総務省 「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）に対する意見募集の結果及び「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」の公表

こんにちは、丸山満彦です。

総務省が、「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）に対する意見募集の結果と「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」を公表していますね。。。

改定のポイントは次のようなことのようです。。。（別紙３ 概要）

---

改定のポイント①
SaaS/PaaS/IaaSの特性や、クラウドサービス提供におけるクラウドサービス同士の相関性を踏まえた責任分界のあり方について追記

改定のポイント②
上述の責任分界に関する整理を踏まえ、
✓ SaaS/PaaS/IaaSを提供するクラウドサービス事業者で共通的に実施が求められる情報セキュリティ対策
✓ SaaSを提供するクラウドサービス事業者に実施が求められる情報セキュリティ対策
✓ PaaS/IaaSを提供するクラウドサービス事業者に実施が求められる情報セキュリティ対策
の3つのパターンに整理する形で当ガイドラインの章構成を見直し

改定のポイント③
国際規格（ISO/IEC27017:2016）やNIST SP800-53 rev.5において記載されているセキュリティ対策と整合性をとる形で、当ガイドラインに記載されているセキュリティ対策の内容を見直し

---

● 総務省

・2021.09.30 「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）に対する意見募集の結果及び「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」の公表

一般社団法人情報処理安全確保支援士会、株式会社ラック、ヴイエムウェア株式会社、株式会社セールスフォース・ドットコム、情報処理学会 情報規格調査会 SC 38専門委員会が意見を出していますね。。。

・[PDF] 別紙１：「クラウドサービス提供における情報セキュリティ対策ガイドライン」（案）に対して提出された意見及びその意見に対する考え方 

・[PDF]別紙２：クラウドサービス提供における情報セキュリティ対策ガイドライン（第３版）

・[PDF]別紙３：クラウドサービス提供における情報セキュリティ対策ガイドラインの改定の概要について

---

過去のガイドも含めて総務省の発表

● 総務省

・2021.09.30 「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」の公表

・2021.07.16 「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）に対する意見募集

・2018.07.31 「クラウドサービス提供における情報セキュリティ対策ガイドライン（第2版）」の公表

・2018.06.15 「クラウドサービス提供における情報セキュリティ対策ガイドライン（第2版）」（案）に対する意見募集

・2014.04.02 クラウドサービス提供における情報セキュリティ対策ガイドラインの公表

・2014.02.21「クラウドサービス提供における情報セキュリティ対策ガイドライン」（案）に対する意見募集

---

● まるちゃんの情報セキュリティ気まぐれ日記

・2021.07.17 総務省 意見募集 「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（案）

---

目次全部

Ⅰ．序編

Ⅰ．1．はじめに

Ⅰ．2．ガイドラインの位置付け

Ⅰ．3．ガイドライン活用の効果

Ⅰ．4．ガイドラインの全体構成

Ⅰ．5．ガイドラインの読み方と利用方法

Ⅰ．6．クラウドサービス事業者とクラウドサービス利用者の責任

Ⅰ．6．１．SaaS における管理と責任共有

Ⅰ．6．２．PaaS における管理と責任共有

Ⅰ．6．３．IaaS における管理と責任共有

Ⅰ．7．サプライチェーン

Ⅰ．7．１．垂直連携サプライチェーン 1

Ⅰ．7．２．垂直連携サプライチェーン 2

Ⅰ．7．３．水平連携サプライチェーン 1

Ⅰ．7．４．水平連携サプライチェーン 2

Ⅰ．８．用語の定義

Ⅰ．９．参考文献

Ⅱ．共通編

Ⅱ．1．情報セキュリティへの組織的取組の基本方針

Ⅱ．１．１．組織の基本的な方針を定めた文書

Ⅱ．1．１．１．方針の作成・承認・配布

Ⅱ．1．１．２．方針の変更

Ⅱ．1．１．３．文書保護

Ⅱ．2．情報セキュリティのための組織

Ⅱ．2．１．内部組織

Ⅱ．2．１．１．情報セキュリティ責任者

Ⅱ．2．１．２．システム一覧

Ⅱ．2．１．３．相反する職務と責任の分離

Ⅱ．2．１．４．リスク管理戦略

Ⅱ．2．１．５．テスト、トレーニング及びモニタリング

Ⅱ．2．１．６．組織内苦情管理

Ⅱ．2．2．モバイル機器及びテレワーキング

Ⅱ．２．２．１．モバイル機器の利用方針

Ⅱ．２．２．２．テレワーキングでの情報保護

Ⅱ．３．サプライチェーンに関する管理

Ⅱ．３．１．サプライチェーン事業者間の合意

Ⅱ．３．１．１．リスク対策と文書化

Ⅱ．３．１．２．サービスの監視

Ⅱ．３．１．３．リスク評価とレビュー

Ⅱ．３．１．４．関連情報の保護

Ⅱ．３．１．５．侵害通知

Ⅱ．３．１．６．変更管理

Ⅱ．３．１．７．耐タンパー性と検出

Ⅱ．３．１．８．システム又はシステムコンポーネントの検査

Ⅱ．３．１．９．システムコンポーネントの信頼性

Ⅱ．３．１．１０ システムコンポーネントの廃棄

Ⅱ．３．２．サプライチェーン事業者の選定

Ⅱ．３．２．１．選定・契約

Ⅱ．４．情報資産の管理

Ⅱ．４．１．情報資産に対する責任

Ⅱ．４．１．１．管理責任者

Ⅱ．４．１．２．事業者間の引継ぎ

Ⅱ．４．１．３．バックアップ

Ⅱ．４．１．４．当初目的との一致

Ⅱ．４．２．情報の分類

Ⅱ．４．２．１．資産目録

Ⅱ．４．２．２．データ識別

Ⅱ．４．２．３．情報資産の取扱い

Ⅱ．４．３．情報セキュリティポリシーの遵守、点検及び監査

Ⅱ．４．３．１．レビュー

Ⅱ．４．３．２．点検・監査

Ⅱ．４．４．アクセス管理

Ⅱ．４．４．１．アクセス制御方針

Ⅱ．４．４．２．アクセス制御

Ⅱ．４．４．３．ユーティリティプログラムの使用

Ⅱ．４．４．４．プログラムソースコードへのアクセス

Ⅱ．４．４．５．アクセス制御となりすまし対策

Ⅱ．４．5．構成管理

Ⅱ．４．5．１．構成管理のポリシーと手順

Ⅱ．４．5．２．ベースライン構成

Ⅱ．４．5．３．構成変更管理

Ⅱ．４．5．４．変更に対するアクセス制限

Ⅱ．４．5．５．設定項目

Ⅱ．４．5．６．ソフトウェアの使用制限

Ⅱ．４．5．７．クラウドサービス利用者によるソフトウェアのインストール

Ⅱ．４．5．８．情報の場所

Ⅱ．５．従業員に係る情報セキュリティ

Ⅱ．５．１．雇用前

Ⅱ．５．１．１．雇用契約

Ⅱ．５．２．雇用期間中

Ⅱ．５．２．１．教育・訓練

Ⅱ．５．２．２．教育のフィードバック

Ⅱ．５．２．３．契約違反

Ⅱ．５．３．雇用の終了⼜は変更

Ⅱ．５．３．１．アクセス権・資産の取扱い

Ⅱ．６．情報セキュリティインシデントの管理

Ⅱ．６．１．情報セキュリティインシデント及びぜい弱性の報告

Ⅱ．６．１．１．組織内報告

Ⅱ．６．１．２．クラウドサービス事業者とクラウドサービス利用者間の報告

Ⅱ．６．１．３．インシデントの評価と分類

Ⅱ．６．１．４．フィードバック

Ⅱ．６．１．５．証拠の収集・取得

Ⅱ．７．コンプライアンス

Ⅱ．７．１．法令と規則の遵守

Ⅱ．７．１．１．関連法規と記録

Ⅱ．７．１．２．利用可否

Ⅱ．７．１．３．ソフトウェア製品

Ⅱ．７．１．４．不正アクセス・流出からの保護

Ⅱ．７．１．５．暗号化

Ⅱ．８．ユーザサポートの責任

Ⅱ．８．１．利用者への責任

Ⅱ．８．１．１．責任

Ⅱ．８．１．２．SLA

Ⅱ．８．１．３．情報提供

Ⅱ．８．１．４．クラウドサービス利用者からの苦情対応

Ⅱ．８．２．保守

Ⅱ．８．２．１．システム保守ポリシーと手順

Ⅱ．８．２．２．保守管理

Ⅱ．８．２．３．保守ツール

Ⅱ．８．２．４．リモート保守

Ⅱ．８．２．５．保守要員

Ⅱ．８．２．６．保守要員による保守

Ⅱ．８．２．７．タイムリーな保守

Ⅱ．９．事業継続マネジメントにおける情報セキュリティ

Ⅱ．９．１．情報セキュリティの継続

Ⅱ．９．１．１．情報セキュリティ継続計画の策定と実施

Ⅱ．９．１．２．情報セキュリティ継続の検証、レビュー及び評価

Ⅱ．９．２．緊急時対応計画

Ⅱ．９．２．１．緊急時対応計画の策定と手順

Ⅱ．９．２．２．緊急時対応トレーニング

Ⅱ．９．２．３．緊急時対応計画のテスト

Ⅱ．９．２．４．代替処理サイト

Ⅱ．９．２．５．代替処理サイトで再開

Ⅱ．９．２．６．通信サービス

Ⅱ．９．２．７．システムの復旧と再構成

Ⅱ．９．２．８．代替通信プロトコル

Ⅱ．９．２．９．代替の情報セキュリティ対策

Ⅱ．１０．その他

Ⅱ．１０．１．暗号と認証

Ⅱ．１０．１．１．方針

Ⅱ．１０．１．２．情報提供

Ⅱ．１０．１．３．暗号鍵の作成と管理

Ⅱ．１０．2．開発プロセスにおけるセキュリティ

Ⅱ．１０．２．１．開発プロセスにおける情報セキュリティへの取組

Ⅲ．SaaS 編

Ⅲ．１．運用における情報セキュリティ

Ⅲ．１．１．運用管理

Ⅲ．１．１．１．情報セキュリティ監視手順の策定

Ⅲ．１．１．２．運用管理端末

Ⅲ．１．１．３．稼働・障害監視

Ⅲ．１．１．４．追加報告

Ⅲ．１．１．５．定期報告

Ⅲ．１．１．６．時刻同期

Ⅲ．１．１．７．パスワード管理

Ⅲ．１．１．８．クラウドサービスの変更管理

Ⅲ．１．１．９．リソース監視

Ⅲ．１．１．１０．環境分離

Ⅲ．１．１．１１．マルウェア対策

Ⅲ．１．１．１２．イベントログの取得

Ⅲ．１．１．１３．ログの保護

Ⅲ．１．１．１４．作業記録

Ⅲ．１．１．１５．ソフトウェア導入

Ⅲ．１．１．１６．技術的ぜい弱性

Ⅲ．１．２．システム及び情報の完全性

Ⅲ．１．２．１．原本性確保

Ⅲ．１．２．２．メモリ保護

Ⅲ．１．２．３．セキュリティ侵害の検知

Ⅲ．１．２．４．情報の更新

Ⅲ．１．２．５．代替情報源

Ⅲ．１．２．６．情報の断片化

Ⅲ．１．３．媒体の保管と廃棄

Ⅲ．１．３．１．媒体保管

Ⅲ．１．３．２．廃棄

Ⅲ．１．３．３．輸送

Ⅲ．２．アプリケーション

Ⅲ．２．１．アプリケーションの情報セキュリティ対策

Ⅲ．２．１．１．ウイルス対策

Ⅲ．２．１．２．公衆ネットワーク上のアプリケーションサービスのセキュリティの考慮

Ⅲ．２．１．３．アプリケーションサービスのトランザクションの保護

Ⅲ．２．１．４．プラットフォーム変更後のアプリケーションの技術的レビュー

Ⅲ．２．１．５．パッケージソフトウェアの変更に対する制限

Ⅲ．２．２．データの保護

Ⅲ．２．２．１．バックアップ

Ⅲ．２．２．２．バックアップ情報の完全性

Ⅲ．２．３．セッション管理

Ⅲ．２．３．１．セッションのライフサイクル管理

Ⅲ．２．３．２．セッションの真正性

Ⅲ．２．３．３．同時セッションの制御

Ⅲ．２．３．４．セッションのロック

Ⅳ．PaaS/IaaS 編

Ⅳ．１．運用における情報セキュリティ

Ⅳ．１．１．運用管理

Ⅳ．１．１．１．情報セキュリティ監視手順の策定

Ⅳ．１．１．２．運用管理端末

Ⅳ．１．１．３．稼働・障害監視

Ⅳ．１．１．４．追加報告

Ⅳ．１．１．５．定期報告

Ⅳ．１．１．６．時刻同期

Ⅳ．１．１．７．パスワード管理

Ⅳ．１．１．８．クラウドサービスの変更管理

Ⅳ．１．１．９．リソース監視

Ⅳ．１．１．１０．環境分離

Ⅳ．１．１．１１．マルウェア対策

Ⅳ．１．１．１２．イベントログの取得

Ⅳ．１．１．１３．ログの保護

Ⅳ．１．１．１４．作業記録

Ⅳ．１．１．１５．ソフトウェア導入

Ⅳ．１．１．１６．技術的ぜい弱性

Ⅳ．１．２．システム及び情報の完全性

Ⅳ．１．２．１．原本性確保

Ⅳ．１．２．２．メモリ保護

Ⅳ．１．２．３．セキュリティ侵害の検知

Ⅳ．１．２．４．情報の更新

Ⅳ．１．２．５．代替情報源

Ⅳ．１．２．６．情報の断片化

Ⅳ．１．３．媒体の保管と廃棄

Ⅳ．１．３．１．媒体保管

Ⅳ．１．３．２．廃棄

Ⅳ．１．３．３．輸送

Ⅳ．２．プラットフォーム、サーバ・ストレージ

Ⅳ．２．１．プラットフォーム、サーバ・ストレージの情報セキュリティ対策

Ⅳ．２．１．１．ウイルス対策

Ⅳ．２．２．プラットフォーム、サーバ・ストレージの運用・管理

Ⅳ．２．２．１．可用性

Ⅳ．２．２．２．リソース

Ⅳ．２．３．データの保護

Ⅳ．２．３．１．バックアップ

Ⅳ．２．３．２．バックアップ情報の完全性

Ⅳ．３．ネットワーク

Ⅳ．３．１．ネットワークにおける情報セキュリティ対策

Ⅳ．３．１．１．ネットワーク構成

Ⅳ．３．１．２．管理者の権限

Ⅳ．３．１．３．不正アクセス防止

Ⅳ．３．１．４．パケット検知

Ⅳ．３．１．５．実施基準

Ⅳ．３．１．６．通信の暗号化

Ⅳ．３．１．７．サーバ証明書

Ⅳ．３．１．８．情報セキュリティ特性

Ⅳ．３．１．９．障害監視

Ⅳ．３．１．１０．クロス・ドメイン・ポリシーの実施

Ⅳ．３．１．１１．統制管理のための代替通信パス

Ⅳ．３．１．１２．検出機器の再配置

Ⅳ．３．１．１３．ハードウェア/ソフトウェアによる分離とポリシーの施行

Ⅳ．３．１．１４．ハードウェアベースの書き込み保護

Ⅳ．３．２．情報の転送

Ⅳ．３．２．１．情報転送の方針及び手順

Ⅳ．３．２．２．情報転送に関する合意

Ⅳ．３．２．３．秘密保持契約又は守秘義務契約

Ⅳ．３．３．セッション管理

Ⅳ．３．３．１．セッションのライフサイクル管理

Ⅳ．３．３．２．セッションの真正性

Ⅳ．３．３．３．同時セッションの制御

Ⅳ．３．３．４．セッションのロック

Ⅳ．４．建物、電源(空調等)

Ⅳ．４．１．建物の災害対策

Ⅳ．４．１．１．建物

Ⅳ．４．１．２．電源

Ⅳ．４．１．３．空調

Ⅳ．４．２．⽕災、雷、静電気からシステムを防護するための対策

Ⅳ．４．２．１．汚損対策

Ⅳ．４．２．２．火災対策

Ⅳ．４．２．３．雷対策

Ⅳ．４．２．４．静電気対策

Ⅳ．４．２．５．緊急遮断

Ⅳ．４．２．６．非常用電源

Ⅳ．４．２．７．非常用照明

Ⅳ．４．２．８．電磁パルス保護対策

Ⅳ．４．３．装置の対策

Ⅳ．４．３．１．サポートユーティリティ

Ⅳ．４．３．２．ケーブル配線のセキュリティ

Ⅳ．４．３．３．装置の保守

Ⅳ．４．３．４．資産の移動

Ⅳ．４．３．５．構外にある装置及び情報資産のセキュリティ

Ⅳ．４．３．６．装置のセキュリティを保った処分又は再利用

Ⅳ．４．３．７．無人状態にあるクラウドサービス利用者装置

Ⅳ．４．３．８．クリアデスク・クリアスクリーン方針

Ⅳ．４．４．建物の情報セキュリティ対策

Ⅳ．４．４．１．オフィス、部屋及び施設のセキュリティ

Ⅳ．４．４．２．セキュリティを保つべき領域での作業

Ⅳ．４．４．３．入退室記録

Ⅳ．４．４．４．監視カメラ

Ⅳ．４．４．５．破壊対策ドア

Ⅳ．４．４．６．警備員

Ⅳ．４．４．７．鍵管理

Ⅳ．４．４．８．受渡場所

Ⅳ．４．４．９．搬入と搬出

Ⅴ．IoT サービスリスクへの対応方針編

Ⅴ．１．概要

Ⅴ．１．１．IoT サービスを特徴付ける三つの観点

Ⅴ．１．２．対象とする IoT サービスの構造

Ⅴ．１．３．IoT サービスにおいて重視すべきリスク

Ⅴ．１．４．IoT サービスリスクへの対応の考え方

Ⅴ．１．５．第Ⅴ部の活用方法

Ⅴ．１．６．IoT セキュリティガイドラインとの関係

Ⅴ．２．IoT サービスのリスク

Ⅴ．２．１．IoT サービスの提供におけるロールとコンポーネント

Ⅴ．２．１．１．IoT サービスの提供におけるロール

Ⅴ．２．１．２．IoT サービスの提供に必要なコンポーネント

Ⅴ．２．２．三つの観点ごとのリスク

Ⅴ．３．対応策を割り当てる IoT サービスリスクの抽出

Ⅴ．４．IoT サービスを提供するクラウド事業者が取るべき対応策の導出

Ⅴ．４．１．対応策導出の流れ

Ⅴ．４．１．１．IoT サービスの三つの観点ごとのロール、リスク、リスク対応策の関係

Ⅴ．４．１．２．クラウド事業者の責任範囲の把握

Ⅴ．４．１．３．対応策導出の流れ

Ⅴ．４．２．調査テンプレートへの記入例

Ⅴ．４．３．リスク対応策導出マップ

Ⅴ．５．リスク対応策

参考資料

ANNEX1 クラウドサービスのパターン

ANNEX2 対策一覧

ANNEX3 クラウド事業者が過度の責任を負わないための注意点

ANNEX4 【事例集】 調査テンプレートの記入例