本チェックシートは、現時点の情報に基づいて、情報システムに対するインターネットを経由した外部からの不正アクセス（注）を可能な限り防ぐとともに、不正アクセスが行われた際の被害を軽減させるために行うべき対策について記したものである。
ただし、これらの対策のみで万全であるわけではないこと、時間や費用がかかるために即座に実行できない項目もあること、提供サービスとのトレードオフで行うことが難しい項目もあることに留意されたい。
なお、各項目の左側に付したアルファベットの意味は、以下のとおりである。
| Ａ： | 必ず行うべきもの |
| Ｂ： | 守るべき情報の重要性との兼ね合いではあるが、極力行うべきもの |
| Ｃ： | 守るべき情報の重要性と、当該項目の実施に必要なコスト等を勘案の上、必要と思われる場合には行うべきもの |
| 共通事項 |
１．不正アクセス対策に必要となる情報の収集
| Ａ (1) | ベンダーから随時セキュリティ問題に係る情報を入手するとともに、当該情報に基づく対策を講じることが必要か否か検討しているか |
| Ａ (2) | ＪＰＣＥＲＴ／ＣＣ、ＩＰＡ等から随時セキュリティ問題に係る情報を入手するとともに、当該情報に基づく対策を講じることが必要か否か検討しているか |
| 外部公開サーバー |
１．不正アクセスの要因を減少させるための対策
| Ａ (1) | 外部セグメントからサーバーが設置されているセグメントに対する適切なアクセス制御が可能なネットワーク構成がとられているか。外部公開サーバーとして、どのようなものがあるか。不必要なサーバーはないか。 |
| Ａ (2) | ルーター又はファイアウォール等でのフィルタリング設定によって、未使用又は不必要なポート／プロトコル／不正なＩＰアドレスによる接続を排除しているか |
| Ａ (3) | 未使用又は不必要なデーモン／サービス／エージェント／アカウントが全て停止又は削除されているか |
| Ａ (4) | ファイルが格納されている場所のアクセス権が制限されているか |
| Ａ (5) | パスワードの設定に係るルールが適切に定められているか。例えば、システム管理者及びユーザーについて以下の項目が満たされているか
|
| Ａ (6) | セキュリティに関連したソフトウェアの修正（パッチ等）の最新版を可能な限り速やかに適用しているか |
| Ｃ (7) | 外部からのアクセスに対して、サーバー自身によって、相手のＩＰアドレスによってアクセスを制御しているか |
| Ａ (8) | 未使用又は不必要なＣＧＩプログラム等が削除されているか |
| Ａ (9) | 既知の、セキュリティ上の問題が指摘されているＣＧＩプログラム等は別の対策がとられているか 例えば、http://www.ipa.go.jp/SECURITY/ciadr/cgivuln.htmを参照 |
| Ｂ (10) | ＣＧＩに関し、セキュリティ上の問題を確認する手段を持っていて、かつ、その手段により確認しているか。加えて、ユーザーが自由にＣＧＩを登録できるようになっていないか。 |
| Ｃ (11) | 当該サイトにてｆｔｐサービスも行っている場合にあっては、Ｗｅｂサービスとｆｔｐサービスを別々のサーバーで運用しているか |
| Ａ (12) | 外部アドレスから外部アドレス宛のメール転送を適切に管理しているか |
２．不正アクセス及びその予備行為を発見するための対策
| Ａ (1) | ルーター又はファイアウォールにログ収集機能がある場合には、ログに不正アクセスの試みの痕跡がないか確認しているか |
| Ａ (2) | サーバーのログに不正アクセスの痕跡がないか確認しているか |
| Ａ (3) | システム管理者及びユーザーのパスワードが不正に更新されていないか確認しているか |
| Ａ (4) | システムの運用に係る設定ファイルが不正に更新されていないか確認しているか |
| Ａ (5) | 不正なデーモン／サービス／エージェント／アカウントが稼働されていないか確認しているか |
| Ｂ (6) | ｃｒｏｎ／ａｔ等指定した時間にプログラムを実行するコマンドによって実行される全てのファイルについて問題がないか確認しているか |
| Ｂ (7) | ｕｉｄ／ｇｉｄ等アクセス権限の設定が不正となっているファイルがないか確認しているか |
| Ｂ (8) | 不正なファイルが格納されていないか確認しているか |
| Ｃ (9) | 侵入検出システム（ＩＤＳ）を設置するとともに、ＩＤＳからの警告の有無とその内容を確認しているか |
| Ｃ (10) | ディレクトリやファイルの改ざんに係るチェックを行うツールを利用して設定情報の不正な変更が行われていないことを確認しているか |
| Ａ (11) | 上記の確認項目(1)〜(10)のうち、実施している項目全ての確認頻度について、適切な期間を設けているか |
| Ａ (12) | コンテンツが不正に更新されていないか、最低限トップページについて目視により定期的に確認しているか |
| Ａ (13) | ＳＰＡＭの踏み台にされていないか確認のため、例えば直接関係がない外部アドレスから多数のエラーメールが管理者へ送信されていないか確認しているか |
３．不正アクセスを発見した場合の対応に係る対策
| Ａ (1) | ルーター又はファイアウォールにログ収集機能がある場合には、ログを保管する方法及び期間が定められているか |
| Ａ (2) | サーバーのログを保管する方法及び期間が定められているか |
| Ａ (3) | 不正アクセスを発見した場合において、サーバーを一時的にネットワークから切り離すか否か等の対応方法及び復旧方法を定めているか |
| Ａ (4) | 上記(3)の措置を講じる場合において、その判断を下す責任者を定めるとともに、当該判断のために必要となる連絡体制を整備しているか。また、当該責任者の役職如何 |
| Ａ (5) | 上記(3)の措置を講じた場合において、その旨を連絡すべき組織／部署を明確化しているか。それはどこか |
４．不正アクセスによる被害を軽減させるための対策
| Ａ (1) | データをバックアップするためのルールを策定するとともに、それを正しく実行しているか |
| Ｂ (2) | サーバーマシン及びサーバーソフトの異常を速やかに検出できるようにしているか |
| Ｂ (3) | サーバーの機能に異常が生じた際、予備のシステムがその機能を代替するようになっているか |
| 内部ネットワーク |
１．不正アクセスの要因を減少させるための対策
| Ａ (1) | 外部セグメントから内部システムセグメントに対する適切なアクセス制御が可能なネットワーク構成がとられているか |
| Ａ (2) | ルーター又はファイアウォール等でのフィルタリング設定によって、未使用又は不必要なポート／プロトコル／ＩＰアドレスによる接続を排除しているか |
| Ａ (3) | リモートアクセスサーバーにより内部セグメントに対し接続できる場合、適切なアクセス制限を設けているか |
| Ａ (4) | ＶＰＮにより内部セグメントに対し接続できる場合、適切なアクセス制限を設けているか |
| Ａ (5) | 内部ネットワークにウイルスが混入しないようにしているか |
| Ｂ (6) | ブラウザ、メーラ等のクライアント側で必要なセキュリティ対策の情報を提供しているか。 |
２．不正アクセスを発見するための対策
| Ａ (1) | ルーター又はファイアウォールにログ収集機能がある場合には、ログに不正アクセスの試みの痕跡がないか確認しているか |
３．不正アクセスを発見した場合の対応に係る対策
| Ａ (1) | ルーター又はファイアウォールにログ収集機能がある場合には、ログを収集・保管するとともに、保管の期間を定めているか |
| Ａ (2) | 不正アクセスを発見した場合において、内部ネットワークを一時的に外部ネットワークから切り離す措置を行うか否か等の対応方法ごとの判断基準を設けているか |
| Ａ (3) | 上記(2)の措置を講じる場合において、その判断を下す責任者を定めるとともに、当該判断のために必要となる連絡体制を整備しているか。また、当該責任者の役職如何 |
| Ａ (4) | 上記(2)の措置を講じた場合において、その旨を連絡すべき組織／部署を明確化しているか。それはどこか |
（参考）