令和５年度中⼩企業サイバー
セキュリティ対策継続支援事業

取組内容

インシデント対応や規程類など管理面での対策を強化

インシデント発生時の詳細な対応フローの決定

インシデント発生時の対応フローの作成にあたり、本事業の専門家からIPAが提供する「中小企業のためのセキュリティインシデント対応の手引き」を紹介され、参考にしました。インシデント発生時に誰がどのように対応するか、対外的に何をいつ公表するかなどの具体的な対応フローの整備を進めました。

クラウドサービスの棚卸しと、取り扱う情報やアカウント管理状況を整理

基幹システムをはじめ、社内で利用しているウェブサービスの棚卸しを実施しました。利用しているアカウントの管理や取り扱う情報の把握を進めるとともに、パスワードの桁数増加による認証強化の対策も行いました。

自社で保有しているウェブサイトのセキュリティ設定状況を委託先に確認

自社で保有しているウェブサイトについて、開発・保守・運用を委託しているベンダーに、開発におけるセキュリティ対策の状況や脆弱性診断の実施有無を確認しました。その結果、いずれも問題なく実施されていることが確認できました。

社内のセキュリティ規程類の評価と修正

情報セキュリティ委員会を中心として、IPAが公開している「中小企業の情報セキュリティ対策ガイドライン」を参考に、現場向けの運用ルールを盛り込んだセキュリティ規程の整備を進めました。本事業の専門家からアドバイスを受け、自社の業務に合わせた内容に修正しながら推進する方針を固めました。

本事業の専門家によるヒアリングと課題の整理を行った結果、UTM（Unified Threat Management）などのセキュリティ機器やソフトウェアの導入は進んでいたため、本事業では管理面でのセキュリティ対策を中心に進めることにしました。まず、インシデント発生時の対応フロー作成から着手しました。特にランサムウェア感染が発生した際の具体的な対応や事態の公表判断について、担当者が具体的にイメージできていなかったため、本事業の専門家から参考資料の紹介を受け、対応フローの整備を進めることにしました。また、利用しているクラウドサービスの棚卸しを行い、使用しているアカウントや取り扱っている情報を把握するとともに、パスワードの桁数増加による認証強化も行いました。さらに自社で保有するウェブサイトの開発・保守・運用を委託しているベンダーに対し、セキュリティ設定状況を確認しました。
あわせて、現場向けの運用ルールを盛り込んだセキュリティ規程の整備も進めました。本事業の専門家からアドバイスを受け、独立行政法人情報処理推進機構（IPA）の提供する「中小企業の情報セキュリティ対策ガイドライン」を参考に、情報セキュリティ委員会で内容を協議しながら自社の業務に合わせて修正していくことにしました。