プロジェクトマネジメントにおける情報セキュリティ管理策および脅威インテリジェンスに関するガイドライン
令和7年8月29日|p.109
左の本文を選ぶと、右側の官報原文画像で該当箇所を照合できます。
5a-5.8.3
5a-5.8.4
5a-5.8.5
5a-5.8.6
5a-5.8.7
b)情報セキュリティ要求事項には、プロジェクトの早い段階で
対処する。
c)内部及び外部への伝達の側面のセキュリティなど、プロジェ
クトの実行に伴う情報セキュリティリスクを、プロジェクト
のライフサイクル全体を通じて考慮し、処理する、
d)情報セキュリティリスク対応の進捗状況をレビューし、対応
の有効性を評価及び試験する。
情報セキュリティの考慮及び活動の適切性は、あらかじめ定めた段
階において、適切な人物又はプロジェクト運営委員会などのガバナ
ンス機関がフォローアップする。
プロジェクトに関連する情報セキュリティの責任及び権限を定義し、
規定された役割に割り当てる。
プロジェクトが提供する製品又はサービスの情報セキュリティ要求
事項は、情報セキュリティ方針、トピック固有の方針及び規制から
順守すべき要求事項を導出することを含む、様々な方法を用いて決
定する。
プロジェクトが提供する製品又はサービスの情報セキュリティ要求
事項は、脅威のモデリング、インシデントのレビュー、ぜい弱性の
深刻度の使用、緊急時対応計画策定などの活動から導き出すことが
でき、それによって、情報システムのアーキテクチャ及び設計を運
用環境における既知の脅威から保護することを確実にする。
情報セキュリティ要求事項は、ICT開発プロジェクトだけでなく、
全ての種類のプロジェクトについて決定する。これらの要求事項を
決定する際には、次の事項も考慮する。
a)どのような情報が関係するか(情報の決定)、それに対応する
情報セキュリティのニーズは何か、及び適切なセキュリティ
の欠如から生じる可能性のある事業への潜在的な悪影響
b)特に機密性、完全性及び可用性の観点から、関係する情報及
びその他の関連資産に必要な保護のニーズ
c)認証の要求事項を導き出すための、エンティティが提示する
識別情報に求める信頼又は保証のレベル
d)顧客及びその他の潜在的な業務上の利用者のほか、関係する
プロジェクトメンバ、潜在的な運用スタッフ、外部供給者な
どの特権をもつ、又は技術をもつ利用者に対する、アクセス
の提供及び認可のプロセス
e)利用者に対する、各自の義務及び責任の通知
f)トランザクションのログ取得及び監視、並びに否認防止の要
求事項のような、業務プロセスに由来する要求事項
g)他の情報セキュリティ管理策によって必要になる要求事項
h)組織の活動に適用される法令、規制及び契約上の条件の順守
i)第三者との合意又は契約における関連セキュリティ箇条を含
む、組織の情報セキュリティ方針及びトピック固有の方針を
満たす上で必要な、第三者に求める信頼又は保証のレベル
(#961 $88
報
官
UMT BURITION 6001
5a-5.7.3
脅威インテリジェンスは、次の事項を満たす。
a) 課題に応える (すなわち、 組織の保護に関係する。)。
b) 十分な情報を含む 脅威の状況に関する正確かつ
詳細な理解を組織に提供する。)。
c) 事象の
5a-5.7.4
発生時間、 場所、 以前の経験及び同様の組織における傾向に
よって、情報に状況を加える。)。
d)対応可能である(すなわち、組織が情報に基づいて迅速かつ
効果的に対応可能である。)。
脅威インテリジェンス活動は、次の事項を含む。
a)脅威インテリジェンスの構築の目的を確立する。
b) 脅威インテリジェンスの構築に必要な情報を提供するのに必
5a-5.7.5
要かつ適切な内部及び外部の情報源を特定し、吟味し、選択
する。
c)内部及び外部のいずれかによらず、精選した情報源から情報
を収集する。
d) 収集した情報を、 分析に備えて処理する。
e)情報を、それが組織にどのように関係し、意味をもつかを理
解するために分析する。
f)関係する個人に分析した結果を理解可能な形式で伝達し、共
有する。
脅威インテリジェンスを分析し、次のとおりに使用する。
a)脅威インテリジェンスの情報源から収集した情報を組織の情
報セキュリティリスクマネジメントプロセスに含めるプロセ
スを実施することによって。
b)ファイアウォール、侵入検知システム、マルウェア対策ソ
リューションなどの技術的な予防及び検知の管理策への追加
の入力として。
c)情報セキュリティテストのプロセス及び手法への入力として。
5a-5.7.6
組織は、脅威インテリジェンス全体を改善するために、脅威インテ
リジェンスを他の組織と相互に共有する。
5a-5.8 プロジェクトマネジメントにおける情報セキュリティ
管理策:情報セキュリティをプロジェクトマネジメントに組み入れる。
-目的: プロジェクトのライフサイクル全体を通して、プロジェクトマネジメントにおいて、
プロジェクト及び成果物に関連する情報セキュリティリスクに効果的に対処すること
を確実にするため。
詳細管理策
5a-5.8.1
プロジェクトマネジメントの一部として情報セキュリティリスクに
(5a-5.8.1参考)
5a-5.8.2
対処することを確実にするために、情報セキュリティをプロジェク
トマネジメントに組み入れる。
これは、プロジェクトの複雑さ、規模、期間、分野又は適用領域に
かかわらず、あらゆる種類のプロジェクトに適用可能である。
用いるプロジェクトマネジメントでは、次の事項を要求する。
a)情報セキュリティリスクを、プロジェクトリスクの一部とし
て、プロジェクトのライフサイクル全体を通じて、早い段階
で及び定期的にリスクアセスメント及びリスク対応を実施す
る。