A-04 適用宣言書¶
シート：適用宣言書¶
合計 103 行 × 14 列
| 文書番号：A-04 版数1.0 | |||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 適用宣言書 | 作成者：委員会 | 作成日：2023年12月18日 | |||||||||||
| 承認者：沈 燁 | 承認日：2023年12月18日 | ||||||||||||
| ○：適用、×：適用除外 | |||||||||||||
| ○：実施、未：未実施、－：適用除外 | |||||||||||||
| 表A.1－情報セキュリティ管理策 | 適用 | 実施・ 未実施 |
管理策を含めた理由 または 管理策を除外した理由 |
規定・手順書 | 管理策タイプ | 情報セキュリティ プロパティ |
サイバーセキュリティ コンセプト |
運用能力 | セキュリティドメイン | 旧管理策番号 | |||
| A.5 組織的管理策 | |||||||||||||
| 5.1 | 情報セキュリティのための方針群 | 情報セキュリティ方針及びトピック固有の方針は，これを定義し，管理層が承認し，発行し，関連する要員及び関連する利害関係者に伝達し，認識させ，あらかじめ定めた間隔で，及び重大な変化が発生した場合にレビューしなければならない。 | ○ | ○ | 事業，法令，規制及び契約上の要求事項に従って，経営陣の方向性の継続的な適合性，適切性，有効性，及び情報セキュリティのサポートを確実にするため。 |
A-0１ 情報セキュリティ方針 A-02 ISMSマニュアル5.2 A-02 ISMSマニュアル8.1 A-03 情報セキュリティ手順書5.1 |
・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・ガバナンス | ・ガバナンスとエコシステム ・レジリエンス |
5.1.1、 5.12 | |
| 5.2 | 情報セキュリティの役割及び責任 | 情報セキュリティの役割及び責任は，組織のニーズに従って定め，割り当てなければならない。 | ○ | ○ | 組織内における情報セキュリティの実施，運用及び管理のために，定義され，承認され，理解される構造を確立するため。 |
A-02 ISMSマニュアル5.3 A-03 情報セキュリティ手順書5.2 |
・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・ガバナンス | ・ガバナンスとエコシステム ・プロテクション ・レジリエンス |
6.1.1 | |
| 5.3 | 職務の分離 | 相反する職務及び相反する責任範囲は，分離しなければならない。 | ○ | ○ | 情報セキュリティ管理策の不正，エラー及び回避のリスクを軽減するため。 |
各文書の作成／承認 A-03 情報セキュリティ手順書5.3 |
・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・ガバナンス ・識別情報及びアクセスの管理 |
・ガバナンスとエコシステム | 6.1.2 | |
| 5.4 | 管理層の責任 | 管理層は，組織の確立された情報セキュリティ方針，トピック固有の方針及び手順に従った情報セキュリティの適用を，全ての要員に要求しなければならない。 | ○ | ○ | 経営陣が，情報セキュリティにおける自らの役割を理解し，全ての要員が自らの情報セキュリティの責任を認識し，果たすことを確実にすることを目的として行動することを確実にするため。 |
A-02 ISMSマニュアル5 A-03 情報セキュリティ手順書5.4 |
・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・ガバナンス | ・ガバナンスとエコシステム | 7.2.1 | |
| 5.5 | 関係当局との連絡 | 組織は，関係当局との連絡体制を確立し，維持しなければならない。 | ○ | ○ | 組織と，関連する法務，規制及び監督当局との間で，情報セキュリティに関して適切な情報の流通が行われることを確実にするため。 |
A-07 連絡先一覧表 A-03 情報セキュリティ手順書5.5 |
・予防 ・修正 |
・機密性 ・完全性 ・可用性 |
・識別 ・防御 ・対応 ・復旧 |
・ガバナンス | ・ディフェンス ・レジリエンス |
6.1.3 | |
| 5.6 | 専門組織との連絡 | 組織は，情報セキュリティに関する研究会又は会議，及び情報セキュリティの専門家による協会・団体との連絡体制を確立し，維持しなければならない。 | ○ | ○ | 情報セキュリティに関して適切な情報流通が行われることを確実にするため。 |
A-07 連絡先一覧表 A-03 情報セキュリティ手順書5.6 |
・予防 ・修正 |
・機密性 ・完全性 ・可用性 |
・防御 ・対応 |
・ガバナンス | ・ディフェンス | 6.1.4 | |
| 5.7 | 脅威インテリジェンス | 情報セキュリティの脅威に関連する情報を収集及び分析し，脅威インテリジェンスを構築しなければならない。 | ○ | ○ | 適切なリスク低減処置を講じることができるように，組織の脅威環境についての認識をもつため。 | A-03 情報セキュリティ手順書5.7 | ・予防 ・検知 ・修正 |
・機密性 ・完全性 ・可用性 |
・識別 ・検知 ・対応 |
・脅威及びぜい弱性の管理 | ・ディフェンス ・レジリエンス |
新規* | |
| 5.8 | プロジェクトマネジメントにおける情報セキュリティ | 情報セキュリティをプロジェクトマネジメントに組み入れなければならない。 | ○ | ○ | プロジェクト及び成果物に関連する情報セキュリティリスクが，プロジェクトのライフサイクル全体を通じてプロジェクトマネジメントで効果的に対処されることを確実にするため。 |
A-03 情報セキュリティ手順書5.8 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 ・防御 |
・ガバナンス | ・ガバナンスとエコシステム ・プロテクション |
6.1.5 、14.1.1 | |
| 5.9 | 情報及びその他の関連資産の⽬録 | 情報及びその他の関連資産の目録を，それぞれの管理責任者を含めて作成し，維持しなければならない。 | ○ | ○ | 組織の情報及びその他の関連資産を特定し，それらの情報セキュリティを維持し，適切な管理責任を割り当てるため。 |
B-06-01 資産目録 A-03 情報セキュリティ手順書5.9 |
・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・資産管理 | ・ガバナンスとエコシステム ・プロテクション |
8.1.1、 8.1.2 | |
| 5.1 | 情報及びその他の関連資産の許容される利用 | 情報及びその他の関連資産の許容される利用に関する規則及び取扱手順は，明確にし，文書化し，実施しなければならない。 | ○ | ○ | 情報及びその他の関連資産が適切に保護，利用及び取扱いされることを確実にするため。 |
B-06-01 資産目録 A-03 情報セキュリティ手順書5.10 |
・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・資産管理 ・情報保護 |
・ガバナンスとエコシステム ・プロテクション |
8.1.3、 8.2.3 | |
| 5.11 | 資産の返却 | 要員及び必要に応じてその他の利害関係者は，雇用，契約又は合意の変更又は終了時に，自らが所持する組織の資産の全てを返却しなければならない。 | ○ | ○ | 雇用，契約，又は合意を変更又は終了するプロセスの一環として，組織の資産を保護するため。 |
A-03 情報セキュリティ手順書5.11 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・資産管理 | ・プロテクション | 8.1.4 | |
| 5.12 | 情報の分類 | 情報は，機密性，完全性，可用性及び関連する利害関係者の要求事項に基づく組織の情報セキュリティのニーズに従って，分類しなければならない。 | ○ | ○ | 組織における情報の重要度に従って，情報の保護の要件を特定及び理解することを確実にするため。 |
A-03 情報セキュリティ手順書5.12 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・情報保護 | ・プロテクション ・ディフェンス |
8.2.1 | |
| 5.13 | 情報のラベル付け | 情報のラベル付けに関する適切な一連の手順は，組織が採用した情報分類体系に従って策定し，実施しなければならない。 | ○ | ○ | 情報の分類の伝達を容易にし，情報の処理及び管理の自動化を支援するため。 |
A-03 情報セキュリティ手順書5.13 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・情報保護 | ・プロテクション ・ディフェンス |
8.2.2 | |
| 5.14 | 情報の転送 | 情報の転送の規則，手順又は合意を，組織内及び組織と他の関係者との間の全ての種類の転送手段に関して備えなければならない。 | ○ | ○ | 組織内及び外部の利害関係者との間で転送される情報のセキュリティを維持するため。 |
A-03 情報セキュリティ手順書5.14 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・資産管理 ・情報保護 |
・プロテクション | 13.2.1～13.2.3 | |
| 5.15 | アクセス制御 | 情報及びその他の関連資産への物理的及び論理的アクセスを制御するための規則を，事業上及び情報セキュリティの要求事項に基づいて確立し，実施しなければならない。 | ○ | ○ | 情報及びその他の関連資産への認可されたアクセスを行わせ，認可されていないアクセスを防ぐことを確実にするため。 |
A-03 情報セキュリティ手順書5.15 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・識別情報及びアクセスの管理 | ・プロテクション | 9.1.1、 9.1.2 | |
| 5.16 | 識別情報の管理 | 識別情報のライフサイクル全体を管理しなければならない。 | ○ | ○ | 組織の情報及びその他の関連資産にアクセスする個人及びシステムを一意に特定できるようにし，アクセス権を適切に割り当てることができるようにするため。 |
A-03 情報セキュリティ手順書5.16 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・識別情報及びアクセスの管理 | ・プロテクション | 9.2.1 | |
| 5.17 | 認証情報 | 認証情報の割当て及び管理は，認証情報の適切な取扱いについて要員に助言することを含む管理プロセスによって管理しなければならない。 | ○ | ○ | 適切なエンティティ認証を確実にし，認証プロセスの失敗を防ぐため。 |
A-03 情報セキュリティ手順書5.17 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・識別情報及びアクセスの管理 | ・プロテクション | 9.2.4、 9.3.1、 9.4.3 | |
| 5.18 | アクセス権 | 情報及びその他の関連資産へのアクセス権は，組織のアクセス制御に関するトピック固有の方針及び規則に従って，提供，レビュー，変更及び削除しなければならない。 | ○ | ○ | 情報及びその他の関連資産へのアクセスが，業務上の要求事項に従って定義及び認可されることを確実にするため。 |
A-03 情報セキュリティ手順書5.18 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・識別情報及びアクセスの管理 | ・プロテクション | 9.2.2、 9.2.5、 9.2.6 | |
| 5.19 | 供給者関係における情報セキュリティ | 供給者の製品又はサービスの利用に関連する情報セキュリティリスクを管理するためのプロセス及び手順を定め，実施しなければならない。 | ○ | ○ | 供給者関係において合意したレベルの情報セキュリティを維持するため。 |
A-03 情報セキュリティ手順書5.19 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・供給者関係のセキュリティ | ・ガバナンスとエコシステム ・プロテクション |
15.1.1 | |
| 5.2 | 供給者との合意における情報セキュリティの取扱い | 供給者関係の種類に応じて，関連する情報セキュリティ要求事項を確立し，各供給者と合意しなければならない。 | ○ | ○ | 供給者関係において合意したレベルの情報セキュリティを維持するため。 |
A-03 情報セキュリティ手順書5.20 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・供給者関係のセキュリティ | ・ガバナンスとエコシステム ・プロテクション |
15.1.2 | |
| 5.21 | 情報通信技術（ICT）サプライチェーンにおける情報セキュリティの管理 | ICT製品及びサービスのサプライチェーンに関連する情報セキュリティリスクを管理するためのプロセス及び手順を定め，実施しなければならない。 | ○ | ○ | 供給者関係において合意したレベルの情報セキュリティを維持するため。 |
A-03 情報セキュリティ手順書5.21 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・供給者関係のセキュリティ | ・ガバナンスとエコシステム ・プロテクション |
15.1.3 | |
| 5.22 | 供給者のサービス提供の監視、レビュー及び変更管理 | 組織は，供給者の情報セキュリティの活動及びサービス提供を定常的に監視し，レビューし，評価し，変更を管理しなければならない。 | ○ | ○ | 供給者との合意に沿って，合意したレベルの情報セキュリティ及びサービス提供を維持するため。 |
A-03 情報セキュリティ手順書5.22 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・供給者関係のセキュリティ | ・ガバナンスとエコシステム ・プロテクション ・ディフェンス ・アシュランス |
15.2.1～15.2.2 | |
| 5.23 | クラウドサービスの利⽤における情報セキュリティ | クラウドサービスの調達，利用，管理及び利用終了のプロセスを，組織の情報セキュリティ要求事項に従って確立しなければならない。 | ○ | ○ | クラウドサービスの利用における情報セキュリティを規定及び管理するため。 | A-03 情報セキュリティ手順書5.23 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・供給者関係のセキュリティ | ・ガバナンスとエコシステム ・プロテクション |
新規* | |
| 5.24 | 情報セキュリティインシデント管理の計画策定及び準備 | 組織は，情報セキュリティインシデント管理のプロセス，役割及び責任を定め，確立し，伝達することによって，情報セキュリティインシデント管理を計画し，準備しなければならない。 | ○ | ○ | 情報セキュリティ事象に関する伝達を含む，情報セキュリティインシデントへの迅速で，効果的で，一貫性があり，かつ秩序のある対応を確実にするため。 |
A-03 情報セキュリティ手順書5.24 | ・是正 | ・機密性 ・完全性 ・可用性 |
・対応 ・復旧y |
・ガバナンス ・情報セキュリティ事象管理 |
・ディフェンス | 16.1.1 | |
| 5.25 | 情報セキュリティ事象の評価及び決定 | 組織は，情報セキュリティ事象を評価し，それらを情報セキュリティインシデントに分類するか否かを決定しなければならない。 | ○ | ○ | 情報セキュリティ事象の効果的な分類及び優先順位付けを確実にするため。 |
A-03 情報セキュリティ手順書5.25 | ・検知 | ・機密性 ・完全性 ・可用性 |
・検知 | ・情報セキュリティ事象管理 | ・ディフェンス | 16.1.4 | |
| 5.26 | 情報セキュリティインシデントへの対応 | 情報セキュリティインシデントは，文書化した手順に従って対応しなければならない。 | ○ | ○ | 情報セキュリティインシデントへの効率的かつ効果的な対応を確実にするため。 |
A-03 情報セキュリティ手順書5.26 | ・是正 | ・機密性 ・完全性 ・可用性 |
・対応 ・復旧y |
・情報セキュリティ事象管理 | ・ディフェンス | 16.1.5 | |
| 5.27 | 情報セキュリティインシデントからの学習 | 情報セキュリティインシデントから得られた知識は，情報セキュリティ管理策を強化し，改善するために用いなければならない。 | ○ | ○ | 将来のインシデントの起こりやすさ又は影響を減らすため。 |
A-03 情報セキュリティ手順書5.27 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 ・防御 |
・情報セキュリティ事象管理 | ・ディフェンス | 16.1.6 | |
| 5.28 | 証拠の収集 | 組織は，情報セキュリティ事象に関連する証拠の特定，収集，取得及び保存のための手順を確立し，実施しなければならない。 | ○ | ○ | 懲戒処置及び法的処置の目的で，情報セキュリティインシデントに関連する証拠の一貫した効果的な管理を確実にするため。 |
A-03 情報セキュリティ手順書5.28 | ・是正 | ・機密性 ・完全性 ・可用性 |
・検知 ・対応 |
・情報セキュリティ事象管理 | ・ディフェンス | 16.1.7 | |
| 5.29 | 事業の中断・阻害時の情報セキュリティ | 組織は，事業の中断・阻害時に情報セキュリティを適切なレベルに維持する方法を計画しなければならない。 | ○ | ○ | 事業の中断・阻害時に情報及びその他の関連資産を保護するため。 |
A-03 情報セキュリティ手順書5.29 | ・予防 ・是正 |
・機密性 ・完全性 ・可用性 |
・防御 ・対応 |
・継続 | ・プロテクション ・レジリエンス |
17.1.1～17.1.3 | |
| 5.3 | 事業継続のためのICTの備え | 事業継続の目的及びICT継続の要求事項に基づいて，ICTの備えを計画し，実施し，維持し，試験しなければならない。 | ○ | ○ | 事業の中断・阻害時に組織の情報及びその他の関連資産の可用性を確実にするため。 | A-03 情報セキュリティ手順書5.30 | ・是正 | ・可用性 | ・対応 | ・継続 | ・レジリエンス | 新規 | |
| 5.31 | 法令、規制及び契約上の要求事項 | 情報セキュリティに関連する法令，規制及び契約上の要求事項，並びにこれらの要求事項を満たすための組織の取組を特定し，文書化し，また，最新に保たなければならない。 | ○ | ○ | 情報セキュリティに関連する法令，規制及び契約上の要求事項の順守を確実にするため。 |
A-03 情報セキュリティ手順書5.31 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・法及び順守 | ・ガバナンスとエコシステム ・プロテクション |
18.1.1、 18.1.5 | |
| 5.32 | 知的財産権 | 組織は，知的財産権を保護するための適切な手順を実施しなければならない。 | ○ | ○ | 知的財産権及び権利関係のある製品の利用に関連する，法令，規制及び契約上の要求事項の順守を確実にするため。 |
A-03 情報セキュリティ手順書5.32 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・法及び順守 | ・ガバナンスとエコシステム | 18.1.2 | |
| 5.33 | 記録の保護 | 記録は，消失，破壊，改ざん，認可されていないアクセス及び不正な流出から保護しなければならない。 | ○ | ○ | 法令，規制及び契約上の要求事項，並びに記録の保護及び可用性に関連する共同体又は社会の期待の順守を確実にするため。 |
A-03 情報セキュリティ手順書5.33 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 ・防御 |
・法及び順守 ・資産管理 ・情報保護 |
・ディフェンス | 18.1.3 | |
| 5.34 | プライバシー及び個人識別可能情報(PII)の保護 | 組織は，適用される法令，規制及び契約上の要求事項に従って，プライバシー及びPIIの保護に関する要求事項を特定し，満たさなければならない。 | ○ | ○ | PII の保護の情報セキュリティの側面に関連する法令，規制及び契約上の要求事項の順守を確実にするため。 |
A-03 情報セキュリティ手順書5.34 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 ・防御 |
・情報保護 ・法及び順守 |
・プロテクション | 18.1.4 | |
| 5.35 | 情報セキュリティの独立したレビュー | 人，プロセス及び技術を含む，情報セキュリティ及びその実施の管理に対する組織の取組について，あらかじめ定めた間隔で，又は重大な変化が生じた場合に，独立したレビューを実施しなければならない。 | ○ | ○ | 情報セキュリティを管理するための組織の取組の継続的な適切性，十分性及び有効性を確実にするため。 |
A-02 ISMSマニュアル5 A-03 情報セキュリティ手順書5.35 |
・予防 ・是正 |
・機密性 ・完全性 ・可用性 |
・識別 ・防御 |
・情報セキュリティ保証 | ・ガバナンスとエコシステム | 18.2.1 | |
| 5.36 | 情報セキュリティのための方針 群、規則及び標準の順守 |
組織の情報セキュリティ方針，トピック固有の方針，規則及び標準を順守していることを定期的にレビューしなければならない。 | ○ | ○ | 情報セキュリティが組織の情報セキュリティ方針，トピック固有の個別方針，規則及び標準に従って実施及び運用されることを確実にするため。 |
A-03 情報セキュリティ手順書5.36 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 ・防御 |
・法及び順守 ・情報セキュリティ保証 |
・ガバナンスとエコシステム | 18.2.2、 18.2.3 | |
| 5.37 | 操作手順書 | 情報処理設備の操作手順は，文書化し，必要とする要員に対して利用可能にしなければならない。 | ○ | ○ | 情報処理設備の正確かつセキュリティに配慮した操作を確実にするため。 |
A-03 情報セキュリティ手順書5.37 | ・予防 ・修正 |
・機密性 ・完全性 ・可用性 |
・防御 ・復旧 |
・資産管理 ・物理的セキュリティ ・システム及びネットワークのセキュリティ ・アプリケーション のセキュリティ ・セキュリティを保った構成 ・識別情報及びアクセスの管理 ・脅威及びぜい弱性の管理 ・継続 ・情報セキュリティ事象管理 |
・ガバナンスとエコシステム ・プロテクション ・ディフェンス |
12.1.1 | |
| A.6 ⼈的管理策 | |||||||||||||
| 6.1 | 選考 | 要員になる全ての候補者についての経歴などの確認は，適用される法令，規制及び倫理を考慮に入れて，組織に加わる前に，及びその後継続的に行わなければならない。また，この確認は，事業上の要求事項，アクセスされる情報の分類及び認識されたリスクに応じて行わなければならない。 | ○ | ○ | 全ての要員が，予定する役割に対して適格かつ適切であり，雇用中に適格かつ適切であり続けることを確実にするため。 |
A-03 情報セキュリティ手順書6.1 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・人的資源のセキュリティ | ・ガバナンスとエコシステム | 7.1.1 | |
| 6.2 | 雇用条件 | 雇用契約書には，情報セキュリティに関する要員及び組織の責任を記載しなければならない。 | ○ | ○ | 要員が，予定する役割における自らの情報セキュリティの責任を理解することを確実にするため。 |
A-03 情報セキュリティ手順書6.2 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・人的資源のセキュリティ | ・ガバナンスとエコシステム | 7.1.2 | |
| 6.3 | 情報セキュリティの意識向上、教育及び訓練 | 組織の要員及び関連する利害関係者は，職務に関連する組織の情報セキュリティ方針，トピック固有の方針及び手順についての，適切な，情報セキュリティに関する意識向上プログラム，教育及び訓練を受けなければならず，また，定常的な更新を受けなければならない。 | ○ | ○ | 要員及び関連する利害関係者が自らの情報セキュリティの責任を意識し，それを果たすことを確実にするため。 |
A-02 ISMSマニュアル5.1 A-02 ISMSマニュアル7.3 A-03 情報セキュリティ手順書6.3 |
・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・人的資源のセキュリティ | ・ガバナンスとエコシステム | 7.2.2 | |
| 6.4 | 懲戒手続 | 情報セキュリティ方針違反を犯した要員及びその他の関連する利害関係者に対して処置をとるために，懲戒手続を正式に定め，伝達しなければならない。 | ○ | ○ | 要員及びその他の関連する利害関係者が情報セキュリティ方針違反の結果を理解すること，違反を阻止すること，及びそれを犯した要員及びその他の関連する利害関係者を適切に扱うことを確実にするため。 |
A-03 情報セキュリティ手順書6.4 | ・予防 ・是正 |
・機密性 ・完全性 ・可用性 |
・防御 ・対応 |
・ガバナンスとエコシステム | 7.2.3 | ||
| 6.5 | 雇用の終了又は変更後の責任 | 雇用の終了又は変更の後もなお有効な情報セキュリティに関する責任及び義務を定め，施行し，関連する要員及びその他の利害関係者に伝達しなければならない。 | ○ | ○ | 雇用又は契約を変更又は終了する手続の一部として，組織の利益を保護するため。 |
A-03 情報セキュリティ手順書6.5 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・人的資源のセキュリティ ・資産管理 |
・ガバナンスとエコシステム | 7.3.1 | |
| 6.6 | 秘密保持契約又は守秘義務契約 | 情報保護に対する組織のニーズを反映する秘密保持契約又は守秘義務契約は，特定し，文書化し，定常的にレビューし，要員及びその他の関連する利害関係者が署名しなければならない。 | ○ | ○ | 要員又は外部の関係者がアクセスできる情報の秘密保持を維持するため。 |
A-03 情報セキュリティ手順書6.6 | ・予防 | ・機密性 | ・防御 | ・人的資源のセキュリティ ・情報保護 ・供給者関係のセキュリティ |
・ガバナンスとエコシステム | 13.2.4 | |
| 6.7 | リモートワーク | 組織の構外でアクセス，処理又は保存される情報を保護するために，要員が遠隔で作業をする場合のセキュリティ対策を実施しなければならない。 | ○ | ○ | 要員が遠隔で作業している場合に情報のセキュリティを確実にするため。 |
A-03 情報セキュリティ手順書6.7 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・資産管理 ・情報保護 ・物理的セキュリティ ・システム及びネットワークのセキュリティ |
・プロテクション | 6.2.2 | |
| 6.8 | 情報セキュリティ事象の報告 | 組織は，要員が発見した又は疑いをもった情報セキュリティ事象を，適切な連絡経路を通して時機を失せずに報告するための仕組みを設けなければならない。 | ○ | ○ | 要員が，特定可能な情報セキュリティ事象を時機を失せず，一貫性をもって効果的に報告することを支援するため。 |
A-03 情報セキュリティ手順書6.8 | ・検知 | ・機密性 ・完全性 ・可用性 |
・検知 | ・情報セキュリティ事象管理 | ・ディフェンス | 16.1.2、 16.1.3 | |
| A.7 物理的管理策 | |||||||||||||
| 7.1 | 物理的セキュリティ境界 | 情報及びその他の関連資産のある領域を保護するために，物理的セキュリティ境界を定め，かつ，用いなければならない。 | ○ | ○ | 組織の情報及びその他の関連資産への認可されていない物理的アクセス，損傷及び干渉を防ぐため。 |
A-08 レイアウト図 A-03 情報セキュリティ手順書7.1 |
・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・物理的セキュリティ | ・プロテクション | 11.1.1 | |
| 7.2 | 物理的入退 | セキュリティを保つべき領域は，適切な入退管理策及びアクセス場所（受付など）によって保護しなければならない。 | ○ | ○ | 組織の情報及びその他の関連資産に，認可された物理的アクセスだけがなされることを確実にするため。 |
A-03 情報セキュリティ手順書7.2 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・物理的セキュリティ ・識別情報及びアクセスの管理 |
・プロテクション | 11.1.2、 11.1.6 | |
| 7.3 | オフィス、部屋及び施設のセキュリティ | オフィス，部屋及び施設に対する物理的セキュリティを設計し，実装しなければならない。 | ○ | ○ | オフィス，部屋及び施設内の組織の情報及びその他の関連資産への認可されていない物理的アクセス，損傷，並びに干渉を防ぐため。 |
A-08 レイアウト図 A-03 情報セキュリティ手順書7.3 |
・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・物理的セキュリティ ・資産管理 |
・プロテクション ・ディフェンス |
11.1.3 | |
| 7.4 | 物理的セキュリティの監視 | 施設は，認可していない物理的アクセスについて継続的に監視しなければならない。 | ○ | ○ | 認可されていない物理的アクセスを検知し，抑止するため。 | A-03 情報セキュリティ手順書7.4 | ・予防 ・検知 |
・機密性 ・完全性 ・可用性 |
・防御 ・検知 |
・物理的セキュリティ | ・プロテクション ・ディフェンス |
新規 | |
| 7.5 | 物理的及び環境的脅威からの保護 | 自然災害及びその他の意図的又は意図的でない，インフラストラクチャに対する物理的脅威などの物理的及び環境的脅威に対する保護を設計し，実装しなければならない。 | ○ | ○ | 物理的及び環境的脅威に起因する事象の結果を防止又は低減するため。 |
A-03 情報セキュリティ手順書7.5 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・物理的セキュリティ | ・プロテクション | 11.1.4 | |
| 7.6 | セキュリティを保つべき領域での作業 | セキュリティを保つべき領域での作業に関するセキュリティ対策を設計し，実施しなければならない。 | ○ | ○ | セキュリティを保つべき領域にある情報及びその他の関連資産を，これらの領域で働く要員による損傷及び認可されていない干渉から保護するため。 |
A-03 情報セキュリティ手順書7.6 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・物理的セキュリティ | ・プロテクション | 11.1.5 | |
| 7.7 | クリアデスク・クリアスクリーン | 書類及び取外し可能な記憶媒体に対するクリアデスクの規則，並びに情報処理設備に対するクリアスクリーンの規則を定め，適切に実施させなければならない。 | ○ | ○ | 通常の勤務時間内及び時間外の，机，スクリーン及びその他のアクセス可能な場所にある情報への認可されていないアクセス，情報の消失及び損傷のリスクを低減するため。 |
A-03 情報セキュリティ手順書7.7 | ・予防 | ・機密性 | ・防御 | ・物理的セキュリティ | ・プロテクション | 11.2.9 | |
| 7.8 | 装置の設置及び保護 | 装置は，セキュリティを保って設置し，保護しなければならない。 | ○ | ○ | 物理的及び環境的脅威，並びに認可されていないアクセス及び損傷によるリスクを低減するため。 |
A-03 情報セキュリティ手順書7.8 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・物理的セキュリティ ・資産管理 |
・プロテクション | 11.2.1 | |
| 7.9 | 構外にある資産のセキュリティ | 構外にある資産を保護しなければならない。 | ○ | ○ | 構外にある装置の紛失，損傷，盗難又は侵害，及び組織の業務の中断を防止するため。 |
A-03 情報セキュリティ手順書7.9 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・物理的セキュリティ ・資産管理 |
・プロテクション | 11.2.6 | |
| 7.1 | 記憶媒体 | 記憶媒体は，組織における分類体系及び取扱いの要求事項に従って，その取得，使用，移送及び廃棄のライフサイクルを通して管理しなければならない。 | ○ | ○ | 記憶媒体上の情報に対して認可された開示，変更，移動又は破棄だけがなされることを確実にするため。 |
A-03 情報セキュリティ手順書7.10 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・物理的セキュリティ ・資産管理 |
・プロテクション | 8.3.1～8.3.3、 11.2.5 | |
| 7.11 | サポートユーティリティ | 情報処理施設・設備は，サポートユーティリティの不具合による，停電，その他の中断から保護しなければならない。 | ○ | ○ | サポートユーティリティの故障及び事業の中断・阻害による情報及びその他の関連資産の消失，損傷若しくは侵害，又は組織の運用の中断を防止するため。 |
A-03 情報セキュリティ手順書7.11 | ・予防 ・検知 |
・完全性 ・可用性 |
・防御 ・検知 |
・物理的セキュリティ | ・プロテクション | 11.2.2 | |
| 7.12 | ケーブル配線のセキュリティ | 電源ケーブル，データ伝送ケーブル又は情報サービスを支援するケーブルの配線は，傍受，妨害又は損傷から保護しなければならない。 | ○ | ○ | 通信ケーブル及び電源ケーブルの配線に関連した，情報及びその他の関連資産の消失，損傷，盗難又は侵害，並びに組織の運用の中断を防止するため。 |
A-03 情報セキュリティ手順書7.12 | ・予防 | ・機密性 ・可用性 |
・防御 | ・物理的セキュリティ | ・プロテクション | 11.2.3 | |
| 7.13 | 装置の保守 | 装置は，情報の可用性，完全性及び機密性を維持することを確実にするために，正しく保守しなければならない。 | ○ | ○ | 保守の不足による，情報及びその他の関連資産の消失，損傷，盗難又は侵害，並びに組織の運用の中断を防止するため。 |
A-03 情報セキュリティ手順書7.13 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・物理的セキュリティ ・資産管理 |
・プロテクション ・レジリエンス |
11.2.4 | |
| 7.14 | 装置のセキュリティを保った処分又は再利用 | 記憶媒体を内蔵した装置は，処分又は再利用する前に，全ての取扱いに慎重を要するデータ及びライセンス供与されたソフトウェアを消去していること，又はセキュリティを保てるよう上書きしていることを確実にするために，検証しなければならない。 | ○ | ○ | 処分又は再利用する装置からの情報漏えいを防止するため。 |
A-03 情報セキュリティ手順書7.14 | ・予防 | ・機密性 | ・防御 | ・物理的セキュリティ ・資産管理 |
・プロテクション | 11.2.7 | |
| A.8 技術的管理策 | |||||||||||||
| 8.1 | 利用者エンドポイント機器 | 利用者エンドポイント機器に保存されている情報，処理される情報，又は利用者エンドポイント機器を介してアクセス可能な情報を保護しなければならない。 | ○ | ○ | 利用者終端装置を使用することによってもたらされるリスクから情報を保護するため。 |
A-03 情報セキュリティ手順書8.1 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・資産管理 ・情報保護 |
・プロテクション | 6.2.1、 11.2.8 | |
| 8.2 | 特権的アクセス権 | 特権的アクセス権の割当て及び利用は，制限し，管理しなければならない。 | ○ | ○ | 認可された利用者，ソフトウェア構成要素及びサービスだけに特権的アクセス権が与えられることを確実にするため。 |
A-03 情報セキュリティ手順書8.2 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・識別情報及びアクセスの管理 | ・プロテクション | 9.2.3 | |
| 8.3 | 情報へのアクセス制限 | 情報及びその他の関連資産へのアクセスは，確立されたアクセス制御に関するトピック固有の方針に従って，制限しなければならない。 | ○ | ○ | 情報及びその他の関連資産への認可されたアクセスだけを確実にし，認可されていないアクセスを防止するため。 |
A-03 情報セキュリティ手順書8.3 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・識別情報及びアクセスの管理 | ・プロテクション | 9.4.1 | |
| 8.4 | ソースコードへのアクセス | ソースコード，開発ツール，及びソフトウェアライブラリへの読取り及び書込みアクセスを適切に管理しなければならない。 | ○ | ○ | 認可されていない機能が入り込むことを防止し，意図しない又は悪意のある変更を回避し，価値の高い知的財産の機密性を維持するため。 |
A-03 情報セキュリティ手順書8.4 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・識別情報及びアクセスの管理 ・アプリケーション のセキュリティ ・セキュリティを保った構成 |
・プロテクション | 9.4.5 | |
| 8.5 | セキュリティを保った認証 | セキュリティを保った認証技術及び手順を，情報へのアクセス制限，及びアクセス制御に関するトピック固有の方針に基づいて備えなければならない。 | ○ | ○ | システム，アプリケーション及びサービスへのアクセスを許可するときに，利用者又はエンティティをセキュリティを保って認証することを確実にするため。 |
A-03 情報セキュリティ手順書8.5 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・識別情報及びアクセスの管理 | ・プロテクション | 9.4.2 | |
| 8.6 | 容量・能力の管理 | 現在の及び予測される容量・能力の要求事項に合わせて，資源の利用を監視し，調整しなければならない。 | ○ | ○ | 情報処理施設，人的資源，オフィス及びその他の施設で必要とされる容量・能力の確保を確実にするため。 |
A-03 情報セキュリティ手順書8.6 | ・予防 ・検知 |
・完全性 ・可用性 |
・識別 ・防御 ・検知 |
・継続 | ・ガバナンスとエコシステム ・プロテクション |
12.1.3 | |
| 8.7 | マルウェアに対する保護 | マルウェアに対する保護を実施し，利用者の適切な認識によって支援しなければならない。 | ○ | ○ | 情報及びその他の関連資産をマルウェアに対して保護することを確実にするため。 |
A-03 情報セキュリティ手順書8.7 | ・予防 ・検知 ・修正 |
・機密性 ・完全性 ・可用性 |
・防御 ・検知 |
・システム及びネットワークのセキュリティ ・情報保護 |
・プロテクション ・ディフェンス |
12.2.1 | |
| 8.8 | 技術的ぜい弱性の管理 | 利用中の情報システムの技術的ぜい弱性に関する情報を獲得しなければならない。また，そのようなぜい弱性に組織がさらされている状況を評価し，適切な手段をとらなければならない。 | ○ | ○ | 技術的ぜい弱性の悪用を防止するため。 |
A-03 情報セキュリティ手順書8.8 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 ・防御 |
・脅威及びぜい弱性の管理 | ・ガバナンスとエコシステム ・プロテクション ・ディフェンス |
12.6.1、 18.2.3 | |
| 8.9 | 構成管理 | ハードウェア，ソフトウェア，サービス及びネットワークのセキュリティ構成を含む構成を確立し，文書化し，実装し，監視し，レビューしなければならない。 | ○ | ○ | ハードウェア，ソフトウェア，サービス及びネットワークが，必要とされるセキュリティ設定で正しく機能し，認可されていない変更又は誤った変更によって構成が変えられないことを確実にするため。 | A-03 情報セキュリティ手順書8.9 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・セキュリティを保った構成 | ・プロテクション | 新規 | |
| 8.1 | 情報の削除 | 情報システム，装置又はその他の記憶媒体に保存している情報は，必要でなくなった時点で削除しなければならない。 | ○ | ○ | 取扱いに慎重を要する情報の不必要な漏えいを防止し，情報の削除に関する法令，規制及び契約上の要求事項を順守するため。 | A-03 情報セキュリティ手順書8.10 | ・予防 | ・機密性 | ・防御 | ・情報保護 ・法及び順守 |
・プロテクション | 新規 | |
| 8.11 | データマスキング | データマスキングは，適用される法令を考慮して，組織のアクセス制御に関するトピック固有の方針及びその他の関連するトピック固有の方針，並びに事業上の要求事項に従って利用しなければならない。 | ○ | ○ | PII （個人を特定できる情報）を含む，取扱いに慎重を要するデータの開示を制限し，法令，規制及び契約上の要求事項を順守するため。 | A-03 情報セキュリティ手順書8.11 | ・予防 | ・機密性 | ・防御 | ・情報保護 | ・プロテクション | 新規 | |
| 8.12 | データ漏えい防止 | データ漏えい防止対策を，取扱いに慎重を要する情報を処理，保存又は送信するシステム，ネットワーク及びその他の装置に適用しなければならない。 | ○ | ○ | 個人又はシステムによる情報の認可されていない開示及び抽出を検出し防止するため。 | A-03 情報セキュリティ手順書8.12 | ・予防 ・検知 |
・機密性 | ・防御 ・検知 |
・情報保護 | ・プロテクション ・ディフェンス |
新規 | |
| 8.13 | 情報のバックアップ | 合意されたバックアップに関するトピック固有の方針に従って，情報，ソフトウェア及びシステムのバックアップを維持し，定期的に検査しなければならない。 | ○ | ○ | データ又はシステムの損失からの回復を可能にするため。 |
A-03 情報セキュリティ手順書8.13 | ・是正 | ・完全性 ・可用性 |
・復旧 | ・継続 | ・プロテクション | 12.3.1 | |
| 8.14 | 情報処理施設・設備の冗長性 | 情報処理施設・設備は，可用性の要求事項を満たすのに十分な冗長性をもって，導入しなければならない。 | ○ | ○ | 情報処理施設の継続的な運用を確実にするため。 |
A-03 情報セキュリティ手順書8.14 | ・予防 | ・可用性 | ・防御 | ・継続 ・資産管理 |
・プロテクション ・レジリエンス |
17.2.1 | |
| 8.15 | ログ取得 | 活動，例外処理，過失及びその他の関連する事象を記録したログを取得し，保存し，保護し，分析しなければならない。 | ○ | ○ | 事象を記録し，証拠を生成し，ログ情報の完全性を確実にし，認可されていないアクセスを防止し，情報セキュリティインシデントにつながる可能性のある情報セキュリティ事象を特定し，調査を支援するため。 |
A-03 情報セキュリティ手順書8.15 | ・検知 | ・機密性 ・完全性 ・可用性 |
・検知 | ・情報セキュリティ事象管理 | ・プロテクション ・ディフェンス |
12.4.1～12.4.3 | |
| 8.16 | 監視活動 | 情報セキュリティインシデントの可能性を評価するために，ネットワーク，システム及びアプリケーションについて異常な挙動がないか監視し，適切な処置を講じなければならない。 | ○ | ○ | 異常な行動・動作及び潜在する情報セキュリティインシデントを検出するため。 | A-03 情報セキュリティ手順書8.16 | ・検知 ・是正 |
・機密性 ・完全性 ・可用性 |
・検知 ・対応 |
・情報セキュリティ事象管理 | ・ディフェンス | 新規 | |
| 8.17 | クロックの同期 | 組織が使用する情報処理システムのクロックは，組織が採用した時刻源と同期させなければならない。 | ○ | ○ | セキュリティ関連の事象及びその他の記録されたデータの関係付け及び分析を可能にし，情報セキュリティインシデントの調査を支援するため。 |
A-03 情報セキュリティ手順書8.17 | ・検知 | ・完全性 | ・防御 ・検知 |
・情報セキュリティ事象管理 | ・プロテクション ・ディフェンス |
12.4.4 | |
| 8.18 | 特権的なユーティリティプログラムの使用 | システム及びアプリケーションによる制御を無効にすることのできるユーティリティプログラムの使用は，制限し，厳しく管理しなければならない。 | ○ | ○ | ユーティリティプログラムの使用が，システム及びアプリケーションについての情報セキュリティ管理策に害を与えないことを確実にするため。 |
A-03 情報セキュリティ手順書8.18 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・システム及びネットワークのセキュリティ ・セキュリティを保った構成 ・アプリケーション のセキュリティ |
・プロテクション | 9.4.4 | |
| 8.19 | 運用システムへのソフトウェアの導入 | 運用システムへのソフトウェアの導入をセキュリティを保って管理するための手順及び対策を実施しなければならない。 | ○ | ○ | 運用システムの完全性の維持を確実にし，技術的ぜい弱性の悪用を防止するため。 |
A-03 情報セキュリティ手順書8.19 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・セキュリティを保った構成 ・アプリケーション のセキュリティ |
・プロテクション | 12.5.1、 12.6.2 | |
| 8.2 | ネットワークセキュリティ | システム及びアプリケーション内の情報を保護するために，ネットワーク及びネットワーク装置のセキュリティを保ち，管理し，制御しなければならない。 | ○ | ○ | ネットワーク及びそれをサポートする情報処理施設における情報を，ネットワークを通じた危険から保護するため。 |
A-03 情報セキュリティ手順書8.20 | ・予防 ・検知 |
・機密性 ・完全性 ・可用性 |
・防御 ・検知 |
・システム及びネットワークのセキュリティ | ・プロテクション | 13.1.1 | |
| 8.21 | ネットワークサービスのセキュリティ | ネットワークサービスのセキュリティ機能，サービスレベル及びサービスの要求事項を特定し，実装し，監視しなければならない。 | ○ | ○ | ネットワークサービスの使用におけるセキュリティを確実にするため。 |
A-03 情報セキュリティ手順書8.21 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・システム及びネットワークのセキュリティ | ・プロテクション | 13.1.2 | |
| 8.22 | ネットワークの分離 | 情報サービス，利用者及び情報システムは，組織のネットワーク上で，グループごとに分離しなければならない。 | ○ | ○ | 業務の要求に基づいて，ネットワークをセキュリティ境界で分割し，それらの間のトラフィックを管理するため。 |
A-03 情報セキュリティ手順書8.22 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・システム及びネットワークのセキュリティ | ・プロテクション | 13.1.3 | |
| 8.23 | ウェブフィルタリング | 悪意のあるコンテンツにさらされることを減らすために，外部ウェブサイトへのアクセスを管理しなければならない。 | ○ | ○ | システムがマルウェアによって危険にさらされることを防ぎ，認可されていないウェブ資源へのアクセスを防止するため。 | A-03 情報セキュリティ手順書8.23 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・システム及びネットワークのセキュリティ | ・プロテクション | 新規 | |
| 8.24 | 暗号の利用 | 暗号鍵の管理を含む，暗号の効果的な利用のための規則を定め，実施しなければならない。 | ○ | ○ | 業務及び情報セキュリティの要求事項に従い，暗号に関連する法令，規制及び契約上の要求事項を考慮して，情報の機密性，真正性又は完全性を保護するための暗号の適切かつ効果的な使用を確実にするため。 |
A-03 情報セキュリティ手順書8.24 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・セキュリティを保った構成 | ・プロテクション | 10.1.1、 10.1.2 | |
| 8.25 | セキュリティに配慮した開発のライフサイクル | ソフトウェア及びシステムのセキュリティに配慮した開発のための規則を確立し，適用しなければならない。 | ○ | ○ | 情報セキュリティを，ソフトウェア及びシステムのセキュリティに配慮した開発ライフサイクルにおいて設計し，実装することを確実にするため。 |
A-03 情報セキュリティ手順書8.25 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・アプリケーション のセキュリティ ・システム及びネットワークのセキュリティ |
・プロテクション | 14.2.1 | |
| 8.26 | アプリケーションセキュリティの要求事項 | アプリケーションを開発又は取得する場合，情報セキュリティ要求事項を特定し，規定し，承認しなければならない。 | ○ | ○ | アプリケーションを開発又は取得する場合，全ての情報セキュリティ要求事項を特定し，対応することを確実にするため。 |
A-03 情報セキュリティ手順書8.26 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・アプリケーション のセキュリティ ・システム及びネットワークのセキュリティ |
・プロテクション ・ディフェンス |
14.1.2、 14.1.3 | |
| 8.27 | セキュリティに配慮したシステムアーキテクチャ及びシステム構築 の原則 |
セキュリティに配慮したシステムを構築するための原則を確立し，文書化し，維持し，全ての情報システムの開発活動に対して適用しなければならない。 | ○ | ○ | 情報システムが，開発のライフサイクルにおいてセキュリティに配慮して設計，実装及び運用されることを確実にするため。 |
A-03 情報セキュリティ手順書8.27 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・アプリケーション のセキュリティ ・システム及びネットワークのセキュリティ |
・プロテクション | 14.2.5 | |
| 8.28 | セキュリティに配慮したコーディング | セキュリティに配慮したコーディングの原則をソフトウェア開発に適用しなければならない。 | ○ | ○ | ソフトウェアがセキュリティに配慮して書かれ，それによってソフトウェアの潜在的な情報セキュリティのぜい弱性の数を減らすことを確実にするため。 | A-03 情報セキュリティ手順書8.28 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・アプリケーション のセキュリティ ・システム及びネットワークのセキュリティ |
・プロテクション | 新規 | |
| 8.29 | 開発及び受入れにおけるセキュリティテスト | セキュリティテストのプロセスを開発のライフサイクルにおいて定め，実施しなければならない。 | ○ | ○ | アプリケーション又はコードを運用環境に導入するときに，情報セキュリティ要求事項が満たされているかどうかの妥当性確認をするため。 |
A-03 情報セキュリティ手順書8.29 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 | ・アプリケーション のセキュリティ ・情報セキュリティ保証 ・システム及びネットワークのセキュリティ |
・プロテクション | 14.2.8、14.2.9 | |
| 8.3 | 外部委託による開発 | 組織は，外部委託したシステム開発に関する活動を指揮し，監視し，レビューしなければならない。 | ○ | ○ | 組織が要求する情報セキュリティ対策が，外部委託したシステム開発で実施されることを確実にするため。 |
A-03 情報セキュリティ手順書8.30 | ・予防 | ・機密性 ・完全性 ・可用性 |
・識別 ・防御 ・検知 |
・システム及びネットワークのセキュリティ ・アプリケーション のセキュリティ ・供給者関係のセキュリティ |
・ガバナンスとエコシステム ・プロテクション |
14.2.7 | |
| 8.31 | 開発環境、テスト環境及び本番環境の分離 | 開発環境，テスト環境及び本番環境は，分離してセキュリティを保たなければならない。 | ○ | ○ | 開発活動及び試験活動による危険から運用環境及びそのデータを保護するため。 |
A-03 情報セキュリティ手順書8.31 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・アプリケーション のセキュリティ ・システム及びネットワークのセキュリティ |
・プロテクション | 12.1.4、 14.2.6 | |
| 8.32 | 変更管理 | 情報処理設備及び情報システムの変更は，変更管理手順に従わなければならない。 | ○ | ○ | 変更を実行するときに情報セキュリティを維持するため。 |
A-03 情報セキュリティ手順書8.32 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・アプリケーション のセキュリティ ・システム及びネットワークのセキュリティ |
・プロテクション | 12.1.2、 14.2.2～14.2.4 | |
| 8.33 | テスト用情報 | テスト用情報は，適切に選定し，保護し，管理しなければならない。 | ○ | ○ | 試験の適切な実施，及び試験に使用する運用情報の保護を確実にするため。 |
A-03 情報セキュリティ手順書8.33 | ・予防 | ・機密性 ・完全性 |
・防御 | ・情報保護 | ・プロテクション | 14.3.1 | |
| 8.34 | 監査におけるテスト中の情報システムの保護 | 運用システムのアセスメントを伴う監査におけるテスト及びその他の保証活動を計画し，テスト実施者と適切な管理層との間で合意しなければならない。 | ○ | ○ | 監査及びその他の保証活動が運用システム及び業務プロセスに与える影響を最小限に抑えるため。 |
A-03 情報セキュリティ手順書8.34 | ・予防 | ・機密性 ・完全性 ・可用性 |
・防御 | ・システム及びネットワークのセキュリティ ・情報保護 |
・ガバナンスとエコシステム ・プロテクション |
12.7.1 |