6つの分野・25項目で点検します。「いいえ」の項目が、自社の優先して取り組むべき弱点です。経営者と担当者が一緒に点検すると、予算と体制の議論につながります。
体制
- セキュリティの責任者と担当者が決まっている
- 基本方針・規程がある（作り方）
- 年1回以上、経営層が対策の状況を確認している
ID・権限
- 外部からの入口（VPN・リモート）とメール・クラウドに多要素認証
- 管理者権限を持つ人が最小限
- 退職者・異動者のアカウントをすぐ止めている（退職時）
- 共有アカウントを使っていない
- 権限の棚卸しを定期的に行っている
端末・ネットワーク
- IT資産（端末・機器・クラウド）の一覧がある（資産管理）
- OS・ソフト・VPN機器の更新を管理している
- ウイルス対策・EDRが全端末で有効
- 外部に公開している機器・サービスを把握している
- 社内ネットワークを用途で分けている
データ・バックアップ
- 重要なデータの保存場所と、アクセスできる人を把握している
- オフライン（または削除できない）バックアップがある
- 復旧を実際に試したことがある
- クラウドの共有設定を定期的に確認している
人・教育
- 年1回以上、セキュリティ教育を行っている
- 不審なメールを報告する窓口がある
- テレワーク・私物端末の利用ルールがある（ルール）
- 委託先のセキュリティを契約・確認している
事故への備え
- 事故時の連絡網（社内・ベンダー・警察・保険）がある
- 初動の手順（切り離し・報告）を全員が知っている
- 個人データ漏洩の報告義務の手順を知っている
- 机上訓練を行ったことがある