中小企業の情報セキュリティ対策ガイドラインとは？

中小企業の情報セキュリティ対策ガイドラインの意味

IPAが、専任のセキュリティ担当者を置きにくい中小企業向けに、取り組みやすい対策の進め方をまとめたガイドライン。自己宣言制度「SECURITY ACTION」の元になっている。

中小企業の情報セキュリティ対策ガイドラインの具体例

従業員数十名の会社が、専門知識のある担当者がいなくても実施できる対策（パスワードの適切な管理、ウイルス対策ソフトの導入など）の手順として本ガイドラインを参照する。

中小企業の情報セキュリティ対策ガイドラインは試験でどう引っ掛けられる？

策定したのはIPAで、経済産業省のサイバーセキュリティ経営ガイドラインとは別物。あちらは経営者向けに3原則と重要10項目を示すもの、こちらは中小企業が実務で取り組む手順を示すもの。またガイドラインであって法令ではないため、遵守義務や罰則はない。

中小企業の情報セキュリティ対策ガイドラインと関連する用語

• SECURITY ACTION
• サイバーセキュリティ経営ガイドライン

中小企業の情報セキュリティ対策ガイドラインが出た過去問

• 安全・安心なIT社会を実現するために創設された制度であり，IPA“中小企業の情報セキュリティ対策ガイドライン”に沿った情報セキュリティ対策に取り組むことを中小企…

  正解：SECURITY ACTION

  要点：SECURITY ACTIONは中小企業の対策取組みを自己宣言する制度

  SECURITY ACTIONは、中小企業が情報セキュリティ対策に取り組むことを自ら宣言する制度で、IPAが運営している。第三者による審査を受ける認証制度ではなく自己宣言である点が特徴で、取組み段階に応じて一つ星・二つ星のロゴを使用できる。他の選択肢は第三者認証制度や脆弱性情報の提供サービスであり、自己宣言の枠組みではない。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問4（IPA）

• IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”に記載されている，基本方針，対策基準，実施手順から成る組織の情報セキュリティポリシに関する記述…

  正解：組織の規模が小さい場合は，対策基準と実施手順を併せて1階層とし，基本方針を含めて2階層の文書構造として策定してもよい。

  要点：小規模組織はポリシを2階層に簡略化してもよい

  情報セキュリティポリシは基本方針・対策基準・実施手順の3階層で構成するのが基本だが、組織の規模や実態に合わせて階層を統合してもよい。中小企業では対策基準と実施手順を一体化し、基本方針と併せて2階層にすることが現実的であり、ガイドラインでも認められている。策定順序は経営者が定める基本方針が先で、そこから対策基準、実施手順へと具体化していく。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問9（IPA）

• 情報セキュリティ管理を推進する取組みa～dのうち，IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”において，経営者がリーダシップを発揮し自ら行…

  正解：b, c, d

  要点：経営者の役割は方針策定・見直し・脅威動向の把握

  ガイドラインでは、経営者自らが行うべき取組みとして、方針の明示（c）、対策の定期的な見直し（b）、新たな脅威に関する最新動向の収集（d）が挙げられている。いずれも組織の方向付けと資源配分に関わる判断であり、経営者のリーダシップが不可欠だからである。一方、監査計画の立案（a）は実務担当者や監査人が行う作業であり、経営者が自ら行うべき取組みには含まれない。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）

• IPA“中小企業の情報セキュリティ対策ガイドライン（第2.1版）”を参考に，次の表に基づいて，情報資産の機密性を評価した。機密性が評価値2とされた情報資産とその…

  正解：主力製品の設計図（電子データ）／不正アクセスによって外部に流出すると，技術やデザインによる製品の競争優位性が失われて，製品の売上が減少する。

  要点：機密性は漏えい時の影響で評価し、改ざんや停止と区別する

  機密性の評価なので、情報が漏えいした場合の影響で判断する。設計図が外部に流出すると技術やデザインの優位性が失われ売上が減るという事例は、自社への深刻な影響があるため評価値2に当たる。可用性の話や完全性の話、漏えいしても影響が小さい話は、機密性の評価値2の根拠にならない。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問6（IPA）

• 組織での情報資産管理台帳の記入方法のうち、IPA "中小企業の情報セキュリティ対策ガイドライン（第2.1版）"に照らして、適切なものはどれか。

  正解：利用しているクラウドサービスに保存している情報資産を含めて、台帳に記入する。

  要点：クラウド上のデータも含め情報資産は漏れなく台帳に記入する

  情報資産管理台帳は、守るべき情報を漏れなく把握するために作るものなので、保管場所が自社内かクラウドかを問わず対象に含める。クラウドサービス上のデータは物理的に手元になくても組織の情報資産であり、記入対象から外すと管理の空白が生まれる。重要度が判断しにくい、媒体が複数ある、といった理由で記入を省くのも誤りである。

  出典：令和1年度 春期 情報セキュリティマネジメント試験 午前 問9（IPA）