CIO補佐官等連絡会議情報セキュリティワーキンググループ（WG4）

2012年度活動報告

平成25年3月

1

目次

1. 活動の目的、方針、留意点

2. 情報セキュリティワーキング参加者

3. 活動実績

4. 主な活動結果報告

5. 今後の情報セキュリティWGの課題

6. 謝辞

2

活動の目的、方針、留意点

• 目的– 各府省庁でCIO補佐官が情報システムに係る情報セキュリティに関するアドバイスをす

るにあたって、必要な情報セキュリティやセキュリティ政策に関する情報、知識、理解を得ることを目的とする。

• 方針– CIO補佐官で共有すべき情報の収集

– CIO補佐官の関連するセキュリティ政策への意見交換

なお、情報セキュリティは、内閣官房情報セキュリティセンター（NISC）や独立行政法人情報処理推進機構（IPA）と連携し、活動することが重要であると考え、各組織にゲスト参加していただくこととした。

• 留意点（CIO補佐官と最高情報セキュリティアドバイザーの役割分担）– CIO補佐官等WGとしては、府省庁の情報システムのセキュリティ全体を課題とすること

から、

• 情報システムの設計・開発・調達における情報セキュリティ

• 情報システム技術に係る情報セキュリティ

を中心として議論していくべきであると考える。

なお、必要に応じて最高情報セキュリティアドバイザーで構成されるＣＩＳＯ補佐官等連絡会議とも、連携を行なう。 3

情報セキュリティワーキング参加者

2012年度情報セキュリティワーキングには、下

記の構成員、オブザーバー、ゲスト参加が参加しました。また、各テーマに応じてベンダー企業にもご参加いただきました。

• 構成員

– 内閣官房 三角CIO補佐官

– 内閣法制局 川合CIO補佐官

– 内閣府 谷口CIO補佐官、野村CIO補佐官（平成24年12月まで）、中川CIO補佐官

– 宮内庁 根本ＣＩＯ補佐官

– 公正取引委員会 三枝CIO補佐官

– 消費者庁 澤田ＣＩＯ補佐官

– 復興庁 伊藤CIO補佐官

– 法務省 大成CIO補佐官

– 外務省 窪田CIO補佐官

– 財務省 村田CIO補佐官

– 文部科学省 岩崎ＣＩＯ補佐官

– 経済産業省 谷口CIO補佐官、満塩ＣＩＯ補佐官、山本ＣＩＯ補佐官

– 国土交通省 浅野CIO補佐官

– 環境省 澤田CIO補佐官

– 防衛省 中村CIO補佐官

• オブザーバー

– 衆議院 若林CIO補佐官

– 参議院 渡辺CIO補佐官

– 国立国会図書館 中山CIO補佐官

• ゲスト参加

– 最高情報セキュリティアドバイザー

– 独立行政法人CIO補佐官等

– 内閣官房情報セキュリティセンター（NISC）– 独立行政法人情報処理推進機構（IPA）セキュリ

ティセンター

4

活動実績①

• 特別回5月22日– ＰＤＦのセキュリティについて

• 第1回5月30日– よりよい情報セキュリティ内部監査の

すすめ

• 第2回6月13日– 「ＢＹＯＤ」の導入における現状－導入

事例とセキュリティ＆利用用途について－（端末編）

• 第3回6月27日– 情報セキュリティ人材育成と民間の情

報セキュリティ資格制度について

• 第4回7月4日– 政府調達のためのデジタル複合機共

通セキュリティ要件について

• 第5回7月11日– クラウドセキュリティ監査とその活用

• 第6回7月25日– 「マルチ」なスマートデバイス利用用途

を踏まえたセキュリティのあるべき姿BYOD導入時におけるお客様の悩みと導入事例

• 第7回8月8日– セキュリティモデルから見るプラット

フォームの堅牢性

• 第8回8月22日– モバイルを取り巻く脅威とBYODを巡る

動きに学ぶ対応策

• 第9回9月5日– 緊急対策会議！ 国際ハッカー集団か

らの攻撃に備える！

• 第10回9月19日– ID (アイデンティティ) フェデレーションに

関する技術動向と今後の方向性

• 第11回10月3日– CCに基づくセキュリティ評価

5

活動実績②

• 第12回10月17日– １．BYOD実現に向けた適切なセキュリ

ティ管理２．スマートフォン＆タブレットの業務利用に関するセキュリティガイドライン

• 第13回10月31日– ”大企業の事例に学ぶ”スマートデバイ

ス業務利用のポイント

• 第14回11月14日– Windows 8におけるセキュリティ強化の

ポイント

• 第15回11月28日– 米国における特定標的型攻撃への対

処方法と人材育成のためのモジュラー型サイバー演習システムの事例研究

• 第16回12月12日– 遠隔操作ウィルスのような本格的なマ

ルウェアへの対策

• 第17回12月26日– BYOD要件検討サブWGの中間報告

• 第18回1月9日– 「企業等が安心して無線LANを導入・運

用するために」(案)• 第19回2月6日

– 国内外におけるIDフェデレーションの実情

• 第20回2月20日– 海外の政府システムの最新動向と標

的型攻撃への緊急対策

• 第21回3月6日– 特権ID管理を取り巻く現状

• 第22回3月27日– BYOD要件検討サブWG報告

6

主な活動結果報告①

• BYODに関する意見交換

– BYOD導入にあたってのセキュリティ要件の考え方• BYOD要件検討サブワーキンググループを設置し、BYOD導入にあたってのセキュリティ要件の考え方を取りまとめた。

• 概要は別紙を、全体資料は別冊「私物端末の業務利用におけるセキュリティ要件の考え方」を参照してください。

– BYODを実現するための技術関連等• BYODの導入事例に関する意見交換

• BYODの導入メリットとリスクについての意見交換

• BYODで利用するスマートデバイスのセキュリティに関する意見交換

7

主な活動結果報告②

• 情報セキュリティ政策等に関する意見交換– 情報セキュリティ監査、クラウドセキュリティ監査等について

– 政府調達とCC（コモンクライテリア）の関連性について– 総務省の「企業等が安心して無線LANを導入・運用するために」に関する意見交換

• 情報セキュリティの技術動向に関する意見交換– IDフェデレーションの技術動向と今後の方向性について– 特権ID管理の現状と今後の方向性について– サイバー演習のためのシステムについて– APT （Advanced Persistent Threat）攻撃や遠隔操作ウィルスによる攻撃への対応について

8

今後の情報セキュリティＷＧの課題

• 情報システムの設計・開発・調達・運用における情報セキュリティ情報システムの設計・開発・調達・運用における情報セキュリティを確保するために、技術基準等を具体的に整備する必要がある。技術基準等を整備する必要性があると考えられるものを以下に挙げる。

– BYOD導入にあたってのセキュリティ要件

– 無線LANのセキュリティ要件

– サイバー攻撃（例えば、標的型攻撃、遠隔操作ウィルス）に対する対策

– その他、政府機関の情報システムを導入するにあたって必要なセキュリティ対策基準

• 情報システム技術に係る情報セキュリティ– 新しいセキュリティ技術や新しい情報システムに関するセキュリティに関して引き続き検討する必要

がある。

• クラウド環境・仮想化環境に係る情報セキュリティ

• 標的型攻撃や遠隔操作ウィルス等に係る情報セキュリティ

• スマートフォン、タブレット等の情報セキュリティ

– BYOD導入にあたってのセキュリティ要件の考え方

• 今後、各組織で、BYOD導入を検討する場合には、BYOD要件検討SWGの「私物端末の業務利用におけるセキュリティ要件の考え方」に基づいて検討することを普及推進する。

• その他の情報セキュリティ技術動向ソーシャルエンジニアリングを含むセキュリティ攻撃は、年々、変化し続けており、それに対応する情報セキュリティ技術も変化し続けている。これらのセキュリティ攻撃への対応策や情報セキュリティ技術動向を把握し、検討する必要がある 9

謝辞

• ワーキンググループ、サブワーキンググループの活動に際し、民間企業、外部専門家、セミナー講師など多数の方々にご協力や情報提供を頂きましたことを深く感謝いたします。

10

11

別紙「私物端末の業務利用におけるセキュリティ要件の考え方」の概要

検討プロセス

組織タイプ判定チャートの整理

BYOD特有の脅威洗い出し

ユースケースの洗い出し

BYOD脅威の洗い出し

脅威と対策のマッピング

ユースケース毎の対策ベストプラクティス

技術的対策の詳細解説

完了

組織としてBYODの導入判断を行っているか、所用の規定類は整備されているか、等の観点で私物端末の利用に関する組織タイプの判別チャートを作成。組織タイプ（舵取り型・踏み出し型・なし崩し型・知らん振り型・忍び型）それぞれの特徴と、組織として行うべき対応について解説した。BYOD導入／禁止の組織としての判断と規定類の整備を求めている。

政府機関へのBYOD導入を想定した場合のユースケースを整理し、BYOD特有の脅威に対する各ユースケースの対策ベストプラクティスをまとめる手順で要件整理を行った。

業務情報の外部漏えいや業務システムへの不正アクセスによる停止や情報改ざん等、私物端末を業務利用する際に想定されるセキュリティリスクを整理し、それらリスクを顕在化させる脅威について洗い出しを行った。（脅威の例）・OS等の脆弱性をついた攻撃による不正プログラム感染・OSの改造による端末保護機能の低下・端末の紛失や盗難・信頼できないマーケット等から不正アプリを入手し利用・家族や知人による端末の利用・端末の誤操作や知識不足

BYOD要件検討SWG

12

ユースケースの整理

ユースケース毎の対策の整理と詳細解説の作成

まとめ

政府機関でのBYODを想定し、ベストプラクティスとして、以下のケース①~③のユースケースを整理した。ケース① 省庁アカウントメールとスケジュール情報の閲覧ケース② 外出先等でファイル作成や特定の事務処理を行うケース③ 業務用端末と同等のサービスを私物端末で利用する

また、府省庁アカウントメールをフリーメール等へ転送し自宅のPC等で受信する、従来の利用形態を潜在型ケースとして整理し、ユースケースと対比させた。

脅威/リスクの例 運用系の対策（利用者の対策）の例 技術系の対策（システム管理者の対策）の例

不正プログラム感染 不正プログラム感染防止対策の徹底OS更新・ウイルス対策ソフト・OS改造禁止 等

業務システム接続時の端末認証やセキュリティ設定確認処理を導入

不正アプリ利用 信頼できないマーケットからのアプリ入手禁止等 業務利用時のwebアクセスを業務システムのプロキシ経由とする

端末紛失・盗難 端末内の業務データを都度削除する 端末内に業務データを格納させないツール等を使用する仮想デスクトップ・MDMツール、セキュアブラウザ活用型BYODソリューション

端末内のデータ暗号化

外部媒体出力 業務情報の外部出力の禁止を徹底 業務利用時の外部出力機能やスクリーンショットをツール等で不可とする

信頼性の低い通信サービス

セキュリティの弱い公衆無線ANサービスを利用しない

SSLやVPN機能を利用し、通信経路のセキュリティを強化特定の(信頼できる)公衆無線LANのみ接続可能とする

脅威/リスクに対応した対策をユースケース毎に整理し、技術系対策を中心に解説を加えた。

• 私物端末の業務利用の検討にあたっては、• 私物端末の業務利用を黙認、放置せず、組織の現状を確認し、リスクを把握することが重要。闇雲な禁止は潜在型の発生を助長。

• BYODを認めるにあたっては、BYODの必要性を十分検討すること。

• BYODの対策の実施にあたっては、• 技術系の対策も利用規定も可能な限りシンプルに。

• 利用者の運用系の対策に依存してはいけない。技術系の対策を可能な限り併用し、総合的にリスク低減することが重要。

• ”端末には業務情報を残さない”ことをポイントとし、BYODの管理を実現するための各種ツールやソリューション等を選択すると良い。