A.5.25 情報セキュリティ事象の評価及び決定

管理策

組織は、情報セキュリティ事象を評価し、それを情報セキュリティインシデントに分類するかどうかを決定しなければならない。

情報セキュリティ事象を適切に分類し、優先順位を付けて対応するため。

情報セキュリティ事象の評価には、以下を考慮する必要がある。

用語	定義
情報セキュリティ事象	情報セキュリティ方針への違反又はセキュリティ管理策の失敗の可能性を示す、システム、サービス又はネットワークの状態の発生
情報セキュリティインシデント	事業運営を危うくする可能性が高い、又は情報セキュリティを脅かす可能性が高い、望まない又は予期しない情報セキュリティ事象

当社では、インシデント発生時の影響評価基準を定めている。レベル3（顧客・社会への影響）、レベル2（事業継続への影響）、レベル1（社内のみの影響）、レベル0（将来的なリスク）の4段階で評価する。