令和6年度
中小企業サイバーセキュリティ
社内体制整備事業
第4回
第7編：ISMSの構築と対策基準の策定と実施手順【レベル3】

中小企業サイバーセキュリティ 社内体制整備事業

セミナー内容
編
第1編
第2編

第3編

テーマ
サイバーセキュリティを取り巻く背景
中小企業に求められるデジタル化の推進とサイバーセキュリ
ティ対策
これからの企業経営に必要なIT活用とサイバーセキュリティ
対策
セキュリティ事象に対応して組織として対策すべき対策基準と具体的な実施
各種ガイドラインを参考にした対策の実施
図❷

第4編
第5編

図❸

2

中小企業サイバーセキュリティ 社内体制整備事業

セミナー内容
編
第6編
第7編

第8編

テーマ
ISMSなどのフレームワークの種類と活用法の紹介
ISMSの構築と対策基準の策定と実施手順

具体的な構築・運用の実践
中小企業が組織として実践するためのスキル・知識と人材育
成
全体総括
図❷

第9編
第10編

図❸

3

中小企業サイバーセキュリティ 社内体制整備事業

セミナー内容第13章. ISMSの要求事項と構築（LV.3 網羅的アプローチ）
第14章. ISMSの管理策第15章. 組織的対策

図❷

図❸

4

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

第13章. ISMSの要求事項と構築（LV.3 網羅的アプローチ）【LV.3 網羅的アプローチ】の概要【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順
ISMS文書体系（ISMS構築・導入に必要な文書と記録）
ISO/IEC27001の審査準備と審査内容
図❷

図❸

5

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】【LV.3 網羅的アプローチ】の概要【参照：テキスト13-1.】
P3

概要
特徴
アプローチ手法
Lv.3 網羅的アプローチ

メリット・デメリット
アプローチ手法
Lv.3 網羅的アプローチ

特徴
想定される適用ケース• 脅威や攻撃手法に対して、網羅的な • ISMSのフレームワークに沿った対対策を講じることを目指すアプロー
策基準を策定する場合。
チ手法。
• ISMSなどの認証が可能なレベルを目指して、対策基準を策定。

図❷メリットデメリット• 可能な限り多くの脅威や攻撃手法に • 全体的な実施には時間がかかる。
対して対策を講じる。
• 予測できない脅威や新たな攻撃手法に対しても準備ができる状態を維持
図❸
できる。

6

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順

ISO/IEC27001 各要求事項の概要
構成
1. 適用範囲
2. 引用規格3. 用語および定義
4. 組織の状況
5. リーダーシップ
6. 計画
7. 支援
8. 運用
9. パフォーマンス評価
10. 改善【参照：テキスト13-2-1.】
P4

概要
ISMS運用のための要求事項の規程
ISO/IEC 27000（ISMSの概要と用語）を引用する
用語および定義は、ISO/IEC 27000に定めている
組織の内情などを把握した上で、適用範囲の決定を要求する
トップマネジメントが実施するべきことのまとめ
ISMSの計画を立てる（PDCAのP）
構成員の教育など、組織が行うべきサポートの要求
ISMSを実行する際の要求（PDCAのD）
適切に構築・運用できているかを評価する（PDCAのC）是正処置や不適格があった場合の対処法（PDCAのA）
図❷図❸7

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順

ISMSの確立、運用、監視【参照：テキスト13-2-1.】
P5

図❷

図❸

8

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順【参照：テキスト13-2-2.】
P5

ISMS：4. 組織の状況
4. 組織の状況
4.1 組織及びその状況の理解（組織の目的に関連する内部・外部課題）

4.2 利害関係者のニーズ及び期待の理解（利害関係者から要求される情報セキュリティ）作成文書（例）• 外部及び内部の課題

P6, P7• 利害関係者のニーズ及び期待

P7, P8

4.3 情報セキュリティマネジメントシステム • ISMS適用範囲の適用範囲の決定• レイアウト図（物理的配置、論理的構成を含め、適用範囲を決•
ネットワーク図定）
4.4 情報セキュリティマネジメントシステム（PDCAに基づく運用）

テキスト

図❷

ー

P8, P9, P10ー

図❸9

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順【参照：テキスト13-2-3.】
P11

ISMS：5. リーダーシップ
5. リーダーシップ
5.1 リーダーシップ及びコミットメント（トップが責任を持って実行すること）

5.2 方針（情報セキュリティ方針の作成）

5.3 組織の役割、責任及び権限（役割と権限の割り当てと、それの文書化）

作成文書（例）

テキストー

P11, P12• 情報セキュリティ方針P13• ISMSの運用組織図• 責任者または部門の名称 P14, P15と役割を明記した文書
図❷

図❸

10

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順【参照：テキスト13-2-4.】
P15

ISMS：6. 計画
6. 計画•
6.1 リスク及び機会に対する活動（情報資産に対するリスクの決定と対応手順の確立）•••

作成文書（例）テキスト
資産目録（情報資産管理台帳）
P16, P17, P18,
リスクアセスメント結果
P19, P20, P21,
報告書
P22
適用宣言書
リスク対応計画

6.2 情報セキュリティ目的及びそれを達• ISMS有効性評価表
成するための計画策定

図❷P22, P23, P24（目的の確立と、達成のための計画策定）

6.3 変更の計画策定（変更が必要な時は計画的に）

ー

図❸

ー

11

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順【参照：テキスト13-2-5.】
P24

ISMS：7. 支援
7. 支援
7.1 資源（必要資源【人、物、金、情報】の決定）

7.2 力量（要員の力量を定義し、評価する。結果に応じて教育を計画と実施）

7.3 認識（適用範囲のすべての要員が認識しなければならい内容）

7.4 コミュニケーション（意思疎通に必要なプロセスの確立）

7.5 文書化した情報（文書化した情報の作成、更新、管理）作成文書（例）

テキストー••••

P25, P26
力量確認表
教育計画書
理解度確認テスト
教育実施記録P26, P27, P28,P29, P30
図❷

ーーー

P30

図❸

P30, P31
P31, P32
12

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順【参照：テキスト13-2-6.】
P33

ISMS：8. 運用
8. 運用
8.1 運用の計画及び管理（計画した活動の一覧表作成）

作成文書（例）• ISMS年間計画表

テキスト
P33, P34, P35

8.2 情報セキュリティリスクアセスメント • リスクアセスメント結P35（実施したリスクアセスメントプロセス結果の文果報告書書化）

8.3 情報セキュリティリスク対応（実施したリスク対応計画結果の文書化）• リスク対応計画

図❷

P35, P36

図❸13

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順【参照：テキスト13-2-7.】
P36

ISMS：9. パフォーマンス評価
9. パフォーマンス評価
9.1 監視、測定、分析及び評価（情報セキュリティのパフォーマンスとISMSの有効性の評価）

9.2 内部監査（ISMSの適合性、有効性についての監査）

9.3 マネジメントレビュー（トップマネジメントが、ISMSの有効性を評価する）

作成文書（例）テキスト• ISMS有効性評価表

P36, P37• 内部監査チェックリスト
P37, P38, P39,
• 内部監査計画書
P40• 内部監査結果報告書
図❷• マネジメントレビュー報
P40, P41, P42
告書
図❸

14

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】【LV.3 網羅的アプローチ】フレームワークを参考とした実施手順【参照：テキスト13-2-8.】
P42

ISMS：10. 改善10. 改善
10.1 継続的改善作成文書（例）

テキスト（ISMSのPDCAサイクルを継続して実施し、情ー報セキュリティパフォーマンスを向上させるために必要な改善を継続していく）

ー

10.2 不適合及び是正処置

P43, P44, P45（不適合が発生した際の是正処置の実施）• 是正要求書兼回答書
図❷

図❸

15

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

ISMS文書体系（ISMS構築・導入に必要な文書と記録）

ISMS文書としての策定内容とポイント【参照：テキスト13-3-1.】
P46

ISO/IEC 27001:2022附属書Aの管理策
カテゴリ
組織的管理策

人的管理策
物理的管理策

技術的管理策項目数
管理策37 組織として取り組む必要のある管理策。
組織としてのルールを定めるもの。
8 従業員に関して取り組む必要のある管理策。
情報セキュリティの意識向上や教育など。
14 情報システムのハードウェアや建物、設備に関する管理策。
オフィス、部屋および施設の物理的セキュリティや監視、装置の保守など。
34 技術面での管理策。
ネットワーク、システム全般のセキュリティ、データの暗号化、バックアップ、脆弱性管理、ログ管理、マルウェア対策など。
図❷

図❸

16

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

ISMS文書体系（ISMS構築・導入に必要な文書と記録）

ISMSの要求事項【参照：テキスト13-3-2.】
P47• ISO/IEC 27001の要求事項
要求事項
ISMSの構築
リスクアセスメント

内容
組織は、ISMSを計画し、導入する。
組織内の情報セキュリティリスクを識別し、そのリスクを評価する。
リスク対応策の実施評価されたリスクに対して、適切な対応策を実施する必要がある。
ISMSの維持と改善
ISMSは、PDCAサイクルに従って運用し、継続的に監視・評価され、必要に応じて改善していく。
認証取得のための要件遵守 ISO/IEC 27001の認証を取得するには、これらの要求事項をすべて満たす必要がある。
図❷

図❸

17

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

ISMS文書体系（ISMS構築・導入に必要な文書と記録）

ISMSの管理策【参照：テキスト13-3-2.】
P48• 情報セキュリティマネジメントの具体的な管理策を示す規格がISO/IEC27002。
• ISO/IEC 27002の管理策を取り入れ、リスク低減のための目的と管理策で構成されているもの（リスト）が「ISO/IEC 27001附属書Ａ」• この「ISO/IEC 27001附属書Ａ」は、要求事項を補完するガイドラインとして位置づけされている。
• 全ての管理策を採用する必要はないが、採用しない理由を明確にしなければならない。
図❷

図❸

18

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

ISMS文書体系（ISMS構築・導入に必要な文書と記録）

ISMSの管理策における属性
カテゴリ
管理策タイプ
情報セキュリティ特性
サイバーセキュリティ概念
運用機能

セキュリティドメイン

【参照：テキスト13-3-2.】
P51

属性数
属性
3 ＃予防、＃検知、＃是正
3 ＃機密性、＃完全性、＃可用性
5 ＃識別、＃防御、＃検知、＃対応、＃復旧
15 ＃ガバナンス、＃資産管理、＃情報保護、＃人的資源のセキュリティ、＃物理的セキュリティ、＃シス
テムおよびネットワークのセキュリティ、＃アプリ
図❷ケーションのセキュリティ、＃セキュリティを保った構成、＃識別情報およびアクセス管理、＃脅威およびぜい弱性の管理、＃継続、＃供給者関係のセキュリティ、＃法および順守、＃情報セキュリティ
事象管理、＃情報セキュリティ保証
図❸4 ＃ガバナンスおよびエコシステム、＃保護、＃防御、＃対応力
19

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

ISO/IEC27001の審査準備と審査内容

ISO/IEC27001の認証機関の選定と申し込み【参照：テキスト13-4-1.】
P53

認証取得の申請先

認証機関の選択図❷図❸20

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

ISO/IEC27001の審査準備と審査内容

ISO/IEC27001の審査事前準備
ISMSの構築ステップ
1. 適用範囲の決定
2. 情報セキュリティ方針の策定
3. 体制の確立
4. ISMS文書化
5. リスクアセスメントの実施
6. 従業員の教育
7. 内部監査8. マネジメントレビュー【参照：テキスト13-4-2.】
P54

図❷

図❸

21

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

ISO/IEC27001の審査準備と審査内容

ISO/IEC27001の審査（第一段・第二段）【参照：テキスト13-4-3.】
P55「ISMS認証」は、組織のISMSがISO/IEC 27001に準拠しているかを第三者認証機関が審査する制度。この評価は国際的な「ISMS適合性評価制度」のもとで行われる。
認定と認証
認
定
認
証

認定機関が認証機関を審査し、認証を遂行する能力のあることを公式に承認する行為を認定と言う。
第三者が文書で保証する手続きを認証と言う。

図❷図❸

22

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

ISO/IEC27001の審査準備と審査内容【参照：テキスト13-4-3.】
P56

ISO/IEC27001の審査（第一段・第二段）
ISMS認証審査プロセス

ス
テップ

申請

審査日程の確認

初回認証審査認証登録
図❷

新規取得する際、 組織と認証機関と 新規の場合は原則 審査の結果、適今までと異なる認 の間で、審査日程 として1次審査と 合していること証機関で受診する の確認を行います。2次審査の2回で が確認されると実施されます。
認証書が発行さ概 場合は、申請が必れ、登録完了と要 要です。
図❸
なります。

報告・公開
認証された旨が認証機関からISMSACに報告され次
第、ISMS-AC
ホームページで公開されます。

23

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

ISO/IEC27001の審査準備と審査内容

ISO/IEC27001の維持審査・再認証審査【参照：テキスト13-4-4.】
P57

ISMS認証の維持および更新審査プロセス• 年に1回以上の維持審査（サーベイランス審査）• 3年ごとに認証の有効期限を更新するための更新審査

図❷

図❸

24

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

第14章. ISMSの管理策
管理策の分類と構成

図❷

図❸

25

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

管理策の分類と構成

管理策：ISO/IEC 27002【参照：テキスト14-1-1.】
P60

図❷

図❸

26

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

管理策の分類と構成【参照：テキスト14-1-2.】
P61, P62

管理策のテーマと属性カテゴリ
管理策タイプ
情報セキュリティ特性
サイバーセキュリティ概念
運用機能
セキュリティドメイン

属性数
関連するガイドラインなど
3 ー
3 ISO/IEC 27001
5 サイバーセキュリティフレームワーク
15 ISO/IEC 27002:2022
4 ー
図❷各テーマより管理策の例示• ISO/IEC 27002 附属書Aに記載• 使い方は別紙、ISMS管理策の属性説明資料を参照

図❸27

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

管理策の分類と構成対策基準と実施手順の作成方法【参照：テキスト14-1-3.】P63

1. 管理策の決定
a. リスクアセスメント結果を考慮し、適切なリスク対応を選択する。
b. 実施に必要なすべての管理策を決定する。
2. 管理策の検証
a. 必要な管理策の見落としがないか検証する。
3. 適用宣言書の作成
a. 必要な管理策と実施する理由を記載する。
b. 管理策をすでに実施しているかを記載する。
c. 管理策を除外した理由を記載する。
4. 実施手順の作成
a. 具体的な実施手順を作成する。
図❷

図❸

28

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

第15章. 組織的対策
作成する候補となる実施手順書類について
組織的対策として重要となる実施項目

図❷

図❸

29

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P67

5.1 情報セキュリティのための方針群

情報セキュリティ方針およびトピック固有の個別方針は、これを定義し、経営陣によって承認され、発行し、関連する要員および関連する利害関係者へ伝達し認識され、計画した間隔でおよび重要な変化が発生した場合にレビューしなければならない。
【実施手順：テキストP72】

5.2 情報セキュリティの役割および責任

情報セキュリティの役割および責任を、組織の要求に従って定め、割り当てなければならない。
【実施手順：テキストP73】
図❷5.3 職務の分離

相反する職務および責任範囲は、分離しなければならない。
【実施手順：テキストP74】
図❸30

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P67, P68

5.4 経営陣の責任

経営陣は、組織の確立された情報セキュリティ方針、トピック固有の個別方針および手順に従った情報セキュリティの適用を、すべての要員に要求しなければならない。
【実施手順：テキストP74】

5.5 関係当局との連絡組織は、関係当局との連絡体制を確立および維持しなければならない。
【実施手順：テキストP74】
図❷5.6 専門組織との連絡組織は、情報セキュリティに関する研究会または会議、および情報セキュリティの専門家からの協会・団体との連絡体制を確立し維持しなければならない。
【実施手順：テキストP75】
図❸31

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P68

5.7 脅威インテリジェンス

情報セキュリティの脅威に関連する情報を収集および分析し、脅威インテリジェンスを構築しなければならない。
【実施手順：テキストP81】

5.8 プロジェクトマネジメントにおける情報セキュリティ

情報セキュリティをプロジェクトマネジメントに組み入れなければならない。
【実施手順：テキストP76】
図❷5.9 情報及びその他の関連資産の目録管理責任者を含む情報およびその他の関連資産の目録を作成し、維持しなければならない。
【実施手順：テキストP81】
図❸32

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P68

5.10 情報及びその他の関連資産の利用の許容範囲

情報およびその他の関連資産の利用並びに取扱い手順の許容範囲に関する規則は、明確にし、文書化し、実施しなければならない。
【実施手順：テキストP82】

5.11 資産の返却要員および必要に応じてその他の利害関係者は、雇用、契約または合意の変更または終了時に、自らが所持する組織の資産のすべてを返却しなければならない。
【実施手順：テキストP83】
図❷5.12 資産の分類

情報は、機密性、完全性、可用性および関連する利害関係者の要求事項に基づく組織の情報セキュリティの要求に従って分類しなければならない。
【実施手順：テキストP77】
図❸33

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P68, P69

5.13 情報のラベル付け

情報のラベル付けに関する適切な一連の手順は、「5.12 情報の分類」で確立した分類体系に従って策定し、実施しなければならない。
【実施手順：テキストP77】

5.14 情報転送

情報転送の規則、手順または合意を、組織内および組織と他の関係者との間のすべての種類の転送設備に関して備えなければならない。
【実施手順：テキストP77】
図❷5.15 アクセス制御

情報およびその他の関連資産への物理的および論理的アクセスを制御するための規則を、業務および情報セキュリティの要求事項に基づいて確立し、実施しなければならない。
【実施手順：テキストP79】
図❸34

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P69

5.16 識別情報の管理

組織の情報およびその他の関連資産にアクセスする個人およびシステムを一意に特定できるようにし、アクセス権を適切に割り当てなければならない。
【実施手順：テキストP79】

5.17 認証情報

認証情報の割り当ておよび管理は、認証情報の適切な取扱いについて要員に助言することを含む管理プロセスによって管理しなければならない。
【実施手順：テキストP79】
図❷5.18 アクセス権

情報およびその他の関連資産へのアクセス権は、アクセス制御に関する組織のトピック固有の個別方針および規則に従って、提供、レビュー、変更および削除しなければならない。
【実施手順：テキストP80】
図❸35

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P69

5.19 供給者関係における情報セキュリティ

供給者の製品またはサービスの使用に関連する情報セキュリティリスクを管理するためのプロセスおよび手順を定義し実施しなければならない。
【実施手順：テキストP89】

5.20 供給者と合意における情報セキュリティの取扱い

供給者関係の種類に応じて、各供給者と、関連する情報セキュリティ要求事項を確立し合意をとらなければならない。
【実施手順：テキストP89】
図❷5.21 ICTサプライチェーンにおける情報セキュリティの管理

ICT 製品およびサービスのサプライチェーンに関連する情報セキュリティリスクを管理するためのプロセスおよび手順を定め、実施しなければならない。
【実施手順：テキストP90】
図❸36

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P69, P70

5.22 供給者のサービス提供の監視、レビュー及び変更管理

サービスの供給者の情報セキュリティの実践およびサービス提供の変更を定常的に監視し、レビューし、評価し、管理しなければならない。
【実施手順：テキストP93】

5.23 クラウドサービスの利用における情報セキュリティ

クラウドサービスの取得、利用、管理および終了のプロセスを、組織の情報セキュリティ要求事項に従って定めなければならない。
【実施手順：テキストP83】
図❷5.24 情報セキュリティインシデント管理の計画及び準備

セキュリティインシデント管理のプロセス、役割および責任を定義、確立および伝達し、セキュリティインシデント管理の計画を定めなければならない。
【実施手順：テキストP84】
図❸37

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P70

5.25 情報セキュリティ事象の評価及び決定

情報セキュリティ事象に対して、セキュリティインシデントに分類するか否かを決定するための評価を実施しなければならない。
【実施手順：テキストP85】

5.26 情報セキュリティインシデントへの対応

セキュリティインシデントに対し、文書化した手順に従って対応しなければならない。
【実施手順：テキストP85】
図❷5.27 情報セキュリティインシデントからの学習

セキュリティインシデントから得られた知識を、情報セキュリティ管理策を強化し、改善するために用いなければならない。
【実施手順：テキストP86】
図❸38

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P70

5.28 証拠の収集

情報セキュリティ事象に関連する証拠の特定、収集、取得および保存のための手順を定め、実施しなければならない。
【実施手順：テキストP87】

5.29 事業の中断・阻害時の情報セキュリティ

事業の中断・阻害時に情報セキュリティを適切なレベルに維持するための方法を定めなければならない。
【実施手順：テキストP87】
図❷5.30 事業継続のためのICTの備え

事業継続の目的およびICT 継続の要求事項に基づいて、ICT の備えを計画、実施、維持および試験しなければならない。
【実施手順：テキストP88】
図❸39

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P70, P71

5.31 法令・規制及び契約上の要求事項

情報セキュリティに関する法令や契約事項を特定・文書化し、遵守しなければならない。
【実施手順：テキストP90】

5.32 知的財産権

知的財産権を保護するための適切な手順を実施しなければならない。
【実施手順：テキストP91】
図❷5.33 記録の保護

記録を、消失、破壊、改ざん、認可されていないアクセスおよび不正な流出から保護しなければならない。
【実施手順：テキストP91】
図❸40

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P71

5.34 プライバシー及びPIIの保護適用される法令、規制および契約上の要求事項に従って、プライバシーの維持およびPII の保護に関する要求事項を特定し、満たさなければならな
い。
【実施手順：テキストP93】

5.35 情報セキュリティの独立したレビュー

情報セキュリティおよびその実施の管理に対する組織の取組について、あらかじめ定めた間隔で、または重大な変化が生じた場合に、独立したレビューを実施しなければならない。
【実施手順：テキストP93】
図❷

図❸

41

第7編. ISMSの構築と対策基準の策定と実施手順【レベル3】

作成する候補となる実施手順書類について【参照：テキスト15-1.】
P71

5.36 情報セキュリティのための方針群、規則及び標準の順守

組織の情報セキュリティ方針、トピック固有の個別方針、規則および標準を順守していることを定期的にレビューしなければならない。
【実施手順：テキストP94】

5.37 操作手順書

情報処理設備の操作手順を文書化し、必要な要員に対して利用可能な状態としなければならない。
【実施手順：テキストP94】
図❷

図❸

42

令和６年度
中小企業サイバーセキュリティ社内体制整備事業