k303 072 rev outline

(1)

政府機の情報セキュリテ対策のための統一基準

第㄰版の改訂の概要

ㄯ００８年ㄯ月

内官房情報セキュリテセンター

(2)

政府機統一基準

政府機統一基準第第版版概要概要

技術環境変化反映

ンネテ NS 対策

新規

NS 攻撃電子等政府機サ妨害等対策追加

監視機能

遵事項追加

情報セキュテ侵害予防対処抑目的監視係対策追加

政府機サ成対策

新規

成サ対策政府機使用ン規定

実務即見直等

遵事項明確化

用語整理

参考：政府機統一基準解説書記述明確化

○ 国民等 P ン全性確保い解説充実

(3)

1 1 - - 1 1 ^ドメ ^ドメ ^{ンネームシステムㄥ} ^{ンネームシステムㄥ} DNS DNS ^ㄦに ^ㄦに ^す ^す ^対策 ^対策 ^－ ^－ 1 1 ^－ ^－

^DNS

^構築時 ^講 ^セキュ ^テ ^対策

9 ^や電子 ^サ ^定 ^利用 ^う

Ö^要 ^定情報 ^取 ^扱う情報 ^テ ^前解決 ^提供 ^DNS ^コンテン ^サ ^い ^前解決 ^停 ^い

措置講こ基曓遵事項 _(1)(a) _ISP 提供セカン _DNS 利用冗長化等

9 ^管理 ^手続 ^定

Ö^DNS ^コンテン ^サ ^い ^管理 ^ン ^情報 ^運用管理 ^手続 ^定 ^こ ^基曓遵 ^事項 (1)(b)

9 ^第 ^者 ^キャ ^ュサ ^{利用やキャ} ^ュ情報 ^汚染 ^防

Ö^DNS ^キャ ^ュサ ^い ^府省庁外 ^前解決 ^要求 ^応 ^府省庁内 ^前解決 ^要求 ^回答

行う措置講こ基曓遵事項 _(1)(c) ォ等クセ制御等

9 ^{府省庁内部} ^情報 ^漏えい ^防

Ö^DNS ^コンテン ^サ ^い ^内部 ^使用 ^前 ^解決 ^提供 ^場合 ^当該情報 ^外部 ^漏えい ^い ^措

置講こ基曓遵事項 _(1)(d) ォ等クセ制御等

9 ^DNS ^成 ^や管理 ^ン ^情報 ^ン情報 ^改 ^検出

Ö^重要 ^情報 ^テ ^前解決 ^提供 ^DNS ^コンテン ^サ ^い ^管理 ^ン ^情報 ^電子署 ^付

こ強化遵事項 _(1)(e) _DNSSEC等利用

^ン ^ネ ^基礎 ^DNS ^{情報セキュ} ^テ ^必要 ^措置 ^求

新規項目 _5.3.4

^威

1. DoS^攻撃

2. ^サ ^等機器 ^故

3. ^外部 ^者 ^クセ ^情報 ^破壊 ^改

4. ^外部 ^者 ^内部資産 ^キャ ^ュサ ^使用 ^等

^ク ^影響

1. DNS ^機能停

→ 外部向サ停府省庁内業務停滞

2. DNS ^情報 ^混入

→ サ誘導

3. ^内部情報 IP ^等 ^漏えい ^等

(4)

1 1 - - 1 1 ^ドメ ^ドメ ^{ンネームシステムㄥ} ^{ンネームシステムㄥ} DNS DNS ^ㄦに ^ㄦに ^す ^す ^対策 ^対策 ^－ ^－ 2 2 ^－ ^－ ^新規項目 ^5.3.4

^ン ^ネ ^基礎 ^DNS ^{情報セキュ} ^テ ^必要 ^措置 ^求

ォ

DNS ^コンテン ^サ

キャュサ

DNS ^問い合わ

管理ン情報

電子署

5.3.4(1)(b)

キャュサ

5.3.4(1)(c) ^コンテン ^サ

○○府省庁向

5.3.4(1)(d)

○○府省庁_LAN

公開ネワク DMZ

ンネ

5.3.4(1)(e)

コンテンサンネ向

DMZ^又 ^他ネ

ワク _ISP等

5.3.4(1)(a)

(5)

1 1 - - 1 1 ^ドメ ^ドメ ^{ンネームシステムㄥ} ^{ンネームシステムㄥ} DNS DNS ^ㄦに ^ㄦに ^す ^す ^対策 ^対策 ^－ ^－ 3 3 ^－ ^－

^DNS

^運用時 ^講 ^セキュ ^テ ^対策

9 ^冗長化 ^コンテン ^サ ^間 ^整合性 ^維持

Ö^DNS ^コンテン ^サ ^複数 ^設置 ^場合 ^管理 ^ン ^情報 ^い ^サ ^間 ^整合性

維持こ基曓遵事項 _(2)(a) ン転送等

9 ^管理 ^ン ^情報 ^確性 ^維持

Ö^DNS ^コンテン ^サ ^い ^管理 ^ン ^情報 ^運用管理 ^手続 ^基 ^い ^当該情

報確あこ適宜確認こ基曓遵事項 _(2)(b)

新規項目 _5.3.4

^ン ^ネ ^基礎 ^DNS ^{情報セキュ} ^テ ^必要 ^措置 ^求

ォ

DNS ^コンテン ^サ

キャュサ

DNS ^問い合わ

管理ン情報

電子署

5.3.4(2)(b)

キャュサ

コンテンサ

○○府省庁向

○○府省庁_LAN

公開ネワク DMZ

ンネ

5.3.4(2)(a)

コンテンサ

ンネ向

DMZ^又 ^他ネ

ワク _ISP等

(6)

1 1 - - 2 2 ^監視機能 ^監視機能

^監視 ^実施

9 ^監視 ^行う

Ö^情報 ^テ ^い ^{情報セキュ} ^テ ^侵害又 ^そ ^そ ^あ ^事象 ^発生 ^監視 ^必要性 ^暼無 ^検

討必要あ認場合監視必要措置定こ基曓遵事項 _(1)(e) 追加

4.3.1 ^情報 ^テ ^セキュ ^テ ^要件 ^既存項 (1) ^情報 ^テ ^計画 ^遵 ^事項 ^項目 ^追加

^{情報セキュ} ^テ ^侵害 ^予防 ^対処 ^抑 ^目的 ^監視 ^実施 ^求

^{情報セキュ} ^テ ^侵害

^{情報セキュ} ^テ ^侵害そあ事象

^{情報セキュ} ^テ ^侵害

^{情報セキュ} ^テ ^侵害そあ事象

府省庁い監視必要あ認事象い実施

^ン ^ネ ^府省庁 ^情報 ^テ ^攻撃 ^監視

－侵入検知テ _IDS 等

^禁 ^端曒 ^{持込や内部ネ} ^ワ ^ク ^無許 ^接続 ^監視

^サ ^{装置等機器} ^常 ^動作 ^等

府省庁い監視必要あ認事象い実施

^ン ^ネ ^府省庁 ^情報 ^テ ^攻撃 ^監視

－侵入検知テ _IDS 等

^禁 ^端曒 ^{持込や内部ネ} ^ワ ^ク ^無許 ^接続 ^監視

^サ ^{装置等機器} ^常 ^動作 ^等

監視対象

具体例

追加項目 _4.3.1.(1)

^情報 ^テ ^い ^必要 ^監視 ^定

情報テ計画時準備例

(7)

1 1 - - 3 3 ^政府機 ^政府機 ^サ ^サ ^トへの成 ^トへの ^成 ^{すまし対策} ^{すまし対策} ^－ ^－ 1 1 ^－ ^－

^国民等 ^政府機 ^サ ^曓物 ^あ ^確認 ^成 ^サ ^識別

対策実施求

新規項目 _6.3.3

^政府機 ^内外 ^{送信元詐称} ^多発 ^い ^状況 ^行政サ ^利用 ^国民等 ^成 ^サ誘導こ懸念

^政府機 ^割 ^当 ^ン ^使用 ^こ ^国民等 ^成 ^サ ^気 ^こ

^セキュ ^ャ ^ン ²⁰⁰⁶^年⁶^暻¹⁵^日 ^{情報セキュ} ^テ ^{政策会議決定} ^い ^政府機 ^成 ^防期限区切取組セキュャン ₂₀₀₇年₆暻₁₄日情報セキュテ政策会議決定原則

2008^年3^暻 ^引 ^続 ^期限 ^再確認 ^い ^第 ^章^第 ^節 ^③

^政府機 ^内外 ^{送信元詐称} ^多発 ^い ^状況 ^行政サ ^利用 ^国民等 ^成 ^サ誘導こ懸念

^政府機 ^割 ^当 ^ン ^使用 ^こ ^国民等 ^成 ^サ ^気 ^こ

^セキュ ^ャ ^ン ²⁰⁰⁶^年⁶^暻¹⁵^日 ^{情報セキュ} ^テ ^{政策会議決定} ^い ^政府機 ^成 ^防期限区切取組セキュャン ₂₀₀₇年₆暻₁₄日情報セキュテ政策会議決定原則

2008^年3^暻 ^引 ^続 ^期限 ^再確認 ^い ^第 ^章^第 ^節 ^③

背景

^ン ^使用 ^い ^対策

9 ^{統括情報セキュ} ^テ ^責任者 ^ンネ ^テ ^ン ^以 ^ン ^言う ^使用 ^い以事項行政事務従事者求規定整備こ基曓遵事項 _(1)(a)

告知ン使用

Ö^{( )}^{行政事務従事者} ^府省庁外 ^者 ^国外在 ^者 ^除 ^以 ^曓項 ^い ^対 ^クセ ^や送信 ^こ目的ン告知場合以政府機ンあこ保証ン以政府ン

いう使用こ

• go.jp ^終わ ^ン

•^日曓語 ^ン ^中 ^行政等 ^予約 ^ン

電子送信又政府ン掲載限以条件満場合政府ン

以外ン府省庁以外告知い

•^電子 ^送信 ^場合 ^告知内容 ^い ^問い合わ ^先 ^政府 ^ン ^電子 ^明記

い又政府ン電子署いこ

•^告知 ^ン ^管理 ^組織 ^明記 ^こ

•^告知 ^ン ^暼効性 ^確認 ^時期又 ^暼効性 ^保証 ^期間 ^い ^明記 ^い ^こ

(8)

1 1 - - 3 3 ^政府機 ^政府機 ^サ ^サ ^トへの成 ^トへの ^成 ^{すまし対策} ^{すまし対策} ^－ ^－ 2 2 ^－ ^－

^国民等 ^政府機 ^サ ^曓物 ^あ ^確認 ^成 ^サ ^識別

対策実施求

^ン ^使用 ^い ^対策 ^続

電子送信元ン

Ö^{( )}^{行政事務従事者} ^府省庁外 ^者 ^対 ^電子 ^送信元 ^ン ^使用 ^場合 ^政府 ^ン ^使用こ当該府省庁外者当該行政事務従事者既知者あ場合除

コンテン保存等使用サン

Ö⁽ ⁾^{行政事務従事者} ^府省庁外 ^者 ^対 ^クセ ^こ ^目的 ^情報 ^保存 ^サ ^使用 ^場合

政府ンサ使用こ

新規項目 _6.3.3

(9)

2 2 ^{実務に即した見直し等} ^{実務に即した見直し等}

2-1 ^{遵守事項の明確化}

z ^4.1.6

^暗号 ^{電子署名ㄥ鍵管理を含} ^ㄦ

府省庁使用するルゴリズムについ統括情報セキュリテ責任者が定る事項の表現を

明確化する

2-2 ^{用語の整理}

z

^{情報システムのラ} ^フサ ^クルにつ ^計画 ^構築 ^運用 ^{等の用法を整理} ^統一する

z

^その他

(10)

参考参考国民等が国民等が _PC _PC にダにダンロードすンロードすソフトソフトの安全性確保についての安全性確保について

^電子申請 ^利用 ^国民等

^PC

^ン ^実行環境 ^ン ^求 ^場合 ^あ

ン当該い弱性指摘新ョン移行等解決

措置迅速行えい事例旧版

_JRE

使用見

^情報 ^テ ^構築後 ^弱性 ^報告 ^能性 ^考慮 ^是 ^容易 ^行え ^{準備及び設計}

行うこ求

^電子申請 ^利用 ^国民等

^PC

^ン ^実行環境 ^ン ^求 ^場合 ^あ

ン当該い弱性指摘新ョン移行等解決

措置迅速行えい事例旧版

_JRE

使用見

^情報 ^テ ^構築後 ^弱性 ^報告 ^能性 ^考慮 ^是 ^容易 ^行え ^{準備及び設計}

行うこ求

背景

^遵 ^事項 ^既存

統括情報セキュテ責任者府省庁外情報セキュテ水準招行防措置

い規定整備こ

基曓遵事項 6.3.1(1)(a)

^解説

^注

^改訂

9 ^府省庁外 ^{情報セキュ} ^テ ^水準 ^招 ^行 ^説明 ^充実

適切使用要求

適切設定要求

等適切削除要求

9 ^国民等 ^PC ^ン ^全性 ^確保 ^対策 ^実施 ^求

府省庁外情報セキュテ水準招行防一具体的解説

(11)

k303 072 rev outline

政府機 の情報セキュリテ 対策のための統一基準

第㄰版の改訂の概要

ㄯ００８年ㄯ月

内 官房情報セキュリテ センター

政府機 統一基準

政府機 統一基準 第 第 版 版 概要 概要

技術 環境 変化 反映

ンネ テ NS 対策

NS 攻撃 電子 等 政府機 サ 妨害等 対策 追加

監視機能

情報セキュ テ 侵害 予防 対処 抑 目的 監視 係 対策 追加

政府機 サ 成 対策

成 サ 対策 政府機 使用 ン 規定

実務 即 見直 等

遵 事項 明確化

用語 整理

参考： 政府機 統一基準解説書 記述 明確化

○ 国民等 P ン 全性確保 い 解説 充実

1 1 - - 1 1 ドメ ドメ ンネームシステムㄥ ンネームシステムㄥ DNS DNS ㄦに ㄦに す す 対策 対策 － － 1 1 － －



構築時 講 セキュ テ 対策

 ン ネ 基礎 DNS 情報セキュ テ 必要 措置 求

新規項目 5.3.4

 威

 ク 影響

1 1 - - 1 1 ドメ ドメ ンネームシステムㄥ ンネームシステムㄥ DNS DNS ㄦに ㄦに す す 対策 対策 － － 2 2 － － 新規項目 5.3.4

 ン ネ 基礎 DNS 情報セキュ テ 必要 措置 求

1 1 - - 1 1 ドメ ドメ ンネームシステムㄥ ンネームシステムㄥ DNS DNS ㄦに ㄦに す す 対策 対策 － － 3 3 － －



運用時 講 セキュ テ 対策

新規項目 5.3.4

 ン ネ 基礎 DNS 情報セキュ テ 必要 措置 求

1 1 - - 2 2 監視機能 監視機能

 監視 実施

 情報セキュ テ 侵害 予防 対処 抑 目的 監視 実施 求

監視対象

監視対象

具体例

具体例

追加項目 4.3.1.(1)

情報 テ 計画時 準備例

情報 テ 計画時 準備例

1 1 - - 3 3 政府機 政府機 サ サ トへの成 トへの 成 すまし対策 すまし対策 － － 1 1 － －

 国民等 政府機 サ 曓物 あ 確認 成 サ 識別

対策 実施 求

新規項目 6.3.3

背 景

背 景

 ン 使用 い 対策

1 1 - - 3 3 政府機 政府機 サ サ トへの成 トへの 成 すまし対策 すまし対策 － － 2 2 － －

 国民等 政府機 サ 曓物 あ 確認 成 サ 識別

対策 実施 求

 ン 使用 い 対策 続

新規項目 6.3.3

2 2 実務に即した見直し等 実務に即した見直し等

2-1 遵守事項の明確化

暗号 電子署名ㄥ鍵管理を含 ㄦ

府省庁 使用する ルゴリズムについ 統括情報セキュリテ 責任者が定 る事項の表現を

明確化する

2-2 用語の整理

情報システムのラ フサ クルにつ 計画 構築 運用 等の用法を整理 統一する

その他

参考 参考 国民等が 国民等が PC PC にダ にダ ンロードす ンロード す ソフト ソフト の安全性確保について の安全性確保に ついて

 電子申請 利用 国民等

ン 実行環境 ン 求 場合 あ

ン 当該 い 弱性 指摘 新 ョン 移行等 解決

措置 迅速 行え い事例 旧版

使用 見

 情報 テ 構築後 弱性 報告 能性 考慮 是 容易 行え 準備及び設計

行うこ 求

 電子申請 利用 国民等

ン 実行環境 ン 求 場合 あ

ン 当該 い 弱性 指摘 新 ョン 移行等 解決

措置 迅速 行え い事例 旧版

使用 見

 情報 テ 構築後 弱性 報告 能性 考慮 是 容易 行え 準備及び設計

行うこ 求

背 景

背 景

政府機の情報セキュリテ対策のための統一基準

内官房情報セキュリテセンター

政府機統一基準

政府機統一基準第第版版概要概要

技術環境変化反映

ンネテ NS 対策

NS 攻撃電子等政府機サ妨害等対策追加

情報セキュテ侵害予防対処抑目的監視係対策追加

政府機サ成対策

成サ対策政府機使用ン規定

実務即見直等

遵事項明確化

用語整理

参考：政府機統一基準解説書記述明確化

○ 国民等 P ン全性確保い解説充実

1 1 - - 1 1 ^ドメ ^ドメ ^{ンネームシステムㄥ} ^{ンネームシステムㄥ} DNS DNS ^ㄦに ^ㄦに ^す ^す ^対策 ^対策 ^－ ^－ 1 1 ^－ ^－

^構築時 ^講 ^セキュ ^テ ^対策

^ン ^ネ ^基礎 ^DNS ^{情報セキュ} ^テ ^必要 ^措置 ^求

新規項目 _5.3.4

^威

^ク ^影響

1 1 - - 1 1 ^ドメ ^ドメ ^{ンネームシステムㄥ} ^{ンネームシステムㄥ} DNS DNS ^ㄦに ^ㄦに ^す ^す ^対策 ^対策 ^－ ^－ 2 2 ^－ ^－ ^新規項目 ^5.3.4

^ン ^ネ ^基礎 ^DNS ^{情報セキュ} ^テ ^必要 ^措置 ^求

1 1 - - 1 1 ^ドメ ^ドメ ^{ンネームシステムㄥ} ^{ンネームシステムㄥ} DNS DNS ^ㄦに ^ㄦに ^す ^す ^対策 ^対策 ^－ ^－ 3 3 ^－ ^－

^運用時 ^講 ^セキュ ^テ ^対策

新規項目 _5.3.4

^ン ^ネ ^基礎 ^DNS ^{情報セキュ} ^テ ^必要 ^措置 ^求

1 1 - - 2 2 ^監視機能 ^監視機能

^監視 ^実施

^{情報セキュ} ^テ ^侵害 ^予防 ^対処 ^抑 ^目的 ^監視 ^実施 ^求

追加項目 _4.3.1.(1)

情報テ計画時準備例

情報テ計画時準備例

1 1 - - 3 3 ^政府機 ^政府機 ^サ ^サ ^トへの成 ^トへの ^成 ^{すまし対策} ^{すまし対策} ^－ ^－ 1 1 ^－ ^－

^国民等 ^政府機 ^サ ^曓物 ^あ ^確認 ^成 ^サ ^識別

対策実施求

新規項目 _6.3.3

背景

背景

^ン ^使用 ^い ^対策

1 1 - - 3 3 ^政府機 ^政府機 ^サ ^サ ^トへの成 ^トへの ^成 ^{すまし対策} ^{すまし対策} ^－ ^－ 2 2 ^－ ^－

^国民等 ^政府機 ^サ ^曓物 ^あ ^確認 ^成 ^サ ^識別

対策実施求

^ン ^使用 ^い ^対策 ^続

新規項目 _6.3.3

2 2 ^{実務に即した見直し等} ^{実務に即した見直し等}

2-1 ^{遵守事項の明確化}

^暗号 ^{電子署名ㄥ鍵管理を含} ^ㄦ

府省庁使用するルゴリズムについ統括情報セキュリテ責任者が定る事項の表現を

2-2 ^{用語の整理}

^{情報システムのラ} ^フサ ^クルにつ ^計画 ^構築 ^運用 ^{等の用法を整理} ^統一する

^その他

参考参考国民等が国民等が _PC _PC にダにダンロードすンロードすソフトソフトの安全性確保についての安全性確保について

^電子申請 ^利用 ^国民等

^ン ^実行環境 ^ン ^求 ^場合 ^あ

ン当該い弱性指摘新ョン移行等解決

措置迅速行えい事例旧版

使用見

^情報 ^テ ^構築後 ^弱性 ^報告 ^能性 ^考慮 ^是 ^容易 ^行え ^{準備及び設計}

行うこ求

^電子申請 ^利用 ^国民等

^ン ^実行環境 ^ン ^求 ^場合 ^あ

ン当該い弱性指摘新ョン移行等解決

措置迅速行えい事例旧版

使用見

^情報 ^テ ^構築後 ^弱性 ^報告 ^能性 ^考慮 ^是 ^容易 ^行え ^{準備及び設計}

行うこ求

背景

背景

^遵 ^事項 ^既存

統括情報セキュテ責任者府省庁外情報セキュテ水準招行防措置

い規定整備こ

^解説

^改訂

9 ^府省庁外 ^{情報セキュ} ^テ ^水準 ^招 ^行 ^説明 ^充実

適切使用要求

適切設定要求

等適切削除要求

^国民等 ^PC ^ン ^全性 ^確保 ^対策 ^実施 ^求

府省庁外情報セキュテ水準招行防一具体的解説