プロダクトセキュリティ

ビジネスおよび情報セキュリティ要件に基づくアクセス制御のルールを策定・文書化・レビューします。

デジタルIDのライフサイクル（登録・プロビジョニング・維持・登録抹消）の全過程にわたるプロセスを策定・管理します。

認証情報の割り当てと管理は、資格情報の漏洩を防ぐ正式なプロセスによって制御されます。

情報および関連資産へのアクセス権は、アクセス制御ポリシーに従ってプロビジョニング・レビュー・変更・削除されます。

特権アクセス権は制限され、必要に応じて割り当てられ、定期的にレビューされます。

情報およびアプリケーションシステム機能へのアクセスは、アクセス制御ポリシーに従って制限されます。

ソースコード、開発ツール、ソフトウェアライブラリへの読み書きアクセスは適切に管理されます。

情報アクセス制限に基づき、セキュアな認証技術と手続きを実装します。

ユーザーエンドポイントデバイスに保存・処理・アクセス可能な情報は保護されます。

システムやアプリケーションのコントロールを無効化できるユーティリティプログラムの使用は制限・厳格管理されます。

セキュアエリアは、権限ある担当者のみのアクセスを制限する適切な入退管理によって保護されます。

すべてのシステムアクセスポイントに認証を実装し、情報資産への不正アクセスを防止します。

ユーザーを保護するための認証・認可機能を開発し、認証・認可に関する機密情報の漏洩に対する対策を講じます。

接続パートナーに発行されるAPIアクセストークンは、OAuth 2.0または同等の標準を使用して、ユーザーの知らないうちにアカウントが使用されないよう管理されます。

認証強度はリスクに見合ったユーザーの利便性と保護のバランスをとり、必要に応じて多要素認証を含みます。

内部担当者による情報資産への不正アクセスを防止する対策を実施します。

個人情報取扱事業者は、保有する個人データをデータ主体の要求に応じて遅滞なく、要求された形式で開示します。

適用される法律および規制の要求に従い、PIIのプライバシーと保護を確保します。

情報は、法的要件、価値、重要度、および不正な開示や改ざんに対する機密性に従って分類されます。

情報分類スキームに従い、情報ラベリングの適切な手続きセットを策定・実施します。

あらゆる種類の転送手段に対し、情報転送のルール・手続き・合意を整備します。

情報システム、デバイス、その他の記憶媒体に保存された情報は、不要になった時点で削除されます。

データマスキングは、アクセス制御に関する組織のポリシー、ビジネス要件、および適用法令に従って使用されます。

データ漏洩防止対策は、機密情報を処理・保存・送信するシステム、ネットワーク、エンドポイントデバイスに適用されます。

リムーバブルメディアの管理手続きを実施し、不要になった場合はセキュアに廃棄します。

記憶媒体を含む機器は、廃棄または再利用前にすべての機密データとライセンスソフトウェアが削除またはセキュアに上書きされたことを確認します。

記録は、紛失、破壊、改ざん、不正アクセス、不正開示から保護されます。

要配慮個人情報は、法定の場合を除き、データ主体の事前同意なしに取得しません。

個人情報取扱事業者は、個人データの漏洩・滅失・毀損を防止するために必要かつ適切な安全管理措置を講じます。

個人データを取り扱う従業員に対して、安全な管理を確保するために必要な監督を行います。

個人データの取り扱いを第三者に委託する際は、安全な管理を確保するために委託先に対して必要な監督を行います。

法定の場合を除き、データ主体の同意なしに第三者に個人データを提供しません。

外国へ個人データを移転する前に、明示的な同意を取得するか同等の保護水準を確認します。データ主体には外国の状況を通知します。

第三者への個人データの提供および受領の記録を、日付、受領者/提供者の詳細、データカテゴリを含めて維持します。

匿名加工または仮名加工された個人データは、非識別化を確保する政令基準を満たす必要があります。再識別の試みは禁止されています。

PIN、パスワード、生体認証データなどの機密情報を含む、データの種類と内容に応じた管理措置を実施します。

持ち出し情報の管理を含む、機密情報の漏洩に対する対策を実施します。

情報とソフトウェアのバックアップを定期的に取得・テストし、失われたまたは損傷した情報を復元できる手続きを整備します。

個人情報取扱事業者は、要求に応じて保有する個人データの不正確な内容を調査・訂正します。

事業者は、保有個人データについて、事業者名、利用目的、苦情処理手続きをデータ主体がアクセス可能にします。

組織内の開発に適用されるソフトウェアおよびシステムのセキュアな開発のためのルールを策定・適用します。

アプリケーションの開発または取得時に、情報セキュリティ要件を特定・規定・承認します。

セキュアなシステムエンジニアリングの原則を策定・文書化・維持し、情報システムの実装に適用します。

インジェクション攻撃やバッファオーバーフローなどの一般的な脆弱性をカバーするセキュアなコーディング原則をソフトウェア開発に適用します。

開発ライフサイクルにおけるセキュリティテストプロセスを定義・実施します。

組織はアウトソースされたシステム開発に関連する活動を監督・監視します。

不正アクセスや変更のリスクを軽減するために、開発・テスト・本番環境を分離・保護します。

情報処理設備および情報システムへの変更は変更管理手続きに従います。

テスト情報は慎重に選択・保護・管理されます。個人情報を含む本番データは適切なマスキングなしにテストには使用しません。

運用システムの評価を伴う監査テストおよびその他の保証活動は、障害を最小限にするよう計画・合意されます。

技術的脆弱性に関する情報を取得し、リスクを評価し、パッチ管理を含む適切な措置を講じます。

本番システムへのソフトウェアインストールを制御する手続きを実施します。

公式チャンネル以外で配布される正規サービスアプリになりすました偽造アプリケーションへの対策を実施します。

レート制限の強制、スコープ制限、入力検証を含む、APIの予期しない使用を防止するコントロールを実施します。

WAF、IDS/IPS、DMZアーキテクチャを含む、API脆弱性を標的とした攻撃に対する多層保護を実施します。

不正アクセスによる被害の拡大を制限するコントロールを実施し、セキュリティインシデント後の調査を可能にするトレース機能を備えます。

外部Webサイトへのアクセスを管理し、Webベースの脅威や悪意あるコンテンツからユーザーを保護します。

情報を保護するために、鍵管理を含む暗号化コントロールの使用に関するポリシーを策定・実施します。

システムとアプリケーションの情報を保護するために、ネットワークとネットワークデバイスを管理・制御します。

ネットワークサービスのセキュリティメカニズム、サービスレベル、管理要件を特定し、合意書に含めます。

情報サービス、ユーザー、情報システムのグループは組織のネットワーク内で分離されます。

ハードウェア、ソフトウェア、サービス、ネットワークのセキュリティ構成を含む構成を策定・文書化・実施・監視・レビューします。

マルウェアに対する保護を実施し、適切なユーザー意識向上施策でサポートします。

現在および将来のキャパシティ要件を満たすために、リソースの使用を監視・調整します。

情報処理設備は、可用性要件を満たすのに十分な冗長性をもって実装されます。

ユーザー活動、例外、障害、情報セキュリティイベントを記録するイベントログを作成・保持し、定期的にレビューします。

情報処理システムの時計は承認されたタイムソースと同期されます。

セキュリティ境界を定義し、情報およびその他の関連資産を含むエリアを保護するために使用します。

不正な物理的アクセスがないか施設を継続的に監視します。

自然災害、事故、意図的な攻撃などの物理的・環境的脅威からの保護を設計・実施します。

情報処理設備を電力障害およびサポートユーティリティの障害によるその他の障害から保護します。

電力、データ、または情報サービスをサポートするケーブルを傍受、干渉、損傷から保護します。

情報の可用性、完全性、機密性を確保するために、機器を適切に保守します。

ファイアウォール、IDS/IPS、DMZアーキテクチャを含む外部からの不正アクセスへの対策を実施します。

計算機施設からの情報漏洩に対する対策を実施し、権限のない者の入室や重要情報へのアクセスを制限します。

オフィス施設の物理的セキュリティを確保し、権限のない者の入室を防止し、施設外への重要情報の持ち出しを制限します。

責任と手続きを定義し、情報セキュリティインシデントの管理を計画・準備します。

情報セキュリティイベントを評価し、情報セキュリティインシデントとして分類するかどうかを判断します。

文書化された手続きに従って情報セキュリティインシデントに対応します。

情報セキュリティインシデントの分析と解決から得た知識を、将来のインシデントの可能性や影響を低減するために活用します。

情報セキュリティインシデントに関連する証拠の識別・収集・取得・保全の手続きを定義・適用します。

不測の事態における情報セキュリティおよび情報セキュリティ管理の継続に関する要件を決定します。

ICTの準備を計画・実施・維持・テストし、障害時の情報およびその他の資産の可用性を確保します。

観察または疑わしい情報セキュリティイベントを報告するためのメカニズムを担当者に提供します。

個人データに関するデータ漏洩または漏洩の可能性がある場合、個人情報保護委員会への報告および影響を受けた個人への迅速な通知が必要です（速報：3〜5日以内、最終報告：30日以内）。

不正アクセスやシステム障害などのインシデントへの準備を行い、セキュリティインシデント発生時には被害の拡大を防ぐための適切な対応を実施します。

ユーザーへの被害の拡大を防ぐ措置を実施し、必要に応じてユーザーを適切に補償し、ユーザー補償の連絡窓口を適切に運営します。

セキュリティインシデントおよびサービス障害に関するユーザーからの要求・問い合わせ・その他の連絡に適切に対応します。

情報セキュリティポリシーおよびトピック別ポリシーを定義し、経営者の承認を得て、関係する担当者に公表・伝達・確認します。

組織のニーズに応じて情報セキュリティの責任を定義・割り当てます。

資産の不正または意図しない変更や誤用の機会を減らすために、相反する職務と責任範囲を分離します。

経営者はすべての担当者が策定されたポリシーと手続きに従って情報セキュリティを適用するよう求めます。

情報セキュリティに関して、関係する当局および特別利害関係グループとの適切な連絡を維持します。

情報セキュリティの脅威に関する情報を収集・分析し、脅威インテリジェンスを生成します。

情報セキュリティをプロジェクト管理に統合します。

オーナーを含む情報およびその他の関連資産の目録を作成・維持します。

情報およびその他の関連資産の許容可能な使用のルールと取扱い手続きを識別・文書化・実施します。

担当者およびその他の利害関係者は、雇用、契約または合意の変更または終了時に、所持する組織の資産をすべて返却します。

サプライヤーの製品またはサービスの使用に関連する情報セキュリティリスクを管理するプロセスと手続きを定義・実施します。

サプライヤー関係の種類に基づき、各サプライヤーと関連する情報セキュリティ要件を確立・合意します。

ICT製品・サービスのサプライチェーンに関連する情報セキュリティリスクを管理するプロセスと手続きを定義・実施します。

組織はサプライヤーの情報セキュリティ慣行とサービス提供の変化を定期的に監視・レビュー・評価・管理します。

組織の情報セキュリティ要件に沿って、クラウドサービスの取得・使用・管理・解約のプロセスを確立します。

すべての情報システムについて、関連するすべての法的・規制的・制定法的・契約的要件を識別・文書化し、最新の状態に保ちます。

知的財産権を保護するための適切な手続きを実施します。

情報セキュリティの管理に対する組織のアプローチは、計画された間隔で、または重大な変更が発生した場合に独立してレビューされます。

組織の情報セキュリティポリシー、トピック別ポリシー、および標準への準拠を定期的にレビューします。

情報処理設備の運用手続きを文書化し、必要とするすべてのユーザーが利用できるようにします。

採用候補者全員に対して、入社前に身元確認を行います。

雇用契約の合意書には、情報セキュリティに対する担当者と組織の責任を明記します。

すべての担当者は、自分の役割に関連する適切なセキュリティ意識向上教育と訓練を受けます。

情報セキュリティポリシーに違反した担当者やその他の関係者に対して措置を講じるための懲戒手続きを正式化・周知します。

情報保護に対する組織のニーズを反映した秘密保持または守秘義務契約の要件を識別し、定期的にレビューします。

担当者がリモートで作業する際、組織外でアクセス・処理・保存される情報を保護するためのセキュリティ措置を実施します。

チェーン接続パートナーの監督を含む、アウトソーシング業務の効果的かつ適切な遂行を確保するための措置を実施します。

すべての経営者と従業員が情報管理方法を理解し、定期的なフォローアップ監視と監査を通じて、セキュリティ管理のガバナンスを確立します。

API利用に関するユーザーへの説明責任を確保します。ユーザーがAPI接続について誤解や混乱を抱えることがないようにします。

役員・従業員・オペレーターによる不正行為を防止する措置を実施します（オペレーター対策および職務分離を含む）。

管理された変更管理プロセスに従って、システムに変更を加える際の品質の著しい低下を防ぐための措置を実施します。

セキュリティ措置は、脅威環境・運用環境・規制要件の変化に応じて定期的にレビュー・改善されます。