JIS Q 27002:2014 情報技術―セキュリティ技術―情報セキュリティ管理策の実践のための規範 | ページ 12

                                                                                             53
                                                              Q 27002 : 2014 (ISO/IEC 27002 : 2013)
からの入手を含む。)を通じてなされる場合がある。
  電子データの交換,電子商取引及び電子通信と関連する業務,法令及びセキュリティへの影響,並びに
管理策の要求事項を考慮することが望ましい。
13.2.2 情報転送に関する合意
管理策
  合意では,組織と外部関係者との間の業務情報のセキュリティを保った転送について,取り扱うことが
望ましい。
実施の手引
  情報転送に関する合意には,次の事項を取り込むことが望ましい。
a) 送信,発送及び受領についての管理及び通知を行う責任
b) 追跡可能性及び否認防止を確実にするための手順
c) こん(梱)包及び送信に関する必要最小限の技術標準
d) 預託条項
e) 運送業者を確認する規準
f)  情報セキュリティインシデントが発生した場合(例えば,データの紛失)の責任及び賠償義務
g) 取扱いに慎重を要する又は重要な情報に対する,合意されたラベル付けシステム(ラベルの意味を直
    ちに理解すること,及び情報を適切に保護することを確実にするもの)の使用(8.2参照)
h) 情報及びソフトウェアの記録及び読出しに関する技術標準
i)  取扱いに慎重を要するもの(例えば,暗号鍵)を保護するために必要とされる,特別な管理策(箇条
    10参照)
j)  転送中の情報についての,管理状況の履歴の維持
k) 容認できるアクセス制御のレベル
  転送中の情報及び物理的媒体を保護するための方針,手順及び標準類を確立及び維持し(8.3.3参照),
情報転送に関する合意においては,これらを参照することが望ましい。
  いかなる合意における情報セキュリティの事項も,関連する業務情報の取扱いに慎重を要する度合いを
反映することが望ましい。
関連情報
  合意は,電子的又は手動の場合,及び正式な契約書の形式をとる場合がある。秘密情報については,そ
の転送に用いる仕組みが,全ての組織及び全ての種類の合意において一貫していることが望ましい。
13.2.3 電子的メッセージ通信
管理策
  電子的メッセージ通信に含まれた情報は,適切に保護することが望ましい。
実施の手引
  電子的メッセージ通信のための情報セキュリティには,次の事項を考慮することが望ましい。
a) 組織が採用している分類体系に従った,認可されていないアクセス,改ざん又はサービス妨害からの
    メッセージの保護
b) 正しい送付先及びメッセージ送信の確実化
c) サービスの信頼性及び可用性
d) 法的考慮(例えば,電子署名のための要求事項)

――――― [JIS Q 27002 pdf 56] ―――――

54
Q 27002 : 2014 (ISO/IEC 27002 : 2013)
e) 誰でも使える外部サービス(例えば,インスタントメッセージ,ソーシャルネットワーク,ファイル
    共有)を利用する際の,事前承認の取得
f)  公開されているネットワークからのアクセスを制御する,より強固な認証レベル
関連情報
  様々な種類の電子的メッセージ通信(例えば,電子メール,電子データ交換,ソーシャルネットワーク)
があり,これらは業務上のコミュニケーションの役割を果たしている。
13.2.4 秘密保持契約又は守秘義務契約
管理策
  情報保護に対する組織の要件を反映する秘密保持契約又は守秘義務契約のための要求事項は,特定し,
定めに従ってレビューし,文書化することが望ましい。
実施の手引
  秘密保持契約又は守秘義務契約には,法的に強制できる表現を用いて,秘密情報を保護するための要求
事項を取り上げることが望ましい。秘密保持契約又は守秘義務契約は,外部関係者又は組織の従業員に適
用される。その契約の当事者の種類,並びに当事者に許可される秘密情報のアクセス及び取扱いを考慮し
て,契約の要素を選定又は追加することが望ましい。秘密保持契約又は守秘義務契約に対する要求事項を
特定するために,次の要素を考慮することが望ましい。
a) 保護される情報の定義(例えば,秘密情報)
b) 秘密を無期限に保持する場合も含めた,契約の有効期間
c) 契約終了時に要求する処置
d) 認可されていない情報開示を避けるための,署名者の責任及び行為
e) 情報,企業秘密及び知的財産の所有権,並びにこれらの秘密情報の保護との関連
f)  秘密情報の許可された利用範囲,及び情報を利用する署名者の権利
g) 秘密情報に関する行為の監査及び監視の権利
h) 認可されていない開示又は秘密情報漏えいの,通知及び報告のプロセス
i)  契約終了時における情報の返却又は破棄に関する条件
j)  契約違反が発生した場合にとるべき処置
  組織の情報セキュリティ要求事項によっては,秘密保持契約又は守秘義務契約に他の要素が必要となる
場合もある。
  秘密保持契約又は守秘義務契約は,その法域において適用される法令及び規制の全てに従うことが望ま
しい(18.1参照)。
  秘密保持契約又は守秘義務契約に関する要求事項は,定期的に及びこれら要求に影響する変化が発生し
た場合に,レビューすることが望ましい。
関連情報
  秘密保持契約及び守秘義務契約は,組織の情報を保護し,また,信頼に応じた及び認可された方法によ
る,情報の保護,利用及び開示に対する責任を署名者に知らせるものである。
  環境が異なれば,秘密保持契約又は守秘義務契約の異なる様式を用いることが組織において必要となる
場合がある。

――――― [JIS Q 27002 pdf 57] ―――――

                                                                                             55
                                                              Q 27002 : 2014 (ISO/IEC 27002 : 2013)

14 システムの取得,開発及び保守

14.1 情報システムのセキュリティ要求事項

目的 ライフサイクル全体にわたって,情報セキュリティが情報システムに欠くことのできない部分であ
ることを確実にするため。これには,公衆ネットワークを介してサービスを提供する情報システムのため
の要求事項も含む。
14.1.1 情報セキュリティ要求事項の分析及び仕様化
管理策
  情報セキュリティに関連する要求事項は,新しい情報システム又は既存の情報システムの改善に関する
要求事項に含めることが望ましい。
実施の手引
  情報セキュリティ要求事項は,方針及び規則に由来する順守の要求事項,脅威のモデリング,インシデ
ントのレビュー,又はぜい弱性の限界の使用のような,様々な方法を用いて特定することが望ましい。こ
のような特定作業の結果は,文書化し,全ての利害関係者によってレビューされることが望ましい。
  情報セキュリティ要求事項及び情報セキュリティ管理策には,関連する情報の業務上の価値(8.2参照),
及びセキュリティが不十分だった場合に業務に及ぶ可能性のある悪影響を反映させることが望ましい。
  情報セキュリティ要求事項及び関連するプロセスの特定及び管理は,情報システムプロジェクトにその
初期段階で統合することが望ましい。情報セキュリティ要求事項を早期に(例えば,設計段階で)考慮す
れば,より効果的で経済的な解決策を得ることができる。
  情報セキュリティ要求事項においては,次の事項も考慮することが望ましい。
a) 利用者認証の要求事項を導き出すために,利用者が提示する識別情報に対して求める信頼のレベル
b) 業務上の利用者のほか,特権を与えられた利用者及び技術をもつ利用者に対する,アクセスの提供及
    び認可のプロセス
c) 利用者及び運用担当者に対する,各自の義務及び責任の通知
d) 関連する資産の保護の要求。特に,可用性,機密性及び完全性に関する保護の要求。
e) トランザクションのログ取得及び監視,並びに否認防止の要求事項のような,業務プロセスに由来す
    る要求事項
f)  他のセキュリティ管理策によって義務付けられる要求事項。例えば,ログ取得及び監視のインターフ
    ェース,情報漏えい検知システム。
  公衆ネットワークを介してサービスを提供するアプリケーション,又はトランザクションを実施するア
プリケーションについては,14.1.2及び14.1.3の管理策を考慮することが望ましい。
  製品を入手する際には,正式な試験及び調達プロセスに従うことが望ましい。供給者との契約は,明確
にされたセキュリティ要求事項を規定することが望ましい。提案された製品のセキュリティの機能性が指
定された要求を満たさない場合は,発生するリスク及び関連する管理策を,製品を購入する前に再考する
ことが望ましい。
  当該システムにおいて稼働するソフトウェア及びサービスと整合する製品のセキュリティ構成に関して,
入手可能な手引を用いて,これを評価し,実施することが望ましい。
  製品を受け入れる基準は,例えば,特定したセキュリティ要求事項を満たすことの確証を与える機能の
観点で定めることが望ましい。製品は,入手する前にこうした基準に照らして評価することが望ましい。

――――― [JIS Q 27002 pdf 58] ―――――

56
Q 27002 : 2014 (ISO/IEC 27002 : 2013)
機能の追加によって,許容できない追加のリスクを取り込まないことを確実にするために,これをレビュ
ーすることが望ましい。
関連情報
  情報セキュリティ要求事項を満たすために必要な管理策を特定するための,リスクマネジメントプロセ
スの使用に関する手引が,JIS Q 31000[27]及びISO/IEC 27005[11]に示されている。
14.1.2 公衆ネットワーク上のアプリケーションサービスのセキュリティの考慮
管理策
  公衆ネットワークを経由するアプリケーションサービスに含まれる情報は,不正行為,契約紛争,並び
に認可されていない開示及び変更から保護することが望ましい。
実施の手引
  公衆ネットワークを経由するアプリケーションサービスに関する情報セキュリティには,次の事項を考
慮することが望ましい。
a) 各当事者が提示する自らの識別情報について,例えば,認証を用いて,それぞれが互いに要求し合う
    信頼のレベル
b) 重要な取引文書の内容の承認,その発行,及びその文書への署名を誰が行うかについての認可プロセ
    ス
c) サービスの提供又は利用が認可されていることを通信業者に十分に通知していることの確実化
d) 入札手続,契約手続などにおいて,重要な文書の機密性,完全性及び発送・受領の証明,並びに契約
    の否認防止に関する要求事項の決定及びその達成
e) 重要な文書の完全性についての,信頼のレベル
f)  秘密情報の保護に関する要求事項
g) 注文のトランザクション,支払い情報,納入先の宛名情報及び受領確認の機密性及び完全性
h) 顧客から提供された支払い情報を検証するための,適切な検査の度合い
i)  不正行為を防ぐための,最も適切な支払いの決済形式の選定
j)  注文情報の機密性及び完全性を維持するために要求される保護のレベル
k) トランザクション情報の紛失又は重複の防止
l)  不正なトランザクションに関する賠償義務
m) 保険の要件
  これらの考慮事項の多くは,法的要求事項の順守を考慮に入れながら,箇条10に示す暗号による管理策
を適用することによって対処することができる(箇条18を参照。特に,暗号に関連する法令については,
18.1.5を参照。)。
  アプリケーションサービスに関する当事者間の取決めは,権限の詳細も含め,合意したサービス条件を
両当事者に義務付ける合意書によって裏付けることが望ましい[14.1.2のb)を参照]。
  攻撃に対する対応力(resilience)の要求事項を考慮することが望ましい。これには,関連するアプリケ
ーションサーバを保護するための要求事項,及びサービスの提供に必要となるネットワーク相互接続の可
用性を確実にするための要求事項を含み得る。
関連情報
  公衆ネットワークを介してアクセス可能なアプリケーションは,ネットワークに関連した脅威(例えば,
不正行為,契約上の紛争,一般への情報の開示)を受けやすい。したがって,詳細なリスクアセスメント

――――― [JIS Q 27002 pdf 59] ―――――

                                                                                             57
                                                              Q 27002 : 2014 (ISO/IEC 27002 : 2013)
及び管理策の適正な選定が不可欠である。必要な管理策には,認証時の暗号技術の使用及びデータ転送時
のセキュリティ確保を含むことが多い。
  アプリケーションサービスでは,リスクを低減するために,公開鍵暗号及びディジタル署名(箇条10
参照)の利用など,よりセキュリティに配慮した認証方法を活用することができる。さらに,必要な場合
には,信頼できる第三者機関によるサービスを利用することもできる。
14.1.3 アプリケーションサービスのトランザクションの保護
管理策
  アプリケーションサービスのトランザクションに含まれる情報は,次の事項を未然に防止するために,
保護することが望ましい。
  − 不完全な通信
  − 誤った通信経路設定
  − 認可されていないメッセージの変更
  − 認可されていない開示
  − 認可されていないメッセージの複製又は再生
実施の手引
  アプリケーションサービスのトランザクションのための情報セキュリティには,次の事項を考慮するこ
とが望ましい。
a) トランザクションに関わる各当事者による電子署名の利用
b) トランザクションの種々の面における,次の事項の確実化
  1) 全ての当事者の秘密認証情報は,有効であり,かつ,検証を経ている。
  2) トランザクションが秘密に保たれている。
  3) 全ての当事者に関係するプライバシーを守っている。
c) 関わる全ての当事者間の通信経路の暗号化
d) 関わる全ての当事者間で使われる通信プロトコルのセキュリティの確保
e) トランザクションの詳細情報を,公開している環境の外(例えば,組織のイントラネット内に設置し
    ているデータ保存環境)で保管すること,及びインターネットから直接アクセス可能な記憶媒体上に
    それらを保持して危険にさらさないことの確実化
f)  信頼できる専門機関を利用(例えば,ディジタル署名又はディジタル証明書の発行・維持の目的での
    利用)する場合,エンド ツー エンドの証明書及び/又は署名管理プロセスを通じたセキュリティの
    統合及び組込み
関連情報
  採用する管理策の程度は,アプリケーションサービスのトランザクションのそれぞれの形態に関係した
リスクのレベルに相応している必要がある。
  トランザクションは,そのトランザクションの発生地,処理経由地,完了地又は保管地の法域における,
法的及び規制の要求事項を順守する必要のある場合がある。

14.2 開発及びサポートプロセスにおけるセキュリティ

目的 情報システムの開発サイクルの中で情報セキュリティを設計し,実施することを確実にするため。
14.2.1 セキュリティに配慮した開発のための方針
管理策

――――― [JIS Q 27002 pdf 60] ―――――

次のページ PDF 61