--- type: guideline title: 第8部 情報システムの利用 source: 内閣官房 国家サイバー統括室 category: cybersecurity updated: 2026-06-12 source_url: https://www.cyber.go.jp/files/kijyungun-tougour8_6_w.zip --- # 第8部 情報システムの利用 ## 8.1 情報システムの利用 ### 8.1.1 情報システムの利用 目的・趣旨 職員等は、業務の遂行のため、端末での事務処理のほか電子メール、ウェブ等様々な情報システムを利用している。これらを適切に利用しない場合、情報セキュリティインシデントを引き起こすおそれがある。 このため、情報システムの利用に関する規定を整備し、職員等は規定に従って利用することが求められる。 なお、機関等が支給する端末（要管理対策区域外で使用する場合に限る）に係る規定の整備については遵守事項6.1.2(1)、機関等支給以外の端末に係る規定の整備については遵守事項6.1.3(2)をそれぞれ参照すること。 遵守事項 #### (1) 情報システムの利用に係る規定の整備 (a) 統括情報セキュリティ責任者は、機関等の情報システムの利用のうち、情報セキュリティに関する実施手順を整備すること。 (b) 統括情報セキュリティ責任者は、**USBメモリ等の外部電磁的記録媒体を用いた情報の取扱いに関する実施手順**を定めること。 (c) 統括情報セキュリティ責任者は、機密性３情報、要保全情報又は要安定情報が記録されたUSBメモリ等の外部電磁的記録媒体を要管理対策区域外に持ち出す際の許可手続を定めること。 【 基本対策事項 】 ＜8.1.1(1)(a)関連＞ 8.1.1(1)-1 統括情報セキュリティ責任者は、機関等の情報システムの利用のうち、情報セキュリティに関する**以下を例とする実施手順を定める**こと。 a) 情報システムの基本的な利用のうち、情報セキュリティに関する手順 b) 端末（支給外端末を含む。）の利用のうち、情報セキュリティに関する手順 c) 電子メール及びウェブの利用のうち、情報セキュリティに関する手順 d) 識別コードと主体認証情報の取扱手順 e) 暗号と電子署名の利用に関する手順 f) 不正プログラム感染防止の手順 g) アプリケーション・コンテンツの提供時に機関等外の情報セキュリティ水準の低下を招く行為の防止に関する手順 h) ドメイン名の使用に関する手順 i) Web会議サービス利用時の手順 j) クラウドサービスを利用した機関等外の者との情報の共有時の手順 ＜8.1.1(1)(b)関連＞ 8.1.1(1)-2 統括情報セキュリティ責任者は、USBメモリ等の外部電磁的記録媒体を用いた情報の取扱いに関する実施手順として以下の事項を全て含めて定めること。 a) 職員等は、**国の行政機関、独立行政法人若しくは指定法人が支給する外部電磁的記録媒体**、又は遵守事項8.1.1(b)に規定する実施手順において定められた外部電磁的記録媒体を用いた情報の取扱いの遵守を**契約により機関等との間で取り決めた機関等外の組織から受け取った外部電磁的記録媒体**を使用すること。 b) 自組織以外の組織から受け取った外部電磁的記録媒体は、自組織と当該組織との間で情報を運搬する目的に限って使用することとし、当該外部電磁的記録媒体から情報を読み込む場合及びこれに情報を書き出す場合の安全確保のために必要な措置を講ずること。 c) 要機密情報が記録された外部電磁的記録媒体を要管理対策区域外に持ち出す場合は、外部電磁的記録媒体に**格納する情報を暗号化する**、又は主体認証機能や暗号化機能等を備える**セキュアな外部電磁的記録媒体**を利用すること。 d) 要機密情報は保存される必要がなくなった時点で速やかに削除すること。 e) 外部電磁的記録媒体を使用する際には、事前に**不正プログラム対策ソフトウェアによる検疫・駆除**を行うこと。 f) 外部電磁的記録媒体の利用者が利用内容を**貸出簿等に記録する**こと。 ＜8.1.1(1)(c)関連＞ 8.1.1(1)-3 統括情報セキュリティ責任者は、機密性３情報、要保全情報又は要安定情報が記録されたUSBメモリ等の外部電磁的記録媒体を要管理対策区域外に持ち出す際の許可手続として、以下を全て含む手続を規定し、職員等に遵守させること。 a) 利用時の許可申請手続 b) **手続内容**（利用者、利用期間、主たる利用場所、目的、記録する情報、機器名） c) 利用期間満了時の手続 d) 許可権限者（課室情報セキュリティ責任者）による手続内容の記録 （解説） - 遵守事項8.1.1(1)(b)「USBメモリ等の外部電磁的記録媒体を用いた情報の取扱いに関する実施手順」について USBメモリ等の外部電磁的記録媒体に関する対策は、情報システムの構成等によって様々であると考えられるが、[基本対策事項8.1.1(1)-2及び「【参考8.1.1-1】USBメモリ等の外部電磁的記録媒体について」](#_情報システムの利用に係る規定の整備)を参照しつつ、①端末等の不正プログラム感染、②盗難・紛失等による情報漏えい、③バックドアの埋め込み等のサプライチェーン・リスク、といった脅威に対抗するための実施手順を定める必要がある。また、職員等は当該手順に従う必要がある（[遵守事項3.1.1(4)(e)](#_情報の利用・保存)を参照のこと。）。 なお、USBメモリ等の外部電磁的記録媒体の管理に際しては、実施手順の整備のほか、組織内ネットワーク上の端末に対する外部電磁的記録媒体の接続を制御及び管理するためにOSに備わる機能を使用することや製品やサービスの導入も有効である（[基本対策事項7.2.4(1)-2 e)](#_標的型攻撃対策の実施)を参照のこと。）。 - 基本対策事項8.1.1(1)-1「以下を例とする実施手順を定める」について a)～f)、i)及びj)は、それぞれ[遵守事項8.1.1(3)](#_情報システムの利用時の基本的対策)～[(8)](#_不正プログラム感染防止)、(9)及び(10)において、職員等を名宛人とした対策事項が規定されている。同様に、g)は遵守事項6.6.1(1)において、また、h)は遵守事項6.6.2(1)において対策事項が規定されている。本基本対策事項では、これら規定内容を包含する形で、機関等の実施手順等を定めることを求めている。 なお、統一基準及び本ガイドラインの規定内容を、対策基準に含めて定めることで代替しても差し支えない。 - 基本対策事項8.1.1(1)-2 a)「国の行政機関、独立行政法人若しくは指定法人が支給する外部電磁的記録媒体」・「契約により機関等との間で取り決めた機関等外の組織から受け取った外部電磁的記録媒体」について USBデバイスの設計上の脆弱性を悪用するなどして、USBデバイスのファームウェアを不正に書き換えることによる攻撃手法が確認されている。例えば、悪意のある者が、端末を不正プログラムに感染させることを目的にUSBメモリのファームウェアを書き換え、当該USBメモリを攻撃対象者や不特定多数の者等に配ることが考えられる。当該USBメモリは、USBポートに挿入されると不正プログラムを自動的に実行し、端末が不正プログラムに感染してしまう。このようなファームウェアを書き換えられたUSBデバイスは、不正プログラム対策ソフトウェア等では検出できない場合もあることから、出所が明らかでありかつ適切な取扱いがなされている外部電磁的記録媒体以外のものの使用については禁止する必要があり、遵守事項8.1.1(1)(b)で規定する実施手順に基づく管理がなされた外部電磁的記録媒体を使用すべきである。 機関等で使用される外部電磁的記録媒体について、機関等が自組織以外の組織（以下、本解説において「他組織」という。）と、当該他組織が支給する外部電磁的記録媒体を用いて情報の受け渡しをする必要がある場合は、遵守事項8.1.1(1)(b)に規定する実施手順に定めることとしている対策が、当該他組織において講じられることを担保する必要がある。他組織が機関等である場合は、統一基準群の適用対象であり、上記は担保されるが、他組織が機関等外の組織の場合は、これを契約により遵守させる必要がある。「契約により機関等との間で取り決めた機関等外の組織から受け取った外部電磁的記録媒体」の例としては、委託事業の成果物を外部電磁的記録媒体に記録した形で受け取るケースが想定される。 なお、業務の都合上、やむを得ず本基本対策事項で定める媒体以外の外部電磁的記録媒体から情報を受け取らざるを得ない場合は、例外措置として判断し、不正プログラム感染のリスク等を勘案の上、安全確保のために必要な措置を講ずる必要がある。 - 基本対策事項8.1.1(1)-2 c)「格納する情報を暗号化する」について 「（解説）基本対策事項3.1.1(6)-2 a)「運搬する情報を暗号化する」について」を参照のこと。 - 基本対策事項8.1.1(1)-2 c)「セキュアな外部電磁的記録媒体」について 「[（解説）基本対策事項3.1.1(6)-2 c)「セキュアな外部電磁的記録媒体」について](#_情報の運搬・送信)」を参照のこと。 - 基本対策事項8.1.1(1)-2 e)「不正プログラム対策ソフトウェアによる検疫・駆除」について 外部電磁的記録媒体に対する不正プログラム対策としては、端末等に導入した不正プログラム対策ソフトウェア等を利用し、USBメモリ等に対して直接検査を実施することが考えられる。機関等内通信回線への感染のリスクを低減させるための更なる対策として、いわゆるサンドボックスとなる緩衝環境や機器等を導入し、端末等に接続する前に検疫・駆除を行うといった方法も考えられる。 - 基本対策事項8.1.1(1)-2 f)「貸出簿等に記録する」について 外部電磁的記録媒体の盗難・紛失が発生した場合に原因を追跡するために、保管場所から外部電磁的記録媒体を取り出す際や保管場所に返却する等の際に貸出簿等に利用状況を記載することが重要である。また、盗難・紛失が発生したことを速やかに把握するために、適宜貸出簿等の内容を確認するとよい。 貸出簿等の記載事項としては、利用者及び所属、利用開始日時、利用終了日時、機器名、利用する場所、利用目的といったものが考えられる。 - 基本対策事項8.1.1(1)-3 b)「手続内容」について USBメモリ等の外部電磁的記録媒体を利用する際、実施手順に従い貸出簿等に記録することが求められており（基本対策事項8.1.1(1)-2 f)を参照のこと。）、また利用時に許可が必要な場合は、許可手続に従い手続内容の記載が求められている（基本対策事項8.1.1(1)-3 b)を参照のこと。）。手続内容が貸出簿等に記録する内容と重複する場合は、業務の効率化の観点から、例えば、貸出簿に一意に識別できる貸出番号の項目を追加し、参照することで手続内容の記載を省略するといった運用が考えられる。 【参考8.1.1-1】USBメモリ等の外部電磁的記録媒体について USBメモリ等の外部電磁的記録媒体に関連する脅威（①②③）及び脆弱性（箇条書き）としては、以下が想定される。 ① 端末等の不正プログラム感染 - 利用者、用法等が不明な物が使用されている。 - 外部電磁的記録媒体を接続した際に自動的にプログラムが実行される。 - 不正プログラム対策ソフトウェアによる検疫・駆除を行っていない。 ② 盗難・紛失等による情報漏えい - 利用者、用法等が不明な物が使用されている。 - 運搬の際等に暗号化等の安全管理措置がなされていない。 - 不要な要機密情報が保存されている。 ③ バックドアの埋め込み等のサプライチェーン・リスク - 製造元、製造過程が不明な物が使われる。 上記の脅威及び脆弱性に対しては、表8.1.1-1に掲げる対策が想定される。 表8.1.1-1　USBメモリ等の外部電磁的記録媒体に関する対策の例

脅威

対策

対策の種類

関連する

基本対策事項

①不正プログラム感染

主体認証機能や暗号化機能を備える外部電磁的記録媒体を導入する。

調達時の対策

5.2.1(3)関連

不正プログラムの検疫・駆除機能を備える外部電磁的記録媒体を導入する。

調達時の対策

5.2.1(3)関連

情報を暗号化するための機能を備えたソフトウェアを導入する。

調達時の対策

5.2.1(3)関連

7.1.5関連

外部電磁的記録媒体の検疫・駆除機能を備える不正プログラム対策ソフトウェアを導入する。

調達時の対策

7.2.2(1)関連

サーバ装置及び端末の自動再生（オートラン）機能や自動実行機能を無効にする。

技術的な設定

7.2.4(1)-2 c)

サーバ装置及び端末において使用を想定しないUSBポート等を無効にする。

技術的な設定

7.2.4(1)-2 d)

外部電磁的記録媒体の使用前に、不正プログラム対策ソフトウェアや外部電磁的記録媒体に備わる機能による不正プログラムの検疫・駆除を行う。

利用時の対策

8.1.1(1)-2 e)

8.1.1(8)関連

脅威

対策

対策の種類

関連する

基本対策事項

②情報漏えい

運搬の際等に主体認証機能や暗号化機能の利用等の安全管理措置を講ずる。

利用時の対策

3.1.1(6)-2 c)

8.1.1(1)-2 c)

要機密情報は保存される必要がなくなった時点で速やかに削除する。

利用時の対策

8.1.1(1)-2 d)

③サプライチェーン・リスク

安全と考えられる製造元、製造過程の製品を調達する。

調達時の対策

4.3.1関連

①②③共通

使用可能な媒体の制限や利用方法等に関する手順を定める。

管理対策

8.1.1(1)-2

組織内ネットワーク上の端末に対する外部電磁的記録媒体の接続を制御及び管理するための製品やサービスを導入する。

管理対策

調達時の対策

7.2.4(1)-2 e)
遵守事項 #### (2) 情報システム利用者の規定の遵守を支援するための対策 (a) 情報システムセキュリティ責任者は、**職員等による規定の遵守を支援する機能**について情報セキュリティリスクと業務効率化の観点から支援する範囲を検討し、当該機能を持つ情報システムを構築すること。 【 基本対策事項 】 ＜8.1.1(2)(a)関連＞ 8.1.1(2)-1 情報システムセキュリティ責任者は、機関等外のウェブサイトについて、職員等が閲覧できる範囲を制限する機能を情報システムに導入すること。具体的には、以下を例とする機能を導入すること。また、当該機能に係る設定や条件について定期的に見直すこと。 a) ウェブサイトフィルタリング機能 b) 事業者が提供するウェブサイトフィルタリングサービスの利用 8.1.1(2)-2 情報システムセキュリティ責任者は、職員等が不審な電子メールを受信することによる被害をシステム的に抑止する機能を情報システムに導入すること。具体的には、以下を例とする機能を導入すること。また、当該機能に係る設定や条件について定期的に見直すこと。 a) 受信メールに対するフィルタリング機能 b) 受信メールを**テキスト形式で表示する機能** c) スクリプトを含む電子メールを受信した場合において、当該スクリプトが自動的に実行されることがない電子メールクライアントの導入 d) 受信メールに添付されている**実行プログラム形式のファイルを削除等する**ことで実行させない機能 （解説） - 遵守事項8.1.1(2)(a)「職員等による規定の遵守を支援する機能」について 職員等が対策基準に定めた規定を守ることを前提としつつ、情報システムの仕組みとして、情報セキュリティインシデントが発生しにくい利用環境を職員等に提供することにより、組織全体のセキュリティ水準を確保することを求める規定である。例えば、基本対策事項に示したとおり、閲覧するとウイルス感染被害に遭うことが判明しているサイトや受信した電子メールをフィルタリングして閲覧不可にすることで被害を回避するなどが考えられる。 これ以外にも、例えば、職員等のパスワードを他者に知られないようにするために、入力したパスワードの文字列がアスタリスク等により非表示となる機能を設けることが考えられる。また、職員等が意図しない相手に電子メールを送信することをシステム的に抑止する対策として以下のような機能を情報システムに導入すること等も考えられる。 - 送信者の電子メールアドレスのドメイン名以外のドメインのアドレスが宛先アドレスに含まれる場合に警告を表示するなど、入力された宛先アドレスをチェックして警告する機能 - To、Cc、Bccに入力された宛先アドレスの数が設定数以上になっているときに警告する機能 - 添付ファイルがある場合に警告する機能 - 送信メールの件名、本文、添付ファイルにあらかじめ設定した文字列が含まれる場合に警告する機能 - 送信者が送信指示を行った後、あらかじめ設定された時間だけ送信を保留することにより、送信者が誤送信に気が付いた場合に、送信を取り消すことができる機能 - 基本対策事項8.1.1(2)-2 b)「テキスト形式で表示する機能」について いわゆるフィッシング等の脅威が想定される外部からの電子メールを受信する情報システムを対象とした規定である。HTML形式の電子メールは、その形式の特徴が悪用され、本文中のURLを偽装した電子メールを送ることにより、フィッシング行為や不正プログラムを埋め込んだウェブサイトへの誘引行為に利用されている。フィッシング等の被害に遭うリスクが想定される場合には、テキスト形式やRTF（Rich Text Format）形式等のURL偽装のリスクの無い形式で表示することが望ましい。 - 基本対策事項8.1.1(2)-2 d)「実行プログラム形式のファイルを削除等する」について 実行プログラム形式のファイルとは、利用者がダブルクリックするなどしてファイルを開いたときに自動的にプログラムコード（当該ファイルの作成者が意図した任意のコード）が実行される形式のファイルのことであり、拡張子が「.exe」の形式のものがこれに該当するほか、「.pif」、「.scr」、「.bat」等のものも該当する。実行プログラム形式のファイルは、不正プログラムを感染させる手段として標的型攻撃等に悪用されることが多いことから、特に電子メールに添付された実行プログラム形式のファイルについては、職員等がこれを開くことができないよう、システム的に抑止する機能を導入することを基本対策事項としている。ファイルを削除等する機能の例としては、電子メールの中継サーバにおいて、中継する電子メールの全てを検査して、実行プログラム形式のファイルが添付ファイルとして含まれている場合にはその添付ファイルを削除する機能が挙げられるほか、中継サーバでの削除に代えて、電子メールを受信した端末側で該当する添付ファイルを開けないようにする機能等が想定される。 また、実行プログラム形式のファイルは、「.zip」、「.lzh」等の圧縮形式のファイルの内部に含められることがあり、職員等が圧縮形式のファイルを展開し、展開後に現れる実行プログラム形式のファイルを開いてしまうことにより、不正プログラムに感染する事態も想定されることから、圧縮形式のファイルの内部に含められた実行プログラム形式のファイルも削除等の対象とする必要がある。 なお、パスワードを用いて暗号化された圧縮形式のファイルについては、当該ファイル中に不正プログラムが含まれるか否かの検疫を行えないことが考えられるため、不正プログラムに感染するリスクがより高まることが想定される。そのため、パスワードを用いて暗号化された圧縮形式のファイル中に実行プログラム形式のファイルが含まれるか否かを技術的に検査できない場合には、暗号化された圧縮形式のファイル自体を添付ファイルから削除等する機能の導入を考慮する必要がある。圧縮形式のファイル中のファイルの検査をする機能を導入する代わりに、暗号化の有無にかかわらず圧縮形式のファイルの全てを削除等する措置を用いてもよい。 これらファイル削除等の機能の導入は、職員等に一定の不便をもたらすことになり得るが、これを実施せず、開いてよいファイルか否かを職員等に添付ファイルの拡張子を個々に確認させる方法を代用策とした状態では、標的型攻撃等を企図した電子メールの添付ファイルを誤って開いてしまう危険性を十分に抑制することは困難であることから、これをシステム的に抑止する機能の導入が推奨される。 また、マクロ付きファイルや、ファイル内に書かれた指示に従うことでプログラムが実行されるファイルによって不正プログラムに感染するリスクを低減するために、基本対策事項8.1.1(8)-3に規定する対策を検討するとよい。 遵守事項 #### (3) 情報システムの利用時の基本的対策 (a) 職員等は、**業務の遂行以外の目的で情報システムを利用しない**こと。 (b) 職員等は、情報システムセキュリティ責任者が**接続許可を与えた通信回線以外**に機関等の情報システムを接続しないこと。 (c) 職員等は、機関等内通信回線に、情報システムセキュリティ責任者の**接続許可を受けていない情報システム**を接続しないこと。 (d) 職員等は、業務の遂行において、利用が認められていないソフトウェアを利用しないこと。また、当該ソフトウェアを職務上の必要により利用する場合は、**情報システムセキュリティ責任者の承認を得る**こと。 (e) 職員等は、**接続が許可されていない機器等**を情報システムに接続しないこと。 (f) 職員等は、情報システムの設置場所から離れる場合等、第三者による不正操作のおそれがある場合は、情報システムを不正操作から保護するための措置を講ずること。 (g) 職員等は、機密性３情報、要保全情報又は要安定情報が記録されたUSBメモリ等の外部電磁的記録媒体を要管理対策区域外に持ち出す場合には、課室情報セキュリティ責任者の**許可を得る**こと。 (h) 職員等は、業務の遂行において、**利用承認を得ていないクラウドサービスを利用しない**こと。 【 基本対策事項 】 ＜8.1.1(3)(f)関連＞ 8.1.1(3)-1 職員等は、第三者による不正操作のおそれがある場合は、情報システムを不正操作から保護するために、以下を例とする措置を講ずること。 a) スクリーンロックの設定 b) 利用後のログアウト徹底 c) 利用後に情報システムを鍵付き保管庫等に格納し施錠 （解説） - 遵守事項8.1.1(3)(a)「業務の遂行以外の目的で情報システムを利用しない」について 本規定の脅威の例としては、意図せず悪意のあるウェブサイトを閲覧することによって、不正プログラムに感染することが想定される。 - 遵守事項8.1.1(3)(b)「接続許可を与えた通信回線以外」について 機関等内通信回線であっても機関等外通信回線であっても、許可を得ていない通信回線に接続してはならない。モバイル端末を持ち出した際に接続する通信回線については、機関等内通信回線以外の利用となり、盗聴等の脅威が増大することから、許可されていない通信回線への接続は回避すべきである。ただし、出張先等で利用する通信回線が未定の場合は、事前の許可が難しいことから、回線の種別（通信事業者の回線・公衆無線LAN回線等）で管理すること等も考えられる。 なお、機関等支給以外の端末についても、本項と同等の対策を講ずることが望ましい。 - 遵守事項8.1.1(3)(c)「接続許可を受けていない情報システム」について 要管理対策区域外において機関等外通信回線に接続した端末（支給外端末を含む。）を機関等内通信回線に直接接続することについては、それぞれの情報システムについての接続許可を決定する前に、そもそもこのような接続を業務上認める必要があるのかどうかについて、その是非を判断することを遵守事項6.1.2(1)(c)及び遵守事項6.1.3(2)(d)で求めている。 - 遵守事項8.1.1(3)(d)「情報システムセキュリティ責任者の承認を得る」について 職員等が、許可を得て、機関等支給以外の端末で業務を行う場合にも本規定が適用される。 なお、承認を得る際には、ソフトウェアの必要性や利用目的、取り扱う情報の概要、要機密情報の取扱いの有無、製品名、バージョン、入手方法（ソフトウェアの入手元となるURL、事業者名等）、入手可能な場合には利用規約等を添付して、情報システムセキュリティ責任者に申請することが望ましい。 - 遵守事項8.1.1(3)(e)「接続が許可されていない機器等」について 出所不明のUSBデバイス（例えば、無料で配布されるUSBデバイス）やセキュリティ管理が不十分な私物のスマートフォン等が情報システムに接続されることが許容されていると、不正プログラム感染等のリスクが高まることから、情報システムへ接続可能な機器等（又は接続を禁止する機器等）をあらかじめ定めておくとよい。 「[（解説）基本対策事項8.1.1(1)-2 a)「国の行政機関、独立行政法人若しくは指定法人が支給する外部電磁的記録媒体」・「契約により機関等との間で取り決めた機関等外の組織から受け取った外部電磁的記録媒体」について](#_情報システムの利用に係る規定の整備)」も参照のこと。 - 遵守事項8.1.1(3)(g)「許可を得る」について [遵守事項8.1.1(1)](#_情報システムの利用に係る規定の整備)(c)において、USBメモリ等の外部電磁的記録媒体を要管理対策区域外に持ち出す場合についての統括情報セキュリティ責任者が定めた許可手続の実施を求めている。外部電磁的記録媒体の利用開始時の許可申請だけではなく、利用期間満了時又は利用終了時の手続等を定めている場合があるので、定められた手順に従って、適切に措置する必要がある。 - 遵守事項8.1.1(3)(h)「利用承認を得ていないクラウドサービスを利用しない」について 本規定はシャドーITの抑止を目的としたものである。 クラウドサービスを利用して要機密情報を取り扱う場合は、遵守事項4.2.1(4)において利用承認を得たクラウドサービスを利用する必要がある。また、クラウドサービスを利用して要機密情報を取り扱わない場合は、遵守事項4.2.3(2)において利用承認を得たクラウドサービスを利用する必要がある。 遵守事項 #### (4) 端末（支給外端末を含む）の利用時の対策 (a) 職員等は、機関等が支給する端末（要管理対策区域外で使用する場合に限る）及び機関等支給以外の端末を用いて要保護情報を取り扱う場合は、**定められた利用手順**に従うこと。 (b) 職員等は、次の各号に掲げる端末を用いて当該各号に定める情報を取り扱う場合は、課室情報セキュリティ責任者の**許可を得る**こと。 (ア) 機関等が支給する端末（要管理対策区域外で使用する場合に限る）　機密性３情報、要保全情報又は要安定情報 (イ) 機関等支給以外の端末　要保護情報 (c) 職員等は、要管理対策区域外において機関等外通信回線に接続した端末（支給外端末を含む）を要管理対策区域で機関等内通信回線に接続する場合には、定められた措置を講ずること。 【 基本対策事項 】 ＜8.1.1(4)(c)関連＞ 8.1.1(4)-1 職員等は、要管理対策区域外において機関等外通信回線に接続した機関等が支給する端末を要管理対策区域で機関等内通信回線に接続する場合には、**定められた技術的な措置**を講ずること。 8.1.1(4)-2 職員等は、要管理対策区域外において機関等外通信回線に接続した機関等支給以外の端末を要管理対策区域で機関等内通信回線に接続する場合には、以下を全て含む措置を講ずること。 a) **定められた安全管理措置**を講ずること。 b) 課室情報セキュリティ責任者の許可を得ること。 （解説） - 遵守事項8.1.1(4)(a)「定められた利用手順」について 職員等に対して、遵守事項6.1.2(1)(a)及び遵守事項6.1.3(2)(b)において統括情報セキュリティ責任者が定めた利用手順の遵守を求めている。取り扱う情報の格付や取扱制限に応じて、適切に情報処理を行うことが求められる。 - 遵守事項8.1.1(4)(b)「許可を得る」について 職員等に対して、遵守事項6.1.2(1)(a)及び遵守事項6.1.3(2)(b)において統括情報セキュリティ責任者が定めた許可手続の実施を求めている。利用開始時の許可申請だけではなく、利用期間満了時又は利用終了時の手続等を定めている場合があるので、これらについても定められた手順に従う必要がある。 - 基本対策事項8.1.1(4)-1「定められた技術的な措置」について 職員等に対して、遵守事項6.1.2(1)(c)において統括情報セキュリティ責任者が定めた技術的な措置を講ずることを求めている。 - 基本対策事項8.1.1(4)-2 a)「定められた安全管理措置」について 職員等に対して、遵守事項6.1.3(2)(d)において統括情報セキュリティ責任者が定めた安全管理措置を講ずることを求めている。 遵守事項 #### (5) 電子メール・ウェブの利用時の対策 (a) 職員等は、要機密情報を含む電子メールを**送受信**する場合には、それぞれの機関等が運営し、又は外部委託した電子メールサーバにより提供される電子メールサービスを利用すること。 (b) 職員等は、機関等外の者と電子メールにより情報を送受信する場合は、**政府ドメイン名を取得できない場合**を除き、当該電子メールのドメイン名に政府ドメイン名を使用すること。 (c) 職員等は、**不審な電子メールを受信した場合には、あらかじめ定められた手順に従い、対処する**こと。 (d) 職員等は、ウェブクライアントの設定を見直す必要がある場合は、**情報セキュリティに影響を及ぼすおそれのある設定変更を行わない**こと。 (e) 職員等は、ウェブクライアントが動作するサーバ装置又は端末にソフトウェアをダウンロードする場合には、電子署名により当該ソフトウェアの配布元を確認すること。 (f) 職員等は、閲覧しているウェブサイトに表示されるフォームに要機密情報を入力して送信する場合には、以下の全ての事項を確認すること。 (ア) **送信内容が暗号化されること** (イ) **当該ウェブサイトが送信先として想定している組織のものであること** 【 基本対策事項 】規定なし （解説） - 遵守事項8.1.1(5)(a)「送受信」について 「送受信」には電子メールの「転送」が含まれる。したがって、職員等が受信する目的で機関等支給以外の電子メールサービスの電子メールアドレスに要機密情報を含む電子メールを転送することは、やむを得ない理由により許可を得ている場合を除き、認められない。許可にあっては、転送する電子メールの内容やその理由により、個別に判断する必要があり、機関等支給以外の電子メールサービスで受信することのリスクを踏まえた上で、転送先の電子メールアドレスが正しいことを確認する必要がある。特に、自動転送については、許可を受けている場合であっても、当該電子メールに含まれる情報の格付及び取扱制限にかかわらず行われるため、[遵守事項3.1.1(6)](#_情報の運搬・送信)に規定されている要機密情報の送信についての遵守事項に違反しないように留意が必要である。 - 遵守事項8.1.1(5)(b)「政府ドメイン名を取得できない場合」について 政府ドメイン名を使用しない場合のリスク等は、「（解説）遵守事項6.6.2(1)(a)「政府ドメイン名を取得できない場合」について」を参照のこと。 本対策における政府ドメイン名を取得できない場合とは、特段の理由により政府ドメイン名が使えない場合も含めたものである。 政府ドメイン名を取得できない場合の例を以下に示す。 - 指定法人が、政府ドメイン名を登録する資格を持たない場合。この場合において、当該法人は、組織の属性が資格条件となっており、不特定の個人及び組織が取得することのできないドメイン名を使用すること。 - 独立行政法人及び指定法人のうち教育機関である法人が、高等教育機関向けのドメイン名を使用すると判断する場合。 - 併せて、「（解説）遵守事項6.6.2(1)(a)「政府ドメイン名を取得できない場合」について」を参照のこと。 - 電子メールを受信する機関等外の者が、職員等から送信された電子メールであることを認知できる場合（政府ドメイン名又は本解説上記に基づき取得したドメイン名が使用できない場合に限る。）。 - 遵守事項8.1.1(5)(c)「不審な電子メールを受信した場合には、あらかじめ定められた手順に従い、対処する」について 「不審な電子メール」とは、受信する覚えのない電子メールであって、電子メール本文中にURLが記載されているもの、実行形式や文書形式のファイルが添付されているもの等が該当する。こういった電子メールについて、むやみにURLのリンク先や添付ファイルを開かないことも重要であるが、開かなかった場合でも他の者が同種の電子メールを受信することも考えられるため、情報提供を行うことも重要である。定められた連絡先としては、CSIRTや当該電子メールを扱う情報システムの情報システムセキュリティ責任者等が考えられる。 - 遵守事項8.1.1(5)(d)「情報セキュリティに影響を及ぼすおそれのある設定変更を行わない」について 以下を例とするブラウザのセキュリティ設定項目について、変更すると悪意のあるソフトウェアが端末において実行されること等により、情報の漏えいや、他のサーバ装置及び端末を攻撃することを引き起こすことも考えられるため、変更が可能であったとしても勝手に変更しないようにする必要がある。 ＜ブラウザのセキュリティ設定項目の例＞ - ActiveXコントロールの実行 - Javaの実行 - 遵守事項8.1.1(5)(f)(ア)「送信内容が暗号化されること」について 主体認証情報等を入力して送信する場合には、ブラウザの鍵アイコンの表示を確認するなどにより、TLS等の暗号化通信が使用され、要機密情報が適切に保護されることを確認することを求める事項である。 なお、「閲覧しているウェブサイトに表示されるフォームに要機密情報を入力して送信する場合」とは、例えばウェブメール本文の入力欄に要機密情報を入力すること等を指す。 - 遵守事項8.1.1(5)(f)(イ)「当該ウェブサイトが送信先として想定している組織のものであること」について ブラウザで主体認証情報等を入力して送信する場合には、ウェブサーバの電子証明書の内容から当該ウェブサイトが想定している組織のものであることを確認することにより、適切でない送信先に当該情報を誤って送信することを回避する必要がある。 なお、ウェブサイトの閲覧時にウェブサーバの電子証明書が適切でない旨の警告ダイアログが表示された場合には、当該ウェブサイトがなりすましに利用されている可能性があるため、利用を中止する必要がある。 近年において被害が広がっている「フィッシング（Phishing）」と呼ばれる悪質な行為に対しても十分警戒する必要がある。このようなフィッシングの被害を避けるためにも、本項で示す対策を実施することが重要である。 遵守事項 #### (6) 識別コード・主体認証情報の取扱い (a) 職員等は、主体認証の際に**自己に付与された識別コード以外の識別コード**を用いて情報システムを利用しないこと。 (b) 職員等は、自己に付与された識別コードを適切に管理すること。 (c) 職員等は、管理者権限を持つ識別コードを付与された場合には、**管理者としての業務遂行時に限定して**、当該識別コードを利用すること。 (d) 職員等は、自己の主体認証情報の管理を徹底すること。 【 基本対策事項 】 ＜8.1.1(6)(b)関連＞ 8.1.1(6)-1 職員等は、自己に付与された識別コードを適切に管理するため、以下を全て含む措置を講ずること。 a) **知る必要のない者に知られるような状態で放置しない**こと。 b) **他者が主体認証に用いるために付与及び貸与しない**こと。 c) 識別コードを利用する必要がなくなった場合は、**定められた手続に従い、識別コードの利用を停止する**こと。 ＜8.1.1(6)(d)関連＞ 8.1.1(6)-2 職員等は、知識による主体認証情報を用いる場合には、以下を全て含む管理を徹底すること。 a) **自己の主体認証情報を他者に知られないように管理する**こと。 b) **自己の主体認証情報を他者に教えない**こと。 c) **主体認証情報を忘却しないように努めること**。 d) 主体認証情報を設定するに際しては、**推測されないもの**にすること。 e) 異なる識別コードに対して、**共通の主体認証情報を用いない**こと。 f) 異なる情報システムにおいて、**識別コード及び主体認証情報についての共通の組合せ**を用いないこと。（シングルサインオンの場合を除く。） g) 情報システムセキュリティ責任者から主体認証情報を定期的に変更するように指示されている場合は、その指示に従って定期的に変更すること。 8.1.1(6)-3 職員等は、所有による主体認証情報を用いる場合には、以下を全て含む管理を徹底すること。 a) **主体認証情報格納装置を本人が意図せずに使われることのないように**安全措置を講じて管理すること。 b) 主体認証情報格納装置を他者に付与及び貸与しないこと。 c) 主体認証情報格納装置を紛失しないように管理する。紛失した場合には、定められた報告手続に従い、直ちにその旨を報告すること。 d) 主体認証情報格納装置を利用する必要がなくなった場合には、これを情報システムセキュリティ責任者に返還すること。 （解説） - 遵守事項8.1.1(6)(a)「自己に付与された識別コード以外の識別コード」について 自己に付与された識別コード以外の識別コードを使って、情報システムを利用することは、合理的な理由が無い限り「なりすまし行為」である。仮に、悪意がなくても、他者の識別コードを使って情報システムを利用することは、許容されてはならない。例えば、何らかの障害により自己の識別コードの使用が一時的に不可能になった場合には、まず、当該情報システムを利用して行おうとしている業務について、他者へ代行処理を依頼することを検討すべきであり、仮に他者の許可を得たとしても、他者の識別コードを使用することはあってはならない。要するに、行為が正当であるか否かにかかわらず、他者の識別コードを使って、情報システムを利用するということは制限されなければならない。 業務の停止によって重大な影響を及ぼす業務を継続させるために、他者の識別コードを使うことが不可避の場合には、例外措置の手続を行う際に本人の事前の了解に加えて、情報システムセキュリティ責任者の承認を得ることが最低限必要である。また、他者の識別コードを使用していた期間とアクセスの内容を、事後速やかに、情報システムセキュリティ責任者に報告しなければならない。情報システムセキュリティ責任者は、その理由と使用期間を記録に残すことによって、事後に当該識別コードを実際に使用していた者を特定できるように備えることが望ましい。 いずれの場合も、使用する識別コードの本人からの事前の許可を得ずに、その者の識別コードを使って、情報システムを利用することは禁止されるべきである。 - 遵守事項8.1.1(6)(c)「管理者としての業務遂行時に限定して」について 例えば、情報システムのOSがWindowsの場合、管理者権限ありの識別コードを利用中に不正プログラムに感染等した場合、攻撃者は管理者権限を利用することが可能となるため、管理者権限なしの識別コードを利用中に不正プログラムに感染等した場合と比べ、大きな影響を及ぼすおそれがある。 そのため、電子メールの利用やWebサイトの閲覧等の、管理者権限が不要であり、不正プログラム感染等の脅威が発生する可能性が高まることは、管理者としての業務遂行時に行ってはならない。 - 基本対策事項8.1.1(6)-1 a)「知る必要のない者に知られるような状態で放置しない」について 多くの場合、識別コード単体は必ずしも秘密ではないが、必要以上の範囲に開示する、又は公然となるような状態で放置しないように求めている。 主体認証には、識別コードと主体認証情報の組合せが用いられる。識別コードの開示範囲を必要最小限に止めることによって、第三者が不正に主体認証を行う可能性をより低くすることができる。そのため、識別コードを適切に管理する必要がある。 - 基本対策事項8.1.1(6)-1 b)「他者が主体認証に用いるために付与及び貸与しない」について 情報システムセキュリティ責任者が明示的に共用識別コードとしているもの以外の識別コードを、他の主体と共用してはならない。 - 基本対策事項8.1.1(6)-1 c)「定められた手続に従い、識別コードの利用を停止する」について 識別コードを使用する必要がなくなった場合に、職員等自らが情報システムセキュリティ責任者へ届け出ること等、定められた手続に従い、識別コードを使用できない状態に変更することを求めている。ただし、例えば、人事異動等によって、職員等の識別コードが大規模に変更となる場合や、その変更を情報システムセキュリティ責任者が職員等自らからの届出によらず把握できる場合等、職員等自らの届出が不要となる条件を情報システムセキュリティ責任者が定めてもよい。 - 基本対策事項8.1.1(6)-2 a)「自己の主体認証情報を他者に知られないように管理する」について 以下を例とする他者からのパスワード窃取行為に注意が必要である。 - パスワードを入力する際に他者が周囲から盗み見する。 - 他者が管理者を名乗ってパスワードを聞き出す。 また、以下に挙げる行為は行うべきではない。 - 自己のパスワードを、内容が分かる状態で付箋等に記入してモニタ、端末本体、及びその周辺に貼付する。 - 自己のパスワードを、特段の保護をせずに平文のままテキスト形式で保存する。 など、容易に他者に知られてしまう状態で、情報システム上に記録する。 - 基本対策事項8.1.1(6)-2 b)「自己の主体認証情報を他者に教えない」について たとえ、他者に処理を代行させる目的であっても、職員等は自己の主体認証情報を他者に教示してはならない。主体認証情報を他者に教示することによって、情報システムの識別コードと実際の操作者との関係が曖昧になり、アクセス制御、権限管理、ログ管理その他のセキュリティ対策が効果を失う可能性がある。また、教示された者にとっても、例えば、当該識別コードによって不正行為が発生した場合は、その実行者として疑義を受ける可能性がある。そのため、自己の主体認証情報は他者に「教えない」ことを徹底すべきである。 - 基本対策事項8.1.1(6)-2 c)「主体認証情報を忘却しないように努める」について 他者が容易に見ることができないような措置（施錠して保存するなど）や、他者が見ても分からないような措置（独自の暗号記述方式等）をしていれば、必ずしも、メモを取る行為を禁ずるものではない。むしろ、忘れることのないように努めなければならない。 なお、本人の忘却によって主体認証情報を初期化（リセット）する場合には、初期化が不正に行われたり、初期化された情報が本人以外に知られたりすることのないように情報システムを構築・運用することが望ましい。例えば、情報システムによる自動化により無人で初期化できるようにすることが、初期化情報の保護のみならず、運用の手間を低減することに役立つことについても勘案して検討すること等が考えられる。 - 基本対策事項8.1.1(6)-2 d)「推測されないもの」について 主体認証情報がパスワードである場合、パスワードに利用者の名前や利用者個人に関連する情報から簡単に派生させたもの、キーボードの並び順（「qwertyuiop」等）等、容易に推測されるものを用いてはならない。 パスワードとして設定できる文字列の長さにシステム上の上限があるなどの理由により、8文字程度の短い文字列しか使用できない場合には、辞書に載っているような単語をそのまま用いてはならず、使用する文字種として、アルファベットの大文字及び小文字の両方を用い、数字や記号を織り交ぜるなどして、可能な限りランダム生成に近い文字列（※）を選び、推測されないパスワードを設定することが望ましい。 一方、設定できる文字列の長さに上限がなく、十分に長い文字列をパスワードとして設定する場合には、辞書に載っている単語を用いてよい場合もある。例えば、5万語の辞書から３つの語をランダムに選び（日常の使用頻度が低めの語を選ぶ方が望ましい。）それらを繋げた文字列（その長さは、30文字を超えることが望まれる。）をパスワードとするならば、上記※の文字列以上に「推測されないもの」となるので、この場合は辞書に載っている単語をそのまま用いてよい。また、この場合、数字や記号を織り交ぜることも必要でない。 何文字以上の文字列ならば数字や記号を織り交ぜる必要がなくなるのかは、選択した文字列のランダム性との関係で決まるため、数字や記号を織り交ぜたくないならば長めの文字列を選び、長い文字列を選びたくないならば数字や記号を織り交ぜることになる。 なお、パスワードの設定方法は、「（解説）基本対策事項7.1.1(1)-4「強固なパスワードに必要な十分な桁数を備えた第三者に容易に推測できないパスフレーズ等を使用すること」について」も参照すること。 - 基本対策事項8.1.1(6)-2 e)「共通の主体認証情報を用いない」について 複数の識別コードを付与されている場合に、それら識別コードに対して共通の主体認証情報を用いると、一つの識別コードに対応する主体認証情報が漏えいした場合に、他方の識別コードを用いた不正アクセスを受ける危険性が高くなる。したがって、共通の主体認証情報を用いてはならない。 - 基本対策事項8.1.1(6)-2 f)「識別コード及び主体認証情報についての共通の組合せ」について 複数の情報システムにおいて、共通の識別コードを使用し、かつ、共通の主体認証情報を設定していた場合、ある情報システムから漏えいした主体認証情報が他の情報システムで不正に使用されるという情報セキュリティインシデントが発生することが考えられる。したがって、複数の情報システムにおいて、識別コード及び主体認証情報についての共通の組合せを使用しないようにしなければならない。特に、機関等支給の情報システムと機関等支給以外の情報システムとの間では、共通の識別コード及び主体認証情報を使用しないよう注意が必要である。 - 基本対策事項8.1.1(6)-3 a)「主体認証情報格納装置を本人が意図せずに使われることのないように」について 主体認証情報格納装置の例としては、建物への入退や端末ログインに必要となるICカード等が挙げられる。所有による主体認証方式では、本人でなくとも主体認証情報格納装置を保持する者が正当な主体として主体認証されるため、他者に当該装置を使用されることがないように適切に管理する必要がある。 遵守事項 #### (7) 暗号・電子署名の利用時の対策 (a) 職員等は、情報を暗号化する場合及び情報に電子署名を付与する場合には、**定められたアルゴリズム、鍵長及び方法に従う**こと。 (b) 職員等は、暗号化された情報の復号又は電子署名の付与に用いる鍵について、**定められた鍵の管理手順等に従い、これを適切に管理する**こと。 (c) 職員等は、暗号化された情報の復号に用いる鍵について、**鍵のバックアップ手順に従い、そのバックアップを行う**こと。 【 基本対策事項 】規定なし （解説） - 遵守事項8.1.1(7)(a)「定められたアルゴリズム、鍵長及び方法に従う」について 暗号アルゴリズム及び鍵長は、ファイル単体の暗号化やハードディスク全体の暗号化、ブラウザを使う通信の暗号化等、様々な場面で利用されていることから、利用する場面ごとに適切なアルゴリズム及び鍵長を適切な方法で利用する必要がある。 情報システムセキュリティ責任者は、職員等の暗号機能の利用において、認められていないアルゴリズム及び鍵長が利用されないよう、事前に情報システムにおいて対処することが望ましい。 - 遵守事項8.1.1(7)(b)「定められた鍵の管理手順等に従い、これを適切に管理する」について 暗号化された情報の復号又は電子署名の付与に用いる鍵の管理手順として、情報システム共通として鍵の保存手順を定めている場合と、情報システムごとに鍵の保存手順を個別に定めている場合があるので、各情報システムに対応した手順に従うことが求められる。 - 遵守事項8.1.1(7)(c)「鍵のバックアップ手順に従い、そのバックアップを行う」について 暗号化された情報の復号に用いる鍵の滅失により、情報の可用性が損なわれるおそれがあることから、適切に鍵をバックアップすることを求めている。 バックアップが必要な鍵については、バックアップの取得又は第三者への鍵情報の預託に関する手順等の規定に従う必要がある。 また、バックアップしてはならない鍵や、鍵情報の複製が、その漏えいに係るリスクを高める可能性があるなどについても留意し、バックアップは必要最小限にとどめることも大切である。 遵守事項 #### (8) 不正プログラム感染防止 (a) 職員等は、**不正プログラム感染防止に関する措置に努める**こと。 (b) 職員等は、情報システム（支給外端末を含む）が不正プログラムに感染したおそれがあることを認識した場合は、感染した情報システム（支給外端末を含む）の**通信回線への接続を速やかに切断するなど、必要な措置を講ずる**こと。 【 基本対策事項 】 ＜8.1.1(8)(a)関連＞ 8.1.1(8)-1 職員等は、不正プログラム対策ソフトウェア等を活用し、不正プログラム感染を回避するための以下の全ての措置に努めること。 a) 不正プログラム対策ソフトウェア等により不正プログラムとして検知された**実行プログラム形式のファイルを実行しない**こと。また、検知されたデータファイルをアプリケーション等で読み込まないこと。 b) 不正プログラム対策ソフトウェア等に係るアプリケーション及び不正プログラム定義ファイル等について、これを常に**最新の状態に維持すること**。 c) 不正プログラム対策ソフトウェア等による不正プログラムの**自動検査機能を有効にする**こと。 d) 不正プログラム対策ソフトウェア等により定期的に全てのファイルに対して、**不正プログラムの検査を実施する**こと。 8.1.1(8)-2 職員等は、**外部からデータやソフトウェアをサーバ装置及び端末等に取り込む場合又は外部にデータやソフトウェアを提供する場合**には、不正プログラム感染の有無を確認すること。 8.1.1(8)-3 職員等は、不正プログラムに感染するリスクを低減する情報システム（支給外端末を含む。）の利用方法として、以下のうち実施可能な措置を講ずること。 a) 不審なウェブサイトを閲覧しないこと。 b) アプリケーションの利用において、マクロ等の自動実行機能を無効にすること。 c) プログラム及びスクリプトの実行機能を無効にすること。 d) 安全性が確実でないプログラムをダウンロードしたり実行したりしないこと。 （解説） - 遵守事項8.1.1(8)(a)「不正プログラム感染防止に関する措置に努める」について 情報システムの利用に当たっては、職員等自らが不正プログラム感染の予防に努めなければならない。また、不正プログラム対策ソフトウェア等が全ての不正プログラムを検知できるとは限らないことを念頭に入れ、不正プログラムに感染するリスクを低減するために、可能な措置の実施に努める必要がある。 - 遵守事項8.1.1(8)(b)「通信回線への接続を速やかに切断するなど、必要な措置を講ずる」について 不正プログラムに感染したおそれがある情報システム（支給外端末を含む。）については、他の情報システムへの感染等の被害の拡大を防ぐ必要がある。当該情報システムを構成するサーバ装置又は端末（支給外端末を含む。）が通信回線に接続している場合には、有線の場合は回線の切断や抜去を行う、無線の場合は機器等の無線LAN通信機能を停止することや機器等を休止状態にすること等、有線と無線では措置が異なることに留意した上で、感染拡大を防止する措置を行うことが求められる。また、[2.2.4「情報セキュリティインシデントへの対処」](#情報セキュリティインシデントへの対処)に定められた報告や連絡等の対処を行うことが求められる。 不正プログラムに感染したおそれのある場合の対処について、手順が規定されている場合、その内容に従う必要がある。 - 基本対策事項8.1.1(8)-1 a)「実行プログラム形式のファイルを実行しない」について 不正プログラムとして検知された実行プログラム形式のファイルを実行した場合には、たとえ他の情報システムへ感染を拡大させることがなくても、復旧に相当な労力を要することとなるため、このような実行プログラム形式のファイルを実行しないよう努めなければならない。 - 基本対策事項8.1.1(8)-1 b)「最新の状態に維持する」について 一般的に不正プログラムはほぼ毎日のように新種や亜種が出現しているため、不正プログラム対策ソフトウェア等のアプリケーション及び不正プログラム定義ファイル等を更新機能や更新プログラムにより最新の状態に維持することで、不正プログラム等に感染することを回避する必要がある。自動的に最新化する機能を持つ製品については、当該機能を利用することにより最新状態の維持が可能になる。 また、最新の状態に維持する方法としては、端末（支給外端末を含む。）ごとに利用者が自動化の設定をする方法のほか、情報システムセキュリティ責任者等が管理する端末を一括して自動化する方法もあるため、情報システムごとに定められた方法に従うこと。 - 基本対策事項8.1.1(8)-1 c)「自動検査機能を有効にする」について 手動による対策実施は、実施漏れや遅れが発生する可能性があるため、不正プログラム対策の中で自動化が可能なところは自動化することが望ましい。 自動検査機能の例としては、ファイルの作成や参照のたびに検査を自動的に行う機能等がある。 - 基本対策事項8.1.1(8)-1 d)「不正プログラムの検査を実施する」について 基本対策事項8.1.1(8)-1 c)の自動検査機能が有効になっていたとしても、検査した時点における不正プログラム対策ソフトウェア等では検知されない不正プログラムに感染している危険性が残る。このような危険性への対策として、最新の状態にした不正プログラム対策ソフトウェア等で定期的に全てのファイルについて検査する必要がある。 - 基本対策事項8.1.1(8)-2「外部からデータやソフトウェアをサーバ装置及び端末等に取り込む場合又は外部にデータやソフトウェアを提供する場合」について 「外部からデータやソフトウェアをサーバ装置及び端末等に取り込む場合」には、ウェブの閲覧や電子メールの送受信等のネットワークを経由する場合だけでなく、USBメモリやCD-ROM等の外部電磁的記録媒体を経由する場合も含む。 遵守事項 #### (9) Web会議サービスの利用時の対策 (a) 職員等は、定められた利用手順に従い、**Web会議の参加者や取り扱う情報に応じた情報セキュリティ対策を実施すること**。 (b) 職員等は、Web会議を主催する場合、会議に無関係の者が参加できないよう対策を講ずること。 【 基本対策事項 】 ＜8.1.1(9)(a)関連＞ 8.1.1(9)-1 職員等は、Web会議サービスの利用に当たり、以下を全て含む情報セキュリティ対策を実施すること。 a) **原則として、機関等が支給する端末を利用する**こと。 b) **原則として、機関等が利用を許可したWeb会議サービスを利用する**こと。 c) 利用するWeb会議サービスのソフトウェアが、最新の状態であることを確認すること。 d) 要機密情報を取り扱う場合は、**可能な限りエンドツーエンド（E2E）の暗号化を行うこと**。 e) 要機密情報を取り扱う場合は、Web会議サービスの議事録作成機能、自動翻訳機能及び録画機能等、**E2Eの暗号化を利用できなくなる機能を可能な限り使用しない**こと。 ＜8.1.1(9)(b)関連＞ 8.1.1(9)-2 職員等は、会議に無関係な者を会議に参加させないために、以下を例とする対策を行うこと。 a) 会議室にアクセスするための**パスワード等**をかけること。 b) 会議の参加者に会議室にアクセスするためのパスワード等を通知する際は、第三者に知られないよう安全な方法で通知すること。 c) 会議を非公開設定にすること。 d) **待機室を設けて参加者と確認できた者**だけを会議室に入室させること。 e) **Web会議の主催者が事前に登録した者**だけを会議室に入室させること。 f) なりすましや入れ替わりが疑われるなどの不審な参加者を会議室から退室させること。 （解説） - 遵守事項8.1.1(9)(a)「Web会議の参加者や取り扱う情報に応じた情報セキュリティ対策を実施すること」について Web会議サービスを利用する場合、Web会議サービスのソフトウェアで録画等を防止する設定を行っていても、ビデオカメラで撮影されれば会議内容は保存されるため、会議内容は会議の参加者に保存されることを前提として、会議で取り扱う情報を確認する必要がある。 - 基本対策事項8.1.1(9)-1 a)「原則として、機関等が支給する端末を利用する」について Web会議サービスの機能は多岐に渡り、機能追加も日々行われている状況にあり、要機密情報を扱う場合もあることから、原則として、機関等が支給する端末を利用するべきである。ただし、Web会議サービスを利用する場合でも、一般に公開されたオンラインセミナー等に参加する場合など特に要機密情報を取り扱わない場合は、機関等支給以外の端末を利用してもよい。 - 基本対策事項8.1.1(9)-1 b)「原則として、機関等が利用を許可したWeb会議サービスを利用する」について Web会議サービスは一般的にはクラウドサービスであることが考えられる。Web会議サービスがクラウドサービスの場合は、原則として、4.2「クラウドサービス」において機関等が利用を承認したWeb会議サービスを利用する必要がある。Web会議サービスがクラウドサービスではない場合は、原則として、機関等が利用を承認したソフトウェアを使用し、Web会議サービスを利用する必要がある。 なお、外国政府、企業又は団体等（以下本解説において「外部機関等」という。）からゲストアカウントなどにより、機関等が利用を承認していないWeb会議サービスを利用する場合は、Web会議サービスにおいて実施されているセキュリティ対策が明らかではないため、Web会議サービスで取り扱う情報が漏えいすることを前提にした上で、機関等において漏えいが許容できない情報は取り扱わない等、情報の取扱いに留意が必要である。 - 基本対策事項8.1.1(9)-1 d)「可能な限りエンドツーエンド（E2E）の暗号化を行うこと」について E2Eの暗号化を行わない場合、端末からサービス提供者のサーバまで会議データは暗号化されるが、復号鍵をサービス提供者が保有しているため、会議データの復号が可能となる。このため、E2Eの暗号化を行わない外部機関等とのWeb会議に招待され、参加しなければならない等のやむを得ない場合を除き、要機密情報を取り扱う場合はE2Eの暗号化を行うように設定する必要がある。 - 基本対策事項8.1.1(9)-1 e)「E2Eの暗号化を利用できなくなる機能を可能な限り使用しない」について E2Eの暗号化を行っている場合は、サービス提供者が復号鍵を保有していないため、サービス提供者のサーバ上で会議データを復号することができない。しかし、会議の録画、議事録の自動作成、自動翻訳などを行うには、サービス提供者が復号された会議データを利用する必要があるため、当該機能を利用する場合は、E2Eの暗号化を利用できなくなる。従って、サービス提供者により会議データの復号が可能となることに注意が必要である。 そのため、E2Eの暗号化を利用できなくなる自動翻訳機能を利用しなければ外部機関等とのWeb会議が成立しない等のやむを得ない場合を除き、要機密情報を取り扱う場合はE2Eの暗号化を利用できなくなる機能を使用しないようにする必要がある。 - 基本対策事項8.1.1(9)-2 a)「パスワード等」について パスワードを用いる場合は、「（解説）基本対策事項7.1.1(1)-4「強固なパスワードに必要な十分な桁数を備えた第三者に容易に推測できないパスフレーズ等を使用すること」について」を参照すること。 - 基本対策事項8.1.1(9)-2 d)「待機室を設けて参加者と確認できた者」について 正当な参加者であることを確認するための方法としては、参加者名に特定の規則を設けることや、事前に参加者名を申告させることを会議の開催前に参加者に周知し、待機室で参加者名が適切であることを確認すること等が考えられる。 - 基本対策事項8.1.1(9)-2 e)「Web会議の主催者が事前に登録した者」について Web会議サービスによっては、Web会議の参加者に対してメール等で招待状を送り、その招待に応じた参加者を主催者が事前に登録を行うことで、事前に登録された参加者のみが会議に参加することが可能となる機能が存在する。利用するWeb会議サービスが当該機能を備えている場合は利用するとよい。 遵守事項 #### (10) クラウドサービスを利用した機関等外の者との情報の共有時の対策 (a) 職員等は、機関等外の者と**情報の共有**を行うことを目的とし、クラウドサービス上に要保護情報を保存する場合は、**情報の共有を行う必要のある者のみがクラウドサービス上に保存した要保護情報にアクセスすることが可能となる**ための措置を講ずること。 (b) 職員等は、機関等外の者と情報の共有を行うことを目的とし、クラウドサービス上に要保護情報を保存する場合は、情報の共有が不要になった時点で、**クラウドサービス上に保存した要保護情報を速やかに削除する**こと。 【 基本対策事項 】規定なし （解説） - 遵守事項8.1.1(10)(a)「情報の共有」について 本条における「情報の共有」とは、一つの場所に保存されている同一の情報を複数の利用者が参照、更新、削除することをいう。「情報の共有」が想定しているケースは、例えば、オンラインストレージ等のファイル共有サービス上に保存した同一のファイルを複数の利用者が参照、更新、削除するケースや、進捗管理機能やファイル共有機能等を備えるいわゆるコラボレーションツール上に保存した同一のファイルを複数の利用者が参照、更新、削除するケースが挙げられる。 また、チャットツールで投稿したメッセージやメッセージに添付するファイルを削除した時に、受信側においても投稿されたメッセージやメッセージに添付されたファイルが削除される場合は、メッセージやメッセージに添付するファイルは一つの場所に保存されている同一の情報と考えられるため、このようなチャットツールの利用も「情報の共有」が想定しているケースとして挙げられる。 その一方で、例えば、電子メールサービスを利用してファイルを送信するケースや、Web会議サービスで情報を画面に投影するケースは、情報が保存されている場所が異なるため、本条における「情報の共有」が想定しているケースに該当しない。 - 遵守事項8.1.1(10)(a)「情報の共有を行う必要のある者のみがクラウドサービス上に保存した要保護情報にアクセスすることが可能となる」について 外部に公開しているクラウドサービスに情報を保存する場合は、誤って、インターネット上に情報を公開してしまうことが考えられ、その場合、情報漏えいによる影響が大きくなる可能性が高い。そのため、保存する情報がどの範囲の者からアクセス可能かについて、留意が必要である。 例えば、クラウドサービスに情報を保存する時に共有範囲が選択できる場合は、情報の共有を行う必要のある者のみを範囲とする必要がある。また、情報を保存するフォルダごとに共有範囲が設定されている場合は、情報の共有を行う必要のある者のみが共有範囲となっているフォルダに情報を保存する必要がある。 なお、共有範囲の設定の誤り等によって情報の共有を行う必要のない者に対してアクセスを許可したとしても、クラウドサービスに保存する情報自体を暗号化することにより、情報漏えいのリスクを低減することが可能となる。本条で定める規定と併せて、情報の格付、取扱制限等に応じてクラウドサービスに保存する情報自体を暗号化するとよい。 - 遵守事項8.1.1(10)(b)「クラウドサービス上に保存した要保護情報を速やかに削除する」について 保存する必要のない情報をクラウドサービス上に放置してしまうと、クラウドサービスが不正アクセス等の被害を受けた場合に、クラウドサービスから情報が漏えいする可能性がある。 削除する方法として、人手による削除は方法の一つとして考えられるが、人手による削除では削除の漏れや削除の遅れが発生する可能性があるため望ましくない。 利用するクラウドサービスが、情報の共有期間や保存期間等、期間の設定が可能であり、設定した期間を超えた場合は自動的に情報を削除する機能を備えている場合は、当該機能を利用するとよい。なお、期間の設定を行うときは、情報の共有に際して必要最小限の期間を設定することが重要である。 ### 8.1.2 ソーシャルメディアによる情報発信 目的・趣旨 機関等においても、積極的な広報活動等を目的としたソーシャルメディアの利用が一般的になっている。しかし、民間事業者等により提供されているソーシャルメディアでは政府ドメイン名を使用することができないため、真正なアカウントであることを国民等が確認できるようにする必要がある。また、機関等のアカウントを乗っ取られた場合や、利用しているソーシャルメディアが予告なく停止した際に必要な情報を発信できない事態が生ずる場合も想定される。そのため、要安定情報を広く国民等に提供する際には、当該情報を必要とする国民等が一次情報源を確認できるよう、情報発信方法を考慮する必要がある。加えて、虚偽情報により国民等の混乱が生じることのないよう、発信元は、なりすまし対策等について措置を講じておく必要がある。 また、このようなソーシャルメディアは機能拡張やサービス追加等の技術進展が著しいことから、常に当該サービスの運用事業者等の動向等外部環境の変化に機敏に対応することが求められる。 なお、ソーシャルメディアは、定型約款や利用規約等への同意のみで利用可能となるクラウドサービスであることが考えられ、要機密情報を取り扱う上で必要十分なセキュリティ要件を満たすことは困難であることが一般的である。このことから、ソーシャルメディアの利用は、要機密情報を取り扱わず、委託先における高いレベルの情報管理を要求する必要が無い場合に限るものとする。ソーシャルメディアを利用の際は4.2.3「クラウドサービスの選定・利用（要機密情報を取り扱わない場合）」の対策を参照すること。 遵守事項 #### (1) ソーシャルメディアによる情報発信時の対策 (a) 統括情報セキュリティ責任者は、機関等が管理するアカウントでソーシャルメディアを利用することを前提として、以下を全て含む情報セキュリティ対策に関する**運用規程を定める**こと。また、当該サービスの利用において要機密情報が取り扱われないよう規定すること。 (ア) 機関等のアカウントによる**情報発信**が実際の機関等のものであると明らかとするために、アカウントの運用組織を明示するなどの方法でなりすましへの対策を講ずること。 (イ) パスワード等の主体認証情報を適切に管理するなどの方法で不正アクセスへの対策を講ずること。 (b) 職員等は、要安定情報の国民への提供にソーシャルメディアを用いる場合は、機関等の自己管理ウェブサイトに当該情報を掲載して参照可能とすること。 【 基本対策事項 】 ＜8.1.2(1)(a)関連＞ 8.1.2(1)-1 統括情報セキュリティ責任者は、ソーシャルメディアの閲覧者の信頼を確保し、その情報セキュリティ水準の低下を招かないよう、以下を全て含む対策を手順として定めること。 a) アカウント運用ポリシー（ソーシャルメディアポリシー）を策定し、ソーシャルメディアのアカウント設定における自由記述欄又はソーシャルメディアアカウントの運用を行っている旨の表示をしている機関等のウェブサイト上のページに、アカウント運用ポリシーを掲載する。特に、専ら情報発信に用いる場合には、その旨をアカウント運用ポリシーに明示すること。 b) URL短縮サービスは、利用するソーシャルメディアが自動的にURLを短縮する機能を持つ場合等、その使用が避けられない場合を除き、原則使用しないこと。 8.1.2(1)-2 統括情報セキュリティ責任者は、機関等のアカウントによる情報発信が実際の機関等のものであると認識できるようにするためのなりすまし対策として、以下を全て含む対策を手順として定めること。 a) 機関等からの情報発信であることを明らかにするために、機関等が政府ドメイン名を用いて管理しているウェブサイト内（政府ドメイン名を登録する資格を持たない機関等においては、機関等のウェブサイト内）において、利用するソーシャルメディア名と、そのソーシャルメディアにおけるアカウント名又は当該アカウントページへのハイパーリンクを明記するページを設けること。 b) 機関等からの情報発信であることを明らかにするために、アカウント名やアカウント設定の自由記述欄等を利用し、機関等が運用していることを利用者に明示すること。 c) 運用しているソーシャルメディアのアカウント設定の自由記述欄において、当該アカウントの運用を行っている旨の表示をしている機関等のウェブサイト上のページのURLを記載すること。 d) ソーシャルメディアの提供事業者が、アカウント管理者を確認しそれを表示等する、いわゆる「認証アカウント（公式アカウント）」と呼ばれるアカウントの発行を行っている場合には、可能な限りこれを取得すること。 8.1.2(1)-3 統括情報セキュリティ責任者は、第三者が何らかの方法で不正にログインを行い、偽の情報を発信するなどの不正行為を行う、いわゆる「アカウント乗っ取り」を防止するために、ソーシャルメディアのログインパスワードや認証方法について、以下を全て含む管理手順を定めること。 a) **パスワードを適切に管理する**こと。具体的には、ログインパスワードには**強固なパスワードに必要な十分な桁数を備えた第三者に容易に推測できないパスフレーズ等を使用**した容易に推測されないものを設定するとともに、**パスワードを知る担当者を限定**し、パスワードの使い回しをしないこと。 b) 二段階認証やワンタイムパスワード等、アカウント認証の強化策が提供されている場合は、可能な限り利用すること。 c) ソーシャルメディアへのログインに利用する端末を紛失した又は当該端末が盗難に遭った場合は、当該端末を悪用され、アカウント乗っ取りの可能性があるため、当該端末の管理を厳重に行うこと。 d) ソーシャルメディアへのログインに利用する端末が不正アクセスされた場合、当該端末が不正に遠隔操作される又は、当該端末に保存されたパスワードが窃取される可能性がある。これらを防止するため、少なくとも端末には最新のセキュリティパッチの適用や不正プログラム対策ソフトウェアを導入するなど、適切なセキュリティ対策を実施すること。 8.1.2(1)-4 統括情報セキュリティ責任者は、なりすましや不正アクセスを確認した場合の対処として、以下を全て含む対処手順を定めること。 a) 自己管理ウェブサイトに、なりすましアカウントが存在することや当該ソーシャルメディアを利用していないこと等の周知を行い、また、信用できる機関やメディアを通じて注意喚起を行うこと。 b) アカウント乗っ取りを確認した場合には、被害を最小限にするため、ログインパスワードの変更やアカウントの停止を速やかに実施し、自己管理ウェブサイト等で周知を行うとともに、自組織のCSIRTに報告すること。報告を受けたCSIRTは[遵守事項2.2.4(2)](#情報セキュリティインシデントへの対処-1)に従い、内閣官房国家サイバー統括室への連絡（独立行政法人及び指定法人においては所管する国の行政機関を経由）を含む適切な対処を行うこと。 （解説） - 遵守事項8.1.2(1)(a)「運用規程を定める」について 運用規程を定めるに当たっては、ソーシャルメディアの閲覧者の信頼を確保し、その情報セキュリティ水準を低下させることがないよう留意が必要である。機関等のアカウントにおいて、第三者アカウントの投稿の引用や、第三者が管理又は運用するウェブサイト等へのリンクを掲載することは、当該の投稿やウェブサイト等の内容を信頼性のあるものとして認めていると受け取られることや、リンク掲載後に当該の投稿やウェブサイト等の内容が変更される可能性があることを考慮した上で、慎重に行う必要がある。 なお、ソーシャルメディアの利用は、クラウドサービスの利用に相当することから、4.2「クラウドサービス」の規定及び本条に定める遵守事項に従って情報セキュリティ対策を適切に講ずることが求められる。 - 遵守事項8.1.2(1)(a)(ア)「情報発信」について 一旦発信した情報は、ソーシャルメディアを通じて瞬時に拡散してしまうため、完全に削除することは不可能となる。このため、当該情報が公開可能な情報であるか否かについて、情報発信する前に十分に確認する必要がある。 - 基本対策事項8.1.2(1)-3 a)「パスワードを適切に管理する」について パスワードの管理については、[遵守事項8.1.1(6)(d)](#_識別コード・主体認証情報の取扱い)も参照のこと。 - 基本対策事項8.1.2(1)-3 a)「強固なパスワードに必要な十分な桁数を備えた第三者に容易に推測できないパスフレーズ等を使用」について 「（解説）基本対策事項7.1.1(1)-4「強固なパスワードに必要な十分な桁数を備えた第三者に容易に推測できないパスフレーズ等を使用すること」について」を参照のこと。 - 基本対策事項8.1.2(1)-3 a)「パスワードを知る担当者を限定」について ソーシャルメディアのアカウントは、複数の担当者で利用することが一般的であり、また、担当者の異動に伴いアカウントの利用者が交代することが想定される。したがって、ログインパスワードの管理に当たっては、担当者の交代があった時点で直ちにパスワードを変更し、権限のない者がパスワードを知る状態が生じないようにすることが求められる。 ### 8.1.3 テレワーク 目的・趣旨 働き方改革実行計画（平成29年３月28日　働き方改革実現会議決定）により、柔軟な働き方に対応しやすい環境整備が求められているところ、職員等が業務を遂行する上で、必ずしも勤務官署に出勤する必要はなく、自宅やサテライトオフィス等から遠隔で業務を遂行する形態への対応が求められることとなった。また、大規模災害時や感染症対策として勤務官署への出勤が抑制されるような状況下では、大半の職員等が勤務官署以外から業務を遂行できるようにテレワーク環境の整備が必要となる。 本款では、テレワークの実施に特に必要な対策についてのみ規定しているため、本款以外に、3.1.1「情報の取扱い」、6.1.2「要管理対策区域外での端末利用時の対策」、6.1.3「機関等支給以外の端末の導入及び利用時の対策」、6.4.1「通信回線」、6.4.2「通信回線装置」、6.4.3「無線LAN」、7.1.6「監視機能」及び8.1.1「情報システムの利用」の各款を参照すること。 遵守事項 #### (1) 運用規程の整備 (a) 統括情報セキュリティ責任者は、テレワーク実施時の情報セキュリティ対策に係る運用規程を整備すること。なお、**原則としてテレワークは機関等が支給する端末で行うよう定めること**。 【基本対策事項】 ＜8.1.3(1)(a)関連＞ 8.1.3(1)-1 統括情報セキュリティ責任者は、以下を例とする項目について、既に機関等において整備されている運用規程に不足があれば、新たに運用規程を整備すること。 a) テレワークの実施申請及び承認並びにテレワークの実施報告 b) テレワークで取り扱うことができる情報の格付 c) テレワークで取り扱う情報の保存場所 d) 要管理対策区域外での要機密情報の取扱手続 e) テレワークに使用する端末に必要な情報セキュリティ対策 f) 機関等が支給する端末の持出手続 g) **例外的に機関等支給以外の端末の利用を認める場合** h) 機関等支給以外の端末の利用許可手続及び安全管理措置 i) テレワーク実施可能な場所 j) テレワークに利用可能なネットワーク （解説） - 遵守事項8.1.3(1)(a)「原則としてテレワークは機関等が支給する端末で行うよう定めること」について 機関等支給以外の端末は、機関等が支給する端末と異なり情報セキュリティ水準を一定以上に保ち続けることが困難なため、機関等が支給する端末に比べて情報セキュリティインシデントの引き金となる可能性が高い。従って、原則としてテレワークに使用する端末は、情報セキュリティ水準の機関等によるコントロールが容易な機関等が支給する端末に限ることとし、機関等支給以外の端末の使用は控えるべきである。 - 基本対策事項8.1.3(1)-1 g)「例外的に機関等支給以外の端末の利用を認める場合」について テレワークにおいては、原則として機関等が支給する端末を利用するべきであるが、大規模災害や大規模感染症対策等により勤務官署に出勤することができないが、テレワークに対応した機関等が支給する端末を持ち出していない場合等、機関等が支給する端末を用いてテレワークを行うことができない状態に陥る可能性は捨てきれない。このような場合でも業務を継続させる必要がある場合、例外的に機関等支給以外の端末をテレワークに使用することが考えられる。 機関等支給以外の端末をテレワークに使用する場合は、機関等が支給する端末でテレワークを行うよりも職員等の権限を縮小し、取り扱う情報や利用できる情報システムを制限すべきである。 また、機関等支給以外の端末の情報セキュリティ水準を均一化させるため、USBメモリ起動や光ディスク起動によるシンクライアント又はUSBメモリや光ディスクでOSを起動した際のセキュアブラウザの利用も検討するべきである。 なお、私物端末であっても要機密情報を取り扱うのであれば、第三者（家族等の同居する者を含む。）への貸与は禁止すべきであり、それに同意できない職員等には業務において私物端末を利用させるべきではない。**\** 遵守事項 #### (2) 実施環境における対策 (a) 情報システムセキュリティ責任者は、テレワークの実施により機関等外通信回線を経由して機関等の情報システムへリモートアクセスする形態となる情報システムを構築する場合は、通信経路及びリモートアクセス特有の攻撃に対する情報セキュリティを確保すること。 (b) 情報システムセキュリティ責任者は、**リモートアクセスに対し多要素主体認証を行うこと**。 (c) 情報システムセキュリティ責任者は、リモートアクセスする端末を許可された端末に限定する措置を講じること。 (d) 情報システムセキュリティ責任者は、リモートアクセスする端末を最新の脆弱性対策や不正プログラム対策が施されている端末に限定すること。 【基本対策事項】 ＜8.1.3(2)(a)関連＞ 8.1.3(2)-1 情報システムセキュリティ責任者は、**VPN回線を整備して**リモートアクセス環境を構築する場合は、以下を例とする対策を講ずること。 a) 利用開始及び利用停止時の申請手続の整備 b) 通信を行う端末の識別又は認証 c) 利用者の認証 d) 通信内容の暗号化 e) **主体認証ログ**の取得及び管理 f) リモートアクセスにおいて**利用可能な公衆通信網の制限** g) アクセス可能な情報システムの制限 h) **リモートアクセス中の他の通信回線との接続禁止** i) **不正な通信の有無の監視** ＜8.1.3(2)(c)関連＞ 8.1.3(2)-2 情報システムセキュリティ責任者は、リモートアクセスする端末が、許可されたものであるかどうかを確認するために、以下を例とする対策を行うこと。 a) 証明書による端末確認 b) ソフトウェア認証による端末確認 ＜8.1.3(2)(d)関連＞ 8.1.3(2)-3 情報システムセキュリティ責任者は、リモートアクセスする端末を最新の脆弱性対策や不正プログラム対策が施されている端末に限定するために、以下を例とする対策を行うこと。 a) 検疫ネットワークの整備 b) IT資産管理の自動化 （解説） - 遵守事項8.1.3(2)(b)「リモートアクセスに対し多要素主体認証を行うこと」について リモートアクセスにおけるアクセスポイントは、インターネットとの接点になるため、外部からの攻撃にさらされる可能性が高い。 例えば、インターネットVPN等の公衆回線網である機関等外通信回線を利用する場合は、VPN回線装置等のアクセスポイントはインターネットとの接点を有することが考えられるため、多要素主体認証方式を用いて主体認証を行う機能を設ける必要がある。また、IP-VPN等の閉域網をベースとしたインターネットと接点を有していない場合であっても、アクセス元が機関等外通信回線である場合は、機関等の管理外の端末等が接続される可能性があり、なりすましによる不正アクセス等の脅威が考えられるため、多要素主体認証方式を用いて主体認証を行う機能を設ける必要がある。 なお、侵入を許してしまった場合に備えて、認証を受けた後でも、適宜再認証が必要となるようシステムを構築することが望ましい。 - 基本対策事項8.1.3(2)-1「VPN回線を整備して」について VPN回線には、IP-VPN等の閉域網をベースとした回線とインターネットVPN等の公衆回線網をベースとした回線があるが、どちらを整備する場合であっても通信内容の暗号化及びリモートアクセスする端末（又は利用者）の認証は、必ず講じておくべき措置となる。さらに、特に機密性の高い情報を取り扱う場合においては二重の暗号化を行う（例えば、インターネットVPN回線においてIPsecで通信経路の暗号化を行った上でHTTPS通信によりコンテンツの暗号化を行う）などを考慮してもよい。 - 基本対策事項8.1.3(2)-1 e)「主体認証ログ」について 運用中のサーバ装置や通信回線装置の認証ログを定期的に確認するなどして、不正アクセスが行われていないことに留意が必要である。 - 基本対策事項8.1.3(2)-1 f)「利用可能な公衆通信網の制限」について リモートアクセスの際に使用する通信回線については、適切な情報セキュリティ対策が施されている通信回線サービスに限定することが望ましいが、海外で利用する場合等においては、利用可能な通信回線サービスが限られており、通信回線サービスを制限できない。このような場合は、「通信回線サービスを限定しない」という前提条件の下、通信回線サービスの安全性や信頼性に関わらず、取り扱われる情報のセキュリティが確保されるよう、VPN接続時の認証処理及び通信内容の暗号化等の対策を考慮する必要がある。 - 基本対策事項8.1.3(2)-1 h)「リモートアクセス中の他の通信回線との接続禁止」について リモートアクセスする端末が不正プログラムに感染した状態で、VPN回線への接続中に、例えば直接インターネットに接続する等、VPN回線以外の通信回線への接続が行われる場合、以下のリスクが考えられる。 - VPN回線とVPN回線以外の通信回線がいわゆるブリッジ構成となり、VPN回線で行う通信がVPN回線以外の通信回線に流れてしまうことによる、情報漏えい。 - プロキシサーバ等がC&Cサーバ等への不正な通信を監視及び遮断が行えないことによる、リモートアクセスする端末を踏み台としたリモートアクセス先への不正アクセス。 そのため、VPN回線への接続とインターネット等のVPN回線以外の通信回線へ同時に接続を行う設定をリモートアクセスする端末において許可しない等によって、VPN回線を用いたリモートアクセス中はVPN回線以外の通信回線との接続を禁止する必要がある。 - 基本対策事項8.1.3(2)-1 i)「不正な通信の有無の監視」について 遵守事項6.4.1(2)(b)を参照のこと。**\** 遵守事項 #### (3) 実施時における対策 (a) 情報システムセキュリティ責任者は、**テレワーク実施前及び実施後に職員等が確認するべき項目**を定め、職員等に当該項目を確認させること。 (b) 職員等は、画面ののぞき見や盗聴を防止できるようテレワークの実施場所を選定すること。また、自宅以外でテレワークを実施する場合には、離席時の盗難に注意すること。 (c) 職員等は、原則として情報セキュリティ対策の状況が定かではない又は不十分な機関等外通信回線を利用してテレワークを行わないこと。 【基本対策事項】 ＜8.1.3(3)(b)関連＞ 8.1.3(3)-1 職員等は、基本対策事項6.1.1(1)-3に示した対策のほか、以下の項目を例とする画面ののぞき見や盗聴から発生する情報漏えい対策を講ずること。 a) 背後に人が立たないよう背後に通路がない場所で壁を背にする位置に座りテレワークを行うこと。 b) Web会議等、音声を扱う場合は、ヘッドホンを使用するなど、内容が周囲に漏れないよう注意すること。 c) **同居する者に対し知り得た情報を他人に漏らさないよう協力を求める**こと。 ＜8.1.3(3)(c)関連＞ 8.1.3(3)-2 職員等は、テレワークに**情報セキュリティ対策の状況が不明又は不十分な機関等外通信回線を利用しない**ために、以下を例とする対策を行うこと。 a) 公衆無線LANを利用しないこと。 b) 宿泊施設等が提供する無料ネットワークを利用しないこと。 （解説） - 遵守事項8.1.3(3)(a)「テレワーク実施前及び実施後に職員等が確認するべき項目」について 実施前に行う確認としては、 ① 資産管理として、「持ち出した機器は全てそろっているか」 ② 脆弱性対策として、「OSやアプリケーション等のソフトウェアが最新の状態に保たれているか」、「サポート切れのソフトウェアを利用していないか」、「自宅のネットワークルータは最新のファームウェアに更新されているか」 ③ 情報漏えい対策として、「のぞき見防止フィルタが装着されているか」、「背後にのぞき見可能なスペースがないか」、「スクリーンロックは設定されているか」、「VPN接続やhttps接続（Webベースで業務を行う場合）等により通信は暗号化されているか」、「自宅の無線ネットワークルータにより無線LAN通信を行う場合はWPA3あるいはWPA2方式を用いた暗号化通信となっているか、また、暗号化パスワードは第三者に推測されにくいものか」 ④ 不正プログラム対策として、「不正プログラム対策ソフトウェアのパターンファイルが最新の状態になっているか」、「不正プログラム対策ソフトウェアがリアルタイム検査を行うように設定されているか」 ⑤ インシデント対策として、「インシデント発生時の初期対応方法を把握しているか」、「インシデント発生時の連絡先（電話番号含む。）を把握しているか」 等が考えられる。 中小企業担当者向けではあるが、総務省においてチェックリストを公表しているので参考にするとよい。 参考：「中小企業等担当者向けテレワークセキュリティの手引き（チェックリスト）（第３版）」 （） 実施後に行う確認としては、 ① 不正プログラム対策として、「不正プログラム対策ソフトウェアを用いた検査を行い不正プログラムに感染していないことを確認したか」 ② 資産管理として、「持ち出した機器は全てそろっているか」 ③ 情報漏えい対策として、「端末に保存した情報が暗号化されているか（シンクライアントを利用している場合や、内蔵ディスク全体を暗号化している場合は除く。）」 ④ どのファイルにアクセスしたか。（記録することが望ましい。） ⑤ 情報処理の目的を完了した場合は、要保護情報を機関等支給以外の端末から消去したか。 等が考えられる。 日本ネットワークセキュリティ協会（JNSA）において、チェックリストを公表しているので参考にするとよい。 参考：日本ネットワークセキュリティ協会（JNSA）「緊急事態宣言解除後のセキュリティ・チェックリスト」 （） - 基本対策事項8.1.3(3)-1 c)「同居する者に対し知り得た情報を他人に漏らさないよう協力を求める」について 自宅でテレワークを行う場合、同居する者に取り扱う情報を知られないように対策を講ずることが前提であるが、同居する者に取り扱う情報を全く知られないように業務を行うことは困難な場合がある。従って、同居する者に情報が漏れる可能性を考慮し、例えば、SNSへのアップロードをしないこと、知人との会話で話題にしないことなど、知り得た情報を他人に漏らさないよう協力を要請すべきである。 - 基本対策事項8.1.3(3)-2「情報セキュリティ対策の状況が不明又は不十分な機関等外通信回線を利用しない」について 公衆無線LANサービスのうち無線経路の秘匿性や安全性が不明なものや接続経路の管理状況が不明な無料のインターネット接続サービス等は、通信内容の盗聴やなりすましによる情報の窃取等のおそれがあり、このような情報セキュリティ水準が不明な通信回線は原則として業務に利用すべきではない。また、宿泊施設等が当該施設の利用者に無料で開放しているLAN（有線・無線を問わない。）も同様である。 当該回線を使用しなければならない場合は、VPN接続やセキュアブラウザの利用など通信内容の暗号化等の対策を考慮する必要がある。 なお、無線LANの利用については、総務省が公表している以下のガイドラインを参考にするとよい。 参考：総務省「公衆Wi-Fi利用者向け 簡易マニュアル」 （）