セキュリティの分類(5) - 目的による分類
「セキュリティの分類」の五回目です．前回までは，セキュリティが何に対するものであるかという観点で分類しました．今回は，何を目的とするかという観点から分類します．
目的による分類
ここでは企業における情報セキュリティについて，目的別に分類します．あまり他では見かけない分類です．筆者が提案する，企業における情報セキュリティの分類方法です．
企業の法務の機能は三つあるそうです．一つめは予防法務，二つ目は臨床法務，三つ目が戦略法務です．それぞれ，トラブルを防ぐための法務機能，裁判が起きたときの対応を行う法務機能，営業支援などの法務機能です．これを情報セキュリティにあてはめて考えてみることにします．
予防セキュリティ
事故を起こさないために実施するセキュリティです．ほとんどのセキュリティ対策がこの予防セキュリティに含まれます．不正なアクセスを検知する，保護すべき情報を隔離する，入退出管理を行うなどです．技術的な面での対策だけでなく，人的セキュリティや組織セキュリティとしてのガバナンスの面も考えなければなりません．
情報セキュリティにどれだけコストをかければよいのかという点で，もっとも答えを出しにくいのがこの予防セキュリティです．一定期間にセキュリティ事故が起こらなかった場合，それが予防セキュリティのおかげなのか，単に攻撃をうけなかった幸運なのかがわかりにくく，経営者の立場ではROIが見えないということになるからです．コストをかければかけた分だけセキュリティは強化されますが，それに見合った結果が見えないのです．
そのため，事故が起こった場合を想定して，被害額を算出し，予防セキュリティに充てるということが行われています．被害額の算出方法はJNSAの「２００４年度情報セキュリティインシデントに関する調査報告書」などを参考にするとよいでしょう．
リスクアセスメントという作業を経て，優先順位をつけて対策を施していきます．
臨床セキュリティ
事故が起きた後に対処するためのセキュリティです．技術的な面ではログの損失を防ぐ，ユーザの行動を記録するなどが相当します．デジタル・フォレンジクスなどもこの分類に入ります．また実際に事故が発生した場合にどのように対処するのかを予め決めておきます．
事故に対処する緊急行動マニュアルや，事業継続計画(BCP: Business Contingency Plan)などを策定して，訓練を行っておきます．今後はこのような事業継続マネジメント(BCM: Business Contingency Management)がますます重要になっていきます．
戦略セキュリティ
利益を生み出すために一歩踏み出したセキュリティです．セキュリティポリシやセキュリティ報告書の公開などが相当します．まだ確立した分野ではありませんが，今までコストとして考えられてきたセキュリティを，プロフィットの面から捉える方法が考えられています．
例えば経済産業省が進める「情報セキュリティガバナンス」の政策もその一つです．情報セキュリティを実施するとともに，その対策情報を報告書として対外的に公表します．これにより企業の価値を高めようという狙いです．この報告書に基づいた企業の格付けという考え方も出てくるかもしれません．Pマーク制度やISMS適合性評価制度なども予防セキュリティの面からだけでなく，戦略的に利用していくことも必要です．
今後は負担として考えられてきたセキュリティの対策を企業の武器として利用していく場面が増えていくことになると思います．
簡単に「予防セキュリティ」，「臨床セキュリティ」，「戦略セキュリティ」について説明しました．何のためのセキュリティなのかを念頭において，対策を実施していくことが非常に重要です．
セキュリティの分類は今回で終了です．次回からは「脅威の分類」を説明します．
湯沢WS 二日目(7) 2005/10/07
敬称略．生ログなので，誤字脱字，勘違い，間違いがあるかと思いますが，ご容赦を．気付いたら，随時更新します．
求められるセキュリティ専門家
大河内智秀 NTT コミュニケーションズ株式会社
2005/10/07 16:50-
共通して困っているのは人材育成．学生をどうやって育成しているか，学校も頭を抱えている．そういうことを前提に話をする．
確認の内容．ISO17799 ISMS 取得されていると思うが，127 項目の対策が出てくると思うが，例えば，情報漏洩対策のためのアクセス権を設定することなど．やらなきゃいけないのはわかっているが，プロシージャまで落とし込んでいないものが多く，人間が対処しなければならないことが問題．
企業，公官庁様のシステムの管理者がいて，部門のセキュリティ担当者がいて，利用者がいる．
(資料)
管理者，担当者，利用者
情報セキュリティの五つのフェーズ，勝手に分けてみた．設計，構築，運用，管理，利用．
プロフェッショナルとスペシャリストという単語が良く出てくる．
5つのフェーズすべてを計画できる人：プロフェッショナル
この5つのフェーズを実装する専門スキルを持った人：スペシャリスト
組織全体：統括責任者
委員会，WGメンバー，情報セキュリティ監査の責任者，がごく一般的な体系．
技術系のスペシャリスト，マネジメント系のスペシャリスト，監査系のスペシャリスト
現在の IT セキュリティの資格試験．情報セキュリティプロフェッショナルは「ジェネラリスト」である．
セキュリティプロフェッショナルの育成の仕方が経済産業省のホームページにでている．資格の相関図．
経産省の情報セキュリティアドミニストレータは入門に近い位置．これから紹介するのは CISSP．結構上の位置づけ．
情報セキュリティアドミニストレータ説明省略．
CISSP: Certified Information Systems Security Professional
グローバルで最も認められている試験の一つ．約 4 万名くらいが世界に散らばっている．2004 年以前は英語しかなかったが，現在は英語との併記．ISO 17024 認証．試験運用におけるグローバル・スタンダード．
申し込み受付，試験の運用，発表などがグローバル・スタンダードである．10ドメイン．
フォレンジックの部分には証拠保全から裁判まで含まれる．250 問4択．6 時間．試験自体には2度メイン，3ドメインにまたがった問題が含まれている．物理セキュリティでは消火器の種類など．日本人にはなじみがないが，ガバナンスの話．Bell-La-Padulla なども．ポートフォリオでの位置づけ．かなり広い範囲をとっている．
サンズの GCFW ファイアウォール．監査の CISA．Security+, CISM など．図はグローバルに通用する資格．
国内400 名．韓国は 1000 名，香港 1500 名など．グローバルの知識を持っていても，日本でどのように使うの？法の部分で民事やイスラム法など，日本で持つためには足りない．JNSA の WG で CISSP の上位資格として日本特有のモノを作ろうとしている．
人材育成の観点から，JNSA の推奨教育 WG が，目指すべき職責職務，例えば，フォレンジクスの専門家になるためにはどうすればよいの？というマップを作り出している．来年くらいには完成させていきたい．
IT 業界図鑑からの引用．SE おキャリアパス．ユーザ企業とベンダー企業で持つべき機能が違ってくるので．具体的にわかりやすく書いていく．
結論：ユーザ企業とベンダー企業の共通言語を作ろう．例えば，資格試験をベースをやっていくのが手っ取り早い一つの方法だと思っている．
以上
BCIと日本における BCM(事業継続管理)
副島聡 NTT コミュニケーションズ株式会社
BCM と BCI の紹介という形で進めさせていただく．BCP の方がなじみが深いかもしれない．BCM はさらにプロセスとして回していくためにマネジメントも含めて．BCM は，受身のような捉え方をするが，企業や組織のための施策だと思っている．
BCI は，Buisiness Continuity Institute で，英国の BCM 世界最大の NPO．日本にも BCI ジャパンアライアンスがある．
米国では，様々なガイドラインがあり，BCI のような NPO もある．DRII はドメスティック．だが，BCI と一緒に．
BS7799 の中でも少し触れているが，あまり踏み込んでいない．これを BCI が作ろうとしている．PAS56 というところまで来ている．BCI のホームに行っていたところ来年には BS, 再来年には ISO にしたい．
BCM は：組織の脅威となる潜在的な影響を特定し，．．．(資料)
業務に組み込まれた管理プロセスとして統合されていなければうまく回らないと，このガイドラインはいっている．
BCM には5つのライフサイクルがあるといっている．組織の実現したいことは何か．大きなことが起きたことにどれだけ耐えられるのか．ビルに入れない状況が発生したら，一週間保てるのか，つぶれるのか，2時間も入れないとつぶれないのか．この分析が非常に重要．最大許容停止時間．
戦略を決定する．重要プロセスを特定したり．
計画を立てる段階．BCP 具体的にどうするかという計画を立てる．個々の事業単位での BCP の公もきめる．
４．BCM にたいする意識の向上と文化
いくらシステムや文書をつくっても，カルチャーとして寝ずいていなければうまくいかない．個々の人員が尊重しなければならない．重要なサイクル．
５．BCM の実践．
メンテナンス，監査．一度作ったら終わりというわけではない．継続的に見ていかなければいけない．年に4回(重要業務)．
Ⅱ．社会を取り巻く環境の変化．
ISO や，国際会計基準，環境規制など．
特徴：外国人投資家が活躍し始めた．そういう人たちは今までの日本のローカルなルールでは認めないといっている．Sox 法など．これまでのやり方では許されない状況になってきている．BCM が必要であるという社会の認識．
しょっちゅう起きて，強度も強い：まず対処．頻度が低いものは，しかたがないとしてしまうのも戦略の一つ．
計算の仕方の提示．最初の一つは規定されている．
BCM の効果を表した図(資料)．危機発生から回復までのが BCP その後の継続までを BCM は含める．RTO はある事業をするときにどのくらいで復旧させる必要があるか．RPO どの時点の状態に復旧させる必要があるか．この二つがキーワード．
Ⅲ．日本の現状．
BCP 事業継続計画を策定している企業は，上場企業 10% に満たない．海外は40% 以上．9.11 があってから急激に伸びている．BCP を対象とした策定した理由として，緊急時の対応という狭い範囲でやっているところが多い．
事業継続を妨げられた経験の理由：日本では，自然災害が高い．海外では IT トラブル，通信トラブルが多いが，やはり，米国ではわりと立派な企業でもインターネット接続が出来ないなどのことが日常茶飯事になっている．そういう違いはあるだろう．日本は，自然災害が大きなファクター．
基幹業務が停止したときにどのくらい耐えられるか．一日未満は 50.1%．
日本でも政府も日本企業に普及させないと，国として国際競争力が落ちると考え，経産省の研究会，中央防災会議など．
日本は自然災害の中でも自身のリスクが高いというアンケート結果が出ている．30 年以内に震度6の地震が起きる可能性が高い場所．(資料)
海外投資家の関心．災害多いので心配．
ISO 化が進んでいるが，欧米が作ったものを押し付けられてはたまらんということで，日本の考えを取り入れてもらうための活動も経済産業省が行っている．
メリルリンチはBCM がうまく機能していたので 9.11 の翌日から事業再開．
事前に準備した費用よりも大きくなることが多い．文化として BCM をやっていかなかければならない．
計画のための計画になってしまっては何にもならない．
最後に，この資料を提供してくれた BCM の 12/6 に一日セミナーを開く．手法を米国からコンサルタントを呼んで説明するという機会がある．IPPG のサイトに近々案内されると思う．
以上
質疑応答
Q. 最初の大河内さんの方：JVスキルの仕事をしている．情報セキュリティというとトップダウンでやらないと進まないのでは．
A. ISMS, CISSP, BCM はトップが承諾しないと進まない．予算もトップが理解しないと進まない．ちなみに，米国では CISSP は，CIO, CISO や政府のトップが取った資格．ベンダーが何を言っているあのわからないというところから始まっている．
Q. BCM について．ビジネスインパクト分析であって，BCM は予期せぬ事態が起きたとときにどうするかということ．リスク分析を BCM のなかでどのように利用するのか？
A. リスクはすべて予測できるわけではない．事態が起きたときに経営者が瞬時に判断して活動するためのもの．BCM は BCP を含んだマネジメントという意味で使われている．
以上
湯沢WS 二日目(6) 2005/10/07
敬称略．生ログなので，誤字脱字，勘違い，間違いがあるかと思いますが，ご容赦を．気付いたら，随時更新します．
これが，ハッキングの手口！セキュアOS導入のススメと製品デモ
正木 インフォコム株式会社
2005/10/07 15:50-
今回は，Web サーバのハッキングの手口の紹介．ちょっと古め．
インフォコム株式会社の紹介．御茶ノ水，帝人の情報システム子会社．1999 年に独占契約をして国内に．
今回「今，私について考える」．個人認証により "私は本物" 今日もどこかで被害が起きているといわざるを得ない状況．愉快犯，恐喝・営利目的，破壊工作，政治主張．
不正侵入被害の事例．改ざんの例．FeaRoot 日本の Web 改ざん状況のサイト 9/9 のスナップショット
http://www.fearoot.com/
BMW や，Sony.jp など，二日前にはインテルが改ざんされた．企業サイトも，自治体サイト，管理サイト
ある天気情報の会社．他にも．．．flash のムービー．最後にウィルス．．．．
ハッキングはどうやって行われるの？一つの技法の紹介．
OS の中にホームページ，個人情報，情報サービス．堅牢でない OS，プログラムの不具合が存在する．対応するためにパッチの適用をするのだが，遅れたり，隠れたセキュリティホール．パッチが出ていないうちは，隠れたセキュリティホール．この入り口を突く．ドアを開けて，その後もっと奥に入っていく．
さて，脆弱性を突いて中に入っていくのを実演したい．少し前のツール．デモの内容．管理者 ID 攻撃．VMware 上で Linux でアパッチを作っている．パッチを当てていない．一般ユーザがいる．
インターネット攻撃：SSL の通信 port 443 を突いて侵入するツール．
Web サーバが動いている．5秒に一度 reload．
デモ：
telnet でログイン．ユーザ kmita が何かをしでかす．
id コマンドで ID を確認．
パスワードが入っている，/etc/shadow を開いてみる．
cat /etc/shadow
Permission denied.
proot.c
コンパイル
gcc -o proot proot.c
ls -l
proot が出来ている．
./proot
Attached to 18454
Signal caught
Shellcode placed at 0x400...
...
cat /etc/shadow
が成功する．
内部のユーザが telnet で行う例．数年前のツール例．
次はインターネット越し．cygwin で．
二つ目のほうが厄介だというのはどういうことかというと，port 443 はサービスをしているので止められない．
ファイアウォールはポートの開け閉めをするためのものなので，防ぎきることはできない．port スキャン攻撃などのはねっかえりはできるかもしれない．
管理者権限を守る．．．とは？管理者権限をとられるとセキュリティの仕組みは無力化．パスワードは丸見え．そうなる前にサーバ自体でセキュリティを確保しなければならない．
IDS/IDP も既知の攻撃しか止めてくれない．未知の攻撃についてはセキュアOSが対策の切り札．
経済産業省の個人情報保護法のガイドラインでトラステッド OS, セキュア OS を使うように記述されている．
我々なりに説明する場合には，
・不正な侵入後の活動行為
・不正なサーバへのアクセス行為
・不正な管理者特権の使用行為
ピッキングしやすい鍵がついた家とピッキングが困難な鍵の家．絶対に開かない鍵はないが，前者はわずか数秒，後者はかなり空けるのに時間がかかる．
もしかしたら，アーキテクチャの隙間があるかもしれないが，かなりの部分を防げる：セキュア OS
犬のぬいぐるみで覚えているかもしれないが，BitBull．OS に後からかぶせればよいもの．OS の変更もアプリケーションの変更もいらない．
どんなサーバに優れているのか：インターネット，ホームページサイト，サービスサイト(ある金融の株のサイトでの体験)，イントラネットの重要情報サーバ．
災害や緊急の発進のサイトなどにもセキュア OS をきっちり入れていただきたい．パスワード盗難，情報・記録改ざん，個人情報盗難，ホームページ改ざん・破壊．
PitBull はログも残し，監査もできる．
内閣官房情報セキュリティセンターの報告書．7/1 に二年間で調査していた報告書が出た．PDF が出ている．110 頁ほど．その中にセキュア OS として評価された製品 PitBull も出ている．
導入事例：
1999 年からご案内している．
大手メーカ系 ASP サービス：経営の神様の系列
一般企業・地方自治体
大手コンビに EC サーバ(黄緑の看板のところ)
大手造船メーカ 主力造船所の開発系サーバ 設計のデータ，ノウハウなどを百
数台に PitBull を入れて，監視を行っている．
鉄道チケット
国立大学イントラサーバ
今日は公民館で展示もやっていますので，是非，ご覧ください．
質疑応答
なし．
以上
湯沢WS 二日目(5) 2005/10/07
敬称略．生ログなので，誤字脱字，勘違い，間違いがあるかと思いますが，ご容赦を．気付いたら，随時更新します．
防衛庁における認証技術の動向
福山義幸 技術研究本部第2研究所第一部暗号研究室長
TRDI
2005/10/07 14:30-
＜途中から＞
秘匿通信制御装置．独自の暗号などを搭載．OS 上では LAN ボードとして動作．ネットワークのプロトコルでは，IPSec を使用している．OS アプリケーションの対応が必要だが，独立に暗号化・復号が行える．
ファイアウォールは市販のファイアウォールで遮断するが，秘匿通信装置を使用することで，ユーザの認証も秘匿通信装置を使用して行う．
今までのは 16 年度．
通信秘匿実験装置．高い保全性を有する通信費得システムを構築するために通信費得技術，通信制御技術に関する技術資料を得る．
この事業は，研究試作の最中で，今年度いっぱい．来年度から性能試験など．
課題
１．独自のブロック暗号の設計と実装
２．認証に基づく通信制御技術
有事，緊急時に飛躍的に通信量が増大すると予想される．通信社，通信相手などによって通信の優先度が存在する．など，自衛隊に特有の運用が可能な通信品質の確保
運用構想．IP秘匿電話機：防衛庁・自衛隊に適した秘匿・認証機能を有する秘匿電話機．
認証に対する脅威の検討
・偽造カードの脅威
・スキミングの脅威
偽造カードの脅威は，IC カードなどの認証の場合には，偽造することで，個人の情報を搾取することが考えられる．
スキミング：電話機などを不正に改造して，蓄積して持ち去るなど．
偽造カードの脅威．普通の IC カードではなく，照合をパスするような生体情報をカード内に記録する．または，常に認証 OK と出力するようなカード．成りすましの脅威．
スキミング：偽造電話などを使用して，個人の生体情報などを不正取得する．
問題点：ユーザが正当な電話機か偽造電話機か目視では確認できない．正規の IC カードを挿入してしまう．生体認証を促し，情報の取得．無反応は電話機の故障と勘違いする場合もあるし，電話としては使えるが搾取されたことに気がつかないなど．
・電話機認証の必要性
・生通話を開始して，電話機の正当性を確認してから生体認証を行う．
通信秘匿実験装置(その1)の研究試作」においてこれらの脅威に対処すべくIC カードによる認証と生体認証の組み合わせを．．．
認証モデル
・サーバ認証モデル
中央であるサーバに情報蓄積．指紋情報など．中央のサーバの中で照合を行う．一致したかどうかを応答として返す．
・クライアント認証モデル
- テンプレート保存型
読み取るときに照合端末の中で一致したかどうかを確認する．
- 処理組み込み型(1)
端末を経由せず，ICカードの中で処理してしまう．
- 処理組み込み型(2)
IC カードの中で照合を行い，結果だけを端末に送信する．生体情報は端末に配送されない．
生体認証
・あるものを持つ(Something You Hove)
・ある事を知っている(Something You Know)
ではない，真に本人しか持ち得ない情報(Something You are)による認証．
声紋：声紋の特徴を抽出．雑音，体調の影響．
顔：目，口，鼻等の形状，配置．化粧，整形等の影響．
署名：筆順，筆圧，運筆速度等．再現性の困難さ．
指紋：指等の指紋．乾燥肌，化学作業等による指紋の劣化等．
虹彩：虹彩(人身の回りの茶褐色等の色の付いた幕)のパターン．健康状態によって変化する部分がある．
静脈：掌，甲，指などにある静脈のパターン．個々人ごとに異なる．
マルチモーダルバイオメトリクス認証：複数の認証を使用してマトリクスを使って認証を行う．
身体的特徴に基づくもの：指紋，静脈
行動的特徴に基づくもの：声紋，筆跡
不完全さを補完．
マルチモーダル認証方式の実現．論理演算：論理和，論理積類似殿相対的なリスト(B1, B2)から幾何平均により順位を決定．
様々な環境化における誤り率を測定し，データを得る．
・野外
・汚れた指・手
・ドーランをぬった指・手
・防護マスクそう着磁の声
・装置への慣れ
FAR
他人受け入れ率
FRR
本人拒否率
・光学式
・静電容量式
・・・
ORC(Receiver Operating Characterristic)カーブ：任意の3方式について照合しきい値をパラメータとしてROCカーブを描いた結果，以下のようなグラフが得られたとする．
本人を拒否するのは仕方がないが，本人外を許すのを防ぐなど．
1対１認証．特定の ID と合致するかどうか．
1対N認証．認証とデータだけを送って，膨大な数の中でどれが合致するかを送る方法．
どちらを使うかによって他人受け入れ率などが変わってくる．場面によって考えなければならない．
今後，認証にたいするっ重要性さらに高まる．独自認証方式によってユーザ認証を実現した．現在，ユーザ認証だけでなく，機器認証も．
今後の発展：ユーザ認証だけでなく，機器認証に関する研究を進める必要がある．
Q&A
＜省略＞
以上
セキュリティの分類(4) - 組織セキュリティ
組織セキュリティ
企業などの組織では，個人が情報セキュリティを認識して実践することだけでなく，組織の方針に従って，人的セキュリティを周知し，実施させる必要があります．そのために必要なセキュリティを人的セキュリティと区別して，「組織セキュリティ」(Enterprise Security)と呼ばれます．組織セキュリティは組織自体を守るために実施します．様々な考え方を持った個人の集合であるなんらかの組織体には必ず必要なセキュリティです．少人数であれば合意という形で作られることもありますが，人数が多くなるにつれて，上意下達が必要になります．一般に企業では経営者が方針を徹底させるという形で，従業員にセキュリティを実践させなければなりません．
ここでは，組織セキュリティの主な考え方を示します．
1.セキュリティポリシー
組織のセキュリティのポリシー(方針)を決めます．組織の事業基盤を守るために実施する項目を定め，実施の責任者によって全体に徹底させます．
2.情報セキュリティ運営組織
セキュリティポリシーに従った運営を行うために委員会などを組織します．実施するにあたって必要な文書を定めたり，後述する部門間の調整などを行います．
3.部門間の調整
部門ごとに必要となるセキュリティの範囲の決定や各部門間のセキュリティ実施のための不整合を調整します．特に組織全体の方針などを決める場合には，各部門の責任者が同意(承認)して推進を促すことが必要です．運営組織に各部門の長(責任者)を含めることで，全体の意思統一と共有範囲・固有範囲の決定などが行えます．
4.ポリシーの見直し
ポリシーを決めた後も定期的な見直しが必要です．一旦決めたポリシーを放置すると，形骸化して実施されなくなったり，世の中の変化に追従できていなかったりします．運営組織の定期的な開催とともに，ポリシーの見直しをします．
ここまでは，組織全体の情報セキュリティの強化を行うために必要な項目です．つづいて，考慮すべき内容に触れます．
5.アクセス種類
正社員，管理職，役員，パート，請負業者，委託先業者などの違いによって，触れることのできる情報と手続きなどを決める必要があります．
6.契約におけるセキュリティ項目
契約書にセキュリティの項目を明記します．仕事を請ける立場では，取り扱う情報の範囲やPCの持ち込み貸与などを確認します．仕事を発注する立場では，請け負い業者の扱った情報の秘密保持や使用するPCの取扱などを取り決めます．いずれの立場でも，不要な情報が残ったり，漏れたりしないようにすることと，お互いの責任範囲や入退出などに関する管理面でのセキュリティ上の取り決めを明記しておくとよいでしょう．
7.管理責任と免責
守るべき情報の管理を行う責任者とその責任の範囲を決めます．例えば，サーバに保管されている個人情報のデータの漏洩に関する責任と各個人のPCに保存された個人情報のデータのの免責などです．
8.事故の対処
情報セキュリティに関する事故が発生した場合の対処方法を決めておきます．どこにどのように報告するのか，その間の事業の停止との優先順位などを考慮しておきます．
主な事項を記述しましたが，組織セキュリティについては，いずれ，「セキュリティポリシー」などの項目でさらに詳細に説明します．次回は目的別の切り口から情報セキュリティの分類と解説を試みます．
■
「セキュリティの分類」の四回目です．今回は「組織セキュリティ」を説明します．
湯沢WS 二日目(4) 2005/10/07
敬称略．生ログなので，誤字脱字，勘違い，間違いがあるかと思いますが，ご容赦を．気付いたら，随時更新します．
特別講演 情報セキュリティ関する政府統一基準について
2005/10/07
情報セキュリティ政策会議．これまでの政策会議では，各省庁基準はバラバラであったと認識．各省庁基準は穴あき．
統一化，整合化．具体的な対策提示．
今までサボっていたわけではなくて，スキルを持った人材不足．セキュリティセンター．
政府の統一基準と呼んでいるが，統一基準文書群．
これからの行動計画．年度内．政府内統一基準 9/21 決定は項目限定版が公表済み． 12 月を目指して，限定版を外して，全体の初版を作っている．限定版に基づいて，パブリックコメント．12 月に初版．情報セキュリティ対策の統一基準．情報セキュリティ以外の施策，情報システムそのものをもう一度見直ししようというのも含まれる．
ここまでが公開資料．
政府機関統一基準．公表されている内容から図に起こしなおした．
統一基準は文脈上二つの意味．いくつかの文書を統一したもの→文書群
・政府基本方針
・統一基準運用指針
・政府機関統一基準
三冊をまとめて，統一基準という場合もある．
政府として政府の統一基準が出来て，一つの基準に従うという印象があるかもしれないが，そうではなくて，政府機関統一基準に合致するような形で，各省庁の基準を見直す．統一基準を満たすように，各省庁で齟齬がないようにする．統一基準そのものに関しては，各省庁の特殊性まで入れ込んであるわけではない．
国家公務員倫理規定による守秘義務の適用範囲．
各府省庁の定める情報セキュリティ対策基準の範囲．
本統一基準だけで，すべての情報セキュリティ対策を網羅するのではない．書いてないことは政府でやるつもりが無い，ということでもない．
統一基準は第一部から第六部までの構成．基準の中の遵守事項を書かなければならないが，世の中でよく知られているガイドラインなど丁寧に分析，長所短所を調べて統一基準の構成を決めている．世の中にあるもので，目次，それぞれ，よくあるのは情報セキュリティのアーキテクチャのような切り口，情報セキュリティの体制・役割に基づいた切り口などいろいろある．目次に関しては，情報セキュリティの切り口ではやらない．行政事務の視点において，どういうかかわり方があるかという視点で全体構成を書いている．
主たる対象者：第二部：統括
第三部：全従事者
第四部：情報システム関係者
世の中のガイドラインの気づいた点：目次ベースである程度キレイにする構成の美学を追求しすぎ，隙間が出来てしまう．理想的にはそろえることができるかもしれないが，構成の美学にこだわると隙間が出来てしまう．隙間は避けたかった．規定文書ではあまり良くないかもしれないが，重複があってもよいだろうと考え，第六部を作成した．同じことを別の側面で規定することを受容するという形で作成している．目次構成を世の中とは違うやり方をとった．これらのことは，第一部総則のところでまとめている．
基準そのものをどうやって使うかということを基準の中で書くのはイレギュラーだが，入れている．
パブコメをしていただく場合に，是非紹介したい．
〜こと．という語尾で出来ている．すべて，誰が，というのを特定している．それぞれの遵守事項に見出しがあり，基本遵守事項と強化遵守事項．基本遵守事項は必須．強化遵守事項は，必要に応じて実施する．言葉尻だけではわからないが，違うので，そう呼んでほしい．
今回の基準で配慮した部分で，一つ目は目次構成．二つ目は，ある意味当たり前だが，情報の格付けを遵守事項に入れた．当然なのだが，何分にも政府機関は大きな組織，中央省庁だけでなく，外郭も含めて，非常な大きな人数を抱えている．大変だが，情報の格付けをするということを配慮した．格付けがなければ，対策が定まらない．小さなことからこつこつと，という基本を担保すべく基準を策定．
全職員がやらなければならない．情報システムにかかわる部分は第4部と第5部に分けている．漏れをなくしたい，重複はかまわないとしている．今日の時点で想定していない事象が出たり，セキュリティではなく，IT の新しいものなど，新しいものが出てきたときに対応できるように．
第4部
セキュリティ機能の必要性およびセキュリティ脅威の栄起用を確認し，必要な事項を適用する．全項目の遵守事項を確認する．対象とするものに何が必要かによって遵守事項が決まる．
第5部
当該システム種類を確認し，該当すれば適用する．該当する見出し項目の遵守事項を確認する．対象とするものがどんな種類かによって遵守事項が決まる．
K303 とは，政府内での呼び方．K303-051(51 版)
パブコメを10月中旬に実施．
第二回政策会議の公開文書との差異：書式上の改定，項目完全版に向けた骨子案を追加してある．逐条の解説文を付記している．
ご意見提出に当たってのお願い：
・パブコメの趣旨説明をお読みの上で，ご意見をお寄せください．
・早めのご提出をいただければ幸いです．
Q. 各機関で使用するなら共通基準の方が良いと思うのだが．
A. 共通の，としても良かったのだが，文書名の方が先に決まった．まったく間違ったタイトルだとは思っていない．共通という認識で呼んでもらえばわかりやすいと思う．
Q. 省庁間でバラバラであったということだと思うが，これで，世界に誇れるものになったのか．どのような意義があるのか？
A. 今回の基準そのものを他国と比べて相対的にどう捉えるかという調査はしていない．著しく劣るとは考えていない．平成12年度の各省庁情報セキュリティポリシーガイドラインに従って，抽象的な感じで作成されてバラバラ感がある．著しい問題があるわけではないが，横に並べてみると，ある省庁でやってることがある省庁ではやっていない．政府としての説明義務を果たしているわけではない．それをあるところまで埋める．機微名も野を扱っている機微なものもあるので，説明責任を果たせるための水準そのものを示しましょう．政府としてどうしているかという説明を可能にする．
この後，情報セキュリティ対策そのものの底上げをやっていくが，まずは，政府として何をやっているのかを答えられるようにした．
以上
