セキュリティ要件

システムに求められるセキュリティに関する要件。認証・認可の方式、データの暗号化、アクセス制御、ログ管理、脆弱性対策など、情報セキュリティを確保するために必要な機能や品質を定義する。

システムが備えるべきセキュリティについての要件。守るべき情報資産と想定する脅威を踏まえて、認証、アクセス制御、暗号化、ログの取得などの機能や、求める安全性の水準を定める。要件定義の段階で明確にすることで、後からの手戻りや対策の漏れを防ぐ。

システムに求められるセキュリティに関する要件。認証・認可の方式、データの暗号化、アクセス制御、ログ管理、脆弱性対策など、情報セキュリティを確保するために必要な機能や品質を定義する。

システムが備えるべきセキュリティ上の要件。認証、アクセス制御、暗号化、ログの取得などの機能と、脅威分析やリスク評価の結果から求められる対策の水準を定める。要件定義の段階で明確にしておくと、後工程での手戻りや脆弱性の作り込みを防げる。

調達したソフトウェアや部品に含まれる構成要素と、その供給元を把握して管理すること。オープンソースの脆弱性や改ざんへの対処にはSBOMの整備が有効になる。

組織の情報セキュリティを管理するための仕組み。ISO/IEC 27001（JIS Q 27001）に基づき、リスクアセスメントを行い、適切な管理策を選定・実施・運用・監視・改善するPDCAサイクルを回す。ISMS適合性評価制度により第三者認証を受けることができる。

経営陣が主導して、組織全体の情報セキュリティ活動を統治・管理するための枠組み。経営戦略と整合した情報セキュリティ方針の策定、資源配分、リスク管理の意思決定を含む。JIS Q 27014（ISO/IEC 27014）で規定されている。

ISMSの要求事項を規定する国際規格。組織がISMSを確立、実施、維持、継続的に改善するための要求事項を定める。日本ではJIS Q 27001として翻訳規格が発行されており、ISMS認証の基準となる。

情報セキュリティ管理策の実践規範を示す国際規格。ISO/IEC 27001の附属書Aに記載された管理策について、詳細な実施の手引きを提供する。組織的管理策、人的管理策、物理的管理策、技術的管理策の4分類で構成される。

経営陣が承認し、組織の情報セキュリティに対する方向性と支持を表明する文書。情報セキュリティの目的、適用範囲、基本方針を定め、組織全体のセキュリティ活動の基盤となる。法令・規制・契約上の要求事項や情報セキュリティの動向を踏まえて策定・改定する。