中小企業の情報セキュリティ対策

概要
情報セキュリティ５か条
情報セキュリティ基本方針
情報セキュリティ自社診断
本格的なセキュリティ対策
より強固にするための方策

概要

中小企業の情報セキュリティ対策ガイドラインは、中小企業を対象に、セキュリティ対策を行う際の手順や手法がまとめられたガイドラインで、情報処理推進機構（IPA）から公開されています。

ガイドラインは１部と２部から構成され、１部は経営者編、２部は実践編となっています。１部では経営者が認識すべき３原則が挙げられています。この３つは、サイバーセキュリティ経営ガイドラインの経営者が認識すべき３原則と一致します。

情報セキュリティ対策は経営者のリーダシップで進める
委託先の情報セキュリティ対策まで考慮する
関係者とは常に情報セキュリティに関するコミュニケーションをとる

また、中小企業で情報セキュリティを確保するための経営者の役割りとして、７つの取組みは以下になります。

情報セキュリティに関する組織全体の方針を定める
情報セキュリティ対策のための予算や人材を確保する
情報セキュリティ対策の検討と実施を指示する
情報セキュリティ対策は適宜見直しを指示する
緊急時の対応や復旧のための体制を整備する
委託や外部サービス利用の際は情報セキュリティに関する責任を明確にする
情報セキュリティに関する最新動向を収集する

情報セキュリティ５か条

多くの中小企業にとっては、いきなり大掛かりなセキュリティ対策は難しいため、まずは基本的な５つの対策が示されています。

OSやソフトウェアは常に最新の状態にする
ウィルス対策ソフトを導入する、ウィルス定義ファイルを常に最新にする
パスワードを強化（長く、複雑）する、使いまわさないようにする
共有設定を見直し、無関係な人が情報を閲覧できないようにする
脅威や攻撃の手口を知る

情報セキュリティ基本方針

経営者が定めた情報セキュリティに対する基本方針を、従業員や関係者に伝えるための文書を作成します。IPAからは、以下の項目のサンプルが公開されています。

経営者の責任
経営者主導で組織的かつ継続的に情報セキュリティの改善・向上に努める旨を記載
社内体制の整備
情報セキュリティの維持及び改善のための組織を設置し、情報セキュリティ対策を社内の正式な規則として定める旨を記載
従業員の取組み
従業員の情報セキュリティのために必要とされる知識、技術の習得に取り組む旨を記載
法令及び契約上の要求事項の遵守
情報セキュリティに関わる法令、規制、契約上の義務を遵守する旨を記載
違反及び事故への対応
情報セキュリティに関わる法令違反、契約違反及び事故が発生した場合の適切な対処と再発防止についての記載

情報セキュリティ自社診断

自社のセキュリティ対策がどのくらい実施できているかを把握するため、以下のような25項目のチェックリストが用意されています。

基本的対策

OSやソフトウェアは常に最新の状態にしているか？
ウィルス対策ソフトの導入し、ウィルス定義ファイルを最新にしている？
破られにくい “長く” “複雑な” なパスワードを設定しているか？
重要情報に対する適切なアクセス制限を行っているか？
新たな脅威や攻撃の手口を知り社内共有する仕組みはあるか？

従業員としての対策

電子メールの添付ファイルやURLリンクを介したウィルス感染へ注意しているか？
電子メールやFAXの宛先の送信ミスを防ぐ取り組みを行っているか？
重要情報はメール本文には書かず、添付ファイルに書いてパスワード保護しているか？
無線LANの適切な暗号化方式の設定しているか？
インターネットを介したウィルス感染やSNSへの書込みなどのトラブルへの対策をしているか？
ウィルス感染などによる情報消失に備えたバックアップを取得しているか？
重要書類は机上に放置せず、鍵の掛かる書庫へ保管しているか？
重要書類や電子媒体の持ち出し時の盗難や紛失の対策をしているか？
離籍時のパソコン画面の覗き見や勝手な操作を防止しているか？
関係者以外の事務所への立ち入りを制限しているか？
退社時にノートパソコンや備品を施錠保管するなど盗難防止対策をしているか？
事務所が無人になる時の施錠忘れ対策を実施しているか？
重要な書類やデータを破棄する際は復元できないようしているか？

組織としての対策

従業員に対し守秘義務やルールを順守させているか？
従業員へのセキュリティ教育や注意喚起を行っているか？
個人所有の情報機器を業務で利用する場合のセキュリティ対策を行っているか？
取引先との契約書への機密保持条項を規定している？
クラウドサービスなど外部サービスの安全・信頼性を把握して選定しているか？
セキュリティ事故発生時の対応体制や手順の整備など準備をしているか？
上記のセキュリティ対策をルール化に従業員に明示しているか？

本格的なセキュリティ対策

自社に適したセキュリティ対策を行うためには、自社にどのようなセキュリティ上のリスクがあるかを把握し、事業に大きな影響を及ぼす事故を防ぐ対策を実施します。

管理体制の構築
情報セキュリティの責任者から従業員への情報の伝達経路を確立し、またセキュリティ事故が発生した場合は、情報セキュリティ責任者へ状況が迅速に報告されるような連絡体制を整備します。
責任分担と連絡体制の整備

緊急時対応体制の整備
IT利活用方針と情報セキュリティの予算化
自社で利用している情報システムについて把握した上で、対策を検討し、予算を確保します。

情報セキュリティ規定の作成
対策すべきリスクを特定し、対策を決定し、規定類を作成します。規定の内容の例は以下になります。

組織的対策
情報セキュリティのための管理体制の構築と点検、情報共有のルールの策定
人的対策
役員や従業員の教育、人材育成などのルールの策定
情報資産管理
情報資産の管理や持ち出し方法、バックアップ、破棄などのルールの策定
アクセス制御および認証
情報資産に対するアクセス制御方針や認証のルールの策定
物理的対策
セキュリティ領域の設定や注意事項などのルールの策定
IT機器利用
IT機器やソフトウェアの利用などのルールの策定
IT基盤運用管理
サーバやネットワークなどのITインフラに関するルールの策定
システム開発および保守
開発および保守を行う情報システムに関するルールの策定
委託管理
委託先業者の選定や契約、評価のルールの策定
情報セキュリティインシデント対応ならびに事業継続管理
セキュリティ事故の対応や事業継続管理などのルールの策定
個人番号および特定個人情報の取り扱い
マイナンバーの取り扱いに関するルールの策定

委託時の対策
外部の委託業者に重要な情報を渡す場合は、委託先にも情報セキュリティ対策を実施してもらいます。
点検と改善
計画したセキュリティ対策や情報セキュリティ規定が正しく実行されているか、定期的に点検を行います。

より強固にするための方策

情報収集と共有

情報セキュリティに関する脅威や攻撃の手口を知って組織内に共有することは、組織の対策レベルの向上につながります。

IPAセキュリティセンター
 JPCERT/CC
日本シーサート協議会
 警察庁

Webサイトの情報セキュリティ

Webサイトは誰でもアクセスできるため攻撃の対象になり易く、顧客情報の漏洩や不正サイトへの誘導のための改ざんにより、自社だけでなく、利用者にも被害が発生する可能性があります。Webサイトの対策は以下の３段階があります。

Webサイト運用形態の検討
オンプレミスやクラウドサービスなど、Webサイトの運用形態によりセキュリティ対策が異なるため、目的や要件に合った運用形態を検討する。
Webサイトの構築
Webサイトの技術的な脆弱性を洗い出し、必要なセキュリティ対策を設計段階から検討する。
Webサイトの運用
運用開始後に発覚したセキュリティ上の問題にも適切に対応し、Webサイトの安全性を維持向上する。