機器検証サービス

第三者による機器検証サービス『第三者（外部の専門家）が事実・無実・対策の実施を検証し証明書を発行します』
１ 機器検証サービスとは○企業が様々な製品やサービスを提供するにあたり、利害関係のない中立な第三者の評価機関として、専門的かつ客観的な立場 から、プロセスの内容や質、事業者の経営や企業統治の状況を確認し、その正当性・適切性につ いて検証結果を記載した証明書を発行することが可能です。
○貴社と貴社の製品やサービスの信頼性の向上を、経済産業省「機器のサイバーセキュリティ確保のためのセキュリティ検証の手引き」の「検証手順」において明記されている検証手順等を用いて機器の検証を実施致します。
○機器検証結果に関する取扱方法及びその明示方法については、下記①から③の内容を検証結果報告書として提供致します。ご要望に応じて検証結果に関する報告会を開催致します。
① 検出された脆弱性に関する情報と、当該脆弱性が悪用された場合に想定される影響、攻撃の再現手順を記載② 検証結果報告書において、検証結果に対する分析や考察等の追加情報を記載③ 検証結果に基づき、検証対象機器に求められるセキュリティ管理策の提案

２ なぜ第三者による検証が必要とされるのか
企業は製品やサービスを提供していくなかで、提供先からその品質や安全性等について説明を求められることがあります。しかし、自己の正当性・適切性を説明することは難しいものです。第三者から検証書の発行を受けておけば、説明責任を果たすことができます。
委託しているサービス
だけど、システム停止とか情報漏えいとか大丈夫なのだろうか？

取引先
（委託元）

説明の要求

ちゃんとやっているのだが、それをどうやって証明すればよいのだろうか？

第三者検証で証明する。

第三者に評価をしてもらっているなら、安心。

♪

！

サービ
ス

説明の要求

取引先
ちゃんと作っているのだが、それをどうやって証明すればよいのだろうか？

製品を買ったけど、製品に不正なコードとかまぎれこんでいないだろうか？

取引先
（購入者）

説明の要求

製品

製品
サービ
ス

証明書の提示・検証の証明書による証跡を提示し、説明責任を果たすことができる。
・専門業者によるレビューができる。
・監査や説明等の業務負荷を軽減できる。

説明がしにくい・・・

３ 第三者検証の活用
第三者検証は、取引先に対し正当性・適切性の検証を行うことだけでなく、製品、サービスおよび会社の品質への取り組みを消費者にアピールすることや内部に対して対策の実施状況をアピールすることに活用することができます。また、個人情報保護委員会への報告事項「再発防止のための措置」に、専門家による有効な対策としても活用できます。
内部に対する活用

外部に対する活用◼ 第三者検証により、同種製品・サービスに差別化を図ることができる。

◼ 第三者検証の証明書を公表して、ステークホルダーに安全性や品質に対する積極的な取り組みをアピールすると、販路拡大等の機会が増える。
• 取引先にアピールできる（BtoB）• 個人利用者にアピールできる(BtoＣ)
一般社団法人日本セキュリティ格付機構

E-mail： info@jasro.org

http://www.jasro.org/◼ 第三者検証により、経営者や現場責任者が自社製品・サービスに係る品質や安全対策を客観的な視点で再点検する。
◼ 第三者検証書を公表するに至らない場合でも、改善点の提示により、製品・サービスの品質向上に向けた課題を浮き彫りにし、改善へと繋がる。

JaSRO (Japan Security Rating Organization)

Ver.1.0（2024年7月版）

Copyright (C) JaSRO All rights reserved.

機器検証サービス
４ なぜ日本セキュリティ格付機構なのか
日本セキュリティ格付機構は、第三者検証を行う機関として、次のようなメリットを保持しています。
◼ 公正、中立の格付機関：格付機関として設立されているため、格付審査に影響力を行使できないように社団法人として運営するなど、公正性、中立性が高い機関。
◼ 格付機関としてのノウハウ：格付機関として、様々な格付を実施してきた中で、製品やサービスの提供プロセスの正当性・適切性を判断するノウハウが確立。
◼ お客様の目的にあわせて検証項目をカスタマイズ：お客様の業種、取引先等の事情により、第三者検証したい内容が異なることに対応し、事前に打ち合わせにより、検証項目をカスタマイズ。

（利用例１）第三者により製品の品質と安全性が検証されたことをアピールしたい⚫A社の製品は、自社センターと通信する機能を備えているが、その機能が顧客の個人情報等の機密情報を漏えいしているのでは、という疑念を顧客に持たれてしまうことにA社は悩んでいた。そこで、その機能が漏えいするような動作を行っていないという第三者検証を得ることで、製品の信頼性を高め、充実したセキュリティ対策をお客様に説明してビジネス拡大に役立てたい。
⚫B社は、自治体から業務を受託するに際し、データセンターの「Tier（ティア：日本データセンター協会(JDCC)のファシリティスタンダード基準）」を求められ、第三者検証を用いて説明し、納得を得ることにした。

（利用例２）第三者による客観的な視点で業務内容の適切性を確認したい⚫ C社は、重要情報を含む業務を外部委託しているが、適切な安全管理措置を講じているか現地で確認して欲しい。また、ASPサービスについても、サービス終了時のデータ消去等を現地確認して欲しい。
⚫ D社は、マンナンバーの受託業務（ＢＰＯ）を行っているが、第三者の視点で業務監査を行い、結果を委託元への報告資料として活用したい。また、E社は、企業グループ内でマイナンバー業務を一手に引受けているが、監査結果をグループ会社で共有したい。
⚫ E社は、 NIST/SP800-171への準拠度を示す第三者検証書を取得することで、高水準のセキュリティ対策を確実に実施していることを検証したい。

○機器検証の検証手順
次の検証手順を用いて検証します。
①準備 ：契約締結に向けて、必要な情報の整理や検証目的を明記します。
②計画 ：契約締結後、検証体制及び検証環境を構築します。また、検証の実施に向けた検証項目や検証手法の策定を行います。
③検証実施：検証依頼者の要望を踏まえ、検証を実施します。
④分析 ：検証結果に基づき、特定・検出された脆弱性や詳細検証によって明らかになった脅威に対して、想定される影響や対応策の案を分析します。
⑤報告 ：検証結果の報告書を作成します。

○免責条項及び留意事項①機器検証サービスにおいて、下記は免責事項となります。
・検証時点における既知の脆弱性に関する検証であり、検証時点以降に発見される脆弱性には対応していません。
・検証環境と異なる環境における脆弱性は検知できません。
・検証後、事業者が明示する期間を経た検証対象システムにおいて生じた事故等については、検証との関係の有無に関わらず免責とします。
②機器検証サービスの検証の際に、既知の脆弱性のリスト又は判定の基準、検証環境を記述した資料について、第三者に説明できる記録につついて、必要に応じて弊機構は検査実施完了より１年間保管します。
③機器検証サービスに用いるツールや手法については、検査対象に関する質問、観察、関連文書や設定値の閲覧、再実施を基本とします。なお、追加的な要件があれば、必要に応じてどのようなツールや手法を使用して検証を行うかをご契約の前にご提示します。
日本セキュリティ格付機構
E-mail： info@jasro.org

http://www.jasro.org/

JaSRO (Japan Security Rating Organization)
Copyright (C) JaSRO All rights reserved.