セキュリティ対策の課題解決を支援する JNSAソリューションガイド

簡単なパスワードが使われると、推測や解析されたり、ウェブサービスから流出したID・パスワードが悪用されたりすることで、不正にログインされてしまいます。
また、同じID・パスワードを複数のウェブサービスやシステムで使い回していると、一つのウェブサービスの中からパスワードが流出した場合に、別のウェブサービスやシステムが不正にログインされるリスクが高まります。

・パスワードは、１０文字以上でできるだけ長くし、大文字、小文字、数字、記号含めて推測されにくい複雑なパスワードを設定する。

・他のサービスとの使い回しをしない。

・パスワードの作り方、管理の方法は以下の動画（IPA）を参考にする。
https://www.youtube.com/watch?v=lXh0b4KS9gE

・パスワード認証だけに限らず、利用可能な場合は多要素認証（生体認証、ワンタイムパスワードなど）も利用する。

・ネットワークにつながる機器の管理画面（設定ページなど）の初期パスワードは変更しておく。
【参考】インターネットの安全・安心ハンドブック　第1章　：NISC
https://security-portal.nisc.go.jp/guidance/pdf/handbook/handbook-01.pdf

対応製品

個人認証用デバイス及びその認証システム　＞＞
個人認証用生体認証デバイス及びその認証システム　＞＞
アイデンティティ（ID）管理　＞＞
特権ID管理　＞＞
アクセス許可・シングルサインオン（SSO）　＞＞
PKIシステム及びそのコンポーネント　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

不必要な共有設定により社内ネットワークを介して機密データなどを取得される可能性があります。
アクセス権限の設定が不十分であると従業員が必要以上の情報にアクセスでき、また、適切な確認や見直しが行われない場合、情報漏洩が発生する可能性があります。

・ファイル共有サーバーやウェブサービス（オンラインストレージ）などに保存されているデータが適切な共有範囲にあるか確認し、必要に応じて適切なアクセス制を設定します。 特に個人情報や機密情報のファイルやフォルダには厳密に管理します。

・アクセス権限の設定は、定期的に確認し見直しします。また、従業員の異動や退職時にも見直しします。システム導入ベンダーにそのような保守サポートがある場合には、保守サポート契約を結ぶ。

対応製品

ポリシー管理・設定管理　＞＞
アクセス制御/可視化　＞＞
ポリシー管理・設定管理・監視　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

新たな脅威や攻撃手口についての情報が共有されないと、従業員はそれに対する正しい対応方法を知ることができません。未知の脅威に対処できず、攻撃の手口を理解できないままでいることが、セキュリティの脆弱性を増大させる可能性があります。

・毎年公開されるIPA10大脅威は、組織編、個人編とも読み込む。
https://www.ipa.go.jp/security/10threats/index.html

・JPCERT/CCのメーリングリストに登録して、メールが届いたら読む。自社に関係があるもの（脆弱性情報など）であれば適切な対処を行うか、他の社員にも知らせる（注意喚起）。
　　　　https://www.jpcert.or.jp/announce.html

・JNSAセキュリティ十大ニュースを閲覧する。
https://www.jnsa.org/active/news10/

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

机の上に放置された情報は、誰かに持ち去られたり、盗み見られたりする危険にさらされています。

・重要書類や電子媒体（秘密情報や個人情報を含む書類、USBメモリ、CD/DVDなど）の保管場所を定め、利用時以外は施錠管理する。

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

重要情報を社外へ持ち出す場合、思わぬ盗難にあったり、紛失したりするリスクがあります。

・ 持ち出し可能な機器や媒体（ノートPC、ポータブルディスクドライブ、USBメモリ、SDメモリーカード、CD-ROMなど）の持ち出しルールを定め、周知する。

・持ち出し可能な機器や媒体を持ち出す際は、部門管理者等の承認を得てから持ち出す。

・ 持ち出し可能な機器や媒体を持ち出す際に、持ち出した情報資産及び、日時、担当者名、受渡しや返却等を記録して管理する。

・持ち出し可能な機器や媒体を持ち出す際には、保存されている情報資産は暗号化、パスワード等による保護を行う。または、情報資産の保存先として管理者が許可した安全なクラウドサービスを利用し持ち出し機器には保存しない。

・USBメモリには、長くて目立つストラップを付ける。

・カフェやホテルのロビー、駅、列車内など、不特定他者が出入りする場所ではパソコンや書類を放置しない。

対応製品

外部接続デバイス制御　＞＞
DLP（情報漏えい対策）　＞＞
IRM（Information Rights Management）　＞＞
暗号化　＞＞

対応サービス

一般従業員向け教育・リテラシー教育　＞＞
コンサルティング(現状分析、ポリシー策定等)　＞＞

機器を操作可能な状態のまま放置すると、第三者が機器に不正にアクセスし重要情報にアクセスしたり、端末が不正に操作され、マルウェアなどの不正なソフトウェアがインストールされるなど、攻撃を受ける可能性があります。

・離席時の手動スクリーンロックおよび退社時のパソコンシャットダウンを社内ルール化する。

・社内のパソコンは一定時間操作をしない場合、自動的にスクリーンロックがかかるように設定する。

・パソコンにのぞき見防止フィルタを取り付ける。

対応製品

入退室管理システム　＞＞
DLP（情報漏えい対策）　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

ノートパソコンやタブレット端末、USBメモリなどは手軽に持ち運べる便利さがある反面、盗難や紛失の危険性も高くなります。

・情報機器の紛失等を発見できるようにするために、台帳等で設置場所や使用者を管理し、定期的に棚卸（資産の有無の確認）を実施する。

・盗難や不正持ち出しがないように、ノートパソコンやタブレット端末、備品(CD、USBメモリ、外付けハードディスクなど)を棚や机等で施錠管理する。または、セキュリティワイヤー等で机等に固定する。

対応製品

入退室管理システム　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

不正な侵入者が事務所に侵入し、機器の盗難や不正利用が発生する可能性があります。また、施錠が行われていない状態で機密書類が保管されている場合、悪意を持った者が容易にアクセスでき、機密情報の漏えいの危険性があります。

・最終退室者は、全ての出入口の施錠を確認し、退室時刻と退室者氏名を所定様式に記録する。

対応製品

入退室管理システム　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

重要情報が記載された書類をゴミ箱にそのまま捨てると、関係者以外の目に触れてしまい、重大な漏えい事故を引き起こすことがあります。また、電子機器・電子媒体に保存された情報は、ファイル削除の操作をしても復元される恐れがあります。

・情報機器や記録媒体を処分する際は、情報を復元できないように完全消去する。または、記録媒体は破砕機等を用いて物理的に破壊する。
【参考】総務省 国民のためのサイバーセキュリティサイト > 企業・組織の対策 > 情報管理担当者の情報セキュリティ対策 > 廃棄するパソコンやメディアからの情報漏洩
https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/business/business_admin_18.html

対応製品

記憶媒体の廃棄装置　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

従業員が守秘義務を理解していない場合、機密情報を外部に漏らしてしまう可能性があります。その結果、取引先の信用を失い、最悪の場合は取引停止となる可能性があります。同様に、気軽な動機で犯罪に走る可能性も考えられます。

・内部不正によって組織にどれだけの影響があるのか、自組織及び他組織で発生した不正行為等をまとめ説明する。

・内部規定(就業規則等)の整備及び懲戒処分について理解させる。

・個人情報保護法、不正競争防止法などの法人、個人の罰則を説明をする。

・機密保持に関する契約を全従業員（派遣・アルバイト含む）と交わす。
【参考】IPA「組織における内部不正防止ガイドライン 第5版」
4-6.人的管理 （20）教育による内部不正対策の周知徹底 、（22）派遣労働者による守秘義務の遵守、（23）雇用終了の際の人事手続き
4-7.コンプライアンス （26）誓約書の要請
https://www.ipa.go.jp/security/guide/hjuojm00000055l0-att/ps6vr7000000jvcb.pdf

対応製品

IRM（Information Rights Management）　＞＞
アクセス制御/可視化　＞＞

対応サービス

一般従業員向け教育・リテラシー教育　＞＞
コンサルティング(現状分析、ポリシー策定等)　＞＞

従業員がセキュリティ事故や攻撃に対する知識をもっていなかった場合、悪意のあるサイトへのアクセスや機密情報の入力が行われる可能性あります。また、十分な対策が施されないままだと、不正アクセスや重要情報、個人情報の漏えいの危険性が高くなります。

・情報セキュリティ教育を実施する（被害事例、服務規程、ITリテラシーなど）。

・全ての従業員にセキュリティ研修の機会を設ける。

・自業種に関わる法改訂や業務別ガイドラインがある場合は都度勉強会を実施する。

対応サービス

一般従業員向け教育・リテラシー教育　＞＞
コンサルティング(現状分析、ポリシー策定等)　＞＞

個人所有のPCは、会社のPCほどセキュリティ対策を行っていないため、ウイルス感染のリスクが高くなります。また、プライベートでさまざまなWebにアクセスしたりすることで、PCがランサムウェアに感染するリスクが高くなり、社内ネットワークに接続していた場合には、個人所有のPCから社内ネットワークに拡散してしまう恐れがあります。

・私物機器の利用は適切なセキュリティ対策が施せない場合があるため基本的には禁止とする。

・私物機器を利用する場合は、会社貸与機器と同程度のソフトウェア更新、ウイルス対策ソフトの導入、ログイン手順の厳格化（パスワード管理、二要素認証、生体認証等）等、情報セキュリティリスクの低減が図れる場合のみに、個別の許可制で利用させるようにする。（必要に応じて、かかる費用は会社が負担する。）

・私物機器を業務で利用する際の注意事項（事務所外での取扱、アクセスが許可される社内外システム、データの保存の可否、紛失時の対応など）についてルールを定め、周知、遵守させる。 （順守事項等の承諾書をとっておくことを推奨）

・許可されていない私物機器は社内ネットワークに接続させない。

対応製品

個人認証用デバイス及びその認証システム　＞＞
個人認証用生体認証デバイス及びその認証システム　＞＞
端末接続制御（ネットワーク検疫）　＞＞

対応サービス

一般従業員向け教育・リテラシー教育　＞＞
コンサルティング(現状分析、ポリシー策定等)　＞＞

機密情報の取扱いに関するが定めがない場合、機密情報が漏えいした場合、不正競争防止法に基づく差し止め請求や損害賠償請求ができなくなる恐れがあります。また、委託先で個人情報が漏えいした場合、責任を負うのは発注元であり、個人情報保護委員会等への報告義務も発注元にあります。

・取引先との契約には、適切にセキュリティに係る要求事項（秘密保持、証跡の提示、監査協力等、情報セキュリティ事故が発生した場合の対応など）を含める。

・ISMS認証やプライバシーマーク認証の取得状況、または、IPA SECURITY ACTION （二つ星）の自己宣言の有無などを考慮し取引先を選定する。

・継続的に取引する場合には、ISMS認証やプライバシーマーク認証の取得状況を確認する。あるいは、業界ごとのセキュリティガイドラインやIPAの「5分でできる！情報セキュリティ自社診断」などを用いて対策の実施状況を確認する。

対応サービス

一般従業員向け教育・リテラシー教育　＞＞
コンサルティング(現状分析、ポリシー策定等)　＞＞

サービス提供事業者が十分なセキュリティ対策を講じていない場合、悪意のある攻撃者による不正アクセスやデータ漏えいが発生する可能性があります。また、サービスの停止や障害によりサービスが利用できなくなった場合、事業継続に影響する可能性があります。場合によってはサービス提供事業者の責任範囲や賠償範囲に関して論争が生じる可能性があります。

・外部サービスを利用する際は、サービス内容や契約内容、セキュリティ対策が十分かなどを確認する。

・具体的には、IPAが提供する「中小企業の情報セキュリティ対策ガイドライン　付録6：中小企業のためのクラウドサービス安全利用の手引き」を参考にしながら、外部サービスの選定時、運用時、管理面でのポイントを確認する。
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000072150.pdf

対応製品

アクセス制御/可視化　＞＞
ポリシー管理・設定管理・監視　＞＞

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞

適切な対応手順や緊急時の体制が整備されていないと、セキュリティ事故が発生した際に対応が迅速かつ効果的に行えず、混乱が生じる可能性があります。

・組織内外（IT製品のメーカー、保守ベンダー等も含む）の緊急連絡先・伝達ルートを整備する。

・「中小企業のためのセキュリティインシデント対応の手引き」を確認しておく。また、システム導入ベンダーにそのようなサポートがあるか事前に確認しておく。
【参考】「中小企業のためのセキュリティインシデント対応の手引き」
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/security-incident.pdf

対応製品

ポリシー管理・設定管理　＞＞
バックアップ製品　＞＞

対応サービス

訓練（演習）　＞＞
事業継続（BCP・BCM）　＞＞
コンサルティング(現状分析、ポリシー策定等)　＞＞

セキュリティ対策がルール化されていないと、不正アクセスや情報漏えいなどのリスクが高まります。そのほか、脆弱性の見落としや法令違反の危険性、個人に依存した対応によるリスクなど様々なセキュリティリスクが増加します。

・IPA「中小企業の情報セキュリティ対策ガイドライン」「4 （3）情報セキュリティ規程の作成」を参照し、「付録５ 情報セキュリティ関連規程（サンプル）」自社向けに編集して規程（ルール）を作成する。
付録4：情報セキュリティハンドブック（ひな形）（全17ページ）(442 KB)
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000055529.pptx
付録5：情報セキュリティ関連規程（サンプル）（全45ページ）(Word:166 KB)
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000055794.docx

・セキュリティポリシー（基本方針）を公開することでステークホルダーや社会に対する企業としての姿勢を示し、信頼性を高める。

・規程（ルール）を作成、運用に当たっては、事前に以下のIPAの動画を見る。
https://www.youtube.com/watch?v=fot-PEzBZO4

対応サービス

コンサルティング(現状分析、ポリシー策定等)　＞＞