5分でできる・情報セキュリティ自社診断

　IPAでは、情報セキュリティに関する様々な情報や教材を提供しています。

　今回は、
　　「中小企業の情報セキュリティ対策ガイドライン」
の中から、
　「5分でできる・情報セキュリティ自社診断」
を紹介します。

1.中小企業の情報セキュリティ対策ガイドライン

1.1 情報処理推進機構（IPA）とは

　情報処理推進機構（IPA）

　正式名称は「独立行政法人 情報処理推進機構」。

　日本の政府関連機関で、ITやサイバーセキュリティ分野の発展・安全確保を目的としています。

　主な活動は、
　・情報処理技術者試験の実施（例：基本情報技術者、応用情報技術者など）
　・サイバーセキュリティの啓発・支援
　・IT人材育成
　・脆弱性情報の公開（JVN）

1.2 中小企業の情報セキュリティ対策ガイドライン

　「中小企業の情報セキュリティ対策ガイドライン」は、情報セキュリティ対策に取り組む際の、
　　(1)経営者が認識し実施すべき指針
　　(2)社内において対策を実践する際の手順や手法
をまとめたものです。
　経営者編と実践編から構成されており、個人事業主、小規模事業者を含む中小企業の利用を想定しています。

　今回は、その中から　「5分でできる・情報セキュリティ自社診断」を紹介します。

2. 情報セキュリティ自社診断

　「5分でできる・情報セキュリティ自社診断」。

　※オリジナルのファイルから基本的にはそのまま転記しています。
　　一部は省略している部分もありますので、必要な場合「原文を参照」してください。

2.1 使用方法

①診断編の25問の質問に回答します。
　各質問の回答結果に対して以下のように点数を付け、その合計を計算します。

②回答結果をもと対策を検討します。

2.2 採点結果に基づく対策

・100点満点だった方
　入門レベルのセキュリティ対策は達成です。ステップアップを検討しましょう。
　　→「中小企業の情報セキュリティ対策ガイドライン」を参照 して、 情報セキュリティ対策の強化に取り組みましょう。

・70～90点だった方
　ほぼ、出来ていますが、部分的に対策が不十分な点があるようです。
　　→小さな隙間から情報が漏えいすることもあります。 100点満点を目指しつつ、「中小企業の情報セキュリティ対策ガイドライ ン」を参照して対策の強化に取り組みましょう。

・50～69点だった方
　対策が行き届いていないところが目立ちます。
　　→点数が低かった項目について「解説編」を参考に対策を検討し、「情報セキ ュ リティハンドブック」を活用して周知しましょう。

・49点以下だった方
　いつ情報流出などの事故が起きても不思議ではありません。
　　→「解説編」や「映像で知る情報セキュリティ」を利用して、分からなかった部分や点数が低かった項目を確認し、対策を実施しましょう。

2.3 診断編（個別の質問）

　Part1　基本的対策

01.パソコンやスマホなど情報機器の OS やソフトウェアは常に最新の状態にしていますか？

02.パソコンやスマホなどにはウイルス対策ソフトを導入し、ウイルス定義ファイル（※1） は最新の状態にしていますか？
　※1 コンピュータウイルスを検出するためのデータベースファイル「パターンファイル」とも呼ばれます。

03.パスワードは破られにくい「長く」「複雑な」パスワードを設定していますか？

04.重要情報（※2 ）に対する適切なアクセス制限を行っていますか？
　※2 重要情報とは営業秘密など事業に必要で組織にとって価値のある情報や顧客や、従業員の個人情報など管理責任を伴う情報のことです。

05.新たな脅威や攻撃の手口を知り
対策を社内共有する仕組みはできていますか？

　Part2　従業員としての対策

06.電子メールの添付ファイルや本文中の URL リンクを介したウイルス感染に気をつけていますか？

07.電子メールや FAX の宛先の送信ミスを防ぐ取り組みを実施していますか？

08.重要情報は電子メール本文に書くのではなく、添付するファイルに書いてパスワードなどで保護していますか？

09.無線 LAN を安全に使うために適切な暗号化方式を設定するなどの対策をしていますか？

10.インターネットを介したウイルス感染やSNSへの書き込みなどのトラブルへの対策をしていますか？

11.パソコンやサーバーのウイルス感染、故障や誤操作による重要情報の消失に備えてバックアップを取得していますか？

12.紛失や盗難を防止するため、重要情報が記載された書類や電子媒体は机上に放置せず、書庫などに安全に保管していますか？

13.重要情報が記載された書類や電子媒体を持ち出す時は、盗難や紛失の対策をしていますか？

14.離席時にパソコン画面の覗き見や勝手な操作ができないようにしていますか？

15.関係者以外の事務所への立ち入りを制限していますか？

16.退社時にノートパソコンや備品を施錠保管するなど盗難防止対策をしていますか？

17.事務所が無人になる時の施錠忘れ対策を実施していますか？

18.重要情報が記載された書類や重要なデータが保存された媒体を破棄する時は、復元できないようにしていますか？

　Part3　組織としての対策

19.従業員に守秘義務を理解してもらい、業務上知り得た情報を外部に漏らさないなどのルールを守らせていますか？

20.従業員にセキュリティに関する教育や注意喚起を行なっていますか？

21.個人所有の情報機器を業務で利用する場合のセキュリティ対策を明確にしていますか？

22.重要情報の授受を伴う取引先との契約書には、秘密保持条項を規定していますか？

23.クラウドサービスやウェブサイトの運用等で利用する外部サービスは、安全・信頼性を把握して選定していますか？

24.セキュリティ事故が発生した場合に備え、緊急時の体制整備や対応手順を作成するなど準備をしていますか？

25.情報セキュリティ対策（上記 1 ～ 24 など）をルール化し、従業員に明示していますか？

3.解説編

Part1　基本的対策

　No.1～5は企業の規模や形態を問わず必須の項目です。いずれも一度やればよいものではなく、継続的な実施が欠かせないため、運用ルールとして社内に定着させる必要があります。

診断編 NO.1　脆弱性対策
　OSやソフトウェアは常に最新の状態にする
　OSやソフトウェアを古いまま放置していると、セキュリティ上の問題点が解決されず、それを悪用したウイルスに感染してしまう危険性があります。お使いのOSやソフトウェアには、修正プログラムを適用する、または最新版を利用するようにしましょう。

診断編 NO.2　ウイルス対策
　ウイルス対策ソフトを導入し適切に利用する
　ID・パスワードを盗んだり、遠隔操作を行ったり、ファイルを勝手に暗号化するウイルスが増えています。ウイルス対策ソフトを導入し、ウイルス定義ファイル（パターンファイル）は常に最新の状態になるようにしましょう。

診断編 NO.3　パスワード管理
　強固なパスワードを使用する
　パスワードが推測や解析されたり、ウェブサービスから流出した ID・パスワードが悪用されたりすることで、不正にログインされる被害が増えています。パスワードは「長く」、「複雑に」、「使い回さない」ようにして強化しましょう。

診断編 NO.4　機器の設定
　共有設定を見直す
　データ保管などのウェブサービスやネットワーク接続した複合機の設定を間違ったために、無関係な人に情報を覗き見られるトラブルが増えています。無関係な人が、ウェブサービスや機器を使うことができるような設定になっていないことを確認しましょう。

診断編 NO.5　情報収集
　脅威や攻撃の手口を知り、対策に活かす
　取引先や関係者と偽ってウイルス付のメールを送ってきたり、正規のウェブサイトに似せた偽サイトを立ち上げて ID・パスワードを盗もうとする巧妙な手口が増えています。脅威や攻撃の手口を知って対策をとりましょう。

Part2　従業員としての対策

　No.6～18は従業員として注意すべき項目です。重要情報を日々扱っている と慣れによる人為的ミスが発生しやすくなります。また、脅威が日々変 化しているので、油断しないように注意する必要があります。

診断編 NO.6　電子メールのルール
　身に覚えのない電子メールは疑ってみる
　電子メールに添付されたファイルを開いたり、電子メール本文中に記載されたＵＲＬリンクをクリックしたりする ことでウイルス感染する事故が続いています。身に覚えのない電子メールの添付ファイルやＵＲＬリンクへのアクセスに気をつけましょう。

診断編 NO.7　電子メールのルール
　宛先の送信ミスを防ぐ
　電 子メールやFA Xの送り先を間 違えて、他 人 に情 報 が漏えいしてしまう事故が続いています。電子メールやFAXは 送り先 を十 分 確 認するようにしましょう。また、 電子メールアドレスを誤って他人に伝えてしまうことも情報漏えいになります。複数の送り先に送信する際には、送り先の指定方法を十分に確認するようにしましょう。

診断編 NO.8　電子メールのルール
　重要情報を送信する時は保護する
　重要情報を電子メールで送る場合は、電子メールの本文に書き込まず、文書ファイルなどに記載してパスワードで保護した後、メールに添付します。パスワードはその電子メールには書き込まず、電子メール以外の手段で通知することが必要です。

診断編 NO.9　無線LANのルール
　無線LANの盗聴や無断使用を防ぐ
　適切なセキュリティ設定がされていない無線LANは、 通信内容を読み取られたり、不正に接続されて犯罪行為に悪用されたりする被害を受ける可能性があります。無線LANの盗聴対策や無断使用を防止するようにセキュリティ設定をしましょう。

診断編 NO.10　インターネット利用のルール
　インターネットを介したトラブルを防ぐ
　悪意のあるウェブサイトやセキュリティ上の問題があるウェブサイトを閲覧することでウイルス感染する可能性があります。また、SNSや掲示板へ悪ふざけした画像を投稿したり秘密情報を勝手に掲載して会社に被害を及ぼすことがあります。業務でのインターネット利用を制限する仕組みやルールにより、被害を防止することが必要です。

診断編 NO.11　バックアップのルール
　バックアップを励行する
　故障や誤操作、ウイルス感染などにより、パソコンやサーバーの中に保存したデータが消えてしまうことがあります。 このような不測の事態に備えて、バックアップを取得し ておきましょう。

診断編 NO.12　保管のルール
　重要情報の放置を禁止する
　机の上に放置された情報は、誰かに持ち去られたり、 盗み見られたりする危険にさらされています。関係者以外が見たり、触れたりすることができないように、重要情報は放置せず、管理する必要があります。保管場所を定め、 作業に必要な場合のみ持ち出し、終了後に戻すことを励行するようにしましょう。

診断編 NO.13　持ち出しのルール
　重要情報は安全な方法で持ち出す
　重要情報を社外へ持ち出す場合、思わぬ盗難にあったり、うっかり紛失したりすることがあります。ノートパソコンやスマートフォンの利用にあたってパスワードの入力を求めるように設 定したり、データファイルを暗 号 化するなどの対策を事前に行うことで、盗難や紛失の際に情報を簡単に読み取られることができないようにしましょう。

診断編 NO.14　事務所の安全管理
　機器を勝手に操作させない
　パソコンを使用した作業の途中でそのまま席を離れたり 、パスワードなしでログインできるパソコンなど、誰でも操作できる状態のパソコンは、不正に使用される可能性があります。不正使用からパソコンを守るための対策を行いましょう。

診断編 NO.15　事務所の安全管理
　見知らぬ人には声をかける
　関係者以外の事務所への立ち入りを制限しなければ侵入されてしまい、情報を盗み取られる危険性があります。特にサーバーや書庫・金庫など、重要な情報の保管場所の近くには無断で立ち入りができないようにしましょう。

診断編 NO.16　事務所の安全管理
　機器・備品の盗難防止対策を行う
　ノートパソコンやタブレット端末、USB メモリなどは手軽に持ち運べる便利さがある反面、盗難や紛失の危険性も高くなっています。利 用しない場 合 は、施 錠 可 能 な引き出し等に保管するなどの対策を講じましょう。

診断編 NO.17　事務所の安全管理
　オフィスの戸締まりに気を配る
　最終退出者と退出時間の記録を残すことは、最終退出者による施錠の責任意識を向上させることにも役立ちます。施錠と退出記録の管理をしましょう。

診断編 NO.18　情報の安全な処分
　重要情報は復元できないように消去する
　重要情報が記載された書類をゴミ箱にそのまま捨てると、関係者以外の目に触れてしまい、重大な漏えい事故を引き起こすことがあります。また、電子機器・電子媒体に保存された情報は、ファイル削除の操作をしても復元される恐れがあります。重要情報を廃棄する場合は、シュレッダーや消去用ソフトウェアを利用するなど、媒体ごとに適切な処分をしましょう。

Part3　組織としての対策

　No.19～25は組織としての方針を定めた上で､実施すべき対策です｡情報セキュリティのルールは明文化して社内で共有することにより､従業員の意識を高めるようにしましょう。

診断編 NO.19　守秘義務の周知
　従業員に守秘義務について理解してもらう
　従業員の守秘義務や機密保持について就業規則などで定められていることもありますが、どのような情報が秘密なのか、何をしたらいけないのかなどを、従業員に明確に説明しましょう。

診断編 NO.20　従業員教育
　従業員に情報セキュリティ教育を行う
　日々の仕事では常に様々な情報を取り扱いますが、日常的であるがゆえに管理の意識がつい疎かになりがちです。従業員に対し繰り返し意識付けを行うことが有効です。

診断編 NO.21　私物機器の利用
　個人所有端末の業務での利用可否を決める
　個人所有のパソコンやスマートフォンを業務で使用する場合、管理が行き届かず、セキュリティの確保が難しくなります。個人所有端末の業務利用の可否や業務利用のルールを定めましょう。

診断編 NO.22　取引先管理
　取引先に秘密保持を要請する
　取引先が情報の内容から判断して「当然秘密にしてくれるだろう」という一方的な期待は禁物です。取引先に機密情報を提供する場合には、それを機密として取り扱ってもらうことを明確にすることが必要です。

診断編 NO.23　外部サービスの利用
　信頼できる外部サービスを使う
　クラウドサービスなど外部サービスをコスト優先で選んでしまうと障害等でサービスが利用できなくなっても、補償を受けられない場合もあります。外部サービスを利用する場合は、性能や信頼性、補償内容など十分に吟味しましょう。

診断編 NO.24　事故への備え
　事故発生に備えて事前に準備する
　実際に事故が起きてからだと、冷静に対応する余裕がなくなってしまいます。また、対応が後手に回り、それが原因でさらに深刻な事態になりがちです。報道されるセキュリティ事故などを参考に「もし、同じことが自分の会社で起きたら・・・」を想定して、誰がいつ何をするのかをまとめておきましょう。

診断編 NO.25　ルールの整備
　情報セキュリティ対策をルール化する
　経営者が情報セキュリティ対策に関する方針を決めていたとしても、それを具体的なルールとして明文化していなければ、従業員は都度経営者の指示を仰がなければなりません。従業員が自らルールに従って行動できるように、 「企業としてのルール」をまとめて明文化し、従業員がいつでも見られるようにしておく必要があります。

【関連記事】

書籍の紹介

・情報セキュリティ読本 六訂版 [プリント・レプリカ] Kindle版
　独立行政法人情報処理推進機構 (著)
　実教出版 (2024/4/26)
　これ１冊で情報セキュリティの概要がわかる！●実例→基礎→個人向け→組織向け→技術→法規と制度→IPAの活動という展開により、初心者にも分かりやすいよう工夫しています。●教育機関での教材としてはもちろん、企業の新入社員や管理職の研修用としてもお使いいただけます。●六訂版では、テレワークのセキュリティやゼロトラストなど、いまの時代にあわせた新しい内容も追加しました。
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）

*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-

・社会人1年生の情報セキュリティ超入門 Kindle版
　ハッカーかず (著), 一般社団法人 あしたの仕事力研究所 (著)
　技術評論社 (2025/3/4)
　「サイバー攻撃でシステムがダウン！ 利用者は大混乱！」
　「個人情報が流出！ 氏名や住所、クレカ情報まで…」
　情報漏洩やランサムウェアなどのニュースが絶えない今、あなたの普段の行動は本当に安全ですか？
　実はパスワードの正しい管理方法、安全なファイルの共有方法など、知っているだけで被害のリスクを大きく減らせます。
　本書は、難しい専門用語をなるべく使わず、図やイラストを用いて解説しているので、事前知識がなくてもわかります。
（ ※ 書籍の解説等は原則としてリンク先（Amazon）における解説をベースに記載しています。詳細内容はリンク先を参照願います。）

*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-*-