JIS Q 27002:2014 情報技術―セキュリティ技術―情報セキュリティ管理策の実践のための規範 | ページ 7

28
Q 27002 : 2014 (ISO/IEC 27002 : 2013)
b) “コンピュータへのアクセスは,認可されている利用者に限定する”という警告を表示する。
c) ログオン手順中に,認可されていない利用者の助けとなるようなメッセージを表示しない。
d) ログオン情報の妥当性検証は,全ての入力データが完了した時点でだけ行う。誤り条件が発生しても,
    システムからは,データのどの部分が正しいか又は間違っているかを指摘しない。
e) 総当たり攻撃でログオンしようとする試みから保護する。
f)  失敗した試み及び成功した試みのログをとる。
g) ログオン制御への違反又は違反が試みられた可能性が検知された場合には,セキュリティ事象として
    取り上げる。
h) ログオンが成功裏に終了した時点で,次の情報を表示する。
  1) 前回成功裏にログオンできた日時
  2) 前回のログオン以降,失敗したログオンの試みがある場合は,その詳細
i)  入力したパスワードは表示しない。
j)  ネットワークを介してパスワードを平文で通信しない。
k) リスクの高い場所(例えば,組織のセキュリティ管理外にある公共の場所又は外部の区域,モバイル
    機器)では特に,あらかじめ定めた使用中断時間が経過したセッションは終了する。
l)  リスクの高いアプリケーションのセキュリティを高めるために接続時間を制限し,認可されていない
    アクセスの危険性を低減する。
関連情報
  パスワードは,利用者だけが知る秘密に基づき,識別及び認証を行う一般的な方法である。暗号による
手段及び認証プロトコルによっても同様のことが可能となる。利用者を認証する強度は,アクセスされる
情報の分類に適したものであることが望ましい。
  ログオンセッション中にパスワードを平文でネットワーク上で通信するとき,それらのパスワードは,
ネットワーク“スニファ”プログラムで捕捉される場合がある。
9.4.3  パスワード管理システム
管理策
  パスワード管理システムは,対話式とすることが望ましく,また,良質なパスワードを確実とするもの
が望ましい。
実施の手引
  パスワードの管理システムは,次の条件を満たすことが望ましい。
a) 責任追跡性を維持するために,それぞれの利用者ID及びパスワードを使用させるようにする。
b) 利用者に自分のパスワードの選択及び変更を許可し,また,入力誤りを考慮した確認手順を組み入れ
    る。
c) 質の良いパスワードを選択させるようにする。
d) パスワードは,最初のログオン時に利用者に変更させるようにする。
e) パスワードは,定期的に及び必要に応じて変更させるようにする。
f)  以前に用いられたパスワードの記録を維持し,再使用を防止する。
g) パスワードは,入力時に,画面上に表示しないようにする。
h) パスワードのファイルは,アプリケーションシステムのデータとは別に保存する。
i)  パスワードは,保護した形態で保存し,伝達する。
関連情報

――――― [JIS Q 27002 pdf 31] ―――――

                                                                                             29
                                                              Q 27002 : 2014 (ISO/IEC 27002 : 2013)
  アプリケーションによっては,独立した機関によって割り当てられる利用者パスワードを要求する場合
がある。このような場合,9.4.3のb),d) 及びe) は適用しない。ほとんどの場合,パスワードは,利用者
によって選択され,維持される。
9.4.4  特権的なユーティリティプログラムの使用
管理策
  システム及びアプリケーションによる制御を無効にすることのできるユーティリティプログラムの使用
は,制限し,厳しく管理することが望ましい。
実施の手引
  システム及びアプリケーションによる制御を無効にすることのできるユーティリティプログラムの使用
においては,次の事項を考慮することが望ましい。
a) ユーティリティプログラムのための識別,認証及び認可手順の使用
b) アプリケーションソフトウェアからのユーティリティプログラムの分離
c) 可能な限り少人数の信頼できる認可された利用者だけに限定した,ユーティリティプログラムの使用
    制限(9.2.3参照)
d) ユーティリティプログラムを臨時に用いる場合の認可
e) ユーティリティプログラムの使用の制限(例えば,認可されたシステム変更のための期間での利用)
f)  ユーティリティプログラムの全ての使用に関するログ
g) ユーティリティプログラムの認可レベルの明確化及び文書化
h) 全ての不要なユーティリティプログラムの除去又は無効化
i)  権限の分離が必要な場合の,システム上のアプリケーションへのアクセス権をもつ利用者に対するユ
    ーティリティプログラムの使用禁止
関連情報
  ほとんどのコンピュータには,導入時点で,システム及びアプリケーションによる制御を無効にするこ
とのできる一つ以上のユーティリティプログラムが組み込まれている。
9.4.5  プログラムソースコードへのアクセス制御
管理策
  プログラムソースコードへのアクセスは,制限することが望ましい。
実施の手引
  プログラムソースコード及び関連書類(例えば,設計書,仕様書,検証計画書,妥当性確認計画書)へ
のアクセスは,認可されていない機能が入り込むことを防止し,意図しない変更を回避し,価値の高い知
的財産の機密性を維持するために,厳重に管理することが望ましい。プログラムソースコードについては,
プログラムソースライブラリのように,コードを集中保管管理することによって,これを達成することが
できる。その場合は,コンピュータプログラムが破壊される危険性の低減を目的として,プログラムソー
スライブラリへのアクセスを管理するために,次の事項を考慮することが望ましい。
a) 可能な限り,プログラムソースライブラリは,運用システムの中に保持しない。
b) プログラムソースコード及びプログラムソースライブラリは,確立した手順に従って管理する。
c) サポート要員による,プログラムソースライブラリへの無制限のアクセスを許さない。
d) プログラムソースライブラリ及び関連情報の更新,並びにプログラマへのプログラムソースの発行は,
    適切な認可を得た後にだけ実施する。
e) プログラムリストは,セキュリティが保たれた環境で保持する。

――――― [JIS Q 27002 pdf 32] ―――――

30
Q 27002 : 2014 (ISO/IEC 27002 : 2013)
f)  プログラムソースライブラリへの全てのアクセスについて,監査ログを維持する。
g) プログラムソースライブラリの保守及び複製は,厳しい変更管理手順に従う(14.2.2参照)。
  プログラムソースコードの公開を意図している場合には,その完全性を保証するために役立つ追加的な
管理策(例えば,ディジタル署名)を考慮することが望ましい。

10 暗号

10.1 暗号による管理策

目的 情報の機密性,真正性及び/又は完全性を保護するために,暗号の適切かつ有効な利用を確実にす
るため。
10.1.1 暗号による管理策の利用方針
管理策
  情報を保護するための暗号による管理策の利用に関する方針は,策定し,実施することが望ましい。
実施の手引
  暗号の利用に関する方針を策定するときは,次の事項を考慮することが望ましい。
a) 業務情報を保護する上での一般原則も含め,暗号による管理策の組織全体での使用に関する管理の取
    組み
b) リスクアセスメントに基づく,要求される暗号アルゴリズムの種別,強度及び品質を考慮に入れた,
    要求された保護レベルの識別
c) 持ち運び可能な若しくは取外し可能な媒体装置又は通信によって伝送される情報を,保護するための
    暗号の利用
d) 鍵管理に対する取組み。これには,暗号鍵の保護手法,及び鍵が紛失した場合,危険になった場合又
    は損傷した場合の暗号化された情報の復元手法を含む。
e) 役割及び責任。例えば,次の事項に対する責任者の特定。
  1) この方針の実施
  2) 鍵生成を含めた鍵管理(10.1.2参照)
f)  組織全体にわたって効果的に実施するために採用する標準類(業務プロセスに用いるソリューション
    の選択)
g) 暗号化した情報を用いることの,情報内容の検査(例えば,マルウェアの検出)に依存する管理策へ
    の影響
  暗号に関わる組織の方針を実施するときには,世界の様々な地域における暗号技術の利用,及び国境を
越える暗号化された情報の流れに関する問題に適用される,規制及び国内の制約を考慮することが望まし
い(18.1.5参照)。
  暗号による管理策は,様々な情報セキュリティ目的を達成するために,例えば,次のように利用できる。
a) 機密性 保管又は伝送される,取扱いに慎重を要する情報又は重要な情報を守るための,情報の暗号
    化の利用
b) 完全性・真正性 保管又は伝送される,取扱いに慎重を要する情報又は重要な情報の完全性・真正性
    を検証するための,ディジタル署名又はメッセージ認証コードの利用

――――― [JIS Q 27002 pdf 33] ―――――

                                                                                             31
                                                              Q 27002 : 2014 (ISO/IEC 27002 : 2013)
c) 否認防止 ある事象又は活動が,起こったこと又は起こらなかったことの証拠を提供するための,暗
    号技術の利用
d) 認証 システム利用者,システムエンティティ及びシステム資源へのアクセスを要求している,又は
    これらとやり取りしている,利用者及びその他のシステムエンティティを認証するための,暗号技術
    の利用
関連情報
  暗号技術を用いたソリューションが適切であるかどうかに関して決断を下すことは,広い意味でのリス
クアセスメントのプロセス及び管理策の選定の一部として捉えることが望ましい。さらに,このアセスメ
ントは,暗号による管理策が適しているかどうか,どのタイプの管理策を適用することが望ましいか,ま
た,何の目的でどの業務プロセスに適用することが望ましいかを決めるために利用できる。
  暗号による管理策の利用に関わる方針は,暗号技術の利用による効果の最大化及びリスクの最小化のた
めに必要であり,また,暗号技術の不適切な利用又は誤った利用を防止するために必要である。
  情報セキュリティ方針の目的を満たすために,適切な暗号による管理策の選定においては,専門家の助
言を求めることが望ましい。
10.1.2 鍵管理
管理策
  暗号鍵の利用,保護及び有効期間(lifetime)に関する方針を策定し,そのライフサイクル全体にわたっ
て実施することが望ましい。
実施の手引
  方針には,暗号鍵の生成,保管,保存,読出し,配布,使用停止及び破壊を含むライフサイクル全体に
わたって,暗号鍵を管理するための要求事項を含めることが望ましい。
  最適な慣行に従って,暗号アルゴリズム,鍵の長さ及び使用法を選定することが望ましい。適切な鍵管
理には,暗号鍵を生成,保管,保存,読出し,配布,使用停止及び破壊するための,セキュリティを保っ
たプロセスが必要となる。
  全ての暗号鍵は,改変及び紛失から保護することが望ましい。さらに,秘密鍵及びプライベート鍵は,
認可されていない利用及び開示から保護する必要がある。鍵の生成,保管及び保存のために用いられる装
置は,物理的に保護されることが望ましい。
    注記 この規格において,公開鍵(非対称暗号)方式における一対の鍵のうち,“private key”を“プ
          ライベート鍵”とし,“public key”を“公開鍵”とした。また,共通鍵(対称暗号)方式にお
          ける“secret key”を“秘密鍵”とした。
  鍵管理システムは,次のために,一連の合意された標準類,手順及びセキュリティを保った手法に基づ
くことが望ましい。
a) 種々の暗号システム及び種々のアプリケーションのために鍵を生成する。
b) 公開鍵証明書を発行し,入手する。
c) 意図するエンティティに鍵を配布する。これには,受領時に,鍵をどのような方法で活性化するか(使
    える状態にするか)も含む。
d) 鍵を保管する。これには,認可されている利用者がどのような方法で鍵にアクセスするかも含む。
e) 鍵を変更又は更新する。これには,鍵をいつ,どのような方法で変更するかの規則も含む。
f)  危険になった鍵に対処する。

――――― [JIS Q 27002 pdf 34] ―――――

32
Q 27002 : 2014 (ISO/IEC 27002 : 2013)
g) 鍵を無効にする(例えば,鍵が危険になった場合,利用者が組織を離脱した場合。後者の場合には,
    鍵は保存することが望ましい。)。これには,鍵をどのような方法で取消し又は非活性化するかも含む。
h) 紛失した鍵又は破損した鍵を回復する。
i)  鍵をバックアップ又は保存する。
j)  鍵を破壊する。
k) 鍵管理に関連する活動を記録し,監査する。
  不適切な使用を起こりにくくするために,鍵の活性化及び非活性化の期日を定め,これによって,鍵管
理の方針で定めた期間内でだけ鍵を使用できるようにすることが望ましい。
  秘密鍵及びプライベート鍵をセキュリティを保って管理することに加え,公開鍵の真正性についても考
慮することが望ましい。この認証プロセスは,認証局によって通常発行される公開鍵証明書を用いて実施
される。この認証局は,要求された信頼度を提供するために適切な管理策及び手順を備えている,認知さ
れた組織であることが望ましい。
  暗号サービスの外部供給者(例えば,認証局)とのサービスレベルに関する合意又は契約の内容は,賠
償責任,サービスの信頼性及びサービス提供のための応答時間に関する事項を扱うことが望ましい(15.2
参照)。
関連情報
  暗号鍵の管理は,暗号技術の効果的な利用のために不可欠である。鍵管理に関する更なる情報が,
ISO/IEC 11770規格群[2][4]に示されている。
  暗号技術は,暗号鍵を保護するためにも利用される。暗号鍵へのアクセスに関する法的要求(例えば,
裁判での証拠として,暗号化された情報を平文で求められた場合。)を取り扱う手順を考慮することが必要
な場合がある。

11 物理的及び環境的セキュリティ

11.1 セキュリティを保つべき領域

目的 組織の情報及び情報処理施設に対する認可されていない物理的アクセス,損傷及び妨害を防止する
ため。
11.1.1 物理的セキュリティ境界
管理策
  取扱いに慎重を要する又は重要な情報及び情報処理施設のある領域を保護するために,物理的セキュリ
ティ境界を定め,かつ,用いることが望ましい。
実施の手引
  物理的セキュリティ境界について,次の事項を,必要な場合には,考慮し,実施することが望ましい。
a) 物理的セキュリティ境界を定める。それぞれの境界の位置及び強度は,境界内に設置している資産の
    セキュリティ要求事項及びリスクアセスメントの結果に基づく。
b) 情報処理施設を収容した建物又は敷地の境界は,物理的に頑丈にする(すなわち,境界には隙間がな
    く,又は容易に侵入できる箇所がない。)。敷地内の屋根,壁及び床は,堅固な構造物とし,外部に接
    する全ての扉を,開閉制御の仕組み(例えば,かんぬき,警報装置,錠)によって,認可されていな
    いアクセスから適切に保護する。要員が不在のときには,扉及び窓を施錠し,窓(特に一階の窓)に

――――― [JIS Q 27002 pdf 35] ―――――

次のページ PDF 36