析の優位性

- 分析対象の実態に沿った評価を行うことで、分析対象のリスクを明確化できる。

- 対策の優先順位の客観的な決定と、リスク低減に最も効果的な選定が可能である。 （織内における対策の優先順位の共通の理解と認識を有することができる。）

- 一度確立しておくと、それをベースに、システムの拡張や新たな脅威の出現等にも継続的に 見直しや更新をしていくことが可能である。

５．詳細リスク分析アプローチ

5.1 資産ベース

保護すべきシステムを構成する資産を対象に、各資産（サーバ、端末、通信機器等）に対して、 その重要度（価値）、想定される脅威、脆弱性の３つを評価指標として、リスク分析を実施する。 この場合のリスク値としては、想定される「脅威の受容の可能性とそれにより損なわれる資産価 値」の相乗値を算出することになる。リスク値が高い脅威に対しては、その受容性を低減する対 策の強化を検討することになる。

5.2 シナリオベース（事業被害ベース）

保護すべきシステムにおいて実現されている事業やサービスに対して、回避したい事業被害 を定義し、発生した際の事業被害のレベル、その被害を起こしうる攻撃シナリオによる脅威、攻 撃シナリオに対する脆弱性（攻撃シナリオの受容可能性）の３つを評価指標として、リスク分析 を実施する。この場合のリスク値としては、攻撃シナリオの「成功可能性と発生する被害のレベ ル」の相乗値を算定することになる。リスク値が高い攻撃シナリオに対しては、その成功可能性 を低減する対策の強化を検討することになる。

６．シナリオベース（事業被害ベース）の２つのリスク分析

攻撃ツリー解析（ATA Attack　Tree　Analysis）

攻撃者視点で、トップダウンに、誰が、どこから、どのルートを経由して被害発生を引き起 こしうるかのシナリオを、攻撃ツリー（攻撃のステップからなる一連の攻撃フロー）として構 成する。攻撃の侵入口は複数存在し、また攻撃経路も（下流に向けて）枝分かれして、事 業被害を引き起こす攻撃へと連なる。こうして構成したツリーの各攻撃事象を受容してしまう脆弱性を評価して、攻撃ツリーの成立の可能性を算定する

フォルトツリー解析（FTA Fault Tree Analysis）

被害（インシデント等）事象を起点として、ボトムアップに、その被害に至る１ステップ前の 攻撃事象を、更にそれを引き起こす１ステップ前の攻撃事象を順じ追跡するツリー（フォル トツリー）を構成して、攻撃の起点までを構成していく。当然、１ステップ前は、複数の事象 に分かれることもあり、それに応じて（上流に向けて）枝分かれしていく。こうして構成した フォルトツリーを受容してしまう脆弱性を評価して、ツリーの成立の可能性を算定する。

７．リスク分析手法とひょうか指標の関係

リスク分析手法

評価指標

資産の重要度

事業被害

脅威

脆弱性

資産ベースのリスク分析

〇

－

〇

〇

シナリオベースのリスク分析（事業被害ベース）

－

〇

〇

〇

８．採用するリスク分析の観点検討

- ①脅威と対策の網羅的な把握 保護すべき資産に対して、想定される脅威とその対策を一通り把握して評価できること。～資産ベースリスク分析が適している。

- ②事業被害の回避の検証 制御システムにおいて、一番重要なことは、重大な最終被害に至らないことであり、その検証 を行えること。～シナリオベースリスク分析が適している。

- ③工数が膨大になり過ぎない事 人員や予算は限られており、現実的な工数で、達成が可能であること。～シナリオベースのリスク分析詳細実施は工数が大

９．制御システムのセキュリティ分析ガイドで利用するリスク分析例

9.1 資産ベースのリスク分析（必ず実施）

保護すべき制御システムを構成する資産群を明確化し、各資産に 対するシステム構成上及び運用管理上に想定される脅威について、各資産の重要度と、その脅 威の発生可能性と受容可能性（脆弱性）の相乗値によって、資産のリスクを評価するリスク分析 手法

9.2 事業被害ベースのリスク分析（分析対象を絞る）

回避したい事業被害を明確化し、事業被害を引き起こすと想 定される攻撃について、事業被害の大きさと、攻撃の発生可能性と受容可能性（脆弱性）の相乗 値によって、事業のリスクを評価するリスク分析手法

- ①事業被害（製造停止、供給停止、システム破壊、機密情報の漏えい等）を定義し、事業被害 レベルを評価する

- ②事業被害を引き起こす攻撃シナリオを検討する

- ③攻撃シナリオを実現する攻撃ツリーを構成する

- 攻撃ツリーは、システム構成図やシステムの諸機能に基づき、攻撃者の視点で、概ね以下の 流れで記載する。 (ア) 攻撃者は誰か (イ) 攻撃の入口はどこか (ウ) 攻撃の入口から最終的な攻撃を実行する機器まで、どのように侵攻するのか (エ) 最終攻撃は何か（コマンドの発行、システムの改ざん・破壊、情報の窃取等）

- ④攻撃ツリーが発生する可能性を評価する

- ⑤攻撃ツリーが攻撃を受容する可能性を評価する

- ⑥攻撃ツリーのリスク値を算定する

【事業被害から攻撃シナリオ、攻撃ツリー、攻撃ステップの構成】

・起こっては困る事 → ・どこで、何をする → ・誰が、どこから、どうやって

【事業被害】 【攻撃シナリオ】 【 攻撃ツリー／攻撃ステップ】

１０．資産ベースのリスク分析と事業被害ベースのリスク分析の比較

- ①資産ベースのリスク分析　バラマキ、無差別攻撃　資産の網羅的対策の有効性

- ②事業被害ベースのリスク分析　標的型（APT）意図的攻撃　攻撃ルート抑制被害最小化

以下　詳細リスク分析は省略　制御システムセキュリティリスク分析ガイド　第二版

参照

おわりに

参考文献(引用,転載,要約)

2021.12.14改訂

1. 基本文書

1. 内閣府. “経済財政運営と改革の基本方針2021 日本の未来を拓く４つの原動力～グリーン、デジタル、活力ある地方創り、少子化対策～”. 内閣府. 2021. https://www5.cao.go.jp/keizai-shimon/kaigi/cabinet/2021/decision0618.html, (accessed 2021-10-14).

2. 内閣府. “サイバーセキュリティ基本法”. e-GOV 法令検索. 2018. https://elaws.e-gov.go.jp/document?lawid=426AC1000000104, (accessed 2021-9-17).

3. 内閣府. “デジタル社会形成基本法案”. 内閣府. 2021. https://www.cas.go.jp/jp/houan/204.html, (accessed 2021-10-13).

4. 内閣官房. “世界最先端デジタル国家創造宣言・官民データ活用推進基本計画の変更について（2021年6月18日閣議決定）”. 内閣官房. 2021. https://cio.go.jp/sites/default/files/uploads/documents/210618_01_doc01.pdf, (accessed 2021-10-14).

5. 内閣府科学技術政策・イノベーション会議. “第6期科学技術基本計画（令和3年3月26日閣議決定）”. 内閣府. https://www8.cao.go.jp/cstp/kihonkeikaku/index6.html, (accessed 2021-10-10).

6. 内閣府科学技術政策・イノベーション会議. “第6期科学技術基本計画（令和3年3月26日閣議決定）”. 内閣府. https://www8.cao.go.jp/cstp/kihonkeikaku/index6.html, (accessed 2021-10-10).

7. 内閣府. “標準ガイドライン群”. 政府CIOポータル,2021. https://cio.go.jp/guides, (accessed 2021-10-13).

8. NISC. “サイバーセキュリティ戦略”. NISC. 2021. https://www.nisc.go.jp/active/kihon/pdf/cs-senryaku2021.pdf, (accessed 2021-10-5).

9. NISC. “サイバーセキュリティ2021（2020年度年次報告・2021年度年次計画）”. NISC. 2021. https://www.nisc.go.jp/active/kihon/pdf/cs2021.pdf, (accessed 2021-10-5).

10. NISC. “サイバーセキュリティ研究開発戦略(改訂案)”. NISC. 2021. https://www.nisc.go.jp/conference/cs/kenkyu/dai16/pdf/16shiryou0201.pdf, (accessed 2021-9-17).

11. 総務省. “「サイバーセキュリティ基本法」とは”. 総務省. 2019. https://www.soumu.go.jp/main_sosiki/joho_tsusin/security/basic/legal/11.html, (accessed 2021-9-17).

12. 総務省. “令和3年版情報通信白書”. 総務省. 2021. https://www.soumu.go.jp/johotsusintokei/whitepaper/r03.html, (accessed 2021-9-17).

13. 文部科学省. “令和3年版科学技術・イノベーション白書”. 文部科学省. 2021. https://www.mext.go.jp/b_menu/hakusho/html/hpaa202101/1421221_00023.html, (accessed 2021-10-8).

14. 中小企業庁. “2021年版中小企業白書”. 中小企業庁. 2021. https://www.chusho.meti.go.jp/pamflet/hakusyo/index.html, (accessed 2021-9-17).

15. IPA. “情報セキュリティ白書2021”. IPA. 2021. https://www.ipa.go.jp/security/publications/hakusyo/2021.html, (accessed 2021-10-28).

16. IPA. “DX白書2021”. IPA. 2021. https://www.ipa.go.jp/ikc/publish/dx_hakusho.html, (accessed 2021-10-13).

17. IPA. “AI白書2020”. IPA. 2020. https://www.ipa.go.jp/ikc/our_activities/rs_01.html, (accessed 2021-10-7).

18. IPA. “IT人材白書2020”. IPA. 2020. https://www.ipa.go.jp/jinzai/jigyou/about.html, (accessed 2021-9-17).

19. IPA. “情報セキュリティ10大脅威 2021”. IPA. 2021. https://www.ipa.go.jp/security/vuln/10threats2021.html, (accessed 2021-9-17).

2. 攻めのIT・セキュリティ対策関連

1. 内閣府. “Society 5.0”. 内閣府. 2021. https://www8.cao.go.jp/cstp/society5_0/, (accessed 2021-9-22).

2. NISC. “企業経営のためのサイバーセキュリティの考え方の策定について”. NISC. 2016. https://www.nisc.go.jp/active/kihon/pdf/keiei.pdf, (accessed 2021-9-17).

3. 総務省. “IoT・5G セキュリティ総合対策”. 総務省. 2016. https://www.soumu.go.jp/main_content/000641510.pdf, (accessed 2021-10-7).

4. 総務省. “IoT・5G セキュリティ総合対策 プログレスレポート 2020”. 総務省. 2016. https://www.soumu.go.jp/main_content/000688845.pdf, (accessed 2021-10-7).

5. METI. “サイバーセキュリティ経営ガイドライン Ver2.0”. METI. 2017. https://www.meti.go.jp/policy/netsecurity/mng_guide.html, (accessed 2021-9-17).

6. METI. “サイバーセキュリティ経営ガイドラインVer 2.0 付録Ｂ サイバーセキュリティ対策に関する参考情報”. METI. 2017, p22～26. https://www.meti.go.jp/policy/netsecurity/downloadfiles/guide2.0.pdf, (accessed 2021-9-28).

7. METI. “サイバーセキュリティ経営ガイドラインVer 2.0 付録F サイバーセキュリティ体制構築・人材確保の手引き 第1.1版”. METI. 2021. https://www.meti.go.jp/policy/netsecurity/mng_guide.html, (accessed 2021-9-17).

8. METI. “サイバーフィジカルセキュリティフレームワーク（CPSF）”. METI. 2019. https://www.meti.go.jp/policy/netsecurity/wg1/cpsf.html, (accessed 2021-9-17).

9. METI. “DXレポート2.1（DXレポート2追補版）”. METI. 2021. https://www.meti.go.jp/press/2021/08/20210831005/20210831005.html, (accessed 2021-9-17).

10. IPA. “デジタルトランスフォーメーション（DX）の推進”. IPA. 2021. https://www.ipa.go.jp/ikc/our_activities/dx.html, (accessed 2021-10-28).

11. METI. “DX時代における企業のプライバシーガバナンスガイドブックver1.0”. METI. 2021. https://www.meti.go.jp/press/2020/08/20200828012/20200828012.html, (accessed 2021-10-28).

12. METI. “IoT セキュリティガイドライン IoT、AI、ロボットに関する経済産業省の施策について”. METI. 2016. https://www.iajapan.org/iot/event/2016/pdf/3_01_sano.pdf, (accessed 2021-9-17).

13. IPA. “サイバーセキュリティ経営ガイドライン Ver 2.0実践のためのプラクティス集 第2版”. IPA. 2021. https://www.ipa.go.jp/security/fy30/reports/ciso/index.htmll, (accessed 2021-10-7).

14. IPA. “組織の情報セキュリティ対策自己診断テスト　情報セキュリティ対策ベンチマーク”. IPA. 2020. https://www.ipa.go.jp/security/benchmark/, (accessed 2021-9-22).

15. IPA 社会基盤センター. “新たな潮流の発信 役立ちコンテンツ一覧（DXやデジタル技術、ビジネス変革関連）”. IPA. 2021. https://www.ipa.go.jp/ikc/imanavi.html, (accessed 2021-10-13).

16. IPA. “デジタル・トランスフォーメーション（DX）推進に向けた企業とIT人材の実態調査”. IPA. 2020. https://www.ipa.go.jp/files/000082054.pdf, (accessed 2021-10-7).

17. IPA. “iコンピテンシ・ディクショナリ（iCD）”. IPA. 2015. https://www.ipa.go.jp/jinzai/hrd/i_competency_dictionary/index.html, (accessed 2021-9-28).

18. IPA. "ITSS+（プラス）・ITスキル標準（ITSS）・情報システムユーザースキル標準（UISS）関連情報". IPA. 2021. https://www.ipa.go.jp/jinzai/itss/itssplus.html (accessed 2021-10-10)

19. デジタルリテラシー協議会. “Di-Lite:2021 ビジネスパーソンが持っておくべきデジタルリテラシー”. デジタルリテラシー協議会. 2021. https://www.dilite.jp/, (accessed 2021-10-28).

20. 一般社団法人日本ディープラーニング協会. “G検定とは”. 一般社団法人日本ディープラーニング協会. 2021. https://www.jdla.org/certificate/general/, (accessed 2021-10-28).

21. 一般社団法人データサイエンティスト協会. “ データサイエンティスト検定 リテラシーレベル”. 一般社団法人データサイエンティスト協会. 2021. https://www.datascientist.or.jp/dskentei/, (accessed 2021-10-28).

22. IPA. “iCDでできること”. IPA. 2019. https://www.icda.or.jp/about-icd/icd-ability/, (accessed 2021-9-17).

23. IPA産業サイバーセキュリティセンター. “ゼロトラスト導入指南書〜情報系・制御系システムへのゼロトラスト導入〜”. IPA. 2021. https://japan.zdnet.com/article/35176364/, (accessed 2021-9-23).

24. ロボット革命・産業IoTイニシアティブ協議会. “中堅・中小製造業のIoT活用事例”. ロボット革命・産業IoTイニシアティブ協議会. 2016. https://www.jmfrri.gr.jp/info/rri/380.html, (accessed 2021-9-17).

25. 個⼈情報保護委員会. “GDPR（General Data Protection Regulation：一般データ保護規則）”. 個⼈情報保護委員会. 2019. https://www.ppc.go.jp/enforcement/infoprovision/laws/GDPR/, (accessed 2021-10-28).

26. METI. “AI・データの利用に関する契約ガイドライン”. METI. 2019. https://cio.go.jp/node/2651, (accessed 2021-10-28).

27. 消費者庁. “AI利活用ハンドブック～AIをかしこく使いこなすために～”. 消費者庁. 2020. https://www.caa.go.jp/policies/policy/consumer_policy/meeting_materials/review_meeting_004/ai_handbook.html, (accessed 2021-10-28).

28. リクルートワークス研究所 石原直子. “リスキリングとは―DX時代の人材戦略と世界の潮流―”. METI 第2回デジタル時代の人材政策に関する検討会, 資料2-2. 2021. https://www.meti.go.jp/shingikai/mono_info_service/digital_jinzai/pdf/002_02_02.pdf, (accessed 2021-9-28).

29. オードリー・タン. "デジタルとAIの未来を語る". プレジデント書籍編集チーム. 2021. https://iss.ndl.go.jp/books/R100000002-I030763032-00, (accessed 2021-9-17).

30. 中山正樹. "AIを活用した「知の共有化」システムの方向性 ―「未来の図書館を作るとは」の実現に向けて―", 同志社図書館情報学. 2017, Vol.27, 42-58. http://doi.org/10.14988/pa.2017.0000016828, (accessed 2021-9-17).

31. ZDNet Japan. “ゼロトラストとサイバーセキュリティ--英政府機関NCSCが考える意義や重要性”. ZDNet Japan. 2021. https://japan.zdnet.com/article/35176364/, (accessed 2021-9-17).

3. 守りのIT・セキュリティ対策関連

1. NISC. “サイバーセキュリティ関係法令Q&Aハンドブック”. NISC. 2020. https://www.nisc.go.jp/security-site/law_handbook/index.html, (accessed 2021-9-17).

2. NISC. “インターネット安全・安心のハンドブック Ver.4.10”. NISC. 2020. https://www.nisc.go.jp/security-site/files/handbook-all.pdf, (accessed 2021-10-7).

3. NISC. “高度サイバー攻撃対処のためのリスク評価等のガイドライン付属書”. NISC. 2016. https://www.nisc.go.jp/active/general/risk.html, (accessed 2021-9-17).

4. NISC. “政府機関等の情報セキュリティ対策のための統一基準群”. NISC. 2018. https://www.nisc.go.jp/active/general/kijun30.html, (accessed 2021-10-28).

5. NISC. “スマートフォン等の業務利用における情報セキュリティ対策の実施手順策定手引書”. NISC. 2015. https://www.nisc.go.jp/conference/cs/taisaku/ciso/dai02/pdf/02shiryou0305.pdf, (accessed 2021-9-17).

6. NISC. “リスクアセスメント・ガイドラインv4.1.0”. NISC. 2015. https://www.nisc.go.jp/conference/cs/taisaku/ciso/dai02/pdf/02shiryou0305.pdf, (accessed 2021-9-17).

7. NISC. “IT-BCP 策定モデル”. NISC. 2013. https://www.nisc.go.jp/active/general/pdf/IT-BCP.pdf, (accessed 2021-10-13).

8. NISC. “サイバーセキュリティ協議会”. NISC. 2021. https://www.nisc.go.jp/conference/cs/kyogikai/index.html, (accessed 2021-10-8).

9. NISC. “2020年東京オリンピック・パラリンピック競技大会のサイバーセキュリティの確保に向けたリスク評価資料一式（2021年４月）zip形式”. NISC. 2021. https://www.nisc.go.jp/active/2020/index.html, (accessed 2021-10-8).

10. 総務省. “テレワークセキュリティガイドライン（第5版）”. 総務省. 2021. https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/, (accessed 2021-9-22).

11. 総務省. “Wi-Fi利用者向け簡易マニアル”. 総務省. 2020. https://www.soumu.go.jp/main_content/000690266.pdf, (accessed 2021-10-7).

12. 総務省. “Wi-Fi提供者向けセキュリティ対策の手引き”. 総務省. 2020. https://www.soumu.go.jp/main_content/000690267.pdf, (accessed 2021-10-7).

13. 総務省. “中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）”. 総務省. 2021. https://www.soumu.go.jp/main_content/000706649.pdf, (accessed 2021-10-7).

14. 総務省. “クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）”. 総務省. 2021. https://www.soumu.go.jp/main_sosiki/cybersecurity/telework/, (accessed 2021-9-22).

15. 総務省. “通信利用動向調査”. 総務省. 2021.https://www.soumu.go.jp/johotsusintokei/statistics/statistics05.html , (accessed 2021-9-22).

16. 総務省サイバーセキュリティタスクフォース. “我が国のサイバーセキュリティ強化に向け 速やかに取り組むべき事項 [緊急提言]”. 総務省. 2020.https://www.soumu.go.jp/main_content/000666221.pdf , (accessed 2021-10-7).

17. 総務省サイバーセキュリティ統括官. “サイバーセキュリティ対策情報開示の手引き”. 総務省. 2019.https://www.soumu.go.jp/main_content/000630516.pdf , (accessed 2021-10-7).

18. METI. “システム管理基準”. METI. 2018. https://www.meti.go.jp/policy/netsecurity/downloadfiles/system_kanri_h30.pdf, (accessed 2021-9-22).

19. METI. “営業秘密管理指針”. METI. 2019. https://www.meti.go.jp/policy/economy/chizai/chiteki/guideline/h31ts.pdf, (accessed 2021-10-8).

20. METI. “デジタルガバナンス・コード”. METI. 2020. https://www.meti.go.jp/shingikai/mono_info_service/dgs5/pdf/20201109_01.pdf, (accessed 2021-10-8).

21. METI. “最近のサイバー攻撃の状況を踏まえた経営者への注意喚起（スライド）”. METI. 2020. https://www.meti.go.jp/press/2020/12/20201218008/20201218008-1.pdf, (accessed 2021-10-14).

22. METI. “最近のサイバー攻撃の状況を踏まえた経営者への注意喚起”. METI. 2020. https://www.meti.go.jp/press/2020/12/20201218008/20201218008-2.pdf, (accessed 2021-10-14).

23. NIST(IPA翻訳). “セキュリティ関連NIST文書”. IPA. 2021. https://www.ipa.go.jp/security/publications/nist/index.html, (accessed 2021-10-13).

24. NIST(IPA翻訳). “管理対象非機密情報を保護するための拡張セキュリティ要件NIST SP 800-171 の補足”. NIST Special Publication. 2021. https://www.ipa.go.jp/files/000093059.pdf, (accessed 2021-9-23).

25. NIST(IPA翻訳). “組織と情報システムのためのセキュリティおよびプライバシー管理策 SP800-53 Revision 5”. NIST Special Publication. 2020. https://www.ipa.go.jp/files/000092657.pdf, (accessed 2021-10-8).

26. NIST(IPA翻訳). “コンピュータセキュリティ インシデント対応ガイド SP800-61 Revision 1”. NIST Special Publication. 2009. https://www.ipa.go.jp/files/000092657.pdf, (accessed 2021-10-8).

27. NIST(IPA翻訳). “連邦政府外のシステムと組織における管理された非格付け情報の保護 NIST Special Publication 800-171r1”. NIST Special Publication. 2016. https://www.ipa.go.jp/files/000092657.pdf, (accessed 2021-10-8).

28. NIST(IPA翻訳). “重要インフラのサイバーセキュリティを改善するためのフレームワーク　1.1版”. NIST Special Publication. 2019. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf, https://www.ipa.go.jp/files/000071204.pdf, (accessed 2021-10-8).

29. NIST(エヴァアビエーション翻訳). “非連邦政府組織およびシステムにおける管理対象非機密情報（CUI）の保護 NIST Special Publication 800-171r2”. NIST Special Publication. 2020. https://www.eva.aviation.jp/wp-content/uploads/2021/06/NIST-SP800-171Rev.22020FebJpV6.pdf, (accessed 2021-10-8).

30. IPA. “中小企業の情報セキュリティ対策ガイドライン　第3版”. IPA. 2021. https://www.ipa.go.jp/security/keihatsu/sme/guideline/, (accessed 2021-9-17).

31. IPA. “ランサムウェア対策特設ページ”. IPA. 2020. https://www.ipa.go.jp/security/anshin/ransom_tokusetsu.html, (accessed 2021-9-17).

32. IPA. “中小企業における組織的な情報セキュリティ対策ガイドライン”. IPA. 2011. https://www.ipa.go.jp/security/manager/know/sme-guide/sme-security_guidline.html, (accessed 2021-9-17).

33. IPA. “中小企業における組織的な情報セキュリティ対策ガイドライン”. IPA. 2011. https://www.ipa.go.jp/security/manager/know/sme-guide/sme-security_guidline.html, (accessed 2021-9-17).

34. IPA. “中小企業の情報セキュリティマネジメント指導業務　成果報告書”. IPA. 2020. https://www.ipa.go.jp/files/000082717.pdf, (accessed 2021-10-7).

35. IPA. “情報セキュリティマネジメント試験”. IPA. 2021. https://www.jitec.ipa.go.jp/sg/, (accessed 2021-10-28).

36. IPA. “マルチプラットフォームシステムでの セキュリティ対策のPoC（概念実証）報告書”. IPA. 2020. https://www.ipa.go.jp/files/000083120.pdf, (accessed 2021-10-7).

37. IPA. “「2020年度サイバーセキュリティ経営ガイドライン実践のためのプラクティスの在り方に関する調査」報告書”. IPA. 2021. https://www.ipa.go.jp/security/fy2020/reports/practice/index.html, (accessed 2021-10-8).

38. IPA. “情報セキュリティ事業継続計画（BCP）とは”. IPA. 2005. https://www.ipa.go.jp/security/manager/protect/bcp/index.html, (accessed 2021-9-17).

39. IPA. “制御システム関連の サイバーインシデント事例４”. IPA. 2020. https://www.ipa.go.jp/files/000080701.pdf, (accessed 2021-10-7).

40. IPA. “2019年度情報セキュリティの倫理に対する意識調査ー調査報告書ー”. IPA. 2019. https://www.ipa.go.jp/files/000080783.pdf, (accessed 2021-10-7).

41. IPA. “サイバーセキュリテイ経営可視化ツール”. IPA. 2021. https://www.ipa.go.jp/security/economics/checktool/index.html, (accessed 2021-10-7).

42. IPA. “2019年度組込み/IoT産業の動向把握等に関する調査書”. IPA. 2019. https://www.ipa.go.jp/ikc/reports/20200331_2.html, (accessed 2021-10-7).

43. IPA. “安全なウェブサイトの作り方”. IPA. 2021. https://www.ipa.go.jp/security/vuln/websecurity.html, (accessed 2021-10-28).

44. IPA. “改正民法に対応した「情報システム・モデル取引・契約書」を公開～ユーザ企業・ITベンダ間の共通理解と対話を促す～”. IPA. 2021. https://www.ipa.go.jp/ikc/reports/20191224.html, (accessed 2021-10-28).

45. IPA 菅野泰子. “NIST SP800シリーズに見る BCPとContingency Planning”. IPA. 2006. https://www.ipa.go.jp/files/000015360.pdf, (accessed 2021-9-17).

46. IPA 菅野泰子. “NIST SP800 シリーズに見る情報セキュリティと事業継続計画”. IPA. 2006. https://www.ipa.go.jp/files/000015359.pdf, (accessed 2021-9-17).

47. JP/CERT CC. “インシデント対応マニュアルの作成について”. JP/CERT CC. 2015. https://www.jpcert.or.jp/csirt_material/files/18_incident_response_manual_20151126.pdf, (accessed 2021-9-17).

48. JP/CERT CC. “ インシデントハンドリングマニュアル”. JP/CERT CC. 2015. https://www.jpcert.or.jp/csirt_material/files/manual_ver1.0_20151126.pdf, (accessed 2021-10-7).

49. 警察庁. “令和元年におけるサイバー空間をめぐる脅威の情勢等について”. 警視庁. 2020. https://www.npa.go.jp/publications/statistics/cybersecurity/data/R01_cyber_jousei.pdf, (accessed 2021-10-7).

50. JNSA インシデント被害調査ワーキンググループ. “インシデント損害額調査レポート　2021年版”. JNSA. 2021. https://www.jnsa.org/result/incidentdamage/2021.html, (accessed 2021-9-27).

51. JNSA. “JNSA緊急事態宣言解除後のセキュリティ・チェックリスト解説書”. JNSA. 2021. https://www.jnsa.org/telework_support/telework_security/explanation.pdf, (accessed 2021-10-7).

52. JNSA CISO支援ワーキンググループ. “MY CISO ハンドブック”. JNSA. 2019. https://www.jnsa.org/result/2019/act_ciso/, (accessed 2021-10-8).

53. JNSA JTAG認定ワーキンググループ. “セキュリティ業務を担う人材のスキル可視化施策の考察～プラス・セキュリティ人材の可視化に向けて～ (1.0版)”. JNSA. 2019. https://www.jnsa.org/isepa/images/outputs/JTAGreport2019.pdf, (accessed 2021-12-14).

54. フィッシング対策協議会. “フィッシングレポート2020”. フィッシング対策協議会. 2021. https://www.antiphishing.jp/report/phishing_report_2020.pdf, (accessed 2021-10-7).

55. フィッシング対策協議会. “利用者向けフィッシング詐欺対策 ガイドライン”. フィッシング対策協議会. 2020. https://www.antiphishing.jp/report/consumer_antiphishing_guideline_2020.pdf, (accessed 2021-10-7).

56. クレジット取引セキュリティ対策協議会. “クレジットカード・セキュリティガイドライン”. 一般社団法人日本クレジット協会 . 2020. https://www.j-credit.or.jp/security/pdf/plan_2021.pdf, (accessed 2021-10-7).

4. その他

用語解説インデックス

【A】

AI

Android

スマートフォン用のOSの1つ

【B】

BEC

Business Email Compromise（ビジネスメール詐欺）

【C】

CISO

Chief Information Security Officer（最高情報セキュリティ責任者）

CPS

Cyber-Physical System

CSIRT

Computer Security Incident Response Team

CSR

corporate social responsibility（企業の社会的責任）

【D】

DDoS攻撃

複数のネットワークに分散する大量のコンピューターが一斉に特定の対象に送信し、通信容量をあふれさせて機能を停止させてしまう攻撃

DKIM

DMARC

DoS攻撃

Denial of Servicesの略。企業や組織のWebシステムに大量の通信パケットを送りつけて利用できなくする攻撃

DX

Digital Transformation（デジタル変革）

【E】

ECサイト

Electronic Commerceの略でインターネット上で商品やサービスの売買を行うサイト

【G】

GDPR

General Data Protection Regulation：EU一般データ保護規則

【I】

ICカード

ID

Identification の略。コンピューターシステムで利用者を識別するための符号

IoT

IPアドレス

Internet Protocol Addressの略で、ネットワーク上にあるコンピューターや通信機器を判別するための番号

IT

Information Technologyの略で情報技術の総称

IT-BCP

IT-Business Continuity Plan（ITにおける事業継続計画）

ITSS+

IT skill standard + （ITスキル標準プラス）

ITガバナンス

IT governance：企業がITへの投資や効果、リスクを継続的に最適化するために構築する組織的な仕組み

【N】

NAS

Network Attached Storageの略でネットワークに接続された記憶装置

NIST

National Institute of Standards and Technology（米国国立標準技術研究所）

NOTICE

【O】

OS

Operating Systemの略。パソコンを動かすための基本ソフトウェア

【P】

PDCA

Plan（計画）、Do（実行）、Check（評価）、Act（改善）の繰り返しで管理業務を円滑に進める手法の1つ

【S】

SECURITY_ACTION

SNS

Society5.0

狩猟社会（Society 1.0）、農耕社会（Society 2.0）、工業社会（Society 3.0）、情報社会（Society 4.0）に続く、新たな社会を指すもの

SPF

【U】

URL

URLとは、インターネット上に存在する情報の位置を記述するためのデータ形式

USBメモリー

Universal Serial Bus。パソコンなどに周辺機器を簡単に接続するための記憶媒体

UTM

【W】

Webアプリケーション

Webサーバー

ホームページや情報・機能を提供するコンピューター

Webサービス

Webアプリケーションを使い、ネットワークを通じてソフトウェアの機能を利用できるようにしたもの

【あ】

アカウント

ユーザーがネットワークやコンピューターにログインするための権利

アクセス権

コンピューターやネットワーク、データベースなどを利用する権利

アップデート

ソフトウェアやアプリケーションを最新の状態にすること

アプリ

スマートフォンなどで、さまざまな機能を提供するプログラム

暗号化

データの内容を他人には分からなくするための方法

暗号化技術（SSL）

【い】

インシデント

コンピューターやネットワークのセキュリティを脅かす事象。セキュリティインシデントとも呼ぶ

インターネットバンキング

コンピューターを使ってインターネット経由で銀行などの金融機関のサービスを利用すること

【う】

ウイルス

【か】

可用性

完全性

【き】

機密性

共有サーバー

情報や機能を共有で使用するサーバー

共有設定

プリンターやデータなどを複数人で共有できるよう設定すること

【く】

クラウドサービス

クリアスクリーン

クリアデスク

【こ】

個人情報保護法

コンテンツ

WebサイトやDVD、CD-ROMに含まれる情報の内容

コンテンツフィルター

業務上不要または有害な内容を含むWebサイトへの接続を制限する機能

【さ】

サイバー空間（仮想空間）

サイバーセキュリティ

残留リスク

【し】

指紋認証

指紋を利用する生体認証

情報資産

情報セキュリティ

【す】

スクリーンセーバー

パソコン操作をしない間、画面を図形や模様などで隠す機能

スタンドアロン

スパムメール

不特定多数に対して送信される広告や詐欺的な内容を主としたメール

スリープモード

パソコン操作をしない間、省電力のため画面が暗くなる機能。第三者による操作やのぞき見防止にもなる

【せ】

脆ぜい弱じゃく性せい

セキュリティコード

クレジットカード裏面に印字されている3桁の番号

セキュリティ・バイ・デザイン

Security by Design：企画・設計段階から必要なセキュリティ対策を施しておくという考え方

セキュリティホール

ソフトウェアの設計ミスなどによって生じたセキュリティ上の弱点

セキュリティポリシー

センサー

音や光、温度、振動などを検出して信号に変える装置

【そ】

ソーシャルエンジニアリング

social engineering：人間の心理的な隙や、行動のミスにつけ込んで、IT技術を使用せずに秘密情報を入手する方法

外付けハードディスク

パソコン本体にケーブルで接続するタイプのハードディスク装置

ソフトウェア

コンピューターを動作させる命令や処理手順のまとまり

【た】

第4次産業革命

蒸気機関（第1次）、電気機器（第2次）、コンピュータ（第3次）に続くAI等の技術、デジタル情報を活用した産業構造の変革を示す

多要素認証

サービス利用時の利用者の認証を、複数の要素を用いて行うもの

【て】

定義ファイル

コンピューターウイルスの特徴を記録したファイル

テザリング

スマートフォンなどを経由してパソコンをインターネットに接続する方法

テレワーク

ICT機器等を活用して、時間や場所の制約を受けずに、柔軟に働くことができる形態

電子証明書

信頼できる第三者（認証局）が本人であることを証明するもの

【と】

同報メール

同じ内容のメールを複数の人へ同時に送付すること

トロイの木馬

正体を偽ってコンピューターへ侵入し、破壊活動を行うプログラム

【な】

なりすまし

他人のIDとパスワードを使用し、その人のふりをして活動すること

【ね】

ネットワークカメラ

主にネットワーク上に設置されたカメラ。監視カメラなどに用いられる

【は】

パターンファイル

定義ファイルと同じ

ハッキング

他人のコンピューターや通信システムを不正な手段で勝手に操作したり、不正に機密情報を入手したりすること

バックアップ

データの破損や損失に備えて複製を作成して保管すること

【ひ】

ビッグデータ

標的型攻撃

【ふ】

ファイアウォール

外部から送られてくる通信を制御・監視し安全を保持するための仕組み

5G

5th Generation（第5世代移動通信システム）

フィジカル空間（現実空間）

フィッシング詐欺

フィルタリング

特定のWebサイトや迷惑メールなどを選別・閲覧制限する仕組み

踏み台

外部の第三者に乗っ取られ、不正アクセスの中継地点や迷惑メールの発信源などに利用されてしまうこと

プラス・セキュリティ人材

本来の業務を担いながらITを利活用する中でセキュリティスキルも必要となる人材

【へ】

ベンチマーク

比較のために用いる指標

【ほ】

ボットネットウイルス

ボットはロボットの略。攻撃者が遠隔から操作して、別のコンピューターへの攻撃の踏み台にする。ボットネットは、外部からの指令で一斉に攻撃を行わせるネットワークのこと

ポップアップ画面

Webページ上に、自動的に新しいウインドウが開いて表示される画面

【ま】

マイナンバー

住民票を有する個人に割り当てられた12桁の番号

マルウェア

Malicious software（悪意のあるソフトウェア）の略語。コンピューターの正常な利用を妨げたり、利用者やコンピューターに害を成す不正な動作を行うソフトウェアの総称

【め】

メーリングリスト

あらかじめ登録した複数の人に同じメールを同時配信できる仕組み

メールサーバー

メールの送受信を行うためのサーバーのこと

【も】

モバイル端末

インターネットに接続できる携帯電話やタブレット端末などの通信機器

【よ】

溶解処分

紙の重要情報を主に水と機械で溶かして処分する方法。専門業者に依頼

【ら】

ランサムウェア

【り】

リモート管理

離れた場所にあるコンピューターを通信回線などを通じて管理すること

【ろ】

ログ

コンピューターなどの内部で起こった出来事についての情報を時系列に記録・蓄積したデータ

【わ】

ワーム

自立的に動作する不正プログラムで、コンピューターに侵入し、破壊活動や別のコンピューターへの侵入などを行う

ワンクリック詐欺

ワンタイムパスワード

認証方法の1つで、ワンタイム（＝1回）限りで短時間のみ有効な“使い捨て”パスワードのこと

ガイドブック『中小企業向けサイバーセキュリティ対策の極意』の改訂について

2022年6月30日

概要

ICT関連、サイバーセキュリティ関連の最新情報、詳細情報を反映して、EPUB版をVer.2.1に改訂しました。引き続き、順次、更新しています。

なお、PDF版及び冊子の改訂は未定ですので、最新版は、ガイドブックのページにあるEPUB版、Web版を活用してください。

今回改訂版

- 『中小企業向けサイバーセキュリティ対策の極意』Ver.2.2.1（EPUBリフロー版）

EPUB版 Ver.2.2.1 改訂箇所

- PDF版の改訂にあわせて、累積の変更内容を反映させた版としてリニューアル

EPUB版 Ver.2.1.5 改訂箇所

- 「【特設ページ】Emotet関連の問い合わせの急増について」等の追加

EPUB版 Ver.2.1.4 改訂箇所

- MISSION6 インフォメーションの大幅改訂

EPUB版 Ver.2.1.3 改訂箇所

- 【資料編】「セキュリティ関連知識の保管庫（ナレッジベース）」の追加

EPUB版 Ver.2.1.2 改訂箇所

- 【新規】EPUB内容記述タグの正規化

EPUB版 Ver.2.1.1 改訂箇所

- 【新規】INFORMATION 6-2 App.02 経営者の理解のもと、組織としてセキュリティ対策をしっかりと進めるには

EPUB版 Ver.2.1 改訂箇所

- 【新規】MISSION 4.7 App.01 IT-BCPの必要性と策定・運用のポイント

- 【新規】INFORMATION 6-1 App.01 もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！【詳細版】

- 【新規】INFORMATION 6-2 App.01 やられる前に、しっかり予防を！ ここに相談！【詳細版】

- 【新規】INFORMATION 6-3 App.01 セキュリティお役立ちリンク【詳細編】

- 【改訂】INFORMATION 6-4 中小企業の情報セキュリティ対策の段階的レベルアップ

- 【新規】INFORMATION 6-4 App.02 情報資産台帳の作成と詳細リスク分析

- 【新規】INFORMATION 6-4 App.03 情報セキュリティ関連規程に記載すべき項目

- 【改訂INFORMATION 6-6 DX時代に不可欠な人材

- 【新規】INFORMATION 6-6 App.01 DX時代での経営者の意識改革の方向性

- 【新規】INFORMATION 6-6 App.02 DX時代に不可欠な人材の確保と育成

- 【新規】INFORMATION 6-6 App.04 セキュリティ人材の確保と育成

- 【新規】INFORMATION 6-10 サプライチェーン関連

- 【新規】INFORMATION 6-10_App.01 ICTサプライチェーンとは

- 【新規】INFORMATION 6-10_App.02 テレワークにおけるクラウド利用とセキュリティ

- 【新規】INFORMATION 6-10_App.03 ゼロトラストセキュリティ

- 【改訂】参考文献

- 【改訂】改訂履歴

Web版 改訂箇所

- 【新規】MISSION 4.7 App.01 IT-BCPの必要性と策定・運用のポイント

- 【新規】INFORMATION 6-1 App.01 もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！【詳細版】

- 【新規】INFORMATION 6-2 App.01 やられる前に、しっかり予防を！ ここに相談！【詳細版】

- 【新規】INFORMATION 6-3 App.01 セキュリティお役立ちリンク【詳細編】

- 【改訂】INFORMATION 6-4 中小企業の情報セキュリティ対策の段階的レベルアップ

- 【新規】INFORMATION 6-4 App.02 情報資産台帳の作成と詳細リスク分析

- 【新規】INFORMATION 6-4 App.03 情報セキュリティ関連規程に記載すべき項目

- 【改訂INFORMATION 6-6 DX時代に不可欠な人材

- 【新規】INFORMATION 6-6 App.01 DX時代での経営者の意識改革の方向性

- 【新規】INFORMATION 6-6 App.02 DX時代に不可欠な人材の確保と育成

- 【新規】INFORMATION 6-6 App.04 セキュリティ人材の確保と育成

- 【新規】INFORMATION 6-10 サプライチェーン関連

- 【新規】INFORMATION 6-10_App.01 ICTサプライチェーンとは

- 【新規】INFORMATION 6-10_App.02 テレワークにおけるクラウド利用とセキュリティ

- 【新規】INFORMATION 6-10_App.03 ゼロトラストセキュリティ

- 【改訂】参考文献

- 【改訂】改訂履歴

改訂履歴

Ver.2.2.1

2022年6月30日

EPUB版Ver.2.2.1改訂

Ver.2.2.1

2022年5月17日

EPUB版Ver.2.2.1公開

Ver.2.1.5

2022年3月8日

EPUB版Ver.2.1.5公開

Ver.2.1.4

2022年2月3日

EPUB版Ver.2.1.4公開

Ver.2.1.3

2022年1月15日

EPUB版Ver.2.1.3公開

Ver.2.1.2

2021年12月1日

EPUB版Ver.2.1.2公開

Ver.2.1.1

2021年11月8日

EPUB版Ver.2.1.1公開

Ver.2.1

2021年10月15日

EPUB版Ver.2.1公開

Ver.2.0

2021年8月6日

EPUB版Ver.2.0公開

Ver.2.0

2021年3月26日

PDF版Ver.2.0公開

Ver.1.0

2017年11月

冊子版・PDF版Ver.1.0公開

中小企業向け

サイバーセキュリティ対策の極意 Ver 2.2.1

2022年6月 Ver.2.2.1　改訂版発行

2022年5月 Ver.2.2.1　lgドメイン化対応 改訂版発行

2022年3月 Ver.2.1.5　改訂版発行

2022年2月 Ver.2.1.4　改訂版発行

2022年1月 Ver.2.1.3　改訂版発行

2021年11月 Ver.2.1.2　改訂版発行

2021年11月 Ver.2.1.1　改訂版発行

2021年10月 Ver.2.1　改訂版発行

2021年3月 Ver.2.0　改訂版発行

2017年11月 Ver.1.0 初版発行

編集・発行:

東京都産業労働局商工部経営支援課

新宿区西新宿二丁目8番1号

電話番号: 03-5320-4770

協力:

東京中小企業サイバーセキュリティ支援ネットワーク（TCYSS）

ガイドブックの利用について

このガイドブックは、東京都が著作権を保有しておりますが、利用に際しては、非営利目的、サイバーセキュリティ対策の普及・啓発目的であれば、事前の申請等は必要ありません。

全体を利用されるのであればそのままご利用いただけます。また、一部分の「引用・参考・参照・転載」であれば、出典元を明記して頂ければご利用いただけます。

★ライセンス表示

このガイドブックは、利用の条件として、クリエイティブコモンズライセンス 「表示-非営利-継承4.0国際（CC BY-NC-SA 4.0）」を適用しています。

※「表示-非営利-継承4.0国際（CC BY-NC-SA 4.0）」とは、

原作者のクレジット（氏名、作品タイトルなど）を表示し、かつ非営利目的に限り、また改変を行った際には元の作品と同じ組み合わせのCCライセンスで公開することを主な条件に、改変したり再配布したりすることができるCCライセンスです。

著作権

Copyright © 2017-2022 Bureau of Industrial and Labor Affairs, Tokyo Metropolitan Government. All Rights Reserved.

Table of Contents

はじめに

表紙

中小企業向け サイバーセキュリティ対策の極意 Ver 2.2.1

はじめに

目次

この冊子の使い方【クイックアクセス】

ケーススタディー

ケーススタディー 1 なぜ、こんな小さな会社が狙われたの？

ケーススタディー 2 ある日突然、銀行口座の預金残高が消えた！

ケーススタディー 3 取引先企業への踏み台にされた

ケーススタディー 4 企業データが人質に！ 日常に潜むサイバー攻撃の魔手

ケーススタディー 5 メールで届いた入金指示に従ったら詐欺の被害者に！

ケーススタディー 6 セキュリティはサプライチェーン全体の責任

ケーススタディー 7 サイバー保険に入っていれば……

MISSION 1 知っておきたいサイバー攻撃の知識

1-1 標的型攻撃による情報流出

1-2 ランサムウェアを使った詐欺・恐喝

1-3 Webサービスからの個人情報の窃取

1-4 集中アクセスによるサービス停止

1-5 内部不正による情報漏えいと業務停止

1-6 Webサイトの改ざん

1-7 インターネットバンキングの不正送金

1-8 悪意のあるスマホアプリ

1-9 巧妙・悪質化するワンクリック詐欺

1-10 Webサービスへの不正ログイン

1-11 公開された脆弱性対策情報の悪用

1-12 IoT機器を踏み台にした攻撃

1-13 中小企業におけるサイバー攻撃被害の例

1-14 なりすましECサイトの被害と回避策

1-15 ビジネスメール詐欺（BEC）にご注意！

MISSION 2 すぐやろう！ 対サイバー攻撃アクション

2-1～8 今やろう！ 5＋2の備えと社内使用パソコンへの対策

2-1 サイバー攻撃に対して何ができるか

2-2 OSとソフトウェアのアップデート

2-3 ウイルス対策ソフト・機器の導入

2-4 定期的なバックアップ

2-5 パスワードの管理

2-6 アクセス管理

2-7 紛失や盗難による情報漏えい対策

2-8 テレワーク等での持ち出し・持ち込み機器対策

2-9～10 今やろう！ 電子メールへの備え

2-9 電子メールの安全利用

2-10 標的型攻撃メールへの対応

2-11 迷惑メール発信への対応

2-12～13 今やろう！ インターネット利用への備え

2-12 安全なWebサイト利用

2-13 閲覧制限

2-14 今やろう！ 重要情報の洗い出し

2-15 今やろう！ 重要情報の保管

MISSION 3 経営者は事前に何を備えればよいのか？

3-1～4 サイバーセキュリティ対策は、事業継続を脅かすリスクの１つ

3-1 サイバーセキュリティ対策が経営に与える重大な影響

3-2 サイバー攻撃を受けると企業が被る不利益

3-3 経営者に問われる責任

3-4 投資効果（費用対効果）を認識する

3-5～7 自社のIT活用・セキュリティ対策状況を自己診断する

3-5 ITの活用診断

3-6 サイバーセキュリティ投資診断

3-7 情報セキュリティ対策診断

3-8～10 ビジネスを継続するために（守りのIT投資とサイバーセキュリティ対策）

3-8 業務の効率化、サービスの維持のために

3-9 経営者が認識すべきサイバーセキュリティ経営３原則

3-10 経営者がやらなければならないサイバーセキュリティ経営の重要10項目

3-11～16 ビジネスを発展させるために（攻めのIT投資とサイバーセキュリティ対策）

3-11 次世代技術を活用したビジネス展開

3-12 IoT、ビッグデータ、AI、ロボットの活用

3-13 IoTが果たす役割と効果

3-14 人工知能（AI）が果たす役割と効果

3-15 IoTを活用する際のサイバーセキュリティ上の留意点

3-16 IoTを活用するための基本ルール

MISSION 4 もしもマニュアル

4-1 緊急時対応用マニュアルの作成

4-2 基本事項の決定

4-3 対応手順1 漏えい・流出発生時の対応

4-4 対応手順2 改ざん・消失・破壊・サービス停止発生時の対応

4-5 対応手順3 ウイルス感染時の初期対応

4-6 対応手順4 届け出および相談

4-7 大規模災害などによる事業中断と事業継続管理

4-7 App.01 IT-BCPの必要性と策定・運用のポイント【詳細版】

MISSION 5 やってみよう！ サイバー攻撃対策シミュレーション

SCENE 01 サイバー攻撃前夜

SCENE 02 攻撃発生その瞬間

SCENE 03 サイバー攻撃直後

SCENE 04 潜入拡大

SCENE 05 顧客への被害の拡大 取引先への被害の拡大

SCENE 06 サイバー攻撃の発覚

SCENE 07 原因が判明 ウイルス感染が原因

SCENE 08 再発防止策の作成

SCENE 09 復旧回復

ATTENTION 大切なのは社内意識の向上！ ～感染を狙うメールに注意～

INFORMATION インフォメーション

6-1 もしかしてサイバー攻撃？ ここに連絡を！

6-1 App.01 もしかしてサイバー攻撃？ 緊急時には、ここに連絡を！【クイックリスト】【詳細版】

サイバー攻撃に対する注意喚起(2022.3.7)

【特設ページ】Emotet関連の問い合わせの急増について

6-2 やられる前に、しっかり予防を！

6-2 App.01 やられる前に、しっかり予防を！ ここに相談！【詳細版】

6-2 App.02_経営者の理解のもと、組織としてセキュリティ対策をしっかりと進めるには

6-3 セキュリティお役立ちリンク

6-3 App.01 セキュリティお役立ちリンク【詳細編】

6-4～5 中小企業の情報セキュリティ対策のルールを策定するには

6-4 中小企業の情報セキュリティ対策の段階的レベルアップ

6-4 App.02 情報資産台帳の作成と詳細リスク分析】

6-4 App.03 情報セキュリティ関連規程に記載すべき項目

6-5 中小企業のためのクラウドサービス安全利用手引き

6-6 DX時代に不可欠な人材

6-6 App.01 DX時代での経営者の意識改革の方向性

6-6 App.02 DX時代に不可欠な人材の確保と育成

6-6 App.03 デジタルリテラシー人材の認定・評価制度

6-6 App.04 セキュリティ人材の確保と育成

6-6 App.05 【コラム】「東京都デジタル人材確保・育成基本方針」

6-7 情報セキュリティ関連法令

6-8 情報管理が不適切な場合の処罰など

6-10 サプライチェーン関連

6-10_App.01 ICTサプライチェーンとは

6-10_App.02 テレワークにおけるクラウド利用とセキュリティ

6-10_App.03 ゼロトラストセキュリティ

【資料編】知識の貯蔵庫【ナレッジベース】

Appendix.201-01 リスク分析サンプル資料

おわりに

参考文献

用語解説インデックス

改版履歴

奥付