金融機関等コンピュータシステムの安全対策基準・解説書(第9版令和2年3月版)

当チェックシートは、Surfly B.V.（オランダ）の提供するSurflyのセキュリティについて「金融機関等コンピュータシステムの安全対策基準・解説書（第9版令和2年3月版）」に基づき回答した資料です。
※Surflyが対象となる項目のみ記載しています。
最終更新日：2022年5月
統制基準
基準大項目
1 内部の統制

2 外部の統制

基準中項目(1)方針・計画

基準番号
統1
統2
統3
(2)組織体制
統4
統5
統6
統7
統8
統12
(3)管理状況の評価 統13(4)人材（要因・教育）統14
統15
統16
統17
統18
統19
(1)外部委託管理
統20(2)クラウドサービスの利用
実務基準
基準大項目
1 情報セキュリティ

基準中項目(1)データ保護

統21
統22
統23
統24

基準小項目
基準分類
システムの安全対策にかかわる重要事項を定めた規定を整備すること。
基礎
中長期的視点に立ったシステムの企画・開発・運用に関する計画を策定すること。
基礎
システム開発計画は中長期システム計画との整合性を確認するとともに、承認を得ること。
基礎
セキュリティ管理体制を整備すること。
基礎
サイバー攻撃対応体制を整備すること。
基礎
システム管理体制を整備すること。
基礎
データ管理体制を整備すること。
基礎
ネットワーク管理体制を整備すること。
基礎
各種業務の規則を整備すること。
基礎
セキュリティ順守状況を確認すること。
基礎
セキュリティ教育を行うこと。
基礎
要因に対するスキルアップ教育を行うこと。
基礎
障害時・災害時に備えた教育・訓練を行うこと。
基礎
防災・防犯訓練を行うこと。
基礎
要因の人事管理を行うこと。
基礎
要因の健康管理を行うこと。
基礎
外部委託を行う場合は、事前に目的、範囲等を明確にするとともに、外部委託先選定の手続きを明確にする 基礎こと。
外部委託先と安全対策に関する項目を盛り込んだ契約を締結すること。
基礎
外部委託先の要員にルールを遵守させ、その遵守状況を確認すること。
基礎
外部委託における管理体制を整備し、委託業務の遂行状況を確認すること。
基礎
クラウドサービスを利用する場合は、クラウドサービス固有のリスクを考慮した安全対策を講ずること。
基礎

基準番号実1実3実4
実5実6実7実8実9実10実13

基準小項目
他人に暗証番号・パスワード等を知られないための対策を講ずること。
蓄積データの漏洩防止策を講ずること。
伝送データの漏洩防止策を講ずること。
ファイルに対するアクセス制御機能を設けること。
不良データ検出機能を充実すること。
伝送データの改ざん検知策を講ずること。
(2)不正使用防止
本人確認機能を設けること。
ID の不正使用防止機能を設けること。
アクセス履歴を管理すること。
電子化された暗号鍵を蓄積する機器、媒体、またはそこに含まれるソフトウェアには、暗号鍵の保護機能を設けること。
(3)外部ネットワークからの不正アクセス防止
実14
外部ネットワークからの不正侵入防止策を講ずること。
実15
外部ネットワークからアクセス可能な接続機器は必要最小限にすること。
(4)不正検知策
実16
不正アクセスの監視機能を設けること。

基準分類
基礎
付加
付加
基礎
基礎
付加
基礎
基礎
基礎
付加

(5)不正発生時の対応策
実19(6)不正プログラム対策 実20
実21
実22

基礎
基礎
基礎
基礎

不正アクセスの発生に備えて対応策、復旧策を講じておくこと。
コンピュータウイルス等の不正プログラムへの防御対策を講ずること。
コンピュータウイルス等の不正プログラムの検知対策を講ずること。
コンピュータウイルス等の不正プログラムによる被害時対策を講ずること。

基礎
基礎
基礎

対応状況
ISO27001の基準に準拠した情報セキュリティポリシーおよびプロセスを定義しています。
ロードマップに基づいて開発計画を策定しています。
ISO27001の基準に準拠した情報セキュリティポリシーおよびプロセスを定義し、インシデント管理体制を整備しています。定期的に外部セキュリティ評価の監査を受け、管理体制の維持を行っています。

サービス運用に関する管理体制を定義しています。
ISO27001の基準に準拠して実施しています。

サービスに関する業務の外部委託は、行っていません。

ISO27001の基準に準拠して実施しています。

対応状況
Surfly社規定のアクセス制御ポリシーを定義しています。
Surfly社規定のアクセス制御ポリシーを定義しています。
通信データはTLS1.2/1.3を使用して暗号化されます。
Surfly社規定のアクセス制御ポリシーを定義しています。
予期せぬ不正侵入試行の検知や総当たり攻撃を素早く遮断する侵入検知システム（IPS）を有効化しています。
データセンターへのアクセスは強力なアクセスキーを使用した多要素認証またはワンタイムパスワードが必須になります。
サーバーへのアクセスはすべて監査され、ログが記録されます。
Surfly社規定のアクセス制御ポリシーを順守し、暗号鍵にはSSHキーを使用、管理しています。
データセンターへのアクセスは強力なアクセスキーを使用した多要素認証またはワンタイムパスワードが必須になります。
予期せぬ不正侵入試行の検知や総当たり攻撃を素早く遮断する侵入検知システム（IPS）を有効化しています。
不正アクセス発生時のプロセスが定義され、外部調査団体による分析が行われます。
サーバにはネットワークファイアウォールとIDSが導入されています。
また、Surfly社が規定するリスクレベルの指標に基づいて分類され、適切に処理、改善されます。

金融機関等コンピュータシステムの安全対策基準・解説書(第9版令和2年3月版)

実務基準
基準大項目
2 システム運用共通

基準中項目(1)マニュアルの整備

基準番号
実23
実24
(2)アクセス権限の管理 実25
実26
実27(3)データ管理
実28
実29
実30(4)オペレーション習熟 実31(5)コンピュータウイルス対策
実32(6)外部接続管理
実33
実34
3 運行管理(2)データファイル管理 実39(3)プログラムファイル管理
実40
実41(4)ネットワーク設定情報管理
実42実43(5)運用時ドキュメント管理
実44実45(6)運行監視実46
4 各種設備管理(1)資源管理
実47(2)機器の管理
実48(2)入出力管理
実66(3)帳票管理実67
実68(4)顧客データ保護
実69
6 緊急時の対応(1)障害時・災害時対 実70
応策
実71
実72
(2)コンティンジェンシープランの策定
実73
7 システム開発・変更 (1)システム開発・変更管理
実75
実76
実77
(2)開発・変更時ドキュメント管理
実78
実79(3)パッケージの導入 実80
実81(4)システムの廃棄
実82
実83

基準小項目
通常時マニュアルを整備すること。
障害時・災害時マニュアルを整備すること。
各種資源、システムへのアクセス権限を明確にすること。
パスワードが他人に知られないための措置を講じておくこと。
各種資源、システムへのアクセス権限の付与、見直し手続きを明確にすること。
データファイルの授受・管理方法を明確にすること。
データファイルの修正管理方法を明確にすること。
暗号鍵の利用において運用管理方法を明確にすること。
オペレーション習熟のための教育及び訓練を行うこと。

基準分類
基礎
基礎
基礎
基礎
基礎
基礎
基礎
基礎
基礎

対応状況
サービス運用に関する管理体制を定義しています。
ディザスタリカバリに関するプロセスが定義され、定期的にテストが実施されています。
Surfly社規定のアクセス制御ポリシーを定義しています。

コンピュータウイルス対策を講ずること。
接続契約内容を明確にすること。
外部接続における運用管理方法を明確にすること。
データファイルのバックアップを確保すること。
プログラムファイルの管理方法を明確にすること。
プログラムファイルのバックアップを確保すること。
ネットワークの設定情報の管理を行うこと。
ネットワークの設定情報のバックアップを確保すること。
運用時のドキュメントの保管管理方法を明確にすること。
災害時の復旧対応に必要なドキュメントのバックアップを確保すること。
システムの運行状況の監視体制を整備すること。
各種資源の能力及び使用状況の確認を行うこと。
ハードウェア及びソフトウェアの管理を行うこと。
出力情報の作成、取扱いについて、不正防止及び機密保護対策を講ずること。
未使用重要帳票の管理方法を明確にすること。
重要な印字済帳票の取扱方法を明確にすること。
顧客データの保護策を講ずること。
障害時・災害時の関係者への連絡手順を明確にすること。

基礎
基礎
基礎
基礎
基礎
基礎
基礎
基礎
基礎
基礎
基礎
基礎
基礎
基礎
付加
基礎
基礎
基礎

アンチウイルスソフトを導入しており、WAFを超えるアクセスは監視されています。
各端末上にアンチウイルスソフトを導入しており、WAFを超えるアクセスは監視されています。

障害時・災害時復旧手順を明確にすること。
障害の原因を調査・分析すること。
コンティンジェンシープランを策定すること。
システムの開発・変更手順を明確にすること。
テスト環境を整備すること。
本番への移行手順を明確にすること。
開発・変更時のドキュメントの作成手順を明確にすること。
開発・変更時のドキュメントの保管管理方法を明確にすること。
パッケージの評価体制を整備すること。
パッケージの運用・管理体制を明確にすること。
システムの廃棄計画を策定するとともに、廃棄手順を明確にすること。
システム廃棄時の情報漏洩防止対策を講ずること。

基礎
基礎
基礎
基礎
基礎
基礎
付加
基礎
付加
付加
基礎
基礎

すべてのデータはSurfly社の方針に基づいて分類、管理されています。

情報セキュリティポリシーを定義し、すべての従業員の教育はそれらに基づいて維持されます。

DBのバックアップを外部サーバへ取得しています。
定期的に冗長サーバーへ同期を実施しています。
ネットワーク設定情報の管理及び、設定内容の監視を行っています。
ディザスタリカバリに関するプロセス規定が存在しています。
稼働サーバ及び冗長サーバの稼働状態を常時監視しています。
リソース環境（CPU利用率、メモリ使用量など）は定期的に監視しています。
Surfly社規定のポリシーを規定し、デバイスマネージャーによる管理がされています。
Surflyにはデータ出力機能を有していません。

アカウントの認証情報はハッシュ化されています。
ディザスタリカバリに関するプロセス規定が存在しています。

変更管理プロセス定義に従い、品質テストを実施しています。

変更管理プロセスのルールに従い、品質テストを実施した上でリリースを行っています。
アカウント情報は契約終了後、速やかに削除します。
お客様専用環境をご利用の場合は、解約後すみやかに環境消去を実施します。

金融機関等コンピュータシステムの安全対策基準・解説書(第9版令和2年3月版)

実務基準
基準大項目
基準中項目
基準番号
8 システムの信頼性向上対策(2)ソフトウェア等の品 実89
質向上対策
実90
実91
実92
実93
実94
実95
実96
実97
実98
(3)運用時の信頼性向上対策
実99
実100
実101
(4)障害の早期発見・回復機能
実102
実103
実104
実105
実106
監査基準
基準大項目
1 システム監査

基準中項目(1)システム監査

基準番号
監1

基準小項目
必要となるセキュリティ機能を取り込むこと。

基準分類
基礎

設計段階におけるソフトウェアの品質を確保すること。
プログラム作成段階における品質を確保すること。
テスト段階におけるソフトウェアの品質を確保すること。
プログラムの配布を考慮したソフトウェアの信頼性を確保すること。
パッケージ導入にあたり、ソフトウェアの品質を確保すること。
定型的な変更作業時の正確性を確保すること。
機能の変更、追加作業時の品質を確保すること。
ファイルに対する排他制御機能を設けること。
ファイル突合機能を設けること。
オペレーションの自動化、簡略化を図ること。
オペレーションのチェック機能を充実すること。
負荷状態の監視制御機能を充実すること。
システム運用状況の監視機能を設けること。
障害の検出及び障害箇所の切り分け機能を設けること。
障害時の縮退・再構成機能を設けること。
障害時の取引制限機能を設けること。
障害時のリカバリ機能を設けること。

基礎
基礎
基礎
基礎
基礎
基礎
基礎
付加
付加
付加
基礎
基礎
基礎
付加
付加
付加
基礎

基準小項目
システム監査体制を整備すること。

基準分類

対応状況
ISO27001の基準に準拠してセキュリティ対応を実装し、変更管理プロセス定義に従った、品質テストを実施することで、ソフトウェア品質を維持しています。

可能な限りオペレーションの自動化を実施しています。
リソース環境（CPU利用率、メモリ使用量など）は定期的に監視しています。
稼働サーバ及び冗長サーバの稼働状態を常時監視しています。
アクティブ/パッシブ・フェイルオーバー方式を採用しています。

対応状況
Surflyは、定期的に外部セキュリティ評価の監査を受けています。