物理的及び環境的セキュリティ(A9)

2010-03-15T08:03:33Z

192.168.200.203:

教育資料06の物理的及び環境的セキュリティ(A9)です。 
←[[人的資源のセキュリティ(A8)]]｜[[ISMS教育資料]]｜[[通信及び運用管理(A10)]]→

<div id="manual">
=='''セキュリティを保つべき領域[A9.1]'''==
【目的】 
組織の施設及び情報に対する認可されていない物理的アクセス、損傷及び妨害を防止するため。

<div class="example">
===物理的セキュリティ境界[A9.1.1]===
【管理策】 
情報及び情報処理施設のある領域を保護するために、物理的セキュリティ境界(例えば、壁、カード制御による入口、有人の受付)を用いなければならない。 
【解説】 
'''1）対象施設と設備の検討''' 
ISMSの適用範囲において、'''情報セキュリティの対象とする情報処理施設と設備を検討し、明確にする'''。 

*'''・具体的には：''' 
リスクを評価したうえで情報セキュリティの重要性を評価し、セキュリティ領域の設定方法やその保護レベルなどを決める必要がある。なぜならば、すべての情報処理施設と設備について厳重すぎる情報セキュリティ対策は、費用対効果の観点からみて、問題があるからである。 

*'''・重要な情報処理施設や設備は：''' 
サーバー室やルーター、電源設置などの設備がある。一般の情報処理機器には、個人が使用するＰＣ端末やプリンターなどが考えられる。しかし、一般の情報機器（携帯電話など）であっても、情報や情報処理の重要性によって、セキュリティ領域を決定し、管理することが必要な場合もある。 

'''2）セキュリティ領域の設置''' 
情報処理施設と設備は、物理的セキュリティ境界を設けて独立した領域（セキュリティ領域）に設置し、権限のない者がアクセスできないようにする。

<div class="example">
'''当社では「施設／設備管理規定」、「フロア図」で定めている。''' 
*・社内をエリア管理レベルA～Cに区分し、エリア内の管理レベルが維持されるように物理的または環境的に隔離している。 
（高度なセキュリティレベルが必要なサーバー室や総務室などは、第三者による悪戯、破壊などの被害を受けないように領域を独立させた二重三重のセキュリティ領域を設け、施錠および入退管理を行っている。）
</div>
</div>

<div class="example">
===物理的入退管理策[A9.1.2]===
【管理策】 
セキュリティを保つべき領域は、認可された者だけにアクセスを許すことを確実にするために、適切な入退管理策によって保護しなければならない。 
【解説】 
'''セキュリティ領域に関する規定などの整備''' 
セキュリティ領域の情報セキュリティレベルを維持していくためには、セキュリティ領域に関するガイドラインを定める必要がある。 

'''●ガイドラインに盛り込む事項'''
*・セキュリティ領域の管理体制（責任者、担当者など）
*・セキュリティ領域の入退管理（入場許可、入退管理の方法、警備など）
*・セキュリティ領域内における作業手順（作業管理、立ち会いなど）
*・セキュリティ領域の地震対策
*・セキュリティ領域の火災対策
*・セキュリティ領域の監視（検知設備、監視設備、巡回警備など）
*・その他（外部委託管理（清掃、警備等）など）

<div class="example">
'''当社では「施設／設備管理規定」で定めている。''' 
*・エリア内への入退館管理は、社員証、個別入館証、施設入退室管理表の記入によるビジターバッジ発行により行う。
</div>
</div>

<div class="example">
===一般の人の立寄り場所及び受渡場所[A9.1.6]===
【管理策】 
一般の人が立ち寄る場所(例えば、荷物などの受渡場所)、及び敷地内の、認可されていない者が立ち入ることもある場所は、管理しなければならない。また、可能な場合には、認可されていないアクセスを避けるために、それらの場所を情報処理施設から離さなければならない。 
【解説】 
'''物品などの受渡場所など''' 
情報セキュリティ対策の基本的な考え方は、保護すべき重要な領域と、一般的な管理で十分な領域を分離することである。異なる情報セキュリティレベルのものが同一の領域に存在する場合には、適正な情報セキュリティが適用されず、リスクが増大する可能性やコストが嵩む場合があるからである。 

<div class="example">
'''当社では「施設／設備管理規定」で定めている。''' 
*・物品の受け入れ等による一般の人の立ち入りは管理レベルA3エリアで行う。
作業や設置によりA3以上のエリアに立ち入る必要がある場合は、社員が立ち会うこととする。
</div>
</div>

<div id="manual">
=='''装置のセキュリティ[A9.2]'''==
【目的】 
資産の損失、損傷、盗難又は劣化、及び組織の活動に対する妨害を防止するため。

<div class="example">
===構外にある装置のセキュリティ[A9.2.5]===
【管理策】 
構外にある装置に対しては、構外での作業に伴った、構内での作業とは異なるリスクを考慮に入れて、セキュリティを適用しなければならない。 
【解説】 
'''外部での装置の利用''' 
モバイルコンピュータや携帯電話を利用している場合には、モバイルコンピュータの持ち出しおよび持ち込み手順の策定、パスワードやＩＣカードなどによる利用者の制限、機器の保管管理、モバイルコンピュータ内およびデータ通信の暗号化などの管理策を講じる。モバイルコンピュータや携帯電話については、電話番号や住所などの個人情報が登録されているのでキーロックによる対策を講じることが望ましい。 
いずれにしても情報機器の放置、紛失、盗難などが発生しないように、利用者一人一人の情報セキュリティ意識を向上させるための教育を強化することも重要な管理策のひとつである。

<div class="example">
'''当社では「施設／設備管理規定」で定めている。''' 
*・情報処理装置（PC、HD等）を持ち出す場合は、情報処理装置持ち出し申請書による許可が必要である。
*・お客様や業者さんの番号登録がされている場合には、個人携帯電話であっても、キーロック対策を義務づけている。
</div>
</div>

<div class="example">
===装置の安全な処分又は再利用[A9.2.6]===
【管理策】 
記憶媒体を内蔵した装置は、処分する前に、取扱いに慎重を要するデータ及びライセンス供与されたソフトウェアを消去していること、又は問題が起きないように上書きしていることを確実にするために、すべてを点検しなければならない。 
【解説】 
'''情報の消去''' 
サーバーやPC端末などの装置は、老朽化などによって取り替えられる。また、装置をリースで調達している場合には、リース契約期間終了後に当該装置を返却し、場合によっては他者が使用することもある。装置を処分または再利用する場合には、当該装置に格納（保存）されている情報を消去し、第三者に情報が流出・漏洩しないような管理策を講じなければならない。例えば、専用のソフトウェアで電磁的に処理したり、ハードディスク装置自体を物理的に破壊したりする方法がある。ハードディスクをフォーマットする方法では、リカバリー用のソフトウェアを使用すれば当該データが見読されてしまうので注意が必要である。また、装置の処分を第三者に委託する場合には、処分作業への立ち会い、契約の締結（守秘義務、損害賠償、立入検査権などを盛り込む）など、処分を確実に実施させるための管理策が大切である。

<div class="example">
'''当社では「施設／設備管理規定」で定めている。''' 
*・情報処理装置を再利用または処分する場合は、情報を読み出すことができないように完全に消去する。
</div>
</div>

</div>

人的資源のセキュリティ(A8)

2010-03-15T05:50:05Z

192.168.200.203:

教育資料05の人的資源のセキュリティ(A8)です。 
←[[資産の管理(A7)]]｜[[ISMS教育資料]]｜[[物理的及び環境的セキュリティ(A9)]]→

<div id="manual">
=='''雇用前[A8.1]'''==
【目的】 
従業員、契約相手及び第三者の利用者がその責任を理解し、求められている役割にふさわしいことを確実にするとともに、盗難、不正行為、又は施設の不正使用のリスクを低減するため。

<div class="example">
===役割及び責任[A8.1.1]===
【管理策】 
従業員、契約相手及び第三者の利用者のセキュリティの役割及び責任は、組織の情報セキュリティ基本方針に従って定め、文書化しなければならない。 
【解説】 
情報セキュリティに関する組織体制や職務内容などについて、その役割・責任を明確にするため、職務定義を文書化する必要がある。職務定義書には業務取扱マニュアル、業務分掌を示した書類、業務分担表などさまざまな形の文書があり、その取扱いは組織によって異なる。どれが1SO27001の職務定義の文書化に該当するか明確に説明できる必要
がある。 

<div class="example">
'''当社では役割及び責任を「情報セキュリティマニュアル」「組織管理規定」「要員管理規定」「スキル要員対応表」「職務権限一覧表」で定めている。''' 
</div>
</div>

<div class="example">
===雇用条件[A8.1.3]===
【管理策】 
雇用条件従業員,契約相手及び第三者の利用者は、契約上の義務の一部として、情報セキュリティに関する、これらの者の責任及び組織の責任を記載した雇用契約書に同意し、署名しなければならない。 
【解説】 
人員の採用にあたっては、情報セキュリティに関する役割と責任を明確にするために、雇用契約書や機密保持誓約書に署名する方法が考えられる。 

<div class="example">
'''当社では「要員管理規定」で定めている。''' 
*・情報セキュリティに関わる諸規程を遵守することを記載した機密保持誓約書を、雇用時に提出している。
</div>
</div>

<div id="manual">
=='''雇用期間中[A8.2]'''==
【目的】 
従業員、契約相手及び第三者の利用者の、情報セキュリティの脅威及び諸問題、並びに責任及び義務に対する認識を確実なものとし、通常の業務の中で組織の情報セキュリティ基本方針を維持し、人による誤りのリスクを低減できるようにすることを確実にするため。

<div class="example">
===情報セキュリティの意識向上、教育及び訓練[A8.2.2]===
【管理策】 
組織のすべての従業員、並びに、関係するならば、契約相手及び第三者の利用者は、職務に関連する組織の方針及び手順についての適切な意識向上のための教育・訓練を受けなければならず、また、定めに従ってそれを更新しなければならない。 
【解説】 
ISMSを適切に維持・運用するためには、情報資産の取扱者一人ひとりの情報セキュリティレベルを維持向上する必要がある。情報セキュリティの教育・訓練は業務教育や人事異動、昇進・昇格した時などさまざまな機会を利用して定期的に実施し、経営陣を含めISMSの対象となる人員すべてに対して実施しなければならない。 

<div class="example">
'''当社では毎月のリーダー会議でリーダーは事務局から教育内容の説明を受け、自部門全従業員に教育を実施している。''' 
</div>
</div>

<div class="example">
===懲戒手続[A8.2.3]===
【管理策】 
セキュリティ違反を犯した従業員に対する正式な懲戒手続を備えなければならない。 
【解説】 
情報セキュリティ違反が懲戒の対象になることを、情報セキュリティ基本方針や規定の中に明記し、従業員に周知する必要がある。

<div class="example">
'''当社では「要員管理規定」で定めている。''' 
*・「情報セキュリティ基本方針」で、情報セキュリティに関わる社内規定に違反した場合には、「就業規則」に定める罰則規定を適用することを明記している。「就業規則」では罰則・懲戒の具体的な内容を記載している。
</div>
</div>

<div id="manual">
=='''雇用の終了又は変更[A8.3]'''==
【目的】 
従業員、契約相手及び第三者の利用者の組織からの離脱又は雇用の変更を所定の方法で行うことを確実にするため。

<div class="example">
===資産の返却[A8.3.2]===
【管理策】 
すべての従業員、契約相手及び第三者の利用者は、雇用、契約又は合意の終了時に、自らが所持する組織の資産すべてを返却しなければならない。 
【解説】 
従業員の退職や解雇、契約社員の契約の完了など雇用が終了した場合には、会社のすべての資産（日常利用している什器備品などと一緒に情報資産も）を確実に返却させなければならない。 

<div class="example">
'''当社では「要員管理規定」で定めている。''' 
・退職時・契約終了時は「退職時資産返却確認書」で返却物を確認し記名・捺印の上提出する。
</div>
</div>

<div class="example">
===アクセス権の削除[A8.3.3]===
【管理策】 
すべての従業員、契約相手及び第三者の利用者の情報及び情報処理施設に対するアクセス権は、雇用、契約又は合意の終了時に削除しなければならず、また、変更に合わせて修正しなければならない。 
【解説】 
情報資産を利用するためのアクセス権は、雇用の終了や雇用形態の変更、担当業務変更などによって業務上必要でなくなった時には、即座に削除しなければならない。

<div class="example">
'''当社では「要員管理規定」で定めている。''' 
*・退職・契約終了対象者の、情報及び情報施設に対する全てのアクセス権の削除又は変更を行う。
</div>
</div>

</div>

資産の管理(A7)

2010-03-15T05:22:42Z

192.168.200.203:

教育資料04の資産の管理(A7)です。 
←[[情報セキュリティのための組織(A6)]]｜[[ISMS教育資料]]｜[[人的資源のセキュリティ(A8)]]→

<div id="manual">
=='''資産に対する責任[A7.1]'''==
【目的】 
組織の資産を適切に保護し、維持するため。

<div class="example">
===資産目録[A7.1.1]===
【管理策】 
すべての資産は、明確に識別しなければならない。また、重要な資産すべての目録を、作成し、維持しなければならない。 
【解説】 
情報セキュリティ（機密性・完全性・可用性の3つの要素）を確立するためには、
「何を保護するのかを明確にする！」ことが必須である。 
なぜならば、保護する対象を適切に把握できていなければ、必要な管理策が漏れてしまったり、不十分になったりするからである。保護すべき対象を明確にするためには、「資産（情報資産）の目録（一覧表）」を作成する必要がある。 

<div class="example">
'''当社では「情報資産管理規定」で定めている。''' 
*・情報資産一覧表を作成、年に一度（2月）の見直しを行い、維持している。
</div>
</div>

<div class="example">
===資産の管理責任者[A7.1.2]===
【管理策】 
情報及び情報処理施設と関連する資産のすべてについて、組織の中に、その管理責任者を指定しなければならない。 
【解説】 
情報セキュリティの確立は手間がかかり、対象とする範囲も広いことから、「その情報資産を誰が管理するのか？といった管理責任を明確」にしておかなければ、管理策を構築し、それを実施していくことは難しい。管理部署・管理者などが明確でなく、その責任も不明確な場合には、資産の管理・重要性の決定・情報セキュリティ対策の実施が適切に行われず、情報の紛失が発生しても認識されないといった、いわゆるセキュリティホール（情報セキュリティ上の欠陥）が生じる可能性がある。 
 
↓なので・・・ 
 
作成した資産目録に、管理責任者（＊）が複数存在する場合には、主たる管理責任者を決定する。 
（＊）ここでいう管理責任者とは、情報資産（情報や情報処理施設などの財産権を所有している者でなく、資産の生産・開発・利用・情報セキュリティなどの管理に関する管理責任をもつ者である点に注意。）

<div class="example">
'''当社では「情報資産管理規定」で定めている。''' 
*・情報資産一覧表で責任者を明確に定めている。また、個々の資産管理においても、責任者印を押印した保護ラベルを貼付することにより、明確にしている。
</div>
</div>

<div id="manual">
=='''情報の分類[A7.2]'''==
【目的】 
情報の適切なレベルでの保護を確実にするため。

<div class="example">
===分類の指針[A7.2.1]===
【管理策】 
情報は、組織に対しての価値、法的要求事項、取扱いに慎重を要する度合い及び重要性の観点から、分類しなければならない。 
【解説】 
＜情報の分類指針＞ 
情報セキュリティでは、保護対象の事業活動における影響度（重要性）に応じた対策を講じる必要がある。 
重要性を考慮しないで情報セキュリティ対策を講じると、過大もしくは脆弱（ぜいじゃく）な情報セキュリティ対策を行うことになり、情報セキュリティの費用対効果の視点から問題が生じる。そこで、重要性の評価を行いやすくするために、「情報を適切に分類できる指針、つまり＜情報の分類基準を明確にする＞ことが必要」になる。 
「重要性については、機密性の視点だけを重視せず、可用性および完全性の視点を含めて分類基準を策定する」ことが大切である。 

＜分類手順の作成＞ 
「情報資産の影響度を評価し分類するためには、分類手順を作成する必要」がある。 
分類手順が作成されていないと評価者によって影響度の大小に著しい差が生じてしまい、
情報セキュリティ対策のための資産（設備投資・経費・人的資源など）を適切に配分できなくなる恐れがある。また、この結果、適正なレベルでの情報セキュリティ対策を講じることができずに、情報セキュリティ上の脆弱性が、そのままにされてしまう恐れもある点に注意することも大切である。 

<div class="example">
'''当社では「情報資産管理規定」で定めている。''' 
*・「ラべリング対応手順書」で分類および判断できない新規案件については、「脅威脆弱性評価基準表」からリスク値を算出、「資産価値評価基準表」から機密性・完全性・可用性を評価。それらを考慮した上で、事務局にて保護レベルを導き出している。
</div>
</div>

<div class="example">
===情報のラベル付け及び取扱い[A7.2.2]===
【管理策】 
情報に対するラベル付け及び取扱いに関する適切な一連の手順は、組織が採用した分類体系に従って策定し、実施しなければならない。 
【解説】 
ラベル付けとは：資産の分類指針に従って情報資産に重要性を示すランクを付けることである。

<div class="example">
'''当社では「情報資産管理規定」「情報ラベル貼付手順書」で定めている。''' 
*・情報保護ラベル（シール）の具体的な貼付方法、運用手順を定めている。
</div>
</div>

</div>

情報セキュリティのための組織(A6)

2010-03-15T02:36:11Z

192.168.200.203:

教育資料03の情報セキュリティのための組織(A6)です。 
[[ISMS教育資料]]｜[[資産の管理(A7)]]→

<div id="manual">
=='''内部組織[A6.1]'''==
【目的】 
組織内の情報セキュリティを管理するため。

<div class="example">
===情報セキュリティ責任の割当て[A6.1.3]===
【管理策】 
すべての情報セキュリティ責任を、明確に定めなければならない。 
【解説】 
情報資産の保護責任や、ISMS運用の実施責任は誰にあるのかを明確にするため、責任部門や責任者を具体的に明示する必要がある。 

<div class="example">
'''当社ではISMS実施責任を「組織管理規定」「要員管理規定」「職務権限管理規定」で、情報資産の保護責任は「情報資産管理規定」で定めている。''' 
*・ISMS事務局・ISMSリーダーが中心にISMSを運用実施している。また、個々の情報資産については保護ラベルで取扱責任者を明示している。
</div>
</div>

<div class="example">
===情報処理設備の認可プロセス[A6.1.4]===
【管理策】 
新しい情報処理設備に対する経営陣による認可プロセスを定め、実施しなければならない。 
【解説】 
情報処理にかかわる設備・施設の導入については、情報セキュリティに及ぼす影響が大きいことから、導入に関する経営陣の承認プロセスを定める必要がある。
<div class="example">
'''当社では「施設・設備管理規定」で定めている。''' 
*・ISMS事務局にて調整・検討を行い、ISMS委員会（社長・役員も所属）にて承認を得る。
</div>
</div>

<div class="example">
===秘密保持契約 [A6.1.5]===
【管理策】 
情報保護に対する組織の必要を反映する秘密保持契約又は守秘義務契約のための要求事項は、特定し、定めに従ってレビューしなければならない。 
【解説】 
会社と従業員との間で交わす秘密保持契約には、秘密情報を保護するための要求事項を取り上げる。 
秘密保持契約に関する要求事項は、定期的に、及びこれら要求に影響する変化が発生した場合にレビューしなければならない。
<div class="example">
'''当社では「要員管理規定」で定めている。''' 
*・社員は「機密保持誓約書」の提出、派遣社員は「機密保持契約書」の締結を行う。
*・内容についてはISMS管理責任者がレビューする。
</div>
</div>

<div class="example">
===情報セキュリティの独立したレビュー[A6.1.8]===
【管理策】 
情報セキュリティ及びその実施のマネジメントに対する組織の取組み(例えば、情報セキュリティのための管理目的、管理策、方針、プロセス、手順)について、あらかじめ計画した間隔で、又はセキュリティの実施に重大な変化が生じた場合に、独立したレビューを実施しなければならない。 
【解説】 
ISMSを構築したら、その内容とそれが確実に実施されているかどうかをレビューしなければならない。レビューは日常業務の枠から独立した形で、定期的又は業務や情報施設、ISMSに大きな変更があった場合に行う。
<div class="example">
'''当社では「セキュリティマニュアル」で定めている。''' 
*・マネジメントレビュー、内部監査にてレビューを行っている。
</div>
</div>

<div id="manual">
=='''外部組織[A6.2]'''==
【目的】 
外部組織によってアクセス、処理、通信、又は管理される組織の情報及び情報処理施設のセキュリティを維持するため。

<div class="example">
===外部組織に関係したリスクの識別[A6.2.1]===
【管理策】 
外部組織がかかわる業務プロセスからの、組織の情報及び情報処理施設に対するリスクを識別しなければならない。また、外部組織にアクセスを許可する前に適切な管理策を実施しなければならない。 
【解説】 
第三者が情報処理施設及び設備へのアクセスすることの必要性、アクセスを許可した場合に生じるリスクなどについて評価し、その結果をふまえて必要な管理策を講じる。 

<div class="example">
'''当社では「施設・設備管理規定」で定めている。''' 
*・管理レベルにより、社内エリアを区分し、入退管理を実施する。
*・身分証による識別／施設入退室管理表によるビジターバッジ・入館証発行／昼休み・18時～9時の施錠／受渡場所の設定／作業時の社員立会など
</div>
</div>

<div class="example">
===第三者との契約におけるセキュリティ[A6.2.3]===
【管理策】 
組織の情報若しくは情報処理施設が関係するアクセス・処理・通信・管理にかかわる第三者との契約、又は情報処理施設に製品・サービスを追加する第三者との契約は、関連するすべてのセキュリティ要求事項を取り上げなければならない。 
【解説】 
情報処理や社内の情報処理設備の管理を外部委託する場合は、その委託先と外部委託に関係する要求事項(責任範囲・守秘義務・損害賠償・注意義務など)について明確に定めた契約を締結する。 

<div class="example">
'''当社では「外部組織管理規定」「外部委託管理規定」で定めている。''' 
*・外部委託先起業とは機密保持契約を締結している。
</div>
</div>
</div>

2008-09-24T01:52:41Z

192.168.200.203:

スズキエミコ：e_suzuki@kohga.co.jp 
社員：デザイナー 
入社日：2007年5月7日 
誕生日：1972年5月2日、O型 
出身地：愛知県岡崎市 
趣味：音楽鑑賞、ギター、ヨガ、写真、ラーメンズ 
一言：今半の肉以外はマズくて食べれません。←肉ニガテです。でも高級肉は平気かも…！？