講義番号講義番号 ０９７０４７０９７０４７

情報セキュリティ情報セキュリティ特論特論

２００２００８８年年０５０５月月３０３０日日

ＮＥＣネクサソリューションズＮＥＣネクサソリューションズ

佐藤佐藤 隆哉隆哉

連絡先連絡先 satosato--takaya@mta.biglobe.ne.jptakaya@mta.biglobe.ne.jp

（第１回～第５回）資料

10/06/03 r.0

抜粋版抜粋版

2

講師略歴講師略歴氏名氏名 佐藤佐藤 隆哉隆哉

所属所属 NECNECネクサソリューションズ株式会社ネクサソリューションズ株式会社

第一マーケット事業本部第一マーケット事業本部 第一システム事業部第一システム事業部

業務内容業務内容

官庁・金融マーケットのシステム開発・構築・サポート官庁・金融マーケットのシステム開発・構築・サポート

業務略歴業務略歴

主にオフィスコンピュータを利用した業務アプリケーション主にオフィスコンピュータを利用した業務アプリケーションシステムの開発サポートを担当システムの開発サポートを担当 （約１２年）（約１２年）

財務会計パッケージソフトの開発財務会計パッケージソフトの開発 （約２年）（約２年）

企業ネットワークシステムの設計・構築（５年）企業ネットワークシステムの設計・構築（５年）

グループウェア、メールシステムの設計構築（約５年）グループウェア、メールシステムの設計構築（約５年）

インターネット関連ビジネスの調査研究インターネット関連ビジネスの調査研究 （約２年）（約２年）

プラットフォーム＆セキュリティ製品のプロダクトプラットフォーム＆セキュリティ製品のプロダクト

マーケティングマーケティング （約（約44年）年）

3

講義に入る前に講義に入る前に

昨今の情勢を振り返って昨今の情勢を振り返って

IPA情報セキュリティ白書2007年度版== ２００６年のセキュリティ１０大脅威==

を紹を紹介します介します

4

== == ２００６年のセキュリティ１０大脅威２００６年のセキュリティ１０大脅威====

5

6

7

8

1010大脅威の大脅威の主要な関係主要な関係

9

今、求められる情報セキュリティ対策とは！

はじめにはじめに

今日、産業や政府活動、国民生活の多くがコンピュータやコンピュータネットワークに依存し、ITは企業の競争力を高めるために必要不可欠な要素となっています。

同時にITに活動基盤を置く企業への脅威は、情報システム上で金銭や個人情報などを狙う手法、コンピュータウイルス、スパイウェアなどの不正なプログラムは常に新たなものが生まれています。 企業は危機を認識しているのか？実態はどうか？また、対策はどうあるべきかを考察する。

講義概要講義概要

１１..高まるセキュリティ対応能力の重要性高まるセキュリティ対応能力の重要性

情報セキュリティガバナンスの取り組み情報セキュリティガバナンスの取り組み

２２. . 情報セキュリティ対策の転換期情報セキュリティ対策の転換期

３３. . 情報リスクと活用のバランス情報リスクと活用のバランス

４４..情報セキュリティガバナンスの確立に有効な情報セキュリティガバナンスの確立に有効な

施策ツール等施策ツール等

１．１．高まるセキュリティ対応能力の重要性

情報セキュリティガバナンスの取り組み情報セキュリティガバナンスの取り組み

14

情報セキュリティ上の脅威が事業に与える影響情報セキュリティ上の脅威が事業に与える影響

経営における意義経営における意義 ２つの側面２つの側面１１..付加価値の創造付加価値の創造

企業価値の向上と競争の優位性企業価値の向上と競争の優位性

事業の情報技術依存度が高まるなか、セキュリティ確保は当然のこと事業の情報技術依存度が高まるなか、セキュリティ確保は当然のことです。加えて、自社のセキュリティレベルの高さを対外的にアピールすです。加えて、自社のセキュリティレベルの高さを対外的にアピールすることで、顧客からの支持を得て、企業価値の向上、競争優位の確保ることで、顧客からの支持を得て、企業価値の向上、競争優位の確保を狙えます。を狙えます。

２２..自社の防衛自社の防衛

情報システムが経営のリスク要因に情報システムが経営のリスク要因に

事業の情報技術依存度が高まり、情報システム関連の事故が、事業事業の情報技術依存度が高まり、情報システム関連の事故が、事業の存続すら脅かすリスクとなりつつあります。実際、最近の情報流出事の存続すら脅かすリスクとなりつつあります。実際、最近の情報流出事故や、ホームページへの不正侵入事件などでは、対策が講じられるま故や、ホームページへの不正侵入事件などでは、対策が講じられるまでインターネットを利用する事業が休止に追い込まれた事例が見られ、でインターネットを利用する事業が休止に追い込まれた事例が見られ、これらの損失は大変大きなものになっています。これらの損失は大変大きなものになっています。

15

情報セキュリティガバナンス情報セキュリティガバナンス

インターネットの黎明期では、情報セキュリティ対策の主流インターネットの黎明期では、情報セキュリティ対策の主流は、不正アクセス対策のためのファイアウォールやは、不正アクセス対策のためのファイアウォールやIDSIDSのの導入、ウイルス対策などの導入、ウイルス対策などの技術的対策技術的対策でした。でした。

しかし、情報セキュリティ対策は、情報システム部門だけにしかし、情報セキュリティ対策は、情報システム部門だけに

任せておけば良いのではなく、任せておけば良いのではなく、組織全体組織全体で取り組むものでで取り組むもので

あり、あり、人的、物理的、組織的人的、物理的、組織的、、技術的技術的な多方面からの対策な多方面からの対策

が必要であること、また、が必要であること、また、経営者経営者の関与が重要であることの関与が重要であることが認識されはじめました。が認識されはじめました。

そして情報セキュリテマネジメントの考え方の浸透、そして情報セキュリテマネジメントの考え方の浸透、情報セ情報セ

キュリティガバナンスキュリティガバナンスの取り組みが求められています。の取り組みが求められています。

情報セキュリティは、技術部門だけの情報セキュリティは、技術部門だけの課題では無くなった課題では無くなった

16

情報セキュリティガバナンス確立の取り組み情報セキュリティガバナンス確立の取り組み

前提前提

１１..情報セキュリティに絶対はなく、事故は起こりうるもの情報セキュリティに絶対はなく、事故は起こりうるもの

２２..対症療法的対応から、自立的・継続的に改善・向上する対症療法的対応から、自立的・継続的に改善・向上する

仕組みへ仕組みへ

3.3.リスクに応じた合理的な対策を実施し、維持するリスクに応じた合理的な対策を実施し、維持する

4.4.ステークホルダーに適切に情報開示し支持を得るステークホルダーに適切に情報開示し支持を得る

17

情報セキュリティガバナンスの確立には情報セキュリティガバナンスの確立には

1.1.経営意思の明確化経営意思の明確化

何を守るか何を守るか ・・・・・・ 重要情報資産、法令順守、社会的責任重要情報資産、法令順守、社会的責任

どこまで守るかどこまで守るか ・・・・・・ 保有可能な残存リスクレベル保有可能な残存リスクレベル

２２..内部統制の確立内部統制の確立

責任配置の設計責任配置の設計

セキュリティ施策の設計実施・・・リスクに応じた合理的設計セキュリティ施策の設計実施・・・リスクに応じた合理的設計

事件・事故、災害への対応・・・事業継続計画事件・事故、災害への対応・・・事業継続計画

情報セキュリティ監査による検証情報セキュリティ監査による検証

３３..ビジネスのＥｎｄ－ｔｏ－Ｅｎｄのセキュリティ確保ビジネスのＥｎｄ－ｔｏ－Ｅｎｄのセキュリティ確保

4.4.多様化するステークホルダーへの説明責任多様化するステークホルダーへの説明責任

18

適切なリスク分析・評価適切なリスク分析・評価

詳細リスク分析詳細リスク分析

ステップ１ステップ１ 情報資産の識別（洗い出し）情報資産の識別（洗い出し）

ステップ２ステップ２ ①情報資産価値の評価①情報資産価値の評価

②資産間の依存関係の確認②資産間の依存関係の確認

③脅威の評価③脅威の評価

④脆弱性の評価④脆弱性の評価

⑤⑤既存及び計画中の管理策の識別既存及び計画中の管理策の識別

ステップ３ステップ３ リスクの評価リスクの評価

リスク値＝資産価値リスク値＝資産価値××脅威脅威××脆弱性脆弱性

ステップ４ステップ４ 管理策の選択と制約事項の識別管理策の選択と制約事項の識別

ステップ５ステップ５ リスク許容の判断リスク許容の判断

19

組織における情報資産（組織における情報資産（inteligenceinteligence))

CSRCSR・・BCMBCMの視点での情報マネジメントの必要の視点での情報マネジメントの必要

企業情報企業情報（営業秘密）（営業秘密）

経営機密経営機密 新製品情報新製品情報

顧客情報顧客情報

CSCS関連、マーケティング関連、マーケティング

関連、取引先関連関連、取引先関連

人事情報人事情報

保有情報資産保有情報資産

技術情報技術情報

個人情報個人情報

知財が競争の武器に

個人の権利・利益保護の要請

市場の安全・安心要請

20

利用できない場合でも、業務への影響はほとんどない利用できない場合でも、業務への影響はほとんどない１１

利用できない場合、業務への影響がある利用できない場合、業務への影響がある２２

利用できない場合、業務への影響が大きい利用できない場合、業務への影響が大きい３３可可用用性性

完全性が損なわれた場合でも、業務への影響はほとんどない完全性が損なわれた場合でも、業務への影響はほとんどない１１

完全性が損なわれた場合、業務への影響はある完全性が損なわれた場合、業務への影響はある２２

完全性が損なわれた場合、業務への影響が大きい完全性が損なわれた場合、業務への影響が大きい３３完完全全性性

公開公開 ：： 第三者への開示可第三者への開示可１１

社外秘社外秘 ：： 第三者への開示不可第三者への開示不可２２

秘密秘密 ：： 社内でも特定の者にのみ開示可社内でも特定の者にのみ開示可３３機機密密性性

説明説明レベルレベル

資産価値の設定例

機密性、完全性、可用性の評価結果を基に、総合的な資産価値を判定（リスク分析を簡略化するため）

21

脅威の発生可能性の設定例

発生する可能性は低い（１年に０～発生する可能性は低い（１年に０～１回）１回）

通常ではほとんど発生しない通常ではほとんど発生しない

実施による利益はほとんどない実施による利益はほとんどない

１１

発生する可能性は中程度（半年に０発生する可能性は中程度（半年に０～１回）～１回）

専門能力のある者の不注意等で発専門能力のある者の不注意等で発生する生する

実施による利益が多少ある実施による利益が多少ある

２２

発生する可能性は高い（１ヶ月に１発生する可能性は高い（１ヶ月に１回以上）回以上）

一般者の不注意等で発生する一般者の不注意等で発生する

実施による利益がある実施による利益がある

３３

説明説明レレベベルル

ぜい弱性の設定例

専門能力のある者の不注意等によって、専門能力のある者の不注意等によって、リスクが顕在化するリスクが顕在化する 恐れがある恐れがある

十分（複数等）な予防対策が講じられて十分（複数等）な予防対策が講じられている。いる。

２２

通常の利用では、リスクが顕在化する通常の利用では、リスクが顕在化する恐れはない恐れはない

十分（複数等）な予防対策と発見／回十分（複数等）な予防対策と発見／回復対策が講じられている。復対策が講じられている。

１１

一般者の不注意等によって、リスクが一般者の不注意等によって、リスクが顕在化する恐れがある顕在化する恐れがある

基本的な予防対策（１つ）または発見／基本的な予防対策（１つ）または発見／回復対策が講じられている。回復対策が講じられている。

３３

いつでもリスクが顕在化する恐れがあるいつでもリスクが顕在化する恐れがある

対策が講じられていない。対策が講じられていない。

４４

説明説明レレベベルル

22

リスク受容基準の設定リスク受容基準の設定

リスク値を“０”にすることは、現実的には不可能

リスクを受容する基準を定め、それを超えるリスクには対策を講じる。

リスク値 ＝ 資産価値 × 発生可能性 × ぜい弱性３６ = ３ × ３ × ４

（例）

リスク受容基準：18 リスク値：36<

※※ あくまで「目標値」あくまで「目標値」

として設定します。として設定します。 リスク対応（追加対策等）

２．情報セキュリティ対策の転換期２．情報セキュリティ対策の転換期

情報セキュリティを取り巻く時代の変化情報セキュリティを取り巻く時代の変化～「予防偏重」から「事故前提」への移行～「予防偏重」から「事故前提」への移行

2004/5/12004/5/1SasserSasser

66日間日間2004/2004/4/254/25

1111日日間間

2004/2004/4/144/14

MS04MS04--011011

攻撃発生攻撃発生攻撃コー攻撃コード出現ド出現

脆弱性の公脆弱性の公表・修正プロ表・修正プログラム配布グラム配布

脆弱性（セ脆弱性（セキュリティホーキュリティホール）名ル）名

2003/01/252003/01/25SQL SQL スラマースラマー

44ヵ月ヵ月2002/2002/09/2509/25

22ヵ月ヵ月2002/2002/07/29 07/29 MS02MS02--039039

2004/02/112004/02/11Welchia.BWelchia.B22ヵ月ヵ月2003/2003/

11/1311/1311日間日間2003/2003/

11/1211/12MS03MS03--049049

2005/08/172005/08/17RBOT.CBQ11日間日間2005/2005/

08/1608/1666日間日間2005/2005/

08/1008/10MS05MS05--039039

2004/02/112004/02/11Welchia.BWelchia.B

2003/08/122003/08/12BlasterBlaster

2003/2003/09/1509/15

2003/2003/07/2707/27

55ヵ月ヵ月44日間日間2003/2003/09/1109/11

MS03MS03--039039

1616日日間間

1010日日間間

2003/2003/07/1707/17

MS03MS03--026026

短縮化する攻撃可能期間

「予防偏重」型の対策から「事故前提」の対策への移行①ITの「神経系」化と、②情報システム構造の複雑化、そして、③攻撃可能期間の短縮化により、情報セキュリティ対策は、今までの「予防偏重」型から「事故前提」型（「情報セキュリティに絶対はなく、事故は必ず起こるもの」）への移行が必要な時代に。そのためには、官民連携した対策が必要。

「予防偏重」型の対策から「事故前提」の対策への移行①ITの「神経系」化と、②情報システム構造の複雑化、そして、③攻撃可能期間の短縮化により、情報セキュリティ対策は、今までの「予防偏重」型から「事「予防偏重」型から「事

故前提」型故前提」型（「情報セキュリティに絶対はなく、事故は必ず起こるもの」）へのへの移移

行が必要な時代行が必要な時代に。そのためには、官民連携した対策官民連携した対策が必要。

国民生活や経済活動を脅かすサイバー攻撃やシステム障害

政府ホームページが改ざんされる。政府ホームページが改ざんされる。国国

米国で電力会社のシステムが進入を受米国で電力会社のシステムが進入を受

け、電力供給停止などの攻撃が可能なけ、電力供給停止などの攻撃が可能な

状態に陥った。状態に陥った。

重要インフラ重要インフラ

（電力）（電力）

みずほ銀行のシステム統合に伴うシスみずほ銀行のシステム統合に伴うシス

テム障害発生、サービスが停止。テム障害発生、サービスが停止。（金融）（金融）

昨年８月ブラスターワームの流行により昨年８月ブラスターワームの流行により個人用個人用PCPCの多くが感染、対応に苦慮。の多くが感染、対応に苦慮。

国民生活国民生活

自治体のシステムがウイルス感染し、一自治体のシステムがウイルス感染し、一

時庁内システムの運用を停止。時庁内システムの運用を停止。地方自治体地方自治体

事件・事故の事例事件・事故の事例

急速に短縮化

25

脆弱性悪用の手口は複雑・迅速化

攻撃者のスキルが低くてもツール攻撃が可能の傾向が強まる！

企業のコンピュータシステムにパッチをあてる時間はあまり残されていない！

感染被害の急速な拡大と長期にわたる影響力

攻撃は巧妙、複雑化し、コンピュータシステムに侵入する確率は上昇中！

→インターネットは「無法の地」とよばれている。

発見される脆弱性が増加傾向。

2006年のウィルス届出件数は44,840件で 昨年と比較して、

17%の大幅な減少となったが、過去３番目件数である。感染率も半減し、ウィルス対策の浸透（90％以上）が覗えるが反面 ２００４年２月に発見されたＷ３２／Ｎｅｔｓｋｙが依然として蔓延している。

脆弱性公開からウイルス出現までが短縮化の傾向！

2004/05 Sasser 14日2003/07 Blaster 26日 2005/08 RBOT.CBQ 7日

200X/XX ゼロデイアタック

建物・設備

対策から見た情報セキュリティの範囲

組織

情報システム

人間系の情報漏えい人間系の情報漏えい（パスワード漏えい・個人情報漏えい（パスワード漏えい・個人情報漏えい……etcetc））

不正侵入不正侵入（情報漏えい・不正使用（情報漏えい・不正使用……etcetc））

外部委託管理の不備外部委託管理の不備（重要情報漏えい・不正アクセス（重要情報漏えい・不正アクセス……etcetc））

組織的安全管理措置（ポリシー・運用）

災害災害

システム障害システム障害（（OSOS障害・ミドルウェア障害障害・ミドルウェア障害……etcetc））

ハードウェア障害ハードウェア障害

ネットワーク犯罪ネットワーク犯罪（コンピュータウイルス・不正アクセス・盗聴・改ざん・踏み台（コンピュータウイルス・不正アクセス・盗聴・改ざん・踏み台……etcetc））

誤操作誤操作

不法侵入不法侵入

データ障害データ障害（データ更新障害（データ更新障害……etcetc））

コンピュータ犯罪コンピュータ犯罪（不正使用・トロイの木馬（不正使用・トロイの木馬……etcetc））

ネットワーク障害ネットワーク障害（回線障害、性能劣化（回線障害、性能劣化……etcetc））

人的安全管理措置

（過失と故意を防ぐ）

技術的安全管理措置

（技術的対応）

物理的安全管理措置

対策は総合的対策は総合的かつ競争優位性の継続を！競争優位性の継続を！

個別対策では情報セキュリティのレベルに差が出る。部分的な対応では脆弱で投資効率も悪い。

大局的な視点から組織全体としてのセキュリティ対策を決める。それにより全体のレベルが引き上げられる

（守りのためのセキュリティ）（戦略的セキュリティ）抑制 防止

検出 回復 マネジメント

様々なリスクに対し、具体的に「何を」「どこまで」実施するべきかの見極めが重要！

3.3.情報リスクと活用のバランス情報リスクと活用のバランス

リスク管理・内部統制に関する研究会報告書にて

リスクマネジメントと内部統制の重要性を指摘

セキュア対策のジレンマ

物理的遮断

ネットワークからの遮断

データアクセスの管理

ごく限定された管理者

リソースの共有不可

例外処理の排除

独立したシステム

etc

必要な情報へのアクセス

いつでもどこでも

利用しやすいカスタマイズ

権限の委譲

リソースの共有

他部門との連携

企業間協業

Webサービスの享受

etcセキュリティ対策と利便性の

両立を実現するソリューションが必要

もっと使いやすくもっと使いやすく

情報資産の安全管理

もっとセキュアにもっとセキュアに

情報の有効活用

被害額が見えない！被害額算出モデルに関する検討の必要性

ｲﾝｼﾃﾞﾝﾄ発生!! 業務停止!効率低下!

復旧作業!!残業で対応!! 損害が発生!!

しているはず･･･

システム部で対応した範囲は判るけど･･･

みんなで頑張って何とか乗り切ったけどけど･･･

??

リスクマネジメントできる

損害額はHow much? 対策 被害

それさえも把握できない

80％以上がシステム管理者がセキュリティ管理者を兼任。

ほとんどのインシデントで復旧に3人日を要しているが、復旧にかかったコストは0万円が多い。

31

ITに関する直接リスク

一次リスク･･システム停止、Web改ざん、不正アクセス、通信障害、

情報漏洩 etc

二次リスク･･業務の一次中断、復旧労力の増大、機会損失 etc

→ 警察庁のまとめによると、ウィルス復旧に16万円、最高で694万円。

三次リスク･･売り上げの減少、コストの増大、ブランドの低下、

資産の損失 etc → 信頼の失墜

膨大な損失へ

四次リスク？･･慰謝料。お詫び料 信頼の回復

現実的なリスク（基本情報の場合）＝顧客情報の数×(15,000円×0.0003＋500円）

JNSAJNSA調査報告書に基づく調査報告書に基づく情報セキュリティインシデント被害額情報セキュリティインシデント被害額算出モデル考察算出モデル考察

―調査概要―

漏えい情報は個人情報が大半 → 95％

情報元は企業が大半 → 86％

漏えい原因は技術的人為ミスと対策不足が26.5%

新たに非技術的要素 → 71％

経路はインターネット経由が14.5%と媒体経由がそれぞれ75.4％

損害賠償総額 → 4667億

インシデント1件あたり被害額 → 13億8,000万円

インシデント被害額算出モデル

インシデント被害額

表面化被害＝ ＋ 潜在化被害

直接被害＝ ＋ 間接被害 潜在化被害＋

＝ 逸失利益（直接的な被害）

＋ 復旧に要したコスト（ハードウエア、ソフトウエア、工数）

営業継続費用＋ ＋ 喪失情報資産 機会損失＋

保障、補填、損害賠償など（間接的な被害）＋

固定費（人件費）＋（ × インシデントによる影響を受けた人数

IT感応度（業務依存度）× × 停止時間 ）

業務外の潜在化被害（風評被害など）＋

情報漏洩による損害賠償額予想計算式

2003年予想計算式の改良

損害賠償額＝（基礎情報価値 ×機微情報度×本人特定容易度）

×情報漏洩元組織の社会的責任度

×事後対応評価

一般的

一般より高い 2適正な取扱いを確保すべき個別分野の業種（医療、金融・信用、情報通信等）および、知名度の高い大

企業、公的機関。

1その他一般的な企業および団体、組織。

社会的責任度

判定基準

一般的

一般より高い 2適正な取扱いを確保すべき個別分野の業種（医療、金融・信用、情報通信等）および、知名度の高い大

企業、公的機関。

1その他一般的な企業および団体、組織。

社会的責任度

判定基準

1適切な対応

1不明、その他

2不適切な対応

事後対応評価判定基準

1適切な対応

1不明、その他

2不適切な対応

事後対応評価判定基準

経済的損失

精神的苦痛

基本情報

経済的情報

プライバシー情報

X

y経済的損失

精神的苦痛

基本情報

経済的情報

プライバシー情報

X

y

６個人を簡単に特定可能。

「氏名」「住所」が含まれること。

１特定困難。上記以外。

３コストを掛ければ個人が特定できる。「氏名」または「住所+電話番号」が含まれること。

本人特定容易度

判定基準

６個人を簡単に特定可能。

「氏名」「住所」が含まれること。

１特定困難。上記以外。

３コストを掛ければ個人が特定できる。「氏名」または「住所+電話番号」が含まれること。

本人特定容易度

判定基準

【EP図】 【判定基準表】

「経済的損失」と「精神的苦痛」の２つのリスクを分析し、個人情報の価値を定量化する。他にも、判定基準表を用いて算出式の各項の数値を求めやすくする改良を実施。

＜算出イメージ＞

情報の価値基準の検討

性癖

DNA

身長体重血液型

妊娠歴

病歴

手術歴

音声

声紋

健康診断

指紋

心理テスト

看護記録

検査記録

レセプト（診療報酬請求明細書）

身体特性

病状

治療法

保有感染症

身体障害知的障害

痴呆症

身体障害者手帳

カルテ

体力診断

性生活

性格判断写真（肖像）

位置情報

国籍

人種本籍

民族

信条宗教思想信仰

地方なまり

政治的見解加盟政党

加盟労働組合趣味嗜好特技

精神的障害

ハンドル名

電話番号

メールアドレス

アカウント/パスワード

社員番号

会員番号

住民票コード

健康保険証番号

年金証書番号

免許証番号

性別

住所

生年月日

氏名

クジットカード番号

土地

資産借金

所得

経済状況

カード有効期限

年収区分

残高

年収

口座番号/暗証番号

金融機関名

建物

職業職種

学歴

職歴

賞罰

成績

犯罪歴前科前歴

取引内容

役職

会社名

学校名試験得点

メール内容門地(世系)

配偶者家族構成結婚歴

離婚歴続柄

世帯主名

生活保護児童手当 児童扶養手当

交友関係

健康保険証

年金証書

介護保険

国籍

人種本籍

信仰

趣味

経済的損失

精神的苦痛X

y

経済的情報

基本情報

プライバシー情報

性癖

DNA

身長体重血液型

妊娠歴

病歴

手術歴

音声

声紋

健康診断

指紋

心理テスト

看護記録

検査記録

レセプト（診療報酬請求明細書）

身体特性

病状

治療法

保有感染症

身体障害知的障害

痴呆症

身体障害者手帳

カルテ

体力診断

性生活

性格判断写真（肖像）

位置情報

国籍

人種本籍

民族

信条宗教思想信仰

地方なまり

政治的見解加盟政党

加盟労働組合趣味嗜好特技

精神的障害

ハンドル名

電話番号

メールアドレス

アカウント/パスワード

社員番号

会員番号

住民票コード

健康保険証番号

年金証書番号

免許証番号

性別

住所

生年月日

氏名

クジットカード番号

土地

資産借金

所得

経済状況

カード有効期限

年収区分

残高

年収

口座番号/暗証番号

金融機関名

建物

職業職種

学歴

職歴

賞罰

成績

犯罪歴前科前歴

取引内容

役職

会社名

学校名試験得点

メール内容門地(世系)

配偶者家族構成結婚歴

離婚歴続柄

世帯主名

生活保護児童手当 児童扶養手当

交友関係

健康保険証

年金証書

介護保険

国籍

人種本籍

信仰

趣味

経済的損失

精神的苦痛X

y

経済的情報

基本情報

プライバシー情報

経済的損失レベル

精神的苦痛レベル

口座番号/暗証番号, クジットカード番号, カード有効期限, 銀行のアカウント/パスワード

パスポート情報, 購入記録, ISPのアカウント/パスワード

遺言書

年収・年収区分, 資産, 建物, 土地, 残高, 借金, 所得, 借り入れ記録

前科前歴, 犯罪歴, 与信ブラックリスト

加盟政党, 政治的見解, 加盟労働組合, 信条, 思想, 宗教, 信仰, 本籍, 病状, カルテ, 痴呆症, 身体障害, 知的障害, 精神的障害, 保有感染症, 性癖, 性生活

健康診断, 心理テスト, 性格判断, 妊娠歴, 手術歴, 看護記録, 検査記録, 身体障害者手帳, DNA, 病歴, 治療法, 指紋, レセプト, スリーサイズ, 人種, 地方なまり, 国籍, 趣味, 特技, 嗜好, 民族, 日記, 賞罰, 職歴, 学歴, 成績, 試験得点, メール内容, 位置情報

氏名, 住所, 生年月日, 性別, 金融機関名, 住民票コード, メールアドレス, 健康保険証番号, 年金証書番号, 免許証番号, 社員番号, 会員番号, 電話番号, ハンドル名, 健康保険証情報, 年金証書情報, 介護保険証情報, 会社名, 学校名, 役職, 職業, 職種, 身長, 体重, 血液型, 身体特性, 写真（肖像）, 音声, 声紋, 体力診断

1 2 3

1

2

3

X

y経済的損失レベル

精神的苦痛レベル

口座番号/暗証番号, クジットカード番号, カード有効期限, 銀行のアカウント/パスワード

パスポート情報, 購入記録, ISPのアカウント/パスワード

遺言書

年収・年収区分, 資産, 建物, 土地, 残高, 借金, 所得, 借り入れ記録

前科前歴, 犯罪歴, 与信ブラックリスト

加盟政党, 政治的見解, 加盟労働組合, 信条, 思想, 宗教, 信仰, 本籍, 病状, カルテ, 痴呆症, 身体障害, 知的障害, 精神的障害, 保有感染症, 性癖, 性生活

健康診断, 心理テスト, 性格判断, 妊娠歴, 手術歴, 看護記録, 検査記録, 身体障害者手帳, DNA, 病歴, 治療法, 指紋, レセプト, スリーサイズ, 人種, 地方なまり, 国籍, 趣味, 特技, 嗜好, 民族, 日記, 賞罰, 職歴, 学歴, 成績, 試験得点, メール内容, 位置情報

氏名, 住所, 生年月日, 性別, 金融機関名, 住民票コード, メールアドレス, 健康保険証番号, 年金証書番号, 免許証番号, 社員番号, 会員番号, 電話番号, ハンドル名, 健康保険証情報, 年金証書情報, 介護保険証情報, 会社名, 学校名, 役職, 職業, 職種, 身長, 体重, 血液型, 身体特性, 写真（肖像）, 音声, 声紋, 体力診断

1 2 3

1

2

3

X

y

個人情報の配置例（EP図）

Simple-EP図

2003年損害賠償額の予想計算式（宇治市住民基本台帳データ大量漏洩事件への適用）

損害賠償額 ＝ 漏洩個人情報価値

×社会的責任度

×事後対応評価

＝（基礎情報価値×機微情報度×本人特定容易度）

×情報漏洩元組織の社会的責任度

×事後対応評価

12,000円＝基礎情報価値 [500]×機微情報度 [Max （101-1+51-1）＝２]×本人特定容易度 [6, 3, 1]×社会的責任度 [2, 1]×事後対応評価 [2, 1]

機微情報度＝（10x-1+5y-1）x = 漏洩した情報の精神的苦痛レベルの最大値y = 〃 経済的損失レベルの最大値

機微情報度＝（10x-1+5y-1）x = 漏洩した情報の精神的苦痛レベルの最大値y = 〃 経済的損失レベルの最大値

６個人を簡単に特定可能。「氏名」「住所」が含まれること。

１特定困難。上記以外。

３コストを掛ければ個人が特定できる。「氏名」または「住所+電話番号」が含まれること。

本人特定容易度判定基準

６個人を簡単に特定可能。「氏名」「住所」が含まれること。

１特定困難。上記以外。

３コストを掛ければ個人が特定できる。「氏名」または「住所+電話番号」が含まれること。

本人特定容易度判定基準

一般的

一般より高い

2適正な取扱いを確保すべき個別分野の業種（医療、金融・信用、情報通信等）および、知名度の高い大企業、公的機関。

1その他一般的な企業および団体、組織。

社会的責任度判定基準

一般的

一般より高い

2適正な取扱いを確保すべき個別分野の業種（医療、金融・信用、情報通信等）および、知名度の高い大企業、公的機関。

1その他一般的な企業および団体、組織。

社会的責任度判定基準

1適切な対応

1不明、その他

2不適切な対応

事後対応評価判定基準

1適切な対応

1不明、その他

2不適切な対応

事後対応評価判定基準

個人情報漏洩事件での緊急対応費用の推定

約100億円売上げ

約30名従業員

約100万人会員数

インターネットショップ部門

約900億円売上げ

約600万人会員数

カタログ販売部門

約1000名従業員

約1000億円売上高

企業規模

約100億円売上げ

約30名従業員

約100万人会員数

インターネットショップ部門

約900億円売上げ

約600万人会員数

カタログ販売部門

約1000名従業員

約1000億円売上高

企業規模

合計

＋αブランド価値の低下業務外の潜在化被害

影響を受けた業務の人件費（１ヶ月分）

問い合わせ窓口常駐人員（１ヶ月分）

コールセンター設置費用（１ヶ月分）

情報公開ページ作成費用（5回）

謝罪広告費（新聞5紙）

謝罪訪問に掛かる費用（15人分）

見舞品代＋送料他 （30万人分）弁護士費用、裁判費用

損害賠償費用

セキュリティコンサルタントの依頼費用（１ヶ月分）

対策組織業務に係る人件費 （１ヶ月分）

インターネットショッピングサイトの成長率分（１ヶ月相当）

インターネットショッピングサイト利益額（１ヶ月分）

約3億8,237万円

約3,000万円影響業務潜在化被害

約300万円

約1,000万円臨時的な対策費用

約25万円

約1,000万円広報費用

約165万円謝罪訪問費

約2億1,000万円見舞品費用

約9万円

約108万円損害賠償費用

約500万円

約2,000万円業務継続費用間接被害

約830万円機会損失

約8,330万円逸失利益直接

被害

費用項目

合計

＋αブランド価値の低下業務外の潜在化被害

影響を受けた業務の人件費（１ヶ月分）

問い合わせ窓口常駐人員（１ヶ月分）

コールセンター設置費用（１ヶ月分）

情報公開ページ作成費用（5回）

謝罪広告費（新聞5紙）

謝罪訪問に掛かる費用（15人分）

見舞品代＋送料他 （30万人分）弁護士費用、裁判費用

損害賠償費用

セキュリティコンサルタントの依頼費用（１ヶ月分）

対策組織業務に係る人件費 （１ヶ月分）

インターネットショッピングサイトの成長率分（１ヶ月相当）

インターネットショッピングサイト利益額（１ヶ月分）

約3億8,237万円

約3,000万円影響業務潜在化被害

約300万円

約1,000万円臨時的な対策費用

約25万円

約1,000万円広報費用

約165万円謝罪訪問費

約2億1,000万円見舞品費用

約9万円

約108万円損害賠償費用

約500万円

約2,000万円業務継続費用間接被害

約830万円機会損失

約8,330万円逸失利益直接

被害

費用項目

個人情報漏洩事件による被害額（試算）企業プロファイル（想定）

シナリオ想定

・顧客10名から、不審なダイレクトメールが届いたとの問い合わせがあった。

・調査の結果、インターネットショッピングサイトから会員登録と買い物をした顧客データ約30万人分が漏洩したと推定された。漏洩した顧客データは、ある数年間に新規登録された顧客分と判明した。

・個人情報漏洩事件と判断した直後、対策本部を設置した。同時に原因究明と対策のため、インターネットショッピングサイトを1ヶ月間停止することを決定した。

38

４４..情報セキュリティガバナンスの確立に情報セキュリティガバナンスの確立に有効な施策ツール等有効な施策ツール等

39

40

情報セキュリティ評価について情報セキュリティ評価について

41

情報セキュリティ対策ベンチマーク情報セキュリティ対策ベンチマークのコンセプトのコンセプト

42

業種別の傾向業種別の傾向

43

証明－ISMS適合性評価制度

日本版日本版BS7799BS7799 JIS X 5080JIS X 5080をベースとした国内の制度をベースとした国内の制度

ISMSISMS認証基準に対する準拠性を評価認証基準に対する準拠性を評価

20012001年年44月からパイロット運用、月からパイロット運用、20022002年年44月から本番運用開始月から本番運用開始

安対制度に代わる第三者認証制度安対制度に代わる第三者認証制度

情報処理サービス業電子計算機システム安全対策実施事業所認情報処理サービス業電子計算機システム安全対策実施事業所認定制度は定制度は20012001年年33月に廃止月に廃止

20012001年度にパイロット運用の後、年度にパイロット運用の後、20022002年度より本格実施年度より本格実施

審査登録機関の連携が加速審査登録機関の連携が加速

－ISMS認定取得の促進－

・3年以内の実現 →公開企業、個人情報取扱事業者

・3年以内に着手、実行に移す →中小企業

44

各種施策ツールやＩＳＭＳ認証等の関係各種施策ツールやＩＳＭＳ認証等の関係

既存の標準・技術

新たな取り組み新たな取り組み 情報セキュリティ格付け制度情報セキュリティ格付け制度

2008年５月 松下電器産業、富士ゼロックスなど18社が出資し、情報セキュリティ専門に格付けを行う世界初の会社が設立される。

中立な第三者機関として企業のセキュリティレベルをランク付けする。

企業などの組織が取り扱う技術情報や営業機密、個人情報などのセキュリティレベルをランク付けする格付け会社。具体的には、マネジメントの成熟度、セキュリティ対策の強度、コンプライアンスへの

取り組み──などを定量化し、記号や数値で指標化。

レベル 内容

レベル5（AAAISM） 最適化 統合されたプロセスを用いて，高水準の管理状態を維持発展している状態

レベル4（AAISM） 目標管理客観的な指標を用い，品質を高めるための目標管理を実施している状態

レベル3（AISM） 組織的管理 明確に定義した手順書などに基づき，組織的な管理を実施している状態

レベル2（BBBISM） 静的管理文章化した手順に基づく計画策定や結果追跡が可能な管理を実施している状態

レベル1（BBISM） 簡略的管理 特定の人員に依存して，イベント対応型の管理を実施している状態

レベル0（BISM） 初期段階 プロセスを確立していない初期段階，など

6つのレベルで格付け。各レベル内において上位または下位のレベルにある場合はそれぞれ，「＋」「－」を付与。

46

ITITのプロセス毎の統制に関する作業内容のプロセス毎の統制に関する作業内容

分類分類

組織体制、職務権限・職務分離、規定・基準、要員管理、情報化計画、予算編組織体制、職務権限・職務分離、規定・基準、要員管理、情報化計画、予算編

成・管理成・管理①① 組織及び計画組織及び計画

ITIT全般統制全般統制

開発手法、標準化、開発基準・規定、開発（変更）計画、設計、プログラミング、テ開発手法、標準化、開発基準・規定、開発（変更）計画、設計、プログラミング、テ

スト、移行、ドキュメント管スト、移行、ドキュメント管②②企画・開発企画・開発

プロセスプロセス

運用管理規定、運用スケジュール管理、運用業務記録、障害管理、ライブラリ管運用管理規定、運用スケジュール管理、運用業務記録、障害管理、ライブラリ管

理、バックアップ方法（理、バックアップ方法（OSOS・アプリケーション・データ）・アプリケーション・データ）③③運用プロセス運用プロセス

ハードウェアハードウェア管理、管理、ソフトウェアソフトウェア（バージョン・ライセンス）管理、（バージョン・ライセンス）管理、ネットワークネットワーク管理、管理、

データベースデータベース管理管理④④維持・保全維持・保全

プロセスプロセス

セキュリティポリシー・基準・規定、セキュリティ管理体制、個人認証方法、アクセスセキュリティポリシー・基準・規定、セキュリティ管理体制、個人認証方法、アクセス

権限管理（権限管理（ネットワークネットワーク・・OSOS・・データベースデータベース・アプリケーション）、アクセスログ取得・保・アプリケーション）、アクセスログ取得・保

管、ウィルス対策、入退室管理、機器・媒体持出管理、防災・防犯体制・設備管、ウィルス対策、入退室管理、機器・媒体持出管理、防災・防犯体制・設備⑤⑤情報セキュリティ情報セキュリティ

ビジネス影響分析、事業継続計画策定、レビュー、訓練ビジネス影響分析、事業継続計画策定、レビュー、訓練⑥⑥事業継続事業継続//

災害対策災害対策

委託先評価・選定基準、業務委託手続、委託先管理方法、委託先評価・選定基準、業務委託手続、委託先管理方法、NDANDA・・SLASLA締結締結⑦⑦外部委託外部委託

既存業務アプリケーションへのコントロール組み込み、既存業務アプリケーションへのコントロール組み込み、ERPERPの導入・更新、業務プロの導入・更新、業務プロ

セスのモニタリング、業務プロセスと文書の統合管理セスのモニタリング、業務プロセスと文書の統合管理業務システム見直し業務システム見直し業務処理業務処理

統制統制

作業作業内容内容例例プロセスプロセス

これらのプロセスは何らかの形で既に取り組んでいるものも多いが、内部統制強化の観点からは、各プロセス毎に見直し・改善を図っていくことが必要

これらのプロセスは何らかの形で既に取り組んでいるものも多いが、内部統制強化の観点からは、各プロセス毎に見直し・改善を図っていくことが必要

47

米国ＳＯＸ法では何が行われたか？米国ＳＯＸ法では何が行われたか？

米国の調査機関「AMR Research」が2005年にSOX法の対象となっている米国企業にアンケート調査した結果

48

内部統制テーマに対応するＩＴ対策内部統制テーマに対応するＩＴ対策内部統制要求事項内部統制要求事項

職務分離や相互牽制という観点から個人認証や職務分離や相互牽制という観点から個人認証や権限設定、ＩＤ／パスワード管理、アクセス管理（権限設定、ＩＤ／パスワード管理、アクセス管理（ログ採取＆分析）などが強く求められるログ採取＆分析）などが強く求められる

••シングルサインオンシングルサインオン••アクセスコントロールアクセスコントロール••ライツマネジメントライツマネジメント••ディレクトリ管理ディレクトリ管理

改ざんや漏洩防止とういう観点から暗号化やセ改ざんや漏洩防止とういう観点から暗号化やセキュアネットワークなどが求められるキュアネットワークなどが求められる

••暗号化メール暗号化メール••暗号化ツール，暗号化ＤＢ暗号化ツール，暗号化ＤＢ••ＶＰＮサービスＶＰＮサービス

業務プロセスコントロールの観点で業務システム業務プロセスコントロールの観点で業務システムでの個人認証や権限設定、承認機能や操作記での個人認証や権限設定、承認機能や操作記録保持、監査証跡管理などの機能が要求される録保持、監査証跡管理などの機能が要求される

••ＥＲＰ＋監査オプションＥＲＰ＋監査オプション

職務分離の考え方から中小企業など要員の確保職務分離の考え方から中小企業など要員の確保できない企業ではアウトソーシング先との職務分できない企業ではアウトソーシング先との職務分離を基本に考えるケースが増える離を基本に考えるケースが増える

••トータルアウトソーシングサービストータルアウトソーシングサービス

••データセンターサービスデータセンターサービス

監査対応としての文書化作業及び文書管理が監査対応としての文書化作業及び文書管理が求められる。求められる。

••文書管理システム文書管理システム••文書化支援コンサルティングサービス文書化支援コンサルティングサービス

対応するＩＴソリューション対応するＩＴソリューション

安全・安心なネットワーク社会安全・安心なネットワーク社会

知識・知恵知識・知恵

みんなで守って、安全・安心なネットワーク社会を！！みんなで守って、安全・安心なネットワーク社会を！！

企業企業 行政行政 社会社会

制度制度製品製品サービスサービス 技術技術 モラルモラルコンセンコンセンサスサス

CULTURE OF SECURITYCULTURE OF SECURITY