構成管理に関するガイドライン（8b-8.9）
令和7年8月29日|p.139
左の本文を選ぶと、右側の官報原文画像で該当箇所を照合できます。
8b-8.9構成管理
管理策:ハードウェア、ソフトウェア、サービス及びネットワークのセキュリティ構成を含む
構成を確立し、 実装し、 監視し、 レビューする。
目的: ハードウェア、ソフトウェア、サービス及びネットワークが、必要とされるセキェリ
ティ設定で正しく機能し、認可されていない変更又は誤った変更によって構成が変え
られないことを確実にするため。
詳細管理策
【構成管理全般】
8b-8.9.1
組織は、ハードウェア、ソフトウェア、サービス及びネットワーク
に関して、 新しく導入したシステム及び運用システムの存続期間に
わたって、定義した構成(セキュリティ構成を含む。)を維持するた
めのプロセス及びツールを定義し、実装する。
日 平 日 62 1 8 # 8 4 681
8b-8.9.2
全ての構成変更を良好に管理することを確実にするために、 役割、
責任及び手順を定める。
【標準テンプレート】
8b-8.9.3
ハードウェア、ソフトウェア、サービス及びネットワークのセキュ
リティを保った構成のための標準テンプレートを次のように定義す
る。
a)公開され、入手できる手引を使用する。
b)十分なセキュリティレベルを決定するために、必要な保護の
681
レベルを考慮する。
c)組織の情報セキュリティ方針、トピック固有の方針、標準及
びその他のセキュリティ要求事項を支援する。
d)組織の状況において、セキュリティ構成の実現可能性及び適
用可能性を考慮する。
8b-8.9.4
ハードウェア、ソフトウェア、サービス及びネットワークのセキュ
リティを保った構成の標準テンプレートは、定期的にレビューする
ことに加えて、新しい脅威又はぜい弱性に対処する必要がある場合、
又は新版のソフトウェア若しくはハードウェアを導入した場合に更
新する。
8b-8.9.5
ハードウェア、ソフトウェア、サービス及びネットワークのセキュ
リティを保った構成の標準テンプレートの策定に当たって、次の事
項を考慮する。
a)特権的又は実務管理者レベルのアクセス権をもつ識別情報の
数を最小限にする。
b)不必要な、使用されていない又はセキュリティが保たれてい
ない識別情報を無効化する。
c)不必要な機能及びサービスを無効化又は制限する。
d)強力なユーティリティプログラム及びホストパラメータ設定
へのアクセスを制限する。
e)クロックを同期させる。
f)初期パスワードなどの業者による初期認証情報を導入の直後
に変更し、その他の重要なセキュリティ関連パラメータの初
期状態をレビューする。
g)既定の使用中断時間の後に、コンピューティング装置・機器
から自動的にログオフするタイムアウト機能を作動させる。
h)使用許諾の要求事項が満たされていることを検証する。
【構成の管理】
8b-8.9.6
ハードウェア、ソフトウェア、サービス及びネットワークについて
決定した構成を記録し、全ての構成変更のログを維持する。これら
の記録はセキュリティを保って保管する。
(8b-8.9.6参考1)
これは、構成データベース又は構成テンプレートなど様々な方法で
達成することが可能である。
(8b-8.9.6参考2)構成の変更は、変更管理プロセスに従う。
(8b-8.9.6参考3)構成記録には、次の事項を含み得る。
a)資産の最新の管理責任者又は連絡先情報
b)構成の最終変更日
c)構成テンプレートの版
d)その他の資産の構成との関係
【構成の監視】
2b-8.9.7構成は、包括的なシステム管理ツール群を用いて監視する。
構成設定を検証し、パスワードの強度を評価し、また、実施する活
動を評価するために、定期的にレビューする。
8b-8.9.9
実際の構成を、定義した目標テンプレートと比較することが可能で
ある。逸脱には、定義した目標構成を自動適用して、又は逸脱を手
動で分析し、是正処置を講じて対処する。