適用宣言書（SoA: Statement of Applicability）¶
改訂履歴¶
| 改訂日 | 版数 | 内容 | 承認 | 作成 |
|---|---|---|---|---|
| 2023-12-18 | 1.0 | 新規制定 | 沈 燁 | 委員会 |
| 2024-05-10 | 1.1 | リスク対応結果を反映、管理策適用状況を更新 | 沈 燁 | 委員会 |
| 2025-01-01 | 2.0 | ISO/IEC 27017 クラウド管理策を追記、適用範囲を更新 | 沈 燁 | 委員会 |
| 2026-05-28 | 2.1 | JIS Q 27001:2025 対応・xlsx 正式版に基づき全面改訂 | 沈 燁 | 委員会 |
ISMS 適用範囲¶
- 事業範囲：IoTシステムに関わる企画、設計、開発、販売、導入、保守運用業務。
- 組織範囲：株式会社 PacPort 全体。
- 所在地：〒100-0004 東京都千代田区大手町二丁目2番1号 新大手町ビル。
- 資産範囲：重要資産、個人情報、それらが記録された媒体、情報施設・設備及び維持に必要なサービス。
- 技術範囲：ネットワークの境界をルータとし、その内側を対象ネットワーク範囲とする。
管理策の適用一覧（JIS Q 27001:2025 / ISO/IEC 27001:2022+Amd 1:2024 附属書A）¶
全 93 管理策。
A.5 組織的管理策¶
| 管理策番号 | 管理策の名称 | 適用 | 実施 | 適用理由／不適用理由 | 規定・手順書 | 旧管理策番号 |
|---|---|---|---|---|---|---|
| 5.1 | 情報セキュリティのための方針群 | ○ | ○ | 事業，法令，規制及び契約上の要求事項に従って，経営陣の方向性の継続的な適合性，適切性，有効性，及び情報セキュリティのサポートを確実にするため。 | A-0１ 情報セキュリティ方針 A-02 ISMSマニュアル5.2 A-02 ISMSマニュアル8.1 A-03 情報セキュリティ手順書5.1 |
5.1.1、 5.12 |
| 5.2 | 情報セキュリティの役割及び責任 | ○ | ○ | 組織内における情報セキュリティの実施，運用及び管理のために，定義され，承認され，理解される構造を確立するため。 | A-02 ISMSマニュアル5.3 A-03 情報セキュリティ手順書5.2 |
6.1.1 |
| 5.3 | 職務の分離 | ○ | ○ | 情報セキュリティ管理策の不正，エラー及び回避のリスクを軽減するため。 | 各文書の作成／承認 A-03 情報セキュリティ手順書5.3 |
6.1.2 |
| 5.4 | 管理層の責任 | ○ | ○ | 経営陣が，情報セキュリティにおける自らの役割を理解し，全ての要員が自らの情報セキュリティの責任を認識し，果たすことを確実にすることを目的として行動することを確実にするため。 | A-02 ISMSマニュアル5 A-03 情報セキュリティ手順書5.4 |
7.2.1 |
| 5.5 | 関係当局との連絡 | ○ | ○ | 組織と，関連する法務，規制及び監督当局との間で，情報セキュリティに関して適切な情報の流通が行われることを確実にするため。 | A-07 連絡先一覧表 A-03 情報セキュリティ手順書5.5 |
6.1.3 |
| 5.6 | 専門組織との連絡 | ○ | ○ | 情報セキュリティに関して適切な情報流通が行われることを確実にするため。 | A-07 連絡先一覧表 A-03 情報セキュリティ手順書5.6 |
6.1.4 |
| 5.7 | 脅威インテリジェンス | ○ | ○ | 適切なリスク低減処置を講じることができるように，組織の脅威環境についての認識をもつため。 | A-03 情報セキュリティ手順書5.7 | 新規* |
| 5.8 | プロジェクトマネジメントにおける情報セキュリティ | ○ | ○ | プロジェクト及び成果物に関連する情報セキュリティリスクが，プロジェクトのライフサイクル全体を通じてプロジェクトマネジメントで効果的に対処されることを確実にするため。 | A-03 情報セキュリティ手順書5.8 | 6.1.5 、14.1.1 |
| 5.9 | 情報及びその他の関連資産の⽬録 | ○ | ○ | 組織の情報及びその他の関連資産を特定し，それらの情報セキュリティを維持し，適切な管理責任を割り当てるため。 | B-06-01 資産目録 A-03 情報セキュリティ手順書5.9 |
8.1.1、 8.1.2 |
| 5.1 | 情報及びその他の関連資産の許容される利用 | ○ | ○ | 情報及びその他の関連資産が適切に保護，利用及び取扱いされることを確実にするため。 | B-06-01 資産目録 A-03 情報セキュリティ手順書5.10 |
8.1.3、 8.2.3 |
| 5.11 | 資産の返却 | ○ | ○ | 雇用，契約，又は合意を変更又は終了するプロセスの一環として，組織の資産を保護するため。 | A-03 情報セキュリティ手順書5.11 | 8.1.4 |
| 5.12 | 情報の分類 | ○ | ○ | 組織における情報の重要度に従って，情報の保護の要件を特定及び理解することを確実にするため。 | A-03 情報セキュリティ手順書5.12 | 8.2.1 |
| 5.13 | 情報のラベル付け | ○ | ○ | 情報の分類の伝達を容易にし，情報の処理及び管理の自動化を支援するため。 | A-03 情報セキュリティ手順書5.13 | 8.2.2 |
| 5.14 | 情報の転送 | ○ | ○ | 組織内及び外部の利害関係者との間で転送される情報のセキュリティを維持するため。 | A-03 情報セキュリティ手順書5.14 | 13.2.1～13.2.3 |
| 5.15 | アクセス制御 | ○ | ○ | 情報及びその他の関連資産への認可されたアクセスを行わせ，認可されていないアクセスを防ぐことを確実にするため。 | A-03 情報セキュリティ手順書5.15 | 9.1.1、 9.1.2 |
| 5.16 | 識別情報の管理 | ○ | ○ | 組織の情報及びその他の関連資産にアクセスする個人及びシステムを一意に特定できるようにし，アクセス権を適切に割り当てることができるようにするため。 | A-03 情報セキュリティ手順書5.16 | 9.2.1 |
| 5.17 | 認証情報 | ○ | ○ | 適切なエンティティ認証を確実にし，認証プロセスの失敗を防ぐため。 | A-03 情報セキュリティ手順書5.17 | 9.2.4、 9.3.1、 9.4.3 |
| 5.18 | アクセス権 | ○ | ○ | 情報及びその他の関連資産へのアクセスが，業務上の要求事項に従って定義及び認可されることを確実にするため。 | A-03 情報セキュリティ手順書5.18 | 9.2.2、 9.2.5、 9.2.6 |
| 5.19 | 供給者関係における情報セキュリティ | ○ | ○ | 供給者関係において合意したレベルの情報セキュリティを維持するため。 | A-03 情報セキュリティ手順書5.19 | 15.1.1 |
| 5.2 | 供給者との合意における情報セキュリティの取扱い | ○ | ○ | 供給者関係において合意したレベルの情報セキュリティを維持するため。 | A-03 情報セキュリティ手順書5.20 | 15.1.2 |
| 5.21 | 情報通信技術（ICT）サプライチェーンにおける情報セキュリティの管理 | ○ | ○ | 供給者関係において合意したレベルの情報セキュリティを維持するため。 | A-03 情報セキュリティ手順書5.21 | 15.1.3 |
| 5.22 | 供給者のサービス提供の監視、レビュー及び変更管理 | ○ | ○ | 供給者との合意に沿って，合意したレベルの情報セキュリティ及びサービス提供を維持するため。 | A-03 情報セキュリティ手順書5.22 | 15.2.1～15.2.2 |
| 5.23 | クラウドサービスの利⽤における情報セキュリティ | ○ | ○ | クラウドサービスの利用における情報セキュリティを規定及び管理するため。 | A-03 情報セキュリティ手順書5.23 | 新規* |
| 5.24 | 情報セキュリティインシデント管理の計画策定及び準備 | ○ | ○ | 情報セキュリティ事象に関する伝達を含む，情報セキュリティインシデントへの迅速で，効果的で，一貫性があり，かつ秩序のある対応を確実にするため。 | A-03 情報セキュリティ手順書5.24 | 16.1.1 |
| 5.25 | 情報セキュリティ事象の評価及び決定 | ○ | ○ | 情報セキュリティ事象の効果的な分類及び優先順位付けを確実にするため。 | A-03 情報セキュリティ手順書5.25 | 16.1.4 |
| 5.26 | 情報セキュリティインシデントへの対応 | ○ | ○ | 情報セキュリティインシデントへの効率的かつ効果的な対応を確実にするため。 | A-03 情報セキュリティ手順書5.26 | 16.1.5 |
| 5.27 | 情報セキュリティインシデントからの学習 | ○ | ○ | 将来のインシデントの起こりやすさ又は影響を減らすため。 | A-03 情報セキュリティ手順書5.27 | 16.1.6 |
| 5.28 | 証拠の収集 | ○ | ○ | 懲戒処置及び法的処置の目的で，情報セキュリティインシデントに関連する証拠の一貫した効果的な管理を確実にするため。 | A-03 情報セキュリティ手順書5.28 | 16.1.7 |
| 5.29 | 事業の中断・阻害時の情報セキュリティ | ○ | ○ | 事業の中断・阻害時に情報及びその他の関連資産を保護するため。 | A-03 情報セキュリティ手順書5.29 | 17.1.1～17.1.3 |
| 5.3 | 事業継続のためのICTの備え | ○ | ○ | 事業の中断・阻害時に組織の情報及びその他の関連資産の可用性を確実にするため。 | A-03 情報セキュリティ手順書5.30 | 新規 |
| 5.31 | 法令、規制及び契約上の要求事項 | ○ | ○ | 情報セキュリティに関連する法令，規制及び契約上の要求事項の順守を確実にするため。 | A-03 情報セキュリティ手順書5.31 | 18.1.1、 18.1.5 |
| 5.32 | 知的財産権 | ○ | ○ | 知的財産権及び権利関係のある製品の利用に関連する，法令，規制及び契約上の要求事項の順守を確実にするため。 | A-03 情報セキュリティ手順書5.32 | 18.1.2 |
| 5.33 | 記録の保護 | ○ | ○ | 法令，規制及び契約上の要求事項，並びに記録の保護及び可用性に関連する共同体又は社会の期待の順守を確実にするため。 | A-03 情報セキュリティ手順書5.33 | 18.1.3 |
| 5.34 | プライバシー及び個人識別可能情報(PII)の保護 | ○ | ○ | PII の保護の情報セキュリティの側面に関連する法令，規制及び契約上の要求事項の順守を確実にするため。 | A-03 情報セキュリティ手順書5.34 | 18.1.4 |
| 5.35 | 情報セキュリティの独立したレビュー | ○ | ○ | 情報セキュリティを管理するための組織の取組の継続的な適切性，十分性及び有効性を確実にするため。 | A-02 ISMSマニュアル5 A-03 情報セキュリティ手順書5.35 |
18.2.1 |
| 5.36 | 情報セキュリティのための方針 | |||||
| 群、規則及び標準の順守 | ○ | ○ | 情報セキュリティが組織の情報セキュリティ方針，トピック固有の個別方針，規則及び標準に従って実施及び運用されることを確実にするため。 | A-03 情報セキュリティ手順書5.36 | 18.2.2、 18.2.3 | |
| 5.37 | 操作手順書 | ○ | ○ | 情報処理設備の正確かつセキュリティに配慮した操作を確実にするため。 | A-03 情報セキュリティ手順書5.37 | 12.1.1 |
A.6 人的管理策¶
| 管理策番号 | 管理策の名称 | 適用 | 実施 | 適用理由／不適用理由 | 規定・手順書 | 旧管理策番号 |
|---|---|---|---|---|---|---|
| 6.1 | 選考 | ○ | ○ | 全ての要員が，予定する役割に対して適格かつ適切であり，雇用中に適格かつ適切であり続けることを確実にするため。 | A-03 情報セキュリティ手順書6.1 | 7.1.1 |
| 6.2 | 雇用条件 | ○ | ○ | 要員が，予定する役割における自らの情報セキュリティの責任を理解することを確実にするため。 | A-03 情報セキュリティ手順書6.2 | 7.1.2 |
| 6.3 | 情報セキュリティの意識向上、教育及び訓練 | ○ | ○ | 要員及び関連する利害関係者が自らの情報セキュリティの責任を意識し，それを果たすことを確実にするため。 | A-02 ISMSマニュアル5.1 A-02 ISMSマニュアル7.3 A-03 情報セキュリティ手順書6.3 |
7.2.2 |
| 6.4 | 懲戒手続 | ○ | ○ | 要員及びその他の関連する利害関係者が情報セキュリティ方針違反の結果を理解すること，違反を阻止すること，及びそれを犯した要員及びその他の関連する利害関係者を適切に扱うことを確実にするため。 | A-03 情報セキュリティ手順書6.4 | 7.2.3 |
| 6.5 | 雇用の終了又は変更後の責任 | ○ | ○ | 雇用又は契約を変更又は終了する手続の一部として，組織の利益を保護するため。 | A-03 情報セキュリティ手順書6.5 | 7.3.1 |
| 6.6 | 秘密保持契約又は守秘義務契約 | ○ | ○ | 要員又は外部の関係者がアクセスできる情報の秘密保持を維持するため。 | A-03 情報セキュリティ手順書6.6 | 13.2.4 |
| 6.7 | リモートワーク | ○ | ○ | 要員が遠隔で作業している場合に情報のセキュリティを確実にするため。 | A-03 情報セキュリティ手順書6.7 | 6.2.2 |
| 6.8 | 情報セキュリティ事象の報告 | ○ | ○ | 要員が，特定可能な情報セキュリティ事象を時機を失せず，一貫性をもって効果的に報告することを支援するため。 | A-03 情報セキュリティ手順書6.8 | 16.1.2、 16.1.3 |
A.7 物理的管理策¶
| 管理策番号 | 管理策の名称 | 適用 | 実施 | 適用理由／不適用理由 | 規定・手順書 | 旧管理策番号 |
|---|---|---|---|---|---|---|
| 7.1 | 物理的セキュリティ境界 | ○ | ○ | 組織の情報及びその他の関連資産への認可されていない物理的アクセス，損傷及び干渉を防ぐため。 | A-08 レイアウト図 A-03 情報セキュリティ手順書7.1 |
11.1.1 |
| 7.2 | 物理的入退 | ○ | ○ | 組織の情報及びその他の関連資産に，認可された物理的アクセスだけがなされることを確実にするため。 | A-03 情報セキュリティ手順書7.2 | 11.1.2、 11.1.6 |
| 7.3 | オフィス、部屋及び施設のセキュリティ | ○ | ○ | オフィス，部屋及び施設内の組織の情報及びその他の関連資産への認可されていない物理的アクセス，損傷，並びに干渉を防ぐため。 | A-08 レイアウト図 A-03 情報セキュリティ手順書7.3 |
11.1.3 |
| 7.4 | 物理的セキュリティの監視 | ○ | ○ | 認可されていない物理的アクセスを検知し，抑止するため。 | A-03 情報セキュリティ手順書7.4 | 新規 |
| 7.5 | 物理的及び環境的脅威からの保護 | ○ | ○ | 物理的及び環境的脅威に起因する事象の結果を防止又は低減するため。 | A-03 情報セキュリティ手順書7.5 | 11.1.4 |
| 7.6 | セキュリティを保つべき領域での作業 | ○ | ○ | セキュリティを保つべき領域にある情報及びその他の関連資産を，これらの領域で働く要員による損傷及び認可されていない干渉から保護するため。 | A-03 情報セキュリティ手順書7.6 | 11.1.5 |
| 7.7 | クリアデスク・クリアスクリーン | ○ | ○ | 通常の勤務時間内及び時間外の，机，スクリーン及びその他のアクセス可能な場所にある情報への認可されていないアクセス，情報の消失及び損傷のリスクを低減するため。 | A-03 情報セキュリティ手順書7.7 | 11.2.9 |
| 7.8 | 装置の設置及び保護 | ○ | ○ | 物理的及び環境的脅威，並びに認可されていないアクセス及び損傷によるリスクを低減するため。 | A-03 情報セキュリティ手順書7.8 | 11.2.1 |
| 7.9 | 構外にある資産のセキュリティ | ○ | ○ | 構外にある装置の紛失，損傷，盗難又は侵害，及び組織の業務の中断を防止するため。 | A-03 情報セキュリティ手順書7.9 | 11.2.6 |
| 7.1 | 記憶媒体 | ○ | ○ | 記憶媒体上の情報に対して認可された開示，変更，移動又は破棄だけがなされることを確実にするため。 | A-03 情報セキュリティ手順書7.10 | 8.3.1～8.3.3、 11.2.5 |
| 7.11 | サポートユーティリティ | ○ | ○ | サポートユーティリティの故障及び事業の中断・阻害による情報及びその他の関連資産の消失，損傷若しくは侵害，又は組織の運用の中断を防止するため。 | A-03 情報セキュリティ手順書7.11 | 11.2.2 |
| 7.12 | ケーブル配線のセキュリティ | ○ | ○ | 通信ケーブル及び電源ケーブルの配線に関連した，情報及びその他の関連資産の消失，損傷，盗難又は侵害，並びに組織の運用の中断を防止するため。 | A-03 情報セキュリティ手順書7.12 | 11.2.3 |
| 7.13 | 装置の保守 | ○ | ○ | 保守の不足による，情報及びその他の関連資産の消失，損傷，盗難又は侵害，並びに組織の運用の中断を防止するため。 | A-03 情報セキュリティ手順書7.13 | 11.2.4 |
| 7.14 | 装置のセキュリティを保った処分又は再利用 | ○ | ○ | 処分又は再利用する装置からの情報漏えいを防止するため。 | A-03 情報セキュリティ手順書7.14 | 11.2.7 |
A.8 技術的管理策¶
| 管理策番号 | 管理策の名称 | 適用 | 実施 | 適用理由／不適用理由 | 規定・手順書 | 旧管理策番号 |
|---|---|---|---|---|---|---|
| 8.1 | 利用者エンドポイント機器 | ○ | ○ | 利用者終端装置を使用することによってもたらされるリスクから情報を保護するため。 | A-03 情報セキュリティ手順書8.1 | 6.2.1、 11.2.8 |
| 8.2 | 特権的アクセス権 | ○ | ○ | 認可された利用者，ソフトウェア構成要素及びサービスだけに特権的アクセス権が与えられることを確実にするため。 | A-03 情報セキュリティ手順書8.2 | 9.2.3 |
| 8.3 | 情報へのアクセス制限 | ○ | ○ | 情報及びその他の関連資産への認可されたアクセスだけを確実にし，認可されていないアクセスを防止するため。 | A-03 情報セキュリティ手順書8.3 | 9.4.1 |
| 8.4 | ソースコードへのアクセス | ○ | ○ | 認可されていない機能が入り込むことを防止し，意図しない又は悪意のある変更を回避し，価値の高い知的財産の機密性を維持するため。 | A-03 情報セキュリティ手順書8.4 | 9.4.5 |
| 8.5 | セキュリティを保った認証 | ○ | ○ | システム，アプリケーション及びサービスへのアクセスを許可するときに，利用者又はエンティティをセキュリティを保って認証することを確実にするため。 | A-03 情報セキュリティ手順書8.5 | 9.4.2 |
| 8.6 | 容量・能力の管理 | ○ | ○ | 情報処理施設，人的資源，オフィス及びその他の施設で必要とされる容量・能力の確保を確実にするため。 | A-03 情報セキュリティ手順書8.6 | 12.1.3 |
| 8.7 | マルウェアに対する保護 | ○ | ○ | 情報及びその他の関連資産をマルウェアに対して保護することを確実にするため。 | A-03 情報セキュリティ手順書8.7 | 12.2.1 |
| 8.8 | 技術的ぜい弱性の管理 | ○ | ○ | 技術的ぜい弱性の悪用を防止するため。 | A-03 情報セキュリティ手順書8.8 | 12.6.1、 18.2.3 |
| 8.9 | 構成管理 | ○ | ○ | ハードウェア，ソフトウェア，サービス及びネットワークが，必要とされるセキュリティ設定で正しく機能し，認可されていない変更又は誤った変更によって構成が変えられないことを確実にするため。 | A-03 情報セキュリティ手順書8.9 | 新規 |
| 8.1 | 情報の削除 | ○ | ○ | 取扱いに慎重を要する情報の不必要な漏えいを防止し，情報の削除に関する法令，規制及び契約上の要求事項を順守するため。 | A-03 情報セキュリティ手順書8.10 | 新規 |
| 8.11 | データマスキング | ○ | ○ | PII （個人を特定できる情報）を含む，取扱いに慎重を要するデータの開示を制限し，法令，規制及び契約上の要求事項を順守するため。 | A-03 情報セキュリティ手順書8.11 | 新規 |
| 8.12 | データ漏えい防止 | ○ | ○ | 個人又はシステムによる情報の認可されていない開示及び抽出を検出し防止するため。 | A-03 情報セキュリティ手順書8.12 | 新規 |
| 8.13 | 情報のバックアップ | ○ | ○ | データ又はシステムの損失からの回復を可能にするため。 | A-03 情報セキュリティ手順書8.13 | 12.3.1 |
| 8.14 | 情報処理施設・設備の冗長性 | ○ | ○ | 情報処理施設の継続的な運用を確実にするため。 | A-03 情報セキュリティ手順書8.14 | 17.2.1 |
| 8.15 | ログ取得 | ○ | ○ | 事象を記録し，証拠を生成し，ログ情報の完全性を確実にし，認可されていないアクセスを防止し，情報セキュリティインシデントにつながる可能性のある情報セキュリティ事象を特定し，調査を支援するため。 | A-03 情報セキュリティ手順書8.15 | 12.4.1～12.4.3 |
| 8.16 | 監視活動 | ○ | ○ | 異常な行動・動作及び潜在する情報セキュリティインシデントを検出するため。 | A-03 情報セキュリティ手順書8.16 | 新規 |
| 8.17 | クロックの同期 | ○ | ○ | セキュリティ関連の事象及びその他の記録されたデータの関係付け及び分析を可能にし，情報セキュリティインシデントの調査を支援するため。 | A-03 情報セキュリティ手順書8.17 | 12.4.4 |
| 8.18 | 特権的なユーティリティプログラムの使用 | ○ | ○ | ユーティリティプログラムの使用が，システム及びアプリケーションについての情報セキュリティ管理策に害を与えないことを確実にするため。 | A-03 情報セキュリティ手順書8.18 | 9.4.4 |
| 8.19 | 運用システムへのソフトウェアの導入 | ○ | ○ | 運用システムの完全性の維持を確実にし，技術的ぜい弱性の悪用を防止するため。 | A-03 情報セキュリティ手順書8.19 | 12.5.1、 12.6.2 |
| 8.2 | ネットワークセキュリティ | ○ | ○ | ネットワーク及びそれをサポートする情報処理施設における情報を，ネットワークを通じた危険から保護するため。 | A-03 情報セキュリティ手順書8.20 | 13.1.1 |
| 8.21 | ネットワークサービスのセキュリティ | ○ | ○ | ネットワークサービスの使用におけるセキュリティを確実にするため。 | A-03 情報セキュリティ手順書8.21 | 13.1.2 |
| 8.22 | ネットワークの分離 | ○ | ○ | 業務の要求に基づいて，ネットワークをセキュリティ境界で分割し，それらの間のトラフィックを管理するため。 | A-03 情報セキュリティ手順書8.22 | 13.1.3 |
| 8.23 | ウェブフィルタリング | ○ | ○ | システムがマルウェアによって危険にさらされることを防ぎ，認可されていないウェブ資源へのアクセスを防止するため。 | A-03 情報セキュリティ手順書8.23 | 新規 |
| 8.24 | 暗号の利用 | ○ | ○ | 業務及び情報セキュリティの要求事項に従い，暗号に関連する法令，規制及び契約上の要求事項を考慮して，情報の機密性，真正性又は完全性を保護するための暗号の適切かつ効果的な使用を確実にするため。 | A-03 情報セキュリティ手順書8.24 | 10.1.1、 10.1.2 |
| 8.25 | セキュリティに配慮した開発のライフサイクル | ○ | ○ | 情報セキュリティを，ソフトウェア及びシステムのセキュリティに配慮した開発ライフサイクルにおいて設計し，実装することを確実にするため。 | A-03 情報セキュリティ手順書8.25 | 14.2.1 |
| 8.26 | アプリケーションセキュリティの要求事項 | ○ | ○ | アプリケーションを開発又は取得する場合，全ての情報セキュリティ要求事項を特定し，対応することを確実にするため。 | A-03 情報セキュリティ手順書8.26 | 14.1.2、 14.1.3 |
| 8.27 | セキュリティに配慮したシステムアーキテクチャ及びシステム構築 | |||||
| の原則 | ○ | ○ | 情報システムが，開発のライフサイクルにおいてセキュリティに配慮して設計，実装及び運用されることを確実にするため。 | A-03 情報セキュリティ手順書8.27 | 14.2.5 | |
| 8.28 | セキュリティに配慮したコーディング | ○ | ○ | ソフトウェアがセキュリティに配慮して書かれ，それによってソフトウェアの潜在的な情報セキュリティのぜい弱性の数を減らすことを確実にするため。 | A-03 情報セキュリティ手順書8.28 | 新規 |
| 8.29 | 開発及び受入れにおけるセキュリティテスト | ○ | ○ | アプリケーション又はコードを運用環境に導入するときに，情報セキュリティ要求事項が満たされているかどうかの妥当性確認をするため。 | A-03 情報セキュリティ手順書8.29 | 14.2.8、14.2.9 |
| 8.3 | 外部委託による開発 | ○ | ○ | 組織が要求する情報セキュリティ対策が，外部委託したシステム開発で実施されることを確実にするため。 | A-03 情報セキュリティ手順書8.30 | 14.2.7 |
| 8.31 | 開発環境、テスト環境及び本番環境の分離 | ○ | ○ | 開発活動及び試験活動による危険から運用環境及びそのデータを保護するため。 | A-03 情報セキュリティ手順書8.31 | 12.1.4、 14.2.6 |
| 8.32 | 変更管理 | ○ | ○ | 変更を実行するときに情報セキュリティを維持するため。 | A-03 情報セキュリティ手順書8.32 | 12.1.2、 14.2.2～14.2.4 |
| 8.33 | テスト用情報 | ○ | ○ | 試験の適切な実施，及び試験に使用する運用情報の保護を確実にするため。 | A-03 情報セキュリティ手順書8.33 | 14.3.1 |
| 8.34 | 監査におけるテスト中の情報システムの保護 | ○ | ○ | 監査及びその他の保証活動が運用システム及び業務プロセスに与える影響を最小限に抑えるため。 | A-03 情報セキュリティ手順書8.34 | 12.7.1 |
関連文書¶
Excel 完全版
本 Markdown は適用宣言書の概要を示しています。 全列（管理策タイプ、情報セキュリティプロパティ、サイバーセキュリティコンセプト、運用能力、セキュリティドメイン等）を 含む完全版は Office 版ページ をご覧ください。