クラウド利用手順書
1. 目的
本手順書は、クラウドサービス利用に伴う情報セキュリティリスクを管理し、
ISO/IEC 27001 および ISO/IEC 27017 の要求事項を満たすことを目的とする。
2. 適用範囲
- 株式会社 PacPort が利用するクラウドサービス全般
(例: AWS, Google Cloud, Cloudflare, GitHub, Slack, Notion 等)
- 当社の役員、従業員、契約社員、委託先業者
3. 責任と役割
| 役割 |
責任 |
| トップマネジメント |
クラウド利用方針の承認、責任分界の最終決定 |
| 情報セキュリティ委員長 |
利用クラウドの承認、リスクアセスメント実施 |
| 情報システム管理者 |
クラウド設定、アカウント管理、ログ監査 |
| 各部門管理者 |
部門でのクラウド利用状況の管理 |
| 従業者 |
本手順に基づいた適切なクラウド利用 |
4. クラウドサービスの利用ルール
4.1 承認済みクラウドサービス
- 承認リストに掲載されたサービスのみ利用可能
- 個人契約のクラウドは業務利用禁止
4.2 契約時の確認事項
- データ保存リージョンの確認
- インシデント報告義務の有無
- データ返却・削除の保証条項
- サービス停止時の影響と対応策
- 暗号化方式・鍵管理の方法
4.3 アカウント管理
- MFA（多要素認証）の必須化
- 管理者権限アカウントの最小化（原則2名以下）
- 退職・異動時の即時アカウント削除
4.4 データ管理
- 機密データは保存時・転送時に暗号化
- 個人情報はクラウドに保存する場合、責任分界を明確化
- 利用終了時はデータ削除証明を取得
4.5 ログ・監査
- すべてのアクセス・操作ログを記録
- 月次で監査し、不正利用の兆候を確認
- 必要に応じて監査ログを ISMS 委員会に報告
5. 教育・訓練
- 年次セキュリティ教育においてクラウド利用ルールを周知
- 誤設定事例（例: AWS S3 公開設定ミス）を教材に活用
- 新規クラウド導入時は関係者へトレーニングを実施
6. リスクアセスメントとの連携
- 全クラウドサービスを資産目録（A-10, B-06-01）に登録
- 年次リスクアセスメントにおいてクラウド固有リスクを評価
- 必要に応じてリスク対応計画（B-06-03）に反映
7. 関連文書
改訂履歴
| 改訂日 |
版数 |
内容 |
承認者 |
| 2025-01-01 |
v1.0 |
新規制定 |
沈 燁 |