「政府機関の情報セキュリティ対策のための統一基準」 第3版の改訂の概要

「政府機関の情報セキュリティ対策のための統一基準」
第３版の改訂の概要
２００８年２月
内閣官房情報セキュリティセンター
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
スライド 0
政府機関統一基準 第３版の概要
1. 技術・環境の変化の反映
1-1 ドメインネームシステム（DNS）に関する対策 (新規)
DNSへの攻撃によるウェブ、電子メール等の政府機関サービスの妨害等への対策を追加
1-2 監視機能 (遵守事項追加)
情報セキュリティ侵害の予防、対処、抑止を目的とした監視に係る対策を追加
1-3 政府機関サイトへの成りすまし対策 (新規)
成りすましサイト対策として、政府機関で使用するドメイン名に関して規定
2. 実務に即した見直し等
2-1 遵守事項の明確化
2-2 用語の整理
参考： 政府機関統一基準解説書の記述の明確化
○ 国民等がPCにダウンロードするソフトウェアの安全性確保について解説を充実
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
スライド 1
1-1 ドメインネームシステム（DNS）に関する対策 －1－
新規項目 5.3.4
„ インターネットの基礎をなすDNSに関して、情報セキュリティ上必要な措置を求める。
„ 脅威
„ リスク・影響
1. DoS攻撃
1. DNSの機能停止・低下
→ 外部向けサービスの停止・低下、府省庁内業務停滞
2. サーバ等機器の故障
3. 外部の者による不正なアクセス、情報の破壊・改ざん
4. 外部の者による内部資産（キャッシュサーバ）の使用 等
2. DNSへの不正情報の混入
→ 不正なサイトへの誘導
3. 内部情報（IPアドレス等）の漏えい 等
„ DNSの構築時に講ずるセキュリティ対策
9 ウェブや電子メールサービスを安定して利用できるようする。
Ö 要安定情報を取り扱う情報システムの名前解決を提供するDNSのコンテンツサーバにおいて、名前解決を停止させないための
措置を講ずること。【基本遵守事項】(1)(a) ・・・ ISPの提供するセカンダリDNSの利用による冗長化等
9 管理の手続を定める。
Ö DNSのコンテンツサーバにおいて管理するドメインに関する情報を運用管理するための手続を定めること。【基本遵守事項】
(1)(b)
9 第三者によるキャッシュサーバの不正利用やキャッシュ情報の汚染を防ぐ。
Ö DNSのキャッシュサーバにおいて、府省庁外からの名前解決の要求には応じず、府省庁内からの名前解決の要求のみに回答
を行うための措置を講ずること。【基本遵守事項】(1)(c) ・・・ ファイアウォール等によるアクセス制御等
9 府省庁内部のホスト情報の漏えいを防ぐ。
Ö DNSのコンテンツサーバにおいて、内部のみで使用する名前の解決を提供する場合、当該情報が外部に漏えいしないための措
置を講ずること。【基本遵守事項】(1)(d) ・・・ ファイアウォール等によるアクセス制御等
9 DNSの成りすましや管理するドメインに関する情報（ゾーン情報）の改ざんを検出する。
Ö 重要な情報システムの名前解決を提供するDNSのコンテンツサーバにおいて、管理するドメインに関する情報に電子署名を付
与すること。【強化遵守事項】(1)(e) ・・・ DNSSEC等の利用
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
スライド 2
1-1 ドメインネームシステム（DNS）に関する対策 －2－
新規項目 5.3.4
„ インターネットの基礎をなすDNSに関して、情報セキュリティ上必要な措置を求める。
公開ネットワーク
（DMZ）
コンテンツサーバ
5.3.4(1)(a)
（インターネット向け）
ファイアウォール
インターネット
DMZ又は他ネット
ワーク（ISP等）
DNS（コンテンツサーバまた
はキャッシュサーバ）
○○府省庁LAN
5.3.4(1)(e)
DNSへの問い合わせ
コンテンツサーバ
5.3.4(1)(c)
（○○府省庁向け）
管理するドメインに関する情報
キャッシュ
サーバ
5.3.4(1)(b)
電子署名
5.3.4(1)(d)
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
スライド 3
1-1 ドメインネームシステム（DNS）に関する対策 －3－
新規項目 5.3.4
„ インターネットの基礎をなすDNSに関して、情報セキュリティ上必要な措置を求める。
„ DNS運用時に講ずるセキュリティ対策
9 冗長化したコンテンツサーバの間で整合性を維持する。
Ö DNSのコンテンツサーバを複数台設置する場合は、管理するドメインに関する情報についてサーバ間で整合性を
維持すること。【基本遵守事項】(2)(a) ・・・ ゾーン転送等
9 管理するドメインに関する情報の正確性を維持する。
Ö DNSのコンテンツサーバにおいて管理するドメインに関する情報を運用管理するための手続に基づいて、当該情
報が正確であることを適宜確認すること。【基本遵守事項】(2)(b)
公開ネットワーク
（DMZ）
コンテンツサーバ
（インターネット向け）
ファイアウォール
インターネット
DMZ又は他ネット
ワーク（ISP等）
DNS（コンテンツサーバまた
はキャッシュサーバ）
○○府省庁LAN
5.3.4(2)(a)
DNSへの問い合わせ
コンテンツサーバ
（○○府省庁向け）
管理するドメインに関する情報
キャッシュ
サーバ
5.3.4(2)(b)
電子署名
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
スライド 4
1-2 監視機能
追加項目 4.3.1.(1)
„ 情報セキュリティ侵害の予防、対処、抑止を目的とした監視の実施を求める。
„ 監視の実施
9 監視を行う。
Ö 情報システムについて、情報セキュリティの侵害又はそのおそれのある事象の発生を監視する必要性の有無を検
討し、必要があると認めた場合には、監視のために必要な措置を定めること。【基本遵守事項】 (1)(e)として追加
「4.3.1 情報システムのセキュリティ要件」（既存項）の「(1) 情報システムの計画」に遵守事項１項目を追加する。
監視対象
監視対象
‡
‡
‡
‡
具体例
具体例
情報セキュリティ侵害
情報セキュリティ侵害
情報セキュリティ侵害
情報セキュリティ侵害
のおそれのある事象
のおそれのある事象
府省庁において監視の必要があると認めた事象について実施
府省庁において監視の必要があると認めた事象について実施
‡
‡ インターネットからの府省庁の情報システムへの攻撃の監視
インターネットからの府省庁の情報システムへの攻撃の監視
－
－ 侵入検知システム（IDS）等による
侵入検知システム（IDS）等による
‡
禁止端末の持込や内部ネットワークへの無許可接続の監視
‡ 禁止端末の持込や内部ネットワークへの無許可接続の監視
‡
‡ サーバ装置等機器の正常な動作
サーバ装置等機器の正常な動作 等
等
情報システムの計画時の準備例
情報システムの計画時の準備例
‡
‡
‡
‡
情報システムについて必要な監視を定める。
情報システムについて必要な監視を定める。
設ける監視機能を定める。
設ける監視機能を定める。
‡
‡
‡
‡
監視を行う運用時の体制を定める。（情報システムの運用を行う体制において監視を行うことも想定。）
監視を行う運用時の体制を定める。（情報システムの運用を行う体制において監視を行うことも想定。）
監視を行うことをあらかじめ説明する（プライバシー侵害の可能性がある場合）。
監視を行うことをあらかじめ説明する（プライバシー侵害の可能性がある場合）。
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
スライド 5
1-3 政府機関サイトへの成りすまし対策 －1－
新規項目 6.3.3
„ 国民等にとって、政府機関のサービスが「本物」であると確認でき、成りすましサイトを識別できるた
めの対策の実施を求める。
背
背景
景
‡
‡ 政府機関内外でスピアメール、送信元詐称メールが多発している状況から、行政サービスを利用する国民等が成りすましサ
政府機関内外でスピアメール、送信元詐称メールが多発している状況から、行政サービスを利用する国民等が成りすましサ
イトへ誘導されることも懸念される。
イトへ誘導されることも懸念される。
‡
‡ 政府機関に割り当てられたドメイン名を使用することにより、国民等が成りすましサイトに気づくことができる。
政府機関に割り当てられたドメイン名を使用することにより、国民等が成りすましサイトに気づくことができる。
‡
‡ 「セキュア・ジャパン２００６」（2006年6月15日、情報セキュリティ政策会議決定）において、政府機関への成りすましの防止として
「セキュア・ジャパン２００６」（2006年6月15日、情報セキュリティ政策会議決定）において、政府機関への成りすましの防止として
期限を区切って取り組み、「セキュア・ジャパン２００７」（2007年6月14日、情報セキュリティ政策会議決定）でも、「原則として
期限を区切って取り組み、「セキュア・ジャパン２００７」（2007年6月14日、情報セキュリティ政策会議決定）でも、「原則として
2008年3月までに」と、引き続き期限の再確認がされている。
2008年3月までに」と、引き続き期限の再確認がされている。 （第３章
（第３章第１節
第１節ア
ア③
③（ウ））
（ウ））
„ ドメイン名の使用についての対策
9 統括情報セキュリティ責任者は、ドメインネームシステムによるドメイン名（以下「ドメイン名」と言う。）の使用につい
て、以下の事項を行政事務従事者に求める規定を整備すること。【基本遵守事項】(1)(a)
（告知におけるドメイン名の使用）
Ö (ア)行政事務従事者が府省庁外の者（国外在住の者を除く。以下、本項において同じ。）に対して、アクセスや送信させることを
目的としてドメイン名を告知する場合に、以下の政府機関のドメイン名であることが保証されるドメイン名（以下「政府ドメイン名」
という。）を使用すること。
•go.jp で終わるドメイン名
•日本語ドメイン名の中で行政等に関するものとして予約されたドメイン名
ただし、電子メール送信又は政府ドメイン名のウェブページでの掲載に限り以下の条件をすべて満たす場合には、政府ドメイン
名以外のドメイン名を府省庁以外のものとして告知してもよい。
•電子メール送信の場合、告知内容についての問い合わせ先として政府ドメイン名による電子メールアドレスを明記して
いるか、又は政府ドメイン名による電子署名をしていること。
•告知するドメイン名を管理する組織名を明記すること。
•告知するドメイン名の有効性を確認した時期又は有効性を保証する期間について明記していること。
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
スライド 6
1-3 政府機関サイトへの成りすまし対策 －2－
新規項目 6.3.3
„ 国民等にとって、政府機関のサービスが「本物」であると確認でき、成りすましサイトを識別できるた
めの対策の実施を求める。
„ ドメイン名の使用についての対策（続き）
（電子メールの送信元とするドメイン名）
Ö (イ)行政事務従事者が府省庁外の者に対して、電子メールの送信元としてドメイン名を使用する場合には、政府ドメイン名を使
用すること。ただし、当該府省庁外の者にとって、当該行政事務従事者が既知の者である場合を除く。
（コンテンツの保存等に使用するサーバのドメイン名）
Ö (ウ)行政事務従事者が府省庁外の者に対して、アクセスさせることを目的として情報を保存するためにサーバを使用する場合
には、政府ドメイン名のサーバだけを使用すること。
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
スライド 7
2 実務に即した見直し等
2-1 遵守事項の明確化
z
「4.1.6 暗号と電子署名（鍵管理を含む）」
府省庁で使用するアルゴリズムについて、統括情報セキュリティ責任者が定める事項の表現を
明確化する。
2-2 用語の整理
z
情報システムのライフサイクルにつて、「計画」、「構築」、「運用」等の用法を整理、統一する。
z
その他
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
スライド 8
《参考》 国民等がPCにダウンロードするソフトウェアの安全性確保について
„
国民等がPCにダウンロードするソフトウェアの安全性が確保されるための対策の実施を求める。
府省庁外の情報セキュリティ水準の低下を招く行為の防止の一つとして、具体的に解説する。
背
背景
景
‡
‡ 電子申請を利用する国民等に、PCにソフトウェア（ランタイム実行環境）のダウンロードを求める場合があ
電子申請を利用する国民等に、PCにソフトウェア（ランタイム実行環境）のダウンロードを求める場合があ
る。
る。
ダウンロードする当該ソフトウェアについて脆弱性が指摘された際に、新バージョンへの移行等、解決のた
ダウンロードする当該ソフトウェアについて脆弱性が指摘された際に、新バージョンへの移行等、解決のた
めの措置が迅速に行えない事例
めの措置が迅速に行えない事例（旧版JREの使用）
（旧版JREの使用）が見られた。
が見られた。
‡
‡ 情報システムの構築後に脆弱性が報告される可能性も考慮し、是正を容易に行えるための準備及び設計
情報システムの構築後に脆弱性が報告される可能性も考慮し、是正を容易に行えるための準備及び設計
を行うことが求められる。
を行うことが求められる。
„ 遵守事項（既存）
統括情報セキュリティ責任者は、府省庁外の情報セキュリティ水準の低下を招く行為の防止に関する措置
についての規定を整備すること。【基本遵守事項】6.3.1(1)(a)
„ 解説注（改訂）
9 府省庁外の情報セキュリティ水準の低下を招く行為に関する説明を充実
（ア） 不適切なソフトウェアの使用要求
（イ） ソフトウェアの不適切な設定要求
（ウ） ソフトウェア等の不適切な削除要求
9 運用開始後に脆弱性が指摘された場合に、利用者は、これを回避するための選択ができること
9 そのための準備、設計等に関して府省庁の規定を整備し、遵守すること
注 「政府機関の情報セキュリティ対策のための統一基準(第３版) 解説書」、NISD-K303-072C
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
スライド 9
《参考》 政府機関統一基準の改訂の経緯
政府機関統一基準については、政府機関の情報セキュリティ水準を適切に維持していく観点から定期的に見直しを
行うこととされており、技術・環境の変化等を踏まえ、下記のスケジュールで見直し・改訂を実施
・・・
技術・環境の
変化の反映
o 最近の事案検証
o 基準で対応して
いない脅威検討
１０月
１１月
政府機関統一基準
の見直し作業
１２月
１月
パブリック
コメント
実施
△
政策会議
（改訂案
とりまとめ）
Copyright 2007,2008 内閣官房情報セキュリティセンター (http://www.nisc.go.jp/)
２月
改訂案
作成
改訂版
決定
△
政策会議
2008/2/4開催
（改訂版決定）
スライド 10