情報セキュリティ自社診断。25の質問と、点数のつけ方(中小企業向け)

「うちの会社の情報セキュリティは、大丈夫なのか。でも、何から見ればよいのか分からない。」そんな中小企業や個人事業主の方に、25の質問に答えるだけで、いまの状況を確かめられる診断があります。

IPA(情報処理推進機構)の「5分でできる!情報セキュリティ自社診断」の、質問と、点数のつけ方を、整理します。

診断のしくみ

25の質問に、4つの選択肢から答えます。点数は、次のとおりです。

「わからない」が、マイナスの点になる点に注意です。分からないまま放置している状態を、減点して、気づかせる仕組みです。

No.	質問
1	パソコンやスマートフォンなどのOSやソフトウェアは、常に最新の状態にしていますか?
2	ウイルス対策ソフトを導入し、ウイルス定義ファイルは最新の状態にしていますか?
3	パスワードは、破られにくい「長く」「複雑な」ものを設定していますか?
4	データの共有設定を、必要な人に限定していますか?
5	故障や誤操作、ウイルス感染などによる重要情報の消失に備えて、定期的にバックアップを取っていますか?
6	新たな脅威や攻撃の手口を知り、対策を社内で共有する仕組みはできていますか?

No.	質問
7	メールの添付ファイルや本文中のURLリンクを介した、ウイルス感染に気をつけていますか?
8	メールやFAXの宛先の送信ミスを防ぐ取り組みをしていますか?
9	重要情報の受け渡しは、暗号化など、安全な手段で行っていますか?
10	無線LANを安全に使うために、適切な暗号化方式を設定するなどの対策をしていますか?
11	インターネットを介したウイルス感染や、SNSへの書き込みなどのトラブルへの対策をしていますか?
12	重要情報が記載された書類や電子媒体を、机上に放置せず、書庫などに安全に保管していますか?
13	重要情報が記載された書類や電子媒体を持ち出すとき、盗難や紛失の対策をしていますか?
14	重要情報が記載された書類や媒体を破棄するとき、復元できないようにしていますか?
15	離席時に、パソコン画面の覗き見や、勝手な操作ができないようにしていますか?
16	関係者以外の、事務所への立ち入りを制限していますか?
17	退社時に、ノートパソコンや備品を施錠保管するなど、盗難防止対策をしていますか?

No.	質問
18	内部ネットワークを守るため、不正アクセス対策機能を設定していますか?
19	ウェブサイトで、公開すべきでない情報を公開していませんか?
20	従業員に、情報セキュリティに関する教育や注意喚起を行っていますか?
21	個人所有の情報機器を業務で使うときの、セキュリティ対策を明確にしていますか?
22	重要情報の授受を伴う取引先との契約書に、秘密保持条項を規定していますか?
23	クラウドサービスやウェブサイトの運用などで使う外部サービスは、安全・信頼性を把握して選んでいますか?
24	セキュリティ事故が起きた場合に備え、緊急時の体制の整備や、対応手順を作成するなど、準備をしていますか?
25	情報セキュリティ対策(上記1〜24など)を、ルール化して、従業員に明示していますか?

営業秘密など、事業に必要で、組織にとって価値のある情報や、顧客や従業員の個人情報など、流出した場合に、組織のイメージダウンや、損害賠償責任を問われるなど、管理責任を伴う情報のことです。

自社診断は、25の質問で、基本、従業員、組織の3つの面を確かめるものです。「わからない」が減点になるのが特徴です。まず、点数を出して、足りないところから、直していきましょう。