評価基準 No.5-1-2-1
情報機器及びソフトウェアの挙動監視

社内で利用を許可するソフトウェアの一覧はどのように定めればよいか？

・社内で利用を許可するソフトウェアの一覧を定める際には、以下の事項を考慮して行うことが考えられる。

-ソフトウェアベンダーによるセキュリティパッチ等のサポートが提供されていることや、セキュリティベンダー等の第三者が提供するソフトウェアの脆弱性等に関する情報を確認する。

-出所不明なソフトウェアは利用しないよう定める。

-外部と通信を行う機能を有することが明確なもの又は外部との通信の有無について利用規約により確認できるものについては、当該機能によって使用するプロトコル（バージョンを含む。）、ポート、暗号化の有無を事前に確認する。プロトコルのバージョンについては、TLS などにおいて脆弱なバージョンを使用していないかなども確認する必要がある。

-インストール時に、他のソフトウェアのインストールの同意を求めるものについては、当該ソフトウェアの利用の可否についても併せて定める。

-ブラウザを含め個々のソフトウェアにおける機能拡張用のソフトウェア（いわゆる、プラグインやアドオン）の利用の可否についても併せて定める。

・なお、利用を許可するソフトウェアの一覧の作成に際しては、ソフトウェアのバージョンを含めることが重要である。また、IT 資産管理ツールの利用も有効である。利用を許可するソフトウェアが膨大な場合、ソフトウェアを個別に列挙する方法に依らず、例えば「出所が明らかかつサポートが提供されている最新バージョンの表計算ソフトウェア」という具合に、ソフトウェアの種別毎に利用条件を定義する方法も考えられる。