「ECサイト構築・運用セキュリティガイドライン」が2023年3月16日（木）にIPAより公開されました。
＜詳細ページ＞
ガイドラインのP.60に関係者として弊社代表取締役 筒井の名前も掲載されております。
ECサイト構築・運用セキュリティガイドライン (ipa.go.jp)
「以下、IPA公開文章より抜粋」
https://www.ipa.go.jp/security/guide/vuln/guideforecsite.html
ガイドラインの内容
ECサイトでひとたび事故及び被害を発生させてしまうと、ECサイトの長期間の閉鎖に伴う売上高の大幅な減少や、原因調査や被害の補償等の事故対応費用を含む甚大な経済的損失が発生します。
本ガイドラインは、ECサイトを構築、運営されている中小企業の皆様に、ECサイトのセキュリティ対策を実施することがいかに重要であるかを認識いただき、ECサイトのセキュリティ確保のために経営者が実行すべき項目や、セキュリティ対策を担当される実務担当者が具体的に実践すべきセキュリティ対策の内容を、パッケージやスクラッチ開発による自社構築サイトを中心に記載しています。
- 経営者が取組むべきセキュリティ対策
- 実務担当者が取組むべきセキュリティ対策
ガイドラインの内容
本ガイドラインは、「第1部 経営者編」と「第2部 実践編」からなります。
「第1部 経営者編」は、ECサイトを新規に構築しようとしている、あるいは既に運営している経営者が、自社のECサイトにおけるセキュリティ対策の必要性を認識していただく内容になっています。
「第2部 実践編」は、ECサイトにおけるセキュリティ対策を実践する責任者および担当者が、ECサイトの構築時および運用時に、必要なセキュリティ対策を検討する上で、優先する対策や自社のECサイトの状況に見合った実践すべき対策の範囲や実現方法を適切に決めていただくための内容になっています。
具体的には、以下の項目が記載されています。
- 被害にあったECサイトや中小企業が運営中のECサイトのセキュリティ対策の現状
- ECサイトを新規構築、運営中の経営者が心がけるべきこと
- ECサイトを新規に構築する場合に検討、実施すべきセキュリティ要件
- ECサイトを既に運営している場合に検討、実施すべきセキュリティ要件
- チェックリスト形式のセキュリティ対策要件
ガイドライン活用によりセキュリティ対策を実施する箇所と実施内容
【要件1】ウェブアプリケーションのセキュリティ対策
【要件2】サーバ、管理端末のソフトウェアを最新化
【要件4】管理画面、管理用ソフトウェアへのアクセス制限(ファイアウォール)
【要件7】利用者情報登録時等における不正ログイン対策(ウェブアプリケーション)
【要件8】利用者の個人情報への安全管理措置(DBサーバ)
【要件10】利用者のログイン時の二要素認証の導入(ウェブアプリケーション、利用者端末)
【要件12】ログ、バックアップデータを保管(ウェブサーバ、DBサーバ)
【要件13】ログ、バックアップデータを保護対策(ウェブサーバ、DBサーバ)
【要件14】サーバ、管理端末のセキュリティ対策(ウェブサーバ、DBサーバ、管理端末)
【要件3】【要件5】【要件6】【要件9】【要件11】その他のセキュリティ対策
対象読者
本ガイドラインの想定読者は、中小企業の以下の方々を対象としています。
- ECサイトを新規に構築しようとしている経営者
- SaaS型サービスの利用も含む既にECサイトを運営している経営者
- 経営者から指示を受けたECサイトの構築および運用担当者、関係者および外部委託先事業者
ガイドラインの活用方法
- 経営者の方は、ECサイトを構築・運営するためにECサイトのセキュリティ対策の重要性を再認識します。
- 経営者の方から、実務担当者へ本ガイドラインを参考に自社ECサイトのセキュリティ対策状況の確認と改善を指示し、状況や講じる対策等を共有します。
- SaaS型サービスを利用している実務担当者も含めて実務担当者の方は、セキュリティ対策要件リストを用いて自社ECサイトのセキュリティ対策状況を確認し、必要な対策を講じます。
