NEWS RELEASE
令和２年９月２４日

米国基準「NIST SP800-171」への準拠性を示す情報セキュリティ格付けの開始について～

わが国で最初のＡＡＡ格を富士ゼロックス株式会社が取得～

株 式 会 社 ア イ ・ エ ス ・ レ ー テ ィ ン グ （ 本 社 ： 東 京 都 中 央 区 ） は 、 米 国 の セ キ ュ リ テ ィ 基 準 「 NIST
SP800-171(National Institute of Standards and Technology：国立標準技術研究所)」への準拠性を示す情報セキュリティ格付けを開始し、今般、わが国で最初のＡＡＡ格を富士ゼロックス株式会社のデジタルカラー複合機・プリンター（ApeosPort®シリーズ）が取得し公表する運びとなりましたのでお知らせいたします。
複雑化・巧妙化しているサイバー攻撃に対して、政府機関等におけるサイバーセキュリティ対策を一層向上させるためには、従来行われている取組に加え、より一層サプライチェーン・リスクに対応するなど、政府の重要業務に係る情報システム・機器・役務等の調達におけるサイバーセキュリティ上の深刻な悪影響を軽減するための新たな取組が必要です。米国防省が「NIST SP800-171」相当の情報セキュリティ対応を DFARS（国防調達規則）として調達先に要求しており、わが国の防衛産業の調達基準「新情報セキュリティ基準」においても同じ方向でセキュリティ対策の強化が求められる見通しです。今後は、防衛産業だけでなく重要インフラやその他産業への浸透が予想されています。また、今回一部採用した基準「NIST SP800-53」は、政府情報システムのためのセキュリティ評価制度（Information system Security Management and Assessment Program: 通称、ISMAP（イスマップ））の管理基準にも反映されています。
弊社は、第三者として中立・公正な立場で格付けを行い、その結果を広く公表することで、「セキュリティ対策の見える化」により各事業者がステークホルダーへの説明責任を果たすのみに留まらず、自社の取組の強化や改善に寄与すると考えています。更には、格付けの波及効果により、社会システムとしてポジティブフィードバック機能が強化されると期待しています。
この度の「NIST SP800-171」への準拠性を示す格付けの基準は、弊社がこれまでに実施してきたデータセン
ター、クラウドサービス、ＡＳＰサービス、金融受委託業務など、極めて高い水準のセキュリティ対策が求められる業務に対する格付実績に加え、例えば侵入前のインシデントの識別や防御の対策をさらに一歩進め、侵入された後の検知、対応及び復旧への対応能力などを重視するものです。
これまで弊社が培ったマネジメントの成熟度とセキュリティ対策強度の評価ノウハウを活用し、業種や企業グループを越えた幅広い企業・団体の皆様が格付けを活用することで、お互いに認め合う商取引の指標となる社会インフラ化を目指し、一層の事業展開を図る所存です。
○求められる格付水準
政府「IT 調達に係る国の物品等又は役務の調達方針及び調達手続に関する申合せ」において高いセキュリティ対策が求められています。弊社は、重要情報を取扱う業務等についてはＡＡ格水準以上の対策を推奨しています。
Ａ格は一定水準（ISO/IEC27001 水準）の予防・防止的管理策（前もって防ぐこと）を織り込んでいます。ＡＡ
格は「SP800-171」の対策を、高い水準で網羅的に織り込んでいることを意味します。弊社は重要情報を取扱う●お問い合わせ先 株式会社アイ・エス・レーティング〒103-0023 東京都中央区日本橋本町 1-10-2 第 20 ビル 8 階
TEL: 03-3273-8830 http://www.israting.com

情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当社の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポート等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当社は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当社に留保され、当社に専属的に帰属するものとします。

1
Copyright (C) 2020 ISRating All rights reserved.

NEWS RELEASE
業務等については、一般企業の対策（ISO 認証水準）より高いセキュリティ強度の対策を推奨しています。
○セキュリティ対策を要する情報システム・機器・役務等
政府は「IT 調達に係る国の物品等又は役務の調達方針及び調達手続に関する申合せ」において、各省庁等が特に防護すべき情報システム・機器・役務等に関する調達の基本的な方針及び手続について、関係省庁で申し合わせ、講ずるべき必要な措置について明確化を図っています。
https://www.nisc.go.jp/conference/cs/taisaku/index.html
https://www.nisc.go.jp/active/general/pdf/choutatsu_moshiawase_kaisei.pdf＜高い水準のセキュリティ対策を要する情報システム・機器・役務等＞
通信回線装置（ハブ、スイッチ、ルータ、ファイアウォール、WAF、IDS、IPS、UTM）
サーバ装置（メールサーバ、ウェブサーバ、ＤＮＳサーバ、ファイルサーバ、データベースサーバ、認証サーバ、メインフレーム、管理サーバ（ＡＤサーバ等）、Proxy サーバ、NAS）端末（デスクトップＰＣ、ノートＰＣ、モバイル端末）
複合機（プリンタ、ネットワークプリンタ）
特定用途機器（テレビ会議システム構成機器、IP 電話システム構成機器、ネットワークカメラシステム構成
機器、各種センサー、入退館（入退室）システムの構成機器）
ソフトウエア（ＯＳ、アプリケーション(業務アプリケーション含)、ウェブコンテンツ、ミドルウェア、ファームウェア(ファームウェアの動作によって CPU 等の制御が可能であることが前提)
周辺機器（キーボード、マウス）
外部電磁的記録媒体(外付けハードディスク、USB メモリ）
役務（システム開発、運用・保守、通信サービス、クラウドサービスの提供）○これまでの弊社実績（参考）これまでの弊社基準によるＡＡＡ格等の高格付取得の実績は次の通りです。
（順不同、敬称略）
富士通、富士通 FIP、富士通 FSAS 及び富士通 SSL（館林、横浜、中部、明石、九州のＤＣ、東京 LCM サービ
スセンター、ソフトサービス事業等）、大日本印刷（蕨工場）、凸版印刷（ギフトカード ASP サービス）、野村総研グループ（横浜第二データセンター、クリプト便サービス）、パナソニック（ＤＣ運営業務）、三谷産業（クラウド、ハウジング、ホスティング、運用支援業務及びデータ保管業務）、ＰＦＵ（ソリューション及びサービス事業等）、北陸コンピュータ・サービス（国民健康保険等に関する運用サービス）、藤沢市（基幹システム業務）等があります。
○格付想定水準
保有する情報資産の重要度に応じて、求められる格付水準が異なります。
http://www.israting.com/rating/level.html●お問い合わせ先 株式会社アイ・エス・レーティング〒103-0023 東京都中央区日本橋本町 1-10-2 第 20 ビル 8 階
TEL: 03-3273-8830 http://www.israting.com

情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当社の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポート
等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当社は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当社に留保され、当社に専属的に帰属するものとします。

2Copyright (C) 2020 ISRating All rights reserved.

NEWS RELEASE○格付定義の補足説明（「NIST/SP800-171」準拠性に関する定義）
格付制度は産業構造審議会での協議を経て、２００８年に民間出資により弊社を設立して始まりました。
AAAis（要件１）新たな脅威に迅速に対応し、常時、高水準の管理状態を維持、発展させている。
（要件２）SP800-171 の対策を、極めて高い水準で織り込んでいる。

AAis（要件１）継続的な改善プロセスを有し、高水準の管理状態を維持、発展させている。
（要件２）SP800-171 の対策を、高い水準で網羅的に織り込んでいる。

Ais（要件１）検証したプロセスを用いて、目標を指標化したうえで管理、実行している。
（要件２））一定水準（ISO/IEC27001 水準）に加え、 SP800-171 の対策を部分的に織り込んでいる。

BBBis（要件１）明確に定義した手順書等に基づき、組織的に管理、実行している。
（要件２）一定水準（ISO/IEC27001 水準）の予防・防止的管理策（前もって防ぐこと）を織り込んでいる。

BBis（要件１）手順書等は整っていないが、一定水準の管理をしている。
（要件２）一定の抑止的管理策（行動を思いとどまらせること）および発見的管理策を織り込んでいる。

Bis（要件１）特定の人員に依存して、非公式な管理をしている。
（要件２）発見的管理策（事故の発生を発見できること）等の対策が不十分である。

Cis（要件１）プロセスが確立しておらず、管理が不十分である。
（要件２）対策が講じておらず、絶えず脅威にさらされている。

〇富士ゼロックス株式会社の格付結果及び参照先 Web ページ
格付結果の詳細等は別紙「格付サマリー」等をご参照ください。
http://www.israting.com/client/index.html
https://go.fujixerox.co.jp/apeosport_security.html
https://www.fujixerox.co.jp/product/multifunction/promotion/security_measure/isoiec.html○弊社サービスについて格付サービスに加え、格付取得のための準備作業等への助言業務として、GAP 分析の実施、GAP 分析で判明した発見事項・改善案等を提供します。
＜お問い合せ先＞○セミナー開催及び打合せ

株式会社アイ・エス・レーティング

ＴＶ会議システム等にて随時行います。

企画部

ご希望の方は E-mail にて、ISR@israting.com 宛にTel.03-3273-8830

ご連絡ください。

E-mal：ISR@israting.com
以上●お問い合わせ先 株式会社アイ・エス・レーティング〒103-0023 東京都中央区日本橋本町 1-10-2 第 20 ビル 8 階
TEL: 03-3273-8830 http://www.israting.com

情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当社の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポート
等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当社は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当社に留保され、当社に専属的に帰属するものとします。

3
Copyright (C) 2020 ISRating All rights reserved.

情報セキュリティ格付サマリー(NIST/SP800-171 準拠性確認)
No. 20K0012
2020 年 9 月 18 日
株式会社 アイ･エス･レーティング１． 格付結果
企業名

富士ゼロックス株式会社

格付種別

情報セキュリティ格付

格付タイプ

NIST/SP800-171 準拠性（NIST Special Publication 800-171 rev.1）

格付 ID コード

10000370401C2002

格付スコープNIST への対応環境においてデジタルカラー複合機・プリンターを使用される事業者向けに提供する、デジタルカラー複合機・プリンター(*1)*1• ApeosPort C7070～C2570• ApeosPort 4570 / 3570
• ApeosPort C2360 / C2060• ApeosPort 3060 / 2560 / 1860
• ApeosPort Print C5570 / C4570• ApeosPort-VII C4422 / C3322• ApeosPort-VII 5022
• ApeosPort-VII CP4422 / CP3322• ApeosPort-VII P4022

格付対象

格付スコープに関する開発業務および保守業務

想定リスク

情報漏えい

格付符号

AAA is （トリプル A）

格付の方向性

ポジティブ

有効期間

2020 年 9 月 24 日から 2021 年 9 月 23 日まで（交付日から 1 年間）

審査結果、NIST/SP800-171（NIST Special Publication 800-171 rev.1）の要求事項への対策を高い水準で網羅的に講じており、準拠していると認定します。

●お問い合わせ先 株式会社アイ・エス・レーティング 〒103-0023 東京都中央区日本橋本町 1-10-23 第 20 ビル 8 階
TEL:03-3273-8830
http://www.israting.com
情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当社の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポート等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当社は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。
なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当社に留保され、当社に専属的に帰属するものとします。

Copyright (C) 2020 I.S.Rating All rights reserved.

1

情報セキュリティ格付サマリー(NIST/SP800-171 準拠性確認)※

格付審査の方法は、責任者等ヘのヒアリング、規程及び台帳類の閲覧、関連設備の視察を用いております。

※

当格付けは、現地審査の実施日における事象について事実であることを確認したものであり、継続的に当該事象が必ず存在することを保証するものではありません。また、格付対象の仕様変更や社会環境の変化に応じ、緊急時には随時、また平常時には年一回の再審査による点検を推奨しています。

※

当格付けは、「NIST/SP800-171」への準拠性の観点から審査を行っています。準拠性の確認に際しては、要求管理策 110 件のうち対象となった 86 項目すべての準拠状況を審査しております。なお、対象外の要求管理策 24 件は、除外理由を確認したうえで、審査対象から除外しています。

●お問い合わせ先 株式会社アイ・エス・レーティング 〒103-0023 東京都中央区日本橋本町 1-10-23 第 20 ビル 8 階
TEL:03-3273-8830
http://www.israting.com
情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当社の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポート等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当社は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。
なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当社に留保され、当社に専属的に帰属するものとします。

Copyright (C) 2020 I.S.Rating All rights reserved.

2

情報セキュリティ格付サマリー(NIST/SP800-171 準拠性確認)
２． 当該格付符号とした事由
デジタルカラー複合機・プリンターの商品開発・保守業務を営む富士ゼロックス株式会社（東京都港区、以下「FX社」という。）は、ユーザーの情報セキュリティに関する課題に応えるべ
く、商品を開発するにあたり、各種のセキュリティ機能の拡充、暗号アルゴリズムの危殆化対応などを通じて、情報セキュリティの拡充と品質の確保に取り組んでいる。
デジタルカラー複合機・プリンターのセキュリティ上の脅威と対策として、情報漏えい、データ改ざんおよび情報への不正アクセスの攻撃の観点から、以下の主な項目がオフィスのデジタルカラー複合機・プリンターに対するセキュリティ上のリスクと捉え、最適な対策を講じており、取り組み内容は「富士ゼロックスデジタル複合機のセキュリティ白書」（2020年8月3日：
Version2.0）として取りまとめ、FX社Webサイトからダウンロードできるよう開示している。


他の利用者による不正な操作

通信データの盗聴、改ざん

管理機能への不正アクセス

デジタルカラー複合機・プリンターのソフトウェアの改ざん・破壊

監査ログの改ざん

デジタルカラー複合機・プリンター内に保存された文書の漏えい（リース終了返却、又は廃棄処理時）

管理者またはエンドユーザーのうっかりミスによる情報漏えい

また、セキュリティの信頼性を保証すべく、情報セキュリティ技術のマネジメントシステムである国際標準規格「ISO/IEC27001」の認証を取得しており、その取り組みをベースとし、情報技術セキュリティの設計や運用などの国際標準規格「ISO/IEC15408」の認証を取得している。
今回、NIST（米国国立標準技術研究所：National Institute of Standards and Technology）への対応環境においてデジタルカラー複合機・プリンターを使用される事業者向けに提供するデジタルカラー複合機・プリンターにおける、情報漏えい、データ改ざん、情報への不正アクセスの攻撃、重要情報の取得・利用・保管・移送・消去等におけるトータルな取り組み状況について、「NIST/SP800-171」への準拠性の観点から審査を行った。主な取り組みは以下の通りである。
これまでのセキュリティ機能をさらに強化し、情報漏えいに繋がる OS レベルでの改ざんを起動時に検知する、起動時改ざん検知(セキュアブート)機能や、稼働中に OS/Application 領●お問い合わせ先 株式会社アイ・エス・レーティング 〒103-0023 東京都中央区日本橋本町 1-10-23 第 20 ビル 8 階
TEL:03-3273-8830
http://www.israting.com
情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当社の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポート等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当社は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。
なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当社に留保され、当社に専属的に帰属するものとします。

Copyright (C) 2020 I.S.Rating All rights reserved.

3

情報セキュリティ格付サマリー(NIST/SP800-171 準拠性確認)
域へのアクセス監視と書き換えを防止する稼働時改ざん防止(ホワイトリスティング)機能を実装している。
重要情報の取得・利用については、保守要員（以下、「カストマーエンジニア」）はユーザーの許可がないと機械管理機能にアクセスできないよう制御している。なお、機械管理者の認証手段は、多要素認証を実装している。また、ネットワーク／セキュリティ／集計管理機能への設定変更ができる権限者、監査ログへのアクセス権限者等、機能別に権限者を細かく設定することができ、牽制機能を働かせることが可能である。ユーザーにて運用しているActiveDirectoryなどの外部認証システムとの連携やSyslogプロトコルをサポートする外部ログサー
バとの連携を図るなど、ユーザーの環境に合わせて強化を図ることができるよう設計されている。
重要情報の保管については、重要情報が含まれるデジタルカラー複合機・プリンターのストレージは、暗号化されており、仮に持ち出されて他の機器に設置しても復号することができない対策を講じている。
重要情報の移送については、デジタルカラー複合機・プリンターとの通信経路はすべて、新たなTLS暗号設定基準でも要求されている最新のTLS v1.3に対応することで、ネットワーク通信の暗号化を強化しており、情報漏えい・改ざんを抑止するとともに、FAX、デジタルカラー複合機・プリンター管理サービス（EP-BB）等、外部ネットワークへの接続を無効とすることで、不正アクセスなどでの情報漏えいの脅威を排除している。また、故障等により解析するためであっても重要情報を持ち帰ることはせず、すべて、ユーザーにて対応するよう体制を整えている。
重要情報の消去については、デジタルカラー複合機・プリンターのストレージを交換・廃棄するケースでは、ユーザーで、サニタイゼーションを実施し、希望があれば、その場でストレージを物理的に破壊する等の対策を講じている（ストレージの再利用はしていない）。
取り組みが確実に行われるには、カストマーエンジニアの力量も大きく左右することから、通常の保守教育に加え、NIST対応向けの教育を受講し、合格した者のみが、NIST対応での保守を実施するよう、人的対策についても強化を図っている。
総じて、NISTへの対応環境にて、デジタルカラー複合機・プリンターを使用される事業者向けに提供する、デジタルカラー複合機・プリンターの開発業務および保守業務において、「NIST/SP800-171」への準拠性の観点で求められる対策（特定、防御、検知、対応、復旧の管理策）を極めて高い水準で織り込んでいる。
「NIST/SP800-171」への準拠性に加え、「NIST/SP800-53」への対応も実施しており、新た●お問い合わせ先 株式会社アイ・エス・レーティング 〒103-0023 東京都中央区日本橋本町 1-10-23 第 20 ビル 8 階
TEL:03-3273-8830
http://www.israting.com
情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当社の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポート等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当社は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。
なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当社に留保され、当社に専属的に帰属するものとします。

Copyright (C) 2020 I.S.Rating All rights reserved.

4情報セキュリティ格付サマリー(NIST/SP800-171 準拠性確認)
な脅威に迅速に対応し、常時、高水準の管理状態を維持、発展させており、マネジメントの成熟度は高いレベルにある。更なる強化策として計画している対策を実施することを期待する。
また、保守業務では、NIST対応によるサービスはリリースして間もないことから、長年培ったノウハウを活かしつつ、新たなノウハウを蓄積し、更なる強化を図っていくことを期待する。
以上●お問い合わせ先 株式会社アイ・エス・レーティング 〒103-0023 東京都中央区日本橋本町 1-10-23 第 20 ビル 8 階
TEL:03-3273-8830
http://www.israting.com
情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当社の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポート等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当社は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。
なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当社に留保され、当社に専属的に帰属するものとします。

Copyright (C) 2020 I.S.Rating All rights reserved.

5情報セキュリティ格付サマリー(NIST/SP800-171 準拠性確認)
資料１．格付定義【格付定義】
AAAis

リスク耐性は極めて高く、多くの優れた要素がある。

AAis

リスク耐性はかなり高く、優れた要素がある。

Ais

リスク耐性は高く、部分的に優れた要素がある。

BBBis

リスク耐性は十分であるが、将来環境が大きく変化する場合、新たな対策が必要である。

BBis

リスク耐性には注意すべき要素があり、将来環境が変化する場合、新たな対策が必要である。

Bis

リスク耐性に問題があり、絶えず注意すべき要素がある。

Cis

リスクが顕在化する可能性が極めて高い。

【格付定義の補足説明】
AAAis（要件１）新たな脅威に迅速に対応し、常時、高水準の管理状態を維持、発展させている。
（要件２）SP800-171 の対策を、極めて高い水準で織り込んでいる。

AAis（要件１）継続的な改善プロセスを有し、高水準の管理状態を維持、発展させている。
（要件２）SP800-171 の対策を、高い水準で網羅的に織り込んでいる。

Ais（要件１）検証したプロセスを用いて、目標を指標化したうえで管理、実行している。
（要件２））一定水準（ISO/IEC27001 水準）に加え、 SP800-171 の対策を部分的に織り込んでいる。

BBBis（要件１）明確に定義した手順書等に基づき、組織的に管理、実行している。
（要件２）一定水準（ISO/IEC27001 水準）の予防・防止的管理策（前もって防ぐこと）を織り込んでいる。

BBis（要件１）手順書等は整っていないが、一定水準の管理をしている。
（要件２）一定の抑止的管理策（行動を思いとどまらせること）および発見的管理策を織り込んでいる。

Bis（要件１）特定の人員に依存して、非公式な管理をしている。
（要件２）発見的管理策（事故の発生を発見できること）等の対策が不十分である。

Cis（要件１）プロセスが確立しておらず、管理が不十分である。
（要件２）対策が講じておらず、絶えず脅威にさらされている。

(注) 各々の格付けを付与するに際しては、下位の格付けの要件を満たす必要がある。
なお、要件１や要件２は、格付定義を補足説明したものであり、被格付組織の特性や脅威の変化等により随時変更することがある。

●お問い合わせ先 株式会社アイ・エス・レーティング 〒103-0023 東京都中央区日本橋本町 1-10-23 第 20 ビル 8 階
TEL:03-3273-8830
http://www.israting.com
情報セキュリティ格付は、被格付組織等から入手した情報に依拠して形成した当社の意見であり、その正確性、完全性、網羅性等は必ずしも保証されてはいません。格付事由書、格付レポート等は、原則として被格付組織または被格付組織の格付けを要請した者からの依頼に基づき有償で作成されたものであり、被開示者、閲覧者等には参考情報としてご提供されるものです。格付事由書および格付レポート等は、被格付組織の事業やサービス、被格付組織との取引や情報共有等を推奨するものではありません。当社は、情報セキュリティ格付に関するクレーム、訴訟その他の紛争、被格付組織その他の第三者に関して生じうる一切の損害、損失、費用等について責任を負うものではありません。
なお、情報セキュリティ格付に関する一切の著作権その他の知的財産権、営業秘密、ノウハウその他の権利・利益は当社に留保され、当社に専属的に帰属するものとします。

Copyright (C) 2020 I.S.Rating All rights reserved.

6