1
Download 2.8 MB
Transcript
添付資料B IDCサービスにおける情報セキュリティ管理基準 項番 項目 目的 コントロール 監視サービス JIS X 5080 :2002 サブコントロール 9) 業務用ソフトウェア及び運用の変更 過程では、業務用ソフトウェア及び 運用の変更作業を開始する前に、 提案の詳細について正式な承認を 10) 業務用ソフトウェア及び運用の変更 過程では、変更を実施する前に、認 可されている利用者がその変更を 受け入れることを確実にすること 11) 業務用ソフトウェア及び運用の変更 過程では、業務の中断を最小限に 抑えるように変更が実行されること を確実にすること 12) 業務用ソフトウェア及び運用の変更 過程では、システムに関する一式の 文書が各変更の完了時点で更新さ れること 13) 業務用ソフトウェア及び運用の変更 過程では、古い文書類は記録保管 されるか、処分されることを確実に 14) 業務用ソフトウェア及び運用の変更 過程では、すべてのソフトウェアの 更新について版数の管理を行うこと 15) 業務用ソフトウェア及び運用の変更 過程では、すべての変更要求の監 査証跡を維持管理すること 16) 業務用ソフトウェア及び運用の変更 過程では、運用文書類及び利用者 手順は、適切な状態になるように変 更されることを確実にすること 17) 業務用ソフトウェア及び運用の変更 過程では、変更の実施は最も適当 な時期に行い、関係する業務処理 を妨げないことを確実にすること 1) オペレーティングシステムの変更に 2) オペレーティングシステ よって業務用ソフトウェアの管理及 ムを変更した場合は，業 び完全性に関する手順がそこなわ 務用システムをレビュー れなかったことを確実にするため し，試験すること に、その手順をレビューすること 2) 年間支援計画及び予算には、オペ レーティングシステムの変更の結果 として必要となるレビュー及びシス テム試験を必ず含めるようにするこ 3) 実施前に行う適切なレビューに間に 合うように、オペレーティングシステ ムの変更を通知することを確実にす 4) 事業継続計画に対して適切な変更 がなされることを確実にすること 3) パッケージソフトウェアの 1) ベンダー供給のパッケージソフト ウェアは、変更しないで使用するこ 変更は極力行わないよう と にし，絶対に必要な変更 を厳しく管理すること 2) パッケージソフトウェアの変更が絶 対必要であると判断された場合は、 組み込まれている管理策及び完全 性の処理が損なわれるリスクを考 3) パッケージソフトウェアの変更が絶 対必要であると判断された場合は、 ベンダーの同意を得るべきかどうか を考慮すること 4) パッケージソフトウェアの変更が絶 対必要であると判断された場合は、 標準的なプログラム更新として、ベ ンダーから必要な変更が得られる 可能性を考慮すること 5) パッケージソフトウェアの変更が絶 対必要であると判断された場合は、 変更の結果として、将来のソフト ウェア保守に対して組織が責任を負 うようになるかどうかの影響を考慮 6) 変更が絶対必要と判断された場 合、原本のソフトウェアはそのまま 保管し、明確に識別された複製に対 して変更を行うこと 7) 変更はすべて、完全に試験すること 8) 変更はすべて、文書化すること 9) 将来更新されたソフトウェアに再び 適用できるようにすること 1) プログラムは定評のある開発元の 4) 隠れチャネル（Covert ものだけを購入すること channels）及びトロイの木 馬（Trojan code）の危険 性から保護するために， ソフトウェアの購入，使 用及び修正を管理し，検 査すること 2) コードの確認ができるようにソース コードでプログラムを購入すること 3) 評価された製品を用いること 4) 使用前にすべてのソースコードを検 査すること 5) 一旦導入したコードへのアクセス及 びそのコードへの変更を管理するこ 6) 重要なシステムでの作業には確実 に信頼できる要員を用いること 1) ソフトウェア開発を外部委託する場 5) 外部委託によるソフト 合、使用許諾に関する取決め、コー ウェア開発をセキュリティ ドの所有権及び知的所有権につい の保たれたものとするた て考慮すること めに，管理策を用いるこ 2) ソフトウェア開発を外部委託する場 合、実施される作業の質及び正確さ の認証を考慮すること 3) ソフトウェア開発を外部委託する場 合、外部委託先が不履行の場合の 預託（escrow）契約に関する取決め について考慮すること 143 監視サービス 対象 10.5.1 ○ 10.5.1 ○ 10.5.1 ○ 10.5.1 ○ 10.5.1 ○ 10.5.1 ○ 10.5.1 ○ 10.5.1 ○ 10.5.1 ○ 10.5.2 ○ 10.5.2 ○ 10.5.2 ○ 10.5.2 ○ 10.5.3 ○ 10.5.3 ○ 10.5.3 ○ 10.5.3 ○ 10.5.3 ○ 10.5.3 ○ 10.5.3 10.5.3 10.5.3 ○ ○ ○ 10.5.4 ○ 10.5.4 10.5.4 10.5.4 10.5.4 10.5.4 ○ ○ ○ ○ ○ 10.5.5 × 10.5.5 × 10.5.5 × サブコントロール（修正後） 備考（コメント） 想定対象データ等
