3. リスクの特定/3-2 リスクアセスメント

要求事項 No.3-2-1
脆弱性の管理体制

• ★3 対象外
• ★4 対象

原文要求事項

評価基準

• No.3-2-1-1★4

  ・脆弱性情報/脅威情報の収集から対応まで担当部署の役割・責任を定めること。

• No.3-2-1-2★4

  ・脆弱性情報/脅威情報を収集する情報源、ツール及び頻度を定めること。

• No.3-2-1-3★4

  ・収集した脆弱性情報/脅威情報の対応要否判断基準・対応手順を定めること。

• No.3-2-1-4★4

  ・管理対象の情報機器における脆弱性の残存状況を把握するための仕組みを整備すること。

• No.3-2-1-5★4

  ・収集した脆弱性情報/脅威情報に対する対応履歴を記録し、対応漏れがないかどうかについて月次で点検すること。