安全対策基準
安全対策基準に関する内容をご確認いただけます。
「Ⅰ.概説」に対するＦＡＱ
- 機微情報を保有するシステムで示される「機微」にあたる情報を具体的に示してほしい。
- リスクベースアプローチの事例として、例えば安全対策基準の適用対象外とできる「クラウドを利用した情報系システム」にはどのようなシステムがあるか。
- 「重大な外部性を有するシステム」には、どのようなシステムが想定されるか。
- 「安全対策の考え方」にあるリスクベースアプローチについて、簡単に言うとどのような考え方か。
- 全基準項目一覧や改訂内容の新旧対照表をExcel形式でダウンロードできるか。
- 第13版ではどこが変更になったのか。
- 安全対策基準における「外部委託先」の考え方において、契約形態による区別はしているか。派遣契約や委任契約を結んでいるような場合も安全管理対策に関する考え方は同じか。
- 第14版ではどこが変更になったのか。
- 「外部性」とは、具体的に何を指すのか。
- 安全対策基準において、特定システムに求める対策を具備しているかを検証するために、リスク評価の観点において「重大な外部性」という観点を追加する必要があるとの理解でよいか。
「Ⅱ.フレームワーク」に対するＦＡＱ
- 「基礎基準」はすべての対策について実施する必要があるのか。
- 「基礎基準」の選定根拠として、完全性や可用性の観点も重要ではないか。
- 責任共有モデルにあるクラウドサービスの責任分界点について、クラウド事業者側なのか金融機関等の側なのか判断がつかないため、明確に示してほしい。
- 「金融分野におけるサイバーセキュリティに関するガイドライン」について、「安全対策基準・解説書（第13版）」との対応関係を示してほしい。
- リスクベースアプローチの手順等について、より詳細な内容は示されないのか。
- 「基礎基準」の中にある「必要である」は、すべての金融情報システムにおいて「必須対策」となるのか。
- 安全対策基準の適用対象となるシステムの特定及び区分けについて、障害の影響が自顧客のみであるが、営業店事務や顧客への影響が大きいシステムは「特定システム」と判断してよいか。
- 「基礎基準」の解説部分に条件付で実施するといった表現があるが、それが「必須対策」である場合であっても条件を考慮して適用を判断するということでよいか。
- 設備基準について、基準分類を一律「基礎基準」としている理由は何か。
- 「API接続チェックリスト」と安全対策基準の関係を教えてほしい。
- 【実150】～【実153】にAIに関する安全対策があるが、AIの開発者として対応すべき内容が含まれていないのはなぜか。
- クラウドサービスの利用にあたり、安全対策基準をどこまで充足すればよいのか教えてほしい。例えばクラウドの利用形態でSaaSの場合でもすべての基準を充足する必要があるのか。
- 金融機関等がクラウドサービスを利用するときに使用できる、安全対策の整備・運用状況を評価するための標準的なチェックリストはないか。
- 金融関連サービスを利用する場合において、安全対策基準を部分適用することが考えられるが、その際に適用すべき基準は別途示されるのか。
- 「再委託先に対しても金融機関等の責任において監査を行う必要がある（監1）」とあるが、実際にクラウド事業者の再委託先を監査するのは困難だと考えるが、金融機関等がどこまでやるべきか目安はあれば教えてほしい。 さらに、監査の一環として、SOC２レポートなどをクラウド事業者へ求めてもクラウド事業者からもらえない場合はどうようにすればよいのか。
- クラウドサービスによっては、セキュリティ対策機能の仕様や設定の詳細が公表されていない場合があり、金融機関等がセキュリティ対策の妥当性や有効性について確認できないことがある。金融機関等としては、どのようにセキュリティ対策を講じればよいか。
- FinTech企業は、安全対策基準の対象となるか教えてほしい。
「Ⅲ.本書の利用に当たって」、「Ⅳ.安全対策基準一覧表」及び基準全般に対するＦＡＱ
各基準に対するＦＡＱ
- 【実14】12.に記載されている(1)～(3)については、具体的なレイヤー（AP層、DB層など）を想定した検討事項か。
- 【実16】2.の確認観点(1)~(4)についてどのレイヤーで誰がアクセスするかといった想定はあるか。
- 外部委託先との間の契約において、「再委託をする際には30日前までに通知すること」を規定している。これは【統20】にある再委託先の評価を行う対策とみなしても問題ないか。
- 「内部の統制」のうち、【統9】から【統11】の適用区分だけが「共通」でなく「データセンター」と「本部・営業店等」に該当とされているが、その意図はなにか。金融機関等みずからがデータセンターを運営する場合に、データセンターと本部で各々の対策が必要ということを示しているのか。
- クラウドサービスの委託先評価等の取り扱いについて、現地調査よりも保証型監査報告の報告書の利用の方がよいか。
- クラウドサービスを利用した情報システムのシステム監視・モニタリングは、どのように行うのか。
- 【設44】に「地震感知器を設置すること」という記載があるが、免震建物の場合は対象外と考えてもよいか。
- 【設13】（外壁等の強度）について、公道に面したフェンスから防犯上十分な離隔距離を確保した事務室部分の建物外壁は、「外壁等における強度」の対象外と考えてよいか。
- 【設19】（出入口扉の強度）について、離隔距離を確保した建物エントランスの自動ドアは、出入口扉における強度の対象外と考えてよいか。
- 「実118 渉外端末の運用管理方法を明確にすること。」について、可搬型ではあるものの社内業務用の端末の場合（接続も社内ネットワークのみ）は、渉外端末に含まれないと考えてよいか。
- コンピュータシステムを設置する区画の直上階に消防設備としてのスプリンクラーがある場合、安全対策として参考になる防水・漏水対策の基準を教えて欲しい。
- 「クラウド事業者に対して、金融機関等のオペレータがインターネット経由で接続することを考慮し、より強固な資格確認の手段が用意されているかについて確認することが必要である」と記載されているが、どのようなアクセスを想定したものか。
- 委託先は、顧客の依頼に応じて外部監査法人によるSOC1、2の監査報告書を年2回以内の範囲で提出することを契約書上で明記している。これをもって【統24】2.における金融機関等の監査に関する権利が確保されているものと考えてよいか。
- 【実42】のネットワーク設定の管理について、想定しているネットワーク設定情報とはどのようなものか。
- 無線LANの導入を検討しているが、安全対策基準において、確認すべき基準を教えてほしい。
- 【実57】2.では、データセンターへの夜間・休日の入退館について事前通知等が必要であるとされている。平日の営業時間内であれば、事前通知は不要ということか。
- 【統7】や【統24】で「国内外の法令や評価制度等」とあるが、評価制度等として想定されるものを例示してほしい。
- SaaSの場合はデータファイルが暗号化されていないことが多いと推察されるが、データ伝送時のデータファイル暗号化の確認はIaaS、PaaSを対象としているか。
- 共同データセンターにおいて、複数金融機関のサーバーを設置する場合、異なる金融機関の区画を分轄するためのパーティション設置は必要か。
- 「クラウドサービスで提供される暗号化の鍵管理の方法」について、SSL/TLS暗号化通信で使用する鍵の管理方法を確認するという理解で合っているか。
- 「クラウド事業者の管理環境」の具体例を示してほしい。
- クラウド事業者が提供する暗号鍵管理サービスについて、暗号鍵の所有権が金融機関等にあり、クラウド事業者が無断で使用できないことを確認する等が求められている。 特にSaaSでは金融機関等による暗号鍵管理ができないものが多いが、これらサービスは利用できないということか。
- SaaSの場合に確認すべきアクセス経路の具体的な内容を示してほしい。
- サーバーなどを監視するオペレーションルーム（監視室）に関する安全対策は記載されているか。
- 【設30】の「非常口は室内の避難通路上に設置し、2カ所以上設けることが必要である。」について、代替手段によりリスクが回避できる場合は、基準に適合していると判断してよいか。
- システムの廃棄の際には産業廃棄物の処理が伴うが、「廃棄物の処理及び清掃に関する法律」にある許可を受けた廃棄物処理事業者に委託しなければならないことについて、【実82】及び【実83】で触れていないのはなぜか。
- 【設6】について、金融機関等がどのデータセンターを使用しているかが外部から分からないように対策を講ずるとの趣旨でよいか。
- 【統24】1.について、クラウド事業者のセンターは、おおよその地域まで判明しているが詳細な所在地までは公開されない場合もあり得る。特定システム（これに準ずるシステムを含め）でクラウドサービスを利用する場合、金融機関等ではセンターの正確な所在地をどこまで特定する必要があるのか。
- 特に重要な業務の再委託への監査権について、一部のクラウド事業者では第三者監査等の報告書を提示するのみで直接の立入監査への対応はしていない場合が考えられる。金融機関等が直接監査はできない場合があると考えられるが、どのような対応方法が考えられるか。
- 【統24】にて統制対象クラウド拠点に対して必要となる権利（監査権等）を契約書等に明記する必要があると記載されている。「監査権等」としている部分について、監査権以外のどのような権利を想定しているのか。
- 【実8】について、「重要取引」とは振込の資金移動取引等を示しており、住所、電話番号、登録メールアドレスの変更等手続きは該当しないという理解でよいか。
- 【実90】（参考1）の中では、スパイラルモデルについて「ユーザー部門等からのフィードバックを得ながら、開発の規模を徐々に拡大（機能の改良・追加）をしていく開発形態」と説明しているが、一般的にプロトタイプモデルと呼ばれる開発形態との違いは何か。
- 【統21】1.(6)について、クラウドサービスの契約にはデータ消去は実施するが消去証明書の発行はないとされているが、特定システムを本クラウドサービス上で運用しても問題ないか。 ISMAP（政府情報システムのためのセキュリティ評価制度）に登録されたクラウドサービスであれば消去証明書の発行を不要と考えてよいか。
- 【設26】について、本番環境・本番データと分離された試験環境（本番データなし）へのみアクセスできる端末が置かれた「試験用ルーム」は、専用の独立した区画内に設置する必要があるか。
- 【設42】について、携帯用照明器具とは一般的な懐中電灯と捉えてよいか。充電、LED等、何か守るべきスペック等はあるか。
- 【実71】は、Primary-Secondaryを前提とした記載なのか。
- 【実70】4.「外部委託先が別の外部事業者の提供する機能を使用して金融機関等にサービスを提供している場合」の記載について、具体的にどのようなケースが該当するか教えてほしい。
- システムで使用しているデータのバックアップ保存期間については、FISCのガイドラインにて定めているか。
- 暗号鍵の保存方式とは、具体的にどのような内容を指すのか。
- 【設23】について、 総合的に判断して侵入は容易ではないと判断できる場合は前室の設置は不要としてよいか。 また、前室を設置することのメリットは、侵入を難しくする以外にあるか。
- 暗号鍵を保管するディスク等に関して、完全性、可用性で確認すべき具体的な観点を示してほしい。
- 勘定系システムの運用を外部に委託している場合、SOC2など第三者の監査機関による報告書の受領だけで安全対策基準を充足しているとみなしてよいか。なお、個人情報保護や事務委託に関する契約は締結している。
- 【実103～105】の障害回復に関する基準が「付加基準」となっているが、「付加基準」としている理由を教えてほしい。
- 【統24】１．に記載されている「統制対象クラウド拠点の把握」とは、どこまで把握すればよいか。
- 他人に暗証番号・パスワード等を知られないための対策について、第12版から第13版で変更した理由は何か。
- 【統4】、【統6】、【統7】において、それぞれ管理者の配置について記載されている。安全対策基準において、「システム毎に配置しなければならない」、「各利用部署毎に配置しなければならない」等の制限はあるか。
- クラウドサービスの本人確認機能における多要素認証について、具体的な実装方式にはどのようなものがあるか。
- 【実49】1-(3)（持出しが容易な機器類の盗難防止）は、端末ローカル上にデータを保持していないシンクライアント端末に対しても必要か。
- 【実70】4.において、障害等に備え、連絡手順等の整備対象とする「外部事業者」の範囲はどこまでか。
- クラウド事業者が提供する復旧に関するサービスとは、具体的にどのような内容のサービスを想定されているか。
- クラウド事業者に対して「外部事業者が提供する不正アクセス監視のためのツール等を導入する場合の条件や制約」を確認する意図（クラウド事業者側に求める回答）は何か。
- 【実101】に、クラウドの使用状況を監視するツールとして「コンテナオーケストレータ」の記載があるが、同監視方法に限定しているのか。
- クラウドでのストレージ・ファイルのアクセス制御に関して、特徴的であるが故に特に留意すべき点はないか。
- 【実107～153】の個別業務・サービス等に関する基準が「付加基準」となっているが、特定の業務においては必須の内容と思われる。「付加基準」としている理由を教えてほしい。
- 再委託管理に関して、クラウド事業者に実施状況等の開示を契約により求めることが難しい場合、どのような確認手段があるか。
- 【統21】1-(9)について、どのような具体例が考えられるのか。
- 【統24】にて統制対象クラウド拠点を把握する必要があることが記載されているが、統制対象クラウド拠点とは、クラウド事業者の拠点のうちバックアップを含むデータの保管場所という理解でよいか。
- Webシステム等において、無権限者がURLを直接入力した場合のアクセス制限についての基準を教えてほしい。
- 建物外に設置する電源設備（UPSコンテナ、非常用発電機等）に関して「耐火建築物」や「延焼防止措置」などの安全対策は記載されているか。
- 【設39】において、ガス系消火設備のことが触れられている。 面積的には、消防法上では消火設備が必要ないことを確認しているが、ガス系消火設備を備えなければならないのか。
- 【実14】9.に記載されている(1)アクセス履歴、(3)脆弱性情報、とは具体的にどのような内容を指すのか。
- 【設40】について、延焼防止措置の例が記載されているが、その他の方法により対応することでも問題ないか。
- クラウドサービスの設定を継続的に評価するソリューションである「CSPM」について、どのような活用方法があるか。