午前問題対策（その他）

品質・情報セキュリティ・プライバシ保護に関する法規・標準/関連法規/規格/標準

品質に関する法規・標準

ISO9000シリーズ
- 顧客満足度の向上を目指した品質マネジメントシステムの規格
- 品質要求事項を満たすための品質システムの構築と品質マニュアルの作成を要求している
- ISO 9000:2005(JIS Q 9000:2006)品質マネジメントシステム―基本及び用語
  - 第三者監査に該当するもの：審査機関が依頼を受けた会社の品質マネジメントシステムを監査する
  - 品質マネジメントシステム：品質管理を実施するための組織構造、責任、手順、工程（プロセス）および経営資源
  - 品質マネジメントにおける品質保証：プロジェクトで定めた品質基準を確実に満たすための、計画的かつ体系的な活動のこと
  - 妥当性確認
    客観的証拠を提示することによって、特定の意図された用途又は適用に関する要求事項が満たされていることを確認すること
  - 是正処置
    検出された不適合又はその他の検出された望ましくない状況の原因は除去するための処置
- ISO 9001:2000(JIS Q 9001:2000)品質マネジメントシステム―要求事項
  - 品質マネジメントシステムの国際規格要求事項を満たす組織を認定する
  - 指定された用途又は意図された用途に応じた要求事項を満たし得ることを確実にするために実施する行為と規定されているもの
    設計・開発の妥当性確認
  - トレーサビリティが要求される製品は、製造番号などによって固有の識別を管理し記録する
  - 内部監査とシステム監査の関係
    ソフトウェアの品質確保の観点から行うシステム監査は、ISO9001:2000の内部監査に相当する場合がある
  - 内部監査についての規定
    内部監査では、品質マネジメントシステムの効果的な実施と維持、個別製品の実現計画や規格要求事項への適合を確認する
  - ソフトウェアの品質マネジメントシステムを構築する方針
    トップマネジメントは、JIS Q 9001に基づいた製品の品質保証にくわえて顧客の満足度の向上を目指し、JIS Q 9004を組織全体のパフォーマンスと効率との継続的な改善の手引きとしてQMS（Quality Management System）を確立・実行・維持し、プロセスの改善を推進する。
    また、QMSに基づいてコスト、納期、安全、環境などの経営要素の維持向上と合わせてTQM（Total Quality Management）を推進する
  - 品質マネジメントの活動
    品質に関する記録は、関係者間での情報共有化のためにサーバに保管している
  - 運用
    よく吟味されて作成された品質マネジメントシステムでも、運用段階で不都合があった場合は、正規の手続きを経て変更する
  - 経営者の責任
    経営者は、品質マネジメントシステムの構築及び実施、改善に対するコミットメントの証拠を示さなければならない
  - 審査登録
    ”品質マネジメントシステムの国際規格要求事項を満たす組織”を審査し登録する
- ISO 9000-3
  - ソフトウェアの取引において、供給者の責任だけでなく、購入者の責任も規定している
  - 購入者側の責任：受け入れ基準および手続きの明確化
- ISO 9004:2000(JIS Q 9000:2000)
  品質マネジメントシステムのパフォーマンス改善の指針
JIS X 0129-1（ソフトウェアの品質特性 ISO/IEC 9126）
1. 機能性…ソフトウェアがある目的を達成するために、必要な機能を実装している度合い
  ソフトウェアが、指定された条件の下で利用されるときに、明示的及び暗示的必要性に合致する機能を提供するソフトウェア製品の能力
  - 副特性…合目的性、正確性、相互運用性、標準適合性、セキュリティ
2. 信頼性…実装している機能が、あらゆる条件の下で機能要件を満たして、必要な時間、正常動作し続けることができる度合い
  - 副特性…成熟性、障害許容性、回復性
    故障時に、指定された達成水準を再確立し、直接に影響を受けたデータを回復するソフトウェア製品の能力
3. 使用性…ソフトウェアシステムの使いやすさ、使うことにかかる労力、使うことによって得られる結果の善し悪しの度合い
  - 副特性…理解性、習得性、運用性
4. 効率性…明示された条件におけるソフトウェアがもつ目的達成と、使用する資源量の度合い
  明示的な条件の下で、使用する資源の量に対比して適切な性能を提供するソフトウェア製品の能力
  - 副特性…時間効率性、資源効率性
5. 保守性…改訂（訂正や環境適合のための改修等を含む）を行うために必要な労力の度合い
  - 副特性…解析性、変更性、安定性、試験性
6. 移植性…ソフトウェアをある環境から別の環境下に移した場合のソフトウェア能力の度合い
  - 副特性…環境適応性、設置性、規格適合性、置換性

情報セキュリティに関する法規・標準

ISO 2700シリーズ（情報セキュリティマネジメント規範）
- ISO/IEC 27001:2005 (JIS Q 27001:2006) 情報セキュリティマネジメントシステム(ISMS)―要求事項
  - BS7799パート2に基づいて定められた
  - 規定されているもの：経営者の責任が重要であり、コミットメント、経営資源の提供、マネジメントレビューなどに関与しなければならない
  - 情報システムのリスクとその評価：リスクとは、脅威が情報資産の脆弱性につけ込み、情報資産に損失又は損害を与える可能性のこと
  - ISMSの確立に必要な事項の順序
    １．リスクの分析と評価
    ２．リスク対応のための管理目的及び管理策の選択
    ３．適用宣言書の作成
  - BS7799-2
    セキュリティ管理システム構築の枠組み
    1. セキュリティポリシを定める
    2. 情報セキュリティ管理システムの運用範囲を決める
    3. リスクアセスメントを行う
    4. リスクを管理する
    5. 実施すべき管理目的および管理策を選択・追加する
    6. 適用宣言書を作成する
- ISO/IEC 27002:2005（JIS Q 27002:2006）情報セキュリティマネジメントシステム―実践のための規範
  - 変遷
    - ISO BS7799パート1→ISO 17799→ISO/IEC 27002
    - JIS ISO/IEC 27002→JIS X 5080→JIS Q 27002
    - 組織としてセキュリティを構築運用するためのガイドラインで、情報セキュリティマネジメントの実践のための規範を示したもの
    - 情報セキュリティ管理システム (ISMS) を立ち上げ、実装し、運用するための情報セキュリティ管理に関するベストプラクティスを提供する
    - 情報セキュリティを、機密性、完全性、可用性の三つの事項を維持するものとして特徴付けている
    - 可用性の定義
      利用者が必要なときに情報資産を利用できることを確実にする
ISO/IEC 15408（システム及び製品に関する情報技術セキュリティ評価基準　CC Common Criteria)
情報システム製品が、セキュリティ用件を満足しているかを評価するための国際標準規格
評価対象：パケットフィルタリング機能を持つファイアウォール用ソフトウェア
JIS X 5070（ISO 15408；情報セキュリティ評価基準）
- 製品やシステムのセキュリティ機能及び実装のレベルを技術面から評価する基準
- 品質維持の基準は含まれないが、セキュリティ要件や環境の変化などに伴って行われる評価済み製品の再評価の手順を対象範囲としている
- EAL（評価保証レベル）による評価
  評価を受けるには、IT製品やシステムのセキュリティ設計仕様が記されたPP（プロテクションプロファイル）を提出する必要がある
- 評価保証レベルEAL4に相当するもの
  詳細設計書と一部のソースコードや製造図面など、実装を確認するレベル
JIS X 5731-8(ITU-T X.509)
開放形システム間相互接続－ディレクトリ－第8部認証の枠組み
公開鍵証明書の標準形式や証明書パス検証アルゴリズムなどを定めている
CC（Common Criteria）
米国で運用されたTCSECや欧州政府調達のITSECを統合して、標準化が進められた情報技術に関するセキュリティの評価基準
情報システム安全対策基準
情報システムの機密性、保全性、可用性を確保するために情報システムの利用者が実施する対策項目を列挙したもの
設置基準、技術基準、運用基準の三つで構成されている
ISMS認証基準（情報セキュリティマネジメントシステム適合性評価制度）
- 情報セキュリティは機密性、完全性、可用性の三つの事項を維持するものとして特徴付けられている
- 情報セキュリティポリシに関する記述
  情報セキュリティの方針は、事業、組織、所在地、資産及び技術の特徴を考慮して策定する
- ISMSを導入、運用、改善などするためには、プロセスアプローチを採用することが望ましい
- 情報セキュリティ基本方針文書は、経営陣によって承認され、全従業員に公表し通知する
- ベースラインアプローチ
  公表されている基準などに基づいて一定のセキュリティレベルを設定し、実施している管理策とのギャップ分析を行った上で、リスクを評価する
- ISMS適合性評価制度における情報セキュリティポリシ
  基本方針は、事業の特徴、組織、その所在地、資産および技術の観点から策定する
  - ISMSのPDCAサイクルモデル
    - P:PLANフェーズ：情報資産のリスクアセスメント、セキュリティポリシの策定
    - D:DOフェーズ：運用状況の管理、セキュリティ教育
    - C:CHECKフェーズ：実施状況に対するレビュー、内部監査
    - A:ACTフェーズ：改善策の実施、重要な不適合部分の是正
- ”情報セキュリティ監査制度：情報セキュリティ管理基準”
  - 情報セキュリティ基本方針の目的
    情報セキュリティのための経営陣の指針及び支持を規定する
    組織内の情報セキュリティを管理するため
  - 利用者のアクセス管理のコントロール
    情報システムにおける特権の割り当て及び使用を制限し、管理すること
  - 助言型監査
  - 保証型監査：監査手続きを実施した限りにおいて、監査対象の情報セキュリティに関するマネジメントやコントロールが適切であることを保証する監査
コンピュータ不正アクセス対策基準
- コンピュータ不正アクセスにより被害の予防、発見及び復旧並びに拡大及び再発防止について、企業などの組織及び個人が実行すべき対策をとりまとめたもの
- 企業の組織だけでなく個人ユーザも対象としている
- 構成
  - システムユーザ基準
  - システム管理者基準
  - ネットワークサービス事業者基準
  - ハードウェア・ソフトウェア供給者基準
コンピュータウイルス対策基準
- コンピュータウイルスに対する予防、発見、駆除、復旧などについて実効性の高い対策をとりまとめたもの
- 構成
  - システムユーザ基準
  - システム管理者基準
  - ソフトウェア供給者基準
  - ネットワーク事業者基準
  - システムサービス事業者基準
不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）
- ID・パスワードの不正使用やその他の攻撃的手段でアクセス権限のないコンピュータ資源にアクセスすることを禁止する法律
- 他人のID・パスワードを第三者に教えることも禁止されている
- 他人のID・パスワードを不正に使用するだけでも対象となる
- ID・パスワードなどのアクセス制御機能を持たないコンピュータの場合は、管理者の承諾を得ずに侵入しても、ID・パスワードを使用しなくてもアクセスできるため保護対象とならず不正アクセス行為として処罰の対象とはならない
刑法（コンピュータ犯罪防止法）
コンピュータの不正使用に関する条文を含む法規
- 電磁的記録不正作出及び供用罪
  - いやがらせを目的に、通信事業者のコンピュータに不正アクセスし、他人の通信記録を書き換えて、通信会社から過大な請求をさせた
  - バーコードは電磁的記録に含まれない
  - 文書性が認められた電磁的記録を改変又は偽造する
  - キャッシュカードを偽造して、他人の銀行口座から現金を引き出した
- 電子計算機損壊等業務妨害罪
  - オンラインショップのWebサーバに不正アクセスし、ホームページを改ざんしたことで、一定時間オンラインショップを閉鎖させた
  - データやプログラムを改変し、使用目的に反する動作をさせ、業務の遂行を妨害する
  - 原本データが格納されている磁気ディスクを破壊して、帳票の出力をできなくした
- 電子計算機使用詐欺罪
  - 銀行のパソコンバンキングシステムを悪用して、偽りの振込送金情報を与えて、特定口座へ資金を移動して不当な利益を得た
  - インターネットを経由して銀行のシステムに虚偽の情報を与え、不正な振込みや送金をさせる
  - データやプログラムを改変し、不法な利益を得る
  - プログラムを改ざんして、自分が出資している取引先への納品量を水増しした
- 電磁的公正証書原本不実記録罪
  - 転入届の際に事実と異なる情報を届け出て、住民台帳システムに登録させた
- 電磁的記録毀棄の罪
  - 文書性が認められた電磁的記録を破壊又は消去する
インターネットの各種技術の標準化を進めている任意団体IETFは技術仕様をRFCとして発行しており、セキュリティ分野にはRADIUSやLDAPの仕様がある

プライバシ保護に関する法規・標準

OECDのプライバシガイドライン
- 基本8原則
  - 収集制限の原則
    法律の規定による場合には、個人データの収集ができる
  - データ内容の原則
  - 目的明確化の原則
  - 利用制限の原則
  - 安全保護の原則
    個人データは紛失もしくは無制限アクセス・破壊・使用・修復・開示の危険に対し、合理的な安全保護措置により保護されなければならないことを定めている
  - 公開の原則
  - 個人参加の原則
  - 責任の原則
個人情報保護法(個人情報の保護に関する法律)
- 個人情報の不適切な取り扱いによって、個人の権利利益が侵害されることを未然に防止する
- 対象としている個人情報
  生存している個人に関する情報に限られる
- 要件
  - 本人の同意を得ずに個人情報を第三者に提供してはいけない
  - 利用目的の達成に必要な範囲を超えて個人情報を扱ってはならない
  - 個人情報の利用目的をできる限り特定しなければならない
    情報主体から直接に個人情報を収集する場合には、必ず情報主体に収集目的を通知しなければならない
  - 本人の求めに応じて保有個人情報を開示しなければならない
  - 個人情報を正確かつ最新の内容に保つよう努めなければならない
- 個人情報取扱事業者が、自社の提供サービスに関して、住所や氏名を記入させるアンケート調査を実施する場合の留意点
  - NG
    アンケート実施時に特には言及せずに、回答者へ新製品発表会の招待状を郵送する
  - OK
    アンケートの回答者には特別なプレゼントを用意するなど、回答率を高めるための施策を実施する
    アンケート用紙に、質問票とその回答情報の利用目的を並記しておく
    ブラウザの画面でアンケート調査を行う場合も、紙で行う場合と同じ規定を適用する
- 個人情報に該当しないもの
  顧客のアンケート結果を統計処理し、年齢別に集約したデータ
- 個人情報保護法の中で規定された、個人情報の取り扱いに関する不正行為に対して用意されている仕組み
  苦情処理の制度及び主務大臣が個人情報取扱事業者に対して行う報告の徴収、助言、勧告又は命令
行政機関個人情報保護法および保護条例
- 行政機関の保有する電子計算機に係る個人情報の保護に関する法律
  国の行政機関だけを対象としており、民間の保有する情報は保護の対象外
特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律（プロバイダ責任制限法）
Webサイトの掲示板に個人のプライバシを侵害する書き込みがあった場合などの事例に対し、プロバイダや掲示板の運営者の責任範囲を定めたもの
個人情報の保護に関するガイドライン
- 厚生労働省
  医療・介護事業者における個人情報の適切な取り扱いのためのガイドライン
- 金融庁
  金融分野における個人情報保護に関するガイドライン
- 総務省
  電気通信事業における個人情報保護に関するガイドライン
- 経済産業省
  個人情報の保護に関する法律についての経済産業分野を対照とするガイドライン
  - 物理的安全簡易措置
    個人データを取り扱う情報システムを、ICカードによる入退室管理を実施している室内に設置する
JIS Q 15001:2006
- 個人情報を事業の用に供している、あらゆる種類、規模の事業者に適用できる個人情報保護マネジメントシステムに関する要求事項
- 事業者が、一般に公開されている個人情報を使用して継続的にダイレクトメールを送付する場合、JIS Q 15001:2006に規定された通知事項を本人に通知し、同意を得れば送付できる
- JIS Q 15001の内容を満たしていると認められる場合にその旨を示すプライバシマークが付与される
  - プライバシーマーク制度
    個人情報の取扱いについて、財団法人日本情報処理開発協会（JIPDEC）が運営し、適切な保護措置を講ずる体制を整備し運用している事業者を認定する制度

規格

JIS X 7011(EDIFACT)
EDIに対して、EDIにおける標準メッセージなど、対象となる情報データをお互いのコンピュータで理解できるようにするための取決めが規定されている
世界貿易機関（WTO）の”貿易の技術的障害に関する協定”（TBT協定）が加盟国に義務付けているもの
国内強制規格を策定する場合には国際規格を基礎として使用すること
TRIPS協定
GATTウルグアイラウンドの協定
知的財産権の全般的保護に関する国際条約

標準

ソフトウェア管理ガイドライン
経済産業省が策定
ソフトウェアの違法複製などを防止するために法人団体などがソフトウェアを使用するに当たって実施すべき事項を取りまとめたもの
ソフトウェアの使用許諾契約の内容は、ソフトウェアユーザ全員に周知徹底する必要がある
システム管理基準
- 経済産業省が定めた基準
- 情報システム戦略に基づき、効果的な情報システム投資のための、また、リスクを低減するためのコントロールを適切に整備・運用するための実践規範
- 運用業務におけるソフトウェア管理に該当するもの：プログラムの違法コピーが発生しないよう教育する
- 全体最適化に含まれる作業：情報システム基盤の整備計画の策定
システム開発と取引のための共通フレーム2007(SLCP-JCF2007 ； Software Life Cycle Processes-Japan Common Frame 2007)
- 作成の目的
  - システム開発作業全般にわたって”共通の物差し”や”共通語”を使うことによって、作業範囲・作業内容を明確にし、購入者（取得者）と供給者の二者間取引に共通の物差しを用いて取引を明確化すること
  - ソフトウェアを中心としたシステムの開発及び取引を可視化できる、契約者双方の共通の枠組み
  - 顧客と開発ベンダの受発注契約にかかわる取引以外に、社内の部門間取引も対象に規定している
  - システム開発作業をJIS X 0160に基づいてプロセス、アクティビティ、タスクの3階層構成で定義している
- 適用方法
  プロジェクトの環境、特性、開発モデルや手法にあわせ、プロセスやアクティビティを選択し組み立てる
- 構成
  - 主ライフサイクルプロセス
    1. 取得プロセス
      - 開始（要件の定義と分析など）
      - 提案依頼書の準備
      - 契約準備及び更新
      - 供給者の監視
      - 受け入れ及び完了
    2. 供給プロセス
      - 開始
      - 提案書の準備
      - 契約締結
      - 計画立案
      - 実行及び管理
      - レビュー及び評価
      - 納入及び完了
    3. 契約の変更管理プロセス
      取得者と供給者間で変更内容の合意を導くプロセス
    4. 規格プロセス
      - プロセス開始の準備
      - 情報戦略の立案
      - 情報システム構想の立案
      - システム計画の立案
    5. 要件定義プロセス
      業務システムのIT化範囲と機能の内容について利害関係者間の合意を目的とするプロセス
    6. 開発プロセス
      - プロセス開始の準備
      - システム要件定義
      - システム方式設計
      - ソフトウェア要件定義
      - ソフトウェア方式設計
      - ソフトウェア詳細設計
      - ソフトウェアコード作成及びテスト
      - ソフトウェア結合
      - ソフトウェア適格性確認テスト
      - システム結合
      - システム適格性確認テスト
      - ソフトウェア導入
      - ソフトウェア受入れ支援
    7. 運用プロセス
      - ソフトウェア製品やシステムの運用
      - 利用者に対する運用支援
    8. 保守プロセス
      問題発生、改善要求、環境変化への適応のためにソフトウェア製品及び関連文書を変更する
      修正されたシステムの完全性の確認のため保守レビューを行う
  - 支援ライフサイクルプロセス
    - 文書化プロセス
    - 構成管理プロセス
    - 品質保証プロセス
    - 検証プロセス
    - 妥当性確認プロセス
    - 共同レビュープロセス
      取得者と供給者がプロジェクトの状況や成果物について評価し、共同レビュー手法を用いて調整、合意する
    - 監査プロセス
    - 問題解決プロセス
    - ユーザビリティ（使用性向上）プロセス
  - 組織に関するライフサイクルプロセス
    - 管理プロセス
    - 環境整備プロセス
    - 改善プロセス
    - 人的資源プロセス
    - 資産管理プロセス
    - 再利用プログラム管理プロセス
    - ドメイン技術プロセス
  - システム監査プロセス
    情報システム全体にわたる信頼性、安全性、効率性をチェックする
  - 修正プロセス
    組織やプロジェクトの特性に合わせて共通フレームを部分的に変更するための要求事項をまとめたもの