取引先から「セキュリティ対策を」と
求められたら

1-2-1セキュリティ推進活動部門

セキュリティの担当者（部署・役員）を決め、役割と権限を書いておく。

ヒント：小さな会社なら「社長が責任者、〇〇さんが担当」と1枚に書けば十分です。

1-2-3守秘義務のルール

社員に守秘義務のルールを決めて守らせる（誓約書・就業規則など）。

1-3-1セキュリティ対応方針の策定

会社としてのセキュリティの方針を決めて、社内に知らせる。

ヒント：IPA「中小企業の情報セキュリティ対策ガイドライン」にある基本方針のひな形が使えます。

2-1-1取引先とのビジネス又はシステム上の関係

どの取引先と、どんな情報やシステムでつながっているかを一覧にする。

2-1-2機密情報の取扱い

機密情報をやり取りする相手と、扱い方（秘密保持契約など）を決めておく。

2-1-4セキュリティインシデント発生時の役割・責任

事故が起きたとき、取引先とどちらが何をするかを決めておく。

3-1-1情報機器、OS及びソフトウェアに関する情報の把握診断で裏付け

パソコン・サーバーの台数、OS、入っているソフトを把握する仕組みを持つ。

3-1-2ネットワークに関する情報の把握診断で裏付け

社内のネットワークと機器（ルーターなど）、インターネットに出ている入口を把握する。

3-1-3外部情報サービスの管理

機密情報を置いているクラウドサービス（メール・ファイル共有など）を一覧にして管理する。

3-1-4機密区分に応じた情報の管理

情報を「社外秘」「公開」などに分け、分けた区分ごとの扱い方を決める。

4-1-1ユーザIDの管理手続

社員のアカウントを作る・変える・消す手順を決める（退職者のアカウントを残さない）。

4-1-2管理者IDの管理手続診断で裏付け

管理者アカウントを作る・変える・消す手順を決める。

4-1-3認証の強度・実装方法の決定

大事な情報を置いたクラウドには、多要素認証（パスワード＋スマホなど）を必ず使う。

4-1-4アカウントロック制御

パソコンやスマホに画面ロックをかける。

4-1-5パスワード設定ルール診断で裏付け

パスワードの長さなどのルールを決めて知らせる。

4-1-6パスワード管理ルール

パスワードの使い回し禁止・保管方法などのルールを決めて知らせる。

4-1-7アクセス権の管理ルール

誰がどの情報を見られるかのルールを決める。

4-2-2セキュリティインシデント発生時の教育・訓練

事故が起きたときの動き方を、社員に教える・練習する。

4-3-4適切なバックアップ

大事なデータのバックアップを取り、戻せることを確かめる。

4-4-1情報機器、OS及びソフトウェアの安全な構成診断で裏付け

許可していないソフトを入れさせない・不要な設定を切るなど、安全な設定を保つ。

4-4-4セキュリティパッチ・アップデートの手続診断で裏付け

サポート切れのものを使わない。重大な脆弱性の修正は、出てから14日以内に当てる。

4-4-5マルウェア感染からの保護診断で裏付け

すべてのパソコン・サーバーにウイルス対策ソフトを入れ、定義を新しく保つ。

4-5-1ネットワーク境界防護診断で裏付け

ファイアウォールで外からの不要な通信を止め、ルーターの初期パスワードを変える。管理画面を外に出さない。

5-1-1ネットワーク接続・データの監視

不正な通信をリアルタイムで見つけて止める仕組み（UTM など）を入れ、異常を知らせる。

6-1-1インシデント対応手順

事故が起きたときの手順と連絡先・体制を決めておく。

7-1-1事業継続要件に沿った復旧準備

止まると困るシステムを、どれぐらいで戻すか決め、戻す準備をしておく。