【図解】ISMS 附属書A（ISO 27001:2005）とは？11領域・133の管理策を整理

※画像クリックでPDFが表示されます

情報セキュリティに対する経営陣の方向性及び支持を規定します。

• A.5.1 情報セキュリティ基本方針： 経営陣の指示及びビジネス要件に従い、情報セキュリティの方向性を定めます。

社内のセキュリティ体制と、外部（顧客・パートナー）との関係を管理します。

• A.6.1 内部組織： 社内の情報セキュリティを推進・管理する体制を確立します。
• A.6.2 外部組織： 外部委託先や顧客などの第三者がアクセスする際の安全性を確保します。

組織の情報資産を洗い出し、適切な保護責任を明確にします。

• A.7.1 資産に対する責任： 組織の資産を特定し、適切な保護責任を割り当てます。
• A.7.2 情報分類： 情報の重要度や機密性に応じた分類を行い、適切な取り扱い基準を定めます。

雇用前・雇用期間中・雇用の終了時における、従業員のセキュリティ責任を明確にします。

• A.8.1 雇用前： 採用時のスクリーニングや、契約書における責任の明文化を行います。
• A.8.2 雇用期間中： セキュリティ教育の実施や、違反時の懲戒手続きを定めます。
• A.8.3 雇用の終了又は変更： 退職や異動の際、情報資産の返却やアクセス権の即時剥奪・変更を確実に行い、情報の持ち出しを防ぎます。

オフィスやサーバー室への不正立ち入り、および機器の損傷・妨害を防ぎます。

• A.9.1 セキュリティを保つべき領域： 許可された人間だけが立ち入れるよう、物理的な境界や防壁を設けます。
• A.9.2 装置のセキュリティ： 停電や災害による業務停止、および機器の損失、損傷、盗難又は劣化を防ぎます。

情報処理施設の適切な運用、ネットワークの保護、および運用の安全性を確保します。

• A.10.1 運用の手順及び責任： 情報処理設備の正確かつセキュリティが確保された運用を実現します。
• A.10.2 第三者が提供するサービスの管理： 外部委託先のサービスレベルを維持・監視します。
• A.10.3 システムの計画作成及び受入れ： 将来的な容量不足によるシステム停止を防ぐため、リソース（容量）の計画を立てるとともに、新規システムの受け入れテスト基準を定めます。
• A.10.4 悪意のあるコード及びモバイルコードからの保護： ウイルスやマルウェアの侵入を防ぐため、検知・予防・復旧対策を実施し、不審なプログラム（モバイルコード）の実行を制限します。
• A.10.5 バックアップ： 障害や災害、ランサムウェア攻撃などによるデータ消失に備え、バックアップの取得・保管・復旧テストを定期的に実施します。
• A.10.6 ネットワークセキュリティ管理： ネットワーク全体の安全性を確保し、通信経路上の情報や接続されるシステムを不正アクセスから保護します。
• A.10.7 媒体の取扱い： USBメモリやハードディスク、紙媒体などの物理的な記録媒体について、紛失・盗難を防ぐための保管・輸送・廃棄のルールを定めます。
• A.10.8 情報の交換： 外部とのメール送信、ファイル共有、組織間での情報移行において、情報の漏洩や誤送信を防ぐための安全な手続きや合意を交わします。
• A.10.9 電子商取引サービス： オンライン決済やWebサービスにおいて、不正利用、トランザクションエラー、情報改ざんなどを防ぎ、安全な取引環境を確保します。
• A.10.10 監視： システムやネットワークの利用状況をログとして記録し、不正アクセスの兆候やエラー、セキュリティ事象を早期に検知・監視します。

業務に必要な人だけに必要な権限を与え、情報への不正なアクセスを防止します。

• A.11.1 アクセス制御に対する業務上の要求事項： 業務上の必要性（Need-to-Know原則）に基づき、アクセス制御方針を策定します。
• A.11.2 利用者アクセス管理： 利用者の登録から権限付与、パスワード管理、権限の見直しまでを厳格に行います。
• A.11.3 利用者の責任： パスワードの適切な管理や、離席時のPCロックなど、利用者が遵守すべきルールを定めます。
• A.11.4 ネットワークのアクセス制御： ネットワークやサービスへのアクセスを制限し、不正な接続を防ぎます。
• A.11.5 オペレーティングシステムのアクセス制御： OSレベルでのログイン制御や、システムユーティリティの使用制限を行います。
• A.11.6 業務用ソフトウェア及び情報のアクセス制御： 個別のアプリやデータベース内での情報アクセスを制限します。
• A.11.7 モバイルコンピューティング及びテレワーク： 社外でモバイル機器を使用する際や、リモートワーク時のセキュリティを確保します。

システムの新規導入や自社開発、メンテナンスにおいて、セキュリティが確実に組み込まれるようにします。

• A.12.1 情報システムのセキュリティ要件： システムを新規に導入・構築する際、セキュリティ要件を明確に定義します。
• A.12.2 業務用ソフトウェアでの正確な処理： データの入力・処理・出力において、エラーや不正な書き換えを防止します。
• A.12.3 暗号による管理策： データの機密性や完全性を守るため、適切な暗号化や鍵管理のルールを定めます。
• A.12.4 システムファイルのセキュリティ： 開発や検証環境で使用するソースコードやテストデータの管理を徹底します。
• A.12.5 開発及びサポートプロセスにおけるセキュリティ： 開発やシステム保守のプロセス全体における安全な変更管理を確立します。
• A.12.6 技術的ぜい弱性管理： 利用しているOSやソフトウェアの脆弱性情報を適時入手し、パッチ適用などの対策を行います。

セキュリティ上の問題や事故が発生した際、迅速に報告・対応し、被害を最小限に抑えます。

• A.13.1 情報セキュリティ事象及び弱点の報告： 異常やミスに気づいた際、従業員が迅速に報告できる連絡ルートを確立します。
• A.13.2 情報セキュリティインシデントの管理及びその改善： 発生したインシデントへの対応手順を定め、再発防止に向けた学習と改善を行います。

災害や重大な障害が発生しても、組織の重要なビジネスプロセスを中断させず、速やかに復旧できるようにします。

• A.14.1 事業継続管理における情報セキュリティの側面： BCP（事業継続計画）の策定段階から、情報セキュリティの継続性を組み込みます。

関連する法令、規制、契約上の義務、および社内のセキュリティ監査への適合を確実にします。

• A.15.1 法的要求事項の順守： 著作権法、個人情報保護法、暗号規制など、関連するあらゆる法的要件を特定し遵守します。
• A.15.2 セキュリティ方針及び標準の順守、並びに技術的順守： 社内ルールが適切に守られているかを監査し、必要に応じてシステム的な技術監査を実施します。
• A.15.3 情報システムの監査に対する考慮事項： 監査作業が日常の業務運営やシステム稼働に与える影響を最小限に抑えます。