第６章 通信及び運用管理
運用手順及び責任
【管理目的】情報処理設備の正確、かつ、セキュリティを保った運用を確実にするため。
【管理方針】ＩＴ運用を正しく行う為、運用の手順等の整備、維持を行う。
操作手順
【要求事項】操作手順は、文書化し維持していくこと。また、その手順は、必要とするすべての利用者に対して利用可能とすること。
【実施管理策】
(1) ユーザープロセス、セッションおよびファイル：エンドユーザは、当社のシステム管理者が緊急時にはユーザーへの通告無しに、以下の措置を取ることをあらかじめ諒解しておくこと。
(2) ユーザープロセスがシステムリソースを過度に消費する、あるいは著しいレスポンスの低下がみられる場合、プロセスの優先順位を変更する。もしくは、プロセスを停止する。
(3) ユーザーのセッションや接続がセキュリティポリシー違反に該当する、もしくはシステムリソースを過度に消費している場合、それらのセッションや接続を切断する。
(4) ユーザーのディスクファイルがディスク容量を過度に消費している場合、移動や圧縮処置をとる。
(5) 重要なアプリケーションの復旧ログ：重要度の高いビジネスアプリケーションについては、システム活動を15分以内に再開することを目的とした復旧ログを維持管理しなければならない。
(6) プロダクションアプリケーション文書：アプリケーションをプロダクション環境に移行する際には、事前にプロダクションアプリケーション文書を作成し、決められた情報オーナーの承認を受けなければならない。
(7) プロダクションアプリケーション文書には、アプリケーションを実行するのに必要なシステムリソース、関連するファイル、セキュリティの機能、ジョブやプロセスを監視し、管理するための仕様、アウトプットの処理方法を記述する必要がある。
(8) システムの可用性：経営と技術スタッフは共有コンピュータへのユーザーアクセスに関して、月次就労時間の９５％以上の可用性を保証する必要がある。
(9) コンピュータの災害復旧計画：経営は洪水・地震・竜巻等の災害による深刻な損害に備え、災害復旧計画を策定しなければならない。なお、定期的に計画を更新するとともにテストを実施する必要がある。
(10) 主要なテクニカルジョブ：経営は、当社の主要なテクニカルジョブとその担当者のリストを１年に１度作成する必要がある。
(11) 相互監視運用：当社のビジネスに影響度の高い情報システムに関する基盤技術サービスに関して、常時２人以上のスタッフを供給できる体制を確保しなければならない。
(12) コンタクト情報：情報システム部門の技術スタッフは、外出時には必ずページャーを携帯すること。上長もしくは所属グループの秘書にページャーの番号を通知し、就労時間外や旅行中であっても常時連絡の取れる体制を確保しなければならない。
(13) プロダクションの変更：当社のプロダクションデータやプロダクションプログラムの変更は、認可された要員以外には許可されない。なお、変更の手順を確立しておくこと。
(14) プロダクショントランザクション処理の権限付与：ビジネスレコードを更新するトランザクション処理は、当社の経営が認可したものに限られる。
(15) ビジネスレコードの修正：当社のビジネスレコードにエラーがあることが検知された場合、スタッフは、既定の管理手順に従って速やかに修正しなければならない。
(16) システムの専門家：重要度の高いコンピュータやコミュニケーションに関わる専門家は、常時２名以上配備しなければならない。
(17) コンピュータおよびコミュニケーションサービスに対する請求：コンピュータ利用者はコンピュータおよび通信費の詳細を随時レビューしなければならない。それには、組織内の返金明細も含まれる。その際、請求が妥当か、重大なミスや無認可の使用が無いないかどうかを見落としてはならない。
【関連文書】「各操作手順書」
変更管理
【要求事項】情報処理設備及びシステムの変更について管理する事。
【実施管理策】
(1) ベンダーが供給する特権ユーザーID：当社においてマルチユーザーコンピュータOSを導入する際には、技術スタッフは事前にすべての特権ユーザーID（"administrator"、"auditor"、あるいは"installer"等）を無効化するか、改名しなければならない。
(2) ソフトウェアの削除：OS標準付属のモジュールやユーティリティが明らかに不要であるか、基本のシステムソフトウェアの運用に不必要である場合、プロダクション環境での実運用に入る前にそれらを削除するか、無効化しなければならない。
(3) プロダクションOSの変更：プロダクションOSに拡張、修正、書き換えを施す際には、事前に情報セキュリティ部門マネジャーの書面による承認を取得しておかなければならない。
(4) プロダクションOS変更の見直し：技術スタッフは、プロダクションOS変更の見直しや脆弱性の検査を定期的に実施しなければならない。
(5) ソフトウェアのバージョン：技術スタッフは、当社のOS、データベース、ファイアウォール、関連ソフトウェア、ビジネスアプリケーションソフトウェアのバージョンは、安定した最新のリリースレベルのものに維持管理しなければならない。
(6) 復旧手順：プロダクションシステムソフトウェアとプロダクションアプリケーションソフトウェアの復旧手順を含む適切な変更管理手順が策定されなければならない。その手順は、変更前の最終稼動状態に速やかに復旧できるものでなければならない。
(7) OSのバージョン：当社が採用するOSは、安定性が保証された最新のバージョンを使用しなければならない。
【関連文書】「システム運用／仕様変更申請書」「運用変更管理台帳」
職務の分割
【要求事項】職務及び責任範囲は、組織の資産に対する、認可されていない又は意図しない変更又は誤用の危険性を低減するために、分割すること。
【実施管理策】
(1) ジョブローテーション：コンピュータ関連の重大な責任を担う役職にいるスタッフは、18ヶ月ごとに他のポジションへの配置換えが必要である。
(2) 職務の分離：当社の機密性、完全性、可用性の高い重要な情報を扱うコンピュータベースのプロセスにおいて、職務の分離もしくは代替の管理策を講じる必要がある。この管理策は、重要な情報資産に対する個人レベルの排他的な管理を目的とする。
(3) 作業責任の分担：機密性、完全性、可用性の高い重要な情報を扱う仕事には、少なくとも２人以上のスタッフを配備することが望ましい。これは、仕事の開始から完了の手続きと作業の結果を承認する役割など情報処理活動における作業分担を目的とする。
(4) コンピュータによる分析の見直し：専任者が単独でスプレッドシート等のアプリケーションを使ってリサーチして導き出されたビジネスの決定のうち、１億円を超えるものは、実際にアクションを起こす前に他のマネジャーが詳細の見直しを行わなければならない。
開発施設及び運用施設の分離
【要求事項】開発施設、試験施設、及び運用施設は、運用システムへの認可されていないアクセス又は変更によるリスクを低減するために、分離すること。
【実施管理策】
(1) プロダクション及び開発の分離：開発中のビジネスアプリケーションソフトウェアは、プロダクションアプリケーションソフトウェアから厳密に分離されていなければならない。
(2) そのためには、物理的なコンピュータシステムの分離、およびディレクトリやライブラリに対するアクセス制御の強化を考慮すること。
(3) 情報技術職の分離：プロダクションアプリケーションソースコードの開発と保守、プロダクションアプリケーションのステージングと運用、さらにプロダクションアプリケーションのデータ処理は、それぞれを個別のスタッフで遂行すべきである。
(4) プログラミングとテストの分離：開発中のプロダクションビジネスアプリケーションソフトウェアと、テスト中のプロダクションビジネスアプリケーションソフトウェアは厳密に分離されなければならない。
(5) そのためには、物理的なコンピュータシステムの分離、およびディレクトリやライブラリに対するアクセス制御の強化を考慮すること。
(6) ソフトウェアのテスト：ビジネスアプリケーションソフトウェアの開発に関わった人員は、公式のソフトウェアテストおよび日々の運用に関わってはならない。
第三者が提供するサービスの管理
【管理目的】第三者の提供するサービスに関する合意に沿った、情報セキュリティ及びサービスの適切なレベルを確保し、維持するため。
【管理方針】第三者が提供するＩＴサービスのリスクを識別し、適切な管理策を施し、維持する。
第三者が提供するサービス
【要求事項】第三者が提供するサービスに関する合意に含まれる、セキュリティ管理策、サービスの定義、及び提供サービスレベルが、第三者によって実施、運用及び維持されることを確実にすること。
【実施管理策】
(1) 外部委託におけるリスクと要求：情報処理設備の管理を外部に委託する際には、事前にあらゆるリスクを想定し、リスク軽減策を確立したうえで、サービスの契約内容に外部契約者への要求事項を盛り込む必要がある。
第三者が提供するサービスの監視及びレビュー
【要求事項】第三者が提供するサービス、報告及び記録は、常に監視し、レビューしなければならない。また、監査も定期的に実施しなければならない。
【実施管理策】
(1) 第三者サービスに対する契約事項に、監視及びレビュー要件を盛り込む事。
【関連文書】（各契約文書）
第三者が提供するサービスの変更に対する管理
【要求事項】関連する業務システム及び業務プロセスの重要性、並びにリスクの再評価を考慮して、サービス提供の変更（現行の情報セキュリティ方針、手順、及び管理策の保守・改善を含む）を管理すること。
【実施管理策】
(1) 第三者サービスが変更される場合、直ちに変更に伴うリスクを評価し、適切な管理策を見出さなければならない。
システムの計画作成及び受け入れ
【管理目的】システム故障のリスクを最小限に抑えること。
【管理方針】ＩＴシステムのライフサイクルを管理し、適正な運用を実施する。
容量・能力の管理
【要求事項】要求されたシステム性能を満たすことを確実にするために、資源の利用を監視・調整し、また、将来必要とする容量・能力を予測すること。
【実施管理策】
(1) マルチユーザーシステムの実装：イントラネットサーバ、電子掲示板、ＬＡＮ，モデム接続、その他の情報通信システムを既存の内部ネットワークへ接続する際には、事前に情報セキュリティ部門長の承認を得なければならない。
(2) システムの相互接続：二つ以上のコンピュータシステム間でリアルタイム接続を確立してはならない。ただし、情報セキュリティ部門がセキュリティの脅威が無いことを認めた場合を除く。
【関連文書】「機器構成管理台帳」
システムの受け入れ
【要求事項】新しい情報システム、改訂版及び更新版の受け入れ基準を確立し、その受け入れ前に適切な試験を実施すること。
【実施管理策】
(1) システムの設定：サーバー、ホストマシン、ファイアウォール、その他のマルチユーザーコンピュータの設定は、情報セキュリティ部門が策定するセキュリティ要求事項に準拠したものでなければならない。
(2) プロダクションシステムに関する文書：ビジネス活動を実現するためのソフトウェアやハードウェアの開発要員は、配備の前にシステムの文書化を完了しなければならない。
(3) 新技術の評価：アプリケーションソフト、ハードウェア、ネットワークの新しい技術を使用するためには事前に情報セキュリティ管理者の評価と承認を得なければならない。
(4) プロダクションシステムの変更管理：新規のビジネスアプリケーションシステムをプロダクションへ移行するか、ビジネスアプリケーションシステムへ大きな変更を加えるためには、情報セキュリティ部門のマネジャーによる書面による承認を得なければならない。
(5) プロダクションアプリケーションの受け入れ：マルチユーザーコンピュータ上で新規のプログラムの使用の認可を得るには、コンピュータ運用部門、関わりのあるユーザー部門と情報技術監査部門からの署名付きの受け入れ許可が必要である。
(6) エンドユーザによるシステム開発：エンドユーザの開発による非常に重要な情報を取り扱うソフトウェアをプロダクションプロセスにおいて使用するためには、適切な対策が講じてあることをセキュリティ部門マネジャーから承認されなければならない。
(7) ソフトウェアの変更に対する不測の事態対策：新しいプロダクションソフトウェアの実装、もしくは、大幅なソフトウェアの変更が一億円以上の損失を引き起こす可能性があると考えられる場合には、経営は、影響を被るおそれのあるユーザーに対してサービスの継続を保証するかたちでのソフトウェア変更に関する不測の事態対策を策定しなければならない。
(8) 情報セキュリティの影響分析：機密情報のコンピュータへの移行、新規あるいは大きな変更をもたらす方法での機密情報の取リ扱いに関して、潜在的なセキュリティの影響度を評価するためにリスクアセスメントを実施する必要がある。
(9) セキュリティ影響記述書：新規のビジネスアプリケーションシステムがプロダクションで使用されるか、既存のアプリケーションシステムに大きな変更が加えられる、または、補強される場合、事前に、既定の手順に従って簡潔なセキュリティ影響記述書が提出されなければならない。
(10) プライバシーへの影響からの見直し：システムの開発や補強のプロジェクトが個人のプライバシーに実質的に影響を与える可能性があれば、独立した委員会によるレビューを受けなければならない。その委員会は、個人がプロジェクトによって結果的にリスクや不利益を被るかどうかを評価し、必要であれば、プロジェクトの修正や中止を求める。
(11) 情報セキュリティ管理策に対するユーザーの支持：すべての情報セキュリティ管理策はユーザーに受け入れられ、なおかつ支持されていることが明らかでなければならない。そのために、経営は管理策の有効性を説明する努力を尽くすこと。
(12) システム設定のテンプレート：当社の標準のコンピュータは、情報セキュリティ部門から提供される３つのセキュリティテンプレートのうちの何れかに従って設定され、カスタマイズしなければならない。
【関連文書】「運用システム管理台帳」
悪意のあるコード及びモバイルコードからの保護
【管理目的】ソフトウェア及び情報の完全性を保護するため。
【管理方針】ウィルスやワーム等の不正ソフトの対策を徹底し、情報セキュリティを確実にする。
悪意のあるコードに対する管理策
【要求事項】悪意のあるコードから保護するために、検出、予防及び回復のための管理策、並びに利用者に適切に意識させるための手順を実施すること。
【実施管理策】
(1) ネットワークアクセス：必要とされているソフトウェアパッチを適用していないシステム、あるいはウィルスに感染しているシステムは、当社のネットワークから切断されなければならない。
(2) コンピュータウィルスの駆除：ウィルスに感染した疑いのある場合は、直ちにコンピュータの電源を落とし、接続中のすべてのネットワーク接続から切り離し、社内ヘルプディスクへ連絡しなければならない。ウィルスの被害を最小化するため、エンドユーザは独力でウィルス駆除を試みてはならない。
(3) システム管理者によるウィルスの駆除：エンドユーザは、システム管理者とコミュニケーションをとっていない限り、ウィルスの駆除を試行してはならない。
(4) ソフトウェアのダウンロード：スタッフは、当社以外のシステムから、ソフトウェアをダウンロードしてはならない。
(5) ソフトウェアの走査：信頼のおける外部の個人または組織からソフトウェアを入手した場合で無い限り、不正コードの走査を実施し、情報セキュリティ部門あるいは情報セキュリティコーディネーターターのセキュリティ責任者による承認を得なければならない。
(6) ウィルスのテスト：外部からソフトウェアやファイルを入手した場合は、当社の情報システムで使用する前に、必ず不正なソフトウェアの有無を検査しなければならない。検査は、スタンドアロンマシンか業務で使用していないマシンで行う。
(7) 第三者へのソフトウェアの配布：第三者へ配布するソフトウェアや実行形式ファイルは、事前にウィルスが無いことを保証されていなければならない。
(8) アンチウィルスソフトウェアの導入：当社のすべてのファイアウォール、FTPサーバー、メールサーバー、イントラネットネットサーバー、およびデスクトップマシンにアンチウィルスソフトウェアを導入し、有効化しておかなければならない。
(9) 複数のウィルス検知ソフトウェア：電子メールやその他のファイルが当社のネットワークに到達する拠点において、少なくとも２つ以上のウィルス検知ソフトウェアを使用しなければならない。
(10) ウィルスフリーを示すステッカー：外部から入手したフロッピーディスクには、専任の管理者による検査と承認を受けて得られるウィルスフリーであることを保証するステッカーを貼り付けること。その後、当社のパーソナルコンピュータあるいはLAN（ローカルエリアネットワーク）上のサーバー上でフロッピーの使用が許可される。
(11) ダウンロードしたソフトウェアのスキャン：当社以外のソースからダウンロードしたソフトウェアを解凍する前に、認可されたウィルス検出ソフトウェアによってソフトウェアを検査しなければならない。その際、ユーザーはすべてのサーバーからログオフするなど、すべてのネットワーク接続を切断しておくこと。
(12) システムの完全性チェック：当社の全コンピュータおよびサーバーにおいて、構成設定ファイル、システムソフトウェア、アプリケーションソフトウェア、およびその他のシステムリソースに対する変更を検知するために完全性検査ソフトウェアを少なくとも一日一回は継続して運用しなければならない。
(13) ウィルスチェックプログラム：すべてのLAN（ローカルエリアネットワーク）上のサーバーとネットワーク接続のあるパーソナルコンピュータにおいて、情報セキュリティ部門に認可されたウィルスチェックプログラムを絶えず有効化しておかなければならない。
(14) 最新のウィルスソフト：当社の情報をコンピュータ上で調査し、処理を行い、保存する仕事に従事するすべてのスタッフは、情報セキュリティ部門が承認した最新バージョンのウィルス検出ソフトウェアを導入し、定期的に実行しなければならない。
(15) ウィルスチェックのためのファイルの解凍：外部から入手したファイルは、認可されたウィルス検査を受ける前にすべて解凍されなければならない。
(16) ソフトウェアの書き込み禁止：ウィルスによるソフトウェアの書き換えを防ぐために、パーソナルコンピュータやワークステーションで実行しているソフトウェアを書き込み禁止状態にしておくこと。ただし、インストール中であるか、再構成されているか、運用上自身を書き変えるソフトウェアを除く。
(17) バックアップファイルのウィルススキャン：バックアップ記録媒体から当社のプロダクションへファイルを復旧する際には、最新バージョンのウィルス検出ソフトウェアを使用してウィルス検査を実施しなければならない。
(18) ウィルスへの関与：スタッフは、当社のコンピュータやネットワークを複製したり、損傷を与えたり、負荷を与えるようなコンピュータコードの作成、加工、コンパイル、コピー、収集、配布、増殖、実行や試行に意図的に関わってはならない。
(19) ユーザーのソフトウェア導入：ユーザーが、パーソナルコンピュータやネットワークサーバーなどのマシンにソフトウェアをインストールするには、情報セキュリティコーディネーターの事前認可が必要である。
(20) 外部プログラムのロード：外部で開発されたコンピュータプログラムをパーソナルコンピュータ、ワークステーション、ネットワークサーバー、あるいは社内ネットワークに接続されたコンピュータに読み込ませるためには、あらかじめ情報システム部門の認可を受けておかねばならない。
(21) プッシュ技術によるソフトウェアのアップデート：バッググラウンドプッシュ技術を利用してソフトウェアの自動アップデートを行う場合は、情報セキュリティ部門によって関連するソフトウェアがテストされた場合にのみ許可される。
(22) インターネットミラーサイトからのソフトウェアダウンロード：デジタル署名など、認証ツールを装備した信頼のおける供給元からでない限り、インターネットミラーサイトから直接ソフトウェアをダウンロードしてはいけない。
(23) インターネット経由のソフトウェアダウンロード：エンドユーザは、いかなる状況であっても、インターネットからソフトウェアをダウンロードしてはいけない。
(24) ダウンロードした情報：インターネットや他の公共ネットワークなどの当社以外の拠点を経由してダウンロードしたソフトウェアやファイルは、他のプログラムに組み込んで、実行される前にウィルス検出ソフトウェアを使用してウィルス検査を行うこと。
モバイルコード（ダウンロードされるプログラム）に対する管理策
【要求事項】モバイルコードの利用が認可された場合は、認可されたモバイルコードが、明確に定義されたセキュリティ方針に従って動作することを確実にする環境設定を行うこと。また、認可されていないモバイルコードを実行できないようにすること。
【実施管理策】
(1) インターネットを介してダウンロードされるプログラムは、情報セキュリティ管理者によって、事前に承認されなければならない。
(2) ダウンロードしたら、実行前に必ず検査をしなければならない。この検査プログラムは最新の状態に保たなければならない。
【関連文書】「ダウンロード可能ソフト管理台帳」
バックアップ
【管理目的】情報及び情報処理設備の完全性及び可用性を維持するため。
【管理方針】重要な情報は確実にバックアップを行い、情報の完全性、可用性及び事業継続を確実にする。
情報のバックアップ
【要求事項】情報及びソフトウェアのバックアップは、合意されたバックアップ方針に従って定期的に取得し、検査すること。
【実施管理策】
(1) ソフトウェアのマスタコピー：すべてのパーソナルコンピュータソフトウェアは、使用前に必ず複製をとること。そのようなマスタコピーは安全なセキュリティ保護を受けた場所に保管されるとともに、日常業務で使用してはならない。
(2) データのバックアップ：当社のシステム上の重要なビジネス情報およびソフトウェアは月次ベースで定期的にバックアップされなければならない。
(3) バックアップ媒体：ユーザーは、重要なファイルのバックアップをとるためには、各自データ記憶媒体を用意すること。バックアップを目的として、当社の共有コンピュータに接続されたハードドライブやデータ記憶媒体を使用してはいけない。
(4) バックアップ媒体の暗号化：機密性、完全性、可用性の高い情報をバックアップコンピュータ媒体に記録し、当社のオフィス外の拠点で保管する場合は、必ず暗号化されなければならない。
(5) オンサイトにおけるバックアップファイル：プロダクションコンピュータを運用しているサイトでは、少なくとも一世代以上のオフラインデータ記憶媒体によるバックアップファイルが維持管理されなければならない。
(6) 複数のバックアップコピー：当社の重要な情報を記録した最終の完全バックアップを二つ以上作成し、常にオフサイトに保管しなければならない。
(7) バックアッププロセス：エンドユーザーファイルの差分バックアップは、毎営業日に管理者によって午後６時から行われること。ただし、金曜日は、すべてのファイルのフルバックアップが実施されなければならない。
(8) 自動バックアップ：LAN（ローカルエリアネットワーク）に接続しているユーザーは、自動バックアップが実行されるよう、夜間もコンピュータの電源をつけたままにしておくこと。
(9) バックアップされた情報のレビュー：当社のシステムに保存されているすべてのファイルとメッセージは、磁気テープ、ディスクなどの磁気記憶媒体に定期的にバックアップされなければならない。また、システム管理者もしくは担当の経営が、問題なく復旧できることを後日確認する必要がある。
(10) 重要なバックアップファイル：重要データのバックアップをデータのリストア目的で使用してはならない。ただし、他の記憶媒体に同一データの別のバックアップコピーがある場合を除く。
(11) バッチ処理に先行するバックアップ：バッチ処理に関連するすべてのマスターファイルとマスターデータベースのバックアップが先行して完了しない限りは、プロダクションバッチ処理を開始してはいけない。
(12) バックアップ用記憶媒体：重要なビジネスの情報やソフトウェアのバックアップは、災害対策とアクセスコントロール対策が講じられているオリジナルの施設から十分に離れたサイトに保管しなければならない。
(13) バックアップ媒体の保管場所：コンピュータおよびネットワークのバックアップ記憶媒体は、バックアップ処理を行うマシンから隔離された別の防火区域に保管しなければならない。
(14) バックアップ用記憶媒体ユニット：火災警報による自動閉鎖機能がない場合、耐火性のバックアップ媒体保管室、保管庫、あるいはキャビネットなどのバックアップ媒体を保管している領域を、完全に閉鎖しておかなければならない。
(15) ウェブサイトと商取引サイトの記録保管：ウェブサイトと商取引サイトのファイルの各バージョンは、それぞれ物理的に離れた場所に記録保管されなければならない。
(16) 重要な情報のバックアップ：技術スタッフは、少なくとも４ヶ月に１度、重要度の高いビジネス情報やソフトウェアのバックアップを磁気記録媒体に保管しなければならない。なお、少なくとも１年間は、媒体を保管しなければならない。
(17) アーカイブされた磁気記憶媒体のディレクトリ：バックアップデータをオフサイトに保管する際には、情報が更新された最終日付や情報の所在などの固有の情報がカレントディレクトリに反映されるようにしなければならない。
(18) 記憶媒体：機密性、完全性、可用性の高い重要な情報を6ヶ月以上保管する場合、保管媒体は品質の劣化が無いものでなければならない。
(19) 記憶媒体のテスト：技術スタッフは、コンピュータ記録媒体に長期間に渡って保管されている重要なビジネス情報やソフトウェアのテストを少なくとも年に１度、行わなければならない。
(20) 記憶媒体の品質：機密性、完全性、可用性の高い重要な情報を保管するために使用される媒体は高品質のものでなければならない。また、定期的に信頼性のテストを実施しなければならない。
(21) 記憶媒体の保護：機密性、完全性、可用性の高い重要な情報を長期間保管する際、品質の劣化によるデータの損失が起きないよう保管手順を整備する必要がある。
(22) オフサイトに保管されたペーパーフォーム：オフサイトに保管してあるペーパーフォームと当社のプリンター、ファックス等の機器との互換性テストが、少なくとも３ヶ月に１度実施されなければならない。
ネットワークセキュリティ管理
【管理目的】ネットワークにおける情報の保護、及びネットワークを支える基盤の保護を確実にするため。
【管理方針】ネットワークに関する機器，設備、ソフトウェア、設定情報及びサービス業者の管理を実施し、ネットワーク利用のセキュリティを確実にする。
ネットワーク管理策
【要求事項】ネットワークを脅威から保護するために、また、処理中の情報を含め、ネットワークを用いた業務用システム及び業務用ソフトウェアのセキュリティを維持するために、ネットワークを適切に管理し、制御すること。
【実施管理策】
(1) ホストの信頼関係：情報セキュリティ部門の管理者による書面での承認が無い限り、技術スタッフは当社の内部ネットワークに接続しているコンピュータ間でホストの信頼関係を構築してはいけない。
(2) セキュリティ設定：当社の社内ネットワークに接続するすべてのホストの構成と設定パラメータは、社内セキュリティ基準と規程に準拠しなければならない。
(3) 外部接続ネットワークインターフェース：当社のシステム設計および開発担当は、情報セキュリティ部門マネジャーの認可を受けた外部接続ネットワークインターフェースとプロトコルに限って使用できるものとする。
(4) リモート接続による調査：当社では、社内ネットワークに接続しているパーソナルコンピュータのネットワーク活動状況について定期的なモニタリングが実施されなければならない。そのような調査には、ウィルススキャン、ソフトウェアのライセンス検査も含まれる。
(5) インターネットのトラフィック制御：当社では、従業員が訪問したウェブサイトの情報やインターネット送受信のトラフィックはすべてモニタリングされる。それらのトラフィックに対してフィルタリング、ブロッキングによる制御は実施されない。
(6) クッキーとウェブバグ：当社のウェブサイトまたは商取引サイトにおいてクッキーやウェブバグを使用するためには、収集する個人情報を情報セキュリティ管理委員会に提出し、その認可を受けなければならない。
(7) 情報伝達における機密保持：機密性の高い情報を公共の通信網を通じて提供する際には、競合相手によって利用されることを避けるために、公共の利用可能性を損なわない程度での情報の完全性に対する修正を施さなければならない。
(8) ネットワークサービス停止の回避：経営は、当社の通信ネットワークの構築において、一点の障害が全体のサービスの停止を引き起こすことの無い設計がなされていることを確認する責任がある。
(9) 複数のキャリア：経営は、当社の通信ネットワーク上の重要性の高い通信網については、物理的に異なる経路を通じて複数の長距離キャリアに転送されるよう冗長的な設計がなされていることを確実にする責任がある。
(10) インターネットドメインの登録：当社のすべてのオフィシャルサイトのドメイン名登録における支払い、文書管理業務は、規定の公衆通信管理マネジャーによって適切なタイミングと方法で管理されなければならない、
(11) 完全性検査ツール：インターネット接続のあるプロダクションシステムには完全性検査ツールを導入しなければならない。
完全性検査ツールとは、一日単位で重要なファイルの中のハッシュまたはデジタル署名と、オフラインシステム上で維持しているハッシュまたはデジタル署名とを比較し、変更や改ざんの有無を確認するツールである。
(12) メッセージ保護サービス：当社コンピュータネットワーキングサービスとして、ネットワークメッセージ保護サービスを提供しない。
(13) 内部ネットワークアドレス：当社ネットワークシステムの内部システムアドレス、構成情報、およびシステム設計情報に対して、社外のユーザーやシステムがアクセスできないよう接続を制限しなければならない。
(14) ネットワークドメイン：技術スタッフは、全国あるいは組織の境界にまたがる広範囲のネットワークは、独立した論理ドメインに分割されなければならに。それぞれのドメインは、適切なセキュリティ境界とアクセス制御機構によって保護される必要がある。
(15) 不正侵入検知システム：インターネット接続のあるすべてのマルチユーザーコンピュータにおいて、情報セキュリティ部門が承認した不正侵入検知システムを運用しなければならない。
(16) ホストベースの侵入検知システム：外部とのネットワーク接続を持つメールサーバー、ウェブサーバ、アプリケーションサーバ、データベースサーバー、ファイアウォール上では、情報セキュリティ部門が認可したホストベースの侵入検知システムを、継続的に運用しなければならない。
(17) パーソナルコンピュータとワークステーションファイアウォール：ダイアルアップ、デジタル・サブスクライバ・ライン(DSL)、総合デジタル通信網（ISDN）、ケーブルモデムなどを利用してインターネットと接続しているパーソナルコンピュータとワークステーションには、認証済のファイアウォールを各自インストールし、継続的に有効化しなければならない。
(18) ファイアウォールへの管理者アクセス：当社のインターネット接続のあるファイアウォールは、認可された管理者がサービス停止攻撃(DDOS)の最中に接続を確立することを許可するためにバックチャネルアクセスを設けなければならない。
(19) ファイアウォールによるインターネット商用サーバーの保護：課金サーバー、データベースサーバー、WEBサーバーなどのすべてのインターネット商用サーバーは、DMZに配備されたファイアウォールによって保護されなければならない。
(20) 公共向けインターネットサーバ：公共向けインターネットサーバは、ルータやファイアウォールによって一般からのトラフィックを制限した、当社の内部ネットワークと分離したサブネット上に設置しなければならない。
(21) ダイアルアップ接続：当社の内部ネットワークやコンピュータシステムに接続する内向きのダイアルアップ回線は、情報セキュリティ部門から認可を受けた追加のアクセス制御ポイントを経由させねばならない。
(22) リアルタイム外部ネットワーク接続：当社の内部ネットワークやマルチユーザーコンピュータシステムに接続する内向きのリアルタイム外部接続は、追加のアクセス制御ポイントを経由させねばならない。
(23) ファイアウォールの設定：インターネットに接続するファイアウォール上では、インターネットサービスに関するすべてのデフォルト設定を無効にすること。情報セキュリティ管理マネジャーが個別に書面で認可したサービスに限って、有効とすることができる。
(24) ファイアウォール用コンピュータ：内部ネットワークを保護するために用いられるファイアウォールは、他の利用目的を持たない専用のコンピュータで実行すること。
(25) ファイアウォールの設定変更：ファイアウォールの設定規則と許可するサービスの設定規則は、情報セキュリティ部門の許可無しには変更できない。
(26) インターネット接続：当社の内部ネットワークと外部ネットワーク（インターネット等の一般がアクセス可能なネットワーク）との接続には、認可されたファイアウォールと必要なアクセス制御を配備しなければならない。
(27) 共有ディレクトリシステム：インターネット接続があるか、インターネット経由で直接到達可能なコンピュータ上の共有ディレクトリシステムは、情報セキュリティ部門の認可を得なければ使用できない。
(28) 外部組織とのネットワーク接続：インターネットなどの公共ネットワークを介して、当社のシステムやコンピュータと外部の組織との直接の接続を確立するためには、情報セキュリティ部門マネジャーの承認が必要である。
(29) 通信ラインの変更：遠距離通信管理部門の部門長の承認を得ない限り、いかなるキャリアのボイス回線やデータ回線であろうとも、スタッフとベンダーとの間で導入の契約を取り交わし、導入を実際に行うことは許可されない。
(30) ネットワークの接続設定：すべての社内ネットワークは、認可されていないコンピュータへの接続を防御、あるいは検出するための設定を施されなければならない。
(31) 外部ネットワーク接続の資産目録：情報セキュリティ部門は、外部ネットワーク接続（電話回線ネットワーク、EDIネットワーク、エクストラネットおよびインターネット等）における最新の資産目録を維持管理しなければならない。
(32) 一般ネットワークサービスの提供：ネットワークサービスを加入者に供給するために一般ネットワークを利用する際には、当社の法務部門が事前に法的責任の範囲と内容を評価しなければならない。また、トップマネジメントはそれらのリスクを受容することを表明する必要がある。
(33) コンピュータに関するアクセス番号：当社のコンピュータや情報システムにアクセスするための情報（ダイアルアップモデムの電話番号等）は機密情報である。また、そのような情報を、インターネット、電話帳、名刺に掲示し、第三者に提供する必要があれば、情報セキュリティ部門長の事前の許諾を得なければならない。
(34) ダイアルアップ番号の変更：当社のダイアルアップ接続の電話番号は、少なくとも年に1回は変更されなければならない。
(35) ダイアルアウト接続：当社のオフィスからダイアルアウト接続を行っているユーザーは、外向けのコールを確立する前に本人であることを証明するとともに、専用の外向けモデムプールを利用しなければならない。
(36) ケーブルモデム：ファイアウォールと仮想プライベートネットワーク（VPN）を利用しない限り、当社のビジネスの通信にケーブルモデムを使用してはならない。
(37) ダイアルアップコールモデムの設定：当社のダイアルアップモデムの呼び出し音は、４回まで鳴らす事。
(38) TELNET接続におけるパスワード：当社のインターネットを経由したTELNET接続においては、旧来の固定パスワードによる接続を確立してはならない。その接続にあたっては、ダイナミックなパスワードか、認可されたユーザー認証技術が使用されなければならない。
(39) 動的コンテンツのスクリーニング：動的コンテンツ等の内向きのアプレットは、ファイアウォールを使って自動的に削除しなければならない。
(40) インターネットアクセス：当社内のコンピュータを使用してインターネットにアクセスするには、ファイアウォールを介した経路制御が施されなければならない。
(41) インターネットへの直接接続：社内のプロダクション情報システムを直接インターネットに接続してはいけない。ただし、インターネットビジネス活動に必要な商取引サーバー、データベースサーバー、中継役のコンピュータを除く。
(42) 一般ユーザーが変更するディレクトリ：当社においてインターネット接続があるコンピュータ上の一般ユーザーが変更するディレクトリは、毎日必ずレビューするとともに消去されなければならない。
(43) 無線ネットワーク：当社の伝送手段として無線ネットワークを使用する場合は、常に暗号化されなければいけない。
(44) 無線ネットワークゲートウェイ：当社の無線ネットワークゲートウェイは、遠隔装置との通信をフィルタリングするためにファイアウォール機能を設定しなければならない。
(45) 外部ネットワーク境界上のシステム：当社の外部ネットワーク境界上のすべてのシステムは、ベンダーが提供する最新バージョンのOS上で稼動しなければならない。
(46) ロールバック攻撃の回避：当社のプロダクションシステムにおけるネットワークセキュリティ対策は、バージョンの下位互換性を利用したロールバック攻撃に対する回避策が施されていなければならない。
(47) 重要な音声・データネットワークの装置：公衆回線システム、イントラネット、LAN（ローカルエリアネットワーク）、WAN（ワイドエリアネットワーク）など当社のビジネスに重要な装置は、物理的なアクセス制御、閉回路テレビ（CCTV）、環境のモニタリングシステムなどの情報セキュリティ部門が指定する対策が施された専用室に集中設置されなければならない。
(48) イントラネット接続におけるセキュリティ基準：当社の社内イントラネットに、コンピュータシステムとネットワークセグメントを接続するためには、情報セキュリティ管理部門によって規定されたセキュリティ基準に準拠しなければならない。その基準には、少なくとも以下の事項を含む必要がある。
(49) 認可されたファイアウォールがあること。
(50) 認可されたユーザー認証システムがあること。
(51) 認可されたユーザー権限管理システムがあること。
(52) 変更管理手順が確立されていること。
(53) システムの運用管理責任が明文化されていること
ネットワークサービスのセキュリティ
【要求事項】組織が自ら提供するか外部委託しているかに関わらず、すべてのネットワークサービスについて、セキュリティ特性、サービスレベル及び管理上の要求事項を特定し、いかなるネットワークサービス合意書にもこれらを盛り込むこと。
【実施管理策】
(1) 当社に於けるネットワークサービスは、メール、ＷＥＢ閲覧、グルプウェアサービス（スケジュール、掲示板、ファイル共有等）等を指す。
(2) これらサービスのセキュリティは、個々を情報資産として捉え、リスクアセスメントの実施によって固有の管理策を見出す。
(3) 見出した管理策は本項に追記する。
媒体の取扱い
【管理目的】資産の認可されていない開示、改ざん、除去、又は破壊、並びにビジネス活動の中断を防止するため。
【管理方針】重要情報の格納媒体の管理を徹底し、漏洩等の事故を防ぐ。
取り外し可能な付属媒体の管理
【要求事項】取り外し可能な媒体の管理のための手順は、備えること。
【実施管理策】
(1) フロッピーディスク：当社で使用されるフロッピーディスクは、情報技術部門によって認可され、配布されたフォーマット済のものに限る。
(2) 機密分類の混同：スタッフは、機密扱いされていないフロッピーディスクや他の取り外し可能な磁気記憶媒体に、機密情報を保存してはならない。
(3) 機密情報の削除：ディスクやテープ、あるいは他の再利用可能な磁気記憶媒体に記録された当社の機密情報を削除する際には、上書き処理の反復など、データをヌル化するためのオペレーションが実施されなければならない。
媒体の処分
【要求事項】媒体が不要になった場合は、正式な手順を用いて、セキュリティを保ち、かつ安全に処分すること。
【実施管理策】
(1) 機密情報の廃棄：磁気記憶媒体に保存されている機密情報を破棄する際には、シュレッダーなどの情報セキュリティ部門が認可した手段によって廃棄処理が行われなければならない。
(2) ハードコピーの廃棄：スタッフは、機密情報または個人情報のハードコピーを廃棄する際には、シュレッダーを使用するか、焼却しなければならない。
(3) 縦縞裁断シュレッダー：当社において、ストリップシュレッダーを使用してはいけない。
(4) 安全な情報の廃棄：極秘情報の廃棄は、直ちに実施されなければならない。また、廃棄が決定した機密情報は、当社内の施錠可能な廃棄専用容器に一時保管されなければならず、ごみ箱、リサイクルボックスなど一般がアクセスできる場所に廃棄してはならない。
(5) 情報の廃棄：廃棄専用容器内のものはすべて、認可された手順に従って廃棄されること。再利用の勧告にとらわれる必要は無い。
(6) 機密情報の廃棄手順：不要になった機密情報や重要な当社の情報は、情報セキュリティ部門が認可した手順に従って慎重に廃棄されなければならない。
(7) 情報の廃棄に携わるスタッフ：機密情報の廃棄処理は、当社の社員か保証契約を交わした廃棄サービス会社の要員によって実施されなければならない。
(8) 機密情報の廃棄ボックス：不要になった機密情報および個人情報は、認可された当社社員か廃棄サービスの請負業者が回収するまで、専用の施錠可能な金属性のボックスに保管されなければならない。
(9) 機密情報を扱う資材：機密情報を取り扱うにあたって使われた、次のような機密情報とみなすべき資材は、機密情報の廃棄処理に準じて処理されなければならない。
①カーボン紙
②写真のネガ
③感熱ファックス転写フィルム
④異常終了したコンピュータのハードコピー
⑤許可されないコピー
情報の取扱手順
【要求事項】情報の取扱い及び保管についての手順は、その情報を認可されていない開示又は誤用から保護するために、確立すること。
【実施管理策】
(1) アクセスフォーム：レターヘッドステーショナリー、無地の小切手等の当社の固有のフォームへのアクセスは、それらのフォームを業務上必要とする要員に限られる。
(2) 未承諾広告の配信：スタッフは、ファックス、電子メール、自動ダイアル音声システム等の電子コミュニケーションシステムを使用して、未承諾広告を配信してはならない。
(3) 情報システム管理策の開示：スタッフは、情報セキュリティ管理部門の許諾を得ない限り、当社外のいかなる人員にも、使用中あるいは導入中の情報システム管理策を開示してはならない。
(4) 機密情報の移動：当社の施設内の機密情報を、情報オーナーの事前承認なしに移動してはいけない。
(5) 機密情報の持ち出し：エンドユーザは、いかなる状況であっても、情報セキュリティ管理部門の認可を得ない限り、機密情報を社外に持ち出してはならない。
(6) 機密情報の移動ログ：当社の施設から機密情報を移動する際には、移動日、関連する情報、情報処理に携わる人員の記録をとらなければならない。
(7) 磁気記憶媒体のリリース：情報セキュリティ部門が規定した消磁処理か上書き処理が施されない限り、機密情報を記録したコンピュータの磁気記憶媒体をデータ処理手続き要員に受け渡してはならない。
(8) 機密情報が取り扱われる領域：機密情報が取り扱われる当社やその他の場所には、動作可能なシュレッダーを設置しなければならない。
(9) 重要なプロダクションデータのマスタコピー：重要なプロダクションデータのマスタコピーは、複数のプロダクションサーバーに保管されなければならない。いっぽう、デスクトップマシンには保管すべきではない。
(10) 情報修正の開示：当社が発行した情報に何らかの方法で修正が施された際には、情報の受け取り手がその情報を基に判断を下す前に、修正の理由について通知しなければならない。
(11) 個人情報の取り扱い：スタッフは、氏名、アドレスなどの個人情報を取り扱う際は、取り扱い方法を厳重に定め、従わなければならない。
(12) 機密データの転送：コミュニケーションネットワークを経由して当社の機密データを転送する際には、必ず暗号化しなければならない。
(13) 機密データの輸送：コンピュータで読み込みのできる磁気記憶媒体で機密データを輸送する場合は、データを暗号化しなければならない。
(14) 機密情報の暗号化：コンピュータ上の機密情報が使われていない時には、暗号化しなければならない。
(15) 磁気記憶装置の暗号化：ハードディスクに保存されているデータを暗号化する際には、ユーザーに透過的な処理で実施される必要がある。
(16) 機密情報のダウンロード：当社の機密情報ならびに個人情報を別のコンピュータに移す場合、担当スタッフは、移動元のコンピュータに対するアクセスコントロールと同等のアクセスコントロールが移動先に施されていることを事前に確認しなければならない。
(17) 機密情報のダウンロードに関する許諾：ビジネスの必要性が明確であり、情報オーナーからの許諾を得ない限り、マルチユーザーシステム上の当社の機密情報をパーソナルコンピュータあるいはワークステーションへダウンロードすることを禁止する。
(18) 長距離通話への応答：当社の社員は、通常の通話料を超えると思われるか、応答通話量の負担がかかる場合、電話やページャーの呼び出しに応答通話をしてはならない。
(19) 異例な通話オペレーション要求：社外からの通話依頼など異例な要求があった場合は、断固として、かつ丁重に要求を拒否しなければならない。なお、通信管理部門のマネジャーにそれらの要求の詳細を報告する必要がある。
(20) 私的な電話の使用：就労時間外でなければ、当社の電話を私的な目的で使用してはならない。その際の通話時間は、妥当なものであること。
(21) 私的な遠距離電話：当社の電話を私的な長距離通話に使用してはならない。ただし、通話時間が許容範囲内であり、上司への報告が行われ、会社への支払いがなされる場合はその限りでない。
(22) インターネットによる情報交換：経営によって認可されたビジネスの目的以外で、当社のソフトウェア、文書、その他の様式の内部情報を外部の組織に販売、送信を行うことを禁止する。
(23) 銀行の口座番号：当社の支払い口座の番号は機密情報であり、いかなる形式でも第三者に対して開示してはならない。
(24) 機密情報のセキュリティ：暗号化されていない機密情報を格納したすべての情報記録媒体は、使用されない時には、物理的にセキュリティが確保されていなければならない。
システム文書のセキュリティ
【要求事項】システム文書は、認可されていないアクセスから保護すること。
【実施管理策】
(1) システムに関する文書のリリース：当社の情報システムに関する文書を第三者にリリースするためには、事前に情報セキュリティ部門マネジャーのレビューを受けなければならない。
(2) 文書の機密性：当社のコンピュータに関連する文書は機密である。また、退職するスタッフは、その情報の持ち出しを行ってはならない。
情報の交換
【管理目的】組織内部で交換した及び外部と交換した、情報及びソフトウェアのセキュリティを維持するため。
【管理方針】重要な情報の交換は、気密性、完全性及び可用性の維持の為、確実に管理する。
情報交換の方針及び手順
【要求事項】あらゆる形式の通信設備を利用した情報交換を保護するために、正式な交換方針、手順及び管理策を備えること。
【実施管理策】
(1) 情報交換に関する方針を策定し、定期的に見直す。
情報交換に関する合意
【要求事項】組織と外部組織との間の情報及びソフトウェアの交換について、両者間での合意が成立すること。
【実施管理策】
(1) 第三者へのソフトウェア配布：当社が開発したソフトウェアを第三者（見込み客、既存顧客、ビジネスパートナーなど）へ提供する際には、オブジェクトコード形式で配布しなければならない。
(2) 第三者に対するソフトウェア使用規約：当社が開発したソフトウェアを第三者（見込み顧客、既存顧客、ビジネスパートナーなど）へ提供する際には、事前に第三者とソフトウェア使用規約を交わしておく必要がある。ソフトウェア使用規約には、プログラムの逆アセンブル、リバースエンジニア、修正の禁止、ならびに、当社の正式な認可を得ない限り、規定外の使用はできないという事項が含まれる。
(3) ソフトウェアやデータの交換に関する合意書：当社と第三者において社内用ソフトウェアや内部情報を交換する際には、事前に取り決めの内容が文書化されていなければならない。合意書には、交換の条件、情報やソフトウェアの取り扱いや保護の方法について規定すること。
(4) 磁気記憶媒体の返却：外部から情報提供を受けた磁気媒体の返却を求められた場合には、すべの情報のコピーを破棄した旨の保証を書面にして提示しなければならない。
(5) オンライン契約における書面の交換：当社会社が作成したオンライン契約の受け入れを第三者に求める際には、郵便もしくは急送便を利用した手書きの署名付き書面を第三者に依頼すること。
(6) 外部の個人、組織に対する認証：当社の内部情報の公開、契約、公衆ネットワークを介したプロダクトの受注にあたっては、デジタル署名、信用状、第三者への身元照会、電話による会話などを通じて個人または組織の本人確認の手順を実施しなければならない。
配送中の媒体のセキュリティ
【要求事項】情報を格納した媒体は、組織の物理的境界を越えた配送の途中における、認可されていないアクセス、不正使用又は破損から保護すること。
【実施管理策】
(1) 第三者による機密情報の配信：急送便、郵便サービス、通信電話会社、インターネットサービスプロバイダなどの第三者を介した機密情報の配信の際には必ず情報を暗号化しなければならない。
(2) 機密情報の持ち歩き：機密情報を持って外出する場合、管理責任者による承認が必要である。
(3) 海外への機密情報の持ち出し：スタッフが機密情報を持って海外に行く場合、第三者が不正にアクセスできない形式で保管するか、あるいは常時スタッフが携帯しておかなければならない。
(4) 海外への機密情報の持ち出し許可：機密情報を海外に持ち出す場合、セキュリティマネジャーの許可が必要である。
(5) 機密情報のハードコピーの持ち出し：機密情報のハードコピーを当社から持ち出す場合は常に、鍵付きのブリーフケース、またはコンテナに保管しなければならない。たとえ、施錠されているとしても、ホテルの部屋、または車内にブリーフケースを放置してはいけない。
(6) 機密情報の書き換え：当社で使用したコンピュータ磁気記憶媒体を第三者へ渡すべきではない。渡す必要性が生じた場合は、消磁、あるいは繰り返し上書きをして、以前の内容が残っていないことを確認する。
電子的メッセージ通信
【要求事項】電子的メッセージ通信に含まれた情報は、適切に保護すること。
【実施管理策】
(1) 第三者の電子メールのレビュー：スタッフは、第三者に与えた電子メールアカウントへ送られたメッセージを、送信側あるいは受信側のいずれかが許可を得て、レビューしなければならない。
(2) 電子メールの機密情報：暗号化していない機密情報を電子メールで送信するには、経営の許可が必要である。
(3) 電子メールアドレス：エンドユーザは、会社の電子メールアドレス以外のアドレスをビジネス目的のために使用してはいけない。
(4) 送信者の連絡先情報：当社の情報システムから送信するメールには、送信者の氏名、役職名、所属部署名、電話番号を記述する必要がある。
(5) 電子マーケティング情報のソース：電子メールで送信するマーケティング情報には、返信アドレスを記載すること。また、受信拒否が行えるように、送信リストから受信者を除外する手順を明記する必要がある。
(6) 外部への電子メール転送：当社のネットワーク以外のアドレスに重要度の高い情報を転送するには、事前に情報オーナーまたは発信者の合意が必要である。
(7) 不適当な電子メール：ユーザーは、いやがらせ、あるいは職場環境を攻撃する要因となる電子メールメッセージを、作成、送信、あるいは転送してはいけない。
(8) 電子メールの処理：電子メールおよびメッセージログを記録、保持、および破棄するための管理手続きを確立しなければならない。
(9) 電子メールの保存：ビジネス取引の完結に関する情報、重要度の高いリファレンス情報、あるいは経営が決定した事を示す証拠となる情報を含んでいるメッセージは保存しておくこと。
(10) 電子メールメッセージの保管：重要な情報を含む電子メールメッセージはワープロ文書、データベースなどのファイル形式で定期的に文書化する必要がある。
(11) 電子メールメッセージの破棄：電子メールログを、年に１度、アーカイブ処理をした後で破棄する必要がある。
(12) 電子メールのプライバシー：電子メールはプライバシー情報であり、送信者と受取人の間の個人的で直接的な通信手段として扱わなければならない。
(13) 顧客向け電子メールの暗号化：特定の顧客情報を含む電子メールは、暗号化しなければならない。
(14) 電子メールの暗号化：クレジットカード番号、パスワード、調査情報、および開発情報を含む機密情報を電子メールで送信する場合、暗号化する必要がある。
(15) 電子メールの監視：情報サービス部門と人事部門の責任者が委任および承認したスタッフ以外は、いかなる理由があっても電子メールシステムを監視してはいけない。
(16) 電子メールの修正：ヘッダまたはボディ部分を含む電子メールメッセージ内のいかなる情報をも、修正、偽造、削除してはならない。
(17) 電子メールメッセージの内容：電子メールメッセージの中で、従業員、顧客、または競合先に対する中傷的、猥褻、冒涜的な発言をしてはならない。
(18) メッセージ内容の制限：中傷的、攻撃的、性的と捉えられるメッセージ、あるいは性別、出身地、性的嗜好、宗教的、政治的な信仰などを理由に個人、団体を攻撃するメッセージを、送信あるいは転送してはいけない。
(19) 電子メールの内容監視：ユーザーは、決められたキーワードやファイルの種別などキーを用いて自動で電子メールの内容を検査するツールが運用されていることを理解した上で、メールのやりとりを業務に限定しなければならない。
(20) 受信拒否への対応：顧客、見込み客、または従業員を含む受信者からメールの受信拒否を受けた場合、直ちに送信を停止しなければならない。
(21) バルクメール：受信者が苦情を訴える要因となる可能性がある広告あるいは宣伝のバルクメールを、送信してはいけない。
(22) 不要なメールの対応：ユーザーが不要なメールを受信した場合、そのメッセージをメール管理者に転送する必要がある。また、メール送信者に対して、ユーザーが直接的な対応をしてはいけない。
(23) バルクメールの送信：エンドユーザは、大量のバルクメールを送信してはいけない。
(24) 電子メール走査およびフッタ：メールサーバー上で受信した電子メールのウィルス走査を行う事。また、各メッセージに走査済みであるというフッタを追加する事。
(25) 送信メールのフッタ：当社から送信する電子メールのすべてに、メッセージフッタを自動的に追加しなければならない。メッセージフッタは、必ずしも当社の公認の文言である必要はないが、重要な情報であること示す、あるいは指定した受信者以外の閲覧を禁止する内容を含むものでなければならない。
(26) 電子メールの監視：経営は、エンドユーザに対して、以下の事を通知する必要がある。
(27) 電子メールシステムは、ビジネス目的の為にだけ使用する。
(28) 電子メールシステムで送信する全てのメッセージは、当社の記 録である。
(29) 会社側は、ユーザーへの通告なしに、メッセージに対するアクセスおよび 内容を公表する権利がある。
(30) メール管理者は、セキュリティまたはポリシーに違反しているスタッフの電子メールを監視しレビューする権利がある。
(31) 電子メールのアーカイブとレビュー：当社のメールサーバーを介して送信する電子メールは、送受信者以外のスタッフによってアーカイブおよびレビューを行う必要がある。
(32) 営業部門の電子メール：営業は、上長がレビューおよび承認したメールメッセージ以外を顧客に対して送信してはいけない。
(33) 電子メールのアーカイブ：経営による承認、委任、任命に関する内容、あるいは管理責任についての情報などを含む当社の公式メッセージは、コピーをとり、文書管理部門で保管する必要がある。
(34) 電子メールシステムの使用法：スタッフは、当社の電子メールシステムをビジネス目的を主として使用する事。また、通常のビジネス活動時に個人的なメール使用をしてはいけない。また、営利を目的とした外部ビジネス活動のため。
(35) 電子メールの配信：メーリングリストに登録された利用者へのオプトインメールの配布にあたっては、必ず利用者の明確な許諾を受けなければならない。
(36) 電子メールの署名：電子メールなどのメッセージ送信者のサインに、スキャンした手書きの署名を使用してはいけない。
(37) 電子メールの添付ファイル：信頼できる相手から受信したメール、あるいはウィルス検知ソフトで検査し安全が保証されたメール以外の添付ファイルを開封してはいけない。
(38) 外部ソースからの添付ファイル：外部ソースから実行プログラムなどのテキスト化されていないメッセージを受けとるには、電子メール以外の手段をとること。
(39) 送信者不明の添付ファイル：信頼できるビジネスメールであるという確認ができない電子メールの添付ファイルを開封してはいけない。
業務情報システム
【要求事項】業務用情報システムの相互接続と関連がある情報を保護するために、個別方針及び手順を策定し実施すること。
【実施管理策】
(1) ファックスログ：スタッフは、送受信したファックスのログを１年間保持する必要がある。また、電話番号、ページ枚数をログの内容に含む事。
(2) ソフトウェアのアップグレード：ユーザーは、ワークステーションやパーソナルコンピュータに、新規のプログラムやアップグレードプラグラムを導入してはならない。必ず、システム管理者の指示に従うこと。
(3) エンドユーザのアプリケーションプログラム：認可されたライセンス管理ソフトウェアを使用して、サードパーティソフトウェアの不正コピー、エンドユーザが開発したアプリケーションプログラムを管理する必要がある。
(4) 重要性の高いビジネスロジック：重要性の高いビジネスロジックを含むプロダクションアプリケーションを運用するためには、物理的アクセス制御、論理的アクセス制御、変更管理対策、障害対策を備えたマルチユーザーサーバーを使用する必要がある。
(5) 個人情報および機密情報の送付：個人情報および機密情報を郵送する際には、不透明の封筒に封印のうえ、親展扱いで送ること。
(6) 機密情報のファックス送信通知：機密情報をファックスで送信する場合、受取人に送信時刻を通知し、権限を持つ人員が受け取り先で待機することに同意を得る必要がある。送信内容を閲覧する権限を持たない人員がファックスにアクセスできないように物理的に入室が規制されている場合はこの限りで無い。
(7) 機密情報のファックス送信：受信者が以下のいずれかの条件を満たしていない場合、機密情報をファックス送信してはいけない。機密情報を扱う権限を有するスタッフが待機中である。情報の漏洩を防止するために、パスワード保護されたファックス用のメールボックスを備えている。
(8) 仲介者による機密情報のファックス送信：ホテルの従業員、レンタルメールボックスのスタッフなど、信用のおけない仲介者を通じて機密情報をファックス送信することを禁止する。
(9) 機密情報のファックス送信票：機密情報をファックスで送信する場合、まず、カバーシートのみを送付して受信者の受領確認をとる必要がある。その後、セカンドコールで機密情報をファックスするものとする。
(10) 暗号化していない機密情報のファックス送信：暗号化していない機密情報をファックス送信できるのは、以下の場合に限る。緊急を要する場合。他の選択肢がない、およびより高いセキュリティの送信方法が利用不可である場合。この場合、事前に受信者との口頭による送信確認が必要.
(11) 機密情報のファックス送信の物理的セキュリティ：送信先のファックス機器がロックされた部屋（情報を受信することを認可された人がキーを持っている）にない場合、機密情報をファックス送信してはいけない。
(12) 暗号化した機密情報のファックス送信：機密情報をファックス送信するには、情報セキュリティ部門が承認した方法を使用して送信の暗号化を行う必要がある。情報セキュリティ部門は、暗号化する方法を確立しておく事。
(13) 短縮ダイアルによる機密情報のファックス送信：機密情報をファックス送信する場合、短縮設定した番号を使用するのではなく、送信先の番号を直接入力する必要がある。
(14) 機密情報のファックス送信パスワード：機密情報をファックス送信する前に、パスワード認証機能のある受信機を設置する必要がある。
(15) ファックス送信票：当社から送信する全てのファックスに、法務部門が承認した文言で作成したファックス送信票を付ける必要がある。法務部門は、ファックス送信票の文言を策定しておく事。
(16) スピーカーフォンによる機密情報：スピーカーフォンを使用して機密情報の討議を行うには、会議に参加している全員が、会議室の近くに討議内容を立聞きするようなスタッフがいない事を確認する必要がある。
(17) ディスクレスワークステーション：研究開発部門の技術スタッフが、新製品開発プロジェクトおよび開発工程に着手する場合、他部門から隔離されたネットワークに接続しているディスクレスワークステーションを使用する事。
(18) 時間に対する依存性が高い機密情報：時間に対する依存性が高い機密情報は、電子メール、ボイスメール、電話、あるいは他の電子化されたシステムを使って処理してはならない。
(19) 機密情報の保管：個人情報や機密情報をパーソナルコンピュータまたはワークステーションのハードドライブに保存する際には、情報セキュリティ部門マネジャーが認可した十分な情報セキュリティ管理策が講じられていなければならない.
(20) 機密情報の記録：スタッフは、次の条件をすべて満たさない限り、音声の録音媒体に機密情報を記録してはならない。適切な機密分類をデータの先頭部分と最終部分に記録する。媒体にデータの機密分類のラベル付けを行う。媒体がデータの機密分類にしたがって保護され、かつ、直ちにデータの消去が可能である。
(21) リソースの逼迫：特権を持たないユーザーは、共有コンピュータ上でシステム遅延を招く、あるいは他のユーザーへのサービスの供給を妨げるような作業をしてはならない.
(22) 携帯用コンピュータのバックアップ：携帯用コンピュータを使用しているスタッフは、外出前に全ての重要な情報のバックアップを行うこと。また、バックアップ媒体は、キャリアケース以外の場所に保管する必要がある。
(23) 機密性、完全性、可用性の高い重要な情報のバックアップ：スタッフは、重要なファイルのバックアップ運用がなされていない場合、重要な変更があった時点で最終バックアップを二つ以上コピーする責任を担う。
(24) バックアップの見直し：部門長や委任を受けた管理担当者は、パーソナルコンピュータ、ワークステーション等の小規模システム上に格納されている機密性、完全性、可用性の高い重要データが適切にバックアップされているかどうかを確認する必要がある。
(25) 住所変更の確認：顧客が住所またはメールアドレス変更を申請してきた場合、以下の通知を旧アドレス宛に送ること。新住所がシステム上で有効にするには、１ヶ月間要する。新メールアドレスをシステム上で有効にするには営業日の２日間を要する。
(26) 重要なメッセージの行番号：機密性の高い、あるいは特に重要なビジネスに関する自由書式のテキストメッセージには、行番号を振る必要がある。
(27) 言論の自由の行使：いわゆる"言論の自由"を行使するために、当社のコンピュータおよび通信システムを利用してはならない。
(28) データ監査：経営は、エンドユーザがパブリックフォーラム用に当社のコンピュータあるいはネットワークを使用する事を許可してはいけない。また、経営は、パブリックフォーラム上に掲示されたいかなる情報も監査できる権利を持つ。
(29) 攻撃的要素の削除：経営は、攻撃的あるいは監査の可能性がある要素を含む情報システム上のフォーラムを削除できる権利を持つ。
(30) コンテンツ監視の責任：当社は、情報システム内に保管され、流通する情報コンテンツを監視する義務を負わない。しかし、メッセージ、ファイル、データベース、グラフィック等の情報システムデータを削除する権利を有する。
(31) デバイスの同期：ＰＤＡ（personal digital assistant）やパーソナルコンピュータなどのデバイス間で自動的にデータ交換を行うシステムを使用するには、情報セキュリティ部門の評価と承認が必要である。
(32) コレクトコールや第三者への課金通話：当社のボイスメールシステムの管理者は、ボイスメール通信回線上でコレクトコールや第三者への課金通話ができないように電話会社と調整を図る必要がある。
(33) 一般の情報提供サービス：PBXシステムの管理者は、PBXシステムを使った一般の情報提供サービスへの接続を禁止する設定を施すこと。
(34) 通話エリア：当社のPBXを通して接続する番号は、通常のビジネス目的の範囲内だけに制限する必要がある。
(35) 音声メールメッセージの保管：１ヶ月を過ぎたボイスメールは削除する。従って、ユーザーは少なくとも１日１度、ボイスメールメッセージを確認することが望ましい.
(36) クレジットカードコール：スタッフは、PBXシステムを通してクレジットカードコールをしてはいけない。クレジットカードコールは、公衆電話あるいは他の直通ラインを使用するものとする。
(37) 内部システムへの直接アクセス機能（DISA）の無効化：PBXシステム上の内部システムへの直接アクセス機能（DISA）は無効化しなければならない。ただし、不正利用検知システムや電話通信部門マネジャーが認可した利用制限システムが実装されている場合を除く。
(38) 記録の変更依頼：電話による当社の記録の変更依頼を受理するには、認可された手続きに従って、依頼者の本人認証を行う必要がある。
(39) カンファレンスブリッジの停止：カンファレンスブリッジは、必要な時に限り使用可能とする。使用しない場合は、必ず停止すること。
(40) 個人のプロバイダアカウント：当社のビジネスや企業利益に関わりの無いトピックについて、パブリックインターネットフォーラム上に発言する際には、個人所有のプロバイダアカウントや電子メールアカウントを利用しなければならない。
(41) 電子メールおよび音声メールのブロードキャスト（一斉同報型通信）：電子メールシステムおよびボイスメールシステムのブロードキャスト機能は、トップマネジメント、あるいはトップマネジメントが認可したスタッフだけが使用できる。
(42) 音声メールのグループ化：電子メールまたはボイスメールを１０以上の受信グループへ一斉送信する場合、部門マネジャーの承認が必要である。
(43) モバイルコードの実行：モバイルコードに関する以下のインターネットアクセスを禁止する。モバイルコードを使用すること。モバイルコードをマシン上で実行すること。モバイルコードをマシン上に保存すること。
(44) イントラネットへの掲載：当社のイントラネット上に情報を掲載する際には、コンテンツを管理している部門マネジャーおよび情報オーナーによる承認が必要である。
(45) イントラネットのコンテンツ所有権：当社のイントラネット上のコンテンツはすべて当社が所有権を保有する。ただし、情報サービス部門責任者の事前の承認が受け、ウェブ上で明確に所有権に関する記載がある場合を除く。
(46) イントラネット情報の妥当性：イントラネット上に情報を掲載するには、以下の事項を確実なものとしなければならない。不正コードがデータ、プログラム中に混入していないこと。情報が正確であり、時宜を得たものであること。当社のビジネスに関連があること。関連する情報は、すべて違法でないこと。
(47) イントラネットコンテンツのレビューとテスト：当社のイントラネットに新規のコンテンツを掲載するか、コンテンツの変更を行う際には、ステージング環境において、規定の担当者によるコンテンツのレビューとオペレーションのテストが必要である。もしくは、情報セキュリティマネジャーの書式による認可が必要である。
(48) インターネットコンテンツの転載：インターネットからダウンロードしたコンテンツを当社のイントラネット上に掲載するには、ウィルス除去、目視検査などの規定の選別手続きを受ける必要がある。
(49) イントラネット上の動的コンテンツ：情報システム部門が検証し、承認した動的コンテンツのアプレットに限り、イントラネット上のサイトで使用が許可される。
(50) イントラネットウェブページのレビュー：ユーザーが開発したウェブページを当社のイントラネットに掲載するには、情報セキュリティ部門が策定した認可手続きに従って、セキュリティおよび運用のテストを実施しなければならない。
(51) イントラネットの情報オーナー：当社のイントラネットに掲載されている情報に対して、オーナーを任命する必要がある。また、情報の掲載ページに、オーナーのコンタクト情報を明記すること。
(52) 情報オーナーのデジタル署名：イントラネット上の情報に管理責任を持つ情報オーナーは、掲載を認可する最終版のすべてのページにデジタル署名を貼付すること。
(53) イントラネットデータの見直し：情報セキュリティ部門は、機密情報が含まれていない事を確認するために、当社のイントラネット上で掲載している情報の見直しを、年に四回、行う必要がある。
(54) イントラネットサーバの承認：イントラネットサーバを社内のネットワークに接続するには、情報システム部門のネットワークサービスマネジャーによる承認が必要である。
(55) イントラネットを介したプロダクションシステムへのアクセス：イントラネットを介して、ユーザー認証に基づくアクセス制御機能があるプロダクション情報システムへリアルタイム接続するには、情報セキュリティ管理者による承認が必要である。
(56) イントラネット情報の転送：イントラネット上の情報を第三者に転送するには、当社の経営の承認が必要である。
(57) イントラネットからインターネットへのウェブ接続：イントラネットからインターネットへのWEB接続が発生することの通告があるか、もしくは、インターネットへの接続があることをユーザーが了解していることの確認をとらない限り、イントラネットからインターネットへの直接接続を設けてはならない。
(58) イントラネットスタイルガイド：イントラネットサイトを開発する技術スタッフは、イントラネットスタイルガイドを遵守しなければならない。また、イントラネット実施要件で策定しているリソースを使用する必要がある。
(59) コンピュータ機器の移動：エンドユーザがコンピュータ機器の移動あるいは配置換えをするには、部門マネジャーの承認が必要である。
(60) ディスプレイの配置：機密性、あるいは可用性の高いデータを扱うコンピュータ端末のディスプレイは、公共の場所あるいは通路などにいる人が容易に見る事ができない場所に配置する必要がある。
(61) 電磁放射の保護：機密情報を扱う当社システムは、電磁放射制御についてのミリタリースタンダードに準じたハードウェアを使用しなければならない。また、ミリタリースタンダードに準じた電磁放射をブロックする資材で、あるいはワイヤーメッシュで囲まれたロック付きの部屋に設置しなければならない。
電子商取引サービス
【管理目的】電子商取引サービスのセキュリティ、及びそれらサービスのセキュリティを保った利用を確実にするため。
【管理方針】電子商取引における取引の完全性、システムの可用性及び顧客情報の機密性を確実にする為の管理を維持する。
電子商取引
【要求事項】公衆ネットワークを経由する電子商取引に含まれる情報は、不正行為、契約紛争、認可されていない開示及び改ざんから保護すること。
【実施管理策】
(1) クッキーファイルへの応答：ハードドライブ内にあるクッキーファイルを使用して、ユーザーが訪れたインターネット経路などの個人的な情報内容を調べてはいけない。
(2) コンテンツ評価およびプライバシー保護：当社は、業界標準のウェブコンテンツ評価基準、ウェブサイトのプライバシー保護基準、インターネット取引セキュリティ基準を遵守すること。
(3) マーケティングコミュニケーションのオプトアウト：マーケティングコミュニケーションにおいて、見込み客または顧客がいつでも自由にメール購読を中止できるように、メッセージの末尾などに購読解除の方法を明記すること。
(4) メーリングリスト：当社のメーリングリストに第三者をユーザー登録する際には、その第三者から事前に登録のリクエストを受領しなければならない。
(5) ウェブサーバと商取引サーバーの保管：重要なビジネス情報を保管するために、ウェブサーバと商取引サーバーを使用してはいけない。
(6) 費用計算：顧客及び従業員に対する当社の費用計算は、正確であることを客観的に明確にする十分な情報を提供しなければならない。
(7) 顧客情報の変更確認：顧客が当社に登録した自身の顧客情報を変更した場合、当社は、直ちに電子メール、手紙などの書面を用いて直ちに変更の確認をとらなければならない。
(8) エラーの調査：スタッフは、顧客が見つけた当社のレコードエラーを２週間以内に調査、修正、あるいは解決しなければならない。また、変更した点、変更しなかった理由、あるいは変更予定日を記述した詳細書を顧客に送付しなければならない。
(9) インターネット商取引サーバーのセキュリティ：当社のインターネット商取引サーバーは、いずれも個別のデジタル証明書を実装し、かつ、サーバー間通信を暗号化しなければならない。ただし、顧客向けコミュニケーションサーバーは、この限りではない。
(10) 新規あるいは拡張したサービス：新規の、または拡張したサービスを顧客に提供する際には必ず、顧客からの同意が必要である。
(11) 電子システムによる契約：経営あるいは技術スタッフが、第三者と電子データ交換および他の電子ビジネスシステムの導入契約を結ぶ場合、実際の交換に先立って、書面による契約を行う必要がある。
(12) 国際間のインターネットビジネス：インターネットを通して外国の組織団体からサービスあるいは物品を購入するには、購入部門による承認が必要である。
(13) 協業におけるネットワーク利用規約：協業パートナーに対して当社の業務用ネットワークの使用を許可するにあたって、ネットワークの利用条件について定めた協業規約に関する事前の承認を当社法務顧問から得ること。
(14) 電子メール規約：当社を代表して契約を結ぶ権限のある人員以外の、あるいは法律上当社の代表である事を認可されている人員以外の者が電子メールを送信する際には、メッセージの末尾に、当社の契約、立場あるいは方針とは無関係であることを示す通知をしなければならない。
(15) コンピュータ化した処理の受諾：EDI（電子データ交換）システムにおいて、トレーディングプロファイルと一致していない自動実行処理データを、受諾あるいは実行してはいけない。
(16) 電子申請および電子受理：電子申請および電子受理による契約は、受理後二週間以内に、書面によって公式のものとしなければならない。
(17) テレマーケティングの記録：スタッフは、セールスの電話は不要であるとの通知を受けた取引見込み客の記録を整備する必要がある。
(18) 支払情報の暗号化：支払情報（預金番号あるいはクレジットカード番号など）をインターネット接続が可能なコンピュータに保存する場合、暗号化する必要がある。
(19) 支払情報の確認：顧客が口座番号あるいはクレジットカード番号などの支払情報を確認してきた場合、スタッフは、番号の下数桁のみを伝えること。
(20) 支払データの暗号化：口座番号あるいはクレジットカード番号などの支払情報をコンピュータ内に保存する場合、営業業務で使わない場合、公衆ネットワークを通して伝送する場合、あるいはディスクやテープに保管する場合には、暗号化する必要がある。
(21) 休止しているクレジットカード：技術スタッフは、１年以上使用されていないクレジットカード番号を、インターネット取引システムから直ちに削除しなければならない。
(22) 不正行為に関連した顧客情報：不正行為が確認された顧客口座は直ちに閉めなければいけない。
(23) 別チャネルによる確認：インターネットなどの電子システムを通して開始した住所変更や商品購入などのトランザクション処理は必ず、別の通信チャネルを使用して、迅速に処理の正確性の確認を行う。
(24) アカウントの収支決算と調整：有料のインターネット商取引システムにおけるアカウント課金レコードは、日次ベースで収支決算と調整がなされなければならない。
(25) 支払いトークンへの課金：クレジットカード等の支払いトークンを課金する際には、利用者の本人認証となり得る別な情報（社会保険番号の下4桁など）の提供を受けてからでなければならない。
オンライン取引
【要求事項】オンライン取引に含まれる情報は、不完全な通信、誤った通信経路設定、認可されていないメッセージの変更、認可されていない開示、認可されていない複製又は再生を未然に防止するために、保護すること。
【実施管理策】
(1) 取引の相手が十分に信用できるかを確かめる事。
(2) 取引内容の暗号化等、必要な安全管理策を明示知る事。
(3) 取引に試用するパスワードの管理は特に厳重に行う事。
公開されている情報
【要求事項】認可されていない変更を防止するために、公開されているシステム上で利用可能な情報の完全性を保護すること。
【実施管理策】
(1) 組織名の使用：エンドユーザが、公的書類に当社の名前を記載するには、経営あるいは広報部門の承認が必要である。
(2) インターネット広告：当社が他の組織のサイトにインターネット広告を出したり、ページのリンク関係を持つ場合は、当社のプライバシーポリシーとの整合性を検討する必要がある。
(3) インターネットクッキーとウェブバグ：当社のウェブサイトおよび商取引サイトへ訪れるビジターに対して、それぞれのソース上、あるいはサイト上のクッキーおよびウェブバグの使用目的を明確に通知する必要がある。
(4) パブリックイメージの提示：一般もしくは第三者に対して当社の資産に関する情報を公開する際には、公開すべき範囲内で、控えめかつ安全なイメージを提示しなければならない。
(5) 取引上の機密情報：経営は、当社の法務部門が策定した全ての取引上の機密情報をイントラネット上で簡潔に開示し、スタッフに機密性、重要性を認識させる。
(6) インターネット電話：当社の機密情報を非暗号通信する場合に、インターネット電話を使用してはいけない。
(7) インターネットアクセスのできるワークステーション：インターネットに接続されたワークステーションは、ユーザーが作成したファイル、あるいはワークステーション内に駐在しているソフトウェアが作成したテンポラリーファイルは、毎日、自動的に削除しなければならない。
(8) 身分の偽り：電子通信を行う上で、身元の隠蔽、不正、すり替をしてはいけない。
(9) 情報のチェック：経営や運用に関わる重要な情報は、外部ソースや現状調査結果と定期的に比較を行い、更新されなければならない。
(10) メッセージの掲載拒否：当社のサイト上に誹謗中傷、毀誉褒貶、またはプライバシーを侵害する内容のメッセージが記載された場合の対応策として、サイト上に掲載拒否あるいは削除勧告を要求する文章を掲示する事。
(11) 犯罪者やテロリストからのメッセージ：犯罪者あるいはテロリストからのメッセージを、当社の情報システムからパブリックチャネル上に公開してはいけない。
(12) 電子システムによるパブリックコメント：電子メール、電子掲示板（BBS）、あるいは他の電子システムに記入した非公認のコメントを、公式ステートメント、あるいは当社のオフィシャルポジションとして掲載してはいけない。
(13) コンテンツラベル：当社の商取引およびウェブサイト上に記載する情報は、コンテンツラベルについての基準を満たしているものでなければならない。
(14) インターネットによるグループ討論：エンドユーザは、当社のIDを使って、インターネット上のグループ討論、あるいは他のパブリックフォーラムに参加してはいけない。
(15) 外部へのインターネット通信：外部へのインターネット通信は、当社の評判およびパブリックイメージに良い影響をもたらすものでなければならない。
(16) インターネットの条件：当社の技術スタッフは、インターネット上で取引する顧客に対して、取引条件の要約を提示する必要がある。また、取引を完了するために、顧客による取引条件の明確な合意が必要である。
(17) 電子メール機能：エンドユーザは、インターネットブラウザの電子メール機能を、ビジネス用通信のために使用してはいけない。
(18) インターネットのニュースソース：ニュース配信、メーリングリスト、プッシュデータなどから受信する情報は、当社のビジネスに関連性の高い受信義務のあるものでなければならない。
(19) インターネット情報の修正：インターネットを介して当社のシステムに接続しているユーザーは、当社の情報を直接修正してはいけない。
(20) 個人的なメッセージの否認：インターネット討論、電子掲示板（BBS）、あるいは他のパブリック情報システム上に、広報部門の事前承認がないメッセージを掲示する場合、当社とは関係がないことを明確にしたコメントをメッセージに付ける事。
(21) アプリケーションを含むインターネットでの情報開示：ディスカッショングループ、チャットルーム、その他のインターネットサービスと契約を結ぶ際には、当社の製品とサービスに関する公式のサポートを提供するために経営に承認された個人に限って、当社とのアフィリエーションを表示することができる。
(22) 製品およびサービスのリプリゼンテーション：当社の製品およびサービスの宣伝、販売促進、あるいは販売提供などを、インターネットのパブリックフォーラム上（ニュースグループ、メーリングリスト、チャットなど）で行うには、広報部門あるいは販売部門の承認が必要である。
(23) 連絡情報の公開：電子掲示板（BBS）、チャット、あるいは他のパブリックフォーラム上で、本当の名前、住所、あるいは電話番号を公開してはいけない。
(24) 政策提案および製品またはサービスの保証：広報部門（あるいは法務部）の許可なしに、インターネット（チャット、ニュースグループなど）上で、エンドユーザが、当社との関連性を示すための政策提案および製品またはサービスの保証を行ってはならない。
(25) インターネット上の取引機密：インターネット取引の機密公開について事前説明を受けた特定のスタッフだけが、当社のビジネスに関連性のあるグループ討論、チャット、および他のパブリックフォーラムに参加できる。
(26) セキュリティに関する問い合わせ：インターネット上のニュースグループ、あるいは他のパブリックフォーラム上で、当社×のコンピュータあるいはネットワークのセキュリティに関する問い合わせをしてはいけない。
(27) 機密情報のインターネット送信：非暗号形式の機密性の高い、著作権がある、あるいは非公開の情報は、インターネット送信してはいけない。
(28) 不適当な公的参加：インターネット上のグループ討論、電子掲示板（BBS）、あるいは他のパブリックフォーラムに送信した電子メールが、当社のビジネス利権、あるいは企業方針と一致していない場合、情報セキュリティ管理者あるいは人材開発部門の管理者は電子メールを削除する事ができる。
(29) 類似した名前のウェブサイト：当社の法務部門は、ウェブ検索エンジンを使用して、会社が認可した、あるいはスポンサーになっているサイトと類似した名前の仮装サイトがないかどうかを定期的に確認する事。
(30) インターネット上の情報源：当社のソフトウェア、内部メモ、およびプレスリリースなどを含む情報源をパブリックアクセスが可能なインターネットシステム上に掲載するには、広報部門の承認が必要である。
(31) インターネットビジネスの整備：新しい、あるいは様々なビジネスチャネルを展開するためにインターネット接続を使用するには、情報技術部の責任者および代表顧問弁護士による承認が必要である。
(32) パブリックネットワークへの掲示：電子掲示板（BBS）、メーリングリスト、オンラインニュースグループ、あるいは他のパブリックフォーラムに記入するコメントおよび質問の内容は、以下のような情報のリリースを回避した構成にする事。・機密プロジェクト・未発表のソフトウェア製品・調査および開発段階のプロジェクト・当社の機密事項
(33) ダウンロードファイルの転送：インターネットからファイルをダウンロードする場合、当社のネットワークに接続していないコンピュータを使用する事。また、ダウンロードファイルを他のコンピュータに転送するには、会社が認可したウィルス検出パッケージでウィルスチェックを行う必要がある。
(34) インターネット情報の信頼性：安全性が確認されるまで、インターネットから取得した全ての情報の危険性を疑う必要がある。
(35) ソフトウェアのアップロード：エンドユーザが、第三者のライセンスソフトウェア、あるいは当社が開発したソフトウェアをインターネット経由でアップロードするには、ユーザマネジャーによる権限付与が必要である。
(36) 不要な情報の取り扱い：当社のウェブサイトにコメントや提案を受け入れる仕組みを設ける場合、次のような責務の否認を明文化する必要がある。「弊社に寄せられたアイデアのうち、採用に至らなかったものは必ずしも機密として弊社内にとどめる責務は負いません。また、ご寄託いただいたアイデアに支払いの義務を負うものではありません。」
(37) プロダクションシステムにおけるインターネット情報：見込み客、顧客、サプライヤー、ビジネスパートナー、あるいは政府機関による情報以外、インターネットを介して取得した無償情報を信用してはいけない。
(38) 非公式ウェブページ：当社の製品またはサービスを取り扱う、非公式ウェブページのスポンサーと取引する場合、広報部門責任者の署名付き契約書が必要である。
(39) パーソナルウェブページ：当社のシステムを使用しているユーザーは、ウェブページ作成に関して以下の内容を含む承諾書に署名する必要がある。・サイト上に記載した全てのコンテンツにおいて、個人が責任を負うこと。・当社は、ユーザーのアクセス権限を随時削除することができる。
(40) ウェブページ管理委員会：ウェブページの更新を行うには、当社の広報部門が設置したウェブページ管理委員会による承認が必要である。ウェブページ管理委員会は、ページの更新内容が事業目的と一致していて洗練されたものである事、および適切なセキュリティ対策によって保護されている事を確認しなければならない。
(41) ウェブページ設計：技術スタッフは、会社あるいはウェブページ管理委員会が策定した以下の基準に準拠したウェブページを設計する事。・レイアウト基準・ナビゲーション基準・法的言語基準・その他、ウェブページ管理委員会が提示する必要条件
(42) ホットリンクの使用：ユーザーのセッションを当社のウェブサイトから外部へ転送するホットリンクを使用するには、ウェブページ管理委員会の承認が必要である。
(43) ホットリンクの責任回避：ユーザーのセッションを当社のウェブサイトから第三者のサイトへ転送するホットリンクを使用する場合、法務部門が承認した免責の明文化が必要である。
(44) ウェブページのレビュー：マーケティング部門のエンドユーザは、以下の確認をするために、当社のウェブサイトを毎日チェックする必要がある。・ページが稼動中であるかどうか。・無許可の変更がされてないか。・無許可のリンクがはられていないか。
(45) コンテンツの改ざん：技術スタッフは、許可のないコンテンツの変更を自動検出・即時修正できるウェブサイトを設計し、実装しなければならない。
(46) ウェブページの破損：破損したウェブサーバを復旧するには、サービス、ウェブページ、システムソフトウェアおよびシステム構成ファイルの変更内容を全てチェックする必要がある。
(47) 顧客の財務情報の保存：顧客の財務情報を、ウェブサーバ、インターネット商取引サーバー、インターネットデータベースサーバ、あるいは直接インターネットに接続しているシステム内に保存してはいけない。
(48) ドメイン名：当社のドメイン名登録は、安全性の確保および変更制御についての手順を管理しているレジストラ（ドメイン名登録機関）が行う。
(49) インターネットサーバのコマンドレスポンス：情報の問い合わせに対する応答の際、インストール済みのソフトウェア情報を露呈しないように、インターネットサーバを制限する必要がある。
(50) ウェブサイト上のHTML：当社のウェブサイト上で使用するHTMLコードを、インターネット接続したプロダクションサーバー上で実行するには、事前にスクラバー（scrubber）あるいは擬似ルーチンを通して実行する必要がある。
(51) ウェブ上の機密情報：当社の機密情報をインターネットサーバ、あるいはイントラネットサーバ上に置いてはいけない。
(52) イントラネット上の機密情報：イントラネット上のアプリケーションにアクセスして機密情報を処理するには、VPN（Virtual Private Network）を使用する事。
(53) セキュリティに関する連絡：エンドユーザは、当社のウェブサイトページの冒頭部分に、情報セキュリティ部門の連絡情報を掲示する事。
(54) パブリックリサーチ：当社が世論調査、分析研究などの公共消費に関するリサーチを実施する場合は、調査報告書においてスポンサーが誰かということと考えられる利害の衝突について言及する必要がある。
監視
【管理目的】認可されていない情報処理活動を検知するため。
【管理方針】ＩＴシステムの監視を実施し、重要なセキュリティログを確実にする。
監査ログ取得
【要求事項】利用者の活動、例外処理、及び情報セキュリティ事象を記録した監査ログを取得すること、また、将来の調査及びアクセス制御の監視を補うために、合意された期間、保持すること。
【実施管理策】
(1) 取得すべきログを特定する。
(2) ログは、その保存方法、期間等を適切さに基づき定める。
システム使用状況の監視
【要求事項】情報処理設備の使用状況を監視する手順を確立すること、及び監視活動の結果を定めに従ってレビューすること。
【実施管理策】
(1) システムの監視の為の運用ログを取得する。
(2) ログは定期的にレビューする事。
ログ情報の保護
【要求事項】ログ機能及びログ情報は、改ざん及び認可されていないアクセスから保護すること。
【実施管理策】
(1) ログは適切にバックアップする事
(2) ログファイルへのアクセスは制御される事。
実務管理者及び運用管理者の作業ログ
【要求事項】システムの実務管理者及び運用担当者の作業は、記録すること。
【実施管理策】
(1) 実務管理者及び運用管理者の作業ログを識別する。
(2) ログは少なくとも６ヶ月事情の適切な期間、保持する。
障害のログ取得
【要求事項】障害のログを取得し、分析し、また、障害に対する適切な処置を講じること。
【実施管理策】
(1) 障害ログを識別する。
(2) ログは適切な期間、保持する。
クロックの同期
【要求事項】組織又はセキュリティ領域内の関連するすべての情報処理システム内のクロックは、合意された正確な時刻源と同期させること。
【実施管理策】ログの取得を行うコンピュータの時計は同期されなければならない。
