コンピュータウイルス対策基準

コンピュータウイルス対策基準

2012年3月16日
独立行政法人情報処理推進機構
セキュリティセンター(IPA/ISEC)

平成７年７月７日（通商産業省告示第４２９号）（制定）
平成９年９月２４日（通商産業省告示第５３５号）（改定）
平成１２年１２月２８日（通商産業省告示第９５２号）（最終改定）

コンピュータウイルス対策基準を次のように定め、平成７年７月１日から施行する。
なお、平成２年通商産業省告示第１３９号は、平成７年６月３０日限り廃止する。

１．主旨

　本基準は、コンピュータウイルスに対する予防、発見、駆除、復旧等について実効性の高い対策をとりまとめたものである。

２．用語の定義

　本基準に用いられる主な用語の定義は、以下のとおりである。

（１）

コンピュータウイルス（以下「ウイルス」とする。）

第三者のプログラムやデータべースに対して意図的に何らかの被害を及ぼすように作られたプログラムであり、次の機能を一つ以上有するもの。

(1)	自己伝染機能
	自らの機能によって他のプログラムに自らをコピーし又はシステム機能を利用して自らを他のシステムにコピーすることにより、他のシステムに伝染する機能
(2)	潜伏機能
	発病するための特定時刻、一定時間、処理回数等の条件を記憶させて、発病するまで症状を出さない機能
(3)	発病機能
	プログラム、データ等のファイルの破壊を行ったり、設計者の意図しない動作をする等の機能

（２）

ソフトウェア

システムプログラム、アプリケーションプログラム、ユーティリティプログラム等のプログラム

（３）

システム

ハードウェア、ソフトウェア若しくはネットワーク又はこれらの複合体

（４）

ワクチン

ウイルスの検査、予防又は修復のいずれかの機能を含むソフトウェア

（５）

バックアップ

プログラム、データ等と同一の内容を別の媒体に記録すること。

（６）

ファイル

記憶装置又は記録媒体上に、電子的又は光学的に記録されているプログラム、データ等

（７）

保守機能

システムを正常な状態に維持するための機能

（８）

セキュリティ機能

プログラム、データ等の機密性、保全性及び可用性を確保するための機能

３．構成

　本基準は、システムユーザ基準、システム管理者基準、ソフトウェア供給者基準、ネットワーク事業者基準及びシステムサービス事業者基準から成り、その構成及び内容は、以下のとおりである。

（１）

システムユーザ基準（１８項目）

システムを利用する者（以下「システムユーザ」とする。）のための対策をまとめたもの。

(1)	ソフトウェア管理（２項目）
	システムユーザが導入するソフトウェアに対する対策についてまとめたもの。
(2)	運用管理（１２項目）
	システムユーザがシステムを利用する上での対策についてまとめたもの。
(3)	事後対応（３項目）
	システムユーザがウイルスを発見した場合の対策についてまとめたもの。
(4)	監査（１項目）
	ウイルス対策が適切に実施されていることを監査する項目についてまとめたもの。

（２）

システム管理者基準（３１項目）

システムを導入、維持及び管理する者（以下「システム管理者」とする。）のための対策についてまとめたもの。

(1)	コンピュータ管理（８項目）
	システム管理者がハードウェア及びソフトウェアを導入及び更新する場合の対策についてまとめたもの。
(2)	ネットワーク管理（５項目）
	システム管理者がネットワークを導入及び更新する上での対策についてまとめたもの。
(3)	運用管理（９項目）
	システム管理者がシステムを維持及び管理する上での対策についてまとめたもの。
(4)	事後対応（６項目）
	システム管理者がウイルスを発見した場合及びシステムユーザから発見の連絡を受けた場合の対策についてまとめたもの。
(5)	教育・啓蒙（２項目）
	システム管理者及びシステムユーザに対して行うウイルス対策の教育・啓蒙についてまとめたもの。
(6)	監査（１項目）
	ウイルス対策が適切に実施されていることを監査する項目についてまとめたもの。

（３）

ソフトウェア供給者基準（２１項目）

ソフトウェアの開発並びにソフトウェア製品の開発、製造及び出荷を行う者（以下「ソフトウェア供給者」とする。）のための対策をまとめたもの。

(1)	開発管理（９項目）
	ソフトウェア及びソフトウェア製品の開発並びに開発環境の導入、更新及び管理に関する対策についてまとめたもの。
(2)	製品管理（３項目）
	ソフトウェア製品の製造及び出荷をする場合の対策についてまとめたもの。
(3)	事後対応（７項目）
	ソフトウェア供給者がウイルスを発見した場合及び製品のユーザから発見の連絡を受けた場合の対策についてまとめたもの。
(4)	教育・啓蒙（１項目）
	ソフトウェア供給者に対して行うウイルス対策の教育・啓蒙についてまとめたもの。
(5)	監査（１項目）
	ウイルス対策が適切に実施されていることを監査する項目についてまとめたもの。

（４）

ネットワーク事業者基準（１５項目）

パソコン通信等のネットワークを介して情報を提供する事業者（以下「ネットワーク事業者」とする。）のための対策をまとめたもの。

(1)	システム管理（２項目）
	ネットワーク事業に用いるシステムを導入及び更新する上での対策についてまとめたもの。
(2)	運用管理（４項目）
	ネットワーク事業に用いるシステムを維持及び管理する上での対策についてまとめたもの。
(3)	事後対応（６項目）
	ネットワーク事業者がウイルスを発見した場合及びネットワークのユーザから発見の連絡を受けた場合の対策についてまとめたもの。
(4)	教育・啓蒙（２項目）
	ネットワーク事業者及びネットワークのユーザに対して行うウイルス対策の教育・啓蒙についてまとめたもの。
(5)	監査（１項目）
	ウイルス対策が適切に実施されていることを監査する項目についてまとめたもの。

（５）

システムサービス事業者基準（１９項目）

システムの管理、保守、レンタル等のサービスを行う事業者（以下「システムサービス事業者」とする。）のための対策をまとめたもの。

(1)	システム管理（５項目）
	サービスに用いるシステムを導入及び更新する上での対策についてまとめたもの。
(2)	運用管理（６項目）
	サービスに用いるシステムを維持及び管理する上での対策についてまとめたもの。
(3)	事後対応（６項目）
	システムサービス事業者がウイルスを発見した場合及びサービスを受けているユーザから発見の連絡を受けた場合の対策についてまとめたもの。
(4)	教育・啓蒙（１項目）
	システムサービス事業者に対して行うウイルス対策の教育・啓蒙についてまとめたもの。
(5)	監査（１項目）
	ウイルス対策が適切に実施されていることを監査する項目についてまとめたもの。

４．システムユーザー基準

ａ．

ソフトウェア管理

（１）	ソフトウェアは、販売者又は配布責任者の連絡先及び更新情報が明確なものを入手すること。
（２）	オリジナルプログラムは、ライトプロテクト措置、バックアップの確保等の安全な方法で保管すること。

ｂ．

運用管理

（１）	外部より入手したファイル及び共用するファイル媒体は、ウイルス検査後に利用すること。
（２）	ウイルス感染の被害が最小となるよう、システムの利用は、いったん初期状態にしてから行うこと。
（３）	ウイルス感染を早期に発見するため、システムの動作の変化に注意すること。
（４）	ウイルス感染を早期に発見するため、最新のワクチンの利用等により定期的にウイルス検査を行うこと。
（５）	不正アクセスによるウイルス被害を防止するため、パスワードは容易に推測されないように設定し、その秘密を保つこと。
（６）	不正アクセスによるウイルス被害を防止するため、パスワードは随時変更すること。
（７）	不正アクセスによるウイルス被害を防止するため、システムのユーザＩＤを共用しないこと。
（８）	不正アクセスによるウイルス被害を防止するため、アクセス履歴を確認すること。
（９）	不正アクセスによるウイルス被害を防止するため、機密情報を格納しているファイルを厳重に管理すること。
（１０）	システムを悪用されないため、入力待ちの状態で放置しないこと。
（１１）	ウイルス感染を防止するため、出所不明のソフトウェアは利用しないこと。
（１２）	ウイルスの被害に備えるため、ファイルのバックアップを定期的に行い、一定期間保管すること。

ｃ．

事後対応

（１）	ウイルスに感染した場合は、感染したシステムの使用を中止し、システム管理者に連絡して、指示に従うこと。
（２）	ウイルス被害の拡大を防止するため、システムの復旧は、システム管理者の指示に従うこと。
（３）	ウイルス被害の拡大を防止するため、感染したプログラムを含むフロッピーディスク等は破棄すること。

ｄ．

監査

（１）	ウイルス対策の実効性を高めるため、ウイルス対策についてのシステム監査の報告を受け、必要な対策を講ずること。

５．システム管理者基準

ａ．

コンピュータ管理

（１）	ウイルス対策を円滑に行うため、コンピュータの管理体制を明確にすること。
（２）	ウイルス感染を防止するため、機器を導入する場合は、ウイルス検査を行うこと。
（３）	ウイルス感染を防止するため、コンピュータにソフトウェアを導入する場合は、ウイルス検査を行うこと。
（４）	ウイルス被害に備えるため、システムにインストールした全ソフトウェアの構成情報を保存すること。
（５）	オリジナルプログラムは、ライトプロテクト措置、バックアップの確保等の安全な方法で保管すること。
（６）	不正アクセスによるウイルス被害を防止するため、システムのユーザ数及びユーザのアクセス権限を必要最小限に設定すること。
（７）	ウイルス被害を防止するため、共用プログラムが格納されているディレクトリに対するシステムのユーザの書き込みを禁止すること。
（８）	ウイルス被害を防止するため、システム運営に必要のないプログラムは削除すること。

ｂ．

ネットワーク管理

（１）	ウイルス対策を円滑に行うため、ネットワークの管理体制を明確にすること。
（２）	ウイルスに感染した場合の被害範囲を特定するため、ネットワーク接続機器の設置状況をあらかじめ記録し、管理すること。
（３）	ウイルス被害に備えるため、緊急時の連絡体制を定め、周知・徹底すること。
（４）	不正アクセスによるウイルス被害を防止するため、ネットワーク管理情報のセキュリティを確保すること。
（５）	不正アクセスによるウイルス被害を防止するため、外部ネットワークと接続する機器のセキュリティを確保すること。

ｃ．

運用管理

（１）	システムの重要情報の管理体制を明確にすること。
（２）	不正アクセスからシステムの重要情報を保護するため、システムが有するセキュリティ機能を活用すること。
（３）	パスワードを容易に推測されないようにするため、安易なパスワード設定を排除すること。
（４）	ウイルスの被害に備えるため、運用システムのバックアップを定期的に行い、一定期間保管すること。
（５）	ウイルス被害を防止するため、匿名で利用できるサービスは限定すること。
（６）	不正アクセスを発見するため、アクセス履歴を定期的に分析すること。
（７）	ウイルス感染を早期に発見するため、システムの動作を監視すること。
（８）	ウイルス感染を早期に発見するため、最新のワクチンの利用等により定期的にウイルス検査を行うこと。
（９）	システムの異常が発見された場合は、速やかに原因を究明すること。

ｄ．

事後対応

（１）	ウイルス感染の拡大を防止するため、感染したシステムの使用を中止すること。
（２）	ウイルス感染の拡大を防止するため、必要な情報をシステムユーザに、速やかに通知すること。
（３）	ウイルス被害の状況を把握するため、ウイルスの種類及び感染範囲の解明に努めること。
（４）	安全な復旧手順を確立して、システムの復旧作業にあたること。
（５）	ウイルス被害の再発を防止するため、原因を分析し、再発防止対策を講ずること。
（６）	ウイルス被害の拡大及び再発を防止するため、必要な情報を経済産業大臣が別に指定する者に届け出ること。

ｅ．

教育・啓蒙

（１）	ウイルス対策のレベルアップを図るため、ウイルス関連情報を収集して周知・徹底すること。
（２）	セキュリティ対策及びウイルス対策について、システムユーザの教育・啓蒙を行うこと。

ｆ．

監査

（１）	ウイルス対策の実効性を高めるため、ウイルス対策についてのシステム監査の報告を受け、必要な対策を講ずること。

６．ソフトウェア供給者基準

ａ．

開発管理

（１）	開発ツールからウイルスが開発システムに感染するのを防ぐため、開発ツールの管理体制を明確にすること。
（２）	パスワードの漏えいを防ぐため、パスワードを厳重に管理すること。
（３）	不正利用によるウイルス被害を防止するため、開発システムを厳重に管理すること。
（４）	不正アクセスによるウイルス被害を防止するため、ネットワーク等を利用した開発システムへのアクセスに対しては、セキュリティを強化すること。
（５）	不正アクセスによるウイルス被害を防止するため、開発者のアクセス権限を必要最小限に設定すること。
（６）	開発段階のプログラムに対して開発者、修正者及び責任者を明確にし、厳重に管理すること。
（７）	ウイルス被害に備えるため、開発段階のプログラムのバックアップを行い保存すること。
（８）	不正利用を防止するため、開発終了時にプログラム内のデバッグ機能を確実に取り除くこと。
（９）	ウイルス感染を早期に発見するため、最新のワクチンの利用等により定期的にウイルス検査を行うこと。

ｂ．

製品管理

（１）	製品の製造段階でのウイルス感染を防止するため、専用のシステム又は機器を用いて複製を行うこと。
（２）	ウイルス感染を防止するため、製品の原本は、厳重に管理すること。
（３）	製品の流通段階でのウイルス感染を防止するため、ライトプロテクト、密封包装等の対策を施すこと。

ｃ．

事後対応

（１）	製品のウイルス感染を発見した場合は、流通を停止し、製品のユーザに情報を通知するとともに製品の回収を行うこと。
（２）	ウイルス感染の拡大を防止するため、感染した開発システムの使用を中止すること。
（３）	ウイルス感染の拡大を防止するため、必要な情報を関連する全てのソフトウェア供給者に、速やかに通知すること。
（４）	ウイルス被害の状況を把握するため、ウイルスの種類及び感染範囲の解明に努めること。
（５）	安全な復旧手順を確立して、開発システムの復旧作業にあたること。
（６）	ウイルス被害の再発を防止するため、原因を分析し、再発防止対策を講ずること。
（７）	ウイルス被害の拡大及び再発を防止するため、必要な情報を経済産業大臣が別に指定する者に届け出ること。

ｄ．

教育・啓蒙

（１）	ウイルス対策のレベルアップを図るため、ウイルス関連情報を収集して周知・徹底すること。

ｅ．

監査

（１）	ウイルス対策の実効性を高めるため、ウイルス対策についてのシステム監査の報告を受け、必要な対策を講ずること。

７．ネットワーク事業者基準

ａ．

システム管理

（１）	ウイルスに感染した場合の被害範囲を特定するため、ネットワーク事業に用いるシステムの設定状況をあらかじめ記録し、管理すること。
（２）	ウイルス被害に備えるため、緊急時の連絡体制を定め、周知・徹底すること。

ｂ．

運用管理

（１）	不正アクセスによるウイルス被害を防止するため、ネットワークのユーザのアクセス権限を必要最小限に設定すること。
（２）	ウイルス被害を防止するため、ファイルを公開する前に、最新のワクチンの利用等によりウイルス検査を行うこと。
（３）	不正アクセスによるウイルス被害を防止するため、パスワード等のネットワーク管理情報を厳重に管理すること。
（４）	ウイルス被害に備えるため、利用状況の履歴を常に記録し、一定期間保存すること。

ｃ．

事後対応

（１）	ウイルス被害の拡大を防止するため、ウイルスを含むファイルの公開を停止すること。
（２）	ウイルス感染の拡大を防止するため、必要な情報をネットワークのユーザ及び他のネットワーク事業者に、速やかに通知すること。
（３）	ウイルス被害の状況を把握するため、ウイルスの種類及び感染範囲の解明に努めること。
（４）	安全な復旧手順を確立して、その情報をネットワークのユーザに通知すること。
（５）	ウイルス被害の再発を防止するため、原因を分析し、再発防止対策を講ずること。
（６）	ウイルス被害の拡大及び再発を防止するため、必要な情報を経済産業大臣が別に指定する者に届け出ること。

ｄ．

教育・啓蒙

（１）	ウイルス対策のレベルアップを図るため、ウイルス関連情報を収集して周知・徹底すること。
（２）	セキュリティ対策及びウイルス対策について、ネットワークのユーザの教育・啓蒙を行うこと。

ｅ．

監査

（１）	ウイルス対策の実効性を高めるため、ウイルス対策についてのシステム監査の報告を受け、必要な対策を講ずること。

８．システムサービス事業者基準

ａ．

システム管理

（１）	ソフトウェアは、販売者又は配布責任者の連絡先及び更新情報が明確なものを入手すること。
（２）	不正利用を防止するため、保守機能を含むソフトウェア及びその情報は厳重に管理すること。
（３）	オリジナルプログラムは、ライトプロテクト措置、バックアップの確保等の安全な方法で保管すること。
（４）	サービスに用いるディスクは、初期化したディスクを用いて、オリジナルプログラムから作成すること。
（５）	ウイルス被害に備えるため、サービスに用いるディスクの構成情報を保存すること。

ｂ．

運用管理

（１）	ウイルス被害に備えるため、サービスに用いるシステムの管理体制を明確にすること。
（２）	ウイルス感染を防止するため、サービスに用いるシステムは、最新のワクチンの利用等により事前にウイルス検査を行うこと。
（３）	ウイルス被害に備えるため、ウイルス検査履歴等を一定期間保管すること。
（４）	ウイルス感染を防止するため、一度サービスに用いたシステムは、続けて他のサービスに利用しないこと。
（５）	ウイルス被害を防止するため、サービスに必要としない機器は切り離すこと。
（６）	サービスに用いるディスクへのウイルス感染を防止するため、ライトプロテクト措置を行うこと。

ｃ．

事後対応

（１）	ウイルス感染の拡大を防止するため、サービスに用いている感染したシステムの使用を中止すること。
（２）	ウイルス感染の拡大を防止するため、必要な情報をサービスを受けているユーザに、速やかに通知すること。
（３）	ウイルス被害の状況を把握するため、ウイルスの種類及び感染範囲の解明に努めること。
（４）	安全な復旧手順を確立して、サービスに用いているシステムの復旧作業にあたること。
（５）	ウイルス被害の再発を防止するため、原因を分析し、再発防止対策を講ずること。
（６）	ウイルス被害の拡大及び再発を防止するため、必要な情報を経済産業大臣が別に指定する者に届け出ること。

ｄ．

教育・啓蒙

（１）	ウイルス対策のレベルアップを図るため、ウイルス関連情報を収集して周知・徹底すること。

ｅ．

監査

（１）	ウイルス対策の実効性を高めるため、ウイルス対策についてのシステム監査の報告を受け、必要な対策を講ずること。

９．留意事項

（１）	本基準は、コンピュータの種類、システムの形態又はソフトウェアの相違等の実態に則して活用すること。
（２）	ソフトウェア供給者基準、ネットワーク事業者基準及びシステムサービス事業者基準は、各事業者特有の観点からまとめた基準であることから、各事業に用いるシステムの導入に当たっては、システム管理者基準を活用すること。
（３）	システム自体の安全対策については、「情報システム安全対策基準」（平成７年通商産業省告示第５１８号）を活用すること。
（４）	システム監査の実施については、「システム監査基準」（平成８年１月３０日通産省広報）を活用すること。
（５）	本基準は、原則として、企業等の組織を対象としているが、個人ユーザも活用することができる。
（６）	コンピュータ不正アクセス対策については、「コンピュータ不正アクセス対策基準」（平成８年通商産業省告示第３６２号）を活用すること。
（７）	コンピュータウイルス、不正アクセス、災害等の対策としては、警察庁からも「情報システム安全対策指針」（平成９年国家公安委員会告示第９号）が発表されており、本基準と併せて活用することにより、情報システムのセキュリィテイを高めることができる。

○通商産業省告示第１３９号　平成２年４月１０日　コンピュータウイルス基準制定
○通商産業省告示第４２９号　平成７年７月７日　　コンピュータウイルス基準改訂
○通商産業省告示第５３５号　平成９年９月２４日　コンピュータウイルス基準改訂

［経済産業省告示第２号］

　平成７年通商産業省告示第４２９号（コンピュータウイルス対策基準を定める件）に基づき、経済産業大臣が別に指定する者を次のように定める。

　なお、平成１２年通商産業省告示第９５１号（コンピュータウイルス対策基準に基づく経済産業省大臣が別に指定する者）は廃止する。

　平成１６年１月５日　　経済産業大臣　中川　昭一

１．名称　　　　　　　独立行政法人情報処理推進機構
２．主たる所在地　　東京都文京区本駒込二丁目二十八番八号

ページトップへ