1
Download 2.8 MB
Transcript
添付資料B IDCサービスにおける情報セキュリティ管理基準 項番 項目 目的 コントロール 7) 人又は組織に対する措 置を支援するには，十分 な証拠をもつこと 10.2 セキュリティ基本 組織のセキュリティ基本 1) 管理者は、自分の責任 範囲におけるすべてのセ 方針及び技術適 方針及び標準類へのシ キュリティ手続が正しく実 ステムの適合を確実に 合のレビュー 行されることを確実にす するため ること 2) 情報システムは，セキュ リティ実行標準と適合し ていることを定期的に検 査すること 10.3 システム監査の システム監査手続の有 1) 監査要求事項、及び、運 用システムの検査を含 考慮事項 効性を最大限にするこ む監査活動は、業務手 と、及びシステム監査手 続の中断のリスクを最小 続への/からの干渉を 限に抑えるように、慎重 最小限にするため に計画を立て、合意され 2) システム監査ツール、す なわち、ソフトウェア又は データファイルへのアク セスは、誤用又は悪用を 防止するために、保護さ れること 監視サービス JIS X 5080 :2002 サブコントロール 1) 人又は組織に対する措置が内部の 懲戒問題にかかわるものであるな らば、必要な証拠は、内部手続に よって示されること 2) 紙文書の場合、原本を安全に保管 し、誰がそれを発見し、どこでそれを 発見し、何時それを発見し、誰がそ の発見に立ち会ったかの記録をとる 3) 紙文書の場合、どのような調査をお こなっても、原本に手が加えられな いことが、証明できること 4) コンピュータ媒体上の情報の場合、 取外し可能な媒体、ハードディスク 又は記憶装置内の情報はすべて、 可用性を確保するために複製をとっ 5) コンピュータ媒体上の情報の場合、 コピー処理中のすべての行為につ いて記録を保存し、その処理には、 立会い者が居ること 6) コンピュータ媒体上の情報の場合、 媒体の複製一組及びその記録を、 安全に保管すること 7) 法的な措置が予想される場合は、 早めに弁護士又は警察に相談し、 必要な証拠についての助言を得る 1) 組織内のすべての範囲について、 セキュリティ基本方針及び標準類に 適合することを確実にするために、 定期的な見直しを考慮すること 12.1.7.1 2) 情報システムの所有者は、その所 有するシステムが適切なセキュリ ティの基本方針、標準類、その他の セキュリティ要求事項に適合してい るかどうかに関して、定期的に見直 しが行われることを支持すること 1) 技術適合の検査としては、ハード ウェア及びソフトウェアの管理策が 正しく実行されていることを確実に するため、運用システムの検査を行 2) 技術適合の検査では、専門家の技 術援助を得ること 3) 技術適合の検査は、経験をもつシ ステムエンジニアが手動で（必要な らば、適切なソフトウェアツールによ る支援を得て）行うか、又は、技術 専門家による解釈の結果として技 術報告書を作成する自動パッケー ジソフトウェアによって実施されるこ 4) 侵入試験の成功によりシステムの セキュリティが損なわれたり、他の ぜい（脆）弱性を不注意に悪用され る可能性に注意すること 5) いかなる技術適合チェックも、資格 をもち認可されている者によって、 又はその監督のもとでのみ、実施さ 1) 監査要求事項は、担当経営陣の同 意を得ること 12.2.1 監視サービス 対象 × 12.1.7.1 × 12.1.7.3 × 12.1.7.3 ○ 12.1.7.3 × 12.1.7.3 × 12.1.7.3 × 12.2.1 × × 12.2.2 ○ 12.2.2 × 12.2.2 ○ 12.2.2 × 12.2.2 × 12.3.1 × 2) 検査の範囲は、合意され、管理され ること 3) 検査は、ソフトウェア及びデータへ の読出し専用アクセスに限定するこ 4) 読出し専用以外のアクセスは、シス テムファイルから隔離された複製に 対してだけ許可されること 5) 複製ファイルは、監査が完了した時 点で消去すること 6) 検査を実施するための情報資源 は、明確に識別され、利用可能であ 7) 特別又は追加処理の要求事項は、 識別され、合意されること 8) すべてのアクセスは、照合用の証 跡を残すために、監視され、記録さ 9) すべての手順、要求事項及び責任 について、文書化すること 1) システム監査ツールは、開発及び 運用システムから分離しておくこと 12.3.1 12.3.1 × × 12.3.1 × 12.3.1 12.3.1 12.3.1 12.3.1 12.3.1 × × × × × 12.3.2 × 2) システム監査ツールは、テープライ 12.3.2 ブラリ、又は利用者の領域で保持し ないこと 147 × サブコントロール（修正後） 備考（コメント） 想定対象データ等
