JIS Q 27002:2014 情報技術―セキュリティ技術―情報セキュリティ管理策の実践のための規範 | ページ 9

38
Q 27002 : 2014 (ISO/IEC 27002 : 2013)
  リスク(例えば,損傷,盗難,傍受)は,場所によってかなり異なる場合がある。それぞれの場所に応
じた最も適切な管理策の決定には,リスクを考慮することが望ましい。
関連情報
  情報の記憶・処理装置には,在宅勤務のために保持される又は通常の作業場所から他の場所に移動され
る,全ての種類の,パーソナルコンピュータ,電子手帳などの管理用機器,携帯電話,スマートカード,
書類及び他の形態のものが含まれる。
  モバイル機器の保護に関する他の側面の詳細については,6.2に示す。
  特定の従業員には,構外での作業をさせない又は携帯可能なIT装置の使用を制限することで,リスクを
回避することが適切な場合がある。
11.2.7 装置のセキュリティを保った処分又は再利用
管理策
  記憶媒体を内蔵した全ての装置は,処分又は再利用する前に,全ての取扱いに慎重を要するデータ及び
ライセンス供与されたソフトウェアを消去していること,又はセキュリティを保って上書きしていること
を確実にするために,検証することが望ましい。
実施の手引
  装置は,処分又は再利用する前に,記憶媒体が内蔵されているか否かを確かめるために検証することが
望ましい。
  秘密情報又は著作権のある情報を格納した記憶媒体は,物理的に破壊することが望ましく,又はその情
報を破壊,消去若しくは上書きすることが望ましい。消去又は上書きには,標準的な消去又は初期化の機
能を利用するよりも,元の情報を媒体から取り出せなくする技術を利用することが望ましい。
関連情報
  記憶媒体を内蔵した装置が損傷した場合,その装置を修理又は廃棄するよりも物理的に破壊するほうが
適切であるか否かを決定するために,リスクアセスメントが必要となる場合がある。情報は,装置の不注
意な処分又は再利用によって危険にさらされることもある。
  ディスクの内容のセキュリティを保った消去のほかに,ディスク全体の暗号化によっても,装置を処分
又は再配備した場合に秘密情報が開示されるリスクが低減する。ただし,次の事項が条件となる。
a) 暗号化プロセスは十分に強じん(靭)なものであり,ディスク全体(スラックスペース,スワップフ
    ァイルなども含む。)を対象とする。
b) 暗号鍵は,総当たり攻撃に耐えられるだけの十分な長さである。
c) 暗号鍵そのものが,秘密に保たれる(例えば,同じディスク上に保管しない。)。
  暗号化に関する詳細な助言を,箇条10に示す。
  セキュリティを保って記憶媒体を上書きする技術は,その記憶媒体の技術によって異なる。記憶媒体の
技術に適用可能であることを確認するために,上書き用のツールをレビューすることが望ましい。
11.2.8 無人状態にある利用者装置
管理策
  利用者は,無人状態にある装置が適切な保護対策を備えていることを確実にすることが望ましい。
実施の手引
  無人状態にある装置の保護を実施する責任と同様に,その装置を保護するためのセキュリティ要求事項
及び手順についても,全ての利用者に認識させることが望ましい。利用者に,次の事項を実施するように

――――― [JIS Q 27002 pdf 41] ―――――

                                                                                             39
                                                              Q 27002 : 2014 (ISO/IEC 27002 : 2013)
助言することが望ましい。
a) 実行していた処理が終わった時点で,接続を切る。ただし,適切なロック機能(例えば,パスワード
    によって保護されたスクリーンセーバ)によって保護されている場合は,その限りではない。
b) 必要がなくなったら,アプリケーション又はネットワークサービスからログオフする。
c) コンピュータ又はモバイル機器は,利用していない場合,キーロック又は同等の管理策(例えば,パ
    スワードアクセス)によって,認可されていない利用から保護する。
11.2.9 クリアデスク・クリアスクリーン方針
管理策
  書類及び取外し可能な記憶媒体に対するクリアデスク方針,並びに情報処理設備に対するクリアスクリ
ーン方針を適用することが望ましい。
    注記 クリアデスクとは,机上に書類を放置しないことをいう。また,クリアスクリーンとは,情報
          をスクリーンに残したまま離席しないことをいう。
実施の手引
  クリアデスク・クリアスクリーン方針において,組織の,情報分類(8.2参照),法的及び契約上の要求
事項(18.1参照),並びにそれらに対応するリスク及び文化的側面を考慮することが望ましい。この管理策
の実施については,次の事項を考慮することが望ましい。
a) 取扱いに慎重を要する業務情報又は重要な業務情報(例えば,紙又は電子記憶媒体上の業務情報)は,
    必要のない場合,特にオフィスに誰もいないときには,施錠して(理想的には金庫,書庫又はセキュ
    リティを備えた他の形態の収納用具に)保管しておく。
b) コンピュータ及び端末は,離席時には,ログオフ状態にしておくか,又はパスワード,トークン若し
    くは類似の利用者認証機能で管理されたスクリーン及びキーボードのロック機能によって保護してい
    る。また,利用しないときは,施錠,パスワード又は他の管理策によって保護している。
c) コピー機及びその他の再生技術(例えば,スキャナ,ディジタルカメラ)の認可されていない利用は,
    防止する。
d) 取扱いに慎重を要する情報又は機密扱い情報を含む媒体は,プリンタから直ちに取り出しておく。
関連情報
  クリアデスク・クリアスクリーン方針は,通常の勤務時間内及び時間外の情報への認可されていないア
クセス,情報の消失及び損傷のリスクを低減する。金庫又はセキュリティを備えた他の形態の保管設備は,
それらに保管された情報を,火災,地震,洪水,爆破などの災害から保護することもできる。
  個人識別番号(PIN)コード機能をもつプリンタを利用すれば,印刷を実行した人だけが,プリンタの
横に立ったときにだけ,印刷物を得ることができる。

12 運用のセキュリティ

12.1 運用の手順及び責任

目的 情報処理設備の正確かつセキュリティを保った運用を確実にするため。
12.1.1 操作手順書
管理策
  操作手順は,文書化し,必要とする全ての利用者に対して利用可能とすることが望ましい。
実施の手引

――――― [JIS Q 27002 pdf 42] ―――――

40
Q 27002 : 2014 (ISO/IEC 27002 : 2013)
  情報処理設備及び通信設備に関連する操作(例えば,コンピュータの起動・停止の手順,バックアップ,
装置の保守,媒体の取扱い,コンピュータ室及びメールの取扱いの管理・安全)の手順書を作成すること
が望ましい。
  操作手順には,次の事項を含む,操作上の指示を明記することが望ましい。
a) システムの導入及び構成
b) 情報の処理及び取扱い(自動化されたもの及び手動によるものを含む。)
c) バックアップ(12.3参照)
d) スケジュール作成に関する要求事項。これには,他のシステムとの相互依存性,最も早い作業の開始
    時刻及び最も遅い作業の完了時刻を含む。
e) 作業中に発生し得る,誤り又はその他の例外状況の処理についての指示。これには,システムユーテ
    ィリティの利用の制限を含む(9.4.4参照)。
f)  操作上又は技術上の不測の問題が発生した場合の,外部のサポート用連絡先を含む,サポート用及び
    段階的取扱い(escalation)用の連絡先
g) 特別な出力及び媒体の取扱いに関する指示(8.3及び11.2.7参照)。例えば,特殊な用紙の使用,秘密
    情報の出力の管理(失敗した作業出力のセキュリティを保った処分手順を含む。)。
h) システムが故障した場合の再起動及び回復の手順
i)  監査証跡及びシステムログ情報の管理(12.4参照)
j)  監視手順
  システムの管理活動のための操作手順及び文書化手順は,正式な文書として取り扱い,その手順書の変
更は,管理層によって認可されることが望ましい。技術的に可能であれば,情報システムは,同一の手順,
ツール及びユーティリティを用いて,首尾一貫した管理を行うことが望ましい。
12.1.2 変更管理
管理策
  情報セキュリティに影響を与える,組織,業務プロセス,情報処理設備及びシステムの変更は,管理す
ることが望ましい。
実施の手引
  この管理策の実施については,特に,次の事項を考慮することが望ましい。
a) 重要な変更の特定及び記録
b) 変更作業の計画策定及びテストの実施
c) そのような変更の潜在的な影響(情報セキュリティ上の影響を含む。)のアセスメント
d) 変更の申出を正式に承認する手順
e) 情報セキュリティ要求事項が満たされていることの検証
f)  全ての関係者への変更に関する詳細事項の通知
g) うまくいかない変更及びこれに伴う予期できない事象を取り消し,これらから回復する手順及び責任
    を含む,代替手順
h) インシデントの解決のために必要な変更を,迅速にかつ管理して実施できるようにするための,緊急
    時の変更プロセスの提供(16.1参照)
  あらゆる変更の十分な管理を確実にするためには,正式な責任体制及び手順を備えていることが望まし

――――― [JIS Q 27002 pdf 43] ―――――

                                                                                             41
                                                              Q 27002 : 2014 (ISO/IEC 27002 : 2013)
い。変更がなされたときには,変更に関わる全ての関連情報を含んだ監査ログを保持することが望ましい。
関連情報
  情報処理設備及びシステムの変更に対する不十分な管理は,システム又はセキュリティ不具合の一般的
な原因となる。特に,システムを開発ステージから運用ステージに移す段階では,運用環境の変更は,ア
プリケーションの信頼性に影響を及ぼすことがある(14.2.2参照)。
12.1.3 容量・能力の管理
管理策
  要求されたシステム性能を満たすことを確実にするために,資源の利用を監視・調整し,また,将来必
要とする容量・能力を予測することが望ましい。
実施の手引
  事業におけるシステムの重要度を考慮に入れて,その容量・能力に関する要求事項を特定することが望
ましい。システムの可用性及び効率性を確実にするため,また,必要な場合には,改善のために,システ
ム調整及び監視を適用することが望ましい。適切な時点で問題を知らせるために,検知のための管理策を
備えることが望ましい。将来必要とされる容量・能力の予測では,新しい事業及びシステムに対する要求
事項並びに組織の情報処理の能力についての現在の傾向及び予測される傾向を考慮することが望ましい。
  入手時間がかかるか又は費用がかかる資源については,特別な注意を払う必要がある。したがって,管
理者は,主要なシステム資源の使用を監視することが望ましい。管理者は,使用の傾向,特に業務用アプ
リケーション又は情報システムの管理ツールに関連した傾向を特定することが望ましい。
  システムセキュリティ又はサービスに脅威をもたらすおそれのある,潜在的なあい(隘)路(bottlenecks)
及び主要な要員への依存度合いを特定し,回避するために,管理者は,この情報を用いることが望ましく,
また,適切な処置を立案することが望ましい。
  容量・能力を増やすか,要求を減らすことによって,十分な容量・能力を提供することができる。容量・
能力の要求に関する管理の例には,次を含む。
a) 古いデータの削除(ディスクスペース)
b) アプリケーション,システム,データベース又は環境の廃止
c) バッチのプロセス及びスケジュールの最適化
d) アプリケーションの処理方法及びデータベースへの問合せの最適化
e) 事業上重要でない場合,大量の帯域を必要とするサービス(例えば,動画のストリーミング)に対す
    る帯域割当ての拒否又は制限
  業務上必須のシステムについては,容量・能力の管理計画を文書化することを検討することが望ましい。
関連情報
  この管理策は,人的資源,オフィス及び施設の容量・能力にも対処するものである。
12.1.4 開発環境,試験環境及び運用環境の分離
管理策
  開発環境,試験環境及び運用環境は,運用環境への認可されていないアクセス又は変更によるリスクを
低減するために,分離することが望ましい。
実施の手引
  運用上の問題を防ぐために必要な,開発環境,試験環境及び運用環境の間の分離レベルを特定し,それ
に従って分離することが望ましい。

――――― [JIS Q 27002 pdf 44] ―――――

42
Q 27002 : 2014 (ISO/IEC 27002 : 2013)
  特に,次の事項を考慮することが望ましい。
a) ソフトウェアの開発から運用の段階への移行についての規則は,明確に定め,文書化する。
b) 開発ソフトウェア及び運用ソフトウェアは,異なるシステム又はコンピュータ上で,及び異なる領域
    又はディレクトリで実行する。
c) 運用システム及びアプリケーションに対する変更は,運用システムに適用する前に,試験環境又はス
    テージング環境(運用環境に近い試験環境)で試験する。
d) 例外的な状況以外では,運用システムで試験を行わない。
e) コンパイラ,エディタ,及びその他の開発ツール又はシステムユーティリティは,必要でない場合に
    は,運用システムからアクセスできない。
f)  利用者は,運用システム及び試験システムに対して,異なるユーザプロファイルを用いる。また,メ
    ニューには,誤操作によるリスクを低減するために,適切な識別メッセージを表示する。
g) 取扱いに慎重を要するデータは,試験システムに同等の管理策が備わっていない限り,その試験シス
    テム環境には複写しない(14.3参照)。
関連情報
  開発作業及び試験作業は,重大な問題(例えば,ファイル環境・システム環境に対する望ましくない変
更,システム不具合)を引き起こすことがある。意味のある試験を実施し,開発者による運用環境への不
適切なアクセスを防止するために,既知で安定した環境を維持する必要がある。
  開発要員及び試験要員が運用システム及びその情報にアクセスする場合には,これらの要員は,認可さ
れていないコード及び検査されていないコードを挿入すること,又は運用データを変更することができる
場合がある。システムによっては,このような可能性が,不正行為を働いたり,検査されていないコード
又は悪意のあるコードを挿入するために悪用されることがあり,これらのコードは,深刻な運用上の問題
を引き起こすこともある。
  開発要員及び試験要員は,運用情報の機密性に脅威をもたらすこともある。開発作業と試験作業とが同
じコンピュータの環境を利用している場合,ソフトウェア又は情報に意図しない変更を引き起こす場合が
ある。したがって,運用ソフトウェア及び業務用データへの過失による変更のリスク又は認可されていな
いアクセスのリスクを低減するために,開発環境,試験環境及び運用環境を分離することが望ましい(試
験データの保護については,14.3を参照)。

12.2 マルウェアからの保護

目的 情報及び情報処理施設がマルウェアから保護されることを確実にするため。
12.2.1 マルウェアに対する管理策
管理策
  マルウェアから保護するために,利用者に適切に認識させることと併せて,検出,予防及び回復のため
の管理策を実施することが望ましい。
実施の手引
  マルウェアからの保護は,マルウェアに対する検出・修復ソフトウェア,情報セキュリティに対する認
識,及びシステムへの適切なアクセス・変更管理についての管理策に基づくことが望ましい。この管理策
の実施については,次の事項を考慮することが望ましい。
a) 認可されていないソフトウェアの使用を禁止する,正式な方針の確立(12.6.2及び14.2参照)
b) 認可されていないソフトウェアの使用を防止又は検出するための管理策の実施(例えば,アプリケー

――――― [JIS Q 27002 pdf 45] ―――――

次のページ PDF 46