HOME » 一覧 » コラム » 第５３４号コラム：「『クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン』について」 第５３４号コラム：野津 勤 幹事（株式会社システム計画研究所　特別顧問） 題：「『クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン』について」 首記のガイドラインが２０１８．７に総務省より発行された。このガイドラインは、従来の「ＡＳＰ・ＳａａＳにおける情報セキュリティ対策ガイドライン」及び「ＡＳＰ・ＳａａＳが医療情報を扱う場合における情報セキュリティ対策ガイドライン」【総務省】を、初版発行以降の環境変化（医療におけるＩＴ環境の進展、個人情報保護法の改正、診療報酬の改定、利用者の意見等）で統合したものであり、タイトルも変更された。本文１８０ページ以上、サービス仕様適合開示書及びＳＬＡ例１１０ページ以上の大部であるが、一本化

企業や組織でのセキュリティ対策の取り組み事項を記した「サイバーセキュリティ経営ガイドライン」が改訂され、「セキュリティは投資」と明記された。 経済産業省と情報処理推進機構（IPA）は12月8日、企業や組織でのセキュリティ対策の取り組み事項を記した「サイバーセキュリティ経営ガイドライン」の改訂版（Ver 1.1）を発行した。改訂では「経営戦略としてのセキュリティ投資は必要不可欠かつ経営者としての責務である」と新たに明記された。 同ガイドラインは、企業や組織の経営者向けにサイバーセキュリティへの取り組みを促す目的で、2015年12月に初版が発行された。経営者が認識すべきとする「3原則」と、経営者が情報セキュリティ担当者に指示すべき「重要10項目」（中小企業向けには7項目）で構成されている。

IPA（独立行政法人情報処理推進機構）は、2015年12月に経済産業省と共同で策定した「サイバーセキュリティ経営ガイドライン」 (*1) の普及と実践に向けて、ガイドラインの内容を補足し、実施方法を具体的に解説する「サイバーセキュリティ経営ガイドライン解説書」を公開しました。 近年、組織を狙うサイバー攻撃が増加し、組織の重要な情報の漏えいや不正利用により、経営や事業に対して大きなダメージを与える事故や事件が発生しています。 このような状況において、サイバーセキュリティの確保は、企業がITを利活用し、ビジネスを発展させていく上で、経営者が果たすべき責任のひとつであり、経営者自らがリーダーシップをとってサイバーセキュリティ対策を講じる必要があります。 このため2015年12月に経済産業省とIPAは、サイバーセキュリティ経営ガイドラインを公表しました。ただし、本ガイドラインは基本的な考え方を中心

観光庁は9月16日、ジェーティービー（JTB）と札幌通運の個人情報流出事案を受けて設立した「旅行業界情報流出事案検討会」の第3回会合を開催した。札幌通運がセキュリティ会社による調査などを経て、8月31日付で観光庁に再発防止策を含む最終報告書を提出したことを受けたもの。終了後にブリーフィングをおこなった観光庁によると、委員は報告について一定の評価を下し、両社の事案についての検証や再発防止に関する議論は、一旦区切りが着いた形となった。そのほか、中長期的な再発防止策を示すガイドラインについては、今年度中に暫定版を策定し、来年度に改訂を実施して完成版を作成する考えを示した。 札幌通運はこの日の会合で、事案発生後の取り組みとしてクラウドセキュリティシステムを導入するなど、セキュリティ対策を強化したことを報告。また、情報セキュリティ最高責任者（CISO）の任命や、ウェブサイト運営の委託先を管理するルー

インテルセキュリティ（マカフィー）は2016年3月11日に、2016年の日本事業戦略の記者説明会を開催した。まず、代表取締役社長のジャン・クロード・ブロイド氏が登壇し、サイバーセキュリティーへの構え方について語った。次々に増える多様なデバイスに対して、防御中心のセキュリティー対策から、脅威を素早く確実に検知して、短時間で復旧することが肝要であると全体の方向性を示した。

2015年11月30日 一般社団法人日本インターネットプロバイダー協会 一般社団法人電気通信事業者協会 一般社団法人テレコムサービス協会 一般社団法人日本ケーブルテレビ連盟 一般財団法人日本データ通信協会テレコム・アイザック推進会議 電気通信事業者におけるサイバー攻撃等への対処と 通信の秘密に関するガイドラインの改定について 「インターネットの安定的な運用に関する協議会」（以下協議会）(注1)は、2007 年5 月、電気通信事業者がDoS 攻撃等のサイバー攻撃、マルウェアの感染拡大及び迷惑メールの大量送信及び壊れたパケット等（以下、大量通信等）を識別しその通信の遮断などの対処を実施するにあたって、電気通信事業法等の関係法令に留意し適法に実施するための参考資料として電気通信事業者における大量通信等への対処と通信の秘密に関するガイドライン（以下ガイドライン）を策定しました。 その後インターネッ

情報セキュリティマネジメントシステム認証（ISMS認証）の位置づけが、2016年度から大きく変わりそうだ。経営者が、標的型攻撃などサイバー攻撃の経営リスクを正しく見積もっているか、対策に十分な投資を振り向けているかなど、企業トップの「セキュリティ経営」を評価、認証する機能が新たに加わる見通しだ。 経済産業省 大臣官房審議官の石川正樹氏は、同省と情報処理推進機構（IPA）が2015年7月2日に開催したイベント「サイバーセキュリティイニシアティブ2015」で、この新たな第三者認証制度を説明した。 新認証制度は、経産省とIPAが2015年1月から主催する「サイバーセキュリティリスクと企業経営に関する研究会」を通じて検討が進んでいたもの。2015年6月30日に政府が閣議決定した成長戦略「日本再興戦略2015年」に盛り込まれた。 経産省は2015年度中に、企業の経営者を対象としたセキュリティ指針「サ

経済産業省は2014年12月12日、個人情報保護法の「経済産業分野を対象とするガイドライン」を改正し、同日に告示・施行したと発表した。ベネッセコーポレーションの顧客情報の漏洩事件などを受けて、「第三者からの適正な取得の徹底」「社内の安全管理措置の強化」のほか、「委託先の監督強化」や消費者に分かりやすい説明をする方法の参考基準を追記した。 このうち第三者からの個人情報の提供を受けて取得する場合は、オプトアウト（利用停止）や利用目的、開示手続き、問い合わせ・苦情受付窓口の公表などの提供元の法の遵守状況や、取得の経緯を示す契約書面の点検や取得方法の確認などを求めた。適法に取得されたことが確認できない場合は、「取得を自粛することを含め、慎重に対応することが望ましい」としている。 社内の安全管理措置の強化では、原則として役員を個人情報保護管理者（CPO）を責任者として任命し、社内の個人データの取り扱

経済産業省は2日、個人情報漏えい防止に向け、｢経済産業分野を対象とする個人情報保護ガイドライン｣を改正し、改正内容を周知徹底するために全国8都市で説明会を開催すると発表した。 同ガイドラインは、個人情報保護法で規定された事業者の義務の詳細をまとめている。ガイドライン改正により、事業者の個人情報保護の適正な取組を推進し、国民の個人情報保護の意識向上を図る。 ガイドライン説明会は札幌市・仙台市・東京都・名古屋市・大阪市・広島市・高松市・福岡市の全国8都市で開催する。対象は個人情報取扱事業者の個人情報保護担当者とセキュリティ管理担当者。東京では12月19日に東京ビッグサイト会議場（江東区）で開催される。 ■経済産業省「個人情報保護ガイドライン説明会」応募サイト

総務省では、クラウドサービス利用の進展状況等に対応するため、クラウドサービス提供事業者が留意するべき情報セキュリティ対策に関する「クラウドサービス提供における情報セキュリティ対策ガイドライン」を策定しましたので、公表します。 「クラウドサービス提供における情報セキュリティ対策調査検討会」（構成員については別紙1参照）における検討結果を踏まえて策定したガイドライン（案）について、意見募集を平成26年2月22日（土）から同年3月16日（日）まで行ったところ、別紙2のとおり11件の御意見を頂きました。 　今般、当該意見募集の結果を踏まえ、「クラウドサービス提供における情報セキュリティ対策ガイドライン」を策定しましたので、公表します。

総務省では、ASP・SaaSにおいて適切な情報セキュリティ対策を実施するための指針として、「ASP・SaaSにおける情報セキュリティ対策ガイドライン」（平成20年1月策定）を公表し、ASP・SaaS事業が企業の生産性向上の健全な基盤となるよう、ASP・SaaSにおける情報セキュリティ対策を促してきたところです。 今般、クラウドサービス利用の進展状況等に対応するため、IaaS・PaaS事業等を含めたクラウドサービスの提供事業者向けに、「クラウドサービス提供における情報セキュリティ対策ガイドライン」（案）を改めて策定することとしましたので、その案について平成26年2月22日（土）から同年3月16日（日）までの期間、意見を募集します。 総務省では、ASP・SaaS※1において適切な情報セキュリティ対策を実施するための指針として、「ASP・SaaSにおける情報セキュリティ対策ガイドライン」（平成2

組織内部者の不正による顧客情報や製品情報などの漏えいは事業の根幹を揺るがすインシデントであり、内部不正が発生するリスクの把握や効果的な対策の検討は、組織にとって喫緊の課題です。IPAでは、このような背景から、企業やその他の組織において必要な内部不正対策を効果的に実施可能とすることを目的として2013年に「組織における内部不正防止ガイドライン」を作成し、2022年4月に改訂版第5版を公開しました。 本ガイドラインは、内部不正防止の重要性や対策の体制、関連する法律などの概要を平易な文体で説明しており、「基本方針」「資産管理」「技術的管理」「職場環境」「事後対策」等の10の観点のもと、合計33項目からなる具体的な対策を示しています。 各対策項目では、「対策の指針」を冒頭に記し、対策しない場合のリスクと、具体的な対策のポイントを整理する構成としています。さらに、内部不正の事例のほか、自組織の内部不

情報ライブラリーでは、JIPDECが行った調査研究結果、統計結果、情報経済社会で多く使われる用語集のほか、JIPDEC設立当初からの報告書・資料を「JIPDECアーカイブス」として公開しています。