報道資料

(1)

平成 24 年４月 26 日内閣官房情報セキュリティセンター（NISC）

情報セキュリティ政策会議第29回会合の開催について

－「政府機関の情報セキュリティ対策のための統一基準群」の改定等－

本日、「情報セキュリティ政策会議」（議長：内閣官房長官）の第29回会合が開催され、その概要は以下のとおり。

１．「政府機関の情報セキュリティ対策のための統一基準群」の改定について

昨今の政府機関等を対象とした標的型攻撃への対応等の観点から、「政府機関の情報セキュリティ対策のための統一基準群」の改定が決定された。

（資料１－１～資料１－６）

２．「重要インフラの情報セキュリティに係る第２次行動計画」の改定について

東日本大震災の教訓や昨今の標的型攻撃への対応等の観点から、「重要インフラの情報セキュリティ対策に係る第２次行動計画」の改定が決定された。

（資料２－１～資料２－３）

３．「情報セキュリティ２０１２」の骨子案について

「情報セキュリティ２０１２」の骨子案が討議された。

「国民を守る情報セキュリティ戦略」（2010 年５月情報セキュリティ政策会議決定）を推進するための年度計画として、各府省庁が 2012 年度から 2013 年度にかけて実施する施策をとりまとめる「情報セキュリティ２０１２」の骨子案が討議された。

（資料３－１及び資料３－２）

４．その他

「政府機関の情報セキュリティ対策のための統一技術基準」の改定及び「暗号危殆化の危険度判定及び対応フロー」が報告された。

（資料４－１及び資料５－１）

※ 本日の会議資料は、内閣官房情報セキュリティセンターのホームページにおいても公表する。

（http://www.nisc.go.jp/conference/seisaku/index.html）

(2)

0

昨今の政府機関等を対象とした標的型攻撃等への対応、情報技術や利用環境の変化を踏まえた対応、調達時におけるセキュリティ要件の確保やリスク分析の確実な実施等の観点から、統一基準群の規定を見直し

標的型攻撃等に備えた体制の整備、災害時の継続的な運用の確保

＊障害・事故等の発生に備えた体制の整備や他の組織との情報共有に関する規定を追加

＊管理者権限の適切な管理（パスワード等）を行うための規定を追加

＊省庁対策基準と情報システム運用継続計画との整合的運用を確保するための規定の見直し

共通基盤ｼｽﾃﾑの適切な運用、区域における対策の明確化

調達時におけるセキュリティ要件の確保、リスク分析の実効性を確保

＊政府の共通基盤システムの適切な情報セキュリティマネジメントに関する事項の追加

＊情報を取り扱う区域のクラス区分毎の対策に関する規定を追加

＊情報システムの調達時におけるセキュリティ要件を確保するための措置を追記

＊遵守事項の枠組みを変更し、全ての遵守事項について、各府省庁における確実なリスク分析の実施

○新たな脅威等への対応

○情報技術・利用環境の変化への対応

○基準運用の実効性の向上

(3)

統一規範

統一管理基準

統一技術基準

全体を

「統一基準群」

統一基準運用指針

府省庁

独自基準

省庁ポリシー

府省庁の特性

政府ポリシー

省庁基本方針

統一管理基準統一技術基準に準拠

省庁対策基準

省庁実施手順個別マニュアル群

府省庁は、省庁ポリシー等に基づき情報セキュリティ対策を実施

情報セキュリティ政策会議決定

ＣＩＳＯ会議決定

ＮＩＳＣが提供

体系内容決定機関

1 統一規範情報セキュリティ基本方針政策会議

2 統一基準運用指針情報セキュリティマネジメントの指針政策会議 3 統一管理基準情報セキュリティポリシー（基本編）政策会議

4 統一技術基準情報セキュリティポリシー（技術編）ＣＩＳＯ等連絡会議

※ 統一技術基準については、各府省庁において技術的対策を柔軟に講じられるよう統一基準と決裁を分離し、より機動的な運用を可能としている。

(4)

1

政府機関の情報セキュリティ対策のための統一規範

平成 23 年４月 21 日平成 24 年４月 26 日改定情報セキュリティ政策会議決定

第一章目的及び対象（第一条―第二条）

第二章政府機関の情報セキュリティ対策のための基本指針（第三条―第四条）

第三章政府機関の情報セキュリティ対策のための基本対策（第五条―第二十四条）

附則

第一章目的及び対象

（目的）

第一条本規範は、政府機関の情報セキュリティを確保するため、政府機関のとるべき対策の統一的な枠組みを定め、各政府機関が自らの責任において対策を図るための措置を講ずることにより、もって政府機関全体の情報セキュリティ対策の強化・拡充を図ることを目的とする。

（対象）

第二条本規範の対象となる政府機関は、法律の規定に基づき内閣に置かれる機関若しくは内閣の所轄の下に置かれる機関、宮内庁、内閣府設置法（平成十一年法律第八十九号）第四十九条第一項若しくは第二項に規定する機関、国家行政組織法（昭和二十三年法律第百二十号）第三条第二項に規定する機関若しくはこれらに置かれる機関（以下「府省庁」という。)とする。

２本規範の対象となる情報は、情報処理及び通信に係るシステム（以下「情報システム」という。）

内部に記録された情報、情報システム外部の電磁的記録媒体に記録された情報及び情報システムに関係がある書面に記載された情報とする。

３本規範の対象となる者は、政府職員（府省庁において行政事務に従事している国家公務員をいう。）及びそれぞれの府省庁の指揮命令に服している者のうち、それぞれの府省庁の管理対象である情報及び情報システムを取り扱う者（以下「行政事務従事者」という。）とする。

４本規範の対象となる情報の格付の区分は、機密性、完全性、可用性について、別表に掲げるものとする。

(5)

2

第二章政府機関の情報セキュリティ対策のための基本指針

（リスク評価）

第三条各府省庁は、別に定める政府機関の情報セキュリティ対策における政府機関統一管理基準及び政府機関統一技術基準の策定と運用等に関する指針（以下「運用指針」という。）に基づき、当該府省庁の保有する情報及び利用する情報システム並びに当該情報及び情報システムに係る脅威を明らかにし、情報及び情報システムごとにその重要性、利用環境等を考慮したリスクの評価（以下

「リスク評価」という。)を行った上で、必要となる情報セキュリティ対策の水準を決定しなければならない。

２評価を行ったリスクに変化が生じた場合は、前項のリスク評価及び対策の水準を見直さなければならない。

（省庁情報セキュリティ文書）

第四条各府省庁は、当該府省庁の特性を踏まえつつ、本規範に準拠して府省庁における情報セキュリティ対策の基本的な方針（以下「省庁基本方針」という。）及び情報セキュリティ対策基準（以下

「省庁対策基準」という。）を定めなければならない。省庁基本方針及び省庁対策基準（以下「省庁基準」という。）の呼称は各府省庁で独自に定めることができる。

２省庁基本方針は、本規範と同等以上の情報セキュリティの管理が可能となるように定めなければならない。

３省庁対策基準は、別に定める政府機関の情報セキュリティ対策のための統一管理基準（以下「統一管理基準」という。）及び政府機関の情報セキュリティ対策のための統一技術基準（以下「統一技術基準」という。）と同等以上の情報セキュリティ対策が可能となるように定めなければならない。

４各府省庁は、前条に規定したリスク評価の結果を踏まえ、省庁基本方針及び省庁対策基準の評価及び見直しを行わなければならない。

第三章政府機関の情報セキュリティ対策のための基本対策

（管理体制）

第五条各府省庁は、情報セキュリティ対策を実施するための組織・体制を整備しなければならない。

２各府省庁は、最高情報セキュリティ責任者を１人置かなければならない。

３最高情報セキュリティ責任者は、省庁基準の策定等を行う機能を持つ組織として情報セキュリティ委員会を設置し、委員長及び委員を置かなければならない。

４最高情報セキュリティ責任者は、本規範にて規定した当該府省庁における情報セキュリティ対策に関する事務を統括し、当該府省庁の行政事務従事者に対して、別表に掲げる情報セキュリティ対策を講じさせなければならない。

(6)

3

５最高情報セキュリティ責任者は、前項に係る措置について、統一管理基準に定める責任者及び管理者に分掌させることができる。

（例外措置）

第六条各府省庁は、省庁基準に定めた情報セキュリティ対策の実施に当たり、例外措置を適用するために必要な申請・審査・承認のための手順と担当者を省庁基準の中で定めなければならない。

（教育）

第七条各府省庁は、行政事務従事者に対し、自らが自覚をもって省庁基準に定めた情報セキュリティ対策を実施するために、情報セキュリティに関する教育を行わなくてはならない。

（障害・事故等への対応）

第八条各府省庁は、情報セキュリティに関する障害・事故等（以下「障害・事故等」という。）の発生又はそのおそれがある場合に備えた必要な措置を講じなければならない。

２障害・事故等の発生を知った者は、省庁基準に定める責任者に報告を行わなければならない。

３省庁基準に定める責任者は、障害・事故等の発生の報告を受け又は自ら知ったときは、必要な措置を講じなければならない。

（自己点検）

第九条各府省庁は、情報セキュリティ対策の自己点検を行わなければならない。

（監査）

第十条各府省庁は、省庁基準が統一規範に準拠し、かつ実際の運用が省庁基準に準拠していることを確認するため、情報セキュリティ監査を行わなければならない。

（情報セキュリティ報告書）

第十一条各府省庁は、自己点検及び監査の結果を反映した情報セキュリティ報告書を毎年度作成し、

公表しなければならない。報告書の構成、細目は別に定める。

２各府省庁は、作成した情報セキュリティ報告書に基づいて省庁基準を見直し、必要な措置を講じなければならない。

（外部委託）

第十二条各府省庁は、情報処理に係る業務を外部委託する際には、必要な措置を定め、実施しなければならない。

(7)

4

（業務継続計画及び情報システム運用継続計画）

第十三条各府省庁は、業務継続計画及び情報システム運用継続計画と情報セキュリティ対策との間の整合性確保のための検討を行わなければならない。

２各府省庁は、業務継続計画及び情報システム運用継続計画を整備する場合には、当該業務継続計画及び情報システム運用継続計画と関係があると認めた情報システムについて、業務継続計画及び情報システム運用継続計画との整合性を考慮し、必要な措置を講じなければならない。

（情報の格付）

第十四条各府省庁は、取り扱う情報に、機密性、完全性、可用性の観点から格付を付さねばならない。

２各府省庁は、府省庁間での情報の移送、提供に際しては、第二条第四項で定めた情報の格付のうち、いかなる区分に相当するかを明示等しなければならない。

（情報の取扱制限）

第十五条各府省庁は、情報の格付に応じた取扱制限の種類を定めなければならない。

２各府省庁は、取り扱う情報に、前項で定めた取扱制限を付さねばならない。

３各府省庁は、府省庁間での情報の移送、提供に際しては、情報の取扱制限を明示等しなければならない。

（情報のライフサイクル管理）

第十六条各府省庁は、情報の作成、入手、利用、保存、移送、提供及び消去の各段階で、情報の格付の区分及び取扱制限の種類に応じて必要とされる取扱いが損なわれることがないように、別表に基づき、必要な措置を定め、実施しなければならない。

（情報システムの利用管理）

第十七条各府省庁は、情報システムの利用者及びその利用範囲を定め、その適切な確認を行うために、必要な措置を定め、実施しなければならない。

（情報取扱区域）

第十八条各府省庁は、府省庁の内外において情報を取り扱う区域を「情報取扱区域」とし、区分を定めるとともに、求める対策及び利用の制限を整備しなければならない。

（情報システムのライフサイクル管理）

第十九条各府省庁は、所管する情報システムの計画、構築・運用、移行・廃棄及び見直しの各段階において情報セキュリティを確保するための措置を定め、実施しなければならない。

(8)

5

（情報システムに係る文書及び台帳整備）

第二十条各府省庁は、所管する情報システムに係る文書及び台帳を整備しなければならない。

（機器等の購入及びソフトウェア開発・運用・保守）

第二十一条各府省庁は、機器等の購入及びソフトウェア開発・運用・保守について、必要な措置を定め、実施しなければならない。

（暗号・電子署名）

第二十二条各府省庁は、府省庁における暗号及び電子署名の利用について、必要な措置を定め、

実施しなければならない。

（府省庁外の情報セキュリティ水準の低下を招く行為の防止）

第二十三条各府省庁は、府省庁外の情報セキュリティ水準の低下を招く行為の防止について、必要な措置を定め、実施しなければならない。

（統一管理基準及び統一技術基準への委任）

第二十四条本規範に特別の規定があるものを除くほか、本規範の実施のための手続その他その執行について必要な細則は、統一管理基準及び統一技術基準で定める。

附則

第一条内閣官房情報セキュリティセンターは、統一規範に基づいた府省庁の情報セキュリティ対策について必要な範囲で検査し、評価する。

２内閣官房情報セキュリティセンターは、毎年度前項の評価を取りまとめて情報セキュリティ政策会議に報告し、その概要を公表するものとする。

第二条情報セキュリティ政策会議は、統一規範決定後一年後を目途として、新たな脅威の発生や府省庁における運用の結果を踏まえて検討し、その結果に基づいて必要な措置を講ずる。

第三条政府機関の情報セキュリティ対策の強化に関する基本方針（平成 17 年９月 15 日情報セキュリティ政策会議決定）は廃止する。

(9)

6 別表（第二条第四項関係）

機密性についての格付の定義

なお、機密性２情報及び機密性３情報を「要機密情報」という。

完全性についての格付の定義

なお、完全性２情報を「要保全情報」という。

可用性についての格付の定義

なお、可用性２情報を「要安定情報」という。

また、要機密情報、要保全情報及び要安定情報を「要保護情報」という。

格付の区分分類の基準

機密性３情報行政事務で取り扱う情報のうち、秘密文書に相当する機密性を要する情報

機密性２情報行政事務で取り扱う情報のうち、秘密文書に相当する機密性は要しないが、漏えいにより、国民の権利が侵害され又は行政事務の遂行に支障を及ぼすおそれがある情報機密性１情報機密性２情報又は機密性３情報以外の情報

完全性２情報行政事務で取り扱う情報（書面を除く。）のうち、改ざん、

誤びゅう又は破損により、国民の権利が侵害され又は行政事務の適確な遂行に支障（軽微なものを除く。）を及ぼすおそれがある情報

完全性１情報完全性２情報以外の情報（書面を除く。）

可用性２情報行政事務で取り扱う情報（書面を除く。）のうち、その滅失、紛失又は当該情報が利用不可能であることにより、

国民の権利が侵害され又は行政事務の安定的な遂行に支障（軽微なものを除く。）を及ぼすおそれがある情報可用性１情報可用性２情報以外の情報（書面を除く。）

(10)

7 別表（第五条第四項及び第十六条関係）

〔行政事務従事者の遵守事項〕

（情報の作成と入手及び利用時の対策）

一情報の作成や変更時等に格付及び取扱制限を決定及び明示等するとともに、明示された格付及び取扱制限に従って情報を取り扱うこと。

（情報の保存時の対策）

二要機密情報を保存する際は、読取制限の属性を付与したり、アクセスが限定された共有フォルダに保存する等の適切なアクセス制御を行うこと。また、要保全情報を保存する際は、上書き禁止の属性を付与する等の適切なアクセス制御を行うこと。

三要機密情報を含む電磁的記録媒体、書類又は重要な設計書については、施錠ができる書庫・保管庫に保存する等の適切な保存を行うこと。

（情報の送信又は運搬時の対策）

四要機密情報を電磁的記録媒体に保存する際並びに情報を送信又は運搬する際には、必要に応じて、パスワードによる保護又は情報の暗号化を実施すること。

五要保全情報を電磁的記録媒体に保存する際並びに情報を送信又は運搬する際には、必要に応じて、電子署名を付与すること。

（情報のバックアップ）

六業務に係る情報の滅失等が、業務の遂行に影響を与える可能性が高いと判断される場合、適切な頻度でバックアップ又は複写を取得すること。

（情報の保存期間の対策）

七業務に係る情報は、定められた保存期間に従って保存し、保存期間の延長が不要な際には速やかに消去すること。

（情報の提供時の対策）

八要機密情報を自府省庁の要管理対策区域外に送信又は運搬あるいは提供する場合は、

手順に従い、第五条第五項に規定した責任者に許可又は届出を行うこと。

九電磁的記録を公表又は提供する場合は、ファイルのプロパティ等に含まれる作成者名、

組織名、作成履歴等、公表に不要な付加情報を削除する等、不用意な情報漏えいを防止するための措置を講じること。

十自府省庁の行政事務従事者以外の者に情報を提供する場合は、格付及び取扱制限の意

(11)

8 味も含めて伝達すること。

（情報の消去時の対策）

十一電磁的記録媒体や書面を廃棄する場合は、全ての情報を抹消すること。

（府省庁支給以外の情報システムによる情報処理又は要管理対策区域外での情報処理の対策）

十二要管理対策区域外に情報システムを持ち出して情報処理を行う時は、情報の格付に従い、第五条第五項に規定した責任者に許可又は届出を行うこと。

十三府省庁支給以外の情報システムにより情報処理を実施する時は、情報の格付に従い、

第五条第五項に規定した責任者に許可又は届出を行うこと。

（府省庁外の情報セキュリティ水準の低下を招く行為の防止）

十四国民等、自府省庁外の情報セキュリティ水準の低下を招く行為の防止に関する規定に従うこと。

十五国民等、自府省庁外の者に対して、アクセスや送信させることを目的としてドメイン名を告知する場合に、「.go.jp」で終わるドメイン名を使用すること。

（不正プログラム感染及び拡大の防止）

十六不正プログラムの感染防止のため以下の行為を行わないこと。

・安全性が確実ではないファイルをダウンロードする。

・安全性が確実ではないファイルを移送、提供等する。

・安全性が確実ではないファイルを開き、あるいは実行する。

十七不正プログラムに感染した恐れがある場合には、当該電子計算機の通信回線への接続を速やかに切断し、第五条第五項に規定した責任者等に連絡し、その指示に従うこと。

（識別コード又は主体認証情報等の管理）

十八主体認証情報（パスワード等）の管理に当たって、「他者に知られない」「他者に教えない」「忘れない」「容易に推測可能なものを用いない」「定期的に更新する」ことを徹底すること。

十九主体認証情報格納装置（IC カード等）の管理に当たって、「他者に貸与しない」「紛失しない」こと。

二十識別コード（ユーザID等）が不要になった場合又は主体認証情報が他者に使用された（又は使用される危険性が生じた）場合には、直ちに第五条第五項に規定した管理者に届け出ること。

(12)

9

（身分証明書の明示）

二十一要管理対策区域内において、身分証明書を他の行政事務従事者が常時視認できるようにすること。

（端末の利用時の対策）

二十二モバイル端末を利用する際、第五条第五項に規定した責任者の承認を得るとともに、要機密情報は必要最低限のものだけを自府省庁の要管理対策区域外に持ち出すよう心がけ、必要に応じて暗号化する等、適切に利用すること。

二十三端末を業務目的のみで使用し、端末において利用可能と定められたソフトウェアのみを利用すること。

（通信回線の利用時の対策）

二十四許可されていない電子計算機及び通信回線装置を通信回線に接続せず、許可された通信回線のみを利用すること。

（電子メールの利用時の対策）

二十五業務情報を含む電子メールを送受信する場合には、第五条第五項に規定した責任者が指定（自府省庁によって運営又は外部委託されているものをいう。）した電子メールサービスを利用すること。また、受信メールはテキストで表示すること。

（ウェブの利用時の対策）

二十六ウェブブラウザのセキュリティ設定を適切に行うこと。（あらかじめ第五条第五項に規定した管理者が設定している場合には、それに従って適切に使用すること。）

二十七ウェブサイトに要機密情報を入力して送信する場合は、次の事項を確認すること。

(a)送信内容が暗号化されていること。（ウェブブラウザの鍵アイコン表示等による確認）

(b)送信先が想定している組織のウェブサイト（サイト証明書等による確認）

（兼務の禁止）

二十八情報セキュリティについての責任者（又はその上司）の立場にあって、情報セキュリティに関する申請を自らが行う場合には、自分以外の適切な承認権限者に申請すること。

（情報セキュリティ対策の教育）

二十九情報セキュリティ対策についての教育を、年に一度は受講すること。また、異動で新しい職場等に着任した場合は、その事実が発生した日から三か月以内に、異動先の

(13)

10

課室情報セキュリティ責任者に教育の受講方法を確認すること。（新たに第五条第五項に規定した責任者又は管理者となった場合は、それぞれの職務に応じた情報セキュリティ対策についての教育も含む。）

（障害・事故等の対処）

三十障害等の発生を確認した場合、第五条第五項に規定した責任者に連絡するとともに対処手順等に従いその対処に努めること。

（外部委託時の対策）

三十一委託先に業務に係る情報を提供する場合は、必要最小限とし、外部委託終了時には委託先に不要な情報を返却、廃棄又は抹消をさせること。

(14)

1

政府機関の情報セキュリティ対策における政府機関統一管理基準及び政府機関統一技術基準の策定と運用等に関する指針

平成 17 年９月 15 日平成 21 年２月３日改定平成 22 年５月 11 日改定平成 23 年４月 21 日改定平成 24 年４月 26 日改定情報セキュリティ政策会議決定

１本指針の位置付け等１－１本指針の位置付け

１－２本指針で使用する主要な用語の説明２政府機関の情報セキュリティ対策の在り方

２－１府省庁における情報セキュリティ対策の進め方

２－２複数の府省庁で共通的に使用する基盤となる情報システムにおける情報セキュリティ対策の進め方

２－３センターによる対策実施状況の検査と評価

２－４情報セキュリティに関する障害・事故等への対応３省庁基準に基づく情報セキュリティマネジメント

３－１省庁基準に関する留意点３－２計画

３－３実施３－４評価３－５改善

４政府機関統一管理基準及び政府機関統一技術基準に関する取組

４－１政府機関統一管理基準及び政府機関統一技術基準の策定と運用等４－２政府機関統一基準適用個別マニュアル群の策定と提供

１本指針の位置付け等１－１本指針の位置付け

本指針は、政府機関の情報セキュリティ対策の強化・拡充を図るため、「政府機関の情報セキュリティ対策のための統一規範」（平成 23 年４月 21 日付情報セキュリティ政策会議決定）（以下「政府機関統一規範」という。）に基づき、政府機関が行うべき情報セキュ

(15)

2

１－２本指針で使用する主要な用語の説明

本指針において次に掲げる用語の定義は、それぞれ次に定めるところによる。

(1) 「府省庁」とは、法律の規定に基づき内閣に置かれる機関若しくは内閣の所轄の下に置かれる機関、宮内庁、内閣府設置法（平成十一年法律第八十九号）第四十九条第一項若しくは第二項に規定する機関、国家行政組織法（昭和二十三年法律第百二十号）第三条第二項に規定する機関若しくはこれらに置かれる機関をいう。

(2) 「情報」とは、情報処理及び通信に係るシステム（以下「情報システム」という。）

内部に記録された情報、情報システム外部の電磁的記録媒体に記録された情報及び情報システムに関係がある書面に記載された情報をいう。したがって、作業途上の文書も適用対象であり、書面に記載された情報には、電磁的に記録されている情報を記載した書面（情報システムに入力された情報を記載した書面、情報システムから出力した情報を記載した書面）及び情報システムに関する設計書が含まれる。

(3) 「情報資産」とは、組織における情報セキュリティ対策の対象となるものであり、次に掲げるものをいう。

（ア）情報

（イ）情報システム及び電磁的記録媒体等

（ウ）ソフトウェア

（エ）組織及び人

(4) 「リスク」とは、不確かさによって結果が目的からかい離することでもたらされる影響をいう。起こり得る事象（周辺状況の変化を含む。）の結果とその起こりやすさとの組み合わせで表される。

(5) 「情報セキュリティマネジメント」とは、組織の取組の方針に基づいて、情報セキュリティの計画、実施、評価及び改善を行うことをいう。

(6) 「情報セキュリティポリシー」とは、組織内の情報セキュリティを確保するための方針、方策及び体制等を包括的に定めた文書をいう。（図１を参照のこと。）

(7) 「政府機関統一管理基準」とは、政府機関統一規範に基づき、政府機関の情報セキュリティ対策の横断的な取組の一環として、情報セキュリティ対策の内容の整合化・共通化を促進するため、それぞれの府省庁が最低限行うべき情報セキュリティ対策を定めた政府の統一的な基準をいう。

(8) 「政府機関統一技術基準」とは、政府機関統一管理基準に記載された情報セキュリティ対策を実施する上での具体的な技術的基準をいう。

(9) 「省庁基本方針」とは、政府機関統一規範に準拠した、それぞれの府省庁における情報セキュリティ対策の基本的な方針をいう。

(10) 「省庁対策基準」とは、政府機関統一管理基準及び政府機関統一技術基準に準拠し

(16)

3 省庁基本方針と省庁対策基準からなる。

(12) 「実施手順」とは、省庁基準に定められた対策の内容を具体的な情報システムや業務においてどのような手順に従って実行していくかについて定めた文書をいう。

(13) 「政府機関統一基準適用個別マニュアル群」とは、省庁基準に基づいて、それぞれの府省庁が実施手順を作成する際に参照すべき文書（実施手順、規程及びマニュアル等）

の総称であり、原則として内閣官房情報セキュリティセンター（以下「センター」という。）が策定する文書をいう。

図１：政府機関及び各府省庁における情報セキュリティポリシー

２政府機関の情報セキュリティ対策の在り方

２－１府省庁における情報セキュリティ対策の進め方

それぞれの府省庁における情報セキュリティの確保については、自らの管理下にある情報資産に責任を持ち、それぞれの業務や情報システムの形態に適応した情報セキュリティ対策を講じていくことが原則である。

それぞれの府省庁は、この原則に基づき、情報セキュリティ対策を適切に推進するために、当該府省庁が有する情報資産に関して、個人的裁量でその扱いが判断されることのないように、組織として意思統一して情報セキュリティに係るリスクの評価を行うものとする。その上で、リスク対応の選択肢（低減、受容、共有又は回避）を選び、当該選択肢を具体化する情報セキュリティ対策を定め、これらを明文化した文書として省庁基準及び実

(17)

4

実施手順を策定するとともに、その後、必要な見直しを行うものとする。したがって、府省庁において、政府機関統一管理基準及び政府機関統一技術基準で定められている内容を合理的な理由なく省庁対策基準に反映させないということはあってはならない。それぞれの府省庁は、その特性を踏まえつつ、省庁対策基準に盛り込むべき内容を決定するとともに、政府機関統一管理基準及び政府機関統一技術基準については、これを直接参照する、

そのまま取り込む、又は構成や表現を変えて盛り込む等の方法により適切に反映させるものとする。なお、省庁対策基準から政府機関統一技術基準に相当する技術的側面の基準を分離し、省庁対策技術基準として別途策定してもよい。

また、センターは、それぞれの府省庁の実施手順策定に当たり、記載内容の不備の防止と策定作業の効率化に資するよう、府省庁と協力して、政府機関統一基準適用個別マニュアル群を策定する。

情報システムの調達に当たっては、必要なセキュリティ対策を確実に実施するため、要求仕様に要件として記載することになる。

２－２複数の府省庁で共通的に使用する基盤となる情報システムにおける情報セキュリティ対策の進め方

複数の府省庁で共通的に使用する基盤となる情報システム（一府省庁でハードウェアからアプリケーションまで管理・運用している情報システムを除く。以下「基盤となる情報システム」という。）については、これを使用する各府省庁の情報システムと連携して運用管理するものであることから、府省庁の間での情報セキュリティ対策の抜けや漏れの防止を図ることが必要であり、また、一部の情報システムの障害・事故等が他の情報システムに及ぼす影響等も踏まえ、情報システム全体としての情報セキュリティ水準を適切に確保することが必要である。

このため、基盤となる情報システムを整備し運用管理する府省庁、及びこれと連携して運用する情報システムを管理する府省庁（以下「整備・運用管理府省庁」という。）は、

基盤となる情報システムを運用管理する実施体制を整備するに当たっては、各府省庁の責任と役割分担の在り方について検討するとともに、情報セキュリティ対策を確実かつ迅速に調整・実施できる体制とする必要がある。

また、整備・運用管理府省庁は、基盤となる情報システムの情報セキュリティを確保するための方策等について包括的に定めた文書を整備するに当たっては、各府省庁における情報セキュリティポリシーとの関係について検討し、適切な運用管理が行われるよう、以下の事項等を整理するものとする。

・各府省庁間の責任分界

・平常時及び非常時の協力・連携体制

(18)

5

これらにより、基盤となる情報システムについても、情報セキュリティ対策の実施及び点検等、情報セキュリティマネジメントが適切に実行されることが必要である。

２－３センターによる対策実施状況の検査と評価

情報セキュリティ対策の評価は、それぞれの府省庁の責任において行われることが原則であるが、政府として、これを更に効果的かつ効率的に実施し、政府機関全体としての情報セキュリティ水準の向上を図るためには、客観的に比較検証することが可能な判断基準による評価が重要である。

同時に、情報セキュリティ対策は、一過性のものではなく、遅滞なく継続的な取組が実施できるものであることが重要である。

これらのことから、センターは、政府機関統一規範並びに政府機関統一管理基準及び政府機関統一技術基準に基づき、それぞれの府省庁の省庁基準、実施手順及びその他の情報セキュリティ関係規程の整備状況並びに対策の実施状況について、総合的、客観的及び統一的な視点で、定期的に、又は必要に応じて検査及び評価を実施し、必要に応じて改善を促す。

なお、それぞれの府省庁は、センターが検査及び評価を実施する場合、これに協力する。

２－４情報セキュリティに関する障害・事故等への対応

情報セキュリティに関する障害・事故等（インシデント及び故障を含む。以下「障害・

事故等」という。）が発生又はそのおそれがある場合には、早急にその状況を検出又は確認し、被害の拡大を防ぎ、回復のための対策を講ずる必要がある。また、その際には、

障害・事故等の影響や範囲に関する責任者への報告及び府省庁内外の関係部門との情報共有により、障害・事故等の発生現場の混乱や誤った指示の発生等を最小限に抑えるとともに、被害の拡大防止や再発防止を講ずることが重要である。

このため、各府省庁は、障害・事故等への対応として、障害・事故等の発生に備えた体制や対処手順等の整備、発生時における報告と応急措置・復旧等、障害・事故等の原因調査と再発防止策を講ずる。センターは、各府省庁の障害・事故等への政府一体となった対応の中核となる機関として、各府省庁への技術的な支援及び助言を行うとともに、各府省庁間の情報共有の結節点として、各府省庁間の連携・調整を行う。各府省庁は、障害・事故等が発生又はそのおそれがある場合には、センター及び府省庁内外の関係部門との情報共有により、被害の未然又は拡大防止及び再発防止のための措置を講ずる。

３省庁基準に基づく情報セキュリティマネジメント

(19)

6 にすること

脅威（例えば、盗聴、侵入、改ざん、破壊、窃盗、漏えい、サービス不能攻撃等）から保護すべき情報資産を明らかにするとともに、情報資産ごとにその重要性、利用環境等を考慮した情報セキュリティに係るリスク評価を行う。その際保護すべきものとされた特定の情報資産とこれに要求される情報セキュリティの水準が、情報セキュリティ対策を考える基礎となる。

また、情報セキュリティ対策を講ずるための体制を確立し、情報システムを運用・管理する者、利用する者、当該情報システムの情報セキュリティ対策の責任者等、１つの情報システムに複数の者が関わることを十分認識した上で、それぞれの権限と責任の範囲を明確化することにより、組織として情報セキュリティ対策が適切に進められるようにする必要がある。

(2) 省庁基準の適用範囲を明確にすること

省庁基準が適用される情報資産、組織（者）、場所・区域の範囲及びその境界を外部委託の観点も含めて明確にする。境界外では他の主体により情報セキュリティ対策が講じられていることを確認する等により、その境界が妥当であることを確認することも重要である。

適用範囲を定めるに当たっては、下記（ア）～（エ）を考慮する。

（ア）情報

省庁基準を適用する情報の範囲は、本指針１－２(2)の定義に従う。特に、情報システムの外部の電磁的記録媒体に記録された情報も対象となること、また、

情報の作成・入手の時点から対象となることに留意し、府省庁の事務に基づく具体例を含む説明を示す必要がある。

（イ）組織（者）

省庁基準を適用する者の範囲は、政府職員（府省庁において行政事務に従事している国家公務員をいう。）及びそれぞれの府省庁の指揮命令に服している者のうち、それぞれの府省庁の管理対象である情報及び情報システムを取り扱う者

（以下「行政事務従事者」という。）とする。この範囲について、府省庁の事務に基づく具体的な説明を示す必要がある。

（ウ）場所・区域

省庁基準を適用する場所・区域の範囲は、行政事務従事者の各々が所属する府省庁が管理する組織又は庁舎とする。特に、外出時の情報の持ち出し等、府省庁が管理する組織又は庁舎以外の場所・区域について適用範囲とする場合には、府省庁の事務に基づく具体的な説明を示す必要がある。

(20)

7

わせる場合であっても、当該委託関係を省庁基準の適用範囲に含めて、これを管理する。省庁基準において、府省庁と委託先のそれぞれの責任を含む委託先管理の原則を示す必要がある。

(3) 省庁基準に基づく情報セキュリティ対策の実施サイクルに従った間断ない取組を行うこと

それぞれの府省庁にとって情報セキュリティ対策は、省庁基準を策定することによって完結する一過性のものではなく、省庁基準の策定及びそれに基づく継続的な取組によって意味をなすものである。したがって、図２に示す省庁基準に基づく情報セキュリティ対策の実施サイクルに従った間断ない取組が必要である。このように、情報セキュリティの水準を適切に維持していくためには、策定した省庁基準を導入し、これに基づく情報セキュリティ対策を実施していくことが重要である。そして、それとともに、対策の実施状況及び効果並びにその結果としての情報セキュリティの状態を的確に評価し、

評価の結果に応じて省庁基準及び対策の実施について改善を図ることが重要である。

計画

リスク評価の実施、省庁基準の策定

評価

対策の実施状況、効果並びに情報セキュリティ水準の評価

改善

省庁基準・実施手順の改善、対策実施の改善

実施

実施手順の作成、省庁基準・実施手順の周知、情報セキュリティ対策の実施

図２：省庁基準に基づく情報セキュリティ対策の実施サイクル

(21)

8 (1) 省庁基準及び実施手順の策定手続の概要

省庁基準は、図３に示すとおり、それぞれの府省庁において、①策定のための組織・

体制を確立し、その組織・体制の下で、②省庁基本方針を策定し、③リスク評価に基づき、④省庁対策基準の策定を行い、⑤それぞれの府省庁内において意思統一及び明文化した省庁基準を決定するものとする。

また、それぞれの府省庁においては、省庁基準に従い、⑥実施手順を策定することとなる。

なお、策定した対策基準及び実施手順並びにリスク評価結果等の関連文書類は、

攻撃者にとっての手掛かりとなり得る情報が含まれていることが多いため、その取扱いには注意が必要である。

(2) 省庁基準策定のための組織・体制

情報セキュリティはそれぞれの府省庁の責任において確保されなければならないものであり、組織横断的な取組が必要であるため、省庁基準の策定には、幹部職員の関与が不可欠である。省庁基準の策定及び運用その他それぞれの府省庁における情報セキュリティの全体に対する責任の所在を明らかにするため、最高情報セキュリティ責任者を定め、必要に応じてその実務を行う者を任命することとする。効率的かつ実用的な省庁基準を策定するには、情報システムを運用する部門のほか、人事・会計部門等を含めた組織横断的な検討体制を確保するとともに、担当者だけではなく幹部職員で構成する委員会等の組織（以下「情報セキュリティ委員会」という。）を設ける必要がある。このため、省庁基準においては、情報セキュリティ委員会の目的、権限、名称、業務、構成員等を定める。

①組織・体制の確立 ⑥実施手順の策定

⑤省庁基準の決定

④省庁対策基準の策定

③リスク評価

②省庁基本方針の策定

図３：省庁基準及び実施手順の策定手続の概要

(22)

9 した省庁基本方針を定める。

なお、基本方針は、情報セキュリティに対する基本的な方向性を決定付けるものであることから、頻繁に更新される性質のものではないことに留意する必要がある。

(4) リスク評価及びリスク対応

情報セキュリティにおいてリスク評価とは、保護すべき情報資産を明らかにし、それらに対する情報セキュリティに係るリスクを評価することであり、図４に示すとおり、①情報資産の調査、②情報資産の重要性の分類、③情報資産を取り巻く脅威・脆弱性の調査を行い、③情報資産を取り巻く脅威・脆弱性の調査に基づき、④脅威の発生頻度、脆弱性の程度及び発生時の被害の大きさの分析を行うことと、②情報資産の重要性の分類に基づき、⑤情報セキュリティ要求水準の設定を行うことである。

なお、リスクの大きさについては、事故の発生頻度と発生時の被害の大きさの積として表す方法があるが、その場合、リスクによっては定量的に評価することが困難な場合が少なくないことにも留意する必要がある。

情報セキュリティにおいてリスク対応とは、保護すべき情報資産について求める情報セキュリティ水準を達成するための措置として、リスクの低減、受容、共有又は回避のいずれか又は組み合わせを選択し、かつ情報セキュリティ対策を決定することをいう。情報セキュリティ対策実施の制約等により、求める情報セキュリティ水準を超えるリスクを受容するとの判断もあり得る。

(5) 省庁対策基準の策定

リスク評価の結果に基づき検討した各情報資産に対する個々の情報セキュリティ対策について、省庁対策基準を定める。

① 情報資産の調査

省庁対策基準の策定

③ 脅威・脆弱性の調査 ② 重要性の分類

④ 脅威の発生頻度、脆弱性の程度及び発生時の被害の

大きさ

⑤ 情報セキュリティ要求水準の設定

図４：リスク分析の手続

(23)

10

機関統一管理基準及び政府機関統一技術基準に準拠することで容易となるという効果がある。

このため、それぞれの府省庁は、省庁対策基準を策定するに当たって、各情報資産の特質を踏まえた上で政府機関統一管理基準及び政府機関統一技術基準に準拠することとする。

(6) 省庁基準の決定

策定された省庁基準案については、情報セキュリティ分野の専門家による評価、関係部局の意見等を踏まえ、その妥当性を確認する手続を経ることが必要である。

省庁基準には、関係部局からの意見を反映させるための手続を定め、省庁基準の決定に当たっては、府省庁としての意思決定を必要とすることを定める。

３－３実施

実施手順の作成、省庁基準及び実施手順の周知及び運用は次のとおりとする。

(1) 実施手順の作成

実施手順においては、省庁基準に記述された内容を具体的な情報システムや業務においてどのような手順に従って実行するかについて定める。この実施手順は、省庁基準を遵守しなければならない者全員について、取り扱う情報、実施する業務及び利用する情報システム等に応じて情報セキュリティを確保するために、何をどのようにすべきか、あるいは、何をしてはならないかを示すマニュアルに該当するものである。

したがって、それぞれの府省庁は、政府機関統一基準適用個別マニュアル群を参考にしながら、業務を実施する環境に応じて、情報システムごとに又は業務ごとに適切な実施手順の作成を行い、必要に応じて改訂することとする。

なお、実施手順については、対策基準に基づき個別の目的のために作成し、評価・

見直し等の実施サイクルを柔軟に行うことが有効であることから、情報セキュリティ委員会による承認を受けることなく、情報システムを管理する者等において策定、更新及び廃止することを可能とする必要がある。

(2) 省庁基準及び実施手順の周知

情報セキュリティ対策を実効性のあるものにするには、省庁基準を関係者に周知する必要がある。また、実施手順については、当該手順を実行する者に周知する必要がある。

委託先についても委託する業務に該当する事項を周知するとともに、これを契約に含めて行わせることが必要である。

(24)

11

理、情報システムの利用管理、情報システムの計画から廃棄及び見直しまでのライフサイクル管理、緊急時対応及びその訓練を含む。

３－４評価

情報セキュリティ対策についてその適正を確保するため、それぞれの府省庁は、情報セキュリティ対策の実施状況、効果並びに対策実施の結果としての情報セキュリティの状態を評価することが必要である。

評価を行うべき契機に、年度等定期、外部の脅威の変化、府省庁の業務や取り扱う情報の変化、情報セキュリティ事故やヒヤリ・ハット事案の発生等がある。

なお、評価は客観的な視点から行なわれていると認められることが重要であり、このため評価対象の部門や者から独立した組織又は部門による監査を含めることが必要である。

外部の機関を活用して監査を行う場合、当該機関に情報システムの弱点が知られる危険を伴うことを十分留意した上、信頼性について慎重な検討を行い、機関の選定を行うことが必要である。

また、それぞれの府省庁において情報セキュリティ報告書を作成し、自組織の情報セキュリティ対策の取組状況を公表する。

３－５改善

評価の結果、求める情報セキュリティ水準が達成されていないと判断された場合、及び情報セキュリティ対策の実施状況や効果が不十分であると判断された場合は、それについて、再発防止を考慮した改善を実施しなければならない。改善においては、リスク評価を行い、リスク対応として省庁基準の改正、実施手順の改正、省庁基準又は実施手順の教育による周知徹底、情報システムや機器の更新、情報セキュリティの重要性に係る啓発等の対応を採ることとなる。また、改善の処置の結果については、意図された目的が達成されていることを確認する必要がある。

なお、それぞれの府省庁は、情報セキュリティに係る検査・評価等の結果を踏まえて政府機関統一管理基準及び政府機関統一技術基準が見直された場合、これに即して省庁基準の見直しを行う必要がある。

４政府機関統一管理基準及び政府機関統一技術基準に関する取組

４－１政府機関統一管理基準及び政府機関統一技術基準の策定と運用等

政府機関統一管理基準及び政府機関統一技術基準の原案はセンターが策定する。また、

政府機関統一管理基準は、新たな脅威の発生やそれぞれの府省庁における運用の結果を

(25)

12

なお、政府機関統一管理基準の策定については、次の点に留意する。

(1) 政府機関統一管理基準は、府省庁において必要とされる情報セキュリティ対策を原則として全て包含するものとして策定する。

(2) 政府機関統一管理基準は、責任体制、実施体制及び対策内容について、それぞれの府省庁が無理なく準拠できるよう、府省庁の実情を踏まえて策定する。

(3) 政府機関統一管理基準の策定に当たっては、国際的な基準等との整合性に必要な配慮を払う。

４－２政府機関統一基準適用個別マニュアル群の策定と提供

政府機関統一基準適用個別マニュアル群については、それぞれの府省庁が実際に省庁基準を適用する際に作成する文書（実施手順、規程及びマニュアル等）の参考となるものとして、センターが府省庁と協力して策定する。また、当該マニュアル群は、新たな脅威の発生やそれぞれの府省庁における運用の結果を踏まえて、重要性かつ緊急性のある項目から優先的に作成又は改訂し、府省庁に提供する。

附則情報セキュリティポリシー策定ガイドライン（平成１２年７月１８日付情報セキュリティ対策推進会議決定）は廃止する。

(26)

政府機関の情報セキュリティ対策のための統一管理基準（平成 24 年度版）

平成

24

年４月

26

日

情報セキュリティ政策会議

(27)

(28)

目次-1

第1.1部総則 ... 6 1.1.1.1 本統一管理基準及び統一技術基準の位置付け ... 6 (1) 政府機関の情報セキュリティ対策の強化における本統一管理基準及び統一技術基準の位置付け ... 6 (2) 本統一管理基準及び統一技術基準の改訂 ... 6 (3) 法令等の遵守 ... 6 1.1.1.2 本統一管理基準及び統一技術基準の使い方 ... 7 (1) 全体構成 ... 7 (2) 対策項目の記載事項 ... 8 (3) 「対策レベルの設定」に係る変更点 ... 8 1.1.1.3 情報の格付の区分及び取扱制限の種類 ... 8 (1) 格付及び取扱制限 ... 8 (2) 格付の区分 ... 9 (3) 取扱制限の種類 ... 10 1.1.1.4情報取扱区域における管理及び利用制限 ... 10 (1) 情報取扱区域 ... 10 (2) 情報取扱区域のクラスの決定 ... 11 (3) 情報取扱区域のクラス別管理及び利用制限 ... 11 (4) 情報取扱区域の個別管理及び個別利用制限 ... 12 1.1.1.5評価の方法 ... 12 1.1.1.6 用語定義 ... 13 第1.2部組織と体制の整備 ... 18 1.2.1 導入 ... 18 1.2.1.1 組織・体制の整備 ... 18 遵守事項 ... 18 (1) 最高情報セキュリティ責任者の設置 ... 18 (2) 情報セキュリティ委員会の設置 ... 18 (3) 情報セキュリティ監査責任者の設置 ... 18 (4) 情報セキュリティ責任者の設置 ... 18 (5) 情報システムセキュリティ責任者の設置 ... 19 (6) 情報システムセキュリティ管理者の設置 ... 19 (7) 課室情報セキュリティ責任者の設置 ... 19 (8) 区域情報セキュリティ責任者の設置 ... 19 (9) 最高情報セキュリティアドバイザーの設置 ... 20 1.2.1.2 役割の割当て ... 20 遵守事項 ... 20 (1) 兼務を禁止する役割の規定 ... 20 (2) 上司による承認・許可 ... 20

(29)

目次-2

1.2.1.3 違反と例外措置 ... 20 遵守事項 ... 20 (1) 違反への対処 ... 20 (2) 例外措置 ... 20 1.2.2 運用 ... 23 1.2.2.1 情報セキュリティ対策の教育 ... 23 遵守事項 ... 23 (1) 情報セキュリティ対策の教育の実施 ... 23 (2) 情報セキュリティ対策の教育の受講 ... 23 1.2.2.2 障害・事故等の対処 ... 24 遵守事項 ... 24 (1) 障害・事故等の発生に備えた事前準備 ... 24 (2) 障害・事故等の発生時における報告と対処の流れ ... 24 (3) 障害・事故等の原因調査と再発防止策 ... 25 (4) 障害・事故等の発生するおそれがある場合の対処 ... 25 1.2.3 評価 ... 26

1.2.3.1 情報セキュリティ対策の自己点検 ... 26 遵守事項 ... 26 (1) 自己点検に関する年度計画の策定 ... 26 (2) 自己点検の実施に関する準備 ... 26 (3) 自己点検の実施 ... 26 (4) 自己点検結果の評価 ... 26 (5) 自己点検に基づく改善 ... 26 1.2.3.2 情報セキュリティ対策の監査 ... 26 遵守事項 ... 26 (1) 監査計画の策定 ... 26 (2) 監査の実施に関する指示 ... 27 (3) 個別の監査業務における監査実施計画の策定 ... 27 (4) 監査の実施に係る準備 ... 27 (5) 監査の実施 ... 27 (6) 監査結果に対する対処 ... 27 1.2.4 見直し ... 29

1.2.4.1 情報セキュリティ対策の見直し ... 29 遵守事項 ... 29 (1) 情報セキュリティ対策の見直し ... 29 1.2.5 その他 ... 30 1.2.5.1 外部委託 ... 30

適用範囲 ... 30 遵守事項 ... 30 (1) 情報セキュリティ確保のための府省庁内共通の仕組みの整備 ... 30