目 次 第 1 部 総 則 目 的 府 省 庁 対 策 基 準 の 策 定 手 順 本 ガイドラインの 改 訂 統 一 基 準 本 ガイドライン 及 び 実 施 手 順 の 関 係 統 一 基 準 で 定 義

Transcription

1 府省庁対策基準策定のためのガイドライン 平成 26 年５月 19 日 内閣官房情報セキュリティセンター

2 目 次 第 1 部 総 則 目 的 府 省 庁 対 策 基 準 の 策 定 手 順 本 ガイドラインの 改 訂 統 一 基 準 本 ガイドライン 及 び 実 施 手 順 の 関 係 統 一 基 準 で 定 義 されている 用 語 一 般 用 語 の 解 説 基 本 対 策 事 項 及 び 解 説 の 読 み 方 第 2 部 情 報 セキュリティ 対 策 の 基 本 的 枠 組 み 導 入 計 画 組 織 体 制 の 整 備 (1) 最 高 情 報 セキュリティ 責 任 者 の 設 置 (2) 情 報 セキュリティ 委 員 会 の 設 置 (3) 情 報 セキュリティ 監 査 責 任 者 の 設 置 (4) 統 括 情 報 セキュリティ 責 任 者 情 報 セキュリティ 責 任 者 等 の 設 置 (5) 最 高 情 報 セキュリティアドバイザーの 設 置 (6) 情 報 セキュリティインシデントに 備 えた 体 制 の 整 備 (7) 兼 務 を 禁 止 する 役 割 府 省 庁 対 策 基 準 対 策 推 進 計 画 の 策 定 (1) 府 省 庁 対 策 基 準 の 策 定 (2) 対 策 推 進 計 画 の 策 定 運 用 情 報 セキュリティ 関 係 規 程 の 運 用 (1) 情 報 セキュリティ 対 策 に 関 する 実 施 手 順 の 整 備 運 用 (2) 違 反 への 対 処 例 外 措 置 (1) 例 外 措 置 手 続 の 整 備 (2) 例 外 措 置 の 運 用 教 育 (1) 教 育 体 制 等 の 整 備 (2) 教 育 の 実 施 情 報 セキュリティインシデントへの 対 処 (1) 情 報 セキュリティインシデントに 備 えた 事 前 準 備 (2) 情 報 セキュリティインシデントの 認 知 時 における 報 告 対 処 (3) 情 報 セキュリティインシデントの 原 因 調 査 再 発 防 止 点 検 情 報 セキュリティ 対 策 の 自 己 点 検 (1) 自 己 点 検 計 画 の 策 定 手 順 の 準 備 目 次 -1

3 (2) 自 己 点 検 の 実 施 (3) 自 己 点 検 結 果 の 評 価 改 善 情 報 セキュリティ 監 査 (1) 監 査 実 施 計 画 の 策 定 (2) 監 査 の 実 施 (3) 監 査 結 果 に 応 じた 対 処 見 直 し 情 報 セキュリティ 対 策 の 見 直 し (1) 情 報 セキュリティ 関 係 規 程 の 見 直 し (2) 対 策 推 進 計 画 の 見 直 し 第 3 部 情 報 の 取 扱 い 情 報 の 取 扱 い 情 報 の 取 扱 い (1) 情 報 の 取 扱 いに 係 る 規 定 の 整 備 (2) 情 報 の 目 的 外 での 利 用 等 の 禁 止 (3) 情 報 の 格 付 及 び 取 扱 制 限 の 決 定 明 示 等 (4) 情 報 の 利 用 保 存 (5) 情 報 の 提 供 公 表 (6) 情 報 の 運 搬 送 信 (7) 情 報 の 消 去 (8) 情 報 のバックアップ 情 報 を 取 り 扱 う 区 域 の 管 理 情 報 を 取 り 扱 う 区 域 の 管 理 (1) 要 管 理 対 策 区 域 における 対 策 の 基 準 の 決 定 (2) 区 域 ごとの 対 策 の 決 定 (3) 要 管 理 対 策 区 域 における 対 策 の 実 施 第 4 部 外 部 委 託 外 部 委 託 外 部 委 託 (1) 外 部 委 託 に 係 る 規 定 の 整 備 (2) 外 部 委 託 に 係 る 契 約 (3) 外 部 委 託 における 対 策 の 実 施 (4) 外 部 委 託 における 情 報 の 取 扱 い 約 款 による 外 部 サービスの 利 用 (1) 約 款 による 外 部 サービスの 利 用 に 係 る 規 定 の 整 備 (2) 約 款 による 外 部 サービスの 利 用 における 対 策 の 実 施 ソーシャルメディアサービスによる 情 報 発 信 (1) ソーシャルメディアサービスによる 情 報 発 信 時 の 対 策 第 5 部 情 報 システムのライフサイクル 情 報 システムに 係 る 文 書 等 の 整 備 目 次 -2

4 5.1.1 情 報 システムに 係 る 台 帳 等 の 整 備 (1) 情 報 システム 台 帳 の 整 備 (2) 情 報 システム 関 連 文 書 の 整 備 機 器 等 の 調 達 に 係 る 規 定 の 整 備 (1) 機 器 等 の 調 達 に 係 る 規 定 の 整 備 情 報 システムのライフサイクルの 各 段 階 における 対 策 情 報 システムの 企 画 要 件 定 義 (1) 実 施 体 制 の 確 保 (2) 情 報 システムのセキュリティ 要 件 の 策 定 (3) 情 報 システムの 構 築 を 外 部 委 託 する 場 合 の 対 策 (4) 情 報 システムの 運 用 保 守 を 外 部 委 託 する 場 合 の 対 策 情 報 システムの 調 達 構 築 (1) 機 器 等 の 選 定 時 の 対 策 (2) 情 報 システムの 構 築 時 の 対 策 (3) 納 品 検 査 時 の 対 策 情 報 システムの 運 用 保 守 (1) 情 報 システムの 運 用 保 守 時 の 対 策 情 報 システムの 更 改 廃 棄 (1) 情 報 システムの 更 改 廃 棄 時 の 対 策 情 報 システムについての 対 策 の 見 直 し (1) 情 報 システムについての 対 策 の 見 直 し 情 報 システムの 運 用 継 続 計 画 情 報 システムの 運 用 継 続 計 画 の 整 備 整 合 的 運 用 の 確 保 (1) 情 報 システムの 運 用 継 続 計 画 の 整 備 整 合 的 運 用 の 確 保 第 6 部 情 報 システムのセキュリティ 要 件 情 報 システムのセキュリティ 機 能 主 体 認 証 機 能 (1) 主 体 認 証 機 能 の 導 入 アクセス 制 御 機 能 (1) アクセス 制 御 機 能 の 導 入 (2) 適 正 なアクセス 制 御 の 実 施 権 限 管 理 機 能 (1) 権 限 管 理 機 能 の 導 入 (2) 識 別 コード 主 体 認 証 情 報 の 付 与 管 理 ログの 取 得 管 理 (1) ログの 取 得 管 理 暗 号 電 子 署 名 (1) 暗 号 化 機 能 電 子 署 名 機 能 の 導 入 (2) 暗 号 化 電 子 署 名 に 係 る 管 理 情 報 セキュリティの 脅 威 への 対 策 目 次 -3

5 6.2.1 ソフトウェアに 関 する 脆 弱 性 対 策 (1) ソフトウェアに 関 する 脆 弱 性 対 策 の 実 施 不 正 プログラム 対 策 (1) 不 正 プログラム 対 策 の 実 施 サービス 不 能 攻 撃 対 策 (1) サービス 不 能 攻 撃 対 策 の 実 施 標 的 型 攻 撃 対 策 (1) 標 的 型 攻 撃 対 策 の 実 施 アプリケーション コンテンツの 作 成 提 供 アプリケーション コンテンツの 作 成 時 の 対 策 (1) アプリケーション コンテンツの 作 成 に 係 る 規 定 の 整 備 (2) アプリケーション コンテンツのセキュリティ 要 件 の 策 定 アプリケーション コンテンツ 提 供 時 の 対 策 (1) 政 府 ドメイン 名 の 使 用 (2) 不 正 なウェブサイトへの 誘 導 防 止 (3) 府 省 庁 外 のアプリケーション コンテンツの 告 知 第 7 部 情 報 システムの 構 成 要 素 端 末 サーバ 装 置 等 端 末 (1) 端 末 の 導 入 時 の 対 策 (2) 端 末 の 運 用 時 の 対 策 (3) 端 末 の 運 用 終 了 時 の 対 策 サーバ 装 置 (1) サーバ 装 置 の 導 入 時 の 対 策 (2) サーバ 装 置 の 運 用 時 の 対 策 (3) サーバ 装 置 の 運 用 終 了 時 の 対 策 複 合 機 特 定 用 途 機 器 (1) 複 合 機 (2) 特 定 用 途 機 器 電 子 メール ウェブ 等 電 子 メール (1) 電 子 メールの 導 入 時 の 対 策 ウェブ (1) ウェブサーバの 導 入 運 用 時 の 対 策 (2) ウェブアプリケーションの 開 発 時 運 用 時 の 対 策 ドメインネームシステム(DNS) (1) DNS の 導 入 時 の 対 策 (2) DNS の 運 用 時 の 対 策 通 信 回 線 通 信 回 線 目 次 -4

6 (1) 通 信 回 線 の 導 入 時 の 対 策 (2) 通 信 回 線 の 運 用 時 の 対 策 (3) 通 信 回 線 の 運 用 終 了 時 の 対 策 (4) リモートアクセス 環 境 導 入 時 の 対 策 (5) 無 線 LAN 環 境 導 入 時 の 対 策 IPv6 通 信 回 線 (1) IPv6 通 信 を 行 う 情 報 システムに 係 る 対 策 (2) 意 図 しない IPv6 通 信 の 抑 止 監 視 第 8 部 情 報 システムの 利 用 情 報 システムの 利 用 情 報 システムの 利 用 (1) 情 報 システムの 利 用 に 係 る 規 定 の 整 備 (2) 情 報 システム 利 用 者 の 規 定 の 遵 守 を 支 援 するための 対 策 (3) 情 報 システムの 利 用 時 の 基 本 的 対 策 (4) 電 子 メール ウェブの 利 用 時 の 対 策 (5) 識 別 コード 主 体 認 証 情 報 の 取 扱 い (6) 暗 号 電 子 署 名 の 利 用 時 の 対 策 (7) 不 正 プログラム 感 染 防 止 府 省 庁 支 給 以 外 の 端 末 の 利 用 府 省 庁 支 給 以 外 の 端 末 の 利 用 (1) 府 省 庁 支 給 以 外 の 端 末 の 利 用 規 定 の 整 備 管 理 (2) 府 省 庁 支 給 以 外 の 端 末 の 利 用 時 の 対 策 付 録 目 次 -5

7 第 1 部 総 則 1.1 目 的 府 省 庁 対 策 基 準 策 定 のためのガイドライン( 以 下 本 ガイドライン という )は 府 省 庁 が 政 府 機 関 の 情 報 セキュリティ 対 策 のための 統 一 基 準 ( 平 成 26 年 5 月 19 日 情 報 セ キュリティ 政 策 会 議 決 定 以 下 統 一 基 準 という )に 準 拠 して 府 省 庁 対 策 基 準 を 策 定 する 際 に 参 照 するものであり 府 省 庁 対 策 基 準 の 策 定 手 順 や 統 一 基 準 の 遵 守 事 項 を 満 た すために 採 られるべき 基 本 的 な 対 策 事 項 ( 以 下 基 本 対 策 事 項 という )の 例 示 考 え 方 等 を 解 説 することを 目 的 としている 1.2 府 省 庁 対 策 基 準 の 策 定 手 順 府 省 庁 は 府 省 庁 基 本 方 針 に 基 づき 統 一 基 準 に 定 める 基 本 原 則 である 遵 守 事 項 等 の 規 定 を 満 たすよう 具 体 的 な 対 策 事 項 を 府 省 庁 対 策 基 準 に 規 定 する 必 要 がある 本 ガイ ドラインには 府 省 庁 が 府 省 庁 対 策 基 準 を 策 定 する 際 に 参 照 するための 基 本 対 策 事 項 を 例 示 し 考 え 方 等 を 解 説 として 示 している 府 省 庁 における 組 織 の 目 的 規 模 編 成 や 情 報 システムの 構 成 取 り 扱 う 情 報 の 内 容 用 途 等 の 特 性 によって 達 成 すべき 情 報 セキュリティの 水 準 や 採 るべき 対 策 は 異 なるた め 府 省 庁 対 策 基 準 の 策 定 に 当 たっては 本 ガイドラインの 基 本 対 策 事 項 をそのまま 適 用 するのではなく 自 らの 組 織 が 如 何 なる 手 段 を 採 れば 情 報 セキュリティが 最 も 適 切 に 確 保 されるのかとの 視 点 から 上 記 に 掲 げた 府 省 庁 の 特 性 等 を 勘 案 しつつ これに 適 し た 対 策 を 検 討 し 基 準 に 定 める 必 要 がある なお 府 省 庁 対 策 基 準 の 構 成 としては 統 一 基 準 と 本 ガイドラインの 関 係 と 同 様 に 遵 守 事 項 と 対 策 事 項 を 分 けて 記 載 する 方 法 や 対 策 事 項 のみを 記 載 する 方 法 等 府 省 庁 の 状 況 に 応 じてよりよい 構 成 とすることが 望 ましい 1.3 本 ガイドラインの 改 訂 情 報 セキュリティの 水 準 を 適 切 に 維 持 していくためには 脅 威 の 変 化 や 技 術 の 進 展 を 的 確 にとらえ それに 応 じて 情 報 セキュリティ 対 策 の 見 直 しを 図 ることが 重 要 である このため 本 ガイドラインの 規 定 内 容 については 環 境 の 変 化 に 応 じて 適 宜 内 容 の 見 直 しを 行 い 必 要 に 応 じて 項 目 の 追 加 やその 内 容 の 充 実 等 を 図 ることによって 規 定 内 容 の 適 正 性 を 将 来 にわたり 維 持 することとする 府 省 庁 においては 本 ガイドラインが 更 新 された 場 合 には その 内 容 をそれぞれの 府 省 庁 対 策 基 準 に 適 切 に 反 映 させることが 期 待 される 1

8 1.4 統 一 基 準 本 ガイドライン 及 び 実 施 手 順 の 関 係 統 一 規 範 運 用 指 針 及 び 統 一 基 準 と 本 ガイドラインの 関 係 は 図 のとおりであり これらを 総 称 して 政 府 機 関 の 情 報 セキュリティ 対 策 のための 統 一 基 準 群 ( 以 下 統 一 基 準 群 とい う ) と 呼 ぶ また 統 一 基 準 群 と 府 省 庁 の 情 報 セキュリティポリシーの 関 係 についても 併 せて 図 に 示 す 図 統 一 基 準 群 と 府 省 庁 の 情 報 セキュリティポリシーの 関 係 について 2

9 1.5 統 一 基 準 で 定 義 されている 用 語 統 一 基 準 において 定 義 されている 用 語 を 以 下 に 掲 載 する あ 委 託 先 とは 外 部 委 託 により 府 省 庁 の 情 報 処 理 業 務 の 一 部 又 は 全 部 を 実 施 する 者 をいう か 外 部 委 託 とは 府 省 庁 の 情 報 処 理 業 務 の 一 部 又 は 全 部 について 契 約 をもって 府 省 庁 外 の 者 に 実 施 させることをいう 委 任 準 委 任 請 負 といった 契 約 形 態 を 問 わず 全 て 含 むものとする 機 器 等 とは 情 報 システムの 構 成 要 素 (サーバ 装 置 端 末 通 信 回 線 装 置 複 合 機 特 定 用 途 機 器 等 ソフトウェア 等 ) 外 部 電 磁 的 記 録 媒 体 等 の 総 称 をいう ( 参 考 : 図 1.5-1) 行 政 事 務 従 事 者 とは 府 省 庁 において 行 政 事 務 に 従 事 している 国 家 公 務 員 その 他 の 府 省 庁 の 指 揮 命 令 に 服 している 者 であって 府 省 庁 の 管 理 対 象 である 情 報 及 び 情 報 シ ステムを 取 り 扱 う 者 をいう 行 政 事 務 従 事 者 には 個 々の 勤 務 条 件 にもよるが 例 えば 派 遣 労 働 者 等 も 含 まれている 記 録 媒 体 とは 情 報 が 記 録 され 又 は 記 載 される 有 体 物 をいう 記 録 媒 体 には 文 字 図 形 等 人 の 知 覚 によって 認 識 することができる 情 報 が 記 載 された 紙 その 他 の 有 体 物 ( 以 下 書 面 という )と 電 子 的 方 式 磁 気 的 方 式 その 他 人 の 知 覚 によっては 認 識 することができない 方 式 で 作 られる 記 録 であって 情 報 システムによる 情 報 処 理 の 用 に 供 されるもの( 以 下 電 磁 的 記 録 という )に 係 る 記 録 媒 体 ( 以 下 電 磁 的 記 録 媒 体 という )がある また 電 磁 的 記 録 媒 体 には サーバ 装 置 端 末 通 信 回 線 装 置 等 に 内 蔵 される 内 蔵 電 磁 的 記 録 媒 体 と USB メモリ 外 付 けハードディスクドライブ DVD-R 等 の 外 部 電 磁 的 記 録 媒 体 がある さ サーバ 装 置 とは 情 報 システムの 構 成 要 素 である 機 器 のうち 通 信 回 線 等 を 経 由 して 接 続 してきた 端 末 等 に 対 して 自 らが 保 持 しているサービスを 提 供 するもの( 搭 載 されるソフトウェア 及 び 直 接 接 続 され 一 体 として 扱 われるキーボードやマウス 等 の 周 辺 機 器 を 含 む )をいい 特 に 断 りがない 限 り 府 省 庁 が 調 達 又 は 開 発 するものをいう サ イ マ ッ ト CYMAT とは サイバー 攻 撃 等 により 政 府 機 関 等 の 情 報 システム 障 害 が 発 生 した 場 合 又 はその 発 生 のおそれがある 場 合 であって 政 府 として 一 体 となった 対 応 が 必 要 と なる 情 報 セキュリティに 係 る 事 象 に 対 して 機 動 的 な 支 援 を 行 うため 内 閣 官 房 情 報 セキ ュリティセンターに 設 置 される 体 制 をいう Cyber Incident Mobile Assistance Team 3

10 ( 情 報 セキュリティ 緊 急 支 援 チーム)の 略 シーサート CSIRT とは 府 省 庁 において 発 生 した 情 報 セキュリティインシデントに 対 処 する ため 当 該 府 省 庁 に 設 置 された 体 制 をいう Computer Security Incident Response Team の 略 実 施 手 順 とは 府 省 庁 対 策 基 準 に 定 められた 対 策 内 容 を 個 別 の 情 報 システムや 業 務 において 実 施 するため あらかじめ 定 める 必 要 のある 具 体 的 な 手 順 をいう 情 報 とは 統 一 基 準 の 1.1(2) 本 統 一 基 準 の 適 用 範 囲 の(b)に 定 めるものをいう 参 考 : 統 一 基 準 の 1.1(2) 本 統 一 基 準 の 適 用 範 囲 ( 抄 ) (b) 本 統 一 基 準 において 適 用 範 囲 とする 情 報 は 以 下 の 情 報 とする (ア) 行 政 事 務 従 事 者 が 職 務 上 使 用 することを 目 的 として 府 省 庁 が 調 達 し 又 は 開 発 し た 情 報 システム 若 しくは 外 部 電 磁 的 記 録 媒 体 に 記 録 された 情 報 ( 当 該 情 報 システ ムから 出 力 された 書 面 に 記 載 された 情 報 及 び 書 面 から 情 報 システムに 入 力 された 情 報 を 含 む ) (イ) その 他 の 情 報 システム 又 は 外 部 電 磁 的 記 録 媒 体 に 記 録 された 情 報 ( 当 該 情 報 シス テムから 出 力 された 書 面 に 記 載 された 情 報 及 び 書 面 から 情 報 システムに 入 力 され た 情 報 を 含 む )であって 行 政 事 務 従 事 者 が 職 務 上 取 り 扱 う 情 報 (ウ) (ア) 及 び(イ)のほか 府 省 庁 が 調 達 し 又 は 開 発 した 情 報 システムの 設 計 又 は 運 用 管 理 に 関 する 情 報 ( 参 考 : 図 1.5-2) 情 報 システム とは ハードウェア 及 びソフトウェアから 成 るシステムであって 情 報 処 理 及 び 通 信 の 用 に 供 するものをいい 特 に 断 りのない 限 り 府 省 庁 が 調 達 又 は 開 発 するもの( 管 理 を 外 部 委 託 しているシステムを 含 む )をいう ( 参 考 : 図 1.5-2) 情 報 セキュリティインシデント とは JIS Q 27001:2006 における 情 報 セキュリテ ィインシデントをいう 情 報 セキュリティ 関 係 規 程 とは 府 省 庁 対 策 基 準 及 び 実 施 手 順 を 総 称 したものを いう 情 報 の 抹 消 とは 電 磁 的 記 録 媒 体 に 記 録 された 全 ての 情 報 を 利 用 不 能 かつ 復 元 が 困 難 な 状 態 にすることをいう 情 報 の 抹 消 には 情 報 自 体 を 消 去 することのほか 情 報 を 記 録 している 記 録 媒 体 を 物 理 的 に 破 壊 すること 等 も 含 まれる 削 除 の 取 消 しや 復 元 ツ ールで 復 元 できる 状 態 は 復 元 が 困 難 な 状 態 とはいえず 情 報 の 抹 消 には 該 当 しない た 端 末 とは 情 報 システムの 構 成 要 素 である 機 器 のうち 行 政 事 務 従 事 者 が 情 報 処 理 を 行 うために 直 接 操 作 するもの( 搭 載 されるソフトウェア 及 び 直 接 接 続 され 一 体 とし て 扱 われるキーボードやマウス 等 の 周 辺 機 器 を 含 む )をいい 特 に 断 りがない 限 り 府 省 庁 が 調 達 又 は 開 発 するものをいう 端 末 には モバイル 端 末 も 含 まれる 4

11 通 信 回 線 とは 複 数 の 情 報 システム 又 は 機 器 等 ( 府 省 庁 が 調 達 等 を 行 うもの 以 外 のものを 含 む )の 間 で 所 定 の 方 式 に 従 って 情 報 を 送 受 信 するための 仕 組 みをいい 特 に 断 りのない 限 り 府 省 庁 の 情 報 システムにおいて 利 用 される 通 信 回 線 を 総 称 したもの をいう 通 信 回 線 には 府 省 庁 が 直 接 管 理 していないものも 含 まれ その 種 類 ( 有 線 又 は 無 線 物 理 回 線 又 は 仮 想 回 線 等 )は 問 わない 通 信 回 線 装 置 とは 通 信 回 線 間 又 は 通 信 回 線 と 情 報 システムの 接 続 のために 設 置 され 回 線 上 を 送 受 信 される 情 報 の 制 御 等 を 行 うための 装 置 をいう 通 信 回 線 装 置 には いわゆるハブやスイッチ ルータ 等 のほか ファイアウォール 等 も 含 まれる 特 定 用 途 機 器 とは テレビ 会 議 システム IP 電 話 システム ネットワークカメラ システム 等 の 特 定 の 用 途 に 使 用 される 情 報 システム 特 有 の 構 成 要 素 であって 通 信 回 線 に 接 続 されている 又 は 内 蔵 電 磁 的 記 録 媒 体 を 備 えているものをいう は 府 省 庁 とは 法 律 の 規 定 に 基 づき 内 閣 に 置 かれる 機 関 若 しくは 内 閣 の 所 轄 の 下 に 置 かれる 機 関 宮 内 庁 内 閣 府 設 置 法 ( 平 成 11 年 法 律 第 89 号 ) 第 四 十 九 条 第 一 項 若 し くは 第 二 項 に 規 定 する 機 関 国 家 行 政 組 織 法 ( 昭 和 23 年 法 律 第 120 号 ) 第 三 条 第 二 項 に 規 定 する 機 関 若 しくはこれらに 置 かれる 機 関 をいう 府 省 庁 と 表 記 する 場 合 は 単 一 の 機 関 を 指 す 府 省 庁 外 通 信 回 線 とは 通 信 回 線 のうち 府 省 庁 内 通 信 回 線 以 外 のものをいう 府 省 庁 対 策 基 準 とは 府 省 庁 における 情 報 及 び 情 報 システムの 情 報 セキュリティ を 確 保 するための 情 報 セキュリティ 対 策 の 基 準 をいう 府 省 庁 内 通 信 回 線 とは 一 つの 府 省 庁 が 管 理 するサーバ 装 置 又 は 端 末 の 間 の 通 信 の 用 に 供 する 通 信 回 線 であって 当 該 府 省 庁 の 管 理 下 にないサーバ 装 置 又 は 端 末 が 論 理 的 に 接 続 されていないものをいう 府 省 庁 内 通 信 回 線 には 専 用 線 や VPN 等 物 理 的 な 回 線 を 府 省 庁 が 管 理 していないものも 含 まれる 不 正 プログラム とは コンピュータウイルス ワーム( 他 のプログラムに 寄 生 せ ず 単 体 で 自 己 増 殖 するプログラム) スパイウェア(プログラムの 使 用 者 の 意 図 に 反 し て 様 々な 情 報 を 収 集 するプログラム) 等 の 情 報 システムを 利 用 する 者 が 意 図 しない 結 果 を 当 該 情 報 システムにもたらすプログラムの 総 称 をいう ま 抹 消 情 報 の 抹 消 を 参 照 明 示 等 とは 情 報 を 取 り 扱 う 全 ての 者 が 当 該 情 報 の 格 付 について 共 通 の 認 識 とな るようにする 措 置 をいう 明 示 等 には 情 報 ごとに 格 付 を 記 載 することによる 明 示 のほ か 当 該 情 報 の 格 付 に 係 る 認 識 が 共 通 となるその 他 の 措 置 も 含 まれる その 他 の 措 置 の 5

12 例 としては 特 定 の 情 報 システムに 記 録 される 情 報 について その 格 付 を 情 報 システム の 規 程 等 に 明 記 するとともに 当 該 情 報 システムを 利 用 する 全 ての 者 に 周 知 すること 等 が 挙 げられる モバイル 端 末 とは 端 末 のうち 業 務 上 の 必 要 に 応 じて 移 動 させて 使 用 すること を 目 的 としたものをいい 端 末 の 形 態 は 問 わない や 約 款 による 外 部 サービス とは 民 間 事 業 者 等 の 府 省 庁 外 の 組 織 が 約 款 に 基 づきイ ンターネット 上 で 提 供 する 情 報 処 理 サービスであって 当 該 サービスを 提 供 するサーバ 装 置 において 利 用 者 が 情 報 の 作 成 保 存 送 信 等 を 行 うものをいう ただし 利 用 者 が 必 要 とする 情 報 セキュリティに 関 する 十 分 な 条 件 設 定 の 余 地 があるものを 除 く 要 管 理 対 策 区 域 とは 府 省 庁 が 管 理 する 庁 舎 等 ( 外 部 の 組 織 から 借 用 している 施 設 等 を 含 む ) 府 省 庁 の 管 理 下 にある 区 域 であって 取 り 扱 う 情 報 を 保 護 するために 施 設 及 び 環 境 に 係 る 対 策 が 必 要 な 区 域 をいう 情 報 システム ( 注 1) ソフトウェア OS アフ リケーション ウェフ コンテンツ 複 合 機 特 定 用 途 機 器 システム(テレヒ 会 議 シ ステム,IP 電 話 システム, ネットワークカメラシステム 等 )を 構 成 する 機 器 端 末 テ スクトッフ PC ノートPC ( 注 2) モハ イル 端 末 ノートPC ( 注 2) スマートフォン タフ レット 端 末 通 信 ケーフ ル サーバ 装 置 メールサーハ ウェフ サーハ DNSサーハ ファイルサーハ テ ータヘ ースサーハ 認 証 サーハ メインフレーム 通 信 回 線 装 置 ハフ スイッチ ルータ ファイアウォール 外 部 電 磁 的 記 録 媒 体 ( 注 3) USBメモリ 外 付 けハート テ ィスク CD-R,DVD-R 等 の 光 学 媒 体 テ シ タルカメラ ICレコータ ー 機 器 等 ( 注 1) 凡 例 下 線 : 遵 守 事 項 において 使 用 する 用 語 に 続 く 用 語 : 例 示 注 1) 機 器 等 の 定 義 には 情 報 システムの 個 々の 構 成 要 素 は 含 まれているが 情 報 システム 自 体 は 含 まれ ていない 注 2) いわゆるノートPCのうち 業 務 上 の 必 要 に 応 じて 移 動 させて 使 用 することを 目 的 としたものはモバイル 端 末 に 分 類 される 利 用 場 所 が 決 まっているものはモバイル 端 末 に 含 まれないことに 注 意 注 3) ICレコーダーやデジタルカメラ 等 の 機 器 においては 外 部 電 磁 的 記 録 媒 体 としての 特 性 を 備 えるため 外 部 電 磁 的 記 録 媒 体 に 関 連 する 遵 守 事 項 及 び 基 本 対 策 事 項 を 参 照 の 上 適 切 な 対 策 を 講 ずることが 必 要 図 情 報 システム 機 器 等 及 びその 関 係 6

13 記 録 された 情 報 (イメージスキャナ 等 で 情 報 システ ムに 入 力 された 書 面 も 含 む) 出 力 された 情 報 ( 印 刷 物 外 部 電 磁 的 記 録 媒 体 等 ) 情 報 システムの 設 計 又 は 運 用 管 理 に 関 する 情 報 ( 書 面 のみの 情 報 も 含 む) 書 面 入 力 出 力 ( 印 刷 ) 外 部 電 磁 的 記 録 媒 体 設 計 出 力 情 報 システム (サーバ 装 置 端 末 等 構 成 要 素 の 内 蔵 電 磁 的 記 録 媒 体 ) 府 省 庁 が 調 達 し 又 は 開 発 した 情 報 システム 私 物 端 末 等 のその 他 の 情 報 システム 職 務 上 取 り 扱 う 情 報 職 務 上 取 り 扱 う 情 報 以 外 の 情 報 記 録 されていない 情 報 ( 書 面 のみの 情 報 ただし 情 報 システム の 設 計 又 は 運 用 管 理 に 関 する 情 報 を 除 く) 凡 例 斜 線 部 点 線 四 角 : 適 用 範 囲 : 適 用 範 囲 外 図 統 一 基 準 の 適 用 を 受 ける 情 報 の 範 囲 1.6 一 般 用 語 の 解 説 留 意 すべき 一 般 用 語 を 以 下 に 解 説 する あ アクセス 制 御 とは 情 報 へのアクセスを 許 可 する 者 を 制 限 することをいう アプリケーション とは OS 上 で 動 作 し サービスの 提 供 文 書 作 成 又 は 電 子 メ ールの 送 受 信 等 の 特 定 の 目 的 のために 動 作 するソフトウェアをいう アルゴリズム とは ある 特 定 の 目 的 を 達 成 するための 演 算 手 順 をいう 暗 号 化 とは 第 三 者 に 容 易 に 解 読 されないよう 定 められた 演 算 を 施 しデータを 変 換 することをいう 暗 号 モジュール とは 暗 号 化 及 び 電 子 署 名 の 付 与 に 使 用 するアルゴリズムを 実 装 したソフトウェアの 集 合 体 又 はハードウェアをいう ウェブクライアント とは ウェブページを 閲 覧 するためのアプリケーション(い わゆるブラウザ) 及 び 付 加 的 な 機 能 を 追 加 するためのアプリケーションをいう か 可 用 性 とは 情 報 へのアクセスを 認 められた 者 が 必 要 時 に 中 断 することなく 情 報 にアクセスできる 特 性 をいう 7

14 完 全 性 とは 情 報 が 破 壊 改 ざん 又 は 消 去 されていない 特 性 をいう 機 密 性 とは 情 報 に 関 して アクセスを 認 められた 者 だけがこれにアクセスでき る 特 性 をいう 業 務 継 続 計 画 とは 中 央 省 庁 業 務 継 続 ガイドライン 第 1 版 ( 平 成 19 年 6 月 内 閣 府 )を 参 考 にして 府 省 庁 において 策 定 する BCP(Business Continuity Plan: 事 業 継 続 計 画 )をいう 共 用 識 別 コード とは 複 数 の 主 体 が 共 用 するために 付 与 された 識 別 コードをいう 原 則 として 一 つの 識 別 コードは 一 つの 主 体 のみに 対 して 付 与 されるものであるが 情 報 システム 上 の 制 約 や 利 用 状 況 等 に 応 じて 識 別 コードを 組 織 で 共 用 する 場 合 もある このように 共 用 される 識 別 コードを 共 用 識 別 コードという 権 限 管 理 とは 主 体 認 証 に 係 る 情 報 ( 識 別 コード 及 び 主 体 認 証 情 報 を 含 む ) 及 びアクセス 制 御 における 許 可 情 報 を 管 理 することをいう さ サービス 不 能 攻 撃 とは 悪 意 ある 第 三 者 等 が ソフトウェアの 脆 弱 性 を 悪 用 しサ ーバ 装 置 又 は 通 信 回 線 装 置 のソフトウェアを 動 作 不 能 にさせることや サーバ 装 置 通 信 回 線 装 置 又 は 通 信 回 線 の 容 量 を 上 回 る 大 量 のアクセスを 行 い 通 常 の 利 用 者 のサービ ス 利 用 を 妨 害 する 攻 撃 をいう 最 小 限 の 特 権 機 能 とは 管 理 者 権 限 を 実 行 できる 範 囲 を 必 要 最 小 限 に 制 限 する 機 能 をいう 識 別 とは 情 報 システムにアクセスする 主 体 を 当 該 情 報 システムにおいて 特 定 することをいう 識 別 コード とは 主 体 を 識 別 するために 情 報 システムが 認 識 するコード( 符 号 ) をいう 代 表 的 な 識 別 コードとして ユーザ ID が 挙 げられる 主 体 とは 情 報 システムにアクセスする 者 又 は 他 の 情 報 システムにアクセスする サーバ 装 置 端 末 等 をいう 主 体 認 証 とは 識 別 コードを 提 示 した 主 体 が その 識 別 コードを 付 与 された 主 体 すなわち 正 当 な 主 体 であるか 否 かを 検 証 することをいう 識 別 コードとともに 正 しい 方 法 で 主 体 認 証 情 報 が 提 示 された 場 合 に 主 体 認 証 ができたものとして 情 報 システムはそ れらを 提 示 した 主 体 を 正 当 な 主 体 として 認 識 する 主 体 認 証 情 報 とは 主 体 認 証 をするために 主 体 が 情 報 システムに 提 示 する 情 報 をいう 代 表 的 な 主 体 認 証 情 報 として パスワード 等 がある 主 体 認 証 情 報 格 納 装 置 とは 主 体 認 証 情 報 を 格 納 した 装 置 であり 正 当 な 主 体 に 所 有 又 は 保 持 させる 装 置 をいう 所 有 による 主 体 認 証 では これを 所 有 していることで 8

15 情 報 システムはその 主 体 を 正 当 な 主 体 として 認 識 する 代 表 的 な 主 体 認 証 情 報 格 納 装 置 として IC カード 等 がある セキュリティパッチ とは 発 見 された 情 報 セキュリティ 上 の 問 題 を 解 決 するため に 提 供 される 修 正 用 のファイルをいう 提 供 元 によって 更 新 プログラム パッチ ホ ットフィクス サービスパック 等 名 称 が 異 なる ソフトウェア とは サーバ 装 置 端 末 通 信 回 線 装 置 等 を 動 作 させる 手 順 及 び 命 令 を 当 該 サーバ 装 置 等 が 理 解 できる 形 式 で 記 述 したものをいう OS や OS 上 で 動 作 するアプリケーションを 含 む 広 義 の 意 味 である た 耐 タンパ 性 とは 暗 号 処 理 や 署 名 処 理 を 行 うソフトウェアやハードウェアに 対 す る 外 部 からの 解 読 攻 撃 に 対 する 耐 性 をいう 電 子 署 名 とは 情 報 の 正 当 性 を 保 証 するための 電 子 的 な 署 名 情 報 をいう 電 子 メールクライアント とは 電 子 メールサーバにアクセスし 電 子 メールの 送 受 信 を 行 うアプリケーションをいう 電 子 メールサーバ とは 電 子 メールの 利 用 者 に 対 する 電 子 メールの 送 受 信 のサー ビス 及 び 電 子 メールの 配 送 を 行 うアプリケーション 及 び 当 該 アプリケーションを 動 作 させるサーバ 装 置 をいう ドメインネームシステム(DNS) とは クライアント 等 からの 問 合 わせを 受 けて ドメイン 名 やホスト 名 と IP アドレスとの 対 応 関 係 について 回 答 を 行 うデータベースシ ステムである ドメイン 名 とは 国 組 織 サービス 等 の 単 位 で 割 り 当 てられたネットワーク 上 の 名 前 であり 英 数 字 及 び 一 部 の 記 号 を 用 いて 表 したものをいう 例 えば というウェブサイトの 場 合 は nisc.go.jp の 部 分 がこれに 該 当 する な 名 前 解 決 とは ドメイン 名 やホスト 名 と IP アドレスを 変 換 することをいう は 不 正 プログラム 定 義 ファイル とは 不 正 プログラム 対 策 ソフトウェアが 不 正 プロ グラムを 判 別 するために 利 用 するデータをいう 踏 み 台 とは 悪 意 ある 第 三 者 等 によって 不 正 アクセスや 迷 惑 メール 配 信 の 中 継 地 点 に 利 用 されている 情 報 システムのことをいう 9

16 ま 無 線 LAN とは IEEE802.11a b g n 等 の 規 格 により 無 線 通 信 で 情 報 を 送 受 信 する 通 信 回 線 をいう ら リスク とは 目 的 に 対 する 不 確 かさの 影 響 をいう ある 事 象 ( 周 辺 状 況 の 変 化 を 含 む )の 結 果 とその 発 生 の 起 こりやすさとの 組 合 せとして 表 現 されることが 多 い ルートヒントファイル とは 最 初 に 名 前 解 決 を 問 合 わせる DNS コンテンツサー バ( 以 下 ルート DNS という )の 情 報 をいう ルートヒントファイルには ルート DNS のサーバ 名 と IP アドレスの 組 が 記 載 されており ルート DNS の IP アドレスが 変 更 された 場 合 はルートヒントファイルも 変 更 される ルートヒントファイルは InterNIC (Internet Network Information Center)のサイトから 入 手 可 能 である A~Z BCP(Business Continuity Plan: 事 業 継 続 計 画 ) とは 組 織 において 特 定 する 事 業 の 継 続 に 支 障 をきたすと 想 定 される 自 然 災 害 人 的 災 害 事 故 機 器 の 障 害 等 の 事 態 に 組 織 が 適 切 に 対 応 し 目 標 とする 事 業 継 続 性 の 確 保 を 図 るために 当 該 組 織 において 策 定 する 事 態 の 予 防 及 び 事 態 発 生 後 の 事 業 の 維 持 並 びに 復 旧 に 係 る 計 画 をいう 狭 義 に は このうちの 事 態 発 生 後 の 事 業 の 維 持 を 主 とした 計 画 をいう CRYPTREC(Cryptography Research and Evaluation Committees) とは 電 子 政 府 推 奨 暗 号 の 安 全 性 を 評 価 監 視 し 暗 号 モジュール 評 価 基 準 等 の 策 定 を 検 討 するプ ロジェクトである DNS サーバ とは 名 前 解 決 のサービスを 提 供 するアプリケーション 及 びそのアプ リケーションを 動 作 させるサーバ 装 置 をいう DNS サーバは その 機 能 によって 自 ら が 管 理 するドメイン 名 等 についての 名 前 解 決 を 提 供 する コンテンツサーバ とクライ アントからの 要 求 に 応 じて 名 前 解 決 を 代 行 する キャッシュサーバ の 二 種 類 に 分 ける ことができる IPv6 移 行 機 構 とは 物 理 的 に 一 つのネットワークにおいて IPv4 技 術 を 利 用 す る 通 信 と IPv6 を 利 用 する 通 信 の 両 方 を 共 存 させることを 可 能 とする 技 術 の 総 称 である 例 えば サーバ 装 置 及 び 端 末 や 通 信 回 線 装 置 が 二 つの 通 信 プロトコルを 併 用 するデュア ルスタック 機 構 や 相 互 接 続 性 の 無 い 二 つの IPv6 ネットワークを 既 設 の IPv4 ネットワ ークを 使 って 通 信 可 能 とする IPv6-IPv4 トンネル 機 構 等 がある MAC アドレス(Media Access Control address) とは 機 器 等 が 備 える 有 線 LAN や 無 線 LAN のネットワークインタフェースに 割 り 当 てられる 固 有 の 認 識 番 号 である 識 別 番 号 は 各 ハードウェアベンダを 示 す 番 号 と ハードウェアベンダが 独 自 に 割 り 当 てる 番 号 の 組 み 合 わせによって 表 される 10

17 S/MIME(Secure Multipurpose Internet Mail Extensions) とは 公 開 鍵 暗 号 を 用 いた 電 子 メールの 暗 号 化 と 電 子 署 名 付 与 の 一 方 式 をいう VPN(Virtual Private Network) とは 暗 号 技 術 等 を 利 用 し インターネット 等 の 公 衆 回 線 を 仮 想 的 な 専 用 回 線 として 利 用 するための 技 術 をいう 11

18 1.7 基 本 対 策 事 項 及 び 解 説 の 読 み 方 本 ガイドラインの 第 2 部 以 降 に 記 述 する 遵 守 事 項 に 対 応 した 基 本 対 策 事 項 及 び 解 説 を 参 照 するに 当 たり 留 意 すべき 点 を 以 下 に 示 す 第 2 部 以 降 の 基 本 的 な 記 述 構 成 統 一 基 準 の 部 節 項 の 番 号 を 掲 示 本 例 では 第 2 部 2.1 節 項 についてのガイド ラインを 示 している 統 一 基 準 2.1.1(1) 項 の 目 的 趣 旨 及 び 遵 守 事 項 を 掲 示 では 遵 守 事 項 は(a)の み 遵 守 事 項 は ( 数 字 )(アルフ ァベット) 単 位 で 掲 示 統 一 基 準 項 (1)の 遵 守 事 項 に 対 応 した 基 本 対 策 事 項 を 掲 示 本 例 では 最 高 情 報 セキュ リティ 責 任 者 が 統 括 する 事 務 の 例 を a)~h)として 掲 示 しており これを 参 照 しつつ 各 府 省 庁 の 組 織 の 特 性 に 応 じて 最 高 情 報 セ キュリティ 責 任 者 が 統 括 する 事 務 について 検 討 し 府 省 庁 対 策 基 準 として 規 定 することを 求 めている 統 一 基 準 2.1.1(1) 項 の 遵 守 事 項 及 び 対 応 する 基 本 対 策 事 項 について 解 説 して いる 12

19 基 本 対 策 事 項 に 個 別 対 策 事 項 が 例 示 されている 場 合 複 数 の 方 法 が 考 えられる 基 本 対 策 事 項 について は 具 体 例 を 示 している 基 本 対 策 事 項 の 個 別 対 策 事 項 について ~を 含 む として 例 示 されている 場 合 複 数 の 事 項 から 構 成 され る 基 本 対 策 事 項 について は 主 要 な 事 項 のみを 示 している 13

20 基 本 対 策 事 項 が 規 定 されていない 場 合 遵 守 事 項 が 具 体 的 な 対 策 事 項 となっている 場 合 は 基 本 対 策 事 項 を 定 めていない この 場 合 は 遵 守 事 項 の 解 説 を 参 照 し 府 省 庁 対 策 基 準 を 定 めることに なる 14

21 第 2 部 情 報 セキュリティ 対 策 の 基 本 的 枠 組 み 2.1 導 入 計 画 組 織 体 制 の 整 備 目 的 趣 旨 情 報 セキュリティ 対 策 は それに 係 る 全 ての 行 政 事 務 従 事 者 が 職 制 及 び 職 務 に 応 じて 与 えられている 権 限 と 責 務 を 理 解 した 上 で 負 うべき 責 務 を 全 うすることで 実 現 される そのため それらの 権 限 と 責 務 を 明 確 にし 必 要 となる 組 織 体 制 を 整 備 する 必 要 がある 特 に 最 高 情 報 セキュリティ 責 任 者 は 情 報 セキュリティ 対 策 を 着 実 に 進 めるために 自 ら が 組 織 内 を 統 括 し 組 織 全 体 として 計 画 的 に 対 策 が 実 施 されるよう 推 進 しなければならな い なお 最 高 情 報 セキュリティ 責 任 者 は その 権 限 に 属 する 事 務 の 一 部 を 統 一 基 準 に 定 め る 各 責 任 者 に 委 任 することができる 遵 守 事 項 (1) 最 高 情 報 セキュリティ 責 任 者 の 設 置 (a) 府 省 庁 は 府 省 庁 における 情 報 セキュリティに 関 する 事 務 を 統 括 する 最 高 情 報 セ キュリティ 責 任 者 1 人 を 置 くこと 基 本 対 策 事 項 <2.1.1(1)(a) 関 連 > 2.1.1(1)-1 最 高 情 報 セキュリティ 責 任 者 は 次 に 掲 げる 事 務 を 統 括 すること a) 情 報 セキュリティ 対 策 推 進 のための 組 織 体 制 の 整 備 b) 府 省 庁 対 策 基 準 の 決 定 見 直 し c) 対 策 推 進 計 画 の 決 定 見 直 し d) 情 報 セキュリティインシデントに 対 処 するために 必 要 な 指 示 その 他 の 措 置 e) 前 各 号 に 掲 げるもののほか 情 報 セキュリティに 関 する 重 要 事 項 ( 解 説 ) 遵 守 事 項 2.1.1(1)(a) 最 高 情 報 セキュリティ 責 任 者 について 最 高 情 報 セキュリティ 責 任 者 は 府 省 庁 における 情 報 セキュリティ 対 策 の 推 進 の 責 任 者 であり 府 省 庁 全 体 の 情 報 セキュリティ 対 策 を 推 進 するため 組 織 をふ 瞰 し 資 源 配 分 の 方 針 決 定 を 適 切 に 行 うなどリーダーシップを 発 揮 することが 求 められる 最 高 情 報 セキュリティ 責 任 者 は 情 報 セキュリティに 関 する 府 省 庁 全 体 の 方 向 付 け を 行 う 事 務 について 自 ら 直 接 関 与 すべきであることから 統 一 基 準 では 府 省 庁 対 策 基 準 及 び 対 策 推 進 計 画 を 決 定 するとともに 重 大 な 情 報 セキュリティインシデントが 15

22 発 生 した 場 合 には それに 対 処 するための 必 要 な 指 示 その 他 の 措 置 を 行 うこととして いる 基 本 対 策 事 項 2.1.1(1)-1 d) 情 報 セキュリティインシデント について JIS Q 27001:2006 には 以 下 のとおり 記 載 されている 情 報 セキュリティインシデント 望 まない 単 独 若 しくは 一 連 の 情 報 セキュリティ 事 象 又 は 予 期 しない 単 独 若 し くは 一 連 の 情 報 セキュリティ 事 象 であって 事 業 運 営 を 危 うくする 確 率 及 び 情 報 セキュリティを 脅 かす 確 率 が 高 いもの 情 報 セキュリティ 事 象 システム サービス 又 はネットワークにおける 特 定 の 状 態 の 発 生 特 定 の 状 態 とは 情 報 セキュリティ 基 本 方 針 への 違 反 若 しくは 管 理 策 の 不 具 合 の 可 能 性 又 はセキュリティに 関 連 するかもしれない 未 知 の 状 況 を 示 しているものをいう 情 報 システムに 関 する 情 報 セキュリティインシデントとしては 例 えば 以 下 が 考 えられる 要 機 密 情 報 が 含 まれる 内 容 の 電 子 メールを 外 部 に 誤 送 信 要 機 密 情 報 が 格 納 された USB メモリを 紛 失 不 正 プログラムへの 感 染 外 部 からのサーバ 装 置 端 末 への 不 正 侵 入 サービス 不 能 攻 撃 等 による 情 報 システムの 停 止 16

23 遵 守 事 項 (2) 情 報 セキュリティ 委 員 会 の 設 置 (a) 最 高 情 報 セキュリティ 責 任 者 は 府 省 庁 対 策 基 準 等 の 審 議 を 行 う 機 能 を 持 つ 組 織 として 府 省 庁 の 情 報 セキュリティを 推 進 する 部 局 及 びその 他 行 政 事 務 を 実 施 する 部 局 の 代 表 者 を 構 成 員 とする 情 報 セキュリティ 委 員 会 を 置 くこと 基 本 対 策 事 項 <2.1.1(2)(a) 関 連 > 2.1.1(2)-1 情 報 セキュリティ 委 員 会 の 委 員 長 及 び 委 員 は 最 高 情 報 セキュリティ 責 任 者 が 情 報 セキュリティを 推 進 する 部 局 及 びその 他 の 行 政 事 務 を 実 施 する 部 局 の 代 表 者 から 指 名 すること 2.1.1(2)-2 情 報 セキュリティ 委 員 会 は 次 に 掲 げる 事 項 を 審 議 すること a) 府 省 庁 対 策 基 準 b) 対 策 推 進 計 画 c) 前 各 号 に 掲 げるもののほか 情 報 セキュリティに 関 し 必 要 な 事 項 ( 解 説 ) 遵 守 事 項 2.1.1(2)(a) 情 報 セキュリティ 委 員 会 について 最 高 情 報 セキュリティ 責 任 者 は 横 断 的 な 事 項 を 審 議 するため 情 報 セキュリティ を 推 進 する 部 門 及 び 各 部 局 ( 部 門 )の 代 表 者 から 構 成 される 委 員 会 を 設 置 する 委 員 長 及 び 委 員 は 最 高 情 報 セキュリティ 責 任 者 の 指 名 によるが 最 高 情 報 セキュリティ 責 任 者 自 らが 委 員 長 を 兼 ねてもよい 委 員 会 は 各 部 門 間 の 意 見 調 整 を 図 り 情 報 セキュリティ 対 策 と 組 織 の 方 針 を 整 合 的 なものとするため 統 一 基 準 では 組 織 全 体 としての 方 向 付 けを 要 する 府 省 庁 対 策 基 準 及 び 対 策 推 進 計 画 について 審 議 する なお 審 議 事 項 については 府 省 庁 の 実 態 に 応 じて 柔 軟 に 運 用 することが 考 えられ る さらに 委 員 会 の 配 下 に 実 務 を 担 当 する 下 位 委 員 会 を 設 置 する 既 存 の 情 報 シス テム 管 理 部 門 に 情 報 セキュリティ 対 策 の 運 用 を 統 括 する 機 能 を 持 たせるなど 部 門 の 横 断 的 な 連 携 の 仕 組 みを 確 立 させることも 考 えられる 17

24 遵 守 事 項 (3) 情 報 セキュリティ 監 査 責 任 者 の 設 置 (a) 最 高 情 報 セキュリティ 責 任 者 は その 指 示 に 基 づき 実 施 する 監 査 に 関 する 事 務 を 統 括 する 者 として 情 報 セキュリティ 監 査 責 任 者 1 人 を 置 くこと 基 本 対 策 事 項 <2.1.1(3)(a) 関 連 > 2.1.1(3)-1 情 報 セキュリティ 監 査 責 任 者 は 命 により 次 の 事 務 を 統 括 すること a) 監 査 実 施 計 画 の 策 定 b) 監 査 実 施 体 制 の 整 備 c) 監 査 の 実 施 指 示 及 び 監 査 結 果 の 最 高 情 報 セキュリティ 責 任 者 への 報 告 d) 前 各 号 に 掲 げるもののほか 情 報 セキュリティの 監 査 に 関 する 事 項 ( 解 説 ) 遵 守 事 項 2.1.1(3)(a) 情 報 セキュリティ 監 査 責 任 者 について 府 省 庁 における 情 報 セキュリティ 対 策 は 最 高 情 報 セキュリティ 責 任 者 の 指 揮 の 下 で 推 進 することとなるが 最 高 情 報 セキュリティ 責 任 者 は 自 らが 決 定 した 情 報 セキ ュリティ 対 策 が 適 切 に 実 施 されているか 否 かを 正 しく 把 握 する 必 要 がある そのため 最 高 情 報 セキュリティ 責 任 者 は 情 報 セキュリティ 監 査 責 任 者 にその 実 施 状 況 等 の 確 認 を 行 わせることにより 情 報 セキュリティ 対 策 の 実 効 性 を 確 保 しようとするもので ある なお 情 報 セキュリティ 監 査 責 任 者 は 組 織 のまとまりごとの 情 報 セキュリティに 関 する 事 務 を 担 う 情 報 セキュリティ 責 任 者 よりも 職 務 上 の 上 位 の 者 を 置 くことが 望 ま しい 情 報 セキュリティ 監 査 責 任 者 は 情 報 セキュリティ 対 策 が 適 切 に 実 施 されているか 否 かを 監 査 し その 結 果 について 最 高 情 報 セキュリティ 責 任 者 に 的 確 に 報 告 しなけれ ばならない 情 報 セキュリティ 監 査 責 任 者 は これら 監 査 事 務 を 効 率 的 に 実 施 するため 担 当 者 ( 監 査 実 施 者 )を 置 き 必 要 に 応 じて 外 部 組 織 を 活 用 するなど 監 査 実 施 体 制 の 整 備 を 行 う なお 府 省 庁 の 実 情 に 応 じて 監 査 責 任 者 を 補 佐 する 立 場 として 監 査 副 責 任 者 を 独 自 に 設 置 してよい 18

25 遵 守 事 項 (4) 統 括 情 報 セキュリティ 責 任 者 情 報 セキュリティ 責 任 者 等 の 設 置 (a) 最 高 情 報 セキュリティ 責 任 者 は 業 務 の 特 性 等 から 同 質 の 情 報 セキュリティ 対 策 の 運 用 が 可 能 な 組 織 のまとまりごとに 情 報 セキュリティ 対 策 に 関 する 事 務 を 統 括 する 者 として 情 報 セキュリティ 責 任 者 1 人 を 置 くこと そのうち 情 報 セキュリ ティ 責 任 者 を 統 括 し 最 高 情 報 セキュリティ 責 任 者 を 補 佐 する 者 として 統 括 情 報 セキュリティ 責 任 者 1 人 を 選 任 すること (b) 情 報 セキュリティ 責 任 者 は 遵 守 事 項 3.2.1(2)(a)で 定 める 区 域 ごとに 当 該 区 域 における 情 報 セキュリティ 対 策 の 事 務 を 統 括 する 区 域 情 報 セキュリティ 責 任 者 1 人 を 置 くこと (c) 情 報 セキュリティ 責 任 者 は 課 室 ごとに 情 報 セキュリティ 対 策 に 関 する 事 務 を 統 括 する 課 室 情 報 セキュリティ 責 任 者 1 人 を 置 くこと (d) 情 報 セキュリティ 責 任 者 は 所 管 する 情 報 システムに 対 する 情 報 セキュリティ 対 策 に 関 する 事 務 の 責 任 者 として 情 報 システムセキュリティ 責 任 者 を 当 該 情 報 シ ステムの 企 画 に 着 手 するまでに 選 任 すること 基 本 対 策 事 項 <2.1.1(4)(a) 関 連 > 2.1.1(4)-1 統 括 情 報 セキュリティ 責 任 者 は 命 を 受 け 次 の 事 務 を 統 括 すること a) 要 管 理 対 策 区 域 の 決 定 並 びに 当 該 区 域 における 施 設 及 び 環 境 に 係 る 対 策 の 決 定 b) 情 報 セキュリティ 対 策 に 関 する 実 施 手 順 の 整 備 及 び 見 直 し 並 びに 実 施 手 順 に 関 する 事 務 のとりまとめ c) 情 報 セキュリティ 対 策 に 係 る 教 育 実 施 計 画 の 策 定 及 び 当 該 実 施 体 制 の 整 備 d) 例 外 措 置 の 適 用 審 査 記 録 の 台 帳 整 備 等 e) 情 報 セキュリティインシデントに 対 処 するための 緊 急 連 絡 窓 口 の 整 備 等 f) 前 各 号 に 掲 げるもののほか 情 報 セキュリティ 対 策 に 係 る 事 務 2.1.1(4)-2 情 報 セキュリティ 責 任 者 は 命 を 受 け 管 理 を 行 う 組 織 のまとまりにおける 情 報 セキュリティ 対 策 を 推 進 するため 次 の 事 務 を 統 括 すること a) 定 められた 区 域 ごとの 区 域 情 報 セキュリティ 責 任 者 の 設 置 b) 課 室 の 課 室 情 報 セキュリティ 責 任 者 の 設 置 c) 情 報 システムごとの 情 報 システムセキュリティ 責 任 者 の 設 置 d) 情 報 セキュリティインシデントの 原 因 調 査 再 発 防 止 策 等 の 実 施 e) 情 報 セキュリティに 係 る 自 己 点 検 計 画 の 策 定 及 び 実 施 手 順 の 整 備 f) 前 各 号 に 掲 げるもののほか 管 理 を 行 う 組 織 のまとまりの 情 報 セキュリティ 対 策 に 関 する 事 務 <2.1.1(4)(b) 関 連 > 2.1.1(4)-3 区 域 情 報 セキュリティ 責 任 者 は 命 を 受 け 定 められた 区 域 における 施 設 及 び 環 境 に 係 る 情 報 セキュリティ 対 策 に 関 する 事 務 を 統 括 すること <2.1.1(4)(c) 関 連 > 19

26 2.1.1(4)-4 課 室 情 報 セキュリティ 責 任 者 は 命 を 受 け 課 室 における 情 報 の 取 扱 いその 他 の 情 報 セキュリティ 対 策 に 関 する 事 務 を 統 括 すること <2.1.1(4)(d) 関 連 > 2.1.1(4)-5 情 報 システムセキュリティ 責 任 者 は 命 を 受 け 情 報 システムにおける 情 報 セ キュリティ 対 策 に 関 する 事 務 を 担 うこと 2.1.1(4)-6 情 報 システムセキュリティ 責 任 者 は 所 管 する 情 報 システムの 管 理 業 務 におい て 必 要 な 単 位 ごとに 情 報 システムセキュリティ 管 理 者 を 置 くこと ( 解 説 ) 遵 守 事 項 2.1.1(4)(a) 情 報 セキュリティ 責 任 者 について 最 高 情 報 セキュリティ 責 任 者 は 業 務 の 特 性 等 から 同 質 の 情 報 セキュリティ 対 策 の 運 用 が 可 能 となる 組 織 のまとまりごとに その 対 策 を 委 ねた 方 が 効 率 的 であることか ら 取 りまとめの 責 任 者 として 情 報 セキュリティ 責 任 者 を 設 置 する 情 報 セキュリ ティ 対 策 の 運 用 が 可 能 なまとまりとしては 部 局 ( 内 局 外 局 地 方 支 分 局 附 属 機 関 )ごとが 想 定 される 情 報 セキュリティ 責 任 者 は 最 高 情 報 セキュリティ 責 任 者 の 委 任 に 基 づき 所 管 す る 組 織 の 情 報 セキュリティ 対 策 を 推 進 及 び 運 用 するため 組 織 内 の 体 制 整 備 及 び 事 務 を 行 う 遵 守 事 項 2.1.1(4)(a) 統 括 情 報 セキュリティ 責 任 者 について 最 高 情 報 セキュリティ 責 任 者 は 自 らの 事 務 を 補 佐 させるため 組 織 のまとまりご とに 設 置 する 情 報 セキュリティ 責 任 者 のうちから1 人 を 統 括 情 報 セキュリティ 責 任 者 として 選 任 する 統 括 情 報 セキュリティ 責 任 者 は 最 高 情 報 セキュリティ 責 任 者 からの 委 任 ( 最 高 情 報 セキュリティ 責 任 者 が 自 ら 行 うべき 重 要 事 項 を 除 き 事 務 を 任 せること 任 命 及 び 監 督 の 責 任 は 最 高 情 報 セキュリティ 責 任 者 に 残 る )に 基 づき 府 省 庁 の 情 報 セキュリ ティ 対 策 について 総 合 調 整 する 事 務 を 担 うとともに 最 高 情 報 セキュリティ 責 任 者 を 補 佐 する 役 割 を 担 う なお 例 えば 府 省 庁 対 策 基 準 や 対 策 推 進 計 画 の 案 の 作 成 を 担 うことが 想 定 される 遵 守 事 項 2.1.1(4)(b) 区 域 情 報 セキュリティ 責 任 者 について 情 報 セキュリティ 責 任 者 は 所 管 する 組 織 のまとまりの 情 報 セキュリティ 対 策 のう ち 施 設 及 び 環 境 に 係 る 対 策 について 定 められた 区 域 ごとにその 対 策 を 推 進 する 責 任 者 として 区 域 情 報 セキュリティ 責 任 者 を 指 名 する 区 域 情 報 セキュリティ 責 任 者 は 所 管 する 区 域 について 規 定 された 対 策 の 基 準 に 従 い 自 ら 対 策 を 定 めそれを 実 施 する また 区 域 情 報 セキュリティ 責 任 者 は その 役 割 の 性 質 上 施 設 の 管 理 者 が 兼 任 することが 想 定 される 定 める 単 位 としては 例 え ば 以 下 が 考 えられる 単 一 の 課 室 が 利 用 する 執 務 室 及 び 会 議 室 を 管 理 する 場 合 は 課 室 情 報 セキュリ ティ 責 任 者 20

27 情 報 システムが 設 置 された 部 屋 (サーバ 室 等 )を 管 理 する 場 合 は 情 報 システ ムセキュリティ 責 任 者 ロビー 廊 下 等 を 管 理 する 場 合 は 庁 舎 等 の 管 理 に 関 する 部 門 の 責 任 者 なお 基 本 対 策 事 項 3.2.1(1)-1 で 後 述 するクラス1は 庁 舎 管 理 の 観 点 から 行 う 措 置 が 情 報 セキュリティ 上 の 対 策 と 同 等 であれば 庁 舎 管 理 者 が 指 定 されていることを もって 区 域 情 報 セキュリティ 責 任 者 を 設 置 しているとみなしてよい 遵 守 事 項 2.1.1(4)(c) 課 室 情 報 セキュリティ 責 任 者 について 情 報 セキュリティ 責 任 者 は 課 室 内 の 情 報 の 取 扱 い 及 び 情 報 セキュリティ 対 策 の 責 任 者 として 課 室 情 報 セキュリティ 責 任 者 を 設 置 する 課 室 情 報 セキュリティ 責 任 者 は 情 報 の 取 扱 い 等 に 関 して その 是 非 を 判 断 する 役 割 を 担 うため 課 室 長 又 はそれ に 相 当 する 者 であることが 望 ましい 遵 守 事 項 2.1.1(4)(d) 情 報 システムセキュリティ 責 任 者 について 情 報 セキュリティ 責 任 者 は 情 報 システムごとの 情 報 セキュリティ 対 策 及 び 運 用 の 責 任 者 として 情 報 システムセキュリティ 責 任 者 を 指 名 する 情 報 システムセキュリティ 責 任 者 は 所 管 する 情 報 システムのライフサイクル 全 般 にわたって 適 切 に 情 報 セキュリティ 対 策 を 実 施 することが 求 められる このため 情 報 セキュリティ 責 任 者 は 新 規 の 情 報 システムについて 企 画 に 着 手 するまでに 情 報 シ ステムセキュリティ 責 任 者 を 選 任 しなければならない 府 省 庁 LAN システムのような 全 省 庁 的 なシステム 特 定 部 門 における 個 別 業 務 システム 等 府 省 庁 の 全 ての 情 報 シ ステムについて 情 報 システムごとにセキュリティ 対 策 の 運 用 の 責 任 の 所 在 を 明 確 に することが 重 要 である また アプリケーションのみ 別 組 織 が 管 理 するといったよう に 情 報 システムを 共 同 で 管 理 する 場 合 は あらかじめ 責 任 分 担 を 明 確 にする 必 要 が ある 情 報 システムセキュリティ 責 任 者 は 情 報 セキュリティ 対 策 の 技 術 的 事 項 について 補 佐 する 者 ( 基 本 対 策 事 項 2.1.1(4)-6 で 定 める 情 報 システムセキュリティ 管 理 者 )をデ ータベース アプリケーション 等 の 装 置 機 能 ごとに 必 要 に 応 じて 置 き 技 術 的 対 策 の 実 効 性 を 確 保 することが 望 ましい 基 本 対 策 事 項 2.1.1(4)-6 情 報 システムセキュリティ 管 理 者 について 情 報 システムセキュリティ 管 理 者 は 情 報 システムセキュリティ 責 任 者 が 定 めた 手 順 や 判 断 された 事 項 に 従 い 所 管 する 情 報 システムのセキュリティ 対 策 を 実 施 する 21

28 遵 守 事 項 (5) 最 高 情 報 セキュリティアドバイザーの 設 置 (a) 最 高 情 報 セキュリティ 責 任 者 は 情 報 セキュリティについて 専 門 的 な 知 識 及 び 経 験 を 有 する 者 を 最 高 情 報 セキュリティアドバイザーとして 置 き 自 らへの 助 言 を 含 む 最 高 情 報 セキュリティアドバイザーの 業 務 内 容 を 定 めること 基 本 対 策 事 項 <2.1.1(5)(a) 関 連 > 2.1.1(5)-1 最 高 情 報 セキュリティ 責 任 者 は 以 下 を 例 とする 最 高 情 報 セキュリティアドバ イザーの 業 務 内 容 を 定 めること a) 府 省 庁 全 体 の 情 報 セキュリティ 対 策 の 推 進 に 係 る 最 高 情 報 セキュリティ 責 任 者 への 助 言 b) 情 報 セキュリティ 関 係 規 程 の 整 備 に 係 る 助 言 c) 対 策 推 進 計 画 の 策 定 に 係 る 助 言 d) 教 育 実 施 計 画 の 立 案 に 係 る 助 言 並 びに 教 材 開 発 及 び 教 育 実 施 の 支 援 e) 情 報 システムに 係 る 技 術 的 事 項 に 係 る 助 言 f) 情 報 システムの 設 計 開 発 を 外 部 委 託 により 行 う 場 合 に 調 達 仕 様 に 含 めて 提 示 する 情 報 セキュリティに 係 る 要 求 仕 様 の 策 定 に 係 る 助 言 g) 行 政 事 務 従 事 者 に 対 する 日 常 的 な 相 談 対 応 h) 情 報 セキュリティインシデントへの 対 処 の 支 援 i) 前 各 号 に 掲 げるもののほか 情 報 セキュリティ 対 策 への 助 言 又 は 支 援 ( 解 説 ) 遵 守 事 項 2.1.1(5)(a) 最 高 情 報 セキュリティアドバイザー について 最 高 情 報 セキュリティ 責 任 者 は 情 報 セキュリティに 関 する 技 術 的 事 項 等 について 自 らへの 助 言 等 を 含 む 府 省 庁 の 情 報 セキュリティ 対 策 への 助 言 支 援 等 を 行 う 者 とし て 最 高 情 報 セキュリティアドバイザーを 置 く 最 高 情 報 セキュリティアドバイザーは 府 省 庁 における 情 報 システムに 関 する 技 術 的 事 項 情 報 セキュリティインシデントへの 対 処 その 他 の 情 報 セキュリティ 対 策 に 対 する 助 言 支 援 を 担 うため 専 門 的 な 知 識 及 び 経 験 を 有 した 者 すなわち 情 報 セキュリ ティに 関 する 資 格 及 び 実 務 経 験 を 有 する 者 である 必 要 がある なお 外 部 人 材 のみならず 府 省 庁 内 の 職 員 を 充 ててもよい この 場 合 当 該 職 員 が 情 報 セキュリティ 責 任 者 やその 他 の 責 任 者 を 兼 務 してもよい 22

29 遵 守 事 項 (6) 情 報 セキュリティインシデントに 備 えた 体 制 の 整 備 (a) 最 高 情 報 セキュリティ 責 任 者 は CSIRT を 整 備 し その 役 割 を 明 確 化 すること (b) 最 高 情 報 セキュリティ 責 任 者 は 行 政 事 務 従 事 者 のうちから CSIRT に 属 する 職 員 として 専 門 的 な 知 識 又 は 適 性 を 有 すると 認 められる 者 を 選 任 すること そのうち 府 省 庁 における 情 報 セキュリティインシデントに 対 処 するための 責 任 者 として CSIRT 責 任 者 を 置 くこと (c) 最 高 情 報 セキュリティ 責 任 者 は 情 報 セキュリティインシデントが 発 生 した 際 直 ちに 自 らへの 報 告 が 行 われる 体 制 を 整 備 すること (d) 最 高 情 報 セキュリティ 責 任 者 は CYMAT に 属 する 職 員 を 指 名 すること 基 本 対 策 事 項 <2.1.1(6)(a) 関 連 > 2.1.1(6)-1 最 高 情 報 セキュリティ 責 任 者 は 以 下 を 含 む CSIRT の 役 割 を 規 定 すること a) 報 告 窓 口 からの 情 報 セキュリティインシデントの 報 告 の 受 付 b) 情 報 セキュリティインシデントの 最 高 情 報 セキュリティ 責 任 者 等 への 報 告 c) 内 閣 官 房 情 報 セキュリティセンターへの 連 絡 d) 被 害 の 拡 大 防 止 を 図 るための 応 急 措 置 の 指 示 又 は 勧 告 2.1.1(6)-2 最 高 情 報 セキュリティ 責 任 者 は CSIRT の 代 表 者 (PoC(Point of Contact)) を 置 くこと ( 解 説 ) 遵 守 事 項 2.1.1(6)(a) CSIRT について 府 省 庁 の 情 報 システムに 対 するサイバー 攻 撃 等 の 情 報 セキュリティインシデントが 発 生 した 際 に 当 該 府 省 庁 が 発 生 した 事 案 を 正 確 に 把 握 し 被 害 拡 大 防 止 復 旧 再 発 防 止 等 を 迅 速 かつ 的 確 に 行 うことを 可 能 とするための 機 能 を 有 する 体 制 を 整 備 す ることが 必 要 である 一 般 的 に 情 報 セキュリティインシデントの 認 知 時 の 対 処 においては 不 完 全 で 断 片 的 な 情 報 しかない 状 況 で 判 断 を 下 し 指 示 を 出 して 調 査 等 により 状 況 の 解 明 を 進 めることとなる CSIRT は 時 々 刻 々と 明 らかになる 情 報 を 基 に 状 況 を 整 理 し 事 態 の 収 束 に 向 けてさらに 必 要 な 対 応 を 行 い 適 切 な 頻 度 で 幹 部 に 状 況 を 報 告 する 遵 守 事 項 2.1.1(6)(b) CSIRT に 属 する 職 員 について CSIRT に 属 する 職 員 は 府 省 庁 における 情 報 セキュリティインシデントを 認 知 した 際 最 高 情 報 セキュリティ 責 任 者 の 指 揮 の 下 これに 対 処 する 職 員 であることから 最 高 情 報 セキュリティ 責 任 者 に 対 して 適 切 に 状 況 を 報 告 し 最 高 情 報 セキュリティ 責 任 者 の 指 示 を 受 け 適 切 に 対 処 できることが 必 要 である 現 場 の 対 処 においては 情 報 セキュリティ 情 報 システム 等 に 関 する 知 識 及 び 技 能 を 持 つ 者 で 府 省 庁 のネットワーク 構 成 や 個 別 システムの 情 報 システムセキュリティ 23

30 責 任 者 及 び 管 理 者 を 把 握 している 職 員 が 当 たることが 望 ましい また CSIRT に 属 する 職 員 には 上 述 した 技 術 的 な 対 処 のほか 発 生 した 情 報 セキ ュリティインシデントの 影 響 の 大 きさによっては 対 外 的 な 対 応 も 必 要 となることか ら 広 報 を 担 当 する 職 員 を CSIRT に 含 めておくことも 考 えられる 遵 守 事 項 2.1.1(6)(b) CSIRT 責 任 者 について CSIRT 責 任 者 とは 情 報 セキュリティインシデントの 対 処 に 係 る 責 任 者 であり 情 報 セキュリティインシデントに 関 する 全 般 的 な 対 応 が 求 められる ただし 重 大 な 情 報 セキュリティインシデントが 生 じ 最 高 情 報 セキュリティ 責 任 者 自 らが 情 報 セキ ュリティインシデントへ 対 処 する 必 要 があるときには その 指 揮 監 督 の 下 で 必 要 な 対 応 を 行 うこととなる 遵 守 事 項 2.1.1(6)(c) 情 報 セキュリティインシデントが 発 生 した 際 直 ちに 自 らへの 報 告 が 行 われる 体 制 について CSIRT 責 任 者 が 情 報 システムを 所 管 している 場 合 当 該 情 報 システムの 情 報 セキュ リティインシデントを 認 知 した 際 二 つの 役 職 が 利 害 相 反 関 係 にあることから 最 高 情 報 セキュリティ 責 任 者 等 の 幹 部 に 報 告 を 上 げない 事 実 関 係 の 一 部 しか 報 告 しない 報 告 を 遅 らせるなど 管 理 責 任 に 影 響 を 及 ぼすおそれがある これを 避 けるため 例 えば CSIRT 責 任 者 には 情 報 セキュリティ 責 任 者 以 外 の 者 を 充 てる 最 高 情 報 セキュリティ 責 任 者 等 の 幹 部 に 情 報 セキュリティインシデントにつ いて 報 告 する 役 割 を 別 途 CSIRT 責 任 者 以 外 の 者 に 与 えるなどにより 迅 速 かつ 適 切 な 報 告 経 路 を 確 保 することが 必 要 である 遵 守 事 項 2.1.1(6)(d) CYMAT に 属 する 職 員 について CYMAT は 府 省 庁 の 情 報 セキュリティに 関 する 知 識 及 び 技 能 を 有 する 職 員 で 構 成 す る 体 制 であり サイバー 攻 撃 等 により 支 援 対 象 機 関 で 情 報 セキュリティインシデント を 認 知 した 場 合 であって 政 府 として 一 体 となった 対 応 が 必 要 となる 情 報 セキュリテ ィインシデントを 取 り 扱 う CYMAT の 主 な 機 能 は 以 下 のとおりである 発 生 事 象 の 正 確 な 把 握 被 害 拡 大 防 止 復 旧 再 発 防 止 のための 技 術 的 な 支 援 及 び 助 言 対 処 能 力 の 向 上 に 向 けた 平 時 の 取 組 ( 研 修 訓 練 等 の 実 施 ) CYMAT に 属 する 職 員 には CYMAT 要 員 及 び CYMAT 研 修 員 がある CYMAT 要 員 になるために セキュリティに 関 する 特 定 の 資 格 は 求 めていないものの 情 報 セキ ュリティ 情 報 システム 等 に 関 する 基 礎 的 な 知 識 を 有 する 者 を 充 てることが 望 ましい また CYMAT 研 修 員 については 将 来 CYMAT 要 員 になる 候 補 者 として 活 動 するこ とが 期 待 される 職 員 で 情 報 セキュリティ 情 報 システム 等 といった 分 野 に 関 心 を 持 ち 内 閣 官 房 情 報 セキュリティセンター 等 が 提 供 する 研 修 に 参 加 し 研 さんに 励 むこ とができる 職 員 が 望 ましい CYMAT 要 員 に 対 しては 内 閣 官 房 の 併 任 辞 令 を 発 令 することで 内 閣 官 房 の 予 算 を 措 置 することにより 内 容 の 充 実 した 訓 練 演 習 の 機 会 を 提 供 している また CYMAT 研 修 員 に 対 しても 研 修 の 機 会 を 提 供 していることから 府 省 庁 においては 組 織 内 で 24

31 のインシデント レスポンスに 当 たる 職 員 の 育 成 という 観 点 からも CYMAT 要 員 又 は CYMAT 研 修 員 として 内 閣 官 房 情 報 セキュリティセンターに 登 録 することが 望 ましい 基 本 対 策 事 項 2.1.1(6)-2 CSIRT の 代 表 者 (PoC(Point of Contact)) について CSIRT の 代 表 者 は 府 省 庁 を 含 む 関 係 機 関 と 必 要 に 応 じて 情 報 セキュリティイン シデントに 関 する 情 報 共 有 を 行 うなど 外 部 窓 口 の 役 割 を 担 うことが 想 定 される 参 考 府 省 庁 の 情 報 セキュリティ 体 制 のイメージ 例 府 省 庁 の 情 報 セキュリティ 体 制 のイメージを 図 に 示 す 図 府 省 庁 の 情 報 セキュリティ 体 制 のイメージ 25

32 遵 守 事 項 (7) 兼 務 を 禁 止 する 役 割 (a) 行 政 事 務 従 事 者 は 情 報 セキュリティ 対 策 の 運 用 において 以 下 の 役 割 を 兼 務 し ないこと (ア) 承 認 又 は 許 可 ( 以 下 本 項 において 承 認 等 という )の 申 請 者 と 当 該 承 認 等 を 行 う 者 ( 以 下 本 項 において 承 認 権 限 者 等 という ) (イ) 監 査 を 受 ける 者 とその 監 査 を 実 施 する 者 (b) 行 政 事 務 従 事 者 は 承 認 等 を 申 請 する 場 合 において 自 らが 承 認 権 限 者 等 である ときその 他 承 認 権 限 者 等 が 承 認 等 の 可 否 の 判 断 をすることが 不 適 切 と 認 められると きは 当 該 承 認 権 限 者 等 の 上 司 又 は 適 切 な 者 に 承 認 等 を 申 請 し 承 認 等 を 得 ること 基 本 対 策 事 項 規 定 なし ( 解 説 ) 遵 守 事 項 2.1.1(7)(b) 承 認 権 限 者 等 の 上 司 又 は 適 切 な 者 について 承 認 等 の 申 請 において 申 請 する 者 と 承 認 する 者 が 同 一 の 場 合 又 は 申 請 する 者 が 承 認 する 者 の 上 司 である 場 合 は 手 続 規 定 において 定 められた 承 認 権 限 者 等 をもって 承 認 等 の 可 否 の 判 断 を 行 うことは 適 切 とは 言 えない このような 場 合 に 対 応 するために 承 認 権 限 者 等 の 上 司 等 をもって 承 認 するなどの 手 続 をあらかじめ 定 めておく 必 要 がある 情 報 セキュリティ 責 任 者 等 よりも 高 位 の 行 政 事 務 従 事 者 が 承 認 等 を 申 請 する 場 合 に おいては 例 えば 最 高 情 報 セキュリティ 責 任 者 が 当 該 承 認 等 の 判 断 を 行 うことが 想 定 される 他 方 技 術 的 な 事 項 は 承 認 権 限 者 等 の 上 司 よりも 内 容 を 理 解 している 者 が 可 否 の 判 断 を 行 う 方 が 適 切 な 場 合 もあり この 場 合 には 本 来 の 承 認 権 限 者 等 が 判 断 してよい また 最 高 情 報 セキュリティ 責 任 者 と 同 等 以 上 の 職 位 の 者 が 承 認 等 を 申 請 する 場 合 も 想 定 される このような 場 合 においても 最 高 情 報 セキュリティ 責 任 者 が 適 切 に 判 断 することが 考 えられる 26

33 2.1.2 府 省 庁 対 策 基 準 対 策 推 進 計 画 の 策 定 目 的 趣 旨 府 省 庁 の 情 報 セキュリティ 水 準 を 適 切 に 維 持 し 情 報 セキュリティリスクを 総 合 的 に 低 減 させるためには 府 省 庁 として 遵 守 すべき 対 策 の 基 準 を 定 めるとともに 情 報 セキュリ ティに 係 るリスク 評 価 の 結 果 を 踏 まえ 計 画 的 に 対 策 を 実 施 することが 重 要 である 遵 守 事 項 (1) 府 省 庁 対 策 基 準 の 策 定 (a) 最 高 情 報 セキュリティ 責 任 者 は 情 報 セキュリティ 委 員 会 における 審 議 を 経 て 統 一 基 準 に 準 拠 した 府 省 庁 対 策 基 準 を 定 めること 基 本 対 策 事 項 規 定 なし ( 解 説 ) 遵 守 事 項 2.1.2(1)(a) 府 省 庁 対 策 基 準 について 府 省 庁 対 策 基 準 については 最 高 情 報 セキュリティ 責 任 者 がこれを 定 める 必 要 があ る なお 当 該 基 準 の 案 の 策 定 については 最 高 情 報 セキュリティ 責 任 者 が 指 定 した 者 に 委 任 することができる 27

34 遵 守 事 項 (2) 対 策 推 進 計 画 の 策 定 (a) 最 高 情 報 セキュリティ 責 任 者 は 情 報 セキュリティ 委 員 会 における 審 議 を 経 て 情 報 セキュリティ 対 策 を 総 合 的 に 推 進 するための 計 画 ( 以 下 対 策 推 進 計 画 とい う ) を 定 めること また 対 策 推 進 計 画 には 府 省 庁 の 業 務 取 り 扱 う 情 報 及 び 保 有 する 情 報 システムに 関 するリスク 評 価 の 結 果 を 踏 まえた 全 体 方 針 並 びに 以 下 に 掲 げる 取 組 の 方 針 重 点 及 びその 実 施 時 期 を 含 めること (ア) 情 報 セキュリティに 関 する 教 育 (イ) 情 報 セキュリティ 対 策 の 自 己 点 検 (ウ) 情 報 セキュリティ 監 査 (エ) 情 報 システムに 関 する 技 術 的 な 対 策 を 推 進 するための 取 組 (オ) 前 各 号 に 掲 げるもののほか 情 報 セキュリティ 対 策 に 関 する 重 要 な 取 組 基 本 対 策 事 項 規 定 なし ( 解 説 ) 遵 守 事 項 2.1.2(2)(a) 対 策 推 進 計 画 について 対 策 推 進 計 画 は 情 報 セキュリティ 対 策 に 関 する 一 連 の 取 組 を 対 象 とした 全 体 計 画 であり 情 報 セキュリティ 対 策 に 関 する 取 組 の 全 体 方 針 のほか 遵 守 事 項 2.1.2(2)(a) の 各 号 に 掲 げる 情 報 セキュリティ 対 策 に 関 する 個 々の 取 組 について 全 体 方 針 に 応 じ た 個 々の 方 針 や 重 点 大 まかな 実 施 ( 予 定 ) 時 期 を 設 定 するものである 対 策 推 進 計 画 は 府 省 庁 が 組 織 として 種 々の 情 報 セキュリティ 対 策 を 如 何 なる 考 え 方 や 方 向 性 に 基 づいて 進 めていくのかといった 一 連 の 取 組 全 体 の 大 枠 について 最 高 情 報 セキュリティ 責 任 者 があらかじめ 総 合 的 に 定 めるものであり 個 々の 取 組 の 実 施 に 当 たって 詳 細 計 画 が 必 要 となる 場 合 は 対 策 推 進 計 画 に 則 して それぞれの 取 組 の 責 任 者 がその 権 限 の 下 に 詳 細 計 画 を 策 定 する 遵 守 事 項 2.1.2(2)(a) リスク 評 価 の 結 果 を 踏 まえた 全 体 方 針 について 情 報 セキュリティ 対 策 は 情 報 セキュリティを 取 り 巻 く 様 々な 脅 威 や 組 織 及 び 取 り 扱 う 情 報 の 特 性 等 を 踏 まえたリスクの 分 析 評 価 を 行 った 上 で 対 策 の 方 針 や 優 先 度 を 判 断 し 計 画 的 に 推 進 することが 重 要 である また 限 られた 予 算 や 人 的 資 源 を 最 大 限 に 活 用 して 情 報 セキュリティ 対 策 を 推 進 するためには 対 策 全 体 としての 方 向 付 けを 行 った 上 で 個 々の 対 策 を 実 施 していくことが 必 要 である 全 体 方 針 としては 例 えば 優 先 的 に 対 応 すべき 脅 威 や 優 先 的 に 対 策 を 講 ずるべき 対 象 を 設 定 し それらへの 対 応 を 重 点 として 掲 げることが 考 えられる 遵 守 事 項 2.1.2(2)(a) 取 組 の 方 針 重 点 について 遵 守 事 項 2.1.2(2)(a)の 各 号 に 掲 げる 情 報 セキュリティ 対 策 に 関 する 個 々の 取 組 の 方 針 重 点 は 全 体 方 針 を 踏 まえ 例 えば 情 報 セキュリティ 対 策 の 教 育 において 特 定 の 脅 威 ( 例 : 標 的 型 攻 撃 サプライチェーン リスク) 特 定 の 対 象 ( 例 : 業 務 の 内 28

35 容 や 役 職 に 応 じた 者 ) 特 定 の 内 容 ( 例 : 府 省 庁 対 策 基 準 の 改 正 点 )を 掲 げることが 考 えられる 基 本 対 策 事 項 2.1.2(2)(a)(エ) 情 報 システムに 関 する 技 術 的 な 対 策 を 推 進 するための 取 組 について 情 報 システムに 関 する 技 術 的 な 対 策 を 推 進 するための 取 組 としては 高 度 サイバー 攻 撃 対 処 のためのリスク 評 価 等 のガイドラインに 基 づく 取 組 等 政 府 全 体 としての 取 組 のほか 各 府 省 庁 において 独 自 に 推 進 している 技 術 的 な 対 策 を 含 めることが 望 まし い 技 術 的 対 策 には 情 報 システムを 構 成 する 機 器 等 の 更 新 等 の 投 資 による 対 策 も 含 まれる 29

36 2.2 運 用 情 報 セキュリティ 関 係 規 程 の 運 用 目 的 趣 旨 府 省 庁 は 府 省 庁 対 策 基 準 に 定 められた 対 策 を 実 施 するため 具 体 的 な 実 施 手 順 を 定 め る 必 要 がある 実 施 手 順 が 整 備 されていない 又 はそれらの 内 容 に 漏 れがあると 対 策 が 実 施 されない おそれがあることから 最 高 情 報 セキュリティ 責 任 者 は 統 括 情 報 セキュリティ 責 任 者 に 実 施 手 順 の 整 備 を 指 示 し その 結 果 について 定 期 的 に 報 告 を 受 け 状 況 を 適 確 に 把 握 する ことが 重 要 である 遵 守 事 項 (1) 情 報 セキュリティ 対 策 に 関 する 実 施 手 順 の 整 備 運 用 (a) 統 括 情 報 セキュリティ 責 任 者 は 府 省 庁 における 情 報 セキュリティ 対 策 に 関 する 実 施 手 順 を 整 備 ( 本 統 一 基 準 で 整 備 すべき 者 を 別 に 定 める 場 合 を 除 く )し 実 施 手 順 に 関 する 事 務 を 統 括 し 整 備 状 況 について 最 高 情 報 セキュリティ 責 任 者 に 報 告 す ること (b) 統 括 情 報 セキュリティ 責 任 者 は 情 報 セキュリティ 対 策 における 雇 用 の 開 始 終 了 及 び 人 事 異 動 時 等 に 関 する 管 理 の 規 定 を 整 備 すること (c) 情 報 セキュリティ 責 任 者 又 は 課 室 情 報 セキュリティ 責 任 者 は 行 政 事 務 従 事 者 よ り 情 報 セキュリティ 関 係 規 程 に 係 る 課 題 及 び 問 題 点 の 報 告 を 受 けた 場 合 は 統 括 情 報 セキュリティ 責 任 者 に 報 告 すること 基 本 対 策 事 項 規 定 なし ( 解 説 ) 遵 守 事 項 2.2.1(1)(a) 実 施 手 順 を 整 備 ( 本 統 一 基 準 で 整 備 すべき 者 を 別 に 定 める 場 合 を 除 く ) について 統 一 基 準 で 整 備 を 求 めている 実 施 手 順 は 以 下 のとおり (1) 統 括 情 報 セキュリティ 責 任 者 雇 用 の 開 始 終 了 及 び 人 事 異 動 時 等 の 管 理 に 関 する 規 程 ( 遵 守 事 項 2.2.1(1)(b)) 情 報 セキュリティインシデントを 認 知 した 際 の 報 告 窓 口 を 含 む 府 省 庁 関 係 者 へ の 報 告 手 順 ( 遵 守 事 項 2.2.4(1)(a)) 情 報 セキュリティインシデントを 認 知 した 際 の 情 報 共 有 を 含 む 対 処 手 順 ( 遵 守 事 項 2.2.4(1)(b)) 情 報 の 取 扱 いに 関 する 規 定 ( 遵 守 事 項 3.1.1(1)(a)) 要 管 理 対 策 区 域 の 対 策 の 基 準 ( 遵 守 事 項 3.2.1(1)(b)) 外 部 委 託 に 係 る 規 定 ( 遵 守 事 項 4.1.1(1)(a)) 30

37 約 款 による 外 部 サービスの 利 用 に 関 する 規 定 ( 遵 守 事 項 4.1.2(1)(a)) ソーシャルメディアサービスに 関 する 運 用 手 順 ( 遵 守 事 項 4.1.3(1)(a)) 機 器 等 の 調 達 に 係 る 選 定 基 準 ( 遵 守 事 項 5.1.2(1)(a)) 機 器 等 の 納 入 時 の 確 認 検 査 手 続 ( 遵 守 事 項 5.1.2(1)(b)) アプリケーション コンテンツの 提 供 時 に 府 省 庁 外 の 情 報 セキュリティ 水 準 の 低 下 を 招 く 行 為 を 防 止 するための 規 定 ( 遵 守 事 項 6.3.1(1)(a)) 府 省 庁 の 情 報 システムの 利 用 のうち 情 報 セキュリティに 関 する 規 定 ( 遵 守 事 項 8.1.1(1)(a)) 要 管 理 対 策 区 域 外 で 情 報 処 理 を 行 う 際 の 安 全 管 理 措 置 に 関 する 規 定 及 び 許 可 手 続 ( 遵 守 事 項 8.1.1(1)(b)) USB メモリ 等 の 外 部 電 磁 的 記 録 媒 体 を 用 いた 情 報 の 取 扱 いに 関 する 利 用 手 順 ( 遵 守 事 項 8.1.1(1)(c)) 府 省 庁 支 給 以 外 の 端 末 により 情 報 処 理 を 行 う 場 合 の 許 可 等 の 手 続 に 関 する 手 順 ( 遵 守 事 項 8.2.1(1)(a)) 府 省 庁 支 給 以 外 の 端 末 により 情 報 処 理 を 行 う 場 合 の 安 全 管 理 措 置 に 関 する 規 定 ( 遵 守 事 項 8.1.1(1)(b)) (2)その 他 の 者 が 定 めるもの 最 高 情 報 セキュリティ 責 任 者 例 外 措 置 の 適 用 の 申 請 を 審 査 する 者 及 び 審 査 手 続 ( 遵 守 事 項 2.2.2(1)(a)) 情 報 セキュリティ 責 任 者 行 政 事 務 従 事 者 ごとの 自 己 点 検 票 及 び 自 己 点 検 の 実 施 手 順 ( 遵 守 事 項 2.3.1(1)(b)) 情 報 システムセキュリティ 責 任 者 情 報 セキュリティ 対 策 を 実 施 するために 必 要 な 文 書 ( 遵 守 事 項 5.1.1(2)(a)) 情 報 システムで 使 用 する 暗 号 等 のアルゴリズム 及 び 運 用 方 法 ( 遵 守 事 項 6.1.5(1)(b)) 通 信 回 線 装 置 が 動 作 するために 必 要 なソフトウェアを 定 め ソフトウェアを 変 更 する 際 の 許 可 申 請 手 順 ( 遵 守 事 項 7.3.1(1)(i)) 遵 守 事 項 2.2.1(1)(a) 実 施 手 順 に 関 する 事 務 を 統 括 について 統 括 情 報 セキュリティ 責 任 者 は 府 省 庁 における 情 報 セキュリティ 対 策 に 関 する 実 施 手 順 について 監 査 結 果 を 通 じて 府 省 庁 対 策 基 準 に 従 って 整 備 されていないこと を 把 握 した 場 合 には 整 備 すべき 者 に 対 して 指 導 することが 想 定 される また 統 括 情 報 セキュリティ 責 任 者 は 情 報 セキュリティ 関 係 規 程 について 自 己 点 検 や 監 査 の 結 果 例 外 措 置 の 申 請 状 況 等 を 通 じ 課 題 又 は 問 題 点 について 把 握 し 得 る ことから 実 施 手 順 の 整 備 主 体 が 特 定 の 部 門 の 情 報 セキュリティ 責 任 者 に 係 るもの であったとしても 同 種 の 課 題 又 は 問 題 点 の 有 無 を 他 の 部 局 等 に 確 認 することも 想 定 される 31

38 遵 守 事 項 (2) 違 反 への 対 処 (a) 行 政 事 務 従 事 者 は 情 報 セキュリティ 関 係 規 程 への 重 大 な 違 反 を 知 った 場 合 は 情 報 セキュリティ 責 任 者 にその 旨 を 報 告 すること (b) 情 報 セキュリティ 責 任 者 は 情 報 セキュリティ 関 係 規 程 への 重 大 な 違 反 の 報 告 を 受 けた 場 合 及 び 自 らが 重 大 な 違 反 を 知 った 場 合 には 違 反 者 及 び 必 要 な 者 に 情 報 セ キュリティの 維 持 に 必 要 な 措 置 を 講 じさせるとともに 統 括 情 報 セキュリティ 責 任 者 を 通 じて 最 高 情 報 セキュリティ 責 任 者 に 報 告 すること 基 本 対 策 事 項 規 定 なし ( 解 説 ) 遵 守 事 項 2.2.1(2)(a) 情 報 セキュリティ 責 任 者 にその 旨 を 報 告 する について 府 省 庁 において 情 報 セキュリティを 継 続 的 に 維 持 するために 重 大 な 違 反 を 確 実 に 捕 捉 するための 事 項 である 一 般 的 に 府 省 庁 においては 違 反 を 知 った 者 はこれを 報 告 する 義 務 が 課 されており 情 報 セキュリティ 関 係 規 程 への 違 反 においては 各 規 定 の 実 施 に 責 任 を 持 つ 情 報 セキュリティ 責 任 者 に 報 告 することとなる なお 行 政 事 務 従 事 者 は 自 ら 違 反 した 場 合 に 限 らず 他 の 行 政 事 務 従 事 者 が 違 反 している 場 合 においても 迅 速 な 是 正 措 置 を 促 す 理 由 から 当 該 行 政 事 務 従 事 者 への 助 言 に 加 えて 情 報 セキュリティ 責 任 者 に 報 告 するなど 適 切 に 対 応 することが 求 められ る 遵 守 事 項 2.2.1(2)(b) 情 報 セキュリティ 関 係 規 程 への 重 大 な 違 反 について 情 報 セキュリティ 関 係 規 程 への 重 大 な 違 反 とは 当 該 違 反 により 府 省 庁 の 業 務 に 重 大 な 支 障 をきたすもの 又 はその 可 能 性 のあるものをいう 例 えば 機 密 性 の 極 めて 高 い 情 報 を 保 存 した 端 末 を 許 可 無 く 要 管 理 対 策 区 域 外 に 持 ち 出 し それを 紛 失 し 情 報 の 漏 えいが 発 生 し 行 政 事 務 の 遂 行 に 著 しく 支 障 を 来 してしまった 場 合 等 が 考 えら れる 情 報 セキュリティ 責 任 者 は 府 省 庁 において 情 報 セキュリティを 継 続 的 に 維 持 する ために 重 大 な 違 反 を 確 実 に 捕 捉 し 被 害 の 未 然 防 止 又 は 拡 大 防 止 のための 措 置 を 適 切 に 講 じさせるとともに 再 発 防 止 に 関 する 取 組 を 進 めることが 求 められる 遵 守 事 項 2.2.1(2)(b) 違 反 者 及 び 必 要 な 者 について 情 報 セキュリティ 関 係 規 程 への 重 大 な 違 反 があった 場 合 には 違 反 者 自 身 が 対 策 を 講 ずることは 当 然 であるが それ 以 外 の 必 要 な 者 として 措 置 を 義 務 付 けられるの は 情 報 システムセキュリティ 責 任 者 課 室 情 報 セキュリティ 責 任 者 及 び 区 域 情 報 セ キュリティ 責 任 者 等 の 当 該 規 程 の 実 施 に 責 任 を 有 する 者 が 挙 げられる 情 報 システム の 運 用 者 や 担 当 者 委 託 先 等 とも 協 力 し 情 報 セキュリティを 維 持 するために 必 要 な 措 置 を 講 ずる 必 要 がある 32

39 遵 守 事 項 2.2.1(2)(b) 情 報 セキュリティの 維 持 に 必 要 な 措 置 について 重 大 な 違 反 により 情 報 が 漏 えい 滅 失 き 損 し 又 は 情 報 システムの 利 用 に 支 障 を 来 した 場 合 早 期 解 決 拡 大 防 止 等 の 対 処 を 行 う 拡 大 防 止 としては 情 報 セキュリ ティ 関 係 規 程 について 再 周 知 の 徹 底 が 考 えられる 遵 守 事 項 2.2.1(2)(b) 最 高 情 報 セキュリティ 責 任 者 に 報 告 する について 報 告 を 受 けた 最 高 情 報 セキュリティ 責 任 者 は その 内 容 結 果 業 務 への 影 響 社 会 的 評 価 等 を 確 認 し 府 省 庁 全 体 として 再 発 防 止 を 徹 底 するなど 適 切 に 対 応 する 必 要 がある また 統 括 情 報 セキュリティ 責 任 者 は 同 様 の 違 反 が 多 発 している 可 能 性 の 有 無 を 考 慮 し 違 反 の 原 因 について 分 析 し 必 要 に 応 じて 情 報 セキュリティ 関 係 規 程 の 見 直 しを 含 めた 対 策 を 検 討 する 必 要 がある 33

40 2.2.2 例 外 措 置 目 的 趣 旨 情 報 セキュリティ 関 係 規 程 の 適 用 が 行 政 事 務 の 適 正 な 遂 行 を 著 しく 妨 げるなどの 理 由 に より 規 定 された 対 策 の 内 容 と 異 なる 代 替 の 方 法 を 採 用 すること 又 は 規 定 された 対 策 を 実 施 しないことを 認 めざるを 得 ない 場 合 がある このような 場 合 に 対 処 するために 例 外 措 置 の 手 続 を 定 めておく 必 要 がある 遵 守 事 項 (1) 例 外 措 置 手 続 の 整 備 (a) 最 高 情 報 セキュリティ 責 任 者 は 例 外 措 置 の 適 用 の 申 請 を 審 査 する 者 ( 以 下 許 可 権 限 者 という ) 及 び 審 査 手 続 を 定 めること (b) 統 括 情 報 セキュリティ 責 任 者 は 例 外 措 置 の 適 用 審 査 記 録 の 台 帳 を 整 備 し 許 可 権 限 者 に 対 して 定 期 的 に 申 請 状 況 の 報 告 を 求 めること 基 本 対 策 事 項 <2.2.2(1)(a) 関 連 > 2.2.2(1)-1 最 高 情 報 セキュリティ 責 任 者 は 例 外 措 置 について 以 下 を 含 む 手 順 を 定 めるこ と a) 例 外 措 置 の 許 可 権 限 者 b) 事 前 申 請 の 原 則 その 他 の 申 請 方 法 c) 審 査 項 目 その 他 の 審 査 方 法 申 請 者 の 情 報 ( 氏 名 所 属 連 絡 先 ) 例 外 措 置 の 適 用 を 申 請 する 情 報 セキュリティ 関 係 規 程 の 該 当 箇 所 ( 規 程 名 と 条 項 等 ) 例 外 措 置 の 適 用 を 申 請 する 期 間 例 外 措 置 の 適 用 を 申 請 する 措 置 内 容 ( 講 ずる 代 替 手 段 等 ) 例 外 措 置 により 生 じる 情 報 セキュリティ 上 の 影 響 と 対 処 方 法 例 外 措 置 の 適 用 を 終 了 した 旨 の 報 告 方 法 例 外 措 置 の 適 用 を 申 請 する 理 由 <2.2.2(1)(b) 関 連 > 2.2.2(1)-2 許 可 権 限 者 は 例 外 措 置 の 適 用 審 査 記 録 に 以 下 の 内 容 を 記 載 し 適 用 審 査 記 録 の 台 帳 として 保 管 するとともに 統 括 情 報 セキュリティ 責 任 者 へ 定 期 的 に 報 告 するこ と a) 審 査 した 者 の 情 報 ( 氏 名 役 割 名 所 属 連 絡 先 ) b) 申 請 内 容 申 請 者 の 情 報 ( 氏 名 所 属 連 絡 先 ) 例 外 措 置 の 適 用 を 申 請 する 情 報 セキュリティ 関 係 規 程 の 該 当 箇 所 ( 規 程 名 と 条 項 等 ) 34

41 例 外 措 置 の 適 用 を 申 請 する 期 間 例 外 措 置 の 適 用 を 申 請 する 措 置 内 容 ( 講 ずる 代 替 手 段 等 ) 例 外 措 置 の 適 用 を 終 了 した 旨 の 報 告 方 法 例 外 措 置 の 適 用 を 申 請 する 理 由 c) 審 査 結 果 の 内 容 許 可 又 は 不 許 可 の 別 許 可 又 は 不 許 可 の 理 由 例 外 措 置 の 適 用 を 許 可 した 情 報 セキュリティ 関 係 規 程 の 該 当 箇 所 ( 規 程 名 と 条 項 等 ) 例 外 措 置 の 適 用 を 許 可 した 期 間 許 可 した 措 置 内 容 ( 講 ずるべき 代 替 手 段 等 ) 例 外 措 置 を 終 了 した 旨 の 報 告 方 法 ( 解 説 ) 遵 守 事 項 2.2.2(1)(a) 例 外 措 置 の 適 用 の 申 請 を 審 査 する 者 について 例 外 措 置 の 適 用 の 申 請 を 受 けた 際 に 審 査 を 遅 滞 なく 実 施 できるように 許 可 権 限 者 を 定 め 審 査 手 続 を 整 備 しておく 必 要 がある 特 に 緊 急 を 要 して 申 請 される 場 合 は 遂 行 に 不 要 の 遅 滞 を 生 じさせずに 審 査 を 速 やかに 実 施 しなければならない そのため 申 請 の 内 容 に 応 じ 許 可 権 限 者 を 定 めておくことが 重 要 である 許 可 権 者 としては 最 高 情 報 セキュリティ 責 任 者 統 括 情 報 セキュリティ 責 任 者 情 報 セキュリティ 責 任 者 情 報 システムセキュリティ 責 任 者 情 報 システムセキュリティ 管 理 者 又 は 課 室 情 報 セキュリティ 責 任 者 等 を 充 てることが 想 定 される 35

42 遵 守 事 項 (2) 例 外 措 置 の 運 用 (a) 行 政 事 務 従 事 者 は 定 められた 審 査 手 続 に 従 い 許 可 権 限 者 に 規 定 の 例 外 措 置 の 適 用 を 申 請 すること ただし 行 政 事 務 の 遂 行 に 緊 急 を 要 し 当 該 規 定 の 趣 旨 を 充 分 尊 重 した 扱 いを 取 ることができる 場 合 であって 情 報 セキュリティ 関 係 規 程 の 規 定 とは 異 なる 代 替 の 方 法 を 直 ちに 採 用 すること 又 は 規 定 されている 方 法 を 実 施 しな いことが 不 可 避 のときは 事 後 速 やかに 届 け 出 ること (b) 許 可 権 限 者 は 行 政 事 務 従 事 者 による 例 外 措 置 の 適 用 の 申 請 を 定 められた 審 査 手 続 に 従 って 審 査 し 許 可 の 可 否 を 決 定 すること (c) 許 可 権 限 者 は 例 外 措 置 の 申 請 状 況 を 台 帳 に 記 録 し 統 括 情 報 セキュリティ 責 任 者 に 報 告 すること (d) 統 括 情 報 セキュリティ 責 任 者 は 例 外 措 置 の 申 請 状 況 を 踏 まえた 情 報 セキュリテ ィ 関 係 規 程 の 追 加 又 は 見 直 しの 検 討 を 行 い 最 高 情 報 セキュリティ 責 任 者 に 報 告 す ること 基 本 対 策 事 項 規 定 なし ( 解 説 ) 遵 守 事 項 2.2.2(2)(a) 例 外 措 置 の 適 用 を 申 請 について 行 政 事 務 従 事 者 は 定 められた 審 査 手 続 に 従 い 例 外 措 置 の 適 用 を 申 請 し 許 可 を 得 てから 例 外 措 置 を 講 ずることが 原 則 であるが 行 政 事 務 の 遂 行 に 緊 急 を 要 するなどの 場 合 であって 情 報 セキュリティ 関 係 規 程 の 規 定 内 容 とは 異 なる 代 替 の 方 法 を 直 ちに 採 用 すること 又 は 規 定 された 対 策 を 実 施 しないことが 不 可 避 のときは 事 後 速 やかに 届 け 出 ることが 必 要 である 行 政 事 務 従 事 者 は 例 外 措 置 の 適 用 を 希 望 する 場 合 には 当 該 例 外 措 置 を 適 用 した ときの 情 報 セキュリティ 上 の 影 響 を 検 討 分 析 する 必 要 がある その 上 で 例 外 措 置 の 適 用 が 必 要 であると 判 断 した 場 合 は その 影 響 を 低 減 させるための 補 完 措 置 を 提 案 し 適 用 の 申 請 を 行 う 必 要 がある 遵 守 事 項 2.2.2(2)(b) 例 外 措 置 の 適 用 の 申 請 審 査 について 許 可 権 限 者 は 例 外 措 置 の 適 用 の 申 請 を 適 切 に 審 査 しなければならない 審 査 に 当 たっては 例 外 措 置 の 適 用 を 許 可 した 場 合 の 情 報 セキュリティ 上 の 影 響 と 不 許 可 と した 場 合 の 行 政 事 務 遂 行 等 への 影 響 を 評 価 した 上 で その 判 断 を 行 う 必 要 がある 例 外 措 置 の 適 用 期 間 が 長 期 にわたる 場 合 等 においては 例 外 措 置 の 実 施 によるリス クが 変 化 する 可 能 性 を 踏 まえ 定 期 的 に 当 該 措 置 の 適 用 状 況 等 を 許 可 権 限 者 において 把 握 することも 重 要 である 遵 守 事 項 2.2.2(2)(c) 統 括 情 報 セキュリティ 責 任 者 に 報 告 について 統 括 情 報 セキュリティ 責 任 者 は 許 可 権 限 者 から 例 外 措 置 の 適 用 状 況 の 報 告 を 受 け る これは 遵 守 事 項 2.2.2(2)(d)で 情 報 セキュリティ 関 係 規 程 の 追 加 又 は 見 直 しの 検 討 36

43 を 行 うためである 遵 守 事 項 2.2.2(2)(d) 情 報 セキュリティ 関 係 規 程 の 追 加 又 は 見 直 しの 検 討 について 例 外 措 置 の 適 用 が 多 い 状 況 は 例 外 とはみなせないと 考 えるべきである その 場 合 には 代 替 手 段 の 導 入 を 含 め 情 報 セキュリティ 関 係 規 程 の 見 直 しを 検 討 する 必 要 が ある 37

44 2.2.3 教 育 目 的 趣 旨 情 報 セキュリティ 関 係 規 程 が 適 切 に 整 備 されているとしても その 内 容 が 行 政 事 務 従 事 者 に 周 知 されず これが 遵 守 されない 場 合 には 情 報 セキュリティ 水 準 の 向 上 を 望 むこと はできない このため 全 ての 行 政 事 務 従 事 者 が 情 報 セキュリティの 教 育 を 通 じ 情 報 セキュリティ 関 係 規 程 への 理 解 を 深 め 情 報 セキュリティ 対 策 を 適 切 に 実 施 することが 求 められる 遵 守 事 項 (1) 教 育 体 制 等 の 整 備 (a) 統 括 情 報 セキュリティ 責 任 者 は 情 報 セキュリティ 対 策 に 係 る 教 育 について 対 策 推 進 計 画 に 基 づき 教 育 実 施 計 画 を 策 定 し その 実 施 体 制 を 整 備 すること 基 本 対 策 事 項 <2.2.3(1)(a) 関 連 > 2.2.3(1)-1 統 括 情 報 セキュリティ 責 任 者 は 行 政 事 務 従 事 者 の 役 割 に 応 じて 教 育 すべき 内 容 を 検 討 し 教 育 のための 資 料 を 整 備 すること 2.2.3(1)-2 統 括 情 報 セキュリティ 責 任 者 は 行 政 事 務 従 事 者 が 毎 年 度 最 低 1 回 は 教 育 を 受 講 できるように 教 育 実 施 計 画 を 立 案 するとともに その 実 施 体 制 を 整 備 すること 2.2.3(1)-3 統 括 情 報 セキュリティ 責 任 者 は 行 政 事 務 従 事 者 の 着 任 又 は 異 動 後 に 3か 月 以 内 に 受 講 できるように その 実 施 体 制 を 整 備 すること ( 解 説 ) 基 本 対 策 事 項 2.2.3(1)-1 教 育 すべき 内 容 を 検 討 について 教 育 の 内 容 については 府 省 庁 の 実 状 や 情 報 セキュリティインシデントの 発 生 状 況 等 情 報 セキュリティ 環 境 の 変 化 等 を 踏 まえ 幅 広 い 角 度 から 検 討 する 必 要 がある また 行 政 事 務 従 事 者 が 対 策 内 容 を 十 分 に 理 解 できるものとする 必 要 があり そ のためには 網 羅 的 な 資 料 ではなく 理 解 しておくべき 事 項 に 制 限 した 資 料 を 教 育 に 用 いるべきである 例 えば 情 報 セキュリティ 関 係 規 程 の 教 育 資 料 の 作 成 においては 遵 守 事 項 を 遵 守 すべき 者 ごとに 整 理 し 行 政 事 務 従 事 者 が 遵 守 する 必 要 のない 事 項 は 含 まないように 配 慮 すべきである なお ウェブサイトの 閲 覧 に 係 るログが 取 得 されており 必 要 に 応 じて 当 該 ログを 調 査 することがあること 等 について 行 政 事 務 従 事 者 に 周 知 することで 違 反 の 抑 止 効 果 が 期 待 できることから そのような 事 項 についても 教 育 内 容 に 含 めることも 考 えら れる また 情 報 セキュリティ 関 係 部 署 の 者 や CYMAT 及 び CSIRT に 属 する 職 員 に 対 して 情 報 セキュリティに 関 する 知 識 及 び 技 能 を 向 上 させるため 研 修 及 び 実 務 を 模 擬 した 38