SCS評価制度 ★3 要求事項・評価基準 一覧

1-2-1 セキュリティ推進活動部門

セキュリティ推進活動を担当する部署、役員及び従業員を決定し、責任及び権限を割り当てること。

役割、責任、権限 NIST CSF: 統治(GV) 評価基準 3件

• 1-2-1-1 セキュリティを統括する役員(例えば、CISOを設置する会社の場合は、当該CISO)及びセキュリティ担当部署の役割・責任を定めること。 補足：CISOの設置は必須ではないが、統括する役員を特定できる必要がある
• 1-2-1-2 平時のセキュリティ推進活動に必要な役員(例えば、CISOを設置する会社の場合は、当該CISO)及びセキュリティ担当部署の連絡先リストを定めること。
• 1-2-1-3 年1回以上の頻度でNo.1-2-1-1及びNo.1-2-1-2にて定めた平時の体制について点検すること。 補足：点検した記録が残っていないと、実施していても対応済みと判断しにくい

1-2-3 守秘義務のルール

守秘義務のルールを策定し、遵守させること。

役割、責任、権限 NIST CSF: 統治(GV) 評価基準 2件

• 1-2-3-1 役員、従業員、派遣社員及び受入出向者を対象に、自社の守秘義務のルールを定めること。 補足：派遣社員・受入出向者が対象から漏れやすい。就業規則だけでは範囲が足りない場合がある
• 1-2-3-2 入社時又は社外要員の受入れ時に守秘義務のルールを説明すること。

1-3-1 セキュリティ対応方針の策定

自社のセキュリティ対応方針を策定し、周知すること。

ポリシー NIST CSF: 統治(GV) 評価基準 3件

• 1-3-1-1 自社のセキュリティ対応方針を定めること。 補足：文書の名称は問われないが、経営層の承認を得ていることが要件
• 1-3-1-2 定常的に役員、従業員、派遣社員及び受入出向者が最新のセキュリティ対応方針を参照できるようにすること。 補足：派遣社員・受入出向者も参照できる場所に置く必要がある
• 1-3-1-3 セキュリティ対応方針の改正時に、当該改正内容を役員、従業員、派遣社員及び受入出向者に周知すること。

2-1-1 取引先とのビジネス又はシステム上の関係

取引先と自社とのビジネス又はシステム上の関係を把握すること。

サイバーセキュリティサプライチェーンリスクマネジメント NIST CSF: 統治(GV) 評価基準 2件

• 2-1-1-1 自社以外の組織(顧客・子会社・関係会社・クラウドサービス提供者を含む取引先)が管理・提供し、自社の資産が接続しているシステムを把握するための仕組みを整備すること。 補足：クラウドサービス提供者も取引先に含まれる。SaaSの棚卸が漏れやすい
• 2-1-1-2 年1回以上の頻度でNo.2-1-1-1において把握した情報の内容を点検すること。

2-1-2 機密情報の取扱い

自社の機密情報の取扱い方法を、共有先との間で明確にすること。

サイバーセキュリティサプライチェーンリスクマネジメント NIST CSF: 統治(GV) 評価基準 1件

• 2-1-2-1 自社の機密情報を共有する子会社又は取引先との間で、業務開始前に機密情報の取扱いについて、以下の事項を取り決めること。 - 機密情報の定義 - 機密情報の利用制限、保管方法、複製可否及び第三者への提供可否 - 機密情報の返還又は廃棄 補足：一般的なNDAでは「返還又は廃棄」「複製可否」が抜けていることが多い

2-1-4 セキュリティインシデント発生時の役割・責任

セキュリティインシデント発生時の他社との役割及び責任を明確にすること。

サイバーセキュリティサプライチェーンリスクマネジメント NIST CSF: 統治(GV) 評価基準 1件

• 2-1-4-1 自社の機密情報を共有する子会社又は取引先との間で、セキュリティインシデント発生時の自社と子会社又は取引先の役割及び責任を定めること。 補足：NDAとは別に、インシデント発生時の役割分担を明記する必要がある

3-1-1 情報機器、OS及びソフトウェアに関する情報の把握

情報機器、OS及びソフトウェアに関する情報を把握すること。

資産管理 NIST CSF: 識別(ID) 評価基準 4件

• 3-1-1-1 パソコン及びシンクライアントの製造元、OS及び台数を把握するための仕組みを整備すること。 補足：貸与済みの予備機や休眠端末が台帳から漏れやすい
• 3-1-1-2 サーバ、仮想サーバ及びハイパーバイザの製造元、OS及び台数を把握するための仕組みを整備すること。 補足：クラウド上の仮想サーバも対象。オンプレ分だけでは足りない
• 3-1-1-3 情報機器、OS及びソフトウェアについて、導入、設置、ネットワーク接続及びセキュリティパッチ適用のルールを含む管理ルールを定めること。
• 3-1-1-4 年1回以上の頻度でNo.3-1-1-3で定めた管理ルールの遵守状況について点検すること。 補足：ルールを定めるだけでなく、遵守状況を点検した記録が必要

3-1-2 ネットワークに関する情報の把握

ネットワークに関する情報を把握するための仕組みを整備すること。

資産管理 NIST CSF: 識別(ID) 評価基準 2件

• 3-1-2-1 ネットワークを把握するための仕組みを整備すること。その際、把握すべき情報の中に各ネットワークの所在地及び用途に関する情報を含めること。
• 3-1-2-2 ネットワーク機器を把握するための仕組みを整備すること。その際、把握すべき情報の中に各機器の製造元、モデル及び保守事業者に関する情報を含めること。 補足：保守事業者の情報まで求められる。保守切れ機器の把握にもつながる

3-1-3 外部情報サービスの管理

自社の機密情報を扱う外部情報サービスを管理すること。

資産管理 NIST CSF: 識別(ID) 評価基準 2件

• 3-1-3-1 外部情報サービスを利用する際のセキュリティ要件を定めたうえで、外部情報サービスの利用時に当該要件を満たしているかサービス内容を確認すること。 補足：無料のSaaSや、部門が独自に契約したサービスが対象から漏れやすい
• 3-1-3-2 外部情報サービスの提供事業者と機密情報の取扱いについて合意を取り交わすこと。 補足：標準規約で足りるかは、機密情報の取扱いに関する条項の有無で判断する

3-1-4 機密区分に応じた情報の管理

機密区分に応じた情報の管理ルールを定め、それに基づく管理を行うこと。

資産管理 NIST CSF: 識別(ID) 評価基準 3件

• 3-1-4-1 自社の保有する情報を対象に、以下の内容を含む管理ルールを定めること。 - 機密の特定 - 機密区分のレベル判定及び表示 - 区分に応じた取扱方法 - 取扱エリアの区分及び制限
• 3-1-4-2 年1回以上の頻度でNo.3-1-4-1で定めた管理ルールの内容について点検すること。
• 3-1-4-3 重要な機密情報並びに当該情報ごとの管理者名、部署名、保管場所、保管期限、開示先及び管理者の連絡先を把握するための仕組みを整備すること。 補足：台帳に必要な項目が6つ指定されている。1つでも欠けると不足になりうる

4-1-1 ユーザIDの管理手続

ユーザIDの発行・変更・削除の手続を定めること。

アイデンティティ管理、認証、アクセス制御 NIST CSF: 防御(PR) 評価基準 4件

• 4-1-1-1 自社の役員、従業員、派遣社員及び受入出向者に対するユーザIDの付与・変更・削除は申請・承認制にすること。
• 4-1-1-2 ユーザIDの共有について、以下のいずれかを適用すること。 - ユーザIDを共有しない。 - やむを得ず共有IDが必要な場合(例えば、システムの仕様により、使用人数分のユーザIDを発行することができない場合)は、共有IDを利用したユーザを特定できるようにする。 補足：共有IDを残す場合、誰が使ったか特定できる証跡の仕組みが必要
• 4-1-1-3 ユーザIDが不要になった場合(例えば、ユーザが組織を退職した場合又はユーザIDが一定期間使用されなかった場合)、速やかにユーザIDを削除又は無効化すること。 補足：一定期間使われていないIDも削除の対象。退職者対応だけでは足りない
• 4-1-1-4 ユーザIDに付与したアクセス権が不要になった場合(例えば、ユーザの業務上の役割が変わった場合)は、当該権限を速やかに削除又は無効化すること。 補足：異動時の権限剥奪が漏れやすい。棚卸の記録があると示しやすい

4-1-2 管理者IDの管理手続

管理者IDの発行・変更・削除の手続を定めること。

アイデンティティ管理、認証、アクセス制御 NIST CSF: 防御(PR) 評価基準 8件

• 4-1-2-1 すべてのサーバ及びネットワーク機器について、システム管理者及び責任者を定めること。 補足：ルータやスイッチなどのネットワーク機器まで対象に含まれる
• 4-1-2-2 管理者権限を付与する役員、従業員、派遣社員及び受入出向者を限定したうえで、管理者IDについて以下のいずれかを適用すること。 - 管理者IDを共有しない。 - やむを得ず管理者IDの共有が必要な場合(例えば、システムの仕様により、使用人数分のIDを発行することができない場合)は、共有の管理者IDを利用したユーザを特定できるようにすること。
• 4-1-2-3 各管理者IDに対して当該IDの用途に応じた必要最低限の権限のみを付与すること。
• 4-1-2-4 開発環境を利用する役員、従業員、派遣社員及び受入出向者が本番環境において、開発環境における管理者権限で操作できないようにすること。 補足：技術的に操作できないことが問われる。運用ルールでの禁止だけでは足りない場合がある
• 4-1-2-5 組織内でどの役員、従業員、派遣社員及び受入出向者が管理者IDを持っているかを把握するための仕組みを整備すること。
• 4-1-2-6 管理者IDが不要になった場合(例えば、管理者が組織を退職した場合及び管理者IDが一定期間使用されなかった場合)、速やかに管理者IDを削除又は無効化すること。
• 4-1-2-7 管理者IDの付与・変更・削除は申請・承認制にすること。
• 4-1-2-8 管理者IDの付与・変更・削除並びにサーバ及びネットワーク機器の設定内容の変更を行う権限を業務上必要な役員、従業員、派遣社員及び受入出向者に限定すること。 補足：限定していることの根拠（業務上の必要性）を示せるようにしておく

4-1-3 認証の強度・実装方法の決定

システム及び情報の重要度に応じて認証の強度及び実装方法を決定すること。

アイデンティティ管理、認証、アクセス制御 NIST CSF: 防御(PR) 評価基準 4件

• 4-1-3-1 すべてのユーザID及び管理者IDについて、システム及び情報機器へのアクセスを許可する前に、ユーザIDごとに設定されている認証情報(パスワード等)でユーザを認証すること。
• 4-1-3-2 重要な機密情報を取り扱うクラウドサービスにおいて、ユーザ及び管理者がサービスにアクセスする場合は、常にNo.4-1-3-3で示す認証要素を利用した多要素認証を使用すること。 補足：対象は重要な機密情報を扱うクラウド。まず該当サービスの特定が必要
• 4-1-3-3 多要素認証の使用に当たっては、以下のいずれかの要素から2種類以上を選択し、利用すること。 - 知識情報(例：ID・パスワード) - 所有情報(例：ワンタイムパスワード※又は証明書) - 生体情報(例：指紋、顔、虹彩又は静脈) - その他の情報(例：IPアドレス) ※利用者のメールアドレス、電話番号等に対してワンタイムパスワードを送信して利用者に入力させる方法及びスマートフォンへの認証要求を利用した認証方式を含む。 補足：SMSやメールで送るワンタイムパスワードも、所有情報として認められる
• 4-1-3-4 多要素認証の知識情報として用いるパスワードは、8文字以上とすること。

4-1-4 アカウントロック制御

パソコン及びスマートデバイスにはロック制御を行うこと。

アイデンティティ管理、認証、アクセス制御 NIST CSF: 防御(PR) 評価基準 2件

• 4-1-4-1 パソコンへのログオン及びスマートデバイスのロック解除にあたって、以下のいずれかを適用すること。 - 試行回数を調整し、試行が失敗するたびに試行間隔が長くなるようにする。 - 試行が少なくとも10回以上失敗すると端末をロックする。 - 上記で示す要件のいずれも設定することができない場合、No.4-1-5で求められるよりも強度の高いパスワードを用いる等の代替策を用いること。 補足：設定できない端末がある場合は、より強いパスワードなどの代替策が必須
• 4-1-4-2 パソコンへのログオン及びスマートデバイスのロック解除を行う場合、最低でも6文字以上のパスワード又はPINを利用すること。

4-1-5 パスワード設定ルール

パスワード設定に関するルールを定め、周知すること。

アイデンティティ管理、認証、アクセス制御 NIST CSF: 防御(PR) 評価基準 5件

• 4-1-5-1 パソコン、サーバ、スマートデバイス及びクラウドサービスの利用者又は管理者は、それらにおけるデフォルトパスワードを変更するよう社内ルールを定めること。
• 4-1-5-2 ユーザ認証にパスワードを利用する場合、推測されやすい単語の設定を禁止するよう社内ルールを定めること。
• 4-1-5-3 ユーザ認証にパスワードを利用する場合、以下のいずれかの保護対策を講じるよう社内ルールを定めること。 - No.4-1-3-3で示す認証要素を利用した多要素認証を使用するか、又は試行が少なくとも10回失敗した場合にアカウントロックするように制限したうえで、パスワードの長さを8文字以上とする。 - 上記のとおり多要素認証又は試行回数の制限を実施できない場合、パスワードの長さは、英大文字小文字、数字を含めた10文字以上とする。 補足：多要素認証もアカウントロックもない場合は、10文字以上が必要になる
• 4-1-5-4 ユーザ認証にパスワードを利用する場合、情報機器及びサービス間でのパスワードを使い回さないよう社内ルールを定めること。
• 4-1-5-5 No.4-1-5-1からNo.4-1-5-4までで定めたパスワード設定に関するルールについて、役員、従業員、派遣社員及び受入出向者を対象に周知すること。 補足：ルールを作るだけでなく、周知した記録が必要

4-1-6 パスワード管理ルール

パスワードの管理に関するルールを定め、周知すること。

アイデンティティ管理、認証、アクセス制御 NIST CSF: 防御(PR) 評価基準 3件

• 4-1-6-1 紙媒体への記載及び施錠保管、パスワード管理アプリの利用等により、パスワードを安全に保管するよう社内ルールを定めること。 補足：紙に書いて施錠保管する方法も認められる。管理アプリの導入は必須ではない
• 4-1-6-2 パスワードの漏洩が判明した場合、又はその疑いがある場合に速やかにパスワードを変更するための手順を定めること。
• 4-1-6-3 No.4-1-6-1及びNo.4-1-6-2で定めたパスワードの管理に関するルールについて、役員、従業員、派遣社員及び受入出向者を対象に周知すること。

4-1-7 アクセス権の管理ルール

アクセス権の管理ルールを定めること。

アイデンティティ管理、認証、アクセス制御 NIST CSF: 防御(PR) 評価基準 1件

• 4-1-7-1 業務で利用するシステム及びパソコンへのログオン時のユーザのアクセス権並びに機密上の配慮が必要な場所及び部屋への入室について、以下の内容の管理ルールを定めること。 - アクセス権の発行・変更・削除は申請・承認制であること。 - 与える入室許可・アクセス権の範囲は必要な範囲に限定すること。 - 入室権限及びアクセス権の棚卸について定めていること。 - 与えた入室許可・アクセス権の申請書又は台帳を管理していること。 補足：物理的な入室管理も同じ要求に含まれる。サーバ室の入退室記録が漏れやすい

4-2-2 セキュリティインシデント発生時の教育・訓練

セキュリティインシデント発生時の対応に関する教育・訓練を行うこと。

意識向上とトレーニング NIST CSF: 防御(PR) 評価基準 3件

• 4-2-2-1 役員、従業員、派遣社員及び受入出向者を対象に、新規受入れ時、かつ、年1回以上の頻度で、セキュリティインシデント発生時の対応について、教育資料の配布・掲示に加え、e ラーニング又は集合教育による教育・訓練を実施すること。 補足：資料の配布・掲示だけでは足りず、eラーニングか集合教育の実施が明示されている
• 4-2-2-2 No.4-2-2-1で実施した教育・訓練の実施内容、実施方法、実施時期及び受講状況を記録し、保管すること。 補足：受講状況の記録が必要。未受講者を追える状態にしておく
• 4-2-2-3 年１回以上の頻度でセキュリティインシデント発生時の対応に関する教育・訓練の実施内容について点検すること。

4-3-4 適切なバックアップ

適切なバックアップを行うこと。

データセキュリティ NIST CSF: 防御(PR) 評価基準 3件

• 4-3-4-1 取得対象、取得頻度及び保管期間を定めて自社で取り扱うデータのバックアップを取得すること。
• 4-3-4-2 重要な機密情報については、No.4-3-4-1におけるバックアップに加えて、遠隔地バックアップを実施すること。 補足：遠隔地の距離要件は示されていないが、同一拠点内の別媒体は該当しない
• 4-3-4-3 バックアップ対象ごとにリストア手順書を整備すること。 補足：手順書の整備が要件。復旧試験までは求められていないが、実施が望ましい

4-4-1 情報機器、OS及びソフトウェアの安全な構成

情報機器、OS及びソフトウェアの安全な構成を確立し、維持すること。

プラットフォームセキュリティ NIST CSF: 防御(PR) 評価基準 3件

• 4-4-1-1 パソコン、サーバ及びスマートデバイスで利用を許可していないソフトウェアをすべて削除若しくは無効化するか、又は利用を許可するソフトウェア以外を自由にインストールできないようにすること。 補足：技術的な制限が求められる。ルールでの禁止だけでは足りない場合がある
• 4-4-1-2 外部記録媒体を使用する端末について自動実行(auto-run)又は自動再生(auto-play)を無効化すること。
• 4-4-1-3 サーバ及びネットワーク機器の設定変更を申請・承認制にすること。

4-4-4 セキュリティパッチ・アップデートの手続

情報機器、OS及びソフトウェアへのセキュリティパッチ及びアップデートの適用に係る手続を定めること。

プラットフォームセキュリティ NIST CSF: 防御(PR) 評価基準 2件

• 4-4-4-1 システム、情報機器及びソフトウェアは以下の状態とすること。 - ライセンスが付与され、サポートされている。 - サポートが終了した場合に削除されるか、又はインターネットとの全てのトラフィックを遮断することで適用範囲から削除される。 - 可能であれば、自動アップデートが有効化されている。 補足：サポート終了品は削除か通信遮断のいずれかが必要。そのままの稼働は認められない
• 4-4-4-2 利用している機能又は設定に関して、以下のいずれかに該当するアップデートプログラムがリリースされてから14日以内に、アップデートすること。 - 当該アップデートが、ベンダーにより「重大」(Critical)又は 「高リスク」(High Risk)と説明される脆弱性を修正するものである。 - 当該アップデートが、CVSSの基本値が7.0以上の脆弱性を修正するものである。 - 当該アップデートが修正する脆弱性のレベルの詳細がベンダーから提供されていない。 ・やむを得ず上記のとおりアップデートができない場合(例えば、動作検証に一定期間を要し、期限内にアップデートが完了しない場合)は、アップデート適用までの間、以下のいずれかにより脆弱性悪用のリスクを低減する対策を実施すること。 - 脆弱性悪用の対象となる機能を無効化すること。 - ベンダーが推奨する回避策を実施すること。 - 対象となる情報機器を適用範囲内のネットワークから分離すること。 - 対象となる情報機器と適用範囲内のネットワークとの通信を監視し、当該脆弱性を悪用する不正な通信を遮断する機器又はソフトウェアを導入すること。 [対象] -会社支給のパソコンの OS、ブラウザ及びOffice ソフト -サーバの OS及びミドルウェア -会社支給のスマートデバイスのOS及びアプリ -インターネットとの境界に設置されているネットワーク機器のOS及びファームウェア 補足：14日という期限が明示されている。間に合わない場合は緩和策の実施が条件

4-4-5 マルウェア感染からの保護

システムをマルウェア感染から保護すること。

プラットフォームセキュリティ NIST CSF: 防御(PR) 評価基準 3件

• 4-4-5-1 ネットワークに接続しているすべてのパソコン及びサーバに、マルウェア対策ソフトウェアを導入すること。 補足：サーバへの導入漏れが多い。ネットワークに接続していれば対象になる
• 4-4-5-2 パソコン及びサーバごとにマルウェア対策ソフトのスキャン範囲及び頻度を定め、スキャンを実行すること。
• 4-4-5-3 マルウェア対策ソフトウェアのパターンファイルを、ベンダーの推奨に従ってアップデートすること。

4-5-1 ネットワーク境界防護

ネットワークを適切に分離し、境界部分を防護すること。

技術インフラのレジリエンス NIST CSF: 防御(PR) 評価基準 7件

• 4-5-1-1 全てのファイアウォール(又はファイアウォール機能を持つネットワーク機器)及びルータについて、デフォルトの管理パスワードを強固で一意のパスワードに変更する、又はリモートアクセスを完全に無効化すること。 補足：拠点や倉庫のルータが初期パスワードのまま残っていることが多い
• 4-5-1-2 ファイアウォール(又はファイアウォール機能を持つネットワーク機器)及びルータのパスワードを変更する手順を定めること。
• 4-5-1-3 ファイアウォール(又はファイアウォール機能を持つネットワーク機器)及びルータに係る認証は、No.4-1-5で定めるパスワード設定等に関する評価基準を満たすこと。 補足：ファイアウォールやルータの認証にも、4-1-5のパスワード基準がそのまま適用される
• 4-5-1-4 全てのファイアウォール(又はファイアウォール機能を持つネットワーク機器)について、認証されていないインバウンド通信を遮断すること。
• 4-5-1-5 全てのファイアウォール(又はファイアウォール機能を持つネットワーク機器)について、インバウンド通信に関するファイアウォール・ルールが定められていること。
• 4-5-1-6 全てのファイアウォール(又はファイアウォール機能を持つネットワーク機器)について、不要になったファイアウォール・ルールを速やかに削除又は無効化すること。
• 4-5-1-7 ファイアウォール・ルールの変更をインターネット経由で行う場合、No.4-1-3-3で示す認証要素を利用した多要素認証を適用するか、又は信頼できるIPアドレスにアクセスを制限すること。 補足：インターネット経由で変更する場合は、多要素認証かIP制限のいずれかが必須

5-1-1 ネットワーク接続・データの監視

ネットワーク上の適切な場所でネットワーク接続及びデータ転送を監視すること。

継続的監視 NIST CSF: 検知(DE) 評価基準 3件

• 5-1-1-1 社内外ネットワークの境界又は端末において、インターネットから社内への通信及び社内から不正なサーバへの通信の双方について、不正アクセスをリアルタイム検知・遮断する仕組みを導入すること。 補足：外部から社内への通信だけでなく、社内から不正なサーバへの通信も対象
• 5-1-1-2 ネットワーク機器のログ及びアラートを分析し、セキュリティ担当部署の担当者又は管理者により不審な事象が発見された場合に、それがセキュリティインシデントに該当するかが判断されること。 補足：検知の仕組みだけでは足りず、人が該当性を判断する運用まで求められる
• 5-1-1-3 No.5-1-1-1で設置したネットワーク機器又はサービスについて、以下の要件を満たす異常時に通知する仕組みを導入すること。 -アラートが速やかに発報されること。 -インシデントの速報レポートが作成され、通知されること。

6-1-1 インシデント対応手順

セキュリティインシデントへの対応手順、対応体制等を定めること。

インシデント管理 NIST CSF: 対応(RS) 評価基準 6件

• 6-1-1-1 以下の手順を含んだセキュリティインシデントへの対応手順を定めること。 ①発見報告、 ②初動、③調査・対応、④復旧、⑤最終報告
• 6-1-1-2 セキュリティインシデント発生時における社内外組織(関係当局及び所管省庁を含む。)の連絡先及び報告・情報共有ルートを定めること。 補足：関係当局・所管省庁への報告先が明示されている。社内連絡網だけでは足りない
• 6-1-1-3 セキュリティインシデント発生時におけるセキュリティを統括する役員(例えば、CISOを設置する会社の場合は、当該CISO)及びセキュリティ担当部署の役割・責任を定めること。
• 6-1-1-4 年1回以上の頻度でNo.6-1-1-2及びNo.6-1-1-3にて定めたセキュリティインシデント発生時の体制について点検すること。 補足：年1回以上の点検と、その記録が必要
• 6-1-1-5 セキュリティインシデントの報告フォーマットを整備すること。
• 6-1-1-6 年１回以上及び社内外で重大なセキュリティインシデントが発生した際に、インシデント事例及びその対応策を社内部署へ共有していること。 補足：平時も年1回以上の共有が必要。インシデント発生時のみでは足りない

7-1-1 事業継続要件に沿った復旧準備

事業上重要なシステムについて、事業継続の要件に沿う復旧に必要な準備を行うこと。

インシデント復旧計画の実行 NIST CSF: 復旧(RC) 評価基準 1件

• 7-1-1-1 事業継続上重要なシステムについて、サイバー攻撃を念頭に、業務の目標復旧レベルを定めたうえで、当該レベルまで業務を回復するために必要な対策を、以下の例を参考として整備すること。 [復旧のための対策(例)] - システムによる業務継続(例:予備機、クラウド環境等により待機系を整備する。) - 人手による業務継続(例:電話、FAX等による連絡又は業務の実施に備え、影響のある取引先の連絡先及び複数の連絡手段を整備する。) 補足：システムによる継続と人手による継続のどちらでもよい。予備機の用意は必須ではない