| # | 発行元 | ガイドライン名 | URL |
|---|---|---|---|
| 1 | デジタル庁 | 政府情報システムにおけるセキュリティ・バイ・デザインガイドライン （令和4年6月30日） |
|
| 2 | NISC(内閣サイバーセキュリティセンター) | 政府機関等のサイバーセキュリティ対策のための統一基準 （令和3年7月7日） |
|
| 3 | NISC(内閣サイバーセキュリティセンター) | 政府機関等の対策基準策定のためのガイドライン （令和3年7月7日） |
|
| 4 | NISC(内閣サイバーセキュリティセンター) | 情報システムに係る政府調達におけるセキュリティ要件策定マニュアル(SBDマニュアル) （2022 年７月 29 日） |
|
| 5 | ISO/JIS | ISO31000:2018, Risk management－Guidelines JIS Q 31000:2019 リスクマネジメント指針 |
|
| 6 | IPA（情報処理推進機構） | 制御システムのセキュリティリスク分析ガイド 第２版 （2020 年 3 月） |
|
| 7 | IPA（情報処理推進機構） | セキュリティ・バイ・デザイン導入指南書 （2022年8⽉） |
|
| 8 | NIST（米国国立標準技術研究所） | NIST SP800-63-3 Digital Identity Guidelines (UPDATES AS OF 03-02-2020) デジタル・アイデンティティ・ガイドライン |
|
| 9 | NIST（米国国立標準技術研究所） | NIST SP800-37 Rev2 Risk Management Framework for Information Systems and Organizations A System Life Cycle Approach for Security and Privacy (Dec. 2018) 情報システムおよび組織のためのリスクマネジメントフレームワーク －セキュリティとプライバシーのためのシステムライフサイクルアプローチ |
|
| 10 | NIST（米国国立標準技術研究所） | Cybersecurity Framework Version 1.1 | |
| 11 | NIST（米国国立標準技術研究所） | NIST SP800-53 Rev.5 Security and Privacy Controls for Information Systems and Organizations 組織と情報システムのためのセキュリティおよびプライバシー管理策 |
|
| 12 | NIST（米国国立標準技術研究所） | FIPS PUB 199: Feb 2004 Standards for Security Categorization of Federal Information and Information Systems 連邦情報処理標準 (FIPS 199) 連邦政府の情報および情報システムに対するセキュリティ分類規格 |
|
| 13 | ANSSI（フランス国家情報システムセキュリティ機関） | EBIOS RISK MANAGER Version 1.0 — November 2019 |
|
| 14 | OWASP | Software Assurance Maturity Model （Version 2.0.3 (2022)） |
| 項目 | 説明・内容 |
|---|---|
| 事業目的・ミッション | デジタル庁及び政府各省が管理運営するシステムの全体像把握に必要な情報を収集・蓄積して、デジタル庁としての意思決定・組織運営に活用するため、ダッシュボードを用いてわかりやすく可視化する。 |
事業の影響度 システムの保証レベル |
ＡＡＬ２（中程度） ・リスクの種類別の影響度は下記別表に記載 ・保証レベルは、システムの保証レベルのデシジョンフローから導出 |
| 情報システム運用継続計画の復旧優先度 | ＲＴＯ(目標復旧時間)：1 週間から2 週間以内に復旧が必要な情報システム ＲＬＯ(目標復旧レベル)：特になし 復旧優先度：Ｄ |
| 統一基準での情報格付区分 | 機密性３情報：なし 機密性２情報：あり （システム構成等非公開情報を含む） 完全性２情報：なし （オリジナルデータから復元可能） 可用性２情報：なし （停止しても代替方法あり） |
| その他の格付区分 | 特になし |
| ＃ | 事業リスク Impacts per Category |
最も大きな事業被害 | 影響度 |
|---|---|---|---|
| 利用者に不便、苦痛を与える、又は事業を所管する機関等が信頼を失う | サイバー攻撃によってシステムが停止し、利用できなくなる。 サイバーインシデントの被害が公になり、デジタル庁の信頼低下を招く。 |
中位 | |
| 利用者に金銭的被害を与える、機関等に賠償責任が生じるなど財務上の影響を与える | サイバー攻撃によって、システムのデータやプログラムが改ざんされてしまい、復旧のための工数（費用）が発生する。 | 低位 | |
| 機関等の活動計画や公共の利益に対して影響を与える | 影響なし（効率は悪化するが、このシステムだけに異存はしていないので実害はない） | NA | |
| 利用者の個人情報などの機微な情報が漏洩する | システムの構成情報が漏洩し、セキュリティ攻撃に悪用される | 中位 | |
| 利用者の身の安全に影響を与える | 影響なし | NA | |
| 法律に違反する | 影響なし | NA |
NA
| 項目 | 説明・内容 |
|---|---|
| システムの概要・機能 | システム名：○○○○システム 政府情報システムの情報資産管理シートとデジタル庁が保有するデータを○○○社の△△システムで取込し、利用者のニーズに沿って□□□□ツールで可視化し提供する。 |
意図する使用者 想定する利用者数 |
デジタル庁職員 システム管理Ｔ 約○名 企画Ｔ 約○名 セキュリティＴ 約○名 各府省 システム管理担当 約○名 システム運営者 約○名 ※システム管理に関わらない政府職員は利用しない |
| 意図する使用環境、 アクセス方法 | デジタル庁職員 庁内ネットワーク 各府省 庁内ネットワークにゲストアカウント を登録して各府省ネットからの接続 システム運営者 庁内ネットワーク |
| ネットワークの構成と設定条件 |
| 項目 | 説明・内容 |
|---|---|
| 情報資産 | システム基本情報（管理番号、システム名、所管部門） システム利用情報（利用開始年度、利用対象者） システム構成（プラットフォーム、アクセス、連携先） 開発・改修履歴（開発名、開始／終了、委託先） 運用実績（登録ユーザ数、アクセス数） |
| システムの機能と権限、認証方法 | 機能と権限：下記に別途記載 認証方法： 庁内認証基盤でのＳＳＯ（ＭＦＡ） |
| システムのアーキテクチャモデル | ○○○社（△△システム）で構成 |
| システムの相互運用性（システム連携） | 認証のため □□□と連携 データの初期セットにEXCELを使用 |
使用シナリオ またはデータフロー |
１）庁内でデータ登録する ２）各府省からデータを登録する ３）登録データを確認・メンテナンスする ４）庁内でデータ照会する ５）庁内ユーザの権限設定をする ６）各府省のユーザ登録・アクセス権設定をする ７）各府省からのアクセスを有効／無効の設定をする （入力期間の制御処理） |
| 業務 | 機能 | 使用者 | システムの機能権限 |
|---|---|---|---|
| システム情報登録・更新 | 登録・更新機能（庁内） | システム管理Ｔ | システム情報登録 |
調査票Webエントリー （登録、結果確認、履歴） |
各府省システム管理担当 | 調査票Webアクセス | |
| 情報メンテナンス | システム運営者 | システム情報更新 | |
| システム情報検索 | 一般情報ビューの照会 | システム管理Ｔ 企画Ｔ セキュリティT |
システム情報照会 |
| システム構成情報の照会 | システム管理Ｔ セキュリティＴ |
システム構成照会 | |
| 各府省からの情報照会 | 各府省システム管理担当 | システム情報照会（自省） | |
| 維持管理 | ゲストユーザ登録 | システム運営者 | （基盤担当へ申請） |
| 権限設定 | システム運営者 | （基盤担当へ申請） | |
| 入力期間の設定登録 | システム運営者 | 入力期間設定 | |
| ログ取得・確認機能 | システム運営者 | アクセスログ出力 |
| ユーザグループ | 権限 | |||||||
|---|---|---|---|---|---|---|---|---|
| 登録 | 調査票Web アクセス | 情報 更新 |
照会 （全部） |
照会 （自省） | 入力期間設定 | アクセスログ出力 | ||
| システム管理Ｔ | ✔ | |||||||
| 企画Ｔ | ✔ | |||||||
| セキュリティT | ✔ | |||||||
| 各府省システム管理担当 | ✔ | ✔ | ||||||
| システム運営者 | ✔ | ✔ | ✔ | ✔ | ||||
イメージ
| コンポーネント名 | Ver | 提供元 | パッチ レベル | サポート 期限 |
|---|---|---|---|---|
| 〇〇〇〇〇〇 | 1.0 | 〇〇〇社 | 2029.12 | |
| △△△△△△ | 2.0 | 〇〇〇社 | 2029.12 | |
| □□□□□□ | 3.0 | □□□社 | 2029.12 |
脅威レベル・脆弱レベルは別表を参考に記載
| 脅威 レベル | 判断基準（技術的要素） | 判断基準（時間的要素） |
| 3 | 脅威が発生する可能性が高い。 ・攻撃実現に必要な知識は限定的。 ・攻撃実現に必要な技術の入手は容易。 |
脅威が発生する可能性が高い。 ・攻撃実施に必要な時間は短い。 ・攻撃実施可能な時間帯は無制限。 |
| 2 | 脅威が発生する可能性が中程度である。 ・攻撃実現に必要な知識は中程度。 ・攻撃実現に必要な技術の入手容易性は中程度。 |
脅威が発生する可能性が中程度である。 ・攻撃実施に必要な時間は中程度。 ・攻撃実施可能な時間帯に制約がある。 |
| 1 | 脅威が発生する可能性が低い。 ・攻撃実現に必要な知識は膨大。 ・攻撃実施に必要な技術の入手は困難。 |
脅威が発生する可能性が低い。 ・攻撃実施に必要な時間は長い。 ・攻撃実施可能な時間帯は極めて限定的。 |
| 脆弱性レベル | 判断基準 |
| 3 | 脅威に対するセキュリティ対策が実施されておらず、攻撃が成功する可能性は高い。 |
| 2 | 脅威の対策が実施されているが、十分とは言えないため、攻撃が成功する可能性は中程度である。 一般的な対策を実施しており、攻撃が成功するか否かは攻撃者のレベルに依る。 |
| 1 | 脅威の対策が十分実施されており、攻撃が成功する可能性は低い。 効果的な対策や、多層的な対策を実施しており、攻撃が成功する可能性は低い。 |