告示令和6年8月16日
経済産業省告示（管理対象情報の適切な管理に関する指針）
号外p.5 - p.8
号外p.5-p.8
出典：官報発行サイト（内閣府）の掲載情報をもとに整理しています。重要な確認は公式原文を基準にしてください。
出典・注意
官報発行サイト（内閣府）の掲載情報をもとに整理しています。重要な確認は公式原文を基準にしてください。
抽出された基本情報
発行機関経済産業省
省庁経済産業省
抽出された基本情報
- 発行機関
- 経済産業省
- 省庁
- 経済産業省
本文と原文の対照
まず左側の本文を読み、必要な箇所だけ原文ページで確認できる構成です。
← 同日の官報に戻る
原文対照の表示オプション
4 管理責任者は、管理対象情報の内容の伝達及び複製について、Ⅰの第10の管理簿に記録する。
5 管理責任者は、電子情報である管理対象情報について、情報システムを構成する機器、可搬式記録媒体又はネットワークを介して接続するストレージサービスであって、事業者の管理に属さないものへの複製をするための手順を定める。
6 管理責任者は、管理対象情報を複製した場合において、当該複製された情報を管理対象情報として適切に管理する。
Ⅲ 管理対象情報が物である場合のアクセス制限等
事業者は、管理対象情報が物（書類等の紙情報、試作品又は製造装置等をいう。）である場合には、管理対象情報への物理的アクセスを制限するため、次の表の左欄に掲げる義務項目を必ず達成するものとし、当該義務項目の達成のため、同表の右欄に掲げる手段その他の義務項目を達成するために有効な手段を講ずるものとする。
| 義務項目 | 義務項目を達成するために適切と考えられる手段 |
| 第1 管理責任者は、保管容器 及び立入制限区域の鍵、警 備の体制を適切に管理す る。また、事業者は、管理 対象情報及び保管容器を、 立入制限区域に設置すると ともに、持ち出す場所につ いても制限する。 | 1 管理責任者は、保管容器及び立入制限区域の鍵の貸出し、 共有を管理するための管理簿を作成し、一定期間保管する。 2 管理責任者は、施錠することができる保管容器を用いて いる場合にあっては、当該保管容器の解錠手段を、以下の ような事象が生じた都度、変更する。 (1) 保管容器の購入後、使用する場所に備え付け、又は使 用する場所を変更した場合 (2) 管理責任者又は管理責任者の委任を受けたアクセス権 者が変わった場合 (3) 暗証番号がアクセス権者以外の者に漏えいし、又はそ のおそれがあると管理責任者又はアクセス権者が認めた 場合 3 管理責任者は、立入制限区域に係る入退室口を、業務時 間中のみ開錠する。 4 管理責任者は、立入制限区域へのアクセス権者を含む全 ての者の立入りの状況（立入者の所属、氏名及び立入りの 目的等）を記録し、事後的に確認可能とするため以下のよ うな適切な措置を講ずる。 (1) 鍵の貸出しに係る管理簿の作成 (2) 受付の設置による受付簿の管理 (3) IDによる認証の導入 (4) 作業をしている者以外の者による同行と確認の実施 5 管理責任者は、立入制限区域の全ての鍵の解錠が可能な マスターキーの製作又は共通パスワードの設定等がされて いる場合には、そのマスターキー等を管理する。 6 管理責任者は、立入制限区域内に保管容器や製造設備等 の管理対象情報を設置した場合において、ワイヤで固定す ること等により保管容器や製造設備等を物理的に持ち出せ ないようにする。 |
7 管理責任者は、管理対象情報を持ち出す際に、持出先となり得る場所について以下の事項等を事前に指定することとし、以下の事項をⅠの第10の管理簿に記載する。
(1) 住所
(2) 建物・施設名
(3) 部屋番号
(4) 持出先の部屋の配置
(5) 保管場所
第2 管理責任者は、管理対象情報を保管容器から持ち出し、運搬すること等を、アクセス権者又は管理責任者が指定した者に限ることとし、当該持出し、運搬等に当たっての手順を定める。
1 管理責任者は、管理対象情報の運搬の際に、外部から当該管理対象情報を視認できないようにする。
2 管理責任者が指定した者は、当該管理対象情報を取り扱うための場所等においてアクセス権者に引き渡したときに、当該アクセス権者から受領証を受け取り、管理責任者に提出する。
3 管理責任者は、管理対象情報の運搬を信頼できる輸送機関又は運搬事業者に行わせる。
4 管理責任者は、当該管理責任者の属する事業者以外の者（以下この4において「運送事業者」という。）に管理対象情報を運搬させる必要がある場合には、当該運送事業者の情報の管理について評価し、当該運送事業者と秘密保持契約を締結する。管理対象情報を当該運送事業者以外の者から当該運送事業者に運搬する場合も、同様とする。
5 管理責任者は、管理対象情報を持ち出す際に、持出しを行う持出人を最小限とし、その持出人をⅠの第10の管理簿に記録する。
6 管理責任者は、管理対象情報を持ち出す際に、持出しを行う目的を可能な限り限定し、その目的をⅠの第10の管理簿に記録する。
第3 事業者は、立入制限区域への不審者の侵入に係る視認性を高める。
1 事業者は、立入制限区域に赤外線警報装置、セキュリティカメラ等の警備システムを導入する。
2 事業者は、警備員等がモニターにより立入制限区域及びその周辺を常時監視する体制を確保する。
3 事業者は、立入禁止区域の周辺に立入りが禁止されていることを視覚的に認識できるようにする。
4 事業者は、立入制限区域への全ての立入者について、他の者から視認できるよう、当該立入制限区域に立ち入ることが許されていることが分かる標識の着用を求めるものとする。
Ⅳ 管理対象情報が電子情報である場合のアクセスの制限等
事業者は、管理対象情報が電子情報である場合には、管理対象情報へのアクセスを制限するため、次の表の左欄に掲げる義務項目を必ず達成するものとし、当該義務項目の達成のため、同表の右欄に掲げる手段その他の義務項目を達成するために有効な手段を講ずるものとする。
| 義務項目 | 義務項目を達成するために適切と考えられる手段 |
| 第1 事業者は、管理対象情報 へのアクセスをアクセス権 者に制限する手順を定め る。 | 1 事業者は、情報システムのセキュリティに配慮したログ イン手順、電子メールで管理対象情報を送付する手順等の 操作手順書を作成する。 2 事業者は、業務で利用する情報システムを構成する機器 （個人所有の物を含む。）の利用開始時、利用終了時の手続、 利用中の遵守・禁止事項、紛失時の手続を含む利用手順を 定める。 |
第2 事業者は、サーバ等の設置エリアには、物理的セキュリティ対策を行う。
1 事業者は、管理対象情報を取り扱う情報システム（以下「管理情報システム」という。）を構成する機器のうちサーバ等は立入制限区域に設置する。
2 事業者は、サーバ等の設置エリアに入場可能な者を定める。
3 事業者は、サーバ等の設置エリアを施錠等で入場を制限する。
第3 事業者は、自社が構築する管理情報システムを構成する機器の選定に当たって、信頼性を考慮した上で機器を選定する。
1 事業者は、情報システムを構成するハードウェア、ソフトウェア等について、サポート窓口が明確であり、当該サポート窓口に常時連絡がとれる事業者から導入する。
2 事業者は、管理対象情報をクラウド等自社以外の者のサーバ等で保存する場合には、そのクラウド等を管理する者の信頼性を確認（例えば、ISO/IEC27017の認証の取得の状況、日本セキュリティ監査協会クラウドセキュリティ推進協議会によるCSマークの取得の状況等を確認）する。
3 事業者は、管理対象情報を自社以外のデータセンターに自らのサーバ等を設置して保存している場合、当該データセンターの信頼性を確認（例えば、日本データセンター協会のデータセンターファシリティスタンダードのティア1からティア4を取得しているデータセンターのうち自らの管理対象情報の価値等に応じてデータセンターのサービスを適切に提供し得ること等を確認）する。
4 事業者は、サーバ等を設置する立入制限区域への管理情報システムの構成機器以外のサーバ等の持込みを禁止する。管理情報システムの構成機器を新設する場合には、内蔵ソフトウェアの状況を確認した上で、当該構成機器が従業員個人の所有物ではないものに限り認める。
第4 事業者は、自社が構築する管理情報システムを構成するネットワーク、システム及びアプリケーションについて不正アクセスを防止するために、必要な措置を講ずる。
1 事業者は、管理情報システムとインターネットの間にファイアウォールを導入する。
2 事業者は、IDS (Intrusion Detection System) 等により、管理情報システムへの不正なアクセスを検知し、管理情報システムの維持に責任を有する者（以下「情報システム管理者」という。）に通知するシステムを導入する。
3 事業者は、IPS (Intrusion Prevention System) 等により、管理情報システムへの不正なアクセスを検知し、防御するシステムを導入する。
4 事業者は、ネットワークに接続するサーバについて、不要なポートを閉鎖し、匿名でのネットワークへの接続（Anonymous接続）を禁止する。
5 事業者は、管理情報システムにおいてオペレーティングシステム及びソフトウェアによる制御を無効にすることができるシステムユーティリティの使用を制限する。
6 事業者は、管理情報システムにソフトウェアを導入する場合、情報システム管理者によりソフトウェアの安全性が確認された場合を除き、導入を認めない。
7 事業者は、管理情報システムの共有ネットワーク（インターネット等）への接続については、その接続に伴うリスクから保護するため、アクセス権者の職務内容に応じて設定するアクセス制御の方針（定期的に又は情報セキュリティ事件及び事故があった場合に見直すことができるものに限る。）を定め、これに基づいて認める。
8 事業者は、管理情報システムから外部への通信について、ログの取得等により監視する。
9 事業者は、管理情報システムを構成する機器について、不要なネットワークポート、USBポート及びシリアルポートを物理的に閉塞することで、当該機器に可搬式記録媒体を接続することによる管理対象情報の流出を防止する。
10 事業者は、管理情報システム、情報機器及びソフトウェアへセキュリティパッチやアップデート適用を適切に行う。
11 事業者は、パソコン及びサーバに、マルウェア感染を検知及び通報するソフトウェア（ウイルス対策ソフト）を導入する。
12 事業者は、ウイルス対策ソフトのパターンファイルを常に最新化する。
13 事業者は、業務で利用する情報機器の自社ネットワークへの接続ルールを策定する。
第5 事業者は、情報システムを継続的に利用できるよう、必要な措置を講ずる。
1 事業者は、管理対象情報について、定期的な保存（バックアップ）を実施し、当該保存された情報を管理対象情報として適切に管理する。
2 事業者は、情報システムを置く施設を、設備の不具合による停電その他故障から保護するための取組を行う。
3 事業者は、必要に応じて情報システムを復元する手順を整備する。
4 事業者は、情報システムが停止した際も業務が遂行できる代替手段を用意する。
5 事業者は、情報システムの運用に当たって、現在の及び予測される容量並びに能力の要求事項に合わせて、資源の利用を監視し、調整する。
第6 事業者は、情報システム管理者の利用権限を必要最低限にとどめ、当該利用権限が最低限であることを定期的に監査する。
1 事業者は、情報システム管理者について、その者による当該管理情報システムの設定変更や運用に関する作業ログを取得する。
2 事業者は、1の作業ログについて、情報システム管理者の上司等が確認することにより、又はデータ解析ツール（データマイニングツール）を活用すること等により、定期的に点検する。
3 事業者は、管理情報システムの監査に用いるツールについて、悪用を防止するため必要最低限の使用にとどめる。
4 情報システム管理者又はアクセス権者は、管理情報システムが無人状態に置かれる場合、使用していない管理情報システムを構成する機器の電源を切り、又は機器の表示画面の表示停止と再表示時にパスワードが必要なように設定することにより、無人状態であっても管理対象情報が適切に保護されるよう必要な対応を行う。
第7 事業者は、管理情報システムを最新の状態に更新し、適切に機能を提供するための取組を実施する。
1 事業者は、管理情報システムを構成する機器について、更新されたウイルス対策ソフトウェア等を用いて、少なくとも週1回以上フルスキャンを行い、パッチの更新等を行う。
2 事業者は、管理情報システムに対する脆弱性診断を定期的に実施する。
3 事業者は、管理情報システムに対するペネトレーションテストを定期的に実施する。
4 事業者は、管理情報システムを構成するソフトウェアの利用状況を確認し、利用されていない場合には、当該ソフトウェアを消去する。
5 事業者は、管理情報システム及びネットワークを通じて管理情報システムにアクセス可能な情報システムの日付及び時刻を定期的に合わせる。
2 事業者は、保守及び点検の記録、持ち出した場合の持出しの記録、廃棄した場合の廃棄方法及びデータの消去の記録、セキュリティパッチの状況等そのハードウェア、ソフトウェア等が適切に機能を提供するための対応を1の管理簿に記録する。
3 事業者は、情報システム管理者が、管理情報システムを構成する機器の持出しに伴うリスクを回避することができると判断し、その承認をした場合を除き、当該機器を持ち出させない。
4 事業者は、管理情報システムを構成する機器を譲渡する場合は、管理対象情報が復元できない状態であることを確認させる。
第8 事業者は、管理情報システムへのアクセスログを保管する。
1 事業者は、アクセスログをその記録のあった日から一定期間保管し、情報システム管理者により定期的に点検させる。
2 事業者は、管理情報システムの利用の状況、管理情報システムにおける管理対象情報へのアクセス（アクセス権者が利用した管理情報システムを構成する機器並びに当該機器へのログイン又はログアウトの日時及びその成否並びに使用されたプログラムを含む。）及び例外処理を記録した監査ログを取得する。
3 事業者は、法令や契約上の要求事項及びリスクを考慮し、監査ログの保管期間を決定した上で、2の監査ログを当該期間保管し、定期的に点検する。
第12 事業者は、管理情報システムの保守及び点検を第三者に行わせる場合、当該第三者が管理対象情報を漏えいさせないようにする。
1 事業者は、第三者が管理情報システムの保守及び点検を行うときは、情報システム管理者の指示の下で、管理対象情報を他の記録媒体に移した上で、管理情報システム内の管理対象情報を復元できないように消去する。
2 事業者は、第三者が管理情報システムの保守及び点検を行うときは、事業者の従業員による立会い、作業ログの取得又はカメラの設置等により、保守及び点検業務を監視する。
3 事業者は、第三者による管理情報システムの保守及び点検に当たって、当該第三者の作業者にIDを付与することが必要な場合には、一時的なIDを付与することとし、作業終了後はそのIDを無効化する。
4 事業者は、管理情報システムの保守及び点検を第三者に行わせるときは、当該第三者と秘密保持契約を締結する。
5 情報システム管理者は、第三者が管理情報システムの保守及び点検を行うときは、当該第三者の作業者を確認し、作業者の立入りを管理し、並びに立入制限区域内の保守及び点検の対象外の機器を撤去すること等により作業者の当該保守及び点検の対象となる機器以外への接触を防止する。
6 事業者は、クラウド又はデータセンターのサーバ等で管理対象情報を管理している場合は、当該サーバ等を管理する事業者が1から5までに掲げる措置に相当する措置を講ずることを確認する。
第9 事業者は、管理対象情報を外部に送信することによる管理対象情報の流出を防止する。
1 事業者は、管理対象情報を電子メール等によりネットワークを経由して外部に送信する場合は、送信する管理対象情報又は電子メールそのものを暗号化する。
2 事業者は、管理対象情報を電子メール等によりネットワークを経由して外部に送信する場合は、そのログを一定期間保管する。
第10 事業者は、管理対象情報を記録した可搬式記録媒体を適切に管理し、管理対象情報の流出を防止する。
1 情報システム管理者は、管理対象情報を記録し、又は記録のために用いる可搬式記録媒体の管理簿（保守（修理を含む。以下同じ。）及び点検の記録、持ち出した場合の持出しの記録、データの消去の記録、廃棄した場合の廃棄方法及びデータの消去の記録、セキュリティパッチの状況等の記録を含む。）を作成し、一定期間保管する。
2 事業者は、管理対象情報を記録した可搬式記録媒体を施錠することができるロッカー等に保管し、その鍵等を適切に管理する。
3 事業者は、電子情報である管理対象情報を可搬式記録媒体に記録する場合は、暗号化する。
4 事業者は、個人所有機器（BYOD）で、管理対象情報を取り扱わせない。
第13 事業者は、管理情報システムへのアクセスを通じた管理対象情報の流出を防止する。
1 事業者は、管理情報システムに保存した管理対象情報へアクセスする者を必要最低限に限る。
2 事業者は、管理情報システムの利用者の職務内容に応じて、利用できる管理情報システムの機能を制限した上で、これを提供する。
3 事業者は、アクセス権者による管理情報システムへのアクセスを許可し、適切なアクセス権を付与するため、管理情報システムの利用者の登録を適切に管理し、人事異動等に伴いアクセス権者に変更が生じた際は速やかに登録内容を変更する。
4 事業者は、アクセス権設定等の特別な権限を持つ情報システム管理者の管理情報システムへのログインについて、二つの認証機能（パスワード、生体認証、電子証明書等）を組み合わせた二要素認証を導入する。
5 事業者は、テレワーク等外部からの管理対象情報へのアクセスについて、利用者の認証を行う。
第11 事業者は、管理情報システムを構成する機器の持出しを制限する。
1 情報システム管理者は、情報システムを構成するハードウェア、ソフトウェア等の管理簿を作成し、一定期間保管する。
6 事業者は、テレワーク等外部からの管理対象情報へのアクセスについて、可能な限り暗号化された通信路を用いさせる。
7 事業者は、管理対象情報を電子政府推奨暗号を用いて暗号化する。
第14 事業者は、アクセス権を設定した管理対象情報を管理情報システムに保存する場合、当該管理対象情報へのアクセスを行う際のログインID及びパスワードを適切に管理する。
1 事業者は、管理情報システムの利用者に対して、初期又は仮のパスワードを発行する場合には、容易に推測されないパスワードを発行する。
2 事業者は、管理情報システムそのものに、漏えい、なりすましが疑われる事態になった際にパスワードの変更を利用者に促す機能やパスワードの再利用を防止する機能等を持つようにする。
3 事業者は、アクセス権者に対して、管理情報システムにログインするためのパスワードを記載した紙を目に見えるところに置かないこと等を周知する。
4 事業者は、管理情報システムへのアクセスについては、複数者間で同じパスワード（共通パスワード）を使用させない。
5 事業者は、ユーザーIDを個人ごとに割り当てる。
6 事業者は、ユーザーIDと情報システム管理者IDの権限を分離する。
7 事業者は、パスワード設定に関するルールを策定し、周知する。
8 事業者は、ユーザーID及び情報システム管理者IDを定期的に又は必要に応じて見直しを行い、不要なIDを削除する。
V 管理対象情報をその管理対象情報を保有する事業者以外の者に渡す場合の措置
事業者は、管理対象情報を当該事業者の管理に属する従業員以外の者（以下「外部委託先等」という。）に渡し、取り扱わせる場合には、管理対象情報の外部委託先等における適切な管理を確保するため、次の表の左欄に掲げる義務項目を必ず達成するものとし、当該義務項目の達成のため、同表の右欄に掲げる手段その他の義務項目を達成するために有効な手段を講ずるものとする。
| 義務項目 | 義務項目を達成するために適切と考えられる手段 |
| 第1 事業者は、外部委託先等に管理対象情報を取り扱わせる前に、外部委託先等の情報管理の体制等を確認する。 | 1 事業者は、外部委託先等に管理対象情報を取り扱わせる取引を行う場合、当該外部委託先等からの情報の流出等のリスクを考慮し、当該取引が真に必要な取引であるかを検討した上で行う。 2 事業者は、当該外部委託先等が、管理対象情報を適切に管理し、かつ、自ら当該管理対象情報の適切な管理の要請に対応できる能力を有するか否かについて事前に確認する。 3 事業者は、管理対象情報を外部委託先等と共有する際に、情報セキュリティ事件及び事故発生時の、関係者ごとの役割と責任を明確化する。 4 事業者は、外部委託先等のサービスも含めた外部情報システムの一覧を作成し、定期的に又は必要に応じて見直す。 5 事業者は、外部委託先等に管理対象情報を提供する場合には、可能な限り分割して引き渡すことにより、管理対象情報の全体が外部委託先等から見て分からないようにする。 |
第2 事業者は、管理対象情報を外部委託先等に提供する場合は、適切な管理を行うために以下の事項のうち必要な条項を含む秘密保持契約又はこれに準ずる法的拘束力のある取決めを締結する。
(1) 外部委託先等は、提供された管理対象情報の取扱者を限定すること。
(2) 外部委託先等は、提供された管理対象情報の取扱者の氏名等を明らかにすること。
(3) 外部委託先等における提供された管理対象情報の取扱者の範囲がNeed to Knowの原則に照らして必要最小限であることを、当該管理対象情報を提供する者が確認すること。
(4) 外部委託先等は、外部委託先等における提供された管理対象情報の取扱者による管理対象情報へのアクセスを記録し、管理すること。
(5) 外部委託先等は、提供された管理対象情報の複製、廃棄等をした場合の管理簿を作成し、一定期間保管すること。
(6) 外部委託先等は、管理対象情報を提供する者から求められている場合には、当該管理対象情報を提供する者に対して、当該管理対象情報の複製、廃棄等をした旨の通知を行うこと。
(7) 外部委託先等は、提供された管理対象情報に係る契約の満了時又は解除時において、当該管理対象情報を速やかに廃棄又は返還等をすること。
(8) 外部委託先等は、管理対象情報を提供する者に対して、当該管理対象情報の管理の状況について、定期的に報告をすること。
1 事業者は、秘密保持契約又はこれに準ずる法的拘束力のある取決めのひな形を定める。
2 事業者は、管理対象情報そのものを渡すことにはならない一方で、長期にわたり徐々に技術等情報が外部委託先等に蓄積され、管理対象情報を構成することができるような事例にも対応するため、秘密保持契約又はこれに準ずる法的拘束力のある取決めに外部委託先等が技術等情報を適切に管理し、かつ、自らの要請に適切に対応できる能力を有するか否かについて事前に確認し、蓄積された管理対象情報の目的外利用の禁止、第三者への開示の禁止を明記し、条件違反等契約に違反した場合に損害賠償請求等の法的措置をとる旨の記載を行う。
3 事業者は、管理対象情報に関連する物のメンテナンス等を外部委託先等に委託し、更に当該外部委託先等が当該メンテナンス等を第三者に再委託する場合には、事前に当該管理対象情報を提供する者の承認を得ることを条件とする。
p.5 / 4
読み込み中...
テキスト領域
選択中
非公開 (PII)
経済産業省の新着公告を見逃さないために
会社名・機関名・キーワードを監視条件として保存し、新着掲載を継続確認できます。監視・通知の契約は天羅AIが提供します。
天羅AIで監視する↗（別サービス・新しいタブで開きます）