人事給与システムの基盤及び OS 運用保守業務

ユーザ及び各業務プロセスオーナからの問合せや依頼に対する受付窓口を一元化することで、各業務の利用ユーザの業務効率性を向上させる。

問合せ対応では、問合せの受付、クローズ、一次回答、管理プロセスの評価・改善の一連のプロセスを実施する。

本番システム環境で稼動している全てのシステムに係る以下の問合せについて対応する。

⮚ アプリケーション仕様、操作、機能、内容に関する問合せ

⮚ ハードウェア／ソフトウェアに関する問合せ

⮚ 要望

⮚ アプリケーション修繕に対する依頼

⮚ その他の依頼作業

(4) 業務の管理指標＆標準化

問合せ対応業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。

①問合せ発生件数（日次集計･月次集計を含む）

②問合せ区分別件数

③問合せ一次回答期限遵守率

④問合せ完了率（一定期間経過後(10 営業日経過後)の完了率）

※報告内容は、各システムの状況に応じて変更しても構わない。

【補足】

問合せにより「システム障害」｢セキュリティインシデント｣が発覚した場合は、該当問合せは一次回答にてクローズとし、その後は「インシデント管理」にて対応する。

問合せにより「変更」実施が必要となった場合は、対応予定日を回答することでクローズとし、その後は

「変更管理（課題管理）」にて対応する。

４．２インシデント管理

インシデント管理は、ユーザからの問合せ・連絡、あるいはオペレータや監視システム等によるインシデントの検知を受け、ＩＴサービスの中断を最小限に抑えながら、可能な限り迅速に正常なサービスを回復することを目的とする。

①インシデントの定義

インシデントとは、ユーザや監視システム等の検知により判明したハードウェアやソフトウェアに関する一般的な障害（システム・ダウン、バグによるアプリケーションの機能停止等）だけでなく、ユーザが日常の操作手順によってＩＴサービスを利用する上で支障がある事象は全てインシデントに包含される。

【注】このインシデントには、情報セキュリティインシデント（不正アクセス・マルウェア検知等）を含む。

また、まだＩＴサービスに影響を与えていない構成アイテムの障害もインシデントとして扱う。

例えば、(i) 二重化されたデータベース・システムの一方がダウンした場合で、まだサービス自体が正常に稼働している場合、(ii) 本番環境のバックアップを検証環境にリストアできない場合、これらをインシデントとして扱う。

②インシデント管理の主な活動

インシデント管理は、インシデントの 4 つのライフサイクル（発見－判別－回復－解決）の内、発見－判別－回復（解決）までをカバーする。（再発防止については、次節の「問題管理」で扱う。）

インシデント管理のプロセスでは、主に次の活動を実施する。

・インシデントの検知

・インシデントの記録

・インシデントの通知

・インシデントの分類

・インシデントの優先度付け

・インシデントの初期診断

・エスカレーション

・インシデントの調査と診断

・復旧(解決)策の実施

・インシデントのクローズ

本番システム環境で稼動している全てのシステムのインシデントを管理対象とする。

インシデント管理の管理業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。

① 当月インシデント発生件数（総件数、障害ランク別・原因別・システム別件数・解決責任部門別）

② 優先度又は緊急度毎に分類されたインシデントの解決までに要した時間（平均時間）

③ ステータス（記録済み、対応中、クローズ済み等）毎のインシデントの内訳

④ 長期間（発生から 1 カ月以上）未解決のインシデントの件数と理由および業務影響

⑤ 新規に発生したインシデントの件数とその傾向

⑥ ユーザのトレーニングなど、ＩＴテクノロジーに関連しないで解決されたインシデントの件数

⑦ 解決に要したコスト

⑧ インシデント発生件数の削減率（対前年比）

(5) 標準化

インシデント管理は、PMDA 標準書式を適用する。

①インシデント発生(判明)時

インシデントごとに個票を起票する。この個票は「PMDA 標準書式」を使用する。

※添付「インシデント報告書（ひな型）」を使用する。また「インシデント一覧記載要領」を参照し、対応すること。

※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、必須項目の変更・削除は認めない。

②定期的(月次)報告時

インシデントごとの個票を集計表に転記のうえ報告する。この集計表は「PMDA 標準書式」を使用する。

※添付「インシデント一覧」を使用する。

４．３問題管理（再発防止策）

サービスの信頼性を維持・向上するためには、システムの利用・運用上発生した問題（障害を引き起こす根本的な原因）を確実に解決し、同一障害・類似障害の再発防止のための是正を実施することを目的とする。

本番サービスに影響を与えた障害を分析し、それらの共通の根本原因を取り除く是正策を実施するまでの一連のプロセスを管理する。問題管理(再発防止)では、以下を実施する。

・問題の傾向分析と課題点の抽出

・是正策の検討

・是正策の実施

本番システム環境で稼動している全てのシステムの問題を管理対象とする。

(4) 業務の管理指標＆標準化

問題管理(再発防止)業務を評価するための評価指標として以下を定義し、定期的(月次)報告を行う。

① 再発防止策が策定された問題件数（総件数、障害ランク別・原因別・システム別件数・解決責任部門別）

② ステータス（記録済み、対応中、クローズ済み等）毎の再発防止策の内訳

③ 再発防止に要したコスト

④ 長期間（策定から 1 カ月以上）未実施の再発防止策件数と理由

⑤ 再発防止の実施率（対前年比）

※報告内容は、各システムの状況に応じて変更しても構わない。

４．４変更管理

サービスの信頼性を維持・向上するためには、システムに対する変更について、その妥当性を検証し、変更によるユーザへの影響を最小限にすることが重要である。変更管理プロセスは、システムに対する変更を一元的に管理することを目的とする。

変更管理では、変更の申請から変更内容の審査、変更の承認または却下、変更の実施、変更実施結果の報告までの一連のプロセスを管理する。

緊急の場合、対応を優先し所定のプロセスを適宜省略することを可能とするが、事後的に対応できるものについては、事後速やかに対応することとする。

システム運用者（委託先）が運用し本番サービスを提供するシステムの全て又はその一部に対して影響を与える全ての変更を管理対象とする。

本番環境	構成要素（主な要素）
ハードウェア	CPU、DASD・DISK、サーバ、ワークステーション、周辺装置
システム・ソフトウェア	OS、サブシステム、サーバ及びワークステーション OS
ミドルウェア	ＤＢＭＳ、ネットワーク OS
アプリケーション・ソフトウェア	ソース、モジュール、シェル、JCL
ネットワーク・ハードウェア	スイッチ、ルータ、ブリッジ
ネットワーク・サービス	基幹ネットワーク、ＬＡＮ、インターネット等
データ	データベース及びファイル内のデータ（に対する直接修正）

変更管理業務を評価するための評価指標として以下を定義する。

① 変更実施件数（総件数、領域別・原因別・システム別件数・解決責任部門別）

② 変更の実装が失敗した件数

③ 変更のバックログの件数

④ 予定期間でクローズされなかった変更の件数

⑤ 変更が原因で発生した変更の件数

⑥ 緊急の変更の件数

(5) 標準化

変更管理は、PMDA 標準書式を適用する。

①変更案件発生時

課題管理表に記入し、変更管理のステイタス（未着手（対応予定日記入）～着手(対応中)～完了）を管理する。

※課題管理表の書式は、各情報システムの任意とする。

②変更実施着手時

変更の着手ごとに個票を起票する。この個票は「PMDA 標準書式」を使用する。

※添付「変更作業申請書（ひな型）」を使用する。

※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、PMDA 側の確

認･承認欄の削除は認めない。

※個票は、「単純な定常作業」に関しては使用しなくても良い。

• 「単純な定常作業」は、各システムにて定義する。

• ただし、定期的（月次）報告には、記載する。

※個票は委託先にて保管し、監査等にて提示要求があった場合は、速やかに提示できるよう対応する

③定期的(月次)報告時

変更実施ごとの個票を集計表に転記のうえ報告する。この集計表は「PMDA 標準書式」を使用する。

※添付「変更作業一覧」を使用する。また「変更作業一覧記載要領」を参照し、対応すること。

※「単純な定常作業」に関しては、「変更作業一覧」の「変更申請」欄及び「完了確認」欄に関する内容を記入し、報告する。

４．５構成管理

システムの構成要素（構成情報）を正確に把握し、常に最新状態にあることを保証する事で、他の運用管理プロセス（障害管理や変更管理等）に対して必要な構成情報を提供できるようにする。

構成管理では、ＩＴサービス開始時より構成情報を一元管理し、他の運用管理プロセスから最新の構成情報を参照可能にする。

本管理プロセスの開始前に、立案した計画に沿って対象とするＩＴサービスやＩＴコンポーネントの範囲、詳細度のポリシーを策定し、開始時のベースラインを把握する。次に、構成情報の収集と分類を行った上で構成情報を参照可能な状態に維持する。

本管理プロセスの開始後は、変更管理プロセスと連携し、構成情報が常に最新状態として維持されるようにコントロールを行う。また、定期的に構成情報の点検を行うことにより、課題や問題点を洗い出し、評価・改善を行う。

構成管理が対象とする構成情報は以下の通りとする。

カテゴリー

管理対象の種類

システム運用管理

各種管理プロセス定義書、手順書、依頼書、ＣＩ一覧

システム運用

・ハードウェア、ネットワーク・ハードウェアの一覧、構成図

・ネットワーク・サービス (WAN、インターネット等)の一覧、構成図

・システム運用各種手順書（障害対応手順書等）

システム保守

・システム・ソフトウェア、ミドルウェアの一覧、構成図

・アプリケーション・ソフトウェア(ライブラリ、データ、環境設定情報)

ハウジング

環境設備 (空調設備、電源設備、配線室、配線、管理室)の一覧、

構成図

アプリケーション

保守

・設計ドキュメント、プログラムソース

・アプリケーション保守用各種手順書（定型作業手順書等）

構成管理業務を評価するための評価指標として以下を定義する。

① 承認されていない構成の件数

② 不正確な構成情報が原因で失敗した変更及び発生した障害の件数

③ ＣＩ（管理対象の項目数）の正確さ率

・構成アイテムの管理情報と実態（H/W、S/W、M/W、機器）との整合性の確認

(5) 標準化

○PMDA では、「システム資産簿」を作成してシステムのインベントリ情報を一元管理している。各システムのインベントリ情報を各システムの実装状況を反映した最新状況に更新するとともに、

「システム資産簿」を最新の状況に保つため、最新のインベントリ情報をPMDA 標準書式「システム資産簿登録用シート」を使用して、PMDA へ報告する。

４．６運行管理

運行管理の目的は、開発部門より引き継いだ業務アプリケーション・システムを、あらかじめ定められた運行計画に基づき、定められた手順に従ってシステム運用を行うことにより、システム運用の品質の維持・向上を図ることにある。

運用引継ぎから、システムのスケジュール計画、稼働監視、オペレーションなど一連の運行を管理する。以下のサブプロセスから構成される。

① 運用引継ぎ

② 運用スケジュールの計画・管理

③ オペレーション実施

④ 稼動監視と障害対応（一次対応）

⑤ セキュリティ監視（対象イベントの検知への対応）

⑥ ジョブ実行管理

⑦ 帳票管理

⑧ 報告管理

本番システム環境で稼動している全ての情報システムの運行を管理対象とする。

運行管理業務を評価するための評価指標として以下を定義する。

① 重要バッチ処理終了時間遵守率

② 重要帳票の配布時間遵守率

③ システムの運行業務に起因した障害の発生件数

・プログラム・ＪＣＬ等の本番移送のミス、ジョブのスケジュール誤り、操作ミス、監視項目の見落とし／発見遅延、等。

④ 非定型依頼業務の実施件数と正常終了率

(5) 標準化

○情報システムの運行状況を報告する（月次）（書式任意）

情報システムの稼働状況に加えて、以下の項目の報告を必須とする。

・情報システム及びネットワーク内で発生するイベント（事象）の記録である「ログ」の取得・保存のプロセスの状況を監視し、報告する。

・情報システムの稼働により発生する各種検知メッセージへの対処を記録し、報告する。

４．７バックアップと回復管理

障害発生時等において、速やかに正確な回復処置が行えるようにバックアップの取得・リストアの手順を明確にし、安定したサービスの提供を図る。

アプリケーションオーナーとのサービスレベルまたは管理目標の合意に基づき、システムの回復要件（＊）に見合ったバックアップ・リストア方針を定め、バックアップ対象の選定、手順の明確化を実施する。

日常運用においては、バックアップ取得、バックアップ媒体の保管を行う。

また、定期的に、バックアップ・リストア実績報告を行い、バックアップ・リストアにおける体制、役割、手順の見直しを図る。

（＊）業務の優先度を勘案して有事の際に稼動させるシステムのサービスレベルを定めて、データのバックアップと復旧方法を決定する。

RLO （Recovery Level Objective）：どの範囲、レベルで業務を継続するか RTO （Recovery Time Objective）：いつまでにシステムを復旧するか RPO （Recovery Point Objective）：どの時点にデータが戻るか

本番システム環境で稼動している全てのシステムのバックアップとリストアを管理対象とする。

本基準の適用システムに関するＯＳ、データベース、テーブル類、ユーザデータなどのバックアップ計画、バックアップ取得、バックアップ媒体の保管、リストア実施および定期的な実績報告の手続きを対象とする。

各情報システムを構成するサーバや通信回線装置等については、運用状態を復元するために必要な重要な設計書や設定情報等のバックアップについても適切な場所に保管する。

(4) バックアップデータの保管方法

要保全情報(完全性２）又は要安定情報（可用性２）である電磁的記録若しくは重要な設計書は、バックアップを取得する。

① データベースやファイルサーバのバックアップは、インターネットに接点を有する情報システムに接続しないディスク装置、テープライブラリ装置等に保存する。

② 一般継続重要業務で使用するシステムについては、大規模災害やテロ等による設備・機器の破損を想定し、情報システムの復元に必要な電磁的記録については LTO 等の可搬記憶媒体による遠隔地保管を行う。

③ バックアップの取得方法、頻度、世代等は各システムの方式設計、運用要件に応じて定める。

(5) 業務の管理指標

バックアップと回復管理業務を評価するための評価指標として以下を定義する。

① 当月で計画された定期バックアップの内、バックアップに失敗した件数と理由。

② 当月実施されたリストア件数と内訳（障害対応、調査目的、帳票再作成・出力等）。

③ 当月実施されたリストアの内、リストアに失敗した件数と理由。

(6) 標準化

○定期的なバックアップが取得されていることを報告する（月次）（書式任意）

○PMDA では、「リストアの机上訓練」を定期的に実施することを推奨している。

各情報システムにおいては、必要に応じて定期的な訓練実施を行い、結果報告を行う。

４．８情報セキュリティ管理

情報セキュリティ管理は、「情報セキュリティ対策の運用要件」に定める情報セキュリティ対策の運用要件に則り、情報システムのセキュリティを維持・管理し、情報資産を適切に保護することを目的とする。

情報セキュリティ管理プロセスは、PMDA のリスク管理活動の一環として、ＩＴサービス及びサービスマネジメント活動における全ての情報のセキュリティを、首尾一貫した方針に基づき効果的に管理する。

具体的には、「情報セキュリティ対策の運用要件」に則って、適切にセキュリティ管理策が導入され、維持されていることを確実にするために、情報セキュリティ管理計画の維持・管理を行う。合わせて、情報セキュリティ対策が適切に運用されているかを定期的に点検するとともに、コンプライアンス等の観点からのシステム監査の実施対応をおこなう。

ＩＴサービス及びサービスマネジメント活動における全ての情報セキュリティの管理を対象とする。

情報セキュリティ管理業務を評価するための評価指標として以下を定義する。

① 情報セキュリティ違反・事件・事故の発生件数とその内容

② 発生した情報セキュリティ違反・事件・事故への対策の実施状況

③ 情報セキュリティ監査（内部・外部）及び自己点検で検出された不適合の件数

④ 前回の情報セキュリティ監査及び自己点検で検出された不適合の是正状況

(5) 標準化

〇情報セキュリティ遵守状況の報告

・情報セキュリティを遵守していることを定期的(月次)にて報告する

※報告内容の詳細は後述の【補足説明】を参照

・委託先における自己点検を定期的(年 2 回程度)に実施し、点検結果を報告する。

（点検内容は委託先の任意とするが、各情報システムの運用保守業務に携わる要員等が自らの役割に応じて実施すべき対策事項を実際に実施しているか否かを確認するだけではなく、運用保守のプロジェクト体制全体の情報セキュリティ水準を確認する内容とすること。）

【補足説明】

情報セキュリティ遵守状況の報告は、以下の内容を確認し、報告すること

① 情報の目的外利用の禁止

② 情報セキュリティ対策の実施および管理体制（プロジェクト計画書記載内容の遵守）

※委託先において実施するセキュリティ研修や委託先の情報セキュリティポリシー遵守のため取組み内容を含む

※責任者による情報セキュリティの履行状況の確認を含む

③ 体制変更の場合の速やかな報告

④ 体制に記載された者以外が委託業務にアクセスできない（していない）ことの確認

⑤ ※発生した場合は、すぐに検知でき、報告される

⑥ 要員の所属・専門性（資格や研修実績）・実績および国籍に関する情報提供

※変更があれば、その都度情報提供される。

⑦ 秘密保持契約（誓約書）の提出（要員全員が提出）

※委託業務を離れた者の一定期間の機密遵守を含む

※体制変更があった場合の追加提出も含む

⑧ 情報セキュリティインシデントへの対処方法の明確化され、要員に周知されている

⑨ 再委託がある場合は、上記内容を再委託先においても遵守していることが確認されている

４．９脆弱性管理

サーバ装置、端末及び通信回線装置上で利用するソフトウェア（含むファームウェア）やアプリケーションに関連する脆弱性情報の収集とその影響評価に基づく適切な対策を実施するための標準的管理要件を定め、脆弱性によりもたらされる情報セキュリティの脅威について迅速かつ適切に対処することを目的とする。

脆弱性管理では、システム構成を把握したうえで、管理対象とするソフトウェアのバージョン等の確認から、脆弱性情報の収集、影響評価と対策の要否判定、脆弱性対策計画の策定、脆弱性対策の実施、結果の確認、対策の実施状況のモニタリングまでの一連のプロセスを管理する。

①管理対象ソフトウェアの把握（管理すべきソフトウェアを特定）

②管理対象ソフトウェアの脆弱性対策の状況確認

②脆弱性情報の収集と識別（当該脆弱性が管理対象ソフトウェアに該当するかの確認）

③影響・リスクの評価と対応要否の判断及び記録

④脆弱性対策計画の策定と承認（変更管理手続きに拠る）

⑤脆弱性対策の検証（検証環境での稼動確認）

⑥脆弱性対策の実施

⑦脆弱性対策の記録・報告

⑧脆弱性対策の実施状況のモニタリングと継続的改善

(3) 管理の対象

本番システム環境で稼動しているサーバ装置、端末及び通信回線装置上で利用するソフトウェアやアプリケーションに関する全ての脆弱性を管理対象とする。

参考脆弱性情報収集時の参考 URL 一覧 (「IPA 脆弱性対策の効果的な進め方（実践編）」より)

脆弱性管理業務を評価するための評価指標として以下を定義する。

① 管理対象プロダクツ、バージョンに該当する脆弱性情報件数（通常／緊急）

② 脆弱性対策の評価件数（対策要、対策不要）

③ 対策計画の策定・実施状況（セキュリティパッチ適用、またはその代替策）／予定・実績

・定期報告=脆弱性管理の実施報告

・変更管理＝システム変更作業報告（セキュリティパッチ適用状況報告を含む）

④ 実施可能な脆弱性対策を実施しなかったことによる情報セキュリティインシデントが 1 件も発生しないこと。

(5) 脆弱性管理の要件

脆弱性対策について、以下の管理を行う。

① 対象プロダクト・バージョンの把握

・各情報システムにおいて管理対象とするプロダクトとバージョンを特定するとともに脆弱性情報の収集及びパッチの取得方法を（事前に）整備する。

② 脆弱性情報の収集及び対策の要否判断

・管理対象のプロダクトに係る脆弱性情報の公開状況を定期的に収集する。

・収集した脆弱性情報をもとに影響・緊急度、対策の必要性、情報システムへ与える影響・リスクを考慮し、対策の要否を判断する。

③ 脆弱性対策計画の策定と実施

・対策が必要と判断した場合は、セキュリティパッチの適用計画、または、その代替策

（回避方法）の実施計画を策定する。

・対策が情報システムに与える影響について事前検証を行った上、実施する。

対策が情報システムの構成変更を伴う場合は、「4.4 変更管理」に拠るものとする。

・対策計画の策定及び実施状況の管理

(6) 標準化

① 管理状況については PMDA 標準書式を使用する。

・管理対象とするソフトウェアのプロダクトとバージョンについては、各情報システムの設計書等のソフトウェア関連項目を基に、「脆弱性管理対象ソフトウェア一覧」を使用し管理する。

・管理対象とするソフトウェアの脆弱性の有無、対策の要否、対策の実施概要については、「脆弱性対策管理簿」を使用し管理する。

② 定期的（月次）報告

・各情報システムにおける管理対象とするプロダクト・バージョンについて内容に更新があった際は、「脆弱性管理対象ソフトウェア一覧」を使用し速やかに報告する。

・脆弱性対策の要否及び対策の実施状況について、「脆弱性対策管理簿」を使用し、定時（月次）で報告する。

※「脆弱性対策管理簿」の作成にあたっては「脆弱性対策管理簿記載要領」を参照すること。

種別

URL

脆弱性関連情報データベース

■国内

・JVN (Japan Vulnerability Notes) https://jvn.jp/

・脆弱性対策情報データベース JVN iPedia https://jvndb.jvn.jp/

■海外

・NVD(National Vulnerability Database) https://nvd.nist.gov/

・Vulnerability Notes Database

	https://www.kb.cert.org/vuls/ ・Metasploit (攻撃情報あり) https://www.metasploit.com/ ・Exploit Database (攻撃情報あり) https://www.exploit-db.com/
ニュースサイト	■国内・CNET ニュース：セキュリティ https://japan.cnet.com/news/sec/ ・ITmedia エンタープライズセキュリティ http://www.itmedia.co.jp/enterprise/subtop/security/index.html ・ITpro セキュリティ https://tech.nikkeibp.co.jp/genre/security/ ■海外・ComputerWorld Security （米国中心） https://www.computerworld.com/category/security/ ・The Register Security （英国・欧州中心） https://www.theregister.co.uk/security/
注意喚起サイト	■国内・IPA：重要なセキュリティ情報一覧 https://www.ipa.go.jp/security/announce/alert.html ・JPCERT/CC 注意喚起 https://www.jpcert.or.jp/at/2018.html
	・警察庁：警察庁セキュリティポータルサイト https://www.npa.go.jp/cyberpolice/ ■海外・米国：US-CERT https://www.us-cert.gov/ncas ・米国：ICS-CERT https://ics-cert.us-cert.gov/
製品ベンダー	■定例アップデート・マイクロソフトセキュリティ更新プログラムガイド https://portal.msrc.microsoft.com/ja-jp/security-guidance ・オラクル Critical Patch Update と Security Alerts https://www.oracle.com/technetwork/jp/topics/security/alerts-082677-ja.html

■クライアント製品など

・Apple セキュリティアップデート

https://support.apple.com/ja-jp/HT201222

・Adobe セキュリティ速報およびセキュリティ情報

https://helpx.adobe.com/jp/security.html

・Mozilla サポートの検索

https://support.mozilla.org/ja/

■サーバ、ネットワーク製品など

・シスコ – セキュリティアドバイザリ

https://www.cisco.com/c/ja_jp/support/docs/csa/psirt-index.html

・HP - サポートホーム

https://support.hp.com/jp-ja

・日立 –セキュリティ情報 https://www.hitachi.co.jp/hirt/security/index.html

・富士通 - セキュリティ情報

https://www.fujitsu.com/jp/support/security/ https://www.fujitsu.com/jp/products/software/resources/condition/security/

・NEC - NEC 製品セキュリティ情報

https://jpn.nec.com/security-info/

・IBM – IBM Support https://www.ibm.com/support/home/?lnk=ushpv18hcwh1&lnk2=support

・Red Hat – Red Hat Product Errata

https://access.redhat.com/errata/#/

■セキュリティ製品など

・シマンテック –セキュリティアップデート

https://www.symantec.com/ja/jp/security_response/securityupdates/list.jsp?fid=sec urity_advisory

■オープンソースなど

・Apache Foundation

https://httpd.apache.org/ （Apache HTTP サーバ） https://tomcat.apache.org/ （Apache Tomcat） https://struts.apache.org/ （Apache Struts）

・ISC （Internet Systems Consortium）

https://www.isc.org/downloads/bind/ （BIND）

https://www.isc.org/downloads/dhcp/ （DHCP）

・OpenSSL https://www.openssl.org/

４．１０アクセス権管理

システムを利用するユーザ・アカウントを保護するため、及び、なりすましによる不正ログインの可能性を低減するために、ユーザ・アカウントを役割権限別に分類した上で管理方法を取決めてセキュリティレベルを維持する。

システムを利用するサーバ OS、ミドルウェア、アプリケーション・ソフトウェア、及びネットワーク機器のアカウントを対象にアクセス権の管理を行う。

本番システム環境での全てのアカウント（社外の取引先等に提供しているアカウントを含む）のアクセス権を管理対象とする。

本番環境	アクセス権管理の対象
システム・ソフトウェア	OS ユーザＩＤ
ミドルウェア	ＤＢＭＳユーザＩＤ、ジョブスケジューラ・ユーザＩＤ、他
アプリケーション・ソフトウェア	アプリケーション・ユーザＩＤ
ネットワーク機器	各ネットワーク機器の管理者用ＩＤ

アクセス権管理業務を評価するための評価指標として以下を定義する。

① 期間内に発生したユーザＩＤ登録・変更・削除の件数

② 特権（高権限）ユーザＩＤ別の貸出し件数と用途

③ アカウントおよびアクセス権の定期棚卸しで、発見された不備項目

④ 不適切／不正なアクセス権限の設定によって発生したインシデントの件数

⑤ アクセス権限の再設定が必要となったインシデントの件数

⑥ 間違ったアクセス権限の設定によって提供不能になったサービスの件数

⑦ 間違ったアクセス権限の設定によって生じた不正アクセスの件数

(5) アカウント管理の要件

・【アカウント（ID）の付与】

①情報システムを利用する許可を得た主体に対してのみ、識別コード及び主体認証情報を付与（発行、更新及び変更を含む）する。

②識別コードの付与に当たっては、.単一の情報システムにおいて、ある主体に付与した識別コードを別の主体に対して付与することを禁止する

③主体以外の者が識別コード又は主体認証情報を設定する場合に、主体へ安全な方法で主体認証情報を配布する。

④識別コード及び知識による主体認証情報を付与された主体に対し、初期設定の主体認証情報を速やかに変更するよう、促す。

⑤知識による主体認証方式を用いる場合には、他の情報システムで利用している主体認証情報を設定しないよう主体に注意を促す。

⑥情報システムを利用する主体ごとに識別コードを個別に付与する。ただし、判断の下やむ

を得ず共用識別コード（共有 ID）を付与する必要がある場合には、利用者を特定できる仕組みを設けた上で、共用識別コードの取扱いに関するルールを定め、そのルールに従って利用者に付与する。

⑦主体認証情報の不正な利用を防止するために、主体が情報システムを利用する必要がなくなった場合には、当該主体の識別コードを無効にする。

・【特権 ID と使用者の限定】

①使用者限定の保証

・パスワードの堅牢性

できだけ長い桁数、推測困難かつ記憶が容易となる工夫

・パスワードの厳正管理

業務で使用する必要がある者しか知ることができないようにするパスワード情報へのアクセス制限

ID 使用者の離任時はパスワード変更を必須

②利用時の承認と記録

・特権 ID を利用して作業を行った結果の記録（特権 ID 使用管理簿の記載）

・利用状況のモニタリング

サーバのログイン・ログアウトログの出力リストと特権 ID 使用管理簿の作業実績に記載されている日時を照合し、記載されている日時から逸脱する時間帯のログデータがないことをチェック

※工数の許す範囲で、重要サーバに絞り、無作為に抽出した数件のログインに該当する作業のチェック等工夫する

(6) 標準化

・全てのアカウント（ＩＤ）について、以下の管理を行う。

①アカウント（ＩＤ）管理台帳の作成

ＩＤ管理台帳を基に ID の新規・変更・削減の状況について、定期(月次)報告する。

②定期(月次)報告

ＩＤ管理台帳を基に ID の新規・変更・削減の状況について、定期(月次)報告する。

③ＩＤ棚卸し

全てのＩＤの棚卸しを以下の手順を参考にし、定期的（最低１回／年）に実施し、報告を行う。

（棚卸し手順）

a. 登録ID 抽出リスト出力

b. ID 管理台帳突合

c. 棚卸しリスト作成

d. ID 使用者の確認、権限の妥当性の検証

e. 不要ID(初期登録（ビルドイン）ID を含む）削除と不適切権限の修正

f. ID 管理台帳更新

g. 棚卸実施報告書の作成

※アカウント（ID）管理用資料は、「参考資料_ID 管理用各書式ひな型」を参考に各情報システムにおいて適宜定める。

・特権ＩＤについて、以下の管理を行う。

①特権ＩＤ台帳の作成

※添付「特権ＩＤ管理台帳」を使用する。

※各情報システムの状況等によって、一部改修して使用しても構わない。ただし、項目の削除は認めない。

※監査等にて提示要求があった場合は、速やかに提示できるよう保管する

②特権ＩＤ(システムＩＤ)使用管理簿の作成（またはログ抽出）

※添付「特権ID 使用管理簿」を使用する。各情報システムの状況等によって、一部改修して使用しても構わない。ただし、項目の削除は認めない。

※ログイン・ログアウトのログ(または画面コピー)を必ず保管（または添付）し、監査等にて提示要求があった場合は、速やかに提示できるよう保管する

③定期(月次)報告

特権ＩＤ(システムＩＤ)台帳ならびに特権ＩＤ(システムＩＤ)使用状況を、定期(月次)報告する。

（ログまたは画面コピーは、月次報告不要）

④特権ＩＤ棚卸し

特権ＩＤの棚卸しを定期的（年 2 回程度）に実施し、報告を行う。（報告書式任意）棚卸し点検内容は以下の通り

○台帳は、本当に使用する者を登録しているか？（体制図と一致しているか？）

・体制から外れた者が削除されずに残っていないか？

・使用予定がない者が登録されていないか？

○台帳と使用管理簿の相関は一致しているか？

○使用管理簿とログ(または画面コピー)保管の相関は一致しているか？

４．１１キャパシティ管理

キャパシティ管理の目的は、ビジネスが必要とするときに、必要なキャパシティを適正なコストで提供することである。すなわち、

① ビジネスの需要に対する供給

ビジネスの変化に合わせて、ＩＴサービスの対応にもスピードが要求される。キャパシティ管理は、現在から将来にわたるビジネス需要・要件に合わせて、ＩＴインフラストラクチャーのキャパシティを最大限に活用できるようにすることを目的とする。

② キャパシティに対するコスト

一方、必要以上のキャパシティを確保すると購入や運用のための費用が膨らみ、ビジネスの観点からコストを正当化できない。キャパシティを最適化し、費用対効果が高いＩＴサービスを提供することもキャパシティ管理の目的である

このプロセスは、次の３つのサブプロセスから構成される。

① ビジネスキャパシティ管理

ＩＴサービスに対する将来のビジネス需要・要件を収集・検討し、それによって、ＩＴサービスのキャパシティを確実に実装させるための計画の立案、予算化、構築がタイムリーに実施されるようにする。

② サービスキャパシティ管理

実際のサービスの利用と稼働のパターン、山と谷を理解して、運用中のＩＴサービスのパフォーマンスを監視し、それによって、ＳＬＡの目標値を達成し、ＩＴサービスを要求どおりに機能させる。

③ コンポーネントキャパシティ管理

ＩＴインフラストラクチャーの個々のコンポーネントのパフォーマンスとキャパシティ、使用状況を監視し、それによって、ＳＬＡの目標値を達成・維持するために、コンポーネントの利用を最適化する。

本基準の適用システムにおけるハードウェア、ソフトウェア、ネットワーク、アプリケーション、及び人的リソースを対象とする。

キャパシティ管理業務を評価するための評価指標として以下を定義する。

① ＣＰＵ、ディスク、メモリ、ネットワーク容量などの閾値に対する需要の割合

② ＩＴサービスのパフォーマンス不足に起因するＳＬＡ違反やインシデントの発生件数

③ ＩＴコンポーネントのパフォーマンス不足に起因するＳＬＡ違反やインシデントの発生件数

④ 正規の購入計画に含まれていなかった、パフォーマンスの問題解決のために急きょ行った購入の数又は金額

４．１２可用性管理

可用性管理の目的は、ビジネス部門に対して、費用対効果が高いＩＴサービスを持続して提供することであり、そのためにＩＴインフラストラクチャーを整備し、それをサポートするＩＴサービス部門の能力を最適化させる。

可用性管理の活動は大きく、１）可用性要件の把握、２）可用性の設計、及び３）可用性の改善活動の３つに分けられる。

具体的には、以下の可用性管理の３要素の目標値を設定し、設定した可用性のレベルを達成・維持・向上させることである。

① 可用性

可用性とは、ＩＴサービスが必要なときに使用できる割合のことで、一般的には稼働率という指標を用いて表される。

稼働率（％）＝（サービス提供時間－停止時間）÷サービス提供時間

② 信頼性

提供されるＩＴサービスにおける、不具合の発生しにくさ／故障しずらさを表す。平均故障間隔＝（使用可能な時間－総停止時間）÷（サービス中断の回数－１）

③ 保守性

ＩＴサービスが停止又は品質低下した際に、いかに早く復旧できるかを示す指標。平均修理時間＝修理時間の合計÷サービス中断の回数

可用性について極めて重要なことは、ユーザの求めるシステムの可用性レベルをどのように達成するかについて、システム設計時に真剣に検討し、システム構築時に実現し、システムの運用において継続的に改善することである。

本基準の適用システムにおけるハードウェア、ソフトウェア、ネットワーク、及びアプリケーションを対象とする。

可用性管理業務を評価するための評価指標として以下を定義する。

① 可用性の割合

② 平均故障間隔

③ 平均修理時間

④ サービスの中断回数

⑤ 定期的なリスク分析、及びレビューの完了の件数

４．１３サービスレベル管理

ユーザニーズを満足する適正なサービスレベルおよび管理指標を設定し、これを実績管理することにより質の高いサービスの提供を図る。

サービスレベルおよび各個別管理業務での管理指標の実績データを定期的に把握し、サービスレベル指標と実績の差異や傾向を継続的に分析することにより、改善策を立案し実施する。

IT 部門が提供する全ての IT サービスに関するサービスレベルおよび各個別管理業務での管理指標を管理対象とする。