{"text_format":"1","workbook":"xlsx","n_sheets":8,"sheets":["使い方","チェックシート","可視化結果","可視化結果（広域機関用）","設問集計結果（広域機関用）","フィルター個数確認","事業者とガイドラインの対応関係","選択肢"],"not_rendered":{"charts":7,"images":3,"macros":1,"external_links":0,"defined_names":2,"comments":0,"pivot_tables":0},"unopened":[],"bounds":{"document_bytes":16777216,"sheet_cells":100000,"rows_first":2000,"rows_last":500,"rows_between":2000,"halvings":0,"cell_chars":16384,"cell_head_chars":4096},"cells_cut":0,"cells_raw":0,"read":"whole","date_system":"1900"}

{"sheet":"使い方","index":0,"n_rows":91,"n_cols":2,"rows_kept":91,"cut":false,"hidden":false,"merged":[[90,1,99,12],[1,1,2,12],[19,1,21,12],[24,1,38,12],[89,0,89,12],[59,1,61,12],[62,1,66,12],[4,0,4,12],[13,0,13,12],[5,1,11,12],[14,1,16,12],[18,0,18,12]]}
[]
[null,"電力システムにおけるサイバーセキュリティ対策状況可視化ツール　使い方"]
[]
[]
["1. 本可視化ツールの目的・位置付け"]
[null,"本可視化ツールは、電力会社において、簡易的にサイバーセキュリティリスク点検を実施することを目的として開発されました。本可視化ツールの活用方法や本可視化ツールに基づくリスク点検の進め方については、付随する「電力システムにおけるサイバーセキュリティリスク点検ガイド」（ガイド）をご確認ください。なお、本可視化ツールのリスク点検項目は米国NISTのCybersecurity Framework（NIST CSF）Version 1.1を参考に整理しています。\n日々進化・巧妙化するサイバー脅威に対抗するために、ガイド及び対策状況可視化ツールを用いて自社の対策実施状況を点検・確認するとともに、点検結果に基づきセキュリティ対策の見直し・改善を行うことで、対策の継続的改善を図ることが期待されます。"]
[]
[]
[]
[]
[]
[]
[]
["2. 対象事業者"]
[null,"ガイド及び対策状況可視化ツールでは、発電事業者、小売電気事業者、アグリゲーター（アグリゲーションコーディネーター及びリソースアグリゲーター）及び自家用電気工作物設備設置者の4事業区分を主な対象としています。ただし、その他の事業区分でも活用可能です。"]
[]
[]
[]
["3. 本可視化ツールの使い方"]
[null,"※ 本ツールでは、リスク点検項目のフィルタリングのためにマクロを利用しています。Excelにおいて「セキュリティの警告」が出た場合、「コンテンツの有効化」をクリックして、マクロを有効化していただきますよう、お願いいたします。"]
[]
[]
[]
[]
[null,"本可視化ツールは、「チェックシート」、「可視化結果」、「可視化結果（広域機関用）」の3つのシートで構成されます。「チェックシート」において、各リスク点検項目に対する対応状況を選択・入力することで、対策の状況が「可視化結果」及び「可視化結果（広域機関用）」のシートに表示されます。\nリスク点検を行う電力会社においては、「チェックシート」における黄色塗りセルに対して、自社名、活用区分、点検対象システム名各リスク点検項目に対する達成基準（0～4の5段階）の選択及び選択理由の記入が必要となります。（下図赤枠部分）\n広域機関提出時には、事業者コード・事業者種別への記入・選択も必要となります。（下図青枠部分）\nなお、一部のリスク点検項目については、項目に関する補足説明を括弧書きで記載しているため、合わせて参照ください。\n\nリスク点検項目に対する対策状況を選択する前に、まず「チェックシート」の「活用区分」を選択してください。\n「活用区分」はプルダウン形式となっており、本ガイド及び対策状況可視化ツールが対象とする4つの事業区分（「発電事業者」、「小売電気事業者」、「アグリゲーター」、「自家用電気工作物設備設置者」）、「広域機関提出用」、そして「全て表示」が選択できます。事業区分を選択した場合、当該区分に関連するガイドライン項目との対応が付けられたリスク点検項目のみが抽出されて表示されるため、自社の事業者区分に関係するリスク点検項目のみを効率的に確認することが可能となります。なお、対策状況可視化ツールを用いて実施したリスク点検の結果を広域機関に提出する場合、「広域機関提出用」を選択してください。"]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[null,"X列上部の＋ボタンを押すことで、追加の選択肢記入・選択理由記入の列を表示することができます。これは、回答者ごとに選択肢の列を分けたい場合や複数の立場（経営層、セキュリティ担当部署、担当業務部署、現場担当者など）の結果を比較したい場合に活用ください。"]
[]
[]
[null,"抽出されたすべてのリスク点検項目に対して対策状況を選択することで、「可視化結果」シートに対策状況が可視化されます。下図に示すとおり、対策状況可視化は、NIST CSFの5つのセキュリティ機能ごと（識別、防御、検知、対応、復旧）及び各機能のカテゴリーごとに示されます。可視化されるスコアは、「活用区分」を選択後に抽出された各リスク点検項目に対する選択（0～4の5段階）の平均値です。なお、活用区分として「広域機関提出用」を選択した場合には、「可視化結果（広域機関用）」の可視化結果を参照ください。"]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
["4. 注意事項"]
[null,"・自社のセキュリティ対策に関する継続的改善につなげるために、リスク点検の実施に先立ち、自社が目標とする対策レベルを設定する必要があります。対策レベルの設定に関しては、付随するガイドを参照ください。\n・達成基準は一つの例として示しているため、社内の状況に応じて具体的な内容を修正して構いません。\n・リスク点検の実施にあたっては、経営層、社内情報セキュリティ関係部署、人事関係部署、リスク管理・法務関係部署、購買・調達関係部署等と連携しつつ進めることが推奨されます。\n・二回目以降のリスク点検を効率的に進めるために、「選択理由（社内文書の参照先等）」の列において、リスク点検にあたって活用した社内文書等の情報も合わせて明記することが望まれます。\n・リスク点検結果を踏まえた改善方針の検討にあたっては、付随するガイドの内容を参照しつつ、検討することが望まれます。\n・0～4の対策レベルについて、NIST CSFのティアの考え方と同様に各対策に関する成熟度を重要視しており、低いレベルは各対策の運用状況、高いレベルは各対策の改善に向けた制度構築状況を主に確認しています。"]

{"sheet":"チェックシート","index":1,"n_rows":124,"n_cols":32,"rows_kept":124,"cut":false,"hidden":false,"merged":[[5,23,5,29],[1,8,4,10]]}
[]
[null,null,null,null,"会社名",null,null,null,"X列の上に+ボタンを押していただくと追加の選択肢記入・選択理由が表示されます。以下のような目的で適宜利用ください。\n・回答者ごとに選択肢の列を分けたい\n・複数の立場（経営層、セキュリティ担当部署、担当業務部署、現場担当者など）での回答結果を比較したい\n※可視化についてはJ列のみが適用されていますので、最終的なスコアについては、J列に記載ください。"]
[null,null,null,null,"活用区分","全て表示"]
[null,null,null,null,"点検対象システム名"]
[null,null,null,"※ 右A~Bの項目は広域機関提出時に記入ください。","A. 事業者コード",null,"B. 事業者種別\n※ すべて選択してください"]
[{"$f":"COLUMN(X8)","v":24},null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,"関連するガイドライン項目"]
["ア","機能","カテゴリー","サブカテゴリー","リスク点検項目","対策を怠った場合に想定されるリスク","対象","達成基準","担当領域","選択肢記入","選択理由（社内文書の参照先等）","選択肢記入\n（回答者名）","選択理由","選択肢記入\n（回答者名）","選択理由","選択肢記入\n（回答者名）","選択理由","選択肢記入\n（回答者名）","選択理由","選択肢記入\n（回答者名）","選択理由","選択肢記入\n（回答者名）","選択理由","電力制御システム\nセキュリティガイドライン\n（JEAG1111-2019）","ERABに関する\nサイバーセキュリティ\nガイドライン Ver 2.0","小売電気事業者のための\nサイバーセキュリティ対策\nガイドライン Ver 1.0","系統連系技術要件\n【託送供給等約款別冊】","自家用電気工作物に係るサイバーセキュリティの確保に関するガイドライン（内規）","特定卸供給事業に係るサイバーセキュリティ確保の指針","サイバーセキュリティ\n経営ガイドライン Ver 2.0","広域提出用","表示制御用"]
[{"$f":"COLUMN(X8)&X8&COLUMN(Y8)&Y8&COLUMN(Z8)&Z8&COLUMN(AA8)&AA8&COLUMN(AC8)&AC8&COLUMN(AE8)&AE8&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","資産管理","ID.AM-1","自組織内の物理デバイスとシステムが、目録作成されている。\n(ハードウェア資産とそれらのセキュリティに関連する情報を把握・更新している。)","自組織内の物理デバイスのサポート期限切れが把握できず、デバイスの脆弱性を利⽤しマルウェア感染され、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムの構成機器一覧が作成され、それらのセキュリティに関連する情報（機器の設置場所、サポートベンダーやサポート期限　等）が把握されている。\n2.\n 1に加え、システムの構成機器一覧が更新されている。\n3.\n 2に加え、システムの構成機器一覧は、会社が定めたシステム管理台帳で管理することが文書で規定され、管理すべき情報が明確化されている。\n4.\n 3に加え、システム管理台帳で管理すべき項目及び内容は、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第3-1条(勧告)","3.6(勧告)","指示4","-","第3-1条(推奨)","(2)-ア","指示4",4,{"$f":"IF($F$3=\"\",\"〇\",IF($F$3=\"全て表示\",\"〇\",IF(AND($F$3=\"発電事業者\",OR($X8<>\"-\",$X8<>\"-\")),\"〇\",IF(AND($F$3=\"小売電気事業者\",OR($Z8<>\"-\",$Z8<>\"-\")),\"〇\",IF(AND($F$3=\"自家用電気工作物設置者\",OR($AA8<>\"-\",$AB8<>\"-\")),\"〇\",IF(AND($F$3=\"アグリゲーター\",OR($Y8<>\"-\",$AC8<>\"-\")),\"〇\",IF(AND($F$3=\"広域機関提出用\",OR($AE8<>\"-\",$AE8<>\"-\")),\"〇\",\"×\")))))))","v":"〇"}]
[{"$f":"COLUMN(X9)&X9&COLUMN(Y9)&Y9&COLUMN(Z9)&Z9&COLUMN(AA9)&AA9&COLUMN(AC9)&AC9&COLUMN(AE9)&AE9&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","資産管理","ID.AM-2","自組織内のソフトウェアプラットフォームとアプリケーションが、目録作成されている。\n(ソフトウェア資産とそれらのセキュリティに関連する情報を把握・更新している。)","自組織内で利用しているソフトウェアに対してセキュリティパッチが正しく適用されず、ソフトウェアの脆弱性を利⽤しマルウェア感染され、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムのソフトウェア一覧が作成され、セキュリティに関連する情報（バージョン、セキュリティパッチの適用状況、、サポートベンダー、サポート期限等）が把握されている。\n2.\n 1に加え、システムのソフトウェア一覧が更新されている。\n3.\n 2に加え、システムのソフトウェア一覧は、会社が定めたシステム管理台帳で管理することが文書で規定され、管理すべき情報が明確化されている。\n4.\n 3に加え、システム管理台帳で管理すべき項目及び内容は、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第3-1条(勧告)","3.6(勧告)","指示4","-","第3-1条(推奨)","(2)-ア","指示4",4,{"$f":"IF($F$3=\"\",\"〇\",IF($F$3=\"全て表示\",\"〇\",IF(AND($F$3=\"発電事業者\",OR($X9<>\"-\",$X9<>\"-\")),\"〇\",IF(AND($F$3=\"小売電気事業者\",OR($Z9<>\"-\",$Z9<>\"-\")),\"〇\",IF(AND($F$3=\"自家用電気工作物設置者\",OR($AA9<>\"-\",$AB9<>\"-\")),\"〇\",IF(AND($F$3=\"アグリゲーター\",OR($Y9<>\"-\",$AC9<>\"-\")),\"〇\",IF(AND($F$3=\"広域機関提出用\",OR($AE9<>\"-\",$AE9<>\"-\")),\"〇\",\"×\")))))))","v":"〇"}]
[{"$f":"COLUMN(X10)&X10&COLUMN(Y10)&Y10&COLUMN(Z10)&Z10&COLUMN(AA10)&AA10&COLUMN(AC10)&AC10&COLUMN(AE10)&AE10&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","資産管理","ID.AM-3","組織内の通信とデータフロー図が、作成されている。\n(ネットワーク構成と各通信先を把握・更新している。)","ネットワーク構成の認識不足により、意図しない通信先より不正アクセスされて、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ネットワーク構成及びシステムの通信先に関する情報が把握されている。\n2.\n 1に加え、ネットワーク構成及びシステムの通信先に関する情報が更新されている。\n3.\n 2に加え、ネットワーク構成及びシステムの通信先に関する情報は、会社が定めたシステム管理台帳で管理することが文書で規定され、管理すべき情報が明確化されている。\n4.\n 3に加え、システム管理台帳で管理すべき項目及び内容は、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第3-1条(勧告)","3.6(勧告)","指示4","-","第3-1条(推奨)","(2)-ア","指示4",4,"〇"]
[{"$f":"COLUMN(X11)&X11&COLUMN(Y11)&Y11&COLUMN(Z11)&Z11&COLUMN(AA11)&AA11&COLUMN(AC11)&AC11&COLUMN(AE11)&AE11&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","資産管理","ID.AM-4","外部情報システムが、カタログ作成されている。\n(外部連携先システムを把握・更新している。)","意図しない外部情報システムからの接続により、通信経路上でデータを改ざんする中間者攻撃を受けて、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム","\n0.\n 対応なし\n1.\n 外部情報システム（クラウド等社外に設置された当社のシステム、当社システムが連携する他社が管理するシステム等）の一覧が作成されている。\n2.\n 1に加え、外部情報システムの一覧が更新されている。\n3.\n 2に加え、外部情報システムの一覧は、会社が定めたシステム管理台帳で管理することが文書で規定され、管理すべき情報が明確化されている。\n4.\n 3に加え、システム管理台帳で管理すべき項目及び内容は、定期的に見直されている。\n","情報セキュリティ/IT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第3-1条(勧告)","3.6(勧告)","指示4","-","第3-1条(推奨)","(2)-ア","指示4",4,"〇"]
[{"$f":"COLUMN(X12)&X12&COLUMN(Y12)&Y12&COLUMN(Z12)&Z12&COLUMN(AA12)&AA12&COLUMN(AC12)&AC12&COLUMN(AE12)&AE12&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","資産管理","ID.AM-5","リソース（例:ハードウェア、デバイス、データ、ソフトウェア）が、それらの分類、重要度、ビジネス上の価値に基づいて優先順位付けられている。\n(システム資産・情報資産に対する重要度分類基準があり、資産はこれに基づいて分類されている。また、これらの基準が更新されている。)","システムの管理不足により、認識していないシステムが高負荷攻撃を受けて、自組織のシステムが停止する可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システム及び取扱い情報の重要度分類が行われ、その一覧が作成されている。\n2.\n 1に加え、重要度分類されたシステム及び取扱い情報の一覧が更新されている。\n3.\n 2に加え、システム及び取扱い情報の重要度分類を、会社が定めたシステム管理台帳で管理することが文書で規定され、管理すべき情報が明確化されている。\n4.\n 3に加え、システム管理台帳で管理すべき項目及び内容は、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第1-5条\n第6-2条(推奨)","3.5(勧告)","指示4","-","第1-3条\n第8-2条(推奨)","(5)-イ","指示4",4,"〇"]
[{"$f":"COLUMN(X13)&X13&COLUMN(Y13)&Y13&COLUMN(Z13)&Z13&COLUMN(AA13)&AA13&COLUMN(AC13)&AC13&COLUMN(AE13)&AE13&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","資産管理","ID.AM-6","全従業員及び利害関係にある第三者（例:サプライヤー、顧客、パートナー）に対してのサイバーセキュリティ上の役割と責任が、定められている。\n(システムの関係者に対し、セキュリティ上の役割と責任を定めている。)","他組織で発生したセキュリティインシデントにより、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・会社のシステムセキュリティの最終的な責任は経営層にあることが明確にされている。\n ・個々のシステムについて、セキュリティ責任者が決定されている。　　\n ・個々のシステム開発及び運用において、サイバーセキュリティが考慮され、対応されている。（例として、開発におけるセキュリティ設計、運用におけるセキュリティ管理策の実践等）\n2.\n 1に加え、個々のシステム開発及び運用に関わる各組織において、セキュリティ上の役割と責任が文書等で明確化され、関係者に伝えられている。またセキュリティ責任者を文書で明確化している。\n3.\n 2に加え、個々のシステムにおけるセキュリティ責任者、システム開発や運用におけるセキュリティ上の責任者について、会社が定めた文書で管理することが規定され、管理すべき情報が明確化されている。\n4.\n 3に加え、文書で管理すべき項目及び内容は、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)","4.1(勧告)","指示9","〇","第2-2条の1(A:勧告 BC:推奨)\n第2-2条の2(推奨)\n第2-2条の3(推奨)","(1)-イ","指示9","-","〇"]
[{"$f":"COLUMN(X14)&X14&COLUMN(Y14)&Y14&COLUMN(Z14)&Z14&COLUMN(AA14)&AA14&COLUMN(AC14)&AC14&COLUMN(AE14)&AE14&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","ビジネス環境","ID.BE-1","サプライチェーンにおける自組織の役割が、識別され、周知されている。\n(自社のサプライチェーン全体における組織の役割を特定し、社内の関係者やサプライヤーとの間で共有されている。)","自組織のセキュリティインシデントにより、取引関係者が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 重要な顧客が明確にされている。\n2.\n 1に加え、\n ・社内の個々の組織が担う役割と責任が文書等で明確にされている。\n ・依存関係にある重要なサプライヤーが明確にされている。\n3.\n 2に加え、\n ・社内のリスク管理基準が文書等で明確にされている。\n ・各サプライヤーとの契約とサービス提供の管理、保守、モニタリングが行われている。\n4.\n 3に加え、\n ・社会情勢や経営環境の変化（大規模な事故・災害、規制緩和や市場自由化等）に伴い、社内のリスク管理基準が見直されている。　　\n ・サプライヤーの全体的な成果、契約要件との適合、費用に対する価値に関して、定期的にレビューを行い、発見された問題に対処している。\n","リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-1条(勧告)\n第2-2条(勧告)\n第4-1条(勧告)\n第7-2条(勧告)","-","指示9","-","第2-2条の2(推奨)\n第2-2条の3(推奨)\n第4-1条(推奨)\n第10-2条(推奨)","(1)-ア\n(1)-イ\n(3)-ア\n(6)-イ","指示9","-","〇"]
[{"$f":"COLUMN(X15)&X15&COLUMN(Y15)&Y15&COLUMN(Z15)&Z15&COLUMN(AA15)&AA15&COLUMN(AC15)&AC15&COLUMN(AE15)&AE15&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","ビジネス環境","ID.BE-2","重要インフラとその産業分野における自組織の位置づけが、識別され、周知されている。\n(経営戦略・事業ニーズ等を基に策定されたシステム戦略やシステムアーキテクチャが社内に周知されている。)","自組織のセキュリティインシデントにより、関係する他組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 事業ニーズに基づきシステム戦略が策定され、社内に周知されている。\n2.\n 1に加え、システム戦略とその優先度が経営戦略に基づいて決定され、文書等で明確にされている。\n3.\n 2に加え、会社の達成目標と戦略目標を満たす、システムエンタプライズアーキテクチャが定められ、社内に周知されている。\n4.\n 3に加え、社会情勢や経営環境の変化（大規模な事故・災害、規制緩和や市場自由化等）に伴い、システムエンタプライズアーキテクチャが見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-","-","〇"]
[{"$f":"COLUMN(X16)&X16&COLUMN(Y16)&Y16&COLUMN(Z16)&Z16&COLUMN(AA16)&AA16&COLUMN(AC16)&AC16&COLUMN(AE16)&AE16&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","ビジネス環境","ID.BE-3","組織のミッション、目標、活動の優先順位が、定められ、周知されている。\n(自組織におけるミッション、事業目標、リスク管理活動の優先順位がリスク管理基準によって定めており、その周知に努めている。)","優先順位が高いセキュリティインシデントの対応が遅れたことにより、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 会社の事業戦略を踏まえ、会社の重要サービスが決定されている。\n2.\n 1に加え、\n ・会社の重要サービスを踏まえ、各組織のミッション・目標の優先順位が定められている。　　 \n ・リスク管理活動が行われている。\n3.\n 2に加え、\n ・重要サービスの安定的な継続のため、経営層の承認の下、会社の（人的及び金銭的）リソースが優先的に割り当てられている。\n ・社内のリスク管理基準が文書等で明確にされている。\n4.\n 3に加え、\n ・会社の重要サービスは、事業戦略の変化を踏まえ、必要に応じて見直されている。　　\n ・社会情勢や経営環境の変化（大規模な事故・災害、規制緩和や市場自由化等）に伴い、会社のリスク管理基準が見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、経営層","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-1条(勧告)\n第4-1条(勧告)","4.1(勧告)","指示9","-","第2-1条(A:勧告 BC:推奨)\n第4-1条(推奨)","(1)-ア\n(3)-ア","指示9","-","〇"]
[{"$f":"COLUMN(X17)&X17&COLUMN(Y17)&Y17&COLUMN(Z17)&Z17&COLUMN(AA17)&AA17&COLUMN(AC17)&AC17&COLUMN(AE17)&AE17&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","ビジネス環境","ID.BE-4","重要サービスを提供する上での依存関係と重要な機能が、定められている。\n(重要サービスの提供に必要な重要資産と関連サプライヤーを把握・更新している。)","重要なサプライヤーで発生したセキュリティインシデントにより、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・業務を継続する上で重要なOT資産及びIT資産の管理台帳を作成している。　\n ・IT及びOTにおける重要なサプライヤーが明らかになっている。\n2.\n 1に加え、資産管理台帳は事故対応・復旧に必要な情報（設置場所、資産の管理者、セキュリティ要求事項、委託先、 SLA、業界標準への適合性等）を含んでいる。\n3.\n 2に加え、資産管理台帳に登録された資産は、業務継続の観点で重要度による優先順位付けをしている。\n4.\n 3に加え、資産管理台帳は定期的に更新されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第3-1条(勧告)","3.6(勧告)\n4.1(勧告)","指示9","-","第3-1条(推奨)","(2)-ア","指示9","-","〇"]
[{"$f":"COLUMN(X18)&X18&COLUMN(Y18)&Y18&COLUMN(Z18)&Z18&COLUMN(AA18)&AA18&COLUMN(AC18)&AC18&COLUMN(AE18)&AE18&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","ビジネス環境","ID.BE-5","重要サービスの提供を支援するレジリエンスに関する要求事項が、すべてのオペレーション状況（例：脅迫・攻撃下、復旧時、通常時等）について定められている。\n（重要サービスに求められるサービスレベルと要求事項が整理・更新されている。）","本来達成すべきサービスレベルに達していない重要サービスが攻撃されることで、適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n インシデント発生時等の非常時において、会社の重要サービスに求められるサービスレベル（許容可能な停止時間、サービスの処理速度や処理量、復旧までの目標時間等）が決定されている。\n2.\n 1に加え、会社の重要サービスがサービスレベルを保つためのリソース（システム資産、情報資産、人員、外部の事業者・サービス等）が文書等で明確にされ、関係者に伝えられている。\n3.\n 2に加え、会社の重要サービスに求められるサービスレベルから、重要システムのサービスレベルが決定され、システムの設計、運用計画に反映されている。\n4.\n 3に加え、会社の重要サービスに求められるサービスレベルは、事業戦略の変化を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)\n第7-2条(勧告)","3.4(勧告)","指示8","-","第4-1条(推奨)\n第10-2条(推奨)","(3)-ア\n(6)-イ","指示8","-","〇"]
[{"$f":"COLUMN(X19)&X19&COLUMN(Y19)&Y19&COLUMN(Z19)&Z19&COLUMN(AA19)&AA19&COLUMN(AC19)&AC19&COLUMN(AE19)&AE19&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","ガバナンス","ID.GV-1","組織のサイバーセキュリティポリシーが、定められ、周知されている。\n（組織のサイバーセキュリティポリシーが規定され、社内に周知されている。）","ID・パスワードなどの窃取による正規のユーザへのなりすましによって、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、独自にセキュリティ対策が検討され、適用されている。\n2.\n 1に加え、社内の各組織において、個別にセキュリティルールが策定され、遵守が求められている。\n3.\n 2に加え、会社のセキュリティポリシーが文書で規定され、社内に周知されている。\n4.\n 3に加え、会社のセキュリティポリシーは、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、経営層","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-1条(勧告)","4.1(勧告)","指示1","-","第2-1条(A:勧告 BC:推奨)","(1)-ア","指示1",1,"〇"]
[{"$f":"COLUMN(X20)&X20&COLUMN(Y20)&Y20&COLUMN(Z20)&Z20&COLUMN(AA20)&AA20&COLUMN(AC20)&AC20&COLUMN(AE20)&AE20&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","ガバナンス","ID.GV-2","サイバーセキュリティ上の役割と責任が、内部の担当者と外部パートナーとで調整・連携されている。\n(セキュリティ対策は、社外の委託先やパートナーを含めて連携して実施している。)","管理されてないリソースに対して高負荷攻撃を受けて、自組織のシステムが停止する可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムのセキュリティ対策が、社内のシステム担当者やサプライヤーの裁量で実施されている。\n2.\n 1に加え、社内のシステム担当者及びサプライヤーのセキュリティ上の役割と責任が文書等で明確化され、共有・認識されている。\n3.\n 2に加え、システムのセキュリティ対策（システムのセキュリティ設計、セキュリティ監視、脆弱性対策等）が網羅的かつ継続的に行われるよう、社内の担当者とサプライヤーで、セキュリティ対策の実施状況が定期的に情報共有されている。\n4.\n 3に加え、セキュリティ対応における社内と社外の関係者含めた役割と責任は、社内外の最新の情報・動静を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-1条(勧告)\n第2-2条(勧告)","-","指示2","-","第2-1条(A:勧告 BC:推奨)\n第2‐2条の2(推奨)\n第2-2条の3(推奨)","(1)-ア\n(1)-イ","指示2",2,"〇"]
[{"$f":"COLUMN(X21)&X21&COLUMN(Y21)&Y21&COLUMN(Z21)&Z21&COLUMN(AA21)&AA21&COLUMN(AC21)&AC21&COLUMN(AE21)&AE21&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","ガバナンス","ID.GV-3","プライバシーや人権に関する義務を含む、サイバーセキュリティに関する法規制上の要求事項が、理解され、管理されている。\n(セキュリティ・プライバシーに関する法制度を把握・対応している。)","法制度等で規定されている水準のセキュリティ対策を実装できず、自組織のシステムの停止される可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 社内の各組織において、セキュリティに関する法律・規制（プライバシー及び個人情報保護に関する法律・規制、知的財産権に関する法律・規制、暗号化機能に対する規制。電力制御システムの場合、各種保安規定、電力制御システムセキュリティガイドライン等）等を独自に特定し、対応している。\n2.\n 1に加え、セキュリティに関する法律・規制等への対応は、社内規定や管理手順等に反映されている。\n3.\n 2に加え、セキュリティに関する法律・規制等について組織的にモニタリングし、新設・改廃があった場合には速やかに対応・周知等を行っている。\n4.\n 3に加え、業務やシステムのセキュリティに関する法律・規制等への適合性を定期的に確認し、必要に応じて是正している。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-1条(勧告)","4.1(勧告)","指示1","-","第2-1条(A:勧告 BC:推奨)","(1)-ア","指示1",1,"〇"]
[{"$f":"COLUMN(X22)&X22&COLUMN(Y22)&Y22&COLUMN(Z22)&Z22&COLUMN(AA22)&AA22&COLUMN(AC22)&AC22&COLUMN(AE22)&AE22&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","ガバナンス","ID.GV-4","ガバナンスとリスクマネジメントプロセスが、サイバーセキュリティリスクに対処している。\n(サイバーリスクを特定し、リスク管理手法の検討に利用している。)","特定されていないサイバーセキュリティリスクを悪用した攻撃により、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、独自にサイバーセキュリティリスクを特定し、対応している。\n2.\n 1に加え、システムに対し、サイバーセキュリティの観点でリスク管理（システムのリスクアセスメントを定期的に実施する、システムが持つリスク（脆弱性等）を一覧化する、リスクについて優先度を決定し、対応計画を立てる、リスク対応の実施状況を管理する等）が行われている。\n3.\n 2に加え、サイバーセキュリティの観点から社内で統一されたリスク管理手法が定められ、社内で運用されている。\n4.\n 3に加え、リスク管理手法は、社内外の最新の情報・動静を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)","3.6(勧告)\n4.1(勧告)","指示2","-","第4-1条(推奨)","(3)-ア","指示2",2,"〇"]
[{"$f":"COLUMN(X23)&X23&COLUMN(Y23)&Y23&COLUMN(Z23)&Z23&COLUMN(AA23)&AA23&COLUMN(AC23)&AC23&COLUMN(AE23)&AE23&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","リスクアセスメント","ID.RA-1","資産の脆弱性が、識別され、文書化されている。\n(システムの脆弱性を特定し管理している。)","システムにおけるセキュリティ上の脆弱性を利⽤しマルウェア感染され、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 脆弱性情報の提供元（各ISAC、各CERT、業界団体、ベンダー、政府機関、内部監査等）を特定している。\n2.\n 1に加え、\n ・システムに関連する脆弱性情報を入手している。　　\n ・リスクアセスメントや電子的侵入テスト等により、システムが持つ脆弱性が特定されている。\n3.\n 2に加え、脆弱性情報を入手するための手法及び脆弱性を特定するための手法（リスクアセスメント、脆弱性情報の収集・展開、脆弱性診断（侵入テスト・Webアプリケーション診断）等）が定義され、実施されている。\n4.\n 3に加え、脆弱性情報を十分に収集するため、複数の情報提供元をモニタリングしている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)","4.1(勧告)","指示4","-","第4-1条(推奨)","(3)-ア","指示4",4,"〇"]
[{"$f":"COLUMN(X24)&X24&COLUMN(Y24)&Y24&COLUMN(Z24)&Z24&COLUMN(AA24)&AA24&COLUMN(AC24)&AC24&COLUMN(AE24)&AE24&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","リスクアセスメント","ID.RA-2","サイバー脅威に関する情報が、複数の情報共有フォーラム及び複数のソースから入手されている。\n（サイバー脅威に関する情報を複数のソースから入手している。）","未知の脅威によってシステムがマルウェア感染し、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 脅威情報の提供元（外部組織:警視庁等政府機関、CERT機関、電力ISAC、インテリジェンスサービス等、メディア:ニュース、SNS、インテリジェンス情報サイト等）を特定している。\n2.\n 1に加え、脅威情報を収集している。\n3.\n 2に加え、脅威情報を入手するための手法が定義され、実施されている。\n4.\n 3に加え、脅威情報を十分かつ網羅的に、また多面的に収集するため、複数の情報提供元をモニタリングしている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)\n第7-1条(勧告)","3.2(勧告)\n4.1(勧告)","指示10","-","第4-1条(推奨)\n第10-1条(推奨)","(3)-ア\n(6)-ア","指示10",8,"〇"]
[{"$f":"COLUMN(X25)&X25&COLUMN(Y25)&Y25&COLUMN(Z25)&Z25&COLUMN(AA25)&AA25&COLUMN(AC25)&AC25&COLUMN(AE25)&AE25&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","リスクアセスメント","ID.RA-3","内部及び外部からの脅威が、識別され、文書化されている。\n(脅威・脆弱性・内部攻撃などを特定し、管理している。)","未知の脅威によってシステムがマルウェア感染し、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 内部システムの不正利用、内部からの攻撃に関わると思われる情報を収集している。\n2.\n 1に加え、\n ・各システムの脆弱性情報が個別の台帳等で管理されている。　　\n ・各システムに対する脅威情報が台帳等で管理されている。\n3.\n 2に加え、 各システムの脆弱性情報・脅威情報・内部攻撃情報が、会社で定めた台帳等で管理されている。\n4.\n 3に加え、 会社で定めた台帳等が定期的に更新されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)\n第7-1条(勧告)","4.1(勧告)","指示4","-","第4-1条(推奨)\n第10-1条(推奨)","(3)-ア\n(6)-ア","指示4",4,"〇"]
[{"$f":"COLUMN(X26)&X26&COLUMN(Y26)&Y26&COLUMN(Z26)&Z26&COLUMN(AA26)&AA26&COLUMN(AC26)&AC26&COLUMN(AE26)&AE26&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","リスクアセスメント","ID.RA-4","ビジネスに対する潜在的な影響とその発生可能性が、識別されている。\n(セキュリティリスクが顕在化する可能性と、顕在化した場合の影響を把握・分類している。)","セキュリティリスクが顕在化した際の影響が適切に評価されないことで、セキュリティ対策が過少となり、攻撃を受けた場合に適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システム及び取扱い情報の重要度分類が行われ、その一覧が作成されている。\n2.\n 1に加え、\n ・脆弱性情報・脅威情報・内部攻撃情報に対する分析手順を定めている。　　\n ・分析優先度（トリアージ）基準を定めている。\n3.\n 2に加え、 脆弱性情報・脅威情報・内部攻撃情報に対する分析は、定められた分析優先度基準に従って行われている。\n4.\n 3に加え、分析手順と分析優先度基準は、社内外の最新の情報・動静を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)\n第7-1条(勧告)","3.5(勧告)","指示4","-","第4-1条(推奨)\n第10-1条(推奨)","(3)-ア\n(6)-ア","指示4",4,"〇"]
[{"$f":"COLUMN(X27)&X27&COLUMN(Y27)&Y27&COLUMN(Z27)&Z27&COLUMN(AA27)&AA27&COLUMN(AC27)&AC27&COLUMN(AE27)&AE27&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","リスクアセスメント","ID.RA-5","脅威、脆弱性、発生可能性、影響が、リスクを判断する際に使用されている。\n(脅威情報、脆弱性情報、発生可能性、影響度から、リスクを管理している。)","セキュリティリスクが顕在化した際の影響が適切に評価されないことで、セキュリティ対策が過少となり、攻撃を受けた場合に適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n リスク管理活動が行われている。\n2.\n 1に加え、社内のリスク管理基準が、文書等で明確にされている。\n3.\n 2に加え、リスク分析においては、脆弱性情報・脅威情報・内部攻撃情報に加え発生可能性や影響度を考慮し、リスク量の算出が行われている。\n4.\n 3に加え、リスク管理基準は、社内外の最新の動向や会社の事業戦略の変化を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)","3.4(勧告)","指示4","-","第4-1条(推奨)","(3)-ア","指示4",4,"〇"]
[{"$f":"COLUMN(X28)&X28&COLUMN(Y28)&Y28&COLUMN(Z28)&Z28&COLUMN(AA28)&AA28&COLUMN(AC28)&AC28&COLUMN(AE28)&AE28&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","リスクアセスメント","ID.RA-6","リスク対応が、識別され、優先順位付けされている。\n（リスク対応計画が作成され、優先度付けされている。）","セキュリティリスクが顕在化した際の対応が優先度付けされないことで、本来対策すべき箇所にセキュリティ対策が実施できず、攻撃を受けた場合に適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、セキュリティリスク対応計画が作成されている。\n2.\n 1に加え、社内の組織ごとにリスク量とシステムの重要度に応じて、リスク対応の優先度を決定している。\n3.\n 2に加え、\n ・セキュリティにおけるリスクは、全社のリスク管理と整合するよう、優先度付けされ、対応計画が策定されている。\n ・リスクの重要度に応じて、リスク対応計画が経営層に報告される体制を整えている。\n4.\n 3に加え、セキュリティリスク対応計画は、社内外の最新の動向や、会社の事業戦略の変化及びそれを反映したセキュリティ戦略の変化を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)","4.1(勧告)","指示4","-","第4-1条(推奨)","(3)-ア","指示4",4,"〇"]
[{"$f":"COLUMN(X29)&X29&COLUMN(Y29)&Y29&COLUMN(Z29)&Z29&COLUMN(AA29)&AA29&COLUMN(AC29)&AC29&COLUMN(AE29)&AE29&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","リスク管理戦略","ID.RM-1","リスクマネジメントプロセスが、組織の利害関係者によって定められ、管理され、承認されている。\n(セキュリティリスク管理プロセスが策定され、運用・管理されている。)","セキュリティリスクが顕在化した際の影響が適切に管理されないことで、セキュリティ対策が過少となり、攻撃を受けた場合に適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、セキュリティリスク対応計画が立てられ、対応を完了するまで状況が管理されている。\n2.\n 1に加え、社内の組織ごとに、業務やシステムに対してセキュリティリスク管理（※）が行われている。\n（※）セキュリティリスク管理の例\n　①リスクの特定（脆弱性診断、リスクアセスメント等）\n　②顕在化の可能性と影響度の評価\n　③リスクへの対応要否の決定\n　④リスク対応の優先度の決定\n　⑤リスク対応計画の立案\n　⑥リスク対応状況の管理\n3.\n 2に加え、会社のセキュリティリスク管理手続きが定められ、社内に遵守が求められている。\n4.\n 3に加え、セキュリティリスク管理手続きは、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)","4.1(勧告)","指示4","-","第4-1条(推奨)","(3)-ア","指示4",4,"〇"]
[{"$f":"COLUMN(X30)&X30&COLUMN(Y30)&Y30&COLUMN(Z30)&Z30&COLUMN(AA30)&AA30&COLUMN(AC30)&AC30&COLUMN(AE30)&AE30&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","リスク管理戦略","ID.RM-2","組織のリスク許容度が、決定され、明確に表現されている。\n(セキュリティリスク対策の実施基準が策定されている。)","セキュリティリスク許容度が適切に評価されないことで、セキュリティ対策が過少となり、攻撃を受けた場合に適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、業務要件や制限を考慮し関係者の合意を得てシステムのセキュリティリスク対策実施要否が判断されている。また重要システムについては、経営層の承認を得て判断が行われている。\n2.\n 1に加え、リスクの大きさに応じて、セキュリティリスク対策実施要否の判断箇所が決定（例えば、システムの重要度が高い場合はCISOが判断する等）されている。\n3.\n 2に加え、会社のセキュリティリスク対策実施基準が策定され、社内に周知されている。\n4.\n 3に加え、セキュリティリスク対策実施基準は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務、経営層","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)","4.1(勧告)","指示4","-","第4-1条(推奨)","(3)-ア","指示4",4,"〇"]
[{"$f":"COLUMN(X31)&X31&COLUMN(Y31)&Y31&COLUMN(Z31)&Z31&COLUMN(AA31)&AA31&COLUMN(AC31)&AC31&COLUMN(AE31)&AE31&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","リスク管理戦略","ID.RM-3","自組織によるリスク許容度の決定が、重要インフラにおける組織の役割と、その分野に特化したリスク分析の結果に基づいて行われている。\n(リスク対策の実施基準が社会への影響や重要システム・サービスを考慮して定められている。)","セキュリティリスク許容度が適切に評価されないことで、セキュリティ対策が過少となり、攻撃を受けた場合に適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、社内外へのリスクの影響を踏まえ、セキュリティリスク対策実施要否が判断されている。\n2.\n 1に加え、セキュリティリスク対策実施要否を判断する場合、重要サービスの継続的な提供を優先に考え、システムの種別（電力制御システムとその他のシステム等）や重要度を考慮し関係者の合意が得ている。また重要システムについては、経営層の承認を得て判断が行われている。\n3.\n 2に加え、会社のセキュリティリスク対策実施基準は、重要サービスへの影響が考慮されており、システム種別やシステム重要度等の違いによって決定されている。\n4.\n 3に加え、セキュリティリスク対策実施基準は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務、経営層","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)","4.1(勧告)","指示4","-","第4-1条(推奨)","(3)-ア","指示4",4,"〇"]
[{"$f":"COLUMN(X32)&X32&COLUMN(Y32)&Y32&COLUMN(Z32)&Z32&COLUMN(AA32)&AA32&COLUMN(AC32)&AC32&COLUMN(AE32)&AE32&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","サプライチェーンリスクマネジメント","ID.SC-1","サイバーサプライチェーンのリスクマネジメントプロセスが、組織の利害関係者によって、識別され、定められ、評価され、管理され、承認されている。\n(サプライチェーンにおけるセキュリティリスク管理手法が、社内で確立されている。)","サプライチェーンに関するセキュリティリスク許容度が適切に評価されないことで、サプライチェーンに関するセキュリティ対策が過少となり、攻撃を受けた場合に自組織が適切に事業継続できない可能性があるほか、第三者の事業継続に影響を及ぼす可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、サプライチェーンにおけるセキュリティリスクが把握されている。\n2.\n 1に加え、社内の組織ごとに、サプライチェーンにおけるセキュリティリスクが把握され、必要に応じて対応されている。\n3.\n 2に加え、会社のサプライチェーンにおけるセキュリティリスク管理手法（調達におけるセキュリティ評価基準やセキュリティ上の要求事項、契約上の条件、継続的な監査やモニタリング等を定義する等）が確立され、社内に遵守が求められている。\n4.\n 3に加え、サプライチェーンにおけるセキュリティリスク管理手法は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、購買/調達","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)\n第4-1条(勧告)","-","-","-","第2‐2条の3(推奨)\n第4-1条(推奨)","(1)-イ\n(3)-ア","-","-","〇"]
[{"$f":"COLUMN(X33)&X33&COLUMN(Y33)&Y33&COLUMN(Z33)&Z33&COLUMN(AA33)&AA33&COLUMN(AC33)&AC33&COLUMN(AE33)&AE33&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","サプライチェーンリスクマネジメント","ID.SC-2","情報システム、コンポーネント、サービスのサプライヤーと第三者であるパートナーが、識別され、優先順位付けられ、サイバーサプライチェーンのリスクアセスメントプロセスにより評価されている。\n(調達時に、システムやサービス、及びサプライヤーをセキュリティの面から評価している。)","他組織の管理するシステムにおけるセキュリティ上の脆弱性を利用しマルウェア感染され、関係する他組織で管理している領域から自組織の保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、サプライチェーンにおけるセキュリティリスクが評価され、サプライヤーやパートナーの選定が行われている。\n2.\n 1に加え、社内の組織ごとに、依存関係にある重要なサプライヤーが明確にされている。\n3.\n 2に加え、サプライチェーンにおけるセキュリティリスク管理の観点から、サプライヤーやパートナーの選定に関する統一的な基準が設けられ、社内に遵守が求められている。\n4.\n 3に加え、サプライヤーやパートナーの選定基準は、社内外の最新の情報・動静を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)\n第4-1条(勧告)","4.1(勧告)","-","-","第4-1条(推奨)\n第2-2条の3(推奨)","(1)-イ\n(3)-ア","-","-","〇"]
[{"$f":"COLUMN(X34)&X34&COLUMN(Y34)&Y34&COLUMN(Z34)&Z34&COLUMN(AA34)&AA34&COLUMN(AC34)&AC34&COLUMN(AE34)&AE34&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","サプライチェーンリスクマネジメント","ID.SC-3","サプライヤー及び第三者であるパートナーとの契約が、組織のサイバーセキュリティプログラムやサイバーサプライチェーンのリスクマネジメント計画の目的を達成するための適切な対策の実施に活用されている。\n(調達時の契約は、サプライチェーンにおけるセキュリティリスクへの対応が考慮されている。)","自組織のデータを格納している他組織のシステムがマルウェア感染することで、自組織の保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムのライフサイクルにおいて、サプライヤーやパートナーが関与する場合は、契約時に秘密保持契約や個人情報保護に関する覚書が結ばれている。\n2.\n 1に加え、社内の組織ごとに、調達の特性に合わせて、サプライチェーンにおけるセキュリティリスク管理の観点から必要な要件（秘密保持／個人情報の取り扱い、セキュリティ対策の実施、インシデント対応体制の確立、再委託に関わる条件、制限・責任範囲の明確化、サービスレベルの定義、監査に対する合意、契約に違反した場合の措置等）が契約内容に含まれている。\n3.\n 2に加え、システムや製品の調達において、会社規定の契約書等にサプライチェーンにおけるセキュリティリスク管理の観点から必要な要件が反映されている。\n4.\n 3に加え、会社規定の契約書等は、社内外の最新の情報・動静を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、購買/調達","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)","4.1(勧告)","-","-","第2‐2条の3(推奨)","(1)-イ","-","-","〇"]
[{"$f":"COLUMN(X35)&X35&COLUMN(Y35)&Y35&COLUMN(Z35)&Z35&COLUMN(AA35)&AA35&COLUMN(AC35)&AC35&COLUMN(AE35)&AE35&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","サプライチェーンリスクマネジメント","ID.SC-4","サプライヤー及び第三者であるパートナーが、監査、テストの結果、又はその他の評価に基づき、契約上の義務を満たしているか、定期的に評価されている。\n(サプライチェーンにおけるセキュリティリスクをサプライヤーやパートナーに対して定期的に評価している。)","自組織のデータを格納している他組織のシステムがマルウェア感染することで、自組織の保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、サプライヤーやパートナーが契約上の義務を満たしているか確認している。\n2.\n 1に加え、社内の組織ごとに、サプライヤーやパートナーが契約上の義務を満たしているか、定期的に確認している。\n3.\n 2に加え、サプライヤーやパートナーについて、サプライチェーンにおけるセキュリティリスク管理の観点から、定期的に確認・監査等を用いて再評価することが文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、サプライチェーンにおけるセキュリティリスク管理の観点から、サプライヤーやパートナーに対する継続的なモニタリングが実施されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、購買/調達","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)","-","-","-","第2-2条の3(推奨)","(1)-イ","-","-","〇"]
[{"$f":"COLUMN(X36)&X36&COLUMN(Y36)&Y36&COLUMN(Z36)&Z36&COLUMN(AA36)&AA36&COLUMN(AC36)&AC36&COLUMN(AE36)&AE36&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"識別（ID）","サプライチェーンリスクマネジメント","ID.SC-5","対応・復旧計画の策定とテストが、サプライヤー及び第三者プロバイダーと共に行なわれている。\n(会社のインシデント対応計画・復旧計画は、サプライヤー等を含めて考慮されている。)","他組織を考慮した対応・復旧計画が策定されず、自組織のセキュリティインシデントが発生した際に、関係する他組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n セキュリティインシデント発生時に、対応・復旧を依頼すべきサプライヤーやプロバイダーが把握されている。\n2.\n 1に加え、\n ・インシデント対応計画・復旧計画において、サプライヤーやプロバイダーに求める役割が契約書や仕様書等で明確化され、先方に伝えられている。　　\n ・サプライヤーやプロバイダーの緊急連絡先が最新となっている。\n3.\n 2に加え、サプライヤーやプロバイダーが果たす役割が、インシデント対応計画・復旧計画で定義されている。\n4.\n 3に加え、インシデント対応経験や事業環境の変化等をインプットとして、インシデント対応計画・復旧計画が見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-2条(勧告)\n第7-4条(勧告)","-","-","-","第10-2条(推奨)\n第10-4条(推奨)","(6)-イ\n(6)-エ","-","-","〇"]
[{"$f":"COLUMN(X37)&X37&COLUMN(Y37)&Y37&COLUMN(Z37)&Z37&COLUMN(AA37)&AA37&COLUMN(AC37)&AC37&COLUMN(AE37)&AE37&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","アクセス制御","PR.AC-1","認可されたデバイス、ユーザ、プロセスのアイデンティティと証明書が、発行、管理、検証、取り消し、監査されている。\n(ユーザの識別情報と認証情報の管理されている。)","不適切な認証情報の管理により、正規ユーザによる内部不正が行われ、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムは、識別情報（ユーザID等）と認証情報（パスワード、生体認証、電子証明書等）を発行している。\n2.\n 1に加え、システムは、識別情報（ユーザID等）と認証情報（パスワード、生体認証、電子証明書等）を管理・運用（発行時の承認、異動時の消去、パスワードポリシー、IDの台帳管理と定期的な棚卸し等）している。\n3.\n 2に加え、識別情報（ユーザID等）と認証情報（パスワード、生体認証、電子証明書等）の管理運用方法が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、識別情報（ユーザID等）と認証情報（パスワード、生体認証、電子証明書等）の管理運用方法は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-6条(推奨)\n第6-4条(推奨)","3.6(勧告)","指示5","-","第6-2条の5(推奨)\n第8-1条の1(推奨)","(4)-エ\n(4)-オ","指示5",5,"〇"]
[{"$f":"COLUMN(X38)&X38&COLUMN(Y38)&Y38&COLUMN(Z38)&Z38&COLUMN(AA38)&AA38&COLUMN(AC38)&AC38&COLUMN(AE38)&AE38&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","アクセス制御","PR.AC-2","資産に対する物理アクセスが、管理され、保護されている。\n（システムの構成機器が物理的に保護され、物理アクセスに対する対策が施されている。）","適切な物理的な対策が実施されず、悪意を持った自組織内外の関係者が不正に侵入し、故障や正確でないデータの送信等が発生する可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムの構成機器は、重要度に応じて施錠可能な部屋やサーバーラック等に格納され、物理的に保護されている。\n2.\n 1に加え、システムの構成機器は、重要度に応じてセキュリティ区画に設置され、物理的な侵入に対する対策（※）が実施されている。\n（物理的な侵入に対する対策例）\n　　・許可された者だけがアクセスできるよう常時施錠されている。\n　　・区画のアクセス権限は、業務上の必要最小限に制限されている。\n　　・認証システムや入室管理簿等が用いられ、入室者個人が特定されている。\n　　・区画の管理責任者が決定されている。\n　　・データセンターや特に重要度が高いシステムを設置する区画は、生体認証や監視カメラの導入等によりセキュリティが強化されている。\n3.\n 2に加え、システムの構成機器等物理資産の保護方法が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、物理資産の保護方法は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第6-6条(勧告)\n第6-7条(推奨)","3.8(勧告)","指示5","-","第9-1条(推奨)","-","指示5",5,"〇"]
[{"$f":"COLUMN(X39)&X39&COLUMN(Y39)&Y39&COLUMN(Z39)&Z39&COLUMN(AA39)&AA39&COLUMN(AC39)&AC39&COLUMN(AE39)&AE39&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","アクセス制御","PR.AC-3","リモートアクセスが、管理されている。\n（リモートアクセスのセキュリティ対策や管理基準が規定・運用されている。）","リモートアクセスの管理不足により、悪意のある第三者が正規ユーザへなりすまし、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・外部からのリモートアクセスを許容するシステムとサービス範囲が決定されている。　　\n ・リモートアクセスを利用できるユーザが決められており、不要となった場合にはアクセス権を無効としている。\n2.\n 1に加え、\n ・リモートアクセスの利用はシステム管理者によりチェックされ承認されている。　　\n ・ルート権限、システム管理者によるアクセス、緊急時のアクセスは監視されている。\n3.\n 2に加え、リモートアクセスに対するセキュリティ対策・管理基準が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、リモートアクセスに対するセキュリティ対策・管理基準は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-6条(推奨)","3.6(勧告)","指示5","-","第6-2条の5(推奨)","(4)-オ","指示5",5,"〇"]
[{"$f":"COLUMN(X40)&X40&COLUMN(Y40)&Y40&COLUMN(Z40)&Z40&COLUMN(AA40)&AA40&COLUMN(AC40)&AC40&COLUMN(AE40)&AE40&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","アクセス制御","PR.AC-4","アクセスの許可及び認可が、最小権限の原則及び役割の分離の原則を組み入れて、管理されている。\n(システムに対するIDの発行、アクセス権限の付与が必要最小限となるよう、また利用者に対し個別のIDが発行されるよう管理している。)","共通IDを発行し、その共通IDが外部に漏えいした場合に、正規のユーザへのなりすましによって遠隔からシステムに不正アクセスされ、システムが不正操作される可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ユーザIDとアクセス権限が、業務上の要件と照らし合わせて最小限となるよう、ID発行時、権限付与時にチェックされている。\n2.\n 1に加え、\n ・IDは個人別に発行し、共用IDの発行、利用が禁止されている。共用 IDを使わざるを得ない場合は、セキュリティリスクの緩和策が導入されている。　　\n ・不要となったIDや権限がないか、定期的に見直されている。\n3.\n 2に加え、ID発行とアクセス権付与の管理・運用ルール（※）が文書で規定され、社内に遵守が求められている。\n（※）主なルール\n　　・ID発行、アクセス権限の付与は、システムの管理者の承認のもと行う\n　　・業務上の要件に基づき、最小限のID及びアクセス権限を付与する\n　　・異動や退職に伴うID、権限の消去を迅速に行う\n　　・定期的に棚卸を行い、不要なID、権限を特定・消去する\n4.\n 3に加え、ID発行とアクセス権付与の管理・運用ルールは、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-6条(推奨)\n第6-4条(推奨)","3.6(勧告)","指示5","-","第6-2条の5(推奨)\n第8-1条の1(推奨)","(4)-エ\n(4)-オ","指示5",5,"〇"]
[{"$f":"COLUMN(X41)&X41&COLUMN(Y41)&Y41&COLUMN(Z41)&Z41&COLUMN(AA41)&AA41&COLUMN(AC41)&AC41&COLUMN(AE41)&AE41&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","アクセス制御","PR.AC-5","ネットワークの完全性が、保護されている（例:ネットワークの分離、ネットワークのセグメント化）。\n(セキュリティレベルに応じたネットワーク分離を行っている。)","重要システムのネットワークに適切な防護措置がされず、通信経路上でデータを改ざんする中間者攻撃を受けて、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 重要度の高いシステムは、当該システム専用のネットワーク又は重要システム専用のネットワークに設置されている。\n2.\n 1に加え、\n ・重要度の高いシステムのネットワーク間の通信は最小化されており、接続点に防護措置が講じられている。　　\n ・ネットワーク間の通信は、他のネットワークを侵害しない方式や手続で行われている。\n3.\n 2に加え、\n ・ネットワークのセキュリティポリシー（ネットワーク分離及びネットワーク間の通信約に関わるポリシー等）が文書で規定され、すべてのシステムに遵守が求められている。　　\n ・会社の全てのシステムはその用途やセキュリティレベルにより分類され、レベルに応じたネットワークに配置されている。\n4.\n 3に加え、ネットワークのセキュリティポリシーは、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-1条(勧告)\n第5-2条(勧告)\n第5-6条(推奨)","3.6(勧告)","指示5","〇","第6-2条の1(推奨)\n第6-2条の2(A:勧告 BC:推奨)\n第6-2条の3(A:勧告 BC:推奨)\n第6-2条の6(推奨)","(4)-ア\n(4)-イ\n(4)-オ","指示5",5,"〇"]
[{"$f":"COLUMN(X42)&X42&COLUMN(Y42)&Y42&COLUMN(Z42)&Z42&COLUMN(AA42)&AA42&COLUMN(AC42)&AC42&COLUMN(AE42)&AE42&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","アクセス制御","PR.AC-6","IDは、ID利用者の本人確認がなされ、証明書に紐付けられ、インタラクションで使用されている。\n(システムが利用者の本人確認と利用資格の確認を行っている。)","利用者の本人確認がされず、悪意のある組織内外の関係者が正規ホストへなりすまし、システム内部に不正アクセスされ、システムが不正操作される可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムにおいて、IDによる利用者の本人確認が行われている。\n2.\n 1に加え、システムにおいて、利用者の本人確認後に、利用資格の確認と権限の付与が行われている。\n3.\n 2に加え、システムにおいて利用者の本人確認、利用資格の確認と権限の付与を行うことが文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、システムの認証機能で必要となる対策は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-6条(推奨)","3.6(勧告)","指示5","-","第6-2条の5(推奨)","(4)-オ","指示5",5,"〇"]
[{"$f":"COLUMN(X43)&X43&COLUMN(Y43)&Y43&COLUMN(Z43)&Z43&COLUMN(AA43)&AA43&COLUMN(AC43)&AC43&COLUMN(AE43)&AE43&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","アクセス制御","PR.AC-7","ユーザ、デバイス、その他の資産は、トランザクションのリスク（例:個人のセキュリティ及びプライバシー上のリスク、その他組織にとってのリスク）の度合いに応じた認証（例:多要素認証など）が行われている。\n(リスクに応じた認証方式を採用している)","重要システムに適切な認証方法が設定されず、第三者が正規のホストになりすまし、自組織で利用しているシステムに不正アクセスされ、システムが不正操作される可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムにおいて、IDによる利用者の本人確認が行われている（インターネット向けのWebサイトのような不特定多数に公開するシステムは除く）。\n2.\n 1に加え、システム重要度やリスクの高さに応じた認証方法（多要素認証、端末認証、生体認証等）が実施されている。\n3.\n 2に加え、システムの重要度やリスクの高さに応じた認証方法が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、会社が定める認証方法は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-6条(推奨)\n第6-4条(推奨)","3.6(勧告)","指示5","-","第6-2条の5(推奨)\n第8-1条の1(推奨)","(4)-エ\n(4)-オ","指示5",5,"〇"]
[{"$f":"COLUMN(X44)&X44&COLUMN(Y44)&Y44&COLUMN(Z44)&Z44&COLUMN(AA44)&AA44&COLUMN(AC44)&AC44&COLUMN(AE44)&AE44&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","意識向上及びトレーニング","PR.AT-1","すべてのユーザは、情報が周知され、トレーニングが実施されている。\n(セキュリティに関する社員の意識啓発や教育を実施している。)","悪意を持った自組織内の関係者が保護すべきデータを持ち出したことによって、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 組織内勤務者（役員、社員、パートタイマー、派遣社員、委託社員等組織内で勤務する人々）を対象に、セキュリティに関する啓発活動を行っている。\n2.\n 1に加え、\n ・組織内勤務者を対象に、定期的に情報セキュリティ研修が実施されている。　　\n ・新入社員や中途入社社員を対象に、入社後に情報セキュリティ研修が実施されている。\n3.\n 2に加え、会社のセキュリティ教育計画が立案され、実行されている。\n4.\n 3に加え、\n ・会社のセキュリティ教育計画は定期的に見直されている。　　\n ・会社のセキュリティ教育コンテンツは、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、人事","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-3条(勧告)\n第7-4条(勧告)","4.1(勧告)","指示3\n指示5","-","第2-3条(推奨)\n第10-4条(推奨)","(1)-ウ\n(6)-エ","指示3\n指示5","3\n5","〇"]
[{"$f":"COLUMN(X45)&X45&COLUMN(Y45)&Y45&COLUMN(Z45)&Z45&COLUMN(AA45)&AA45&COLUMN(AC45)&AC45&COLUMN(AE45)&AE45&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","意識向上及びトレーニング","PR.AT-2","権限を持つユーザが、自身の役割と責任を理解している。\n(システム利用者が、自身が実施すべきセキュリティ対策とその責任を理解している。)","セキュリティ責任を理解していない自組織内の関係者が不正にデータを改ざんすることで、システムの異常動作等の意図しない動作が生じる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ユーザIDとパスワードはシステム利用者本人が管理している。\n2.\n 1に加え、システム利用における役割と責任（※）がシステム利用者に明示的に伝えられている。\n（※）役割と責任の例\n　　・適切なIDとパスワードの管理\n　　・セキュリティパッチの定期的な適用\n　　・業務外利用の禁止\n　　・不正アクセスの禁止\n　　・業務情報の持ち出しの禁止\n　　・機器、記憶媒体の適切な取り扱い 等\n3.\n 2に加え、システム利用者の役割と責任が文書で規定され、社内に周知されている。\n4.\n 3に加え、システム利用者の役割と責任は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、人事","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)","4.1(勧告)","指示3","-","第2-2条の2(推奨)","(1)-イ","指示3",3,"〇"]
[{"$f":"COLUMN(X46)&X46&COLUMN(Y46)&Y46&COLUMN(Z46)&Z46&COLUMN(AA46)&AA46&COLUMN(AC46)&AC46&COLUMN(AE46)&AE46&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","意識向上及びトレーニング","PR.AT-3","第三者である利害関係者（例:サプライヤー、顧客、パートナー）が、自身の役割と責任を理解している。\n（サプライヤーやパートナーが、セキュリティ管理における役割と責任を理解している。）","セキュリティ責任を理解していない利害関係者が不正にデータを改ざんすることで、機器の破損等の意図しない品質劣化が生じる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、サプライヤーやパートナーのセキュリティ管理上の役割と責任が明確化され、相手に伝えられている。\n2.\n 1に加え、 \n ・サプライヤーやパートナーのセキュリティ管理上の役割と責任が、必要に応じて契約書等で明確化されている。　　\n ・システムのユーザIDを持つパートナー等を対象に、セキュリティ研修が実施されている。\n3.\n 2に加え、サプライヤーやパートナーが、適切なセキュリティ活動を実施しているか、定期的にモニタリングされている。\n4.\n 3に加え、サプライヤーやパートナーのセキュリティ管理上の役割と責任は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)","-","指示3","-","第2-2条の2(推奨)","(1)-イ","指示3",3,"〇"]
[{"$f":"COLUMN(X47)&X47&COLUMN(Y47)&Y47&COLUMN(Z47)&Z47&COLUMN(AA47)&AA47&COLUMN(AC47)&AC47&COLUMN(AE47)&AE47&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","意識向上及びトレーニング","PR.AT-4","上級役員（セキュリティ担当役員）が、自身の役割と責任を理解している。\n（任命されたセキュリティ責任者が、セキュリティに関する責任を担い、役割を発揮している。）","上級役員の判断の遅れにより、自組織のセキュリティインシデントに対して適切な対応がなされず、自組織が事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n セキュリティ責任者が設置されている。\n2.\n 1に加え、会社のセキュリティに関わる重要な事柄は、経営層が判断している。\n3.\n 2に加え、会社において役員から最高セキュリティ責任者が任命され、情報セキュリティに関わるすべての責任を担っている。\n4.\n 3に加え、経営層のセキュリティ上の役割と責任が正しく発揮されているか、社内及び社外からの視点で定期的に評価されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、経営層","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)","4.1(勧告)","指示3","〇","第2-2条の2(推奨)","(1)-イ","指示3",3,"〇"]
[{"$f":"COLUMN(X48)&X48&COLUMN(Y48)&Y48&COLUMN(Z48)&Z48&COLUMN(AA48)&AA48&COLUMN(AC48)&AC48&COLUMN(AE48)&AE48&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","意識向上及びトレーニング","PR.AT-5","物理セキュリティ及びサイバーセキュリティの担当者が、自身の役割と責任を理解している。\n（物理的なサイバーセキュリティ確保の担当者が、対策を実施・管理している。）","重要区画に対して物理的対策がされず、社内関係者が重要区画に不正に侵⼊し、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムの物理的な保護、サイバーセキュリティの確保を行うための責任者が各々定めらている。\n2.\n 1に加え、システムは物理的に安全な場所に設置され、サイバー攻撃からの保護対策が実施されている。\n3.\n 2に加え、システムの物理的なセキュリティ対策、サイバーセキュリティ対策が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、システムの物理的な保護、サイバーセキュリティの確保状況が定期的に確認され、必要に応じて是正されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)","4.1(勧告)","指示3","-","第2-2条の2(推奨)","(1)-イ","指示3",3,"〇"]
[{"$f":"COLUMN(X49)&X49&COLUMN(Y49)&Y49&COLUMN(Z49)&Z49&COLUMN(AA49)&AA49&COLUMN(AC49)&AC49&COLUMN(AE49)&AE49&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","データセキュリティ","PR.DS-1","保存されているデータが、保護されている。\n(システムや電子記憶媒体に保存した重要なデータに対して、セキュリティ対策を行っている。)","重要なデータに対する対策が不十分であり、データが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システム上や電子記憶媒体で保有する情報・データは、重要度・機密度に応じた分類が行われており、重要なデータが特定されている。\n2.\n 1に加え、\n ・重要なデータに対して必要に応じてデータ保護対策（暗号化、アクセス権の設定、アクセス履歴・変更履歴の取得、アクセス履歴のモニタリング等）が行われている。　　\n ・開発・テスト環境に本番用データを配置することが禁止されている。\n3.\n 2に加え、\n ・重要度による情報分類が、文書で規定されている。\n ・情報の重要度に応じたセキュリティ対策が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、情報の分類基準及びデータ保護に関わるセキュリティ対策は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-3条(推奨)\n第6-2条(推奨)","3.6(勧告)","指示5","-","第6-1条(推奨)\n第8-3条(推奨)","(4)-ウ\n(5)-イ","指示5",5,"〇"]
[{"$f":"COLUMN(X50)&X50&COLUMN(Y50)&Y50&COLUMN(Z50)&Z50&COLUMN(AA50)&AA50&COLUMN(AC50)&AC50&COLUMN(AE50)&AE50&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","データセキュリティ","PR.DS-2","伝送中のデータが、保護されている。\n(伝送中の重要なデータに対し、セキュリティ対策を行っている。)","重要データの伝送において正しい対策がされず、中間者攻撃を受けて、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 重要な伝送中のデータが把握されている。\n2.\n 1に加え、伝送中のデータは重要度に応じて、情報漏えいやデータ改ざん、なりすまし等の攻撃を防止するためのセキュリティ対策（暗号化通信、専用線、VPN等の利用、通信内の業務情報の暗号化、通信内のパスワード情報の暗号化等）が実施されている。\n3.\n 2に加え、伝送中のデータに対するセキュリティ対策が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、伝送中のデータに対するセキュリティ対策は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-3条(推奨)","3.6(勧告)","指示5","-","第6-1条(推奨)","(4)-ウ","指示5",5,"〇"]
[{"$f":"COLUMN(X51)&X51&COLUMN(Y51)&Y51&COLUMN(Z51)&Z51&COLUMN(AA51)&AA51&COLUMN(AC51)&AC51&COLUMN(AE51)&AE51&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","データセキュリティ","PR.DS-3","資産は、撤去、譲渡、廃棄に至るまで、正式に管理されている。\n（システムの撤去、譲渡、廃棄方法が定義・運用されている。）","不正な機器がシステムに接続され、故障や正確でないデータの送信などが発生する可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムのライフサイクルが定義され、システムの企画、設計、開発、移行、運用・保守、廃止のすべての工程を含んでいる。\n2.\n 1に加え、システムの廃止を行う際、組織の責任者の承認を得て実施されている。また機器の廃棄やデータの消去を行う際、不正利用できない形で正しく廃棄又は消去されたことを確認している。\n3.\n 2に加え、システムの廃止に伴う社内の手続き及び廃止手順（機器・情報の安全な廃棄、資産管理・構成管理における変更の反映）が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、システム廃止におけるセキュリティ上の対策や管理策は、社内外の最新の情報・動静を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第6-2条(推奨)","3.6(勧告)","指示5","-","第8-3条(推奨)","(3)-ア","指示5",5,"〇"]
[{"$f":"COLUMN(X52)&X52&COLUMN(Y52)&Y52&COLUMN(Z52)&Z52&COLUMN(AA52)&AA52&COLUMN(AC52)&AC52&COLUMN(AE52)&AE52&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","データセキュリティ","PR.DS-4","可用性を確保するのに十分な容量が、維持されている。\n（システムの安定稼働を行うためのリソースが想定・確保されている。）","システム障害に対する対策が不足し、システムを構成するIT機器、通信機器等が高負荷攻撃を受けて、IT機器や通信機器の機能が停止する可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 性能不足、容量不足を起因とするシステム障害が発生した場合、都度リソース追加（CPU、メモリ、ディスク、通信帯域等）等により対処している。\n2.\n 1に加え、システムの安定稼働を実現するため、システムの企画・開発の工程において性能目標及び必要なリソースが決定されている。また運行中のシステムは、性能データ（パフォーマンス：処理数や処理時間等の統計情報、リソース使用率：CPU/メモリ/ディスク使用率、NWトラフィック量、回線使用率等）が収集・分析され、必要に応じて増強が行われている。\n3.\n 2に加え、\n ・可用性を確保することが文書で規定され、システムに対する十分なリソースの確保と、継続的な性能データの収集・分析が実施されている。　　\n ・会社の重要サービスは、過去の稼働状況が可用性の目標を満たしているか定期的に確認されている。\n4.\n 3に加え、可用性の目標が、会社の事業戦略と照らして整合しているか定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","指示5","-","-","-","指示5",5,"〇"]
[{"$f":"COLUMN(X53)&X53&COLUMN(Y53)&Y53&COLUMN(Z53)&Z53&COLUMN(AA53)&AA53&COLUMN(AC53)&AC53&COLUMN(AE53)&AE53&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","データセキュリティ","PR.DS-5","データ漏えいに対する防御対策が、実装されている。\n（重要なデータの特定とそのデータに対する情報漏えい対策を管理・実施している。）","重要なデータが暗号化されず、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・システム上や電子記憶媒体で保有する情報・データは、重要度・機密度に応じた分類が行われており、重要なデータが特定されている。　　\n ・重要度の高いシステムは、当該システム専用のネットワーク又は重要システム専用のネットワークに設置されている。\n2.\n 1に加え、\n ・保有する重要な情報に対し、システムの機能面・運用面における必要な情報漏えい対策（通信やデータの暗号化、ユーザ認証機能の導入、アクセス権限の設定、情報漏えい対策製品の導入、外部記憶媒体の接続制限、メンテナンス作業のチェック・承認、ネットワークのセグメント化・分離等）が実施されている。　　\n ・重要度の高いシステムのネットワーク間の通信は最小化されており、接続点に防護措置が講じられている。　　\n ・ネットワーク間の通信は、他のネットワークを侵害しない方式や手続で行われている。\n ・開発・テスト環境に本番用データを配置することが禁止されている。\n3.\n 2に加え、情報漏えい対策が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、\n ・情報漏えい対策は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n ・情報漏えい対策が正しく機能しているか定期的に確認が行われ、必要に応じて是正されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-2条(勧告)\n第6-2条(推奨)","3.6(勧告)","指示5","-","第6-2条の3(A:勧告 BC:推奨)\n第8-3条(推奨)","(4)-イ\n(5)-イ","指示5",5,"〇"]
[{"$f":"COLUMN(X54)&X54&COLUMN(Y54)&Y54&COLUMN(Z54)&Z54&COLUMN(AA54)&AA54&COLUMN(AC54)&AC54&COLUMN(AE54)&AE54&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","データセキュリティ","PR.DS-6","完全性チェックメカニズムが、ソフトウェア、ファームウェア、及び情報の完全性を検証するために使用されている。\n(システムの改ざんを管理・検証している。)","システムのファイル更新の検証不足のため、不正のアップデートが実施され、保護すべきデータが改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 重要システムにおいて、重要なファイルが改ざんされた場合、事後に確認できる（本番環境とバックアップ又はリポジトリに保存したファイルの比較等）。\n2.\n 1に加え、重要システム又は攻撃を受ける可能性の高いシステムは、不正なファイル更新等がなかったか確認されている。\n3.\n 2に加え、\n ・システムのソフトウェア、ファームウェア及びデータについて想定外の変更や改ざんを検知するための仕組み（機能・運用）の導入とその運用方法が文書で規定されている。\n ・重要システム又は攻撃を受ける可能性が高いシステムは、改ざん検知機能が実装され、監視が行われている。\n4.\n 3に加え、重要システム又は攻撃を受ける可能性が高いシステムは、リアルタイムで改ざんが検知・通知される仕組みがある。また、改ざん前の状態に復旧するための機能が備わっている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-6条(推奨)\n第6-1条(推奨)","3.6(勧告)","指示5","-","第5-1条(推奨)\n第6-2条の4(推奨)","(4)-オ\n(5)-ア","指示5",5,"〇"]
[{"$f":"COLUMN(X55)&X55&COLUMN(Y55)&Y55&COLUMN(Z55)&Z55&COLUMN(AA55)&AA55&COLUMN(AC55)&AC55&COLUMN(AE55)&AE55&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","データセキュリティ","PR.DS-7","開発・テスト環境が、実稼働環境から分離されている。\n（システムの本番環境と開発・テスト環境のネットワークが分離されている。）","開発中の脆弱性があるパッチが間違ってIT機器に適用されたことによって、脆弱性を悪用した不正アクセスが行われ、事前に想定されていない動作をする可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 重要システムは、開発・テスト環境が用意されている。\n2.\n 1に加え、\n ・システムの本番環境と開発・テスト環境の用途が定められ、両環境のネットワークが分離されている。　　\n ・開発・テスト環境に本番用データを配置することが禁止されている。\n3.\n 2に加え、システムの本番環境と開発・テスト環境を明確に分離することが文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、開発・テスト環境の運用状況が定期的に確認され、必要に応じて是正されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","指示5","-","-","-","指示5",5,"〇"]
[{"$f":"COLUMN(X56)&X56&COLUMN(Y56)&Y56&COLUMN(Z56)&Z56&COLUMN(AA56)&AA56&COLUMN(AC56)&AC56&COLUMN(AE56)&AE56&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","データセキュリティ","PR.DS-8","完全性チェックメカニズムが、ハードウェアの完全性を検証するために使用されている。\n(システムの構成機器の完全性（不正な変更など）を確認している。)","正規の機器を模した偽造品の挿入によって、システムの異常動作等の意図しない動作が生じる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 重要システムの構成機器が設置されている環境は、想定外の物理アクセスを防ぐ対策（部屋の施錠や入退室管理等）が実施されている。\n2.\n 1に加え、重要システムの構成機器に対する不正な変更が把握（ハードウェア管理簿等から本来の機器構成を比較する、封印シール等から構成機器に対する変更の形跡を確認する等）できる。\n3.\n 2に加え、システムの構成機器に対する不正な変更の把握について、実施対象、確認頻度等が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、システムの構成機器に対する不正な変更の確認について、社内外の最新の情報・動静を踏まえ、対象や確認内容を定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-6条(推奨)\n第6-1条(推奨)","3.2(推奨)","指示5","-","第5-1条(推奨)\n第6-2条の4(推奨)","(4)-オ\n(5)-ア","指示5",5,"〇"]
[{"$f":"COLUMN(X57)&X57&COLUMN(Y57)&Y57&COLUMN(Z57)&Z57&COLUMN(AA57)&AA57&COLUMN(AC57)&AC57&COLUMN(AE57)&AE57&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-1","情報技術/産業用制御システムのベースラインとなる構成は、セキュリティ原則（例:最低限の機能性の概念）を組み入れて、定められ、維持されている。\n(セキュリティを考慮したシステムの設計標準を作成・利用している。)","セキュリティ設計が不十分のため、システムに残存したセキュリティ上の脆弱性が悪用され、自組織のシステムが停止する可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 会社のシステム開発は、統一された設計標準を利用して行われている。\n2.\n 1に加え、\n ・会社のシステム設計標準は、セキュリティ設計が反映されている。　　\n ・システムの企画・設計において、セキュリティ対策やセキュリティ機能の導入が考慮され、設計に反映されている。\n3.\n 2に加え、重要なシステムの企画・設計・大幅な変更において、セキュリティ設計レビューが行われている。\n4.\n 3に加え、システムのセキュリティ設計は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。またその変更が会社の設計標準に反映されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第6-1条(推奨)","3.2(推奨)","-","-","第5-1条(推奨)","(5)-ア","-","-","〇"]
[{"$f":"COLUMN(X58)&X58&COLUMN(Y58)&Y58&COLUMN(Z58)&Z58&COLUMN(AA58)&AA58&COLUMN(AC58)&AC58&COLUMN(AE58)&AE58&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-2","システムを管理するためのシステム（開発）ライフサイクルが、実装されている。\n(システムのライフサイクルを定義・運用している。)","システムの運用・保守段階で実施すべき事項の検討不足により、システムにおけるセキュリティ上の脆弱性を利⽤しマルウェア感染され、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムのライフサイクルが定義され、システムの企画、設計、開発、移行、運用・保守、廃止のすべての工程を含んでいる。\n2.\n 1に加え、社内の組織ごとに、システムのライフサイクルにおける各工程が管理され、要求事項の達成状況、品質、コスト等がチェックされている。\n3.\n 2に加え、システムのライフサイクル管理の手順や手続きが文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、システムのライフサイクル管理の手順や手続きが、社内で正しく実施されているか定期的に確認され、必要に応じて是正されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第6-1条(推奨)","-","-","-","第5-1条(推奨)","(5)-ア","-","-","〇"]
[{"$f":"COLUMN(X59)&X59&COLUMN(Y59)&Y59&COLUMN(Z59)&Z59&COLUMN(AA59)&AA59&COLUMN(AC59)&AC59&COLUMN(AE59)&AE59&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-3","構成変更管理プロセスは、策定されている。\n（システムの構成変更管理プロセスが策定・運用されている。）","構成管理変更が正しく管理されず、システムに残存した脆弱性を悪用して不正アクセスされ、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、システムの構成変更管理（※）が実施されている。\n※構成変更管理\n　　・変更に対する管理責任者の承認\n　　・変更前の検証実施／変更後の動作確認\n　　・関係者への事前周知\n　　・作業内容、変更履歴の記録\n2.\n 1に加え、社内の組織ごとに、所管する全てのシステムの構成変更管理を統制している。\n3.\n 2に加え、システムの構成変更管理に関わる手順、手続きが文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、システムの構成変更管理が正しく運用されているか定期的に確認され、必要に応じて是正されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第6-1条(推奨)","3.6(勧告)","-","-","第5-1条(推奨)","-","-","-","〇"]
[{"$f":"COLUMN(X60)&X60&COLUMN(Y60)&Y60&COLUMN(Z60)&Z60&COLUMN(AA60)&AA60&COLUMN(AC60)&AC60&COLUMN(AE60)&AE60&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-4","情報のバックアップが、実施され、維持され、テストされている。\n（システム復旧に必要なデータがバックアップされ、復旧テストが行われている。）","情報のバックアップがないため、自組織のセキュリティインシデントから復旧できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システム復旧に必要なデータが把握されている。\n2.\n 1に加え、\n ・システム復旧に必要なデータがバックアップされている。　　\n ・システム復旧のためのバックアップは、システム構成の復旧と業務データの復旧の両方が考慮されている。　　\n ・業務データのバックアップは、重要度や業務上の要件に応じて、頻度やタイミング、保存期間、別置保管、冗⾧化、世代管理等が決定されている。　　\n ・システムの重要度や業務上の要件に応じて、復旧テストが行われている。\n3.\n 2に加え、バックアップの実施とシステムの重要度に応じた対応は文書で規定され、社内に伝えられている。\n4.\n 3に加え、会社のシステムのバックアップ運用・管理が正しく行われているか定期的に確認され、必要に応じて是正されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第6-2条(推奨)","-","-","-","第8-3条(推奨)\n","(5)-イ","-","-","〇"]
[{"$f":"COLUMN(X61)&X61&COLUMN(Y61)&Y61&COLUMN(Z61)&Z61&COLUMN(AA61)&AA61&COLUMN(AC61)&AC61&COLUMN(AE61)&AE61&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-5","組織の資産の物理的な運用環境に関するポリシーと規制が、満たされている。\n（システム環境の運用対策（例：災害対策、入退室管理など）が規定・運用されている。）","入退室管理が正しく実施されず、悪意を持った自組織内外の関係者による計測機能に対する不正行為が行われ、システムが停止する可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムは、重要度と業務上の必要性に応じて施錠され、災害対策を考慮した環境（火災・煙・水・埃・振動・化学物質・電源・電磁波等の影響を最小限に抑えた環境）に設置されている。\n2.\n 1に加え、会社が保有するシステムの設置施設（データセンター、セキュリティ区画等）は物理的な隔離と施錠が行われ、入退室管理（人物特定と入室の承認・記録）及び常時監視が行われている。また自然災害、人的災害等の災害に対する安全性を考慮し、防災設備、非常電源等が備わり、法律等で決められた点検を実施している。\n3.\n 2に加え、システムの設置場所に求めるセキュリティ対策、防災対策が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、システムの設置場所に求めるセキュリティ対策、防災対策は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第6-2条(推奨)\n第6-6条(勧告)\n第6-7条(推奨)","-","-","-","第8-2条(推奨)\n第9-1条(推奨)","(5)-イ","-","-","〇"]
[{"$f":"COLUMN(X62)&X62&COLUMN(Y62)&Y62&COLUMN(Z62)&Z62&COLUMN(AA62)&AA62&COLUMN(AC62)&AC62&COLUMN(AE62)&AE62&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-6","データは、ポリシーに従って破壊されている。\n(データ消去又は読み取りできない状態にする場合は、不正利用を防ぐよう対策している。)","データが残存する廃棄済みの記録媒体が、悪意を持った自組織内外の関係者に持ち出されたことによって、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムや外部記憶媒体は、保存された業務データが消去されてから廃棄されている。\n2.\n 1に加え、システムや外部記憶媒体のデータ消去が、適切な方式を用いて実施（※）されていることを確認している。\n（※）適切なデータ消去の例\n　　・情報・データを消去する場合は、不正なデータの復元を防ぐ方式により処理している\n　　・データ消去や記憶媒体の廃棄を外部の業者に委託する場合は、データが完全に消去されたことを確認するため、委託先企業から報告書を受領している\n　　・会社の業務情報が、業務の委託やクラウドサービスの契約終了時に復元不可能な形で消去されることを事前に確認している。また契約終了後に完全に消去されたことについて報告を受けている\n3.\n 2に加え、データの消去方法が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、データ消去がルールに則って正しく運用されているか定期的に確認され、必要に応じて是正されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第6-2条(推奨)","-","-","-","第8-3条(推奨)","(5)-イ","-","-","〇"]
[{"$f":"COLUMN(X63)&X63&COLUMN(Y63)&Y63&COLUMN(Z63)&Z63&COLUMN(AA63)&AA63&COLUMN(AC63)&AC63&COLUMN(AE63)&AE63&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-7","防御プロセスは、改善されている。\n(セキュリティ関連情報を収集して、セキュリティ対策の改善を図っている。)","最新の脆弱性情報が把握できず、システムにおけるセキュリティ上の脆弱性を利⽤しマルウェア感染され、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 社外の情報ソース（セキュリティニュース、セキュリティイベントへの参加、社外のCSIRT組織との交流、セキュリティベンダーからの情報収集等）をモニタリングし、新しい攻撃手法や脆弱性に関する情報が収集している。\n2.\n 1に加え、収集した新しい攻撃手法や脆弱性に関する情報を分析し、セキュリティ対策を改善している。\n3.\n 2に加え、会社の取り組みとして、攻撃手法や脆弱性に関する情報が収集され、全社のセキュリティ対策に反映されている。\n4.\n 3に加え、会社が行うセキュリティ対策の有効性が定期的に評価され、見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-3条(勧告)\n第7-4条(勧告)","3.3(推奨)\n4.1(勧告)","指示6","-","第10-3条(推奨)\n第10-4条(推奨)","(6)-ウ\n(6)-エ","指示6",6,"〇"]
[{"$f":"COLUMN(X64)&X64&COLUMN(Y64)&Y64&COLUMN(Z64)&Z64&COLUMN(AA64)&AA64&COLUMN(AC64)&AC64&COLUMN(AE64)&AE64&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-8","防御技術の有効性に関する情報が、共有されている。\n(最新のセキュリティ対策技術の収集と共有が行われている。)","最新の脆弱性情報が把握できず、システムにおけるセキュリティ上の脆弱性を利⽤しマルウェア感染され、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 社外の情報ソース（セキュリティニュース、セキュリティイベントへの参加、社外のCSIRT組織との交流、セキュリティベンダーからの情報収集等）をモニタリングし、新しいセキュリティ技術情報を継続的に収集している。\n2.\n 1に加え、収集したセキュリティ技術情報が分析されている。\n3.\n 2に加え、\n ・分析されたセキュリティ技術情報は、社内の関係者に共有されている。　　\n ・会社にとって有益なセキュリティ技術は、会社のセキュリティ対策に反映されている。\n4.\n 3に加え、セキュリティ技術情報の収集活動及び情報の活用が、効果的・効率的であるか検証され、定期的に活動の見直し（情報ソースの見直し、情報共有範囲の見直し等）が図られている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-1条(勧告)","4.1(勧告)","指示9","-","第10-1条(推奨)","(6)-ア","指示9","-","〇"]
[{"$f":"COLUMN(X65)&X65&COLUMN(Y65)&Y65&COLUMN(Z65)&Z65&COLUMN(AA65)&AA65&COLUMN(AC65)&AC65&COLUMN(AE65)&AE65&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-9","対応計画と復旧計画が、策定され、管理されている。\n(セキュリティインシデントが発生した場合のインシデント対応計画、業務継続計画、システム復旧計画を策定している。)","システム復旧計画の検討不足のため、セキュリティインシデントが発生した際に、適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システム故障等を対象とした業務継続計画やシステム復旧計画が作成されている。\n2.\n 1に加え、セキュリティインシデントが発生した場合のインシデント対応計画、業務継続計画、システム復旧計画が策定され、関係者で共有されている。\n3.\n 2に加え、セキュリティインシデントが発生した場合のインシデント対応計画、業務継続計画、システム復旧計画が、会社の業務継続計画と整合していることが確認されている。\n4.\n 3に加え、セキュリティインシデントが発生した場合のインシデント対応計画、業務継続計画、システム復旧計画は、社内外の最新の情報・動静を踏まえ必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-2条(勧告)","4.1(勧告)","指示7\n指示8","-","第10-2条(推奨)","(6)-イ","指示7\n指示8",7,"〇"]
[{"$f":"COLUMN(X66)&X66&COLUMN(Y66)&Y66&COLUMN(Z66)&Z66&COLUMN(AA66)&AA66&COLUMN(AC66)&AC66&COLUMN(AE66)&AE66&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-10","対応計画と復旧計画が、テストされている。\n(セキュリティインシデントが発生した場合のインシデント対応計画、業務継続計画、システム復旧計画について、訓練や演習を行っている。)","システム復旧テストを実施できておらず、セキュリティインシデントが発生した際に、関係する他組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システム開発時に、システム障害からの復旧テストが行われている。\n2.\n 1に加え、セキュリティインシデントが発生した場合のインシデント対応計画は、机上又は実地で訓練が行われ、実現性や整合性が確認されている。\n3.\n 2に加え、セキュリティインシデントが発生した場合の業務継続計画、システム復旧計画は、机上又は実地で訓練が行われ、実現性や整合性が確認されている。\n4.\n 3に加え、セキュリティインシデントが発生した場合のインシデント対応計画、業務継続計画、システム復旧計画は、訓練の結果を踏まえ必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-2条(勧告)\n第7-4条(勧告)","3.6(勧告)","指示7\n指示8","-","第10-2条(推奨)\n第10-4条(推奨)","(6)-イ\n(6)-エ","指示7\n指示8",7,"〇"]
[{"$f":"COLUMN(X67)&X67&COLUMN(Y67)&Y67&COLUMN(Z67)&Z67&COLUMN(AA67)&AA67&COLUMN(AC67)&AC67&COLUMN(AE67)&AE67&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-11","サイバーセキュリティには、人事に関わるプラクティス（例:アクセス権限の無効化、人員のスクリーニング）が含まれている。\n（人員の採用時・退職時・異動時にサイバーセキュリティを考慮した対策が実施されている。）","退職する社員が把握していたセキュリティに関する重要データが漏えいする可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・役員、社員、パートタイマー、派遣社員に対して、採用時に守秘義務契約を取り交わしている。\n ・社外から派遣社員や委託社員を受け入れる際、派遣元会社や委託先会社の信頼度や安全性の確認が行われており、当該社員と当該会社の間で守秘義務契約を取り交わしている。\n ・組織内勤務者（役員、社員、パートタイマー、派遣社員、委託社員等組織内で勤務する人々）は情報セキュリティを遵守し業務にあたる義務があること、違反時に罰則があることが文書で規定されている。　　\n ・役員、社員、パートタイマーの退職時のセキュリティに関わる運用　　\n ・手続き（アクセス権限の変更・消去、アカウントの消去、機密保持の宣誓、返却物のチェック等）が文書で規定され、実施されている。\n2.\n 1に加え、\n ・社員の異動時のセキュリティに関わる運用・手続きが文書で規定され、当該社員の権限が迅速に変更されている。　　\n ・主要なセキュリティ担当者を特定し、知識の記録（文書化）、知識の共有、後継者育成等により、特定者への依存を最小限に抑えている。\n3.\n 2に加え、\n ・主要なセキュリティ担当者が異動する場合には引継ぎ計画が立てられている。　　\n ・組織の達成目標を実現するためにセキュリティ担当者に要求されるレベルの知識、スキルや遂行能力を維持できるように継続的な学習機会を提供する。\n4.\n 3に加え、社員の異動や退職時のセキュリティに関わる運用・手続きは、社内で発生したセキュリティ事故等を踏まえ、必要に応じて見直されている。\n","リスク/法務、人事","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)\n第6-4条(推奨)","-","-","-","第2-2条の1(A:勧告 BC:推奨)\n第2-2条の2(推奨)\n第8-1条の1(推奨)\n","(1)-イ\n(4)-エ","-","-","〇"]
[{"$f":"COLUMN(X68)&X68&COLUMN(Y68)&Y68&COLUMN(Z68)&Z68&COLUMN(AA68)&AA68&COLUMN(AC68)&AC68&COLUMN(AE68)&AE68&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","情報を保護するためのプロセス及び手順","PR.IP-12","脆弱性管理計画が、作成され、実装されている。\n（脆弱性情報を収集・特定し、対応手順が管理されている。）","最新の脆弱性情報が把握できず、システムにおけるセキュリティ上の脆弱性を利⽤しマルウェア感染され、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 脆弱性情報の提供元（各ISAC、各CERT、業界団体、ベンダー、政府機関、内部監査等）を特定している。\n2.\n 1に加え、\n ・システムに関連する脆弱性情報を入手している。　　\n ・リスクアセスメントや電子的侵入テスト等により、システムが持つ脆弱性が特定されている。\n3.\n 2に加え、システムの脆弱性は、特定から対応完了に至るまでの管理手順（※）が文書で規定され、社内に遵守が求められている。\n（※）管理手順に含むべき対応の例\n　　・脆弱性診断、リスクアセス\n　　・発生頻度、影響度の評価\n　　・リスク受容可否、対応優先度の決定\n　　・対応計画の策定\n　　・対応実施状況の管理\n4.\n 3に加え、システムの脆弱性の対応状況は定期的に確認され、必要に応じて是正されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第6-5条(推奨)","4.1(勧告)","指示5","-","第8-4条(推奨)","(4)-エ","指示5",5,"〇"]
[{"$f":"COLUMN(X69)&X69&COLUMN(Y69)&Y69&COLUMN(Z69)&Z69&COLUMN(AA69)&AA69&COLUMN(AC69)&AC69&COLUMN(AE69)&AE69&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","保守","PR.MA-1","組織の資産の保守と修理は、承認・管理されたツールを用いて実施され、ログが記録されている。\n(システム上の作業は、承認を受け、手順に則って行われ、記録されている。)","システム上の作業が記録されないことで、インシデント発生時の原因が特定できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システム上で行う作業は、常にシステムの管理者に報告されている。\n2.\n 1に加え、\n ・システム上の作業は、作業者、作業日時、作業内容が記録されている。　　\n ・システム上の作業は、すべて事前に手順が検証され、承認された上で実施されている。\n3.\n 2に加え、システム上の作業実施に関するルール（作業の事前承認、手順の事前検証、作業実施の記録）が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、システム上の作業実施に関するルールについて、定期的に遵守状況が確認され、必要に応じて是正されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-7条(勧告)\n第5-8条(推奨)","3.3(推奨)","-","-","第8-1条の4(推奨)","(6)-ア","-","-","〇"]
[{"$f":"COLUMN(X70)&X70&COLUMN(Y70)&Y70&COLUMN(Z70)&Z70&COLUMN(AA70)&AA70&COLUMN(AC70)&AC70&COLUMN(AE70)&AE70&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","保守","PR.MA-2","組織の資産に対する遠隔保守は、承認を得て、ログが記録され、不正アクセスを防止した形式で実施されている。\n(遠隔保守用の回線を保護し、アクセスを制限・管理している。)","遠隔保守用の回線が不正アクセスされ、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムに対する遠隔保守の接続元が制限されている。\n2.\n 1に加え、\n ・システムの遠隔保守用の回線は、防護、監視のための機器（防護装置としてファイアウォール、IPS等、監視装置としてIDS等）が導入されている。　　\n ・遠隔保守のための接続は、都度システムの責任者が承認し、ログ等を用いて不正な接続がないことを確認している。\n3.\n 2に加え、\n ・システムの遠隔保守に対するセキュリティ対策・管理基準が文書で規定され、社内に遵守が求められている。　　\n ・遠隔保守のための接続を常時監視している。\n4.\n 3に加え、遠隔保守に対するセキュリティ対策・管理基準は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-7条(勧告)\n第5-8条(推奨)","3.3(推奨)","-","-","第8-1条の4(推奨)","(6)-ア","-","-","〇"]
[{"$f":"COLUMN(X71)&X71&COLUMN(Y71)&Y71&COLUMN(Z71)&Z71&COLUMN(AA71)&AA71&COLUMN(AC71)&AC71&COLUMN(AE71)&AE71&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","保護技術","PR.PT-1","監査記録/ログ記録の対象が、ポリシーに従って決定され、文書化され、実装され、その記録をレビューされている。\n(システムの重要度によってログの取得・保護を実施している。)","システムのログが取得されないことで、インシデント発生時の原因が特定できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムの重要度に応じて取得すべきログが決定され、取得されている。\n2.\n 1に加え、取得されたログは、システムの重要度に応じて保護（別のサーバや外部記憶媒体でのログ保管等）されている。\n3.\n 2に加え、\n ・ログの取得及び保管は文書で規定され、社内に遵守が求められている。　　\n ・ログ設計が会社のシステム設計標準に組み込まれ、すべてのシステムで実装されている。\n4.\n 3に加え、ログの取得範囲や対象を、社内外の最新の動向や過去のインシデント事例等を参考に妥当性を評価し、定期的に見直している。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-7条(勧告)\n第5-8条(推奨)","3.3(推奨)","-","-","第8-1条の4(推奨)","(6)-ア","-","-","〇"]
[{"$f":"COLUMN(X72)&X72&COLUMN(Y72)&Y72&COLUMN(Z72)&Z72&COLUMN(AA72)&AA72&COLUMN(AC72)&AC72&COLUMN(AE72)&AE72&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","保護技術","PR.PT-2","リムーバブルメディアは、保護され、その使用がポリシーに従って制限されている。\n(外部記憶媒体のルールが策定され、運用されている。)","外部記録媒体が管理されず、悪意ある関係者が保護すべきデータを不正に持出すことによって、保護すべきデータが漏えい・改ざんする可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 外部記憶媒体は独自に管理されている。\n2.\n 1に加え、外部記憶媒体の管理ルール（※）が定められ、運用されている。\n（※）管理ルールの例\n　　・外部記憶媒体（USBメモリ、外付けハードディスク、書き込み可能なDVD、CD-R等）は、管理台帳で管理されており、管理台帳にない外部記憶媒体（私物等）の利用は禁止されている\n　　・外部記憶媒体の管理責任者を定めている。また外部記憶媒体を利用する際は都度、管理責任者の承認を得ている\n　　・会社のPC又はシステムに外部記憶媒体を接続する場合は、事前にウイルスチェックを行っている\n3.\n 2に加え、外部記憶媒体（リムーバブルメディア）の管理・運用方法（台帳管理、貸し出し承認等）は、文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、外部記憶媒体の管理・運用が適切に実施されているかどうか定期的に確認され、必要に応じて是正されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-6条(推奨)\n第6-2条(推奨)","3.6(勧告)","-","-","第6-2条の4(推奨)\n第8-2条(推奨)","(4)-エ\n(4)-オ","-","-","〇"]
[{"$f":"COLUMN(X73)&X73&COLUMN(Y73)&Y73&COLUMN(Z73)&Z73&COLUMN(AA73)&AA73&COLUMN(AC73)&AC73&COLUMN(AE73)&AE73&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","保護技術","PR.PT-3","最低限の機能性の原則が、必須の機能のみ提供するようにシステムを構成することによって組み入れられている。\n(システムはユーザやクライアントに応じて、必要最低限の機能を提供している。)","重要システムに適切な認証方法が設定されず、第三者が正規のホストになりすまし、自組織で利用しているシステムに不正アクセスされ、システムが不正操作される可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムは認証機能を実装している。\n2.\n 1に加え、システムへのアクセスを最小化する対策（※）を実施している。\n（※）必要最小限のアクセスのみを許可する対策の例\n　　・システムを構成するサーバや機器について、要件の対象ではない機器からのアクセスを拒否している\n　　・システムの不要なプログラムやサービスを消去又は停止している\n　　・ユーザのアクセス権限に応じて、必要な機能だけを提供している\n　　・シングルサインオンの導入等\n3.\n 2に加え、システムへのアクセスを最小化する対策が文書で規定され、システムに実装が求めらている。\n4.\n 3に加え、システムへのアクセスを最小化する対策は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-6条(推奨)\n第6-2条(推奨)","-","-","-","第6-2条の4(推奨)\n第8-2条(推奨)","(4)-エ\n(4)-オ","-","-",{"$f":"IF($F$3=\"\",\"〇\",IF($F$3=\"全て表示\",\"〇\",IF(AND($F$3=\"発電事業者\",OR($X73<>\"-\",$X73<>\"-\")),\"〇\",IF(AND($F$3=\"小売電気事業者\",OR($Z73<>\"-\",$Z73<>\"-\")),\"〇\",IF(AND($F$3=\"自家用電気工作物設置者\",OR($AA73<>\"-\",$AB73<>\"-\")),\"〇\",IF(AND($F$3=\"アグリゲーター\",OR($Y73<>\"-\",$AC73<>\"-\")),\"〇\",IF(AND($F$3=\"広域機関提出用\",OR($AE73<>\"-\",$AE73<>\"-\")),\"〇\",\"×\")))))))","v":"〇"}]
[{"$f":"COLUMN(X74)&X74&COLUMN(Y74)&Y74&COLUMN(Z74)&Z74&COLUMN(AA74)&AA74&COLUMN(AC74)&AC74&COLUMN(AE74)&AE74&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","保護技術","PR.PT-4","情報通信ネットワークと制御ネットワークが、分離して保護されている。\n（外部ネットワーク、社内ネットワーク、重要なネットワークが区別され、それぞれで適した防御策を実施・管理している。）","情報通信ネットワークで発生したインシデントの影響が制御ネットワークに及ぶことで、制御システムが停止する可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・社内のネットワークとインターネットとの境界は、ファイアウォール等の防護装置により分離され、防御されている。　　\n ・社内のネットワークはセキュリティレベルに応じて分類され、ファイアウォール等の防護装置により分離され、予め決められた通信以外が遮断されている。\n2.\n 1に加え、防護装置で分離されたネットワーク間の通信は、セキュリティレベルの高いネットワークの機密性・完全性・可用性を侵害しないよう、統一した通信手続き（インターネットとの通信は、必ずDMZ上のサーバを経由する、セキュリティレベルの低いネットワークから高いネットワークに対する通信の開始要求を拒否する　等）で行われている。\n3.\n 2に加え、\n ・ネットワーク分離を含む会社のネットワークポリシー（セキュリティレベルによるネットワークの分類、ネットワークの分離、防御装置の設置、ネットワーク間通信の通信方向、通信開始手続き　等）が文書で規定され、関係者に遵守が求められている。　　\n ・ネットワークポリシーの例外については手続きが定められ、管理されている。\n4.\n 3に加え、会社のネットワークポリシーについて、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-1条(勧告)\n第5-2条(勧告)\n第5-3条(推奨)\n第5-6条(推奨)","3.6(勧告)","-","〇","第6-1条(推奨)\n第6-2条の1(推奨)\n第6-2条の3(A:勧告 BC:推奨)\n第6-2条の6(推奨)","(4)-ア\n(4)-イ\n(4)-ウ\n(4)-オ","-","-","〇"]
[{"$f":"COLUMN(X75)&X75&COLUMN(Y75)&Y75&COLUMN(Z75)&Z75&COLUMN(AA75)&AA75&COLUMN(AC75)&AC75&COLUMN(AE75)&AE75&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"防御（PR）","保護技術","PR.PT-5","メカニズム（例:フェールセーフ、ロードバランシング、ホットスワップ）が、平時及び緊急時においてレジリエンスに関する要求事項を達成するために実装されている。\n(システムの可用性を高めるための機能を設計・実装している。)","不正な機器に対する高負荷攻撃によって、安全に支障をきたす動作をする可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 高い業務継続性が必要とされる場合は、システムの設計時にサーバやコンポーネントの多重化が検討されている。\n2.\n 1に加え、サーバやコンポーネントの多重化を行っている場合は、正しく機能することがテストされている（フェールオーバー等）。\n3.\n 2に加え、システム開発のガイドライン等で、システムの可用性について適切な設計をすることが指示されている。\n4.\n 3に加え、重要サービスの継続提供の観点から、システムの可用性向上のための対策が、想定されるリスクに対して十分であるかどうかが検証され、必要に応じて追加対策が行われている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-","-","〇"]
[{"$f":"COLUMN(X76)&X76&COLUMN(Y76)&Y76&COLUMN(Z76)&Z76&COLUMN(AA76)&AA76&COLUMN(AC76)&AC76&COLUMN(AE76)&AE76&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","異常とイベント","DE.AE-1","ネットワーク運用のベースラインと、ユーザとシステムで期待されるデータフローが、定められ、管理されている。\n(正常時のネットワークのベースラインを作成し、異常を検知している。)","通常時のネットワーク通信が把握できず、システムに対する不正アクセスを特定できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 会社のネットワークは、平時やピーク時のネットワーク通信量や通信先がベースラインとして把握されている。\n2.\n 1に加え、平時の通信状況（ベースライン）とセキュリティ事象発生時の通信状況が比較され、ネットワーク異常が発生した場合の判定材料として利用されている。\n3.\n 2に加え、ネットワーク監視についてベースラインを元に監視閾値が設定され、想定外の通信が発生した場合には即座に検知されている。\n4.\n 3に加え、ネットワークのベースラインは、継続的なデータの取得により常に見直され、監視閾値に反映されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第3-1条(勧告)","-","指示5","-","第3-1条(推奨)","(2)-ア","指示5",5,"〇"]
[{"$f":"COLUMN(X77)&X77&COLUMN(Y77)&Y77&COLUMN(Z77)&Z77&COLUMN(AA77)&AA77&COLUMN(AC77)&AC77&COLUMN(AE77)&AE77&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","異常とイベント","DE.AE-2","検知したイベントは、攻撃の標的と手法を理解するために分析されている。\n（セキュリティ事象の分析手法を管理・運用している。）","インシデントの原因が分析できず、再度セキュリティインシデントが発生し、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n セキュリティ事象は、分析者の裁量により選別され、分析されている。\n2.\n 1に加え、\n ・セキュリティ事象の分析手法や手順が定められている。\n ・セキュリティ事象を分析した結果、攻撃の手法やその経路が特定され、攻撃の目的や標的となっている資産が特定されている。\n3.\n 2に加え、\n ・全てのセキュリティ事象が対象として分析されている。　　\n ・セキュリティ事象の分析が組織の運用として定着している。　　\n ・セキュリティ事象の分析手順が検証されている。\n4.\n 3に加え、セキュリティ事象の分析手順は、脅威動向や攻撃手法の変化を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-1条(勧告)","3.3(推奨)\n4.1(推奨)","-","-","第10-1条(推奨)","(6)-ア","-","-","〇"]
[{"$f":"COLUMN(X78)&X78&COLUMN(Y78)&Y78&COLUMN(Z78)&Z78&COLUMN(AA78)&AA78&COLUMN(AC78)&AC78&COLUMN(AE78)&AE78&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","異常とイベント","DE.AE-3","イベントデータは、複数の情報源やセンサーから収集され、相互分析されている。\n（セキュリティ事象に関連するデータが、複数の情報源から収集・分析されている。）","セキュリティ事象に関連するデータが取得されないことで、インシデント発生時の原因が特定できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n セキュリティ事象を検知するための情報源（機器の情報：ファイアウォール、Proxy、IPS／IDS、その他ネットワーク機器、認証ログ、サーバーログ、PCログ、その他各種セキュリティ製品等、人員や他組織からの情報：ユーザ・社員からの報告、警察やサービスプロバイダー、セキュリティベンダーからの提供情報、SOCでのアラート検知等）が決定され、その情報源の管理者が把握されている。\n2.\n 1に加え、複数の情報源からセキュリティ事象に関連するデータが収集されている。\n3.\n 2に加え、複数の情報源を用いた分析が行われており、SIEM等による相関分析や自動化・システム化により、情報の集約や関連付けを迅速に行っている。\n4.\n 3に加え、セキュリティ事象を検知するための情報源は、脅威動向や攻撃手法の変化を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-1条(勧告)","3.3(推奨)\n4.1(推奨)","-","-","第10-1条(推奨)","(6)-ア","-","-","〇"]
[{"$f":"COLUMN(X79)&X79&COLUMN(Y79)&Y79&COLUMN(Z79)&Z79&COLUMN(AA79)&AA79&COLUMN(AC79)&AC79&COLUMN(AE79)&AE79&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","異常とイベント","DE.AE-4","イベントがもたらす影響が、判断されている。\n（セキュリティ事象の影響度を特定し、適宜共有・分析している。）","セキュリティ事象に関連するデータが分析されないことで、インシデントの兆候や発生を特定できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムで検出されたセキュリティ事象を分析している。\n2.\n 1に加え、\n ・セキュリティ事象の調査において、関連する業務・システムの関係者と情報共有が行われている。　　\n ・分析優先度（トリアージ）基準を定めている。\n3.\n 2に加え、検知されたセキュリティ事象は、分析優先度（トリアージ）基準に基づいて影響が分析され、決められた連絡体制に基づき報告され判断されている。\n4.\n 3に加え、セキュリティ事象が迅速に分析され、報告され、判断されているか、定期的にその活動が評価され、必要に応じて改善されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-1条(勧告)","3.3(推奨)\n4.1(推奨)","指示5","-","第10-1条(推奨)","(6)-ア","指示5",5,"〇"]
[{"$f":"COLUMN(X80)&X80&COLUMN(Y80)&Y80&COLUMN(Z80)&Z80&COLUMN(AA80)&AA80&COLUMN(AC80)&AC80&COLUMN(AE80)&AE80&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","異常とイベント","DE.AE-5","インシデント警告の閾値が、定められている。\n(インシデント発生を宣言する基準が明確になっている。)","インシデント警告の閾値が定められないことで、インシデントの兆候や発生を特定できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n セキュリティ事象が分析され、サイバー攻撃の兆候や被害が確認された場合には、セキュリティインシデントの発生が宣言されている。\n2.\n 1に加え、セキュリティインシデントを宣言するための閾値・判断基準が文書等で明確化され、関係者に共有されている。\n3.\n 2に加え、セキュリティインシデントは、その深刻度や緊急度のレベルに応じて、適切な権限者に対し迅速にエスカレーションされている。\n4.\n 3に加え、セキュリティインシデントの判断とエスカレーションは、その経緯や手法、かかった時間等が評価され、必要に応じて改善されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","指示5","-","-","-","指示5",5,"〇"]
[{"$f":"COLUMN(X81)&X81&COLUMN(Y81)&Y81&COLUMN(Z81)&Z81&COLUMN(AA81)&AA81&COLUMN(AC81)&AC81&COLUMN(AE81)&AE81&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","セキュリティの継続的なモニタリング","DE.CM-1","ネットワークは、サイバーセキュリティの潜在的なイベントを検知できるようにモニタリングされている。\n（ネットワークのログが取得され、原因調査・異常検知に利用されている。）","ネットワークのログが取得されないことで、インシデント発生時の原因が特定できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ネットワークの監視が必要となる箇所（インターネットや制御ネットワークとの境界等）に対し、ネットワークセキュリティ機器（ルータ、ファイアウォール、WAF、IPS/IDS等）が配置され、ログが取得されている。\n2.\n 1に加え、通信に異常が発生した場合に、ネットワークセキュリティ機器のログ等から原因調査が行われている。\n3.\n 2に加え、ネットワークセキュリティ機器のログが常時監視され、異常発生時に検知されている。また不正な通信の兆候が特定できる。\n4.\n 3に加え、ネットワークの監視要件は、社外の脅威動向や最新の攻撃手法の変化を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-7条(勧告)\n第5-8条(推奨)\n第7-1条(勧告)","3.3(推奨)\n4.1(推奨)","-","-","第8-1条の4(推奨)\n第10-1条(推奨)","(6)-ア","-","-","〇"]
[{"$f":"COLUMN(X82)&X82&COLUMN(Y82)&Y82&COLUMN(Z82)&Z82&COLUMN(AA82)&AA82&COLUMN(AC82)&AC82&COLUMN(AE82)&AE82&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","セキュリティの継続的なモニタリング","DE.CM-2","物理環境は、サイバーセキュリティの潜在的なイベントを検知できるようにモニタリングされている。\n（物理的な侵入検知対策が実施・運用されている。）","保護が必要なエリアに対する物理的な不正侵⼊が検知できず、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムの設置場所に、必要に応じて侵入検知対策（警備員の配置、カメラによる目視監視、開扉センサーや人感センサーの設置等）が導入されている。\n2.\n 1に加え、侵入検知対策による記録が行われており、システムに対する不正な物理アクセスがあった場合に調査ができる。\n3.\n 2に加え、\n ・重要システムの侵入検知対策は、異常検知時に迅速に対応できるよう、体制が整えられている（警備員が駆けつける等）。　　\n ・侵入検知対策での検知履歴等から、不正な物理アクセスの兆候が特定できる。\n4.\n 3に加え、物理的な監視の対象及び監視方法は、システム資産の変化や最新の攻撃手法の変化をインプットとして、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-7条(勧告)\n第5-8条(推奨)\n第6-6条(勧告)\n第6-7条(推奨)","3.3(推奨)\n4.1(推奨)","-","-","第8-1条の4(推奨)\n第9-1条(推奨)","-","-","-","〇"]
[{"$f":"COLUMN(X83)&X83&COLUMN(Y83)&Y83&COLUMN(Z83)&Z83&COLUMN(AA83)&AA83&COLUMN(AC83)&AC83&COLUMN(AE83)&AE83&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","セキュリティの継続的なモニタリング","DE.CM-3","人員の活動は、サイバーセキュリティの潜在的なイベントを検知できるようにモニタリングされている。\n（システムの利用者の活動のログ取得し、活用している。）","システム利用者の活用ログが取得されないことで、自組織における悪意ある関係者の保護すべきデータの適切でない持出行為を検知できず、保護すべきデータが漏えい・改ざんする可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムの利用者が行った活動のログが保存されている。\n（※）ログの例\n　　・PCやシステムへのログイン/ログアウト実績\n　　・特権IDの利用\n　　・ファイル持ち出し履歴\n　　・その他セキュリティ製品のログ\n　　・メール送信履歴／Web閲覧履歴等\n2.\n 1に加え、システムの利用者の活動を調査するため、複数のログを活用している。\n3.\n 2に加え、\n ・複数のログからシステムの利用者の活動をモニタリングし、不正行為の兆候となりうる行動を検知している。　　\n ・リスクアセスメントの結果等から、想定されるリスク及び攻撃手法を特定し、利用者の活動に対する監視要件（監視対象、検知条件）を決定している。\n4.\n 3に加え、システムの利用者の活動に対する監視要件は、社外の脅威動向や最新の攻撃手法の変化を踏まえ、必要に応じてに見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-7条(勧告)\n第5-8条(推奨)","3.3(推奨)\n4.1(推奨)","-","-","第8-1条の4(推奨)","-","-","-","〇"]
[{"$f":"COLUMN(X84)&X84&COLUMN(Y84)&Y84&COLUMN(Z84)&Z84&COLUMN(AA84)&AA84&COLUMN(AC84)&AC84&COLUMN(AE84)&AE84&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","セキュリティの継続的なモニタリング","DE.CM-4","悪質なコードは、検知されている。\n(マルウェア等の悪意あるプログラムを検知できる対策を実施・管理している。)","マルウェア等の悪意あるプログラムが検知できず、端末に対するマルウェア攻撃によって、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 1に加え、\n ・社内の端末には必要に応じてセキュリティソフト（ウイルス対策ソフト、パーソナルFW）が導入されており、常に最新化されている。　　\n ・電子メール及び添付ファイルはウイルス対策ソフトによりスキャンされている。\n2.\n 2に加え、\n ・社外から攻撃を受ける可能性が高いシステム又は重要システムは、ウイルス対策ソフト等が導入されており、常に最新化されている。　　\n ・社内でセキュリティインシデントが発生した場合に、端末のセキュリティソフトやウイルス対策サーバ等のログを調査している。\n3.\n 3に加え、\n ・セキュリティ検知の仕組みが会社全体で管理されている。　　\n ・潜在的なマルウェアの活動を検知するため、ネットワークや端末上のログが利用され監視されている。\n4.\n 4に加え、マルウェア対策は、社外の事例や脅威情報を元に定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-4条(推奨)\n第5-5条(推奨)\n第5-6条(推奨)\n第6-3条(勧告)","3.6(勧告)","-","〇","第6-2条の4(推奨)\n第7-1条(推奨)\n第8-1条の2(推奨)\n第8-1条の3(A:勧告 BC:推奨)","(4)-エ\n(4)-オ","-","-","〇"]
[{"$f":"COLUMN(X85)&X85&COLUMN(Y85)&Y85&COLUMN(Z85)&Z85&COLUMN(AA85)&AA85&COLUMN(AC85)&AC85&COLUMN(AE85)&AE85&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","セキュリティの継続的なモニタリング","DE.CM-5","不正なモバイルコード（Webサイトなどを通してダウンロードされる不正なスクリプトコードなど）は、検知されている。\n（不正なコードを検知できる仕組みが構築されている。）","端末に対する不正コードによる攻撃が検知できず、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・社内の端末には必要に応じてセキュリティソフト（ウイルス対策ソフト、パーソナルFW）が導入されており、常に最新化されている。　　\n ・Web閲覧等の外部通信を介して送られる悪意のあるスクリプトコードを検知する仕組み（ウイルススキャンサーバの設置、Webブラウザの仮想化等）を導入している。\n2.\n 1に加え、社内でセキュリティインシデントが発生した場合に、端末のセキュリティソフトやウイルス対策サーバ等のログを調査している。\n3.\n 2に加え、\n ・セキュリティ検知の仕組みが会社全体で管理されている。　　\n ・潜在的なマルウェアの活動を検知するため、ネットワークや端末上のログが利用され監視されている。\n4.\n 3に加え、マルウェア対策は、社外の事例や脅威情報を元に定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-4条(推奨)\n第5-5条(推奨)\n第5-6条(推奨)\n第6-3条(勧告)","3.6(勧告)","-","-","第6-2条の4(推奨)\n第7-1条(推奨)\n第8-1条の2(推奨)\n第8-1条の3(A:勧告 BC:推奨)","(4)-エ\n(4)-オ","-","-","〇"]
[{"$f":"COLUMN(X86)&X86&COLUMN(Y86)&Y86&COLUMN(Z86)&Z86&COLUMN(AA86)&AA86&COLUMN(AC86)&AC86&COLUMN(AE86)&AE86&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","セキュリティの継続的なモニタリング","DE.CM-6","（業務委託先など）外部サービスプロバイダーの活動は、潜在的なサイバーセキュリティ事象を検知できるようにモニタリングされている。\n(委託先企業や協力会社の活動を、セキュリティの観点で監視している。)","他組織の管理するシステムがマルウェア感染することによって、他組織で管理している領域から自組織の保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・社外に業務を委託する場合、委託先の情報管理体制を確認し、秘密保持契約や個人情報保護に関する契約等を交わしている。　　\n ・ベンダーやサプライヤーその他の外部依存により引き起こされる可能性のある重大なセキュリティリスクが特定され、対処されている。\n2.\n 1に加え、業務委託や派遣等により、社外者が会社内のネットワークやシステムを利用する場合、例外的な動作を検知する手法が定められており、対象を監視している。\n3.\n 2に加え、業務委託先企業や派遣先企業はモニタリング、評価されている。\n4.\n 3に加え、外部依存に起因するセキュリティ脅威を特定又は回避するため、情報を収集している。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-","-","〇"]
[{"$f":"COLUMN(X87)&X87&COLUMN(Y87)&Y87&COLUMN(Z87)&Z87&COLUMN(AA87)&AA87&COLUMN(AC87)&AC87&COLUMN(AE87)&AE87&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","セキュリティの継続的なモニタリング","DE.CM-7","権限のない人員、接続、デバイス、ソフトウェアのモニタリングが、実施されている。\n（ユーザの認証・PC・ソフトウェアのログが取得され、不正利用の検知などに利用している。）","悪意のある関係者がソフトウェアを不正にインストールすることで、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ユーザの認証ログ、ネットワークの接続認証ログ、PC上のセキュリティソフト等のログが取得されている。\n2.\n 1に加え、セキュリティインシデントが発生した場合、ユーザの認証ログ、ネットワークの接続認証ログ、PC上のセキュリティソフト等のログが利用され、不正な利用が無かったかどうかを調査している。\n3.\n 2に加え、社内ネットワークへの不正接続やPC・ソフトウェアの不正利用はリアルタイムに検知・防止している。\n4.\n 3に加え、社内ネットワークへの不正接続、PCやソフトウェアの不正利用に対する対策は、最新の脅威動向や攻撃手法等を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-6条(推奨)","3.3(推奨)\n4.1(推奨)","-","-","第6-2条の4(推奨)\n第6-2条の5(推奨)","(4)-オ","-","-","〇"]
[{"$f":"COLUMN(X88)&X88&COLUMN(Y88)&Y88&COLUMN(Z88)&Z88&COLUMN(AA88)&AA88&COLUMN(AC88)&AC88&COLUMN(AE88)&AE88&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","セキュリティの継続的なモニタリング","DE.CM-8","脆弱性スキャンが、実施されている。\n(システムに対し脆弱性診断を実施している。)","システムに残存した脆弱性を特定できず、その脆弱性を悪用したマルウェア攻撃によって保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 新規導入するシステム、大規模な変更が行われていたシステムに対し、脆弱性診断が実施され、脆弱性の特定・対策が行われている。\n2.\n 1に加え、重要システムや攻撃を受ける可能性が高いシステム等を対象に、定期的に脆弱性診断が実施されている。\n3.\n 2に加え、脆弱性診断の実施対象や実施タイミング、実施方法が文書で規定され、社内に遵守が求められている。\n4.\n 3に加え、会社の脆弱性診断の頻度、診断内容、診断ツール、実施事業者等 は、最新の脅威動向、脆弱性情報から適切かどうか、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)","-","-","-","\n第4-1条(推奨)","(3)-ア","-","-","〇"]
[{"$f":"COLUMN(X89)&X89&COLUMN(Y89)&Y89&COLUMN(Z89)&Z89&COLUMN(AA89)&AA89&COLUMN(AC89)&AC89&COLUMN(AE89)&AE89&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","検知プロセス","DE.DP-1","検知に関する役割と責任は、説明責任を果たせるように明確に定義されている。\n（異常検知され場合の対応方針・体制が策定・運用されている。）","システムの異常が正しく検知されないことで、インシデントの発生の特定できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、異常検知された場合の対応方法を決定している。\n2.\n 1に加え、アラート発生の監視、セキュリティ事象の分析、関係者への報告等、セキュリティ事象検知に関わる役割が明確化され、対応体制が確立されている。また事象検知を外部の企業に委託している場合は、その役割と責任が契約書等に明確化されている。\n3.\n 2に加え、セキュリティ事象の検知活動が、会社全体を対象として行われており、統一された検知ポリシーが存在する。\n4.\n 3に加え、セキュリティ事象の検知活動について、迅速かつ適切に処理されたかどうかが定期的に評価され、必要に応じて改善されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)","3.6(勧告)","指示5","-","第2-2条の2(推奨)","(1)-イ","指示5",5,"〇"]
[{"$f":"COLUMN(X90)&X90&COLUMN(Y90)&Y90&COLUMN(Z90)&Z90&COLUMN(AA90)&AA90&COLUMN(AC90)&AC90&COLUMN(AE90)&AE90&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","検知プロセス","DE.DP-2","検知活動は、該当するすべての要求事項を準拠している。\n（異常検知するための項目を定め、検知活動を実施している。）","システムの異常が正しく検知されないことで、インシデントの発生の特定できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、異常事象の検知のための要求事項（監視対象とすべきログの一覧、監視すべきメッセージ等）が定められている。\n2.\n 1に加え、個々のシステムにおいて、検知活動が行われている。\n3.\n 2に加え、重要システムについて、会社として統合的な検知活動を行っている。\n4.\n 3に加え、最新の脅威情報、脆弱性情報、社内のリスクアセスメント結果をインプットとして検知活動の内容が見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-7条(勧告)\n第5-8条(推奨)\n第7-1条(勧告)","3.3(推奨)","指示1","-","第8-1条の4(推奨)\n第10-1条(推奨)","(6)-ア","指示1",1,"〇"]
[{"$f":"COLUMN(X91)&X91&COLUMN(Y91)&Y91&COLUMN(Z91)&Z91&COLUMN(AA91)&AA91&COLUMN(AC91)&AC91&COLUMN(AE91)&AE91&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","検知プロセス","DE.DP-3","検知プロセスが、テストされている。\n（異常検知プロセスが構築・テストされている。）","システムの異常が正しく検知されないことで、インシデントの発生の特定できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 個々のシステムにおいて、異常検知プロセス（異常検知した際の分析や報告等の手順）が用意されている。\n2.\n 1に加え、セキュリティ事象発生から分析、評価、報告までの一連の検知プロセスが、関係者でレビューされている。\n3.\n 2に加え、セキュリティ事象発生から分析、評価、報告までの一連の検知プロセスが、演習等を通じてテストされている。\n4.\n 3に加え、セキュリティ事象の検知のための演習は、社外の最新の脅威動向や脆弱性情報を踏まえ必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第5-5条(推奨)\n第7-4条(勧告)","-","指示5","-","第7-1条(推奨)\n第10-4条(推奨)","-","指示5",5,"〇"]
[{"$f":"COLUMN(X92)&X92&COLUMN(Y92)&Y92&COLUMN(Z92)&Z92&COLUMN(AA92)&AA92&COLUMN(AC92)&AC92&COLUMN(AE92)&AE92&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","検知プロセス","DE.DP-4","イベント検知情報が、周知されている。\n（異常が検知された際の、情報共有体制・手順が運用されている。）","システムの異常が関係者に適切に共有されず、インシデント対応に遅れが生じ、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n セキュリティ事象が発生した場合、迅速に当該システムの運用管理者に情報共有を図っている。\n2.\n 1に加え、\n ・セキュリティ事象が発生した場合、システムやイベントの重要度に則って、システムの関係者（システム管理者、業務部門、利用者等）に情報共有を行っている。　　\n ・セキュリティ事象の分析優先度（トリアージ）基準を定めている。\n3.\n 2に加え、検知されたイベントは、分析優先度（トリアージ）基準に基づいて影響が分析され、決められた連絡体制に基づき報告され判断されている。\n4.\n 3に加え、イベントの報告手順は、社内外の最新の情報・動静を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-1条(勧告)","3.3(推奨)","指示5","-","第10-1条(推奨)","(6)-ア","指示5",5,"〇"]
[{"$f":"COLUMN(X93)&X93&COLUMN(Y93)&Y93&COLUMN(Z93)&Z93&COLUMN(AA93)&AA93&COLUMN(AC93)&AC93&COLUMN(AE93)&AE93&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"検知（DE）","検知プロセス","DE.DP-5","検知プロセスが、継続的に改善されている。\n（セキュリティ事象に関する異常を検知する仕組みが、定期的にテストされ、改善されている。）","セキュリティ事象の検知プロセスが認識されず、自組織のセキュリティインシデントに正しく対応できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n セキュリティ事象の検知の機能、手順がテストされている。\n2.\n 1に加え、テスト結果に基づいて、検知のフローや手順が見直されている。\n3.\n 2に加え、過去のセキュリティ事象の対応経験や他社の事例から得られた情報をもとに、検知手順やフローが評価され、必要に応じて検知活動が改善されている。\n4.\n 3に加え、検知活動は、社外の最新の脅威動向や脆弱性情報を踏まえ、リアルタイムに改善されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-1条(勧告)","-","指示5","-","第10-1条(推奨)","(6)-ア","指示5",5,"〇"]
[{"$f":"COLUMN(X94)&X94&COLUMN(Y94)&Y94&COLUMN(Z94)&Z94&COLUMN(AA94)&AA94&COLUMN(AC94)&AC94&COLUMN(AE94)&AE94&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","対応計画","RS.RP-1","対応計画が、インシデントの発生中又は発生後に実行されている。\n（インシデント発生時の対応計画が作成・運用している。）","インシデントの対応体制・計画が認識されず、自組織のセキュリティインシデントに正しく対応できないことで、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n インシデント発生時に関係者が個別に対応している。\n2.\n 1に加え、\n ・社内でインシデントへの対応要員が決定されている。　　\n ・重大なインシデントに関しては、インシデント対応手続きが定められている。\n3.\n 2に加え、\n ・社内のインシデント対応計画が定められており、インシデント発生時には発動されている。　　\n ・インシデント対応計画は関係者で共有され、時間や場所、状況によらず常に参照できるよう（休日・夜間の対応時にも閲覧可能な形（自宅に手順を保管等））保管されている。\n4.\n 3に加え、対応済みのインシデントについて事後レビューを行い、インシデント対応計画の改善に活用されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-2条(勧告)","4.1(勧告)","指示7\n指示8","-","第10-2条(推奨)","(6)-イ","指示7\n指示8",7,"〇"]
[{"$f":"COLUMN(X95)&X95&COLUMN(Y95)&Y95&COLUMN(Z95)&Z95&COLUMN(AA95)&AA95&COLUMN(AC95)&AC95&COLUMN(AE95)&AE95&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","コミュニケーション","RS.CO-1","人員は、対応が必要になった時の自身の役割と行動の順序を認識している。\n（インシデント時の対応体制が整備・運用している。）","インシデントの対応体制・計画が認識されず、自組織のセキュリティインシデントに正しく対応できないことで、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 社内でインシデントへの対応要員が決定されている。\n2.\n 1に加え、インシデントに迅速に対応できるよう、事前にインシデントの対応体制と役割を決定している。また対応手順を対応要員に伝えられている。\n3.\n 2に加え、\n ・CSIRT等のセキュリティ管理部門が、全社インシデントの対応体制を統括している。　　\n ・インシデント対応に関わる体制が整備され、各要員が訓練されている。\n4.\n 3に加え、インシデント対応体制は、過去のインシデント対応経験や最新の脅威情報等を踏まえ、定期的に見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第2-2条(勧告)\n第7-2条(勧告)","4.1(勧告)","指示7\n指示8","〇","第2-2条の2(推奨)\n第10-2条(推奨)","(1)-イ\n(6)-イ","指示7\n指示8",7,"〇"]
[{"$f":"COLUMN(X96)&X96&COLUMN(Y96)&Y96&COLUMN(Z96)&Z96&COLUMN(AA96)&AA96&COLUMN(AC96)&AC96&COLUMN(AE96)&AE96&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","コミュニケーション","RS.CO-2","インシデントが、定められた基準に沿って報告されている。\n（インシデントの報告手順が作成・運用している。）","インシデントの報告手順が作成されず、自組織のセキュリティインシデントに正しく対応できないことで、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・セキュリティ事故が発生した場合又はその可能性を検知した場合に、報告すべき社内・社外の連絡先が把握されている。　　\n ・法的な義務に従い、法律や規制に基づいて重大なセキュリティ事故を警察や監督官庁等に報告が行われている。\n2.\n 1に加え、\n ・セキュリティ事故が発生した場合又はその可能性を検知した場合の報告手順が定められている。　　\n ・報告手順に従い、社内・監督官庁等に対して適切に報告が行われている。\n3.\n 2に加え、セキュリティ事故が発生した場合又はその可能性を検知した場合を想定した訓練・演習が行われている。\n4.\n 3に加え、セキュリティ事故報告に関わる手順は、過去のインシデント対応経験や社内のセキュリティポリシーの変化、訓練・演習の結果を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-3条(勧告)","4.1(勧告)","指示7\n指示8","-","第10-3条(推奨)","(6)-ウ","指示7\n指示8",7,"〇"]
[{"$f":"COLUMN(X97)&X97&COLUMN(Y97)&Y97&COLUMN(Z97)&Z97&COLUMN(AA97)&AA97&COLUMN(AC97)&AC97&COLUMN(AE97)&AE97&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","コミュニケーション","RS.CO-3","対応計画に従って、情報が共有されている。\n（インシデント対応計画にしたがって、各関係者間での情報共有が速やかに実施されている。）","インシデントの情報共有手順が作成されず、自組織のセキュリティインシデントに正しく対応できないことで、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システム関係者等、情報共有が必要となる対象者が定められ、対象者間でインシデントに関連する情報の収集、提供が行われている。\n2.\n 1に加え、インシデント対応計画に従って、情報が共有されている。\n3.\n 2に加え、インシデント対応計画に従って、情報が速やかに共有されている。\n4.\n 3に加え、インシデント対応計画は必要に応じて見直され、関係者間で共有されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-3条(勧告)","4.1(勧告)","指示7\n指示8","-","第10-3条(推奨)","(6)-ウ","指示7\n指示8",7,"〇"]
[{"$f":"COLUMN(X98)&X98&COLUMN(Y98)&Y98&COLUMN(Z98)&Z98&COLUMN(AA98)&AA98&COLUMN(AC98)&AC98&COLUMN(AE98)&AE98&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","コミュニケーション","RS.CO-4","利害関係者との間で調整が、対応計画に従って行なわれている。\n（インシデント対応時には、対応計画に従って社内外の利害関係者と調整されている。）","自組織のセキュリティインシデントの他組織への影響が把握されず、自組織でインシデントが発生した場合に、関係する他組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n インシデント対応における社内・社外の利害関係者が把握されている。\n2.\n 1に加えて、インシデント対応においては、利害関係者を含めて調整が行われている。\n3.\n 2に加えて、インシデント対応計画には、対応において利害関係者との調整を行うことが定められている。\n4.\n 3に加えて、インシデント対応計画は必要に応じて見直され、関係者間で共有されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)\n第7-3条(勧告)","4.1(勧告)","指示7","-","第4-1条(推奨)\n第10-3条(推奨)","(3)-ア\n(6)-ウ","指示7",7,"〇"]
[{"$f":"COLUMN(X99)&X99&COLUMN(Y99)&Y99&COLUMN(Z99)&Z99&COLUMN(AA99)&AA99&COLUMN(AC99)&AC99&COLUMN(AE99)&AE99&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","コミュニケーション","RS.CO-5","サイバーセキュリティに関する状況認識を広げるために、外部利害関係者との間で自発的な情報共有が行なわれている。\n（自社から社外組織等に対してサイバーセキュリティに関する情報が共有されている。）","自組織のセキュリティインシデントが法律等に沿って外部組織に適切に報告されず、自組織のレピュテーションが低下する可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 法的な義務に従い、法律や規制に基づいて重大なセキュリティ事故を警察や監督官庁等に報告するための手続きが定められており、適切に報告されている。\n2.\n 1に加え、インシデント発生後に情報提供すべき社外組織（関連するインフラ事業者、監督官庁、警視庁、業界団体、ISAC、 CSIRT組織等）が決定されている。\n3.\n 2に加え、社外組織に提供する情報・タイミングについて基準が設けられている。\n4.\n 3に加え、\n ・社外へのインシデント報告又はセキュリティに関する情報提供は、その対象者とタイミングについて、法・規制や脅威動向の変化をもとに見直されている。　　\n ・不適切な情報提供が無いことを確認している。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-1条(勧告)\n第7-3条(勧告)","3.2(勧告)\n4.1(勧告)","指示7","-","第10-1条(推奨)\n第10-3条(推奨)","(6)-ア\n(6)-ウ","指示7",7,"〇"]
[{"$f":"COLUMN(X100)&X100&COLUMN(Y100)&Y100&COLUMN(Z100)&Z100&COLUMN(AA100)&AA100&COLUMN(AC100)&AC100&COLUMN(AE100)&AE100&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","分析","RS.AN-1","検知システムからの通知は、調査されている。\n（セキュリティ事象の検知・調査方法が策定・運用している。）","システムの異常が正しく検知されないことで、インシデントの発生の特定できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n セキュリティ事象は、分析者により選別され、調査されている。\n2.\n 1に加え、セキュリティ事象を調査するための分析の手法や手順が定められている。\n3.\n 2に加え、\n ・全てのセキュリティ事象が対象として調査され、分析優先度判定（トリアージ）が行われている。　　\n ・セキュリティ事象の調査がセキュリティ管理組織の運用として定着している。\n4.\n 3に加え、セキュリティ事象の調査手順は、脅威動向や攻撃手法の変化を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-2条(勧告)","4.1(推奨)","-","-","第10-2条(推奨)","(6)-イ","-","-","〇"]
[{"$f":"COLUMN(X101)&X101&COLUMN(Y101)&Y101&COLUMN(Z101)&Z101&COLUMN(AA101)&AA101&COLUMN(AC101)&AC101&COLUMN(AE101)&AE101&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","分析","RS.AN-2","インシデントがもたらす影響は、把握されている。\n（検知されたインシデントが分析され、その結果で対応している。）","セキュリティインシデントに対して正しい優先度で対応できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 検知したセキュリティ事象が分析されている。\n2.\n 1に加え、\n ・分析優先度判定（トリアージ）に基づきインシデント対応が行われている。　　\n ・インシデント対応計画が策定され、関係者で共有されている。\n3.\n 2に加え、発生可能性が高いインシデントが事前に分析され、対応方針が定められている。\n4.\n 3に加え、インシデント対応計画は、過去の対応結果、脅威動向や攻撃手法の変化を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-2条(勧告)","4.1(推奨)","-","-","第10-2条(推奨)","(6)-イ","-","-","〇"]
[{"$f":"COLUMN(X102)&X102&COLUMN(Y102)&Y102&COLUMN(Z102)&Z102&COLUMN(AA102)&AA102&COLUMN(AC102)&AC102&COLUMN(AE102)&AE102&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","分析","RS.AN-3","フォレンジックが、実施されている。\n（インシデント対応計画に沿って、フォレンジック（インシデントの被害・原因分析）が実施されている。）","インシデント発生時の原因究明や責任の所在を明確化できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n フォレンジック技法を理解している要員がいる。\n2.\n 1に加え、必要に応じてフォレンジックが実施されている。社内で実施できない場合は、外部のサービスが利用されている。\n3.\n 2に加え、フォレンジック手順がインシデント対応計画で定められている。また、証跡の収集や保全を考慮した手順となっている。\n4.\n 3に加え、フォレンジックの実施手順又は調査依頼先は、過去の対応実績や脅威動向の変化を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-","-","〇"]
[{"$f":"COLUMN(X103)&X103&COLUMN(Y103)&Y103&COLUMN(Z103)&Z103&COLUMN(AA103)&AA103&COLUMN(AC103)&AC103&COLUMN(AE103)&AE103&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","分析","RS.AN-4","インシデントは、対応計画に従って分類されている。\n（インシデント対応計画に沿って、発生したインシデントが分類されている。）","自組織のセキュリティインシデントに対して正しく対応できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n インシデント対応が実施されている。\n2.\n 1に加え、発生したインシデントは、インシデントの種類、緊急度・深刻度等により分類されている。\n3.\n 2に加え、インシデントの分類方法が、インシデント対応計画で定義されている。\n4.\n 3に加え、インシデント対応計画は、脅威動向の変化を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-2条(勧告)","4.1(勧告)","-","-","第10-2条(推奨)","(6)-イ","-","-","〇"]
[{"$f":"COLUMN(X104)&X104&COLUMN(Y104)&Y104&COLUMN(Z104)&Z104&COLUMN(AA104)&AA104&COLUMN(AC104)&AC104&COLUMN(AE104)&AE104&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","分析","RS.AN-5","プロセスは、内外のソース（例:内部テスト、セキュリティ情報、セキュリティ研究者）から報告された脆弱性情報を、自組織が受け取り、分析し、対応するために定められている。\n(脆弱性情報を受け取り、分析し、対応するための手順が定めている。)","最新の脆弱性情報が把握できず、システムにおけるセキュリティ上の脆弱性を利⽤しマルウェア感染され、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・システムに関連する脆弱性情報を入手している。　　\n ・リスクアセスメントや電子的侵入テスト等により、システムが持つ脆弱性が特定されている。\n2.\n 1に加え、収集された脆弱性情報が分析され、セキュリティ対策に活用されている。\n3.\n 2に加え、システムの脆弱性は、特定から対応完了に至るまでの管理手順（※）が文書で規定され、社内に遵守が求められている。\n（※）管理手順に含むべき対応の例\n　　・脆弱性診断、リスクアセス\n　　・発生頻度、影響度の評価\n　　・リスク受容可否、対応優先度の決定\n　　・対応計画の策定\n　　・対応実施状況の管理\n4.\n 3に加え、脆弱性情報を十分に収集するため、複数の情報提供元をモニタリングしている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-1条(勧告)","4.1(勧告)","-","-","第10-1条(推奨)","(6)-ア","-","-","〇"]
[{"$f":"COLUMN(X105)&X105&COLUMN(Y105)&Y105&COLUMN(Z105)&Z105&COLUMN(AA105)&AA105&COLUMN(AC105)&AC105&COLUMN(AE105)&AE105&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","低減","RS.MI-1","インシデントは、封じ込められている。\n（インシデントの重大度によって、封じ込めの計画・手法が策定している。）","自組織のセキュリティインシデントに対して被害を最小化できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n インシデント対応が実施されている。\n2.\n 1に加え、インシデント封じ込めのため、システムの停止や隔離、ネットワーク遮断等、インシデントの種類に応じた対応計画が策定されている。また、対応計画はテストされている。\n3.\n 2に加え、封じ込めのための手法が、インシデントの重大性に応じて策定されている。\n4.\n 3に加え、インシデント対応計画は、過去のインシデント対応経験等を基に、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-2条(勧告)","4.1(勧告)","-","-","第10-2条(推奨)","(6)-イ","-","-","〇"]
[{"$f":"COLUMN(X106)&X106&COLUMN(Y106)&Y106&COLUMN(Z106)&Z106&COLUMN(AA106)&AA106&COLUMN(AC106)&AC106&COLUMN(AE106)&AE106&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","低減","RS.MI-2","インシデントは、緩和されている。\n(インシデントの根絶対象と方法が策定されている。)","自組織のセキュリティインシデントに対して被害を最小化できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n インシデント発生時には、根絶すべき対象を特定している。\n2.\n 1に加え、インシデント根絶のため、攻撃手法に応じた対応手順（バックアップからのシステム復旧や、端末の交換等）が作成され、テストされている。\n3.\n 2に加え、インシデント根絶の判断基準を定めている。\n4.\n 3に加え、インシデント根絶の対応手順や判断基準は、過去のインシデント対応経験等を基に、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-2条(勧告)","4.1(勧告)","-","-","第10-2条(推奨)","(6)-イ","-","-","〇"]
[{"$f":"COLUMN(X107)&X107&COLUMN(Y107)&Y107&COLUMN(Z107)&Z107&COLUMN(AA107)&AA107&COLUMN(AC107)&AC107&COLUMN(AE107)&AE107&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","低減","RS.MI-3","新たに識別された脆弱性は、許容できるリスクである場合にはその旨を文書化され、そうでない場合にはリスクが緩和されている。\n(脆弱性対策を実施している。もしくはリスクとして許容している。)","最新の脆弱性情報が把握できず、システムにおけるセキュリティ上の脆弱性を利⽤しマルウェア感染され、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システムに関連する脆弱性情報を入手している。\n2.\n 1に加え、\n ・脆弱性が発現した場合の業務への影響や対策コスト等から対応方法・代替リスク軽減策・対応時期を判断している。\n ・リスクアセスメントやペネトレーションテスト等により、システムが持つ脆弱性が特定されている。　　\n3.\n 2に加え、\n ・システムの脆弱性が残存リスクとして一覧化され、管理されている。\n ・対策の実施が難しい場合、リスク受容の可否が適切な権限者によって判断されている。この判断は文書化されている。\n4.\n 3に加え、最新の脅威動向や経営戦略の変化、システムの更新に伴い、システムの残存リスクが再評価されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)\n第7-1条(勧告)","-","-","-","第4-1条(推奨)\n第10-1条(推奨)","(3)-ア\n(6)-ア","-","-","〇"]
[{"$f":"COLUMN(X108)&X108&COLUMN(Y108)&Y108&COLUMN(Z108)&Z108&COLUMN(AA108)&AA108&COLUMN(AC108)&AC108&COLUMN(AE108)&AE108&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","改善","RS.IM-1","（インシデント）対応計画は、学んだ教訓を取り入れられている。\n(社内で起きたインシデントの教訓から、インシデント対応計画を見直している。)","インシデント発生に至った根本原因が修正されず、再度セキュリティインシデントを受けることで、適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n インシデント対応後に、関係者から対応内容や対応結果について情報が収集されている。\n2.\n 1に加え、\n ・過去に社内で発生した類似インシデントの有無を確認している。　　\n ・インシデント対応が手順通りに実施されたことを確認している。手順通り対応出来なかった部分があればその原因について分析している。\n3.\n 2に加え、インシデント発生に至った根本原因を分析し、報告している。\n4.\n 3に加え、インシデント対応計画は、過去のインシデント対応経験等を基に、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)\n第7-3条(勧告)","3.9(勧告)","指示7\n指示8","-","第4-1条(推奨)\n第10-3条(推奨)","(3)-ア\n(6)-ウ","指示7\n指示8",7,"〇"]
[{"$f":"COLUMN(X109)&X109&COLUMN(Y109)&Y109&COLUMN(Z109)&Z109&COLUMN(AA109)&AA109&COLUMN(AC109)&AC109&COLUMN(AE109)&AE109&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"対応（RS）","改善","RS.IM-2","対応戦略は、更新されている。\n（収集したインシデント事例を基に、対応計画が更している。）","他組織の受けたインシデントと同様のインシデントを受けることで、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 他組織で発生したインシデント事例について、情報収集が行われている。\n2.\n 1に加え、収集したインシデント事例を社内の環境や運用に照らし合わせて、インシデント発生の可能性が分析されている。\n3.\n 2に加え、他社のインシデント事例から得た情報から、社内のインシデント対応計画を評価し、不足が発見された場合は更新や刷新を計画する。\n4.\n 3に加え、インシデント対応計画は、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)\n第7-3条(勧告)","-","指示7\n指示8","-","第4-1条(推奨)\n第10-3条(推奨)","(3)-ア\n(6)-ウ","指示7\n指示8",7,"〇"]
[{"$f":"COLUMN(X110)&X110&COLUMN(Y110)&Y110&COLUMN(Z110)&Z110&COLUMN(AA110)&AA110&COLUMN(AC110)&AC110&COLUMN(AE110)&AE110&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"復旧（RC）","復旧計画","RC.RP-1","復旧計画が、サイバーセキュリティインシデントの発生中又は発生後に実施されている。\n（システムの復旧計画に従って、システムの復旧が実施されている。）","自組織のセキュリティインシデントから復旧できず、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n ・システム毎に復旧計画が策定されている。　　\n ・システム復旧計画は、作業体制、作業手順、関係者（システム利用箇所、システム管理部署、ベンダー、サプライヤー等）との連絡方法を含むよう定義されている。\n2.\n 1に加え、システムの復旧は、予め定められたシステム復旧計画に従って行われている。\n3.\n 2に加え、\n ・システム復旧計画は、サイバーセキュリティによる被害を考慮した対応が含まれている。　　\n ・システム復旧計画は、インシデント対応計画及び業務継続計画と整合するよう策定されている。\n4.\n 3に加え、実際に行った復旧作業について事後レビューが行われ、必要に応じてシステム復旧計画は見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)\n第7-2条(勧告)","4.1(勧告)","-","-","第4-1条(推奨)\n第10-2条(推奨)","(3)-ア\n(6)-イ","-","-","〇"]
[{"$f":"COLUMN(X111)&X111&COLUMN(Y111)&Y111&COLUMN(Z111)&Z111&COLUMN(AA111)&AA111&COLUMN(AC111)&AC111&COLUMN(AE111)&AE111&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"復旧（RC）","改善","RC.IM-1","復旧計画は、学んだ教訓を取り入れている。\n（システムを復旧した際の情報が収集され、システム復旧計画の改善に活用されている。）","セキュリティインシデント後に正しく復旧されなかった不具合により、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n システム復旧後に、対応内容やその結果等について情報が収集されている。\n2.\n 1に加え、システム復旧が手順通りに実施されたことを確認している。手順通り対応出来なかった部分があればその原因について分析している。\n3.\n 2に加え、システム復旧に関する正式な報告が作成され、関係者に教訓として共有されている。\n4.\n 3に加え、システム復旧作業後の分析結果をもとに、システム復旧計画が見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-3条(勧告)","4.1(勧告)","-","-","第10-3条(推奨)","(6)-ウ","-","-","〇"]
[{"$f":"COLUMN(X112)&X112&COLUMN(Y112)&Y112&COLUMN(Z112)&Z112&COLUMN(AA112)&AA112&COLUMN(AC112)&AC112&COLUMN(AE112)&AE112&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"復旧（RC）","改善","RC.IM-2","復旧戦略は、更新されている。\n（収集したインシデント事例を基に、復旧計画が更している。）","他組織の受けたインシデントと同様のインシデントを受けることで、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 他社で発生したインシデント事例について、情報収集が行われている。\n2.\n 1に加え、収集したインシデント事例は分析されている。\n3.\n 2に加え、他社のインシデント事例から得た情報から社内のシステム復旧計画を評価し、不足が発見された場合は更新や刷新を計画する。\n4.\n 3に加え、システム復旧計画は、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-3条(勧告)","3.9(勧告)","-","-","第10-3条(推奨)","(6)-ウ","-","-","〇"]
[{"$f":"COLUMN(X113)&X113&COLUMN(Y113)&Y113&COLUMN(Z113)&Z113&COLUMN(AA113)&AA113&COLUMN(AC113)&AC113&COLUMN(AE113)&AE113&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"復旧（RC）","コミュニケーション","RC.CO-1","広報活動が、管理されている。\n（セキュリティインシデントの外部発信体制を構築している。）","セキュリティインシデントに対する対応が正しく広報されず、自組織のレピュテーションが低下する可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 広報担当部署とセキュリティ管理部署の間で連絡窓口が設けられている。\n2.\n 1に加え、\n ・セキュリティインシデント発生時には、インシデント対応体制と、全社リスク管理体制が連携している。　　\n ・セキュリティインシデント対応体制に広報担当部署が含まれている。もしくはセキュリティインシデント対応体制と全社リスク管理体制が連携している場合、全社のリスク管理体制に広報担当部署が含まれている。\n3.\n 2に加え、全社リスク管理体制の中で、広報活動の基本対応方針（情報の公開基準、基本的な広報スクリプト（文面）、記者会見時の対応者等）が定められている。\n4.\n 3に加え、広報活動の基本方針は、会社の事業戦略の変化や社会情勢を踏まえ、必要に応じて見直されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、人事、経営層","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第7-3条(勧告)","-","-","-","第10-3条(推奨)","(6)-ウ","-","-","〇"]
[{"$f":"COLUMN(X114)&X114&COLUMN(Y114)&Y114&COLUMN(Z114)&Z114&COLUMN(AA114)&AA114&COLUMN(AC114)&AC114&COLUMN(AE114)&AE114&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"復旧（RC）","コミュニケーション","RC.CO-2","評判は、インシデント発生後に回復されている。\n（インシデント発生後の会社のレビューテーションが調査・回復されている。）","セキュリティインシデントにより低下したレピュテーションを回復できず、自組織の事業が継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n セキュリティインシデントにより発生したレピュテーション上の問題の有無を調査している。\n2.\n 1に加え、特定したレピュテーション上の問題が分析され、影響が把握されている。\n3.\n 2に加え、レピュテーション回復のための活動は、会社の事業戦略を踏まえ、経営層の承認を得て実施されている。\n4.\n 3に加え、レピュテーション回復のための活動について、過去の対応内容や対応結果が評価され、必要に応じて改善されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、経営層","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-",null,"-","-","〇"]
[{"$f":"COLUMN(X115)&X115&COLUMN(Y115)&Y115&COLUMN(Z115)&Z115&COLUMN(AA115)&AA115&COLUMN(AC115)&AC115&COLUMN(AE115)&AE115&COLUMN(#REF!)&#REF!","v":{"$error":"#REF!"}},"復旧（RC）","コミュニケーション","RC.CO-3","復旧活動は役員と経営陣だけでなく、内外の利害関係者にも周知されている。\n(内部の関係者、外部の関係者に対し、情報共有を行い、必要に応じて支援を求める。)","セキュリティインシデントによりサプライヤーからの信頼が落ち、自組織が適切に事業継続できない可能性がある。","情報システム/電力制御システム","\n0.\n 対応なし\n1.\n 復旧活動を行う上で必要となる外部の関係者の連絡先を把握し、一覧化している。\n2.\n 1に加え、必要に応じて監督官庁や警察等への連絡を行い、支援を依頼している。\n3.\n 2に加え、復旧活動に必要な外部の連絡先・連絡基準は復旧計画の中で定義されている。\n4.\n 3に加え、実際に行った復旧作業について事後レビューが行われ、復旧計画の改善に活用されている。\n","情報セキュリティ/IT、制御セキュリティ/OT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"第4-1条(勧告)\n第7-4条(勧告)","-","-","-","第4-1条(推奨)\n第10-4条(推奨)","(3)-ア\n(6)-エ","-","-","〇"]
[{"$f":"COLUMN(X116)&X116&COLUMN(Y116)&Y116&COLUMN(Z116)&Z116&COLUMN(AA116)&AA116&COLUMN(AC116)&AC116&COLUMN(AD116)&AD116&COLUMN(AE116)&AE116","v":"24-25-26-27-29-30-319"},"広域機関用","広域機関用","OCCTO-1","電力広域的運営推進機関提供の情報システムを利用する際のクライアント証明書の管理について、どのPCにどのクライアント証明書がインストールされているか管理している。","窃取したPCを利用して、システム内部に不正アクセスされ、事前に想定されていない動作をする可能性がある。","情報システム","\n0.\n 管理していない\n1.\n 管理しているが不十分なところがある\n2.\n 最新状態を管理している\n3.\n 2に加え、証明書が不要なPCからは証明書を消去している\n4.\n 3に加え、管理簿とインストールされたPCが一致しているか棚卸している\n","情報セキュリティ/IT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-",9,"〇"]
["24-25-26-27-29-30-319","広域機関用","広域機関用","OCCTO-2","電力広域的運営推進機関提供の情報システムを利用する際のクライアント証明書の管理について、各クライアント証明書の有効期限は管理簿等で管理している。","想定されていないクライアント証明書の有効期限切れにより、情報システムを利用するサービスが停止する可能性がある。","情報システム","\n0.\n 管理していない\n1.\n 管理しているが不十分なところがある\n2.\n 最新状態を管理している\n3.\n 2に加え、有効期限切れで使えないことにならないように、証明書を更新している\n4.\n 3に加え、管理簿の内容が正しいか定期的に棚卸確認している\n","情報セキュリティ/IT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-",9,"〇"]
["24-25-26-27-29-30-3110","広域機関用","広域機関用","OCCTO-3","電力広域的運営推進機関提供の情報システムを利用する際のクライアント証明書をインストールしたPCの管理について、その所在が明らかであり、定期的に棚卸確認している。","窃取したPCを利用して、システム内部に不正アクセスされ、事前に想定されていない動作をする可能性がある。","情報システム","\n0.\n 明らかになっていない\n1.\n 明らかにしているが管理は不十分である\n2.\n 管理簿等で最新の所在を管理している\n3.\n 2に加え、管理簿と実際の所在を突き合わせ棚卸確認している\n4.\n 3の活動は定期的に行われ定着している\n","情報セキュリティ/IT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-",10,"〇"]
["24-25-26-27-29-30-3110","広域機関用","広域機関用","OCCTO-4","電力広域的運営推進機関提供の情報システムを利用する際のクライアント証明書をインストールしたPCに対するアクセス権を管理している。","組織内の悪意のある関係者によって、不正にPCにアクセスされ、事前に想定されていない動作をする可能性がある。","情報システム","0.\n 管理しておらず、誰でも使用可能になっている\n1.\n アクセス権を持つユーザのみ使用可能であるが、アクセス権の所有者は管理されていない\n2.\n アクセス権を持つユーザのみ使用可能であり、アクセス権の所有者は常に最新状態が管理されている\n3.\n 2に加え、アクセス権は必要な者にのみ与えられている。\n4.\n 3に加え、不要な者にアクセス権が与えられないよう、定期的に棚卸確認されている","情報セキュリティ/IT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-",10,"〇"]
["24-25-26-27-29-30-3111","広域機関用","広域機関用","OCCTO-5","広域機関・スイッチング支援・容量市場システムのユーザID・パスワードの管理について、広域機関・スイッチング支援・容量市場システムに対するユーザIDの使用者を限定し、管理している。","組織内の悪意のある関係者によって、不正にPCにアクセスされ、事前に想定されていない動作をする可能性がある。","情報システム","\n0.\n 管理されていない\n1.\n 管理しているが十分とは言えない\n2.\n 管理しているが、タイムリーに最新状態を維持しているとは限らない\n3.\n 管理しており、常にタイムリーに最新状態を維持している\n4.\n 3に加え、実際のID付与者と管理簿が一致しているか、定期的に棚卸確認している\n","情報セキュリティ/IT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-",11,"〇"]
["24-25-26-27-29-30-3111","広域機関用","広域機関用","OCCTO-6","広域機関・スイッチング支援・容量市場システムのユーザID・パスワードの管理について、広域機関・スイッチング支援・容量市場システムに対するパスワードは定期的に更新し、使用者が変わった際は変更している。","窃取したID等を利用して、システム内部に不正アクセスされ、事前に想定されていない動作をする可能性がある。","情報システム","\n0.\n 更新していない、あるいは更新しているか把握していない\n1.\n 更新していない人がいる\n2.\n 全員が定期的に更新している\n3.\n  パスワードの定期更新と使用者変更の際のパスワード変更をルールに定めている\n4.\n  4に加え、ルールが守られているか定期的（年一回等）に確認している、又はパスワード定期更新や使用者変更の際のパスワード変更が強制的になされる仕組みにしている\n","情報セキュリティ/IT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-",11,"〇"]
["24-25-26-27-29-30-3112","広域機関用","広域機関用","OCCTO-7","需要者や発電設備設置者等の個人情報の管理について、自社の個人情報保護方針と個人情報の共同利用ポリシーについて、自社ホームページへ掲載している。\n（※該当しない場合は無選択でお願いします）","法制度等で規定されている水準のセキュリティ対策を実装できず、自組織のシステムの停止される可能性がある。","情報システム","\n0.\n 掲載していない\n1.\n 掲載しているが更新が必要か確認したことはない\n2.\n 掲載し、更新が必要か定期的に確認している\n3.\n 2に加え、タイムリーに内容を見直している\n4.\n 3に加え、改定した際は周知している\n","情報セキュリティ/IT、リスク/法務","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-",12,"〇"]
["24-25-26-27-29-30-3112","広域機関用","広域機関用","OCCTO-8","需要者や発電設備設置者等の個人情報の管理について、管理体制が決められ、取扱責任者と取扱担当者を明確にしている。\n（※該当しない場合は無選択でお願いします）","法制度等で規定されている水準のセキュリティ対策を実装できず、自組織のシステムの停止される可能性がある。","情報システム","\n0.\n 管理体制、責任者等は決められていない\n1.\n 管理体制、責任者等は決められているが、文書化は不十分である\n2.\n 管理体制、責任者等が文書に定められている\n3.\n 2に加え、人事異動等があった際も確実に更新されている\n4.\n 3に加え、関係者は個人情報の取り扱いについて定期的に教育されている\n","情報セキュリティ/IT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-",12,"〇"]
["24-25-26-27-29-30-3112","広域機関用","広域機関用","OCCTO-9","需要者や発電設備設置者等の個人情報の管理について、アクセス履歴を管理し、不正なアクセスがないか定期的に点検している。\n（※該当しない場合は無選択でお願いします）","組織内の悪意のある関係者によって、個人情報のデータバースに不正アクセスされ、保護すべきデータが漏えい・改ざんされる可能性がある。","情報システム","\n0.\n 個人情報へのアクセス履歴は管理されていない\n1.\n アクセス履歴は把握可能だが、管理していない\n2.\n アクセス履歴は管理されている\n3.\n 2に加え、定期的に点検されている\n4.\n 3に加え、必要に応じ運用の見直しや是正がされている\n","情報セキュリティ/IT","未選択",null,null,null,null,null,null,null,null,null,null,null,null,null,"-","-","-","-","-","-","-",12,"〇"]

{"sheet":"可視化結果","index":2,"n_rows":142,"n_cols":4,"rows_kept":142,"cut":false,"hidden":false,"merged":[[2,2,2,3]]}
["セキュリティ対策状況可視化結果"]
[{"$f":"IFERROR(IF(チェックシート!F3=事業者とガイドラインの対応関係!A2,事業者とガイドラインの対応関係!J2,IF(チェックシート!F3=事業者とガイドラインの対応関係!A3,事業者とガイドラインの対応関係!J3,IF(チェックシート!F3=事業者とガイドラインの対応関係!A4,事業者とガイドラインの対応関係!J4,IF(チェックシート!F3=事業者とガイドラインの対応関係!A5,事業者とガイドラインの対応関係!J5,IF(チェックシート!F3=事業者とガイドラインの対応関係!A6,事業者とガイドラインの対応関係!J6,IF(チェックシート!F3=事業者とガイドラインの対応関係!A7,事業者とガイドラインの対応関係!J7,\"※現在のスコアは、すべてのリスク点検項目に基づき評価している。\")))))),\"※現在のスコアは、すべてのリスク点検項目に基づき評価している。\")","v":"※現在のスコアは、すべてのリスク点検項目に基づき評価している。"}]
[null,null,"※カテゴリー・サブカテゴリーに対応付けされた項目がない場合は該当の行がグレーアウトされます。"]
["目次",null,"目次"]
["全カテゴリのスコア（特定・防御・検知・対応・復旧）",null,"全機能"]
["識別（ID）のスコア",null,"機能","平均スコア※"]
["防御（PR）のスコア",null,"識別（ID）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J8:J36),0)","v":0}]
["検知（DE）のスコア",null,"防御（PR）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J37:J75),0)","v":0}]
["対応（RS）のスコア",null,"検知（DE）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J76:J93),0)","v":0}]
["復旧（RC）のスコア",null,"対応（RS）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J94:J109),0)","v":0}]
[null,null,"復旧（RC）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J110:J115),0)","v":0}]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[null,null,"目次"]
[null,null,"識別（ID）"]
[null,null,"カテゴリー","平均スコア※"]
[null,null,"資産管理（ID.AM）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J8:J13),0)","v":0}]
[null,null,"ビジネス環境（ID.BE）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J14:J18),0)","v":0}]
[null,null,"ガバナンス（ID.GV）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J19:J22),0)","v":0}]
[null,null,"リスクアセスメント（ID.RA）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J23:J28),0)","v":0}]
[null,null,"リスク管理戦略（ID.RM）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J29:J31),0)","v":0}]
[null,null,"サプライチェーンリスクマネジメント（ID.SC）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J32:J36),0)","v":0}]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[null,null,"目次"]
[null,null,"防御（PR）"]
[null,null,"カテゴリー","平均スコア※"]
[null,null,"アクセス制御（PR.AC）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J37:J43),0)","v":0}]
[null,null,"意識向上及びトレーニング（PR.AT）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J44:J48),0)","v":0}]
[null,null,"データセキュリティ（PR.DS）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J49:J56),0)","v":0}]
[null,null,"情報を保護するためのプロセス及び手順（PR.IP）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J57:J68),0)","v":0}]
[null,null,"保守（PR.MA）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J69:J70),0)","v":0}]
[null,null,"保護技術（PR.PT）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J71:J75),0)","v":0}]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[null,null,"目次"]
[null,null,"検知（DE）"]
[null,null,"カテゴリー","平均スコア※"]
[null,null,"異常とイベント（DE.AE）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J76:J80),0)","v":0}]
[null,null,"セキュリティの継続的なモニタリング（DE.CM）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J81:J88),0)","v":0}]
[null,null,"検知プロセス（DE.DP）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J89:J93),0)","v":0}]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[null,null,"目次"]
[null,null,"対応（RS）"]
[null,null,"カテゴリー","平均スコア※"]
[null,null,"対応計画（RS.RP）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J94:J94),0)","v":0}]
[null,null,"コミュニケーション（RS.CO）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J95:J99),0)","v":0}]
[null,null,"分析（RS.AN）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J100:J104),0)","v":0}]
[null,null,"低減（RS.MI）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J105:J107),0)","v":0}]
[null,null,"改善（RS.IM）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J108:J109),0)","v":0}]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[]
[null,null,"目次"]
[null,null,"復旧（RC）"]
[null,null,"カテゴリー","平均スコア※"]
[null,null,"復旧計画（RC.RP）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J110:J110),0)","v":0}]
[null,null,"改善（RC.IM）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J111:J112),0)","v":0}]
[null,null,"コミュニケーション（RC.CO）",{"$f":"IFERROR(SUBTOTAL(1,チェックシート!J113:J115),0)","v":0}]

{"sheet":"可視化結果（広域機関用）","index":3,"n_rows":19,"n_cols":4,"rows_kept":19,"cut":false,"hidden":false,"merged":[[18,0,18,5],[1,1,1,2],[2,1,2,2],[0,0,0,2]]}
["情報セキュリティ対策自己診断結果"]
["会社名",{"$f":"IF(チェックシート!F2=0,\"\",チェックシート!F2)","v":""}]
["事業者コード",{"$f":"IF(チェックシート!F5=0,\"\",チェックシート!F5)","v":""}]
[]
["チェック項目","平均スコア※","対象サブカテゴリー名"]
["１：情報セキュリティリスクの認識、組織全体での対応方針の策定",{"$f":"AVERAGEIF(チェックシート!AE:AE,D6,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"ID.GV-1,3\nDE.DP-2",1]
["２：情報セキュリティリスク管理体制の構築",{"$f":"AVERAGEIF(チェックシート!AE:AE,D7,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"ID.GV-2,4",2]
["３：情報セキュリティ対策のための資源（予算、人材等）確保",{"$f":"AVERAGEIF(チェックシート!AE:AE,D8,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"PR.AT-1~5",3]
["４：情報セキュリティリスクの把握とリスク対応に関する計画の策定",{"$f":"AVERAGEIF(チェックシート!AE:AE,D9,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"ID.AM-1~5\nID.RA-1,3~6\nID.RM-1~3",4]
["５：情報セキュリティリスクに対応するための仕組みの構築",{"$f":"AVERAGEIF(チェックシート!AE:AE,D10,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"PR.AC-1~7\nPR.AT-1\nPR.DS1~8\nPR.IP-12\nDE.AE-1,4,5\nDE.DP-1,3,4,5",5]
["６：情報セキュリティ対策におけるPDCAサイクルの実施",{"$f":"AVERAGEIF(チェックシート!AE:AE,D11,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"PR.IP-7",6]
["７：インシデント発生時の緊急対応体制の整備",{"$f":"AVERAGEIF(チェックシート!AE:AE,D12,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"RS.CO-1~5\nPR.IP-9,10\nRS.RP-1\nRS.IM-1,2",7]
["８：情報共有活動への参加を通じた攻撃情報の入手とその有効活用及び提供",{"$f":"AVERAGEIF(チェックシート!AE:AE,D13,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"ID.RA-2",8]
["９：電力広域的運営推進機関提供の情報システムを利用する際のクライアント証明書の管理について",{"$f":"AVERAGEIF(チェックシート!AE:AE,D14,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"OCCTO-1\nOCCTO-2",9]
["１０：クライアント証明書をインストールしたPCの管理について",{"$f":"AVERAGEIF(チェックシート!AE:AE,D15,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"OCCTO-3\nOCCTO-4",10]
["１１：広域機関システム、スイッチング支援システム、容量市場システムのユーザID,パスワードの管理について",{"$f":"AVERAGEIF(チェックシート!AE:AE,D16,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"OCCTO-5\nOCCTO-6",11]
["１２：需要者や発電設備設置者等の個人情報の管理について",{"$f":"AVERAGEIF(チェックシート!AE:AE,D17,チェックシート!J:J)","v":{"$error":"#DIV/0!"}},"OCCTO-7\nOCCTO-8\nOCCTO-9",12]
[]
["※平均スコアは2以上が望まれるレベルです。2未満の項目については、足りない点を明らかにし、改善に向け取り組まれるようお願いいたします。"]

{"sheet":"設問集計結果（広域機関用）","index":4,"n_rows":5,"n_cols":88,"rows_kept":5,"cut":false,"hidden":false,"merged":[]}
[null,null,null,null,null,null,null,null,"チェック項目別結果",null,null,null,null,null,null,null,null,null,null,null,"サブカテゴリー別（項目1）",null,null,"サブカテゴリー別（項目2）",null,"サブカテゴリー別（項目3）",null,null,null,null,"サブカテゴリー別（項目4）",null,null,null,null,null,null,null,null,null,null,null,null,"サブカテゴリー別（項目5）",null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,null,"サブカテゴリー別（項目6）","サブカテゴリー別（項目7）",null,null,null,null,null,null,null,null,null,"サブカテゴリー別（項目8）","サブカテゴリー別（項目9）",null,"サブカテゴリー別（項目10）",null,"サブカテゴリー別（項目11）",null,"サブカテゴリー別（項目12）"]
["事業者名","事業者コード","発電","小売電気","一般送配電","送電","特定送配電","登録特定送配電",1,2,3,4,5,6,7,8,9,10,11,12,"ID.GV-1","ID.GV-3","DE.DP-2","ID.GV-2","ID.GV-4","PR.AT-1","PR.AT-2","PR.AT-3","PR.AT-4","PR.AT-5","ID.AM-1","ID.AM-2","ID.AM-3","ID.AM-4","ID.AM-5","ID.RA-1","ID.RA-3","ID.RA-4","ID.RA-5","ID.RA-6","ID.RM-1","ID.RM-2","ID.RM-3","PR.AC-1","PR.AC-2","PR.AC-3","PR.AC-4","PR.AC-5","PR.AC-6","PR.AC-7","PR.AT-1","PR.DS-1","PR.DS-2","PR.DS-3","PR.DS-4","PR.DS-5","PR.DS-6","PR.DS-7","PR.DS-8","PR.IP-12","DE.AE-1","DE.AE-4","DE.AE-5","DE.DP-1","DE.DP-3","DE.DP-4","DE.DP-5","PR.IP-7","RS.CO-1","RS.CO-2","RS.CO-3","RS.CO-4","RS.CO-5","PR.IP-9","PR.IP-10","RS.RP-1","RS.IM-1","RS.IM-2","ID.RA-2","OCCTO-1","OCCTO-2","OCCTO-3","OCCTO-4","OCCTO-5","OCCTO-6","OCCTO-7","OCCTO-8","OCCTO-9"]
[{"$f":"チェックシート!F2","v":0},{"$f":"チェックシート!F5","v":0},false,false,false,false,false,false,{"$f":"'可視化結果（広域機関用）'!B6","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B7","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B8","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B9","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B10","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B11","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B12","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B13","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B14","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B15","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B16","v":{"$error":"#DIV/0!"}},{"$f":"'可視化結果（広域機関用）'!B17","v":{"$error":"#DIV/0!"}},{"$f":"VLOOKUP(U2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(V2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(W2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(X2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(Y2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(Z2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AA2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AB2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AC2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AD2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AE2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AF2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AG2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AH2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AI2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AJ2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AK2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AL2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AM2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AN2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AO2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AP2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AQ2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AR2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AS2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AT2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AU2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AV2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AW2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AX2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AY2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(AZ2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BA2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BB2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BC2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BD2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BE2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BF2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BG2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BH2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BI2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BJ2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BK2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BL2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BM2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BN2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BO2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BP2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BQ2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BR2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BS2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BT2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BU2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BV2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BW2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BX2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BY2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(BZ2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(CA2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(CB2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(CC2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(CD2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(CE2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(CF2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(CG2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(CH2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(CI2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"},{"$f":"VLOOKUP(CJ2,チェックシート!$D$7:$J$124,7,FALSE)","v":"未選択"}]
[]
["ツールで集計する際、回答を読み込みしやすくするため、回答を一行にまとめたシート"]

{"sheet":"フィルター個数確認","index":5,"n_rows":24,"n_cols":2,"rows_kept":24,"cut":false,"hidden":true,"merged":[]}
["カテゴリー","フィルター個数"]
["資産管理（ID.AM）",{"$f":"SUBTOTAL(3,チェックシート!J8:J13)","v":6}]
["ビジネス環境（ID.BE）",{"$f":"SUBTOTAL(3,チェックシート!J14:J18)","v":5}]
["ガバナンス（ID.GV）",{"$f":"SUBTOTAL(3,チェックシート!J19:J22)","v":4}]
["リスクアセスメント（ID.RA）",{"$f":"SUBTOTAL(3,チェックシート!J23:J28)","v":6}]
["リスク管理戦略（ID.RM）",{"$f":"SUBTOTAL(3,チェックシート!J29:J31)","v":3}]
["サプライチェーンリスクマネジメント（ID.SC）",{"$f":"SUBTOTAL(3,チェックシート!J32:J36)","v":5}]
["アクセス制御（PR.AC）",{"$f":"SUBTOTAL(3,チェックシート!J37:J43)","v":7}]
["意識向上及びトレーニング（PR.AT）",{"$f":"SUBTOTAL(3,チェックシート!J44:J48)","v":5}]
["データセキュリティ（PR.DS）",{"$f":"SUBTOTAL(3,チェックシート!J49:J56)","v":8}]
["情報を保護するためのプロセス及び手順（PR.IP）",{"$f":"SUBTOTAL(3,チェックシート!J57:J68)","v":12}]
["保守（PR.MA）",{"$f":"SUBTOTAL(3,チェックシート!J69:J70)","v":2}]
["保護技術（PR.PT）",{"$f":"SUBTOTAL(3,チェックシート!J71:J75)","v":5}]
["異常とイベント（DE.AE）",{"$f":"SUBTOTAL(3,チェックシート!J76:J80)","v":5}]
["セキュリティの継続的なモニタリング（DE.CM）",{"$f":"SUBTOTAL(3,チェックシート!J81:J88)","v":8}]
["検知プロセス（DE.DP）",{"$f":"SUBTOTAL(3,チェックシート!J89:J93)","v":5}]
["対応計画（RS.RP）",{"$f":"SUBTOTAL(3,チェックシート!J94:J94)","v":1}]
["コミュニケーション（RS.CO）",{"$f":"SUBTOTAL(3,チェックシート!J95:J99)","v":5}]
["分析（RS.AN）",{"$f":"SUBTOTAL(3,チェックシート!J100:J104)","v":5}]
["低減（RS.MI）",{"$f":"SUBTOTAL(3,チェックシート!J105:J107)","v":3}]
["改善（RS.IM）",{"$f":"SUBTOTAL(3,チェックシート!J108:J109)","v":2}]
["復旧計画（RC.RP）",{"$f":"SUBTOTAL(3,チェックシート!J110:J110)","v":1}]
["改善（RC.IM）",{"$f":"SUBTOTAL(3,チェックシート!J111:J112)","v":2}]
["コミュニケーション（RC.CO）",{"$f":"SUBTOTAL(3,チェックシート!J113:J115)","v":3}]

{"sheet":"事業者とガイドラインの対応関係","index":6,"n_rows":8,"n_cols":10,"rows_kept":8,"cut":false,"hidden":true,"merged":[]}
[null,"電力制御システム\nセキュリティガイドライン\n（JEAG1111-2019）","ERABに関する\nサイバーセキュリティ\nガイドライン Ver 2.0","小売電気事業者のための\nサイバーセキュリティ対策\nガイドライン Ver 1.0","系統連系技術要件\n【託送供給等約款別冊】","自家用電気工作物に係るサイバーセキュリティの確保に関するガイドライン（内規）","特定卸供給事業に係るサイバーセキュリティ確保の指針","サイバーセキュリティ\n経営ガイドライン Ver 2.0","広域提出用"]
["発電事業者","〇",null,null,null,null,null,null,null,"※現在のスコアは、「電力制御システムセキュリティガイドライン（JEAG1111-2019）」の項目と対応付け可能なリスク点検項目に基づき評価している。"]
["小売電気事業者",null,null,"〇",null,null,null,"〇",null,"※現在のスコアは、「小売電気事業者のためのサイバーセキュリティ対策ガイドライン Ver. 1.0」の項目と対応付け可能なリスク点検項目に基づき評価している。"]
["自家用電気工作物設置者",null,null,null,"〇","〇",null,null,null,"※現在のスコアは、「自家用電気工作物に係るサイバーセキュリティの確保に関するガイドライン（内規）」の項目と対応付け可能なリスク点検項目に基づき評価している。"]
["アグリゲーター",null,"〇",null,null,null,"〇",null,null,"※現在のスコアは、「ERABに関するサイバーセキュリティガイドライン Ver 2.0」、「特定卸供給事業に係るサイバーセキュリティの確保の指針」の項目と対応付け可能なリスク点検項目に基づき評価している。"]
["その他",null,null,null,null,null,null,"〇",null,"※現在のスコアは、「サイバーセキュリティ経営ガイドライン Ver 2.0」の要求事項と対応付けされる項目で評価している"]
["広域機関提出用",null,null,null,null,null,null,null,"〇","※現在のスコアは、広域機関に提出するリスク点検項目に基づき評価している。"]
["全て表示","〇","〇","〇","〇","〇","〇","〇","〇"]

{"sheet":"選択肢","index":7,"n_rows":6,"n_cols":2,"rows_kept":6,"cut":false,"hidden":true,"merged":[]}
["発電事業者","未選択"]
["小売電気事業者",0]
["自家用電気工作物設置者",1]
["アグリゲーター",2]
["広域機関提出用",3]
["全て表示",4]