評価基準 No.1-4-1-1
セキュリティ対策推進計画

要求事項 No.1-4-1 セキュリティ対策推進計画

セキュリティ対策推進計画を策定し、定期的に経営層へ対策実施状況に関する報告を行うとともに、報告結果を対策の推進に反映すること。

評価基準 No.1-4-1-1（★4）

・セキュリティ担当部署は、年１回以上、セキュリティを統括する役員(例えば、CISOを設置する会社の場合は、当該CISO)に対して、以下にて求める対策の点検の結果を踏まえたセキュリティ対策の実態及び当該実態を踏まえて策定した今後の対策推進計画を報告し承認を得た上で、当該報告結果を社内部署と共有すること。

[点検を求める対策(評価基準)]

No.1-1-1-2、1-2-1-3、1-3-1-4、2-1-1-2、3-1-1-4、3-1-1-7、3-1-2-4、3-1-4-2、3-1-4-4、3-1-4-6、3-1-5-3、3-2-1-5、4-1-7-2、4-1-9-3、4-2-1-5、4-2-2-3、5-1-2-2、6-1-1-4

対象外となるための条件

該当なし

適合基準

①セキュリティ担当部署は、対策の点検の結果を踏まえたセキュリティ対策の実態を把握していること。

②セキュリティ担当部署は、①における実態を踏まえ、今後の対策推進計画を策定していること。

③セキュリティ担当部署は、①における実態及び②における今後の対策推進計画を年 1回以上の頻度でセキュリティを統括する役員（例えば、CISO を設置する会社の場合は、当該 CISO）に対して報告し、承認を得ていること。

④セキュリティ担当部署は、③における当該報告結果を社内部署と共有していること。

①少なくとも各対策の点検結果の確認を含め、セキュリティ対策の実態を把握していることを確認する。

②対策推進計画を策定した文書を確認し、①における実態を踏まえたものとなっていることを確認するとともに、その文書名を確認する。

③役員への報告に係る議事録等を確認し、①における実態及び②における今後の対策推進計画を年 1 回以上の頻度でセキュリティを統括する役員に対して報告し、承認を得ていることを確認するとともに、報告及び承認に係る結果を記録した文書の文書名を確認する。

④社内担当部署への共有履歴を確認し、③における当該報告結果を社内部署と共有していることを確認する。

▶質問

対策推進計画の文書名を質問する。

▶閲覧

対策推進計画が実在することを確認する。

対策推進計画の報告及び承認に係る結果を記録した文書が実在することを確認する。

▶観察

原則として実施しない。