評価基準 No.4-3-2-1
データの保管ルール

要求事項 No.4-3-2 データの保管ルール

データを適切な場所に保管するようルールを定め、周知すること。

評価基準 No.4-3-2-1（★4）

・マルウェアによる被害を受けた場合に業務に支障をきたすデータはパソコン以外の社内ネットワーク(クラウドサービスを含む。)上の相対的に安全な区域にあるサーバに保管するようルールを定め、役員、従業員、派遣社員及び受入出向者を対象に周知すること。

対象外となるための条件

該当なし

適合基準

①マルウェア被害を受けた場合に業務に支障をきたすデータの要件及び当該データの保管場所を定めていること。

②①で定めたデータを①で定めた場所へ保管するルールを定めていること。

③②のルールを役員、従業員、派遣社員及び受入出向者に何らかの手段・媒体により周知していること。

④①のルールに従って、データの保管を行っていること。

①情報取扱規程等のデータの取扱いに関して定めているルールを確認し、マルウェア被害を受けた場合に業務に支障をきたすデータの要件及び当該データの保管場所を定めていることを確認する。

②情報取扱規程等のデータの取扱いに関して定めているルールを確認し、①の内容をルールとして定めていることを確認する。

③社内掲示板、社内ポータルサイト等の社内への周知を行う媒体を確認し、当該ルールを役員、従業員、派遣社員及び受入出向者に何らかの手段・媒体により周知していることを確認する。

④ネットワーク図等を確認し、①のルールに従って、データの保管を行っていることを確認する。

▶質問

①情報取扱規程等のデータの取扱に関して定められているルールの文書名を質問する。

②①のルールを役員、従業員、派遣社員及び受入出向者に周知している手段について質問する。

▶閲覧

情報取扱規程等のデータの取扱に関するルールが定められている文書を閲覧し、マルウェア被害を受けた場合に業務に支障をきたすデータの要件及び当該データの保管場所が定められていることを確認する。

▶観察

原則として実施しない。