3. リスクの特定/3-1 資産管理

要求事項 No.3-1-4
機密区分に応じた情報の管理

• ★3 対象
• ★4 対象

原文要求事項

評価基準

• No.3-1-4-1★3

  ・自社の保有する情報を対象に、以下の内容を含む管理ルールを定めること。

  -機密の特定

  -機密区分のレベル判定及び表示

  -区分に応じた取扱方法

  -取扱エリアの区分及び制限

• No.3-1-4-2★3

  ・年1回以上の頻度でNo.3-1-4-1で定めた管理ルールの内容について点検すること。

• No.3-1-4-3★3

  ・重要な機密情報並びに当該情報ごとの管理者名、部署名、保管場所、保管期限、開示先及び管理者の連絡先を把握するための仕組みを整備すること。

• No.3-1-4-4★4

  ・年1回以上の頻度でNo.3-1-4-3で把握した項目の内容について点検すること。

• No.3-1-4-5★4

  ・退職時及び任期満了時には機密情報及び情報機器を回収すること。

  -回収物には、情報(印刷物及び記憶媒体)、パソコン、スマートデバイス及びアクセス権(ID及び鍵)を含めること。

  -回収漏れが起こらない手順(例：回収物一覧のチェックシートの作成)を整備すること。

• No.3-1-4-6★4

  ・年1回以上の頻度でNo.3-1-4-5で求める機密情報及び情報機器の回収の状況について点検すること。

• No.3-1-4-7★4

  ・サーバ、会社支給のパソコン、スマートデバイス及び外部記憶媒体の廃棄時(リース終了時を含む。)はデータを復元できないよう抹消処理を行うこと。

  ※ディスクのフォーマットは、データを復旧される可能性があるため不十分

• No.3-1-4-8★4

  ・サーバ、会社支給のパソコン、スマートデバイス及び外部記憶媒体の記憶領域を抹消処理した記録を保管すること。