金融機関等コンピュータシステムの安全対策基準・解説書（第9版）※ガイドラインの中でbellFaceが対象となる項目のみ記載しております
項番
基準分類
基準大項目
基準中項目

2021年1月15日時点

基準小項目

回答

統1

基礎

V. 統制基準1 内部の統制(1) 方針・計画

統1 システムの安全対策に係る重要事項を定めた規程を整備すること。

セキュリティポリシーに基づき、適切に安全対策を実施しております。

統2

基礎

V. 統制基準1 内部の統制(1) 方針・計画

統2 中長期的視点に立ったシステムの企画・開発・運用に関する計画を策定すること。

プロダクトロードマップに基づき、開発の計画を策定し、必要なリソースの確保を実施しております。

統3

基礎

V. 統制基準1 内部の統制(1) 方針・計画

統3 システム開発計画は中長期システム計画との整合性を プロダクトロードマップに基づき、開発の計画を策定し、必要なリソースの確保
確認するとともに、承認を得ること。
を実施しております。

統4

基礎

V. 統制基準1 内部の統制(2) 組織体制

統4 セキュリティ管理体制を整備すること。

全社のセキュリティ管理者を設置し、情報セキュリティマネジメントシステム基
本方針に基づいて、情報セキュリティ管理体制を運用しています。

統4基礎

V. 統制基準1 内部の統制(2) 組織体制

統4 セキュリティ管理体制を整備すること。

情報セキュリティ委員会において、情報セキュリティ責任者および情報セキュ
リティ監査責任者を任命し、セキュリティ管理および対策の実行、実行結果の監査を行う仕組みを設けております。

統5

基礎

V. 統制基準1 内部の統制(2) 組織体制

統5 サイバー攻撃対応態勢を整備すること。

セキュリテイインシデント規定および情報セキュリティ委員会における態勢を整備し、セキュリティ担当部署にて最新の動向および手口の分析を実施して
おります。

統6

基礎

V. 統制基準1 内部の統制(2) 組織体制

統6 システム管理体制を整備すること。

アカウント管理やシステム管理等の規程を定め、各業務は社内Wiki等により手順化しており、必要最小限の権限で実施しております。

統7

基礎

V. 統制基準1 内部の統制(2) 組織体制

統7 データ管理体制を整備すること。

データ管理については手順を整備し、データ管理者を設置し、適切に運用を実施しております。

統8基礎

V. 統制基準1 内部の統制(2) 組織体制

統8 ネットワーク管理体制を整備すること。

ネットワーク管理については手順を整備し、ネットワーク管理者を設置し、適切に運用を実施しております。

統9基礎

V. 統制基準1 内部の統制(2) 組織体制

統9 業務組織を整備すること。

業務組織の分離や業務分担による、不正防止対策を実施しております。

統10

基礎

V. 統制基準1 内部の統制(2) 組織体制

統10 防災組織を整備すること。

社内に防火管理者を設置しており、主要なシステム資源については外部のクラウド上で稼働しており、クラウド事業者にて適切な防災対策を実施しており
ます。

統11

基礎

V. 統制基準1 内部の統制(2) 組織体制

統11 防犯組織を整備すること。

オフィスの入室管理および警備員による巡回監視を実施しており、主要なシ
ステム資源については外部のクラウド上で稼働しており、クラウド事業者にて適切な防犯対策を実施しております。

統12

基礎

V. 統制基準1 内部の統制(2) 組織体制

統12 各種業務の規則を整備すること。

アカウント管理規定、システム管理規定、システム利用規定等でシステムを管理、運用する際のルール、責任範囲を定義しております。

統13

基礎

V. 統制基準1 内部の統制(3) 管理状況の評価

統13 セキュリティ遵守状況を確認すること。

当社従業員および外部委託先について定期的なセキュリティ研修およびセキュリティテストを実施しております。

統14

基礎

V. 統制基準1 内部の統制(4) 人材(要員・教育)

統14 セキュリティ教育を行うこと。

当社従業員および外部委託先について定期的なセキュリティ研修およびセキュリティテストを実施しております。

統15

基礎

V. 統制基準1 内部の統制(4) 人材(要員・教育)

統15 要員に対するスキルアップ教育を行うこと。

システム開発およびシステム運用の従事者に対して、定期的な研修を実施しております。

統16

基礎

V. 統制基準1 内部の統制(4) 人材(要員・教育)

統16 障害時・災害時に備えた教育・訓練を行うこと。

障害発生時の手順を整備し、迅速な復旧が実施できるように訓練を行ってい
ます。

統17

基礎

V. 統制基準1 内部の統制(4) 人材(要員・教育)

統17 防災・防犯訓練を行うこと。

事業継続計画に基づき、半期に一度訓練を実施しております。

統18

基礎

V. 統制基準1 内部の統制(4) 人材(要員・教育)

統18 要員の人事管理を行うこと。

従業員のスキル評価については四半期毎に実施し、人員配置を含め、見直しを実施しております。

統19

基礎

V. 統制基準1 内部の統制(4) 人材(要員・教育)

統19 要員の健康管理を行うこと。

年次での健康診断、週次の1on1において業務負荷の確認など適切に実施し
ています。

統20

基礎

V. 統制基準2 外部の統制(1) 外部委託管理

統20 外部委託を行う場合は、事前に目的、範囲等を明確にするとともに、外部委託先選定の手続きを明確にするこ 委託先選定基準に基づき、責任者の承認のもと委託先を決定しております。
と。

統21

基礎

V. 統制基準2 外部の統制(1) 外部委託管理

統21 外部委託先と安全対策に関する項目を盛り込んだ契外部委託先については機密保持契約を締結しております。
約を締結すること。

統21

基礎

V. 統制基準2 外部の統制(1) 外部委託管理

統21 外部委託先と安全対策に関する項目を盛り込んだ契 外部委託先については災害発生時など安定運用に関する項目を契約に含約を締結すること。
めております。

統22

基礎

V. 統制基準2 外部の統制(1) 外部委託管理

統22 外部委託先の要員にルールを遵守させ、その遵守状 セキュリティについては定期点検の実施、プロダクト開発において随時遂行
況を確認すること。
状況の報告を受けております。

統23

基礎

V. 統制基準2 外部の統制(1) 外部委託管理

統23 外部委託における管理体制を整備し、委託業務の遂 外部委託先については委託する業務特性および情報の性質に応じて、委託
行状況を確認すること。
先の管理を実施しております。

統24

基礎

V. 統制基準2 外部の統制(2) クラウドサービスの利用

統24 クラウドサービスを利用する場合は、クラウドサービス 外部クラウドサービスの利用について情報の性質に応じてサービスを選定し固有のリスクを考慮した安全対策を講ずること。
ております。

統25

基礎

V. 統制基準2 外部の統制(3) 共同センター

統25 共同センターにおける緊急事態の発生に備えて安全対象外対策を講ずること。

統26

基礎

V. 統制基準2 外部の統制(4) 金融機関相互のシステム・
ネットワークのサービス

統26 金融機関相互のシステム・ネットワークのサービス利用にあたっては、適切なリスク管理を行うこと。

実1

基礎

VI. 実務基準
1 情報セキュリティ(1) データ保護

実1 他人に暗証番号・パスワード等を知られないための対対象外策を講ずること。

実2

付加

VI. 実務基準
1 情報セキュリティ(1) データ保護

実2 相手端末確認機能を設けること。

対象外

実3

付加

VI. 実務基準
1 情報セキュリティ(1) データ保護

実3 蓄積データの漏洩防止策を講ずること。

業務利用PCやシステムに対して、不正コピーを検知する対策を実施しております。また、PC盗難時にはリモートワイプできるような対策を実施しておりま
す。

実4

付加

VI. 実務基準
1 情報セキュリティ(1) データ保護

実4 伝送データの漏洩防止策を講ずること。

データ転送時には暗号化通信を必須とし、中間者が閲覧不可能な対策を講じております。

実5

基礎

VI. 実務基準
1 情報セキュリティ(1) データ保護

実5 ファイルに対するアクセス制御機能を設けること。

アクセス権は個人ごとに必要最低限の権限を付与し、適切に管理しておりま
す。

実6

基礎

VI. 実務基準
1 情報セキュリティ(1) データ保護

実6 不良データ検出機能を充実すること。

バリデーションチェックを実施しております。

実7

付加

VI. 実務基準
1 情報セキュリティ(1) データ保護

実7 伝送データの改ざん検知策を講ずること。

侵入検知システムを導入しております。

実8

基礎

VI. 実務基準
1 情報セキュリティ(2) 不正使用防止

実8 本人確認機能を設けること。

重要システムのアクセスについては二段階認証による本人確認、さらに、IPア
ドレス制限を用いて制御を実施しております。

実9基礎

VI. 実務基準
1 情報セキュリティ(2) 不正使用防止

実9 IDの不正使用防止機能を設けること。

セッションタイムアウトやパスワード失敗によるロックアウトなどIDの不正使用防止策を実施済み。

©Copyright 2021 bellFace Inc

対象外

1/

実10

基礎

VI. 実務基準
1 情報セキュリティ(2) 不正使用防止

実10 アクセス履歴を管理すること。

データアクセスなど必要なログを取得し、ログ管理規定により、各法令に基づいたログの保存期間、および弊社独自のログ保存期間を定義しております。
また定期的にアクセスログの分析を実施しております。

実11

基礎

VI. 実務基準
1 情報セキュリティ(2) 不正使用防止

実11 取引制限機能を設けること。

対象外

実12

付加

VI. 実務基準
1 情報セキュリティ(2) 不正使用防止

実12 事故時の取引禁止機能を設けること。

対象外

実13

付加

VI. 実務基準
1 情報セキュリティ(2) 不正使用防止

実13 電子化された暗号鍵を蓄積する機器、媒体、またはそ
暗号鍵については、弊社で指定した保存場所に保存しており、鍵管理についこに含まれるソフトウェアには、暗号鍵の保護機能を設けるては、鍵を利用部署以外の部署にて管理を実施しております。
こと。

実14

基礎

VI. 実務基準
1 情報セキュリティ(3) 外部ネットワークからの不正アクセス防止対象システムについては、WAF(Web Application Firewall) および IDPS を設実14 外部ネットワークからの不正侵入防止機能を設けるこ けており、外部侵入に対しての防御を行っております。また、重要ファイルにと。
ついては改ざん防止対策を実施しており、改ざん時には検知する対策を実施しております。

実15

基礎

VI. 実務基準
1 情報セキュリティ(3) 外部ネットワークからの不正アクセス防止システム開発規定、システム運用規定で定義し、アクセス可能な経路につい実15 外部ネットワークからアクセス可能な接続機器は必要ては最小限にとどめております。また定期的に確認を行い、不必要な経路が最小限にすること。
存在した場合は削除を行っております。

実16

基礎

VI. 実務基準
1 情報セキュリティ(4) 不正検知策

実16 不正アクセスの監視機能を設けること。

実17

付加

VI. 実務基準
1 情報セキュリティ(4) 不正検知策

実17 異常な取引状況を把握するための機能を設けること。 対象外

実18

付加

VI. 実務基準
1 情報セキュリティ(4) 不正検知策

実18 異例取引の監視機能を設けること。

実19

基礎

VI. 実務基準
1 情報セキュリティ(5) 不正発生時の対応策

不正アクセスの防止を行うとともに、不正アクセスが検知された場合、セキュリ
実19 不正アクセスの発生に備えて対応策、復旧策を講じてティインシデント規定に基づき、規定上に存在するプロセスを経て、発見、対おくこと。
応、復旧までに行うべきフローおよび体制を定義しております。

実20

基礎

VI. 実務基準
1 情報セキュリティ(6) 不正プログラム対策

実20 コンピュータウイルス等の不正プログラムへの防御対 システム利用規定で業務で利用するPCに対してセキュリティ対策について定策を講ずること。
義を行い、適切に稼働しているか確認を行っております。

実21

基礎

VI. 実務基準
1 情報セキュリティ(6) 不正プログラム対策

システム利用規定で業務で利用するPCに対してセキュリティ対策について定実21 コンピュータウイルス等の不正プログラムの検知対策義を行い、ウイルス対策ソフトやパターンファイルの最新化の状況チェックなを講ずること。
ど適切に稼働しているか確認を行っております。

実22

基礎

VI. 実務基準
1 情報セキュリティ(6) 不正プログラム対策

実22 コンピュータウイルス等の不正プログラムによる被害 セキュリティインシデント規定に基づき、規定上に存在するプロセスを経て、時対策を講ずること。
発見、対応、復旧までに行うべきフローおよび体制を定義しております。

実23

基礎

VI. 実務基準
2 システム運用共通(1) マニュアルの整備

実23 通常時マニュアルを整備すること。

システム運用規定で通常時の運用においても手順の文書化、およびレ
ビュー、承認までのプロセスを定義しております。

実24

基礎

VI. 実務基準
2 システム運用共通(1) マニュアルの整備

実24 障害時・災害時マニュアルを整備すること。

セキュリティインシデント規定、およびインシデント規定に基づき対応を行って
おります。

実25

基礎

VI. 実務基準
2 システム運用共通(2) アクセス権限の管理

実25 各種資源、システムへのアクセス権限を明確にするこ アクセス権は個人ごとに必要最低限の権限を付与し、適切に管理しておりま
と。
す。

実26

基礎

VI. 実務基準
2 システム運用共通(2) アクセス権限の管理

実26 パスワードが他人に知られないための措置を講じて
おくこと。

実27

基礎

VI. 実務基準
2 システム運用共通(2) アクセス権限の管理

実27 各種資源、システムへのアクセス権限の付与、見直し アカウントは個人ごとに発行し、発行時はワークフローシステムにより、適切手続きを明確にすること。
な承認者の確認のもと実施しております。

実28

基礎

VI. 実務基準
2 システム運用共通(3) データ管理

実28 データファイルの授受・管理方法を明確にすること。

情報資産管理台帳の運用および情報セキュリティ規定に基づき、保管管理方式の確認、および監査を実施しております。

実29

基礎

VI. 実務基準
2 システム運用共通(3) データ管理

実29 データファイルの修正管理方法を明確にすること。

情報資産管理台帳の運用および情報セキュリティ規定に基づき、保管管理方式の確認、および監査を実施しております。

実30

基礎

VI. 実務基準
2 システム運用共通(3) データ管理

実30 暗号鍵の利用において運用管理方法を明確にするこ 情報資産管理台帳の運用および情報セキュリティ規定に基づき、保管管理と。
方式の確認、および監査を実施しております。

実31

基礎

VI. 実務基準
2 システム運用共通(4) オペレーション習熟

実31 オペレーション習熟のための教育及び訓練を行うこ
と。

対象外

実32

基礎

VI. 実務基準
2 システム運用共通(5) コンピュータウイルス対策

実32 コンピュータウイルス対策を講ずること。

IDS/IPS/WAFにより不正侵入を防御しております。

実33

基礎

VI. 実務基準
2 システム運用共通(6) 外部接続管理

実33 接続契約内容を明確にすること。

外部とのデータ授受については、対象者を特定するために、対象者のメール
アドレス等を受領し、適切な権限設定、認証設定を実施しております。また、暗号化通信を必須とし、データ授受を行っております。

実34

基礎

VI. 実務基準
2 システム運用共通(6) 外部接続管理

実34 外部接続における運用管理方法を明確にすること。

外部とのデータ授受については、対象者を特定するために、対象者のメール
アドレス等を受領し、適切な権限設定、認証設定を実施しております。また、暗号化通信を必須とし、データ授受を行っております。

実34

基礎

VI. 実務基準
2 システム運用共通(6) 外部接続管理

実34 外部接続における運用管理方法を明確にすること。

情報セキュリティ規定群で運用を定義しております。

実35

基礎

VI. 実務基準
3 運行管理(1) オペレーション管理

実35 オペレータの資格確認を行うこと。

情報セキュリティ規定群で運用を定義しております。

実37

基礎

VI. 実務基準
3 運行管理(1) オペレーション管理

実37 オペレーション実行体制を明確にすること。

情報セキュリティ規定群で運用を定義しております。

実38

基礎

VI. 実務基準
3 運行管理(1) オペレーション管理

実38 オペレーションの記録、確認を行うこと。

情報セキュリティ規定群で運用を定義しております。

実39

基礎

VI. 実務基準
3 運行管理(2) データファイル管理

実39 データファイルのバックアップを確保すること。

情報セキュリティ規定群で運用を定義しております。

実40

基礎

VI. 実務基準
3 運行管理(3) プログラムファイル管理

実40 プログラムファイルの管理方法を明確にすること。

情報セキュリティ規定群で運用を定義しております。

実41

基礎

VI. 実務基準
3 運行管理(3) プログラムファイル管理

実41 プログラムファイルのバックアップを確保すること。

情報セキュリティ規定に従い、適切にバックアップを取得しております。

実42

基礎

VI. 実務基準
3 運行管理(4) ネットワーク設定情報管理

実42 ネットワークの設定情報の管理を行うこと。

情報セキュリティ規定に従い、適切にバックアップを取得しております。

実43

基礎

VI. 実務基準
3 運行管理(4) ネットワーク設定情報管理

実43 ネットワークの設定情報のバックアップを確保すること。

情報セキュリティ規定に従い、適切にバックアップを取得しております。

実44

基礎

VI. 実務基準
3 運行管理(5) 運用時ドキュメント管理

実44 運用時のドキュメントの保管管理方法を明確にするこ
情報セキュリティ規定に従い、適切にバックアップを取得しております。
と。

実45

基礎

VI. 実務基準
3 運行管理(5) 運用時ドキュメント管理

実45 災害時の復旧対応に必要なドキュメントのバックアップを確保すること。

©Copyright 2021 bellFace Inc

アクセス失敗回数の閾値を超えた時点でアカウントロックを行う機能を設けております。またアクセス失敗回数によるアカウントロック、およびアクセス失敗、成功に関わらず、監査ログへの記録をログ管理規定にて定義しております。

対象外

パスワードの複雑度制限など対策を講じております。

情報セキュリティ規定に従い、適切にバックアップを取得しております。

2/

実46

基礎

VI. 実務基準
3 運行管理(6) 運行監視実46 システムの運行状況の監視体制を整備すること。

死活、およびサービス監視を行なっております。

実47

基礎

VI. 実務基準
4 各種設備管理(1) 資源管理

実47 各種資源の能力及び使用状況の確認を行うこと。

閾値を設定し直近のトラフィック等に対し十分なキャパシティを有しているか、
閾値を超えた際に増強および負荷分散等の必要な対策を実施しております。

実48

基礎

VI. 実務基準
4 各種設備管理(2) 機器の管理

実48 ハードウェア及びソフトウェアの管理を行うこと。

適切に構成管理を実施しております。

実49

基礎

VI. 実務基準
4 各種設備管理(2) 機器の管理

実49 機器の管理方法を明確にすること。

関係者以外の入室ができないなど必要な対策を講じております。

実50

付加

VI. 実務基準
4 各種設備管理(2) 機器の管理

実50 ネットワーク関連機器の保護措置を講ずること。

適切に保護・管理を実施しております。

実51

基礎

VI. 実務基準
4 各種設備管理(2) 機器の管理

実51 機器の保守方法を明確にすること。

対象外

実52

付加

VI. 実務基準
4 各種設備管理(2) 機器の管理

実52 機器の予防保守を実施すること。

対象外

実53

基礎

VI. 実務基準
4 各種設備管理(3) コンピュータ関連設備の保守
実53 コンピュータ関連設備の管理方法を明確にすること。 対象外
管理

実54

基礎

VI. 実務基準
4 各種設備管理(3) コンピュータ関連設備の保守
実54 コンピュータ関連設備の保守方法を明確にすること。 対象外
管理

実55

基礎

VI. 実務基準
4 各種設備管理(3) コンピュータ関連設備の保守 実55 コンピュータ関連設備の能力及び使用状況の確認を
対象外
管理
行うこと。

実56

基礎

VI. 実務基準
4 各種設備管理(4) 入退館(室)管理

実56 入館(室)の資格付与及び鍵の管理を行うこと。

対象外

実57

基礎

VI. 実務基準
4 各種設備管理(4) 入退館(室)管理

実57 入退館管理を行うこと。

対象外

実58

基礎

VI. 実務基準
4 各種設備管理(4) 入退館(室)管理

実58 入退室管理を行うこと。

対象外

実59

基礎

VI. 実務基準
4 各種設備管理(4) 入退館(室)管理

実59 入室後の作業を管理すること。

対象外

実60

基礎

VI. 実務基準
4 各種設備管理(5) 監視実60 各種設備の監視体制を整備すること。

対象外

実61

基礎

VI. 実務基準
5 システムの利用(1) 取引の管理

実61 各取引の操作権限を明確にすること。

対象外

実62

付加

VI. 実務基準
5 システムの利用(1) 取引の管理

実62 オペレータカードの管理を行うこと。

対象外

実63

基礎

VI. 実務基準
5 システムの利用(1) 取引の管理

実63 取引の端末機操作の内容を記録・検証すること。

対象外

実64

付加

VI. 実務基準
5 システムの利用(1) 取引の管理

実64 顧客からの届出の受付体制を整備し、事故口座の管対象外理を行うこと。

実65

基礎

VI. 実務基準
5 システムの利用(2) 入出力管理

実65 データの入力管理を行うこと。

実66

基礎

VI. 実務基準
5 システムの利用(2) 入出力管理

実66 出力情報の作成、取扱いについて、不正防止及び機適切な対策を講じております。
密保護対策を講ずること。

実67

付加

VI. 実務基準
5 システムの利用(3) 帳票管理

実67 未使用重要帳票の管理方法を明確にすること。

対象外

実68

基礎

VI. 実務基準
5 システムの利用(3) 帳票管理

実68 重要な印字済帳票の取扱方法を明確にすること。

対象外

実69

基礎

VI. 実務基準
5 システムの利用(4) 顧客データ保護

実69 顧客データの保護策を講ずること。

社内規程群に則り適切に管理しております。

実70

基礎

VI. 実務基準
6 緊急時の対応(1) 障害時・災害時対応策

実70 障害時・災害時の関係者への連絡手順を明確にする
インシデントが発生した場合はメールまたは管理画面にて通知いたします。
こと。

実71

基礎

VI. 実務基準
6 緊急時の対応(1) 障害時・災害時対応策

実71 障害時・災害時復旧手順を明確にすること。

インシデント訓練を2021年に実施を予定しております。

実72

基礎

VI. 実務基準
6 緊急時の対応(1) 障害時・災害時対応策

実72 障害の原因を調査・分析すること。

インシデント訓練を2021年に実施を予定しております。

実73

基礎

VI. 実務基準
6 緊急時の対応(2) コンティンジェンシープランの
実73 コンティンジェンシープランを策定すること。
策定

インシデント訓練を2021年に実施を予定しております。

実74

付加

VI. 実務基準
6 緊急時の対応(3) バックアップサイト

実74 バックアップサイトを保有すること。

当社サービスはAWS上で運行しており、AWS規約に従い、適切にバックアップサイトを運用しております。

実75

基礎

VI. 実務基準
7 システム開発・変更(1) システム開発・変更管理

実75 システムの開発・変更手順を明確にすること。

弊社が提供するアプリケーションにおいてはバージョン管理を実施し、過去の変更を管理、リリース前には開発者およびテスト担当によるテスト、リリース
担当者による承認を経てリリースされます。これらについてはリリース手順書が存在します。

実76

基礎

VI. 実務基準
7 システム開発・変更(1) システム開発・変更管理

実76 テスト環境を整備すること。

本番環境とは分離したテスト環境を用意しております。テストデータとして本番データを利用することはありません。

実77

基礎

VI. 実務基準
7 システム開発・変更(1) システム開発・変更管理

実77 本番への移行手順を明確にすること。

本番リリースについては定められた手順にて実施しております。

実78

付加

VI. 実務基準
7 システム開発・変更(2) 開発・変更時ドキュメント管理

実78 開発・変更時のドキュメントの作成手順を明確にする
各種規定に沿って必要なドキュメントを作成しております。
こと。

実79

基礎

VI. 実務基準
7 システム開発・変更(2) 開発・変更時ドキュメント管理

実79 開発・変更時のドキュメントの保管管理方法を明確に
ドキュメント管理ツールにより全ての変更履歴が取得されています。
すること。

実80

付加

VI. 実務基準
7 システム開発・変更(3) パッケージの導入

実80 パッケージの評価体制を整備すること。

システム導入を行う際は、社内の選定基準に則り選定します。

実81

付加

VI. 実務基準
7 システム開発・変更(3) パッケージの導入

実81 パッケージの運用・管理体制を明確にすること。

外部システムでインシデントが発生した場合は、 社内担当者により情報収集する体制があります。

実82

基礎

VI. 実務基準
7 システム開発・変更(4) システムの廃棄

実82 システムの廃棄計画を策定するとともに、廃棄手順を
社内規定に則り、適切に廃棄いたします。
明確にすること。

実82

基礎

VI. 実務基準
7 システム開発・変更(4) システムの廃棄

実82 システムの廃棄計画を策定するとともに、廃棄手順を
社内規定に則り、適切に廃棄いたします。
明確にすること。

実83

基礎

VI. 実務基準
7 システム開発・変更(4) システムの廃棄

実83 システム廃棄時の情報漏洩防止対策を講ずること。

社内規定に則り、適切に廃棄いたします。

実84

付加

VI. 実務基準
8 システムの信頼性向上対策(1) ハードウェアの予備

実84 本体装置の予備を設けること。

AWSの自動フェイルオーバー機能により機器障害発生時のダウンタイムは発生しません。

©Copyright 2021 bellFace Inc

入力管理が必要な場合については適切な対策を講じております。

3/

実85

付加

VI. 実務基準
8 システムの信頼性向上対策(1) ハードウェアの予備

実85 周辺装置の予備を設けること。

対象外

実86

付加

VI. 実務基準
8 システムの信頼性向上対策(1) ハードウェアの予備

実86 通信系装置の予備を設けること。

対象外

実87

付加

VI. 実務基準
8 システムの信頼性向上対策(1) ハードウェアの予備

実87 回線の予備を設けること。

対象外

実88

付加

VI. 実務基準
8 システムの信頼性向上対策(1) ハードウェアの予備

実88 端末系装置の予備を設けること。

対象外

実89

基礎

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

実89 必要となるセキュリティ機能を取り込むこと。

DevSecOpsフレームワークに沿った開発体制を整えております。

実90

基礎

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

品質確保のため、設計作業の標準化およびレビュー、QAチームによるテスト
実90 設計段階におけるソフトウェアの品質を確保すること。 を実施しております。また、影響の大きいリリースについては社内先行リリースした上で本番適用しております。

実91

基礎

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

実91 プログラム作成段階における品質を確保すること。

社内ルールに基づいて品質を確保したプログラム作成を行っております。

実91

基礎

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

実91 プログラム作成段階における品質を確保すること。

基準を満たしたプログラム設計を行っております。

実92

基礎

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

実92 テスト段階におけるソフトウェアの品質を確保すること。

QAによりテスト計画およびテスト仕様書を策定しテストを実施しております。

実93

基礎

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

実93 プログラムの配布を考慮したソフトウェアの信頼性を確保すること。

環境差分を考慮し、チェックを実施しております。

実94

基礎

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

実94 パッケージ導入にあたり、ソフトウェアの品質を確保す
環境差分を考慮し、チェックを実施しております。
ること。

実95

基礎

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

実95 定型的な変更作業時の正確性を確保すること。

定型的な変更作業はオペレーションチームにて手順書を作成した上で実施しております。また、変更履歴を取得しております。

実96

基礎

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

実96 機能の変更、追加作業時の品質を確保すること。

開発に関わるドキュメントおよびコード管理は変更履歴がすべて取得出来るツールを利用しております。

実97

付加

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

実97 ファイルに対する排他制御機能を設けること。

ファイルレベルで排他処理機能が実装されております。

実98

付加

VI. 実務基準
8 システムの信頼性向上対策(2) ソフトウェア等の品質向上対策

実98 ファイル突合機能を設けること。

不自然な挙動があった場合はアラートが上がり、管理者による確認を行いま
す。

実99

付加

VI. 実務基準
8 システムの信頼性向上対策(3) 運用時の信頼性向上対策

実99 オペレーションの自動化、簡略化を図ること。

自動化が可能な運用作業は自動化を行っております。

実100

基礎

VI. 実務基準
8 システムの信頼性向上対策(3) 運用時の信頼性向上対策

実100 オペレーションのチェック機能を充実すること。

システムによるオペレーションミスの防止、ダブルチェックを行うなどの対策を講じております。

実101

基礎

VI. 実務基準
8 システムの信頼性向上対策(3) 運用時の信頼性向上対策

実101 負荷状態の監視制御機能を充実すること。

リソース監視ツールを導入しており、閾値を超えた場合はアラートが上がるた
め担当者による確認をしております。

実102

基礎

VI. 実務基準
8 システムの信頼性向上対策(4) 障害の早期発見・回復機能

実102 システム運用状況の監視機能を設けること。

リソース監視ツールを導入しており、閾値を超えた場合はアラートが上がるた
め担当者による確認をしております。

実103

付加

VI. 実務基準
8 システムの信頼性向上対策(4) 障害の早期発見・回復機能

実103 障害の検出及び障害箇所の切り分け機能を設ける 適切にログを取得し、障害発生時に障害箇所の切り分けができるようにして
こと。
おります。

実104

付加

VI. 実務基準
8 システムの信頼性向上対策(4) 障害の早期発見・回復機能

実104 障害時の縮退・再構成機能を設けること。

AWSの自動フェイルオーバー機能または手動での機能の再構成を実施しま
す。

実105

付加

VI. 実務基準
8 システムの信頼性向上対策(4) 障害の早期発見・回復機能

実105 障害時の取引制限機能を設けること。

接続ナンバー発行、接続については障害発生時、すべての機能を使用することができません。
その他機能については、接続制限(エラー)という形で制限がかかります。

実106

基礎

VI. 実務基準
8 システムの信頼性向上対策(4) 障害の早期発見・回復機能

実106 障害時のリカバリ機能を設けること。

コンフィグ等についてはバージョン管理を実施しており、自動化デプロイ等で速やかに復旧が可能です。
DBのデータ等については、日次バックアップからのリストアを実施いたしま
す。

実107

付加

VI. 実務基準
9 個別業務・サービス(1) カード取引サービス

実107 カードの管理方法を明確にすること。

対象外

実108

付加

VI. 実務基準
9 個別業務・サービス(1) カード取引サービス

実108 カード取引等に関する犯罪について注意喚起を行う
対象外
こと。

実109

付加

VI. 実務基準
9 個別業務・サービス(1) カード取引サービス

実109 CD・ATM等の機械式預貯金取引における正当な権
対象外
限者の取引を確保すること。

実110

付加

VI. 実務基準
9 個別業務・サービス(1) カード取引サービス

実110 指定された口座のカード取引監視方法を明確にする
対象外
こと。

実111

付加

VI. 実務基準
9 個別業務・サービス(1) カード取引サービス

実111 カードの偽造防止対策のための技術的措置を講ず
ること。

実112

付加

VI. 実務基準
9 個別業務・サービス(2) インターネット・モバイルサー 実112 インターネット・モバイルサービスの不正使用を防止
対象外
ビス
すること。

実113

付加

VI. 実務基準
9 個別業務・サービス(2) インターネット・モバイルサー 実113 インターネット・モバイルサービスの使用状況を利用 ログイン/ログオフ日時はCSV出力が可能です。資料のアップロード/ダウン
ビス者が確認できるようにすること。
ロード日時についても随時ユーザー自身でCSV出力が出来ます。

実114

付加

VI. 実務基準
9 個別業務・サービス(2) インターネット・モバイルサー 実114 インターネット・モバイルサービスの安全対策に関す
対象外
ビス
る情報開示をすること。

実115

付加

VI. 実務基準
9 個別業務・サービス(2) インターネット・モバイルサー 実115 インターネット・モバイルサービスの顧客対応方法を対象外ビス明確にすること。

実116

付加

VI. 実務基準
9 個別業務・サービス

以下対策を実施しております。
(2) インターネット・モバイルサー 実116 インターネット・モバイルサービスの運用管理方法を・パスワードを3回間違えたらアカウントをロックアウト
ビス明確にすること。
・接続元IPアドレスによるアクセス制御

実117

付加

VI. 実務基準
9 個別業務・サービス(2) インターネット・モバイルサー 実117 インターネット・モバイルサービスにおいて口座開設
対象外
ビス等を行う場合は、本人確認を行うこと。

実118

付加

VI. 実務基準
9 個別業務・サービス(3) 渉外端末の管理

実118 渉外端末の運用管理方法を明確にすること。

実119

付加

VI. 実務基準
9 個別業務・サービス(4) CD・ATM等及び無人店舗の管理

実119 CD・ATM等及び無人店舗の運用管理方法を明確に対象外し、かつ不正払戻防止の措置を講ずること。

実120

付加

VI. 実務基準
9 個別業務・サービス(4) CD・ATM等及び無人店舗の管理

実120 無人店舗の監視体制を明確にすること。

対象外

実121

付加

VI. 実務基準
9 個別業務・サービス(4) CD・ATM等及び無人店舗の管理

実121 無人店舗の防犯体制を明確にすること。

対象外

実122

付加

VI. 実務基準
9 個別業務・サービス(4) CD・ATM等及び無人店舗の管理

実122 無人店舗の障害時・災害時の対応方法を明確にす
ること。

対象外

©Copyright 2021 bellFace Inc

対象外

会社支給ノートパソコンと携帯電話は個人に紐付けて貸与しております。

4/

実123

付加

VI. 実務基準
9 個別業務・サービス(4) CD・ATM等及び無人店舗の管理

実123 無人店舗の関係マニュアルの整備を行うこと。

対象外

実124

付加

VI. 実務基準
9 個別業務・サービス(4) CD・ATM等及び無人店舗の管理

実124 CD・ATM等の遠隔制御機能を設けること。

対象外

実125

付加

VI. 実務基準
9 個別業務・サービス(5) インストアブランチ

実125 インストアブランチの出店先の選定基準を明確にす
ること。

対象外

実126

付加

VI. 実務基準
9 個別業務・サービス(6) コンビニATM

実126 コンビニATMの出店先の選定基準を明確にするこ
と。

対象外

実127

付加

VI. 実務基準
9 個別業務・サービス(6) コンビニATM

実127 コンビニATMの現金装填等メンテナンス時の防犯対対象外策を講じること。

実128

付加

VI. 実務基準
9 個別業務・サービス(6) コンビニATM

実128 コンビニATMの障害時・災害時対応手順を明確にす
対象外
ること。

実129

付加

VI. 実務基準
9 個別業務・サービス(6) コンビニATM

実129 コンビニATMのネットワーク関連機器、伝送データの対象外
安全対策を講ずること。

実130

付加

VI. 実務基準
9 個別業務・サービス(6) コンビニATM

実130 コンビニATMの所轄の警察及び警備会社等関係者との連絡体制を確立すること。

実131

付加

VI. 実務基準
9 個別業務・サービス(6) コンビニATM

実131 コンビニATMの顧客に対して犯罪に関する注意喚起
対象外を行うこと。

実132

付加

VI. 実務基準
9 個別業務・サービス(7) デビットカード・サービス

実132 デビットカード・サービスにおける安全対策を講ずる
対象外
こと。

実133

付加

VI. 実務基準
9 個別業務・サービス(7) デビットカード・サービス

実133 デビットカードの口座番号、暗証番号等の安全性を確保すること。

実134

付加

VI. 実務基準
9 個別業務・サービス(7) デビットカード・サービス

実134 デビットカード利用時の顧客保護の措置を講ずるこ
対象外
と。

実135

付加

VI. 実務基準
9 個別業務・サービス(7) デビットカード・サービス

実135 デビットカード利用上の留意事項を顧客に注意喚起
対象外
すること。

実136

付加

VI. 実務基準
9 個別業務・サービス(8) 前払式支払手段

実136 前払式支払手段における機器及び媒体の盗難、破損等に伴い、利用者が被る可能性がある損失及び責任を 対象外
明示すること。

実137

付加

VI. 実務基準
9 個別業務・サービス(8) 前払式支払手段

実137 前払式支払手段における電子的価値の保護機能、
対象外
または不正検知の仕組みを設けること。

実138

付加

VI. 実務基準
9 個別業務・サービス(9) 電子メール・イントラネットの利用

実138 電子メールの運用方針を明確にすること。

電子メールの利用に関して基準の対策を講じている

実139

付加

VI. 実務基準
9 個別業務・サービス(9) 電子メール・イントラネットの利用

実139 電子メール送受信、ホームページ閲覧等の不正使用防止機能を設けること。

パスワードによる認証だけでなく、多要素認証を用いて、本人であることの強化を行っております。
ホームページ閲覧等については、PC端末にエージェントをインストールし、適切に監視、管理を行っております。

実140

付加

VI. 実務基準
9 個別業務・サービス(10) 生体認証

実140 生体認証における生体認証情報の安全管理措置を対象外講ずること。

実141

付加

VI. 実務基準
9 個別業務・サービス(10) 生体認証

実141 生体認証の特性を考慮し、必要な安全対策を検討す
対象外
ること。

監1

基礎

VIII. 監査基準
1 システム監査(1) システム監査

監1 システム監査体制を整備すること。

©Copyright 2021 bellFace Inc

対象外

対象外

監査体制を整備しております。

5/