15-2. 組織的対策として重要となる実施項目
管理策（対策基準）をもとに策定されたセキュリティ対策の実施手順例を、それぞれ紹介します。実施手順は、組織の内部文書として作成します。実施手順が抽象的で理解しづらい場合、従業員は具体的に何を順守して行動すればよいかわからず、セキュリティ対策が不十分になってしまいます。従業員に対してわかりやすい実施手順を策定するよう心掛けることが大切です。
実施手順を策定する際は、ISO/IEC 27002に記載されている各管理策の手引きが参考になります。手引きの内容をもとに、実施手順の例を紹介します。この例と、ISO/IEC 27002の内容を参考に、自社に適した実施手順を策定してください。
15-2-1. 情報化・サイバーセキュリティ・個人情報保護
情報化・サイバーセキュリティ・個人情報保護に関連する実施手順の例を紹介します。
情報セキュリティ委員会は、「情報セキュリティ方針」以外の情報セキュリティのための方針群を、本手順において定める。方針群には以下を含める。
・モバイル機器の方針
・テレワーキング
・アクセス制御方針
・暗号による管理策の利用方針
・クリアデスク・クリアスクリーン
・情報転送の方針（および手順）
・セキュリティに配慮した開発のための方針
・供給者関係のための情報セキュリティの方針
a. リスク対応計画の策定
b. 情報セキュリティ実行体制の構築
c. 選択された管理策の実施
d. 教育・訓練
e. 運用の管理
f. 経営資源の管理
g. 情報セキュリティ事象・セキュリティインシデントの管理
h. 関連当局との連絡（警察・審査機関・コンサル会社・取引先・委託先など） 情報セキュリティ委員会の役割と、責任および権限は以下の通り。
内部監査責任者は、管理策とその実施状況に関わる監査を統括する責任と権限を有する。
b. 従業員の制約により兼任せざるを得ない場合、別部門などから監視を受けることを条件に、兼任できる。
関係当局
【IPA】コンピュータウイルス届出窓口、コンピュータ不正アクセス届出窓口
連絡手段
ウイルス発見・感染の届出
virus@ipa.go.jp
不正アクセスの届出
crack@pa.go.jp
URL
https://www.ipa.go.jp/security/todokede/crack-virus/about.html
主目的
ウイルス感染や、不正アクセスによる被害を報告するため。
関係当局 【IPA】情報セキュリティ安心相談窓口 連絡手段 TEL:03-5978-7509（受付時間10:00～12:00、13:30～17:00 土日祝日・年末年始は除く）anshin@ipa.go.jp URL https://www.ipa.go.jp/security/anshin/about.html 主目的 ウイルス感染や不正アクセスに関する技術的な内容の相談に対して、アドバイスをもらうため。
関係当局
【警視庁】サイバー犯罪相談窓口
連絡手段
TEL:03-5805-1731
受付時間：午前8時30分から午後5時15分まで（平日のみ）
URL
https://www.keishicho.metro.tokyo.lg.jp/sodan/madoguchi/sogo.html
主目的
サイバー犯罪被害について相談するため。
関係当局 【個人情報保護委員会】個人情報・マイナンバーの漏えい報告 連絡手段 Webフォームで報告 URL https://www.ppc.go.jp/personalinfo/legal/leakAction/ 主目的 個人情報、マイナンバーの漏えいに対処するため。
関係当局
【JPCERT/CC】インシデント対応依頼
連絡手段
Webフォームまたは、以下のメールアドレスに報告
info@jpcert.or.jp
URL
https://www.jpcert.or.jp/form/
主目的
セキュリティインシデント対応を支援してもらうため。
専門組織 【IPA】重要なセキュリティ情報 情報の入手方法 Webページを閲覧 URL https://www.ipa.go.jp/security/security-alert/2023/index.html 主目的 危険性が高いセキュリティ上の問題と対策に関する最新情報を収集するため。
専門組織 【IPA】ランサムウェア対策特設ページ 情報の入手方法 Webページを閲覧 URL https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html 主目的 ランサムウェア対策に関する最新情報を収集するため。
専門組織 【個人情報保護委員会】注意情報一覧 情報の入手方法 Webページを閲覧 URL https://www.ppc.go.jp/news/careful_information/?category=39 主目的 セキュリティ・個人情報・マイナンバーに関する、注意事項を把握するため。
専門組織【JPCERT/CC】注意喚起 情報の入手方法 Webページを閲覧 URL https://www.jpcert.or.jp/at/2023.html 主目的 脆弱性に関する最新情報を収集するため。
b. プロジェクトにおける必要な管理策は、プロジェクト終了後も考慮する。
c. プロジェクト管理者は、情報セキュリティ責任者を任命する。
d. 情報システム管理者は、業務用情報システムの導入・改善にあたっては、必要に応じて情報セキュリティ上の要求事項を、要件定義書や提案依頼書などにより文書化する。
文書には下記から必要な事項を含める。
・情報システムの設置場所（環境・障害からの対策を含む）に関する事項
・無停電電源装置などのサポートユーティリティに関する事項
・保守契約に関する事項
・システムの冗長化に関する事項
・通信、データの安全対策に関する事項
・受け入れテストに関する事項
・アクセス権限に関する事項
情報セキュリティ委員会は、情報の分類を最低年1回見直す。
分類 一般 内容 下記以外
分類 社外秘 内容 関係者外秘以外の機密事項であり、当組織の従業者に対してのみ開示が許されるもの。（取引先に開示する必要があるものは除く。）または情報セキュリティに関わる規定・手順書類。
分類 関係者外秘 内容 情報が外に漏れることによって、当組織が重大な損失もしくは不利益を受けるような恐れのある機密事項であり、職務上の限られた関係者のみに開示を許すもの。関係者が明示的に定められていない場合、関係者とは、情報を直接配布された者を指す。
書類の分類を容易に認識できない場合は、以下のいずれかの方法により適切なラベル付けを行う。
a. 分類をシールなどの色により識別する。
b. ファイルなどに分類を記入（またはスタンプ）することで識別する。
c. 分類ごとに収納場所を分ける。
b. 重要な情報を外部にFAXにて送信する場合は、入力した番号と、名刺や送り状を照合し、間違えがないことを確認してからスタートボタンを押す。また頻繁に送信する送り先は短縮ダイヤルに登録する。
c. 認可されていない者に聞かれる可能性がある場所で、重要な情報を口頭で伝えることは禁じる。
d. 重要な情報を外部に郵送する場合は、配達記録郵便や宅配便など配達記録が残る手段をとる。
e. 重要な情報を格納した媒体は、手渡しを原則とし、やむを得ず郵送する場合は、十分な梱包により媒体を保護する。
f. 個人情報の授受記録
・紙や記憶媒体による個人情報の受け渡しに際しては、送付票や受領証などで受け渡しの完了を確認する。
・電子メールにより個人情報の受け渡しを行う際には、送信済みメールおよび、受領確認の返信メールのいずれかまたは両方を受け渡し記録とする。
g. 電子メールの利用
・電子メールは会社所定のソフトを使用し、その利用は業務上必要な場合に限定する。
・社外メーリングリストへの参加は、原則禁止とする。
・重要な情報（社外秘以上）はメール本文に記載して送信せず、aに従う。
h. 情報転送に関する合意
・情報の転送先との間で、情報転送の手段について、あらかじめ合意を得る。
・重要な情報を外部にメール添付またはFAXにて送信する場合は、必要に応じて送信予告、到着確認の電話を掛ける。
・宅配便業者を利用する場合は、会社が指定する業者を利用する。
i. 電子的メッセージ通信
・当組織のWebサイトに入力する情報の通信は、SSL/TLSにより行う。
・電子データによる個人情報をインターネット経由で送受信する際は、SSL/TLSなどの暗号化対策やパスワード設定などの措置を講じる。
b. 社内LANは、情報システム管理者の承認を得た従業員、装置に限り接続する。
c. 社内の情報システムへの外部からのアクセスは、ファイアウォールなどによって通信を制限する。
d. 外部から社内のサーバに接続する場合、VPN接続を使用する。
e. 無線LANは物理的・論理的な認証、通信の暗号化などを施した上で利用する。
f. サーバ室へ入退を行う対象者に対して、入退資格を設け、資格のない者の立ち入りを禁じる。
g. サーバ室は、常時施錠可能とし、入退資格のない者の立ち入りを禁じる。
b. 利用者登録は業務上必要な範囲で従業者に付与する。
b. 情報システム管理者は、利用者に対し、仮パスワードを直ちに変更することを要求し、通知する。
c. 秘密認証情報の利用
・利用者は、英数字と記号を混在した10文字以上のパスワードを設定し、アルファベットには大小文字の両方を含める必要がある。利用者は、英数字と記号を混在した10文字以上のパスワードを設定し、アルファベットには大小文字の両方を含める必要がある。
・他人に容易に推測されるようなわかりやすいパスワードの使用を禁じる。
・他のサービスと重複するパスワードの利用を禁じる。
・各システムにおける管理者IDのパスワードは、情報システム管理者において厳重に管理する必要がある。
・利用者および情報システム管理者は、パスワードの代替もしくは補完のために、指紋などの生体認証、ICカード認証などの機器による認証方式も採用できるものとする。
d. パスワード管理システム
・パスワードの入力は対話式とする。
・パスワードをシステムに記憶させることは禁じる。
b. 情報システム管理者は、定期的（最低年1回）および必要時にアクセス権限の棚卸および見直しを行う。
c. 退職者が発生した際は、業務に支障がないよう調整し、速やかに該当アカウントを削除する必要がある。申請は、当該従業員が最後に所属した部門の長がアクセス権限の削除を申請し、情報システム管理者、またはその指名する従業員が削除する。
d. 他部署への移動が生じた際は、aの手順に従い削除する。また、新規のアクセス権限は移動先部門の長が申請し、同様の手順に従い登録する。
15-2-2. 脅威インテリジェンス
脅威インテリジェンスに関連する実施手順の例を紹介します。
・IPA
・JVN（Japan Vulnerability Notes)
・JPCERT/CC
・ISAC (Information Sharing and Analysis Center)
・個人情報保護委員会
収集する情報は、以下のようなものとする。
・変化する脅威の状況に関する情報（例：攻撃者や攻撃の種類）
・攻撃の方法、使用されるツールや技術に関する情報
・特定の攻撃に関する詳細な情報
収集した情報を分析する。
脅威が、自組織にどのような影響を及ぼすか把握するために、収集した情報をもとにリスクアセスメントを実施する。
リスク低減の処置を実施する。
リスクアセスメントの結果をもとに、ファイアウォール・侵入検知システム・マルウェア対策ソリューションなど、技術的に予防、検知を行うための管理策を採用する。
15-2-3. 情報資産台帳作成・維持実施
情報資産台帳作成・維持実施に関連する実施手順の例を紹介します。
情報セキュリティ委員会は「資産目録」において特定した資産に対し、同目録上に管理責任者（リスク所有者）を記載することにより管理責任を明確にする。
情報の区分は「5.12 情報の分類」で、ラベル表示については「5.13 情報のラベル付け」で定める。
関係者外秘：責任者に一任
社外秘：責任者に一任
一般：不要
関係者外秘：関係する部署・プロジェクトに所属する従業者
社外秘：当組織の従業者
一般：誰でも可
関係者外秘：関係する部署・プロジェクト内に限る
社外秘：社内に限る
一般：特別な配慮不要
関係者外秘：施錠された場所
社外秘：責任者に一任
一般：特別な配慮不要
関係者外秘：必要のある者に限定
社外秘：社内に限る
一般：特別な配慮不要
関係者外秘：関係する部署・プロジェクト内に限る
社外秘：社内に限る
一般：特別な配慮不要
関係者外秘：禁止
社外秘：禁止
一般：特別な配慮不要
関係者外秘：透かして内容が見えないようにする。※2
社外秘：透かして内容が見えないようにする。※2
一般：特別な配慮不要
関係者外秘：責任者の許可を得た者のみ携行を許可する。※3
社外秘：責任者の許可を得た者のみ携行を許可する。※3
一般：特別な配慮不要
関係者外秘：シュレッダー・焼却・溶解のいずれか
社外秘：責任者に一任
一般：特別な配慮不要
関係者外秘：廃棄、再利用前の内容を消去する。
社外秘：廃棄、再利用前の内容を消去する。
一般：特別な配慮不要
※2 紙や記憶媒体による個人情報を、郵便や宅配便などにより移送するときは、誤配、紛失などの危険を最小限にするため、ポストへの施錠、受け取り確認が可能な移送手段の選択などの措置を講じる。
※3 個人情報を外部へ持ち出す際は、目的地以外へ立ち寄らず、手放さない、車中に放置しないよう徹底する。
※4 紙に記された個人情報の廃棄は、シュレッダーによる裁断・焼却・溶解いずれかの方法により処分する。また、廃棄前の一時保管場所からの紛失・盗難防止のため、重要書類は即廃棄する。
関係者外秘：責任者に一任
社外秘：責任者に一任
一般：特別な配慮不要
関係者外秘：アクセス制限
社外秘：責任者に一任
一般：特別な配慮不要
関係者外秘：コピーの管理
社外秘：責任者に一任
一般：特別な配慮不要
関係者外秘：添付ファイルにパスワード
社外秘：添付ファイルにパスワード
一般：特別な配慮不要
※2取引先との合意がある場合は、その合意に従う。
名刺、社員証、IDカードなどの返却
会社が支給したノートPCや携帯電話などの返却
紙で保管する書類の返却、または廃棄
15-2-4. クラウドサービス利用
クラウドサービス利用に関連する実施手順の例を紹介します。
□ ISO/IEC 27017
15-2-5. 情報セキュリティインシデント対応
情報セキュリティインシデント対応に関連する実施手順の例を紹介します。
情報セキュリティ事象の評価は、以下の表に従い、部門管理者（情報セキュリティ委員会メンバー）が行う。
・大、中の項目に該当する情報セキュリティ事象は、セキュリティインシデントとして分類する。
・項目の大、中、小の順に優先順位を付ける。
中：インシデント
大：インシデント
（将来、被害が発生する可能性がある。）
中：社員または社内
大：顧客・取引先
中：情報セキュリティ委員長
大：情報セキュリティ委員長
トップマネジメント（経営層）
外部関係者
・発生する可能性がある被害をシステム担当者に報告する。
・発見した事実をできるだけ速やかに情報システム管理者に連絡する。
・重要なデータを隔離する。
・ログインできる場合は、早急にパスワードを変更する。
・発生する可能性がある被害をシステム担当者に報告する。
・重要なデータを隔離する。
・ログインできる場合は、早急にパスワードを変更する。
・システムやアプリケーションを停止する。
・発見した事実をできるだけ速やかに情報システム管理者に連絡する。
b. 将来のセキュリティインシデントの起こりやすさや影響を減らすため、情報セキュリティ委員会は、セキュリティインシデントから得られた知識を活かして「6.3 情報セキュリティの意識向上、教育及び訓練」を強化・改善する。
15-2-6. 事業継続計画策定
事業継続計画策定に関連する実施手順の例を紹介します。
b. 「資産目録（情報資産管理台帳）」で特定した情報資産のうち、可用性の評価値が3の重要資産を情報セキュリティ継続のリスク分析対象とする。
※可用性の評価値は、「12-2-2. リスク特定」で記載している方法により算出する。
c. aにおいて登録した資産に対して、以下のリスクについて考慮する。
・地震・火災・洪水などの自然災害
・ 人的なミス
・ システム障害
・ 健康上の問題
d. bのリスクが生じた際に影響を受ける業務プロセスを特定し、リスクが発生した場合のシナリオを作成する。
e. リスクが生じた場合の影響度と、リスクが発生する可能性について検討し、検討結果に基づき優先順位を決定する。
f. dにおいて、優先順位が高いと判断したものに対して「事業継続計画書」を作成し、トップマネジメント（経営層）の承認を得る。
g. 「事業継続計画書」には以下の内容を含む。
・実行開始条件（リスクシナリオの発生）
・非常時手順（発生時の連絡手順）
・回復手順（復旧のための手順）
・回復目標（目標時間を必要に応じて決定）
・再開手順（回復後のリハーサル手順）
・試験のスケジュール
・教育（教育が必要な場合はその計画）
h. 策定した計画および手続きについて試験を実施し、試験の結果、必要があると判断した場合は計画を更新する。試験は以下のいずれかの方法、またはその組み合わせにより行う。
・机上試験
・模擬試験
・技術的回復試験
・代替施設における回復試験
・供給者施設およびサービスの試験
i. 情報セキュリティ委員会は、事業継続に関する試験を最低年1回、継続的に実施する。
b. 事業が中断・停止になった際の対応手順を策定し、文書化する。
c. 策定した対応手順が有効であることを確実にするため、あらかじめ定めた間隔（年1回以上）で試験を実施し検証する
15-2-7. 法的、規制および契約上の要件
法的、規制および契約上の要件に関連する実施手順の例を紹介します。
・ISP、電話サービス、IT機器などのサービス提供者
・情報システムの開発・保守における外部委託先
・会計、税務、法律などの専門サービス提供者
・清掃業者、廃棄業者
・クラウドサービス
b. 情報セキュリティ委員会は、部外者・外部組織からのオフィスエリアや情報システムへのアクセスを許可する際に生じる可能性があるリスクを考慮し、情報セキュリティ上の要求事項を明確にする。
1.「委託先審査票」による評価・選定を行う。
2. 情報セキュリティ要求事項を考慮し、次の事項を含む契約を締結する。
・機密保持契約などの情報の取扱いに関する契約
・使用許諾に関する取り決め、コードの所有権および知的所有権（開発の場合）
・実施される作業場所および入退室管理
・外部委託先が不履行となった場合の預託契約に関する取り決め
3. 情報セキュリティ委員会は、「5.19 供給者関係における情報セキュリティ」において検討したリスクを考慮し、必要に応じて第三者との間で契約を締結する。
b. クラウドサービスを介して重要資産を取扱う際は、利用者は多要素認証を有効にしてセキュリティを強化する必要がある。
b. クラウドサービスの利用にあたっては、クラウドサービス提供者の事業継続性、および以下のサービスに関する情報セキュリティ事項を考慮の上、クラウドサービスを選定する。
・サービスの導入実績、信頼性
・利用者サポート機能
・利用終了後のデータの扱い
・サービスの可用性
c. ・暗号化など、通信経路の安全対策
b. 情報セキュリティ委員会は、当組織の従業者が「情報セキュリティに関する法令規制一覧表」を、必要に応じていつでも参照できる状態にする。
c. 特定した要求事項を満たすために、必要に応じて教育などのテーマとする。
d. 暗号化した装置を輸出する場合、または海外に持ち出す場合、該当する法規制について調査を行い、必要であれば対応を行う。
情報セキュリティに関連する法律（例） 特定電子メールの送信の適正化等に関する法律 概要利用者の同意を得ずに広告、宣伝または勧誘などを目的とした電子メールの送信を禁止している。
情報セキュリティに関連する法律（例） 電子署名及び認証業務に関する法律 概要「本人による一定の条件を満たす電子署名」がなされた文書は、本人の手書署名・押印がある文書と同様、真正に成立したものと推定されることが定められている。
情報セキュリティに関連する法律（例） 著作権法 概要プログラムやマニュアル、ホームページなどは、著作権の対象であり、無断での複製は、著作権法の侵害になる。
情報セキュリティに関連する法律（例） 不正アクセス禁止法 概要不正アクセス行為や、不正アクセス行為につながる識別符号（ID、パスワード）の不正取得・保管行為、不正アクセス行為を助長する行為などを禁止している。
情報セキュリティに関連する法律（例） 刑法 概要無断でデータを改ざん・破壊する行為や、虚偽の金融機関を名乗ったサイトや電子メールを使い、金銭をだまし取るような行為などは、刑法に違反する。
詳細理解のため参考となる文献（参考文献）
15-2-8. 知的財産、データ、プライバシー
知的財産、データ、プライバシーに関連する実施手順の例を紹介します。
b. 知的財産権を侵害する行為を禁止する。
c. 知的財産権を侵害する行為が発生した場合には、速やかに是正措置を講じる。
d. ソフトウェアなどの使用許諾計画を順守する。
e. 情報システム管理者は、パッケージソフトのライセンス管理を適切に行う。
記録の種類
■定款
■登記関係書類
■訴訟関係書類
■特許など知的所有権に関する書類
■社則・社規
保存期間永久
記録の種類
■「商業帳簿」
会計帳簿（日記帳、仕訳帳、総勘定元帳）、貸借対照表、損益計算書、附属明細書
■「営業に関する重要な書類」
株主名簿、社債原簿、株主総会議事録、取締役会議事録、営業報告書、利益処分案 （損失処理案）、このほか紛争が生じた場合に重要な証拠となり得る書類（例：契約書）
保存期間10年
記録の種類
■仕訳帳、総勘定元帳、現金出納帳、固定資産台帳、売掛帳、買掛帳、経費帳
■棚卸表、貸借対照表、損益計算書、決算に関して作成された書類
■注文書、契約書、送り状、領収書、見積書、その他これらに準ずる書類（例：請求書）
■給与所得者の扶養控除など（異動）申告書
■給与所得者の保険料控除申告書兼給与所得者の配偶者特別控除申告書
■源泉徴収簿
保存期間7年
記録の種類 ■財産形成非課税貯蓄申込書・移動申請書 保存期間5年
記録の種類 ■雇用保険被保険者に関する書類 保存期間4年
記録の種類
■労働者名簿
■賃金台帳
■雇入・解雇・災害補償・賃金その他労働関係に関する重要な書類
■労働保険料の徴収に関する書類
■労災保険に関する書類
■安全委員会議事録
■衛生委員会議事録
■安全衛生委員会議事録
保存期間3年
記録の種類
■健康保険に関する書類
■厚生年金保険に関する書類
■雇用保険に関する書類
保存期間2年
15-2-9. セキュリティ対策状況の点検・監査・評価・認証
セキュリティ対策状況の点検・監査・評価・認証に関連する実施手順の例を紹介します。
b. サービスの供給者との間で契約内容やサービスレベルに変更があった場合、変更点を受け入れることができるか否かを検証し、契約内容の見直しを実施する。
b. 以下に例示する、情報セキュリティに影響のある変化が生じた場合も、内部監査により独立したレビューを行う。
・事業の追加/変更、業務手順の大幅な変更
・住所変更、拠点の新設
・情報セキュリティに関する主たる担当者の変更
・関係する法令・規制、または契約の大幅な変更
b. 情報セキュリティ委員会（入退管理責任者）は、入退記録が適切にとられているか否かを月に1度確認する。また、入退管理が有効かつ適切に実施されていることを定期的に確認し、不備が発見された場合は速やかに是正の処置をとる必要がある。
c. 情報システム管理者は、技術的な順守事項が正しく実施されていることを確実とするため、上記のa、bに従い点検する。
システムが故障した場合の再起動および回復の手順
a. 記憶媒体の取扱い手順
b. バックアップの取得手順
c. 保守手順
d. 容量、能力、パフォーマンスおよびセキュリティなどの監視手順
詳細理解のため参考となる文献（参考文献）
