A-03 情報セキュリティ手順書¶
情報セキュリティ手順書
| 文書番号 | A-03 |
|---|---|
| 版数 | 第1.2版 |
| 発行者 | 情報セキュリティ委員会 |
| 制定日 | 2024年1月15日 |
| 最終改訂日 | 2024年5月10日 |
| 承認 | 作成 |
|---|---|
| 沈 燁 |
|
| 改訂履歴 | |||||
|---|---|---|---|---|---|
| 改訂日 | 版数 | 内容 | 承認 | 作成 | |
| 2024年1月15日 | 1.0 | 新規制定 | |||
| 2024年4月23日 | 1.1 | 5.14 情報の転送 f）Eメールの利用 管理者もしくはCTOが定期的に従業員のメール送信履歴を確認する。（ほかの権限付与招待も同様とする） を追加 k）誤送信等のインシデンが発生した場合は、直ちにセキュリティ委員長へ報告、さらに先方へ連絡し、可能なかぎり立ち合いの上、削除したことの確認を行う。 を追加 7.2 物理的入退 b）外来者の記録 ・全文章を1）として記載。 ・2）電子カレンダーにb) 1) 内の情報を明記する入退受付票と同等とする。 を追加 8.7 マルウェアに対する保護 c）業務で使用するソフトはAPP STOREのみでダウンロードできるものしか使用しない。その他のソフトを使用する場合はCTOの承認を得る。 を追加 |
沈 燁 | 委員会 | |
| 2024年5月10日 | 1.2 | 5.15 アクセス制御 b）社内LANは、情報システム管理者の承認を得た要員、装置に限り接続できる。 c）外部から社内のアクセスは、ファイアウォール経由によりパケットを制限する。 d）外部から社内のサーバに接続する場合、VPN接続を使用する。 上記を削除。英項番修正 5.17 認証情報 g）パスワードをシステムに記憶させることは厳禁とする。 上記を削除。 8.4 ソースコードへのアクセス 「プログラムソースは、アクセス権で管理されたフォルダに保管する。またプログラムリスト及びプログラムをコピーした媒体は、機密レベルに従って保管すること。」 下記に修正 「プログラムソースは、GITHUBにてアクセス権限・修正記録等を管理し保管する。」 8.7 マルウェアに対する保護 b）ファイルの拡張子を表示させる設定とし、添付ファイルの拡張子が、通常使用しないものの場合、ファイルの参照等は行わないこと。 （通常使用しないファイルの拡張子の例）.exe、.pif、.scr 上記を削除。英項番修正 |
沈 燁 | 委員会 | |
目次
5.1 情報セキュリティのための方針群 [1](#情報セキュリティのための方針群)
5.2 情報セキュリティの役割及び責任 [2](#情報セキュリティの役割及び責任)
5.7 脅威インテリジェンス [3](#脅威インテリジェンス)
5.8 プロジェクトマネジメントにおける情報セキュリティ [3](#プロジェクトマネジメントにおける情報セキュリティ)
5.9 情報及びその他の関連資産の目録 [3](#_Toc148162629)
5.10 情報及びその他の関連資産の許容される利用 [3](#情報及びその他の関連資産の許容される利用)
5.19 供給者関係における情報セキュリティ [7](#供給者関係における情報セキュリティ)
5.20 供給者との合意における情報セキュリティの取扱い [7](#供給者との合意における情報セキュリティの取扱い)
5.21 情報通信技術(ICT)サプライチェーンにおける情報セキュリティの管理 [7](#情報通信技術ictサプライチェーンにおける情報セキュリティの管理)
5.22 供給者のサービス提供の監視、レビュー及び変更管理 [7](#供給者のサービス提供の監視レビュー及び変更管理)
5.23 クラウドサービスの利用における情報セキュリティ [8](#クラウドサービスの利用における情報セキュリティ)
5.24 情報セキュリティインシデント管理の計画策定及び準備 [8](#_Toc148162644)
5.25 情報セキュリティ事象の評価及び決定 [8](#情報セキュリティ事象の評価及び決定)
5.26 情報セキュリティインシデントへの対応 [8](#情報セキュリティインシデントへの対応)
5.27 情報セキュリティインシデントからの学習 [9](#情報セキュリティインシデントからの学習)
5.29 事業の中断・阻害時の情報セキュリティ [9](#事業の中断阻害時の情報セキュリティ)
5.30 事業継続のためのICTの備え [10](#事業継続のためのictの備え)
5.31 法令、規制及び契約上の要求事項 [10](#法令規制及び契約上の要求事項)
5.34プライバシー及び個人識別可能情報(PII)の保護 [11](#プライバシー及び個人識別可能情報piiの保護)
5.35 情報セキュリティの独立したレビュー [11](#情報セキュリティの独立したレビュー)
5.36 情報セキュリティのための方針群、規則及び標準の順守 [11](#情報セキュリティのための方針群規則及び標準の順守)
6.3 情報セキュリティの意識向上、教育及び訓練 [12](#情報セキュリティの意識向上教育及び訓練)
6.5 雇用の終了又は変更後の責任 [12](#雇用の終了又は変更後の責任)
6.6 秘密保持契約又は守秘義務契約 [12](#秘密保持契約又は守秘義務契約)
6.8 情報セキュリティ事象の報告 [13](#情報セキュリティ事象の報告)
7.1 物理的セキュリティ境界 [13](#物理的セキュリティ境界)
7.3 オフィス、部屋及び施設のセキュリティ [14](#オフィス部屋及び施設のセキュリティ)
7.4 物理的セキュリティの監視 [14](#物理的セキュリティの監視)
7.5 物理的及び環境的脅威からの保護 [14](#物理的及び環境的脅威からの保護)
7.6 セキュリティを保つべき領域での作業 [14](#セキュリティを保つべき領域での作業)
7.7 クリアデスク・クリアスクリーン [14](#クリアデスククリアスクリーン)
7.8 装置の設置及び保護 [15](#装置の設置及び保護)
7.9 構外にある資産のセキュリティ [15](#構外にある資産のセキュリティ)
7.11 サポートユーティリティ [15](#サポートユーティリティ)
7.12 ケーブル配線のセキュリティ [16](#ケーブル配線のセキュリティ)
7.14 装置のセキュリティを保った処分又は再利用 [16](#装置のセキュリティを保った処分又は再利用)
8.1 利用者エンドポイント機器 [16](#利用者エンドポイント機器)
8.3 情報へのアクセス制限 [17](#情報へのアクセス制限)
8.4 ソースコードへのアクセス [17](#ソースコードへのアクセス)
8.5 セキュリティを保った認証 [17](#セキュリティを保った認証)
8.7 マルウェアに対する保護 [17](#マルウェアに対する保護)
8.8 技術的ぜい弱性の管理 [18](#技術的ぜい弱性の管理)
8.13 情報のバックアップ [19](#情報のバックアップ)
8.14 情報処理施設・設備の冗長性 [19](#情報処理施設設備の冗長性)
8.18 特権的なユーティリティプログラムの使用 [19](#特権的なユーティリティプログラムの使用)
8.19 運用システムへのソフトウェアの導入 [20](#運用システムへのソフトウェアの導入)
8.20 ネットワークセキュリティ [20](#ネットワークセキュリティ)
8.21 ネットワークサービスのセキュリティ [20](#ネットワークサービスのセキュリティ)
8.22 ネットワークの分離 [20](#ネットワークの分離)
8.23 ウェブフィルタリング [21](#ウェブフィルタリング)
8.25 セキュリティに配慮した開発のライフサイクル [21](#セキュリティに配慮した開発のライフサイクル)
8.26 アプリケーションセキュリティの要求事項 [21](#アプリケーションセキュリティの要求事項)
8.27 セキュリティに配慮したシステムアーキテクチャ及びシステム構築の原則 [22](#セキュリティに配慮したシステムアーキテクチャ及びシステム構築の原則)
8.28 セキュリティに配慮したコーディング [22](#セキュリティに配慮したコーディング)
8.29 開発及び受入れにおけるセキュリティテスト [22](#開発及び受入れにおけるセキュリティテスト)
8.30 外部委託による開発 [22](#外部委託による開発)
8.31 開発環境、テスト環境及び本番環境の分離 [22](#開発環境テスト環境及び本番環境の分離)
8.34 監査におけるテスト中の情報システムの保護 [23](#監査におけるテスト中の情報システムの保護)
1. 目的¶
本手順は、資産を適切に保護するために必要な人的、物理的、及びシステム的な管理策と、これを実施するための手順を示したものである。
2. 適用範囲¶
本手順は当組織の全従業者を対象とする。
3. 用語の定義¶
用語の定義は「JISQ27001：2025(ISO/IEC27001:2022+Amd 1:2024)」、及び「ISMSマニュアル」に準ずる。
主な用語の定義は以下の通り。
| 用語 | 定義 |
|---|---|
| トップマネジメント（経営陣） | 代表取締役 沈 燁 |
| 情報セキュリティ委員長 |
|
| 情報セキュリティ委員会 | 当組織の情報セキュリティマネジメントシステムの実施、運用についての部門管理者及び個別の管理業務の責任者で構成する組織。 |
| 当組織 | 株式会社PacPort |
| 従業者 | 当組織の従業者 |
4. 本手順書の構成¶
本手順は「JISQ27001：2025(ISO/IEC27001：2022+Amd 1：2024) 附属書A」の体系に準じて構成する。
5. 組織的管理策¶
5.1 情報セキュリティのための方針群¶
a）情報セキュリティ委員会は、「情報セキュリティ方針」等の情報セキュリティに関する方針を定義し、トップマネジメントの承認を得る。また、情報セキュリティ委員会は、情報セキュリティに関する方針を適用範囲内の全従業者に公表する。また、「情報セキュリティ方針」は外部関係者にも公表する。
b）情報セキュリティ委員会は、「情報セキュリティ方針」以外の情報セキュリティのためのトピック固有の個別方針を、本手順において定める。個別方針には以下を含めるものとする。
1） アクセス制御
2） 物理的及び環境的セキュリティ
3） 資産管理
4） 情報の転送
5） 利用者終端装置の安全な構成及び取扱い
6） ネットワークセキュリティ
7） 情報セキュリティインシデント管理
8） バックアップ
9） 暗号及び鍵管理
10） 情報の分類及び取扱い
11） 技術的ぜい弱性の管理
12） セキュリティに配慮した開発
c）情報セキュリティ委員会は、年に一度、又は重大な変化が生じた際に、「情報セキュリティ方針」等の情報セキュリティに関する方針のレビューを行う。情報セキュリティ方針」等の情報セキュリティに関する方針の改訂を行った場合はトップマネジメントの承認を得る。
5.2 情報セキュリティの役割及び責任¶
情報セキュリティの役割及び責任は「ISMSマニュアル5.3」において定める。
5.3 職務の分離¶
a）当組織は、申請者又は作業者と、承認者を分離するように組織設計する。
b）要員の制約により兼任せざるを得ない場合、別部門等による監視を行うことを条件に、兼任することができる。
5.4 管理層の責任¶
トップマネジメントは、適用範囲の全従業者に対し、情報セキュリティ方針、本手順、並びにその他情報セキュリティ上の要求事項への遵守を求める。
5.5 関係当局との連絡¶
連絡先一覧表
5.6 専門組織との連絡¶
連絡先一覧表
5.7 脅威インテリジェンス¶
当組織に関連する脅威情報について、以下の様に収集・分析し必要な対応を行う。
a）脅威情報は「連絡先一覧表」に特定した専門組織やニュース等より入手をする。
b）情報セキュリティ委員会は、リスクアセスメントを実施する際、必要に応じて入手した脅威情報を考慮する。
c）リスクアセスメントの結果から適切なリスク対応を決定し実施する。
5.8 プロジェクトマネジメントにおける情報セキュリティ¶
a）プロジェクト管理者は、プロジェクトにおける必要な管理策を特定する。
b）プロジェクトにおける必要な管理策は、プロジェクト終了後も考慮する。
c）プロジェクト管理者は、情報セキュリティ責任者を任命する。
d）プロジェクト管理者は、情報システムの導入・改善にあたっては、必要に応じて情報セキュリティ上の要求事項を、要件定義書やRFP等により文書化する。
資産目録
年間計画表
a）情報セキュリティ委員会は「資産目録」を作成し、当組織における重要な資産を識別する。また「資産目録」を「年間計画表」に従い、最低年一回見直す。
b）情報セキュリティ委員会は「資産目録」において特定した資産に対し、同目録上に管理責任者を記載することで管理責任を明確にする。
5.10 情報及びその他の関連資産の許容される利用¶
a）アクセス権限の設定において情報資産の許容範囲を明確にする。
b）情報の区分ごとの取扱いルールを以下に示す。
【文書・メディア等の場合】
| № | 管理区分 | 関係者外秘 | 社外秘 | 一般 |
|---|---|---|---|---|
| １ | ラベル表示 | 責任者に一任 | 責任者に一任 | 不要 |
| ２ | 利用者 |
|
|
誰でも可 |
| ３ | 再配付 |
|
社内に限る | 特別な配慮不要 |
| ４ | 保管場所 |
|
責任者に一任 | |
| ５ | コピーの使用 |
|
社内に限る | |
| ６ | FAX送信 |
|
社内に限る | |
| ７ | 裏紙使用 (Note1) |
禁止 | 禁止 | |
| ８ | 社外便 |
|
||
| ９ | 社外での携行 輸送 |
|
||
| 10 | 廃棄（文書） (Note4) |
|
責任者に一任 | |
| 11 | 廃棄処分 （媒体） |
廃棄、再利用前の内容消去 | ||
Note1：機密情報の記された書類は再利用しないこと。
Note2：紙や記憶媒体による機密情報を郵便や宅配便等により移送するときは、誤配、紛失等の危険を最小限にするため、ポストへの施錠、受け取り確認が可能な移送手段の選択等の措置を講じる。
Note3：機密情報を外部へ持ち出す際は、目的地以外へ立ち寄らず、手放さない、車中に放置しないよう徹底する。
Note4：紙に記された機密情報の廃棄は、シュレッダーによる裁断、焼却、溶解いずれかの方法で処分する。また、廃棄前の一時保管場所からの紛失・盗難防止のため、重要書類は即廃棄する。
【システム内情報】
| № | 管理区分 | 関係者外秘 | 社外秘 | 一般 |
|---|---|---|---|---|
| １ | アクセス制御 |
|
|
特別な 配慮不要 |
| ２ |
|
|
|
|
| ３ |
|
|
|
|
| ４ |
|
|
|
|
| ５ |
|
|
||
Note1：コピーは、バックアップの必要上及び業務上やむをえない場合の必要最小限の範囲にとどめるものとする。
Note2：取引先との合意がある場合は、その合意に従う。
5.11 資産の返却¶
情報セキュリティ委員会は、退職者が発生した際、必要に応じて異動者が発生した際も、以下の対応を部門長に要求し、実施されたことを確認する。
a）名刺、社員証、IDカード等の返却
b）会社が支給したPC、携帯電話、外部記憶媒体等の返却
c）紙で保管する書類の返却、又は廃棄
5.12 情報の分類¶
ISMS数値評価基準
5.13 情報のラベル付け¶
従業者は取り扱う情報が、情報の分類区分のうち、どれに該当するか認識できなければならない。書類の分類を容易に認識できない場合は、以下のいずれかの方法により適切なラベリングを施す。
a）分類をシール等の色により識別する
b）ファイル等に分類を記入（またはスタンプ）することで識別する
c）分類ごとに収納場所を分ける
5.14 情報の転送¶
a）情報の転送先との間で、情報転送の手段について、予め合意を得る。
b）重要な情報を外部にFAXにて送信する場合は、入力した番号と、名刺や送り状を照合し、間違えがないことを確認してからスタートボタンを押す。また頻繁に送信する送り先は短縮ダイヤルに登録する。
c）重要な情報を外部に郵送する場合は、配達記録郵便や宅配便等の配達記録が残る手段をとる。
d）重要な情報を格納した媒体は、手渡しを原則とし、やむを得ず移送する場合は、十分な梱包により媒体を保護する。
e）個人情報の授受記録
1）紙や記憶媒体による個人情報の授受に際しては、送付票や受領証等で授受の完了を確認すること。
2）電子メールにより個人情報の授受を行う際には送信済みメール及び、受領確認の返信メールのいずれか又は両方を授受記録とする。
f）Eメールの利用
1）Eメールは会社所定のソフトを使用し、その利用は業務上必要な場合に限定すること。
2）重要な情報（社外秘以上）を外部に送信する場合は、メール本文に記載して送信せず、伝達手段を送信先との間で合意する。
3) 管理者もしくはCTOが定期的に従業員のメール送信履歴を確認する。（ほかの権限付与招待も同様とする）
g）重要な情報を外部にメール添付又はFAXにて送信する場合は、必要に応じて送信予告、到着確認の電話を掛ける。
h）宅配便業者を利用する場合は、会社が指定する業者を利用する。
i）当組織のWebサイトに入力された情報の通信はSSL/TLSにより行う。
j）電子データによる個人情報をインターネット経由で送受信する際は、SSL/TLS等の暗号化対策やパスワード設定等の措置を講じる。
k）誤送信等のインシデンが発生した場合は、直ちにセキュリティ委員長へ報告、さらに先方へ連絡し、可能なかぎり立ち合いの上、削除したことの確認を行う。
5.15 アクセス制御¶
a）情報は業務に必要な者のみにアクセスが出来るようにし、アクセス権限及び操作権限は、認められた場合以外は与えない。
b）無線LANは物理的・論理的な認証、通信の暗号化等を施したうえで利用する。
5.16 識別情報の管理¶
a）機器類及び情報システムの利用者登録・登録削除は、当該利用者の属する部門長が申請し、情報システム管理者の承認を得る。
b）利用者登録は業務上必要な範囲で従業者に付与する。
5.17 認証情報¶
a）利用者は8文字以上の英数字混在のパスワードを設定し、大小文字の組み合わせを含めなければならない。他人に容易に推測されるような、わかりやすいパスワードは使用してはならない。また、利用者はパスワードを必要に応じて随時変更しなければならない。
b）各システムにおける管理者IDのパスワードは、情報システム管理者において厳重に管理しなければならない。
c）利用者及び情報システム管理者は、パスワードの代替若しくは補完のために、指紋などの生体認証、ICカード認証などの機器による認証方式を採用することもできるものとする。
d）情報システム管理者は、利用者に仮パスワードを発行する場合、利用者本人のみが知ることができる方法で通知しなければならない。
e）情報システム管理者は、利用者に対し、仮パスワードを直ちに変更することを要求し、通知する。
f）パスワードの入力は対話式とする。
5.18 アクセス権¶
a）利用者のアクセス権は、重要情報に対しては必要最小限の者がアクセスするという原則のもとに、情報システム管理者が検討し、設定を行う。
b）情報システム管理者は、定期的（最低年一回）及び必要時にアクセス権限の棚卸及び見直しを行う。
c）退職者が発生した際は、業務に支障がないよう調整し、速やかに該当アカウントを削除しなければならない。申請は、当該要員が最後に所属した部門の長がアクセス権限の削除を申請し、情報システム管理者、又はその指名する要員が削除する。
d）他部署への移動が生じた際は、c)の手順に従い削除する。また、新規のアクセス権限は移動先部門の長が申請し、同様の手順に従い登録する。
5.19 供給者関係における情報セキュリティ¶
a）当組織における供給者には、以下がある。
1）ISP、電話サービス、OA機器等のサービス提供者
2）情報システムの開発・保守における外部委託先
3）会計、税務、法律等の専門サービス提供者
4）清掃業者、廃棄業者
5）クラウドサービス
6）その他
b）情報セキュリティ委員会は、外部組織によるオフィスエリアや情報システムへのアクセスを許可する際に生じえるリスクを考慮し、情報セキュリティ上の要求事項を明確にする。
5.20 供給者との合意における情報セキュリティの取扱い¶
委託先審査表
1）「委託先審査表」による評価・選定を行う。
2）情報セキュリティ要求事項を考慮し、次の事項を含む契約を締結する。\ ①機密保持契約等の情報の取扱いに関する契約\ ②使用許諾に関する取決め、コードの所有権及び知的所有権（開発の場合）\ ③実施される作業場所及び入退室管理\ ④外部委託先が不履行となった場合の預託契約に関する取決め
3）情報セキュリティ委員会は、5.19において検討したリスクを考慮し、必要に応じて第三者との間で契約を締結する。
5.21 情報通信技術(ICT)サプライチェーンにおける情報セキュリティの管理¶
a）供給者との契約には必要に応じて再委託に関する事項を盛り込む。
b）サービスの供給者との間で契約内容やサービスレベルに変更があった場合、変更点を受入れることができるか否かを検証し、契約内容の見直しを実施する。
5.22 供給者のサービス提供の監視、レビュー及び変更管理¶
情報セキュリティ委員会は、サービスの供給者に対して、予め定められた頻度（最低年1回）において契約の履行状況並びに「委託先審査表」による順守状況の確認を行う。
5.23 クラウドサービスの利用における情報セキュリティ¶
a）クラウドサービスの利用に当たっては、クラウドサービス提供者の事業継続性、及びサービスに関するセキュリティ事項を考慮のうえ、クラウドサービスを選定する。
b）クラウドサービスの利用終了に当たっては、データの削除を確実に実施されることを確認する。
ISMS数値評価基準
情報セキュリティインシデントへの対応は、次のフローに従う
a）事象の発見者は、当該部門責任者を通じて情報セキュリティ委員長へ連絡する。また、被害拡大防止のインシデント対応を行う。
b）情報セキュリティ委員長は、「ISMS数値評価基準」に定めるインシデントレベルを判断し、必要に応じた連絡を行うと同時に、インシデント対応の手配を行う。
c）トップマネジメントは、レベル１以上のインシデント発生について、関係当局への報告の要否を判断し、必要な報告を行う。
d）トップマネジメントは、レベル２のインシデント発生について、外部利害関係者への報告の要否を判断し、必要な報告を行う。
5.25 情報セキュリティ事象の評価及び決定¶
情報セキュリティ事象の評価は、「ISMS数値評価基準」に従い、情報セキュリティ委員長が行う。
5.26 情報セキュリティインシデントへの対応¶
情報セキュリティインシデントへの対応手順は以下の表に従う。
【情報セキュリティインシデントの発見者】
| インシデント | レベル：0 | レベル：1 | レベル：2 |
|---|---|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
【情報セキュリティ委員長】
| レベル：0 | レベル：1 | レベル：2 |
|---|---|---|
以下を実施する。 ・必要な場合は関係者と連携して、対応を行う。 ・情報セキュリティインシデントの記録をする。 |
以下を実施する。 ・関係者と協議をし、今後の対応を検討して対応を行う。 ・必要に応じて外部の関係者へ連絡をする。 ・情報セキュリティインシデントの記録をする。 |
|
5.27 情報セキュリティインシデントからの学習¶
情報セキュリティ委員長はセキュリティインシデントを管理・分析し、現状のISMSの運用に問題があれば、計画を立ててトップマネジメントへ提議する。なお、計画には解決に向けての処置方法、費用、実施予定日、責任者を明確にする。
5.28 証拠の収集¶
情報セキュリティ委員長は、情報システムの事故が特定の個人、又は組織に起因するもので、事後処置が法的処置に及ぶ可能性のある場合には、必要な証拠の収集、保全を行う。
5.29 事業の中断・阻害時の情報セキュリティ¶
a）情報セキュリティ継続の計画\ ①以下の事業の中断を引き起こす可能性のある事象について考慮する。
・地震・火災・洪水等の自然災害
・人的なミス
・システム障害
・健康上の問題
・その他事業の中断を引き起こす可能性のある事象
②上記が生じた際に影響を受ける業務プロセスを特定し、発生した場合のシナリオを作成する。\ ③影響度とリスクが発生する可能性について検討し、検討結果に基づき優先順位を決定する。
情報セキュリティ
継続計画書
・実行開始条件（リスクシナリオの発生）
・非常時手順（発生時の連絡手順）
・回復手順（復旧のための手順）
・回復目標（目標時間を必要に応じて決定）
・再開手順（回復後のリハーサル手順）
・試験のスケジュール
・教育（教育が必要な場合はその計画）
c）情報セキュリティ継続の検証、レビュー及び評価\ ①事業継続計画の試験
策定した計画及び手続について試験を実施し、試験の結果、必要があると判断した場合は計画を更新する。試験は以下のいずれかの方法、又はその組み合わせにより行う。
・机上試験
・模擬試験
・技術的回復試験
・代替施設における回復試験
・供給者施設及びサービスの試験
情報セキュリティ継
続報告書
情報セキュリティ委員会は、事業継続に関する試験を最低年一回、継続的に実施し、試験の結果を「情報セキュリティ継続報告書」に記録をする。
5.30 事業継続のためのICTの備え¶
5.29において事業継続のためのICTに関連する、情報セキュリティ継続の計画をして試験を行う。
5.31 法令、規制及び契約上の要求事項¶
法令規制一覧表
b）情報セキュリティ委員会は、当組織の従業者が「法令規制一覧表」を、必要に応じていつでも参照できる状態にする。
c）特定した要求事項を満たすために、必要に応じて教育等のテーマとする。
5.32 知的財産権¶
a）書籍及び顧客から貸与された資料等はその著作権を守ること。
b）全ての市販パッケージソフトは、情報システム管理者がライセンスの維持管理を行う。
c）市販パッケージソフト及び無償ソフトウェア製品はその使用許諾契約を守って使用する。
5.33 記録の保護¶
当組織における記録は、関連する法令に基づいた保存期間で適切に保存する。
5.34プライバシー及び個人識別可能情報(PII)の保護¶
個人情報は、5.10情報の取扱いに従い、厳重に取り扱う。
5.35 情報セキュリティの独立したレビュー¶
以下に例示する、ISMSに影響のある変化が生じた場合は、内部監査により独立したレビューを行う。
a）事業の追加/変更、業務手順の大幅な変更
b）住所変更、拠点の新設
c）情報セキュリティに関する主たる担当者の変更
d）関係する法令・規制、又は契約の大幅な変更
5.36 情報セキュリティのための方針群、規則及び標準の順守¶
a）情報セキュリティ委員会は、セキュリティに関する手順や実施標準が正しく実施されていることを確実にするため、「運用チェックリスト」にて、定期的（3ヶ月毎）に点検する。
b）情報セキュリティ委員会（入退管理責任者）は、入退記録が適切にとられているかどうかを月に1度確認する。
また、入退管理が有効かつ適切に実施されていることを定期的に確認し、不備が発見された場合は速やかに是正の処置をとらなければならない。
5.37 操作手順書¶
情報処理設備の正確、かつ、セキュリティを保った運用を確実にするために、本手順書を定め、必要に応じて利用者が参照できるようにする。
6. 人的管理策¶
6.1 選考¶
従業者の募集・採用プロセスは以下の点を考慮のうえ行う。
a）取得した履歴書、スキルシート等から業務上の要求事項への適合を判断し、選考を行う。
b）採用時の面接等における態度や言葉遣い等から倫理観を判断し、選考を行う。
c）役員、管理職の採用に関しては、過去の信用情報等、より詳細な調査を行うことがあるが、この際は本人の同意を得たうえで行う。
6.2 雇用条件¶
従業者の雇用に際して秘密保持に関する誓約書等への署名を求める。
6.3 情報セキュリティの意識向上、教育及び訓練¶
全ての従業者は、職務に関連する方針及び手順についての、適切な、意識向上のための教育及び訓練を受けなければならない。
6.4 懲戒手続¶
従業者が故意又は過失により情報を漏えいした場合、又は情報セキュリティ上の順守事項に違反した場合は、罰則の対象とする。
6.5 雇用の終了又は変更後の責任¶
秘密保持に関する誓約書等には雇用の終了又は変更後も一定期間、秘密保持の義務が課せられる旨の条項を含める。
6.6 秘密保持契約又は守秘義務契約¶
a）当組織の従業者は当組織との間で機密情報に関する秘密保持の契約を締結する。なお、同契約には原契約の終了後も一定期間、秘密保持の義務が課せられる旨の条項を含める。
b）当組織との委託先との間で、必要に応じて秘密保持の契約を締結する。
c）情報セキュリティ委員会は、年に一度、情報セキュリティ要求事項に照らして、秘密保持の契約書の妥当性を検証する。
6.7 リモートワーク¶
a）リモートワークは、情報セキュリティ委員長の承認を得たものに限って行うことができる。
b）リモートワークにて使用するPCにファイル交換ソフト等の不正なソフトウェアをインストールしてはならない。
6.8 情報セキュリティ事象の報告¶
情報セキュリティ事象が生じた際は、「ISMS数値評価基準」に定めるインシデントレベルに応じて報告する。この際、自己で解決することよりも報告を優先させる。なお、情報セキュリティ事象とは以下を指す。
a）事件・事故が発生した場合又はその可能性を認識した場合
b）サービス、装置又は施設の停止
c）システムの誤動作又は過負荷
d）人による誤り
e）個別方針又は指針の非順守
f）物理的セキュリティの取決めに対する違反\ 以下例を示す。
1）持ち込み・持ち出し物品に関して不審な点を発見した場合
2）入退資格を有していない、又は有していても不審な行動が察知される者を発見など
g）Eメールによる攻撃（Dos攻撃、ウィルス、傍受など）及びそのおそれを感知した場合
h）携帯電話等を紛失、破損した場合
i）情報セキュリティに関するヒヤリハット
7. 物理的管理策¶
7.1 物理的セキュリティ境界¶
レイアウト図
b）当組織は、入退を制限する場所の範囲を定め、入退資格を有さない者の立ち入りを制限する。
7.2 物理的入退¶
a）資格\ 入退を行う対象者に対して、入退資格を設け、資格のない者の立ち入りを禁ずる。\ なお、入退資格は、従業者証またはセキュリティカード等を交付することにより付与し、他人への貸借は禁止する。
b）外来者の記録
1）外来者の訪問は、原則として、｢入退受付票｣に氏名、身元、入退時刻を記録し、原則として面談者が面会の確認印の押印又は署名を行う。
2）電子カレンダーにb) 1) の情報を明記することで入退受付票と同等とする。
c）受渡場所\ 宅配便等の荷物の受け取りは、各オフィスの入口より外で行うことを原則とし、例外的にオフィス内への入室を認める場合は、必ず応対者がエスコートする。
7.3 オフィス、部屋及び施設のセキュリティ¶
a）各事業場は常時施錠可能とし、入退資格のない者の立ち入りを禁ずる。やむを得ず施錠可能でない事業場においては、重要な情報は、施錠可能なキャビネット等に収納するなど厳重な管理を行う。
b）入退を許可された外来者に対しては、原則として従業者が随行し、立ち入り場所を制限する。
7.4 物理的セキュリティの監視¶
a）情報資産の性質に応じて、入退を制限する場所へ適切な監視を行う。
b）必要に応じて以下の対応を行う。
1）衆人環視
¶
7.5 物理的及び環境的脅威からの保護¶
a）各フロアーには消火器を設置する。
b）サーバの転倒対策として設置位置を工夫する。必要に応じて、転倒防止器具を利用するなどの対策を行う。
7.6 セキュリティを保つべき領域での作業¶
サーバ付近に段ボール等の燃えやすい物を置いてはならない。
7.7 クリアデスク・クリアスクリーン¶
a）クリアデスク
1）一般と重要な書類・データを区別できるように整理する。
2）プリンタ、コピーに出力した印刷物は放置せず速やかに取り出す。
3）離席時や帰宅時には、重要情報や個人情報を記した書類や記憶媒体を机上やその周辺に放置しない。
b）クリアスクリーン
1）利用者は、10分以上離席する場合、モニタの電源OFF、コンピュータのロック又はシャットダウンをする。なお、帰宅時はシャットダウンをする。
2）ログインID、パスワードを机上に貼付することは厳禁とする。
7.8 装置の設置及び保護¶
a）利用者はPCに対して、パスワードつきのスクリーンセーバを設定する。スクリーンセーバの設定時間は10分以内とする。
b）スイッチ、無線LANアクセスポイント等は、人目に付くところや通行量の多い場所を避けて設置する。
c）PCのモニタ画面は入口から見えないように角度を調節し配置する。
d）サーバは、サーバ室など隔離されたエリアに設置する。隔離されていないエリアに設置する場合は、ラック等へ収容する。
7.9 構外にある資産のセキュリティ¶
a）構外にノートPCを持ち出す場合は、必ずログオンパスワードを設定する。また重要な情報の持ち出しを最小限とし、やむを得ず持ち出す場合はファイルにパスワードを設定する。
b）サーバのホスティング及びハウジング業者は、5．20に従い管理する。
7.10 記憶媒体¶
a）外部記録媒体の持ち出し・持ち込みは、事前に許可を得たうえで行うこと。また、不使用時は、キャビネットに施錠保管を行うこと。
b）外部記憶媒体に、むやみに顧客情報や個人情報、会社の重要情報を保存してはならない。
c）外部記憶媒体を机上や、棚上等に放置してはならない。
d）私有の外部記憶媒体を持ち込む場合、社有の外部記憶媒体を持ち出す場合は、該当部門の長及び情報システム管理者の許可を得なければならない。
e）外部記憶媒体でデータを受け渡す場合は、データの内容に応じてセキュリティを確保できるような受渡方法をとらなければならない。
f）お客様のUSBメモリ、CD-ROM等を預かった場合は、使用する前に必ずアンチウィルスソフトによりスキャンを行わなければならない。
g）外部記憶媒体が不要になった場合は、5.10のルールに従う。
h）外部記憶媒体を輸送する場合は、5.10のルールに従う。
7.11 サポートユーティリティ¶
a）情報システム管理者は、必要に応じてUPSを設置する。UPSは、ランプの確認等により、バッテリーの寿命が尽きていないことを定期的に確認する。
b）情報システム管理者は、フロア(装置の設置場所)が適切な温度に保たれていることを適時確認する。
7.12 ケーブル配線のセキュリティ¶
人が通る箇所のケーブル配線は床下配線、又はモール、ケーブルカバーによる保護を行う。または、ケーブルはできるだけ束ねるようにする。
7.13 装置の保守¶
サーバ、ネットワーク機器（スイッチ、ルータ等）、その他セキュリティ上のアプライアンスツール等は、製造元から提供されたマニュアルを参照し、製造元が推奨する頻度にて保守を行う。保守のための専門性が必要な場合は、外部組織に保守を委託する。
7.14 装置のセキュリティを保った処分又は再利用¶
a）PCやサーバ等の媒体を処分する場合は、従業者が各自で処理せず、情報システム管理者に処理を依頼する。情報システム管理者は物理的破壊若しくは、完全消去により処分する。
b）上記以外の方法により、処分する必要があると認められる場合、事前に情報セキュリティ委員長の承認を得ることを要するものとする。
c）情報システム管理者は、装置を再利用する場合、不要な情報を完全に消去し、またライセンス供与されたソフトウェアが消去されたことを確認のうえ再利用する。
8. 技術的管理策¶
8.1 利用者エンドポイント機器¶
a）モバイル機器を社外に持ち出す場合、機密情報、個人情報等のファイルをモバイル機器に保存しないことを原則とする。やむを得ず保存する場合、モバイル機器やファイルをパスワードにて保護する。
b）モバイル機器をインターネットに接続する場合は、会社から貸与した通信機器を使用すること。
c）ノートPCは盗難防止のために、以下いずれかの対策を施すものとする。
1）ワイヤーチェーン等による固定
2）不使用時の施錠保管
d）携帯電話・スマートフォンの管理
1）社有の携帯電話・スマートフォン（以下「社有携帯電話等」という）を使用する者は、紛失、破損しないよう丁寧かつ慎重に扱わなければならない。
2）社有携帯電話等を使用する者は、使用者本人以外が操作できないよう、セキュリティロック等により保護しなければならない。
3）持ち歩く際は、ストラップを付ける等の盗難・紛失防止策を必要に応じて講じなければならない。
4）電車やバスの中、その他公共の場所における使用は控え、個人情報やその他機密情報を他者に聞かれないよう十分配慮しなければならない。
5）私有の携帯電話・スマートフォンを業務で使用する場合は、情報セキュリティ委員長の承認を要する。また、社有携帯電話等と同様の安全対策を実施しなければならない。
8.2 特権的アクセス権¶
特権IDは特定の者に付与し、管理対象システムとその保有者を明確にする。
8.3 情報へのアクセス制限¶
情報システム管理者またはこれの指名する者は、各情報システムへのアクセス権限について、必要な者のみが使用できるように設定する。
8.4 ソースコードへのアクセス¶
プログラムソースは、GITHUBにてアクセス権限・修正記録等を管理し保管する。
8.5 セキュリティを保った認証¶
ログイン画面において入力したパスワードは文字列が表示されないようにする。
8.6 容量・能力の管理¶
a）情報システム管理者は、コンピュータやネットワークの応答時間など、その負荷状況について業務を通じて、問題がないかどうか確認する。\ 情報システム管理者は、問題が発見された場合、速やかに原因の究明を行い、情報セキュリティ委員会に報告する。情報セキュリティ委員会は、情報システム管理者に対策を指示し、必要に応じて経営陣に報告する。
b）情報システム管理者は、中長期的な業務量の増減を考慮し、将来的にシステムに必要な容量を予測し、必要であればトップマネジメントに報告する。
8.7 マルウェアに対する保護¶
a）不審なメールを受け取った際には、自己判断で開封せず情報セキュリティ委員会に速やかに連絡すること。
ｂ）業務で使用するソフトはAPP STOREのみでダウンロードできるものしか使用しない。その他のソフトを使用する場合はCTOの承認を得る。
8.8 技術的ぜい弱性の管理¶
a）情報セキュリティ委員会及び情報システム管理者は、技術的なぜい弱性のニュースを常に意識し、時期を失せず効果的に外部の攻撃から防御する。
b）オペレーティングシステム（OS）やアプリケーションには常に最新のセキュリティパッチを適用する。ただし、検証の結果、業務上支障があると認められる場合には、他の方法で不正ソフトウェア対策を実施する。
8.9 構成管理¶
a）重要度の高いハードウェア、ソフトウェア、サービス、ネットワークを利用する際は、安全に利用するための設定をする。
b）設定を変更する際は、8.32に従い実施する。
c）設定の妥当性を定期的に確認する。
8.10 情報の削除¶
情報は、関連する法律および規制、契約上の要求事項を考慮し、適切な削除を行う。
8.11 データマスキング¶
a）個人を特定できる情報や機密性の高い情報を取り扱う際は、必要に応じてマスキングを行う。
b）取り扱う情報が仮名加工情報や匿名加工情報の場合は個人情報保護法令等に準拠する。
8.12 データ漏えい防止¶
システム、ネットワーク、機器に対し、必要に応じてデータ漏洩防止対策を行う。必要に応じてネットワーク監視、ネットワークや機器の暗号化等を行う。
8.13 情報のバックアップ¶
a）情報システム管理者は、サーバ内に保存された重要データを障害による破壊や、不正アクセス、改ざんなどから守るために、必要に応じてシステム及びデータのバックアップを行う。
b）情報システム管理者は、バックアップが確実に行われており、障害時に復元が可能かどうかを定期的にチェックしなければならない。
8.14 情報処理施設・設備の冗長性¶
a）重要な情報システムは、可用性に関する業務上の要求事項を明確にし、必要に応じて冗長性（二重化等）の対応を実施する。
b）必要に応じて、切り替えが正しく動作することの確認を行う。
8.15 ログ取得¶
a）情報システム管理者は、サーバ内に保存された重要データを障害による破壊や、不正アクセス、改ざんなどから守るために、必要に応じてログの取得を行う。
b）ログは情報システム管理者又はその指名するものがアクセスできるようにする。
c）情報システム管理者は、必要に応じて定期的にログをチェックしなければならない。
d）情報システム管理者は、運用担当者がサーバに関与して行った作業を確認する。
8.16 監視活動¶
情報セキュリティインシデントの可能性がある事象を評価するため、必要に応じてネットワーク、情報システム、アプリケーションにおいて、継続的な監視を行う。
8.17 クロックの同期¶
情報システム管理者は、全てのクライアントPCとサーバのクロックを同期させる。
8.18 特権的なユーティリティプログラムの使用¶
システムユーティリティの使用は、原則としてOS標準機能のみ許可する。その他のシステムユーティリティが必要となった場合は、情報システム管理者の承認を得たうえで利用する。
8.19 運用システムへのソフトウェアの導入¶
a）PCで使用するソフトウェアは、原則情報システム管理者によって指定されたもののみとし、それ以外のソフトウェアを使用する場合は、情報システム管理者の承認を得たうえでインストールする。
b）ファイル共有ソフト（ファイル交換ソフト）など、ウィルス感染や不正アクセス等の原因となりやすいソフトの使用は、厳禁とする。
c）情報システム管理者は、利用者がインストール可能なソフトウェアを定期的に見直す。
8.20 ネットワークセキュリティ¶
a）社内ネットワークの利用
1）社内ネットワークへの接続は、情報システム管理者の承認と指示された手順に従う。
2）情報システム管理者は、ネットワークにおける社外との境界にはファイアウォールを設けるなど、不正侵入対策を施す。
3）他人のID、パスワードで、社内ネットワークに接続してはいけない。
4）一旦、社内ネットワークから切り離したパソコン等は、ウィルスチェックなどの安全確認を行ってから再接続すること。
5）持ち込み及び私有PC利用の場合は、社内ネットワークには接続しない。やむを得ず接続する場合は、情報システム管理者が指定するソフトウェアによりウィルスチェックを行う。
6）無線LANを使用する場合は、情報システム管理者の承認を得て、暗号化、接続パソコンの認証等、十分な安全対策を実施すること。
b）インターネットの利用
1）インターネットを利用する場合は、情報システム管理者の指示に従うこと。
2）インターネットは、社内ネットワークに比べ様々なリスクがあることを認識し、業務上必要な範囲に限定して利用すること。
3）インターネットへのアクセスは、社内ネットワークを経由してアクセスすること。
8.21 ネットワークサービスのセキュリティ¶
情報システム管理者は、外部委託によるネットワークサービスを利用する場合は、その委託会社とセキュリティ事項、サービスレベルを特定、評価し、必要に応じて契約書を交わす。
8.22 ネットワークの分離¶
a）インターネットと社内LANとの境界にファイアウォールを設置する。
b）メール、Webサーバ等の公開サーバは、社内のネットワークとは分離しなければならない。
8.23 ウェブフィルタリング¶
a）アクセスすることが望ましくないウェブサイトを特定する。
b）必要に応じて望ましくないサイトへアクセスを制限する。
c）アクセス制限を実現するために、必要に応じてシステムの導入や教育を実施する。
8.24 暗号の利用¶
a）SSL/TLS
1）当組織のホームページの入力フォームから取得する情報はSSL/TLSにより暗号化する。
2）情報システム管理者は、鍵の有効期限を管理し、期限が切れる前に更新する。
b）無線LAN
1）無線LANの通信は暗号化し、暗号化の規格はぜい弱性の報告されていない安全な方法とする
2）アクセスポイントの管理者画面は、情報システム管理者のみがアクセスでき、そのパスワードを厳重に管理する。
8.25 セキュリティに配慮した開発のライフサイクル¶
セキュリティに配慮した開発のための方針を以下に記す。
a）社内使用の情報システム、及び外部向けに提供する情報システムの開発
1）開発環境：8.31に従う。
2）工程：開発には要件定義、設計（社内開発の場合のみ）、及びテストの工程を設け、それぞれの工程の完了後に管理者が承認する。
3）開発ドキュメント：開発ドキュメント（仕様書、設計書、テスト仕様等）は、必要最小限のものだけがアクセスできるようにする。
b）受託開発、又は客先への派遣による開発\ クライアントから提示のあったセキュリティの方針・ルール等に従う。
8.26 アプリケーションセキュリティの要求事項¶
a）オンライン取引等の公衆ネットワーク上のアプリケーションサービスの提供に際して、適切な認証機能の提供と、通信の暗号化を行う。
b）アプリケーションサービスのトランザクションは通信の暗号化等により保護する。また必要に応じてデジタル署名の利用について検討する。
8.27 セキュリティに配慮したシステムアーキテクチャ及びシステム構築の原則¶
a）社内使用の情報システム、及び外部向けに提供する情報システムの開発に際してはセキュリティ要件事項を定義する。
b）セキュリティ要求事項が実装されることを確実にする。
8.28 セキュリティに配慮したコーディング¶
a）ソフトウェアに潜在する脆弱性を減らすため、セキュアコーディングの原則を定める。
b）セキュリティコーディングの原則には以下フェーズでの考慮をする
1）計画及びコーディング前
2）コーディング中
3）レビュー及び保守。
8.29 開発及び受入れにおけるセキュリティテスト¶
a）情報システムのセキュリティ試験に関する計画を行う。
b）セキュリティ機能の試験を行う。
c）情報システムの導入、又は改修の際は、受入れ時に動作確認を行う。
d）必要に応じて受入れ試験の仕様書を作成し、確認を行う。
e）受入れ試験の結果は受入れ部門の管理者、及び情報システム管理者が承認する。
8.30 外部委託による開発¶
委託先審査表
a）「委託先審査表」による委託先の評価・選定、及び予め定められた頻度（最低年1回）での再審査、契約の履行状況の監視
b）委託先との契約締結（契約書にはセキュリティ要求事項を含めなければならない）
c）8.29に定める受入れ試験の実施
8.31 開発環境、テスト環境及び本番環境の分離¶
a）情報システムの開発に際しては、開発、テスト、及び本番の環境を物理的、又は論理的に分割する。
b）開発は、開発業務を行わない要員から分離した場所、及びシステムにて行う。また開発環境は、運用環境から分離する。
c）ソースコード、及び設定ファイルは、不意の消去や改ざんから保護するため、アクセスは必要最小限のものだけがアクセスできるようにする。
8.32 変更管理¶
a）変更管理は以下の手順にて行う。
1）事前に情報収集し、問題有無を確認する。
2）変更要求は、起案者の所属する部門長、情報システム管理者が承認する。
3）情報システム管理者は、情報システムを変更した場合は、変更履歴を残す。また、ソフトウェアの版数管理を行い新版と旧版が混在しないようにする。
b）必要に応じて、変更により問題が発生した際に変更前の状態に戻せるように、機器の設定情報やデータのバックアップを行う。
8.33 テスト用情報¶
a）テストデータとして個人情報を使用することは禁ずる。
b）実データをテストデータとして使用する場合は、情報システム管理者の承認を得てから使用する。テスト終了後は、実データを直ちに削除し、情報システム管理者に対して報告する。
8.34 監査におけるテスト中の情報システムの保護¶
a）情報システムの監査は、システム停止のリスクを考慮し、時間外若しくは休日を利用して実施することを原則とする。
b）情報システムのメンテナンス等により情報システムの稼働を停止する場合は、業務への影響を及ぼさない範囲、又は時間帯で行うように計画することを原則とする。