8.3 情報セキュリティリスク対応

要求事項

組織は、情報セキュリティリスク対応計画を実施しなければならない。

組織は、情報セキュリティリスク対応結果の文書化した情報を保持しなければならない。

6.1.3で策定した情報セキュリティリスク対応計画を確実に実施し、リスクを許容可能なレベルまで低減するため。

当社では、6.1.3で策定したリスク対応計画に基づき、以下のとおりリスク対応を実施している。

ISO/IEC 27001:2022 附属書Aの93の管理策について適用・非適用を明確化し、適用する管理策を実施している。

管理策カテゴリ	主な実施内容	関連規程
組織的管理策（A.5）	情報セキュリティ方針、役割・責任の明確化、インシデント対応体制	1. 組織的対策、10. インシデント対応
人的管理策（A.6）	採用時審査、教育・訓練、退職時手続き	2. 人的対策
物理的管理策（A.7）	オフィスセキュリティ、クリアデスク	5. 物理的対策
技術的管理策（A.8）	アクセス制御、認証、暗号化、ログ管理	4. アクセス制御及び認証、6. IT機器利用

8.2 情報セキュリティリスクアセスメントにおいて「高」と判定されたリスクについては、以下の管理策により低減を図っている。

資産ID	情報資産	主な管理策	実施状況
IA-001	顧客基本情報（Cloud SQL / Amazon RDS）	DBはインターネット非公開、アプリ経由アクセス、権限管理、監査ログ	実施済
IA-001-2	顧客管理資料（Google Workspace 共有ドライブ）	共有ドライブ権限管理、管理者限定、定期的な権限確認	実施済
IA-004	ソースコード（GitHub）	組織管理、リポジトリ権限管理、SSO、監査ログ	実施済
IA-009	カスタマーサポート情報（Zendesk）	サポート部のみアクセス可能、ロール・権限管理、SSO連携、監査ログ	実施済
IA-010	分析データ（BigQuery）	IAMによる権限管理、データセット権限設定、監査ログ、VPC Service Controls	実施済

追加の管理策が必要な場合は、リスク対応計画をYouTrackのチケットとして管理し、以下の情報を明確化している。

リスク対応計画及び残留リスクの受容については、情報セキュリティ責任者（代表取締役）が承認する。

リスク対応結果は、以下の文書化した情報として保持する。

リスク対応の有効性は、以下の機会において確認する。