別添４

図表４−４−９

政府機関等における情報セキュリティ対策に関する統一的な取組
別添４−４ サイバーセキュリティ基本法に基づく監査

政府機関マネジメント監査における

統一基準項目別 指摘比率（上位５件）
2020-21年度

順位

2022-23年度

項目

比率

項目

比率

１

6.1 情報システムのセキュリティ機能

15.3%

6.1 情報システムのセキュリティ機能

19.6%

２

4.1 外部委託

11.5%

4.2 外部サービスの利用

12.5%

３

7.1 端末・サーバ装置等

10.9%

4.1 業務委託

10.2%

４

5.1 情報システムに係る文書等の整備

9.3%

7.1 端末・サーバ装置等

8.8%

５

6.2 情報セキュリティの脅威への対策

8.7%

5.1 情報システムに係る文書等の整備

8.0%

図表４−４−10 独立行政法人等マネジメント監査における
統一基準項目別 指摘比率（上位５件）
2020-21年度

順位

2022-23年度

項目

１

6.1 情報システムのセキュリティ機能

２

比率

項目

比率

15.6％

6.1 情報システムのセキュリティ機能

14.7％

4.1 外部委託

15.1％

4.2 外部サービスの利用

12.5％

３

3.1 情報の取扱い

9.5％

4.1 業務委託

12.2％

４

7.1 端末・サーバ装置等

8.3％

3.1 情報の取扱い

9.2％

５

6.2 情報セキュリティの脅威への対策

7.0％

7.1 端末・サーバ装置等

8.6％

ペネトレーションテストで発見される問題の種類は、政府機関、独立行政法人等のいずれ
においても似通った傾向が見られる（図表４−４−11）。中でも、発見された主な問題の多数
を認証情報（パスワード等）の管理不備が占める状況は、戦略本部監査開始時から継続して
いる。
図表４−４−11 ペネトレーションテストで発見された主な問題の種類
主な問題の種類

具体的な問題の例

認証情報の管理不備

比較的容易に推測できるパスワードを使用している。

セキュリティ設定の不備

ファイル等に対する適切なアクセス制限が設定されていない。

ソフトウェア脆弱性管理の不備

脆弱性が報告されているバージョンのソフトウェアを使用している。

Webアプリケーション脆弱性

プログラムの不具合による情報漏えい等の危険性があるWebアプリケーションを使
用している。

別添４ - 16 -