情報セキュリティ手順書¶

改訂履歴¶

改訂日	版数	内容	承認	作成
2024-01-15	1.0	新規制定	沈燁	委員会
2024-04-23	1.1	5.14 情報の転送：Eメール利用規定追加、誤送信時の対応追加 7.2 物理的入退：外来者記録を電子カレンダーに追加 8.7 マルウェア保護：APP STORE利用制限を追加	沈燁	委員会
2024-05-10	1.2	5.15 アクセス制御：LAN接続・VPN利用規定修正 5.17 認証情報：パスワード記憶禁止を削除 8.4 ソースコード管理をGitHub利用に修正 8.7 マルウェア保護：不要拡張子に関する項目を削除	沈燁	委員会

目次¶

目的
適用範囲
用語の定義
本手順書の構成
組織的管理策
5.1 情報セキュリティのための方針群
5.2 情報セキュリティの役割及び責任
5.3 職務の分離
5.4 管理層の責任
5.5 関係当局との連絡
5.6 専門組織との連絡
5.7 脅威インテリジェンス
5.8 プロジェクトマネジメントにおける情報セキュリティ
5.9 資産の目録
5.10 情報資産の許容される利用
5.11 資産の返却
5.12 情報の分類
5.13 情報のラベル付け
5.14 情報の転送
5.15 アクセス制御
5.16 識別情報の管理
5.17 認証情報
5.18 アクセス権
5.19 供給者関係における情報セキュリティ
5.20 供給者との合意における情報セキュリティ
5.21 ICTサプライチェーン管理
5.22 供給者のサービス監視・レビュー
5.23 クラウドサービス利用管理
5.24 インシデント管理の計画策定及び準備
5.25 情報セキュリティ事象の評価及び決定
5.26 インシデント対応
5.27 インシデントからの学習
5.28 証拠の収集
人的管理策
物理的管理策
技術的管理策

第1章目的¶

本手順は、資産を適切に保護するために必要な人的、物理的、及びシステム的な管理策と、
これを実施するための具体的な手順を示すことを目的とする。

第2章適用範囲¶

本手順は当組織（株式会社PacPort）の全従業者を対象とする。

第3章用語の定義¶

用語の定義は「JIS Q 27001:2025 (ISO/IEC 27001:2022+Amd 1:2024)」、
及び「ISMSマニュアル」に準ずる。

主な用語は以下の通り。

用語	定義
トップマネジメント（経営陣）	代表取締役沈燁
情報セキュリティ委員長	当組織のISMS実施・運用を統括する責任者
情報セキュリティ委員会	部門管理者及び管理業務責任者で構成される組織
当組織	株式会社 PacPort
従業者	当組織に所属する全従業者

第4章本手順書の構成¶

本手順は「JIS Q 27001:2025 (ISO/IEC 27001:2022+Amd 1:2024) 附属書A」の体系に準じて構成する。

第5章組織的管理策¶

5.1 情報セキュリティのための方針群¶

当組織は、情報セキュリティに関する基本方針として「情報セキュリティ方針（A-01）」を制定し、
さらに必要に応じて分野別の方針（例：持込PC利用方針、クラウド利用方針等）を文書化して管理する。
全従業者はこれら方針を遵守しなければならない。

5.2 情報セキュリティの役割及び責任¶

ISMS 全体の責任：情報セキュリティ委員長
内部監査責任：ISMS内部監査責任者
部門内の情報セキュリティ管理：部門管理者
システム運用管理：情報システム管理者
日常運用及び第一報告：各従業者

役割分担は「情報セキュリティ委員会組織図（A-06）」に従う。

5.3 職務の分離¶

不正防止及び牽制機能を確保するため、重要業務については職務を分離する。
例えば以下のように分担する。

業務	実施者	確認者
サーバ設定変更	情報システム管理者	ISMS事務局
会計処理	経理担当者	管理部長
顧客契約承認	営業担当者	営業部長

5.4 管理層の責任¶

管理層は、担当部門の従業者に対して以下を徹底する。

ISMS 方針及び手順の周知徹底。
情報セキュリティ教育の受講。
インシデント発生時の速やかな報告。
資産管理（PC、端末、紙資料等）の徹底。

5.5 関係当局との連絡¶

当組織は、インシデントやセキュリティ関連情報が必要な場合に、関係当局へ連絡する。
連絡先は「連絡先一覧（A-07）」に記載されている。

5.6 専門組織との連絡¶

当組織は、脆弱性情報やインシデント情報を得るために専門組織と連絡を取る。
代表例は JPCERT/CC、IPA など。
必要時には「連絡先一覧（A-07）」を参照する。

5.7 脅威インテリジェンス¶

当組織は、サイバー攻撃や脅威情報を定期的に収集・分析し、必要な対策を講じる。
情報源：IPA、JPCERT/CC、ベンダー提供情報、セキュリティメディア等。

5.8 プロジェクトマネジメントにおける情報セキュリティ¶

新規システム導入やプロジェクトにおいては、計画段階からセキュリティ要件を考慮する。
- リスク評価の実施。
- 必要なセキュリティ要件の定義。
- 委託先・供給者のセキュリティ評価。

5.9 資産の目録¶

当組織は、全ての情報資産を「資産目録（A-10）」に登録し、管理する。
目録には資産区分、責任者、保管場所、機密性・完全性・可用性の評価値を記録する。

5.10 情報資産の許容される利用¶

情報資産は業務目的でのみ利用する。以下は禁止する。

個人的利用（私的ソフトウェアのインストール、業務外サイト利用）。
無断での資産持出や複製。
利用規程に違反する行為。

違反が判明した場合、懲戒の対象となることがある。

5.11 資産の返却¶

従業者が退職・異動する際、または業務に不要となった場合は、
情報資産（PC、端末、媒体、鍵、紙資料等）を速やかに返却しなければならない。
返却記録は管理部門で保持する。

5.12 情報の分類¶

情報は「ISMS数値評価基準（A-10）」に基づき、一般／社外秘／関係者外秘に分類する。
分類に応じて、取り扱い・保管・廃棄ルールを徹底する。

5.13 情報のラベル付け¶

情報資産には適切なラベルを付与する。
- 電子データ：ファイル名・メタデータに区分を明記。
- 紙資料：表紙またはヘッダに分類区分を表示。
- メール：件名に【社外秘】等を記載。

5.14 情報の転送¶

情報を組織外へ転送する場合は、以下を遵守する。

暗号化メールまたは承認済みのクラウドサービスを利用する。
添付ファイルにはパスワードを設定し、別経路で通知する。
誤送信が発生した場合は直ちに上長および ISMS 事務局へ報告し、対応を取る。

5.15 アクセス制御¶

ネットワーク、システム、情報資産へのアクセスは職務に必要な最小限に制御する。

社内 LAN 接続には認証を必須とする。
VPN 利用は承認を得た従業者に限定する。
アクセス権は定期的に棚卸しし、不必要な権限を削除する。

5.16 識別情報の管理¶

ユーザ ID は一人一IDとし、共有禁止。
識別情報は職務に基づき発行し、退職・異動時は速やかに削除する。

5.17 認証情報¶

パスワードは所定の複雑性ルールに従い設定する。
多要素認証（MFA）が利用可能な場合は必須とする。
パスワードはシステムに保存しない。紙・電子媒体への記録は禁止。

5.18 アクセス権¶

アクセス権の付与・変更・削除は申請・承認を経て実施する。
- 申請者：部門管理者
- 承認者：情報セキュリティ委員長
- 実施者：情報システム管理者

全ての履歴は記録・保持する。

5.19 供給者関係における情報セキュリティ¶

供給者（外部委託先、サービス提供者）との取引においては、以下を徹底する。

機密保持契約（NDA）の締結。
提供情報の範囲と利用目的の明確化。
ISMS 要求事項を満たすセキュリティ水準の確認。

5.20 供給者との合意における情報セキュリティ¶

契約書や SLA に、情報セキュリティ要求事項を明記する。
具体的には次を含む。

インシデント発生時の報告義務。
再委託時の事前承認。
データの返却・消去義務。
監査対応への協力。

5.21 ICTサプライチェーン管理¶

当組織は ICT サプライチェーンに起因するリスクを管理する。
- ハードウェア、ソフトウェア、クラウドサービスの供給元を評価する。
- 供給者変更やバージョン変更の際にはリスク評価を行う。
- サプライチェーン全体においてセキュリティ水準を維持する。

5.22 供給者のサービス監視・レビュー¶

委託先・供給者のサービスは定期的に監視・レビューを行い、契約に基づくセキュリティ要求が満たされているか確認する。
不適合がある場合は是正を要求し、必要に応じて契約の見直しを行う。

5.23 クラウドサービス利用管理¶

当組織はクラウドサービスを利用する場合、ISO/IEC 27017 のガイドラインに従い管理する。
- クラウド責任分界を明確化する。
- データ保護（暗号化、アクセス制御、バックアップ）を徹底する。
- サービス提供者のセキュリティ認証や実施状況を確認する。
- 利用終了時にはデータの返却または完全消去を確認する。

5.24 インシデント管理の計画策定及び準備¶

当組織はインシデント対応手順を定め、事前に計画・準備する。
- インシデント定義とレベル（A-10 参照）。
- 初動対応フロー。
- 報告ルート（連絡先一覧 A-07 参照）。
- 記録・分析・是正処置。

5.25 情報セキュリティ事象の評価及び決定¶

発生したセキュリティ事象がインシデントに該当するかどうかを ISMS 事務局が評価・決定する。
- 軽微な事象は記録のみ。
- インシデントの場合は委員会へ報告し、対応を開始する。

5.26 インシデント対応¶

インシデントが発生した場合、次の手順に従って対応する。

検知：従業者が異常を発見した場合、直ちに上長および ISMS 事務局に報告する。
初動対応：被害拡大防止（ネットワーク遮断、アカウント停止等）。
調査：原因、影響範囲を特定。
復旧：システム・サービスを正常状態に戻す。
報告：委員会を通じてトップマネジメントへ報告。
是正：再発防止策を策定し、手順に反映する。

5.27 インシデントからの学習¶

インシデント対応後、原因分析と再発防止策を委員会で共有する。
得られた知見は教育・訓練、手順改訂、システム改善に活用する。

5.28 証拠の収集¶

インシデントに関連する証拠（ログ、システムデータ、メール、スクリーンショット等）は
適切に収集・保全する。

改ざん防止のためにオリジナルを保持する。
証拠の取扱い記録（チェーン・オブ・カストディ）を残す。
必要に応じて法的機関への提出を可能とする。

第6章人的管理策¶

6.1 雇用前¶

採用活動において、候補者に対し情報セキュリティに関する適格性を確認する。
- 経歴・資格の確認（必要に応じて身元調査を実施）。
- 機密保持契約（NDA）の締結。
- 職務に応じたセキュリティ要求事項の明示。

6.2 雇用期間中¶

従業者は次を遵守しなければならない。

情報セキュリティ方針及び関連手順の遵守。
ISMS 教育・訓練の受講。
機密情報の適切な取扱い。
インシデントや違反の速やかな報告。

部門管理者は従業者がこれらを実践しているかを定期的に確認する。

6.3 雇用終了または異動¶

退職・契約終了・異動に際しては、以下を実施する。

ID・アカウント・アクセス権の停止・削除。
貸与資産（PC、端末、鍵、ICカード、文書等）の返却確認。
機密保持義務が雇用終了後も継続する旨を再確認。

退職処理・異動処理のチェックリストは人事部門が管理する。

第7章物理的管理策¶

7.1 物理的セキュリティ境界¶

当組織はオフィスをセキュリティ境界として定義し、境界内のエリアをレベルごとに区分する。
- レベル1：受付・共用エリア
- レベル2：執務エリア（営業部・開発部・サービス部）
- レベル3：高機微エリア（サーバルーム、保管庫等）

ゾーニングとルールは「レイアウト図（A-08）」に準拠する。

7.2 物理的入退¶

執務エリアへの入退は社員証による認証を必須とする。
高機微エリアは二重認証または立会いを必要とする。
来訪者は受付で入館手続きを行い、入館証を携帯する。
来訪者の行動は担当者が常時同伴する。
入退記録は電子システムまたはカレンダーで保持する。

7.3 設備のセキュリティ¶

サーバ、ネットワーク機器は施錠されたラックまたはサーバ室に設置する。
電源・空調・消火設備を適切に維持する。
災害対策として UPS を設置し、非常時の電力を確保する。

7.4 媒体の管理¶

USB メモリ、外付 HDD、DVD 等の媒体は管理者承認の上で利用する。
機密データを保存した媒体は持ち出し禁止。
廃棄時は記録消去ソフトまたは物理破壊を実施する。

7.5 書類の管理¶

機密文書は施錠可能なキャビネットに保管する。
不要となった文書は溶解処理または機密文書回収ボックスで廃棄する。
机上・会議室に放置しない（クリアデスク・クリアスクリーンの徹底）。

7.6 作業環境のセキュリティ¶

執務室への私物持ち込みは最小限とする。
個人端末の業務利用は禁止。
定期的に清掃・点検を行い、不審物がないか確認する。

第8章技術的管理策¶

8.1 アクセス制御¶

システムやアプリケーションへのアクセスは最小権限を原則とする。
アクセス権は業務上の必要性に基づき付与し、定期的に棚卸しを行う。
共用アカウントは禁止。緊急用アカウントは事前承認と使用後の報告を義務付ける。

8.2 ユーザ登録・削除¶

新規ユーザ登録は部門管理者の申請と ISMS 事務局の承認を要する。
退職・異動時はアカウントを即時削除または無効化する。
登録・削除の記録を保持する。

8.3 認証¶

パスワードは複雑性要件を満たす（8文字以上、英大小文字・数字・記号を含む）。
多要素認証（MFA）を推奨し、可能な場合は必須とする。
パスワードの再利用は禁止。定期的に更新する。

8.4 ソースコード管理¶

ソースコードは GitHub を利用し、認証済みアカウントでアクセスする。
ブランチ戦略に従い Pull Request を経てレビュー後にマージする。
機密情報（鍵・パスワード）はリポジトリに保存しない。

8.5 暗号化¶

機密データは保存・転送時に暗号化する。
TLS を利用し、安全な通信経路を確保する。
暗号鍵はセキュアに保管し、定期的に更新する。

8.6 ログ管理¶

認証、操作、障害に関するログを取得・保存する。
ログは改ざん防止のためアクセス制御を行う。
保管期間は原則1年以上とする。
ログの定期レビューを実施し、不審な挙動を検知する。

8.7 マルウェアに対する保護¶

全端末にウイルス対策ソフトを導入し、定義ファイルを自動更新する。
不審なメールや添付ファイルを開封しない教育を徹底する。
USB など外部媒体はスキャン後に利用する。

8.8 バックアップ¶

重要データは定期的にバックアップを取得する。
バックアップデータは暗号化し、安全な場所に保管する。
リストアテストを定期的に実施し、可用性を確認する。

8.9 システム開発及び変更管理¶

開発はセキュア開発ライフサイクルに基づいて実施する。
変更は申請・承認・テストを経て本番適用する。
脆弱性スキャンを行い、必要に応じて修正する。

8.10 技術的脆弱性管理¶

OS、ミドルウェア、アプリケーションの脆弱性情報を定期的に収集する。
パッチ適用を速やかに行う。
適用できない場合は代替策を講じ、リスクを文書化する。

8.11 技術的ネットワークセキュリティ¶

ファイアウォールを設置し、不要なポート・サービスを遮断する。
IDS/IPS を導入し、不正アクセスを検知・防御する。
ネットワークは用途別にセグメント化する（社内・開発・外部公開）。

8.12 運用ソフトウェアの制御¶

利用可能なソフトウェアは承認済みリストに基づき管理する。
無断インストールは禁止。必要な場合は申請・承認を経る。
バージョン管理と更新状況を定期的に確認する。

8.13 クラウドサービス利用管理（ISO/IEC 27017 対応）¶

8.13.1 クラウドサービスの承認¶

利用可能なクラウドサービスは「承認済リスト」に限定する。
個人契約クラウド（Google Drive, Dropbox 等）の業務利用は禁止する。
新規クラウド利用時は「クラウド契約レビュー手順書 (C-03)」に従い承認を得る。

8.13.2 責任分界¶

AWS, GCP, GitHub, Notion, Slack, Cloudflare 等のクラウドサービスについて、
「クラウド責任分界マトリクス (C-02)」を参照し、責任範囲を明確にする。

8.13.3 アカウント管理¶

クラウド管理者アカウントは最小限（原則2名以下）とする。
すべてのアカウントで MFA（多要素認証） を必須とする。
退職・異動時はアカウントを即時削除する。

8.13.4 データ管理¶

個人情報や機密データは保存時・転送時に暗号化する。
データ削除時は CSP 提供機能（削除証明等）を確認し、証跡を保存する。
公開設定が必要な場合は事前承認を得ること。

8.13.5 ログと監査¶

クラウドサービスのログ（AWS CloudTrail, GitHub Audit Log, Slack Audit Log 等）を取得する。
月次でログレビューを行い、不正アクセスや誤利用を検知する。
監査結果は「内部監査報告書 (R-03)」に反映する。

8.13.6 教育¶

従業者は「クラウド利用教育資料 (EDU-01)」を年次受講すること。
誤設定事例（例：S3公開設定ミス）を教材として活用する。