ISMS数値評価基準
1. 資産目録の詳細
1.1 「資産目録」の項目
| 項目名 |
説明 |
| No |
資産の管理番号 |
| 登録日 |
資産目録に記入した日付 |
| 修正日 |
資産目録を修正した日付 |
| 資産分類(1) |
「b）資産の分類」を参照 |
| 資産分類(2) |
資産分類(1)の補足 |
| 部署名 |
資産の管理部署名 |
| 利用範囲 |
資産が使用できる範囲（業務名・部署名、役職等） |
| 情報資産名 |
資産の名称 |
| リスク所有者 |
資産の責任者 |
| 保管場所 |
資産が保管されている場所 |
| 外部委託 |
サービス供給者に資産を預ける／サービス供給者が資産にアクセスできる場合に “○” |
| モバイル／携行 |
資産を外部に持ち出す場合に “○” |
| テレワーキング |
電子データをPC等で自宅やSOHOで使用する場合に “○” |
| 構外のサーバ |
外部にある自社サーバで電子データを保存・処理する場合に “○” |
| 電子媒体 |
電子データを可搬媒体に保存する場合に “○” |
| 情報転送 |
当組織の外部に送信・送付する場合に “○” |
| 予備(1-3) |
予備項目 |
| 機密性 |
「機密性の資産価値評価」を参照 |
| 完全性 |
「完全性の資産価値評価」を参照 |
| 可用性 |
「可用性の資産価値評価」を参照 |
| リスクアセスNo |
予備項目 |
| 備考 |
備考欄 |
1.2 資産の分類
| 分類 |
内容 |
例 |
| 電子データ |
サーバやPC内に格納される電子情報 |
DB、ファイル、PC内ファイル |
| 紙データ |
紙で管理される文書 |
提案書、契約書、帳票類、設計書、手順書 |
| サービス |
当組織が受ける外部サービス |
クラウドサービス、アウトソーシング |
| 物理的資産 |
ハードウェア |
サーバ、PC、複合機、ネットワーク機器 |
| ソフトウェア |
インストール済みソフト（自社開発含む） |
OS、各種アプリ |
| その他 |
上記以外 |
人員、ブランド、ユニフォーム等 |
1.3 機密性（Confidentiality）の資産価値評価
| 資産価値 |
基準 |
該当情報例 |
| 0 |
公開可、漏洩しても影響なし |
情報セキュリティ方針 |
| 1 |
社内開示可、漏洩しても小影響 |
非公表データ、社内規則、業務マニュアル |
| 2 |
特定関係者に限定、漏洩で大影響 |
契約書、外部業者マニュアル、ソフトウェア |
| 3 |
特定関係者のみ、漏洩で重大影響 |
重要個人情報、会議議事録、売上情報、開発情報 |
1.4 完全性（Integrity）の資産価値評価
| 資産価値 |
基準 |
該当情報例 |
| 0 |
改ざんされても影響なし |
- |
| 1 |
改ざんで軽微な影響 |
部内通知、非販売用統計データ |
| 2 |
改ざんで一定影響 |
契約書、規則、販売統計、外部マニュアル、ソフトウェア |
| 3 |
改ざんで重大影響、社外に及ぶ |
重要個人情報、議事録、契約書、官公庁提出資料 |
1.5 可用性（Availability）の資産価値評価
| 資産価値 |
基準 |
該当情報例 |
| 0 |
利用不能でも影響なし |
- |
| 1 |
代替手段あり、3日以上遅延可 |
複合機、FAX |
| 2 |
小影響、1～2日遅延可 |
契約書、規則、統計データ、業務ソフト |
| 3 |
利用不可で重大影響 |
個人情報、会議議事録、売上情報、開発情報、公開HP |
2. リスクアセスメントにおける評価
2.1 リスク受容基準
リスクレベル = 起こりやすさ（評価値） × 影響（評価値）
| 起こりやすさ＼影響 |
4 |
3 |
2 |
1 |
| 4 |
16 |
12 |
8 |
4 |
| 3 |
12 |
9 |
6 |
3 |
| 2 |
8 |
6 |
4 |
2 |
| 1 |
4 |
3 |
2 |
1 |
※ 網掛けは「リスク受容基準」
2.2 影響の分析値
| 評価値 |
財務 |
顧客影響 |
業務影響 |
評判 |
| 4 |
売上5%以上損失 |
多数顧客へ大影響 |
1か月以上停止 |
大々的に話題化 |
| 3 |
売上5%未満損失 |
一部顧客へ大影響 |
1か月未満停止 |
媒体に取り上げられ話題化 |
| 2 |
売上1%未満影響 |
一部顧客に影響 |
数日停止 |
報道されるが話題化せず |
| 1 |
影響なし |
殆ど影響なし |
無視できる |
日常対応で解決 |
※ 財務・顧客・業務・評判のうち最大値を採用
2.3 起こりやすさの分析値
| 評価値 |
説明 |
| 4 |
日常的に発生（年数回） |
| 3 |
高頻度（年1回程度） |
| 2 |
中頻度（数年に1回） |
| 1 |
低頻度（30年に1回未満） |
3. 情報の分類
| 分類 |
内容 |
| 一般 |
下記以外 |
| 社外秘 |
当組織従業員にのみ開示許可（取引先除く）、ISMS関連規程 |
| 関係者外秘 |
漏洩で重大損失リスク、職務上限られた関係者のみ開示 |
4. インシデントレベル
| 項目 |
レベル0 |
レベル1 |
レベル2 |
| 分類 |
ヒヤリハット・事象 |
インシデント |
インシデント |
| 最終的被害範囲 |
将来被害可能性、軽微 |
社員／社内 |
顧客・取引先 |
| 発見者報告先 |
情報セキュリティ委員長 |
情報セキュリティ委員長 |
情報セキュリティ委員長 |
| 報告先 |
情報システム管理者 |
トップマネジメント／情シス |
トップマネジメント／情シス |
文書番号: A-10
版数: v1.0
作成者: 委員会
レビュー者: 委員会
承認者: Gavin Zhou
承認日: 2023-12-18
ステータス: Approved
ISMS数値評価基準
1. 資産目録の詳細
1.1 「資産目録」の項目
| 項目名 |
説明 |
| No |
資産の管理番号 |
| 登録日 |
資産目録に記入した日付 |
| 修正日 |
資産目録を修正した日付 |
| 資産分類(1) |
「資産の分類」を参照 |
| 資産分類(2) |
資産分類(1)の補足 |
| 部署名 |
資産の管理部署名 |
| 利用範囲 |
業務名・部署名、役職等 |
| 情報資産名 |
資産の名称 |
| リスク所有者 |
資産の責任者 |
| 保管場所 |
資産が保管されている場所 |
| 外部委託 |
サービス供給者に資産を預ける／資産にアクセスできる場合は「○」 |
| モバイル／携行 |
外部に持ち出す場合に「○」 |
| テレワーキング |
自宅やSOHOで使用する場合に「○」 |
| 構外のサーバ |
外部にある自社サーバで利用する場合に「○」 |
| 電子媒体 |
可搬媒体に保存する場合に「○」 |
| 情報転送 |
外部送信する場合に「○」 |
| 機密性 |
機密性の評価 |
| 完全性 |
完全性の評価 |
| 可用性 |
可用性の評価 |
| 備考 |
備考欄 |
1.2 資産の分類
- 電子データ: DB・ファイル・PC内のファイル等
- 紙データ: 提案書・契約書・帳票・設計書・マニュアル等
- サービス: クラウドサービス・アウトソーシング
- 物理的資産: サーバ・PC・複合機・ネットワーク機器等
- ソフトウェア: OS・アプリ・自社開発ソフト
- その他: 人員、ブランド、ユニフォーム等
1.3 機密性（C: Confidentiality）
| 価値 |
基準 |
該当情報例 |
| 0 |
公開可能、影響なし |
情報セキュリティ方針 |
| 1 |
社内開示のみ |
非公表データ、社内規則、業務マニュアル |
| 2 |
特定関係者に限定 |
契約書、外部マニュアル、ソフトウェア等 |
| 3 |
特定関係者のみ、重大影響 |
個人情報、契約書、売上情報、未公開情報等 |
1.4 完全性（I: Integrity）
| 価値 |
基準 |
該当情報例 |
| 0 |
改ざんされても影響なし |
参考資料 |
| 1 |
軽微な影響 |
事務連絡、統計データ |
| 2 |
一定の影響 |
契約書、業務マニュアル、販売データ |
| 3 |
重大な影響 |
個人情報、契約書、見積書、官公庁提出情報 |
1.5 可用性（A: Availability）
| 価値 |
基準 |
該当情報例 |
| 0 |
利用不能でも影響なし |
- |
| 1 |
3日以上遅延可 |
コピー機、FAX 等 |
| 2 |
1～2日遅延可 |
契約書、業務マニュアル、統計データ |
| 3 |
即時不可で重大影響 |
個人情報、契約書、売上情報、公開情報 |
2. リスクアセスメントにおける評価
2.1 リスク受容基準
リスクレベル = 起こりやすさ × 影響
| 起こりやすさ＼影響 |
4 |
3 |
2 |
1 |
| 4 |
16 |
12 |
8 |
4 |
| 3 |
12 |
9 |
6 |
3 |
| 2 |
8 |
6 |
4 |
2 |
| 1 |
4 |
3 |
2 |
1 |
※ 網掛け部分が「リスク受容基準」
2.2 影響の分析値
| 値 |
財務 |
顧客影響 |
業務影響 |
評判 |
| 4 |
利益に大きな影響（売上5%以上） |
多数顧客へ重大影響 |
1か月以上の影響 |
大きく話題になる |
| 3 |
利益に影響（売上5%未満） |
多数顧客または一部に重大影響 |
1か月未満の影響 |
媒体で話題 |
| 2 |
利益に軽微な影響（売上1%未満） |
一部顧客へ影響 |
数日程度の影響 |
媒体掲載のみ |
| 1 |
影響ほぼなし |
影響ほぼなし |
日常業務で解決可能 |
評判影響なし |
2.3 起こりやすさの分析値
| 値 |
説明 |
| 4 |
日常的に発生（年数回） |
| 3 |
年1回程度発生の可能性高 |
| 2 |
数年に1回程度の可能性 |
| 1 |
30年に1回未満 |
3. 情報の分類
- 一般: 制限なし
- 社外秘: 社内従業者のみ開示可能（取引先除く）
- 関係者外秘: 職務上必要な関係者のみ
4. インシデントレベル
| 項目 |
レベル0 |
レベル1 |
レベル2 |
| 分類 |
ヒヤリハット・事象 |
インシデント |
インシデント |
| 被害範囲 |
社員・社内 |
顧客・取引先 |
広範囲 |
| 発見者報告先 |
情報セキュリティ委員長 |
情報セキュリティ委員長 |
情報セキュリティ委員長 |
| 追加報告先 |
情報システム管理者 |
トップマネジメント |
トップマネジメント |
改訂履歴
| 改訂日 |
版数 |
内容 |
承認者 |
| 2023-12-18 |
v1.0 |
新規制定 |
Gavin Zhou |