2-2 電子メールを利用する
パソコンやスマホなど情報機器のOS やソフトウェアは常に最新の状態にする。 （25項目 No.1 有効）
OSやソフトウェアの脆弱性を利用した悪意のあるソフトウェア（マルウェア）の感染や外部からの不正アクセスによる侵入により、情報漏洩や業務停止などの影響があります。
・事務所のパソコンのOSやソフトウェアをリストアップし、OSやソフトウェアのバージョン管理を行う。（資産管理ソフト等を利用する方法もある）
・OSやソフトウェアのバージョンが常に最新のものであるかチェックし、適宜、更新を行う。自社に作業を行う人員がいない場合には、システム導入ベンダーに委託する方法もある。
・可能な限り、OS、アプリケーション･ソフトウェア共に、自動更新機能があるもを使い、機能を有効にする。
・ネットワーク機器（ルーター、WiｰFi、ファイヤウォール、UTM）およびネットワークに接続されている機器（プリンタ、NAS、Webカメラ等々）などのファームウェアや管理ソフトのバージョンは最新のものに管理する必要がある。自社で管理が難しい場合には、システム導入ベンダーに対応を相談する。また、システム導入ベンダーにそのような保守サポートがある場合には、保守契約を結ぶ。
・不要なソフトウエアやサポートが切れているソフトウェアをアンインストールする。
対応製品
ポリシー管理・設定管理 ＞＞
IT資産管理 ＞＞
脆弱性検査 ＞＞
対応サービス
パソコンやスマホなどにはウイルス対策ソフトを導入し、ウイルス定義ファイルは最新の状態にする。 （25項目 No.2 有効)
ウイルス定義ファイルを更新しないと、最新のマルウェアへの対応ができず感染リスクが高まります。
・有償、無償に拘わらずJNSAソリューションガイドの掲載されているウイルス対策ソフトを初め、有名なウイルス対策ソフトを使う。または、システム導入ベンダーが推奨するウイルス対策ソフトを使う。
・ウイルス定義ファイルが自動更新されているかを定期的に確認をする。
・ネットワークに接続されていない工場の制御系システムのパソコンは、システム導入ベンダーに対応を相談する。また、システム導入ベンダーにそのような保守サポートがある場合には、保守契約を結ぶ。
・統合型の対策ソフトの導入を推奨する。（ウイルス検知･駆除だけでなく、Web脅威対策、迷惑メール対策、情報漏えい対策などの機能も備わっているもの。）
・業務に使う場合は、スマートフォンやタブレットにもセキュリティ対策ソフトを導入する。
対応製品
ウイルス対策 ＞＞
EDR ＞＞
UTM ＞＞
セキュアウェブゲートウェイ ＞＞
対応サービス
パスワードは破られにくい「長く」「複雑な」パスワードを設定する。 （25項目 No.3 優先)
簡単なパスワードが使われると、推測や解析されたり、ウェブサービスから流出したID・パスワードが悪用されたりすることで、不正にログインされてしまいます。
また、同じID・パスワードを複数のウェブサービスやシステムで使い回していると、一つのウェブサービスの中からパスワードが流出した場合に、別のウェブサービスやシステムが不正にログインされるリスクが高まります。
・パスワードは、１０文字以上でできるだけ長くし、大文字、小文字、数字、記号含めて推測されにくい複雑なパスワードを設定する。
・他のサービスとの使い回しをしない。
・パスワードの作り方、管理の方法は以下の動画（IPA）を参考にする。
https://www.youtube.com/watch?v=lXh0b4KS9gE
・パスワード認証だけに限らず、利用可能な場合は多要素認証（生体認証、ワンタイムパスワードなど）も利用する。
・ネットワークにつながる機器の管理画面（設定ページなど）の初期パスワードは変更しておく。
【参考】インターネットの安全・安心ハンドブック 第1章 ：NISC
https://security-portal.nisc.go.jp/guidance/pdf/handbook/handbook-01.pdf
対応製品
個人認証用デバイス及びその認証システム ＞＞
個人認証用生体認証デバイス及びその認証システム ＞＞
アイデンティティ（ID）管理 ＞＞
特権ID管理 ＞＞
アクセス許可・シングルサインオン（SSO） ＞＞
PKIシステム及びそのコンポーネント ＞＞
対応サービス
新たな脅威や攻撃の手口を知り対策を社内共有する。 （25項目 No.5 有効）
新たな脅威や攻撃手口についての情報が共有されないと、従業員はそれに対する正しい対応方法を知ることができません。未知の脅威に対処できず、攻撃の手口を理解できないままでいることが、セキュリティの脆弱性を増大させる可能性があります。
・毎年公開されるIPA10大脅威は、組織編、個人編とも読み込む。
https://www.ipa.go.jp/security/10threats/index.html
・JPCERT/CCのメーリングリストに登録して、メールが届いたら読む。自社に関係があるもの（脆弱性情報など）であれば適切な対処を行うか、他の社員にも知らせる（注意喚起）。
https://www.jpcert.or.jp/announce.html
・JNSAセキュリティ十大ニュースを閲覧する。
https://www.jnsa.org/active/news10/
対応サービス
電子メールの添付ファイルや本文中のURL リンクを介したウイルス感染に気をつける。 （25項目 No.6 優先)
電子メールに仕込まれた悪意のある添付ファイルを開いたり、電子メール本文中に記載されたURLリンクをクリックしたりすることでウイルスに感染する可能性があります。
・社員全員が、IPAの動画「そのメール本当に信用してもいいんですか？ -標的型サイバー攻撃メールの手口と対策-」を見る。 https://www.youtube.com/watch?v=5K9U0-ASQM8
・ウイルス対策ソフトは、電子メールの安全性を検査する機能（マルウェア検出、リンク先の評価、スパムメール検出など）の有るものを使う。若しくは、通信業者やクラウドサービス事業者が提供する電子メールサービスを使用する際には、電子メール対策のオプションを利用する。
対応製品
ウィルス対策 ＞＞
UTM ＞＞
メール・セキュリティ対策 ＞＞
対応サービス
電子メールやFAX の宛先の送信ミスを防ぐ取り組みを実施する。 （25項目 No.7 優先)
電子メールは、複数の宛先に同時に送信できるため非常に便利な連絡手段ですが、誤って関係のない宛先にメールを送信する可能性があります。これにより、個人情報や機密情報が漏えいする可能性があります。
また、FAXも同様ですが、FAXの場合、宛先のFAXに印刷されて残るため、メールよりも多くの人が目にする可能性があります。
・メールソフトに宛先チェック、送信保留、取り消しなど誤送信防止機能がある場合は有効にする。（有償のメール誤送信防止ツールを導入を推奨する。
・電子メールを送信する際に、社内の関係者にccを入れ、誤送信を早期に発見できるようにする。
対応製品
対応サービス
重要情報は電子メール本文に書くのではなく、添付するファイルに書いてパスワードなどで保護する。 （25項目 No.8 優先)
電子メールは、送受信の記録が残るため大変便利な連絡方法ですが、一方で複製や転送が簡単であり、メール本文に記述した重要情報がたちまち漏えいしてしまう危険性があります。
・個人情報や機密情報などの重要な情報は、電子メールの本文に書くことはせず、別ファイルに書いて強固なパスワードで保護し、それをファイル交換クラウドサービスを用いて、または、メールに添付して送る。
・ファイルをパスワードで保護するには、マイクロソフト WordやExcelのパスワード機能や、ファイルアーカイブツール（ZIPツールなど）のパスワード機能を使う。
・パスワードは両者であらかじめ決めておくか、SMSなどの安全な方法で相手に伝える。（ファイル交換サービスを案内するメールや、ファイルを添付するメールの中にパスワードを書かない。）
対応製品
暗号化 ＞＞
DLP（情報漏えい対策） ＞＞
メール・セキュリティ対策 ＞＞
IRM（Information Rights Management） ＞＞
対応サービス
インターネットを介したウイルス感染やSNSへの書き込みなどのトラブルを防ぐための対策を講じる。 （25項目 No.10 有効)
悪意のあるウェブサイトやセキュリティ上の問題があるウェブサイトを閲覧することでウイルス感染する可能性があります。また、SNSや掲示板へ悪ふざけした画像を投稿したり秘密情報を勝手に掲載して会社に被害を及ぼすことがあります。
・ウイルス対策ソフトは、Webのリンク先の安全性を検査する機能の有るものを使う。
・セキュリティアップデートが定期的に提供され安全性が担保されているブラウザを使用する。（Google Chrome、Microsoft Edge、Safariなど）
・「中小企業の情報セキュリティ対策ガイドライン 付録4：情報セキュリティハンドブック（ひな形）」等を参考にインターネット利用時の社内ルールを策定し周知する。
https://www.ipa.go.jp/security/guide/sme/about.html
対応製品
対応サービス
従業員に守秘義務を理解してもらい、業務上知り得た情報を外部に漏らさないなどのルールを守らせる。 （25項目 No.19 有効)
従業員が守秘義務を理解していない場合、機密情報を外部に漏らしてしまう可能性があります。その結果、取引先の信用を失い、最悪の場合は取引停止となる可能性があります。同様に、気軽な動機で犯罪に走る可能性も考えられます。
・内部不正によって組織にどれだけの影響があるのか、自組織及び他組織で発生した不正行為等をまとめ説明する。
・内部規定(就業規則等)の整備及び懲戒処分について理解させる。
・個人情報保護法、不正競争防止法などの法人、個人の罰則を説明をする。
・機密保持に関する契約を全従業員（派遣・アルバイト含む）と交わす。
【参考】IPA「組織における内部不正防止ガイドライン 第5版」
4-6.人的管理 （20）教育による内部不正対策の周知徹底 、（22）派遣労働者による守秘義務の遵守、（23）雇用終了の際の人事手続き
4-7.コンプライアンス （26）誓約書の要請
https://www.ipa.go.jp/security/guide/hjuojm00000055l0-att/ps6vr7000000jvcb.pdf
対応製品
IRM（Information Rights Management） ＞＞
アクセス制御/可視化 ＞＞
対応サービス
従業員にセキュリティに関する教育や注意喚起を行う。 （25項目 No.20 有効)
従業員がセキュリティ事故や攻撃に対する知識をもっていなかった場合、悪意のあるサイトへのアクセスや機密情報の入力が行われる可能性あります。また、十分な対策が施されないままだと、不正アクセスや重要情報、個人情報の漏えいの危険性が高くなります。
・情報セキュリティ教育を実施する（被害事例、服務規程、ITリテラシーなど）。
・全ての従業員にセキュリティ研修の機会を設ける。
・自業種に関わる法改訂や業務別ガイドラインがある場合は都度勉強会を実施する。
対応サービス
重要情報の授受を伴う取引先との契約書には、秘密保持条項を規定する。 （25項目 No.22 有効)
機密情報の取扱いに関するが定めがない場合、機密情報が漏えいした場合、不正競争防止法に基づく差し止め請求や損害賠償請求ができなくなる恐れがあります。また、委託先で個人情報が漏えいした場合、責任を負うのは発注元であり、個人情報保護委員会等への報告義務も発注元にあります。
・取引先との契約には、適切にセキュリティに係る要求事項（秘密保持、証跡の提示、監査協力等、情報セキュリティ事故が発生した場合の対応など）を含める。
・ISMS認証やプライバシーマーク認証の取得状況、または、IPA SECURITY ACTION （二つ星）の自己宣言の有無などを考慮し取引先を選定する。
・継続的に取引する場合には、ISMS認証やプライバシーマーク認証の取得状況を確認する。あるいは、業界ごとのセキュリティガイドラインやIPAの「5分でできる！情報セキュリティ自社診断」などを用いて対策の実施状況を確認する。
対応サービス
クラウドサービスやウェブサイトの運用等で利用する外部サービスは、安全・信頼性を把握して選定する。 （25項目 No.23 有効)
サービス提供事業者が十分なセキュリティ対策を講じていない場合、悪意のある攻撃者による不正アクセスやデータ漏えいが発生する可能性があります。また、サービスの停止や障害によりサービスが利用できなくなった場合、事業継続に影響する可能性があります。場合によってはサービス提供事業者の責任範囲や賠償範囲に関して論争が生じる可能性があります。
・外部サービスを利用する際は、サービス内容や契約内容、セキュリティ対策が十分かなどを確認する。
・具体的には、IPAが提供する「中小企業の情報セキュリティ対策ガイドライン 付録6：中小企業のためのクラウドサービス安全利用の手引き」を参考にしながら、外部サービスの選定時、運用時、管理面でのポイントを確認する。
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000072150.pdf
対応製品
アクセス制御/可視化 ＞＞
ポリシー管理・設定管理・監視 ＞＞
対応サービス
セキュリティ事故が発生した場合に備え、緊急時の体制整備や対応手順を作成するなど準備する。 （25項目 No.24 有効)
適切な対応手順や緊急時の体制が整備されていないと、セキュリティ事故が発生した際に対応が迅速かつ効果的に行えず、混乱が生じる可能性があります。
・組織内外（IT製品のメーカー、保守ベンダー等も含む）の緊急連絡先・伝達ルートを整備する。
・「中小企業のためのセキュリティインシデント対応の手引き」を確認しておく。また、システム導入ベンダーにそのようなサポートがあるか事前に確認しておく。
【参考】「中小企業のためのセキュリティインシデント対応の手引き」
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/security-incident.pdf
対応製品
対応サービス
情報セキュリティ対策（上記1 ～ 24 など）をルール化し、従業員に明示する。 （25項目 No.25 優先)
セキュリティ対策がルール化されていないと、不正アクセスや情報漏えいなどのリスクが高まります。そのほか、脆弱性の見落としや法令違反の危険性、個人に依存した対応によるリスクなど様々なセキュリティリスクが増加します。
・IPA「中小企業の情報セキュリティ対策ガイドライン」「4 （3）情報セキュリティ規程の作成」を参照し、「付録５ 情報セキュリティ関連規程（サンプル）」自社向けに編集して規程（ルール）を作成する。
付録4：情報セキュリティハンドブック（ひな形）（全17ページ）(442 KB)
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000055529.pptx
付録5：情報セキュリティ関連規程（サンプル）（全45ページ）(Word:166 KB)
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/000055794.docx
・セキュリティポリシー（基本方針）を公開することでステークホルダーや社会に対する企業としての姿勢を示し、信頼性を高める。
・規程（ルール）を作成、運用に当たっては、事前に以下のIPAの動画を見る。
https://www.youtube.com/watch?v=fot-PEzBZO4
対応サービス