上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

Information Systems and Controls

3. Security and Confidentiality

Objectives ここではサイバー攻撃について、その種類や手法、リス
クについて学習する。次にサイバー攻撃対策として、組
織全体のセキュリティポリシーの設定や、脅威に対抗す
る予防的統制、発見的統制、是正的統制にはどのような
技術があるかを学ぶ。また情報セキュリティの現状を評
価 す る セ キ ュ リ テ ィ テ ス ト 、 組 織 や service organization が 守
らなければならないプライバシーと機密性、セキュリ
ティインシデント発生時の対応計画などについても学習
する。

Key Topics ISC

1. Threats and Attacks （ 脅 威 と 攻 撃 ）

2. Mitigation of Threats and Attacks （ 脅 威 と 攻 撃 の 緩 和 ）
3. Security Testing （ セ キ ュ リ テ ィ テ ス ト ）
4. Confidentiality and Privacy （ 機 密 性 と プ ラ イ バ シ ー ）
5. Incident Response （ イ ン シ デ ン ト レ ス ポ ン ス ）

Information Systems and Controls 3-1

11
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

1. Threats and Attacks （ 脅 威 と 攻 撃 ）

(1)Cybersecurity Risk Management Overview

サ イ バ ー セ キ ュ リ テ ィ と は 、 悪 意 あ る 行 為 者 (bad actors) の 攻 撃 に よ
るビジネスへの影響を軽減するため、さまざまなテクノロジー、内部統制
プ ロ セ ス 、 ベ ス ト プ ラ ク テ ィ ス を 導 入 し 、 組 織 の IT イ ン フ ラ と 重 要 な デ ー
タを保護することである。サイバーセキュリティプログラムの目標は、機
密 性 (confidentiality) 、 デ ー タ の 完 全 性 (data integrity) 、 可 用 性
(availability) を 確 保 ・ 強 化 す る こ と に よ り 、 サ イ バ ー セ キ ュ リ テ ィ リ ス ク を
管理することである。
サイバー攻撃を受けると、組織は業務を中断せざるを得ず、顧客やベン
ダーなど外部組織との業務を再開するために、金銭的／非金銭的な損失を
被る可能性がある。このような攻撃は、個人と組織の両方にとって脅威と
な る 。 IT ガ バ ナ ン ス を 担 う 上 級 管 理 職 や 関 係 者 に と っ て 、 デ ー タ の 漏 え い
(breaches of data) 、 盗 難 (theft) 、 サ ー ビ ス の 中 断 (service interruptions) 、
法 規 制 の 不 遵 守 (regulatory noncompliance) は 、 セ キ ュ リ テ ィ 上 の 最 大 の 懸
念である。
・ Data Breaches （ デ ー タ 漏 え い ）
データ漏洩は情報が漏洩し、所有者の許可なく利用されることで発生
する。データ漏洩の原因となる攻撃の例としては、ランサムウェア
(ransomware)、 フ ィ ッ シ ン グ (phishing) 、 マ ル ウ ェ ア (malware) 、 パ ス
ワードの漏洩 (compromised passwords) な ど が あ る 。

・ Service Disruptions（ サ ー ビ ス の 中 断 ）
サービス中断とはシステムやアプリケーションが許容できないくらい
長く操作不能になる、計画外の事象を指す。サービス中断の原因の例
と し て は 、 マ ル ウ ェ ア 、 分 散 型 サ ー ビ ス 拒 否 （ DDoS ） 攻 撃 、 SQL イ
1
ンジェクション (SQL injections) 、パスワード攻撃などがある。

・ Compliance Risk （ コ ン プ ラ イ ア ン ス リ ス ク ）
規制当局は組織にサイバーセキュリティ規制の遵守を求めることがで
きる。組織がこれらの規制を遵守しない場合、罰金や金銭的な処罰を
受ける可能性がある。コンプライアンスリスクに関わる規制・基準の
例 と し て は 、 HIPPA 、 GDPR 、 PCI-DSS 、 ISO/IEC 27001 な ど が あ る 。

このような脅威と戦うために、組織はサイバーセキュリティのリスクを
軽減するプログラムを開発し、絶えず変化するテクノロジーの状況に対応
した革新的なセキュリティ対策を開発していく必要がある。

1
データベースへ不正にアクセスし、SQL コマンドを悪用して情報の窃取や改ざん、削除する攻撃手
法

3-222 Information Systems and Controls

上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

Information Systems and Controls 3-3

33
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

(2)Cyberattacks

サイバー攻撃とは、コンピューターの情報システム、インフラ、コン
ピューターネットワーク、または個人のコンピューター機器を標的とし、
情報システムのリソースや情報そのものを収集 (collect) 、 妨 害
(disrupt) 、 拒 否 (deny) 、 劣 化 (degrade) 、 破 壊 (destroy) し よ う と す る
あ ら ゆ る 種 類 の 悪 意 の あ る 行 為 (malicious activity) を 指 す 。
このような攻撃の影響は組織や顧客、ベンダー、パートナー組織に及ぶ
可 能 性 が あ る 。 攻 撃 の 実 行 方 法 は 、 本 節 で 学 習 す る network-based
attacks 、 host-based attacks 、 social engineering attacks 、 application-based
attacks 、 physical attacks（ 物 理 的 攻 撃 ） 、 supply chain attacks の い ず れ か に 分
類することができる。

Types of Cyberattacks

Network-based Application- Host-based Social Physical supply Chain

Attacks based Attacks Attacks Engineering Attacks Attacks
Attacks

① Types of Threat Agents

脅 威 エ ー ジ ェ ン ト (threat agent) と は 、 機 密 情 報 や シ ス テ ム の 窃 取
(theft) 、 操 作 (manipulation) 、 支 配 (control) を 通 じ て デ ー タ セ キ ュ リ
ティに悪影響を及ぼす可能性のある内部／外部の攻撃者のことである。
脅威エージェントには通常、金銭的利益やデータ破壊など、特定の攻
撃目的があり、いくつかのタイプがある。ここではそれぞれの違いを理
解しておきたい。

 Attacker, Threat Actor, or Hacker

こ れ ら は hacking rings や Advanced Persistent Threat （ APT ： 持 続
的標的型攻撃）として知られる個人／集団で、人や組織を標的に、
システムやネットワーク、データへのアクセスを得ようとする。

3-444 Information Systems and Controls

上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

このタイプに該当する攻撃者は幅広く、資産の窃盗、企業の不安
定 化 (destabilizing businesses) 、 政 府 へ の ス パ イ 活 動 、 情 報 の 流 布
(disseminating information) 、 金 銭 的 利 益 の 獲 得 な ど 、 目 的 も 多 岐 に
わたる。

Information Systems and Controls 3-5

55
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Adversary （ 敵 対 者 ）
標的となる組織と利害が相反する立場の脅威エージェントをさす。
これらの者には購買の妨害 (intercept) 、 デ ー タ の 窃 取 、 イ ン ス
ト ー ル 前 の ハ ー ド ウ ェ ア の 改 ざ ん (tampering) 、 ソ ー シ ャ ル エ ン
ジニアリング攻撃など、組織のサイバーリソースに悪意ある行動
を行う動機がある。

 Government-sponsored/State-sponsored Actors
この脅威エージェントは国家から資金提供や指令を受け、国家の
ス パ イ 活 動 と し て 標 的 の 知 的 財 産 (intellectual property) や機密情
報 、 資 金 を 窃 取 、 流 出 (exfiltration) さ せ る 。

 Hacktivists （ ハ ク テ ィ ビ ス ト ）
特 定 の 社 会 的 大 義 (social causes) や 政 治 的 主 張 を 喧 伝 す る た め に
活動するハッカー集団をさす。病院や教会、その他の利他的な目
的を持つ組織など、特定のターゲットには近づかないことで、独
自の道徳的な根拠に基づいて活動するハッカー集団も存在する。

 Insiders
インサイダーとは悪意ある行動を起こすようになった従業員、ま
たは悪意ある目的で意図的に組織に潜入した従業員をさす。この
ような人物は企業のセーフガード内で働くことができるため、あ
らゆる組織にとって重大な内部脅威となる。

 External Threats
サイバー攻撃の標的となる組織／個人の外部から発生する脅威。

3-666 Information Systems and Controls

上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

② Types of Cyberattacks

ここではサイバー攻撃の種類について、それぞれの特徴を知っておき
たい。

②-1 Network-based Attacks

これらの攻撃は不正アクセスやユーザーの業務妨害を目的とし、
スイッチ、ルーター、サーバ、ケーブル配線など、ネットワーク
のインフラを標的とする。

 Backdoors and Trapdoors （ バ ッ ク ド ア と ト ラ ッ プ ド ア ）

どちらもネットワークへの出入口を作ることで、セキュリティア
クセス手順を迂回する手法。
トラップドアはシステム所有者がセキュリティを迂回して素早く
ネットワークにアクセスするためにインストールされることが多
い。
一方、バックドアは意図的にインストールされるか、あるいは製
品の欠陥によって利用可能な状態になったままであることが多い。
どちらもネットワークに対する攻撃ではないが、攻撃者による
ネットワークへの侵入を容易にし、攻撃実行に利用されることが
ある。
 Covert Channels （ 隠 れ チ ャ ネ ル ）
本来データ伝送のためのチャネルとして設計されていないものを
用いてデータ伝送する仕組みで、データを小分けにして伝送する
手法。
Covert channel に は 情 報 を 隠 す 方 法 に よ っ て 2 つ の タ イ プ が あ る 。
 Storage Channels ：データの保管場所を変更することで送信さ
れ、より低いセキュリティ権限しか持たない別の当事者が
データにアクセスできるようになる。
 Timing Channels ： 送 信 を 隠 す た め に デ ー タ パ ケ ッ ト を 送 信 す る
際の遅延を利用する。

 Buffer Overflows
プログラムのバッファ（一時記憶装置）に、保持できるデータ容
量以上のデータをロードする攻撃 。これによりプログラムをク
ラッシュさせ、その後、悪意のあるプログラムに感染させたり、
システムを乗っ取ったりする。

Information Systems and Controls 3-7

77
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Denial-of-Service （ DoS ； サ ー ビ ス 拒 否 ）
ネ ッ ト ワ ー ク が 処 理 で き る 帯 域 幅 (bandwidth) を 超 え る 大 量 の
トラフィックを殺到させる攻撃。これによりネットワークのリ
ソースが消費され、ネットワークプロトコルやアプリケーション
悪用につながる脆弱性を生む。
 Distributed Denial-of-Service Attacks （ DDoS attack ； 分 散 型 サ ー ビ ス 拒
否攻撃）
複数の攻撃者や侵害されたデバイスが一体となり、組織のネット
ワークの処理許容量を超えるほどのトラフィックを殺到させ、
サ ー バ ダ ウ ン を 目 論 む 攻 撃 。 従 来 の DoS 攻 撃 よ り も 更 に 強 力 に
なってきている。
 Man-in-the-Middle Attacks （ MITM Attacks ； 中 間 者 攻 撃 ）
二者間の保護された通信の中で正当な仲介役として振る舞い、や
り取りされる情報を読み取ったり、転送したりする手法。
 Port Scanning Attacks （ ポ ー ト ス キ ャ ン 攻 撃 ）
企業のネットワークに不正アクセスできるような脆弱性を見つけ
るため、ネットワークをスキャンし、オープンポートを探す手法。
企業がオープンポートを持つことは一般的であるが、脆弱性のあ
るオープンポートを誤って設定してしまうと、不正アクセスを許
す弱点が生じる。
ポ ー ト に は 物 理 的 な も の （ HDMI 、 USB 、 イ ー サ ネ ッ ト ・ ポ ー ト
など）もあるが、この攻撃ではインターネット上で最もよく使わ
れ る ポ ー ト の ひ と つ で あ る TCP （ Transmission Control
Protocol ） port 80 な ど の プ ロ ト コ ル に 使 わ れ る 論 理 ポ ー ト に 焦 点
を当てている。
ここでの具体的な脆弱性には、保護されていないプロトコル、
パッチ未適用のプロトコル、不十分なログイン認証情報、ファイ
アウォールの設定不備などがある。
 Ransomware Attacks（ ラ ン サ ム ウ ェ ア 攻 撃 ）
マルウェア（後述）としてシステムに侵入し、身代金 (ransom)
を支払わない限り、ユーザーや企業のシステム、アプリケーショ
ン、およびデータへのアクセスをブロックする攻撃。
 Reverse Shell Attacks （ リ バ ー ス シ ェ ル ）
標的となった組織内の人物や機器が、組織のファイアウォールの
背後から攻撃者と通信を開始してしまうことで、攻撃者がファイ
アウォールやその他のネットワークセーフガードを迂回し、被害
者 の 機 器 を 遠 隔 操 作 で き る よ う に す る 手 法 。 Connect-back shells と
も呼ばれる。

3-888 Information Systems and Controls

上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

最初の接触が組織内から行われるため、通常のフィルタリングや
ファイアウォールによる保護が迂回されてしまう。
 Replay Attacks (Eavesdropping) （ リ プ レ イ 攻 撃 （ 盗 聴 ） ）
中 間 者 （ MITM ） 攻 撃 の 一 種 で 、 ハ ッ カ ー が 保 護 さ れ た ネ ッ ト
ワ ー ク 通 信 （ ロ グ イ ン ID/PW ） を 盗 聴 し て 傍 受 (intercept) し 、
後日、そのメッセージをターゲットに向けて「再生・リプレイ
（同じ文字列を再送信）」してシステムに不正ログイン」し、
ファイアウォールの内側にあるネットワークとデータにアクセス
する手法。ハッカーはすでに企業ネットワークに侵入しているた
め、メッセージを解読する技術を必要としない。


Information Systems and Controls 3-9

99
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Return-oriented programming attacks （リターン指向プログラミング

攻撃）
Return-Oriented Attacks と も 呼 ば れ る 。 攻 撃 者 の 思 い 通 り の 操 作 を
するため、正当なオリジナルのシステムコードの断片（ガジェッ
ト）を順番に利用し、複雑な処理を実行する攻撃。各ガジェット
は return 命 令 で 終 了 し 、 次 の ガ ジ ェ ッ ト を 次 々 に 実 行 す る 、 高
度なテクニックを用いる。
 Spoofing （ ス プ ー フ ィ ン グ ）
偽 造 し た 認 証 情 報 を 使 用 し た り 、 偽 の IP ア ド レ ス 、 ド メ イ ン 、 電
子メールアドレスを使用して個人／団体を詐称したりすることに
より、誰かになりすましてアクセスを取得する行為。
 Address Resolution Spoofing (ARS)
す べ て の デ バ イ ス は 固 有 の media access control
addresses （ MAC ア ド レ ス ） を 持 っ て お り 、 ネ ッ ト ワ ー ク 上 の
デ バ イ ス の MAC ア ド レ ス は IP ア ド レ ス に マ ッ ピ ン グ さ れ て い
る 。 ARS は こ の マ ッ ピ ン グ を 改 ざ ん す る 不 正 行 為 で あ る 。 攻
撃 者 は ARS を 改 ざ ん し て 自 分 の MAC ア ド レ ス と タ ー ゲ ッ ト の
IP ア ド レ ス を リ ン ク さ せ 、 デ バ イ ス 同 士 が point to point （ IP ア
ド レ ス と IP ア ド レ ス ） で 通 信 で き る よ う に す る 。
 DNS Spoofing
Domain name system （ DNS ； ド メ イ ン ネ ー ム シ ス テ ム 、 ド メ
イ ン 名 と IP ア ド レ ス の 対 応 付 け ） を 改 ざ ん す る な り す ま し 攻
撃。ドメイン名から組織のホームページにアクセスする場合
に 、 こ の DNS が 改 ざ ん さ れ て い る と 、 別 の IP ア ド レ ス （ 偽 サ
イト）に転送され、ユーザー名、パスワード、個人情報など
を入力してしまったり、悪意のあるプログラムに感染させら
れたりする可能性がある。
 Hyperlink Spoofing
ハ イ パ ー リ ン ク の URL を 改 ざ ん し 、 不 正 な 場 所 に 誘 導 す る 手
法。

3- Information Systems and Controls

10101
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

②-2 Application-based Attacks

データベースやウェブサイトなど、特定のソフトウェアやアプリ
ケーションを標的とし、不正アクセスや機能妨害を行う攻撃であ
る。

 Structured Query Language (SQL) Injection

組 織 の ウ ェ ブ サ イ ト 上 の 既 存 の SQL コ ー ド に 悪 意 の あ る SQL コ ー
ドを入れ、組織データに不正にアクセスするアプリケーション攻
撃。
ウェブサーバに直接接続する組織のデータベースがある場合、攻
撃者はウェブサーバを通じてデータベースへのアクセスが可能に
なる。 つまりインターネットからウェブサーバに悪意のある
SQL コ ー ド を 入 れ る こ と で 、 攻 撃 者 は ウ ェ ブ サ ー バ を 操 作 し 、
データベースにアクセスすることができる。

 Cross-Site Scripting (XSS)

SQL injection と 似 た 手 法 で 、 企 業 の ウ ェ ブ サ イ ト に コ ー ド を 注 入
し、その企業のウェブサイトを訪問するユーザーを攻撃する手法。
ユーザーがサイトにアクセスすると、ユーザーのブラウザが悪意
のあるコードを実行し、ユーザー名やパスワードなどの個人情報
を危険にさらす可能性がある。
 Race Conditions
一連の操作を順番通りに実行するシステムやアプリケーションを
悪用する手法。攻撃者はアプリケーションに2 つ以上の操作を異
なる順番で、あるいは同時に実行させることで、不正アクセスや
不正操作などを行う。
 Mobile Code
コンピューターからコンピューターへ移動（感染）し、他のアプ

Information Systems and Controls 3-11

1111
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

リケーションを何らかの方法で改変するように設計されたソフト
ウェア。悪意のあるモバイルコードは、一般にウイルスと呼ばれ
る。
＜コンピューターウイルスの種類＞
 Overwrite Virus
感染したファイルの情報を削除または上書きするウイルス。
通常、ウイルスを除去するにはファイルを削除する必要があ
る。
 Multi-Partite Virus
ファイルを感染させるためにいくつかの感染方法を用意し、
一つの感染方法が失敗した場合、異なる感染方法を試みるウ
イルス。
 Parasitic Virus
ウイルスを持つアプリケーションが起動するとウイルスが起
動し、ウイルスを持っていたプログラムが持つのと同じ権限
がウイルスにも与えられる仕組み。
 Polymorphic Virus
検出されないように構造を変化させ、変異するウイルス。
 Resident Virus
コンピューターのメモリ上に自分自身のコピーをインストー
ルするウイルス。

3- Information Systems and Controls

12121
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

②-3 Host-based Attacks

ラップトップコンピューター、モバイルデバイス、サーバなど、
単一のホストを標的に、不正アクセスや機能妨害をする。

 Brute Force Attacks

自動化されたプログラムでパスワードの可能性のあるすべての組
み合わせを試み、パスワードを推測する手法。
 Keystroke Logging
ユーザーが押したキーボードの順番を追跡し、ユーザー名、パス
ワードなどの機密データを収集する手法で、トロイの木馬
(Trojan horses) と し て 配 信 さ れ 、 感 染 さ せ ら れ る こ と が あ る 。
 Malware
マルウェアとは、情報システムの機密性、完全性、または可用性
に悪影響を及ぼす不正な処理を実行することを目的としたソフト
ウェア／ファームウェアをさす。一般的な例としては、ウイルス
(viruses) 、 ワ ー ム (worms) 、 ト ロ イ の 木 馬 (Trojan horses) 、 ア
ド ウ ェ ア (adware) 、 ス パ イ ウ ェ ア (spyware) 、 ホ ス ト に 感 染 す
る コ ー ド ベ ー ス の プ ロ グ ラ ム (code-based programs) な ど が あ る 。
 Rogue Mobile Apps
正規のアプリに見せかけた悪意のあるアプリ。インストールして
しまうと不正アクセスや情報流出などにつながる。

Information Systems and Controls 3-13

1313
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

②-4 Social Engineering Attacks （ ソ ー シ ャ ル エ ン ジ ニ ア リ ン グ 攻 撃 ）

組織内の者を標的に、心理的な操作や嘘によって、組織の機密情
報を得たり、不正なアクセスをさせたり、詐欺行為を支援させた
りする攻撃。電子メールやテキスト、ダイレクトメッセージ、
ソーシャルメディアを介した人間同士のやり取りは、標的の信頼
と信用を得るための主要な媒体となっている。

 Phishing （ フ ィ ッ シ ン グ ）
本物そっくりの電子メールを使ってユーザーに情報を要求したり、
情報を要求する偽のウェブサイトに誘導したりする。
 Spear Phishing
人 事 部 や IT 部 長 な ど 、 正 規 の 部 署 や 従 業 員 を 装 っ て 企 業 の 従 業 員
を狙うフィッシングで、目的はユーザー名やパスワードなどの個
人データや機密情報を入手することである。
 Business Email Compromise (BEC)
フィッシングの一種で、経営幹部などの高位の個人を狙い、送金、
偽の海外取引先への支払い、弁護士などになりすました人物への
機 密 デ ー タ の 送 信 な ど を さ せ る 。 Whaling （捕鯨）とも呼ばれて
いる。
 Pretexting
BEC や spear phishing と 似 た 手 法 で 、 従 業 員 が 行 動 を 起 こ さ な け れ
ば な ら な い と い う 切 迫 感 を 持 つ よ う に 、 偽 の ID や シ ナ リ オ を 作 り 、
機密情報を入手したり、従業員を操って他の詐欺行為を行わせた
りする。
 Catfishing
ネット上に偽の人物を作りあげて、標的を個人的な関係に誘い込
む。標的の感情に訴えかけ、金銭やプレゼントなどを要求する手
法。
 Pharming
フィッシングと組み合わせて使われることが多く、フィッシング
メールに正規のウェブサイトを模倣したウェブサイトへのリンク
を記載しておき、偽サイトやポータルに誘導し、個人情報を入力
さ せ る 。 リ ン ク の URL が 正 規 の ア ド レ ス に な る よ う に 、 DNS サ ー
バを操作することさえある。
 Vishing
Voice over Internet Protocol (VoIP) を利用した詐欺である。正規の企

3- Information Systems and Controls

14141
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

業や個人になりすまし、双方向の録音メッセージを使い、標的と
なった者が入力した情報をキートーンや音声認識で数字や文字に
変換する。

Information Systems and Controls 3-15

1515
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

②-5 Physical (On-Premises) Attacks

組織の敷地内で実行されるセキュリティ侵害、または何らかの方
法で機密データやハードウェア／ソフトウェアを物理的に窃取す
るセキュリティ侵害。

 Intercepting Discarded Equipment （ 廃 棄 機 器 の 横 取 り ）

ゴミ捨て場や廃棄物取扱業者から廃棄された機器を取得し、機器
に保存されている機密データを窃取する手口。
 Piggybacking
アクセス許可を持つ人物を利用して、物理的な場所やデータに不
正にアクセスする手法。
 Targeted by Attackers
いまだに組織のオンプレミスのインフラには、導入コストや潜在
的なサイバー脅威に対する認識不足などの理由により、高度なサ
イバーセキュリティ防御を備えていない場合があるため、ハッキ
ング集団や攻撃者の標的になることが多い。
 Tampering（ 改 ざ ん ）
企 業 の IT イ ン フ ラ に 物 理 的 に ア ク セ ス し 、 ネ ッ ト ワ ー ク に よ る
データ収集／保存／処理／送信の方法を変更してしまう手口。具
体的には、ケーブル配線を物理的に変更したり、ネットワーク機
器に直接プラグインしたり、あるいは未承認のデバイスを既存の
ネットワークに追加したりして実行する。
 Theft
データやハードウェア、ソフトウェアを物理的に盗む行為。

3- Information Systems and Controls

16161
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

②-6 Supply Chain Attacks

サプライチェーン内の商品の生産と流通を標的にするサイバー戦
術で、企業、政府、その他の団体の通常業務に大きな混乱が生じ
るようにする攻撃。

 Embedded Software Code

パッケージソフトやファームウェアにコードを組み込んでおき、
そのソフトウェアを購入・インストールした組織を攻撃する手口。
 Foreign-sourced Attacks
政府が民間企業を深く広く支配している国では、民間企業の製品
が他国に販売されると、その製品を通じて、政府が他国を監視
(surveillance) したり、悪意のあるコードを配信したりすることが
ある。
 Pre-Installed Malware on Hardware
USB メ モ リ 、 カ メ ラ 、 携 帯 電 話 な ど 、 サ プ ラ イ チ ェ ー ン 内 の 企 業
が使用するデバイスにマルウェアをインストールしておき、その
デバイスが組織のネットワークに接続されると、マルウェアが起
動する手法。
 Vendor Attacks
標的である企業の主要なベンダーに対して攻撃が行われ、商品の
正常な生産や事業運営を妨害する手口。
 Watering Hole Attacks （ 水 飲 み 場 型 攻 撃 ）
複数の企業や業界全体で利用していることで知られるサプライ
ヤー／顧客／規制機関のウェブサイトを特定し、マルウェアの配
信、データの窃盗、不正アクセスなどに利用できる弱点を探す手
法。

Information Systems and Controls 3-17

1717
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

③ Stages in a Cyberattack

サイバー攻撃には様々なものがあるが、いずれも以下のようなステッ
プやフェーズがみられる。以下の各段階について、説明できるようにし
ておきたい。

1. Reconnaissance （ 偵 察 ）
最 初 の 段 階 で は 標 的 の IT シ ス テ ム に 関 す る 情 報 を 可 能 な 限 り 収 集 す
る。入手する情報には、施設の位置、配備されているネットワーク
や イ ン フ ラ の 種 類 、 実 施 さ れ て い る セ キ ュ リ テ ィ 対 策 、 IT シ ス テ ム
のセキュリティ対策をはじめ、従業員の名前や管理職の階層といっ
た内容まで対象とすることがある。またこの段階で、保護されてい
ないオープンポートや、パッチが適用されていない既知のソフト
ウェアなど、特定の脆弱性を探すこともある。
2. Gaining Access
収集された情報をもとに、様々なテクニックを使って攻撃対象にア
クセスする。
3. Escalation of Privileges
システムへの不正アクセスに成功すると、より高い特権を持つユー
ザーの認証情報を取得するなど、高いレベルのアクセス権を得よう
とする。
4. Maintaining Access
攻撃が完了するまでの間、システム内に留まり、アクセスを長引か
せたり、後で戻って来られるような代替手段を探す。
5. Network Exploitation and Exfiltration （ ネ ッ ト ワ ー ク へ の 侵 入 と 流 出 ）
機密データの窃取、データの改ざん、システムやデータへのアクセ
スの無効化、その他の悪意のある活動により、システムの運用を妨
害する。
6. Covering Tracks （ 痕 跡 の 削 除 ）
攻撃者は攻撃の最中あるいは攻撃完了後に、以下のような方法で突
破口を隠す。
 監査機能の無効化
 ログの消去
 ログとレジストリファイルの変更
 作成されたすべてのファイル／フォルダの削除

3- Information Systems and Controls

18181
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

【ＭＥＭＯ】

Information Systems and Controls 3-19

1919
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

(3)Risks Related to Cloud Computing

クラウドコンピューティングでは、ユーザーはインターネットを介して
データ、ソフトウェア、アプリケーションを保存、使用、処理、共有する
ために必要なリソースにアクセスする。このクラウドコンピューティング
環境で使用されるデータやソフトウェアは、多くの場合、サードパーティ
の プ ロ バ イ ダ ー (CSP) に よ っ て 保 存 ・ 管 理 さ れ る た め 、 セ キ ュ リ テ ィ の
面からいえば、かなりの量の機密情報やユーザーアプリケーションが危険
にさらされることになる。
し か し CSP は 、 GDPR や HIPAA な ど の 規 制 に よ り 、 高 レ ベ ル の セ キ ュ リ
ティプロトコルや手順を維持し、セキュリティパッチや内部統制を最新
バ ー ジ ョ ン に 更 新 し 続 け る こ と が 求 め ら れ る た め 、 自 前 で IT イ ン フ ラ を 管
理 す る 組 織 （ ＝ on-premises ； オ ン プ レ ミ ス ） よ り も 安 全 で あ る と 考 え ら れ
ている。
ユ ー ザ ー が 安 心 し て ク ラ ウ ド サ ー ビ ス を 利 用 で き る よ う 、 CSP が SOC2®
engagement を 受 け る こ と も 一 般 的 に な っ て い る 。 SOC2® engagement は 、
CSP の 管 理 体 制 や 、 顧 客 の デ ー タ 、 プ ラ イ バ シ ー 、 機 密 保 持 に 対 す る セ
キ ュ リ テ ィ に 関 す る 経 営 陣 の attestation に つ い て 、 独 立 し た 立 場 か ら 監 査 す
る も の で あ る 。 SOC 2® engagement report に は 、 service organization （ 受 託 会
社 ） に お け る 統 制 が Cloud Security Alliance の Cloud Controls Matrix2 に ど の よ う
に対応しているかも含まれる。
本節では特にクラウド環境に特有のリスクについて知っておきたい。

＜クラウドコンピューティング特有のリスク＞
 Additional Industry Exposure （ 業 界 リ ス ク ）
CSP を 利 用 し て い る 組 織 は 、 CSP の 性 質 上 、 同 じ CSP を 共 有 す る
他の契約組織やその組織特有の業界リスクにさらされる可能性が
ある。
 Cloud Malware Injection Attacks:
クラウドベースのシステムに特化した攻撃で、クラウド環境へ不
正アクセスし、マルウェアを注入することで、データの窃取、
サービスの妨害、さらなるアクセスを可能にする。
 Compliance Violations
クラウドコンピューティングをサードパーティのホストに依存し

2
Cloud Controls Matrix (CCM)：基本のセキュリティ原則についての管理フレームワークで、クラウ
ドプロバイダーの全体的なセキュリティリスクを評価するための基準。

3- Information Systems and Controls

20202
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

ている場合、
これらのホストやサービスプロバイダーがプライバシーや機密性
に 関 す る 規 制 （ HIPPA や GDPR な ど ） を 満 た す た め の セ キ ュ リ
ティプロトコルや手順を備えていない時のコンプライアンスリス
クが存在する。

Information Systems and Controls 3-21

2121
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Loss of Control
CSP の ク ラ ウ ド サ ー ビ ス の 利 用 に よ っ て 自 社 の デ ー タ を 処 理 す る
IT 機 器 に 物 理 的 ／ 論 理 的 に ア ク セ ス で き な い こ と は 、 ユ ー ザ ー 組
織がそのインフラに対する管理をある程度放棄することを意味す
る。その結果、適時にサイバーセキュリティ対策や更新を行えな
か っ た り 、 CSP の サ ー ビ ス 水 準 が 期 待 の 水 準 に 達 し て い な か っ た
りする可能性がある。
 Loss of Data
サ ー ド パ ー テ ィ の CSP は サ イ バ ー 攻 撃 の 標 的 と な り や す く 、 一 般
企業よりは可能性が低いとはいえ、データ漏洩、データ紛失、
データ流出の影響を受けやすい。
 Loss of Visibility
CSP の ク ラ ウ ド サ ー ビ ス の 利 用 に よ っ て 自 社 の デ ー タ を 処 理 す る
IT 機 器 を 完 全 に 把 握 で き な く な る こ と は 、 コ ン ト ロ ー ル の 喪 失 に
つ な が る 。 完 全 な 可 視 性 を 持 つ の は CSP だ け で あ る 。
 Multi-Cloud and Hybrid Management Issues
企業がクラウドベースのソリューションを利用しながら、オンプ
レ ミ ス の IT イ ン フ ラ を 維 持 す る 場 合 も あ る 。 こ の よ う な ハ イ ブ
リッドまたはマルチクラウドの設定は、サイバーセキュリティの
多様化を図ることができるが、一方で複数の環境を統合し、監視
することは困難であり、サイバー攻撃の検知も難しくなるといえ
る。
 Theft or Loss of Intellectual Property
クラウドアプリケーションは組織の様々な種類のデータを保存し
て お り 、 CSP が デ ー タ に 対 す る 十 分 な 統 制 を 欠 い て い る 場 合 、
intellectual property （ IP ； 知 的 財 産 ） 侵 害 の リ ス ク が あ る 。

3- Information Systems and Controls

22222
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(4)Risks Related to Mobile Technologies

インターネットにアクセスできるスマートフォン、タブレット、ウェア
ラブル端末などのモバイル機器には、組織の雇用者と従業員の双方にとっ
てリスクがある。これらの機器は生産性を向上させ、いまや組織でも生活
の一部となったが、その機動性 (mobility) と 監 視 の 欠 如 に よ り 、 サ イ バ ー
セキュリティリスクが生じる。
モバイル機器は、その機能やアクセスする情報の種類という点でデスク
トップコンピューターと似ているため、組織としてはコンピューターと同
様のセキュリティ脅威に直面している。しかしモバイル機器特有のサイ
バーセキュリティ問題も存在する。
ま ず 、 モ バ イ ル 機 器 は オ ペ レ ー テ ィ ン グ シ ス テ ム (OS) を 更 新 す る た
めに、パッチとアップデートのセットを別に維持しなければならない。ま
た、デスクトップコンピューターと異なり、モバイル機器は常に公衆ネッ
トワークにさらされているため、潜在的な攻撃からユーザーを監視・保護
するソフトウェアをすべてのモバイル機器にインストールする必要がある。
保護ソフトウェアを使用しない場合は、安全な使用のためのガイドライン
を策定する必要がある。
その他、モバイル機器特有のリスクやサイバーセキュリティの脅威には
以下のようなものがある。

 Application Malware
正規のアプリケーションに見せかけたアプリケーションにマル
ウェアが組み込まれており、それをユーザーがダウンロードする
と、マルウェアがインストールされ、個人情報が盗み出される可
能性がある。
 Lack of Updates
最新のパッチやセキュリティ修正プログラムがインストールされ
ていない場合、デバイスを脆弱な状態にしている可能性がある。
長期間アップデートを行わないデバイスは危険である。
 Lack of Encryption
多くのモバイル機器は暗号化されておらず、アクセスはパスコー
ドに依存している点にリスクがある。一旦アクセスされると、本
人になりすましてパスワードをリセットされてしまうことがある。
 Physical Threats
物理的脅威の例として、モバイル機器の紛失や盗難がある。モバ

Information Systems and Controls 3-23

2323
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

イル機器に十分なアクセス制御がない場合、盗難に遭うと、権限
のないユーザーが機密情報にアクセスできるようになる可能性が
ある。
 Unsecured Wi-Fi Networks
安 全 で な い Wi-Fiネ ッ ト ワ ー ク を 利 用 す る 場 合 、 同 じ ネ ッ ト ワ ー ク
上にいる誰もが、その機器にアクセスし、機密情報を盗んだり、
マルウェアに感染させたりする可能性がある。
 Location Tracking
無 許 可 の 追 跡 に は 、 Global Positioning System （ GPS ； 全 地 球 測 位 シ
ステム）技術によって、人、機器、その他の資産の位置を特定さ
れるリスクがある。攻撃者は位置情報を悪用し、攻撃計画に役立
てることができる。
さ ら に モ バ イ ル 機 器 は 攻 撃 者 に よ る 監 視 ・ 盗 聴 の 対 象 に も な る 。 Cell-
site simulators 、 Bluetooth scanners 、 International Mobile Subscriber
Identity （ IMSI ； 国 際 携 帯 電 話 加 入 者 識 別 番 号 ） catchers な ど の 機 器 を 使 用
すれば、特定の半径内の通話やテキストメッセージを傍受することができ
る。

3- Information Systems and Controls

24242
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(5)Risks Related to the Internet of Things

Internet of Things （ IoT ； モ ノ の イ ン タ ー ネ ッ ト ） と は 、 イ ン タ ー ネ ッ ト

に接続されたスマートデバイスの一種で、家庭やオフィスのカメラ、タブ
レット、ウェアラブルデバイス、電話、警報装置などの自動化やリモート
コ ン ト ロ ー ル を 可 能 に す る も の で あ る 。 企 業 で も IoT デ バ イ ス を 通 常 の 業
務に利用するようになってきているため、この技術に関わるサイバーセ
キュリティへの影響を考慮する必要がある。
＜ IoT 技 術 に 関 す る サ イ バ ー 脅 威 の 例 ＞
 Device Mismanagement
不十分なパスワード管理とデバイス管理は、サイバー攻撃のリス
ク を 高 め 、 IoT が 接 続 す る ネ ッ ト ワ ー ク 上 の 重 要 な 情 報 の 流 出 や
デバイスへの不正アクセスにつながる可能性がある。
 Device Spooifng （ デ バ イ ス の な り す ま し ）
攻 撃 者 が 違 法 (illegitimate) ま た は 偽 の (phony) デ バ イ ス を 製 作
し、実際のデバイスを装って企業のネットワークに導入し、情報
やネットワークへのアクセスを得る手法。
 Escalated Cyberattacks （ サ イ バ ー 攻 撃 の 拡 大 ）
IoT デ バ イ ス は よ り 多 く の デ バ イ ス を 感 染 さ せ る た め の 攻 撃 拠 点
として、またネットワークへの突破口として利用される可能性が
ある。
 Expanded Footprint:
組織のコアネットワークに直接接続されているデバイスとペアに
な っ た IoT デ バ イ ス は 、 組 織 の 管 轄 下 に あ る デ バ イ ス と し て 攻 撃
の対象となり、攻撃されるポイントの数が増加する。
 Information Theft
IoT 機 器 は イ ン タ ー ネ ッ ト に 接 続 さ れ て い る た め 、 ク ラ ウ ド に 保
管された機密データが盗まれたり、悪用されたりする可能性があ
る。
 Outdated Firmware
ファームウェアは、プリンターなどのデバイスにプリインストー
ルされたソフトウェアであり、デバイスのローカル機能を制御す
る 。 攻 撃 者 は IoT フ ァ ー ム ウ ェ ア の ア ッ プ デ ー ト を 中 断 さ せ て 古
いファームウェアのままにしたり、既知の弱点を持つファーム
ウェアを操作したりして、デバイスにアクセスし、乗っ取ってし
まうことがある。

Information Systems and Controls 3-25

2525
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

従 業 員 は し ば し ば IoT デ バ イ ス を 身 に つ け た り 、 IT 担 当 者 に 通 知
することなく組織のオフィスに持ち込んだりするため、組織のサ
イバーセキュリティ防御の一部として見逃されがちである。

3- Information Systems and Controls

26262
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

 Malware
個 々 の IoT ネ ッ ト ワ ー ク と デ バ イ ス は 、 コ ン ピ ュ ー テ ィ ン グ 能 力
が限定的であることが多く、サイバー攻撃の影響を受けやすい 。
IoT 技 術 に 対 す る 一 般 的 な マ ル ウ ェ ア 攻 撃 は ラ ン サ ム ウ ェ ア に よ
るものであり、ユーザーが金銭的対価を支払わない限り、機器へ
のアクセスを拒否されるものが多い。
 Network Attacks
IoT デ バ イ ス 経 由 の 通 信 で ネ ッ ト ワ ー ク に 過 度 な 負 担 を か け る
DoS 攻 撃 を 行 い 、 IoT ネ ッ ト ワ ー ク や デ バ イ ス を 使 用 で き な い よ
うにする。

Information Systems and Controls 3-27

2727
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

(6)Threat Modeling and Overall Threat Landscape

こ こ で は threat modeling （ 脅 威 モ デ リ ン グ 、 脅 威 の モ デ ル 化 ） と threat

landscape （ 脅 威 ラ ン ド ス ケ ー プ 、 脅 威 の 状 況 ） に つ い て 学 習 し 、 そ れ ぞ れ
について説明できるようにしておきたい。
Threat modeling （ 脅 威 モ デ リ ン グ ） と は 、 ネ ッ ト ワ ー ク 、 シ ス テ ム 、 ア
プ リ ケ ー シ ョ ン に 対 す る 脅 威 を 特 定 (identify) 、 分 析 (analyze) 、 緩 和
(mitigate) す る プ ロ セ ス で あ る 。 そ の 目 的 は 、 シ ス テ ム が 直 面 す る 可 能 性 の
あるすべてのリスクを理解し、対策を講じることである。対策にはリスク
の影響の最小化、リスク防止のための統制、インシデントの予防などが含
まれる。脅威モデルを構築するには、組織はまず、対処すべき弱点や脆弱
性を特定しなければならない。
脅 威 モ デ リ ン グ に は 、 threat landscape （ 脅 威 ラ ン ド ス ケ ー プ 。 組 織 と そ
の IT イ ン フ ラ が 直 面 す る 可 能 性 の あ る 脅 威 の 総 体 ） の 評 価 が 必 須 で あ る 。
脅威は絶えず進化しているため、定期的に脅威ランドスケープを評価する
必要がある。組織が最新の脅威や脆弱性に関する情報を入手し、サイバー
セキュリティの取り組みに優先順位をつけるのに役立つプラットフォーム
と し て threat intelligence platforms （ 脅 威 イ ン テ リ ジ ェ ン ス プ ラ ッ ト フ ォ ー
ム）の利用が広がっている。
脅威の状況を評価する際に考慮すべき要素には、さまざまな攻撃手法、
脅 威 の 影 響 の 大 き さ 、 既 存 の 脆 弱 性 、 脅 威 の 種 類 （ social engineering
attacks 、 insider threats 、 network attacks な ど ） が 含 ま れ る 。

① Phases of Threat Modeling

1. Identify Assets
脅威からの保護が必要な全ての資産を特定し、目録化する。
2. Identify Threats
脅威の意図、標的、潜在的な攻撃方法など、脅威の種類と特徴を特
定する。
現実的な脅威のシナリオについても議論し、計画に活用する。
3. Perform Reduction Analysis:
こ の フ ェ ー ズ で は 脅 威 か ら 保 護 す る 資 産 を 細 分 化 (decomposition)
する。
その目的は資産と潜在的な脅威がどのような相互作用をおこすかを
理解することである。細分化のプロセスでは、信頼とセキュリティ

3- Information Systems and Controls

28282
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

の変化、データの流れ、入力された情報を受け取る場所、セキュリ
ティクリアランス（機密情報にアクセスできる従業員の適格性の確
認）、関連するポリシーと手順など、各資産についてのさまざまな
側面を理解しなければならない。

Information Systems and Controls 3-29

2929
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

4. Analyze Impact of an Attack

攻撃の影響を質的かつ量的（被害額の見積り）に把握することは、
解決策の優先順位付けに役立つ。
5. Develop Countermeasures and Controls
セキュリティ管理策として、侵入検知システム、コンティンジェン
シープラン、攻撃が成功した場合のセキュリティプロトコルなどの
導入を検討する。
対応策は脅威のリスクの大きさに基づいて優先順位をつける。
6. Review and Evaluate
脅威モデルの定期的な評価を行い、脅威ランドスケープに新たなリ
スクが生じていれば、更新を行う。

3- Information Systems and Controls

30303
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

② Threat Methodologies （ 参 考 ）

一般的な脅威モデルとして、ここで説明する3 つの方法論が挙げられ
る。
・ Process for Attack Simulation and Threat Analysis （ PASTA ） 脅 威 モ デ ル
・ Visual, Agile, and Simple Threat（ VAST ） 脅 威 モ デ ル
・ Spoofing, Tampering, Repudiation, Information Disclosure, Denial-of-Service
attack, and Elevation of privilege （ STRIDE ） 脅 威 モ デ ル

②-1 PASTA Threat Model

Process for Attack Simulation and Threat Analysis （ PASTA ） 脅 威 モ デ ル で

は保護される資産の価値によってリスクを優先付けし、対策を講じる
ことに焦点を当てている。以下の7 つの段階がある。
1. definition of the objectives (DO) for the analysis of risks;
2. definition of the technical scope (DTS);
3. application decomposition and analysis (ADA);
4. threat analysis (TA);
5. weakness and vulnerability analysis (WVA);
6. attack modeling and simulation (AMS); and
7. risk analysis and management (RAM).

②-2 VAST Threat Model

Visual, Agile, and Simple Threat（ VAST ） 脅 威 モ デ ル は 、 プ ロ ジ ェ ク ト

管理手法のアジャイルモデルに基づく脅威モデルで、その目的は脅威
管理をプログラミング環境に統合することである。

②-3 STRIDE Threat Model

Spoofing, Tampering, Repudiation, Information Disclosure, Denial-of-Service

attack, and Elevation of privilege （ STRIDE ） 脅 威 モ デ ル は 、 マ イ ク ロ ソ
フト社が開発した脅威モデルで、アプリケーションやオペレーティン
グシステムに関連する脅威を評価するために使用される。この名称に
含まれている6 つの脅威コンセプトは、ネットワーク脅威やソーシャ
ルエンジニアリングなど、アプリケーション以外の脅威をもカバーす
る広範なものである。

Information Systems and Controls 3-31

3131
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

3- Information Systems and Controls

32323
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

【ＭＥＭＯ】

Information Systems and Controls 3-33

3333
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

2. Mitigation of Threats and Attacks （ 脅 威 と 攻 撃 の

緩 和 ）

(1)The COSO Framework and its Relationship With Cyber Risks and Controls

COSO と は Committee of
Sponsoring Organizations の 略 で 、 内
部 統 制 (internal controls) 、 不 正 抑
止 (fraud deterrence) 、 リ ス ク 管 理
(risk management) に 関 す る ガ イ ダ
ンスを提供する諮問機関である。
1992 年 に 策 定 し た COSO 内 部 統 制
フレームワークで知られ、このフ
レームワークは内部統制の実践に
関する業界全体のベンチマークと
なった。このフレームワークの最
新 版 は COSO 2013 と 題 さ れ 、 右 図
の COSO キ ュ ー ブ （ 内 部 統 制 シ ス テ ム の そ れ ぞ れ の 要 素 が ど の よ う に 連 携
しているかを示す立体図）がよく知られている。
＜目的＞
COSO フ レ ー ム ワ ー ク で は 内 部 統 制 の 目 的 を operations （ 業 務 ） 、
reporting （ 報 告 ） 、 compliance （ コ ン プ ラ イ ア ン ス ） の 3 つ の グ ル ー プ に
分類している（上図キューブの上面）。これらの目的は以下のようにサイ
バーセキュリティに適用することができる。
 Operational Objectives
運 用 目 的 は 、 事 業 運 営 の 有 効 性 と 効 率 性 に 重 点 を 置 く 。 組 織 の IT
資産がサイバーセキュリティの脅威や不正行為からどの程度保護
されているかを評価するパフォーマンス指標の設定や、保護措置
の構築もこの目的に関わる事柄である。
 Reporting Objectives
報告目的は、基準設定機関、規制当局、組織自身の方針によって
決 定 さ れ る 透 明 性 、 信 頼 性 (reliability) 、 適 時 性 、 信 用 度
(trustworthiness) に 重 点 を 置 く 。
サイバーセキュリティに対する統制を整備し、サイバー攻撃が内
部／外部の財務／非財務報告に影響を与えることのないようにす
ることに関するものである。
 Compliance Objectives
コンプライアンス目的は、法律やコンプライアンス規制の遵守に

3- Information Systems and Controls

34343
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

重 点 を 置 く 。 サ イ バ ー セ キ ュ リ テ ィ に 関 す る も の と し て は 、 NIST
の よ う な 業 界 標 準 や 、 Health Insurance Portability and Accountability Act
(HIPAA) の よ う な 米 国 の 規 制 、 お よ び General Data Protection
Regulation (GDPR) の よ う な 国 際 法 へ の 準 拠 が 挙 げ ら れ る 。

Information Systems and Controls 3-35

3535
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

＜構成要素＞
COSO の 内 部 統 制 フ レ ー ム ワ ー ク に は 5 つ の 構 成 要 素 が あ る （ 上 図
キューブの前面）。これらの要素はサイバー脅威の予防、検知、対応のた
めのサイバーセキュリティの取り組みに適用することができる。
 Control Environment （ 統 制 環 境 ）
統制環境は内部統制組織の整備及び運用の状況に影響を与える周
囲の統制環境（経営環境）のことをいい、しばしば経営者の気風
(tone at the top) と も 呼 ば れ る 。 経 営 者 は 組 織 の 倫 理 的 価 値 観 を 定
め 、 ト ッ プ ダ ウ ン で 組 織 全 体 に COSO フ レ ー ム ワ ー ク を 推 し 進 め
る。
上級管理職とガバナンス担当者は統制環境の整備に積極的に関与
すべきである。
・サイバー脅威に対する認識を高める。
・ 主 要 な IT ポ リ シ ー 、 プ ロ セ ス 、 手 順 の 策 定 を 指 導 す る 。
・インシデント対応に関する指針を提供する。
・企業のデジタル資産とリソースの保護について従業員を教育す
る。 など
 Risk Assessment（ リ ス ク 評 価 ）
リスクの内部要因・外部要因を評価する。また、リスク評価手順
をカスタマイズし、サイバーリスク、発生の可能性、及びサイ
バー脅威の分析に適用する。
このリスク評価は、組織がリスク許容範囲内でサイバーリスクを
管理していることを合理的に保証するものとなる。
 Control Activities（ 統 制 活 動 ）
統制活動はリスクを軽減するために実施する方針と手続である。
この統制活動の実施状況により、統制環境で設定された経営者の
気風が、組織のすべてのレベルで実施されているかを判断するこ
とができる。
 Information and Communication （ 情 報 と 伝 達 ）
情報と伝達は内部統制を支援するために、一貫性のある適切な言
葉を使用すること、情報共有のベストプラクティスに従うこと、
そして組織内外の利害関係者とコミュニケーションを図ることに
重点を置くものである。
サイバー脅威に関する組織の方針、潜在的なサイバー脅威の検出
方法、サイバーセキュリティ事象への対応方法などに関する情報
を共有することは、どのような組織にとっても非常に重要である。
効果的なコミュニケーションの例としては、以下が挙げられる。

3- Information Systems and Controls

36363
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

・主要な事業機能を中断した場合の影響を概説した、経営者向
けの事業影響分析報告書
・サイバーセキュリティに関する方針に関する従業員ミーティ
ング
・サイバーセキュリティの内部統制について全社向けの定期的
な電子メールの送信
・サイバー脅威と企業ポリシーに関する年次トレーニングの義
務化

Information Systems and Controls 3-37

3737
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Monitoring Activities （ モ ニ タ リ ン グ ）
内部統制のモニタリングは脆弱性が存在する領域を特定し、有効
性と効率性を判断するために、継続的に実施すべき活動であり、
常に進化するサイバーセキュリティの脅威に対して特に重要であ
る。監視手法や管理策の例には、以下のようなものがある。
・侵入テスト
・脆弱性スキャンと評価
・定期的なフィッシング報告

COSO の 視 点 か ら サ イ バ ー リ ス ク を 捉 え る こ と で 、 経 営 陣 は リ ス ク 許 容
度とビジネス目標をより明確に伝えることができるといえる。経営陣に
よって明確に優先順位が付けられていれば、サイバーセキュリティ担当者
は 攻 撃 を 受 け る 可 能 性 が 高 い シ ス テ ム に 対 す る リ ス ク と 、 IT シ ス テ ム の 潜
在的な脆弱性の評価に集中することができる。

3- Information Systems and Controls

38383
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(2)Security Policies, Standards, and Procedures

サ イ バ ー セ キ ュ リ テ ィ の 防 御 を 強 化 し 、 IT イ ン フ ラ の 耐 性 を 高 め る に は 、
セキュリティポリシーを複数のレベル
に分ける必要がある。 ＜セキュリティポリシーのレベル分け
＞
最 上 位 の レ ベ ル に は 、 セ キ ュ リ
ティポリシー を設定し、組織のセ Security Policies
キュリティニーズの概要や、何を実装
すべきかの戦略的計画を定める。
次のレベルには基準を定め、上位 Security Standards
のセキュリティポリシーで定義された
目標を達成するためのベンチマークと
する。 Security Standard
Operating Procedures
一番下のレベルには標準的な作業の
手順書を定め、ビジネスプロセスの運用に関する詳細な説明を記述する。
組織がサービス組織である場合、セキュリティポリシー、基準、および
手 順 書 は 、 SOC 2®
engagement に お い て service auditor に よ る レ ビ ュ ー の 対 象 と な る 。

① Security Policies

セキュリティポリシーは、組織のセキュリティフレームワークの基礎
であり、その実装のための包括的なガイドラインとなる。この文書は組
織のリソースのそれぞれに、どの程度のセキュリティ対策を適用するか
を概説するものである。セキュリティポリシーは、明確な条件、役割、
責任、許容できるリスクレベルを定めるものである。また、セキュリ
ティポリシーは、侵入、攻撃、自然災害に対する上級管理職の十分な注
意を示す証拠でもある。
＜ Service organization が 実 施 す る セ キ ュ リ テ ィ ポ リ シ ー 及 び 関 連 プ ロ セ ス
の例＞
・データの分類とビジネス影響評価
・セキュリティ管理策の選択、文書化、実施
・セキュリティ管理の評価
・ユーザーアクセスの承認とプロビジョニング
・セキュリティ管理の監視

組織には多くの場合、ドメインごとにポリシーがあり、ポリシーの焦
点 を 分 散 さ せ て い る 。 例 え ば 、 IT に 関 連 す る 従 業 員 の 行 動 を 管 理 す る
ユーザーポリシー、適用される法律を遵守するための規制ポリシー

Information Systems and Controls 3-39

3939
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

(regulatory policies) 、 ネ ッ ト ワ ー ク や ソ フ ト ウ ェ ア を 管 理 す る シ ス テ ム
ベースのポリシーなどに分けられることがある。組織はこれらのドメイ
ンを管理し、セキュリティポリシーを実行するために、利用規定
(acceptable use policies) （ → 次 項 ） を 作 成 す る 。

①-1 Acceptable Use Policy (AUP)

Acceptable Use Policy （ AUP ； 利 用 規 定 ） と は 、 テ ク ノ ロ ジ ー リ

ソースを規制し保護するために組織が作成する管理文書で、職務に適
切なレベルの責任を割り当て、従業員やベンダーに許容される行動を
挙 げ 、 AUP に 違 反 し た 場 合 の 対 応 を 明 記 す る も の で あ る 。 ユ ー ザ ー は
組織のシステム、アプリケーション、およびデバイスへのアクセスを
許 可 さ れ る 前 に 、 AUP の 条 件 に 同 意 ・ 署 名 す る よ う 求 め ら れ る こ と が
多い。
＜ 一 般 的 な AUP の 内 容 ＞
・ポリシーの定義、範囲、目的
・ビジネス活動において許容される個人機器の使用
・使用が許可されるモバイル機器
・機器メンテナンス
・機密性
・社内デバイスでの活動の監視と実施
・社内デバイスでの活動とソフトウェアダウンロードの制限
・セキュリティ上、インストールが必要なソフトウェア
・セキュリティ要件
・ポリシーに違反した場合の解雇に関する条件

①-2 Mobile Device Security Policies

組織にとって最大の脅威のひとつは、従業員によるモバイル機器の
管 理 が 不 十 分 な ケ ー ス で あ る 。 そ の た め モ バ イ ル 機 器 に 特 化 し た AUP
を定め、モバイル機器の使用と、モバイル機器から企業ネットワーク
への接続を制御するための技術的な対策とともに、厳格なポリシーを
策定する必要がある。
モ バ イ ル 機 器 の AUP は 、 全 社 的 な AUP の 一 環 と し て 、 タ ブ レ ッ ト 、
スマートフォン、スマートウォッチ、その他のモバイル機器のポリ
シーを定義するものである。ユーザーはこれらの機器を用いて、デス
クトップなどの従来のハードウェアと同じデータ、システム、アプリ
ケ ー シ ョ ン に ア ク セ ス で き る よ う に な る 。 モ バ イ ル 機 器 の AUP は 一 般

3- Information Systems and Controls

40404
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

的に、パスワード保護ルール、多要素認証 (multifactor authentication

requirements) 、 必 要 な 暗 号 化 、 ウ ェ ブ 閲 覧 ル ー ル 、 公 衆 ネ ッ ト ワ ー ク
への接続パラメータ、機器上の他のアプリケーションやファイルのダ
ウンロードに関するポリシーを規定している。

Information Systems and Controls 3-41

4141
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

①-3 Bring-Your-Own-Device Policies

も う 1 つ の 一 般 的 な モ バ イ ル 機 器 ポ リ シ ー は 、 Bring-your-own-
device （ BOYD ） ポ リ シ ー で 、 個 人 所 有 の デ バ イ ス を 業 務 に 使 用 し た
り、組織のネットワークに直接接続したりすることを許可するもので
あ る 。 BYOD ポ リ シ ー に は AUP と 同 じ 要 素 も 含 ま れ る が 、 以 下 の 項 目
は業務に使用される個人所有のデバイスにのみ該当する。
・個人用デバイスでの行為の監視と実施
個人所有のデバイス上での行動に対する組織の権限の範囲は、
プライバシーと監視のバランスをとる必要があり、組織の考え方
によって異なる。組織は攻撃者からの侵入を防ぐために適切な監
視を実施しなければならない一方で、従業員のプライバシーを尊
重するための基準も設定しなければならない。
・デバイス上のデータの所有権
この点についても組織の考え方によってさまざまだが、組織の
記録、顧客、ベンダー、連絡先に関するすべての情報は、従業員
ではなく組織の所有物であるとするのが一般的である。まれに組
織ではなく従業員が所有権を持つ場合もある。
・個人的責任と補償
情報漏えい等があった場合に、従業員が個人的に責任を負う場
合 と 、 組 織 が 責 任 を 負 う 場 合 と を BYOD ポ リ シ ー に 明 記 す る こ と
が あ る 。 ま た 、 BYOD ポ リ シ ー に 補 償 (indemnification) に 関 す る
項目を加え、従業員／組織が責任を負う場合に、誰が損失を補償
する責任を負うかを定義することもある。
・個人用デバイスでの活動とアプリケーションダウンロードの制限
個人所有のデバイスは従業員の所有物であるが、情報漏えいや
社内ネットワークへの不正アクセスを防ぐため、特定のアプリ
ケーションのダウンロードを禁止するよう、組織のポリシーに記
載することもある。
組織は個人の非モバイル機器の使用も許可するため、組織にはさま
ざまなリスクが生じる。（例：機密データの漏えいの可能性、規制の
遵守違反、ハッカーにネットワークの入り口を提供してしまう、な
ど。）
そ こ で BYOD ポ リ シ ー は こ れ ら の 非 モ バ イ ル 機 器 に も 適 用 さ れ る の が
一般的である。

3- Information Systems and Controls

42424
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

② Security Standards

セキュリティ基準は組織に課される要件で、法律で義務付けられてい
るか、あるいは企業がベストプラクティスのガイドラインとして採用し
ている場合もある。セキュリティ基準は、ポリシーのもとに定められた
セキュリティルールの次のレベルであり、セキュリティポリシーを達成
するための行動指針となる。セキュリティ基準では、パフォーマンスの
最低レベルを定義したり、ポリシーの実装方法に関する推奨事項を提示
したりする場合もある。
＜セキュリティ基準の例＞
・ National Institute of Standards and Technology （ NIST； 国 立 標 準 技 術 研
究所）により定められたフレームワーク
・ General Data Protection Regulation （ GDPR ； EU 一 般 デ ー タ 保 護 規
則）のような個人情報保護法
・ PCI Security Standards Council （ PCI SSC ； セ キ ュ リ テ ィ 基 準 協 議
会 ） が 発 行 す る Payment Card Industry Data Security Standard （ PCI
DSS ； PCI デ ー タ セ キ ュ リ テ ィ 基 準 ） の よ う な 業 界 標 準

③ Security Standard Operating Procedures

Standard Operating Procedures （ SOP ； 標 準 作 業 手 順 書 ） は 、 セ キ ュ リ

ティポリシーにおいて最も低いレベルに位置する文書で、特定のセキュ
リ テ ィ タ ス ク の 実 行 に 対 す る 詳 細 な 指 示 を 定 め る も の で あ る 。 SOP は セ
キュリティポリシーとセキュリティ基準の目標を達成するため、システ
ム、ソフトウェア、物理的な行動を組み合わせたものとなる。
セキュリティ上、一人の担当者が組織内のすべてのセキュリティ実務
の 手 順 書 に ア ク セ ス で き な い よ う に 、 SOP を 細 分 化 し 、 手 順 の す べ て を
一つの文書にまとめないことが推奨されている。セキュリティポリシー
の 担 当 者 は 、 担 当 す る 職 務 に 関 す る SOP の み を 保 有 し 、 ポ リ シ ー の 調 整
や更新が必要な場合は必要に応じて機動的に調整を行う。

Information Systems and Controls 3-43

4343
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

(3)Network Protection Methods

① Network Components

ネットワークとはユーザーがデータを送受信・保存できるように、有
線 ケ ー ブ ル (wired cables) や 無 線 技 術 を 使 っ て 接 続 さ れ た 物 理 的 ・ 仮 想
的な機器のシステムのことで、異なるプロトコルを組み合わせて通信す
る。プロトコルは、機器がネットワーク内の他の機器とどのように通信
するかを規定する一連のルールである。
＜ネットワークで使用されるハードウェア＞
・ Access Point （ AP ； ア ク セ ス ポ イ ン ト ）
無線対応のデバイスを使用して、ユーザーが有線ネットワークに接続
するための無線接続ポイント。
・ Bridges （ ブ リ ッ ジ ）
ネットワーク同士を接続するもので、トポロジーや伝送速度が異なる
ネットワークであっても同じプロトコルを使用していれば接続するこ
とができる。
・ Computers （ コ ン ピ ュ ー タ ー ）
デスクトップコンピューターやラップトップコンピューターは、ネッ
トワーク上のエンドポイントデバイスで、ユーザーがネットワークを
通じて通信する主要な手段である。
・ Gateway （ ゲ ー ト ウ ェ イ ）
異なるプロトコルを使用する複数のネットワークを接続し、プロトコ
ルを変換して2 つのネットワークが通信できるようにする。
・ Hub （ ハ ブ ）
1 つのネットワーク内で同じプロトコルを使用する複数のシステムや
デバイスをつなぐ接続ポイント。ハブはデータパケットを受信し、他
のすべてのデバイスに転送する。
・ Mobile Phones and Tablets （ 携 帯 電 話 と タ ブ レ ッ ト ）
コンピューターと並んでユーザーがネットワークに接続する主な手段
であるデバイス。
・ Modems （ モ デ ム ）
デ ジ タ ル 情 報 と ア ナ ロ グ 信 号 を 変 調 (modulate) し て ネ ッ ト ワ ー ク を
サポートする装置。コンピューターをインターネットに接続するため
に最も汎用的に使用されている。
・ Proxies （ プ ロ キ シ ）

3- Information Systems and Controls

44444
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

ゲートウェイの一種で、社内ネットワークとインターネットの間に配
置され、同じプロトコルを使用する社内ネットワークに代わって外部
との送受信を行う中間ゲートウェイとして機能する。外部から攻撃さ
れた場合に、社内ネットワークに至るのを遮断する。

Information Systems and Controls 3-45

4545
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

・ Routers（ ル ー タ ー ）
ネットワーク上のデータフローを制御する装置。データパケットを受
信 し 、 同 じ プ ロ ト コ ル を 使 っ て 、 IP ア ド レ ス に 基 づ い て 正 し い 宛 先 に
転送する。
・ Servers（ サ ー バ ）
アプリケーションサーバではアプリケーションの実行、ファイルサー
バではファイルの保存、データベースサーバではデータの保存など、
与えられた中核機能に特化し、コンピューターやネットワークを補助
する装置。
・ Signal Modifiers （ 信 号 変 調 器 ）
信号を受信し、信号強度の強化、複数の信号の結合、信号の再生など、
信 号 を 変 調 す る 装 置 で 、 増 幅 器 (amplifiers) 、 集 線 装 置
(concentrators) 、 中 継 器 (repeaters) な ど が あ る 。 信 号 の 種 類 に は 、 電
気信号、無線信号、音声信号、光信号などがある。
・ Switches （ ス イ ッ チ ）
ハブのようにネットワーク内のさまざまなデバイスを接続するが、宛
先への経路を確立するのみで、受信した信号を他のネットワーク機器
に転送するところまではしない。

② Network Security

ネットワークセキュリティに特化したセキュリティ手法には以下のよ
うなものがある。
 Network Segmentation or Isolation（ セ グ メ ン テ ー シ ョ ン ま た は 分 離 ）
ネットワーク上の通信を制御し、外部の通信や組織内の他のセグ
メントからアクセスできないようにするプロセス。このポケット
化した隔離により、ネットワーク全体のセキュリティが向上する。
 Firewall （ フ ァ イ ア ウ ォ ー ル ）
ファイアウォールとは、外部からの攻撃をブロックするため、公
衆ネットワークへの送受信をフィルタリングおよび監視する物理
的なデバイス、ソフトウェア、またはその両方を指す。
 Service Set Identifier (SSID)
ワ イ ヤ レ ス ネ ッ ト ワ ー ク に 割 り 当 て ら れ た 名 前 を SSIDと 呼 び 、
無線対応機器がそのネットワークに接続できるように、一定範囲
内にあるワイヤレスアクセスポイントによって通知される。ワイ

3- Information Systems and Controls

46464
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

ヤレスネットワークのセキュリティを向上させる1 つの方法は、
ア ク セ ス ポ イ ン ト か ら SSIDを 通 知 し な い よ う に 設 定 し 、
ネットワークを見えなくすることである。

Information Systems and Controls 3-47

4747
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Virtual Private Network (VPN) （ VPN ； 仮 想 プ ラ イ ベ ー ト ネ ッ ト ワ ー

ク）
既存の物理ネットワーク上に構築される仮想ネットワークで、ト
ン ネ リ ン グ や Internet Protocol Security (IPsec) （ 下 記 参 照 ） な ど の
技術を使用して、安全な通信手段を提供する。
・ Tunneling （ ト ン ネ リ ン グ ） ： 通 信 ネ ッ ト ワ ー ク 上 の 二 点 間 を 、
閉じられた仮想的な直結回線で接続する手法で、具体的にはある
プロトコルのデータ（パケット）を別のプロトコルのパケットで
カプセル化し、保護トンネルを作るものである。
・ Internet Protocol Security (IPsec) ： IPsec は 通 信 を 暗 号 化 し 、 ア ク セ ス
制 御 を 提 供 し 、 IP プ ロ ト コ ル を 使 用 し て 認 証 す る 。 IPsec は ト ン ネ
リングと同様に動作するが、パケット全体ではなく、ペイロード
と呼ばれる特定のデータ部分のみを暗号化することもできる。こ
の レ ベ ル の 保 護 に よ り 、 VPN ユ ー ザ ー は 組 織 の ア プ リ ケ ー シ ョ ン 、
データ、システムへの安全なリモートアクセスが可能となる。

 Wi-Fi Protected Access (WPA)

スイッチなどの無線アクセスポイントとモバイル機器間の通信を
暗号化するセキュリティプロトコル。ただし無線アクセスポイン
トから出た後、有線接続を経由する通信は暗号化されない。
WPA の 最 初 の 後 継 で あ る WPA2 は 、 同 様 の プ ロ ト コ ル で 、
Advanced Encryption Standard (AES) を 用 い て デ ー タ 暗 号 化 の 追 加 レ
イヤーを提供し、ネットワークのセキュリティをさらに強化した。
WPA3 は よ り 洗 練 さ れ た 暗 号 化 、 安 全 な handshake （ デ バ イ ス 間
の接続を確立するプロセス）、より強力なパスワード保護によっ
て、さらに強力なセキュリティを提供している。
 Endpoint Security
ネットワークに接続されたすべてのデバイス（ホストとも呼ばれ
る）には、
ネットワークや通信チャネル上の他のセキュリティ対策とは別に、
何らかのローカルセキュリティが必要であるという考え方。以下
のような例がある。
・アンチウイルスおよびマルウェアスクリーニングソフトウェ
ア
・認証と認可のメカニズム
・監査ソフトウェア
・ローカルホストのファイアウォール
・ホストベースの侵入検知
・予防システム

3- Information Systems and Controls

48484
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

 System Hardening
システムハードニング（システムの堅牢化）とは、攻撃を受ける
可能性のあるアクセスポイントの数を最小化することで、リスク
を軽減する、多面的で包括的なセキュリティ手法である。
こ こ で の ア ク セ ス ポ イ ン ト は 攻 撃 ベ ク ト ル (attack vector) と 呼 ば
れ、アプリケーション、データベース、オペレーティングシステ
ム 、 サ ー バ 、 ネ ッ ト ワ ー ク 機 器 な ど 、 IT イ ン フ ラ の あ ら ゆ る 側 面
を 含 む 。 シ ス テ ム ハ ー ド ニ ン グ に よ り 、 攻 撃 者 が IT シ ス テ ム に 侵
入する機会を減らすことができる。
＜システムハードニングの例＞
・ Database Hardening ： 管 理 者 ユ ー ザ ー と デ ー タ ベ ー ス 利 用 ユ ー
ザーとの間に明確な区別ができるように、異なる権限レベルを
設定する。また保存データを暗号化する。
・ Endpoint Hardening ： ロ ー カ ル デ バ イ ス 上 の ユ ー ザ ー の 管 理 者 権
限を削除し、エンドポイントユーザーが許可された機能以外は
実行できないようにする。ユーザーがインターネットや電子
メールから特定のファイルをダウンロードすることを制限する。
すべてのノートパソコンにローカルファイアウォールとマル
ウェアスクリーニングを導入する。このようなハードニングの
調整により、ネットワーク上でのユーザーの不注意な行動を防
ぐことができる。
・ Network Hardening ： フ ァ イ ア ウ ォ ー ル の ル ー ル を 見 直 し 、 使 用
されていないポートを削除し、不要なプロトコルをブロックす
るように設定する。これにより、攻撃者がネットワークに侵入
するための選択肢が少なくなる。
・ Server Hardening ： 物 理 的 に サ ー バ を 安 全 な 施 設 に 隔 離 し 、 さ ら
にバックアップサーバを地理的に分離する。これにより1 つの
サーバが攻撃されても、全てのサーバが危険にさらされること
はない。
また、初めてネットワークに接続するサーバのテスト手順を策
定し、管理者権限が適切に設定されるようにする。稼動中の
サーバを営業時間外にテストし、サービスの中断を最小限に抑
える。
 Media Access Control (MAC) Filtering （ メ デ ィ ア ア ク セ ス 制 御 フ ィ ル
タリング）
アクセスポイントにおけるフィルタリングの一形態で、承認され
た MAC ア ド レ ス 以 外 の 機 器 の ア ク セ ス を ブ ロ ッ ク す る も の で あ る 。
MAC ア ド レ ス は 、 物 理 ア ド レ ス ま た は ハ ー ド ウ ェ ア ア ド レ ス と も

Information Systems and Controls 3-49

4949
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

呼ばれ、ネットワーク上の他の機器と通信する際、ネットワーク
上の機器を一意に特定するための識別子である。

②-1 Service Auditor Consideration of Logical and Physical Access

SOC 2® を 実 施 す る service auditor は 、 ネ ッ ト ワ ー ク を 通 じ た リ モ ー ト

アクセスに関する企業の組織統制を検証することがある。この場合
service auditor は 遠 隔 で の ロ グ イ ン を 観 察 し 、 通 信 が 暗 号 化 さ れ て い る
か 、 VPN （ 仮 想 プ ラ イ ベ ー ト ネ ッ ト ワ ー ク ） 接 続 を 使 用 し て い る か 、
ユーザー認証は多要素認証か、アクセスしようとしている人物は許可
された従業員か、などの点を確認する。

3- Information Systems and Controls

50505
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(4)Authorization and Authentication

① Authorization and Authentication in Security Operations （許可と認証）

組織は進化する脅威を阻止するために、高度なサイバーセキュリティ
アプリケーションとデバイスを採用するだけでなく、これらの防御ツー
ルを補完する運用を導入する必要がある。運用方法の概念には、ここで
学 習 す る zero trust （ ゼ ロ ト ラ ス ト ） 、 least privilege （ 最 小 特 権 ） 、
need-to-know principle （ 知 る 必 要 性 の 原 則 ） 、 whitelisting （ ホ ワ イ ト リ ス
ト ） な ど が あ り 、 こ れ ら は 組 織 の IT ア ー キ テ ク チ ャ お よ び IT ポ リ シ ー に
組み込むことができる。

①-1 Zero Trust（ ゼ ロ ト ラ ス ト ）

ゼロトラストとは、ユーザーのアクセスが認証された後でも、組織
のネットワークは常にリスクにさらされているという想定の下、1 回
限りのユーザー認証から継続的な認証を推進する概念である。例えば
ユーザーがネットワークと通信するすべてのポイントにおいて、継続
的にユーザー認証を検証するものである。
National Institute of Standards and Technology （ NIST； 米 国 国 立 標 準 技 術
研 究 所 ） は 、 Zero Trust Network Architecture (ZTNA) モデルを確立し、
zero-trust architecture (ZTA) を 通 じ て 組 織 が 継 続 的 認 証 原 則 (continuous
authentication principles) を 導 入 す る の を 支 援 し て い る 。
ZTA は ネ ッ ト ワ ー ク の 内 外 に 脅 威 が 存 在 す る と い う 想 定 の も と 、
データ漏洩を防ぎ、内部の横の動きを制限するように設計されている。
Zero-trust security model は 、 特 定 の 要 素 に 対 す る 暗 黙 の 信 頼 を 排 除 し 、
ユーザー、資産、リソースごとにリアルタイムでアクセスなどの対応
を認証・決定するため、継続的な検証を行う。

NISTの ZTA に は 様 々 な バ リ エ ー シ ョ ン が あ る が 、 共 通 す る 考 え 方 は
以下の通りである。
・すべてのデバイスとデータソースは、組織によって直接管理され
ていないものであっても、リソースとみなす。
・ネットワークの場所に関係なく、すべての通信は安全でなければ
ならない。
・組織のリソースへのアクセスはセッションごとに許可される。
・アクセスは、ダイナミックポリシーとその他の環境または行動属

Information Systems and Controls 3-51

5151
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

性を用いて決定される。
・組織はすべての資産の完全性と安全性を監視し、測定する。
・すべての認可と認証の仕組みは動的であり、アクセスを許可する
前に厳格に実施されなければならない。
・組織の資産、インフラ、通信の現状について詳細な情報を収集し、
セキュリティを向上させる。

NISTは ZTA の 理 念 の 導 入 に あ た り 、 次 の よ う な 前 提 条 件 を 挙 げ て い
る。
・組織のプライベートネットワークは暗黙の信頼ゾーンではない。
・組織のネットワーク上のデバイスの中には、その組織が所有して
いないものや設定できないものが存在する場合がある。
・どのリソースも本質的に信頼できない。
・組織のインフラに接続するデバイスの中には、組織のリソースで
ないものもある。
・リモートユーザーは、ローカルネットワーク接続を信頼すべきで
はない。
・複数のインフラが関与するワークフローと資産は、一貫したセ
キュリティポリシーと構造を適用すべきである。

①-2 Least Privilege （ 最 小 特 権 ）

Least Privilege（ 最 小 特 権 ） と は 、 あ る 機 能 を 実 行 す る た め に 必 要 な
最小限の権限とシステムリソースのみをユーザーとシステムに与える
と い う 考 え 方 で あ る 。 IT 管 理 者 は 特 権 が 過 剰 に な っ た り 、 職 務 の 進 展
に伴ってシステムへのアクセスが徐々に増加したりすることのないよ
う、安全策を講じる必要がある。これは従業員が昇進したり、異動し
たりする場合によく見られ、新しい役割に応じてシステム権限が与え
られるものの、以前の役割での権限が削除されないことがあるが、こ
れは最小特権の概念に反する例である。

①-3 Need-to-Know （ 知 る 必 要 性 の 原 則 ）

Need-to-know （ 知 る 必 要 性 の 原 則 ） は 、 従 業 員 に は 職 務 を 遂 行 す る
ために知る必要のあるものだけが与えられるという考え方に従ったも
の で あ る 。 Need-to-know と least privilege の 違 い は 、 need-to-know が 職
務 遂 行 に 必 要 な デ ー タ 自 体 に 焦 点 を 当 て る の に 対 し 、 least privilege は

3- Information Systems and Controls

52525
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

職務遂行に必要なアクセスに焦点を当てるという点である。

Information Systems and Controls 3-53

5353
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

①-4 Whitelisting （ ホ ワ イ ト リ ス ト ）

Whitelisting と は 、 組 織 の シ ス テ ム 上 で 実 行 が 許 可 さ れ て い る ア プ リ
ケーションをリスト化し、それらのプログラムのみの実行を許可する
プロセスである。
これとは反対に、ネットワーク上での実行が許可されていないアプリ
ケ ー シ ョ ン を リ ス ト 化 し 、 そ れ ら の 実 行 を 阻 止 す る の が blacklisting
（ブラックリスト）である。これらのルールの実施は、ホワイトリス
ト上のアプリケーションのみを実行できるように設計されたソフト
ウェアによって運用される。

3- Information Systems and Controls

54545
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(5)Identification and Authentication Techniques

① Identification and Authentication （ 識 別 と 認 証 ）

識別と認証は2 つの異なる概念で、システム、アプリケーション、ま
たは物理的な場所へのアクセス権限を検証する際、この2 つの概念が検
証プロセスの複数の段階で発生する。識別はユーザー名や識別カードな
どによって自身の身元を表明するプロセスであり、認証はその身元を検
証するプロセスといえる。
例えばユーザー名とパスワードの入力時のように、まずユーザーが身
元を表明し、次にそれが検証される。
こ の 仕 組 み で ユ ー ザ ー は ま ず 、 ID を 登 録 す る プ ロ セ ス を 経 な け れ ば な
らない。米国では社会保障カード、運転免許証、またはパスポートなど、
最 も 基 礎 と な る ID を 提 出 す る こ と に よ っ て 行 わ れ 、 次 に そ の 基 礎 と な る
ID を 使 用 し て 二 次 的 な ID を 作 成 す る 。

② Authentication Technologies（ 認 証 技 術 ）

現在では機密データ、アプリケーション、およびネットワークへのアク
セスを保護するため、さまざまな認証技術が利用可能である。

 Context-aware Authentication（ コ ン テ キ ス ト ベ ー ス 認 証 ）
ユ ー ザ ー が ア ク セ ス し よ う と し て い る 状 況 に 関 す る contextual
data （ 例 え ば 、 時 間 、 ユ ー ザ ー の 地 理 的 位 置 、 ア ク セ ス ポ イ ン ト
（モバイルアプリケーション、デスクトップブラウザ、コールセ
ン タ ー な ど ） 、 IP ア ド レ ス な ど ） を 活 用 し て
ユーザーを識別し、認証する。
 Digital Signatures: （ デ ジ タ ル 署 名 ）
デジタル署名は電子的な認証印であり、通常は暗号化され、送信
者の身元証明としてメッセージに添付される。デジタル署名は暗
号技術を利用したもので、送信者は秘密鍵でメッセージを暗号化
し、受信者は送信者の公開鍵でメッセージを復号化する。
 Single Sign-On (SSO) （ シ ン グ ル サ イ ン オ ン ）
ユーザーが複数のリソースやデバイスを使用する際に、 1 つの
セッションにつき1 回だけ認証されるようにする技術。
例 え ば ス マ ー ト TV の ア プ リ ケ ー シ ョ ン に ロ グ イ ン す る に は 、
TV に 表 示 さ れ る ワ ン タ イ ム コ ー ド を 承 認 さ れ た ス マ ー ト フ ォ ン

Information Systems and Controls 3-55

5555
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

に入力するだけでよい。これにより、セッション中に再び認証す
ることなくユーザーを認証することができる。

3- Information Systems and Controls

56565
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

 Multifactor Authentication （ 多 要 素 認 証 ）
一 つ の ユ ー ザ ー ID を 認 証 す る た め に 2 つ 以 上 の 要 素 を 使 用 す る 手
法。多くの場合、知識と所有が組み合わされる。例えば入力した
ユ ー ザ ー ID に 対 し て パ ス ワ ー ド と ト ー ク ン （ 後 述 ） に よ る パ ス
コードの入力を求める場合、パスワードは知識であり、トークン
は所有物である。
 Personal Identification Numbers (PIN) （ 個 人 識 別 番 号 ）
PIN は カ ー ド 所 有 者 が 記 憶 し 、 本 人 確 認 の 一 部 と し て 使 用 す る 数
字 コ ー ド で あ る 。 PIN は ユ ー ザ ー の 知 識 情 報 と し て 機 能 し 、 他 の
認証要素（物理的デバイス、トークン生成器など、所持情報）と
組 み 合 わ せ た 場 合 に 最 も 効 果 的 で あ る 。 PIN は 最 低 で も 6 桁 （ 文
字）以上とし、定期的な変更、アプリケーション間での重複の禁
止が推奨される。検証時には試行の制限（3 回までなど）を設け
るべきである。
 Smart Cards （ ス マ ー ト カ ー ド ）
マイクロプロセッサーを搭載したプラスチック製カードで、デー
タの処理、商品・サービスの購入、制限区域への立ち入り、その
他スマートカードの所持者だけが実行できる活動の際、証明書と
して機能する。
 Token （ ト ー ク ン ）
トークンは固定桁のパスコードを生成するデバイスで、ユーザー
が 保 有 す る 。 Multifactor authentication （ 多 要 素 認 証 ） ま た は
secondary authentication （ 二 次 認 証 メ カ ニ ズ ム ） の 一 形 態 で あ る 。
トークンによって生成されるパスコードは、認証サーバにも保存
されており、ユーザーからパスコードが入力されると、サーバと
照合し、認証する。
トークンには同期型 (synchronous) と 非 同 期 型 (asynchronous)
がある。
・同期型トークンは一定の時間でパスコードが変化し、検証時に
トークンとサーバが同じパスコードになるよう、トークンとサー
バを同期させておく必要がある。
・非同期トークン型は時間にかかわらず、特定のアルゴリズムに
基づいてパスコードを作成する。
 Biometrics （ バ イ オ メ ト リ ク ス ）
人 間 の 身 体 的 特 徴 ま た は 印 象 を 使 用 し て ID を 検 証 す る 認 証 技 法 。
検 証 に 使 用 さ れ る 一 般 的 な 物 理 的 特 性 に は 、 顔 認 識 (facial
recognition) 、 指 紋 (fingerprint) ま た は 手 の ひ ら ス キ ャ ン (palm
scans) 、 手 の 寸 法 (hand dimensions)、 音 声 認 識 (voice

Information Systems and Controls 3-57

5757
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

recognition) 、 虹 彩 ま た は 網 膜 ス キ ャ ン (iris or retina scans) 、 心 臓

ま た は 脈 拍 パ タ ー ン (heart or pulse patters) 、 キ ー ス ト ロ ー ク パ
タ ー ン (keystroke patterns) 、 手 書 き ま た は 署 名 の 動 的 特 徴 の 検 証
(handwriting or signature dynamics) が あ る 。

3- Information Systems and Controls

58585
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

③ Password Management （ パ ス ワ ー ド 管 理 ）

パスワードは最も一般的な認証方法であると同時に、攻撃者にとって
も最も一般的な攻撃対象でもあるため、強固なパスワード管理は非常に
重要である。パスワードは、文字、数字、または特殊文字の文字列で構
成される。パスワードには以下の弱点がある。
・推測されやすいパスワードを使ったり、複数のアカウントでパス
ワードを使い回したり、パスワードを他人と共有したり、パス
ワードを変更しなかったり、覚えにくいからとパスワードをメモ
したりすることがよくあるが、いずれも危険な行動である。
・ 短 い パ ス ワ ー ド は 、 brute-force attack（ 自 動 化 さ れ た プ ロ グ ラ ム で パ
スワードのすべての組み合わせを試み、パスワードを推測する手
法）によって推測される可能性がある。
・インターネットでアクセス可能なデータベースに保存しているパ
スワードは、攻撃者によって頻繁に破られる。

これらの弱点に対抗するため、複雑なパスワードが推奨される。

③-1 Password Complexity

パスワードは長ければ長いほど安全である。パスワードの正しい文
字の組み合わせを推測するためには、文字数が増えると潜在的な組み
合わせの数が増え、指数関数的に推測に時間がかかるという考え方に
基づいている。
NISTは NIST Special Publication 800-63B で 、 パ ス ワ ー ド に 少 な く と も 8
文 字 を 使 用 す る こ と を 推 奨 し て い る が 、 多 く の 組 織 で は 12文 字 以 上 を
求 め て い る 。 パ ス ワ ー ド を 頻 繁 に 変 更 す る こ と も 推 奨 さ れ て お り 、 45
～ 90日 ご と に 変 更 す る こ と が 奨 励 さ れ て い る 。

③-2 Password Managers and Storage

パスワード保存・管理アプリケーションは、ユーザーのパスワード
を 平 文 と し て 保 存 す る の で は な く 、 ハ ッ シ ュ (hashing) を 使 っ て 保 存
す る プ ロ グ ラ ム で あ る 。 ハ ッ シ ュ と は 、 secure hash algorithms (SHA) な
ど の ア ル ゴ リ ズ ム を 使 っ て パ ス ワ ー ド を 判 読 で き な い (illegible) テ キ
ストに変換するプロセスである。
ハッシュ化されたパスワードはデータベースに保存される。ユー

Information Systems and Controls 3-59

5959
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

ザーがパスワードを入力すると、その文字をハッシュアルゴリズムで
変換し、変換されたハッシュ値とデータベースに保存されているハッ
シュ値が比較される。両者が一致すれば、アクセスが許可される。
ハッシュ化されたパスワードから元のパスワードを推測するのは困
難ではあるが、不可能ではない。攻撃者がハッシュ化されたパスワー
ドを手に入れた場合、まずハッシュ化に用いたハッシュアルゴリズム
を 特 定 す る 。 そ し て brute-force の 推 測 ソ フ ト ウ ェ ア で 推 測 を 始 め 、 推
測したパスワードをハッシュ値に変換してデータベース内のハッシュ
値と比較する、という方法でパスワードを突き止めることになる。

④ Provisioning （プロビジョニング）

プロビジョニングとは組織がユーザーのアカウントを作成し、職務上
の 役 割 に 基 づ い て 特 権 を 付 与 す る 、 ID 管 理 の プ ロ セ ス で あ る 。 プ ロ ビ
ジ ョ ニ ン グ は 認 証 可 能 で 有 効 な ID を 作 成 す る 上 で 重 要 な プ ロ セ ス だ が 、
多くの場合、自動化され、かつ保護されている。これは従業員の入社時
に身元調査と同時に行われる場合があるが、組織の基準を満たさない個
人にはいかなる権限も与えられるべきではない。
そこで組織はシステムアクセスを許可する前に、当面の措置として、
新規ユーザーを登録し、組織がアクセスを管理する条件で承認すること
がある。こうして仮に登録されたユーザーに、本格的に組織からアクセ
スの権限が与えられた時には、仮に登録したユーザシステム認証情報を
削 除 す る 必 要 が あ る 。 SOC 2® engagement で は 、 監 査 対 象 期 間 中 に シ ス テ
ムへのアクセスを得た新従業員のうち、何人かをサンプルとして抽出し、
そ の ア ク セ ス 要 求 書 (access request) を 検 査 す る こ と が あ る 。 こ の 手 続
きは、組織からアクセスの権限が与えられる前に、アクセスプロビジョ
ニング要求が承認されていたことを確認するために行われる。

⑤ Device Authentication （ デ バ イ ス 認 証 ）

接続要求を行うデバイスを検証することでユーザーの身元を検証する
ことは、デバイス認証として知られている。デバイス認証で着目するの
は 、 ユ ー ザ ー の 資 格 情 報 や ID で は な く 、 固 有 の IP ア ド レ ス や MAC ア ド レ
ス な ど 、 デ バ イ ス の ID で あ る 。 こ の 技 法 は 単 独 の 認 証 方 法 と し て は 弱 い
が、ユーザーがログイン資格情報を入力し、有効なデバイスを使用する
ことを求められる多要素認証において効果的である。

3- Information Systems and Controls

60606
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

Information Systems and Controls 3-61

6161
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

(6)Definition and Purpose of Vulnerability Management （脆弱性の管理）

① Vulnerability Management

脆 弱 性 管 理 と は 、 シ ス テ ム や 組 織 に 危 害 を 及 ぼ す 可 能 性 の あ る IT 脆 弱
性の悪用を防止するために設計される、予防的なセキュリティ対策とい
える。具体的には、システム内の既知の脆弱性を特定、分類、強化、修
正することを含む。コンピューターとネットワークセキュリティに不可
欠 な 部 分 で あ り 、 IT リ ス ク 管 理 に お い て 重 要 な 役 割 を 果 た す 。
この目的を達成するため、組織は脆弱性につながる設定の変更や、新
たに発見された脆弱性を特定するために、検知と監視を行うべきである。
また、環境に重大な変更があれば、潜在的な脆弱性や設定ミス
(misconfigurations) を 特 定 す る た め 、 定 期 的 に 脆 弱 性 ス キ ャ ン を 実 施 す る
ことも推奨される。欠陥が特定された場合は、修正するための行動を速
やかにとるべきである。

② Vulnerability Tools

脆 弱 性 管 理 は 、 脆 弱 性 評 価 (vulnerability assessments) や 脆 弱 性 ス キ ャ ン
(vulnerability scanners) な ど の ツ ー ル を 使 用 す る ほ か 、 National Institute of
Standards and Technology （ NIST ； 米 国 国 立 標 準 技 術 研 究 所 ） の サ イ バ ー セ
キュリティフレームワークなどのフレームワークを適用して管理するこ
とが推奨される。

②-1 Applying the NIST Cybersecurity Framework

組 織 が 脆 弱 性 管 理 ソ リ ュ ー シ ョ ン を 導 入 す る 際 、 NIST Cybersecurity
Framework （ CSF ； サ イ バ ー セ キ ュ リ テ ィ フ レ ー ム ワ ー ク ） を 適 用
することがある。
＜ CSF の 5 つ の 機 能 ＞
 Identify （ 特 定 ）
フレームワークを適用し、システム、データ、資産、従業員に関
するリソースの脆弱性を特定する。これらの資産が運用されるビ
ジネス環境・ポリシーを理解し、ガバナンスの実施状況を明らか
にする。
 Protect （ 保 護 ）

3- Information Systems and Controls

62626
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

フレームワークを適用し、脆弱性に対する保護措置を構築する。
具 体 的 に は ID の 識 別 や ア ク セ ス 制 御 の 管 理 、 資 産 の 保 全 、 従 業 員
に対する脅威の通知など、それぞれの手段を確立することが挙げ
られる。

Information Systems and Controls 3-63

6363
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Detect （ 検 出 ）
フレームワークを適用し、脆弱性を迅速に検出するための活動を
定 め る 。 こ れ に は 異 常 な 事 柄 (anomalies) の 検 索 、 継 続 的 な 監 視
の実施、防護策の結果の有効性検証などが含まれる。
 Respond （ 対 応 ）
フレームワークを適用し、検出された脆弱性への対応を実施する。
これには、適切な対応のための問題分析、脆弱性による影響が拡
がるのを防ぐための緩和活動の実施、問題の内容と対応策につい
て組織への伝達などが含まれる。
 Recover （ 回 復 ）
フレームワークを適用し、脆弱性の緩和を支援する。関連する活
動には、復旧計画の実施、改善、適切なスタッフに対する復旧に
関する通知などが含まれる。

②-2 Vulnerability Scanners （ 脆 弱 性 ス キ ャ ン ）

脆弱性スキャンは、システムに既知のセキュリティリスクがないか
を検証するアプリケーションで、システムをスキャンした結果を脅威
のデータベースと照合し、セキュリティリスクの有無を判断する。脅
威のデータベースは定期的に更新され、最新の脅威に対応している。
脆弱性スキャンは、悪用されやすいオープンネットワークポートのス
キャン、システム間で送信されるデータパケットの分析、使用される
プロトコルの特定、ユーザーのシステムで実行されているオペレー
ティングシステムとアプリケーションの種類の特定などを行う。
脆弱性スキャンは一方で、攻撃者が組織の弱点を特定し、その弱点
を攻撃するために利用することができるという側面もある。

②-3 Vulnerability Assessments （ 脆 弱 性 評 価 ）

脆弱性評価は、最初のリスク分析の一部として行われ、その後、四
半期ごとや毎年、実施されることが多い。脆弱性評価ではしばしば脆
弱性スキャンが使用され、特定の脅威がまだ残っていないかを判断す
るため、時間をかけて観察される。脆弱性評価の結果、何らかのソ
リューションを導入する必要があるとわかっても、場合によってはそ
の導入自体が業務に支障をきたす可能性があり、即時にソリューショ
ンを導入できないこともある。その場合、脆弱性を緩和し、かつ効率
的な運用を可能にするソリューションができるまで、企業はリスクに
さらされた状態で運用を続けることになる。

3- Information Systems and Controls

64646
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

評価結果には大きな価値があるとともに、評価プロセスを経ること
で 付 随 的 な 利 点 も あ る 。 評 価 プ ロ セ ス で は 複 数 の IT プ ロ セ ス の 観 察 や 、
通常は評価対象とならない組織全体の従業員への照会が行われるから
である。こうして経営者が組織の全体像を把握することで、ある部分
のプロセスが他の部分にどのように影響し、脆弱性を生み出している
かを確認することができる。

Information Systems and Controls 3-65

6565
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

③ Common Vulnerabilities and Exposures Dictionary

Common Vulnerabilities and Exposures （ CVE ； 共 通 脆 弱 性 識 別

子 ） Dictionary は 、 セ キ ュ リ テ ィ 脆 弱 性 の 辞 書 で あ り 、 さ ま ざ ま な 脆 弱 性
に対して一意の識別子を提供する。新しい脆弱性が発見されると、デー
タ ベ ー ス を 管 理 す る 組 織 で あ る MITRE 社 に よ っ て 、 そ の 名 称 と 識 別 子 が
辞書に追加される。
CVE は 脆 弱 性 の 認 識 と 名 称 を 標 準 化 す る の に 役 立 っ て お り 、 現 在 で は
CVE 識 別 子 は さ ま ざ ま な サ イ バ ー セ キ ュ リ テ ィ 製 品 で 使 用 さ れ 、 CVE を
参 照 し た 製 品 に は "CVE-Compatible" と 表 示 さ れ る よ う に な っ て き て い
る。

④ Patch Management

アプリケーションにバグが発見されると、ソフトウェアベンダーは
パッチと呼ばれる更新プログラムをリリースし、顧客が脆弱性を修正で
きるようにする。このパッチの管理は脆弱性管理ソリューションと連携
してセキュリティの脅威を最小化するための重要な要素である。
効 果 的 な パ ッ チ 管 理 と し て は 、 ま ず IT 管 理 者 が 、 対 象 の ア ッ プ デ ー ト
が自社に適用可能かどうかを評価し、隔離されたシステムでパッチをテ
ストし、パッチの導入計画を立て、パッチを導入し、パッチが正常に実
装されたかを検証することが望まれる。
Service organization は 変 更 管 理 ロ グ (change management log) の 整 備 を
求 め ら れ る 場 合 が あ り 、 パ ッ チ 管 理 プ ロ セ ス は 通 常 、 SOC 2®
engagement に お い て 検 査 対 象 と な る 。

3- Information Systems and Controls

66666
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(7)Layered Security in Cyberdefense

Layered security （ 重 層 的 な セ キ ュ リ テ ィ ） の 目 的 は 、 多 様 な セ キ ュ リ
ティ戦術を組み合わせて組織を保護し、単一のサイバー攻撃やセキュリ
ティの脆弱性によってシステム全体が危険にさらされないようにすること
である。階層的アプローチでは、物理的アクセス制御、論理的／技術的制
御、管理的制御を組み合わせて、制御に冗長性を与える。この冗長性は多
面的な侵害が発生した場合に生じるセキュリティ上の欠陥を補うために導
入される。

① Defense-in-Depth （多層防御）

最 も 一 般 的 な layered security solutions （ 重 層 的 な 防 御 戦 略 ） の 1 つ に 、

defense-in-depth cybersecurity strategy （ 多 層 防 御 型 サ イ バ ー セ キ ュ リ テ ィ 戦
略）がある。これは防御技術のみに頼るのではなく、以下に挙げるよう
な層をいくつも組み合わせる多層的な防御戦略である。
・ Personnel （ 人 員 ）
組織は多層防御を効果的に導入するために、セキュリティ機能や
ツールを効果的に運用できる専門家を確保しなければならない。総
合 的 な 専 門 知 識 を 持 つ 特 定 の IT 専 門 家 が 必 要 に な る 場 合 が あ る 。
・ Policies （ 方 針 ）
テクノロジーをどのように使うべきかを規定するポリシーを作成・
導入し、実装したツールが設計通りに機能しているかを長期的に監
視する必要がある。
・ Technology （ 技 術 ）
多層防御戦略に適用される技術的統制には、侵入検知・防御システ
ム、ウイルス対策ソフトウェア、ファイアウォール、エンドポイン
トセキュリティなどのセキュリティソリューションが含まれる。
・ Physical Access Controls （ 物 理 的 ア ク セ ス 制 御 ）
物 理 的 ア ク セ ス 制 御 に は 、 カ メ ラ 、 ゲ ー ト 、 鍵 、 フ ェ ン ス 、 ID に よ
るアクセス管理、空調管理された機器へのアクセス制限などのセ
キュリティ対策がある。
・ Logical Access Controls （ 論 理 ア ク セ ス 制 御 ）
不正アクセスを防ぐために設計されたソフトウェア／ハードウェア
で 実 行 さ れ る 、 ル ー ル に 基 づ く 制 御 (rule-based controls) で あ る 。
このような制御はユーザー認証システムに組み込まれ、ログイン認
証情報、多要素認証、およびさまざまな権限ベースの論理アクセス

Information Systems and Controls 3-67

6767
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

方 法 な ど を 通 じ て ID の 検 証 を 担 う 。

3- Information Systems and Controls

68686
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

② Redundancy and Diversification

同一のリソースを保護するために複数のセキュリティ手段を使用する
ことで、あるレイヤーに障害が発生しても、異なる手段で保護すること
ができる。
また冗長性と多様性は、組織の弱点を狙った様々な攻撃にも対抗できる。
更に、一つのセキュリティ手段のプロセスを分割し、異なる人物やシ
ステムに担当させたり、重複させたりすることで、全体的なセキュリ
ティはより多様になり、より効果的になる可能性がある。
こうした冗長性を実現するには、以下の要素が必要である。
 layering processes （ 多 層 化 ）
 isolating processes （ 分 離 ）
 concealing data（ デ ー タ の 秘 匿 ）
 segmenting hardware （ ハ ー ド ウ ェ ア の 分 割 ）

②-1 Process Layering and Isolation （ 多 層 化 と 分 離 ）

プロセスの多層化は、オペレーションをより小さな塊に分割して冗
長性を持たせ、それを別の人が管理したり、機械やコンピューターが
実行したり、他のプロセスから完全に分離したりすることができる。
こうすることで、プロセスの重要度の低い部分よりも、重要度の高い
部分や機密情報を重点的に保護するようにできる。

②-2 Abstraction and Concealment（ 抽 象 化 と 秘 匿 ）

Abstraction （ 抽 象 化 ） と は 、 あ る 機 能 を 実 行 す る 人 物 に 、 そ の 機 能
に関する情報のみが提示されるように、タスクを単純化し、タスク全
体の複雑さをわからないようにするプロセスである。抽象化の主な目
的は複雑なタスクを単純化することであるが、ユーザーアクセスを制
限し、業務遂行に必要な詳細情報以外はアクセスできないようにする
ことで、サイバーセキュリティ上も重要な役割を果たす。
抽象化はアプリケーションとネットワークの両方に適用できる。
Concealment（ デ ー タ の 隠 蔽 ） は 抽 象 化 と 似 て い る が 、 抽 象 化 の 焦 点
はユーザーがタスクをより効率的かつ安全に実行するために、複雑な
タスク自体を単純化することに重点を置いているのに対し、隠蔽は
データを隠すことに重点を置いている。実装する際には、特定のデー

Information Systems and Controls 3-69

6969
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

タセット、アプリケーションの一部、オブジェクトにセキュリティレ
ベル割り当て、それを必要とするユーザーにのみアクセス権限を割り
当てる。

②-3 Hardware Segmentation

ハードウェアの分割は、目的はプロセスの分離と同じであるが、論
理的な分離ではなく、物理的にマシンを分離する。こうした分割はそ
れほど一般的ではないが、地理的に分散したネットワークを持つ大規
模な組織で適用されることがある。

3- Information Systems and Controls

70707
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(8)Common Preventive, Detective, or Corrective Controls

適切に設計されたサイバーセキュリティ統制には、脅威の発見時／抵抗
時のすべての段階で脅威を軽減するポリシー、手順、および技術が存在す
る 。 こ れ ら の 統 制 は preventive controls （ 予 防 的 統 制 ） 、 detective controls
（ 発 見 的 統 制 ） 、 corrective controls （ 是 正 的 統 制 ） に 分 類 す る こ と が で き る 。

① Preventive Controls （ 予 防 的 統 制 ）

予防的統制は、悪意のある活動が発生しないようにするためのもので、
以下のような方法で攻撃者がデバイス、アプリケーション、ネットワー
クにアクセスするのを阻止する。
＜ Preventive controls 例＞
 Safeguarding Practices （ 保 護 の 実 践 ）
ソフトウェア／ハードウェアに対する強力な予防的統制は、強力
なパスワードの要求、多要素認証の使用、身元調査の実施、デバ
イスの施錠、機密データに関する厳格なガイドラインの遵守など
の適切に設計された方針・手続と組み合わせるべきである。
 Education and Training （ 教 育 ）
サイバーセキュリティのリスクと、そのリスクを軽減するために
導入されている組織のツールについて、従業員に情報を提供する
ことは、実装済みの技術的セーフガードを補完する予防的統制と
なる。
 Regular Security Updates （ セ キ ュ リ テ ィ 更 新 ）
最新のサイバーセキュリティ上の脅威から組織の物理的・論理的
セキュリティ対策を守るために、広範かつ包括的なセキュリティ
強化を定期的に実施する。
 Encryption （ 暗 号 化 ）
暗号化は、データ保存時／転送時にデータを判読不可能な形式に
変換することで、データが侵害された場合でも、データを解読し、
攻撃に利用できないようにする。
 Firewalls （ フ ァ イ ア ウ ォ ー ル ）
ファイアウォールは、事前に定義されたルールに基づいて通信を
監視・フィルタリングし、信頼できる当事者やネットワークのみ
が組織のネットワークに接続できるようにすることで、不正な
ネットワーク利用を防ぐ。

Information Systems and Controls 3-71

7171
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Patches （ パ ッ チ ）
パッチは既存のソフトウェアプログラムに対する更新／修正で、
新たに発見された設計上の欠陥、操作上の誤りの解決を目的とし
た、予防的統制と是正的統制の両方の場合がある。

3- Information Systems and Controls

72727
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

 Physical Barriers （ 物 理 的 障 壁 ）
物 理 的 障 壁 は 組 織 の IT イ ン フ ラ へ の 不 正 な 物 理 的 ア ク セ ス を 防 止
するように設計された管理策で、例えばドアやキャビネットの施
錠、警備員、フェンス、ゲート、監視システムなどのアクセス制
御がある。
 Device and Software Hardening（ ハ ー ド ニ ン グ ）
デバイスとソフトウェアのハードニングは、システム全体として
の脆弱な点の総数を減らすよう、セキュリティツールを実装する
ことを指す。ハードウェアからソフトウェアにわたる脆弱性の数
を最小限に抑えることで、攻撃を一定程度、防ぐことができる。
 Intrusion Prevention System (IPS) （ 侵 入 防 御 シ ス テ ム ）
IPS （ 侵 入 防 御 シ ス テ ム ） は 、 サ イ バ ー 攻 撃 が 標 的 の シ ス テ ム に
到達する前に検知・阻止することを目的としたネットワークセ
キュリティソリューションである。ネットワークに入ってくるす
べ て の デ ー タ が IPS を 通 過 す る よ う に す る 点 で フ ァ イ ア ウ ォ ー ル
に似ている。

①-1 Access Controls—Authorization Models

アクセス制御とは、許可された従業員以外はアクセスを許可しない
セキュリティ対策で、以下のような認証モデルがある。
 Discretionary access control （ DAC ； 任 意 ア ク セ ス 制 御 ）
DAC は デ ー タ の 所 有 者 、 保 管 者 、 製 作 者 が 、 自 分 で デ ー タ へ の ア
ク セ ス を 管 理 で き る よ う に す る 分 散 制 御 で あ る 。 DAC の 下 で こ れ
らの所有者等は、自己の判断に基づいて他人にアクセスを許可し
たり、他者にデータに関するタスクを委任したりすることができ、
以下のような行動を行うこともできる。
・他のユーザーへの情報の受け渡しを制御する。
・ユーザーのセキュリティ属性を許可／変更する。
・新しく作成／変更されたオブジェクトに関連付けるセキュリ
ティ属性を決定する。
・アクセス制御のルールを変更する。

 Mandatory access controls （ MAC ； 強 制 ア ク セ ス 制 御 ）

MAC は 対 照 的 に 非 裁 量 的 な 制 御 で 、 管 理 者 が 一 元 的 に 管 理 し 、 環
境全体で一貫したルールを運用する。従ってアクセスは個人に依
ら ず 、 シ ス テ ム 全 体 を 管 理 す る 一 元 的 な ル ー ル に 依 拠 す る 。 MAC
は管理しやすい一方で、柔軟性に欠けるといえる。

Information Systems and Controls 3-73

7373
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Role-based access controls （ 役 割 ベ ー ス の ア ク セ ス 制 御 ）

役割ベースのアクセス制御は、個別に権限を割り当てるのではな
く、ユーザーの職務上の役割に基づいてアクセスを管理する。管
理者は職務上の役割ごとに分類し、役割に応じたアクセスや権限
を与える。
 Rule-based access control（ ル ー ル ベ ー ス の ア ク セ ス 制 御 ）
ルールベースのアクセス制御は組織内でのユーザーの役割や立場
とは無関係に、あらかじめ決められたアクセス許可のルールに
従って、エリア、デバイス、データベースへのアクセスを許可し、
セキュリティ権限を設定する。
＜ルールベースのアクセス制御の手順＞
1. シ ス テ ム 管 理 者 が ア ク セ ス ル ー ル 作 成 す る 。
2. ル ー ル を ア ク セ ス 制 御 シ ス テ ム 全 体 に 統 合 す る 。
3. ユ ー ザ ー が ア ク セ ス 認 証 情 報 を 提 示 す る 。
4. 制 御 機 構 が ア ク セ ス ル ー ル を 照 合 し 、 認 証 情 報 を チ ェ ッ ク す
る。
5. ユ ー ザ ー は ア ク セ ス を 許 可 ／ 拒 否 さ れ る 。

 Policy-based access control （ PBAC ； ポ リ シ ー ベ ー ス の ア ク セ ス 制

御）
PBAC は ユ ー ザ ー の 役 割 と ポ リ シ ー の 組 み 合 わ せ を 使 用 し て 、
ユ ー ザ ー ア ク セ ス を 動 的 に 維 持 ・ 評 価 す る 。 PBAC は 、 ユ ー ザ ー
の役割、運用上の必要性、リスクなど、そのユーザーに関する既
知の情報に基づいてユーザーのアクセスを評価するフレームワー
クのようなものである。
ポリシーベースの制御は一般的に、ルールベースの制御よりも柔
軟 性 が 高 い 。 組 織 が 成 長 し 、 ポ リ シ ー の 変 更 に 応 じ て 、 PBAC は
より広範なアクセス制御のニーズに対応せざるを得なくなる。適
用すべきルールの数が少なく、ルール自体も単純であれば、小規
模な組織の方がルールベースの制御に適しているといえる。
 Risk-based access controls （ リ ス ク ベ ー ス の ア ク セ ス 制 御 ）
リスクベースのアクセス制御は、ユーザーのアイデンティティ、
アクセス対象の資産のリスクレベル、資産へのアクセスの目的、
およびユーザーとアクセス対象のシステム／資産との間に存在す
るセキュリティリスクに基づいて制御を判断・適用する。
このようにリスクに応じてアクセス可否が判断されるため、高リ
スクのシステムにアクセスする場合は、多要素認証などの厳格な
セキュリティ対策が施される一方で、低リスクのシステムにアク
セスする場合ではパスワードのみで済む場合もある。

3- Information Systems and Controls

74747
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

Information Systems and Controls 3-75

7575
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

①-2 Access Controls—Authorization Model Controls Used for Implementation

アクセス制御リスト、アクセス制限、物理的バリアなど、認証モデ
ルを実装する際にはさまざまな統制が行われる。
Access control list （ ACL ； ア ク セ ス 制 御 リ ス ト ） と は 、 ど の ユ ー
ザーに特定のリソース（ファイル、フォルダ、ディレクトリー、その
他 の IT リ ソ ー ス な ど ） に ア ク セ ス す る 権 限 を 与 え る か を 定 め た ル ー ル
の 一 覧 で あ る 。 ACL は ま た 、 ユ ー ザ ー が こ れ ら の リ ソ ー ス に 対 し て 実
行できるアクション、例えばファイル編集の可否、プログラムの実行
など、アカウント制限についても一覧化されている。
こ の よ う に ネ ッ ト ワ ー ク ト ラ フ ィ ッ ク は ACL で 定 義 さ れ た ル ー ル に 基
づいてアクセス制限とアカウント制限が行われる。
ACL は 組 織 の ネ ッ ト ワ ー ク ト ラ フ ィ ッ ク の 全 て を フ ィ ル タ リ ン グ す
る広範なものもあれば、特定のファイルやディレクトリーへのアクセ
スをユーザーごとにフィルタリングするものもある。
・ File system ACL ： 特 定 の フ ァ イ ル 、 フ ォ ル ダ 、 お よ び デ ィ レ ク ト
リーへのアクセスを制限する。
・ Networking ACL ： ル ー タ ー 、 ス イ ッ チ 、 お よ び そ の 他 の ネ ッ ト ワ ー
クデバイスにおいて、ネットワーク上に流してよいネットワーク
トラフィックの種類を制限する。 Networking ACL は ア ク セ ス を 制
御するために使われるだけでなく、データの流れを制限したり流
したりすることで、ネットワークのパフォーマンスを向上させる
こともできる。

ACL は ネ ッ ト ワ ー ク 上 の ト ラ フ ィ ッ ク を フ ィ ル タ リ ン グ す る と い う
点でファイアウォールと似ているが、その目的と機能は異なる。ファ
イアウォールは悪意のある攻撃から組織を保護することを目的として
い る の に 対 し 、 ACL は ユ ー ザ ー の ア ク セ ス と 許 可 を 管 理 す る こ と を 目
的としている。またファイアウォールは制限を適用するのに対し、
ACL は 通 常 、 デ ー タ パ ケ ッ ト が ど こ か ら 発 生 し た の か や 、 接 続 に 関 す
る そ の 他 の 詳 細 を 把 握 で き な い 。 こ れ ら を 把 握 で き る の は 、 ACL が
ネットワーク接続の状態を追跡し、接続を許可すべき正当なパケット
と 不 正 な パ ケ ッ ト を 区 別 す る stateful ACL の 場 合 の み で あ る 。

3- Information Systems and Controls

76767
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

② Detective Controls （ 発 見 的 統 制 ）

Detective controls （ 発 見 的 統 制 ） は 脅 威 を 検 知 し 、 脅 威 発 生 後 の 調 査 や
監査時に役立つように設計される。
＜ Detective controls 例＞
 Network Intrusion Detection System (NIDS)
ネットワーク上のすべてのデバイスの受信トラフィックを監視し、
トラフィックの特定の要素を既知の攻撃ライブラリと照合し、事
前に定義されたイベントを検知した場合に警告を発するセキュリ
ティソリューション。
 Antivirus Software Monitoring
ウイルス対策ソフトはファイルをリアルタイムでスキャンし、既
知のウイルスのライブラリと比較し、ウイルスを検出した場合は
直 ち に ウ イ ル ス を 削 除 す る か 、 ま た は 隔 離 し て IT 担 当 者 が 更 な る
対応を行う。システムのスキャンは自動的かつ定期的に実行され
るよう設定する。
 Network Monitoring Tools
ネットワーク監視ツールには様々なツールがあり、例えば、ネッ
ト ワ ー ク 上 で 送 信 さ れ る デ ー タ パ ケ ッ ト を 分 析 す る packet sniffer
や、ネットワーク統計（パケットロス、システムのアップタイム、
可 用 性 な ど ） を 測 定 す る network performance monitoring (NPM) ツ ー
ル 、 ネ ッ ト ワ ー ク 統 計 や エ ラ ー 率 を 測 定 す る Simple Network
Management Protocol (SNMP) な ど が あ る 。
 Log Analysis
ログ分析には分析に利用するためのデータの記録と監視が伴い、
不正なイベントの発生を示す異常、傾向、パターンが検出される
ことがある。
 Intrusion Detection Systems (IDS)
IDS （ 侵 入 検 知 シ ス テ ム ） は シ ス テ ム リ ソ ー ス に 不 正 ア ク セ ス し
ようとする試みを発見し、ほぼリアルタイムで警告することを目
的に、環境をスキャンし、ネットワークやシステムのイベントを
監 視 ・ 分 析 す る セ キ ュ リ テ ィ ソ リ ュ ー シ ョ ン で あ る 。 IDS と IPS
の 主 な 違 い は 、 IDS は あ く ま で も 発 見 的 統 制 で あ り 、 攻 撃 が 始
まった後に検知するのみで、攻撃を防ぐことはできないという点
である。
Service organization に お け る IDS は 、 顧 客 の ネ ッ ト ワ ー ク を 継 続 的 に 監

Information Systems and Controls 3-77

7777
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

視 し 、 潜 在 的 な セ キ ュ リ テ ィ 侵 害 を 防 止 す る も の で あ る 。 SOC 2®
engagement で は 、 IDS の 設 定 を 検 証 し 、 顧 客 の ネ ッ ト ワ ー ク の 継 続 的 な
監視が実施されているか、そして潜在的なセキュリティ侵害の早期予防
が実施されているかを評価する。

3- Information Systems and Controls

78787
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

③ Corrective Controls （ 是 正 的 統 制 ）

是正的統制は、最近のセキュリティインシデント、セキュリティ自己
評価、業界慣行の変化などを分析し、既知の脆弱性を修正することを目
的とした統制である。これらの管理策を導入し、効果的に運用すると、
予防的または発見的な統制となる。
＜ Corrective controls 例＞
 Reconfigurations （ 再 構 成 ）
既知の脆弱性を修正するためにアプリケーションやシステムの設
定を変更することで、影響を受けたオペレーションを回復し、さ
らなる被害を防ぐことができる。例えばファイアウォールの設定
変更、オペレーティングシステムの設定変更、アクセス制御の設
定変更などが挙げられる。
 Upgrades and Patches
システム性能の向上、新機能の追加、組織のセキュリティの補完
などの目的で、セキュリティパッチやソフトウェアの更新が実施
されることがある。
 Revised Policies and Procedures
組織の慣行を定期的に見直し、改善することにより、新たな技術
を導入したり、既存システムを変更したりすることなく、セキュ
リティ上の問題を解消できることがある。例えば1 つの仕事を複
数に分けたり、点検作業を追加したり、機密データの取扱方法を
変更したりするなど、簡単に取り組めるようなものもある。
 Updated Employee Training
サ イ バ ー 攻 撃 や IT 悪 用 の リ ス ク に 関 す る 従 業 員 間 の 知 識 の 差 は 、
社員研修によって軽減することができる。研修では一般的な詐欺
スキームの特徴や、詐欺が疑われる事態が発生した場合の対応方
法、将来のインシデントを防止するために必要な行動の改善など
について、周知する。
 Recovery and Continuity Plans
組織は災害等で通常の業務が中断される時間を最小化するよう、
災害や攻撃から迅速に回復し、業務を継続できる強固 (robust)
な計画を策定すべきである。
 Antivirus Software Removal of Malicious Viruses
最新のアンチウイルスプログラムのほとんどは、ウイルスを識別
するだけでなく、ウイルスを駆除し、組織にとって脅威とならな

Information Systems and Controls 3-79

7979
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

いように設計されている。
 Virus Quarantining （ ウ イ ル ス の 隔 離 ）
実際のウイルスや疑いのあるウイルスを隔離することで、組織の
ネットワーク上の他の部分へ脅威が及ばないようにする。ウイル
スの隔離はウイルス対策ソフトによって自動で行われるか、シス
テムログのレビューから不審な活動を検知した後に手動で行われ
る。

3- Information Systems and Controls

80808
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

3. Security Testing （ セ キ ュ リ テ ィ テ ス ト ）

(1)Security Assessments

サイバーリスクを効果的に管理するためには、確立されたリスク管理の
フレームワークをもとに、継続的に脅威を評価し、対応することが重要で
ある。
ここでは特に、経営者に対して組織の情報セキュリティの現状について
報 告 す る Security Assessment Reports (SAR) に つ い て 理 解 し て お き た い 。

① Risk Management Framework

組織におけるリスク管理には、緻密な計画と組織の全てのレベルの参
加 を 必 要 と す る 。 National Institute of Standards and Technology （ NIST ； 米 国 国
立 標 準 技 術 研 究 所 ） は 、 NIST Special Publication 800-39 に お い て 、 リ ス ク
管理の包括的なフレームワークを提供しており、以下の4 つの要素の適
用を求めている。
・ Risk Framework
組織がリスクベースの意思決定を行う環境を整備し、リスクの評価、
対応、監視を可能にする戦略を立てるため、組織は以下を特定する
必要がある。
・リスクの想定
・リスク制約
・リスク許容度
・優先順位とトレードオフ

・ Assess Risk
以下の脅威や脆弱性を特定できるようなリスク評価方法を採用する。
・国家、組織、個人、資産、業務に対する脅威
・組織内部および外部の脆弱性
・ 脆 弱 性 を 悪 用 す る 脅 威 の 可 能 性 を 考 慮 し た 場 合 に 発 生 す る可 能
性のある損害
・損害が発生する可能性

・ Respond to Risk
リスク評価の結果に基づき、組織全体として一貫したリスク対応を
行うようにする。
・リスクに対応するための代替行動指針の策定
・代替行動指針の評価
・組織のリスク許容度に応じた適切な行動指針の決定

Information Systems and Controls 3-81

8181
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

・選択した行動指針に基づくリスク対応の実施

3- Information Systems and Controls

82828
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

・ Monitor Risk
以下の方法で継続的にリスクを評価・監視する。
・進行中のリスク対応の有効性の判断
・組織の情報システムやシステム環境に対して影響を及ぼす変更
の特定。
・計画されたリスク対応が実施された場合に、組織のミッション
や関係する法規制、業界基準などに基づく情報セキュリティ要件
を満たしているかの検証。

② Security Assessment Engagements and Reporting

セ キ ュ リ テ ィ 評 価 業 務 は 前 項 の Risk Management Framework の 2 つ 目 の

構 成 要 素 (Assess Risk) に 対 応 し 、 そ の 主 な 業 務 は 、 リ ス ク 評 価 と 統
制のテストを実施し、組織の情報セキュリティ能力の現状に関する
デ ー タ を 取 得 し 、 経 営 陣 に 対 し て Security Assessment Report （ SAR ； セ
キュリティ評価報告書）を発行することである。評価方法の基本や
SAR で 提 示 さ れ る 重 要 な 要 素 に つ い て は 、 NIST の Special Publications
800-39 お よ び 800-53A Rev 5 で 幅 広 く 説 明 さ れ て い る 。

②-1 Security Assessment Engagement Procedures

セキュリティ評価業務の最初のステップは、評価対象と評価方法を
明 確 に し た 評 価 手 順 (assessment procedures) を 定 義 す る こ と で あ る 。
評価方法には次のようなものがある。
・ Examination
評価対象（職務役割、セキュリティ仕様、セキュリティ活動、関連す
る業務活動、など）を分析、観察、レビューする。
・ Interviewing
証拠をよりよく理解し、収集し、評価するために、個人やグループを
対象に問い合わせを行ったり、話し合ったりする。
・ Testing
目標とされる状態と比較して、評価対象が現状でどのように機能して
いるかを実際に検証する。
組織は以下を確認し、これらの評価を支援すべきである。
・リスク評価に必要なツール、技 ・評価の実施方法
術、方法論 ・評価の頻度
・リスク評価の前提 ・脅威に関するデータの

Information Systems and Controls 3-83

8383
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

・制約条件 情報源と収集方法
・役割と責任
・評価データの収集と処理方法
・組織へのコミュニケーション方
法

②-2 Security Assessment Reports

Security Assessment Reports (SAR) は 、 経 営 者 に 対 し て 組 織 の 情 報 セ

キュリティの現状について報告するもので、現状の管理策が所定のセ
キュリティ目標および目的に適合していること、あるいは適合してい
な い こ と の 証 拠 と し て 発 行 さ れ る 文 書 で あ る 。 NISTは SAR に つ い て 、
評価者の所見と、問題や脆弱性に対する推奨事項を文書化する際にガ
イドラインとなる報告書である、としている。
評価報告書には一般的に、詳細な評価所見とともにその要約が含ま
れ、要約はプライバシーおよびセキュリティ管理の有効性を判断する
際に利用される。
報 告 書 に は 評 価 者 が 行 っ た 手 続 ご と に 、 そ の 評 点 と し て
"satisfied （ S ； 満 足 ） " ま た は "other than satisfied （ O ； 満 足 以 外 ）
" をつける記述がある。
"satisfied" は 、 評 価 目 的 が 満 た さ れ 、 許 容 で き る 結 果 が 得 ら れ た こ と
を 示 す 。 "other than satisfied" は 、 評 価 手 順 の 記 述 に 対 し て 十 分 な 情 報 を
得られなかったことを示し、統制の運用上、または導入上の不備によ
るものである可能性がある。
SAR に は 通 常 、 以 下 の 主 要 項 目 が 含 ま れ る ：
・ Summary of Findings （ 所 見 の 要 約 ）
SAR の 冒 頭 部 分 で あ り 、 主 な 所 見 の 概 要 と 、 弱 点 や 欠 陥 の 対 処 に
推奨される措置が記載されている。
・ System Overview （ シ ス テ ム の 概 要 ）
評価対象（ハードウェア、ソフトウェア、人員、その他の関連リ
ソース）の情報管理システムの概要を示す。
・ Assessment Methodology （ 評 価 手 法 ）
評価を実施するために利用した技法と手順を説明する。
・ Security Assessment Findings （ セ キ ュ リ テ ィ 評 価 の 所 見 ）
評価中に発見された差異と欠陥について論じる。（次頁参照）

3- Information Systems and Controls

84848
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

・ Recommendations （ 提 言 ）
発見された欠陥を是正するための指示を提供する。
・ Action Plan （ 行 動 計 画 ）
欠陥を是正するためにとるべき段階を網羅したロードマップを提
供する。

Information Systems and Controls 3-85

8585
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

＜参考＞ SAR Findings: Issue Documentation

Referenc
IA-XXX1
e:
Risk Level: (Risk Level is High, Moderate, or Low)

Moderate

Ease-of-Fix: (Ease-of-Fix is Easy, Moderately Difficult, Very Difficult, or No Known Fix)

Easy
Estimated Work Effort: (Estimated Work Effort is Minimal, Moderate, Substantial, or
Unknown; or a time estimate based on level of commitment and an adequate skill set)
Moderate

Description
ABC Co.’s “Identify and Access Management Policy,” specifically Appendix A, establishes
password management standards for authenticating ABC’s system users based on level of
assurance, system interface type, and impact to the company.
Scope
Operating systems
Microsoft 365 Suite
Accounts payable automation
Enterprise resource planning
Human resources information system
Project management
Billing system
Aurora databases
Findings: Other than satisfied (O)
The assessment team continued to identify multiple password management vulnerabilities.
For example, we continued to find a significant number of weak passwords on major
databases, applications, and networking devices at most of ABC’s facilities.

Additionally, password parameter settings for network domains, databases, key financial
applications, and servers were not consistently configured to enforce the company’s
password policy standards. Even though some improvements have been made, we continue
to identify security weaknesses that were not remediated from prior years.

Many of these weaknesses can be attributed to ABC’s ineffective enforcement of its

company-wide information security risk management program and ineffective communication
from senior management to the individual offices. The use of weak passwords is a well-
known security vulnerability that allows malicious users to easily gain unauthorized access to

3- Information Systems and Controls

86868
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

mission-critical systems.

Recommended Corrective Action(s):

The assessment team recommended the chief information manager implement mechanisms
to enforce company password policies and standards on all operating systems, databases,
applications, and network devices.
Status: Corrective action needs to be executed

③ Security Assessment Evaluators

セ キ ュ リ テ ィ 評 価 は 、 シ ス テ ム 監 査 人 、 開 発 者 、 評 価 者
(assessors) 、 検 査 官 (inspectors general) 、 シ ス テ ム イ ン テ グ レ ー タ な ど
によって実施される。組織の業務やアサーションについて他者に保証を
与 え る た め に 評 価 が 実 施 さ れ る 場 合 、 AICPA の Service Organization
Control （ SOC ） 基 準 が 適 用 さ れ る 。 例 え ば 情 報 技 術 を サ ー ビ ス と し て 提
供 す る managed services provider （ MSP ； マ ネ ー ジ ド サ ー ビ ス プ ロ バ イ
ダ ー ） は 、 SOC 報 告 書 を 取 得 し 、 経 営 者 の ア サ ー シ ョ ン （ ＝ 主 に 、 そ の
業務が契約した基準を満たしていること）を顧客に保証する。

④ Security Assessment Process

評価プロセスの焦点は、組織のセキュリティ及びプライバシー統制に
ついて客観的な結論を出すための情報を、費用対効果の高い方法で収集
することである。これは企業のリスクマネジメントプロセスの質と成熟
度 を 考 慮 し 、 NIST 800-53A Rev 5 な ど の 基 準 の 概 念 、 方 法 、 管 理 目 標 を カ
スタマイズすることによって実施される。
＜評価結果の有用性＞
・リスク管理プロセスにおける潜在的欠陥を特定する。
・セキュリティシステムにおけるセキュリティ及びプライバシーに
関する欠陥を特定し、適切な対応策を決定する。
・リスク対応の優先順位を付ける。
・監視活動とシステム認証の判断を支援する。
・予算編成および投資の意思決定に役立つ情報を提供する。

⑤ Security Assessment Evidence

評価者は過去に実施した製品やシステムの評価、システム開発や運用
に関する文書など、さまざまな情報源から証拠を入手する。
製品やシステムの評価は多くの場合第三者によって実施される検査で、
製品のセキュリティ機能や設定を評価する。このような評価は規制への

Information Systems and Controls 3-87

8787
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

準拠、開発者やベンダーの主張を実証するために実施されることもある
が 、 SAR 上 の ア サ ー シ ョ ン を 裏 付 け る 証 拠 と し て 使 用 さ れ る こ と も あ る 。
システム開発活動から得られる証拠には、システム開発ライフサイク
ル中に開発者、オペレータ、評価者、その他のシステムオーナーが作成
し た 成 果 物 が 含 ま れ 、 例 え ば 設 計 仕 様 書 (design specifications) 、 テ ス ト
及びコード分析、関連する従業員へのインタビューなど、セキュリティ
機能が信頼でき確実であることの証拠となる。

同様に、システム運用から得られる証拠も、是正努力の記録、侵入な
どの事象によるインシデント報告、継続的な監視活動報告など、セキュ
リティ機能の保証の一端を担う。
＜セキュリティ機能及びセキュリティ活動の有効性判断に役立つ証拠
例＞
・現在導入されているプライバシーとセキュリティの管理
・システムと業務に関する変更管理の実践
・方針、規制、基準の遵守

これらの各種証拠の精密さは、以降に実施するテスト、分析、評価の
種類に影響を及ぼす。対象範囲と深度が浅い成果物は証拠としての保証
レベルが低く、より厳密で、包括的、または重点的なテストが必要にな
ると考えられる。逆に深度の深い成果物があれば、セキュリティ機能が
正確かつ完全に実装されていることを示す証拠となり、必要となるテス
トは少なく済むと考えられる。

3- Information Systems and Controls

88888
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(2)Communication of Security Knowledge and Awareness

組 織 の デ ジ タ ル 資 産 と 物 理 的 資 産 を 守 る た め に は 、 IT 部 門 だ け で な く 、
すべての従業員が重要な役割を果たす必要があり、教育・訓練プログラム
の必要性は極めて高い。サイバー攻撃の高度化、範囲、件数が年々増加す
る中、組織はサイバー攻撃による損害を最小限に抑えるために、こうした
セキュリティ意識向上プログラム（情報セキュリティ研修）への投資が必
要である。
定期的な情報セキュリティ研修の実施は、さまざまな情報セキュリティ
の 枠 組 み や 規 制 に よ っ て 奨 励 ま た は 義 務 付 け ら れ て い る 。 例 え ば NISTを は
じ め 、 GDPR 、 HIPAA 、 SOC2® で は 、 従 業 員 に 対 し て 定 期 的 な 情 報 セ キ ュ
リティ研修を実施する必要性を強調している。

① Security Awareness Delivery Methods

情報セキュリティ教育の方法は、社内で整備するもの、外部に委託す
るもの、あるいはその2 つを組み合わせたもの、とさまざまである。社
内で研修教材を作成できない限り、外部から入手する必要が生じる。
研修の実施方法には、個人研修、グループ研修、ライブ研修、オンデ
マンド研修がある。研修内容の評価には、小テスト、試験、ケーススタ
ディ、シミュレーションなどがある。研修の効果を最適化していくため
に、長期的な研修方法の見直しが推奨される。また、コース計画や提供
方法についての一貫性保持や評価のため、研修プロジェクトの適切な文
書化が求められる。

② Organizational Job Roles Specific to Security Awareness

セキュリティ意識の向上に関する職務上の役割については、その責任
のレベルによって以下の3 つに分類することができる。
・ Management
情報セキュリティ研修の設計・評価や、研修の開発・実施を委託し
た第三者ベンダーとの調整を担当する。
・ Specialized IT Personnel
セキュリティ意識の向上に関して定められたポリシーを実行する。
ネットワークセキュリティエンジニア、侵入テスター、インシデン
ト対応アナリスト、コンプライアンスアナリストなどの専門職が含
まれる。
・ All Other Employees

Information Systems and Controls 3-89

8989
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

研修を受講し、各自の職務上の役割に基づくセキュリティ手順を遵
守する。
研修は、新入社員なら新入社員研修での情報セキュリティ研修、それ
以外の従業員は少なくとも年1 回の受講、など、職務のあらゆる段階に
対して研修を実施すべきである。内容的にも従業員の職務上の役割に合
わせた研修を実施する必要がある。例えば管理職・専門職以外の従業員
はフィッシングメールの識別に関する研修や、仮想プライベートネット
ワーク経由でリモート接続する際のベストプラクティスなど、社員の一
般的な業務に関わるセキュリティ対策のみを担当する必要がある。一方、
専門職に対しては、災害復旧手順の研修や、組織が遵守しなければなら
ない新しい法規制に関する研修など、特定の機能に特化した研修が必要
となる場合もある。

③ Components of a Successful Security Awareness Program

情報セキュリティの意識向上に役立つものとして、フィッシングシ
ミュレーション、情報セキュリティ教育の導入を提唱する主導者、定期
的な従業員の参加、教育プログラム成功の正否を測定する指標（プログ
ラムに割り当てられた金額、投入されたリソースの数、発見された欠陥
に対する是正措置計画など）が挙げられる。

③-1 Phishing Simulations

Phishing simulations （ フ ィ ッ シ ン グ シ ミ ュ レ ー シ ョ ン ） は 、 実 際 の
フ ィ ッ シ ン グ メ ー ル に 似 せ た 偽 メ ー ル (phony emails) を 従 業 員 に 送 信
し、従業員が偽メール上のリンクをクリックしたり、添付ファイルを
ダウンロードしたりすることがないかをテストすることで、従業員に
偽メールの見分け方を教育するものである。フィッシングシミュレー
ションの結果は、以下の評価指標とともにまとめられ、従業員の意識
の変化を評価するために長期にわたって分析される。
＜プログラム評価のための指標 例＞
 Click Rate （ ク リ ッ ク 率 ） ： フ ィ ッ シ ン グ メ ー ル の リ ン ク を ク
リックしてしまった従業員の割合。
 Re-click Rate （ 再 ク リ ッ ク 率 ） ： 最 初 の シ ミ ュ レ ー シ ョ ン に 失
敗した従業員が、再テストで再びクリックしてしまった割合。
 Report Rate （ 報 告 率 ） ： フ ィ ッ シ ン グ メ ー ル を 報 告 し た 従 業 員
の割合。
 Non-responder Rate （ 非 応 答 率 ） ： メ ー ル を 無 視 し 、 何 ら 反 応 を

3- Information Systems and Controls

90909
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

示さなかった従業員の割合。
 Reply Rate （ 返 信 率 ） ： フ ィ ッ シ ン グ メ ー ル に 返 信 し て し ま っ
た従業員の割合。

③-2 Security Program Champions

情報セキュリティの意識向上を含めたセキュリティプラットフォー
ムの導入には、導入を先導する主導者 (program champion) や 、 導 入
チーム（タスクフォース）が必要になることが多い。
＜セキュリティプログラム導入主導者の有効性評価の指標＞
 Employee Consultations （従業員の相談回数）：従業員が主導者
に相談した回数
 Security Behaviors (With and Without Champions) （ セ キ ュ リ テ ィ 行
動）：主導者がいる部門とそうでない部門での、セキュリティ
意識の比較
 Champion Density vs. Security Behaviors （ セ キ ュ リ テ ィ プ ロ グ ラ ム
導入主導者の密度とセキュリティ行動の比較）：各部門におけ
る主導者の密度およびその活動と、セキュリティ行動の相関性

③-3 Employee Engagement

情報セキュリティ研修プロジェクトを評価するための指標の一つに、
従業員の参加度合いがある。一般的な測定基準には、次のようなもの
がある。
・研修を修了した従業員の割合
・研修一回あたりの平均所要時間
・研修に参加した従業員数
・従業員が他人に研修を勧める兆候
・紹介による出席者数
・研修内容に関する従業員からの質問数
・セキュリティ情報を請求した従業員数や、関連する社内サイト
を閲覧した従業員数
・ソーシャルメディア上のやりとりに対する定量的・定性的指標

Information Systems and Controls 3-91

9191
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

【ＭＥＭＯ】

3- Information Systems and Controls

92929
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

4. Confidentiality and Privacy （ 機 密 性 と プ ラ イ バ

シ ー ）

(1)Confidentiality vs. Privacy

機密性とプライバシーは、しばしば同じ意味で使われる用語であるが、
サイバーセキュリティにおいては、この2 つの用語は区別して用いられる。
 Privacy （ プ ラ イ バ シ ー ） は 個 人 の 権 利 を 保 護 し 、 ど の よ う な 情 報
を他人と共有するかを個人が管理できるようにすることである。
 Confidentiality （ 機 密 性 ） は 組 織 が 収 集 し た 情 報 を 不 正 ア ク セ ス か ら
保護することである。
そこで組織に求められるのは、プライバシーの要件を遵守して情報を収
集し、適切な権限を持つシステム・個人のみが情報にアクセスできるよう、
機密性を保つことである。

① Confidentiality

米 国 国 立 標 準 技 術 研 究 所 （ NIST） は 、 機 密 性 を デ ー タ へ の ア ク セ ス や
開示に対して認可された制限を保持することと定義し、個人のプライバ
シ ー や 専 有 情 報 (proprietary information) を 保 護 す る 手 段 も 含 め て い る 。
組織は専有情報に加え、通常の業務の過程で収集または保持するすべ
ての個人情報を保護することも求められるため、個人情報を含むと考え
られる情報を特定する必要がある。
Personal identifiable information （ PII ；個人を特定できる情報）は、以
下のように定義される
 Name, such as full legal name, maiden name（ 旧 姓 ） , mother's maiden
name （ 母 親 の 旧 姓 ） , or alias （ 通 称 ）
 Personal identification numbers, such as Social Security
number （ SSN ； 社 会 保 障 番 号 ） , passport number, driver's license
number, taxpayer identification number （ 納 税 者 番 号 ） , or financial
account（ 金 融 口 座 番 号 ） or credit card number
 Address, such as street address or email address
 Personal characteristics, including photographic images, fingerprints,
handwriting （ 筆 跡 ） , or other biometric data（ 生 体 情 報 ）

組織は機密性を重視し、取り扱う個人情報の量を最小限に抑え、業務
にとって重要な情報のみを保存することが求められる。また組織は、収

Information Systems and Controls 3-93

9393
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

集した個人情報の保存を定期的に見直し、その情報が依然として業務に
とって必要かを判断すべきである。

＜機密性と個人情報を保護するために、組織がすべき行動 例＞
・個人情報の現在の保有状況を確認し、データが正確、適切、適時
かつ完全であることを確認する。
・収集する個人情報を、重要な業務に必要な最小限のものにする。
・各認証レベルの基準を定義し、その基準とアクセスリストを定期
的に監視する。
・重要な業務遂行上、不要となった個人情報を消去する手順を確立
する。

② Privacy

NISTで は 、 プ ラ イ バ シ ー を 当 事 者 が 自 分 自 身 に 関 す る 情 報 を 管 理 し 、
秘密を保持する権利と定義している。プライバシーとは人間の自律性
(human autonomy) と 尊 厳 (dignity) を 保 護 す る プ ロ セ ス で あ る 。 NIST
Privacy Framework は 、 組 織 の リ ス ク 管 理 手 順 と コ ミ ュ ニ ケ ー シ ョ ン 方 法
を通じてプライバシー管理を改善するためのツールである。
プライバシーフレームワークの目的は、以下の行動を通じて組織がプ
ライバシーリスクを管理できるようにすることである。
・個人に影響を与えるシステム、製品、サービスを設計・展開する
際に、プライバシーのベストプラクティスを考慮する。
・個人情報保護の実践を組織全体に伝える。
・ ユ ー ザ ー の プ ラ イ バ シ ー と IT セ キ ュ リ テ ィ に 関 す る 組 織 横 断 的 な
コラボレーションを奨励する。
・組織と個人間の取引において個人が経験しうるプライバシーイベ
ントを考慮する。

3- Information Systems and Controls

94949
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(2)Methods of Protection of Confidential Data

組織は情報の取り扱い方法を定め、以下の分野におけるコンプライアン
スの遵守に努めるべきである。
・適用される法的、規制的、政策的要件
・情報の収集、保存、削除のリスクと影響
・潜在的なプライバシーリスクを軽減するため、情報の取扱いに対す
る保護と代替プロセスの特定と評価
これらのガイドラインに違反した場合、組織は潜在的な訴訟や金銭的損
失を被る可能性がある。以下は組織がこれらのリスクを軽減するため、
PII お よ び 専 有 情 報 の 管 理 に 利 用 で き る 一 般 的 な 運 用 上 の 保 護 措 置 、 プ ラ
イバシー特有の保護措置、およびセキュリティ管理策である。

 Data Collection
・方針と手順の作成
組 織 は 、 PII と 専 有 情 報 の 機 密 性 を 保 護 す る た め 、 以 下 を 定 義
し、包括的な方針と手順を策定する必要がある。
- 従業員と顧客の両方から収集された特定の機密データ
- 機密データがどのように収集、アクセス、保持されるか
- インシデント対応
- 開発サイクルにおけるプライバシー
- 共有ルール
- 違反した場合の罰則

・研修の実施
組織はすべての従業員に適切な研修を義務付け、関連するガイ
ドラインとそのガイドラインに違反した場合の影響について周
知 す る こ と で 、 PII が 不 適 切 に ア ク セ ス 、 使 用 、 開 示 さ れ る 可
能性を低減する必要がある。
 Data Processing
・ 個 人 情 報 の 非 特 定 化 (de-identifying)
組織は、個人情報の一定部分を削除し、情報の残りの部分が個
人を特定することのないように、記録を非特定化すべきである。
- 例 え ば 、 pseudonymization （仮名（かめい）化）とは、医師を
訪 れ る 人 の 名 前 を Patient 565 や Client AM の よ う な 仮 名 に 置 き 換 え
る、非特定化の一形態である。
- Anonymization （ 匿 名 化 ） は 、 研 究 調 査 や 相 関 関 係 や 傾 向 の 判 断
など、完全な記録が必要でない場合に、個人情報から個人を特

Information Systems and Controls 3-95

9595
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

定する部分を削除する方法である。

3- Information Systems and Controls

96969
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

 Data Storage
・ ア ク セ ス 強 制 (access enforcement:) の 使 用
組織はアクセス制御ポリシーとアクセス強制メカニズム（アク
セ ス 制 御 リ ス ト (ACL) な ど ） を 通 じ て 、 個 人 情 報 へ の ア ク セ
スを制御すべきである。
・モバイル機器へのアクセス制御の実施
組織はノートパソコンや携帯電話など、モバイル機器からの個
人情報へのアクセスを禁止または厳しく制限すべきである。
・イベントの監査
組 織 は 、 PII へ の 不 適 切 な ア ク セ ス な ど 、 個 人 情 報 の 機 密 性 に
影響を与えるイベントを監視すべきである。
 Data Transmission
組織は送信する情報の機密性を保護すべきである。一般的には通信
や情報の暗号化が用いられる。
 Data Deletion/Purging
組織はアーカイブまたは削除の対象となるデータを決定するポリ
シーを定める必要がある。

① Confidentiality During the System Development Life Cycle

新しいシステムを開発、テスト、実装する際、組織はしばしばデータ
の obfuscation （ 難 読 化 ） を 用 い て 機 密 デ ー タ を 保 護 す る 方 法 を 導 入 す る 。
Obfuscation （ 難 読 化 ） と は 、 本 番 デ ー タ や 機 密 情 報 を 、 権 限 の な い ユ ー
ザーにとって価値の低いデータに置き換えるプロセスをさす。一般的な
データ難読化アプリケーションには以下のようなものがある。
 Encryption （ 暗 号 化 ）
暗号化されていないデータを、暗号技術を用いてスクランブルし、
復号しないと解読できないようにする。暗号化手法には様々な種
類があり、それぞれ鍵の管理方法や送信方法が異なる。
 Tokenization （ ト ー ク ン 化 ）
本 番 デ ー タ を 削 除 し 、 代 用 値 (surrogate value) ま た は ト ー ク ン
(token) に 置 き 換 え る 。 ト ー ク ン は 乱 数 発 生 器 や 、 数 学 的 ア ル ゴ
リズムを使ったハッシュ、暗号化などによって生成することがで
きる。トークン化したものを元のデータに戻す処理に使用される
鍵は、トークン保管庫に保管され、トークン保管庫は認証とアク
セス制御で管理される。トークン化は暗号化と似ているが、一般

Information Systems and Controls 3-97

9797
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

に文字の長さや種類は変更されない。トークンはクレジットカー
ド取引に使用されることが多く、決済プロセスのさまざまな段階
で用いられる。
 Masking （ マ ス キ ン グ ）
データを他の同様のデータと交換することで、元のデータと同じ
構造を維持しながら、元のデータの特徴を目立たなくする。修正
されたデータの集計値はそのまま維持され、データ分析とデータ
抽出を可能にする。マスキングには、シャッフル、スクランブル、
置換、無効化、マスキングアウトなどさまざまな形式があり、
データの一部が＊などの文字と入れ替わる。

(3)Data Encryption （ デ ー タ の 暗 号 化 ）

① The Fundamentals

デ ー タ 漏 え い (data breaches) は 機 密 情 報 の 紛 失 に よ る 金 銭 的 損 失
（訴訟費用など）、業務の中断（顧客からの注文を処理できない、サプ
ライヤーと連携できないなど）、企業の評判の低下を招く可能性がある。
データの損失を防ぎ、攻撃者が入手したデータから必要な情報を引き出
すリスクを減らす上で、データの暗号化はサイバー攻撃に対する防御メ
カニズムとして極めて重要な役割を果たしている。
データ暗号化とは、データの収集、処理、保存の際にデータが保護さ
れ る よ う 、 暗 号 技 術 (cryptography) を 応 用 し て デ ー タ 漏 洩 や デ ー タ 損 失
のリスクを軽減する方法である。暗号化ではまず、アルゴリズムを適用

3- Information Systems and Controls

98989
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

し て 平 文 (plaintext) を 暗 号 文 (ciphertext) に 変 換 （ 暗 号 化 ） す る 。 暗 号
文は鍵の使用によってのみ解読することができ、受信者は、送信者が本
人 で あ る と い う 保 証 、 ま た は 否 認 防 止 （ nonrepudiation ； 当 事 者 が そ の 有
効性を否定できないこと）を得ることができる。

Information Systems and Controls 3-99

9999
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

② Encryption Methods

暗号化モデルでは異なる種類の鍵を使用したり、1 つのモデル内で異
なる鍵の組み合わせを使用したりすることができる。組織はリスクの高
い 保 存 デ ー タ (data-at-rest) の セ キ ュ リ テ ィ を 補 完 す る 手 段 と し て 暗 号
化 を 使 用 す る こ と が あ る 。 鍵 に は 公 開 鍵 (public keys) と 秘 密 鍵 (private
keys) が あ る 。 公 開 鍵 は 公 開 ま た は グ ル ー プ で 共 有 さ れ 、 秘 密 鍵 は 一 人
のユーザーのみが知っている。以下は、最も一般的な2 つの暗号化方式
である。
・ Symmetric Encryption（ 対 称 暗 号 化 ）
デ ー タ の 暗 号 化 と 復 号 化 に 、 単 一 の 共 有 鍵 (single shared key) ま た は
秘密鍵を使用する。秘密鍵はグループ内の全メンバーがデータの暗号
化 (encryption) と 復 号 化 (decryption) の 両 方 に 使 用 し 、 鍵 の デ ー タ 形
式 は 数 字 、 文 字 、 ま た は 数 字 と 文 字 の 組 み 合 わ せ で あ る 。 Symmetric
encryption は 、 迅 速 に 復 号 化 す る 必 要 が あ る 場 合 な ど 、 主 に 時 間 的 制 約
のあるトランザクションで機密性の高いデータを暗号化／復号化する
場合に用いられ、金融機関で広く使用されている。
対称暗号化の欠点は、共有鍵を持っている人なら誰でもメッセージ
を暗号化・復号化できるため、否認防止ができず、メッセージの発信
元を特定することができないことである
また、グループ内のすべてのユーザーが秘密鍵を共有しなければなら
ないため、参加者がグループから脱退する度に鍵を再生成しなければ
ならず、グループの規模を拡大することも困難である。

3- Information Systems and Controls

100
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

・ Asymmetric Encryption （ 非 対 称 暗 号 化 ）
このデータ暗号化方式では公開鍵と秘密鍵の2 つの鍵を使用する。公
開鍵でメッセージを暗号化し、秘密鍵で復号化する。これにより事実
上、データの暗号化は公開鍵を知っていれば誰でもできるが、データ
の復号化は意図した受信者しかできない。この暗号化方式では2 つの
鍵の組み合わせが正しい時のみ機能する。非対称暗号の一般的な応用
例としては、デジタル署名やブロックチェーンなどがある。
非対称暗号の主な弱点は、その動作速度である。一般的に鍵の文字
列は長く、暗号化と復号化の両方に鍵が必要となり、暗号化アルゴリ
ズムは通常より複雑になる。従ってより多くの演算能力を必要とする
ため、時間がかかり、技術的なコストの増加にもつながりかねない。

＜ 参 考 Hushing ＞
ハッシュは暗号化と混同されることがあるが、可変長のメッセージを
ハッシュ値と呼ばれる固定長のメッセージやコードに変換することであ
る。ハッシュはメッセージをスクランブルし、元のメッセージに戻すこ
とができないコードに変換するため、ハッシュの効果は一方向であると
いえる。一方、暗号化は、暗号化 (encryption) も 復 号 化 (decryption) も
できるため、双方向である。
暗号化とハッシュ化の主な違いの一つは、その使用目的である。暗号
化はデータの機密性を維持する安全な送信を目的としているのに対し、
ハッシュは送信データの完全性を維持し、送信されたメッセージが真の
送信者からのものであることを証明することを目的としている。2 つの
ハ ッ シ ュ 値 を 比 較 す る こ と で 、 そ の メ ッ セ ー ジ が 正 当 な も の
(legitimate) で あ る こ と を 表 す こ と が で き る 。
前述のようにハッシュ値は復号化できないため、ハッシュは暗号化と
組み合わせて使われることが多い。暗号化を使って安全にメッセージを
送信し、ハッシュを使ってそのメッセージの真正性を証明する。メッ

Information Systems and Controls 3-101

10110
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

セージ自体は鍵を使って復号化され、受信者は受信したハッシュ値と送
信者からのハッシュ値を比較して、同一であることを確認することがで
きる。

③ Cypher Techniques （ 参 考 ）

暗 号 (ciphers) は 一 般 的 に 数 字 と 文 字 の 組 み 合 わ せ で 、 復 号 す る 鍵 を
持っていない者には判読ができない。一般的な暗号技術には次の2 つが
ある。
・ Substitution Ciphers （ 置 換 暗 号 ）
平文メッセージの各文字を別の文字に置き換えるアルゴリズム。非
常に基本的な暗号は、鍵を使って文字や数字を別の文字に置き換え
るだけだが、より複雑な暗号は数学を使って置き換える。例えばモ
ジ ュ ロ 関 数 (modulo function) と し て 知 ら れ る 暗 号 技 術 を 使 っ て 、 文
字や数字を数字に変換し、同じ関数でメッセージを解読することが
できる。
・ Transposing Ciphers （ 転 置 暗 号 ）
メッセージの文字を並べ替えて読めない暗号文にする暗号化技法で、
多くの場合、行列を使って列の転置を行う。
例 ） 暗 号 文 は ETVETLTWEMAE と し 、 鍵 3241 を 使 っ た 列 転 置 で あ る 。
3×4 の 行 列 を 使 用 す る 場 合 、 コ ー ド は 以 下 の 左 図 の よ う に マ ッ ピ
ングできる。

3- Information Systems and Controls

102
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

鍵 を 使 っ て 暗 号 文 を 数 字 順 に 並 べ 替 え る と 、 "Meet at twelve " と い

うメッセージが浮かび上がる。

暗号には他にも様々な種類があり、例えば、メッセージそのものと同
じ 長 さ の 鍵 を 用 い て 暗 号 化 す る running key ciphers （ 進 行 鍵 暗 号 ） や 、
メ ッ セ ー ジ を 固 定 長 の 塊 ご と に 暗 号 化 を 施 す block ciphers （ ブ ロ ッ ク 暗
号 ） 、 メ ッ セ ー ジ を ビ ッ ト 単 位 や バ イ ト 単 位 で 逐 次 暗 号 化 す る stream
ciphers （ ス ト リ ー ム 暗 号 ） も あ る 。 他 の 暗 号 と 組 み 合 わ せ て 使 用 す る と 、
解読が更に困難になる。

Information Systems and Controls 3-103

10310
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

(4)Data Loss Prevention (DLP)

Data loss prevention （ DLP ； デ ー タ 損 失 防 止 ） シ ス テ ム は 、 機 密 情 報 を 組

織 外 に 転 送 し よ う と す る 試 み を 検 知 し 、 防 止 す る 仕 組 み で あ る 。 DLP シ ス
テ ム で は 、 フ ァ イ ル を ス キ ャ ン し 、 pattern-matching methods （ パ タ ー ン マ ッ
チング手法；基準となるパターンと対象の類似性を検出する画像処理の手
法 ） や word recognition technology （ 単 語 認 識 技 術 ） を 使 用 し て 、 デ ー タ の
フォーマットや配列の方法などに、特定のパターンがないかを探索・検知
する。
例 ） 送 信 デ ー タ 中 に 数 字 が xxx-xx-xxxx の パ タ ー ン で 並 ぶ 文 字 列 を パ タ ー
ンマッチング技術で検出した場合、社会保障番号の可能性を認識し、送信
を阻止するか、暗号化する。

DLP シ ス テ ム の 目 的 と ベ ス ト プ ラ ク テ ィ ス は 、 以 下 の プ ロ グ ラ ム を 確 立 す
ることである。
・ 組 織 全 体 の デ ー タ を 監 視 す る 集 中 型 の DLP プ ロ グ ラ ム の 導 入 。
・企業のデータ利用ポリシーの策定、データ損失インシデントの報告・
対応体制の確立。
・さまざまなデータ形式の評価、機密レベルの定義、機密データの目録
の作成、機密データの保管場所の特定、データのクリーンアップの管
理。
・機密データに対し、使用時の監視および使用パターンの把握。
・データ保護、および機密データ流出防止のためのセキュリティポリ
シーの実施。
・従業員教育プログラムの導入。

主 な DLP シ ス テ ム の 種 類
 Network-based DLP
電子メール、ダイレクトメッセージなどで送信されたデータのうち、
組織が定めた条件に合うデータをスキャンする。スキャンしたデー
タ に DLP ポ リ シ ー の 違 反 が あ っ た 場 合 、 デ ー タ ベ ー ス に 記 録 し 、 送
信されたデータと送信先を特定する。
・ Cloud-based DLP ： Network-based DLP と 同 様 の 保 護 を 、 ク ラ ウ ド 環 境
に適用したもの。多くの組織でクラウドベース／ウェブベース環境
への移行が進んでいることから、ニーズが高まっている。
・オンプレミスのプライベートネットワークではなく、仮想マシンや
プラットフォーム間で機密データを送受信することで、データ損失

3- Information Systems and Controls

104
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

を防ぐことができる。
 Endpoint-based DLP
プ リ ン タ ー や USB ド ラ イ ブ な ど は 、 こ れ ら の デ バ イ ス を 通 じ て デ ー
タ が 外 部 へ 転 送 さ れ る 可 能 性 が あ る 。 Endpoint-based DLP で は 、 こ の
ようなネットワーク外のデバイスに保存または送信されたファイル
に対し、特定のキーワード、パターン、またはファイル形式をス
キャンすることで、データ損失を防止する。

Information Systems and Controls 3-105

10510
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

① Protecting Data at Rest （ 保 存 デ ー タ の 保 護 ）

機密データの保管には、十分な物理的セキュリティ、適切なデジタル
セキュリティ、権限付与、アクセス制御、変更管理制御、バックアップ、
復旧機能を備えた堅牢な記憶媒体が必要である。これらの保護措置を講
じ、データの収集、処理、保存、送信、消去のそれぞれの段階でデータ
が適切に保護されるようにしなければならない。
・ Physical Security （ 物 理 的 な セ キ ュ リ テ ィ ）
鍵 付 き キ ャ ビ ネ ッ ト や ク ロ ー ゼ ッ ト 、 セ キ ュ リ テ ィ カ メ ラ 、 ID 等 に よ
る入退室管理、改ざん防止シールなど。
・ Digital Security Controls （デジタルセキュリティ管理）
暗 号 化 さ れ た ハ ー ド デ ィ ス ク ／ USB ド ラ イ ブ ／ フ ァ イ ル シ ス テ ム な ど 。
・ Authorization and User Access Controls（ 認 可 と ユ ー ザ ー ア ク セ ス 制 御 ）
Role-based access controls （ RBAC ； ロ ー ル ベ ー ス ア ク セ ス 制 御 ） や rule-
based access controls （ RUBAC ； ル ー ル ベ ー ス の ア ク セ ス 制 御 ） 、
discretionary access controls （ DAC ； 任 意 ア ク セ ス 制 御 ） 、 多 要 素 認 証 等 の
制御方式など。
・ Change Management Controls （ 変 更 管 理 統 制 ）
システム等に対する変更の要求、レビューと承認、導入、変更取消、
および文書化の手続きに関する統制。
・ Backup and Recovery Mechanisms （ バ ッ ク ア ッ プ と リ カ バ リ ー ）
災害、サイバー攻撃、偶発的な削除／変更でもデータが失われず、復
元できるようにデータを保護する冗長性のある防御体制。

② Deleting Confidential Information （ 参 考 ）

ライフサイクルが終了した機密情報の削除および破壊は、物理的破壊、
消 去 、 上 書 き 、 お よ び パ ー ジ (purging) に よ っ て 行 う 。 物 理 的 破 壊 は 、
分解や、データの化学的構造を変更するなどの物理的行為を行う。
消去はファイルまたはそのデータの削除操作を行うことである。上書
きは古いデータを未分類のデータに置き換え、メディアを再利用できる
ように準備することである。パージは、上書き処理を何度も繰り返す消
去方法で、別の方法と組み合わせることもある。
場合によっては、消去や上書きなどの処理をした記憶装置上に、デー
タの一部が残存してしまうことがある。これは、磁気を使用する記憶装
置では一般的である。データが削除されると、残留磁束や刻印が残るこ
とがあり、これらを利用して消去の影響を元に戻すことのできるツール

3- Information Systems and Controls

106
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

はたくさんある。従って物理的な破壊は、機密データを完全に消去する
唯一の手段であるといえる。

Information Systems and Controls 3-107

10710
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

(5)Walk-Through of an Organization's Security, Confidentiality, and Privacy

Procedures

① Performing a Walk-Through

効果的なセキュリティ、機密保持、プライバシーの方針と実践には、
組織内の全部門が関与する包括的な戦略が必要である。セキュリティイ
ンシデントや災害（→セキュリティ）やデータ漏洩（→機密保持とプラ
イバシー）が発生した場合に、この戦略を適切に実行するには、普段か
ら 定 期 的 に 戦 略 の read-through （ 読 み 合 わ せ ） と walk-through （ レ ビ ュ ー の
一環として一連の手順を通して実行する）を実施しておくことが求めら
れ る 。 こ う し た walk-through な ど の 取 り 組 み は 、 IT 部 門 、 あ る い は IT 部 門
と 非 IT 部 門 に よ る 合 同 プ ロ ジ ェ ク ト に よ る 主 導 が 必 要 で あ る 。
Read-through で は 、 walk-through を 支 援 す る IT 部 門 と 非 IT 部 門 の 両 方
のメンバーに、セキュリティ、機密保持、プライバシーの手順を配布し、
レ ビ ュ ー し て も ら う 。 Read-through に よ り 、 組 織 は 戦 略 的 な 手 順 を 要 員
に知らせことができる。
Walk-through で は 、 災 害 や サ イ バ ー 攻 撃 の シ ナ リ オ を ロ ー ル プ レ イ ／ シ
ミュレーションし、チームメンバーが所定の手順で攻撃を防ぎ、データ
流出の場合にもデータを解読できないようにする。このようにセキュリ
ティ方針をテストし、従業員が緊急事態の計画を理解しているか、そし
て緊急事態に適切なプロトコルに従うかを判断するのに効果的な方法で
ある。
Walk-through の 実 施 に よ り 、 定 め ら れ た 方 針 に 手 順 が 沿 っ て い る か 、
そしてその手順が実際に実行されるかの証拠を得ることができる。
Walk-through の全体的なながれは、以下の通りである。

＜ Walk-through の手順＞

1. 計 画 と 準 備 4. ド キ ュ メ ン ト の 作 成
・範囲の定義 ・ワークペーパーの作成
・主要なコントロールとプロ ・手順の文書化
セスの 5. テ ス ト
特定 ・ウォークスルーで特定され
・人員の特定 た
2. 理 解 を 得 る コントロールの検証
・文書のレビュー ・必要に応じたサンプル取得
・担当者の面接 6. 評 価 と 報 告

3- Information Systems and Controls

108
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

・メモの作成 ・結果の解釈
3. ウ ォ ー ク ス ル ー の 実 施 ・調査結果をまとめた報告書
・プロセスの再実行 の作成
・結果と効果の検証 ・推奨事項のレビュー

Information Systems and Controls 3-109

10910
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

② Walk-Throughs in Company Functions and Departments

IT セ キ ュ リ テ ィ 、 機 密 保 持 、 プ ラ イ バ シ ー の 方 針 の walk-through は 、 組
織内のすべての機能および部門に対して実施すべきである。
 Finance and Accounting （ 財 務 と 経 理 ）
こ の 部 署 は 機 密 性 の 高 い 情 報 に 接 す る 機 会 が 多 い こ と か ら 、 walk-
through で は 以 下 に 重 点 を 置 く べ き で あ る 。
・ 機 密 性 と プ ラ イ バ シ ー に 関 す る walk-through で は 、 最 小 限 の PII が
収 集 さ れ 、 ユ ー ザ ー が 各 自 の 業 務 を 遂 行 す る た め に 最 小 限 の PII
と専有データにしかアクセスできないように、機密性とプライバ
シーポリシーの遵守を確認すること。
・ セ キ ュ リ テ ィ に 関 す る walk-through で は 、 現 金 の 引 き 出 し 、 回 収 、
送金、財務報告を担う会計機能を管理するシステムへのアクセス
を、許可された従業員にのみ許可するセキュリティポリシーの遵
守を確認すること。
 Corporate Training and Education （ 企 業 研 修 ・ 教 育 ）
Walk-through に は 以 下 を 含 む べ き で あ る 。
・従業員に提供されるセキュリティ、機密保持、およびプライバ
シーの内容を確認し、それらが各自の職務に適しているかを判断
する。
・従業員が方針と手続きを承認しているかを確認する。
・研修に参加する。
・受講生に配布する資料や評価を見直す。
・研修プログラムの更新計画について、研修スタッフと面談する。
Service auditor は service organization に お け る IT セ キ ュ リ テ ィ 研 修 に
関 連 し て 、 組 織 が シ ス テ ム セ キ ュ リ テ ィ に 対 す る 責 任 を 、 IT セ キ ュ
リティ研修を通じてどのように周知しているかを理解するための手
続も実施する。この手続には以下の事項に関する文書のレビューが
含まれる。
・ Service organization の セ キ ュ リ テ ィ 意 識 向 上 及 び 研 修 プ ロ グ ラ ム
・企業の行動規範 (code of conduct) の伝達
・従業員ハンドブック
・情報セキュリティ方針
・インシデントの通知手順
・システムセキュリティ及びその他の事項に対する責任を要員に伝
えるためのプロセスを理解するために利用可能なその他の文書

3- Information Systems and Controls

110
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

Information Systems and Controls 3-111

11111
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Human Resources （ 人 事 部 ）
こ の 部 署 は 従 業 員 の 個 人 情 報 に 接 す る 機 会 が 多 い こ と か ら 、 walk-
through で は 以 下 に 重 点 を 置 く べ き で あ る 。
・守秘義務とプライバシーについては、人事部がどのように方針と
手 順 に 従 い 、 違 反 に 対 処 し て い る か 、 PII を 特 定 ・ 収 集 し て い る
か 、 そ し て PII へ の ア ク セ ス を 管 理 し て い る か を 確 認 す る こ と 。
・ セ キ ュ リ テ ィ に 関 す る walk-through で は 、 身 元 調 査 、 契 約 社 員 と 正
社員のセキュリティ上の役割の定義、セキュリティ方針の伝達、
社員の行動の監視、従業員の異動や解雇に伴うアクセス権限の停
止に関する実務が確実に実施されているかを確認すること。
 IT Risk Management （ IT リ ス ク 管 理 ）
この部門では、現在および潜在的な機密保持およびプライバシーの
リスクを特定し、それらを排除、最小化、または移転できるよう、
ト ラ フ ィ ッ ク を 監 視 す る こ と が あ る 。 そ の た め walk-through で は 以 下
に重点を置くべきである。
・ 機 密 保 持 と プ ラ イ バ シ ー に 関 す る walk-through で は 、 部 門 で 実 施 し
ている機密保持とプライバシー管理の監視方法を特定し、ポリ
シーに従って違反の可能性を特定・報告しているかを確認するこ
と。
・ セ キ ュ リ テ ィ に 関 す る walk-through で は 、 部 門 が 保 護 す べ き 資 産 や
システムを追跡する方法の特定、潜在的な脆弱性や脅威の特定、
リスクによる業務上および財務上の影響の評価、リスク軽減策の
策定および定期的な見直しなど、ポリシーに従って実施されてい
るかを確認すること。

3- Information Systems and Controls

112
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(6)Detect Deficiencies in a SOC 2® Engagement

System and Organization Controls （ SOC ） Audit の 対 象 と な る service

organization で は 、 セ キ ュ リ テ ィ 、 機 密 性 、 プ ラ イ バ シ ー の テ ス ト が 実 施 さ
れ る 。 SOC 2® engagement で は 、 service auditor は 、 実 施 さ れ た 全 て の 手 続 の
結 果 を 評 価 し 、 識 別 さ れ た 虚 偽 記 載 (description misstatements) 、 統 制 設 計
上 の 適 切 性 に お け る 欠 陥 (deficiencies in the suitability of design) の 有 無 に つ い
て 、 さ ら に Type 2 の 検 査 で は 統 制 の 運 用 の 有 効 性 (operating effectiveness of
controls) に つ い て も 、 定 量 的 (quantitative) か つ 定 性 的 (qualitative) な 分
析を行う。

＜ Walk-through の実施＞
SOC 2® engagement の service auditor は 、 service organization の IT セ キ ュ リ
テ ィ 、 機 密 性 、 お よ び プ ラ イ バ シ ー ポ リ シ ー の walk-through も 実 施 す る 。
SOC 2® engagement に お け る 一 般 的 な walk-through に は 、 以 下 の 手 続 が 含 ま れ
る。
・ Service organization の シ ス テ ム を 通 じ て 、 ト ラ ン ザ ク シ ョ ン 、 イ ベ ン ト 、
ま た は ア ク テ ィ ビ テ ィ の 発 生 か ら 最 終 処 分 ま で を 、 service organization
の職員が使用するのと同じ文書を使用して追跡する。機密性とプライ
バ シ ー を 検 証 す る 場 合 、 こ の walk-through の 目 的 は 、 PII と 専 有 情 報 が
ライフサイクルを通じてどのように取り扱われるかを理解することで
ある。
・統制設計の理解に役立てるための調査、観察、関連文書（フロー
チ ャ ー ト 、 質 問 表 、 decision table （ 決 定 表 ・ 判 断 表 ） な ど ） の 検 査
・期間中、統制が設計通りに機能しなかった事例についての照会。
・イベントやトランザクションの種類によるプロセスの違いについての
質問。
Walk-through が 適 切 に 実 施 さ れ る と 、 組 織 の セ キ ュ リ テ ィ 、 機 密 性 及 び
プライバシーのサービスコミットメントに関して、トランザクションの流
れ 及 び 統 制 の 設 計 に 関 す る service auditor の 理 解 を 検 証 す る 機 会 と な る 。 ま
た、システム記述書に含まれる統制が適切に設計され、実施されたかどう
か 、 （ さ ら に Type 2 の 検 査 で は 、 効 果 的 に 運 用 さ れ た か ど う か に つ い て
も）の証拠となることが多い。

＜手続の結果評価＞
手 続 の 結 果 を 評 価 す る 際 、 service auditor は 識 別 さ れ た 虚 偽 記 載 、 統 制 の
有効性の不備／逸脱の性質及び原因を調査し、以下の事項を判断する。

Information Systems and Controls 3-113

11311
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

・特定された虚偽表示の結果、1 つでも記載要件を満たしていない部分
が あ る か ど う か 。 又 は SOC 2 reportの 監 査 意 見 に そ の 虚 偽 表 示 が 反 映 さ
れ な い 場 合 に 、 report 利 用 者 が 誤 解 す る 可 能 性 が あ る か ど う か 。
・特定された逸脱が予想されていた逸脱率の範囲内で、許容できるか、
あるいは欠陥に該当するか。
・実施した手続が、統制が有効に機能していることを結論付けるための
適切な裏付けとなるかどうか。
・ 適 用 さ れ る ト ラ ス ト サ ー ビ ス 基 準 に 基 づ き 、 特 定 さ れ た 欠 陥 が service
organization の サ ー ビ ス コ ミ ッ ト メ ン ト 及 び シ ス テ ム 要 件 の 達 成 に 対 す
る 当 該 欠 陥 の 影 響 の 大 き さ 。 特 に 、 広 範 な 影 響 (pervasive effect) を 及
ぼすかどうか。

特定された逸脱が他の統制に広範な影響を及ぼす可能性があるかを判断
する際に考慮される要素には、以下が含まれる。
・組織レベルの統制が他の統制の運用に及ぼす影響。組織レベルの統制
の逸脱は、他の統制に広範な影響を及ぼすことが多い。
・ Service organization 全 体 に お け る セ グ メ ン テ ー シ ョ ン （ ネ ッ ト ワ ー ク や
システムを複数のセグメ ントに分割することでセキュリティを強化
する技法）の範囲。
・特定の重要な統制 (key control) の 不 備 が 他 の 統 制 に 及 ぼ す 影 響 の 程 度 。

＜重要な虚偽記載＞
Service auditor は 、 重 要 な 虚 偽 記 載 (material description misstatements) 、 統
制 の 設 計 の 適 切 性 に お け る 重 要 な 欠 陥 (material deficiencies) 、 又 は Type 2
の検査において統制の有効性の逸脱を識別した場合には、意見を修正しな
け れ ば な ら な い 。 監 査 意 見 を 修 正 す る 場 合 、 service auditor は 虚 偽 記 載 と 、
欠陥の性質と原因を理解し、監査意見をどのように修正するかを検討する。
不 正 (fraud) 又 は 不 正 の 疑 い (suspected fraud) が あ る 事 象 が 識 別 さ れ た
場 合 、 service auditor に は 以 下 に 挙 げ る よ う な 適 切 な 対 応 が 求 め ら れ る 。
・ Service organization の 上 級 管 理 職 （ 上 級 管 理 職 が 不 正 を 行 っ た と 疑 わ れ
る 場 合 を 除 き 、 関 与 者 (engaging party) 及 び 他 の 適 切 な 関 係 者 ） と 問
題を協議する。
・ 上 級 管 理 職 が 関 与 す る 不 正 の 可 能 性 が あ る 場 合 は 、 those charged with
governance （ ガ バ ナ ン ス 担 当 者 ） に 連 絡 し 、 調 査 を 完 了 す る た め に 必
要な手続の性質、範囲、時期について協議する。
・経営幹部に対し、適切な資格を有する第三者と協議することを要請す

3- Information Systems and Controls

114
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

る。
・ 契 約 上 の 他 の 側 面 へ 与 え る 影 響 （ service auditor の リ ス ク 評 価 、 及 び
service organization の マ ネ ジ メ ン ト の 書 面 に よ る representation （ 表 明 ）
の信頼性など）を検討する。
・とるべき行動方針とその結果について法的助言を得る。
・適切な第三者に連絡をとる。
・契約を解除 (withdraw) する。

Information Systems and Controls 3-115

11511
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

【ＭＥＭＯ】

3- Information Systems and Controls

116
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

5. Incident Response （ イ ン シ デ ン ト レ ス ポ ン
ス ）

サイバーリスクが増す中で、組織はインシデントに対する対応計画をた
て、インシデントの検知方法、対応タイムライン、インシデント対応チー
ムの責任範囲などについても予め定めておくことが推奨される。本節では、
一般的なインシデント対応計画に含まれる内容について学習する。

(1)Incident Response Plan Contents

Incident Response Plan （ IRP ； イ ン シ デ ン ト 対 応 計 画 ） と は 、 組 織 に 対

するサイバー攻撃を検知し、対応し、被害を限定するための一連の手順、
人材、情報を文書化したものである。
組織はインシデントに対応するための正式な計画を策定すべきである。
この計画にはインシデント対応体制を導入するためのロードマップを含め、
インシデントの検知方法、対応の行動計画、インシデント対応チームの責
任範囲などについても詳しく定めておくべきである。この計画は組織の使
命、規模、構造など、その組織固有の要件を考慮したものでなければなら
な い が 、 米 国 国 立 標 準 技 術 研 究 所 （ NIST） は 標 準 的 な 要 素 と し て 、 以 下 を
挙げている。
 Mission （ 使 命 ）
 Strategies and goals （ 戦 略 と 目 標 ）
 Senior management approval and statement of commitment （ 上 級 管 理 職 の
承認と決意表明）
 Organizational approach to incident response （インシデント対応への組
織的
アプローチ）
 Purpose and objectives of the policy （ ポ リ シ ー の 目 的 ）
 Scope of the policy （ ポ リ シ ー の 適 用 範 囲 ）
 Metrics for measuring the incident response capability and its effectiveness
（インシデント対応能力とその有効性を測定するための指標）
 Roadmap for maturing the incident response capability （ イ ン シ デ ン ト 対 応
能力を
高めるためのロードマップ）
 Definition of computer security incidents and related terms （ コ ン ピ ュ ー タ セ
キュリティインシデントと関連用語の定義）
 Organizational structure and definition of roles, responsibilities, and levels of
authority （ 組 織 構 造 及 び 役 割 、 責 任 、 権 限 レ ベ ル の 定 義 ）

Information Systems and Controls 3-117

11711
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

 Prioritization or severity ratings of incidents （インシデントの優先順位付

けや深刻度評価）
 Internal and external communication methods （ 社 内 外 の コ ミ ュ ニ ケ ー シ ョ
ン方法）

3- Information Systems and Controls

118
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

① Incident Response Timeline

IRP で は 、 イ ン シ デ ン ト が 発 生 し た 場 合 に 復 旧 の タ イ ム ラ イ ン （ 行 動
計画を時間軸で表したもの）を下図のガントチャートのように図式化し、
イ ン シ デ ン ト の 開 始 、 検 出 、 制 圧 (containment) 、 根 絶 (eradication) 、
通常業務の復旧、の各時点を明確に示すことが求められる。

Incident is Incident is Incident is Recovery is

reported contained eradicated complete

Total duration of incident Normal business operations resume

② Method of Detection

IRP に は 組 織 に 導 入 し た 検 知 方 法 を 記 載 す る 。 組 織 が イ ン シ デ ン ト や
事象の検知に使用する技術には、以下のように様々なメカニズムや形態
がある。
・脆弱性スキャンソフトウェア
・異常検知
・エンドポイント検出・対応 (Endpoint detection and response ； EDR)
ソリューション
・ファイルの整合性監視
・ログ分析
・ 侵 入 検 知 シ ス テ ム (Intrusion detection systems ； IDS)
・ 侵 入 防 御 シ ス テ ム (Intrusion prevention systems ； IPS)
・物理的セキュリティ監視
・セキュリティ情報イベント管理ソリューション (Security information
and event management solutions ； SIEM)

Information Systems and Controls 3-119

11911
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

・脅威インテリジェンスソフトウェア
・ユーザー行動分析 (User behavior analytics ； UBA) ツール

③ Incident Response Personnel, Roles, and Responsibilities

IRP の 最 も 重 要 な 要 素 は イ ン シ デ ン ト に 対 応 す る た め に 指 定 さ れ た 人
的 資 本 (human capital) で あ る と い え る 。 IRP の 成 功 は 組 織 全 体 に わ た
る 個 人 の 参 加 と 協 力 に 大 き く 依 存 す る が 、 IRP の 要 所 を 処 理 す る た め に
は、適切な技術的知識を持つ専門的な人材が必要である。また、組織に
お け る イ ン シ デ ン ト 対 応 管 理 の 責 任 者 で あ る managementか ら の 指 導 と 支
援も不可欠である。
NISTは 以 下 の モ デ ル を 推 奨 し て い る が 、 企 業 の 規 模 や ビ ジ ネ ス モ デ ル
によっては異なる構造が適している場合もある。
 Centralized Incident Response Team （ 集 中 型 イ ン シ デ ン ト 対 応 チ ー
ム）
このモデルでは、単一のインシデント対応チームが組織全体の
イ ン シ デ ン ト を 管 理 す る 。 こ の 手 法 は 小 規 模 な 組 織 や 、 IT 環 境
が地理的に分散していない組織に効果的であるといえる。
 Distributed Incident Response Teams （ 分 散 イ ン シ デ ン ト 対 応 チ ー
ム）
このモデルでは、企業の論理／物理セグメントごとにインシデ
ント対応チームを割り振ってインシデントを管理する。このモ
デ ル は 地 理 的 に 広 範 な IT 資 産 を 持 つ 組 織 に 効 果 的 で あ る と い え
る。
 Coordinating Team （ 調 整 チ ー ム ）
集中型／分散型のインシデント対応チームの二次的な機能とし
て、インシデント対応チームと他部門との調整役を担う。
NISTの NIST's Computer Security Incident Handling Guide で は 、 組 織 が イ ン
シデント対応チームの構造と人員配置モデルを検討する際に、以下の要
因を考慮することを推奨している。
 24/7 Availability （ 24時 間 365 日 対 応 ）
多くの組織では年中無休で電話や現場でインシデントに対応し
ている。リアルタイムの可用性はインシデントの発見と対応に
かかる時間を短縮し、攻撃の影響を最小限に抑えるのに役立つ
と考えられている。
 Full-Time vs. Part-Time Team Members （ フ ル タ イ ム と パ ー ト タ イ
ム）
インシデント対応チームをパートタイムではなくフルタイムで

3- Information Systems and Controls

120
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

配置するかどうかの判断は、利用可能な資金、その他の人員配
置の必要性や制約、企業が事業展開している業界、および個々
の企業のニーズによって決まる。インシデント対応をアウト
ソーシングすることは、フルタイムスタッフ雇用の代替案とし
て現実的な選択肢となりうる。
 Employee Morale （ 従 業 員 の 士 気 ）
インシデント対応業務は求められるスキルや責任のレベルが高
く 、 担 当 者 は ス ト レ ス を 感 じ や す い 。 特 に 、 24時 間 の オ ン コ ー
ル体制で待機を要する役割のため、意欲があり、熟練した人材
を何人も雇用することは難しい。
そこでインシデント対応業務における役割を分割し、複数の人
数で分担することは一つの選択肢である。
 Cost
コストはインシデント対応チームの人員配置の判断において、
常 に 考 慮 す べ き 要 因 で あ る 。 24時 間 365 日 の 可 用 性 が 求 め ら れ
る う え 、 イ ン シ デ ン ト 対 応 チ ー ム は IT の 多 く の 側 面 を 扱 う た め 、
チ ー ム の 人 員 は 他 の IT 部 門 の 従 業 員 よ り も 幅 広 い 知 識 が 求 め ら
れ、当然ながらコストが高くなる。
 Staff Expertise （ ス タ ッ フ の 専 門 知 識 ）
インシデント対応には、技術的な分野と非技術的な分野の両方
の専門的な知識と経験が必要である。更にサイバーセキュリ
テ ィ を 専 門 と す る IT 専 門 家 は 、 侵 入 の 検 出 、 forensics （ 法 科
学）、脆弱性に関して、より深い最新の知識を有している必要
が あ る 。 ま た 、 digital forensics software （ デ ジ タ ル 証 拠 を 収 集 ・
分析するためのソフトウェア）のようなインシデント対応ツー
ルの使い方も理解していなければならない。従って、組織がこ
の機能をマネージドサービスプロバイダー (MSP) に ア ウ ト
ソ ー ス し 、 MSP は イ ン シ デ ン ト 対 応 に か か る 費 用 を 受 託 し た 顧
客に分散して賦課することは、理にかなっているといえる。

＜インシデント対応チームの追加業務＞（参考）
インシデント対応チームの主な焦点は侵入検知であるが、組織全体の
サイバーセキュリティに対する意識を高めるために、追加的な任務を担
うのが一般的である。
 Education and Awareness （ 教 育 と 意 識 向 上 ）
インシデント対応チーム以外の従業員がインシデントの検出、
報告、対応について知れば知るほど、インシデント対応チーム
の負担は軽減される。こうした啓発活動は社内研修、社内向け
ウェブサイト、ニュースレター、ポスターなど、さまざまな媒

Information Systems and Controls 3-121

12112
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

体を使って行うことができる。
 Advisory Distribution （ 勧 告 の 周 知 ）
インシデント対応チームが特定した新たな脆弱性や脅威につい
て、ニュースレターなどを発行し、組織全体に周知する。
 Information Sharing: （ 情 報 共 有 ）
インシデント対応チームは広範なサイバーセキュリティコミュ
ニティに参加し、組織に差し支えない範囲でインシデント情報
を共有することができる。これには過去のインシデントに関連
する情報の共有、インシデントに対して選択した対応策と結果、
組織に及ぼしたインシデントの影響などがある。

3- Information Systems and Controls

122
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

【ＭＥＭＯ】

Information Systems and Controls 3-123

12312
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

(2) Responding to Cybersecurity Incidents in Accordance With the Incident Response

Plan

サイバーセキュリティは、コンピュータシステム全体の安全性の向上を
目的とし、その対象にはコンピュータシステムを支えるインフラ（ネット
ワーク、コンピュータなど）と、システム内のデータを含む。

① Defining Cybersecurity Events and Incidents

IRP で は イ ベ ン ト と サ イ バ ー セ キ ュ リ テ ィ イ ン シ デ ン ト と を 区 別 し 、
対 応 し な け れ ば な ら な い 。 イ ベ ン ト は 良 性 (benign) の 場 合 も あ る が 、
イ ン シ デ ン ト は 通 常 、 IT 資 産 の セ キ ュ リ テ ィ に 脅 威 を も た ら す 。 両 者 で
は対応が大きく異なる可能性があるため、そ
の 違 い を 見 分 け る こ と は 非 常 に 重 要 で あ る 。 Event
NISTで は こ れ ら の 用 語 を 次 の よ う に 定 義 し て
Adverse Event
いる。
 Event （ イ ベ ン ト ） Computer
Security
イベントとはシステムやネットワー Incident
クで観測可能な事象をさし、例えば
ユーザーが共有ファイルサーバに接
続すること、ファイアウォールが接続をブロックすること、サ
イバーセキュリティを変更することなどが含まれる。
 Adverse Event （ 有 害 事 象 ）
悪影響を及ぼすあらゆる事象を有害事象といい、例えばシステ
ムクラッシュ、パケットを大量に送りつけるフラッド攻撃、シ
ステム権限の不正使用、機密データへの不正アクセス、データ
を破壊するマルウェアの実行などがある。これには意図的な事
象 (intentional) と 意 図 的 で な い 事 象 (unintentional) の 両 方 、 ま
た 人 為 的 な 事 象 (human-inflicted) と 環 境 に よ る 事 象
(environmentally inflicted) が 含 ま れ る 。
 Computer Security Incident （ コ ン ピ ュ ー タ セ キ ュ リ テ ィ イ ン シ
デント）
コンピュータセキュリティに関連し、停電や自然災害のような
環境や間接的な人的要因ではなく、悪意ある人間によって意図
的に引き起こされる有害事象の一種である。その定義は、コン
ピュータセキュリティポリシー、許容される使用ポリシー、ま
たは標準的なセキュリティ慣行に対する、違反または差し迫っ
た脅威 (imminent threat) 、 で あ る 。
＜ Computer Security Incident 例＞

3- Information Systems and Controls

124
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

・ウェブサーバにリクエストを殺到させ、サイトをクラッ
シュさせる。
・ユーザーにフィッシングメールを開かせ、コンピュー
ターにウイルスを感染させるツールをダウンロードさせ
る。
・ランサムウェア攻撃で企業のデータを人質に取る。
・ソーシャルエンジニアリング攻撃により、機密情報が意
図しない相手に公開されるなど、被害に気付きにくい有
害事象。

② Steps in Responding to an Incident

インシデント対
応は組織やフレー
ムワークによって
異なる点はあるが、
一般的にインシデ
ント対応には右の
7 つのステップが
あるといわれてい
る。

1. Preparation （ 準
備）
インシデント対
応計画の初期段階では主要な人材、ツール、プロセスを準備し、組織
が様々なシナリオに対応できるようにする。準備のために採用される
ツール・方法には、通常、脆弱性評価ソフトウェア、侵入検知・防止
アプリケーション（脆弱性スキャナ）、マルウェア対策ソフトウェア、
対応に直接関与する専門家への研修とエンドユーザへの研修などがあ
る。
2. Detection and Analysis/Identification （ 検 出 と 分 析 ／ 特 定 ）
第 2 段 階 で は イ ベ ン ト 発 生 時 に 通 常 業 務 か ら の 逸 脱 (deviation) を 認
識・評価し、そのインシデントが許容可能な事象か、あるいは問題の
あるサイバーセキュリティインシデントかを、慎重に判断する。
3. Containment （ 制 圧 ）
脅威を適切に特定できれば、組織はそれを制圧し、それ以上被害が拡
大しないようにする。これにより脅威を排除するための最善策を選
択・決定する時間ができる。

Information Systems and Controls 3-125

12512
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

脅威の制圧には技術的な対策と非技術的な対策 (technical and

nontechnical measures) と が 含 ま れ る 。
・技術的な対策 ：ネットワークのセグメントを隔離する、暴露
されたワークステーショ ンのグループを使用停止
にする、感染したサーバを運用から外し、バック
アップやフェイルオーバー機器3 に迂回させるなど
・非技術的な対策：拡散防止のための従業員への通知など

3
フェイルオーバー機器：稼働中のシステムに問題が生じてシステムやサーバーが停止した場合に
すぐに切り替えられるよう、待機させておく機器

3- Information Systems and Controls

126
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

4. Eradication （ 根 絶 ）
こ の 段 階 で は 脅 威 の 除 去 (extraction) と 影 響 を 受 け た シ ス テ ム の 復 旧
(restoration) を 行 う 。 こ の 作 業 は 多 岐 に わ た り 、 バ ッ ク ア ッ プ フ ァ イ ル
でファイルを復旧させるという単純なものから、感染したファイルを
復 号 化 し た り 削 除 し た り す る た め に 専 門 的 な ソ フ ト ウ ェ ア や forensic
analysis （ フ ォ レ ン ジ ッ ク 分 析 ） 4 を 用 い る と い う 複 雑 な も の ま で あ
る。システムログ調査やネットワーク監視を全社的に実施し、脅威の
除去・復旧の範囲を判断することもある。
重大なインシデントの結果、重要なデータが失われ、システムの全面
的な再構築が必要となる場合もある。
5. Reporting （ 報 告 ）
こ の 段 階 で は 、 経 営 陣 、 IT 担 当 者 、 影 響 を 受 け る 従 業 員 へ の イ ン シ デ
ントの連絡に重点を置く。メッセージは対象のグループに関連する情
報と次のステップに限定して伝えるように配慮する。
6. Recovery （ 復 旧 ）
復 旧 の 段 階 で は 、 通 常 の IT 運 用 が 完 全 に 機 能 す る 状 態 に 戻 す こ と を 優
先する。
復旧は段階的なアプローチで臨む必要があり、復旧の初期段階では全
体的なセキュリティの向上と、直ちに大きな影響を与える変更に重点
を置き、その後、戦略的な変更（例：同様のサイバーセキュリティイ
ンシデントが再発しないよう、インフラを変更するなど）を含めた、
より全体的な長期的な段階へと移行するのが理想的である。
7. Post-Incident Activity/Lessons Learned （ 教 訓 ）
インシデント対応の最後の段階は、インシデントの経験を通じて得た
教訓の会得と改善である。上級管理職と、インシデントの影響を直接
受けた従業員は、インシデントを検証し、どのように発生したかを理
解し、対応を改善する方法を検討する。対応の評価には、上記の6 つ
の各ステップの実行に要した時間や、うまくいかなかった対応の特定
が含まれる。
インシデント対応チームは、この後に報告書を発行し、必要に応じて
IRP の 修 正 を 検 討 す る 。

一般的なフレームワークの中には、上記の7 つの段階と内容的に重な
る も の が 数 多 く あ り 、 例 え ば 下 記 の SysAdmin, Audit, Network, and Security
(SANS) Institute や NIST 、 International Organization for

4
Forensic analysis（フォレンジック分析）：端末やネットワークに残る記録の証拠保全や調査、分析
を行い、被害状況の解明や犯罪捜査に必要な法的証拠を探し出すプロセス。

Information Systems and Controls 3-127

12712
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

Standardization （ ISO ； 国 際 標 準 化 機 構 ） な ど の フ レ ー ム ワ ー ク が 挙 げ ら
れる。

3- Information Systems and Controls

128
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

②-1 SANS Institute Incident Response Plan （ 参 考 ）

SANS Institute は 、 世 界 最 大 の サ イ バ ー セ SANS Institute IRP

キ ュ リ テ ィ ト レ ー ニ ン グ 組 織 で あ る 。 SANS 1. Preparation
Institute は Incident Handlers Handbook の 中 で 、 イ 2. Identification
3. Containment
ンシデント対応を右の6 段階に分けている。 4. Eradication
5. Recovery
Handbook に は 、 異 常 な プ ロ セ ス 、 フ ァ イ ル 、 6. Lessons learned
レジストリキーを特定するために、さまざま
なコマンドを適用する方法が説明されている。
また、ネットワーク上の異常な行動や、再起動などの計画されたタス
クの異常、不可解なアカウント、疑わしいユーザーの行動などをス
キャンする方法についても説明されている。

②-2 NIST IRP （ 参 考 ）

NIST は 、 Computer Security Incident NIST IRP

Handling Guide の 中 で 、 イ ン シ デ ン ト 対 応 1. Preparation
を右の4 段階に分けている。 2. Detection and analysis
3. Containment,
Guide に は ポ リ シ ー や 手 順 の 策 定 に 関 eradication, and recovery
4. Post-incident activity
するガイダンスや、インシデント対応
チームの構成に関する推奨事項など、イ
ンシデント対応の取り組みを組織化するための情報も提供されている。
ま た 、 NISTの ガ イ ダ ン ス に は 詳 細 な 行 動 計 画 が 挙 げ ら れ て お り 、 さ ら
に NIST Computer Security Incident Handling Guide の 付 録 に は 、 応 用 ガ イ ダ
ンスを含むシナリオも挙げられている。

②-3 International Organization for Standardization IRP （ 参 考 ）

International Organization for Standardization （ ISO ； 国 際 標 準 化 機 構 ）

は、世界中の企業のセキュリティインシデント対応に寄与するため
ISO/IEC 27000 family of standards と 呼 ば れ る 規 格 を 発 表 し 、 セ キ ュ リ
ティインシデント管理計画に以下の活動を含めることを推奨している。
・イベント基準の評価とインシデントの定義
・イベントの監視と検出
・インシデントをライフサイクルの最後まで管理する
・当局との調整と証拠の適切な取り扱い
・原因分析の実施

Information Systems and Controls 3-129

12912
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

・すべてのインシデント管理活動の報告

②-4 Other IRP Organizations and Frameworks （ 参 考 ）

その他にも民間／政府を問わず、さまざまな団体がインシデント対
応に関するフレームワークを確立している。その中には以下のような
ものがある。
・ Information Technology Infrastructure Library (ITIL) は、もともと英国政府に
よ っ て 作 成 さ れ た ラ イ ブ ラ リ で あ る が 、 現 在 は Axelos と し て 知 ら
れ る ジ ョ イ ン ト ベ ン チ ャ ー に よ っ て 管 理 さ れ て い る 。 ITIL の イ ン
シデント管理プロセスの特徴は、サービス管理の原則と統合され
て い る こ と で あ る 。 こ れ は 、 ITIL が サ ー ド パ ー テ ィ の IT プ ロ バ イ
ダ ー の 認 定 資 格 の 発 行 も す る な ど 、 IT プ ロ バ イ ダ ー 業 界 と 密 接 に
結びついている背景によるものである。

・ The United States Computer Emergency Readiness Team (US-CERT) は 、 政 府 機

関、学術界、民間部門と協力し、インシデント対応計画に関する
ガイダンスを発行する組織である。

・ Payment Card Industry Data Security Standard （ PCI-DSS ）は、決済および

取引に関するサイバーセキュリティインシデント対応に特化した
IRP を 発 行 し て い る 。

②-5 IRPs Tailored to Specific Attacks（ 参 考 ）

多くの組織では、特定のサイバーセキュリティ攻撃に応じた、多方
面 に わ た る IRP を 作 成 し て い る 。
これは、組織が最も脆弱な攻撃など、特定のインシデントに対応す
る た め 、 特 別 に 設 計 さ れ た IRP を 複 数 持 つ こ と を 意 味 す る 。 例 え ば
IBM は 特 別 に 設 計 さ れ た IRP で 対 応 す る イ ン シ デ ン ト と し て 、 次 の よ
うな攻撃を特定している。
・ DDoS attacks
・ Mobile code such as malware, spyware, viruses, trojans, and worms
・ Phishing
・ Insider incident
・ Business email compromise
・ Disaster recovery
・ Supply chain attack
・ Advanced persistent threats （ 高 度 な 持 続 的 脅 威 ）

3- Information Systems and Controls

130
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

Information Systems and Controls 3-131

13113
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

③ Procedures to Test Whether a Company Follows Its Incident Response Plan

IRP 導 入 後 に は 、 そ れ ら の 計 画 が サ イ バ ー セ キ ュ リ テ ィ イ ン シ デ ン ト
に期待通りに対応するかを定期的にテストする必要がある。一般的なテ
スト方法には、次のようなものがある。

③-1 Simulations

Tabletop exercises （ 机 上 演 習 ） と も 呼 ば れ 、 対 応 チ ー ム が 机 上 で 、
リアルタイムにインシデントが発生しているかのように、口頭でイン
シ デ ン ト を 進 行 ・ 説 明 す る シ ミ ュ レ ー シ ョ ン で あ る 。 Pen test （また
は penetration test ； 侵 入 テ ス ト ） と 呼 ば れ る 演 習 も あ る 。
・ IRP の annual testing （ 年 次 テ ス ト ） で は 、 イ ン シ デ ン ト 対 応 手 順
が最新かつ正確であるかを判断するために、シミュレーションを
用いることがある。机上演習から得られた教訓をもとに、インシ
デ ン ト 対 応 時 の 手 順 を 強 化 し 、 IRP を 更 新 す る 。
・ SOC2® を 実 施 す る service auditor が 関 わ っ て い る 場 合 、 service
auditor は 直 近 の IRP レ ビ ュ ー の 文 書 を 検 査 し 、 こ の 1 年 以 内 に
IRP が 検 証 さ れ た か を 検 証 す る 。 ま た 、 シ ミ ュ レ ー シ ョ ン 上 の イ
ンシデントが適切に解決され、サービス可用性が復旧したかを判
断 す る 。 更 に 、 実 施 さ れ た テ ス ト の 結 果 を 受 け て IRP が 改 訂 さ れ
たかどうかも確認する。

③-2 IRP Metrics （ 指 標 ）

指標を確立し、パフォーマンスを数値で比較することで、インシデ
ントやシミュレーションの際に確立された手順が守られていたかの判
断に役立てることができる。
＜指標の例＞
・ Mean Time to Detect （ MTTD ； 平 均 検 知 時 間 ）
MTTD は イ ン シ デ ン ト を 検 知 す る ま で に 要 し た 時 間 を さ す 。 平 均
時間が長いほど検知能力が低く、重大な影響を引き起こすインシ
デントが発生する可能性がある。
・ Mean Time to Acknowledge （ MTTA ； 平 均 認 知 時 間 ）
MTTA は イ ン シ デ ン ト が 発 生 し て か ら そ れ を イ ン シ デ ン ト と し て
認識するまでに要する時間を示す指標である。具体的にはインシ
デントが報告された時点から、それが対応を要する脅威として認

3- Information Systems and Controls

132
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

識された時点までの時間が測定される。
・ Mean Time to Contain （ MTTC ； 平 均 制 圧 時 間 ）
Mean time to remediation （ 平 均 修 復 時 間 ） と も 呼 ば れ 、 イ ン シ デ ン
トを食い止め、封じ込めるまでにかかる平均時間をさす。
・ Mean Time to Repair （ MTTR ； 平 均 修 復 時 間 ）
MTTR と は シ ス テ ム を 目 標 と す る 運 用 状 態 に 復 旧 さ せ る の に 要 す
る時間をさす。目標状態はイベント発生前の正常な運用状態への
完全な復旧の場合もあれば、通常の事業運営を可能にする最小限
の機能への一時的な復旧の場合もある。
・ Mean Time Between Failures（ MTBF ； 平 均 故 障 間 隔 ）
イ ン シ デ ン ト と イ ン シ デ ン ト の 間 の 平 均 時 間 を さ し 、 MTBF が 高
いほどシステム障害の発生頻度が低く、信頼性と回復力の高い
ネットワークであることを示す。
・ System Availability or Downtime（ シ ス テ ム の 可 用 性 ま た は ダ ウ ン タ イ
ム）
本番システムが完全／部分的に使用できない時間の長さを指す。
一 般 的 に IT プ ロ バ イ ダ ー と の 契 約 に は シ ス テ ム 稼 働 時 間 の 規 定 が
あり、稼働時間の下限を満たさない場合は、割引やその他のペナ
ルティが適用される。
・ Service-Level Agreement Compliance （ サ ー ビ ス レ ベ ル 契 約 の 遵 守 ）
IT プ ロ バ イ ダ ー と の サ ー ビ ス レ ベ ル 契 約 に お い て 、 特 定 の パ
フォーマンスレベルを満たしているかを定性的／定量的に評価す
るもの。
・ Post-Incident Review（ イ ン シ デ ン ト 発 生 後 の レ ビ ュ ー ）
上級管理職とセキュリティ専門家がインシデント後の一連の出来
事 を レ ビ ュ ー す る こ と に よ り 、 IRP が ど の 程 度 効 果 的 で あ っ た か 、
また、人員と技術が計画に準拠していたかを評価することができ
る。このレビューではログの分析、システム構成の評価、関係者
への聞き取り、さらなる脆弱性テストなどを実施する。
・ Periodic Audits （ 定 期 的 な 監 査 ）
IRP の 定 期 的 / 不 定 期 な 監 査 と レ ビ ュ ー は 、 組 織 が イ ン シ デ ン ト
発生時に適切に対応できる体制にあるかを判断するのに役立つ。
・ Continuous Monitoring （ 継 続 的 な モ ニ タ リ ン グ ）
システムログ、ネットワークトラフィック、異常なユーザー行動
などを常時分析する自動化ツールの利用は、インシデントへのタ
イムリーかつ適切な対応を促進する。

Information Systems and Controls 3-133

13313
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

③-3 Indications an Organization Did Not Respond Appropriately

組 織 の IRP が 適 切 に 設 計 さ れ て い る か を 評 価 す る 場 合 、 あ る い は 実
際の対応時にプロトコルに従っているかを判断する場合、それが不十
分であること示す傾向として、以下のようなものがある。
・インシデントの頻度または重大性の増加
・インシデントの特定または封じ込めに要する時間の増加
・ デ ー タ セ ン タ ー の ダ ウ ン タ イ ム や IT イ ン フ ラ へ の ダ メ ー ジ の 増 加
・罰金、弁護士、コンサルタントの費用の増加
・企業評価の低下

3- Information Systems and Controls

134
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

(3)Insurance as a Mitigation Strategy for a Security Incident

Cyber insurance （ サ イ バ ー 保 険 ） は 、 比 較 的 新 し い 形 態 の 保 険 で あ り 、
攻撃を受けた場合の金銭的救済が約束されることで、サイバー攻撃に対す
る備えを可能にするものである。この救済措置は、データの復旧費用、事
業運営の一時的な中断、収益の損失などを補填することができる。サイ
バー脅威の高度化に伴い、保険会社は保険対象となる損害と保険金支払い
の要件を慎重に定義するようになってきている。

① Insurable Losses （ 保 険 対 象 と な る 損 害 ）

＜サイバー保険で保障される損害の例＞
・ Business Interruption Losses （ 事 業 中 断 損 失 ）
業務記録やシステム、財務リソースにアクセスできないことによる
業務遅延によって収益の損失が起きた場合、サイバー保険の一部と
して保障の対象となる場合がある。
・ Cyber Extortion Losses （ サ イ バ ー 攻 撃 に よ る 損 失 ）
身 代 金 の 支 払 い や 、 攻 撃 者 と の 交 渉 に か か る 弁 護 士 費 用 や IT 専 門 家
への報酬を補償する。
・ Incident Response Costs （ イ ン シ デ ン ト 対 応 費 用 ）
デ ー タ の 復 旧 に 関 連 し た 外 部 の IT 専 門 家 や マ ネ ー ジ ド サ ー ビ ス プ ロ
バ イ ダ ー (MSP) に 対 す る 費 用 、 そ の 他 の 関 連 す る 人 件 費 を 保 障 す
る。
・ Replacement Costs for Information Systems （ 情 報 シ ス テ ム の 交 換 費 用 ）
サイバー攻撃によってソフトウェアやハードウェアが破損した場合、
IT 資 産 の 交 換 が 補 償 さ れ る 場 合 が あ る 。
・ Litigation and Attorney Fees （ 訴 訟 と 弁 護 士 費 用 ）
サイバー攻撃では、被害の結果、生じる訴訟（特に顧客による集団
訴訟）に対処するため弁護士の助言を必要とすることが多い。また
最初の攻撃後に将来の責任を最小化するには今後どのように進める
べきかについて、弁護士の法的助言を受けることもある。
・ Reputational Damage （ 風 評 被 害 ）
データ漏洩に関する報道、危機管理、顧客へのマーケティングに関
連する費用は、補償の対象となる可能性がある。ただし企業ブラン
ドイメージへの損害や長期的な影響については、補償の対象となる
可能性は低い。
・ Information or Identity Theft （ 個 人 情 報 の 盗 難 ）

Information Systems and Controls 3-135

13513
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

攻撃に起因する従業員の個人情報を使用した損害の費用は補償の対
象となる可能性がある。

② Cyber Insurance Requirements for Applicants （ 保 険 加 入 者 へ の 要 件 ）

サイバー保険を取り扱う保険会社は、インシデントが起きる可能性と
インシデントが起きた時の影響、その両方を最小限に抑えるため、加入
者に対し、前もって以下のようなリスク軽減策を講じることを求めてい
る。
・ Background Checks （ 背 景 調 査 ）
企業のシステムにアクセスできる従業員の犯罪歴を把握することは、
IT 資 産 を 保 護 す る 上 で 極 め て 重 要 で あ る 。
・ Compliance With Regulations （ 規 制 遵 守 ）
組 織 が HIPAA や PCI-DSS な ど 、 適 用 さ れ る 規 制 に 準 拠 し て い る こ と
の証明が求められる。
・ Disaster Recovery（ 災 害 復 旧 ）
災害復旧計画の存在と、所定の復旧メカニズムが機能することを定
期的にテストすることが求められる。
・ Employee Training （ 社 員 研 修 ）
フィッシング詐欺などの一般的な手口について従業員を教育するこ
とは、サイバー攻撃から身を守るのに役立つ。フィッシングテスト
やその他のセキュリティプログラムを実施することで、保険料を削
減できる可能性がある。
・ Company Policies （ 企 業 の 情 報 セ キ ュ リ テ ィ 方 針 ）
保険会社は、従業員、顧客、およびベンダーに対する情報セキュリ
ティについて定めた人事の基本方針を要求することが多い。このよ
うなポリシーには通常、会社のデバイスの使用方法、データの許容
される使用方法とアクセス方法、ベンダーや従業員の禁止事項など
が明記されている。
・ Independent Risk Assessment （ 独 立 し た リ ス ク 評 価 ）
第 三 者 に よ っ て 実 施 さ れ る IT リ ス ク の 評 価 は 、 組 織 を イ ン シ デ ン ト
のリスクにさらす弱点を、保険会社が確認するのに役立つ。
・ Incident Response Plans （ イ ン シ デ ン ト 対 応 計 画 (IRP) ）
保 険 会 社 は 通 常 、 IRP が 導 入 さ れ て い る か 、 サ イ バ ー イ ン シ デ ン ト
に ど の よ う に 対 処 し て い る か に 注 目 し て い る 。 IRP が 不 十 分 な 場 合 、
保険料が高くなる可能性がある。
・ IT Controls （ IT 統 制 ）

3- Information Systems and Controls

136
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

標 準 的 な IT セ キ ュ リ テ ィ 統 制 は 、 サ イ バ ー セ キ ュ リ テ ィ 保 険 の 申 込
時チェックリストの一部である。一般に、ファイアウォール、侵入
検知・防止システム、ウイルス対策ソフトまたはエンドポイントソ
フ ト 、 資 産 へ の ア ク セ ス 制 御 、 多 要 素 認 証 （ MFA ） の よ う な 最 新 の
認証ツールが求められる。

Information Systems and Controls 3-137

13713
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

・ Mandatory Pen Testing （ 侵 入 テ ス ト の 義 務 化 ）

一部の保険会社は、保険の申込プロセスの一環として侵入テスト
(penetration testing) を 必 須 要 件 と し て い る 。 侵 入 が 困 難 な シ ス テ ム で
あることがわかると、保険料が安くなる可能性がある。
・ Loss History （ 損 害 歴 ）
保険会社は上記のすべての要因に加え、新規顧客が過去に被ったイ
ンシデントによる損害額を考慮し、その顧客のリスクに対する金額
を決定する。

3- Information Systems and Controls

138
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

【ＭＥＭＯ】

Information Systems and Controls 3-139

13913
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

3. Security and Confidentiality

Terminology
Terminology

□ 1 bad actors 悪意ある行為者

□ 2 service interruption サービスの中断
□ 3 malware マルウェア
□ 4 compromised passwords パスワードの漏洩
□ 5 disruption 妨害
□ 6 threat agent 脅威エージェント
□ 7 Advanced Persistent Threat APT ： 持 続 的 標 的 型 攻 撃
□ 8 disseminating information 情報の流布
□ 9 hacktivitst ハクティビスト
□ 10 Covert Channels 隠れチャネル
□ 11 buffer バッファ（一時記憶装置）
□ 12 Denial-of-Service DoS ； サ ー ビ ス 拒 否
Distributed Denial-of-Service DDoS attack ； 分 散 型 サ ー ビ ス
□ 13
Attacks 拒否攻撃
□ 14 Man-in-the-Middle Attacks MITM Attacks ；中間者攻撃
□ 15 port scanning attacks ポートスキャン攻撃
□ 16 reverse shell attacks リバースシェル
□ 17 replay attacks リプレイ攻撃
□ 18 eavesdropping 盗聴
return-oriented programming リターン指向プログラミング
□ 19
attacks 攻
□ 20 spoofing スプーフィング
media access control addresses
□ 21 MAC ア ド レ ス
(MAC)
□ 22 Domain Name System (DNS) ドメインネームシステム
ソーシャルエンジニアリング
□ 23 social engineering attacks
攻撃
□ 24 phishing フィッシング
□ 25 spear phishing スピアフィッシング
□ 26 surveillance 監視
□ 27 watering hole attacks 水飲み場型攻撃
□ 28 reconnaissance 偵察

3- Information Systems and Controls

140
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

□ 29 exploitation 侵入
□ 30 exfiltration 流出
□ 31 intellectual property IP ； 知 的 財 産
□ 32 mobility 機動性
□ 33 Global Positioning System GPS ； 全 地 球 測 位 シ ス テ ム
International Mobile Subscriber IMSI ； 国 際 携 帯 電 話 加 入 者 識
□ 34
Identity 別番号
□ 35 Internet of Things IoT ； モ ノ の イ ン タ ー ネ ッ ト
□ 36 illegitimate 違法な
□ 37 phony 偽の
脅威モデリング、脅威のモデ
□ 38 threat modeling
ル化
脅威ランドスケープ、脅威の
□ 39 threat landscape
状況
□ 40 decomposition 細分化
□ 41 fraud deterrence 不正抑止
□ 42 tone at the top 経営者の気風
□ 43 acceptable use policies AUP ； 利 用 規 定
□ 44 Bring-your-own-device BOYD ポ リ シ ー
□ 45 Standard Operating Procedures SOP ； 標 準 作 業 手 順 書
□ 46 wired cables 有線ケーブル
□ 47 Access Point AP ；アクセスポイント
□ 48 bridges ブリッジ
□ 49 proxies プロキシ
□ 50 signal modifiers 信号変調器
□ 51 segmentation セグメンテーション、分割
□ 52 isolation 分離化
□ 53 Service Set Identifier SSID
仮想プライベートネットワー
□ 54 Virtual Private Network (VPN)
ク
□ 55 Tunneling トンネリング
□ 56 Internet Protocol Security IPSec
システムハードニング、シス
□ 57 system hardening
テムの堅牢化
□ 58 zero trust ゼロトラスト
□ 59 least privilege 最小特権

Information Systems and Controls 3-141

14114
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

□ 60 need-to-know principle 知る必要性の原則

□ 61 whitelisting ホワイトリスト
□ 62 context-aware authentication コンテキストベース認証
□ 63 digital sgnatures デジタル署名
□ 64 Single Sign-On (SSO) シングルサインオン
□ 65 Personal Identification Numbers PIN ； 個 人 識 別 番 号
□ 66 Token トークン
□ 67 secondary authentication 二次認証メカニズム
□ 68 synchronous 同期型
□ 69 asynchronous 非同期型
□ 70 biometrics バイオメトリクス
□ 71 facial recognition 顔認証
□ 72 iris or retina scans 網膜スキャン
□ 73 hashing ハッシュ
□ 74 illegible 判読できない
□ 75 provisioning プロビジョニング
□ 76 misconfiguration 設定ミス
Common Vulnerabilities and
□ 77 CVE ； 共 通 脆 弱 性 識 別 子
Exposures
□ 78 layered security 重層的なセキュリティ
□ 79 Defense-in-Depth 多層防御
□ 80 physical access control 物理的アクセス制御
□ 81 logical access control 論理的アクセス制御
□ 82 abstraction 抽象化
□ 83 concealment 隠蔽、秘匿
□ 84 Intrusion Prevention System IPS ； 侵 入 防 御 シ ス テ ム
□ 85 Discretionary Access Control DAC ； 任 意 ア ク セ ス 制 御
□ 86 Mandatory Access Controls MAC ； 強 制 ア ク セ ス 制 御
PBAC ； ポ リ シ ー ベ ー ス の ア
□ 87 Policy-based Access Controls
クセス制御
□ 88 Access Control List ACL ； ア ク セ ス 制 御 リ ス ト
□ 89 Intrusion Detection System IDS ； 侵 入 検 知 シ ス テ ム
□ 90 reconfigurations 再構成
□ 91 robust 強固な、堅牢な
□ 92 quarantine 隔離する

3- Information Systems and Controls

142
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

SAR ； セ キ ュ リ テ ィ 評 価 報 告
□ 93 Security Assessment Report
書
□ 94 inspectors general 検査官
□ 95 Personal identifiable information PII ；個人を特定できる情報
□ 96 maiden name 旧姓
□ 97 alias 通称
□ 98 Social Security Number SSN ； 社 会 保 障 番 号
□ 99 taxpayer identification number 納税者番号
□ 100 autonomy 自律性
□ 101 de-identifying 非特定化
□ 102 pseudonymization 仮名（かめい）化
□ 103 anonymization 匿名化
□ 104 obfuscation 難読化
□ 105 tokenization トークン化
□ 106 surrogate value 代用値
□ 107 masking マスキング
□ 108 plaintext 平分
□ 109 ciphertext 暗号文
□ 110 data-at-rest 保存データ
□ 111 symmetric encryption 対称暗号化
□ 112 asymmetric encryption 非対称暗号化
□ 113 Data Loss Prevention DLP ； デ ー タ 損 失 防 止
□ 114 pattern-matching methods パターンマッチング手法
□ 115 purging パージ
□ 116 code of conduct 行動規範
□ 117 quantitative 定量的
□ 118 qualitative 定性的
□ 119 Incident Response Plan IRP ； イ ン シ デ ン ト 対 応 計 画
□ 120 containment 制圧
□ 121 eradication 根絶
Endpoint Detection and Response EDR ； エ ン ド ポ イ ン ト 検 出 ・
□ 122
Solution 対応ソリューション
UBA ； ユ ー ザ ー 行 動 分 析 ツ ー
□ 123 User Behavior Analytics tool
ル
□ 124 morale 士気
□ 125 forensics 法科学

Information Systems and Controls 3-143

14314
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

©TAC all rights reserved

□ 126 benign 良性
□ 127 intentional 意図的
□ 128 human-inflicted 人為的
□ 129 penetration test (pen test) 侵入テスト
□ 130 Mean Time to Detect MTTD ； 平 均 検 知 時 間
□ 131 Mean Time to Acknowledge MTTA ； 平 均 認 知 時 間
□ 132 Mean Time to Contain MTTC ； 平 均 制 圧 時 間
□ 133 Mean Time to Repair MTTR ； 平 均 修 復 時 間
□ 134 Mean Time between Failures MTBF ； 平 均 故 障 間 隔
□ 135 cyber insurance サイバー保険

3- Information Systems and Controls

144
上下 20 ﾐﾘ 左右 14 ﾐﾘ で０ﾐﾘ相当

3. Security and Confidentiality

【ＭＥＭＯ】

Information Systems and Controls 3-145

14514