評価基準 No.4-3-1-1
データの暗号化

要求事項 No.4-3-1 データの暗号化

情報機器及び情報システムの保管データを適切に暗号化するようルールを定め、周知すること。

評価基準 No.4-3-1-1（★4）

・社外に持ち出すパソコン及び記憶媒体の機密情報を暗号化するルールを定め、役員、従業員、派遣社員及び受入出向者を対象に周知すること。

対象外となるための条件

社外にパソコン及び記憶媒体を持ち出すことが一切ない場合。

適合基準

①社外に持ち出すパソコン及び記憶媒体の機密情報を暗号化するルールを定めていること。

②当該ルールを役員、従業員、派遣社員及び受入出向者に何らかの手段・媒体により周知していること。

③①のルールに従って、社外に持ち出すパソコン及び記憶媒体の機密情報を暗号化していること。

①情報取扱規程等のデータの取扱いに関して定めているルールを確認し、社外に持ち出すパソコン及び記憶媒体の機密情報を暗号化するルールを定めていることを確認するとともに、その文書名を確認する。

②社内掲示板、社内ポータルサイト等の社内への周知を行う媒体を確認し、当該ルールを役員、従業員、派遣社員及び受入出向者に何らかの手段・媒体により周知していることを確認する。

③暗号化の方式に応じて暗号化設定画面等を確認し、①のルールに従って、実際に社外に持ち出すパソコン及び記憶媒体の機密情報を暗号化していることを確認する。

▶質問

①社外に持ち出すパソコン及び記憶媒体の機密情報を暗号化するルールの文書名を質問する。

②社外に持ち出すパソコン及び記憶媒体の機密情報を暗号化するルールの周知方法を質問する。

▶閲覧

社外に持ち出すパソコン及び記憶媒体の機密情報を暗号化するルールを定めた文書が実在することを確認する。

▶観察

社外に持ち出すパソコン及び記憶媒体を 1 点ずつ抽出し、暗号化の方式に応じて暗号化機能の設定画面等を観察し、当該パソコン及び記憶媒体の機密情報を、ルールに従って暗号化していることを確認する。