日本語版の提供について
本書は、Cloud Security Allianceより提供されている「Cloud Control Matrix3.0.1」の日本語版で、原文をそのまま翻訳しています。
従いまして、日本独自の法令や基準に関する記述は含まれておりません。
原文と日本語版の内容に相違があった場合には、原文が優先されます。
また、この翻訳版は予告なく変更される場合があります。
以下の変更履歴（日付、バージョン、変更内容）をご確認ください。
変更履歴
日付
2014年11月16日
2015年7月13日
2016年4月5日

バージョン
日本語バージョン1.0
日本語バージョン1.0
日本語バージョン1.1

変更内容
Disclaimerを追記。
2016年3月18日版（27002,27017,27018マッピングを含む変更）にそって記述の見直しを実施。

日本クラウドセキュリティアライアンスに関する情報は、以下のURLより参照してください。
http://cloudsecurityalliance.jp

CLOUD CONTROLS MATRIX VERSION 3.0.1

Control Domain

CCM V3.0
Control ID

Updated Control Specification

日本語訳

Application & Interface
Security
Application Security
アプリケーションとイン
ターフェースセキュリティ
アプリケーションセキュリ
ティ

AIS-01

Applications and programming interfaces (APIs) shall be
designed, developed, deployed, and tested in accordancewith leading industry standards (e.g., OWASP for web
applications) and adhere to applicable legal, statutory, or
regulatory compliance obligations.

アプリケーションプログラミングインタフェース（API）は、業界の認める標準（たとえばWebアプリケーションの場合、OWASPなど）に従って、設計、開発及び導入しなければならない。また、APIは該当する法的及び規制上の遵守義務に従わなければならない。

Application & Interface
Security
Customer Access
Requirements
アプリケーションとイン
ターフェースセキュリティ
顧客アクセス要求AIS-02

Prior to granting customers access to data, assets, andinformation systems, identified security, contractual, andregulatory requirements for customer access shall be
addressed.

データ、資産、情報システムへの顧客のアクセスを許可する前に、顧客のアクセスに関して特定されたセキュリティ上、契約上、及び規制上の要求事項を把握していなければならない。

Application & Interface
Security
Data Integrity
アプリケーションとイン
ターフェースセキュリティ
データの完全性

AIS-03

Data input and output integrity routines (i.e., reconciliationand edit checks) shall be implemented for applicationinterfaces and databases to prevent manual or systematic
processing errors, corruption of data, or misuse.

手動またはシステムによる処理エラー、データ破損、または誤用が発生しないようにするために、アプリケーションインタフェース及びデータベースには、データの入出力の完全性チェックルーチン（マッチングやエディットチェックなど）を実装しなければならない。

Application & Interface
Security
Data Security / Integrity
アプリケーションとイン
ターフェースセキュリティ
データセキュリティ/完全性

AIS-04

Policies and procedures shall be established and maintained 不正な開示、改ざんまたは破壊を防ぐために、複数のシステムイン
in support of data security to include (confidentiality, integrity, タフェース、司法管轄、商取引を構成する機能をまたがって（機密性、完全性、可用性）を含むデータのセキュリティを確保するようこ
and availability) across multiple system interfaces,とができるポリシー及び手順を確立し維持しなければならない。
jurisdictions, and business functions to prevent improper
disclosure, alteration, or destruction.

監査計画は、ビジネスプロセスの中断を把握するために開発され維持されなければならない。監査計画は、セキュリティ運用の効果的な実装のレビューにフォーカスしなければならない。すべての監査活動は、監査を実施する前に同意を得なければならない。

Audit Assurance &Compliance
Audit Planning
監査保証とコンプライア
ンス
監査計画

AAC-01

Audit plans shall be developed and maintained to address
business process disruptions. Auditing plans shall focus onreviewing the effectiveness of the implementation of security
operations. All audit activities must be agreed upon prior to
executing any audits.

Audit Assurance &ComplianceIndependent Audits
監査保証とコンプライア
ンス
独立した監査AAC-02

Independent reviews and assessments shall be performed at 独立したレビュー及び評価を、少なくとも年に1回実施し、設定されたポリシー、基準、手順、ならびに遵守義務への不適合について、
least annually to ensure that the organization addresses
組織が確実に把握できるようにしなければならない。
nonconformities of established policies, standards,
procedures, and compliance obligations.

Audit Assurance &Compliance
Information System
Regulatory Mapping
監査保証とコンプライア
ンス
情報システムに関する規制の把握

AAC-03

Organizations shall create and maintain a control framework 組織は、業務の必要性に関連した基準、規制、法律、法定要件を網羅するコントロールフレームワークを作成し維持しなければなら
which captures standards, regulatory, legal, and statutory
requirements relevant for their business needs. The control ない。コントロールフレームワークは、ビジネスプロセスに影響を及ぼす変更が反映されていることを確実にするために、少なくとも年1framework shall be reviewed at least annually to ensure
回レビューされなければならない。
changes that could affect the business processes arereflected.

Business Continuity
Management &Operational Resilience
Business Continuity
Planning
事業継続管理と運用
レジリエンス
事業継続計画

BCR-01

すべての事業継続計画が、検査、保守及び情報セキュリティの要
A consistent unified framework for business continuity
求事項に関する優先順位の特定について一貫性を持つように、事planning and plan development shall be established,documented, and adopted to ensure all business continuity 業継続計画立案及び計画作成のための一貫性のある統一された枠組みを確立し、文書化し、採用しなければならない。事業継続計
plans are consistent in addressing priorities for testing,
画の要求事項には、以下が含まれる。
maintenance, and information security requirements.
・関連する依存関係に従った目的及び範囲の定義
Requirements for business continuity plans include the・計画の利用者が理解し利用できるようにすること
following:・（一人または複数の）指名された責任者（オーナー）が計画のレ• Defined purpose and scope, aligned with relevant
ビュー、更新及び承認に責任を負うこと・伝達経路、役割及び責任の定義
dependencies• Accessible to and understood by those who will use them ・詳細な復旧の手順、手動による回避策及び参考情報• Owned by a named person(s) who is responsible for their ・計画発動の手順
review, update, and approval• Defined lines of communication, roles, and responsibilities• Detailed recovery procedures, manual work-around, andreference information• Method for plan invocation

Business Continuity
Management &Operational Resilience
Business Continuity
Testing
事業継続管理と運用
レジリエンス
事業継続テスト

BCR-02

事業継続計画及びセキュリティインシデント対応計画は、事前に定Business continuity and security incident response plans
められた間隔で、または組織及び環境の重大な変化に合わせて検shall be subject to testing at planned intervals or uponsignificant organizational or environmental changes. Incident 証されなければならない。インシデント対応計画には、影響を受ける顧客（テナント）、及び重要なサプライチェーン内の事業プロセス
response plans shall involve impacted customers (tenant)の依存関係をになうその他の取引関係先を関与させなければならand other business relationships that represent critical intraない。
supply chain business process dependencies.

Business Continuity
Management &Operational Resilience
Datacenter Utilities /Environmental
Conditions
事業継続管理と運用
レジリエンス
データセンタのユーティ
リティ / 環境状態

BCR-03

Datacenter utilities services and environmental conditions(e.g., water, power, temperature and humidity controls,
telecommunications, and internet connectivity) shall be
secured, monitored, maintained, and tested for continual
effectiveness at planned intervals to ensure protection fromunauthorized interception or damage, and designed with
automated fail-over or other redundancies in the event ofplanned or unplanned disruptions.

不正な妨害または損害から保護することを目的として、あらかじめ定められた間隔でデータセンター設備サービス及び環境状況（水、電力、温度及び湿度管理、通信、インターネット接続など）の安全を確保し、監視し、維持し、有効性が継続していることを確認しなければならない。また、予想されるまたは予想外の事態に備えて、自動フェールオーバーまたはその他の冗長性を持った設計を行わなければならない。

Business Continuity
Management &Operational Resilience
Documentation
事業継続管理と運用
レジリエンス
文書

BCR-04

Information system documentation (e.g., administrator anduser guides, and architecture diagrams) shall be madeavailable to authorized personnel to ensure the following:• Configuring, installing, and operating the information
system• Effectively using the system’s security features

情報システムに関する文書（管理者ガイド、ユーザガイド、アーキテ
クチャー図など）は、権限を持った人が次の事項を確実に実施するために、利用できなければならない：
・情報システムの設定、インストール及び運用・システムのセキュリティ機能の有効利用

Business Continuity
Management &Operational Resilience
Environmental Risks
事業継続管理と運用
レジリエンス
環境リスク

BCR-05Business Continuity
Management &Operational Resilience
Equipment Location
事業継続管理と運用
レジリエンス
機器の位置

BCR-06

Physical protection against damage from natural causes and 自然災害や故意による攻撃（火災、洪水、静電気あるいは雷、太陽
disasters, as well as deliberate attacks, including fire, flood, によって誘発される磁気嵐、風、地震、津波、爆発、原子力事故、
atmospheric electrical discharge, solar induced geomagnetic 火山活動、バイオハザード、市民暴動、土砂災害、地殻運動、その他の自然または人的災害）による被害に対する物理的保護を想定
storm, wind, earthquake, tsunami, explosion, nuclear
し、設計し、対応策を適用しなければならない。
accident, volcanic activity, biological hazard, civil unrest,
mudslide, tectonic activity, and other forms of natural or
man-made disaster shall be anticipated, designed, and havecountermeasures applied.
環境上の脅威、危険、及び権限を持たないアクセスの機会によるリ
To reduce the risks from environmental threats, hazards,
and opportunities for unauthorized access, equipment shall スクを軽減するために、設備を環境上のリスクの高い場所から隔離し、妥当な距離をとった位置に予備の設備を備えることでこれを補
be kept away from locations subject to high probability
強しなければならない。
environmental risks and supplemented by redundantequipment located at a reasonable distance.

Business Continuity
Management &Operational Resilience
Equipment
Maintenance
事業継続管理と運用
レジリエンス
機器のメンテナンス

BCR-07

Business Continuity
Management &Operational Resilience
Equipment Power
Failures
事業継続管理と運用
レジリエンス
機器の停電

BCR-08

防御手段は、地理的に固有のビジネスインパクト評価（BIA)に基づ
Protection measures shall be put into place to react tonatural and man-made threats based upon a geographically- いて、自然及び人的な脅威に対処できるように実地に適用しなければならない。
specific business impact assessment.

Business Continuity
Management &Operational Resilience
Impact Analysis
事業継続管理と運用
レジリエンス
影響解析

BCR-09

事業中断が組織（クラウドプロバイダ、クラウド利用者）に与える影
There shall be a defined and documented method for
determining the impact of any disruption to the organization 響を判断するための手段を定義し文書化しておかなければならな(cloud provider, cloud consumer) that must incorporate the い。これには、以下の事項が含まれる。
• 重要な製品及びサービスの特定
following:•プロセス、アプリケーション、事業パートナー、サードパーティサー• Identify critical products and services
ビスプロバイダなど、すべての依存関係の特定• Identify all dependencies, including processes,•重要な製品及びサービスへの脅威の把握
applications, business partners, and third party service•予想されたまたは予想外の事業中断による影響の確認及び時間
providers
経過に伴うこれらの影響の変化の確認• Understand threats to critical products and services• 最大許容停止時間の設定• Determine impacts resulting from planned or unplanned• 復旧の優先順位の設定
disruptions and how these vary over time
•最大許容停止時間内に重要な製品及びサービスを再開するため• Establish the maximum tolerable period for disruptionの目標復旧時間の設定• Establish priorities for recovery• 再開に必要な資源の見積もり• Establish recovery time objectives for resumption of criticalproducts and services within their maximum tolerable period

Policies and procedures shall be established, and supporting システムの運用の継続性と保守要員の確保を確実にするため、機business processes and technical measures implemented, 器の保守に関する方針及び手順を確立し、これらを補強するための業務プロセス及び技術的対策を実装しなければならない。
for equipment maintenance ensuring continuity andavailability of operations and support personnel.

Business Continuity
Management &Operational Resilience
Policy
事業継続管理と運用
レジリエンスポリシー

BCR-10

Policies and procedures shall be established, and supporting 業界によって受け入れられるような標準（ITIL v4、COBIT 5など）
business processes and technical measures implemented, に基づいて事業部門、従業員、顧客を支援する組織のIT機能を適切に計画し、提供し、支援することを目的として、適切なITガバナン
for appropriate IT governance and service management to
ス及びサービス管理のためのポリシー及び手順を確立し、これらを
ensure appropriate planning, delivery, and support of the
補強するための業務プロセス及び技術的対策を実装しなければな
organization's IT capabilities supporting business functions,
らない。さらに、ポリシーと手順では、（必要な）役割と責任を定義
workforce, and/or customers based on industry acceptable し、定期的な従業員訓練によって周知徹底しなければならない。
standards (i.e., ITIL v4 and COBIT 5). Additionally, policies
and procedures shall include defined roles andresponsibilities supported by regular workforce training.

Business Continuity
Management &Operational Resilience
Retention Policy
事業継続管理と運用
レジリエンス
保持ポリシー

BCR-11

Policies and procedures shall be established, and supporting 重要な資産の保持期間を、それぞれのポリシー及び手順、ならび
business processes and technical measures implemented, に該当する法的または規制上の遵守義務に従って定義し、これに準拠するためのポリシー及び手順を確立し、これらを補強するため
for defining and adhering to the retention period of any
critical asset as per established policies and procedures, as の業務プロセス及び技術的対策を実装しなければならない。バックアップ及び復旧のための手段は、事業継続計画の一部として導入
well as applicable legal, statutory, or regulatory compliance
し、有効性の確認のために適宜テストしなければならない。
obligations. Backup and recovery measures shall beincorporated as part of business continuity planning andtested accordingly for effectiveness.

Change Control &Configuration
Management
New Development /Acquisition
変更管理と構成管理
新規開発及び調達

CCC-01

Policies and procedures shall be established, and supporting ポリシー及び手順を確立し、これらを補強するための業務プロセス
business processes and technical measures implemented, 及び技術的対策を実装し、データ、実/仮想アプリケーション、インフ
ラストラクチャーネットワーク及びシステムコンポーネント、ならびに
to ensure the development and/or acquisition of new data,
事業用・業務用・データセンター用各施設の新規の開発及び調達
physical or virtual applications, infrastructure network, andが、組織の事業責任者もしくはその責にある職務または機能によっ
systems components, or any corporate, operations and/orて、確実に事前承認されているようにしなければならない。
datacenter facilities have been pre-authorized by theorganization's business leadership or other accountablebusiness role or function.

Change Control &Configuration
Management
Outsourced
Development
変更管理と構成管理
開発の外部委託

CCC-02External business partners shall adhere to the same policies 外部のビジネスパートナーは、組織内の開発者向けの変更管理、
リリース、テストのためのポリシーと手順（たとえば、ITILサービス管
and procedures for change management, release, and理プロセス）と同じものに従わなければならない。
testing as internal developers within the organization (e.g.,
ITIL service management processes).

組織は、システムとサービスの可用性、機密性、完全性を目的とするベースライン、テスト及びリリースの基準を備えた、明確に定義された品質及び変更管理とテストプロセス（たとえば、ITILサービスマ
ネジメント）に従わなければならない。

Change Control &Configuration
Management
Quality Testing
変更管理と構成管理
品質検査

CCC-03

Organization shall follow a defined quality change control
and testing process (e.g., ITIL Service Management) withestablished baselines, testing, and release standards that
focus on system availability, confidentiality, and integrity ofsystems and services.

Change Control &Configuration
Management
Unauthorized Software
Installations
変更管理と構成管理
未承認のソフトウェアのインストール

CCC-04

Policies and procedures shall be established, and supporting 組織が所有または管理するユーザのエンドポイントデバイス（支給business processes and technical measures implemented, されたワークステーション、ラップトップ、モバイルデバイスなど）、IT
インフラストラクチャーネットワーク及びシステムコンポーネントに承to restrict the installation of unauthorized software onorganizationally-owned or managed user end-point devices 認されていないソフトウェアがインストールされることを防ぐために、(e.g., issued workstations, laptops, and mobile devices) and 方針及び手順を確立し、これらを補強するための業務プロセス及び技術的対策を実装しなければならない。
IT infrastructure network and systems components.

Change Control &Configuration
Management
Production Changes変更管理と構成管理
業務の変更

CCC-05

Policies and procedures shall be established for managing
the risks associated with applying changes to:• Business-critical or customer (tenant)-impacting (physicaland virtual) applications and system-system interface (API)designs and configurations.
• Infrastructure network and systems components.
Technical measures shall be implemented to provide
assurance that all changes directly correspond to aregistered change request, business-critical or customer(tenant), and/or authorization by, the customer (tenant) as
per agreement (SLA) prior to deployment.

以下の変更を適用する際のリスクを管理するために、ポリシー及び手順を確立しなければならない：• 業務上重要な、または顧客（テナント）に影響する実/仮想アプリ
ケーション及びシステム間インタフェース（API）の設計及び設定。
• インフラストラクチャーネットワーク及びシステムコンポーネント。
技術的対策を施すことによって、導入前に、すべての変更が、登録された変更要求、業務上重要なまたは契約（SLA）に基づく顧客（テナント）の承認のすべてを満たすことを保証しなければならない。

Data Security &Information Lifecycle
Management
Classification
データセキュリティと情報ライフサイクル管理
分類

DSI-01

Data and objects containing data shall be assigned aclassification by the data owner based on data type, value,sensitivity, and criticality to the organization.

データ及びデータを含むオブジェクトは、データタイプ、価値、機微性、組織にとっての重要性に基づいて、データの所有者によって機密区分されなければならない。

Policies and procedures shall be established, and supporting ポリシー及び手順を確立し、これらを補強するための業務プロセス
business processes and technical measures implemented, 及び技術的対策を実装することによって、サービスの地理的に分散
to inventory, document, and maintain data flows for data that （物理的/仮想的）したアプリケーション、インフラストラクチャーネッ
is resident (permanently or temporarily) within the service's トワーク、及びシステム内に（常時または一次的に）存在する、もしくは第三者と共有するデータのデータフローを作成し、文書化し、維
geographically distributed (physical and virtual) applications
持しなければならない。併せて法令・法規制またはサプライチェーン
and infrastructure network and systems components and/or 契約の順守に関する影響を確認し、データにひも付くその他の全て
shared with other third parties to ascertain any regulatory,のビジネスリスクを把握しなければならない。要求があった場合、特statutory, or supply chain agreement (SLA) complianceに顧客データがサービスの一部に使用される場合には、プロバイダ
impact, and to address any other business risks associated は顧客（テナント）に対し、法令・規則の順守に関する影響とリスクwith the data. Upon request, provider shall inform customer について、申告しなければならない。
(tenant) of compliance impact and risk, especially if
Data related to electronic commerce (ecommerce) that
一般に開放されたネットワークを使って送受信されるe-コマースに関わるデータは、契約違反やデータ破壊を防ぐことができる方法に
traverses public networks shall be appropriately classified
より、適切に分類し、不正行為や許可されていない開示または変更
and protected from fraudulent activity, unauthorizedから保護しなければならない。
disclosure, or modification in such a manner to prevent
contract dispute and compromise of data.

Data Security &Information Lifecycle
Management
Data Inventory / Flows
データセキュリティと情報ライフサイクル管理
データの管理表とフロー

DSI-02

Data Security &Information Lifecycle
Management
eCommerce
Transactions
データセキュリティと情報ライフサイクル管理
eコマーストランザクショ
ンDSI-03

Data Security &Information Lifecycle
Management
Handling / Labeling /Security Policy
データセキュリティと情報ライフサイクル管理
処理 / ラベル付 / セキュ
リティポリシー

DSI-04

Policies and procedures shall be established for the labeling, データ及びデータを含むオブジェクトのラベリング、処理取扱い、セキュリティのためのポリシー及び手順を確立しなければならない。
handling, and security of data and objects which containdata. Mechanisms for label inheritance shall be implemented データをまとめて格納するオブジェクトには、ラベルを継承して保持する仕組みを実装しなければならない。
for objects that act as aggregate containers for data.

Data Security &Information Lifecycle
Management
Non-Production Data
データセキュリティと情報ライフサイクル管理
非実稼働データ

DSI-05

Production data shall not be replicated or used in nonproduction environments. Any use of customer data in nonproduction environments requires explicit, documented
approval from all customers whose data is affected, andmust comply with all legal and regulatory requirements for
scrubbing of sensitive data elements.

Data Security &Information Lifecycle
Management
Ownership /Stewardship
データセキュリティと情報ライフサイクル管理
所有者/管理責任

DSI-06All data shall be designated with stewardship, with assigned すべての情報に対して管理責任者が指名されなければならない。
管理責任者の責任は、定義され、文書化され、通知されなければな
responsibilities defined, documented, and communicated.
らない。

Data Security &Information Lifecycle
Management
Secure Disposal
データセンタセキュリティ
安全な廃棄

DSI-07

Policies and procedures shall be established with supporting ポリシー及び手順を確立し、これらを補強するための業務プロセス
及び技術的対策を実装しすることにより、記憶媒体の全てからデー
business processes and technical measures implemented
タを安全に廃棄し完全に除去すること、及びいかなるコンピュータ
for the secure disposal and complete removal of data from
フォレンジック手段を用いても再現されないことを確実にすること。
all storage media, ensuring data is not recoverable by any
computer forensic means.

Datacenter Security
Asset Management
データセンタセキュリティ
資産管理

DCS-01

Assets must be classified in terms of business criticality,
service-level expectations, and operational continuity
requirements. A complete inventory of business-criticalassets located at all sites and/or geographical locations andtheir usage over time shall be maintained and updated
regularly, and assigned ownership by defined roles andresponsibilities.

本番環境のデータは、テスト環境にコピーしたり使用したりしてはな
らない。非実稼働環境における顧客データの使用は、影響が及ぶ
全ての顧客からの明確な文書による承認を得なければならない。また機微なデータ要素の除去に関しては法および規制当局の要求条件を遵守しなければならない。

資産は事業上の重要性、サービスレベルの期待値、運用の継続性の要件の視点から分類しなければならない。すべてのサイトや地理的場所に位置する業務上不可欠な資産の完全な目録とその使用履歴を維持し、定期的に更新し、定義された役割及び責任を持つ
管理責任者を割当てなければならない。

Datacenter Security
Controlled Access
Points
データセンタセキュリティ
コントロールされたアクセスポイント

DCS-02

Physical security perimeters (e.g., fences, walls, barriers,
guards, gates, electronic surveillance, physicalauthentication mechanisms, reception desks, and security
patrols) shall be implemented to safeguard sensitive dataand information systems.

機微なデータ及び情報システムを保護するために、物理的なセキュ
リティ境界（フェンス、壁、柵、警備員、ゲート、電子的監視、物理的
認証メカニズム、受付デスク、安全パトロールなど）を実装しなければならない。

Datacenter Security
Equipment
Identification
データセンタセキュリティ
識別DCS-03

Automated equipment identification shall be used as amethod of connection authentication. Location-aware
technologies may be used to validate connection
authentication integrity based on known equipment location.

接続認証の手段として自動的に機器を識別する仕組みを使用しなければならない。接続認証の完全性を確認するために、既知の機器の所在場所に基づいて所在場所を特定する技術を使用することができる。

Datacenter Security
Off-Site Authorization
データセンタセキュリティ
オフサイトへの許可

DCS-04

Authorization must be obtained prior to relocation or transfer ハードウェア、ソフトウェアまたはデータをサイト外の場所に移動させるには、事前の承認を取得しなければならない。
of hardware, software, or data to an offsite premises.

Datacenter Security
Off-Site Equipment
データセンタセキュリティ
オフサイト機器

DCS-05

Datacenter Security
Policyデータセンタセキュリティ
ポリシー

DCS-06

Policies and procedures shall be established for the secure 組織の構外で使用される装置の安全な処分（資産のタイプによる）のためのポリシー及び手順を確立しなければならない。これは、情disposal of equipment (by asset type) used outside theorganization's premises. This shall include a wiping solution 報の復元を不可能な状態にする完全削除ソリューションか破壊プロ
or destruction process that renders recovery of information セスを含まなければならない。消去されたドライブが再利用や配備のために在庫に回されるか破壊されるまで安全に保管されているこ
impossible. The erasure shall consist of a full overwrite ofとを保証するために、消去はドライブ全体を上書きすべきである。
the drive to ensure that the erased drive is released toinventory for reuse and deployment, or securely stored until it
canbe destroyed.
Policiesand procedures shall be established, and supporting オフィス、部屋、施設、機微な情報を保存する安全なエリア内でのbusiness processes implemented, for maintaining a safe and 安全とセキュリティが確保された労働環境を維持するためのポリ
secure working environment in offices, rooms, facilities, and シー及び手順を確立し、これらを補強するための業務プロセスを実装しなければならない。
secure areas storing sensitive information.

Datacenter Security Secure Area
Authorization
データセンタセキュリティ
セキュアエリアの認定

DCS-07Ingress and egress to secure areas shall be constrained and 許可された者だけが立入りできるようにするために、物理的なアク
monitored by physical access control mechanisms to ensure セスコントロールの仕組みによってセキュリティエリアへの入退出を制限し監視しなければならない。
that only authorized personnel are allowed access.

Datacenter Security
Unauthorized Persons
Entry
データセンタセキュリティ
許可されていない個人エントリの入室Security
Datacenter
User Access
データセンタセキュリティ
ユーザアクセス

DCS-08

サービスエリアなどの出入口、及び許可されていない者が施設内
Ingress and egress points such as service areas and otherに立ち入る可能性のある場所は、データの想定外の破壊、改ざん、
points where unauthorized personnel may enter the
紛失を避けるために、監視及び管理し、可能であれば、データの保premises shall be monitored, controlled and, if possible,
管及び処理施設から離さなければならない。
isolated from data storage and processing facilities toprevent unauthorized data corruption, compromise, and loss.
Physical access to information assets and functions by users 利用者及びサポートスタッフによる情報資産及び情報処理機能への物理的アクセスを制限しなければならない。
and support personnel shall be restricted.

Encryption & Key
Management
Entitlement
暗号化と鍵管理
権限付与

EKM-01

DCS-09Keys must have identifiable owners (binding keys toidentities) and there shall be key management policies.

鍵には識別可能な所有者が存在し（つまり鍵とアイデンティティが紐付いていること）、また（組織には）鍵管理ポリシーがなくてはならない。

サービスの暗号システムの暗号鍵を管理するためのポリシー及びPolicies and procedures shall be established for the
手順を確立しなければならない（鍵の生成から廃棄、更新に至るラ
management of cryptographic keys in the service's
イフサイクルの管理、PKI、使用される暗号プロトコルの設計及びア
cryptosystem (e.g., lifecycle management from key
ルゴリズム、安全な鍵生成に適したアクセス制御、暗号化データまgeneration to revocation and replacement, public key
たはセッションに使用される鍵の分離を含む交換及び保管など）。
infrastructure, cryptographic protocol design and algorithms
事業者は、要求に応じて、特に利用者（テナント）データがサービス
used, access controls in place for secure key generation,の一部として利用されたり、利用者（テナント）が管理の実施に対す
and exchange and storage including segregation of keys
る責任の一部を共有したりしている場合は、利用者（テナント）に暗
used for encrypted data or sessions). Upon request, provider 号システム内の変更を通知しなければならない。
shall inform the customer (tenant) of changes within thecryptosystem, especially if the customer (tenant) data isused as part of the service, and/or the customer (tenant) has
some shared responsibility over implementation of thecontrol.
Policies and procedures shall be established, and supporting 該当する合法的及び規制上の遵守義務に従って、ストレージ（ファbusiness processes and technical measures implemented, イルサーバ、データベース、エンドユーザのワークステーションな
for the use of encryption protocols for protection of sensitive ど）内、データの使用時（メモリ）、及びデータの伝送時（システムイ
ンタフェース、公的ネットワーク経由、電子メッセージ通信など）の機
data in storage (e.g., file servers, databases, and end-user
微なデータの保護を目的として暗号プロトコルを使用するために、
workstations), data in use (memory), and data in
ポリシー及び手順を確立し、これらを補強するための業務プロセス
transmission (e.g., system interfaces, over public networks, 及び技術的対策を実施しなければならない。
and electronic messaging) as per applicable legal, statutory,
and regulatory compliance obligations.

Encryption & Key
Management
Key Generation
暗号化と鍵管理
鍵生成

EKM-02

Encryption & Key
Management
Sensitive Data
Protection
暗号化と鍵管理
機微データの保護

EKM-03

Encryption & Key
Management
Storage and Access
暗号化と鍵管理
保管とアクセス

EKM-04Governance and Risk
Management
Baseline
Requirements
ガバナンスとリスク管理
ベースライン要件

GRM-01Governance and Risk
Management
Data Focus Risk
Assessments
ガバナンスとリスク管理
データフォーカスリスクア
セスメント

GRM-02

Risk assessments associated with data governancerequirements shall be conducted at planned intervals andshall consider the following:• Awareness of where sensitive data is stored andtransmitted across applications, databases, servers, andnetwork infrastructure• Compliance with defined retention periods and end-of-life
disposal requirements• Data classification and protection from unauthorized use,
access, loss, destruction, and falsification

Governance and Risk
Management
Management
Oversight
ガバナンスとリスク管理
管理監督

GRM-03

Managers are responsible for maintaining awareness of, and 管理者は、自らの責任範囲に関わるセキュリティポリシー、手順及
complying with, security policies, procedures, and standards び標準を認識し、遵守し続ける責任がある。
that are relevant to their area of responsibility.

Governance and Risk
Management
Management Program
ガバナンスとリスク管理
管理プログラム

GRM-04

An Information Security Management Program (ISMP) shall 資産及びデータを紛失、誤用、許可されていないアクセス、（意図せbe developed, documented, approved, and implemented that ぬ）開示、改変、破壊から保護するために、管理的、技術的、物理
includes administrative, technical, and physical safeguards 的保護措置を含む情報セキュリティマネジメントプログラム（ISMP）
to protect assets and data from loss, misuse, unauthorized を開発し、文書化し、承認し、実施しなければならない。セキュリティ
access, disclosure, alteration, and destruction. The security プログラムは、事業の特性に関わる範囲では、（これらに限定する
ものではないが）以下の分野を含めなければならない。
program shall include, but not be limited to, the following
・リスク管理areas insofar as they relate to the characteristics of the・セキュリティポリシー
business:
・情報セキュリティの組織• Risk management
・資産管理
・人的セキュリティ
• Security policy
・物理的及び環境的セキュリティ• Organization of information security
・通信及び運用管理• Asset management
・アクセス制御• Human resources security
・情報システムの取得、開発及び保守• Physical and environmental security• Communications and operations management• Access control

Platform and data-appropriate encryption (e.g., AES-256) in オープンな検証済みの形式かつ標準アルゴリズムであるプラット
フォームやデータに適した暗号化方式（AES‐256など）を使用しな
open/validated formats and standard algorithms shall be
ければならない。鍵は（当該クラウド事業者の）クラウド内に保管す
required. Keys shall not be stored in the cloud (i.e., at the
るのではなく、クラウドの利用者または信頼できる鍵管理事業者がcloud provider in question), but maintained by the cloud
保管しなければならない。鍵の管理と鍵の使用は、異なる責務としconsumer or trusted key management provider. Keyて分離されなければならない。
management and key usage shall be separated duties.
Baseline security requirements shall be established for
開発済みまたは購入済みで、組織が所有または管理する実/仮想developed or acquired, organizationally-owned or managed, アプリケーション、基盤システム及びネットワーク構成要素のためのベースラインセキュリティ要件を確立しなければならない。またそれ
physical or virtual, applications and infrastructure system
and network components that comply with applicable legal, らは該当する合法的及び規制上の遵守義務に準拠していなければstatutory, and regulatory compliance obligations. Deviations ならない。標準的なベースライン設定から逸脱する場合は、導入、提供、使用の前に、以下の変更管理ポリシー及び手順に従って承from standard baseline configurations must be authorized
認を受けなければならない。セキュリティベースライン要件への準
following change management policies and procedures prior 拠は、代替頻度がビジネス要求に基づいて設定され承認されない
to deployment, provisioning, or use. Compliance with
かぎりは、少なくとも年1回は再評価されなければならない。
security baseline requirements must be reassessed at least
annually unless an alternate frequency has been establishedand authorized based on business need.
データガバナンス要件に関連するリスクアセスメントを事前に定められた間隔で実施し、その際に以下の事項を考慮しなければならない。
•機微のデータがどこで保管され、アプリケーション、データベース、サーバ、ネットワーク基盤間で伝送されるかの認識•定められた保存期間及び使用終了時の廃棄に関する要件への準拠•データの分類ならびに許可されていない使用、アクセス、紛失、破壊及び改ざんからの保護

Governance and Risk
Management
Management
Support/Involvement
ガバナンスとリスク管理
サポート / 関与

GRM-05

Executive and line management shall take formal action to
support information security through clearly-documented
direction and commitment, and shall ensure the action has
been assigned.

経営陣及び管理職は、文書による明確な指示及びコミットメントを通じて情報セキュリティを担保するための正式な対処行動をとり、当該行動が割り当てられたことを確認しなければならない。

Governance and Risk
Management
Policyガバナンスとリスク管理
ポリシー

GRM-06

Information security policies and procedures shall beestablished and made readily available for review by all
impacted personnel and external business relationships.
Information security policies must be authorized by theorganization's business leadership (or other accountablebusiness role or function) and supported by a strategic
business plan and an information security management
program inclusive of defined information security roles andresponsibilities for business leadership.

情報セキュリティのポリシー及び手順を確立し、影響を受けるすべての従業員及び外部の取引関係者がいつでもレビューできるようにしておかなければならない。情報セキュリティのポリシーは、組織の事業責任者（またはその責任を負うその他の役割もしくは機能）によって承認され、事業責任者のための情報セキュリティにおける明示された役割及び責任を包括した戦略的事業計画及び情報セ
キュリティマネジメントプログラムによって担保されなければならない。

Governance and Risk
Management
Policy Enforcement
ガバナンスとリスク管理
ポリシー適用GRM-07

A formal disciplinary or sanction policy shall be establishedfor employees who have violated security policies andprocedures. Employees shall be made aware of what action
might be taken in the event of a violation, and disciplinary
measures must be stated in the policies and procedures.

セキュリティポリシー及び手順に違反した従業員に対する正式な懲罰あるいは処罰のポリシーを確立しなければならない。違反した場
合に講じられる措置を従業員に認識させなければならない。また、
ポリシー及び手順で懲戒手続きを規定しなければならない。

Governance and Risk
Management
Policy Impact on Risk
Assessments
ガバナンスとリスク管理
リスクアセスメントにおけるポリシーの影響

GRM-08Risk assessment results shall include updates to security
policies, procedures, standards, and controls to ensure thatthey remain relevant and effective.

リスクアセスメントの成果には、その妥当性と有効性の維持を保証するために、セキュリティポリシー、手順、標準及び管理策の更新
を含めなければならない。

Governance and Risk
Management
Policy Reviews
ガバナンスとリスク管理
ポリシーレビュー

GRM-09セキュリティ戦略の有効性、正確性、妥当性、及び合法的または規The organization's business leadership (or other
制上の遵守義務への適用性との継続的な合致を保証するために、
accountable business role or function) shall review the
information security policy at planned intervals or as a result 組織の事業責任者（またはその責任を負うその他の役割もしくは機能）は、事前に定められた間隔または組織変更に対応して情報セof changes to the organization to ensure its continuing
キュリティポリシーをレビューしなければならない。
alignment with the security strategy, effectiveness, accuracy,
relevance, and applicability to legal, statutory, or regulatorycompliance obligations.

Governance and Risk
Management
Risk Assessments
ガバナンスとリスク管理
リスクアセスメント

GRM-10

定性的手法または定量的手法を使用して、特定されたすべてのリ
Aligned with the enterprise-wide framework, formal risk
スクの発生可能性及び影響度を判断するために、企業全体規模のassessments shall be performed at least annually or at
フレームワークに適合した正式なリスクアセスメントを、少なくとも年
planned intervals, (and in conjunction with any changes toinformation systems) to determine the likelihood and impact 1回または事前に定められた間隔で、（及び情報システムを変更した時に）、実施しなければならない。固有リスク及び残存リスクに関of all identified risks using qualitative and quantitative
連する発生可能性及び影響度は、すべてのリスクカテゴリ（たとえmethods. The likelihood and impact associated with inherent
ば、監査結果、脅威分析及び脆弱性診断、規制の遵守など）を考
and residual risk shall be determined independently,
慮し、独立して判断されなければならない。
considering all risk categories (e.g., audit results, threat andvulnerability analysis, and regulatory compliance).

Governance and Risk
Management
Risk Management
Framework
ガバナンスとリスク管理
リスク管理フレームワー
ク

GRM-11

Risks shall be mitigated to an acceptable level. Acceptancelevels based on risk criteria shall be established anddocumented in accordance with reasonable resolution timeframes and stakeholder approval.

Human Resources
Asset Returns
人事
資産返却

HRS-01

Upon termination of workforce personnel and/or expiration of 従業員の退職時あるいは外部との取引関係の終了時には、組織に帰属するすべての資産を定められた期間内に返却しなければなら
external business relationships, all organizationally-ownedない。
assets shall be returned within an established period.

Human Resources
Background Screening
人事
経歴スクリーニング

HRS-02

Human Resources
Employment
Agreements
人事
雇用契約

HRS-03

Human Resources
Employment
Termination
人事
雇用の終了

HRS-04

現地の法律、規制、倫理及び契約上の制約に従って、すべての採Pursuant to local laws, regulations, ethics, and contractual
用予定者、契約者及び第三者の経歴を確認しなければならない。
constraints, all employment candidates, contractors, andこの確認は、アクセスされるデータの分類、業務の要求事項及び受third parties shall be subject to background verification
容可能なリスクに応じて行わなければならない。
proportional to the data classification to be accessed, thebusiness requirements, and acceptable risk.
Employment agreements shall incorporate provisions and/or 雇用契約書には、確立された情報ガバナンス及びセキュリティポリ
terms for adherence to established information governance シーの遵守に関する規定及び条件を取り入れなければならない。
また、新規採用されたまたは入場する従業員（フルタイムまたはand security policies and must be signed by newly hired or
パートタイム従業員、臨時従業員など）に企業の施設、資源、資産
on-boarded workforce personnel (e.g., full or part-time
へのアクセスを許可する前に、雇用契約書に署名させなければなら
employee or contingent staff) prior to granting workforce
ない。
personnel user access to corporate facilities, resources, and雇用の終了もしくは雇用手続きの変更に関する役割及び責任は、Roles and responsibilities for performing employment
明確に割り当てられ、文書化され、通知されなければならない。
termination or change in employment procedures shall beassigned, documented, and communicated.

Human Resources
Mobile Device
Management
人事
モバイルデバイス管理

HRS-05

リスクを受容可能なレベルにまで軽減しなければならない。リスク基準に基づく受容可能なレベルは、妥当な対策所要時間及び利害関係者の承認に基づいて設定され文書化されなければならない。

Policies and procedures shall be established, and supporting 企業の資源へのモバイルデバイスからのアクセスを許可することにbusiness processes and technical measures implemented, 関連するビジネスリスクを管理するために、ポリシー及び手順を確
to manage business risks associated with permitting mobile 立し、これらを補強するための業務プロセス及び技術的対策を実装しなければならない。また、より高い保証となる補完コントロール、
device access to corporate resources and may require the
実行可能なポリシー及び手順（セキュリティ訓練の義務付け、身元
implementation of higher assurance compensating controls
確認の強化、権限付与とアクセス制御、デバイス監視など）の実施
and acceptable-use policies and procedures (e.g., mandated が必要な場合もある。
security training, stronger identity, entitlement and access
controls, and device monitoring).

Human Resources
Non-Disclosure
Agreements
人事
守秘義務契約

HRS-06

Requirements for non-disclosure or confidentiality
agreements reflecting the organization's needs for theprotection of data and operational details shall be identified,
documented, and reviewed at planned intervals.

データ及び運用の詳細事項を保護するための組織のニーズに合わ
せて、守秘義務契約もしくは秘密保持契約に関する要求事項を特定し、文書化し、事前に定めた間隔でレビューしなければならない。

Human Resources
Roles /
Responsibilities
人事
ロール / 責任

HRS-07

Roles and responsibilities of contractors, employees, andthird-party users shall be documented as they relate to
information assets and security.

契約社員、従業員及び外部の利用者が情報資産及びセキュリティに関連している場合、その役割及び責任を文書化しなければならない。

Human Resources
Technology
Acceptable Use
人事
技術的に受け入れられる使用

HRS-08

Policies and procedures shall be established, and supporting 組織が所有または管理するユーザのエンドポイントデバイス（支給business processes and technical measures implemented, されたワークステーション、ラップトップ、モバイルデバイスなど）、ITfor defining allowances and conditions for permitting usage 基盤のネットワーク及びシステムコンポーネントの使用を許可する
範囲及び条件を定義するためのポリシー及び手順を確立し、これら
of organizationally-owned or managed user end-point
を補強するための業務プロセス及び技術的対策を実装しなければdevices (e.g., issued workstations, laptops, and mobile
ならない。さらに、必要に応じて、個人のモバイルデバイス及び関連
devices) and IT infrastructure network and systems
するアプリケーションを使用して企業の資源にアクセスすること（すcomponents. Additionally, defining allowances and
なわち、BYOD）を許可する範囲及び条件を定義することも考慮し、conditions to permit usage of personal mobile devices and
適宜取り入れなければならない。
associated applications with access to corporate resources(i.e., BYOD) shall be considered and incorporated as

Human Resources
Training / Awareness
人事
訓練 / 認識向上

HRS-09A security awareness training program shall be established
for all contractors, third-party users, and employees of theorganization and mandated when appropriate. All individuals
with access to organizational data shall receive appropriate
awareness training and regular updates in organizational
procedures, processes, and policies relating to theirprofessional function relative to the organization.

組織のすべての契約社員、外部の利用者、従業員に対してセキュ
リティ意識向上の訓練プログラムを策定し、必要に応じて義務付けなければならない。組織のデータにアクセスするすべての個人は、組織に関係する専門的機能に関連する組織の手順、プロセス、ポ
リシーについての意識の向上及び定期的更新のために有用な訓練を受けなければならない。

Human Resources
User Responsibility
人事
ユーザ責任

HRS-10All personnel shall be made aware of their roles andresponsibilities for:• Maintaining awareness and compliance with establishedpolicies and procedures and applicable legal, statutory, or
regulatory compliance obligations.
• Maintaining a safe and secure working environment

すべての人員に、以下の事項に対する自身の役割及び責任を認識させなければならない。
•設定されたポリシー、手順、適用される法律上または規則上の遵守義務に対する認識及びコンプライアンスを維持する
こと•安全でセキュアな作業環境を維持すること

Human Resources
Workspace
人事
ワークスペース

HRS-11

Policies and procedures shall be established to require that 無人の作業場所で、機微な文書が（デスクトップ上などで）閲覧可
unattended workspaces do not have openly visible (e.g., on a 能な状態に置かれないようにするため、また、一定時間使用されな
desktop) sensitive documents and user computing sessions い場合にユーザのセッションが無効になるようにするために、ポリシー及び手順を確立しなければならない。
are disabled after an established period of inactivity.

Identity & Access
Management
Audit Tools Access
アイデンティティとアクセス管理
監査ツールアクセス

IAM-01

Access to, and use of, audit tools that interact with theorganization's information systems shall be appropriately
segregated and access restricted to prevent inappropriate
disclosure and tampering of log data.

ログデータが不適切に公開されたり改ざんされたりすることのない
ように、組織の情報システムとやり取りをする監査ツールへのアクセス及び使用については適切な隔離や取扱い制限を行わなければならない。

User access policies and procedures shall be established,
データや組織が所有または管理する実/仮想アプリケーションインタ
and supporting business processes and technical measures フェース、IT基盤のネットワーク及びシステムコンポーネントにアク
implemented, for ensuring appropriate identity, entitlement, セスするすべての社内及び顧客（テナント）ユーザの適切な身元確
認、権限付与、アクセス管理を確実に行うために、ユーザアクセス
and access management for all internal corporate andのポリシー及び手順を確立し、これらを補強するための業務プロセ
customer (tenant) users with access to data andス及び技術的対策を実装しなければならない。これらのポリシー、
organizationally-owned or managed (physical and virtual)
手順、プロセス及び手段には、以下の事項を含めなければならな
application interfaces and infrastructure network andい。
systems components. These policies, procedures,
・職務機能（社内従業員及び臨時従業員の変更、顧客管理による
processes, and measures must incorporate the following:
アクセス、仕入れ先との取引関係、その他の第三者との取引関係• Procedures and supporting roles and responsibilities forなど）に基づき最小権限付与原則に沿って定められた、ユーザアカ
provisioning and de-provisioning user account entitlements ウントの権限付与及び解除を行うための手順ならびにその基準となる役割ならびに職責
following the rule of least privilege based on job function
・ビジネスケースを考慮した、より高度の保証及び多要素認証用秘(e.g., internal employee and contingent staff personnel
密情報の配備（たとえば、管理インタフェース、鍵生成の機能、リchanges, customer-controlled access, suppliers' businessモートアクセスなどを利用する場合、職務権限分離の確実な実施、
relationships, or other third-party business relationships)
緊急アクセスを行う場合、大規模なリソースを必要とするプロビジニ• Business case considerations for higher levels of
ングや地理的に分散した配備を行うような場合、重要なシステムへ
assurance and multi-factor authentication secrets (e.g.,の人員の冗長配置の場合など）
management interfaces, key generation, remote access,・マルチテナントアーキテクチャにおける、それぞれのサードパー
segregation of duties, emergency access, large-scale
ティー（プロバイダや他のテナントなど）ごとの、データ及びセッショ
provisioning or geographically-distributed deployments, and ンに対するアクセスの隔離に関する事項
・IDの信用性確認、サービス間連携アプリケーション（API）と情報
personnel redundancy for critical systems)• Access segmentation to sessions and data in multi-tenant 処理の相互運用性（たとえばSSOと認証フェデレーションなどについてのもの）に関する事項
architectures by any third party (e.g., provider and/or other•インスタンス化から破棄に至るまでのアカウント認証用情報のライ
customer (tenant))• Identity trust verification and service-to-service application フサイクル管理に関する事項(API) and information processing interoperability (e.g., SSO ・アカウントの認証用情報及びID記憶の最小化または再利用（可能な場合）に関する事項
and federation)
・データ及びセッションへのアクセスのための認証、許可、アカウン• Account credential lifecycle management fromティング（AAA）ルールに関する事項（たとえば暗号化、強力かつマ
instantiation through revocation
ルチファクターの期限付き非共有の認証シークレットを使用すると• Account credential and/or identity store minimization or re- いった規則）
use when feasible
・データ及びセッションへのアクセスのための認証、許可、アカウン• Authentication,authorization,
and accounting(AAA)
診断ポート及び設定ポートへのユーザアクセスはその権限を付与
ティング（AAA）ルールを、顧客（テナント）自身が管理するための許
Useraccess to diagnostic
and configuration
ports
shallrules
beされた担当者及びアプリケーションに限定しなければならない。
restricted to authorized individuals and applications.

Identity & Access
Management
Credential Lifecycle /Provision Management
アイデンティティとアクセス管理
資格証明のライフサイク
ル / プロビジョニング管理

IAM-02

Identity & Access
Management
Diagnostic /Configuration Ports
Access
アイデンティティとアクセス管理
診断 / 設定ポートアクセス

IAM-03

Identity & Access
Management
Policies andProcedures
アイデンティティとアクセス管理
ポリシーと手順

IAM-04

Policies and procedures shall be established to store andITインフラストラクチャーにアクセスするすべての人に関するID情報を保管し管理し、個人のアクセスレベルを決定するためのポリシー
manage identity information about every person who
及び手順を確立しなければならない。ユーザのIDに基づいてネット
accesses IT infrastructure and to determine their level ofaccess. Policies shall also be developed to control access to ワーク資源へのアクセスを制御するためのポリシーも確立しなければならない。
network resources based on user identity.

Identity & Access
Management
Segregation of Duties
アイデンティティとアクセ
ス管理
職務の分離

IAM-05User access policies and procedures shall be established,and supporting business processes and technical measures
implemented, for restricting user access as per defined
segregation of duties to address business risks associatedwith a user-role conflict of interest.

ユーザロールの競合に関連する事業リスクに対処することを目的として規定された職務分離方針に応じてユーザアクセスを制限するために、ユーザアクセスポリシー及び手順を確立し、これらを補強するための業務プロセス及び技術的対策を実装しなければならない。

Identity & Access
Management
Source Code AccessRestriction
アイデンティティとアクセ
ス管理
ソースコードアクセス制
限IAM-06

Access to the organization's own developed applications,program, or object source code, or any other form ofintellectual property (IP), and use of proprietary software
shall be appropriately restricted following the rule of leastprivilege based on job function as per established user
access policies and procedures.

定められたユーザアクセスのポリシー及び手順に基づいて、職務に応じた最小権限付与原則に従い、組織自身が開発したアプリケー
ション、プログラム、オブジェクトソースコード、その他の知的財産（IP）へのアクセス及び自社開発のソフトウェアの使用を適切に制限しなければならない。

Identity & Access
Management
Third Party Access
アイデンティティとアクセ
ス管理
第三者アクセス

IAM-07The identification, assessment, and prioritization of risks
posed by business processes requiring third-party access tothe organization's information systems and data shall befollowed by coordinated application of resources tominimize, monitor, and measure likelihood and impact ofunauthorized or inappropriate access. Compensating
controls derived from the risk analysis shall be implemented
prior to provisioning access.

組織の情報システム及びデータへの第三者のアクセスを必要とする業務プロセスで発生するリスクを特定、評価、優先順位付けした
後、権限のないまたは不適切なアクセスの発生可能性及び影響度を最小限に抑え、監視し、測定するために、それに対応できるリ
ソースを投入しなければならない。
リスク分析から導き出されるリスクに対応した管理策は（第三者に）アクセスを提供する前に実装されなければならない。

Identity & Access
Management
Trusted Sources
アイデンティティとアクセス管理
信頼された発行元

IAM-08

Policies and procedures are established for permissible
storage and access of identities used for authentication toensure identities are only accessible based on rules of leastprivilege and replication limitation only to users explicitly
defined as business necessary.

認証に用いられるID（本人識別情報）の保存及びアクセスの許容範
囲に関するポリシーと手順を定め、ID（本人識別情報）へのアクセスは、業務上必要と明確に認められたユーザのみを対象とした最小権限原則と複製制限に基づき管理されなければならない。

Identity & Access
Management
User Access
Authorization
アイデンティティとアクセ
ス管理
ユーザアクセス認可

IAM-09Provisioning user access (e.g., employees, contractors,
データや組織が所有または管理する実/仮想アプリケーション、基幹システム、ネットワークコンポーネントへのユーザアクセス（従業customers (tenants), business partners, and/or supplier
員、契約社員、顧客（テナント）、事業パートナー、供給者関係など）
relationships) to data and organizationally-owned orの提供は、アクセスが許可される前に組織の管理者によって認可さ
managed (physical and virtual) applications, infrastructure
systems, and network components shall be authorized by the れ、定められたポリシーや手順に従って適切に制限されていなければならない。
organization's management prior to access being granted
プロバイダは、要求に応じて、特に顧客（テナント）のデータがサー
and appropriately restricted as per established policies and ビスの一部として利用されたり、顧客（テナント）が管理策の実装に
procedures. Upon request, provider shall inform customer
対する責任の一部を共有したりしている場合は、このユーザアクセ(tenant) of this user access, especially if customer (tenant) ス提供を顧客（テナント）に通知しなければならない。
data is used as part the service and/or customer (tenant) has
some shared responsibility over implementation of control.

Identity & Access
Management
User Access Reviews
アイデンティティとアクセ
ス管理
ユーザアクセスレビュー

IAM-10User access shall be authorized and revalidated forentitlement appropriateness, at planned intervals, by theorganization's business leadership or other accountablebusiness role or function supported by evidence todemonstrate the organization is adhering to the rule of leastprivilege based on job function. For identified accessviolations, remediation must follow established user accesspolicies and procedures.

ユーザアクセスは、その権限付与の妥当性について、組織の事業責任者もしくは責任ある立場の役割または機能をもつ者により、組織が職務機能に基づく最小権限原則に従っていることを表す証拠に基づいて、定期的に再評価し承認を受けなければならない。アクセス違反が特定された場合、定められたユーザアクセスのポリシー
及び手順に従って改善措置を実施しなければならない。

Identity & Access
Management
User Access
Revocation
アイデンティティとアクセ
ス管理
ユーザアクセス取り消し

IAM-11

定められたポリシー及び手順に従い、ユーザのステータスの変更
Timely de-provisioning (revocation or modification) of user
（雇用またはその他の取引関係の終了、職務の変更または転任な
access to data and organizationally-owned or managed
ど）に対応して、データや組織が所有または管理する実/仮想アプリ(physical and virtual) applications, infrastructure systems,
ケーション、インフラストラクチャーシステム、ネットワークコンポーネand network components, shall be implemented as per
ントへのユーザアクセス権限の取り消し（解除または変更）を適時
established policies and procedures and based on user'sに行わなければならない。プロバイダは、要求に応じて、特に顧客
change in status (e.g., termination of employment or other（テナント）データがサービスの一部として利用されたり、顧客（テナbusiness relationship, job change or transfer). Upon request, ント）が管理の実施に対する責任の一部を共有したりしている場合
provider shall inform customer (tenant) of these changes,
は、これらの変更を顧客（テナント）に通知しなければならない。
especially if customer (tenant) data is used as part theservice and/or customer (tenant) has some shared
responsibility over implementation of control.

Identity & Access
Management
User ID Credentials
アイデンティティとアクセス管理
ユーザID資格情報

IAM-12

適切な本人確認、権限付与、アクセス管理を確実に実施するため、Internal corporate or customer (tenant) user accountcredentials shall be restricted as per the following, ensuring 定められたポリシー及び手順に従って、内部で管理する自社または顧客（テナント）のユーザアカウントの資格情報を、以下に示すよ
appropriate identity, entitlement, and access management
and in accordance with established policies and procedures: うな視点から、適切に制限しなければならない。
•IDの信用性確認、サービス間連携アプリケーション（API）と情報処• Identity trust verification and service-to-service application
理の相互運用性（SSOと認証フェデレーションの場合など）(API) and information processing interoperability (e.g., SSO• 作成から破棄に至るまでのアカウント資格情報のライフサイクル
and Federation)
管理• Account credential lifecycle management from• アカウントの資格情報及びIDストアの最小化または再利用（実現instantiation through revocation
可能な場合）• Account credential and/or identity store minimization or re- •業界に広く受け入れられる標準方式や法規制を遵守した認証、許use when feasible
可、アカウンティング（AAA）ルール（たとえば、強力かつマルチファ• Adherence to industry acceptable and/or regulatory
クター、期限設定、非共有の認証秘密情報使用など）
compliant authentication, authorization, and accounting(AAA) rules (e.g., strong/multi-factor, expireable, non-sharedauthentication secrets)

Identity & Access
Management
Utility Programs
Access
アイデンティティとアクセス管理
ユーティリティプログラム
アクセス

IAM-13

Utility programs capable of potentially overriding system,
object, network, virtual machine, and application controls
shall be restricted.

システム、オブジェクト、ネットワーク、仮想マシン、アプリケーション
制御を無効にする可能性のあるユーティリティプログラムは、使用を制限しなければならない。

適用される法令もしくは規則に対する遵守義務を果たし、疑わしい
ネットワークの動作やファイルの不整合について、特定のユーザア
クセスに起因することを説明できるようにし、セキュリティ違反の事態が生じた際のフォレンジック調査をサポートするために、監査ログに関する保護、保持、ライフサイクル管理を高いレベルで実現しなければならない。

Infrastructure &Virtualization Security
Audit Logging /Intrusion Detection
インフラと仮想化のセ
キュリティ
監査ログ / 侵入検知

IVS-01Higher levels of assurance are required for protection,
retention, and lifecycle management of audit logs, adhering
to applicable legal, statutory or regulatory complianceobligations and providing unique user access accountability
to detect potentially suspicious network behaviors and/or file
integrity anomalies, and to support forensic investigative
capabilities in the event of a security breach.

Infrastructure &Virtualization Security
Change Detection
インフラと仮想化のセ
キュリティ
変更検知

IVS-02The provider shall ensure the integrity of all virtual machine プロバイダは、すべての仮想マシンイメージの完全性を常に確認しなければならない。仮想マシンイメージに対して行われた変更は、
images at all times. Any changes made to virtual machine
その実行状態（待機時、停止時、実行中など）に関係なく、すべて記
images must be logged and an alert raised regardless of
録し、注意喚起をしなければならない。イメージの変更または移動
their running state (e.g., dormant, off, or running). Theとその後のイメージの完全性の確認の結果は、電子的手段（ポータresults of a change or move of an image and the subsequent
ル、アラートなど）によって顧客がすぐ得られるようにしなければなら
validation of the image's integrity must be immediatelyない。
available to customers through electronic methods (e.g.,
portals or alerts).

Infrastructure &Virtualization Security
Clock Synchronization
インフラと仮想化のセ
キュリティ
時間同期

IVS-03

活動を時系列に追跡及び再現できるよう、すべての関連する情報
A reliable and mutually agreed upon external time source
shall be used to synchronize the system clocks of all relevant 処理システムのシステム時刻を同期するために、互いに合意された信頼できる外部の時刻発生源を使用しなければならない。
information processing systems to facilitate tracing andreconstitution of activity timelines.

Infrastructure &Virtualization Security
Information System
Documentation
インフラと仮想化のセ
キュリティ
情報システム文書

IVS-04

The availability, quality, and adequate capacity andresources shall be planned, prepared, and measured todeliver the required system performance in accordance withlegal, statutory, and regulatory compliance obligations.
Projections of future capacity requirements shall be made to
mitigate the risk of system overload.

Infrastructure &Virtualization Security
Management Vulnerability
Management
インフラと仮想化のセ
キュリティ
管理 - 脆弱性管理

IVS-05

実装者は、セキュリティ脆弱性の評価ツールまたはサービスが、使Implementers shall ensure that the security vulnerability
assessment tools or services accommodate the virtualization 用される仮想化技術に対応していることを確実にしなければならな
い。（すなわち仮想化対応）
technologies used (e.g., virtualization aware).

法的及び規制上の遵守義務に従って、必要なシステム性能を実現するために、可用性、品質、適切な容量及び資源を計画し、準備し、測定しなければならない。システムの過負荷のリスクを軽減するために、将来必要な容量を予測しなければならない。

Infrastructure &Virtualization Security
Network Security
インフラと仮想化のセ
キュリティ
ネットワークセキュリティ

IVS-06

ネットワーク環境及び仮想マシンは、信頼できるネットワークと信頼
Network environments and virtual instances shall be
できないネットワーク接続間のトラフィックを制限し監視するよう設計
designed and configured to restrict and monitor traffic
し構成されなければならず、また定期的な見直しを必要とする。こbetween trusted and untrusted connections. These
れらの構成は、少なくとも年一回レビューされなければならない。そconfigurations shall be reviewed at least annually, and
して、これらは、すべての許可されているサービス、プロトコル、
supported by a documented justification for use for all
ポートについて、それらの使用を正当化する文書と、補完するコント
allowed services, protocols, and ports, and by compensating ロールによってサポートされなければならない。
controls.

Infrastructure &Virtualization Security
OS Hardening andBase Conrols
インフラと仮想化のセ
キュリティ
OS堅牢性と基本管理

IVS-07

Each operating system shall be hardened to provide only
necessary ports, protocols, and services to meet businessneeds and have in place supporting technical controls suchas: antivirus, file integrity monitoring, and logging as part oftheir baseline operating build standard or template.

各オペレーティングシステムは、業務に必要十分なポート、プロトコ
ル、サービスのみを提供するように強化されねばならず、また、あらかじめ用意された技術的管理策、たとえばウイルス対策やファイル整合性モニタ（ファイルハッシュチェック）やログ収集ツールなどを、基本となる運用上の確立された標準またはテンプレートの一部として持っていなくてはならない。

Infrastructure &Virtualization Security
Production / NonProduction
Environments
インフラと仮想化のセ
キュリティ
本番 / テスト環境

IVS-08

Production and non-production environments shall beseparated to prevent unauthorized access or changes toinformation assets. Separation of the environments may
include: stateful inspection firewalls, domain/realm
authentication sources, and clear segregation of duties for
personnel accessing these environments as part of their job
duties.

情報資産への権限のないアクセスまたは変更を防ぐために、本番
環境とテスト環境を分離しなければならない。環境の分離は、次の内容を含む： ステートフルインスペクション機能を持ったファイア
ウォール、ドメイン/レルム認証ソース、及び職務として環境に個人的にアクセスするための明確な責務の分離。

Infrastructure &Virtualization Security
Segmentation
インフラと仮想化のセ
キュリティ
区分

IVS-09複数組織（マルチテナント）が所有または管理する実/仮想アプリ
ケーション、基盤システム、ネットワークコンポーネントは、プロバイ
ダや特定（テナント）ユーザによるアクセスが他の（テナント）ユーザと適切に分離されるよう、以下の事項に基づいて設計し、開発し、導入し、設定しなければならない。
・定められたポリシー及び手順
・より強固な内部統制と高レベルの保証を確実にさせることによる、事業上の重要資産、ユーザの機微データ、セッションの隔離
・法的及び規制上の遵守義務への準拠

Infrastructure &Virtualization Security
VM Security - vMotion
Data Protection
インフラと仮想化のセ
キュリティ
VMセキュリティ VMotionデータ保護

IVS-10Multi-tenant organizationally-owned or managed (physicaland virtual) applications, and infrastructure system andnetwork components, shall be designed, developed,
deployed, and configured such that provider and customer(tenant) user access is appropriately segmented from othertenant users, based on the following considerations:• Established policies and procedures• Isolation of business critical assets and/or sensitive user
data, and sessions that mandate stronger internal controls
and high levels of assurance• Compliance with legal, statutory, and regulatorycompliance obligations
Secured and encrypted communication channels shall be
used when migrating physical servers, applications, or data
to virtualized servers and, where possible, shall use a
network segregated from production-level networks for such
migrations.

物理サーバ、アプリケーションまたはデータを仮想サーバに移行させる場合には、安全で暗号化された通信回線を使用しなければならない。また、このような移行には、可能な場合、本番用のネット
ワークから分離された作業用のネットワークを使用しなければならない。

ハイパーバイザー管理機能または仮想システムをホストするシステ
ムの管理コンソールへのアクセスは、最小権限の原則に基づいて担当者が制限され、技術的管理策（二要素認証、監査証跡の取得、IPアドレスのフィルタリング、ファイアウォール、管理コンソールに対するTLSで保護された通信など）によって担保されなければならない。

Infrastructure &Virtualization Security
VMM Security Hypervisor Hardening
インフラと仮想化のセ
キュリティ
VMMセキュリティ - ハイ
パバイザ堅牢性IVS-11

Access to all hypervisor management functions oradministrative consoles for systems hosting virtualized
systems shall be restricted to personnel based upon theprinciple of least privilege and supported through technicalcontrols (e.g., two-factor authentication, audit trails, IP
address filtering, firewalls, and TLS encapsulated
communications to the administrative consoles).

Infrastructure &Virtualization Security
Wireless Security
インフラと仮想化のセ
キュリティ
ワイヤレスセキュリティ

IVS-12

Policies and procedures shall be established, and supporting ワイヤレスネットワーク環境を保護するためのポリシー及び手順を
business processes and technical measures implemented, 確立し、これらを補強するための業務プロセス及び技術的対策を実装しなければならない。これには以下の事項を含む。
to protect wireless network environments, including the・権限のないトラフィックを制限するために、境界にファイアウォール
following:を導入し設定する• Perimeter firewalls implemented and configured to restrict
・認証及び送信用の強力な暗号化を装備したセキュリティ設定で、unauthorized traffic
ベンダのデフォルト設定を置き換える（暗号鍵、パスワード、SNMP• Security settings enabled with strong encryption for通信など）
authentication and transmission, replacing vendor default
・ワイヤレスネットワークデバイスへのユーザアクセスを権限のある
settings (e.g., encryption keys, passwords, and SNMP
人に制限する
・権限のない（不正な）ワイヤレスネットワークデバイスの存在を検community strings)
出し、適宜ネットワークから切断する• User access to wireless network devices restricted toauthorized personnel• The capability to detect the presence of unauthorized(rogue) wireless network devices for a timely disconnect
from the network

Infrastructure &Virtualization Security
Network Architecture
インフラと仮想化のセ
キュリティ
ネットワークアーキテク
チャ

IVS-13

Network architecture diagrams shall clearly identify high-risk ネットワーク構成図は、法規制上のコンプライアンスに影響する可environments and data flows that may have legal compliance 能性のある高リスクの環境やデータの流れを識別し明示しなければならない。技術的対策を実装し、多層防御技術（たとえば、パケッ
impacts. Technical measures shall be implemented andトの詳細分析、トラフィック制限、ハニーネットなど）を適用して、異shall apply defense-in-depth techniques (e.g., deep packet
常な内向きまたは外向きの通信パターン（たとえばMACアドレス詐
analysis, traffic throttling, and black-holing) for detection and
称やARPポイズニング攻撃）や分散サービス妨害（DDoS）攻撃な
timely response to network-based attacks associated with
どのネットワークベースの攻撃を検知し速やかに対処しなければな
anomalous ingress or egress traffic patterns (e.g., MAC
らない。
spoofing and ARP poisoning attacks) and/or distributed
denial-of-service (DDoS) attacks.

コンポーネント間の相互運用性を最大限にサポートし、アプリケー
ションの移行を実現するために、プロバイダは、オープンで一般に公開されているAPIを使用しなければならない。

Interoperability &Portability
APIs
相互運用性と移植容易
性
API

IPY-01The provider shall use open and published APIs to ensure
support for interoperability between components and to
facilitate migrating applications.

Interoperability &Portability
Data Request
相互運用性と移植容易性
データ要求

IPY-02All structured and unstructured data shall be available to the すべての構造化及び非構造化データを顧客が利用できるようにし、
customer and provided to them upon request in an industry- 要求に応じて業界標準の形式（.doc、.xls、.pdf、ログ、フラットファイル）で提供しなければならない。
standard format (e.g., .doc, .xls, .pdf, logs, and flat files).

Interoperability &Portability
Policy & Legal
相互運用性と移植容易性ポリシーと法律

IPY-03

Policies, procedures, and mutually-agreed upon provisions ポリシー、手順、相互に合意した条項/条件を確立し、サービス間連
携アプリケーション（ＡＰＩ）、情報処理の相互運用性、及びアプリ
and/or terms shall be established to satisfy customer(tenant) requirements for service-to-service application (API) ケーション開発と情報の交換・使用・完全性保持における移植容易性に対する顧客（テナント）の要求事項を満たさなければならない。
and information processing interoperability, and portability
for application development and information exchange,
usage, and integrity persistence.

Interoperability &Portability
Standardized Network
Protocols
相互運用性と移植容易性
標準ネットワークプロトコ
ル

IPY-04

プロバイダは、データのインポート及びエクスポートならびにサービ
The provider shall use secure (e.g., non-clear text andauthenticated) standardized network protocols for the import ス管理のために、安全な（例：暗号化、認証付き）、標準化されたネットワークプロトコルを使用し、そこに含まれる関連する相互運用
and export of data and to manage the service, and shallmake available a document to consumers (tenants) detailing 性や移植容易性の標準を詳しく記述した文書を顧客（テナント）に提供しなければならない。
the relevant interoperability and portability standards that are
involved.

プロバイダは、相互運用性の確保を支援するために、業界で広く認知された仮想化プラットフォーム及び標準仮想ファイル形式（OVFなど）を使用しなければならない。また、使用されているハイパーバ
イザーへの独自の変更やすべての（アドオン）ソリューション固有の仮想フック（ハイパーバイザー機能への介入）を文書化し、顧客がレビューできるようにしなければならない。

Interoperability &Portability
Virtualization
相互運用性と移植容易性
仮想化

IPY-05The provider shall use an industry-recognized virtualization
platform and standard virtualization formats (e.g., OVF) to
help ensure interoperability, and shall have documented
custom changes made to any hypervisor in use and all
solution-specific virtualization hooks available for customer
review.

Mobile Security
Anti-Malware
モバイルセキュリティ
アンチマルウエア

MOS-01Anti-malware awareness training, specific to mobile devices, プロバイダの情報セキュリティ意識向上訓練に、モバイルデバイス
固有のマルウェア対策意識向上訓練を取り入れなければならな
shall be included in the provider's information security
い。
awareness training.

プロバイダが管理するデータにアクセスし、あるいはそのデータを保存しているモバイルデバイスが利用するアプリケーションストアとして、承認されたものをリスト化し文書化する。

Mobile Security
Application Stores
モバイルセキュリティ
アプリケーションストア

MOS-02

A documented list of approved application stores has been
defined as acceptable for mobile devices accessing or
storing provider managed data.

Mobile Security
Approved Applications
モバイルセキュリティ承認されたアプリケーション

MOS-03The company shall have a documented policy prohibiting the 企業は、承認されていないアプリケーション、または予め確認済みのアプリケーションストア経由で入手していない承認済みアプリ
installation of non-approved applications or approved
applications not obtained through a pre-identified application ケーション、のインストールを禁止するポリシーを文書化しておかな
ければならない。
store.

Mobile Security
Approved Software for
BYOD
モバイルセキュリティ
BYOD用に承認されたソ
フトウェア

MOS-04The BYOD policy and supporting awareness training clearly BYODに関するポリシー及びこれを補強する意識向上訓練においstates the approved applications, application stores, andて、BYODで使用可能な承認済みアプリケーション、アプリケーショ
ンストア、及びアプリケーション拡張とプラグインを明示する。
application extensions and plugins that may be used for
BYOD usage.

Mobile Security
Awareness andTraining
モバイルセキュリティ
認知と訓練

MOS-05The provider shall have a documented mobile device policy プロバイダは、モバイルデバイスの定義、及びすべてのモバイルデthat includes a documented definition for mobile devices and バイスで許容される使用法及び要求事項を記載したモバイルデバ
イスのポリシーを文書化しておかなければならない。プロバイダは、
the acceptable usage and requirements for all mobile
devices. The provider shall post and communicate the policy プロバイダのセキュリティ意識向上訓練プログラムを通じて、ポリシー及び要求事項を公表し伝達しなければならない。
and requirements through the company's security awarenessand training program.

企業のモバイルデバイスまたはBYODで使用されるすべてのクラウ
ドベースのサービスは、その使用法と企業の業務データの格納について、事前承認を受けなければならない。

Mobile Security
Cloud Based Services
モバイルセキュリティ
クラウドベースサービス

MOS-06All cloud-based services used by the company's mobile
devices or BYOD shall be pre-approved for usage and thestorage of company business data.

Mobile Security
Compatibility
モバイルセキュリティ
互換性

MOS-07The company shall have a documented application validation 企業は、モバイルデバイス、オペレーティングシステム、アプリケー
ションの互換性の問題に対して検査を行うアプリケーション検証プ
process to test for mobile device, operating system, andロセスを文書化しておかなければならない。
application compatibility issues.

Mobile Security
Device Eligibility
モバイルセキュリティ
デバイスの適格性

MOS-08The BYOD policy shall define the device and eligibility
requirements to allow for BYOD usage.

BYODポリシーでは、BYODの使用を許可するためにデバイス及び適格性要件を定義しなければならない。

Mobile Security
Device Inventory
モバイルセキュリティ
デバイス管理表

MOS-09An inventory of all mobile devices used to store and accesscompany data shall be kept and maintained. All changes tothe status of these devices (i.e., operating system and patchlevels, lost or decommissioned status, and to whom thedevice is assigned or approved for usage (BYOD)) will be
included for each device in the inventory.

企業データを格納しこれにアクセスするのに使用されるすべてのモ
バイルデバイスの一覧表を保持し、更新しなければならない。一覧
表の各デバイスの項目には、デバイスの状態に関するすべての変更（オペレーティングシステム及びパッチレベル、紛失または使用
終了のステータス、デバイスを割当てられた人または（BYOD）デバ
イスの使用を承認された人など）を記載しなければならない。

Mobile Security
Device Management
モバイルセキュリティ
デバイス管理MOS-10A centralized, mobile device management solution shall be 顧客データを格納、送信、処理することを許可されたすべてのモバ
deployed to all mobile devices permitted to store, transmit, or イルデバイスに対して、一元的なモバイルデバイス管理策を導入しなければならない。
process customer data.

Mobile Security
Encryption
モバイルセキュリティ
暗号化

MOS-11

The mobile device policy shall require the use of encryption
either for the entire device or for data identified as sensitiveon all mobile devices, and shall be enforced throughtechnology controls.

モバイルデバイスポリシーは、すべてのモバイルデバイスに対して、デバイス全体か、機微であると特定されたデータの暗号化を義
務付け、技術的管理策によって実施しなければならない。

Mobile Security
Jailbreaking andRooting
モバイルセキュリティ
ジェイルブレイクとルート
化

MOS-12

Mobile Security
Legal
モバイルセキュリティ
法的問題

MOS-13The mobile device policy shall prohibit the circumvention of モバイルデバイスポリシーでは、モバイルデバイスに組込まれたセ
built-in security controls on mobile devices (e.g., jailbreaking キュリティ対策の回避を禁止しなければならない（ジェイルブレイ
or rooting) and shall enforce the prohibition through detective ク、ルート化など）。この禁止は、デバイス上の検出手段及び予防的手段により、または一元的なデバイス管理システム（モバイルデ
and preventative controls on the device or through a
バイス管理など）により、実施しなければならない。
centralized device management system (e.g., mobile device
management).

The BYOD policy includes clarifying language for the
expectation of privacy, requirements for litigation, ediscovery, and legal holds. The BYOD policy shall clearlystate the expectations regarding the loss of non-company
data in the case a wipe of the device is required.

BYODポリシーでは、プライバシーの必要保護レベル、訴訟の要件、電子的証拠開示、訴訟ホールド（訴訟等に関連して関係資料・情報を保存すること）等について明確に記述する。BYODポリシー
は、デバイスの全データ消去が必要になった場合の企業データ以外のデータの喪失の可能性について明記しなければならない。

Mobile Security
Lockout Screen
モバイルセキュリティ
ロックアウト画面

MOS-14

BYOD and/or company-owned devices are configured torequire an automatic lockout screen, and the requirement
shall be enforced through technical controls.

BYODや企業が所有するデバイスには、自動ロック画面を設定する。この要求事項は、技術的管理策を通じて実施されなければならない。

Mobile Security
Operating Systems
モバイルセキュリティ
オペレーティングシステ
ム

MOS-15

Changes to mobile device operating systems, patch levels, 企業の変更管理プロセスを通じて、モバイルデバイスのオペレー
and/or applications shall be managed through the company's ティングシステム、パッチレベル、アプリケーションに対する変更を管理しなければならない。
change management processes.

Mobile Security
Passwords
モバイルセキュリティ
パスワード

MOS-16

Password policies, applicable to mobile devices, shall be
documented and enforced through technical controls on allcompany devices or devices approved for BYOD usage, andshall prohibit the changing of password/PIN lengths andauthentication requirements.

企業のすべてのデバイスまたはBYODでの使用が認められたデバイスに対するパスワードポリシーは、文書化し、技術的管理策を通じて実施されなければならない。このポリシーは、パスワードや暗証番号（PIN）の長さの変更、認証の要件の変更を禁じなければならない。

Mobile Security
Policyモバイルセキュリティ
ポリシー

MOS-17The mobile device policy shall require the BYOD user toperform backups of data, prohibit the usage of unapproved
application stores, and require the use of anti-malware
software (where supported).

モバイルデバイスのポリシーでは、BYODのユーザに、データのバックアップの実行を要求し、未承認のアプリケーションストアの使用を禁じ、マルウェア対策ソフトウェアの使用（サポートされている場合）を要求しなければならない。

Mobile Security
Remote Wipe
モバイルセキュリティ
リモートワイプ

MOS-18All mobile devices permitted for use through the company
BYOD program or a company-assigned mobile device shallallow for remote wipe by the company's corporate IT or shallhave all company-provided data wiped by the company's
corporate IT.

企業のBYODプログラムを通じて使用が許可されたすべてのモバ
イルデバイス、または企業が支給したモバイルデバイスでは、企業のIT統括部門によるリモート消去が許可されるか、または企業が提供するすべてのデータが企業のIT統括部門によって消去されなけ
ればならない。

Mobile Security
Security Patches
モバイルセキュリティ
セキュリティパッチ

MOS-19

Mobile devices connecting to corporate networks, or storing
and accessing company information, shall allow for remote
software version/patch validation. All mobile devices shallhave the latest available security-related patches installed
upon general release by the device manufacturer or carrier
and authorized IT personnel shall be able to perform these
updates remotely.

企業のネットワークに接続し、企業の情報の格納保存やアクセスを行うモバイルデバイスでは、リモートでソフトウエアバージョン/パッ
チを確認できるようにしなければならない。デバイスメーカーまたは通信業者の一般向けリリースに応じて、すべてのモバイルデバイスに最新のセキュリティ関連パッチをインストールしなければならない。また、認証されたIT担当者はこのようなアップデートをリモートで行うことができるようにしなければならない。

Mobile Security
Users
モバイルセキュリティ
ユーザ

MOS-20

The BYOD policy shall clarify the systems and servers
allowed for use or access on a BYOD-enabled device.

BYODポリシーでは、BYODとして認可されたデバイスが使用またはアクセス可能なシステム及びサーバを明記しなければならない。

Security IncidentManagement, EDiscovery & Cloud
Forensics
Contact / Authority
Maintenance
セキュリティインシデント
管理、Eディスカバリ、クラウドフォレンジックス
契約 / 機関の維持

SEF-01

Points of contact for applicable regulation authorities,
national and local law enforcement, and other legal
jurisdictional authorities shall be maintained and regularly
updated (e.g., change in impacted-scope and/or a change inany compliance obligation) to ensure direct complianceliaisons have been established and to be prepared for a
forensic investigation requiring rapid engagement with law
enforcement.

コンプライアンスに関する司法当局との直接的な連携及び迅速な実施を必要とするフォレンジック調査の準備を整えておくために、該当する規制当局、国家及び地方の司法当局、その他の法管轄当局との連絡窓口を維持し、定期的に更新（影響を受ける適用範囲の変更、遵守義務の変更など）しなければならない。

Security IncidentManagement, EDiscovery & Cloud
Forensics
Incident Management
セキュリティインシデント
管理、Eディスカバリ、クラウドフォレンジックス
インシデント管理SEF-02

Policies and procedures shall be established, and supporting 定められたITサービスマネジメントのポリシー及び手順に従って、
business processes and technical measures implemented, セキュリティ関連の事象を優先順位付けし、適時かつ一貫したインシデント管理を確実に行うために、ポリシー及び手順を確立し、これto triage security-related events and ensure timely andらを補強するためのビジネスプロセス及び技術的対策を実装しなけ
thorough incident management, as per established IT
ればならない。
service management policies and procedures.

Security IncidentManagement, EDiscovery & Cloud
Forensics
Incident Reporting
セキュリティインシデント
管理、Eディスカバリ、クラウドフォレンジックス
インシデントレポーティン
グ

SEF-03

Workforce personnel and external business relationships
shall be informed of their responsibilities and, if required,shall consent and/or contractually agree to report all
information security events in a timely manner. Information
security events shall be reported through predefinedcommunications channels in a timely manner adhering toapplicable legal, statutory, or regulatory complianceobligations.

従業員及び外部の取引関係者に自身が負うべき責任を周知しなけ
ればならない。また、要求があった場合、従業員及び外部の取引関係者は、速やかにすべての情報セキュリティ事象を報告することに同意し、または契約により合意しなければならない。情報セキュリ
ティ事象は、適用される法令上または規制上の遵守義務に従って、速やかに事前に設定された伝達経路を通じて報告されなければならない。

情報セキュリティインシデントの発生後、関連する司法管轄において行われる可能性のある今後の法的措置を支援する証拠を提出するために、証拠能力の証拠保全の一貫性（chain of custody）を含む適切なフォレンジック手続が必要である。通知に基づいて、セキュリティ違反の影響を受ける顧客や他の外部取引関係者には、法的に認められる範囲で、フォレンジック調査に参加する機会が与えられなければならない。

Security IncidentManagement, EDiscovery & Cloud
Forensics
Incident Response
Legal Preparation
セキュリティインシデント
管理、Eディスカバリ、クラウドフォレンジックス
インシデントレスポンスの法的準備

SEF-04

Proper forensic procedures, including chain of custody, arerequired for the presentation of evidence to support potential
legal action subject to the relevant jurisdiction after an
information security incident. Upon notification, customers
and/or other external business partners impacted by asecurity breach shall be given the opportunity to participate
as is legally permissible in the forensic investigation.

Security IncidentManagement, EDiscovery & Cloud
Forensics
Incident Response
Metrics
セキュリティインシデント
管理、Eディスカバリ、クラウドフォレンジックス
インシデントレスポンスメ
トリックス

SEF-05

Mechanisms shall be put in place to monitor and quantify the 情報セキュリティインシデントを監視し、その種類や規模、コストを
types, volumes, and costs of information security incidents. 定量化するような機能を導入しなければならない。

Supply Chain
Management,
Transparency andAccountability
Data Quality andIntegrity
サプライチェーンの管理、透明性、説明責任
データ品質と完全性

STA-01

プロバイダは、データ品質の欠陥と関連するリスクを収集するため
Providers shall inspect, account for, and work with theircloud supply-chain partners to correct data quality errors and に、検査を行い、詳細を明らかにし、クラウドサプライチェーンパート
ナーとともに作業を行わなければならない。プロバイダは、サプライ
associated risks. Providers shall design and implement
チェーン内のすべての人員に対する適切な職務の分割、ロール
controls to mitigate and contain data security risks throughベースのアクセス、最小権限のアクセスを通じて、データセキュリ
proper separation of duties, role-based access, and leastティリスクを軽減し抑制するための管理策を策定し実装しなければprivilege access for all personnel within their supply chain.
ならない。

Supply Chain
Management,
Transparency andAccountability
Incident Reporting
サプライチェーンの管理、透明性、説明責任
インシデントレポーティン
グ

STA-02

プロバイダは、電子的手段（ポータルなど）を通じて定期的に、影響
The provider shall make security incident information
available to all affected customers and providers periodically を受けるすべての顧客とプロバイダがセキュリティインシデント情報を利用できるようにしなければならない。
through electronic methods (e.g., portals).

Supply Chain
Management,
Transparency andAccountability
Network /Infrastructure Services
サプライチェーンの管理、透明性、説明責任
ネットワーク / インフラス
トラクチャサービス

STA-03Business-critical or customer (tenant) impacting (physicaland virtual) application and system-system interface (API)designs and configurations, and infrastructure network andsystems components, shall be designed, developed, anddeployed in accordance with mutually agreed-upon service
and capacity-level expectations, as well as IT governanceand service management policies and procedures.

相互に合意したサービス、容量の予測、ITガバナンス、サービス管
理ポリシー及び手順に従って、業務上不可欠なまたは顧客（テナント）に影響する実/仮想アプリケーション及びシステム間のインタ
フェース（API）の設計及び設定、インフラストラクチャー基盤のネット
ワーク及びシステムコンポーネントを設計し、開発し、展開しなければならない。

Supply Chain
Management,
Transparency andAccountability
Provider Internal
Assessments
サプライチェーンの管理、透明性、説明責任
プロバイダの内部評価

STA-04The provider shall perform annual internal assessments ofconformance to, and effectiveness of, its policies,
procedures, and supporting measures and metrics.

プロバイダは、ポリシー、手順、これらをサポートする対策や基準の適合性及び有効性の内部評価を年1回実施しなければならない。

プロバイダと顧客（テナント）とのサプライチェーンについての契約
Supply chain agreements (e.g., SLAs) between providers
書（SLAなど）には、少なくとも、以下のような相互に合意した条項/
and customers (tenants) shall incorporate at least the
条件を取り入れなければならない。
following mutually-agreed upon provisions and/or terms:• Scope of business relationship and services offered (e.g., ・取引関係及び提供されるサービスの範囲（顧客（テナント）のデー
タの取得・交換・利用方法、構成テンプレート及び機能、サービス提customer (tenant) data acquisition, exchange and usage,
供及びサポートに必要な人員・基盤ネットワーク・システムコンポー
feature sets and functionality, personnel and infrastructure
ネント、プロバイダ及び顧客（テナント）の役割及び責任、下請け及network and systems components for service delivery andび外部委託の取引関係、ホストされるサービスの物理的地理的位
support, roles and responsibilities of provider and customer 置、ならびに既知の規制上の法令遵守に関する考慮事項など）(tenant) and any subcontracted or outsourced business・情報セキュリティの要求事項、プロバイダ及び顧客（テナント）の取引関係の継続期間中の主たる連絡窓口、影響を受けるすべての
relationships, physical geographical location of hosted
取引関係によるガバナンス、リスクマネジメント、保証、ならびに、法services, and any known regulatory compliance
律上及び規制上の遵守義務を効果的に実行するために導入されconsiderations)• Information security requirements, provider and customer る詳細な補助的関連ビジネスプロセス及び技術的対策への言及
・顧客（テナント）への影響力を持つプロバイダの管理下における変(tenant) primary points of contact for the duration of the
更の通知や事前承認
business relationship, and references to detailed supporting ・影響を受けるすべての顧客（テナント）その他の取引関係者（影響and relevant business processes and technical measuresを受けるアップストリーム及びダウンストリームのサプライチェーン）
implemented to enable effectively governance, riskに、セキュリティインシデント（あるいは、確認された漏えい）を適宜
management, assurance and legal, statutory and regulatory 通知すること・評価対象の組織に許容できないビジネスリスクが及ぶことなく、契compliance obligations by all impacted business
約条項を遵守しているかどうかを評価し独立して検証すること（業relationships
界が認める認証、証明用監査報告書、その他の証明形式など）• Notification and/or pre-authorization of any changes
・取引関係の終了及び影響を受ける顧客（テナント）データの処理
controlled by the provider with customer (tenant) impacts
・アプリケーション開発、情報の交換、使用、完全性維持を目的とす• Timely notification of a security incident (or confirmed
る、顧客（テナント）のサービス間のアプリケーション（API）とデータ
breach) to all customers (tenants) and other businessの相互運用性及び可搬性の要求事項
relationships impacted (i.e., up- and down-stream impacted
supply chain)• Assessment and independent verification of compliancewith agreement provisions and/or terms (e.g., industryacceptable certification, attestation audit report, or equivalent
forms of assurance) without posing an unacceptablebusiness risk of exposure to the organization being assessed• Expirationof thebusinessrelationship
andandtreatmentof
プロバイダは、実施内容の整合性を保持し、パートナーのクラウド
Providersshallreview
the riskmanagement
governanceprocesses of their partners so that practices are consistent サプライチェーンの他のメンバーから引き継いだリスクの主な原因を明らかにするための調整を確実に行うために、パートナーのリス
and aligned to account for risks inherited from other
クマネジメント及びガバナンスプロセスをレビューしなければならな
members of that partner's cloud supply chain.
い。

Supply Chain
Management,
Transparency andAccountability
Supply Chain
Agreements
サプライチェーンの管理、透明性、説明責任
サプライチェーンの合意

STA-05

Supply Chain
Management,
Transparency andAccountability
Supply Chain
Governance Reviews
サプライチェーンの管理、透明性、説明責任
ガバナンスのレビュー

STA-06

Supply Chain
Management,
Transparency andAccountability
Supply Chain Metrics
サプライチェーンの管理、透明性、説明責任
サプライチェーンメトリッ
クス

STA-07

Policies and procedures shall be implemented to ensure the 関連するサプライチェーン（上流／下流）でプロバイダと顧客(テナント)間のサービス契約（たとえば、SLA)の一貫したレビューを保証
consistent review of service agreements (e.g., SLAs)
するポリシーと手順を実装しなければならない。レビューは、少なく
between providers and customers (tenants) across therelevant supply chain (upstream/downstream). Reviews shall とも年1回行い、確立された合意事項に準拠しないことを発見しなければならない。レビューは、その結果、整合していない供給者間関be performed at least annually and identify any non係から生じるサービスレベルの不一致や不整合を発見できるように
conformance to established agreements. The reviews
実施すべきである。
should result in actions to address service-level conflicts orinconsistencies resulting from disparate supplier
relationships.

Supply Chain
Management,
Transparency andAccountability
Third Party
Assessment
サプライチェーンの管理、透明性、説明責任
第三者の評価STA-08Providers shall assure reasonable information security
across their information supply chain by performing anannual review. The review shall include all partners/third
party-providers upon which their information supply chain
depends on.

プロバイダは、年次レビューを実施して、情報サプライチェーン全体
で妥当な情報セキュリティが維持されることを保証しなければならない。レビューには、情報サプライチェーンに関与するすべてのパートナー/第三者プロバイダを含めなければならない。

Supply Chain
Management,
Transparency andAccountability
Third Party Audits
サプライチェーンの管理、透明性、説明責任
第三者の監査STA-09

Third-party service providers shall demonstrate compliance 第三者のサービスプロバイダは、第三者契約に含まれる情報セwith information security and confidentiality, access control, キュリティ及び情報の機密性、アクセスコントロール、サービス定
service definitions, and delivery level agreements included in 義、供給サービスレベル契約書を遵守していることを実証しなければならない。サービス提供の契約書への遵守状況を監督し維持す
third-party contracts. Third-party reports, records, andるために、第三者の報告書、記録、サービスの監査及びレビューを
services shall undergo audit and review at least annually to
事前に定められた間隔で実施しなければならない。
govern and maintain compliance with the service delivery
agreements.

Threat and Vulnerability
Management
Anti-Virus / Malicious
Software
脅威と脆弱性の管理
アンチウイルス / 悪質なソフトウエアTVM-01

Policies and procedures shall be established, and supporting 組織が所有または管理するユーザのエンドポイントデバイス（支給business processes and technical measures implemented, されたワークステーション、ラップトップ、モバイルデバイスなど）やIT基盤のネットワーク及びシステムコンポーネントにおけるマルウェ
to prevent the execution of malware on organizationallyアの実行を防止するために、ポリシー及び手順を確立し、これらをowned or managed user end-point devices (i.e., issued
補強するための業務プロセス及び技術的対策を実装しなければな
workstations, laptops, and mobile devices) and IT
らない。
infrastructure network and systems components.

Threat andVulnerability
Management
Vulnerability / PatchManagement
脅威と脆弱性の管理
脆弱性 / パッチ管理

TVM-02Threat and Vulnerbility
Management
Mobile Code
脅威と脆弱性の管理
モバイルコード

TVM-03

Policies and procedures shall be established, and supporting 実装されたセキュリティコントロールの有効性を確実にするために、
processes and technical measures implemented, for timely 組織が所有または管理するアプリケーション、ＩＴ基盤のネットワー
detection of vulnerabilities within organizationally-owned or ク及びシステムコンポーネント（たとえば、ネットワーク脆弱性評価、ペネトレーションテスト）内の脆弱性を遅滞なく検出できるように、ポmanaged applications, infrastructure network and system
リシー及び手順を確立し、これらを補強するためのプロセス及び技
components (e.g., network vulnerability assessment,
術的対策を実装しなければならない。特定された脆弱性の改善措
penetration testing) to ensure the efficiency of implemented 置を優先順位付けするためのリスクベースのモデルを使用しなけ
security controls. A risk-based model for prioritizing
ればならない。変更は、すべてのベンダー提供パッチ、構成変更、remediation of identified vulnerabilities shall be used.
あるいは組織内で開発されたソフトウエアのための変更管理プロセ
Changes shall be managed through a change management スを通して管理されなければならない。プロバイダは、要求に応じて、顧客（テナント）データがサービスの一部として利用されたり、顧process for all vendor-supplied patches, configuration
客（テナント）が管理の実施に対する責任の一部を共有したりして
changes, or changes to the organization's internallyいる場合は、顧客（テナント）にポリシー及び手順を通知しなければdeveloped software. Upon request, the provider informs
ならない。
customer (tenant) of policies and procedures and identified
weaknesses especially if customer (tenant) data is used aspart the service and/or customer (tenant) has some shared
Policies and procedures shall be established, and supporting 組織が所有または管理するユーザのエンドポイントのデバイス（支business processes and technical measures implemented, 給されたワークステーション、ラップトップ、モバイルデバイスなど）、
IT基盤のネットワーク及びシステムコンポーネント上で、承認されてto prevent the execution of unauthorized mobile code,
いないモバイルコードが実行されるのを防止するために、ポリシー
defined as software transferred between systems over atrusted or untrusted network and executed on a local system 及び手順を確立し、これらを補強するための業務プロセス及び技術的対策を実装しなければならない。ここで、承認されていないモバイ
without explicit installation or execution by the recipient, on
ルコードとは、信頼できるネットワークまたは信頼できないネット
organizationally-owned or managed user end-point devices ワークのシステム間で転送され、受信者が明示的にインストールや(e.g., issued workstations, laptops, and mobile devices) and 実行をすることなくローカルシステム上で実行されるソフトウエアのIT infrastructure network and systems components.
ことである。

© Copyright 2015-2016 Cloud Security Alliance - All rights reserved. You may download, store, display
on your computer, view, print, and link to the Cloud Security Alliance “Cloud Controls Matrix (CCM)
Version 3.0.1” at http://www.cloudsecurityalliance.org subject to the following: (a) the Cloud Controls
Matrix v3.0.1 may be used solely for your personal, informational, non-commercial use; (b) the CloudControls Matrix v3.0.1 may not be modified or altered in any way; (c) the Cloud Controls Matrix v3.0.1
may not be redistributed; and (d) the trademark, copyright or other notices may not be removed. You
may quote portions of the Cloud Controls Matrix v3.0.1 as permitted by the Fair Use provisions of theUnited States Copyright Act, provided that you attribute the portions to the Cloud Security Alliance
Cloud Controls Matrix Version 3.0.1 (2014). If you are interested in obtaining a license to this material
for other usages not addresses in the copyright notice, please contact info@cloudsecurityalliance.org.