# 情報セキュリティ チェックシート 中小企業向け（ひな形）

> このひな形は、IPA（独立行政法人情報処理推進機構）の「5分でできる！情報セキュリティ自社診断」（中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録3、https://www.ipa.go.jp/security/guide/sme/about.html ）の25問を原文のまま載せ、記入欄、採点欄、次にやることの欄は BlueAI セキュリティが加えて作成したものです。設問と配点は IPA の原文、それ以外は当サイトの作成です。
> 出典と解説 https://security.blueai.jp/guides/security-checksheet/

## 記入のしかた

1. 会社全体として、設問ごとに「実施している」「一部実施している」「実施していない」「わからない」のどれか1つに ✓ を付けます。
2. 点数は「実施している」4点、「一部実施している」2点、「実施していない」0点、「わからない」-1点です（IPA の配点）。
3. 25問すべてで「実施している」なら100点です。「わからない」に付けた項目は、担当者に確かめてから記入し直します。

記入した人 【氏名】　部署 【部署】　確かめた範囲 【全社、または対象の拠点】

## Part1 基本的対策

| No | 診断内容 | 実施している 4 | 一部実施 2 | 実施していない 0 | わからない -1 |
| --- | --- | --- | --- | --- | --- |
| 1 | パソコンやスマートフォンなど情報機器のOSやソフトウェアは常に最新の状態にしていますか？ | □ | □ | □ | □ |
| 2 | パソコンやスマートフォンなどにはウイルス対策ソフトを導入し、ウイルス定義ファイル※1は最新の状態にしていますか？ | □ | □ | □ | □ |
| 3 | パスワードは破られにくい「長く」「複雑な」パスワードを設定していますか？ | □ | □ | □ | □ |
| 4 | データの共有設定を必要な人に限定していますか？ | □ | □ | □ | □ |
| 5 | 故障や誤操作、ウイルス感染などによる重要情報※2の消失に備えて定期的にバックアップを取得していますか？ | □ | □ | □ | □ |
| 6 | 新たな脅威や攻撃の手口を知り対策を社内共有する仕組みはできていますか？ | □ | □ | □ | □ |

## Part2 従業員としての対策

| No | 診断内容 | 実施している 4 | 一部実施 2 | 実施していない 0 | わからない -1 |
| --- | --- | --- | --- | --- | --- |
| 7 | 電子メールの添付ファイルや本文中のURLリンクを介したウイルス感染に気をつけていますか？ | □ | □ | □ | □ |
| 8 | 電子メールやFAXの宛先の送信ミスを防ぐ取り組みを実施していますか？ | □ | □ | □ | □ |
| 9 | 重要情報の受け渡しは、暗号化など安全な手段で行っていますか？ | □ | □ | □ | □ |
| 10 | 無線LANを安全に使うために適切な暗号化方式を設定するなどの対策をしていますか？ | □ | □ | □ | □ |
| 11 | インターネットを介したウイルス感染やSNSへの書き込みなどのトラブルへの対策をしていますか？ | □ | □ | □ | □ |
| 12 | 紛失や盗難を防止するため、重要情報が記載された書類や電子媒体は机上に放置せず、書庫などに安全に保管していますか？ | □ | □ | □ | □ |
| 13 | 重要情報が記載された書類や電子媒体を持ち出す時は、盗難や紛失の対策をしていますか？ | □ | □ | □ | □ |
| 14 | 重要情報が記載された書類や重要なデータが保存された媒体を破棄する時は、復元できないようにしていますか？ | □ | □ | □ | □ |
| 15 | 離席時にパソコン画面の覗き見や勝手な操作ができないようにしていますか？ | □ | □ | □ | □ |
| 16 | 関係者以外の事務所への立ち入りを制限していますか？ | □ | □ | □ | □ |
| 17 | 退社時にノートパソコンや備品を施錠保管するなど盗難防止対策をしていますか？ | □ | □ | □ | □ |

## Part3 組織としての対策

| No | 診断内容 | 実施している 4 | 一部実施 2 | 実施していない 0 | わからない -1 |
| --- | --- | --- | --- | --- | --- |
| 18 | 内部ネットワークを守るため、不正アクセス対策機能を設定していますか？ | □ | □ | □ | □ |
| 19 | ウェブサイトで公開すべきでない情報を公開していませんか？ | □ | □ | □ | □ |
| 20 | 従業員に情報セキュリティに関する教育や注意喚起を行っていますか？ | □ | □ | □ | □ |
| 21 | 個人所有の情報機器を業務で利用する場合のセキュリティ対策を明確にしていますか？ | □ | □ | □ | □ |
| 22 | 重要情報の授受を伴う取引先との契約書には、秘密保持条項を規定していますか？ | □ | □ | □ | □ |
| 23 | クラウドサービスやウェブサイトの運用などで利用する外部サービスは、安全・信頼性を把握して選定していますか？ | □ | □ | □ | □ |
| 24 | セキュリティ事故が発生した場合に備え、緊急時の体制整備や対応手順を作成するなど準備をしていますか？ | □ | □ | □ | □ |
| 25 | 情報セキュリティ対策（上記1～24など）をルール化し、従業員に明示していますか？ | □ | □ | □ | □ |

No.19 は「公開していませんか？」という問いです。公開すべきでない情報を公開していない状態が「実施している」にあたります（この注記は当サイトが加えました）。

※1 コンピュータウイルスを検出するためのデータベースファイル。「パターンファイル」とも呼ばれます。

※2 重要情報とは、営業秘密など事業に必要で組織にとって価値のある情報や、顧客や従業員の個人情報など流出した場合に組織のイメージダウンや損害賠償責任を問われるなどの管理責任を伴う情報のことです。

## 集計

| 欄 | 点数 |
| --- | --- |
| A 「実施している」の合計点 | 【　】点 |
| B 「一部実施している」の合計点 | 【　】点 |
| C 「わからない」の合計点（マイナス） | 【　】点 |
| 合計 A+B+C（100点満点） | 【　】点 |

## 次にやること（記入欄）

| No | 直すこと | 担当 | 期限 |
| --- | --- | --- | --- |
| 【No】 | 【例 ルーターとパソコンの更新を自動にする】 | 【担当】 | 【期限】 |
| 【No】 | 【例 バックアップを社内ネットワークから切り離して保管する】 | 【担当】 | 【期限】 |
| 【No】 | 【例 事故のときの連絡先を一覧にする】 | 【担当】 | 【期限】 |

対策の考え方と例は、IPA の「5分でできる！情報セキュリティ自社診断（解説編）」と「中小企業の情報セキュリティ対策ガイドライン」にあります。

記入日 【年月日】