タスク一覧



「ITスペシャリスト(セキュリティ)」のタスク例

タスクプロフィール 「ITスペシャリスト(セキュリティ)」で定義されているタスク例です。これらを参考にしながらタスクや役割を定義してください。
また、各タスクの詳細を参照する場合は、「評価項目を表示」ボタンをクリックしてください。
このタスクプロフィールに関する研修・書籍・資格の情報が こちらから検索できます。

タスク大分類 タスク中分類 タスク小分類
システム要件定義・方式設計 システム化要件定義 システム化の対象と目的の決定評価項目を表示
要求事項の調査と分析評価項目を表示

▼評価項目

現行システムをシステム利用状況、ユーザビリティ、HW構成、SW構成、データ構成、運用管理等の視点で分析する

システム化要件を明らかにするために、対象範囲と連携する他機能・システムの把握すべき項目を設定し調査する

システム化要件を明らかにするために、対象範囲の把握すべき項目を設定し調査する

システム化で利用する予定の技術や製品について調査し、機能、制約、リスクを把握する

機能要件の定義評価項目を表示

▼評価項目

機能に関する要求をシステムとして実現するための機能要件として具体化する

現行システムの課題やユーザニーズを踏まえてユーザビリティ要件を具体化する

機能要件に対する実装方式を提示する

機能要件を実現するための費用を算出する

機能要件に関する制約事項を抽出する

非機能要件の定義評価項目を表示

▼評価項目

可用性、性能・拡張性、運用・保守性、移行性、セキュリティ、システム環境・エコロジーに関する要求をシステムとして実現するための非機能要件として具体化する

非機能要件に対する実装方式を提示する

非機能要件を実現するための費用を算出する

非機能要件に関する制約事項を抽出する

システム化要件の文書化とレビュー評価項目を表示

▼評価項目

システム化の対象と目的、要件(機能要件、非機能要件)、制約等をシステム化要件定義書にまとめて関係者に説明する

関係者からのレビュー結果を評価し、システム化要件定義書を改定する

システム化要件定義書がシステム化計画として定めた内容を満たしていることについて関係者の同意を得る

セキュリティ要件定義 現状把握評価項目を表示

▼評価項目

組織のセキュリティポリシーを把握し、情報セキュリティに関する組織規程やルール、法令、ガイドラインの内容を確認する

当該システムの制約、前提条件、特性を明らかにする

セキュリティポリシーやシステムの制約、前提条件、特性に基づき、セキュリティリスク(システムの脆弱性、脅威等)の分析を行う

セキュリティ要件の定義評価項目を表示

▼評価項目

セキュリティリスクを回避するための認証、利用制限、データの秘匿、不正追跡・監視、ネットワーク対策、マルウェア対策、Web対策等の要件項目を明らかにする

各セキュリティ要件項目の具体的な要件と達成指標を定義する

決定したセキュリティ要件を実現するセキュリティ対策を定義し、文書化する

セキュリティ要件の評価評価項目を表示

▼評価項目

セキュリティ要件のセキュリティポリシーへの準拠性を評価する

当該システムにおける機能要件およびセキュリティ以外の非機能要件との一貫性を評価する

当該システムにおけるセキュリティ要件の実現可能性を評価する

当該システムにセキュリティ要件を実装した際の運用・保守の実現可能性を評価する

システム方式設計 システム方式の設計評価項目を表示

▼評価項目

システム化要件を実現する最上位レベルの方式(ハードウェア構成、ネットワーク、ソフトウェア構成、手作業)を設計する

システムの構成要素単位に機能要件、非機能要件を割り当てる

外部インタフェースおよびシステムの構成要素間のインタフェースを定義する

アプリケーション、システム、ネットワークの実装のためのセキュリティアーキテクチャを設計する

適用製品・技術の評価と選定評価項目を表示

▼評価項目

システム方式設計に準じて、利用候補となる技術、製品の性能や適合性を評価する

システム方式設計に準じて、利用候補となるパッケージソフトウェアの機能や性能、適合性を評価する

システム方式設計に準じて、利用候補となるPaaS、IaaS等のシステム稼働環境の性能や適合性を評価する

利用する技術、製品、稼働環境等を選定し、その事由と実装リスク、前提条件を明らかにする

システム方式設計の文書化とレビュー評価項目を表示

▼評価項目

システム方式およびシステム化要件との対応、インタフェース等をシステム方式設計書にまとめる

すべての機能要件および非機能要件がいずれかのシステムの構成要素に割り当てられていることを検証する

システム方式設計におけるシステム化要件の実現可能性を評価する

システム方式設計における運用および保守の実現可能性を評価する

開発準備 開発手法の決定と開発プロセスの定義評価項目を表示

▼評価項目

新システムの特性や開発体制、要員のスキル等を考慮して開発手法を選択する

開発への着手から完成に到るまでの大きなイベントを記述する

開発標準を踏まえて作業の方法や手順、文書化等のルールを定める

開発環境の準備評価項目を表示

▼評価項目

新システムの特性にあった開発言語や開発環境を選択する

プログラムの開発やテストに必要な機器やツールを明らかにする

開発環境を整備するために必要な費用を見積もる

運用設計 システム運用設計 システム運用設計とレビュー評価項目を表示
移行設計 移行設計 移行の要件と方針の明確化評価項目を表示
移行対象の明確化評価項目を表示

▼評価項目

移行対象(業務、システム、データ、その他の設備)を明らかにする

データのコンバート等、対象毎の移行方法と手順を定める

移行データやシステム動作等、対象毎の移行結果の検証方法を定める

移行テスト計画の作成評価項目を表示

▼評価項目

移行ツールのテストの方針と方法を定める

移行テスト環境の作成方針、システム構成、作成スケジュール等を定める

移行リハーサルの方法、実施形態、対象、範囲等を定め、移行リハーサル計画を立案する

移行のスケジュールと体制の明確化評価項目を表示

▼評価項目

限られた時間の中で並行して複数の作業を実施するためのスケジュールを作成する

ユーザ(業務担当者)を含む移行の体制と役割分担を定める

移行のスケジュールと体制、役割分担を関係者に説明し、合意形成する

基盤システム構築 基盤システム設計(共通) 全体設計(基本設計)評価項目を表示
基盤システム設計(プラットフォーム) プラットフォーム設計評価項目を表示

▼評価項目

プラットフォームに対する機能要件、非機能要件、運用要件に基づき製品を選定する

プラットフォームに対する機能要件、非機能要件、運用要件に基づき物理構成を設計する

ハードウェア、オペレーティングシステム、ミドルウェア等のコンポーネントごとのパラメータを設計する

プラットフォーム設計書を作成し、設計が要件を満たし、コンポーネント間の不整合がないことをレビューする

基盤システム設計(データベース) 物理データベース設計評価項目を表示

▼評価項目

データベースに対する機能要件、非機能要件、運用要件に基づき、DBMS製品を選定する

必要となるディスク容量を見積もる

論理的なI/O試算を行い、性能面からボトルネックを検証する

代替データベース、複数ディスクへの分散、データの格納順序、障害対策等を考慮してデータベースの物理的な配置を決定する

レスポンスタイムを想定し、DBMS製品の特性を活かした性能調整(フィールド設計、テーブルの非正規化、インデックスの設定、ファイルアクセス効率の改善等)を行う

機器の故障や災害や事故による障害に備えたデータのバックアップおよび回復の手段を決定する

データベースの運用管理・保守の設計評価項目を表示

▼評価項目

監視対象、監視方法、システム管理要素を特定する

データベースの運用手続きを決定し、データベース運用管理計画を作成する

全社標準およびシステム個別の要求事項を勘案して、データベースの保守方針を決定する

基盤システム設計(ネットワーク) ネットワークシステムの設計評価項目を表示

▼評価項目

サーバ、クライアント等のハードウェアの配置およびプロトコル、トポロジ等のネットワークアーキテクチャを決定し、予想されるネットワークの性能を評価する

セキュリティポリシーを認識し、セキュリティ対策を実現するために必要なネットワーク技術、機器を選定する

機器や回線の故障、災害や事故による障害に備えたバックアップおよび回復の手段を決定する

費用対効果、実現可能性を踏まえた信頼性対策を行う

設計したネットワーク構成が、アップタイム、性能、冗長性、可用性などのネットワーク要件を満たすことを確認する

ユーザの業務への影響の最小化を考慮し、不具合が生じた場合の復旧作業を含めた新ネットワークシステム構築の作業計画を作成する

ネットワークの運用管理・保守の設計評価項目を表示

▼評価項目

監視対象、監視方法、システム管理要素を特定する

ネットワークの運用手続きを決定し、ネットワーク運用管理計画を作成する

全社標準およびシステム個別の要求事項を勘案して、ネットワークの保守方針を決定する

基盤システム設計(システム管理) 運用管理システムの設計評価項目を表示

▼評価項目

運用要件に基づき運用管理ツールを選定する

運用管理設計に基づき、選定した運用管理ツールのパラメータを設計する

運用管理に必要なジョブ制御プログラム(ジョブネット、スクリプト等)を設計する

基盤システム設計(情報セキュリティ) セキュリティの設計評価項目を表示

▼評価項目

セキュリティポリシーに則して、情報資産別にアクセス方法を設計する

ネットワーク上のデータの改ざんや攻撃、コンピュータウイルス等の脅威を抑止するための安全策を設計する

ネットワーク以外の攻撃等について、脅威を抑止するための安全策を設計する

セキュリティ監視の範囲および監視結果の情報の保管方法を決定する

実施するセキュリティ対策について、セキュリティアーキテクチャとの整合を図る

特に高度なセキュリティが求められる箇所について、形式手法等を用いて脆弱性が生じにくいソフトウェアの設計・開発を行う

新たな技術や技術改良についてのセキュリティプログラムの実装を識別する

情報保証の観点から、アプリケーション、システム、ネットワークについてのセキュリティ評価を実施し、その結果を文書化する

情報保証において、レビュー結果をもとにセキュリティ、回復力および信頼性に関する対策を提言する

情報セキュリティ要件をもとに、ソフトウェアおよびシステムが備えるべきセキュリティ機能に関するセキュリティ設計仕様書を文書化する

基盤システム構築・テスト(プラットフォーム) プラットフォームの構築評価項目を表示

▼評価項目

サーバやストレージの設置を行い、OS、ドライバソフトウェア、ミドルウェア等のインストールと正常起動を確認する

設計書に基づきコンポーネントのパラメータを設定する

コンポーネント単体の動作テストを実施し、正常動作を確認する

テストの計画と実施評価項目を表示

▼評価項目

テストの要求事項と適用範囲を明らかにし、テスト仕様書を作成する

コンポーネントを結合し、正常に動作することを確認する

テストを実施し、性能、セキュリティ、バックアップ・リカバリ等が要件に適合することを確認する

性能改善の観点から、必要に応じてチューニングを行う

テスト結果を評価し、支障があった場合にはプロジェクト関係者と連携をとって対応を検討し、改善する

基盤システム構築・テスト(データベース) データベースの構築評価項目を表示

▼評価項目

DBMSのインストール、テーブルやインデックス、ユーザ等の作成、初期データの投入等を行う

設計書に基づきデータベースのパラメータを設定する

求められる性能等の要件を満たすための分析とチューニングを行う

テストの計画と実施評価項目を表示

▼評価項目

テストの要求事項と適用範囲を明らかにし、テスト仕様書を作成する

データベースアクセステストを実施し、性能、セキュリティ、インテグリティ、バックアップ・リカバリ等が要件に適合することを確認する

テスト結果を評価し、支障があった場合にはプロジェクト関係者と連携をとって対応を検討し、改善する

基盤システム構築・テスト(ネットワーク) ネットワークの構築評価項目を表示

▼評価項目

作業計画に基づきネットワーク機器および回線の手配を行う

ネットワーク機器や回線を設置してソフトウェアをインストールし、各々の機器および回線の接続、設定を行う

求められる性能等の要件を満たすための分析とチューニングを行う

テストの計画と実施評価項目を表示

▼評価項目

テストの要求事項と適用範囲を明らかにし、テスト仕様書を作成する

テストを実施し、性能、セキュリティ等が要件に適合することを確認する

テスト結果を評価し、支障があった場合にはプロジェクト関係者と連携をとって対応を検討し、改善する

基盤システム構築・テスト(システム管理) 運用管理システムの構築評価項目を表示

▼評価項目

運用管理ツールをインストールし、正常起動を確認する

設計書に基づき運用管理ツールのパラメータを設定する

ジョブ制御プログラム(ジョブネット、スクリプト等)を作成する

テストの計画と実施評価項目を表示

▼評価項目

テストの要求事項と適用範囲を明らかにし、テスト仕様書を作成する

テストを実施し、運用要件に適合することを確認する

テスト結果を評価し、支障があった場合にはプロジェクト関係者と連携をとって対応を検討し、改善する

基盤システム構築・テスト(情報セキュリティ) セキュリティの実装評価項目を表示

▼評価項目

情報システムやネットワークの構成要素を識別し、それぞれの構成要素に対してセキュリティ製品を選択し導入する

セキュリティ設計を実装する適当なセキュリティ製品が存在しない場合、必要に応じて独自にソフトウェア開発を行う

セキュリティ設計仕様書に則ったセキュリティ対策を実装する

情報保証の観点から、不適切に実装されたアプリケーション、システム、ネットワークの修正のための取り組みを実施させ、その実施状況を確認する

テスト計画と実施評価項目を表示

▼評価項目

テストの要求事項と適用範囲を明らかにし、テスト仕様書を作成する

テストを実施し、機密性、完全性、可用性等の要件に適合を確認する

適切な手法やツールを用いて脆弱性の検査を行う

情報保証において、セキュリティ、回復力、信頼性の要件に関するシステムの適合性を測定、評価する

テスト結果を評価し、支障があった場合にはプロジェクト関係者と連携をとって対応を検討し、改善する

ISO/IEC 15408の定める手順に基づき、ソフトウェアおよびシステムのセキュリティ評価を行う

アプリケーションシステム開発 アプリケーション共通基盤設計・構築 アプリケーション共通基盤の設計評価項目を表示
アプリケーション共通基盤の構築・テスト評価項目を表示

▼評価項目

設計を踏まえ、アプリケーション共通基盤を構築する

開発環境上でアプリケーション共通基盤の検証を行う

アプリケーション共通基盤の維持、管理を行う

アプリケーション構築の支援評価項目を表示

▼評価項目

アプリケーション共通基盤に関する開発者向けマニュアルを作成する

開発環境と利用方法、条件を説明し、適切な利用ができるように指導する

アプリケーション共通基盤の各機能とインタフェースを説明し、仕様に則した利用ができるように指導する

アプリケーション共通基盤の運用管理において、適格性および安全性を確保する

システムテスト システムテスト計画策定 システムテスト計画の作成評価項目を表示
システムテストの準備評価項目を表示

▼評価項目

各々の機能の特性に即し、システム要件を網羅したテストケースを設定する

性能要件として定められた事項に適したテスト環境、状態を定義し、目標性能と共にテストケースを設定する

システムテスト計画書に基づき、テストに必要な資源(ツール、コンピュータ資源、要員、体制等)を手配する

検証すべきテストケースに適したテストデータをデータ作成プログラム等も活用しながら準備する

システムテスト実施 システム結合評価項目を表示

▼評価項目

本番環境と物理的、論理的に隔離されたテスト環境を構築する

システム構成仕様に基づき、システムを構成するすべてのコンポーネントを結合し、動作可能な環境を作成する

システム結合環境の制約、制限と動作確認への影響を明らかにする

システムテストの実施と評価評価項目を表示

▼評価項目

個々のシステムテストの結果を踏まえて、以降のテストの保留や再開等、状況に応じた判断を行う

システムテストで発見した問題の内容と想定される原因、再現方法等を報告する

性能テストを実施し、再現性のある性能結果をまとめ、課題を洗い出す

システムの高負荷状態をシミュレーションや実環境で実現して負荷テストを実施し、結果を集計、分析して問題を明らかにする

システムテストで洗い出された課題を解決するために、設計、開発およびテストの再行計画を作成する

運用テスト 運用テストの準備評価項目を表示

▼評価項目

必要な資源、スケジュール、評価基準、テスト手順等を盛り込んだ運用テスト計画書を作成する

業務サイクル(日次、週次、月次、随時、四半期、半期、年次)を仮定したテスト仕様書を作成する

最大限、実データを利用して、運用テスト仕様を満たすテストデータを準備する

運用テストの実施と評価評価項目を表示

▼評価項目

運用手順書に準じて運用テストを行い、その結果を結果データと共に報告する

運用テストで発見した問題の内容と想定される原因、再現方法等を報告する

解決された不具合の対応結果を検証する

運用テストの結果に基づき、運用手順書の改定や教育・訓練を推進する

セキュリティテスト セキュリティテスト計画策定 セキュリティテスト計画の作成評価項目を表示
セキュリティテストの準備評価項目を表示

▼評価項目

テスト結果として報告すべき内容(不適格と判定されたテスト項目について、発生条件、リスクの大きさ、実施すべき対策の明示等)をテスト実施要領として定める

テスト計画書およびテスト実施要領に基づき、テスト実施体制を決定する(社内体制の構築または外部機関の選定)

テストの実施に必要な環境や条件を明らかにする

セキュリティテスト実施 セキュリティテストの実施評価項目を表示

▼評価項目

テスト計画書に基づき、テストの実施に必要な環境を準備する

テスト計画書およびテスト実施要領に基づくセキュリティテストを実施(または委託)する

テスト結果の報告を受け、テスト計画およびテスト実施要領に準じた内容であることを確認する

セキュリティテスト結果の対策実施評価項目を表示

▼評価項目

テスト結果を評価し、不適格と判定されたテスト項目への対策の必要可否を判断する

対策の内容(設計変更、システム運用方法の変更等)を定める

当該システムに施した対策に対する再テストを行い、判定結果に基づいた対策を定める

セキュリティテストの結果と対策の内容を関連文書(設計書、テスト仕様書、運用手順書等)に反映する

移行・導入(システムリリース) 受入れテスト 受入れテスト計画の作成評価項目を表示
受入れテストの実施と評価評価項目を表示

▼評価項目

受入テストを実施し、テスト成績を記録する

開発側と連携し、テスト中に発生した問題の対応策を決める

システムの機能と操作を把握し、テストシナリオに則したテストを実施する

テスト結果を評価し、本番導入のための条件を具体的に指し示し、開発側と合意形成する

受入れテストの支援評価項目を表示

▼評価項目

必要な資源、スケジュール、評価基準、テスト手順等を盛り込んだ受入れテスト計画書のたたき台を作成する

ユーザから提供されたテストデータをもとに、受入テスト環境を準備する

ユーザがテストを行う際、システムの操作方法や既存システムとの違い等を説明しながらテストを支援する

テストの進行状況についての情報をユーザと共有し、ユーザの課題解決を支援する

移行 移行の準備評価項目を表示

▼評価項目

移行の対象、移行テスト環境、本環境との相違を踏まえたテストデータ、検証項目、テスト用プログラム等を準備する

ユーザや現場担当者に移行計画を説明し、判断や協力を仰ぐ等の事前準備を行う

連携するシステムの担当者と調整し、連携箇所の移行・確認作業を計画する

事前に移行テスト(移行のリハーサル)を計画、実施し、移行計画を改善する

移行リハーサルの実施評価項目を表示

▼評価項目

移行の実施計画に従い、手順を検証する

切り戻しのポイントと条件、手順を検証する

移行の所用時間を測り、ボトルネックを確認する

システムの移行だけでなく、業務の移行も正しく行われることを検証する

移行に要した時間、発生したトラブル、改善項目を記録し、移行計画を改善する

移行の実施評価項目を表示

▼評価項目

移行計画に基づいた作業を実施し、作業状況や発生した課題を随時報告する

移行データやシステムの動作に対して、移行計画に基づいた検証を行う

移行計画やタイムスケジュールに基づいた移行を推進する

問題が発生した際、計画に基づいた作業の中止、切り戻し等の判断や、定められた連絡体制に基づいた連絡と対策の提示を行う

移行計画に基づき、移行完了を判断する

引継ぎに必要なドキュメントを作成し、運用担当へ引き渡す

導入 教育準備と実施評価項目を表示

▼評価項目

システムの運用、保守、利用のための教育プログラムを作成する

教育プログラムを効果的に実施するためのマニュアルや教材を用意する

教育プログラムを実施し、技術移転の成果を測定して必要な補足教育を計画、実施する

マニュアルの作成評価項目を表示

▼評価項目

ユーザのニーズに基づき、導入したシステムの利用、運用、保守にかかわるマニュアル体系を整備する

目的や対象者、マニュアルが使用される状況等に合致したマニュアルを作成もしくは入手する

システム要件と開発ドキュメント、テスト結果と照らし合わせて、作成したマニュアルを精査する

本稼働評価項目を表示

▼評価項目

システムテスト、受入れテスト、移行テストの結果、および運用に必要な教育やマニュアル整備の状況に基づき、本稼働の可否を判断する

関係者に本稼働のスケジュール、連絡体制、障害発生時の対応方法等を周知する

安定稼働までの監視体制を構築し、稼働状況を監視・検証する

ソフトウェア保守 保守の方針と計画の策定 保守および更新・構成変更の方針策定評価項目を表示
保守計画の策定評価項目を表示

▼評価項目

保守計画(体制、スケジュール等)を作成し、運用および保守の責任者の承認を得る

情報資産のシステムライフサイクルを把握し、資産の償却期間を考慮した保守計画を作成する

開発環境の構築等、開発業務から引き継いだテスト環境を利用するための準備を行う

変更されたコンポーネントの受入れ基準を明らかにし、テストの内容やレビュー方法を運用および開発責任者と合意する

問題の調査と分析 問題の把握評価項目を表示

▼評価項目

報告された問題に関する事実、現象と発生環境を分析し、派生する他の現象や原因の候補を洗い出す

原因を特定するための情報とその入手方法を明らかにし、可能な方法を実行する

収集した情報から問題の原因を絞り込み(または特定し)、問題の拡大を回避する方法や代替策を明らかにする

保守内容、影響範囲の調査と分析評価項目を表示

▼評価項目

保守の要求事項を確認し、影響範囲や費用対効果を調査、分析して、保守要件として具体化する

保守対象ドキュメント、プログラム、データ等の分析結果を記録する

変更依頼を作成し、ユーザおよび保守の責任者の承認を得る

サービスデスク IT利活用 個別ITシステム活用促進評価項目を表示
個別評価とフィードバック評価項目を表示

▼評価項目

システムの利用実態の調査と分析を行う

利用促進の面からITに対する改善ニーズとその理由を説明する

システム評価や利用実態調査の結果を分析して事業成果を把握し、改善要求を取りまとめる

全体のIT活用能力底上げ評価項目を表示

▼評価項目

対象とするユーザの情報リテラシーの現状を把握し、情報リテラシーの向上策を講じる

一般ユーザに対し、日常的に情報リテラシーの向上に資する情報発信活動を行う

IT投資効果の向上につながる業務上の改善策を提案する

IT投資を伴う業務改善の成功事例を紹介し、担当業務への適用を示唆する

活用シナジーの促進評価項目を表示

▼評価項目

IT利活用の成果収集とその成果を共有するための環境整備を行う

ナレッジ資産の蓄積や活用のため統括的マネジメントを実施する

次期ビジネスモデルやITアーキテクチャの企画に対し、IT利活用の観点でフィードバックを行う

システム利用者対応 業務運用評価項目を表示

▼評価項目

各種システム端末やOAソフト等の基本操作を説明する

故障や異常動作の場合の復旧や修理方法を案内する

端末増移設や既存のネットワーク網への端末追加等に伴うネットワークの設定を行う

ユーザ教育と支援評価項目を表示

▼評価項目

ユーザとのコミュニケーションプランを企画、分析、改善する

ユーザ満足度調査を実施し、満足度の改善活動を行う

ユーザへの教育や訓練を計画し、実施する

インシデント管理評価項目を表示

▼評価項目

SLAで合意した解決時間を超えないようにエスカレーションのプロセスを管理する

インシデントを識別、分類し、カテゴリ、緊急度、影響度、優先度を設定する

インシデントを担当者へエスカレーションする

問い合わせの受付から対応の完結までを追跡し、記録する

IT運用コントロール IT運用管理 ユーザ管理評価項目を表示
オペレーション管理評価項目を表示

▼評価項目

作業スケジュールの作成とメンテナンスを行う

利用部門の要求やシステムリソースの状況等を踏まえ、ジョブスケジュールを管理する

システムの稼動状況や障害を監視し、必要に応じて報告する

帳票デリバリサービスを実施する

定められたルールに基づき、データのオンライン・オフラインの保存および管理を行う

情報セキュリティ管理 情報セキュリティの運用評価項目を表示

▼評価項目

パッチ適用基準に基づくパッチのマネジメントを行う

従業員が発信する電子メールの内容確認、閲覧するサイトの管理、機器の持ち出し・持ち込み等の管理を行う

セキュリティ基準に基づき、アウトソース選定時および継続時におけるセキュリティ実施状況の有効性を検証する

第三者機関が発行する電子証明書を申請して入手し、その有効期限を管理し、期限切れになる前に更新手続きを行う

手続きやガイドラインがセキュリティポリシーに確実に適合しているかどうか、ポリシーに基づく標準と実装戦略を監視する

実行中のサービスからの要求を予測し、必要に応じてセキュリティ上の前提条件に関する評価を行う

組織内の関係者との連携のもとで、重要な業務機能を識別し、優先度を設定する

自組織で発行する電子証明書について、その発行業務を企画し、発行手続きを定める

自組織で発行する電子証明書について、その発行を管理し、それぞれの電子証明書の有効期限を管理し、期限切れになる前に更新手続きが必要なことを通知する

情報セキュリティの評価と検証評価項目を表示

▼評価項目

セキュリティを調査し、耐監査性、機密性、可用性、完全性等の観点から問題点を抽出する

セキュリティの安全性と有効性を検証する

情報保証において、アプリケーション、システム、ネットワークのリスクのレベルが許容範囲内であるかどうかを、観測結果をもとに継続的に検査する

情報保証の観点から、情報システムに関する保証と認定を維持するために必要な対策を講じて、それらの保証と認定を維持する

上位者または本部組織に対して、技術文書、インシデントレポート、検査結果、その他の観測情報を提供する

インシデント対応とコンピュータネットワーク防御に関して、外部組織と情報交換を行う

システム運用管理 問題管理 問題コントロールの開始評価項目を表示
エラーコントロール評価項目を表示

▼評価項目

故障や不具合等のエラーを識別し、記録する

関係部門と共同でエラーの内容を調査し、恒久的な解決策や回避策を立案する

エラー対策のための構成品目(CI)の変更を変更管理プロセスへ申請する

変更管理プロセスを経た解決策をリリース管理プロセスが実施するまでの作業の進捗を監視する

リリース管理プロセスを経た解決策を評価し、問題をクローズする

変更管理 変更要求の受付と記録評価項目を表示

▼評価項目

変更要求を受け付け、記録する手順とフォーマットを定める

変更要求に必要な情報がすべて網羅されていることを確認し、受付または却下を判断する

変更要求の影響範囲、影響の大きさ、変更の緊急度、優先度等を識別する

変更の実施評価項目を表示

▼評価項目

変更の実施、リリースおよび変更に失敗した際の修復の計画立案とスケジューリングを行う

変更の影響とリスクに応じた、しかるべき関係者に変更・テストの認可を得る

標準的な変更を、事前に決められた手順に基づき実施する

変更の評価評価項目を表示

▼評価項目

顧客の要件、コストの削減、性能の向上等、変更によって期待される効果が実現されていることを検証し、客観的な証拠を提示する

変更による意図しない影響を明確にし、フィードバックを行う

リスク・プロファイル、逸脱レポート、推奨事項、検定記述書からなる評価レポートを作成する

変更のレビューとクローズ評価項目を表示

▼評価項目

変更の効果、変更後の性能、リスク等に関して、要求元やステークホルダによるレビューを行う

変更がその達成目標に到達していない場合、必要な処置を検討し、決定する

変更がその達成目標に到達し、要求元やステークホルダの合意が得られた場合、変更のクローズを記録する

構成管理 構成管理の計画策定と設計評価項目を表示

▼評価項目

構成管理の目的、適用範囲、達成目標や役割責任を明らかにし、管理計画を作成する

構成品目(CI)の命名規約、細かさの度合い、属性を定める

構成管理の目的に応じた必要な機能に基づき、CMDB(構成管理データベース)やDSL(確定版ソフトウェアのライブラリ)等の構成管理システムを選定する

構成管理の実施評価項目を表示

▼評価項目

構成品目(CI)を分類、識別し、登録する

CMDB(構成管理データベース)内を定期的にチェックし、構成品目(CI)の情報を正しい状態に維持管理する

管理している構成品目(CI)の現バージョンと変更履歴、ステータスを取りまとめた報告書を発行する

リリース管理 リリースの計画、準備と実施評価項目を表示

▼評価項目

変更管理プロセスで承認された変更要求に基づき、リリース実施計画を作成する

リリースのための操作や必要な記録、切り戻しの手順等を定めたリリース手順書を作成する

利用マニュアル、トレーニング教材の作成等、ユーザへの対応を準備する

変更結果を構成管理システムに反映する

妥当性確認とテスト評価項目を表示

▼評価項目

コンポーネントの最終的な品質確認のためのテストを行う

リリースにより提供されるサービスが、予定されているコスト、キャパシティ、制約の範囲内で期待されている成果と価値を提供することを確認する

リリースにより提供されるサービスが、あらかじめ合意されたサービスレベル、顧客の事業要件およびステークホルダの要件を満たすことを検証し、客観的な証拠を提示する

障害管理 障害対応評価項目を表示

▼評価項目

エラーメッセージやエラーログ、データの状態等からシステムの状況を把握し、影響範囲を特定する

業務を再開するための暫定処置を施す

発生した障害を保守部門へエスカレーションする

保守部門が障害の原因を特定し、本来あるべき状態になるように恒久対応を施すことを支援する

障害管理報告書の内容を理解し、問題が発生した際に、過去の障害対応にさかのぼって調査、対応する

障害記録・再発防止評価項目を表示

▼評価項目

障害の情報をナレッジ化し、再発防止に努める

障害発生時の状況や解決に至るまでのプロセスを記録し、障害管理報告書を作成する

過去の障害対応の記録に基づき、将来起こり得る障害を想定した対応マニュアルや復旧手順書を作成する

性能管理 パフォーマンスとキャパシティの管理評価項目を表示

▼評価項目

ハードウェアやソフトウェア等のリソースのキャパシティとパフォーマンスのデータを収集し分析する

収集したデータからキャパシティおよびパフォーマンスの傾向をとらえ、しきい値や例外条件を設定する

キャパシティの最適化やパフォーマンスの向上を実現するために変更箇所を検討し、変更策を決定する

チューニングにより特定された構成品目(CI)の変更を変更管理プロセスへ申請する

処理量や処理内容に対して評価を行い、サービス性能が今後どうなるかをシミュレーションする

資源管理 ハードウェアの管理評価項目を表示

▼評価項目

安全性、信頼性、拡張性、性能を確保するために、ハードウェアの更新を提案する

ハードウェア資源管理のツールと仕組みを導入する

ハードウェア資源管理の仕組みを運用する

ハードウェア資源管理を行う体制や役割を定める

ソフトウェアの管理評価項目を表示

▼評価項目

安全性、信頼性、拡張性、性能を確保するために、ソフトウェアの更新を提案する

ソフトウェア資源管理のツールと仕組みを導入する

ソフトウェア資源管理の仕組みを運用する

ソフトウェア資源管理を行う体制や役割を定める

データの管理評価項目を表示

▼評価項目

バックアップ対象の特性やデータ量、処理時間等により、記録媒体やバックアップサイクル等を決定する

バックアップとリストアの所要時間を踏まえて、全体バックアップと差分バックアップのサイクルを設定する

記録媒体の適切な管理方法と管理場所を提案する

データを保全するためにバックアップ・リカバリの運用を実施する

データ量を定期的に測定し、不要データの廃棄やディスク容量の増強を図る

ネットワーク資源の管理評価項目を表示

▼評価項目

安全性、信頼性、拡張性、性能を確保するためにネットワークの更新を提案する

ネットワーク資源管理のツールと仕組みを導入する

ネットワーク資源管理の仕組みを運用する

ネットワーク資源管理を行う体制や役割を定める

セキュリティ障害管理 事故の検知評価項目を表示

▼評価項目

ログファイルを定期的にチェックし、セキュリティ事故を検知する

システムの整合性を定期的にチェックし、セキュリティ事故を検知する

自動ツールを駆使し、不正侵入を検知する

事故の初動処理評価項目を表示

▼評価項目

事故発生時の情報システム責任者や関係部門への連絡を定められた手続通りに行う

事故の影響の大きさと範囲を想定して処置の優先順位を付け、被害拡大を回避する処置を行う

事故に対する初動処理を記録し、報告する

事故の分析評価項目を表示

▼評価項目

事故の被害の範囲を識別する

セキュリティホール情報やセキュリティ勧告、パッチ情報の最新情報を得て事故の分析を行う

事故の原因を特定する

必要に応じてデジタルフォレンジックを行う

事故からの復旧評価項目を表示

▼評価項目

必要に応じてシステムの再編成を行う

事故に対する対処と復旧の経過を記録する

情報システム管理者およびユーザに事故からの復旧を通知する

再発防止策の実施評価項目を表示

▼評価項目

同じような事故に対する再発防止策を決定して実施する

事故の再発防止のために、必要に応じてシステムの再構築を行う

再発防止策に基づき、セキュリティの見直しを提言する

セキュリティの評価評価項目を表示

▼評価項目

侵入検査を行い、セキュリティポリシーの遵守状況を評価する

侵入検査を継続的に実施する

侵入検査で不備のある場合に対策を行う

セキュリティの評価情報に基づき、セキュリティの見直を提言する

サービスマネジメント サービス戦略管理 ITサービス戦略管理評価項目を表示
サービスポートフォリオ管理評価項目を表示

▼評価項目

利益予想と受容可能なリスクレベルに関する分析を行い、どのサービスを提供すべきかを決定するためのプロセスと仕組みを構築する

提供する各サービスが満たすビジネスニーズと達成する事業成果を明らかにした確定版サービスポートフォリオを作成し、維持管理する

どのサービスをどのような条件で、どの投資レベルで提供するかをコントロールする

存続できないサービスを識別し、廃止するタイミングを決定する

課金管理評価項目を表示

▼評価項目

課金の目的(サービスの受益者負担、ユーザのコスト意識の醸成等)を踏まえ、公平な課金の仕組みの必要性を検討する

サービスの提供に関する課金の仕組みを構築する

サービスの提供に関する課金の仕組みを運用する

コスト管理評価項目を表示

▼評価項目

コストの内訳を把握し、妥当性を評価する

運用業務への要求レベルとコスト効率を総合的に勘案したサービスレベルの見直しを提案し、顧客と合意する

必要に応じて契約等の見直しを交渉し、顧客と合意する

需要管理評価項目を表示

▼評価項目

顧客のプロファイルを定義・分析し、さまざまな種類の顧客から発生するサービスに対する需要の代表的なプロファイルを把握する

サービスに対する需要がそのサービスを提供するためのキャパシティを超える状況を予測し、防止する

サービスに対する需要の変動に対応するために、サービスの提供に必要なリソースを調整する

事業関係管理評価項目を表示

▼評価項目

サービスに対する顧客の観点を理解し、サービスおよびサービス資産の優先度を定める

提供するサービスの種類、レベル、利用の有無に影響を与える可能性のある顧客環境の変化を識別する

サービスおよびサービスレベルが確実に価値を提供できるように、顧客との協力関係を構築する

サービス設計と移行 要員管理評価項目を表示

▼評価項目

関係組織の人事システム、ルール、服務規程を踏まえて、要員管理を行う

要員の役割分担と動機付けを行う

要員の業務能力を把握した上で、業務の配分、スケジュールの管理を行う

サービスレベルの管理評価項目を表示

▼評価項目

顧客との間で達成可能なサービスレベルを交渉し、SLAを締結する

SLAで定めたサービスレベルの評価指標に基づき、到達状況を測定する

SLAの未到達項目の改善策を提示し、改善に向けて指導する

SLAの到達状況に基づき、根本的な課題を洗い出し、関係者と協業して改善策を講じる

サービス実施体制の管理評価項目を表示

▼評価項目

サービスの提供に必要な要員を確保するために、派遣契約、業務委託契約を維持管理する

社員、派遣社員、業務委託社員の守秘義務を維持管理する

状況に応じて運用体制を見直し、関係者と調整する

サービスカタログ管理評価項目を表示

▼評価項目

サービスカタログ内に含まれる情報(成果物、価格、連絡先、注文、要求のプロセスに関する情報)を管理する

サービスカタログに稼働環境で実行されている、または実行のために準備されているすべてのサービスの最新の詳細、ステータス、インタフェース、依存関係が反映されるように維持管理を行う

サービスカタログの利用者にとって効果的、効率的な利用方法を確立する

可用性管理評価項目を表示

▼評価項目

現在および将来のビジネスニーズを反映する可用性計画を作成し、維持管理を行う

サービスの可用性が合意された目標値を実現するために、サービスとリソースに関連する可用性パフォーマンスを管理する

可用性計画におけるすべての変更の影響およびサービスとリソースの可用性をアセスメントする

ITサービス継続管理評価項目を表示

▼評価項目

組織の全体的な事業継続計画を支援する一連のITサービス継続計画を作成し、維持管理を行う

ITサービス継続計画が事業への影響と事業要件の変化にあわせて維持管理されるように、定期的にBIA(事業インパクト分析)を行う

ITサービス継続計画に対する変更の影響をアセスメントする

サプライヤ管理評価項目を表示

▼評価項目

ビジネスニーズと整合し、投資に見合う価値を得るために、サプライヤとの契約内容を定める

サプライヤのパフォーマンスを管理する

契約についてサプライヤと交渉、合意し、そのライフサイクルを通して管理を行う

ナレッジ管理評価項目を表示

▼評価項目

情報やナレッジを作成、レビュー、承認、維持、コントロール、破棄するプロセスを定め、文書化する

サービスを支援するために有用なナレッジの識別を支援する

組織内および組織間、担当者間のナレッジの継承を促進するために、関連するナレッジを検索し取り出す効果的、効率的な仕組みを構築する

資産管理・評価 資産管理プロセスの実施 廃棄計画の策定と実施評価項目を表示
情報セキュリティマネジメント 情報セキュリティ戦略と方針の策定 情報資産の評価評価項目を表示
脅威とリスクの識別評価項目を表示

▼評価項目

現状の脅威に関する情報を網羅的に収集する

現状の脅威に関する情報を情報の改ざん、情報の漏洩、資源の浪費、資源の不正利用、人による過ち等の分類項目で整理する

情報資産に対する現状のリスク(システム廃棄を含む)を識別する

リスクの発生しうる場所および発生時期を整理する

リスクの原因を、物理的な要因、技術的な要因、人的な要因に分類し、整理する

リスクの評価評価項目を表示

▼評価項目

現状、リスクに対して対策がどの程度実施されているか調査し、その結果を整理する

整理されたリスクの発生確率を明らかにし、損害額を算定する

各リスクに対して、リスク軽減の対策とコストを算定する

リスクアセスメントで発見された残留リスクが許容可能か否かを評価する

各々のリスク対策にランク付けを行う

セキュリティポリシーの策定評価項目を表示

▼評価項目

セキュリティ対策への取り組みを経営方針に反映させる

セキュリティ対策の目的、適用範囲、達成レベル、対策基準の方針、情報セキュリティの責任者、経営者・従業員の遵守事項、組織または実施体制、運用、罰則、公開、見直しについて記述する

経営層、情報セキュリティ関係担当役員、企画関係者にセキュリティ方針と体制を説明し、承認を得る

情報セキュリティに関する法律やISO、JIS等の標準規格を踏まえて、ポリシー案およびその調整に関するレビューと承認を行う

組織のセキュリティ目標を実現するための情報セキュリティ戦略の代替案を分析する

情報セキュリティの運用 情報セキュリティガバナンス評価項目を表示

▼評価項目

セキュアな運用と情報保全の維持に必要なリソースを確保する

リスクアセスメント、監査、検査を通じて識別された脆弱性に対して、適切な対策を講じる

セキュリティリスクの分析結果を、組織設計、職務分掌、業務プロセス定義等に反映させる

現場部門に情報セキュリティ戦略に対応したプロセスを実施させる

必要なセキュリティレベルを確保するために満足すべきセキュリティ対策に関する要件を、システムおよびサービスの調達要件に反映させる

セキュリティリスク、緩和策およびその他の技術リスクを扱うリスクガバナンスのプロセスに関与する

情報セキュリティ対策について、組織の目標の達成に向けて組織管理者と連携する

情報セキュリティ予算、要員、契約を主導・監督する

認定ないし保証されたセキュリティ対策の実施状況に関する最新の文書を入手し、利用する

組織内のさまざまな関係者と情報セキュリティ対策の在り方について意見交換する

予め緊急時の対応の権限を委任され、必要な対処を行う

組織で実施する検査、テスト、レビューを、ネットワーク環境に適した形で確実に実施させる

情報セキュリティのインシデント発生時にCSIRTを指揮し、情報を収集し、経営陣に報告する

情報セキュリティの周知と教育評価項目を表示

▼評価項目

情報セキュリティ戦略、セキュリティポリシーおよび遵守すべきガイドラインを協働者、アウトソース等を含む関係者に周知徹底する

役割別、階層別の情報セキュリティ教育を企画し、実施する

セキュリティインシデントがもたらす社会的影響を従業員に理解させる

情報セキュリティの見直し 情報の収集と評価評価項目を表示

▼評価項目

セキュリティに関する法令の改正や社会通念の変化、コンプライアンス上の新たな課題等の情報を収集する

セキュリティホールやセキュリティ勧告およびパッチの最新情報を収集する

最新のセキュリティ技術情報を収集し、対象システムに適用できるかどうか評価する

運用上の問題点整理と分析評価項目を表示

▼評価項目

アンケートやヒアリングを行い、セキュリティポリシー実施上の問題点を収集、整理する

違反者の多いセキュリティ基準を収集、整理する

非遵守事項が情報セキュリティにどのような影響を及ぼすかを導き出す

整理された問題点について、セキュリティポリシー変更に対する分析を行い、ポリシーを見直す

事故の再発防止策の実施によってセキュリティポリシーの受ける影響を分析し、ポリシーを見直す

適切な緩和策を確実に実施するための監査指摘事項と勧告の追跡を行う

セキュリティ対策に関する改善策が確実に実施されていることを確認する

技術上の問題点整理と分析評価項目を表示

▼評価項目

新技術の開発により影響を受けるセキュリティポリシーの箇所を識別し、整理する

セキュリティ評価の結果から、影響を受けるセキュリティポリシーの箇所を識別し、整理する

整理された問題点について、セキュリティポリシー変更に対する分析を行い、ポリシーを見直す

情報技術の変化に応じてセキュリティ要件を変更する、もしくは変更が不要なことを確認する

新たなリスクの整理と分析評価項目を表示

▼評価項目

新たなリスクを収集、整理する

新たなリスクにより影響を受けるセキュリティポリシーの箇所を識別し、整理する

情報保証の観点から、リスクのレベルがアプリケーション、システム、ネットワークにおいて許容範囲内であることを確認するためのレビューを行う

整理された問題点について、セキュリティポリシー変更に対する分析を行い、ポリシーを見直す

セキュリティポリシーの更新評価項目を表示

▼評価項目

セキュリティポリシーの見直し対象について、再度リスク分析を行い、ポリシーを更新する

セキュリティポリシーの更新を経営層、情報セキュリティ関係担当役員、企画関係者に説明し、承認を得る

継続的にセキュリティポリシーの見直しを行う

情報技術の変化に応じて、セキュリティ要件を変更、もしくは変更が不要なことを確認する

新たな価値創造による新規製品・サービス開発 新規製品・サービスの事業化計画立案 サービスレベルの管理評価項目を表示
IoTシステム・サービスのライフサイクル システム運用管理>セーフティ障害管理 事故の検知評価項目を表示
事故の初動処理評価項目を表示

▼評価項目

事故発生時の情報システム責任者や関係部門への連絡を定められた手続通りに行う

事故の影響の大きさと範囲を想定して処置の優先順位を付け、被害拡大を回避する処置を行う

事故に対する初動処理を記録し、報告する

事故の分析評価項目を表示

▼評価項目

事故の被害の範囲を識別する

事故情報やセーフティ勧告、セーフティへの影響情報の最新情報を得て事故の分析を行う

事故の原因を特定する

必要に応じてデジタルフォレンジックを行う

事故からの復旧評価項目を表示

▼評価項目

必要に応じてシステムの再編成を行う

事故に対する対処と復旧の経過を記録する

情報システム管理者およびユーザに事故からの復旧を通知する

再発防止策の実施評価項目を表示

▼評価項目

同じような事故に対する再発防止策を決定して実施する

事故の再発防止のために、必要に応じてシステムの再構築を行う

再発防止策に基づき、セーフティの見直しを提言する

セーフティの評価評価項目を表示

▼評価項目

欠陥注入(Fault Insertion)検査を行い、セーフティポリシーの遵守状況を評価する

セーフティメカニズムの自己診断検査を継続的に実施する

セーフティメカニズムの自己診断検査で不備のある場合に対策を行う

セーフティの評価情報に基づき、セーフティの見直を提言する

セキュリティ領域 システム要件定義・方式設計>システム化要件定義 要求事項の調査と分析評価項目を表示
非機能要件の定義評価項目を表示

▼評価項目

可用性、性能・拡張性、運用・保守性、移行性、セキュリティ、システム環境・エコロジーに関する要求をシステムとして実現するための非機能要件として具体化する

非機能要件に対する実装方式を提示する

非機能要件を実現するための費用を算出する

非機能要件に関する制約事項を抽出する

システム要件定義・方式設計>セキュリティ要件定義 現状把握評価項目を表示

▼評価項目

組織のセキュリティポリシーを把握し、情報セキュリティに関する組織規程やルール、法令、ガイドラインの内容を確認する

当該システムの制約、前提条件、特性を明らかにする

セキュリティポリシーやシステムの制約、前提条件、特性に基づき、セキュリティリスク(システムの脆弱性、脅威等)の分析を行う

セキュリティ要件の定義評価項目を表示

▼評価項目

セキュリティリスクを回避するための認証、利用制限、データの秘匿、不正追跡・監視、ネットワーク対策、マルウェア対策、Web対策等の要件項目を明らかにする

各セキュリティ要件項目の具体的な要件と達成指標を定義する

決定したセキュリティ要件を実現するセキュリティ対策を定義し、文書化する

セキュリティ要件の評価評価項目を表示

▼評価項目

セキュリティ要件のセキュリティポリシーへの準拠性を評価する

当該システムにおける機能要件およびセキュリティ以外の非機能要件との一貫性を評価する

当該システムにおけるセキュリティ要件の実現可能性を評価する

当該システムにセキュリティ要件を実装した際の運用・保守の実現可能性を評価する

システム要件定義・方式設計>システム方式設計 適用製品・技術の評価と選定評価項目を表示

▼評価項目

システム方式設計に準じて、利用候補となる技術、製品の性能や適合性を評価する

システム方式設計に準じて、利用候補となるパッケージソフトウェアの機能や性能、適合性を評価する

システム方式設計に準じて、利用候補となるPaaS、IaaS等のシステム稼働環境の性能や適合性を評価する

利用する技術、製品、稼働環境等を選定し、その事由と実装リスク、前提条件を明らかにする

運用設計>システム運用設計 システム運用設計とレビュー評価項目を表示

▼評価項目

業務の組織、要員、運用体制、運用フロー等の業務運用に基づきシステム運用方式をまとめる

障害監視対象を明らかにし、システム監視方法を設計する

システム運用管理要件を踏まえ、システム監視方式を設計する

システム運用管理要件を踏まえ、バックアップ・リストア方式を設計する

災害発生を想定し、リスク分散や復旧の手順を設計する

運用手順書(定常時、障害時、保守、更新、構成変更)を作成し、レビューする

対象とするシステムの運用計画に、必要なセキュリティレベルを確保するために実施すべき情報セキュリティ対策を反映させる

基盤システム構築>基盤システム設計(共通) 全体設計(基本設計)評価項目を表示

▼評価項目

システム基盤の設計・構築の各工程で利用する技術標準や作成すべきドキュメントを決定する

システム基盤に対する機能要件、非機能要件、運用要件を満たす構成要素の組み合わせを検討し、基本モデルを選定する

システム基盤に起因するアプリケーション構築上の制約を提言する

基盤システム構築>基盤システム設計(情報セキュリティ) セキュリティの設計評価項目を表示

▼評価項目

セキュリティポリシーに則して、情報資産別にアクセス方法を設計する

ネットワーク上のデータの改ざんや攻撃、コンピュータウイルス等の脅威を抑止するための安全策を設計する

ネットワーク以外の攻撃等について、脅威を抑止するための安全策を設計する

セキュリティ監視の範囲および監視結果の情報の保管方法を決定する

実施するセキュリティ対策について、セキュリティアーキテクチャとの整合を図る

特に高度なセキュリティが求められる箇所について、形式手法等を用いて脆弱性が生じにくいソフトウェアの設計・開発を行う

新たな技術や技術改良についてのセキュリティプログラムの実装を識別する

情報保証の観点から、アプリケーション、システム、ネットワークについてのセキュリティ評価を実施し、その結果を文書化する

情報保証において、レビュー結果をもとにセキュリティ、回復力および信頼性に関する対策を提言する

情報セキュリティ要件をもとに、ソフトウェアおよびシステムが備えるべきセキュリティ機能に関するセキュリティ設計仕様書を文書化する

基盤システム構築>基盤システム構築・テスト(情報セキュリティ) セキュリティの実装評価項目を表示

▼評価項目

情報システムやネットワークの構成要素を識別し、それぞれの構成要素に対してセキュリティ製品を選択し導入する

セキュリティ設計を実装する適当なセキュリティ製品が存在しない場合、必要に応じて独自にソフトウェア開発を行う

セキュリティ設計仕様書に則ったセキュリティ対策を実装する

情報保証の観点から、不適切に実装されたアプリケーション、システム、ネットワークの修正のための取り組みを実施させ、その実施状況を確認する

テスト計画と実施評価項目を表示

▼評価項目

テストの要求事項と適用範囲を明らかにし、テスト仕様書を作成する

テストを実施し、機密性、完全性、可用性等の要件に適合を確認する

適切な手法やツールを用いて脆弱性の検査を行う

情報保証において、セキュリティ、回復力、信頼性の要件に関するシステムの適合性を測定、評価する

テスト結果を評価し、支障があった場合にはプロジェクト関係者と連携をとって対応を検討し、改善する

ISO/IEC 15408の定める手順に基づき、ソフトウェアおよびシステムのセキュリティ評価を行う

セキュリティテスト>セキュリティテスト計画策定 セキュリティテスト計画の作成評価項目を表示

▼評価項目

当該システムのセキュリティ要件を踏まえてセキュリティテスト方針を定める

セキュリティテスト方針に基づくテストの対象範囲と実施環境を明らかにする

セキュリティ要件に基づくセキュリティテスト項目と合否判定基準を定める

テストの実施スケジュール、体制、実施環境を含むテスト計画書を作成する

セキュリティテストの準備評価項目を表示

▼評価項目

テスト結果として報告すべき内容(不適格と判定されたテスト項目について、発生条件、リスクの大きさ、実施すべき対策の明示等)をテスト実施要領として定める

テスト計画書およびテスト実施要領に基づき、テスト実施体制を決定する(社内体制の構築または外部機関の選定)

テストの実施に必要な環境や条件を明らかにする

セキュリティテスト>セキュリティテスト実施 セキュリティテストの実施評価項目を表示

▼評価項目

テスト計画書に基づき、テストの実施に必要な環境を準備する

テスト計画書およびテスト実施要領に基づくセキュリティテストを実施(または委託)する

テスト結果の報告を受け、テスト計画およびテスト実施要領に準じた内容であることを確認する

セキュリティテスト結果の対策実施評価項目を表示

▼評価項目

テスト結果を評価し、不適格と判定されたテスト項目への対策の必要可否を判断する

対策の内容(設計変更、システム運用方法の変更等)を定める

当該システムに施した対策に対する再テストを行い、判定結果に基づいた対策を定める

セキュリティテストの結果と対策の内容を関連文書(設計書、テスト仕様書、運用手順書等)に反映する

移行・導入(システムリリース)>受入れテスト 受入れテストの支援評価項目を表示

▼評価項目

必要な資源、スケジュール、評価基準、テスト手順等を盛り込んだ受入れテスト計画書のたたき台を作成する

ユーザから提供されたテストデータをもとに、受入テスト環境を準備する

ユーザがテストを行う際、システムの操作方法や既存システムとの違い等を説明しながらテストを支援する

テストの進行状況についての情報をユーザと共有し、ユーザの課題解決を支援する

IT運用コントロール>情報セキュリティ管理 情報セキュリティの運用評価項目を表示

▼評価項目

パッチ適用基準に基づくパッチのマネジメントを行う

従業員が発信する電子メールの内容確認、閲覧するサイトの管理、機器の持ち出し・持ち込み等の管理を行う

セキュリティ基準に基づき、アウトソース選定時および継続時におけるセキュリティ実施状況の有効性を検証する

第三者機関が発行する電子証明書を申請して入手し、その有効期限を管理し、期限切れになる前に更新手続きを行う

手続きやガイドラインがセキュリティポリシーに確実に適合しているかどうか、ポリシーに基づく標準と実装戦略を監視する

実行中のサービスからの要求を予測し、必要に応じてセキュリティ上の前提条件に関する評価を行う

組織内の関係者との連携のもとで、重要な業務機能を識別し、優先度を設定する

自組織で発行する電子証明書について、その発行業務を企画し、発行手続きを定める

自組織で発行する電子証明書について、その発行を管理し、それぞれの電子証明書の有効期限を管理し、期限切れになる前に更新手続きが必要なことを通知する

情報セキュリティの評価と検証評価項目を表示

▼評価項目

セキュリティを調査し、耐監査性、機密性、可用性、完全性等の観点から問題点を抽出する

セキュリティの安全性と有効性を検証する

情報保証において、アプリケーション、システム、ネットワークのリスクのレベルが許容範囲内であるかどうかを、観測結果をもとに継続的に検査する

情報保証の観点から、情報システムに関する保証と認定を維持するために必要な対策を講じて、それらの保証と認定を維持する

上位者または本部組織に対して、技術文書、インシデントレポート、検査結果、その他の観測情報を提供する

インシデント対応とコンピュータネットワーク防御に関して、外部組織と情報交換を行う

システム運用管理>変更管理 変更の評価評価項目を表示

▼評価項目

顧客の要件、コストの削減、性能の向上等、変更によって期待される効果が実現されていることを検証し、客観的な証拠を提示する

変更による意図しない影響を明確にし、フィードバックを行う

リスク・プロファイル、逸脱レポート、推奨事項、検定記述書からなる評価レポートを作成する

システム運用管理>リリース管理 妥当性確認とテスト評価項目を表示

▼評価項目

コンポーネントの最終的な品質確認のためのテストを行う

リリースにより提供されるサービスが、予定されているコスト、キャパシティ、制約の範囲内で期待されている成果と価値を提供することを確認する

リリースにより提供されるサービスが、あらかじめ合意されたサービスレベル、顧客の事業要件およびステークホルダの要件を満たすことを検証し、客観的な証拠を提示する

システム運用管理>セキュリティ障害管理 事故の検知評価項目を表示

▼評価項目

ログファイルを定期的にチェックし、セキュリティ事故を検知する

システムの整合性を定期的にチェックし、セキュリティ事故を検知する

自動ツールを駆使し、不正侵入を検知する

事故の初動処理評価項目を表示

▼評価項目

事故発生時の情報システム責任者や関係部門への連絡を定められた手続通りに行う

事故の影響の大きさと範囲を想定して処置の優先順位を付け、被害拡大を回避する処置を行う

事故に対する初動処理を記録し、報告する

事故の分析評価項目を表示

▼評価項目

事故の被害の範囲を識別する

セキュリティホール情報やセキュリティ勧告、パッチ情報の最新情報を得て事故の分析を行う

事故の原因を特定する

必要に応じてデジタルフォレンジックを行う

事故からの復旧評価項目を表示

▼評価項目

必要に応じてシステムの再編成を行う

事故に対する対処と復旧の経過を記録する

情報システム管理者およびユーザに事故からの復旧を通知する

再発防止策の実施評価項目を表示

▼評価項目

同じような事故に対する再発防止策を決定して実施する

事故の再発防止のために、必要に応じてシステムの再構築を行う

再発防止策に基づき、セキュリティの見直しを提言する

セキュリティの評価評価項目を表示

▼評価項目

侵入検査を行い、セキュリティポリシーの遵守状況を評価する

侵入検査を継続的に実施する

侵入検査で不備のある場合に対策を行う

セキュリティの評価情報に基づき、セキュリティの見直を提言する

情報セキュリティマネジメント>情報セキュリティ戦略と方針の策定 情報資産の評価評価項目を表示

▼評価項目

情報資産(システム、データ、人材、ドキュメント)を識別する

機密性、完全性、可用性の3つの側面から経営における重要度、致命度を評価し、整理する

整理、評価した情報資産について、経営層、情報セキュリティ関係担当役員、企画関係者に説明し、承認を得る

脅威とリスクの識別評価項目を表示

▼評価項目

現状の脅威に関する情報を網羅的に収集する

現状の脅威に関する情報を情報の改ざん、情報の漏洩、資源の浪費、資源の不正利用、人による過ち等の分類項目で整理する

情報資産に対する現状のリスク(システム廃棄を含む)を識別する

リスクの発生しうる場所および発生時期を整理する

リスクの原因を、物理的な要因、技術的な要因、人的な要因に分類し、整理する

リスクの評価評価項目を表示

▼評価項目

現状、リスクに対して対策がどの程度実施されているか調査し、その結果を整理する

整理されたリスクの発生確率を明らかにし、損害額を算定する

各リスクに対して、リスク軽減の対策とコストを算定する

リスクアセスメントで発見された残留リスクが許容可能か否かを評価する

各々のリスク対策にランク付けを行う

セキュリティポリシーの策定評価項目を表示

▼評価項目

セキュリティ対策への取り組みを経営方針に反映させる

セキュリティ対策の目的、適用範囲、達成レベル、対策基準の方針、情報セキュリティの責任者、経営者・従業員の遵守事項、組織または実施体制、運用、罰則、公開、見直しについて記述する

経営層、情報セキュリティ関係担当役員、企画関係者にセキュリティ方針と体制を説明し、承認を得る

情報セキュリティに関する法律やISO、JIS等の標準規格を踏まえて、ポリシー案およびその調整に関するレビューと承認を行う

組織のセキュリティ目標を実現するための情報セキュリティ戦略の代替案を分析する

情報セキュリティマネジメント>情報セキュリティの運用 情報セキュリティガバナンス評価項目を表示

▼評価項目

セキュアな運用と情報保全の維持に必要なリソースを確保する

リスクアセスメント、監査、検査を通じて識別された脆弱性に対して、適切な対策を講じる

セキュリティリスクの分析結果を、組織設計、職務分掌、業務プロセス定義等に反映させる

現場部門に情報セキュリティ戦略に対応したプロセスを実施させる

必要なセキュリティレベルを確保するために満足すべきセキュリティ対策に関する要件を、システムおよびサービスの調達要件に反映させる

セキュリティリスク、緩和策およびその他の技術リスクを扱うリスクガバナンスのプロセスに関与する

情報セキュリティ対策について、組織の目標の達成に向けて組織管理者と連携する

情報セキュリティ予算、要員、契約を主導・監督する

認定ないし保証されたセキュリティ対策の実施状況に関する最新の文書を入手し、利用する

組織内のさまざまな関係者と情報セキュリティ対策の在り方について意見交換する

予め緊急時の対応の権限を委任され、必要な対処を行う

組織で実施する検査、テスト、レビューを、ネットワーク環境に適した形で確実に実施させる

情報セキュリティのインシデント発生時にCSIRTを指揮し、情報を収集し、経営陣に報告する

情報セキュリティの周知と教育評価項目を表示

▼評価項目

情報セキュリティ戦略、セキュリティポリシーおよび遵守すべきガイドラインを協働者、アウトソース等を含む関係者に周知徹底する

役割別、階層別の情報セキュリティ教育を企画し、実施する

セキュリティインシデントがもたらす社会的影響を従業員に理解させる

情報セキュリティマネジメント>情報セキュリティの見直し 情報の収集と評価評価項目を表示

▼評価項目

セキュリティに関する法令の改正や社会通念の変化、コンプライアンス上の新たな課題等の情報を収集する

セキュリティホールやセキュリティ勧告およびパッチの最新情報を収集する

最新のセキュリティ技術情報を収集し、対象システムに適用できるかどうか評価する

運用上の問題点整理と分析評価項目を表示

▼評価項目

アンケートやヒアリングを行い、セキュリティポリシー実施上の問題点を収集、整理する

違反者の多いセキュリティ基準を収集、整理する

非遵守事項が情報セキュリティにどのような影響を及ぼすかを導き出す

整理された問題点について、セキュリティポリシー変更に対する分析を行い、ポリシーを見直す

事故の再発防止策の実施によってセキュリティポリシーの受ける影響を分析し、ポリシーを見直す

適切な緩和策を確実に実施するための監査指摘事項と勧告の追跡を行う

セキュリティ対策に関する改善策が確実に実施されていることを確認する

技術上の問題点整理と分析評価項目を表示

▼評価項目

新技術の開発により影響を受けるセキュリティポリシーの箇所を識別し、整理する

セキュリティ評価の結果から、影響を受けるセキュリティポリシーの箇所を識別し、整理する

整理された問題点について、セキュリティポリシー変更に対する分析を行い、ポリシーを見直す

情報技術の変化に応じてセキュリティ要件を変更する、もしくは変更が不要なことを確認する

新たなリスクの整理と分析評価項目を表示

▼評価項目

新たなリスクを収集、整理する

新たなリスクにより影響を受けるセキュリティポリシーの箇所を識別し、整理する

情報保証の観点から、リスクのレベルがアプリケーション、システム、ネットワークにおいて許容範囲内であることを確認するためのレビューを行う

整理された問題点について、セキュリティポリシー変更に対する分析を行い、ポリシーを見直す

セキュリティポリシーの更新評価項目を表示

▼評価項目

セキュリティポリシーの見直し対象について、再度リスク分析を行い、ポリシーを更新する

セキュリティポリシーの更新を経営層、情報セキュリティ関係担当役員、企画関係者に説明し、承認を得る

継続的にセキュリティポリシーの見直しを行う

情報技術の変化に応じて、セキュリティ要件を変更、もしくは変更が不要なことを確認する