業務委託時のガイドラインも

中小企業に「お金を掛けずにできる具体的な対策」提示、IPA

2009/03/18

　情報処理推進機構（IPA）は3月18日、情報セキュリティに詳しい人材が不足している中小企業向けに、最低限実施すべきセキュリティ対策を具体的にまとめた「中小企業の情報セキュリティ対策ガイドライン」を公表した。

　このガイドラインは、「情報セキュリティ対策が必要なことは分かっていても、何をすべきかが分からないという疑問に対して解決策を提示するもの」（IPAセキュリティセンタ普及グループグループリーダーの石井茂氏）。人的リソースが少なく、また不況も相まって対策に必要な予算を十分に持たない中小企業向けに、「お金を掛けずに実行できる具体的な対策」を示す。

　ISMSなどの標準に沿うならば、情報セキュリティ対策に取り組むにはまず社内の資産を洗い出し、リスクと考えられる脅威を分析して……というプロセスを取ることになる。しかしこうした手順は、中小企業にとっては敷居が高かったとIPAでは分析。最低限必要な事項を具体的に提示し、セキュリティ対策の一歩を踏み出せるよう支援する。

　ガイドラインは、中小企業が置かれた環境や直面する情報セキュリティ上のリスクなどについてまとめた本編のほか、3つの別冊が用意される。機密情報を受け取る業務委託時に必要な対策をまとめた「委託関係における情報セキュリティ対策ガイドライン」、退職者による機密情報の持ち出しやWinnyを介した情報漏えいといった10種類の具体的なケースを想定し、それぞれ必要な対策を提示する「中小企業における組織的な情報セキュリティ対策ガイドライン」、最低限必要な25項目をまとめ、自社がまず取り組むべき対策は何かを把握できるようにした「5分でできる自社診断シート」だ。

　IPAではこれらによって、中小企業におけるセキュリティ対策の底上げと、委託関係における情報セキュリティ対策の普及を狙う。特に、委託関係における情報セキュリティ対策ガイドラインでは、「情報が漏えいしたら損害賠償」といった漠然とした取り決めではなく、「委託時にどれが機密情報であるのかを明示する」「再委託時の手順や義務をきちんと取り決める」といった項目を盛り込み、委託元、受託側双方が受け入れ可能な、妥当な項目案を提示している。

　IPAはこのガイドラインを、全国各地で実施している「IPA情報セキュリティセミナー」で紹介するほか、中小企業向けのe-ラーニングツールに活用する。また、商工会議所や商工会、ITコーディネータ協会と協力し、全国約200カ所でパンフレット30万部を配布するなどして、普及啓発に努めるという。