橡セキュリティポリシー雛形策定に関する調査報告書

(1)

セキュリティポリシー策定・運用支援

ナレッジマネジメントシステムの開発

セキュリティポリシー雛形策定に関する

調査報告書

平成

1 3 年 2 月

情報処理振興事業協会

(2)

1 はじめに . . . 1 2 作業概要 . . . 2 3 調査作業 . . . 4 3.1 対象文書抽出検討作業. . . 4 3.2 対象文書調査作業 . . . 8 3.2.1 政府ポリシーガイドラインの把握 . . . 8 3.2.2 対象文書の調査. . . 14 3.2.3 調査結果の整理. . . 42 4 分析作業 . . . 52 4.1 論点分析作業 . . . 52 4.2 論点体系化作業 . . . 137 5 成文化作業. . . 148 5.1 セキュリティポリシー雛形策定作業 . . . 148 5.1.1 電子政府向けセキュリティポリシー雛形. . . 148 5.1.2 政府ポリシーガイドラインと雛形文書体系の対応関係 . . . 185 5.2 論点集明文化作業 . . . 186 6 まとめ. . . 234

(3)

1 はじめに

本報告書は、「セキュリティポリシー策定・運用支援ナレッジマネジメントシステム」（以下、「セキュリティポリシーKM システム」という）において用いられるセキュリティポリシー雛形及び知識ベースの策定を目的に、その素材として、電子政府で使用できる具体的なサンプルとしての「電子政府向けセキュリティポリシー雛形」及びセキュリティポリシーを策定する際の判断基準となる「セキュリティポリシー策定論点集」を策定した作業報告である。電子政府向けセキュリティポリシー雛形及びセキュリティポリシー策定論点集の策定にあたっては、平成 12 年 7 月付けの内閣安全保障・危機管理室情報セキュリティ対策推進室より公示された「情報セキュリティポリシーに関するガイドライン」（以下、「政府ポリシーガイドライン」という）に基づくことを前提としている。なお、電子政府向けセキュリティポリシー雛形の策定にあたっては、電子政府を対象として検討することとなるが、本報告書では、電子政府とは、具体的には中央省庁及び地方公共団体であると想定し、作業を実施した。

(4)

2 作業概要

本作業は、具体的には以下の作業により構成される。 • 調査作業 • 分析作業 • 成文化作業各作業の関連を下図に示す。調査作業では、既に公開されている各種のセキュリティ関連ガイドライン文書を調査し、電子政府向けセキュリティポリシーの策定にあたり加味すべきと考えられる論点を網羅的に抽出する作業を行った。調査対象となるセキュリティ関連ガイドラインは、政府ポリシーガイドラインの他に、セキュリティポリシーを策定する上で実績のある文書を 10 以上選定した。調査作業の結果として、以下の成果物を作成した。調査作業分析作業成文化作業各種ガイドライン各種ノウハウセキュリティポリシー策定論点集電子政府向けセキュリティポリシー雛型 図 1 : 電子政府向けセキュリティポリシー雛形開発作業関連図

(5)

分析作業では、調査作業により抽出されたセキュリティポリシー主要論点に対し、電子政府向けセキュリティポリシーの策定にあたっての判断基準及び対策について検討を行った。分析作業では、弊社が保有するセキュリティポリシー策定に関するノウハウを活用し、電子政府として相応しいセキュリティポリシーにおける論点、判断基準及び対策を分析した。分析作業の結果として、以下の成果物を作成した。 • 論点分析結果 • 論点体系化表成文化作業では、分析作業により得られた論点分析結果及び論点体系化表に基づき、電子政府内でセキュリティポリシー策定時の雛形として活用可能なサンプル、及びセキュリティポリシーを策定する際の判断基準の参考資料として活用可能な論点集の明文化を行った。成文化作業の結果として、以下の最終成果物を作成した。 • 電子政府向けセキュリティポリシー雛形 • セキュリティポリシー策定論点集

(6)

3 調査作業

本作業は、電子政府向けセキュリティポリシー雛形を開発するため、既に公開されている各種のセキュリティ関連ガイドライン文書より、電子政府向けセキュリティポリシーの策定にあたり加味すべきと考えられる論点を網羅的に抽出する作業である。具体的には、以下の作業により実施した。 • 対象文書抽出検討作業 • 対象文書調査作業

3.1 対象文書抽出検討作業

本作業では、電子政府向けセキュリティポリシー雛形の策定を目的に、各種のセキュリティ関連ガイドライン文書を調査する際の抽出基準を定め、具体的な検討対象候補となる文書の決定を行った。セキュリティ関連ガイドライン文書には、マネジメント系ガイドラインからテクニカル系ガイドラインまで、数多くの文書が世に出回っている。対象文書を抽出する前に、まずセキュリティに関連のある各種の国際標準及び国内の公的基準や民間ガイドライン等を整理した。その結果を下表に示す。 表 1 : 対象文書の候補一覧 文書名称 発行元 ISO/IEC TR 13335

Techniques for the Management of IT Security

国際標準化機構

ISO/IEC 15408

Evaluation Criteria for IT Security

国際標準化機構

BS7799

A Code of Practice for Information Security Management

英国規格協会

RFC2196

Site Security Handbook

IETF

Internet Security Policy: A Technical Guide NIST

Guidelines for the Security of Information Systems 経済協力開発機構情報セキュリティポリシーに関するガイドライン内閣安全保障・危機

(7)

文書名称 発行元 情報システム安全対策基準旧通産省コンピュータ不正アクセス対策基準旧通産省コンピュータウイルス対策基準旧通産省ソフトウェア管理ガイドライン旧通産省システム監査基準旧通産省行政情報システムの安全対策指針旧総務庁情報システム安全対策指針警察庁地方公共団体のためのコンピュータセキュリティ対策基準旧自治省情報通信ネットワーク安全・信頼性基準旧郵政省金融機関等コンピュータシステムの安全対策基準財団法人金融情報システムセンタープライバシー保護と個人データの国際流通についてのガイドラインに関する理事会勧告経済協力開発機構個人データ処理に係る個人情報保護欧州連合行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律国内法律個人情報保護基本法大綱案個人情報保護法制化専門委員会個人情報保護に関する条例地方公共団体 JIS Q 15001「個人情報保護に関するコンプライアンス・プログラムの要求事項」日本工業規格民間部門における電子計算機処理に係る個人情報保護ガイドライン旧通産省金融機関等における個人情報保護のあり方財団法人金融情報システムセンター国家公務員法法律地方公務員法法律行政機関の保有する情報の公開に関する法律法律著作権法法律不正アクセス行為の禁止等に関する法律法律不正競争防止法法律住民基本台帳法法律電子署名法法律

(8)

これらの候補文書の中から調査対象となる文書を抽出するために、抽出基準を定める必要がある。本作業の目的が電子政府向けセキュリティポリシーの策定であることに基づき、以下に示す抽出基準を設定した。 1 . セキュリティポリシー策定のための指針を提示している文書（抽出基準 ① ） 電子政府向けセキュリティポリシー雛形を策定するにあたっては、政府ポリシーガイドラインにおいて検討すべき項目が示されているが、不足事項がないか検討するために、セキュリティポリシー策定のための指針を提示している文書を調査する必要がある。 2 . セキュリティ対策に関する指針を提示している文書（抽出基準 ② ） セキュリティポリシーを策定する際に一般的に検討すべき論点を、上記の抽出基準 ①により選定した文書にて洗い出すが、それを補完するために、一般に検討しなければならないセキュリティ対策を洗い出し、論点に不足がないか調査する必要がある。 3 . 中央省庁や地方公共団体における情報システムに関する内部規程（抽出基準 ③ ） 電子政府向けセキュリティポリシー雛形を策定するにあたっては、中央省庁や地方公共団体が現状保有している、情報システムの運営（セキュリティ対策を含む）に関する内部規程等を調査し、論点として検討すべき事項がないか調査する必要がある。 4 . セキュリティに関連のある法令等（抽出基準 ④ ） セキュリティ対策の実施においては、関連法令等との整合性を図るべきであり、そのため、セキュリティに関連のある法令等を調査する必要がある。表 1 に示す対象候補となる文書に対して、上記の抽出基準①∼④に基づき、調査対象文書を抽出した。その際に、候補文書のうち、他の候補文書によって、その記載内容が十分に盛り込まれていると判断される文書については、調査対象から除外するものとした。なお、抽出基準③に関連する文書については、インターネット上で入手可能な文書を検索・取得することとした。抽出作業の結果として得られた、調査対象文書を以下に示す。 • 抽出基準①により抽出された文書

(9)

ü 金融機関等におけるセキュリティポリシー策定のための手引書 • 抽出基準②により抽出された文書 ü ISO/IEC 15408 ü 情報システム安全対策基準 ü コンピュータ不正アクセス対策基準 ü コンピュータウイルス対策基準 ü ソフトウェア管理ガイドライン ü システム監査基準 ü 行政情報システムの安全対策指針 ü 情報システム安全対策指針 • 抽出基準③により抽出された文書 ü 地方公共団体の電算処理運営に係る内部規程 ¨ 大東市電子計算組織および情報システム管理運用規程 ¨ 金沢市電子計算機処理データ保護管理規程 ¨ 高知市電子計算機処理情報管理規程 ¨ 新潟市電子計算機処理管理運営規程 ¨ 宗像市戸籍情報システムに係るデータ保護管理規程 ¨ 宗像市電子計算組織の管理、運営に関する規程 ü 地方公共団体の個人情報保護条例 ¨ 新潟市電子計算機処理に係る個人情報の保護に関する条例 ¨ 新潟市電子計算機処理に係る個人情報の保護に関する条例施行規則 • 抽出基準④により抽出された文書 ü 国家公務員法 ü 地方公務員法 ü 個人情報保護基本法大綱案 ü JIS Q 15001 ü 不正アクセスの禁止等に関する法律 ü 行政機関の保有する情報の公開に関する法律 ü 著作権法

(10)

3.2 対象文書調査作業

本作業では、電子政府向けセキュリティポリシー雛形を策定するにあたり、加味すべきと考えられる論点を網羅的に抽出する作業を行った。本作業を実施するにあたり、まず、政府ポリシーガイドラインの内容、論点を把握し、対象文書を調査するにあたっての基準を定めることとした。次に、当該基準に基づき、対象文書を調査し、電子政府向けセキュリティポリシー雛形を策定する際に加味すべきと考えられる論点の抽出を実施した。 3.2.1 政府ポリシーガイドラインの把握 政府ポリシーガイドラインに基づき、下記事項についての把握作業を行った。 • セキュリティポリシーの構成 • セキュリティポリシーの適用範囲 • 政府ポリシーガイドラインにおける論点 1 . セキュリティポリシーの構成 政府ポリシーガイドラインが定義するセキュリティポリシーの構成は、下表の通りである。従って、本報告書で策定する電子政府向けセキュリティポリシー雛形は、政府ポリシーガイドラインで定義するところの、情報セキュリティ基本方針（以下「基本方針」という）及び情報セキュリティ対策基準（以下「対策基準」という）とした。電子政府向けセキュリティポリシー雛形を策定する前に、基本方針及び対策基準にて盛り込まれるべき論点の境界線を事前に明確化しておくことが必要である。政府ポリシーガイドラインにおける定義に基づき、その切り分けを次の通りとした。 • 基本方針に盛り込む内容は、電子政府向けセキュリティポリシー雛形そのものの目的、適用範囲、及び用語の定義に止めるものとし、その内容については、成文化作業において検討するものとする。従って、調査作業及び分析作業においては、基本方針を検討対象の範囲外とする。 • 対策基準では、上記以外の論点を盛り込むものとする。但し、具体的なセキュリティ対策の実施方法は情報セキュリティ実施手順等で明記されるものと

(11)

表 2 : セキュリティポリシーの構成 文書 内容 備考 政府のセキュリティの基本的な考え方政府全体としてのセキュリティ対策における根本的な考え方。政府ポリシーガイドラインで提示済み情報セキュリティ基本方針各省庁毎に、各省庁のセキュリティに対する基本的な考え方・取組姿勢（目的、対象範囲など）。セキュリティポリシー情報セキュリティ対策基準各省庁毎に、情報セキュリティ基本方針を実現するために実施しなければならない事柄（情報資産を守るための体系化された対策）。セキュリティポリシー情報セキュリティ実施手順等各省庁の部局毎に、情報セキュリティ対策基準を情報システムや日々の業務において実行できるレベルまで、具体化した手順を示すもの。各省庁の部局毎に策定される 2 . セキュリティポリシーの適用範囲 政府ポリシーガイドラインが定義するセキュリティポリシーの適用範囲は、次の通りである。従って、本報告書においても、下記の適用範囲に限定した検討を行うものとし、紙媒体等のセキュリティ対策を含めないものとした。 • ハードウェア、ソフトウェア、記録媒体等の情報システム • 電磁的に記録される情報（紙媒体は含まない。但し、システム構成図等の文書は含むものとする。） • 上記の情報に接する全ての者 3 . 政府ポリシーガイドラインにおける論点 政府ポリシーガイドラインにおける対策基準に盛り込まれるべき論点を、下表に整理した。 表 3 : 政府ポリシーガイドラインにおける論点 大項目 中項目 小項目 組織・体制 _• 最高情報セキュリティ責任者の設置 • 最高情報セキュリティ責任者の責任と役割 • 情報セキュリティ委員会の設置 • 情報セキュリティ委員会の役割 ü 日々のセキュリティポリシーの遵守状況の確認体制の確立 ü 導入の際の改善点の調査及び見直し

(12)

大項目 中項目 小項目 情報の分類と管理情報の管理責任 • 各情報に対する管理責任の所在 ü 情報を管理する者の具体的な責任と役割 ü 情報を利用する者の具体的な責任と役割 • 情報管理責任者の設置（各課ごとに） ü 当該課で作成された文書の管理責任を負う • 管理責任が定められていない情報（作成中の文書、電子メール等）は、個人が適切に管理する情報の分類と管理方法 • 情報の分類 • 情報の分類に関する表示 • 情報の管理方法（情報の分類ごとに） ü アクセス権限の設定 ü 暗号化 ü 媒体の管理 ü 情報の変更の管理 ü 情報の廃棄の管理 ü 分類の有効期限 • 分類済の情報の複製・伝送時の管理（原情報の分類に従う）物理的セキュリティ • 情報システムの設置場所 ü 適切な設備の設置（不正立入・損傷及び妨害からの保護） ü 出入管理 ü 執務室内のコンピュータ等の物理的な対策（盗難等）人的セキュリティ役割・責任及び免責事項 • 対象範囲（対象者）のセキュリティに関する役割・責任 ü 誰が責任をとるか ü 管理職・職員の役割 • 外部業者との関係（プログラム開発担当者との関係を含む） • 免責事項（ポリシーの円滑な運用のため） ü 自ら責任となるセキュリティ障害等を積極的に申告した場合は免責 • 最高情報セキュリティ責任者 ü 責任：全てのセキュリティに関する権限及び責任を持つ ü 役割：運用に関し、重大な決定権限を持つ • 情報セキュリティ担当官（管理職等） ü 各部局ごとに設置 ü 各組織における指示系統、意見の集約、責任等を果たす • システム管理者 ü 役割・責任 ü その権限が不当に利用されることのない対策（複数による作業、作業内容の確認の仕組み）

(13)

大項目 中項目 小項目 ・委託先事業者（下請け含む）に対しセキュリティポリシーを遵守させる・教育・セキュリティポリシー違反時の規定（損害賠償等）の契約書への明記・受託業者及び取扱者の技術的能力・信頼性等への考慮 • 非常勤及び臨時職員 ü 職員に準じた責任・役割 • その他 ü 業務を離れる（退職・異動）際の当該職員が知り得た情報に対する留意教育・訓練 _• 計画的な教育・訓練 ü 研修、説明会の実施、その他啓発活動 ü 新入職員への初任者研修事故、欠陥に対する報告 • セキュリティに関する事故、欠陥の報告義務とその方法パスワードの管理 • 厳格なパスワード管理 ü アクセス制御に関するパスワード対策だけでなく、その管理の適切な実施非常勤及び臨時職員等の雇用及び契約 • ポリシー遵守の必要 ü コンピュータで作業を行う場合、当該コンピュータのアクセス管理、情報システムへのアクセス権限 ü 同意書への署名技術的セキュリティコンピュータ及びネットワークの管理 • 情報システムの運用管理手順 • ネットワーク管理 • 記録媒体の保護 • 他の組織とデータ交換を行う際の留意点や規定 • 機器の取扱い・管理方法 • 利用者に対する情報システム使用の規定 ü 業務目的外の使用の原則禁止 ü 業務上のデータの持ち出しの禁止・私有機器の持ちこみ許可制・メールの転送許可制 ü 無許可ソフトウェアの導入禁止・ハッキングツール・モニタリングツールの導入厳禁・ソフトウェア導入の許可制 ü 機器構成の変更の禁止・機器の増設・改造の禁止・モデム等増設による庁内外アクセス仕組みの禁止

(14)

大項目 中項目 小項目 アクセス制御 • 情報へのアクセスは業務要件に従って許可される必要性 ü サーバへのアクセス権限の付与 • 利用者の権限と責任 ü ログイン、ログアウト時の留意点 ü メール自動転送の制限 • システム管理者側で措置すべきパスワード管理の方法 ü 利用者登録（登録・抹消手順） • システム管理者の権限 • システムの重要度に応じた特殊な個人認証方法の採用等のアクセス制御 • 外部からの利用者の接続（モバイル端末による接続等）の基準 • 情報及び情報システムへのアクセス要件 • 地方支分部局等からの専用線等接続がある場合、適切なセキュリティ対策の必要性システム開発、導入、保守等 • 情報システムの新規開発・更新の際の、適切なセキュリティ対策（リスク分析） • システム開発等を受託する者に対する必要な事項 • 導入の際の、事前の不具合の確認（機器、ソフトウェア、媒体及びサービス） • 仕様書等の取扱い • 故障等により廃棄・修理する機器について、その中の情報への留意 • 保守のため、監視体制、情報システムの修正に関する規定コンピュータウイルス対策 • システム整備 • 職員の守るべき規定セキュリティ情報の収集 • 情報収集の体制、分析の手順、情報収集先 • 深刻なセキュリティホール発見時の速やかな対応運用情報システムの監視及びポリシーの遵守状況の確認（運用管理） • 利用者等のポリシー遵守状況の確認 ü ポリシー遵守のみならず、ポリシー問題点や実態的整合性の評価 • 情報システムの稼働状況の確認（ネットワーク監視等） • 一部の担当者に大きな負担とならないような運用管理体制の構築 • システム稼働中は常時監視でき、障害発生時にも速やかに対応できる体制 • アクセス記録の取得・分析 ü アクセス記録の適切な保管のための措置運用管理における留意点 • 電子メール閲覧等のセキュリティ管理ソフトウェアの使用（条件・体制）に関する規定 ü 国民のプライバシーに対する侵害があってはならない

(15)

大項目 中項目 小項目 侵害時の対応策 • 緊急時対応計画の必要性 ü 連絡先、証拠保全、被害拡大の防止、復旧等の必要な措置、再発防止の措置 ü 自省庁内だけでなく、外部への被害拡大があれば、その防止 ü 実施手順としての明快な緊急時マニュアル • 検証や訓練による十分な確認外部委託による運用契約 • 外部委託による情報システム運用時の契約 ü Security Advisory が出たときの速やかな連絡 ü アクセス記録のチェックについて危険度に応じた分類と、その重要度による緊急連絡網を通じた連絡 • その確認体制法令遵守 _• 遵守すべき法律や行政指導 ü 著作権法、不正アクセス禁止法、個人情報保護法など情報セキュリティに関する違反に対する対応 • ポリシー違反の関係者及び監督責任者に対する公務員法上等の懲戒の対象となりうる • 業務中に違反的行為の発見時に、適切な対応（端末利用の停止等）ができる必要性評価・見直し • 定期的な対策基準の評価・見直し ü ポリシー及びセキュリティ対策の評価、情報システムの変更、新たな脅威等を踏まえる • 監査 ü 情報システムのセキュリティについての監査 ü ポリシーの評価・見直しへの結果のフィードバック ü 監査者は、十分な専門性を有するもの、システムに直接関係しない者 • 点検 ü ポリシーに沿ったセキュリティ対策の実施状況のチェック ü アンケートや自己点検 • ポリシーの更新 ü 妥当性を確認するための手続き 4 . 対象文書調査における論点抽出基準の設定 政府ポリシーガイドラインにおけるセキュリティポリシーの把握作業により、対象文書調査において、電子政府向けセキュリティポリシー雛形を策定するにあたり加味すべき論点を抽出する際の基準を、下記の通りに設定した。 • 情報システムに係る論点であること（紙媒体に係る論点は対象としない。） • 表 3と比較して、不足していると考えられる論点

(16)

3.2.2 対象文書の調査 本作業では、まず、3.1.2 で抽出した対象文書に対して、3.2.1 で整理した論点抽出基準に基づき、政府ポリシーガイドラインとの比較を行い、不足していると考えられる項目を洗出した。以下に、各対象文書の調査結果を示す。なお、不足項目の抽出にあたっては、情報セキュリティ実施手順等において考慮すべき具体的な対策も含み、抽出した。 1 . BS7799 BS7799 では、組織におけるセキュリティ対策としての 127 の管理項目を列挙している。これらの管理項目について、政府ポリシーガイドラインに不足している項目を洗い出した。その結果を以下に示す。 • 専門家による情報セキュリティに関わる助言 • 第三者との契約におけるセキュリティ要件 • アウトソーシング契約におけるセキュリティ上の要件 • 要員のスクリーニング及びポリシー • 事故からの学習 • 物理的セキュリティの周辺部 • 納品及び出荷領域の隔離 • 装置の設置場所及び保護 • 電源保護 • 配線のセキュリティ • 建物外の装置のセキュリティ • クリアー・デスク及びクリアー･スクリーン･ポリシー • 運用手順書 • 運用上の変更管理 • 事故管理手順 • 義務の分離 • 開発設備と運用設備の分離 • 外部設備の管理 • キャパシティ・プランニング • 移送中の媒体のセキュリティ

(17)

• 無人のユーザ装置 • 強制パス • 外部接続に関わるユーザ認証 • ノードの認証 • リモート診断ポートの保護 • ネットワーク内での分離 • ネットワーク接続管理 • ネットワークルート設定管理 • ネットワーク・サービスのセキュリティ • 自動的な端末の識別 • 端末ログオン手順 • ユーザを安全保護するための強制アラーム • 端末のタイムアウト • 接続時間の制限 • 取扱要注意のシステムの分離 • クロックの同期 • モバイル・コンピューティング • 在宅勤務 • 入力データの妥当性確認 • 内部処理の管理 • メッセージ認証 • 出力データの妥当性確認 • 電子署名 • 否認防止サービス • 鍵管理 • プログラムソースライブラリーへのアクセス制御 • 変更管理手順 • オペレーティングシステム変更の技術的レビュー • ソフトウェアパッケージに対する変更の制限 • 秘密のチャンネル及びトロージャン・コード • 知的財産権

(18)

• 暗号技術による管理の規制 • システム監査の制御 2 . ISO/IEC TR 13335 ISO/IEC TR 13335 では、組織においてセキュリティマネジメントに取組む際の指針が提供されている。その中において、組織としてのセキュリティポリシーの枠組みを提示している。この内容を調査し、政府ポリシーガイドラインに不足している項目を洗い出した。その結果を以下に示す。 • 情報システム開発の承認プロセスを明確にする。 • 外部ネットワークとの接続におけるセキュリティ条件を明確にする。 • 事故や障害の記録を取得・管理する。 • 職員の採用時にチェックする。 • 職員に機密保持契約書へ署名させる。 • 情報システムの変更過程の記録をとる。 • 運用手順書等を文書化する。 • 担当業務（承認と実行）を分離する。 • ソフトウェア著作権に配慮する。 • 情報資産を水や液体から保護する。 • 情報資産を自然災害から保護する。 • 電源および空調を確保する。 • ケーブル配線を保護する。 3 . 金融機関等におけるセキュリティポリシー策定のための手引書 金融機関等におけるセキュリティポリシー策定のための手引書では、セキュリティポリシーに盛り込むことを検討すべき指針を提示している。これらの指針について、政府ポリシーガイドラインに不足している項目を洗い出した。その結果を以下に示す。 • 媒体を部外や社外に持出す場合のルールを明記する。 • 開発案件の検討・承認ルールを明記する。 • 作業の進捗管理、作業手順の標準化、マニュアルの整備等について記述する。

(19)

• オペレーション履歴の取得、作業の承認、検証ルール、相互チェック体制等について明確にする。 • プログラム作業管理、バージョン管理、ソフトウェアのバックアップについて記述する。 • パッケージソフトウェア管理（使用形態や版権の確認、バージョンやライセンスの管理ルール、コードのエスクロウ契約等の確認）について明確にする。 • 入力データの正当性確保のためのチェックシステムや複数の担当者による相互チェック等について明確にする。 • 出力データの重要性・機密性を考慮した取扱ルールを明記する。 • 各種の犯罪や自然災害、停電等を想定した、安全対策の策定及び行動ルールを明記する。 • 各システムのリカバリープランや機能の復旧手順の策定について記述する。 • 要員の肉体的、精神的健康状態やモラル等の管理について明確にする。 • コンピュータセンターの構造上の安全性や、電源・空調等の設備の要件について、記述する。 • 鍵の管理方法等について明確にする。 • 入退履歴の取得とチェックについて明確にする。 • 入退者の本人の認証方法について記述する。 • 管理者用 ID の管理方法を明確にし、担当者の複数設置等による相互牽制について記述する。 • 使用者の本人確認、使用履歴の取得、オペレータカードの管理等について明確にする。 • 顧客情報保護やプライバシー保護に関する遵守事項を明確にする。 • 知的財産保護に関する遵守事項を明確にする。 • セキュリティポリシーの例外を認めるケース（レガシーシステム、パッケージソフト、ビジネス上の判断としてリスクを取るケース等）を明確にする。 • セキュリティポリシーの例外を認めるケースの手続きを明確にする。 • 例外を認めるケースにおける残存するリスクに対する責任を明確にし、補完コントロールについて記述する。 • セキュリティ実施状況の評価を人事考課や部門の業績に反映するルールを明記する。

(20)

について記述する。 • インターネットのプロバイダ選択の基準を明記する。 • 法律上、社会通念上公序良俗に反するものや著作権に違反するコンテンツ等をチェックする体制を明確にする。 • ホームページ上で広く情報公開するためのルールや取決めを明記する。 • 外部委託において、作業の進捗やスケジュール管理状況、品質管理状況等について必要に応じて監査や監督が可能なように契約書に明らかにしておくことを記述する。 • 外部委託において、アウトソーシング先と共有可能な情報を明確にし、アクセスルールや監視ルールを明記する。 • 外部委託において、データが外部へ漏洩しないよう、データ交換を行う際の運用ルールを明記する。 4 . ISO/IEC 15408 ISO/IEC 15408 は、情報システム及び製品についてのセキュリティレベルを評価するための国際規格である。そのため、セキュリティポリシーを策定する際の論点として抽出すべき事項はないと判断した。但し、情報システムの開発において、 ISO/IEC 15408 に示される概念を考慮することが今後求められることに鑑み、下記事項について、電子政府向けセキュリティポリシー雛形の策定において考慮するすべきである。 • 情報システムの開発においては、セキュリティ要件を明確化する。 • システム製品の導入において、ISO/IEC 15408 準拠を選定条件として考慮する。 5 . 情報システム安全対策基準 情報システム安全対策基準では、情報システムの機密性、保全性及び可用性を確保するためのセキュリティ対策（192 項目）が指針として提供されている。これらのセキュリティ対策について、政府ポリシーガイドラインに不足している項目を洗い出した。その結果を以下に示す。 • 建物及び室は、火災の被害を受ける恐れのない場所に設けること

(21)

• 建物及び室は、電界及び磁界の被害を受ける恐れのない場所に設けること • 建物及び室は、空気汚染の被害を受ける恐れのない場所に設けること • 室は専用とすること • 情報システムを事務室に設置する場合には、設置位置等に配慮すること • 建物の内外及び室は、情報システム及び記録媒体の所在を明示しないこと • 建物及び室は、避難のために必要な空間を確保すること • 外部及び共用部分に面する窓は、防災措置を講ずること • 外部より容易に接近しうる窓は、防犯措置を講ずること • 室は、外光による影響を受けない措置を講ずること • 出入口は、不特定多数の人が利用する場所を避けて設置すること • 出入口は、出来るだけ少なくし、入退管理設備を設けること • 建物及び室の適切な位置に非常口を設けること • 建物は、建築基準法に規定する耐火性能を有すること • 情報システムの専用の室は、独立した防火区画とすること • 建物及び室は、水の被害を防止する措置を講ずること • 建物及び室の内装は、不燃材料を使用すること • 室の壁及び天井材料は、防音設備を有すること • 室の照明器具は、防眩措置を講ずること • 室のフリーアクセス床の主要部分は、不燃材料を使用すること • 室の床表面材料は、静電気による影響を防止する措置を講ずること • 建物及び室のカーテン、ブラインド、じゅうたん等は、防火性能を有するものを使用すること • 建物は、避雷設備を設置すること • 建物及び室は、自動火災報知設備を設置すること • 建物及び室は、非常放送設備を設置すること • 建物及び室は、消火設備を設置すること • 建物及び室は、排煙設備を設置すること • 建物及び室は、非常照明設備を設置すること • 建物及び室は、誘導灯又は誘導標識を設置すること • 建物及び室は、避難器具を設置すること • 室内は、情報システムの運転に必要な水使用設備以外設置しないこと

(22)

• 建物及び室は、小動物等による被害防止の措置を講ずること • 情報システムを設置した室は、保守用コンセントを設けること • 什器、備品等は不燃性のものをしようすること • 情報システムの運用に関連する機器のための防止カバーを常備すること • 衣服、履き物、什器、備品等は、静電気防止の措置を講ずること • 情報システムの保守に必要な空間を確保すること • 水冷式コンピュータを設置する場合は、水漏れ防止の措置を講ずるとともに、漏水の恐れのある場所に漏水検知機等を設置すること • 通信関連装置を設置する場合は、避雷設備を講ずること • 外部からの通信回線の引込口は、多重化し、専用とすること • 通信回線は、専用の配線スペースに設けること • 電気設備は、停電に対する措置を講ずること • 情報システムの電源設備は、電圧及び周波数の変動に対する措置を講ずること • 情報システムの電源設備の電気容量は、機器の負荷を考慮して余裕を持たせること • 情報システムの変圧器は、専用とすること • 情報システムの電源設備は、ラインフィルタの交流透過電流の還流値が、一定の値を超えない措置を講ずること • 情報システムの三相電流に単層機器を接続する場合は、設備不均衡による障害の防止措置を講ずること • 情報システムの配線にノイズが誘導しないよう、電磁遮断の措置を講ずること • 情報システム専用の電源配線スペースを設けること • 情報システムの分電盤は、専用とし、それぞれ当該室内に設置すること • 情報システムのアースは、専用とすること • 監視設備、防災設備及び防犯設備の予備電源設備を設置すること • 電源設備は、防災及び防犯措置を講ずること • 電源設備は、避雷措置を講ずること • 電源設備を設置した室から情報システムの分電盤までの配線は、防火、防犯、

(23)

び防煙の措置を講ずること • 分電盤の通電部分は、感電防止の措置を講ずること • 分電盤の主回路は、地絡を検知し、警報を発する装置又は自動遮断する装置を設けること • 空気調和設備は、情報システムの適正な稼動及びその運用に携わる者の健康に配慮し、適切な室内環境を維持するための措置を講ずること • コンピュータ室の空気調和設備は、専用とすること • コンピュータ室の空気調和設備は、能力に余裕を持たせること • コンピュータ室の空気調和設備は、負荷変動に対して的確に動作する自動制御装置を設置すること • コンピュータ室の空気調和設備は、凍結防止の措置を講ずること • コンピュータ室の空気調和設備は、水質を管理する措置を講ずること • 空気調和設備は、防災及び防犯措置を講ずること • 空気調和設備は、水漏れ防止の措置を講ずるとともに、漏水のある場所に漏水検知機等を設置すること • 空気調和設備の外気取入口および排気口は、雨が侵入しない構造とすること • 空気調和設備の配管、ダクト類は、耐火性に優れた材料を使用すること • 空気調和設備等のダクトが室内を貫通する部分は、防火及び防煙措置を講ずること • 空気調和設備の断熱材料は、不燃材料とすること • 情報システム等を設置した建物及び室の防災設備及び防犯設備の作動を遠隔監視する設備を設置すること • 電源設備及び空気調和設備の稼動状況を遠隔監視する設備を設置すること • 通信回線の利用状況、障害等を監視する設備を設置すること • 建物は、活断層等による地震の被害の恐れがある場所を避けて設置すること • 室は、地震の被害の少ない位置に設置すること • 災害時にバックアップするための建物及び室を設置する場合は、遠隔地に設置すること • 建物は、建物基準法に規定する耐震構造とすること • 建物及び室の出入口の扉は、十分な強度を持った防火戸等とすること • 建物及び室の窓ガラスは、破損、飛散及び落下防止の措置を講ずること

(24)

ること • 室のフリーアクセス床は、耐震構造又は免震構造とすること • 地震を感知し、情報システム等の運転を制御する設備を設置すること • 室は、災害時の緊急通信用設備を設置すること • 災害時の断水対策として、補給水用設備を設置すること • 什器、備品等は、設置位置に応じた移転及び転倒防止の措置を講ずること • 什器、備品等のガラスは、破損、飛散及び落下防止の措置を講ずること • 記録媒体、ドキュメント等は、収納位置に応じて移動又は落下防止の措置を講ずること • 情報システムは、設置位置に応じた移動、転倒及び振動防止の措置を講ずること • 災害時にバックアップするための情報システムを設置する場合は、遠隔地に設置すること • 電源設備は設置位置に応じた移動、転倒及び振動防止の措置を講ずること • 災害時の停電対策として、自家発電設備を設置すること • 空気調和設備は、設置位置に応じた移動、転倒及び振動防止の措置を講ずること • 監視設備は、設備位置に応じた移動、転倒及び振動防止の措置を講ずること • 情報技術による安全機能は、情報システムの集中、分散処理の形態に応じて採用すること • 情報システムは、代替運転する機能を設けること • 情報システムを遠隔地でバックアップする機能を設けること • データのエラー検出機能を設けること • 集中、分散処理の形態に応じて、情報システムの障害箇所を検出し、切り離して処理を継続する機能を設けること • 集中、分散処理の形態に応じて、障害による情報システムの停止後、処理を回復する機能を設けること • 障害内容を解析し障害箇所を特定化する機能を設けること • 情報システムを停止しないで保守する機能を設けること • 遠隔操作により保守する機能を設けること

(25)

• 集中、分散処理の形態に応じて、データの不正な変更を発見する機能を設けること • 集中、分散処理の形態に応じて、プログラムの不正な変更及び実行を発見する機能を設けること • データの変更等及びプログラムの実行に異常を発見した場合に、集中、分散処理の形態に応じて、処理を迂回または停止する機能を設けること • データ等は、機密度及び重要度に応じた区分を設け、保有、利用、配布、持出し、持込み、保管、消去、廃棄等の管理計画を算定すること • データ等の作成、更新、複写、移動、伝送等に当たっては、集中、分散処理の形態に応じて管理計画を策定すること • 関連設備、防災設備及び防犯設備に関する管理規程を整備するとともに、管理責任者を定めること • 情報システムの代替処理及び復旧措置を定めた災害自運用マニュアルを整備すること • 業務は、回復時間を設定し、再開順位を定めること • 要員確保計画を策定すること • 情報システムの構成機器の鍵は、特定者が管理すること • 情報システムの障害を分析し、再発防止の措置を講ずること • 情報システムの保守の内容及び結果を調査及び分析すること • 集中、分散処理の形態に応じた、情報システムの利用マニュアルを整備し、利用者に徹底すること • 業務処理スケジュールに基づく情報システムの運転マニュアルを常備すること • 集中、分散処理の形態に応じた、端末機の操作マニュアル、操作ガイドを常備すること • 集中、分散処理の形態に応じた、障害時の措置及び回復手順を定めたマニュアルを常備すること • 災害発生時は、災害時対応計画に沿って速やかに情報システム等の被災程度を調査及び分析すること • 被災程度に応じて、予め定められた災害時運用マニュアルに沿い、業務再開方式を決定すること

(26)

• 記録媒体の保管状況は、特定者が定期的に点検すること • データ等及び記録媒体の取扱い及び受渡しは、集中、分散処理の形態に応じて、定められた方法に従うこと • データ等及び記録媒体の作成、追加、更新、複写、廃棄等について管理記録を整備すること • データ等及び記録媒体の不正持ち出し及び不正使用を防止するため、管理責任者は使用状況を点検すること • データ等の暗号鍵の管理は特定者が行うこと • 記録媒体の分散保管は、集中、分散処理の形態に応じて行うこと • 建物及び室の入退者に対しては、資格審査を行い資格識別書を発行し、入退館及び入退室を管理すること • 一時的に入退館および入退室の資格を与えたものは、必要に応じ立会人を付け、立入場所の抑制を行うこと • 建物又は室の重要度に応じ、入退の記録をとること • 出入口の施錠及び解錠、鍵の保管及び受渡し等の記録をとり、鍵管理を行うこと • 情報システム等の運用に関連する各室の搬出入物は、必要な物に限定すること • 搬出入物は内容を確認し、記録を取ること • 関連設備、防災設備及び防犯設備の変更、増設等に当たっては、情報システムの正常な動作に影響を与えない措置を講ずること • 関連設備、防災設備及び防犯設備の定期点検を実施し、結果を調査お呼び分析すること • 関連設備、防災設備及び防犯設備の障害を調査及分析し、再発防止の措置を講ずること • 関連設備、防災設備及び防犯設備の操作及び保守管理は、特定者が行うこと • 定常時及び災害、障害時の措置を定めた関連設備、防災設備及び防犯設備の取扱いマニュアルを常備すること • 情報システムの運転状況の変化に対し、監視設備により、電源設備及び空気調和設備の作動を制御すること

(27)

• 要員の配置、交替等の管理は、集中、分散処理の形態に応じ適正に行うこと • 情報システムのバックアップを外部に委託する場合は、定期的に切替、起動、戻し等のテストを行うこと • 安全対策に関するシステム監査の報告を受け、必要な措置を講ずること 6 . コンピュータ不正アクセス対策基準 コンピュータ不正アクセス対策基準では、不正アクセス行為に対するセキュリティ対策の指針が、システムユーザ向け、システム管理者向け、ネットワーク事業者向け、及びハードウェア・ソフトウェア供給者向けに提供されている。このうち、電子政府が対象であることを考慮し、システムユーザ及びシステム管理者向けのセキュリティ対策について、政府ポリシーガイドラインとの比較調査を行い、不足している項目を洗い出した。その結果を以下に示す。 • ユーザID は、複数のシステムユーザで利用しないこと • 複数のユーザ ID を持っている場合は、それぞれ異なるパスワードを設定すること • 他人のパスワードを知った場合は、速やかにシステム管理者に通知すること • 重要な情報を送信する場合は相手先を限定し、宛先を十分に確認すること • コンピュータ、通信機器及びソフトウェアの導入、更新、撤去等を行う場合は、システム管理者の指導の下で行うこと • コンピュータを管理するために与えられた特権によるコンピュータの利用は、必要最小限にすること • 特権によりコンピュータを利用する場合は、コンピュータ、場所、期間等を限定すること • コンピュータを入力待ち状態で放置しないこと • システム管理者の権限は、業務を遂行する上で必要最小限にすること • システム管理者は 2 人以上かつ必要最小限の管理者で、その業務は定期的に交代すること • ネットワークを介して外部からアクセスできるユーザ ID は、必要最小限にすること • ユーザID は、個人単位に割り当て、パスワードを必ず設定すること • 長期間利用していないユーザID は、速やかに停止すること

(28)

• 特権を付与する場合は、当該システムユーザの技術的能力等を考慮すること • 通信経路上で情報の改ざんが行われても、検出できるような改ざん検知機能を用いること • 重要な情報は、削除、改ざん、漏えい等による被害が少なくなるように分散化すること • すべての機器及びソフトウェアの管理者を明確にすること • システム構成を常に把握しておくこと • 機器及びソフトウェアの設定情報がシステムに適合していることを随時確認すること • 機器及びソフトウェアは、供給者の連絡先及び更新情報が明確なものを利用すること • 外部と接続する機器は、十分なアクセス制御機能を有したものを利用すること • ネットワークを介して外部からアクセスできる通信経路及びコンピュータは、必要最小限にすること • ネットワークを介して外部からシステム管理を行う場合は、認証機能、暗号機能及びアクセス制御機能を設定すること • 長期間利用しない機器は、システムに接続しないこと • ソフトウェア及びシステムファイルの改ざんが生じていないことを随時確認すること • システムが提供するパスワード強化機能は最大限に活用すること • ネットワークの負荷状況を監視すること • システムの利用形態等に応じて、ネットワークを分離すること • 不正アクセス被害の拡大及び再発を防止するため、必要な情報を通商産業大臣が別に指定する者に届け出ること 7 . コンピュータウイルス対策基準 コンピュータウイルス対策基準では、コンピュータウイルス感染の被害を防止するために必要なセキュリティ対策の指針が、システムユーザ向け、システム管理者向け、ソフトウェア供給者向け、ネットワーク事業者向け、及びシステムサービス

(29)

ガイドラインとの比較調査を行い、不足している項目を洗い出した。その結果を以下に示す。 • ソフトウェアは、販売者又は配布責任者の連絡先及び更新情報が明確なものを入手すること • ウィルス感染の被害が最小となるよう、システムの利用は、いったん初期状態にしてから行うこと • 不正アクセスによるウィルス被害を防止するため、システムのユーザ ID を共用しないこと • システムを悪用されないため、入力待ちの状態で放置しないこと • ウィルスに感染した場合は、感染したシステムの運用を中止し、システム管理者に連絡して、指示に従うこと • ウィルス被害の拡大を防止するため、システムの復旧は、システム管理者の指示に従うこと • ウィルス被害の拡大を防止するため、感染したプログラムを含むフロッピーディスク等は破棄すること • ウィルス感染を防止するため、機器を導入する場合は、ウィルス検査を行うこと • ウィルス被害に備えるため、システムにインストールした全ソフトウェアの構成情報を保存すること • オリジナルプログラムは、ライトプロテクト措置、バックアップの確保等の安全な方法で確保すること • ウィルス被害を防止するため、共用のプログラムが格納されているディレクトリに対するシステムのユーザの書き込みを禁止すること • ウィルス被害を防止するため、システム運営に必要のないプログラムは削除すること • ウィルスに感染した場合の被害範囲を特定するため、ネットワーク接続機器の設置状況を予め記録し、管理すること • 不正アクセスによるウィルス被害を防止するため、ネットワーク管理情報のセキュリティを確保すること • 不正アクセスによるウィルス被害を防止するため、外部ネットワークと接続する機器のセキュリティを確保すること

(30)

• ウィルス感染の拡大を防止するため、感染したシステムの使用を中止すること • ウィルス感染の拡大を防止するため、必要な情報をシステムユーザに、速やかに通知すること • ウィルス被害の状況を把握するため、ウィルスの種類及び感染範囲の解明に努めること • 安全な復旧手順を確立して、システムの復旧作業にあたること • ウィルス被害の再発を防止するため、原因を分析し、再発防止対策を講ずること • ウィルス被害の拡大及び再発を防止するため、必要な情報を通商産業大臣が別に指定する者（情報処理振興事業協会）に届け出ること 8 . ソフトウェア管理ガイドライン ソフトウェア管理ガイドラインでは、市販に流通するソフトウェアを不正に使用しないための管理指針が提供されている。これらの管理指針について、政府ポリシーガイドラインとの比較調査を行い、不足している項目を洗い出した。その結果を以下に示す。 • ソフトウェアの使用等を的確に管理し、ソフトウェアの違法複製等の行為を効果的に防止するため、法人等におけるソフトウェアの使用等について責任を負うソフトウェア管理責任者を任命し、ソフトウェアの適切な管理体制を整備すること • ソフトウェアの適正な使用等を確立するため、ソフトウェアの使用手順や管理方法等を定めたソフトウェア管理規則を策定すること • ソフトウェアの違法複製等の有無を確認するため、すべてのソフトウェアを対象として、ソフトウェアの使用状況についての監査を実施すること • ソフトウェアの適正な使用等に対するソフトウェアユーザー意識の向上を図るため、関係法令や使用許諾契約等について、ソフトウェアユーザーの教育、啓蒙を行うこと • 法人等におけるソフトウェアの使用状況を常時把握するため、すべてのソフトウェアの使用状況を記録したソフトウェア管理台帳を整備すること

(31)

を速やかに講じること • すべてのソフトウェアユーザーを対象として、関係法令、ソフトウェア管理規則、使用許諾契約に規定された使用条件等の周知徹底を図ること • 関係法令、ソフトウェア管理規則および使用許諾契約に規定された使用条件ならびにソフトウェア管理責任者の指示を遵守すること • 法人等が保有するソフトウェアと個人が保有するソフトウェアとの区分が不明確になることを防ぐため、個人が保有するソフトウェアを法人等の事業所において使用する場合、予めソフトウェア管理責任者の承諾を得ること 9 . システム監査基準 システム監査基準では、システム監査にあたっての必要な事項が提供されている。これらの事項の中には、セキュリティ対策として考慮すべき項目が含まれており、当該項目を調査し、政府ポリシーガイドラインに不足している項目を洗い出した。その結果を以下に示す。 • システム監査人は、システム監査の基本計画及び個別計画を策定すること • システム監査は、個別計画に基づき、予備調査、本調査及び評価・結論の手順により実施すること • システム監査人は、自らの判断に対する根拠を明確にすること • システム監査人は、被監査部門に対し資料の提出を求めることができる権限を保有すること • システム監査人は、組織体の長が被監査部門に改善を命令した事項について、実施状況の報告を求めることができる権限を保有すること • システム監査人は、自己に対する倫理的要請を自覚し、的確かつ誠実なシステム監査の実践を通じて、内外の信頼に応えること • システム監査人は、守秘義務を負うこと • データの入力の誤びゅう防止、不正防止及び機密保護の対策は有効に機能していること • 出力情報の引渡しは、出力管理ルールに基づいて行っていること • 出力情報のエラー状況を記録し、定期的に分析していること • 出力情報の利用状況を記録し、定期的に分析していること • ソフトウェア管理ルールを定め、遵守していること

(32)

件等を明確にしていること • 健康管理を考慮した作業環境を整えていること • 健康診断及びカウンセリングを行っていること • 委託計画を策定し、委託の責任者が承認していること • 委託先の選定基準を明確にしていること • 委託先における不正防止、機密保護等の対策の実施状況を把握し、必要な措置を講じていること • 成果物の検収は、委託契約に基づいて行うこと • システム監査人は、システム監査報告書を作成すること • システム監査報告書は、指摘事項を記載すること • システム監査人は、その他必要と認めた事項は、システム監査報告書に記載すること • システム監査報告書は、組織体の長に提出し、報告すること 1 0 . 行政情報システムの安全対策指針 行政情報システムの安全対策指針では、行政情報システムの安全性・信頼性を向上させるための安全項目（208 項目）が示されている。これらの安全項目について、政府ポリシーガイドラインに不足している項目を洗い出した。その結果を以下に示す。 • 情報システムに係わる業務を円滑かつ適正に運営するため、その業務範囲及び責任を明確にし、相互牽制体制を整備する。 • 情報システム部門とユーザ部門の情報処理関係業務の範囲と責任を明確にする。 • 内部ネットワークを統括的に管理する者を定める。 • コンピュータウィルス等自動的に実行される不正なプログラムが発見された場合の対応措置を定め、周知していること。 • 内部ネットワークを統括的に管理する者は、外部ネットワークに接続するための手続き、方法等を定め、接続及び運用に関する業務を統括的に管理する。 • 情報システムの要員の配置、交替等の人事管理を適正に行う。 • 災害及び障害等の発生の恐れ等立地・環境に配慮する。

(33)

に設置する。 • 隣接建物、回線等からの延焼防止措置を講ずる。 • 建物には、落雷に対する避雷措置を講ずる。 • 軟弱地盤に対する対策を講ずる。 • 敷地内の電力・通信回線の切断等犯罪対策措置を講ずる。 • 建物は、耐火・防火等の措置を講ずる。 • 建物は、地震等に対する耐震措置を講ずる。 • 建物は、漏水等水害に対する措置を講ずる。 • 窓・出入口等には、防火措置を講ずる。 • 出入口には、不正侵入等に対する監視・管理措置等の防止措置を講ずる。 • 内装の不燃・難燃材料の使用、カーテン・絨毯等の防炎性能を有するものの使用等の延焼防止措置を講ずる。 • 構内回線には不燃化等の延焼防止措置を講ずる。 • 構内配線には、電磁波の遮蔽措置を講ずる。 • 重要機能室は、建物内において、地震、火災、浸水、不正・犯罪の恐れ等に配慮して配置する。 • 重要機能室には、他用途の水使用設備・配管を避けるなど、漏水等の対策措置を講ずる。 • 重要機能室は、腐食性ガス、粉塵、振動、電磁界等の恐れのない位置に設置する。 • 重要機能室には、外部にその所在を示すような表示を避ける等不正・犯罪に対する措置を講ずる。 • 重要機能室の窓・出入口は、延焼防止措置を講ずる。 • 出入口には、不正侵入・機器破壊等に対する監視・管理措置等不正・犯罪に対する措置を講ずる。 • 重要機能室は、防火区画等の防火・防煙に対する措置を講ずる。 • 電子計算機室のフリーアクセス床等重要機能室の内装の不燃化、カーテン・絨毯等の防炎性能を有するものの使用等の延焼防止措置を講ずる。 • 重要機能室の天井、床、照明器具等の落下・損壊の防止措置を講ずる。 • 重要機能室には、漏水、浸水等に対する措置を講ずる。 • 重要機能室の内装等は、静電気の発生・帯電等の影響を避ける措置を講ずる。

(34)

• 重要機能室の配線・ダクト等の不燃化、延焼防止、耐火等の措置を講ずる。 • 情報システム機器、データ保管設備、電源設備、空気調和設備、通信設備等には、転倒・移動等に対する措置を講ずる。 • 電源設備には、落雷による異常電流に対する措置等落雷に対する措置を講ずる。 • 電源設備は、受変電、自家発電設備等容量に対する配慮を図る。 • 電源設備には､電圧、周波数変動等の障害に対し良質な電源を確保する措置を講ずる。 • 電源設備には､漏電に対する措置を講ずる。 • 電源のルートは、複数化等安全性を確保する措置を講ずる。 • 空気調和設備には、漏水、凍結防止等の措置を講ずる。 • 空気調和設備には、電子計算機室用としての専用化、バックアップシステム等故障に対する措置を講ずる。 • 空気調和設備は、急激な温湿度変化等に対処するため、その容量に配慮する。 • 空気調和設備には、塵埃・腐食性ガスに対する措置を講ずる。 • 電源設備・空気調和設備、情報システム等は、運転状況の監視等の監視制御措置を講ずる。 • 通信設備（端末（クライアントを含む）、モデム等）には、避雷措置を講ずる。 • 電子計算機室外のMDF、モデム収容架等には、施錠等の措置を講ずる。 • 重要機能室には、防煙措置を講ずる。 • 情報システム機器及び同関連設備に連動して運転を制御する地震感知器を設置する。 • 重要機能室には、配線に対する鼠害等の防止措置を講ずる。 • 重要機能室には、有線電話の利用不能時を想定した緊急通信用設備を設置する。 • 重要機能室には、非常用の照明、放送、通路等の避難誘導関係設備の設置等の措置を講ずる。 • 事務室に設置する情報システム機器、通信設備等については、転倒、移動等を防止する措置を講ずる。 • 情報システム機器、通信設備等は、レイアウト、配置場所に配慮する。

(35)

確保するとともに、電源障害に対する措置を講ずる。 • 事務室における空気調和設備については、必要に応じて情報システムの安定した稼働環境を維持するための措置を講ずる。 • 伝送路及び回線の監視装置を設置する。 • 構内の通信系統は、特定の部分の障害が広域に及ばないように構築する。 • 重要機能室への訪問者に対しては、身元及び用件を確認のうえ、入退館を許可する。また、訪問者用の識別章を貸与し、館内にあっては常時着用させ、退館時に回収する。 • 重要機能室への訪問者に対しては、面会場所を特定し、被面会者が訪問者を確認のうえ、定められた面会場所へ案内する。 • 最初の入館者及び最終退館者の氏名及び鍵の受渡し時間を記録する。 • 建物内に警備員を配置し、必要に応じて危険物の持込み検査及び施設内外の巡回に当たらせる。 • 電子計算機室及びデータ等保管室の入退室者の資格を確認できる措置を講ずる。 • 重要機能室の出入口の鍵は定められた場所に保管し、管理は定められた者が行う。 • 機械により電子計算機室、データ等保管室の入退管理を行う場合は、定められた者が機械のオペレーション及び保守の管理を行う。 • 重要機能室への搬出入物品は、重要機能室の職員が内容を確認する。 • 事務室における情報システム機器、通信設備等の盗難・損壊等を防止するため、事務室の管理に留意する。 • 設計段階においてユーザ部門の職員の目的に合致することを確認するとともに設計作業の標準化等によりソフトウェアの品質を確保する。 • 開発・変更手順を定める。 • 開発プログラムは、本番稼動プログラム及び本番データとライブラリを分離する。 • 各テスト段階で、ソフトウェアの品質を検証する。 • 重要プログラムは、作成者以外の者及びユーザ部門の職員による検証の徹底を図る。 • システム開発・変更の各段階で使用するドキュメントの様式を標準化する。

(36)

• 情報システムに対するネットワーク経由の模擬攻撃を適宜実施し、実施結果に基づき必要な措置を講ずる。 • 端末（クライアントを含む）に保護鍵機能がある場合、有効に活用する。 • 重要なデータの入力に際しては、事前に入力部門の責任者の承認を得る。 • 入力部門の責任者の事前承認が困難なオンライン入力データについては、その重要性に応じて、入力後に承認する手続きを定める。 • データ入力作業のエラーをチェックする機能を設ける。 • プログラムにより、入力データの内容を論理面、形式面からチェックする機能を設け、充実する。 • エラーデータの修正入力手続き（修正方法、修正期限、承認等）について明確にし、規則を遵守する。 • ユーザ部門の職員は、処理中のデータ消失・追加の有無及び入力データの正確性を確認するために、処理前後のデータ件数・金額合計等を照合する。 • 通常の範囲を超えるデータ又は長期間動きのない保留データ等例外データリストを、定められた基準に基づいて出力する。 • 自動着信機能付端末（クライアントを含む）等を利用する場合には、相手端末ID をチェックする機能を設ける。 • パスワードの端末（クライアントを含む）画面への表示及び印刷出力をしない機能を設ける。 • 端末（クライアントを含む）の種類、設置場所、用途等によっては、その端末からオペレーションできる業務を限定できる機能を設ける。 • アクセスが許される時間帯以外における端末（クライアントを含む）からのアクセスを排除する機能を設ける。 • 一定時間通信が行われなかった場合、その端末（クライアントを含む）を切り離す機能を設ける。 • 電子計算機室への用紙等可燃物の持込みは必要最小限にする。 • 電子計算機室への危険物又は燃焼器具の持込みは、原則として禁止する。 • 重要機能室は禁煙とする。 • 情報システムのオペレーション手順について定めた文書を常備し、情報システムの変更に伴って随時更新する。

(37)

• オペレーションの依頼・承認は定められた手続きに従って行う。 • 例外処理についても、オペレーションの依頼・承認手続きを遵守する。またオペレーション管理責任者は、例外処理の頻度及び理由を分析し、適切な処置を講ずる。 • 専任のオペレータが必要な情報システムのオペレーションは複数のオペレータが行う。 • オペレーションに係わる報告及び監督責任を明確にする。 • 自動運転を原則とするシステムを除き、全ての稼動時間帯において、オペレーション責任者が常駐する。 • プライバシー、機密保護に係わるデータの出力時には、必要に応じてユーザ部門の職員がオペレーションに立ち会うか、特定の職員がオペレーションする。 • オペレーションの自動化、簡略化を図る。 • オペレーションのチェック機能を充実する。 • オペレーション責任者は、オペレーション実施記録とオペレーション予定表、進捗状況表、作業指示書等と照合し、所定のオペレーション手続きが遵守され、正規のジョブが実行されたことを確認する。 • 情報システムの専任のオペレータについては、ローテーションを適宜行う。 • 専任のオペレータには、容易にその資格が確認できる措置を講ずる。 • 情報システムの操作等に関する問い合わせ窓口を設置する。 • 情報システム部門以外の部門において、利用するハードウェア及びソフトウェアを適切に管理する措置を講ずる。 • 機器及びソフトウェアの設定変更を管理し、新旧の設定内容を十分に比較検討する。 • 庁舎外で使用する簡易な移動が可能な端末（クライアントを含む）機器については、機器の紛失・盗難を防止するための措置、及び紛失・盗難があった場合における情報漏洩を防止するための措置を講ずる。 • ファイルに対する排他制御機能を設け、これを活用する。 • ファイル間の内容を突合・検証する機能を設ける。 • 本番ライブラリへの登録・抹消は、管理者の承認を得たうえで定められた者が行い、管理する。