{ "catalog": { "uuid": "f0ec8157-c7bb-5052-ac04-69ac68b52d86", "metadata": { "title": "サプライチェーン強化に向けたセキュリティ対策評価制度 ★3・★4 要求事項・評価基準", "last-modified": "2026-03-27T00:00:00.00000+09:00", "version": "2026-03-27", "oscal-version": "1.1.3", "roles": [ { "id": "creator", "title": "Creator" }, { "id": "contact", "title": "Contact" } ], "parties": [ { "uuid": "e193c25d-04ec-4d41-8ae4-5799b7171a87", "type": "organization", "name": "SecureNavi Inc." } ], "responsible-parties": [ { "role-id": "creator", "party-uuids": [ "e193c25d-04ec-4d41-8ae4-5799b7171a87" ] }, { "role-id": "contact", "party-uuids": [ "e193c25d-04ec-4d41-8ae4-5799b7171a87" ] } ], "links": [ { "href": "https://www.meti.go.jp/press/2025/03/20260327001/20260327001.html", "rel": "canonical", "text": "経済産業省 ニュースリリース（制度構築方針・別添Excel）" } ] }, "groups": [ { "id": "scs-1", "title": "ガバナンスの整備", "groups": [ { "id": "scs-1-1", "title": "組織の状況", "controls": [ { "id": "scs-1-1-1", "title": "セキュリティに関する法令等に規定された事項を考慮し、社内ルールを策定及び周知すること。", "controls": [ { "id": "scs-1-1-1-1", "title": "1-1-1-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・セキュリティに関連する以下の事項を把握した上で、社内ルールを定めること。\n- 自社に関連する法令(事業法、個人情報保護法等)\n- 所管省庁及び関係団体における基準\n- 取引先が提示する制限事項及び要求事項" } ] }, { "id": "scs-1-1-1-2", "title": "1-1-1-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・No.1-1-1-1で定める事項の改定及び変更の状況について、年１回以上の頻度で確認を行い、社内ルールの内容を点検すること。" } ] }, { "id": "scs-1-1-1-3", "title": "1-1-1-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・策定・見直した社内ルールを役員、従業員、派遣社員及び受入出向者へと周知すること。" } ] } ] } ] }, { "id": "scs-1-2", "title": "役割、責任、権限", "controls": [ { "id": "scs-1-2-1", "title": "セキュリティ推進活動を担当する部署、役員及び従業員を決定し、責任及び権限を割り当てること。", "controls": [ { "id": "scs-1-2-1-1", "title": "1-2-1-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・セキュリティを統括する役員(例えば、CISOを設置する会社の場合は、当該CISO)及びセキュリティ担当部署の役割・責任を定めること。" } ] }, { "id": "scs-1-2-1-2", "title": "1-2-1-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・平時のセキュリティ推進活動に必要な役員(例えば、CISOを設置する会社の場合は、当該CISO)及びセキュリティ担当部署の連絡先リストを定めること。" } ] }, { "id": "scs-1-2-1-3", "title": "1-2-1-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.1-2-1-1及びNo.1-2-1-2にて定めた平時の体制について点検すること。" } ] }, { "id": "scs-1-2-1-4", "title": "1-2-1-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・セキュリティリスクは、経営に重大な影響を及ぼすことを前提として、その対応について、経営層が参加する情報セキュリティ委員会等の経営判断ができる体制を設置すること。" } ] } ] }, { "id": "scs-1-2-2", "title": "サイバー攻撃及び予兆を監視・分析をする体制を整備すること。", "controls": [ { "id": "scs-1-2-2-1", "title": "1-2-2-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・サイバー攻撃及び脆弱性に関する公開情報又は非公開情報を活用する体制を整備すること。" } ] }, { "id": "scs-1-2-2-2", "title": "1-2-2-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・入手した情報又はログの相関分析等により、サイバー攻撃の予兆及びインシデントの発生の検知を可能とし、インシデントの防止及びインシデントが発生した場合の対応が導き出せる体制を整備すること。" } ] } ] }, { "id": "scs-1-2-3", "title": "守秘義務のルールを策定し、遵守させること。", "controls": [ { "id": "scs-1-2-3-1", "title": "1-2-3-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・役員、従業員、派遣社員及び受入出向者を対象に、自社の守秘義務のルールを定めること。" } ] }, { "id": "scs-1-2-3-2", "title": "1-2-3-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・入社時又は社外要員の受入れ時に守秘義務のルールを説明すること。" } ] }, { "id": "scs-1-2-3-3", "title": "1-2-3-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・自社の機密情報を取り扱う役員及び従業員に、守秘義務の誓約書を提出させること。(社外要員を除く。)\n" } ] }, { "id": "scs-1-2-3-4", "title": "1-2-3-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・派遣社員及び受入出向者について、派遣元及び出向元の会社と業務開始前に守秘義務を締結すること。" } ] } ] } ] }, { "id": "scs-1-3", "title": "ポリシー", "controls": [ { "id": "scs-1-3-1", "title": "自社のセキュリティ対応方針を策定し、周知すること。　", "controls": [ { "id": "scs-1-3-1-1", "title": "1-3-1-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・自社のセキュリティ対応方針を定めること。" } ] }, { "id": "scs-1-3-1-2", "title": "1-3-1-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・定常的に役員、従業員、派遣社員及び受入出向者が最新のセキュリティ対応方針を参照できるようにすること。" } ] }, { "id": "scs-1-3-1-3", "title": "1-3-1-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・セキュリティ対応方針の改正時に、当該改正内容を役員、従業員、派遣社員及び受入出向者に周知すること。" } ] }, { "id": "scs-1-3-1-4", "title": "1-3-1-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・年１回以上の頻度でセキュリティ対応方針の内容を点検すること。" } ] } ] } ] }, { "id": "scs-1-4", "title": "監督", "controls": [ { "id": "scs-1-4-1", "title": "セキュリティ対策推進計画を策定し、定期的に経営層へ対策実施状況に関する報告を行うとともに、報告結果を対策の推進に反映すること。", "controls": [ { "id": "scs-1-4-1-1", "title": "1-4-1-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・セキュリティ担当部署は、年１回以上、セキュリティを統括する役員(例えば、CISOを設置する会社の場合は、当該CISO)に対して、以下にて求める対策の点検の結果を踏まえたセキュリティ対策の実態及び当該実態を踏まえて策定した今後の対策推進計画を報告し承認を得た上で、当該報告結果を社内部署と共有すること。\n[点検を求める対策(評価基準)]\nNo.1-1-1-2、1-2-1-3、1-3-1-4、2-1-1-2、3-1-1-4、3-1-1-7、3-1-2-4、3-1-4-2、3-1-4-4、3-1-4-6、3-1-5-3、3-2-1-5、4-1-7-2、4-1-9-3、4-2-1-5、4-2-2-3、5-1-2-2、6-1-1-4" } ] }, { "id": "scs-1-4-1-2", "title": "1-4-1-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・No.1-4-1-1における対策推進計画の報告に際し、役員からの改善に向けた指示があった場合、セキュリティ担当部署は、当該指示内容の記録、計画への反映及び不備の是正を実施すること。" } ] } ] } ] } ] }, { "id": "scs-2", "title": "取引先管理", "groups": [ { "id": "scs-2-1", "title": "サイバーセキュリティサプライチェーンリスクマネジメント", "controls": [ { "id": "scs-2-1-1", "title": "取引先と自社とのビジネス又はシステム上の関係を把握すること。", "controls": [ { "id": "scs-2-1-1-1", "title": "2-1-1-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・自社以外の組織(顧客・子会社・関係会社・クラウドサービス提供者を含む取引先)が管理・提供し、自社の資産が接続しているシステムを把握するための仕組みを整備すること。" } ] }, { "id": "scs-2-1-1-2", "title": "2-1-1-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.2-1-1-1において把握した情報の内容を点検すること。" } ] }, { "id": "scs-2-1-1-3", "title": "2-1-1-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・自社の機密情報を共有している子会社又は取引先について、以下の事項を把握するための仕組みを整備すること。\n- 会社ごとに取り交わす手段(受発注の手段、情報のやり取り等)\n- 取引に伴い授受・使用される情報資産及びその取扱い\n" } ] } ] }, { "id": "scs-2-1-2", "title": "自社の機密情報の取扱い方法を、共有先との間で明確にすること。", "controls": [ { "id": "scs-2-1-2-1", "title": "2-1-2-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・自社の機密情報を共有する子会社又は取引先との間で、業務開始前に機密情報の取扱いについて、以下の事項を取り決めること。\n- 機密情報の定義\n- 機密情報の利用制限、保管方法、複製可否及び第三者への提供可否\n- 機密情報の返還又は廃棄" } ] } ] }, { "id": "scs-2-1-3", "title": "事業継続リスク及び情報管理リスクの観点から自社に影響を及ぼす可能性のある取引先のセキュリティ対策状況を把握すること。", "controls": [ { "id": "scs-2-1-3-1", "title": "2-1-3-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・以下に示す条件のいずれか若しくは複数に該当する子会社又は取引先を対象に、年1回以上の頻度で、以下の例を参考にセキュリティ対策状況を把握すること。 \n[対策状況把握の対象とする子会社又は取引先の条件]\n- 自社の重要な機密情報を提供・共有する\n- 自社の事業継続にとって重要な位置づけを持つ\n- 当該取引先の環境から発注者の内部システムへのアクセスが可能\n[対策状況の把握方法(例)]\n- 本制度が定める★の取得状況について取引先から回答を受領する、又は本制度の運用主体が管理するWebサイト等で確認する\n- 取引先に訪問し点検を実施する\n- セキュリティ対策チェックシートを作成して回答を受領する" } ] } ] }, { "id": "scs-2-1-4", "title": "セキュリティインシデント発生時の他社との役割及び責任を明確にすること。", "controls": [ { "id": "scs-2-1-4-1", "title": "2-1-4-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・自社の機密情報を共有する子会社又は取引先との間で、セキュリティインシデント発生時の自社と子会社又は取引先の役割及び責任を定めること。" } ] } ] }, { "id": "scs-2-1-5", "title": "取引先との契約終了時に自社の機密情報及び当該機密情報へのアクセス権を回収する又は破棄させること。", "controls": [ { "id": "scs-2-1-5-1", "title": "2-1-5-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・自社の機密情報を共有する子会社又は取引先から、契約終了時に機密情報及びアクセス権が回収又は破棄されていることについて確認する手順(例：回収物一覧のチェックシートの作成)を整備すること。" } ] } ] } ] } ] }, { "id": "scs-3", "title": "リスクの特定", "groups": [ { "id": "scs-3-1", "title": "資産管理", "controls": [ { "id": "scs-3-1-1", "title": "情報機器、OS及びソフトウェアに関する情報を把握すること。　", "controls": [ { "id": "scs-3-1-1-1", "title": "3-1-1-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・パソコン及びシンクライアントの製造元、OS及び台数を把握するための仕組みを整備すること。" } ] }, { "id": "scs-3-1-1-2", "title": "3-1-1-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・サーバ、仮想サーバ及びハイパーバイザの製造元、OS及び台数を把握するための仕組みを整備すること。" } ] }, { "id": "scs-3-1-1-3", "title": "3-1-1-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・情報機器、OS及びソフトウェアについて、導入、設置、ネットワーク接続及びセキュリティパッチ適用のルールを含む管理ルールを定めること。" } ] }, { "id": "scs-3-1-1-4", "title": "3-1-1-4", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.3-1-1-3で定めた管理ルールの遵守状況について点検すること。" } ] }, { "id": "scs-3-1-1-5", "title": "3-1-1-5", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・スマートデバイスの製造元、OS及び台数を把握するための仕組みを整備すること。" } ] }, { "id": "scs-3-1-1-6", "title": "3-1-1-6", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・重要なシステムを構成する情報機器について、設定情報を把握するための仕組みを整備すること。" } ] }, { "id": "scs-3-1-1-7", "title": "3-1-1-7", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.3-1-1-1、No.3-1-1-2、No.3-1-1-5及びNo.3-1-1-6で把握した情報の内容について、点検すること。" } ] } ] }, { "id": "scs-3-1-2", "title": "ネットワークに関する情報を把握するための仕組みを整備すること。", "controls": [ { "id": "scs-3-1-2-1", "title": "3-1-2-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ネットワークを把握するための仕組みを整備すること。その際、把握すべき情報の中に各ネットワークの所在地及び用途に関する情報を含めること。" } ] }, { "id": "scs-3-1-2-2", "title": "3-1-2-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ネットワーク機器を把握するための仕組みを整備すること。その際、把握すべき情報の中に各機器の製造元、モデル及び保守事業者に関する情報を含めること。" } ] }, { "id": "scs-3-1-2-3", "title": "3-1-2-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・ネットワークを対象として、ネットワーク図を作成すること。" } ] }, { "id": "scs-3-1-2-4", "title": "3-1-2-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.3-1-2-3で作成したネットワーク図の記載内容について点検すること。" } ] } ] }, { "id": "scs-3-1-3", "title": "自社の機密情報を扱う外部情報サービスを管理すること。", "controls": [ { "id": "scs-3-1-3-1", "title": "3-1-3-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "外部情報サービスを利用する際のセキュリティ要件を定めたうえで、外部情報サービスの利用時に当該要件を満たしているかサービス内容を確認すること。" } ] }, { "id": "scs-3-1-3-2", "title": "3-1-3-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・外部情報サービスの提供事業者と機密情報の取扱いについて合意を取り交わすこと。" } ] } ] }, { "id": "scs-3-1-4", "title": "機密区分に応じた情報の管理ルールを定め、それに基づく管理を行うこと。", "controls": [ { "id": "scs-3-1-4-1", "title": "3-1-4-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・自社の保有する情報を対象に、以下の内容を含む管理ルールを定めること。\n- 機密の特定\n- 機密区分のレベル判定及び表示\n- 区分に応じた取扱方法\n- 取扱エリアの区分及び制限" } ] }, { "id": "scs-3-1-4-2", "title": "3-1-4-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.3-1-4-1で定めた管理ルールの内容について点検すること。" } ] }, { "id": "scs-3-1-4-3", "title": "3-1-4-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・重要な機密情報並びに当該情報ごとの管理者名、部署名、保管場所、保管期限、開示先及び管理者の連絡先を把握するための仕組みを整備すること。" } ] }, { "id": "scs-3-1-4-4", "title": "3-1-4-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.3-1-4-3で把握した項目の内容について点検すること。" } ] }, { "id": "scs-3-1-4-5", "title": "3-1-4-5", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・退職時及び任期満了時には機密情報及び情報機器を回収すること。\n- 回収物には、情報(印刷物及び記憶媒体)、パソコン、スマートデバイス及びアクセス権(ID及び鍵)を含めること。\n- 回収漏れが起こらない手順(例：回収物一覧のチェックシートの作成)を整備すること。" } ] }, { "id": "scs-3-1-4-6", "title": "3-1-4-6", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.3-1-4-5で求める機密情報及び情報機器の回収の状況について点検すること。" } ] }, { "id": "scs-3-1-4-7", "title": "3-1-4-7", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・サーバ、会社支給のパソコン、スマートデバイス及び外部記憶媒体の廃棄時(リース終了時を含む。)はデータを復元できないよう抹消処理を行うこと。\n※ディスクのフォーマットは、データを復旧される可能性があるため不十分" } ] }, { "id": "scs-3-1-4-8", "title": "3-1-4-8", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・サーバ、会社支給のパソコン、スマートデバイス及び外部記憶媒体の記憶領域を抹消処理した記録を保管すること。" } ] } ] }, { "id": "scs-3-1-5", "title": "リモートワークで使用する情報機器及び機密情報の条件についてのルールを定めること。", "controls": [ { "id": "scs-3-1-5-1", "title": "3-1-5-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・リモートワークを実施する場合は、リモートワークで使用する情報機器及び機密情報の条件について、以下の事項に関するルールを定めること。\n- リモートワークで使用許可する情報機器及び当該許可の申請・承認の方法\n- 個人所有機器にダウンロード可能なファイルの機密区分及び種類" } ] }, { "id": "scs-3-1-5-2", "title": "3-1-5-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・No.3-1-5-1で定めたルールをリモートワークを行う全ての役員、従業員、派遣社員及び受入出向者に対して周知すること。" } ] }, { "id": "scs-3-1-5-3", "title": "3-1-5-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.3-1-5-1で定めたルールの内容及び遵守状況について点検すること。" } ] } ] } ] }, { "id": "scs-3-2", "title": "リスクアセスメント", "controls": [ { "id": "scs-3-2-1", "title": "脆弱性の管理体制、管理プロセスを定め、それに基づく管理を行うこと。", "controls": [ { "id": "scs-3-2-1-1", "title": "3-2-1-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・脆弱性情報/脅威情報の収集から対応まで担当部署の役割・責任を定めること。" } ] }, { "id": "scs-3-2-1-2", "title": "3-2-1-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・脆弱性情報/脅威情報を収集する情報源、ツール及び頻度を定めること。" } ] }, { "id": "scs-3-2-1-3", "title": "3-2-1-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・収集した脆弱性情報/脅威情報の対応要否判断基準・対応手順を定めること。" } ] }, { "id": "scs-3-2-1-4", "title": "3-2-1-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・管理対象の情報機器における脆弱性の残存状況を把握するための仕組みを整備すること。" } ] }, { "id": "scs-3-2-1-5", "title": "3-2-1-5", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・収集した脆弱性情報/脅威情報に対する対応履歴を記録し、対応漏れがないかどうかについて月次で点検すること。" } ] } ] } ] } ] }, { "id": "scs-4", "title": "攻撃等の防御", "groups": [ { "id": "scs-4-1", "title": "アイデンティティ管理、認証、アクセス制御", "controls": [ { "id": "scs-4-1-1", "title": "ユーザIDの発行・変更・削除の手続を定めること。", "controls": [ { "id": "scs-4-1-1-1", "title": "4-1-1-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・自社の役員、従業員、派遣社員及び受入出向者に対するユーザIDの付与・変更・削除は申請・承認制にすること。" } ] }, { "id": "scs-4-1-1-2", "title": "4-1-1-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ユーザIDの共有について、以下のいずれかを適用すること。\n- ユーザIDを共有しない。\n- やむを得ず共有IDが必要な場合(例えば、システムの仕様により、使用人数分のユーザIDを発行することができない場合)は、共有IDを利用したユーザを特定できるようにする。" } ] }, { "id": "scs-4-1-1-3", "title": "4-1-1-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ユーザIDが不要になった場合(例えば、ユーザが組織を退職した場合又はユーザIDが一定期間使用されなかった場合)、速やかにユーザIDを削除又は無効化すること。" } ] }, { "id": "scs-4-1-1-4", "title": "4-1-1-4", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "ユーザIDに付与したアクセス権が不要になった場合(例えば、ユーザの業務上の役割が変わった場合)は、当該権限を速やかに削除又は無効化すること。" } ] } ] }, { "id": "scs-4-1-2", "title": "管理者IDの発行・変更・削除の手続を定めること。", "controls": [ { "id": "scs-4-1-2-1", "title": "4-1-2-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・すべてのサーバ及びネットワーク機器について、システム管理者及び責任者を定めること。" } ] }, { "id": "scs-4-1-2-2", "title": "4-1-2-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・管理者権限を付与する役員、従業員、派遣社員及び受入出向者を限定したうえで、管理者IDについて以下のいずれかを適用すること。\n- 管理者IDを共有しない。\n- やむを得ず管理者IDの共有が必要な場合(例えば、システムの仕様により、使用人数分のIDを発行することができない場合)は、共有の管理者IDを利用したユーザを特定できるようにすること。" } ] }, { "id": "scs-4-1-2-3", "title": "4-1-2-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・各管理者IDに対して当該IDの用途に応じた必要最低限の権限のみを付与すること。" } ] }, { "id": "scs-4-1-2-4", "title": "4-1-2-4", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・開発環境を利用する役員、従業員、派遣社員及び受入出向者が本番環境において、開発環境における管理者権限で操作できないようにすること。" } ] }, { "id": "scs-4-1-2-5", "title": "4-1-2-5", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・組織内でどの役員、従業員、派遣社員及び受入出向者が管理者IDを持っているかを把握するための仕組みを整備すること。" } ] }, { "id": "scs-4-1-2-6", "title": "4-1-2-6", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・管理者IDが不要になった場合(例えば、管理者が組織を退職した場合及び管理者IDが一定期間使用されなかった場合)、速やかに管理者IDを削除又は無効化すること。" } ] }, { "id": "scs-4-1-2-7", "title": "4-1-2-7", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・管理者IDの付与・変更・削除は申請・承認制にすること。" } ] }, { "id": "scs-4-1-2-8", "title": "4-1-2-8", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・管理者IDの付与・変更・削除並びにサーバ及びネットワーク機器の設定内容の変更を行う権限を業務上必要な役員、従業員、派遣社員及び受入出向者に限定すること。" } ] } ] }, { "id": "scs-4-1-3", "title": "システム及び情報の重要度に応じて認証の強度及び実装方法を決定すること。", "controls": [ { "id": "scs-4-1-3-1", "title": "4-1-3-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・すべてのユーザID及び管理者IDについて、システム及び情報機器へのアクセスを許可する前に、ユーザIDごとに設定されている認証情報(パスワード等)でユーザを認証すること。" } ] }, { "id": "scs-4-1-3-2", "title": "4-1-3-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・重要な機密情報を取り扱うクラウドサービスにおいて、ユーザ及び管理者がサービスにアクセスする場合は、常にNo.4-1-3-3で示す認証要素を利用した多要素認証を使用すること。" } ] }, { "id": "scs-4-1-3-3", "title": "4-1-3-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・多要素認証の使用に当たっては、以下のいずれかの要素から2種類以上を選択し、利用すること。\n- 知識情報(例：ID・パスワード)\n- 所有情報(例：ワンタイムパスワード※又は証明書)\n- 生体情報(例：指紋、顔、虹彩又は静脈)\n- その他の情報(例：IPアドレス)\n\n※利用者のメールアドレス、電話番号等に対してワンタイムパスワードを送信して利用者に入力させる方法及びスマートフォンへの認証要求を利用した認証方式を含む。" } ] }, { "id": "scs-4-1-3-4", "title": "4-1-3-4", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・多要素認証の知識情報として用いるパスワードは、8文字以上とすること。" } ] }, { "id": "scs-4-1-3-5", "title": "4-1-3-5", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・重要な機密情報を取り扱うシステムにおいて、No.4-1-3-2で対象としているクラウドサービスへのアクセスに加えて、以下に示す場合は、常にNo.4-1-3-3で示す認証要素を使用した多要素認証を使用すること。\n- インターネットを経由して社内環境へ接続する場合\n- 管理者がインターネット経由でシステムにアクセスする場合\n- ユーザがインターネット経由で重要な機密情報を取り扱うシステムにアクセスする場合" } ] } ] }, { "id": "scs-4-1-4", "title": "パソコン及びスマートデバイスにはロック制御を行うこと。", "controls": [ { "id": "scs-4-1-4-1", "title": "4-1-4-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・パソコンへのログオン及びスマートデバイスのロック解除にあたって、以下のいずれかを適用すること。\n- 試行回数を調整し、試行が失敗するたびに試行間隔が長くなるようにする。\n- 試行が少なくとも10回以上失敗すると端末をロックする。\n- 上記で示す要件のいずれも設定することができない場合、No.4-1-5で求められるよりも強度の高いパスワードを用いる等の代替策を用いること。" } ] }, { "id": "scs-4-1-4-2", "title": "4-1-4-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・パソコンへのログオン及びスマートデバイスのロック解除を行う場合、最低でも6文字以上のパスワード又はPINを利用すること。" } ] } ] }, { "id": "scs-4-1-5", "title": "パスワード設定に関するルールを定め、周知すること。", "controls": [ { "id": "scs-4-1-5-1", "title": "4-1-5-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・パソコン、サーバ、スマートデバイス及びクラウドサービスの利用者又は管理者は、それらにおけるデフォルトパスワードを変更するよう社内ルールを定めること。" } ] }, { "id": "scs-4-1-5-2", "title": "4-1-5-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ユーザ認証にパスワードを利用する場合、推測されやすい単語の設定を禁止するよう社内ルールを定めること。" } ] }, { "id": "scs-4-1-5-3", "title": "4-1-5-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ユーザ認証にパスワードを利用する場合、以下のいずれかの保護対策を講じるよう社内ルールを定めること。\n- No.4-1-3-3で示す認証要素を利用した多要素認証を使用するか、又は試行が少なくとも10回失敗した場合にアカウントロックするように制限したうえで、パスワードの長さを8文字以上とする。\n- 上記のとおり多要素認証又は試行回数の制限を実施できない場合、パスワードの長さは、英大文字小文字、数字を含めた10文字以上とする。" } ] }, { "id": "scs-4-1-5-4", "title": "4-1-5-4", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ユーザ認証にパスワードを利用する場合、情報機器及びサービス間でのパスワードを使い回さないよう社内ルールを定めること。" } ] }, { "id": "scs-4-1-5-5", "title": "4-1-5-5", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "No.4-1-5-1からNo.4-1-5-4までで定めたパスワード設定に関するルールについて、役員、従業員、派遣社員及び受入出向者を対象に周知すること。" } ] } ] }, { "id": "scs-4-1-6", "title": "パスワードの管理に関するルールを定め、周知すること。", "controls": [ { "id": "scs-4-1-6-1", "title": "4-1-6-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・紙媒体への記載及び施錠保管、パスワード管理アプリの利用等により、パスワードを安全に保管するよう社内ルールを定めること。" } ] }, { "id": "scs-4-1-6-2", "title": "4-1-6-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・パスワードの漏洩が判明した場合、又はその疑いがある場合に速やかにパスワードを変更するための手順を定めること。" } ] }, { "id": "scs-4-1-6-3", "title": "4-1-6-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・No.4-1-6-1及びNo.4-1-6-2で定めたパスワードの管理に関するルールについて、役員、従業員、派遣社員及び受入出向者を対象に周知すること。" } ] } ] }, { "id": "scs-4-1-7", "title": "アクセス権の管理ルールを定めること。", "controls": [ { "id": "scs-4-1-7-1", "title": "4-1-7-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・業務で利用するシステム及びパソコンへのログオン時のユーザのアクセス権並びに機密上の配慮が必要な場所及び部屋への入室について、以下の内容の管理ルールを定めること。\n- アクセス権の発行・変更・削除は申請・承認制であること。\n- 与える入室許可・アクセス権の範囲は必要な範囲に限定すること。\n- 入室権限及びアクセス権の棚卸について定めていること。\n- 与えた入室許可・アクセス権の申請書又は台帳を管理していること。" } ] }, { "id": "scs-4-1-7-2", "title": "4-1-7-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・年１回以上の頻度で役員、従業員、派遣社員及び受入出向者に付与したアクセス権の棚卸を実施すること。" } ] }, { "id": "scs-4-1-7-3", "title": "4-1-7-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・重要な機密情報を扱うシステムは、アクセス権を付与するための条件を定めること。" } ] }, { "id": "scs-4-1-7-4", "title": "4-1-7-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・重要な機密情報を扱うシステムにおけるアクセス権の設定に当たっては、システム管理者の要件及び設定手順を定めること。" } ] }, { "id": "scs-4-1-7-5", "title": "4-1-7-5", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・重要な機密情報を扱うシステムは、ユーザ及び管理者ごとに必要最小限の権限を付与し、個人に権限が集中しない環境とすること。" } ] }, { "id": "scs-4-1-7-6", "title": "4-1-7-6", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・重要な機密情報を扱うシステムは、付与したアクセス権の運用/利用状況を監視する仕組みを整備すること。" } ] } ] }, { "id": "scs-4-1-8", "title": "サーバの設置エリアへの入退室を管理し、記録すること。", "controls": [ { "id": "scs-4-1-8-1", "title": "4-1-8-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・サーバの設置エリアに入場可能な者を定めること。 " } ] }, { "id": "scs-4-1-8-2", "title": "4-1-8-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・サーバの設置に当たって、以下のいずれかの安全確保策を適用すること。\n- サーバの設置エリアを施錠すること。\n- 施錠が出来ないエリアにサーバが設置されている場合、サーバを専用ラックに入れて施錠すること。" } ] }, { "id": "scs-4-1-8-3", "title": "4-1-8-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・No.4-1-8-2におけるサーバの設置エリア又は専用ラックの鍵等について、管理者を定めたうえで安全に管理すること。" } ] }, { "id": "scs-4-1-8-4", "title": "4-1-8-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・入退場日時及び入場者氏名を含めて、サーバの設置エリアの入退場記録を取得し、少なくとも6 ヶ月間保管すること。" } ] } ] }, { "id": "scs-4-1-9", "title": "可搬媒体の持込み・持出しを制限すること。", "controls": [ { "id": "scs-4-1-9-1", "title": "4-1-9-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・パソコン、スマートデバイス、カメラ及び外部記憶媒体(個人所有機器の業務利用(BYOD)を含む。)を対象とした社内への持込みルールを定めること。\n" } ] }, { "id": "scs-4-1-9-2", "title": "4-1-9-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・パソコン、スマートデバイス、カメラ、外部記憶媒体(個人所有機器の業務利用(BYOD)を含む。)及び印刷物(図面等の機密書類)に関する社外への持出しルールを定めること。" } ] }, { "id": "scs-4-1-9-3", "title": "4-1-9-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.4-1-9-1及びNo.4-1-9-2で定めたパソコン、スマートデバイス、カメラ及び外部記憶媒体(個人所有機器(BYOD)を含む。)における持込みルール及び持出しルールの内容及び遵守状況について点検すること。" } ] } ] } ] }, { "id": "scs-4-2", "title": "意識向上とトレーニング", "controls": [ { "id": "scs-4-2-1", "title": "経営層を含むすべての要員に対して、セキュリティの意識向上のための教育・研修を実施すること。", "controls": [ { "id": "scs-4-2-1-1", "title": "4-2-1-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・経営層が情報セキュリティに関する役割及び責任を理解するための機会を設けること。" } ] }, { "id": "scs-4-2-1-2", "title": "4-2-1-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・セキュリティに関する職場特有のリスクの理解及びルールの遵守が必要な場合、職場単位で重要なルール及びリスクについて、年１回以上の頻度で周知すること。" } ] }, { "id": "scs-4-2-1-3", "title": "4-2-1-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・以下のトピックについて、役員、従業員、派遣社員及び受入出向者を対象に、新規受入れ時、かつ、年１回以上、教育資料配布・掲示、e ラーニング、集合教育等による教育・研修を実施すること。\n- 電子メールによるマルウェア感染の予防\n- Web 閲覧によるマルウェア感染の予防\n- 機密区分の定義と取扱い" } ] }, { "id": "scs-4-2-1-4", "title": "4-2-1-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・No.4-2-1-3で実施した教育・研修の実施状況を記録し、保管すること。" } ] }, { "id": "scs-4-2-1-5", "title": "4-2-1-5", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・年１回以上の頻度でセキュリティの意識向上のための教育・研修の実施内容について点検すること。" } ] } ] }, { "id": "scs-4-2-2", "title": "セキュリティインシデント発生時の対応に関する教育・訓練を行うこと。", "controls": [ { "id": "scs-4-2-2-1", "title": "4-2-2-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・役員、従業員、派遣社員及び受入出向者を対象に、新規受入れ時、かつ、年1回以上の頻度で、セキュリティインシデント発生時の対応について、教育資料の配布・掲示に加え、e ラーニング又は集合教育による教育・訓練を実施すること。" } ] }, { "id": "scs-4-2-2-2", "title": "4-2-2-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・No.4-2-2-1で実施した教育・訓練の実施内容、実施方法、実施時期及び受講状況を記録し、保管すること。" } ] }, { "id": "scs-4-2-2-3", "title": "4-2-2-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・年１回以上の頻度でセキュリティインシデント発生時の対応に関する教育・訓練の実施内容について点検すること。" } ] } ] } ] }, { "id": "scs-4-3", "title": "データセキュリティ", "controls": [ { "id": "scs-4-3-1", "title": "情報機器及び情報システムの保管データを適切に暗号化するようルールを定め、周知すること。", "controls": [ { "id": "scs-4-3-1-1", "title": "4-3-1-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・社外に持ち出すパソコン及び記憶媒体の機密情報を暗号化するルールを定め、役員、従業員、派遣社員及び受入出向者を対象に周知すること。" } ] }, { "id": "scs-4-3-1-2", "title": "4-3-1-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・重要な機密情報を暗号化するルールを定め、役員、従業員、派遣社員及び受入出向者を対象に周知すること。" } ] } ] }, { "id": "scs-4-3-2", "title": "データを適切な場所に保管するようルールを定め、周知すること。", "controls": [ { "id": "scs-4-3-2-1", "title": "4-3-2-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・マルウェアによる被害を受けた場合に業務に支障をきたすデータはパソコン以外の社内ネットワーク(クラウドサービスを含む。)上の相対的に安全な区域にあるサーバに保管するようルールを定め、役員、従業員、派遣社員及び受入出向者を対象に周知すること。" } ] } ] }, { "id": "scs-4-3-3", "title": "取引先との情報共有及び情報送信に関するルールを定め、周知すること。", "controls": [ { "id": "scs-4-3-3-1", "title": "4-3-3-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・取引先との情報共有及び情報送信に関して、以下をルールとして定め、役員、従業員、派遣社員及び受入出向者へ周知すること。\n-社外とファイル共有する場合は、信頼できる相手とのみ共有すること。\n-社外へファイル転送をする場合は、送信履歴を残すこと。" } ] } ] }, { "id": "scs-4-3-4", "title": "適切なバックアップを行うこと。", "controls": [ { "id": "scs-4-3-4-1", "title": "4-3-4-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・取得対象、取得頻度及び保管期間を定めて自社で取り扱うデータのバックアップを取得すること。" } ] }, { "id": "scs-4-3-4-2", "title": "4-3-4-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・重要な機密情報については、No.4-3-4-1におけるバックアップに加えて、遠隔地バックアップを実施すること。" } ] }, { "id": "scs-4-3-4-3", "title": "4-3-4-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・バックアップ対象ごとにリストア手順書を整備すること。" } ] } ] } ] }, { "id": "scs-4-4", "title": "プラットフォームセキュリティ", "controls": [ { "id": "scs-4-4-1", "title": "情報機器、OS及びソフトウェアの安全な構成を確立し、維持すること。", "controls": [ { "id": "scs-4-4-1-1", "title": "4-4-1-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・パソコン、サーバ及びスマートデバイスで利用を許可していないソフトウェアをすべて削除若しくは無効化するか、又は利用を許可するソフトウェア以外を自由にインストールできないようにすること。" } ] }, { "id": "scs-4-4-1-2", "title": "4-4-1-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・外部記録媒体を使用する端末について自動実行(auto-run)又は自動再生(auto-play)を無効化すること。" } ] }, { "id": "scs-4-4-1-3", "title": "4-4-1-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・サーバ及びネットワーク機器の設定変更を申請・承認制にすること。" } ] }, { "id": "scs-4-4-1-4", "title": "4-4-1-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・パソコン及びサーバ上で不要サービス及びプロトコルを無効化すること。" } ] }, { "id": "scs-4-4-1-5", "title": "4-4-1-5", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・パソコン及びサーバ上で使用されているデフォルトユーザ ID の利用を停止するか、又はログインに当たって多要素認証等の強固な認証を用いること。" } ] }, { "id": "scs-4-4-1-6", "title": "4-4-1-6", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・利用するOS及びソフトウェアについて、標準構成・設定ルールを定めること。" } ] } ] }, { "id": "scs-4-4-2", "title": "サポート期限の切れたOS及びソフトウェアの利用停止及び更改を実施すること。", "controls": [ { "id": "scs-4-4-2-1", "title": "4-4-2-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・利用するOS及びソフトウェアについて、以下のいずれかを適用すること。\n- 全てのOS及びソフトウェアについてサポートのあるものを利用すること。\n- やむを得ずサポート切れのOS及びソフトウェアを利用する場合(例えば、代替システムを調達する必要があり、直ちに更改できない場合)は、更改計画を策定した上で、更改するまでの間、No.4-4-4-2で求める脆弱性悪用のリスクを低減する対策を実施すること。" } ] } ] }, { "id": "scs-4-4-3", "title": "システムに関するログを取得し、異常を検知するため、定期的にレビューを行うこと。", "controls": [ { "id": "scs-4-4-3-1", "title": "4-4-3-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・インシデント発生時に調査を円滑に行うために必要なログとして、以下を取得及び保管すること。(※)\n[取得するログ(保管期間)]\n-ファイアウォールのログ(6 カ月)　※取引先と接続する閉域網の入口に設置されるものも含む。\n 取得項目：日時、送信元 IP アドレス及び送信先 IP アドレス\n-プロキシサーバのログ(6 カ月)\n 取得項目：日時、リクエスト元 IP アドレス及びURL\n-認証サーバのログ(6 カ月)\n 取得項目：日時、接続元 IP アドレス、ユーザID及び成功/失敗\n\n※クラウドサービスの利用も対象に含む。\n※利用するクラウドサービス又はシステム構成の仕様上、上記の要件を満たせない場合は、インシデント発生時の調査ができるよう、他の機器又は機能を利用して上記の要件に相当するログを取得及び保管すること。" } ] }, { "id": "scs-4-4-3-2", "title": "4-4-3-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・No.4-4-3-1で取得及び保管を求めるログを脅威から保護するため、ログを保存する媒体及びシステムにインターネット経由でアクセスする場合は、常にNo.4-1-3-3で示す要素を利用した多要素認証を使用すること。" } ] }, { "id": "scs-4-4-3-3", "title": "4-4-3-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・No.4-4-3-1で取得及び保管を求めるログのうち、認証サーバのログについては、月1回以上の頻度でモニタリングを実施し、不審な認証試行を検知すること。" } ] } ] }, { "id": "scs-4-4-4", "title": "情報機器、OS及びソフトウェアへのセキュリティパッチ及びアップデートの適用に係る手続を定めること。", "controls": [ { "id": "scs-4-4-4-1", "title": "4-4-4-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・システム、情報機器及びソフトウェアは以下の状態とすること。\n- ライセンスが付与され、サポートされている。\n- サポートが終了した場合に削除されるか、又はインターネットとの全てのトラフィックを遮断することで適用範囲から削除される。\n- 可能であれば、自動アップデートが有効化されている。" } ] }, { "id": "scs-4-4-4-2", "title": "4-4-4-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・利用している機能又は設定に関して、以下のいずれかに該当するアップデートプログラムがリリースされてから14日以内に、アップデートすること。\n- 当該アップデートが、ベンダーにより「重大」(Critical)又は 「高リスク」(High Risk)と説明される脆弱性を修正するものである。\n- 当該アップデートが、CVSSの基本値が7.0以上の脆弱性を修正するものである。\n- 当該アップデートが修正する脆弱性のレベルの詳細がベンダーから提供されていない。 \n・やむを得ず上記のとおりアップデートができない場合(例えば、動作検証に一定期間を要し、期限内にアップデートが完了しない場合)は、アップデート適用までの間、以下のいずれかにより脆弱性悪用のリスクを低減する対策を実施すること。\n- 脆弱性悪用の対象となる機能を無効化すること。\n- ベンダーが推奨する回避策を実施すること。\n- 対象となる情報機器を適用範囲内のネットワークから分離すること。\n- 対象となる情報機器と適用範囲内のネットワークとの通信を監視し、当該脆弱性を悪用する不正な通信を遮断する機器又はソフトウェアを導入すること。\n\n[対象]\n-会社支給のパソコンの OS、ブラウザ及びOffice ソフト \n-サーバの OS及びミドルウェア \n-会社支給のスマートデバイスのOS及びアプリ \n-インターネットとの境界に設置されているネットワーク機器のOS及びファームウェア" } ] }, { "id": "scs-4-4-4-3", "title": "4-4-4-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・インターネットとの境界に設置されているネットワーク機器のOS及びファームウェアについては、CVSS 基本値 7.0以上の脆弱性を有していないこと。" } ] } ] }, { "id": "scs-4-4-5", "title": "システムをマルウェア感染から保護すること。", "controls": [ { "id": "scs-4-4-5-1", "title": "4-4-5-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ネットワークに接続しているすべてのパソコン及びサーバに、マルウェア対策ソフトウェアを導入すること。\n" } ] }, { "id": "scs-4-4-5-2", "title": "4-4-5-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・パソコン及びサーバごとにマルウェア対策ソフトのスキャン範囲及び頻度を定め、スキャンを実行すること。" } ] }, { "id": "scs-4-4-5-3", "title": "4-4-5-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・マルウェア対策ソフトウェアのパターンファイルを、ベンダーの推奨に従ってアップデートすること。" } ] }, { "id": "scs-4-4-5-4", "title": "4-4-5-4", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・パソコン/Web ゲートウェイを対象に、不正な Web サイトへのアクセスを制限すること。" } ] }, { "id": "scs-4-4-5-5", "title": "4-4-5-5", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・メールによるマルウェア感染を防止するため、メールゲートウェイ、メールサーバ等でマルウェアチェックを実施すること。" } ] } ] } ] }, { "id": "scs-4-5", "title": "技術インフラのレジリエンス", "controls": [ { "id": "scs-4-5-1", "title": "ネットワークを適切に分離し、境界部分を防護すること。", "controls": [ { "id": "scs-4-5-1-1", "title": "4-5-1-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・全てのファイアウォール(又はファイアウォール機能を持つネットワーク機器)及びルータについて、デフォルトの管理パスワードを強固で一意のパスワードに変更する、又はリモートアクセスを完全に無効化すること。" } ] }, { "id": "scs-4-5-1-2", "title": "4-5-1-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ファイアウォール(又はファイアウォール機能を持つネットワーク機器)及びルータのパスワードを変更する手順を定めること。\n" } ] }, { "id": "scs-4-5-1-3", "title": "4-5-1-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ファイアウォール(又はファイアウォール機能を持つネットワーク機器)及びルータに係る認証は、No.4-1-5で定めるパスワード設定等に関する評価基準を満たすこと。" } ] }, { "id": "scs-4-5-1-4", "title": "4-5-1-4", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・全てのファイアウォール(又はファイアウォール機能を持つネットワーク機器)について、認証されていないインバウンド通信を遮断すること。" } ] }, { "id": "scs-4-5-1-5", "title": "4-5-1-5", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・全てのファイアウォール(又はファイアウォール機能を持つネットワーク機器)について、インバウンド通信に関するファイアウォール・ルールが定められていること。" } ] }, { "id": "scs-4-5-1-6", "title": "4-5-1-6", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・全てのファイアウォール(又はファイアウォール機能を持つネットワーク機器)について、不要になったファイアウォール・ルールを速やかに削除又は無効化すること。\n" } ] }, { "id": "scs-4-5-1-7", "title": "4-5-1-7", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ファイアウォール・ルールの変更をインターネット経由で行う場合、No.4-1-3-3で示す認証要素を利用した多要素認証を適用するか、又は信頼できるIPアドレスにアクセスを制限すること。" } ] }, { "id": "scs-4-5-1-8", "title": "4-5-1-8", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・利用中のOSが対応していない場合を除いて、すべてのパソコン及びサーバにおいて、ソフトウェアファイアウォールを有効化すること。" } ] }, { "id": "scs-4-5-1-9", "title": "4-5-1-9", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・社外公開サーバ及び重要な機密情報を扱うサーバについて、それぞれ専用のネットワークセグメントに設置し、セグメント内外のアクセスを必要最小限に限定すること。" } ] } ] } ] } ] }, { "id": "scs-5", "title": "攻撃等の検知", "groups": [ { "id": "scs-5-1", "title": "継続的監視", "controls": [ { "id": "scs-5-1-1", "title": "ネットワーク上の適切な場所でネットワーク接続及びデータ転送を監視すること。", "controls": [ { "id": "scs-5-1-1-1", "title": "5-1-1-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・社内外ネットワークの境界又は端末において、インターネットから社内への通信及び社内から不正なサーバへの通信の双方について、不正アクセスをリアルタイム検知・遮断する仕組みを導入すること。" } ] }, { "id": "scs-5-1-1-2", "title": "5-1-1-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・ネットワーク機器のログ及びアラートを分析し、セキュリティ担当部署の担当者又は管理者により不審な事象が発見された場合に、それがセキュリティインシデントに該当するかが判断されること。" } ] }, { "id": "scs-5-1-1-3", "title": "5-1-1-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・No.5-1-1-1で設置したネットワーク機器又はサービスについて、以下の要件を満たす異常時に通知する仕組みを導入すること。\n-アラートが速やかに発報されること。\n-インシデントの速報レポートが作成され、通知されること。" } ] } ] }, { "id": "scs-5-1-2", "title": "情報機器及びソフトウェアの状態及び挙動を監視すること。", "controls": [ { "id": "scs-5-1-2-1", "title": "5-1-2-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・会社支給のパソコンを対象に、社内で利用を許可するソフトウェアの一覧を作成すること。" } ] }, { "id": "scs-5-1-2-2", "title": "5-1-2-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度で会社支給のパソコンにおけるソフトウェアのインストール状況について点検すること。" } ] }, { "id": "scs-5-1-2-3", "title": "5-1-2-3", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・外部から受け取ったファイルについて安全性を確認するため、マルウェア対策ソフトのリアルタイムスキャンを実行する、又は仮想環境上で安全性を確認する仕組みを整備する。" } ] } ] } ] }, { "id": "scs-5-2", "title": "有害事象の分析", "controls": [ { "id": "scs-5-2-1", "title": "セキュリティインシデントのレベル及びレベルごとの対象範囲を明確にすること。", "controls": [ { "id": "scs-5-2-1-1", "title": "5-2-1-1", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・自社におけるセキュリティインシデントのレベル及びレベルごとの対象範囲を定め、役員、従業員、派遣社員及び受入出向者に周知すること。" } ] }, { "id": "scs-5-2-1-2", "title": "5-2-1-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・No.4-4-3-3において不審な認証試行を検知した場合又はNo.5-1-1-1で導入されるネットワーク機器若しくはサービスからのアラートを受け取った場合は、No.5-2-1-1で定めたレベル及び対象範囲に基づき、どのレベルのインシデントに該当するかを分析し、判断すること。" } ] } ] } ] } ] }, { "id": "scs-6", "title": "インシデントへの対応", "groups": [ { "id": "scs-6-1", "title": "インシデント管理", "controls": [ { "id": "scs-6-1-1", "title": "セキュリティインシデントへの対応手順、対応体制等を定めること。", "controls": [ { "id": "scs-6-1-1-1", "title": "6-1-1-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・以下の手順を含んだセキュリティインシデントへの対応手順を定めること。\n①発見報告、 ②初動、③調査・対応、④復旧、⑤最終報告\n" } ] }, { "id": "scs-6-1-1-2", "title": "6-1-1-2", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・セキュリティインシデント発生時における社内外組織(関係当局及び所管省庁を含む。)の連絡先及び報告・情報共有ルートを定めること。" } ] }, { "id": "scs-6-1-1-3", "title": "6-1-1-3", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・セキュリティインシデント発生時におけるセキュリティを統括する役員(例えば、CISOを設置する会社の場合は、当該CISO)及びセキュリティ担当部署の役割・責任を定めること。" } ] }, { "id": "scs-6-1-1-4", "title": "6-1-1-4", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・年1回以上の頻度でNo.6-1-1-2及びNo.6-1-1-3にて定めたセキュリティインシデント発生時の体制について点検すること。" } ] }, { "id": "scs-6-1-1-5", "title": "6-1-1-5", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・セキュリティインシデントの報告フォーマットを整備すること。" } ] }, { "id": "scs-6-1-1-6", "title": "6-1-1-6", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・年１回以上及び社内外で重大なセキュリティインシデントが発生した際に、インシデント事例及びその対応策を社内部署へ共有していること。" } ] } ] } ] } ] }, { "id": "scs-7", "title": "インシデントからの復旧", "groups": [ { "id": "scs-7-1", "title": "インシデント復旧計画の実行", "controls": [ { "id": "scs-7-1-1", "title": "事業上重要なシステムについて、事業継続の要件に沿う復旧に必要な準備を行うこと。", "controls": [ { "id": "scs-7-1-1-1", "title": "7-1-1-1", "props": [ { "name": "level", "value": "★3" } ], "parts": [ { "name": "statement", "prose": "・事業継続上重要なシステムについて、サイバー攻撃を念頭に、業務の目標復旧レベルを定めたうえで、当該レベルまで業務を回復するために必要な対策を、以下の例を参考として整備すること。\n[復旧のための対策(例)]\n- システムによる業務継続(例:予備機、クラウド環境等により待機系を整備する。)\n- 人手による業務継続(例:電話、FAX等による連絡又は業務の実施に備え、影響のある取引先の連絡先及び複数の連絡手段を整備する。)" } ] }, { "id": "scs-7-1-1-2", "title": "7-1-1-2", "props": [ { "name": "level", "value": "★4" } ], "parts": [ { "name": "statement", "prose": "・事業継続上重要なシステムについて、サイバー攻撃を念頭に、以下の対策を構じること。\n- 目標復旧時点への復旧ができるようにNo.4-3-4-1及びNo.4-3-4-2で取得したバックアップを保管すること。\n- No.4-3-4-3で定めたリストア手順書どおりに、かつ、目標復旧時間内でバックアップの復元ができることを確認すること。" } ] } ] } ] } ] } ] } }