ステップアップ式 情報セキュリティ対策ガイドライン

ステップアップしながら情報セキュリティ対策を推進し、ISMS認証基準のレベルを目指します。

現在、下に表示されている項目がISMS認証基準で要求されている管理策の一覧です。量が多く、分かりずらいと思います。
まずは、下記の[ステップ３]→[ステップ０]に変更して、[抽出]ボタンを クリックしてみてください。
ここで表示されたリンクのある項目（青い行）が、最初のステップで実施すべき、情報セキュリティ対策です!!。

ステップ抽出

設定したステップ番号の情報セキュリティ対策のみを抽出します。(別ウィンドウで表示)

 文章表示（１行のみ） 目 的 行

ご利用の前に

　この「ステップアップ式 情報セキュリティ対策ガイドライン」は、下記資料を利用して作成しました。

　・ISMS認証基準Ver2.0
　・JIS X 5080:2002 情報セキュリティマネジメントガイド（中尾 康二 他著／日本規格協会 出版）

　本ガイドラインは、重要なセキュリティ対策からステップを踏んで実施していき、最終I的にはISMS認証基準に近づくように進めていくものです。

　第3項からが、具体的なセキュリティ対策リストになっています。項目の頭についている番号はISMS認証基準に準じており、その番号の後に付く_(アンダーバー)以後、2桁の数値がステップ番号です。
　このステップ番号が00のものから、順次、10、20、30を実施していきます。（30はISMS認証基準そのものになっています）

　ステップ番号を抜き出して表示するプログラムを組み込見ました。
　　（上記のフォームをチェックし、[再表示]ボタンを押してください。別画面で一覧表が表示されます。）

詳細は、２．利用方法 をご覧ください。

ステップアップ式 情報セキュリティ対策ガイドライン 一覧

  • 01.はじめに
  • 02.利用方法
    •   2.1 概要

      •   　ステップアップ式 情報セキュリティ対策の利用方法を図示すると、下記のようになります。 　以下で、説...
    •   2.2 利用方法

      •   　下記のような手順で利用いただくことを想定しています。 1.情報セキュリティ責任者の選定 　まず、情...
    •   2.3 参照する書籍

      •   　対策リストの参考項目として、書籍を参照する説明があります。これらの書籍は下記となります。 　・書籍...
    •   2.4 （参考）本ガイドラインの利用を想定している企業と利用者

      •   本ガイドラインは、下記のような中小企業を想定して作成しました。しかし、会社の規模に関わらず、現状あま...
    •   2.5 （参考）ステップ番号の基準

      •   　1.概念となる基準 　概念的な基準として、COBIT（Control Objectives for...
  • 03.情報セキュリティ基本方針
  • 04.組織のセキュリティ
  • 05.資産の分類および管理
    • 5.1.資産に対する責任
      •   5.1_** 目的

        •   　組織の資産の適切な保護を維持するため。...
      •   5.1.1_10 資産目録の作成

        •   　会社の情報・ソフト・ハード・サービス資産について、これらを把握し、分類を行い、資産目録を作成する。...
      •   5.1.1_30 資産目録

        •   　情報システムそれぞれに関連づけてすべての重要な資産について目録を作成し、維持すること。 　資産目録...
    • 5.2.情報の分類
      •   5.2_** 目的

        •   　情報資産の適切なレベルでの保護を確実にするため...
      •   5.2.1_30 分類の指針

        •   　情報の分類及び関連する保護管理策では、情報を共有又は制限する業務上の必要、及びこのような必要から起...
      •   5.2.2_20 重要な情報の取扱い手順

        •   　重要な情報資産について、その取扱い（複製、保存、破棄時など）の手順を定める。 　情報資産を取り扱う...
      •   5.2.2_30 情報のラベル付け及び取扱い

        •   　組織が採用した分類体系に従って情報のラベル付け及び取扱いをするための、一連の手順を定めること。 　...
  • 06.人的セキュリティ
    • 6.1.職務定義及び雇用におけるセキュリティ
      •   6.1_** 目的

        •   　人による誤り、盗難、不正行為、又は設備の誤用のリスクを軽減するため。...
      •   6.1.1_30 セキュリティを職責に含めること

        •   　セキュリティの役割及び責任は、組織の情報セキュリティ基本方針で定められたとおりに、職務定義のなかに...
      •   6.1.2_20 社員採用時の審査

        •   　常勤の社員を採用するときには、セキュリティの観点も選定要素に入れる。 　セキュリティ上のリスクは、...
      •   6.1.2_30 要員審査及びその個別方針

        •   　常勤職員、請負業者及び臨時職員を採用するときは、提出された応募資料の内容を検査すること。 　社員を...
      •   6.1.3_10 社員に対する機密保持契約

        •   　社員に対して、情報資産の漏洩を防ぐための機密保持契約書に署名を求める。 　社内の人員に対して、セキ...
      •   6.1.3_30 機密保持契約

        •   　従業員は、入社時の雇用条件の一部として、機密保持契約書に署名すること。 　前のステップで、正式な機...
      •   6.1.4_20 社員に対する雇用契約

        •   　社員に対する雇用契約に、情報セキュリティ等に対する規定の遵守を盛り込む。 　社員に対して機密保持契...
      •   6.1.4_30 雇用条件

        •   　雇用条件には、情報セキュリティに対する従業員の責任について記述してあること。 　前ステップで、雇用...
    • 6.2.利用者の訓練
    • 6.3.セキュリティ事件・事故及び誤動作への対処
      •   6.3_** 目的

        •   　セキュリティ事件・事故及び誤動作による損害を最小限に抑えるため、並びにそのような事件・事故を監視し...
      •   6.3.1_00 セキュリティ事件・事故の報告

        •   　セキュリティに関する事故や事件が確認された場合は、セキュリティ管理者に報告する。 　セキュリティに...
      •   6.3.1_30 セキュリティ事件・事故の報告

        •   　セキュリティ事件・事故は、適切な連絡経路をとおして、できるだけ速やかに報告すること。 　セキュリテ...
      •   6.3.2_10 セキュリティ弱点・脅威の報告

        •   　セキュリティに関する弱点や脅威などが確認された場合には、セキュリティ管理者や運営チームのメンバーに...
      •   6.3.2_30 セキュリティの弱点の報告

        •   　システム若しくはサービスのセキュリティの弱点、又はそれらへの脅威に気づいた場合若しくは疑いをもった...
      •   6.3.3_30 ソフトウェアの誤動作の報告

        •   　ソフトウェア誤動作を報告する手順を確立すること。 　ソフトウェアの誤動作は、セキュリティの事件・事...
      •   6.3.4_20 事故・事件からの学習

        •   　事件・事故を記録し、その種類や規模、頻度などを把握し、今後の対策に役立てる。 　セキュリティに関す...
      •   6.3.4_30 事件・事故からの学習

        •   　事件・事故及び誤動作の種類、規模並びに費用の定量化及び監視を可能とする仕組みを備えていること。 　...
      •   6.3.5_20 違反時の罰則

        •   　情報セキュリティ基本方針や規定に違反した社員に対して、罰則を行なう手続きを定める。 　情報セキュリ...
      •   6.3.5_30 懲戒手続

        •   　従業員による組織のセキュリティ基本方針及び手順への違反は、正式な懲戒手続によって処理すること。 　...
  • 07.物理的及び環境的セキュリティ
    • 7.1.セキュリティが保たれた領域
    • 7.2.装置のセキュリティ
      •   7.2_** 目的

        •   　資産の損失、損傷又は劣化、及び業務活動に対する妨害を防止するため。...
      •   7.2.1_10 セキュリティを考慮した装置の設置

        •   　重要な情報処理装置は、盗難や事故などの危険性を軽減するように設置する。 　重要な情報処理装置は、盗...
      •   7.2.1_30 装置の設置及び保護

        •   　装置は、環境上の脅威及び危険からのリスク並びに認可されていないアクセスの可能性を軽減するように設置...
      •   7.2.2_10 電源のバックアップ

        •   　重要な情報処理装置は、無停電源装置などを導入し、電源異常から保護する。 　重要な情報処理装置（サー...
      •   7.2.2_30 電源

        •   　装置は、停電、その他の電源異常から保護すること。 　長時間の停電の場合でも処理を継続する必要がある...
      •   7.2.3_20 ケーブル配線の保護

        •   　通信ケーブルや電源ケーブルなどの配線は、傍受や損傷から保護する。 　通信ケーブルや電源ケーブルの設...
      •   7.2.3_30 ケーブル配線のセキュリティ

        •   　データ伝送又は情報サービスに使用する電源ケーブル及び通信ケーブルの配線は、傍受又は損傷から保護する...
      •   7.2.4_30 装置の保守

        •   　装置についての継続的な可用性及び完全性の維持を可能とするために、装置を正しく保守すること。 　装置...
      •   7.2.5_20 装置の社外利用での管理

        •   　社外で情報資産を扱う装置を利用するとき、その利用規定などを定める。 　社外で会社のモバイルＰＣや機...
      •   7.2.5_30 事業敷地外における装置のセキュリティ

        •   　組織の敷地外で情報処理のために装置を使用するいかなる場合も、管理者による認可を要求すること。 　装...
      •   7.2.6_10 装置の処分時の対策

        •   　重要な情報資産を扱う装置（PCのHDDなど）を廃棄するときは、情報を完全に消去してから廃棄する。 ...
      •   7.2.6_30 装置の安全な処分又は再使用

        •   　装置を処分又は再使用する前に、情報を装置から消去すること。 　前ステップで解説済み...
    • 7.3.その他の管理策
  • 08.通信及び運用管理
  • 09. アクセス制御
    • 9.1.アクセス制御に関する業務上の要求事項
      •   9.1_** 目的

        •   　情報へのアクセスを制御するため。...
      •   9.1.1_30 アクセス制御方針

        •   　アクセス制御についての業務上の要求事項を定義して文書化し、アクセスをアクセス制御方針で定義されたも...
    • 9.2.利用者のアクセス管理
      •   9.2_** 目的

        •   　情報システムへのアクセス権が、適切に認可され、割り当てられ、維持されていることを確実にするため。...
      •   9.2.1_00 アクセス制御の実施

        •   　重要な情報資産には、許可されていない人がアクセスできないように、アクセス制御を実施する 　重要な情...
      •   9.2.1_20 利用者登録・削除

        •   　情報資産に対する、利用者の登録、削除が正確に行える手続きをつくる 　情報資産に対するアクセス制御で...
      •   9.2.1_30 利用者登録

        •   　複数の利用者をもつすべての情報システム及びサービスについて、それらへのアクセスを許可するための、正...
      •   9.2.2_20 利用者の特権管理

        •   　情報資産に対する、利用者権限の特権の割り当て及び使用は制限し管理する 　アクセス制御により付与され...
      •   9.2.2_30 特権管理

        •   　特権の割当て及び使用は、制限し、管理すること 　JISでは、考慮すべき管理策を列挙しているので、参...
      •   9.2.3_10 利用者のパスワードの管理

        •   　利用者へのパスワードの割り当ては、正規の管理手続きによって実施する 　安易に利用者へパスワードを付...
      •   9.2.3_30 利用者のパスワードの管理

        •   　パスワードの割当ては、正規の管理手続によって統制すること 　パスワードの秘密保持を社員に求めること...
      •   9.2.4_30 利用者アクセス権の見直し

        •   　経営陣は、利用者のアクセス権を見直す正規の手順を、定期的に実施すること 　情報利用者は職務や部署が...
    • 9.3.利用者の責任
      •   9.3_** 目的

        •   　認可されていない利用者のアクセスを防止するため。...
      •   9.3.1_10 パスワードの管理

        •   　利用者のパスワードの使用において、セキュリティ上の安全管理策を規定し、実施する 　利用者が自分で使...
      •   9.3.1_30 パスワードの使用

        •   　パスワードの選択及び使用に際して、正しいセキュリティ慣行に従うことを、利用者に要求すること 　パス...
      •   9.3.2_30 利用者領域にある無人運転の装置

        •   　無人運転の装置に適切な保護対策を備えていることを確実にするように、利用者に要求すること 　無人運転...
    • 9.4.ネットワークのアクセス制御
    • 9.5.オペレーティングシステムのアクセス制御
    • 9.6.業務用ソフトウェアのアクセス制御
    • 9.7.システムアクセス及びシステム使用状況の監視
    • 9.8.移動型計算処理及び遠隔作業
      •   9.8_** 目的

        •   　移動型計算処理（mobile computing）及び遠隔作業（teleworking）の設備を用...
      •   9.8.1_10 モバイルコンピュータの管理

        •   　モバイルコンピュータを適切に管理し、万が一、第三者に渡ったときでも、内部の情報が危険にさらされない...
      •   9.8.1_30 移動型計算処理

        •   　移動型計算処理の設備（ノート型コンピュータ、パームトップコンピュータ、ラップトップコンピュータ及び...
      •   9.8.2_30 遠隔作業

        •   　遠隔作業を認可し及び管理するための個別方針、手順及び標準類を策定すること 　遠隔作業では、家庭内な...
  • 10.システムの開発及び保守
    • 10.1.システムのセキュリティ要求事項
    • 10.2.業務用システムのセキュリティ
      •   10.2_** 目的

        •   　業務用システムにおける利用者データの消失、変更又は誤用を防止するため。...
      •   10.2.1_30 入力データの妥当性確認

        •   　業務用システムに入力されるデータは、正確で適切であることを確実にするために、その妥当性を確認するこ...
      •   10.2.2_30 内部処理の管理

        •   　処理したデータの改ざんを検出するために、システムに妥当性の検査を組み込むこと 　データが正しく入力...
      •   10.2.3_30 メッセージ認証

        •   　重要性の高いメッセージ内容の完全性を確保するセキュリティ要件が存在する場合は、メッセージ認証を使用...
      •   10.2.4_30 出力データの妥当性確認

        •   　業務用システムからの出力データについては、保存された情報の処理がシステム環境に対して正しく、適切に...
    • 10.3.暗号による管理策
      •   10.3_** 目的

        •   　情報の機密性、真正性又は完全性を保護するため。...
      •   10.3.1_30 暗号による管理策の使用に関する個別方針

        •   　情報を保護するための暗号による管理策の使用について、個別方針を定めること 　暗号化の管理策のとして...
      •   10.3.2_10 暗号化の実施

        •   　重要な情報資産を取り扱う場合は、情報を暗号化して管理する 　重要な情報資産は、いかなる操作でアクセ...
      •   10.3.2_30 暗号化

        •   　取扱いに慎重を要する又は重要な情報の機密性を保護するために、暗号化を用いること 　リスクアセスメン...
      •   10.3.3_30 ディジタル署名

        •   　電子的な情報（電子文書等）の真正性及び完全性を保護するために、ディジタル署名を用いること 　デジタ...
      •   10.3.4_30 否認防止サービス

        •   　事象又は動作が起こったか、起こらなかったかについての紛争の解決には、否認防止サービスを用いること ...
      •   10.3.5_30 かぎ管理

        •   　一連の合意された標準類、手順及び方法に基づくかぎ管理システムを、暗号技術の利用を支援するために用い...
    • 10.4.システムファイルのセキュリティ
    • 10.5.開発及び支援過程におけるセキュリティ
  • 11.事業継続管理
    • 11.1.事業継続管理の種々の面
  • 12.適合性
    • 12.1.法的要求事項への適合
      •   12.1_** 目的

        •   　刑法及び民法、その他の法令、規制又は契約上の義務、並びにセキュリティ上の要求事項に対する違反を避け...
      •   12.1.1_30 適用法令の識別

        •   　各情報システムについて、すべての関連する法令、規制及び契約上の要求事項を、明確に定め、文書化するこ...
      •   12.1.2_10 著作物の違法コピーの禁止

        •   　ソフトウェア製品や本、Webに掲載されている情報を使用する場合は、必ず使用許諾に沿った使用を心がけ...
      •   12.1.2_30 知的所有権（IPR）

        •   　知的所有権がある物件及びソフトウェア製品を使用する場合は、法的制限事項に適合するように、適切な手続...
      •   12.1.3_10 会計・税務情報等の保護

        •   　会計・税務情報やその他法令で決められている記録は、消失、破壊及び改ざんから保護されること 　法令で...
      •   12.1.3_30 組織の記録の保護

        •   　組織の重要な記録は、消失、破壊及び改ざんから保護されること 　ここでの「組織の重要な記録」とは、法...
      •   12.1.4_10 個人情報の保護

        •   　個人情報保護法に従って個人情報を保護するために、管理策を適用すること 　最近になって施行された個人...
      •   12.1.4_30 データの保護及び個人情報の保護

        •   　関連法令に従って個人情報を保護するために、管理策を適用すること 　個人情報保護法としては、安全な個...
      •   12.1.5_10 情報処理施設の使用許可と管理

        •   　情報処理施設の使用には管理者の認可を要するものとし、不正な使用を防ぐための管理策を用いること 　情...
      •   12.1.5_30 情報処理施設の誤用の防止

        •   　情報処理施設の使用には管理者の認可を要するものとし、そのような施設の誤用を防ぐための管理策を用いる...
      •   12.1.6_30 暗号による管理策の規制

        •   　暗号による管理策へのアクセス又はその使用を統制することを目的とした、国による協定、法律、規制、又は...
      •   12.1.7_30 証拠の収集

        •   　人又は組織に対する措置が、民事であれ刑事であれ、法律にかかわるものである場合、提示する証拠は、関連...
    • 12.2.セキュリティ基本方針及び技術適合のレビュー
      •   12.2_** 目的

        •   　組織のセキュリティ基本方針及び標準類へのシステムの適合を確実にするため。...
      •   12.2.1_30 セキュリティ基本方針との適合

        •   　管理者は、自分の責任範囲におけるすべてのセキュリティ手続が正しく実行されることを確実にすること。組...
      •   12.2.2_30 技術適合の検査

        •   　情報システムは、セキュリティ実行標準と適合していることを定期的に検査すること 　各種のセキュリティ...
    • 12.3.システム監査の考慮事項
      •   12.3_** 目的

        •   　システム監査手続の有効性を最大限にすること、及びシステム監査手続への/からの干渉を最小限にするため...
      •   12.3.1_30 システム監査管理策

        •   　運用システムの監査は業務手続の中断のリスクを最小限に抑えるように慎重に計画を立て、合意されること ...
      •   12.3.2_30 システム監査ツールの保護

        •   　システム監査ツールは、誤用又は悪用を防止するために、保護されること 　システム監査に利用されるツー...

Since 2006/02/24: