金融機関等コンピュータシステムの安全対策基準・解説書（第9版）

2019年12月05日※ガイドラインの中でChatworkが対象な項目のみ記載しております。
基準大項目

中項目

項番
統1

方針・計画

統2
統3

小項目
システムの安全対策に係る重要事項を定めた規程を整備すること。
中長期的視点に立ったシステムの企画・開発・運用に関する計画を策定すること。
システム開発計画は中長期システム計画との整合性を確認するとともに、承認を得ること。

統4

セキュリティ管理体制を整備すること。

統5

サイバー攻撃対応態勢を整備すること。

統6

システム管理体制を整備すること。

統7

データ管理体制を整備すること。

統8

ネットワーク管理体制を整備すること。

統12

各種業務の規則を整備すること。

統13

セキュリティ遵守状況の確認すること。

統14

セキュリティ教育を行うこと。

統15要員に対するスキルアップ教育を行うこと。

統16

障害時・災害時に備えた教育・訓練を行うこと。

統17

防災・防犯訓練を行うこと。

統18

要員の人事管理を行うこと。

統19

要員の健康管理を行うこと。

組織体制

1.内部の統制

管理状況の評価

人材(要員・教育)

Chatwork対応状況
Chatworkは、組織的に中長期的視点に立ったサービスの計画を策定し経営層の承認を得ています。また安全対策に係る重要事項は規定した手順に則って計画に組み込むが、緊急性が高いものが発見された場合は速やかに対応を行います。

Chatworkは、組織的な情報セキュリティ体制を構築・運用しており、サイバー攻撃を含むインシデント管理体制を含む整備しています。
定期的に独立した外部の専門機関(ISO審査機関等)により、組織体制の維持の確認を行っています。

Chatworkは、定期的に社内でセキュリティの遵守状況を確認すると共に、独立した外部の専門機関(ISO審査機関等)により、セキュリティの遵守状況の確認を行っています。

Chatworkは、全ての要員に対して入社時の研修を始め、要員のスキルアップ、セキュリティ、コンプライアンスの遵守を確実にするため定期的な教育を行っています。
Chatworkは、要員が心身共に健やかに業務に取り組めるために健康面を含めた要員管理を行っています。

金融機関等コンピュータシステムの安全対策基準・解説書（第9版）

2019年12月05日※ガイドラインの中でChatworkが対象な項目のみ記載しております。
基準大項目

中項目

項番
統20

外部委託管理

統21
統22
統23

2.外部の統制

クラウドサービスの統24
利用
共同センター

統25

金融機関道後のシ
ステム・ネットワー 統26
クのサービス

データ保護

不正使用防止小項目
外部委託を行う場合は、事前に目的、範囲等を明確にするとともに、外部委託先選定の手続きを明確にすること。
外部委託先と安全対策に関する項目を盛込んだ契約を締結すること。
外部委託先の要員にルールを遵守させ、その遵守状況を確認すること。
外部委託における管理体制を整備し、委託業務の遂行状況を確認すること。
クラウドサービスを利用する場合は、クラウドサービス固有のリスクを考慮した安全対策を講ずること。
共同センターにおける緊急事態の発生に備えて安全対策を講ずること。
金融機関相互のシステム・ネットワークのサービス利用にあたっては、適切なリスク管理を行うこと。

実1

暗証番号・パスワード等は他人に知られないための対策を講ずること。

実2

相手端末確認機能を設けること。

実3

蓄積データの漏洩防止策を講ずること。

実4

伝送データの漏洩防止策を講ずること。

実5

ファイルに対するアクセス制御機能を設けること。

実6

不良データ検出機能を充実すること。

実7

伝送データの改ざん検知策を講ずること。

実8

本人確認機能を設けること。

実9

IDの不正使用防止機能を設けること。

Chatwork対応状況

Chatworkは、外部委託を行う際には事前に委託先の情報セキュリティ状況を確認し、委託時には必ず秘密保持を含んだ契約を締結します。
Chatworkは、契約締結後の定期的に委託先の管理体制や情報セキュリティ状況を確認し、引き続き当社の委託先をとして相応しいか確認しています。

Chatworkは、クラウドサービスを利用する場合には、データの保管国や責任境界を明確にするなど、ISO27017を考慮したクラウドサービス固有のリスクを評価してから利用を開始します。
Chatworkは、緊急事態の発生に備えて十分な対策を備えているデータセンターを使用しています。
Chatworkは、外部に公開しているAPI以外の連携は行いません。

Chatworkは、データの漏洩、滅失、改竄等のリスクから保護するために暗号化やアクセス制御を始めとする各種の対策を実施しており、処理の結果としてのログ情報も適切に保管しています。

Chatworkは、なりすまし等の不正使用を防止するために、ID、パスワードによる本人確認機能や、不正使用検知、アクセスの制限機能などの対策を実施しており、万一の不正使用発生時には、パスワードのリセット処理機能も備えています。

金融機関等コンピュータシステムの安全対策基準・解説書（第9版）

2019年12月05日※ガイドラインの中でChatworkが対象な項目のみ記載しております。
基準大項目

中項目
不正使用防止項番

小項目

Chatwork対応状況

実10

アクセス履歴を管理すること。

実11

取引制限機能を設けること。

実12

事故時の取引禁止機能を設けること。
電子化された暗号鍵を蓄積する機器、媒体、またはそこに含まれるソフトウェアには、暗号鍵の保護機能を設けること。

Chatworkは、なりすまし等の不正使用を防止するために、ID、パスワードによる本人確認機能や、不正使用検知、アクセスの制限機能などの対策を実施しており、万一の不正使用発生時には、パスワードのリセット処理機能も備えています。

実13

実14

1.情報セキュリティ

外部ネットワークからの不正侵入防止機能を設けること。

外部ネットワークからの不正アクセス防止

不正検知策

Chatworkは、外部ネットワークからのアクセスは必要最小限に制限しています。
実15

外部ネットワークからアクセス可能な接続機器は必要最小限にすること。

実16

不正アクセスの監視機能を設けること。

実17

異常な取引状況を把握するための機能を設けること。

実18

異例取引の監視機能を設けること。

Chatworkは、不正アクセス等の不正使用が行わないようににログ情報を取得しており、不正が疑われる処理は速やかに対応する体制を整えています。

金融機関等コンピュータシステムの安全対策基準・解説書（第9版）

2019年12月05日※ガイドラインの中でChatworkが対象な項目のみ記載しております。
基準大項目

中項目

項番

不正発生時の対応
実19
策実20
不正プログラム対策

実21
実22

実23

小項目

Chatwork対応状況

不正アクセスの発生に備えて対応策、復旧策を講じておくこと。

Chatworkは、不正発生時の対策・対応手順を定めており、事故発生時には手順に則って対応する体制を整えています。
Chatworkは、事故発生時の復旧処理は、可能な限り自動的に処理が実行される仕組みを構築しています。

コンピュータウイルス等不正プログラムへの防御対策を講ずること。
コンピュータウイルス等不正プログラムの検知対策を講ずること。
コンピュータウイルス等不正プログラムによる被害時対策を講ずること。

Chatworkは、全ての従業員のPCにウイルス対策をソフトを導入し、常に最新の状態を維持しています。

通常時マニュアルを整備すること。
Chatworkは、通常時、非常時などの手順をマニュアル化し、社内の関係者がいつでも閲覧できる状態にしています。
Chatworkは、ISO27001に則って常にマニュアルが最新化していることを確認しています。

マニュアルの整備

実24

実25
アクセス権限の管理

実26
実27

障害時・災害時マニュアルを整備すること。

各種資源、システムへのアクセス権限を明確にすること。
パスワードが他人に知られないための措置を講じておくこと。
各種資源、システムへのアクセス権限の取得・見直しの手続きを明確にすること。

Chatworkは、各種資源へは必要最小限のアクセスに制限しており、アクセス権の付与には社内で定められた手順によって適切な承認を得た後に実施します。
Chatworkは、ISO27001に則ってパスワードの運用ルールを定めて、遵守状況を定期的に確認しています。

金融機関等コンピュータシステムの安全対策基準・解説書（第9版）

2019年12月05日※ガイドラインの中でChatworkが対象な項目のみ記載しております。
基準大項目

中項目

項番

小項目

実28

データファイルの授受、管理方法を明確にすること。

実29

データファイルの修正管理方法を明確にすること。

実30

暗号鍵の利用において運用管理方法を明確にすること。

Chatwork対応状況

2.システム運用共通

データ管理

オペレーション習熟 実31

オペレーション習熟のための教育および訓練を行うこと。

コンピュータウイル
ス対策

実32

コンピュータウイルス対策を講ずること。

実33

接続契約内容を明確にすること。

外部接続管理Chatworkは、暗号鍵やデータファイルの管理方法を明確にして、セキュアな状態で授受、保管をしています。
Chatworkは、特定のデータファイルは変更・修正の記録を全て取得する運用をしています。

Chatworkは、全ての要員に対して入社時の研修を始め、要員のスキルアップ、セキュリティ、コンプライアンスの遵守を確実にするため定期的な教育を行っています。
Chatworkは、全ての従業員のPCにウイルス対策をソフトを導入し、常に最新の状態を維持しています。
Chatworkは、外部接続を行う際には、契約内容の確認等を行い許可されない接続を行わない運用を行っています。
Chatworkは、外部接続を行う際には、必要によって利用制限を授けたり、利用手順を作成したりする。

金融機関等コンピュータシステムの安全対策基準・解説書（第9版）※ガイドラインの中でChatworkが対象な項目のみ記載しております。
基準大項目

中項目
外部接続管理

項番

小項目

実34

外部接続における運用管理方法を明確にすること。

3.運行管理Chatworkは、データの種類によって運用に必要な世代のバックアップを取得しています。

実40

管理方法を明確にすること。

Chatworkは、プログラムファイルは全世代を定めた管理方法を保管しています。

実41

バックアップを確保すること。

実42

ネットワークの設定情報の管理を行うこと。

ネットワーク設定情報管理

運用時ドキュメント
管理

Chatworkは、社内の許可を受けた一部のメンバーのみでネットワーク設定情報を管理しており、ネットワーク設定情報のバックアップも取得しています。
実43

ネットワークの設定情報のバックアップを確保すること。

実44

運用時のドキュメントの保管管理方法を明確にすること。

実45
運行監視

実46

資源管理

実47

機器の管理

実48

取引の管理

実64

入出力管理

実66

災害時の復旧対応に必要なドキュメントのバックアップを確保すること。
システムの運行状況の監視体制を整備すること。
各種資源の能力及び使用状況の確認を行うこと。

4.各種設備管理

実67

5.システムの利用

Chatworkは、外部接続を行う際には、契約内容の確認等を行い許可されない
Chatwork対応状況接続を行わない運用を行っています。
Chatworkは、外部接続を行う際には、必要によって利用制限を授けたり、利用手順を作成したりする。

データファイルのバックアップを確保すること。

データファイル管理 実39
プログラムファイル管理2019年12月05日

帳票管理
実68

ハードウェア・ソフトウェアの管理を行うこと。
顧客からの届出の受付体制を整備し、事故口座の管理を行うこと。
出力情報の作成、取扱いについて、不正防止及び機密保護対策を講ずること。
未使用重要帳票の管理方法を明確にすること。
重要な印字済帳票の取扱方法を明確にすること。

Chatworkは、サービスに必要なドキュメントを社内で管理しており、全ての変更履歴を取得しています。
Chatworkは、ドキュメントへのアクセス権は必要最小限に絞って個別に付与しています。
Chatworkは、システムの運用状況の監視体制を整備しています。
Chatworkは、各種資源の運用状況を常時監視しており、異常があると直ぐに検知出来る体制を構築しています。
Chatworkは、社内の担当者によってハードウェア、ソフトウェアの管理を行っています。
Chatworkは、ISO27001に則って常にハードウェア、ソフトウェアの管理状態が最新化していることを確認しています。
Chatworkは、利用者からの連絡窓口を設置して運営しています。
Chatworkは、ISO27001に則ってデータの出力情報の制限などの対策を実施しています。
Chatworkは、ISO27001に則ってデータの出力情報の制限などの対策を実施しています。

金融機関等コンピュータシステムの安全対策基準・解説書（第9版）
5.システムの利用

2019年12月05日※ガイドラインの中でChatworkが対象な項目のみ記載しております。
基準大項目

6.緊急時の対応

中項目

項番

小項目

顧客データ保護実69

顧客データの保護策を講ずること。

実70

障害時・災害時の関係者への連絡手順を明確にすること。

障害時・災害時対応策

コンティンジェンシープランの策定

システム開発・変更管理

実71

障害時・災害時復旧手順を明確にすること。

実72

障害の原因を調査・分析すること。

実73

コンティンジェンシープランを策定すること。

実75

システムの開発・変更手順を明確にすること。

実76

テスト環境を整備すること。

実77

本番への移行手順を明確にすること。

実78

開発・変更時の作成手順を定めること。

開発・変更時ドキュメント管理

7.システム開発・変更

実79

開発・変更時の保管管理方法を明確にする
こと。

実80

パッケージの評価体制を整備すること。

実81

パッケージの運用・管理体制を明確にすること。

実82

システムの廃棄計画を策定するとともに、廃棄手順を明確にすること。

パッケージの導入

システムの廃棄

Chatwork対応状況Chatworkは、ISO27001に則って顧客データの取扱ルールを定めて実施しています。

Chatworkは、障害時・災害時の対策・対応手順を定めており、発生時には手順に則って対応する体制を整えています。
Chatworkは、障害時・災害時の復旧処理は、可能な限り自動的に処理が実行される仕組みを構築しています。
Chatworkは、障害が発生した際には全ての記録を取得して、再発防止に繋げる運用体制を構築しています。

Chatworkは、ISO27001に従ってコンティンジェンシープランを策定しています。

Chatworkは、ISO27001に従ってシステム開発・変更管理を行っています。

Chatworkは、ISO27001に従ってシステム開発・変更管理を行っています。
Chatworkは、ドキュメントを変更する手順を定めて、適切な承認を得る体制を構築しています。

Chatworkは、パッケージを導入する際の手順を定めて、適切な承認を得た後にパッケージを使用する運用を行っています。

Chatworkは、不要となったシステムを廃棄する手順を定めて、廃棄時に情報漏洩が起きない対策を講じています。
Chatworkは、利用者に影響がある廃棄・変更を行う場合は、事前に利用者に周知を行います。

7.システム開発・変更

金融機関等コンピュータシステムの安全対策基準・解説書（第9版）※ガイドラインの中でChatworkが対象な項目のみ記載しております。
基準大項目

中項目
システムの廃棄項番

小項目

実83

システム廃棄時の情報漏洩防止対策を講ずること。

実89必要となるセキュリティ機能を取り込むこと。

実90
実91
実92
ソフトウェア等の品質向上対策

実93
実94
実95
実96
実97
実98
実99

運用時の信頼性向
上対策
実100

設計段階におけるソフトウェアの品質を確保すること。
プログラム作成段階における品質を確保すること。
テスト段階でのソフトウェアの品質を確保すること。
プログラムの配布を考慮したソフトウェアの信頼性を確保すること。
パッケージ導入にあたり、ソフトウェアの品質を確保すること。
定型的な変更作業時の正確性を確保すること。
機能の変更、追加作業時の品質を確保すること。
ファイルに対する排他制御機能を設けること。
ファイル突合機能を設けること。
オペレーションの自動化、簡略化を図ること。

実101

オペレーションのチェック機能を充実すること。
負荷状態の監視制御機能を充実すること。

実102

システム運用状況の監視機能を設けること。

2019年12月05日
Chatworkは、不要となったシステムを廃棄する手順を定めて、廃棄時に情報漏
Chatwork対応状況洩が起きない対策を講じています。
Chatworkは、利用者に影響がある廃棄・変更を行う場合は、事前に利用者に周知を行います。

Chatworkは、ISO27001に従ってセキュリティ要件の仕様化や品質のモニタリング、変更管理行っています。利用者に影響を与えるサービスの変更は徹底的な検証・試験及び充分な情報提供がなされるようになっています。
Chatworkは、実97の対策は、ファイル単位での排他制御が必要となる対象が存在しないため実施を行っていません。

Chatworkは、可能な限りオペレーションを自動化してミスを最小限にする運用を行っています。
Chatworkは、各種資源の運用状況を常時監視しており、異常があると直ぐに検知出来る体制を構築しています。

8.システムの信頼性向上対策

Chatworkは、各種資源の運用状況を常時監視しており、異常があると直ぐに検金融機関等コンピュータシステムの安全対策基準・解説書（第9版）※ガイドラインの中でChatworkが対象な項目のみ記載しております。
8.システムの信頼性向上対策
基準大項目
中項目
項番
小項目

実103

2019年12月05日
Chatwork対応状況

障害の検出および障害箇所の切り分け機能を設けること。

Chatworkは、各種資源の運用状況を常時監視しており、異常があると直ぐに検知出来る体制を構築しています。
障害の早期発見・早期回復機能

カード取引サービス

実104

障害時の縮退・再構成機能を設けること。

実105

障害時の取引制限機能を設けること。

実106

障害時のリカバリ機能を設けること。

実109

CD・ATM等の機械式預貯金取引における正当な権限者の取引を確保すること。

実112

インターネット・モバイルサービスの不正使用を防止すること。

実113
インターネット・モ
バイルサービス

実114
実115
実116

インターネット・モバイルサービスの不正使用を早期発見すること。
インターネット・モバイルサービスの安全管理対策に関する情報を開示をすること。
インターネット・モバイルサービスの顧客対応方法を明確にすること。
インターネット・モバイルサービスの運用管理方法を明確にすること。

Chatworkは、障害時・災害時の対策・対応手順を定めており、発生時には手順に則って対応する体制を整えています。
Chatworkは、障害時・災害時の復旧処理は、可能な限り自動的に処理が実行される仕組みを構築しています。

Chatworkは、IDとパスワードで本人確認を行っています。
Chatworkは、なりすまし対策を行っており、不正が疑われる処理は速やかに対応する体制を整えています。

Chatworkは、ISO27001、ISO27017、ISO27018に従って適切なインターネット・モバイルサービスの安全管理対策を実施し、実施助教をWebサイトで外部に公開しています。
Chatworkは、実117の対策は、口座開設を行っていないため実施を行っていません。

インターネット・モ

金融機関等コンピュータシステムの安全対策基準・解説書（第9版）
バイルサービス※ガイドラインの中でChatworkが対象な項目のみ記載しております。
基準大項目

中項目

項番
実117
実136

9.個別業務・サービス

前払式支払手段実137

電子メール・イント
ラネットの利用

小項目
インターネット・モバイルサービスにおいて口座開設等を行う場合は、本人確認を行うこと。
前払式支払手段における機器及び媒体の盗難、破損等に伴い、利用者が被る可能性がある損失及び責任を明示すること。
前払式支払手段における電子的価値の保護機能、または不正検知の仕組みを設けること。

システム監査Chatworkは、データの漏洩、紛失等により利用者が被る被害や責任境界を利用規約に明記しています。
Chatworkは、アカウント権限に応じて厳重な管理方法で認証情報を保護しています。

実138

電子メールの運用方針を明確にすること。

Chatworkは、ISO27001に従って電子的コミュニケーションの運用方法を明確にして文書化しています。

実139

電子メール送受信、ホームページ閲覧等の不正使用防止機能を設けること。

Chatworkは、不正使用防止機能を設置して運用しています。

実140

生体認証における生体認証情報の安全管理措置を講ずること。
Chatworkは、現状では生体認証を用いずにID、パスワードのみの認証を行っている。

生体認証

1.システム監査

Chatworkは、ISO27001、ISO27017、ISO27018に従って適切なインターネット・モバイルサービスの安全管理対策を実施し、実施助教をWebサイトで外部に公開しています。
2019年12月05日
Chatworkは、実117の対策は、口座開設を行っていないため実施を行っていません。
Chatwork対応状況

実141

生体認証の特性を考慮し、必要な安全対策を検討すること。

監1

システム監査体制を整備すること。

Chatworkは、定期的に社内でセキュリティの遵守状況を確認すると共に、独立した外部の専門機関(ISO審査機関等)により、セキュリティの遵守状況の確認を行っています。