政 府 機 関 統 一 基 準 群 の 策 定 の 目 的 世 界 最 先 端 のIT( 情 報 技 術 ) 国 家 にふさわしい 情 報 セキュリティ 水 準 を 目 指 して 統 一 基 準 群 を 運 用 かつての 各 府 省 庁 の 現 状 ( 統 一 基 準 運 用 前 の 状 態 ) 各

Transcription

1 DM 政府機関の情報セキュリティ対策のための 統一基準群 について H24年度の主な改定内容の解説を含む 内閣官房情報セキュリティセンター 1

2 政 府 機 関 統 一 基 準 群 の 策 定 の 目 的 世 界 最 先 端 のIT( 情 報 技 術 ) 国 家 にふさわしい 情 報 セキュリティ 水 準 を 目 指 して 統 一 基 準 群 を 運 用 かつての 各 府 省 庁 の 現 状 ( 統 一 基 準 運 用 前 の 状 態 ) 各 省 庁 基 準 は バラバラ 政 府 機 関 統 一 基 準 群 の 運 用 バラバラ 解 消 1 各 府 省 庁 でバラバラな 情 報 セキュリティ 対 策 を 統 一 1 各 府 省 庁 の 情 報 セキュリティ 水 準 の 向 上 情 報 セ キ ュ リ テ ィ 水 準 各 府 省 庁 の 対 策 の 統 一 化 整 合 化 と 水 準 の 向 上 ( 現 在 ) 最 低 限 求 められる 水 準 現 在 の 最 低 水 準 各 省 庁 基 準 は 穴 空 き 本 質 的 原 因 専 門 的 人 材 不 足 政 府 機 関 統 一 基 準 群 の 運 用 穴 が 埋 まる 2 各 府 省 庁 に 具 体 的 な 対 策 を 適 用 しやすい 形 で 提 示 迅 速 的 確 3 技 術 環 境 の 変 化 に 伴 う 情 報 セキュリティ 対 策 の 要 求 水 準 の 高 度 化 にも 迅 速 的 確 に 対 応 ( 現 在 ) ( 今 後 ) 情 報 セ キ ュ リ テ ィ 水 準 A 省 庁 B 省 庁 C 省 庁 D 省 庁 E 省 庁 F 省 庁 政 府 機 関 統 一 基 準 に ( 今 後 ) 準 拠 した 見 直 し A 省 庁 B 省 庁 C 省 庁 D 省 庁 E 省 庁 F 省 庁 2 政 府 機 関 統 一 基 準 による 省 庁 対 策 基 準 の 補 完 情 報 セキュリティ 対 策 の 不 備 (ここが 足 りない 不 十 分 である) 省 庁 対 策 基 準 省 庁 対 策 基 準 A 省 庁 政 府 機 関 統 一 基 準 に 準 拠 した 見 直 し より 高 い 水 準 を 確 保 水 準 の 底 上 げ A 省 庁 2

3 政 府 機 関 統 一 基 準 群 と 省 庁 対 策 基 準 との 関 係 など 政 府 ポリシー 情 報 セキュリティ 政 策 会 議 決 定 全 体 を 統 一 基 準 群 府 省 庁 統 一 規 範 省 庁 ポリシー CISO 会 議 決 定 統 一 管 理 基 準 統 一 基 準 運 用 指 針 統 一 技 術 基 準 省 庁 基 本 方 針 省 庁 対 策 基 準 統 一 管 理 基 準 独 自 統 一 技 術 基 準 に 準 拠 基 準 府 省 庁 の 特 性 NISCが 提 供 個 別 マニュアル 群 省 庁 実 施 手 順 体 系 内 容 決 定 機 関 1 統 一 規 範 情 報 セキュリティ 基 本 方 針 政 策 会 議 2 統 一 基 準 運 用 指 針 情 報 セキュリティマネジメントの 指 針 政 策 会 議 3 統 一 管 理 基 準 情 報 セキュリティポリシー ( 基 本 編 ) 政 策 会 議 府 省 庁 は 省 庁 ポリシー 等 に 基 づき 情 報 セキュリティ 対 策 を 実 施 4 統 一 技 術 基 準 情 報 セキュリティポリシー ( 技 術 編 ) CISO 等 連 絡 会 議 統 一 技 術 基 準 については 各 府 省 庁 において 技 術 的 対 策 を 柔 軟 に 講 じられるよう 統 一 基 準 と 決 裁 を 分 離 し より 機 動 的 な 運 用 を 可 能 としている 3

4 統 一 管 理 基 準 及 び 技 術 基 準 の 構 成 1 主 たる 対 象 者 統 一 管 理 基 準 主 たる 対 象 者 第 1.1 部 総 則 第 1.2 部 組 織 と 体 制 の 整 備 第 1.5 部 情 報 システムについての 基 本 的 な 対 策 第 1.3 部 情 報 についての 対 策 第 1.4 部 情 報 処 理 についての 対 策 統 一 技 術 基 準 第 2.1 部 総 則 第 2.2 部 情 報 セキュリティ 要 件 の 明 確 化 に 基 づく 対 策 第 2.3 部 情 報 システムの 構 成 要 素 についての 対 策 第 2.4 部 個 別 事 項 についての 対 策 責 任 者 全 従 事 者 情 報 システム 関 係 者 ( 各 事 項 による) 4

5 統 一 管 理 基 準 及 び 技 術 基 準 の 構 成 2 業 務 に 関 係 する 概 ねの 頻 度 統 一 管 理 基 準 概 ねの 頻 度 第 1.1 部 総 則 第 1.2 部 組 織 と 体 制 の 整 備 第 1.5 部 情 報 システムについての 基 本 的 な 対 策 第 1.3 部 情 報 についての 対 策 第 1.4 部 情 報 処 理 についての 対 策 統 一 技 術 基 準 第 2.1 部 総 則 第 2.2 部 情 報 セキュリティ 要 件 の 明 確 化 に 基 づく 対 策 第 2.3 部 情 報 システムの 構 成 要 素 についての 対 策 第 2.4 部 個 別 事 項 についての 対 策 年 次 日 常 業 務 情 報 システム のライフサイクル 毎 段 階 毎 ( 各 事 項 による) 5

6 情 報 の 対 象 範 囲 適 用 対 象 範 囲 : 情 報 システムに 格 納 されている 情 報 情 報 システムに 関 係 がある 以 下 の 情 報 紙 に 記 載 された 入 出 力 の 情 報 情 報 システム 外 部 の 電 磁 的 記 録 媒 体 に 記 録 された 情 報 情 報 入 力 前 の 情 報 情 報 システム 適 用 対 象 入 力 された 情 報 入 力 電 子 化 した 際 に 情 報 格 付 されたのと 同 等 に 適 切 に 管 理 される 必 要 がある 出 力 された 情 報 ( 印 刷 物 媒 体 等 ) 出 力 すべての 出 力 物 は 対 象 6

7 政 府 機 関 統 一 基 準 群 の 適 用 対 象 範 囲 本 統 一 基 準 群 だけで すべての 情 報 セキュリティ 対 策 を 網 羅 する わけではありません 1 国 家 公 務 員 法 等 による 守 秘 義 務 の 適 用 範 囲 関 連 法 令 等 2 各 府 省 庁 の 定 める 情 報 セキュリティ 対 策 基 準 の 範 囲 その 他 規 定 等 3 政 府 機 関 統 一 基 準 群 の 適 用 範 囲 7

8 H24 年 度 主 な 改 定 内 容 ( 平 成 24 年 4 月 26 日 情 報 セキュリティ 政 策 会 議 決 定 ) 統 一 基 準 管 理 / 技 術 基 準 の 節 1. 標 的 型 攻 撃 への 対 応 情 報 システムの 構 築 運 用 段 階 での 標 的 型 攻 撃 対 策 被 害 の 拡 大 防 止 措 置 を 求 める 適 切 な 管 理 者 権 限 管 理 のための 規 定 を 追 記 各 府 省 庁 に 組 織 内 CSIRTの 体 制 整 備 を 求 める 東 日 本 大 震 災 の 教 訓 の 反 映 情 報 セキュリティ 確 保 の 観 点 から 各 府 省 庁 における 業 務 継 続 計 画 及 び 情 報 システム 運 用 継 続 計 画 と 省 庁 対 策 基 準 との 整 合 的 運 用 の 確 保 を 求 める 他 3. 運 用 の 実 効 性 の 向 上 調 達 の 際 のセキュリティ 要 件 の 決 定 にSBDマニュアル の 活 用 又 はそれと 同 等 以 上 の 検 討 を 行 うことを 求 め る 基 本 遵 守 事 項 と 強 化 遵 守 事 項 の 区 分 を 廃 止 して 遵 守 事 項 に 一 本 化 全 般 4. 情 報 技 術 利 用 環 境 の 変 化 への 対 応 情 報 取 扱 区 域 の 概 念 を 新 たに 定 め クラス 別 の 物 理 空 間 の 管 理 を 行 う IPv6 技 術 の 利 用 のための 対 策 を 追 加 情 報 セキュリティ 対 策 の 対 象 範 囲 を 従 前 の モバイル PC から スマートフォン タブレット 端 末 を 含 む モバ イル 端 末 に 拡 大 等 他 8

9 統 一 管 理 基 準 及 び 技 術 基 準 の 各 部 の 概 要 統 一 管 理 基 準 第 1.1 部 総 則 第 1.2 部 組 織 と 体 制 の 整 備 第 1.3 部 情 報 についての 対 策 第 1.4 部 情 報 処 理 についての 対 策 第 1.5 部 情 報 システムについての 基 本 的 な 対 策 統 一 技 術 基 準 第 2.1 部 総 則 第 2.2 部 セキュリティ 要 件 の 明 確 化 に 基 づく 対 策 第 2.3 部 情 報 システムの 構 成 要 素 についての 対 策 第 2.4 部 個 別 事 項 についての 対 策 9

10 本 統 一 基 準 及 び 統 一 基 準 の 使 い 方 対 策 レベルの 設 定 に 係 る 変 更 点 H24 年 度 改 定 内 容 従 来 : 対 策 レベルの 強 度 に 段 階 を 設 ける( 基 本 遵 守 事 項 と 強 化 遵 守 事 項 ) 変 更 後 : 対 策 レベルの 強 度 は 一 律 (すべて 遵 守 事 項 ) 基 本 遵 守 事 項 対 象 範 囲 必 要 性 の 有 無 の 検 討 対 策 の 実 施 保 護 すべき 情 報 とこれを 取 り 扱 う 情 報 システム - 必 須 として 実 施 強 化 遵 守 事 項 特 に 重 要 な 情 報 とこれを 取 り 扱 う 情 報 システム 必 要 対 策 が 必 要 と 判 断 した 場 合 に 実 施 対 象 範 囲 保 護 すべき 情 報 とこれを 取 り 扱 う 情 報 システム 必 要 性 の 有 無 の 検 討 必 要 遵 守 事 項 ( 従 来 の 強 化 遵 守 事 項 ) の 例 : 情 報 システムセキュリティ 責 任 者 は 想 定 される 不 正 プログラムの 感 染 経 路 に おいて 複 数 の 種 類 のアンチウイルスソフトウェア 等 を 組 み 合 わせて 導 入 する 必 要 性 の 有 無 を 検 討 し 必 要 と 認 めたときは 当 該 措 置 を 講 ずること 今 後 は 従 来 の 強 化 遵 守 事 項 について 対 策 の 必 要 性 の 有 無 の 検 討 を 漏 れなく 実 施 ( 自 己 点 検 においても 確 認 ) なお 対 策 の 実 施 については 従 来 の 考 え 方 を 踏 襲 し 対 策 が 必 要 と 判 断 した 場 合 に 実 施 10

11 情 報 の 格 付 及 び 取 扱 制 限 の 種 類 情 報 の 格 付 電 磁 的 記 録 Cf. 書 面 については 機 密 性 の 観 点 から 漠 然 とした 情 報 の 重 要 度 の 観 点 ではなく 機 密 性 完 全 性 可 用 性 の3つの 観 点 毎 に 事 故 発 生 時 の 影 響 度 で 格 付 を 行 い 対 策 を 講 じる 1 機 密 性 完 全 性 可 用 性 の3つの 観 点 2 格 付 の 基 準 3 取 扱 制 限 の 基 準 4 格 付 及 び 取 扱 制 限 の 指 定 並 びに 明 示 等 の 規 定 すべての 行 政 事 務 従 事 者 は 各 府 省 庁 の 定 めた これらの 基 準 と 手 順 により 格 付 と 明 示 をしなければならない 11

12 情 報 の 格 付 及 び 取 扱 制 限 の 種 類 機 密 性 完 全 性 可 用 性 とは 機 密 性 完 全 性 可 用 性 とは 情 報 セキュリティの3 大 要 素 で これを 守 ること が 情 報 セキュリティの 目 的 です 情 報 セキュリティ の 三 要 素 機 密 性 (Confidentiality) 完 全 性 (Integrity) 認 められた 者 しかその 情 報 にアクセスできないこと 情 報 が 破 壊 改 ざん 消 去 さ れないこと 可 用 性 (Availability) 障 害 や 妨 害 が 無 く 情 報 シ ステムを 使 えること 12

13 情 報 の 格 付 及 び 取 扱 制 限 の 種 類 格 付 と 取 扱 制 限 (Classification と Marking) 統 一 基 準 を 踏 まえた 各 府 省 庁 個 別 の 指 定 必 須 の 指 定 格 付 によって 本 統 一 基 準 に 含 まれる 遵 守 事 項 が 選 択 されて 対 策 内 容 が 定 まる 機 密 性 2 機 密 性 2 行 政 事 務 従 事 者 限 り 保 存 期 間 :3 年 行 政 事 務 従 事 者 限 り 保 存 期 間 :3 年 内 閣 官 房 省 副 長 官 補 付 課 ( 作 成 : 行 政 太 郎 ) 各 府 省 庁 個 別 の 指 定 任 意 の 指 定 取 扱 制 限 の 指 定 によって 各 府 省 庁 が 定 める 取 扱 制 限 基 準 により 対 策 内 容 が 決 まる A 対 業 策 務 の 企 実 画 施 説 について 明 書 X xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx (HIJKLMN) X xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 1. 目 的 (1) yyyyyyyyyyyyyyyyyyyyyyyyyyyyy (2) zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz 2. 内 容 aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa 完 全 性 1 可 用 性 1の 明 示 については 省 略 している 明 示 の 省 略 については 事 前 に 取 り 決 め 規 定 等 で 周 知 しましょう 格 付 及 び 取 扱 制 限 を 指 定 するための 判 断 を 誰 が 指 定 判 断 者 どのように 判 断 基 準 方 法 実 施 するのかについて 各 府 省 庁 が 格 付 及 び 取 扱 制 限 の 基 準 に 含 めて 定 める 13

14 情 報 の 格 付 及 び 取 扱 制 限 の 定 義 と 種 類 格 付 け 分 類 基 準 取 扱 制 限 取 扱 制 限 の 種 類 指 定 方 法 (*1) 機 密 性 3 情 報 秘 密 文 書 に 相 当 する 機 密 性 を 要 する 情 報 例 ) 複 製 禁 止 配 付 禁 止 機 密 性 2 情 報 暗 号 化 必 須 秘 密 文 書 に 相 当 する 機 密 性 等 は 要 しないが 漏 えいにより 国 民 の 権 利 が 侵 害 され 又 は 行 政 事 務 の 遂 行 に 支 障 を 及 ぼすおそれがある 情 報 機 密 性 1 情 報 機 密 性 2 情 報 又 は 機 密 性 3 情 報 以 外 の 情 報 機 密 性 2 情 報 及 び 機 密 性 3 情 報 を 要 機 密 情 報 といいます 格 付 け 分 類 基 準 取 扱 制 限 完 全 性 2 情 報 改 ざん 誤 びゅう 又 は 破 損 に 例 ) より 国 民 の 権 利 が 侵 害 され 年 月 日 まで 保 存 又 は 行 政 事 務 の 適 確 な 遂 行 に 支 障 ( 軽 微 なものを 除 く ) を 及 ぼすおそれがある 情 報 完 全 性 1 情 報 完 全 性 2 情 報 以 外 の 情 報 完 全 性 2 情 報 を 要 保 全 情 報 といいます 格 付 け 分 類 基 準 取 扱 制 限 可 用 性 についての 取 扱 制 限 可 用 性 2 情 報 滅 失 紛 失 又 は 当 該 情 報 が 利 用 不 可 能 であることにより 国 民 の 権 利 が 侵 害 され 又 は 行 政 事 務 の 安 定 的 な 遂 行 に 支 障 ( 軽 微 なものを 除 く )を 及 ぼすおそれがある 情 報 例 ) 1 時 間 以 内 復 旧 機 密 性 についての 取 扱 制 限 複 製 について 複 製 禁 止 複 製 要 許 可 配 付 について 配 付 禁 止 配 付 要 許 可 暗 号 化 について 暗 号 化 必 須 保 存 時 暗 号 化 必 須 通 信 時 暗 号 化 必 須 (*2) 印 刷 について 印 刷 禁 止 印 刷 要 許 可 転 送 について 転 送 禁 止 転 送 要 許 可 転 記 について 転 記 禁 止 転 記 要 許 可 再 利 用 について 再 利 用 禁 止 再 利 用 要 許 可 送 信 について 送 信 禁 止 送 信 要 許 可 参 照 者 の 制 限 について 限 り(*3) 完 全 性 についての 取 扱 制 限 取 扱 制 限 の 種 類 指 定 方 法 保 存 期 間 について まで 保 存 (*1) 保 存 場 所 について において 保 存 (*2) 書 換 えについて 書 換 禁 止 書 換 要 許 可 削 除 について 削 除 禁 止 削 除 要 許 可 保 存 期 間 満 了 後 の 保 存 期 間 満 了 後 要 廃 棄 措 置 について 取 扱 制 限 の 種 類 指 定 方 法 復 旧 までに 許 容 できる 時 間 以 内 復 旧 (*1) について 保 存 場 所 について において 保 存 (*2) 可 用 性 1 情 報 可 用 性 2 情 報 以 外 の 情 報 可 用 性 2 情 報 を 要 安 定 情 報 といいます 14

15 統 一 管 理 基 準 及 び 技 術 基 準 の 各 部 の 概 要 統 一 管 理 基 準 第 1.1 部 総 則 第 1.2 部 組 織 と 体 制 の 整 備 第 1.3 部 情 報 についての 対 策 第 1.4 部 情 報 処 理 についての 対 策 第 1.5 部 情 報 システムについての 基 本 的 な 対 策 統 一 技 術 基 準 第 2.1 部 総 則 第 2.2 部 セキュリティ 要 件 の 明 確 化 に 基 づく 対 策 第 2.3 部 情 報 システムの 構 成 要 素 についての 対 策 第 2.4 部 個 別 事 項 についての 対 策 15

16 組 織 体 制 の 整 備 組 織 体 制 イメージ 図 今 年 度 改 定 により 追 加 16

17 役 割 の 割 当 て 統 一 基 準 における 役 割 の 兼 務 の 禁 止 申 請 禁 止 許 可 申 請 者 と 許 可 権 限 者 ( 承 認 権 限 者 ) 監 査 実 施 者 と 被 監 査 者 ( 監 査 を 受 ける 者 ) 課 室 情 報 セキュリティ 責 任 者 許 可 承 認 上 記 の 者 が 同 一 ( 兼 務 )の 場 合 は 情 報 セキュリティが 確 保 されていることが 確 認 証 明 されたことにならないので 注 意 が 必 要 許 可 権 限 者 の 上 司 が 承 認 許 可 すべきケース 許 可 権 限 者 の 職 務 上 の 権 限 等 から 許 可 の 判 断 を 行 うことが 不 適 な 場 合 許 可 権 限 者 の 上 司 であっても 自 ら 申 請 し 許 可 することは 禁 止 となるので 注 意 が 必 要 例 事 務 次 官 が 申 請 する 場 合 職 務 上 の 権 限 申 請 申 請 許 可 承 認 事 務 次 官 大 臣 最 高 情 報 セキュリティ 責 任 者 等 職 位 権 限 が 同 等 以 上 の 者 課 室 情 報 セキュリティ 責 任 者 この 場 合 課 室 情 報 セキュリティ 責 任 者 が 許 可 の 判 断 を 行 うことは 不 適 例 示 です 各 府 省 庁 の 組 織 や 職 位 に 応 じて 適 切 に 判 断 してください 17

18 違 反 と 例 外 措 置 情 報 セキュリティ 関 係 規 程 に 対 する 例 外 措 置 実 施 適 切 な 情 報 セキュリティの 確 保 情 報 セキュリティ 関 係 規 程 ( 実 施 すべき 対 策 ) 例 外 措 置 の 例 行 政 事 務 の 適 正 な 遂 行 を 著 しく 妨 げる 等 の 理 由 に より 実 施 困 難 不 適 予 め 定 められた 例 外 措 置 手 続 代 替 策 による 情 報 セキュリティの 確 保 又 は 情 報 セキュリティリスクの 受 容 認 証 が 必 要 であるにもかかわらず 認 証 機 能 を 備 えていない 情 報 システムがあるが 来 年 度 に 廃 棄 する 予 定 であることから 本 年 度 のみ (リスクを 容 認 しながら) 認 証 をしないで 運 用 す る 情 報 セキュリティを 維 持 しつつ 柔 軟 な 対 応 を 実 施 18

19 違 反 と 例 外 措 置 情 報 セキュリティ 関 係 規 程 に 対 する 例 外 措 置 申 請 者 ( 行 政 事 務 従 事 者 ) 例 外 措 置 申 請 審 査 結 果 通 知 申 請 内 容 申 請 者 の 情 報 規 程 の 該 当 箇 所 ( 規 定 名 と 条 項 ) 申 請 期 間 申 請 理 由 申 請 する 措 置 内 容 ( 代 替 手 段 等 ) 許 可 権 限 者 報 告 審 査 結 果 審 査 者 の 情 報 許 可 / 不 許 可 の 別 理 由 許 可 した 規 程 の 該 当 箇 所 ( 規 定 名 と 条 項 ) 許 可 期 間 許 可 した 措 置 ( 代 替 手 段 等 ) 最 高 情 報 セキュリティ 責 任 者 遵 守 事 項 情 報 セキュリティ 委 員 会 は 事 前 に 許 可 権 限 者 ( 例 外 措 置 の 適 用 の 申 請 を 審 査 する 者 ) を 定 め 審 査 手 続 ( 例 外 措 置 手 順 )を 整 備 すること 例 外 措 置 手 順 書 ( 策 定 手 引 書 ひな 形 申 請 様 式 )の 公 開 URL : 19

20 情 報 セキュリティ 対 策 の 教 育 情 報 セキュリティ 対 策 水 準 の 向 上 情 報 セキュリティ 関 係 規 程 の 適 正 な 策 定 情 報 セキュリティ 対 策 に 係 る 教 育 学 習 情 報 セキュリティ 関 係 規 程 に 関 する 理 解 を 深 める 情 報 セキュリティ 対 策 の 実 効 性 の 向 上 に 寄 与 情 報 セキュリティ 対 策 の 適 切 な 実 施 実 施 主 体 遵 守 事 項 状 況 教 育 回 数 又 は 時 期 統 括 情 報 セキュリティ 責 任 者 情 報 セキュリティ 関 係 規 程 ( 情 報 セキュ リティ 対 策 )の 啓 発 すること 通 常 最 低 年 1 回 受 講 課 室 情 報 セキュリティ 責 任 者 行 政 事 務 従 事 者 に 対 して 情 報 セキュ リティ 教 育 を 受 講 させること 着 任 / 異 動 3か 月 以 内 に 受 講 行 政 事 務 従 事 者 情 報 セキュリティ 教 育 を 受 講 すること 教 育 受 講 は 義 務 です! 20

21 障 害 事 故 等 の 対 処 (CSIRT 含 む) 情 報 セキュリティに 関 する 障 害 等 が 発 生 した 場 合 には 早 急 にその 状 況 を 検 出 し 被 害 の 拡 大 を 防 ぎ 回 復 のための 対 策 を 講 ずる 必 要 があります 事 前 準 備 連 絡 体 制 対 処 手 順 事 前 訓 練 障 害 事 故 等 の 発 生 報 告 手 順 に 基 づく 報 告 応 急 措 置 発 見 者 ( 行 政 事 務 従 事 者 ) 応 急 措 置 復 旧 関 係 部 門 への 連 絡 応 急 措 置 障 害 事 故 等 からの 復 旧 指 示 勧 告 障 害 事 故 等 に 対 応 する 責 任 者 対 応 の 記 録 原 因 調 査 再 発 防 止 原 因 調 査 再 発 防 止 策 の 策 定 情 報 セキュリティ 責 任 者 報 告 再 発 防 止 策 の 指 示 最 高 情 報 セキュリティ 責 任 者 報 告 応 急 措 置 復 旧 を 迅 速 に 実 施 することが 重 要! ( 次 項 で 詳 細 に 説 明 ) 21

22 障 害 事 故 等 の 対 処 (CSIRT 含 む) H24 年 度 改 定 内 容 CSIRT(Computer Security Incident Response Team) 設 置 の 趣 旨 障 害 事 故 等 の 対 処 体 制 の 整 備 - 障 害 事 故 等 の 情 報 の 集 約 及 び 連 絡 窓 口 の 一 元 化 明 確 化 - 障 害 事 故 に 対 応 する 責 任 者 への 権 限 移 譲 ( 応 急 措 置 の 迅 速 化 ) - 府 省 庁 内 外 との 情 報 連 携 組 織 的 な 専 門 スキルの 維 持 向 上 障 害 事 故 等 発 生 時 の 報 告 手 順 のイメージ 発 見 者 ( 行 政 事 務 従 事 者 ) 連 絡 障 害 事 故 等 に 対 応 する 責 任 者 連 絡 最 高 情 報 セキュリティ 責 任 者 応 急 措 置 連 絡 連 絡 窓 口 連 絡 指 示 勧 告 連 絡 関 係 者 広 報 部 門 外 部 関 係 機 関 (NISC 等 ) 障 害 事 故 発 生 関 係 者 課 室 情 報 セキュリティ 責 任 者 情 報 セキュリティ 責 任 者 情 報 システムセキュリティ 責 任 者 等 連 絡 指 示 関 係 者 システム 運 用 事 業 者 等 必 須 状 況 必 要 に 応 じて 統 括 情 報 セキュリティ 責 任 者 が 報 告 手 順 を 定 め 全 行 政 事 務 従 事 者 に 周 知 する 22

23 情 報 セキュリティ 対 策 の 自 己 点 検 自 己 点 検 の 目 的 点 検 者 は 情 報 セキュリティ 関 係 規 程 に 準 拠 した 運 用 を 行 っているか 否 かを 自 ら 点 検 する 点 検 者 は 各 自 の 自 己 点 検 結 果 に 基 づき 情 報 セキュリティ 対 策 の 改 善 及 び 情 報 セキュ リティ 意 識 の 向 上 につなげる 組 織 は 自 己 点 検 結 果 を 全 体 として 評 価 し 情 報 セキュリティ 対 策 の 改 善 につなげる 最 高 情 報 セキュリティ 責 任 者 自 己 点 検 のサイクル 1 年 度 計 画 の 策 定 実 施 者 統 括 情 報 セキュリティ 責 任 者 自 己 点 検 票 自 己 点 検 票 情 報 情 セキュリティ 報 セキュリティ 責 セキュリティ 任 責 者 任 者 自 己 点 検 票 自 己 点 検 票 情 報 情 システム 報 システム システム セキュリティ 責 セキュリティ 任 責 者 任 者 報 告 自 ら 実 施 報 告 課 室 課 情 室 報 情 報 セキュリティ セキュリティ 責 セキュリティ 任 責 者 任 者 2 実 施 に 関 する 準 備 3 実 施 の 指 示 実 施 4 結 果 評 価 報 告 5 全 体 評 価 改 善 自 ら 実 施 情 報 セキュリティ 責 任 者 情 報 セキュリティ 責 任 者 行 政 事 務 従 事 者 情 報 セキュリティ 責 任 者 統 括 情 報 セキュリティ 責 任 者 最 高 情 報 セキュリティ 責 任 者 自 己 点 検 票 自 己 点 検 票 行 政 行 事 政 務 事 従 務 事 従 者 事 者 報 告 自 己 点 検 票 自 己 点 検 票 行 政 行 事 政 務 事 従 務 事 従 者 事 者 報 告 自 ら 実 施 23

24 情報セキュリティ対策の監査 情報セキュリティ監査実施者の監査における確認事項 ①省庁対策基準が統一管理基準及び統一技術基準に準拠していること ②実施手順が省庁対策基準に準拠していること ③自己点検の適正性の確認を行う等により 被監査部門における実際の運用が情報セキュリティ関係規程に準拠していること 24 Copyright Ｃ 2012内閣官房情報セキュリティセンター(

25 外 部 委 託 外 部 委 託 における 情 報 セキュリティ 対 策 情 報 処 理 業 務 を 委 託 する 場 合 自 府 省 庁 が 委 託 先 における 情 報 処 理 を 直 接 管 理 することができ ないため 情 報 の 機 密 性 完 全 性 及 び 可 用 性 が 損 なわれるリスクが 増 大 します このため 情 報 処 理 業 務 を 外 部 委 託 する 時 には 委 託 先 においても 自 府 省 庁 基 準 と 同 等 の 対 策 を 実 施 させるために 委 託 先 への 要 求 事 項 を 明 確 にする 必 要 があります 契 約 時 < 可 否 の 判 断 > < 調 達 時 の 手 続 > < 契 約 時 の 手 続 > 外 部 委 託 業 者 実 施 終 了 時 情 報 システム セキュリティ 責 任 者 < 実 施 中 の 手 続 > < 終 了 時 の 手 続 > 外 部 委 託 とは ソフトウェア 開 発 (プログラム 作 成 システム 開 発 等 ) 情 報 処 理 ( 統 計 集 計 データエントリー 媒 体 変 換 等 ) 賃 貸 借 調 査 研 究 ( 調 査 研 究 検 査 等 ) 業 務 の 一 部 又 は 全 部 を 府 省 庁 外 の 者 に 請 け 負 わせる ことをいいます ( 参 考 資 料 アウトソーシングに 関 する 情 報 セキュリティ 対 策 ガイダンス_ 経 済 産 業 省 ) ( 参 考 ) 外 部 委 託 における 情 報 セキュリティ 対 策 実 施 規 程 策 定 手 引 書 クラウドサービス 等 の 約 款 による 情 報 処 理 サービス を 利 用 する 際 の 配 慮 事 項 等 も 記 載 25

26 外 部 委 託 外 部 委 託 における 情 報 セキュリティ 対 策 可 否 の 判 断 情 報 セキュリティ 確 保 の 観 点 から 業 務 を 外 部 委 託 により 行 うことの 可 否 を 判 断 します 調 達 時 の 手 続 調 達 条 件 委 託 先 の 選 定 基 準 及 び 委 託 先 に 行 わせる 事 項 に 情 報 セキュリティ 確 保 のた めの 事 項 を 含 めます 契 約 時 の 手 続 契 約 において 定 める 委 託 元 及 び 委 託 先 双 方 の 義 務 に 情 報 セキュリティ 確 保 のための 事 項 を 含 めます 実 施 時 の 手 続 契 約 で 定 めた 情 報 セキュリティ 確 保 のための 義 務 を 委 託 元 及 び 委 託 先 双 方 で 履 行 します 納 品 検 収 時 の 手 続 外 部 委 託 した 業 務 の 終 了 時 に 納 品 に 関 する 検 収 手 続 きにおいて 契 約 で 定 めた 情 報 セ キュリティ 確 保 のための 義 務 を 委 託 先 が 履 行 したことを 確 認 します 26

27 BCP H24 年 度 改 定 内 容 ( 業 務 継 続 計 画 及 び 情 報 システム 運 用 継 続 計 画 との 整 合 的 運 用 の 確 保 ) 業 務 継 続 計 画 情 報 システム 運 用 継 続 計 画 整 合 省 庁 対 策 基 準 業 務 継 続 計 画 等 の 適 切 な 運 用 + 情 報 セキュリティの 確 保 主 な 遵 守 事 項 1 全 ての 情 報 システムについて 業 務 継 続 計 画 及 び 情 報 システム 運 用 継 続 計 画 との 関 係 の 有 無 を 検 討 する 関 係 がある 場 合 2 整 合 的 運 用 が 可 能 となる 措 置 を 実 施 通 常 時 から 実 施 する 対 策 : - 執 務 室 等 において 不 特 定 者 の 出 入 りを 想 定 した 対 策 耐 震 対 策 等 事 態 発 生 に 備 えた 対 策 : - 業 務 継 続 だけでなく 情 報 セキュリティの 観 点 も 加 えた 実 施 手 順 の 整 備 等 中 央 省 庁 における 情 報 システム 運 用 継 続 計 画 ガイドライン( 第 2 版 )の 公 開 URL 27

28 情 報 取 扱 区 域 クラス 情 報 取 扱 区 域 とは それ ぞれの 府 省 庁 の 内 外 にお いて 情 報 を 取 り 扱 う 区 域 ( ) 従 来 の 執 務 室 やサーバ ルームの 内 部 といった 安 全 区 域 の 概 念 を 拡 張 クラス とは 情 報 取 扱 区 域 を 求 める 対 策 の 基 準 ごと に 区 分 したもの ( ) 一 般 的 に セキュリティ ゲート 守 衛 より 内 側 の 執 務 室 電 算 機 室 会 議 室 廊 下 ロビー 等 の 各 区 域 をク ラス1~3( 要 管 理 対 策 区 域 )に 区 分 し それより 外 側 の 区 域 をクラス0( 要 管 理 対 策 区 域 外 )とする サーバ サーバ サーバ 認 証 共 用 会 議 室 廊 下 認 証 専 用 会 議 室 PC PC PC PC 認 証 サーバ 職 員 職 員 職 員 例 : 執 務 室 認 証 例 : 共 用 会 議 室 廊 下 例 : 電 算 機 室 警 備 員 クラス 3 クラス 2 クラス 1 クラス 0 28 認 証 不 在 時 施 錠 例 : 公 道 認 証 H24 年 度 改 定 内 容 域 要 外 管 理 対 策 区 要 管 理 対 策 区 域

29 H24 年 度 改 定 内 容 (8) 情 報 取 扱 区 域 ( 区 域 情 報 セキュリティ 責 任 者 ) 区 域 情 報 セキュリティ 責 任 者 とは 区 域 ごとの 情 報 セキュリティ 対 策 を 実 施 する 者 情 報 セキュリティ 対 策 の 運 用 に 係 る 管 理 を 行 う 区 域 の 単 位 は 統 括 情 報 セキュリティ 責 任 者 が 定 める ( (8)) 情 報 セキュリティ 委 員 会 最 高 情 報 セキュリティ 責 任 者 ( 委 員 長 ) 最 高 情 報 セキュリティ アドバイザー 統 括 情 報 セキュリティ 責 任 者 ( 委 員 長 補 佐 ) 情 報 セキュリティ 監 査 責 任 者 情 報 セキュリティ 責 任 者 情 報 セキュリティ 監 査 実 施 者 情 報 システム 情 報 システム 情 報 システム セキュリティ 責 任 者 情 報 システム セキュリティ 管 理 者 課 室 課 室 情 報 セキュリティ 責 任 者 区 域 区 域 情 報 セキュリティ 責 任 者 29

30 , 情 報 取 扱 区 域 ( 管 理 対 策 及 び 利 用 制 限 対 策 ) クラス 別 管 理 対 策 とは 各 区 域 においてクラス 別 に 講 ずる 管 理 対 策 クラス 別 利 用 制 限 対 策 とは 管 理 対 策 が 講 じられた 各 区 域 における クラス 別 の 利 用 制 限 対 策 ( (3)) H24 年 度 改 定 内 容 別 表 の 見 方 該 当 するクラス 遵 守 事 項 対 策 例 備 考 クラス0 クラス1 クラス2 クラス3 (1) 立 ち 入 る 者 を 制 限 するための 管 理 対 策 (イ) 要 保 護 情 報 を 取 り 扱 う 情 報 システムについて は 区 域 間 を 物 理 的 に 隔 離 し 立 入 り 及 び 退 出 を 管 理 するための 措 置 (1)(a)(イ) 求 める 遵 守 事 項 管 理 方 法 立 入 り 及 び 退 出 の 管 理 方 法 全 員 不 在 時 に 制 限 常 に 制 限 制 限 方 法 例 扉 等 を 施 錠 出 入 口 に 警 備 員 等 を 配 置 し 入 退 出 する 者 を 確 認 遵 守 事 項 で 求 める 措 置 を 具 体 化 した 場 合 の 対 策 例 対 象 外 対 象 外 セキュリティゲー ト 警 備 員 等 による 立 ち 番 対 象 外 施 錠 可 能 な 扉 間 仕 切 り 等 ただ し ドアガラス 等 で 中 が 見 えても 良 い 要 例 :クラス3では 常 に 立 入 り 及 び 退 出 を 管 理 する 対 策 ( 施 錠 等 )が 必 要 施 錠 可 能 な 扉 等 中 が 見 えない こと 要 上 記 にかかわらず 決 定 したクラスの 区 分 において 必 要 な 対 策 が 不 足 していると 認 められる 区 域 又 はクラスとは 別 の 区 分 で 対 策 を 講 ずる 必 要 のある 区 域 があるときは 個 別 管 理 対 策 及 び 個 別 利 用 制 限 対 策 を 決 定 することができる( (4)) 30

31 統 一 管 理 基 準 及 び 技 術 基 準 の 各 部 の 概 要 統 一 管 理 基 準 第 1.1 部 総 則 第 1.2 部 組 織 と 体 制 の 整 備 第 1.3 部 情 報 についての 対 策 第 1.4 部 情 報 処 理 についての 対 策 第 1.5 部 情 報 システムについての 基 本 的 な 対 策 統 一 技 術 基 準 第 2.1 部 総 則 第 2.2 部 セキュリティ 要 件 の 明 確 化 に 基 づく 対 策 第 2.3 部 情 報 システムの 構 成 要 素 についての 対 策 第 2.4 部 個 別 事 項 についての 対 策 31

32 ~ 情 報 の 取 扱 い 行 政 事 務 従 事 者 は 情 報 の 情 報 漏 えい 滅 失 き 損 改 ざん 等 を 防 止 するため 情 報 の 作 成 入 手 利 用 保 存 移 送 提 供 及 び 消 去 の 各 段 階 で 情 報 の 格 付 及 び 取 扱 制 限 に 応 じた 適 切 な 情 報 セキュリティ 対 策 を 実 施 する 必 要 があります 作 成 入 手 利 用 消 去 保 存 情 報 の 格 付 取 扱 制 限 に 応 じた 情 報 セキュリティ 対 策 移 送 情 報 の 格 付 取 扱 制 限 に 応 じた 情 報 セキュリティ 対 策 提 供 32

33 情 報 の 作 成 と 入 手 格 付 の 決 定 の 必 要 性 格 付 の 明 示 の 必 要 性 情 報 の 機 密 性 完 全 性 可 用 性 に 応 じた 適 切 な 情 報 セキュリティ 対 策 を 実 施 するため 全 ての 利 用 者 において 情 報 の 取 扱 いの 認 識 を 合 わ せるため 主 な 遵 守 事 項 情 報 の 作 成 時 又 は 入 手 時 には 格 付 取 扱 制 限 を 決 定 すること 情 報 の 参 照 が 許 されている 者 が 認 識 できる 方 法 で 明 示 すること 補 足 事 項 明 示 の 仕 方 ファイル 等 の 情 報 を 参 照 する 者 が 視 認 できる 方 法 で 記 載 する 必 要 がある 例 えば - 書 面 に 印 刷 されることが 想 定 される 書 面 のヘッダ 等 - 電 子 ファイルで 取 り 扱 われることが 想 定 される ファイル 名 等 - 媒 体 で 取 り 扱 われることが 想 定 される 媒 体 にラベルを 貼 る 等 格 付 の 簡 便 化 ( 明 示 の 省 略 ) 機 1/ 完 1/ 可 1の 情 報 は 明 示 を 省 略 できることを 規 定 等 で 周 知 している 場 合 格 付 の 決 定 を 認 識 できない 者 への 配 慮 取 扱 制 限 の 記 載 の 要 否 についての 確 認 が 必 要 33

34 情 報 の 利 用 保 存 情 報 の 不 適 切 な 利 用 情 報 の 不 適 切 な 保 存 情 報 漏 えい 滅 失 き 損 改 ざん 等 の 情 報 セキュリ ティ 事 故 が 発 生 情 報 の 利 用 に 係 る 主 な 遵 守 事 項 業 務 ( 行 政 事 務 の 遂 行 ) 目 的 以 外 での 情 報 の 利 用 禁 止 業 務 で 知 り 得 た 情 報 をSNS 等 ( 私 的 なアカウントのもの)に 書 きこまない 明 示 された 格 付 に 従 って 適 切 に 情 報 を 取 り 扱 うこと 他 者 が 決 定 した 格 付 が 不 適 切 な 場 合 は 格 付 の 決 定 者 に 確 認 相 談 第 三 者 による 不 正 な 操 作 や 盗 み 見 を 防 止 するため 要 保 護 情 報 を 放 置 しない 要 保 護 情 報 : 機 密 性 2/3 又 は 完 全 性 2 又 は 可 用 性 2 離 席 時 はスクリーンセーバーを 起 動 又 はログオフ 離 席 時 の 机 の 上 やプリンターのトレイに 書 類 を 長 時 間 放 置 しない 情 報 の 保 存 に 係 る 主 な 遵 守 事 項 情 報 の 格 付 取 扱 制 限 に 応 じた 適 切 な 保 存 の 実 施 施 錠 できるキャビネットに 保 管 情 報 のパスワード 設 定 情 報 の 暗 号 化 ( 機 2/3をUSBメモリ 等 に 保 存 する 場 合 等 ) 要 保 護 情 報 の 適 切 なアクセス 制 御 の 実 施 パスワード 保 護 読 取 制 限 上 書 き 禁 止 複 製 禁 止 等 34

35 情 報 の 移 送 統 一 基 準 における 情 報 の 移 送 とは? 運 搬 ( 書 面 電 磁 的 記 録 媒 体 等 ) 情 報 の 持 出 しの 概 念 も 含 む データ 送 信 ( 電 子 メール 通 信 回 線 等 ) 主 な 遵 守 事 項 移 送 の 際 の 課 室 情 報 セキュリティ 責 任 者 への 許 可 / 届 出 許 可 機 3/ 完 2/ 可 2 届 出 機 2 完 1 可 1 機 1 完 1 可 1 手 続 不 要 主 な 許 可 / 届 出 項 目 ( 何 を 申 請 するのか?) 移 送 先 移 送 方 法 (データ 送 信 / 運 搬 ) 移 送 手 段 (インターネット VPN 運 送 業 者 等 ) 移 送 する 情 報 の 格 付 区 分 移 送 時 の 保 護 対 策 保 護 対 策 の 実 施 ( 必 要 に 応 じて) 要 機 密 情 報 ( 機 2/3)を 含 んだ 媒 体 の 運 搬 時 専 用 ケースに 保 存 して 施 錠 親 展 等 要 機 密 情 報 ( 機 2/3)を 含 んだUSBメモリ 等 の 運 搬 情 報 のパスワード 保 護 暗 号 化 要 保 全 情 報 ( 可 2)の 移 送 バックアップの 取 得 補 足 事 項 定 常 的 に 移 送 の 必 要 がある 場 合 は 移 送 手 続 を 事 前 に 定 めておくことが 望 ましい 課 室 情 報 セキュリティ 責 任 者 が 届 出 不 要 と 定 めた 移 送 については 手 続 きは 不 要 だが 届 出 を 行 わないことによるリスクを 十 分 に 検 討 する 必 要 がある 35

36 情 報 の 提 供 統 一 基 準 における 情 報 の 提 供 とは? 他 者 への 情 報 の 提 供 情 報 の 公 表 他 者 への 情 報 の 提 供 に 係 る 主 な 遵 守 事 項 提 供 の 際 の 課 室 情 報 セキュリティ 責 任 者 への 許 可 / 届 出 許 可 機 3/ 完 2/ 可 2 届 出 機 2 完 1 可 1 機 1 完 1 可 1 手 続 不 要 主 な 許 可 / 届 出 項 目 ( 何 を 申 請 するのか?) 保 護 対 策 の 実 施 提 供 先 提 供 目 的 提 供 する 情 報 の 格 付 区 分 提 供 時 の 保 護 対 策 提 供 先 にて 格 付 に 応 じた 適 切 な 取 扱 いを 行 うための 措 置 格 付 及 び 取 扱 制 限 の 留 意 事 項 ( 格 付 等 の 定 義 を 含 む)を 提 供 先 に 伝 達 適 切 な 管 理 のための 必 要 な 措 置 の 提 示 ( 委 員 以 外 への 再 配 布 禁 止 等 ) 情 報 の 公 表 に 係 る 主 な 遵 守 事 項 公 表 する 情 報 が 機 1であることを 確 認 公 表 する 情 報 の 付 加 情 報 (ファイルのプロパティ 等 )を 削 除 し 不 要 な 情 報 漏 えいを 防 止 36

37 情 報 の 提 供 消 去 情 報 の 移 送 提 供 に 係 る 補 足 事 項 情 報 の 移 送 と 提 供 に 該 当 するケース( 一 般 的 な 場 合 ) 相 手 相 手 の 場 所 移 送 方 法 該 当 事 項 自 府 省 庁 自 庁 舎 運 搬 /データ 送 信 (メール 等 ) 移 送 提 供 どちらも 該 当 しない 自 府 省 庁 別 の 庁 舎 データ 送 信 (メール 等 ) 移 送 提 供 どちらも 該 当 しない 自 府 省 庁 別 の 庁 舎 運 搬 移 送 自 府 省 庁 以 外 自 庁 舎 内 運 搬 ( 手 渡 し) 提 供 自 府 省 庁 以 外 自 庁 舎 外 運 搬 /データ 送 信 (メール 等 ) 移 送 提 供 情 報 の 消 去 に 係 る 主 な 遵 守 事 項 要 機 密 情 報 ( 機 2/3)の 抹 消 データ 抹 消 ソフトウェアの 利 用 消 磁 装 置 の 利 用 媒 体 の 物 理 破 壊 紙 媒 体 は 復 元 困 難 な 状 態 になるようシュレッダーによる 細 断 焼 却 溶 解 USBメモリ 等 を 他 者 へ( 一 時 的 に) 提 供 する 場 合 は 不 要 な 要 機 密 情 報 を 抹 消 37

38 統 一 管 理 基 準 及 び 技 術 基 準 の 各 部 の 概 要 統 一 管 理 基 準 第 1.1 部 総 則 第 1.2 部 組 織 と 体 制 の 整 備 第 1.3 部 情 報 についての 対 策 第 1.4 部 情 報 処 理 についての 対 策 第 1.5 部 情 報 システムについての 基 本 的 な 対 策 統 一 技 術 基 準 第 2.1 部 総 則 第 2.2 部 セキュリティ 要 件 の 明 確 化 に 基 づく 対 策 第 2.3 部 情 報 システムの 構 成 要 素 についての 対 策 第 2.4 部 個 別 事 項 についての 対 策 38

39 情 報 システムの 利 用 H24 年 度 改 定 内 容 含 む 行 政 事 務 従 事 者 に 求 められる 遵 守 事 項 (1) 識 別 コードの 管 理 1 他 者 の 識 別 コード(ID 等 )の 利 用 禁 止 2 自 分 の 識 別 コード(ID 等 )の 付 与 及 び 貸 与 放 置 の 禁 止 3 利 用 する 必 要 がなくなった 場 合 の 届 出 4 管 理 者 用 の 識 別 コードの 場 合 管 理 者 としての 業 務 遂 行 時 に 限 定 して 使 用 すること (2) 主 体 認 証 情 報 の 管 理 1 主 体 認 証 情 報 (パスワード ICカード 等 )が 他 者 に 使 用 された 場 合 の 報 告 2 知 識 (パスワード 等 ) による 主 体 認 証 の 場 合 他 者 に 知 られない 教 えないこと 忘 却 しないこと 容 易 に 推 測 されないものに 設 定 すること 同 じものを 使 いまわさないこと 定 期 的 に 更 新 すること( 管 理 者 から 求 められている 場 合 ) 3 所 有 (ICカード 等 ) による 主 体 認 証 の 場 合 管 理 の 徹 底 他 者 への 付 与 及 び 貸 与 の 禁 止 紛 失 しない( 紛 失 した 場 合 は すみやかな 報 告 ) 利 用 する 必 要 がなくなった 場 合 は 返 却 39

40 要 管 理 対 策 区 域 外 での 情 報 処 理 の 制 限 要 管 理 対 策 区 域 外 において 情 報 処 理 を 実 施 する( ) 場 合 物 理 的 な 情 報 セ キュリティ 対 策 を 講 ずることが 比 較 的 困 難 庁 舎 内 での 情 報 セキュリティ 対 策 から 追 加 の 措 置 が 必 要 移 動 中 外 出 先 など 府 省 庁 の 管 理 部 外 で 情 報 処 理 を 行 う 場 合 主 な 遵 守 事 項 (1) 安 全 管 理 措 置 についての 規 定 の 整 備 要 保 護 情 報 について 要 管 理 対 策 区 域 外 で 情 報 処 理 を 行 う 場 合 安 全 管 理 措 置 規 定 を 整 備 すること 情 報 処 理 の 内 容 と 取 り 扱 う 情 報 実 施 場 所 回 線 を 通 した 通 信 の 形 態 など 要 保 護 情 報 を 取 り 扱 う 情 報 システムを 要 管 理 対 策 区 域 外 に 持 ち 出 す 場 合 の 安 全 管 理 措 置 規 定 を 整 備 すること (2) 許 可 及 び 届 出 の 取 得 及 び 管 理 情 報 システムセキュリティ 責 任 者 及 び 課 室 情 報 セキュリティ 責 任 者 へ 許 可 / 届 出 を 行 うこと (3) 安 全 管 理 措 置 の 遵 守 40

41 府 省 庁 支 給 以 外 の 情 報 システムによる 情 報 処 理 の 制 限 府 省 庁 支 給 以 外 の 情 報 システム( )を 利 用 し 適 切 な 対 策 を 講 じなかった 場 合 当 該 情 報 システムで 取 り 扱 われる 情 報 のセキュリティが 確 保 できない 府 省 庁 支 給 以 外 の 情 報 システムに 対 しても 適 切 な 措 置 が 必 要 私 物 PCに 限 らず 府 省 庁 が 支 給 していない 物 例 えば 出 向 者 が 出 向 元 から 支 給 されて いる 物 等 も 含 むため 私 物 とはせずに 府 省 庁 支 給 以 外 の 情 報 システム としている 主 な 遵 守 事 項 (1) 安 全 管 理 措 置 の 整 備 要 保 護 情 報 について 府 省 庁 支 給 以 外 の 情 報 システムにより 情 報 処 理 を 行 う 場 合 に 講 ずる 安 全 管 理 措 置 規 定 を 整 備 すること (2) 許 可 及 び 届 出 の 取 得 及 び 管 理 情 報 システムセキュリティ 責 任 者 及 び 課 室 情 報 セキュリティ 責 任 者 へ 許 可 / 届 出 を 行 うこと (3) 安 全 管 理 措 置 の 遵 守 参 考 府 省 庁 支 給 以 外 の 情 報 システムによる 情 報 処 理 の 手 順 書 PC 編 策 定 手 引 書 (DM6-05) 41

42 統 一 管 理 基 準 及 び 技 術 基 準 の 各 部 の 概 要 統 一 管 理 基 準 第 1.1 部 総 則 第 1.2 部 組 織 と 体 制 の 整 備 第 1.3 部 情 報 についての 対 策 第 1.4 部 情 報 処 理 についての 対 策 第 1.5 部 情 報 システムについての 基 本 的 な 対 策 統 一 技 術 基 準 第 2.1 部 総 則 第 2.2 部 セキュリティ 要 件 の 明 確 化 に 基 づく 対 策 第 2.3 部 情 報 システムの 構 成 要 素 についての 対 策 第 2.4 部 個 別 事 項 についての 対 策 42

43 情 報 システムのセキュリティ 要 件 情 報 システムのライフサイクル 情 報 システムは そのライフサイクル( 計 画 構 築 運 用 移 行 廃 棄 及 び 見 直 し) を 通 じて 様 々な 要 件 を 満 たすことが 必 要 となります 情 報 システムセキュリティ 責 任 者 は 情 報 システムのライフサイクルを 通 じて 様 々なセキュリティの 考 慮 が 必 要 になります 情 報 システム 構 築 情 報 セキュリティ 対 策 計 画 見 直 し 運 用 廃 棄 移 行 43

44 情 報 システムのセキュリティ 要 件 H24 年 度 改 定 内 容 調 達 仕 様 書 において 適 切 にセキュリティ 要 件 を 記 載 することが 重 要 仕 様 書 の 不 適 切 なセキュリティ 要 件 記 載 問 題 の 発 生 副 次 的 な 影 響 あいまいな 要 件 ( 例 : 統 一 基 準 に 従 うこと) 過 不 足 のある 要 件 脆 弱 性 があり セキュリティ 事 故 が 発 生 契 約 後 の 開 発 等 の 手 戻 り 追 加 費 用 の 発 生 セキュリティ 事 故 による 社 会 的 信 用 の 失 墜 適 切 なセキュリティ 要 件 を 記 載 するための1つの 手 段 として SBD( ) マニュアルの 活 用 SBD: Security by Design 情 報 セキュリティを 企 画 設 計 段 階 から 確 保 するための 方 策 発 注 側 ( 調 達 担 当 者 ) SBD 従 来 調 達 仕 様 書 調 達 仕 様 書 情 報 セキュリティ 要 件 ( 例 ) あいまい 不 適 切 統 一 基 準 に 従 うこと 省 の 省 庁 基 準 に 従 うこと 情 報 セキュリティ 要 件 ( 例 ) 詳 細 適 切 1 通 信 回 線 対 策 3 主 体 認 証 通 信 経 路 の 分 離 主 体 認 証 方 式 やポリシー ~~すること ~~すること 不 正 通 信 の 遮 断 4アカウント 管 理 2 不 正 プログラム 対 策 アカウント 管 理 マルウェア 感 染 防 止 アクセス 権 限 管 理 5 証 跡 管 理 6 不 正 監 視 7データ 保 護 8 構 成 管 理 等 SBDマニュアルの 公 開 URL : 44

45 情 報 システムに 係 る 文 書 及 び 台 帳 整 備 情 報 システムの 台 帳 整 備 統 括 情 報 セキュリティ 責 任 者 統 括 情 報 セキュリティ 責 任 者 は すべての 情 報 システムに 対 して 当 該 情 報 システムで 取 り 扱 う 情 報 及 び 当 該 情 報 の 格 付 を 含 む 事 項 を 記 載 した 台 帳 を 整 備 すること 情 報 システム セキュリティ 責 任 者 情 報 システムセキュリティ 責 任 者 は 情 報 システムを 新 規 に 構 築 し 又 は 更 改 する 際 には 当 該 情 報 システムの 台 帳 の 記 載 事 項 を 統 括 情 報 セキュリティ 責 任 者 に 報 告 すること 情 報 システム 台 帳 のイメージ 情 報 システム 名 称 責 任 者 氏 名 連 絡 先 システム 構 成 情 報 概 要 機 密 性 完 全 性 可 用 性 省 LAN 人 事 給 与 ホームヘ ーシ 類 型 化 したシステム 単 位 に そのシステムに 収 容 可 能 な 格 付 の 最 高 レベルを 記 述 する 45

46 機 器 等 の 購 入 時 における 対 策 システム 導 入 時 又 は 導 入 後 の 継 続 的 なセキュリティ 対 策 を 確 実 に 行 うためには CC 認 証 等 の 第 三 者 による 情 報 セキュリティ 機 能 の 客 観 的 評 価 を 得 ている 製 品 を 購 入 する 等 機 器 等 の 選 定 基 準 をあらかじめ 定 めておくことが 重 要 です いいね! 機 器 等 の 購 入 時 の 対 策 情 報 システム 機 器 類 の 購 入 時 における 選 定 基 準 の 整 備 機 器 等 の 選 定 時 における 選 定 基 準 への 適 合 性 の 確 認 判 断 機 器 等 の 納 入 時 の 対 策 機 器 等 の 納 入 時 に 必 要 なセキュリティ 対 策 の 実 装 状 況 (パッチ 適 用 状 況 等 ) 及 び 機 器 等 に 不 正 プログラムが 混 入 していないことを 確 認 検 査 するための 手 続 の 整 備 定 められた 確 認 検 査 の 手 順 に 従 った 納 品 検 査 の 実 施 46

47 ソフトウェア 開 発 システム 導 入 時 に 確 実 なセキュリティ 対 策 が 行 われるようにするためには ソフトウェア 開 発 時 からセキュリティ 機 能 の 実 装 を 考 慮 しておく 必 要 があります また ソフトウェア 開 発 時 の 設 計 ミスにより(あるいは 意 図 的 に)セキュリティホールが 組 みこまれ てしまうことを 防 止 するため ソースコードレビューや 試 験 等 の 対 策 を 行 うことが 重 要 です ソフトウェア 開 発 に 係 る 規 定 の 整 備 ソフトウェア 開 発 に 係 る 以 下 のセキュリティ 対 策 を 規 定 として 整 備 し 当 該 規 定 に 基 づき ソフト ウェア 開 発 を 行 うこと 1. セキュリティ 対 策 事 項 を 満 たす 開 発 体 制 の 整 備 2. 委 託 先 におけるセキュリティ 対 策 事 項 の 確 実 な 実 施 3. ソフトウェア 開 発 工 程 における 情 報 セキュリティ 対 策 手 順 及 び 環 境 の 整 備 4. ( 必 要 に 応 じて)ソフトウェア 開 発 検 証 環 境 と 本 番 環 境 との 分 離 5. 情 報 格 付 に 応 じた 脅 威 分 析 と 所 要 のセキュリティ 設 計 6. ( 必 要 に 応 じて) 運 用 時 に 必 要 なセキュリティ 管 理 機 能 の 設 計 書 への 反 映 7. セキュリティ 関 連 設 計 レビューのための 体 制 と 実 施 手 順 の 整 備 8. ( 必 要 に 応 じて)セキュリティチェック 機 能 (サニタイジング 等 )の 導 入 9. ( 必 要 に 応 じて)ST 評 価 確 認 の 実 施 10. ソースコードの 保 護 とバックアップの 作 成 11. コーディング 条 件 に 関 するセキュリティ 上 の 規 定 の 整 備 12. ( 必 要 に 応 じて)ソースコードレビューの 実 施 13. セキュリティ 試 験 の 実 施 14. セキュリティ 試 験 の 実 施 記 録 の 保 存 そのコード 怪 しくない? レビューしとけばよかった 47

48 主 体 認 証 アクセス 制 御 権 限 管 理 証 跡 管 理 保 証 等 の 標 準 手 順 情 報 システムの 構 築 時 には 以 下 を 例 としたセキュリティ 管 理 機 能 の 必 要 性 を 判 断 し 運 用 時 の 情 報 セキュリティ 管 理 に 支 障 をきたさないようにしなければなりません セキュリティ 管 理 機 能 の 導 入 等 に 関 する 対 策 基 準 は 統 一 技 術 基 準 ~ に 記 載 して います 主 なセキュリティ 管 理 機 能 主 体 認 証 アクセス 制 御 権 限 管 理 証 跡 管 理 証 跡 管 理 証 跡 保 存 項 目 期 間 の 判 断 証 跡 の 取 得 保 存 点 検 分 析 について 利 用 者 へ 事 前 説 明 要 保 護 情 報 の 保 証 対 策 目 的 効 果 利 用 権 限 の 無 いものによる 情 報 システムの 不 正 な 利 用 を 防 止 利 用 権 限 の 無 いものによる 情 報 の 不 正 な 取 得 や 消 去 改 ざんの 防 止 ( 要 保 護 情 報 を 取 扱 う 場 合 は 必 須 ) 情 報 システムの 管 理 主 体 以 外 による 不 正 なアカウント 発 行 等 を 防 止 ( 要 保 護 情 報 を 取 扱 う 場 合 は 必 須 ) 不 正 アクセスや 行 政 事 務 目 的 外 利 用 者 の 特 定 限 られた 情 報 量 で 実 効 性 のある 証 跡 を 取 得 証 跡 を 証 拠 として 活 用 する 際 の 正 当 性 を 高 める 要 保 護 情 報 の 完 全 性 の 確 保 ( 参 考 ) 証 跡 管 理 に 関 する 事 務 連 絡 適 切 なログの 管 理 による 標 的 型 攻 撃 対 策 について( 情 報 提 供 ) 48

49 暗 号 と 電 子 署 名 の 標 準 手 順 情 報 の 漏 えいや 改 ざんを 防 ぐには 暗 号 化 や 電 子 署 名 の 利 用 が 有 効 ですが 暗 号 化 及 び 電 子 署 名 のアルゴリズム 鍵 管 理 等 についてはさまざま 選 択 肢 があります 行 政 事 務 従 事 者 により 個 別 判 断 で 選 択 されることがないように 府 省 庁 で 標 準 となる 手 順 等 を 定 める 必 要 があります 暗 号 化 及 び 電 子 署 名 の 利 用 に 際 しての 標 準 手 順 の 規 定 以 下 の 内 容 を 含 んだ 暗 号 化 及 び 電 子 署 名 のアルゴリズムや 運 用 方 法 を 定 めておくこと 電 子 政 府 推 奨 暗 号 リストの 使 用 アルゴリズム 危 殆 化 時 の 緊 急 対 応 計 画 鍵 管 理 手 順 ( 生 成 更 新 保 存 バックアップ 廃 棄 ) 鍵 が 露 呈 した 場 合 の 対 処 手 順 GPKIの 利 用 ( 適 用 可 能 な 場 合 ) この 金 庫 の 鍵 は 古 いタイプだ から 簡 単 に 開 けられるな 行 政 事 務 従 事 者 は 情 報 システムの 利 用 に 際 して 以 下 規 定 を 遵 守 すること 情 報 の 暗 号 化 又 は 電 子 署 名 付 与 は 定 められた 手 順 に 従 う 電 子 署 名 の 付 与 等 に 用 いる 鍵 について 定 められた 管 理 手 順 に 従 う 電 子 署 名 の 付 与 等 に 用 いる 鍵 について 定 められたバックアップ 手 順 に 従 う 49

50 府 省 庁 外 の 情 報 セキュリティ 水 準 の 低 下 を 招 く 行 為 の 防 止 電 子 行 政 サービス 等 において 府 省 庁 の 情 報 システムと 利 用 者 のクライアント 端 末 が 通 信 を 行 う 場 合 は 以 下 の 利 用 者 のクライアント 端 末 のセキュリティ 水 準 の 低 下 を 招 くおそれがある 行 為 につい て 十 分 理 解 し 措 置 を 講 じておく 必 要 があります 脆 弱 性 が 指 摘 されているソフトウェアやサービスの 使 用 を 要 求 する ソフトウェアの 不 適 切 な 設 定 (セキュリティ 設 定 の 下 方 修 正 の 要 求 等 )を 要 求 する セキュリティ 対 策 に 必 要 なソフトウェア 等 の 無 効 化 停 止 の 要 求 設 定 変 更 ザマス 電 子 申 請 ザマス 次 の 日 省 電 子 申 請 サービス サービス 利 用 時 の 条 件 として クライアントに 対 して.exe ファイルやJavaスクリプトの 実 行 許 可 を 求 める あれれ?? PCのセキュリティレベルが 低 になってるよ! おかん 何 かしたのかな? 省 ウェブサービス バージョンAって 深 刻 な 脆 弱 性 があって 推 奨 されていないはず なんだけどなぁ ウイルス 対 策 ソフトも offにしろって 言 ってるよ ま いっか! このサービスは バージョンAのブラウザを 使 ってくださいっ! ウイルス 対 策 ソフトが 動 いると 使 えませんっ! 50

51 ドメイン 名 の 使 用 についての 対 策 政 府 機 関 なりすましへの 対 策 インターネット 真 のWebサーバ PC 端 末 等 偽 のWebサーバ 例 えばあなたに 以 下 のようなメールが 届 く 攻 撃 の 特 徴 技 術 的 な 対 策 では 防 ぐことができない 偽 の ファイル 国 民 に 政 府 のドメイン 名 を.go.jpなどに 制 限 して 使 うことを 予 め 宣 言 するしかない 政 府 からの 緊 急 のお 願 い 国 民 の 皆 様 がお 使 いのPCに セキュリティ 上 の 問 題 があること がわかりました 非 常 に 深 刻 な 問 題 のため 政 府 では この 問 題 を 解 決 するため のソフトウェアを 用 意 して 無 償 で 配 布 することを 決 定 しました 至 急 以 下 のホームページにアクセスして 政 府 が 用 意 した 無 償 のソフトウェアをインストールしてください 内 閣 官 房 情 報 セキュリティセンター お 問 い 合 わせ 先 : info@naikakukanbou.jp 内 閣 官 房 みたい この 手 法 は 郵 送 物 等 でも 可 能 51

52 ドメイン 名 の 使 用 についての 対 策 民 間 ソーシャルメディアを 活 用 した 情 報 発 信 について 国 地 方 公 共 団 体 等 公 共 機 関 における 民 間 ソーシャルメディアを 活 用 した 情 報 発 信 についての 指 針 平 成 23 年 4 月 5 日 (1)なりすまし 等 の 防 止 1 アカウント 運 用 者 の 明 示 運 用 しているアカウントの 周 知 可 能 な 限 り 認 証 アカウントを 取 得 自 府 省 庁 で 管 理 しているWebサイト(.go.jpドメイン)( 以 下 自 己 管 理 Webサイト と いう )で 利 用 しているソーシャルメディアのサービス 名 と 運 用 しているアカウント の 告 知 (アカウントページへのハイパーリンクの 明 記 ) 利 用 しているソーシャルメディアのアカウントページで 自 己 管 理 Webサイトの 上 記 のページのURLを 明 記 2 なりすましが 発 生 していることを 発 見 した 場 合 自 己 管 理 Webサイト 信 用 できる 機 関 やメディアを 通 じて なりすましアカウントが 存 在 することの 注 意 喚 起 52

53 民 間 ソーシャルメディアを 活 用 した 情 報 発 信 について 3 その 他 の 場 合 URL 短 縮 サービスは 原 則 利 用 禁 止 第 三 者 アカウントの 投 稿 の 引 用 や 第 三 者 が 管 理 又 は 運 用 するページへのリンク の 掲 載 は 慎 重 に 行 うこと( 当 該 の 投 稿 やページの 内 容 を 信 頼 性 のあるものとして 認 めていると 受 け 取 られる 可 能 性 もあるため) (2)アカウント 運 用 ポリシーの 策 定 と 明 示 アカウント 運 用 ポリシー(ソーシャルメディアポリシー)を 策 定 自 己 管 理 Webサイト 又 は 利 用 するソーシャルメディアの 自 由 記 述 欄 に アカウント 運 用 ポリシーの 掲 載 ( 特 に 専 ら 情 報 発 信 用 途 に 用 いる 場 合 は その 旨 を 明 記 ) 各 府 省 庁 においてTwitter 等 を 利 用 する 場 合 の 対 応 について 平 成 22 年 6 月 10 日 付 事 務 連 絡 (1)で 求 めるなりすましの 防 止 措 置 を 講 ずること 発 信 する 情 報 は 機 密 性 1 情 報 に 格 付 されるものであることを 確 認 すること 政 府 ドメイン 名 以 外 のドメイン 名 を 使 用 するため 例 外 措 置 適 用 申 請 の 手 続 を 講 ずること 53

54 不 正 プログラム 感 染 防 止 のための 日 常 的 実 施 事 項 行 政 事 務 従 事 者 は 不 正 プログラムの 感 染 による 情 報 システムやデータの 破 壊 或 いは 機 密 情 報 の 漏 えい 等 の 脅 威 をあらかじめ 認 識 し 感 染 防 止 のために 以 下 の 措 置 を 確 実 に 実 施 しなけ ればなりません 行 政 事 務 従 事 者 アンチウイルスソフトの 自 動 検 査 機 能 の 有 効 化 アンチウイルスソフト 及 び 不 正 プログラム 定 義 ファイルを 常 に 最 新 にする ウイルス 対 策 ~ 不 正 プログラム 検 出 時 は 当 該 プログラムは 実 行 しない 定 期 的 にアンチウイルスソフトで 不 正 プログラムの 有 無 を 確 認 する 外 部 媒 体 から(へ)のデータ 入 ( 出 ) 力 時 は 不 正 プログラムの 有 無 を 都 度 確 認 する 不 正 プログラム 感 染 予 防 に 役 立 つ 措 置 (マクロ 自 動 実 行 の 無 効 化 等 )を 有 効 にする 不 正 プログラム 感 染 のおそれがある 場 合 には 直 ちに 通 信 回 線 との 接 続 を 切 断 する 規 定 作 ります! 守 ってね 統 括 情 報 セキュリティ 責 任 者 統 括 情 報 セキュリティ 責 任 者 は 不 正 プログラム 感 染 の 回 避 を 目 的 とした 上 記 の 措 置 を 行 政 事 務 従 事 者 が 遵 守 す るよう 日 々 指 導 をお 願 いします 54

55 統 一 管 理 基 準 及 び 技 術 基 準 の 各 部 の 概 要 統 一 管 理 基 準 第 1.1 部 総 則 第 1.2 部 組 織 と 体 制 の 整 備 第 1.3 部 情 報 についての 対 策 第 1.4 部 情 報 処 理 についての 対 策 第 1.5 部 情 報 システムについての 基 本 的 な 対 策 統 一 技 術 基 準 第 2.1 部 総 則 第 2.2 部 セキュリティ 要 件 の 明 確 化 に 基 づく 対 策 第 2.3 部 情 報 システムの 構 成 要 素 についての 対 策 第 2.4 部 個 別 事 項 についての 対 策 55

56 第 2.2 部 と 第 2.3 部 の 対 策 の 関 係 第 2.2 部 セキュリティ 要 件 の 明 確 化 に 基 づく 対 策 セキュリティ 機 能 の 必 要 性 及 び 脅 威 の 影 響 を 確 認 し 必 要 な 事 項 を 適 用 する ライスサイクルに 応 じた 事 項 を 適 用 する 全 項 目 の 遵 守 事 項 を 確 認 する 第 2.3 部 情 報 システムの 構 成 要 素 についての 対 策 当 該 システムの 種 類 を 確 認 し 該 当 すれば 適 用 する 対 象 と するもの 第 2.2 部 の 遵 守 事 項 第 2.3 部 の 遵 守 事 項 適 用 する 必 要 のある 遵 守 事 項 と その 必 要 のない 遵 守 事 項 が あります 対 象 とするものごとに 複 数 の 部 節 にある 遵 守 事 項 を 適 用 しなければなりません 第 2.4 部 の 遵 守 事 項 56

57 第 2.2 部 と 第 2.3 部 の 対 策 の 関 係 ウェブサーバの 開 発 をするとき 第 2.3 部 ( 構 成 要 素 の 視 点 ) 施 設 と 環 境 アプリケー ションソフトウエア 電 子 計 算 機 通 信 回 線 電 子 計 算 機 共 通 対 策 端 末 サーバ 装 置 電 子 メール ウェブ DNS 第 2.2 部 (ライフサイクルの 視 点 ) 情 報 セキュリティについての 機 能 設 開 計 発 主 体 認 証 機 能 アクセス 制 御 機 能 暗 号 と 電 子 署 名 ( 鍵 管 理 を 含 む) 情 報 セキュリティについての 脅 威 設 開 計 発 セキュリティホール 対 策 不 正 プログラム 対 策 標 的 型 攻 撃 対 策 運 用 運 用 57

58 2.2 セキュリティ 要 件 の 明 確 化 に 基 づく 対 策 情 報 システムにおけるセキュリティ 機 能 の 必 要 性 及 び 脅 威 の 影 響 を 確 認 し 必 要 なセキュリティ 対 策 を 実 施 する 情 報 セキュリティ の 機 能 による 対 策 主 体 認 証 機 能 アクセス 制 御 機 能 権 限 管 理 機 能 証 跡 管 理 機 能 保 証 のための 機 能 暗 号 化 及 び 電 子 署 名 ( 鍵 管 理 含 む) 情 報 システム 情 報 セキュリティの 脅 威 への 対 策 セキュリティホール 対 策 不 正 プログラム 対 策 サービス 不 能 攻 撃 対 策 踏 み 台 対 策 標 的 型 攻 撃 対 策 58

59 標 的 型 攻 撃 対 策 H24 年 度 改 定 内 容 標 的 型 攻 撃 とは 複 数 の 攻 撃 手 法 を 組 み 合 わせ 特 定 の 組 織 や 個 人 を 狙 い 執 拗 に 行 われる 攻 撃 標 的 型 攻 撃 手 法 標 的 型 メール USBメモリの 持 ち 込 み STEP 1 ( 侵 入 ) この 攻 撃 によるマルウェアの 侵 入 を 完 全 に 防 御 することは 困 難 組 織 内 ネットワークでの マルウェアの 拡 散 バックドアの 設 置 C&Cサーバとの 通 信 特 定 のキーワードによる 組 織 内 共 有 フォルダ 内 などの 情 報 の 探 索 STEP 2 ( 内 部 活 動 ) 共 通 攻 撃 手 法 個 別 攻 撃 手 法 重 要 情 報 の 窃 取 システムの 乗 っ 取 り 組 織 内 部 情 報 の 窃 取 マルウェアの 内 部 活 動 を 検 知 防 御 し 被 害 の 拡 大 防 止 のための 対 策 が 必 要 府 省 庁 の 内 部 から 外 部 への 通 信 情 報 システム 内 部 での 通 信 の 監 視 制 御 等 による 攻 撃 の 検 知 情 報 システム 内 部 での 被 害 拡 大 防 止 のための 対 策 対 策 内 容 は 次 項 を 参 照 59

60 標 的 型 攻 撃 対 策 H24 年 度 改 定 内 容 対 策 種 別 構 築 時 の 不 正 プログラムの 侵 入 及 び 感 染 拡 大 防 止 対 策 運 用 時 の 不 正 プログラムの 侵 入 及 び 感 染 拡 大 防 止 対 策 システム 区 分 通 信 回 線 端 末 及 び サーバ 装 置 通 信 回 線 端 末 及 び サーバ 装 置 その 他 対 策 例 ファイアウォール プロキシ 等 を 利 用 した 通 信 制 限 侵 入 検 知 システムによる 不 正 通 信 の 検 知 遮 断 ポリシーに 基 づく 端 末 ネットワークセグメント 間 の 通 信 制 限 管 理 者 権 限 パスワードを 一 定 水 準 以 上 のセキュリティ 強 度 に 設 定 ふるまい 検 知 型 アンチウィルスソフトウェアの 追 加 許 可 していないUSBメモリや 端 末 等 の 接 続 制 限 送 信 ドメイン 認 証 等 を 利 用 した 受 信 メールのなりすまし 有 無 確 認 重 要 なサーバ 装 置 へのログイン 可 能 な 端 末 の 制 限 府 省 庁 内 部 と 外 部 との 間 で 送 受 信 される 通 信 内 容 の 監 視 府 省 庁 内 部 での 端 末 (サーバ 装 置 ) 同 士 で 送 受 信 される 通 信 内 容 の 監 視 セキュリティホール 対 策 の 実 施 重 要 なサーバ 装 置 等 のログの 取 得 解 析 セキュリティ 状 態 の 監 視 全 電 子 ファイルの 定 期 的 な 不 正 プログラムの 有 無 の 確 認 標 的 型 攻 撃 に 関 する 対 処 訓 練 赤 字 : 感 染 拡 大 防 止 対 策 60

61 , 他 管 理 者 権 限 に 係 る 標 的 型 攻 撃 対 策 背 景 経 緯 H24 年 度 改 定 内 容 最 近 の 標 的 型 攻 撃 において 端 末 がマルウェアに 感 染 した 後 辞 書 攻 撃 ブルートフォース 攻 撃 により 組 織 内 の 各 種 サーバ(マイクロソフト 社 のActive Directoryサーバ 等 )の 管 理 者 権 限 が 奪 取 され 被 害 が 拡 大 する 事 例 が 発 生 している 対 策 の 再 周 知 強 化 サーバの 管 理 者 権 限 を 適 切 に 管 理 していれば 容 易 に 奪 取 される 状 況 には 至 らない サーバや 管 理 者 権 限 に 関 するセキュリティ 対 策 について 注 意 喚 起 文 書 により 周 知 徹 底 し 統 一 基 準 に 適 切 な 管 理 者 権 限 管 理 を 行 うための 対 策 を 追 加 < 追 加 された 対 策 > 統 一 管 理 基 準 (2)(c)(オ) 複 数 システムの 識 別 コード(ユーザID) に 対 して 共 通 のパスワードを 用 いない 私 的 なものを 含 む 統 一 技 術 基 準 (1)(e)(ウ) パスワードは 一 定 以 上 のセキュリティ 強 度 となるように 設 定 する 次 項 にて マイクロソフト 社 Active Directoryサーバの 推 奨 設 定 を 記 載 統 一 技 術 基 準 (2)(e) サーバのセキュリティ 状 態 (ログ 等 により 不 正 なログインや 操 作 の 有 無 等 )を 監 視 する 61

62 , 他 管 理 者 権 限 に 係 る 標 的 型 攻 撃 対 策 マイクロソフト 社 のActive Directoryサーバの 推 奨 設 定 例 H24 年 度 改 定 内 容 パスワードに 関 する 対 策 項 目 パスワード ポリシー アカウントロックアウト ポリシー セキュリティオプション マイクロソフト 社 のActive Directoryサーバの 推 奨 設 定 例 パスワードの 有 効 期 間 42 日 間 最 少 パスワード 長 12 文 字 パスワードは 複 雑 さの 要 件 を 満 たす 必 要 がある 有 効 暗 号 化 を 元 に 戻 せる 状 態 でパスワードを 保 存 する 無 効 等 ロックアウト 期 間 15 分 アカウントのロックアウトのしきい 値 10 回 ログオンに 失 敗 等 ネットワーク セキュリティ : LAN Manager 認 証 レベル NTLMv2 応 答 のみ 送 信 する LM と NTLM を 拒 否 する 等 注 意 喚 起 文 書 のURL : 平 成 23 年 12 月 21 日 システム 管 理 権 限 を 狙 った 辞 書 攻 撃 ブルートフォース 攻 撃 への 対 処 について 平 成 23 年 12 月 21 日 ネットワーク 利 用 者 を 管 理 するサーバのセキュリティ 対 策 の 徹 底 について 62

63 2.3 情 報 システムの 構 成 要 素 についての 対 策 情 報 システムの 構 成 要 素 を 確 認 し 必 要 なセキュリティ 対 策 を 実 施 する 情 報 システム 府 省 庁 外 通 信 回 線 各 構 成 要 素 府 省 庁 内 通 信 回 線 サーバ 装 置 電 子 メール ウェブ DNS 端 末 施 設 と 環 境 ( 情 報 取 扱 区 域 ) 63

64 端 末 (モバイル 端 末 ) H24 年 度 改 定 内 容 情 報 セキュリティ 対 策 の 対 象 範 囲 に 近 年 普 及 が 進 んでいる スマートフォン タブレット 端 末 を 含 めることにより 定 義 を モバイルPC から モバイル 端 末 に 修 正 改 定 後 の 定 義 モバイル 端 末 とは 端 末 の 形 態 に 関 係 なく 業 務 で 利 用 する 目 的 により 必 要 に 応 じて 移 動 する 端 末 をいう 特 定 の 設 置 場 所 だけで 利 用 する 端 末 は モバイル 端 末 に 含 まれない ( ) 業 務 で 利 用 する 目 的 により 必 要 に 応 じて 移 動 する 端 末 の 例 : ノートPC PDA 携 帯 電 話 スマートフォン 追 加 タブレット 端 末 スマートフォン タブレット 端 末 の 使 用 手 順 雛 形 ( 官 支 給 品 編 )(2012 年 4 月 公 開 ) 参 考 平 成 23 年 度 以 前 の 定 義 モバイルPC とは 端 末 の 形 態 に 関 係 なく 業 務 で 利 用 する 目 的 により 必 要 に 応 じて 移 動 する 端 末 をいう 特 定 の 設 置 場 所 だけで 利 用 するノート 型 PCは モバイルPCに 含 まれない 64

65 2.4 個 別 事 項 についての 対 策 (IPv6 技 術 の 導 入 における 対 策 ) 背 景 経 緯 政 府 機 関 ではインターネットの 規 格 であるIPv6 通 信 に 対 応 するための 取 組 が 進 められているが IPv4 通 信 からの 移 行 過 程 においては 新 旧 の 規 格 が 共 存 することから 適 切 な 措 置 を 講 じておか ないと 情 報 システムのセキュリティを 損 なうおそれがある また 昨 今 電 子 計 算 機 及 び 通 信 回 線 装 置 にはIPv6 通 信 機 能 が 標 準 で 備 わっているものが 増 えていることから システム 管 理 者 の 意 図 しないIPv6 通 信 が 動 作 する 可 能 性 がある このような 状 況 を 踏 まえ 平 成 23 年 度 に IPv4/IPv6 通 信 が 共 存 する 環 境 を 前 提 としたセキュリ ティ 対 策 を 適 切 に 講 ずるための 基 準 を 定 めた 留 意 事 項 IPv6 対 応 計 画 が 無 い 情 報 システムにおいても 本 項 に 規 定 する 対 策 が 必 要 になる 場 合 がある 不 正 フ ロク ラム に 感 染 情 報 システム 管 理 者 が 意 図 していないIPv6 通 信 IPv6 通 信 インターネット IPv4 通 信 不 正 フ ロク ラム 攻 撃 者 IPv4/IPv6 通 信 の 共 存 や 意 図 しないIPv6 通 信 が 行 われることを 考 慮 していないと IPv4 通 信 による 攻 撃 は 防 げるがIPv6 通 信 による 攻 撃 が 防 げないことも 65

66 2.4 IPv6 技 術 の 導 入 における 対 策 ( 平 成 24 年 度 の 追 加 点 ) 平 成 24 年 度 の 国 内 IPv6サービス 本 格 運 用 に 伴 うIPv6サポート 製 品 の 導 入 拡 大 学 民 を 中 心 に 情 報 セキュリティ 対 策 技 術 が 活 発 な 議 論 統 一 技 術 基 準 のIPv6 技 術 の 導 入 における 情 報 セキュリティ 対 策 として IPv6 移 行 機 構 がもたらす 脅 威 への 対 策 の 規 定 を 追 加 した H24 年 度 改 定 内 容 平 成 23 年 度 版 (1) IPv6 移 行 機 構 がもたらす 脆 弱 性 対 策 (a) IPv6 移 行 機 構 に 必 要 な 情 報 セキュリティ 対 策 の 実 施 IPv4/IPv6 通 信 共 存 のためのIPv6 移 行 機 構 (デュアルス タック 機 構 やトンネリング 機 構 など)の 選 定 にあたり 必 要 な 情 報 セキュリティ 対 策 を 講 ずる 追 加 平 成 24 年 度 版 (1) IPv6 移 行 機 構 がもたらす 脆 弱 性 対 策 (a) 一 定 水 準 以 上 のセキュリティ 機 能 を 有 する 製 品 の 選 択 IPv6 Ready Logo Program ph-2 準 拠 品 の 選 択 (b) グローバルIPによる 直 接 到 達 性 の 脅 威 への 対 策 不 正 な 機 器 からの 経 路 調 査 コマンドの 遮 断 等 の 対 策 (c) 設 定 不 備 等 による 不 正 アクセス 発 生 の 回 避 策 不 正 な 通 信 を 制 限 するフィルタリングの 適 切 な 設 定 (2) 意 図 しないIPv6 通 信 の 抑 止 と 監 視 (a) IPv6 通 信 を 想 定 しない 通 信 回 線 との 通 信 の 抑 止 IPv6 通 信 を 想 定 しない 通 信 回 線 を 介 した 攻 撃 等 の 脅 威 への 対 策 として 不 適 切 なIPv6 通 信 を 制 御 する 等 の 対 策 を 講 ずる (b) IPv6 通 信 を 想 定 しない 通 信 回 線 でのv6 通 信 の 監 視 IPv6 通 信 を 想 定 しない 通 信 回 線 を 監 視 し アドレス 自 動 構 成 機 能 による 意 図 しないIPv6 通 信 が 行 われている 場 合 に 通 信 の 遮 断 等 の 措 置 を 講 ずる 追 加 (d) IPv6 移 行 機 構 への 必 要 な 情 報 セキュリティ 対 策 の 実 施 平 成 23 年 度 版 (1)(a)の 記 述 をリファイン (e) IPv6 非 対 応 製 品 をがIPv6 環 境 で 利 用 される 場 合 の 対 策 IPv6 前 提 の 情 報 システムにてIPv6 非 対 応 製 品 が 利 用 され る 場 合 を 想 定 した 対 策 の 実 施 (2) 意 図 しないIPv6 通 信 の 抑 止 と 監 視 (a) IPv6 通 信 を 想 定 しない 通 信 回 線 との 通 信 の 抑 止 (b) IPv6 通 信 を 想 定 しない 通 信 回 線 でのv6 通 信 の 監 視 平 成 23 年 度 版 (2)(a)(b)の 記 述 をリファイン 66