A-10 ISMS数値評価基準

📎 元の Word 文書をダウンロード

---

文書番号：A-10

ISMS数値評価基準	作成者/更新者	委員会	作成日/更新日	2023年12月18日
	承認者	Gavin　Zhou	承認日	2023年12月18日

1. 資産目録の詳細

1.1「資産目録」の項目

項目名	説明
No	資産の管理番号
登録日	資産目録に記入した日付
修正日	資産目録を修正した日付
資産分類(1)	「b）資産の分類」を参照
資産分類(2)	資産分類(1)の補足
部署名	資産の管理部署名
利用範囲	資産が使用できる範囲（業務名・部署名、役職等）
情報資産名	資産の名称
リスク所有者	資産の責任者
保管場所	資産が保管されている場所
外部委託	空欄又は“○”：“サービス供給者に資産を預ける”又は“サービス供給者が資産にアクセスできる場合に”○“
モバイル／携行	空欄又は“○”：資産を外部に持ち出す場合に“○”
テレワーキング	空欄又は“○”：電子データをPC等で自宅やSOHOで使用する場合に“○”
構外のサーバ	空欄または“○”：ハウジング等、外部にある自社の物理サーバで電子データを保存や処理を行なう場合に“○”
電子媒体	空欄又は“○”：電子データを取外し可能な媒体に保存する場合に“○”
情報転送	データを当組織の外部に送信・送付をする場合に“○”
予備(1)	予備項目
予備(2)	予備項目
予備(3)	予備項目
機密性	機密性に関する資産の評価：「機密性の資産価値評価」を参照
完全性	完全性に関する資産の評価：「完全性の資産価値評価」を参照
可用性	可用性に関する資産の評価：「可用性の資産価値評価」を参照
リスクアセスNo	予備項目
備考	備考欄

**\ 　**

1.2資産の分類

分類	内容	例
電子データ	サーバやPC内に格納される電子情報	システム内のDB・ファイル PC内のファイル　等
紙データ	紙の状態で管理される文書	提案書・契約書・帳票類 システム設計書 マニュアル（手順書）　等
サービス	当組織が受ける外部サービス	クラウドサービス、アウトソーシングサービス等
物理的資産	ハードウェア	各種サーバ・PC・複合機 ネットワーク機器　等
ソフトウェア	サーバやPC内にインストール済みのソフトウェア（自社開発のソフトウェアも含みます）	OS 各種アプリケーションソフト
その他	業務を遂行するための人員等、ブランド　等の上記分類に該当しない資産	管理者・各部門のスタッフ、ユニフォーム

1.3機密性：Ｃ（Confidentiality）の資産価値評価

資産価値	基　準	該当情報【例】
0	第三者に開示・提供可能であり、内容が漏洩してもビジネスへの影響はほとんどない。	・情報セキュリティ方針
1	社内に開示・提供可能（第三者には不可）であり、内容が漏洩してもビジネスへの影響は小さい。	・非公表のデータ（個別法人名が記載されているものを除く） ・社内規則、業務マニュアル（社内全体に開示・提供可能なものに限る） ・その他社内に開示・提供可能な情報
2	特定の関係者又は特定の部署に開示・提供可能であり、内容が漏洩した場合、ビジネスへの影響は大きい。	・契約書類 ・外部業者提供のマニュアル（当組織仕様） ・ソフトウェア（当組織仕様） ・その他特定の関係者又は特定の部署に開示・提供可能な情報
3	特定の関係者のみに開示・提供可能であり、内容が漏洩した場合、ビジネスへの影響は深刻かつ重大	・重要な個人情報 ・重要会議議事録 ・契約書 ・見積書 ・官公庁への届出・申請に関する情報 ・売上等の会社情報 ・公知になる前の預かり情報・開発情報

1.4 完全性：Ｉ（Integrity）の資産価値評価

資産価値	基　準	該当情報【例】
0	参照程度しか使用していないため、改ざんされた場合や情報が不正確な状態になった場合でも問題がなく、ビジネスへの影響もない。
1	改ざんされた場合や情報が不正確な状態になった場合、体制上の問題は問われるとしても、ビジネスへの影響はほとんどない。	・社内又は部内に向けて発した事務連絡通知 ・統計データ（販売用データを除く）
2	改ざんされた場合や情報が不正確な状態になった場合、一定程度のビジネスへの影響を受け得る。	・契約書類 ・社内規則、業務マニュアル ・統計データ（販売用のデータ） ・外部業者提供のマニュアル ・ソフトウェア ・物理的資産（コピー機、ＦＡＸ等）
3	改ざんされた場合や情報が不正確な状態になった場合、ビジネスへの影響は深刻かつ重大。改ざんや情報が不正確な状態の影響の範囲が社外に及び、当組織として重大な責任を問われ得るもの。	・重要な個人情報 ・重要会議議事録 ・契約書 ・見積書 ・官公庁への届出・申請に関する情報

1.5 可用性：Ａ（Availability）の資産価値評価

注：要員・サービスの場合は要求事項やSLAを考慮し、影響度を数値化する。

PC・サーバ等の物理的資産は保存内容により考慮する

資産価値	基　準	該当情報【例】
0	情報資産が利用できなくてもビジネスに影響はない。
1	情報資産が利用できなくてもビジネスへの影響はほとんどなく、代替手段で業務ができる。又は情報資産が利用できるまで、３日程度以上の遅延が許される。	・物理的資産（コピー機、ＦＡＸ等）
2	情報資産が利用できなくてもビジネスへの影響は小さく、代替手段で業務ができる。又は情報資産が利用できるまで、1～2日程度の遅延が許される。	・契約書類 ・社内規則、業務マニュアル ・非公表の統計データ ・外部業者提供のマニュアル（当組織仕様） ・ソフトウェア（業務用ソフトウェア）
3	必要時に確実に情報資産が利用できない場合、ビジネスへの影響は深刻かつ重大。	・重要な個人情報 ・重要会議議事録 ・売上等の会社情報 ・公知になる前の預かり情報・開発情報 ・ホームページで公開中の情報

2. リスクアセスメントにおける評価

2.1リスク受容基準

リスクレベル

評価値		起こりやすさ
		4	3	2	1
影響	4	16	12	8	4
	3	12	9	6	3
	2	8	6	4	2
	1	4	3	2	1

• 起こりやすさ（評価値）×　影響（評価値）＝　リスクレベル

• 網掛けは「リスク受容基準」

2.2影響の分析値

評価値	財務	顧客影響	業務影響	評判
4	当期利益に大きな影響（売上額の5％以上）	多くの顧客に大きな影響	1か月以上の影響	大々的に話題になる
3	当期利益に影響（売上額の5%未満）	多くの顧客に影響、または一部の顧客に大きな影響	1か月未満の影響	媒体に取り上げられ、話題になる
2	当期利益に若干の影響（売上額の1%未満）	一部の顧客に影響	特定の業務、または数日程度の影響	媒体に取り上げられるが、話題にならない
1	殆ど影響なし	殆ど影響なし	無視できる程度	日常の対応で解決

• 財務、顧客影響、業務影響、評判のうち、最も数値の大きいものを評価値とする。

2.2起こりやすさの分析値

評価値	説明（目安）
4	日常的に発生（1年に数回）
3	発生する可能性は高い（1年に1回程度）
2	発生する可能性は中程度（数年に1回程度）
1	発生する可能性は低い（30年に1回未満）

**

3 情報の分類

分類	内容
一般	下記以外
社外秘	関係者外秘以外の機密事項であり、当組織の従業者に対してのみ開示が許されるもの（取引先に開示する必要があるものは除く）。又はISMSに関わる規程・手順書類。
関係者外秘	情報が外に漏れることによって、当組織が重大な損失若しくは不利益を受けるような恐れのある機密事項であり、職務上の限られた関係者のみに開示を許すもの。関係者が明示的に定められていない場合、関係者とは、情報を直接配付された者を指す。

4 インシデントレベル

項目	レベル：0	レベル：1	レベル：2
分類	ヒヤリハット・事象	インシデント	インシデント
最終的に被害が及ぶ範囲	※事件・事故の発生、被害に及ばないが将来において被害が発生する可能性がある事象が発見されたとき ※マルウェアに関して、対策アプリケーションから問題なく処理した旨のメッセージが発せられたとき	社員又は社内	顧客・取引先
発見者報告先	情報セキュリティ委員長	情報セキュリティ 委員長	情報セキュリティ 委員長
情報セキュリティ委員長 報告先	情報システム管理者	トップマネジメント 情報システム管理者	トップマネジメント 情報システム管理者