情報セキュリティ基準（セキュリティスタンダード）

情報セキュリティ基準は、規程の義務を、適用対象・設定条件・期限・確認方法に落とし込んだ文書です。 「十分に安全にする」ではなく、担当者が実装でき、確認者が適合・不適合を判断できる形で書きます。

ここでいう基準は自組織の必須要件です。ISO規格やNISTのフレームワーク等は、組織の基準を作るための参考資料であり、採用しただけで適合や認証を証明できるものではありません。

基準に必要な項目

項目	記載例
要件ID・上位根拠	AC-01、情報セキュリティ管理規程のアクセス管理条項
目的・対象	顧客情報を扱う業務サービスの不正アクセス防止
必須要件	個人識別可能なIDを使い、MFAを適用する
責任者・実施時期	サービス責任者が利用開始前に確認する
確認方法・証跡	設定一覧、認証テスト、対象アカウント一覧
例外・改訂	指定承認者、代替策、期限、改訂履歴

対象外の判断も、理由と承認者を記録します。「できれば」「原則として」だけでは適合を判定しにくいため、条件と例外処理を明示します。

分野別の基準例

次は架空の組織の策定例です。頻度や日数は一律の推奨値・法定値ではありません。事業影響、契約、脅威、実装可能性を評価して決定します。

分野・ID	必須要件の例	確認方法・証跡の例
情報分類：DC-01	情報責任者が公開・社内・機密に分類する。機密情報の外部共有は承認された相手・方法に限定する	台帳、共有承認、権限一覧
ID・認証：AC-01	顧客情報サービスと特権アカウントにMFAを適用する。人の利用は個人別IDとし、サービスIDは責任者・用途を登録する	設定、認証試験、ID台帳
権限：AC-02	権限の付与・変更は承認を受ける。四半期ごとに必要性を確認し、退職時刻までにアクセスを無効化する	申請、棚卸、無効化の履歴
端末：EP-01	業務端末を台帳登録し、ストレージ暗号化・自動ロック・更新管理・端末保護を有効にする。紛失時の失効・遠隔対処手段を用意する	管理システムの適合結果、設定記録
脆弱性：VM-01	実悪用が確認され外部公開対象に影響する脆弱性は、判明後24時間以内に影響評価し、72時間以内に修正または承認された暫定的な低減策を実施する	評価、修正・再診断、例外承認
ログ：LG-01	認証、権限変更、機密情報の出力、管理操作を記録する。改変と不正閲覧を防止し、時刻を同期する。対象ログは180日保持する	取得試験、保持設定、閲覧権限
バックアップ：BK-01	重要業務データを毎日バックアップし、本番と認証・削除権限を分離する。四半期ごとに隔離環境で復元を試験する	実行結果、保護設定、復元記録
クラウド：CL-01	利用前にデータ分類、責任分担、認証、共有、ログ、復旧・解約時のデータ処理を審査する	審査票、承認、設定確認
暗号・鍵：CR-01	機密情報の通信と保存に承認された暗号方式を使う。鍵の生成・保管・アクセス・更新・失効・復旧を管理する	方式一覧、鍵台帳、権限・操作記録

脆弱性対応は深刻度スコアだけでなく、実悪用、外部公開、業務影響、代替策を含めて優先付けします。期限に間に合わない場合の承認・監視・再評価も必要です。ログにはパスワードや秘密鍵を記録せず、個人情報の必要性・保存期間・閲覧者も評価します。

情報分類を取扱条件に結び付ける

分類例	情報の例	保存・共有・廃棄の条件例
公開	承認済みの製品案内	公開前に内容と公開権限を確認する
社内	社内手順、未公開の業務連絡	管理された社内の保存先を使い、外部共有を審査する
機密	顧客名簿、契約、未公開の設計	必要な人だけに権限を付与し、保護された共有方法を使い、期限後は復元困難な方法で廃棄する

個人情報は、公開・社内・機密という分類とは別に、適用される取扱要件を確認します。情報責任者、保存期間、持出し条件、廃棄確認の担当者まで決めることで、分類ラベルが実務につながります。

認証・パスワード基準を作るとき

旧来の「一律に短い周期で変更」「必ず大文字・小文字・数字・記号を混在」といった条件を、根拠を確認せず流用しないようにします。NIST SP 800-63B-4は、漏えいの証拠がない定期変更や文字種混在ルールを求めず、長さ、漏えい等で危険なパスワードの拒否、試行制限等を重視しています。同文書ではパスワード単独認証に15文字以上、MFAの一要素として使う場合に8文字以上を示しています。これは同文書の適用範囲での要件であり、すべての社内システムへの法的義務ではありません。NIST：SP 800-63B-4（Passwords）

自組織では、MFAの対象、認証方式、パスワード管理ツール、侵害時の失効・変更、アカウント復旧、サービスIDの秘密情報管理を一体で定めます。方式の採否は、対象システムとリスクを確認して決めます。

復旧目標から基準を決める例

受注業務が「4時間以内に再開、失ってよいデータは1時間分まで」を必要とするなら、RTO（復旧時間目標）は4時間、RPO（復旧時点目標）は1時間です。毎日1回のバックアップだけでは、このRPOを満たせない場合があります。

バックアップ頻度・方式・保管先・復旧手順を目標から選び、データだけでなく認証・ネットワーク・関連サービスも含めて復元を試験します。取得の成功と、業務を復旧できることは別々に確認します。

適用確認表の例

要件ID	対象	判定	証跡	不備・対応
AC-01	顧客管理SaaS	適合	MFA設定・認証試験	なし
LG-01	旧受注システム	不適合・例外承認済み	ログ設定・承認番号EX-01	保持機能を改修。責任者・期限を登録
CL-01	社内の紙保管庫	対象外	対象範囲の確認記録	物理管理基準で確認

例外承認済みでも、不適合を「適合」に書き換えません。適合状態と例外の承認状態を分けて追跡します。