公式解説用語集

システムの利用者又は利用者のグループに対して設定される、そのシステムの利用権限のこと。アクセス制御に利用され、設定に応じてシステムの利用を許可したり拒否したりする。

該当箇所: 2-1-5-1 3-1-4-5 4-1-1-4

OS やソフトウェアの一部又は全部のプログラムを更新するプログラムのこと。更新プログラムやパッチともいう。

該当箇所: 4-4-4-2

機器・サービスにおいて脅威を検出した際に発されるシグナルのこと。

該当箇所: 5-1-1-2 5-1-1-3 5-2-1-2

特定のアルゴリズムを使用し、第三者が読み取ることができないように情報を変換すること。

該当箇所: 4-3-1-1 4-3-1-2

外部から社内ネットワーク等の内部ネットワークへ向かう通信のこと。

該当箇所: 4-5-1-4 4-5-1-5

災害時に備えてバックアップデータを遠隔地に保管すること。

該当箇所: 4-3-4-2

コンピュータ本体の外部に接続し、プログラムやデータを長期保存・持ち運びするための記録メディアのことをいい、具体的には USB メモリ、メモリカード、CD・DVD 等を指す。要求事項・評価基準においては、「外部記録媒体」も同義として取り扱う。

該当箇所: 3-1-4-7 3-1-4-8 4-1-9-1 4-1-9-2 4-1-9-3 4-4-1-2

自社の外部（社外）にあるインターネット経由のサービスやクラウド、Web サイトなどを通じて提供される情報サービスのこと。取引先等から提供されるものを含む。

該当箇所: 3-1-3-1 3-1-3-2

1 台のコンピュータについて、中央演算装置（CPU）やメモリ、ディスクをまとめて仮想的に複数の領域として分割し、それぞれがあたかも 1 台のコンピュータのように複数台の仮想的なコンピュータとして、それぞれに異なる別の OS やソフトウェアを同時に実行させる技術を使用したサーバのこと。

該当箇所: 3-1-1-2

運搬可能な情報機器のこと。具体的には、パソコン、スマートデバイス、カメラ及び外部記憶媒体を指す。

該当箇所: 4-1-9-1 4-1-9-2 4-1-9-3

企業が保有している情報のうち外部への開示が予定されない情報のこと。開示されれば企業に損失が生じる恐れがある。

該当箇所: 1-2-3-3 2-1-1-3 2-1-2-1 2-1-3-1 2-1-4-1 2-1-5-1 3-1-3-2 3-1-4-5 3-1-4-6 3-1-5-1 4-3-1-1 4-5-1-9

システム又は組織に損害を与える可能性がある、望ましくないインシデントの潜在的な原因。

該当箇所: 3-2-1-1 3-2-1-2 3-2-1-3 3-2-1-5 4-4-3-2

サイバー脅威への対応に役立つ可能性のある、攻撃者の傾向、攻撃技術及び攻撃手法・手順の分析結果等の情報のこと。

該当箇所: 3-2-1-1 3-2-1-2 3-2-1-3 3-2-1-5

自組織内で情報機器を保有しない形態の情報サービスであり、外部情報サービスに含まれる。主にインターネット上で提供される。

該当箇所: 2-1-1-1 4-1-3-2 4-1-3-5 4-1-5-1 4-3-2-1 4-4-3-1

ルール等を文書化し、当該ルール等に基づく運用を行うこと。

該当箇所: 1-1-1-1 1-1-1-2 1-2-1-1 1-2-1-2 1-2-3-1 1-3-1-1 2-1-3-1 2-1-4-1 3-1-1-3 3-1-4-1 3-1-5-1 3-2-1-1 3-2-1-2 3-2-1-3 4-1-2-1 4-1-5-1 4-1-5-2 4-1-5-3 4-1-5-4 4-1-6-1 4-1-6-2 4-1-7-1 4-1-7-3 4-1-7-4 4-1-8-1 4-1-9-1 4-1-9-2 4-4-1-6 4-5-1-2 6-1-1-1 6-1-1-2 6-1-1-3

業種ごとの基本的な事業要件を定める法律の総称のこと。例えば、電気通信事業法、銀行法、保険業法、建設業法などが挙げられる。

該当箇所: 1-1-1-1

管理者権限を有し、管理・運用、利用者へのサポート等を実施する、システムごとに定められた者。

該当箇所: 4-1-2-1 4-1-7-4

システムごとに定められた、システム管理・運用について責任を有する者のこと。例えば、システムを所管する部署の管理職などをシステム責任者として定めることが考えられる。

該当箇所: 4-1-2-1

端末に接続された外部記憶媒体に保存されたプログラムを自動的に実行させる機能のこと。

該当箇所: 4-4-1-2

登録希望組織において定める、規程、指針、手順書などの文書化されたルールの総称。

該当箇所: 1-1-1-1 1-1-1-2 1-1-1-3 4-1-5-2 4-1-5-3 4-1-5-4 4-1-6-1

機密情報のうち、漏えいした場合における、社会的信用低下や損害賠償等の訴訟リスクなどビジネスへの影響が大きいと登録希望組織が定めたもの。

該当箇所: 2-1-3-1 3-1-4-3 4-1-3-2 4-1-3-5 4-1-7-3 4-1-7-4 4-1-7-5 4-1-7-6 4-3-1-2 4-3-4-2 4-5-1-9

侵害された場合のビジネスへの影響度が高いと登録希望組織が定めたシステムを指す。なお、少なくとも No.4-4-3-1 のログを保管するサーバは、インシデント発生時の調査に用いられセキュリティ上重要であるため、重要なシステムに含める必要がある。

該当箇所: 3-1-1-6 7-1-1-1 7-1-1-2

職務上知った秘密を他人に漏えいしてはいけないという義務のこと。

該当箇所: 1-2-3-1 1-2-3-2 1-2-3-3 1-2-3-4

社内ルールについて、どの程度守られているかを示す状況のこと。また、遵守状況の点検とは、従業員等において社内ルールがどの程度守られているかを確認することを指し、その方法としては、例えば対象となる社内ルールの遵守状況についてチェックリストやアンケートなどを従業員等に配布し、回答させることなどが挙げられる。

該当箇所: 3-1-1-4 3-1-5-3 4-1-9-3

情報の入出力や保存、処理、伝達などを主な機能や用途とする機器のことをいい、パソコン、サーバ、スマートデバイス及びネットワーク機器を含む。

該当箇所: 3-1-1-3 3-1-1-6 3-1-4-5 3-1-4-6 3-1-5-1 3-2-1-4 4-1-3-1 4-1-5-4 4-4-4-1 4-4-4-2

組織が保有している守るべき情報(機密情報、個人情報等)並びに当該情報を取り扱う IT 資産（情報機器、OS 及びソフトウェア、ネットワーク機器その他の IT に関する資産）。

該当箇所: 2-1-1-3

組織全体の情報セキュリティをマネジメントするために設置される全社横断的な組織のことをいい、各部門の責任者から構成されることが多い。一般的にはセキュリティ基本方針の策定・改定、セキュリティ基本方針の遵守状況の評価、セキュリティ監査結果の評価及びセキュリティ教育の計画・実施などの活動を担う。

該当箇所: 1-2-1-4

情報システムで、従業員等が利用するコンピュータ(クライアント)に最低限の機能だけを持たせて、サーバ側でアプリケーションソフトやファイル等の管理を可能にするシステムの総称。また、そのようなシステムを実現するための、機能を絞ったクライアント用コンピュータのことをいう。

該当箇所: 3-1-1-1

パソコン以外であって、持ち運びしやすい可搬性の高い端末のこと。通信機能を有していることが前提となり、具体的にはスマートフォン、タブレット端末、その他ネットワーク通信及び情報処理機能を有する小型端末が対象となる。

該当箇所: 3-1-1-5

プログラムの不具合や設計上のミスが原因となって発生した情報セキュリティ上の欠陥のこと。

該当箇所: 1-2-2-1 3-2-1-1 3-2-1-2 3-2-1-3 3-2-1-4 3-2-1-5 4-4-2-1 4-4-4-2 4-4-4-3

脆弱性の性質、特徴等に関する情報をいう。各製品ベンダーからの公表のほか、JVN 等の脆弱性情報データベースから、情報収集することができる。

該当箇所: 3-2-1-1 3-2-1-2 3-2-1-3 3-2-1-5

情報資産に内在した脆弱性が情報資産を取り巻く様々な脅威により突かれ、顕在化したもの。要求事項・評価基準においては、「インシデント」も同義として取り扱う。

該当箇所: 2-1-4-1 4-2-2-1 4-2-2-3 5-1-1-2 5-2-1-1 6-1-1-1 6-1-1-2 6-1-1-3 6-1-1-4 6-1-1-5 6-1-1-6

組織が情報資産を保護し、情報セキュリティリスクに対処するための基本的な考え方や方向性を示す文書。

該当箇所: 1-3-1-1 1-3-1-2 1-3-1-3 1-3-1-4

複合的なログなどを分析して情報セキュリティ事件・事故の予兆や痕跡を見つけ出す手法のこと。

該当箇所: 1-2-2-2

情報システムを動かすために利用されるプログラムのこと。要求事項・評価基準においては、OS を含まない。特定の作業を行うために使用されるアプリケーションを指すことが多い。

該当箇所: 3-1-1-3 4-4-1-1 4-4-1-6 4-4-2-1 4-4-4-1 4-4-4-2 4-4-5-1 5-1-2-1 5-1-2-2

個々の端末にインストールされる、ファイアウォール機能を有するソフトウェアのこと。

該当箇所: 4-5-1-8

システムの信頼性や耐障害性を高めるために同一のシステム構成を複数用意する場合において、メインで稼働しているシステムに障害が発生した際に、処理を引き継ぐシステムのこと。

該当箇所: 7-1-1-1

「知識情報」、「所有情報」、「生体情報」のうち、複数を組み合わせてユーザ認証を行う方式。MFA（Multi-Factor Authentication）。要求事項・評価基準では、No.4-1-3-3 において、多要素認証に用いる認証要素の例を以下のとおり示している。- 知識情報（例:ID・パスワード）- 所有情報（例：ワンタイムパスワード※又は証明書）- 生体情報（例：指紋、顔、虹彩又は静脈）- その他の情報（例:IP アドレス）※利用者のメールアドレス、電話番号等に対してワンタイムパスワードを送信して利用者に入力させる方法及びスマートフォンへの認証要求を利用した認証方式を含む。

該当箇所: 4-1-3-2 4-1-3-3 4-1-3-4 4-1-3-5 4-1-5-3 4-4-1-5 4-4-3-2 4-5-1-7

パソコンやサーバにおいて初期値として利用可能な ID のこと。具体的には、Administrator、user、root などが該当する。

該当箇所: 4-4-1-5

要求事項・評価基準において把握することが求められる情報について、更新漏れ等の不備がないか確認を行い、必要に応じて当該情報の更新等を実施することをいう。例えば、情報資産管理台帳に記載されている又は情報資産管理ツールで管理している各情報資産について、その所在有無、所在場所、利用実態等について棚卸を行うことが該当する。

該当箇所: 1-1-1-2 1-2-1-3 1-3-1-4 2-1-1-2 3-1-1-4 3-1-1-7 3-1-2-4 3-1-4-2 3-1-4-4 3-1-4-6 3-1-5-3 3-2-1-5 4-1-9-3 4-2-1-5 4-2-2-3 5-1-2-2 6-1-1-4

通信回線やネットワーク上で送受信される信号やデータのこと。

該当箇所: 4-4-4-1

自組織が何らかの取引を行っている相手の組織の総称であり、顧客、取引先、関係会社、クラウドサービス提供者を含む。

該当箇所: 1-1-1-1 2-1-1-1 2-1-1-3 2-1-2-1 2-1-3-1 2-1-4-1 2-1-5-1 4-3-3-1 4-4-3-1 7-1-1-1

システムやネットワークへの接続を試みた人物が本人であるかどうかを確認する（認証を行う）サーバ。具体例として、Active Directory（Windows）などがある。

該当箇所: 4-4-3-1 4-4-3-3

ルータ、スイッチ、ハブ等、情報通信ネットワークを構築する際に用いられる機器。

該当箇所: 3-1-2-2 4-1-2-1 4-1-2-8 4-4-1-3 4-4-4-3 4-5-1-1 4-5-1-2 4-5-1-3 4-5-1-4 4-5-1-5 4-5-1-6 5-1-1-2 5-1-1-3 5-2-1-2

通信に関わる機器や配線を図化した図面のこと。ネットワーク構成図ともいう。

該当箇所: 3-1-2-3 3-1-2-4

サーバ仮想化などで利用される、コンピュータを仮想化するためのソフトウェアのこと。

該当箇所: 3-1-1-2

ログインに必要な ID・パスワードを保存・管理するためのアプリのこと。

該当箇所: 4-1-6-1

マルウェア対策ソフトがマルウェアを発見するために使用するデータのこと。マルウェアは日々新しいものが出現しているため、最新のマルウェアに対応するためには、パターンファイルを常に最新のものに更新しておく必要がある。パターンファイルは、マルウェア対策ソフトによっては「マルウェア（ウイルス）定義ファイル」や「マルウェア（ウイルス）検知用データ」、「シグネチャ」等と呼び名が異なる。

該当箇所: 4-4-5-3

データを磁気テープなどの別の記憶媒体に保存して、大事なデータの複製を作っておくこと。又は、その複製データ。

該当箇所: 4-3-4-1 4-3-4-2 4-3-4-3 7-1-1-2

外部のネットワークと内部のネットワークを結ぶ箇所に導入することで、外部からの不正な侵入を防ぐことができるシステム、又はシステムが導入された機器。

該当箇所: 4-4-3-1 4-5-1-1 4-5-1-2 4-5-1-3 4-5-1-4 4-5-1-5 4-5-1-6

ファイアウォールにおいて設定する、通信の許可・遮断の判断基準のこと。

該当箇所: 4-5-1-5 4-5-1-6 4-5-1-7

本来はアクセス権限を持たない者が、サーバやシステムなどの内部へ侵入する行為のこと。

該当箇所: 5-1-1-1

ネットワークを介してコンピュータ同士がデータをやり取りするために定められた、データ形式や送受信の手順等のルールのこと。通信プロトコル又は通信規約とも呼ばれる。

該当箇所: 4-4-1-4

インターネットから切り離された独自のネットワークのことをいい、専用線、IP-VPN、広域イーサネットなどが含まれる。

該当箇所: 4-4-3-1

エンドユーザに IT 製品や IT サービスを販売する企業の総称。

該当箇所: 4-4-4-2 4-4-5-3

不正かつ有害に動作させる意図で作成された悪意のあるソフトウェアや悪質なコードの総称。コンピュータウイルスやワーム、スパイウェアなどが含まれる。

該当箇所: 4-2-1-3 4-3-2-1 4-4-5-1 4-4-5-2 4-4-5-3 4-4-5-5 5-1-2-3

迷惑メール、マルウェア、フィッシング詐欺などの脅威から保護し、同時に誤送信や情報漏えいを防ぐ役割を持った機器等のことを指す。一般にメール送受信経路に設置され、本項目で求められるようなマルウェアチェック機能を導入するのに適している。

該当箇所: 4-4-5-5

メールの送受信の役割を担うサーバのこと。

該当箇所: 4-4-5-5

システム障害や災害により業務が中断した際に、いつまでに業務を復旧するかという目標時間のこと。RTO（Recovery Time Objective）ともいう。

該当箇所: 7-1-1-2

システム障害や災害により業務が中断した際に、過去のどの時点まで遡ることを許容するかを定めた目標値のこと。これに基づいてバックアップの方法や機器、頻度が決定される。RPO（Recovery Point Objective）ともいう。

該当箇所: 7-1-1-2

システム障害や災害により業務が中断した際に、どの程度の水準まで業務を復旧させるかを定めた目標値のこと。通常、平常時の業務水準を 100%とした時の業務遂行能力の割合で示す。RLO（Recovery Level Objective）ともいう。

該当箇所: 7-1-1-1

システム、サービス等を利用しようとする者が、あらかじめ登録された本人であることを確認する行為のこと。

該当箇所: 4-1-5-2 4-1-5-3 4-1-5-4

ファイルやプログラムの動作などを常時監視し脅威を検出する、マルウェア対策ソフトの機能のこと。

該当箇所: 5-1-2-3

障害発生時に、取得しておいたバックアップから、正常稼働状態にデータを戻すこと。

該当箇所: 4-3-4-3 7-1-1-2

遠隔地から公衆回線網やインターネット等を利用して社内の情報機器に接続すること。

該当箇所: 4-5-1-1

ネットワーク上を流れるデータを他のネットワークに中継する機器。主に LAN とWAN の中継に用いられる。

該当箇所: 4-5-1-1 4-5-1-2 4-5-1-3

コンピュータが保有するユーザの接続時刻や処理内容などを記録したファイルのこと。

該当箇所: 1-2-2-2 4-4-3-1 4-4-3-2 4-4-3-3 5-1-1-2

ID、パスワードその他の認証情報を用いて、情報機器、システム又はサービスの利用を開始すること。本制度においては、「ログイン」も同義として取り扱う。

該当箇所: 4-1-4-1 4-1-4-2

従業員が個人保有の機器を使って、業務に使用すること。Bring Your Own Device の略。

該当箇所: 4-1-9-1 4-1-9-2 4-1-9-3

組織内において実効力のあるセキュリティ施策を行うために設置される責任者のこと。サイバー攻撃やセキュリティインシデントの際の判断や対応を行う。Chief Information Security Officer の略称。

該当箇所: 1-2-1-1 1-2-1-2 1-4-1-1 6-1-1-3

情報システムの脆弱性に対するオープンで汎用的な評価手法のことであり、ベンダーに依存しない共通の評価方法を提供している。CVSS 基本値では、各脆弱性の深刻度を0（低）～10.0（高）の数値で表し、数値が 9.0～10.0 であれば、「緊急（Critical）」に、7.0～8.9 であれば「重要（High）」、などのように分類される。Common Vulnerability Scoring System の略称。

該当箇所: 4-4-4-2 4-4-4-3

コンピュータをネットワークで接続するために、それぞれのコンピュータに割り振られた一意の数字の組み合わせのこと。現在主に使用されている IPv4 の場合は、127.0.0.1 のように 0～255 までの数字を 4 つ組み合わせたもので表す。

該当箇所: 4-1-3-3 4-4-3-1 4-5-1-7

Operating System の略であり、コンピュータの土台を支えている基本ソフトウェアのこと。Windows、macOS、Linux などがある。

該当箇所: 3-1-1-1 3-1-1-2 3-1-1-3 3-1-1-5 4-4-1-6 4-4-2-1 4-4-4-1 4-4-4-3 4-5-1-8

本人確認のために用いる本人のみが知り得る番号等のこと。Personal Identification Number（個人識別番号）の略。

該当箇所: 4-1-4-2

社内のネットワーク環境からインターネットの Web サイトにアクセスするための通信が経由し、その通信が正しいかどうかの監視、及び危険な通信であればそれを制限する役割を持った機器等のことを指す。一般にインターネットとの出入口に設置され、No.4-4-5-4 にある Web アクセス制限機能を導入するのに適している。

該当箇所: 4-4-5-4