「ISMSケーススタディ」の版間の差分
編集の要約なし |
編集の要約なし |
||
| 13行目: | 13行目: | ||
【関連規定】<br> | 【関連規定】<br> | ||
・組織管理規定 | ・組織管理規定<br> | ||
・要員管理規定 | ・要員管理規定 | ||
| 20行目: | 20行目: | ||
【問題点】<br> | 【問題点】<br> | ||
・机の上に置きっぱなし | ・机の上に置きっぱなし<br> | ||
・盗み見等の情報漏えいにつながる可能性あり | ・盗み見等の情報漏えいにつながる可能性あり | ||
| 27行目: | 27行目: | ||
【関連規定】<br> | 【関連規定】<br> | ||
・施設・設備管理規定 | ・施設・設備管理規定<br> | ||
・システム運用管理規定 | ・システム運用管理規定 | ||
| 81行目: | 81行目: | ||
【問題点】<br> | 【問題点】<br> | ||
・メール送付先を間違える可能性あり | ・メール送付先を間違える可能性あり<br> | ||
・盗聴の恐れ（漏洩） | ・盗聴の恐れ（漏洩） | ||
| 94行目: | 94行目: | ||
【問題点】<br> | 【問題点】<br> | ||
・パソコンから情報漏えいの可能性あり | ・パソコンから情報漏えいの可能性あり<br> | ||
・情報が紛失する可能性がある | ・情報が紛失する可能性がある | ||
【対応方法】<br> | 【対応方法】<br> | ||
・業者に対して情報漏えいに対する対策実施を教育 | ・業者に対して情報漏えいに対する対策実施を教育<br> | ||
・機密保持契約 | ・機密保持契約 | ||
【関連規定】<br> | 【関連規定】<br> | ||
・システム運用管理規定 | ・システム運用管理規定<br> | ||
・外部委託管理規定 | ・外部委託管理規定 | ||
| 110行目: | 110行目: | ||
【問題点】<br> | 【問題点】<br> | ||
・万が一盗難等にあった場合、プレゼン用以外の情報漏えいにつながる可能性あり | ・万が一盗難等にあった場合、プレゼン用以外の情報漏えいにつながる可能性あり<br> | ||
・重要なデータがある場合がある | ・重要なデータがある場合がある | ||
【対応方法】<br> | 【対応方法】<br> | ||
・データの暗号化等ルール検討し徹底 | ・データの暗号化等ルール検討し徹底<br> | ||
・持ち出しルールを策定する | ・持ち出しルールを策定する<br> | ||
・基本的には持ち出ししない | ・基本的には持ち出ししない | ||
【関連規定】<br> | 【関連規定】<br> | ||
・情報資産管理規定 | ・情報資産管理規定<br> | ||
・施設・設備管理規定 | ・施設・設備管理規定 | ||
| 150行目: | 150行目: | ||
【問題点】<br> | 【問題点】<br> | ||
・不正アクセスに対する管理が不十分 | ・不正アクセスに対する管理が不十分<br> | ||
・バックアップの対象になっていない | ・バックアップの対象になっていない | ||
【対応方法】<br> | 【対応方法】<br> | ||
・適切なアクセス制限を設ける | ・適切なアクセス制限を設ける<br> | ||
・データの紛失などが起きても復旧できるようバックアップを行う | ・データの紛失などが起きても復旧できるようバックアップを行う | ||
【関連規定】<br> | 【関連規定】<br> | ||
・アクセス制御管理規定 | ・アクセス制御管理規定<br> | ||
・システム運用管理規定 | ・システム運用管理規定 | ||
| 180行目: | 180行目: | ||
【対応方法】<br> | 【対応方法】<br> | ||
・不要な個人情報は廃棄するようルール化 | ・不要な個人情報は廃棄するようルール化<br> | ||
・パスワードを掛ける | ・パスワードを掛ける | ||
【関連規定】<br> | 【関連規定】<br> | ||
・個人情報管理規定 | ・個人情報管理規定<br> | ||
・情報資産管理規定 | ・情報資産管理規定 | ||
| 191行目: | 191行目: | ||
【問題点】<br> | 【問題点】<br> | ||
・著作権法違反の恐れがある | ・著作権法違反の恐れがある<br> | ||
・使用権があるかないかも確認する | ・使用権があるかないかも確認する | ||
| 246行目: | 246行目: | ||
【関連規定】<br> | 【関連規定】<br> | ||
・施設・設備管理規定 | ・施設・設備管理規定<br> | ||
・システム運用管理規定 | ・システム運用管理規定 | ||
| 281行目: | 281行目: | ||
【関連規定】<br> | 【関連規定】<br> | ||
・施設・設備管理規定 | ・施設・設備管理規定<br> | ||
・外部委託管理規定 | ・外部委託管理規定 | ||
| 327行目: | 327行目: | ||
【対応方法】<br> | 【対応方法】<br> | ||
・媒体保管の容量などをあらかじめ予測する。 | ・媒体保管の容量などをあらかじめ予測する。<br> | ||
・施設エリアごとの保管ルールを明確化する。 | ・施設エリアごとの保管ルールを明確化する。 | ||
【関連規定】<br> | 【関連規定】<br> | ||
・施設・設備管理規定 | ・施設・設備管理規定<br> | ||
・システム運用管理規定 | ・システム運用管理規定 | ||
| 420行目: | 420行目: | ||
【問題点】<br> | 【問題点】<br> | ||
・他人に自分の権限でサーバを利用される恐れがある。 | ・他人に自分の権限でサーバを利用される恐れがある。<br> | ||
・事故発生時に責任を追及される可能性がある。 | ・事故発生時に責任を追及される可能性がある。 | ||
| 439行目: | 439行目: | ||
【関連規定】<br> | 【関連規定】<br> | ||
・情報資産管理規定 | ・情報資産管理規定<br> | ||
・システム運用管理規定 | ・システム運用管理規定 | ||
</div> | </div> | ||
2009年2月2日 (月) 14:10時点における版
ISMSの具体的な事例です。
【問題点】
・ISMSに関する教育がなされておらず、問題を起こす可能性がある。
【対応方法】
・配属前教育の実施
【関連規定】
・組織管理規定
・要員管理規定
【問題点】
・机の上に置きっぱなし
・盗み見等の情報漏えいにつながる可能性あり
【対応方法】
・来客者の入退出時のルールの徹底
【関連規定】
・施設・設備管理規定
・システム運用管理規定
【問題点】
・機密事項等に関する契約がなされていない可能性あり
【対応方法】
・左記契約を結ぶ
【関連規定】
・外部委託管理規定
その後、客先へ出向く用事ができたため、出かけたが、ファイルは机の上に置いたままであった。
【問題点】
・紛失、または共通ファイルであれば他の人が使えない可能性あり
【対応方法】
・情報利用ルールの徹底
【関連規定】
・情報資産管理規定
【問題点】
・覗き見による情報漏えいの可能性あり
【対応方法】
・スクリーンセーバー使用ルールの徹底
【関連規定】
・システム運用管理規定
【問題点】
・ウィルスに犯された可能性あり
【対応方法】
・外部記憶媒体使用ルールの徹底
【関連規定】
・システム運用管理規定
【問題点】
・メール送付先を間違える可能性あり
・盗聴の恐れ（漏洩）
【対応方法】
・メール送信手順の確認
【関連規定】
・システム運用管理規定
【問題点】
・パソコンから情報漏えいの可能性あり
・情報が紛失する可能性がある
【対応方法】
・業者に対して情報漏えいに対する対策実施を教育
・機密保持契約
【関連規定】
・システム運用管理規定
・外部委託管理規定
【問題点】
・万が一盗難等にあった場合、プレゼン用以外の情報漏えいにつながる可能性あり
・重要なデータがある場合がある
【対応方法】
・データの暗号化等ルール検討し徹底
・持ち出しルールを策定する
・基本的には持ち出ししない
【関連規定】
・情報資産管理規定
・施設・設備管理規定
【問題点】
・第三者に漏洩する危険性がある（他のマシン等で読み込み可能となる場合あり）
【対応方法】
・メディア廃棄時のルール徹底（破壊か完全なる消去）
【関連規定】
・情報資産管理規定
【問題点】
・パスワード漏洩の可能性が増加
【対応方法】
・サーバ側でログイン時強制的にパスワード変更するように設定
【関連規定】
・アクセス制御管理規定
【問題点】
・不正アクセスに対する管理が不十分
・バックアップの対象になっていない
【対応方法】
・適切なアクセス制限を設ける
・データの紛失などが起きても復旧できるようバックアップを行う
【関連規定】
・アクセス制御管理規定
・システム運用管理規定
【問題点】
・個人情報保護法違反
【対応方法】
・収集時に目的を明示
【関連規定】
・個人情報管理規定
【問題点】
・個人情報漏洩の可能性が増加
【対応方法】
・不要な個人情報は廃棄するようルール化
・パスワードを掛ける
【関連規定】
・個人情報管理規定
・情報資産管理規定
【問題点】
・著作権法違反の恐れがある
・使用権があるかないかも確認する
【対応方法】
・契約上のソフトウェアの取り扱いルールの明確化
【関連規定】
・外部委託管理規定
【問題点】
・媒体の盗難などにより情報が漏洩する危険がある。
【対応方法】
・媒体取り扱いルールの明確化
【関連規定】
・情報資産管理規定
【問題点】
・廃棄物の持ち去りなどにより情報が漏洩する危険がある。
【対応方法】
・廃棄手段のルール化
【関連規定】
・情報資産管理規定
【問題点】
・権限のない人間による媒体の閲覧・盗難などによる情報漏えいの危険性がある。
【対応方法】
・媒体保管ルールの明確化
【関連規定】
・情報資産管理規定
【問題点】
・パソコンの盗難などにより情報が漏洩する危険がある。
【対応方法】
・パソコンの持ち出し時のルールの明確化
【関連規定】
・施設・設備管理規定
・システム運用管理規定
【問題点】
・権限のない人間による媒体の閲覧などによる情報漏えいの危険性がある。
【対応方法】
・外部委託先契約時に機密保持契約の締結と社内エリア内権限の明確な提示を行う
【関連規定】
・外部委託管理規定
【問題点】
・担当者が急な欠勤などを行った場合、代行者が原稿を見ることができない。
【対応方法】
・鍵の共有ルールの明確化
【関連規定】
・情報資産管理規定
【問題点】
・権限のない人間による媒体の閲覧などによる情報漏えいの危険性がある。
【対応方法】
・外部委託先契約時に機密保持契約の締結と社内エリア内権限の明確な提示を行う
【関連規定】
・施設・設備管理規定
・外部委託管理規定
【問題点】
・権限のない人間による媒体の閲覧などによる情報漏えいの危険性がある。
【対応方法】
・外部委託先契約時に機密保持契約の締結と社内エリア内権限の明確な提示を行う
【関連規定】
・施設・設備管理規定
【問題点】
・権限のない人間による媒体の閲覧などによる情報漏えいの危険性がある。
【対応方法】
・外部委託先契約時に機密保持契約の締結と社内エリア内権限の明確な提示を行う
【関連規定】
・施設・設備管理規定
【問題点】
・権限のない人間による媒体の閲覧などによる情報漏えいの危険性がある。
【対応方法】
・外部委託先契約時に機密保持契約の締結と社内エリア内権限の明確な提示を行う
【関連規定】
・施設・設備管理規定
【問題点】
・本来鍵をかけて保管しなければならないものが人目にさらされ、権限のない人間による媒体の閲覧・盗難などによる情報漏えいの危険性がある。
【対応方法】
・媒体保管の容量などをあらかじめ予測する。
・施設エリアごとの保管ルールを明確化する。
【関連規定】
・施設・設備管理規定
・システム運用管理規定
【問題点】
・誤った情報を掲載した媒体を納品してしまう恐れがある
【対応方法】
・常に最新の版を共用サーバにおくとともに、利用ルールを明確に定める
【関連規定】
・システム開発管理規定
【問題点】
・顧客のマシンがウイルスなどに感染していた場合、メディアがウイルス感染する危険性があり、会社にウイルスを蔓延させる可能性がある。
【対応方法】
・データ移動用のメディアは必ず帰社後ウイルスチェックを行う。
【関連規定】
・システム運用管理規定
【問題点】
・本来すぐに処分しなければならない情報がメディアの紛失などにより、情報漏えいする危険性がある。
【対応方法】
・データ移動の用途が終わった後は速やかにデータを消去する。
【関連規定】
・システム運用管理規定
【問題点】
・最新版がどれかが判らなくなり事故が発生する可能性がある。
【対応方法】
・データのフォルダに日付をつけるなどルールを定める。
【関連規定】
・システム運用管理規定
【問題点】
・作業の遅延などによる金額および作業コストの損失の恐れがある。
【対応方法】
・データは直ぐに受け取った者が確実に削除する。
【関連規定】
・システム運用管理規定
【問題点】
・サーバ容量が不足し、必要なデータが保管できなくなる恐れがある。
【対応方法】
・誰のデータか明確にわかるようにファイル名を付ける。
【関連規定】
・システム運用管理規定
【問題点】
・自宅マシンがウイルスなどに感染していた場合、メディアがウイルス感染する危険性があり、会社にウイルスを蔓延させる可能性がある。
【対応方法】
・ウイルス被害の可能性などの知識を啓蒙する。
【関連規定】
・システム運用管理規定
【問題点】
・他人に自分の権限でサーバを利用される恐れがある。
・事故発生時に責任を追及される可能性がある。
【対応方法】
・離席する際は、サーバをアンマウントするかスクリーンをロックする。
【関連規定】
・システム運用管理規定
【問題点】
・大事故発生時にデータ受け取りなどの事実が証明されない為、会社の信頼が低下する。
【対応方法】
・データ授受のルールを守る。
【関連規定】
・情報資産管理規定
・システム運用管理規定