経済産業省
平成２３年度企業・個人の情報セキュリティ対策促進事業（グローバルなクラウドセキュリティ監査の利用促進）

付表

クラウドサービスにおけるリスクと管理策に関する有識者による検討結果
2011年度版

2012年8月
特定非営利活動法人

日本セキュリティ監査協会(注意）本資料を引用する場合には、当協会にご連絡ください2/61● 本資料の構成
本書では、クラウドコンピューティングサービス（以下、「クラウドサービス」という。）において想定される典型的なリスクについて、どのような対策を講じるべ
きかをリスク毎に個別の表の形式で整理している。ここで示しているリスクの中には、目的によっては対策を講じる必要のないものも含まれており、クラウドサービスのユーザーは各表をもとに、対策を講じる必要があると判断した項目を選択の上、当該事項についての「対応するクラウド管理基準」を抽出すること
で、クラウドサービス事業者に対して、遵守すべき事項を提示することができる。
表の構成要素は以下の通りである。記載されている内容は、国内のクラウドサービス事業者及びユーザ企業、情報セキュリティベンダ、学識者で構成された有識者ワーキンググループによる検討結果を反映したものとなっている。
見出し項目

内 容
レイヤ

4ページに示すクラウドサービスの実装構造において、リスクとなる事象の発生する階層。
（ただし「サービス管理系」のみは階層横断的サービスに起因する事象を扱うための分類）

目指すべき水準 リスクに対してクラウドサービスが確保すべき情報セキュリティの水準。
想定されるリスク クラウドサービスで発生するリスクを、以下の脅威と脆弱性の２種類に起因するものとして定義。
脅威

クラウドサービスに損害を与える可能性のある事象の潜在的な原因。外部からの攻撃のほか、自然災害、事業者における操作ミスや内部犯行なども含まれる。

脅威が損害をもたらすきっかけとなる、クラウドサービスの潜在的な弱点。なお、表において「V 数字」の形で示されてい脆弱性 るものは、[ENISA 09]におけるクラウドサービスの脆弱性として定義されているものであり、番号は同資料における脆弱性の整理番号に対応する。
クラウド事業者における対策の要点

クラウドサービス事業者が、リスクの影響を抑制するために実施すべき対策について、レイヤ毎にその要点を具体化したもの。

対応するクラウド管理基準 『クラウド情報セキュリティ管理基準』の項番と内容の抜粋。
残留リスク 上記管理基準に基づく対策を実施してもなお、クラウドサービスの提供を通じて存在するリスク。
備考 上記のいずれにも該当しない補足事項など。
参考文献[ENISA 09]"Cloud Computing - Benefits, risks and recommendations for information security", European Network and Information Security Agency, November 2009.
（日本語訳：『クラウドコンピューティング：情報セキュリティに関わる利点、リスクおよび推奨事項』, 独立行政法人情報処理推進機構, 2010）

特定非営利活動法人
日本セキュリティ監査協会

3/61● 本資料で扱うリスクの一覧
クラウドサービスのリスクを検討するにあたっては、調査時点での代表的な分析例として、前ページの[ENISA 09]の整理結果をもとに検討を行うこととした。しかしながら、同文献における分析は利用者の視点からリスクを整理しているのに対し、クラウド情報セキュリティ管理基準はクラウドサービス事業者の視点で整理する必要があることから、事業者視点での読み替えを実施している。具体的には、事業者の観点からはクラウドサービスにおける対策として考慮すべきでないもの（利用者視点ではクラウドサービスを使うか否か、といったより上位レイヤで判断されるもの）を除外するとともに、同文献では挙げられていないが、リスクとして重要と考えられるものを新たに追加した。さらに、リスクとしての重大性に応じて高（H）、中（M）、低（L）の３段階に分類し、次表のように整理した。
番号

リスクの識別名
リソース・インフラの高集約によるインシデント

H01 の影響の拡大

H02 仮想／物理の設計・運用の不整合

H03 他の共同利用者の行為による信頼の喪失
H04 リソースの枯渇（リソース割当の過不足）

リスクの具体的内容[ENISA 09]との関係
・仮想化技術は、１台の物理ホストにｎ台の仮想マシンを集約することで、リソースの利用効率をｎ倍に高める一方、障害発生時の影響もｎ倍に拡大する。また、データセンタの大規模利用は、１か所のデー
タセンタに多数の利用者を収容することで、インフラの利用効率を高める一方、データセンタ内の障害 （WGによる追加）
発生時の影響も拡大する。例えば、データセンタ内のネットワークの設定ミスが、クラウドシステムの大半の機能を停止させ、大規模障害が発生するリスクがある。
・仮想化技術は、キャパシティのオーバーサブスクリプションを可能にするため、仮想リソースの総和と物理リソースの総和は一致するとは限らない、ソフトウェアと物理ホストが一対一対応しない、 仮想ス
イッチと物理スイッチのVLAN設計が異なるなど、従来のコンピュータ、ネットワークの設計・運用管理の （WGによる追加）
ノウハウが通用しないことが多い。仮想/物理にまたがるコンピュータとネットワークの大規模化・複雑化によって、予期せぬ不具合、大規模障害が発生するリスクがある。
・他のユーザの活動により、同じクラウドサービスを利用するユーザのIPアドレスが外部サービスによりブロックされる。
ENISA No.4
・他のユーザの活動により、利用していたストレージが押収されてサービスの継続が困難になる。
・クラウド事業者の予想を超えるユーザの需要増により、インフラやリソースがユーザの需要を満たせずサービスに支障が生ずることで、ユーザの減少や評判の低下を招く。
・上記のリスクを回避するためにリソースを増強することで、場合によっては過剰投資として収益性を低 ENISA No.8
下させる。

H05 隔離の失敗

・クラウドサービスを構成するメカニズムの不備・欠陥や脆弱性への攻撃により、異なるユーザやサービス間の隔離が失われることで、ユーザの機密情報の漏えいなどが生じ、事業者の評判が失墜する。 ENISA No.9

H06 サービスエンジンの侵害・脆弱性等を通じてサービスエンジンの制御を奪われることで、クラウドサービスに特化した攻撃（サービスエンジン経由の情報漏えい、リソースの逼迫化によるサービスのマヒ等）が行われる可能性があ
ENISA No.19
る。
・クラウド事業者における従業員の悪意の行動が、あらゆるクラウドサービスに影響を及ぼす。

M07 クラウドプロバイダでの内部不正－特権の悪用 ・従業員が犯罪組織の標的とされ、上記の行動を行う。

ENISA No.10

・クラウドサービスのユーザ向けに、インターネットからリソース制御を可能とするインタフェースが悪用
管理用インターフェースの悪用（操作、インフラ され、サービス全体に影響を及ぼす。
ENISA No.11
・クラウド事業者の管理者の制御用インタフェースも同様に悪用されることで、さらなる影響を及ぼす。
・ユーザ環境とクラウドサービス、もしくは分散されたクラウドサービス相互間でのデータ転送機会が生データ転送途上における攻撃、データ漏えい
ENISA No.12,（アップロード時、ダウンロード時、クラウド間転 ずることで、その転送中のデータの漏えいのリスクが生じる。
ENISA No.13
送）M08 ストラクチャアクセス）
M09

リスク一覧

特定非営利活動法人
日本セキュリティ監査協会

4/61
番号

リスクの識別名
セキュリティが確保されていない、または不完

M10 全なデータ削除

M11 クラウド内DDoS/DoS攻撃
L12 ロックインによるユーザの忌避

リスクの具体的内容[ENISA 09]との関係
・ストレージやバックアップテープ等の物理媒体をを他のユーザと共用する場合、媒体には常時複数ユーザのデータが記録されるため、特定ユーザのデータだけを消去する目的で、その媒体を物理的に ENISA No.14
破壊することはできない。
・悪意のユーザもしくはユーザ環境の乗っ取り等を通じて同じクラウドサービス内を起点とする
DDoS/DoS攻撃が行われることで、インターネット経由の場合よりも大きな被害がユーザに発生する。 ENISA No.15
・クラウドプロバイダが、外部リソースを利用してユーザデータを保護する必要性が生じても、相互接続性がないために、データ移行ができない。
（注）本リスクはENISAではユーザにとっての「ロックインされてしまう」リスクとして整理されているが、こ ENISA No.1
こではクラウド事業者視点で扱う。

L13 ガバナンスの喪失・クラウドを利用することで、ユーザが下位層を対象としたガバナンス（自社ポリシーに基づくアクセス制
御、ログ管理、監査実施等）を失うことのリスクを憂慮し、クラウド利用を躊躇する。
（注）本リスクはENISAではユーザにとっての「ロックインされてしまう」リスクとして整理されているが、こ ENISA No.2
こではクラウド事業者視点で扱っている。

L14 サプライチェーンにおける障害・クラウドサービスにおける認証等のサービスを外部委託することで、その委託先サービスに脆弱性が存在するとクラウドサービス全体に影響が及ぶ可能性がある。
・どの部分を外部委託しているかを明示しないことで、ユーザによるクラウドサービスへの信頼度が低 ENISA No.7
下する。

L15

EDoS攻撃（経済的な損失を狙ったサービス運用妨害攻撃）

L16 事業者が管理すべき暗号鍵の喪失
L17 不正な探査・スキャンの実施
L18 証拠提出命令と電子的証拠開示

・悪意のユーザによるユーザアカウントの乗っ取り、従量制リソースの浪費等を通じて、ユーザに経済的損失をもたらす。
（注）ENISAガイドラインにない追記： 同様の被害は、ユーザの過失（プログラムの欠陥、設計ミス）によっても生じる可能性がある。
・悪意の関係者により、クラウド事業者が管理すべき暗号鍵が不正利用されることで、ユーザの機密
データの漏えいが生ずる。
・クラウド事業者が暗号鍵を喪失することでデータの復号が困難となり、ユーザのデータにおける完全性が損なわれる。
・攻撃のためのデータ収集が、クラウドサービスの環境を通じて、より容易に行われる可能性がある。

ENISA No.16

ENISA No.17

ENISA No.18
・クラウドサービス上にデータが集中することで、司法当局によるデータの押収が行われた場合に、開示したくないデータまで開示されるリスクが増大するため、ユーザによるクラウドサービス利用を躊躇さ ENISA No.21
せる要因となる可能性がある。

L19 司法権の違い

・クラウドサービスの物理的インフラが設置される地域（国、州など）によっては、異なる司法上の解釈や独裁的な警察権力、国際的取り決めが遵守されないなどの影響がユーザに及ぶ可能性がある。

L20 データ保護・クラウドサービス事業者が、ユーザが許可していないデータの処理を行う可能性があることで、ユーザがクラウド利用を躊躇する可能性がある。
ENISA No.23
・ユーザが合法的でない方法で収集したデータが、クラウドサービス上に蓄積される可能性がある。

L21 ライセンス

・同一期間内に同じ数のマシンを使用していた場合でも、他のソフトウェアに比べてクラウド利用者のライセンス費用は飛躍的に増大することがある。
・PaaSやIaaSの場合は、クラウド内部で発生した独自の成果物（新しいアプリケーションやソフトウェア ENISA No.24
等）がユーザの知的財産として保護されない可能性がある。

リスク一覧

ENISA No.22

特定非営利活動法人
日本セキュリティ監査協会

5/61● クラウドサービスにおけるレイヤ構造のモデル
クラウドサービスにおけるリスクとその対策を論じ、クラウド情報セキュリティ管理基準を作成するにあたっては、「どの条件」における「どのようなリス
ク」に対するものかを明確にすることが議論を整理する上で重要である。そこで、クラウドサービスを構成するレイヤを下図のように定義し、これをもとにリスクを整理している。レイヤ構造の定義に際しては、ITU-Tで検討されているクラウドサービスに関する参照構造との対応関係が容易に確保できることを考慮している。
● スコープの設定
本書では、下図において「今回の検討範囲」として点線で囲んだ範囲を検討対象としている。このような範囲を設定した理由は以下の通りである。

今回の対象範囲

利用者層
サービス提供層（SaaS/PaaS/IaaS）

抽象化層
抽象化リソース層

サービス
管理系（ 仮想マシン／仮想ストレージ ／仮想ネットワーク等）

抽象化機能層（ ハイパーバイザ／ホストOS）

ハードウェア（サーバ／ストレージ／ネットワーク等）

物理層
ファシリティ（HVAC／電力／通信等）

特定非営利活動法人
日本セキュリティ監査協会（オーケストレー
ション／BCP／
DR／監視／運用／セキュリティ）

6/61
H01： リソース・インフラの高集約によるインシデントの影響の拡大
・仮想化技術は、１台の物理ホストにｎ台の仮想マシンを集約することで、リソースの利用効率をｎ倍に高める一方、障害発生時の影響もｎ倍に拡大する。また、データセンタの大規模利用は、１か所のデータセンタに多数の利用者を収容することで、インフラの利用効率を高める一方、データセンタ内の障害発生時の影響も拡大する。例えば、データセンタ内のネットワークの設定ミスが、クラウドシステムの大半の機能を停止させ、大規模障害が発生するリスクがある。

レイヤ

リソース層

目指すべき水準

-

脅威

脆弱性

クラウド事業者におけ
る
対策の要点

-

-

-

想定されるリスク・バグ
・設計・構築ミス
・運用（設定・保守・故障対応など）ミス

抽象化層
機能層

残留リスク

-

-

備考

事象が連鎖し得る構
造・機能（些細な事象が連鎖的に他の事象を惹
6.3.2.2 新しいシステムを受け入れるための要求事項及び基準を明確に定義し、合意し、文書
き起こし、大事に至る。
化し、試験することを確実にする仕組みを整備する
例えば、ネットワークの6.3.2.3 新しいシステムを受け入れるための要求事項及び基準には、些細な事象が他の事象設定変更ミスが契機と 障害の大規模化を防ぐ を惹き起こし、クラウドサービスの大部分の停止に至るような事象の連鎖を抑止する仕組み
なり、一斉に多くの仮想 ため、クラウドシステム があることを含める
想定できない異常
マシンが移転先のリ内の障害の連鎖を止め 6.3.2.18 すべての受入れ基準が完全に満たされていることを確認するための適切な試験にの出現
ソース検索を開始し、 るは、実際のサービス利用条件に近い環境で行う異常時の動作試験を含み、些細な事象が連空きリソースが見つか鎖的に他の事象を惹き起こし、クラウドサービスの大部分の停止に至ることがないか確認すらなかった大半の仮想るマシンがロックされ、大規模なサービス停止に至るなど）

クラウドサービスの全 C.2.1.2 一部の仮想化機能（仮想マシンモニタ、仮想化ストレージエンジン、仮想スイッチな面的な停止を防ぐたど）の不具合がクラウドサービスを全面的に停止させないために、仮想化機能の及ぶ情報処
多数同時障害め、クラウドシステムを 理設備を複数に分けて仮想化する
複数に分割する

一部の障害・一地域の災害が大規模なサービス停止を招か
ないこと

物理層

対応するクラウド管理基準

・故障・設計・構築ミス
・運用（設定・保守・故障対応など）ミス6.6.1.16 停止が許容できないシステムの場合、ネットワークを冗長化する
単一障害点（その箇所 クラウドサービスを停止が停止するとシステム させないため、クラウド C.1.1.1 一部の情報処理設備（物理サーバ、物理ストレージ、物理ネットワーク機器、通信冗長部の同時障害の大部分が停止するよ システムを冗長化する ケーブル、アクセス回線など）の機能の喪失がクラウドサービスを停止させないために、情報処理設備を冗長化する
うな箇所）

クラウドサービスの全 C.2.1.1 一部の情報処理設備（物理サーバ、物理ストレージ、物理ネットワーク機器、通信面的な停止を防ぐたケーブル、アクセス回線など）の機能の喪失がクラウドサービスを全面的に停止させないため多数同時障害め、クラウドシステムを に、複数の情報処理設備に分けて設置する
複数に分割する

リソース・インフラの高集約による影響の拡大

特定非営利活動法人
日本セキュリティ監査協会

7/61
レイヤ

想定されるリスク

目指すべき水準

脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

クラウドサービスの全面的な停止を防ぐた
C.2.1.4 一地域の災害がクラウドサービスを全面的に停止させないために、地理的に離れた ・複数地域同時災
め、データセンタを地理 複数の地域に設備を設ける害的に離れた複数の地域
・超広域災害に設ける

物理層

一部の障害・一地域の災害が大規模なサービス停止を招かないこと

災害

単一地域への設置

5.2.1.5 装置を保護するために、潜在的な物理的脅威（例えば、盗難、火災、爆発、ばい（煤）煙、水（又は給水の不具合）、じんあい（塵埃）、振動、化学的汚染、電力供給の妨害、通信妨
害、電磁波放射、破壊）のリスクを最小限に抑えるための管理策を採用する
5.2.1.8 装置を保護するために、すべての建物に、落雷からの保護手段を適用する。すべての電力及び通信の引込線に避雷器を装着する
5.2.1.9 装置を保護するために、すべての建物は、震度階７においても建物の一部崩壊・全体
崩壊なしの耐震構造とする
5.2.1.10 装置を保護するために、すべての建物に、防水壁、排水設備を設置する
5.2.1.11 装置を保護するために、すべての建物は、危険物貯蔵施設の近辺など火災発生の危険性が高い地域を避けて建設する
5.2.1.12 装置を保護するために、すべての建物に、防火塀の設置、防火植樹を実施する
クラウドシステムを保護 5.1.4.1 隣接する施設からもたらされるセキュリティ脅威（例えば、隣接建物の火災、屋根から想定できない規模するため、データセンタ の漏水、地下室の浸水、街路での爆発）から保護するの災害の発生の災害対策を行う
5.2.2.4 重要な業務の運用をサポートする装置には、定められた手順での運転停止又は連続運転をサポートする、無停電電源装置（UPS）を設置する
5.2.2.5 電力についての緊急時対応計画には、無停電電源装置（UPS）が故障した場合のとるべき処置についても含める
5.2.2.6 長時間にわたる停電の場合でも処理の継続が要求される場合には、非常用発電機を導入する。また、非常用発電機の長時間運転を確実にするために、十分な燃料供給を確保
する
5.2.2.7 無停電電源装置（UPS）及び非常用発電機を、十分な能力を保有していることを確実にするために定期的に点検し、装置の製造者の推奨に従って試験する
5.2.2.8 複数の電源又は事業所の規模が大きい場合には、別の変電設備を利用する
5.2.3.7 取扱いに慎重を要する、又は重要なシステムは、適切なセキュリティを提供する代替
経路及び／又は伝送媒体を利用する

リソース・インフラの高集約による影響の拡大

特定非営利活動法人
日本セキュリティ監査協会

8/61
レイヤ

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

事象が連鎖し得る構
造・機能（些細な事象が連鎖的に他の事象を惹
6.3.2.2 新しいシステムを受け入れるための要求事項及び基準を明確に定義し、合意し、文書
き起こし、大事に至る。
化し、試験することを確実にする仕組みを整備する
例えば、ネットワークの6.3.2.3 新しいシステムを受け入れるための要求事項及び基準には、些細な事象が他の事象設定変更ミスが契機と 障害の大規模化を防ぐを惹き起こし、クラウドサービスの大部分の停止に至るような事象の連鎖を抑止する仕組み
なり、一斉に多くの仮想 ため、クラウドシステム
想定できない異常があることを含める
マシンが移転先のリ内の障害の連鎖を止めの出現
6.3.2.18 すべての受入れ基準が完全に満たされていることを確認するための適切な試験に
ソース検索を開始し、 るは、実際のサービス利用条件に近い環境で行う異常時の動作試験を含み、些細な事象が連空きリソースが見つか鎖的に他の事象を惹き起こし、クラウドサービスの大部分の停止に至ることがないか確認すらなかった大半の仮想るマシンがロックされ、大規模なサービス停止に至るなど）

サービス管理系

一部の障害・一地域の災害が大規模なサービス停止を招かないこと

クラウドサービスの全 C.2.1.3 一部の管理機能（クラウドコントローラ、クラウドサービスマネージャなど）の喪失がク
面的な停止を防ぐた
ラウドサービスを全面的に停止させないために、管理機能の及ぶ情報処理設備を複数に分
多数同時障害め、クラウドシステムを けて管理する
複数に分割する・バグ
・機能の喪失・設計・構築ミス
・運用（設定・保守・機能の喪失対応など）ミス・災害

クラウドサービスを停止
C.1.1.2 一部の管理機能（クラウドコントローラ、クラウドサービスマネージャなど）の喪失がクさせないため、クラウド
ラウドサービスを停止させないために、管理機能を提供する情報処理設備を冗長化するシステムを冗長化する

単一障害点（その箇所が停止するとシステムの大部分が停止するよ
うな箇所）

C.1.1.3 一部の情報処理設備（物理サーバ、物理ストレージ、物理ネットワーク機器、通信
ケーブル、アクセス回線など）の機能の喪失がクラウドサービスを停止させないために、代替・冗長部の同時障の情報処理設備に速やかに切替える（ライブマイグレーション、フェイルオーバーなど）
C.1.1.4 一部の管理機能（クラウドコントローラ、クラウドサービスマネージャなど）の喪失がク 害
ラウドサービスを停止させないために、代替の管理機能を提供する情報処理設備に速やかに ・代替地域の同時災害
クラウドサービスを停止 切替えるさせないため、障害発 C.1.1.5 一部の物理媒体の機能の喪失がクラウドサービスを停止させないために、代替の物
生時には速やかに冗長 理媒体に速やかに切替え、機能を喪失した媒体に記録されていたデータを復旧する。
系に切替えるC.1.1.6 一部地域の災害がクラウドサービスを停止させないために、代替地域のデータセンタに設置した情報処理設備に速やかに切替える
5.2.2.8 複数の電源又は事業所の規模が大きい場合には、別の変電設備を利用する
5.2.3.7 取扱いに慎重を要する、又は重要なシステムは、適切なセキュリティを提供する代替
経路及び／又は伝送媒体を利用する

リソース・インフラの高集約による影響の拡大

特定非営利活動法人
日本セキュリティ監査協会

9/61
H02：仮想／物理の設計・運用の不整合・仮想化技術は、キャパシティのオーバーサブスクリプションを可能にするため、仮想リソースの総和と物理リソースの総和は一致するとは限らない、ソフトウェアと物理ホストが一対一対応しない、 仮想スイッチと物理スイッチのVLAN設計が異なるなど、従来のコンピュータ、ネットワークの設計・運用管理のノウハウが通用しないことが多い。仮想/物理にまたがるコンピュータとネットワークの大規模化・複雑化によって、予期せぬ不具合、大規模障害が発生するリスクがある。

レイヤ
リソース層

目指すべき水準-

脅威

脆弱性

クラウド事業者におけ
る
対策の要点

-

-

-

想定されるリスク

設定可能な仮想リソー
スの制約に対応するための複雑なサーバ設
計・運用（物理マシンよりも規模の小さな仮想マシンしか設定できないことから、複数の仮想マシンを組合せて負荷分散するなど、設計・運用が複雑になるな
ど）

抽象化層
機能層

注意をしていても設・設計・構築ミス
計・構築・運用ミスを・運用（設定・保守・故招きかねない、複雑さ
障対応など）ミス
がないこと

物理層

物理ネットワーク機器のVLAN設定数の制約に対応するための複雑なネットワークの設計・運用（必要な仮想ネット
ワーク数を物理ネット
ワーク機器に設定できないことから、設計・運用が複雑になるなど）対応するクラウド管理基準

残留リスク

-

-

備考

設計・構築・運用時のミ6.3.2.2 新しいシステムを受け入れるための要求事項及び基準を明確に定義スを防ぐため、物理構し、合意し、文書化し、試験することを確実にする仕組みを整備する
成と論理構成の対応関
不注意による誤り
6.3.2.4 新しいシステムを受け入れるための要求事項及び基準には、物理構係の理解がしやすいシ
成と論理構成の対応の複雑性を十分に軽減することを含める
ステムにする

仮想・物理の設計・運用の不整合特定非営利活動法人
日本セキュリティ監査協会

10/61
レイヤ

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

・仮想リソースの構成
6.1.1.3 情報処理設備及び通信設備に関連するシステムの管理活動の手順が可視化されない
書には、物理構成と論理構成の対応関係、情報の処理及び取扱いを含む、運用時のミスを防ぐた・仮想/物理システムの各作業の詳細な実施に関する指示を明記する
め、物理構成と論理構
管理方法の違い（物理
6.1.1.12 情報システムは、ツール及びユーティリティを用いて、物理構成と論成を対応づけて管理すリソースと仮想リソース
理構成の首尾一貫した管理を行う
るの管理ツール・インタ
8.4.1.8 導入したソフトウェア（仮想化ソフトウェアを含む）の管理を維持するたフェースが異なる）
めに、システムに関する文書化と同様に、構成管理システムを利用する

サービス管理系

注意をしていても設計・構築・運用ミスを ・設計・構築ミス
招きかねない、管理 ・運用（設定・保守・故の過大な負担や複雑 障対応など）ミス
さがないこと6.3.1.5 論理資源の総和が物理資源を超過するような資源の割り当ては、物
理資源の最繁時の同時使用率を考慮して行う
6.3.1.6 入手に時間又は費用がかかる資源については、特別な注意を要する
ため、管理者は、主要なシステム資源（クラウドサービスの提供にかかわる資源及びクラウドサービスを提供する資源を含む。）の使用を監視し、全体の容量・能力の限界値及びクラウド利用者に割り当てられる容量・能力の限界
物理リソースを超える 運用時のミスを防ぐた
値を把握する
仮想リソースの設定
め、物理リソースと仮想6.3.1.7 管理者は、使用の傾向、特にクラウドサービスを提供する仮想化・分（物理マシンのリソース リソースの適切な対応
散処理ソフトウェア、その他業務用ソフトウェア又は情報システムの管理ツーを超過した仮想リソー 関係を把握して、リソールに関連した傾向を識別する
不注意による誤りスの使用）スを管理する6.3.1.10 管理者は、システムセキュリティ又はサービスに脅威をもたらすおそれのある、潜在的な障害及び主要な要員への依存度合いを特定し回避する
ために、上記の監視及び識別の情報を利用して、適切な処置を立案する
6.3.1.11 容量及び能力が設計時の想定を超えた場合の対応手順（仮想マシンの再配置のためのライブマイグレーション及び仮想ネットワークの変更手順など）を作成する

物理ストレージと仮想マシンのバックアップ・
リストア単位の違い（物運用時のミスを防ぐた
理ストレージのボリュー
め、物理ストレージと仮ム単位で取得したバッ
6.5.1.5 バックアップ及びデータ復旧の手順は、物理ストレージと仮想マシンの想マシンのバックアッ
クアップから特定の仮バックアップの単位や方法の違いを考慮して決定する
プ・リストアの単位の違
想マシンイメージをリスいを把握して、管理す
トアするには、目的外
るの仮想マシンイメージまで一括してリストアの対象とされる）

仮想・物理の設計・運用の不整合特定非営利活動法人
日本セキュリティ監査協会

11/61
レイヤ

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

仮想/物理ネットワーク
設定の複雑化と負担の設計・構築・運用時のミ増大（リソースを柔軟に
6.6.1.8 ネットワークの設計、構築及び運用における管理者の誤りの発生をスを防ぐため、物理ネッ
組合せた最適化が難し最小限に抑えるため、仮想ネットワークと物理ネットワークの経路制御の仕組
トワークと論理ネット
い、国や地域の異なるみを可能な限り一元化し、複数の物理ネットワーク機器及び仮想スイッチなど
ワークの制御の仕組み
データセンタをまたがっの設定を一斉かつ確実に実行する仕組みを整備するを一元化して管理する
た広域仮想ネットワー
クの設定が難しいなど）

サービス管理系

注意をしていても設計・構築・運用ミスを ・設計・構築ミス
招きかねない、管理 ・運用（設定・保守・故の過大な負担や複雑 障対応など）ミス
さがないこと仮想/物理ネットワークの動的な経路変更方 運用時のミスを防ぐた法の違い（VMのマイグ め、物理ネットワークとレーションに応じた動的 論理ネットワークの制な設定変更を物理ネッ 御を同期させ、自動化
トワークに自動的かつ する
迅速に実行できない）

6.6.1.9 ネットワークの設計、構築及び運用における管理者の誤りの発生を最小限に抑えるため、仮想マシンのライブマイグレーションに合わせて、複数 不注意による誤りの物理ネットワーク機器及び仮想スイッチなどの設定を自動的に実行する仕組みを整備する

サーバ管理とネット
ワーク管理の責任分界
9.2.1.24 サーバ管理とネットワーク管理の責任分界を明確にするため、仮想設計・構築・運用時のミの曖昧化（VMMがサースイッチの機能を物理サーバから物理ネットワーク機器に移す仕組みを整備スを防ぐため、サーバ
バだけでなく、サーバ
する
管理とネットワーク管理
内の仮想ネットワークを
9.2.1.25 サーバ管理とネットワーク管理の責任分界を明確にできない場合にの責任分担や管理の管理するため、従来のは、サーバ管理とネットワーク管理の一体運営又は相互連携を図る仕組みを仕組みを見直す
サーバ/ネットワークの整備する区分が通用しない）

仮想・物理の設計・運用の不整合特定非営利活動法人
日本セキュリティ監査協会

12/61
H03： 他の共同利用者の行為による信頼の喪失
・他のユーザの活動により、同じクラウドサービスを利用するユーザのIPアドレスが外部サービスによりブロックされる。
・他のユーザの活動により、利用していたストレージが押収されてサービスの継続が困難になる。

レイヤ

リソース層

目指すべき水準

リソースが分割可能な状態で運用されること想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

同一レンジに含まれユーザのリソースを論る複数のIPアドレス
理的に識別するため、 6.6.2.5 クラウドサービスに含まれ提供されるすべてのネットワークサービスにを複数のユーザに同一のIPアドレスを複 必要なセキュリティについての取決め（例えば、セキュリティ特性、サービスレ
割り当てる（同一レ数のユーザと共同利用 ベル、管理上の要求事項）を特定し、クラウド利用者と合意する
ンジを一ユーザがさせない
独占できない）V6 リソース分離の欠如
ユーザのリソースを論理的に識別するため、 6.6.2.5 クラウドサービスに含まれ提供されるすべてのネットワークサービスに同一の論理ボリューム 必要なセキュリティについての取決め（例えば、セキュリティ特性、サービスレ なし
を複数のユーザと共同 ベル、管理上の要求事項）を特定し、クラウド利用者と合意する
利用させない抽象化層

機能層

・複数のユーザが登録されたIPアドレスレンジの広域ブロック（不正や迷惑行為を行う送信者のIPアドレスが含まれる一定範囲のネット
ワークを、被害を受けた受信者がまとめてブロックする）
・複数のユーザが共同利用する記録媒体の押サービスを提供するリ 収（犯罪の証拠となるソースを必要に応じて 電磁的記録を押収する
分割し、特定のユー ため、その記録を含む
V5 ハイパーバイザのザによる影響を局所 媒体全部を、捜査機関
脆弱性的に限定する機能が が押収する）
提供され、適切に運用されること8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源
ハイパーバイザの脆弱 を特定し、管理する・ゼロディの脆弱性性を利用した不正や迷 8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他への攻撃
惑行為を防ぐため、脆 の新しい若しくは有益な資源を発見したときに更新を行う
・不正発見の前の弱性対策と早期発見の 8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
損害
仕組みを整える。
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する
8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行
する
8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順に取るべき処置を実行する
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）

他の共同利用者の行為による信頼の喪失

特定非営利活動法人
日本セキュリティ監査協会

13/61
レイヤ

目指すべき水準想定されるリスク脅威

脆弱性

V5 ハイパーバイザの
脆弱性

抽象化層

機能層

物理層

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
ハイパーバイザの脆弱又は機能を停止する8.6.1.15 利用可能なパッチがない場合は、ネットワーク ・ゼロディの脆弱性性を利用した不正や迷境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する への攻撃
惑行為を防ぐため、脆
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止する ・不正発見の前の弱性対策と早期発見のために、監視を強化する
損害
仕組みを整える。
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

・複数のユーザが登録
複数のユーザが登録さされたIPアドレスレンジ
れたIPアドレスレンジの 6.6.1.5 公衆ネットワーク又は無線ネットワークを通過するデータの機密性及の広域ブロック（不正や広域ブロックによる被 び完全性を保護するため、並びにネットワークを介して接続したシステム及び迷惑行為を行う送信者
害を少なくするため、特 業務用ソフトウェアを保護するために、特別な管理策（受信規制又は発信規のIPアドレスが含まれ発信規制の前の損サービスを提供するリ定ユーザに割り当てた 制を含む）を確立する
る一定範囲のネット
害
ソースを必要に応じてIPアドレスからの送信
6.6.1.10
ネットワーク上の機器では、アクセス制御方針に基づき、すべてのワークを、被害を受け分割し、特定のユーを規制し、外部への不ネットワークインタフェースでアクセス制御（受信規制又は発信規制を含む）をた受信者がまとめてブザによる影響を局所
正や迷惑行為を防止す 実施する
ロックする）
的に限定する機能がる。
・複数のユーザが共同提供され、適切に運利用する記録媒体の押複数のユーザが共同用されること収（犯罪の証拠となる
利用する物理媒体の押6.5.1.5 バックアップの範囲（例えば、フルバックアップ、差分バックアップ）及
電磁的記録を押収する
収によって、犯罪と無びバックアップの頻度は、組織の業務上の要求事項、関連する情報のセキュ 複製が記録されたため、その記録を含む関係なユーザが影響をリティ要求事項及びその情報の組織の事業継続に対しての重要度を考慮し 媒体が、複数の媒体全部を、捜査機関受けるのを防ぐため、
V6 リソース分離の欠如て決定する
ユーザのデータをが押収する）
特定ユーザの記憶領
6.5.1.7 バックアップの単位（例えば、データ単位、論理ボリューム単位、ユー 記録する
域だけを独立した媒体
ザ単位など）ごとに独立した媒体にバックアップを取得する仕組みを備えるに記録する仕組みを設ける
複数のユーザが登録されたIPアドレスレンジの 6.6.1.5 公衆ネットワーク又は無線ネットワークを通過するデータの機密性及広域ブロックによる被 び完全性を保護するため、並びにネットワークを介して接続したシステム及び害を少なくするため、特 業務用ソフトウェアを保護するために、特別な管理策（受信規制又は発信規発信規制の前の損定ユーザに割り当てた 制を含む）を確立する
害IPアドレスからの送信 6.6.1.10 ネットワーク上の機器では、アクセス制御方針に基づき、すべてのを規制し、外部への不 ネットワークインタフェースでアクセス制御（受信規制又は発信規制を含む）を正や迷惑行為を防止す 実施するる。

他の共同利用者の行為による信頼の喪失

特定非営利活動法人
日本セキュリティ監査協会

14/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

6.6.1.5 公衆ネットワーク又は無線ネットワークを通過するデータの機密性及び完全性を保護するため、並びにネットワークを介して接続したシステム及び複数のユーザが登録さ
業務用ソフトウェアを保護するために、特別な管理策（受信規制又は発信規れたIPアドレスレンジの制を含む）を確立する
広域ブロックによる被・複数のユーザが登録
6.6.1.6 セキュリティに関連した活動を記録できるように、適切なログ取得及び害を少なくするため、ク
広域ブロックの規制されたIPアドレスレンジ監視を適用する
ラウド内からの不正や解除の最終判断をの広域ブロック（不正や6.6.1.10 ネットワーク上の機器では、アクセス制御方針に基づき、すべての迷惑行為を迅速に検知行う受信者の判断ミ
迷惑行為を行う送信者
ネットワークインタフェースでアクセス制御（受信規制又は発信規制を含む）をし、その行為を阻止す
スのIPアドレスが含まれ実施するると共に、その行為者
他のユーザに不利益 る一定範囲のネット
6.6.1.14 ネットワーク上の不正なイベントを監視するため、侵入検知システム
を識別し管理できるようをもたらすような活動 ワークを、被害を受け
を導入する
にする
を行うユーザを早期に た受信者がまとめてブ6.6.1.15 侵入検知システムが、常に最新の攻撃・不正アクセスに対応可能な
V6 リソース分離の欠如
検出できる仕組みが ロックする）
ように、定義ファイル、検知ルールなどの更新を実施する
提供され、適切に運 ・複数のユーザが共同用されること利用する記録媒体の押収（犯罪の証拠となる
複数のユーザが共同
電磁的記録を押収する
利用する記録媒体の押 6.5.1.6 バックアップの範囲（例えば、フルバックアップ、差分バックアップ）及ため、その記録を含む
収による、犯罪と無関 びバックアップの頻度は、組織の業務上の要求事項、関連する情報のセキュ
押収する対象の最媒体全部を、捜査機関
係なユーザへの影響を リティ要求事項及びその情報の組織の事業継続に対しての重要度を考慮し終判断を行う捜査が押収する）
防ぐため、特定ユーザ て決定する
機関の判断ミスの記憶領域だけを独立 6.5.1.7 バックアップの単位（例えば、データ単位、論理ボリューム単位、ユーした媒体に記録する仕 ザ単位など）ごとに独立した媒体にバックアップを取得する仕組みを備える組みを設ける

他の共同利用者の行為による信頼の喪失

特定非営利活動法人
日本セキュリティ監査協会

15/61
H04： リソースの枯渇（リソース割当の過不足）
・クラウド事業者の予想を超えるユーザの需要増により、インフラやリソースがユーザの需要を満たせずサービスに支障が生ずることで、ユーザの減少や評判の低下を招く。
・上記のリスクを回避するためにリソースを増強することで、場合によっては過剰投資として収益性を低下させる。

レイヤ

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

V27 クラウドのインフラ リソース使用の統計多サービス提供の可能に対する投資またはリ 重効果を出すため、物な範囲で、ユーザが6.3.1.5 論理資源の総和が物理資源を超過するような資源の割り当ては、物
リソース層
非効率なリソース配分 ソース割当の不足
理リソースの限界を超要求する論理リソース
理資源の最繁時の同時使用率を考慮して行う
えた論理リソースの総を設定できること
和を設定する

抽象化層

機能層

リソース使用の統計多重効果を出すため、ユーザ別のプロセスや 6.3.1.8 物理資源を複数のクラウド利用者で共有する論理資源の割当ては、
トラフィックのスケ
クラウド利用者の特性に合わせた適切なアルゴリズムにより行う
V15 リソースの使用に ジューリングを適切に関する不正確なモデリ 行う。
ユーザのニーズと物同一装置を共有する
ング
理的制約を全体最適装置間又は拠点間のユーザ間の使用率の6.3.1.11 容量及び能力が設計時の想定を超えた場合の対応手順（仮想マシ化して、有効かつ公平
使用率の偏りを防ぐた
偏り及び装置間又は拠ンの再配置のためのライブマイグレーション及び仮想ネットワークの変更手にリソースを配分する
め、仮想資源の適切な点間の使用率の偏り順など）を作成する
こと
再配置を行う。
複合要因（災害等）
ユーザ間の利用の公によるシステム障害
V.28 リソースの利用上 平を図るため、ユーザ 6.3.1.9 物理資源を複数のクラウド利用者で共有する論理資源の使用は、クラ および需要増がも限制限ポリシーの欠如 ごとに使用率の最高値 ウド利用者が使用可能な最大値や最低値を定め適切に制限を行う
たらすリソースの枯や最低保証値を設け
渇
る。

物理層

6.3.1.1 新規及び現在進行中の活動（クラウドサービスの提供にかかわる活動を含む。）のために、容量・能力に関する要求事項を特定する
6.3.1.2 システム（クラウドサービスの提供にかかわるシステム及びクラウドサービスを提供するシステムを含む。）の可用性及び効率性を確実にするた増設の遅れなどによるめ、また、必要な場合には、改善のために、システム調整及び監視を適用す
ユーザのニーズを満V27 クラウドのインフラ 物理的な限界が生じる
物理リソースの総量のる
たした物理リソースのに対する投資またはリ ことを防ぐため、需要予不足
6.3.1.3 適切な時点で問題を知らせるために、探知のための管理策を備える
安定供給
ソース割当の不足測を行い適切に設備投6.3.1.6 入手に時間又は費用がかかる資源については、特別な注意を要する資を行う。
ため、管理者は、主要なシステム資源（クラウドサービスの提供にかかわる資源及びクラウドサービスを提供する資源を含む。）の使用を監視し、全体の容量・能力の限界値及びクラウド利用者に割り当てられる容量・能力の限界値を把握する

リソースの枯渇

特定非営利活動法人
日本セキュリティ監査協会

16/61
レイヤ

サービス管理系

クラウド事業者における対応するクラウド管理基準
脅威
脆弱性
対策の要点
リソース使用の統計多重効果を出すため、ユーザ別のプロセスや 6.3.1.8 物理資源を複数のクラウド利用者で共有する論理資源の割当ては、
トラフィックのスケ
クラウド利用者の特性に合わせた適切なアルゴリズムにより行う
ジューリングを適切にV15 リソースの使用に 行う。
関する不正確なモデリ
ユーザのニーズと物ング
同一装置を共有する
装置間又は拠点間の理的制約を全体最適6.3.1.11 容量及び能力が設計時の想定を超えた場合の対応手順（仮想マシ
ユーザ間の使用率の使用率の偏りを防ぐた
化して、有効かつ公平
ンの再配置のためのライブマイグレーション及び仮想ネットワークの変更手偏り及び装置間又は拠め、仮想資源の適切なにリソースを配分する順など）を作成する点間の使用率の偏り
再配置を行う。
こと目指すべき水準想定されるリスク

残留リスク

備考

ユーザ間の利用の公平を図るため、ユーザ
V.28 リソースの利用上
6.3.1.9 物理資源を複数のクラウド利用者で共有する論理資源の使用は、クラ 複合要因（災害等）
ごとに使用率の最高値によるシステム障害
限制限ポリシーの欠如
ウド利用者が使用可能な最大値や最低値を定め適切に制限を行うや最低保証値を設けおよび需要増がもる。
たらすリソースの枯渇

ユーザ使用の過負荷による管理用リソースの圧迫（ユーザに論理リ
ソースを提供する物理資源であっても、そのリソースの一部を管理の
ユーザサービス用のリサービス管理に必要ために使用せざるを得 V.28 リソースの利用上 ソースとは別に、管理な最低限のリソースをない。例えば、管理プロ 限制限ポリシーの欠如 用のリソースを確保す
確保することセスを動かすCPU、メモる。
リ、ネットワークなど。
ユーザ使用の増大によって、管理リソースが確保できなくなることがある）

7.6.2.3 取扱いに慎重を要する業務用ソフトウェアを共有環境で用いる場合、そのシステムの管理者は、資源とリスクを共有する業務用ソフトウェアシステ
ムを認識した上で、そのリスクの受容を判断する
7.6.2.4 取扱いに慎重を要する管理用プロセスを、クラウドサービスを提供するプロセスとリソースを共有する環境で動作させる場合、管理用プロセスの動作を確保するための仕組みを設ける
6.3.1.5 論理資源の総和が物理資源を超過するような資源の割り当ては、物
理資源の最繁時の同時使用率を考慮して行う
6.3.1.9 物理資源を複数のクラウド利用者で共有する論理資源の使用は、クラウド利用者が使用可能な最大値や最低値を定め適切に制限を行う

リソースの枯渇

特定非営利活動法人
日本セキュリティ監査協会

17/61
H05： 隔離の失敗
・クラウドサービスを構成するメカニズムの不備・欠陥や脆弱性への攻撃により、異なるユーザやサービス間の隔離が失われることで、ユーザの機密情報の漏えいなどが生じ、事業者の評判が失墜する。

レイヤ

抽象化層

目指すべき水準

論理資源へのアクセ
リソース層 ス制御が有効である
こと想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

6.6.1.1 ネットワークには、クラウドサービスの提供にかかわるネットワーク、
クラウドサービスを提供するネットワーク、及びクラウドサービスに含まれ提供されるネットワークを含める
6.6.1.2 ネットワーク管理者は、ネットワークにおける情報のセキュリティ及び接続したネットワークサービスの認可されていないアクセスからの保護を確実にする仕組みを整備する
6.6.1.3 適切と判断される場合には、ネットワークの運用責任を、コンピュータの運用から分離する
6.6.1.4 遠隔地に所在する設備（利用者の領域に設置した設備を含む。）の管理に関する責任及び手順を確立する
ユーザが利用するネッ6.6.1.5 公衆ネットワーク又は無線ネットワークを通過するデータの機密性及トワークへの偵察行為
び完全性を保護するため、並びにネットワークを介して接続したシステム及び（ポートスキャンなど）をクラウド内部のユーザ V17 クラウド内部のネッ
業務用ソフトウェアを保護するために、特別な管理策（受信規制又は発信規 検知し、対処する前
制限するか、又は偵察による盗聴、改ざん、シ トワークへの偵察行為
制を含む）を確立するの許可されないアク行為（ポートスキャンなステムの破壊が発生する可能性
6.6.1.6 セキュリティに関連した活動を記録できるように、適切なログ取得及 セスの可能性ど）を行う者を特定でき
び監視を適用するる仕組みを設けて監視
6.6.1.7 サービスの最大限の活用及び管理策の情報処理基盤全体への一貫する
した適用の確実化のために、様々な管理作業を綿密に調整する
6.6.1.10 ネットワーク上の機器では、アクセス制御方針に基づき、すべてのネットワークインタフェースでアクセス制御（受信規制又は発信規制を含む）を実施する
6.6.1.12 ネットワーク上の機器では、業務に使用していない空きポートへの接続を制限する6.6.1.14 ネットワーク上の不正なイベントを監視するため、侵入検知システムを導入する
6.6.1.15 侵入検知システムが、常に最新の攻撃・不正アクセスに対応可能なように、定義ファイル、検知ルールなどの更新を実施する

隔離の失敗

特定非営利活動法人
日本セキュリティ監査協会

18/61
レイヤ

抽象化層

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
論理リソース間のアク 弱性を含める論理資源へのアクセ
セス制御の不備を早期 8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機をリソース層 ス制御が有効である
V6 リソース分離の欠如 に発見し、適切な対応 失しない処置をとる
ことをする仕組みを整え
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定めるる。
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する
8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理 ゼロデイ脆弱性を策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行 突いた攻撃する
8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順に取るべき処置を実行する
クラウド内部のユーザ
ハイパーバイザの脆弱 8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリスによる盗聴、改ざん、シ性を利用した不正や迷 クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを
ステムの破壊V5 ハイパーバイザの 惑行為を防ぐため、脆 比較する。）
脆弱性
弱性対策と早期発見の 8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられ仕組みを整える。
ない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
同一物理資源を、複8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
数の論理資源に分割
機能層
又は機能を停止する
し、論理資源へのアク
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス
セスを制御できること制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する
6.1.3.1 組織の職務及び責任範囲は、認可されていない状態又は気づかれない状態で、一人の利用者が組織及びクラウド利用者の資産に対してアクセス、修正又は使用ができないようにする
V53 フィルタリングリ
クラウドサービスの操
フィルタリングリソー
6.1.3.2 組織の職務及び責任範囲は、ある作業を始めることと、その作業を認
ソースの不備または設 作者のミスを防ぐため、
スの不備や設定ミス
可することとを分割する
定ミス
操作者とは別の者がを発見する前の、隔6.1.3.3 組織の職務及び責任範囲は、共謀のおそれがある場合は、共謀を防チェックを行う
離の失敗
ぐ管理策（例えば、二人以上のかかわりを持たせる）の設計を行う
6.1.3.4 組織の職務及び責任範囲は、その分割が困難である場合には、他の管理策（例えば、活動の監視、監査証跡、経営陣による監督）を実施する

隔離の失敗

特定非営利活動法人
日本セキュリティ監査協会

19/61
レイヤ

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

物理層

物理的隔離が有効で サイドチャネル攻撃（装装置の動作を物理的手あること（物理的に隔 置の動作を物理的手段
5.2.1.14 装置を保護するために、放射される電磁波の解析、消費される電力
V18 共同利用者からの 段で測定し、解析され新たなサイドチャネ
離されていれば、物理 で測定し、解析することの解析、故障発生時の動作の解析などによる情報漏えいのリスクが最小限
覗き見の可能性ないため、装置を物理ル手法による攻撃
資源へのアクセスは により、装置内部のになるように、取扱いに慎重を要する情報を処理する装置を保護する
的に保護する。
不可能であること）
データを取得する攻撃）

サービス管理系

7.4.4.1 遠隔診断用及び環境設定用のポートには、クラウドサービスの提供にかかわる情報システム、クラウドサービスを提供する情報システム、及び提供するクラウドサービスにおけるポートを含める
7.4.4.3 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策と隔離の失敗が生じた
して、施錠を利用する
ことを速やかに検知
クラウド内部のユーザ V17 クラウド内部のネッ 管理用ネットワークへ 7.4.4.4 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策と 検知し、対処する前し、対象領域へのアクによる盗聴、改ざん、シ トワークへの偵察行為 の偵察行為（ポートス して、ポートへの物理的なアクセスを制御するサポート手順を利用するの許可されないアクセス制限などの対策
ステムの破壊が発生する可能性
キャンなど）を制御する 7.4.4.5 コンピュータ又はネットワーク設備上に導入されたサービス、ポート及 セスの可能性を講じることができる
び類似の設備で、業務機能に特に必要でないものは、動作しないようにする
ことか、又は除去する
7.4.4.6 ハードウェア及びソフトウェアのサポート手順には、保守要員との間で合意できた場合にだけ、遠隔診断用及び環境設定用のポートへのアクセスを可能にすることを確実にすることを含める

隔離の失敗

特定非営利活動法人
日本セキュリティ監査協会

20/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
論理リソース間のアク 8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
セス制御の不備を早期 8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
V6 リソース分離の欠如 に発見し、適切な対応 スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含むをする仕組みを整え
8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源る。
を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する
隔離の失敗が生じた
8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理ことを速やかに検知
クラウド内部のユーザ策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行 ゼロデイ脆弱性をし、対象領域へのアクによる盗聴、改ざん、シする
セス制限などの対策
突いた攻撃
ステムの破壊8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順を講じることができるに取るべき処置を実行する
こと
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられサービス管理のための ない副作用をもたらさないことを確実にするために、パッチを試験及び評価すアプリケーションの脆弱 る
V48 アプリケーションの性を利用した不正や迷 8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
脆弱性またはパッチ管惑行為を防ぐため、脆 又は機能を停止する
理の不備
弱性対策と早期発見の 8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス
仕組みを整える。
制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

隔離の失敗

特定非営利活動法人
日本セキュリティ監査協会

21/61
H06： サービスエンジンの侵害・脆弱性等を通じてサービスエンジンの制御を奪われることで、クラウドサービスに特化した攻撃（サービスエンジン経由の情報漏えい、リソースの逼迫化によるサービスのマヒ等）が行われる可能性がある。

レイヤ
リソース層

抽象化層
機能層

物理層

サービス管理系

目指すべき水準-

脅威

脆弱性

クラウド事業者におけ
る
対策の要点

-

-

-

想定されるリスク対応するクラウド管理基準

残留リスク

-

-

備考

クラウドサービスの実装手段（ハイパーバイ
ザなど）の脆弱性について適切な対策が講 脆弱性を悪用した盗V5 ハイパーバイザのじられ、その脆弱性を 聴、改ざん、システムの脆弱性悪用したサービスエン 破壊
ジンへの攻撃が成功しない状況が維持されていること8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ハイパーバイザの脆弱 ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ性を悪用した不正や迷 い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい惑行為を防ぐため、脆 弱性を含める
弱性対策と早期発見の 8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
仕組みを整える。
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する
8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行 ゼロデイ脆弱性をする
突いた攻撃
8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順に取るべき処置を実行する
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを攻撃によりサービスエ
サービス管理のための 比較する。）
ンジンで不正なプロセ
サービス管理用システ
アプリケーションの脆弱 8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
スが実施された場合
V48 アプリケーションのムの脆弱性を悪用した
性を悪用した不正や迷 8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられでも、クラウドサービ
脆弱性またはパッチ管システム制御の乗っ取惑行為を防ぐため、脆 ない副作用をもたらさないことを確実にするために、パッチを試験及び評価すスの制御系を通じて
理の不備
り、マヒなど弱性対策と早期発見の る
その停止等の制御が仕組みを整える。
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス行えること
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

サービスエンジンの侵害

特定非営利活動法人
日本セキュリティ監査協会

22/61
レイヤ

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

ハイパーバイザなどのサービスエンジンを制
7.4.4.2 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策と御するための通信を、して、遠隔診断用及び環境設定用のネットワークを他のネットワークから物理
ユーザのデータ通信用的又は論理的に分離するの回線から可能な限り分離する。

サービス管理系攻撃によりサービスエ
6.6.1.1 ネットワークには、クラウドサービスの提供にかかわるネットワーク、ンジンで不正なプロセ
クラウドサービスを提供するネットワーク、及びクラウドサービスに含まれ提サービス管理用システ
スが実施された場合供されるネットワークを含める
ムの脆弱性を悪用したゼロデイ脆弱性をでも、クラウドサービ
V6 リソース分離の欠如
6.6.1.2 ネットワーク管理者は、ネットワークにおける情報のセキュリティ及びシステム制御の乗っ取突いた攻撃
スの制御系を通じて接続したネットワークサービスの認可されていないアクセスからの保護を確り、マヒなどその停止等の制御がサービス管理系へのア 実にする仕組みを整備する
行えること
クセスを監視し、不正な 6.6.1.3 適切と判断される場合には、ネットワークの運用責任を、コンピュータ
通信やサービスエンジ の運用から分離する
ンの異常動作を早期に 6.6.1.4 遠隔地に所在する設備（利用者の領域に設置した設備を含む。）の検知する体制を維持す 管理に関する責任及び手順を確立するる。
6.6.1.6 セキュリティに関連した活動を記録できるように、適切なログ取得及び監視を適用する
6.6.1.14 ネットワーク上の不正なイベントを監視するため、侵入検知システムを導入する
6.6.1.15 侵入検知システムが、常に最新の攻撃・不正アクセスに対応可能なように、定義ファイル、検知ルールなどの更新を実施する

サービスエンジンの侵害

特定非営利活動法人
日本セキュリティ監査協会

23/61
M07： クラウドプロバイダでの内部不正－特権の悪用
・クラウド事業者における従業員の悪意の行動が、あらゆるクラウドサービスに影響を及ぼす。
・従業員が犯罪組織の標的とされ、上記の行動を行う。

レイヤ

目指すべき水準想定されるリスク脅威

・プロバイダ従業員の不正・犯罪組織によるプロ
バイダ従業員への恐喝、脅迫、強要

機能層

プロバイダの従業員
は、誰にも発覚することなく、不正な特権操
作は行えないこと対応するクラウド管理基準

残留リスク

備考

6.8.1.1 情報には、組織の情報、クラウド利用者にかかわる情報、及び提供すV10. 暗号化状態でのるクラウドサービス上のクラウド利用者の情報を含める
データ処理が不可能で
6.8.1.8 情報交換のために電子通信設備を利用するときに従う手順及び管理
暗号技術又は暗号化しあること（暗号化した
策には、暗号技術の利用（例えば、情報の機密性、完全性及び真正性を保たまま処理を行う技術
暗号の危殆化
データを処理するため護するための暗号の利用）を含めるを適切に用いるにクラウド上で復号して6.8.1.10 情報交換のために電子通信設備を利用するときに従う手順及び管しまう）
理策には、データを暗号化したまま統計処理を行い、その計算結果を安全に導くための技術の利用を含める暗号化されたデータ
リソース層 は、意図しない復号がされないこと

抽象化層

脆弱性

クラウド事業者における対策の要点

4.1.1.1 従業員のセキュリティ上の役割及び責任には、組織の情報セキュリ
ティ基本方針に従って実施し、行動することを含める
4.1.1.2 従業員、契約相手及び第三者の利用者のセキュリティ上の役割及び責任には、認可されていないアクセス、認可されていない開示、改ざん、破壊又は妨害から資産を保護することを含める
4.1.1.3 従業員、契約相手のセキュリティ上の役割及び責任には、特定のセキュリティのプロセス又は活動を実施することを含める
クラウドサービスの操 4.1.1.4 従業員、契約相手及び第三者の利用者の取るべき行動に関するセ
作者の役割と責任を明 キュリティ上の役割及び責任を、個人に割り当てることを確実にする仕組みを確に定義する
整備する
4.1.1.5 従業員、契約相手及び第三者の利用者のセキュリティ上の役割及びV34 役割と責任の不明
責任には、セキュリティ事象、その可能性のある事象又は組織に対するその確性
他のセキュリティリスクを報告することを含める
V35 役割定義の適用
4.1.1.6 セキュリティ上の役割及び責任を定め、雇用前のプロセスにおいて、 責任者が発見するの不備
採用候補者に明確に伝える
V36 「知る必要性」原則
前の不正行為4.1.1.7 組織の雇用プロセスを通して採用していない者（例えば、外部組織かの不適用ら派遣された者）のセキュリティの役割及び責任も、明確に定め、伝える

6.1.3.1 組織の職務及び責任範囲は、認可されていない状態又は気づかれない状態で、一人の利用者が組織及びクラウド利用者の資産に対してアクセス、修正又は使用ができないようにする
クラウドサービスの操
6.1.3.2 組織の職務及び責任範囲は、ある作業を始めることと、その作業を認
作者の不正を防ぐた
可することとを分割する
め、操作者とは別の者
6.1.3.3 組織の職務及び責任範囲は、共謀のおそれがある場合は、共謀を防がチェックを行う
ぐ管理策（例えば、二人以上のかかわりを持たせる）の設計を行う
6.1.3.4 組織の職務及び責任範囲は、その分割が困難である場合には、他の管理策（例えば、活動の監視、監査証跡、経営陣による監督）を実施する

クラウドプロバイダーでの内部不正

特定非営利活動法人
日本セキュリティ監査協会

24/61
レイヤ

抽象化層

機能層

目指すべき水準想定されるリスク脅威

・プロバイダ従業員のプロバイダの従業員
不正は、誰にも発覚するこ・犯罪組織によるプロとなく、不正な特権操
バイダ従業員への恐作は行えないこと喝、脅迫、強要

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する
ハイパーバイザの脆弱 8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理性を利用した不正や迷 策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行
V39 システムまたはOS
ゼロデイ脆弱性を惑行為を防ぐため、脆 する
の脆弱性
突いた攻撃
弱性対策と早期発見の 8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順仕組みを整えるに取るべき処置を実行する
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

クラウドプロバイダーでの内部不正

特定非営利活動法人
日本セキュリティ監査協会

25/61
レイヤ

物理層

目指すべき水準想定されるリスク脅威

・プロバイダ従業員のプロバイダの従業員
不正は、誰にも発覚するこ・犯罪組織によるプロとなく、不正な特権操
バイダ従業員への恐作は行えないこと喝、脅迫、強要

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

5.1.5.1 セキュリティを保つべき領域での作業に関する物理的な保護及び指針の設計に、セキュリティを保つべき領域の存在又はその領域内での活動
は、業務上知る必要のある要員にのみ知らせることを含める
5.1.5.2 セキュリティを保つべき領域での作業に関する物理的な保護及び指針の設計に、安全面の理由のためと、悪意ある活動の機会を防止するためとの両面から、セキュリティを保つべき領域での監督されていない作業を回避することを含める
5.1.5.3 セキュリティを保つべき領域での作業に関する物理的な保護及び指針の設計に、セキュリティを保つべき領域が無人のときは、物理的に施錠し、定期的に点検することを含める
5.1.5.4 セキュリティを保つべき領域での作業に関する物理的な保護及び指針の設計に、セキュリティを保つべき領域への物品の持込、持ち出しを管理することを含める
5.1.5.5 セキュリティを保つべき領域での作業に関する物理的な保護及び指針の設計に、画像、映像、音声又はその他の記録装置（例えば、携帯音楽端
末やICレコーダ、カメラ付き携帯電話）の使用及び持込みについて、認可されたもの以外は、許可しないことを含める
6.1.1.1 操作手順には、クラウドサービスの提供にかかわるシステムの操作手
順、クラウドサービスを提供するシステムの操作手順及びクラウドサービスとして提供されるシステムの操作手順を含める
6.1.1.2 情報処理設備及び通信設備に関連するシステムの管理活動（例えば、コンピュータの起動・停止の手順、バックアップ、装置の保守、媒体の取扱い、コンピュータ室及びメールの取扱いの管理・安全）の手順書は、クラウドサービスの利用に必要な手順書、クラウドサービスの提供に必要な手順書
及びその他の管理活動に必要な手順書を区別して作成する
6.1.1.3 情報処理設備及び通信設備に関連するシステムの管理活動の手順
V37 物理的なセキュリ 設備設置場所における 書には、情報の処理及び取扱いを含む、各作業の詳細な実施に関する指示
ティ手順の不備装置の保護指針を定 を明記する
責任者が発見する
め、指針に基づく手順 6.1.1.4 情報処理設備及び通信設備に関連するシステムの管理活動の手順 前の不正行為
書には、バックアップを含む、各作業の詳細な実施に関する指示を明記するを定める
6.1.1.5 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、スケジュール作成に関する要求事項（他のシステムとの相互依存性、最早作業開始時刻と最遅作業完了時刻など）を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.6 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、作業中に発生し得る、誤り又はその他の例外状況の処理についての指示（システムユーティリティの利用の制限）を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.7 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、操作上又は技術上の不測の問題が発生した場合の連絡先を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.8 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、特別な出力及び媒体の取扱いに関する指示を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.9 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、システムが故障した場合の再起動及び回復の手順を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.10 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、監査証跡及びシステムログ情報の管理を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.11 システムの管理活動のための操作手順及び文書化手順は正式な文書として取扱い、その手順書の変更は、経営陣が認可する
6.1.1.12 情報システムは、同一の手順、ツール及びユーティリティを用いて、クラウドプロバイダーでの内部不正
首尾一貫した管理を行う

特定非営利活動法人
日本セキュリティ監査協会

作は行えないこと

レイヤ

目指すべき水準

バイダ従業員への恐喝、脅迫、強要想定されるリスク
脅威書には、バックアップを含む、各作業の詳細な実施に関する指示を明記する
6.1.1.5 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、スケジュール作成に関する要求事項（他のシステムとの相互依存性、最早作業開始時刻と最遅作業完了時刻など）を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.6 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、作業中に発生し得る、誤り又はその他の例外状況の処理について
クラウド事業者におけ の指示（システムユーティリティの利用の制限）を含む、各作業の詳細な実施
るに関する指示を明記する 対応するクラウド管理基準
対策の要点
6.1.1.7 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、操作上又は技術上の不測の問題が発生した場合の連絡先を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.8 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、特別な出力及び媒体の取扱いに関する指示を含む、各作業の詳細な実施に関する指示を明記する

を定める

脆弱性

26/61
残留リスク

備考

6.1.1.9 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、システムが故障した場合の再起動及び回復の手順を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.10 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、監査証跡及びシステムログ情報の管理を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.11 システムの管理活動のための操作手順及び文書化手順は正式な文書として取扱い、その手順書の変更は、経営陣が認可する
6.1.1.12 情報システムは、同一の手順、ツール及びユーティリティを用いて、首尾一貫した管理を行う

物理層

・プロバイダ従業員のプロバイダの従業員
不正は、誰にも発覚するこ・犯罪組織によるプロとなく、不正な特権操
バイダ従業員への恐作は行えないこと喝、脅迫、強要

4.1.1.1 従業員のセキュリティ上の役割及び責任には、組織の情報セキュリ
ティ基本方針に従って実施し、行動することを含める
4.1.1.2 従業員、契約相手及び第三者の利用者のセキュリティ上の役割及び責任には、認可されていないアクセス、認可されていない開示、改ざん、破壊又は妨害から資産を保護することを含める
4.1.1.3 従業員、契約相手のセキュリティ上の役割及び責任には、特定のセキュリティのプロセス又は活動を実施することを含める
4.1.1.4 従業員、契約相手及び第三者の利用者の取るべき行動に関するセクラウドサービスの操
キュリティ上の役割及び責任を、個人に割り当てることを確実にする仕組みを作者の役割と責任を明整備する
確に定義する4.1.1.5 従業員、契約相手及び第三者の利用者のセキュリティ上の役割及び責任には、セキュリティ事象、その可能性のある事象又は組織に対するその他のセキュリティリスクを報告することを含める
V34 役割と責任の不明
4.1.1.6 セキュリティ上の役割及び責任を定め、雇用前のプロセスにおいて、確性採用候補者に明確に伝える
V35 役割定義の適用
4.1.1.7 組織の雇用プロセスを通して採用していない者（例えば、外部組織かの不備ら派遣された者）のセキュリティの役割及び責任も、明確に定め、伝える
V36 「知る必要性」原則の不適用
6.1.3.1 組織の職務及び責任範囲は、認可されていない状態又は気づかれない状態で、一人の利用者が組織及びクラウド利用者の資産に対してアクセス、修正又は使用ができないようにする
クラウドサービスの操
6.1.3.2 組織の職務及び責任範囲は、ある作業を始めることと、その作業を認
作者の不正を防ぐた
可することとを分割する
め、操作者とは別の者
6.1.3.3 組織の職務及び責任範囲は、共謀のおそれがある場合は、共謀を防がチェックを行う
ぐ管理策（例えば、二人以上のかかわりを持たせる）の設計を行う
6.1.3.4 組織の職務及び責任範囲は、その分割が困難である場合には、他の管理策（例えば、活動の監視、監査証跡、経営陣による監督）を実施する

クラウドプロバイダーでの内部不正

特定非営利活動法人
日本セキュリティ監査協会

27/61
レイヤ

物理層

目指すべき水準想定されるリスク脅威

・プロバイダ従業員のプロバイダの従業員
不正は、誰にも発覚するこ・犯罪組織によるプロとなく、不正な特権操
バイダ従業員への恐作は行えないこと喝、脅迫、強要

脆弱性

V39. システムまたはOSの脆弱性クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する装置の脆弱性を利用し 8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理
た不正や迷惑行為を防 策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行
ゼロデイ脆弱性をぐため、脆弱性対策と する突いた攻撃
早期発見の仕組みを整 8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順に取るべき処置を実行するえる。
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

クラウドプロバイダーでの内部不正

特定非営利活動法人
日本セキュリティ監査協会

28/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク脅威

・プロバイダ従業員のプロバイダの従業員
不正は、誰にも発覚するこ・犯罪組織によるプロとなく、不正な特権操
バイダ従業員への恐作は行えないこと喝、脅迫、強要

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

4.1.1.1 従業員のセキュリティ上の役割及び責任には、組織の情報セキュリ
ティ基本方針に従って実施し、行動することを含める
4.1.1.2 従業員、契約相手及び第三者の利用者のセキュリティ上の役割及び責任には、認可されていないアクセス、認可されていない開示、改ざん、破壊又は妨害から資産を保護することを含める
4.1.1.3 従業員、契約相手のセキュリティ上の役割及び責任には、特定のセキュリティのプロセス又は活動を実施することを含める
クラウドサービスの操 4.1.1.4 従業員、契約相手及び第三者の利用者の取るべき行動に関するセ
作者の役割と責任を明 キュリティ上の役割及び責任を、個人に割り当てることを確実にする仕組みを確に定義する
整備する
4.1.1.5 従業員、契約相手及び第三者の利用者のセキュリティ上の役割及びV34 役割と責任の不明
責任には、セキュリティ事象、その可能性のある事象又は組織に対するその確性
他のセキュリティリスクを報告することを含める
V35 役割定義の適用
4.1.1.6 セキュリティ上の役割及び責任を定め、雇用前のプロセスにおいて、 責任者が発見するの不備
採用候補者に明確に伝える
前の不正行為V36 「知る必要性」原則
4.1.1.7 組織の雇用プロセスを通して採用していない者（例えば、外部組織かの不適用ら派遣された者）のセキュリティの役割及び責任も、明確に定め、伝える

6.1.3.1 組織の職務及び責任範囲は、認可されていない状態又は気づかれない状態で、一人の利用者が組織及びクラウド利用者の資産に対してアクセス、修正又は使用ができないようにする
クラウドサービスの操
6.1.3.2 組織の職務及び責任範囲は、ある作業を始めることと、その作業を認
作者の不正を防ぐた
可することとを分割する
め、操作者とは別の者
6.1.3.3 組織の職務及び責任範囲は、共謀のおそれがある場合は、共謀を防がチェックを行う
ぐ管理策（例えば、二人以上のかかわりを持たせる）の設計を行う
6.1.3.4 組織の職務及び責任範囲は、その分割が困難である場合には、他の管理策（例えば、活動の監視、監査証跡、経営陣による監督）を実施する

クラウドプロバイダーでの内部不正

特定非営利活動法人
日本セキュリティ監査協会

29/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク脅威

・プロバイダ従業員のプロバイダの従業員
不正は、誰にも発覚するこ・犯罪組織によるプロとなく、不正な特権操
バイダ従業員への恐作は行えないこと喝、脅迫、強要

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する
8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理
サービス管理のための 策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行
アプリケーションの脆弱 する
V1 認証、認可、課金管性を利用した不正や迷 8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順 ゼロデイ脆弱性を理（ＡＡＡ）の脆弱性
惑行為を防ぐため、脆 に取るべき処置を実行する
突いた攻撃
弱性対策と早期発見の 8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
仕組みを整える。
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

クラウドプロバイダーでの内部不正

特定非営利活動法人
日本セキュリティ監査協会

30/61
M08： 管理用インターフェースの悪用（操作、インフラストラクチャアクセス）・クラウドサービスのユーザ向けに、インターネットからリソース制御を可能とするインタフェースが悪用され、サービス全体に影響を及ぼす。
・クラウド事業者の管理者の制御用インタフェースも同様に悪用されることで、さらなる影響を及ぼす。

レイヤ

リソース層

目指すべき水準

-

脅威

脆弱性

クラウド事業者におけ
る
対策の要点

-

-

-

想定されるリスク対応するクラウド管理基準

残留リスク

-

-

備考

抽象化層
機能層

物理層

サービス管理系

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
V39 システムまたはOS システムの脆弱性、及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他のの脆弱性
サービス管理のための 管理策の適用）を特定する
ユーザの用いる管理
V48 アプリケーションの アプリケーションなどの 8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理用インターフェースの 管理用インターフェース 脆弱性またはパッチ管 脆弱性を利用した管理 策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行 ゼロデイ脆弱性を
アクセス制御が適切 への不正アクセス
理の不備
用インタフェースの悪用 する突いた攻撃に行われること
V1 認証、認可、課金管 を防ぐため、脆弱性対 8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順理（ＡＡＡ）の脆弱性
策と早期発見の仕組み に取るべき処置を実行するを整える。
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する管理用インタフェースの悪用

特定非営利活動法人
日本セキュリティ監査協会

31/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

7.4.4.1 遠隔診断用及び環境設定用のポートには、クラウドサービスの提供にかかわる情報システム、クラウドサービスを提供する情報システム、及び提供するクラウドサービスにおけるポートを含める
7.4.4.2 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策として、遠隔診断用及び環境設定用のネットワークを他のネットワークから物理
クラウドプロバイダの管 的又は論理的に分離する
理用ネットワークへの 7.4.4.3 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策とV4 管理用インタフェー 不正アクセスを防ぐた して、施錠を利用する
スへのリモートアクセス め、管理用ネットワーク 7.4.4.4 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策とへのアクセスを制御す して、ポートへの物理的なアクセスを制御するサポート手順を利用する
る
7.4.4.5 コンピュータ又はネットワーク設備上に導入されたサービス、ポート及び類似の設備で、業務機能に特に必要でないものは、動作しないようにする
か、又は除去する
7.4.4.6 ハードウェア及びソフトウェアのサポート手順には、保守要員との間
ユーザの用いる管理で合意できた場合にだけ、遠隔診断用及び環境設定用のポートへのアクセ 責任者が発見する用インターフェースの 管理用インターフェース
スを可能にすることを確実にすることを含める
アクセス制御が適切 への不正アクセス
前の管理の誤りに行われること

V38 設定ミス

6.1.3.1 組織の職務及び責任範囲は、認可されていない状態又は気づかれない状態で、一人の利用者が組織及びクラウド利用者の資産に対してアクセ
クラウドサービスの操 ス、修正又は使用ができないようにする
作者のミスを防ぐため、 6.1.3.2 組織の職務及び責任範囲は、ある作業を始めることと、その作業を認操作者とは別の者が 可することとを分割する
チェックを行う
6.1.3.3 組織の職務及び責任範囲は、共謀のおそれがある場合は、共謀を防ぐ管理策（例えば、二人以上のかかわりを持たせる）の設計を行う
6.1.3.4 組織の職務及び責任範囲は、その分割が困難である場合には、他の管理策（例えば、活動の監視、監査証跡、経営陣による監督）を実施する

管理用インタフェースの悪用

特定非営利活動法人
日本セキュリティ監査協会

32/61
M09： データ転送途上における攻撃、データ漏えい（アップロード時、ダウンロード時、クラウド間転送）
・ユーザ環境とクラウドサービス、もしくは分散されたクラウドサービス相互間でのデータ転送機会が生ずることで、その転送中のデータの漏えいのリスクが生じる。

レイヤ

抽象化層

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

クラウド内部のネット
ワークの盗聴6.6.1.1 ネットワークには、クラウドサービスの提供にかかわるネットワーク、
クラウドサービスを提供するネットワーク、及びクラウドサービスに含まれ提供されるネットワークを含める
6.6.1.2 ネットワーク管理者は、ネットワークにおける情報のセキュリティ及び接続したネットワークサービスの認可されていないアクセスからの保護を確実にする仕組みを整備する
6.6.1.3 適切と判断される場合には、ネットワークの運用責任を、コンピュータの運用から分離する
6.6.1.4 遠隔地に所在する設備（利用者の領域に設置した設備を含む。）の管理に関する責任及び手順を確立する
ユーザが利用するネッ6.6.1.5 公衆ネットワーク又は無線ネットワークを通過するデータの機密性及トワークへの偵察行為
V17 内部（クラウド）
び完全性を保護するため、並びにネットワークを介して接続したシステム及び（ポートスキャンなど）をネットワークへの偵察
業務用ソフトウェアを保護するために、特別な管理策（受信規制又は発信規 検知し、対処する前
制限するか、又は偵察行為が発生する可能性
制を含む）を確立するの許可されないアク行為（ポートスキャンな
6.6.1.6 セキュリティに関連した活動を記録できるように、適切なログ取得及 セスの可能性ど）を行う者を特定でき
び監視を適用するる仕組みを設けて監視
6.6.1.7 サービスの最大限の活用及び管理策の情報処理基盤全体への一貫する
した適用の確実化のために、様々な管理作業を綿密に調整する
6.6.1.10 ネットワーク上の機器では、アクセス制御方針に基づき、すべてのネットワークインタフェースでアクセス制御（受信規制又は発信規制を含む）を実施する
6.6.1.12 ネットワーク上の機器では、業務に使用していない空きポートへの接続を制限する6.6.1.14 ネットワーク上の不正なイベントを監視するため、侵入検知システムを導入する
6.6.1.15 侵入検知システムが、常に最新の攻撃・不正アクセスに対応可能なように、定義ファイル、検知ルールなどの更新を実施する

クラウド外部のネット
ワークの盗聴V8 通信路暗号の脆弱 暗号アルゴリズムは、性適切に選択する

論理ネットワークへのリソース層 アクセス制御が有効であること

8.3.1.3 暗号の利用に関する方針は、リスクアセスメントに基づく、要求される
暗号アルゴリズムの種別、強度及び品質を考慮に入れた、要求された保護レ 暗号の危殆化
ベルの識別を考慮して定める

データ転送上における攻撃・データ漏えい

特定非営利活動法人
日本セキュリティ監査協会

33/61
レイヤ

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

6.8.1.1 情報には、組織の情報、クラウド利用者にかかわる情報、及び提供するクラウドサービス上のクラウド利用者の情報を含める
V9 アーカイブおよび転6.8.1.8 情報交換のために電子通信設備を利用するときに従う手順及び管理送中のデータの暗号化 データ転送には、暗号 策には、暗号技術の利用（例えば、情報の機密性、完全性及び真正性を保暗号の危殆化の強度不足または未実 技術を適切に用いる護するための暗号の利用）を含める
施
6.9.2.6 オンライン取引のためのセキュリティとして、かかわるすべての当事者間の通信経路を暗号化する

抽象化層

機能層

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
論理ネットワークへのクラウド内外のネッット
表を定める
アクセスを制御できるワークの盗聴8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
こと
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の仮想スイッチの脆弱性 管理策の適用）を特定する
V48 アプリケーションのを利用した不正や迷惑 8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理脆弱性またはパッチ管
ゼロデイ脆弱性を行為を防ぐため、脆弱 策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行
理の不備（仮想スイッチ
突いた攻撃
性対策と早期発見の仕 するなどの脆弱性）8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順組みを整えるに取るべき処置を実行する
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

データ転送上における攻撃・データ漏えい

特定非営利活動法人
日本セキュリティ監査協会

34/61
レイヤ

物理層

サービス管理系

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

サイドチャネル攻撃（装装置の動作を物理的手
物理ネットワークへの 置の動作を物理的手段
5.2.1.14 装置を保護するために、放射される電磁波の解析、消費される電力
V18 共同利用者からの 段で測定し、解析され新たなサイドチャネ
アクセスを制御できる で測定し、解析することの解析、故障発生時の動作の解析などによる情報漏えいのリスクが最小限
覗き見の可能性ないため、装置を物理ル手法による攻撃ことにより、装置内部のになるように、取扱いに慎重を要する情報を処理する装置を保護する
的に保護する
データを取得する攻撃）

不正アクセスが生じたことを速やかに検知
V17 内部（クラウド）
管理用ネットワークへし、対象ネットワーク クラウド内外のネッット
ネットワークへの偵察 のポートスキャンを制へのアクセス制限など ワークの盗聴行為が発生する可能性 御するの対策を講じることができること

7.4.4.1 遠隔診断用及び環境設定用のポートには、クラウドサービスの提供にかかわる情報システム、クラウドサービスを提供する情報システム、及び提供するクラウドサービスにおけるポートを含める
7.4.4.2 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策として、遠隔診断用及び環境設定用のネットワークを他のネットワークから物理的又は論理的に分離する
7.4.4.3 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策として、施錠を利用する
検知し、対処する前
7.4.4.4 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策と の許可されないアク
して、ポートへの物理的なアクセスを制御するサポート手順を利用する
セスの可能性7.4.4.5 コンピュータ又はネットワーク設備上に導入されたサービス、ポート及び類似の設備で、業務機能に特に必要でないものは、動作しないようにする
か、又は除去する
7.4.4.6 ハードウェア及びソフトウェアのサポート手順には、保守要員との間で合意できた場合にだけ、遠隔診断用及び環境設定用のポートへのアクセスを可能にすることを確実にすることを含める

データ転送上における攻撃・データ漏えい

特定非営利活動法人
日本セキュリティ監査協会

35/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する
不正アクセスが生じた
サービス管理のための 8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理V1 認証、認可、課金管
ことを速やかに検知
アプリケーションの脆弱 策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行
理（AAA）の脆弱性
し、対象ネットワーク クラウド内外のネッット性を利用した不正や迷 する
ゼロデイ脆弱性をV48. アプリケーション
へのアクセス制限など ワークの盗聴
惑行為を防ぐため、脆 8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順 突いた攻撃の脆弱性またはパッチに取るべき処置を実行するの対策を講じることが弱性対策と早期発見の管理の不備
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリスできること
仕組みを整えるクを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

データ転送上における攻撃・データ漏えい

特定非営利活動法人
日本セキュリティ監査協会

36/61
M10： セキュリティが確保されていない、または不完全なデータ削除
・ストレージやバックアップテープ等の物理媒体をを他のユーザと共用する場合、媒体には常時複数ユーザのデータが記録されるため、特定ユーザのデータだけを消去する目的で、その媒体を物理的に破壊することはできない。

レイヤ

目指すべき水準

脅威

脆弱性

クラウド事業者における対策の要点想定されるリスク対応するクラウド管理基準

残留リスク

リソース層

-

-

-

-

-

-

機能層

-

-

-

-

-

-

備考

抽象化層

4.3.2.4 雇用、契約又は合意の終了時の手続には、個人所有の設備を業務に使用した場合には、クラウド利用者の資産を含むすべての関連する情報を組織に返却し、設備から確実に消去することを含める

物理層ユーザが削除した・削除データの復旧
V20 機密性の高いメ
データは、クラウドか・バックアップデータの ディアのサニタイゼー
ら完全に消去できるこ
放置ション（記録の抹消）とサービス管理系

5.2.6.4 取扱いに慎重を要する情報を格納した装置の再利用は、その情報をデータの削除は、その破壊、消去若しくは上書き後に行う。消去又は上書きには、標準的な消去又データの記憶域に、乱バックアップのサイ
は初期化の機能を利用するよりも、元の情報を取り戻せなくなるようにする技
数などの無意味な記録
クル期間中のデー術を利用するを上書きし、データの痕
タの残留跡を消去する6.7.2.2 取扱いに慎重を要する情報を格納した媒体のセキュリティを保ち、かつ、安全に保管し、処分する（例えば、焼却、消磁、シュレッダーの利用、組織
内の他のアプリケーションでの利用のためのデータ消去）
6.7.2.3 リース機器の返却や媒体の廃棄において、復元できないように情報の消去を確実にする仕組みを整備する（例えば、専用の消去ツールを用いる）

セキュリティが確保されていない、または不完全な削除

ストレージを複数の利用者が共同利用する場合、ある利用者が解放した
記憶域は、すぐに
他の利用者のデー
タによって上書きされる可能性がある。

特定非営利活動法人
日本セキュリティ監査協会

37/61
M11： クラウド内DDoS/DoS攻撃
・悪意のユーザもしくはユーザ環境の乗っ取り等を通じて同じクラウドサービス内を起点とするDDoS/DoS攻撃が行われることで、インターネット経由の場合よりも大きな被害がユーザに発生する。

レイヤ

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

攻撃対象となる同一の
DoS攻撃を受けても論 DoS攻撃による処理負C.1.1.7 一部の情報処理設備（物理サーバ、物理ストレージ、物理ネットワー
V.28 リソースの利用上 仮想マシンを複数の物
想定を大きく超える
リソース層 理リソースが完全に 荷の上昇に伴うリソー
ク機器、通信ケーブル、アクセス回線など）の過負荷がクラウドサービスを停限制限ポリシーの欠如 理マシン上に複数用意
処理負荷消費しないこと
スの消尽止させないために、情報処理設備を冗長化し、負荷を分散する
し、攻撃を分散する

抽象化層

機能層

V53. フィルタリングリ
ソースの不備または設
定ミス（偽装アドレスを設定して行うDoS攻撃
Doｓ攻撃の攻撃元（踏 DoS攻撃の手段（踏み を防げないなど）
み台）にならないこと 台）としての悪用

7.4.7.3 ネットワークトラフィックの発信元となる情報処理装置を管理する場合には、ネットワーク制御を行う箇所において、発信元のアドレスを確認し、不攻撃者が行うアドレス
正なアドレスのネットワークトラフィックの送出を許可しないこと
アドレス偽装を行わ（IP，MAC）偽装を検知
7.4.7.4 プロキシ及び／又はネットワークアドレス変換を採用する場合には、 ないDoSトラフィック
又は偽装トラフィックの内部及び外部のネットワーク制御を行う箇所において、発信元及びあて先の の発信発信を防止する
アドレスが正当であることを確認するために、セキュリティゲートウェイを利用する

ユーザ間の利用の公平を図るため、ユーザ
V.28 リソースの利用上
6.3.1.9 物理資源を複数のクラウド利用者で共有する論理資源の使用は、ク 許可範囲内のDoSト
ごとに使用率の最高値
限制限ポリシーの欠如
ラウド利用者が使用可能な最大値や最低値を定め適切に制限を行う
ラフィックの発信や最低保証値を設ける。

クラウド内DDOS/DOS攻撃

特定非営利活動法人
日本セキュリティ監査協会

38/61
レイヤ

抽象化層

機能層

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する
仮想スイッチの脆弱性 8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理V48 アプリケーションのを利用した不正や迷惑 策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行
脆弱性またはパッチ管
ゼロデイ脆弱性を行為を防ぐため、脆弱 する
理の不備（仮想スイッチ
突いた攻撃
性対策と早期発見の仕 8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順などの脆弱性）
組みを整えるに取るべき処置を実行する
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを処理負荷が上昇して DoS攻撃による処理負比較する。）
も、機能を維持するこ 荷の上昇に伴う運用管
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証すると理のマヒ
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

V38 設定ミス

6.1.3.1 組織の職務及び責任範囲は、認可されていない状態又は気づかれない状態で、一人の利用者が組織及びクラウド利用者の資産に対してアクセ
クラウドサービスの操ス、修正又は使用ができないようにする
作者のミスが攻撃の標
6.1.3.2 組織の職務及び責任範囲は、ある作業を始めることと、その作業を認的となる脆弱性をもた責任者が発見する
可することとを分割する
らすのを防ぐため、操前の誤り
6.1.3.3 組織の職務及び責任範囲は、共謀のおそれがある場合は、共謀を防作者とは別の者がぐ管理策（例えば、二人以上のかかわりを持たせる）の設計を行う
チェックを行う
6.1.3.4 組織の職務及び責任範囲は、その分割が困難である場合には、他の管理策（例えば、活動の監視、監査証跡、経営陣による監督）を実施する

クラウド内DDOS/DOS攻撃

特定非営利活動法人
日本セキュリティ監査協会

39/61
レイヤ

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

6.9.1.18 電子商取引に用いる基幹コンピュータが持つ攻撃に対する耐性について、及び電子商取引の実施に必要とされるネットワーク相互接続のセキュ
処理負荷の限界を把握
リティ上の影響について確認する
想定を大きく超える
し、限界に達したときの6.3.1.11 容量及び能力が設計時の想定を超えた場合の対応手順（仮想マシ 処理負荷手順を定めるンの再配置のためのライブマイグレーション及び仮想ネットワークの変更手順など）を作成する

物理層

ユーザの同意を得て、
7.4.6.3 利用者の接続（例えば電子メールのようなメッセージ通信、ファイル転処理負荷が上昇して DoS攻撃による処理負V39 システムまたはOS 過度な処理負荷を与え 送、対話型アクセス、業務用ソフトウェアによるアクセス）は、事前に定められも、機能を維持するこ 荷の上昇に伴う異常挙るトラフィックを識別しての脆弱性た表又は規則によって通信をフィルタにかける、ネットワークゲートウェイにと動、故障の発生
フィルタリングし、遮断
よって制限する・正常通信と識別でする
きないDoS攻撃・想定を大きく超えユーザの同意を得て、
7.4.6.4 利用者の接続（例えば電子メールのようなメッセージ通信、ファイル転 る処理負荷確保すべきトラフィック
送、対話型アクセス、業務用ソフトウェアによるアクセス）は、事前に定められを識別して、帯域を保た表又は規則によって帯域を保証する
証する

6.3.1.3 適切な時点で問題を知らせるために、探知のための管理策を備える

DoS攻撃の標的を他
V53. フィルタリングリの資源から分離し、他 DoS攻撃によるサービ
ソースの不備または設への影響を回避させ スの停止
定ミスること

サービス管理系

攻撃を検知し、攻撃を受けているリソースを他のリソースから分離する

6.6.1.3 適切と判断される場合には、ネットワークの運用責任を、コンピュータの運用から分離する
6.6.1.6 セキュリティに関連した活動を記録できるように、適切なログ取得及び監視を適用する
6.6.1.11 攻撃にさらされる論理リソースは、独立した物理リソースに収容し、他のリソースから分離する
6.6.1.14 ネットワーク上の不正なイベントを監視するため、侵入検知システム
・正常通信と識別でを導入する
きないDoS攻撃6.6.1.15 侵入検知システムが、常に最新の攻撃・不正アクセスに対応可能な・想定を大きく超え
ように、定義ファイル、検知ルールなどの更新を実施する
る処理負荷
6.10.1.10監査ログには、ネットワークアドレス（クラウドサービスの提供にかかわるネットワークアドレス及びクラウドサービスとして提供されるネットワーク
アドレスを含む。）及びプロトコルを含める
6.10.1.11監査ログには、アクセス制御システム（クラウドサービスの提供にかかわるアクセス制御システム及びクラウドサービスとして提供されるアクセス
制御システムを含む。）が発した警報を含める6.6.1.2 ネットワーク管理者は、
ネットワークにおける情報のセキュリティ及び接続したネットワークサービスの認可されていないアクセスからの保護を確実にする仕組みを整備する

7.6.2.3 取扱いに慎重を要する業務用ソフトウェアを共有環境で用いる場合、そのシステムの管理者は、資源とリスクを共有する業務用ソフトウェアシステ
ムを認識した上で、そのリスクの受容を判断する
7.6.2.4 取扱いに慎重を要する管理用プロセスを、クラウドサービスを提供す
ユーザサービス用のリ るプロセスとリソースを共有する環境で動作させる場合、管理用プロセスの動
DoS攻撃を受けても、DoS攻撃による制御系 V.28 リソースの利用上 ソースとは別に、管理 作を確保するための仕組みを設ける
想定を大きく超える
運用管理を継続できのマヒ
限制限ポリシーの欠如 用のリソースを確保す
処理負荷
ること
る
6.3.1.5 論理資源の総和が物理資源を超過するような資源の割り当ては、物
理資源の最繁時の同時使用率を考慮して行う
6.3.1.9 物理資源を複数のクラウド利用者で共有する論理資源の使用は、クラウド利用者が使用可能な最大値や最低値を定め適切に制限を行う

クラウド内DDOS/DOS攻撃

特定非営利活動法人
日本セキュリティ監査協会

40/61
L12： ロックインによるユーザの忌避・クラウドプロバイダが、外部リソースを利用してユーザデータを保護する必要性が生じても、相互接続性がないために、データ移行ができない。
（注）本リスクはENISAではユーザにとっての「ロックインされてしまう」リスクとして整理されているが、ここではクラウド事業者視点で扱う。

レイヤ

リソース層
抽象化層

機能層

目指すべき水準想定されるリスク
脅威

セキュリティを維持し外部リソースを利用しながらユーザデータをたデータ保護を必要と外部のリソースに転する事態
送できること脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

6.8.5.2 業務用情報システムの相互接続と関連がある情報を保護するための個別方針及び手順を策定するためのリスクの分析には、組織内の他の部門と情報を共有している管理システム及び会計システムにおける既知のぜい弱
性を含める
6.8.5.3 業務用情報システムの相互接続と関連がある情報を保護するための個別方針及び手順を策定するためのリスクの分析には、業務通信システム
における情報のぜい弱性（例えば、通話又は電話会議の録音、通話の機密性、ファクシミリの保管、メールの開封、メールの配信）を考慮点として含める
6.8.5.4 業務用情報システムの相互接続と関連がある情報を保護するための個別方針及び手順を策定するためのリスクの分析には、情報の共有を管理するための方針及び適切な管理策を考慮点として含める
6.8.5.5 業務用情報システムを相互接続することのセキュリティ及び業務への影響の識別には、システムが適切なレベルの保護を提供しない場合の、取扱いに慎重を要する業務情報及び秘密文書の相互接続からの除外を考慮
点として含める
ユーザデータをクラウド 6.8.5.6 業務用情報システムを相互接続することのセキュリティ及び業務へのV13 技術とソリューショ の外部に移行する際に 影響の識別には、特別な者（例えば、重要な業務計画に従事している要員） データ移行の間のンにおける標準の欠如 必要な外部との相互接 が関係する業務日誌へのアクセスの制限を考慮点として含める
可用性の低下続手順を定める
6.8.5.7 業務用情報システムを相互接続することのセキュリティ及び業務への影響の識別には、システムの使用が許された要員、契約相手又は提携業者の区分、そこからシステムがアクセスされる場合がある場所を考慮点として含める
6.8.5.8 業務用情報システムを相互接続することのセキュリティ及び業務への影響の識別には、特別の設備に対するアクセスの、特定の区分に属する利用者だけへの限定を考慮点として含める
6.8.5.9 業務用情報システムを相互接続することのセキュリティ及び業務への影響の識別には、利用者の地位の識別（例えば、他の利用者のために、組織又は契約相手の従業員として名簿に載っている者）を考慮点として含める
6.8.5.10 業務用情報システムの相互接続と関連がある情報を保護するための個別方針及び手順を策定するためのリスクの分析には、システム内の情報の保持及びバックアップを考慮点として含める
6.8.5.11 業務用情報システムの相互接続と関連がある情報を保護するための個別方針及び手順を策定するためのリスクの分析には、緊急時に用いる代替手段についての要求事項及び取決めを考慮点として含める

-

-

-

-

-

-

物理層

-

-

-

-

-

-

サービス管理系

-

-

-

-

-

-

ロックインによるユーザの忌避

特定非営利活動法人
日本セキュリティ監査協会

41/61
L13： ガバナンスの喪失・クラウドを利用することで、ユーザが下位層を対象としたガバナンス（自社ポリシーに基づくアクセス制御、ログ管理、監査実施等）を失うことのリスクを憂慮し、クラウド利用を躊躇する。
（注）本リスクはENISAではユーザにとっての「ロックインされてしまう」リスクとして整理されているが、ここではクラウド事業者視点で扱っている。

レイヤ

抽象化層

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

4.1.1.1 従業員のセキュリティ上の役割及び責任には、組織の情報セキュリ
ティ基本方針に従って実施し、行動することを含める
4.1.1.2 従業員、契約相手及び第三者の利用者のセキュリティ上の役割及び責任には、認可されていないアクセス、認可されていない開示、改ざん、破壊又は妨害から資産を保護することを含める
4.1.1.3 従業員、契約相手のセキュリティ上の役割及び責任には、特定のセユーザとクラウドプロ
V34 役割と責任の不明
キュリティのプロセス又は活動を実施することを含める
バイダが合意した責
確性
ユーザとクラウドプロバ 4.1.1.4 従業員、契約相手及び第三者の利用者の取るべき行動に関するセ
・定義もれ
任分界が明確であり、 ユーザがなすべきセV35 役割定義の適用
イダの役割と責任を明 キュリティ上の役割及び責任を、個人に割り当てることを確実にする仕組みを ・合意もれ
リソース層 ユーザの責任範囲に キュリティ対策がリソー の不備
確に定義し、定めに整備する・合意の齟齬
おけるセキュリティ対 ス上で行えないこと
V44 不明確な資産の管従って対処する
4.1.1.5 従業員、契約相手及び第三者の利用者のセキュリティ上の役割及び ・実施の誤り
策はユーザ自らが実理責任
責任には、セキュリティ事象、その可能性のある事象又は組織に対するその施できること他のセキュリティリスクを報告することを含める
4.1.1.6 セキュリティ上の役割及び責任を定め、雇用前のプロセスにおいて、採用候補者に明確に伝える
4.1.1.7 組織の雇用プロセスを通して採用していない者（例えば、外部組織から派遣された者）のセキュリティの役割及び責任も、明確に定め、伝える

ガバナンスの喪失

特定非営利活動法人
日本セキュリティ監査協会

42/61
レイヤ

抽象化層

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

6.8.5.1 業務用情報システムには、クラウドサービスの提供にかかわる情報シ
ステム及びクラウドサービスを提供する情報システムを含める
6.8.5.2 業務用情報システムの相互接続と関連がある情報を保護するための個別方針及び手順を策定するためのリスクの分析には、組織内の他の部門と情報を共有している管理システム及び会計システムにおける既知のぜい弱
性を含める
6.8.5.3 業務用情報システムの相互接続と関連がある情報を保護するための個別方針及び手順を策定するためのリスクの分析には、業務通信システム
における情報のぜい弱性（例えば、通話又は電話会議の録音、通話の機密性、ファクシミリの保管、メールの開封、メールの配信）を考慮点として含める
6.8.5.4 業務用情報システムの相互接続と関連がある情報を保護するための個別方針及び手順を策定するためのリスクの分析には、情報の共有を管理するための方針及び適切な管理策を考慮点として含める
6.8.5.5 業務用情報システムを相互接続することのセキュリティ及び業務への影響の識別には、システムが適切なレベルの保護を提供しない場合の、取ユーザとクラウドプロ
扱いに慎重を要する業務情報及び秘密文書の相互接続からの除外を考慮
バイダが合意した責
ユーザデータをクラウド 点として含める
・定義もれ
任分界が明確であり、 ユーザがなすべきセ
V13 技術とソリューショ の外部に移行する際に 6.8.5.6 業務用情報システムを相互接続することのセキュリティ及び業務への ・合意もれ
リソース層 ユーザの責任範囲に キュリティ対策がリソーンにおける標準の欠如 必要な外部との相互接 影響の識別には、特別な者（例えば、重要な業務計画に従事している要員） ・合意の齟齬
おけるセキュリティ対 ス上で行えないこと
続手順を定める・実施の誤りが関係する業務日誌へのアクセスの制限を考慮点として含める
策はユーザ自らが実
6.8.5.7 業務用情報システムを相互接続することのセキュリティ及び業務への施できること影響の識別には、システムの使用が許された要員、契約相手又は提携業者の区分、そこからシステムがアクセスされる場合がある場所を考慮点として含める
6.8.5.8 業務用情報システムを相互接続することのセキュリティ及び業務への影響の識別には、特別の設備に対するアクセスの、特定の区分に属する利用者だけへの限定を考慮点として含める
6.8.5.9 業務用情報システムを相互接続することのセキュリティ及び業務への影響の識別には、利用者の地位の識別（例えば、他の利用者のために、組織又は契約相手の従業員として名簿に載っている者）を考慮点として含める
6.8.5.10 業務用情報システムの相互接続と関連がある情報を保護するための個別方針及び手順を策定するためのリスクの分析には、システム内の情報の保持及びバックアップを考慮点として含める
6.8.5.11 業務用情報システムの相互接続と関連がある情報を保護するための個別方針及び手順を策定するためのリスクの分析には、緊急時に用いる代替手段についての要求事項及び取決めを考慮点として含める

ガバナンスの喪失

特定非営利活動法人
日本セキュリティ監査協会

43/61
レイヤ

目指すべき水準想定されるリスク
脅威対応するクラウド管理基準

残留リスク

備考

6.1.3.1 組織の職務及び責任範囲は、認可されていない状態又は気づかれない状態で、一人の利用者が組織及びクラウド利用者の資産に対してアクセス、修正又は使用ができないようにする
クラウドサービスの操
6.1.3.2 組織の職務及び責任範囲は、ある作業を始めることと、その作業を認
作者のミスを防ぐため、可することとを分割する
責任者が発見する
操作者とは別の者が6.1.3.3 組織の職務及び責任範囲は、共謀のおそれがある場合は、共謀を防 前の誤りチェックを行うぐ管理策（例えば、二人以上のかかわりを持たせる）の設計を行う
6.1.3.4 組織の職務及び責任範囲は、その分割が困難である場合には、他の管理策（例えば、活動の監視、監査証跡、経営陣による監督）を実施する

リソース層

抽象化層
機能層

ユーザと合意したセクラウドプロバイダのキュリティ対策が、ク・設計・構築ミス
ラウドプロバイダの責・運用（設定・保守・故任において実施され、障対応など）ミス
実施状況をユーザが・説明不足
正しく把握できること

物理層

脆弱性

クラウド事業者における対策の要点

8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定表を定める
V38 設定ミス
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
V39 システムまたはOS
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他のの脆弱性管理策の適用）を特定する
8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行
システムの脆弱性を利する用した不正や迷惑行為
8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順 ゼロデイ脆弱性をを防ぐため、脆弱性対に取るべき処置を実行する
突いた攻撃
策と早期発見の仕組み
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリスを整える
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

ガバナンスの喪失

特定非営利活動法人
日本セキュリティ監査協会

44/61
レイヤ

物理層

目指すべき水準想定されるリスク
脅威

ユーザと合意したセクラウドプロバイダのキュリティ対策が、ク・設計・構築ミス
ラウドプロバイダの責・運用（設定・保守・故任において実施され、障対応など）ミス
実施状況をユーザが・説明不足
正しく把握できること

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

5.1.5.1 セキュリティを保つべき領域での作業に関する物理的な保護及び指針の設計に、セキュリティを保つべき領域の存在又はその領域内での活動
は、業務上知る必要のある要員にのみ知らせることを含める
5.1.5.2 セキュリティを保つべき領域での作業に関する物理的な保護及び指針の設計に、安全面の理由のためと、悪意ある活動の機会を防止するためとの両面から、セキュリティを保つべき領域での監督されていない作業を回避することを含める
5.1.5.3 セキュリティを保つべき領域での作業に関する物理的な保護及び指針の設計に、セキュリティを保つべき領域が無人のときは、物理的に施錠し、定期的に点検することを含める
5.1.5.4 セキュリティを保つべき領域での作業に関する物理的な保護及び指針の設計に、セキュリティを保つべき領域への物品の持込、持ち出しを管理することを含める
5.1.5.5 セキュリティを保つべき領域での作業に関する物理的な保護及び指針の設計に、画像、映像、音声又はその他の記録装置（例えば、携帯音楽端
末やICレコーダ、カメラ付き携帯電話）の使用及び持込みについて、認可されたもの以外は、許可しないことを含める
6.1.1.1 操作手順には、クラウドサービスの提供にかかわるシステムの操作手
順、クラウドサービスを提供するシステムの操作手順及びクラウドサービスとして提供されるシステムの操作手順を含める
6.1.1.2 情報処理設備及び通信設備に関連するシステムの管理活動（例えば、コンピュータの起動・停止の手順、バックアップ、装置の保守、媒体の取扱い、コンピュータ室及びメールの取扱いの管理・安全）の手順書は、クラウドサービスの利用に必要な手順書、クラウドサービスの提供に必要な手順書
設備設置場所における 及びその他の管理活動に必要な手順書を区別して作成する装置の保護指針を定 6.1.1.3 情報処理設備及び通信設備に関連するシステムの管理活動の手順
V37 物理的なセキュリ
め、指針に基づく手順 書には、情報の処理及び取扱いを含む、各作業の詳細な実施に関する指示 手順実施の誤り
ティ手順の不備を明記するを定める
6.1.1.4 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、バックアップを含む、各作業の詳細な実施に関する指示を明記する
6.1.1.5 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、スケジュール作成に関する要求事項（他のシステムとの相互依存性、最早作業開始時刻と最遅作業完了時刻など）を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.6 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、作業中に発生し得る、誤り又はその他の例外状況の処理についての指示（システムユーティリティの利用の制限）を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.7 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、操作上又は技術上の不測の問題が発生した場合の連絡先を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.8 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、特別な出力及び媒体の取扱いに関する指示を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.9 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、システムが故障した場合の再起動及び回復の手順を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.10 情報処理設備及び通信設備に関連するシステムの管理活動の手順
書には、監査証跡及びシステムログ情報の管理を含む、各作業の詳細な実施に関する指示を明記する
6.1.1.11 システムの管理活動のための操作手順及び文書化手順は正式な文書として取扱い、その手順書の変更は、経営陣が認可する
6.1.1.12 情報システムは、同一の手順、ツール及びユーティリティを用いて、首尾一貫した管理を行う
ガバナンスの喪失

特定非営利活動法人
日本セキュリティ監査協会

45/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

ユーザと合意したセクラウドプロバイダのキュリティ対策が、ク・設計・構築ミス
ラウドプロバイダの責・運用（設定・保守・故任において実施され、障対応など）ミス
実施状況をユーザが・説明不足
正しく把握できること

脆弱性

V31. 利用規約の完全性と透明性の欠如

クラウド事業者における対策の要点

ユーザと合意したセキュリティ要求事項を明確にする対応するクラウド管理基準

残留リスク

備考

2.2.2.1 組織の情報又は資産には、クラウドサービスとして提供される情報又は資産を含める
2.2.2.2 クラウド利用者が、提供するクラウドサービス上のクラウド利用者の情報及び組織の資産にアクセスする際のセキュリティの要求事項には、情報・ソフトウェアを含む組織の資産を保護するための手順及び既知のぜい弱性の管理、資産を危うくする事態を判断するための手順、完全性の確保、情報の複製及び開示の制限を含む資産の保護を含める
2.2.2.3 クラウド利用者が、提供するクラウドサービス上のクラウド利用者の情報及び組織の資産にアクセスする際のセキュリティの要求事項には、提供するサービスを記載する
2.2.2.4 クラウド利用者が、提供するクラウドサービス上のクラウド利用者の情報及び組織の資産にアクセスする際のセキュリティの要求事項には、クラウド利用者のアクセスの様々な理由、要求事項及び利便を記載する
2.2.2.5 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の情報及び組織の情報又は資産へのアクセスを許す前に、アクセス制御方針を策定する。このアクセス制御方針には、承認されたアクセス方法、並びに固有の識別子（例えば、利用者IDとパスワードとの組合せ）の管理及び使用、利用者のアクセス及び特権の認可プロセス、明示的に認可されていないす
べてのアクセスを禁止することの表明、アクセス権を失効させる、又はシステム間の接続を阻止する手続を含める
2.2.2.6 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の情 ・定義もれ
報及び組織の情報又は資産へのアクセスを許す前に、情報（例えば、個人情 ・合意もれ報）の誤り、情報セキュリティインシデント及びセキュリティ違反の報告、通知 ・合意の齟齬及び調査に関する取決めを明確にする
・実施の誤り2.2.2.7 クラウド利用者が、提供するクラウドサービス上のクラウド利用者の情報及び組織の資産にアクセスする際のセキュリティ要求事項には、クラウド
利用者に組織の情報又は資産へのアクセスを許す前に、利用できる各サービスを記載する
2.2.2.8 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の情報及び組織の情報又は資産へのアクセスを許す前に、サービスの目標レベ
ル及び受け入れられないレベルを明確にする
2.2.2.9 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の情報及び組織の情報又は資産へのアクセスを許す前に、組織の資産に関係する活動を監視し、中止させる権利を明確にする
2.2.2.10 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の情報及び組織の情報又は資産へのアクセスを許す前に、組織及びクラウド
利用者のそれぞれの義務を明確にする
2.2.2.11 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の情報及び組織の情報又は資産へのアクセスを許す前に、法的な問題に関する責任及び法的要求事項を満たすことを確実にする。特に、契約が他国のクラウド利用者との協力にかかわるものである場合、その国の法制度を考慮に入れる
2.2.2.12 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の情報及び組織の情報又は資産へのアクセスを許す前に、知的財産権（IPR）
及び著作権の取扱い、並びに共同作業の成果の保護のあり方を明確にする

ガバナンスの喪失

特定非営利活動法人
日本セキュリティ監査協会

46/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

ユーザと合意したセクラウドプロバイダのキュリティ対策が、ク・設計・構築ミス
ラウドプロバイダの責・運用（設定・保守・故任において実施され、障対応など）ミス
実施状況をユーザが・説明不足
正しく把握できること

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する
8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行
脆弱性の管理手続を定 する
V16 脆弱性診断プロセ め、その実施状況及び 8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順 ゼロデイ脆弱性をスに関する管理の欠如 結果をユーザに通知す に取るべき処置を実行する
突いた攻撃
る
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する
8.6.1.20 クラウドサービスを提供する情報システム及びクラウドサービスとして提供される情報システムに対するぜい弱性と脅威に関する情報を、必要に応じてクラウド利用者に通知する

ガバナンスの喪失

特定非営利活動法人
日本セキュリティ監査協会

47/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

ユーザと合意したセクラウドプロバイダのキュリティ対策が、ク・設計・構築ミス
ラウドプロバイダの責・運用（設定・保守・故任において実施され、障対応など）ミス
実施状況をユーザが・説明不足
正しく把握できること

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

11.1.1.2 各情報システム及び組織について、すべての関連する法令、規則及び契約上の要求事項を満たすための具体的な管理策及び具体的責任を同様に定め、文書化する
V30. 司法管轄権に関11.1.1.3 情報システム及び組織が順守すべき法令、規制及び契約のある地
クラウドプロバイダ及びする情報の欠如
域（国、州など）を、クラウド利用者に明示するシステムが順守すべき・把握もれ
V29. 複数の司法管轄
法令、規則、契約のあ・明示もれ
権を跨るデータ格納と2.2.2.11 クラウド利用者に、提供するクラウドサービス上のクラウド利用者のる地域を明示する
それに対する認識の欠情報及び組織の情報又は資産へのアクセスを許す前に、法的な問題に関す
如る責任及び法的要求事項を満たすことを確実にする。特に、契約が他国のクラウド利用者との協力にかかわるものである場合、その国の法制度を考慮に入れる

V38 設定ミス

6.1.3.1 組織の職務及び責任範囲は、認可されていない状態又は気づかれない状態で、一人の利用者が組織及びクラウド利用者の資産に対してアクセス、修正又は使用ができないようにする
クラウドサービスの操
6.1.3.2 組織の職務及び責任範囲は、ある作業を始めることと、その作業を認
作者のミスを防ぐため、可することとを分割する
責任者が発見する
操作者とは別の者が6.1.3.3 組織の職務及び責任範囲は、共謀のおそれがある場合は、共謀を防 前の誤りチェックを行うぐ管理策（例えば、二人以上のかかわりを持たせる）の設計を行う
6.1.3.4 組織の職務及び責任範囲は、その分割が困難である場合には、他の管理策（例えば、活動の監視、監査証跡、経営陣による監督）を実施する

ガバナンスの喪失

特定非営利活動法人
日本セキュリティ監査協会

48/61
L14： サプライチェーンにおける障害・クラウドサービスにおける認証等のサービスを外部委託することで、その委託先サービスに脆弱性が存在するとクラウドサービス全体に影響が及ぶ可能性がある。
・どの部分を外部委託しているかを明示しないことで、ユーザによるクラウドサービスへの信頼度が低下する。

レイヤ

目指すべき水準

脅威

脆弱性

クラウド事業者における対策の要点想定されるリスク対応するクラウド管理基準

残留リスク

リソース層

-

-

-

-

-

-

機能層

-

-

-

-

-

-

-

-

-

-

-

-

備考

抽象化層

物理層

6.2.1.5 組織は、重大なサービス不具合又は災害の後においても、合意され
V22 クラウドをまたがる
外部委託先から供給を たサービス継続レベル（クラウドサービスの提供にかかわるサービス継続レ
アプリケーションに潜在受けるサービスの停止 ベルを含む。）を維持することを確実にするように設計された実行可能な計画
する相互依存性
によって、クラウドサー とともに、第三者が十分なサービス提供機能を維持することを確実にする仕V47 サプライヤの冗長
ビスが停止しないような 組みを整備し、また、これらの仕組みのうち、クラウド利用者の情報セキュリ化（SUPPLIER
仕組みを整備する
ティ管理に影響のあるものを、クラウド利用者（クラウドサービスの利用を検REDUNDANCY）の欠如
討する者を含む。）に明示する

サービス管理系

クラウドプロバイダの
外部委託先に起因す
るセキュリティ障害がないこと

外部委託先に起因する
ユーザデータの漏えい、改ざん、サービス利
用の停止
V31 利用規約の完全性と透明性の欠如

6.2.1.1 第三者が提供するサービスには、クラウドサービスの提供にかかわる
委託先のサービスを含め、また、これらのうちクラウド利用者の情報セキュリ
ティ管理に影響のあるサービスを開示する
6.2.1.2 第三者によるサービスの提供には、クラウドサービスの提供にかかわるサービス（例えば、ネットワークサービス、データセンターサービス、ホールセールされるクラウドサービスなど）又はその他のサービスを対象として合意されたセキュリティの取決め、サービスの定義、及びサービスの管理を含め、 外部委託先におけ
また、これらのうちクラウド利用者の情報セキュリティ管理に影響のあるもの る想定できないインを、クラウド利用者（クラウドサービスの利用を検討する者を含む。）に明示す シデントの発生
る
外部委託先に要求した 6.2.1.3 外部委託契約（クラウドサービスの提供にかかわる委託先との契約を事項が適切に実施され 含む。）の場合、組織は必要な外部委託先への移行内容（情報移行、情報処維持されるよう、外部委 理施設の移行又はその他移行すべきもの）を計画する
託先を適切に管理する 6.2.1.4 外部委託契約（クラウドサービスの提供にかかわる委託先との契約を含む。）の場合、移行期間を通してセキュリティの維持を確実にする仕組みを整備する
6.2.1.5 組織は、重大なサービス不具合又は災害の後においても、合意されたサービス継続レベル（クラウドサービスの提供にかかわるサービス継続レ
ベルを含む。）を維持することを確実にするように設計された実行可能な計画とともに、第三者が十分なサービス提供機能を維持することを確実にする仕組みを整備し、また、これらの仕組みのうち、クラウド利用者の情報セキュリ
ティ管理に影響のあるものを、クラウド利用者（クラウドサービスの利用を検討する者を含む。）に明示する（次ページに続く）

サプライチェーンにおける障害

特定非営利活動法人
日本セキュリティ監査協会

49/61
レイヤ

サービス管理系

目指すべき水準

クラウドプロバイダの
外部委託先に起因す
るセキュリティ障害がないこと想定されるリスク
脅威

脆弱性

外部委託先に起因する
ユーザデータの漏え
V31 利用規約の完全
い、改ざん、サービス利 性と透明性の欠如
用の停止

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

6.2.2.1 第三者が提供するサービスには、クラウドサービスの提供にかかわる
委託先のサービスを含める
6.2.2.2 合意における情報セキュリティの条件の順守を確実にするために、第三者が提供するサービスの監視及びレビューを実施する
6.2.2.3 第三者が提供するサービスのうち、クラウドサービスの提供にかかわる委託先が提供するサービス（例えば、ネットワークサービス、データセンターサービス、ホールセールされるクラウドサービスなど）、報告及び記録は、常に監視し、レビューし、また、クラウド利用者に、レビューしていることを開示し、そのレビューの記録を明示する
6.2.2.4 第三者が提供するサービスのうち、クラウドサービスの提供にかかわる委託先が提供するサービス（例えば、ネットワークサービス、データセンターサービス、ホールセールされるクラウドサービスなど）は、定期的に監査し、また、クラウド利用者に、監査していることを開示し、その監査結果をまとめた報告書などを提示する
6.2.2.5 第三者が提供するサービスの監視及びレビューにおいては、情報セ
キュリティのインシデント及び問題点の適切な管理を確実にする仕組みを整備する
6.2.2.6 合意の順守を点検するために、第三者が提供するサービスの実施レベルを監視する
6.2.2.7 第三者の作成したサービスの報告をレビューし、合意によって必要とされている定期進ちょく（捗）会合を設定する
6.2.2.8 第三者及び組織は、合意並びにすべての業務支援指針及び手順書
外部委託先に要求した で要求されるように、情報セキュリティインシデントの情報及びその情報のレ
外部委託先におけ事項が適切に実施され ビュー結果を提供する
る想定できないイン維持されるよう、外部委 6.2.2.9 第三者監査証跡並びにセキュリティ事象記録、運用上の問題点の記
シデントの発生
託先を適切に管理する 録、故障記録、障害履歴及び提供サービスに関連する中断記録をレビューする
6.2.2.10 第三者が提供するサービスの監視及びレビューにおいては、識別された問題の解決及び管理を実施する
6.2.2.11 指定された個人又はサービス管理チームに、第三者との関係を管理する責任を割り当てる
6.2.2.12 組織は、順守状況の点検及び契約における要求事項の施行に対する責任を第三者に割り当てることを確実にする仕組みを整備する
6.2.2.13 契約における要求事項、特に情報セキュリティに関する要求事項を満足しているかどうかを監視するために、十分な技術力及び人的資源を確保する
6.2.2.14 サービスの提供において不完全な点があった場合は、適切な処置をする
6.2.2.15 組織は、第三者が利用、処理又は管理する、取扱いに慎重を要する
又は重要な情報若しくは情報処理設備に対して、すべてのセキュリティの側面についての十分で包括的な管理及び可視性を維持する
6.2.2.16 組織は、セキュリティに関連した活動（例えば、変更管理、ぜい弱性
識別、情報セキュリティインシデントの報告・対応）の可視性を維持することを確実にするために、報告プロセス、様式及び構成を明確に規定する

サプライチェーンにおける障害

特定非営利活動法人
日本セキュリティ監査協会

50/61
L15： EDoS攻撃（経済的な損失を狙ったサービス運用妨害攻撃）
・悪意のユーザによるユーザアカウントの乗っ取り、従量制リソースの浪費等を通じて、ユーザに経済的損失をもたらす。
（注）ENISAガイドラインにない追記： 同様の被害は、ユーザの過失（プログラムの欠陥、設計ミス）によっても生じる可能性がある。

レイヤ

抽象化層

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

ユーザの想定を上回る
・課金上限以下のあらかじめ定めた制攻撃者から送信される V.28 リソースの利用上 課金を防ぐため、課金 6.3.1.9 物理資源を複数のクラウド利用者で共有する論理資源の使用は、クラ 攻撃
リソース層 限を超えて、リソース
パケットの受信課金
限制限ポリシーの欠如 にかかわる使用を制限 ウド利用者が使用可能な最大値や最低値を定め適切に制限を行う
・課金制限によるの使用ができないことする仕組みを備える
サービスの停止

機能層

物理層

ユーザIDの管理が適ユーザIDの窃盗
切に行われること

サービス管理系

7.4.4.1 遠隔診断用及び環境設定用のポートには、クラウドサービスの提供にかかわる情報システム、クラウドサービスを提供する情報システム、及び提供するクラウドサービスにおけるポートを含める
7.4.4.2 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策として、遠隔診断用及び環境設定用のネットワークを他のネットワークから物理的又は論理的に分離する
クラウドプロバイダの管7.4.4.3 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策と理用ネットワークを利用して、施錠を利用する
クラウドプロバイダ
V4 管理用インタフェー したユーザIDの窃盗を
7.4.4.4 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策と の管理用ネットワー
スへのリモートアクセス 防ぐため、管理用ネット
して、ポートへの物理的なアクセスを制御するサポート手順を利用する
クの管理の誤りワークへのアクセスを
7.4.4.5 コンピュータ又はネットワーク設備上に導入されたサービス、ポート及制御する
び類似の設備で、業務機能に特に必要でないものは、動作しないようにする
か、又は除去する
7.4.4.6 ハードウェア及びソフトウェアのサポート手順には、保守要員との間で合意できた場合にだけ、遠隔診断用及び環境設定用のポートへのアクセスを可能にすることを確実にすることを含める

EDOS攻撃特定非営利活動法人
日本セキュリティ監査協会

51/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

ユーザIDの管理が適ユーザIDの窃盗
切に行われること

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

7.2.1.1 利用者には、クラウドサービスの提供にかかわる情報システム及びクラウドサービスを提供する情報システムにアクセスする実務管理者又は運用担当者、並びに提供するクラウドサービスにアクセスするクラウドサービスの利用者を含める
7.2.1.2 利用者の登録・登録削除のためのアクセス制御手順に、利用者と利用者自身の行動とを対応付けすること、及び利用者がその行動に責任をもつことを可能にする、一意な利用者IDの利用を含める
7.2.1.3 利用者の登録・登録削除のためのアクセス制御手順に、グループIDの利用は、業務上又は運用上の理由で必要な場合にだけ許可し、承認し、記録することを含める
7.2.1.4 利用者の登録・登録削除のためのアクセス制御手順に、利用者が情報システム又はサービスの利用について、そのシステムの管理者から認可を得ていることの点検を含める（アクセス権について経営陣から別の承認を受けることが適切な場合もある。）
7.2.1.5 利用者の登録・登録削除のためのアクセス制御手順に、許可したアクセスのレベルが、業務の目的に適していることの点検を含める
7.2.1.6 利用者の登録・登録削除のためのアクセス制御手順に、許可したアクセスのレベルが、組織のセキュリティ基本方針と整合していること（例えば、職務権限の分割に矛盾するおそれはないか。）の点検を含める
ユーザIDの不正使用を 7.2.1.7 利用者の登録・登録削除のためのアクセス制御手順に、利用者に各V2 ユーザプロビジョニ
自のアクセス権について記述した文書を発行することを含める防ぐため、ユーザがングの脆弱性
ユーザによるユー
ユーザIDの登録・変更・ 7.2.1.8 利用者の登録・登録削除のためのアクセス制御手順に、利用者に各V3 ユーザプロビジョニ
ザIDの管理の誤り
自がアクセス条件を理解していることを示す文書に、署名を要求することを含
削除などを適切に管理
ング削除の脆弱性
めるする仕組みを整える
7.2.1.9 利用者の登録・登録削除のためのアクセス制御手順は、認可手順が完了するまでサービス提供者が利用者にアクセスさせないようにすることが確実になるよう定める
7.2.1.10 利用者の登録・登録削除のためのアクセス制御手順に、サービスを利用するために登録されているすべての人の正式な記録の維持を含める
7.2.1.11 利用者の登録・登録削除のためのアクセス制御手順に、役割又は職務を変更した利用者、又は組織から離れた利用者のアクセス権の即座の解除、若しくは停止することを含める
7.2.1.12 利用者の登録・登録削除のためのアクセス制御手順に、必要のない
利用者ID及びアカウントがないかの定期的な、点検、及び、削除又は停止することを含める
7.2.1.13 利用者の登録・登録削除のためのアクセス制御手順は、重複する利用者IDを別の利用者に発行しないことを確実にするよう定める
7.2.1.14 利用者のアクセス役割を、業務上の要求事項に基づいて確立する（利用者のアクセス役割とは、多くのアクセス権を典型的な利用者アクセス権
限プロファイルとして要約したものである。）
7.2.1.15 クラウドサービスの利用者IDの登録・削除をする機能を、クラウド利用者に提供する
7.2.1.16 クラウドサービスの利用者IDの登録・削除をする機能について、クラウド利用者（クラウドサービスの利用を検討する者を含む。）にあらかじめ明
示する

EDOS攻撃特定非営利活動法人
日本セキュリティ監査協会

52/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

ユーザIDの管理が適ユーザIDの窃盗
切に行われること

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他の管理策の適用）を特定する
8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行
ユーザIDの不正奪取、 する
V2 ユーザプロビジョニ
不正作成を防ぐため、 8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順ングの脆弱性
ゼロデイ脆弱性を
ユーザ認証にかかわる に取るべき処置を実行する
V3 ユーザプロビジョニ
突いた攻撃
脆弱性対策と早期発見 8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
ング削除の脆弱性の仕組みを整える
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

EDOS攻撃特定非営利活動法人
日本セキュリティ監査協会

53/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

ユーザIDの管理が適ユーザIDの窃盗
切に行われること

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.6.1.1 技術的ぜい弱性には、クラウドサービスの提供にかかわる情報システ
ムの技術的ぜい弱性、クラウドサービスを提供する情報システムの技術的ぜ
い弱性、及びクラウドサービスとして提供される情報システムの技術的ぜい
弱性を含める8.6.1.2 潜在していた技術的ぜい弱性を特定したときは、適切、かつ、時機を失しない処置をとる
8.6.1.3 技術的ぜい弱性の管理に関連する役割と責任とを定める
8.6.1.4 技術的ぜい弱性の管理には、ぜい弱性監視、ぜい弱性にかかわるリ
スクアセスメント、パッチの適用、資産移動の追跡及び要求されるすべての調整責務を含む8.6.1.5 ソフトウェア及びその他の技術に関する技術的ぜい弱性の情報資源を特定し、管理する
8.6.1.6 技術的ぜい弱性の情報資源は、資産目録が更新された場合、又は他の新しい若しくは有益な資源を発見したときに更新を行う
8.6.1.7 潜在的に関連がある技術的ぜい弱性の通知に対処するための予定
表を定める
8.6.1.8 潜在的な技術的ぜい弱性が特定されたときは、それと関連するリスク
及び取るべき処置（例えば、ぜい弱性のあるシステムへのパッチ適用、他のサービス管理のための 管理策の適用）を特定する
アプリケーションの脆弱 8.6.1.9 技術的ぜい弱性の扱いの緊急性に応じて、変更管理に関連する管理V1 認証、認可、課金管性を利用した不正や迷 策又は情報セキュリティインシデント対応手順に従って、取るべき処置を実行 ゼロデイ脆弱性を理（ＡＡＡ）の脆弱性
惑行為を防ぐため、脆 する突いた攻撃
弱性対策と早期発見の 8.6.1.10 技術的ぜい弱性が特定されたときは、リスクの高いシステムから順仕組みを整える。
に取るべき処置を実行する
8.6.1.11 パッチが利用可能ならば、そのパッチを適用することに関連するリス
クを評価する（ぜい弱性が引き起こすリスクと、パッチの適用によるリスクとを比較する。）
8.6.1.12 パッチの適用前に、パッチが正しいものであることを検証する
8.6.1.13 パッチの適用前に、それらが有効であること、及びそれらが耐えられない副作用をもたらさないことを確実にするために、パッチを試験及び評価する
8.6.1.14 利用可能なパッチがない場合は、そのぜい弱性に関係するサービス
又は機能を停止する
8.6.1.15 利用可能なパッチがない場合は、ネットワーク境界におけるアクセス制御（例えば、ファイアウォール）を調整又は追加する
8.6.1.16 利用可能なパッチがない場合は、実際の攻撃を検知又は防止するために、監視を強化する
8.6.1.17 利用可能なパッチがない場合は、ぜい弱性に対する意識を高める
8.6.1.18 修正パッチの適用、その他実施したすべての手順について監査ログを保持する
8.6.1.19 技術的ぜい弱性の管理プロセスは、その有効性及び効率を確実にするために、常に監視及び評価する

EDOS攻撃特定非営利活動法人
日本セキュリティ監査協会

54/61
L16： 事業者が管理すべき暗号鍵の喪失
・悪意の関係者により、クラウド事業者が管理すべき暗号鍵が不正利用されることで、ユーザの機密データの漏えいが生ずる。
・クラウド事業者が暗号鍵を喪失することでデータの復号が困難となり、ユーザのデータにおける完全性が損なわれる。

レイヤ

目指すべき水準

脅威

脆弱性

クラウド事業者における対策の要点想定されるリスク対応するクラウド管理基準

残留リスク

リソース層

-

-

-

-

-

-

機能層

-

-

-

-

-

-

備考

抽象化層

物理層

容易に推測されない
暗号鍵の漏えいや危殆 V12 乱数生成器への暗号鍵を生成できるこ化による情報漏えい
低エントロピーの入力と8.3.2.3 かぎの生成、保管、及び保存のために用いられる装置は、物理的に保護する
8.3.2.4 暗号かぎの生成は、アクセス管理された安全な環境で実施する・漏えいしている事
8.3.2.6 かぎ管理システムでは、種々の暗号システム及び種々の業務用ソフト
実を発覚させない攻ウェアのためのかぎ生成のために、一連の合意された標準類、手順及びセ
安全な方法で鍵生成を撃者による盗聴（暗キュリティを保った手法を定める行う号鍵の変更前の期
8.3.2.7 かぎ管理システムでは、公開かぎ証明書の生成及び入手のために、
間）
一連の合意された標準類、手順及びセキュリティを保った手法を定める・暗号の危殆化8.3.2.10 かぎ管理システムでは、かぎの変更又は更新のために、一連の合意された標準類、手順及びセキュリティを保った手法を定める。ここには、かぎをいつ、どのような方法で変更するかの規則も含める

事業者が管理すべき暗号かぎの喪失

特定非営利活動法人
日本セキュリティ監査協会

55/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

8.3.2.1 すべての暗号かぎは、改変、紛失、及び破壊から保護する
8.3.2.2 秘密かぎ及びプライベートかぎは、認可されていない開示から保護する
8.3.2.5 暗号かぎをバックアップとして保存する場合、物理的にアクセス管理された環境にオフラインの状態で保管する
8.3.2.8 かぎ管理システムでは、意図する利用者へのかぎ配布のために、一連の合意された標準類、手順及びセキュリティを保った手法を定める。ここには、受領時に、かぎをどのような方法で活性化するか（使える状態にするか）についても含める
8.3.2.9 かぎ管理システムでは、かぎの蓄積のために、一連の合意された標準類、手順及びセキュリティを保った手法を定める。ここには、かぎをいつ、どのような方法で変更するかの規則も含める
8.3.2.11 かぎ管理システムでは、危険になったかぎの対処のために、一連の合意された標準類、手順及びセキュリティを保った手法を定める
8.3.2.12 かぎ管理システムでは、かぎを無効にするために、一連の合意された標準類、手順及びセキュリティを保った手法を定める。ここには、かぎの取・暗号鍵の管理手続き 消し又は非活性化する方法も含めるを整備し、それに基づ 8.3.2.13 かぎ管理システムでは、事業継続管理の一環として、紛失したかぎ
いた運用を行う
又は破損したかぎを復旧するために、一連の合意された標準類、手順及びセ ・漏えいしている事
・暗号鍵が漏えいした キュリティを保った手法を定める実を発覚させない攻暗号鍵の漏えい、喪暗号鍵の漏えいや危殆 V11 不適切な鍵管理手 り、暗号アルゴリズム 8.3.2.14 かぎ管理システムでは、かぎの保管のために、一連の合意された標 撃者による盗聴（暗失、破壊、不正使用が化による情報漏えい
順が危殆化した場合に備 準類、手順及びセキュリティを保った手法を定める号鍵の変更前の期
ないこと
え、鍵やアルゴリズム 8.3.2.15 かぎ管理システムでは、かぎの破壊のために、一連の合意された標 間）の変更手続きを整備
・暗号の危殆化
準類、手順及びセキュリティを保った手法を定めるし、それに基づいた運 8.3.2.16 かぎ管理システムでは、かぎ管理に関連する活動の記録と監査のた用を行う
めに、一連の合意された標準類、手順及びセキュリティを保った手法を定める
8.3.2.17 セキュリティが損なわれる可能性を低減するために、かぎが限定された期間内だけで用いられるように、かぎの活性化及び非活性化の期日を定める
8.3.2.18 かぎが用いられる限定された期間は、暗号による管理策を利用している環境及び認識しているリスクに基づいて定める
8.3.2.19 公開かぎは、真正性を保証するため、公開かぎ証明書を付ける
8.3.2.20 公開かぎ証明書は要求された信頼度を提供するために適切な管理策及び手順を備えている、認知された組織によって発行する
8.3.2.21 暗号サービスの外部供給者（例えば、証明機関）とのサービスレベル
に関する合意又は契約の内容には、賠償責任、サービスの信頼性及びサービス提供のための応答時間に関する事項を含める
8.3.2.22 公開している公開かぎや公開かぎ証明書は、改ざんによる攻撃から守るために、適切なアクセス管理をする事業者が管理すべき暗号かぎの喪失

特定非営利活動法人
日本セキュリティ監査協会

56/61
L17： 不正な探査・スキャンの実施
・攻撃のためのデータ収集が、クラウドサービスの環境を通じて、より容易に行われる可能性がある。

レイヤ

抽象化層

目指すべき水準想定されるリスク
脅威

論理ネットワークへのクラウド内部のネット
リソース層 アクセス制御が有効
ワークの盗聴
であること

機能層

物理層

-

-

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

6.6.1.1 ネットワークには、クラウドサービスの提供にかかわるネットワーク、ク
ラウドサービスを提供するネットワーク、及びクラウドサービスに含まれ提供されるネットワークを含める
6.6.1.2 ネットワーク管理者は、ネットワークにおける情報のセキュリティ及び接続したネットワークサービスの認可されていないアクセスからの保護を確実にする仕組みを整備する
6.6.1.3 適切と判断される場合には、ネットワークの運用責任を、コンピュータの運用から分離する
6.6.1.4 遠隔地に所在する設備（利用者の領域に設置した設備を含む。）の管理に関する責任及び手順を確立する
ユーザが利用するネッ 6.6.1.5 公衆ネットワーク又は無線ネットワークを通過するデータの機密性及トワークへの偵察行為 び完全性を保護するため、並びにネットワークを介して接続したシステム及びV17 内部（クラウド）（ポートスキャンなど）を 業務用ソフトウェアを保護するために、特別な管理策（受信規制又は発信規ネットワークへの偵察
検知し、対処する前
制限するか、又は偵察 制を含む）を確立する行為が発生する可能性の許可されないアク行為（ポートスキャンな 6.6.1.6 セキュリティに関連した活動を記録できるように、適切なログ取得及びセスの可能性ど）を行う者を特定でき 監視を適用するる仕組みを設けて監視 6.6.1.7 サービスの最大限の活用及び管理策の情報処理基盤全体への一貫する
した適用の確実化のために、様々な管理作業を綿密に調整する
6.6.1.10 ネットワーク上の機器では、アクセス制御方針に基づき、すべてのネットワークインタフェースでアクセス制御（受信規制又は発信規制を含む）を実施する
6.6.1.12 ネットワーク上の機器では、業務に使用していない空きポートへの接続を制限する6.6.1.14 ネットワーク上の不正なイベントを監視するため、侵入検知システムを導入する
6.6.1.15 侵入検知システムが、常に最新の攻撃・不正アクセスに対応可能なように、定義ファイル、検知ルールなどの更新を実施する

-

-

-

-

サイドチャネル攻撃（装装置の動作を物理的手
物理ネットワークへの 置の動作を物理的手段
5.2.1.14 装置を保護するために、放射される電磁波の解析、消費される電力
V18 共同利用者からの 段で測定し、解析され新たなサイドチャネ
アクセスを制御できる で測定し、解析することの解析、故障発生時の動作の解析などによる情報漏えいのリスクが最小限
覗き見の可能性ないため、装置を物理ル手法による攻撃ことにより、装置内部のになるように、取扱いに慎重を要する情報を処理する装置を保護する
的に保護する
データを取得する攻撃）

不正な探査・スキャンの実施

特定非営利活動法人
日本セキュリティ監査協会

57/61
レイヤ

サービス管理系

目指すべき水準想定されるリスク脅威

不正アクセスが生じたことを速やかに検知し、対象ネットワーク クラウド内部のネットへのアクセス制限など ワークの盗聴の対策を講じることが
できること

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

7.4.4.1 遠隔診断用及び環境設定用のポートには、クラウドサービスの提供にかかわる情報システム、クラウドサービスを提供する情報システム、及び提供するクラウドサービスにおけるポートを含める
7.4.4.2 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策として、遠隔診断用及び環境設定用のネットワークを他のネットワークから物理的又は論理的に分離する
7.4.4.3 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策とV17 内部（クラウド）
管理用ネットワークへ して、施錠を利用する
検知し、対処する前
ネットワークへの偵察 の偵察行為（ポートス 7.4.4.4 遠隔診断用及び環境設定用のポートへのアクセスに対する管理策と の許可されないアク行為が発生する可能性 キャンなど）を制御する して、ポートへの物理的なアクセスを制御するサポート手順を利用する
セスの可能性7.4.4.5 コンピュータ又はネットワーク設備上に導入されたサービス、ポート及び類似の設備で、業務機能に特に必要でないものは、動作しないようにする
か、又は除去する
7.4.4.6 ハードウェア及びソフトウェアのサポート手順には、保守要員との間で合意できた場合にだけ、遠隔診断用及び環境設定用のポートへのアクセスを可能にすることを確実にすることを含める

不正な探査・スキャンの実施

特定非営利活動法人
日本セキュリティ監査協会

58/61
L18： 証拠提出命令と電子的証拠開示
・クラウドサービス上にデータが集中することで、司法当局によるデータの押収が行われた場合に、開示したくないデータまで開示されるリスクが増大するため、ユーザによるクラウドサービス利用を躊躇させる要因となる可能性がある。

レイヤ

リソース層

目指すべき水準

-

脅威

脆弱性

クラウド事業者におけ
る
対策の要点

-

-

-

想定されるリスク対応するクラウド管理基準

残留リスク

-

-

備考

抽象化層
C.1.1.1 一部の情報処理設備（物理サーバ、物理ストレージ、物理ネットワー
ク機器、通信ケーブル、アクセス回線など）の機能の喪失がクラウドサービスを停止させないために、情報処理設備を冗長化する
C.1.1.3 一部の情報処理設備（物理サーバ、物理ストレージ、物理ネットワー
ク機器、通信ケーブル、アクセス回線など）の機能の喪失がクラウドサービスを停止させないために、代替の情報処理設備に速やかに切替える（ライブマ
イグレーション、フェイルオーバーなど）

機能層

物理層
法執行対象データだ
けが記録された媒体を用意できること

サービス管理系

V6 リソース分離の欠如 保全・押収の対象とな 5.2.6.3 取扱いに慎重を要する情報を格納した装置の処分は、物理的に破壊（物理リソースの共有） るデータの記録された し、又はその情報を破壊、消去若しくは上書きする。消去又は上書きには、標V30. 司法管轄権に関 媒体から、対象外の準的な消去又は初期化の機能を利用するよりも、元の情報を取り戻せなくな
複数ユーザのデータが する情報の欠如
データを別の媒体に移 るようにする技術を利用する
対象範囲の限定が記録された媒体の押収 V29. 複数の司法管轄 動してサービスを継続不十分な法執行権を跨るデータ格納と し、対象外のデータの 11.1.1.2 各情報システム及び組織について、すべての関連する法令、規則及それに対する認識の欠 痕跡を目的の媒体から び契約上の要求事項を満たすための具体的な管理策及び具体的責任を同如完全に消去する様に定め、文書化する
11.1.1.3 情報システム及び組織が順守すべき法令、規制及び契約のある地
域（国、州など）を、クラウド利用者に明示する
2.2.2.11 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の情報及び組織の情報又は資産へのアクセスを許す前に、法的な問題に関する責任及び法的要求事項を満たすことを確実にする。特に、契約が他国のクラウド利用者との協力にかかわるものである場合、その国の法制度を考慮に入れる

証拠命令と電子的証拠開示

特定非営利活動法人
日本セキュリティ監査協会

59/61
L19： 司法権の違い
・クラウドサービスの物理的インフラが設置される地域（国、州など）によっては、異なる司法上の解釈や独裁的な警察権力、国際的取り決めが遵守されないなどの影響がユーザに及ぶ可能性がある。

レイヤ

目指すべき水準

脅威

脆弱性

クラウド事業者における対策の要点想定されるリスク対応するクラウド管理基準

残留リスク

備考

リソース層

-

-

-

-

-

-

-

機能層

-

-

-

-

-

-

-

-

-

-

-

-

-

-

抽象化層

物理層

サービス管理系

ユーザデータが格納された物理媒体の地
域（国、州など）が特定できること予期しない差押え

11.1.1.2 各情報システム及び組織について、すべての関連する法令、規則及び契約上の要求事項を満たすための具体的な管理策及び具体的責任を同様に定め、文書化する
V30. 司法管轄権に関クラウドプロバイダ及び 11.1.1.3 情報システム及び組織が順守すべき法令、規制及び契約のある地
する情報の欠如
システムが順守すべき 域（国、州など）を、クラウド利用者に明示する
V29. 複数の司法管轄
合法的な法執行に法令、規則、契約のあ権を跨るデータ格納とよる差押える地域（国、州など）を 2.2.2.11 クラウド利用者に、提供するクラウドサービス上のクラウド利用者のそれに対する認識の欠明示する情報及び組織の情報又は資産へのアクセスを許す前に、法的な問題に関す
如る責任及び法的要求事項を満たすことを確実にする。特に、契約が他国のクラウド利用者との協力にかかわるものである場合、その国の法制度を考慮に入れる

司法権の違い

特定非営利活動法人
日本セキュリティ監査協会

60/61
L20： データ保護
・クラウドサービス事業者が、ユーザが許可していないデータの処理を行う可能性があることで、ユーザがクラウド利用を躊躇する可能性がある。
・ユーザが合法的でない方法で収集したデータが、クラウドサービス上に蓄積される可能性がある。

レイヤ

抽象化層

目指すべき水準想定されるリスク
脅威

脆弱性

クラウド事業者における対策の要点対応するクラウド管理基準

残留リスク

備考

11.1.1.2 各情報システム及び組織について、すべての関連する法令、規則及び契約上の要求事項を満たすための具体的な管理策及び具体的責任を同様に定め、文書化する
V30. 司法管轄権に関 クラウドプロバイダの事あるユーザが論理リ
11.1.1.3 情報システム及び組織が順守すべき法令、規制及び契約のある地
する情報の欠如業地域（国、州など）及
ソースを違法に使用し ユーザが保存した違法
域（国、州など）を、クラウド利用者に明示する
V29. 複数の司法管轄 びシステムの所在地域
物理媒体単位の差
リソース層 ても、他の論理リソー データによるデータの権を跨るデータ格納と （国、州など）における押え
スに法的処分が及ば 押収、サービス停止
2.2.2.11 クラウド利用者に、提供するクラウドサービス上のクラウド利用者のそれに対する認識の欠 差押え手続に適したないこと
情報及び組織の情報又は資産へのアクセスを許す前に、法的な問題に関す
如
データ保全を行う
る責任及び法的要求事項を満たすことを確実にする。特に、契約が他国のクラウド利用者との協力にかかわるものである場合、その国の法制度を考慮に
入れる

機能層
物理層

サービス管理系

-

-

-

-

-

-

-

-

-

-

-

-

11.1.1.2 各情報システム及び組織について、すべての関連する法令、規則及び契約上の要求事項を満たすための具体的な管理策及び具体的責任を同
クラウドプロバイダの事 様に定め、文書化する
V30. 司法管轄権に関業地域（国、州など）及 11.1.1.3 情報システム及び組織が順守すべき法令、規制及び契約のある地
データ転送・処理が、 ・クラウド内外のデータ する情報の欠如
びシステムの所在地域 域（国、州など）を、クラウド利用者に明示する・誤認に基づく法執それが行われる地域 転送の違法性
V29. 複数の司法管轄（国、州など）において
行（国、州など）の法に ・クラウド内のデータ処 権を跨るデータ格納と順守すべき法令、規2.2.2.11 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の ・悪意に基づく訴訟
抵触しないこと
理の違法性それに対する認識の欠則、契約を適切に把握 情報及び組織の情報又は資産へのアクセスを許す前に、法的な問題に関す
如し、順守する
る責任及び法的要求事項を満たすことを確実にする。特に、契約が他国のクラウド利用者との協力にかかわるものである場合、その国の法制度を考慮に
入れる

データ保護

特定非営利活動法人
日本セキュリティ監査協会

61/61
L21： ライセンス
・同一期間内に同じ数のマシンを使用していた場合でも、他のソフトウェアに比べてクラウド利用者のライセンス費用は飛躍的に増大することがある。
・PaaSやIaaSの場合は、クラウド内部で発生した独自の成果物（新しいアプリケーションやソフトウェア等）がユーザの知的財産として保護されない可能性がある。

レイヤ

目指すべき水準

脅威

脆弱性

クラウド事業者における対策の要点想定されるリスク対応するクラウド管理基準

残留リスク

備考

リソース層

-

-

-

-

-

-

-

機能層

-

-

-

-

-

-

-

-

-

-

-

-

-

-

抽象化層

物理層

2.2.2.11 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の情報及び組織の情報又は資産へのアクセスを許す前に、法的な問題に関する責任及び法的要求事項を満たすことを確実にする。特に、契約が他国のクラウド利用者との協力にかかわるものである場合、その国の法制度を考慮に入れる
2.2.2.12 クラウド利用者に、提供するクラウドサービス上のクラウド利用者の情報及び組織の情報又は資産へのアクセスを許す前に、知的財産権（IPR）
及び著作権の取扱い、並びに共同作業の成果の保護のあり方を明確にする

サービス管理系

利用形態に依存したライセンス課金を行う
アプリケーションなど 予期しないソフトウェア
V31. 利用規約の完全について、実態に応じ ライセンス課金
性と透明性の欠如
た適切な利用情報の管理が行われることユーザが利用するソフ 11.1.2.1 ソフトウェア製品及び情報製品の合法利用を明確に定めた知的財産 ・説明もれ
トウェアライセンスの課 権順守方針を公表する
・合意もれ
金に影響を与えるシス 11.1.2.4 適切な財産登録簿を維持管理し、知的財産権保護が要求事項と・合意の齟齬
テム情報を明確にする なっているすべての資産を識別する
・実施の誤り11.1.2.5 使用許諾を得ていることの証明及び証拠並びにマスタディスク、手引などを維持管理する
11.1.2.6 許諾された最大利用者数を超過しないことを確実にするための管理策を実施する11.1.2.7 認可されているソフトウェア及び使用許諾されている製品だけが導入されていることの点検を行う
11.1.2.8 適切な使用許諾条件を維持管理するための方針を定める
11.1.2.9 ソフトウェアの処分又は他人への譲渡についての方針を定める
11.1.2.11公衆ネットワークから入手するソフトウェア及び情報の管理方針を定め、また、提示される使用条件に従う

ライセンス

特定非営利活動法人
日本セキュリティ監査協会