情報セキュリティポリシ その２

情報資産の分類

１． 情報資産の洗い出し

～ JIS Q 27002:2006 に例示されている情報資産 ～









２． 情報資産の分類と格付け

～ 政府機関統一基準で推奨されている分類 ～














※ 要保護情報： 要機密情報（機密性2,3）、要保全情報（完全性2）、要安定情報（可用性2）のいずれかに該当する情報


３．情報管理台帳への記載

・ 情報資産の種類、資産名
・ 用途
・ 格付け（機密性、完全性、可用性）
・ 業務上の価値
・ 情報の管理責任者（情報オーナ）
・ 管理担当者
・ 利用者の範囲
・ 記録形体
・ 保存場所
・ 保存期間
・ 廃棄方法

※ 情報の管理責任者 ：情報資産価値の評価、格付け、取扱制限やアクセス権限の決定などに責任をもつ



リスク分析（リスクマネジメント）
分類された情報資産に対してのリスクを分析し、組織にとって最適な対処方法を検討する


情報セキュリティ対策基準の策定
基本方針の内容を受けて、具体的な管理策を記述する。
既存の管理策集や対策基準を参照し、それを雛型として自組織の実情に合わせて書き換える手法が一般的・

代表的な管理策集・雛型
・ JIS Q 27002:2006（ISO/IEC 17799：2005）
・ 政府機関の情報セキュリティ対策のための統一基準
・ 地方公共団体における情報セキュリティポリシに関するガイドライン
・ JNSA「情報セキュリティポリシ・サンプル 0.92a 版」


～政府機関統一基準～
第1部 総則
第2部 組織と体制の構築
　　　　2.1 導入（組織・体制の確立、役割の分離、違反と例外措置）
　　　　2.2 運用（情報セキュリティ対策の教育、障害等の対応）
　　　　2.3 評価（情報セキュリティ対策の自己点検、監査）
　　　　2.4 見直し
第3部 情報についての対策
　　　　3.1 情報の格付け
　　　　3.2 情報の取り扱い
第4部 情報セキュリティ要件の明確化に基づく対策
　　　　4.1 情報セキュリティについての機能
　　　　　　　（主体認証、アクセス制御、権限管理）
　　　　4.2 情報セキュリティについての脅威
　　　　　　　（セキュリティホール対策、不正プログラム対策、サービス不能攻撃等）
　　　　4.3 情報セキュリティ要件
　　　　　　　（情報システムライフサイクルにおけるセキュリティ要件）
第5部 情報システムの構成要素についての対策
　　　　5.1 施設と環境（安全区域への立ち入りや訪問者の管理）
　　　　5.2 電子計算機（共通対策、端末、サーバ装置）
　　　　5.3 アプリケーションソフトウェア（共通対策、電子メール、ウェブ）
第6部 個別事項についての対策
　　　　6.1 調達・開発にかかわる情報セキュリティ対策（機器の購入、外部委託、開発）
　　　　6.2 個別事項
　　　　6.3 その他（情報セキュリティ水準の低下を招く行為の防止、事業継続計画）



～地方公共団体における情報セキュリティポリシに関するガイドライン～
第3 章 情報セキュリティ
　3.1. 対象範囲
　3.2. 組織体制
　3.3. 情報資産の分類と管理方法
　3.4. 物理的セキュリティ
　　3.4.1 サーバ等の管理
　　3.4.2 管理区域（情報システム室等）の管理
　　3.4.3 通信回線及び通信回線装置の管理
　　3.4.4 職員等のパソコン等の管理
　3.5. 人的セキュリティ
　　3.5.1 職員等の遵守事項
　　3.5.2 研修・訓練
　　3.5.3 セキュリティ事件・事故、欠陥等の報告
　　3.5.4 ID 及びパスワード等の管理
　3.6. 技術的セキュリティ
　　3.6.1 コンピュータ及びネットワークの管理
　　3.6.2 アクセス制御
　　3.6.3 システム開発、導入、保守等
　　3.6.4 不正プログラム対策
　　3.6.5 不正アクセス対策
　　3.6.6 セキュリティ情報の収集
　3.7. 運用
　　3.7.1 情報システムの監視
　　3.7.2 情報セキュリティポリシの遵守状況の確認
　　3.7.3 侵害時の対応
　　3.7.4 外部委託
　　3.7.5 例外措置
　　3.7.6 法令遵守
　　3.7.7 懲戒処分等
　3.8. 評価・見直し
　　3.8.1 監査
　　3.8.2 自己点検
　　3.8.3 情報セキュリティポリシの見直し














対策基準の明文化と周知徹底

１． 告 知
情報セキュリティ対策基準を策定し、承認を受けたら、運用開始を全組織に告知する。これをもって、
除法セキュリティポリシの本格的な運用が開始される


２． 教 育
目 的 ：
情報セキュリティポリシや関連規定の周知徹底
モチベーションを高めるために、情報セキュリティにおける脅威と対策を教育する

受講者 ：
対象は全従業員（役員、派遣、アルバイト、委託業務担当者など）

内 容 ：
情報セキュリティポリシや関連規定の周知徹底、脅威と対策に関する基礎知識、インシデント発生時の対応など

管 理 ：
教育計画を定め、教育が漏れなく行われる体制を整備して、受講状況を管理する



チェック！
※ 情報セキュリティポリシ策定にあたっては、「業界の標準的なセキュリティ施策の情報収集をする」「セキュ
リティ対策に関する最新動向を情報収集する」ことが重要である。

※ 情報セキュリティポリシにおいて、具体的な実行方法が示されていないと、実際の現場における解釈がこと
なり、本来のセキュリティポリシと合致しない対策が行われる恐れがある